(57)【要約】  ネットワークエンドポイントから送信されるトラフィックをリダイレクトし、ネットワークエンドポイントをセキュリティポリシの準拠に関してテストする。ネットワークエンドポイントがセキュリティポリシに準拠する場合、アクセスポリシを生成してネットワークエンドポイントがトラフィックリダイレクションを行わずにネットワークにアクセスできるようにする。
2010533392.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークのエンドポイントから送信されるネットワークトラフィックをリダイレクトするステップと、
前記ネットワークエンドポイントをセキュリティポリシの準拠に関してテストするステップと、
前記ネットワークエンドポイントが前記セキュリティポリシに準拠する場合、アクセスポリシを生成して前記ネットワークエンドポイントがトラフィックリダイレクションを行わずに前記ネットワークにアクセスできるようにするステップと、
を含むことを特徴とする方法。
【請求項２】
前記ネットワークエンドポイントから送信されるトラフィックをリダイレクトするステップは、スイッチにインストールされたデフォルトアクセス制御リスト（ＡＣＬ）規則に従って、前記ネットワークエンドポイントから送信されるネットワークトラフィックをリダイレクトするステップを含む、
ことを特徴とする請求項１に記載の方法。
【請求項３】
アクセスポリシを生成するステップは、許可規則を生成し、該許可規則を前記スイッチ上の前記ＡＣＬに追加するステップを含む、
ことを特徴とする請求項２に記載の方法。
【請求項４】
前記ネットワークエンドポイントから送信されるトラフィックをリダイレクトするステップは、
前記ネットワークエンドポイントからのアウトバウンドトラフィックをブロックするステップと、
前記ネットワークエンドポイントをテスト用ウェブページへ誘導するステップと、
を含むことを特徴とする請求項１に記載の方法。
【請求項５】
前記ネットワークエンドポイントから送信されるトラフィックをリダイレクトするステップは、
ユーザ選択を受信するステップと、
前記ユーザ選択に少なくとも部分的に基づいてネットワークトラフィックをリダイレクトするステップと、
を含むことを特徴とする請求項１に記載の方法。
【請求項６】
前記ユーザ選択を受信するステップは、拡張可能マークアップ言語（ＸＭＬ）を介して前記ユーザ選択を受信するステップを含む、
ことを特徴とする請求項５に記載の方法。
【請求項７】
前記ユーザ選択は、仮想ローカルエリアネットワーク（ＶＬＡＮ）選択を含む、
ことを特徴とする請求項５に記載の方法。
【請求項８】
前記ネットワークエンドポイントから送信されるネットワークトラフィックを前記規則に従ってリダイレクトするステップは、前記ネットワークエンドポイントから送信される全てのネットワークトラフィックをリダイレクトするステップを含む、
ことを特徴とする請求項１に記載の方法。
【請求項９】
アクセス制御リスト（ＡＣＬ）のデフォルト規則を生成して、ネットワークに属するスイッチ上のアウトバウンドトラフィックをリダイレクトするステップと、
前記スイッチに接続されたネットワークエンドポイントにおいてセキュリティテストを行うステップと、
前記エンドポイントが前記セキュリティテストに合格した場合、前記ＡＣＬに前記エンドポイントのための許可規則を追加するステップと、
前記エンドポイントが前記セキュリティテストに合格しなかった場合、前記エンドポイントからのアウトバウンドトラフィックを隔離するステップと、
を含むことを特徴とする方法。
【請求項１０】
追加のリダイレクト規則を生成して、前記ネットワークからのインバウンドトラフィックを前記スイッチにおいてリダイレクトするステップをさらに含む、
ことを特徴とする請求項９に記載の方法。
【請求項１１】
前記スイッチにおいて前記ＡＣＬに許可規則を追加するステップは、前記ＡＣＬをＶＬＡＮ及び前記スイッチのポートの一方に追加するステップを含む、
