(57)【要約】  動的アクセス評価システムは、ネットワークへのアクセスを求める装置からのサービス要求を受信する。システムは、リクエスタ、要求が行われる装置、並びに／又はリクエスタ及び装置の場所に関する情報を受信する。システムは、認証が必要であるかどうかを判断するために、ネットワーク上で要求されているアプリケーションに対する規則の組を分析する。システムは、許可情報と要求において受信されるリクエスタに関する情報との比較に基づいてリクエスタを認証する。システムは、要求における装置情報と履歴装置情報とを比較することにより装置を認証する。さらに、システムは、装置及びリクエスタに関する情報を受信し且つ場所が同一又は類似であるかどうかを判断するためにそれらを比較する。アクセスの許可後、システムは、リクエスタ、装置又は場所に関する情報の監視を継続し、且つ監視される情報の変更に基づいて装置のアクセスを終了させることが出来る。
2010518493.tif 000002
【特許請求の範囲】
【請求項１】
リクエスタによるコンピュータネットワークへのアクセスを動的に評価するためのコンピュータ実行方法であって、
装置においてリクエスタからの前記ネットワークへのアクセスに対する要求を受信するステップと、
前記リクエスタに関する認証情報を受信するステップと、
前記リクエスタに関する許可情報を受け入れるステップと、
前記リクエスタが真正であるかどうかを判断するために前記認証情報と許可情報とを比較するステップと、
前記認証情報と前記許可情報との比較に基づいて認証スコアを生成するステップと、
前記認証スコアに基づいてネットワークアクセスを判断するステップと
を備える、コンピュータ実行方法。
【請求項２】
前記装置において前記ネットワークへのアクセスを前記リクエスタに許可するステップと、
前記装置において前記ネットワークへのアクセスを前記リクエスタに提供するステップと、
前記リクエスタに関する追加の認証情報を受信するステップと、
前記リクエスタに関する前記認証情報の変化を識別するステップであって、前記追加の認証情報の少なくとも一部が前記認証情報とは異なるステップと、
前記変化に基づいて前記装置において前記リクエスタに対して前記ネットワークへのアクセスを終了させるかどうかを判断するステップと
をさらに備える、請求項１に記載のコンピュータ実行方法。
【請求項３】
前記認証情報が２要因認証情報を備える、請求項１に記載のコンピュータ実行方法。
【請求項４】
前記２要因認証情報がセキュリティ識別子及び個人識別番号を備える、請求項３に記載のコンピュータ実行方法。
【請求項５】
前記認証情報が前記リクエスタの生体認証データを備える、請求項１に記載のコンピュータ実行方法。
【請求項６】
前記認証情報と前記許可情報とを比較するステップは、
前記認証情報が前記許可情報に実質的に類似するかどうかを判断するステップと、
前記認証情報の前記許可情報に対する類似性に基づいて前記認証スコアを生成するステップと
を備える、請求項１に記載のコンピュータ実行方法。
【請求項７】
前記認証情報と前記許可情報とを比較するステップは、
前記認証情報に基づいて前記リクエスタの識別性を判断するステップと、
前記ネットワークにおいて前記リクエスタによって要求されるサービスを判断するステップと、
前記リクエスタの前記識別性を前記サービスへのアクセスを許可されるユーザのリストと比較することにより、前記リクエスタが前記ネットワーク上で前記サービスにアクセスすることを許可されるかどうかを判断するステップと
を備える、請求項１に記載のコンピュータ実行方法。
【請求項８】
前記サービスが前記ネットワーク上のアプリケーションを備える、請求項７に記載のコンピュータ実行方法。
【請求項９】
装置によるコンピュータネットワークへのアクセスを動的に評価するためのコンピュータ実行方法であって、
装置からの前記ネットワークへのアクセスに対する要求を受信するステップと、
前記要求を生成する前記装置に関する情報を受信するステップと、
前記装置情報と履歴装置情報とを比較するステップと、
前記装置情報と前記履歴装置情報との比較に基づいて前記装置が真正であるかどうかを判断するステップと、
前記装置情報と履歴装置情報との前記比較に基づいて認証スコアを生成するステップと、
前記認証スコアに基づいて前記装置にネットワークアクセスを許可するかどうかを判断するステップと
を備える、コンピュータ実行方法。
【請求項１０】
前記認証スコアに基づいて前記装置にネットワークアクセスを許可するかどうかを判断するステップは、
前記認証スコアを評価するステップと、
前記装置情報と前記履歴装置情報との前記比較の少なくとも一部を評価するステップと、
前記認証スコア及び装置情報と前記履歴装置情報との前記比較の前記一部に基づいて前記装置にネットワークアクセスを許可するかどうかを判断するステップと
を備える、請求項９に記載のコンピュータ実行方法。
【請求項１１】
前記ネットワークへのアクセスを前記装置に許可するステップと、
前記ネットワークへのアクセスを前記装置に提供するステップと、
前記装置が前記ネットワークにアクセスしている間、前記装置に関する追加の装置情報を受信するステップと、
前記装置情報の変化を識別するステップであって、前記追加の装置情報の少なくとも一部が前記装置情報とは異なるステップと、
前記変化に基づいて前記装置に対して前記ネットワークへのアクセスを終了させるかどうかを判断するステップと
をさらに備える、請求項に記載９のコンピュータ実行方法。
【請求項１２】
前記装置に関する前記情報が前記装置の指紋データを備える、請求項９に記載のコンピュータ実行方法。
【請求項１３】
前記装置が真正であるかどうかを判断するステップは、
前記装置情報が前記履歴装置情報に実質的に類似するかどうかを判断するステップと、
前記装置情報と前記履歴装置情報との間の類似性の量に基づいて前記認証スコアを生成するステップと
を備える、請求項９に記載のコンピュータ実行方法。
【請求項１４】
前記ネットワークにおいて前記装置によって要求されるサービスを判断するステップと、
前記装置の認証が前記要求されるサービスのために必要であるかどうかを判断するために、前記要求されるサービスに関連する規則の組を評価するステップと、
前記装置の認証が前記要求されるサービスのために必要でないと判断される場合、前記認証スコアを評価することなく前記ネットワーク上で前記サービスへのアクセスを許可するステップと、
をさらに備える、請求項９に記載のコンピュータ実行方法。
【請求項１５】
認証が前記要求されるサービスに必要であると判断される場合、ネットワークアクセスを許可するかどうかを判断するために前記認証スコアを評価するステップ
をさらに備える、請求項１４に記載のコンピュータ実行方法。
【請求項１６】
前記サービスが前記ネットワーク上のアプリケーションを備える、請求項１４に記載のコンピュータ実行方法。
【請求項１７】
装置によるコンピュータネットワークへのアクセスを動的に評価するためのコンピュータ実行方法であって、
装置においてリクエスタからの前記ネットワークへのアクセスに対する要求を受信するステップと、
装置の場所を受信するステップと、
リクエスタの場所を受信するステップと、
前記装置の前記場所と前記リクエスタの前記場所が実質的に類似であるかどうかを判断するために、前記装置の前記場所と前記リクエスタの前記場所とを比較するステップと、
前記装置の場所と前記リクエスタの場所とが実質的に類似であるという肯定的な判断に基づいて、前記装置において前記ネットワークへのアクセスを許可するステップと
を備える、コンピュータ実行方法。
【請求項１８】
前記ネットワークにおいて前記装置によって要求されるサービスを判断するステップと、
