ダイレクトアクセス及びセキュリティ評価共有を可能とするためのハードウェアインターフェース
ネイティブＩＰｖ６機能がＩＰｖ４ネットワークノード、デバイスまたはエンドポイントに、ダイレクトアクセスモデルにおけるネットワーク通信をサポートするハードウェアインターフェースを用いて提供される。ダイレクトアクセスモデルは、ＩＰｓｅｃとのＩＰｖ６通信をサポートし、ネットワークアクセス保護（ＮＡＰ）健全性要求ポリシーをネットワーククライアントであるエンドポイントに適用する。ダイレクトアクセス対応サーバーは、ＩＰｖ４からＩＰｖ６への変換機能及び任意的にＩＰｓｅｃ終端機能を実装するハードウェアインターフェースを用いて使用可能にされる。ダイレクトアクセス対応クライアントは、ＩＰｖ４からＩＰｖ６への変換機能及びＩＰｓｅｃ終端機能を実装するハードウェアインターフェースを用いて使用可能にされ、当該ハードウェアインターフェースは任意的に、携帯情報機器として構成されているダイレクトアクセス対応クライアントにＮＡＰ（ネットワークアクセス保護）を提供する。このハードウェアインターフェースは、ネットワークインターフェースカード（ＮＩＣ）（４０５）としてまたはチップセット（５０５）として実装されてもよい。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はダイレクトアクセス及びセキュリティ評価共有を可能とするためのハードウェアインターフェースに関する。
【背景技術】
【０００２】
インターネットがかつてない急激な成長を続ける一方で、デジタル加入者線（ＤＳＬ）及びケーブルモデム等の常時接続ブロードバンド技術の近年の普及は、常時アドレス可能な（ａｄｄｒｅｓｓａｂｌｅ）携帯情報機器へのＰＤＡ（ｐｅｒｓｏｎａｌ ｄａｔａ ａｓｓｉｓｔａｎｔ）及び携帯電話の差し迫っている統合を伴って、インターネットに接続されているシステムが通信に使用するアドレス空間の拡張の緊急性を著しく高めている。現在使用されているアドレス空間は、インターネットプロトコル、すなわちＩＰ（ＴＣＰ／ＩＰ（Ｔｒａｎｓｐｏｒｔ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ／Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）のネットワーク層）プロトコル群の一部として定義されている。今日一般に使用されているＩＰのバージョンは、バージョン４（ＩＰｖ４）であり、これは１９８１年にＲＦＣ７９１（インターネット技術タスクフォース、すなわち「ＩＥＴＦ」におけるＲｅｑｕｅｓｔ ｆｏｒ Ｃｏｍｍｅｎｔｓ）が発行されてから実質的に変更されていない。その間、ＩＰｖ４はロバスト（ｒｏｂｕｓｔ）で、容易に実装可能かつ相互運用可能であると証明され、相互接続ネットワーク（複数のネットワークのうちの１つのネットワーク）を今日のインターネットの世界的な使用のサイズまで拡大するテストに耐えてきた。これはＩＰｖ４の初期設計の賜物であるが、さらに大きなスケールへの拡大には、新しい基盤を構築する必要がある。
【０００３】
ＩＰｖ６は、全く異なる広く様々なネットワーク技術を介してシステム同士を結び付けるための機構を定義することによって多くの支持を得たＩＰｖ４プロトコルの様式を継承するだろう。既に定義されているＩＰｖ６の伝送のリンク層マッピングは、イーサネット、ポイントツーポイントプロトコル（ＰＰＰ）、ファイバ分散データインターフェース（ＦＤＤＩ）、トークンリング、非同期転送モード（ＡＴＭ）、フレームリレー、ＩＥＥＥ（電気電子技術者協会）１３９４、及びＩＰｖ４を含んでいる。アーキテクチャの視点でみると、ＩＰｖ４ベースのインフラストラクチャーは、ＩＰｖ６対応システムには単一のセグメントの非放送型多元接続（ＮＢＭＡ）ネットワークとしてみられる。ＩＰｖ６トラフィックを現在あるＩＰｖ４ネットワークを介して送信する機能は、現在のインターネットと同様の広さの初期到達を可能とし、それを使用するためのエンドポイント能力及び迅速性によってのみ制限される。
【０００４】
セキュリティ及びプライバシーに関する問題を解決するために、ＩＰｖ６は、インターネットプロトコルセキュリティ（ＩＰｓｅｃ）として知られているＩＰ層セキュリティを含んでいる。ＩＰｓｅｃは、業界標準のセキュリティ技術であり、様々なアプリケーションによって使用されるプロトコル配列に亘ってデータ信頼性及びインテグリティ（整合性）並びにデータ機密性をもたらす。ネットワーク層における機能の提供は、全てのアプリケーションに特有のセキュリティ機能を与えなければならない必要から開発者を解放する。
【０００５】
スコープ付きアドレス（ファイル及びプリンタ共有のデフォルトの範囲を制限するのに有効）、ステートレス自動設定（複雑さ及び管理義務を低下させる）及びＩＰセキュリティ強制（ｍａｎｄａｔｏｒｙ ＩＰ ｓｅｃｕｒｉｔｙ）（接続のプライバシーとインテグリティとエンドツーエンドデータ認証とを許容する）等の新しい機能が迅速な導入を促進するために期待される。この新しい機能に加えて、ＩＰｖ４の寿命を引き延ばすために現在使用されている技術（ネットワークアドレス変換（ＮＡＴｓ）等）は、現存のアプリケーションをしばしば破壊し、新しいアプリケーションの展開の柔軟性を制限している。ＮＡＴｓは、今日、複数のシステムが単一の十分でないパブリックＩＰｖ４アドレスを共有することを可能とする故に一般的であるが、それによって、クライアントがパブリックアドレス空間内にあるサーバーのみを用いてプライベートアドレス空間を使用するクライアント／サーバー利用モデルを強要する傾向がある。ＩＰｖ６は「通信のエンドツーエンド制御」の機能を復活させ、ネットワークが再度透過的になるに伴ってネットワークアプリケーションをさらに単純化する。
【０００６】
ＩＰｖ４からＩＰｖ６への変更は、産業界とって、２０００年問題（ｙｅａｒ ２０００）への準備よりも大仕事になると予想される。このことは、ほとんど全てのネットワークアプリケーション、エンドシステム、インフラストラクチャーシステム、及びネットワークアーキテクチャに影響を与えるだろう。この変更が、広範で時期尚早の技術の利用可能性によってもたらされるコストのかかる非生産的な失敗を防止する責任をもって行われることが重要である。２０００年問題と異なり、ＩＰｖ６への変更は、特定の期限をもたない。しかし、上述したように、ＩＰｖ４アドレスの消費の速度は急激に増加している。開発の容易さは、迅速な導入の鍵となるだろう。
【０００７】
ＩＰｖ４からＩＰｖ６への移行は一晩では終わらないだろう。同一のインフラストラクチャーを介して両方のプロトコルが使用される移行期間があるだろう。この移行期間に対処するために、ＩＰｖ６の設計者は、ＩＰｖ６ノードが、ＩＰｖ４のみのインフラストラクチャーから切り離されたとしても、混在環境において互いに通信可能であるように付与する技術及びアドレスタイプを創り出した。
【０００８】
ＲＦＣ２８９３は、異なった様々なノードタイプを定義している。ＩＰｖ４のみの（ＩＰｖ４−ｏｎｌｙ）ノードは、ＩＰｖ４のみを実装し（ＩＰｖ４アドレスのみを有し）ＩＰｖ６をサポートしていない。今日導入されているほとんどのホスト及びルータは、ＩＰｖ４のみのノードである。
【０００９】
ＩＰｖ６のみの（ＩＰｖ６−ｏｎｌｙ）ノードは、ＩＰｖ６のみを実装し（ＩＰｖ６アドレスのみを有し）ＩＰｖ４をサポートしていない。このノードは、ＩＰｖ６ノード及びアプリケーションとのみ通信可能である。このタイプのノードは、現在は一般的ではないが、ＩＰｖ６プロトコルを備える携帯電話及びハンドヘルドコンピューティングデバイス等の小型デバイスとして普及するだろう。
【００１０】
ＩＰｖ６／ＩＰｖ４ノードは、ＩＰｖ４及びＩＰｖ６の両方を実装している。
【００１１】
ＩＰｖ４ノードは、ＩＰｖ４を実装している。ＩＰｖ４ノードは、ＩＰｖ４のみのノード、またはＩＰｖ６／ＩＰｖ４ノードであり得る。
【００１２】
ＩＰｖ６ノードは、ＩＰｖ６を実装している。ＩＰｖ６ノードは、ＩＰｖ６のみのノード、またはＩＰｖ６／ＩＰｖ４ノードであり得る。
【００１３】
共存状態の発生に関し、多くのノード（ＩＰｖ４またはＩｐｖ６ノード）は、ＩＰｖ４インフラストラクチャー、ＩＰｖ６インフラストラクチャー、またはＩＰｖ４及びＩＰｖ６の組み合わせのインフラストラクチャーを使用して通信し得る。全てのＩＰｖ４ノードがＩＰｖ６のみのノードに変更されると、完全な移行が達成される。しかし、予測できる未来において、可能な限り多くのＩＰｖ４のみのノードがＩＰｖ６／ＩＰｖ４ノードに変更されて、実質的な移行は達成される。ＩＰｖ４のみのノードは、ＩＰｖ４−ｔｏ−ＩＰｖ６プロキシ又は変換ゲートウェイを使用した場合にのみ、ＩＰｖ６のみのノードと通信可能である。
【００１４】
この様なゲートウェイはしばしば満足に機能するが、ネイティブＩＰｖ６を実装するものに比べて追加的な費用がしばしばかかる。ＩＰｖ４−ｔｏ−ＩＰｖ６プロキシ又は変換ゲートウェイが、変換が行われる前に、暗号化されたトラフィックに関するＩＰｓｅｃ接続を終端させる必要があるため、ゲートウェイとＩＰｖ４インフラストラクチャーとの間のリンクは、いくつかの場合にセキュリティ脆弱性をもたらし得る。さらに、ゲートウェイの使用は、通常は、ドメインネームシステム（ＤＮＳ）に関する所与のドメインにおいて混同を起こす。なぜならば、ＩＰｖ４インフラストラクチャーは、例えば、ゲートウェイがＩＰｖ６をサポートしているのにもかかわらず、ＤＮＳサーバーにドメイン内でＩＰｖ４サーバーとして登録されるからである。ＤＮＳインフラストラクチャーをアップグレードして混合ＩＰｖ４／ＩＰｖ６機能に対応させることは、ささいな仕事ではなく追加の費用を必要とする。
【００１５】
この背景技術は、後述する発明の概要及び発明を実施するための形態に関する簡単な内容を紹介するために提供される。この背景技術は、本発明の範囲の決定を補助するものとして意図されておらず、本発明を、上述されたいくつかまたは全ての欠点もしくは問題を解決する実施例に限定するものとして見なされることも意図されていない。
【発明の概要】
【００１６】
ネイティブＩＰｖ６の機能は、ダイレクトアクセスモデル（Ｄｉｒｅｃｔ Ａｃｃｅｓｓ ｍｏｄｅｌ）におけるネットワーク通信をサポートするハードウェアインターフェースを用いて、ＩＰｖ４ネットワークノード、デバイス、またはエンドポイント（まとめてエンドポイントと称される）に提供される。このダイレクトアクセスモデルは、ＩＰｓｅｃを用いたＩＰｖ６通信をサポートし、ネットワーククライアントであるエンドポイントに対するネットワークアクセス保護（ＮＡＰ）健全性要求ポリシー（ｈｅａｌｔｈ ｒｅｑｕｉｒｅｍｅｎｔ ｐｏｌｉｃｉｅｓ）を適用する。ダイレクトアクセスに対応しているサーバーは、ＩＰｖ４からＩＰｖ６への変換機能及び任意的にＩＰｓｅｃ終端機能を実装しているハードウェアインターフェースを用いて使用可能にされる。ダイレクトアクセスに対応しているクライアントは、ＩＰｖ４からＩＰｖ６への変換機能、ＩＰｓｅｃ終端機能を実装し、かつ任意的に携帯情報機器として構成されておりダイレクトアクセスに対応しているクライアントのためのＮＡＰ（ネットワークアクセス保護）を提供するハードウェアインターフェースを用いて使用可能にされる。このハードウェアインターフェースは、ネットワークインターフェースカード（ＮＩＣ）としてまたはチップセットとして実装されてもよい。
【００１７】
ダイレクトアクセスハードウェアインターフェースは、レガシーデバイス及び非ウィンドウズベースのデバイスを含むダイレクトアクセスに非対応なデバイスを、強化されたセキュリティを伴いかつインストールされているソフトウェアを変更又は移行することなく低コストで容易にネイティブＩＰｖ６機能を用いてアップグレード可能である。さらに、サーバーに関して、ダイレクトアクセスハードウェアインターフェースを使用することは、ＩＰｖ４からＩＰｖ６へのゲートウェイを使用することによって通常起こるドメインにおけるＤＮＳ混同を排除する。
【００１８】
１つの説明例において、ダイレクトアクセスハードウェアインターフェースは、ＩＰｖ４エンドポイントに、企業セキュリティ評価共有（Ｅｎｔｅｒｐｒｉｓｅ Ｓｅｃｕｒｉｔｙ Ａｓｓｅｓｓｍｅｎｔ Ｓｈａｒｉｎｇ）（ＥＳＡＳ）機能を提供するようにさらに構成されている。ここで、セキュリティ評価と称される抽象概念は、ＥＳＡＳに対応している異なったエンドポイントの間におけるセキュリティ関連情報の共有を可能とするために用いられる。特定のコンピューティング環境内に存在するこのセキュリティ評価は、ＥＳＡＳに対応しているエンドポイントに、そのエンドポイント自体のローカルにおいて利用可能な情報を調べる新しい方法を与えるセキュリティコンテキスト（ｃｏｎｔｅｘｔ）を提供する機能を有する。このセキュリティコンテキストは、ＥＳＡＳに対応しているエンドポイントが、様々な異なったソースから、複数のオブジェクトタイプに亘って受信したセキュリティ評価からの証拠を組み合わせるかまたは相互に関連付けることを可能とし、当該エンドポイントの潜在的セキュリティ事象の検出の質の著しく向上させること、及び当該環境におけるセキュリティ事象の誤警告判定及び見逃し判定の程度を低減させることが可能である。さらに、通常はソフトウェアによって提供されるいくつかまたは全てのＥＳＡＳ機能をハードウェア内に実装することに加えて、ダイレクトアクセスハードウェアは、決められたチャンネルを介してセキュリティ評価を送信及び受信するように構成され得る。このチャンネルは、１つのリンクを含むかまたは決められたＩＰアドレスを使用し得、さらに特定のクオリティオブサービス（ＱｏＳ）で処理されて、ネットワークが混雑している場合であってもセキュリティ評価の通信が保証され得る。従って、ダイレクトアクセスハードウェアは、企業ネットワーク外のユーザへＥＳＡＳの利点及び利益を拡張し、潜在的なセキュリティ脅威を検出可能なＥＳＡＳに対応しているエンドポイントの数を増加させることも可能である。
【００１９】
この発明の概要は、発明を実施するための形態において以下でさらに説明される概念の１つを単純な形式で紹介するために提供されている。この発明の概要は、本発明の重要な特徴または本質的な特徴を特定することは意図されておらず、本発明の範囲を判定することに使用されることも意図されていない。
【００２０】