ことを特徴とする請求項９に記載の方法。
【請求項１２】
命令を提供するためのコンテンツを記憶したコンピュータ可読媒体から成る製造品であって、前記命令は、電子装置に、
ネットワークのエンドポイントから送信されるネットワークトラフィックをリダイレクトするステップと、
前記ネットワークエンドポイントをセキュリティポリシの準拠に関してテストするステップと、
前記ネットワークエンドポイントが前記セキュリティポリシに準拠する場合、アクセスポリシを生成して前記ネットワークエンドポイントがトラフィックリダイレクションを行わずに前記ネットワークにアクセスできるようにするステップと、
を含む動作を実行させることを特徴とする製造品。
【請求項１３】
前記ネットワークエンドポイントから送信されるトラフィックをリダイレクトするステップは、スイッチにインストールされたデフォルトアクセス制御リスト（ＡＣＬ）規則に従って、前記ネットワークエンドポイントから送信されるネットワークトラフィックをリダイレクトするステップを含む、
ことを特徴とする請求項１２に記載の製造品。
【請求項１４】
アクセスポリシを生成するステップは、許可規則を生成し、該許可規則を前記スイッチ上の前記ＡＣＬに追加するステップを含む、
ことを特徴とする請求項１３に記載の製造品。
【請求項１５】
前記電子装置に、
前記ネットワークエンドポイントからのアウトバウンドトラフィックをブロックするステップと、
前記ネットワークエンドポイントをテスト用ウェブページへ誘導するステップと、
を含む動作を実行させるためのコンテンツをさらに含むことを特徴とする請求項１４に記載の製造品。
【請求項１６】
前記ネットワークエンドポイントから送信されるトラフィックをリダイレクトするステップは、
ユーザ選択を受信するステップと、
前記ユーザ選択に少なくとも部分的に基づいてネットワークトラフィックをリダイレクトするステップと、
を含むことを特徴とする請求項１２に記載の製造品。
【請求項１７】
前記ユーザ選択は、仮想ローカルエリアネットワーク（ＶＬＡＮ）選択を含む、
ことを特徴とする請求項１６に記載の方法。
【請求項１８】
ネットワークのエンドポイントから送信されるネットワークトラフィックをリダイレクトするためのリダイレクティングモジュールと、
前記ネットワークエンドポイントをセキュリティポリシの準拠に関してテストするためのテスティングモジュールと、
前記ネットワークエンドポイントが前記セキュリティポリシに準拠する場合、アクセスポリシを生成して前記ネットワークエンドポイントがトラフィックリダイレクションを行わずに前記ネットワークにアクセスできるようにするためのポリシジェネレータと、
を含むことを特徴とするネットワークセキュリティシステム。
【請求項１９】
前記リダイレクティングモジュール、前記テスティングモジュール、及び前記ポリシジェネレータは、１又はそれ以上のネットワークサーバ上に位置する、
ことを特徴とする請求項１８に記載のシステム。
【請求項２０】
前記リダイレクティングモジュール及び前記ポリシジェネレータは、前記ネットワークエンドポイントに接続されたスイッチ上に位置する、
ことを特徴とする請求項１８に記載のシステム。
【請求項２１】
前記テスティングモジュールは、前記スイッチ上に位置する、
ことを特徴とする請求項２０に記載のシステム。
【請求項２２】
前記リダイレクティングモジュールは、スイッチにデフォルトアクセス制御リスト（ＡＣＬ）規則を追加して前記エンドポイントから送信されるネットワークトラフィックをリダイレクトするための通信エージェントを含む、
ことを特徴とする請求項１８に記載のシステム。
【請求項２３】
前記アクセスポリシは、前記ネットワークエンドポイントがトラフィックリダイレクションを行わずに前記ネットワークにアクセスできるようにするための許可ＡＣＬ規則を含む、
ことを特徴とする請求項１８に記載のシステム。
【請求項２４】
