(57)【要約】【課題】アドレスがネットワーク環境内で動的に割り当てられるポート・ベース認証プロトコルの、具体的には接続情報が取り込まれ、保管される、ネットワーク環境内でのポート・ベース認証の方法、システム、およびプログラムを提供すること。【解決手段】認証スイッチで観測されたサプリカント情報を取り込み中央サイトにすなわち管理者サイトに転送する。この情報は、主にプロトコル交換中に作成され、所有者対ＩＰアドレス相関、ＭＡＣ、ＩＰ、ポート・スイッチ番号、スイッチＩＤ、認証サーバＩＤが含まれる。これによって、動的アドレスの割り当て、認証、および接続にかかわるプロトコル交換の結果として作成された情報への管理者アクセスが容易になる。【選択図】図４
2007049709.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク内でネットワーク接続されたサプリカントの接続情報を取り込む方法であって、前記ネットワークが、前記サプリカントのためのネットワーク接続ポイント、認証サーバ、該サーバ間の認証スイッチ、および接続情報サーバのリモート・サイトを含み、前記方法が
１）前記認証スイッチが、前記サプリカントに前記サプリカントの識別のための質問をすることと、
２）前記認証スイッチが、前記質問に対する前記サプリカントの応答を受信し、前記サプリカントの応答を前記認証サーバに送信することと、
３）前記認証サーバが、前記認証スイッチに応答を送信することであって、前記サプリカントが許可される場合に、前記認証スイッチが、
ａ）認証の結果を前記サプリカントに中継し、
ｂ）前記サプリカントのＩＤおよび接続情報を前記リモート・サイト上の前記接続情報サーバに送信することと、
を含む方法。
【請求項２】
前記サプリカントが許可される場合に、前記認証スイッチが、前記サプリカントのＩＤおよびＩＰアドレスを取り込み、前記サプリカントの前記ＩＤおよびＩＰアドレスを接続データベースに転送する、請求項１に記載の方法。
【請求項３】
前記接続データベースが、前記サプリカントのＭＡＣアドレス、スイッチ・ポート番号、スイッチＩＤ、および認証サーバＩＤのうちの１つまたは複数を含むさらなる情報を受信する、請求項２に記載の方法。
【請求項４】
前記接続データベースが、ＭＡＣアドレスおよび関連する所有者識別の順序付き対を含む、請求項３に記載の方法。
【請求項５】
ブラウザを介して前記ＭＡＣアドレスおよび所有者識別を入力することを含む、請求項４に記載の方法。
【請求項６】
前記ＭＡＣアドレスおよび所有者識別の前記順序付き対を回復するために関連するデータベースをマイニングすることを含む、請求項４に記載の方法。
【請求項７】
スイッチ状況の変化を取り込み、前記変化を接続データベースに収集することを含む、請求項１に記載の方法。
【請求項８】
システム接続されたサプリカントと共に使用されるコンピュータ・システムであって、前記システムが、前記サプリカントのためのネットワーク接続ポイント、認証サーバ、該サーバ間の認証スイッチ、および接続情報サーバのリモート・サイトを含み、
１）前記認証スイッチが、前記サプリカントに前記サプリカントの識別のための質問をするように適合され、
２）前記認証スイッチが、前記質問に対する前記サプリカントの応答を受信し、前記サプリカントの応答を前記認証サーバに送信するようにさらに適合され、
３）前記認証サーバが、前記認証スイッチに応答を送信するように適合され、前記サプリカントが許可される場合に、前記認証スイッチが、
ａ）認証の結果を前記サプリカントに中継し、
ｂ）前記サプリカントのＩＤおよび接続情報を前記リモート・サイト上の前記接続情報サーバに送信する
ように適合され、
４）前記接続情報サーバが、前記サプリカントの接続情報を受信し、保管し、処理するように適合される
コンピュータ・システム。
【請求項９】
前記サプリカントが許可される場合に、前記認証スイッチが、前記サプリカントのＩＤおよびＩＰアドレスを取り込み、前記サプリカントの前記ＩＤおよびＩＰアドレスを接続データベースに転送するように適合される、請求項８に記載のコンピュータ・システム。
【請求項１０】
前記システムに関連する前記接続データベースが、前記サプリカントのＭＡＣアドレス、スイッチのポート番号、スイッチＩＤ、および認証サーバＩＤのうちの１つまたは複数を含むさらなる情報を受信するように適合される、請求項９に記載のコンピュータ・システム。
【請求項１１】
前記接続データベースが、ＭＡＣアドレスおよび関連する所有者識別の順序付き対を含む、請求項１０に記載のコンピュータ・システム。
【請求項１２】
前記接続データベースが、ブラウザを介して前記ＭＡＣアドレスおよび所有者識別を受け取るように適合される、請求項１１に記載のコンピュータ・システム。
【請求項１３】
前記ＭＡＣアドレスおよび所有者識別の前記順序付き対を回復するために関連するデータベースをマイニングすることを含む、請求項１１に記載のコンピュータ・システム。
【請求項１４】
スイッチ状況の変化を取り込み、前記変化を接続データベースに収集するように適合される、請求項８に記載のコンピュータ・システム。
【請求項１５】
コンピュータ・ネットワーク内でネットワーク接続されたサプリカントのための接続情報を取り込む方法を前記コンピュータ・ネットワーク内のコンピュータが実行するように構成し、命令するコンピュータ可読プログラム・コードを含むプログラムであって、前記ネットワークが、前記サプリカントのためのネットワーク接続ポイント、認証サーバ、該サーバ間の認証スイッチ、および接続情報サーバのリモート・サイトを含み、前記コンピュータに
１）前記認証スイッチが、前記サプリカントに前記サプリカントの識別のための質問をするステップと、
２）前記認証スイッチが、前記質問に対する前記サプリカントの応答を受信し、前記サプリカントの応答を前記認証サーバに送信するステップと、
３）前記認証サーバが、前記認証スイッチに応答を送信し、前記サプリカントが許可される場合に、前記認証スイッチが、
