(57)【要約】仮想グローバルネットワークを介して複数境界ファイアウォールを提供するシステム及び方法が開示される。一実施形態では、ネットワークシステムは、第１のアクセスポイントサーバと通信する出入口ポイントと、第１のアクセスポイントサーバと通信する第２のアクセスポイントサーバと、第２のアクセスポイントサーバと通信するエンドポイント装置と、第１のアクセスポイントサーバと通信する第１のファイアウォールと、第２のアクセスポイントサーバと通信する第２のファイアウォールとを含んでよい。第１及び第２のファイアウォールは、トラフィックが、それらに対応するアクセスポイントサーバを通過することを防ぐことができる。第１及び第２のものは互いに通信し、脅威情報を交換可能である。
2018519688.tif 000002
【特許請求の範囲】
【請求項１】
グローバル仮想ネットワークにおける複数境界ファイアウォールであって、
出入口ポイント装置と、
前記出入口ポイント装置と通信する第１のアクセスポイントサーバと、
前記第１のアクセスポイントサーバと通信する第２のアクセスポイントサーバと、
前記第２のアクセスポイントサーバと通信するエンドポイント装置と、
前記第１のアクセスポイントサーバと通信する第１のファイアウォールであって、少なくともいくつかのトラフィックが前記第１のアクセスポイントサーバから前記第２のアクセスポイントサーバへ流れることを防ぐ第１のファイアウォールと、
前記第２のアクセスポイントサーバと通信する第２のファイアウォールであって、少なくともいくつかのトラフィックが前記第２のアクセスポイントサーバから前記エンドポイント装置へ流れることを防ぐ第２のファイアウォールと、
を含む複数境界ファイアウォール。
【請求項２】
請求項１に記載の複数境界ファイアウォールにおいて、前記エンドアクセスポイントサーバの少なくとも１つは、ファイアウォールサービスを実行するよう構成される、複数境界ファイアウォール。
【請求項３】
請求項１に記載の複数境界ファイアウォールにおいて、前記第１のファイアウォールは前記第２のファイアウォールと通信する、複数境界ファイアウォール。
【請求項４】
請求項３に記載の複数境界ファイアウォールにおいて、前記第１のファイアウォールと前記第２のファイアウォールとの間の通信パスは、グローバル仮想ネットワークのトンネルである、複数境界ファイアウォール。
【請求項５】
請求項３に記載の複数境界ファイアウォールにおいて、前記第１のファイアウォールと前記第２のファイアウォールとの間の通信パスは、グローバル仮想ネットワークのバックチャネルである、複数境界ファイアウォール。
【請求項６】
請求項３に記載の複数境界ファイアウォールにおいて、前記第１のファイアウォールと前記第２のファイアウォールとは脅威情報を共有し、当該脅威情報は、ヒューリスティックパターン、既知の脅威のシグネチャ、既知の悪意のソースIPアドレス、又は攻撃ベクトルの少なくとも１つを含む、複数境界ファイアウォール。
【請求項７】
請求項６に記載の複数境界ファイアウォールにおいて、前記第１のファイアウォールと前記第２のファイアウォールは、中央制御サーバと脅威情報を共有する、複数境界ファイアウォール。
【請求項８】
請求項１に記載の複数境界ファイアウォールにおいて、前記ファイアウォールの少なくとも１つは、ディープパケットインスペクションを実行する、複数境界ファイアウォール。
【請求項９】
請求項８に記載の複数境界ファイアウォールにおいて、前記ディープパケットインスペクションは、トラフィックを通るフロー上で実行される、複数境界ファイアウォール。
【請求項１０】
請求項８に記載の複数境界ファイアウォールにおいて、前記ディープパケットインスペクションは、前記トラフィックのクローンコピー上で実行される、複数境界ファイアウォール。
【請求項１１】
請求項１に記載の複数境界ファイアウォールにおいて、前記ファイアウォールの少なくとも１つは、ステートフルパケットインスペクションを実行する、複数境界ファイアウォール。
【請求項１２】
請求項１に記載の複数境界ファイアウォールにおいて、一方のファイアウォールはステートフルパケットインスペクションを実行し、他方のファイアウォールはステートフルパケットインスペクションを実行する、複数境界ファイアウォール。
【請求項１３】
請求項１に記載の複数境界ファイアウォールにおいて、前記ファイアウォールの少なくとも１つは、クラウドファイアウォール負荷分散装置を含み、前記クラウドファイアウォール負荷分散装置はオンデマンドでクラウドファイアウォールリソースを割り当てることができる、複数境界ファイアウォール。
【発明の詳細な説明】
【関連出願の相互参照】
【０００１】
本願は、米国仮特許出願第62/144,293号（２０１５年４月７日出願）、米国仮特許出願第62/151,174号（２０１５年４月２２日出願）の優先権を主張するものであり、当該出願の開示全体をここに参照のために取り込む。
【技術分野】
【０００２】
本開示はネットワークに監視、特に、クラウド内の複数の境界に分散ファイアウォール（FW）装置を戦略的に配置することによって、グローバル仮想ネットワーク又は類似のネットワークを通るトラフィックのフローを保護するネットワークセキュリティに関する。
【背景技術】
【０００３】
人間は２００ミリ秒以上の遅延を知覚することができる。典型的には、これが、出来事に対する平均的な人間の反応速度である。レイテンシが大きければ、（例えばシンクライアントからクラウド上のサーバへの）オンラインシステム、顧客関係管理（CRM）、企業資源計画（ERP）及び他のシステムは十分に機能せず、タイムアウトにより機能が停止するおそれがある。パケット損失が大きいハイレイテンシは、接続を使用不可能にする。仮にデータが通過すれば、特定のポイントでの甚大な遅延は、乏しいユーザ体験（UX）をもたらす。この場合、結果として、ユーザはその状況を受け入れることを拒絶し、実際には、乏しい伝送サービスは使えないものとなる。
【０００４】
これらの問題に対処するために、様々な技術が発展している。そのような技術の１つはWAN最適化であり、典型的にはローカルエリアネットワーク（LAN）の端のハードウェア（HW）装置を伴う。これは、他のLANの端にある他のWAN最適化HW装置へのトンネルを構築し、それらの間でワイドエリアネットワーク（WAN）を形成する。この技術は、２つの装置が互いに接続する、安定的な接続状態を想定する。WANオプティマイザは、データフローを圧縮及び安全化するよう試み、これによりしばしば速度は増加する。WAN最適化を採用する商用ドライバは、送信されるデータボリュームを節約し、データ送信のコストを低減するよう試みる。この不利な点は、それがしばしばポイントツーポイントであることと、２つの装置間のインターネットを通るトラフィックフローのパスに対する制御がほぼないために、それらの間の接続が良くないときに苦労することである。これに対処するために、WANオプティマイザのユーザはしばしば、MPLS若しくはDDN線又は他の専用回路上でWANを駆動することを選択する。これにより、費用が増加し、通常は、再び、ポイントツーポイント接続が硬直し不安定になる。
【０００５】
直接リンク（例えばMPLS、DDN、専用回路又は他のタイプの固定的なポイントツーポイント接続）は、接続品質及びサービス品質（QoS：Quality  of   Service）の保証を提供する。それらは高価で、しばしば、インストールに非常に長い時間を要する。その理由は、接続の両端のPOPからラインを物理的に引く必要があるからである。ポイントツーポイントのトポロジは、１つのLAN内から他のLANのリソースへと、この直接接続WANを介して接続するときには良好に機能する。しかし、一般のインターネットへのゲートウェイ（GW）が一端のLAN（例えば企業の本社）に位置するとき、支社のある国のリモートからのトラフィックは、GWを通してインターネットへとルーティングされる。トラフィックがインターネットを介して、その支社と同じ国にあるサーバに流れ戻るとき、速度が落ちる。トラフィックは、LANからWANを介し、GWが位置するLANへと向かい、次いでインターネットを介して元の国のサーバへと戻らなくてならず、次いで、インターネットを通してGWへ戻り、専用線からLAN内のクライアントデバイスへと戻らなくてはならない。本質的には、この近くのサイトにアクセスするために、わずかなグローバルレイテンシのグローバルトランジット時間の２倍又は３倍（又はそれより悪い）がかかる。これを克服するために、適切な構成変更及び追加装置を有する他のインターネット線の代替接続性により、そのようなシステムの両端で、インターネットへのローカルなトラフィックが提供される。
【０００６】
一方のLANから他方のLANへのWANリンクを作成するための他の選択肢は、トンネル（例えばIPSec又は２つのルータ、ファイアウォール、又は同様のエンド装置間の他のプロトコルトンネル）を確立することを伴う。これらは通常暗号化され、圧縮及び他のロジックを提供して、接続性を向上するよう試みることができる。２つのポイント間のルート上では、ほとんど制御を行うことができない。この理由は、それらがインターネット上の様々な中間参加者のポリシーに依存するからである。それらの参加者は、ネットワーク及びピア上を介して、他のキャリア及び／又はネットワークオペレータへトラフィックを伝送する。ファイアウォール及びルータ、スイッチ及び多くの機器ベンダからの他の装置は、それらファームウェアへと構築されるトンネリングオプションを有する。
【０００７】
近年、ラストワンマイルでの接続性は非常に改善した一方、距離、プロトコル制限、ピアリング、インタフェース及び他の問題に関する事項によって、長距離コネクティビティや脅威については依然問題が存在する。したがって、標準的なインターネット接続のオーバーザトップで稼働するセキュアなネットワーク最適化サービスが要望される。
【発明の概要】
【０００８】
仮想グローバルネットワークを介して複数境界ファイアウォールを提供するシステム及び方法が開示される。ネットワークは、出入口ポイント装置、第１及び第２のアクセスポイントサーバ、エンドポイント装置、並びに第１及び第２のファイアウォールを含んでよい。第１のファイアウォールは第１のアクセスポイントサーバと通信し、ネットワークトラフィックが第１のアクセスポイントサーバを通って流れることを防ぐことができる。第２のファイアウォールは第２のアクセスポイントサーバと通信し、ネットワークトラフィックが第２のアクセスポイントサーバを通って流れることを防ぐことができる。
【０００９】
一実施形態によれば、少なくとも１つのアクセスポイントサーバはファイアウォールサービスを実行するよう構成される。
【００１０】
他の実施形態によれば、第１のファイアウォールは第２のファイアウォールと通信する。第１のファイアウォールと第２のファイアウォールとの間の通信パスは、グローバル仮想ネットワークトンネル、グローバル仮想ネットワークバックチャンネル、APIコール又はその他であってよい。いくつかの実施形態では、第１のファイアウォール及び第２のファイアウォールは、脅威情報を共有する。当該脅威情報は、ヒューリスティック（発見的）パターン、既知の脅威のシグネチャ、既知の悪意のソースIPアドレス、又は攻撃ベクトルの少なくとも１つを含む。脅威情報は、中央制御サーバを介して共有されてよい。
【００１１】
いくつかの実施形態では、少なくとも１つのファイアウォールがディープパケットインスペクションを実行する。他の実施形態では、少なくとも１つのファイアウォールはステートフルパケットインスペクションを実行する。他の実施形態では、１つのファイアウォールは、ステートフルパケットインスペクションを実行する。他のファイアウォールも、ステートフルパケットインスペクションを実行する。
【００１２】
いくつかの実施形態では、少なくとも１つのファイアウォールは、クラウドファイアウォールの負荷分散装置を含み、これは、クラウドファイアウォールリソースをオンデマンドで割り当てる。
【図面の簡単な説明】
【００１３】
本開示の一層の理解を容易にするために、添付する図面が参照される。ここでは、類似の要素は類似の番号又は参照符号により参照される。これらの図面は、本開示を限定するものとして解釈してはならない。当該図面は例示のみを意図したものである。
【図１】５つのタイプのファイアウォール装置の動作を示す。
【図２】ファイアウォールを通り得るトラフィックフローを示す。
【図３】ステートフルパケットインスペクション及びディープパケットインスペクションを示す。
【図４】パケットストリームから組合せて生成されるペイロードを示す。
【図５】インターネットからLANへの、ブロードベースネットワークの攻撃パスを示す。
【図６】対向するネットワーク上で生じるトラフィック量が多い攻撃による、ネットワークへの否定的なブローバック効果を示す。
【図７】クラウド内に位置する複数境界ファイアウォールを示す。
【図８】クラウド内に位置する複数境界ファイアウォールのスケーラビリティを示す。
【図９】インターネット接続の上位のGVNに対し上位にある、複数境界ファイアウォールを示す。
【図１０】発信元から宛先へGVNを介して利用可能な様々なルートのフローチャートを示す図である。
【図１１】ステートフルパケットインスペクション（SPI）ファイアウォールと、ディープパケットインスペクション（DPI）ファイアウォールとの間の通信を示す。
【図１２】グローバル仮想ネットワークによって可能になるクラウド内の複数境界ファイアウォール（MPFW）を示す。
【図１３】グローバル仮想ネットワークの装置間の情報フローを示す。
【図１４】パーソナルエンドポイント装置を支援する、クラウド内複数境界ファイアウォール（MPFW）を示す。
【図１５】自動装置に求められるモジュールと、ファイアウォール協働と、GVN内での情報交換とを示す。
【図１６】GVN内の装置から装置への情報交換を示す。
