(57)【要約】  セグメンテーション管理のためのシステム、方法、および関連技術が記載される。ある態様では、ネットワークに通信可能に接続されたエンティティが選択され、エンティティの１以上の特性が決定される。エンティティの１以上の特性に基づいてセグメンテーションポリシーが選択され、セグメンテーションポリシーに基づいてエンティティに割り当てられる１以上のタグが決定されうる。１以上のタグに基づくエンティティのゾーンが決定され、エンティティのゾーンに関連付けられた１以上のエンフォースメントポイントが決定されうる。そして、エンティティに関連付けられたゾーンに基づいて１以上のエンフォースメントアクションが１以上のエンフォースメントポイントに割り当てられうる。【選択図】図３
2021529489.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークに通信可能に接続されたエンティティを選択することと、
前記エンティティの１以上の特性を決定することと、
前記エンティティの前記１以上の特性に基づいてセグメンテーションポリシーを選択することと、
前記セグメンテーションポリシーに基づいて前記エンティティに割り当てる１以上のタグを決定することと、
前記エンティティに関連付けられた１以上のエンフォースメントポイントを決定することと、
前記エンティティに関連付けられたゾーンに基づいて前記１以上のエンフォースメントポイントに１以上のエンフォースメントアクションを割り当てることと、
を備える、方法。
【請求項２】
前記１以上のタグに基づいて前記エンティティのためのゾーンを決定することをさらに備える、
請求項１に記載の方法。
【請求項３】
前記ゾーンは、ネットワークトポロジーまたはリスクのうち少なくとも１つの変化に適応する、
請求項２に記載の方法。
【請求項４】
前記エンティティの前記１以上の特性は、エージェントを用いることなく決定される、
請求項１に記載の方法。
【請求項５】
前記１以上のエンフォースメントポイントは、ファイアウォール、ルータ、スイッチ、クラウドインフラストラクチャ、ハイパーバイザ、ソフトウェア定義ネットワーク（ＳＤＮ）コントローラ、または仮想ファイアウォールのうち少なくとも１つを含む、
請求項１に記載の方法。
【請求項６】
前記１以上のタグは、コンプライアンスタグ、ファイアウォールタグ、ロケーションタグ、部門タグ、ユーザタグ、アカウントタグ、または環境タグのうち少なくとも１つを含む、
請求項１に記載の方法。
【請求項７】
前記エンティティに関連付けられた前記ゾーンに基づいて前記１以上のエンフォースメントポイントに前記１以上のエンフォースメントアクションの割り当てることは、前記１以上のエンフォースメントポイントの各々に１以上のエンフォースメントアクションを設定することを含む、
請求項１に記載の方法。
【請求項８】
前記エンフォースメントアクションは、アプリケーションプログラミングインタフェース（ＡＰＩ）、コマンドラインインタフェース（ＣＬＩ）、またはシンプルネットワークマネジメントプロトコル（ＳＮＭＰ）インタフェースのうち少なくとも１つを用いて構成される、
請求項１に記載の方法。
【請求項９】
前記１以上のタグのうちの１つのタグは、対応する１つのエンフォースメントアクションに関連付けられる、
請求項１に記載の方法。
【請求項１０】
前記エンティティの１以上の特性を決定することは、前記エンティティの分類または前記エンティティの識別を決定することを含む、
請求項１に記載の方法。
【請求項１１】
前記エンティティの１以上の特性を決定することは、少なくとも前記エンティティの通信元および通信先に基づく、
請求項１に記載の方法。
【請求項１２】
メモリと、
前記メモリと動作可能に接続された処理装置であって、ネットワークに通信可能に接続されたエンティティを選択し、前記エンティティの１以上の特性を決定し、前記エンティティの前記１以上の特性に基づいてセグメンテーションポリシーを選択し、前記セグメンテーションポリシーに基づいて前記エンティティに割り当てる１以上のタグを決定し、前記エンティティに関連付けられた１以上のエンフォースメントポイントを決定し、前記エンティティに関連付けられたゾーンに基づいて前記１以上のエンフォースメントポイントに１以上のエンフォースメントアクションを割り当てる処理装置と、
を備える、システム。
【請求項１３】
前記エンティティの前記１以上の特性は、エージェントを用いることなく決定される、
請求項１２に記載のシステム。
【請求項１４】
前記１以上のエンフォースメントポイントは、ファイアウォール、ルータ、スイッチ、クラウドインフラストラクチャ、ハイパーバイザ、ソフトウェア定義ネットワーク（ＳＤＮ）コントローラ、または仮想ファイアウォールのうち少なくとも１つを含む、
請求項１２に記載のシステム。
【請求項１５】
前記１以上のタグは、コンプライアンスタグ、ファイアウォールタグ、ロケーションタグ、アクセスコントロールリスト（ＡＣＬ）タグ、部門タグ、ユーザタグ、またはアカウントタグのうち少なくとも１つを含む、
請求項１２に記載のシステム。
【請求項１６】
前記エンティティに関連付けられた前記ゾーンに基づいて前記１以上のエンフォースメントポイントに前記１以上のエンフォースメントアクションの割り当てることは、前記１以上のエンフォースメントポイントの各々に１以上のエンフォースメントアクションを設定することを含む、
請求項１２に記載のシステム。
【請求項１７】
前記エンフォースメントアクションは、アプリケーションプログラミングインタフェース（ＡＰＩ）、コマンドラインインタフェース（ＣＬＩ）、またはシンプルネットワークマネジメントプロトコル（ＳＮＭＰ）インタフェースのうち少なくとも１つを用いて構成される、
請求項１２に記載のシステム。
【請求項１８】
前記１以上のタグのうちの１つのタグは、対応する１つのエンフォースメントアクションに関連付けられる、
請求項１２に記載のシステム。
【請求項１９】
前記エンティティの１以上の特性を決定することは、前記エンティティの分類または前記エンティティの識別を決定することを含む、
請求項１２に記載のシステム。
【請求項２０】
非一時的なコンピュータで読み取り可能な媒体にエンコードされるインストラクションであって、処理装置により実行された場合に、当該処理装置に、ネットワークに通信可能に接続されたエンティティを選択させ、前記エンティティの１以上の特性を決定させ、前記エンティティの前記１以上の特性に基づいてセグメンテーションポリシーを選択させ、前記セグメンテーションポリシーに基づいて前記エンティティに割り当てる１以上のタグを決定させ、前記エンティティに関連付けられた１以上のエンフォースメントポイントを決定させ、前記エンティティに関連付けられたゾーンに基づいて前記１以上のエンフォースメントポイントに１以上のエンフォースメントアクションを割り当てさせ、前記非一時的コンピュータ読み取り可能な媒体にエンコードされるインストラクション
を含む、非一時的なコンピュータで読み取り可能な媒体。
【請求項２１】
前記エンティティの前記１以上の特性は、エージェントを用いることなく決定される、
請求項２０に記載の非一時的なコンピュータで読み取り可能な媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
（関連出願）
この出願は、２０１８年７月２９日に出願された米国特許出願１６／０２３，５３３の米国特許法第１１９条（ｅ）のもとでの利益を主張し、当該米国特許出願のすべての内容は引用としてここに組み込まれている。
【０００２】
本開示の態様および実装は、ネットワークセグメンテーション、より具体的には、通信ネットワークの動的セグメンテーション管理に関する。
【背景技術】
【０００３】
技術が進歩するにつれて、通信ネットワークに接続されるデバイスの個数および種類が急激に増えている。各デバイスは、侵害またはその他のリスクに対してネットワークをオープンにしたままにすることがあるというそれぞれ固有の脆弱性を持ちうる。ネットワーク上の各デバイスのスキャニングは、権限の無いまたは不正なデバイスがネットワークリソースにアクセスすることを防止するために通信ネットワークをモニタリングすることまたはセキュア化することに役立つ場合がある。
【図面の簡単な説明】
【０００４】
本開示の態様および実装は、本開示の様々な態様および実装の後述する詳細な説明および添付の図面からより十分に理解されるが、当該詳細な説明および添付の図面は、本開示を特定の態様および実装に制限するものととるべきではなく、あくまで説明および理解のためのものである。
【０００５】
【図１】図１は、本開示の一実装にかかる例示的な通信ネットワークを示す。
【０００６】
【図２】図２は、本開示の一実装にかかる例示的なネットワークトポロジを示す。
【０００７】
【図３】図３は、本開示の一実装にかかる動的セグメンテーションのための方法の態様のフロー図を示す。
【０００８】
【図４】図４は、本開示の一実装にかかる動的セグメンテーションのためのシステムの例示的な構成要素を示す。
【０００９】
【図５】図５は、本開示の一実装にかかるコンピュータシステムの一例を示すブロック図である。
【発明を実施するための形態】
【００１０】
本開示の態様および実装は、動的セグメンテーション管理を対象とする。開示されるシステムおよび方法は、いくつかの分野の中で特にネットワークセキュリティに利用されうる。特に、脆弱性のあるデバイスが重要かつ深刻化している問題であることは明白である。同時に、ネットワーク接続されたデバイス（たとえば、テレビ、防犯カメラ、ウェアラブルデバイス、医療デバイスなどのようなＩｏＴ（ｉｎｔｅｒｎｅｔ  ｏｆ  ｔｈｉｎｇｓ）デバイス）の急増は、ネットワークセキュリティが維持されることを有効に保証することを難しくしている。したがって、侵害されたデバイスの影響が低減されるとともに１以上のアクションが実行されることを確保するために侵害されたデバイス通信が制限されうるように１以上のネットワークを動的にセグメントするシステム、方法、技術、および関連技術が様々な実装でここに記載される。
【００１１】
