(57)【要約】本発明は、ネットワークの異種のインフラストラクチャ及びコンピュータ装置のセキュリティポリシーを管理する方法、マシン及びシステムに関する。セキュリティポリシーリポジトリは、実施のために適切なセキュリティイネーブル装置（ポリシーエンハンスメントポイント（ＰＥＰ））にポリシーデシジョンポイントＰＤＰによりネットワークを通してプッシュされるセキュリティポリシーを収容する。閉じたフィードバックループを使用して、ポリシーフィードバックポイント（ＰＦＰ）は、様々なＰＥＰ又はＰＥＰから生成される侵入、警告、侵害、及び他の異常な振る舞いによるデータを収集及び処理する。このデータは、ポリシーリポジトリへのフィードバックとして送出される。ＰＤＰは、データを検出し、（動的かつ自動的とすることができる）ポリシーの更新が適応的に行われＰＥＰに動的に送出されるかを判定するために分析する。また、ＰＤＰは、コンソールメッセージを送出し、コンソール又は管理者に警告することもできる。【特許請求の範囲】
【請求項１】
１以上のセキュリティイネーブル装置からのセキュリティ情報を検出するステップと、
前記セキュリティ情報を正規化するステップと、
正規化されたセキュリティ情報をデータリポジトリに記録するステップと、
を備えることを特徴とする方法。
【請求項２】
記録された正規化されたセキュリティ情報の少なくとも１部に基づいてセキュリティポリシーに関連するセキュリティポリシーの変化をトリガするステップを更に備える、
請求項１記載の方法。
【請求項３】
記録された正規化されたセキュリティ情報の少なくとも１部に基づいてセキュリティポリシーを評価するステップを更に備える、
請求項１記載の方法。
【請求項４】
前記検出するステップでは、前記セキュリティ情報は、セキュリティトランザクションプロトコル及びセキュリティトランザクションコマンドラインのインタフェースの少なくとも１つを使用して検出される、
請求項１記載の方法。
【請求項５】
前記検出するステップでは、セキュリティ侵入、セキュリティ警告、セキュリティ侵害、及び少なくとも１つのセキュリティイネーブル装置で生じる異常な振る舞いのうちの少なくとも１つに関連する、
請求項１記載の方法。
【請求項６】
前記記録するステップでは、前記正規化されたセキュリティ情報は、１以上のセキュリティポリシーに動的なポリシーフィードバックを提供する、
請求項１記載の方法。
【請求項７】
ポリシーリポジトリから１以上のセキュリティイネーブル装置にセキュリティポリシーを配信するステップと、
１以上のセキュリティイネーブル装置で多数のセキュリティポリシーを実施するステップと、
前記１以上のセキュリティイネーブル装置のそれぞれでセキュリティトランザクションを追跡するステップと、
追跡されたセキュリティトランザクションに基づいてポリシーリポジトリを更新するステップと、
を備えることを特徴とする方法。
【請求項８】
前記配信するステップでは、前記ポリシーリポジトリは、データウェアハウス、データベース及び電子ファイルのうちの少なくとも１つである、
請求項７記載の方法。
【請求項９】
前記配信するステップでは、前記１以上のセキュリティイネーブル装置は、ファイアウォール、ルータ、スイッチ、ネットワークブリッジ、ゲートウェイ、ネットワークハブ、クライアント、周辺装置、セキュリティリソース、侵入検出システム及びサーバのうちの少なくとも１つを含む、
請求項７記載の方法。
【請求項１０】
前記追跡するステップでは、１以上の自動化されたアプリケーションは、セキュリティ侵害が１以上のセキュリティイネーブル装置で生じたときを検出し、前記セキュリティ侵害についてセキュリティ情報を取得する、
請求項７記載の方法。
【請求項１１】
前記更新するステップでは、前記記録されたトランザクションは、ポリシーリポジトリに更新される前に、正規化されたデータフォーマットに変換される、
請求項７記載の方法。
【請求項１２】
ネットワークの１以上のセキュリティポリシーを有するポリシーリポジトリと、
前記ポリシーリポジトリから供給される１以上のセキュリティポリシーを実施するためのセキュリティイネーブル装置と、
前記セキュリティイネーブル装置でのセキュリティトランザクションをモニタし、前記セキュリティトランザクションに基づいてセキュリティ情報で前記ポリシーリポジトリを更新するためのフィードバックアプリケーションと、
を備えることを特徴とするシステム。
【請求項１３】
前記ポリシーリポジトリから実施のためのセキュリティイネーブル装置に１以上のセキュリティポリシーを送出するため、１以上のポリシーデシジョンポイントトランスレータを更に備える、
請求項１２記載のシステム。
【請求項１４】
