(57)【要約】ネットワークのセキュリティシステムは、インターネットのバックボーン（１００）と加入組織に属するイントラネット（１９０）の間に配備されている。システムは悪意あるコードに対して、入来する電子メールを走査する走査システム（１３０）、およびイントラネット上のクライアントにウイルス除去コードをダウンロードするために、ウイルス除去サーバ（１５０）を含む。スイッチ（１１０）は、電子メールが走査され得るために、インターネットのバックボーンから入来する電子メールを走査システムに向けるために提供されている。ある実施例において、デコイサーバ（１６０）は、正当なサーバであるふりをし、そしてインターネットのバックボーンから受信した通信から疑わしい活動のログ収集をするためにも提供される。
2004538692.tif 000002
【特許請求の範囲】
【請求項１】
各組織に属する複数のイントラネットとインターネットのバックボーンの間に配備されたネットワークセキュリティシステムであって、
悪意あるコードのために、入来する電子メールを走査するためにイントラネットに接続された走査システムと、
イントラネットに接続されたクライアントに、ウイルス除去コードをダウンロードするために、イントラネットに接続されたウイルス除去サーバと、
インターネットのバックボーン、走査システムおよびウイルス除去サーバとの間で接続されたスイッチを含み、前記スイッチは、
インターネットのバックボーンから走査システムに、入来する電子メールを向けるよう設定されている、ネットワークセキュリティシステム。
【請求項２】
正当なサーバのふりをし、インターネットのバックボーンを介して受信した通信上に活動をログするために、イントラネットに接続されたデコイサーバをさらに含み、
スイッチはデコイサーバにさらに接続され、インターネットのバックボーンからデコイサーバに疑わしいトラフィックの方向を変えるようさらに設定されている、請求項１に記載のネットワークセキュリティシステム。
【請求項３】
各組織に属する複数のイントラネットとインターネットのバックボーンの間に配備されたネットワークセキュリティシステムであって、
悪意あるコードのために、入来する電子メールを走査するためにイントラネットに接続された走査システムと、
入来する電子メールが悪意あるコードに対して走査されるべきかどうかを判定し、入来する電子メールが悪意あるコードに対して走査されるべきであると判定されると、入来する電子メールを走査システムに向けるためのメールプロキシサーバと、
イントラネットに接続されたクライアントにウイルス除去コードをダウンロードするために、イントラネットに接続されたウイルス除去サーバと、
インターネットのバックボーン、走査システムおよびウイルス除去サーバの間で接続されたスイッチを含み、前記スイッチは、
入来する電子メールを、インターネットのバックボーンからメールプロキシサーバへ向けるよう設定されている、ネットワークセキュリティシステム。
【請求項４】
正当なサーバの振りをし、インターネットのバックボーンを介して受信した通信上に活動をログするために、イントラネットに接続されたデコイサーバをさらに含み、
スイッチはデコイサーバにさらに接続され、インターネットのバックボーンからデコイサーバに疑わしいトラフィックの方向を変えるようさらに設定されている、請求項２に記載のネットワークセキュリティシステム。
【請求項５】
各組織に属する複数のイントラネットとインターネットのバックボーンの間に配備されたネットワークセキュリティシステムであって、
悪意あるコードのために、入来する電子メールを走査するためにイントラネットに接続された複数の走査システムと、
イントラネットに接続されたクライアントに、ウイルス除去コードをダウンロードするために、イントラネットに接続された複数のウイルス除去サーバと、
インターネットのバックボーン、走査システムおよびウイルス除去サーバとの間で接続された複数のスイッチを含み、前記スイッチは、
入来する電子メールを少なくとも１つの走査システムに向けるよう設定されている、ネットワークセキュリティシステム。
【請求項６】
スイッチはさらに、
走査システムの間、およびデコイサーバの間で負荷のバランスを取るよう設定されている、請求項５に記載のネットワークセキュリティシステム。
【請求項７】
正当なサーバの振りをし、インターネットのバックボーンを介して受信した通信上に活動をログするために、イントラネットに接続された複数のデコイサーバをさらに含み、
スイッチはデコイサーバにさらに接続され、インターネットのバックボーンからデコイサーバに疑わしいトラフィックの方向を変えるようさらに設定されている、請求項５に記載のネットワークセキュリティシステム。
【請求項８】
各組織に属する複数のイントラネットとインターネットのバックボーンの間でネットワークセキュリティシステムを維持するための方法であって、
インターネットのバックボーンから入来する電子メールを、走査システムに向けるステップと、
悪意あるコードのために、入来する電子メールを走査するステップと、
イントラネットに接続されたクライアントにウイルス除去コードをダウンロードするステップを含む、方法。
【請求項９】
インターネットのバックボーンからデコイサーバに疑わしいトラフィックの方向を変えるステップと、
疑わしいトラフィックに対して正当なサーバとしてデコイサーバをシミュレートするステップと、
