エンドポイントリソースを使用したネットワークセキュリティ要素
【課題】エンドポイントリソースを使用した効果的なネットワークセキュリティ要素を提供すること。
【解決手段】本発明の一特徴は、エンドポイントサーバにおいてネットワークへのアクセスに対するリクエストを受信するステップと、前記リクエストが未許可のリクエストを含むことを検出するステップと、前記リクエストをネットワークセキュリティ要素に誘導するステップとを有する方法に関する。
【解決手段】本発明の一特徴は、エンドポイントサーバにおいてネットワークへのアクセスに対するリクエストを受信するステップと、前記リクエストが未許可のリクエストを含むことを検出するステップと、前記リクエストをネットワークセキュリティ要素に誘導するステップとを有する方法に関する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明の実施例は、コンピュータセキュリティに関する。より詳細には、本発明の実施例は、エンドポイントリソースを使用したネットワークセキュリティ要素に関する。
【背景技術】
【０００２】
コンピュータオペレーションについて、外部者による攻撃に対抗するため、多数のネットワークセキュリティ要素が導入されてきた。例えば、許可を受けていない者がしばしば、ネットワークにおいてシステムのアクセス可能ポイントを探索することによって、ネットワークリソースにアクセスしようとする。
【０００３】
認証されていないネットワークへのエントリを解決するため考案されてきたネットワークセキュリティ要素には、動作中のコンピュータリソースから有害なトラフィックを引き離し、システムスタッフが攻撃者を解析することを可能にするため組み合わされるダークネットアナライザ（ｄａｒｋｎｅｔ ａｎａｌｙｚｅｒ）とハニーポット（ｈｏｎｅｙｐｏｔ）がある。一般に、セキュリティ要素は、許可を受けていない人が未使用のサブネット上にあり、このためアクセスされるべきでないＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスにアクセスしようとしていることを認識する。アクセスが検出されると、許可を受けていないユーザは、“ダークネット”と呼ばれるかもしれない動作中のネットワークから独立したサーバ又はシステムにガイドされるかもしれない。さらに、ネットワークセキュリティは、許可を受けていないユーザが、ユーザのアクセス方法又はネットワークに関する知識レベルを暴露することを奨励するようシステムをエミュレートしようとするかもしれず（“ハニーポットと呼ばれる）、これのより、システムアドミニストレータがネットワークセキュリティを向上させることを可能にする。
【０００４】
しかしながら、従来のシステムは動作について限定され、多くのケースにおいてネットワークをプロテクトしない。許可を受けていないユーザが十分な知識を有している場合、ユーザは、ダークネット処理をトリガーすることを回避することが可能であるかもしれない。例えば、ユーザが未割当てのＩＰアドレスや未使用のネットワークを回避することが可能である場合、ユーザは検出されないかもしれない。さらに、許可を受けていないユーザによって、ダークネット／ハニーポットの処理が検出されるかもしれず、ネットワークアドミニストレータが侵入者に関する情報を取得可能になる前に、ユーザがコンタクトを中断することが可能となる。
【発明の概要】
【発明が解決しようとする課題】
【０００５】
本発明の課題は、上記問題点を解決することである。すなわち、本発明の課題は、エンドポイントリソースを使用した効果的なネットワークセキュリティ要素を提供することである。
【課題を解決するための手段】
【０００６】
上記課題を解決するため、本発明は、エンドポイントサーバにおいてネットワークへのアクセスに対するリクエストを受信するステップと、前記リクエストが未許可のリクエストを含むことを検出するステップと、前記リクエストをネットワークセキュリティ要素に誘導するステップとを有する方法を提供する。
【０００７】
また、本発明は、ネットワークへのアクセスに対するリクエストを受信するためのインタフェースと、前記ネットワークへのアクセスに対する許可されたリクエストを検出するモジュールと、ネットワークセキュリティ要素とを有するサーバであって、当該サーバは、検出された未許可のリクエストを前記ネットワークセキュリティ要素に誘導するサーバを提供する。
【０００８】
さらに、本発明は、イーサネット（登録商標）接続のためのイーサネット（登録商標）ケーブルと、前記イーサネット（登録商標）ケーブルに接続され、当該ネットワークへのアクセスに対する未許可のリクエストを誘導するエンドポイントサーバと、前記エンドポイントサーバに接続されるネットワークセキュリティ要素と、前記ネットワークの動作から独立したセキュリティサーバとを有するネットワークであって、前記エンドポイントサーバは、当該ネットワークへのアクセスに対する検出された未許可のリクエストを前記ネットワークセキュリティ要素に送信し、前記セキュリティサーバは、前記ネットワークセキュリティ要素から前記未許可のリクエストに関するデータを受信するネットワークを提供する。
【０００９】
さらに、本発明は、マシーンによりアクセスされると、エンドポイントサーバにおいてネットワークへのアクセスに対するリクエストを受信するステップと、前記リクエストが未許可のリクエストを含むことを検出するステップと、前記リクエストをネットワークセキュリティ要素に誘導するステップとを有する処理を前記マシーンに実行させるデータを有するマシーンアクセス可能媒体から構成される生産物を提供する。
【発明の効果】
【００１０】
本発明によると、エンドポイントリソースを使用した効果的なネットワークセキュリティ要素を提供することが可能となる。
【図面の簡単な説明】
【００１１】
【図１】図１は、ネットワークへの許可されていないエントリを検出及び回避するためのネットワークセキュリティ要素の利用を示す。
【図２】図２は、分散されたネットワークセキュリティシステムの実施例を示す。
【図３】図３は、出力方向パケットモニタのためのプロセスを示す。
【図４】図４は、入力方向パケットモニタのためのプロセスを示す。
【図５】図５は、本発明の実施例を使用するコンピュータシステムを示す。
【発明を実施するための形態】
【００１２】
本発明の実施例は、エンドポイントリソースを使用したネットワークセキュリティ要素に関する。
【００１３】
ここで使用される“ダークネット（ｄａｒｋｎｅｔ）”という用語は、動作中のネットワーク要素から未許可の使用を引き離すのに使用されるネットワークサーバ又は要素を意味する。一般的な具体例では、未使用のサブネットにおいて未割当てＩＰアドレスにアクセスしようとするユーザが検出されると、ダークネットに誘導されるかもしれない。
【００１４】
“ハニーポット（ｈｏｎｅｙｐｏｔ）”という用語は、未許可のユーザへのネットワークアクセスをエミュレートするのに使用されるネットワーク要素を意味する。具体例では、未許可であると疑われるネットワークにアクセスする主体が、未許可のアクセス試行に関する情報を取得するため、ハニーポットに誘導されるかもしれない。
【００１５】
“ネットワークセキュリティ要素”という用語は、未許可のアクセスからネットワークをプロテクトするための要素を意味する。“ネットワークセキュリティ要素”という用語は、限定されるものではないが、ダークネットやハニーポットを含む。
【００１６】
本発明の実施例では、未許可のユーザに対するプロテクトを行うネットワークセキュリティ要素は、ネットワーク全体に分散されている。本発明の実施例では、ネットワークセキュリティの処理は、ネットワークエンドポイントの分散されたネットワークセキュリティ要素の利用を通じて拡大される。具体例として、ダークネット／ハニーポットに誘導される許可されたアクセスのタイプは、各ファンクションのネットワークエンドポイントへの分散を通じて拡大される。本発明の実施例では、ネットワークセキュリティ要素は、従来技術による処理に限定されず、エンドポイントリソースによりアクセス可能なレベルにおいてトラフィックを解析する。
【００１７】
ダークネットやハニーポットなどのネットワークセキュリティ要素は、企業のセキュリティ部門において極めて有用なツールとなっている。これらセキュリティ要素は、通常は中央に存在し、通常は未使用のサブネットにおけるＩＰアドレスを宛先とするトラフィックを迂回させることによって、企業ＩＰスペースの各部分の視認性を有する。しかしながら、このアプローチによる重大な問題は、使用されているネットワークにおける使用されているＩＰアドレス又は未使用のＩＰアドレスを宛先とするトラフィックがセキュリティ要素をエスケープすることによって、多くの発生を視認できないということである。このため、従来の構成は、知識のある又はスキルのある攻撃者に対処するのに有用性が低い。他のトポロジーの知識を精査又は有する前にネットワークトラフィックをモニタする攻撃者など、ＩＰスペース割当てに関する知識を有している攻撃者は、これらの検出システムを部分的又は完全に回避することが可能であり、このため、セキュリティ要素は、アクティブなネットワークにおける割り当てられたＩＰアドレスへのアクセスを制限可能な攻撃者を視認することができなくなる。
【００１８】
本発明の実施例では、ネットワークセキュリティは、エンドポイントリソースがセキュリティについて利用可能となるように、ネットワーク全体に分散される。エンドポイントリソースの利用は、ダークネットを宛先とするトラフィックにおいてさらなる詳細さを提供することによって、より多くの処理を視認可能であり、エンドポイントレベルにおける処理のエミュレーションを可能にし、これにより、エミュレーションのクオリティが向上する。ダークネット処理の分散化は、セキュリティシステムが回避することをより困難にし（アクティブなアドレスがシステムの範囲内に含まれるため）、セキュリティシステムが検出することをより困難にする（エンドポイントシステムは、動作中のシステムの処理をより密接に近似することが可能であるため）ことを可能にする。一例として、エンドポイントは、通常のシステムとしてパケットに対して同一のＴＴＬ（Ｔｉｍｅ Ｔｏ Ｌｉｖｅ）を提供することが可能である。ここで、ＴＴＬは、パケットが長時間ネットワークにあり、破棄されるべきかルータに通知するＩＰパケットにおける値である。これにより、パケット伝送におけるリモートシステムの不可避な遅延のため、リモートダークネットからの利用が不可であるレスポンスが提供される。
【００１９】
本発明の実施例では、ネットワークは、実際のホストシステムによりエミュレートされるサーバの１以上のエミュレーションを有する。例えば、ネットワークルータは、実際のシステムによりエミュレートされるように、１以上のエミュレートされるシステムと１以上の実際のホストシステムへのアクセスを提供するかもしれない。エミュレートされたシステムは、動作中のシステムの一部として考えられることが意図されるが、実際には、エンドポイントレベルにおけるエミュレーションである。
【００２０】
