(57)【要約】  企業全体の共有の構成が、エンドポイントと呼ばれる異なるセキュリティ製品間でセキュリティ関連情報を共有するために、セキュリティアセスメントと呼ばれる意味抽象を使用する。セキュリティアセスメントは、対象のオブジェクトに関して収集される情報への、エンドポイントによる、より広いコンテキスト的意味の暫定的割り当てであると定義される。暫定的な特質は、その構成要素の２つ、すなわち、アセスメントに対して持つ自信のレベルを表すために使用される忠実度フィールド、及びそのアセスメントが有効である予測期間を表す存続時間フィールドに反映される。エンドポイントは、セキュリティアセスメントをセキュリティアセスメントチャネルに公開し、また他のエンドポイントによって公開されたセキュリティアセスメントのサブセットに同意することができる。専門化されたエンドポイントがチャネルに結合されて、すべてのセキュリティアセスメントに同意し、そのセキュリティアセスメントをログし、またセキュリティの脅威への応答としてエンドポイントによって実行されるローカルアクションもログすることにより、集中型監査点として機能する。
2010521749.tif 000002
【特許請求の範囲】
【請求項１】
企業セキュリティ環境内の複数のエンドポイント間でセキュリティ関連情報を共有可能にするセキュリティ関連情報共有モデルであって、
エンドポイントに使用できるセキュリティ関連情報の意味抽象を使用して前記環境内のオブジェクトを説明するステップであって、前記意味抽象はｉ）タイプ別に分類され、ｉｉ）前記エンドポイントによって共通に使用可能であるステップと、
公開及び同意モデルを使用するステップであって、その公開及び同意モデルによって、公開する側のエンドポイントは、同意する側のエンドポイントが同意する前記意味抽象を、前記意味抽象タイプに基づく同意に従って公開するステップと
を含む方法を使用しやすくすることを特徴とするモデル。
【請求項２】
前記意味抽象は、事前定義された分類法を使用して、前記セキュリティ関連情報への、エンドポイントによるコンテキストの割り当てを提供するように構成されたセキュリティアセスメントであることを特徴とする請求項１に記載のセキュリティ関連情報共有モデル。
【請求項３】
前記事前定義された分類法は、オブジェクトタイプ及びアセスメントカテゴリを含む、体系化された語彙を使用することを特徴とする請求項２に記載のセキュリティ関連情報共有モデル。
【請求項４】
前記オブジェクトタイプは、ホスト、ユーザ、サービス、データ又は企業のうちの少なくとも１つを含むことを特徴とする請求項３に記載のセキュリティ関連情報共有モデル。
【請求項５】
前記アセスメントカテゴリは、「脆弱な」、「コンプロマイズド」、「攻撃中」、「対象の」、「破壊されている」、「悪意ある」のうちの少なくとも１つを含むことを特徴とする請求項３に記載のセキュリティ関連情報共有モデル。
【請求項６】
アセスメントカテゴリの特定のものがオブジェクトタイプの特定のものにマッピングされることを特徴とする請求項３に記載のセキュリティ関連情報共有モデル。
【請求項７】
前記セキュリティアセスメントは複数のフィールドを有し、前記複数のフィールドのうちの少なくとも１つは、エンドポイントが前記セキュリティアセスメントに対して持つ自信の程度を表すように構成された忠実度フィールドであることを特徴とする請求項２に記載のセキュリティ関連情報共有モデル。
【請求項８】
前記セキュリティアセスメントは複数のフィールドを有し、前記複数のフィールドのうちの少なくとも１つは、前記セキュリティアセスメントが有効であると期待される期間の、エンドポイントによる予測を表すように構成された存続時間フィールドであることを特徴とする請求項２に記載のセキュリティ関連情報共有モデル。
【請求項９】
前記複数のエンドポイントのうちの少なくとも１つはセキュリティソリューションオブジェクトを有し、前記オブジェクトは、セキュリティ製品、セキュリティソリューション、管理製品、管理ソリューション、セキュリティサービス、又は管理サービスの１つから選択されたものであることを特徴とする請求項１に記載のセキュリティ関連情報共有モデル。
【請求項１０】
エンドポイントが企業セキュリティ環境内でセキュリティ関連データを共有できるようにする方法であって、
イベントを説明するためのセキュリティアセスメントを生成するステップであって、少なくとも部分的に、前記エンドポイントによって監視されるシステムに関するローカルで使用可能な情報に基づき、前記セキュリティアセスメントは、前記イベントにコンテキスト的意味を与えるように構成され、前記セキュリティアセスメントが有効であり続ける時間間隔によって画定されるステップと、
前記企業セキュリティ環境内の他のエンドポイントによって生成された、使用可能なセキュリティアセスメントのサブセットへの同意に従って現在のセキュリティアセスメントを受信するステップと、
セキュリティアセスメント別方式による応答ポリシに従って応答を実行するステップと
を含むことを特徴とする方法。
【請求項１１】
前記応答はローカルアクションを含むことを特徴とする請求項１０に記載の方法。
【請求項１２】
前記セキュリティコンテキストは、前記サブセットからの１つ又は複数の前に受信されたセキュリティアセスメントが有効である限り、前記前のセキュリティアセスメントを含むことを特徴とする請求項１０に記載の方法。
【請求項１３】
前記ローカルで使用可能な情報は、前記エンドポイントによって実行された１つ又は複数の過去のローカルアクションをさらに含むことを特徴とする請求項１１に記載の方法。
【請求項１４】
前記受信されたセキュリティアセスメントが有効でなくなったら前記ローカルアクションをロールバックするさらなるステップを含むことを特徴とする請求項１１に記載の方法。
【請求項１５】
企業全体のセキュリティポリシを構成する方法であって、
セキュリティイベントのアセスメントが前記企業内の複数のエンドポイントによって生成されるセキュリティアセスメントスキーマを定義するステップであって、前記アセスメントは、ｉ）事前定義された分類法を使用して前記セキュリティイベントにコンテキスト的意味を与え、ｉｉ）タイプ別に分類されるステップと、
アセスメントを、各アセスメントタイプへの応答を説明するルールのマトリックスへのアンカーポイントとして使用するステップと
を含むことを特徴とする方法。
【請求項１６】
中央地点にある前記複数のエンドポイントによって生成された前記アセスメントを収集するさらなるステップを含むことを特徴とする請求項１５に記載の方法。
【請求項１７】
前記エンドポイントによって生成され、前記エンドポイントによって実行されるローカルアクションに関連付けられた通知を収集するさらなるステップを含むことを特徴とする請求項１５に記載の方法。
【請求項１８】
アセスメントタイプは、オブジェクトタイプ、アセスメントカテゴリ、又はイベントの重大度のうちの少なくとも２つの組合せによって定義されることを特徴とする請求項１５に記載の方法。
【請求項１９】
前記ルールのマトリックスはアセスメントの忠実度及びイベントの重大度の大きさを含むことを特徴とする請求項１５に記載の方法。
【請求項２０】
前記アンカーポイント及び前記ルールのマトリックスの表示を示すためのグラフィカルユーザインターフェースを提供するさらなるステップを含むことを特徴とする請求項１５に記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、企業セキュリティアセスメントの共有に関する。
【背景技術】
【０００２】
企業のコンピューティング環境、例えば、事業用事務所では、一般的に、多数のパーソナルコンピュータ、ワークステーション、サーバなどが、大容量記憶装置サブシステム、内部ネットワークインターフェース、及び外部ネットワークインターフェースなど、他のデバイスと共に相互接続されて、情報が生成でき、外部ソースからアクセスでき、様々なユーザ間で共有できる統合環境が提供される。通常、ユーザは、受注、製造、出荷、請求書作成、在庫管理、文書の作成及び管理、Ｅメール、ウェブブラウジング、ならびにデータの作成、アクセス、及び共有が役立つ他の作業を含む様々な作業を行う。