ネットワークセグメンテーションは、デバイスがアクセスするまたは通信することができるネットワークの部分またはエリアを限定することにより、たとえば大規模および中規模の組織において、ネットワーク上でセキュリティポリシーを実施することに用いられることがある。セグメンテーションまたは「ゾーニング」は、（たとえばハッカーまたは悪意のあるソフトウェアによる）ネットワークを介した動きを制限するための有効な制御をもたらす。ファイアウォール、ルータ、スイッチ、クラウドインフラストラクチャ、他のネットワークデバイスなどを含むエンフォースメントポイントは、ネットワークのエンフォースメントセグメンテーションに用いられることがあり、異なるアドレスサブネットは、各セグメントに用いられることがある。エンフォースメントポイントは、ネットワークセグメンテーションに従ってパケットをフィルタするまたはドロップすることによりセグメンテーションを実施しうる。ネットワークセグメンテーション計画の実行可能性は、組織のデバイスおよびデバイス間のトラフィックフローに組織が持っている見通しの質に依存する。
【００１２】
歴史的に、ネットワークは、静的な方法で計画および設計されており、ネットワーク上の各タイプのユーザ、デバイス、またはアプリケーションは、固有の範囲のＩＰアドレスを持っている。また、ネットワークは、ユーザの継続的な接続のために歴史的にフラットであり、そのことはセグメンテーションを実行するのが非常に困難なプロジェクトとしていた。サブネットが使用された場合であっても、ＩＰアドレスおよびロールは静的にマップされていた（たとえば、サーバには１０．１０．１０．０／２４がマップされていた）。この手法は、過去２０年間、ネットワークエンジニアによく役立っていた。従来はネットワークが静的および階層的にセグメント化または構造化されており、静的なセグメント化ツールが使用されていた。ネットワーク上の各環境またはサブネットは、独自の機能を持っているものである。すなわち、デバイスが含まれるセグメントは、デバイスのＩＰアドレスに基づいている。ＩＰアドレスベースで行われるセグメンテーションは、固定的または静的な方法であり、従来のネットワークトポロジまたはデバイスの編成に基づいている。このような静的なセグメントの機能に基づいて、ルータまたはファイアウォールの静的アクセス制御リスト（ＡＣＬ）により通常遂行されるセグメンテーションルールは定義される。静的なポリシーなどのもとでのセグメンテーションにより動的になる機会は、ほとんどまたは全く無い。
【００１３】
このモデルの効率性および機能性は、ＢＹＯＤ（ｂｒｉｎｇ  ｙｏｕｒ  ｏｗｎ  ｄｅｖｉｃｅ）、ＩｏＴ（ｉｎｔｅｒｎｅｔ  ｏｆ  ｔｈｉｎｇｓ）、仮想化、および柔軟性の傾向によりここ数年要求されている。さらに、ユーザおよびデバイスのモビリティは、法人のネットワークに安全でありながら効率性および機能性を提供するための大きな課題をつきつける。従来のセグメンテーション手法は、デバイスの個数およびデバイスの種類の弾力性にはあまりふさわしくない。
【００１４】
ＢＹＯＤによれば、ユーザは自分自身のデバイスをネットワークに持ち込むことができ、またＩｏＴによれば、かつては予測可能でかつ抑えられていた法人のネットワーク上のデバイスの個数および種類が今や予測不可能でありかつ指数関数的に増加している。ＢＹＯＤは、きわめて動的な個数のデバイスをもたらす。ＩｏＴは、デバイスの個数およびデバイスのバリエーションの劇的な増加につながってきている。ＩｏＴデバイスの急速な増加は拡大しており、セグメンテーションは、ＩｏＴデバイスの侵害の脅威を抑え、ＩｏＴデバイス周辺の攻撃対象領域を低減するための最も効率的な方法の１つである。ほとんどの場合、ネットワーク上に存在する各種のデバイスの個数を正確に予測する方法はないため、予め定義されたＩＰ範囲は、ニーズに適応できなくなる。また、既存のフラットなネットワークを最初からセグメント化することは、そのような手順は組織に混乱を起こしうるため、非常に困難である。
【００１５】
仮想化および柔軟性の大幅な増加とともに、ネットワーク上のエンティティまたはシステムは、もはやデータセンタまたは他の場所にある静的で物理な箱ではない。デスクトップおよびサーバは、仮想的で動的で完全に柔軟性のあるモデルにますます移行している。これは、仮想サーバまたはデスクトップが１日以内に異なるＩＰアドレスで２つの異なる大陸に出現しうる（その一方でエンドユーザに対してはシームレスである）ために、ＩＰアドレスからアプリケーション、デバイスタイプ、またはユーザを決定することは非常に難しいことを意味する。
【００１６】
たとえば、開発サーバを備えたゾーンは、研究開発（Ｒ＆Ｄ）ユーザのグループによってアクセス可能である必要がある。デバイスの個数とデバイスの種類の急速な増加は、特徴的な機能性の大きなゾーンの定義を基準化できないことを引き起こす。より小さなゾーンは使用されうるが、そのときネットワークはよりフラットになり特定のサブネットで構造化されなくなる。このことは、ＩＰｖ４（ｉｎｔｅｒｎｅｔ  ｐｒｏｔｏｃｏｌ  ｖｅｒｓｉｏｎ  ４）が用いられる場合、デバイスの個数が増えるほど使用可能なアドレスの個数がすぐになくなるため、特に問題となる。ＩＰｖ４デバイスが多くなればなるほどより大きいアドレス空間を持つＩＰｖ６が必要になり、ＩＰｖ６には固有の実装上の課題がある。
【００１７】
セグメンテーションは、多くの場合、ＩＰスキームに基づいてデバイスにタグを適用することにより行われる。デバイスに対するタグの決定および適用は手動である。タグ付けの手動の性質は、セグメンテーションの有効性を制限し、場合によってはセグメンテーションプロジェクトの実行可能性さえも制限する。たとえば、セグメンテーションスキームは、１０．１０．１０．ｘサブネット内のデバイスがアプリケーションサーバであることを示す場合があり、これにより１０．１０．１０．ｘサブネット内のＩＰアドレスを持つ各サーバにはアプリケーションタグが割り当てられる。したがって、タグは、ＩＰアドレスに基づいてデバイスに静的にマップされる。
【００１８】
ＩＰアドレスがセグメンテーションスキームと一致しない場合にデバイスに単にＩＰアドレスに基づくタグが割り当てられると、デバイスは、セグメンテーションスキームと適切に一致しないタグでタグ付けされうる。たとえば、プリンタがＩＰカメラセグメントに関連付けられたＩＰアドレスを取得すると、ラップトップおよびデスクトップのようなユーザデバイスとの通信が妨げられることにより、プリンタが正常に動作することが制限されることがある。
【００１９】
ネットワークを安全かつセキュアに保つことを目的としたセキュリティ製品は、ここ２０年間のように静的なＩＰアドレススキームにもはや依存することができない。これらの製品に起因する決定およびアクションは、徐々に的外れで当てにならなくなっている。したがって、必要なのは、ＩＰアドレス指定スキームにとらわれない、緻密で、適応性があり、かつ柔軟なソリューションである。
【００２０】
ここで論じる１つまたは複数のエンティティは、デバイス（たとえばコンピュータシステム、たとえばラップトップ、デスクトップ、サーバ、モバイルデバイス、ＩｏＴデバイス、ＯＴデバイスなど）、エンドポイント、仮想マシン、サービス、サーバレスサービス（たとえばクラウドベースのサービス）、コンテナ（たとえば、複数の孤立したユーザスペースインスタンスの存在を可能にするカーネルを主としたオペレーティングシステムとともに動作するユーザスペースインスタンス）、クラウドベースのストレージ、を含む。エンティティによっては、エンティティがＩＰアドレス有り（たとえばデバイス）であったり、ＩＰアドレス無し（たとえばサーバレスサービス）であったりする。実施形態は、ここに記載されるように、様々なエンティティを動的にセグメント化することができる。
【００２１】
実施形態は、エンドツーエンドの動的なポリシーに基づくセグメンテーションポリシーまたはセグメンテーションフィルタを提供して、ＩＰアドレスだけでなく動的なエンティティの特性に基づいてリアルタイムでエンティティにタグを割り当てる。実施形態は、ＩＰスキーム（たとえば、特定の機能のデバイスが特定のサブネット内にある）および環境ではなく、エンティティ自体の特性に基づいてセグメンテーションを提供する。したがって、セグメンテーションは、デバイスまたはエンティティのＩＰスキームまたはＩＰアドレスではなく、デバイスまたはエンティティ（および場合によってはユーザおよび使用されている１以上のサービス）に基づく。
【００２２】
実施形態は、エンティティの様々なプロパティまたは特性に基づいて（たとえばリアルタイムで）エンティティに動的にタグ付けするように動作可能である。タグ付けは、ポリシーに基づいて自動的に（たとえばユーザの介入無しに）行われうる。エンティティのこのような動的なタグ付けは、エンティティに手動でタグ付けする必要をなくすので、管理者の時間の負担を大幅に軽減することができる。たとえば、ロケーションインジケータを持つエンティティの名前（たとえば、アメリカ、アメリカ合衆国、またはネットワークアドレス指定スキームに対応した「Ａ」で始まる名前）に基づく手動のタグ付けを自動で実行することができる。
【００２３】
たとえば、プリンタとして分類されるか識別されるかまたはそれらの組み合わせであるデバイスは、プリンタデバイスタグによりタグ付けすることができる。同様に、ＩＰカメラとして分類されるか識別されるかまたはそれらの組み合わせであるデバイスは、ＩＰカメラデバイスタグによりタグ付けすることができます。いずれの例においても、タグ付けは、プリンタまたはＰＩカメラのＰＩアドレスだけに基づくのではなく、カテゴリ化（たとえば分類、識別など、またはそれらの組み合わせ）に基づく。
【００２４】
エンティティのタグ付けは、エージェントを用いることなく、またはエージェント無しの方法で行われ、それにより、１つ以上のネットワーク上の各エンティティにタグ付けすることができる。多くのデバイス、特にＩｏＴデバイスは、デバイスにインストールされたエージェントの機能を限定する処理、ストレージ、およびその他のリソースを制限している。また、多種多様に異なるデバイスおよびデバイスの個数の急速な増加のために、デバイスまたはエンティティごとにエージェントを開発することは実際的ではない。さらに、実施形態によるエージェント無しの動作と動的なタグ付けとの組み合わせは、エージェントの開発およびリリース時期に左右されることなく、またはエージェントが適切に機能しなくても、エンティティに１以上のタグを割り当てることを可能にする。したがって、エージェント無しでエンティティをカテゴリ分けするとともにタグ付けする能力は、さまざまなエンティティに動的にタグ付けし、１以上のセグメンテーションポリシーを迅速に適用することを可能にする（たとえば、８０２．１ｘに基づく、のような予備的な要件は無い）。いくつかの実施形態では、８０２．ｌｘおよび同様のプロトコルがサポートされる。
