ユーザのネットワーク活動に基づいたコンピュータ・セキュリティの動的調整のための方法およびシステム
【課題】データ処理システム内のコンピュータ資源の安全性を保護するための、方法、システム、装置、またはコンピュータ・プログラム製品を提示すること。
【解決手段】第１のユーザは、第１のコンピュータ装置を使用し、ユーザ・セキュリティ・レベルが、第１のユーザに関連付けられる。同様に、第２のユーザは、第２のコンピュータ装置を使用し、ユーザ・セキュリティ・レベルが、第２のユーザに関連付けられる。第１のコンピュータ装置上のコンピュータ資源は、第２のユーザの第２のユーザ・セキュリティ・レベルに基づいて、自動的に再構成される。コンピュータ・セキュリティ・レベルが、第１のコンピュータ装置上のコンピュータ資源に割り当てられることができ、そのコンピュータ・セキュリティ・レベルは、第２のユーザによって使用されている第２のコンピュータ装置による検出ネットワーク活動に応じて動的に調整される。第１のコンピュータ装置上のコンピュータ資源を再構成するための修正セキュリティ関係パラメータは、調整されたコンピュータ・セキュリティ・レベルに基づいて再構成される。
【解決手段】第１のユーザは、第１のコンピュータ装置を使用し、ユーザ・セキュリティ・レベルが、第１のユーザに関連付けられる。同様に、第２のユーザは、第２のコンピュータ装置を使用し、ユーザ・セキュリティ・レベルが、第２のユーザに関連付けられる。第１のコンピュータ装置上のコンピュータ資源は、第２のユーザの第２のユーザ・セキュリティ・レベルに基づいて、自動的に再構成される。コンピュータ・セキュリティ・レベルが、第１のコンピュータ装置上のコンピュータ資源に割り当てられることができ、そのコンピュータ・セキュリティ・レベルは、第２のユーザによって使用されている第２のコンピュータ装置による検出ネットワーク活動に応じて動的に調整される。第１のコンピュータ装置上のコンピュータ資源を再構成するための修正セキュリティ関係パラメータは、調整されたコンピュータ・セキュリティ・レベルに基づいて再構成される。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、改良されたデータ処理システムに関し、詳細には、コンピュータ・セキュリティのための方法および装置に関する。
【背景技術】
【０００２】
コンピュータ・セキュリティ・ツールは、コンピュータ・システムに損害を与えようとする悪意あるユーザの能力を制限するための防衛機構を提供する。ソフトウェア・ベースの侵入検出アプリケーションは、コンピュータ管理者が、疑わしいコンピュータ活動を追跡する措置、ならびにセキュリティ侵害を防止するためにコンピュータ・システムおよびネットワークを変更する措置を講じられるように、管理者に疑わしい活動を警告することができる。
【０００３】
しかし、コンピュータ・システムに対する多くのセキュリティ侵害は、物理的に無権限使用が可能となるためにコンピュータ・システムを物理的に脆弱にする、人間の不注意または怠慢を通して起こる。例えば、ユーザは、コンピュータ・ワークステーションにログオンしたまま、昼食のために席を離れることがあり、ユーザのオフィスの無人で放置されたコンピュータは、無権限の人による使用に対して無防備である。無活動のまま一定の時間が経過すると、ユーザのアカウントまたは装置が自動的にログオフする場合であっても、無権限の人が、悪意ある活動のためにユーザのアカウントにアクセスすることができる期間が残っている。同様の状況は、脆弱な装置に対するより強固な物理的管理を必要とする。
【０００４】
無人で放置された装置に対するより良いセキュリティ実践を主張するのに加えて、人が使用中の装置に対するセキュリティ実践が改善され得る多くの状況が存在し、すなわち、誰かによってアクティブに使用されているコンピュータ資源もまだ依然として、無権限使用または慣習から保護される必要がある。例えば、いくつかの組織、特に政府機関および軍事省は、職員に対する様々なタイプのセキュリティ手順を実施する。１つの組織内の異なる個人は、異なる職務を有し、様々なレベルのセキュリティ・クリアランス（ｓｅｃｕｒｉｔｙ ｃｌｅａｒａｎｃｅ）、または様々なタイプの区分化セキュリティ・アクセスが、個人の職務に従って、同じ組織内の個人に与えられる。多くの場合、同じ組織単位内の２人の人は、相手よって処理された情報を見る権限を与えられない。これらの組織は、異なる職員に適用されるセキュリティ手順を反映した、異なるセキュリティ手順をコンピュータ・システムに対して実施することができ、例えば、各人は、担当する仕事にとって必要なコンピュータ資源にアクセスする権限のみを与えられる。
【０００５】
コンピュータ・システムに対する多くのセキュリティ侵害は、コンピュータ・システムを物理的に脆弱にする、人間の不注意または怠慢を通して起こるが、多くのセキュリティ侵害は、人間が、リスクの高いコンピュータ活動を通して、それらのコンピュータ・システムをコンピュータ的に脆弱にする場合に起こる。これらのリスクの高いコンピュータ活動は、コンピュータが悪意ある攻撃またはコンピュータ・ウイルスの侵入を受ける可能性を増大させる。多くのリスクの高いコンピュータ活動は、意図的に実行される。いくつかの場合、リスクの高いコンピュータ活動は、権限を得て意図的に実行されるが、残念なことに、その他の多くの場合、リスクの高いコンピュータ活動は、権限を得ることなく意図的に、不注意から、または思慮のなさから実行される。
【０００６】
例えば、人はしばしば、作動中のファイアウォールなしに、コンピュータを操作することがある。そのような状況を防止するために、一定のセキュリティ手順が自動的に実施され得る場合であっても、人は、何らかのコンピュータ・セキュリティ防衛による干渉を受けない、特別に構成されたコンピュータを必要とすることがある。いくつかの状況では、従業員は、特別な仕事上の任務を実行するために、作動停止中または使用不可能なファイアウォールなど、特別なコンピュータ構成を必要とすることがある。したがって、この人は、作動中のファイアウォールなしに、権限を得てコンピュータを操作することができる。しかし、その他の状況では、人はしばしば、ファイアウォールによって防止される活動のうちの一部であり得る、音楽または動画コンテンツのダウンロードを不法に行うために、ファイアウォールを使用不可能にすることがある。したがって、この人は、作動中のファイアウォールなしに、権限を得ることなくコンピュータを操作することができる。さらに、コンピュータは、ダウンロード・ファイルに対するウイルス検査の失敗によっても、脆弱にされることがある。
【０００７】
人が権限を得ることなくコンピュータ・セキュリティ防衛機構を積極的に妨害し得る場合であっても、何人かの人のコンピュータ活動に関して一定のコンピュータ脆弱性を容認する正当な理由が存在することがある。これらのタイプの状況では、上で述べられたように、組織は、異なる職員に適用されるセキュリティ手順を反映した異なるセキュリティ手順をコンピュータ・システムに対して実施することができる。しかし、ほとんどのコンピュータは、ネットワーク化されたデータ処理システム内で動作し、例えばウイルスなど、多くの悪質な脆弱性は、ネットワーク接続を介してコンピュータからコンピュータに広がり得るので、１人の人のコンピュータ活動が、別の人のコンピュータ活動を脆弱にすることがある。
【発明の開示】
【発明が解決しようとする課題】
【０００８】
したがって、ネットワーク化されたコンピュータ環境内の１人のユーザの活動が、別のユーザの活動を危険にさらすことがないように保証する必要がある。より具体的には、特にコンピュータ脆弱性に対して積極的に防衛を試みている第２のユーザのコンピュータにコンピュータ脆弱性が広がり得る場合に、第１のユーザによって容認されるコンピュータ脆弱性が、権限を得ている、得ていないに関わらず、ネットワーク化されたコンピュータ環境に問題を導入しないように保証する必要が存在する。
【０００９】
したがって、コンピュータ・セキュリティ手順が、異なるユーザに関して柔軟な方法で実施され続けることを可能にしながらも、１人のユーザに関して実施または活動化されたコンピュータ・セキュリティ手順が、別のユーザに対するコンピュータ脆弱性を引き起こさないように保証することによって、データ処理システムに対するコンピュータ・セキュリティを改善するのが有利である。
【課題を解決するための手段】
【００１０】