ａ）認証の結果を前記サプリカントに中継し、
ｂ）前記サプリカントのＩＤおよび接続情報を前記リモート・サイト上の前記接続情報サーバに送信するステップと、
を実行させるためのプログラム。
【請求項１６】
前記サプリカントが許可される場合に、前記認証スイッチが、前記サプリカントのＩＤおよびＩＰアドレスを取り込み、前記サプリカントのＩＤおよびＩＰアドレスを接続データベースに転送するステップを前記コンピュータに実行させる、請求項１５に記載のプログラム。
【請求項１７】
前記コンピュータ・ネットワークに関連する前記接続データベースに、前記サプリカントのＭＡＣアドレス、スイッチのポート番号、スイッチＩＤ、および認証サーバＩＤのうちの１つまたは複数を含むさらなる情報を受信するステップを前記コンピュータに実行させる、請求項１６に記載のプログラム。
【請求項１８】
前記接続データベースが、ＭＡＣアドレスおよび関連する所有者識別の順序付き対を含む、請求項１７に記載のプログラム。
【請求項１９】
前記ＭＡＣアドレスおよび所有者識別は、（１）ブラウザおよび（２）データ・マイニングのうちの１つを介して受け取る、請求項１８に記載のプログラム。
【請求項２０】
スイッチ状況の変化を取り込み、前記変化を接続データベースに収集するステップを前記コンピュータに実行させる、請求項１５に記載のプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、有線ネットワーク環境または無線ネットワーク環境で動的に割り当てられるアドレスに関し、具体的には、ネットワーク環境でのポート・ベース認証と、動的アドレス割り当て、認証、および接続にかかわるプロトコル交換の結果として作成される情報への管理者アクセスとに関する。
【背景技術】
【０００２】
８０２．１Ｘ標準規格は、ＩＥＥＥ  ８０２．１１標準規格に従う無線ローカル・エリア・ネットワーク（ＷＬＡＮ）のセキュリティを強化するように設計されている。８０２．１Ｘは、無線ＬＡＮの認証（ａｕｔｈｅｎｔｉｃａｔｉｏｎ）フレームワークを提供し、ユーザを中央権限（ａｕｔｈｏｒｉｔｙ）によって認証できるようにする。ユーザが真正であるか（認証される）どうかを判定するのに使用される実際のアルゴリズムは、この規格によって定められてはおらず、複数のアルゴリズムが可能である。
【０００３】
８０２．１Ｘは、既存プロトコルすなわちＥｘｔｅｎｓｉｂｌｅ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ（ＥＡＰ、ＲＦＣ  ２２８４）を使用し、このＥＡＰは、認証プロセス中のメッセージ交換に関してイーサネット（Ｒ）、トークン・リング、または無線ＬＡＮ上で動作する。
【０００４】
８０２．１Ｘを用いる有線ＬＡＮまたは無線ＬＡＮで、ユーザ（サプリカント（ｓｕｐｐｌｉｃａｎｔ）と称する）が、アクセス・ポイント（オーセンティケータ（ａｕｔｈｅｎｔｉｃａｔｏｒ）と称する）へのアクセスを要求する。アクセス・ポイントは、ユーザ（より正確には、ユーザのクライアント・ソフトウェア）を無許可状態に強制し、これによって、クライアントがＥＡＰスタート・メッセージだけを送信できるようにする。アクセス・ポイントは、ユーザの識別（ｉｄｅｎｔｉｔｙ）を要求するＥＡＰメッセージを返す。クライアントは、識別（ＩＤ）を返し、この識別が、次に、アクセス・ポイントによって認証サーバに転送され、この認証サーバは、あるアルゴリズムを使用して、ユーザを認証し、その後、アクセス・ポイントに「受入」メッセージまたは「拒絶」メッセージを返す。「受入」が受信されたと仮定すると、アクセス・ポイントは、クライアントの状態を許可に変更し、この時に、通常のトラフィックを行うことができる。
【０００５】
認証サーバは、Ｒｅｍｏｔｅ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｄｉａｌ−Ｉｎ  Ｕｓｅｒ  Ｓｅｒｖｉｃｅ（ＲＡＤＩＵＳ）を使用することができるが、８０２．１Ｘは、認証サーバによって使用されるツールまたはアプリケーションを指定していない。
【０００６】
上述したように、８０２．１Ｘなどの現在の接続プロトコルでは、サプリカント（ユーザ）のＭＡＣアドレス（メディア・アクセス制御アドレス）、ユーザＩＤ、ならびにパスワードおよびディジタル証明書などのユーザの一意の機密事項が、認証サーバに供給される。認証サーバは、ユーザを検証し、ユーザがネットワークに接続されているまたは接続されなければならないかどうかを示すメッセージをスイッチに返す。１つの問題は、ユーザが供給した情報が、サーバから使用可能でないことである。
【０００７】
ユーザが供給する情報には、次が含まれる。
１）スイッチ識別または無線アクセス・ポイント識別などのオーセンティケータ（ａｕｔｈｅｎｔｉｃａｔｏｒ）情報。
２）物理的オーセンティケータ（すなわちスイッチ）ポート番号。
３）ポートに接続されたシステムの１つまたは複数のＭＡＣアドレス。
４）ポートに接続されたシステムのＩＰアドレス。
５）認証サーバ識別。
６）スイッチまたは無線アクセス・ポイントなど、オーセンティケータに関する他の管理者（アドミニストレータ）定義の情報。
【０００８】
ネットワーク管理者は、特定の認証ポートに接続された特定のユーザに関する、認証プロセスの一部として作成され、交換される情報にアクセスする必要がある。この情報は、有効なネットワーク管理ならびにトラブル解決手順に必要である。
【０００９】
１つの問題は、８０２．１Ｘなどの現在の標準規格が、オーセンティケータからこの情報を入手するのに使用できる方法を提供しないことである。さらに、現在のプロトコルにはこの情報を提供できる有効な方法がない。
【００１０】
これらの問題は、プロトコル８０２．１Ｘがポート・ベース認証プロトコルであり、データベース管理システムでもデータベース管理プロトコルでもないので生じる。すなわち、８０２．１Ｘは、オーセンティケータ、たとえばスイッチ・ポートでの、デバイスの識別および認証に制限されている。