【図１７】GVN内の他のシステムと複数境界ファイアウォールとの統合を示す。
【図１８】トポロジ及び対応するファイアウォールの配置を、スケーラビリティと共に示す。当該スケーラビリティは、クラウド上のファイアウォール負荷分散装置によってリンクされるクラウド上のファイアウォールによってもたらされる。
【図１９】インターネット又はダークファイバ上のバックボーンセグメントを含むGVNトポロジを示す図である。
【図２０】エンドポイント装置（EPD）及びインターネットへの情報フロー、又はエンドポイント装置（EPD）及びインターネットからの情報フローについての、装置及び接続のトポロジを示す。
【図２１】複数境界ファイアウォールのアルゴリズムを示す。
【図２２】クラウドファイアウォール装置、クライアントファイアウォール負荷分散装置、中央制御サーバ、アクセスポイントサーバ及びエンドポイント装置についての、ソフトウェアアーキテクチャの論理図を示す。
【図２３】GVNにおけるファイアウォール(FW)から様々な装置への、中央制御サーバ(SRV_CNTRL)を介した情報フローを示す。
【図２４】ファイアウォール、ファイアウォール負荷分散装置、及び／又はファイアウォールアレイを通って流れるトラフィックを分析するのに用いられるアルゴリズムを示す。
【図２５】は、システムスタックにおける、脅威を扱って処理する様々な層を示す。
【図２６】起動プロセス中の暗号化ボリュームを自動的に復号化する方法を示す。
【図２７】一意のユーザ識別(UUID)が、装置特有の多くの要素に基づいて当該装置につき一貫してどのように算出されるかを示す。
【図２８】セキュアブート(起動)メカニズムのモジュールを示す。
【図２９】バックチャネルメカニズムの詳細を示す。
【図３０】多くのエンドポイント装置（EPD）とバックチャネルサーバ(SRV_BC)との間の接続を示す。
【図３１】循環し且つ算出されたキーを用いて、データベースの列における選択されたフィールドへ暗号化データを書き込む処理を示す。当該キーは、各単一の列につき一意である。
【図３２】キー、キーアジャスタ、及び算出されたキーに対するフレームワークを用いる他の要素を用いた、単一の列からのデータの復号化を示す。
【図３３】エンドポイント装置（EPD）を介してクライアントによって要求されたグラフィックユーザ(GUI)のコンテンツと、要求されたコンテンツとが、ロックされたボリューム内に格納されるときに生じることを示す。
【図３４】インターネットのハイレベルなブロック図である。
【図３５】ドメインネームシステム（DNS）を介した、数値的なインターネットプロコトル（IP）アドレスに対するユニバーサルリソースロケータ（URL）解決を示すブロック図である。
【発明を実施するための形態】
【００１４】
GVNは、標準的なインターネット接続のオーバーザトップで、セキュアなネットワーク最適化サービスをクライアントに提供する。これは、GVNの構成部分や、GVN要素として機能できる関連技術の概略である。GVN要素は、GVNとは独立して、又は、GVNのエコシステム内で動作する。このとき、それらの要素は、それら自身の目的のため、例えばGVNフレームワークを用いる。また、それらの要素は、GVNの性能及び効率を向上するために展開可能である。この概要はまた、GVNのいくつかの又は全てのコンポーネントを使用するスタンドアロンの配置として、他の技術がどのようにGVNから利益を受けるかを開示し、また、その利益を用いて、既存のGVN上の独立したメカニズムとしてどれが迅速に展開可能かを開示する。
【００１５】
ソフトウェア（SW）上の仮想プライベートネットワーク（VPN）は、クライアント装置とVPNサーバとの間のトンネルを介して、プライバシーを提供する。これらは暗号化の利点を有し、いくつかの場合には圧縮の利点をも有する。しかし、VPNクライアントとVPNサーバとの間のトラフィックがどのように流れるかについて、制御をほぼ行うことができない。VPNサーバとホストサーバとの間や、ホストクライアントと宛先にある他の装置との間も同様である。これらはポイントツーポイントの接続であり、VPN及びいくつかの技術を用いて装置毎にクライアントソフトウェアをインストールし、各装置の接続を維持する必要がある。VPNサーバの出口ポイントが通信パスを介して宛先ホストサーバ又はホストクライアントのすぐそばにある場合、性能は良い。そうでなければ、有用性の観点から、性能上の欠陥や不満が顕著であろう。しばしばVPNユーザにとって、１つのVPNサーバから切断して、他のVPNサーバに再接続することが必要である。これにより、１つの地域からコンテンツへのローカルアクセスは、他の地域からのそのコンテンツへのローカルアクセスに比べて良質である。
【００１６】
グローバル仮想ネットワーク（GVN）は、インターネットの上位におけるコンピュータネットワークの１タイプであり、世界中に分散され互いにセキュアにリンクされた装置のネットワークを用いて、グローバルセキュアネットワーク最適化サービスを提供する。当該リンクは、アプリケーションプログラミングインタフェース（API）、データベース（DB）複製及び他の方法を介して、高度なトンネル、協働及び通信によって実現される。GVNにおけるトラフィックルーティングは常に、アドバンストスマートルーティング（ASR）によって管理される最善の通信パスを介する。そのASRは、ビルダ、マネージャ、テスタ、アルゴリズム解析及び他の方法を組合せた自動システムによって強固にされ、経時変化する状況及び学習に適合し、システムを構成及び再構成する。
【００１７】
GVNは、１以上の通常のインターネット接続のオーバーザトップで、安全、信頼、迅速、安定、正確及び集中的な同時接続性を与えるサービスを提供する。これらの利益は、ラッピング、カムフラージュ又は暗号化されたトンネルによる複数の接続を通過するデータフローを圧縮することによって達成される。そのトンネルは、EPDとEPDの近傍にあるアクセスポイントサーバ（SRV_AP）との間のものである。EPDとSRV_APとの間の接続品質は、継続的に監視される。
【００１８】
GVNは、ハードウェア（HW）エンドポイント装置（EPD）と、インストールされたソフトウェア（SW）、データベース（DB）及びGVNシステムの自動化モジュールとの組合せである。当該自動化モジュールは例えば、ニュートラルなアプリケーションプログラミングインタフェースメカニズム（NAPIM）、バックチャネルマネージャ、トンネルマネージャ、及び他の特徴等である。他の特徴は、EPDを、分散インフラ装置（例えばGVN内のアクセスポイントサーバ（SRV_AP）及び中央サーバ（SRVCNTRL））へ接続させるものである。
【００１９】
アルゴリズムは現在のネットワーク状態を断続的に分析し、傾向や長期にわたる過去の性能を考慮することで、トラフィックが通るべき最善のルートや、トラフィックをプッシュして通すものとしてどれが最善のSRV_AP又は一連のSRV_APサーバであるかを判定する。構成、通信パス及び他の変更は、自動的に実行される。実行中は、最小限のユーザインタラクション又は干渉が要求され、又は、何らのユーザインタラクション又は干渉も要求されない。
【００２０】
EPD及びSRV_APにおけるアドバンストスマートルーティングは、できるだけ簡素に言うところのGVNの「第３の層」を介して、最も理想的なパスを経由して発信元から宛先へとトラフィックが流れることを確実にする。この第３の層は、GVNに接続されたクライアント装置によって、通常のインターネットパスとして視認される。しかしそこでは、ホップの数は少なく、安全性は高く、且つほとんどの場合、同一の宛先へと通常のインターネットを介して流れるトラフィックよりも、レイテンシが低い。ロジック及びオートメーションは、GVNの「第２の層」で動作し、ここではGVNのソフトウェアは、基礎的なルーティング並びに仮想インタフェース（VIF）及び複数のトンネルの構築、通信パスの結合を自動的に監視及び制御する。GVNの第３及び第２の層は、GVNにおける動作的な「第１の層」の上位に存在する。第１の層は、下位のインターネットのネットワーク装置と相互に通信する。
【００２１】
技術的及びネットワーク的な視点から、クラウドは、装置、グループ、アレイ、装置クラスタを示す。それらはオープンインターネットを介して他の装置に接続されて利用可能である。これらの装置の物理的な位置は重要ではない。というのも、それらはしばしば、複数の位置にわたって複製されたデータを有するからである。ここでは、コンテンツデリバリネットワーク（CDN）又は他の技術を用いて、最も近いサーバから要求元クライアントへの伝送又は当該要求元クライアントから当該サーバへの伝送が行われ、接続速度を向上し、ユーザ体験（UX）を向上させる。
【００２２】
本発明は、ファイアウォール(FW)産業による標準的な使用を確立し、境界をクラウドへ拡張することによってその使用価値を増大させる。ファイアウォールは主に、外部ネットワークからの外部脅威に対して内部ネットワークを保護するように設計されるとともに、内部ネットワークから情報データが漏洩することを防ぐ。ファイアウォールは伝統的に、１つのネットワーク（例えばローカルエリアネットワーク（LAN））と、他のネットワーク（例えば、より広いネットワークへのアップリンク）との間の端に配置される。ネットワーク管理者はFWの配置及び信頼性に敏感である。というのも彼らは、ネットワークを安全にするためにFWに頼っているからである。
【００２３】
GVNの追加コンポーネントは、セキュアブートメカニズム(SBM)及びバックチャネルメカニズム(BCM)を含む。セキュアブートメカニズムは、キーをリモートサーバに格納し当該キーを、SBMを介して利用可能にするだけで、セキュアなボリュームの当該キーを保護する。トンネルが機能せずネットワーク性能が乏しいとき、BCMはチャネル(オープンインターネットから到達不可能な装置へのアクセスを含む)を装置へ提供する。当該装置は、さもなければ到達不可能である。このメカニズムは、障壁を通る逆ホールパンチング(hole-punching)を提供し、通信チャネルを開いたまま継続する。GVNの他のセキュリティコンポーネントは、UUTDハードウェアの複合と、列ごとのキーを用いた、細かいグラニュラリティでのデータ暗号化とを含む。
【００２４】
図３４は、インターネットのハイレベルなブロック図である。平均的なユーザは、インターネットがどのように機能するかにつき、非常に大雑把で概略的な理解しか有さない。ホストソース34-00は開始点であり、クライアント装置を示す。クライアント装置は、コンピュータ、携帯電話、タブレット、ラップトップコンピュータ又は他のクライアントであってよい。このクライアントは、インターネット34-200を介してホストサーバ34-300へ接続して、コンテンツを送信又は検索する。又はこのクライアントは、他のホストクライアント34-302に接続して情報を送信又は検索する。
【００２５】
技術力をほぼ有さないユーザは、ホストサーバへのトラフィックは、そのデータがインターネットを通過することを理解せずに、パス2P002を通ると考えることがある。又は、彼らは、トラフィックはパス2P006を介して他のクライアント装置へ直接流れると考えるかもしれない。
【００２６】
それがどのように動作するかにつき何らかの理解を有するユーザは、トラフィックはパス2P004を介してインターネット34-200へ流れ、次いでパス2P102を介してホストサーバターゲット34-300へ流れると理解し、又は、パス2P104を介してホスト（クライアント）ターゲット34-302へ流れると理解するであろう。
【００２７】
技術的な知識をより有するユーザは、更に、Ｅメールを送信するとき、そのメールがクライアント装置34-100を離れ、パス2P004を通過してインターネット34-200に達し、次いでパス2P202を介してメールサーバ34-202に達すると考える。Ｅメールの受信者は、ホストクライアント34-302を介してパス2P104に沿ってインターネットへと、次いでパス2P204を下ってメールサーバ34-202に対し、Ｅメールを検索するリクエストを生成する。
【００２８】
インターネットに対する平均的な理解は、この程度の詳細さである。
【００２９】
図３５は、ドメインネームシステム（DNS）を介した、数値的なインターネットプロコトル（IP）アドレスに対するユニバーサルリソースロケータ（URL）解決を示すブロック図である。
【００３０】
ホストクライアント（Ｃ）35-100からホストサーバ（Ｓ）35-300に対するコンテンツリクエスト35-000又はプッシュ）は、ファイル、ストリーム又はデータブロックとして、ホストクライアント（Ｃ）35-100からホストサーバ（Ｓ）35-300へ流れる。ホストSからホストCへと、ファイル、ストリーム又はデータブロックとしてレスポンス又はコンテンツ伝送3002が返される。ホストサーバ（S）とクライアントサーバ（CS）関係にあるホストクライアント装置35-100は、リモートホストサーバ（S）からコンテンツにアクセスするリクエストを生成し、ホストサーバ（S）へユニバーサルリソースロケータ（URL）又は他のネットワークに到達可能なアドレスを介して、データを送信する。
【００３１】
ホストクライアント（C）35-100からインターネット35-206への最初の接続は、3P02として図示される。これは、ホストクライアント（C）から（直接対向可能な）存在点（POP）35-102への接続である。他の場合、ホストクライアント（C）は、ローカルエリアネットワーク（LAN）に配置され、次いで存在点（POP）を介してインターネットに接続し、ラストワンマイル接続として参照可能である。存在点（POP）35-102は、インターネットサービスプロバイダ（ISP）によってエンドポイントからネットワーク及びその相互接続子を介してインターネットへ提供される接続を示す。これは、ケーブル、ファイバ、DSL、イーサネット、衛星、ダイヤルアップ及び他の接続方法であってよいがこれらに限られない。URLが数値的なアドレスではなくドメインネームのとき、このURLはドメインネームシステム（DNS）サーバ35-104に送信され、そこでドメインネームはIPv4、IPv6、又はルーティング目的の他のアドレスへ解釈される。
