(57)【要約】【課題】デバイスのセキュリティ状況に基づいたネットワーク・セキュリティのための方法および装置を提供すること。【解決手段】デバイスのセキュリティ更新状況が評価され、セキュリティ更新状況に基づいて、複数のセキュリティ・ポリシーのうちの１つまたは複数が選択されて、デバイスに適用される。使用可能なセキュリティ原理には、例えば、「よいものを保護する」原理、「ビジーを奨励する」原理、および「非準拠を除外する」原理が含まれる可能性がある。セキュリティ更新状況は例えば、デバイス上にインストールされた１つまたは複数のセキュリティ機能のバージョン・レベルを評価することができ、あるいは、１つまたは複数のコンピュータ・セキュリティ保護機能を最新に維持するための事前定義された基準をデバイスが満たすかどうかを示すフラグに基づくことができる。【選択図】  図１
2005318584.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークへのデバイスのアクセスを制御するための方法であって、
前記デバイスのセキュリティ更新状況を評価する工程と、
前記セキュリティ更新状況に基づいて、複数のポリシーのうちの１つまたは複数を選択して前記デバイスに適用する工程とを備える方法。
【請求項２】
前記デバイスは最初に、１つまたは複数の認証サーバのみと通信するように制限される、請求項１に記載の方法。
【請求項３】
コンピュータ・セキュリティ保護機能を最新に維持するための事前定義された基準を満たすデバイスに、前記デバイスの前記セキュリティ更新状況がセキュリティ・ポリシーを満たさない場合、１つまたは複数の更新サーバのみと通信することを許可する工程をさらに備える、請求項１に記載の方法。
【請求項４】
１つまたは複数のコンピュータ・セキュリティ保護機能を最新に維持するための事前定義された基準を満たさないデバイスに対して、１つまたは複数のネットワーク・サービスへのアクセスを制限する工程をさらに備える、請求項１に記載の方法。
【請求項５】
ネットワークへのデバイスのアクセスを制御するための方法であって、
前記デバイスが１つまたは複数の指定されたサーバのみと通信することを保証する工程と、
認証サーバが、前記デバイスのセキュリティ更新状況がセキュリティ・ポリシーを満たすと判断した後、前記デバイスに、前記ネットワークを介して他のデバイスと通信することを許可する工程とを備える方法。
【請求項６】
前記デバイスの前記セキュリティ更新状況が前記セキュリティ・ポリシーを満たさない場合、前記デバイスに、１つまたは複数の更新サーバと通信することを許可する工程をさらに備える、請求項５に記載の方法。
【請求項７】
ネットワークへのデバイスのアクセスを制御するための方法であって、
前記デバイスのセキュリティ更新状況を評価する工程と、
前記デバイスが、１つまたは複数のコンピュータ・セキュリティ保護機能を最新に維持するための事前定義された基準を満たさない場合、前記デバイスが１つまたは複数のネットワーク・サービスにアクセスすることを防止する工程とを備える方法。
【請求項８】
ネットワークへのデバイスのアクセスを制御するための方法であって、
前記デバイスのセキュリティ更新状況を評価する工程と、
前記セキュリティ更新状況が事前定義されたセキュリティ基準を満たさない場合、前記デバイスが前記ネットワークにアクセスすることを防止する工程とを備える方法。
【請求項９】
１つまたは複数のネットワーク・サービスへのアクセスを、前記１つまたは複数のネットワーク・サービスの許可ユーザのリストに基づいて制御する工程と、
メッセージを、前記許可ユーザのリストに基づいてブロードキャストする工程とを備える通信方法。
【請求項１０】
ネットワークへのデバイスのアクセスを制御するための装置であって、
メモリと、
前記メモリに結合された少なくとも１つのプロセッサであって、
前記デバイスのセキュリティ更新状況を評価すること、および
前記セキュリティ更新状況に基づいて、複数のポリシーのうちの１つまたは複数を選択して前記デバイスに適用することを行うように動作するプロセッサとを備える装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は一般にネットワーク・セキュリティ技術に関し、より詳細には、接続されたデバイスのセキュリティ状態を保証し、非準拠デバイスがネットワークにアクセスするための能力を制限する、ネットワーク・セキュリティのための方法および装置に関する。
【背景技術】
【０００２】
ネットワークおよびネットワーク・デバイスへの我々の依存度が増すにつれて、このようなネットワークおよびネットワーク・デバイスのセキュリティはさらにより重要になる。ネットワーク設計者およびシステム管理者は、ユーザのための使いやすさの間のバランスを提供するが、またネットワークおよびネットワーク・デバイスを望ましくないイベントから保護する、セキュリティ・ポリシーを確立しなければならない。大部分のネットワークおよびネットワーク・デバイスは、アクセス制御メカニズムなど、コンピュータ・セキュリティ技術を組み込んで、無許可のユーザがネットワークまたはネットワーク・デバイスにアクセスすることを防止する。ユーザ認証は、コンピュータ・システムにおいて、しばしばシステム内のリソースへのアクセスを可能にするための前提条件として、ユーザの識別を検証するプロセスである。
【０００３】
ネットワークの保護における重要な問題は、ネットワーク内の各デバイス内にインストールされたコンピュータ・セキュリティ保護機能が最新であることを保証することである。インストールされたコンピュータ・セキュリティ保護機能が最新に保たれる場合、デバイスは、ウィルス、ワーム、および一般にマルウェアと呼ばれる他の脅威による攻撃から最良に保護されるようになる。ウィルスおよびワームによる最近の攻撃は、深刻なセキュリティ上の危険をもたらしており、企業の生産性において著しい損失を引き起こし、システム管理者に負担をかけている。このような攻撃の著しい経済的影響を考えると、企業は、新しい脆弱性に対して保護するこのようなコンピュータ・セキュリティ保護機能への更新を可能な限り早く配布および適用することを希望する。しかし、このような更新を、影響を受けるすべてのデバイスに強制的に推し進めることは現在、実質的に実行不可能である。また、ラップトップ・コンピュータおよび他のポータブル・デバイスなど、いくつかのデバイスは、常にネットワークに接続されたままになっていない場合があり、したがって、このような更新を受信および処理するために必ずしも使用可能であるとは限らないようになる。
【０００４】
マルウェアは、マルウェアによって悪用された特定のセキュリティ脆弱性に応じて、様々な時間にデバイスを攻撃することができる。例えば、多数の通常の脆弱性は、デバイスがＩＰアドレスを得た後、またはアプリケーションが起動されるとき、悪用される可能性がある。デバイスのコンピュータ・セキュリティ保護機能を最新に保つことによって、デバイスを既知の脆弱性に対して保護することができる。したがって、デバイスが可能な限り早く、最良の場合は潜在的脆弱性が悪用される前に、更新されることが重要である。