本発明の実施例では、ネットワークセキュリティの分散は、多くのリソースの投資なくネットワークにおいて実現可能である。例えば、ＭＥ（Ｍａｎａｇｅｍｅｎｔ Ｅｎｇｉｎｅ）における相対的に少量のエンドポイントリソースしか、ネットワークセキュリティ処理の分散化のため要求されない。さらに、何れのホストＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）の関与も不要であり、このため、分散化されたセキュリティ要素を配置及び使用するのにシンプルなものにする。本発明の実施例では、すべてのネットワークトラフィックがＭＥを通過するため、ＯＳの関与は不要となり、このため、ＯＳが悪意のあるパケットを確認する機会を有する前に、セキュリティ対策をとることができる。このため、ＯＳは露呈されず、侵入処理は完全にＭＥ装置内で保持される。
【００２１】
本発明の実施例では、エンドポイントシェル（セキュリティのため提供されたサーバのエミュレーション）は、許可を受けていないように見える特定タイプのトラフィック（“ｉｎｔｅｒｅｓｔｉｎｇ”として定義される任意のトラフィックとして参照されるかもしれない）又はこのようなトラフィックに関する統計量を中央セキュリティサーバ（ダークネット／ハニーポットサーバ）に送信する。分散されたセキュリティ要素の使用は、処理におけるこのような構成の視認性を増大させるのに使用されるかもしれない。ある実施例では、分散されたネットワークセキュリティ要素は、通常はダークネット／ハニーポットサーバにより提供されるネットワークスペースを選択的に視認する従来の処理の主要な問題を回避するのに使用されるかもしれない。
【００２２】
本発明のある実施例では、インテルコーポレイションにより製造されているＩｎｔｅｌ Ａｃｔｉｖｅ Ｍａｎａｇｅｍｅｎｔ Ｔｅｃｈｎｏｌｏｇｙ（ｉＡＭＴ）ＭＥなどのリソースが、特定のトラフィックタイプを選択的に検出し、又は特定の統計量を生成し、これらを中央ダークネット／ハニーポットにわたすため利用されるかもしれない。しかしながら、本発明の実施例は当該実施例に限定されるものでない。ある実施例では、“ｉｎｔｅｒｅｓｔｉｎｇ”ネットワークトラフィックを分類するのに使用されるエージェントは、あるタイプの信号又はデータが受信されると“トリップされる（ｔｒｉｐｐｅｄ）”要素であるサーキットブレーカ（ＣＢ）であるかもしれない。本発明の実施例では、ＭＥの拡張がハニーポットタイプのアクションを実行するのに利用されるか、又はそれを介しリモートアナライザにわたされる特定のトラフィックタイプを複製するのに利用されるかもしれない。一例では、サーバが、ＴＣＰ（Ｔｒａｎｓｐｏｒｔ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）接続を確立するためのリクエストを示すＳＹＮリクエストを受信したが、当該トラフィックがクローズドポートを宛先としている場合、サーバは、通常はＲＳＴ（Ｒｅｓｅｔ）レスポンスを送信する。本発明の実施例では、サーバのＭＥは、トラフィックがクローズドポートを宛先とするとき、ＲＳＴレスポンスの代わりにＳＹＮＡＣＫ（又はＳＹＮ／ＡＣＫ）を送信し（サーバに送信されたＳＹＮに応答した確認及び同期）、その後、以下のパケットをダークネット／ハニーポットサーバに送信するよう構成されるかもしれない。
【００２３】
本発明の実施例では、エンドポイントエージェントにおいて確立されるネットワークセキュリティ要素の処理は、検出された許可されていないネットワークトラフィックの迂回を含む。このような迂回に使用される方法は、各種実現形態により様々であり、限定されるものではないが以下を含むかもしれない。
（１）未許可のトラフィックを転送するためＩＰトンネルを開くこと。ＩＰトンネルは、ＩＰ−ｉｎ−ＩＰトンネル（“ＩＰ ｉｎ ＩＰ Ｔｕｎｎｅｌｉｎｇ”（Ｉｎｔｅｒｎｅｔ Ｎｅｔｗｏｒｋ Ｗｏｒｋｉｎｇ Ｇｒｏｕｐ ＲＦＣ １８５３，Ｏｃｔｏｂｅｒ １９９５、“ＩＰ Ｅｎｃａｐｓｕｌａｔｉｏｎ Ｗｉｔｈｉｎ ＩＰ”（Ｉｎｔｅｒｎｅｔ Ｎｅｔｗｏｒｋ Ｗｏｒｋｉｎｇ Ｇｒｏｕｐ ＲＦＣ ２００３，Ｏｃｔｏｂｅｒ １９９６に提供されるように、各種機能を有するＩＰインターネットワークの各部分の間のブリッジとして機能するエンドポイントの間で情報を転送するのに一般に使用される）又は他の同様の方法などを含む各種手段を用いて確立されるかもしれない。
（２）（パケット分類のためＩＰパケットのヘッダに設けられたフィールドを指定する）既知のＤＳＣＰ（Ｄｉｆｆｅｒｅｎｃｉａｔｅｄ Ｓｅｒｖｉｃｅｓ Ｃｏｄｅ Ｐｏｉｎｔ）の値によるトラフィックのマーキング。本例では、ネットワークインフラストラクチャは、指定された情報をダークネットにわたすため、ポリシーベースルーティング方法を利用することが可能とされる。
【００２４】
本発明の実施例では、実施例に応じて、エンドポイントエージェントは指定された基準に該当するすべてのパケット、当該トラフィックの統計的サンプリングなどの特定のパケット、又は当該トラフィックに関する統計量のみを中央ダークネット／ハニーポットコントローラにわたしてもよい。多数のステーションが分散されたエンドポイントセキュリティソリューションに参加する場合、ネットワークトラフィックの疎な統計的サンプリングでさえ、ネットワークアドミニストレータが状況を解析するのにネットワーク環境で行われているものへの十分な視認性を提供するかもしれない。
【００２５】
本発明のある実施例では、ネットワークは、ホストＯＳによる参加を知ることなく、企業セキュリティ解析エンティティとして、ｉＡＭＴをサポートするエンドポイントなどの既存のエンドポイントを利用可能である。この構成は、エンドポイント構成を複雑にせず、パフォーマンスに対する影響を最小限にするため、望ましいものである。さらに、分散されたセキュリティ構成の実施例は、ステーションアドミニストレータでなく管理団体によって直接制御される。ホストＯＳの外部の制御されたエンティティを使用することは、これらのエンティティをＩＳＰセキュリティセンサネットワーク活動全体に統合するプロセスを簡単化し、マルウェア活動の視認性において大きなギャップに接近するよう動作するかもしれない。マルウェアの予想される継続的進化によって、当該機能は完全な防御を実現するのに重要であるかもしれない。さらに、ＯＳの外部のセキュリティエンティティを設けることは、マルウェアがＯＳを改ざんすることを防ぐのに利用可能である。
【００２６】
本発明の実施例では、ダークネット及びハニーポット機能を向上させるためのプロセスが提供され、トポロジーアウェアマルウェアが監視を逃れる可能性を防ぐよう動作する。本発明の実施例では、システムはハニーポットとしてドメイン内のすべてのホストの利用を可能にする。
【００２７】
図１は、ネットワークへの未許可の又は悪意あるトラフィックエントリの検出及び／又は回避を行うためのネットワークセキュリティ要素の使用を示す。この図では、未許可又は危険なユーザ１０５が、ファイアウォール１１０などを含む各種セキュリティエージェント及び装置によりプロテクト可能なネットワーク（ユーザの外部のネットワーク１０５ａ）に入ろうとしているか、又はこのようなネットワーク（ユーザの内部のネットワーク１０５ｂ）においてすでに正当なユーザとなっている。ユーザ１０５が他のセキュリティ手段を回避することが可能である場合、ユーザは、システム上の１以上のＩＰアドレスに対する攻撃にアクセス又は生成しようと試みるかもしれない。動作中のネットワーク１２５へのアクセスを提供する又はその一部であるかもしれないシステムＩＰアドレス１１５に加えて、通常はアクセスされるべきでない未使用のＩＰアドレス１２０が存在するかもしれない。未使用のＩＰアドレスにアクセスしようとするユーザ１０５による試みは、当該活動を検出し、及び／又はユーザの方法又は意図に関する情報を未許可のユーザが漏洩するよう誘導するため、動作中のネットワークをエミュレートするダークネット／ハニーポットサーバに誘導させるかもしれない。さらに、他のネットワーク要素は、ユーザによるアクセスを制限するのに利用可能であり、それは、ダークネットにおいて導出された情報に基づいているかもしれない。
【００２８】
しかしながら、未許可のユーザは、ＩＰアドレス割当てに関する知識を取得しているかもしれず、このため、上述するように未使用のＩＰスペースへのアクセスを回避し、検出及びダークネット１３０への誘導を回避するかもしれない。さらに、ユーザ１０５がダークネットに誘導されたとしても、ダークネットの処理はそれの実際の機能を露呈するかもしれない。特に、ユーザ１０５が到達しようと試みていたローカルシステムとは対照的に、中央ダークネットサーバからのレスポンスを取得する際の遅延は、ユーザに状況を気付かせるかもしれない。ユーザ１０５が予め警告される場合、ユーザは検出を回避するため、異なる戦略を試みるかもしれない。
【００２９】
本発明の実施例では、ダークネット／ハニーポットサーバ１３０の機能は、エンドポイントの処理を利用することを介して支援される。本発明の実施例では、ダークネット及びハニーポット処理は、ローカライズされたエンドポイント機能を利用してセキュリティプロセスの向上を実現する。
【００３０】
図２は、分散されたネットワークセキュリティシステムの実施例である。図２に示されたシステムは、可能なネットワーク構成の単なる一例であり、本発明の実施例は何れか特定のネットワーク構成に限定されるものでない。図２では、ワイドエリアネットワーク（ＷＡＮ）２０５が分散されたダークネットコントローラ２１０を有している。ダークネットコントローラ２１０は、ネットワークのエンドポイントにおいて実現される分散されたセキュリティ要素のためのコントローラとして機能する。ＷＡＮ２０５は、キャンパスＡのＷＡＮルータ２１５、キャンパスＢのＷＡＮルータ２２０、・・・、キャンパスＮのＷＡＮルータ２１５を含むキャンパスのための複数のルータを有する。キャンパスＡのＷＡＮルータ２１５は、リアルホストＡ２４０、リアルホストＢ２４５及びホストＡ２４０により実際にエミュレートされるホストＣ２５０を含むローカルエリアネットワーク（ＬＡＮ）によるＬＡＮルータ２３０にデータを送信する。同様に、キャンパスＢのＷＡＮルータ２２０は、リアルホストＸ２５５、リアルホストＹ２６０及びホストＸ２５５により実際にエミュレートされるホストＺ２６５を含むローカルエリアネットワーク（ＬＡＮ）によるＬＡＮルータ２３５にデータを送信する。
【００３１】
本発明の実施例では、ネットワークのダークネット処理は、分散されたダークネットコントローラ２１０により制御され、エミュレートされるネットワークホスト要素であるホストＣ２５０とホストＺ２６５に分散される。本発明の実施例では、不適切なネットワークリクエストに対する視認性の向上が、エミュレートされたホストとリアルホストシステムの双方を通じて提供される。バーチャルなホストＣ２５０及びＺ２６５にトラフィックを誘導する試みは、ダークネットコントローラ２１０に転送又は通知される。さらに、リアルホストＡ、Ｂ、Ｘ及びＹ上の未使用ポートを宛先とするトラフィックはまた、ダークネットコントローラ２１０に転送又は通知されるかもしれない。リダイレクトされたトラフィックの移行は、ＩＰトンネリングによって、既知のＤＳＣＰによりトラフィックをマーキングすることによって、又は他の方法によって提供されるかもしれない。さらに、ホストサーバはまた、ポートがクローズされていることを特定するＲＳＴを傍受し、何れの接続が試みられているか確認するため、ＳＹＮＡＣＫを送信することが可能であり、試みられた未許可のアクセスに関する情報を識別するため、コントローラ２１０の分散されたハニーポット処理に当該リクエストをトンネリングするようにしてもよい。
