(57)【要約】  セキュリティ管理能力について提示する。セキュリティ管理能力により、格納／適用ロケーション間の個々のセキュリティルールのマイグレーションが可能になる。セキュリティルールのマイグレーションは、セキュリティルールが適用されるべきロケーションの選択と、セキュリティルールが適用されるべき選択されたロケーションへのセキュリティルールのマイグレーションとを含むことができる。セキュリティルールが適用されるべきロケーションの選択が、セキュリティルールポリシーおよび／またはセキュリティルールロケーション選択情報に基づいて実行されうる。セキュリティルールが、現在のロケーション（例えばセキュリティルールが現在適用されているロケーション、管理システムなど）からセキュリティルールが適用されるべき選択されたロケーションにマイグレーションされる。この方式では、流動性セキュリティ層が提供されうる。流動性セキュリティ層は、１つまたは複数のセキュリティレベル、性能、コストなどに対して最適化されうる。
2015517702.tif 000002
【特許請求の範囲】
【請求項１】
プロセッサと、プロセッサに通信可能に接続されたメモリとを備え、
プロセッサは、セキュリティルールに関連するポリシーに基づいてセキュリティルールが適用されるべきロケーションを選択し、
セキュリティルールが適用されるべき選択されたロケーションへのセキュリティルールのマイグレーションを開始するように構成された、装置。
【請求項２】
セキュリティルールに関連するポリシーが、セキュリティルールの適用に関連するレイテンシに基づく、請求項１に記載の装置。
【請求項３】
セキュリティルールが、侵入検知システム（ＩＤＳ）または侵入防止システム（ＩＰＳ）に関連するとき、セキュリティルールに関連するポリシーが、セキュリティルールの適用に関連するレイテンシに基づく、請求項１に記載の装置。
【請求項４】
セキュリティルールが適用されるべきデータの移送に関連するコスト、およびセキュリティルールの適用に使用される処理資源の量に、セキュリティルールに関連するポリシーが基づく、請求項１に記載の装置。
【請求項５】
セキュリティルールが適用されるとき、セキュリティルールに関連するポリシーが、提供されるべき性能の最小レベルにさらに基づく、請求項１に記載の装置。
【請求項６】
プロセッサが、１つまたは複数のハイパーバイザに関連するハイパーバイザステータス情報、ネットワーク輻輳情報およびユーザ嗜好情報のうちの少なくとも１つに基づいて、セキュリティルール用のロケーションを選択するように構成される、請求項１に記載の装置。
【請求項７】
セキュリティルールが、第１の通信要素と第２の通信要素との間の通信にセキュリティを提供するように構成される、請求項１に記載の装置。
【請求項８】
セキュリティルールが、第１の仮想マシンと第２の仮想マシンとの間の通信にセキュリティを提供するように構成され、第１の仮想マシンが、第１のデータセンタ中に位置し、第２の仮想マシンが第１のデータセンタまたは第２のデータセンタ中に位置する、請求項１に記載の装置。
【請求項９】
少なくとも１つのプロセッサを使用して、
セキュリティルールに関連するポリシーに基づいてセキュリティルールが適用されるべきロケーションを選択するステップと、
セキュリティルールが適用されるべき選択されたロケーションへのセキュリティルールのマイグレーションを開始するステップとを含む、方法。
【請求項１０】
命令を記憶するコンピュータ可読記憶媒体であって、この命令がコンピュータによって実行されるとき、
セキュリティルールに関連するポリシーに基づいてセキュリティルールが適用されるべきロケーションを選択するステップと、
セキュリティルールが適用されるべき選択されたロケーションへのセキュリティルールのマイグレーションを開始するステップとを含む方法をコンピュータに実行させる、コンピュータ可読記憶媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、一般に、通信に関し、より詳細にただし排他的ではなく、通信用のセキュリティを提供することに関する。
【背景技術】
【０００２】
クラウドベースデータセンタは、企業および個々のユーザのデータをホスティングするための、急速に企業および個々のユーザの選択肢となりつつある。クラウドベースデータセンタは、クラウドベースデータセンタ内でホスティングされる膨大になりつつあるデータ量に対処するため（例えば、マルチパス能力、より広い帯域幅、より大規模なスケーラビリティ、増大するホスト数のサポートを可能にする他の特徴を提供するため）に、近年再設計されてきているが、クラウドベースデータセンタにセキュリティを提供する多くのセキュリティサービスは、技術革新という点で遅滞している。
【発明の概要】
【発明が解決しようとする課題】
【０００３】
従来技術の種々の欠陥について、セキュリティ管理の実施形態によって対処する。
【課題を解決するための手段】
【０００４】
一実施形態では、装置が、プロセッサと、そのプロセッサに通信可能に接続されたメモリとを含み、プロセッサが、セキュリティルールに関連するポリシーに基づいてセキュリティルールが適用されるべきロケーションを選択し、セキュリティルールが適用されるべき選択されたロケーションへのセキュリティルールのマイグレーションを開始するように構成される。
【０００５】
一実施形態では、コンピュー可読記憶媒体が命令を記憶し、この命令がコンピュータによって実行されるとき、セキュリティルールに関連するポリシーに基づいてセキュリティルールが適用されるべきロケーションを選択するステップと、セキュリティルールが適用されるべき選択されたロケーションへのセキュリティルールのマイグレーションを開始するステップとを含む方法を、コンピュータに実行させる。
【０００６】
一実施形態では、方法が、セキュリティルールに関連するポリシーに基づいてセキュリティルールが適用されるべきロケーションを選択するステップと、セキュリティルールが適用されるべき選択されたロケーションへのセキュリティルールのマイグレーションを開始するステップとを含む。
【０００７】
本明細書における教示は、添付の図面と併せて後続の詳細な説明を検討することによって容易に理解されよう。
【図面の簡単な説明】
【０００８】
【図１】セキュリティ管理をサポートするように構成された例示的なクラウドシステムのハイレベルブロック図である。
【図２】セキュリティルールポリシーに基づいてセキュリティルール用にロケーションを選択するステップのための方法の一実施形態を示す図である。
【図３】本明細書で説明する機能を実行する際の使用に適したコンピュータのハイレベルブロック図である。
【発明を実施するための形態】
【０００９】
理解を容易にするために、これら図面で共通する同じ要素を指定できるように可能な限り同じ参照番号を使用した。
【００１０】
セキュリティ管理能力について、概略的に本明細書で示し説明するが、種々の他の能力についても本明細書で提示することができる。
【００１１】
少なくともいくつかの実施形態では、セキュリティ管理能力により、セキュリティルールが格納／適用されるべき格納／適用ロケーション間の個々のセキュリティルールおよび／またはグループのセキュリティルールのマイグレーションが可能になる。この格納／適用ロケーションは、データセンタ内（この場合データセンタロケーションと呼ばれうる）、データセンタ間の通信ネットワーク内（この場合本明細書ではネットワークロケーションと呼ばれうる）など、ならびにその種々の組合せ内に位置されうる。格納／適用ロケーションは、本明細書ではより概略的にロケーションと呼ばれうる。
【００１２】
少なくともいくつかの実施形態では、セキュリティルールのマイグレーションが、セキュリティルールが適用されるべきロケーションの選択と、セキュリティルールが適用されるべき選択されたロケーションへのセキュリティルールのマイグレーションとを含むことができる。セキュリティルールが適用されるべきロケーションの選択が、セキュリティルールポリシーおよび／またはセキュリティルール選択情報に基づいて実行されうる。セキュリティルールは、現在のロケーション（例えばセキュリティルールが現在適用されているロケーション、管理システムなど）からセキュリティルールが適用されるべき選択されたロケーションにマイグレーションされる。この方式では、流動性セキュリティ層が提供されうる。流動性セキュリティ層は、１つまたは複数のセキュリティレベル、性能、コストなど、ならびにその種々の組合せに対して最適化されうる。