図面において同一の番号は同一の要素を示している。図面内の要素は、特に示していない限り正確な寸法では示されていない。
【図面の簡単な説明】
【００２１】
【図１】本発明のハードウェアインターフェースが動作する例示のネットワークコンピューティング環境を示す図である。
【図２】ゲートウェイがＮＡＴ−ＰＴ（ネットワークアドレス変換−プロトコル変換）及びＩＰｓｅｃトンネル機能を提供するネットワークコンピューティング環境内のノードの通常の実装の詳細を示す図である。
【図３】エンドポイントにおいて用いられ得るソフトウェアプロトコルスタック及びハードウェアインターフェースを示す図である。
【図４】ネットワークインターフェースカードとして実装され得る例示のハードウェアインターフェースの機能コンポーネントを示す図である。
【図５】チップセットとして実装され得る例示のハードウェアインターフェースの機能コンポーネントを示す図である。
【図６】企業ネットワーク内の企業セキュリティ評価共有（ＥＳＡＳ）構成を示す図である。
【図７】ＥＳＡＳに対応している複数のエンドポイントがセキュリティ評価チャンネルに結合されかつ１つのエンドポイントにおいて検出された事象が複数の他のエンドポイントにおけるレスポンスをトリガする第１の例示のシナリオを示す図である。
【図８】忠実度の低いセキュリティ評価がセキュリティ評価チャンネルを介して送信され、クロスオブジェクトマッピングも行うＥＳＡＳ対応受信エンドポイントよる忠実度の高い新しい評価の生成がトリガされる第２の例示のシナリオを示す図である。
【図９】修正技術の的を絞った使用を示す第３の例示のシナリオを示す図である。
【図１０】ＥＳＡＳセキュリティ評価チャンネルが、本発明のハードウェアインターフェース使用して、インターネット等の安全でないネットワークを介して企業ネットワークからＥＳＡＳに対応している１または複数のエンドポイントに拡張され得る例示の構成を示す図である。
【図１１】セキュリティ評価が、ＥＳＡＳに対応しているリモートエンドポイントによって本発明のハードウェアインターフェースを介して受信される例示の拡張ＥＳＡＳアーキテクチャを示す図である。
【発明を実施するための形態】
【００２２】
図１は、本発明のハードウェアインターフェースが動作し得る、例示のネットワークコンピューティング環境１００を示している。この例において、パーソナルコンピュータ（ＰＣ）１０５1、ラップトップコンピュータ１０５2、携帯情報機器１０５3、及び非ウィンドウズ（登録商標）オペレーションシステムベースのコンピュータ１０５N等のクライアントデバイス１０５1,2...Nがインターネット１１２等のネットワークを使用してウェブサーバー１２１等のアクセスリソース１１５にアクセスし、または企業ネットワーク１３０へのリモートアクセスを確立する。クライアントデバイス１０５のユーザは、ファイルサーバー１３７、電子メールサーバー１４２及びデータベースサーバー１４６等の企業ネットワーク１３０内のサーバーによって提供されるサービス、ファイル及びデータへのリモートアクセスを探索する。
【００２３】
図２は、ネットワークコンピューティング環境におけるノードまたはドメイン２００の通常の実装の詳細を示しており、当該ネットワークコンピューティング環境においてゲートウェイ２０６はＮＡＴ−ＰＴ（ネットワークアドレス変換−プロトコル変換）コンポーネント２１１及びＩＰｓｅｃトンネルエンドポイントコンポーネント２１５をサポートしている。このようなゲートウェイ２０６は、図１に示されているインターネットベースのリソース１１５または企業ネットワーク１３０をサポートするために使用され得るネイティブＩＰｖ４サーバーインフラストラクチャー２２３にダイレクトアクセス機能を提供するために通常使用される。上述のように、用語「ダイレクトアクセス」は、ＩＰｓｅｃを使用するＩＰｖ６機能を画定し、いくつかの実装例においてＩＰｓｅｃ−ＮＡＰを含む。
【００２４】
ＮＡＴ−ＰＴコンポーネント２１１は、移行ツールとして機能し、ドメイン２００のオペレータにＩＰｖ４ネットワークからＩＰｖ６ネットワークへの移行を可能とさせる。ゲートウェイ２０６内にＮＡＴ−ＰＴ機能を配することによって、ＩＰｖ６のみのノード内のエンドポイントは、ＩＰｖ４のみのノード内のサーバーインフラストラクチャー２２３と接続可能となる。ＮＡＴ−ＰＴコンポーネント２１１もアプリケーションレイヤーゲートウェイ（ＡＬＧ）機能をサポートして、ドメイン２００内に通常提供されるＤＮＳインフラストラクチャー２３０内におけるドメイン名からアドレスへのマッピングを可能とする。特に、ＡＬＧは、ＤＮＳパケットがＩＰｖ４ネットワークとＩＰｖ６ネットワークとの間を移動する際に、ＩＰｖ６アドレスをＤＮＳクエリに変換しレスポンスをＩＰｖ４アドレスバインディング（ａｄｄｒｅｓｓ ｂｉｎｄｉｎｇｓ）に変換し、その逆もまた同様に行う。この追加的な複雑性は、サーバーインフラストラクチャー２２３がネイティブＩＰｖ６サーバーとしてＤＮＳインフラストラクチャー２３０に登録できないことによる。
【００２５】
ＩＰｓｅｃトンネルエンドポイントコンポーネント２１５は、ゲートウェイ２０６にＩＰｓｅｃ接続を終端させることを可能とする。ＩＰｓｅｃトンネルは、伝送中に、暗号化されたＩＰヘッダ及びペイロードを使用する。このようにして、当該トンネルはパケット全体の保護を提供する。ＩＰパケット全体は、最初に認証ヘッダまたはカプセル化セキュリティペイロードヘッダを用いてカプセル化され、その後、追加のＩＰヘッダを用いてカプセル化される。この追加のＩＰヘッダは、トンネルエンドポイントの発信元及び宛先を含む。パケットがトンネルエンドポイントの第１の宛先に達した後、当該パケットはカプセル化を解かれ、ＩＰアドレスを読み取ることによって最後の宛先に送信され得る。
【００２６】
ＮＡＰ機能は、所与のネットワークに接続しているコンピュータに必要なソフトウェア及びシステム構成を画定する健全性要求ポリシーの形成及び適用を可能とするクライアント及びサーバー両方のコンポーネントを使用して通常は実装される。ＮＡＰは、クライアントコンピュータの健全性を検査して評価することによって健全性要求を適用し、クライアントコンピュータが不適合であると見なされた場合、ネットワークアクセスを制限し、非制限ネットワークアクセスのために不適合コンピュータを修正する。ＮＡＰは、ネットワークへの接続を試行しているクライアントコンピュータに健全性要求を適用する。ＮＡＰは、適合クライアントコンピュータがネットワークに接続されている間も、健全性コンプライアンスを適用し続けることが可能である。
【００２７】
いくつかの実装例において、サーバーインフラストラクチャー２２３は、この例においてＡｕｔｈＩＰすなわち認証ＩＰ（参照符号２３７で特定されている）を用いたＩＰｓｅｃとして知られているＩＰｓｅｃの派生型として実装されているＮＡＰサーバー側コンポーネントも使用する。この機能は、マイクロソフトウィンドウズオペレーティングシステムの最新リリースにおいてサポートされ、単純化されたＩＰｓｅｃポリシー構成及び多くの構成における単純化された保守、並びにＩＰｓｅｃピア認証に関する追加的な柔軟性を提供する。特に、ＡｕｔｈＩＰコンポーネント２３７を用いたＩＰｓｅｃは、サーバー２２３におけるＮＡＰ認証を確認するように構成されている。
【００２８】
図３は、例示のソフトウェアプロトコルスタック３０５及びハードウェアインターフェース３１２を示しており、これらはダイレクトアクセス非対応のエンドポイントにおいて使用されてこのエンドポイントにダイレクトアクセス機能を付加し得る。１つのエンドポイントは、クライアントコンピュータ、携帯情報機器（携帯電話、スマートフォン、ＰＤＡ、ポケットＰＣ、ハンドヘルドゲームデバイス、メディアプレイヤー等）、サーバー、またはゲートウェイ、ルータ、スイッチ等の中間ネットワークデバイスを含んでもよい。この例において、ハードウェアインターフェース３１２は、代替的に、ネットワークインターフェースカード（ＮＩＣ）としてまたはチップセットとして実装されていてもよい。ＮＩＣとして実装される場合、通常は、ハードウェアインターフェースは、ＰＣＩ、ＰＣＩ−Ｘ又はＰＣＩＥｘｐｒｅｓｓバス等を用いる標準物理インターフェース３１５を介してエンドポイントとインターフェースをとる。チップセットとして実装される場合、ハードウェアインターフェースは、通常は、デバイスに特化しているインターフェース３１９かまたは専用のインターフェース３１９を使用してエンドポイントと物理的にインターフェースをとる。
【００２９】
図３に示されているように、エンドポイントにおけるソフトウェアプロトコルスタック３０５は、ＴＣＰ及びＵＤＰ（ユーザデータグラムプロトコル）等のプロトコルをサポートする転送レイヤー３３２と相互作用するアプリケーションレイヤー３２５を含む。ＩＰｖ４インターネットレイヤー３３６は、ネットワークインターフェースレイヤー３４０を介したデータ転送を実装する。ハードウェアインターフェースドライバ３４５は、ハードウェアインターフェース３１２の必要な抽象化をプロトコルスタック３０５に提供する。
【００３０】
図４は、ＮＩＣ４０５として実装された際の例示のハードウェアインターフェースの機能コンポーネントを示している。このコンポーネントは、破線の長方形で示されるように、特定の実装の要件に応じて、様々な組み合わせで任意に使用され得る。例えば、いくつかの実装例において、オペレーティングシステムが既にＩＰｖ６をサポートしている場合、ＩＰｓｅｃのみが必要とされる。また、他の場合においては、ダイレクトアクセスが必要とされないこともあり得、ＮＩＣ４０５が使用されてＥＳＡＳ機能のみが提供される。例えば、このようなことは、ＮＩＣ４０５が、スイッチまたはルータのようなデバイスにインストールされている場合に起こり得る。
【００３１】
このコンポーネントは、変換コンポーネント４１２及びＩＰｓｅｃコンポーネント４１６を含む。変換コンポーネント４１２は、ＩＰｖ４からＩＰｖ６への変換及びＡＬＧ機能を提供し、ＤＮＳレジストリの変更を行う。ＩＰｓｅｃコンポーネント４１６は、ＩＰｓｅｃ接続の終端を行い得る。この例においては、ＮＡＰ適用を含むべくＩＰｓｅｃコンポーネント４１６が実装される（すなわちコンポーネント４１６はＩＰｓｅｃ−ＮＡＰをサポートしている）。従って、ハードウェアＮＩＣ４０５は、ダイレクトアクセスに対応していないインターフェース（すなわち、参照符号４２５及び４２８で各々示されているようなＩＰｖ４及び非ＩＰｓｅｃインターフェース）を提供して、ハードウェアＮＩＣが導入されているエンドポイントを変更することなくネイティブＩＰｖ６機能を付与して相互運用性を提供する。
【００３２】
ＮＩＣ４０５は、ＥＳＡＳコンポーネント４２３をさらに含み、ＥＳＡＳコンポーネント４２３は、ＮＩＣ４０５が導入されているエンドポイントに企業セキュリティ評価共有機能を提供する。ＥＳＡＳコンポーネント４２３は、通常はソフトウェアによって提供されるいくつかまたは全てのＥＳＡＳ機能をハードウェア内に実装し得る。ＥＳＡＳ機能を有する導入されたＮＩＣを有するエンドポイントを使用する例示のＥＳＡＳのシナリオは、図１０−１１に示されかつ添付の文章に説明されている。
【００３３】
図５は、チップセット５０５として実装された際の例示のハードウェアインターフェースの機能コンポーネントを示している。図４に示されているコンポーネントと同様に、図５内のコンポーネントは、様々な組み合わせで任意的に使用され得る。コンポーネントは、図４に示されかつそこに添付の文章で説明されている同等のものと同様の特徴及び機能を有して構成される変換コンポーネント５１２及びＩＰｓｅｃコンポーネント５１６を含む。チップセット５０５も、クライアント側ＮＡＰコンポーネント５２１を含む。クライアント側ＮＡＰコンポーネント５２１は、例えば、現時点ではＮＡＰ機能と共に提供されていない携帯情報機器等と共にクライアントデバイスアプリケーションにおいて使用され得る。ＮＩＣ４０５と同様に、ハードウェアチップセット５０５は、ダイレクトアクセスに対応していないインターフェース（すなわち、参照符号５２５及び５２８で各々示されているＩＰｖ４及び非ＩＰｓｅｃインターフェース）を提供して、ハードウェアチップセット５０５が導入されているエンドポイントを変更せずにネイティブＩＰｖ６機能を付与して相互運用性を提供する。
【００３４】
ＮＩＣ４０５及びチップセット５０５の両方は、ＩＰｖ４及びＩＰｖ６の両方がサポートされる「デュアルスタック（ｄｕａｌ ｓｔａｃｋ）」構成を用いて二者択一的に実装されてもよいことに留意する。この実装例において、分離されているＩＰｖ４及びＩＰｖ６の一方が使用され得るか、さらに一般的には、スタックがいくつかの共通ノードを共有するだろう。デュアルスタック構成は、例えば、ＲＦＣ４２１３に記載され、ＩＰｖ４とＩＰｖ６との間の遷移機構を提供するためにしばしば使用され、必要ならば、システム内のエンドポイントは、ＩＰｖ４のみを使用してアクセスされることが可能であり続ける。さらに、ＮＩＣ４０５及びチップセット５０５は、必要に応じて特定の実装の要求を満足させるべく、ダイレクトアクセスクライアントまたはダイレクトアクセスサーバーのどちらかと相互運用する様に構成され得る。
【００３５】
チップセット５０５は、チップセット５０５が導入されているエンドポイントに企業セキュリティ評価共有機能を提供する、ＥＳＡＳコンポーネント５２３をさらに含む。ＥＳＡＳコンポーネント５２３は、通常はソフトウェアによって提供されるいくつかまたは全てのＥＳＡＳ機能をハードウェア内に実装してもよい。ＥＳＡＳ機能を有する導入されたＮＩＣを有するエンドポイントを使用する例示のＥＳＡＳのシナリオは、図１０−１１に示されかつそこに添付の文章に説明されている。
【００３６】
本発明のハードウェアインターフェースを使用してＥＳＡＳ構成が実装されている説明例がここで示された。マスストレージサブシステム、内部ネットワークインターフェース及び外部ネットワークインターフェース等の他のデバイスを伴っている企業コンピューティング環境、例えば、ビジネスオフィス、多数のパーソナルコンピュータ、ワークステーション、サーバー等は、通常は、相互接続されて、情報が、生成され、外部ソースからアクセスされかつ様々なユーザ間で共有される統合環境を提供する。一般的に、ユーザは、データの作成、アクセス及び共有が有効である、受注、製造、出荷、請求、在庫管理、文書作成及び文書管理、電子メール、ウェブブラウジング、並びに他の操作を含む様々な操作を行う。