【００３２】
図３は、出力方向（ｏｕｔｂｏｕｎｄ）パケットモニタのための処理を示す。図３では、出力方向パケットモニタプロセス３０５が確立されると、システムがハニーポットモードにあるか、すなわち、未許可リクエストに対するハニーポット処理が存在するモードにあるか判断される（３１０）。システムがハニーポットモードにない場合、パケットは通過され、プロセスは３１５に戻る。ハニーポットモードがアクティブ状態にある場合、ＲＳＴ状態があるか判断される（３２０）。ＲＳＴ状態がない場合、パケットは通過可能であり、プロセスは３１５に戻る。ＲＳＴ状態がある場合、未許可ユーザがより多くの情報を漏洩することを誘導しようとするため、ＳＹＮＡＣＫが送信される（３２５）。プロセスはさらに、未許可ユーザにＴＣＰセッションが確立されていることを確信させるため、ハニーポットＴＣＰシミュレーションを呼び出すことを含む。
【００３３】
図４は、入力方向（ｉｎｂｏｕｎｄ）パケットモニタのための処理を示す。本発明の実施例では、入力方向パケットモニタプロセス４０５が確立されると、未許可ユーザからの入力方向パケットがわたされる（４１０）。その後、システムがハニーポットモードにあるか判断される（４１５）。システムがハニーポットモードにない場合、プロセスは、他のパケットが受信されるまで継続される。システムがハニーポットモードにある場合、パケットに関する統計量が計算され（４２０）、その後、それは未許可のネットワークトラフィックを解析するのに利用可能である。
【００３４】
図５は、本発明の実施例を利用したコンピュータシステムを示す。コンピュータシステムは、サーバのためのエンドポイントサーバを表し、エンドポイントサーバは、ネットワークの分散されたダークネット／ハニーポット処理において使用される。本発明に関係ない標準的及び周知のコンポーネントは示されていない。本発明の実施例では、コンピュータ５００は、情報を通信するためのバス５０５又は他の通信手段と、情報を処理するためバス５０５に接続された２以上のプロセッサ５１０（第１プロセッサ５１５と第２プロセッサ５２０として示される）などの処理手段とを有する。プロセッサ５１０は、１以上の物理的プロセッサと、１以上の論理的プロセッサとを有するかもしれない。さらに、各プロセッサ５１０は、複数のプロセッサコアを有するかもしれない。コンピュータ５００は、簡単化のため１つのバス５０５により示されているが、複数のバスを有してもよく、このようなバスとのコンポーネント接続は可変的であるかもしれない。図５に示されるバス５０５は、１以上の物理的バス、ポイント・ツー・ポイント接続、又は双方が適切なブリッジ、アダプタ若しくはコントローラにより接続されるものを表す概念図である。バス５０５は、例えば、システムバス、ＰＣＩ（Ｐｅｒｉｐｈｅｒａｌ Ｃｏｍｐｏｎｅｎｔ Ｉｎｔｅｒｃｏｎｎｅｃｔ）バス、ＨｙｐｅｒＴｒａｎｓｐｏｒｔ若しくはＩＳＡ（Ｉｎｄｕｓｔｒｙ Ｓｔａｎｄａｒｄ Ａｒｃｈｉｔｅｃｔｕｒｅ）バス、ＳＣＳＩ（Ｓｍａｌｌ Ｃｏｍｐｕｔｅｒ Ｓｙｓｔｅｍ Ｉｎｔｅｒｆａｃｅ）バス、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）、ＩＩＣ（Ｉ２Ｃ）バス、“ファイアウォール”とも呼ばれるＩＥＥＥ（Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｅｌｅｃｔｒｉｃａｌ ａｎｄ Ｅｌｅｃｔｒｏｎｉｃｓ Ｅｎｇｉｎｅｅｒｓ）規格１３９４バス（“Ｓｔａｎｄａｒｄ ｆｏｒ ａ Ｈｉｇｈ Ｐｅｒｆｏｒｍａｎｃｅ Ｓｅｒｉａｌ Ｂｕｓ”１３９４−１９９５，ＩＥＥＥ，ｐｕｂｌｉｓｈｅｄ Ａｕｇｕｓｔ ３０，１９９６及び補足）を含むかもしれない。
【００３５】
コンピュータ５００はさらに、プロセッサ５１０により実行される命令及び情報を格納するため、メインメモリ５２５としてＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）又は他の動的ストレージデバイスを有する。メインメモリ５２５はまた、プロセッサ５１０による命令の実行中に、一時的な変数又は他の中間情報を格納するのに利用されるかもしれない。ＲＡＭメモリは、メモリコンテンツのリフレッシュ処理を要求するＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）と、コンテンツのリフレッシュ処理を要求しないが、コストの高いＳＲＡＭ（Ｓｔａｔｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）とを含む。ＤＲＡＭメモリは、信号を制御するためクロック信号を有するＳＤＲＡＭ（Ｓｙｎｃｈｒｏｎｏｕｓ Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）と、ＥＤＯＤＲＡＭ（Ｅｘｔｅｎｄｅｄ Ｄａｔａ−Ｏｕｔ Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）とを含むかもしれない。メインメモリの使用は、無線装置から受信した信号を格納する。コンピュータ５００はまた、プロセッサ５１０に対する命令及び静的情報を格納するため、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）５３０及び／又は他の静的ストレージデバイスを有するかもしれない。
【００３６】
データストレージ５３５がまた、情報及び命令を格納するため、コンピュータ５００のバス５０５に接続されてもよい。データストレージ５３５は、磁気ディスク若しくは光ディスク及びそれの対応するドライブ、フラッシュメモリ若しくは他の不揮発性メモリ又は他のメモリデバイスを含むかもしれない。これらの要素は、一体化されてもよいし、又は個別のコンポーネントであってもよく、コンピュータ５００の他の要素の一部を利用するものであってもよい。
【００３７】
コンピュータ５００はまた、エンドユーザに情報を表示するため、ＣＲＴ（Ｃａｔｈｏｄｅ Ｒａｙ Ｔｕｂｅ）ディスプレイ、ＬＣＤ（Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙ）、プラズマディスプレイ又は他の何れかの表示技術などの表示装置５４０にバス５０５を介し接続されるかもしれない。一部の環境では、表示装置は、入力装置の少なくとも一部として利用されるタッチ画面であってもよい。一部の環境では、表示装置５４０は、音声情報を提供するためのスピーカーなどの音声装置を含むものであってもよいし、そうでなくてもよい。入力装置５４５は、情報及び／又はコマンド選択をプロセッサ５１０に通信するため、バス５０５に接続されてもよい。各種実現形態では、入力装置５４５は、キーボード、キーパッド、タッチ画面及びスタイラス、音声起動システム、他の入力装置又は上記装置の組み合わせであるかもしれない。他のタイプのユーザ入力装置として、１以上のプロセッサ５１０に方向情報及びコマンド選択を通信し、表示装置５４０上のカーソル移動を制御するため、マウス、トラックボール、カーソル方向キーなどのカーソル制御装置５５０があげられる。
【００３８】
通信装置５５５はまた、バス５０５に接続されるかもしれない。実現形態に応じて、通信装置５５５は、トランシーバ、ワイヤレスモデム、ネットワークインタフェースカード、マザーボード上のＬＡＮ又は他のインタフェースデバイスを含むかもしれない。通信装置５５５を使用することにより、無線装置からの信号を受信する。無線通信について、通信装置５５５は１以上のアンテナ５５８を有するかもしれない。一実施例では、通信装置５５５は、不適切なアクセスからコンピュータ５００をプロテクトするためのファイアウォールを有するかもしれない。コンピュータ５００は、インターネット、ＬＡＮ又は他の環境とのリンクを含む通信装置５５５を使用して、ＬＡＮ５６５などのネットワークや他のデバイスとリンクされるかもしれない。コンピュータ５００はまた、電力を提供又は生成するため、電源、バッテリ、太陽電池、燃料電池又は他のシステム若しくはデバイスを有する電力装置又はシステム５６０を有するかもしれない。電力装置又はシステム９６０により提供される電力は、コンピュータ５００の各要素に必要に応じて分配される。
【００３９】
本発明の実施例では、コンピュータ５００は、分散されたネットワークセキュリティシステムの一部として動作する機能を含むエンドポイントサーバである。ある実施例では、プロセッサ５１０は、入力されたデータパケットを処理し、未使用アドレス又はポート番号にアクセスするためのリクエストを有するパケットなど、許可されていると予想されるパケットを検出する。ある実施例では、コンピュータは、未許可のデータトラフィックの一部若しくはすべて又は当該データトラフィックに関する統計量を、検出されたトラフィックの解析とコントローラのセキュリティ処理のため、中央ダークネットコントローラに転送する。
【００４０】
本開示を利用して、本発明の範囲内において上記記載及び図面からの他の多数の変形が可能であるということを当業者は理解するであろう。実際、本発明は、上述した詳細に限定されるものでない。本発明の範囲を規定するのは、請求項とそれに対して補正されたものである。
【００４１】
上記記載では、本発明の完全な理解を提供するため、説明上、多数の具体的詳細が提供された。しかしながら、本発明がこれら具体的詳細のいくつかを使用することなく実現可能であるということは、当業者に明らかであろう。また、周知な構成及び装置はブロック図の形式により示されている。
【００４２】
本発明は、様々なプロセスを有するかもしれない。本発明のプロセスは、ハードウェアコンポーネントにより実行されてもよく、又はプログラムされた汎用若しくは特定用途プロセッサ又は論理回路に当該プロセスを実行させるのに利用されるマシーン実行可能命令により実現されてもよい。あるいは、当該プロセスは、ハードウェアとソフトウェアの組み合わせにより実行されてもよい。
【００４３】
本発明の各部分は、本発明によるプロセスを実行するようコンピュータ（又は他の電子装置）をプログラムするのに利用可能な命令を格納したマシーン可読媒体を含むコンピュータプログラムプロダクトとして提供されるかもしれない。マシーン可読媒体は、以下に限定されるものではないが、フロッピー（登録商標）ディスケット、光ディスク、ＣＤ−ＲＯＭ（Ｃｏｍｐａｃｔ Ｄｉｓｋ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、光磁気ディスク、ＲＯＭ、ＲＡＭ、ＥＰＲＯＭ（Ｅｒａｓａｂｌｅ Ｐｒｏｇｒａｍｍａｂｌｅ ＲＯＭ）、ＥＥＰＲＯＭ（Ｅｌｅｃｔｒｉｃａｌｌｙ ＥＰＲＯＭ）、磁気若しくは光カード、フラッシュメモリ、又は電子命令を格納するのに適した他のタイプのメディア／マシーン可読媒体を含むかもしれない。さらに、本発明はまた、通信リンク（モデム又はネットワーク接続など）を介し搬送波又は他の伝搬媒体により実現されるデータ信号によって、リモートコンピュータから要求元コンピュータに伝送されるプログラムを有するコンピュータプログラムプロダクトとしてダウンロードされるかもしれない。
