(57)【特許請求の範囲】
【請求項１】
ネットワークのネットワーク管理部にて、装置を該ネットワークに接続する要求を受信すること；
前記ネットワークのネットワークアクセス制御部にて、前記装置の前記接続に関してセキュリティポリシーを受信した場合に、受信したセキュリティポリシーを前記装置に適用すること；
前記ネットワークアクセス制御部にて、前記装置の前記接続に関してセキュリティポリシーを受信しなかった場合に：
前記ネットワークアクセス制御部が：
前記装置が企業ドメインの内部にあるか否かを判断し、否である場合に、非企業のセキュリティポリシーを設定し、
前記装置が前記企業ドメインの内部にある場合に、前記装置がネットワークアクセス制御ドメインの内部にあるか否かを判断し、前記装置がネットワークアクセス制御ドメインの内部にない場合に、非ネットワークアクセス制御（非ＮＡＣ）環境のセキュリティポリシーを設定し、前記装置がネットワークアクセス制御ドメインの内部にある場合に、企業ホスト違反のセキュリティポリシーを設定する、
ように、前記装置のドメインを判断して、判断したドメインに基づいて前記装置の前記接続に関してセキュリティポリシーを確立し、且つ
確立されたセキュリティポリシーを前記装置に適用すること；及び
前記装置に適用された前記セキュリティポリシーに少なくとも部分的に基づいて、前記装置を前記ネットワークに接続する要求を承認するか否かを決定すること；
を含むネットワークアクセス制御方法。
【請求項２】
前記ネットワークがネットワークアドレスの静的な割り当てを提供する場合、前記装置のネットワークアドレスを抽出することを更に含む、請求項１記載の方法。
【請求項３】
前記装置のドメインを判断することは、前記ネットワークアドレスの要素を、事前に設定されたアドレスの要素のリストと比較することを含む、請求項２記載の方法。
【請求項４】
前記ネットワークがネットワークアドレスの動的な割り当てを提供する場合、前記装置からの応答が受信されたか否かを判断することを更に含む、請求項１記載の方法。
【請求項５】
前記応答は、ＤＨＣＰ（Ｄｙｎａｍｉｃ  Ｈｏｓｔ  Ｃｏｎｆｉｇｕｒａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ）の応答を有する、請求項４記載の方法。
【請求項６】
前記装置からの応答が受信された場合、前記装置が企業ドメインの内部にあるか否かを判断することは、ドメイン情報を前記応答から抽出することを含む、請求項４記載の方法。
【請求項７】
前記装置がネットワークアクセス制御ドメインの内部にあるか否かを判断することは、設定されたプロトコルオプションを前記応答に適用することを含む、請求項６記載の方法。
【請求項８】
エージェント・プレゼンス機能が利用可能であり、前記装置のドメインを判断することは、ネットワークアクセス制御エージェントが存在しているか否かを判断することを含む、請求項４記載の方法。
【請求項９】
前記装置の前記ドメインに関するデータに、業界標準の署名方法を用いて署名すること；及び
前記データを、ＤＨＣＰ（Ｄｙｎａｍｉｃ  Ｈｏｓｔ  Ｃｏｎｆｉｇｕｒａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ）の応答の部分として伝えること；
を更に含む、請求項１の方法。
【請求項１０】
ネットワークのネットワークセキュリティ装置であって：
ネットワークアクセス制御モジュールであり、前記ネットワークへの装置の接続に関してセキュリティポリシーを受信した場合に、前記装置について受信したセキュリティポリシーを特定し、前記ネットワークへの装置の接続に関してセキュリティポリシーを受信しなかった場合に、前記装置のプラットフォームと前記装置の前記接続に関するセキュリティポリシーとを特定し、該プラットフォームとセキュリティポリシーとを特定することは：
前記装置が企業ドメインの内部に含まれているか否かを判断し、否である場合に、非企業のセキュリティポリシーを特定し、
前記装置が前記企業ドメイン内にある場合に、前記装置がネットワークアクセス制御ドメインの内部に含まれているか否かを判断し、前記装置がネットワークアクセス制御ドメイン内にない場合に、非ネットワークアクセス制御（非ＮＡＣ）環境のセキュリティポリシーを特定し、前記装置がネットワークアクセス制御ドメイン内にある場合に、企業ホスト違反のセキュリティポリシーを特定する、
ことを含む、ネットワークアクセス制御モジュール；及び
ネットワーク管理モジュールであり、前記装置の前記プラットフォームと特定されたセキュリティポリシーとに少なくとも部分的に基づいて、前記ネットワークへの前記装置のアクセスを制御するネットワーク管理モジュール；
を有するネットワークセキュリティ装置。
【請求項１１】
前記ネットワークは、ＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）アドレスの静的な割り当てを利用し、前記ネットワークアクセス制御モジュールによる、前記装置の前記プラットフォームの特定は、前記装置のアドレスの要素を、事前に設定されたアドレスの要素のリストと比較することを含む、請求項１０記載のネットワークセキュリティ装置。
【請求項１２】
前記ネットワークは、ＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）アドレスの動的な割り当てを利用し、前記ネットワークアクセス制御モジュールによる、前記装置の前記プラットフォームの特定は、前記装置の応答からデータを抽出することを含む、請求項１０記載のネットワークセキュリティ装置。
【請求項１３】
前記ネットワークは、ＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）アドレスの動的な割り当てを利用し、前記ネットワークアクセス制御モジュールによる、前記装置の前記プラットフォームの特定は、プレゼンス機能を用いて、ネットワークアクセス制御エージェントが存在しているか否かを判断することを含む、請求項１０記載のネットワークセキュリティ装置。
【請求項１４】