前記１以上のポリシーデシジョンポイントトランスレータは、中間的なデータフォーマットで前記ポリシーリポジトリから１以上のセキュリティポリシーを検索し、前記１以上のセキュリティポリシーを実施のためのセキュリティイネーブル装置により使用される所望のデータフォーマットに変換するためにトランスレータアプリケーションを使用する、
請求項１３記載のシステム。
【請求項１５】
前記ポリシーリポジトリは、特定のスキーマに基づいてポリシーリポジトリとして論理的に構築されるデータストアの集合である、
請求項１２記載のシステム。
【請求項１６】
前記ポリシーリポジトリは、ポリシーリポジトリから離れている、
請求項１２記載のシステム。
【請求項１７】
フィードバックアプリケーションは、ネットワークのセキュリティイベントを監視するためにセキュリティイネーブル装置のセキュリティプロトコルを利用する、
請求項１２記載のシステム。
【請求項１８】
前記フィードバックアプリケーションは、前記セキュリティ情報で前記ポリシーリポジトリを更新する前に、前記セキュリティ情報を前記ポリシーリポジトリにより使用されるデータフォーマットに正規化する、
請求項１２記載のシステム。
【請求項１９】
関連される命令を有するマシンアクセス可能な媒体を有する製品であって、前記命令は、実行されたときに、ネットワーク内のセキュリティポリシーのための管理を提供し、
前記マシンは、
ネットワークを通してポリシーリポジトリから１以上のセキュリティイネーブル装置にセキュリティポリシーを送出するステップと、
１以上のセキュリティイネーブル装置により、前記セキュリティポリシーを実施するステップと、
管理されたネットワークで生じるセキュリティイベントをモニタするステップと、
前記セキュリティイベントに関連するセキュリティ情報を正規化するステップと、
正規化されたセキュリティ情報でポリシーリポジトリを更新するステップと、
を実行する少なくとも１つのコンポーネントを備える、
ことを特徴とする製品。
【請求項２０】
多数のセキュリティポリシーを調整するために更新された正規化されたセキュリティ情報の少なくとも１部を動的に使用するための命令を更に備える、
請求項１９記載の製品。
【請求項２１】
更新された正規化されたセキュリティ情報の少なくとも１部に基づいて実行するための多数のセキュリティに関連するアプリケーションをポリシーリポジトリから動的にトリガするための命令を更に備える、
請求項２０記載の製品。
【請求項２２】
前記送出するステップでは、前記ポリシーリポジトリは、セキュリティ承認及び編集アプリケーションと連動する、
請求項１９記載の製品。
【請求項２３】
前記モニタするステップでは、セキュリティイネーブル装置により使用される固有のセキュリティプロトコル及びコマンドは、管理されるネットワークで生じるセキュリティイベントと関連されるセキュリティ情報を取得するために使用される、
請求項１９記載の製品。
【請求項２４】
前記正規化するステップでは、セキュリティ情報は、固有のデータフォーマットからポリシーリポジトリにより使用される中間的なデータフォーマットに変換される、
請求項１９記載の製品。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、自動化されたセキュリティ管理に関し、より詳細には、セキュリティポリシーのための自動化された管理の提供に関する。
【背景技術】
【０００２】
管理ネットワークは成長し続ける。セキュリティポリシーの管理は、成長する関心事となってきている。一般に、組織のネットワークは、ルータ、スイッチ、ファイアウォール、ゲートウェイ、ハブ、ネットワークブリッジ、クライアント、周辺機器、サーバ等のような複数のセキュリティイネーブル装置を含んでいる。様々なアプリケーションは、利用可能なネットワーク装置のそれぞれに関してセキュリティイネーブルにすることもできる。ネットワーク管理技術は、ネットワークを効率的かつ安全に管理するため、これらの装置又はアプリケーションのためにセキュリティポリシーを使用する。
【０００３】
たとえば、オペレーティングシステム（ＯＳ）アプリケーションは、ユーザパスワードが長さで少なくとも６文字必要とされるセキュリティポリシーを含んでいる場合がある。おそらくＯＳ又は別のネットワーク装置内で実行する別のアプリケーションは、少なくとも８文字を有するパスワードを必要とするユーザパスワードのセキュリティポリシーを含んでいる場合がある。勿論、セキュリティポリシーは、特定のネットワークトラフィックを定義された装置上の定義されたポートに移すポリシー、（たとえば、ＰＫＩ（Public  Key  Infrastructure）技術等）暗号化を必要とするポリシー、定義されたアプリケーション／エンドユーザへのアクセスを制限するポリシー、及び他のポリシーのような、より一般的かつより包括的にネットワークにわたり適用することができる。
【０００４】
