(57)【要約】      （修正有）【課題】プラットフォーム脆弱性を評価する組み込み機構を提供する。【解決手段】脆弱性スキャニングは、ネットワークの管理プラットフォーム上の実行コンテイナにおいて実行される。これにより、それ自体が攻撃の対象となり得るホスト・オペレーティング・システム上で実行する外部ネットワーク又はエージェントを用いることなく局所で、プラットフォーム上で脆弱性スキャニングを行うことが可能になる。一実施例によれば、スタンドアロン・ホストが、管理プラットフォームにおける組み込みハードウェア管理エンジン（ME）を用いて脆弱性スキャニングを実行する一方、第２の実施例では、管理プラットフォームの管理区画が、仮想マシンの脆弱性スキャニングを実行する。【選択図】図２
2008165794.tif 000002
【特許請求の範囲】
【請求項１】
方法であって、
管理プラットフォームの管理構成部分によって、前記管理プラットフォームの少なくとも１つのホスト構成部分を、ネットワークの管理コンソールのセキュリティ・ポリシーに関する前記少なくとも１つのホスト構成部分の脆弱性についてスキャンする工程であって、前記スキャンは、前記少なくとも１つのホスト構成部分を前記管理コンソールがスキャンするネットワーク・ベースのやり方と同様なネットワーク的なやり方で行われる工程と、
前記管理構成部分によって前記管理コンソールに対して、前記少なくとも１つのホスト構成部分の潜在的な脆弱性に対処する工程とを備える方法。
【請求項２】
請求項１記載の方法であって、前記管理プラットフォームの少なくとも１つのホスト構成部分をスキャンする工程が、ファイアウォール内のマルウェア攻撃、ウィルス、ワーム及びオープン・ポートのうちの少なくとも１つを求めてスキャンする工程を備える方法。
【請求項３】
請求項１記載の方法であって、前記管理プラットフォームの少なくとも１つのホスト構成部分をスキャンする工程は、前記少なくとも１つのホスト構成部分を含む装置とは別個の装置に組み込まれた管理構成部分によってスキャンする工程を備える方法。
【請求項４】
請求項１記載の方法であって、前記管理プラットフォームの少なくとも１つのホスト構成部分をスキャンする工程は、前記少なくとも１つのホスト構成部分を含む装置内にあり、前記少なくとも１つのホスト構成部分とは区切られた管理構成部分によってスキャンする工程を備える方法。
【請求項５】
請求項１記載の方法であって、前記少なくとも１つのホスト構成部分の潜在的な脆弱性に対処する工程は、前記管理コンソールに警告を送出する工程、及び、前記少なくとも１つのホスト構成部分との間のトラフィックを制限するようハードウェア・パケット・フィルタをインストールする工程のうちの少なくとも１つを備える方法。
【請求項６】
管理装置であって、
少なくとも１つのホスト構成部分と、
ネットワークの管理コンソールのセキュリティ・ポリシーに関する脆弱性について前記少なくとも１つのホスト構成部分をスキャンするよう構成された脆弱性スキャナを含む管理構成部分と、
通信するよう前記少なくとも１つのホスト構成部分及び管理構成部分を結合して、脆弱性について前記少なくとも１つのホスト構成部分を前記管理コンソールがスキャンするネットワーク・ベースのやり方と同様なネットワーク的なやり方で前記管理構成部分が前記スキャンを行うことを可能にするための１つ又は複数のネットワーク的な通信構成部分とを備える管理装置。
【請求項７】
請求項６記載の管理装置であって、前記脆弱性スキャナは、ファイアウォール内のマルウェア攻撃、ウィルス、ワーム、及びオープン・ポートの少なくとも１つについてスキャンするよう構成される管理装置。
【請求項８】
請求項６記載の管理装置であって、前記少なくとも１つのホスト構成部分が動作する第１の装置と、前記管理構成部分が組み込まれた、前記第１の装置とは別個の第２の装置とを更に備える管理装置。
【請求項９】
請求項６記載の管理装置であって、前記少なくとも１つのホスト構成部分及び前記管理構成部分が第１の区画及び第２の区画それぞれにおいて動作する装置を更に備える管理装置。
【請求項１０】