装置に関してネットワークアクセスを判断する、ネットワークのための、ネットワークアクセス制御部；
前記ネットワークアクセス制御部に規則遵守ベクターを提供する信用サーバー；及び
装置の接続要求を前記ネットワークアクセス制御部に向けるルータ；
を含むシステムであって、
前記ネットワークアクセス制御部はネットワーク管理システムを使用可能であり、
前記ネットワークアクセス制御部が前記信用サーバーから、前記ネットワークへの装置の接続に関するセキュリティポリシーを受信した場合に、前記ネットワークアクセス制御部は、前記装置について受信したセキュリティポリシーを特定し、前記ネットワークアクセス制御部が前記ネットワークへの装置の接続に関してセキュリティポリシーを受信しなかった場合に、前記ネットワークアクセス制御部は、前記装置のドメインを判断するために、前記装置に関するデータを取得し：
前記データは、前記装置が企業ドメインの内部に含まれているか否かに関するデータを含み、含まれていなければ、前記ネットワークアクセス制御部は、非企業のセキュリティポリシーを特定し、
前記装置が企業ドメインの内部に含まれている場合に、前記データは、前記装置がネットワークアクセス制御ドメインの内部に含まれているか否かに関するデータを含み、前記ネットワークアクセス制御部は、前記装置がネットワークアクセス制御ドメイン内になければ、非ネットワークアクセス制御（非ＮＡＣ）環境のセキュリティポリシーを特定し、前記装置がネットワークアクセス制御ドメイン内にあれば、企業ホスト違反のセキュリティポリシーを特定する、
システム。
【請求項１５】
前記ネットワーク管理システムは、前記装置による前記ネットワークへのアクセスに対し、特定された前記セキュリティポリシーを強制する、請求項１４記載のシステム。
【請求項１６】
前記ネットワークは、ＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）のアドレスの静的な割り当てを利用し、前記装置のドメインを判断することは、前記装置の前記アドレスの少なくとも一部を、事前に設定されたアドレスの要素のリストと比較することを含む、請求項１４記載のシステム。
【請求項１７】
前記ネットワークは、ＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）のアドレスの動的な割り当てを利用する、請求項１４記載のシステム。
【請求項１８】
前記装置のドメインを判断することは、前記装置の応答を受信することと、前記応答から前記装置の前記ドメインを抽出することとを含む、請求項１７記載のシステム。
【請求項１９】
前記装置のドメインを判断することは、ネットワークアクセス制御エージェントの存在を判断するために、プレゼンス機能を用いることを含む、請求項１７記載のシステム。
【請求項２０】
前記装置の前記ドメインに関する前記データは、業界標準の署名方法を用いて署名されており、かつ、ＤＨＣＰ（Ｄｙｎａｍｉｃ  Ｈｏｓｔ  Ｃｏｎｆｉｇｕｒａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ）の応答の部分として伝えられる、請求項１４記載のシステム。
【請求項２１】
命令シーケンスを表すデータを格納したコンピュータ読み取り可能記憶媒体であって、前記命令シーケンスは、プロセッサによって実行されるときに、前記プロセッサに：
ネットワークのネットワーク管理部にて、装置を該ネットワークに接続する要求を受信すること；
前記ネットワークのネットワークアクセス制御部にて、前記装置の前記接続に関してセキュリティポリシーを受信した場合に、受信したセキュリティポリシーを前記装置に適用すること；
前記ネットワークアクセス制御部にて、前記装置の前記接続に関してセキュリティポリシーを受信しなかった場合に：
前記ネットワークアクセス制御部が：
前記装置が企業ドメインの内部にあるか否かを判断し、否である場合に、非企業のセキュリティポリシーを設定し、
前記装置が前記企業ドメインの内部にある場合に、前記装置がネットワークアクセス制御ドメインの内部にあるか否かを判断し、前記装置がネットワークアクセス制御ドメインの内部にない場合に、非ネットワークアクセス制御（非ＮＡＣ）環境のセキュリティポリシーを設定し、前記装置がネットワークアクセス制御ドメインの内部にある場合に、企業ホスト違反のセキュリティポリシーを設定する、
ように、前記装置のドメインを判断して、判断したドメインに基づいて前記装置の前記接続に関してセキュリティポリシーを確立し、且つ
確立されたセキュリティポリシーを前記装置に適用すること；及び
前記装置に適用された前記セキュリティポリシーに少なくとも部分的に基づいて、前記装置を前記ネットワークに接続する要求を承認するか否かを決定すること；
を含む処理を実行させる、記憶媒体。
【請求項２２】
前記ネットワークは、ネットワークアドレスの静的な割り当てを提供し、並びに、前記装置が企業ドメインの内部にあるか否かを判断すること及び前記装置がネットワークアクセス制御ドメインの内部にあるか否かを判断することは、前記装置の前記ネットワークアドレスの要素を、事前に設定されたアドレスの要素のリストと比較することを含む、請求項２１記載のコンピュータ読み取り可能記憶媒体。
【請求項２３】
前記ネットワークは、ネットワークアドレスの動的な割り当てを提供し、前記装置のドメインを判断することは、前記装置からの応答からドメイン情報を抽出することを含む、請求項２１記載のコンピュータ読み取り可能記憶媒体。
【請求項２４】
前記ネットワークは、ネットワークアドレスの動的な割り当てを提供し、前記装置のドメインを判断することは、ネットワークアクセス制御エージェントが存在しているか否かを判断することを含む、請求項２１記載のコンピュータ読み取り可能記憶媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明の実施例は、計算機の動作一般に関し、より詳細には、ネットワーク環境の検出に関する。
【背景技術】
【０００２】