【０００５】
また、非準拠デバイスのネットワークへのアクセスを制限することも重要である。例えば、デバイスがネットワークに接続されていないために、デバイスのコンピュータ・セキュリティ保護機能を更新することができない場合、非準拠デバイスはネットワークまたはあるネットワーク・サービスを使用することから除外されるべきである。システム管理の視点から、このような非準拠デバイスのユーザには、例えば、更新ファイルまたはウィルス定義データを提供する復元サービスを使用してデバイスを更新するための機会が通知および提供されるべきである。
【０００６】
したがって、接続されたデバイスのセキュリティ機能が最新であること、および、非準拠デバイスがある場合、制限されたアクセスを有することを保証する、ネットワーク・アクセス制御技術のための必要性が存在する。さらに、接続されたデバイスの現在状態を発見し、デバイスをタイムライン内で可能な限り早く更新する、ネットワーク・アクセス制御技術のための必要性が存在する。
【特許文献１】米国特許出願１０／７２１７２１
【発明の開示】
【発明が解決しようとする課題】
【０００７】
一般に、デバイスのセキュリティ状況に基づいたネットワーク・セキュリティのための方法および装置が提供される。
【課題を解決するための手段】
【０００８】
本発明の一態様によれば、デバイスのセキュリティ更新状況が評価され、セキュリティ更新状況およびネットワーク・ポリシーに基づいて、複数のセキュリティ・ポリシーのうちの１つまたは複数が選択されて、デバイスに適用される。例示的実施態様では、使用可能なセキュリティ原理には、「よいものを保護する」原理、「ビジーを奨励する」原理、および「非準拠を除外する」原理が含まれる。セキュリティ更新状況は例えば、デバイス上にインストールされた１つまたは複数のセキュリティ機能のバージョン・レベルを評価することができ、あるいは、１つまたは複数のコンピュータ・セキュリティ保護機能を最新に維持するための事前定義された基準をデバイスが満たすかどうかを示すフラグに基づくことができる。
【０００９】
「よいものを保護する」保護原理によれば、コンピュータ・セキュリティ保護機能を最新に維持するための事前定義された基準を満たすデバイスは、デバイスのセキュリティ更新状況がセキュリティ・ポリシーを満たさない場合、１つまたは複数の更新サーバのみと通信することが許可される。ファイアウォールなど、クライアント側のセキュリティ機能は、セキュリティ更新状況のこのような更新に先立ってデバイスをマルウェアから保護することができる。「ビジーを奨励する」保護原理によれば、１つまたは複数のコンピュータ・セキュリティ保護機能を最新に維持するための事前定義された基準を満たさないデバイスは、１つまたは複数のネットワーク・サービスにアクセスすることを防止される。このように、「ビジー」ユーザは、このような制限されたネットワーク・サービスにアクセスできるようになる前に、自分のセキュリティ機能を更新するように奨励される。「非準拠を除外する」保護原理によれば、１つまたは複数のコンピュータ・セキュリティ保護機能を最新に維持するための事前定義された基準を満たさないデバイスは、ネットワークにアクセスすることを防止される（場合によっては、認証または更新サーバなど、１つまたは複数の事前定義されたセキュリティ・サーバを除く）。
【００１０】
本発明のより完全な理解、ならびに本発明のさらなる特徴および利点は、以下の詳細な説明および図面を参照することによって得られるであろう。
【発明を実施するための最良の形態】
【００１１】
図１は、本発明が動作することができる例示的ネットワーク環境１００を例示する。図１に示すように、クライアント・コンピューティング・デバイス１１０を使用するユーザは、企業ネットワークなどのネットワーク１２０、または、ネットワーク１２０に接続されたデバイスもしくは他のリソースにアクセスしようと試みる。通常、企業ネットワークは、企業の「内部」にあるネットワークの一部、すなわち、企業の「外側」からファイアウォールおよび類似のセキュリティ・アプリケーションによって保護されるネットワークの一部と見なされる。図１に示すように、ネットワーク１２０は、１つまたは複数のクライアント・デバイス１１０を相互接続するための１つまたは複数のスイッチ／ルーター１４０−１乃至１４０−７、１つまたは複数の更新サーバ１２５、以下で図２と共にさらに論じる１つまたは複数の認証サーバ２００、および、１つまたは複数の必須サービスのための１つまたは複数のサーバ１５０を備える。クライアント・コンピューティング・デバイス１１０は、コンピューティング・デバイスおよびＩＰ電話など、ネットワーク１２０を介して通信することができるいかなるデバイスであってもよい。例示を容易にするため、すべてのデバイス１１０はＩＰ層上で動作すると仮定するが、本発明はそれにもかかわらず、ＩＰ使用可能性なしに実施される場合があり、これは当業者には明らかになるであろう。
【００１２】
本発明は、以下で図３と共にさらに論じるネットワーク・セキュリティ・フレームワーク３００を提供し、これは、企業ネットワークなどのネットワーク１２０を、ウィルス、ワーム、トロイの木馬および悪意のあるアプレットを含む、１つまたは複数のマルウェア攻撃に対して保護するための方法および装置を提供する。ネットワーク・セキュリティ・フレームワーク３００は、接続されたデバイス１１０の準拠レベルを、デバイス１１０の状態の検出を通じて保証し、クライアントの自動更新を、例えば、更新サーバ１２５を使用して提供し、非準拠デバイスのアクセスを管理者ポリシーに基づいて制限する。
【００１３】
図２は、本発明の特徴を組み込む例示的認証サーバ２００の概略ブロック図である。以下で図４および５と共にさらに論じるように、認証サーバ２００は、保護原理４１０、４２０、４３０のセットからの１つまたは複数のセキュリティ機能およびファンクションを実装する。認証サーバ２００は、パーソナル・コンピュータ、ワーク・ステーションまたはサーバなど、いかなるコンピューティング・デバイスであってもよい。図２に示すように、例示的認証サーバ２００には、他の従来の要素（図示せず）に加えて、プロセッサ２１０およびメモリ２２０が含まれる。プロセッサ２１０はメモリ２２０と共に動作して、１つまたは複数のソフトウェア・プログラムを実行する。このようなプログラムをメモリ２２０、または、認証サーバ２００にとってアクセス可能な別のストレージ・デバイスに格納し、プロセッサ２１０によって従来の方法で実行することができる。例えば、以下で図５および６と共に論じるように、メモリ２２０はデバイス・データベース５００、および、１つまたは複数のセキュリティ準拠状態ベースのネットワーク・セキュリティ・プロセス６００を格納することができる。例示的実施形態では、認証サーバ２００は３つのセキュリティ準拠状態ベースのネットワーク・セキュリティ・プロセス６００−１、６００−２および６００−３を組み込み、これらを以下でそれぞれ図６Ａ、６Ｂおよび６Ｃと共にさらに論じる。実際の実装では、認証サーバ２００は１つまたは複数のセキュリティ準拠状態ベースのネットワーク・セキュリティ・プロセス６００を実装することができる。一般に、デバイス・データベース５００は、ネットワーク１２０内の各デバイス１１０についての情報を記録し、各セキュリティ準拠状態ベースのネットワーク・セキュリティ・プロセス６００は、以下で図４と共に論じる、本発明の１つまたは複数のセキュリティ原理を実装する。
