(57)【要約】【課題】複数の網の間を移動するモバイル装置において、侵入者情報を正確に管理することにより、装置を侵入から防ぐ方法とシステムを提供する。【解決手段】網トラフィックを管理するための計算装置による実装方法が提供される。特に、この方法は、計算装置に関連付けられているブラックリストを維持管理することを含み、このブラックリストには計算装置に脅威を与える可能性が高いと判断されたひとつあるいはそれ以上の相手の装置（エンティティ）に関する情報が含まれている。こういった1つ以上の相手は、侵入防御システム（IPS）によって検出することができる。この方法はまた、計算装置に関連した網に関する変化を検出することを含み、その検出時に計算装置に関連付けられているブラックリストを更新する。いくつかの実施形態では、この更新処理は、ブラックリストに含まれている一部またはすべての情報を削除する処理を含めることができる。【選択図】図１
2013191199.tif 000002
【特許請求の範囲】
【請求項１】
計算装置を保護するためのコンピュータ実装方法であって、
計算装置に関連したブラックリストを維持管理し、
前記ブラックリストは計算装置に脅威を与える可能性が高いと判断される少なくとも１つまたはそれ以上の装置に関する情報を含み、
ネットワークに関する変化を検出し、
前記ネットワークに関する変化を検出したことに応じて、前記計算装置に関連したブラックリストを更新することを特徴とするコンピュータ実装方法。
【請求項２】
請求項１に記載のコンピュータ実装方法であって、
１つまたはそれ以上の装置に関する情報は、前記１つまたはそれ以上の装置に関連する少なくとも１つのネットワークアドレス、ポート番号、またはアプリケーション識別子を含むことを特徴とするコンピュータ実装方法。
【請求項３】
請求項１に記載のコンピュータ実装方法であって、
前記ブラックリストを維持管理することは、
装置による網侵害を検出することと、
その装置に関する情報をブラックリストに追加すること、とを含むことを特徴とするコンピュータ実装方法。
【請求項４】
請求項１に記載のコンピュータ実装方法であって、
前記ネットワークに関する変化は、計算装置によるネットワーク接続の変化と、計算装置に関連するネットワークアドレスの変化と、ネットワーク識別子の変化、のうちの少なくともひとつの変化を含むことを特徴とするコンピュータ実装方法。
【請求項５】
請求項１に記載のコンピュータ実装方法であって、
前記ネットワークに関する変化は、ネットワーク、通信チャンネル、ネットワークレイヤ、ユーザ、およびプロセスのうちのひとつに固有であることを特徴とするコンピュータ実装方法。
【請求項６】
請求項１に記載のコンピュータ実装方法であって、
前記ネットワークに関する変化は、少なくともひとつのワイヤレス接続に関連することを特徴とするコンピュータ実装方法。
【請求項７】
請求項１に記載のコンピュータ実装方法であって、
前記計算装置に関連するブラックリストを更新することは、前記ブラックリストに含まれる情報の少なくとも一部を取り除くこと、を含むことを特徴とするコンピュータ実装方法。
【請求項８】
請求項１に記載のコンピュータ実装方法であって、
前記計算装置に関連するブラックリストを更新することは、ネットワークに関して検出した少なくともひとつの変化に基づくことを特徴とするコンピュータ実装方法。
【請求項９】
請求項１に記載のコンピュータ実装方法であって、
前記計算装置に関連するブラックリストを更新することは、ネットワークに関して検出した変化により適用できなくなった情報をブラックリストから取り除くことを含むことを特徴とするコンピュータ実装方法。
【請求項１０】
請求項１に記載のコンピュータ実装方法であって、
ブラックリストを更新する前に、ブラックリストに含まれている情報の少なくとも一部を保存すること、をさらに含むことを特徴とするコンピュータ実装方法。
【請求項１１】
請求項１に記載のコンピュータ実装方法であって、
前記計算装置がモバイル装置であることを特徴とするコンピュータ実装方法。
【請求項１２】
ネットワークからの侵入を防御するための計算システムであって、
ひとつまたはそれ以上のプロセッサと、
前記ひとつまたはそれ以上のプロセッサによって実行可能な命令を含むメモリと、を備え、
前記命令は、
少なくとも計算システムに対して脅威をもたらす可能性が高いと判断されたひとつもしくはそれ以上の装置に関する情報を含む、ひとつもしくはそれ以上のブラックリストを維持管理し、
前記計算システムに関連したネットワークに関するひとつもしくはそれ以上の変化を検出し、
前記ネットワークに関して検出したひとつまたはそれ以上の変化により適用できないと判定したひとつまたはそれ以上のブラックリストの一部を選択し、
選択したひとつまたはそれ以上のブラックリストの一部を更新すること、
を含むことを特徴とする計算システム。
【請求項１３】
請求項１２に記載の計算システムにおいて、
ネットワークに関連したひとつもしくはそれ以上の変化には、少なくとも変化したサービスセット識別子（ＳＳＤ）または変化したモバイルネットワークコード（ＭＮＣ）が含まれることを特徴とする計算システム。
【請求項１４】
請求項１２に記載の計算システムにおいて、
ひとつまたはそれ以上のブラックリストが、それぞれ個別の通信チャンネルに対応することを特徴とする計算システム。
【請求項１５】
請求項１２に記載の計算システムにおいて、
ひとつまたはそれ以上のプロセッサにより実行可能な命令は、ひとつもしくはそれ以上のブラックリストの少なくとも一部をもとに、計算システムとひとつまたはそれ以上の装置との間のネットワークトラフィックを制限すべきか否かを判定することを特徴とする計算システム。
【請求項１６】
請求項１２に記載の計算システムにおいて、
ひとつまたはそれ以上のホワイトリストをもとに、計算システムとひとつまたはそれ以上の装置との間のネットワークトラフィックを制限することを特徴とする計算システム。
【請求項１７】
実行可能な命令を保持するひとつまたはそれ以上の非一時的なコンピュータ読み取り可能な記憶媒体であって、
前記実行可能な命令が、コンピュータシステムのひとつもしくはそれ以上のプロセッサによって実行され、前記命令は、前記コンピュータシステを、少なくとも、
計算装置に関連したネットワークに関する変化を検出する手段と、
前記ネットワークに関する変化を検出したことに応じて、その計算装置に関連したブラックリストを更新する手段であって、前記ブラックリストは、その計算装置に対して脅威を与える可能性が高いと判定されたひとつもしくはそれ以上の装置に関する情報を含む手段と、して機能させることを特徴とする記憶媒体。
【請求項１８】