計算機の動作に対するウィルスやワームの攻撃が激しくなり、またこれらのワーム類が企業ネットワークで蔓延する趨勢のため、業界では、保護されたネットワークに装置を接続する許可を与える前に、その装置の評価を要求する努力を行っている。このような努力は、標準に基づく及び独自の、問題解決の様々な場面で行われている。即ち、装置の種々の属性を測定し、そのような装置の接続を許可することに関する方針を決定し、許容範囲の承認を提供するための問題解決である。この最後の場合では、例えば、その装置がネットワークで許可されるか否か、及びどの資源がそのネットワークでアクセス可能であるはずかを示す徴表を接続ポイントに送り返す。このような問題は、企業の情報技術部門にとって、未認可の又は不適合の装置が企業ネットワークから閉め出されていることを確証するために、特段の関心がある。
【発明の開示】
【発明が解決しようとする課題】
【０００３】
しかし、従来のシステムでは、装置の接続の安全性に関する現在の環境が何であるかは、必ずしも明瞭ではなかった。接続の安全性の環境が利用不能であると思われる場合でも、その利用不能である理由が何であるかが判明するとは限らない。環境に関するこのような不確実性のために、その装置について、どのような動作が許可されるのが望ましいか又は望ましくないかを判断するのが、困難であるかもしれない。
【課題を解決するための手段】
【０００４】
装置をネットワークに接続する要求を受け取ること；
前記装置の前記接続に関してセキュリティポリシーを受け取った場合には、該ポリシーを前記装置に適用すること；並びに
前記装置の前記接続に関してセキュリティポリシーを受け取らなかった場合には：
前記装置が企業ドメインの内部にあるか否かを判断すること；及び
前記装置がネットワークアクセス制御ドメインの内部にあるか否かを判断すること；
によって前記装置のドメインを判断すること；
を含む方法。
【発明を実施するための最良の形態】
【０００５】
本発明は、実施例を説明する後述の記載及び添付の図面を参照することによって最も良く理解されうる。
【０００６】
ネットワークアクセス制御のための方針（ポリシー）の選択を援助するための、ネットワーク環境を検出するための方法及び装置を記載する。
【０００７】
本願では「ネットワークアクセス制御」とは、ネットワークにアクセスすること又は接続することを求めている装置に対して、安全性（セキュリティ）の要求事項を強制する、装置、システム、又は処理過程（プロセス）を意味する。ネットワークアクセス制御が意図しているのは、ネットワークをセキュリティ違反から保護すること、及び、例えばウィルス、ワーム、スパイウェア等のような悪意のあるソフトウェアを排除することである。ネットワークアクセス制御（ＮＡＣ）という用語は、ネットワークへのアクセスを求めている装置に、適切な証明書並びに追加で装置の設定及び状態を提出するように誰何する、一般的な枠組みを示す。中央のポリシーサーバーは、この証明書を用いて、その装置のネットワークへのアクセスを許可してもよいかを決定する。ポリシーサーバーは、ポリシー強制ポイントと協働してもよい。ポリシー強制ポイントは、典型的にはスイッチ、経路制御器（ルータ）、又はゲートウェイのようなネットワーク装置であり、信用する装置をネットワークに許可し、不適合の装置をネットワークにアクセスできないようにする。装置とは例えばＰＣ（個人用計算機）、サーバー、ＰＤＡ（個人用デジタル補助装置）である。
【０００８】
本願では「ネットワーク管理」とは、ネットワーク資源の管理を提供する装置、システム、又は処理過程を意味する。ネットワーク管理という用語は、インテル（登録商標）アクティブ・マネジメント・テクノロジー（ＡＭＴ）を含むがこれに限らない。ＡＭＴは装置が動作していなくともシステムの管理能力を提供する。
【実施例】
【０００９】
本発明の実施例では、システムがネットワークの保護を助けるのは、ネットワークアクセス制御に関して基盤（プラットフォーム）の状態を判断することによる。ある実施例では、システムは、ネットワークに接続することを求めている装置について現在の環境を判断する。ある実施例では、装置がネットワークに接続すると、そのアドレスのドメインが企業のドメインであるかどうかを判断し、そうであれば、そのドメインがネットワークアクセス制御の能力を含むかどうかを判断する。本発明の実施例では、システムは静的と動的の双方のＩＰ（インターネットプロトコル）アドレス割り当て方法で動作してもよい。
【００１０】
本発明の実施例では、装置の接続のセキュリティを含む、安全な環境の検出を行う方法及び装置を提供する。検出される環境は、インテル（登録商標）ＡＭＴによって検出される様々な形態のＮＡＣを含んでもよいが、これに限定されない。ＮＡＣは企業のネットワークのセキュリティ分野で次第に使われつつある枠組みである。ＮＡＣは、ネットワークインフラを用いて、セキュリティポリシーに従うことを、あるネットワークに接続する装置に強制する。この技術はいくつかの認証、承認及びセキュリティの標準プロトコルを利用する。例えばＩＥＥＥ  ８０２．１Ｘと同様に、ＥＡＰ（拡張認証プロトコル）を含む。これは企業のプラットフォームで、ネットワークの要素にアクセス権を与える前に認証を行う。ＥＡＰはＰＰＰ（２点間プロトコル）における認証技術を拡張する枠組みであるが、ＩＥＥＥ  ８０２．１Ｘ（非特許文献１参照）のような異なる転送プロトコルでも容易に用いることができる。ＰＰＰはデータグラムを２点間の接続で転送するように設計されている。ＥＡＰはＲＦＣ  ３７４８（非特許文献２参照）で規定されている。
【非特許文献１】ＩＥＥＥ  ８０２．１Ｘ−２００４  Ｐｏｒｔ  Ｂａｓｅｄ  Ｎｅｔｗｏｒｋ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ，  ＩＥＥＥ，  ２００４．
【非特許文献２】ＲＦＣ  ３７４８：  Ｅｘｔｅｎｓｉｂｌｅ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ（ＥＡＰ），  ＩＥＴＦ，  Ｊｕｌｙ  ２００４．
【００１１】
