(57)【要約】【課題】装置自身の内部で動作するプログラムが脅威の発生源であった場合に、侵入から防御する方式とシステムを提供する。【解決手段】いくつかの態様において、本発明は、自己防衛型侵入防止システム（IPS）を使用して装置を保護するための方法に関し、データパケットが装置内から発生し潜在的な攻撃を示す活動のパターンを検出する監視部と、保護された装置内から発信された脅威を検出することと、脅威の検出時に、突然サービスや装置からの通信を遮断することなく、ある特定の期間にかけてデータ通信能力を意図的に制限するよう制御し漸進的に装置での網サービスを劣化させる自己防衛措置をとる。【選択図】図１
2013175166.tif 000002
【特許請求の範囲】
【請求項１】
自己防衛型侵入防止システム（ＩＰＳ）を搭載した装置の実装方法であって、
装置内部から発生している潜在的な攻撃を示す行動パターンを検出するためにデータパケットを監視し、
保護される装置内部から発生している脅威を検出し、
前記脅威を検出した段階において、前記装置にて提供可能な網サービスの漸進劣化もしくは対処を起動することにより装置によるデータ通信の性能を低下制御することを特徴とする実装方法。
【請求項２】
請求項１に記載の実装方法において、
漸進劣化もしくは対処には特定のデータパケットに関する情報に基づいてネットワーク装置に提供された特定のデータパケットを配送するか破棄するかを判定することを特徴とする実装方法。
【請求項３】
請求項１に記載の実装方法において、
漸進劣化もしくは対処には選択された期間にわたり装置のデータ通信に関する性能を低下させることを含むことを特徴とする実装方法。
【請求項４】
請求項３に記載の実装方法において、
データパケットの発信元ＩＰアドレスに制限を受けない情報に基づいて特定のデータパケットを配送すべきか破棄すべきかを判定することを特徴とする実装方法。
【請求項５】
請求項３に記載の実装方法において、
装置が動作を続けることが許可されつつ特定のデータパケットについて配送するか破棄するかを判定することを特徴とする実装方法。
【請求項６】
請求項１に記載の実装方法において、
動作のパターンにＩＰアドレスを逐次アクセスするかあるいは逐次ポート番号に対してポートスキャンを実行することを含む実装方法。
【請求項７】
装置の保護を提供する実装方法において、
ネットワーク装置にてデータパケットを受信し、
プロセッサによる支援によりデータパケットから情報を読み出し、
プロセッサによる支援によりその情報によりデータパケットを目的地まで配送するか否かを解析し、
前記解析では、端末内部から発信するデータパケットに関する情報を考慮して解析し、
前記装置の内部からの悪意あるアプリケーションから発信したデータパケットを選択的に破棄することを特徴とする実装方法。
【請求項８】
請求項７に記載の実装方法において、
データパケットはネットワーク装置の網スタックで受信することを特徴とする実装方法。
【請求項９】
請求項７に記載の実装方法において、
前記情報はデータパケットの発信元ＩＰアドレスに限定されないことを特徴とする実装方法。
【請求項１０】
請求項９に記載の実装方法において、
前記情報は、データパケットの発信元ＩＰアドレスに限定されない情報であって、
プロセス、
ポート番号、
発信元プロセス、
データパケットを受信するために使用する網、
配信先アドレスあるいは他のパケットからのＩＰアドレス
を含むことを特徴とする実装方法。
【請求項１１】
請求項７に記載の実装方法において、
前記解析では、データパケットの発信元ＩＰアドレスを考慮することを特徴とする実装方法。
【請求項１２】
請求項７に記載の実装方法において、
前記解析では、データパケットの発信元アドレスがブラックリストあるいはホワイトリストに含まれるかを判定することを特徴とする実装方法。
【請求項１３】
請求項７に記載の実装方法において、
前記解析では、データパケットに関する破棄率値を読み出すことを特徴とする実装方法。
【請求項１４】
請求項７に記載の実装方法において、
前記解析では、アドレスが逐次アクセスそして／あるいは繰り返しアクセスの一部であるかを判定することを特徴とする実装方法。
【請求項１５】
請求項７に記載の実装方法において、
ネットワーク装置のタイマを読み出すことを特徴とする実装方法。
【請求項１６】
請求項７に記載の実装方法において、
前記解析では、データパケットを破棄すべきと判定した際にそのデータパケットが贈られてきた網チャネルを停止することを特徴とする実装方法。
【請求項１７】
請求項１６に記載の実装方法において、
前記解析では、データパケットを破棄すべきと判定した際にそのデータパケットが送られてきた網チャネル以外の網チャネルを開始することを特徴とする実装方法。
【請求項１８】
網保護を提供する装置であって、
装置外部のネットワークから送られてきたデータパケットを受け取り可能とする網インターフェースと、
網インターフェースとの通信のための網スタックと、