【００２５】
実施形態は、複数のタグをエンティティに割り当てるまたは適用するように動作可能である。実施形態は、フィンガープリント、エンティティの挙動、コンプライアンス、場所、オペレーティングシステム、アプリケーション（たとえば課金アプリケーション）、ユーザ、ユーザ部門、パッチステータス（たとえばデバイスにパッチが当てられているかどうか）、製造業者、ベンダなどに基づいてタグを割り当てることができる。エンティティの各プロパティまたは特性は、タグを定義し、これによりエンティティのゾーン、グループ、またはカテゴリを定義することがある。したがって、実施形態は、エンティティにリアルタイムでタグ付けおよびセグメント化して正確なセグメンテーションを容易化することができ、セグメントが階層的に割り当てられうる。たとえば、高、ルート、または親レベルのタグはＲ＆Ｄである可能性があり、セカンダリタグは１以上の場所（たとえば都市および国）、コンプライアンスタグ、秘密度または重要度タグ、リスクタグ、環境タグ（たとえば生産、開発、非武装地帯（ＤＭＺ））、ネットワーク接続タイプタグ（無線、有線、リモート）などである可能性がある。いくつかの実施形態では、複数の高レベルタグがサポートされる。
【００２６】
さらに、実施形態は、エンドツーエンド通信ベースに基づいて、および複数のプロパティ、複数のフィンガープリント、または特性に基づいて、エンティティを分類することができる。実施形態は、任意の環境（たとえばキャンパス、データセンタ、クラウドなど）に跨ったエンティティの通信の通信元および通信先の両方への（たとえばネットワークを介した通信の監視に基づく）アクセスを有する。したがって、実施形態は、エンティティによって送信された通信および通信を受信したエンティティに基づいて、自動的にエンティティを適応的、継続的、およびリアルタイムで分類およびタグ付けすることができ、これにより手動タのグ付けおよび静的セグメンテーションの欠点を克服する。
【００２７】
現在の手法は、エンティティ（ポイントソリューション）の通信の一端しか見ることができず、これにより、通信の両端に基づいてセグメンテーションを実行することができない。さらに、現在の手法は、特定の環境（キャンパス、データセンタなど）ごとに手動で分類を行うことを必要とする。たとえば、ＩＰカメラがサーバと通信している場合、サーバ上のエージェントは、ＩＰカメラからのデータフロー（ビデオなど）のみを見るが、ＩＰカメラがデータを送信していることは分からない（たとえば、特にストリームが暗号化されている場合は、他のタイプのデータストリームとほとんど区別できない）。未知のデータストリームおよび通信へのセグメンテーションポリシーの適用は、誤って適用されたり、悪影響を及ぼしたり、セキュリティリスクが発生したりする可能性が高い。
【００２８】
実施形態のカテゴリ化能力により、データがＩＰカメラからサーバに送信されていることを知ることが可能であり、これにより、セグメンテーションポリシーをサーバおよびＩＰカメラの両方に適用することができる。たとえば、ＩＰカメラは、ＩＰカメラのカテゴリ化に基づくセグメンテーションの一部として、他のエンティティ（たとえば他のＩｏＴデバイス、またはインターネット）との通信を制限されることがある。別の例として、１以上のＭＲＩマシンは、ＭＲＩデータを記憶するサーバと通信することがあり、サーバとＭＲＩマシンとの間の接続の両端を確認できることで、サーバがＭＲＩサーバとしてカテゴリ分けされ、サーバおよびＭＲＩ装置の両端にセグメンテーションが動的に適用される。
【００２９】
実施形態は、ネットワーク（たとえば拡張エンタープライズネットワーク）に跨った任意のエンティティ、ユーザ、およびアプリケーションについて、リアルタイムでエンティティを動的にカテゴリ分けすることができる。動的かつ適応性のあるポリシーフレームワークと、ネットワーク上の各エンティティまたはデバイスの多くのフィンガープリントへのリアルタイムの見通しと、に基づいて、実施形態は、デバイスまたはエンティティをリアルタイムでタグ付けおよびセグメント化することができ、これにより正確かつ適応性のあるセグメンテーションポリシーの実装が容易となる。
【００３０】
いくつかの実施形態において、カテゴリ化エンジンは、動的であり、ネットワーク構成に基づく静的な手法に対して、リアルタイムでネットワークに適応する。実施形態は、キャンパス、ＩｏＴ、データセンタ、クラウド、およびオペレーショナルテクノロジー（ＯＴ）を含むがこれらに限定されない様々な環境における動的セグメンテーションをサポートする。様々な実施形態において、ネットワークアクセス制御（ＮＡＣ）デバイスは、ネットワーク全体のセグメンテーションを管理するための単一のポイントとして機能することができる。
【００３１】
実施形態は、ネットワーク上の各エンティティまたはデバイスに対するセグメンテーションタグを動的に決定し、エンフォースメントポイント（たとえばファイアウォール、ルータ、スイッチなど）ためのエンフォースメントアクション（たとえば、ルール、ＡＣＬなど）を決定し、それらのエンフォースメントアクションをエンフォースメントポイントに適用することができる。実施形態は、ネットワーク上のセグメンテーションを管理し、これにより、ファイアウォール、ルータ、スイッチなどを含むセグメンテーション製品の能率を改善する。
【００３２】
実施形態により行われるセグメンテーション管理の動的な性質は、適用するセグメンテーションを、ビジネスの変化、脅威、および脅威の状況の変化に適応させることを可能にする。たとえば、合併または買収のビジネス変更が発生した結果２つのネットワークが初めて通信可能に接続された場合、（たとえばインストールするエージェントを要することなく）各エンティティはカテゴリ分けされ、１以上のタグ、およびタグに基づくエンフォースメントアクションでアップデートされたエンフォースメントポイントによりタグ付けされる。
【００３３】
新しい脅威または脅威ランドスケープの変更により、セグメンテーションポリシーの変更が迅速に適用されてエンフォースメントポイントが更新されうる。たとえば、インターネット上のコマンド＆コントロールサーバと通信する侵害されたＩＰカメラを含む新しい脅威が見つかった場合、セグメンテーションポリシーがコマンド＆コントロールサーバのＩＰアドレスまたはドメイン名で更新されうる。そして、実施形態は、ＩＰカメラとしてタグ付けされたデバイスがコマンド＆コントロールサーバと通信することを止めるまたは防ぐために、ネットワーク上のエンフォースメントポイント（たとえば１以上のファイアウォール）を更新することができる。
【００３４】
したがって、ここでは、１以上のエンティティ特性に基づいてセグメンテーション管理を行うシステム、方法、技術、および関連技術が様々な実装で記載される。ここに記載されるように、エンティティ特性に基づいてエンフォースメントポイントの施行を構成するためには様々な技術が用いられうる。
【００３５】
記載された技術は、ネットワークセキュリティ、監視、およびポリシーの実施を含むがこれらに限定されず、複数の技術分野における特定の技術的課題および長年の欠陥に向けられ、対処することが認識できる。さらに、記載された技術は、参照された技術的課題と参照された技術分野における満たされていないニーズとに対する特定の技術的解決策を提供することが認識できる。
【００３６】
図１は、本開示の一実装にかかる例示的な通信ネットワーク１００を示す。通信ネットワーク１００は、ネットワーク監視デバイス１０２と、ネットワークデバイス１０４と、集約デバイス１０６と、システム１５０と、デバイス１２０および１３０と、ネットワーク接続デバイス１２２ａ〜ｂと、を含む。デバイス１２０および１３０とネットワーク接続デバイス１２２ａ〜ｂとは、コンピューティングシステム、ラップトップ、スマートフォン、サーバ、ＩｏＴまたはスマートデバイス、ＳＣＡＤＡ（ｓｕｐｅｒｖｉｓｏｒｙ  ｃｏｎｔｒｏｌ  ａｎｄ  ｄａｔａ  ａｃｑｕｉｓｉｔｉｏｎ）デバイス、ＯＴ（ｏｐｅｒａｔｉｏｎａｌ  ｔｅｃｈｎｏｌｏｇｙ）デバイス、キャンパスデバイス、データセンタデバイス、エッジデバイスなどを含むがこれらに限定されない様々なデバイスのうちのいずれかであればよい。通信ネットワーク１００のデバイスは、有線および無線接続を含む様々な方法で通信し、様々なプロトコルのうちの１以上を使用しうることに留意される。
【００３７】
ネットワークデバイス１０４は、集約デバイス１０６、システム１５０、ネットワーク監視デバイス１０２、デバイス１２０および１３０、およびネットワーク接続デバイス１２２ａ〜ｂの間の通信を容易化するように構成された１以上のネットワークデバイスであればよい。ネットワークデバイス１０４は、１以上のネットワークスイッチ、アクセスポイント、ルータ、ファイアウォール、ハブなどであればよい。
【００３８】
ネットワーク監視デバイス１０２は、ここに記載されるように、セグメンテーション管理を含む様々なタスクのために動作可能であればよい。セグメンテーション管理は、セグメンテーションポリシーに基づいていればよく、ネットワーク監視デバイス１０２は、セグメンテーションポリシーに基づいて（たとえば各エンティティに１以上のタグを割り当てることに基づいて）ネットワークのセグメンテーションを決定および実装する。ここに記載されているように、セグメンテーション管理は、（たとえばネットワークに通信可能に接続していることが検出されているデバイス、または定期的なスキャンの一部として選択されているデバイスに基づいて）エンティティを選択することと、エンティティの１以上の特性を決定することと、エンティティに１つ以上のタグを割り当てることと、他のタグに基づくセグメンテーションポリシーを実装するためにエンフォースメントアクションをエンフォースメントポイント（たとえばファイアウォール、ルータ、スイッチなど）に割り当てることと、を含んでいる。エンフォースメントアクションは、アプリケーションプログラミングインタフェース（ＡＰＩ）、コマンドラインインタフェース（ＣＬＩ）、簡易ネットワーク管理プロトコル（ＳＮＭＰ）インタフェース、またはそれらの組み合わせを用いてエンフォースメントポイントに割り当てまたは構成されうる。いくつかの実施形態において、セグメンテーション管理は、エンティティまたはデバイスにインストールされたエージェント無しで実行される。
【００３９】