本発明の実施例では、装置の接続セキュリティが、ネットワーク管理と統合される。統合したシステムを用いて、装置の接続セキュリティに関する、プラットフォームの状態を検知する。例えば、ＮＡＣ技術を、ＡＭＴと統合することにより、エンドポイントプラットフォームの観点からと、ネットワーク全体からとの双方で動作する、完全な企業セキュリティソリューションを構築してもよい。本発明の実施例では、装置の接続セキュリティの環境（例えばＮＡＣ環境）の検出を、ＡＭＴのような、ネットワーク管理によって、実装してもよい。これにより、この二つの技術（ＮＡＣとＡＭＴ）を安全に統合し、ネットワークポリシーを統合し、異なる環境における、継ぎ目の無い運用を行う。ある例では、ネットワークポリシーの統合は、ＡＭＴによる「接続遮断器（サーキットブレーカ）」ポリシーの設定を、含んでもよい。本発明の実施例では、ホストへのＩＰアドレスの割り当てが、静的であっても動的であっても動作する、ネットワーク管理システムにより、環境を検出するための方法を提供する。
【００１２】
１つの実施例では、環境検出方法は、既存のネットワークインフラ（例えばＤＨＣＰ（動的ホスト構成プロトコル）サーバー）を活用して、既存のネットワーク管理への変更を最小限に抑えるソリューションを提供する。ＤＨＣＰは計算機に動的にＩＰアドレスを割り当てるために用いるプロトコルである。実施例では、このプロトコルの能力を適用して、接続する装置について環境を検知する。
【００１３】
例を提示する。クライアントを、サプリカント又はアクセス要求者（ＡＲ）と呼んでもよい。典型的なＮＡＣのプロトコルによる情報交換では、ＡＲは、ネットワークへのアクセスを求めるために、企業のポリシーサーバーとデータを交換する。典型的には、ＡＲは、例えばＩＥＥＥ  ８０２．１ＸでＥＡＰを用いて、ネットワークアクセス装置（ＮＡＤ）に対して、ネットワーク接続を開始する。ＮＡＤは典型的にはネットワークのルータ又はスイッチである。ＡＲは次に、ポリシー決定ポイント（ＰＤＰ）に行き先を変えられ（リダイレクトされ）てもよい。これにより、ネットワークに接続する意図を、制御チャンネル接続要求によって伝える。制御チャンネル接続要求は、最終的には、ポリシーサーバーに回送される。ポリシーサーバーは、ネットワークアクセスについての承認の判断を行うように備えている。この判断は管理ポリシー又は制御プロトコルに基づく。この制御プロトコルの部分として、装置の情報（例えば装置の身元及び装置の状態）がＡＲによって伝えられる。これにより、ポリシーサーバーは、クライアントにそのネットワークへのアクセスを許可するか否かについて、情報を得た上での判断ができる。判断がされると、その結果は通常ＮＡＤ又はポリシー強制ポイント（ＰＥＰ）に渡される。ＰＥＰは、クライアント装置がそのネットワークに許可されているか否か、許可されているとしたらどのようにであるか、を制御する。
【００１４】
ＮＡＣは、企業ネットワークのセキュリティを保証するために、信用済みホスト基盤エージェントを頼りにする。１つの例では、ＡＭＴ技術を実施するシステムでは、ＮＡＣの情報交換を含む安全な情報交換のために、システム基盤上に信用の投錨点（トラストアンカー）を提供する。ＡＭＴは、基盤の設定情報を収集する。これは、ホストのＯＳ（オペレーティングシステム）に依存しない方法で行う。ＡＭＴは、その情報を保証するために、その情報を秘密鍵で署名する。この秘密鍵はＡＭＴとＰＤＰとの間でＰＫＩ（公開鍵基盤）を通して関連づけられる。このようにして、ＡＭＴは、ホストの設定情報の高度な保証をＰＤＰに安全な閉じた環境の中で提供する。この安全な環境は途中では変更できないものである。
【００１５】
本発明の実施例では、ネットワークの接続性に関して、どの環境で、装置が動いているのかを、システムが検出するための方法を提供する。この環境は重要である。この環境は適用できるセキュリティを決定し得るからである。適用できるセキュリティは、サーキットブレーカフィルターポリシーを含むがこれに限定されない。サーキットブレーカフィルターポリシーは、ＡＭＴによって、その基盤の入出力トラフィックの流れについて適用される。例えば、企業ドメインの内部で動作している移動基盤（モバイルプラットフォーム）のためのサーキットブレーカポリシーは、この基盤が企業ドメインの外部で動作していて、その企業ドメインにアクセスしようとしている最中に強制されるポリシーとは異なることになる。例えば、企業ドメインの内部では全てのトラフィックを許可するが、外部からのアクセスはＶＰＮのトラフィックのみを許可するというように異なる。特定の実施例では、企業のＮＡＣドメインの内部で動いている基盤のためのポリシーは、ＮＡＣドメインの外部で動いている基盤のためのポリシーとは異なる。
【００１６】
本発明のある実施例では、システム（例えばインテル（登録商標）ＡＭＴを含むシステム）は、静的にＩＰアドレスを割り当てられる筋書きと、動的にＩＰアドレスを割り当てられる筋書きの双方について、自分の環境を発見してもよい。このシステムは、ＤＨＣＰにあるオプションを使って、動的なＩＰアドレスの筋書きで環境の検出を行ってもよい。ある算法（アルゴリズム）の実施例を、ファームウェア階層の部分として実装してもよい。このファームウェア階層はＡＭＴファームウェア階層を含む。ある実施例では、このアルゴリズムは、ＡＭＴ／ホストへの応答（例えばＤＨＣＰの応答）の中のドメイン名の情報を用いて、その基盤が企業ドメインの内部にあるかどうかを判断する。同様に、このアルゴリズムはＤＨＣＰのオプション（これは企業のＩＴ部門がＤＨＣＰサーバーに設定できる）を用いて、その基盤が、ＮＡＣを有効にしたドメインの内部にあるかどうかを判断してもよい。更に、この情報を安全にするために、暗号署名を活用して、この環境特有データを保護してもよい。本発明のある実施例では、装置のドメインに関するデータを、いかなる業界標準の署名方法を用いて署名してもよい。このデータを署名するために用いる具体的な方法は、本開示の範囲を超える。多くの異なるアルゴリズム及び技術が容易に業界で現在利用可能だからである。所与の環境を安全に検出したら、システムは、管理者が定義したポリシー（例えばＡＭＴのサーキットブレーカフィルター規則）を、この環境検出結果に基づいて、適用してもよい。本発明のある実施例では、この方法はまた、非ＮＡＣ環境にある基盤の筋書きと、基盤のＮＡＣ階層が使用不能にされている場合の筋書きとの間を、区別できる。