【００３２】
ホストクライアント（C）35-100からホストサーバ（S）35-300へのトラフィックは、（POP35-102と35-302との間の遷移を示す）インターネット35-206を介してルーティングされる。当該変遷は、ピアリング、バックホール又はネットワーク境界の他の変遷を含む。
【００３３】
POP35-102とドメインネームシステム35-104との間の接続3P04は、ユニバーサルリソースロケータ（URL）から数値アドレスをルックアップし、ターゲットサーバ（S）のIPv4アドレス又は他の数値アドレスを取得するために用いられる。当該接続3P04は、POPから直接的に、又はインターネット35-206を介してアクセス可能である。ISPのPOP35-102からのインターネット35-206への接続3P06は、シングルホーン又はマルチホーンであってよい。同様に、インターネット35-206からリモートISPへの接続3P08は、シングルホーン又はマルチホーンであってよい。この接続は一般に、ISPの又はインターネットデータセンタ（IDC）の、インターネットに面したPOP35-302である。リモートISPのPOP35-302からホストサーバ（S）への接続3P10は、直接的であってよいし、複数ホップを介してよい。
【００３４】
URL又はホスト名から数値アドレスへの、ドメインネームシステムを介したルックアップは、今日のインターネット上では標準的である。システムは、DNSサーバは必須であることや、DNSサーバでの結果は最新のものであり信用できることを想定する。
【００３５】
図１９は、GVNトポロジ、通信パス（インターネット又はダークファイバ上のバックボーンセグメントを含む）を示し、様々な装置（様々な境界での様々なタイプのファイアウォール（FW）装置）の配置を示す。これは、様々な地理的地域、ゾーン又は領域が、他のタイプのパス上でどのように共にリンクされるかを示す。この図は、そのような様々なタイプのネットワーク構造が、より良いネットワークタペストリへ組合せ可能であることを示す。これらの構造は、米国仮出願第62/174,394号に示されるように、共にシームレスに連結される。
【００３６】
図１９を参照すると、複数の領域（すなわち、LAN領域0(ZL00)、LAN領域1(ZL10)、インターネット領域0(ZI00)、インターネット領域1(ZI10)、インターネット領域2(ZI20)、インターネット領域3(ZI30)、インターネットデータセンタ領域2(ZD20)及びインターネットデータセンタ領域(ZD30)）が示される。
【００３７】
LAN領域0  19-ZL00は、典型的なローカルエリアネットワーク（LAN）を示す。これは、LANと外部ネットワークGVNのOTT19-202とインターネット19-30との間のエンドポイント装置（EPD）19-100に関する、ファイアウォールの配置を含む。LAN19-04とEPD19-100との間には、ハードウェアのファイアウォールFW19-40がある。他のハードウェア又はソフトウェアFW19-42は、EPD19-100と出入口ポイント（EIP）19-20との間にあり、当該EPDを、インターネットから生じる外部脅威から保護する。
【００３８】
LAN領域1  19-ZL10は、トポロジの観点でLAN領域0  19-ZL00と類似する。ただし、EPD19-110とLAN19-46との間にファイアウォールが配置されていないという例外がある。
【００３９】
インターネット領域0  19-ZI00は、19-ZL00に近い領域における例示的なインターネットトポロジを示す。インターネット領域1  19-ZI10は、19-ZL10に近い領域における例示的なインターネットトポロジを示す。インターネット領域2  19-ZI20は、19-ZD20に近い領域における例示的なインターネットトポロジを示す。インターネット領域3  19-ZI30は、19-ZD30に近い領域における例示的なインターネットトポロジを示す。
【００４０】
インターネットデータセンタ領域2  19-ZD20は、クラウド上ファイアウォールCFW19-46のトポロジと配置とを示す。これは、クラウドファイアウォール負荷分散装置の背後にある仮想化されたファイアウォール装置を含む。インターネットデータセンタ領域3  19-ZD30は、クラウド上ファイアウォールCFW19-48のトポロジと配置とを示す。これは、クラウドファイアウォール負荷分散装置の背後にある仮想化されたファイアウォール装置を含む。
【００４１】
領域ZD20内のSRV_BBX19-72は、ダークファイバ19-220上のダークファイバ接続19-P220を介して、他の領域ZD30内のSRV_BBX19-80に接続可能である。SRV_BBX19-72はファイルを、19-P220上のリモートDMA（RDMA）を介して並行ファイルストレージPFS19-82へ、直接書き込み可能である。当該19-P220は、パス19-P82を介してSRV_BBX19-80のスタックをバイパス（迂回）する。SRV_BBX19-80はファイルを、19-P220上のリモートDMA（RDMA）を介して並行ファイルストレージPFS19-74へ、直接書き込み可能である。当該19-P220は、パス19-P74を介してSRV_BBX19-72のスタックをバイパス（迂回）する。
【００４２】
パス19-P210は、IPv4又は任意の種類の標準インターネットプロトコルであってよい。これの上でトラフィックは、パス19-P210を介してSRV_AP19-300とSRV_AP19-310との間を流れる。当該トラフィックは、GVNのオーバーザトップで、トンネル又は他のタイプの通信パスを介して流れる。
【００４３】
図示されるトポロジは、GVNパス内にファイアウォール又はトラフィック監視装置を有さない。しかし、これらの装置は、必要に応じてそこに配置されて、データフローを更に安全にすることができる。
【００４４】
図１３は、グローバル仮想ネットワークの装置間の情報フローを示す。データベースB200及びファイルストレージHFS200を含む中央リポジトリは、中央サーバ（SRV_CNTRL）200上にある。
【００４５】
P###との符号が付された装置間通信パスは、APIコール、データベース複製、直接ファイル転送、又は組合せ（例えばAPIコール又は他の形式の情報交換によるデータ複製）を示す。太線（13-P100300、13-P300500及び13-P100500）は、GVN装置間の直接通信を示す。これは、ピアのペアリングを有し、それにより互いに特権関係を有する。
【００４６】
SRV_CNTRL200から13-P200100を介してEPD100へ、13-P200300を介してSRV_AP300へ、又は13-P200500を介して他のデバイス13-500へと図示されるピア−ペア通信の循環パターンが存在する。EPD100は、13-P100200を介してSRV_CNTRL200と通信する。SRV_AP300は、13-P300200を介してSRV_CNTRL200と通信する。他の装置13-500は、13-P500200を介してSRV_CNTRL200と通信する。
【００４７】
いくつかの実施形態では、装置間で共有される情報のループが存在する（例えばEPD100がSRV_CNTRL200からP13-100200を介した情報をリクエストする場合、当該情報はP13-200100を介してEPD100へと返信される）。
【００４８】
他の実施形態では、装置は他の装置へ関連情報を報告する。例えばSRV_AP300はP13-300200を介してSRV_CNTRL200へ報告する。SRV_CNTRL200はP13-200100を介してEPD100又はSRV_AP300へ報告し、その他の場合として、13-P200300を介してSRV_AP300へ報告し、又は、13-P200500を介して他の装置8500へ報告することができる。
【００４９】
更に他の実施形態では、完全なループは必要でなくてよく、例えばEPD100等の装置からP13-100200を介してSRV_CNTRL200へログ情報を送信するときは、この情報を更にその先へ転送する必要はない。しかし、ログ情報はその後、SRV_CNTRL200上のリポジトリから、P13-200500を介して、長期ログストレージサーバ13-500又は他の装置へ移動される。
【００５０】
直接リンクP13-100300は、装置EPD100とSRV_AP300との間にある。直接リンク13-P300500は、SRV_AP300から他の装置13-500へのものである。直接リンクはSRV_CNTRL200による関わりを必要としない、装置間の通信を伴う。
【００５１】
SRV_CNTRL13-306又はSRV_CNTRL200からのプッシュ（フィード）は、13-P306を介して発行されるRSSフィード又は他のタイプの情報であってよい。SRV_CNTRL200へコールを行うSRV_CNTRL13-200へのAPIクエリは、伝統的なAPIトランザクション又はRESTfulAPIコールであってよく、このときリクエストはP13-302REQを介して生成され、レスポンスはP13-302RESPを介して受信される。プッシュ13-306及びAPI13-302要素は、ピアペア関係又は特権状態を共有しないデバイス及び／又は類似のシステムアーキテクチャとの通信であって、情報から利益を受けることができる通信を示す。
【００５２】
図１は、５つのタイプのファイアウォール装置の動作を示す。ファイアウォール1-FWOは、いくつかの閉止（closures）が示された状態の、全開（all-open）のファイアウォールを示す。パス1-DP0-2は、明示的にブロックされていない故にファイアウォールを通ることが許可された、トラフィックフローを示す。パス1-DP0-4は、明示的にブロックされる故にファイアウォールを通ることができないトラフィックを示す。
【００５３】
ファイアウォール1-FW2は、いくつかの開口が示された状態の、全閉（all-closed）のファイアウォールを示す。パス1-DP2-4は、ルールによって、通過することが明示的に許可されていなトラフィックを示す。したがって、そのトラフィックはブロックされる。パス1-DP2-2は、明示的に許可され、したがって、妨害されずに通過するトラフィックを示す。
【００５４】
ファイアウォール1-FW4は、２つルールが示される、ルール上のファイアウォールを示す。入ってくるトラフィックは、インターネット1-D104からパス（入来1-DP4）を経由して流れる。当該トラフィックは、ルール1-D4のテーブルへと入り、転送又は他の処理を実行する。もし入来トラフィックが１つのルールに合致すれば、それはルール1-DP4Aを介してLAN1-D104へと流れる。もしそれが他のルールに合致すれば、それはルール1-DP4Bを介して、LAN1-D104における他の位置へ流れる。
【００５５】
ファイアウォール1-FW6は、ファイアウォール動作（例えば、判定マトリックス1-D6での検出及び保護）を行い、トラフィックがOK且つ、パスYES1-DP6Yを介してLAN1-D106へ許可されるべきか否かを判定することや、脅威が検出されてトラフィックがブロックされるべきか、吸収されるべき（blackholed）か、及び／又は、パスNO1-DP6Nを介して処理されるべきかを判定すること）を示す。
【００５６】
ファイアウォール1-FW8は、ルールと、検出及び保護動作1-D8との組合せが示されるファイアウォールを示す。インターネット1-D108からのトラフィックは、ルールに合致してLAN1-D108のルールパス1-DP8A又は1-DP8Bを流れ、又は、パスYES1-DP8Yを介して直接及び保護フィルタによって許可される。もしトラフィックが許可されなければ、それはブロックされ、吸収され、又は、さもなければパスNO1-DP8Nを介して処理される。
【００５７】
他のタイプのファイアウォール（不図示）は、ファイアウォール1-FWO、ファイアウォール1-FW2及びファイアウォール1-FW8の組合せである。検出及び保護につき異なる種類のファイアウォール（例えば、ステートフルパケットインスペクション（SPI）、ディープパケットインスペクション（DPI）、他のタイプのファイアウォール等）が存在する。
【００５８】
図２は、ファイアウォールを通り得るトラフィックフローを示す。ラストワンマイルPOP2-022とLAN2-114との間の接続パスは、2-CP144を介してPOPからFW2-144へと向かい、2-CP114を介してLAN2-114からFW2-144へと向かう。捕捉されるべき悪質、攻撃的又は既知の脅威トラフィックは、パス2-TR6Aから2-TR6Bを介してブラックホール2-148へ送信されるか、パス2-TR4Aから2-TR4Bを介してFW-隔離2-144Qにおいてそのデータが隔離される。良好で問題なく、又は許可されたトラフィックに対するパスは、2-TR2を介して流れ得る。外部から内部への攻撃トラフィックは、2-ATK-434及び2-ATK-432で示される。
【００５９】
図３は、ファイアウォールが実行可能な２種類の検査（inspection）（すなわち、ステートフルパケットインスペクションとディープパケットインスペクション）を示す。ファイアウォールが１つの物理装置内に存在するとき、速度と包括性とのトレードオフとして、SPI又はDPIを実行するか否かの選択が可能である。ステートフルパケットインスペクション（SPI）はSPIファイアウォール3-SPにて示される。ディープパケットインスペクション（DPI）は、DPIファイアウォール3-DPにて示される。