データパケットを送受信可能なひとつあるいはそれ以上のアプリケーションと、
自己防衛型侵入防御サービスモジュールと、を備え、
自己防衛型侵入防御サービスモジュールは装置内部からのひとつまたはそれ以上のアプリケーションからのデータパケットを解析し、
データパケットを目的地に配送させるか侵入の脅威から装置を保護するために破棄すべきかを判定することを特徴とする装置。
【請求項１９】
請求項１８に記載の装置において、
自己防衛型侵入防御サービスはひとつまたはそれ以上の静的ブラックリストと動的ブラックリスト、あるいは静的ホワイトリストと通信し、
ブラックリストとホワイトリストにはそれぞれ注目されるパケットの発信元と配信先に関する情報が含まれることを特徴とする装置。
【請求項２０】
請求項１８に記載の装置において、
前記装置が８０２．１１網インターフェースとセルラ網インターフェースを含むことを特徴とする装置。
【請求項２１】
請求項１８に記載の装置において、
前記装置には侵入網サービスと通信するためにタイマーを含むことを特徴とする装置。
【請求項２２】
請求項１８に記載の装置において、
データパケットの発信元ＩＰアドレスに制限されることなくデータパケットから読み出した情報を基に解析と判定をすることを特徴とする装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本出願は、２０１２年１月１２日に出願された米国仮特許出願第６１／５８６，０５４号に対する優先権を主張する。この仮特許出願の開示は引用によりその全体が本願にも含まれるものとする。
【背景技術】
【０００２】
計算ネットワークのセキュリティにおいては、侵入検知システム（ＩＤＳ）や侵入防御システム（ＩＰＳ）は様々な技術を用いて装置もしくは網が潜在的な侵入者により脅威を受けていると判定することが一般的である。さらにこれらのシステムは、侵入を阻止するために様々な対応策を実装することができる。ここで基本的な前提として、この脅威の発生源が保護する装置や網の外部にあるとされている。
【０００３】
例えば、従来のＩＤＳやＩＰＳソリューションによると、保護対象の網の外の発生源からの侵入を阻止するための対策をとるのが一般的である。典型的には、こういった阻止は侵入者の網アドレスから発生している網トラフィックのすべてをそのまま静穏に破棄する。しかしながら、現在知られているソリューションでは、その保護されるべき実際の端末自身が脅威の発生源であることは通常想定もしくは期待されていない。
【０００４】
ここで、保護される装置に対して利用者が本来正当であるはずのプログラムではなく感染されたバージョンといったような悪意のあるコードが含まれるソフトウェアを（故意または過失により）インストールした場合を検討する。この悪意のあるコードは自身を他の計算機に伝播させることを試みポートを開く処理を始める。もし、保護されたこの端末にＩＤＳまたはＩＰＳソリューションがインストールされていた場合、この脅威が装置自身から発生していることを特定できるであろうが、いったい何をできようか。もし、一般的な事例に基づいてＩＰＳがその脅威となるアドレスからの全てのトラフィックを阻止した場合、その結果その保護される装置からの全ての網トラフィックが破棄されることになる。その結果、保護される端末は通信不能になる。昨今のクラウド・コンピューティングや網ｊにより管理されているモバイルコンピュータの場合、通信ができなくなるということは端末の利用自身を失うことになる。昨今のクラウド・コンピューティングと完全に網接続を前提としたモバイル計算機においては、通信手段を失うことは装置が全く利用できなくなることを意味する。
【発明の概要】
【発明が解決しようとする課題】
【０００５】
そこで、装置の内部そして外部それぞれから発生する侵入に対する網保護が必要となっている。同時に、保護される装置における網トラフィックをシャットダウンすることと、悪意のないプログラムやプロセスに対して網接続を継続することの両者のバランスを維持する必要性が高まってきており、装置がセキュリティを反故にすることなく可能な限り長くその価値を維持する。
【課題を解決するための手段】
【０００６】
いくつかの態様において、本発明は、自己防衛型侵入防止システム（IPS）を使用して装置を保護するための方法に関し、データパケットが装置内から発生し潜在的な攻撃を示す活動のパターンを検出する監視部と、保護された装置内から発信された脅威を検出することと、脅威の検出時に、突然サービスや装置からの通信を遮断することなく、ある特定の期間にかけてデータ通信能力を意図的に制限するよう制御し漸進的に装置での網サービスを劣化させる自己防衛措置をとる。
【０００７】
いくつかの態様において、本発明は、漸進劣化もしくは対処には特定のデータパケットに関する情報に基づいてネットワーク装置に提供された特定のデータパケットを配送するか破棄するかを判定する。
【０００８】
いくつかの態様において、本発明は、データパケットの発信元ＩＰアドレスに制限を受けない情報に基づいて特定のデータパケットを配送すべきか破棄すべきかを判定する。
