"第1の計算装置上のネットワークアクセス試行と関係した情報であって、前記ネットワークアクセス試行と関連付けられたソフトウェアプログラムファイルを識別する前記情報を受け取ることと、第1の基準を評価して前記ソフトウェアプログラムファイルと関連付けられたネットワークトラフィックが許可されるかどうかを判定することと、前記ネットワークトラフィックが許可されない場合に、前記ネットワークトラフィックを阻止する制限規則を作成することとを含み、前記第1の基準は、前記ソフトウェアプログラムファイルの信頼性状態を含む、方法。前記制限規則をネットワーク保護装置にプッシュすることを更に含み、前記ネットワーク保護装置は、前記ソフトウェアプログラムファイルと関連付けられた前記ネットワークトラフィックを遮断し、前記制限規則を前記ネットワークトラフィックに適用する、請求項1に記載の方法。前記ネットワーク保護装置によって遮断された前記ネットワークトラフィックは、前記第1の計算装置からのアウトバウンド電子パケットを含み、前記電子パケットは、第2の計算装置に対応する宛先アドレスを有する、請求項2に記載の方法。前記ネットワーク保護装置によって遮断された前記ネットワークトラフィックは、第2の計算装置から受け取り、かつ前記第1の計算装置に対応する宛先アドレスを有するインバウンド電子パケットを含む、請求項2に記載の方法。信頼できるソフトウェアプログラムファイルを識別するホワイトリストを検索して、前記ソフトウェアプログラムファイルの前記信頼性状態を判定することを更に含み、前記ソフトウェアプログラムファイルの前記信頼性状態は、前記ソフトウェアプログラムファイルが前記ホワイトリストに含まれない場合に、信頼できないと定義される、請求項1に記載の方法。前記ソフトウェアプログラムファイルの前記信頼性状態が信頼できないと定義された場合に、前記ネットワークトラフィックが許可されない、請求項5に記載の方法。前記ソフトウェアプログラムファイルは、実行可能ファイルであり、前記ネットワークアクセス試行は、前記第1の計算装置上の前記実行可能ファイルによって開始された実行ソフトウェアプロセスと関連付けられる、請求項1に記載の方法。前記ソフトウェアプログラムファイルは、前記第1の計算装置上の実行ソフトウェアプロセスのなかにロードされたライブラリモジュールであり、前記ネットワークアクセス試行は、前記実行ソフトウェアプロセスと関連付けられる、請求項1に記載の方法。第2の基準を評価して前記第2の基準が前記第1の基準を覆すかどうかを判定することを更に含み、前記第2の基準は、信頼できないと定義された信頼性状態を有する1つ又は複数のソフトウェアプログラムファイルについてのネットワークアクセスポリシーを含む、請求項1に記載の方法。ネットワーク保護装置が、前記ソフトウェアプログラムファイルと関連付けられた前記ネットワークトラフィックの電子パケットを遮断し、前記電子パケットに制限規則を適用し、前記制限規則は、ネットワークアクセスポリシーの群から選択された前記ネットワークアクセスポリシーを使用して作成され、前記群は、前記第1の計算装置への全てのインバウンド電子パケットと、前記第1の計算装置からの全てのアウトバウンド電子パケットとを阻止することと、前記第1の計算装置への全てのインバウンド電子パケットを阻止することと、前記第1の計算装置からの全てのアウトバウンド電子パケットを阻止することと、前記第1の計算装置から指定ネットワークサブネットへの全てのアウトバウンド電子パケットを阻止することと、前記第1の計算装置からインターネットへの全てのアウトバウンド電子パケットを阻止し、前記第1の計算装置から指定サブネットへの全てのアウトバウンド電子パケットを許可することと、前記第1の計算装置からドメインネームシステムDNSサーバへの全てのアウトバウンド電子パケットを阻止することと、簡易メール転送プロトコルSMTPを使用した前記第1の計算装置からの全てのアウトバウンド電子パケットを阻止することと、前記第1の計算装置からインターネットリレーチャットIRCサーバへの全てのアウトバウンド電子パケットを阻止することと、前記ネットワークアクセス試行のソースアドレス、ソースポート、宛先アドレス及び宛先ポートと一致するソースアドレス、ソースポート、宛先アドレス、及び宛先ポートを有する全てのアウトバウンド電子パケットを阻止することと、前記ネットワークアクセス試行のソースアドレス、ソースポート、宛先アドレス及び宛先ポートと一致するソースアドレス、ソースポート、宛先アドレス及び宛先ポートを有する全てのインバウンド電子パケットを阻止することとからなる、請求項9に記載の方法。1つ又は複数の有形媒体内に符号化されたロジックであって、実行するためのコードを含み、1つ又は複数のプロセッサによって実行されたとき、第1の計算装置上のネットワークアクセス試行と関係した情報であって、前記ネットワークアクセス試行と関連付けられたソフトウェアプログラムファイルを識別する前記情報を受け取ることと、第1の基準を評価して前記ソフトウェアプログラムファイルと関連付けられたネットワークトラフィックが許可されるかどうかを判定することと、前記ネットワークトラフィックが許可されない場合に、前記ネットワークトラフィックを阻止する制限規則を作成することとを含む操作をするように動作可能であり、前記第1の基準は、前記ソフトウェアプログラムファイルの信頼性状態を含む、ロジック。前記制限規則をネットワーク保護装置にプッシュすることを含む更なる操作を前記1つ又は複数のプロセッサがするように動作可能であり、前記ネットワーク保護装置は、前記ソフトウェアプログラムファイルと関連付けられた前記ネットワークトラフィックを遮断し、前記制限規則を前記ネットワークトラフィックに適用する、請求項11に記載のロジック。信頼できるソフトウェアプログラムファイルを識別するホワイトリストを検索して、前記ソフトウェアプログラムファイルの前記信頼性状態を判定することを含む更なる操作を前記1つ又は複数のプロセッサがするように動作可能であり、前記ソフトウェアプログラムファイルの前記信頼性状態は、前記ソフトウェアプログラムファイルが前記ホワイトリストに含まれない場合に、信頼できないと定義される、請求項11に記載のロジック。第2の基準を評価して前記第2の基準が前記第1の基準を覆すかどうか判定することを含む更なる操作を前記1つ又は複数のプロセッサがするように動作可能であり、前記第2の基準は、信頼できないと定義された信頼性状態を有する1つ又は複数のソフトウェアプログラムファイルについてのネットワークアクセスポリシーを含む、請求項11に記載のロジック。保護モジュールと、前記保護モジュールと関連付けられた命令を実行するように動作可能な1つ又は複数のプロセッサとを含む装置であって、前記1つ又は複数のプロセッサは、第1の計算装置上のネットワークアクセス試行と関係した情報であって、前記ネットワークアクセス試行と関連付けられたソフトウェアプログラムファイルを識別する前記情報を受け取ることと、第1の基準を評価して前記ソフトウェアプログラムファイルと関連付けられたネットワークトラフィックが許可されるかどうかを判定することと、前記ネットワークトラフィックが許可されない場合に、前記ネットワークトラフィックを阻止する制限規則を作成することとを含む更なる操作をするように動作可能であり、前記第1の基準は、前記ソフトウェアプログラムファイルの信頼性状態を含む、装置。前記制限規則をネットワーク保護装置にプッシュすることを含む更なる命令を前記1つ又は複数のプロセッサが実行するように動作可能であり、前記ネットワーク保護装置は、前記ソフトウェアプログラムファイルと関連付けられたネットワークトラフィックを遮断し、前記制限規則を前記ネットワークトラフィックに適用する、請求項15に記載の装置。信頼できるソフトウェアプログラムファイルを識別するホワイトリストを検索して、前記ソフトウェアプログラムファイルの前記信頼性状態を判定することを含む更なる命令を前記1つ又は複数のプロセッサが実行するように動作可能であり、前記ソフトウェアプログラムファイルの前記信頼性状態は、前記ソフトウェアプログラムファイルが前記ホワイトリストに含まれない場合に、信頼できないと定義される、請求項15に記載の装置。第1の計算装置上のネットワークアクセス試行と関係した情報であって、前記ネットワークアクセス試行と関連付けられたソフトウェアプログラムファイルを識別する前記情報を受け取ることと、第1の基準を評価して前記ソフトウェアプログラムファイルと関連付けられたネットワークトラフィックが許可されるかどうか判定することと、前記ネットワークトラフィックが許可されない場合に、前記ネットワークトラフィックと関係したイベントデータをログ記録するログ記録規則を作成することとを含み、前記第1の基準は、前記ソフトウェアプログラムファイルの信頼性状態を含む、方法。前記ログ記録規則をネットワーク保護装置にプッシュすることを更に含み、前記ネットワーク保護装置は、前記ソフトウェアプログラムファイルと関連付けられた前記ネットワークトラフィックを遮断し、前記ネットワークトラフィックと関係したイベントデータをログ記録する、請求項18に記載の方法。前記ネットワーク保護装置によってログ記録された前記イベントデータを受け取ることと、前記イベントデータからの選択データを使用してプロセストラフィックマッピング要素を検索し、前記ネットワークトラフィックと関連付けられた前記ソフトウェアプログラムファイルを探すことと、ログイベントメモリ要素を更新して、前記ソフトウェアプログラムファイルを識別するエントリを含むようにすることとを含む、請求項19に記載の方法。前記プロセストラフィックマッピング要素を検索するために使用される前記選択データは、ソースアドレス及びポート番号、並びに宛先アドレス及びポート番号を含む、請求項20に記載の方法。前記プロセストラフィックマッピング要素を検索するために使用される前記選択データは、前記ログ記録規則に対応する規則識別子を含む、請求項20に記載の方法。信頼できるソフトウェアプログラムファイルを識別するホワイトリストを検索して、前記ソフトウェアプログラムファイルが前記ホワイトリスト内で識別されているかどうかを判定することを更に含み、前記ソフトウェアプログラムファイルの前記信頼性状態は、前記ソフトウェアプログラムファイルが前記ホワイトリスト内で識別されていない場合に、信頼できないと定義される、請求項18に記載の方法。前記ソフトウェアプログラムファイルは、実行可能ファイルであり、前記ネットワークアクセス試行は、前記計算装置上の前記実行可能ファイルによって開始された実行ソフトウェアプロセスと関連付けられる、請求項18に記載の方法。前記ソフトウェアプログラムファイルは、実行ソフトウェアプロセスのなかにロードされたライブラリモジュールであり、前記ネットワークアクセス試行は、前記実行ソフトウェアプロセスと関連付けられる、請求項18に記載の方法。1つ又は複数の有形媒体内に符号化されたロジックであって、実行するためのコードを含み、1つ又は複数のプロセッサによって実行されたとき、第1の計算装置上のネットワークアクセス試行と関係した情報であって、前記ネットワークアクセス試行と関連付けられたソフトウェアプログラムファイルを識別する前記情報を受け取ることと、第1の基準を評価して前記ソフトウェアプログラムファイルと関連付けられたネットワークトラフィックが許可されるかどうかを判定することと、前記ネットワークトラフィックが許可されない場合に、前記ネットワークトラフィックと関係したイベントデータをログ記録するログ記録規則を作成することとを含む操作をするように動作可能であり、前記第1の基準は、前記ソフトウェアプログラムファイルの信頼性状態を含む、ロジック。前記ログ記録規則をネットワーク保護装置にプッシュすることを含む更なる操作を前記1つ又は複数のプロセッサがするように動作可能であり、前記ネットワーク保護装置は、前記ソフトウェアプログラムファイルと関連付けられた前記ネットワークトラフィックを遮断し、前記ネットワークトラフィックと関係したイベントデータをログ記録する、請求項26に記載のロジック。前記ネットワーク保護装置によってログ記録された前記イベントデータを受け取ることと、前記イベントデータからの選択データを使用してプロセストラフィックマッピング要素を検索し、前記ネットワークトラフィックと関連付けられた前記ソフトウェアプログラムファイルを探すことと、ログイベントメモリ要素を更新して、前記ソフトウェアプログラムファイルを識別するエントリを含むようにすることとを含む更なる操作を前記1つ又は複数のプロセッサがするように動作可能である、請求項27に記載のロジック。信頼できるソフトウェアプログラムファイルを識別するホワイトリストを検索して、前記ソフトウェアプログラムファイルが前記ホワイトリスト内で識別されているかどうかを判定することを含む更なる操作を前記1つ又は複数のプロセッサがするように動作可能であり、前記ソフトウェアプログラムファイルの前記信頼性状態は、前記ソフトウェアプログラムファイルが前記ホワイトリスト内で識別されていない場合に、信頼できないと定義される、請求項26に記載のロジック。