今日の典型的な企業環境では、ネットワークインフラストラクチャ及びコンピュータリソースのためのセキュリティ制御は、多くの相互のタスクから主に構成されており、ネットワークセキュリティ制御及びコンフィギュレーションのためのそれぞれのタスクは、ネットワーク管理者により様々なベンダのプロプライエタリメカニズム及びポリシーランゲージを理解することを典型的に含む面倒なプロセスであって、このネットワーク管理者は、次いで、企業のセキュリティポリシーをこれらのプロプライエタリメカニズムに手動でマッピングする。さらに、ポリシーは、企業のネットワークにより直面されない侵入、攻撃及び脅威にシステム的にリンクしていない。この技術は、応答時間を致命的に増加し、分散される攻撃及び脅威の環境に連続して適合するために企業ネットワークの効率を低減し、企業全体のネットワークについて攻撃に対する最適な対策を設計するために潜在的に相関付けされる時間的に感度の高いデータの損失を引き起こす。
【発明の開示】
【発明が解決しようとする課題】
【０００５】
今日の標準的なポリシーベースのネットワークマネージメントアーキテクチャは、ネットワークを環境の変化に対して適応的にすることができるフィードバックメカニズムを含んでいない。したがって、先に記載された、ポリシーベースのネットワークマネージメントアーキテクチャに大部分が基づいている既存のセキュリティポリシーマネージメントアーキテクチャは、動的なセキュリティポリシーフィードバックを提供する能力を有さず、かついずれか捕捉されたセキュリティの侵入及び／又は脅威の情報に基づいた適応的なポリシーの更新をなさない。さらに、同じ又は関連するセキュリティポリシーが適用されるネットワーク装置間では、情報の共有がないか、非常に制限された情報の共有となる。さらに、対応する知的なポリシーの配置を容易にするため、異質のソースからの（入力及びフィードバックの両者の）データの相関を提供する、集約化されたビュー及びポリシーエンジンを提供するマネージメントアーキテクチャがない。
【０００６】
したがって、ネットワーク内での改善されたセキュリティポリシー管理が必要とされている。これらの実現及び技術は、異質の企業ネットワークにわたり共通のセキュリティポリシーの仕様を可能にし、ネットワークセキュリティポリシーを動的かつ適応的に管理するために使用することができるフィードバックを動的に提供することができる。
【課題を解決するための手段】
【０００７】
セキュリティポリシーを管理するための新たな方法、装置及びシステムが記載される。以下の詳細な記載の実施の形態では、添付図面が参照され、この添付図面は、実施の形態の一部を形成するものであり、実施される場合がある本発明の特定の実施の形態が例示により示されており、限定するものではない。これらの実施の形態は、当業者のうちの一人が本発明を理解及び実現するのを可能にするために、十分に詳細に記載される。他の実施の形態が利用される場合もあり、この開示の精神及び範囲から逸脱することなしに、構造的、論理的及び電気的な変形が行われる場合がある。以下の詳細な記載は、したがって、限定的な意味で解釈されるものではなく、本発明の実施の形態の範囲は、特許請求の範囲によってのみ定義される。
【０００８】
セキュリティイネーブル装置（security-enabled  device）は、ネットワークと通信する処理装置又は周辺装置である。さらに、セキュリティイネーブル装置は、幾つかの例では、セキュリティイネーブル装置が論理的なデバイスを表現するアプリケーションソフトウェアとすることができるので、物理的な装置である必要はない。したがって、本発明の様々な実施の形態の目的で、セキュリティイネーブル装置は、物理的なネットワーク装置及び論理的な（たとえば、アプリケーション）ネットワーク装置を含んでいる。
【０００９】
セキュリティポリシーは、ネットワークの１以上のセキュリティイネーブル装置に実施されるべきセキュリティプロセス、リミテーション、及び／又はロジックを定義する。セキュリティは、様々なデータフォーマットで表現することができ、これらのデータフォーマットの幾つかは、多数のセキュリティイネーブル装置により直接に消費又は実行することができる。幾つかの実施の形態では、セキュリティポリシーは、解釈上のプログラミング言語で書かれたスクリプトであって（たとえば、コンパイル及びスタティックリンクなしで実行できるもの）、セキュリティイネーブル装置でセキュリティ制限を実施するため、セキュリティイネーブル装置により実行される。他の実施の形態では、セキュリティポリシーは、セキュリティイネーブル装置でのアプリケーションの処理のための既存のセキュリティロジックを駆動する入力ファイルとして分析することができる。更なる実施の形態では、セキュリティポリシーは、セキュリティイネーブル装置でのセキュリティアプリケーションの処理のための入力パラメータ値である。さらに、セキュリティポリシーのデータフォーマットは、それぞれのセキュリティイネーブル装置により要求されるフォーマットでそれぞれのセキュリティイネーブル装置に提供することができる。