前記ポリシジェネレータは、前記許可ＡＣＬ規則を前記スイッチに追加するための通信エージェントを含む、
ことを特徴とする請求項２３に記載のシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明の実施形態はネットワークセキュリティに関する。より具体的には、本発明は、ネットワークエンドポイントのセキュリティに関する。
【背景技術】
【０００２】
ハッキングとは、多くの理由でコンピュータシステムを侵害するユーザの行為を表すのによく使用される用語である。しばしば、侵入者は、システムに何らかの攻撃を開始する意図を持ってシステム又はシステムのネットワーク（「システム」）に侵入する。本明細書で使用する攻撃者とは、システムに侵入、侵害、或いは乱入し、システムの完全性又は動作を危険にさらそうとするあらゆるユーザ、ホストシステム、又はリモートホストマシンのことを意味する。攻撃者は、非常に巧妙であり検出が困難となり得る。
【０００３】
通常、エンドポイント装置は安全でなく、攻撃者はこれを知っている。分散的な攻撃は、ネットワークへの侵入ポイントとしてエンドポイントを活用する。最近持ち込まれた膨大な数のワーム、トロイ、及びスパイウェアが、この攻撃方法を立証している。ＭｙＤｏｏｍ、Ｎｅｔｓｋｙ、Ｓｏｂｅｒ、Ｓｏｂｉｇ、Ｂａｇｌｅ、Ｐｈａｔｂｏｔ、Ｗｉｔｔｙ、Ｂｌａｓｔｅｒ及びその他の無数の多くの変種がネットワーク及びセキュリティ管理装置に押し寄せている。
【発明の概要】
【０００４】
エンドポイント装置を含むネットワークは、修復が難しく高価である。ほとんどのネットワークが、上述した攻撃の多くに対抗するために何らかの形のネットワークセキュリティを使用している。アンチウィルスソフトウェア及びパーソナルファイアウォールは、ネットワークリソースにアクセスする前にエンドポイント装置を効果的に保護するには不十分である。さらに、今日のネットワークセキュリティシステムの多くは、脅威を軽減するためにネットワークと「インライン化」する必要があり、このためこれらがネットワークにおける障害又は障害点となる可能性がある。
【０００５】
本発明の実施形態により、管理者は、エンドポイント装置においていずれのアプリケーション及びサービスを許可するかを定めるアクセスポリシを作成するとともに、エンドポイント装置が準拠しない場合に取るべき行動を特定できるようになる。装置がネットワークに接続した場合、エンドポイント装置からのトラフィックがセキュリティ装置へリダイレクトされ、エンドポイント装置をコンプライアンスに関してテストする。このテストに基づいて、エンドポイント装置を隔離するか、或いはアクセスポリシを自動的に適用して装置が準拠していることを証明する。エンドポイント装置の準拠が証明されると、エンドポイント装置からのトラフィックは、それ以上セキュリティ装置へリダイレクトされることはない。準拠していないエンドポイント装置は、計画的な修復を通じて、或いはエンドユーザの自己修正を介して自動的に（例えば、パッチ管理システムとの統合を通じて）修正することができる。
【０００６】
アクセスポリシは、オペレーティングシステムの完全性を評価し、重要なホットフィックス及びパッチがインストールされていることを検証し、アンチウィルス及びその他のセキュリティアプリケーションが存在し最新であることを検証し、その他のマルウェアの存在を検出するための１又はそれ以上のテストから成る。アクセスポリシは、ファイルシェアリング、ピアツーピア又はスパイウェアなどの潜在的に危険なアプリケーションの付随性に関してもテストを行う。管理者は、アプリケーションプログラムインターフェイス（ＡＰI）を介してカスタムテストを作成することができる。
【０００７】
以下の説明は、本発明の実施形態の実施構成を一例として例示する様々な図の説明を含む。図面は、限定的な意味ではなく一例として理解すべきである。
【図面の簡単な説明】
【０００８】