データ処理システム内のコンピュータ資源の安全性を保護するための、方法、システム、装置、またはコンピュータ・プログラム製品が提示される。第１のユーザは、第１のコンピュータ装置を使用し、ユーザ・セキュリティ・レベル（ｕｓｅｒ ｓｅｃｕｒｉｔｙ ｌｅｖｅｌ）が、第１のユーザに関連付けられる。同様に、第２のユーザは、第２のコンピュータ装置を使用し、ユーザ・セキュリティ・レベルが、第２のユーザに関連付けられる。第１のコンピュータ装置上のコンピュータ資源は、第２のユーザの第２のユーザ・セキュリティ・レベルに基づいて、自動的に再構成される。コンピュータ・セキュリティ・レベル（ｃｏｍｐｕｔａｔｉｏｎａｌ ｓｅｃｕｒｉｔｙ ｌｅｖｅｌ）が、第１のコンピュータ装置上のコンピュータ資源に割り当てられることができ、そのコンピュータ・セキュリティ・レベルは、第２のユーザによって使用されている第２のコンピュータ装置による検出ネットワーク活動に応じて動的に調整される。第１のコンピュータ装置上のコンピュータ資源を再構成するための修正セキュリティ関係パラメータは、調整されたコンピュータ・セキュリティ・レベルに基づいて再構成される。
【００１１】
第１の態様に鑑みて、本発明は、データ処理システム内の１組のコンピュータ資源に関する操作を安全にするための方法を提供し、その方法は、第１のユーザによって使用されている第１のコンピュータ装置上のコンピュータ資源を利用するステップであって、第１のユーザ・セキュリティ・レベル表示値（ｕｓｅｒ ｓｅｃｕｒｉｔｙ ｌｅｖｅｌ ｉｎｄｉｃａｔｉｎｇ ｖａｌｕｅ）が、第１のユーザに関連付けられるステップと、第２のユーザによって使用されている第２のコンピュータ装置上のコンピュータ資源を利用するステップであって、第２のユーザ・セキュリティ・レベル表示値が、第２のユーザに関連付けられるステップと、第２のユーザの第２のユーザ・セキュリティ・レベル表示値に基づいて、第１のコンピュータ装置上のコンピュータ資源を自動的に再構成するステップとを含む。
【００１２】
好ましくは、本発明は、第２のユーザによって使用されるコンピュータ資源に関するネットワーク活動を監視するステップと、第２のユーザによって使用されるコンピュータ資源に関するネットワーク活動をフィルタリングするステップと、第２のユーザによって使用されるコンピュータ資源に関する問題のあるネットワーク活動をログに取るステップとをさらに含む方法を提供する。
【００１３】
好ましくは、本発明は、ネットワーク活動をフィルタリングするための規則または条件あるいはその両方を表す第１の構成可能な方針（ｃｏｎｆｉｇｕｒａｂｌｅ ｐｏｌｉｃｙ）を利用するステップをさらに含む方法を提供する。
【００１４】
好ましくは、本発明は、第２のユーザのログに取られた問題のあるネットワーク活動を検査するステップと、検査済のログに取られた問題のあるネットワーク活動からの情報に基づいて、第２のユーザ・セキュリティ・レベル表示値を決定するステップとをさらに含む方法を提供する。
【００１５】
好ましくは、本発明は、第２のユーザ・セキュリティ・レベル表示値を決定するための規則または条件あるいはその両方を表す第２の構成可能な方針を利用するステップをさらに含む方法を提供する。
【００１６】
好ましくは、本発明は、コンピュータ・セキュリティ・レベル表示値（ｃｏｍｐｕｔａｔｉｏｎａｌ ｓｅｃｕｒｉｔｙ ｌｅｖｅｌ ｉｎｄｉｃａｔｉｎｇ ｖａｌｕｅ）を第１のコンピュータ装置上のコンピュータ資源に割り当てるステップと、第２のユーザによって使用されている第２のコンピュータ装置による検出ネットワーク活動に応じて、第１のコンピュータ装置上のコンピュータ資源のコンピュータ・セキュリティ・レベル表示値を調整するステップとをさらに含む方法を提供する。
【００１７】
好ましくは、本発明は、第１のコンピュータ装置上のコンピュータ資源のコンピュータ・セキュリティ・レベル表示値を調整するための規則または条件あるいはその両方を表す第３の構成可能な方針を利用するステップをさらに含む方法を提供する。
【００１８】
好ましくは、本発明は、調整されたコンピュータ・セキュリティ・レベル表示値に基づいて、第１のコンピュータ装置上のコンピュータ資源を再構成するための修正セキュリティ関係パラメータを決定するステップをさらに含む方法を提供する。
【００１９】
好ましくは、本発明は、第１のコンピュータ装置上のコンピュータ資源を再構成するための修正セキュリティ関係パラメータを決定するための規則または条件あるいはその両方を表す第４の構成可能な方針を利用するステップをさらに含む方法を提供する。
【００２０】
好ましくは、本発明は、修正セキュリティ関係パラメータを中央セキュリティ管理アプリケーション（ｃｅｎｔｒａｌｉｚｅｄ ｓｅｃｕｒｉｔｙ ｍａｎａｇｅｍｅｎｔ ａｐｐｌｉｃａｔｉｏｎ）から第１のコンピュータ装置上のネットワーク・セキュリティ・エージェント（ｎｅｔｗｏｒｋ ｓｅｃｕｒｉｔｙ ａｇｅｎｔ）に送るステップをさらに含む方法を提供する。
【００２１】
好ましくは、本発明は、第１のユーザに第１のコンピュータ装置の再構成を通知するステップをさらに含む方法を提供する。
【００２２】
好ましくは、本発明は、外部の情報源からデータ処理システムに第２のユーザ・セキュリティ・レベル表示値を取り出すステップをさらに含む方法を提供する。
【００２３】
第２の態様に鑑みて、本発明は、データ処理システム内の１組のコンピュータ資源に関する操作を安全なものにするための、コンピュータ可読記憶媒体上のコンピュータ・プログラム製品を提供し、そのコンピュータ・プログラム製品は、第１のユーザによって使用されている第１のコンピュータ装置上のコンピュータ資源を利用する手段であって、第１のユーザ・セキュリティ・レベル表示値が、第１のユーザに関連付けられる手段と、第２のユーザによって使用されている第２のコンピュータ装置上のコンピュータ資源を利用する手段であって、第２のユーザ・セキュリティ・レベル表示値が、第２のユーザに関連付けられる手段と、第２のユーザの第２のユーザ・セキュリティ・レベル表示値に基づいて、第１のコンピュータ装置上のコンピュータ資源を自動的に再構成する手段とを含む。
【００２４】
好ましくは、本発明は、第２のユーザによって使用されるコンピュータ資源に関するネットワーク活動を監視する手段と、第２のユーザによって使用されるコンピュータ資源に関するネットワーク活動をフィルタリングする手段と、第２のユーザによって使用されるコンピュータ資源に関する問題のあるネットワーク活動をログに取る手段とをさらに含むコンピュータ・プログラム製品を提供する。
【００２５】
好ましくは、本発明は、第２のユーザのログに取られた問題のあるネットワーク活動を検査する手段と、検査済のログに取られた問題のあるネットワーク活動からの情報に基づいて、第２のユーザ・セキュリティ・レベル表示値を決定する手段とをさらに含むコンピュータ・プログラム製品を提供する。
【００２６】
好ましくは、本発明は、コンピュータ・セキュリティ・レベル表示値を第１のコンピュータ装置上のコンピュータ資源に割り当てる手段と、第２のユーザによって使用されている第２のコンピュータ装置による検出ネットワーク活動に応じて、第１のコンピュータ装置上のコンピュータ資源のコンピュータ・セキュリティ・レベル表示値を調整する手段とをさらに含むコンピュータ・プログラム製品を提供する。
【００２７】
好ましくは、本発明は、調整されたコンピュータ・セキュリティ・レベル表示値に基づいて、第１のコンピュータ装置上のコンピュータ資源を再構成するための修正セキュリティ関係パラメータを決定する手段をさらに含むコンピュータ・プログラム製品を提供する。
【００２８】
第４の態様に鑑みて、本発明は、データ処理システム内の１組のコンピュータ資源に関する操作を安全なものにするための装置を提供し、その装置は、第１のユーザによって使用されている第１のコンピュータ装置上のコンピュータ資源を利用する手段であって、第１のユーザ・セキュリティ・レベル表示値が、第１のユーザに関連付けられる手段と、第２のユーザによって使用されている第２のコンピュータ装置上のコンピュータ資源を利用する手段であって、第２のユーザ・セキュリティ・レベル表示値が、第２のユーザに関連付けられる手段と、第２のユーザの第２のユーザ・セキュリティ・レベル表示値に基づいて、第１のコンピュータ装置上のコンピュータ資源を自動的に再構成する手段とを含む。
【００２９】
好ましくは、本発明は、コンピュータ・セキュリティ・レベル表示値を第１のコンピュータ装置上のコンピュータ資源に割り当てる手段と、第２のユーザによって使用されている第２のコンピュータ装置による検出ネットワーク活動に応じて、第１のコンピュータ装置上のコンピュータ資源のコンピュータ・セキュリティ・レベル表示値を調整する手段とをさらに含む装置を提供する。
【００３０】
好ましくは、本発明は、調整されたコンピュータ・セキュリティ・レベル表示値に基づいて、第１のコンピュータ装置上のコンピュータ資源を再構成するための修正セキュリティ関係パラメータを決定する手段をさらに含む装置を提供する。
【００３１】
本発明の実施形態が、添付の図面を参照しながら、以下で詳細に説明されるが、これは例示的としてのみ、示される。
【発明を実施するための最良の形態】
【００３２】
一般に、本発明を含み得る、または本発明に関係し得る装置は、多種多様なデータ処理技術を含む。したがって、本発明をより詳細に説明する前に、背景として、分散データ処理システム内のハードウェア・コンポーネントおよびソフトウェア・コンポーネントの典型的な組織が説明される。