請求項１７に記載のコンピュータにより読み取り可能な記憶媒体であって、
前記実行可能な命令が、前記コンピュータシステムを、
ネットワーク侵入を検出するためにコンピュータシステムへの、もしくはコンピュータシステムからのネットワークトラフィックを監視する手段と、
ネットワーク侵入を検出した場合にブラックリストを更新する手段と、
前記ブラックリストの少なくとも一部に基づいて、ネットワークトラフィックを管理する手段と、して機能させることを特徴とする記憶媒体。
【請求項１９】
請求項１８に記載のコンピュータにより読み取り可能な記憶媒体であって、
前記実行可能な命令が、前記コンピュータシステムを、
前記ネットワークトラフィックを管理する手段は、
前記コンピュータシステムへの脅威を与えないと判定したひとつもしくはそれ以上の装置に関する情報を含むホワイトリストに基づいて、前記ネットワークトラフィックを管理することを特徴とする記憶媒体。
【請求項２０】
請求項１７に記載のコンピュータにより読み取り可能な記憶媒体であって、
前記ブラックリストを更新する手段は、
少なくとも設定可能な情報に一部基づいて前記ブラックリストを更新することを特徴とする記憶媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本出願は、２０１２年１月１２日に出願された米国仮特許出願第６１／５８６，０７８号に対する優先権を主張する。この仮特許出願の開示は引用によりその全体が本願にも含まれるものとする。
【背景技術】
【０００２】
近年のモバイル装置の普及により、これらモバイル装置に対してプライバシーや安全を守る必要性が高まってきている。網（ネットワーク）からの侵入を検知して網接続の安全性を確保するために、ネットワーク侵入検知装置（NIDD）や侵入保護あるいは防止システム（IPS's）が従来から一般的に用いられてきた。
【発明の概要】
【発明が解決しようとする課題】
【０００３】
しかしながら、従来のシステムにおいては、比較的固定的な網接続環境を前提としていた。昨今のモバイル通信網を使う場合のように、モバイル装置がひとつの網から別の網に頻繁に移動する環境にはそのような前提が成り立たないことがある。その場合、移動前の網で検出した侵入者情報は新しい環境においては無効となることから、端末が複数の網の間で移動する場合にも対応しうる新たな技術が求められていた。
【課題を解決するための手段】
【０００４】
実施の一形態では、網トラフィックを管理するための計算装置による実装方法が提供される。特に、この方法は、計算装置に関連付けられているブラックリストを維持管理することを含み、このブラックリストには計算装置に脅威を与える可能性が高いと判断されたひとつあるいはそれ以上の相手の装置（エンティティ）に関する情報が含まれている。こういった1つ以上の相手は、侵入防御システム（IPS）によって検出することができる。この方法はまた、計算装置に関連した網に関する変化を検出することを含み、その検出時に計算装置に関連付けられているブラックリストを更新する。
【０００５】
いくつかの実施形態では、この更新処理は、ブラックリストに含まれている一部またはすべての情報を削除する処理を含めることができる。
別の実施形態では、網からの侵入を防止するための計算システムが提供される。特に、計算システムでは、それぞれ計算システムに脅威を与える可能性が高いとする情報を維持するひとつもしくは複数のブラックリストを維持管理するように設定され、計算システムに関連する網に関するひとつ以上の変化を検出し、その検出されたひとつもしくはそれ以上の網に関する変化により適用できなくなったひとつもしくはそれ以上のブラックリストの一部を選択し、選択したひとつもしくはそれ以上のブラックリストの一部を更新する。
【０００６】
別の実装形態において、ひとつ以上の非一時的な計算機可読記憶媒体が示され、計算システムの1つ以上のプロセッサによって実行されると、計算システムは少なくともその計算システムに関連した網に関する変化を検出し、その網に関する変化の検出に応じてその計算装置に対して脅威を与える可能性が決定された1つ以上の相手に関する情報を含むブラックリストを更新する。
【０００７】
この明細書で言及されているすべての刊行物、特許、および特許出願は、それらの刊行物、特許、および特許出願の各々が引用されれば本願に含まれることが特別かつ個別に指定されている場合と同様に、引用により本願に含まれる。
【図面の簡単な説明】
【０００８】
本発明の新規な特徴は、添付の特許請求の範囲に詳細に記載されている。本発明の原理を例示的な実施形態により示す以下の図ならびにその詳細な説明を参照することによって本発明の特徴および利点のより良い理解を得られるであろう。
【図１】本発明によるダイナミックブラックリストの更新処理を実装するための環境の例を示した図である。
【図２】本発明による計算装置の構成を示した図である。
【図３】本発明によるダイナミックブラックリストの更新処理を実装するための別の環境の例を示した図である。
【図４】本発明によるIPSの構成を示した図である。
【図５】本発明による侵入検知と防止を実現するための手順を示した図である。
【図６】本発明によるブラックリストの更新手順を示した図である。
【図７】本発明によるブラックリストの選択的更新処理の手順を示した図である。
【図８】本発明によるブラックリストの更新手順を示した図である。
【発明を実施するための形態】
【０００９】
ここでは発明にて推奨する実装形態を示し説明するが、これが事例にすぎないことは相当の技術を理解する者にとって自明である。本発明から離脱することなく応用例、変更例、あるいは差し替えが発生しうる。本実施例に本発明を適用することによりさまざまな代替事例が可能である。
【００１０】
本発明は、計算装置に網の安全性を適用するための方式とシステムに関する。特に、計算装置に関連する網が変更する環境において、計算装置に搭載される侵入検知システム（IPS）に関連するブラックリストを動的に更新することにより、装置への脅威を的確に特定しかつ侵入を阻止する方式と技術を提供する。例えば、装置が網の環境設定が変更したことを検出した際に、動的ブラックリストの内容を消去することにより、IPSはその更新済みブラックリストを使用し続けて装置への脅威を正確に検出しかつ侵入を効果的に阻止する。
【００１１】