インターネットのバックボーンを介して受信した通信上で活動をログするステップをさらに含む、請求項８に記載の方法。
【請求項１０】
各組織に属する複数のイントラネットとインターネットのバックボーンの間でネットワークセキュリティシステムを維持するための方法であって、
インターネットのバックボーンから入来する電子メールを、複数のメールプロキシサーバに向けるステップと、
メールプロキシサーバの１つで、入来する電子メールが悪意あるコードに対して走査されるべきかを判定し、入来する電子メールが悪意あるコードに対して走査されるべきであると判定されると、電子メールを走査システムに向けるステップと、
走査システムで、悪意あるコードに対して入来する電子メールを走査するステップと、
イントラネットに接続されたクライアントに、ウイルス除去コードをダウンロードするステップを含む、方法。
【請求項１１】
メールプロキシサーバの間で負荷のバランスを取るステップをさらに含む、請求項１０に記載の方法。
【発明の詳細な説明】
【関連の出願】
【０００１】
［０１］  この出願は、２００１年７月２４日に出願された米国特許出願番号０９／９１１，５９２号（代理人事件番号０９７１０−１００７）の一部継続出願であり、ここに参照によりその内容を引用する。
【発明の分野】
【０００２】
［０２］  この発明はコンピュータのセキュリティに関し、特に、ネットワークのセキュリティアーキテクチャに関する。
【発明の背景】
【０００３】
［０３］  インターネットによって拍車をかけられた世界的なコンピュータ通信の爆発的な増加に伴って、コンピュータ犯罪およびコンピュータの破壊者に対する保護のためのオンライン組織の必要性も拡大している。例えば、データおよびネットワーク破壊事件は、１９９７年から１９９９年まで１年ごとに３５％以上増加し続けている。オンラインで犯された財政的な不正は、同期間で２５％増加している。ウイルス、ワーム、トロイの木馬および他の悪意あるコードは、企業や家庭のユーザを悩ませ続け、多くは２０００年の悪名高い「ラブバグ」ワームのように、範囲において全世界的である。戦争は、ウエブサイトおよびサーバに攻撃を行うバルカン半島や中東のような紛争地点のネットワークを利用したテロリストと共に、そして特にアメリカ合衆国と中華人民共和国のような民族国家の自認したツールとしてオンライン化されてきた。これらの事件の主流なマスコミ報道は、広まったインターネット商業の採用を妨げ、プライバシーおよびセキュリティへの関心を高めている。
【０００４】
［０４］  従って、組織はハッカーあるいはウイルスによる、インターネット上の悪意ある攻撃から組織を保護するために、ネットワークセキュリティを必要とする。実際、ネットワークセキュリティに対する市場は、急速に拡大し、２００１年の終わりには１００億ドルの予想値に到達する。不幸なことに、大抵のネットワークセキュリティへのアプローチは暫定策であり、組織ごとを基礎として実行されている。これらのアプローチはスタッフ集約的で、高価になりがちであるばかりでなく、すぐに時代遅れになり、ハッカーによって絶えず開発されている悪意ある技術よりも遅れる。結果として、スケールメリットを利用して、組織に対してネットワークセキュリティのサービスの供給を簡易にできる、拡張性のある実現可能なネットワークセキュリティのアーキテクチャに対する緊急の必要性が存在する。
【発明の要約】
【０００５】
［０５］  この発明は、拡張性のある、層になったネットワークシステムおよびアプリケーションセキュリティアーキテクチャを提供することで、これおよび他のニーズに対処する。システムおよびアーキテクチャは、疑わしいトラフィックをデコイ(decoy:おとり）サーバに転送するためのファイヤウォールと共に、サーバベースおよびクライアントベースの悪意あるコードを走査する要素の組み合わせと、企業あるいはネットワークのインフラストラクチャの至る所の相関関係を攻撃するための総合的なセキュリティ管理システムとを含む。このセキュリティアーキテクチャは、組織のイントラネットとインターネットのバックボーンの間に配備され得、各種組織間で共有され得、それによって従来のネットワークセキュリティ解決策が欠いていたスケールメリットを提供する。
【０００６】
［０６］  従って、この発明のある局面は、加入組織に属するイントラネット、およびインターネットのバックボーンの間で配備されるネットワークのセキュリティシステムに関する。サーバに基づいた要素は、悪意あるコードに対して入来する電子メールを走査する走査システムである。クライアントに基づいた要素は、イントラネット上のクライアントにウイルス除去コードをダウンロードするための、悪意あるコード探知ＦＴＰソフトウエアサーバである。スイッチは、電子メールが走査され得るために、入来する電子メールをインターネットのバックボーンから走査システムに向けるために提供される。スイッチに追加して、サービスの拒否（ＤｏＳ）あるいは配布されたＤＯＳ走査／フィルタスイッチは、これらの特殊な攻撃を妨げるために使用されてもよい。ある実施例において、デコイサーバは正当なサーバであるようなふりをし、インターネットのバックボーンから受信した通信から疑わしい活動のログ収集をするためにも提供される。
【０００７】