【００３３】
ここで図面を参照すると、図１は、データ処理システムの典型的なネットワークを示しており、データ処理システムの各々は、本発明の部分を実施することができる。分散データ処理システム１００は、ネットワーク１０１を含み、ネットワーク１０１は、分散データ処理システム１００内で互いに接続される様々な装置およびコンピュータの間の通信リンクを提供するために使用され得る媒体である。ネットワーク１０１は、ワイヤ・ケーブルもしくは光ファイバ・ケーブルなどの永続的接続、または電話もしくは無線通信を介して確立される一時的接続を含むことができる。図示された例では、サーバ１０２およびサーバ１０３は、ストレージ・ユニット１０４と共に、ネットワーク１０１に接続される。加えて、クライアント１０５〜１０７も、ネットワーク１０１に接続される。クライアント１０５〜１０７およびサーバ１０２〜１０３は、メインフレーム、パーソナル・コンピュータ、携帯情報端末（ＰＤＡ）など、様々なコンピューティング装置によって表されることができる。分散データ処理システム１００は、追加のサーバ、クライアント、ルータ、その他の装置、および図示されていないピアツーピア・アーキテクチャを含むこともできる。
【００３４】
図示された例では、分散データ処理システム１００は、互いに通信を行うために、ライトウェイト・ディレクトリ・アクセス・プロトコル（ＬＤＡＰ）、伝送制御プロトコル／インターネット・プロトコル（ＴＣＰ／ＩＰ）、ファイル転送プロトコル（ＦＴＰ）、ハイパーテキスト転送プロトコル（ＨＴＴＰ）、無線アプリケーション・プロトコル（ＷＡＰ）などの様々なプロトコルを使用する、ネットワークおよびゲートウェイの世界規模の集まりを表すネットワーク１０１の中にインターネットを含むことができる。もちろん、分散データ処理システム１００は、例えば、イントラネット、ローカル・エリア・ネットワーク（ＬＡＮ）、またはワイド・エリア・ネットワーク（ＷＡＮ）などの、多くの異なるタイプのネットワークを含むこともできる。例えば、サーバ１０２は、クライアント１０９と、無線通信リンクを含むネットワーク１１０とを直接的にサポートする。ネットワーク対応電話１１１は、無線リンク１１２を介してネットワーク１１０に接続し、ＰＤＡ １１３は、無線リンク１１４を介してネットワーク１１０に接続する。電話１１１およびＰＤＡ １１３は、いわゆるパーソナル・エリア・ネットワーク（ＰＡＮ）またはパーソナル・アドホック・ネットワークを生成するために、Ｂｌｕｅｔｏｏｔｈ（商標）無線技術などの適切な技術を使用する無線リンク１１５を介して、互いに直接的にデータを転送することもできる。同様に、ＰＤＡ １１３は、無線通信リンク１１６を介して、ＰＤＡ １０７にデータを転送することができる。
【００３５】
本発明は、様々なハードウェア・プラットフォーム上で実施されることができ、図１は、異種コンピューティング環境の一例として意図されており、本発明に対するアーキテクチャ的な限定としては意図されていない。
【００３６】
ここで図２を参照すると、図は、本発明が実施され得る、図１に示されたようなデータ処理システムの典型的なコンピュータ・アーキテクチャを示している。データ処理システム１２０は、内部システム・バス１２３に接続される１つまたは複数の中央処理装置（ＣＰＵ）１２２を含み、内部システム・バス１２３は、ランダム・アクセス・メモリ（ＲＡＭ）１２４と、リード・オンリ・メモリ（ＲＯＭ）１２６と、入力／出力アダプタ１２８とを相互接続し、入力／出力アダプタ１２８は、プリンタ１３０、ディスク・ユニット１３２、または図示されていないオーディオ出力システム等のその他の装置など、様々なＩ／Ｏ装置をサポートする。システム・バス１２３は、通信リンク１３６へのアクセスを提供する通信アダプタ１３４も接続する。ユーザ・インタフェース・アダプタ１４８は、キーボード１４０およびマウス１４２、または図示されていないタッチ・スクリーン、スタイラス、マイクロフォン等のその他の装置など、様々なユーザ装置を接続する。ディスプレイ・アダプタ１４４は、システム・バス１２３をディスプレイ装置１４６に接続する。
【００３７】
当業者であれば、図２のハードウェアがシステム実施に応じて変化し得ることは理解されよう。例えば、システムは、Ｉｎｔｅｌ（登録商標） Ｐｅｎｔｉｕｍ（登録商標）ベースのプロセッサおよびデジタル信号プロセッサ（ＤＳＰ）などの１つまたは複数のプロセッサ、ならびに１つまたは複数のタイプの揮発性および不揮発性メモリを有することができる。その他の周辺装置が、図２に図示されたハードウェアに加えて、またはその代わりに使用されてもよい。図示された例は、本発明に関するアーキテクチャ的な限定を示唆しようとする意図はない。
【００３８】
様々なハードウェア・プラットフォーム上で実施され得ることに加えて、本発明は、様々なソフトウェア環境においても実施されることができる。典型的なオペレーティング・システムが、各データ処理システム内でのプログラム実行を制御するために使用されることができる。例えば、１つの装置は、Ｕｎｉｘ（登録商標）オペレーティング・システムを実行することができ、一方、別の装置は、シンプルなＪａｖａ（登録商標）ランタイム環境を含む。代表的なコンピュータ・プラットフォームは、ブラウザを含むことができ、ブラウザは、グラフィックス・ファイル、文書処理ファイル、拡張可能マークアップ言語（ＸＭＬ）、ハイパーテキスト・マークアップ言語（ＨＴＭＬ）、ハンドヘルド・デバイス・マークアップ言語（ＨＤＭＬ）、無線マークアップ言語（ＷＭＬ）、ならびに様々なその他のフォーマットおよび様々なその他のタイプのファイルなど、様々なフォーマットのハイパーテキスト文書にアクセスするためのよく知られたソフトウェア・アプリケーションである。
【００３９】
本発明は、図１および図２に関して上で説明されたような、様々なハードウェアおよびソフトウェア・プラットフォーム上で実施されることができる。しかし、より具体的には、本発明は、データ処理環境内での改良されたセキュリティ・プロセスに関する。本発明をより詳細に説明する前に、セキュリティ操作をサポートする典型的なデータ処理環境のいくつかの態様が説明される。
【００４０】
ここで図３を参照すると、ブロック図は、典型的な企業データ処理システムを示している。図１は、クライアントとサーバとを有する典型的なデータ処理システムを示しているが、対照的に、図３は、資源へのアクセスを求めるクライアント要求をサポートするのに使用され得るサーバ側エンティティのいくつかと関係する、ネットワーク内のクライアントを示している。典型的なコンピューティング環境と同様に、企業ドメイン２００は、ユーザ２０２が、例えば、クライアント２０６上のブラウザ・アプリケーション２０４を使用することによって、ネットワーク２０８を介してアクセスすることができる資源をホストし、コンピュータ・ネットワークは、図１に示されるような、インターネット、イントラネット、またはその他のネットワークとすることができる。
【００４１】
企業ドメイン２００は、複数のサーバをサポートする。アプリケーション・サーバ２１０は、ウェブベースのアプリケーション、またはレガシ・アプリケーションを含むその他のタイプのバックエンド・アプリケーションを通して、管理されているコンピュータ資源または管理されていないコンピュータ資源あるいはその両方をサポートする。リバース・プロキシ・サーバ２１２、またはより簡潔に、プロキシ・サーバ２１２は、企業ドメイン２００のための広範な機能を実行する。例えば、プロキシ・サーバ２１２は、アプリケーション・サーバのコンテンツをミラーするために、ウェブ・ページをキャッシュすることができる。着信データストリームおよび発信データストリームは、様々な方針内で規定される目標および条件に従って、または配備されたソフトウェア・モジュールの構成に従って、コンピュータ資源に対する要求の着信時およびコンピュータ資源からの応答の発信時に様々な処理タスクを実行するために、入力データストリーム・フィルタおよび出力データストリーム・フィルタによって処理されることができる。
【００４２】
プロキシ・サーバ２１２は、セッション識別子、キャッシュされた信任状（ｃｒｅｄｅｎｔｉａｌ）、またはプロキシ・サーバ２１２によって認識されるセッションに関するその他の情報を管理する、セッション管理ユニットを含むことができる。ウェブベースのアプリケーションは一般に、多くはユーザ名／パスワードの組合せである認証情報をＨＴＭＬフォーム内で入力するようユーザを促すために、様々な手段を利用する。図３に示される例では、ユーザ２０２は、クライアント２０６が資源にアクセス可能になる前に、認証を受けることを要求されることがあり、認証後に、クライアント２０６のためのセッションが確立される。一代替実施形態では、認証および権限付与操作は、ユーザにドメイン２００上の資源へのアクセスを提供する前に実行されず、ユーザ・セッションは、付随する認証操作なしに生成されることができる。