【００６０】
SPIを実行するとき、ファイアウォールはパケットのヘッダ3-SP0-H、3-SP2-H及び3-SP4-Hを検査して、攻撃情報を識別する。一方でそれは、パケットのペイロード3-SP0-P、3-SP2-P及び3-SP4-Pを無視する。DPIに対するSPIの利点は、速いことや、プロセッサ、RAM及びリソースの消費が少ないことである。不利な点は、ファイアウォールは、パケットのペイロード内のコンテンツを確認しないことである。
【００６１】
DPIは、ヘッダ3-DP0-H、3-DP2-H、3-DP4-H、3-DP6-H及び3-DP8-Hを超えて、コンテンツ（例えばパケットのペイロード3-DP0-P、3-DP2-P、3-DP4-P、3-DP6-P及び3-DP8-P）を検査する。その利点は、この検査が、可視性をコンテンツに提供する上で一層包括的である。当該コンテンツは、１つのパケットのペイロード内にあるだけでなく、一連の複数パケット3-DP0、3-DP2、3-DP4-H、3-DP6及び3-DP8からの編集ペイロード3-DP-ALLからのペイロードにもある。DPIの不利な点は、SPIよりも非常に遅いことと、プロセッサ、RAM及び他のリソースを、SPIよりもかなり消費することである。
【００６２】
図４は、パケットストリームから組合せて生成されるペイロードを示す。この例では、パケット4-DPのストリームがDPIファイアウォールへ提示される。ペイロード3-DP0-P6、3-DP2-P6、3-DP4-P6、3-DP6-P6及び3-DP8-Pは、複合ペイロード3-DP-ALLへと連結される。それは次いで、DPIファイアウォール4-DP-ANLによって分析される。
【００６３】
ディープパケットインスペクションは、１以上のパケットのペイロードを検査することによって動作する。それはペイロードのコンテンツを細かく確認し、次のものを検索する。すなわち、検索文字列、既知のウィルスのシグネチャ、又は、全体的なシグネチャ（これは、ウィルス、マルウェアのパターン、形式違反のバイナリBLOBを示す）が検索される。当該全体シグネチャは、異なるデータタイプ又は他の脅威（既知又は未知）のふりをする。
【００６４】
図５は、インターネット002からLAN114への、ブロードベースネットワークの攻撃パスを示す。この図は、各ネットワークセグメントにつき、関連パイプサイズ又は帯域幅を示す。内部LAN  NTSP08は、10GigEの速度で実行されてよい。このネットワークセグメントは、ISPのPOP022と内部ファイアウォールFW144との間に、接続CP114を含む。ローカルIPSのネットワークNTSP04は、10GigEであってよい。このネットワークセグメントは、インターネットとISPのPOP022との間に、接続CP022を含む。インターネットバックボーンネットワークNTSP02の速度は、一般には非常に速い（例えばマルチホーンの3×100GigEネットワーク）。
【００６５】
しかし一般に、「ラストワンマイル」の接続ネットワークNTSP06は、クライアントファイアウォールFW144とISPのPOP022との間で非常に遅い。例えばFW144とPOP022との間の接続CP144は、200Mbps接続であってよく、これはNTSP04又はNTSP08の、速い10GigE速度とは異なる。この接続は、帯域幅をあまり有していないので（例えば遅いので）、この接続は、調整されたインターネット上の攻撃によって容易に飽和する。ISPのPOP022もまた、飽和して、このクライアントの接続だけでなく他の装置の接続にも影響する。
【００６６】
図６は、対向するネットワーク上で生じるトラフィック量が多い攻撃による、ネットワークへの否定的なブローバック効果を示す。パスCP144が攻撃トラフィックATK-432及びATK-434で飽和するとき、これは対向するネットワークパスCP142（ファイアウォールFW142へ接続し、パスCP112を介してLAN1120へ接続する）とパスCP146（ファイアウォールFW146へ接続し、パスCP116を介してLAN116へ接続する）へ否定的な影響を与え得る。この原因は、CP142とCP146とが近く、CP144及びそれらの共有済みアップストリームパスがPOP022を通るためである。
【００６７】
CP142及びCP146への否定的な影響の原因は、CP144の共有スイッチ上のポートの混雑又はその他の要因であり得る。更に、インターネットからPOP022へのパイプCP022における混雑問題は、ISPのPOP022とインターネット002との間の全てのトラフィックに影響する。POP022での混雑問題もまた、POPを通るトラフィックフローに影響し、ISP帯域幅を飽和させ、それによって装置トラフィックのスループット（情報量）へ否定的に影響を与える。
【００６８】
CP142及びCP146は直接的に攻撃されないかもしれないが、それらは依然として、共通POP022とパスCP022とを通るCP144上の攻撃によって不利に影響される。
【００６９】
図７は、クラウド内に位置する複数境界ファイアウォールを示す。クラウド内に複数境界ファイアウォールを配置することは利点を有する。それは、伝統的なファイアウォールの位置から上流にあるポイントの問題トラフィックを識別し隔離することである。クラウド内複数境界ファイアウォールCFW7-144LBを配置することによって、問題トラフィックは識別され、ISPのバックボーンネットワーク7-NTSP02上で隔離される。問題トラフィックは逸らされ、「ラストワンマイル」接続ネットワーク7-NTSP06へ到達しない。このことは、遅い200Mbpsの「ラストワンマイル」接続ネットワーク7-NTSP06が、高速の3×100GigEバックボーンネットワーク7-NTSP02上に存在する複数の同時攻撃ベクトルからのハイボリュームのトラフィックから、隔離され保護されることを意味する。
【００７０】
図８は、クラウド内複数境界ファイアウォールのスケーラビリティを示し、クラウド内分散ファイアウォール（FW）のような特徴がGVNによってどのように可能になるかを示す。クラウド上のファイアウォールは、クラウドファイアウォール負荷分散メカニズムによって動的にスケーラブルである。これにより、必要に応じてオンラインでより多くのリソースがもたらされる。GVNトポロジの種類によって、装置間通信、セキュアトラフィックパス及びファイアウォールメカニズムは、クラウド上にあり、また、仮想化可能である。ファイアウォール8-144は、クラウド内で、インターネット8-000とGVN8-028との間に配置される。ファイアウォール8-144は、クラウドファイアウォール（CFW）負荷分散装置8-144LBを含んでよい。これは、クラウドファイアウォールリソース（例えば8-144-2、8-144-3等）を必要に応じて割り当てることが出来る。この、オンデマンドスケーラビリティは、GVNのクライアントへ多くの利点を提供する。
【００７１】
まず、クラウド内に入ってくる脅威についての攻撃を吸収することで、クライアントのラストワンマイル接続は影響を受けない。第２に、クラウドファイアウォールを制御ノード及びアナライザと組み合わせることによって、攻撃されている地域におけるファイアウォールは、その攻撃の種類、ソース、シグネチャ及び他の特徴を認識することができる。これにより、ファイアウォールは、もしターゲットが異なるクライアントネットワークに移行するとき、その攻撃を認識し、妨害することができる。更に、過去及び現在の攻撃についての情報は、GVNのニュートラルなAPIメカニズム（NAPIM）を介して他のCFWインスタンスへ共有可能である。これにより、グローバルな脅威に対する認識が可能である。
【００７２】
最後に、下記図１２で示されるように、クラウドファイアウォールは、異なるファイアウォールメカニズム（例えばSPI、DPI）を同時に駆動することができるという利点を提供する。
【００７３】
2018519688.tif 000003
【００７４】
2018519688.tif 000004
【００７５】
図１０は、発信元C10-002から宛先S10-502へ、GVNを介して利用可能な様々なルートのフローチャートを示す。図示又は開示されないが、より可能性のある組合せが多く存在してよい。
【００７６】
クライアントC10-002からEPD10-108へのパス10-CP00は、クライアントからLANを通ってEPDへの性能を測定するために使用されてよい。最善のルートのマッチングは、利用可能なパスに対するテスト及びリアルタイムの評価の後に実現する。GVNは、EPD10-108から第１のホップ10-CP00を介してアクセスポイントサーバ（SRV_AP）10-102、10-104、10-106、10-202及び10-204へ入る。EPD10-108から最初のSRV_APへのパスは、EPD10-108からGVNへの入口ポイントとして定義され、適宜測定される。SRV_APからSRV_APへの内部ホップは内部ルートをたどる。当該内部ルートは常に、最善のパス接続性を維持するよう努める。これらのルートは、バックボーン、ダークファイバ、又は他の関連ルーティング上の、OTTインターネットであってよい。GVNからの最善の出口ポイントはまた、そのリモート地域においてローカルに、及び、発信元から宛先への全体ネットワークセグメントに対して全体的に追跡される。
【００７７】
テストは、様々な評価すべき要素を考慮して、エンドツーエンドで、各セグメント、セグメントの組合せ、及び合計ネットワークパス上で実行されてよい。トラフィックタイプ及びパス判定は、データ属性及びプロフィールQoS条件に応じてよい。主なパス選択は、常に、パス上のトラフィックに関する最善な要素に基づく。このメカニズムの機能は、宛先と発信元との間のパスをマッチングし、双方向のルートの可能なもののうち最善のものへ流す。
【００７８】
GVN内のアドバンストスマートルーティング（ASR）の核心は、ディスク、メモリ又はデータベーステーブル内に格納されるインデックスである。当該インデックスは、ローカルで維持し同一地域内のEIPを通して出るIPアドレスのリストを含む。GVNを介して他の地域へ出るトラフィックについては、SRV_AP装置及びパスを介するルートが、サーバ可用性マトリックス（SAM）及びASRによって判定される。インデックスは、ターゲットIPアドレスをその地域内の最善の出入口ポイント（EIP）へマッチングするターゲットのリストを格納する。更に、CIDR  IPブロック又は他のタイプの表記として地域にマッピングされる国家IPアドレスのテーブルは、最善の出入口ポイントの判定を支援する。
【００７９】
宛先S10-502から発信元C10-002の方向に流れるトラフィックについては、最初のEIP10-320、10-322、10-334、10-326又は10-328が、GVN、インターネット、他のネットワーク（例えばLAN）、バックボーンパイプ又はその他との間の、最初の境界である。SPIファイアウォールは、この最初の入口ポイントの背後のGVN内に位置し、最初の外側境界を画定し得る。次のSRV_AP又は他のSRV_AP（SRV_AP10-102、10-104、10-204及び10-206）にて、DPIファイアウォールを通る第２の境界が位置する。クライアントはまた、それら自身のネットワーク内のインバウンドSPI又はDPIファイアウォールがセグメント10-CP00で希望する場合、それらを駆動可能である。
【００８０】
発信元C10-002からEPD10-108を介して宛先S10-502への方向に流れるトラフィックについては、最初のSPI／DPIファイアウォールは、発信元C10-002とEPD10-108との間でパス10-CP00に沿って配置される。ファイアウォールの第２の境界は、SRV_AP（例えば10-102、10-104、10-204及び10-106）上に位置して、アウトバウンド（外側へ）のトラフィックを保護する。
【００８１】
インターネットからのトラフィックについては、クラウドスケーラビリティは非常に重要である。というのもそれは、リソース割り当てをスケールアップすることによって、必要に応じて、分散されたマルチホーンのトラフィックのピーク負荷を処理可能だからである。動作が比較的少ないとき、リソースの最小量が渡される（commited）。リソースのスケーラビリティは、インターネットへのアウトバウンドトラフィックについての重大な要素ではない。ほとんどの場合、LANネットワークは、ネットワークアップリンクよりも大きい帯域幅を有する。LAN／DMZ／ネットワーク管理者による制御下のネットワーク、の内部からの脅威の性質により、スケーラビリティはさほど重大でない。
【００８２】
図１８は、トポロジ及び対応するファイアウォールの配置を、スケーラビリティと共に示す。当該スケーラビリティは、クラウド上のファイアウォール負荷分散装置によってリンクされるクラウド上のファイアウォールによってもたらされる。この図は図１０に類似する。ただし、様々なSPI及びDPIのクラウド上ファイアウォールが、GVNを通る一連のパス又は他のタイプのネットワークパスを介して、トラフィックフロー内に追加的に配置される。
【００８３】
ステートフルパケットインスペクションファイアウォール（SPI）は、トラフィックが流れる装置である。ディープパケットインスペクション（DPI）ファイアウォール装置は、フローを流すことができ、トラフィックのクローンコピーを分析する。当該コピーは、追跡標識として、DPI機能に対する選択肢を提供する。もし有害なトラフィックが検出されれば、それは識別され次第ブロックされ得る。装置間通信の利点は、DPIファイアウォールによって識別された悪質なトラフィックソースについての情報が、SPIファイアウォールへ通信され、そこでブロックされることである。
【００８４】