請求項８記載の管理装置であって、通信するよう前記管理構成部分を前記管理コンソールに結合する専用ネットワーク・インタフェースを更に備える管理装置。
【請求項１１】
請求項１０記載の管理装置であって、別のネットワーク・インタフェースを更に備え、前記専用インタフェース及び前記別のネットワーク・インタフェースが、帯域外ネットワーク・インタフェース及び帯域内ネットワーク・インタフェースそれぞれとして動作する管理装置。
【請求項１２】
請求項９記載の管理装置であって、前記少なくとも１つのホスト構成部分及び前記管理構成部分によって共有されるネットワーク・インタフェースを更に備え、前記ネットワーク・インタフェースは、通信するよう前記管理構成部分を前記管理コンソールに結合する管理装置。
【請求項１３】
請求項６記載の管理装置であって、前記管理構成部分は、前記管理コンソールに警告を送出する機能、及び、前記少なくとも１つのホスト構成部分との間のトラフィックを制限するようハードウェア・パケット・フィルタをインストールする機能の少なくとも１つを行うよう適合させた管理装置。
【請求項１４】
製造物品であって、
記憶媒体と、
管理プラットフォームのプロセッサによって実行されると前記プロセッサに、
前記管理プラットフォームの少なくとも１つのホスト構成部分を、ネットワークの管理コンソールのセキュリティ・ポリシーに関する前記少なくとも１つのホスト構成部分の脆弱性についてスキャンする機能であって、前記スキャンは、前記少なくとも１つのホスト構成部分を前記管理コンソールがスキャンするネットワーク・ベースのやり方と同様なネットワーク的なやり方で行われる機能と、
前記少なくとも１つのホスト構成部分の潜在的な脆弱性に対処する機能と
を行わせる製造物品。
【請求項１５】
請求項14記載の製造物品であって、前記管理プラットフォームの少なくとも１つのホスト構成部分をスキャンする機能が、ファイアウォール内のマルウェア攻撃、ウィルス、ワーム及びオープン・ポートのうちの少なくとも１つを求めてスキャンする機能を備える製造物品。
【請求項１６】
請求項14記載の製造物品であって、前記プロセッサが、前記少なくとも１つのホスト構成部分とは別個の装置に組み込まれた製造物品。
【請求項１７】
請求項１４の製造物品であって、前記プロセッサは、前記少なくとも１つのホスト構成部分を含み、前記少なくとも１つのホスト構成部分とは区切られた装置にある製造物品。
【請求項１８】
請求項14記載の製造物品であって、前記少なくとも１つのホスト構成部分の潜在的な脆弱性に対処する機能は、前記管理コンソールに警告を送出する機能、及び、前記少なくとも１つのホスト構成部分との間のトラフィックを制限するようハードウェア・パケット・フィルタをインストールする機能のうちの少なくとも１つを備える製造物品。
【請求項１９】
管理システムであって、
少なくとも１つのホスト構成部分の１つ又は複数の潜在的脆弱性に対応するコンテンツを記憶するよう構成されたダイナミック・ランダム・アクセス・メモリ（DRAM）であって、前記１つ又は複数の潜在的脆弱性はネットワークの管理コンソールのセキュリティ・ポリシーに関するDRAMと、
前記少なくとも１つのホスト構成部分と、前記１つ又は複数の潜在的脆弱性に関する脆弱性について前記少なくとも１つのホスト構成部分をスキャンする脆弱性スキャナを含む管理構成部分と、
脆弱性について前記少なくとも１つのホスト構成部分を前記管理コンソールがスキャンするネットワーク・ベースのやり方と同様なネットワーク的やり方で前記スキャンを前記管理構成部分が行うことを可能にするよう前記少なくとも１つのホスト構成部分及び前記管理構成部分を、通信するよう結合するための１つ又は複数のネットワーク的な通信構成部分とを備える管理システム。
【請求項２０】
請求項19記載の管理システムであって、前記１つ又は複数の潜在的脆弱性は、ファイアウォール内のマルウェア攻撃、ウィルス、ワーム、及びオープン・ポートの少なくとも１つを含む管理システム。
【請求項２１】
請求項19記載の管理システムであって、前記少なくとも１つのホスト構成部分が動作する第１の装置と、前記管理構成部分が組み込まれた、前記第１の装置とは別個の第２の装置とを更に備える管理システム。