【００３７】
現在、通常は、セキュリティは、標準的には企業全体のデータの一部のみを監視する様に各々が構成されている様々な異なったセキュリティ製品を使用して企業に提供されている。すなわち、セキュリティ製品は、製品の各々が企業内のデータの異なった部分に対して、監視をし、評価をし、行動を起こす分離されたローカルの「アイランド」として構成される。例えば、ホストセキュリティ製品、エッジファイアウォール製品、ＮＩＤＳ製品、ＮＡＰ製品、及び他の別個のセキュリティ製品は、一般的に、企業の様々な異なった部分のセキュリティを提供する。
【００３８】
これらのセキュリティ製品は、しばしば、多くのアプリケーションにおいて満足に動作するが、セキュリティ事象の検出は、一部の企業セキュリティデータのみの監視の結果として、望ましくない高い頻度の誤警告及び見逃し判定の発生の影響を受ける。全ての企業セキュリティ製品アイランドに亘って効果的で共通な管理を提供することも難しかった。企業全体のセキュリティデータを相互に関連付ける現在の試みは、高い管理コスト及び保守コストを有し、規模の拡大において問題を有している。従って、ＥＳＡＳは、単一の企業全体視野を提供して、セキュリティ事象に対する自動応答に関して明快、単純かつ統一された企業全体ポリシーをセキュリティ管理者が画定及び適用できるようにする。
【００３９】
上述したように、ＥＳＡＳは、セキュリティ評価と称される抽象概念に依存しており、セキュリティ評価は、企業セキュリティ環境において、セキュリティエンドポイントと称される異なったセキュリティ製品間のセキュリティ関連情報の共有を可能とする。セキュリティ評価は、コンピュータ、ユーザ、サービス（例えばウェブサイト）、データまたは企業全体等の環境において関心のあるオブジェクトに関して収集される情報（すなわち、コンテキスト内のデータ）に関する上位のコンテキスト上の意味（ｃｏｎｔｅｘｔｕａｌ ｍｅａｎｉｎｇ）のセキュリティエンドポイントによって一時的な割り当てとして定義される。このセキュリティ評価は、セキュリティエンドポイントに関する簡潔な語彙集を使用して、環境内にあるオブジェクトが、「危険である」または「攻撃されている」等の特定の評価カテゴリに含まれることになったことを検出された事象の重大度（例えば、低度、中度、高度、危機的）と共に宣言する。
【００４０】
セキュリティ評価は、いくらかの不確実性を前提にしておりかつ限定された期間に対して有効であるため、セキュリティ評価は暫時的である。セキュリティ評価のこの暫時的な性質は、その構成要素のうちの２つにおいて反映される：すなわち、コンテキスト上の意味の割り当てにおいてセキュリティエンドポイントが有している信頼度を表明する忠実度フィールド、及びセキュリティエンドポイントのセキュリティ評価が有効である期間の予測を反映する有効期限（ＴＴＬ）フィールドである。従って、例えば、セキュリティ評価は、セキュリティエンドポイントによって使用されて、セキュリティエンドポイントの１または複数のセキュリティ事象の現在の認識を考慮して、特定のマシンが危険であることを、危機的の重大度、中度の忠実度、３０分のＴＴＬで宣言する。様々なタイプのセキュリティ評価は、例えば、評価カテゴリ及びオブジェクトタイプの様々な組み合わせを有する任意の所与の企業セキュリティ環境において使用され得る。
【００４１】
セキュリティエンドポイントは、この環境において機能するセキュリティ評価チャンネルにセキュリティ評価を公開する機能を付与され、他のセキュリティエンドポイントから公開されている利用可能なセキュリティ評価のサブセットを受け入れる。アクティブな環境に存在するセキュリティ評価（すなわち評価は未だに有効であると示すＴＴＬを有するセキュリティ評価）は、このようなＥＳＡＳに対応しているエンドポイントに、当該エンドポイント自身のローカルに利用可能な情報を発見する新しい方法を与えるセキュリティコンテキストを提供する役割を果たす。すなわち、このセキュリティコンテキストは、エンドポイントの潜在的セキュリティ事象の検出の質を著しく向上させるために、ＥＳＡＳに対応しているエンドポイントが、様々な異なった発信元から受信される複数のオブジェクトタイプに亘るセキュリティ評価からの証拠を組み合わせるかまたは相互に関連付けることを可能であるようにする。その後、ＥＳＡＳに対応しているエンドポイントは、ローカルでの活動または応答が各々のタイプのセキュリティ評価（他のセキュリティエンドポイントから受信したであろうがこのセキュリティエンドポイント自身によって内部的に生成されたであろうが）に関して適切であることに関する判定を、応答ポリシーのセットに従って行う。このセキュリティコンテキストは、セキュリティ評価の形式において、企業全体に亘る大量の生データ（このほとんどは、コンテキストの欠落の故に完全に無関係である）の共有の負担無しに企業全体情報の分散処理が可能であるため、事象検出は、効率的でありコスト効果がある。ＥＳＡＳに対応しているエンドポイントは、ローカルでの活動を促したセキュリティ評価の期限切れにおいて（すなわち、セキュリティ評価が、ＴＴＬフィールドにおいて特定された有効期限を越えた場合）ローカルでの活動をロールバックするようにさらに構成されている。
【００４２】
最も一般的なＥＳＡＳ実装においては、ＥＳＡＳ中央サーバーと称される専用のセキュリティエンドポイントが使用される。このＥＳＡＳ中央サーバーは、セキュリティ評価チャンネルに接続されており、全てのセキュリティ評価を受け入れることと、そのセキュリティ評価を記録することと、かつ当該環境におけるセキュリティ事象に反応してセキュリティエンドポイントによって成されたローカルでの活動も記録することとによって集中型検査ポイントとして機能する。このＥＳＡＳ中央サーバーは、管理者に、企業全体及びＥＳＡＳに対応しているエンドポイントの各々の状態履歴及び現在状態の総合的な表示を提供する。セキュリティ評価の使用は、管理者が企業全体に亘って検出される事象に対する応答ポリシーを簡潔にかつ効果的に設定することを可能とする。このセキュリティ評価は、企業全体セキュリティ応答ポリシーを画定するために、固有のアンカー、すなわち開始点として機能する。従って、能率化され一貫性のある管理インターフェースは、企業全体に亘る各々のタイプのセキュリティ評価に関して望ましい応答を画定することが可能である。
【００４３】
このＥＳＡＳ構成は、多くの利点を提供する。簡潔な語彙集を有するセキュリティ評価を使用することによって、企業内のデータ全体の複雑性は劇的に減少し、意味のある情報のみがセキュリティエンドポイント間で共有される。セキュリティ評価の使用は、中央記憶ロケーションにおける大量の生データの収集の必要も排除し、それによって高度に拡張可能な企業セキュリティ解決策を非常にコスト効果のある原理において構築することができる。さらに、新しいセキュリティエンドポイントは、要求に応じた拡張性で容易に配され得る。セキュリティ評価は、既存のセキュリティエンドポイント内の応答ポリシーを再設定する必要無く新しいエンドポイントと既存のセキュリティエンドポイントとの間で共有され得る。この新しいエンドポイントは、既存のセキュリティエンドポイントが既に認識している抽象概念を用いるセキュリティ評価の新しい情報源として単純に機能する。このセキュリティ評価の使用は、企業全体セキュリティポリシーを、全てのセキュリティエンドポイントが企業内で生成し得、その後、事象の各々に対する応答動作を記述し得る、起こり得るセキュリティ事象の全てを、認識する必要無く非常に簡潔かつ明快な方法論を用いて構築可能である。
【００４４】
図６をみると、企業ネットワーク１３０内に配されている例示のＥＳＡＳ構成６００が示されており、このＥＳＡＳ構成６００において、セキュリティ評価チャンネル６０２が提供されて、セキュリティ評価が、セキュリティエンドポイントの各々において共通に使用されている言語／プロトコルを使用して複数のセキュリティエンドポイント間で共有されることが可能とされている。セキュリティ評価チャンネル６０２は、セキュリティ評価の発信源（発行元（ｐｕｂｌｉｓｈｅｒｓ））とセキュリティ評価の需要者（受入先（ｓｕｂｓｃｒｉｂｅｒｓ））とを接続するためにセキュリティエンドポイントによって使用される発行／受入モデルを容易にする。示されているように、セキュリティ評価チャンネル上の発行元及び受入先の両方がセキュリティエンドポイント６０５である。
【００４５】
セキュリティエンドポイント６０５は、及びセキュリティ評価チャンネル６０２との相互作用を単純化するように構成された抽象概念レイヤーを介した発行／受入モデルの、実際の転送および管理の構造から隔離されている。抽象レイヤーは、セキュリティエンドポイントが受け入れるセキュリティ評価タイプを記述するテーブル、及びセキュリティエンドポイントが発行するセキュリティ評価タイプを記述するテーブルを含む（以下に説明するように、全てのエンドポイントが、全てのセキュリティ評価タイプを通常受け入れる訳ではない）。さらに、この抽象レイヤーは、受信したセキュリティ評価を読み込むためのＡＰＩ（アプリケーションプログラミングインターフェース）、及びセキュリティ評価を生成するためのＡＰＩを提供する。
【００４６】
専用のセキュリティエンドポイント、ＥＳＡＳ中央サーバー６１６、はセキュリティ評価チャンネル６０２に接続され、ＥＳＡＳ構成６００の集中型検査ポイントとして機能する。従って、ＥＳＡＳ中央サーバー６１６は、全てのセキュリティ評価を受け入れてこれらを常時記録する。ＥＳＡＳ中央サーバー６１６は、セキュリティエンドポイントによって実行されたローカルでの活動を示すセキュリティエンドポイントからのメッセージも受信して記録する。従って、ＥＳＡＳ中央サーバー６１６は、管理者に、企業全体及びＥＳＡＳに対応しているエンドポイントの各々の状態履歴及び現在状態の総合的な表示を与えるセキュリティ評価監視機能を提供する。
【００４７】
図７は、第１の例示のシナリオの図を示しており、ここにおいて、複数のＥＳＡＳに対応しているエンドポイントがセキュリティ評価チャンネル６０２に接続されており、１つのエンドポイントにおいて検出された事象が複数の他のセキュリティエンドポイントの応答を引き起こしている。この例示のシナリオは、３つの段階で説明される。参照符号７１０によって示されているように、エッジファイアウォール６０５2は、最初に、例えば、企業ネットワーク１３０の周辺との非常に多くの接続を形成していてその状態がセキュリティ危機の存在と表現するのが最も適切であるとして、潜在的に危険にさらされているクライアントを認識する。次に、エッジファイアウォール６０５2は、参照符号７２０に示すように、特定のクライアントが「危険にさらされている」ことを高度な重要度及び高度な忠実度で示すセキュリティ評価を、セキュリティ評価チャンネル６０２を介して受入セキュリティエンドポイントに送信する。
【００４８】
３番目に、セキュリティ評価を受信する受入セキュリティエンドポイント６０５1,2,3...N及びＥＳＡＳ中央サーバー６１６が、自身の収集ルール及びローカルで利用可能なデータを介して特定のセキュリティ専門知識を適用して、適切な動作を開始する。図７内の参照符号７３０によって集合的に示されているように、ホストセキュリティエンドポイント６０５1は、必要に応じたスキャンを実行する。ＮＡＰエンドポイント６０５3は、認識されている危険にさらされているクライアントに対するＩＰセキュリティ認証を取り消して、ポート遮断を実行する。ラインオブビジネス（ｌｉｎｅ−ｏｆ−ｂｕｓｉｎｅｓｓ）セキュリティエンドポイント６０５Nは、受信したセキュリティ評価に基づいて、危険にさらされているクライアントへのインスタントメッセージング（ＩＭ）トラフィックを一時的に停止する。ＥＳＡＳ中央サーバー６１６は、セキュリティ解析者（例えば、管理者）に警告をもたらし、全てのセキュリティ評価及び起動された動作の全てを記録する。
【００４９】
上述の第１の例示のシナリオは、疑わしい事象を検出するセキュリティエンドポイントが高い重要度及び高い忠実度（すなわち、セキュリティエンドポイントが有効に深刻な事象を検出したという高い信頼度を有する）でセキュリティ評価を生成する場合を提供した。それと比較して、図８は、第２の例示のシナリオの図であり、当該シナリオにおいては、低い忠実度のセキュリティ評価がセキュリティ評価チャンネル６０２を介して送信され、このことがクロスオブジェクトマッピングも行う受信セキュリティエンドポイントによる高い忠実度の評価の生成を開始させる。
【００５０】
この第２の例示のシナリオも３つの段階で説明される。参照符号８１０によって示されているように、エッジファイアウォール６０５2は、最初に、企業ネットワーク１３０の周辺への多数のクライアント接続を検出する。しかし、図７に示されかつそこに付属の文章において説明されている第１の例示のシナリオと異なり、クライアントによって確立されている接続の数は、エッジファイアウォール６０５2が、クライアントが危険にさらされていると完全に確信できるほどに多くはない。既存の企業セキュリティシステムにおいて、セキュリティエンドポイントがこのようなデータを認識した場合、セキュリティシステムは、マシンの切断等の通常の厳しい応答を認可する十分な証拠が無いとして、このデータを単にドロップして何の動作も起こさない。それに比べて、本シナリオにおいては、参照符号８２０に示されているように、第２段階においてエッジファイアウォール６０５2が、セキュリティ評価チャンネル６０２を介して特定のクライアントが危険にさらされていることを中度の深刻度及び低い忠実度とともに示すセキュリティ評価８１５を送信する。
【００５１】