【００１１】
図１に、ネットワークの挿入時にクライアント（デバイス）１０１を認証するのに８０２．１Ｘプロトコルを使用する従来技術の通常のネットワークを示す。図１からわかるように、８０２．１Ｘがイネーブルされたローカル・エリア・ネットワーク（ＬＡＮ）では、オーセンティケータ（スイッチ）１０３が、ステップ１で、その識別についてクライアント１０１に質問する（ｃｈａｌｌｅｎｇｅ）。これは、ユーザがこのネットワークへのアクセスを許可されることを検証するためである。クライアント１０１は、応答し（１）、オーセンティケータ１０３は、供給されたサプリカントの識別を、クライアントの実際の認証（３）のために、ＲＡＤＩＵＳ（Remote Authentication Dial-In User Service）サーバなどの認証サーバ１０５に送信する（２）。
【００１２】
認証サーバ１０５は、応答を用いてオーセンティケータ１０３に応答する（３）。クライアント１０１が許可される場合に、オーセンティケータ１０３は、クライアントのポートを「認証された」転送状態にする。オーセンティケータ１０３は、認証結果をクライアント１０１に中継する（４）。クライアントが認証され、ポートが認証状態になったならば、クライアント１０１は、ネットワークおよびネットワーク・リソース１０７にアクセスすることができる（５）。
【００１３】
しかし、認証が成功しない場合には、オーセンティケータ１０３は、ポートを閉じたままに保ち、トラフィックは、ポートを通過することができない。
【発明の開示】
【発明が解決しようとする課題】
【００１４】
従来技術によるシステムの１つの短所は、８０２．１Ｘなどの現在の標準規格が、オーセンティケータ情報、スイッチまたは無線アクセス・ポート、物理的オーセンティケータ・ポート番号、ＭＡＣアドレス、ＩＰアドレス、および認証サーバならびにタイム・スタンプとしてオーセンティケータ（認証スイッチ）１０３からネットワーク管理および資産管理のための情報を入手するのに使用できる方法を提供しないことである。
【課題を解決するための手段】
【００１５】
従来技術の欠陥および短所は、本明細書に記載の方法、システム、およびプログラムによって除去される。本明細書で説明するように、この方法、システム、およびプログラムは、オーセンティケータで観測されたサプリカント（クライアント）情報を取り込み、中央サイトすなわち管理者サイトに転送する。この情報は、主にプロトコル交換中に作成された情報である。この情報は、１つまたは複数のデータベースまたは増強されたデータベースに保管される。この情報には、通常、所有者対ＩＰアドレス相関、ＭＡＣアドレス、ＩＰ、ポート・スイッチ番号、スイッチＩＤ、および認証サーバＩＤが含まれる。
【００１６】
好ましい実施形態では、転送される情報または収集される情報を、マルウェア（ｍａｌｗａｒｅ）軽減、脆弱性スキャン、使用量ベースの請求、および資産管理に使用することができる。
【００１７】
これらの結果は、データ収集、データ保管、およびデータベース管理機能性をオーセンティケータ機能と統合することによって得られる。
【発明を実施するための最良の形態】
【００１８】
この方法、システム、およびプログラムは、有線ネットワークまたは無線ネットワークなどのネットワークでの接続データの収集、保管、および後続の利用を容易にする。この方法、システム、およびプログラムは、認証されたポート・ユーザに関する完全なレイヤ２情報およびレイヤ３情報を中央ポイントに供給する。中央ポイントは、認証スイッチ、認証サーバ、または内部ネットワークに関連するサーバとすることができる。
【００１９】
さらなる実施形態で、本発明は、さらに、接続されたデバイスのＩＰアドレスの、そのＭＡＣアドレスへの関連付けを与える。これによって、ＩＰアドレスの動的割り当てのためにＤＨＣＰシステムにリンクされなければならない別々のＭＡＣからＩＰへの登録データベース・システムの作成に関連するコストおよび複雑さが回避される。
【００２０】
本明細書に記載の方法、システム、およびプログラムは、スイッチ状況の変化を、たとえば周期的に、またはオン・デマンドで、またはポートの切断などのイベントの発生時に、報告することができる。
【００２１】
さらに、本明細書に記載の方法、システム、およびプログラムは、追加情報の観測および中央サイトへの送信でのスイッチのアクションを容易にするためなどとすることができる。これには、ポート状況、ポート速度、パケット／秒の統計などが含まれる。
【００２２】
図５および８の通信テーブルに含まれる情報を、ＳＮＭＢプロシージャを使用する取出（ｒｅｔｒｉｅｖａｌ）のためにＳＮＭＰ  ＭＩＢで使用可能にすることができることに留意されたい。また、図５および８の通信テーブルに含まれる情報を、ネットワーク上のＲＡＤＩＵＳ認証サーバまたはＴＡＣＡＣＳ認証サーバである認証サーバ１０５または中央サイト２０９に送信することができる。これらのサーバは、必ず、その制御のスパン内のスイッチと、任意選択として、認証サーバから情報を引き出すことのできる中央ステーションとに関する情報のコピーを有する。
【００２３】
図２に、ネットワークの挿入時にクライアント（デバイス）１０１を認証するのに８０２．１Ｘプロトコルを使用する、本発明によって企図されたネットワークを示す。従来技術を示す図１および本発明の一実施形態を示す図２に示されているように、８０２．１Ｘがイネーブルされたローカル・エリア・ネットワークで、認証スイッチ（オーセンティケータ）１０３が、ステップ１で、その識別（ＩＤ）についてクライアント（サプリカント）１０１に質問する（ｃｈａｌｌｅｎｇｅ）。これは、ユーザがこのネットワークへのアクセスを許可されることを検証するためである。クライアント１０１は、応答し（１）、認証スイッチ１０３は、供給されたサプリカントの識別を、クライアントの実際の認証（３）のために、Ｒｅｍｏｔｅ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｄｉａｌ−Ｉｎ  Ｕｓｅｒ  Ｓｅｒｖｉｃｅ（「ＲＡＤＩＵＳ」）サーバなどの認証サーバ１０５に送信する（２）。