【請求項２２】
請求項19記載の管理システムであって、前記少なくとも１つのホスト構成部分及び前記管理構成部分が第１の区画及び第２の区画それぞれにおいて動作する装置を更に備える管理システム。
【請求項２３】
請求項19記載の管理システムであって、通信するよう前記管理構成部分を前記管理コンソールに結合するための専用ネットワーク・インタフェースを更に備える管理システム。
【請求項２４】
請求項23記載の管理システムであって、別のネットワーク・インタフェースを更に備え、前記専用ネットワーク・インタフェース及び前記別のネットワーク・インタフェースが帯域外ネットワーク・インタフェース及び帯域内ネットワーク・インタフェースとして動作する管理システム。
【請求項２５】
請求項19記載の管理システムであって、前記少なくとも１つのホスト構成部分及び前記管理構成部分によって共有されたネットワーク・インタフェースを更に備え、前記ネットワーク・インタフェースは、通信するよう前記管理構成部分を前記管理コンソールに結合する管理システム。
【請求項２６】
請求項19記載の管理システムであって、前記管理コンソールに警告を送出する機能、及び、前記ホスト構成部分との間のトラフィックを制限するようハードウェア・パケット・フィルタをインストールする機能の少なくとも１つを行うよう適合させた管理システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明の実施例は、コンピュータ・セキュリティの分野に関し、特に、プラットフォーム脆弱性を評価する組み込み機構に関する。
【背景技術】
【０００２】
一層多くの企業（例えば、金融機関など）にとって、コンプライアンス管理は、企業内のプラットフォームの全般管理の主要構成部分である。例えば、よく知られた一金融機関では、そのネットワーク・トラフィック全体の３０％が、コンプライアンス・データ用マシンのポーリングに関すると推定される。各プラットフォームが情報技術（IT）ポリシーに準拠しており、前述のポリシーがタンパリングされていないことを確実にするよう多くの構成部分が協調することにコンプライアンス管理は関係する。
【発明の開示】
【発明が解決しようとする課題】
【０００３】
コンプライアンス・スキャニングの中で、ネットワーキング集約的な構成要素の１つとして、既知の脆弱性についてのマシンのスキャンがある。ポート・スキャニングが関係し得るので、これはネットワーク集約的であり得る。
【課題を解決するための手段】
【０００４】
本発明の実施例は、プラットフォーム脆弱性評価の組み込み機構を提供する。
【０００５】
本発明の種々の実施例によれば、脆弱性スキャニングは、ネットワークの管理プラットフォーム上の実行コンテイナにおいて実行される。これにより、それ自体が攻撃の対象となり得るホスト・オペレーティング・システム上で実行する外部ネットワーク又はエージェントを用いることなく局所で、プラットフォーム上で脆弱性スキャニングを行うことが可能になる。一実施例によれば、スタンドアロン・ホストが、管理プラットフォームにおける組み込みハードウェア管理エンジン（ME）を用いて脆弱性スキャニングを実行する一方、第２の実施例では、管理プラットフォームの管理区画が、仮想マシンの脆弱性スキャニングを実行する。
【発明を実施するための最良の形態】
【０００６】
本発明の実施例は、添付図面に関する以下の詳細な説明によって容易に理解されるであろう。この説明を容易にするために、同じ参照符号は、同じ構成要素を表す。本発明の実施例は添付図面において限定ではなく、例として示す。
【実施例】
【０００７】
以下の詳細な説明では、本願の一部を構成する添付図面を参照する。添付図面では、同じ符号は図を通して、同じ部分を表し、本発明を実施することができる例証的な実施例によって示す。本発明の範囲から逸脱しない限り、その他の実施例を利用することができ、構造的又は論理的変更を行うことができる。したがって、以下の詳細な説明は限定的な意味合いで解されないこととし、本発明による実施例の範囲は、特許請求の範囲、及びその均等の範囲によって規定される。
【０００８】