図１１は、ステートフルパケットインスペクション（SPI）ファイアウォールと、ディープパケットインスペクション（DPI）ファイアウォールとの間の通信を示す。この図は、エンドポイント装置（EPD）11-100からパスTUN11-0、第１のアクセスポイントサーバ（SRV_AP）11-302、TUN11-4、クラウドファイアウォール負荷分散装置（CFW_LB）装置11-144LB、TUN11-6、SRV_AP11-304を介してインターネット11-002へのパスを示す。SRV_AP11-304から出入口ポイント（EIP）11-E2を介してトラフィックはGVNを出て、インターネット11-002へと向かう。
【００８５】
EIP11-E2は、拡張ALANの端から、GVNとインターネット11-002との間のクラウドへの端である。EIPは、オープンインターネットと組織のクラウド上アセット（サーバ、ストレージアレイ及び他の装置を含む）との両方へリンク可能である。それはまた、ハイブリッドのパブリック−プライベートクラウドへのリンクであってよい。当該クラウドは、DMZ又はクラウド内境界ネットワークのように動作する。
【００８６】
SRV_AP11-302を通るトラフィックは、逸らされたトラフィック又は、複製ストリーム内でクローンされたトラフィックであり得、パスTUN11-2を介してクラウド負荷分散装置11-142LBへ渡される。トラフィックのクローンストリームは、時間とリソースとを消費する検出動作の追跡結果（例えばDPI）を提供する。このとき、トラフィックフローの速度は妨害されない。インターネット11-002からEPD11-100への戻りトラフィックは、逆のパスをたどり、EIP11-E2を介してGVNに入る。
【００８７】
インターネット上のトラフィックについては、最初の境界はCFW11-144LBであり、これはパス11-CPSP0及び11-CPSP2を介してパケットをステートフルパケットインスペクションファイアウォールFW（SPI）11-SPO-PROへ送信する。そこでは、パケット11-SPO-Hのヘッダが検査される。SPIファイアウォールは、速いトラフィックフローを提供し、DPIファイアウォールに比べて比較的低いリソースを必要とする。
【００８８】
第２の境界はCFW11-142LBにある。ここでは、ディープパケットインスペクションファイアウォールFW（DPI）11-DPO-PROが、1以上の複合パケットのペイロード11-DP0-Pを検査可能である。DPIファイアウォールは、より詳細な分析を提供する。もしペイロードが問題を示せば、ソース、ターゲット及びヘッダからの他の情報が注意される。
【００８９】
したがって、SPIファイアウォールとDPIファイアウォールとの間の通信は有用である。FW（SPI）11-SPO-PROは、パス11-APFW-SPを介して、リアルタイム検出からの情報を、クラウドファイアウォール負荷分散装置CFW11-142LBへ送信し、ヘッダ検査によって検出した任意の脅威を警告する。情報をCFW11-142LB及び11-DPO-PROへ伝達するとき、検出された攻撃ヘッダを共有することに加えて、ペイロード11-SPO-Pがまた、包含される。FW（DPI）11-DP0-PROは、パス11-APFW-DPを介して、情報を、クラウドファイアウォール負荷分散装置CFW-11144LBへ送信し、ペイロード検査によって検出した任意の脅威を警告する。それが共有する情報はまた、ヘッダ11-DPO-Hからのものである。これにより、11-144LB及び／又は11-SPO-PROによるSPIファイアウォール検出動作は、攻撃ヘッダを、トラフィック攻撃者のリストへ追加する。
【００９０】
図１２は、グローバル仮想ネットワークによって可能になるクラウド内複数境界ファイアウォール（MPFW）を示す。GVNトンネル12-TUN0は、エンドポイント装置（EPD）12-100と、EPD12-100に近いアクセスポイントサーバ（SRV_AP）12-300との間のインターネットのオーバーザトップ（OTT）である。
【００９１】
この例示的実施形態で示す３つの境界は、12-M1（クライアント位置とそれらからインターネットへのリンクとの間の境界）と、12-M2（SRV_AP12-300に近いデータセンタにおけるクラウド内境界）と、12-M3（SRV_AP12-300と同一のデータセンタか、SRV_AP12-302に近い他の位置かにおける他の境界）である。
【００９２】
トンネル12-TUN2は、12-TUN0に類似し、１つの観点で異なる。当該観点とは、それが可動しうるパーソナルエンドポイント装置（PEPD）12-130を有線又は無線でパブリックアクセスを介してSRV_AP12-300へ接続するか、又は、他のネットワークへ接続させてGVNへ統合するか、である。PEPD12-130は、EPD12-100ほど強力ではない。したがって、下記図１４に示すように、処理動作をSRV_APへ移行させる。
【００９３】
各SRV_AP12-300及びSRV_AP12-302は、１以上のSRV_AP装置を示す。これを通って、EPD12-100及び／又はEPD12-130は、１以上の複数トンネルを介して同時に接続する。
【００９４】
この例示的に実施形態では、３つのタイプのファイアウォールが示される。ローカルファイアウォールFWローカル12-442は、クライアントが使用可能なファイアウォールの一例である。これは、それらのローカルファイアウォール（LAN）をインターネット上の脅威から保護する。これは典型的には、EPD12-100とLAN12-000との間に位置する。ローカルファイアウォールFWローカル12-442はいくつかの特徴（例えばIPアドレス及びポートブロック、転送、及び他の機能）を提供する。図示される他の２つのタイプのファイアウォールは、12-M3に位置してステートフルパケットインスペクション（SPI）を提供するFWSPI12-446と、12-M2に位置してディープパケットインスペクション（DPI）を提供するFWDPI12-444である。
【００９５】
SPIとDPIとの違いは、可視性の包括性に対する性能のトレードオフと関連する。SPIは、パケットのヘッダを検査して、形式違反の情報、パターンを検索し、既知の脅威のリストからのIPアドレス又はポート若しくは他の情報を、現在のパケットフローに対してマッチングさせる。DPIは、その名称が示唆するようにパケット全体をより深く確認し、マルチパートのマルチパケット伝送の場合は、一連のパケットの編集物を確認して、転送中のデータに対する見識を得る。
【００９６】
全てのファイアウォールは、入来する又は外出するトラフィックの両方に対しルールを調査及び適用し、他の関連機能を提供可能である。多くの場合、伝統的なファイアウォール（例えばFW12-442）では、管理者は、SPIの効率性と、DPIの、リソース及び時間を集約する徹底性との間で選択を行う必要がある。
【００９７】
GVNは、クラウド内の様々なポイントにて、両方のタイプのパケット検査を分散する機会を提供する。更に、GVNは分散ファイアウォールは互いに、決まった手順で（lockstep）動作することを可能にする。このとき、トラフィックフローは妨害されない。
【００９８】
EIPリモート12-310を介してインターネット12-302に最も近い端である12-M3にFWSPI12-446を配置することによって、既知のソースのIPアドレスからの攻撃トラフィックの大部分の量（これは、認識済みの悪意のヘッダを有する）は妨害される。トラフィックはSRV_AP12-302から12-T10を介してFWSPI12-446へ流れ、12-T12を介して戻る。FWSPI12-446は、CFW負荷分散装置（図１１参照）であってよく、これはオンデマンドで利用可能なリソースを多く有する。12-M3におけるSRV_APは、マルチホーンのバックボーンであり、大きい帯域幅（BW）のキャパシティを有する。したがって、この第１の境界では、攻撃が捕捉されるので、GVN内の帯域幅は保護される。
【００９９】
次の境界12-M2では、FWDPI12-444は全てのトラフィックフローを流すことができ、又は、SRV_AP12-300から12-T20を介してトラフィックのクローンコピーを受信可能である。FWDPI12-444は、12-T22を介してトラフィックを返してもよいし、返さなくてもよい。キーポイントは、DPI特徴は、特定のトラフィックを流すことができ、その結果を分析及び報告する追跡標識になり得ることである。このFWDPI12-444はまた、CWFであり負荷分散されてよい。このとき、リソースは必要に応じてオンデマンドで巨大スケールのイベントに対処可能であり、このとき、個々のクライアントは通常時にインフラストラクチャを維持するためのコスト負荷を管理又は負担する必要がない。
【０１００】
FWSPI12-446及びFWDPI12-444からの情報は、内部通信パス12-P6を介して共有可能である。当該情報はGVNのNAPIMによって、GVNトンネルを介して、GVNバックチャンネルを通して、又は他の通信パスを介して、伝送可能である。各FWメカニズムはまた、GVNの中央制御サーバ（SRV_CNTRL）12-200と情報を共有する。この情報は、世界中の他のFWSPI及びFWDPIへと中継可能である。この結果、攻撃ベクトル、ソース、ペイロード及び他の関連情報は、データベース又は他の情報インデックスにおいて利用可能になる。このため、SPI及びDPIFWは、参照すべき評価基準を有することができる。これにより、情報のグローバル分散は、更なるセーフティネットを提供するので、スケール効率性は向上する。
【０１０１】
クライアントLANの外部及びクラウド内で攻撃トラフィックを捕捉することは、クライアントのラストワンマイルインターネット接続が、望まないトラフィックによって飽和することを防ぐことが出来る。トラフィックをスケーラブルなCWFへオフロードすることはまた、クライアントにとって多くの利点を提供する。
【０１０２】
FWローカル12-442は、スタンドアロン装置、EPD12-100内で実行されるソフトウェアアプリケーション（APP）、又は他の種類のFW装置であってよい。FWSPI12-446及びFWDPI12-444装置、並びに関連装置（例えば負荷分散装置、クラウドファイアウォール、又は他の装置）は、顧客仕様であってよいし、他のベンダによって提供される既製品であってよい。これらの装置は、トラフィックを受信及び転送し、脅威を識別子、再重要なこととして、脅威についての発見を通信して、脅威プロフィール及び他の情報を他の装置から受信可能である。
【０１０３】
脅威データが蓄積すると、分析は、コンテンツ、パターン、攻撃ベクトル及びFWによって収集される他の情報に対して可能である。この分析は、全体的な分析が新たな潜在的脅威に適用される際の基礎を提供可能である。
【０１０４】
このことは、GVN又は類似のネットワークのセキュアネットワーク最適化（SNO）サービスによってのみ実現可能である。当該類似のネットワークは、セキュアトンネルと通信パスの両方によって接続される関連装置を含む。
【０１０５】
図１４は、パーソナルエンドポイント装置を支援する、クラウド内複数境界ファイアウォール（MPFW）を示す。この図は図１２に類似するが、可動的な位置からGVNに接続（hook）するポータブル装置を示す。境界14-M1は、パーソナルエリアネットワーク（PAN）14-010とGVNとの間の端である。
【０１０６】
この図は、パーソナルエンドポイント装置（PEPD）14-130のトポロジを示す。ここでは、いくつかの接続や、クラウドに分散された他の機能が示される。この図は更に、クラウドに分散されたファイアウォールの動作を開示する。また、ローカル装置（例えばパーソナルエンドポイント装置（PEPD）14-130）に代わってクラウドで実行される他の動作も開示される。PEPD14-130は比較的強力ではなく、エンドポイント装置（EPD）よりもポータブルである。このときそれは、GVNによって提供されるパーソナルエリアネットワーク接続（アドバンストスマートルーティング（ASR）、複数境界ファイアウォール等を含む）を利用する。
【０１０７】
図示されるキーポイントとしては、パーソナル装置は、電力を処理する必要性を、クラウドへと広げる。PEPD上のモジュールは、プロセッサCPU106、メモリRAM108及びネットワークインタフェースNIC102といったハードウェアコンポーネントを含む。オペレーティングシステムは、ミニマルなO／S110であり、システムソフトウェアSW112及び接続モジュール172のためのプラットフォームを提供する。この基本構成は、PEPD14-130が、それ自身とアクセスポイントサーバSRV_AP14-300との間にトンネル14-TUN2を確立することを可能にするのに十分である。
【０１０８】
SRV_AP14-300におけるコンポーネント部分は、プロセッサCPU306、メモリRAM308及びネットワークインタフェースNIC302といったハードウェアコンポーネントを含む。オペレーティングシステムO／S310は、O／S110よりも、大規模にインストールされたものである。O／S310は、SRV_AP14-300のために、システムソフトウェアシステムSW312と接続モジュール372用のプラットフォームを提供する。アドバンストスマートルーティング（ASR）モジュール350及び他のモジュール370は、SRV_AP14-300と、接続されたPEPD-14-130との両方に対して機能を提供する。
【０１０９】
PEPD14-130は、動作するトンネル14-TUN2に依存してよく、トラフィックを伝送して、クラウド上のASR、FW及び他の動作機能を実現可能である。
【０１１０】
図１５は、自動装置に求められるモジュールと、ファイアウォール協働と、GVN内での情報交換とを示す。
【０１１１】
EPD100はエンドポイント装置である。SRV_AP300は、ターゲット宛先地位に位置するアクセスポイントサーバである。SRV_CNTRL200は、EPDとSRV_APとの両方からアクセス可能な中央サーバである。SRV_CNTRL200はまた、グラフィック宛先メカニズムを支援可能な他の装置によってもアクセス可能である。