【図１】ネットワークと物理的にインライン化したセキュリティ装置を示す図である。
【図２】いくつかの実施形態によるネットワークの構成を示す図である。
【図３】スイッチ上に配置されたアクセス制御リスト（ＡＣＬ）を示す図である。
【図４】異なるネットワークサブネット上の様々なホストを示す図である。
【図５】ＡＣＬテーブルの状態を示す図である。
【図６】いくつかの実施形態によるネットワークの構成を示す図である。
【図７】セキュリティ管理装置を有するネットワークを示す図である。
【図８】いくつかの実施形態によるモジュールを示す図である。
【図９】いくつかの実施形態によるプロセスを示す図である。
【発明を実施するための形態】
【０００９】
本明細書で使用するセキュリティ装置は、ネットワークにおけるエンドポイントセキュリティを可能にし、実施し、及び／又はこれに対応するあらゆる装置を含む。図１は、（インターネット、ローカルエリアネットワーク（ＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ）などの）ネットワークで使用するセキュリティ装置の例を示す図である。セキュリティ装置１２０が、ネットワーク１１０とエンドポイント１４０、１５０及び１６０との間に位置し、スイッチ１３０に接続されている。セキュリティ装置１２０の信用できない側のいずれかのエンドポイントがスイッチ外部で（ネットワーク１１０又は別のエンドポイントへトラフィックを送信するなどの）通信を試みた場合、セキュリティ装置１２０がトラフィックをブロックし、テストが必要である旨をエンドポイントに指示する。
【００１０】
エンドポイントのテストが完了すると、エンドポイントにアウトバウンドトラフィックの送信及びホストに送信されるインバウンドトラフィックの受信を許可するファイヤウォール規則を作成することができる。しかしながら、図１に構成するセキュリティ装置１２０は単一障害点である。従って、本発明の実施形態は、エンドポイントセキュリティを実施するセキュリティ装置を物理的にインライン化するのではなく仮想的にインライン化するように構成される。換言すれば、宛先に到達するためにトラフィックがセキュリティ装置を通過する必要はない。
【００１１】
仮想インライン動作を可能にするために、ＶＬＡＮ又は様々なエンドポイント装置に関連する他のポートにアクセス制御リスト（ＡＣＬ）が追加される。このデフォルトＡＣＬは、エンドポイントからの全てのトラフィックがセキュリティ装置へリダイレクトされることを必要とする。その後、セキュリティ装置は、エンドポイントにテストが必要である旨を指示する。例えば、セキュリティ装置は、あらゆるウェブセッションを掌握するとともに、エンドポイントをテストする必要がある旨をエンドポイントユーザに指示するウェブページを提示することができる。エンドポイントのテストが正常に完了する（すなわち、エンドポイントがセキュリティポリシに準拠している）と、セキュリティ装置は、準拠したエンドポイントにネットワークへのアウトバウンドトラフィックの送信を許可する動的ＡＣＬを作成する。この動的ＡＣＬがスイッチ上のテーブルに追加され、このスイッチが引き続き規則を実施する。
【００１２】
いくつかの実施形態では、エンドポイントを定期的に再テストして、エンドポイントがセキュリティポリシに準拠していることを確実にする。エンドポイントがテストできなくなるか或いはテストに合格しなかった場合、セキュリティ装置が動的許可ＡＣＬ規則をテーブルから削除し、この結果エンドポイントが効果的に隔離される。換言すれば、許可ＡＣＬ規則が無ければ、エンドポイントは、全てのトラフィックをセキュリティ装置へリダイレクトするデフォルト規則により制御される。
【００１３】