【００１３】
少なくともいくつかの実施形態では、セキュリティ管理能力が、セキュリティルールポリシーおよび／または種々のタイプのセキュリティルールロケーション選択情報に基づいてセキュリティルールのマイグレーションを可能にするように構成されて、それによって、種々の考慮事項（例えば、顧客要件、データセンタステータスなど）に基づいて、特定の（少なくともいくつかの事例では、理想の）ロケーションに特定のセキュリティルールを置くという点で大幅な柔軟性を提供する。
【００１４】
少なくともいくつかの実施形態では、セキュリティ管理能力が、データセンタネットワークのセキュリティ特性を低下させることなく、クラウドのユーザがデータセンタネットワークで種々の強化の利点を実現すること（例えば、マルチパス能力の使用、より広い帯域幅の提供、より大規模なスケーラビリティを提供することなど）が可能になるような方式で、クラウド関連の通信用のセキュリティ配備を可能にするように構成される。少なくともいくつかの実施形態では、セキュリティ管理能力により、仮想マシンの移動を介して、仮想マシンの粒度でセキュリティモジュール（例えばファイアウォールなど）を管理する必要がなくなる（例えば各仮想マシンが、顧客ルールのセット（しばしば関連する顧客のルールの全て）をホスティングするか、さもなければそのチェックに責任をもつ、および／または全ての顧客トラフィックに全ての顧客ルールをホスティングし施行する仮想マシン（複数可）をトラバースすることを必要とする）。
【００１５】
少なくともいくつかの実施形態では、セキュリティ管理能力により、データセンタ中でホスティングされるアプリケーションおよびサービスの改善（例えば、得られた帯域幅および応答レイテンシなどの点での性能の改善）、ならびに（例えば負荷に適合し、種々のセキュリティチェックのロケーションを最適化することによって）データセンタの総合効率の改善がもたらされる。
【００１６】
クラウドデータセンタの通信に適用されるセキュリティルールを管理するという文脈で主に示し説明するが、セキュリティ管理能力の種々の機能が、種々の他のタイプの通信（例えば、クラウドデータセンタに関連する通信以外の通信）に適用されうるセキュリティルールを管理する際の使用に適合されうることが理解されよう。
【００１７】
図１に、セキュリティ管理をサポートするように構成された例示的なクラウドシステムのハイレベルブロック図を示す。
【００１８】
クラウドシステム１００は、第１のデータセンタ１１０Ａおよび第２のデータセンタ１１０Ｂ（まとめるとデータセンタ１１０）と、通信ネットワーク１２０と、クラウドシステム１００の種々の要素に分散される複数のセキュリティモジュール１３０と、セキュリティルールコントローラ１４０と、セキュリティルール１５２およびセキュリティルールポリシー１５４を含むセキュリティルールデータベース１５０とを含む。
【００１９】
第１のデータセンタ１１０Ａが、複数のホスト１１１Ａ１−１１１ＡＮ（まとめてホスト１１１Ａ）を含む。ホスト１１１Ａ１−１１１ＡＮが、ハイパーバイザ１１２Ａ１−１１２ＡＮ（まとめてハイパーバイザ１１２Ａ）をそれぞれ含む。ホスト１１１Ａ１−１１１ＡＮが、複数の仮想マシン１１４Ａ１−１１４ＡＮ（まとめて複数の仮想マシン１１４Ａ）もそれぞれ含む。第１のデータセンタ１１０Ａが、ホスト１１１のそれぞれに通信接続されたデータセンタネットワークデバイス１１５Ａも含む。
【００２０】
第２のデータセンタ１１０Ｂが、複数のホスト１１１Ｂ１−１１１ＢＮ（まとめてホスト１１１Ｂ）を含む。ホスト１１１Ｂ１−１１１ＢＮが、ハイパーバイザ１１２Ｂ１−１１２ＢＮ（まとめてハイパーバイザ１１２Ｂ）をそれぞれ含む。ホスト１１１Ｂ１−１１１ＢＮは、複数の仮想マシン１１４Ｂ１−１１４ＢＮ（まとめて複数の仮想マシン１１４Ｂ）もそれぞれ含む。第２のデータセンタ１１０Ｂが、ホスト１１１のそれぞれに通信接続されたデータセンタネットワークデバイス１１５Ｂも含む。ホスト１１１Ａおよび１１１Ｂが、まとめてホスト１１１と呼ばれうる。ハイパーバイザ１１２Ａおよび１１２Ｂが、まとめてハイパーバイザ１１２と呼ばれうる。
【００２１】
通信ネットワーク１２０が、第１のデータセンタ１１０Ａと第２のデータセンタ１１０Ｂとの間、およびセキュリティルールコントローラ１４０とデータセンタ１１０との間の通信をサポートする。通信ネットワーク１２０が、複数のネットワークデバイス１２２１−１２２Ｍ（まとめてネットワークデバイス１２２）を含む。通信ネットワーク１２０が、データセンタ１１０Ａと１１０Ｂとの間、およびセキュリティルールコントローラ１４０とデータセンタ１１０との間の通信をサポートするのに適した任意のタイプの通信ネットワーク（複数可）を含むことができる。同様に、ネットワークデバイス１２２が、データセンタ１１０Ａと１１０Ｂとの間、およびセキュリティルールコントローラ１４０とデータセンタ１１０との間の通信をサポートするのに適した任意のタイプの通信ネットワーク（複数可）（例えば、ルータ、スイッチなど）を含むことができる。
【００２２】
セキュリティモジュール１３０が、セキュリティルール１５２を受信、記憶および適用するように構成される。セキュリティモジュール１３０が、セキュリティルール１５２が、格納され次いで適用されうる、セキュリティルール１５２用の潜在的な格納／適用ロケーションを表す。上で述べたように、セキュリティモジュール１３０は、クラウドシステム１００の種々の要素にわたって分散される。データセンタ１１０Ａでは、ハイパーバイザ１１２Ａ１−１１２ＡＮがセキュリティモジュール１３０Ａ１−１３０ＡＮをそれぞれ含み、データセンタネットワークデバイス１１５Ａがセキュリティモジュール１３０ＳＡ（まとめるとセキュリティモジュール１３０Ａ）を含む。データセンタ１１０Ｂでは、ハイパーバイザ１１２Ｂ１−１１２ＢＮがセキュリティモジュール１３０Ｂ１−１３０ＢＮをそれぞれ含み、データセンタネットワークデバイス１１５Ｂがセキュリティモジュール１３０ＳＢ（まとめるとセキュリティモジュール１３０Ｂ）を含む。ネットワークデバイス１２２１−１２２Ｍが、セキュリティモジュール１３０Ｎ１−１３０ＮＮ（まとえるとセキュリティモジュール１３０Ｎ）をそれぞれ含む。セキュリティモジュール１３０Ａ、１３０Ｂおよび１３０Ｎは、まとめるとセキュリティモジュール１３０と呼ばれる。クラウドシステム１００の種々のロケーションでセキュリティモジュール１３０を利用できることで、ポリシー、条件など、ならびにその種々の組合せに基づいて、セキュリティルールをインテリジェントな処理での配置が可能となる際に大幅な柔軟性がもたらされる。
【００２３】
セキュリティモジュール１３０が、セキュリティモジュール１３０がそれぞれ配置される要素をトラバースする通信にセキュリティルール１５２を適用するように構成される。例えば、ホスト１１１Ａ１−１１１ＡＮのセキュリティモジュール１３０Ａ１−１３０ＡＮが、ホスト１１１Ａ１−１１１ＡＮ（および１１１Ａ１−１１１ＡＮに常駐する仮想マシン１１４Ａ１−１１４ＡＮ）と送受信するデータにセキュリティルール１５２をそれぞれ施行することができる。同様に、例えば、ホスト１１１Ｂ１−１１１ＢＮのセキュリティモジュール１３０Ｂ１−１３０ＢＮが、ホスト１１１Ｂ１−１１１ＢＮ（および１１１Ｂ１−１１１ＢＮに常駐する仮想マシン１１４Ｂ１−１１４ＢＮ）と送受信するデータにセキュリティルール１５２をそれぞれ実施することができる。例えば、セキュリティモジュール１３０ＳＡが、データセンタ１１０Ａの任意のホスト１１１Ａと送受信するデータ（例えば、データセンタ１１０Ａ内のホスト１１１Ａ間で交換するデータ、データセンタ１１０Ａのホスト１１１Ａとデータセンタ１１０Ａの外部に位置する任意の他のデバイス（複数可）との間で交換するデータなど、ならびにその種々の組合せ）に、セキュリティルール１５２を施行することができる。同様に、例えば、セキュリティモジュール１３０ＳＢが、データセンタ１１０Ｂの任意のホスト１１１Ｂと送受信するデータ（例えば、データセンタ１１０Ｂ内のホスト１１１Ｂ間で交換するデータ、データセンタ１１０Ｂのホスト１１１Ｂとデータセンタ１１０Ｂの外部に位置する任意の他のデバイス（複数可）との間で交換するデータなど、ならびにその種々の組合せ）にセキュリティルール１５２を施行することができる。例えば、ネットワークデバイス１２２１−１２２Ｎのセキュリティモジュール１３０Ｎ１−１３０ＮＭが、ネットワークデバイス１２２１−１２２Ｎをトラバースする（例えば、データセンタ１１０のどれかの任意のホスト１１１と送受信する）データにセキュリティルール１５２をそれぞれ施行することができる。