【００２４】
認証サーバ１０５は、応答を用いて認証スイッチ１０３に応答する（３）。クライアント１０１が許可される場合に、認証スイッチ１０３は、クライアントのポートを「認証された」転送状態にする。認証スイッチ１０３は、認証結果をクライアント１０１に中継し（４）、任意選択としてフロー（６）で中央サイト２０９の認証データベースを含むネットワーク・リソース１０７に中継する。クライアント１０１が認証され、ポートが許可状態になったならば、クライアント１０１は、ネットワークおよびネットワーク・リソース１０７にアクセスすることができ（５）、図示されていない管理者は、中央サイト２０９のデータベース内の認証データおよび接続データを利用することができる。
【００２５】
しかし、認証が成功でない場合には、認証スイッチ１０３は、ポートを閉じたままに保ち、トラフィックは、ポートを通過することができない。
【００２６】
図３に、従来技術のプロトコル・フローを示し、特に、中央サーバまたは中央サイトであるネットワーク・リソース１０７と認証スイッチ１０３との間のデータ・フローがないことを示す。この図は、接続されたユーザを認証するプロセスを示す。
【００２７】
図３からわかるように、２つの並列経路（パス）があり、奇数の番号を有し、「開始」３０１から始まる左側の第１経路は、認証スイッチ１０３でのアクティビティを示し、偶数の番号を有し、「開始」３０２から始まる右側の第２経路は、認証サーバ１０５でのアクティビティを示す。
【００２８】
認証スイッチ１０３で、このプロセスは、認証スイッチ１０３がクライアント１０１からポート・アクティブ化要求を受信する（３０５）時に開始される（３０１）。認証スイッチ１０３は、アクティブ化要求を認証サーバ１０５に送信する。開始３０２されている認証サーバ１０５は、この要求を受信し、認証が成功であるかどうかを判定する（３０８）。成功の場合（３１０）に、認証サーバ１０５は、ステップ３１０で認証成功インジケータを認証スイッチ１０３に送り返し、終了する（３１２）。認証サーバでの認証プロセスが不成功の場合に、認証サーバ１０５は、認証失敗インジケータを認証スイッチ１０３に送信（３１４）し、処理が終了する（３１６）。
【００２９】
成功裡の認証（３１０）または認証失敗（３１４）のいずれかの応答が、認証スイッチで受信され（３２１）、復号化される（３２３）。成功の場合に、認証スイッチ１０３は、ポートをアクティブ化する（３３１）。しかし、認証サーバ１０５での認証が不成功の場合（３１４）に、認証スイッチは、ステップ３４１で認証失敗表示をクライアント１０１に送り返し、スイッチ・ポートを閉じる。
【００３０】
従来技術では、図３に示されているように、ユーザＩＤ、無線ノード番号のウォール・プレート番号、またはＭＡＣアドレスの取込（ｃａｐｔｕｒｅ）および保管がない。ユーザ・データの取込および保管は、ネットワーク・リソース１０７での個々のアプリケーションで行われ、個々のホストおよびホスト・ベース・プロセスの通常のセキュリティ、アクセス、および特権の懸念事項に関し、ネットワーク・アクセスまたはネットワーク使用に関係がない。ネットワーク・リソース１０７内のホスト・ベース・プロセスは、ネットワーク接続またはネットワーク・ユーザ・ログイン・データに関心を持たないか、関係がない。
【００３１】
しかし、ネットワーク管理者は、ネットワーク接続およびネットワーク・ユーザ・ログイン・データに関心を持ち、これを必要とし、関係がある。本明細書に記載の方法、システム、およびプログラムは、ネットワーク・ユーザ（サプリカントまたはクライアント）ネットワーク接続およびユーザ・ログイン・データを取り込む。これは、図４の流れ図に示されており、図４は、図３の流れ図に示された方法およびシステムを相乗作用的に増強する、本発明による追加された機能性および能力を示す。
【００３２】
このプロセスは、中央サイトの「開始」（４０５）および認証スイッチの「開始」（４０１）で開始される。中央サイト２０９は、開始し（４０５）、それ自体を認証スイッチ１０３に登録する（認証スイッチ・プロセス・フローでは４０３、中央スイッチ・プロセス・フローでは４０７）。このプロセスは、認証スイッチ１０３がポートをアクティブ化する（３３１）まで、図３と同様に継続される。この時点で、認証スイッチ１０３は、要求された情報を取り込む（４５１）。この要求された情報に、中央サイトＩＤ、ポートＩＤ、ユーザＩＤ、ＭＡＣアドレスなどが含まれる。認証スイッチ１０３は、この取り込まれた情報を中央サイト２０９に送信し、中央サイト２０９は、この情報を取り込み、受信し、保管し（４１１）、プロセスが終了する（４１３）。
【００３３】
図４に、本発明の増強され、統合された方法およびシステムの流れ図を示す。図３と図４を比較すると、図４には、図３の流れ図に示された従来技術のプロトコルおよびプロセス・フローに対する拡張が示されている。
【００３４】
中央サイトであるネットワーク・リソース１０７は、単一のユニットとして図示されているが、さまざまな形で実施することができ、分散システムとして実施することさえできる。
【００３５】
図５に、中央サイトであるネットワーク・リソース１０７でまたはこれにまたがって、たとえば中央サイト２０９のサーバで提供される「通信テーブル」のデータベース・メタデータおよびアーキテクチャ（体系）を示す。
【００３６】
まず図５のテーブルに移ると、各スイッチ・ポート５１１が１つの行を有する。各スイッチ・ポートに対して識別されるのが、中央サイト・アドレス５１３、認証サーバＩＤ  ５１５、ＭＡＣアドレス５１７、ＩＰアドレス５１９、およびタイム・スタンプ５２１である。ポートごとに、情報が、プロトコルおよびそのプロセスの動作中に認証スイッチ１０３によって取り込まれ、保管される。