【００４４】
本方法の多くは、それらの最も基本的な形式により記述されているが、本発明の基本的な範囲から逸脱することなく、プロセスが何れかの方法に追加又は削除することが可能であり、また記載されたメッセージの何れかに情報を追加又は省略することが可能である。また、さらなる改良及び調整が可能であるということが当業者に明らかであろう。上記実施例は、本発明を限定するものでなく、それを例示するために提供される。本発明の範囲は、上記具体例によってではなく、請求項によってのみ決定されるべきである。
【００４５】
また、本明細書を通じて、“一実施例”又は“ある実施例”とう表現は、ある特徴が本発明の実現形態に含まれるかもしれないことを意味していることが理解されるべきである。同様に、本発明の実施例についての上記説明では、本発明の各種特徴は、本開示を簡単化し、様々な発明の特徴の１以上を理解するのに利用するため、１つの実施例、図面又はその記載に一体的にグループ化されていることが理解されるべきである。しかしながら、本開示による方法は、請求された発明が各請求項に明示的に記載されるよりも多くの特徴を必要とするという意図を反映させるものとして解釈されるべきでない。以下の請求項が反映するように、本発明の特徴は開示された１つの実施例のすべての特徴を有しないかもしれない。従って、各請求項は本発明の個別の実施例として記載されることによって、請求項は本記載に明示的に含まれる。
【符号の説明】
【００４６】
１０５ ユーザ
１２５、２０５ ネットワーク
１３０ サーバ
２１０ ダークネットコントローラ
２１５、２２０、２２５ ルータ
２４０、２４５、２５０ ホスト
５００ コンピュータ
５０５ バス
５１０ プロセッサ
５２５ メモリ
５３５ データストレージ
【技術分野】
【０００１】
本発明の実施例は、コンピュータセキュリティに関する。より詳細には、本発明の実施例は、エンドポイントリソースを使用したネットワークセキュリティ要素に関する。
【背景技術】
【０００２】
コンピュータオペレーションについて、外部者による攻撃に対抗するため、多数のネットワークセキュリティ要素が導入されてきた。例えば、許可を受けていない者がしばしば、ネットワークにおいてシステムのアクセス可能ポイントを探索することによって、ネットワークリソースにアクセスしようとする。
【０００３】
認証されていないネットワークへのエントリを解決するため考案されてきたネットワークセキュリティ要素には、動作中のコンピュータリソースから有害なトラフィックを引き離し、システムスタッフが攻撃者を解析することを可能にするため組み合わされるダークネットアナライザ（ｄａｒｋｎｅｔ ａｎａｌｙｚｅｒ）とハニーポット（ｈｏｎｅｙｐｏｔ）がある。一般に、セキュリティ要素は、許可を受けていない人が未使用のサブネット上にあり、このためアクセスされるべきでないＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスにアクセスしようとしていることを認識する。アクセスが検出されると、許可を受けていないユーザは、“ダークネット”と呼ばれるかもしれない動作中のネットワークから独立したサーバ又はシステムにガイドされるかもしれない。さらに、ネットワークセキュリティは、許可を受けていないユーザが、ユーザのアクセス方法又はネットワークに関する知識レベルを暴露することを奨励するようシステムをエミュレートしようとするかもしれず（“ハニーポットと呼ばれる）、これのより、システムアドミニストレータがネットワークセキュリティを向上させることを可能にする。
【０００４】
しかしながら、従来のシステムは動作について限定され、多くのケースにおいてネットワークをプロテクトしない。許可を受けていないユーザが十分な知識を有している場合、ユーザは、ダークネット処理をトリガーすることを回避することが可能であるかもしれない。例えば、ユーザが未割当てのＩＰアドレスや未使用のネットワークを回避することが可能である場合、ユーザは検出されないかもしれない。さらに、許可を受けていないユーザによって、ダークネット／ハニーポットの処理が検出されるかもしれず、ネットワークアドミニストレータが侵入者に関する情報を取得可能になる前に、ユーザがコンタクトを中断することが可能となる。
【発明の概要】
【発明が解決しようとする課題】
【０００５】
本発明の課題は、上記問題点を解決することである。すなわち、本発明の課題は、エンドポイントリソースを使用した効果的なネットワークセキュリティ要素を提供することである。
【課題を解決するための手段】
【０００６】
上記課題を解決するため、本発明は、エンドポイントサーバにおいてネットワークへのアクセスに対するリクエストを受信するステップと、前記リクエストが未許可のリクエストを含むことを検出するステップと、前記リクエストをネットワークセキュリティ要素に誘導するステップとを有する方法を提供する。
【０００７】
また、本発明は、ネットワークへのアクセスに対するリクエストを受信するためのインタフェースと、前記ネットワークへのアクセスに対する許可されたリクエストを検出するモジュールと、ネットワークセキュリティ要素とを有するサーバであって、当該サーバは、検出された未許可のリクエストを前記ネットワークセキュリティ要素に誘導するサーバを提供する。
【０００８】
さらに、本発明は、イーサネット（登録商標）接続のためのイーサネット（登録商標）ケーブルと、前記イーサネット（登録商標）ケーブルに接続され、当該ネットワークへのアクセスに対する未許可のリクエストを誘導するエンドポイントサーバと、前記エンドポイントサーバに接続されるネットワークセキュリティ要素と、前記ネットワークの動作から独立したセキュリティサーバとを有するネットワークであって、前記エンドポイントサーバは、当該ネットワークへのアクセスに対する検出された未許可のリクエストを前記ネットワークセキュリティ要素に送信し、前記セキュリティサーバは、前記ネットワークセキュリティ要素から前記未許可のリクエストに関するデータを受信するネットワークを提供する。
【０００９】
さらに、本発明は、マシーンによりアクセスされると、エンドポイントサーバにおいてネットワークへのアクセスに対するリクエストを受信するステップと、前記リクエストが未許可のリクエストを含むことを検出するステップと、前記リクエストをネットワークセキュリティ要素に誘導するステップとを有する処理を前記マシーンに実行させるデータを有するマシーンアクセス可能媒体から構成される生産物を提供する。
【発明の効果】
【００１０】
本発明によると、エンドポイントリソースを使用した効果的なネットワークセキュリティ要素を提供することが可能となる。
【図面の簡単な説明】
【００１１】
【図１】図１は、ネットワークへの許可されていないエントリを検出及び回避するためのネットワークセキュリティ要素の利用を示す。
【図２】図２は、分散されたネットワークセキュリティシステムの実施例を示す。
【図３】図３は、出力方向パケットモニタのためのプロセスを示す。
【図４】図４は、入力方向パケットモニタのためのプロセスを示す。
【図５】図５は、本発明の実施例を使用するコンピュータシステムを示す。
【発明を実施するための形態】
【００１２】
本発明の実施例は、エンドポイントリソースを使用したネットワークセキュリティ要素に関する。
【００１３】
ここで使用される“ダークネット（ｄａｒｋｎｅｔ）”という用語は、動作中のネットワーク要素から未許可の使用を引き離すのに使用されるネットワークサーバ又は要素を意味する。一般的な具体例では、未使用のサブネットにおいて未割当てＩＰアドレスにアクセスしようとするユーザが検出されると、ダークネットに誘導されるかもしれない。
【００１４】
“ハニーポット（ｈｏｎｅｙｐｏｔ）”という用語は、未許可のユーザへのネットワークアクセスをエミュレートするのに使用されるネットワーク要素を意味する。具体例では、未許可であると疑われるネットワークにアクセスする主体が、未許可のアクセス試行に関する情報を取得するため、ハニーポットに誘導されるかもしれない。
【００１５】
“ネットワークセキュリティ要素”という用語は、未許可のアクセスからネットワークをプロテクトするための要素を意味する。“ネットワークセキュリティ要素”という用語は、限定されるものではないが、ダークネットやハニーポットを含む。
【００１６】
本発明の実施例では、未許可のユーザに対するプロテクトを行うネットワークセキュリティ要素は、ネットワーク全体に分散されている。本発明の実施例では、ネットワークセキュリティの処理は、ネットワークエンドポイントの分散されたネットワークセキュリティ要素の利用を通じて拡大される。具体例として、ダークネット／ハニーポットに誘導される許可されたアクセスのタイプは、各ファンクションのネットワークエンドポイントへの分散を通じて拡大される。本発明の実施例では、ネットワークセキュリティ要素は、従来技術による処理に限定されず、エンドポイントリソースによりアクセス可能なレベルにおいてトラフィックを解析する。
【００１７】
ダークネットやハニーポットなどのネットワークセキュリティ要素は、企業のセキュリティ部門において極めて有用なツールとなっている。これらセキュリティ要素は、通常は中央に存在し、通常は未使用のサブネットにおけるＩＰアドレスを宛先とするトラフィックを迂回させることによって、企業ＩＰスペースの各部分の視認性を有する。しかしながら、このアプローチによる重大な問題は、使用されているネットワークにおける使用されているＩＰアドレス又は未使用のＩＰアドレスを宛先とするトラフィックがセキュリティ要素をエスケープすることによって、多くの発生を視認できないということである。このため、従来の構成は、知識のある又はスキルのある攻撃者に対処するのに有用性が低い。他のトポロジーの知識を精査又は有する前にネットワークトラフィックをモニタする攻撃者など、ＩＰスペース割当てに関する知識を有している攻撃者は、これらの検出システムを部分的又は完全に回避することが可能であり、このため、セキュリティ要素は、アクティブなネットワークにおける割り当てられたＩＰアドレスへのアクセスを制限可能な攻撃者を視認することができなくなる。
【００１８】
本発明の実施例では、ネットワークセキュリティは、エンドポイントリソースがセキュリティについて利用可能となるように、ネットワーク全体に分散される。エンドポイントリソースの利用は、ダークネットを宛先とするトラフィックにおいてさらなる詳細さを提供することによって、より多くの処理を視認可能であり、エンドポイントレベルにおける処理のエミュレーションを可能にし、これにより、エミュレーションのクオリティが向上する。ダークネット処理の分散化は、セキュリティシステムが回避することをより困難にし（アクティブなアドレスがシステムの範囲内に含まれるため）、セキュリティシステムが検出することをより困難にする（エンドポイントシステムは、動作中のシステムの処理をより密接に近似することが可能であるため）ことを可能にする。一例として、エンドポイントは、通常のシステムとしてパケットに対して同一のＴＴＬ（Ｔｉｍｅ Ｔｏ Ｌｉｖｅ）を提供することが可能である。ここで、ＴＴＬは、パケットが長時間ネットワークにあり、破棄されるべきかルータに通知するＩＰパケットにおける値である。これにより、パケット伝送におけるリモートシステムの不可避な遅延のため、リモートダークネットからの利用が不可であるレスポンスが提供される。