【００２４】
セキュリティモジュール１３０が、通信要素間の通信にセキュリティルール１５２を適用するように構成された任意の適したタイプのセキュリティ要素を含むことができる。例えば、セキュリティモジュール１３０が、ファイアウォール、侵入検知システム（ＩＤＳ）、侵入防止システム（ＩＰＳ）、またはセキュリティルールを維持し実行するように構成された任意の他のタイプ（複数可）の要素（複数可）を含むことができる。
【００２５】
セキュリティルールコントローラ１４０は、セキュリティモジュール１３０を制御するように構成される。セキュリティルールコントローラ１４０は、セキュリティモジュール１３０へのセキュリティルール１５２の分散を制御するように構成されて、それによって、セキュリティルール１５２がクラウドシステム１００内で適用される方式を、セキュリティルールコントローラ１４０が制御することが可能となる。セキュリティルールコントローラ１４０は、こうした機能を提供する目的で、通信ネットワーク１２０に、また第１のデータセンタ１１０Ａおよび第２のデータセンタ１１０Ｂにも通信可能に接続される。
【００２６】
セキュリティルールコントローラ１４０が、上述のように複数のセキュリティルール１５２と複数のセキュリティルールポリシー１５４とを含むセキュリティルールデータベース１５０を、含むさもなければそこへのアクセスを有する。
【００２７】
セキュリティルールデータベース１５０が、１人または複数の顧客用にセキュリティルール１５２とセキュリティルールポリシー１５４を含むことができる。
【００２８】
セキュリティルール１５２が、セキュリティ要素（例えば、セキュリティモジュール１３０）によって、通信要素（例えば、ＶＭ１１４、ホスト１１１、ネットワーク要素など）間の通信に適用されうる任意のタイプのセキュリティルールを含むことができる。例えば、セキュリティルール１５２が、特定ポート（例えば、ポート８０、ポート１２０など）のトラフィックをブロックするためのルールなどのファイアウォールルールと、特定ポート（例えば、ポート１０、ポート５０など）からのみトラフィックを許可するためのルールと、特定ポート（例えば、ポート２０、ポート４０など）から外へのトラフィックをレート制限するためのルールなど、ならびにその種々の組合せとを含むことができる。例えば、セキュリティルール１５２が、１つまたは複数の侵入検知ルール（例えば、接続を介して受信したトラフィックが侵入検知監視が実行されているような所与のパターンと一致した場合は、その接続にフラグを立てるなど）を含むことができる。例えば、セキュリティルール１５２が、１つまたは複数の侵入防止ルール（例えば、接続を介して受信したトラフィックが侵入防止監視が実行されているような所与のパターンと一致した場合は、その接続を中断するなど）を含むことができる。セキュリティルール１５２が、通信要素間の通信を保護する際に使用するのに適当な任意の他の適したタイプのルールを含むことができる。
【００２９】
セキュリティルール１５２が、通信要素間の通信に適用されうる任意のタイプのセキュリティルールを含むことができ、この通信要素の通信は、任意の適した数の送信元要素から任意の適した数の送信先要素への通信を含むことができる。例えば、セキュリティルール１５２が、（例えば、同一ホスト１１１内、同一データセンタ１１０内の関連する異なるホスト１１１、異なるデータセンタ１１０内などの）送信元仮想マシンと送信先仮想マシンとの間の通信に適用されうる。例えば、セキュリティルール１５２が、仮想マシンとネットワークデバイス（例えば、ロードバランサーまたは任意の他の適したネットワークデバイス）との間の通信に適用されうる。例えば、セキュリティルール１５２が、複数の送信元通信要素と単一の送信先通信要素との間の通信に適用されうる。例えば、セキュリティルール１５２が、単一の送信元通信要素と複数の送信先通信要素との間の通信に適用されうる。他の（例えば、通信要素の数および／またはタイプの点での）変更形態が可能であることが理解されよう。
【００３０】
セキュリティルール１５２が、任意の適した方式で編成されうる。セキュリティルールデータベース１５０のセキュリティルール１５２は、顧客ごとを基本としたセキュリティルール１５２の分散および適用を可能にするために、顧客ごとを基本として編成されうる。セキュリティルールデータベース１５０のセキュリティルール１５２は、（例えば、セキュリティルール１５２および／またはセキュリティポリシー１５４が、複数の顧客で共用される場合）顧客のグループに対して編成されうる。セキュリティルールデータベース１５０のセキュリティルール１５２は、任意の他の適した方式で編成されうる。
【００３１】
セキュリティルールデータベース１５０のセキュリティルールポリシー１５４が、セキュリティルール１５２用のロケーションを選択するために使用されうる任意のポリシーを含むことができ、セキュリティルール１５２用に、関連するセキュリティルールポリシー１５４が定義される。セキュリティルールポリシー１５４が、性能（例えば、セキュリティのレベル、レイテンシなど）、コストなど、ならびにその種々の組合せなどの考慮事項に基づいて定義されうる。セキュリティルールポリシー１５４が、１つまたは複数の顧客の要求および／または要望（例えば、顧客固有のポリシーパラメータ）などのより特定の考慮事項に基づいて定義されうる。セキュリティルールポリシー１５４の特定の例について、以下で詳細に説明することに留意されたい。
【００３２】
セキュリティルールポリシー１５４は、任意の適した方式で編成されうる。セキュリティルールデータベース１５０のセキュリティルールポリシー１５４は、顧客ごとを基本としたセキュリティルールポリシー１５４の適用を可能にするために、顧客ごとを基本として編成されうる（また、複数の顧客に適用しうる、より一般的なセキュリティルールポリシー１５４を使用する代わりにまたはそれに加えて、各顧客がその独自の固有のセキュリティルールポリシー１５４を定義することも可能となる）。セキュリティルールデータベース１５０のセキュリティルールポリシー１５４は、（例えば、セキュリティルールポリシー１５４が、複数の顧客で共用される場合）顧客のグループに対して編成されうる。セキュリティルールデータベース１５０のセキュリティルールポリシー１５４は、任意の他の適した方式で編成されうる。
【００３３】
セキュリティルール１５２およびセキュリティルールポリシー１５４は、任意の適した粒度で互いに関連しうる。概して、各セキュリティルール１５２は、互いに関連し合う１つまたは複数のルールポリシー１５４を有し、各セキュリティルールポリシー１５４は、１つまたは複数のセキュリティルール１５２に対して適用されうる。例えば、セキュリティルール１５２は、互いに関連し合う単一のセキュリティルールポリシー１５４を有する（例えば、同一のセキュリティルールポリシー１５４が、そのセキュリティルール１５２に対して常に適用される）ことができ、または互いに関連し合う複数のセキュリティルールポリシー１５４を有することができる（例えば、関連するセキュリティルールポリシー１５４のうちの異なるものが、異なる条件下でセキュリティルールに対して適用されうる）。同様に、例えば、セキュリティルール１５２に関連するセキュリティルールポリシー１５４は、セキュリティルール１５２と共に使用するための専用とすることができ、または、複数のセキュリティルール１５２（例えば、同一の顧客の異なるセキュリティルール１５２、複数の顧客にわたる同一または同様のセキュリティルール１５２、異なる顧客の異なるセキュリティルール１５２など、ならびにその種々の組合せ）と共に使用するために構成されうる。
【００３４】