【００３７】
図５の表では、列「中央サイト・アドレス」５１３が、ポートに関する情報を入手することを望む登録された中央サイトの論理アドレスを表す。複数の通知を登録し、行うことができる。
【００３８】
「認証サーバＩＤ」５１５は、そのポートの認証の認証ソースとして使用された認証サーバ１０５を識別する。ＭＡＣアドレス５１７は、このポートの使用を許可されたＭＡＣアドレスを表す。
【００３９】
ＩＰアドレス５１９およびタイム・スタンプ５２１は、論理的に対にされたフィールドであり、そのソースが識別されたポートからであるＩＰアドレスが観測された時を表す。ポートごとに、複数のＩＰアドレス／タイム・スタンプ対があり得ることに留意されたい。これが、列５２３および５２５に示されている。これが、列「ＩＰアドレス」に示されている。このテーブルは、スケーラブルであり、拡張可能であり、ネットワーク管理者の必要によって定義される追加の列５２７を追加することができる。
【００４０】
図６に、認証スイッチ（オーセンティケータ）と中央サイトの間のデータ・フローと共に、本発明の方法の流れ図を示す。図６からわかるように、ポート状態が変化した時に、認証スイッチは、この情報を中央サイトに送信する。本明細書で説明する発明は、登録要求の処理に関連する認証スイッチへおよびこの認証スイッチを介するアクションのセットである。本発明人は、これを「登録および報告」と呼ぶ。
【００４１】
図６に移ると、図２の認証スイッチ１０３が、「登録」に関する次のステップを実行することがわかる。
【００４２】
中央サイト／認証サーバ１０５は、ステップ６０１で開始して、登録要求を認証スイッチ１０３に送信する（６０３）。ステップ６２１で開始された認証スイッチ１０３は、どのポート（１つまたは複数）を観測するかの指定と共に登録要求を受信し、認証サーバ１０５のＩＤすなわち中央サイト・アドレス５１３またはこのＩＤへのポインタを、通信テーブル内の、観測されるスイッチ・ポートＩＤ  ５１１に対応する列に置く。
【００４３】
本明細書で説明する発明は、認証スイッチ１０３、認証サーバ１０５、および中央サイト２０９の間の通信経路とは無関係である。この経路は、単純なＵＤＰフレーム、ＴＣＰセッション、またはＳＮＭＰフローとすることができ、ここで、ＳＮＭＰセットを使用して、中央サイト２０９のアドレスを認証スイッチ１０３に置くことができ、ＳＮＭＰアラートまたはＳＮＭＰ読取を使用して、認証スイッチ１０３と中央サイト／認証サーバ１０５の間で両方向に情報を移動することができる。
【００４４】
その後、認証スイッチ１０３は、図６に示されているように、「報告」に関して次の機能を実行する。まず、プロトコル交換の最後に、認証スイッチ１０３は、ポートが接続されているかどうかを判定し（６２９）、そうである（Ｙｅｓ）場合に、次の情報を通信テーブル５０１に置く（６３３）。
ｉ）認証サーバＩＤ  ５１５
ｉｉ）スイッチ・ポートＩＤ  ５１１のテーブル・キーを有するサプリカントのＭＡＣアドレス５１７。
【００４５】
次に、認証スイッチ１０３は、ステップ６３５で、認証スイッチ１０３を通って流れるＩＰパケットのソース・アドレスを観測し、ステップ６３７で、ＩＰアドレス５１９およびタイム・スタンプ５２１を、スイッチ・ポートＩＤのテーブル・キーを用いて通信テーブル５０１に置く。
【００４６】
ＩＰアドレスが変化し、「中央サイト」２０９がその情報の要求を示した場合に、そのポートのレコードが、ステップ６１３で「中央サイト」２０９に送信される。
【００４７】
認証スイッチは、タイム・スタンプ・エントリに基づいてＩＰアドレスをエージング（経時）させる能力を有する。
【００４８】
ポートが非アクティブになった時に、認証サーバＩＤ、ＭＡＣアドレスなどについてそのポートに対してキーイングされた値が、クリアされる（６４１）。「中央サイト」２０９が情報を要求した場合に、この情報が、ステップ６１３で「中央サイト」２０９に送信される。
【００４９】
認証スイッチ１０３がこの認証スイッチを通って流れるＩＰパケットのソース・アドレスを観測するステップは、ソースＩＰアドレスについてポート・パケット・フローを監視することによって達成することができる。代替案では、認証スイッチ１０３が、この認証スイッチを通って流れるＩＰパケットのソース・アドレスを観測することを、サプリカントに関する情報を含むレイヤ３トラフィックおよびレイヤ２トラフィックを観測することによって達成することができる。これには、ＡＲＰトラフィック、ＤＨＣＰフロー、および類似物が含まれる。
【００５０】
本発明のもう１つの実施形態で、認証スイッチ１０３は、サプリカントのＩＰアドレスを用いて認証スイッチにパケットを送信するサプリカント・クライアント変化によって、この認証スイッチを通って流れるＩＰパケットのソース・アドレスを観測する。
【００５１】
本発明は、特にマイクロプロセッサ・テクノロジを使用して作られたスイッチ用の、既存ソフトウェアに統合された本発明の方法、システム、およびプログラムの１つまたは複数のエクステンションで実装することができる。さらにまたはその代わりに、ネットワーク・プロセッサが、プログラムされ、ハードウェア支援を使用することができる。もう１つの実施形態で、必要なコードを、ＦＰＧＡモジュールまたはＡＳＩＣモジュールにハードワイヤする（ｈａｒｄｗｉｒｅ）ことができる。
【００５２】
本発明の特に好ましい典型的な具体例で、データベース・テーブル内の登録情報および認証情報（たとえば、図５に示された）を増強して、所有者対ＩＰアドレス情報ならびにさらなる情報を供給することができる。
【００５３】