【０１１２】
各装置EPD100、SRV_AP200及びSRV_CNTRL300は、それ自身についての情報を、リスト、ファイル、データベースファイル、若しくはレコードの形式で又はその他の手段で、ローカル情報リポジトリに格納する。このリポジトリはまた、ピア装置関係について情報を格納し、ログ及び関連動作情報を格納する。SRV_CNTRL200はまた、追加の格納機能を有する。その役割は、それらの関連する他の装置へ、及び／又は、接続先のピア装置へ、情報を提供することと、現在の状態を評価し中央制御のような案内（例えばサーバ可用性リストの発行や他の機能）を提供することである。ニュートラルなAPIメカニズム（NAPIM）は、装置と、それらの接続先のピアとの間で情報を送信可能であり、また、API自体を更新するために使用可能である。
【０１１３】
SRV_CNTRL200上のデータベースは、それ自身についての情報のリポジトリや、他の装置のための中央リポジトリとして動作する。多くの異なるSRV_CNTRL200サーバが、多くの地域でマルチマスタとして動作してよい。各データベースは、トンネル情報、ピア情報、トラフィック情報、キャッシュ情報及び他の情報を含む特定の情報を格納可能である。セキュリティ及び他の側面（ハートビート機能、トリガされるスクリプト及び他のメカニズムを含む）は、各装置によって独立して管理される。
【０１１４】
この図は更に、アクセスポイントサーバ（SRV_AP）300、中央制御サーバ（SRV_CNTRL）及びエンドポイント装置（EPD）100上にそれぞれ、ファイアウォールマネージャD344、D244及びD144を示す。SRV_AP300のファイアウォールD344は、パス15-PA2を介してSRV_CNTRL200上のFWマネージャD244と通信する。EPD100のFWマネージャD144上では、パス15-PA1を介して情報が利用可能である。FWマネージャD144は、SRV_CNTRL200上のFWマネージャD244から情報を受信する。
【０１１５】
コマンド及び制御通信と、ファイアウォールSPI15-SP0-PROとDPI15-DP0-PROとの間での情報伝達報告とは、それぞれ、パス15-BA44と15-BA42とを介する。
【０１１６】
様々な装置上のデータベースB344、B244及びD144内にFW情報を格納することは、脅威を既知のものにして、GVNを通るトラフィックについてのルーティング判定の要素となり得る。例えば、１地域内のバックボーンを飽和させるアクティブ攻撃の場合、これはそのルートを介するトラフィックの重み付けに対して不利な影響を有する。このとき、さほど混雑していないパスを通るトラフィックはルーティング優先度を受け付けるという効果がある。
【０１１７】
図１６は、GVN内の装置から装置への情報交換を示す。トラフィックフローは、ローカルエリアネットワーク（LAN）16-002からパス16-CP144を介してファイアウォール（FW）16-144装置へ行き、次いでパス16-CP100を介してエンドポイント装置（EPD）16-100へ向かう。EPDはインターネット16-100のオーバーザトップ（OTT）で、SRV_AP16-302へのトンネルTUN16-0を確立する。
【０１１８】
EPD16-100についての情報を格納するデータアレイ16-144100は、パス16-APSP4及び16-AP100を介してFW16-144へ共有される。FW16-144についての情報を格納するデータアレイ16-100144は、パス16-APSP4及び16-AP144を介してEPD16-100へ共有される。この例では、EPD情報アレイは、LANポートのみを介して利用可能であるが、オープンWANポートを介して外部からは利用可能でない。それは、TUN16-0を介して、GVN内の他の信頼された装置にとって利用可能であってよい。
【０１１９】
キーポイントは、装置が関連装置に対して自身を識別する自動方法が示されることである。当該関連装置は、例えばハードウェア仕様、ソフトウェアのバージョン、最新の動作状態及び他の関連情報といった情報を含む。
【０１２０】
図１７は、GVN内の他のシステムと複数境界ファイアウォールとの統合を示す。情報攻撃は常に生じる。それらが国家、企業、ハッカー又は他の主体のいずれによるものであっても、それらの攻撃は容赦ない。その傾向を考慮すると、脅威は増している。本開示のトポロジを用いれば、活発な攻撃についての情報を統合する可能性が存在する。当該情報は、インターネット上の受動ファイアウォール又は他の中間監視装置によって検出され、セキュリティプロバイダ企業又は組織によって収集され、報告される。攻撃の種類が、侵入、フィッシング攻撃、知的財産の盗取、DDoS攻撃、又は他の既知若しくは未知の脅威のいずれであろうとも、キーポイントは、ネットワークを保護することである。
【０１２１】
図１７は、様々な装置間でのリクエスト／レスポンス（REQ／RESP）APIループを示す。これらの情報ループは情報を共有可能である。当該情報は、クラウドファイアウォール（例えばCFW-DPI17-142LB又はCFW-SPI17-144LB）が、それを通って流れるトラフィックについて学習する情報である。当該情報は、SRV_CNTRL17-200へ報告される。情報ループは、SRV_CNTRL17-200からクラウドファイアウォール（例えばCFW-DPI17-142LB又はCFW-SPI17-144LB）へ情報を渡すことで、他の位置における攻撃についての情報を共有可能である。更に、SRV_CNTRL17-200上のデータベースDb17-B200に格納される情報はまた、ヒューリスティックパターン、既知の脅威のシグネチャ、共有されるフィードを監視するグローバルインターネットからの情報、を含む。人間である管理者にとっての可視性はまた、クライアント17-018上のグラフィックユーザインタフェース（GUI）にて、パス17-GUI-AJAXを介して、EPD17-100上でホストされたインスタンスから利用可能である。
【０１２２】
この情報交換トポロジの柔軟性はまた、性能の監視、クラウド上のファイアウォールリソースに対するスケーラブルな使用、システム管理及び他の目的を可能にする。
【０１２３】
図２０は図１８に類似し、エンドポイント装置（EPD）20-100及びインターネット20-002への情報フロー、又はエンドポイント装置（EPD）20-100及びインターネット20-002からの情報フローについての、装置及び接続のトポロジを示す。
【０１２４】
トラフィックは、インターネット20-002から出入口ポイント（EIP）20-E2、アクセスポイントサーバ（SRV_AP）20-304、次いでトンネルTUN20-6、クラウドファイアウォール負荷分散装置CFW20-144LBへと流れる。この負荷分散装置は、ステートフルパケットインスペクション（SPI）のファイアウォールリソースをFW(SPI)20-SPO-PROに割り当てる。このSPIファイアウォールは、それを通って流れるパケットのヘッダ20-SPO-Hの情報を検査する。FW(SPI)20-SPO-PROによって検出される脅威情報は、ローカルデータベース20-BSに格納され、中央制御サーバ（SRV_CNTRL）200へ、通信パス20-APSP4を介して共有される。この情報は、SRV_CNTRLのデータベースDb200に格納される。他のSPIファイアウォール上で検出された脅威についての情報は、SRV_CNTRL200からFW(SPI)20-SPO-PROへ、通信パス20-APSP4を介して共有される。
【０１２５】
CFW20-144LBによって許可されるトラフィックは、TUN20-4からSRV_AP20-302へ通過する。SRV_20-302にて、トラフィックは２つの選択肢を有する。すなわち、TUN20-0を介してEPDへ直接流れ、このときデータストリームのクローンコピーは、TUN20-2を介してクラウドファイアウォール負荷分散装置CFW20-142LBへ流れる。あるいは、クローンされていないフローは、クラウドファイアウォール負荷分散装置CFW20-142LBによるフィルタリング及び分析のために逸らされ得る。
【０１２６】
このクラウドファイアウォール負荷分散装置CFW20-142LBは、ディープパケットインスペクション（DPI）ファイアウォールリソースをFW(DPI)20-DPO-PROに割り当てる。このDPIファイアウォールは、それを通して流れる１以上の複合パケットについてのペイロード20-DPO-P情報を検査する。FW(DSPI)20-DPO-PROによって検出された脅威情報は、データベースDb20-BDに格納され、通信パス20-APDP4を介して中央制御サーバ（SRV_CNTRL）200に共有される。この情報は、SRV_CNTRLのデータベースDb200に格納される。他のDPIファイアウォール上で検出された脅威について情報は、SRV_CNTRL200から、通信パス20-APDP4を介してFW(DPI)20-DPO-PROへ共有される。
【０１２７】
もし許可されれば、ネットワークトラフィックは次いで、SRV_AP20-302からTUN20-0を介してEPD20-100へ流れる。
【０１２８】
SPI及びDPIクラウドファイアウォール負荷分散装置は、全体的な脅威について学習可能である。当該脅威は、リモート地域にて様々な他の情報を、SRV_CNTRL200との通信により発見及び取得する。あるいは当該脅威は、いくつかの場合には、直接パス（例えば20-CPSPDP）を介して互いに通信可能である。
【０１２９】
図２１は、図２０のトポロジに基づく複数境界ファイアウォールアルゴリズム、又は、様々なタイプのファイアウォール動作のための複数の境界が存在する類似トポロジを示す。
【０１３０】
DbFW脅威21-D122は、各装置上に格納可能で、将来のアクセス及び使用のために中央制御サーバ（SRV_CNTRL）に通信される。SPI動作は１つの境界で行われる。DPIは、同一の境界又は他の境界で動作する。SPI及びDPIファイアウォールは、互いに脅威について通信可能であり、既知の脅威に基づいて適切なステップを取ることが出来る。
【０１３１】
この例では、トラフィックは21-000で開始する。もし脅威が検出されれば、脅威情報がロギング及び共有される。攻撃トラフィックは21-944にて吸収される。安全とみなされたトラフィックは、21-900にて流れ出る。
【０１３２】
図２２は、ファイアウォール装置（例えばクラウドファイアウォールCFW444及びクラウドファイアウォール負荷分散装置CFW  LB440）のためのソフトウェアアーキテクチャについての論理図を示す。この図では関連装置（例えば中央制御サーバ（SRV_CNTRL）200、アクセスポイントサーバ（SRV_AP）300、エンドポイント装置（EPD）100）のスタックも示される。図示の通り、ソフトウェア及びハードウェアはネットワーク装置内に分散されてよいし、異なる回路基板、プロセッサ、ネットワークインタフェースカード、ストレージ及びメモリにわたって分散されてよい。
【０１３３】
装置のソフトウェアアーキテクチャは、互いに非常に類似する。ただし、動作における各装置に役割による違いや、いくつかのモジュールの違いがある。
【０１３４】
各装置の最も低いレベルは、メモリ（RAM）S106、S206、S306及びS406と、プロセッサ（CPU）S102、S202、S302及びS402と、ネットワークインタフェース（NIC）S108、S208、S308及びS408である。これら全ては、ハードウェアレベル上であってよい。オペレーティングシステム（O／S）S110、S210、S310及びS410は、LINUXシステム又は同等のシステム（例えばDebian又は他のもの）であってよい。これは、ルーティング、ホスティング、通信及び他のシステムレベルの動作のためのパッケージ及び構成を含んでよい。
【０１３５】
中央制御サーバ（SRV_CNTRL）200、中央制御サーバ（SRV_AP）300及びエンドポイント装置（EPD）は、グローバル仮想ネットワーク（GVN）オペレーティングシステムのシステムソフトウェア層S112、S212及びS312を含む。カスタムコマンド、システムモジュール及びここで動作する他の構成物も存在する。GVNの他のコンポーネントも同様である。GVNのデバイスの各タイプは、役割に応じて、システムソフトウェア層又は異なる部分の、一部又は全部を有してよい。
【０１３６】
この例示的実施形態では、データベースモジュールD120、D220、D320及びホスティングモジュール122、222及び322は、リスニング、送信、処理、ストレージ、検索、並びに、GVNのニュートラルなAPIメカニズム（NAPIM）、グラフィックユーザインタフェース（GUI）及び他のサーバ側スクリプトのホストサイトにおける他の関連する基礎レベル動作を行うために構成される。データベース120、220及び320（Db）モジュールは、MySQL又は同等物（例えばMariaDb）であってよい。ホスティングモジュール122、222及び322は、Apache及びPHPスクリプト又は他のタイプのホスティング言語であってよい。コマンドラインスクリプトが使用可能であり、これはBash、C、PHP、Pearl、Python又は他の言語で記述される。
【０１３７】
ビリングモジュールは協働して、情報（例えば消費モデルによりビリングされるトンネルトラフィックによって消費されるデータ量）を共有可能である。アカウンティングモジュールACC132、232及び332は、EPD100上で動作する。SRV_AP300は対応するビリングモジュールを有する。その両方共、レポート画面、決済フォーム、Ｅメール明細へ財務テータを提供可能であり、GVNによって生成される他の財務データを提供可能である。