前記装置又は前記リクエスタの前記場所の判断が前記サービスへのアクセスに必要とされるかどうかを判断するために、前記要求されるサービスに関連する規則の組を評価するステップと、
前記装置又は前記リクエスタの前記場所の判断が前記サービスへのアクセスに必要とされないという判断に基づいて、前記装置の前記場所と前記リクエスタの前記場所との前記比較に関係なく前記ネットワーク上での前記サービスへのアクセスを許可するステップと
をさらに備える、請求項１７に記載のコンピュータ実行方法。
【請求項１９】
前記ネットワークにおいて前記装置によって要求されるサービスを判断するステップと、
前記サービスがアクセスされ得る場所を判断するために、前記要求されるサービスに関連する規則の組を評価するステップと、
前記装置の前記場所が、前記サービスがアクセスされることを許可される場所の中であるかどうかを判断するステップと、
前記装置の前記場所が、前記サービスがアクセスされることを許可される前記場所の中であるという肯定的な判断に基づいて、前記サービスへのアクセスを前記装置に提供するステップと
をさらに備える、請求項に記載１７のコンピュータ実行方法。
【請求項２０】
前記装置が前記ネットワーク上で前記サービスにアクセスしている間、追加の装置の場所情報を受信するステップと、
前記装置の場所と前記追加の装置の場所情報との相違に基づいて前記装置の前記場所の変化を識別するステップと、
前記装置の前記場所が、前記追加の装置の場所情報に基づいて前記サービスがアクセスされることを許可される場所の中であるかどうかを判断するステップと、
前記追加の装置の場所情報に基づいて前記サービスへのアクセスを終了させるかどうかを判断するステップと
をさらに備える、請求項１９に記載のコンピュータ実行方法。
【請求項２１】
前記ネットワークにいて前記装置によって要求されるサービスを判断するステップと、
前記サービスがアクセスされ得る場所を判断するために、前記要求されるサービスに関連する規則の組を評価するステップと、
前記リクエスタの前記場所が、前記サービスがアクセスされることを許可される場所の中であるかどうかを判断するステップと、
前記リクエスタの前記場所が、前記サービスがアクセスされることを許可される前記場所の中であるという肯定的な判断に基づいて、前記ネットワーク上で前記サービスへのアクセスを前記装置に提供するステップと
をさらに備える、請求項１７に記載のコンピュータ実行方法。
【請求項２２】
前記装置が前記ネットワーク上で前記サービスにアクセスしている間、追加のリクエスタの場所情報を受信するステップと、
前記追加の装置の場所情報に基づいて前記リクエスタの前記場所の変化を識別するステップと、
前記リクエスタの前記場所が、前記追加のリクエスタの場所情報に基づいて前記サービスがアクセスされることを許可される場所の中であるかどうかを判断するステップと、
前記追加のリクエスタの場所情報に基づいて前記サービスへのアクセスを終了させるかどうかを判断するステップと
をさらに備える、請求項２１に記載のコンピュータ実行方法。
【請求項２３】
前記リクエスタの場所が存在フィードから判断される、請求項１７に記載のコンピュータ実行方法。
【請求項２４】
前記装置の場所がグローバルポジショニングシステムの信号から判断される、請求項１７に記載のコンピュータ実行方法。
【請求項２５】
前記装置の場所を受信するステップが、
前記要求に関するインターネットプロトコルアドレスを受け入れるステップと、
前記インターネットプロトコルアドレスの場所を判断するために、前記インターネットプロトコルアドレスを評価するステップと、
前記インターネットプロトコルアドレスの前記場所を前記装置の場所として割り当てるステップと  
を備える、請求項１７に記載のコンピュータ実行方法。
【請求項２６】
前記リクエスタに関する認証情報を受信するステップと、
前記リクエスタに関する許可情報を受け入れるステップと、
前記リクエスタが真正であるかどうかを判断するために、前記認証情報と前記許可情報とを比較するステップと、
前記リクエスタが真正であるという肯定的な判断に基づいて、前記リクエスタを識別するステップと
を備える、前記リクエスタの前記識別性を判断するステップ
をさらに備える、請求項１７に記載のコンピュータ実行方法。
【請求項２７】
前記リクエスタの場所を受信するステップが、
ウェブカメラを備える前記装置の場所を受信するステップと、
前記ウェブカメラから前記リクエスタの少なくとも一部の映像フィードを受信するステップと、
前記映像フィードに基づいて前記リクエスタの前記識別性を判断するステップと、
前記リクエスタの場所を前記装置の場所と同じであると設定するステップと
を備える、請求項１７に記載のコンピュータ実行方法。
【請求項２８】
前記リクエスタの場所を受信するステップが、
前記装置の場所を受信するステップと、
前記装置において前記リクエスタの生体認証データを受信するステップと、
前記リクエスタの前記識別性を判断するために、前記生体認証データを評価するステップと、
前記リクエスタの前記場所を前記装置の場所と同じであると設定するステップと
を備える、請求項１７に記載のコンピュータ実行方法。
【請求項２９】
前記装置及び前記リクエスタに関する場所情報の類似性に基づいて場所スコアを生成するステップと、
前記場所スコアに基づいて前記装置へのネットワークアクセスを許可するかどうかを判断するステップと
をさらに備える、請求項１７に記載のコンピュータ実行方法。
【請求項３０】
前記場所スコアが、前記リクエスタ及び前記装置が実質的に類似の場所にあると識別する場所ソースプロバイダの数の増加に基づいて改善される、請求項２９に記載のコンピュータ実行方法。
【請求項３１】
装置によるコンピュータネットワークへのアクセスを動的に評価するためのシステムであって、
前記装置を使用するリクエスタに関する情報を受信し、且つ前記リクエスタの真正性を判断するための第１の論理要素と、
前記ネットワークにアクセスするための要求を生成する前記装置に関する情報を受信し、且つ前記装置が真正であるかどうかを判断するための第２の論理要素と、
前記装置の場所及び前記リクエスタの場所に関する情報を受信し、且つ前記装置及び前記リクエスタの前記場所が実質的に類似であるかどうかを判断するための第３の論理要素と
を備える、システム。
【請求項３２】
前記第１、第２及び第３の論理要素の前記判断を受信し、且つこれら判断に基づいて前記ネットワークへのアクセスを前記装置に許可するかどうかを判断するためのポリシーエンジンをさらに備える、請求項３１に記載のシステム。
【請求項３３】
前記ポリシーエンジンがさらに、前記装置の前記場所及び前記リクエスタの前記場所に関する前記情報の少なくとも一部を受信し、且つ前記ネットワークへのアクセスを前記装置に許可するかどうかを判断することが前記装置の前記場所及び前記リクエスタの前記場所に関する前記情報の前記受信される一部の評価をさらに備える、請求項３２に記載のシステム。
【請求項３４】
前記ポリシーエンジンは、前記装置が前記ネットワークにアクセスしている間、前記第１、第２及び第３の論理要素の少なくとも１つから更新される情報を受信し、前記更新される情報が、前記更新される情報と前記第１、第２及び第３の論理要素からの前記情報との相違と識別するために前記ポリシーエンジンによって分析される、請求項３２に記載のシステム。
【請求項３５】
複数のアプリケーションをさらに備え、少なくとも一部の前記アプリケーションがアクセス規則を備え、前記ポリシーエンジンが、前記装置により要求されるアプリケーションに対する前記アクセス規則を評価し、且つ前記更新される情報と前記第１、第２及び第３の論理要素からの前記情報との前記相違が前記要求されるアプリケーションに対する前記アクセス規則の少なくとも１つに違反する場合に前記装置と前記ネットワークとの間の接続を終了させる、請求項３４に記載のシステム。