図１は、少なくともひとつの実施例に対応し、動的ブラックリストの更新を処理するための環境事例１００を示す。この環境では、ひとつ以上の計算装置１０２がひとつ以上の網１０４に接続できる。いくつかの実施例では、計算装置１０２は網を介して通信する機能を具備することができる。またいくつかの実施例では、計算装置１０２にはパーソナル・コンピュータ、サーバ・コンピュータ、もしくはラップトップ・コンピュータが含まれ、タブレットといったモバイル装置や、パームやWindows（登録商標）CE装置といったパーソナル・ディジタル・アシスタント（PDA）であったり、セルラ電話端末やスマートフォン（例えばiPhone, BlackBerry, Android, Treo）、ワイヤレス電子メール装置やその他のコンピュータ網や他の通信網と無線で通信可能な無線装置でもあり得、あるいは網を介して通信でき電子トランズアクションを処理できるあらゆるタイプのネットワーク装置であり得る。こういったなかでの１つ以上装置には携帯型装置も含まれる。ここで記載する計算機あるいはモバイル装置はあらゆる他のネットワーク装置に応用可能である。
【００１２】
いくつかの実施例に拠れば、網１０４は公衆網および／あるいは閉域網、固定線もしくは無線、音声および／あるいはデータ通信網といったあらゆる通信網が含まれる。網１０４の例として、たとえばインターネット、パーソナル・エリア・ネットワーク（ＰＡＮ）、ローカル・エリア・ネットワーク（ＬＡＮ）、ワイヤレス・ローカル・エリア・ネットワーク（ＷＬＡＮもしくはＷｉ−Ｆｉ）、広域ネットワーク（ＷＡＮ）、基幹ネットワーク、仮想閉域ネットワーク（ＶＰＮ）、セルラ・ネットワーク、電話通信網、無線ラジオ網といったものが含まれる。また、いくつかの実施例によれば、網１０４は、ＩＥＥＥ８０２．１１方式、４Ｇ、Bluetooth（登録商標）および他の技術標準によるあらゆる固定線および／あるいは無線技術を用いて実装することもできる。
【００１３】
いくつかの実施例によれば、いくつかの網１０４は他の網と接続通信したり地域的に重なることがありうる。こういった網の重なりや接続はサーバ装置や、アクセス接続・交換点を用いることにより、例えば、インターネットサービス提供者（ＩＳＰ）、モバイル通信事業者といった者によって提供される。例えば、ＷＬＡＮはＩＳＰに接続したルータ装置を介してインターネットへのアクセス環境を提供する。セルラ網は他のセルラ網もしくは非セルラ網に基地局および／あるいはサーバ装置を介して接続しうる。
【００１４】
いくつかの実施例によれば、ひとつ以上の計算装置１０２は、ルータ、スイッチ、サーバといったネットワーク装置と、ひとつ以上の網１０４と通信するように設定できる。ひとつの計算装置１０２は複数の網と通信することが常に可能である。例えば、スマートフォンといったモバイル装置はＷＬＡＮと接続すると同時にセルラ網に接続することができる。加えて、インターネット、ＬＡＮといった１つの網において複数の計算装置１０２が通信できる。時間が経過するにあたり、計算装置はいくつかの網と接続したりあるいは網から切断することがある。例えば、利用者が操作するモバイル装置は、その利用者がひとつの位置から別の位置に移動することにより、いくつかのＷＬＡＮの提供区域の間や、ひとつのセルラ網から他のセルラ網などの区域を出入りすることがある。
【００１５】
いくつかの実施例によれば、計算装置１０２はひとつ以上の網１０４を介して他の計算システムもしくは装置１０２とやりとりをすることがある。例えば、クライアント端末は、Ｗｅｂサーバやデータサーバといったサーバとインターネットを介して通信できる。ひとつ以上の網は、特定の網をまたいでひとつ以上の計算機や他のネットワーク装置と通信できる。例えば、複数の装置はひとつの網もしくは複数の網と通信できる。ここでいう網とは、例えばＬＡＮといった閉域（プライベート）網であったり、あるいはインターネットやＷｏｒｌｄ  Ｗｉｄｅ  Ｗｅｂ、もしくは無線、セルラー、電信網といった通信網を介してオンライン接続する組織に相互接続する網が含まれる。それぞれのモバイル装置や他のネットワーク装置はひとつ以上のＷｅｂサーバとＨＴＴＰやＨＴＴＰＳといったデータプロトコルを網で使用して接続できる。
【００１６】
図２は、少なくともひとつ以上の実施例による計算装置２００の構成部を示す。この計算装置２００は図１による計算装置１０２と類似していることがある。いくつかの実施例によれば、計算装置２００は図２に示す構成部よりも多くの部分を含むことができる。しかしながら、実施例を開示するにあたり従来から一般的な構成部分すべてを示す必要はない。
【００１７】
図２に示すとおり、計算装置２００は図１で示した場合と同様に網と接続するためのインターフェース２０２を備える。いくつかの実施例によると、計算装置２００はＩＥＥＥ８０２．１１に準拠する網やセルラ網といったひとつ以上の種類の網と通信するためのネットワークインターフェース２０２を含んでいる。
【００１８】
実施例によると、計算装置２００はひとつ以上の処理部２０４、メモリ部２０６、表示部２０８を備え、それらはすべてバス部２１０を介してネットワークインターフェース２０２と相互接続している。処理部２０４はメモリ部２０６に格納されるひとつ以上のメソッドあるいはルーチンを実行できる。表示部２０８は、利用者による入力を受信し出力を表示しさらに／あるいはアプリケーションを実行する計算装置２００を操作する利用者に対して、グラフィカル・ユーザ・インターフェースを提供するよう設定できる。公知による表示手段を表示部２０８に利用でき、これには例えばブラウン管（陰極線管）、液晶表示装置、プラズマ・スクリーン、タッチ・スクリーン、ＬＥＤスクリーン、もしくはＯＬＥＤ表示装置が含まれかつ限定されない。
【００１９】
メモリ部２０６は、一般的にランダム・アクセス・メモリ（ＲＡＭ）や、読み出し専用メモリ（ＲＯＭ）、そして／あるいはディスクドライブのような永久保存用大容量格納装置により構成される。メモリ部２０６はオペレーティング・システム２１２や侵入予防システム（ＩＰＳ）２１４やひとつ以上のアプリケーションのためのプログラム・コードを保管することができる。アプリケーション２１６はひとつ以上のブラウザ・アプリケーションが含まれ、これには実行時にWorld Wide Webに接続することを可能にするMicrosoft Internet Explorer, Mozilla Firefoxといったものが含まれる。さらにアプリケーション２１６には、文書処理やデー場管理、マルチメディア開発編集やエンターテインメントといった他の機能を提供するために設定されたアプリケーションが含まれる。いくつかの実施例によれば、計算装置２００は、例えばオペレーティングシステム２１２の一部として実施可能なプログラムやロジックを含み、装置２００に含まれるさまざまな構成部を制御できる。例えば、装置は、入出力（Ｉ／Ｏ）やデータ格納、ネットワーク接続（例：ＷＬＡＮ，Ｂｌｕｅｔｏｏｔｈ（登録商標）やセルラ網などの無線網への接続）を制御するためのロジックを含むことができる。
【００２０】