保護モジュールと、前記保護モジュールと関連付けられた命令を実行するように動作可能な1つ又は複数のプロセッサとを含む装置であって、前記命令は、第1の計算装置上のネットワークアクセス試行と関係した情報であって、前記ネットワークアクセス試行と関連付けられたソフトウェアプログラムファイルを識別する前記情報を受け取ることと、第1の基準を評価して前記ソフトウェアプログラムファイルと関連付けられたネットワークトラフィックが許可されるかどうかを判定することと、前記ネットワークトラフィックが許可されない場合に、前記ネットワークトラフィックと関係したイベントデータをログ記録するログ記録規則を作成することとを含み、前記第1の基準は、前記ソフトウェアプログラムファイルの信頼性状態を含む、装置。前記ログ記録規則をネットワーク保護装置にプッシュすることを含む更なる命令を前記1つ又は複数のプロセッサが実行するように動作可能であり、前記ネットワーク保護装置は、前記ソフトウェアプログラムファイルと関連付けられた前記ネットワークトラフィックを遮断し、前記ネットワークトラフィックと関係したイベントデータをログ記録する、請求項30に記載の装置。前記ネットワーク保護装置によってログ記録された前記イベントデータを受け取ることと、前記イベントデータからの選択データを使用してプロセストラフィックマッピング要素を検索し、前記ネットワークトラフィックと関連付けられた前記ソフトウェアプログラムファイルを探すことと、ログイベントメモリ要素を更新して、前記ソフトウェアプログラムファイルを識別するエントリを含むようにすることとを含む更なる命令を前記1つ又は複数のプロセッサが実行するように動作可能である、請求項31に記載の装置。信頼できるソフトウェアプログラムファイルを識別するホワイトリストを検索して、前記ソフトウェアプログラムファイルが前記ホワイトリスト内で識別されているかどうか判定することを含む更なる命令を前記1つ又は複数のプロセッサが実行するように動作可能であり、前記ソフトウェアプログラムファイルの前記信頼性状態は、前記ソフトウェアプログラムファイルが前記ホワイトリスト内で識別されていない場合に、信頼できないと定義される、請求項30に記載の装置。したがって、ボットネットは、悪意のあるオペレータが他のコンピュータにアクセスし、それらのコンピュータを多数の悪意のある目的のために操作する強力な方法を提供する。セキュリティ専門家は、悪意のあるオペレータがコンピュータを搾取することを可能にするような戦略を根絶する革新的ツールを開発する必要がある。1つの例示的実施態様における方法は、第1の計算装置上のネットワークアクセス試行と関係した情報を受け取ることを含み、この情報は、ネットワークアクセス試行と関連付けられたソフトウェアプログラムファイルを識別する。方法は、更に、第1の基準を評価してソフトウェアプログラムファイルと関連付けられたネットワークトラフィックを許可するかどうかを判定することと、ネットワークトラフィックが許可されない場合にネットワークトラフィックを阻止する制限規則を作成することを含む。第1の基準は、ソフトウェアプログラムファイルの信頼性状態を含む。特定の実施形態では、方法は、制限規則をネットワーク保護装置にプッシュすることを含み、ネットワーク保護装置は、ソフトウェアプログラムファイルと関連付けられたネットワークトラフィックを遮断し、制限規則をネットワークトラフィックに適用する。より特定の実施形態では、方法は、信頼できるソフトウェアプログラムファイルを識別するホワイトリストを検索してソフトウェアプログラムファイルの信頼性状態を判定することを含み、ソフトウェアプログラムファイルの信頼性状態は、ソフトウェアプログラムがホワイトリストに含まれない場合に、信頼できないと定義され、ネットワークトラフィックは、ソフトウェアプログラムファイルの信頼性状態が信頼できないと定義された場合に、許可されない。更に他の特定の実施形態では、ネットワークトラフィックと関連付けられたソフトウェアプログラムファイルの信頼性状態が信頼できないと定義された場合に、ネットワークトラフィックと関連したイベントデータがログ記録されてもよく、そのようなログ記録は、ネットワークトラフィックを阻止する代わりに行われてもよく、又はネットワークトラフィックを阻止することに加えて行われてもよい。図1は、悪意のあるソフトウェアに対するネットワークレベル保護をするシステムの実施形態を実現することができる代表的なネットワーク環境100を表す図である。ネットワーク環境100は、インターネット150などの広域ネットワークWANへの電子接続を有するローカルネットワーク110を含んでもよい。インターネット150は、多くの他のネットワーク、計算装置及びウェブサービスへのアクセスを提供する。例えば、グローバルサーバ160は、悪意のあるコードがないと評価及び判定されたソフトウェアプログラムファイルを示すグローバルホワイトリストを含むデータベース165を提供する。更に、ボットネットオペレータ175などの悪意のあるユーザは、指令制御サーバ170のほかにインターネット150へのアクセスを有してもよく、指令制御サーバ170は、ボットネットオペレータ175によって操作されて、ローカルネットワーク110などのネットワークを汚染することを試みる悪意のあるソフトウェア例えば、ボットを送信しその後制御してもよい。ローカルネットワーク110は、中央サーバ130、セカンダリサーバ180、及びネットワーク保護装置140に動作的に接続されたホスト120a、120b及び120cを含んでもよい。ホスト120aは、実行可能ソフトウェア122とローカル保護構成要素124とを含んでもよい。参照し易くするため、ホスト120aだけがそのような構成要素と共に示されているが、ローカルネットワーク110内の他のホストも、図1のホスト120aに示されたものと類似の構成要素で構成されてもよいことは明らかである。中央保護構成要素135が、中央サーバ130内に提供されてもよく、ネットワークレベル取り締まり構成要素145が、ネットワーク保護装置140内に提供されてもよい。中央サーバ130は、また、ログイベントデータベース131、中央非信頼ソフトウェアインベントリ132、内部ホワイトリスト133、及びプロセストラフィックマッピングデータベース134へのアクセスを有してもよい。例示的実施形態では、ホスト120a上のローカル保護構成要素124、中央サーバ130上の中央保護構成要素135及びネットワーク保護装置140上のネットワークレベル取り締まり構成要素145は協力して、悪意のあるソフトウェアと関連付けられたネットワークトラフィックに対するネットワークレベル保護をするシステムを提供してもよい。ネットワークトラフィックは、本明細書で使用されるとき、例えば、ホストから任意のネットワークや他のコンピュータに送られる電子パケット即ち、アウトバウンドネットワークトラフィックと、ホストに任意のネットワークや他のコンピュータから送られる電子パケット即ち、インバウンドネットワークトラフィックなど、ネットワーク内のデータを意味する。ネットワークトラフィックは、ネットワーク保護装置140が非信頼プログラムファイルと関連付けられた適切な制限規則を含む場合に、ネットワーク保護装置140によって阻止され、その他制限されてもよい。この開示の実施形態によれば、ネットワーク保護装置140は、非信頼プログラムファイルが見つかったときにネットワークトラフィック用に作成された制限規則を受け取ってもよい。プログラムファイルの信頼性状態即ち、信頼できるか信頼できないかは、バッチモードで判定されてもよく、ネットワークアクセス試行中に実時間で判定されてもよい。本明細書で使用されるようなネットワークアクセス試行は、ホスト上の任意のインバウンド又はアウトバウンドネットワークアクセス試行例えば、接続要求の受け入れ、接続要求の作成、ネットワークから電子データの受信、ネットワークへの電子データの送信を含む。バッチモードと実時間モードの両方で、プログラムファイルが評価されて、1つ又は複数の信頼評価技術例えば、ホワイトリスト比較、プログラムファイル変更比較、ブラックリスト比較などを使用して、各プログラムファイルの信頼性状態が、信頼できると定義されるか信頼できないと定義されるかが判定される。制限規則を作成するときにポリシーが使用されてもよい。そのようなポリシーは、例えば、ネットワークアドレスの指定されたサブネットへのアクセスだけを許可すること、全てのインバウンド及びアウトバウンドネットワークトラフィックを阻止すること、インバウンド又はアウトバウンドネットワークトラフィックだけを阻止すること、全てのローカルネットワークトラフィックを阻止し、インターネットトラフィックを許可することなどを含んでもよい。非信頼プログラムファイルと関連付けられたネットワークトラフィックが、報告のためにログ記録され、集計されてもよい。悪意のあるソフトウェアに対するネットワークレベル保護をするシステムの技術を示すため、所定のネットワーク内で行われるアクティビティを理解することが重要である。以下の基本的な情報は、本開示が適切に説明される基礎とみなすことができる。そのような情報は、単に説明のために提供され、したがって、本開示とその可能な用途の広い範囲を限定するようには決して解釈されるべきではない。更に、この開示の広い範囲は、例えば、実行可能ファイル、ライブラリモジュール、オブジェクトファイル、他の実行可能モジュール、スクリプトファイル、インタープリタファイルなど、コンピュータ上で理解され処理することができる命令を含む任意のソフトウェアファイルも包含するプログラムファイル、ソフトウェアプログラムファイル及び実行可能ソフトウェアを指すものであることを理解されよう。組織内又は個人によって使用される典型的なネットワーク環境は、例えばインターネットを使用して他のネットワークと電子的に通信して、インターネットに接続されたサーバ上にホストされたウェブページにアクセスし、電子メール即ち、emailメッセージを送信あるいは受信し、又はインターネットに接続されたエンドユーザあるいはサーバとファイルを交換する能力を含む。悪意のあるユーザは、インターネットを使用してマルウェアを拡散し、秘密情報へのアクセスを得るための新しい戦略を開発し続けている。コンピュータセキュリティに対する大きな脅威となる戦略は、多くの場合ボットネットを含む。ボットネットは、ある種の悪意のあるソフトウェア即ち、ボットがホストコンピュータに置かれて指令制御サーバと通信するクライアントサーバアーキテクチャを使用する。指令制御サーバは、悪意のあるユーザ例えば、ボットネットオペレータによって制御されてもよい。ボットは、特定の悪意のあるアクティビティを実行するコマンドを指令制御サーバから受け取り、それに応じてそのようなコマンドを実行してもよい。ボットは、任意の結果又は窃盗情報を指令制御サーバに返信してもよい。ボットは、悪意のあるアクティビティを行なうコマンドを受信する他に、典型的には、組織のネットワーク内で拡散し、又は他のネットワークを介して他の組織又は個人に拡散することができる1つ又は複数の伝搬ベクトルを含む。一般的な伝搬ベクトルは、ローカルネットワーク内のホスト上の既知の脆弱性を利用して、悪意のあるプログラムが添付され、又は電子メール内に悪意のあるリンクを提供する悪意のある電子メールを送信することを含む。ボットは、例えば、自動ダウンロード、ウィルス、ワーム、トロイの木馬などによりホストコンピュータに感染してもよい。ボットネットは、様々な攻撃を使用してボットネットオペレータがコンピュータシステムを危険にさらす強力な方法を提供する。ボットが一旦ホストコンピュータを感染すると、指令制御サーバは、ボットにコマンドを出して様々なタイプの攻撃を行なうことができる。一般に、ボットネットは、大量の電子メールを送信し分散型サービス妨害攻撃を行なうように使用されてきた。しかしながら、最近になって、ボットネットは、企業と個人に標的を絞った攻撃を行なって、知的財産や財務データなどの機密データや他の保護必要情報を得るために使用されようになった。既存のファイアウォール及びネットワーク侵入防止技術は、一般に、ボットネットを認識しくい止めるには不十分である。ボットは、多くの場合、指令制御サーバと通信を開始し、通常のウェブブラウザトラフィックを偽装するように設計される。ボットは、ボットがウェブサーバに正常なネットワーク接続を行っているかのように見えるようにする指令制御プロトコルによって巧妙に作成されることがある。例えば、ボットは、ウェブサーバと通信するために通常使用されるポートを使用することがある。したがって、そのようなボットは、ウェブトラフィックのより詳しいパケット検査を行なわない既存の技術では検出されないことがある。