【０１３８】
SRV_CNTRL200は、リポジトリマネージャ238を有し、ビリング情報、トンネルマネージャ情報及び、GVN内の様々な装置によって使用される他のデータを処理する。リポジトリマネージャ238はまた、ピアペア情報、資格証明書及び他の情報を個々の装置へ共有する協働を処理する。当該個々の装置は、GVNのニュートラルAPIメカニズム（NAPIM）を介して他のAPIピアへ接続する。
【０１３９】
EPD100は、APIモジュール130を有する。SRV_CNTRLはAPIモジュール230を有する。SRV_AP300はAPIモジュール330を有する。この例示的実施形態を簡略に説明するために、装置毎にただ１つのAPIモジュールが示される。実際、装置は、GVN内の機能に応じて、クライアント及びサーバの結合した役割を有してよい。
【０１４０】
SRV_CNTRL200上のキャッシュマネージャは、GVNの多くの装置にわたって分散された様々なチェーンキャッシュのマスタインデックスを管理する。EPD100上の圧縮エンジン136及びSRV_AP300上の336は、DBテーブルにおいて、トランスポートデータのストリーミングのために、ファイル上に格納されたデータの圧縮及び解凍を管理する。
【０１４１】
EPD100上のアドバンストスマートルーティング（ASR）150モジュールは、GVNのルートを介して、EPD100から最善の出入口ポイント、そして宛先へのトラフィックのルーティングを処理する。
【０１４２】
SRV_AP300上のリモートフェッチャボット311は、地理的宛先メカニズム（Geo-D）のコアコンポーネントである。
【０１４３】
SRV_CNTRL200上のDNSマネージャ254は、マスタDNSインデックスを管理する。当該インデックスは、様々なGVN装置（例えばEPD100上のDNS154）上でDNSサーバをシーディング（seed）する。
【０１４４】
SRV_CNTRL200上のロガーマネージャは、ローカルログと、装置によってAPIコールを介してリポジトリへ共有されるログとの両方を管理する。この例示的実施形態におけるロギングマネージャは、動作イベントを記録する機能、APIアクション及びトランザクションを可能にする。ロガーはまた他の役割を有し、GVN動作の様々な側面につき処理を行う。
【０１４５】
EPD100上のローカルキャッシュ152及びSRV_AP300上のローカルキャッシュ352は、データをローカルでキャッシュする。
【０１４６】
GVNマネージャ272はSRV_CNTRL200上で動作して、システムの様々なコンポーネントの動作を制御する。当該制御は、SRV_CNTRL200とGVNの他の装置との両方で行われる。
【０１４７】
ローカルDNSサーバ、EPD100上のキャッシュ154及びSRV_AP300上の354は、DNSルックアップのキャッシングを可能にし、速い、ローカルな検索を可能にする。所定時間が経過した後、DNS154及び354は完全にフラッシュ（flush）され、個別アイテムは一掃され、又は、検索済みルックアップに対し設定されたタイムアウトが削除される。
【０１４８】
EPD100上には、コンテンツデリバリエージェント（CDA）158があり、これはGeo-Dのコンポーネントである。SRV_AP300上には、コンテンツプルエージェント（CPA）358があり、これもGeo-Dのコンポーネントである。CPA358は、SRV300上でBOT311と協働し、遠い地域から、その地域からシーディングするローカルDNS354を用いて、コンテンツをプルする。CPA358は、トンネル、キャッシュ及び他のGVNの改善物を用いて、フェッチされたコンテンツをCDA158へ送信する。
【０１４９】
EPD100上及びSRV_AP300上の接続マネージャ（不図示）は、装置と、他の装置間通信パスとの間のトンネルを管理する。SRV_CNTRL200の215にある圧縮マネージャは、ローカルに圧縮を管理すると共に、EPD100上の圧縮エンジン136、SRV_AP300及びGVNの他の装置上の336と協働する。EPD上のルーティングは、ASR150、Geo-D、及び他の要素と協働して、トラフィックルーティングを管理する。
【０１５０】
SDB100、SDB200及びSDB300内のデータベーステーブルの構造は、装置動作に相当する。一方、それぞれに対するデータは、装置タイプに特有であり、各装置はアイデンティティ特有装置を有する。SRV_CNTRL200上のリポジトリデータベースSDB202では、全ての装置につき一意の情報が格納され、この情報はリポジトリマネージャ238によって使用されてAPI資格証明書、トンネル情報又は他の情報を装置へ通信する。
【０１５１】
各装置のデータベース内に格納されるのは、デバイス自体又はそのピアのペアとなるパートナーのAPIピア情報、トランザクションリスト、キューデータ及び他の情報である。開示される以外にも、本開示の方法及びデータベースに対する他の使用方法が存在する。しかし、簡略化のため、この例はいくつかの例示的なコアな機能要素だけに及ぶ。
【０１５２】
クラウドファイアウォールCFW444は、ベースファイアウォールソフトウェアS414、一般ルール、DPI、SPI、ヒューリスティックな走査及び他の機能S444を含む。クラウドファイアウォール負荷分散装置CFW  LB440は、ファイアウォール負荷分散ソフトウェアS448を含む。ファイアウォール負荷分散ソフトウェアS448は、トラフィックフローと、オンデマンド且つ必要に応じたクラウドファイアウォールへのリソース割り当てとを管理する。
【０１５３】
エンドポイント装置（EPD）100、アクセスポイントサーバ（SRV_AP）300及び中央制御サーバ（SRV_CNTRL）200に加えて、第三者装置はまた、構成された資格証明書及び他の情報を通信して、他の装置とのこの通信を支援する能力を有する限りは、使用されてよい。各装置のもとで、いくつかの可能なコンポーネントが存在する。当該コンポーネントは、その装置のスタック内で駆動可能である。いくつかの装置は同時に駆動可能であるが、ここでは記載しない。これらのコンポーネントは、EPD100のもとのFW接続S148、SRV_AP300のもとのFW接続S348、及びSRV_CNTRL200のもとのFWマネージャS244を含んでよい。接続及びマネージャモジュールは、CFW444及びCFW  LB440とのインタラクションのためのものである。マネージャモジュールは、進行するFW分析を実行し、システム全体で、且つ地理的に異なって配置されるCFW及びCFW  LB装置と、既知の脅威につき通信する。
【０１５４】
ファイアウォール負荷分散装置CFW  LB440からファイアウォールCFW444への通信は、各装置上のFW接続モジュールS434によって実行可能である。これらの接続モジュールは、データフローチャネルと、データフロー、検出済み脅威及び他の情報についての情報フローのチャネルとの両方を処理可能である。
【０１５５】
装置間通信は、APIS130を介してEPD100上で、APIS330を介してSRV_AP300上で、APIS230を介してSRV_CNTRL200上で、及び、APIS430を介してCFW_LB440上で、ニュートラルAPIメカニズム（国際出願PCT/IB16/00110号参照）によって実行可能である。
【０１５６】
図２３は、グローバル仮想ネットワーク（GVN）におけるファイアウォール(FW)から様々な装置への、中央制御サーバ(SRV_CNTRL)23-200を介した情報フローを示す。それはまた、ファイアウォール情報に関してローカル装置に格納される、情報の種類を含む。当該情報は、データベース（DB）テーブル（例えばDB23-110上の23-4100、DB23-300上の23-4300、23-210上の23-4200等）内及びログ（例えばFW装置23-140上の23-4140等）内にある。
【０１５７】
情報はFW装置23-140から、APIリクエスト23-P140REQ／23-P140RESP、又は同等の装置間情報共有を介して、SRV_CNTRL23-200へ報告される。それはまた、個々の装置からパス23-P102、23-P302、23-P502又は他の装置からのパスを介して、SRV_CNTRLへ報告される。
【０１５８】
SRV_CNTRL23-200は、FW関連情報を、パス23-P100、23-P300、23-P500又は他の直接パスを介して、装置へ通信及び／又は発行する。FW情報はまた、装置23-260からルリクエスト／レスポンスパス23-P260REQ及び23-P260RESPを介するAPIコールによって利用可能である。
【０１５９】
フラグは、「この装置上で検出された」、「他の装置上で検出された」等の情報ソースを示すことができ、また、攻撃元ポイント（例えば「外部へのLAN上の攻撃」、「WAN上の攻撃」、「ワイルド（Wild）からの攻撃」等）を示すことができる。
【０１６０】
格納された情報はまた、シグネチャ、ヒューリスティック分析を介して既知で予測された構造、IPアドレス、ウィルス、マルウェア及び／又は他の攻撃ペイロードのコードパターン、問題トラフィックの動作的特徴、伝播のパターン等を含んでよい。
【０１６１】
SRV_CNTRL23-200はまた、アルゴリズムを用いて情報を分析可能であり、また、脅威の寿命、最初及び最後の検出時間、攻撃の規模及び範囲、履歴及び任意の傾向を判定するためのもの、に基づいて、その重大性を順位付けすることができる。この分析は、アクティブな脅威、過去の脅威、脅威間の関係（例えば、他の攻撃に対してネットワークを開くという妥協に、フィッシング攻撃がどのようにつながるか）、インターネット／ネットワークの現在の状態を考慮して、脅威レベル及び他の標識を割り当てて、攻撃の強度を測定する。比較的動作が少ないとき、FWはより許容的となって、より速い動作を行ってよい。比較的アクティブなとき、FWはより限定的且つ分析的になって、場合によってはより遅いスループット及び動作を行ってよい。
【０１６２】
SRV_CNTRL23-200はFW情報をリポジトリストアに保持して、脅威タイプ、報告履歴、及びロギング装置インタラクション（脅威情報の更新の発行を含む）を分類する。
【０１６３】
図２４は、ファイアウォール、ファイアウォール負荷分散装置、及び／又はファイアウォールアレイを通って流れるトラフィックを分析するのに用いられるアルゴリズムを示す。通過するトラフィックについては、最初のステップは、現在アクティブな任意の脅威が検出されたか否か（24-100）を評価することである。これは、現在の脅威状態24-140によって影響される。それは、ファイアウォールがどれだけアクティブかについての、変化する（rolling）標識である。
【０１６４】
もし何らの脅威も検出されず、現在の脅威状態が通常であれば、FWルールがトラフィック24-220へ適用され、それは24-300にて通過することを許可される。それは受動的脅威モード24-524となり、次の、FWサイクルを開始（24-000）にて再開する。
【０１６５】
もし脅威が検出されれば、トラフィックはパス24-P200を介して流れ、脅威は、パス24-P210を介して脅威パターン24-210のリストに対してチェックされる。もしそれが認識されれば、それは吸収（blackholed）又は隔離される。攻撃トラフィックは、24-240にてロギングされる。一旦、現在の脅威が24-534にて処理されれば、ファイアウォールはアクティブ脅威モード24-554に設定され、FWサイクルを開始（24-000）へ戻る。
【０１６６】
もし脅威が認識されなければ、それは24-250にてヒューリスティック検出を用いてチェックされる。もし何らの脅威も検出されなければ、それは24-P314を介して、24-314にて偽陽的（false  positive）として処理される。
【０１６７】
図２５は、システムスタックにおける、脅威を扱って処理する様々な層を示す。スタックの最低レベルは、メモリ25-102、25-202、25-302、CPU25-106、CPU25-206及びCPU25-306である。システムは最低レベルから確立される。
【０１６８】
装置につき増加するロックダウンは、脅威の種類と、それがスタックのどれだけ深い部分まで進むかとに基づく。例えばセキュア-APP25-140、25-240及び25-340とセキュリティ層は、その層の上方のアプリケーションモジュールを保護する。これらは特定のモジュールの動作を監視するが、深いロジックに必ずしも影響を与えない。セキュア-Sys25-124、25-224及び25-324は、データベース動作、DNS、ロギング、キャッシュ、ホスティング及び他の機能につき、システムソフトウェア層を保護する。セキュア-O／S25-114、25-214及び25-314は、脅威から、オペレーティングシステムを保護する。セキュア-HW25-104、25-204及び25-304は、ハードウェアシステム（ドライバファイル、フラッシュ可能命令セット及び他のシステム）の物理層を脅威から保護する。
【０１６９】
層のロックダウンが低いほど、システムの機能は低い。
【０１７０】
図２６は、起動プロセス中に暗号化ボリュームを自動的に復号化する方法を示す。ここでは、システムファイル26-110はHFSファイルストレージ26-010から検索される。自力の（boot-strap）起動プロセス26-100内のポイントで、キーファイル26-210はHFSファイルストレージ26-010から検索される。このキー26-Aは、暗号化ボリュームのロック解除モジュール26-200によって使用される。暗号化ボリュームが一旦ロック解除されると、それは26-300で使用される。
【０１７１】