さらに、ネットワーク監視デバイス１０２は、識別、分類、および１以上の修復アクション（たとえば、エンティティのネットワークアクセスの変更、仮想ローカルエリアネットワーク（ＶＬＡＮ）の変更、電子メールの送信、ショートメッセージサービス（ＳＭＳ）など）を含む様々な機能を実行しうる。ここに記載されるように、エンフォースメントポイントをどのように構成するかを決定するために順番に用いられるエンティティの識別、分類、またはそれらの組み合わせは、エンティティに関連付けられる１以上のタグを決定するために用いられうる。
【００４０】
エンフォースメントポイントは、ルータ、ファイアウォール、スイッチ、ハイパーバイザ、ソフトウェア定義ネットワーク（ＳＤＮ）コントローラ、仮想ファイアウォール、または、エンティティのＩＰに基づいて適用するＡＣＬのようなポリシーを有することがある他のネットワークデバイスまたはインフラストラクチャである。次世代ファイアウォールは、インターネットにアクセスするエンティティに関するポリシーのようなＡＣＬによりアップデータされうる。クラウドインフラストラクチャ（たとえばＡＷＳセキュリティグループなど）は、クラウドの外に宛先を持つエンティティのＩＰからパケットをドロップするためにアップデートされうる。これにより、３つの異なるエンフォースメントアクション（たとえば、ルータＡＣＬ、ＮＧＦＷ、およびクラウドインフラストラクチャセキュリティグループパケットフィルタリングＡＣＬ）は、３つの異なるエンフォースメントポイント（たとえばルータ、ＮＧＦＷ、およびクラウドインフラストラクチャ）に適用されうる。エンフォースメントアクションは、さまざまなネットワーク層の各層（たとえば、キャンパスエンフォースメントポイント、データセンタエンフォースメントポイント、クラウドエンフォースメントポイント）に適用されうる。
【００４１】
いくつかの実施形態において、（たとえば、エンティティに割り当てられた１以上のタグの変更をもたらし、その結果エンフォースメントポイントによるセグメンテーションの実施に影響を与える可能性がある）カテゴリ化機能がアップデートされている場合、通知は、（たとえば電子メールまたはここに記載されている他の方法を介して）送信されてもよいし、変化したカテゴリ化に基づいてエンフォースメントポイントがアップデートされる前に１以上のエンティティのカテゴリ化が変化していることを確認するために（たとえばグラフィカルユーザインタフェース（ＧＵＩ）を介して）ユーザに提示されてもよい。適合した後は、タグは変更されてもよい。
【００４２】
ネットワーク監視デバイス１０２は、コンピューティングシステム、ネットワークデバイス（たとえばルータ、ファイアウォール、アクセスポイント）、ネットワークアクセス制御（ＮＡＣ）デバイス、侵入防止システム（ＩＰＳ）、侵入検知システム（ＩＤＳ）、欺瞞デバイス、クラウドベースデバイス、仮想マシンベースシステムなどであればよい。ネットワーク監視デバイス１０２は、ネットワークデバイス１０４を介して流れるネットワークトラフィック（たとえばポートミラーリング、スニッフィング、プロキシとしての動作、パッシブモニタリングなど）を受信するような方法で、ネットワークデバイス１０４に通信可能に接続されうる。いくつかの実施形態において、ネットワーク監視デバイス１０２は、前述したデバイスのうちの１以上を含みうる。さらに、様々な実施形態において、ネットワーク監視デバイス１０２は、（たとえば１以上の冗長デバイスを介して）高可用性および災害復旧をサポートしうる。
【００４３】
いくつかの実施形態において、ネットワーク監視デバイス１０２は、様々なプロトコル（たとえば、Ｓａｍｂａ、ＨＴＴＰ（ｈｙｐｅｒ  ｔｅｘｔ  ｔｒａｎｓｆｅｒ  ｐｒｏｔｏｃｏｌ）、ＳＳＨ（ｓｅｃｕｒｅ  ｓｈｅｌｌ）、ＦＴＰ（ｆｉｌｅ  ｔｒａｎｓｆｅｒ  ｐｒｏｔｏｃｏｌ）、ＴＣＰ／ＩＰ（ｔｒａｎｓｆｅｒ  ｃｏｎｔｒｏｌ  ｐｒｏｔｏｃｏｌ／ｉｎｔｅｒｎｅｔ  ｐｒｏｔｏｃｏｌ）、ＵＤＰ（ｕｓｅｒ  ｄａｔａｇｒａｍ  ｐｒｏｔｏｃｏｌ）、Ｔｅｌｎｅｔ、ＨＴＴＰＳ（ＨＴＴＰ  ｏｖｅｒ  ＳＳＬ／ＴＬＳ（ｓｅｃｕｒｅ  ｓｏｃｋｅｔｓ  ｌａｙｅｒ／ｔｒａｎｓｐｏｒｔ  ｌａｙｅｒ  ｓｅｃｕｒｉｔｙ））、ＳＭＢ（ｓｅｒｖｅｒ  ｍｅｓｓａｇｅ  ｂｌｏｃｋ）、ＰＰＰ（ｐｏｉｎｔ−ｔｏ−ｐｏｉｎｔ  ｐｒｏｔｏｃｏｌ）、ＲＤＰ（ｒｅｍｏｔｅ  ｄｅｓｋｔｏｐ  ｐｒｏｔｏｃｏｌ）、ＷＭＩ（ｗｉｎｄｏｗｓ  ｍａｎａｇｅｍｅｎｔ  ｉｎｓｔｒｕｍｅｎｔａｔｉｏｎ）、ＷｉｎＲＭ（ｗｉｎｄｏｗｓ  ｒｅｍｏｔｅ  ｍａｎａｇｅｍｅｎｔ）など）を監視しうる。
【００４４】
ネットワーク監視デバイス１０２によるエンティティの監視は、ここでさらに説明するような、トラフィック解析と、外部またはリモートシステム（たとえばシステム１５０）からの情報と、集約デバイス（たとえば集約デバイス１０６）による通信（たとえばクエリ）と、エンティティ自体への（たとえばＡＰＩ、ＣＬＩ、またはウェブインタフェースを介した）クエリと、を含む１以上の情報の組み合わせに基づきうる。ネットワーク監視デバイス１０２は、集約デバイス１０６、デバイス１２０、デバイス１３０、またはシステム１５０と通信するための１以上のＡＰＩを用いて動作可能でありうる。ネットワーク監視デバイス１０２は、ＮＡＴデバイス（たとえばファイアウォール、ルータなど）を介してネットワークに通信可能に接続されたエンティティを動的に、定期的に、またはそれらの組み合わせで監視またはスキャンしうる。
【００４５】
さらに、１以上の外部またはサードパーティのシステム（たとえばシステム１５０）からの情報は、エンティティの１以上のタグを決定するために使用されうる。たとえば、脆弱性評価（ＶＡ）システムは、エンティティが準拠しているかどうかを検証またはチェックし、その情報をネットワーク監視デバイス１０２に提供するために照会されうる。外部またはサードパーティのシステムも、ソフトウェアバージョンを決定するためのエンティティのスキャンまたはチェックを実行するために使用されうる。
【００４６】
デバイス１３０は、エージェント１４０を含むことができる。エージェント１４０は、デバイス１３０に関連付けられた情報を収集し、その情報をネットワーク監視デバイス１０２に送信するように構成されたハードウェアコンポーネント、ソフトウェアコンポーネント、またはそれらのいくつかの組み合わせでありうる。情報は、オペレーティングシステム、バージョン、パッチレベル、ファームウェアバージョン、シリアル番号、ベンダ（たとえば製造業者など）、モデル、アセットタグ、エンティティ上で実行されるソフトウェア（たとえばウイルス対策ソフトウェア、マルウェア検出ソフトウェア、オフィスアプリケーション、ウェブブラウザ、通信アプリケーションなど）、エンティティ上でアクティブになっているまたは構成されているサービス、開放されているまたはエンティティが通信するように構成されている（たとえばエンティティで実行されているサービスに関連付けられている）ポート、ＭＡＣ（ｍｅｄｉａ  ａｃｃｅｓｓ  ｃｏｎｔｒｏｌ）アドレス、プロセッサ使用率、ユニーク識別子、コンピュータ名、アカウントアクセスアクティビティなどを含む。エージェント１４０は、デバイス１３０およびデバイス１３０からエージェント１４０が利用できる情報に基づく異なるレベルおよび断片の情報を提供するように構成されうる。エージェント１４０は、デバイス１３０に関連付けられた情報のログを格納することができる。ネットワーク監視デバイス１０２は、エージェント１４０からのエージェント情報を利用することができる。ネットワーク監視デバイス１０２は、エージェント１４０から情報を受信できることがあるが、多くのエンティティ、たとえばＩｏＴまたはスマートデバイス上でのエージェント１４０のインストールまたは実行は不可能なことがある。
【００４７】
システム１５０は、ネットワーク監視デバイス１０２からの１以上の外部、リモート、またはサードパーティシステムである（たとえば別々である）ことがあり、デバイス１２０および１３０とネットワーク接続デバイス１２２ａ〜ｂとについての情報を有することがある。システム１５０は、脆弱性評価（ＶＡ）システム、脅威検出（ＴＤ）システム、エンドポイント管理システム、モバイルデバイス管理（ＭＤＭ）システム、ファイアウォール（ＦＷ）システム、スイッチシステム、アクセスポイントシステムなどを含みうる。ここに記載されるように、ネットワーク監視デバイス１０２は、デバイス１２０および１３０とネットワーク接続デバイス１２２ａ〜ｂとについての情報を定期的に取得するためにシステム１５０と通信するように構成されうる。たとえば、システム１５０は、デバイス１２０がコンピュータウイルスまたは他の侵入の痕跡（ＩＯＣ）を有するかどうかを判定するように構成された脆弱性評価システムでありうる。
【００４８】
脆弱性評価（ＶＡ）システムは、エンティティの脆弱性を識別し、定量化し、優先順位を付ける（たとえばランク付けする）ように構成されうる。ＶＡシステムは、エンティティのアセットと機能またはリソースとをカタログ化し、定量化可能な値（または少なくともランク順）と重要性とをリソースに割り当て、各リソースの脆弱性または潜在的な脅威を特定できることがある。ＶＡシステムは、ネットワーク監視デバイス１０２用の前述した情報を提供しうる。
【００４９】
高度脅威検出（ＡＴＤ）または脅威検出（ＴＤ）システムは、他のセキュリティ制御が通過することを許可した通信を検査するように構成されうる。ＡＴＤシステムは、ソースレピュテーション、実行可能解析、および脅威レベルプロトコル解析を含むがこれらに限られるものではないエンティティに関する情報を提供しうる。したがって、ＡＴＤシステムは、疑わしいファイルがネットワーク監視デバイス１０２によって監視されているデバイスにダウンロードされたかどうかを報告しうる。
【００５０】
エンドポイント管理システムは、アンチウイルスシステム（たとえばサーバ、クラウドベースのシステムなど）、次世代アンチウイルス（ＮＧＡＶ）システム、ＥＤＲ（ｅｎｄｐｏｉｎｔ  ｄｅｔｅｃｔｉｏｎ  ａｎｄ  ｒｅｓｐｏｎｓｅ）ソフトウェアまたはシステム（たとえばエンドポイントシステムレベルの挙動およびイベントを記録するソフトウェア）、コンプライアンス監視ソフトウェア（たとえばコンプライアンスの頻繁なチェック）を含むことができる。
【００５１】