図２は、いくつかの実施形態によるネットワーク構成を示す図である。セキュリティ装置２２０はスイッチ１３０に接続されているが、スイッチ１３０とネットワーク１１０との間で物理的にインラインではない。この仮想インライン構成により、セキュリティ装置２２０は、スイッチ１３０を離れてネットワーク１１０へ向かうトラフィックの単一障害点でなくなる。エンドポイント１４０、１５０又は１６０のいずれかがネットワーク１１０に接続を試みた場合、セキュリティ装置２２０は、それぞれのエンドポイントのいずれかからのトラフィックをセキュリティ装置２２０のインターネットプロトコル（ＩＰ）アドレスへリダイレクトさせる。いくつかの実施形態では、セキュリティ装置２２０が、スイッチ１３０上のあらゆるアウトバウンドネットワークトラフィックをリダイレクトするためのコマンド及び／又はポリシをスイッチ１３０へ送信する。他の実施形態では、セキュリティ装置２２０は、スイッチ１３０上のアウトバウンドトラフィックの一部のみをリダイレクトさせることができる。セキュリティ装置２２０は、リダイレクトされた（パケットなどの）トラフィックを、セキュリティポリシに応じて無視、遮断、又は転送することができる。
【００１４】
トラフィックリダイレクションの開始に加え、セキュリティ装置２２０は、リダイレクトされるトラフィックを有するエンドポイントのテストを開始する。いくつかの実施形態では、セキュリティ装置２２０がテストを実行する。他の実施形態では、セキュリティ装置２２０が、別の装置にテストを実行させるためのメッセージ及び／又はコマンドを送信することができる。あらゆるエンドポイントのウェブセッションを掌握するとともに、テストを通じてユーザを導くテストウェブページへエンドポイントを誘導することにより、エンドポイントのテストを開始することができる。いくつかの実施形態では、エンドポイントユーザに対してエンドポイントのテストを見えるようにすることができる。
【００１５】
図３は、スイッチ１３０上のアクセス制御リスト（ＡＣＬ）テーブル３１０、３４０、３５０及び３６０を示す図である。ＡＣＬとは、オブジェクトに添付された許可リストのことである。ＡＣＬベースのセキュリティモデルでは、サブジェクトがオブジェクトに対して動作の実行を要求した場合、システムはまず、動作を進めるかどうかを判定するために適用可能なエントリのリストをチェックする。いくつかの実施形態では、セキュリティ装置２２０がスイッチ１３０にログオンし、ＡＣＬを追加／更新する。ＡＣＬテーブル３１０、３４０、３５０及び３６０をスイッチのＶＬＡＮ又はスイッチのポートに追加できるとともに、これらのテーブルは１又はそれ以上の規則を含むことができる。最初、ＡＣＬテーブル３１０、３４０、３５０及び３６０は、ソースに関わらず全てのアウトバウンドトラフィックをセキュリティ装置２２０へリダイレクトさせるデフォルト規則（すなわちデフォルトＡＣＬ）を含む。エンドポイントのテストが完了し、セキュリティポリシに準拠することが判明したら、エンドポイントのための許可規則がＡＣＬに追加される。例えば、ＡＣＬテーブル３４０は、エンドポイント１４０からの全てのトラフィックをセキュリティ装置２２０へリダイレクトさせるデフォルト規則を最初に含むことができる。しかしながら、エンドポイント１４０のテストが完了し、セキュリティポリシに準拠することが判明したら、セキュリティ装置２２０は、エンドポイント１４０からのトラフィックをリダイレクトすることなくネットワーク１１０へ移動できるようにする許可規則（すなわち許可ＡＣＬ）をＡＣＬテーブル３４０に追加する。
【００１６】
通常、ＡＣＬにおける個々のエントリ又は規則はサブジェクト及び行動を含む。例えば、規則は、（ＥＰ１４０などの）特定のエンドポイント又はＶＬＡＮ及び（トラフィックのリダイレクト、遮断、許可などの）行動を指定することができる。ＩＰアドレス、メディアアクセス制御（ＭＡＣ）アドレス、又はその他の種類のアドレス又は識別子に基づいて、エンドポイントをＡＣＬにおいて識別することができる。
【００１７】