HFSファイルストレージボリューム26-010上に暗号化ボリュームへのキーを格納することには、明らかな欠点がある。というのも、これは、システムへアクセスして、暗号化されていないキーを用いてセキュアボリュームをロック解除するハッカーを受け入れやすいからである。他の脅威は、物理ドライブを取得してボリュームを復号化して、価値のあるクライアントデータを盗取する者、及び／又はシステムをリバースエンジニアリングする者に対するものである。そのような者は、暗号化ボリューム内に格納されたソフトウェアへのアクセスを得る。
【０１７２】
図２７は、一意のユーザ識別(UUID)が、装置特有の多くの要素に基づいて当該装置につき一貫してどのように算出されるかを示す。ハードウェア（HW）UUID27-100（例えばCPUの通し番号、CPUモデル、ネットワークインタフェースカード（NIC）のMACアドレス、及び他の要素）は、典型的には各装置にとって一意である。ハードウェア（HW）DMIエンコーディング27-200は、DMI値（例えば通し番号、バージョン番号又は他のDMIデータ）を用いて使用される。ハードディスクドライブ（HDD）又はソリッドステートドライブ（SSD）27-300の一意のボリュームIDが使用可能である。特定のO／SのUUID27-500は、システム確立にとって一意であり、使用可能である。ローカルデータベース27-600に格納されたアイデンティティテーブル内の値としてのUUID及びキーはまた、装置のアイデンティティの一部として使用される。
【０１７３】
アプリケーションレベルにて、キーファイル、証明書及び他の識別子27-800の形式でのUUIDを使用して、装置自体に特ユナUUIDを生成可能である。
【０１７４】
様々な装置UUIDが算出され、使用され、有効になり、装置の一貫した動作の正確性が確実になる。様々な要素の組合せにより、装置へのアクセス無しになりすましを行うことは、困難乃至ほぼ不可能である。
【０１７５】
図２８は、セキュアブート(起動)メカニズムのモジュールを示す。エンドポイント装置（EPD）28-100は、API-2A1-2A5を介してセキュアブートサーバ（SRV_SB）28-500と通信して、データの偽パケットを提示する。セキュアブートサーバはこれを拒絶する。SRV_SBは次いで、チャレンジのセットと共にEPDにクエリする。一連のテストに合格することに成功すると、EPD上のセキュアブートマネージャ28-150は、SRV_SB上のセキュアブートリスナ28-552を介してセキュアトンネルTUN28-100500を確立することを許可される。装置の資格証明書28-138は、SRV_SBに提示され、データベース28-B500上又はHFSストレージ28-H500上内に格納された値に対して、セキュアブートマネージャ28-550によって有効になる。
【０１７６】
全てのテストに合格した後に初めて、EPD28-100上の暗号化ボリュームについてのキーは、キー及び資格証明書マネージャ28-536によって解放され、TUN28-100500を介してEPD28-100へ安全に伝送される。利用可能なSRV_SBサーバのリストは、中央制御サーバ（SRV_CNTRL）28-200へのAPIクエリを介し、サーバ可用性メカニズム28-222を介して、EPDにとって利用可能である。
【０１７７】
図２９は、バックチャネルメカニズムの詳細を示す。エンドポイント装置（EPD）29-100は、バックチャネルサーバ（SRV_BC）のリストを受信する。SRV_BCは、APIコールAPI-29A1-29A2を介して中央制御サーバ（SRV_CNTRL）29-200へ接続可能である。サーバ可用性29-220のリストは現在利用可能なSRV_BCへ提供する。EPDはSRV_BCに接続する。この図は、TUN29-100500を介してSRV_BC029-500へ、TUN29-100502を介してSRV_BC229-502へ、TUN29-100506を介してSRV_BC629-506への同時接続を示す。
【０１７８】
BCセキュリティ29-540、29-542及び29-546によってセキュリティが確保されると、EPD29-100上のバックチャネルクライアント29-510は、バックチャネルマネージャ29-510、29-512及び29-516を介する同時接続を生成する。装置はまた、APIコールを介して互いに直接に通信可能である（例えばEPDからAPI-29A1-29A2を介してSRV_CNTRLへ、又は、SRV_BC0からAPI-29A2-29A50を介してSRV_CNTRLへ）。
【０１７９】
ピアペア、資格証明書、証明書、キーについての情報、及びEPDとSRV_BCとの間でトンネルを確立することに関する他の情報は、これらのAPIコールを介してSRV_CNTRLへ伝送可能である。更に、健全な関係を有する既知のピア同士間での状態メッセージは、APIを介して直接送信可能である（例えばEPD29-100からAPI-29A1-29A52を介してSRV_BC229-502へ）。
【０１８０】
この例では、１つのEPDが多くのSRV_BCへ同時に接続する。アクティブトンネルの目的は、コマンドラインインタフェース（CLI）に対して常時動作するパスが、EPDがオープンインターネット及び／又はネットワーク上で発見可能か否かにかかわらず、EPDにログインすることを可能にすることである。
【０１８１】
図３０は、多くのエンドポイント装置（EPD）30-100、30-102及び30-106と、バックチャネルサーバ(SRV_BC)30-500との間の接続を示す。EPDは、SRV_BC0  30-500上のログインされた区間への接続を開始する。一方、それがログインしたインスタンスはそれぞれ、EPD30-100についてのシステムセキュリティの隔離インスタンス30-510、EPD30-102についての30-512、及びEPD30-106についての30-516である。隔離インスタンスの各々は、システムジェイル（system  jail）のように動作する。そこでは、ログインしたユーザが、非常に限られたコマンドのみについて資格を与えられる。当該コマンドは、アクション、権限、特権、ホストシステム上で動作する能力を制限する。
【０１８２】
EPDからSRV_BC0  30-500では、２点間接続を維持する以外に可能なことはほぼない。しかし、他の方向に関していうと、クライアント30-000はSRV_BC0にログインして、特定の許可により、１以上の隔離インスタンスにアクセスする権限を有する。そしてそこから、EPD30-100上のリモートのコマンドラインインタフェースCLI30-110、EPD30-102上のCLI30-112、又はEPD30-106上のCLI30-116へのログインに対するトンネルへと、逆SSHを実行可能である。これにより、クライアント30-000は管理タスク、リモートハンズオン及びテストを実行し、ログインされた権限の範囲内で他の動作を実行可能である。クライアントは人間又は自動装置であってよい。
【０１８３】
バックチャネルの利点は、EPDが到達不可能なときにアクセスをもたらすことである。トンネルTUN30-100500、30-102500及び30-106500の種類により、パケット損失、ジッタ及びその他の要素に対するそれらの許容性は、他の形式のトンネル及び／又は通信パスよりも非常に高い。したがって、ネットワークが不安定なとき、バックチャネルはアクセスを提供し、さもなければ対処が困難乃至不可能である問題を診断及び救済する。
【０１８４】
図３１は、循環し且つ算出されたキーを用いて、データベースの列における選択されたフィールドへ暗号化データを書き込む処理を示す。当該キーは、各単一の列につき一意である。
【０１８５】
この処理のフローチャートは、データベースへの接続を生成し、列を作成し、対応する自動インクリメント整数である列IDの値をフェッチすることを含む。次いで暗号化処理を用いて、キーチェーン、キーアジャスタ、列内のフィールド及び他の要素を用いて、暗号化されるべき値が処理される。データ列を暗号化するために使用されるのと同一の要素が、復号化にも使用されてよい。
【表１】
2018519688.tif 000005
【０１８６】
上記テーブル内の横の列の各々は、２つの暗号化フィールド（[ENC_A]及び[ENC_B]）を有する。各フィールドのキーは、オープンフィールド（[ユーザID]、[キーアジャスタ]及び[作成時間]）のいくつかに基づく多くの要素及び、他の要素（例えばベースシステムキー）に基づいて、次の式に基づき循環（ローテーション）する。
算出されるキー＝ユーザID＋ベースキー＋キーアジャスタ＋作成時間＋他の要素
【０１８７】
仮に、完全に同一の時刻にENC_A及びENC_Bに対して同一のユーザIDが同一の値を入力しても、その値は異なる。その理由は、列ID番号（例えば列番号658、661及び663にいて[ユーザID]＝１）についての自動インクリメント値がキー算出の一部だからである。上記の例における[キーアジャスタ]又はキーアジャスタフィールドは２桁のアルファベット値であるが、列内には他のデータが格納されてよい。キーポイントとしては、データベースのSQLが盗取されたとき、それを破ることは演算及び時間の観点からコストが高い。値を破る（crack）には、全体コードベース、SQL及び環境が盗取及び複製される必要がある。
【０１８８】
図３２は、キー、キーアジャスタ、及び算出されたキーに対するフレームワークを用いる他の要素を用いた、単一の列からのデータの復号化を示す。
【０１８９】
図３３は、エンドポイント装置（EPD）33-100を介してクライアントによって要求されたグラフィックユーザインタフェース（GUI）のコンテンツと、要求されたコンテンツとが、ロックされたボリューム33-114内に格納されるときに生じることを示す。ノットファウンド（not  found）の404エラーが送信され、404エラーハンドラ33-144によって捕捉される。簡素化されたコンテンツへのジャンプが33-120でなされる。このコンテンツは、オープンHFSファイルストレージ33-220上のファイルとして、又は、オープンDB33-210からのデータベースコンテンツ、若しくはそれらの組合せとして、ロックされたボリューム内に格納される。
【０１９０】
もしセキュアボリュームがロックされれば、セキュアボリューム外のコンテンツだけが利用可能である。しかし、もしセキュアボリュームがロック解除されれば、セキュアDB33-210からのセキュアコンテンツ33-120又は、セキュアHFSファイルストレージ33-220上のファイル若しくはそれらの組合せが提供される。
【０１９１】
提供されるコンテンツ内のJavascript（登録商標）スクリプトはまた、EPD33-100をポーリングし、セキュアボリュームの状態をチェックする。もしそれがロックされた後にロック解除されれば、セキュアコンテンツへのジャンプが実現可能である。反対に、もしボリュームがロック解除されているときに突如ロックされれば、コンテンツはセキュアボリュームの外部のコンテンツに戻る。
【０１９２】
本開示は、本明細書で記載される特定の実施形態による範囲に限定されない。実際、前述の記載及び添付図面によって、本開示の実施形態に加えて他の様々な実施形態及び変形例が当業者にとって自明である。したがって、そのような他の実施形態及び変形例は本開示の範囲内である。更に本開示は、少なくとも１つの特定の目的で、少なくとも１つの特定の環境における少なくとも１つの特定の実施形態の文脈で記載される。しかし、当業者であれば、その利便性は限定されないこと、及び、本開示は任意の数の目的のために任意の数の環境で有利に実装されてよいことを認識可能である。したがって、特許請求の範囲は、記載された本開示の最大限の範囲及び最大限の要旨に照らして解釈される。
【図１】
2018519688.tif 000006
【図２】
2018519688.tif 000007
【図３】
2018519688.tif 000008
【図４】
2018519688.tif 000009
【図５】
2018519688.tif 000010
【図６】
2018519688.tif 000011
【図７】
2018519688.tif 000012
【図８】
2018519688.tif 000013
【図９】
2018519688.tif 000014
【図１０】
2018519688.tif 000015
【図１１】
2018519688.tif 000016
【図１２】
2018519688.tif 000017
【図１３】
2018519688.tif 000018
【図１４】
2018519688.tif 000019
【図１５】
2018519688.tif 000020
【図１６】
2018519688.tif 000021
【図１７】
2018519688.tif 000022
【図１８】
2018519688.tif 000023
【図１９】
2018519688.tif 000024
【図２０】
2018519688.tif 000025
【図２１】
2018519688.tif 000026
【図２２】
2018519688.tif 000027
【図２３】
2018519688.tif 000028
【図２４】
2018519688.tif 000029
【図２５】
2018519688.tif 000030
【図２６】
2018519688.tif 000031
【図２７】
2018519688.tif 000032
【図２８】
2018519688.tif 000033
【図２９】
2018519688.tif 000034
【図３０】
2018519688.tif 000035
【図３１】
2018519688.tif 000036
【図３２】
2018519688.tif 000037
【図３３】
2018519688.tif 000038
【図３４】
2018519688.tif 000039
【図３５】
2018519688.tif 000040
【国際調査報告】
2018519688.tif 000041
2018519688.tif 000042