【０００９】
いくつかの態様において、本発明は、装置が動作を続けることが許可されつつ特定のデータパケットについて配送するか破棄するかを判定する。
【００１０】
いくつかの態様において、本発明は、動作のパターンにＩＰアドレスを逐次アクセスするかあるいは逐次ポート番号に対してポートスキャンを実行する。
【００１１】
いくつかの態様において、本発明は、ネットワーク装置にてデータパケットを受信し、プロセッサによる支援によりデータパケットから情報を読み出し、プロセッサによる支援によりその情報によりデータパケットを目的地まで配送するか否かを解析し、前記解析では、端末内部から発信するデータパケットに関する情報を考慮して解析し、前記装置の内部からの悪意あるアプリケーションから発信したデータパケットを選択的に破棄する。
【００１２】
いくつかの態様において、本発明は、網保護を提供する装置であって、装置外部のネットワークから送られてきたデータパケットを受け取り可能とする網インターフェースと、網インターフェースとの通信のための網スタックと、データパケットを送受信可能なひとつあるいはそれ以上のアプリケーションと、自己防衛型侵入防御サービスモジュールと、を備え、自己防衛型侵入防御サービスモジュールは装置内部からのひとつまたはそれ以上のアプリケーションからのデータパケットを解析し、データパケットを目的地に配送させるか侵入の脅威から装置を保護するために破棄すべきかを判定する。
【００１３】
また、実施の形態では説明に役立つ実施例のみが示されているが、当業者にとっては、実施の形態の記載から、ここに開示されているさらなる側面と効果が明白に理解されるであろう。ここに開示されている内容は、明らかに他の異なる実施例であってもよく、いくつかの詳細については、開示から逸脱しない範囲で変形することができる。したがって、図面と詳細な説明は、実際には例証にすぎず、これに限定されるものではない。
【００１４】
この明細書で言及されているすべての刊行物、特許、および特許出願は、それらの刊行物、特許、および特許出願の各々が引用されれば本願に含まれることが特別かつ個別に指定されている場合と同様に、引用により本願に含まれる。
【図面の簡単な説明】
【００１５】
本発明の新規な特徴は、添付の特許請求の範囲に詳細に記載されている。本発明の原理を例示的な実施形態により示す以下の図ならびにその詳細な説明を参照することによって本発明の特徴および利点のより良い理解を得られるであろう。
【図１】本発明による侵入または攻撃から網を保護するためのモバイル装置やコンピュータの網接続を示した図である。
【図２】本発明によるブラックリストと逐次アドレス攻撃の検出の組み合わせによりパケットの配信を制御する処理の流れを示した図である。
【図３】本発明による予め定めた時間中のみデータパケットを阻止してそれ以外の時間帯は阻止しない実装を示した図である。
【図４】本発明による時間の経過と共に変化する放棄比率に基づいてデータパケットを選択的に放棄する実装を示した図である。
【図５】本発明による時間の経過に対するパケット放棄比率を示したグラフである。
【図６】本発明による悪意をもつプロセスの検出結果に基づきそのプロセスとの通信パケットを放棄しつつその他のパケットを配送する実装における処理の流れを示した図である。
【図７】本発明による通信パケットを選択的に放棄しかつ通信チャンネルを無効にする実装での処理の流れを示した図である。
【図８】本発明によるホワイトリストを用いて選択的に通信パケットを配送しつつもうサービスの品質を漸進的に劣化させていく実装での処理の流れを示した図である。
【図９】本発明によるブラックリストを用いて選択的に通信パケットを放棄する実装での処理の流れを示した図である。
【発明を実施するための形態】
【００１６】
本発明は、装置内部に存在する悪意あるプログラムが発している脅威から装置を効果的に保護しつつその装置の操作への影響を最小限に抑えるために、単にその端末自身をブラックリストに載せて全ての通信トラフィックを遮断して完全にその端末の操作性を無効にするかわりに、装置での通信トラフィックを選択的に破棄することにより、装置外部からに限らず装置内部から脅威が発生している際の装置に対する防御を提供する。
【００１７】
ここでは発明にて推奨する実装形態を示し説明するが、これが事例にすぎないことは相当の技術を理解する者にとって自明である。本発明から離脱することなく応用例、変更例、あるいは差し替えが発生しうる。本実施例に本発明を適用することによりさまざまな代替事例が可能である。
【００１８】
ここで説明する本発明の数々の要点は以下に示す特定のアプリケーションのうちあらゆるものに提供できまた他のあらゆる種類の通信環境に適用できる。本発明はスタンドアロンシステムもしくは方式に適用でき、あるいはデータセキュリティシステムの一部として適用可能である。本発明による異なる要点はそれぞれかあるいは包括的にあるいはそれぞれの組み合わせにより解釈できることとする。
【００１９】