［０７］  この発明のさらに別の局面、特徴および利点は、この発明を実行するために考えられたベストモードを含む特定の実施例および実行例の多数を単に例示することによって、以下の詳細な説明から容易に明らかである。この発明は他のまたは異なる実施例が可能であり、その幾つかの詳細は、この発明の精神および範囲から全く離れることなく、各種自明な点で修正され得る。従って、図面および説明は現実の説明であり、制限的であるとは見なされるべきではない。
【好ましい実施例の説明】
【０００８】
［１４］  ネットワークのセキュリティに対するシステム、方法およびソフトウエアが記載されている。以下の説明において、説明の目的で、多数の特定の詳細が、この発明の完全な理解を提供するために述べられている。しかしながら、当業者には明白であるように、この発明はこれらの特定の詳細なしに、あるいは均等な配置で実行されてもよい。他の例において、公知の構造および装置は、この発明を不必要に不明瞭にするのを避けるために、ブロック図の様式で示されている。
【０００９】
［ネットワークセキュリティのアーキテクチャの概略］
［１５］  図１は、インターネットを介して外部ユーザ１０１からのウイルス、悪意あるコードおよび他の可能な攻撃の様式と戦うための、模範的なネットワークセキュリティのアーキテクチャのブロック図である。以下に非常に詳細に記載されているように、このアーキテクチャは、侵入者を処理するためのファイヤウォールの供給と同様に、抗ウイルスの防衛に対するサーバ側とクライアント側両方の要素を有する拡張性ある、多重の層になったアプローチを採用する。好ましい実施例において、冗長性のために多数のサーバを特徴付けることによって復元力が得られる。このアーキテクチャは、ネットワークで第三者の顧客ドメインを単にオンすることによって、予約申込み下で第三者によって使用されるようにも設定される。
【００１０】
［１６］  図１に例示されているアーキテクチャにおいて、一以上のフロントエンドスイッチ１１０は、インターネットのバックボーン１００に接続され、アーキテクチャの基本的なゲートキーピング機能を提供する。ある実施例において、フロントエンドスイッチ１１０はまた、請求目的で顧客のシステムとインターネットとの間の通信トラフィックを測定しかつ記録する。フロントエンドスイッチ１１０は、一以上のＣＩＳＣＯＴＭ（Ｒ）６５０９スイッチで実行されてもよく、従って、インターネットのバックボーン１１０からの通信を受信し、インターネット通信を、入来する脅威を探知し応答するために、適切なセキュリティサーバに向け、セキュリティサーバ間で負荷をバランスさせることに対して責任がある。従って、フロントエンドスイッチ１１０は、通信が顧客のシステムに経路制御されるより前に、入来する電子メールおよび他の通信を妨害するために配置される。スイッチはまた、回線速度で動作するＤｏＳ／ＤｄｏＳ走査／フィルタスイッチに直接接続される。
【００１１】
［１７］  速いＥＴＨＥＲＮＥＴＴＭ（R)ネットワークのようなローカルエリアネットワーク１２０は、フロントエンドスイッチ１１０をセキュリティサーバと接続させ、セキュリティサーバは、例えば、一以上のメールプロキシサーバ１３０、一以上のウイルス除去走査サーバ１４０、一以上のクライアントウイルス除去サーバ１５０、一以上のデコイサーバ１６０および検疫サーバ１７０を含む。フロントエンドスイッチ１１０、メールプロキシサーバ１３０、ウイルス除去走査サーバ１４０、クライアントウイルス除去サーバ１５０、およびデコイサーバ１６０は、ハブ１８０と通信しており、ハブ１８０は各顧客に属するクライアントのイントラネット１９０と通信する。
【００１２】
［１８］  各セキュリティサーバはそれに接続するコンソールを有してもよく、オペレータが対応するサーバ上で、管理および他のタスクを実行するのを許可する。例えば、図１で図解されているように、コンソール１６１は、オペレータがデコイサーバ１６０の１つで管理タスクにアクセスし実行するのを許可するように提供されている。
【００１３】
［１９］  ある実施例において、装置はネットワーク、システムおよびアプリケーション層の至る所でセキュリティイベントを相関するために、全般的なセキュリティマネージャ１９５、例えばＨＰ  ＯｐｅｎＶｉｅｗＴＭ（Ｒ）あるいはｅセキュリティの管理システムにイベントを報告するよう設定されている。さらに、システムの機能のカスタマイズ化を可能にするためのポリシルールがポリシサーバで維持されており、ポリシサーバはプロファイル管理システムに接続されたポリシデータベースにおいて、ポリシルールを守っている。プロファイル管理システムはまた、サービス許可のためにも使用されてもよい。セキュリティマネージャ１９５は、セキュリティオペレーションセンタ（図示のない）のような、別のサブネットのサーバに好ましくはインストールされ、セキュリティオペレーションセンタは、ローカルエリアネットワーク１２０をモニタし、ローカルエリアネットワーク１２０、あるいはセキュリティアドミニストレータのデスクトップのイントラネット１９０に位置するサーバから警報を受信する。
【００１４】
［ウイルス除去走査］
［２０］  この発明のある局面は、入来するウイルスおよび他の種類の悪意あるコードから、クライアントのイントラネット１９０を保護するためのサーバ側のウイルス除去配備に関する。図２を参照して、入来する電子メールはフロントエンドスイッチ１１０によって、インターネットのバックボーン１００から受信される（ステップ２０１）。この電子メールは、外部ユーザ１０１によって悪意なく、あるいは故意に添付される、あるいは例えばＨＴＭＬバグ、もしくはジャバスクリプトとしてｅメール自体の本文に埋め込まれてもよいウイルスを含んでもよいかもしれない。