【００１７】
本発明の別の実施例では、システムは、ソフトウェアエージェント（例えばＮＡＣエージェント）がそのホスト基盤で動いているかどうかを検出するために用いることができるエージェント・プレゼンス・プラットフォーム機能を含んでもよい。本発明の代わりの実施例では、システムはエージェント・プレゼンス・プラットフォーム機能を用いて、ＮＡＣエージェントがそのシステムで動いているかどうかを判断し、それによりＮＡＣ環境が存在するかどうかを判断する。
【００１８】
本発明の実施例では、静的なＩＰアドレスの筋書きの場合は、企業ドメイン用の、事前に設定されたＩＰプリフィックスのリスト及び、事前に設定されたＮＡＣドメインのＩＰプリフィックスのリストを、適用する。これらのリストは、その企業のＩＴの方針に基づいて、その企業のＩＴ部門の担当者が事前に設定する。インテル（登録商標）ＡＭＴのファームウェアの階層は、その環境及び適切なサーキットブレーカポリシーを判断するために、これらのリストに対して、静的に設定されたＩＰアドレスを確認するアルゴリズムを、実装することになる。この明細書では、ネットワークアドレスのプリフィックスを参照するが、本発明のこの実施例は、プリフィックスに限定されず、アドレスのいかなる事前に設定された部分をも含んでよい。
【００１９】
本発明の実施例では、システムはプロトコルの動作（例えばＤＨＣPプロトコルのオプション）を用いて、環境の検出を提供する。本発明の実施例では、システムは、動的なＩＰアドレスの割り当て又は静的なＩＰアドレスの割り当てを提供してもよい。これを次に示す：
（Ａ）動的なＩＰアドレスの割り当てを活用するシステムでは、処理過程は次を含んでもよい：
（１）ＡＭＴ／ホストへのＤＨＣＰの応答を受信すること。及び、その応答からドメイン名の情報を抽出することにより、その基盤が企業ドメインの中にあるかどうかを判断すること。
【００２０】
（２）企業のＩＴ部門が、ＤＨＣＰサーバーでＤＨＣＰのオプションを設定することにより、その基盤がＮＡＣを使用可能にしたドメインの中にあるかどうかを判断すること。このアルゴリズムは、企業のＩＴ方針に基づきサーキットブレーカフィルター規則を適用する。この方法は、そもそも非ＮＡＣ環境にある基盤の筋書きと、基盤のＮＡＣ階層がたまたま使用不能になっている筋書きとを区別できる。
【００２１】
更に、エージェント・プレゼンス機能が基盤の機能として含まれている場合には、この機能を任意で用いて、ソフトウェアエージェント（例えばＮＡＣエージェント）がそのホスト基盤で動いているかどうかを検出してもよく、更に、そのエージェントがＮＡＣの枠組みの中で通信対話（ダイアログ）に関与しているかどうかを検出してもよい。
【００２２】
（Ｂ）静的なＩＰアドレスの割り当てを活用するシステムでは、処理過程は次を含んでもよい：
（１）プリフィックスのリストを事前に設定すること。これにより、企業ドメインのＩＰプリフィックスとＮＡＣドメインのＩＰプリフィックスを提供する。このリストは、企業のＩＴ方針に基づきＩＴ部門が設定する。
【００２３】
（２）装置の静的に設定されたＩＰアドレスを、このリストに対して確認することにより、適切な環境及び適切なサーキットブレーカポリシーであるかどうかを判断すること。この操作を例えばＡＭＴのファームウェア階層を用いて実装してもよい。
【００２４】
図１は、装置をネットワークに接続するためのネットワーク環境の検出の実施例の説明図である。図示しているのは、装置がネットワーク１０５に接続しようとしている状況である。ネットワーク１０５は、例えば、企業１１０のＬＡＮであってもよい。このネットワークはネットワークアクセス制御を提供する。これをネットワークアクセス制御モジュール１４０に示す。これにより、ネットワーク管理機能（ネットワーク管理１４５に示す）を用いて、接続しようとしている装置のセキュリティに対処する。しかし、適用されるセキュリティは、企業１１０について、装置の環境に関連してもよく、ネットワークアクセス制御に関連してもよい。例えば、装置１３０は、企業１１０の内部に位置していてもよく、かつ、ネットワークアクセス制御が有効１１５であってもよい。第２の例では、装置１３５は、企業１１０の内部に位置していてもよいが、ネットワークアクセス制御が有効でない１２０場合であってもよい。最後に、装置１２５は、企業１１０の外部に位置してもよい。
【００２５】
本発明のある実施例では、ネットワーク１０５は、そのネットワークに接続を試みる装置の環境を検出する。ある実施例では、環境の検出は、静的なネットワークのアドレスの割り当てと、動的なネットワークのアドレスの割り当てとの、双方について行われてもよい。ある実施例では、環境の検出は、ネットワークアクセス制御１４０を、そのネットワークのネットワーク管理処理１４５と、共に用いて、行われる。
【００２６】
図２は、装置の環境を検出するための、ネットワークアーキテクチャーの実施例の説明図である。図示する通り、計算機システム２０２は、ネットワークに接続する装置を表してもよい。計算機システム２０２は、ＣＰＵ（中央演算処理装置）２０４（これは、いかなる数のプロセッサ又はプロセッサコアを含んでもよい）と、管理部（これはＡＭＴ２０６を含んでもよい）との双方を含む。ＣＰＵ２０４のためのＯＳ（オペレーティングシステム）２０８は、複数のＩＳＶ（独立ソフトウェア製造業者）エージェント２１０及び１つの信用エージェント２１２を含んでもよい。ＡＭＴモジュール２０６はファームウェアエージェント２１４を含む。これにより管理操作を提供する。ファームウェアエージェント２１４は、サーキットブレーカ及び発見的アルゴリズム２１６を含んでもよい。信用エージェントは、計算機２０２のＴＰＭ（信用済み基盤モジュール（トラステッド・プラットフォームモジュール））２１８と通信してもよい。計算機はネットワークと接続してもよい。これをハードウェアフィルター２２０とＭＡＣ（媒体アクセス管理）２２２経由の接続に示す。
【００２７】