図４は、異なるサブネット上のネットワークエンドポイントを示す図である。エンドポイント１４０及び１５０はサブネット４９０上にあり、一方エンドポイント１６０はサブネット４６０上にある。いくつかの実施形態では、セキュリティ装置２２０もまた、（サブネット４２０などの）別個のサブネット上に存在することができる。エンドポイント１４０及び１５０が同じサブネット上に存在するとすれば、サブネット４９０にはＡＣＬが１つあればよい。同様に、同じＶＬＡＮ上の全てのエンドポイントに単一のＡＣＬを使用することができる。
【００１８】
図５は、（図３のＡＣＬテーブル３１０、３４０、３５０又は３６０などの）ＡＣＬテーブルに追加される規則の例を示す図である。ＶＬＡＮ又はスイッチのポートにＡＣＬが追加されたときには、このＡＣＬはデフォルト規則である。デフォルト規則は、特定のエンドポイントに固有のものであってもよく、或いは（スイッチに接続された全てのエンドポイント又はＶＬＡＮ上の全てのエンドポイントなどの）複数のエンドポイントに適用される一般的な規則であってもよい。従って、デフォルト規則がテーブル内の唯一のＡＣＬである場合、ＶＬＡＮ又はポート上の全てのトラフィックがデフォルト規則により（リダイレクト、遮断、転送など）制御される。
【００１９】
エンドポイントがテストされ、セキュリティポリシに準拠していると判明した場合、個々の準拠したエンドポイントに対して許可規則が生成され、適当なＡＣＬテーブルに追加される。図４を参照すると、エンドポイント１４０及び１５０が準拠している場合、個々のエンドポイントのテーブルに許可規則が追加される。ＡＣＬテーブルは、後入れ先出し（ＬＩＦＯ）の処理順序に従う。換言すれば、より最近追加された規則がエンドポイントにまず適用される。ＡＣＬテーブルは、規則の追加及びテーブルからの規則の削除に関しては必ずしもＬＩＦＯ順序に従うわけではない。デフォルト規則がＡＣＬに追加された最初の規則であるとすれば、このデフォルト規則は、エンドポイントのテーブルに許可規則が存在しない場合にのみエンドポイントに適用される。従って、エンドポイントに許可規則が存在すれば、この許可規則により、エンドポイントが送信するいずれのアウトバンドトラフィックもネットワーク１１０を通過できるようになる。
【００２０】
ＡＣＬテーブルにおける許可規則の順序は重要でなく、あるエンドポイントのテーブルに許可規則が存在する場合、この許可規則がデフォルト規則の前に処理される。従って、エンドポイントに許可規則が存在する限り、トラフィックがリダイレクトされることはない。
【００２１】
エンドポイント（例えば、エンドポイント１４０）がセキュリティテストをできなくなるか、或いはセキュリティテストに合格しなかった場合、セキュリティ装置２２０は、エンドポイント１４０に対する許可規則をＡＣＬテーブルから削除する。図５に示すように、エンドポイント１４０に対する許可規則が削除されても、エンドポイント１５０に対する許可規則はＡＣＬテーブルに残ったままである。従って、エンドポイント１５０から送信されたトラフィックは、依然としてネットワークへの到達を許可される。
【００２２】
図６は、セキュリティ装置６２０がスイッチ１３０に直接接続されていないいくつかの実施形態による構成を示す図である。セキュリティ装置６２０は、ＡＣＬ、規則を伝達するとともに、ネットワーク１１０からスイッチ１３０までのセキュアトンネルを介してエンドポイント１４０、１５０及び１６０のセキュリティを別様に管理する。（送信制御プロトコル（ＴＣＰ）／ＩＰデータ、ユーザデータグラムプロトコル（ＵＤＰ）データなどの）暗号化データ、マスキングポートなどにより、セキュアトンネルを確立することができる。セキュアシェル（ＳＳＨ）、ＩＰセキュリティ（ＩＰｓｅｃ）、ポイントツーポイントプロトコル（ＰＴＰＰ）などのセキュアプロトコルを使用して、セキュリティ装置６２０とスイッチ１３０との間のセキュアトンネルを確立することができる。
【００２３】