【００１５】
［２１］  ステップ２０３で、フロントエンドスイッチ１１０は、入来する電子メールおよびローカルエリアネットワーク１２０上のＳＭＴＰポートで受信した他のあらゆるメッセージを、メールプロキシサーバ１３０の１つに向ける。以下の議論はありふれた一例として、入来する電子メールメッセージ全体に言及するが、この発明はそのように限定されるものではなく、ここに記載される原理はＦＴＰ、ＨＴＴＰあるいはインターネットのバックボーン１００からの他のファイル転送機構を介して入来するファイルに適応できる。ファイルに加えて、データストリーム、あるいはメールのメッセージもしくはＨＴＭＬページの実際の本文は、悪意をもって振る舞ってもよいスクリプトを含むかもしれない。
【００１６】
［２２］  ステップ２０５に応答して、メールプロキシサーバ１３０は、電子メールのメッセージおよび／または添付書類がウイルスに対して走査される必要があるかを判定するために、電子メールのメッセージを調査する。この判定はセキュリティと性能との間の適切なバランスを設定するのを許可するために、顧客あるいはサービスプロバイダによって設定されてもよいポリシに従ってなされ得る。従って、特定のポリシは実行ごとに、実際設定毎に変わってもよい。例えば、ポリシは実行可能な添付書類は全てウイルスに対して走査されるべきであると定めることができる。ポリシはまた、埋め込まれたマクロを伴う書類は全てウイルスに対して走査されるべきであると定めることもできる。実際、あるポリシは、電子メールのメッセージは全てウイルスに対して走査されるべきであると明記できる。メールプロキシサーバ１３０が、ポリシに従って、電子メールのメッセージが走査される必要があると判定すると、メールプロキシサーバ１３０はその操作のために一以上のウイルス除去走査サーバ１４０に電子メールのメッセージを送信する（ステップ２０７）。メールプロキシはまたメッセージの送信者あるいは受信者のいずれかがこのサービスの許可されたユーザであることを検証する。これは幾つかの公知の認証方法の任意のものによって成し遂げられてもよく、その一例はプロファイル管理システムに格納されたユーザのＩＤおよびパスワードの証明書の使用である。
【００１７】
［２３］  電子メールのメッセージが一以上のウイルス除去走査サーバ１４０によって受信されると、電子メールのメッセージは悪意あるコードに対して走査される（ステップ２０９）。ある実施例において、一以上のウイルス除去走査サーバ１４０上のウイルス除去走査ソフトウエアは、ウイルスの特徴のカタログを使用し、その特徴は特定のウイルスの各実例において発見されることを期待されるバイトの単純な文字列であることがよくある。通常、異なるウイルスは異なる特徴を有し、ウイルス除去走査ソフトウエアは特定のウイルスを見つけるために特徴を使用する。分布範囲を改善するために、多様なベンダからのウイルス除去走査ソフトウエアが使用されてもよく、走査は改良された実行のために各ウイルス除去走査サーバ１４０上で実行されてもよく、それはホエフルメイヤとフィリップによって に出願された「悪意あるコード探知のためのシステムおよび方法」という題の、同時係続中で、共通に譲渡された特許出願番号 （代理人事件番号０９７１０−１０１０、クライアント事件番号ＣＯＳ−００−０１７）において記載され、ここにその全体が参照のために引用される。
【００１８】
［２４］  ステップ２１１で検査されるように、電子メールのメッセージが感染していれば、ウイルス除去走査サーバ１４０は電子メールメッセージの感染された部分、例えば添付書類の修復を、ポリシによって判定されるように試みてもよい（ステップ２１３）。電子メールのメッセージ、あるいはその添付書類が修復されることができなければ（ステップ２１５で検査される）、電子メールのメッセージは、元の感染された電子メールのメッセージを検疫サーバ１７０に転送し、そして無害の電子メールメッセージを生成するために、電子メールのメッセージから感染された部分を除去することで、隔離される（ステップ２１７）。この機能はポリシによって異なってもよい。感染された電子メールのメッセージはウイルスを研究するために、例えば新たなウイルスの特徴を生成するため、あるいはウイルスに感染されたファイルを無害にするもしくは修復するための新たな方法を判定するために、検疫サーバ１７０で分析され得る。
【００１９】
［２５］  どちらの場合も、電子メールのメッセージが感染していれば、電子メールのメッセージの送信者および受取人は、ポリシによって判定されるように、ウイルス感染の探知を通知されてもよい（ステップ２１９）。この通知はウイルス感染を電子メールのメッセージの本文に説明する付加テキストによって、あるいは新たな添付書類として、もしくは新しい電子メールのメッセージを作成し、かつ、感染された電子メールのメッセージの送信者および受取人に送信することで、実行されてもよい。
【００２０】
［２６］  電子メールのメッセージがウイルス除去走査を通過する（ステップ２０９）、修復される（ステップ２１３）、あるいは隔離される（ステップ２１７）ことで無害になると、無害の電子メールのメッセージはハブ１８０および適切なイントラネット１９０を介して受取人に向けられる。従って、大規模な、回復力に富むサーバ側のウイルス除去走査アーキテクチャが記載され、そこでむしろ多様なメールプロキシサーバ１３０およびウイルス除去走査サーバ１４０が、入来する電子メールメッセージを捕らえ無害にするために配備される。悪意あるコードが探知されると、イベントはセキュリティシステムに対して生成される。