【００１４】
一般に、以下でさらに論じるように、クライアント・コンピューティング・デバイス１１０を使用するクライアントは、認証サーバ２００によってチャレンジされる。認証サーバ２００を、例えば、ネットワーク・セキュリティが提供される企業または別のネットワークに関連付けることができる。本発明を例示的企業ネットワーク１２０との関連で例示するが、本発明は、ネットワーク・セキュリティ・ポリシーが管理される多数のネットワーク環境に適用される。ネットワーク１２０には、有線または無線ネットワーク部分または前述の組み合わせが含まれる場合がある。
【００１５】
ネットワーク・セキュリティ・フレームワーク３００
以前に示したように、本発明は、図３に示すネットワーク・セキュリティ・フレームワーク３００を提供し、これは、ネットワーク１２０をマルウェア攻撃から保護する方法および装置を提供する。一般に、ネットワーク・セキュリティ・フレームワーク３００は、接続されたデバイス１１０の準拠レベルを、デバイス１１０の状態の検出を通じて保証し、クライアント・デバイス１１０の自動更新を、例えば、更新サーバ１２５を使用して提供し、非準拠デバイスのアクセスを管理者ポリシーに基づいて制限する。本明細書で説明する例示的実施形態では、ネットワーク・セキュリティ・フレームワーク３００は、モジュール手法を使用して実装される。例えば、図３に示すように、ネットワーク・セキュリティ・フレームワーク３００を３つの異なるカテゴリのモジュール、すなわち、（ｉ）発見および検出モジュール３１０、（ｉｉ）更新モジュール３２０、および（ｉｉｉ）保護モジュール３３０に分割することができる。
【００１６】
ネットワーク・セキュリティ・フレームワーク３００の実際の配置は、説明したモジュールのサブセットからなる場合があり、各カテゴリから１つのモジュールを含む必要はないことに留意されたい。モジュールは、いかなる妥当な方法においても結合される場合があり、これは当業者には明らかになるであろう。選択されるモジュールに応じて、異なる機能性が達成される。加えて、ネットワーク・セキュリティ・フレームワーク３００内の機能モジュールは、いくつかのネットワーク要素に渡って分散される場合があり、例えば、スイッチ・ベースの発見および検出モジュールは、いくつかのスイッチ（例えば、ＳＮＭＰトラップ）上に常駐するコンポーネント、ならびに情報を収集するデータベースからなる場合がある。
【００１７】
図３に示し、以下で「発見および検出モジュール」という名称のセクションでさらに論じるように、ネットワーク・セキュリティ・フレームワーク３００には、集合的に、ネットワーク１２０に接続するデバイス１１０が識別されること、および、各デバイス１１０の現在状態（例えば、更新レベル／ウィルス定義バージョン）が検出されることを可能にする、発見および検出モジュールのセット３１０が含まれる。ポリシー実施のために必要とされる場合、ルーター１４０など、所与のデバイス１１０へのアクセスを提供するデバイス１１０もまた識別される場合がある。
【００１８】
デバイス１１０がネットワーク１２０に接続するとき、ネットワーク・セキュリティ・フレームワーク３００を実装する認証サーバ２００は最初にデバイス１１０を発見しなければならない。デバイス発見機能性は発見および検出モジュール３１０の一部である。次いで、認証サーバ２００は、デバイス１１０のセキュリティ状態が現在、定義されたセキュリティ・ポリシーに従っているかどうかを判断する。
【００１９】
発見および検出モジュール３１０は、クライアント起動、スイッチ・ベース（例えば、スイッチからの簡易ネットワーク管理プロトコル（ＳＮＭＰ）トラップ）、サーバ・ベース（例えば、サーバによるポーリング）、またはこれらの方法の組み合わせであってもよい。発見および検出モジュール３１０内のファンクションはしたがって、サーバ側の処理またはクライアント側の処理（または両方）、および、サーバとクライアントの間の通信を必要とする。
【００２０】
デバイス１１０はまた、分散発見スキームを使用して発見される場合もあり、これを以下で「発見および検出モジュール」という名称のセクションでさらに論じる。一般に、分散発見スキームでは、デバイス１１０は、他のデバイス１１０からのトラフィック（例えば、受信されたブロードキャスト・トラフィック）を監視することによって、それら自体だけでなく他のデバイス１１０をも識別することを担うエージェントを実行する。
【００２１】
図３に示すように、ネットワーク・セキュリティ・フレームワーク３００には、更新モジュールのセット３２０が含まれる。以前に示したように、本発明は、デバイス１１０が非準拠であると判明するとき、デバイス１１０が例えば更新サーバ１２５から更新を得ることを可能にする。デバイス１１０が最新でない場合、例えば、サーバ側のプッシュを介して更新サーバ１２５から更新を開始することができ、あるいは、デバイス１１０は更新を更新サーバ１２５からプルすることができる。
【００２２】
このように、最新でないデバイス１１０は、更新サーバ１２５と通信することによってそれ自体を更新することができる。クライアント側１１０およびサーバ側１２５の両方での処理、クライアント１１０とサーバ１２５の間の通信、および、必要な場合はクライアント１１０の更新に関係する問題を以下で論じる。
【００２３】
図３に示し、以下で「保護モジュール」という名称のセクションでさらに論じるように、ネットワーク・セキュリティ・フレームワーク３００には保護モジュールのセット３３０が含まれる。以前に示したように、本発明は、非準拠デバイスをネットワーク１２０から完全に、あるいは、あるネットワーク・サービスを使用することから除外することを可能とする。
【００２４】
保護原理スペクトル
図４に示す本発明のもう１つの態様によれば、ネットワーク・セキュリティ・フレームワーク３００は保護原理４１０、４２０、４３０のスペクトル４００をサポートする。各保護原理４１０、４２０、４３０は、実装ネットワーク・セキュリティのための機能およびファンクションの別個のセットを提供する。特に、ネットワーク・セキュリティ・フレームワーク３００の例示的実施形態は、３つの保護原理、すなわち、「よいものを保護する」原理４１０、「ビジーを奨励する」原理４２０、および「非準拠を除外する」原理４３０をサポートする。再度、ネットワーク・セキュリティ・フレームワーク３００の所与の配置には、保護原理４１０、４２０、４３０の各々は含まれない場合がある。保護原理４１０、４２０、４３０はいかなる妥当な方法においても結合される場合があり、これは当業者には明らかになるであろう。選択される保護原理４１０、４２０、４３０に応じて、異なる機能性が達成される。