ここで、エッジファイアウォール６０５2によって生成されたセキュリティ評価８１５内において参照された特定のオブジェクトを受け入れるセキュリティエンドポイントは、ホストセキュリティエンドポイント６０５1及びＥＳＡＳ中央サーバー６１６を含む。このような低い忠実度のデータは、通常は従来のセキュリティ製品においてはセキュリティエンドポイントにおいて行われる動作を開始させることはないが、本発明の企業セキュリティ評価共有によれば、ホストセキュリティエンドポイント６０５1は、エッジファイアウォール６０５2から受信したセキュリティ評価に応じて異なった態様で自身のローカルデータを調べる。この場合、ホストセキュリティエンドポイント６０５1における要求に応じたスキャンによってもたらされたローカルデータ、及びエッジファイアウォール６０５2からのセキュリティ評価内に含まれる情報は、新しい評価８２５及び８２８を生成するために使用される。従って、ホストセキュリティエンドポイント６０５1は、それ自身によって、新しいセキュリティ評価の生成を認可しないという情報を有するが、この場合のように、他のセキュリティエンドポイントからの低い忠実度のデータによってであっても補強されている場合、各々が高い忠実性を有する新しいセキュリティ評価８２５及び８２８の形成を正当化するのに十分な証拠がある。
【００５２】
ホストセキュリティエンドポイント６０５1は、セキュリティ評価チャンネル６０２上に新しいセキュリティ評価８２５及び８２８を配する。新しいセキュリティ評価８２５及び８２８は、セキュリティ評価チャンネル６０２を介して、この例示のシナリオにおいて、エッジファイアウォール６０５2、セキュリティ評価８２５に関するＥＳＡＳ中央サーバー６１６、及びセキュリティ評価８２８に関するラインオブビジネスエンドポイント６０５Nを含む受入セキュリティエンドポイントによって受信される。
【００５３】
参照オブジェクトタイプがマシンであり、電子メールの保護における役割の長所によってラインオブビジネスエンドポイント６０５Nが通常はユーザに関連する故に、ラインオブビジネスエンドポイント６０５Nは、エッジファイアウォール６０５2によって生成されたオリジナルのセキュリティ評価８１５の受入者でないことに注意する。しかし、この第２の例示のシナリオにおいて、ホストセキュリティエンドポイント６０５1が新しいセキュリティ評価８２８を形成する際に、ホストセキュリティエンドポイント６０５1はホストオブジェクトタイプからユーザオブジェクトタイプにマップ（変化）する。このようなクロスオブジェクトマッピング機能は、ホストコンピュータのデータ信頼性またはインテグリティを低下させるマルウェアまたは悪意のある活動等の高い重要度の事象がさらにユーザをも潜在的に危険にさらすと考えられる多くのシナリオにおいて利益があり得る。セキュリティ評価が生成され得、当該セキュリティ評価は、ある程度の忠実度で、高度な重要度の事象をホストオブジェクトタイプからユーザオブジェクトタイプにクロスマッピングする。同様に、マルウェアまたは悪意のある活動が実際にホストコンピュータにおけるデータインテグリティの損失をもたらした危機的な重大度の事象に対し、ユーザオブジェクトタイプに関するセキュリティ評価がさらに高い忠実度で生成され得る。
【００５４】
第３段階において、参照符号８３０によって集合的に示されているように、新しいセキュリティ評価８２５及び８２８が、受信セキュリティエンドポイントにおける個別の様々な動作を開始させる。特に、エッジファイアウォール６０５2は、ソフトウェアアップデート及び／またはミッションクリティカル（ｍｉｓｓｉｏｎ−ｃｒｉｔｉｃａｌ）なアクセスを除いて、危険にさらされているクライアントからの全てのアクセスをブロックする。ラインオブビジネスエンドポイント６０５Nは、外部に送信される電子メールを一時的に差し止める。そして、第１の例示のシナリオのように、ＥＳＡＳ中央サーバー６１６は、全ての評価及び活動を記録し続ける。上述したように、このような制限は、新しいセキュリティ評価８２５及び８２８に付随するＴＴＬが有効である期間のみ適用される。この新しいセキュリティ評価の期限が過ぎた際には、各々のセキュリティエンドポイントによって行われた動作は、ＴＴＬが延長されるか、または制限動作を起動する新しいセキュリティ評価が受信されない限りロールバックされる。
【００５５】
図９は、修正技術の的を絞った使用を示す第３の例示のシナリオの図である。この第３の例示のシナリオは、３つの段階で説明される。参照符号９１０によって示されている様に、エッジファイアウォール６０５2は、最初に周辺ネットワークへの大量のクライアント接続を検出する。次に、エッジファイアウォール６０５2は、特定のクライアントが「危険にさらされている」ことを高度の重要度及び高度の忠実度で示すセキュリティ評価を、参照符号９２０で示されているように、セキュリティチャンネル６０２を介して受入セキュリティエンドポイントに送信する。この受入セキュリティエンドポイントは、ホストセキュリティエンドポイント６０５1、ＮＡＰエンドポイント６０５3及びＥＳＡＳ中央サーバー６１６を含む。
【００５６】
ホストセキュリティエンドポイント６０５1は、受信されたセキュリティ評価を再調査し、相互関係ルール及び関連するローカルで利用可能な任意のデータを使用してホストセキュリティエンドポイント６０５1の特定のセキュリティ専門知識を適用する。この説明例において、ホストセキュリティエンドポイント６０５1は、ラインオブビジネスセキュリティエンドポイント６０５Nが受け入れるユーザオブジェクトタイプを含む新しいセキュリティ評価９２５を確実に生成する。
【００５７】
このシナリオの第３の段階において、セキュリティエンドポイントによって使用される修正技術は、企業ネットワーク１３０内のビジネス操作における潜在的な影響に関して高価であると考えられる。例えば、参照符号９３０によって示されているように、ラインオブビジネスセキュリティエンドポイント６０５Nは、外部に送信される電子メールの一時的な差し止めを伴う応答ポリシーを実装している。さらに、ホストセキュリティエンドポイント６０５1は、要求に応じたスキャンを実行し、結果が得られなかった場合、さらに詳細なスキャンを実行する。このような修正技術はアドレッシングマルウェア（ａｄｄｒｅｓｓｉｎｇ ｍａｌｗａｒｅ）、悪意のあるユーザ、及び他の問題において非常に効果的であり得る一方で、この修正技術は、通常は企業に大きな出費の影響を与える。例えば、差し止められた外部へ送信される電子メールのユーザは生産性が低下し、詳細なスキャンは、通常は１または複数回の再起動を必要とし、この再起動はそのマシンを一定期間サービスから隔離することになるだろう。
【００５８】
このＥＳＡＳ構成は、的を絞った態様で適用されかついくつかのマシン及び／またはユーザに関して不当とされ得る一般的な方法または全体的な方法で単に適用される訳ではない、これらの高価であるが効果的な修正技術を有利に可能とする。この環境内の事前に画定された基準を用いて疑わしいとみなされたオブジェクトのみが、これらの特定の修正技術の対象となるだろう。
【００５９】
図１０は、例示の構成であり、当該構成において、ＥＳＡＳセキュリティ評価チャンネルは、企業ネットワーク１３０から、インターネット１１２等の保護されていないネットワークを介して、本発明のハードウェアインターフェースを使用してＥＳＡＳに対応しているエンドポイントまで拡張させられていてもよい。この例において、ＰＣ１０５1はダイレクトアクセス対応クライアントＮＩＣ４０５を使用し、携帯情報機器１０５3はダイレクトアクセス対応クライアントチップセット５０５を使用している。ＮＩＣ４０５及びチップセット５０５の両方は、この例においてハードウェア内にＥＳＡＳ機能を実装する任意で使用されるＥＳＡＳコンポーネントを使用する。図１０において、クライアントデバイス１０５がＥＳＡＳ機能とともに配されている様に示されているが、ネットワーク環境内の任意の様々なデバイスが任意の様々なデバイスには、サーバーと、ルータ、ゲートウェイ、スイッチ等の中間ネットワークデバイスとを含むＥＳＡＳとともに本発明のハードウェアインターフェースを含むように構成されてもよいことを強調しておく。
【００６０】
図１０に示されている様に、携帯情報機器１０５3において動作しているセキュリティソフトウェアは、フィッシングサイトとみられるウェブサイト等のセキュリティ事象を検出する。その後、セキュリティソフトウェアは、拡張されたＥＳＡＳセキュリティ評価チャンネル（参照符号１０２２で示されている）を介して、企業ネットワーク１３０内の受入セキュリティエンドポイント６０５に受信されるセキュリティ評価１０１２を発行する。携帯情報機器１０５3内のチップセット５０５は、決められたチャンネルを介してセキュリティ評価を送信及び受信するように構成されていてもよい。例えば、このチャンネルはリンクを含むかまたは決められたＩＰアドレスを使用してもよく、さらに特定のＱｏＳで処理されて、インターネット１１２が混雑している場合でもセキュリティ評価の通信を保証する。
【００６１】
図１１に示されているように、拡張されたＥＳＡＳセキュリティ評価チャンネル１０２２は、企業ネットワーク１３０内のセキュリティエンドポイント６０５によって発行されたセキュリティ評価のデバイス１０５における受信をサポートしている。示されているように、エッジファイアウォール６０５2によって発行されたセキュリティ評価１１１２は、ＰＣ１０５1及び携帯情報機器１０５3によって受信される。このセキュリティ評価の受信は、図７−９に付随の文章において上述された態様と同様の態様でクライアントデバイス１０５によるローカルな応答を開始させてもよい。
【００６２】
本発明が、構造的特徴及び／または方法的作用について特に説明されてきたが、添付の特許請求の範囲内に画定された本発明が、上述の特定の特徴または作用に必ずしも限定されないことが理解されるべきである。むしろ上述の特定の特徴及び作用は、特許請求の範囲に記載の発明を実施する例示の形態として開示されている。
【技術分野】
【０００１】
本発明はダイレクトアクセス及びセキュリティ評価共有を可能とするためのハードウェアインターフェースに関する。
【背景技術】
【０００２】
インターネットがかつてない急激な成長を続ける一方で、デジタル加入者線（ＤＳＬ）及びケーブルモデム等の常時接続ブロードバンド技術の近年の普及は、常時アドレス可能な（ａｄｄｒｅｓｓａｂｌｅ）携帯情報機器へのＰＤＡ（ｐｅｒｓｏｎａｌ ｄａｔａ ａｓｓｉｓｔａｎｔ）及び携帯電話の差し迫っている統合を伴って、インターネットに接続されているシステムが通信に使用するアドレス空間の拡張の緊急性を著しく高めている。現在使用されているアドレス空間は、インターネットプロトコル、すなわちＩＰ（ＴＣＰ／ＩＰ（Ｔｒａｎｓｐｏｒｔ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ／Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）のネットワーク層）プロトコル群の一部として定義されている。今日一般に使用されているＩＰのバージョンは、バージョン４（ＩＰｖ４）であり、これは１９８１年にＲＦＣ７９１（インターネット技術タスクフォース、すなわち「ＩＥＴＦ」におけるＲｅｑｕｅｓｔ ｆｏｒ Ｃｏｍｍｅｎｔｓ）が発行されてから実質的に変更されていない。その間、ＩＰｖ４はロバスト（ｒｏｂｕｓｔ）で、容易に実装可能かつ相互運用可能であると証明され、相互接続ネットワーク（複数のネットワークのうちの１つのネットワーク）を今日のインターネットの世界的な使用のサイズまで拡大するテストに耐えてきた。これはＩＰｖ４の初期設計の賜物であるが、さらに大きなスケールへの拡大には、新しい基盤を構築する必要がある。
【０００３】
ＩＰｖ６は、全く異なる広く様々なネットワーク技術を介してシステム同士を結び付けるための機構を定義することによって多くの支持を得たＩＰｖ４プロトコルの様式を継承するだろう。既に定義されているＩＰｖ６の伝送のリンク層マッピングは、イーサネット、ポイントツーポイントプロトコル（ＰＰＰ）、ファイバ分散データインターフェース（ＦＤＤＩ）、トークンリング、非同期転送モード（ＡＴＭ）、フレームリレー、ＩＥＥＥ（電気電子技術者協会）１３９４、及びＩＰｖ４を含んでいる。アーキテクチャの視点でみると、ＩＰｖ４ベースのインフラストラクチャーは、ＩＰｖ６対応システムには単一のセグメントの非放送型多元接続（ＮＢＭＡ）ネットワークとしてみられる。ＩＰｖ６トラフィックを現在あるＩＰｖ４ネットワークを介して送信する機能は、現在のインターネットと同様の広さの初期到達を可能とし、それを使用するためのエンドポイント能力及び迅速性によってのみ制限される。
【０００４】
セキュリティ及びプライバシーに関する問題を解決するために、ＩＰｖ６は、インターネットプロトコルセキュリティ（ＩＰｓｅｃ）として知られているＩＰ層セキュリティを含んでいる。ＩＰｓｅｃは、業界標準のセキュリティ技術であり、様々なアプリケーションによって使用されるプロトコル配列に亘ってデータ信頼性及びインテグリティ（整合性）並びにデータ機密性をもたらす。ネットワーク層における機能の提供は、全てのアプリケーションに特有のセキュリティ機能を与えなければならない必要から開発者を解放する。
【０００５】
スコープ付きアドレス（ファイル及びプリンタ共有のデフォルトの範囲を制限するのに有効）、ステートレス自動設定（複雑さ及び管理義務を低下させる）及びＩＰセキュリティ強制（ｍａｎｄａｔｏｒｙ ＩＰ ｓｅｃｕｒｉｔｙ）（接続のプライバシーとインテグリティとエンドツーエンドデータ認証とを許容する）等の新しい機能が迅速な導入を促進するために期待される。この新しい機能に加えて、ＩＰｖ４の寿命を引き延ばすために現在使用されている技術（ネットワークアドレス変換（ＮＡＴｓ）等）は、現存のアプリケーションをしばしば破壊し、新しいアプリケーションの展開の柔軟性を制限している。ＮＡＴｓは、今日、複数のシステムが単一の十分でないパブリックＩＰｖ４アドレスを共有することを可能とする故に一般的であるが、それによって、クライアントがパブリックアドレス空間内にあるサーバーのみを用いてプライベートアドレス空間を使用するクライアント／サーバー利用モデルを強要する傾向がある。ＩＰｖ６は「通信のエンドツーエンド制御」の機能を復活させ、ネットワークが再度透過的になるに伴ってネットワークアプリケーションをさらに単純化する。
【０００６】
ＩＰｖ４からＩＰｖ６への変更は、産業界とって、２０００年問題（ｙｅａｒ ２０００）への準備よりも大仕事になると予想される。このことは、ほとんど全てのネットワークアプリケーション、エンドシステム、インフラストラクチャーシステム、及びネットワークアーキテクチャに影響を与えるだろう。この変更が、広範で時期尚早の技術の利用可能性によってもたらされるコストのかかる非生産的な失敗を防止する責任をもって行われることが重要である。２０００年問題と異なり、ＩＰｖ６への変更は、特定の期限をもたない。しかし、上述したように、ＩＰｖ４アドレスの消費の速度は急激に増加している。開発の容易さは、迅速な導入の鍵となるだろう。