本発明の実施例の理解に有用であり得るやり方で、複数の別個の動作として種々の動作を順次説明することができる。しかし、説明の順序は、前述の動作が順序に依存することを示唆しているものと解されるべきでない。
【０００９】
本発明の目的で、「A／B」の句はA又はBを意味する。本発明の目的で、「A及び／又はB」は、「（A）、（B）、又は（A及びB）」を意味する。本発明の目的で、「A、B及びCの少なくとも１つ」の句は、「（A)、（B）、（C）、（A及びB）、（A及びC）、（B及びC）、又は（A、B及びC））を意味する。本発明の目的で、句「（A）B」は「（B)又は（AB））、すなわち、Aが任意の要素であることを意味する。
【００１０】
本明細書は、同じ実施例又は別々の実施例の１つ若しくは複数をそれぞれが表し得る「in  an  embodiment」又は「in  embodiments」の句を用いることができる。更に、本発明の実施例に関して使用の「comprising」、「including」、「having」等の語は同義である。
【００１１】
図１は、本発明の種々の実施例による、脆弱性スキャナを含み得るコンピュータ・システム１００を略示する。本明細書及び特許請求の範囲で明らかになるように、システム１００の少なくとも一部分は、本発明の種々の実施例による、ネットワーク内の、脆弱性スキャナを含む管理プラットフォームを構成することができる。
【００１２】
システム１００は、実行オペレーティング・システム（OS）１０８のドメインであり得る実行環境１０４を有し得る。OS１０８は、管理モジュール１１６による管理の対象である実行環境１０４内の他の構成部分（ソフトウェア構成部分１１２など）の通常の動作を実行し、制御するよう構成された構成部分であり得る。管理モジュール１１６は、ハードウェア資源（１つ又は複数のプロセッサ１２０、ネットワーク・インタフェース・コントローラ１２４、記憶装置１２８、及び／メモリ１３２など）への通常の構成部分アクセスを調停することができる。
【００１３】
特定の実施例では、構成部分１１２は、スーパーバイザリレベル構成部分（例えば、カーネル構成部分）であり得る。種々の実施例では、カーネル構成部分は、サービス（例えば、ローダ、スケジューラ、メモリ・マネージャ等）、拡張／ドライバ（例えば、ネットワーク・カード用、ユニバーサル・シリアル・バス（USB）インタフェース用、ディスク・ドライブ用等）、又は、サービスドライバ・ハイブリッド（例えば、コードの実行を監視するための侵入検知器）であり得る。
【００１４】
プロセッサ１２０は、システム１００の構成部分のプログラミング命令を実行することができる。プロセッサ１２０は、単一及び／又は複数コア・プロセッサ、コントローラ、特定用途向集積回路（ＡＳＩＣ）等であり得る。
【００１５】
一実施例では、記憶装置１２８は、システム１００の構成部分の実行に用いる対象の永続的なコンテンツ（限定でないが例えば、オペレーティング・システム、プログラム・ファイル、構成ファイル等など）を記憶するための不揮発性記憶装置を表し得る。一実施例では、記憶装置１２８は、構成部分１１２のソース・コンテンツの永続的な記憶装置を表し得る記憶コンテンツ１３６を含み得る。ソース・コンテンツの永続的な記憶装置は例えば、実行可能なファイル及び／又はコード・セグメント、他のルーティンとのリンク（例えば、ダイナミック・リンク・ライブラリ（DLL）へのコール）、データ・セグメント等を有し得る実行可能なコード記憶装置を含み得る。
【００１６】
種々の実施例では、記憶装置１２８は、一体化された記憶装置及び／又は周辺記憶装置（限定ではないが、例えば、ディスク及び関連ドライブ（例えば、磁気、光）、ユニバーサル・シリアル・バス（USB）記憶装置及び関連ポート、フラッシュ・メモリ、ROM、不揮発性半導体デバイス等）を含み得る。
【００１７】
種々の実施例では、記憶装置１２８は、システム１００の物理的な部分である記憶資源であり得るか、又は、必ずしもそうでなくてよいが、システム１００の一部によってアクセス可能であり得る。例えば、記憶装置１２８は、ネットワーク・インタフェース・コントローラ１２４によってネットワーク１４０を介してシステム１００によってアクセスすることができる。更に、複数のシステム１００が、動作するようネットワーク１４０を介して互いに結合され得る。