図７に、本発明のこの実施形態による増強されたデータベースを示す。このデータベースには、「データベースＡ」の中央サイト・アドレス、認証サーバＩＤ、スイッチＩＤ、スイッチ・ポートＩＤ、ＭＡＣアドレス、ＩＰアドレス、およびポート・アクティブ化時間と、「データベースＢ」の認証サーバＩＤ、スイッチＩＤ、ＭＡＣアドレス、およびユーザＩＤとの列が含まれて、中央サイト・アドレス、認証サーバＩＤ、スイッチＩＤ、スイッチ・ポートＩＤ、ＭＡＣアドレス、ＩＰアドレス、ポート・アクティブ化時間、およびユーザＩＤを有する「データベースＣ」が形成される。次に、スイッチＩＤ、スイッチ・ポート、およびイーサネット（Ｒ）・ポートＩＤを有する「データベースＤ」が、「データベースＣ」とマージされて、「データベースＥ」が形成される。「データベースＥ」には、中央サイト・アドレス、認証サーバＩＤ、スイッチＩＤ、スイッチ・ポートＩＤ、ＭＡＣアドレス、ＩＰアドレス、ポート・アクティブ化時間、ユーザＩＤ、およびイーサネット（Ｒ）・ウォール・ポートＩＤが含まれる。次に、ＭＡＣアドレスおよび所有者が「データベースＥ」とマージされて、「データベースＦ」が形成され、この「データベースＦ」には、中央サイト・アドレス、認証サーバＩＤ、スイッチＩＤ、スイッチ・ポートＩＤ、ＭＡＣアドレス、ＩＰアドレス、ポート・アクティブ化時間、ユーザＩＤ、イーサネット（Ｒ）・ウォール・ポートＩＤ、および所有者が含まれる。このデータベースは、拡張可能であり、拡大可能である。
【００５４】
この追加情報を、マルウェア軽減、脆弱性スキャン、使用量ベースの請求、システム・フォレンシックス（ｆｏｒｅｎｓｉｃｓ）およびインシデント応答、ならびに資産管理に使用することができる。具体的には、登録および報告から導出された情報を、ＭＡＣ／所有者情報およびスイッチ・ポート／ウォール・プレート情報に関連付けることができ、これらの情報（マージされたデータと呼ぶ）を使用して、ネットワークで観測されたＩＰアドレス、たとえばダイナミックＩＰアドレスと所有者の間の関連付けを物理的位置と共に供給することができる。次に、この追加された情報を使用して、マルウェア軽減、脆弱性スキャン、使用量ベースの請求、コンピュータ・フォレンシックスおよびインシデント応答、ならびに資産管理をサポートすることができる。
【００５５】
たとえば、マージされたデータまたは関連付けされたデータは、ネットワーク化されたデバイスと、識別されたデバイスのその所有者への関連付けと、ネットワーク化されたデバイス、特にマルウェアに感染したネットワーク化されたデバイスの物理的位置との識別を容易にする。
【００５６】
さらに、マージされたデータまたは関連付けされたデータは、アクセス位置および時間を識別するために、ネットワーク化されたデバイスと、識別されたデバイスのその所有者への関連付けと、任意選択として、ネットワーク化されたデバイスの物理的位置との識別を容易にする。
【００５７】
さらに、マージされたデータまたは関連付けされたデータは、動的にＩＰアドレッシングされるネットワーク化されたデバイスと、識別されたデバイスのその所有者への関連付けとの識別を容易にする。
【００５８】
マージされたデータまたは関連付けされたデータのさらなる効用は、ネットワーク・アクセス時間および帯域幅使用に基づく請求のために、動的にＩＰアドレッシングされるネットワーク化されたデバイスと、識別されたデバイスのその所有者への関連付けとの識別を容易にすることである。
【００５９】
マージされたデータまたは関連付けされたデータのさらなる効用は、資産管理のために、ネットワークに接続されたプロトコル準拠デバイスと、ネットワーク・デバイスの現在位置との識別を容易にすることである。
【００６０】
認証スイッチ１０３が、デバイスがスイッチ・ポートでアクティブになる時を観測し、スイッチ・ポート識別に関連する、たとえばＭＡＣアドレス、ＩＰアドレスなどの情報と、ネットワーク接続の時間とを中央サイト２０９に送信すること、たとえば登録および記録に基づいて、相関データベースが形成される。１つの典型的な具体例で、ＭＡＣアドレスおよび所有者の順序付き対（ｏｒｄｅｒｅｄ  ｐａｉｒ）のセットのデータベースが、ネットワーク上のすべてのデバイスについて形成される。このデータベースまたはデータベース・フィールドは、ネットワーク上のすべてのデバイスについて形成されるＭＡＣ登録データベースとすることができるが、ウェブ・インターフェースによってまたは既存データベースをマイニングすることによって、同等に形成することができる。
【００６１】
このデータベースまたはデータベース・フィールドは、プロトコル情報とマージされるか関連付けられて、ＭＡＣ−ＩＰ−所有者データベース内のＭＡＣ−ＩＰ−所有者関連付けが作られる。これは、サプリカントによって提示されるＩＤを使用して行われる。
【００６２】
具体的には、好ましい実施形態で、認証スイッチが、デバイスがアクティブになる時を観測し、情報をデータベースなどの中央リポジトリ（ｒｅｐｏｓｉｔｏｒｙ）に送信する。データベースは、ＭＡＣアドレスと所有者の間の相関を形成するのに必要なデータを有する。これは、マルウェア軽減、脆弱性スキャン、使用量ベースの請求、フォレンシックス、および資産管理のための貴重なデータおよび情報を提供する。
【００６３】
さまざまな照会を構成し、データベースと共に使用することができる。例が、Ｂａｓｅ、Ｍａｌｗａｒｅ（マルウェア）、Ｆｏｒｅｎｓｉｃｓ（フォレンシックス）、Ｓｃａｎｎｉｎｇ（スキャン）、Ｂｉｌｌｉｎｇ（請求）、およびＡｓｓｅｔ  Ｍａｎａｇｅｍｅｎｔ（資産管理）である。
【００６４】
データベースは、プロトコル８０２．１Ｘの動作から導出された情報およびその情報をＭＡＣ／所有者情報データベースおよびスイッチ・ポート／ウォール・プレート情報データベースとマージして、ネットワーク上で観測された、ダイナミックＩＰアドレスなどのＩＰアドレスと所有者の間の関連付けをエンド・デバイスの物理的位置と共に有する新しいデータベースまたはデータベース・フィールドを作成する。これは、マルウェア軽減、脆弱性スキャン、使用量ベースの請求、コンピュータ・フォレンシックスおよびインシデント応答、ならびに資産管理をサポートするのに使用することができる。
【００６５】