【００１９】
本発明の実施例では、ネットワークは、実際のホストシステムによりエミュレートされるサーバの１以上のエミュレーションを有する。例えば、ネットワークルータは、実際のシステムによりエミュレートされるように、１以上のエミュレートされるシステムと１以上の実際のホストシステムへのアクセスを提供するかもしれない。エミュレートされたシステムは、動作中のシステムの一部として考えられることが意図されるが、実際には、エンドポイントレベルにおけるエミュレーションである。
【００２０】
本発明の実施例では、ネットワークセキュリティの分散は、多くのリソースの投資なくネットワークにおいて実現可能である。例えば、ＭＥ（Ｍａｎａｇｅｍｅｎｔ Ｅｎｇｉｎｅ）における相対的に少量のエンドポイントリソースしか、ネットワークセキュリティ処理の分散化のため要求されない。さらに、何れのホストＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）の関与も不要であり、このため、分散化されたセキュリティ要素を配置及び使用するのにシンプルなものにする。本発明の実施例では、すべてのネットワークトラフィックがＭＥを通過するため、ＯＳの関与は不要となり、このため、ＯＳが悪意のあるパケットを確認する機会を有する前に、セキュリティ対策をとることができる。このため、ＯＳは露呈されず、侵入処理は完全にＭＥ装置内で保持される。
【００２１】
本発明の実施例では、エンドポイントシェル（セキュリティのため提供されたサーバのエミュレーション）は、許可を受けていないように見える特定タイプのトラフィック（“ｉｎｔｅｒｅｓｔｉｎｇ”として定義される任意のトラフィックとして参照されるかもしれない）又はこのようなトラフィックに関する統計量を中央セキュリティサーバ（ダークネット／ハニーポットサーバ）に送信する。分散されたセキュリティ要素の使用は、処理におけるこのような構成の視認性を増大させるのに使用されるかもしれない。ある実施例では、分散されたネットワークセキュリティ要素は、通常はダークネット／ハニーポットサーバにより提供されるネットワークスペースを選択的に視認する従来の処理の主要な問題を回避するのに使用されるかもしれない。
【００２２】
本発明のある実施例では、インテルコーポレイションにより製造されているＩｎｔｅｌ Ａｃｔｉｖｅ Ｍａｎａｇｅｍｅｎｔ Ｔｅｃｈｎｏｌｏｇｙ（ｉＡＭＴ）ＭＥなどのリソースが、特定のトラフィックタイプを選択的に検出し、又は特定の統計量を生成し、これらを中央ダークネット／ハニーポットにわたすため利用されるかもしれない。しかしながら、本発明の実施例は当該実施例に限定されるものでない。ある実施例では、“ｉｎｔｅｒｅｓｔｉｎｇ”ネットワークトラフィックを分類するのに使用されるエージェントは、あるタイプの信号又はデータが受信されると“トリップされる（ｔｒｉｐｐｅｄ）”要素であるサーキットブレーカ（ＣＢ）であるかもしれない。本発明の実施例では、ＭＥの拡張がハニーポットタイプのアクションを実行するのに利用されるか、又はそれを介しリモートアナライザにわたされる特定のトラフィックタイプを複製するのに利用されるかもしれない。一例では、サーバが、ＴＣＰ（Ｔｒａｎｓｐｏｒｔ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）接続を確立するためのリクエストを示すＳＹＮリクエストを受信したが、当該トラフィックがクローズドポートを宛先としている場合、サーバは、通常はＲＳＴ（Ｒｅｓｅｔ）レスポンスを送信する。本発明の実施例では、サーバのＭＥは、トラフィックがクローズドポートを宛先とするとき、ＲＳＴレスポンスの代わりにＳＹＮＡＣＫ（又はＳＹＮ／ＡＣＫ）を送信し（サーバに送信されたＳＹＮに応答した確認及び同期）、その後、以下のパケットをダークネット／ハニーポットサーバに送信するよう構成されるかもしれない。
【００２３】
本発明の実施例では、エンドポイントエージェントにおいて確立されるネットワークセキュリティ要素の処理は、検出された許可されていないネットワークトラフィックの迂回を含む。このような迂回に使用される方法は、各種実現形態により様々であり、限定されるものではないが以下を含むかもしれない。
（１）未許可のトラフィックを転送するためＩＰトンネルを開くこと。ＩＰトンネルは、ＩＰ−ｉｎ−ＩＰトンネル（“ＩＰ ｉｎ ＩＰ Ｔｕｎｎｅｌｉｎｇ”（Ｉｎｔｅｒｎｅｔ Ｎｅｔｗｏｒｋ Ｗｏｒｋｉｎｇ Ｇｒｏｕｐ ＲＦＣ １８５３，Ｏｃｔｏｂｅｒ １９９５、“ＩＰ Ｅｎｃａｐｓｕｌａｔｉｏｎ Ｗｉｔｈｉｎ ＩＰ”（Ｉｎｔｅｒｎｅｔ Ｎｅｔｗｏｒｋ Ｗｏｒｋｉｎｇ Ｇｒｏｕｐ ＲＦＣ ２００３，Ｏｃｔｏｂｅｒ １９９６に提供されるように、各種機能を有するＩＰインターネットワークの各部分の間のブリッジとして機能するエンドポイントの間で情報を転送するのに一般に使用される）又は他の同様の方法などを含む各種手段を用いて確立されるかもしれない。
（２）（パケット分類のためＩＰパケットのヘッダに設けられたフィールドを指定する）既知のＤＳＣＰ（Ｄｉｆｆｅｒｅｎｃｉａｔｅｄ Ｓｅｒｖｉｃｅｓ Ｃｏｄｅ Ｐｏｉｎｔ）の値によるトラフィックのマーキング。本例では、ネットワークインフラストラクチャは、指定された情報をダークネットにわたすため、ポリシーベースルーティング方法を利用することが可能とされる。
【００２４】
本発明の実施例では、実施例に応じて、エンドポイントエージェントは指定された基準に該当するすべてのパケット、当該トラフィックの統計的サンプリングなどの特定のパケット、又は当該トラフィックに関する統計量のみを中央ダークネット／ハニーポットコントローラにわたしてもよい。多数のステーションが分散されたエンドポイントセキュリティソリューションに参加する場合、ネットワークトラフィックの疎な統計的サンプリングでさえ、ネットワークアドミニストレータが状況を解析するのにネットワーク環境で行われているものへの十分な視認性を提供するかもしれない。
【００２５】
本発明のある実施例では、ネットワークは、ホストＯＳによる参加を知ることなく、企業セキュリティ解析エンティティとして、ｉＡＭＴをサポートするエンドポイントなどの既存のエンドポイントを利用可能である。この構成は、エンドポイント構成を複雑にせず、パフォーマンスに対する影響を最小限にするため、望ましいものである。さらに、分散されたセキュリティ構成の実施例は、ステーションアドミニストレータでなく管理団体によって直接制御される。ホストＯＳの外部の制御されたエンティティを使用することは、これらのエンティティをＩＳＰセキュリティセンサネットワーク活動全体に統合するプロセスを簡単化し、マルウェア活動の視認性において大きなギャップに接近するよう動作するかもしれない。マルウェアの予想される継続的進化によって、当該機能は完全な防御を実現するのに重要であるかもしれない。さらに、ＯＳの外部のセキュリティエンティティを設けることは、マルウェアがＯＳを改ざんすることを防ぐのに利用可能である。
【００２６】
本発明の実施例では、ダークネット及びハニーポット機能を向上させるためのプロセスが提供され、トポロジーアウェアマルウェアが監視を逃れる可能性を防ぐよう動作する。本発明の実施例では、システムはハニーポットとしてドメイン内のすべてのホストの利用を可能にする。
【００２７】
図１は、ネットワークへの未許可の又は悪意あるトラフィックエントリの検出及び／又は回避を行うためのネットワークセキュリティ要素の使用を示す。この図では、未許可又は危険なユーザ１０５が、ファイアウォール１１０などを含む各種セキュリティエージェント及び装置によりプロテクト可能なネットワーク（ユーザの外部のネットワーク１０５ａ）に入ろうとしているか、又はこのようなネットワーク（ユーザの内部のネットワーク１０５ｂ）においてすでに正当なユーザとなっている。ユーザ１０５が他のセキュリティ手段を回避することが可能である場合、ユーザは、システム上の１以上のＩＰアドレスに対する攻撃にアクセス又は生成しようと試みるかもしれない。動作中のネットワーク１２５へのアクセスを提供する又はその一部であるかもしれないシステムＩＰアドレス１１５に加えて、通常はアクセスされるべきでない未使用のＩＰアドレス１２０が存在するかもしれない。未使用のＩＰアドレスにアクセスしようとするユーザ１０５による試みは、当該活動を検出し、及び／又はユーザの方法又は意図に関する情報を未許可のユーザが漏洩するよう誘導するため、動作中のネットワークをエミュレートするダークネット／ハニーポットサーバに誘導させるかもしれない。さらに、他のネットワーク要素は、ユーザによるアクセスを制限するのに利用可能であり、それは、ダークネットにおいて導出された情報に基づいているかもしれない。
【００２８】
しかしながら、未許可のユーザは、ＩＰアドレス割当てに関する知識を取得しているかもしれず、このため、上述するように未使用のＩＰスペースへのアクセスを回避し、検出及びダークネット１３０への誘導を回避するかもしれない。さらに、ユーザ１０５がダークネットに誘導されたとしても、ダークネットの処理はそれの実際の機能を露呈するかもしれない。特に、ユーザ１０５が到達しようと試みていたローカルシステムとは対照的に、中央ダークネットサーバからのレスポンスを取得する際の遅延は、ユーザに状況を気付かせるかもしれない。ユーザ１０５が予め警告される場合、ユーザは検出を回避するため、異なる戦略を試みるかもしれない。
【００２９】
本発明の実施例では、ダークネット／ハニーポットサーバ１３０の機能は、エンドポイントの処理を利用することを介して支援される。本発明の実施例では、ダークネット及びハニーポット処理は、ローカライズされたエンドポイント機能を利用してセキュリティプロセスの向上を実現する。
【００３０】
図２は、分散されたネットワークセキュリティシステムの実施例である。図２に示されたシステムは、可能なネットワーク構成の単なる一例であり、本発明の実施例は何れか特定のネットワーク構成に限定されるものでない。図２では、ワイドエリアネットワーク（ＷＡＮ）２０５が分散されたダークネットコントローラ２１０を有している。ダークネットコントローラ２１０は、ネットワークのエンドポイントにおいて実現される分散されたセキュリティ要素のためのコントローラとして機能する。ＷＡＮ２０５は、キャンパスＡのＷＡＮルータ２１５、キャンパスＢのＷＡＮルータ２２０、・・・、キャンパスＮのＷＡＮルータ２１５を含むキャンパスのための複数のルータを有する。キャンパスＡのＷＡＮルータ２１５は、リアルホストＡ２４０、リアルホストＢ２４５及びホストＡ２４０により実際にエミュレートされるホストＣ２５０を含むローカルエリアネットワーク（ＬＡＮ）によるＬＡＮルータ２３０にデータを送信する。同様に、キャンパスＢのＷＡＮルータ２２０は、リアルホストＸ２５５、リアルホストＹ２６０及びホストＸ２５５により実際にエミュレートされるホストＺ２６５を含むローカルエリアネットワーク（ＬＡＮ）によるＬＡＮルータ２３５にデータを送信する。