【００４３】
企業ドメイン２００内の上述のエンティティは、多くのコンピューティング環境内の典型的なエンティティである。しかし、多くの企業ドメインは、保護されたコンピュータ資源へのアクセスを管理するためのセキュリティ機能を有する。コンピュータ資源は、電子データ処理装置／サブシステム／システム、アプリケーション、オブジェクト、実行可能コード・モジュール、文書、ウェブ・ページ、ファイル、データベース、データベース・レコード、様々なその他のタイプの機能ユニット、様々なその他のタイプの情報ユニット、または様々なタイプの通信機能とすることができる。保護または管理されているコンピュータ資源は、要求クライアントまたは要求ユーザが認証を受けている場合、または権限を付与されている場合、あるいはその両方である場合にのみアクセス可能または検索可能であるコンピュータ資源であり、場合によっては、認証ユーザは、デフォルトで権限付与ユーザである。
【００４４】
オーセンティケーション・サーバ２１４は、ユーザ名／パスワード、Ｘ．５０９証明書（Ｘ．５０９ ｃｅｒｔｉｆｉｃａｔｅ）、またはセキュア・トークン（ｓｅｃｕｒｅ ｔｏｋｅｎ）など、様々な認証メカニズムをサポートすることができ、複数のオーセンティケーション・サーバが、専門の認証方法に専用されることができる。オーソライゼーション・サーバ２１６は、オーソライゼーション・データベース２１８を利用することができ、オーソライゼーション・データベース２１８は、アクセス制御リスト２２０、権限付与方針２２２、ユーザ・レジストリ２２４内のユーザについての情報、およびユーザ・グループまたはロール２２６についての情報などの情報を含む。この情報を使用して、オーソライゼーション・サーバ２１６は、オーセンティケーション・サーバ２１４に、コンピュータ資源を求める特定の要求が続行を許可されるべきかどうかの表示、すなわちクライアント２０６からの要求に応答して、管理されているコンピュータ資源へのアクセスが認められるべきかどうかの表示を提供する。セキュリティ・コンプライアンス・サーバ２２８は、ユーザおよびユーザのシステムに関連するＩＴセキュリティおよびその他のガバナンス活動を施行する。
【００４５】
上で述べられたように、多くのセキュリティ侵害は、人間が、リスクの高いコンピュータ活動を通して、コンピュータ・システムをコンピュータ的に脆弱にする場合に起こる。これらのリスクの高いコンピュータ活動は、コンピュータが悪意ある攻撃またはコンピュータ・ウイルスの侵入を受ける可能性を増大させる。組織は、異なる職員に適用されるセキュリティ手順を反映した異なるセキュリティ手順を異なるコンピュータ・システムに対して実施することができるが、何人かの人のコンピュータ活動に関して一定のコンピュータ脆弱性を容認する正当な理由が存在することがある。しかし、ほとんどのコンピュータは、ネットワーク化されたデータ処理システム内で動作し、例えばウイルスなど、多くの悪質な脆弱性は、ネットワーク接続を介してコンピュータからコンピュータに広がり得るので、１人の人のコンピュータ活動が、別の人のコンピュータ活動に対するセキュリティを弱めることがある。したがって、ネットワーク化されたコンピュータ環境内の１人のユーザの活動が、別のユーザの活動を危険にさらすことがないように保証する必要がある。より具体的には、第１のユーザによって容認されるコンピュータ脆弱性が、権限を得ている、得ていないに関わらず、ネットワーク化されたコンピュータ環境に問題を導入しないように保証する必要が、特にコンピュータ脆弱性に対して積極的に防衛を試みている第２のユーザのコンピュータにコンピュータ脆弱性が広がり得る場合に、存在する。本発明は、残りの図面に関して以下でより詳細に説明されるように、１人のユーザのコンピュータ活動に対するセキュリティを、別のユーザのネットワーク化されたコンピュータ活動に基づいて、動的に調整するための解決策を提供する。
【００４６】
ここで図４を参照すると、ブロック図は、本発明の動的セキュリティ調整機能を含むデータ処理システムの概要を示している。データ処理システムは、ネットワーク３００を含み、ネットワーク３００は、図１のネットワーク１０１もしくは１１０、または図３のネットワーク２０８と同様とすることができ、あるいはネットワーク３００は、企業ドメイン内に含まれる完全に私設のネットワークを表すこともできる。ユーザ「Ａ」３０２は、ネットワーク３００に接続されるコンピューティング装置３０４にアクセスし、ユーザ「Ｂ」３０６は、やはりネットワーク３００に接続されるコンピューティング装置３０８にアクセスし、コンピューティング装置３０４、３０８は、デスクトップ・コンピュータ、ＰＤＡ、セル電話など、広範なコンピュータ装置を表すことができる。
【００４７】
データ処理システムは、セキュリティ・コンプライアンス・サーバ３１０も含み、セキュリティ・コンプライアンス・サーバ３１０は、動的セキュリティ調整ユニット３１２をサポートする。セキュリティ・コンプライアンス・サーバ３１０は、セキュリティ関係の施行機能を含む任意の適切なサーバを表し、セキュリティ関係の施行機能は代替的に、オーソライゼーション・サーバ、ネットワーク管理サーバ、またはデータ処理システムの管理運営を支援するその他の何らかのタイプのサーバもしくはアプリケーション内に統合されることもできる。
【００４８】
動的セキュリティ調整ユニット３１２は、本発明を実行するための機能を表す。セキュリティ・コンプライアンス・サーバ３１０に適用可能なものと同様の方法で、動的セキュリティ調整ユニット３１２は、セキュリティ関係の施行機能を含む任意の適切なサーバ内に統合されることができ、あるいはオーソライゼーション・サーバ、ネットワーク管理サーバ、またはデータ処理システムの管理運営を支援するその他の何らかのタイプのサーバもしくはアプリケーション内に統合されることもできる。上で述べられたように、本発明は、１人のユーザのコンピュータ活動に対するセキュリティを、別のユーザのネットワーク化されたコンピュータ活動に基づいて、動的に調整するためのプロセスまたはシステムに関し、動的セキュリティ調整ユニット３１２は、必要に応じてこれらの操作を実行する。
【００４９】
例えば、ユーザ「Ａ」３０２は、コンピューティング装置３０４を介してコンピュータ資源にアクセスする。特にコンピューティング装置３０４のコンピュータ・セキュリティ・レベルと呼ばれ得る、コンピューティング装置３０４によってサポートされるコンピュータ資源の現在の操作活動に対して適用される、セキュリティ操作またはパラメータの制約度または反対の観点からは寛容度を反映した、コンピューティング装置３０４のソフトウェアおよびハードウェア・コンピュータ資源についてのセキュリティ関係情報が維持される。同様に、データ処理システム内のその他のアクティブなコンピュータ装置についてのセキュリティ関係情報も維持される。コンピュータ・セキュリティ・レベルは、コンピューティング装置３０４の外部の、しかしデータ処理システムの内部での活動によってコンピューティング装置３０４上で引き起こされ得る誤ったコンピュータ操作に対する、コンピューティング装置３０４上のコンピュータ資源の脆弱性に関係するメトリックと見なされることもできる。これらの誤ったコンピュータ操作は、悪意をもったユーザによって引き起こされることがあり、あるいはこれらの誤ったコンピュータ操作は、不注意または思慮を欠いたユーザの権限を得ていない活動を通して故意にではなく引き起こされることがあり、代替として、これらの誤ったコンピュータ操作は、ユーザの権限を得た活動を通して故意にではなく引き起こされることがある。以下でより詳細に説明されるように、コンピュータ・セキュリティ・レベルは、様々な情報源からの情報を使用して計算されることができ、コンピュータ・セキュリティ・レベルの計算は、構成可能な方針内で規定される条件または規則あるいはその両方によって導かれることができる。
【００５０】
特に特定のユーザのユーザ・セキュリティ・レベルと呼ばれ得る、データ処理システムのユーザによるソフトウェアおよびハードウェア・コンピュータ資源の使用についてのセキュリティ関係情報も維持される。例えば、ユーザ「Ａ」３０２は、ユーザ「Ａ」３０２の活動についての情報から評価されるユーザ・セキュリティ・レベルに関連付けられ、同様に、データ処理システム内のその他のユーザについてのセキュリティ関係情報も維持される。ユーザ・セキュリティ・レベルは、データ処理システム内でサポートされるコンピュータ資源の操作活動を求めるユーザの要求に関する、ユーザの信用度または反対の観点からは行動リスクを反映する。ユーザ・セキュリティ・レベルは、データ処理システム内の活動によってコンピューティング装置上で誤ったコンピュータ操作を引き起こすユーザの能力に関係するメトリックと見なされることもできる。これらの誤ったコンピュータ操作は、悪意をもったユーザによって引き起こされることがあり、あるいはこれらの誤ったコンピュータ操作は、不注意または思慮を欠いたユーザの権限を得ていない活動を通して故意にではなく引き起こされることがあり、代替として、これらの誤ったコンピュータ操作は、ユーザの権限を得た活動を通して故意にではなく引き起こされることがある。以下でより詳細に説明されるように、ユーザ・セキュリティ・レベルは、様々な情報源からの情報を使用して計算されることができ、ユーザ・セキュリティ・レベルの計算は、構成可能な方針内で規定される条件または規則あるいはその両方によって導かれることができる。