【０００３】
現在、セキュリティは、一般的に、通常はそれぞれが企業全体のデータの一部分だけを監視するように構成された、様々な異なるセキュリティ製品を使用して企業に提供されている。すなわち、セキュリティ製品は、各製品が企業内のデータの異なる部分に関して監視、評価、及び処置を行う、個別のローカルな「島」として構成されている。例えば、企業は、企業の様々な異なる部分にセキュリティを提供するために、企業内のホストコンピュータを保護する製品、エッジファイヤウォール製品、ネットワーク侵入検出システム（「ＮＩＤＳ」）製品、ネットワークアクセス保護（「ＮＡＰ」）製品、及び他の個別のセキュリティ製品などのセキュリティ製品の組合せを利用することができる。
【０００４】
これらのセキュリティ製品は、多くの用途で申し分なく機能することが多いが、セキュリティインシデントの検出では、しばしば、一部分の企業セキュリティデータのみを監視する結果として、望ましくないほど高レベルの誤検出及び検出漏れの発生が起きる。また、企業セキュリティ製品のすべての島に効果的な共通の管理を提供することは困難であった。企業全体のセキュリティデータを相関させようとする現在の試みは、管理費及び維持費が高額であり、規模調整に問題がある。セキュリティ管理者がセキュリティインシデントへの自動対応用に明瞭で単純、かつ統合された企業全体のポリシを定義及び強制できるように企業全体の単一のビューを可能にするために、より効率のよい企業セキュリティ管理が望ましいであろう。
【０００５】
この「背景技術」は、後述される「発明の概要」及び「発明を実施するための形態」に関する要点を紹介するために記載されている。「背景技術」は、「特許請求の範囲」で主題の範囲を決定するのを援助することは意図されておらず、また、「特許請求の範囲」で記載される主題を、上述された欠点又は問題のいずれか又は全部を解決する実施態様に限定するものと解釈されることも意図されていない。
【発明の概要】
【発明が解決しようとする課題】
【０００６】
企業セキュリティ環境において、エンドポイントと呼ばれる異なるセキュリティ製品間でセキュリティ関連情報の共有を可能にするために、セキュリティアセスメントと呼ばれる意味抽象（ｓｅｍａｎｔｉｃ  ａｂｓｔｒａｃｔｉｏｎ）が作成される、「ＥＳＡＳ−Ｅｎｔｅｒｐｒｉｓｅ  Ｓｅｃｕｒｉｔｙ  Ａｓｓｅｓｓｍｅｎｔ  Ｓｈａｒｉｎｇ（企業セキュリティアセスメントの共有）」と呼ばれる企業全体の共有の構成が提供される。
【課題を解決するための手段】
【０００７】
セキュリティアセスメントは、企業セキュリティ環境における、コンピュータ、ユーザ、サービス（例えば、ウェブサイト）、データ又は企業全体などの対象のオブジェクトに関して収集される情報（すなわち、コンテキストによってはデータ）への、エンドポイントによる、より広いコンテキスト的意味（ｃｏｎｔｅｘｔｕａｌ  ｍｅａｎｉｎｇ）の暫定的割り当てであると定義される。セキュリティアセスメントは、企業セキュリティ環境におけるオブジェクトが、検出されたインシデントの重大度（例えば、低、中、高、重大）と共に「コンプロマイズド（ｃｏｍｐｒｏｍｉｚｅｄ）」又は「攻撃中」などの特定のアセスメントカテゴリに分類されることをエンドポイントが宣言するための簡潔な語彙を使用する。
【０００８】
セキュリティアセスメントが暫定的であるのは、セキュリティアセスメントが不確実になりやすく、限定された期間だけ有効であるからである。セキュリティアセスメントの暫定的な特質は、その構成要素の２つ、すなわち、エンドポイントがコンテキスト的意味の割り当てに対して持つ自信のレベルを表す忠実度（ｆｉｄｅｌｉｔｙ）フィールド、及びそのセキュリティアセスメントが有効であると期待される、そのエンドポイントの予測期間を反映する存続時間（「ＴＴＬ」）フィールドに反映される。したがって、例えば、セキュリティアセスメントは、エンドポイントによる１つ又は複数のセキュリティインシデントの現在の理解に照らして、特定のマシンがコンプロマイズされていることを、重大度［重大］、忠実度「中」、ＴＴＬ「３０分」を付加して宣言するためにエンドポイントによって使用できる。任意の所与の企業セキュリティ環境において、例えば、アセスメントカテゴリ及びオブジェクトタイプの様々な組合せを有する様々なタイプのセキュリティアセスメントが使用できる。
【０００９】
エンドポイントは、セキュリティアセスメントを企業セキュリティ環境で動作するセキュリティアセスメントチャネルに公開する機能、及び他のエンドポイントによって公開された使用可能なセキュリティアセスメントのサブセットに同意する機能が可能になっている。企業セキュリティ環境に存在する、アクティブなセキュリティアセスメント（すなわち、そのアセスメントがまだ有効であることを示しているＴＴＬを有するアセスメント）は、そのようなＥＳＡＳ可能なエンドポイントに、そのエンドポイント自身のローカルで使用可能な情報を見るための新しい方法を与えるセキュリティコンテキストを提供するように機能する。すなわち、そのセキュリティコンテキストは、潜在的なセキュリティインシデントの検出の品質を大幅に向上させるために、ＥＳＡＳ可能なエンドポイントが、様々な異なるソースから受信された、種々のオブジェクトタイプにわたるセキュリティアセスメントのエビデンスを組み合わせる、又は相関させることができるようにしている。ＥＳＡＳ可能なエンドポイントは、次に、応答ポリシのセットに従って、各タイプのセキュリティアセスメント（別のエンドポイントから受信されたか、そのエンドポイント自身によって内部で生成されたかに関係なく）にはどんなローカルアクション又は応答が適しているかについて決定する。インシデントの検出は、セキュリティコンテキストが、セキュリティアセスメントの形の企業全体の情報を、企業全体で膨大な量の生データを共有することを負担することなく（膨大な量の生データのほとんどは、何らかのコンテキストが欠落しているために完全に無関係である）分散処理できるようにしているので、効率もよく、費用効果も高い。ＥＳＡＳ可能なエンドポイントは、さらに、ローカルアクションを指示したセキュリティアセスメントが失効したとき（すなわち、そのセキュリティアセスメントが、ＴＴＬフィールドに指定された存続時間を超えたとき）、そのローカルアクションをロールバックするように構成されている。
【００１０】
１つの例示的な例において、ＥＳＡＳセントラルサーバと呼ばれる専門化されたエンドポイントがセキュリティアセスメントチャネルに結合されて、すべてのセキュリティアセスメントに同意し、そのセキュリティアセスメントをログし、また企業セキュリティ環境においてセキュリティインシデントへの応答としてエンドポイントによって実行されるローカルアクションもログすることにより、集中型監査点として機能する。ＥＳＡＳセントラルサーバは管理者に、企業全体及び各ＥＳＡＳ可能なエンドポイントの履歴ならびに現在の状況の総合的なビューを提供する。セキュリティアセスメントを利用すると、管理者は、企業全体にわたって検出されるインシデントに対する応答ポリシを簡潔かつ効率よく構成できる。セキュリティアセスメントは、企業全体のセキュリティ応答ポリシを定義するための自然のアンカー、すなわち、スターティングポイントとして機能する。したがって、企業全体にわたって各タイプのセキュリティアセスメントに所望の応答を定義するために、能率化された、一貫性のある管理インターフェースが使用可能にされている。
【００１１】