【００２１】
［クライアント側のウイルス除去配置］
［２７］  この発明の別の局面は、クライアント側のウイルス除去あるいは他のセキュリティソフトウエアの配置に関する。全ての悪意あるコードが、入来する電子メールのメッセージを介して会社のコンピュータネットワーク、あるいはファイル転送プロトコルを介してインターネットから送信された別の種類のファイルに入るわけではない。例えば、悪意あるコードはフロッピーディスクあるいはＣＤ−ＲＯＭのような持ち運び可能なコンピュータ読み出し可能媒体上で保持され、会社のコンピュータの１つに挿入されたファイルを介して、会社のコンピュータあるいは会社のイントラネットに伝送されてもよい。別の例として、入来する電子メールのメッセージ、あるいは送信されたファイルは、暗号化され、受取人が入来ファイルを解読する前に、走査されない。あるいは入来する電子メールのメッセージは、法人のメールサーバを介するよりはむしろ例えばヤフーのようなユーザ個人のメールアカウントから直接検索される。
【００２２】
［２８］  この発明のこの局面に従って、システムおよび方法は会社の各コンピュータにクライアント側のウイルス除去走査ソフトウエアをインストールするために提供される。クライアント側のウイルス除去走査ソフトウエアは、持ち運び可能なコンピュータ読み出し可能媒体上で保持され、ファイルが安全あるいは修復および／または隔離する必要があるかを判定するために局部的に解読される走査ファイルに対して責任がある。従来のシステムでは、クライアント側のウイルス除去走査ソフトウエアの多様なインストールを維持するのは困難で、スタッフの集約された力が必要で、クライアント側のウイルス除去走査ソフトウエアに対する新たな更新がクライアントのシステムに適応していないので、ウイルス除去の範囲が乏しくなることが典型的に生じた。この困難は集中したクライアント側のウイルス除去走査ソフトウエアソースを提供し、クライアントのシステムが自動的かつ定期的に最新情報をダウンロードすることで、この発明のある実施例において対処される。
【００２３】
［２９］  図３はクライアント側のウイルス除去走査ソフトウエアをインストールするある実行の操作を例示する。ステップ３０１で、クライアントのコンピュータの１台のオペレータは、ブラウザに、クライアントのウイルス除去サーバ１５０のある位置を命令する。例えばクライアント側のウイルス除去走査ソフトウエアをダウンロードするために、ウエブページのＵＲＬ（ユニフォームリソースロケータ）をタイプする。応じて、ウエブページはクライアントのブラウザで表示され、オペレータはインストールを開始するために動作（ボタンをクリックする、あるいはリターンキーを押すような）を実行する。
【００２４】
［３０］  ステップ３０３で、インストール要求はブラウザからクライアントのウイルス除去サーバ１５０によって受信される。応じて、クライアントのウイルス除去サーバ１５０は、加入クライアントのネットワークアドレスのリストでブラウザのネットワークアドレスを検査する（ステップ３０５）。ブラウザのネットワークアドレスが加入クライアントのネットワークアドレスのリストに一致しなければ、要求は拒否され（ステップ３１５）、それによって非加入者に対してこのシステムの使用を拒否する。代わりに、クライアント側のウイルス除去走査ソフトウエアをダウンロードするための許可は、パスワード、公開鍵、あるいは他の認証形式、例えばワイヤレス電話の加入者識別モジュール（ＳＩＭ）を介して制御されることが可能で、それらは全てプロファイル管理システムに格納されてもよい。
【００２５】
［３１］  他方、ブラウザのネットワークアドレスが加入クライアントのネットワークアドレスのリストに確かに一致すれば、実行はステップ３０７に進み、そこでクライアントウイルス除去サーバ１５０はファイル転送セッションをクライアントのコンピュータに対して開く。ステップ３０９で、クライアント側のウイルス除去走査ソフトウエアは、更新されたウイルス特性のデータベースのようなあらゆる必要なデータと共に、クライアントのコンピュータにダウンロードされる。このインストール処理の間、クライアント側のウイルス除去走査ソフトウエアはまた、ステップ３１１で、定期的にウイルス除去走査ソフトウエアおよびデータの更新を引き出すように設定される。多数のクライアントが最新情報をダウンロードするための負荷を分配するために、無作為化機能は例えば午後１０時から午前６時の間の８時間の間、各更新時間を設定するために使用されてもよい。従って、クライアント側のウイルス除去走査ソフトウエアおよびデータの自動更新は、この期間を通して一様に分配され、全体としてより拡張性があり、回復力に富むシステムにする。
【００２６】
［３２］  クライアントのコンピュータシステムがクライアント側のウイルス除去走査ソフトウエアの最新の更新を有することを確実にするために、クライアントのウイルス除去サーバ１５０はクライアント側のウイルス除去走査ソフトウエアのベンダから最新の更新を定期的に（例えばＵＮＩＸＴＭ（R)のクロンテーブルに入力することで）引き出すよう設定されている（ステップ３１３）。従って、大規模で広範囲なクライアント側のウイルス除去走査システムが記載され、そこでクライアント側のウイルス除去走査ソフトウエアをインストールするための共通のインターフェイスがクライアントの各コンピュータに対して呈され、コンピュータを定期的にクライアント側のウイルス除去走査ソフトウエアおよびデータに対して、最新の更新を自動的に引き出すよう設定する。結果として、従来の、スタッフに集約的なアプローチは軽減される。