【請求項３６】
前記第３の論理要素に通信可能に接続される存在フィードをさらに備え、前記存在フィードが前記リクエスタの前記場所に関する情報を備える、請求項３１に記載のシステム。
【請求項３７】
前記第１の論理要素に通信可能に接続される許可保存場所をさらに備え、前記許可データベースが前記ネットワーク上の複数のサービスに関するユーザ許可情報を備える、請求項３１に記載のシステム。
【請求項３８】
前記第２の論理要素に通信可能に接続される装置資源の保存場所をさらに備え、前記保存場所が前記ネットワークへのアクセスを有する複数の装置に関する情報を備える、請求項３１に記載のシステム。
【請求項３９】
前記第１、第２及び第３の論理要素が単一の論理要素で構成される、請求項３１に記載のシステム。
【請求項４０】
リクエスタによるコンピュータネットワークへのアクセスを動的に評価するためのコンピュータ実行方法であって、
第１の期間において前記リクエスタに関する第１の認証情報を判断するステップと、
前記リクエスタが前記ネットワークにアクセスしている間、第２の期間において前記リクエスタに関する第２の認証情報を判断するステップと、
前記第１の認証情報と前記第２の認証情報とを比較するステップと、
前記リクエスタに関する前記第１と第２の認証情報との間の変化を識別するステップと、
前記変化に基づいて前記装置において前記ネットワークへの前記リクエスタのアクセスを終了させるかどうかを判断するステップと
を備える、コンピュータ実行方法。
【請求項４１】
前記装置において前記ネットワークへの前記リクエスタのアクセスを終了させるかどうかの判断は、前記第２の認証情報の評価に基づく、請求項４０に記載のコンピュータ実行方法。
【請求項４２】
前記第１の認証情報に基づいて前記装置において前記ネットワークへのアクセスを前記リクエスタに許可するステップをさらに備える、請求項４０に記載のコンピュータ実行方法。
【請求項４３】
装置によるコンピュータネットワークへのアクセスを動的に評価するためのコンピュータ実行方法であって、
第１の期間において前記要求を生成する前記装置に関する情報の第１の組を受信するステップと、
前記装置が前記ネットワークにアクセスしている間、第２の期間において前記装置に関する情報の第２の組を受信するステップと、
前記装置に関する情報の第１の組と前記装置に関する情報の第２の組とを比較するステップと、
情報の前記第１と第２の組との間の変更を識別するステップと、
前記変更に基づいて前記ネットワークへの前記装置のアクセスを終了させるかどうかを判断するステップと
を備える、コンピュータ実行方法。
【請求項４４】
前記ネットワークへの前記装置のアクセスを終了させるかどうかの判断は、前記装置に関する情報の前記第２の組の評価に基づく、請求項４３に記載のコンピュータ実行方法。
【請求項４５】
前記装置に関する情報の前記第１の組に基づいて前記ネットワークへのアクセスを前記装置に許可するステップをさらに含む、請求項に記載４３のコンピュータ実行方法。
【請求項４６】
装置によるコンピュータネットワークへのアクセスを動的に評価するためのコンピュータ実行方法であって、
第１の期間において前記装置に関する第１の場所を受信するステップと、
前記装置が前記ネットワークにアクセスしている間、第２の期間において前記装置に関する第２の場所を受信するステップと、
前記第１の場所と前記第２の場所とを比較するステップと、
前記装置の前記第１と前記第２の場所との間の変化を識別するステップと、
前記変化に基づいて前記ネットワークへの前記装置のアクセスを終了させるかどうかを判断するステップと
を備える、コンピュータ実行方法。
【請求項４７】
前記ネットワークへの前記装置のアクセスを終了させるかどうかの判断は、前記装置に関する前記第２の場所の評価に基づく、請求項４６に記載のコンピュータ実行方法。
【請求項４８】
前記装置に関する前記第１の場所に基づいて前記ネットワークへのアクセスを前記装置に許可するステップをさらに備える、請求項４６に記載のコンピュータ実行方法。
【請求項４９】
リクエスタによるコンピュータネットワークへのアクセスを装置において動的に評価するためのコンピュータ実行方法であって、
第１の期間において前記リクエスタに関する第１の場所を受信するステップと、
前記装置が前記ネットワークにアクセスしている間、第２の期間において前記リクエスタに関する第２の場所を受信するステップと、
前記リクエスタの前記第１の場所と前記第２の場所とを比較するステップと、
前記リクエスタの前記第１と第２の場所との間の変化を識別するステップと、
前記変化に基づいて前記ネットワークへのアクセスを終了させるかどうかを判断するステップと
を備える、コンピュータ実行方法。
【請求項５０】
前記ネットワークへのアクセスを終了させるかどうかの判断は、前記リクエスタに関する前記第２の場所の評価に基づく、請求項４９に記載のコンピュータ実行方法。
【請求項５１】
前記リクエスタに関する前記第１の場所に基づいて前記装置において前記ネットワークへのアクセスを前記リクエスタに許可するステップをさらに備える、請求項４９に記載のコンピュータ実行方法。
【請求項５２】
装置によるコンピュータネットワークへのアクセスを動的に評価するためのシステムであって、
前記装置を使用するリクエスタに関する情報を受信し、且つ前記リクエスタの真正性を判断するための第１の論理要素と、
前記ネットワークにアクセスするための要求を生成する前記装置に関する情報を受信し、且つ前記装置が真性かどうかを判断する第２の論理要素と、
前記装置の場所及び前記リクエスタの場所に関する情報を受信し、且つ前記装置及び前記リクエスタの前記場所が実質的に類似かどうかを判断する第３の論理要素と、
第１の期間において前記第１、第２及び第３の論理要素の少なくとも１つからの情報と、前記装置が前記ネットワークにアクセスしている間、第２の期間において前記第１、第２及び第３の少なくとも１つからの更新される情報とを受信するポリシーエンジンであって、前記情報と前記更新される情報とが変更を識別するために比較され、且つ前記変化に基づいて前記装置による前記ネットワークへのアクセスを終了させるかどうかの判断が行われるポリシーエンジンと
を備える、コンピュータ実行方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本願は、一般に、企業規模のネットワーク用のセキュリティ方法及びアーキテクチャに関する。より詳細には、本願は、サービス要求がネットワークに受け入れられるかどうかを判断するための動的セキュリティのシステム及び方法に関する。
【背景技術】
【０００２】
本特許出願は、米国特許法１１９条に基づき、「Ｄｙｎａｍｉｃ  Ｓｅｃｕｒｉｔｙ  Ｃｏｎｔｒｏｌ」と題され、２００７年２月１日に提出された米国仮特許出願第６０８９９２７６号への優先権を主張する。その開示の全ては、参照により本明細書に完全に組み込まれる。
【０００３】
インターネットの成長に伴い、企業は、非承認のユーザからそのコンピュータネットワークを安全にする方法を改良するために努力してきた。企業は、開発者の労力をそのプライベートネットワークのセキュリティに集中してきた。こうしたネットワークをより安全にするために、多くの企業がファイアウォール、ログインバリア、セキュリティトークン、及び承認された職員のみに企業へのアクセスを許可するために当業者に周知の他の方法を実装した。一般ユーザが、企業ネットワークの一部にアクセスを与えられている可能性があるが、その大部分は、従業員に限定され、且つ大抵の場合、従業員のみがネットワークの特定の部分へのアクセスを有していた。
【０００４】