セキュリティルールコントローラ１４０は、セキュリティルール１５２の個々が、適用されるべきロケーションを選択するように構成され、このロケーションにはクラウドシステム１００のセキュリティモジュール１３０のいずれかが含まれうる。セキュリティルールコントローラ１４０は、種々の条件下でセキュリティルール１５２用のロケーションを選択するように構成される。セキュリティルールコントローラ１４０は、セキュリティルール１５２用の選択したロケーションへのセキュリティルール１５２のマイグレーションが必要であるかどうかを決定するように構成される。セキュリティルールコントローラ１４０は、セキュリティルール１５２の個々が適用されるべき選択したロケーションへのセキュリティルール１５２の個々のマイグレーションを制御するように構成され、このマイグレーションには、セキュリティルールデータベース１５０からセキュリティモジュール１３０へのセキュリティルール１５２のマイグレーション、および／またはセキュリティモジュール１３０間のセキュリティルール１５２のマイグレーションが含まれうる。この方式では、セキュリティルール１５２が、必要および／または要望に応じて、クラウドシステム１００の全体を通してマイグレーションされうる流動性セキュリティ層を提供するように、セキュリティルールコントローラ１４０が構成される。セキュリティルールコントローラ１４０によって実行されるこれらの機能について、以下にさらなる詳細を説明する。
【００３５】
セキュリティルールコントローラ１４０は、セキュリティルール１５２が適用されるべきロケーションを選択するように構成される。概して、セキュリティルール１４０用のロケーションを選択することに関連して種々のトレードオフがありうる。セキュリティルールコントローラ１４０は、セキュリティルール１５２が適用されるべきロケーションを決定するために、こうしたトレードオフを評価するように構成されうる。セキュリティルールコントローラ１４０は、ポリシー（例えば、セキュリティルールポリシー１５４）、セキュリティルールロケーション選択情報（例えば、１つまたは複数のハイパーバイザ１１２からの統計、１つまたは複数のデータセンタネットワークデバイス１１５からの統計、１つまたは複数のネットワークデバイス１２２からの統計など）など、ならびにその種々の組合せに基づいて、こうしたトレードオフを評価することができる。概して、こうしたトレードオフの評価は、一例を検討することによってより深く理解されうる。この例では、第１の仮想マシン（例えば、ホスト１１１Ａ１の仮想マシン１１４Ａ１のうちの１つ）が、第２の仮想マシン（例えば、ホスト１１１ＢＮの仮想マシン１１４ＢＮのうちの１つ）にデータを送信しており、第１の仮想マシンによって送信されているデータが第２の仮想マシンに入力することを許可されるかどうかをチェックするように、セキュリティルール１５２が定義される、と仮定する。この例では、仮想マシン１１１Ａ１によって送信されているデータが仮想マシン１１１ＢＮに対して許可されるかどうかをチェックするために、セキュリティルールが、ホスト１１１Ａ１のハイパーバイザ１１２Ａ１、ホスト１１１ＢＮのハイパーバイザ１１２ＢＮ、またはその中間の経路上のどこか（例えば、データセンタネットワークデバイス１１５Ａ、仮想マシン１１１Ａ１と仮想マシン１１１ＢＮとの間の経路上のネットワークデバイス１２２のうちの１つ、またはデータセンタネットワークデバイス１１５Ｂ）に置かれうる。先に説明したように、セキュリティルール１５２用のこれらの潜在的ロケーションそれぞれの種々の是非があり、セキュリティルールコントローラ１４０は、セキュリティルール１５２用のロケーションを選択するためにその種々の是非を評価するように構成される。例えば、セキュリティルール１５２をデータ送信元の比較的近接（例えば、ハイパーバイザ１１２Ａ１のセキュリティモジュール１３０Ａ１中）に置くことは、過剰なトラフィックがネットワーク（例えば、データセンタネットワークおよび／または通信ネットワーク１２０）に入ることを防止するので有利であるが、多数のデータ送信元が仮想マシン１１１ＢＮにデータを送信する可能性があるので、分散、格納および適用の必要があるセキュリティルール１５２のコピーの数の増大にもつながる（したがって、それによってセキュリティルール１５２の適用に関連するＣＰＵおよびメモリのコストを増大させる）。対照的に、例えば、セキュリティルール１５２をデータの送信先の比較的近接（例えば、ハイパーバイザ１１２ＢＮのセキュリティモジュール１３０ＢＮ中）に置くことは、分散、格納および適用の必要があるセキュリティルール１５２のコピーの数を低減させるので有利である（したがって、それによってセキュリティルール１５２の適用に関連するＣＰＵおよびメモリのコストを低減させる）が、データの全てが、（例えば、いくつかのこうしたデータが、仮想マシン１１４ＢＮに入ることを許可されないかもしれない場合でも）データ送信元からデータの送信先に近接したロケーションに移動しなければならないので、ネットワーク（例えば、データセンタネットワークおよび／または通信ネットワーク１２０）中の過剰なトラフィックの増大にもつながる。加えて、別の選択肢は、いくつかの送信元からいくつかの送信先へのトラフィックが集まるネットワーク（例えば、データセンタネットワークデバイス１１５Ａ、仮想マシン１１１Ａ１と仮想マシン１１１ＢＮとの間の経路上のネットワークデバイス１２２のうちの１つ、またはデータセンタネットワークデバイス１１５Ｂ）内にセキュリティルール１５２を置くことであり、これは、セキュリティルール１５２を送信元または送信先の近くに置くことの有利性と不利性とのバランスをもたらすからである。ただし、これは、セキュリティルールコントローラ１４０が仮想マシン１１４のトポロジとデータ送信元およびデータ送信先のロケーションとを追跡する必要があるので、セキュリティルールコントローラ１４０のさらなる演算のオーバーヘッドを伴う。したがって、種々の因子（例えば、ポリシー、顧客嗜好、データセンタ条件、ネットワーク条件など）に応じて、セキュリティルールコントローラ１４０は、セキュリティルール１５２用の潜在的なロケーションを評価し、セキュリティルール１５２用の適切なロケーションを選択しなければならない。セキュリティルールコントローラ１４０が、セキュリティルール１５２用のロケーションを選択することができる方式について、以下でさらなる詳細を説明する。
【００３６】
セキュリティルールコントローラ１４０は、セキュリティルール１５２が、セキュリティルール１５２に関連するセキュリティルールポリシー１５４に基づいて適用されるべきロケーションを選択するように構成される。セキュリティルール１５２に関連するセキュリティルールポリシー１５４は、セキュリティルール１５２用のロケーションを選択する際に、セキュリティルールコントローラ１４０によって検討されるセキュリティルールロケーション選択情報のタイプと、セキュリティルール１５２用のロケーションを選択する際に、セキュリティルールロケーション選択情報がセキュリティルールコントローラ１４０によって分析される方式とを特定することができる。言い換えれば、セキュリティルール１５２用のセキュリティルールポリシー１５４は、セキュリティルール１５２に関連した、関連セキュリティルールロケーション選択情報に基づいて、定義されうる。セキュリティポリシー１５４が満足されるとき、またはセキュリティルールポリシー１５４に違反するとき（例えば、セキュリティルールポリシー１５４が定義される方式に応じて）、セキュリティルールコントローラ１４０は、セキュリティルール１５２のマイグレーションを開始するように構成されうる。
【００３７】
上で述べたように、セキュリティルールコントローラ１４０は、セキュリティルール１５２が、セキュリティルール１５２に関連するセキュリティルールポリシー１５４に基づいて適用されるべきロケーションを選択するように構成される。セキュリティルールポリシー１５４の例を以降に示すが、種々の他のタイプのセキュリティルールポリシー１５４が、セキュリティルール１５２の配置を制御するためのセキュリティルールコントローラ１４０によって定義され利用されうることが理解されよう。
【００３８】