更に、ボットが発見された後、ボットネットオペレータは、存在し続けるボットによるネットワークトラフィックが、正常なウェブトラフィックを偽装する別の方法を単に見つけるだけでよい。最近になって、ボットネットオペレータは、例えばセキュアソケットレイヤーSSLなどの暗号化プロトコルを使用し、それにより悪意のあるネットワークトラフィックを暗号化するボットを巧妙に作成した。そのような暗号化されたトラフィックは、暗号化セッションに関与するエンドポイントだけがデータを復号できるよう、ハイパーテキスト転送プロトコルセキュアHTTPSポートを使用することがある。したがって、既存のファイアウォールや他のネットワーク侵入防止技術は、ウェブトラフィックの如何なる有効な検査も実行できない。その結果、ボットは、ネットワーク内のホストコンピュータを汚染し続ける。無許可のプログラムファイルがホストコンピュータ上で実行されるのを防ぐことに焦点を当てた他のソフトウェアセキュリティ技術は、企業又は他の組織的実体のエンドユーザ又は従業員に対して望ましくない副作用を有することがある。ネットワーク又は情報技術IT管理者は、望ましく信頼できるネットワーク資源から従業員がソフトウェアや他の電子データを取得できるようにするために、企業実体の全ての側面と関連した広範なポリシーを巧妙に作成する責任を負っていることがある。広範なポリシーが適切でないと、従業員は、そのようなソフトウェアや他のデータが正当で必要な事業活動である場合でも、特に許可されないネットワーク資源からのソフトウェアや他の電子データのダウンロードを妨げられることがある。更に、そのようなシステムは、無許可のソフトウェアがホストコンピュータ上に見つかった場合に、ホストコンピュータアクティビティが延期されてネットワーク管理者の介入が保留されるという大きな制限がある。企業の場合、このタイプのシステムは、正当かつ必要な企業活動を妨げることあり、その結果、労働者の稼働不能時間、収益損失、著しい情報技術ITオーバヘッドなどが生じることがある。図1に概略的に示されたような悪意のあるソフトウェアに対するネットワークレベル保護をするシステム及び方法は、感染したネットワークからのボットネットの伝搬及び悪意のあるアクティビティを減少させることができ、同時にITオーバヘッドをあまり必要とせずに、感染したネットワーク内で正当なアクティビティが継続することを可能にする。1つの例示的実施形態によれば、ホスト120aなどのホスト上のネットワークアクセス試行と関連付けられたどのソフトウェアプログラムファイルが危険即ち、信頼できないかを判定するシステムが提供される。関連付けられたプログラムファイルのそれぞれが危険でない即ち、信頼できる場合は、それらのプログラムファイルにマッピングされたソフトウェアプロセスと関連付けられたネットワークトラフィックが許可されてもよい。しかしながら、プログラムファイルのうちの1つ又は複数が信頼できない場合は、ネットワーク保護装置140が、非信頼プログラムファイルにマッピングされたソフトウェアプロセスと関連付けられたネットワークトラフィックを阻止し、その他制限し、かつ/又は、任意の適切なポリシーにしたがって他のネットワークトラフィックを阻止し、その他制限できるようにする制限規則が作成されてもよい。そのような阻止又は他の制限は、予想されるボットの伝搬及び悪意のあるアクティビティを防ぐことができる。1つの例示的実施形態では、非信頼プログラムファイルが発見されたとき、ホスト120aのインバウンド及びアウトバウンドネットワークトラフィックは、ポリシーの検討事項に基づいて、指定ネットワークサブネット例えば、安全であることが分かっておりかつ必要な事業活動に要求されるサブネットなどへのアクセスを選択的に許可されてもよい。これにより、必要な事業活動を中断したり妨げたりすることなく、ボットが指令制御サーバからの指令に応答し伝搬する能力を大幅に低減させることができる。その結果、図1に実現されたようなシステムは、感染ホストがあるネットワーク、及び感染ホストがアクセスを試みる他のネットワークに対してよりよい保護を提供する。図1のインフラストラクチャに移ると、ローカルネットワーク110は、ネットワークレベル保護をするシステムを実現することができる例示的なアーキテクチャを表す。ローカルネットワーク110は、1つ又は複数のローカルエリアネットワークLAN、他の適切なネットワーク、又はこれらの任意の組み合わせを含むがこれらに限定されない様々な形態で構成されてもよい。インターネット150は、ローカルネットワーク110が適切に接続されることがある広域ネットワークWANを表す。ローカルネットワーク110とインターネット150との間の接続は、ネットワーク保護装置140を介して提供されてもよい。ネットワーク保護装置140は、一般的なネットワークセキュリティ装置例えば、ファイアウォール、ルータ、ゲートウェイ、管理スイッチなどでよい。例示的実施形態では、ホスト120との間の全てのネットワークトラフィックは、ネットワーク保護装置140を介して送られる。専用帯域幅を有するインターネットサービスプロバイダISP又はインターネットサーバは、例えば、デジタル加入者線DSL、電話線、T1線、T3線、ワイヤレス、衛星、光ファイバ、ケーブル、イーサネット登録商標など、又はこれらの任意の組み合わせなどの任意の適切な媒体を使用して、インターネット150への接続を提供することができる。追加のゲートウェイ、スイッチ、ルータなどを使用して、ホスト120、中央サーバ130、ネットワーク保護装置140及びインターネット150間の電子通信を容易にしてもよい。ISP又はインターネットサーバは、ホスト120が伝送制御プロトコル/インターネットプロトコルTCP/IPを使用してインターネット上の他のノードと通信できるように構成されてもよく、メールサーバ図示せずは、ホスト120が簡易メール転送プロトコルSMTPを使用して電子メールメッセージを送受信できるようにしてもよい。例示的実施形態では、ローカルネットワーク110は、組織例えば、企業、学校、政府実体、家族などと関連付けられた従業員又は他の個人によって操作されるエンドユーザコンピュータを表わすホスト120a、120b及び120cを有する組織のネットワーク環境を表わす。エンドユーザコンピュータは、デスクトップ、ラップトップ、可搬型又は携帯型計算装置例えば、携帯情報端末PDA又は携帯電話などの計算装置、又はローカルネットワーク110へのネットワークアクセスと関連付けられたソフトウェアプロセスを実行することができる他の計算装置を含んでもよい。ローカルネットワーク110内のホスト120a、120b及び120c、中央サーバ130、セカンダリサーバ180、ネットワーク保護装置145、並びに任意の追加の構成要素の間の接続には、例えば、ケーブル、イーサネット登録商標、ワイヤレス例えば、WiFi、3G、4Gなど、ATM、光ファイバなどの任意の適切な媒体を含んでもよい。本明細書に示され述べられたネットワーク構成及び相互接続が、単に説明のためのものであることに注意されたい。図1は、例として意図され、本開示におけるアーキテクチャの限定を意味するように解釈されるべきではない。図1に示された例示的実施形態では、指令制御サーバ170とボットネットオペレータ175が、インターネット150に動作的に結合される。一例では、指令制御サーバ170は、分散型ボットにコマンドを出すようにボットネットオペレータ175によって制御又は使用されるウェブサーバでよい。別の例では、指令制御サーバ170は、大企業、教育機関あるいは政府機関のサイトに悪意を持ってインストールされ隠されていてもよい。ボットネットオペレータ175は、例えば、インターネット150を介して指令制御サーバ170にリモートでアクセスして、ホスト120a、120b又は120cなどの感染ホストコンピュータ上の分散型ボットを制御する命令を出してもよい。多数のボットネットオペレータと、何百万台ものボットを制御する指令制御サーバが、インターネット150に動作的に接続されてもよい。一例では、ボットが、ホスト120a、120b又は120cのうちの1つに感染すると、ボットネットオペレータ175は、指令制御サーバ170を介してコマンドを出して、ボットをローカルネットワーク110及び/又はの他のネットワークの全体に伝搬させ始める。更に、ボットネットオペレータ175は、感染ホスト120a、120b又は120cから、スパム電子メール、秘密情報の盗難、分散型サービス妨害攻撃などの悪意のあるアクティビティをボットが試みる命令を出すことがある。図1は、また、インターネット150に接続されたグローバルサーバ160を示す。多数のサーバがインターネット150に接続されてもよいが、グローバルサーバ160は、リスクが評価されたソフトウェアプログラムファイルに関係する情報を含む1つ又は複数のデータベースを提供するサービスを提供する。例えば、信頼できない例えば、ウィルス、ワームなどの悪意のあるコードを含むと評価及び判定されたソフトウェアプログラムファイルが、いわゆるブラックリストに含まれてもよい。信頼できる例えば、汚染されていない、悪意のあるコードを含まないなどと評価及び判定されたソフトウェアプログラムファイルが、いわゆるホワイトリストに含まれてもよい。ホワイトリストとブラックリストは、別々に実施されてもよいが、各ソフトウェアプログラムファイルが、ホワイトリストファイル又はブラックリストファイルとして識別されるデータベース内で結合されてもよい。ホワイトリスト及びブラックリストは、各プログラムファイルの固有チェックサムが記憶されたチェックサムを使用して実施されてもよく、このチェックサムは、評価されるプログラムファイルの計算済みチェックサムと容易に比較することができる。チェックサムは、ソフトウェアプログラムファイルにアルゴリズムを適用することによって導出された数値又はハッシュサム例えば、番号数字の固定文字列でよい。アルゴリズムが、第1のソフトウェアプログラムファイルと同一の第2のソフトウェアプログラムファイルに適用された場合は、チェックサムが合致しなければならない。しかしながら、第2のソフトウェアプログラムファイルが異なる場合例えば、第2のソフトウェアプログラムファイルが、何らかの方法で変更された場合、第1のソフトウェアプログラムファイルの異なるバージョンである場合、全く異なるタイプのソフトウェアである場合などは、チェックサムは合致しない可能性が極めて高い。図1のグローバルホワイトリスト165などのデータベースは、独立した第三者によって提供されてもよく、消費者が入手可能な信頼できるソフトウェアプログラムファイルの総合リストを提供するように定期的に更新されてもよい。同様に、ブラックリスト図示せずは、独立した第三者によって提供されてもよく、信頼できない悪意のあるソフトウェアプログラムファイルの総合リストを提供するように定期的に更新されてもよい。グローバルホワイトリスト及びブラックリストは、ローカルネットワーク110の外部にあってもよく、インターネット150などの他のネットワークを介して、又はローカルネットワーク110とグローバルホワイトリスト165との間の電子通信を可能にする任意の他の適切な接続を介してアクセス可能であってもよい。そのようなグローバルホワイトリスト及びブラックリストの例には、カリフォルニア州サンタクララのMcAfee社によって提供されるArtemisデータベースと、オレゴン州ポートランドのSignaCert社によって提供されるSignaCert登録商標データベースが含まれる。図1は、また、ローカルネットワーク110内に示された内部ホワイトリスト133を含む。内部ホワイトリスト133は、また、リスクが評価されたソフトウェアプログラムファイルに関係する情報を含んでもよく、チェックサムを使用してそのようなソフトウェアプログラムファイルを識別してもよい。内部ホワイトリスト133内で識別されるソフトウェアプログラムファイルは、1つ又は複数のグローバルホワイトリストからのソフトウェアプログラムファイルを包含してもよく、かつ/又は選択されたソフトウェアプログラムファイルを提供するようにカスタマイズされてもよい。詳細には、組織内部で開発されたが必ずしも一般大衆が入手できるとは限らないソフトウェアプログラムファイルが、内部ホワイトリスト133内で識別されてもよい。更に、信頼できないと評価及び判定された特定のソフトウェアプログラムファイルを識別するために、内部ブラックリストが提供されてもよい。図1に示されたローカルネットワーク110では、ホスト120aは、実行可能ソフトウェア122とローカル保護構成要素124とで構成されてもよい。実行可能ソフトウェア122は、ホスト120a上の全てのソフトウェアプログラムファイル例えば、実行可能ファイル、ライブラリモジュール、オブジェクトファイル、他の実行可能モジュール、スクリプトファイル、インタープリタファイルなどを含んでもよい。