時の経過に伴い、インターネットを介して企業ネットワークをよりアクセス可能にするための技術が開発されてきた。１つの重要な開発分野は、仮想プライベートネットワーク、無線アクセス及びＷｉＦｉ等の使用を通じた遠隔地アクセスの分野である。こうした技術は、実質的にどこからでも企業ネットワークの資源に従業員がアクセスすることをより容易にする。このようなアクセスが従業員の生産性の増大を可能にした。さらに、公衆へのアクセスを一般的に提供することなく企業間の情報を共有する能力は、安全なネットワーク上で情報を維持しつつも企業がサービスを外部に委託する能力を改善した。
【０００５】
しかしながら、企業ネットワークへのアクセスをより容易にするために使用される現在の技術は、幾つかの欠点を有する。アクセス可能性の増大の到来により、スプーフィング、ピギーバック、及びネットワークへの非承認アクセスの他の周知の方法を通じて、危害を加えようと試みる者がこうしたネットワークにアクセスすることもまた容易になった。さらに、従来の技術は、装置がネットワークにアクセスすることを許可し続けるかどうかの再評価を必要とするであろうネットワークにアクセスする装置又は当事者に、変化が生ずるかどうかを判断するために、ネットワークにアクセスする装置又は当事者を監視し続ける方法を提供しない。故に、人物が一旦装置からログインし且つシステムへのアクセスを許可されると、アクセスは、装置又は当事者がネットワークをログオフすることを選択するまで継続する。よって、アクセスを認められた当事者がログオフすることなく装置から離れた場合、任意の他の人物が、アクセスを許可されるべきかどうかにかかわらず、ネットワークへのアクセスを有し続けるであろう。さらに、従来の技術は、場所に基づいてアクセスが許可されるかどうかを判断するために、ネットワークにアクセスする装置又は人物の場所を監視しない。
【発明の概要】
【発明が解決しようとする課題】
【０００６】
従って、当技術分野において、サービス要求が人物、装置特性、及び要求が発生した場所の分析に基づいて許可又は拒絶されるかどうかを判断することにより、企業規模のネットワークの動的なセキュリティを可能にする製品及び方法に対する要求が存在する。本発明は、こうした及び当技術分野における他の要求を解決する。
【課題を解決するための手段】
【０００７】
動的アクセス評価システムは、ネットワークへのアクセスを求める装置からのサービス要求を受信することが出来る。１例示的実施形態において、要求は、ネットワーク上で提供されるアプリケーション又はサービスへのアクセスに対するものである。システムは、要求を生成する人物（「リクエスタ」）、要求が生成される装置並びに／又はリクエスタ及び装置の場所についての情報を受信することが出来る。さらに、システムは、リクエスタ、装置及び／又は場所の認証が必要かどうかを判断するために要求されているアプリケーション又はサービスに関する１つ以上の規則の組を分析することが出来る。システムは、要求されたアプリケーション又はサービスにアクセスを有するユーザのリストを受け入れるために許可データベースにアクセスすることが出来る。さらに、許可データベースは、ユーザのログイン情報を提供することが出来る。システムは、要求において受信されるリクエスタに関する情報を許可データベースにおけるリクエスタに関する情報と比較して、情報が同一又は類似かどうかを判断することが出来る。システムはまた、要求を生成する装置に関する情報を受信し、且つ装置が真正かどうか又はそれをネットワークにアクセス可能にすることが要求されたアプリケーション若しくはサービスの規則に違反する態様で装置が変更されたかどうかを判断するために、装置に関する履歴情報とそれを比較することも出来る。さらに、システムは、要求の一部として又は要求に加えて装置及びリクエスタに関する場所情報を受信することが出来る。装置及びリクエスタに関する場所情報は、それらが同一又は類似の場所にあるかどうかを判断するために比較され得る。さらに、ネットワークへのアクセスを許可した後で、システムは、リクエスタ、装置、又は場所に関する情報の監視を継続することが出来、且つ装置によってアクセスされているサービス又はアプリケーションの規則に違反する監視される情報の変化に基づいてネットワークへの装置のアクセスを終了させることが出来る。
【０００８】
本発明の１態様に関して、動的アクセス評価システムは、装置においてリクエスタからネットワークへのアクセスに対する要求を受信することが出来る。動的アクセス評価システムは、リクエスタに関する認証情報を受信することが出来る。１例示的実施形態において、認証情報は、アクセスに対する要求と共に、又は動的アクセス評価システムへの別の伝送に含まれ得る。動的アクセス評価システムは、許可データベースからリクエスタに関する許可情報を取得することが出来る。許可情報は、限定されるものではないが、ネットワーク又はネットワーク上の特定のサービス若しくはアプリケーションにアクセスすることを許可される人々に関する情報を含み得る。動的アクセス評価システムは、認証情報を許可情報と比較してリクエスタが認証されるかどうかを判断する。１例示的実施形態において、認証情報及び許可情報が同一又は実質的に類似である場合、リクエスタは真正である。次に、認証スコアが認証情報と許可情報との比較に基づいて動的アクセス評価システムによって生成される。ポリシーエンジンは、ネットワークへのアクセスを装置に許可するかどうかを判断するために認証スコアを使用することが出来る。
【０００９】
本発明の別の態様に関して、動的アクセス評価システムは、装置からネットワークへのアクセスに対する要求を受信することが出来る。動的アクセス評価システムはまた、要求を生成する装置に関する情報を受信することが出来る。１例示的実施形態において、装置に関する情報は、ネットワークへのアクセスに対する要求又は動的アクセス評価システムへの別個の伝送の一部と共に含まれ得る。動的アクセス評価システムは、装置情報を履歴装置情報と比較することが出来る。１例示的実施形態において、履歴装置情報は、限定されるものではないが、装置型、装置シリアル番号、各装置に対するメモリ割り当て、及び各装置に対するオペレーティングシステムレベルを含む、コンピュータ資源及びこの各コンピュータ資源に関する情報を含む。動的アクセス評価システムは、装置情報と履歴装置情報との比較に基づいて装置が真正であるかどうかを判断することが出来る。次に、それは、比較に基づいて認証スコアを生成することが出来る。次に、装置にネットワークへのアクセスを許可するかどうかの判断が認証スコアに基づいて行われ得る。
【００１０】
本発明のさらに別の態様に関して、動的アクセス評価システムは、装置においてリクエスタからネットワークへのアクセスに対する要求を受信することが出来る。動的アクセス評価システムはさらに、装置及びリクエスタの場所を受信することが出来る。１例示的実施形態において、装置及び／又はリクエスタの場所は、最初の要求又は動的アクセス評価システムへの別個の伝送の一部に含まれ得る。別の例示的実施形態のおいて、リクエスタの場所は、存在フィード、生体認証データ又はネットワークにアクセスするために装置によって生成されている要求とは無関係である他の装置に基づいて判断され得る。動的アクセス評価システムは、装置の場所をリクエスタの場所と比較して、それらが同一又は実質的に類似であるかどうかを判断することが出来る。１例示的実施形態において、装置の場所は、リクエスタの場所よりも概括的であってもよく、又はその逆であってもよい。場所は、より詳細な場所がより詳細でない場所の領域内にある場合は実質的に類似とみなされ得る。代替的な実施形態において、場所は、装置の場所がリクエスタの場所の既定の範囲内に、限定されるものではないが、５０フィート、１００フィート、５００フィート、１０００フィート、０．５マイル、又は１マイル内にある場合は実質的に類似とみなされ得る。アクセスは、装置とリクエスタの場所が同一又は実質的に類似であるとの判断に基づいて装置がネットワークにアクセスするために許可され得る。