一実施形態では、セキュリティルール１５２用のセキュリティルールポリシー１５４が、セキュリティルール１５２の適用によって導入されるレイテンシを低減（少なくともいくつかの事例では最小に）する目的をサポートまたは達成するように構成される。こうした一実施形態では、これは、セキュリティルール１５２用に、セキュリティルール１５２が適用されるべき通信の送信元のまたはその近くのロケーション、または、セキュリティルール１５２が適用されるべき通信の送信先のまたはその近くのロケーションを選択することによって達成されうる。単一のデータセンタ１１０内の通信の事例では、例えば、セキュリティルール１５２が、（例えば、そのデータセンタ１１０のデータセンタネットワークデバイス１１５に関連するセキュリティモジュール１３０に置かれているのに対して）通信の送信元である仮想マシン１１４に関連するハイパーバイザ１１２中のセキュリティモジュール１３０に置かれ、または通信の送信先である仮想マシン１１４に関連するハイパーバイザ１１２中のセキュリティモジュール１３０に置かれうる。送信元データセンタ１１０と送信先データセンタ１１０との間の通信の事例では、例えば、セキュリティルール１５２が、（例えば、データセンタ１１０内の通信ネットワークを形成するネットワークデバイスのセキュリティモジュールに置かれ、または、通信ネットワーク１２０のネットワークデバイスのセキュリティモジュールに置かれているのに対して）通信の送信元である仮想マシン１１４に関連するハイパーバイザ１１２中のセキュリティモジュール１３０に置かれ、または通信の送信先である仮想マシン１１４に関連するハイパーバイザ１１２中のセキュリティモジュール１３０に置かれうる。セキュリティルール１５２が置かれる仮想マシン１１４が現在のロケーションから新たなロケーションに移動する場合、セキュリティルールコントローラ１４０は、仮想マシン１１４の新たなロケーションに比較的近接したロケーションへのセキュリティルール１５２のマイグレーションを開始し、したがって、仮想マシン１１４による通信のレイテンシを比較的低レベルになお維持することができる。このタイプの顧客嗜好がセキュリティのロケーションが固定されるデータセンタ中で達成することは、かなり困難となるはずであることに留意されたい。
【００３９】
一実施形態では、セキュリティルールが、処理集約的セキュリティ機構（例えば、侵入検知ルール、侵入防止ルール、およびデータパケットを処理する他の比較的重いシステムおよび機構）に関連する事例では、セキュリティルール１５２用のセキュリティルールポリシー１５４が、セキュリティルール１５２の適用によって導かれるレイテンシを低減（少なくともいくつかの事例では最小に）する目的をサポートまたは達成するように構成される。この事例では、セキュリティルール１５２が、ハイパーバイザ１１２中に置かれ、通信のパケットを検査する処理集約的なセキュリティ機構に関連する場合、セキュリティルール１５２に基づいてハイパーバイザ１１２からのパケットをチェックするオーバーヘッドは、比較的高く、通信ひいてはシステム１００のレイテンシの増大につながる可能性がある。一実施形態では、セキュリティルール１５２が、通信のパケットを検査する処理集約的なセキュリティ機構に関連していることの検知に応答して、セキュリティルールコントローラ１４０は、送信する仮想マシン１１４の新たな仮想マシン１１４（明瞭化のために省略する）のアップストリームのスポーンを開始するように構成され、（セキュリティルール１５２の重いパケット処理が、新たな仮想マシン１１４と併せて実行されうるように）新たな仮想マシン１１４に関連するセキュリティモジュール１３０へのセキュリティルール１５２のマイグレーションを開始することができ、したがって、送信する仮想マシン１１４に関連するハイパーバイザ１１２がもはやボトルネックではない。この方式では、専用の仮想マシンに処理集約的なセキュリティルール１５２をオフロードすることにより、レイテンシを比較的低く保つことができる。
【００４０】
一実施形態では、セキュリティルール１５２用のセキュリティルールポリシー１５４が、セキュリティルール１５２が適用されるデータセンタ（複数可）１１０の総合効率を改善することによって、セキュリティルール１５２の適用の総合コストを低減（少なくともいくつかの事例では最小に）する目的をサポートまたは達成するように構成される。一実施形態では、資源の２つのタイプ、通信ネットワークで送信されるトラフィックのコスト、およびセキュリティルール１５２をチェックする際に使用される資源（例えば、ＣＰＵ、メモリなど）、を分析しバランスを取ることによって、セキュリティルール１５２が適用されるデータセンタ（複数可）１１０の総合効率を、セキュリティルールコントローラ１４０が改善するように構成される。単一のデータセンタ１１０内の通信に関連するセキュリティルール１５２の事例では、通信ネットワークで送信されるトラフィックのコストが、単一のデータセンタ１１０のデータセンタネットワークで送信されるトラフィックのコストを含む。単一のデータセンタ１１０の内部であっても外部であっても単一のデータセンタ１１０の通信に関連するセキュリティルール１５２の事例では、通信ネットワークで送信されるトラフィックのコストは、単一のデータセンタ１１０のデータセンタネットワークで送信されるトラフィックのコストと、単一のデータセンタ１１０の外側の通信をサポートする通信ネットワーク（例えば、トラフィックをサポートするために使用される通信ネットワーク１２０の一部（複数可））で送信されるトラフィックのコストとを含む。複数のデータセンタ１１０間の通信に関連するセキュリティルール１５２の事例では、通信ネットワークで送信されるトラフィックのコストが、データセンタ１１０それぞれのデータセンタネットワークで送信されるトラフィックのコストと、単一のデータセンタ１１０の外側の通信をサポートする通信ネットワーク（例えば、トラフィックをサポートするために使用される通信ネットワーク１２０の一部（複数可））で送信されるトラフィックのコストとを含む。一実施形態では、通信の送信元（複数可）に近いセキュリティモジュール１３０、通信の送信先（複数可）に近いセキュリティモジュール１３０、および／または送信元（複数可）と送信先（複数可）との中間に位置するネットワークデバイス上のセキュリティモジュール１３０を含むことができ、利用可能なセキュリティモジュール１３０の間のセキュリティルール１５２の配置のバランスを取ることによって、セキュリティルール１５２の適用の総合コストは、低減（少なくともいくつかの事例では最小に）されうる。一実施形態では、セキュリティルール１５２の総合コストを低減するためのセキュリティルール１５２の配置を決定するこの分析は、これらがデータセンタ内の仮想マシンの配置を決定するために使用されうるような最適化技術を使用して実行されうる。
【００４１】
一実施形態では、セキュリティルール１５２用のセキュリティポリシー１５４が、少なくとも性能の閾値を維持しながらも、セキュリティルール１５２が適用されるデータセンタ（複数可）１１０の総合効率を改善することによって、セキュリティルール１５２の適用の総合コストを低減（少なくともいくつかの事例では最小に）する目的をサポートまたは達成するように構成される。一実施形態では、セキュリティルールコントローラ１４０が、セキュリティルール１５２によって導かれるレイテンシが定義された最大レイテンシより低く維持されるというさらなる制約の理由でもあるが、直前の実施形態で議論した問題を解決することによってこの目的を達成するように構成される。特定のタイプの性能尺度（すなわちレイテンシ）に関して主に説明するが、セキュリティルールコントローラ１４０は、他のタイプの性能尺度（例えば、レイテンシ尺度の代わりのまたはそれに加えた１つまたは複数のタイプの性能尺度）も説明しつつ、直前の実施形態で議論した問題を解決することによってこの目的を達成するように構成されることに留意されたい。
【００４２】
より一般的にセキュリティルールポリシー１５４であるとして本明細書で主に示し説明するが、一実施形態では、セキュリティルールポリシー１５４は、顧客特定の目的を達成（または少なくとも達成しようとする）ために、顧客によっておよび／または顧客の代理によって定義された顧客ポリシーとすることができることに留意されたい。これは、いかなる数のセキュリティルールポリシー１５４にも該当しうることに留意されたい。
【００４３】