【００３１】
本発明の実施例では、ネットワークのダークネット処理は、分散されたダークネットコントローラ２１０により制御され、エミュレートされるネットワークホスト要素であるホストＣ２５０とホストＺ２６５に分散される。本発明の実施例では、不適切なネットワークリクエストに対する視認性の向上が、エミュレートされたホストとリアルホストシステムの双方を通じて提供される。バーチャルなホストＣ２５０及びＺ２６５にトラフィックを誘導する試みは、ダークネットコントローラ２１０に転送又は通知される。さらに、リアルホストＡ、Ｂ、Ｘ及びＹ上の未使用ポートを宛先とするトラフィックはまた、ダークネットコントローラ２１０に転送又は通知されるかもしれない。リダイレクトされたトラフィックの移行は、ＩＰトンネリングによって、既知のＤＳＣＰによりトラフィックをマーキングすることによって、又は他の方法によって提供されるかもしれない。さらに、ホストサーバはまた、ポートがクローズされていることを特定するＲＳＴを傍受し、何れの接続が試みられているか確認するため、ＳＹＮＡＣＫを送信することが可能であり、試みられた未許可のアクセスに関する情報を識別するため、コントローラ２１０の分散されたハニーポット処理に当該リクエストをトンネリングするようにしてもよい。
【００３２】
図３は、出力方向（ｏｕｔｂｏｕｎｄ）パケットモニタのための処理を示す。図３では、出力方向パケットモニタプロセス３０５が確立されると、システムがハニーポットモードにあるか、すなわち、未許可リクエストに対するハニーポット処理が存在するモードにあるか判断される（３１０）。システムがハニーポットモードにない場合、パケットは通過され、プロセスは３１５に戻る。ハニーポットモードがアクティブ状態にある場合、ＲＳＴ状態があるか判断される（３２０）。ＲＳＴ状態がない場合、パケットは通過可能であり、プロセスは３１５に戻る。ＲＳＴ状態がある場合、未許可ユーザがより多くの情報を漏洩することを誘導しようとするため、ＳＹＮＡＣＫが送信される（３２５）。プロセスはさらに、未許可ユーザにＴＣＰセッションが確立されていることを確信させるため、ハニーポットＴＣＰシミュレーションを呼び出すことを含む。
【００３３】
図４は、入力方向（ｉｎｂｏｕｎｄ）パケットモニタのための処理を示す。本発明の実施例では、入力方向パケットモニタプロセス４０５が確立されると、未許可ユーザからの入力方向パケットがわたされる（４１０）。その後、システムがハニーポットモードにあるか判断される（４１５）。システムがハニーポットモードにない場合、プロセスは、他のパケットが受信されるまで継続される。システムがハニーポットモードにある場合、パケットに関する統計量が計算され（４２０）、その後、それは未許可のネットワークトラフィックを解析するのに利用可能である。
【００３４】
図５は、本発明の実施例を利用したコンピュータシステムを示す。コンピュータシステムは、サーバのためのエンドポイントサーバを表し、エンドポイントサーバは、ネットワークの分散されたダークネット／ハニーポット処理において使用される。本発明に関係ない標準的及び周知のコンポーネントは示されていない。本発明の実施例では、コンピュータ５００は、情報を通信するためのバス５０５又は他の通信手段と、情報を処理するためバス５０５に接続された２以上のプロセッサ５１０（第１プロセッサ５１５と第２プロセッサ５２０として示される）などの処理手段とを有する。プロセッサ５１０は、１以上の物理的プロセッサと、１以上の論理的プロセッサとを有するかもしれない。さらに、各プロセッサ５１０は、複数のプロセッサコアを有するかもしれない。コンピュータ５００は、簡単化のため１つのバス５０５により示されているが、複数のバスを有してもよく、このようなバスとのコンポーネント接続は可変的であるかもしれない。図５に示されるバス５０５は、１以上の物理的バス、ポイント・ツー・ポイント接続、又は双方が適切なブリッジ、アダプタ若しくはコントローラにより接続されるものを表す概念図である。バス５０５は、例えば、システムバス、ＰＣＩ（Ｐｅｒｉｐｈｅｒａｌ Ｃｏｍｐｏｎｅｎｔ Ｉｎｔｅｒｃｏｎｎｅｃｔ）バス、ＨｙｐｅｒＴｒａｎｓｐｏｒｔ若しくはＩＳＡ（Ｉｎｄｕｓｔｒｙ Ｓｔａｎｄａｒｄ Ａｒｃｈｉｔｅｃｔｕｒｅ）バス、ＳＣＳＩ（Ｓｍａｌｌ Ｃｏｍｐｕｔｅｒ Ｓｙｓｔｅｍ Ｉｎｔｅｒｆａｃｅ）バス、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）、ＩＩＣ（Ｉ２Ｃ）バス、“ファイアウォール”とも呼ばれるＩＥＥＥ（Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｅｌｅｃｔｒｉｃａｌ ａｎｄ Ｅｌｅｃｔｒｏｎｉｃｓ Ｅｎｇｉｎｅｅｒｓ）規格１３９４バス（“Ｓｔａｎｄａｒｄ ｆｏｒ ａ Ｈｉｇｈ Ｐｅｒｆｏｒｍａｎｃｅ Ｓｅｒｉａｌ Ｂｕｓ”１３９４−１９９５，ＩＥＥＥ，ｐｕｂｌｉｓｈｅｄ Ａｕｇｕｓｔ ３０，１９９６及び補足）を含むかもしれない。
【００３５】
コンピュータ５００はさらに、プロセッサ５１０により実行される命令及び情報を格納するため、メインメモリ５２５としてＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）又は他の動的ストレージデバイスを有する。メインメモリ５２５はまた、プロセッサ５１０による命令の実行中に、一時的な変数又は他の中間情報を格納するのに利用されるかもしれない。ＲＡＭメモリは、メモリコンテンツのリフレッシュ処理を要求するＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）と、コンテンツのリフレッシュ処理を要求しないが、コストの高いＳＲＡＭ（Ｓｔａｔｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）とを含む。ＤＲＡＭメモリは、信号を制御するためクロック信号を有するＳＤＲＡＭ（Ｓｙｎｃｈｒｏｎｏｕｓ Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）と、ＥＤＯＤＲＡＭ（Ｅｘｔｅｎｄｅｄ Ｄａｔａ−Ｏｕｔ Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）とを含むかもしれない。メインメモリの使用は、無線装置から受信した信号を格納する。コンピュータ５００はまた、プロセッサ５１０に対する命令及び静的情報を格納するため、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）５３０及び／又は他の静的ストレージデバイスを有するかもしれない。
【００３６】
データストレージ５３５がまた、情報及び命令を格納するため、コンピュータ５００のバス５０５に接続されてもよい。データストレージ５３５は、磁気ディスク若しくは光ディスク及びそれの対応するドライブ、フラッシュメモリ若しくは他の不揮発性メモリ又は他のメモリデバイスを含むかもしれない。これらの要素は、一体化されてもよいし、又は個別のコンポーネントであってもよく、コンピュータ５００の他の要素の一部を利用するものであってもよい。
【００３７】
コンピュータ５００はまた、エンドユーザに情報を表示するため、ＣＲＴ（Ｃａｔｈｏｄｅ Ｒａｙ Ｔｕｂｅ）ディスプレイ、ＬＣＤ（Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙ）、プラズマディスプレイ又は他の何れかの表示技術などの表示装置５４０にバス５０５を介し接続されるかもしれない。一部の環境では、表示装置は、入力装置の少なくとも一部として利用されるタッチ画面であってもよい。一部の環境では、表示装置５４０は、音声情報を提供するためのスピーカーなどの音声装置を含むものであってもよいし、そうでなくてもよい。入力装置５４５は、情報及び／又はコマンド選択をプロセッサ５１０に通信するため、バス５０５に接続されてもよい。各種実現形態では、入力装置５４５は、キーボード、キーパッド、タッチ画面及びスタイラス、音声起動システム、他の入力装置又は上記装置の組み合わせであるかもしれない。他のタイプのユーザ入力装置として、１以上のプロセッサ５１０に方向情報及びコマンド選択を通信し、表示装置５４０上のカーソル移動を制御するため、マウス、トラックボール、カーソル方向キーなどのカーソル制御装置５５０があげられる。
【００３８】
通信装置５５５はまた、バス５０５に接続されるかもしれない。実現形態に応じて、通信装置５５５は、トランシーバ、ワイヤレスモデム、ネットワークインタフェースカード、マザーボード上のＬＡＮ又は他のインタフェースデバイスを含むかもしれない。通信装置５５５を使用することにより、無線装置からの信号を受信する。無線通信について、通信装置５５５は１以上のアンテナ５５８を有するかもしれない。一実施例では、通信装置５５５は、不適切なアクセスからコンピュータ５００をプロテクトするためのファイアウォールを有するかもしれない。コンピュータ５００は、インターネット、ＬＡＮ又は他の環境とのリンクを含む通信装置５５５を使用して、ＬＡＮ５６５などのネットワークや他のデバイスとリンクされるかもしれない。コンピュータ５００はまた、電力を提供又は生成するため、電源、バッテリ、太陽電池、燃料電池又は他のシステム若しくはデバイスを有する電力装置又はシステム５６０を有するかもしれない。電力装置又はシステム９６０により提供される電力は、コンピュータ５００の各要素に必要に応じて分配される。
【００３９】
本発明の実施例では、コンピュータ５００は、分散されたネットワークセキュリティシステムの一部として動作する機能を含むエンドポイントサーバである。ある実施例では、プロセッサ５１０は、入力されたデータパケットを処理し、未使用アドレス又はポート番号にアクセスするためのリクエストを有するパケットなど、許可されていると予想されるパケットを検出する。ある実施例では、コンピュータは、未許可のデータトラフィックの一部若しくはすべて又は当該データトラフィックに関する統計量を、検出されたトラフィックの解析とコントローラのセキュリティ処理のため、中央ダークネットコントローラに転送する。
【００４０】
本開示を利用して、本発明の範囲内において上記記載及び図面からの他の多数の変形が可能であるということを当業者は理解するであろう。実際、本発明は、上述した詳細に限定されるものでない。本発明の範囲を規定するのは、請求項とそれに対して補正されたものである。
【００４１】
上記記載では、本発明の完全な理解を提供するため、説明上、多数の具体的詳細が提供された。しかしながら、本発明がこれら具体的詳細のいくつかを使用することなく実現可能であるということは、当業者に明らかであろう。また、周知な構成及び装置はブロック図の形式により示されている。
【００４２】
本発明は、様々なプロセスを有するかもしれない。本発明のプロセスは、ハードウェアコンポーネントにより実行されてもよく、又はプログラムされた汎用若しくは特定用途プロセッサ又は論理回路に当該プロセスを実行させるのに利用されるマシーン実行可能命令により実現されてもよい。あるいは、当該プロセスは、ハードウェアとソフトウェアの組み合わせにより実行されてもよい。