【０００７】
ＩＰｖ４からＩＰｖ６への移行は一晩では終わらないだろう。同一のインフラストラクチャーを介して両方のプロトコルが使用される移行期間があるだろう。この移行期間に対処するために、ＩＰｖ６の設計者は、ＩＰｖ６ノードが、ＩＰｖ４のみのインフラストラクチャーから切り離されたとしても、混在環境において互いに通信可能であるように付与する技術及びアドレスタイプを創り出した。
【０００８】
ＲＦＣ２８９３は、異なった様々なノードタイプを定義している。ＩＰｖ４のみの（ＩＰｖ４−ｏｎｌｙ）ノードは、ＩＰｖ４のみを実装し（ＩＰｖ４アドレスのみを有し）ＩＰｖ６をサポートしていない。今日導入されているほとんどのホスト及びルータは、ＩＰｖ４のみのノードである。
【０００９】
ＩＰｖ６のみの（ＩＰｖ６−ｏｎｌｙ）ノードは、ＩＰｖ６のみを実装し（ＩＰｖ６アドレスのみを有し）ＩＰｖ４をサポートしていない。このノードは、ＩＰｖ６ノード及びアプリケーションとのみ通信可能である。このタイプのノードは、現在は一般的ではないが、ＩＰｖ６プロトコルを備える携帯電話及びハンドヘルドコンピューティングデバイス等の小型デバイスとして普及するだろう。
【００１０】
ＩＰｖ６／ＩＰｖ４ノードは、ＩＰｖ４及びＩＰｖ６の両方を実装している。
【００１１】
ＩＰｖ４ノードは、ＩＰｖ４を実装している。ＩＰｖ４ノードは、ＩＰｖ４のみのノード、またはＩＰｖ６／ＩＰｖ４ノードであり得る。
【００１２】
ＩＰｖ６ノードは、ＩＰｖ６を実装している。ＩＰｖ６ノードは、ＩＰｖ６のみのノード、またはＩＰｖ６／ＩＰｖ４ノードであり得る。
【００１３】
共存状態の発生に関し、多くのノード（ＩＰｖ４またはＩｐｖ６ノード）は、ＩＰｖ４インフラストラクチャー、ＩＰｖ６インフラストラクチャー、またはＩＰｖ４及びＩＰｖ６の組み合わせのインフラストラクチャーを使用して通信し得る。全てのＩＰｖ４ノードがＩＰｖ６のみのノードに変更されると、完全な移行が達成される。しかし、予測できる未来において、可能な限り多くのＩＰｖ４のみのノードがＩＰｖ６／ＩＰｖ４ノードに変更されて、実質的な移行は達成される。ＩＰｖ４のみのノードは、ＩＰｖ４−ｔｏ−ＩＰｖ６プロキシ又は変換ゲートウェイを使用した場合にのみ、ＩＰｖ６のみのノードと通信可能である。
【００１４】
この様なゲートウェイはしばしば満足に機能するが、ネイティブＩＰｖ６を実装するものに比べて追加的な費用がしばしばかかる。ＩＰｖ４−ｔｏ−ＩＰｖ６プロキシ又は変換ゲートウェイが、変換が行われる前に、暗号化されたトラフィックに関するＩＰｓｅｃ接続を終端させる必要があるため、ゲートウェイとＩＰｖ４インフラストラクチャーとの間のリンクは、いくつかの場合にセキュリティ脆弱性をもたらし得る。さらに、ゲートウェイの使用は、通常は、ドメインネームシステム（ＤＮＳ）に関する所与のドメインにおいて混同を起こす。なぜならば、ＩＰｖ４インフラストラクチャーは、例えば、ゲートウェイがＩＰｖ６をサポートしているのにもかかわらず、ＤＮＳサーバーにドメイン内でＩＰｖ４サーバーとして登録されるからである。ＤＮＳインフラストラクチャーをアップグレードして混合ＩＰｖ４／ＩＰｖ６機能に対応させることは、ささいな仕事ではなく追加の費用を必要とする。
【００１５】
この背景技術は、後述する発明の概要及び発明を実施するための形態に関する簡単な内容を紹介するために提供される。この背景技術は、本発明の範囲の決定を補助するものとして意図されておらず、本発明を、上述されたいくつかまたは全ての欠点もしくは問題を解決する実施例に限定するものとして見なされることも意図されていない。
【発明の概要】
【００１６】
ネイティブＩＰｖ６の機能は、ダイレクトアクセスモデル（Ｄｉｒｅｃｔ Ａｃｃｅｓｓ ｍｏｄｅｌ）におけるネットワーク通信をサポートするハードウェアインターフェースを用いて、ＩＰｖ４ネットワークノード、デバイス、またはエンドポイント（まとめてエンドポイントと称される）に提供される。このダイレクトアクセスモデルは、ＩＰｓｅｃを用いたＩＰｖ６通信をサポートし、ネットワーククライアントであるエンドポイントに対するネットワークアクセス保護（ＮＡＰ）健全性要求ポリシー（ｈｅａｌｔｈ ｒｅｑｕｉｒｅｍｅｎｔ ｐｏｌｉｃｉｅｓ）を適用する。ダイレクトアクセスに対応しているサーバーは、ＩＰｖ４からＩＰｖ６への変換機能及び任意的にＩＰｓｅｃ終端機能を実装しているハードウェアインターフェースを用いて使用可能にされる。ダイレクトアクセスに対応しているクライアントは、ＩＰｖ４からＩＰｖ６への変換機能、ＩＰｓｅｃ終端機能を実装し、かつ任意的に携帯情報機器として構成されておりダイレクトアクセスに対応しているクライアントのためのＮＡＰ（ネットワークアクセス保護）を提供するハードウェアインターフェースを用いて使用可能にされる。このハードウェアインターフェースは、ネットワークインターフェースカード（ＮＩＣ）としてまたはチップセットとして実装されてもよい。
【００１７】
ダイレクトアクセスハードウェアインターフェースは、レガシーデバイス及び非ウィンドウズベースのデバイスを含むダイレクトアクセスに非対応なデバイスを、強化されたセキュリティを伴いかつインストールされているソフトウェアを変更又は移行することなく低コストで容易にネイティブＩＰｖ６機能を用いてアップグレード可能である。さらに、サーバーに関して、ダイレクトアクセスハードウェアインターフェースを使用することは、ＩＰｖ４からＩＰｖ６へのゲートウェイを使用することによって通常起こるドメインにおけるＤＮＳ混同を排除する。
【００１８】
１つの説明例において、ダイレクトアクセスハードウェアインターフェースは、ＩＰｖ４エンドポイントに、企業セキュリティ評価共有（Ｅｎｔｅｒｐｒｉｓｅ Ｓｅｃｕｒｉｔｙ Ａｓｓｅｓｓｍｅｎｔ Ｓｈａｒｉｎｇ）（ＥＳＡＳ）機能を提供するようにさらに構成されている。ここで、セキュリティ評価と称される抽象概念は、ＥＳＡＳに対応している異なったエンドポイントの間におけるセキュリティ関連情報の共有を可能とするために用いられる。特定のコンピューティング環境内に存在するこのセキュリティ評価は、ＥＳＡＳに対応しているエンドポイントに、そのエンドポイント自体のローカルにおいて利用可能な情報を調べる新しい方法を与えるセキュリティコンテキスト（ｃｏｎｔｅｘｔ）を提供する機能を有する。このセキュリティコンテキストは、ＥＳＡＳに対応しているエンドポイントが、様々な異なったソースから、複数のオブジェクトタイプに亘って受信したセキュリティ評価からの証拠を組み合わせるかまたは相互に関連付けることを可能とし、当該エンドポイントの潜在的セキュリティ事象の検出の質の著しく向上させること、及び当該環境におけるセキュリティ事象の誤警告判定及び見逃し判定の程度を低減させることが可能である。さらに、通常はソフトウェアによって提供されるいくつかまたは全てのＥＳＡＳ機能をハードウェア内に実装することに加えて、ダイレクトアクセスハードウェアは、決められたチャンネルを介してセキュリティ評価を送信及び受信するように構成され得る。このチャンネルは、１つのリンクを含むかまたは決められたＩＰアドレスを使用し得、さらに特定のクオリティオブサービス（ＱｏＳ）で処理されて、ネットワークが混雑している場合であってもセキュリティ評価の通信が保証され得る。従って、ダイレクトアクセスハードウェアは、企業ネットワーク外のユーザへＥＳＡＳの利点及び利益を拡張し、潜在的なセキュリティ脅威を検出可能なＥＳＡＳに対応しているエンドポイントの数を増加させることも可能である。
【００１９】
この発明の概要は、発明を実施するための形態において以下でさらに説明される概念の１つを単純な形式で紹介するために提供されている。この発明の概要は、本発明の重要な特徴または本質的な特徴を特定することは意図されておらず、本発明の範囲を判定することに使用されることも意図されていない。
【００２０】
図面において同一の番号は同一の要素を示している。図面内の要素は、特に示していない限り正確な寸法では示されていない。
【図面の簡単な説明】
【００２１】
【図１】本発明のハードウェアインターフェースが動作する例示のネットワークコンピューティング環境を示す図である。
【図２】ゲートウェイがＮＡＴ−ＰＴ（ネットワークアドレス変換−プロトコル変換）及びＩＰｓｅｃトンネル機能を提供するネットワークコンピューティング環境内のノードの通常の実装の詳細を示す図である。
【図３】エンドポイントにおいて用いられ得るソフトウェアプロトコルスタック及びハードウェアインターフェースを示す図である。
【図４】ネットワークインターフェースカードとして実装され得る例示のハードウェアインターフェースの機能コンポーネントを示す図である。
【図５】チップセットとして実装され得る例示のハードウェアインターフェースの機能コンポーネントを示す図である。
【図６】企業ネットワーク内の企業セキュリティ評価共有（ＥＳＡＳ）構成を示す図である。
【図７】ＥＳＡＳに対応している複数のエンドポイントがセキュリティ評価チャンネルに結合されかつ１つのエンドポイントにおいて検出された事象が複数の他のエンドポイントにおけるレスポンスをトリガする第１の例示のシナリオを示す図である。
【図８】忠実度の低いセキュリティ評価がセキュリティ評価チャンネルを介して送信され、クロスオブジェクトマッピングも行うＥＳＡＳ対応受信エンドポイントよる忠実度の高い新しい評価の生成がトリガされる第２の例示のシナリオを示す図である。
【図９】修正技術の的を絞った使用を示す第３の例示のシナリオを示す図である。
【図１０】ＥＳＡＳセキュリティ評価チャンネルが、本発明のハードウェアインターフェース使用して、インターネット等の安全でないネットワークを介して企業ネットワークからＥＳＡＳに対応している１または複数のエンドポイントに拡張され得る例示の構成を示す図である。
【図１１】セキュリティ評価が、ＥＳＡＳに対応しているリモートエンドポイントによって本発明のハードウェアインターフェースを介して受信される例示の拡張ＥＳＡＳアーキテクチャを示す図である。
【発明を実施するための形態】
【００２２】
図１は、本発明のハードウェアインターフェースが動作し得る、例示のネットワークコンピューティング環境１００を示している。この例において、パーソナルコンピュータ（ＰＣ）１０５1、ラップトップコンピュータ１０５2、携帯情報機器１０５3、及び非ウィンドウズ（登録商標）オペレーションシステムベースのコンピュータ１０５N等のクライアントデバイス１０５1,2...Nがインターネット１１２等のネットワークを使用してウェブサーバー１２１等のアクセスリソース１１５にアクセスし、または企業ネットワーク１３０へのリモートアクセスを確立する。クライアントデバイス１０５のユーザは、ファイルサーバー１３７、電子メールサーバー１４２及びデータベースサーバー１４６等の企業ネットワーク１３０内のサーバーによって提供されるサービス、ファイル及びデータへのリモートアクセスを探索する。
【００２３】
図２は、ネットワークコンピューティング環境におけるノードまたはドメイン２００の通常の実装の詳細を示しており、当該ネットワークコンピューティング環境においてゲートウェイ２０６はＮＡＴ−ＰＴ（ネットワークアドレス変換−プロトコル変換）コンポーネント２１１及びＩＰｓｅｃトンネルエンドポイントコンポーネント２１５をサポートしている。このようなゲートウェイ２０６は、図１に示されているインターネットベースのリソース１１５または企業ネットワーク１３０をサポートするために使用され得るネイティブＩＰｖ４サーバーインフラストラクチャー２２３にダイレクトアクセス機能を提供するために通常使用される。上述のように、用語「ダイレクトアクセス」は、ＩＰｓｅｃを使用するＩＰｖ６機能を画定し、いくつかの実装例においてＩＰｓｅｃ−ＮＡＰを含む。
【００２４】
ＮＡＴ−ＰＴコンポーネント２１１は、移行ツールとして機能し、ドメイン２００のオペレータにＩＰｖ４ネットワークからＩＰｖ６ネットワークへの移行を可能とさせる。ゲートウェイ２０６内にＮＡＴ−ＰＴ機能を配することによって、ＩＰｖ６のみのノード内のエンドポイントは、ＩＰｖ４のみのノード内のサーバーインフラストラクチャー２２３と接続可能となる。ＮＡＴ−ＰＴコンポーネント２１１もアプリケーションレイヤーゲートウェイ（ＡＬＧ）機能をサポートして、ドメイン２００内に通常提供されるＤＮＳインフラストラクチャー２３０内におけるドメイン名からアドレスへのマッピングを可能とする。特に、ＡＬＧは、ＤＮＳパケットがＩＰｖ４ネットワークとＩＰｖ６ネットワークとの間を移動する際に、ＩＰｖ６アドレスをＤＮＳクエリに変換しレスポンスをＩＰｖ４アドレスバインディング（ａｄｄｒｅｓｓ ｂｉｎｄｉｎｇｓ）に変換し、その逆もまた同様に行う。この追加的な複雑性は、サーバーインフラストラクチャー２２３がネイティブＩＰｖ６サーバーとしてＤＮＳインフラストラクチャー２３０に登録できないことによる。
【００２５】
ＩＰｓｅｃトンネルエンドポイントコンポーネント２１５は、ゲートウェイ２０６にＩＰｓｅｃ接続を終端させることを可能とする。ＩＰｓｅｃトンネルは、伝送中に、暗号化されたＩＰヘッダ及びペイロードを使用する。このようにして、当該トンネルはパケット全体の保護を提供する。ＩＰパケット全体は、最初に認証ヘッダまたはカプセル化セキュリティペイロードヘッダを用いてカプセル化され、その後、追加のＩＰヘッダを用いてカプセル化される。この追加のＩＰヘッダは、トンネルエンドポイントの発信元及び宛先を含む。パケットがトンネルエンドポイントの第１の宛先に達した後、当該パケットはカプセル化を解かれ、ＩＰアドレスを読み取ることによって最後の宛先に送信され得る。
【００２６】
ＮＡＰ機能は、所与のネットワークに接続しているコンピュータに必要なソフトウェア及びシステム構成を画定する健全性要求ポリシーの形成及び適用を可能とするクライアント及びサーバー両方のコンポーネントを使用して通常は実装される。ＮＡＰは、クライアントコンピュータの健全性を検査して評価することによって健全性要求を適用し、クライアントコンピュータが不適合であると見なされた場合、ネットワークアクセスを制限し、非制限ネットワークアクセスのために不適合コンピュータを修正する。ＮＡＰは、ネットワークへの接続を試行しているクライアントコンピュータに健全性要求を適用する。ＮＡＰは、適合クライアントコンピュータがネットワークに接続されている間も、健全性コンプライアンスを適用し続けることが可能である。