上で述べたように、セキュリティルールコントローラ１４０は、セキュリティルール１５２が、セキュリティルールロケーション選択情報に基づいて適用されるべきロケーションを選択するように構成される。セキュリティルールロケーション選択情報の例を以降に示すが、種々の他のタイプのセキュリティルールロケーション選択情報が、セキュリティルール１５２の配置を制御するためのセキュリティルールコントローラ１４０によって得られ利用されうることが理解されよう。
【００４４】
一実施形態では、セキュリティルールロケーション選択情報が、１つまたは複数のデータセンタステータス情報と、通信ネットワークステータス情報（例えば、セキュリティルール１５２が、データセンタ（複数可）１１０の外側をトラバースする、したがって、データセンタ（複数可）１１０の外側に位置される通信ネットワーク（複数可）によってサポートされる通信用に適用されることが意図される）と、顧客嗜好情報など、ならびにその種々の組合せとを含むことができる。
【００４５】
データセンタ１１０用のデータセンタステータス情報が、データセンタ１１０のハイパーバイザ１１２に関連するステータス情報と（例えば、負荷の統計）、データセンタ１１０内の通信をサポートするネットワークデバイスに関連するステータス情報（例えば、データセンタネットワークのネットワーク輻輳情報）と、ホスト１１１に関連するステータス情報と、ホスト１１１の仮想マシン１１４に関連するステータス情報など、ならびにその種々の組合せとを含むことができる。単一のデータセンタ１１０の通信に関連するセキュリティルール１５２の事例（例えば、データセンタ１１０内に位置する仮想マシン１１４間のデータセンタ内通信、データセンタ１１０の外側にも伝播されるが他のデータセンタ１１０のいずれにも関連しないデータセンタ１１０の通信など）の場合、データセンタステータス情報は、その単一のデータセンタ１１０に関連するステータス情報を含むことができる。複数のデータセンタ１１０間の通信に関連するセキュリティルール１５２の事例（例えば、別個のデータセンタ１１０内に位置する仮想マシン１１４間のデータセンタ内通信）の場合、データセンタステータス情報は、関連するデータセンタ１１０のうちの１つまたは複数（例えば、セキュリティルール１５２が適用されるべき通信の送信元であるホスト１１１をホスティングする送信元データセンタ１１０のみ、セキュリティルール１５２が適用されるべき通信の送信先であるホスト１１１をホスティングする送信先データセンタ１１０のみ、送信元および送信先の両方のデータセンタ１１０など）に関連するステータス情報を含むことができる。
【００４６】
顧客嗜好情報は、セキュリティルール１５２の適用に関する顧客によって特定されうる任意のタイプの嗜好を含むことができる。顧客嗜好情報は、個々のセキュリティルール１５２ごと、セットのセキュリティルール１５２ごとなど、ならびにその種々の組合せで特定されうる。顧客嗜好情報は、１つまたは複数のセキュリティルールポリシー１５４（例えば、こうしたセキュリティルールポリシー１５４が、個々のセキュリティルール１５２ごと、セットのセキュリティルール１５２ごとなど、ならびにその種々の組合せのために特定される）を使用して、特定され、さもなければ表されうる。
【００４７】
セキュリティルールコントローラ１４０は、任意の適した時間に（定期的に、条件またはイベントなど、ならびにその種々の組合せの指示に応答して）セキュリティルール１５２用のロケーションを選択するように構成されうる。一実施形態では、セキュリティルールコントローラ１４０が、所与のセキュリティルール１５２用のロケーションを選択するための指示を検知すると同時に、セキュリティルールコントローラ１４０が、セキュリティルールに関連する１つまたは複数のセキュリティルールポリシー１５４にアクセスし、関連セキュリティルールロケーション選択情報にアクセスし、セキュリティルール１５２用のロケーションを選択する。一実施形態では、所与のセキュリティルール１５２用のロケーションの選択に関係するセキュリティルールロケーション選択情報を受信すると同時に、セキュリティルールコントローラ１４０は、セキュリティルール１５２用のロケーションを選択するために、所与のセキュリティルールに関連するセキュリティルールポリシー１５４に従って、関連セキュリティルールロケーション選択情報を処理する。こうした実施形態では、セキュリティルールコントローラ１４０が、複数のセキュリティルール１５２用のこうした機能を順次および／または一時に実行することができることに留意されたい（例えば、ロケーション選択が複数のセキュリティルール１５２用に実行されるための指示がある場合、受信したセキュリティルールロケーション選択情報が、複数のセキュリティルール１５２に関係すると決定された場合など、ならびにその種々の組合せ）。
【００４８】
少なくとも、セキュリティルール１５２用のロケーションの選択が、セキュリティルール１５２が適用される現在のロケーションの選択（すなわち、この事例では、セキュリティルールコントローラ１４０がセキュリティルール１５２をマイグレーションする必要がない）、または、セキュリティルール１５２が適用されるべき新たなロケーションの選択（すなわち、この事例では、セキュリティルールコントローラ１４０が、現在のロケーションから新たなロケーションへのセキュリティルール１５２のマイグレーションを開始する）をすることになりうるので、セキュリティルールコントローラ１４０は、セキュリティルール１５２用に選択したロケーションへのセキュリティルール１５２のマイグレーションが必要であるかを決定するように構成される。したがって、セキュリティルールコントローラ１４０は、セキュリティルール１５２の選択したロケーションへのセキュリティルール１５２のマイグレーションを開始する必要があるかないかを決定するために、セキュリティルール１５２の現在のロケーションに対してセキュリティルール１５２の選択したロケーションを比較するように構成される。
【００４９】
セキュリティルールコントローラ１４０は、セキュリティルール１５２用のセキュリティルールコントローラ１４０によって選択されたロケーションへのセキュリティルール１５２のマイグレーションを制御するように構成される。セキュリティルールコントローラ１４０は、任意の他の適した方式でセキュリティルール１５２のマイグレーションを制御することができる。セキュリティルールデータベース１５０からセキュリティモジュール１３０にセキュリティルール１５２をマイグレーションする事例では、セキュリティルールコントローラ１４０が、ルールデータベース１５０をリトリーブし、セキュリティルール１５２をセキュリティモジュール１３０に伝播することができる。第１のセキュリティモジュール１３０（現在のセキュリティモジュール１３０）から第２のセキュリティモジュール１３０（選択したセキュリティモジュール１３）にセキュリティルール１５２をマイグレーションする事例では、セキュリティルールコントローラ１４０が、（１）選択したセキュリティモジュール１３０にセキュリティルール１５２を送信するように、現在のセキュリティモジュール１３０にメッセージを送信して現在のセキュリティモジュール１３０に命令するか、（２）セキュリティルール１５２を削除するように、現在のセキュリティモジュール１３０にメッセージを送信して現在のセキュリティモジュール１３０に命令するか、のどちらかをリトリーブし、セキュリティルールデータベース１５０からセキュリティルール１５２をリトリーブし、また、選択しセキュリティモジュール１３０にセキュリティルール１５２を伝達することができる。一実施形態では、クラウドシステム１００内のセキュリティルール１５２のマイグレーションのうち少なくともいくつかの場合、セキュリティルール１５２のマイグレーションが、１つまたは複数のルータのＡＣＬ機能、オープンフロー可能スイッチのフロー制御機能など、ならびにその種々の組合せを使用して実行されうる。
【００５０】