【００１８】
ロード要求（例えば、OS１０８のロード・エージェントから）によって、管理モジュール１１６及び／又はOS１０８は、実行環境１０４における構成部分１１２の動作のためのアクティブ・コンテンツ１４４として記憶装置１２８からの記憶コンテンツ１３６をメモリ１３２にロードすることができる。
【００１９】
種々の実施例では、メモリ１３２は、システム１００上の構成部分の動作のためにアクティブ・コンテンツを供給するための揮発性記憶装置であり得る。種々の実施例では、メモリ１３２は、RAM、ダイナミックRAM(DRAM)、スタティックRAM（SRAM）、シンクロナスDRAM(SDRAM)、デュアルデータ・レートRAM（DDRRAM）等を含み得る。
【００２０】
特定の実施例では、メモリ１３２は、中に記憶されたコンテンツをいくつかのメモリ位置群に編成することができる。前述の編成群（固定サイズ及び／又は可変サイズであり得る）は、仮想メモリ管理を容易にすることができる。メモリ位置群は、ページ、セグメント又はそれらの組み合わせであり得る。
【００２１】
本明細書及び特許請求の範囲記載の「構成部分」の語は、所望の結果を得るために用いることができるプログラミング・ロジック及び関連データを表すことを意図している。構成部分の語は、「モジュール」若しくは「エージェント」と同義であり得るものであり、ハードウェア若しくはファームウェアで実施することができるか、又は、プログラミング言語（例えば、C++、インテル・アーキテクチャ32ビット(IA-32)実行可能コード等など）で記述されたソフトウェア命令収集物（場合によっては、入口点及び出口点を有する）で実施することができるプログラミング・ロジックを表すことができる。
【００２２】
ソフトウェア構成部分は、実行可能なプログラムにコンパイルし、リンクするか、若しくはダイナミック・リンク・ライブラリにインストールすることができるか、又は、BASICなどのインタープリタ言語で記述することができる。ソフトウェア構成部分は、他の構成部分からか、又はそれ自体からコール可能であり得るものであり、かつ／又は、検出されたイベント若しくは割り込みに応じて呼び出し得る。アクセスされると、本発明の実施例の構成部分に関して記載した動作又は実行をマシンに行わせることができるマシン・アクセス可能な媒体にソフトウェア命令を設けることができる。マシン・アクセス可能な媒体は、ファームウェア（例えば、電気的消去可能プログラマブル・リードオンリ・メモリ（EEPROM））やその他の記録可能な媒体／記録可能でない媒体（例えば、リードオンリ・メモリ（ROM）、ランダム・アクセス・メモリ（RAM）、磁気ディスク記憶装置、光ディスク記憶装置等）であり得る。ハードウェア構成部分は、接続されたロジック装置（ゲートやフリップフロップなど）、及び／又は、プログラム可能な装置（プログラム可能なゲート・アレイやプロセッサなど）を含み得る。特定の実施例では、本明細書及び特許請求の範囲記載の構成部分は、ソフトウェア・モジュールとして実現されるが、しかし、ハードウェア又はファームウェアで表すことができる。更に、ソフトウェア／ハードウェアの特定数の個別の構成部分のみを例証及び／又は説明し得るが、しかし、前述の構成部分は、本発明の実施例の趣旨及び範囲から逸脱しない限り、より多くの構成部分、又はより少ない構成部分によって表すことができる。
【００２３】
本発明の実施例では、製造物品を用いて本明細書及び特許請求の範囲記載の１つ又は複数の方法を実現することができる。例えば、例示的な実施例では、記憶媒体と、記憶媒体に記憶され、１つ又は複数のユーザ選好を修正するために１つ又は複数の位置制約をプロキシ・サーバに装置が要求することを可能にするよう装置をプログラムするよう適合させた複数のプログラミング命令とを備え得る。前述の実施例のうちの種々の実施例では、プログラミング命令は、１つ又は複数のユーザ選好を修正して、１つ又は複数のユーザ選好を１つ又は複数の位置制約の対象とするよう適合させることができる。種々の実施例では、製造物品を用いて、本明細書及び特許請求の範囲記載の１つ又は複数の方法を１つ又は複数のクライアント装置において実現することができる。種々の実施例では、プログラミング命令はブラウザを実現するよう適合させることができ、前述の実施例のうちの種々の実施例では、ネットワーク・アクセスに関する情報をユーザが表示することを可能にするようブラウザを適合させることができる。例示的な実施例では、クライアント装置上にブラウザを実現するようプログラミング命令を適合させることができる。