モバイルデバイス管理（ＭＤＭ）システムは、モバイルデバイス、たとえばスマートフォン、タブレットコンピュータ、ラップトップ、およびデスクトップコンピュータ、の管理のために構成されうる。ＭＤＭシステムは、オペレーティングシステム、アプリケーション（たとえば動作、存在、またはその両方）、データ、およびモバイルデバイスの構成設定およびアクティビティ監視を含むＭＤＭシステムによって管理されるモバイルデバイスについての情報を提供しうる。そして、ＭＤＭシステムは、ネットワーク監視デバイス１０２によるデバイス監視（たとえばデバイス通信を含む）に使用することが可能な詳細なモバイルデバイス情報の取得に用いられうる。
【００５２】
ファイアウォール（ＦＷ）システムは、（たとえばセキュリティルールに基づく）着信および発信のネットワークトラフィックを監視および制御するように構成されうる。ＦＷシステムは、セキュリティルールに違反する試み（たとえばセグメント間の許可されていないアカウントアクセス）と監視されているエンティティのネットワークトラフィックとを含む、監視されているエンティティについての情報を提供しうる。
【００５３】
スイッチまたはアクセスポイント（ＡＰ）システムは、ネットワークスイッチまたはアクセスポイント、たとえばネットワークへのエンティティアクセスを提供するように構成された無線アクセスポイントまたはその組み合わせを含む、様々なネットワークデバイス（たとえばネットワークデバイス１０４または集約デバイス１０６）のいずれかであればよい。たとえば、スイッチまたはＡＰシステムは、ＭＡＣアドレス情報、ＡＲＰ（ａｄｄｒｅｓｓ  ｒｅｓｏｌｕｔｉｏｎ  ｐｒｏｔｏｃｏｌ）テーブル情報、デバイス命名情報、トラフィックデータなどを、エンティティの監視および１以上のエンティティのネットワークアクセスの制御のために使用されることがあるたとえばネットワーク監視デバイス１０２に提供しうる。ここに記載されるように、スイッチまたはＡＰシステムは、ＩｏＴまたはスマートデバイス、またはその他のデバイス（たとえば、ＺｉｇＢｅｅ（登録商標）、Ｂｌｕｅｔｏｏｔｈ（登録商標）など）と通信するための１以上のインタフェースを有しうる。したがって、ＶＡシステム、ＡＴＤシステム、およびＦＷシステムは、エンティティのリスクレベルの判断に用いることが可能な、リアルタイムで監視されているエンティティの脆弱性、脅威、およびユーザ情報、を取得するためにアクセスされうる。
【００５４】
集約デバイス１０６は、ネットワーク接続デバイス１２２ａ〜ｂと通信し、ネットワーク接続デバイス１２２ａ〜ｂにネットワークアクセスを提供するように構成されうる。さらに、集約デバイス１０６は、ネットワーク接続デバイス１２２ａ〜ｂの周辺のネットワーク監視デバイス１０２に情報（たとえばオペレーティングシステム、エンティティソフトウェア情報、エンティティソフトウェアバージョン、エンティティ名、アプリケーションの存在、動作、またはその両方、脆弱性、パッチレベルなど）を提供するように構成されうる。集約デバイス１０６は、ブルートゥース（登録商標）と、Ｗｉ−Ｆｉ（登録商標）と、Ｚｉｇｂｅｅ（登録商標）と、ＲＦＩＤ（Ｒａｄｉｏ−ｆｒｅｑｕｅｎｃｙ  ｉｄｅｎｔｉｆｉｃａｔｉｏｎ）と、Ｌｉ−Ｆｉ（Ｌｉｇｈｔ  Ｆｉｄｅｌｉｔｙ）と、Ｚ−Ｗａｖｅと、Ｔｈｒｅａｄと、ＬＴＥ（Ｌｏｎｇ  Ｔｅｒｍ  Ｅｖｏｌｕｔｉｏｎ）と、Ｗｉ−Ｆｉ（登録商標）  Ｈａｌｏｗと、ＨｏｍｅＰｌｕｇと、ＭｏＣＡ（Ｍｕｌｔｉｍｅｄｉａ  ｏｖｅｒ  Ｃｏａｘ  Ａｌｌｉａｎｃｅ）と、イーサネットと、を含むがこれらに限られない複数の技術標準またはプロトコルを介して多種多様なデバイスと通信するように構成された無線アクセスポイントでありうる。たとえば、集約デバイス１０６は、イーサネット接続を介してネットワークデバイス１０４に接続されうるとともに無線接続を介してネットワーク接続デバイス１２２ａ〜ｂに接続されうる。集約デバイス１０６は、独自に拡張または変更された標準プロトコルを用いてネットワーク接続デバイス１２２ａ〜ｂと通信するように構成されうる。
【００５５】
さらに、集約デバイス１０６は、ネットワーク接続デバイス１２２ａ〜ｂのアクティビティおよびプロパティのログ情報をネットワーク監視デバイス１０２に提供しうる。ログ情報は、（たとえばデバイスの種類がネットワーク上で頻繁には変化しない）安定したネットワーク環境にとって特に信頼できることが分かる。ログ情報は、ネットワーク接続デバイス１２２ａ〜ｂのソフトウェアのアップデートの情報を含みうる。
【００５６】
図２は、本開示の一実装にかかる例示的なネットワークトポロジを示す。図２は、ネットワーク監視デバイス２８０（たとえば、ネットワーク監視デバイス１０２）がセグメンテーション管理を処理し、エンティティの１以上の特性に基づいて１以上のタグを割り当て、セグメンテーションポリシーを実施するためのエンフォースメントポイントにエンフォースメントアクションを割り当てることができる様々なアドレス構成を有する例示ネットワーク２００を示す。図２は、例示ネットワークデバイス２０２〜２３０を示しており、図２のネットワークデバイスの代わりにより多くのまたはより少ないネットワークデバイスまたは他のエンティティを使用できると分かる。たとえば、ファイアウォール２０２〜２０６は、トラフィックに通過、パケットのドロップ、またはトラフィックの制限を許可するように動作可能な任意のエンティティでありうる。ネットワーク監視デバイス２８０は、様々なネットワークデバイス、たとえば、ルータ、ファイアウォール、アクセスポイント、ネットワークアクセス制御（ＮＡＣ）デバイス、侵入防止システム（ＩＰＳ）、侵入検知システム（ＩＤＳ）、欺瞞デバイス、クラウドベースのデバイス、仮想マシンベースのシステムなどのうちいずれかでありうる。ネットワーク監視デバイス２８０は、実質的に同様のネットワーク監視デバイス１０２でありうる。実施形態は、ＩＰｖ４、ＩＰｖ６、および他のアドレス指定スキームをサポートする。
【００５７】
スイッチ２１０は、ファイアウォール２０２〜２０６およびネットワーク監視デバイス２８０を含むネットワーク２００のデバイスを通信可能に接続する。ファイアウォール２０２〜２０６は、ネットワークアドレス変換（ＮＡＴ）を実行することがあり、ファイアウォール２０２〜２０４は、ファイアウォールの後ろにあるデバイス２２０〜２３０を通信可能に接続する。ファイアウォール２０６は、ネットワーク２００をインターネット２５０に通信可能に接続し、ファイアウォール２０６は、ファイアウォール２０６上に構成された特定の規則またはＡＣＬに基づいて、インターネット２５０へのアクセスを制限または許可することができる。
【００５８】
ここに記載されるように、ネットワーク監視デバイス２８０は、ネットワーク２００上のエンティティ（たとえばデバイス２２０〜２３０）またはその組み合わせの特性を識別、分類、決定するように構成される。ネットワーク監視デバイス２８０は、デバイス２２０〜２３０の特性に基づいて１以上タグを決定するように構成される。タグは、コンプライアンスタグ（たとえばエンティティがポリシーに準拠しているかどうか）、ファイアウォールタグ（たとえばエンティティのどのリソースまたはエリアがファイアウォールに基づいて通信を許可されているか）、ロケーションタグ（たとえば場所、一例として5階、または、部門、一例として経理部門）、アクセス制御リスト（ＡＣＬ）タグ（たとえばエンティティのどのリソースまたは領域が通信を許可されているか）、部門タグ、ユーザタグ（たとえばどのユーザがエンティティにログインしているか）、またはアカウントタグ（たとえばどのアカウントがエンティティに関連付けられているか）を含みうる。
【００５９】
タグに基づいて、ネットワーク監視デバイス２８０は、エンティティに対して決定されたタグに基づくゾーンを決定するように動作可能である。たとえば、デバイス２３０が経理部門タグ、カリフォルニアオフィスタグ、２階タグ、無線タグ、ラボ環境タグを有する場合、ゾーンは、ワイヤレスカリフォルニアオフィスラボゾーンでありうる。
【００６０】
ゾーンに基づいて、ネットワーク監視デバイス２８０は、決定されたゾーンに関連付けられたエンフォースメントポイントを決定するように動作可能である。たとえば、デバイス２３０が経理部門のデバイスである場合、スイッチ２０１とファイアウォール２０６および２０２とは、デバイス２２０に対して決定されたゾーンに関連付けられたエンフォースメントポイントであると決定されうる。
【００６１】
ここに記載されるように、ネットワーク監視デバイス２８０は、ネットワーク２００のデバイスのスキャンに基づいて、ファイアウォール２０４〜２０６にエンフォースメントアクションをさらに設定することができる。ネットワーク監視デバイス２８０は、エンフォースメントポイントに基づいて、エンフォースメントアクションをエンフォースメントポイントに割り当てることができる。上記の例を参照すると、ＮＧＦＷ構成アクションは、ＨＴＴＰポートのみを用いてインターネットにアクセスすることをデバイス２３０に許可するためにファイアウォール２０６に割り当てられうる。ファイアウォール２０２およびスイッチ２１０は、他のアカウンティングリソース（たとえばファイル共有、電子メールサーバ、アプリケーションサーバなど）にアクセスすることをデバイス２３０に許可するために、エンフォースメントアクション（たとえばＡＣＬ）を割り当てられうる。
【００６２】
別の例として、デバイス２２０がアプリケーションサーバであり、デバイス２３０がエンジニアリング部門のデスクトップマシンである場合、ネットワークデバイスモニタ２８０は、（たとえば、デバイス２２０〜２３０のいずれにもエージェント無しで）デバイス間のエンドツーエンド通信に基づくデバイス２２０〜２３０の特性を決定することができる。ネットワークデバイスモニタ２８０は、デバイス２２０が（たとえばパケットの解析およびデバイス２２０の挙動に基づいて）コラボレーションアプリケーションを実行するサーバであり、デバイス２３０がサーバデバイス２２０のクライアントであると判定することができる。そして、ネットワーク監視デバイス２８０は、デバイス２２０に対してサーバタグ、コラボレーションアプリケーションタグを決定しうる。そして、ネットワー監視デバイス２８０は、サーバタグおよびコラボレーションアプリケーションタグに基づくデバイス２２０とデバイス２３０との間の通信を可能にするために、エンフォースとメントアクションをファイアウォール２０２〜２０４に割り当てうる。さらに、ネットワーク監視デバイス２８０は、デバイス２２０がインターネット２５０と通信するのを防ぐために、ファイアウォール２０６にエンフォースメントアクションを割り当てうる。
【００６３】