このＥＳＡＳ共有の構成は多くの利点がある。簡潔な語彙を有するセキュリティアセスメントを使用することにより、企業におけるデータ全般の複雑さが著しく軽減され、意味のある情報だけがエンドポイント間で共有される。セキュリティアセスメントを使用すると、中央記憶場所に大量の生データを収集する必要もなくなり、それにより、非常に高い費用効果で、非常に拡張性の高い企業セキュリティソリューションが構築できるようになる。加えて、新規エンドポイントがオンデマンド拡張性によって容易に配置できる。セキュリティアセスメントは、新規エンドポイントと既存のエンドポイント間で、既存のエンドポイント内の応答ポリシのいずれも再構成することなく共有できる。新規エンドポイントは、既存のエンドポイントがすでに理解している意味抽象を使用して、単純にセキュリティアセスメントの新しいソースとして機能する。セキュリティアセスメントを利用すると、企業全体のセキュリティポリシは非常に簡潔で明瞭な方法によって設定することができ、企業内のすべてのエンドポイントが生成する可能性がある、可能なセキュリティイベントのすべてを理解したうえで、各イベント用の応答アクションを記載しようとする必要はない。
【００１２】
この「課題を解決するための手段」は、以下の「発明を実施するための形態」でさらに説明される概念の抜粋を簡略化した形で紹介するために記載されている。この「課題を解決するための手段」は、「特許請求の範囲」で記載される主題の重要な機能又は必須の機能を特定することは意図されておらず、「特許請求の範囲」で主題の範囲を決定するのを援助するために使用されることも意図されていない。
【図面の簡単な説明】
【００１３】
【図１】本発明の企業セキュリティアセスメントの共有を実施できる、例示的な企業セキュリティ環境を示した図である。
【図２】セキュリティアセスメントを複数のエンドポイント間で共有できるようにするためのチャネルが備えられている、例示的な企業セキュリティアセスメントの共有の構成を示した図である。
【図３】セキュリティアセスメントの基礎となる、例示的な用語の階層を示した図である。
【図４】２つの例示的なエンドポイント、及び本発明のセキュリティアセスメントの構成を利用することにより可能になった複雑さの軽減を示した図である。
【図５】セキュリティアセスメントの共有を可能にする、エンドポイント内に配置された機能の例示的な例を示した図である。
【図６】複数のＥＳＡＳ可能なエンドポイントがセキュリティアセスメントチャネルに結合され、１つのエンドポイントで検出されたインシデントが複数の他のエンドポイントで応答をトリガする、第１の例示的なシナリオの図である。
【図７】「低」忠実度のセキュリティアセスメントがセキュリティアセスメントチャネルを介して送信され、そのセキュリティアセスメントが、受信側のＥＳＡＳ可能なエンドポイントによる新しい「高」忠実度アセスメントの生成をトリガし、そのエンドポイントがオブジェクト間マッピングも行う第２の例示的なシナリオの図である。
【図８】修復手法の目標とされる使い方を示した第３の例示的なシナリオの図である。
【図９】管理者などのユーザが企業内のＥＳＡＳ可能なエンドポイントの応答ポリシを管理及び定義できるようにしたグラフィカルユーザインターフェース（「ＧＵＩ」）によって提供される例示的な画面を示した図である。
【図１０】図９で示されたＧＵＩ画面を補足するように、又はその代替として使用されるように構成されたＧＵＩによって提供される例示的な画面を示した図である。
【図１１】本発明のＥＳＡＳ機能セットが企業セキュリティ管理のレイヤ機能を提供する、例示的な企業セキュリティの構成を示した図である。
【発明を実施するための形態】
【００１４】
現在の企業セキュリティソリューションの分析によると、顧客のニーズに対処できる見込みはまだ相当にあることが分かる。例えば、各個別のセキュリティ製品は、マルウェア又は悪意あるユーザのアクションにより生成されるなどのセキュリティインシデントの誤検出及び検出漏れの検出が高率である傾向がある。そのような「低」忠実度の検出は、単一のタイプのソース（すなわち、企業全体のデータのサブセット）からのデータは、通常、セキュリティインシデントの正確なアセスメントをするのに必要なコンテキストを提供しないことが原因で発生する。
【００１５】
検出されたインシデントの有効性に対する自信が弱いために、検出の忠実度が低いことの結果として、自動アクション又は自動応答を使用することは非常に稀である。加えて、検出されたインシデントへの典型的な応答が非常に手厳しい傾向がある。例えば、ユーザ又はマシンがネットワークから切断されることがある。そのような手厳しいアクションは、一般的に、企業のビジネス活動に相当な代価を課すので、「低」忠実度の検出に基づくそのようなアクションの自動化は一般的には行われていない。
【００１６】
対象のインシデントの検出時、現在のセキュリティ製品は、典型的には、検出の有効性（すなわち、そのインシデントは真であるか、偽であるか）及び応答としてどんなアクションを取るべきかを判定するための調査を行う。検出されたインシデントに関係ある可能性がある、収集された詳細なデータを見直すためには、調査に相当な数のリソースが費やされる。常時、すべてのデータを収集するのは実現不可能なので、セキュリティ製品は、管理者によって定義されたポリシを適用することにより、使用可能なデータのサブセットのみを収集する。そのようなポリシは、多くの場合、静的であり、収集システムの記憶容量に基づいて、必ずしもインシデントデータ又はデータソースに関連付けられず、共通に定義されている。
【００１７】
インシデントが検出されたとき、そのようなポリシを適用すると、典型的には、その検出をトリガしたデータの見直しが行われる。このデータが「高」忠実度の応答を生成するには不十分と思われる場合、典型的には、追加データが収集されることすらある。例えば、被疑コンプロマイズドマシンとの間で送受信されるデータトラフィックの全部が監視されることがある。多くの場合、大量のデータが収集されるが、決して使用されることはなく、ノイズとして統計上の重みがあるだけである。その結果、多くの現在のセキュリティ製品は、しばしば圧倒的な量のノイズを収集するが、十分な関連データは収集されない。
【００１８】
改善のためのもう１つの領域は、企業全体にわたる応答の管理と調整である。現在の企業セキュリティ製品は、各個別の島で検出されたインシデントに対して、本来、ローカライズされた応答を提供する。セキュリティ製品は分離されているので、可能な応答オプションは、企業の、特定のセキュリティ製品が動作する部分に限定される。すなわち、アクション及び応答は、検出される個別のインシデント用に１つのセキュリティ製品の島の中で定義することができるが、企業の別の部分、又はグローバルな方法で適用されると、効果がより大きい可能性がある所望のアクションを記載する機能はない。現在、企業全体の定義及びセキュリティインシデントへの応答ポリシの強制を可能にする単一の管理点はない。さらに、何かが起きていること、又はアクションが実行される必要があることを他に通知するために各島が通信するときに使用する、統合応答チャネル及び言語／プロトコルも存在しない。管理及び調整された応答がないので、企業内の全島にわたってデータを手動で統合し、相関させるためにかかる経費は相当なものになる。
【００１９】
類似の参照番号が類似の要素を示す図を参照すると、図１は、エンドポイントと呼ばれる、様々なセキュリティ製品１０５−１、２、．．．Ｎが配置される、例示的な企業セキュリティ環境１００を示している。図１に示されたエンドポイント１０５の数及びタイプは単に例示であって、企業セキュリティアセスメントの共有を具体的に適用するときの要件に応じて、エンドポイントの具体的な数は上又は下に規模調整することができ、異なるタイプのセキュリティ製品／エンドポイントが利用できる。例えば、図１及び以下で説明されるものに加えて、ウェブアプリケーション保護製品、ＳＥＭ／ＳＩＭ（Security Event Management/Security Incident Management（セキュリティイベント管理／セキュリティインシデント管理））製品、オペレーショナルヒース（ｏｐｅｒａｔｉｏｎａｌ  ｈｅａｔｈ）監視及び構成管理製品（例えば、Ｍｉｃｒｏｓｏｆｔ  Ｗｉｎｄｏｗｓ（登録商標）Ｓｏｆｔｗａｒｅ  Ｕｐｄａｔｅ  Ｓｅｒｖｉｃｅｓ、Ｍｉｃｒｏｓｏｆｔ  Ｏｐｅｒａｔｉｏｎｓ  Ｍａｎａｇｅｒ）、又は識別情報管理製品（例えば、Ｍｉｃｒｏｓｏｆｔ  Ａｃｔｉｖｅ  Ｄｉｒｅｃｔｏｒｙ）も一部のアプリケーションでは使用できる。