計算機２０２は、ネットワークアクセス制御アーキテクチャーに向けて、経路接続してもよい。例えば、計算機２０２は、ネットワークアクセス装置２３０経由で接続してもよい。ネットワークアクセス装置２３０は、ルータ又はスイッチであってよく、これにより、ネットワークアクセスＰＤＰ（ポリシー決定ポイント）２３２に接続する。ネットワークアクセスＰＤＰ２３２は、信用サーバー２３４に結合する。信用サーバー２３４は、規則遵守（コンプライアンス）ベクター２３６−２３８の格納器に接続する。本発明の実施例では、ＡＭＴ２０６を、ネットワークアクセス制御と共に用いて、ネットワークに接続を試みる装置の環境を判断する。
【００２８】
図３は、静的なＩＰアドレスの割り当てのための、装置の接続セキュリティの実施例を示す、流れ図である。この実施例では、電源が入ると、ネットワーク管理のＡＭＴが起動する。これが３０２である。ＮＡＣポリシーを３０４で受け取ったなら、そのポリシーを３０６で適用する。そうでなければ、その装置の静的なアドレスを用いて、その装置の環境を判断する。静的なアドレスの割り当ての場合、企業のＩＴ部門で、アドレスのプリフィックスのリストを、あらかじめ設定して用意している。接続を試みている装置のアドレスを取得して、アドレスのプリフィックスの、あらかじめ設定したリストと比べる。これが３０８である。アドレスの比較に基づいて、この装置のアドレスが、企業のドメイン内の位置を示すかどうかを判断する。これが３１０である。企業のドメイン内でなければ、適切なポリシーを適用する。これが、３１２に示す、企業でない／企業の外部のポリシーである。装置のアドレスが、企業のドメイン環境を示していると、３１０で判断されると、次に、このアドレスが、ネットワークアクセス制御（例えばＮＡＣ）ドメインを示しているかどうかを判断する。これが３１４である。このアドレスが、ネットワークアクセス制御（例えばＮＡＣ）ドメインでなければ、環境は企業の非ＮＡＣドメインということになり、例えば、デフォルトプロファイルに基づいて、サーキットブレーカを設定してもよい。これが３１６である。このアドレスが、ネットワークアクセス制御（例えばＮＡＣ）ドメインを示していた場合には、３０４で、ＮＡＣポリシーを受け取れなかったことが問題である。従って、３１８で、企業ホスト違反ポリシーが設定され得る。
【００２９】
図４は、動的なＩＰアドレスの割り当てのための、装置の接続セキュリティの実施例を示す、流れ図である。この例では、ＡＭＴ及びＮＡＣを用いる特定の実装例を示しているが、本発明の実施例は、この実装に限られるわけではない。この例では、電源が入ると、ネットワーク管理（例えばＡＭＴ）が起動する。これが電源投入段階４０２である。サーキットブレーカ（ＣＢ）を初期化して、例えば次のようにする：ＥＡＰｏＬ（ＬＡＮ上の拡張可能認証プロトコル）、ＥＡＰｏＵＤＰ（ユーザーデータグラムプロトコル上の拡張可能認証プロトコル）、ＤＨＣＰのみを許可する。これが４０４である。ＮＡＣポリシーを４０６で受け取ったなら、４０８でそのポリシーを適用してもよい。するとこの処理過程は終わる。しかし、ＮＡＣポリシーを受け取らなかった場合は、システムは、接続を試みる装置の環境を判断することになる。これにより、セキュリティ環境を適切に立ち上げる。本発明の実施例では、ＤＨＣＰの応答を得たかどうかを４１０で判断する。４１０でＤＨＣＰの応答が無く、かつ、４１２でネットワークにアクセスする必要がある場合には、４１４に進み、ＮＡＣ／８０２．１Ｘ／ＤＨＣＰの問い合わせを、接続する装置のＡＭＴについて行う。この時点で、ＡＭＴは、ネットワークへ接続できているかもしれないし、できていないかもしれない。しかし、ホストは接続していない。これが４１６である。これは、ホストを非友好的な環境から保護するという目的に従ってのことである。次に、サーキットブレーカをセーフモードに設定してもよい。セーフモードでは、ＥＡＰとＤＨＣＰをＡＭＴに通すが、率（レート）を遅く制限する。例えば、１分間に１個のメッセージのみというようにする。これが４１８である。これを、ホストがＥＡＰパケットを受け取るまで繰り返す。これが４２０である。ホストがＥＡＰパケットを受け取ると、４０６に戻り、ＮＡＣポリシーを受け取ったかどうかの判断を行う。
【００３０】
４１０でＤＨＣＰの応答があった場合、装置が企業ドメインの内部にあるかどうかの判断を行う。これが４２２である。企業ドメインでなければ、企業でない／企業の外部のポリシーを設定する。これが４２４である。４２２で、装置が企業ドメインの内部にある場合、その装置がＮＡＣドメイン環境の内部に含まれるかどうかの判断を行う。これが４２８である。ＮＡＣドメイン環境の内部でなければ、企業の非ＮＡＣ環境のポリシーを設定する。即ち、サーキットブレーカをデフォルトプロファイルに設定する。これが４２６である。４２８で、その装置がＮＡＣドメインの内部に含まれていると判れば、これは違反事態である。ＮＡＣポリシーが無いのに（４０６）、ＮＡＣドメインの内部だからである。従って、企業ホスト違反ポリシーを、４３０で設定する。これが含意するのは、この環境は、ＮＡＣ環境であると検出されたが、ＮＡＣポリシーを受け取っていないということである。本発明のある実施例では、ドメインに関するデータを、業界標準の署名方法によって署名してもよい。この署名方法は、いかなる既知の暗号化アルゴリズムを用いてもよい。１つのありうる例では、署名はドメインに特有のデータを備えてもよい。この署名は例えば応答のＤＨＣＰの追加の属性として伝えられる。
【００３１】