【００１０】
セキュリティポリシーは、ポリシーリポジトリに集約的に記憶され、管理され、ポリシーデシジョンポイントからディストリビュート（配信）される。リポジトリは、１つのデータベース、データウェアハウスを含むデータベースの集合、電子ファイル、コンピュータアクセス可能な媒体における他の記憶ロケーションとすることができる。リポジトリは、リポジトリにおけるセキュリティポリシーが問い合わせ及び更新されるのを許容する１以上の既存又はカスタム開発されたインタフェース言語（たとえば、ＳＱＬ（Structured  Query  language）、ＬＤＡＰ（Lightweight  Directory  Access  Protocol）、及びその他）を含んでいる。さらに、１以上のインタフェースアプリケーションは、手動の問合せ及び更新をポリシーリポジトリに自動的に提供するインタフェース言語で開発することができる。
【００１１】
本発明の１実施の形態では、セキュリティポリシーは、固有なＸＭＬ（Extensible  Markup  Language）フォーマットでリレーショナルデータベースに記憶されている。ポリシーリポジトリにアクセスするためのインタフェース言語はＳＱＬであって、ＳＱＬで書かれた１以上のカスタムサーチ及びエディットアプリケーションは、所望のセキュリティポリシーがポリシーリポジトリ内で検索及び修正されるのを許容する。これらカスタムサーチ及びエディットアプリケーションは、自己実行型アプリケーションであるか、又はセキュリティポリシーを管理又は監視するエンドユーザとインタフェースするアプリケーションとすることができる。
【００１２】
はじめに、ポリシーリポジトリは、組織の書かれたセキュリティポリシーを、ポリシーリポジトリ内のポリシーを表現又は固有に識別する正式な電子表現に変換することでポピュレートされる。幾つかの実施の形態では、組織のネットワークのネットワークセキュリティ管理者の支援でデータベース又はリポジトリ管理者により、この変換が実行される。１つの書かれたポリシーは、ポリシーリポジトリ内で正式な表現に変換されたとき、様々な個別のサブポリシーに変換される場合がある。
【００１３】
１実施の形態では、ポリシーリポジトリ内のセキュリティポリシーのはじめの正式な表現のデータフォーマットは、中間的なデータ言語フォーマットで実施される（たとえば、ＸＭＬ及びその他）。さらに、様々なポリシートランスレータは、特定のセキュリティポリシーの中間のデータ言語フォーマットを特定のセキュリティイネーブル装置により消費することができるデータフォーマットにするために個別に開発することができる。
【００１４】
このように、セキュリティポリシーは、幾つかの実施の形態では、ポリシーリポジトリ内に単数で記憶され、表現されるが、様々なセキュリティイネーブル装置により必要とされる様々なデータフォーマットにレンダリングすることができる。１実施の形態では、ポリシートランスレータは、個々のセキュリティイネーブル装置により必要とされる特定のデータフォーマットにポリシーリポジトリにおけるＸＭＬとして表現されるセキュリティポリシーをレンダリングするため、１以上のＸＳＬ（Extensible  Style  Sheets）を使用する、ＸＳＬＴ（Extensible  Style  Sheet  Language  Transformation）アプリケーションとして実現される。様々なプログラミング言語及び技術は、セキュリティポリシーの中間的なデータフォーマットから特定のセキュリティイネーブル装置により要求される特定のデータフォーマットへの変換を提供するために使用することができる。全てのかかる実現は、本発明の実施の形態により包含されることが意図されている。
【発明を実施するための最良の形態】
【００１５】
図１は、本発明の１実施の形態に係る、セキュリティ管理システム１００を例示するブロック図である。セキュリティ管理システム１００は、ネットワーク化された環境でコンピュータ読取り可能な媒体で実施される。セキュリティ管理システム１００は、ポリシーリポジトリ１１０、ポリシーデシジョンポイント（ＰＤＰ）１１２、ポリシーエンフォースメントポイント（ＰＥＰ）１１３、及びポリシーフィードバックポイント（ＰＦＰ）１２０を含んでいる。
【００１６】
ポリシーリポジトリ１１０は、セキュリティポリシーを収容している。さらに、ポリシーリポジトリ１１０は、ポリシーデータインタフェースを通してポリシーコンソール１１１及びＰＤＰ１１２とインタフェースする。これにより、管理者は、ポリシーリポジトリ１１０におけるポリシーを問合せ、ビュー、及び修正することが可能である。
【００１７】