【００２０】
企業セキュリティ環境１００において、ホストセキュリティエンドポイント１０５1は、企業１００内の複数のホストコンピュータ１０８を保護、評価及び監視するように配置されている。ホストセキュリティエンドポイント１０５1の市販の例は、企業のデスクトップ、ラップトップ、及びサーバオペレーティングシステムに統合マルウェア保護を提供するＭｉｃｒｏｓｏｆｔ  Ｆｏｒｅｆｒｏｎｔ  Ｃｌｉｅｎｔ  Ｓｅｃｕｒｉｔｙ（登録商標）である。
【００２１】
エッジファイヤウォール１０５2は、ユーザが周辺ネットワーク１１２を介してアプリケーション及びデータにリモートアクセスできるようにする一方で、企業環境１００をインターネット系の脅威から保護するように構成されたセキュリティ製品である。エッジファイヤウォール１０５2は、例えば、Microsoft Internet Security and Acceleration（登録商標）（「ＩＳＡ」）サーバによって実施できる。
【００２２】
ＮＡＰセキュリティエンドポイント１０５3は、管理者によって定義されたヘルスポリシを進行中に確実に順守させることにより、コンピュータヘルスポリシの検証を行う。典型的には、ＮＡＰセキュリティエンドポイント１０５3によって監視される、システムヘルス要件を順守しないコンピュータ（例えば、デスクトップ（複数）及びローミングラップトップ（複数）１１５）に関するアクセスが制限される。
【００２３】
ＮＩＤＳセキュリティエンドポイント１０５4は、企業１００内の内部ネットワーク１１９上のトラフィックを分析する。ＮＩＤＳセキュリティエンドポイント１０５4は、内部ネットワーク１１９上のネットワークトラフィックを監視することにより、サービスアタックポートスキャンの否定（ｄｅｎｉａｌ  ｏｆ  ｓｅｒｖｉｃｅ  ａｔｔａｃｋｓ  ｐｏｒｔ  ｓｃａｎ）のような悪意ある活動を検出するように動作する。
【００２４】
業務（ｌｉｎｅ−ｏｆ−ｂｕｓｉｎｅｓｓ）セキュリティエンドポイント１０５Nは、様々な業務アプリケーション１２２を保護する。業務アプリケーション１２２としては、例えば、企業１００内で使用されるＭｉｃｒｏｓｏｆｔ  Ｅｘｃｈａｎｇｅ（登録商標）などのＥメールアプリケーションがある。セキュリティエンドポイント１０５Nは、典型的には、アンチウィルス及びアンチスパム保護を提供するためにＥメールを監視する。
【００２５】
企業１００内のセキュリティエンドポイント１０５のそれぞれは、通常、図１の波線の長方形で示されているように、個々の島として構成されている。したがって、各セキュリティエンドポイント１０５は、企業１００内の使用可能なデータのサブセットを監視し、検出されたインシデントへの応答として、ローカライズされたアクションを行うように構成されている。加えて、各エンドポイントは、典型的には、ローカル管理機能１３５−１、２．．．Ｎを有している。上述のように、個々のローカル管理機能は、一般的に、単一の管理点を提供するように統合されていない。
【００２６】
図２は、「セキュリティアセスメント」と呼ばれる意味抽象を複数のエンドポイント間で、各エンドポイントで共通に使用される言語／プロトコルを使用して共有できるようにチャネル２０５が備えられている、例示的なＥＳＡＳ構成２００を示している。セキュリティアセスメントチャネル２０５は、セキュリティアセスメントのソース（公開者）をセキュリティアセスメントの消費者（同意者）に接続するためにエンドポイントによって使用される公開／同意モデルを容易にする。示されているように、セキュリティアセスメントチャネル２０５上の公開者及び同意者は両方ともエンドポイント１０５である。
【００２７】
エンドポイント（複数）１０５は、セキュリティアセスメントチャネル２０５との対話を単純化するように構成されている意味抽象レイヤを使用することにより、公開／同意モデルの実際のトランスポート及び管理の構造から分離されている。抽象レイヤは、エンドポイントが同意するセキュリティアセスメントタイプを記載したテーブル及びエンドポイントが公開するセキュリティアセスメントタイプを記載したテーブルを含んでいる（以下で説明するように、一般的には、すべてのエンドポイントがすべてのセキュリティアセスメントタイプに同意するわけではない）。加えて、抽象レイヤは、受信されたセキュリティアセスメントを読むためのＡＰＩ（アプリケーションプログラミングインターフェース）及びセキュリティアセスメントを生成するためのＡＰＩを提供する。
【００２８】
専門化されたエンドポイント、ＥＳＡＳセントラルサーバ２１６は、セキュリティアセスメントチャネル２０５に結合され、ＥＳＡＳ構成２００のための集中型監査点として動作する。したがって、ＥＳＡＳセントラルサーバ２１６はすべてのセキュリティアセスメントに同意し、セキュリティアセスメントを永続的にログする。ＥＳＡＳセントラルサーバ２１６は、エンドポイントによって実行されるローカルアクションを示す、エンドポイントからのメッセージの受信及びログも行う。したがって、ＥＳＡＳセントラルサーバ２１６は管理者に、企業全体及び各ＥＳＡＳ可能なエンドポイントの履歴ならびに現在の状況の総合的なビューを提供する。
【００２９】
図３は、セキュリティアセスメントの基礎となる、例示的な用語の階層３００を示した図である。セキュリティアセスメントは、情報へのセキュリティの意味、すなわち、カテゴリの暫定的割り当てであると定義される。情報は、ここで言及された場合、何らかのコンテキストを有するデータであると定義される。データは、コンテキストがない個別の項目であると定義される。これらの定義は、例を示す目的で、さらに説明することができる。図３に示されているように、一片のデータ３０５は、イベントログ中の、失敗したログインなどのイベントである。情報３１０は、コンテキストを与えられたデータであって、この例では、コンテキストは、失敗したログインは、同じマシン、すなわち、Ｌａｐｔｏｐ２という名前のラップトップ上の１０分の間での６番目のログインの失敗であったことである。セキュリティアセスメント３１６は、この例では、Ｌａｐｔｏｐ２は独特の方法で分類されている、すなわち、Ｌａｐｔｏｐ２は、カテゴリ「コンプロマイズド」、重大度「高」と評価され、そのようなアセスメントは忠実度「低」を有することを表している（これらの用語は、以下で、より詳しく定義及び説明されている）。
【００３０】
セキュリティアセスメントは、企業セキュリティ環境内の任意の対象のオブジェクト、例えば、ユーザ又はデバイスに対して実行できる。この例示的な例では、アセスメントは、次の４つの主要なオブジェクトタイプを対象にしている。すなわち、１）ホスト−企業内のコンピュータに関するアセスメント、２）ユーザ−企業内のユーザ又はアカウントに関するアセスメント、３）サービス−企業に提供されるサービス、例えば、悪意があるという評判のウェブサイトのＵＲＬ（Ｕｎｉｆｏｒｍ  Ｒｅｓｏｕｒｃｅ  Ｌｏｃａｔｏｒ（ユニフォームリソースロケータ））などに関するアセスメント、４）企業−企業全体、又は企業の、よく定義されたサブセット、例えば、部、サブネット、サイト、支店などに関するアセスメント、５）データ−企業内に存在している、又は企業内のオブジェクトによってアクセスされる業務関連データ（例えば、文書中にあるように、Ｅメール、データベース内の業務データなど）に関するアセスメントである。
【００３１】
強調しておくが、これらのオブジェクトタイプは単なる例示的なものであって、特定のシナリオでは、必要に応じて、他のオブジェクトタイプが使用できる。企業セキュリティアセスメントの共有のほとんどの適用例で、特定のエンドポイントは、一般的には、企業環境内の特定のオブジェクトに関心を持つことになるから、エンドポイントは、使用可能な全セキュリティアセスメントタイプのうちのサブセットを公開、及びサブセットに同意するだけである。加えて、一部のエンドポイントは公開者と同意者の両方であろうが、すべてのエンドポイントが両方の機能をサポートする必要はない。これらの理由のため、本明細書で言及される公開／同意モデルは、疎結合していると言われる。