【００２７】
［デコイサーバ］
［３３］  コンピュータウイルスは、電子メールあるいは持ち運び可能なコンピュータ読み出し可能媒体を介してのいずれによって通信されようと、コンピュータネットワークに対して単にセキュリティの脅威であるだけではない。例えば、ハッカーはネットワーク上のコンピュータシステムに何とかしてダメージを与えるために、テルネット(Telnet)接続あるいはトロイの木馬のサブセブンの使用のような、有効な手段を使用できた。従って、この発明のある実施例は、侵入者がデコイ環境に転送され、そこで侵入者の活動がモニタされ、制御され、そして抑制されるように、侵入の探知を提供する。
【００２８】
［３４］  図４はこの発明の実施例に従って、侵入探知のためのある実行の操作を図解するフローチャートである。ステップ４０１で、フロントエンドスイッチ１１０は、インターネットのバックボーン１００を介して外部ユーザ１０１から通信を受信した。これらの通信は各種様式を採ることが可能で、例えばテルネットセッション、ピングおよびイントラネット１９０でコンピュータの任意のＩＰポートに送信されるパケットを含んでもよい。
【００２９】
［３５］  ステップ４０３で、フロントエンドスイッチ１１０は、通信ソースがイントラネット１９０にトラフィックを送信することが許可されるかどうかを判定する。各種アプローチがこの判定を行うために使用され得る。例えば、フロントエンドスイッチ１１０は、周知の、以前に識別された脅威のドメインのリストを維持してもよい。この例において、識別された脅威のドメインから開始する全てのトラフィックは、疑わしいというレッテルを貼られる。別の例において、疑わしいあらゆるドメイン（これもリストに維持されている）から開始するトラフィックは、疑わしいと考えられる。さらに別の例において、特定の許可されないＩＰアドレスからのあらゆるトラフィックは、疑わしいと見なされる。入来する通信が、顧客のイントラネット１９０上の任意のアプリケーションによって使用されないポートを使用すれば、入来する通信は疑わしいとしてフラグを立てられる。入来する通信が疑わしいと判定されない意味で許可されると（ステップ４０５で検査される）、実行はステップ４１５へ分岐し、そこで許可された通信はイントラネット内の宛先に経路制御される。
【００３０】
［３６］  他方、入来する通信が許可されなければ（ステップ４０５で検査される）、実行はステップ４０７へ進み、そこで入来する通信は一以上のデコイサーバ１６０の１つへ経路制御される。デコイサーバ１６０はクライアントのコンピュータシステムのように見えるよう設定される。従って、許可されない通信がデコイサーバ１６０に経路制御されると、デコイサーバ１６０はクライアントのコンピュータシステムをシミュレートする（ステップ４０９）。デコイサーバ１６０はクライアントのコンピュータシステムとは異なるので、侵入者によって実行されるデコイサーバ１６０での活動は、クライアントのコンピュータシステムに全く作用しない。ある実施例において、デコイサーバ１６０はまた自称侵入者に対してより魅力的で、あるいは壊れやすく見える、いくつかのパッチされない動作システム／アプリケーションホールを含む。
【００３１】
［３７］  侵入者がデコイサーバ１６０の誘惑をつかむと、侵入者の全活動およびキーストロークは管理コンソール１６１にログされる（ステップ４１１）。従って、侵入者の活動は、侵入の特徴を理解し、そして侵入をいかに反撃するかを知る、あるいは侵入のソースを確かめるために研究され得る。侵入者の活動は、調査および可能な遂行を許容するのに十分な詳細が記録される。さらに、電子メールの警報は侵入の試みが進行中であることを警告するために、管理コンソール１６１からオペレータに送信され得る。
【００３２】
［セキュリティマネージャ］
［３８］  ある実施例において、個々の攻撃が探知されると、イベントは生成され、セキュリティマネージャ１９５へ送信される。セキュリティマネージャ１９５は、多様に枝分かれし、かつ多層な攻撃を探知するために、企業全体にわたってこれらのイベントを相互に関係づけるが、その攻撃は異なるネットワーク位置から、異なる方法で発生するかもしれない。セキュリティマネージャ１９５は、追加の安全装置を自動的に配備したり、ポリシに命令された変化を行ったり、あるいは人間の介入を要求するといったような、各種適切な方法でこれらの攻撃の探知された全体的なパターンに応答してもよい。攻撃ベクトルの探知されたノードは、討論分析の人間の方法によって、あるいは自動化された追跡システム、例えばリソーステクノロジＭａｎＨｕｎｔＴＭ（Ｒ）システムの使用を自動的に介したいずれかによって、インターネットを超えて後で追跡され得る。ポリシに基づいて、反撃は、例えば、産業上利用可能な攻撃方法を使用して、始められてもよい。さらに、全活動のログは討論分析および／または法的行為のために保たれてもよい。
【００３３】
［ハードウエア概略］