図７は、セキュリティ装置７２０に接続されたセキュリティ管理装置７２２を有するネットワーク構成を示す図である。いくつかの実施形態では、セキュリティ装置７２０は、エンドポイント１４０、１５０及び１６０からのトラフィックのリダイレクト及び／又は許可に関連する他の機能を扱うとともにセキュリティポリシ、ＡＬＣなどをスイッチ１３０へ伝送する。他のセキュリティソフトウェア及び機器とともに使用されるセキュリティ管理装置７２２は、ネットワーク上の全てのセキュリティ装置間の調整を容易にするとともに、行動をとるための最良の方法に関する決定を知的に行う。例えば、セキュリティ管理装置７２２は、特定のエンドポイントに対して拒否規則を作成するには、スイッチにＡＣＬを付け加え、又は無線アクセスポイントにブラックホールエントリを付け加え、或いはファイヤウォールを使用することが最良の行動であると判断することができる。セキュリティ管理装置７２２は、異なるセキュリティ装置が、特定のエンドポイントから侵入、セキュリティ異常などが生じていることを検出した場合、セキュリティ装置７２０に通知することができる。この情報に基づいて、セキュリティ装置７２０は、疑わしいエンドポイントを隔離し、再テストすることができる。
【００２４】
セキュリティ管理装置７２２は、自立した装置であってもよく、或いは（システム管理者などの）ユーザがこれを制御してもよい。いくつかの実施形態では、システム管理者がセキュリティ装置７２０上のセキュリティポリシをセキュリティ管理装置７２２を介して手動で更新することができる。他の実施形態では、システム管理者が、セキュリティ装置７２０に直接アクセスすることにより、セキュリティポリシを修正することができる。
【００２５】
いくつかの実施形態では、拡張可能マークアップ言語（ＸＭＬ）アプリケーションプログラミングインターフェイス（ＡＰI）を使用して、スイッチ（又はネットワーク）上の全てのＶＬＡＮを示し、ユーザが理解できるフォーマットにＶＬＡＮを構文解析し、個々のＶＬＡＮ毎にチェックボックスを作成するＸＭＬコマンドを生成することができる。その後、ユーザがセキュリティ装置又はセキュリティ管理装置にログオンしてＶＬＡＮを選択し、様々なセキュリティポリシ、テストなどをカスタマイズすることができる。
【００２６】
図８は、いくつかの実施形態によるスイッチ上の様々なモジュールを示す図である。リダイレクティングモジュール８２０は、様々なエンドポイントからのトラフィックのリダイレクションを制御し、管理する。テスティングモジュール８３０は、１又はそれ以上のセキュリティポリシに準拠することが分かっていないエンドポイントのテストを開始し、管理する。いくつかの実施形態では、テスティングモジュール８３０がテストを行うことができる。ポリシジェネレータ８４０は、アクセスポリシを生成して、準拠したエンドポイントがこれらの（単複の）エンドポイントからトラフィックをリダイレクトする必要なくネットワークにアクセスできるようにする。図示のように、モジュール８２０、８３０、及び８４０は、全てスイッチ８１０上に位置することができる。モジュール８２０、８３０、及び８４０を、特定用途向け集積回路（ＡＳＩＣ）、ファームウェア、スイッチ８１０に差し込む差し込み可能カードとして実装し、或いはスイッチ８１０に挿入されるブレードＣＰＵに組み込むことができる。
【００２７】
他の実施形態では、モジュール８２０、８３０及び８４０が、様々な装置及び／又はシステムのコンポーネント上に別個に或いは共に位置することができる。例えば、リダイレクティングモジュール８２０及びポリシジェネレータ８４０がスイッチ８２０上に位置する一方で、テスティングモジュール８３０が（サーバなどの）別の装置に位置するようにすることができる。当業者であれば、他の組合せ及び構成を使用できることを認識するであろう。
【００２８】