ネットワーク監視デバイス２８０は、クライアントタグ、コラボレーションクライアントタグをデバイス２３０に対して決定しうる。そして、ネットワーク監視デバイス２８０は、クライアントタグおよびクライアントコラボレーションタグに基づくデバイス２２０とデバイス２３０との間の通信を可能にするために、ファイアウォール２０２〜２０４にエンフォースメントアクションを割り当てうる。さらに、ネットワーク監視デバイス２８０は、デバイス２３０がインターネット２５０と通信するのを防ぐために、ファイアウォール２０６にエンフォースメントアクションを割り当てうる。
【００６４】
図３を参照して、フローチャート３００は、様々な実施形態によって使用される例示的な機能を示す。特定の機能ブロック（「ブロック」）がフローチャート３００に開示されているが、このようなブロックは例である。すなわち、実施形態は、フローチャート３００に列挙されたブロックの他の様々なブロックまたは変形を実行するのに非常に適している。フローチャート３００のブロックは、提示されたものとは異なる順序で実行されることがあり、フローチャート３００のすべてのブロックが実行されるわけではないことは明白である。
【００６５】
図３は、本開示の一実装にかかる動的セグメンテーションのための方法の態様のフロー図を示す。フローチャート３００の様々な部分は、エンティティ（たとえばネットワーク監視デバイス１０２）の異なるコンポーネント（たとえばシステム４００のコンポーネント）によって実行されうる。フローチャート３００は、エンティティを選択し、セグメンテーションポリシーをエンティティに動的に適用するための処理を示している。
【００６６】
ブロック３０２において、ネットワークに通信可能に接続されたエンティティが選択される。エンティティは、ネットワークの定期的なスキャン（たとえばネットワーク監視デバイス１０２によるネットワーク１００のスキャン）の一部として選択されうる。また、エンティティは、ネットワークの連続的、リアルタイム、またはそれらの組み合わせのスキャンの一部として選択されうる。
【００６７】
ブロック３０４において、ネットワークに通信可能に接続されているエンティティが検出される。エンティティは、ネットワークに通信可能に接続されている（たとえばネットワークデバイス１０４に通信可能に結合されている）ときに検出されうる。ネットワークに接続されたエンティティの検出は、ネットワークに再接続または再許可されることに応じてエンティティを検出することを含みうる。
【００６８】
ブロック３０６において、エンティティの１以上の特性が決定される。１以上の特性は、エンティティから、環境から、ネットワークデバイス（たとえば１以上のスイッチ、ルータ、ファイアウォールなど）、および他のシステム（たとえばシステム１５０）を含むネットワーク（たとえばネットワーク１００）に通信可能に接続された他のデバイスまたはリソースを含む様々なソースから収集またはアクセスされうる。ここに記載されるように、１以上の特性は、フィンガープリント、エンティティの挙動などに基づきうる分類、識別、カテゴリ化、またはそれらの組み合わせを含みうる。実施形態は、エンティティの１以上の特性をエージェントなしで決定することができ、これにより、エージェントを持たないまたはサポートしないエンティティに対して、また、エージェントをサポートするエンティティにエージェントをインストールする必要なしに、エンティティの特性を迅速に決定することができる。エージェント。いくつかの実施形態では、１以上の特性がリアルタイムで決定される。
【００６９】
ブロック３０８において、ポリシーは、エンティティの１以上の特性に基づいてアクセスされる。１以上のポリシーがアクセスされてもよいし、エンティティの１以上の特性に基づいて適用する１以上のポリシーのいずれかがアクセスされてもよい。たとえば、ポリシーは、エンティティの特定のオペレーティングシステムに特化したポリシーがアクセスされるように、エンティティのオペレーティングシステムに基づいてアクセスされうる。
【００７０】
ブロック３１０において、エンティティの１以上のタグが決定される。ここに記載されるように、タグは、エンティティの特性に基づいて決定される。いくつかの実施形態において、ポリシーエンジンは、エンティティに割り当てられる１以上のタグを決定するために、エンティティに関連付けられたプロパティまたは特性の各々を評価する。ポリシーは、エンティティに対して１以上のタグを継続的かつリアルタイムで決定するために用いられる。たとえば、コンプライアンスタグは、ポリシーで指定されているウイルス対策スキャンに基づいて決定されうる。
【００７１】
ブロック３１２において、エンティティのゾーンまたはセグメントは、タグに基づいて（オプション的に）決定される。エンティティのゾーンは、セグメンテーションポリシーの一部として特定のエンティティに関連付けられたセキュリティ権限または制限に関連付けられている。たとえば、アカウンティングサーバは、アカウンティングサーバに記憶された機密データが原因でインターネットにアクセスできないことを示す非インターネットゾーンにあると決定されうる。
【００７２】
ブロック３１４において、エンティティに関連付けられた１以上のエンフォースメントポイントが決定される。エンフォースメントポイントは、エンティティに関連付けられたゾーン、エンティティに関連付けられた１以上のタグ、またはそれらの組み合わせに基づいて決定されうる。エンフォースメントポイントは、ネットワークに通信可能に接続されたエンティティと他の１以上のエンティティとの間の通信およびネットワークトラフィックを制御（たとえば許可または拒否）するためのルール、ＡＣＬなどを施行することが可能な１以上のネットワークデバイス（たとえばファイアウォール、ルータ、スイッチ、ハイパーバイザ、ＳＤＮコントローラ、仮想ファイアウォールなど）であればよい。
【００７３】
ブロック３１６において、エンフォースメントアクションは、エンティティに割り当てられたタグに基づいてエンフォースメントポイントに割り当てられる。エンフォースメントアクションは、セグメンテーションポリシー、たとえばエンフォースメントポイントを超えた通信の防止、使用されうるポートまたはプロトコルの制限など、に基づいて決定されうる。実施形態は、エンフォースメントポイントへのエンフォースメントアクションの割り当て、設定、またはそれらのエンフォースメントポイントへのエンフォースメントアクションの割り当てまたは設定のための組み合わせのために、アプリケーションプログラミングインタフェース（ＡＰＩ）またはコマンドラインインタフェース（ＣＬＩ）、シンプルネットワークマネジメントプロトコル（ＳＮＭＰ）インタフェースなどを使用しうる。
【００７４】
たとえば、エンティティが３階のＷｉｎｄｏｗｓ（登録商標）デバイスである場合、デバイスは、３階タグでタグ付けされ、３階のエンフォースメントポイントは、３階のデバイス（たとえば３階のサーバ、プリンタ、ピアデバイスなど）が使用可能なリソースと通信することを許可するように（たとえばＡＣＬにより）構成され、ＮＧＦＷは、デバイスがデータセンタにアクセスすることを許可するように構成される。コンプライアンスタグは、デバイスがコンプライアンスポリシー（たとえばアンチウイルス定義が最新である、デバイスにマルウェアが存在しない、オペレーティングシステムおよびアプリケーションパッチが適用または更新されているなど）に準拠している限り、適用されうる。デバイスが非準拠であることが判明した場合、たとえば、アンチウイルススキャンに失敗した後には、非従順アンチウイルスタグがデバイスに適用されることがあり、これは、エンフォースメントポイントに、アンチウイルス定義またはアップデートサーバと通信したり、サーバとの通信を実質的に制限したりすることをデバイスに許可することだけをさせることになる。
【００７５】
したがって、実施形態は、異種の施行方法をサポートし、エンティティに適用される複数のタグに基づく異なるエンフォースメントアクションまたはエンフォースメントアクションの置換を可能にする。すなわち、複数のエンフォースメントポイントを用いてタグごとに異なるエンフォースメントアクションが適用されうる。したがって、実施形態は、特定のエンティティにセグメンテーションを動的に適用するために多種多様に異なるエンフォースメントポイント（たとえば異なるベンダからの異なるセグメンテーション製品）を用いることができる。さらに、実施形態は、エンティティの通信に適用される複数の異なるアクションを並行してサポートする。
【００７６】
そして、ブロック３０２は、ネットワーク上のエンティティを動的にセグメント化するために、ネットワークの連続的、リアルタイム、またはそれらの組み合わせの監視の一部として行われうる。また、ブロック３０４は、エンティティがネットワークに通信可能に接続される（たとえば新しいデバイスおよび戻るデバイス）ごとに行われうる。
【００７７】
図４は、様々な実施形態により用いられる例示的な構成要素を示す。特定の構成要素がシステム４００に開示されているが、そのような構成要素は例であることを理解すべきである。すなわち、実施形態は、システム４００に列挙された様々な他の構成要素または構成要素の変形を有するのに非常に適している。システム４００の構成要素が提示されたもの以外の構成要素とともに動作してもよいこと、およびシステム４００の目標を達成するためにシステム４００の構成要素の全てが必要とされるわけではないことは、明白である。
【００７８】
図４は、本開示の一実装にかかる動的セグメンテーションのためのシステムの例示的な構成要素を示す。例示的なシステム４００は、ネットワーク通信インタフェース４０２、外部システムインタフェース４０４と、トラフィック監視部４０６と、トラフィック解析部４０８と、特性決定部４１０と、セグメンテーションポリシー決定部４１２と、ネットワークセッション情報解析部４１０と、スキャン部４１２と、表示部４１４と、通知部４１６と、ポリシー部４１８と、セグメンテーションポリシー決定部４２０と、タグ部４２２と、ゾーン部４２４と、エンフォースメントポイント部４２６と、エンフォースメントアクション部４２８と、を含む。システム４００の構成要素は、計算機システムまたはその他の電子デバイス（たとえばネットワーク監視デバイス１０２）または仮想マシンでありうるし、ネットワークに通信可能に接続された１以上のエンティティを監視するように動作可能でありうる。たとえば、システム４００は、システム４００の機能を実行するかまたはシステム４００の構成要素を実行しうるメモリおよびメモリに動作可能に接続された処理デバイスをさらに含みうる。システム４００の構成要素は、１つのエンティティ（たとえばネットワーク通信情報など）に関連付けられた様々なデータおよび特性と１以上のエンティティに関連付けられたデータとにアクセスしうる。システム４００のモジュール性が、コンポーネントに独立であることを可能にするとともに、個々のコンポーネントを有効または無効にしたり他のコンポーネントに影響を与えることなくコンポーネントを拡張／アップグレードしたりする柔軟性を可能にし、これによりスケーラビリティおよび拡張性を提供できることは、明白である。システム４００は、フロー図３００の１以上のブロックを実行することができる。