【００１１】
本発明のさらなる態様に関して、評価システムは、装置を使用するリクエスタに関する情報を受信し且つリクエスタの真正性を判断するための第１の論理要素を含み得る。システムはまた、ネットワークへの要求を生成し且つ装置が真正であるかどうかを判断するために装置に関する情報を受信するための第２の論理要素を含み得る。さらに、システムは、上述のように、装置の場所及びリクエスタの場所に関する情報を受信し且つ装置及びリクエスタの場所が同一又は実質的に類似であるかどうかを判断するための第３の論理要素を有し得る。
【００１２】
本発明とその利点をより完全に理解するために、次に、添付の図面と共に以下の説明への参照が行われる。
【図面の簡単な説明】
【００１３】
【図１】本発明の様々な実施形態の実装のための例示的動作環境を例示するブロック図である。
【図２】本発明の例示的実施形態による、サービス要求を生成する人物の識別性を確認するための工程を例示する流れ図である。
【図３】本発明の例示的実施形態による、サービス要求が生成される装置の識別性を確認するための工程を例示する流れ図である。
【図４】本発明の例示的実施形態による、サービス要求を生成する装置及び人物の場所を確認するための工程を例示する流れ図である。
【発明を実施するための形態】
【００１４】
本発明は、サービス要求がネットワークに受け入れられるかどうかを判断するためにエージェントからのサービス要求の動的セキュリティを行うコンピュータ実行方法及びシステムを支援する。本発明の例示的実施形態は、添付の図面を参照することによりより容易に理解することが出来る。本発明の例示的実施形態は、一般に、ソフトウェア及びハードウェアモジュール並びにネットワーク上で実行されるオペレーティングシステムとの関連で説明されるが、当業者であれば、本願がまた他の種類のコンピュータに関する他のプログラムモジュールと共に実行され得ることを認識するであろう。さらに、当業者であれば、本発明が独立型で又は分散型コンピュータ環境において実行され得ることを認識するであろう。さらに、当業者であれば、本願がコンピュータハードウェア、コンピュータソフトウェア、又はコンピュータハードウェア及びソフトウェアの組み合わせで実行され得ることを認識するであろう。
【００１５】
分散型コンピュータ環境において、プログラムモジュールは、異なるローカルの及び遠隔のメモリ記憶装置に物理的に設置されてもよい。プログラムモジュールの実行は、独立型の方式でローカルに又はクライアント／サーバの方式で遠隔に生じてもよい。このような分散型コンピュータ環境の例は、ローカルエリアネットワーク、企業規模コンピュータネットワーク、及びグローバルインターネットを含む。
【００１６】
以下の詳細な説明の大部分は、プロセッシングユニット、メモリ記憶装置、ディスプレイ装置、及び入力装置を含む、従来のコンピュータ要素による動作の工程及び記号表現の観点で表されている。こうした工程及び動作は、分散型コンピュータ環境において従来のコンピュータ要素を利用してもよい。
【００１７】
コンピュータによって実行される工程及び動作は、プロセッシングユニット又は遠隔コンピュータによる信号の操作及び１つ以上のローカル又は遠隔のメモリ記憶装置に存在するデータ構造内でのこうした信号の維持を含む。このようなデータ構造は、メモリ記憶装置内に記憶されるデータの収集に物理的編成を与え、且つ特定の電気的又は磁気的要素を表す。記号表現は、他の当業者に教示及び発見を最も効率的に伝えるためのコンピュータプログラミング及びコンピュータ構築の分野における当業者によって使用される手段である。
【００１８】
本発明の例示的実施形態は、本明細書に記載され且つ図面に示される機能を具現化するコンピュータプログラム及び／又はコンピュータハードウェアを含む。限定されるものではないが、特定用途向け集積回路（「ＡＳＩＣ」）及びデータ配列を含むコンピュータプログラミングで、本発明を実装する多くの異なる方法が存在し得ることは明らかである。しかし、本発明は、如何なるコンピュータプログラム命令の組に限定されるとも解釈されるべきではない。さらに、熟練したプログラマであれば、例えば、図面及び本願の文章における関連する記載に基づいて、困難を伴わずに本発明の開示の実施形態を実装するようなコンピュータプログラムを記述することが出来るであろう。従って、プログラムコード命令の開示又は特定の組は、本発明を行い且つ使用する方法の適切な理解に必要であるとはみなされない。コンピュータプログラムの本発明の機能は、以下の説明でより詳細に説明され、且つ残りの図面と共に開示される。
【００１９】
次に図面を参照すると、ここで同様の番号は複数の図面を通じて同様の要素を表しており、本発明の態様及び本発明を実装するための例示的な動作環境が説明される。図１は、本発明の例示的実施形態による動的セキュリティ制御工程を実装するための、例示的なシステムレベルアーキテクチャ１００を示すブロック図である。次に図１を参照すると、例示的システム１００は、フー（Ｗｈｏ）、ホワット（Ｗｈａｔ）、ホエア（Ｗｈｅｒｅ）（「Ｗ３」）装置１０５、許可データベース１１５、構成管理データベース１２０、ネットワーク情報１２５、存在フィード１３０、アプリケーション情報１３５、ネットワーク機能と構造１４５、及びエージェント１１０を備える。例示的なＷ３装置１０５は、フー論理１５０、ホワット論理１５５、ホエア論理１６０、ポリシーエンジン１６５、及びネットワーク機能と構造１７０を有する。１例示的実施形態において、Ｗ３装置１０５は、企業の内部と外部データセンタとの間のネットワークの端に設置される。別の例示的実施形態において、１つ以上のＷ３装置１０５が企業内の１つ以上の企業データセンターの機能と構造１４５の間に設置され得る。
【００２０】
フー論理１５０は、分散型コンピュータネットワークを介して、許可データベース１１５及びポリシーエンジン１６５に通信可能に接続される。１例示的実施形態において、許可データベース１１５は、ネットワーク上の特定のサービスへのアクセスを許可される人々に関する情報を記憶する。許可データベース１１５の例は、ＡＡＡサーバ及びラディウスデータベースを含む。例示的なフー論理１５０は、人物が保護ネットワークにおいてアプリケーション又はサービスにアクセスすることを許可されるかどうかを判断する。
【００２１】
図２は、図１のＷ３装置１０５におけるフー論理１５０によって達成されたように、人物がネットワークへアクセスすることを許可されるかどうかを判断するための例示的工程を表す。図２の例示的工程２００は、ＳＴＡＲＴステップで開始してステップ２０５に進む。ここで、Ｗ３装置１０５は、アプリケーション又はサービスへのアクセスに対する要求（「サービス要求」）を受信する。１例示的実施形態において、要求は、インターネット１７５を介してポリシーエンジン１６５によって受信されるＸＭＬフィード（又は任意の他の種類の周知の伝送フィード）の一部であり、フー論理１５０に渡される。代替的な実施形態において、要求は、インターネット１７５を介してエージェント１１０からフー論理１５０によって受信されるＸＭＬフィードの一部である。ステップ２１０において、エージェント１１０でリクエスタの１または２要因の認証がサービス要求の一部としてフー論理１５０によって受信される。１例示的実施形態において、２要因認証は、例えばセキュリティトークン、及び個人識別番号（「ＰＩＮ」）等のセキュリティ識別子を含む。しかしながら、生体認証のような他の認証方法が、セキュリティトークン若しくはＰＩＮに加えて又は代えて使用され得る。
【００２２】