本発明の一実施例では、自己防衛型侵入防御システムを提供する。図１にあるようにモバイル装置１０４は無線電波（例：802.11 WiFi網）を用いたワイヤレス網１０１やセルラ網１０２といった少なくともひとつのネットワークによりインターネット１００に接続している。これらの網そして／あるいはインターフェースの具体的な例については他の同種類の網そして／あるいはインターフェースにそれぞれ適用できる。
【００２０】
モバイル装置１０４内部では、８０２．１１網インターフェース１０５が８０２．１１網１０１とのデータパケットを送受信する。セルラ網インターフェース１０６はセルラ網１０２とのデータパケットを送受信する。外部ネットワーク１９９はモバイル装置１０４のネットワーク側を示す。ひとつもしくは複数のアプリケーション（１１２ａ、１１２ｂ、１１３）が存在する。感染したアプリケーション１１３は、アプリケーションがウィルスまたは他の悪意のある攻撃がアプリケーションにあったとシステムが判定したことから悪意があると記されたアプリケーションを指す。網スタック１０７は、アプリケーション１１２ａ／１１２ｂ／１１３と網インターフェース１０５／１０６との間で送信されるパケットを読み出して配送する。さらに、網スタック１０７は、パケット解析してそれを配信先に配送するかもしくは悪意のあるサーバやプロセスからの攻撃に対する安全面の懸念から破棄するかを判定する侵入防御サービス（ＩＰＳ）モジュール１０８と通信する。ＩＰＳ１０８は、静的（スタティック）ブラックリスト１０９、静的ホワイトリスト１１０そして／あるいは動的（ダイナミック）ブラックリスト１１１と接続する。これらのリストには、注目が必要なデータパケットについて発生源あるい送信者に関する情報が含まれている。ブラックリストには、悪意をもつサーバやアプリケーションプロセスに関する情報が含まれ、これらに関連する通信パケットはＩＰＳ１０８により破棄すると判定される。動的ブラックリスト１１１ではＩＰ１０８がそのリストを変更することを許可している。サーバもしくはアプリケーションプロセスに関する情報は、もし相手が外部ネットワーク１９９にある場合にはＩＰアドレスとポート番号として保管され、もし相手がそのモバイル装置１０４内部にあるアプリケーションに関連する場合にはアプリケーション名やプロセスＩＤとして保管される。モバイル装置１０４もしくはそのモバイル装置外部（例：外部ネットワーク１９９）さらにはそれらの組み合わせにて、ひとつあるいはそれ以上のブラックリストを保管できる。モバイル装置１０４にはタイマ１１４が含まれ、予め決められた時間中にデータパケットの通信を阻止するための時間を判定するために時間を管理する。
【００２１】
このシステムは、選択的に提供される網サービスを漸進的に劣化させることができる。制御可能なかたちで性能を低下させるためにこの対応を段階てきに適用することにより、装置の利用者は少なくともいくらかの時間の最中にその装置を操作し続けることを許可できる。たとえそれが比較的短時間であったとしても、利用セッション中の文書を保管したり通信セッションを正常に切断させることができる。したがって、本発明によると、装置自身の内部から発生する脅威に対して効果のある自己防衛機能を提供し、脅威を検出した際にすべての通信トラフィックを破棄することを避けることができ端末の利便性を最大限に維持することができる。
【００２２】
本実施例ではモバイル装置ならびに他のさまざまな種類の装置が網と接続している。装置はネットワーク装置であることができ、パーソナル・コンピュータ、サーバ・コンピュータ、もしくはラップトップ・コンピュータが含まれ、タブレットといったモバイル装置や、パームやWindows（登録商標） CE装置といったパーソナル・ディジタル・アシスタント（PDA）であったり、セルラ電話端末やスマートフォン（例えばiPhone, BlackBerry, Android, Treo）、ワイヤレス電子メール装置やその他のコンピュータ網や他の通信網と無線で通信可能な無線装置でもあり得、あるいは網を介して通信でき電子トランズアクションを処理できるあらゆるタイプのネットワーク装置であり得る。こういったなかでの１つ以上装置には携帯型装置も含まれる。ここで記載する計算機あるいはモバイル装置はあらゆる他のネットワーク装置に応用可能である。
【００２３】
さらに、装置は同じ種類の装置であることができ、また／あるいは異なる種類の装置を含むこともできる。例えば、装置はコンピュータやスマートフォン、および／あるいはタブレットであり得る。モバイル装置は網を介してインターネット経由でＷｅｂサーバと通信できる。ネットワーク装置と網との間の通信は、例えばクライアント・コンピュータとセルラ網との間の接続であることが可能である。ひとつもしくは複数の網はひとつまたは複数のコンピュータや他のネットワーク装置と特定の網を介して接続できる。例えば、複数の装置は一つの網にて通信でき、または複数の網とも通信できる。例えば、網は、ワイヤレス、セルラ、もしくは電信網が含まれ、ＬＡＮといったプライベート（閉域）網や、あるいはインターネットもしくはWorld Wide Webもしくはデジタルデータを通信可能な他の網を介してオンライン接続された組織との相互接続が含まれる。それぞれのコンピュータや他のネットワーク装置はＨＴＴＰ，ＨＴＴＰＳやそれに類似したデータプロトコルを使って網を介してひとつもしくはそれ以上のＷｅｂサーバと接続できる。