【００２５】
「よいものを保護する」原理４１０によれば、「よい」デバイス１１０が最新でないとき、ネットワーク・セキュリティ・フレームワーク３００は「よい」デバイス１１０がマルウェアによって影響を与えられないように保護する。本明細書で使用されるとき、必要とされたクライアント・ソフトウェアを実行し、一般にそれらのコンピュータ・セキュリティ保護機能を（例えば、ある事前定義された手段に従って）最新に保つデバイス１１０は、「よい」デバイス１１０と見なすことができる。よいデバイスが最新でないとき、例えば、ユーザが休暇にでかけるときの場合がある可能性がある。ネットワーク・セキュリティ・フレームワーク３００は、このような状況のよいデバイスを、マルウェアによって影響を与えられないように保護する。
【００２６】
一実施態様では、「よい」デバイスは、デバイス１１０上で、起動時に認証サーバ２００との通信のみを許可するファイアウォールを実行することによって保護される。デバイス１１０の構成が妥当性検査（または、例えば更新サーバ１２５を使用して更新）されるとき、ファイアウォールはデバイス１１０に対して全般的な通信を許可する。このように、必要な場合は、デバイスのセキュリティ機能が更新されるまで、デバイスはそれ自体を悪意のあるコードから保護することができる。
【００２７】
「ビジーを奨励する」原理４２０によれば、それらのネットワーク・セキュリティ機能を更新するにはあまりに「ビジー」であるユーザは、ユーザが１つまたは複数のネットワーク・サービスにアクセスすることができるようになる前に、各デバイス１１０の最新のセキュリティ状態を必要とすることによって、そのように行うように「奨励」される。ビジー・ユーザがそれらのデバイスを更新することを延期する場合があり、また、必要とされたクライアント・ソフトウェアを実行しないように選択する場合もあることが観察されている。したがって、「よいものを保護する」原理４１０に関連付けられた自己保護メカニズムに依拠することは不十分である。
【００２８】
一実施態様では、「ビジー」デバイス１１０に関連付けられたユーザは、必須サービス（「チョーク・ポイント」と呼ばれる）へのアクセスを（例えば、管理者により選択された回数に）制限することによって、このようなデバイス１１０を更新するように奨励される。例えば、「ビジーを奨励する」原理４２０は、ＶＰＮゲートウェイ、ウェブ・プロキシおよびサーバ、企業データベースおよび金融データベースのうちの１つまたは複数へのアクセスを制限することができる。デバイス１１０がそれ自体を認証サーバ２００に対して妥当性検査するとき、サーバ２００はサービスへのアクセスを開くことができる。別法として、デバイス１１０が企業の更新ポリシーに違反していると判明するとき、デバイス１１０は１つまたは複数のサービスへのアクセスを拒否される場合がある。
【００２９】
「非準拠を除外する」原理４３０によれば、事前定義された企業セキュリティ・ポリシーに準拠すると判明するデバイス１１０のみが、ネットワーク１２０またはネットワーク・サービスにアクセスすることを許可される場合がある。この場合、ルーター１４０など、ネットワーク接続性をデバイス１１０に提供するアクセス・デバイスは、認証サーバ２００によってデバイス１１０へのアクセスを許可するように命令されるまで、アクセスを拒否するように構成される。「非準拠を除外する」原理４３０の機能性を、例えば、ポート・ベースのアクセス制御メカニズム（例えば、ＩＥＥＥ  ８０２．１ｘ）、または、ＩＰベースのメカニズムを使用して達成することができる。デバイスへのアクセスを、セキュリティ・ポリシーへの準拠に基づいて許可または拒否するためのルールを、ネットワーク１２０内の異なる場所で実施することができることに留意されたい。
【００３０】
認証サーバ２００は、「よいものを保護する」原理４１０、「ビジーを奨励する」原理４２０または「非準拠を除外する」原理４３０のうちの１つまたは複数を、以下で説明する方法を使用して実施することができる。
【００３１】
システム管理者は、例えば、その下でデバイス１１０がネットワーク１２０に接続することができるルールを定義する、認証サーバ２００によって実装されたセキュリティ要件を動的に変更することができ、すでに接続しているデバイスを強制的に再認証させることができる。このような既存のデバイス１１０が、新しいポリシーについてではなく、以前のポリシーに従って許可された場合、既存のデバイス１１０はネットワークから除外されようになる。デバイス１１０がネットワーク１２０へのアクセスを拒否される場合、ユーザにアクセス拒否を通知し、準拠してネットワーク１２０へのアクセスを得るための方法についての情報を提供するウェブ・ページを、オプショナルでデバイス１１０にプッシュすることができる。更新サーバ１２５へのアクセスはいかなるときにも可能であるので、このようなデバイス１１０の更新はユーザによって、システム管理者またはヘルプデスク・オペレータとさらに対話することなく行うことができる。
【００３２】
発見および検出モジュール３１０
以前に示したように、ネットワーク・セキュリティ・フレームワーク３００には、集合的に、ネットワーク１２０に接続するデバイス１１０が識別されること、および、各デバイス１１０の現在状態（例えば、更新レベル／ウィルス定義バージョン）が検出されることを可能にする、発見および検出モジュール３１０のセットが含まれる。
【００３３】
Ａ．デバイス発見
本明細書で論じる発見プロセスの例示的変形形態の各々で、ネットワーク１２０内のエージェントは情報を認証サーバ２００へ、ネットワーク１２０についてレポートする。これらの変形形態は、エージェントがデバイス自体の上に常駐して能動的に認証サーバ２００にレポートするかどうか、または、エージェントが情報についてポーリングされるかどうか、および、エージェントが新しいデバイス１１０についてどのように学習するかにおいて異なる。例示的実施形態では、デバイス発見は、ネットワーク１２０のエッジで実行される。さらなる変形形態では、発見はネットワーク１２０内の他のチョーク・ポイントで発生する場合がある。
【００３４】
（ｉ）自己識別
デバイス発見のための自己識別の実装では、各デバイス１１０は、デバイス１１０がネットワーク１２０に接続するとき、認証サーバ２００に登録するクライアントを実行する。すなわち、エージェントはデバイス１１０自体の上に常駐し、したがって、ネットワーク１２０に接続した後で認証サーバ２００に接触する。デバイス１１０上のインタフェースを監視することによって、デバイス１１０は、それが接続する新しいネットワーク１２０を検出し、サーバ２００との自己識別をトリガすることができる。