いくつかの実施例によれば、上述のソフトウェアコンポーネントは、フロッピー（登録商標）ディスク、ＤＶＤ／ＣＤ−ＲＯＭドライブ、メモリカード、ＵＳＢフラッシュドライブ、ソリッドステートドライブ（ＳＳＤ）などの非トランジエント（non-transient）な、計算機で読み取り可能な記録媒体２１８と連携するドライブ機構（図示せず）を用いて、メモリ２０６にロードされる。他の実施例では、ソフトウェアコンポーネントは、非トランジエントな、計算機で読み取り可能な記録媒体２１８の代わりに、ネットワークインターフェース２０２を介してロードされる。
【００２１】
いくつかの実施例によれば、計算装置２００はさらにひとつ以上のローカルもしくはリモートのデータベースとバス２１０を介して通信し、あるいは（図示しない）データ格納部とバス２１０もしくはネットワークインターフェース２０２を介して通信する。ここでバス２１０は、高速シリアルバス、そして／あるいは他の適切な通信技術を介してストレージ・エリア・ネットワーク（ＳＡＮ）を構成することができる。いくつかの実施例によれば、こういったデータベースやデータ格納部は計算装置２００の一部として組み込まれていることがある。
【００２２】
図３は、動的にブラックリストを更新する処理について少なくとも一つの実施例に基づいて実装するための別の環境３００の例を示す。この例によると、図１と２に関連してそれぞれ示した計算装置１０２と２００と類似した計算装置３０２について、ワイヤレス網３０４そして／あるいはセルラ網３０６といった少なくとも網を介してインターネットといった網３０８と接続するために設定できる。一般的に、網３０８やワイヤレス網３０４、セルラ網３０６そして計算装置３０２の外部にある他の網の所在を指し示すために網の外部３０４を使うことができる。
【００２３】
計算装置３０２の内部においては、あらゆる種類の網と通信するためにひとつ以上のネットワークインターフェース３１０を使うことができる。例えば、ワイヤレスネットワークインターフェース３１０を使ってワイヤレス網３０４と通信（例：データパケットのお互いの送受信）でき、セルラネットワークインターフェース３１２を使ってセルラ網３０６と通信（例：データパケットのお互いの送受信）できる。いくつかの実施例においては、ネットワークインターフェースは、ネットワークインターフェース・カードもしくはアダプタといったひとつ以上の物理ネットワークインターフェース・コントローラにより実装できる。実施例によると、ひとつの物理的なネットワークインターフェース・コントローラがひとつ以上の種類の網と接続するように設定できる。
【００２４】
いくつかの実施例によると、計算装置３０２は、計算装置３０２がホストしているひとつ以上のアプリケーション３１８とネットワークインターフェースとの間における網トラフィック（例：データパケット）を解釈してルーティングするよう設定可能な網スタック３１４を含むことができる。いくつかの実施例によると、網外部３０１もしくは計算装置３０２内部から悪意を持つもの（例：計算装置、アプリケーション、プロセスなど）による望まない侵入を検出したり／あるいは予防するためのＩＰＳ３１６を計算装置３０２は含むことができる。こういった侵入には、例えばアプリケーションに感染するウィルスや、不正なデータアクセス、そして悪意のある攻撃といったことが含まれる。
【００２５】
いくつかの実施例によると、ＩＰＳ３１６は、網外部３０１と計算装置３０２との間における網トラフィックを監視しあるいは管理するための網スタック３１４通信するよう設定できる。いくつかの場合においては、ＩＰＳ３１６は適切な手段や技術を用いることによりセキュリティの漏洩あるいは安全への脅威となる差し迫った事態を検出すべく設定することができる。いくつかの場合においては、既知の攻撃に基づくデータパターンもしくは「署名」を活用して潜在的な脅威を認識したり攻撃を確認したりできる。このようなパターンの例には、通信ポートの連続的なスキャニングや、特定のファイル名や種類を使ったりすることが含まれる。その他の事例では、通常の振る舞いやアプリケーションやプロセス、ユーザのプロファイル情報から乖離した状態に基づき悪意のある攻撃と判定することができる。このような乖離状態の例として、アプリケーション認証の試み関する回数が多い場合や、計算資源（例：ＣＰＵ時間、メモリ利用量、入出力、網帯域幅）の過剰消費といった状態が含まれる。他の場合として、ネットワークやトランスポート、アプリケーションレイヤといったさまざまなネットワーク・プロトコル・レイヤで通常の悪意のないとみなされる状態解析に対して、ステートフルなプロトコル解析により怪しい行動を検出したり追跡することもできる。
【００２６】
一旦セキュリティ漏洩もしくは脅威が検出されると、ＩＰＳはさまざまな侵入防止策や処理を実行するよう設定することにより、その後の攻撃を予防したり、あるいはＵＳ暫定特許出願番号61/586,054にあるように確認された攻撃により被った損害を軽減させることができる。いくつかの実施例によると、こういった施策には検出された行動を（ログやレポート作成により）記録したり、利用者やシステム管理者にその行動について通知もしくは警告したり、悪意のあるものとのもうトラフィックを制限したり、網の環境設定（例：ファイアウォール設定）もしくはセキュリティ設定を変更したりすることが含むことができる。網トラフィックの制限には、網トラフィックを部分的もしくは全面的に遮断したり、網トラフィックを変更することが含まれる。いくつかの実施例によれば、セキュリティ設定の変更にはブラックリスト３２０やひとつ以上のホワイトリスト３２２といったひとつ以上のアクセス管理リストを変更することが含まれる。
【００２７】
いくつかの実施例によると、ブラックリスト３２０は、既知もしくは以前検出された上述の悪意を持つものを特定するために利用できる情報を含んでいる。この情報には、網アドレス（例：インターネット・プロトコル（ＩＰ）アドレス、ポート番号、ユニフォーム・リソース・アイデンティファイア（ＵＲＩ）、メディアアクセスコントロール（ＭＡＣ）アドレス）や、ホスト名、プロセス識別子、アプリケーション識別子、ファイル識別子、ユーザ識別子、電子メールアドレスなどが含まれる。典型的には、ブラックリストに含まれるとして特定された相手の装置から発生したりその相手との網トラフィックは遮断されたり、あるいは上述の如く制限されることができる。反対に、ホワイトリスト３２２は信頼できると断定されたものを特定するために利用できる情報を含むことができる。典型的には、ホワイトリスト３２２により識別された相手から発生したりその相手とのもうトラフィックは制限を受けずに許可される。このホワイトリスト３２２により識別されるものとして、例えばＩＰＳの処理ルールやポリシーを管理するサーバなどミッション・クリティカルなサーバを含むことができる。これにより、進行中の脅威に関する情報をＩＰＳが発信したり、あるいは脅威に対する防衛力を改善するための更新ルールやポリシーを受信することを可能にする。いくつかの実施例によれば、ホワイトリストに含まれる情報の種類はブラックリストに含まれる種類と類似している。いくつかの実施例によると、上述のブラックリスト３２０そして／あるいはホワイトリスト３２２は、図２で示したファイルシステムやメモリ部２０６あるいは計算機で読み取り可能な記録媒体２１８や、あるいはデータ格納サービスといった、ひとつ以上のリモートそして／あるいはローカルデータ格納部に格納できる。