【００２７】
いくつかの実装例において、サーバーインフラストラクチャー２２３は、この例においてＡｕｔｈＩＰすなわち認証ＩＰ（参照符号２３７で特定されている）を用いたＩＰｓｅｃとして知られているＩＰｓｅｃの派生型として実装されているＮＡＰサーバー側コンポーネントも使用する。この機能は、マイクロソフトウィンドウズオペレーティングシステムの最新リリースにおいてサポートされ、単純化されたＩＰｓｅｃポリシー構成及び多くの構成における単純化された保守、並びにＩＰｓｅｃピア認証に関する追加的な柔軟性を提供する。特に、ＡｕｔｈＩＰコンポーネント２３７を用いたＩＰｓｅｃは、サーバー２２３におけるＮＡＰ認証を確認するように構成されている。
【００２８】
図３は、例示のソフトウェアプロトコルスタック３０５及びハードウェアインターフェース３１２を示しており、これらはダイレクトアクセス非対応のエンドポイントにおいて使用されてこのエンドポイントにダイレクトアクセス機能を付加し得る。１つのエンドポイントは、クライアントコンピュータ、携帯情報機器（携帯電話、スマートフォン、ＰＤＡ、ポケットＰＣ、ハンドヘルドゲームデバイス、メディアプレイヤー等）、サーバー、またはゲートウェイ、ルータ、スイッチ等の中間ネットワークデバイスを含んでもよい。この例において、ハードウェアインターフェース３１２は、代替的に、ネットワークインターフェースカード（ＮＩＣ）としてまたはチップセットとして実装されていてもよい。ＮＩＣとして実装される場合、通常は、ハードウェアインターフェースは、ＰＣＩ、ＰＣＩ−Ｘ又はＰＣＩＥｘｐｒｅｓｓバス等を用いる標準物理インターフェース３１５を介してエンドポイントとインターフェースをとる。チップセットとして実装される場合、ハードウェアインターフェースは、通常は、デバイスに特化しているインターフェース３１９かまたは専用のインターフェース３１９を使用してエンドポイントと物理的にインターフェースをとる。
【００２９】
図３に示されているように、エンドポイントにおけるソフトウェアプロトコルスタック３０５は、ＴＣＰ及びＵＤＰ（ユーザデータグラムプロトコル）等のプロトコルをサポートする転送レイヤー３３２と相互作用するアプリケーションレイヤー３２５を含む。ＩＰｖ４インターネットレイヤー３３６は、ネットワークインターフェースレイヤー３４０を介したデータ転送を実装する。ハードウェアインターフェースドライバ３４５は、ハードウェアインターフェース３１２の必要な抽象化をプロトコルスタック３０５に提供する。
【００３０】
図４は、ＮＩＣ４０５として実装された際の例示のハードウェアインターフェースの機能コンポーネントを示している。このコンポーネントは、破線の長方形で示されるように、特定の実装の要件に応じて、様々な組み合わせで任意に使用され得る。例えば、いくつかの実装例において、オペレーティングシステムが既にＩＰｖ６をサポートしている場合、ＩＰｓｅｃのみが必要とされる。また、他の場合においては、ダイレクトアクセスが必要とされないこともあり得、ＮＩＣ４０５が使用されてＥＳＡＳ機能のみが提供される。例えば、このようなことは、ＮＩＣ４０５が、スイッチまたはルータのようなデバイスにインストールされている場合に起こり得る。
【００３１】
このコンポーネントは、変換コンポーネント４１２及びＩＰｓｅｃコンポーネント４１６を含む。変換コンポーネント４１２は、ＩＰｖ４からＩＰｖ６への変換及びＡＬＧ機能を提供し、ＤＮＳレジストリの変更を行う。ＩＰｓｅｃコンポーネント４１６は、ＩＰｓｅｃ接続の終端を行い得る。この例においては、ＮＡＰ適用を含むべくＩＰｓｅｃコンポーネント４１６が実装される（すなわちコンポーネント４１６はＩＰｓｅｃ−ＮＡＰをサポートしている）。従って、ハードウェアＮＩＣ４０５は、ダイレクトアクセスに対応していないインターフェース（すなわち、参照符号４２５及び４２８で各々示されているようなＩＰｖ４及び非ＩＰｓｅｃインターフェース）を提供して、ハードウェアＮＩＣが導入されているエンドポイントを変更することなくネイティブＩＰｖ６機能を付与して相互運用性を提供する。
【００３２】
ＮＩＣ４０５は、ＥＳＡＳコンポーネント４２３をさらに含み、ＥＳＡＳコンポーネント４２３は、ＮＩＣ４０５が導入されているエンドポイントに企業セキュリティ評価共有機能を提供する。ＥＳＡＳコンポーネント４２３は、通常はソフトウェアによって提供されるいくつかまたは全てのＥＳＡＳ機能をハードウェア内に実装し得る。ＥＳＡＳ機能を有する導入されたＮＩＣを有するエンドポイントを使用する例示のＥＳＡＳのシナリオは、図１０−１１に示されかつ添付の文章に説明されている。
【００３３】
図５は、チップセット５０５として実装された際の例示のハードウェアインターフェースの機能コンポーネントを示している。図４に示されているコンポーネントと同様に、図５内のコンポーネントは、様々な組み合わせで任意的に使用され得る。コンポーネントは、図４に示されかつそこに添付の文章で説明されている同等のものと同様の特徴及び機能を有して構成される変換コンポーネント５１２及びＩＰｓｅｃコンポーネント５１６を含む。チップセット５０５も、クライアント側ＮＡＰコンポーネント５２１を含む。クライアント側ＮＡＰコンポーネント５２１は、例えば、現時点ではＮＡＰ機能と共に提供されていない携帯情報機器等と共にクライアントデバイスアプリケーションにおいて使用され得る。ＮＩＣ４０５と同様に、ハードウェアチップセット５０５は、ダイレクトアクセスに対応していないインターフェース（すなわち、参照符号５２５及び５２８で各々示されているＩＰｖ４及び非ＩＰｓｅｃインターフェース）を提供して、ハードウェアチップセット５０５が導入されているエンドポイントを変更せずにネイティブＩＰｖ６機能を付与して相互運用性を提供する。
【００３４】
ＮＩＣ４０５及びチップセット５０５の両方は、ＩＰｖ４及びＩＰｖ６の両方がサポートされる「デュアルスタック（ｄｕａｌ ｓｔａｃｋ）」構成を用いて二者択一的に実装されてもよいことに留意する。この実装例において、分離されているＩＰｖ４及びＩＰｖ６の一方が使用され得るか、さらに一般的には、スタックがいくつかの共通ノードを共有するだろう。デュアルスタック構成は、例えば、ＲＦＣ４２１３に記載され、ＩＰｖ４とＩＰｖ６との間の遷移機構を提供するためにしばしば使用され、必要ならば、システム内のエンドポイントは、ＩＰｖ４のみを使用してアクセスされることが可能であり続ける。さらに、ＮＩＣ４０５及びチップセット５０５は、必要に応じて特定の実装の要求を満足させるべく、ダイレクトアクセスクライアントまたはダイレクトアクセスサーバーのどちらかと相互運用する様に構成され得る。
【００３５】
チップセット５０５は、チップセット５０５が導入されているエンドポイントに企業セキュリティ評価共有機能を提供する、ＥＳＡＳコンポーネント５２３をさらに含む。ＥＳＡＳコンポーネント５２３は、通常はソフトウェアによって提供されるいくつかまたは全てのＥＳＡＳ機能をハードウェア内に実装してもよい。ＥＳＡＳ機能を有する導入されたＮＩＣを有するエンドポイントを使用する例示のＥＳＡＳのシナリオは、図１０−１１に示されかつそこに添付の文章に説明されている。
【００３６】
本発明のハードウェアインターフェースを使用してＥＳＡＳ構成が実装されている説明例がここで示された。マスストレージサブシステム、内部ネットワークインターフェース及び外部ネットワークインターフェース等の他のデバイスを伴っている企業コンピューティング環境、例えば、ビジネスオフィス、多数のパーソナルコンピュータ、ワークステーション、サーバー等は、通常は、相互接続されて、情報が、生成され、外部ソースからアクセスされかつ様々なユーザ間で共有される統合環境を提供する。一般的に、ユーザは、データの作成、アクセス及び共有が有効である、受注、製造、出荷、請求、在庫管理、文書作成及び文書管理、電子メール、ウェブブラウジング、並びに他の操作を含む様々な操作を行う。
【００３７】
現在、通常は、セキュリティは、標準的には企業全体のデータの一部のみを監視する様に各々が構成されている様々な異なったセキュリティ製品を使用して企業に提供されている。すなわち、セキュリティ製品は、製品の各々が企業内のデータの異なった部分に対して、監視をし、評価をし、行動を起こす分離されたローカルの「アイランド」として構成される。例えば、ホストセキュリティ製品、エッジファイアウォール製品、ＮＩＤＳ製品、ＮＡＰ製品、及び他の別個のセキュリティ製品は、一般的に、企業の様々な異なった部分のセキュリティを提供する。
【００３８】
これらのセキュリティ製品は、しばしば、多くのアプリケーションにおいて満足に動作するが、セキュリティ事象の検出は、一部の企業セキュリティデータのみの監視の結果として、望ましくない高い頻度の誤警告及び見逃し判定の発生の影響を受ける。全ての企業セキュリティ製品アイランドに亘って効果的で共通な管理を提供することも難しかった。企業全体のセキュリティデータを相互に関連付ける現在の試みは、高い管理コスト及び保守コストを有し、規模の拡大において問題を有している。従って、ＥＳＡＳは、単一の企業全体視野を提供して、セキュリティ事象に対する自動応答に関して明快、単純かつ統一された企業全体ポリシーをセキュリティ管理者が画定及び適用できるようにする。
【００３９】
上述したように、ＥＳＡＳは、セキュリティ評価と称される抽象概念に依存しており、セキュリティ評価は、企業セキュリティ環境において、セキュリティエンドポイントと称される異なったセキュリティ製品間のセキュリティ関連情報の共有を可能とする。セキュリティ評価は、コンピュータ、ユーザ、サービス（例えばウェブサイト）、データまたは企業全体等の環境において関心のあるオブジェクトに関して収集される情報（すなわち、コンテキスト内のデータ）に関する上位のコンテキスト上の意味（ｃｏｎｔｅｘｔｕａｌ ｍｅａｎｉｎｇ）のセキュリティエンドポイントによって一時的な割り当てとして定義される。このセキュリティ評価は、セキュリティエンドポイントに関する簡潔な語彙集を使用して、環境内にあるオブジェクトが、「危険である」または「攻撃されている」等の特定の評価カテゴリに含まれることになったことを検出された事象の重大度（例えば、低度、中度、高度、危機的）と共に宣言する。
【００４０】
セキュリティ評価は、いくらかの不確実性を前提にしておりかつ限定された期間に対して有効であるため、セキュリティ評価は暫時的である。セキュリティ評価のこの暫時的な性質は、その構成要素のうちの２つにおいて反映される：すなわち、コンテキスト上の意味の割り当てにおいてセキュリティエンドポイントが有している信頼度を表明する忠実度フィールド、及びセキュリティエンドポイントのセキュリティ評価が有効である期間の予測を反映する有効期限（ＴＴＬ）フィールドである。従って、例えば、セキュリティ評価は、セキュリティエンドポイントによって使用されて、セキュリティエンドポイントの１または複数のセキュリティ事象の現在の認識を考慮して、特定のマシンが危険であることを、危機的の重大度、中度の忠実度、３０分のＴＴＬで宣言する。様々なタイプのセキュリティ評価は、例えば、評価カテゴリ及びオブジェクトタイプの様々な組み合わせを有する任意の所与の企業セキュリティ環境において使用され得る。
【００４１】
セキュリティエンドポイントは、この環境において機能するセキュリティ評価チャンネルにセキュリティ評価を公開する機能を付与され、他のセキュリティエンドポイントから公開されている利用可能なセキュリティ評価のサブセットを受け入れる。アクティブな環境に存在するセキュリティ評価（すなわち評価は未だに有効であると示すＴＴＬを有するセキュリティ評価）は、このようなＥＳＡＳに対応しているエンドポイントに、当該エンドポイント自身のローカルに利用可能な情報を発見する新しい方法を与えるセキュリティコンテキストを提供する役割を果たす。すなわち、このセキュリティコンテキストは、エンドポイントの潜在的セキュリティ事象の検出の質を著しく向上させるために、ＥＳＡＳに対応しているエンドポイントが、様々な異なった発信元から受信される複数のオブジェクトタイプに亘るセキュリティ評価からの証拠を組み合わせるかまたは相互に関連付けることを可能であるようにする。その後、ＥＳＡＳに対応しているエンドポイントは、ローカルでの活動または応答が各々のタイプのセキュリティ評価（他のセキュリティエンドポイントから受信したであろうがこのセキュリティエンドポイント自身によって内部的に生成されたであろうが）に関して適切であることに関する判定を、応答ポリシーのセットに従って行う。このセキュリティコンテキストは、セキュリティ評価の形式において、企業全体に亘る大量の生データ（このほとんどは、コンテキストの欠落の故に完全に無関係である）の共有の負担無しに企業全体情報の分散処理が可能であるため、事象検出は、効率的でありコスト効果がある。ＥＳＡＳに対応しているエンドポイントは、ローカルでの活動を促したセキュリティ評価の期限切れにおいて（すなわち、セキュリティ評価が、ＴＴＬフィールドにおいて特定された有効期限を越えた場合）ローカルでの活動をロールバックするようにさらに構成されている。
【００４２】
最も一般的なＥＳＡＳ実装においては、ＥＳＡＳ中央サーバーと称される専用のセキュリティエンドポイントが使用される。このＥＳＡＳ中央サーバーは、セキュリティ評価チャンネルに接続されており、全てのセキュリティ評価を受け入れることと、そのセキュリティ評価を記録することと、かつ当該環境におけるセキュリティ事象に反応してセキュリティエンドポイントによって成されたローカルでの活動も記録することとによって集中型検査ポイントとして機能する。このＥＳＡＳ中央サーバーは、管理者に、企業全体及びＥＳＡＳに対応しているエンドポイントの各々の状態履歴及び現在状態の総合的な表示を提供する。セキュリティ評価の使用は、管理者が企業全体に亘って検出される事象に対する応答ポリシーを簡潔にかつ効果的に設定することを可能とする。このセキュリティ評価は、企業全体セキュリティ応答ポリシーを画定するために、固有のアンカー、すなわち開始点として機能する。従って、能率化され一貫性のある管理インターフェースは、企業全体に亘る各々のタイプのセキュリティ評価に関して望ましい応答を画定することが可能である。