【００７９】
ここに記載されるように、通信インタフェース４０２は、システム４００に接続されたネットワークに接続された１以上のエンティティ（たとえばネットワークデバイス１０４）と通信し、エンティティに関する情報（たとえばエンティティ通信、エンティティ特性など）を受信するように動作可能である。ここに記載されるように、通信インタフェース４０２は、１以上のタグの決定およびタグまたは１以上のエンフォースメントポイントに基づくアクションの割り当てを可能にするようにエンティティに関する特性へのアクセスを開始するために１以上のコンポーネントと連携するように動作可能であり得る。
【００８０】
外部システムインタフェース４０４は、エンティティに関する特性を含む情報にアクセスするために１以上のサードパーティ、リモート、または外部システムと通信するように動作可能である。また、外部システムインタフェース４０４は、アクセスされた情報をデータストアに格納しうる。たとえば、外部システムインタフェース４０４は、１以上のコンプライアンスタグがエンティティに関連付けられることを可能にするために脆弱性評価（ＶＡ）システムからの情報にアクセスしうる。外部システムインタフェース４０４は、脆弱性評価（ＶＡ）システム、高度脅威検出（ＡＴＤ）システム、モバイルデバイス管理（ＭＤＭ）システム、ファイアウォール（ＦＷ）システム、スイッチシステム、アクセスポイント（ＡＰ）システムなどと通信するように動作可能でありうる。外部システムインタフェース４０４は、ＡＰＩまたはＣＬＩを用いてサードパーティシステムに問い合わせを行いうる。たとえば、外部システムインタフェース４０４は、エンティティに関する情報（たとえばネットワークセッション情報）、またはファイアウォールおよびそれに関連する通信に通信可能に接続されたエンティティのリストについてファイアウォールに問い合わせを行いうる。いくつかの実施形態において、外部システムインタフェース４０４は、エンティティに関連付けられた通信の情報についてファイアウォールまたは他のシステムに問い合わせを行いうる。
【００８１】
ここに記載されるように、トラフィック監視部４０６は、新しいエンティティがネットワークに参加したかまたはエンティティがネットワークに再参加したかを決定するためにネットワークトラフィックを監視するとともにトラフィック解析部４０８による解析のためにトラフィックを監視するように動作可能である。トラフィック解析部４０８は、エンティティとの間のネットワークトラフィックの解析を（たとえばリアルタイムで、機械学習などにより）実行し、これにより、エンティティのエンドツーエンド通信の解析を提供するように構成される。トラフィック解析部４０８は、ネットワークトラフィックのパケットに（たとえば受動的に）アクセスし、ネットワークトラフィックを解析するように動作可能なパケットエンジンを有しうる。トラフィック解析部４０８は、能動的または受動的なトラフィック解析またはそれらの組み合わせを実行するように構成されうる。また、トラフィック解析部４０８は、１以上のエンティティ（たとえば、ネットワークデバイス１０４、システム１５０、または集約デバイス１０６）または監視されているエンティティからのトラフィックログにアクセスし、解析することが可能である。また、トラフィック解析部４０８は、たとえばトラフィック解析がサードパーティシステムによって実行される場合、監視されているエンティティに関連付けられたトラフィック解析データにアクセスすることが可能である。
【００８２】
ここに記載されるように、特性決定部４１０は、エンティティの１以上の特性を決定するように構成される。そして、エンティティ特性は、セグメンテーション管理を実行するために保存されるとともに他のコンポーネントで使用されうる。ここに記載されるように、セグメンテーション決定ポリシー部４２０は、エンティティの１以上の特性に基づいてセグメンテーションポリシーを決定または選択するように構成される。
【００８３】
ここに記載されるように、表示部４１４は、エンティティおよびセグメンテーションに関連付けられた様々な情報を示すためのグラフィカルユーザインタフェースまたは他のインタフェース（たとえばコマンドラインインタフェース）をオプション的に表示するように構成される。いくつかの実施形態において、表示部４１４は、（たとえばエンティティの分類が変更され、セグメンテーションが変更されうる場合に、）エンティティ、エンティティに関連付けられたタグ、および他のセグメンテーション情報のネットワークグラフを表示またはレンダリングしうる。
【００８４】
ここに記載されるように、通知部４１６は、（たとえばエンティティが関連付けられたセグメントを変更するエンティティの分類変更があった場合、）１以上のエンティティの通信または特性の監視およびセグメンテーションの実行の結果に基づいて、１以上の通知を開始するように動作可能である。いくつかの実施形態では、エンティティが準拠していないことをコンプライアンスタグが示すかまたはコンプライアンスタグが削除された場合、エンティティがもはや準拠していないことを示す通知が送信されうる。ここに記載されるように、通知は、様々な通知、たとえばＩＴチケット、電子メール、ＳＭＳ、ＨＴＴＰ通知などのいずれかでありうる。
【００８５】
ポリシー部４１８は、ここに記載されるように、１以上の修復アクションまたはセキュリティアクションを開始またはトリガーするように動作可能である。また、ポリシー部４１８は、ここに記載されるように、コンプライアンスステータスのチェック、開いているポートの検索などを含む他の機能を実行するように構成されうる。ポリシー部４１８は、ここに記載されるように、ネットワークアクセスを制限したり、パッチシステムまたはサービスに信号を送ったり、アップデートシステムまたはサービスに信号を送ったりなどを行いうる。したがって、ポリシー部４１８は、とりわけ、自動的にパッチを当てることと、自動的に更新することと、（たとえば古いソフトウェアを有する）エンティティのネットワークアクセスを自動的に制限することと、を実施しうる。
【００８６】
アクションは、ネットワークアクセスを特定のレベルに制限すること（たとえば完全、制限付き、またはネットワークアクセスなし）と、修復アクション（たとえばパッチシステムまたはサービスのトリガー、アップデートシステムまたはサービスのトリガー、サードパーティ製品アクションのトリガーなど）と、情報アクション（たとえばユーザまたはＩＴ管理者に電子メール通知の送信、またはコンプライアンスのレベルを反映するＩＴチケットの作成）と、記録アクション（たとえばコンプライアンスレベルの記録または保存）と、を含みうる。
【００８７】
ここに記載されるように、タグ部４２２は、エンティティの１以上の特性に基づいてエンティティに割り当てるべき１以上のタグを決定し、１以上のタグをエンティティに割り当てるように構成される。ここに記載されるように、ゾーン部４２４は、エンティティに割り当てられた１以上のタグに基づいてゾーンを決定するように構成される。ここに記載されるように、エンフォースメントポイント部４２６は、エンティティのゾーンに関連付けられた１以上のエンフォースメントポイント（たとえばネットワークデバイス）を決定するように構成される。ここに記載されるように、エンフォースメントアクション部４２８は、エンティティに関連付けられたゾーンに基づいて、１以上のエンフォースメントポイントに１以上のエンフォースメントアクションを割り当てるように構成される。
【００８８】
システム４００は、処理デバイスによって実行された場合に処理デバイスにネットワークに通信可能に結合されたエンティティを選択させるとともにエンティティの１以上の特性を決定させる符号化されたインストラクションを有する非一時的なコンピュータで読み取り可能な媒体に格納されたソフトウェアでありうる。さらに、インストラクションは、処理デバイスにエンティティの１以上の特性に基づいてセグメンテーションポリシーを選択させるとともにセグメンテーションポリシーに基づいてエンティティに割り当てる１以上のタグを決定させうる。さらに、インストラクションは、処理デバイスにエンティティに関連付けられた１以上のエンフォースメントポイントを決定させるとともにエンティティに関連付けられたゾーンに基づいて１以上のエンフォースメントポイントに１以上のエンフォースメントアクションを割り当てさせうる。
【００８９】
いくつかの実施形態において、エンティティの１以上の特性は、エージェントを用いることなく決定される。様々な実施形態において、１以上のエンフォースメントポイントは、ファイアウォール、ルータ、スイッチ、クラウドインフラストラクチャの一部、ハイパーバイザ、ＳＤＮコントローラ、または仮想ファイアウォールのうちの少なくとも１つを含む。いくつかの実施形態において、１以上のタグは、コンプライアンスタグ、ロケーションタグ、部門タグ、ユーザタグ、またはアカウントタグのうちの少なくとも１つを含む。様々な実施形態において、エンティティに関連付けられたゾーンに基づく１以上のエンフォースメントポイントへの１以上のエンフォースメントアクションの割り当ては、１以上のエンフォースメントポイントの各々の１以上のエンフォースメントアクションを設定することを含む。いくつかの実施形態において、エンフォースメントアクションは、アプリケーションプログラミングインタフェース（ＡＰＩ）、コマンドラインインタフェース（ＣＬＩ）、または簡易ネットワーク管理プロトコル（ＳＮＭＰ）インタフェースのうちの少なくとも１つを用いて構成される。様々な実施形態において、１以上のタグのうちの１つのタグは、対応するエンフォースメントアクションに関連付けられる。いくつかの実施形態において、エンティティの１以上の特性の決定は、エンティティの分類またはエンティティの識別のうちの少なくとも１つを決定することを含む。様々な実施形態において、エンティティの１以上の特性の決定は、エンティティの通信の少なくとも通信元および通信先に基づく。いくつかの実施形態において、インストラクションは、さらに、処理デバイスに、１以上のタグに基づいてエンティティのゾーンを決定させうる。