【００２４】
本実施例によると、図１に示すとおり、利用者はＩＰＳ１０８全体の一部を構成するモバイル装置（例：タブレット、スマートフォン）もしくは他のネットワーク装置を介して数々の網とやりとりができる。装置には数々の網インターフェースを含まれ、セルラ網や８０２．１１網もしくは他のＩＥＥＥ標準をもとにした網と通信できる。ネットワーク装置が網と通信する際には、Ｗｅｂサーバと通信するたてにオペレーティングシステム（ＯＳ）やブラウザアプリケーションや他のアプリケーションを保管するメモリとプロセッサを具備している。例えば、利用者がブラウザアプリケーションその他のコンピュータプログラムを実行許可すべく、オペレーティングシステムはグラフィカル・ユーザ・インターフェースを表示するために処理を実行する。例えばMicrosoft Internet Explorer, Mozilla Firefoxなどのブラウザアプリケーションがプロセッサにより実行されると利用者がWorld Wide Webにアクセスできるようにすることは一般的に知られている。同様に、モバイル装置上の他のアプリケーションもしくはＡｐｐｓも利用できる。ブラウン管、液晶表示、プラズマ画面、タッチ画面、ＬＥＤ画面、ＯＬＥＤディスプレイを含みまたそられに限らずあらゆる公知の表示技術を使うことができる。
【００２５】
装置そして／あるいはサーバにはひとつもしくは複数のプロセッサそして／またはメモリを含むことができる。いくつかの実装例では、メモリは非一時的な計算機読み取り可能保管媒体であり得、ひとつもしくは複数の処理ステップを実行するためのコードやロジックもしくは命令が含まれる。プロセッサはその非一時的な計算機読み出し可能媒体にて示されるひとつもしくは複数の処理ステップを実行できる。プロセッサは、侵入に対して自動的に自己防衛するために、ここに示す方式によるひとつもしくは複数の処理ステップを実行できる。ここで示すＩＰＳ１０８は選択された網もしくはプロトコルスタックに対して処理でき、ダウンロードされてあるいは装置のメモリに保管された様々なアプリケーションを監視し検出できる。本発明に従い、網の侵入を示す予め認識された動作パターンを検出することができる。例えば、悪意のあるアプリケーションがＩＰアドレスを逐次的にアクセスしたり、そして逐次的にポート番号をスキャン実行することなど怪しい動作の命令を実行する中でそういった悪意のあるアプリケーションを検出できる。本発明による実施例によると、装置自身のメモリ上に存在するＩＰＳ１０８は、こういった事象を予測し、検出し、そして破棄機能を処理できる。したがって、実施する対応策によってはいくつかの（しかしながら必ずしも全てではなく）パケットが定期的に破棄されるといったように、部分的なサービス劣化機能が提供される。
【００２６】
ここで説明するひとつまたはそれ以上の自己防衛処理ステップまたは対処はひとつまたはそれ以上のルールのセットにより決まる。そのルールはひとつまたはそれ以上の条件のセットにより自動化された対処を実行することがある。装置はひとつまたはそれ以上の処理ステップを人による介入を必要とせずに侵入防御をすることができる。ここで、ネットワーク装置はひとつまたはそれ以上のメモリを含み、そのメモリは非一時的そして／あるいは有形で計算機読み取り可能な記憶媒体であって、計算機または他の装置の恒久的または一時的なメモリに命令やロジック、データまたはコードを格納しているか、もしくはその計算機または他の装置による処理の実行を何らかの形で影響もしくは起動できる。また、メモリはひとつもしくはそれ以上のデータベースを含むことができる。
【００２７】
本発明の別の態様として、網の性能を選択的に劣化させる方式がある。選択されたパラメータによって様々な対処を実行することができる。こういった実行処理は提供可能なサービスの中断あるいは劣化を自動的に実行することにより、人による命令や認知なく網を防衛できる。
【００２８】
図２では、次に続くＩＰアドレスもしくはポート番号へアクセスする要求を予測し破棄しつつそのパターンに合わないアドレスとポートへのアクセスを許可する自己防衛型侵入防御システムＩＰＳ１０８を搭載したモバイル装置１０４内部でのデータパケット処理の流れを示している。網スタック１０７がモバイル端末１０４内部のアプリケーションまたは外部ネット枠１９９条の外部装置からパケット２０１を受信すると、パケット２０２からアプリケーションプロセスまたは送信元ＩＰアドレスとポート番号情報を読み出し、ＩＰＳ１０８はその情報をブラックリスト１０９／１１１（２０３）と比較する。もし、プロセスまたはアドレスがそのブラックリスト１０９／１１１のひとつに格納されている場合、データパケットは破棄され、それは通信先には配送されない。もし情報がブラックリスト１０９／１１１に存在しない場合、ＩＰＳ１０８はそのアドレスが連続しているかを比較し、それが繰り返しアクセスによる攻撃の可能性があるかを判断する。もし、ＩＰＳ１０８がそれが攻撃（２０４）であると判断した場合、ＩＰＳ１０８はそのプロセスまたはアドレスに関する情報を動的ブラックリスト１１１に挿入し（２０６）、パケットを破棄する（２０７）。それ以外の場合、パケットは通信先のアプリケーション１１２ａ／１１２ｂに配送される（２０５）。