【００２８】
いくつかの実施例によると、上述のブラックリスト３２０そして／あるいはホワイトリスト３２２には静的（スタティック）そして／あるいは動的（ダイナミック）なリストが含まれる。静的なリストは、例えばリストが利用されている間、いつもは一定な状態となっている。静的リストはユーザやシステム管理者、サービスプロバイダにより提供されたる、あるいは変更設定されることができる。その反対に、動的リストに含まれる情報は例えばひとつ以上のプロセスが利用している間にリアルタイムに更新（例：追加、削除、変更）されることができる。いつかの実施例においては、ブラックリストもしくはホワイトリストは初期時には空であったりあるいは初期もしくはデフォルトの情報（例：悪意を持つものや信頼されるべきものに関する既知情報）が設定されている。時間が経過するにつれて、このブラックリストあるいはホワイトリストは更新されることができる。例えば、ＩＰＳは、悪意を持つものを新たに検出した際に情報（例：ＩＰアドレス）を追加することで、ブラックリストを動的に更新できる。他の例として、例えば管理サーバや第三者サービスプロバイダが情報プッシュおよび／あるいはプル技術を使うことによりブラックリストもしくはホワイトリストの更新が他の情報源によりなされることがある。いくつかの実施例によればこの更新処理は定期的になされることができる。別の例として、例えば計算装置について第一の網から第二の網への接続切り替えにより接続網に関する変更が生じた場合に、その変更を反映させるためにブラックリストそして／あるいはホワイトリストが更新（例：削除）されることがある。
【００２９】
いくつかの実施例においては、上述のブラックリストそして／あるいはホワイトリストは特定のネットワークインターフェースや通信チャネル、ハードウェア部品、プロセス、アプリケーションといったものと関連づけられることができる。例えば、計算装置はＩＥＥＥ８０２．１１やBluetooth（登録商標）、セルラ網の仕様に準拠するネットワークインターフェースや通信チャネルを具備できる。この例では、それぞれの個別のネットワークインターフェースもしくは通信チャネルについて個別のブラックリストを関連づけることができる。他の実施例においては、グローバルなブラックリストそして／あるいはホワイトリストが複数の個別のリストに替わりあるいはそれらに加えて利用することができる。
【００３０】
図４は、例におけるＩＰ４００の構成について、少なくともひとつの実施例に基づいて示す。実施例によれば、ＩＰＳ４００は、図３に関連して説明したように適切な検知技術を使うことにより、例えば、その計算装置に関連する網トラフィックを解析し、計算装置に関連して現存するもしくは潜在的なセキュリティ脅威を検出し、予防もしくは対処策を実行するよう設定された侵入検知／予防処理部４０２を含んでいる。いくつかの実施例では、侵入検知／予防処理部４０２はひとつ以上のデータ格納部４０８と通信してその内部に格納されているひとつ以上のブラックリスト４１０そして／あるいはホワイトリスト４１２からデータを読み出したり更新したりできる。
【００３１】
いくつかの実施例によると、侵入検知／予防処理部４０２は、ブラックリスト４１０および／あるいはホワイトリスト４１２を管理するよう設定されているひとつ以上のリスト管理部４０４と通信できる。例えば、検出した脅威や網に関連した変化、ルールや環境設定の更新に対応して、管理下にあるリスの内容を更新（例：追加、削除、変更）するようにリスト管理部を設定することができる。いくつかの実施例によると、ひとつ以上あるリスト管理部のそれぞれについて、ブラックリストそして／あるいはホワイトリストの一部を管理させることができる。例えば、実施例によると、特定の通信チャネル（ＷＬＡＮに対応して無線もしくはセルラデータモデム）に対応したひとつ以上のブラックリストを管理するようにリスト管理部を設定できる。別の実施例では、ホワイトリストの管理をひとつのリスト管理部で管理するよう設定し、ブラックリストを他のリスト管理で管理するようにできる。
【００３２】
いくつかの実施例によれば、ＩＰＳ４００は網に関連した変化を検出するために網変化検出部４０６を含むことができる。網に関連した変化をブラックリストそして／あるいはホワイトリストを更新するためのきっかけとすることにより、例えば潜在的に古すぎて無効な情報や、不正確な情報や適用不可能な情報を削除できる。網変化検出部４０６は計算装置に関する網環境が変わったことを検出できるよう、さまざまな種類の網変化を検出するよう設定できる。例えば、計算装置はひとつの網から切断したり他の網に接続したりすることがある。いくつかの実施例では、網に関連した変化の例として、計算装置について新たなネットワークアドレス（例：ＩＰアドレス）を付与した場合や、計算装置が接続するサーバ（例：ゲートウェイ・サーバ、ダイナミック・ホスト・コンフィグレーション・プロトコル（ＤＨＣＰ）サーバ、ドメイン名サーバ（ＤＮＳ）、ＶＰＮサーバ等）の変更、計算装置が接続する網に関連したサービス・セット識別子（ＳＳＩＤ）もしくはモバイル・ネットワーク・コード（ＭＮＣ）の変更、網プロトコルや認証スキームそして／あるいは証明書情報の変更、網との物理的な接続と切断事象（例：イーサネット（登録商標）・ケーブルの着脱）、その他の変化が含まれる。実施例のひとつによれば、網に関連したいくつかの変化についてはオペレーティングシステムから提供されるアプリケーション・プログラミング・インターフェース（ＡＰＩ）を起動することにより検出できる。いくつかの実施例によれば、網に関連した変化は、サーバ等、外部の情報源から受信したメッセージや信号により検出できる。
【００３３】