【００９０】
図５は、ここで論じられる１以上の方法のいずれかを機会に実行させるためのインストラクションのセットが実行されうるコンピュータシステム５００の例示的な形態におけるマシンの概略図を示す。代替の実施形態において、マシンは、ローカルエリアネットワーク（ＬＡＮ）、イントラネット、エクストラネット、またはインターネットにおいて他のマシンに接続（たとえばネットワーク化）されうる。マシンは、クライアント−サーバネットワーク環境ではサーバまたはクライアントマシンの役割で動作しうるし、ピアツーピア（または分散）ネットワーク環境ではピアマシンとして動作しうる。マシンは、パーソナルコンピュータ（ＰＣ）、タブレットＰＣ、セットトップボックス（ＳＴＢ）、携帯情報端末（ＰＦＡ）、携帯電話、ｗｅｂ機器、サーバ、ネットワークルータ、スイッチまたはブリッジ、ハブ、アクセスポイント、ネットワークアクセス制御デバイス、または、マシンにより行われるアクションを指定するインストラクション（シーケンシャルまたはその他）のセットを実行可能な任意のマシンでありうる。さらに、単一のマシンのみが示されているが、「マシン」という用語は、ここで論じられる方法のうちいずれか１以上を実行するためのインストラクションの１つのセット（または複数のセット）を個別にまたは共同で実行するマシンの任意の集合を含むと解釈すべきである。ここに記載されるように、一実施形態において、コンピュータシステム５００は、セグメンテーション管理を行うためのセグメンテーションマネージャ１４０を実行するネットワーク監視デバイス１０２のようなサーバの典型でありうる。
【００９１】
例示的なコンピュータシステム５００は、処理デバイス５０２と、メインメモリ５０４（たとえばＲＯＭ（ｒｅａｄ−ｏｎｌｙ  ｍｅｍｏｒｙ）、フラッシュメモリ、ＤＲＡＭ（ｄｙｎａｍｉｃ  ｒａｎｄｏｍ  ａｃｃｅｓｓ  ｍｅｍｏｒｙ）、静的メモリ５０６（たとえばフラッシュメモリ、ＳＲＡＭ（ｓｔａｔｉｃ  ｒａｎｄｏｍ  ａｃｃｅｓｓ  ｍｅｍｏｒｙ）など）と、およびデータ記憶デバイス５１８と、を含み、これらはバス５３０を介して互いに通信する。ここに記載される様々なバスを介して提供される任意の信号は、他の信号と時間多重化され、１以上の共通バスを介して提供されうる。さらに、回路部またはブロック間の相互接続は、バスまたは単一の信号線として示されうる。バスの各々は、代替的に１以上の単一の信号線でありうるし、単一の信号線の各々は、代替的にバスでありうる。
【００９２】
処理デバイス５０２は、マイクロプロセッサ、中央処理装置などのような１以上の汎用処理デバイスを示す。より具体的に、処理デバイスは、ＣＩＳＣ（ｃｏｍｐｌｅｘ  ｉｎｓｔｒｕｃｔｉｏｎ  ｓｅｔ  ｃｏｍｐｕｔｉｎｇ）マイクロプロセッサ、ＲＩＳＣ（ｒｅｄｕｃｅｄ  ｉｎｓｔｒｕｃｔｉｏｎ  ｓｅｔ  ｃｏｍｐｕｔｅｒ）マイクロプロセッサ、ＶＬＩＷ（ｖｅｒｙ  ｌｏｎｇ  ｉｎｓｔｒｕｃｔｉｏｎ  ｗｏｒｄ）マイクロプロセッサ、または他のインストラクションセットを実施するプロセッサ、またはインストラクションセットの組み合わせを実施するプロセッサでありうる。また、処理デバイス５０２は、特定用途向け集積回路（ＡＳＩＣ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、デジタル信号プロセッサ（ＤＳＰ）、ネットワークプロセッサなどのような１以上の特殊用途の処理デバイスでありうる。処理デバイス５０２は、ここで論じられる動作およびステップを実行するための図５に示されるセグメンテーションマネージャ５４０の一例でありうる処理ロジック５２６を実行するように構成される。
【００９３】
データ記憶デバイス５１８は、処理デバイス５０２にセグメンテーションマネージャ５４０を実行させるインストラクションを含む、ここに記載された機能の方法のうちいずれか１以上を具体化するインストラクション５２２（たとえば、ソフトウェア）の１以上のセットが記憶された、マシンで読み取り可能な記憶媒体５２８を含みうる。また、インストラクション５２２は、コンピュータシステム５００による実行中にメインメモリ５０４内または処理デバイス５０２内に完全にまたは少なくとも部分的に存在し、メインメモリ５０４および処理デバイス５０２も、マシンで読み取り可能な記憶媒体を構成する。さらに、インストラクション５２２は、ネットワークインタフェースデバイス５０８によりネットワーク５２０を介して送信または受信されうる。
【００９４】
また、ここに記載されるように、マシンで読み取り可能な記憶媒体５２８は、セグメンテーションを管理するための方法を実行するインストラクションを記憶するために使用されうる。マシンで読み取り可能な記憶媒体５２８は、例示的な実施形態では単一の媒体であることが示されているが、「マシンで読み取り可能な記憶媒体」という用語は、インストラクションの１以上のセットを記憶する単一の媒体または複数の媒体（たとえば集中型または分散型のデータベース、または関連キャッシュおよびサーバ）を含みうる。マシンで読み取り可能な媒体は、マシン（たとえばコンピュータ）によって読み取り可能な形式（たとえばソフトウェア、処理アプリケーション）で情報を記憶するための任意のメカニズムを含む。マシンで読み取り可能な媒体は、磁気記憶媒体（たとえばフロッピーディスク）を含みうるが、これには限定されず、光記憶媒体（たとえばＣＤ−ＲＯＭ）、光磁気記憶媒体、ＲＯＭ（ｒｅａｄ  ｏｎｌｙ  ｍｅｍｏｒｙ）、ＲＡＭ（ｒａｎｄｏｍ  ａｃｃｅｓｓ  ｍｅｍｏｒｙ）、消去可能なプログラマブルメモリ（たとえばＥＰＲＯＭおよびＥＥＰＲＯＭ）、フラッシュメモリ、または電子命令を保存するのに適した別のタイプの媒体を含みうる。
【００９５】
上記の説明は、本開示のいくつかの実施形態の十分な理解を提供するために、特定のシステム、構成要素、方法などの例といった多数の特定の詳細を示している。しかしながら、本開示の少なくともいくつかの実施形態がそれらの特定の詳細なしで実施されうることは、当業者にとって明らかであろう。他の例では、本開示を不必要に曖昧にすることを回避するために、周知の構成要素または方法が詳細に説明されていないか、または単純なブロック図形式で提示されている。したがって、記載された特定の詳細は単なる例示である。特定の実施形態は、これらの例示的な詳細とは異なる場合があり、それでも本開示の範囲内であると考えられる。
【００９６】
この明細書全体を通して「一実施形態」または「実施形態」への言及は、少なくとも１つの実施形態に含まれる実施形態に関連して記載される特定の特徴、構造、または特性を意味する。したがって、この明細書全体の様々な場所での「一実施形態において」または「実施形態において」というフレームの出現は、必ずしもすべてが同じ実施形態を指すとは限らない。さらに、「または」という用語は、排他的な「または」ではなく、包括的な「または」を意味することを意図している。
【００９７】
また、いくつかの実施形態は、マシンで読み取り可能な媒体が記憶される、および／または複数のコンピュータシステムにより実行される分散コンピューティング環境において実施されうる。さらに、コンピュータシステム間で転送される情報は、コンピュータシステムを接続する通信媒体を介してプルまたはプッシュされうる。
【００９８】
請求された主題の実施形態は、ここに記載された様々な動作が含まれるが、これらに限定されない。これらの動作は、ハードウェアコンポーネント、ソフトウェア、ファームウェア、またはそれらの組み合わせによって実行されうる。
【００９９】
ここに記載の方法の動作は、特定の順序で示されるとともに説明されているが、各方法の動作の順序は、特定の動作が逆の順序で実行されうるか、または特定の動作が少なくとも部分的には他の動作と同時に実行されうるように変更されうる。別の実施形態において、別個の動作のインストラクションまたはサブ動作は、断続的または交互の態様でありうる。
【０１００】
要約書に記載されているものを含む、本発明の例示された実装の上記説明は、網羅的であること、または本発明を開示された正確な形態に限定することを意図するものではない。本発明の特定の実装およびその例は、例示の目的でここに記載されているが、関連技術の当業者が認識するように、本発明の範囲内で様々な同等の変形が可能である。ここでは、「例」または「例示」という用語は、例、インスタンス、または例示として機能することを意味するために使用される。「例」または「例示」としてここに記載された任意の態様または設計は、必ずしも他の態様または設計よりも好ましいまたは有利であると解釈されるべきではない。むしろ、「例」または「例示」という言葉の使用は、本概念を具体的に提示することを意図している。本出願で使用される場合、「または」という用語は、排他的な「または」ではなく、包括的な「または」を意味することを意図している。つまり、特に明記されていない限り、または文脈から明らかでない限り、「ＸはＡまたはＢを含む」は、任意の自然な包括的順列を意味することを意図している。つまり、ＸがＡを含む、ＸがＢを含む、またはＸがＡおよびＢの両方を含む場合、「ＸはＡまたはＢを含む」は、これらいずれかの場合のもとで成立する。さらに、本出願で使用される「ａ」および「ａｎ」という冠詞および添付の特許請求の範囲は、特に明記しない限り、または文脈から明確に単数形とされない限り、一般に「１以上」を意味すると解釈されるべきである。さらに、全体を通して「実施形態」または「一実施形態」または「実装」または「一実装」という用語の使用は、そのように説明されない限り、同じ実施形態または実装を意味することを意図していない。さらに、ここで使用される「第１」、「第２」、「第３」、「第４」などという用語は、異なる要素を区別するためのラベルであり、それらの数値の指定に従って必ずしも序数的な意味を有するとは限らない。
【図１】
2021529489.tif 000003
【図２】
2021529489.tif 000004
【図３】
2021529489.tif 000005
【図４】
2021529489.tif 000006
【図５】
2021529489.tif 000007
【国際調査報告】
2021529489.tif 000008
2021529489.tif 000009
2021529489.tif 000010