【００３２】
以下の表１は、一般的なセキュリティアセスメントに含まれる可能性があるアセスメントカテゴリの例示的なセット、及びそのアセスメントカテゴリと特定のオブジェクトタイプとのマッピングを示している。
【００３３】
【表１】
2010521749.tif 000003
【００３４】
この例示的なＥＳＡＳの構成では、一般的には、低、中、高、及び重大の４つのレベルの重大度が使用されている。忠実度は、一般的には、低、中、高の３つのレベルが使用されている。重大度及び忠実度のレベルの数は、両方とも、アセスメントカテゴリに応じて異なるように調整することができる。例えば、「脆弱なマシン」というアセスメントカテゴリには３つの重大度レベルを使用し、「コンプロマイズドマシン」というアセスメントカテゴリには４つの重大度レベルを使用することが可能である。使用するレベル数の具体的な選択は、この企業セキュリティアセスメントの共有を具体的に適用するときの要件によって異なる。
【００３５】
セキュリティアセスメントは、アセスメントが行われたときに使用可能な情報を使用し、アセスメントを作成するエンドポイントに常駐している特定のセキュリティ専門知識及び知識を利用する。どの特定のイベントに対する自信も絶対ではありえないため、またアセスメントが、それが生成されたときに存在していた情報を利用するので、本質的に一時的であることも理由で、セキュリティアセスメントは暫定的である。将来のいずれかの時点で他の情報が使用可能になり、そのため、セキュリティアセスメントが変わる可能性がある。
【００３６】
セキュリティアセスメントの暫定的な特質は、各アセスメントに含まれる２つのフィールド、すなわち、忠実度フィールド及び存続時間（「ＴＴＬ」）フィールドに反映される。忠実度フィールドは、エンドポイントが、分析されている情報への、より広いコンテキスト的意味の割り当てに対する自信を表す方法を提供している。ＴＴＬフィールドは、エンドポイントが、そのセキュリティアセスメントが有効であると期待される最善の予測期間を反映できるようにしている。あるいは、ＴＴＬフィールドは、将来のセキュリティアセスメントの更新のための最善の予測を提供する。ＴＴＬが満了すると、同意しているセキュリティアセスメントに基づいてアクションを実行するエンドポイントは、そのアセスメントのＴＴＬが満了したとき、そのようなアクションをロールバックすると期待される。したがって、ＴＴＬは、ユーザ又はマシンが誤検出のために、又は企業内のどこかでメッセージが失われたために、制限されたアクセスに不適切にトラップされることを防ぐ、安全弁的機能を果たす。ただし、そのような制限されたアクセスが本当は適切である場合、制限を継続するために新しいセキュリティアセスメントが生成されてもよいし、ＴＴＬが延長されてもよい。
【００３７】
セキュリティアセスメントは、簡潔な語彙を使用して正確な意味解釈を可能にするように設計されている（すなわち、セキュリティアセスメントでは、分類によって与えられる意味が使用される）。図４に示されているように、企業内のエンドポイント（複数）１０５のうちの２つは、それぞれの対象領域で発生するイベントに関するデータをログする。したがって、ホストイベントログ（複数）４０５及びファイヤウォールイベントログ（複数）４１２は、非常に大量のデータを有する。一般的には、データは、対象のイベントを識別するために、相関ルール４２０及び４２５を用いてそれぞれのエンドポイントで処理される。相関ルールは、多くの場合、膨大な数であるが、地域別の担当者、又は検出されたイベントに対して確実に実行されるアクションを定義する。
【００３８】
比較であるが、参照番号４３２で示されるセキュリティアセスメントは、比較的ごく少量のデータを有している。セキュリティアセスメントは情報に広いコンテキストを割り当てるために使用されるので、セキュリティアセスメントは、次のような質問に対して回答を出す。すなわち、誰がアセスメントを作成したか？  いつか？  なぜか？  どれだけ長くか？  さらに、そのアセスメントはどのオブジェクトに基づいて適用されるか？  したがって、セキュリティアセスメントを利用するためには、エンドポイントは、相関ルールを適用した結果の無限の数のメッセージに比べると、対象となる数個のアセスメントタイプを理解する必要があるだけである。したがって、情報をアセスメントタイプのうちの１つ又は複数にマッピングすることにより、各エンドポイントによって収集されるデータの複雑さが軽減される。セキュリティアセスメントをこのように使用すると、同意したエンドポイントに関連情報を提供できるようになり、企業全体で大量のデータ又は情報が共有される必要がない。
【００３９】
以下の表２は、一般的なセキュリティアセスメントに含まれる可能性があるフィールドの例示的なセットを示している。
【００４０】
【表２】
2010521749.tif 000004
【００４１】
表２のフィールドを用いると、セキュリティアセスメントは、以下のイベントを表現できる。
１．検出。エンドポイントは、何らかの異常な動作が起きていることを推定するために何らかの分析を実行する（コンプロマイズドマシン、脆弱なマシン、コンプロマイズドユーザなど）。
２．応答。エンドポイントは、セキュリティアセスメントの結果としてアクションを実行する。アクション実行される場合、エンドポイントはシステム（特に図２のＥＳＡＳセントラルサーバ２１６）に通知すべきである。応答としては、例えば、トラフィックの阻止、スキャンのトリガ、パスワードのリセット、マシンに関する追加データの収集、同様のアクションがある。パスワードのリセット又はスキャンのトリガなど、一部の応答は間欠性であるが、他の応答は持続性であり、取り消すためにはロールバックされる必要がある。
３．アセスメントの承認。管理者は、ＥＳＡＳセントラルサーバ２１６とのインターフェースを使用して、手動でアセスメントを承認することができる。エンドポイントは、「必要な手動の承認」という応答を実行するために、そのような承認時には通知されるべきである。
４．取り消し。管理者又はエンドポイントは既存のセキュリティアセスメントを取り消すことができる。
５．応答のロールバック。エンドポイントは、特定のアセスメントのために実行されたすべての応答／アクションをロールバックしたことをシステム（図２のＥＳＡＳセントラルサーバ２１６）に通知する。
６．接続の検証機能、潜時チェック、エラー情報など、ヘルス情報アセスメント。
７．調査データの要求。これは、あるエンドポイントから別のエンドポイントへの、オブジェクトに関して所与の期間に収集された全データを送信するようにという要求である。
８．調査データの要求完了。これは、エンドポイントが要求を実行したことを通知するための方法である。要求への応答は、データが保存／送信された後で送信される。
【００４２】
企業セキュリティアセスメントの共有の、この例示的な例では、各エンドポイントは、下記のタスクの少なくともいくつかを実行するように構成されている。一部の構成では、各エンドポイントは、個別のＥＳＡＳエージェントを使用することによりそのようなタスクを実行するために、必要に応じて機能を追加して拡張される。別法として、拡張機能は、エンドポイントによって提供されるコア機能に、より緊密に組み込まれてもよく、分離した、又は個別のエージェントがエンドポイント内で必ずしも実施されなくてもよい。そのようなタスクには、次のようなものがある。
１．監視されたシステムに関するローカルで使用可能な情報及びセキュリティコンテキストに基づいて、新しいセキュリティアセスメントを生成する。
２．他のエンドポイントからの使用可能なセキュリティアセスメントのサブセットに同意する。