ＰＤＰ１１２は、１以上のＰＥＰ１１３にセキュリティポリシーを送出（push）する。ＰＥＰ１１３は、セキュリティネットワークに参加するセキュリティイネーブル装置インタフェースである。したがって、ＰＥＰ１１３は、アプリケーションであるか、サーバ、ファイアウォール、ルータのような装置であるか、又はネットワークにわたりアクセス可能な他のコンピュータ装置である。ＰＤＰ１１２は、イネーブルにされ、ＰＥＰ１１３上で実施されることになるセキュリティポリシーを伝達するため、トランスポートプロトコルインタフェース及びデータフォーマット（たとえば、ＣＯＰＳ（Common  Open  Policy  Service  Protocol）、ＳＮＭＰ、ＳＳＨ（Secure  Socket  Shell）／Ｔｅｌｎｅｔ、他のＣＬＩ）を使用してＰＥＰ１１３とインタフェースすることができる。
【００１８】
ＰＦＰ１２０は、ネットワークセキュリティポリシーを脅威の環境と動的にリンクするために設計されるフィードバックポイントであり、これにより、管理されるネットワークが適応的となり、より復元力のあるものとすることができる。ＰＦＰ１２０は、全てＰＥＰ自身である、侵入検出システム（ＩＤＳ：Intrusion  Detection  Systems）、脆弱性のあるスキャナ等から得られる統合化されたフィードバック情報を含んでいる。ＰＦＰは、ネットワークで使用される特定のセキュリティイネーブル装置とインタフェースするために設計されるモジュールを含むことができる。したがって、ＰＦＰの部分は、ＩＤＭＥＦ、ＳＮＭＰ、若しくは他のＣＬＩ又はネットワーク内のセキュリティイネーブル装置により要求されるプロトコルで通信することができる。
【００１９】
ＰＦＰ１２０は、取得されたセキュリティの脅威の情報を正規化し（normalize）、この情報をＰＤＰ１１２に伝達し、次いで、ＰＤＰ１１２は、ポリシーリポジトリにおけるセキュリティポリシーレコードのために使用されるポリシースキームにより指示される要件に従って正規化された情報を変換し、ポリシーデータインタフェースを通してポリシーリポジトリを更新し、ポリシーコンソール１１１に対して更新を利用可能にする。幾つかの実施の形態では、ポリシーリポジトリ１１０への更新された変化は、ＰＤＰ１１２に自動的に伝達されるか、ＰＤＰ１１２により発見され、予め定義された条件及び閾値に基づいて分析が実行される。他の実施の形態では、ＰＥＰへの更新されたポリシーをプッシュする前に人間の介入が必要ではない場合、分析は、ポリシーリポジトリ１１０に含まれ、１以上のＰＥＰ１１３にＰＤＰ１１２により自動的に送出される多数のセキュリティポリシーへの動的かつ適応的な変化を生じることになる。他の実施の形態では、ＰＤＰ１１２により検出された示唆となるポリシーの変化又はイベントに関して、適切な要員に警告又は通知が送出される。
【００２０】
セキュリティ管理システム１００におけるＰＦＰ１２０のフィードバックループは、動的かつ適応的なセキュリティポリシーの管理を可能にする。従来のセキュリティ管理システムは、動的かつ適応的なフィードバックループがなく、したがって、ネットワークが攻撃されていること、又は脆弱性かつ侵入者又は攻撃を受けやすいことを示すイベント及びデータに基づいたポリシーを更新することでネットワークをタイムリーにプロテクトすることができない。
【００２１】
たとえば、ＳＱＬのＳｌａｍｍｅｒのようなネットワーク侵入がＩＤＳ（ＰＥＰの１つ）により検出されたとき、かかる侵入がＰＦＰにより収集されてＰＤＰに送出され、ＰＤＰは、かかるフィードバックの受信に応じて、問題のあるアプリケーション又はリソースへのポートアクセスを時間的に拒否するため、全てのセキュリティイネーブル装置に変更されたポリシーを発生する。したがって、本発明の実施の形態のポリシー管理技術は適応的であり、ネットワーク内の変化する状況に基づいて動的に調節することができる。
【００２２】
先に記載された説明を通して、セキュリティポリシーを良好に管理するためのセキュリティアーキテクチャにより、改善された方法１００をどのように使用することができるかを理解することがきる。セキュリティポリシーは、複数の個別のセキュリティイネーブル装置で適応的かつ動的に変化、変換、監視、及び実施することができる。他方で、伝統的なアプローチは、生じる異なる問題に対処するための様々なプロプライエタリツール及び専門スタッフを使用して、セキュリティポリシーの代替の変更のための手動的な介入に依存する。伝統的なアプローチは、ネットワークにより直面する脅威又は脆弱性をタイムリーに検出するため、セキュリティイネーブル装置により生じているトランジェントデータ又はイベントを時間感度の高い方式で捕捉することができる動的なフィードバックが欠けている。より動的かつ適応的なセキュリティ管理技術を自動化又は生成することで、本発明の実施の形態は、組織的なセキュリティイネーブル装置及びセキュリティポリシーをタイムリーかつ効率的に訂正及び管理することができる。