ホスト120aがボットに感染した場合は、ボットは、感染ホスト120aの実行可能ソフトウェア122内のプログラムファイルとして記憶される可能性がある。ホスト120aのローカル保護構成要素124は、実施形態によって異なる機能を提供することができる。システムの幾つかの実施形態では、ローカル保護構成要素124は、実行可能ソフトウェア122のインベントリ、又はホスト120a上の実行可能ソフトウェア122に対する変更及び追加のインベントリを定期的に提供してもよい。システムの実時間実施形態では、ローカル保護構成要素124は、ネットワークアクセス試行を遮断し、ネットワークアクセス試行と関係した情報を中央サーバ130に提供してもよい。ローカル保護構成要素124は、所定の長さの時間、又はネットワークアクセス試行を解放することを可能にする信号を中央サーバ130から受け取るまで、ネットワークアクセス試行を保持してもよい。ローカルネットワーク110内の中央サーバ130は、ホスト120a上のソフトウェアプログラムファイルの信頼性状態を判定し、非信頼ソフトウェアプログラムファイルと関連付けられたネットワークトラフィックの制限及びログ記録規則を作成し、制限及びログ記録規則をネットワーク保護装置140にプッシュし、及びログイベントデータベース131を、非信頼プログラムファイルと関連付けられたネットワークトラフィックと関係したエントリで更新する中央保護構成要素135を含んでもよい。幾つかの実施形態では、中央保護構成要素は、中央非信頼ソフトウェアインベントリ132を、非信頼ソフトウェアプログラムファイルを識別するエントリで更新してもよい。中央サーバ130は、また、プログラムファイルパス、アドレス例えば、インターネットプロトコルIPアドレス及び/又はポート番号などの情報を含む、ソフトウェアプロセスをソフトウェアプログラムファイルにマッピングすることができるプロセストラフィックマッピングデータベース134を含むか又はそのデータベースに対するアクセスを有してもよい。ログイベントデータベース131、中央非信頼ソフトウェアインベントリ132、内部ホワイトリスト133、及びプロセストラフィックマッピングデータベース134は、中央サーバ130にアクセス可能な任意のネットワーク及び装置で提供されてもよい。本明細書で更に述べるように、中央非信頼ソフトウェアインベントリ132は、システムの幾つかの実施形態では省略されてもよい。ネットワーク保護装置140は、ネットワークトラフィック例えば、ホスト120aにインバウンドし、又はホスト120aからアウトバウンドする電子パケットなどを遮断し、任意の適切な制限及びログ記録規則を遮断パケットに執行するネットワークレベル取り締まり構成要素145を含んでもよい。図2に移ると、図2は、中央サーバ200及び関連したメモリ構成要素231、232、233及び234の概略図を示す。これは、図1に示された中央サーバ130及び関連したメモリ構成要素131、132、133及び134の詳細な例である。図2に示された例示的実施形態では、中央サーバ200の中央保護構成要素は、管理保護モジュール220、ポリシーモジュール230、ポリシーデータベース235、ソフトウェア信頼判定モジュール240、及び規則作成モジュール250を含んでもよい。幾つかの実施形態では、中央保護構成要素は、また、ソフトウェア信頼判定モジュール240からの信頼プログラムファイルキャッシュエントリを記憶する中央信頼キャッシュ245を含んでもよい。規則作成モジュール250は、バッチ処理モード実施形態で構成されてもよく、実時間又は実質的に実時間処理実施形態で構成されてもよい。規則作成モジュール250のバッチ処理及び実時間処理の両方の実施形態において、非信頼プログラムファイルが発見されたときに、ネットワーク制限規則及び/又はログ記録規則が作成されてもよい。中央保護構成要素は、また、プロセストラフィックマッピングデータベース234を、プログラムファイル情報、ソースアドレス及びポート番号、宛先アドレス及びポート番号などのソフトウェアプロセスと関係した情報で更新するプロセストラフィックマッピングモジュール260を含んでもよい。中央サーバ200は、また、例えばログイベントデータベース231や内部ホワイトリスト233などの適切なハードウェア及びメモリ要素を含むか又はそれらに対するアクセスを有してもよい。幾つかの実施形態では、中央サーバ200は、また、中央非信頼ソフトウェアインベントリ232を含むかそれに対するアクセスを有してもよく、他の実施形態では、中央非信頼ソフトウェアインベントリ232は、システムの必須構成要素でなくてもよい。中央サーバ200には、プロセッサ280やメモリ要素290を含む他のハードウェア要素が含まれてもよい。最後に、認可された人が管理保護モジュール220などの管理構成要素を介してシステムを導入し、構成し、維持するため、管理コンソール210が、中央サーバ200に適切に接続されてもよい。中央信頼キャッシュ245を使用する実施形態では、キャッシュは、グローバル及び/又は内部ホワイトリストを検索する際に見つかったプログラムファイルなど、以前に信頼状態を有すると判定されたプログラムファイルを識別するエントリ例えば、チェックサムを一時的に記憶するためのメモリのブロックとしてハードウェア内に実現されてもよい。中央信頼キャッシュ245は、以前に信頼性状態が評価されたプログラムファイルを示すデータに対する迅速かつ透明なアクセスを提供することができる。これにより、要求されたプログラムファイルが中央信頼キャッシュ245内に見つかった場合は、グローバル及び/又は内部ホワイトリストの検索、又は任意の他の信頼評価が行なわれなくてもよいことがある。更に、中央信頼キャッシュ245を使用する実施形態は、中央非信頼ソフトウェアインベントリ232を維持しなくてもよい。図3に移ると、図3は、悪意のあるソフトウェアに対するネットワークレベル保護をするシステムを実現することができる、計算装置又はホスト300の一実施形態の概略図と、中央サーバ200のブロック図とを示す。ホスト300は、図1のホスト120aのより詳細な例である。ホスト300は、例えば、プログラムファイル1~nを含む1組の実行可能ソフトウェア340を含む。例えば実時間処理の実施形態などの幾つかの実施形態では、ホスト300内のローカル保護構成要素は、ホスト300上のネットワークアクセス試行を遮断し、ホストイベント情報即ち、ネットワークアクセス試行及びその関連プログラムファイルと関係した情報を中央サーバ200に送るための、中央サーバ200に対する双方向の流れを有するイベントフィード330を含んでもよい。また、ネットワークアクセス試行を解放する前に、得られたネットワーク制限及び/又はログ記録規則をネットワーク保護装置400にプッシュできるよう、イベントフィード330は、ネットワークアクセス試行を、所定の時間又は中央サーバ200からの信号を受け取るまで保持するように構成されてもよい。バッチ処理の実施形態や特定の実時間処理の実施形態などのシステムの様々な実施形態において、ローカル保護構成要素は、実行可能ソフトウェア340のインベントリ又は実行可能ソフトウェア340内の新規及び/又は変更されたプログラムファイルのインベントリを中央サーバ200にプッシュするため、中央サーバ200へのデータフローを有するソフトウェアプログラムインベントリフィード335を含んでもよい。イベントフィード330及びソフトウェアプログラムインベントリフィード335は、ホスト300のユーザ空間内に常駐してもよい。また、ホスト300のユーザ空間内には、実行可能ソフトウェア340のプログラムファイルの1つ以上に対応する例示的な実行ソフトウェアプロセス345が示されている。参照し易くするため、実行可能ソフトウェア340は、ホスト300上のユーザ空間内に示される。しかしながら、実行可能ソフトウェア340は、ホスト300のディスクスペースなどのメモリ要素に記憶されてもよい。ホスト300は、また、ネットワークインタフェースカードNIC装置370、プロセッサ380、メモリ要素390などのハードウェア構成要素を含んでもよい。伝送制御プロトコル/インターネットプロトコルTCP/IP350や他のプロトコル360などの伝送プロトコルは、ホスト300のカーネル空間内に常駐してもよい。図2と図3には、メモリ管理ユニットMMU、付加的対称型マルチプロセッシングSMP要素、物理メモリ、イーサネット登録商標、周辺構成要素相互接続PCIバス及び対応ブリッジ、小型コンピュータシステムインタフェースSCSI/IntegratedDriveElectronicsIDE要素などの形でプロセッサ280及び380に適切に結合されてもよい追加のハードウェアが示されていない。更に、ネットワークアクセスを可能にするため、適切なモデム及び/又は追加のネットワークアダプタを含んでもよい。中央サーバ200及びホスト300は、意図された機能を適切に実行するのに必要な任意の追加のハードウェア及びソフトウェアを含むことができる。更に、中央サーバ200及びホスト300内に、その中のハードウェア構成要素の動作を適切に管理するため、任意の適切なオペレーティングシステムが構成されてもよい。ハードウェア構成は異なってもよく、示された例がアーキテクチャの限定を意味するものではないことを理解されよう。図4に移ると、図4は、悪意のあるソフトウェアに対するネットワークレベル保護をするシステム内で使用されることがあるネットワーク保護装置400の概略図を示す。ネットワーク保護装置400は、図1のネットワーク保護装置140の例である。ネットワーク保護装置400のネットワークレベル取り締まり構成要素は、フィルタ/ファイアウォール410、ネットワーク規則要素420、及びイベントログ430を含んでもよい。ネットワーク保護装置400は、プロセッサ480やメモリ要素490などのハードウェア構成要素を含んでもよい。例示的実施形態では、ネットワーク保護装置140は、一般的なネットワークセキュリティ装置例えば、ファイアウォール、ルータ、ウェブゲートウェイ、メールゲートウェイ、管理スイッチなどであってもよく、必要に応じて意図された機能を実行するための他の適切なハードウェア及びソフトウェア構成要素を含んでもよい。ネットワーク保護装置400では、フィルタ/ファイアウォール410は、ネットワークトラフィック例えば、ローカルネットワーク110からアウトバウンドされ、ローカルネットワーク110にインバウンドされ、又はローカルネットワーク110内の電子パケットを遮断してもよく、ネットワーク規則要素420に照会して、ネットワークトラフィックの特定の遮断パケットに適用される制限及び/又はログ記録規則があるかどうか判定してもよい。適切な制限規則が見つかった場合は、その制限規則がパケットに適用され、パケットが阻止され、経路変更され、選択的に許可されるなどが行われてもよい。イベントログ430は、ネットワークトラフィックイベントデータをログ記録するため、ネットワーク保護装置400内に提供されてもよい。ネットワークトラフィックイベントデータは、例えば、ソースアドレス及びポート番号、宛先アドレス及びポート番号、日時スタンプ、及び/又は規則ID即ち、遮断パケットに適用される制限又はログ記録規則を示す識別子など、ネットワーク保護装置400が受け取った特定のパケットと関係した情報を含んでもよい。そのようなログ記録は、ネットワーク規則要素420が、ネットワーク保護装置400が受け取った特定のパケットに対応するログ記録規則を有する場合、又は、例えば、ネットワークトラフィックイベントに対応するパケットに制限規則が適用されたときにネットワークトラフィックイベントをログ記録するなど、ログ記録がデフォルトで実行される場合に、行われてもよい。様々な例示的実施形態では、信頼判定、ログ記録、及び規則作成アクティビティは、中央サーバ200の管理保護モジュール220、ポリシーモジュール230、ソフトウェア信頼判定モジュール240、規則作成モジュール250、及びプロセストラフィックマッピングモジュール260、並びに、ホスト120aのソフトウェアプログラムインベントリフィード335及び/又はイベントフィード330とによって提供されてもよい。信頼判定、ログ記録、及び規則作成アクティビティと関係した情報は、適切に描写され、又は特定の場所例えば、中央サーバ200、ネットワーク規則要素420などに送られてもよく、単純に記憶され、又はアーカイブされてもよく例えば、ログイベントデータベース231、中央非信頼ソフトウェアインベントリ232、ポリシーデータベース235、プロセストラフィックマッピングデータベース234、中央信頼キャッシュ245など、かつ/又は任意の適切な形式で適切に表示されてもよい例えば、管理コンソール210などにより。そのような信頼判定、ログ記録及び規則作成アクティビティの1つ又は複数と関係したセキュリティ技術には、McAfee登録商標ソフトウェア例えば、ePolicyOrchestrator、ApplicationControl、及び/又はChangeControl又は他の類似のソフトウェアの要素が含まれる。