フー論理１５０は、セキュリティトークン又はセキュリティトークン及びＰＩＮをステップ２１５における許可データベース１１５の情報と相互参照する。ステップ２２０において、フー論理１５０は、要求側の当事者が要求されているサービスへのアクセスを有するかどうかを判断する。１例示的実施形態において、フー論理１５０は、セキュリティトークンにおける情報を許可データベース１１５における情報と比較することによりその判断を行い、且つ情報がフー論理１５０における規則の組に基づいて同一又は実質的に類似であるかどうかを判断する。１例示的実施形態において、規則の組は、サービスの使用を許可される既知のユーザをリストするユーザデータベース（不図示）の索引を含む。ステップ２２５において、フー論理１５０によって取得される情報は、さらなる分析を行い得るポリシーエンジン１６５に送信される。
【００２３】
１例示的実施形態において、ポリシーエンジン１６５は、フー論理１５０から受信される情報及びサービス要求における情報を評価し、且つフー論理１５０からの情報がどの程度信頼されるか又はフー論理１５０からの情報が、接続のサービス要求を許可すべきかどうかのポリシーエンジン１６５の判断の一部としてどの程度信頼される必要があるかを計算する。例えば、ポリシーエンジン１６５の規則は、特定の要求に対しては、人物が建物内にいるというスワイプカードの証拠及び携帯電話からのグローバルポジショニングシステムのデータ並びに銀行の金庫室に設置される安全な電話回線上の声紋確認に加えて、虹彩スキャナ又は指紋を使用する、フー論理１５０の生体認証の組み合わせを要求する。さらに、規則は、使用されている装置がウイルス及びマルウェアが存在しない必要性があること及び暗号化ハードドライブを使用していなければならないことを要求し得る。
【００２４】
リクエスタが接続されている間、ポリシーエンジン１６５は接続及び情報フィードを監視し、且つ規則により検出される如何なる変化にも対処する。上記の例を用いて、ポリシーエンジン１６５が、フー論理１５０によって判断されるような、リクエスタが銀行の金庫室からの退出時間を記録したという情報又はリクエスタの識別が変更したという情報を受信する場合、ポリシーエンジン１６５は、リクエスタとシステムとの間の接続を終了させるであろう。工程は、ステップ２２５から終了ステップへと続く。
【００２５】
ホワット論理１５５は、分散型コンピュータネットワークを介して、構成管理データベース１２０及びポリシーエンジン１６５に通信可能に接続される。例示的な構成管理データベース１２０は、組織によって所有され又は管理される、全てのコンピュータ資源及びこうした資源の各々に関連する情報の保存場所である。装置型、装置シリアル番号、各特定の装置に対するメモリ割り当て、及び各装置に対するオペレーティングシステムレベルは、構成管理データベース１２０に含まれ得る情報の例である。例示的なホワット論理１５５は、サービス要求が由来している装置が構成管理データベース１２０に記憶される装置特性と同一又は実質的に類似であるかどうかを判断する。
【００２６】
図３は、サービス要求を提示する装置が真正であり、従って図１のＷ３装置１０５におけるホワット論理１５５によって達成されるようにネットワークへアクセスすることを許可されるかどうかを判断するための例示的工程を提示する。図３の例示的工程３００は、開始ステップで開始してステップ３０５に進む。ここで、Ｗ３装置１０５は、アプリケーション又はサービスへのアクセスに対する要求を受信する。１例示的実施形態において、要求は、インターネット１７５を介してエージェント１１０からポリシーエンジン１６５によって受信されるＸＭＬフィードの一部であり、ホワット論理１５５に渡される。代替的な実施形態において、要求は、インターネット１７５を介してエージェント１１０からホワット論理１５５によって受信されるＸＭＬフィード（又は任意の種類の既知の伝送フィード）の一部である。ステップ３１０において、ホワット論理１５５は、要求が生成されている装置に関する情報をエージェント１１０から受信する。エージェント１１０から受信されるこの情報は、装置の指紋データ又は装置についてのデータの演算ハッシュを含んでもよい。１例示的実施形態において、装置の指紋データは、以下の、シリアル番号、装置構成（搭載メモリ、セントラルプロセッシングユニット速度等を含む）、装置の健全性（装置上にマルウェア又はウイルスが組み込まれているかどうかを含む）、ハードドライブが暗号化されているかどうか、及びＢＩＯＳパスワード又はＰＩＮが装置上で使用されるかどうか、の１つ以上を含む。
【００２７】
ホワット論理１５５は、エージェント１１０から受信される装置に関する情報を構成管理データベース１２０上の情報と相互参照して、装置の仕様が同一又は実質的に類似かどうかをステップ３１５において判断する。ホワット論理１５５は、ステップ３２０において要求を生成していることになっている装置の真正性に関する判断を行う。ステップ３２５において、ホワット論理１５５によって取得される情報は、次に、それがさらに分析され得るポリシーエンジン１６５に渡され得る。例えば、ユーザは、パーソナルコンピュータからサービス要求を生成する。構成管理データベース１２０から取得される情報は、要求が行われたコンピュータが５００メガバイトのランダムアクセスメモリを有することを示し、一方でエージェント１１０からの情報は、コンピュータが１ギガバイトのランダムアクセスメモリを有することを示す。ホワット論理１５５は、アクセスが拒絶されるべきかどうか、若しくは相違がホワット論理１５５で既定の規則に基づいてサービスを拒絶するために必要な有意水準に達していないかどうかを決定することが出来、又はそれは、ポリシーエンジン１６５がアクセスの判断を行うことが出来るようにポリシーエンジン１６５にこの情報を渡すことが出来る。プロセスは、ステップ３２５から終了ステップへと続く。
【００２８】
ホエア論理１６０は、分散型コンピュータネットワークを介して、ネットワーク情報１２５、存在フィード１３０、及びポリシーエンジン１６５に通信可能に接続される。１例示的実施形態において、ホエア論理１６０は、サービス要求が生成されている装置の場所を判断することを試行し、且つリクエスタが要求されたサービスへのアクセスを有するかどうかを判断するために場所情報を使用する。ネットワーク情報１２５は、ホエア論理１６０が、無線ネットワーク、プライベートネットワークにおいて、又はインターネット１７５においてエージェントの場所を突き止めることを可能にする情報を提供する。
【００２９】
１例示的実施形態において、エージェント１１０の場所は、Ｅ９１１システムにおいて場所検出に使用されているものと同様に、装置の場所を特定するために装置へ及びからの無線信号の使用により、無線ネットワークを経由して決定され得る。ＷｉＦｉアクセスポイントは、装置の場所を決定するための無線信号の使用の別の例を提供する。別の例示的実施形態において、インターネット１７５上でのエージェント１１０からの要求の場所は、ホエア論理１６０が要求のハンドル又はＩＰアドレスを受信することにより決定され得る。ホエア論理１６０は、ＩＰアドレスとＩＰアドレスを世界中の詳細な場所情報と結び付ける従来のデータベースとを比較することが出来る。プライベートネットワークで行われている要求に関して、ホエア論理１６０は、例えば、ＩＰアドレスを受信して、アドレスとプライベートネットワーク内のＩＰアドレス及び場所の内部データベースとを比較する。
【００３０】