【００５１】
動的セキュリティ調整ユニット３１２は、データ処理システムのユーザに関連付けられたユーザ・セキュリティ・レベルを動的に管理すること、およびデータ処理システム内のコンピュータ資源に関連付けられたコンピュータ・セキュリティ・レベルを動的に管理することに責任を負う。図４に示される例を再び参照すると、ユーザ「Ａ」３０２は、コンピューティング装置３０４を利用しており、ユーザ「Ｂ」３０６は、コンピューティング装置３０８を介してネットワーク３００にログオンすることができ、ネットワーク３００を通して資源にアクセスし始めることができる。ユーザ「Ａ」３０２は、ユーザ「Ｂ」３０６のユーザ・セキュリティ・レベルよりも高い信用度を反映したユーザ・セキュリティ・レベルを所有することができ、ユーザ「Ｂ」３０６によるネットワーク３００上でのコンピュータ活動の存在は、ユーザ「Ａ」３０２によるネットワーク３００上でのコンピュータ活動に脆弱性をもたらすことがある。それに応答して、動的セキュリティ調整ユニット３１２は、以下でより詳細に説明されるように、コンピューティング装置３０４に適用されるコンピュータ・セキュリティ・レベルを動的に調整することができ、それによって、ユーザ「Ａ」３０２のコンピュータ操作および活動を保護する。
【００５２】
ここで図５〜図６を参照すると、１対の時間線は、本発明による、装置のコンピュータ・セキュリティ・レベルの動的調整を示している。図５を参照すると、ユーザ「Ａ」はあらかじめ、例えば、ユーザの身分を明らかにするセキュリティ・トークンとしてスマート・カード・デバイスを提示することによる認証操作を通して、データ処理システムまたはそのネットワークあるいはその両方にログオンしている。ユーザ「Ａ」は、コンピューティング装置と、関連するコンピュータ資源とを、ある期間４０２にわたって利用し続け、その期間中、データ処理システムは、コンピューティング装置、またはコンピューティング装置によってサポートされるコンピュータ資源、あるいはその両方に、コンピュータ・セキュリティ・レベルを割り当てる。
【００５３】
ある時点４０４に、ユーザ「Ｂ」が、同じデータ処理システムまたはネットワークあるいはその両方にログオンする。質的な観点から、ユーザ「Ｂ」のユーザ・セキュリティ・レベルが検査され、ユーザ「Ｂ」がユーザ「Ａ」の活動に対して潜在的な脆弱性をもたらすという決定が下される。したがって、ユーザ「Ａ」によって使用されているコンピューティング装置に適用されるセキュリティ予防策を強化するという決定が下され、それによって、望ましくは、ユーザ「Ｂ」が、ユーザ「Ａ」の活動を阻害する活動を実行することを防止する。
【００５４】
コンピュータ的または質的な観点から、ユーザ「Ｂ」は、相対的により低いユーザ・セキュリティ・レベル、例えば、ユーザ「Ａ」のユーザ・セキュリティ・レベルよりも低いユーザ・セキュリティ・レベルを割り当てられていると説明されることができる。それに応答して、データ処理システムは、ユーザ「Ａ」によって使用されているコンピューティング装置のコンピュータ・セキュリティ・レベルを、ユーザ「Ｂ」のユーザ・セキュリティ・レベルに基づいて、動的に調整する。新たに割り当てられたコンピュータ・セキュリティ・レベルは、それが再び変更されるまで、またはユーザ「Ａ」がネットワークまたはデータ処理システムからログアウトするまで、ある期間４０６にわたって有効であり続ける。
【００５５】
図５に示される例では、ユーザ「Ａ」によって使用されているコンピューティング装置のコンピュータ・セキュリティ・レベルは、期間４０４から期間４０６まで強化される。このように、ユーザ「Ａ」によって使用されているコンピューティング装置のコンピュータ・セキュリティ・レベルは、ユーザ「Ｂ」のユーザ・セキュリティ・レベルと、必ずしも逆比例である必要はないが、逆関係があると説明されることができる。したがって、図５に示されるように、ユーザ「Ｂ」が低いユーザ・セキュリティ・レベルを有すると言われる事実は、ユーザ「Ａ」によって使用されているコンピューティング装置のコンピュータ・セキュリティ・レベルを期間４０４から期間４０６まで強化するという応答を引き起こす。
【００５６】
図６を参照すると、異なる時間線が示されている。期間４１２の前に、ユーザ「Ｂ」はあらかじめ、例えば、セキュリティ・トークンとしてスマート・カード・デバイスを使用することによる、またはユーザ名および関連するパスワードを入力するなど、認証要求を満たすことによる認証操作を通して、データ処理システムまたはそのネットワークあるいはその両方にログオンしている。ユーザ「Ｂ」は、コンピューティング装置と、関連するコンピュータ資源とを、ある期間４１２にわたって利用し続ける。
【００５７】
ある時点４１４に、ユーザ「Ａ」が、同じデータ処理システムまたはネットワークあるいはその両方にログオンする。それに応答して、ユーザ「Ａ」のコンピューティング装置に適用されるコンピュータ・セキュリティ・レベルが強化されるべきかどうかについて決定が下される。ユーザ「Ｂ」のユーザ・セキュリティ・レベルが検査され、ユーザ「Ｂ」がユーザ「Ａ」の活動に対して潜在的なセキュリティ脆弱性をもたらすという決定が下される。
【００５８】
例えば図５のような、ユーザ「Ａ」がネットワークにログオンする時に、ユーザ「Ｂ」がネットワークを使用していないシナリオでは、データ処理システムは、ユーザ「Ａ」のコンピューティング装置、またはそのコンピューティング装置によってサポートされるコンピュータ資源、あるいはその両方に初期コンピュータ・セキュリティ・レベルを割り当て、初期コンピュータ・セキュリティ・レベルは、ユーザ「Ｂ」がネットワークまたはデータ処理システムにログオンしていないので、セキュリティ脆弱性がないことを反映する。
【００５９】
しかし、ユーザ「Ａ」がネットワークにログオンする時点４１４で、ユーザ「Ｂ」がすでにネットワークにログオンしている場合、データ処理システムは、ユーザ「Ｂ」のユーザ・セキュリティ・レベルに基づいて、相対的に強化されたコンピュータ・セキュリティ・レベルをユーザ「Ａ」によって使用されているコンピューティング装置に動的に割り当てる。新たに割り当てられた相対的に高いコンピュータ・セキュリティ・レベルは、それが再び変更されるまで、またはユーザ「Ａ」がネットワークまたはデータ処理システムからログアウトするまで、ある期間４１６にわたって有効であり続ける。
【００６０】
言い換えると、図６に示される例では、ユーザ「Ａ」によって使用されているコンピューティング装置のコンピュータ・セキュリティ・レベルは、期間４１６の間、ユーザ「Ｂ」のユーザ・セキュリティ・レベルに基づいて初期的に割り当てられる。このように、ユーザ「Ａ」によって使用されているコンピューティング装置のコンピュータ・セキュリティ・レベルは、ユーザ「Ｂ」のユーザ・セキュリティ・レベルと、必ずしも逆比例である必要はないが、逆関係があると説明されることができる。したがって、図６に示されるように、ユーザ「Ｂ」が低いユーザ・セキュリティ・レベルを有すると言われる事実は、ユーザ「Ａ」によって使用されているコンピューティング装置のコンピュータ・セキュリティ・レベルを期間４１６の間強化するという応答を引き起こす。
【００６１】
図７〜図８を参照すると、１対の図は、与えられたユーザのユーザ・セキュリティ・レベルと与えられたコンピュータ資源のコンピュータ・セキュリティ・レベルの間の逆関係を示している。図は、与えられたユーザのユーザ・セキュリティ・レベルを横軸に沿った変数として、また与えられたコンピュータ資源のコンピュータ・セキュリティ・レベルを縦軸に沿った変数として示している。横軸に関して、与えられたユーザは、セキュリティ・リスクまたは脆弱性があると質的に評価された場合、より低い数値のユーザ・セキュリティ・レベルを量的に割り当てられる。縦軸に関して、与えられた資源は、与えられたユーザの活動に対して脆弱であると評価された場合、高められたレベルのセキュリティを必要とすると質的に評価され、より高い数値のコンピュータ・セキュリティ・レベルを量的に割り当てられる。
【００６２】