【００４３】
このＥＳＡＳ構成は、多くの利点を提供する。簡潔な語彙集を有するセキュリティ評価を使用することによって、企業内のデータ全体の複雑性は劇的に減少し、意味のある情報のみがセキュリティエンドポイント間で共有される。セキュリティ評価の使用は、中央記憶ロケーションにおける大量の生データの収集の必要も排除し、それによって高度に拡張可能な企業セキュリティ解決策を非常にコスト効果のある原理において構築することができる。さらに、新しいセキュリティエンドポイントは、要求に応じた拡張性で容易に配され得る。セキュリティ評価は、既存のセキュリティエンドポイント内の応答ポリシーを再設定する必要無く新しいエンドポイントと既存のセキュリティエンドポイントとの間で共有され得る。この新しいエンドポイントは、既存のセキュリティエンドポイントが既に認識している抽象概念を用いるセキュリティ評価の新しい情報源として単純に機能する。このセキュリティ評価の使用は、企業全体セキュリティポリシーを、全てのセキュリティエンドポイントが企業内で生成し得、その後、事象の各々に対する応答動作を記述し得る、起こり得るセキュリティ事象の全てを、認識する必要無く非常に簡潔かつ明快な方法論を用いて構築可能である。
【００４４】
図６をみると、企業ネットワーク１３０内に配されている例示のＥＳＡＳ構成６００が示されており、このＥＳＡＳ構成６００において、セキュリティ評価チャンネル６０２が提供されて、セキュリティ評価が、セキュリティエンドポイントの各々において共通に使用されている言語／プロトコルを使用して複数のセキュリティエンドポイント間で共有されることが可能とされている。セキュリティ評価チャンネル６０２は、セキュリティ評価の発信源（発行元（ｐｕｂｌｉｓｈｅｒｓ））とセキュリティ評価の需要者（受入先（ｓｕｂｓｃｒｉｂｅｒｓ））とを接続するためにセキュリティエンドポイントによって使用される発行／受入モデルを容易にする。示されているように、セキュリティ評価チャンネル上の発行元及び受入先の両方がセキュリティエンドポイント６０５である。
【００４５】
セキュリティエンドポイント６０５は、及びセキュリティ評価チャンネル６０２との相互作用を単純化するように構成された抽象概念レイヤーを介した発行／受入モデルの、実際の転送および管理の構造から隔離されている。抽象レイヤーは、セキュリティエンドポイントが受け入れるセキュリティ評価タイプを記述するテーブル、及びセキュリティエンドポイントが発行するセキュリティ評価タイプを記述するテーブルを含む（以下に説明するように、全てのエンドポイントが、全てのセキュリティ評価タイプを通常受け入れる訳ではない）。さらに、この抽象レイヤーは、受信したセキュリティ評価を読み込むためのＡＰＩ（アプリケーションプログラミングインターフェース）、及びセキュリティ評価を生成するためのＡＰＩを提供する。
【００４６】
専用のセキュリティエンドポイント、ＥＳＡＳ中央サーバー６１６、はセキュリティ評価チャンネル６０２に接続され、ＥＳＡＳ構成６００の集中型検査ポイントとして機能する。従って、ＥＳＡＳ中央サーバー６１６は、全てのセキュリティ評価を受け入れてこれらを常時記録する。ＥＳＡＳ中央サーバー６１６は、セキュリティエンドポイントによって実行されたローカルでの活動を示すセキュリティエンドポイントからのメッセージも受信して記録する。従って、ＥＳＡＳ中央サーバー６１６は、管理者に、企業全体及びＥＳＡＳに対応しているエンドポイントの各々の状態履歴及び現在状態の総合的な表示を与えるセキュリティ評価監視機能を提供する。
【００４７】
図７は、第１の例示のシナリオの図を示しており、ここにおいて、複数のＥＳＡＳに対応しているエンドポイントがセキュリティ評価チャンネル６０２に接続されており、１つのエンドポイントにおいて検出された事象が複数の他のセキュリティエンドポイントの応答を引き起こしている。この例示のシナリオは、３つの段階で説明される。参照符号７１０によって示されているように、エッジファイアウォール６０５2は、最初に、例えば、企業ネットワーク１３０の周辺との非常に多くの接続を形成していてその状態がセキュリティ危機の存在と表現するのが最も適切であるとして、潜在的に危険にさらされているクライアントを認識する。次に、エッジファイアウォール６０５2は、参照符号７２０に示すように、特定のクライアントが「危険にさらされている」ことを高度な重要度及び高度な忠実度で示すセキュリティ評価を、セキュリティ評価チャンネル６０２を介して受入セキュリティエンドポイントに送信する。
【００４８】
３番目に、セキュリティ評価を受信する受入セキュリティエンドポイント６０５1,2,3...N及びＥＳＡＳ中央サーバー６１６が、自身の収集ルール及びローカルで利用可能なデータを介して特定のセキュリティ専門知識を適用して、適切な動作を開始する。図７内の参照符号７３０によって集合的に示されているように、ホストセキュリティエンドポイント６０５1は、必要に応じたスキャンを実行する。ＮＡＰエンドポイント６０５3は、認識されている危険にさらされているクライアントに対するＩＰセキュリティ認証を取り消して、ポート遮断を実行する。ラインオブビジネス（ｌｉｎｅ−ｏｆ−ｂｕｓｉｎｅｓｓ）セキュリティエンドポイント６０５Nは、受信したセキュリティ評価に基づいて、危険にさらされているクライアントへのインスタントメッセージング（ＩＭ）トラフィックを一時的に停止する。ＥＳＡＳ中央サーバー６１６は、セキュリティ解析者（例えば、管理者）に警告をもたらし、全てのセキュリティ評価及び起動された動作の全てを記録する。
【００４９】
上述の第１の例示のシナリオは、疑わしい事象を検出するセキュリティエンドポイントが高い重要度及び高い忠実度（すなわち、セキュリティエンドポイントが有効に深刻な事象を検出したという高い信頼度を有する）でセキュリティ評価を生成する場合を提供した。それと比較して、図８は、第２の例示のシナリオの図であり、当該シナリオにおいては、低い忠実度のセキュリティ評価がセキュリティ評価チャンネル６０２を介して送信され、このことがクロスオブジェクトマッピングも行う受信セキュリティエンドポイントによる高い忠実度の評価の生成を開始させる。
【００５０】
この第２の例示のシナリオも３つの段階で説明される。参照符号８１０によって示されているように、エッジファイアウォール６０５2は、最初に、企業ネットワーク１３０の周辺への多数のクライアント接続を検出する。しかし、図７に示されかつそこに付属の文章において説明されている第１の例示のシナリオと異なり、クライアントによって確立されている接続の数は、エッジファイアウォール６０５2が、クライアントが危険にさらされていると完全に確信できるほどに多くはない。既存の企業セキュリティシステムにおいて、セキュリティエンドポイントがこのようなデータを認識した場合、セキュリティシステムは、マシンの切断等の通常の厳しい応答を認可する十分な証拠が無いとして、このデータを単にドロップして何の動作も起こさない。それに比べて、本シナリオにおいては、参照符号８２０に示されているように、第２段階においてエッジファイアウォール６０５2が、セキュリティ評価チャンネル６０２を介して特定のクライアントが危険にさらされていることを中度の深刻度及び低い忠実度とともに示すセキュリティ評価８１５を送信する。
【００５１】
ここで、エッジファイアウォール６０５2によって生成されたセキュリティ評価８１５内において参照された特定のオブジェクトを受け入れるセキュリティエンドポイントは、ホストセキュリティエンドポイント６０５1及びＥＳＡＳ中央サーバー６１６を含む。このような低い忠実度のデータは、通常は従来のセキュリティ製品においてはセキュリティエンドポイントにおいて行われる動作を開始させることはないが、本発明の企業セキュリティ評価共有によれば、ホストセキュリティエンドポイント６０５1は、エッジファイアウォール６０５2から受信したセキュリティ評価に応じて異なった態様で自身のローカルデータを調べる。この場合、ホストセキュリティエンドポイント６０５1における要求に応じたスキャンによってもたらされたローカルデータ、及びエッジファイアウォール６０５2からのセキュリティ評価内に含まれる情報は、新しい評価８２５及び８２８を生成するために使用される。従って、ホストセキュリティエンドポイント６０５1は、それ自身によって、新しいセキュリティ評価の生成を認可しないという情報を有するが、この場合のように、他のセキュリティエンドポイントからの低い忠実度のデータによってであっても補強されている場合、各々が高い忠実性を有する新しいセキュリティ評価８２５及び８２８の形成を正当化するのに十分な証拠がある。
【００５２】
ホストセキュリティエンドポイント６０５1は、セキュリティ評価チャンネル６０２上に新しいセキュリティ評価８２５及び８２８を配する。新しいセキュリティ評価８２５及び８２８は、セキュリティ評価チャンネル６０２を介して、この例示のシナリオにおいて、エッジファイアウォール６０５2、セキュリティ評価８２５に関するＥＳＡＳ中央サーバー６１６、及びセキュリティ評価８２８に関するラインオブビジネスエンドポイント６０５Nを含む受入セキュリティエンドポイントによって受信される。
【００５３】
参照オブジェクトタイプがマシンであり、電子メールの保護における役割の長所によってラインオブビジネスエンドポイント６０５Nが通常はユーザに関連する故に、ラインオブビジネスエンドポイント６０５Nは、エッジファイアウォール６０５2によって生成されたオリジナルのセキュリティ評価８１５の受入者でないことに注意する。しかし、この第２の例示のシナリオにおいて、ホストセキュリティエンドポイント６０５1が新しいセキュリティ評価８２８を形成する際に、ホストセキュリティエンドポイント６０５1はホストオブジェクトタイプからユーザオブジェクトタイプにマップ（変化）する。このようなクロスオブジェクトマッピング機能は、ホストコンピュータのデータ信頼性またはインテグリティを低下させるマルウェアまたは悪意のある活動等の高い重要度の事象がさらにユーザをも潜在的に危険にさらすと考えられる多くのシナリオにおいて利益があり得る。セキュリティ評価が生成され得、当該セキュリティ評価は、ある程度の忠実度で、高度な重要度の事象をホストオブジェクトタイプからユーザオブジェクトタイプにクロスマッピングする。同様に、マルウェアまたは悪意のある活動が実際にホストコンピュータにおけるデータインテグリティの損失をもたらした危機的な重大度の事象に対し、ユーザオブジェクトタイプに関するセキュリティ評価がさらに高い忠実度で生成され得る。
【００５４】
第３段階において、参照符号８３０によって集合的に示されているように、新しいセキュリティ評価８２５及び８２８が、受信セキュリティエンドポイントにおける個別の様々な動作を開始させる。特に、エッジファイアウォール６０５2は、ソフトウェアアップデート及び／またはミッションクリティカル（ｍｉｓｓｉｏｎ−ｃｒｉｔｉｃａｌ）なアクセスを除いて、危険にさらされているクライアントからの全てのアクセスをブロックする。ラインオブビジネスエンドポイント６０５Nは、外部に送信される電子メールを一時的に差し止める。そして、第１の例示のシナリオのように、ＥＳＡＳ中央サーバー６１６は、全ての評価及び活動を記録し続ける。上述したように、このような制限は、新しいセキュリティ評価８２５及び８２８に付随するＴＴＬが有効である期間のみ適用される。この新しいセキュリティ評価の期限が過ぎた際には、各々のセキュリティエンドポイントによって行われた動作は、ＴＴＬが延長されるか、または制限動作を起動する新しいセキュリティ評価が受信されない限りロールバックされる。
【００５５】
図９は、修正技術の的を絞った使用を示す第３の例示のシナリオの図である。この第３の例示のシナリオは、３つの段階で説明される。参照符号９１０によって示されている様に、エッジファイアウォール６０５2は、最初に周辺ネットワークへの大量のクライアント接続を検出する。次に、エッジファイアウォール６０５2は、特定のクライアントが「危険にさらされている」ことを高度の重要度及び高度の忠実度で示すセキュリティ評価を、参照符号９２０で示されているように、セキュリティチャンネル６０２を介して受入セキュリティエンドポイントに送信する。この受入セキュリティエンドポイントは、ホストセキュリティエンドポイント６０５1、ＮＡＰエンドポイント６０５3及びＥＳＡＳ中央サーバー６１６を含む。
【００５６】
ホストセキュリティエンドポイント６０５1は、受信されたセキュリティ評価を再調査し、相互関係ルール及び関連するローカルで利用可能な任意のデータを使用してホストセキュリティエンドポイント６０５1の特定のセキュリティ専門知識を適用する。この説明例において、ホストセキュリティエンドポイント６０５1は、ラインオブビジネスセキュリティエンドポイント６０５Nが受け入れるユーザオブジェクトタイプを含む新しいセキュリティ評価９２５を確実に生成する。
【００５７】
このシナリオの第３の段階において、セキュリティエンドポイントによって使用される修正技術は、企業ネットワーク１３０内のビジネス操作における潜在的な影響に関して高価であると考えられる。例えば、参照符号９３０によって示されているように、ラインオブビジネスセキュリティエンドポイント６０５Nは、外部に送信される電子メールの一時的な差し止めを伴う応答ポリシーを実装している。さらに、ホストセキュリティエンドポイント６０５1は、要求に応じたスキャンを実行し、結果が得られなかった場合、さらに詳細なスキャンを実行する。このような修正技術はアドレッシングマルウェア（ａｄｄｒｅｓｓｉｎｇ ｍａｌｗａｒｅ）、悪意のあるユーザ、及び他の問題において非常に効果的であり得る一方で、この修正技術は、通常は企業に大きな出費の影響を与える。例えば、差し止められた外部へ送信される電子メールのユーザは生産性が低下し、詳細なスキャンは、通常は１または複数回の再起動を必要とし、この再起動はそのマシンを一定期間サービスから隔離することになるだろう。
【００５８】