したがって、そのような構成要素はいずれも、本明細書で使用されるような用語管理保護モジュール、ポリシーモジュール、ソフトウェア信頼判定モジュール、規則作成モジュール、プロセストラフィックマッピングモジュール、ソフトウェアプログラムインベントリフィード及びイベントフィードの広い範囲に含まれてもよい。ログイベントデータベース231、中央非信頼ソフトウェアインベントリ232、内部ホワイトリスト233、プロセストラフィックマッピングデータベース234、ポリシーデータベース235、中央信頼キャッシュ245、ネットワーク規則要素420、及びイベントログ430は、電子データの信頼判定、ログ記録及び規則作成と関係した情報例えば、プログラムファイルの信頼判定、ネットワークアクセス試行、ソフトウェアプロセスの宛先アドレスとポート番号、ソフトウェアプロセスのソースアドレスとポート番号、ネットワーク制限規則、ログ記録規則などを含んでもよく、これらの要素は、ホスト300、中央サーバ200及びネットワーク保護装置400のモジュール及び構成要素と容易に協力し、連携し、その他相互作用することができる。図5~図12は、悪意のあるソフトウェアに対するネットワークレベル保護をするシステム及び方法の様々な実施形態と関連付けられたフローの例示的実施形態のフローチャートを含む。参照し易くするために、図5~図12は、本明細書では、図1のネットワーク環境100における特定の構成要素と、サーバ200、ホスト300、ネットワーク保護装置400及びそれらの関連した構成要素、要素、モジュールとを参照して説明されるが、本明細書で示され述べられたシステム及び方法のネットワークレベル実施形態を実現するために、様々な他の装置、構成要素、要素、モジュールなどを使用してもよい。図5に移ると、バッチ処理フロー500は、ネットワークレベル保護をするシステムのバッチ処理実施形態のフローを示す。これは、少なくとも部分的に、中央サーバ200の規則作成モジュール250として実施されてもよい。バッチ処理フロー500を実現するシステムの実施形態では、中央サーバ200の中央信頼キャッシュ245も中央非信頼ソフトウェアインベントリ232も必要ではないことがある。バッチ処理フロー500は、任意の適切な所定の時間間隔で例えば、1時間ごと、30分ごとなど実行されてもよい。フローは、実行可能ソフトウェアのインベントリをホスト300などのホストから受け取るステップ520で始まってもよい。中央サーバ200は、ソフトウェアプログラムインベントリフィード335によって提供されることがあるインベントリをホスト300にポーリングしてもよい。ソフトウェアプログラムインベントリフィード335は、中央サーバ200に、ホスト300上の完全な更新済みソフトウェアインベントリ、又はホスト300上のソフトウェアプログラムファイル追加及び/又は変更のインベントリを提供するように構成されてもよい。ソフトウェアプログラムインベントリフィード335は、例えば、PolicyAuditorソフトウェアやApplicationControlソフトウェアなどの既存のセキュリティソフトウェアで実現されてもよく、これらのソフトウェアは両方とも、カリフォルニア州サンタクララのMcAfee社によって製造されている。ソフトウェアインベントリを受け取った後で、フローはステップ525に進み、最初のプログラムファイルが、ソフトウェアインベントリから取り出される。次に、フローはステップ530に進み、プログラムファイルの信頼性状態即ち、信頼できるか信頼できないかを判定する。信頼性状態は、1つ又は複数のソフトウェア信頼判定技術例えば、内部ホワイトリストの評価、外部ホワイトリストの評価、プログラムファイルの状態変更の評価、ブラックリストの評価などを使用する中央サーバ200のソフトウェア信頼判定モジュール240によって判定されてもよく、これについては、図6と図7に関連して本明細書で更に示され説明される。ステップ530でプログラムファイル信頼性状態が判定された後で、フローはステップ535に進み、プログラムファイルが信頼できるかどうかの照会がされる。プログラムファイルが信頼できる場合は、フローはステップ580に進んで、ネットワーク制限又はログ記録規則の作成を回避し、ソフトウェアインベントリ内のループを続け、各プログラムファイルを評価する。しかしながら、ステップ535でプログラムファイル信頼性状態が信頼できない場合は、フローはステップ540に進み、プロセストラフィックマッピングデータベース234から非信頼プログラムファイルに関するプロセストラフィックマッピング情報を得る。プロセストラフィックマッピング情報は、例えば、ネットワークトラフィックをログ記録しかつ/又は制限する規則を作成するために使用することができるプログラムファイルにマッピングされたソースアドレス及び宛先ポート番号を含んでもよい。プログラムファイルのプロセストラフィックマッピング情報を取得した後で、ステップ545で、ログ記録が有効かどうかの照会がされる。ステップ545での照会が、ログ記録が有効であることを示す場合は、フローはステップ550に進み、ログ記録規則が作成され、ネットワーク保護装置400にプッシュされてネットワーク規則要素420に記憶される。一例では、ステップ540で取得されたプロセストラフィックマッピング情報からのソースアドレスと宛先ポート番号は、特定のネットワークイベントデータをログ記録する規則を作成するために使用されることがある。この例では、ネットワーク保護装置400によって遮断された電子パケットが、プロセストラフィックマッピング情報と一致するソースアドレス及び宛先ポートを有するとき、ログ記録規則は、遮断パケットと関係したネットワークトラフィックイベントデータをイベントログ430に記憶することを要求することがある。幾つかの実施形態では、ログ記録規則を識別する規則IDは、プロセスマッピングデータベース234に記憶され、非信頼プログラムファイルにマッピングされてもよい。ステップ550で、ログ記録規則が作成されネットワーク保護装置400にプッシュされた後、又はステップ545でログ記録が有効でない場合、フローはステップ555に進み、取り締まりが有効かどうかの照会がされる。取り締まりが有効でない場合、フローはステップ580に進んで、非信頼プログラムファイルのネットワーク制限規則の作成を回避し、ソフトウェアインベントリ内のループを続け、ソフトウェアインベントリ内の残りのプログラムファイルを評価する。しかしながら、ステップ555で取り締まりが有効である場合は、ステップ560で、ポリシーデータベース235に照会して、構成ポリシーがプログラムファイルの非信頼状態を覆し、プログラムファイルと関連付けられたネットワークトラフィックを許可するかどうかを判定する。例示的実施形態では、中央サーバ200のポリシーモジュール230は、ネットワーク管理者や他の許可ユーザが、管理コンソール210によってポリシー構成を巧妙に作成し、そのようなポリシーをポリシーデータベース235に記憶することを可能にしてもよい。次に、ステップ560で、非信頼プログラムファイルに関連したポリシーがないかポリシーデータベース235に照会してもよい。ポリシーデータベース235内に、プログラムファイルの非信頼状態を覆すポリシーが見つかった場合、フローはステップ580に進み、非信頼プログラムファイルのためのネットワーク制限規則の作成を回避し、ソフトウェアインベントリ内のループを続け、ソフトウェアインベントリ内の残りのプログラムファイルを評価する。しかしながら、ポリシーが、プログラムファイルの非信頼状態を覆さない即ち、ポリシーが何らかのタイプの制限規則を必要とするか、適用できるポリシーがない場合、フローはステップ570に進み、プロセストラフィックマッピング情報及び/又は任意の適切なポリシーを使用して1つ又は複数のネットワーク制限規則を作成することができる。ポリシーは、様々なタイプの制限規則を作成するために使用されてもよく、そのようなポリシー構成が、必要に応じて特定のネットワーク所有者によって実施されてもよい。幾つかの例示的実施形態では、ポリシー構成は、全てのインバウンド及びアウトバウンドネットワークトラフィックを阻止すること、全てのインバウンドネットワークトラフィックを阻止しアウトバウンドネットワークトラフィックを許可すること、又はインバウンドネットワークトラフィックを許可しアウトバウンドネットワークトラフィックを阻止することなど、1つ又は複数の広範囲にわたる制限を含んでもよい。ローカルネットワークへのアウトバウンドネットワークトラフィックを阻止するがインターネットへのアウトバウンドネットワークトラフィックを許可すること、ソースアドレスの指定サブネットからのインバウンドネットワークトラフィックを許可しかつ/又は宛先アドレスの指定サブネットへのアウトバウンドネットワークトラフィックを許可することなど、より特定の戦略が使用されてもよい。最後に、ポート上の特定のインバウンドサービス及び/又は特定のアウトバウンドサービス例えば、ドメインネームサービスDNS、簡易メール転送プロトコルSMTP、インターネットリレーチャットIRCなどなどのより大まかな戦略が使用されてもよい。これらの例示的なポリシー構成は、例示のためのものであり、インバウンド、アウトバウンド、及び/又はローカルネットワークトラフィック、又はこれらの任意の組み合わせを制限する他のポリシー構成も含むことが意図される。そのようなポリシーは、ネットワークレベル保護をするシステムにおいて、構成ポリシーを使用して作成されたネットワーク制限規則を適用するネットワーク保護装置400内にネットワークトラフィックを送ることによって実施されてもよい。特定のポリシー構成は、非信頼ソフトウェアの伝搬及び潜在的に悪意のあるアクティビティを防ぐ必要性や、必要な事業活動を行なう必要性など、競合する関心の間での平衡がとられてもよい。例えば、ホストサブネットとサーバサブネットを有するネットワークにおいて、非信頼プログラムファイルと関連付けられたネットワークトラフィックがサーバサブネットだけにアクセスでき、ホストサブネットにはアクセスできないよう、ポリシーを構成してもよい。これは、悪意のあるソフトウェアがネットワーク内の他のホストに伝搬するのを防ぎ、同時にセキュアなサーバサブネットに対する各ホストの非遮断アクセスを可能にするので望ましいことがある。別のポリシーは、非信頼プログラムファイルと関連付けられたネットワークトラフィックが、既知のサブネットホスティングジョブクリティカルサービスを除くインターネットにアクセスするのを阻止してもよい。したがって、選択的なネットワークアクセスを許可するポリシーを巧妙に作成することにより、様々な阻止オプションを使用することができる。ネットワークレベル保護をするシステム及び方法の実施形態において、非信頼プログラムファイルのためのネットワークレベル固有ポリシーが巧妙に作成されてもよい。例えば、非信頼プログラムファイルと関連付けられたネットワークトラフィックをセカンダリサーバ180などの別のサーバに転送するポリシーが、巧妙に作成されてもよい。一例では、非信頼プログラムファイルと関連付けられた潜在的に悪意のあるネットワークトラフィックが、セカンダリサーバ180上の追加のファイアウォール、フィルタ、アンチスパム/アンチウイルスゲートウェイ、プロキシなどに強制的に通されてもよい。別の例では、セカンダリサーバ180が、ネットワーク接続を受け取ったときに1つ又は複数の所定のコマンドで応答するように構成されてもよい。幾つかのボットは、特定のコマンドを受け取ったときに自滅するように設計され、セカンダリサーバ180は、ネットワーク接続にそのようなコマンドで応答し、それによりセカンダリサーバ180に転送されたボットが破壊されるように構成されてもよい。別のネットワークレベル固有ポリシーは、仮想ローカルエリアネットワークVLANメンバシップを別のVLANポートに切り換えることを含む。この例では、VLANメンバシップは、非信頼プログラムファイルと関連付けられたポートに切り替えられてもよい。VLANメンバシップを別のポートに切り替えると、個々のストリームではなくそのポート上の全てのネットワークトラフィックが有効に移動するが、代替のVLANは、ネットワークトラフィックを、追加のファイアウォール、フィルタ、アンチスパム及びアンチウイルスゲートウェイ、プロキシなどに強制的に通すように構成されてもよい。このタイプの制限は、ネットワーク保護装置400がレイヤー2の管理スイッチとして構成された場合に特に有用なことがある。別の例示的実施形態では、ネットワーク保護装置400は、より深いパケット検査を行って、複数の会話ストリームが単一ポートを介して転送されているかどうかを判定し、また適切なネットワーク制限及びログ記録規則が適用される非信頼プログラムファイルと関連付けられたストリームを識別するように適応されてもよい。