図５は、エージェントの存在を用いた、動的なＩＰアドレスの割り当てのための、装置の接続セキュリティの実施例を示す流れ図である。この例では、ＮＡＣエージェントの存在を判断することが可能である、特定の実施例を示す。この例では、電源が入ると、ネットワーク管理（例えばＡＭＴ）が起動する。これが、電源投入段階５０２である。サーキットブレーカ（ＣＢ）を初期化して、ＥＡＰ及びＤＨＣＰを許可する。これが５０４である。又は、この状態についてのデフォルトのポリシーに基づいて、いかなる他のプロトコルの通信を許可してもよい。システムは何秒間（管理ポリシーで定める）か待ち、この間にホストは、ＮＡＣサーバーからポリシーを受け取る、又は、ＤＨＣＰでアドレスを取得する。これが５０６である。５０８で、ＮＡＣポリシーを受け取った場合、適切なサーキットブレーカフィルターを、５１０で適用してもよい。すると、この処理過程は終わる。しかし、ＮＡＣポリシーを受け取らなかった場合は、次に、ホストがＩＰアドレスを得たかどうかを、５１２で判断する。５１２でＩＰアドレスを得ていなければ、サーキットブレーカは、その装置について、全ての送受信を遮断することになる。これが５１４である。前述と同様に、どのフィルターポリシーに基づくかは、管理ポリシーが定める。次に、ＮＡＣ／８０２．１Ｘ／ＤＨＣＰの問い合わせを、接続する装置のＡＭＴについて行う。これが５１６である。この時点で、ＡＭＴは、ネットワークへ接続できているかもしれないし、できていないかもしれない。しかし、ホストは接続していない。これが５１８である。これは、ホストを非友好的な環境から保護するという目的に従ってのことである。次に、サーキットブレーカをセーフモードに設定してもよい。セーフモードでは、ＥＡＰとＤＨＣＰをＡＭＴに通すが、レートを遅く制限する。例えば、１分間に１個のメッセージのみというようにする。これが５２０である。これを、ホストがＥＡＰパケットを受け取るまで、繰り返す。これが５２２である。ホストがＥＡＰパケットを受け取ると、５０４に戻り、サーキットブレーカ（ＣＢ）を設定して、ＥＡＰ及びＤＨＣＰを許可する。
【００３２】
５１２でＩＰアドレスを得た場合、ＮＡＣエージェントが存在するかどうかの判断を行う。これを判断するのが、ＮＡＣエージェントの存在判定５２６を通過するかどうかである。ＮＡＣエージェントが存在しない場合は、このホストのＮＡＣ階層は、改竄されてしまったか、又は使用停止されているかであるということになる。従って、サーキットブレーカをその事態に応じて設定する。例えば、全ての通信を遮断する。これが５２４である。５２６でＮＡＣエージェントが存在するが、５２８で、ＥＡＰ−ＮＡＣのメッセージが送出されていない場合、ここでもまた、このホストのＮＡＣ階層は、改竄されてしまったか、又は使用停止されているかであると結論付けてよい。従って、５２４でサーキットブレーカをその事態に応じて設定する。５２８で、ＥＡＰ−ＮＡＣのメッセージが送出されている場合、接続する装置は非ＮＡＣ環境ということになる。従って、サーキットブレーカをデフォルトプロファイルに設定してもよい。これが５３０である。
【００３３】
図６は、本発明の実施例における、計算機システムの説明図である。この計算機システムは、ネットワークに接続を試みる装置を含んでもよい。いくつかの標準的で既知の部品で、本願発明に関与しないものは、示していない。本発明のある実施例では、計算機６００は、情報を伝達するためのバス６０５又は他の伝達手段を含む。計算機６００はまた、処理手段を含む。例えば２つ以上のプロセッサ６１０である。図では第１のプロセッサ６１５及び第２のプロセッサ６２０で示している。これらはバス６０５に接続し、情報を処理する。プロセッサ６１０は、１つ以上の物理的プロセッサ及び１つ以上の論理的プロセッサを含んでもよい。更に、プロセッサ６１０の各々は、複数のプロセッサコアを含んでもよい。計算機６００は、図を単純にするために、バス６０５を１つしか描いていない。しかし、この計算機は、複数の異なるバスを有してもよく、これらのバスに対する部品の接続も、様々であってよい。図６に示すバス６０５は、ある抽象化であり、いかなる１つ以上の個別の具体的なバス、２点間接続、又は、適切なブリッジ、適合器、若しくは制御器により接続される、バス及び２点間接続の双方をも示す。バス６０５は、従って、次を例えば含んでもよい：システムバス；ＰＣＩ（商標）バス；ＨｙｐｅｒＴｒａｎｓｐｏｒｔ（商標）又はＩＳＡバス；ＳＣＳＩバス；ＵＳＢ（商標）；ＩＩＣ（Ｉ２Ｃ）バス；又は、ＩＥＥＥ  １３９４バス（ＦｉｒｅＷｉｒｅ（商標）とも呼ばれる）。ＩＥＥＥ  １３９４については、非特許文献３を参照。本発明のある実施例では、プロセッサ６１０を用いて、ネットワークに接続を試みる装置を評価してもよい。
【非特許文献３】Ｓｔａｎｄａｒｄ  ｆｏｒ  ａ  Ｈｉｇｈ  Ｐｅｒｆｏｒｍａｎｃｅ  Ｓｅｒｉａｌ  Ｂｕｓ，  １３９４−１９９５，  ＩＥＥＥ，  １９９６年８月３０日、及び同補遺。
【００３４】
計算機６００は、更にＲＡＭ又は他の動的な記憶装置を、主記憶６２５として含む。これにより、情報と、プロセッサ６１０が実行する命令とを格納する。主記憶６２５を用いてまた、一時変数又は他の、命令をプロセッサ６１０が実行する際の中間的な情報を格納してもよい。ＲＡＭはＤＲＡＭを含む。ＤＲＡＭは記憶内容のリフレッシュを必要とする。ＲＡＭはＳＲＡＭを含む。ＳＲＡＭは記憶内容のリフレッシュを必要としないが、コストが増える。ＤＲＡＭはＳＤＲＡＭを含んでもよい。ＳＤＲＡＭはクロック信号を制御信号に含む。ＤＲＡＭはＥＤＯ  ＤＲＡＭを含んでもよい。主記憶の使用は、動的な基盤の雑音を緩和することに関するデータの格納を含んでもよい。計算機６００はまた、ＲＯＭ６３０及び／又は他の静的な記憶装置を含んでもよい。これにより静的な情報及び命令をプロセッサ６１０のために格納する。
【００３５】
データ記憶装置６３５も計算機６００のバス６０５に接続してもよい。これにより、情報と命令を格納する。データ記憶装置６３５は、次を含んでもよい：磁気ディスク若しくは光ディスク並びにそれらのための駆動装置；フラッシュメモリ又は他の不揮発性メモリ；又は他の記憶装置。このような要素を、共に組み合わせてもよい。このような要素は、個別の部品であってもよい。このような要素は、計算機６００の他の要素を利用してもよい。
【００３６】