Ｍａｌｗａｒｅ（マルウェア）は、マージされたデータベースを使用して、ネットワーク化されたデバイスの所有者を識別し、マルウェアに感染したデバイスを物理的に突き止める。
【００６６】
Ｆｏｒｅｎｓｉｃｓ（フォレンシックス）は、マージされたデータベースを使用して、ネットワーク・デバイス・ユーザ／所有者を識別し、ネットワーク・アクセスの位置および時間を追跡する。
【００６７】
Ｓｃａｎｎｉｎｇ（スキャン）は、マージされたデータベースを使用して、ＩＰアドレスに基づいて、スキャンされた動的にアドレッシングされたＩＰアドレス・デバイスの所有者を識別する。
【００６８】
Ｂｉｌｌｉｎｇ（請求）は、マージされたデータベースを使用して、動的にアドレッシングされたＩＰアドレス・デバイスの所有者を識別し、ネットワーク・アクセス時間および帯域幅使用量に基づいてこれらの所有者に請求する。
【００６９】
Ａｓｓｅｔ＿Ｍａｎａｇｅｍｅｎｔ（資産管理）は、マージされたデータベースを使用して、資産管理のために、たとえば８０２．１ｘ準拠のまたは他のプロトコルに準拠する、ネットワークに接続されたデバイス、その所有者、およびそのデバイスの現在の物理的位置を識別する。
【００７０】
本発明によれば、認証スイッチまたは他のデバイスは、デバイスがたとえば物理スイッチ・ポートなどのスイッチ・ポートでアクティブになる時を観測し、この情報を中央リポジトリに送信する。この情報に、ＭＡＣアドレス、ＩＰアドレス、ならびにネットワーク接続の関連するスイッチ・ポート識別および時間が含まれる。この情報収集が、サービスがそれに基づく情報のルート・ソースとして使用される。
【００７１】
図６および図７に、データベースを形成するための個々のデータベースまたはデータベース列（カラム）エントリのマージを示す。具体的には、図６に示されているように、本発明の方法およびシステムは、相関データベースを形成する。これは、ネットワークに接続されたすべてのデバイスのＭＡＣアドレスと所有者の順序付き対を形成することによって行われる。これを、ＭＡＣ登録データベースと呼ぶ。これは、ユーザがＭＡＣ対所有者関連付けを作成するためにアクセスするウェブ・インターフェースを使用して行うことができる。その代わりに、これを、既存データベースをマイニングすることによって行うことができる。
【００７２】
次に、やはり図６に示されているように、ＭＡＣ登録からのＭＡＣアドレスおよび順序付き対情報が、プロトコル８０２．１Ｘ情報とマージされる。これによって、ＭＡＣ−ＩＰ−所有者データベースまたはＭＡＣ−ＩＰ−所有者データベース・エントリが作られる。図７に、このデータベースを形成するための個々のデータベースまたはデータベース列エントリのマージを示す。
【００７３】
一般的に説明したように、次に、ＭＡＣ−ＩＰ−所有者データベースまたはＭＡＣ−ＩＰ−所有者データベース・エントリを使用して、マルウェア軽減、脆弱性スキャン、使用量ベースの請求、コンピュータ・フォレンシックスおよびインシデント応答、ならびに資産管理を容易にすることができる。
【００７４】
マルウェア軽減は、手動または自動とすることができる。手動軽減について、脅威（ｔｈｒｅａｔ）軽減チーム、たとえばヘルプ・デスク、カスタマ・ケア・デスク、またはＣＥＲＴデスクが、所与のＩＰアドレスを有するデバイスが他のデバイスを攻撃しているまたはマルウェア感染の他の徴候を示していることを判定する。ＩＰアドレスをキー（鍵）として用いてＭＡＣ−ＩＰ−所有者データベースを使用することによって、マルウェア軽減チームは、攻撃しているデバイスのＩＰアドレスに関連する所有者または物理スイッチ・ポートを判定する。マルウェア軽減チームは、所有者に通知することができ、あるいは、手動でそのデバイスを切断することができる。自動マルウェア軽減では、システムが、所有者またはスイッチ・ポートの物理アドレスに問い合わせ、所有者への通知またはデバイスの切断のいずれかを行う。
【００７５】
脆弱性スキャンに関して、脆弱性スキャン・チームは、所有者またはＭＡＣアドレスあるいはその両方を使用してＭＡＣ−ＩＰ−所有者データベースに問い合わせ、関連するＩＰアドレスを入手する。デバイス・スキャンが、このＩＰアドレスを使用して実行される。
【００７６】
使用量ベースの請求について、使用量ベース請求チームは、ネットワーク内のフローを観測し、ＩＰアドレスに対してキーイングされた使用量プロファイルを構築する。ＩＰアドレスをＭＡＣ−ＩＰ−所有者データベースへのキーとして使用することによって、所有者が、使用量プロファイルにマッピングされる。これらの個々のプロファイルが集められ、料金が、請求のために使用量および所有者に適用される。
【００７７】
本発明の方法およびシステムを使用することによって、コンピュータ・フォレンシックスおよびインシデント応答に関して、脅威軽減チームは、所与のＩＰアドレスが他のデバイスを攻撃しているまたはシステム進入の徴候を示していることを判定する。脅威軽減チームは、キーとしてＩＰアドレスを用いてＭＡＣ−ＩＰ−所有者データベースを使用して、攻撃しているデバイス、所有者、または攻撃しているデバイスのＩＰアドレスに関連するスイッチ・ポートを入手する。これが、所有者に通知する、切断する、再接続をブロックする、または調査のためにデバイスを物理的に突き止めるなど、軽減のために用いられる。
【００７８】
資産管理の場合に、本発明の方法およびシステムは、デバイスの現在位置を維持する。これは、所有者をキーとして用いてＭＡＣ−ＩＰ−所有者データベースを使用することによって行われ、ポート（ウォール・スイッチ・ポートまたはイーサネット（Ｒ）・ウォール・ポートである）を入手する。この情報は、ユーザがポート情報、ＭＡＣ、およびユーザ・アドレスを用いてログインするという要件によって更新される。
【００７９】
プロトコル８０２．１Ｘサプリカントによって提示されるＩＤを所有者識別の方法として使用できることに留意されたい。この情報だけを使用することができ、ＩＰアドレスをデバイスに関連付けることができる。