逆の関係(inverse relationship)の図における表現は、より高いセキュリティ・リスク、または同じことだが、より低いレベルのセキュリティ信頼性を提示するユーザが、与えられたコンピュータ資源に対するより高いまたはより徹底したセキュリティ応答または防衛の表明（ａｓｓｅｒｔｉｏｎ）を必要とすることを示している。与えられたユーザのユーザ・セキュリティ・レベルが高められると、与えられたコンピュータ資源のコンピュータ・セキュリティ・レベルは低下する。
【００６３】
したがって、本発明の一実施では、与えられたコンピュータ資源のコンピュータ・セキュリティ・レベルは、与えられたユーザのユーザ・セキュリティ・レベルと逆の関係にあり、逆の関係は、図では異なる方法で示されている。図７を参照すると、この逆関係は、単調関数として示されており、本発明の一実施形態では、逆の関係は、変数を逆関係的に関係付ける構成可能な関数として実施されることができる。図８を参照すると、この逆関係は、一連の離散点として示されており、本発明の一実施形態では、逆の関係は、検索表を通して定義される関数として実施されることができる。ユーザ・セキュリティ・レベルをコンピュータ・セキュリティ・レベルにマッピングするためのその他の方法も実施されることができる。
【００６４】
ここで図９を参照すると、フローチャートは、本発明の一実施形態による、ユーザ・セキュリティ・レベルの決定に影響を与える情報を集めるためのプロセスを示している。プロセスは、データ処理システムのユーザがデータ処理システム内のコンピューティング装置にログオンした後に開始し、データ処理システムは、ユーザがコンピュータ資源にアクセスする際のユーザのネットワーク操作またはその他の活動を監視し始める（ステップ５０２）。監視操作は、ユーザがコンピュータ−ヒューマン・インタフェースと対話するコンピュータ装置上で実行されることができ、または監視操作は、ユーザの活動が監視され得るネットワーク内のどこか別の任意の地点で実行されることができる。
【００６５】
監視操作は、ユーザのセッションの間続けられ、リスクの高いセキュリティ関係活動であると決定されたネットワーク関係操作またはその他の活動はいずれも、局所的に、例えば局所キャッシュ内にログとして記録される（ステップ５０４）。セキュリティ的見地から潜在的に問題がある操作であるという決定は、事前決定されること、または方針データベースを通して構成可能とすること、あるいはその両方であることができ、それによって、以下でより詳細に説明されるように、方針で規定される構成可能な規則または条件に従って、すべての潜在的に問題のある操作または疑わしい活動をフィルタリングしながら、一定の問題のある操作がそのようなものとしてタグ付けされることを可能にする。ユーザのセッションが終了する時、セッションの間にログに取られた活動は、適切なデータストアに保存される（ステップ５０６）。
【００６６】
ある時点で、１つまたは複数のセッションにわたってログに取られた活動が、保存および処理のために中央データベースに報告され（ステップ５０８）、プロセスは完了する。ログに取られた情報は、例えば、即時に、定期的に、スケジュールに従って、または報告を求める催促に応答してなど、様々な仕方で報告されることができる。代替として、プロセスは、潜在的に問題のある操作または疑わしい活動が検出された場合に、それらの検出が中央ロケーションに報告され、その後、中央データストアにログとして記録されるように、リアルタイムに実行されることができる。
【００６７】
ここで図１０を参照すると、フローチャートは、本発明の一実施形態による、特定のユーザのユーザ・セキュリティ・レベルの決定に影響を与えるために、それ以前にログに取られたユーザ活動が分析されるプロセスが示されている。プロセスは、特定のユーザのユーザ・セキュリティ・レベルの現在値を取り出すことによって開始する（ステップ６０２）。図１０に示されるプロセスは、特定のユーザのユーザ・セキュリティ・レベルに対する更新操作を示しているが、同様のプロセスは、例えば、新しいユーザがデータ処理システム内に登録された場合など、空のセッション・ログをユーザに関連付け、その後、問題のある活動の空の組をもたらした少なくとも１つのセッションにわたってユーザのネットワーク活動が監視されていたかのように振舞うことによって、特定のユーザのユーザ・セキュリティ・レベルの初期値を生成するためにも実行される。
【００６８】
その後、特定のユーザの潜在的に問題のある操作または疑わしい活動の１つまたは複数の記録されたセッション・ログが、編集および分析され（ステップ６０４）、特定のユーザの新しいまたは修正されたユーザ・セキュリティ・レベルが、計算され（ステップ６０６）、その後、ユーザについてのその他の情報と関連付けられて保存され、それによって、プロセスを完了する。問題のあるセキュリティ関係操作の分析は、制御入力パラメータを使用する所定のアルゴリズムもしくは構成可能なアルゴリズムまたはその両方に従って、あるいは様々な構成可能な条件もしくは規則またはその両方に従って、実行されることができ、分析のための構成可能な情報は、以下でより詳細に説明されるように、方針データベース内の方針から取り出されることができる。
【００６９】
ここで図１１〜図１７を参照すると、１組のブロック図は、本発明の一実施形態による、セキュリティ・レベルの動的調整をサポートするためのデータ処理システム内のコンポーネントを示している。ここで図１１を参照すると、ネットワーク７００は、複数のコンピュータ装置およびソフトウェア・アプリケーションをサポートする。セキュリティ管理アプリケーション７０２は、物理的セキュリティ操作およびコンピュータ・セキュリティ操作に関する管理行為をサポートするための中央統制を提供する。セキュリティ管理アプリケーション７０２は、図には部分的にしか示されていないより大きなデータ処理システム内に存在する。例えば、オーセンティケーション・サーバは、データ処理システムのユーザの身分を検証する。アプリケーション・サーバは、それらのユーザによって使用されるアプリケーションを実行するためのサポートを提供する。オーソライゼーション・サーバは、アプリケーション・サーバなどのコンピュータ資源にアクセスする権限をユーザが付与されているかどうかを決定する。
【００７０】
セキュリティ管理アプリケーション７０２は、様々なタイプのセキュリティ・サブシステムからの操作を統合する。セキュリティ管理アプリケーション７０２は、その操作の特定の態様をサポートするための様々なタイプのコンポーネントまたはモジュールを含む。オペレータ・インタフェース・モジュール７０４は、管理ユーザのためのユーザ・インタフェースをサポートする。ネットワーク・セキュリティ統制モジュール７０６は、ネットワーク・セキュリティに関する特定の操作をサポートする。物理的アラーム統制モジュール７０８は、物理的アラームを報告およびキャンセルするためのサポートを提供する。セキュリティ管理アプリケーション７０２は、ユーザ・レジストリ７１０、方針データベース７１２、コンピュータ資源データベース７１４といった任意の適切なデータストア内に保存され得る様々なタイプのデータの入力を必要とすることがあり、データストアの各々は、以下でより詳細に説明される。
【００７１】
図４と同様に、ネットワーク７００は、セキュリティ・コンプライアンス・サーバと対話するように構成される２つのコンピュータ装置をサポートする。クライアント７１６は、ネットワーク・セキュリティ監視エージェント７１８を含み、ネットワーク・セキュリティ監視エージェント７１８は、フィルタリング方針のコピー７２０と、キャッシュ活動ログ７２２とを含む。クライアント７１６は、典型的なファイアウォール７２４も含み、ファイアウォール７２４は、構成可能なファイアウォール・パラメータ設定７２６を有する。同様に、クライアント７２８は、ネットワーク・セキュリティ監視エージェント７３０を含み、ネットワーク・セキュリティ監視エージェント７３０は、フィルタリング方針のコピー７３２と、キャッシュ活動ログ７３４とを含む。クライアント７２８は、典型的なファイアウォール７３６も含み、ファイアウォール７３６は、構成可能なファイアウォール・パラメータ設定７３８を有する。ネットワーク・セキュリティ監視エージェントは、セキュリティ・コンプライアンス・サーバ７４０と対話し、セキュリティ・コンプライアンス・サーバ７４０は、ユーザ・ログ・データベース７４４を維持する、動的セキュリティ・レベル調整モジュール７４２をサポートする。ネットワーク関係活動についての情報は、データ処理システム内の追加の情報源から集められ得ることに留意されたい。例えば、プロキシ・サーバ７４６も、ネットワーク・セキュリティ監視エージェント７４８を含む。
【００７２】