【００２３】
図２は、本発明の１実施の形態にかかる、セキュリティポリシーを管理するための別の方法２００のフローチャートを例示している。本方法２００は、コンピュータアクセス可能な媒体を介してアクセス可能であり、複数の処理装置にわたり分散することができるか、ネットワークを通してアクセス可能な１つの処理装置で集約することができる。本方法２００は、ソフトウェア及び／又はファームウェアを使用して実現することができる。セキュリティイネーブル装置は、限定されるものではないが、ルータ、ネットワークハブ、ネットワークブリッジ、スイッチ、ゲートウェイ、クライアント、サーバ、スタンドアロンインテリジェント機器、コンピュータ周辺装置等のような、セキュリティポリシーを実施可能な処理装置とすることができる。セキュリティイネーブル装置は、ネットワークにわたりインタフェースされ、ネットワークは、有線、無線、又は有線と無線の組み合わせとすることができる。
【００２４】
セキュリティポリシーは、ポリシーリポジトリに集約的に記憶される。セキュリティポリシーのデータフォーマットは、ネットワークのセキュリティイネーブル装置のそれぞれで消費及び実施することができるフォーマットに変換される中間的なフォーマットである。１実施の形態では、中間的なフォーマットはＸＭＬであって、ポリシーリポジトリは、ＳＱＬ又はＬＤＡＰで書かれたアプリケーションを使用してアクセスが達成されるデータベース又はディレクトリである。セキュリティポリシーは、セキュリティイネーブル装置にあるセキュリティを実施するアプリケーションにより消費されるスクリプト、パラメータ、又はファイルである。
【００２５】
１以上のポリシーデシジョントランスレータは、セキュリティポリシーを取得、及びネットワークを通して適切なセキュリティイネーブル装置に配信又は送出するために、ポリシーリポジトリと対話する。ポリシーデシジョントランスレータは、セキュリティポリシーの中間的なデータフォーマットをセキュリティイネーブル装置のそれぞれにより使用することができる要求されるデータフォーマットに変換するロジックを含んでいる。したがって、ステップ２１０で、セキュリティポリシーは、ポリシーリポジトリからセキュリティイネーブル装置に実施のために配信又はプッシュされる。
【００２６】
ひとたび、セキュリティイネーブル装置が使用可能なデータフォーマットでセキュリティポリシーを有すると、ステップ２２０で、セキュリティポリシーは、セキュリティイネーブル装置で動的に設けられて実施される。幾つかのＰＥＰは、セキュリティ監査を監視又は捕捉し、ネットワークで生じる様々なセキュリティイベントに関連するイベントを報告又は生じる。さらに、これらのＰＥＰは、ＣＬＩ、アプリケーションプログラミングインタフェース（ＡＰＩ）、又は、異なるタイプのセキュリティログ情報又は通知されたセキュリティイベントが要求に応じて捕捉及び提供されるのを可能にする専用プロトコルを含んでいる。たとえば、セキュリティイネーブル装置のアプリケーションのなかにはＩＤＭＥＦをサポートするものがあり、他方には、ＳＮＭＰをサポートする場合がある。勿論、様々な他のコマンド及びインタフェースは、セキュリティイネーブル装置のアプリケーションにより使用することもできる。全てのかかる種々のコマンド、インタフェース、及びプロトコルは、本発明の実施の形態により含まれることが意図されている。
【００２７】
集約化されたポリシーフィードバックアプリケーション又はポリシーフィードバックポイント（ＰＦＰ）モジュールは、ステップ２３０で、セキュリティの脅威に関する情報又はイベント情報をモニタ及び追跡する。ＰＦＰの異なるコンポーネントは、ＣＬＩ、ＡＰＩ、及び又は専用のセキュリティイネーブル装置のアプリケーションにより認識されるプロトコルと通信するために設計される。また、ＰＦＰは、様々なセキュリティイネーブル装置から得られるセキュリティログ情報又はイベント情報を収集及び処理することができる。セキュリティログ情報又はイベント情報は、次いで２４０で、ＰＦＰによりＰＤＰにより認識又は必要とされるデータフォーマットに正規化又は変換される。ひとたび、セキュリティログ情報又はイベント情報が正規化され、処理されると、ステップ２５０でポリシーリポジトリに更新される。
【００２８】
正規化されるフィードバック情報は、ポリシーリポジトリ内の適切に影響されるセキュリティポリシーとリンク又は関連される。これは、どのセキュリティポリシーがどのセキュリティイネーブル装置で処理しているかに関する情報を有するポリシーフィードバックアプリケーションにより達成することができる。代替的に、セキュリティポリシーは、セキュリティイネーブル装置の識別子でポリシーリポジトリを問合せすることでＰＦＰにより識別することができる。更に他の例では、セキュリティログ情報は、セキュリティポリシー識別子を含むことができる。ＰＦＰについて、取得されたセキュリティログ情報又はイベント情報の部分をポリシーリポジトリにおける適切に作用されるセキュリティポリシーと適切にリンクするための様々な技術が存在する。