【００２４】
図２を参照するに、本発明の種々の実施例によれば、管理プラットフォーム２００は、ホスト構成部分２０２と、管理エンジンとしての役目を担う管理構成部分２０４とを含む。ホスト構成部分は、管理プラットフォームにオペレーティング・システムを提供する。ホスト構成部分は、ネットワーク・インタフェース・カード（NIC）ドライバ２０６、２０８（ネットワーク・スタック２１０には通常のネットワーク・インタフェースにみえる）を介して、通信するよう組み込み管理構成部分に結合することができる。ネットワークの管理コンソール２１２は、NICドライバ２１４を介して、通信するよう管理構成部分に結合することができる。NICドライバは、専用であっても、ホスト構成部分と共有（２１４A）であってもよい。
【００２５】
当該技術分野において知られているように、ホスト構成部分は一般に、ポートを介して、ドライバ206、214aが、通信するよう結合されたファイアウォール２１６を含む。本発明の種々の実施例によれば、管理構成部分は脆弱性スキャナ２１８を含む。ドライバ２０８、２１４は、通信するようネットワーク・スタック２１０に結合される。
【００２６】
種々の実施例によれば、ＮＩＣは、帯域外（ＯＯＢ）ネットワーク・インタフェースである。種々の実施例によれば、管理コンソールは、管理構成部分のＯＯＢネットワーク・インタフェースを介して脆弱性スキャナを構成し、制御する。
【００２７】
ホスト構成部分２０２の脆弱性は、適切なパッチ又はファイアウォール構成がないこと、及び、マルウェア攻撃（２２０で示す）の結果によって生じ得る。よって、動作中、管理コンソール２１２は、ネットワークの種々のセキュリティ・ルール及びセキュリティ・ポリシーによって脆弱性スキャナ２１８を構成する。更に、脆弱性スキャナは、特定の周期的間隔でスキャンを実行するよう構成される。例として、ワームやその他のマルウェアが、ホスト構成部分を侵す。ワームによって、ファイアウォール・ルールが改変されて、ホスト構成部分に対する攻撃の間接方法が可能になり、かつ／又は、管理プラットフォーム内若しくはネットワーク内での他のホスト構成部分へのワームの伝搬が可能になる。脆弱性スキャナは、周期的に脆弱性スキャンを実行し、ファイアウォールにおけるオープン・ポートを検出する。管理構成部分は、それ自体で、又は脆弱性スキャナによって、管理コンソールのポリシー及びルールに応じて応答する。このことは例えば、管理コンソールへの警告の送出及び／又はホストとの間のトラフィックを制限するためのハードウェア・パケット・フィルタのインストールを含み得る。
【００２８】
図３を参照するに、本発明の種々の実施例によれば、管理プラットフォーム３００は、１つ又は複数の仮想マシン（VM）３０２として機能する１つ又は複数の区画を含み得る。種々の実施例によれば、少なくとも１つの管理区画３０４が含まれる。よって、種々の実施例によれば、仮想マシン３０２はホスト構成部分に対応し、管理区画３０４は管理構成部分に対応する。
【００２９】
種々の実施例によれば、オペレーティング・システムとしての役目を担う仮想マシン３０２は、ファイアウォール３１０を介して、通信するようネットワークに結合された仮想NICドライバ３０６を含む。種々の実施例によれば、管理区画３０４は仮想NICドライバ３１４を含む。仮想NICドライバ３０６、３１４は仮想スイッチ３１６を介して互いに、通信するよう結合される。当該技術分野において知られているように、管理プラットフォーム内の種々の仮想マシンはオペレーティング・システムとしての役目を担い得るものであり、仮想スイッチ３１６は、通信するよう仮想マシン及び管理区画を結合するために用いることができる。