３．着信するセキュリティアセスメントを処理し、それによってセキュリティコンテキストに影響を与える。処理の結果、新しいセキュリティアセスメントが生成されることがある。
４．応答ポリシに従ってローカルアクションを実行する。
５．ローカルアクションの原因になったアセスメントが満了したとき（例えば、関連のＴＴＬが満了したとき）、ローカルアクションをロールバックする（自己回復）。
【００４３】
図５は、他のエンドポイント１０５−１、２．．．Ｎ（図１）からセキュリティアセスメントチャネル２０５を介して送られる、使用可能なアセスメントのサブセットに同意するエンドポイント内に配置されているＥＳＡＳエージェント５０５の例示的な例を示している。上述のように、ＥＳＡＳエージェント５０５によって提供される機能は、別法として、エンドポイントのコア機能と直接一体化されてもよい。
【００４４】
複数のセキュリティアセスメント５０６は、セキュリティアセスメントタイプ（すなわち、ホスト、ユーザ、評判及び企業）のそれぞれに対して使用可能である。参照番号５１１で示されているように、この例示的な例では、ＥＳＡＳエージェント５０５は、「ホスト」オブジェクトタイプを有し、アセスメントカテゴリ「脆弱」のセキュリティアセスメントに同意する。強調しておくが、オブジェクトタイプとアセスメントカテゴリの、対象となる特定の組合せは、異なるエンドポイントでは異なってよい。疎結合の公開／同意モデルを使用する場合、やはり、どのエンドポイントもが、どのセキュリティアセスメントにも同意するという必要はない。
【００４５】
プロセスブロック５１４において、エンドポイントは、相関ルール５２２、及び何らかの関係がある可能性がある、ローカルで使用可能なデータ５２７を使用して、受信されたセキュリティアセスメントを処理する。そのようなアセスメントプロセスの出力は、新たなアセスメント５３０の生成及び／又はローカルアクション５３５の起動を含む。上述のように、そのようなローカルアクションは、受信されたアセスメントに含まれるＴＴＬフィールドに従ってそのアセスメントが満了になったとき、ロールバック５４１（すなわち、自己回復）が行われることがある。
【００４６】
ＥＳＡＳエージェント５０５は、以下のルールに従ってセキュリティアセスメントを解釈する。
１．特定のオブジェクトに関してセキュリティアセスメントを生成するとき、エンドポイントは、以下のいずれの組合せも考慮することができる。
【００４７】
ａ）そのオブジェクト、又はそのエンドポイントが監視する、いずれか他のオブジェクトに関するローカルで使用可能な全情報。
【００４８】
ｂ）そのエンドポイントが受信した、現在アクティブな全セキュリティアセスメント（すなわち、満了前のＴＴＬを有するセキュリティアセスメント）。
【００４９】
ｃ）そのエンドポイントが過去に実行した、全ローカルアクション。
２．この企業セキュリティアセスメントの共有の構成の中のエンドポイントのすべてが、それらのエンドポイント内のローカルで使用可能な情報の全セットが相互に排他的であるという原則に準拠している。すなわち、この構成では、特定の一片のローカル情報を処理するエンドポイントは１つしか存在しない。
３．セキュリティアセスメントは、一般的には、オブジェクトの現在及び将来のセキュリティ状況に関するエンドポイントのアセスメントを説明していると解釈される。
【００５０】
ルール２は、情報の排他性を指しているのであって、データの排他性を指していないことに留意することが重要である。用語「情報」及び「データ」は上で定義されたとおりである。２つのエンドポイントは、データから抽出して、後でアセスメントを生成するために使用する情報が排他的であれば、同じ又は部分的に重なり合うデータソースを処理することができる。
【００５１】
ルール３の含意を例示するために、マシンに対するスケジュールされたアンチウィルススキャンで、１個の既知のマルウェアが検出され、除去される以下の例について考察されたい。この検出、他のローカルで使用可能な情報、受信された、現在アクティブなアセスメント、及び現在のセキュリティインシデントに関するエンドポイントの埋め込まれた知識に基づいて、エンドポイントは、以下のうちの１つの結論を出すことができる。すなわち、１）マシンは過去に汚染されたが、現在はクリーンであり、将来の追加のセキュリティリスクはない。２）マシンは汚染されて、その特定のマルウェアは除去されたが、まだ、セキュリティリスクがある可能性がある、又はありそうである。ルール３によると、エンドポイントは、後者の場合にはマシンに関するセキュリティアセスメントを生成すべきであり、前者の場合には、生成すべきではない。
【００５２】
図６は、複数のＥＳＡＳ可能なエンドポイントがセキュリティアセスメントチャネル２０５に結合され、１つのエンドポイントで検出されたインシデントが複数の他のエンドポイントで応答をトリガする、第１の例示的なシナリオの図である。この例示的なシナリオは、３つの段階に分けて説明される。参照番号６１０で示されているように、エッジファイヤウォール１０５2は、第１に、潜在的にコンプロマイズされたクライアントを識別する。というのは、例えば、エッジファイヤウォール１０５2は、周辺ネットワーク１１２との接続を多く作りすぎるので、その習性に対する最もふさわしい説明は、セキュリティコンプロマイズの存在である。第２に、エッジファイヤウォール１０５2は、参照番号６２０で示されているように、特定のクライアントが「コンプロマイズド」であることを、「高」重大度及び「高」忠実度を付加して示すセキュリティアセスメントを、セキュリティチャネル２０５を介して、同意しているエンドポイントに送信する。
【００５３】
第３に、そのセキュリティアセスメントを受信する、同意しているエンドポイント１０５−１、３．．．Ｎ及びＥＳＡＳセントラルサーバ２１６は、それら自身の相関ルール及びローカルで使用可能なデータを適用することにより、それらの固有のセキュリティ専門知識を適用して、適切なアクションをトリガする。図６の参照番号６３０でまとめて示されているように、ホストセキュリティエンドポイント１０５1はオンデマンドスキャンを実行する。ＮＡＰエンドポイント１０５3は、識別されたコンプロマイズドクライアントに対するＩＰセキュリティ認証を取り消して、ポートのシャットダウンを実施する。業務セキュリティエンドポイント１０５Nは、受信されたセキュリティアセスメントに基づいて、コンプロマイズドクライアントへのインスタントメッセージング（「ＩＭ」）トラフィックを一時的に中断する。ＥＳＡＳセントラルサーバ２１６は、セキュリティ分析者（例えば、管理者）のために警報を上げ、また、セキュリティアセスメント及び起動されたアクションのすべてのログも行う。
【００５４】
上述の第１の例示的なシナリオは、疑わしいインシデントを検出したエンドポイントが、「高」重大度及び「高」忠実度（すなわち、そのエンドポイントは、重大なインシデントを有効に検出したという高度な自信がある）を有するセキュリティアセスメントを生成する事例を示している。比較すると、図７は、「低」忠実度のセキュリティアセスメントがセキュリティアセスメントチャネル２０５を介して送信され、そのセキュリティアセスメントが、受信側のエンドポイントによる「高」忠実度アセスメントの生成をトリガし、そのエンドポイントがオブジェクト間マッピングも行う第２の例示的なシナリオの図である。
【００５５】
この第２の例示的なシナリオも、３つの段階に分けて説明される。参照番号７１０で示されているように、エッジファイヤウォール１０５2は、第１に、周辺ネットワーク１１２（図１）との多数のクライアント接続を検出する。しかし、図６で示され、付随する本文で説明されている第１の例示的なシナリオとは違って、このクライアントによって確立される接続の数はそれほど多くないので、エッジファイヤウォール１０５2は、そのクライアントがコンプロマイズされていることを絶対的に確信できる。現在の企業セキュリティシステムでは、エンドポイントがそのようなデータを発見した場合、マシンを切断するなどの典型的に手厳しい応答を正当化するだけの十分なエビデンスがないので、エンドポイントは、一般的には、そのデータを削除するだけで、アクションは実行しない。比較すると、このシナリオでは、エッジファイヤウォール１０５2は、第２段階で、参照番号７２０で示されているように、特定のクライアントがコンプロマイズされていることを「中」重大度及び「低」忠実度を付加して示すセキュリティアセスメント７１５を、セキュリティアセスメントチャネル２０５を介して送信する。