【００８０】
代替案では、図８に示されているように、８０２．１Ｘサプリカントによって提示されるＩＤが、所有者識別８１１として使用され、ＩＰアドレスが、アドレッシングされるのではなく、ＭＡＣ／ＩＰ／所有者データベース８３１へのＩＰアドレス８２１のキーを用いてダイナミック・アドレス管理システムまたはスタティック・アドレス管理システムから入手される。
【００８１】
本発明は、たとえば、ソフトウェアとしてまたはプログラムとして、アクセス・データおよび許可を登録し、記録するシステムを有することによって実装することができる。これは、ソフトウェア・アプリケーションとして、専用プロセッサ内で、または専用コードを有する専用プロセッサ内でこの方法を実行することによって達成される。このコードは、機械可読命令のシーケンスを実行し、この機械可読命令のシーケンスもコードと呼ぶことができる。これらの命令は、さまざまなタイプの信号担持媒体に常駐することができる。これに関して、本発明の一態様は、ソフトウェア・アプリケーションとしてディジタル・データを保護し、ディジタル・データにアクセスする方法を実行するためにディジタル処理装置によって実行可能な機械可読命令のプログラムを確実に記録する１つまたは複数の記録（信号担持）媒体を含む。
【００８２】
記録媒体には、たとえば、サーバ内のメモリを含めることができる。サーバ内のメモリは、不揮発性ストレージ、データ・ディスク、またはインストールのためにプロセッサにダウンロードするためのベンダ・サーバ上のメモリとすることさえできる。その代わりに、命令を、光データ・ストレージ・ディスクなどの記録媒体内に記録することができる。その代わりに、命令を、たとえば、「ハード・ディスク」、ＲＡＩＤアレイ、ＲＡＭＡＣ（Ｒ）、磁気データ・ストレージ・ディスケット（フレキシブル・ディスクなど）、磁気テープ、ディジタル光テープ、ＲＡＭ、ＲＯＭ、ＥＰＲＯＭ、ＥＥＰＲＯＭ、フラッシュ・メモリ、光磁気ストレージ、紙パンチ・カード、あるいは、電気、光、もしくは無線またはこれらの組合せとすることのできるディジタル通信リンクもしくはアナログ通信リンクまたはこの組合せなどの伝送媒体を含む他の適当な信号担持媒体を含めることのできる、さまざまな機械可読データ記憶媒体のいずれかに保管することができる。例として、機械可読命令に、「Ｃ＋＋」、Ｊａｖａ（Ｒ）、Ｐａｓｃａｌ、ＡＤＡ、アセンブラ、および類似物などの言語からコンパイルされたソフトウェア・オブジェクト・コードを含めることができる。
【００８３】
さらに、プログラム・コードを、たとえば、圧縮し、暗号化し、またはその両方を行うことができ、プログラム・コードに、実行可能コード、スクリプト・コード、ならびにＺｉｐコードおよびｃａｂコード内などのインストール用のウィザードを含めることができる。本明細書で使用される用語、記録（信号担持）媒体の中または上に常駐する機械可読命令またはコードは、上記の送達の手段のすべてを含む。
【００８４】
前述の開示で、本発明の複数の例示的実施形態を示したが、添付請求項によって定義される本発明の範囲から逸脱せずに、さまざまな変更および修正を行えることは、当業者に明白であろう。さらに、本発明の要素を、単数形で説明し、または請求する場合があるが、単数への制限が明示的に述べられていない限り、複数が企図されている。
【図面の簡単な説明】
【００８５】
【図１】クライアント（サプリカント）、ＲＡＤＩＵＳ認証サーバ、認証スイッチ（オーセンティケータ）、およびアクセスが求められる内部ネットワークを有する従来技術のネットワークを示す図である。
【図２】クライアント（サプリカント）、ＲＡＤＩＵＳ認証サーバ、認証スイッチ、およびアクセスが求められる内部ネットワークと、データ・サーバおよびデータベース管理システム・サーバを含めることができる管理サイトとしての中央サイトとを有する、本発明のネットワークを示す図である。
【図３】従来技術のプロトコル・フローを示し、特に、中央サーバまたは中央サイトと認証スイッチとの間のデータ・フローがないことを示す図である。
【図４】本発明のプロトコル・フローを示し、特に、中央サーバまたは中央サイトと認証スイッチとの間のかなりの量のデータ・フローがあることを示す図である。
【図５】中央サイトでまたは中央サイトにまたがって提供される「通信テーブル」データ構造を示す図である。
【図６】認証スイッチと中央サイトの間のデータ・フローと、関連するデータベースへの情報の保管とを用いる本発明の方法を示す流れ図である。
【図７】増強されたデータベースの構成を示す図である。このデータベースには、中央サイト・アドレス、認証サーバＩＤ、スイッチＩＤ、スイッチ・ポートＩＤ、ＭＡＣアドレス、ＩＰアドレス、ポート・アクティブ化時間、イーサネット（Ｒ）・ウォール・ポート、ユーザＩＤ、および所有者が含まれる。
【図８】図７に示されたデータベース内の情報の流れを示す図である。
【符号の説明】
【００８６】
１０１  クライアント（サプリカント）
１０３  認証スイッチ（オーセンティケータ）
１０５  認証サーバ
１０７  ネットワーク・リソース（内部リソース）
２０９  中央サイト（サーバ）
５０１  通信テーブル
５１１  スイッチ・ポートＩＤ
５１３  中央サイト・アドレス
５１５  認証サーバＩＤ
５１７  ＭＡＣアドレス
５１９  ＩＰアドレス
５２１  タイム・スタンプ
８１１  所有者識別
８２１  ＩＰアドレス
８３１  ＭＡＣ／ＩＰ／所有者データベース
【図１】
2007049709.tif 000003
【図２】
2007049709.tif 000004
【図３】
2007049709.tif 000005
【図４】
2007049709.tif 000006
【図５】
2007049709.tif 000007
【図６】
2007049709.tif 000008
【図７】
2007049709.tif 000009
【図８】
2007049709.tif 000010