この方式では、セキュリティルールコントローラ１４０により、クラウドシステム１００のセキュリティモジュール１３０にセキュリティルール１５２を分散すること、クラウドシステムのセキュリティモジュール１３０間でセキュリティルール１５２をマイグレーションすることが可能となる。セキュリティルールコントローラ１５２により、１つまたは複数のポリシー、データセンタダイナミクス、ネットワークダイナミクスなど、ならびにその種々の組合せに基づいて、セキュリティモジュール１３０間でセキュリティルール１５２をマイグレーションすることが可能となる。セキュリティモジュール１３０は、セキュリティモジュール１３０がそれぞれ配置される要素をトラバースする通信にセキュリティルール１５２を適用するように構成される。当業者には、セキュリティルール１５２がセキュリティモジュール１３０によって適用されうる方式が理解されよう。この方式では、クラウドシステム１００のセキュリティを改善するために、流動性セキュリティ層が、クラウドシステム１００内で提供され使用される。
【００５１】
各データセンタ１１０について、ホスト１１１、ハイパーバイザ１１２、データセンタネットワークデバイス１１５およびセキュリティモジュール１１６の特定の数および配列を有するとして示し説明するが、複数のデータセンタ１１０のうちのどちらかまたは両方が、ホスト１１１、ハイパーバイザ１１２、データセンタネットワークデバイス１１５および／またはセキュリティモジュール１１６の任意の適した数および／または配列を使用して実装されうることに留意されたい。各データセンタ１１０は、データセンタ１１０内それぞれでネットワーク用の単一のデータセンタデバイスのみを有するとして示し説明するが、各データセンタ１１０は、ネットワークデバイス（例えば、トップオブラックスイッチ、アグリゲータ、ルータなど、ならびにその種々の組合せ）の任意の適した数および配列を含む任意の適したタイプのデータセンタネットワークを使用することができ、すなわち、データセンタ１１０Ａおよび１１０Ｂのデータセンタネットワークデバイス１１５Ａおよび１１５Ｂは、データセンタ１１０Ａおよび１１０Ｂ内で、ならびにデータセンタ１１０Ａおよび１１０Ｂへ／からそれぞれ通信をサポートすることができるデータセンタ通信ネットワークを表すことができることに留意されたい。
【００５２】
図２に、セキュリティルールポリシーに基づいてセキュリティルール用のロケーションを選択するための方法の一実施形態を示す。
【００５３】
図２の方法２００は、１つまたは複数の条件の検知に応答して、セキュリティルール用のロケーションを選択するために評価されうる情報の受信に応答してなど、ならびにその種々の組合せで、定期的に呼び出されうることに留意されたい。
【００５４】
主に順次実行されるように示し説明するが、方法２００のステップは、一時におよび／または図２に示したものとは異なる順序で実行されうることに留意されたい。方法２００の動作は、図１と併せて検討されればより深く理解されうる。
【００５５】
ステップ２１０で、方法２００が開始する。
【００５６】
ステップ２２０で、ロケーションが、セキュリティルールに関連するセキュリティルールポリシーに基づいてセキュリティルール用に選択される。
【００５７】
ステップ２３０で、選択したロケーションにセキュリティルールをマイグレーションするかしないかを決定する。これは、選択したロケーションが、セキュリティルールが維持される現在のロケーションと同一であるかどうかに関しての決定とすることができる。これは、セキュリティルールをマイグレーションする利点が、セキュリティルールを移動するコストより勝るかどうかを決定するために、コスト／利点分析を含むことができる。選択したロケーションにセキュリティルールをマイグレーションしない（例えば、選択したロケーションが、セキュリティルールが維持される現在のロケーションと同一である）と決定した場合、方法２００はステップ２５０に進み、そこで方法２００は終了する。選択したロケーションにセキュリティルールをマイグレーションすると決定した場合、方法２００はステップ２４０に進む。
【００５８】
ステップ２４０で、選択したロケーションへのセキュリティルールのマイグレーションが、開始される。ステップ２４０から、方法２００はステップ２５０へ進む。
【００５９】
ステップ２５０で、方法２００が終了する。
【００６０】
図３に、本明細書で説明する機能を実行する際に使用するのに適したコンピュータのハイレベルブロック図を示す。
【００６１】
コンピュータ３００は、プロセッサ要素３０２（例えば、中央処理装置（ＣＰＵ）および／または他の適したプロセッサ（複数可））と、メモリ３０４（例えばランダムアクセスメモリ（ＲＡＭ）、読取り専用メモリ（ＲＯＭ）、など）とを含む。コンピュータ３００は、協動モジュール／プロセス３０５および／または種々の入力／出力デバイス３０６（例えば、ユーザ入力デバイス（キーボード、キーパッド、マウスなど）、ユーザ出力デバイス（ディスプレイ、スピーカなど）、入力ポート、出力ポート、受信機、送信機、および記憶デバイス（例えば、テープドライブ、フロッピー（登録商標）ドライブ、ハードディスクドライブ、コンパクトディスクドライブなど））も含むことができる。協動プロセス３０５が、本明細書で議論する機能を実装するために、メモリ３０４にロードされ、プロセッサ３０２によって実行され、したがって、協動プロセス３０５（関連するデータ構造を含む）は、コンピュータ可読記憶媒体、例えばＲＡＭメモリ、磁気ドライブもしくはディスケットまたは光学的ドライブもしくはディスケットなどに記憶されうる。
【００６２】
図３に示すコンピュータ３００は、本明細書で説明する機能的要素および／または本明細書で説明する機能的要素の一部を実装するのに適した概略的なアーキテクチャおよび機能性を提供することが理解されよう。例えば、コンピュータ３００は、１つまたは複数のホスト１１１、ハイパーバイザ１１２、スイッチ１１５、ネットワークデバイス１２２、セキュリティモジュール１３０、セキュリティルールコントローラ１４０、セキュリティルールデータベース１５０などのうち１つまたは複数を実装するのに適した概略的なアーキテクチャおよび機能性を提供する。
【００６３】
本明細書で示し説明した機能は、ソフトウェアで（例えば、特殊目的コンピュータを実装するように、（例えば、１つまたは複数のプロセッサによる実行を介して）汎用コンピュータで実行するために、１つまたは複数のプロセッサでのソフトウェアの実装を介して）実装され、および／またはハードウェアで（例えば汎用コンピュータ、１つまたは複数の特定用途向け集積回路（ＡＳＩＣ）および／または任意の他のハードウェア均等物を使用して）実装されうることが理解されよう。
【００６４】
ソフトウェア方法として本明細書で議論するステップのいくつかは、例えば、種々の方法のステップを実行するためのプロセッサと協動する回路のようなハードウェア内で実装されうることが企図される。本明細書で説明する機能／要素の一部は、コンピュータプログラム製品として実装可能であり、本明細書で説明する方法および／または技法が呼び出されるかさもなければ提供されるように、コンピュータの命令が、コンピュータによって処理されるとき、コンピュータの動作を適合させる。本発明の方法を呼び出すための命令は、固定型のまたは取り外し可能な媒体に記憶され、ブロードキャスト信号または他の信号搬送媒体のデータストリームを介して伝送され、および／または命令に従って動作するコンピューティングデバイス内のメモリ内に記憶されうる。
【００６５】
種々の実施形態の態様が特許請求の範囲において規定される。種々の実施形態のこれらの態様および他の態様は、後続の番号付条項において規定される。
【００６６】
１．  プロセッサと、プロセッサに通信可能に接続されたメモリとを備え、
プロセッサは、セキュリティルールに関連するポリシーに基づいてセキュリティルールが適用されるべきロケーションを選択し、
セキュリティルールが適用されるべき選択されたロケーションへのセキュリティルールのマイグレーションを開始するように構成された、装置。
【００６７】
２．  セキュリティルールに関連するポリシーが、セキュリティルールの適用に関連するレイテンシに基づく、条項１に記載の装置。
【００６８】
３．  セキュリティルールが、侵入検知システム（ＩＤＳ）または侵入防止システム（ＩＰＳ）に関連するとき、セキュリティルールに関連するポリシーが、セキュリティルールの適用に関連するレイテンシに基づく、条項１に記載の装置。
【００６９】
４．  セキュリティルールが適用されるべきデータの移送に関連するコスト、およびセキュリティルールの適用に使用される処理資源の量に、セキュリティルールに関連するポリシーが基づく、条項１に記載の装置。
【００７０】