本実施例によれば、網変化検出部４０６はひとつ以上のリスト管理部４０４と通信することによりブラックリスト４１０を更新（もしくは削除）できる。他の実施例では、網変化検出部４０６はブラックリストが格納されているデータ格納部４０８に対して直接的に更新処理することができる。いくつかの実施例によれば、検出された網に関連した変化により適用不可となったり古すぎるため無効となったすべての情報もしくはその一部をリストから取り除くために更新処理が実行される。いくつかの実施例によれば、この更新処理は性能を向上させるために選択的に実行される。例えば、一実施例によると、網に関連した変化が特定の通信チャネル（例：セルラ）に限定している場合は、そのチャネルに対応したブラックリストあるいはブラックリスト群が更新（削除）され、他のブラックリストがある場合にはそれらは変更しない。いくつかの実施例によれば、同様の選択的アプローチを特定のネットワークインターフェースやプロセス、アカウント、アプリケーションに対応したブラックリストの更新に適用することができる。いくつかの実施例によれば、更新処理の範囲や規模をさらに詳細に制御することができる。例えば、ブラックリストにある情報すべてを削除するかわりに、一部の情報（例：特定の網に対応した特定の範囲にあるＩＰアドレス）が削除される。他の実施例では、無差別に更新処理している。例えば、一実施例よると、網に関連した変化が検出されると、全てのブラックリストが削除される。いくつかの実施例によれば、この更新処理は利用者による介入や認知なくＩＰＳ４００により実行される。他の実施例では、この更新処理は利用者の介入そして／あるいは認知のもとで実行される。
【００３４】
ブラックリストとホワイトリストとは別に、データ格納部４０８を使って、ＩＰＳが生成するログそして／あるいはレポート４１４を格納したり、ＩＰＳが利用するルールやポリシー、設定ファイルやパラメータ４１６もしくはＩＰＳが利用もしくは生成する他のあらゆるデータを格納できる。一実施例では、ひとつ以上のデータ格納部４０８（ルールとポリシー４１４、ホワイトリスト４１２）に格納されているデータを遠隔サーバ（例：システム起動時や定期的など予め決められた時刻に）から取得（例；プッシュあるいはプル技術あるいはその組み合わせ）できる。いくつかの実施例によれば、利用者やシステム管理者により提供される。他の実施例では、利用者による介入や認知なくデータはＩＰＳにより生成される。またいくつかの実施例では、データ格納部４０８は計算機で読み取り可能なローカルもしくは遠隔にある格納媒体や上述した媒体群により構成できる。
【００３５】
一般的に、ＩＰＳの各部分についてはルールやポリシー４１６の少なくとも一部により決めて設定できる。例えば、いくつかの実施例によると、侵入検知防止部４０２のさまざまな項目は、ルールとポリシー４１６の少なくとも一部により基づいている。例えば、こういったルールやポリシーは侵入を検出するために使用する手段やアルゴリズムや、その侵入検出のために条件やしきい値、監視するネットワーク・コンポーネントもしくはプロセス、侵入検出に対応して実行する侵入防止施策（例：パケット破棄、コンテンツのフィルタリングなど）、ログの格納場所や他の設定情報を特定する。
【００３６】
いくつかの実施例においては、リスト管理部４０４はルールとポリシー４１６の少なくとも一部を基にしている。例えば、このルールとポリシーがブラックリストそして／あるいはホワイトリストの情報を取得する元のサーバを指定したり、その更新データを取り出したり受信したりする周期や、ブラックリストもしくはホワイトリストとそれに関連した各部分（例：網チャネル、プロセス、ユーザアカウントなど）との紐付け、ブラックリストもしくはホワイトリストに格納されている情報の種類とフォーマット、リスト更新処理の範囲（例：リスト全体もしくは一部を削除するかどうか）、そしてその他の設定情報もしくはパラメータを指定する。
【００３７】
いくつかの実施例においては、網変更検出部４０６はルールとポリシー４１６の少なくとも一部を基にしている。例えば、このルールやポリシーは検出すべきこの網に関連した変化の種類を指定したり、網に関連した変化のきっかけとなる事象や条件、検出された変化とそれに対応するブラックリストそして／あるいはホワイトリストの更新の紐付けやその他設定情報を指定する。
【００３８】
図５は、侵入検出と防止機能を実装するプロセス５００の例について少なくとも一実施例に基づいて示す。全てあるいは一部のプロセス５００（あるいはここで説明する他のあらゆるプロセスもしくはその応用例そして／あるいはその組み合わせ）は、実行可能な命令で構成された１つ以上の計算システムの制御下で実行することができ、ハードウェアまたはそれらの組み合わせによって（例：実行命令、ひとつもしくはそれ以上の計算プログラムまたはひとつもしくはそれ以上のアプリケーション）コードとして実装しひとつもしくはそれ以上のプロセッサにおいて一括して実行する。いくつかの実施例によれば、プロセス５００は図４にて示したＩＰＳの構成により実装できる。
【００３９】
本実施例によれば、プロセス５００は計算装置上で動作するプロセスと他の網にある装置（例えば他の計算装置）にて動作するプロセス間での網トラフィックを監視する手段５０２を含んでいる。上述のとおり、監視手段５０２は、例えばネットワーク層、トランスポート層あるいはアプリケーション層といったようにあらゆる網プロトコルレイヤ（単数もしくは複数）に適応できる。例えば、送信元と送信先のＩＰアドレスやポート、プロトコルといった各データパケットに含まれる情報を解析できる。他の実装によれば、とランポート層もしくはアプリケーション層レベルでの監視もできる。
【００４０】
本実施例によれば、プロセス５００には、ホワイトリストにある相手とのデータトラフィックか否かを判定する手段５０４が含まれる。ホワイトリストは初期時には空であるか、もしくは（網上の管理サーバのアドレス等）信頼できるとされる相手に関する情報を含んでいる。実装によれば、ホワイトリストはグローバルに共通なホワイトリストか、もしくはその時点で監視中の網トラフィック（例えば特定の通信チャンネルもしくはプロセス）に特に対応したホワイトリストであり得る。もし、トラフィックがホワイトリストにある相手との通信であると判断した５０４場合、網トラフィックは制限されることなく許可される５０６。
【００４１】