【００４３】
本発明の各部分は、本発明によるプロセスを実行するようコンピュータ（又は他の電子装置）をプログラムするのに利用可能な命令を格納したマシーン可読媒体を含むコンピュータプログラムプロダクトとして提供されるかもしれない。マシーン可読媒体は、以下に限定されるものではないが、フロッピー（登録商標）ディスケット、光ディスク、ＣＤ−ＲＯＭ（Ｃｏｍｐａｃｔ Ｄｉｓｋ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、光磁気ディスク、ＲＯＭ、ＲＡＭ、ＥＰＲＯＭ（Ｅｒａｓａｂｌｅ Ｐｒｏｇｒａｍｍａｂｌｅ ＲＯＭ）、ＥＥＰＲＯＭ（Ｅｌｅｃｔｒｉｃａｌｌｙ ＥＰＲＯＭ）、磁気若しくは光カード、フラッシュメモリ、又は電子命令を格納するのに適した他のタイプのメディア／マシーン可読媒体を含むかもしれない。さらに、本発明はまた、通信リンク（モデム又はネットワーク接続など）を介し搬送波又は他の伝搬媒体により実現されるデータ信号によって、リモートコンピュータから要求元コンピュータに伝送されるプログラムを有するコンピュータプログラムプロダクトとしてダウンロードされるかもしれない。
【００４４】
本方法の多くは、それらの最も基本的な形式により記述されているが、本発明の基本的な範囲から逸脱することなく、プロセスが何れかの方法に追加又は削除することが可能であり、また記載されたメッセージの何れかに情報を追加又は省略することが可能である。また、さらなる改良及び調整が可能であるということが当業者に明らかであろう。上記実施例は、本発明を限定するものでなく、それを例示するために提供される。本発明の範囲は、上記具体例によってではなく、請求項によってのみ決定されるべきである。
【００４５】
また、本明細書を通じて、“一実施例”又は“ある実施例”とう表現は、ある特徴が本発明の実現形態に含まれるかもしれないことを意味していることが理解されるべきである。同様に、本発明の実施例についての上記説明では、本発明の各種特徴は、本開示を簡単化し、様々な発明の特徴の１以上を理解するのに利用するため、１つの実施例、図面又はその記載に一体的にグループ化されていることが理解されるべきである。しかしながら、本開示による方法は、請求された発明が各請求項に明示的に記載されるよりも多くの特徴を必要とするという意図を反映させるものとして解釈されるべきでない。以下の請求項が反映するように、本発明の特徴は開示された１つの実施例のすべての特徴を有しないかもしれない。従って、各請求項は本発明の個別の実施例として記載されることによって、請求項は本記載に明示的に含まれる。
【符号の説明】
【００４６】
１０５ ユーザ
１２５、２０５ ネットワーク
１３０ サーバ
２１０ ダークネットコントローラ
２１５、２２０、２２５ ルータ
２４０、２４５、２５０ ホスト
５００ コンピュータ
５０５ バス
５１０ プロセッサ
５２５ メモリ
５３５ データストレージ
【特許請求の範囲】
【請求項１】
コンピュータネットワークのためのハニーポット処理を提供する分散ネットワークセキュリティシステムのための方法であって、
各エンドポイントサーバは、エンドポイントネットワークセキュリティ要素を有し、
各エンドポイントネットワークセキュリティ要素は、前記分散ネットワークセキュリティシステムの一部であり、
当該方法は、
第１エンドポイントネットワークセキュリティ要素を有する第１エンドポイントサーバが、ネットワークへのアクセスに対するリクエストを送信機から受信するステップと、
前記ネットワークへのアクセスに対するリクエストが未許可のリクエストを含むことを検出するステップと、
前記第１エンドポイントサーバにより受信される未許可のリクエストを処理するためにサーバをエミュレートするよう実行可能な前記第１エンドポイントサーバの第１エンドポイントネットワークセキュリティ要素に前記未許可のリクエストを提供するステップと、
前記第１エンドポイントネットワークセキュリティ要素が、前記第１エンドポイントネットワークセキュリティ要素から前記リクエストの送信機に送信される、前記未許可のリクエストに対するアクノリッジメントを生成するステップと、
前記第１エンドポイントネットワークセキュリティ要素が、前記未許可のリクエストを記述した統計量を生成し、前記統計量を前記ネットワークの中央セキュリティサーバに転送するステップと、
を有し、
前記中央セキュリティサーバは、前記エンドポイントサーバのエンドポイントネットワークセキュリティ要素を含む前記分散ネットワークセキュリティシステムの処理のためのコントローラとして動作する方法。
【請求項２】
前記中央セキュリティサーバが、前記第１エンドポイントネットワークセキュリティ要素により生成された統計量に基づき、前記未許可のリクエストを含む未許可のネットワークトラフィックを解析するステップをさらに有する、請求項１記載の方法。
【請求項３】
前記アクノリッジメントを生成するステップは、リセット状態が存在することを決定し、リセットレスポンスの代わりにアクノリッジメントを送信することを含む、請求項１記載の方法。
【請求項４】
前記リクエストは、アクティブなネットワークアドレスにアドレス指定され、
前記未許可のリクエストは、アクティブなアドレスの未使用要素に関し、
前記未使用要素は、アクティブなＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスの未使用ポートである、請求項３記載の方法。
【請求項５】
前記第１エンドポイントネットワークセキュリティ要素は、前記エンドポイントサーバのオペレーティングシステムを使用することなく動作する、請求項１記載の方法。
【請求項６】
各エンドポイントネットワークセキュリティ要素は、各自のエンドポイントサーバに提供される未許可のリクエストのダークネット又はハニーポットを提供する、請求項１記載の方法。
【請求項７】
前記送信機に送信されるアクノリッジメントは、前記第１エンドポイントネットワークセキュリティ要素により生成されるＴＴＬ（Ｔｉｍｅ Ｔｏ Ｌｉｖｅ）値を含む、請求項１記載の方法。
【請求項８】
分散ネットワークセキュリティシステムを有するネットワークにおけるエンドポイントサーバであって、
前記ネットワークへのアクセスに対するリクエストを受信するためのインタフェースと、
メモリ内の命令を実行する１以上のプロセッサと、
を有し、
前記プロセッサは、
前記ネットワークへのアクセスに対する未許可のリクエストを検出するモジュールと、
前記検出された未許可のリクエストをエンドポイントネットワークセキュリティ要素に提供するエンドポイントネットワークセキュリティ要素と、
を有し、
前記検出された未許可のリクエストは、アクティブなＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスの未使用ポートであるアクティブなネットワークアドレスの未使用要素に対するリクエストを含み、
前記エンドポイントネットワークセキュリティ要素は、前記分散ネットワークセキュリティシステムの一部であって、前記ネットワーク上のサーバのエミュレーションを提供するよう動作可能であり、さらに前記未許可のリクエストの受信をアクノリッジするレスポンスを生成し、前記未許可のリクエストの送信機に提供よう動作可能であり、
前記エンドポイントネットワークセキュリティ要素は、前記未許可のリクエストを記述した統計量を生成し、前記統計量を前記分散ネットワークセキュリティシステムのエンドポイントネットワークセキュリティ要素のコントローラとして機能する中央ダークネットサーバに転送するエンドポイントサーバ。
【請求項９】
前記中央ダークネットサーバは、前記エンドポイントネットワークセキュリティ要素によって生成される統計量に基づき、前記分散ネットワークセキュリティシステムにおいて検出された未許可のネットワークトラフィックを解析する、請求項８記載のエンドポイントサーバ。
【請求項１０】
前記エンドポイントネットワークセキュリティ要素は、当該エンドポイントサーバの１以上のプロセッサのための管理エンジンを含む、請求項８記載のエンドポイントサーバ。
【請求項１１】
前記検出された未許可のリクエストは、ＴＣＰ（Ｔｒａｎｓｐｏｒｔ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）接続を確立するためのリクエストを有し、
前記エンドポイントネットワークセキュリティ要素により前記送信機に提供されるリクエストに対するレスポンスは、アクノリッジメント及び同期（ＳＹＮＡＣＫ）レスポンスである、請求項８記載のエンドポイントサーバ。
【請求項１２】
前記エンドポイントネットワークセキュリティ要素は、当該エンドポイントサーバのオペレーティングシステムの関与なく動作する、請求項８記載のエンドポイントサーバ。
【請求項１３】
ネットワークのための分散ネットワークセキュリティシステムであって、
エンドポイントサーバへのアクセスを提供するルータと、
前記ルータに接続される１以上のエンドポイントサーバと、
前記ネットワークの動作から独立した当該分散ネットワークセキュリティシステムのための中央セキュリティサーバと、
を有し、
前記１以上のエンドポイントサーバのそれぞれは、前記分散ネットワークセキュリティシステムのエンドポイントネットワークセキュリティ要素を有し、第１エンドポイントネットワークセキュリティ要素を含む第１エンドポイントサーバを含み、
前記第１エンドポイントネットワークセキュリティ要素は、未許可のリクエストを処理するために前記ルータに接続されるサーバのエミュレーションを生成するよう動作可能であり、前記ネットワークへのアクセスに対する未許可のリクエストを検出し、
前記第１エンドポイントサーバは、前記検出された未許可のリクエストを、前記第１エンドポイントサーバの第１エンドポイントネットワークセキュリティ要素に提供し、
前記第１エンドポイントネットワークセキュリティ要素は、受信した各未許可のリクエストのレスポンスを生成し、送信機に送信し、前記検出された未許可のリクエストに関する統計量を中央処理のために転送するよう動作可能であり、
前記中央セキュリティサーバは、前記分散ネットワークセキュリティシステムのエンドポイントネットワークセキュリティ要素のためのコントローラとして動作する分散ネットワークセキュリティシステム。
【請求項１４】
前記中央セキュリティサーバは、前記第１エンドポイントネットワークセキュリティ要素と当該分散ネットワークセキュリティシステムの他のエンドポイントネットワークセキュリティ要素とから前記未許可のリクエストに関するデータを受信し、前記ネットワークの未許可のネットワークトラフィックを解析するために前記受信したデータを処理するよう動作可能である、請求項１３記載の分散ネットワークセキュリティシステム。
【請求項１５】
前記第１エンドポイントネットワークセキュリティ要素による前記リクエストに対するアクノリッジメントの生成は、リセット状態が存在すると決定し、リセットレスポンスの代わりにアクノリッジメントを送信することを含む、請求項１３記載の分散ネットワークセキュリティシステム。
【請求項１６】
前記第１エンドポイントサーバは、アクティブなネットワークアドレスの未使用要素に提供された未許可のリクエストを検出するよう動作可能であり、