【００５６】
エッジファイヤウォール１０５2によって生成されたセキュリティアセスメント７１５の中で参照される特定のオブジェクトに同意するエンドポイントとしては、ホストセキュリティエンドポイント１０５1及びＥＳＡＳセントラルサーバ２１６がある。そのような「低」忠実度のデータは、通常、現在のセキュリティ製品では、エンドポイントで実行されるアクションをトリガしないが、この企業セキュリティアセスメントの共有によると、ホストセキュリティエンドポイント１０５1は、エッジファイヤウォール１０５2から受信されたセキュリティアセスメントに照らして、それ自身のローカルデータを異なる見方で見る。この場合には、ホストセキュリティエンドポイント１０５1でのオンデマンドスキャンの結果として得られるローカルデータ、及びエッジファイヤウォール１０５2からのセキュリティアセスメントに含まれる情報が使用されて、新しいアセスメント７２５及び７２８が生成される。したがって、ホストセキュリティエンドポイント１０５1は、その情報だけでは新しいセキュリティアセスメントの生成を正当化しない情報を有しているが、この事例のように、別のエンドポイントから「低」忠実度のアセスメントで補強された場合でも、それぞれが「高」忠実度を有する新しいセキュリティアセスメント７２５及び７２８の作成を正当化する十分なエビデンスがある。
【００５７】
ホストセキュリティエンドポイント１０５1は、新しいセキュリティアセスメント７２５及び７２８をセキュリティアセスメントチャネル２０５に置く。新しいセキュリティアセスメント７２５及び７２８は、セキュリティアセスメントチャネル２０５を経て、同意しているエンドポイントによって受信され、同意しているエンドポイントとしては、この例示的なシナリオでは、エッジファイヤウォール１０５2、セキュリティアセスメント７２５用のＥＳＡＳセントラルサーバ２１６、及びセキュリティアセスメント７２８用の業務エンドポイント１０５Nがある。
【００５８】
参照オブジェクトタイプがマシンであり、業務エンドポイント１０５Nが、Ｅメールを保護する際のその役割のために、一般的にはユーザに関わるので、業務エンドポイント１０５Nは、エッジファイヤウォール１０５2によって作成されたオリジナルのセキュリティアセスメント７１５の同意者ではなかったことに留意されたい。しかし、この第２の例示的なシナリオでは、ホストセキュリティエンドポイント１０５1は、新しいセキュリティアセスメント７２８を生成するとき、ホストオブジェクトタイプからユーザオブジェクトタイプにマッピングする。ホストコンピュータのデータの機密性又は整合性を潜在的にコンプロマイズするマルウェア又は悪意ある活動などの「高」重大度のインシデントは、やはり、潜在的にユーザもコンプロマイズする可能性があることが考えられるので、そのような相互オブジェクトマッピング機能は役立つ可能性がある。ホストオブジェクトタイプからの「高」重大度インシデントを、いずれかの忠実度を有するユーザオブジェクトタイプに相互マッピングするセキュリティアセスメントが生成されることがある。同様に、マルウェア又は悪意ある活動が実際にホストコンピュータのデータの整合性を失わせた重大度「重大」のインシデント、ユーザオブジェクトタイプ用のセキュリティアセスメントが、より高い忠実度で生成されることがある。
【００５９】
段階３では、参照番号７３０でまとめて示されているように、新しいセキュリティアセスメント７２５及び７２８が受信側のエンドポイント（複数）で様々なそれぞれのアクションをトリガする。具体的には、エッジファイヤウォール１０５2が、ソフトウェアの更新及び／又はミッションクリティカルなアクセスを除いて、コンプロマイズドクライアントによるすべてのアクセスを阻止する。業務エンドポイント１０５Nは、発信されるＥメールを一時的に中断する。さらに、第１の例示的なシナリオと同様であるが、ＥＳＡＳセントラルサーバ２１６は、すべてのアセスメント及びアクションをログし続ける。上述のように、そのような制限は、その新しいセキュリティアセスメント７２５及び７２８に関連付けられたＴＴＬが有効であり続ける期間にのみ強制される。その新しいセキュリティアセスメントが満了すると、ＴＴＬが延長されない限り、又はその制限的アクションを起動する新しいセキュリティアセスメントが受信されない限り、それぞれのエンドポイントによって実行されたアクションはロールバックされる。
【００６０】
図８は、修復手法の目標とされる使い方を示した第３の例示的なシナリオの図である。この第３の例示的なシナリオは、３つの段階に分けて説明される。参照番号８１０で示されているように、エッジファイヤウォール１０５2は、第１に、周辺ネットワーク１１２（図１）との多数のクライアント接続を検出する。第２に、エッジファイヤウォール１０５2は、参照番号８２０で示されているように、特定のクライアントが「コンプロマイズド」であることを、「高」重大度及び「高」忠実度を付加して示すセキュリティアセスメント８１５を、セキュリティチャネル２０５を介して、同意しているエンドポイントに送信する。同意するエンドポイントとしては、ホストセキュリティエンドポイント１０５1、ＮＡＰエンドポイント１０５3、及びＥＳＡＳセントラルサーバ２１６がある。
【００６１】
ホストセキュリティエンドポイント１０５1は、受信されたセキュリティアセスメントを見直して、その固有のセキュリティ専門知識を、相関ルール及び任意の、関連がある、ローカルで使用可能なデータを使用して適用する。この例示的な例では、ホストセキュリティエンドポイント１０５1は、応答として、業務セキュリティエンドポイント１０５Nが同意するユーザオブジェクトタイプを含む新しいセキュリティアセスメント８２５を生成する。
【００６２】
シナリオの第３の段階では、エンドポイントによって使用されるこの修復手法は、企業１００（図１）内の業務に対する潜在的な影響という意味で高価であると考えられる。例えば、参照番号８３０で示されているように、業務セキュリティエンドポイント１０５Nは、発信されるＥメールの一時的な中断を引き起こす応答ポリシを実施する。加えて、ホストセキュリティエンドポイント１０５1は、オンデマンドスキャンを実行し、結果が得られない場合、深いスキャンを実行する。そのような修復手法は、マルウェア、悪意あるユーザ、及び他の問題に対処するには非常に有効であり得るが、一般的に、企業に相当な出費を課す。例えば、発信するＥメールが中断されるユーザは生産性が落ちるであろうし、深いスキャンは、一般的に、１回又は複数回のリブートが必要であり、リブートは、ある期間、マシンをサービスから外すであろう。
【００６３】
このＥＳＡＳの構成は、有利なことに、これらの高価ではあるが、有効な修復手法が、目標とされる方法で、一部のマシン及び／又はユーザに不当になるおそれがある単に一般的な方法ではなく、又は一括ではなく適用できるようにしている。企業セキュリティ環境において、事前に定義された基準を用いて疑わしいと思われるオブジェクトのみが、これらの特定の修復手法の対象となる。
【００６４】