５．  セキュリティルールが適用されるとき、セキュリティルールに関連するポリシーが、提供されるべき性能の最小レベルにさらに基づく、条項１に記載の装置。
【００７１】
６．  プロセッサが、１つまたは複数のハイパーバイザに関連するハイパーバイザステータス情報、ネットワーク輻輳情報およびユーザ嗜好情報のうちの少なくとも１つに基づいて、セキュリティルール用のロケーションを選択するように構成される、条項１に記載の装置。
【００７２】
７．  セキュリティルールに関連するポリシーが、そのセキュリティルールのみと共に使用するための専用とする、条項１に記載の装置。
【００７３】
８．  セキュリティルールに関連するポリシーが、少なくとも１つの他のセキュリティルールに関連する、条項１に記載の装置。
【００７４】
９．  セキュリティルールが、現在のロケーションに格納され、選択したロケーションへのセキュリティルールのマイグレーションを開始するために、プロセッサが、現在のロケーションから選択したロケーションへのマイグレーションを開始するように構成された、条項１に記載の装置。
【００７５】
１０．  現在のロケーションが、ハイパーバイザ、ネットワークデバイスまたはコントローラのうちの１つを備える、条項９に記載の装置。
【００７６】
１１．  選択したロケーションが、ハイパーバイザまたはネットワークデバイスのうちの１つを備える、条項９に記載の装置。
【００７７】
１２．  プロセッサが、選択したロケーションへのセキュリティルールのマイグレーションを開始する以前に、選択したロケーションへのセキュリティルールのマイグレーションを開始するかどうかを決定するように構成される、条項１に記載の装置。
【００７８】
１３．  セキュリティルールが、第１の通信要素と第２の通信要素との間の通信にセキュリティを提供するように構成される、条項１に記載の装置。
【００７９】
１４．  第１の通信要素が、仮想マシンであり、第２の通信要素が、仮想マシンまたはネットワークデバイスである、条項１３に記載の装置。
【００８０】
１５．  セキュリティルールが、第１の仮想マシンと第２の仮想マシンとの間の通信にセキュリティを提供するように構成される、条項１に記載の装置。
【００８１】
１６．  第１および第２の仮想マシンが、単一のデータセンタ中に位置する、条項１５に記載の装置。
【００８２】
１７．  選択したロケーションが、第１の仮想マシンをホスティングするホストのハイパーバイザ、データセンタのデータセンタネットワークのネットワークデバイス、または第２の仮想マシンをホスティングするホストのハイパーバイザを備える、条項１６に記載の装置。
【００８３】
１８．  第１の仮想マシンが、第１のデータセンタ内に位置し、第２の仮想マシンが第２のデータセンタ中に位置する、条項１５に記載の装置。
【００８４】
１９．  選択したロケーションが、第１の仮想マシンをホスティングするホストのハイパーバイザ、第１のデータセンタのデータセンタネットワークのネットワークデバイス、第１のデータセンタと第２のデータセンタとの間の通信をサポートする通信ネットワークのネットワークデバイス、第２のデータセンタのデータセンタネットワークのネットワークデバイス、または第２の仮想マシンをホスティングするホストのハイパーバイザを備える、条項１８に記載の装置。
【００８５】
２０．  少なくとも１つのプロセッサを使用して、
セキュリティルールに関連するポリシーに基づいてセキュリティルールが適用されるべきロケーションを選択するステップと、
セキュリティルールが適用されるべき選択されたロケーションへのセキュリティルールのマイグレーションを開始するステップとを含む、方法。
【００８６】
２１．  命令を記憶するコンピュータ可読記憶媒体であって、この命令がコンピュータによって実行されるとき、
セキュリティルールに関連するポリシーに基づいてセキュリティルールが適用されるべきロケーションを選択するステップと、
セキュリティルールが適用されるべき選択されたロケーションへのセキュリティルールのマイグレーションを開始するステップとを含む方法をコンピュータに実行させる、コンピュータ可読記憶媒体。
【００８７】
本明細書において、本発明の教示を組み込む種々の実施形態について詳細に示し説明してきたが、当業者には、これらの教示をさらに組み込む他の多くの様々な実施形態を容易に考案することができる。
【図１】
2015517702.tif 000003
【図２】
2015517702.tif 000004
【図３】
2015517702.tif 000005
【手続補正書】
【提出日】平成27年1月5日(2015.1.5)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
プロセッサと、プロセッサに通信可能に接続されたメモリとを備え、
プロセッサは、セキュリティルールに関連するポリシーに基づいてセキュリティルール用にロケーションを選択し、
セキュリティルール用に選択されたロケーションにセキュリティルールをマイグレーションするかどうか決定し、
セキュリティルール用に選択されたロケーションにセキュリティルールをマイグレーションするという決定に基づき、セキュリティルール用に選択されたロケーションへのセキュリティルールのマイグレーションを開始するように構成された、装置。
【請求項２】
セキュリティルールに関連するポリシーが、セキュリティルールの適用に関連するレイテンシに基づく、請求項１に記載の装置。
【請求項３】
セキュリティルールが、侵入検知システム（ＩＤＳ）または侵入防止システム（ＩＰＳ）に関連するとき、セキュリティルールに関連するポリシーが、セキュリティルールの適用に関連するレイテンシに基づく、請求項１に記載の装置。
【請求項４】
セキュリティルールが適用されるべきデータの移送に関連するコスト、およびセキュリティルールの適用に使用される処理資源の量に、セキュリティルールに関連するポリシーが基づく、請求項１に記載の装置。
【請求項５】
セキュリティルールが適用されるとき、セキュリティルールに関連するポリシーが、提供されるべき性能の最小レベルにさらに基づく、請求項１に記載の装置。
【請求項６】
プロセッサが、１つまたは複数のハイパーバイザに関連するハイパーバイザステータス情報、ネットワーク輻輳情報およびユーザ嗜好情報のうちの少なくとも１つに基づいて、セキュリティルール用のロケーションを選択するように構成される、請求項１に記載の装置。
【請求項７】
セキュリティルールが、第１の通信要素と第２の通信要素との間の通信にセキュリティを提供するように構成される、請求項１に記載の装置。
【請求項８】
セキュリティルールが、第１の仮想マシンと第２の仮想マシンとの間の通信にセキュリティを提供するように構成され、第１の仮想マシンが、第１のデータセンタ中に位置し、第２の仮想マシンが第１のデータセンタまたは第２のデータセンタ中に位置する、請求項１に記載の装置。
【請求項９】
プロセッサおよびメモリを使用して、
セキュリティルールに関連するポリシーに基づいてセキュリティルール用にロケーションを選択するステップと、
セキュリティルール用に選択されたロケーションにセキュリティルールをマイグレーションするかどうか決定するステップと、
セキュリティルール用に選択されたロケーションにセキュリティルールをマイグレーションするという決定に基づき、セキュリティルール用に選択されたロケーションへのセキュリティルールのマイグレーションを開始するステップと
を含む、方法。
【請求項１０】
命令を記憶するコンピュータ可読記憶媒体であって、この命令がコンピュータによって実行されるとき、
セキュリティルールに関連するポリシーに基づいてセキュリティルール用にロケーションを選択するステップと、
セキュリティルール用に選択されたロケーションにセキュリティルールをマイグレーションするかどうか決定するステップと、
セキュリティルール用に選択されたロケーションにセキュリティルールをマイグレーションするという決定に基づき、セキュリティルール用に選択されたロケーションへのセキュリティルールのマイグレーションを開始するステップとを含む方法をコンピュータに実行させる、コンピュータ可読記憶媒体。
【国際調査報告】
2015517702.tif 000006
2015517702.tif 000007