［３９］  図５は、この発明に従う実施例が実行され得るコンピュータシステム５００を図解する。コンピュータシステム５００はバス５０１、あるいは情報を通信するための他の通信機構、および情報を処理するためにバス５０１に接続されたプロセッサ５０３を含む。コンピュータシステム５００はまた、ランダムアクセスメモリ（ＲＡＭ）あるいは他の動的格納装置のような、プロセッサ５０３によって実行される情報および命令を格納するために、バス５０１に接続されたメインメモリ５０５も含む。メインメモリ５０５はまた、プロセッサ５０３によって実行される命令の実行の間、一時変数あるいは他の中間情報を格納するために使用され得る。コンピュータシステム５００はさらに、プロセッサ５０３に対して静的情報および命令を格納するためにバス５０１に接続されたリードオンリメモリ（ＲＯＭ）５０７、あるいは他の静的格納装置を含む。磁気ディスクあるいは光ディスクのような格納装置５０９は、情報および命令を格納するためにバス５０１にさらに接続される。
【００３４】
［４０］  コンピュータシステム５００は、コンピュータユーザに情報を表示するために、ブラウン管（ＣＲＴ）、液晶ディスプレイ、アクティブマトリックスディスプレイ、あるいはプラズマディスプレイのようなディスプレイ５１１に、バス５０１を介して接続されてもよい。英数字および他のキーを含むキーボードのような入力装置５１３は、情報およびコマンド選択をプロセッサ５０３に通信するために、バス５０１に接続される。ユーザ入力装置の他のキーは、プロセッサ５０３に指示情報およびコマンド選択を通信するため、そしてディスプレイ５１１上のカーソルの動きを制御するための、マウス、トラックボール、あるいはカーソル指示キーのようなカーソル制御５１５である。
【００３５】
［４１］  発明のある実施例に従って、コンピュータネットワークセキュリティは、メインメモリ５０５に含まれる命令の配置を実行するプロセッサ５０３に応答して、コンピュータシステム５００によって提供される。そのような命令は格納装置５０９のような別のコンピュータ読み出し可能媒体からメインメモリ５０５に読まれ得る。メインメモリ５０５に含まれる命令の配置を実行すると、プロセッサ５０３はここに記載される処理ステップを実行する。マルチ処理配置された一以上のプロセッサはまた、メインメモリ５０５に含まれる命令を実行するように使用されてもよい。代わりの実施例において、ハードワイヤの回路構成は、この発明の実施例を実行するためにソフトウエア命令の代わりに、あるいは組み合わせて使用されてもよい。従って、この発明の実施例は、ハードウエアの回路構成およびソフトウエアの任意の特定の組み合わせに限定されない。
【００３６】
［４２］  コンピュータシステム５００はバス５０１に接続された通信インターフェイス５１７も含む。通信インターフェイス５１７は、ローカルネットワーク５２１に接続されたネットワークリンク５１９に接続する送受信兼用のデータ通信を提供する。例えば、通信インターフェイス５１７は、対応するタイプの電話線にデータ通信接続を提供するデジタル電話加入者回線（ＤＳＬ）カードあるいはモデム、総合サービスデジタル網（ＩＳＤＮ）カード、ケーブルモデム、あるいは電話モデムであってもよい。別の例として、通信インターフェイス５１７は、互換性のあるＬＡＮにデータ通信接続を提供するローカルエリアネットワーク（ＬＡＮ）カード（例えばＥｔｈｅｒｎｅｔＴＭ（Ｒ）あるいは非同期転送モデル（ＡＴＭ）ネットワークに対する）であってもよい。ワイヤレスのリンクがまた実行され得る。そのような実行のいずれにおいても、通信インターフェイス５１７は電気、電磁気あるいは光信号を送受信し、それらの信号は各種タイプの情報を表すデジタルのデータストリームを伝搬する。さらに、通信インターフェイス５１７はユニバーサルシリアルバス（ＵＳＢ）インターフェイス、ＰＣＭＣＩＡ（パーソナルコンピュータメモリカード規格協会）インターフェイスなどのような、周辺のインターフェイス装置を含みうる。
【００３７】
［４３］  ネットワークリンク５１９は、一以上のネットワークを介して他のデータ装置にデータ通信を典型的には提供する。例えば、ネットワークリンク５１９は、ローカルネットワーク５２１を介してホストコンピュータ５２３に接続を提供してもよく、ホストコンピュータ５２３は、ネットワーク５２５（例えばワイドエリアネットワーク（ＷＡＮ）あるいは今や一般に「インターネット」として照会されるグローバルなパケットデータ通信ネットワーク）、あるいはサービスプロバイダによって操作されるデータ装置との接続性を有している。ローカルネットワーク５２１とネットワーク５２５は両方共、電気、電磁気あるいは光信号を使用して情報および命令を伝搬する。各種ネットワークを介した信号、およびネットワークリンク５１９上で通信インターフェイス５１７を介した信号は、コンピュータシステム５００とデジタルデータを通信し、情報および命令を伝搬する模範的な搬送波の形式である。
【００３８】
［４４］  コンピュータシステム５００はネットワーク、ネットワークリンク５１９および通信インターフェイス５１７を介して、プログラムコードを含んで、メッセージを送信し、データを受信することができる。インターネットの例においては、サーバ（図示のない）は、ネットワーク５２５、ローカルネットワーク５２１および通信インターフェイス５１７を介して、この発明の実施例を実行するためにアプリケーションプログラムに属する要求されたコードを送信してもよい。プロセッサ５０３は、格納装置５０９あるいは後の実行のために他の不揮発性格納装置にコードを受信されるおよび／または格納しながら、送信されたコードを実行してもよい。このようにして、コンピュータシステム５００は搬送波の形式でアプリケーションコードを入手してもよい。