したがって、この実施形態では、ポリシーは、ネットワーク制限又はログ記録規則が、非信頼プログラムファイルと関連付けられた特定のストリームを選択的に阻止しかつ/又はログ記録し、同時に他のストリームが同じポートを介した接続を継続できるように巧妙に作成されるように構成されてもよい。図5のステップ570に戻ると、ネットワーク制限規則は、プロセストラフィックマッピング情報及び/又は任意の適切なポリシーを使用して作成され、次にネットワーク保護装置400にプッシュされる。例えば、ポリシーが、非信頼プログラムファイルと関連付けられた全てのインバウンド及びアウトバウンドネットワークトラフィックを阻止することを要求するように構成された場合は、ステップ540で取得されたプロセストラフィックマッピング情報からのソースアドレス及び宛先ポートを使用して、一致するソースアドレス及び宛先ポートを有するインバウンド又はアウトバウンドパケットを阻止する1つ又は複数の制限規則を作成してもよい。ステップ570でネットワーク制限規則が作成された後、ネットワーク制限規則は、ネットワーク保護装置400にプッシュされ、ネットワーク規則要素420に記憶される。次に、フローはステップ580に進み、評価しているプログラムファイルがソフトウェアインベントリ内の最後のプログラムファイルであるかどうかが判定される。そのプログラムファイルが、最後のプログラムファイルの場合、フロー500は終了する。しかしながら、それが最後のプログラムファイルでない場合は、ステップ590で、ソフトウェアインベントリ内の次のプログラムファイルが取り出され、フローはステップ530に戻って、新しく取得されたプログラムファイルの信頼性状態を判定し、プログラムファイルに適したネットワーク制限又はログ記録規則を作成する。図6~図7に移ると、例示的なフローは、ネットワークレベル保護をするシステムのバッチ処理実施形態におけるプログラムファイルの信頼性状態を判定する代替の実施形態を示す。図6又は図7の例示的なステップは、少なくとも部分的に中央サーバ200のソフトウェア信頼判定モジュール240として実施されてもよく、図5のバッチ処理実施形態のステップ530に対応してもよい。図6は、ホワイトリスト評価を使用する信頼判定フロー600を示す。これは、ホスト300から中央サーバ200にプッシュされたソフトウェアインベントリ内の各プログラムファイルについて実行される。フローはステップ610で始まってもよく、現在のプログラムファイルが評価されて、それが、図1に示されたグローバルホワイトリスト165などの少なくとも1つのグローバルホワイトリスト上、及び/又はローカルネットワーク110外の他のホワイトリスト上で識別されたかどうかが判定される。本明細書で前に述べたように、プログラムファイルを識別するために、ホワイトリスト内でチェックサムが使用されてもよい。ステップ610でプログラムファイルがグローバル又は他の外部ホワイトリストのいずれかに見つかった場合は、プログラムファイルの信頼性状態が、信頼できると定義されて、フローが終了し、信頼性状態が、図5のステップ530に返される。しかしながら、プログラムファイルが、ステップ610でグローバル又は他の外部ホワイトリスト上に見つからなかった場合、フローはステップ620に進み、内部ホワイトリスト133などの1つ又は複数の内部ホワイトリストが、検索されてもよい。組織は、複数のホワイトリスト例えば、組織全体のホワイトリスト、企業レベルのホワイトリストなどを使用してもよい。プログラムファイルが、内部ホワイトリストのどれかに見つかった場合、プログラムファイルの信頼性状態が、信頼できると定義されて、フローが終了し、信頼性状態が、図5のステップ530に返される。しかしながら、ステップ610及び620で、プログラムファイルが内部又は外部ホワイトリストのどれにも見つからなかった場合、プログラムファイルは、非信頼状態を有する。次に、フローはステップ630に進んでもよく、プログラムファイルが評価されて、プログラムファイルを非信頼状態から信頼状態に昇格させることができる既定条件が存在するかどうかが判定されてもよい。そのような既定条件は、例えば、管理者が所有するソフトウェア、ファイルアクセス制御、ファイル属性例えば、作成時刻、修正時刻などなどのヒューリスティックな検討事項を含んでもよい。一例では、管理者が所有する非信頼プログラムファイルが、信頼状態に昇格され、したがって、フローが終了し、信頼性状態は、図5のステップ530に返されてもよい。しかしながら、ステップ630で、プログラムファイルが既定条件をいずれも満たさない場合は、非信頼状態が持続し、その結果、プログラムファイルが、信頼できないと定義され、フローが終了し、信頼性状態が、図5のステップ530に返される。信頼判定フロー600は、また、ホワイトリストに加えてブラックリストを評価する追加の論理図示せずを含んでもよい。ブラックリストは、悪意のあることが分かっているソフトウェアプログラムファイルを識別する。ブラックリストは、McAfee社によって提供されるArtemis及びAnti-Virusデータベース、並びにローカルネットワーク内にローカルに維持されたブラックリストを含む多数のソースによって提供されてもよい。この実施形態では、プログラムファイルが、内部又は外部ブラックリストのどれかに見つかった場合、プログラムファイルは、信頼できないと定義される。図7に移ると、図7は、図5のステップ530に対応する信頼判定フロー700の代替の実施形態を示す。これは、ソフトウェアインベントリ内の各プログラムファイルについて実行されてもよい。フローは、ステップ720で始まり、現在のプログラムファイルが評価されて、変化したかどうかが判定される。プログラムファイルの現在の状態が、前の状態から変化していない場合、プログラムファイルの信頼性状態が、信頼できると定義され、フローが終了し、信頼性状態が、図5のステップ530に返される。しかしながら、プログラムファイルの現在の状態が前の状態から変化した場合は、プログラムファイルは、非信頼状態を有する。既存の変更追跡製品例えば、McAfee登録商標ChangeControlソフトウェア、McAfee登録商標ApplicationControlソフトウェア、McAfee登録商標ePolicyOrchestratorソフトウェア、McAfee登録商標PolicyAuditorソフトウェア、オレゴン州ポートランドのTripwire社によって製造されたTripwire登録商標ソフトウェアなどを使用して、プログラムファイルの変更データを調べ、変更が起きたかどうかを判定してもよい。一例では、変更レコードは、中央サーバ200で集中的に総計されてもよく、McAfee登録商標ePOソフトウェアが、プログラムファイルが変化したかどうかを判定してもよい。図7のステップ720を再び参照すると、プログラムファイルが変化し、したがって非信頼状態を有すると判定された場合、フローはステップ730に進んでもよく、プログラムファイルが評価されて、図6に関連して本明細書で前に述べたように、プログラムファイルを非信頼状態から信頼状態に昇格できる既定条件が存在するかどうかが判定される。1つ又は複数の既定条件が存在する場合は、プログラムファイルが、信頼状態に昇格されてもよい。しかしながら、プログラムファイルに適用される既定条件がない場合は、非信頼状態が持続し、プログラムファイルは、信頼できないと定義されてもよい。ステップ730で信頼性状態が決定された後で、フローは終了し、プログラムファイルの信頼性状態が、図5のステップ530に返される。プログラムファイルを列挙し、信頼性状態を判定する代替の実施態様は、容易に明らかになる。本明細書で前に示され述べられた実施形態は、ホスト300などのネットワーク内の各ホスト上の実行可能ソフトウェアのインベントリを列挙し、ソフトウェアインベントリを中央サーバ200にプッシュして、インベントリ内の各プログラムファイルと関連付けられた信頼性状態を判定することに言及している。しかしながら、代替の実施形態では、ソフトウェアプログラムファイルの信頼判定が各ホストによってローカルに行なわれてもよく、得られた情報が別の場所例えば、中央サーバ200にプッシュされ、かつ/又はローカル非信頼ソフトウェアインベントリ上にローカルに維持されてもよい。ソフトウェアプログラムファイルの信頼性状態をローカルに判定することは、ホワイトリスト評価、ブラックリスト評価、状態変更評価、又は任意の他の適切な信頼評価技術によって行なわれてもよい。そのような実施形態では、実行可能ソフトウェアのインベントリは、例えば、McAfee登録商標ソフトウェア例えば、PolicyAuditor、ApplicationControl、又はChangeControlによって列挙されてもよい。図6に示されたようなホワイトリスト評価を行なうとき、ホストは、ローカルネットワーク上の内部ホワイトリスト及び/又はインターネットなどの別のネットワークを介してアクセス可能な外部ホワイトリストにアクセスしてもよい。図7に示されたように、プログラムファイル状態変更評価は、プログラムファイルの現在と以前の変化状態を評価することによってローカルに行なわれてもよい。例えば、McAfee登録商標ChangeControlソフトウェアは、一連の変更レコードがホスト上にローカルに維持されることを可能にし、この変更レコードを評価して、特定のホスト上のプログラムファイルのどれかが変化したかどうかを判定することができる。更に、この開示の広い範囲により、例えば、ホワイトリスト評価とソフトウェアプログラムファイルの状態変更評価の両方を実行すること、及び/又はソフトウェアプログラムファイルのブラックリスト評価を実行することを含む多数の他の技術を使用して、ソフトウェアプログラムファイルの信頼性状態を判定することができる。図5~図7を参照して示され述べられたバッチ処理実施形態を実現することにより、ソフトウェアインベントリを所定の時間間隔例えば、1時間ごと、30分ごとなどで評価することができ、非信頼プログラムファイルと関連付けられたネットワークトラフィックを阻止する制限規則を作成することができる。したがって、ネットワーク保護装置400の構成は、デフォルトで開いている即ち、ネットワークトラフィックは、規則で禁止されない限り許可される。しかしながら、このデフォルトで開いた手法は、最近ホストに感染したボットが、まだ信頼できないと定義されておらず、したがって、ボットと関連付けられたネットワークトラフィックを阻止する制限規則がまだ作成されていないのでローカル又はリモートネットワークへのアクセスによって悪意のあるアクティビティを伝搬又は実行する可能性のある時間ウィンドウを作成することがある。しかしながら、幾つかの企業では、この手法は、所定の時間間隔が重要でないか又は代替の手法が正当で必要な企業活動を妨げることがあるので、望ましい場合がある。他の企業は、より厳格な管理を好む場合があり、代替実施形態でデフォルトで閉じた手法が実現されてもよい。デフォルトで閉じた手法では、ネットワーク保護装置400は、規則によって特定的に許可されない限り全てのネットワークトラフィックを阻止するように構成されることがある。ネットワーク保護装置400によって遮断された全ての電子パケットを評価して、ネットワーク規則要素420が、遮断パケットの伝送を特に許可する規則例えば、許可されたソースアドレス及びポート番号を有するパケット、許可された宛先アドレス及びポート番号を有するパケットなどを含むかどうかを判定してもよい。そのような一実施形態では、新しいプログラムファイルが信頼状態を有すると判定されたときに、制限規則ではなく許可規則を作成しネットワーク保護装置400にプッシュしてもよい。図8に移ると、実時間処理フロー800は、図2の規則作成モジュール250として少なくとも部分的に実施されることがあるネットワークレベル保護をするシステムの実時間実施形態のフローを示す。フローはステップ810で始まり、中央サーバ200が、ホストイベント情報例えば、ホスト300上のソフトウェアプロセス345と関連付けられたネットワークアクセス試行と関係する情報を受け取る。例示的実施形態では、ホスト300上のソフトウェアプロセス345などのソフトウェアプロセスが、ネットワークアクセスを試みるときに、イベントフィード330が、ホストイベント情報を生成し、その情報を中央サーバ200にプッシュする。ネットワークアクセス試行は、2010年7月28日に出願され参照によりあらかじめ本明細書に組み込まれたSystemandMethodforLocalProtectionAgainstMaliciousSoftwareと題する同時係属米国特許出願第12/844,892号における様々な実施形態を参照して説明された技術を含む任意の適切な技術を使用して遮断されてもよい。