図９および図１０に関して上で説明されたように、データ処理システム内のクライアント７１６、クライアント７１８、およびその他同様に構成されたコンピュータ装置は、それらのコンピュータ装置のユーザによるネットワーク関係活動についての情報を集めるために、セキュリティ・コンプライアンス・サーバ７４０と対話する。例えば、セキュリティ・コンプライアンス・サーバ７４０は、ネットワーク・セキュリティ監視エージェント７１８にフィルタリング方針のコピー７２０を送信することによって、クライアント７１６を構成し、フィルタリング方針のコピー７２０は、特定のユーザ、例えばユーザ「Ａ」がクライアント７１６を操作している間、クライアント７１６のネットワーク関係活動と照査される規則または条件あるいはその両方を含む。潜在的に問題がある活動は、キャッシュ活動ログ７２２内に記録され、キャッシュ活動ログ７２２は、ユーザ・ログ・データベース７４４に集積されるために、動的セキュリティ・レベル調整モジュール７４２に時々送信される。ネットワーク・セキュリティ監視エージェント７１８は、ネットワーク操作を直接的に監視することができ、またはネットワーク・セキュリティ監視エージェント７１８は、ファイアウォール・アプリケーション７２４など、ネットワーク操作を直接的に監視するその他の情報源からログ情報を集めることによって、ネットワーク操作を間接的に監視することもできる。
【００７３】
図９および図１０は、ユーザ・セキュリティ・レベルを計算するのに使用される情報を集めるためのプロセスを説明しているが、本発明は、外部情報源７５０を含む別の場所からも、ユーザ・セキュリティ・レベルを取得し、または取り出すことができる。外部情報源は、多くの人々についてのユーザ・セキュリティ・レベルを含むデータベースまたは同様のデータストアとすることができる。外部情報源は、例えば、既決犯罪、特にコンピュータ関係犯罪で有罪とされた犯罪者についての情報を維持する法執行機関など、政府機関によって運営されることができる。その他の例では、外部情報源は、料金の支払いを受けて電子情報サービスを提供する営利企業とすることができる。いずれの場合も、ユーザ・セキュリティ・レベルは、外部情報源から取得されることができ、データ処理システム内で集められた情報に加えて外部情報源を使用してもよく、またはおそらくは外部情報源に依存し、それによって、データ処理システムがネットワーク関係活動をフィルタリングすることによってユーザ・セキュリティ・レベルを決定する必要をなくすこともできる。
【００７４】
ここで図１２を参照すると、方針データベース７１２は、セキュリティ・レベルに関する操作を導くために使用され得る方針のいくつかに関する追加の詳細を含む。セキュリティ・コンプライアンス・サーバ７４０の他に、オーソライゼーション・サーバなどのその他のサーバによってもアクセスされ得る方針データベース７１２は、データ処理システム全体の様々な態様の操作を統制するように構成可能な様々なタイプの方針を含む。一般に、方針は、与えられたイベントが生じた場合または認可された状況が起きた場合に特定のアクションが取られるべきかどうかを決定するために、１組の入力パラメータと照査される規則または条件を規定する。説明される方針は、単に例示的なものに過ぎず、その他の方針が、方針データベース７１２に保存されることもできる。
【００７５】
例えば、作業スケジュールに関する様々な企業全体の方針など、汎用権限付与方針７５１は、すべてのユーザに適用されることができる。ユーザ権限付与方針７５２は、個人に対する固有の方針を含むことができ、例えば、特定の方針は、与えられた個人にのみ適用され、それによって、システム管理アプリケーションが、従業員またはその他の人の必要を個人ベースで処理することを可能にする。資源セキュリティ方針７５３は、装置およびその資源の様々な態様についての条件と、装置上のある資源へのアクセスがコンピュータ・セキュリティ・レベルに基づいて許可または拒否され得る仕方とに関する方針である。アプリケーション・セキュリティ方針７５４は、様々なソフトウェア・アプリケーションについての条件と、アプリケーションへのアクセスが許可または拒否され得る仕方とに関する方針である。
【００７６】
ネットワーク関係活動フィルタリング方針７５５は、ネットワーク関係操作がデータ処理システムにセキュリティ脆弱性をもたらさないかどうかを決定するためにネットワーク関係操作をフィルタリングするのに使用され、脆弱性をもたらす場合、活動はログに取られ、報告される。例えば、無権限アプリケーションに関する方針７５６は、無権限アプリケーションがコンピュータ装置上で実行されていないか、またはコンピュータ装置からネットワークにアクセスしていないか、あるいはその両方でないかを検出するが、装置上にインストールされた無権限アプリケーションは、その挙動が装置特有のセキュリティ問題またはネットワーク全体のセキュリティ問題を引き起こし得るかどうかを決定するために、徹底的に検査または試験されてはいない。不法ダウンロードに関する方針７５７は、ネットワークからコンテンツを、例えば、具体的にはインターネットから音楽または動画コンテンツを不法にダウンロードするためにコンピュータ資源が使用されていないかを検出する。安全でないポート使用に関する方針７５８は、様々な悪意ある攻撃において生じることが知られている通信のためにコンピュータ装置上の様々なポートがオープンされていないか、または使用されていないか、あるいはその両方でないかを検出し、装置上の悪意あるソフトウェアの存在を指摘することができる。フラグ付きウェブ・サイトに関する方針７５９は、ユーザ利用禁止であるとして特別にフラグ付けされたインターネット上のウェブ・サイトにアクセスするために装置が使用されていないかを検出する。過剰な通信資源利用に関する方針７６０は、無権限活動のための装置利用または資源利用を表すことがある過剰な仕方で装置がネットワーク上で使用されていないかを検出する。
【００７７】
ユーザ・セキュリティ・レベル決定方針７６１は、以下でより詳細に説明されるように、ユーザのネットワーク関係活動についてのログに取られた情報に基づいて、ユーザのためのユーザ・セキュリティ・レベルを計算するために利用される。コンピュータ・セキュリティ・レベル決定方針７６２は、データ処理システム内のネットワークを現在使用しているユーザのユーザ・セキュリティ・レベルに基づいて、コンピュータ資源のためのコンピュータ・セキュリティ・レベルを計算するために利用される。図面に示される本発明の実施の例は、コンピュータ資源のためのコンピュータ・セキュリティ・レベルを計算する場合に、単一ユーザのユーザ・セキュリティ・レベルを考慮するものとして説明されている。しかし、コンピュータ資源のためのコンピュータ・セキュリティ・レベルは、複数のユーザのユーザ・セキュリティ・レベルに基づいてもよく、それによって、複数のユーザによってもたらされるセキュリティ・リスクの評価を集約することができる。
【００７８】
ここで図１３を参照すると、ユーザ・レジストリ・データベース７１０内に保存され得る情報のいくつかに関する追加の詳細が提供されている。データ処理システム内のコンピュータ資源を使用する各人は、ユーザ・レジストリ・データベース７１０内に個人エントリを有すると仮定されることができ、個人エントリ７７０は、特定のユーザについての情報を含む。ユーザＩＤ ７７１は、認証操作を実行するために人が使用する一意識別子である。グループ・メンバシップ７７２は、プロジェクト、会社部署など、人が所属するグループを表す。ロール・メンバシップ７７３は、監督者または被監督従業員など、人によって実行され得るロールのタイプを表す。ユーザ・セキュリティ・レベル７７４は、人の現行ユーザ・セキュリティ・レベルの表示であり、ユーザ・セキュリティ・レベル７７４は、ユーザのネットワーク関係活動を検査することによって評価されたユーザ・セキュリティ・リスクの表示を提供する数値またはその他のタイプのデータによって表されることができる。初期ユーザ・セキュリティ・レベルは、個人エントリ７７０が作成された時にユーザに割り当てられることができ、初期ユーザ・セキュリティ・レベルは、永続的に個人エントリ７７０内に保存されてもよく、またはシステム・リセット、もしくは与えられたユーザのユーザ・セキュリティ・レベルのデフォルト値が必要とされるその他の状況など、何らかの状況における使用のために別の場所に保存されてもよい。
【００７９】