計算機６００はまた、バス６０５を経由して、表示装置６４０と結合してもよい。表示装置６４０の例は陰極線管（ＣＲＴ）表示装置、液晶表示装置（ＬＣＤ）、プラズマ表示装置、又はいかなる他の表示技術でもよい。これによって、情報を末端利用者（エンドユーザ）に表示する。いくつかの実施例では、この表示装置は、タッチスクリーンでもよい。これは、入力装置の、少なくとも一部としても活用される。いくつかの実施例では、表示装置６４０は、音声装置でもよく、音声装置を含んでもよい。例えば、音声情報を提供するスピーカーである。入力装置６４５を、バス６０５に結合してもよい。これにより、情報及び／又は命令の選択を、プロセッサ６１０に伝える。種々の実装では、入力装置６４５は、次であってよい：キーボード；キーパッド；タッチスクリーン及びスタイラスペン；音声入力システム；又は他の入力装置若しくはこれらの装置の組み合わせ。他の型のユーザ入力装置で計算機に含まれてもよいものは、カーソル制御装置６５０である。例えばマウス、トラックボール、又はカーソル移動キーである。これにより、方向の情報及び命令の選択を、１つ以上のプロセッサ６１０に伝え、表示装置６４０の上でカーソルの移動を制御する。
【００３７】
通信装置６５５もまた、バス６０５に接続してよい。具体的な実装に依存して、通信装置６５５は次を含んでもよい：送受信器；無線変復調器；ネットワークインターフェースカード；主基板上のＬＡＮインターフェース；又は他の接続装置。通信装置６５５の使用は、無線装置からの信号の受信を含んでもよい。無線通信に関しては、通信装置６５５は、１つ以上のアンテナ６６０を含んでもよい。１つの実施例では、通信装置６５５は、ファイアウォールを含んでもよい。これにより、計算機６００を不正なアクセスから保護する。計算機６００は、ネットワーク又は他の装置に接続してもよい。この場合に通信装置６５５を用いる。この結合は、インターネットへの接続、ＬＡＮへの接続、又は他の環境への接続を含んでもよい。計算機６００はまた、電源装置又は電源システム６６５を含んでもよい。電源装置又は電源システム６６５は、次を含んでもよい：電源供給装置；電池；光電池；燃料電池；又は他のシステム若しくは装置で電力を供給若しくは生成するもの。電源装置又は電源システム６６５が供給する電力を、必要に応じて計算機６００の要素に分配してもよい。
【００３８】
前述の記載では、説明の目的のために、数多くの個別の詳細を述べている。これは、本願発明を、徹底的に理解してもらうためである。しかし、当業者には明らかになる通り、本願発明を、このような個別の詳細のいくつかを抜きに、実施してもよい。別の例では、周知の構造及び装置が、図面に示されている。
【００３９】
本願発明は、種々の処理過程を含んでもよい。本願発明の処理過程を、ハードウェア要素で実行してもよく、機械に実行可能な命令の形で実施してもよい。このような命令を用いて、汎用又は専用の、処理装置又は論理回路を、その命令でプログラムしてもよく、それにより、この処理過程を実行させてもよい。代わりに、この処理過程を、ハードウェアとソフトウェアの組み合わせによって、実行してもよい。
【００４０】
本願発明の部分を計算機プログラムとして提供してもよい。この計算機プログラムは、命令を格納した機械可読媒体を含んでもよい。この機械可読媒体を用いて、計算機（又は他の電子装置）をプログラムしてもよい。これにより、本願発明による処理過程を実行する。この機械可読媒体は、次を含むが、これらに限定されない：フレキシブルディスケット；光ディスク；ＣＤ−ＲＯＭ；光磁気ディスク；ＲＯＭ;ＲＡＭ；ＥＰＲＯＭ；ＥＥＰＲＯＭ；磁気又は光カード；フラッシュメモリ；又は、他の型の媒体若しくは機械可読媒体で電子的な命令を格納するために適しているもの。更に、本願発明をまた、計算機プログラムとしてファイル転送してもよい。ここでプログラムを遠隔の計算機から要求する計算機へ転送してもよい。この際にデータ信号を用いる。このデータ信号は、搬送波又は他の伝搬媒体において実施される。搬送波又は他の伝搬媒体は、通信接続（例えば変復調器又はネットワーク接続）を経由する。
【００４１】
方法の多くを、その最も基本的な形態で記載した。しかし、処理過程を、いかなる方法についても、追加又は削除できる。また、情報を、いかなる記載事項についても、追加又は削除できる。これらの場合のいずれにおいても、本願発明の基本範囲から離れずに、行うことができる。当業者には明らかになる通り、多くの更なる実施例及び適用例を作ることができる。特定の実施例を提供しているのは、本発明を制限するためではなく、例示するためである。本願発明の範囲を決定するのは、前述の個別の例ではなく、添付の特許請求の範囲のみである。
【００４２】
更に理解する必要があるのは、本明細書を通して、「１つの実施例」「ある実施例」という表現は、本発明の特定の特徴を、本発明のその実施に含めてもよいという意味であるということである。同様に、理解する必要があるのは、本発明の例示的な実施例の前述の記載においては、本発明の種々の特徴を、場合に応じて、その特徴の単一の実施例、図、又は記述に、共に纏めたことがあるということである。これは、開示を簡潔にし、種々の発明の観点の１つ以上のものの理解を助けるという、目的のためである。開示のこの方法を、しかし、次の意図を反映するものであると、解釈してはならない。即ち、請求の特許は、各請求項に明示的に記載した特徴よりも多くを必要とするという意図である。そうではなく、添付の特許請求の範囲が示す通り、発明の諸観点は、前述の開示した実施例の１つに含まれる全ての機能よりも小さい範囲に存する。従って、諸請求項をここに明示的に本明細書に援用する。ここで各請求項は独立して本発明の個別の実施例となる。
【図面の簡単な説明】
【００４３】
【図１】装置をネットワークに接続するためのネットワーク環境の検出の実施例の説明図である。
【図２】装置の環境を検出するためのネットワークアーキテクチャーの実施例の説明図である。
【図３】静的なＩＰアドレスの割り当てのための、装置の接続の安全性の実施例の流れ図である。
【図４】動的なＩＰアドレスの割り当てのための、装置の接続の安全性の実施例の流れ図である。
【図５】エージェントの存在を用いた、動的なＩＰアドレスの割り当てのための、装置の接続セキュリティの実施例の流れ図である。
【図６】本発明の実施例のための計算機システムの説明図である。
【図１】
0004805389.tif 000002
【図２】
0004805389.tif 000003
【図３】
0004805389.tif 000004
【図４】
0004805389.tif 000005
【図５】
0004805389.tif 000006
【図６】
0004805389.tif 000007