前記未使用要素は、アクティブなＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスの未使用ポートである、請求項１３記載の分散ネットワークセキュリティシステム。
【請求項１７】
前記第１エンドポイントネットワークセキュリティ要素は、前記第１エンドポイントサーバのプロセッサのための管理エンジンを有する、請求項１３記載の分散ネットワークセキュリティシステム。
【請求項１８】
前記第１エンドポイントネットワークセキュリティ要素は、前記未許可のリクエストに関する統計量を前記中央セキュリティサーバに転送するため、前記第１エンドポイントネットワークセキュリティ要素と前記中央セキュリティサーバとの間のＩＰトンネルを開設するよう動作可能である、請求項１３記載の分散ネットワークセキュリティシステム。
【請求項１】
コンピュータネットワークのためのハニーポット処理を提供する分散ネットワークセキュリティシステムのための方法であって、
各エンドポイントサーバは、エンドポイントネットワークセキュリティ要素を有し、
各エンドポイントネットワークセキュリティ要素は、前記分散ネットワークセキュリティシステムの一部であり、
当該方法は、
第１エンドポイントネットワークセキュリティ要素を有する第１エンドポイントサーバが、ネットワークへのアクセスに対するリクエストを送信機から受信するステップと、
前記ネットワークへのアクセスに対するリクエストが未許可のリクエストを含むことを検出するステップと、
前記第１エンドポイントサーバにより受信される未許可のリクエストを処理するためにサーバをエミュレートするよう実行可能な前記第１エンドポイントサーバの第１エンドポイントネットワークセキュリティ要素に前記未許可のリクエストを提供するステップと、
前記第１エンドポイントネットワークセキュリティ要素が、前記第１エンドポイントネットワークセキュリティ要素から前記リクエストの送信機に送信される、前記未許可のリクエストに対するアクノリッジメントを生成するステップと、
前記第１エンドポイントネットワークセキュリティ要素が、前記未許可のリクエストを記述した統計量を生成し、前記統計量を前記ネットワークの中央セキュリティサーバに転送するステップと、
を有し、
前記中央セキュリティサーバは、前記エンドポイントサーバのエンドポイントネットワークセキュリティ要素を含む前記分散ネットワークセキュリティシステムの処理のためのコントローラとして動作する方法。
【請求項２】
前記中央セキュリティサーバが、前記第１エンドポイントネットワークセキュリティ要素により生成された統計量に基づき、前記未許可のリクエストを含む未許可のネットワークトラフィックを解析するステップをさらに有する、請求項１記載の方法。
【請求項３】
前記アクノリッジメントを生成するステップは、リセット状態が存在することを決定し、リセットレスポンスの代わりにアクノリッジメントを送信することを含む、請求項１記載の方法。
【請求項４】
前記リクエストは、アクティブなネットワークアドレスにアドレス指定され、
前記未許可のリクエストは、アクティブなアドレスの未使用要素に関し、
前記未使用要素は、アクティブなＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスの未使用ポートである、請求項３記載の方法。
【請求項５】
前記第１エンドポイントネットワークセキュリティ要素は、前記エンドポイントサーバのオペレーティングシステムを使用することなく動作する、請求項１記載の方法。
【請求項６】
各エンドポイントネットワークセキュリティ要素は、各自のエンドポイントサーバに提供される未許可のリクエストのダークネット又はハニーポットを提供する、請求項１記載の方法。
【請求項７】
前記送信機に送信されるアクノリッジメントは、前記第１エンドポイントネットワークセキュリティ要素により生成されるＴＴＬ（Ｔｉｍｅ Ｔｏ Ｌｉｖｅ）値を含む、請求項１記載の方法。
【請求項８】
分散ネットワークセキュリティシステムを有するネットワークにおけるエンドポイントサーバであって、
前記ネットワークへのアクセスに対するリクエストを受信するためのインタフェースと、
メモリ内の命令を実行する１以上のプロセッサと、
を有し、
前記プロセッサは、
前記ネットワークへのアクセスに対する未許可のリクエストを検出するモジュールと、
前記検出された未許可のリクエストをエンドポイントネットワークセキュリティ要素に提供するエンドポイントネットワークセキュリティ要素と、
を有し、
前記検出された未許可のリクエストは、アクティブなＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスの未使用ポートであるアクティブなネットワークアドレスの未使用要素に対するリクエストを含み、
前記エンドポイントネットワークセキュリティ要素は、前記分散ネットワークセキュリティシステムの一部であって、前記ネットワーク上のサーバのエミュレーションを提供するよう動作可能であり、さらに前記未許可のリクエストの受信をアクノリッジするレスポンスを生成し、前記未許可のリクエストの送信機に提供よう動作可能であり、
前記エンドポイントネットワークセキュリティ要素は、前記未許可のリクエストを記述した統計量を生成し、前記統計量を前記分散ネットワークセキュリティシステムのエンドポイントネットワークセキュリティ要素のコントローラとして機能する中央ダークネットサーバに転送するエンドポイントサーバ。
【請求項９】
前記中央ダークネットサーバは、前記エンドポイントネットワークセキュリティ要素によって生成される統計量に基づき、前記分散ネットワークセキュリティシステムにおいて検出された未許可のネットワークトラフィックを解析する、請求項８記載のエンドポイントサーバ。
【請求項１０】
前記エンドポイントネットワークセキュリティ要素は、当該エンドポイントサーバの１以上のプロセッサのための管理エンジンを含む、請求項８記載のエンドポイントサーバ。
【請求項１１】
前記検出された未許可のリクエストは、ＴＣＰ（Ｔｒａｎｓｐｏｒｔ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）接続を確立するためのリクエストを有し、
前記エンドポイントネットワークセキュリティ要素により前記送信機に提供されるリクエストに対するレスポンスは、アクノリッジメント及び同期（ＳＹＮＡＣＫ）レスポンスである、請求項８記載のエンドポイントサーバ。
【請求項１２】
前記エンドポイントネットワークセキュリティ要素は、当該エンドポイントサーバのオペレーティングシステムの関与なく動作する、請求項８記載のエンドポイントサーバ。
【請求項１３】
ネットワークのための分散ネットワークセキュリティシステムであって、
エンドポイントサーバへのアクセスを提供するルータと、
前記ルータに接続される１以上のエンドポイントサーバと、
前記ネットワークの動作から独立した当該分散ネットワークセキュリティシステムのための中央セキュリティサーバと、
を有し、
前記１以上のエンドポイントサーバのそれぞれは、前記分散ネットワークセキュリティシステムのエンドポイントネットワークセキュリティ要素を有し、第１エンドポイントネットワークセキュリティ要素を含む第１エンドポイントサーバを含み、
前記第１エンドポイントネットワークセキュリティ要素は、未許可のリクエストを処理するために前記ルータに接続されるサーバのエミュレーションを生成するよう動作可能であり、前記ネットワークへのアクセスに対する未許可のリクエストを検出し、
前記第１エンドポイントサーバは、前記検出された未許可のリクエストを、前記第１エンドポイントサーバの第１エンドポイントネットワークセキュリティ要素に提供し、
前記第１エンドポイントネットワークセキュリティ要素は、受信した各未許可のリクエストのレスポンスを生成し、送信機に送信し、前記検出された未許可のリクエストに関する統計量を中央処理のために転送するよう動作可能であり、
前記中央セキュリティサーバは、前記分散ネットワークセキュリティシステムのエンドポイントネットワークセキュリティ要素のためのコントローラとして動作する分散ネットワークセキュリティシステム。
【請求項１４】
前記中央セキュリティサーバは、前記第１エンドポイントネットワークセキュリティ要素と当該分散ネットワークセキュリティシステムの他のエンドポイントネットワークセキュリティ要素とから前記未許可のリクエストに関するデータを受信し、前記ネットワークの未許可のネットワークトラフィックを解析するために前記受信したデータを処理するよう動作可能である、請求項１３記載の分散ネットワークセキュリティシステム。
【請求項１５】
前記第１エンドポイントネットワークセキュリティ要素による前記リクエストに対するアクノリッジメントの生成は、リセット状態が存在すると決定し、リセットレスポンスの代わりにアクノリッジメントを送信することを含む、請求項１３記載の分散ネットワークセキュリティシステム。
【請求項１６】
前記第１エンドポイントサーバは、アクティブなネットワークアドレスの未使用要素に提供された未許可のリクエストを検出するよう動作可能であり、
前記未使用要素は、アクティブなＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスの未使用ポートである、請求項１３記載の分散ネットワークセキュリティシステム。
【請求項１７】
前記第１エンドポイントネットワークセキュリティ要素は、前記第１エンドポイントサーバのプロセッサのための管理エンジンを有する、請求項１３記載の分散ネットワークセキュリティシステム。
【請求項１８】
前記第１エンドポイントネットワークセキュリティ要素は、前記未許可のリクエストに関する統計量を前記中央セキュリティサーバに転送するため、前記第１エンドポイントネットワークセキュリティ要素と前記中央セキュリティサーバとの間のＩＰトンネルを開設するよう動作可能である、請求項１３記載の分散ネットワークセキュリティシステム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図２】
【図３】
【図４】
【図５】
【公開番号】特開２０１１−２１０２７３（Ｐ２０１１−２１０２７３Ａ）
【公開日】平成２３年１０月２０日（２０１１．１０．２０）
【国際特許分類】
【出願番号】特願２０１１−１１６６５９（Ｐ２０１１−１１６６５９）
【出願日】平成２３年５月２５日（２０１１．５．２５）
【分割の表示】特願２００７−３３４３５１（Ｐ２００７−３３４３５１）の分割
【原出願日】平成１９年１２月２６日（２００７．１２．２６）
【出願人】（５９３０９６７１２）インテル コーポレイション (931)
【Ｆターム（参考）】
【公開日】平成２３年１０月２０日（２０１１．１０．２０）
【国際特許分類】
【出願日】平成２３年５月２５日（２０１１．５．２５）
【分割の表示】特願２００７−３３４３５１（Ｐ２００７−３３４３５１）の分割
【原出願日】平成１９年１２月２６日（２００７．１２．２６）
【出願人】（５９３０９６７１２）インテル コーポレイション (931)
【Ｆターム（参考）】
[ Back to top ]