【００２９】
ＰＤＰには、セキュリティポリシーレコードがセキュリティログ情報又はイベント情報で更新されるときのように、トリガ又はイベントアプリケーションを設けることができ、多数の専門のポリシーデシジョントランスレータは、自動的に実行される。他の実施の形態では、多数のポリシーデシジョントランスレータは、ポリシーリポジトリ内でのセキュリティポリシーレコードに更新されるセキュリティログ情報又はイベント情報を調査するため、機器構成可能な時間インターバルで連続的に処理するために構成される。
【００３０】
専用のポリシーデシジョントランスレータは、セキュリティフィードバック情報を評価し、検出された定義された閾値又はイベントに基づいてアクションを取るために設計及び構成される。幾つかのケースでは、ポリシーデシジョントランスレータは、ポリシーリポジトリ内でセキュリティポリシーを変更又は時間的に変化し、影響を受けたセキュリティイネーブル装置に動的に変化を送出する。このように、ポリシーデシジョントランスレータは、ステップ２５２に示されるように、適応的かつ動的なセキュリティポリシーの変化を有効にすることができる。他の実施の形態では、ステップ２５４に示されるように、ポリシーデシジョントランスレータは、動的かつ自動的に、警報を送出し、ポリシーリポジトリから実行するための多数の他のアプリケーションをトリガすることができる。ポリシーの変化が行われるとき、及び／又はポリシーの変化が行われないときに警報を送出することができるが、ネットワークセキュリティ管理者のような適切なエンドユーザに通知することが必要と思われる。なお更なる実施の形態では、専用のポリシーデシジョントランスレータは、適切なエンドユーザに送出される警報における有益な情報又は示唆に富んだポリシー変化の情報を含むことができる。
【００３１】
したがって、ポリシーデシジョントランスレータは、ポリシーリポジトリから、セキュリティポリシーをセキュリティイネーブル装置の特定のデータフォーマットにレンダリングするために使用することができ、ポリシーリポジトリ内の特定のセキュリティポリシーと関連する更新されたセキュリティログ情報又はイベント情報を評価するために使用することができる。評価は、ポリシーデシジョントランスレータ、ダイナミックセキュリティポリシー変化、及び／又は警報に含まれる有益又は示唆に富んだ情報と送出される警報によるアクションを引き起こさない。さらに、幾つかの例では、更なる専用のアプリケーションは、セキュリティログ情報又はイベント情報の評価に基づいてポリシーデシジョントランスレータによりトリガされ、自動的に処理することができる。
【００３２】
評価は、セキュリティイネーブル装置で生じるセキュリティ侵害（violation）、侵入（intrusion）、セキュリティの脅威（threat）、セキュリティの脆弱性（vulnerability）、異常な状態又はトラフィック、若しくは、評価することが望まれる他のイベント又は状況を含んでいる。評価は、セキュリティイネーブル装置で報告及び捕捉されるセキュリティログ情報又はイベントに含まれる利用可能な情報によってのみ制限される。したがって、専用のポリシーデシジョントランスレータは、所望のレベルのセキュリティマネージメントを達成するための知識、経験及び要件に従う設計及び実現することができる。
【００３３】
さらに、幾つかの実施の形態では、ポリシーリポジトリは、ポリシーデシジョントランスレータにより自動的に処理することができ、ネットワークセキュリティ管理者のようなエンドユーザにより手動的に使用することができる多数のポリシー承認及び編集（policy  authoring  and  editing）アプリケーションを含んでいる。したがって、ネットワークのセキュリティポリシーは、本発明の実施の形態の様々な教示により、集約的に管理、分散、変更及びモニタすることができる。これらの教示は、ネットワークセキュリティポリシーを管理するために現在使用される手動的に集約的かつアドホック技術を軽減する。このように、本発明の実施の形態によれば、ネットワークセキュリティのより適応的、動的及び効果的な管理を達成することができる。さらに、セキュリティポリシー及びトランザクション情報は、ネットワークを安全にするために手動的な介入なしに適応的な変化をもたらす動的なフィードバックを提供するために使用される。
【００３４】