ネットワークアクセス試行が遮断された後で、例えばホスト300のオペレーティングシステムカーネル内に提供されたプロセストラフィックマッピング要素に照会して、ソフトウェアプロセス345と関連付けられたネットワークアクセス試行にどのプログラムファイル例えば、実行可能ファイル、ライブラリモジュール、オブジェクトファイル、他の実行可能モジュール、スクリプトファイル、インタープリタファイルなどが対応するかを判定してもよい。この例では、ネットワークアクセス試行は、実行ソフトウェアプロセス345にマッピングされ、実行ソフトウェアプロセス345のなかにロードされる実行可能ファイル及び1つ又は複数のライブラリモジュールにマッピングされることがある。これにより、中央サーバ200にプッシュされたホストイベント情報は、1つ又は複数の識別されたプログラムファイルのプログラムファイルパス、関連プログラムファイルハッシュ、ソースアドレス及びポート、並びに/又はネットワークアクセス試行の宛先アドレス及びポートを含んでもよい。ステップ810で中央サーバ200がホストイベント情報を受け取った後、フローはステップ820に進み、ネットワークアクセス試行と関連付けられたプログラムファイルの信頼性状態を取得する。プログラムファイルの信頼性状態の判定は、様々な技術を使用して行うことができ、この技術は、図9の第1の実施形態即ち、中央非信頼ソフトウェアインベントリ232を使用した信頼性状態の判定と図10の別の実施形態即ち、中央信頼キャッシュ245を使用した信頼性状態の実時間判定とで詳細に示され述べられる。ステップ820でネットワークアクセス試行と関連付けられた各プログラムファイルの信頼性状態を取得した後で、フローはステップ830に進む。これは、少なくとも部分的に中央サーバ200のプロセストラフィックマッピングモジュール260として実施されてもよい。ステップ830で、プログラムファイルのどれかが非信頼状態を有する場合は、ホストイベント情報を使用してプロセストラフィックマッピングデータベース234を設定してもよい。例えば、プログラムファイルと関連付けられた詳細なポート及びアドレス情報とプログラムファイルパス情報とが、プロセストラフィックマッピングデータベース234に追加される。次にフローはステップ835に進み、ネットワークアクセス試行と関連付けられた全てのプログラムファイルが信頼状態を有するかどうかが照会され、信頼状態を有する場合、フローは終了し、プログラムファイルと関連付けられたネットワークトラフィックのログ記録又は制限規則を作成しない。しかしながら、プログラムファイルのうちのどれかが非信頼状態を有する場合、フローはステップ845に進み、ログ記録が有効かどうかを判定する。ログ記録が有効である場合は、フローはステップ850に進み、ログ記録規則が作成され、ネットワーク規則要素420に記憶するため、ネットワーク保護装置400にプッシュされてもよい。一例では、ホストイベント情報からのソースアドレス及びポート番号並びに宛先アドレス及びポート番号を使用して、特定のネットワークイベントデータをログ記録する規則を作成してもよい。この例では、ログ記録規則は、遮断パケットがホストイベント情報と一致するソースアドレス、ソースポート、宛先アドレス及び宛先ポートを有するときに、ネットワーク保護装置400によって遮断された電子パケットと関係したネットワークトラフィックイベントデータをイベントログ430に記憶することを要求してもよい。幾つかの実施形態では、ログ記録規則を識別する規則IDは、プロセストラフィックマッピングデータベース234に記憶され、ネットワークアクセス試行と関連付けられたプログラムファイルにマッピングされてもよい。ステップ850で、ログ記録規則が作成されネットワーク保護装置400にプッシュされた後、又はステップ845でログ記録が有効でない場合、フローはステップ855に進み、取り締まりが有効かどうかが判定される。取り締まりが有効でない場合、フローは終了し、1つ又は複数の非信頼プログラムファイルと関連付けられたネットワークトラフィックの制限規則を作成しない。しかしながら、ステップ855で取り締まりが有効である場合は、ステップ860でポリシーデータベース235が照会されて、プログラムファイルの非信頼状態を覆し、プログラムファイルと関連付けられたネットワークトラフィックを許可する構成ポリシーがあるかどうかが判定されてもよい。そのようなポリシーが見つかった場合、フローは終了し、制限規則を作成しない。しかしながら、ポリシーが、プログラムファイルの非信頼状態を覆さない即ち、ポリシーが、何らかのタイプの制限規則を必要とするか、ポリシーが適用できない場合、フローはステップ870に進み、ホストイベント情報及び/又は任意の適切なポリシーを使用して1つ又は複数のネットワーク制限規則を作成し、ネットワーク保護装置400にプッシュすることができる。一例では、ホストイベント情報を使用して、ホストイベント情報からのソースアドレス及びポート並びに宛先アドレス及びポートと一致するソースアドレス及びポート並びに宛先アドレス及びポートを有するインバウンド、アウトバウンド、及び/又はローカルパケットを阻止する制限規則を作成してもよい。制限規則を作成するポリシーの使用及びネットワークレベル固有ポリシーを含むそのようなポリシーの例は、図5のバッチ処理フローに関して本明細書で前に述べた。制限規則が、ホストイベント情報及び/又は任意の適切なポリシーを使用して作成された後で、その制限規則は、ネットワーク保護装置400にプッシュされ、ネットワーク規則要素420に記憶され、次にフローは終了する。この実時間実施形態では、ネットワークアクセス試行が遮断された後、実時間処理フロー800が、必要な規則を作成しその規則をネットワーク保護装置400にプッシュための十分な時間を設けるため、ホスト300内に時間遅延が設定されてもよい。別の実施形態では、プロセストラフィックマッピングデータベース234をネットワークアクセス試行のマッピング情報で更新し、及び/又は任意の得られたログ記録又は制限規則をネットワーク保護装置400にプッシュしたことを、中央サーバ200がホスト300に肯定応答するまで、ネットワークアクセス試行はホスト300上に保持されてもよい。この肯定応答は、例えば、ホスト300上のイベントフィード330への双方向データフローによる信号によって遂行されてもよい。図9~図10に移ると、例示的なフローは、ネットワークレベル保護をするシステムの実時間処理実施形態におけるプログラムファイルの信頼性状態を判定する代替実施形態を示す。図9又は図10の例示的なステップは、少なくとも部分的に中央サーバ200のソフトウェア信頼判定モジュール240として実施されてもよく、図8の実時間処理実施形態のステップ820に対応してもよい。図9は、中央非信頼ソフトウェアインベントリ232を利用する信頼判定フロー900を示す。この実施形態では、中央非信頼ソフトウェアインベントリ232は、例えば、引用により本明細書にあらかじめ組み込まれた同時係属米国特許出願番号12/844,892号の図4~図6に関して述べたように作成され維持されてもよい。ステップ930で、中央非信頼ソフトウェアインベントリ232を検索して、ネットワークアクセス試行と関連付けられた各プログラムファイルを探す。プログラムファイルが、中央非信頼ソフトウェアインベントリ232上で識別された場合は、識別されたプログラムファイルの信頼性状態は、非信頼である。しかしながら、プログラムファイルが中央非信頼ソフトウェアインベントリ232上に識別されない場合、プログラムファイルの信頼性状態は、信頼である。プログラムファイルが評価された後で、プログラムファイルの信頼性状態が、図8のステップ820に返され、本明細書で前に述べたようにログ記録と制限規則が作成されてもよい。図10に移ると、図10は、図8のステップ820に対応し、ネットワークレベル保護をするシステムの実時間実施形態において実時間の信頼判定を行なう代替の信頼判定フロー1000を示す。中央非信頼ソフトウェアインベントリ232は、この実施形態から省略されてもよく、その代わりに、中央信頼キャッシュ245を使用して、信頼性状態判定の際のより迅速な取り出しと全体処理のために、信頼プログラムファイルの識別例えば、チェックサムを記憶してもよい。ステップ1010で始まり、ネットワークアクセス試行と関連付けられた全てのプログラムファイルが、中央信頼キャッシュ245内に見つかったかどうかの照会がされる。プログラムファイルが全て中央信頼キャッシュ245内に見つかった場合は、全てのプログラムファイルが信頼状態を有する。その結果、フローは終わり、信頼性状態が、図8のステップ820に返される。しかしながら、いずれかのプログラムファイルが、中央信頼キャッシュ245内に見つからなかった場合、フローはステップ1020に進み、図1に示されたグローバルホワイトリスト165などの1つ又は複数のグローバル又は他の外部ホワイトリスト、及び/又は図1に示された内部ホワイトリスト133などの1つ又は複数の内部ホワイトリストを検索して、中央信頼キャッシュ245内に見つからなかった各プログラムファイルを探す。プログラムファイルがホワイトリストの少なくとも1つに識別された場合は、識別されたプログラムファイルの信頼性状態が、信頼できるとして定義されるが、プログラムファイルがホワイトリストのどれにも識別されなかった場合、プログラムファイルの信頼性状態は、信頼できないと定義される。ホワイトリストが検索された後で、フローはステップ1030に進み、中央信頼キャッシュ245が、信頼性状態を有する即ち、ホワイトリストの1つで識別されたプログラムファイルのチェックサムで更新される。次に、プログラムファイルの信頼性状態を図8のステップ820に返すことができる。実時間信頼判定フロー1000は、どのホワイトリストにも見つからずその結果として非信頼状態を有するプログラムファイルを評価して、非信頼プログラムファイルを信頼状態に昇格してもよい既定条件が存在するかどうかを判定する追加のロジックを含んでもよい。そのような既定条件は、図6に関して本明細書で前に示し述べたヒューリスティックな検討事項を含んでもよい。1つ又は複数の既定条件が存在する場合は、プログラムファイルが、信頼状態に昇格されてもよい。しかしながら、プログラムファイルに適用される既定条件がない場合は、非信頼状態が持続し、プログラムファイルは、信頼できないと定義されてもよい。実時間信頼判定フロー1000は、やはり本明細書で前に述べたように、ホワイトリストに加えて、ブラックリストを評価する追加のロジック図示せずを含んでもよい。図11に移ると、図11は、ネットワークレベル保護をするシステムのバッチ処理実施形態図5~図7と実時間実施形態図8~図10との両方で使用されることがあるネットワーク保護装置400のネットワーク取り締まりフロー1100を示す。フローは、ステップ1110で始まり、ネットワーク保護装置400のフィルタ/ファイアウォール410が、ホスト300上の実行ソフトウェアプロセス345などのソフトウェアプロセスと関連付けられたネットワークトラフィックを遮断する。例示的実施形態では、TCP/IPネットワークトラフィックは、複数の電子パケットの形であってもよい。次に、フローはステップ1120に進み、ログ記録規則が遮断パケットに適用されるかどうかが照会される。これは、ネットワーク規則要素420を検索することによって判定されてもよい。ログ記録規則が適用される場合は、ステップ1130で、イベントログ430は、ネットワークトラフィックと関係したイベントデータで更新される。イベントログ430が更新された後、又はステップ1120での判定によりログ記録規則が適用されない場合、フローはステップ1140に進んで、ネットワーク制限規則が遮断パケットに適用されるかどうかが照会される。この照会は、ネットワーク規則要素420を検索することによって行われてもよい。遮断パケットのネットワーク制限規則が存在しない場合、フローはステップ1190に進み、パケットは、フィルタ/ファイアウォール410を通ってその宛先アドレスへ行くことを許可される。しかしながら、ネットワーク制限規則が遮断パケットに適用される場合、フローはステップ1180に進む。ステップ1180で、ネットワーク制限規則が、パケットに適用され、それによりパケットが制限される例えば、パケットが阻止される、パケットが別のサーバに転送される、VLANメンバシップが切り替えられる、など。図12は、ネットワークアクセス試行をログ記録するフロー1200を示す。これは、ネットワークレベル保護をするシステムのバッチ処理実施形態図5~図7及び実時間実施形態図8~図10で実現されてもよい。フローはステップ1210で始まり、ログレコードが、ネットワーク保護装置400のイベントログ430から取得される。例示的実施形態では、新しいログレコード例えば、最後の所定の日時以降にイベントログ430に追加されたログレコード、ログイベントデータベース231が最後に更新されて以降にイベントログ430に追加されたログレコード、などだけが取り出される。