存在フィード１３０は、データを使用して人物が物理的にどこに位置するか、その人物が特定の時間に何をしているか、及び／又は彼らの手が空いているかどうかの判断を試行する。存在フィード１３０は、要求を生成している人物の場所に関連するデータの情報ストリーム及びデータベースを含み得る。存在フィード１３０の１例は、彼らが安全な建物の異なる領域にアクセスするときにカードの、恐らくはカード保持者の場所を追跡するために使用され得る建物のスワイプカードである。存在フィード１３０の別の例は、装置ログイン情報である。人物が装置にアクセスするためにログインを要求され且つ装置の場所が知られている場合、装置にログオンしている人物は、装置からログオフするまで装置の所にいると推定される。存在フィード１３０の追加の例は、スケジュールカレンダ及び即時メッセージング装置を含む。当業者であれば、例えば人物が職場にいない又は現在国内にいないことが分かる等の否定的な存在情報が、要求を生成する人物の場所を決定するために存在フィード１３０として使用され得ることを認識するであろう。
【００３１】
図４は、図１のＷ３装置１０５におけるホエア論理１６０によって達成されるようなエージェント１１０からネットワークへの要求が生じた場所を決定するための例示的工程４００を示す。例示的工程４００は、開始ステップ４００で開始してステップ４０５へと続く。ここで、ポリシーエンジン１６５は、インターネット１７５を介してエージェント１１０からＸＭＬフィードの形式でサービス要求を受信し、且つサービス要求内の情報をホエア論理１６０に渡す。代替的実施形態において、要求は、インターネット１７５を介してエージェント１１０からホエア論理１６０によって受信されるＸＭＬフィード（又は任意の他の種類の周知の伝送フィード）の一部である。ステップ４１０において、要求を生成する人物を識別するために使用され得る情報は、サービス要求から解析される。１例示的実施形態において、この情報はセキュリティトークンである。別の例示的実施形態において、要求を生成する人物を識別することが出来るフー論理１５０からの情報は、直接に又はポリシーエンジン１６５を通じてのいずれかによりホエア論理１６０に送信され得る。ステップ４１５において、装置を識別するＩＰアドレス又は他の情報は、サービス要求から解析される。
【００３２】
ネットワーク情報１２５は、ステップ４２０においてサービス要求が生じた場所を判断するためにＩＰアドレス又は装置識別子に基づいてホエア論理１６０により受信される。１例示的実施形態において、リクエスタ及び装置が同一の場所にあるかどうかについてホエア論理１６０により判断が行われる。例えば、グローバルポジショニングシステム（「ＧＰＳ」）は、合衆国に装置を配置し、且つこの情報をホエア論理１６０に提供する。リクエスタの場所を突き止めるために、ＧＰＳに電子的に結合されるウェブカメラは、リクエスタのセキュリティ識別カードに焦点を合わせられ、且つ装置及びリクエスタが同一の場所にあることを確認するためにホエア論理１６０により分析され得る。別の例において、ＧＰＳユニットは、指紋リーダを有し得る。ホエア論理１６０に渡される要求及び情報の一部としてリクエスタは、リクエスタがＧＰＳユニット及び装置と同一の場所にいることを確認するために自身の指紋を提供し得る。
【００３３】
さらに別の実施形態において、リクエスタは、（電話機のＧＰＳを介して又は電話回線が持ち運び出来ない（すなわち、固定電話）であるということにより）物理的場所に固定される電話回線を介して情報をホエア論理１６０に提供し得る。リクエスタからの音声生体認証は、ホエア論理１６０によって受信され、且つリクエスタが要求を生成していると思われる人物であることを確認するために分析され、それにより、装置とリクエスタが同一の場所にあることを確認する。１例示的実施形態において、リクエスタ及び装置が同一の場所にあることの確認は、ポリシーエンジン１６５によって評価される際の情報の信頼性に関してより高いスコアをもたらす。
【００３４】
ステップ４２５において、ホエア論理１６０は、要求を生成していると思われる人物に関する存在フィード情報１３０を受信する。ホエア論理１６０は、ステップ４３０において、人物に対する１つ以上の潜在的な場所を判断する。ステップ４３５において、ホエア論理１６０は、要求を生成する人物の場所とネットワーク情報１２５により提供される要求の起点とを比較する。ホエア論理１６０は、２つの場所が同一若しくは実質的に類似であるかどうか、場所情報が信頼に値するかどうか、存在フィード情報１３０が信頼に値するかどうか、又は場所情報が要求の種類に基づいて重要であるかどうかを決定するために規則の組を使用し、且つステップ４４０において要求が許可されるかどうかの最初の判断を行う。１例示的実施形態において、場所情報が信頼に値するかどうかの判断は、同一の場所でリクエスタを認識する複数のソース（すなわち、使用されているＩＰアドレス、リクエスタが自身が位置することを示す場所、携帯電話塔情報、ＧＰＳ等）に基づく。ソースがより多ければ、スコアはより高くなる。
【００３５】
ステップ４４５において、ホエア論理１６０は、サービス要求が生じているとネットワークが信じる場所をエージェント１１０からポリシーエンジン１６５に出力する。ポリシーエンジン１６５は、サービス要求の追加の処理のためにホエア論理１６０からの場所情報を使用することが出来る。１例示的実施形態において、ホエア論理によってポリシーエンジン１６５に提供される情報は、ＸＭＬフィードで提供され、且つ場所スコア及びリクエスタ及び／又は装置の場所に関する詳細を含む。ホエア論理１６０によって受信され又は分析される追加の情報はまた、必要に応じてポリシーエンジン１６５に渡されてもよい。工程は、ステップ４４５から終了ステップへと続く。
【００３６】
ポリシーエンジン１６５は、分散型コンピュータネットワークを介して、エージェント１１０、フー論理１５０、ホワット論理１５５、ホエア論理１６０、アプリケーション情報１３５、Ｗ３装置１０５におけるネットワーク機能と構造１７０及び機能と構造１４５に通信可能に接続される。ポリシーエンジン１６５は、サービス要求の後で事実及び情報を取得し、且つＷ３装置１０５がこうした事実で何をすべきかを判断する。ポリシーエンジン１６５は、潜在的なビジネスリスクに基づく規則の組を含み、且つポリシーエンジン１６５は、こうした規則を使用して特定の事実の各組に基づくサービス要求にどのように対処するかを判断する。例えば、対象物がビジネスを世界規模で行うことである電子商取引環境において、ポリシーエンジン１６５は、ホエア論理１６０からの情報を評価しなくてもよく、又はホエア論理１６０が評価を行うことを要求しなくてもよい。他方で、システムがスイスのデータをスイスの場所に提供するためにのみ設計される場合、例えば、ホエア論理１６０からの評価及び情報は、スイスのデータへのアクセスが許可されるかどうかを判断する上でより重要になるであろう。
【００３７】
アプリケーション情報１３５は、アプリケーションがデータを提示する方法に関する情報の保存場所である。アプリケーション情報１３５内の情報は、一般に、ソフトウェア型資源、電子商取引アプリケーション、及び装置上に存在するアプリケーションを表す。ポリシーエンジン１６５は、そのアプリケーションのアクセス又は使用が企業内で適切であるかどうかを決定するためにアプリケーション情報１３５にアクセスする。アプリケーション情報１３５は、特定のアプリケーションへのアクセス可能性を規定する規則を含むことも出来る。例えば、各アプリケーションに対して、アプリケーション情報１３５は、特定のアプリケーションがインターフェース接続することが出来る装置の型をポリシーエンジンに通知する。
【００３８】