【００２９】
ポート番号とＩＰアドレスは、厳密には連続していないが、いくつかの繰り返しまたは予測可能なパターンになっている。問題のあるパターンを発見することにおいて、本発明は、ネットワークが機能を落とすことによって補修のまたは防御的な動作をもたらすことを可能にする。
【００３０】
図３では、予め設定された時間中にパケットデータの通信を阻止する例について示している。データパケットが（モバイル装置１０４内部の）アプリケーションまたは外部ネットワーク１９９から網スタック１０７に到着すると（３０１）、プロセス情報もしくはＩＰアドレスやポート番号といったように送信者または発信相手に関する情報が読み出されるもし、情報がブラックリスト１０９／１１１のいずれにも存在しない場合（３０３）、自己防衛型侵入防御死すエムＩＰＳ１０８はタイマ１１４を読み出す（３０４）。タイマ１１４は時間を計算し維持し、ＩＰＳ１０８はそれを利用することにより時刻に応じてデータパケットを目的地に配送すべきか破棄すべきかを判断する（３０５）。ＩＰＳ１０８は、そのときに阻止時間中ではない場合（３０６）にはパケットを目的地に配送する。一方、阻止時間中の場合にはパケットを破棄する。パケット通信の阻止は、予め定められた期間に発生し、アプリケーションは、例えば、インターネット１００を介してクラウドにデータを格納するときのように、網接続が可能なときに処理を行うことができる。
【００３１】
攻撃先の選択とスキャンを実行した時間に対してスキャン結果きわめてランダム化されている場合、自己防衛型侵入防護システムＩＰＳ１０８はパケットが発信される頻度（レート）を漸進的に制限できる。図４では、パケットが発信される頻度を漸進的に制限するＩＰＳ１０８の例を示している。ＩＰＳ１０８は無雑作に破棄するネットワークパケットのパーセンテージを漸進的に増やし、最終的にはある一定期間に限ってトラフィックを阻止することができる。網スタック１０７はモバイル装置１０４内部もしくは外部ネットワーク１９９にあるアプリケーションからパケットを受信する（４０１）。ＩＰＳ１０８は発信元のアプリケーションプロセスまたはパケットに関するＩＰアドレスとポート番号を読み出す（４０２）。もし、アドレスがブラックリスト１０９／１１１のひとつに含まれている場合（４０３）、ＩＰＳ１０８はデータパケットを破棄する。もしそうでない場合は、ＩＰＳ１０８は破棄率値を読み出す（４０４）。破棄率値はＩＰＳ１０８がパケットを破棄する頻度を示し、０％とは全てのパケットを配送し、１００％は全てのパケットが破棄されて目的とする場所に配送されないことを示す。パケットを破棄すべきか保持すべきかを判定するために計算がなされる。例えば、Ｘ＝（無雑作に生成された０から１の間の数）ｘ（破棄率値％／１００）が計算される。もし、Ｘ値が０．５未満だった場合、パケットは保持される。もしＸ値が０．５以上の場合には、パケットは破棄される。もし、破棄率値（４０５）により破棄されるとなった場合、ＩＰＳ１０８はそのパケットを破棄する（４０７）。もしパケットが保持されるとなった場合、ＩＰＳ１０８はそのパケットを目的となるアプリケーション１１２ａ／１１２ｂに配送する処理に入る。図５では、パケット破棄率について、モバイル装置１０４への侵入のリスクによりＩＰＳ１０８が接続サービスの品質を劣化させると判定してから経過した時間との関係を示す。パケット破棄率と時間との関係は線形の関係に限定されず様々な種類があり得え、またその関係はＩＰＳ１０８により変更することができる。
【００３２】
別の実装例として、本発明によると悪意のあるプロセスから発信されたパケットを破棄しつつその他との間とのパケットを許可する。図６によると、網スタック１０７はモバイル装置１０４内部にあるアプリケーションから送られるパケットを受信する（６０１）。発信プロセスに関する情報がパケットから読み出される（６０２）。ＩＰＳ１０８はブラックリスト１０９／１１１にその発信プロセスが悪意あるプロセスのひとつとして記載されているかを判定する（６０３）。もし、パケットがブラックリスト１０９／１１１に掲載されていないプロセスから発せられていた場合、そのパケットはその目的地１１２ａ／１１２ｂに配送される（６０４）。もし、目的地が外部ネットワーク上の相手であった場合、このパケットは適切な網インターフェース（１０５／１０６）と外部ネットワーク１９９にあるそれぞれの網（１０１／１０２）を介して目的地に送られる。しかしながら、もしパケットが悪意のあるプロセスから送られたと判定された場合、パケットは破棄される（６０５）。ＩＰＳ１０８が攻撃のパターンを検出できる場合（一目的地へトラフィック送信を繰り返す）、ＩＰ１０８は目的とするアドレスを動的ブラックリストに追加することにより、他のアドレスへのトラフィックを制限することなくそのアドレスとの全てのトラフィックを制限したり通知なく破棄することができる。