【００３０】
種々の実施例によれば、NICドライバ３１８は、ネットワークのネットワーク・スタック３０８及び管理コンソール３２０に、通信するよう結合される。本発明の種々の実施例によれば、管理区画３０４は脆弱性スキャナ３１２を含む。管理区画３０４は、必要に応じて種々の機能の他の構成部分を含めるよう構成してもよく構成しなくてもよい。管理コンソールは、セキュリティ・ルール及びセキュリティ・ポリシーによって脆弱性スキャナ３１２を構成する。管理コンソールは更に、目標仮想マシン・インターネット・プロトコル（IP）アドレスによって脆弱性スキャナを構成する。脆弱性スキャナは、特定の周期的間隔で仮想マシン３０２のスキャンを実行するよう構成される。種々の実施例によれば、脆弱性スキャナは、管理プラットフォーム３００の他の仮想マシン（図示せず）をスキャンするよう構成することができる。 
ワームやその他のマルウェア３２２が仮想マシンを侵すと、ワームは通常、ファイアウォール・ルールを改変して、ホストに対する攻撃の間接方法を可能にし、かつ／又は、管理プラットフォーム内及び／若しくはネットワーク内での他のホストへ伝搬する。脆弱性スキャナは、周期的に脆弱性スキャンを実行し、ファイアウォール内のオープン・ポートを検出する。管理区画はそれ自身で、又は脆弱性スキャナによって、検出されたオープン・ポートにポリシーに応じて応答する。前述のポリシーは例えば、管理コンソールへの警告の送出、仮想マシンのトラフィックを制限する旨の、管理区画への指示、及び／又は、仮想マシンとの間のトラフィックを制限するためのハードウェア・パケット・フィルタのインストールを含み得る。
【００３１】
種々の実施例によれば、管理区画３０４は、管理区画、又は仮想マシン・マネージャ自身の制御区画（例えば、Xenハイパバイザのドメイン0）におけるコードによって実現することができる。図３の例示的な実施例における構成は、スキャンする対象のホスト構成部分（ゲストOS）を含む仮想マシンが、少なくとも１つのネットワークにアクセスするために仮想マシン・マネージャ（図示せず）の内蔵仮想スイッチ機能を用いることができる。前述のトポロジは、共有NIC、及びプライベート仮想イーサネット（登録商標）LANをサポートする。 
よって、ホスト構成部分の脆弱性は、脆弱性についてホスト構成部分を管理コンソールがスキャンするネットワーク・ベースのやり方と同様に、ネットワーク的なやり方で、管理プラットフォーム上で共同使用される管理構成部分によってスキャンすることができる。  
好ましい実施例の説明の目的で本明細書及び特許請求の範囲において、特定の実施例を例証し、説明してきたが、本発明の範囲から逸脱しない限り、同様な目的を達成するよう企図された広範囲にわたる別の、及び／又は同等の実施例若しくは実現形態を、図示し、説明した実施例と置き換えることができることを当業者は認識するであろう。本発明による実施例を非常に広い範囲のやり方で実現することができることを当業者は容易に認識するであろう。本願は、本明細書及び特許請求の範囲記載の実施例の何れかの適合又は変形を包含することを意図している。よって、本発明による実施例が特許請求の範囲記載の請求項と、その均等物とによってのみ限定されるということを明示的に意図している。
【図面の簡単な説明】
【００３２】
【図１】本発明の種々の実施例による、脆弱性スキャナを用いることができるコンピュータ・システムを略示した図である。
【図２】本発明の種々の実施例による例示的な管理プラットフォームを略示した図である。
【図３】本発明の種々の実施例による例示的な管理プラットフォームを略示した図である。
【符号の説明】
【００３３】
２００  管理プラットフォーム
２０２  ホスト構成部分
２０４  管理構成部分
２１２  管理コンソール
２１６  ファイアウォール
２１８  脆弱性スキャナ
２２０  マルウェア
【図１】
2008165794.tif 000003
【図２】
2008165794.tif 000004
【図３】
2008165794.tif 000005