図３は、本発明の１実施の形態に係る、セキュリティポリシーを管理するための別の方法３００に関するフローチャートである。本方法３００は、コンピュータネットワーク環境で様々なコンピュータアクセス可能な媒体内で実現される。ネットワークは、ポリシーエンフォースメントポイント（ＰＥＰ）と呼ばれる多数の物理的又は論理的な装置を含んでいる。ＰＥＰは、周辺装置、処理装置等のような、セキュリティトランザクションを実施及び追跡可能な装置である。さらに、ポリシーリポジトリは、ネットワークＰＥＰで生じているセキュリティトランザクション、及び様々なＰＥＰでネットワークを通して管理されるセキュリティポリシーに関する情報を含んでいる。
【００３５】
ポリシーデシジョンポイント（ＰＤＰ）アプリケーション又はモジュールは、ポリシーリポジトリで動的にセキュリティポリシーが変化又は変更されるとき、ネットワークの初期化、又はネットワークの管理及び動作の間、ステップ３１０で影響を受けたＰＥＰにポリシーリポジトリからセキュリティポリシーを送出する。
【００３６】
ネットワークの動作の間、セキュリティポリシーは、ＰＥＰで生じているセキュリティトランザクションを報告及び追跡するため動的に実施及び動作する。したがって、ステップ３２０で、幾つかの実施の形態では、侵入検出システム（IDS:  Intrusion  Detection  System）は、ＰＥＰのうちの１つの承認されていない侵入又は他のネットワークの脆弱性を検出する。ステップ３３０では、ポリシーフィードバックポイント（ＰＦＰ）は、ＩＤＳからのセキュリティトランザクションデータを受け、受信されたデータの優先度を設定する。つぎに、ステップ３４０では、ＰＤＰは、ポリシーデータインタフェースを通して、又は新たなセキュリティトランザクションデータでポリシーリポジトリを更新することを通して間接的に、ＰＦＰからのフィードバックデータを受信する。
【００３７】
ステップ３５０で、ポリシーエンジンは、セキュリティトランザクションデータ及びその設定の優先度に基づいてポリシーリポジトリへの必要とされるポリシーのアップデートを生成する。ポリシー変化は、ネットワーク及び／又はＰＥＰでの侵入又は他のアタックに動的に対抗するため、ネットワークと適応的かつ動的に行うことができる。これに応じて、ポリシーの変化が適応的に行われるとき、次いで、ステップ３５２で、ポリシーリポジトリは、自動的に更新される。
【００３８】
ステップ３６０では、ポリシーの変化がＰＤＰの一部に関する自動的なアクションを必要とするかを判定するためにチェックが行われ、動的なポリシーの変化が行われた場合、自動的なアクションが必要とされ、次いで、ステップ３６２で、新たなポリシーの変化が適切なＰＥＰに送出され、動的にロードされ、適切なＰＥＰで実行される。ダイナミックポリシーの変化が望まれる場合、次いで、ステップ３６４で、ポリシーコンソールにおける適切なログ／ディスプレイ警告が現れ、自動的な警告をポリシー管理者に任意に送出することができる。
【００３９】
先の記載は例示的なものであって、限定するものではない。多くの他の実施の形態は、先の記載を検討することに応じて当業者にとって明らかであろう。したがって、本発明の実施の形態の範囲は、かかる請求項がタイトル付けされる等価な構成の改善な範囲に沿って、特許請求の範囲を参照して決定されるべきである。
【００４０】
要約は、技術的な開示の性質及び要旨を迅速に読者が確認するのを可能にするのを要約に要求する37  C.F.R.§1.72(b)に従って提供される。請求項の範囲又は意味を解釈又は制限するために使用されるものではないことが理解されるべきである。
【００４１】
上述された実施の形態の記載では、様々な特徴が開示の流れの目的で１つの実施の形態に互いにグループ化されている。この開示の方法は、本発明の特許請求された実施の形態がそれぞれの請求項で明示的に引用されるよりも多くの機能を要求するという意図を反映するものとして解釈されるべきではない。むしろ、請求項が反映するように、本発明の主題は、１つの開示される実施の形態の全ての機能よりも少ない。したがって、以下の請求項は、実施の形態の記載に盛り込まれ、それぞれの請求項は、個別の例示的な実施の形態としてそれ自身を意味している。
【図面の簡単な説明】
【００４２】
【図１】本発明の１実施の形態に係る、セキュリティ管理システムの図である。
【図２】本発明の１実施の形態に係る、セキュリティポリシーを管理するための方法に関するフローチャートである。
【図３】本発明の１実施の形態に係る、セキュリティポリシーを管理するための別の方法に関するフローチャートである。
【図１】
2006521598.tif 000002
【図２】
2006521598.tif 000003
【図３】
2006521598.tif 000004
【国際調査報告】
2006521598.tif 000005
2006521598.tif 000006
2006521598.tif 000007