図９は、いくつかの実施形態で使用できるプロセスを示す図である。エンドポイントから送信されたトラフィックが、セキュリティ装置又はモジュールへリダイレクトされる（９１０）。（トラフィックのソースアドレスなどを介して）エンドポイントを識別したら、エンドポイントをテストして、このエンドポイントがセキュリティポリシに準拠するかどうかを判定する（９２０）。エンドポイントがセキュリティポリシに準拠する場合、アクセスポリシを生成してエンドポイントがネットワークにアクセスできるようにする（９３０）。エンドポイントがテストに合格しなかった場合、（アンチウィルスソフトウェアを更新したり、セキュリティパッチをインストールしたりすることなどにより）セキュリティポリシに準拠するまでエンドポイントを隔離する（９４０）。
【００２９】
本明細書で説明する個々のコンポーネントは、説明する機能を実行するための手段であってもよい。本明細書で説明する個々のコンポーネントは、ソフトウェア、ハードウェア、又はこれらの組合せを含む。コンポーネントは、ソフトウェアモジュール、ハードウェアモジュール、（特定用途ハードウェアなどの）専用ハードウェア、埋め込みコントローラなどの形で実装することができる。マシン可読媒体を含む、実行できる命令を表すコンテンツを提供する製造品を介して（データ、命令、構成などの）ソフトウェアコンテンツを提供することができる。このコンテンツにより、本明細書で説明する様々な機能／動作をマシンが実行できるようになる。
【００３０】
マシン可読媒体は、（読出し専用メモリ（ＲＯＭ）、ランダムアクセスメモリ（ＲＡＭ）、磁気ディスク記憶媒体、光記憶媒体、フラッシュメモリ装置などの）記録可能／記録不可能媒体のような、（コンピュータ装置、電子システムなどの）マシンがアクセスできる形で情報を（記憶及び／又は送信など）提供するあらゆるメカニズムを含む。本明細書では、「マシン可読媒体」という用語と「コンピュータ可読媒体」という用語は同義的に使用される。マシン可読媒体はまた、コンテンツをダウンロードできる元となる記憶装置又はデータベースを含むこともできる。マシン可読媒体はまた、販売又は配送時にコンテンツを記憶している装置又は製品を含むこともできる。従って、記憶されたコンテンツとともに装置を配送すること、或いは通信媒体を介してダウンロード用のコンテンツを提供することは、本明細書で説明するこれらのコンテンツを含む製造の物品を提供することであると理解することができる。
【００３１】
本明細書で使用する場合、１又はそれ以上の「実施形態」への言及は、本発明の少なくとも１つの実施構成に含まれる特定の特徴、構造、又は特性を説明するものであると理解すべきである。従って、本明細書に出現する「１つの実施形態では」又は「他の実施形態では」などの表現は、本発明の様々な実施形態及び実施構成について説明するものであり、必ずしも全て同じ実施形態を指すものではない。しかしながら、これらが必ずしも互いに排他的であるというわけでもない。
【００３２】
本明細書で説明したものに加え、本発明の範囲から逸脱することなく、本発明の開示した実施形態及び実施構成に様々な修正を行うことができる。従って、本明細書における説明図及び実施例は、限定的な意味ではなく例示であると解釈すべきである。本発明の範囲は、以下の特許請求の範囲を参照することによってのみ評価すべきである。
【符号の説明】
【００３３】
１１０  ネットワーク；  １２０  セキュリティ装置；  １３０  スイッチ；  
１４０、１５０、１６０  エンドポイント。
【図１】
2010533392.tif 000003
【図２】
2010533392.tif 000004
【図３】
2010533392.tif 000005
【図４】
2010533392.tif 000006
【図５】
2010533392.tif 000007
【図６】
2010533392.tif 000008
【図７】
2010533392.tif 000009
【図８】
2010533392.tif 000010
【図９】
2010533392.tif 000011
【国際調査報告】
2010533392.tif 000012
2010533392.tif 000013