【００３５】
デバイス発見のための自己識別の実装に関連する１つの問題は、接触するための認証サーバ２００のＩＰアドレスを確認することに関係する。スケーラビリティのために、複数の、階層的に編成された認証サーバが単一のネットワーク１２０内に存在する場合がある。適切な認証サーバ２００をどのように見つけることができるかに関する複数の可能性がある。接触するための特定のサーバ２００のＩＰアドレスを戻す認証サーバ２００のディレクトリに最初に接触することは別として、サーバのアドレスもまた、例えば動的ホスト構成プロトコル（ＤＨＣＰ）（ＴＣＰ／ＩＰを使用するコンピュータの構成を自動化するためのプロトコル）メッセージ交換において、オプショナルのフィールドを使用して提供することができる。さらなる変形形態では、ＩＰマルチキャストをこの問題に対して使用することができる。一般に、接触するためのサーバ２００を識別することは、いかなる知られている技術を使用して実装することもできる。
【００３６】
デバイス発見のための自己識別の実装における所与のデバイス１１０がそれ自体を識別することができず、発見されずに残る場合、本明細書で説明する「非準拠を除外する」原理４３０など、適切なアクセス・ポリシーは、発見されないデバイス１１０がネットワーク１２０を使用することを防止するようになる。このように、このような発見されないデバイス１１０はネットワーク・セキュリティに脅威を与えないが、例えば、デバイス１１０のための制限されたネットワーク接続性を許可するために、それらを識別することも有益となる。
【００３７】
デバイス発見のための自己識別の実装に関連する１つの問題は、デバイス１１０自体が、それが接続するネクスト・ホップ・デバイス１４０の制限された知識を有することである。例えば、デバイス１１０は通常そのＩＰゲートウェイを知っているが、デバイス１１０は通常、それが接続するレイヤ２スイッチについての知識を有していない。以下で「保護モジュール３３０（ポリシー実施）」という名称のセクションで論じる１つまたは複数の保護モジュールは、ポリシー実施のためにこのような情報を必要とし、特定のスイッチ・ポートなど、より具体的な詳細を必要とする場合がある。したがって、自己識別技術は、自己識別しないデバイス１１０の発見を可能にし、また、デバイス１１０の接続性に関係付けられたより詳細な情報の検索も可能にする、他のデバイス発見技術により増補される場合がある。
【００３８】
（ｉｉ）ネットワーク・デバイス・ベースの発見
デバイス発見のためのネットワーク・デバイス・ベースの実装では、ネットワーク１２０内のネットワーク・エッジ・ルーターおよびスイッチ１４０またはサーバ１２５、２００など、ネットワーキング・インフラストラクチャ・デバイスは、新たに接続されたデバイス１１０を発見およびレポートする。このような発見スキームに関係するネットワーク・デバイスはまた、ポリシー実施のために使用されたデバイスであってもよい。
【００３９】
デバイスのレポーティングは能動的であっても受動的であってもよい。能動的レポーティング実装では、トラップ（ＳＮＭＰトラップなど）が認証サーバ２００に送信される。受動的レポーティング実装では、別のネットワーク・デバイス上に常駐するエージェントは周期的にデバイス１１０を情報についてポーリングし、新たに接続されたクライアントのリストをこの情報から構築する。トラップを生成するイベントには、スイッチ・ポートの上昇／下降、または、スイッチ・ポート上の新しいＭＡＣアドレスの発見が含まれる。
【００４０】
以前に示したように、ネットワーク・セキュリティ・フレームワーク３００はまた、ＩＥＥＥ  ８０２．１ｘと共に使用される場合もある。したがって、成功する８０２．１ｘ−認証は、新しいクライアント・トラップをトリガすることもできる。受動的デバイス発見は、いくつかのスイッチおよびルーターにとって実装することがより容易である場合があり、これは、これによりスイッチ／ルーターのためのエージェントが別々のネットワーク・デバイス上で実行することができ、周期的にポーリングする（デバイス接続と発見の間で潜在的に著しい遅延を生じる）ことによって、スイッチが提供する標準情報から新しいクライアントについての情報を合成することができるからであることに留意されたい。遅延を受け入れ可能に保つために、デバイスは頻繁にポーリングされなければならない。代替として、新しいクライアントを発見するエージェントは、スイッチ１４０のミラー・ポートに接続されることが可能であり、新たに接続されたクライアントについての情報を、これらのデバイス１１０からの入力トラフィックを通じて得ることができる。
【００４１】
上記の手法のすべてにおいて、エージェントは認証サーバ２００に、クライアントおよびそのネクスト・ホップ・デバイスについての情報を与えることができる。したがって、このデバイス発見方法は、他のいかなるデバイス発見技術もまた使用されることを必要としない。実際的な配置では、２つの発見方法の組み合わせが適切である可能性がある。
【００４２】
（ｉｉｉ）分散デバイス・ベースの発見スキーム
デバイス発見のための分散デバイス・ベースの実装では、様々なデバイス１１０がエージェントを、自己識別スキームに類似の方法で実行する。デバイス発見のための分散デバイス・ベースの実装では、しかし、デバイス１１０は、他のデバイスから受信されたブロードキャスト・トラフィックならびに自己識別を監視することによって、他のデバイスを識別することを担う。無許可のデバイスからのあるブロードキャスト・トラフィックはアクセス・ポリシーに従ってプロックされる可能性があるが、分散デバイス・ベースの発見スキームは、無許可のデバイスがいくつかのブロードキャスト・フレームを発することができること必要とする。このようなトラフィックの例は、ＤＨＣＰ要求またはアドレス解決プロトコル（ＡＲＰ）要求である。セキュリティのために、ＡＲＰはポリシーに従ってブロックされる可能性がある。デバイス１１０上のエージェントが、以前に見たことのない新しいデバイス１１０からのこのようなトラフィックを見るとき、エージェントは新しいデバイス１１０を認証サーバ２００にレポートすることができる。
【００４３】
認証中またはその後に、発見エージェントのための監視ポリシーをクライアントにプッシュすることが可能である。発見ポリシーもまた、オペレーション中に更新および変更することができる。したがって、この分散スキームはよくスケールし、これは、いかなる時点でも、同じブロードキャスト・ドメイン内の制限された数のデバイス１１０のみが、新しいクライアントをレポートするようにセット・アップされることが可能であるからである。さらに、このスキームは、適合可能なエージェント冗長性を可能にする。分散デバイス・ベースの発見の使用にはまた、ポリシー実施におけるいくつかの影響があり、これを以下で「保護モジュール３３０（ポリシー実施）」という名称のセクションで論じる。
【００４４】
Ｂ．デバイス状態の決定