【００３９】
［４５］  ここで使用されている用語「コンピュータ読み出し可能媒体」は、実行のためにプロセッサ５０３に対して命令を提供することに関与するあらゆる媒体のことを言う。そのような媒体は、不揮発性媒体、揮発性媒体および送信媒体を含むが、それらに限定されることはなく、多くの様式を採ってもよい。不揮発性媒体は、例えば、格納装置５０９のような、光あるいは磁気ディスクを含む。揮発性媒体はメインメモリ５０５のような動的メモリを含む。送信媒体は、バス５０１を含むワイヤを含んで、同軸ケーブル、銅のワイヤおよび光ファイバを含む。送信媒体はまた、ラジオ周波数（ＲＦ）および赤外線（ＩＲ）データ通信の間に生成されるような、音響、光あるいは電磁波の形式を採ることもできる。コンピュータ読み出し可能媒体の一般的な形態は、例えば、フロッピーディスク、フレキシブルディスク、ハードディスク、磁気テープ、他のあらゆる磁気媒体、ＣＤ−ＲＯＭ、ＣＤＲＷ、ＤＶＤ、他のあらゆる光媒体、パンチカード、紙テープ、光マークシート、穴の形式あるいは他の光学で承認可能な徴候を有する他のあらゆる物理的媒体、ＲＡＭ、ＰＲＯＭ、ＥＰＲＯＭ、ＦＬＡＳＨ−ＥＰＲＯＭ、他のあらゆるメモリチップあるいはカートリッジ、搬送波あるいはコンピュータが解読できる他のあらゆる媒体形式を含む。
【００４０】
［４６］  コンピュータ読み出し可能媒体の各種形式は、実行のためにプロセッサに命令を提供することに含まれてもよい。例えば、この発明の少なくとも一部を実行するための命令は、リモートコンピュータの磁気ディスク上に最初に保持されてもよい。そのようなシナリオにおいて、リモートコンピュータはメインメモリに命令を書き込み、モデムを使用して電話線上に命令を送信する。ローカルコンピュータシステムのモデムは、電話線上でデータを受信し、赤外線送信器を使用して、赤外線信号にデータを転換し、個人用情報電子機器（ＰＤＡ）あるいはラップトップのような持ち運び可能なコンピュータ装置に赤外線信号を送信する。持ち運び可能なコンピュータ装置上の赤外線探知器は、赤外線信号によって伝搬された情報および命令を受信し、データをバスに置く。バスはデータをメインメモリに伝搬し、そこからプロセッサは命令を検索しかつ実行する。メインメモリによって受信された命令は、プロセッサによる実行の前または後のいずれかで、選択的に格納装置に格納されてもよい。
【００４１】
［４７］  この発明が多数の実施例および実行例と関連して記載されてきたが、この発明はそのように限定されないが、添付のクレームの範囲に収まる各種自明な修正および均等な配置を含む。
【図面の簡単な説明】
【００４２】
［０８］  この発明は例として説明されており、制限するものではなく、添付の図面の番号において、類似の参照番号は類似の要素を参照する。
【００４３】
［０９］
【図１】この発明のある実施例に従う、ネットワークセキュリティアーキテクチャのブロック図である。
【００４４】
［１０］
【図２】この発明のある実施例のウイルス除去走査局面を図解するフローチャートである。
【００４５】
［１１］
【図３】この発明のある実施例のウイルス除去クライアントの配布局面を図解するフローチャートである。
【００４６】
［１２］
【図４】この発明のある実施例の侵入デコイ局面を図解するフローチャートである。
【００４７】
［１３］
【図５】この発明の実施例を実行するために使用され得るコンピュータシステムを描写する図である。
【図１】
2004538692.tif 000003
【図２】
2004538692.tif 000004
【図３】
2004538692.tif 000005
【図４】
2004538692.tif 000006
【図５】
2004538692.tif 000007
【国際公開パンフレット】
2004538692.tif 000008
2004538692.tif 000009
2004538692.tif 000010
2004538692.tif 000011
2004538692.tif 000012
2004538692.tif 000013
2004538692.tif 000014
2004538692.tif 000015
2004538692.tif 000016
2004538692.tif 000017
2004538692.tif 000018
2004538692.tif 000019
2004538692.tif 000020
2004538692.tif 000021
2004538692.tif 000022
2004538692.tif 000023
2004538692.tif 000024
2004538692.tif 000025
2004538692.tif 000026
2004538692.tif 000027
2004538692.tif 000028
2004538692.tif 000029
2004538692.tif 000030
2004538692.tif 000031
2004538692.tif 000032
2004538692.tif 000033
2004538692.tif 000034
【国際調査報告】
2004538692.tif 000035