あるいは、全てのログレコードが取り出され処理されてもよく、全てのログレコードが取り出されもよく、フロー1200は、ログレコードのどれが新しいかを判定する追加の処理を含んでもよい。ログレコードが、ネットワーク保護装置400から取り出された後で、フローはステップ1220に進み、プロセストラフィックマッピングデータベース234から情報が取り出されてもよい。プロセストラフィックマッピングデータベース234は、プログラムファイルパスやホスト識別など、ログレコード内のネットワークトラフィックイベントデータに対応するユーザが理解可能な情報を提供してもよい。例えば、ログレコードからの宛先アドレス及びポート並びにソースアドレス及びポートは、プロセストラフィックマッピングデータベース234内の非信頼プログラムファイルパスにマッピングされてもよい。別の例では、プロセストラフィックマッピングデータベース234あるいは他の別個のデータベース又はレコード内で、非信頼プログラムファイルパスへのマッピングを見つけるためにログレコードから規則IDが使用されてもよい。ユーザが理解可能な情報が、プロセストラフィックマッピングデータベース234から取り出された後で、フローはステップ1230に進み、ログイベントデータベース231を、ログレコードからのネットワークトラフィックイベントデータ及び任意の対応するプロセストラフィックマッピング情報で更新することができる。ログイベントデータベース231に記憶されたネットワークトラフィックイベントデータ及び対応するプロセストラフィックマッピング情報の例には、プログラムファイルパス、ホストの識別、日時スタンプ、ソースアドレス及びポート番号、宛先アドレス及びポート番号などの遮断パケットと関連付けられたデータが含まれる。バッチ処理実施形態と実時間実施形態との両方の場合、フロー1200は、任意の所定の時間間隔例えば、1週間ごと、1日ごと、1時間ごとなどで動作するように構成されてもよい。フロー1200は、幾つかの実施形態では、管理保護モジュール220の一部として実施されてもよい。あるいは、バッチ処理実施形態では、フロー1200は、図5に示されたフロー500の一部として実現されてもよい。管理保護モジュール220は、例えば、管理コンソール210や他の報告機構を介して、ログイベントデータベース231内のデータへのアクセスを提供してもよい。ログイベントデータベース231内のデータは、ネットワーク保護装置400によって遮断されかつネットワーク内のホスト上の非信頼プログラムファイルと関連付けられたネットワークトラフィックに関する情報をユーザに提供することができる。本明細書で前に述べたように、そのようなネットワークトラフィックは、取り締まりが有効であり、かつ対応する制限規則が作成されネットワーク保護装置400にプッシュされたかどうかによって阻止され、その他制限されてもよいし、されなくてもよい。したがって、そのようなネットワークトラフィックに関係したイベントデータのログ記録、及びそれに続くフロー1200でのそのイベントデータの処理は、ネットワークトラフィックが阻止され、その他制限されるか否かに関わらず、行われてもよい。本明細書で概説された操作を達成するソフトウェアは、様々な場所例えば、企業IT本部、エンドユーザコンピュータ、クラウド内の分散サーバなどに提供することができる。他の実施形態では、このソフトウェアは、悪意のあるソフトウェアに対するネットワークレベル保護をするこのシステムを提供するために、例えば、別個のネットワーク、装置、サーバなどの個別のエンドユーザライセンスを購入する状況でウェブサーバから受け取られ、又はダウンロードされてもよい。1つの例示的実施態様では、このソフトウェアは、セキュリティ攻撃から保護しようとする又は、データの望ましくないか又は無許可の操作から保護された1つ又は複数のコンピュータ内に常駐する。他の例では、悪意のあるソフトウェアに対するネットワークレベル保護をするシステムのソフトウェアは、知的所有権下にある要素例えば、McAfee登録商標ApplicationControlソフトウェア、McAfee登録商標ChangeControlソフトウェア、McAfee登録商標ePolicyOrchestratorソフトウェア、McAfee登録商標PolicyAuditorソフトウェア、McAfee登録商標ArtemisTechnologyソフトウェア、McAfee登録商標HostIntrusionPreventionソフトウェア、McAfee登録商標VirusScanソフトウェアなどによるネットワークセキュリティソリューションの一部としてを含むことがあり、これらの識別された要素内又はその近くに提供されてもよく、任意の他の装置、サーバ、ネットワーク機器、コンソール、ファイアウォール、スイッチ、ルータ、情報技術IT装置、分散サーバなどの中に提供されてもよく、相補的ソリューション例えば、ファイアウォールと関連として提供されてもよく、ネットワーク内のどこかに提供されてもよい。図1に示したような例示的なローカルネットワーク110では、ホスト120、中央サーバ130、ネットワーク保護装置140及びセカンダリサーバ180は、悪意のあるソフトウェアからコンピュータネットワークを保護することを容易にするコンピュータである。本明細書で使用されるとき、用語コンピュータ及び計算装置は、パーソナルコンピュータ、ネットワーク機器、ルータ、スイッチ、ゲートウェイ、プロセッサ、サーバ、ロードバランサ、ファイアウォール、又はネットワーク環境で電子情報に影響を及ぼすか又は処理するように動作可能な他の適切な装置、構成要素、要素又は物体を包含することを意図する。更に、このコンピュータ又は計算装置は、その動作を容易にする任意の適切なハードウェア、ソフトウェア、構成要素、モジュール、インタフェース、又は物体を含んでもよい。これは、データの有効な保護及び通信を可能にする適切なアルゴリズム及び通信プロトコルを含んでもよい。特定の例示的な実施態様では、本明細書で概説した悪意のあるソフトウェアに対するネットワークレベル保護に関係するアクティビティは、ソフトウェアで実現されてもよい。これは、中央サーバ130例えば、中央保護構成要素135、ホスト120例えば、ローカル保護構成要素124、ネットワーク保護装置例えば、ネットワークレベル取り締まり構成要素145、及び/又はセカンダリサーバ180内に提供されたソフトウェアを含んでもよい。これらの構成要素、要素及び/又はモジュールは、互いに協力して、本明細書で述べたように、ボットネットなどの悪意のあるソフトウェアに対するネットワークレベル保護を提供するアクティビティを実行することができる。他の実施形態では、これらの特徴は、これらの要素の外部に提供されもよく、これらの意図された機能を達成する他の装置に含まれてもよく、任意の適切な方法で統合されてもよい。例えば、保護アクティビティは、更にホスト120内に局在化されるか中央サーバ130内に更に集中されてもよく、図示されたプロセッサの幾つかは、除去され、その他特定のシステム構成に適応するよう統合されてもよい。一般的な意味において、図1に示された機構は、その説明がより論理的であってもよいが、物理的アーキテクチャは、これらの構成要素、要素及びモジュールの様々な順列/組み合わせ/混合物を含んでもよい。これらの要素ホスト120、中央サーバ130、ネットワーク保護装置140、及び/又はセカンダリサーバ180は全て、本明細書で概説されたような信頼判定、ログ記録、取り締まり、遮断を含む保護アクティビティを達成するために、連係し、管理し、その他協力することができるソフトウェア又は、レシプロケーティングソフトウェアを含む。更に、これらの要素の1つ又は全ては、その動作を容易にする任意の適切なアルゴリズム、ハードウェア、ソフトウェア、構成要素、モジュール、インタフェース、又はオブジェクトを含んでもよい。ソフトウェアを含む実施態様において、そのような構成は、1つ又は複数の有形媒体内に符号化されたロジック例えば、特定用途向け集積回路ASIC内に提供された埋込みロジック、デジタルシグナルプロセッサDSP命令、プロセッサや他の類似の装置によって実行されるソフトウェアオブジェクトコード及びソースコードを含む可能性があるなどを含んでもよく、有形媒体は持続的媒体を含む。これらの例の幾つかでは、1つ又は複数のメモリ要素図1、図2、図3及び図4を含む様々な図に示されたようなは、本明細書に記載された操作に使用されるデータを記憶することができる。これは、本明細書に記載されたアクティビティを行うために実行されるソフトウェア、ロジック、コード又はプロセッサ命令を記憶することができるメモリ要素を含む。プロセッサは、本明細書に詳述された操作を達成するためにデータと関連付けられた任意のタイプの命令を実行することができる。一例では、プロセッサ図2、図3及び図4に示されたようなは、要素又は物品例えば、データをある状態又は物から別の状態又は物に変換することがある。別の例では、本明細書で概説されたアクティビティは、固定ロジック又はプログラマブルロジック例えば、プロセッサによって実行されるソフトウェア/コンピュータ命令で実現されてもよく、本明細書に識別された要素は、デジタルロジック、ソフトウェア、コード、電子命令、又はこれらの任意の適切な組み合わせを含む何らかのタイプのプログラマブルプロセッサ、プログラマブルデジタルロジック例えば、フィールドプログラマブルゲートアレイFPGA、消去可能なプログラマブル読み取り専用メモリEPROM、電気的に消去可能なプログラマブル読み取り専用メモリEEPROM、又はASICで実現されてもよい。これらの要素例えば、コンピュータ、サーバ、ネットワーク保護装置、ファイアウォール、分散サーバなどはどれも、本明細書に概説されたような保護アクティビティの達成に使用される情報を記憶するためのメモリ要素を含むことができる。これらの装置は、更に、情報を、必要に応じかつ特定の要求に基づいて、任意の適切なメモリ要素例えば、ランダムアクセスメモリRAM、ROM、EPROM、EEPROM、ASICなど、ソフトウェア、ハードウェア、あるいは他の適切な構成要素、装置、要素又はオブジェクト内に維持してもよい。本明細書で述べたメモリ項目例えば、ログイベントデータベース、中央非信頼ソフトウェアインベントリ、ローカル非信頼ソフトウェアインベントリ、内部ホワイトリスト、ポリシーデータベース、プロセストラフィックマッピングデータベース、中央信頼キャッシュ、ネットワーク規則要素、イベントログなどはいずれも、幅広い用語メモリ要素に包含されるように解釈されるべきである。同様に、本明細書に述べた潜在的な処理要素、モジュール及び機械はいずれも、幅広い用語プロセッサに包含されるように解釈されるべきである。また、コンピュータ、ホスト、ネットワーク保護装置、サーバ、分散サーバなどはそれぞれ、ネットワーク環境でデータ又は情報を受信し、送信し、かつ/又はその他通信するのに適切なインタフェースを含んでもよい。本明細書に提供された例では、2つ、3つ、4つ、又はこれより多くのネットワーク構成要素に関する相互作用が記述されていることに注意されたい。しかしながら、これは、明瞭さと単なる例のために行われた。悪意のあるソフトウェアに対するネットワークレベル保護をするシステムは、任意の適切な方法で統合できることを理解されたい。類似の設計選択に沿って、図の示されたコンピュータ、モジュール、構成要素及び要素はいずれも、様々な可能な構成で組み合わされてもよく、これらは全て、本明細書の広い範囲内にあることは明らかである。特定の事例では、限られた数の構成要素又はネットワーク要素だけを参照して所定の組のフローの機能の1つ又は複数について記述する方が容易なことがある。したがって、図1及びその教示のシステムが、容易に拡張可能であることを理解されたい。システムは、多数の構成要素、並びにより複雑又は高度な機構及び構成に適応することができる。したがって、提供された例は、範囲を制限せず、また様々な他のアーキテクチャに潜在的に適用されるようなネットワークレベル保護をするシステムの幅広い教示を妨げるべきではない。また、以上の図に関連して述べた操作が、悪意のあるソフトウェアに対するネットワークレベル保護をするシステムによって又はそのシステム内で実行される可能性のあるシナリオの一部だけを示すことに注意することが重要である。これらの操作の幾つかは、必要に応じて削除又は除去されてもよく、あるいはこれらの操作は、述べた概念の範囲を逸脱せずに大幅に修正又は変更されてもよい。更に、これらの操作のタイミングは、この開示に教示された結果を達成するように大幅に変更されてもよい。例えば、ホワイトリストを検索することによる信頼判定は、外部又はグローバルホワイトリストを検索する前に内部ホワイトリストを検索することによって行なわれてもよい。以上の動作フローは、例示と検討のために提示された。システムは、述べた概念の教示から逸脱することなく任意の適切な機構、時系列、構成及びタイミングが提供されるという点で、実質的な柔軟性を提供する。"