以前に示したように、発見および検出モジュール３１０は、各デバイス１１０の現在のセキュリティ状態が検出されることを可能にする。デバイス１１０が発見された後、デバイス１１０の状態が決定される必要があり、適切な保護ポリシーを実施するために適切なアクションが取られなければならない。このプロセスは通常、ネットワーク１２０内の少なくともデバイス１１０と認証サーバ２００の間の対話を必要とする。サーバおよびクライアント側の認証／妥当性検査の手順は、以下で論じるように可能である。
【００４５】
（ｉ）サーバ側の認証／妥当性検査の手順
認証サーバ２００が新しいデバイス１１０について知った後、以前のセクションで説明したように、認証サーバ２００はこのデバイスのためのアクセス制御ポリシーを決定する。このために、デバイス１１０は一意に識別される必要がある。実際には、ＩＰおよびＭＡＣアドレス、ＣＰＵ  ＩＤまたは標準の暗号プロトコルを使用して、各デバイス１１０を一意に識別することができる。例えば、サーバ２００は、公開鍵インフラストラクチャまたは共有秘密ベースのチャレンジ／レスポンスを通じてデバイス１１０の識別を確立することによって、デバイス１１０からの識別の偽造不可能な証明を得ることができる。デバイス１１０の識別を確立した後、サーバ２００はこのデバイスのためのアクセスおよび認証ポリシーをデータベースから検索することができる。
【００４６】
次いで、サーバ２００はデバイス１１０に接触し、妥当性検査手順／要求をサブミットする。応答において、クライアントは応答をサーバにサブミットし、これを以下のセクションで論じる。例えば、サーバ２００はオペレーティング・システムの更新（バージョン）レベルおよびウィルス・スキャナ・バージョンを要求することができる。応答およびこのデバイス１１０のためのポリシーに基づいて、サーバ２００は、このデバイス１１０のための実際のアクセス制御ポリシーを決定する。次いで、サーバ２００は、適切なセットのデバイス１１０に、制限を実施または解除するように命令することによって、これらのアクセス・ポリシーを実装し、これを「保護モジュール３３０（ポリシー実施）」という名称のセクションで論じる。
【００４７】
図５は、図２の例示的デバイス・データベース５００からのサンプル・テーブルである。以前に示したように、デバイス・データベース５００は認証サーバ２００によって、各デバイスについての情報を記録するように維持される。図５に示すように、デバイス・データベース５００は複数のレコード５０１〜５０３を含み、各々のレコードは異なるデバイス１１０に関連付けられる。例えば、フィールド５１０内の対応するＭＡＣおよびＩＰアドレスを使用して識別される各デバイス１１０について、デバイス・データベース５００は、フィールド５３０内で現在のセキュリティ状態を識別する。フィールド５３０内に記録された現在のセキュリティ状態には、例えば、識別されたオペレーティング・システムおよびバージョン、更新レベル、ウィルス・スキャナのタイプ、スキャン・エンジンおよびウィルス定義日が含まれる場合がある。１つの変形形態では、デバイス・データベース５００はまた、各デバイス１１０の、ＩＰゲートウェイを含むＩＰ構成を記録することもできる。デバイスの現在の接続状態もまたデータベース５００に、タイムスタンプと共に記録することができる。
【００４８】
（ｉｉ）クライアント側の認証／妥当性検査
認証手順を受けなければならないデバイス１１０は、ＴＣＰポート上でリッスンするプロセスなど、クライアントを実行する。認証サーバ２００はこのポートに接触し、妥当性検査手順／要求をデバイス１１０にサブミットする。クライアント側で、この要求が解析され、応答がサーバ２００に送信される。
【００４９】
実際の認証メカニズムはプラグ可能であり、これは、要求された手順がクライアントに知られていないためにクライアントが認証／妥当性検査要求を満たすことができない場合、クライアントはサーバ２００に通知することができるという意味である。この場合、サーバ２００は必要とされたコードのアップロードを開始して、手順を実行されるべきクライアントに実施することができる。認証が失敗する場合、サーバ２００はまた、認証を得るために要求された必要な工程のクライアント側プロセスを命令することもできる。例えば、デバイス１１０がそのオペレーティング・システムを更新すること、または新しいウィルス・スキャナをダウンロードすることを要求されるので、認証は拒否される場合がある。この場合、サーバ２００はそれに応じてクライアントのためのネットワーク・アクセス・ポリシーをセットし、クライアント側プロセスはアップグレードを開始することができる。要求された更新が完了した後、クライアントは認証サーバ２００と再認証することができる。
【００５０】
以前に示したように、本発明の認証メカニズムはプラグ可能である。したがって、開示した認証メカニズムを、従来の認証スキームを超えて拡張することができ、これは、認証プロセスがいかなる特定のプロトコル交換シーケンスによっても制限されず、十分に動的な方法で実施されることが可能であるからである。このような拡張の一実施例は、コンテンツ認証のためのトークン・ベースのスキームである。参照により本明細書に組み込まれる、２００３年１１月２５日出願の「Ｍｅｔｈｏｄ  ａｎｄ  Ａｐｐａｒａｔｕｓ  ｆｏｒ  Ｃｏｎｔｅｎｔ  Ｂａｓｅｄ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  ｆｏｒ  Ｎｅｔｗｏｒｋ  Ａｃｃｅｓｓ」という名称の米国特許出願１０／７２１７２１を参照されたい。
デバイスのセキュリティ状態が変化するとき、デバイス１１０のクライアントはサーバ２００に、新しい状態について通知することができ、ネットワーク・アクセス・ポリシーをサーバ２００によって再計算することができる。別法として、サーバ２００は各デバイス１１０を周期的にポーリングして現在の状態を得て、アクセス・ポリシーとのその準拠性を決定することができる。
【００５１】
保護モジュール３３０（ポリシー実施）
以前に示したように、ネットワーク・セキュリティ・フレームワーク３００には保護モジュールのセット３３０が含まれる。保護モジュール３３０は１つまたは複数の保護原理４１０、４２０、４３０を組み込んで、本発明のネットワーク・セキュリティ・ファンクションを実装する。ネットワーク・セキュリティ・フレームワーク３００の例示的実施形態は、３つの保護原理、すなわち、「よいものを保護する」原理４１０、「ビジーを奨励する」原理４２０、および「非準拠を除外する」原理４３０をサポートする。
【００５２】
Ａ．クライアント・ベースの技術