図９は、管理者などのユーザが企業１００（図１）内のエンドポイントの応答ポリシを管理及び定義できるようにしたグラフィカルユーザインターフェース（「ＧＵＩ」）によって提供される例示的な画面９００を示している。一部のアプリケーションでは、ＧＵＩはＥＳＡＳセントラルサーバ２１６（図２）上にホストされている。利点として、セキュリティアセスメントによって実現される意味抽象レイヤは、企業全体のセキュリティポリシが非常に簡潔な、明瞭な方法を用いて確立できるようにしている。すなわち、応答ポリシは、セキュリティアセスメントを定義済みスターティングポイントとして使用して、企業内のどのエンドポイントがそのセキュリティアセスメントを作成したか、又はエンドポイントがそのセキュリティアセスメントに反映されている結果にどのようにして到達したかを意識することなく、構成できる。セキュリティアセスメントは、その簡潔な分類法によって、企業全体のセキュリティ応答ポリシの自然のアンカーとして機能する。応答ポリシの構成を合理化するためのこのＥＳＡＳの構成がなければ、ユーザは、各エンドポイントが生成する可能性がある各イベント及び／又は警報を検討して、そのようなイベントにどのように対応すべきかを定義する必要があるだろう。
【００６５】
画面９００は、企業全体の応答ポリシの構成を示した例示的な例であって、フィールド９０３−１、２．．．Ｎは、多数の異なるエンドポイント用に使用され、アセスメントカテゴリがコンプロマイズドマシン、重大度「重大」の事例についてであり、これが、参照番号９０６で示された応答ポリシの構成のスターティングポイント（すなわち、「アンカー」ポイント）を定義する。強調しておくが、他のアセスメントカテゴリ、オブジェクトタイプ、重大度などに関しては他のユーザインターフェース画面が使用されるであろうから、ユーザは、特定の企業セキュリティ環境で使用される傾向が高い、複数の異なるスターティングポイントに対する応答ポリシを定義することができる。応答ポリシは、この特定の例では、設定された重大度「重大」に対する特定のセキュリティアセスメントの忠実度に応じて設定されている。フィールド（複数）９０３は、例えば、一般的なＧＵＩで使用されるテキスト入力ボックス、ドロップダウンメニューなどを使用してユーザが定義した入力を反映するように構成された、多数のそれぞれのサブフィールドを含む。
【００６６】
サブフィールド９１０に示されているように、コンプロマイズドマシンが重大度「重大」を示しているセキュリティアセスメントに関して、エッジファイヤウォール１０５2（図１）は、セキュリティアセスメントが「低」忠実度を有するとき、監査の量を増やす（すなわち、通常のレベルの監査に比べて、収集されるデータの量を増やす深い監査レベルに変更される）ように構成されている。サブフィールド９１３は、「中」忠実度を有するアセスメントに対して、エッジファイヤウォール１０５2は、監査レベルを上げ、さらに被疑コンプロマイズドマシンへのインターネットアクセスを、一般的には悪意がないと知られているサイトを含む「ホワイトリスト」ＵＲＬのみに制限している。忠実度が「高」のとき、サブフィールド９１６に示されているように、インターネットへのアクセスは完全に阻止される。
【００６７】
フィールド９０３2は、ホストセキュリティエンドポイント１０５1（図１）の応答ポリシの構成を示している。「低」忠実度を有し、重大度「重大」のコンプロマイズドマシンを示しているセキュリティアセスメントの場合、ホストセキュリティエンドポイント１０５1は、サブフィールド９２０によって示されているように、監査の量を深い監査レベルに上げる。サブフィールド９２３は、「中」及び「高」忠実度の場合、ホストセキュリティエンドポイント１０５1が、その監査を引き上げ、またそのホスト（複数）の深いスキャンを実行する（「深い」スキャンは、コンピュータの１回又は複数回のリブートを引き起こす可能性がある）ことを示している。
【００６８】
フィールド９０３Nは、業務セキュリティエンドポイント１０５N（図１）の応答ポリシの構成を示している。「低」忠実度を有し、重大度「重大」のコンプロマイズドマシンを示しているセキュリティアセスメントの場合、業務セキュリティエンドポイント１０５Nは、サブフィールド９２６によって示されているように、監査の量を深い監査レベルに上げる。サブフィールド９３２は、「中」忠実度を有するセキュリティアセスメントの場合、業務セキュリティエンドポイント１０５Nは、そのデータ収集を深い監査に上げ、またＥメールへのファイル添付を制限することも示している。サブフィールド９３５は、「高」忠実度を有するセキュリティアセスメントの場合、業務セキュリティエンドポイント１０５Nは、すべてのインスタントメッセージング（「ＩＭ」）トラフィックを阻止することを示している。
【００６９】
フィールド９４１は、図２のＥＳＡＳセントラルサーバ２１６の応答ポリシの構成を示している。「高」忠実度を有するセキュリティアセスメントの場合、ＥＳＡＳセントラルサーバ２１６は、サブフィールド９４３に示されているように、影響を受けるマシンのポート遮断を実行し、関連のユーザアカウントが中断されたことの警報を生成する。サブフィールド９４３は、上で説明されたサブフィールドと同様に、一般的には、ユーザが定義した入力を受け入れるように構成されている。
【００７０】
図１０は、管理者などのユーザが、企業１００（図１）内のエンドポイントの応答ポリシを管理及び定義できるようにしたＧＵＩによって提供される例示的な画面１０００を示している。この画面及びＧＵＩは、図９に示され、付随する本文で説明された構成を補足するため、又は代替の構成として使用されてよい。画面１０００は、アセスメントカテゴリ「コンプロマイズドマシン」の様々なレベルの忠実度及びすべてのレベルの重大度に対する応答ポリシの構成の単一のビューを示している。この例示的な例では、任意の重大度レベルを有するアセスメントカテゴリ「コンプロマイズド」を有するセキュリティアセスメントタイプ１００６が、示されている応答ポリシの構成のアンカーとして使用されている。強調しておくが、他のオブジェクトタイプ及び他のアセスメントカテゴリで使用するための類似の画面が考えられる。図９で示され、付随する本文で説明された構成と同様に、図１０に示された構成は、企業全体のエンドポイントの応答ポリシを定義するための非常に簡潔な管理インターフェースを提供している。
【００７１】
図１１は、このＥＳＡＳ機能セット（セキュリティアセスメントの共有、ＥＳＡＳセントラルサーバによるセキュリティアセスメントの監視（図２に付随する本文で説明されているとおり）、及び企業全体の応答ポリシ構成の簡潔な分類法（図９及び図１０に付随する本文で説明されているとおり）を含む）が企業セキュリティ管理レイヤ１１０５として機能する、セキュリティの構成１１００を示している。すなわち、参照番号１１０８で示されるＥＳＡＳ機能セットは、企業環境内のすべてのエンドポイント間で共通に共有され、単一の企業セキュリティ製品の島の一部であることに限定されない。セキュリティアセスメントチャネル２０５（図２）を介して共有されるセキュリティアセスメントによって形成される意味抽象レイヤは、単一の、一貫性のある管理インターフェースが利用できるようにしており、それによって、企業セキュリティの実現に近づくための、より統合された手段が提供されている。
【００７２】
主題は構造上の特徴及び／又は方法論的な行為に特有な文言で説明されているが、添付の「特許請求の範囲」で定義される主題は、必ずしも、上述の具体的な特徴又は行為に限定されないことを理解されたい。より正確に言えば、上述の具体的な特徴及び行為は、請求項を実現する方法の例として開示されている。
【図１】
2010521749.tif 000005
【図２】
2010521749.tif 000006
【図３】
2010521749.tif 000007
【図４】
2010521749.tif 000008
【図５】
2010521749.tif 000009
【図６】
2010521749.tif 000010
【図７】
2010521749.tif 000011
【図８】
2010521749.tif 000012
【図９】
2010521749.tif 000013
【図１０】
2010521749.tif 000014
【図１１】
2010521749.tif 000015
【国際調査報告】
2010521749.tif 000016
2010521749.tif 000017