ポリシーエンジン１３５は、ホワット論理１５５からの装置情報と共にアプリケーション情報を使用して、アプリケーションと互換性がない装置からサービス要求が行われたためにアクセスが拒絶されるべきかどうか又はアクセスが許可されるべきかどうかを決定する。さらに、ポリシーエンジン１６５は、ネットワーク機能と構造１７０におけるデータ変換エンジン１８４にアクセスして、サービス要求によって要求されているデータがサービス要求を生成する装置とインターフェース接続することが出来るものに変換され得るかどうかを判断することが出来る。例えば、携帯情報端末（「ＰＤＡ」）装置からのサービス要求が、パーソナルコンピュータのモニタ上に提示されることが一般には意図される情報を要求してもよい。ポリシーエンジン１６５は、データがＰＤＡでの表示に適した種類に変換され得るかどうかを判断するようにデータ変換エンジン１８４に問い合わせることが出来る。それが変換可能でない場合、ポリシーエンジン１６５は、サービス要求を拒絶することが出来、そうでない場合はそれはデータ変換エンジン１８４によってデータを変換させ且つＰＤＡに送信させることが出来る。別の例において、データ変換エンジン１８４は、他のデータに変更を加えずにデータの一部を匿名にするために使用され得る。例えば、情報が病院の建物の外部から要求されている情報である場合、データに組み込まれる社会保障番号は、サービス要求を生成するエージェント１１０が社会保障番号を判断することが出来ないように、アスタリスクに変換され得る。１例示的実施形態において、ポリシーエンジン１６５の出力は、標準ネットワーク要素の構成である。
【００３９】
さらに、ポリシーエンジン１６５は、変更がフー１５０、ホワット１５５、又はホエア１６０論理で感知され又は検出されると、アプリケーション又は情報へのアクセスの制御又は権利を動的に変更する機能を有する。例えば、フー論理１５０がアクセスを許可すべきかどうかについての分析の一部として顔認識又は生体関連情報を受信している場合、顔認識データを供給するカメラの前で顔が変化すると、ポリシーエンジン１６５は、提示されている情報のデータ変換を社会保障番号からアスタリスクへと変更し、又はポリシーエンジン１６５は、データ又はアプリケーションへのアクセスを完全に停止し得る。別の例示において、ホワット論理１５５が保護されるネットワーク又は環境でのデータへのアクセスを現在受け入れる装置の監視を継続するときに、ホワット論理１５５が例えばＵＳＢ装置がプラグインされる等の装置の変化を感知し又は気付く場合、ポリシーエンジン１６５は、ホワット論理１５５からその情報を受信し、且つポリシーエンジン１６５は、そのデータへのさらなるアクセスを防止し得る。さらに別の実施形態において、個人銀行家がスイス内にいる間、銀行家はスイスのデータへのアクセスが許可されており、且つ銀行家がドイツへの国境を越えて旅行する場合、場所の変化が検出され得（例えば、携帯電話またはグローバル・システム・フォー・モバイル（「ＧＳＭ」）コミュニケーションネットワークでのグローバルポジショニングシステムの使用によって等）、且つホエア論理１６０又はポリシーエンジン１６５はスイスのデータへのアクセスを停止し得る。さらに、例えば詳細に検討されてはいないフー１５０、ホワット１５５、又はホエア１６０論理によって分析されている情報への変化等のＷ３  １０５環境における他の変化は、データセンター１４５からのデータフローの構成及び制御に即時の且つ動的な効果を有してもよい。
【００４０】
エージェント１１０は、分散型コンピュータネットワーク、例えばインターネット１７５を介してポリシーエンジン１６５に通信可能に接続される。例示的なエージェント１１０は、ポリシーエンジン１６５へのサービス要求を生成する装置にマシン状態及びオペレーティングシステムレベル情報を提供する。代替的な実施形態において、サービスレベル要求を生成する装置のマシン状態及びオペレーティングシステムレベル情報は、エージェント１１０の代わりにプローブを使用して取得され得る。ネットワーク機能と構造１７０は、ポリシーエンジン１６５に通信可能に接続される。１例示的実施形態において、ネットワーク機能と構造１７０は、例えばファイアウォール１８２、データ変換エンジン１８４、マルウェア防止装置１８６、ネットワーク最適化エンジン１８８及び当業者には周知の仮想プライベートネットワーク１８０、１９０（「ＶＰＮ」）等の従来の技術を含む。機能と構造１４０は、分散型コンピュータネットワークを介してポリシーエンジン１６５に通信可能に接続される。機能と構造は、企業アーキテクチャにおけるデータセンターを表す。
【００４１】
ポリシーエンジン１６５は、リクエスタがシステムへのアクセスを有するべきかどうかを判断するために必要に応じてフー１５０、ホワット１５５、及びホエア１６５論理の任意の組み合わせを受信することが出来る。例えば、スイスの銀行家は、接続及びデータがスイスの国境内でのみアクセスされなければならないとポリシーエンジン１６５の規則が示す遠隔アクセス解決策を介して個人情報へのアクセスを試行する。誰であるかの情報は、遠隔アクセス終端点への接続での呼び出し回線識別により識別される、銀行家に発行されたセキュリティ識別及び３Ｇ  ＳＩＭを使用してフー論理１５０により判断される。さらに、３Ｇサービスプロバイダは、定期的に継続されるセルの三角測量を用いることにより３Ｇカードの場所を特定するＸＭＬフィードをホエア論理１６０に提供する。ホワット論理１５５は、例えばＣＰＵの指紋法等の装置特性を含む使用中の装置の識別フィード情報を受信する。装置がネットワークに接続されると、誰が、何を、及び何処でに関する情報が構築され、且つ各論理要素１５０、１５５、及び１６０によってポリシーエンジン１６５上に送信され、且つポリシーエンジン１６５は、ネットワークへのアクセスを許可する。銀行家は列車にいるため、銀行家及び装置の場所は常に変化している。場所がスイスの国境の外側になるとすぐに、場所情報はホエア論理１６０によりポリシーエンジン１６５に提供され、それは接続を閉じてユーザに接続が終了されたことを通知する。
【００４２】
上記のこの例示は、フー論理１５０にも拡張され得る。装置上のウェブカメラは、銀行家のビューを提供する。顔認識ソフトウェアは、フー論理１５０によりアクセスされて銀行家の識別性を確認する。識別性情報は、フー論理１５０によりポリシーエンジン１６５に提供され、それは銀行家がウェブカメラの前にいる限りはネットワークへのオープン接続を維持する。銀行家がウェブカメラのビューにいない及び／又は別の人物がウェブカメラのビューにいるとすぐに、リクエスタを識別する能力の欠乏（ウェブカメラのビューに誰もいないという場合）という識別性の変化は、フー論理１５０からポリシーエンジン１６５に渡され、それはネットワークへの接続を閉じる。
【００４３】
さらに別の例において、リクエスタは、病院のネットワークから患者の情報にアクセスすることを試行し得る。ポリシーエンジンの規則又は要求されるデータは、リクエスタ及び装置が認証される場合であっても、リクエスタが病院の建物内に位置しなければ、例えばＷｉＦｉ三角測量を使用して、送信されているデータが匿名にされることを規定する。例えば、ホエア論理１６０が、リクエスタ及び装置が病院内に位置すると判断すれば、場所情報は、患者の記録へのアクセスをリクエスタに提供し且つ患者の社会保障番号を含む、ポリシーエンジン１６５に提供される。しかし、一旦ホエア論理１６０が、リクエスタ又は装置がもはや病院内に位置しないと判断すると、新しい情報は、例えば、要求されている患者の記録に対して患者の社会保障番号の代わりにＸを提供することを含む、リクエスタに提供される情報を自動的に匿名にするポリシーエンジン１６５に提供される。
【００４４】
本発明は様々な変形及び代替的な実施形態を受け入れるが、例示的な実施形態が、図面において例示のために示され且つ本明細書に記載されている。しかし、本発明を開示された例示的な実施形態に限定することを意図するものではないことが理解されるべきである。むしろ、記載されたような本発明の精神及び範囲内に入る全ての変形、均等物及び代替物が含まれることが意図される。
【図１】
2010518493.tif 000003
【図２】
2010518493.tif 000004
【図３】
2010518493.tif 000005
【図４】
2010518493.tif 000006
【国際調査報告】
2010518493.tif 000007