本実施例によれば、トラフィックがホワイトリストにある相手との通信でないと判断した５０４場合、プロセス５００にはそのトラフィックがブラックリストにある相手との通信であるかを判断する手段５０８が含まれる。初期時のブラックリストは空か、既知もしくは以前に検出した悪意のある相手に関する情報を含んでいる。実装例によれば、ブラックリストはグローバルに共通なブラックリストか、もしくはその時点で監視中の網トラフィック（例えば特定の通信チャンネルもしくはプロセス）に特に対応したブラックリストであり得る。もし網トラフィックがブラックリストにある相手との通信と判断した５０８場合、網トラフィックが制限されることがある５１０。実装例によれば、こういった制限には全面的もしくは部分的に網トラフィックを遮断するか変更することが含まれる。例えば、もし、送信元ＩＰアドレスとポートがブラックリストにあるものと合致した場合、パケットが破棄されることがある。別の例によると、トラフィックで送られるアプリケーションのコンテンツのうち不適切あるいは機密性のあるものが取り除かれることがある。またいくつかの実施例によれば、制限はインバウンド（受信）トラフィックか、アウトバウンド（送信）トラフィック、あるいはそれら両方に適用される。ブラックリストに合致する具体的な条件や挙動は、例えばユーザや管理者等により設定されたルールやポリシーにより変更できることが一般的である。
【００４２】
一実施例によれば、トラフィックがブラックリストにある相手との通信でないと判断した５０８場合、プロセス５００には、監視中の網トラフィックにおいて侵入が発生したか否かを判断する手段５１２が含まれる。その手段として、例えばパターンもしくは署名認識をはじめ、異常分析他の種類の解析方法を用いることができる。侵入検知に関連したしきい値やアルゴリズム、パラメータといった条件は、例えばユーザや管理者等により指定されたルールやポリシーにより変更できることが一般的である。
【００４３】
一実施例によれば、もし侵入もしくはその脅威があると判断した５１２場合、疑いのある侵入者（例：ネットワークアドレス、プロセス識別子に関する情報がブラックリストに追加される５１４。ブラックリストはグローバルで共通なブラックリストであるか、あるいは例えば特定の通信チャンネルまたはプロセスといったその時に監視中の網トラフィックに特に適用可能なブラックリストであり得る。その反対に、もし侵入またはその脅威があると検出されなかった場合には、網トラフィックはそのまま通される５０６。
【００４４】
いくつかの実施例によれば、上述の処理ステップは非同期のプロセスにより実行されることがある。例えば、網の侵入検知処理（ステップ５０２、５１２そして５１４）はひとつのプロセスにより実行されると同時に、ブラックリストやホワイトリストに基づく網の通信制限処理（ステップ５１２−５１０）は非同期で動作する別のプロセスにより実行されることがある。
【００４５】
上述のとおり、計算装置がひとつの網から別の網に移動する場合、そのブラックリストに含まれている悪意がある可能性がある相手に関する情報が古くなり利用不可能となることがある。網上で悪意のあるとされる相手に関する網アドレスが他の網での善意ある相手の網アドレスと一致することがあり得る。したがって、網に関係した変更が検出された時点で、こういった情報を更新する必要がでてくる。図６にて、複数の実装によるブラックリストの更新処理のためのプロセス６００の事例を示す。実装によれば、図４と関連して説明したＩＰＳを構成する部分によりプロセス６００を実装することができる。
【００４６】
一実施例によれば、によれば、プロセス６００には、ひとつの計算装置に関連した網環境もしくは網のコンテキストを監視する手段６０２が含まれている。ここで網環境は、ある計算装置について図１で関連して説明したひとつ以上の網の特徴が含まれる。その特徴として、網構成、網のトポロジー（形状）、網アドレスもしくはそのサブセットに関する情報等が含まれる。いくつかの実装例においては、計算装置がおかれた網環境の監視機能として、オペレーティングシステムのドライバもしくはルーチンからのコールバックの起動もしくは返答待ち、外部通信元（例えばＤＨＣＰサーバ）からの情報の受信、網トラフィック（例：データパケット）の受信の監視が含まれる。実装例によれば、こういった監視機能は継続的もしくは一定時間間隔で断続的に実行される。
【００４７】
実装例によれば、プロセス６００には、網に関連したひとつもしくはそれ以上の変更を検出する機能６０４が含まれている。こういった検出可能な変更点として、計算装置に関連した新たな網アドレス（例：ＩＰアドレス）や、計算装置が接続するサーバ（例：ゲートウェイサーバ、ＤＨＣＰサーバ、ＤＮＳサーバ、ＶＰＮサーバ等）の変更、ＳＳＩＤもしくはＭＮＣの変更、網プロトコルの変更、認証方式もしくはクレデンシャル、網からの物理的な接続あるいは切断（例：イーサネット（登録商標）ケーブルの装着あるいは取り外し）、ハードウェアの変更（例：ネットワーク・アダプタの取り外しあるいは追加）、そして網に関する他のあらゆる変更が含まれる。
【００４８】
実装例によれば、網に関連した変更の検出に対する処理として、例えばひとつの計算装置に対応したひとつ以上のブラックリストが更新されうる６０６。いくつかの実施例によれば、ブラックリストの更新は網変更の１回の検出に対応し得る。他の実装によれば、ブラックリストの更新は、予め定められた回数にわたり網の変更が検出された場合に対応し得る。ブラックリストの更新そしてその他の更新のきっかけとなる網関連の変更の種類や変更回数は、例えばユーザやシステム管理者等によって設定を変更するができる。いくつかの実装によれば、ブラックリストの更新処理には、ブラックリストに格納される情報の一部もしくはその全体の削除や消去が含まれる。他の実装例によれば、ブラックリストの更新には、ブラックリストに含まれる情報の一部もしくは全ての変更もしくはリセット処理が含まれる。例えば、新たな網環境への変更がサーバから新たなブラックリストを受信して古いブラックリストを置き換える処理を引き起こす。いくつかの実装例によれば、更新されたブラックリストは例えば図５で示した方式によってその後活用され、またあるいは変更後の網環境において更新されることがある。
【００４９】
いくつかの実装例によれば、ひとつ以上の網関連の変更の検出によって全てのブラックリストを更新するのではなく、それらブラックリストに含まれる情報うち限定された一部についてのみ更新することがある。その限定された情報は、検出された網関連の変化によって古くなったり適用できなくなることがある。こういった限定的処理により、情報の正確性を確保しつつ不要な情報更新や無駄な侵入検知処理を避けるために有効である。最低ひとつの実装例によるブラックリストの選択的更新処理の図７のプロセス７００の例にて示す。いくつかの実装例では、プロセス７００は図４に関連して示したＩＰＳの構成部により実装できる。
【００５０】