「よいものを保護する」原理４１０を、クライアント・ベースの技術を使用して実装することができる。クライアント・ソフトウェアを実行する「よい」デバイス１１０は、クライアント側のファイアウォールを通じてマルウェア攻撃から保護され、クライアント側のファイアウォールは、インタフェースが活動化されるとき、ネットワーク１２０内の認証サーバ２００へのアクセスのみを許可する。認証サーバ２００はデバイス１１０に、ネットワーク１２０内で安全に動作するために必要である、現在要求された更新について通知することができる。また、デバイス１１０が現在接続されるネットワーク１２０に応じて、このネットワーク１２０の状態および多かれ少なかれ制限的なファイアウォール構成をアドバイスすることができる。デバイス１１０はそのネットワーク環境を監視し、イベントをサーバ２００にレポートすることができる。サーバ２００は次いでこの情報を解析し、このデバイス１１０および現在ネットワーク１２０上にある他のデバイス１１０を保護するために適切な工程を取ることができる。このような情報はまた、デバイスのユーザからの特定の入力を含むこともできる。
【００５３】
一般に、新しいデバイス１１０がネットワーク１２０に接続しようと試みるとき、サーバ２００は、新しいデバイス１１０が、最低セキュリティ状況など、企業の基準を満たすかどうかを判断し、そうである場合、サーバ２００は、デバイス１１０のための「許可ルール」をプッシュするための適切なスイッチ／ルーター１４０を決定し、アクセスを可能にする。
【００５４】
図６Ａは、図４の「よいものを保護する」原理４１０を実装する、セキュリティ準拠状態ベースのネットワーク・セキュリティ・プロセス６００−１の例示的実施態様を説明する流れ図である。図６Ａに示すように、新しいデバイス１１０がネットワーク１２０に接続しようと試みるとき、工程６０５中で、新しいデバイス１１０に関連付けられたクライアント・サービス（ファイアウォールを使用）は、認証サーバ２００のみへのアクセスを許可する。次いで、工程６１０中で、クライアント・サービスは情報を収集し、収集した情報をサーバ２００に提供する。例えば、デバイス１１０は、オペレーティング・システムおよびバージョン、更新レベル、ウィルス・スキャナのタイプ、スキャン・エンジンおよびウィルス定義日など、その現在の状態を通信することができる。加えて、デバイスは、そのＭＡＣおよびＩＰアドレス、ならびにＩＰゲートウェイを含むＩＰ構成をレポートすることができる。この情報を認証サーバ２００によってデバイス・データベース５００内に格納することができる。
【００５５】
工程６１５中に、テストがサーバ２００によって実行されて、デバイス１１０が最新であるかどうかが判断される（例えば、デバイス・データベース５００内に記録された情報を使用する）。サーバ２００は、デバイス１１０のセキュリティ状態が事前定義されたセキュリティ基準を満たすかどうかを判断する。工程６１５中で、デバイス１１０が最新でないと判断される場合、工程６２０中で、クライアントは、必要とされた更新のために更新サーバ１２５に接触するように命令される。工程６１５中で、デバイス１１０が最新であると判断される場合、工程６２５中で、クライアント・ファイアウォールがネットワーク１２０にアクセスすることを許可される。デバイス１１０に関連付けられた適切なスイッチ／ルーター１４０が識別され、デバイス１１０のための「許可ルール」がスイッチ／ルーター１４０に転送される。
【００５６】
Ｂ．スイッチ／ルーター・ベースのネットワーク・アクセス制御
「非準拠を除外する」原理４３０を実装して、スイッチ・ベースのアクセス制御を使用して非準拠デバイスをネットワーク１２０から除外することができる。デバイス１１０が現在のセキュリティ・ポリシーに違反する場合、デバイス１１０のネットワーク１２０へのアクセスを、デバイスが直接接続するデバイス１１０上のポートを制御することによって、または、適切なフィルタリング／ファイアウォール・ルールをファースト・ホップ・デバイス１４０に挿入することによって、中断することができる。
【００５７】
このようなアクセス・ルールを可能な限りデバイス１１０の近くで実施することは望ましいが、ネットワーク内の他のデバイス１１０、例えば、デバイスのデフォルトＩＰゲートウェイを使用することも可能である。また、このようなフィルタリング・ルールを、ネットワーク中のデバイス１１０に分散させることができる。例えば、ネットワーク１２０中に分散されたいくつかのデバイス１１０は、認証サーバ２００に類似の認証ファンクションを実装することができ、新しいデバイス１１０がアクセスを拒否される場合、認証デバイス１１０は同じネットワーク・ゾーン内の他のピア・デバイス１１０に失敗を通知して、他のピア・デバイス１１０がそれら自体を失敗されたデバイスから保護することができるようにすることができる。加えて、ネットワーク・ゾーンを定義するスイッチ／ルーター１４０は、ネットワーク１２０の残りを保護することができる。
【００５８】
適所にあるセキュリティ・ポリシーに応じて、スイッチ・ベースのネットワーク・アクセス制御は実施オプションのスペクトルを可能にし、これは、デバイス１１０のためのネットワーク・アクセスがサーバ２００によって明示的に付与されなければならない「デフォルト遅延」から、システム・セキュリティに危険をもたらすデバイス１１０、例えば、ウィルスに感染したデバイス１１０に対してのみアクセスがブロックされる「デフォルト許可」までに及ぶ。例えば、例示的スイッチ・ベースのアクセス制御実装では、各スイッチ１４０内の「デフォルト遅延」ルールは、認証サーバ２００によって最初に認証されなかったデバイス１１０に対して、ネットワーク１２０へのアクセスを防止する。認証サーバ２００および更新サーバ１２５への接続のみが、このようなデバイス１１０に対して許可される。
【００５９】
図６Ｂは、例示的「デフォルト遅延」実施ポリシーを使用して図４の「非準拠を除外する」原理４３０を実装する、セキュリティ準拠状態ベースのネットワーク・セキュリティ・プロセス６００−２の例示的実施態様を説明する流れ図である。図６Ｂに示すように、新しいデバイス１１０がネットワーク１２０に接続しようと試みるとき、工程６３０中で、デバイスは、認証サーバ２００以外のネットワーク１２０へのアクセスを拒否されるようになり、これは、スイッチ１４０がデフォルト「拒否」セットのルールを実装中であるからである。
【００６０】
自己識別発見実装ではデバイス１１０に関連付けられたクライアント、または、スイッチ・ベースの発見実装ではスイッチ１４０は、工程６３５中で、サーバ２００に新しいデバイス１１０を通知する。工程６４０中に、テストがサーバ２００によって実行されて、デバイス１１０が最新であるかどうかが判断される（例えば、デバイス・データベース５００内に記録された情報を使用する）。工程６４０中で、デバイス１１０が最新でないと判断される場合、工程６４５中で、クライアントはアクセスを拒否される（デバイス１１０が最新であると判明するようになるまで）。工程６４０中で、デバイス１１０が最新であると判断される場合、工程６５０中で、スイッチ１４０はデバイスがネットワーク１２０にアクセスすることを許可する。
【００６１】
Ｃ．必須サービスへのアクセスの制御