【００３３】
自己防衛対処はモバイル装置１０４内部にある感染されたアプリケーションまたは悪意のあるソフトウェアから防御するために提供され、一定の周期間隔でスキャン処理させるようプログラム化できる。検出した時点でＩＰＳ１０８はこれらの通常の周期間隔で発生するトラフィックを認識して阻止できる。また、これらの時間中に装置の利用者はいくらかの性能悪化を体感することができる。しかしながら、今日に公知となっているようなサービスの完全な停止よりもこの破棄処理の方が許容できる。
【００３４】
別の実装例として、自己防衛型侵入防御システムＩＰＳ１０８が搭載されている装置が複数の通信チャンネル（例：ワイヤレスＬＡＮとセルラデータモデム）を保持している場合、本発明によるＩＰＳ１０８は通信チャンネルのうちのひとつに配信されるトラフィックを阻止しつつ、他のチャンネルに流れるトラフィックについては引き続き許可することができる。図７に示すとおり、網スタック１０７はモバイル装置１０４内にあるアプリケーションもしくは外部ネットワーク１９９にある相手からパケットを受け取る（７０１）。網スタック１０７はパケットが配送されてきた網チャネルを記録する。ＩＰＳ１０８は、もしデータがモバイル装置１０４自身の内部から発信された場合は発信プロセスを確認し、あるいはブラックリスト１０９／１１１にその発信元ＩＰアドレスがあるかを確認して解析することにより、そのパケットを目的地に配送すべきかを判定する。もし通すもしくは受理すべきと判断した場合、ＩＰＳ１０８はもしそのモバイル装置１０４内部である場合には目的地１１２ａ／１１２ｂに配送し、あるいは外部ネットワーク１９９に配送する。もし受け入れられない場合には、ＩＰＳ１０８はそのパケットをルーティングすべき網チャネルを特定し、それに対応する網インターフェースに対して接続を停止するよう命令する。例えば、もしパケットがセルラ網インターフェース１０６を介して通信される場合、ＩＰＳ１０８はセルラ網インターフェース１０６に対してインターフェースを停止するよう命令する。たとえセルラ網１０２がアクセス不可能となった後であっても、本実装では８０２．１１網１０１を介してインターネット１００にデータアクセスできるようにし、網スタック１０７は８０２．１１網インターフェース１０５を介してデータ通信を処理し続ける。ここで、疑わしいパケットのみに関連したパケット破棄もしくはチャネルにある全ての通信をシャットダウンすることにより通信阻止がなされる。これは、網チャネル通信をシャットダウンすることによるデータ通信コストを削減できるという意味において、例えばセルラ網のように比較的高価値な接続が問題とされている場合に便利である。
【００３５】
他の実装例においては、例えばＩＰＳ１０８の処理ポリシーを管理するサーバといったようなミッション・クリティカルなサーバの網の位置を格納するために静的ホワイトリストにて特定のアドレスのセットが保管される。これにより、モバイル装置１０４内部で進行中の脅威に関する情報をＩＰＳ１０８が通信したり、または脅威に対する防衛力を向上するためのルールやポリシーの更新版を受信することができる。
【００３６】
図８に示すように、本発明は進行中の脅威の状態に関する情報についてＩＰＳ１０８管理サーバとの通信を継続しつつ他の通信を阻止するためにホワイトリスト１１０を使用する。図８では実装に関する処理ステップを示している。網スタック１０７はデータパケットを受信する（８０１）。発信元と送信先両方に関してプロセスもしくはＩＰアドレスとポート番号情報がパケットから読み出される（８０２）。ＩＰＳ１０８はもし発信元に関する情報がホワイトリスト１１０に含まれているかを確認する。もしアドレスがホワイトリスト１１０に含まれている場合（８０３）、パケットはモバイル端末１０４内部の発信先アプリケーション１１２ａ／１１２ｂあるいは外部網１９９にある相手に配送される。発信元はインターネット１００を介してＩＰＳ１０８管理サーバであり得る。もし、発信元アドレスがホワイトリスト１１０に無い場合（８０３）、ＩＰＳ１０８は破棄率値を読み出して（８０４）現時点での破棄率によりパケットを破棄する必要があるかを判定する。もしＩＰＳ１０８がパケットを破棄する必要があると判定した場合、そのパケットは破棄される。ＩＰＳがパケットを保持すると判定した場合、パケットは発信先のアプリケーション１１２ａ／１１２ｂに配送される。
【００３７】