このＥＳＡＳ構成は、的を絞った態様で適用されかついくつかのマシン及び／またはユーザに関して不当とされ得る一般的な方法または全体的な方法で単に適用される訳ではない、これらの高価であるが効果的な修正技術を有利に可能とする。この環境内の事前に画定された基準を用いて疑わしいとみなされたオブジェクトのみが、これらの特定の修正技術の対象となるだろう。
【００５９】
図１０は、例示の構成であり、当該構成において、ＥＳＡＳセキュリティ評価チャンネルは、企業ネットワーク１３０から、インターネット１１２等の保護されていないネットワークを介して、本発明のハードウェアインターフェースを使用してＥＳＡＳに対応しているエンドポイントまで拡張させられていてもよい。この例において、ＰＣ１０５1はダイレクトアクセス対応クライアントＮＩＣ４０５を使用し、携帯情報機器１０５3はダイレクトアクセス対応クライアントチップセット５０５を使用している。ＮＩＣ４０５及びチップセット５０５の両方は、この例においてハードウェア内にＥＳＡＳ機能を実装する任意で使用されるＥＳＡＳコンポーネントを使用する。図１０において、クライアントデバイス１０５がＥＳＡＳ機能とともに配されている様に示されているが、ネットワーク環境内の任意の様々なデバイスが任意の様々なデバイスには、サーバーと、ルータ、ゲートウェイ、スイッチ等の中間ネットワークデバイスとを含むＥＳＡＳとともに本発明のハードウェアインターフェースを含むように構成されてもよいことを強調しておく。
【００６０】
図１０に示されている様に、携帯情報機器１０５3において動作しているセキュリティソフトウェアは、フィッシングサイトとみられるウェブサイト等のセキュリティ事象を検出する。その後、セキュリティソフトウェアは、拡張されたＥＳＡＳセキュリティ評価チャンネル（参照符号１０２２で示されている）を介して、企業ネットワーク１３０内の受入セキュリティエンドポイント６０５に受信されるセキュリティ評価１０１２を発行する。携帯情報機器１０５3内のチップセット５０５は、決められたチャンネルを介してセキュリティ評価を送信及び受信するように構成されていてもよい。例えば、このチャンネルはリンクを含むかまたは決められたＩＰアドレスを使用してもよく、さらに特定のＱｏＳで処理されて、インターネット１１２が混雑している場合でもセキュリティ評価の通信を保証する。
【００６１】
図１１に示されているように、拡張されたＥＳＡＳセキュリティ評価チャンネル１０２２は、企業ネットワーク１３０内のセキュリティエンドポイント６０５によって発行されたセキュリティ評価のデバイス１０５における受信をサポートしている。示されているように、エッジファイアウォール６０５2によって発行されたセキュリティ評価１１１２は、ＰＣ１０５1及び携帯情報機器１０５3によって受信される。このセキュリティ評価の受信は、図７−９に付随の文章において上述された態様と同様の態様でクライアントデバイス１０５によるローカルな応答を開始させてもよい。
【００６２】
本発明が、構造的特徴及び／または方法的作用について特に説明されてきたが、添付の特許請求の範囲内に画定された本発明が、上述の特定の特徴または作用に必ずしも限定されないことが理解されるべきである。むしろ上述の特定の特徴及び作用は、特許請求の範囲に記載の発明を実施する例示の形態として開示されている。
【特許請求の範囲】
【請求項１】
企業ネットワーク内のホストエンドポイント内に設けられた場合にダイレクトアクセスを可能とするネットワークインターフェースカード（４０５）であって、
前記ネットワークインターフェースカードに到達するデータトラフィックをＩＰｖ４からＩＰｖ６に変換を行うＩＰｖ４からＩＰｖ６への変換コンポーネント（４１２）と、
ＩＰｓｅｃ接続を終端させるＩＰｓｅｃコンポーネント（４１６）と、
ネットワークエンドポイント間でセキュリティ評価を共有するためにハードウェア内にセキュリティ評価発行及び受入モデルを実装する企業セキュリティ評価共有コンポーネント（４２３）であって、前記セキュリティ評価が企業ネットワーク環境内で発生するセキュリティ事象にコンテキスト上の意味を提供する、前記企業セキュリティ評価共有コンポーネント（４２３）と
を含むことを特徴とするネットワークインターフェースカード（４０５）。
【請求項２】
標準物理インターフェースをさらに含むことを特徴とする請求項１に記載のネットワークインターフェースカード。
【請求項３】
前記ネットワークインターフェースカードが設けられているクライアントデバイスにＮＡＰ機能を提供するクライアント側ＮＡＰコンポーネントをさらに含むことを特徴とする請求項１に記載のネットワークインターフェースカード。
【請求項４】
前記ＩＰｖ４からＩＰｖ６への変換コンポーネントがＡＬＧ機能をさらに有しＤＮＳレジストリの変更を実行することを特徴とする請求項１に記載のネットワークインターフェースカード。
【請求項５】
前記企業セキュリティ評価共有コンポーネントが、前記セキュリティ評価が有効である期間をさらに画定することを特徴とする請求項１に記載のネットワークインターフェースカード。
【請求項６】
前記企業セキュリティ評価共有コンポーネントが、さらに、前記ネットワークエンドポイントによって検出されたセキュリティ事象に関するセキュリティ評価を受信することを特徴とする請求項１に記載のネットワークインターフェースカード。
【請求項７】
前記企業セキュリティ評価共有コンポーネントが、さらに、受信したセキュリティ評価に対するローカルでの応答を起動することを特徴とする請求項１に記載のネットワークインターフェースカード。
【請求項８】
前記企業セキュリティ評価共有コンポーネントが、さらに、受信したセキュリティ評価がもはや有効ではない場合に、ローカルでの応答をロールバックすることを特徴とする請求項７に記載のネットワークインターフェースカード。
【請求項９】
ホストデバイス（１０５）内に設けられた場合にダイレクトアクセスを可能とするチップセット（５０５）であって、
前記ホストデバイス（１０５）に到達するデータトラフィックにＩＰｖ４からＩＰｖ６への変換を提供するＩＰｖ４からＩＰｖ６への変換コンポーネント（５１２）と、
ハードウェア内に企業セキュリティ評価共有システムを実装する企業セキュリティ評価共有コンポーネント（５２３）であって、 前記システムはセキュリティ関連情報共有モデルを実装し、前記セキュリティ関連情報共有モデルによって企業セキュリティ環境内の複数のエンドポイント間でセキュリティ関連情報が共有可能であり、前記モデルは、エンドポイントが利用可能であるセキュリティ関連情報の抽象概念を使用して前記環境内のオブジェクトを記述するステップと、発行エンドポイントが前記抽象概念を発行し、受入エンドポイントが前記抽象概念タイプに基づいた受け入れに従って前記抽象概念を受け入れる発行及び受入モデルを使用するステップと、を含む方法の使用を容易にし、前記抽象概念はｉ）タイプによってカテゴリ分けされ、ｉｉ）前記エンドポイントによって共通に使用可能である、前記企業セキュリティ評価共有コンポーネント（５２３）と
を含むことを特徴とするチップセット（５０５）。
【請求項１０】
前記抽象概念が、オブジェクトタイプ及び評価カテゴリを含む体系化された語彙集を用いる所定の分類法を用いて、エンドポイントによるコンテキストの割り当てを前記セキュリティ関連情報に提供するセキュリティ評価であることを特徴とする請求項９に記載のチップセット。
【請求項１１】
ＩＰｓｅｃ接続を終端させるＩＰｓｅｃコンポーネントをさらに含むことを特徴とする請求項９に記載のチップセット。
【請求項１２】
前記ＩＰｓｅｃコンポーネントがＩＰｓｅｃ−ＮＡＰコンポーネントであることを特徴とする請求項１１に記載のチップセット。
【請求項１３】
前記ＩＰｓｅｃコンポーネントがＩＰｓｅｃトンネリングを実行することを特徴とする請求項１１に記載のチップセット。
【請求項１４】
前記ＩＰｓｅｃコンポーネントがＩＰｓｅｃトンネリングエンドポイントを実装することを特徴とする請求項１１に記載のチップセット。
【請求項１５】
デバイス専用物理インターフェースをさらに含むことを特徴とする請求項９に記載のチップセット。
【請求項１】
企業ネットワーク内のホストエンドポイント内に設けられた場合にダイレクトアクセスを可能とするネットワークインターフェースカード（４０５）であって、
前記ネットワークインターフェースカードに到達するデータトラフィックをＩＰｖ４からＩＰｖ６に変換を行うＩＰｖ４からＩＰｖ６への変換コンポーネント（４１２）と、
ＩＰｓｅｃ接続を終端させるＩＰｓｅｃコンポーネント（４１６）と、
ネットワークエンドポイント間でセキュリティ評価を共有するためにハードウェア内にセキュリティ評価発行及び受入モデルを実装する企業セキュリティ評価共有コンポーネント（４２３）であって、前記セキュリティ評価が企業ネットワーク環境内で発生するセキュリティ事象にコンテキスト上の意味を提供する、前記企業セキュリティ評価共有コンポーネント（４２３）と
を含むことを特徴とするネットワークインターフェースカード（４０５）。
【請求項２】
標準物理インターフェースをさらに含むことを特徴とする請求項１に記載のネットワークインターフェースカード。
【請求項３】
前記ネットワークインターフェースカードが設けられているクライアントデバイスにＮＡＰ機能を提供するクライアント側ＮＡＰコンポーネントをさらに含むことを特徴とする請求項１に記載のネットワークインターフェースカード。
【請求項４】
前記ＩＰｖ４からＩＰｖ６への変換コンポーネントがＡＬＧ機能をさらに有しＤＮＳレジストリの変更を実行することを特徴とする請求項１に記載のネットワークインターフェースカード。
【請求項５】
前記企業セキュリティ評価共有コンポーネントが、前記セキュリティ評価が有効である期間をさらに画定することを特徴とする請求項１に記載のネットワークインターフェースカード。
【請求項６】
前記企業セキュリティ評価共有コンポーネントが、さらに、前記ネットワークエンドポイントによって検出されたセキュリティ事象に関するセキュリティ評価を受信することを特徴とする請求項１に記載のネットワークインターフェースカード。
【請求項７】
前記企業セキュリティ評価共有コンポーネントが、さらに、受信したセキュリティ評価に対するローカルでの応答を起動することを特徴とする請求項１に記載のネットワークインターフェースカード。
【請求項８】
前記企業セキュリティ評価共有コンポーネントが、さらに、受信したセキュリティ評価がもはや有効ではない場合に、ローカルでの応答をロールバックすることを特徴とする請求項７に記載のネットワークインターフェースカード。
【請求項９】
ホストデバイス（１０５）内に設けられた場合にダイレクトアクセスを可能とするチップセット（５０５）であって、
前記ホストデバイス（１０５）に到達するデータトラフィックにＩＰｖ４からＩＰｖ６への変換を提供するＩＰｖ４からＩＰｖ６への変換コンポーネント（５１２）と、
ハードウェア内に企業セキュリティ評価共有システムを実装する企業セキュリティ評価共有コンポーネント（５２３）であって、 前記システムはセキュリティ関連情報共有モデルを実装し、前記セキュリティ関連情報共有モデルによって企業セキュリティ環境内の複数のエンドポイント間でセキュリティ関連情報が共有可能であり、前記モデルは、エンドポイントが利用可能であるセキュリティ関連情報の抽象概念を使用して前記環境内のオブジェクトを記述するステップと、発行エンドポイントが前記抽象概念を発行し、受入エンドポイントが前記抽象概念タイプに基づいた受け入れに従って前記抽象概念を受け入れる発行及び受入モデルを使用するステップと、を含む方法の使用を容易にし、前記抽象概念はｉ）タイプによってカテゴリ分けされ、ｉｉ）前記エンドポイントによって共通に使用可能である、前記企業セキュリティ評価共有コンポーネント（５２３）と
を含むことを特徴とするチップセット（５０５）。
【請求項１０】
前記抽象概念が、オブジェクトタイプ及び評価カテゴリを含む体系化された語彙集を用いる所定の分類法を用いて、エンドポイントによるコンテキストの割り当てを前記セキュリティ関連情報に提供するセキュリティ評価であることを特徴とする請求項９に記載のチップセット。
【請求項１１】
ＩＰｓｅｃ接続を終端させるＩＰｓｅｃコンポーネントをさらに含むことを特徴とする請求項９に記載のチップセット。
【請求項１２】
前記ＩＰｓｅｃコンポーネントがＩＰｓｅｃ−ＮＡＰコンポーネントであることを特徴とする請求項１１に記載のチップセット。
【請求項１３】
前記ＩＰｓｅｃコンポーネントがＩＰｓｅｃトンネリングを実行することを特徴とする請求項１１に記載のチップセット。
【請求項１４】
前記ＩＰｓｅｃコンポーネントがＩＰｓｅｃトンネリングエンドポイントを実装することを特徴とする請求項１１に記載のチップセット。
【請求項１５】
デバイス専用物理インターフェースをさらに含むことを特徴とする請求項９に記載のチップセット。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【公表番号】特表２０１１−５１７２０８（Ｐ２０１１−５１７２０８Ａ）
【公表日】平成２３年５月２６日（２０１１．５．２６）
【国際特許分類】
【出願番号】特願２０１１−５０３０１０（Ｐ２０１１−５０３０１０）
【出願日】平成２１年３月６日（２００９．３．６）
【国際出願番号】ＰＣＴ／ＵＳ２００９／０３６４１０
【国際公開番号】ＷＯ２００９／１２３８２６
【国際公開日】平成２１年１０月８日（２００９．１０．８）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．イーサネット
【出願人】（５０００４６４３８）マイクロソフト コーポレーション (3,165)
【Ｆターム（参考）】
【公表日】平成２３年５月２６日（２０１１．５．２６）
【国際特許分類】
【出願日】平成２１年３月６日（２００９．３．６）
【国際出願番号】ＰＣＴ／ＵＳ２００９／０３６４１０
【国際公開番号】ＷＯ２００９／１２３８２６
【国際公開日】平成２１年１０月８日（２００９．１０．８）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．イーサネット
【出願人】（５０００４６４３８）マイクロソフト コーポレーション (3,165)
【Ｆターム（参考）】
[ Back to top ]