「ビジーを奨励する」原理４２０を実装して、企業のセキュリティ・ポリシーに違反するデバイスを、ＷＷＷプロキシ、企業のウェブ・サーバ、アプリケーション・サーバおよび電子メール・サーバなど、１つまたは複数のネットワーク・サービスの使用から除外することができる。「ビジーを奨励する」原理４２０を、制御されたリソース（ネットワーク・サービス）内で、または、制御されたリソース（ネットワーク・サービス）の前にネットワーク・デバイスを入れることによって、実装することができる。この機能性は、企業のポリシーに準拠していないデバイスからのトラフィックをフィルタリングおよび／またはリダイレクトすることによって、達成される。フィルタリングおよび／またはリダイレクトを受けるデバイス１１０は、これらのデバイスの識別を適切なコントローラに通信する認証サーバ２００によって決定される。このようなコントローラをハードウェアで実装するために、コンテント・アドレッサブル・メモリ（ＣＡＭ）ベースのアーキテクチャを使用することができる。
【００６２】
図６Ｃは、例示的「デフォルト拒否」実施ポリシーを使用して図４の「ビジーを奨励する」原理４２０を実装する、セキュリティ準拠状態ベースのネットワーク・セキュリティ・プロセス６００−３の例示的実施態様を説明する流れ図である。図６Ｃに示すように、新しいデバイス１１０がネットワーク１２０に接続しようと試みるとき、工程６６０中で、デバイスは最初に、認証サーバ２００以外のネットワーク１２０へのアクセスを拒否されるようになり、これは、スイッチ１４０がデフォルト「拒否」セットのルールを実装中であるからである。
【００６３】
自己識別発見実装ではデバイス１１０に関連付けられたクライアント、または、スイッチ・ベースの発見実装ではスイッチ１４０は、工程６６５中で、サーバ２００に新しいデバイス１１０を通知する。工程６７０中で、テストがサーバ２００によって実行されて、デバイス１１０が最新であるかどうかが判断される（例えば、デバイス・データベース５００内に記録された情報を使用する）。工程６７０中で、デバイス１１０が最新でないと判断される場合、工程６７５中で、クライアントは、１つまたは複数のサーバ１５０（図１）によって提供された１つまたは複数のネットワーク・サービスを使用することから制限される（デバイス１１０が最新であると判明するまで）。工程６７０中で、デバイス１１０が最新であると判断される場合、工程６８０中で、スイッチ１４０はデバイスがネットワーク１２０にアクセスすることを許可する。
【００６４】
本発明は、このようなネットワーク・サービスのためのアクセス制御リストがそれぞれ、ネットワーク内の対応するユーザのセットに情報を提供するために活用することができる「チョーク・ポイント」を提供すると認識する。「ビジーを奨励する」原理４２０の１つの変形形態では、ネットワーク・サービスのためのアクセス制御リストを使用して、このようないかなるネットワーク・サービスの許可ユーザにも、または所与の時間にいかなるネットワーク・サービスに接続されるデバイスにも、メッセージをブロードキャストすることができる。
【００６５】
製造品およびシステムの考慮事項
当技術分野で知られているように、本明細書で論じた方法および装置を製造品として配布することができ、製造品はそれ自体で、その上に実施されたコンピュータ可読コード手段を有するコンピュータ可読媒体を備える。コンピュータ可読プログラム・コード手段は、コンピュータ・システムと共に動作可能であり、本明細書で論じた方法を実行するか、あるいは装置を作成するための工程の全部または一部を実行する。コンピュータ可読媒体は、記録可能媒体（例えば、フロッピー（登録商標）・ディスク、ハード・ディスク、コンパクト・ディスクまたはメモリ・カード）であってもよく、あるいは、伝送媒体（例えば、光ファイバーを備えるネットワーク、ワールド・ワイド・ウェブ、ケーブル、または、時分割多重アクセス、符号分割多重アクセス、もしくは他の無線周波数チャネルを使用する無線チャネル）であってもよい。コンピュータ・システムと共に使用するために適切な情報を格納することができる、いかなる知られている、または開発された媒体をも使用することができる。コンピュータ可読コード手段は、磁気媒体上の磁気変動、またはコンパクト・ディスクの表面上の高度変動など、コンピュータが命令およびデータを読み取ることを可能にするためのいずれかのメカニズムである。
【００６６】
本明細書で説明したコンピュータ・システムおよびサーバはそれぞれメモリを含み、メモリは、本明細書で開示した方法、工程およびファンクションを実装するように、関連付けられたプロセッサを構成するようになる。メモリを分散またはローカルにすることができ、プロセッサを分散または単一にすることができる。メモリを電気、磁気もしくは光メモリ、または、これらもしくは他のタイプのストレージ・デバイスのいかなる組み合わせとして実装することもできる。また、「メモリ」という用語は、関連付けられたプロセッサによってアクセスされたアドレス可能なスペース内のアドレスに対して読み書きすることができるいかなる情報をも包含するために、十分に幅広く解釈されるべきである。この定義により、ネットワーク上の情報はなおメモリ内にあり、これは、関連付けられたプロセッサは情報をネットワークから検索することができるからである。
【００６７】
図示および本明細書で説明した実施形態および変形形態は、単に本発明の原理を例示するものであり、様々な修正を、本発明の範囲および精神から逸脱することなく、当業者によって実施することができることを理解されたい。
【図面の簡単な説明】
【００６８】
【図１】本発明が動作することができるネットワーク環境を例示する図である。
【図２】図１の例示的認証サーバのより詳細な概略ブロック図である。
【図３】本発明の機能を組み込むネットワーク・セキュリティ・フレームワークのモジュール実装を例示する図である。
【図４】本発明による、図２の認証サーバによって選択的に実装することができる保護原理のスペクトルを例示する図である。
【図５】図２の例示的デバイス・データベースからのサンプル・テーブルの図である。
【図６Ａ】図２のセキュリティ準拠状態ベースのネットワーク・セキュリティ・プロセスの例示的実施態様を説明する流れ図である。
【図６Ｂ】図２のセキュリティ準拠状態ベースのネットワーク・セキュリティ・プロセスの例示的実施態様を説明する流れ図である。
【図６Ｃ】図２のセキュリティ準拠状態ベースのネットワーク・セキュリティ・プロセスの例示的実施態様を説明する流れ図である。
【図１】
2005318584.tif 000003
【図２】
2005318584.tif 000004
【図３】
2005318584.tif 000005
【図４】
2005318584.tif 000006
【図５】
2005318584.tif 000007
【図６Ａ】
2005318584.tif 000008
【図６Ｂ】
2005318584.tif 000009
【図６Ｃ】
2005318584.tif 000010