図９では、ブラックリストを用いてパケットを選択的に破棄する処理の流れを示す。データパケットが受信される（９０１）。プロセスやＩＰアドレスそしてポート番号といった発信元に関する情報がパケットから読み出される（９０２）。その発信元に関する情報がブラックリストに含まれているかを判定できる。もし、情報がブラックリスト（９０３）に存在しない場合、パケットは目的とするアプリケーションに配信される（９０４）。もし情報がブラックリスト（９０３）に含まれている場合、パケットは破棄される（９０５）。
【００３８】
本発明の一側面によれば、自己防御ＩＰＳ１０８は、公知の様々な認識手段によってこれらのパターンを特定することができる。問題のあるパターンを発見することにおいて、本発明の他の特徴は、ネットワークに、機能を落とすといった補修または防御的な動作をもたらすことを可能にする。
【００３９】
問題となるパターンを検出した場合、本発明による他の機能は上述した要領でパケット破棄機能を実行するなど是正あるいは防御行為をすべく網に許可する。
選択されたアドレスやポート番号が擬似乱数となっている場合、発信先をパターン認識することは適切ではない。しかしながら、悪意のあるソフトウェアはこれらのアドレスを高速でスキャンするようにプログラムでき、ＩＰＳ１０８によって高速網トラフィックが検出されてそのＩＰＳ管理下で破棄されることがある。もし、装置の所有者がこれらの間隔のひとつの時間中に網の操作をする場合、いくつかの正式なパケットが破棄されることからサービスの一部劣化を感じることがある。しかしながら、公知例により示されたようなサービスの全面停止よりも一時的もしくは部分的なサービス劣化の方が好まれる。
【００４０】
もしＩＰＳ１０８がインストールされている装置がマルチタスク、並行処理装置、そしてそのオペレーティングシステムがＩＰＳ１０８に対してどのプロセスがどのパケットを発信しているかを判定することを許可する場合、ＩＰＳ１０８は悪意あるトラフィックの発生源のプロセスまたは複数のプロセスを検出でき、そのプロセスが発信した全てのパケットを破棄しつつ他のすべてのプロセスからのトラフィックが自由に流れることを許可できる。もし、プロセスが悪意あるソフトのマルウェアにより感染している場合、これは関連したプログラムの利便性を損ねることになるが、その一方で装置上のいかなる他のプログラムを妨げることにはならない。
【００４１】
図１に示すとおり、本発明によるいくつかの実装例ではＩＰＳ１０８が含まれ、脅威を検出するにしたがって静的そして／あるいは動的ブラックリストがアップデートされたり更新されることができる。例えば特定のアドレスを参照する全てのパケットを破棄したり一部を制限するなど、たとえそれらのアドレスから到着するもしくは目的地がそれらのアドレスであるかにかかわらずできる。いくつかの場合では、ブラックリストには既知の攻撃アドレス情報が含まれ、ローカルあるいは遠隔から管理者や利用者によりそれを静的に固定にしたりあるいは事前に割り当てることができる。動的ブラックリストにより、ＩＰＳ１０８は攻撃的なアドレスに関するブラックリストを自動的に構成することができる。たとえば、脆弱性を検索するために幅広い範囲のアドレスをスキャニングするかわりに、悪意のあるもしくは感染したプログラムは、おそらく分散DoS(Distributed Denial of Service)攻撃の一部としてひとつのあて先あるいは比較的小さな既知のあて先に繰り返しトラフィックを送信する目的をもっていることがある。このトラフィックパターンを検出した際、ＩＰＳ１０８は目的とするアドレスを動的ブラックリストに追加することができ、それによりそのアドレスへの全てのトラフィックを制限するかあるいは静穏に破棄することさえできると共に、それ以外のアドレスへのトラフィックを制限しないことが可能となる。
【００４２】
一つ以上の構成部や機能、特性やステップが全部または本明細書に記載の実施形態のいずれかを使用して部分的に組み合わせることができる。これらの構成部や機能、特性、または米国特許出願番号61/586,078に記載された手順を含むことができる。
【００４３】
本発明の実施形態を図示し、説明してきたが、これらの実施例は単なる例として提供されることは、当業者には明らかである。多くの変形、変更、及び置換は、本発明から逸脱することなく、当業者に自明となる。本発明の実施において本明細書に記載の本発明の実施形態に種々の代替案が使用され得る。続く特許請求項が本発明の範囲を定義し、またそれら請求の範囲により示される方法および構造がその範囲に包含されていることを意図する。
【図１】
2013175166.tif 000003
【図２】
2013175166.tif 000004
【図３】
2013175166.tif 000005
【図４】
2013175166.tif 000006
【図５】
2013175166.tif 000007
【図６】
2013175166.tif 000008
【図７】
2013175166.tif 000009
【図８】
2013175166.tif 000010
【図９】
2013175166.tif 000011
【外国語明細書】
2013175166000001.pdf