実施例によれば、プロセス７００には、図３，４ならびに５に関連して示したひとつもしくはそれ以上のブラックリストを維持する機能７０２が含まれている。網に関連したひとつ以上の変化（例：網からの切断あるいは新たな網への接続、新たなＤＨＣＰサーバへの接続）があった場合、ひとつ以上のブラックリストが更新のために選択されることがある７０６。この選択手段７０６はの処理は少なくともその一部を網に関連した変化の検出をもとにしている。例えば、ただ一部の通信チャンネルが別の網に移動した場合、その一部の通信チャンネルに関連したブラックリストのみの変更（例：消去）が必要となり、他の通信チャンネルに関連したブラックリストは変更しなくて済む。他の実装例によると、いずれかの通信チャンネルが別の網にローミング接続した場合には全ての動的ブラックリストが消去されることがある。いくつかの実装例では、選択手段（例えば条件や状態）は設定変更可能となっている。実装例によると、プロセス７００には、図６におけるプロセス６００にある手順６０６に関連して示したように選択されたブラックリストを更新する処理７０８が含まれている。
【００５１】
いくつかの実施例によると、計算装置が第一の網環境から第二の網環境に移動した際に、例えばブラックリストにある第一の網環境に関連する情報を消去するかわりに、その装置が再び第一の網環境にその後戻る場合に備えて（例えばキャッシュに）保存することができる。このアプローチによって侵入検知処理に必要となる計算資源を無駄にすることを防ぐことができる。こういったアプローチによるブラックリスト更新処理の実装について図８に示す。例によっては、プロセス８００は図４に関連して示したＩＰＳの構成部分として実装できる。
【００５２】
一実施例によると、プロセス８００には計算装置が以前接続していた第一の網が第二の網に接続した際に発生しうる網コンテキストの変化を示す変化を検知する手段８０２を示している。こういった変化には、新たなＩＰアドレス、ゲートサーバ、ＤＨＣＰサーバ、ＶＰＮサーバ、ＳＳＩＤ、ＭＮＣ等の検出が含まれる。
【００５３】
一実施例によると、プロセス８００には、以前接続していた網コンテキストに関連したひとつ以上のブラックリストを保存するかを判断する処理８０４が含まれている。このブラックリストは検出された網の変化に対して古すぎて無効あるいは不適切とされ、図７のプロセス７００により処理ステップ７０６に関連して示した内容と同様に選択できる。いくつかの実装によれば、この判断はメモリ空き容量や以前の網コンテキスト他の情報がその後の再接続にてどの程度有効となりうるかにより判断される。もしブラックリストを保存すべきと判断した８０４場合、プロセス８００が含む保存手段８０６が例えば該当するブラックリストをキャッシュや遠隔もしくは装置内のあらゆるデータ保存部分に保存できる。
【００５４】
もし、（例えばメモリ空き容量不足や精度への懸念により）ブラックリストを保存すべきでないかもしくはもしブラックリストが保存されていると判断した８０４場合、プロセス８００には以前に保存したひとつもしくはそれ以上のブラックリストを復元するかどうかを判断する機能８０８が含まれている。この判定の根拠として、新たな網コンテキストに関するコピーが保存されているかどうか、保存されているコピーが引き続き有効化どうか等がありうる。例えば、新たな網コンテキストに関するＳＳＩＤまたはＭＮＣを使うことにより新たな網コンテキストに関連するブラックリストのコピーが以前に保存されていたか判別できる。古くて無効な情報を利用することを防ぐため、実装例においては、保存したブラックリストのコピーを限られた期間（例えば２時間）のみ有効とすることができる。例えば、各コピーは、そのコピーがいつ無効になるかを示す存続期間(TTL)と関連づけられる。他の実装例では、他の方式は機構を使って以前保存した古くて無効な情報を判定できる。いくつかの実装によれば、上述のプロセスについて（例えばユーザや管理者により設定されるパラメータや設定ファイルにより）設定変更できる。
【００５５】
一実装例によると、以前に保存したブラックリストのうち利用できるものがない（例：メモリキャッシュに該当するデータが存在しないか、もしくはデータに対応するＴＴＬがすでに無効になっている）と判断した８０８場合、プロセス８００には、図６に関連して示したように現在のブラックリストを更新する（例：消去する）手段８１２が含まれている。その一方で、もし以前から保存されているひとつもしくはそれ以上のブラックリストのコピーの内容が現在のブラックリストのデータとして今だ利用できる８１０と判断した場合、更新が必要な一部もしくは全てのブラックリストに対して以前から保存されているこのコピーからデータを利用できる。いくつかの実装例においては、いくつかもしくは全てのブラックリストは以前から保存されている情報により更新する前に消去することができる。一実装例によると、更新が必要となるブラックリストによっては、消去されるものもあれば以前から保存されているブラックリストの情報により更新されるものもある。いくつかの実装例によると、以前からある網コンテキストに関連して保存されているいくつかのブラックリストにある情報の全てではなく一部のみが現在のブラックリストの更新に利用される。
【００５６】
本明細書で説明した実施形態の応用例について説明する。例えば、いくつかの例では、本明細書に記載される方法および技術は、網に関連する変更が発生したときにホワイトリストと同様にブラックリストを更新するために適用できる。別の例では、本明細書に記載IPSは網と網との間（例えば、境界ネットワーク内など）に配置することができる。このような場合には、本明細書に記載される方法および技術は、外部または内部ネットワークに関連付けられているネットワーク構成の変化に応じて、ブラックリストおよび/またはホワイトリストを更新するためにIPSによって使用ことができる。さらに別の例としては、本発明によるIPSの様々なコンポーネントは、同一または異なる物理的または論理的なコンピュータシステムによって実現することができる。
【００５７】
本発明の実施形態を図示し、説明してきたが、これらの実施例は単なる例として提供されることは、当業者には明らかである。多くの変形、変更、及び置換は、本発明から逸脱することなく、当業者に自明となる。本発明の実施において本明細書に記載の本発明の実施形態に種々の代替案が使用され得る。続く特許請求項が本発明の範囲を定義し、またそれら請求の範囲により示される方法および構造がその範囲に包含されていることを意図する。
【図１】
2013191199.tif 000003
【図２】
2013191199.tif 000004
【図３】
2013191199.tif 000005
【図４】
2013191199.tif 000006
【図５】
2013191199.tif 000007
【図６】
2013191199.tif 000008
【図７】
2013191199.tif 000009
【図８】
2013191199.tif 000010
【外国語明細書】
2013191199000001.pdf