ここで図１４を参照すると、コンピュータ資源データベース７１４内に保存され得る情報のいくつかに関する追加の詳細が提供され、コンピュータ資源データベース７１４は、ラップトップ・コンピュータ、デスクトップ・コンピュータ、プリンタ、ファイアウォール、ならびにその他のハードウェアおよびソフトウェア資源など、データ処理システム内のコンピュータ資源についての情報を提供する。コンピュータ資源データベース７１４は、各コンピュータ資源についてのエントリを含むことができ、資源エントリ７７５は、資源ＩＤ７７６と、資源タイプ表示７７７と、妥当ならば、資源ロケーション７７８とを含むことができる。コンピュータ・セキュリティ・レベル７７９は、資源の現行コンピュータ・セキュリティ・レベルの表示であり、コンピュータ・セキュリティ・レベル７７９は、ネットワークを介して導入され得る脆弱性から資源を保護するために資源に対して適用されているセキュリティ保護の表示を提供する数値またはその他のタイプのデータによって表されることができる。資源のコンピュータ・セキュリティ・レベルが修正される必要があると決定された場合、資源のセキュリティ・レベルを引き上げるまたは引き下げるために、資源のセキュリティ・パラメータ設定７８０が修正される必要があり、コンピュータ資源データベース７１４内の情報は、資源のコンピュータ・セキュリティ・レベルが修正されることを必要としているかどうかを決定するために、適切なアクションが決定されるように命令する適切な方針を選択するのに必要とされる情報を提供することができる。初期コンピュータ・セキュリティ・レベルは、資源エントリ７７５が作成された時に資源に割り当てられることができ、初期コンピュータ・セキュリティ・レベルは、永続的に資源エントリ７７５内に保存されてもよく、またはシステム・リセット、もしくは与えられた資源のコンピュータ・セキュリティ・レベルのデフォルト値が必要とされるその他の状況など、何らかの状況における使用のために別の場所に保存されてもよい。
【００８０】
ここで図１５を参照すると、ユーザ・セキュリティ・レベル決定方針７８２は、図１２に示されたユーザ・セキュリティ・レベル決定方針７６１の１つの例である。方針７８２は、一定の時間フレーム内のユーザ活動のログが、悪意あるソフトウェアまたはウイルスが装置に侵入し、それによって、ネットワーク全体に広がることを潜在的に可能にし得る、安全でない通信ポートのオープンを示している場合に、ユーザのユーザ・セキュリティ・レベル表示を最大値に設定するための単一の規則を含む。
【００８１】
ここで図１６を参照するとコンピュータ・セキュリティ・レベル決定方針７８４は、図１２に示されたコンピュータ・セキュリティ・レベル決定方針７６２の１つの例である。方針７８４は、特定の装置のコンピュータ・セキュリティ・レベル表示を設定するための単一の規則を含み、この例では、規則は、規則の評価をトリガするイベント、イベントをトリガしたユーザによってもたらされるリスクのレベル、およびコンピュータ・セキュリティ・レベルが修正される装置を使用しているユーザのタイプについての情報を取得する。方針の規則は、ユーザがネットワークにログオンしていること、このユーザが高いユーザ・セキュリティ・レベルを所有していることを検査し、加えて、規則は、特定の装置のユーザが新規ユーザのグループに属するとしてフラグ付けされていることを検査する。これらの条件が真である場合、装置のコンピュータ・セキュリティ・レベルは、特別なデフォルト最大レベルに設定される。
【００８２】
ここで図１７を参照すると、資源セキュリティ方針７８６は、図１２に示された資源セキュリティ方針７５３の１つの例である。方針７８６は、装置に現在割り当てられているコンピュータ・セキュリティ・レベルに基づいて、特定の装置の様々な構成可能なセキュリティ関係パラメータを設定するための単一の規則を含み、この例では、特別なデフォルト最大レベルに設定される。規則は、装置に現在割り当てられているコンピュータ・セキュリティ・レベルが特別なデフォルトの最大レベルに等しい場合、セキュリティ防衛を妨害しようとする試みに抵抗する能力を高めるために、様々なアクションが装置上で実行されるべきことを規定する。例えば、装置上で実行されるファイアウォールのパラメータは、最も制限的な値に設定されるべきであり、それによって、ファイアウォールは、僅かに変則であり得るどのような活動にもフラグ付けを施すこと、またはそうしたどのような活動も停止すること、あるいはその両方を行うように保証する。加えて、ある通信プロトコルは、アクセス不可または操作不可とされ、それによって、悪意あるコードの転送を防止し、または現在の状況下では許容し得ないその他の何らかの活動を防止する。さらに、すべてのメール取得が現在の状況下ではブロックされ、それによって、ユーザ、特に未熟なユーザが、悪意あるファイルが添付された電子メール・メッセージを不注意に受け入れることを防止する。
【００８３】
ここで図１８を参照すると、フローチャートは、本発明の一実施形態による、ネットワーク上のユーザ活動が、ネットワーク内のアクティブな資源のコンピュータ・セキュリティ・レベル値の動的調整をトリガすることができるプロセスを示している。図１８に示されるプロセスは、ネットワーク化されたデータ処理システム内の資源のコンピュータ・セキュリティ・レベル値に対する更新操作を示している。しかし、同様のプロセスは、例えば、デフォルトのコンピュータ・セキュリティ・レベル値を割り当てることによって、またはコンピュータ資源が初期化された時にネットワークの現行ユーザのユーザ・セキュリティ・レベルを検査することによって、特定のコンピュータ資源のコンピュータ・セキュリティ・レベルの初期値を生成するためにも実行される。
【００８４】
プロセスは、特定のユーザのネットワーク活動におけるトリガ・イベントを検出することによって開始する（ステップ８０２）。例えば、ログオンおよびログオフ操作など、相対的に少数のイベントのみがトリガ・イベントであるとして事前決定されることが仮定されてよく、それによって、図１８に示されるプロセスを実行する頻度を大幅に削減する。検出に応答して、データ処理システム内でその他のユーザによってアクティブに使用されているいくつかのコンピュータ資源のコンピュータ・セキュリティ・レベル値について、再評価が実行される。それらの資源のコンピュータ・セキュリティ・レベル値は、動的に計算または調整あるいはその両方が行われ、その後、割り当てまたは保存あるいはその両方が行われる（ステップ８０４）。その後、影響を受ける資源のセキュリティ・パラメータの新規の組または修正された組あるいはその両方が、新たに調整されたコンピュータ・セキュリティ・レベル値に基づいて決定される（ステップ８０６）。
【００８５】
その後、影響を受ける資源は、新しいまたは修正されたセキュリティ・パラメータに従って構成または再構成あるいはその両方が行われ（ステップ８０８）、その後、影響を受けた資源は、セキュリティ・パラメータが再び修正されるまで、この仕方で動作する。資源が異なる挙動で動作し始めたことにユーザが気づくことができるので、動的に調整されたコンピュータ・セキュリティ・レベル値を有するこれらの影響を受けた資源を使用しているユーザは、通知を受けることができ（ステップ８１０）、それによって、プロセスが完了する。
【００８６】
本発明の利点は、上で提供された詳細な説明に照らして明らかであるが、図９、図１０、および図１８に示されたプロセス、ならびに図１１〜図１７に示されたコンポーネントは、例を用いて説明されることができる。第１のユーザであるユーザ「Ａ」は、データ処理システム内の様々なコンピュータ資源を使用することができ、特に、ユーザ「Ａ」は、コンピュータを、ファイアウォール・アプリケーション、メール・アプリケーション、オンライン・チャット・アプリケーション、およびその他のアプリケーションなど、コンピュータ上でサポートされる様々な資源と共に利用することができる。ユーザ・セキュリティ・レベルが、ユーザ「Ａ」に関連付けられ、コンピュータ・セキュリティ・レベルが、ユーザ「Ａ」が使用しているコンピュータ資源のいくつかに関連付けられる。ユーザ「Ａ」がそれらのコンピュータ資源を利用している間、図９に関して説明されたように、ユーザ「Ａ」の潜在的に問題のあるネットワーク活動はすべて、ユーザ「Ａ」のユーザ・セキュリティ・レベルのその後の決定のためにログに取られる。様々なネットワーク活動フィルタリング方針が、潜在的に問題のあるネットワーク活動として分類されるべきネットワーク操作を決定するために使用されることができる。図１０に関して説明されたように、中央ユーザ・ログ・データベース内の情報が、データ処理システム内のコンピュータ資源のユーザのユーザ・セキュリティ・レベルを計算するために使用される。様々なユーザ・セキュリティ・レベル決定方針が、適切なユーザ・セキュリティ・レベル値をユーザ「Ａ」に関連付けるために使用されることができる。
【００８７】
ある時点で、ユーザ「Ｂ」が、ネットワークにログオンすることができ、ログオン操作は、ネットワーク上におけるユーザの新たな存在を知らせるので、その後、ユーザ「Ｂ」のユーザ・セキュリティ・レベルが、ユーザがネットワークにログオンした時の現行時間フレーム内で初めて検査される。言い換えると、ユーザ「Ｂ」によるログオン操作など、あるユーザによるあるトリガ・イベント時に、図１８に関して説明されたように、ユーザ・セキュリティ・レベルが、ユーザ「Ａ」などのユーザによって使用されているコンピュータ装置の適切なコンピュータ・セキュリティ・レベルを決定するために使用され、ネットワーク・ログオフ・イベントなどのその他のトリガ・イベントは、反対の効果を有することができる。この例では、ユーザ「Ｂ」は、以前にユーザ「Ｂ」が何らかの問題のあるネットワーク活動に関連付けられたことを示す高いユーザ・セキュリティ・レベルを有するものとする。ユーザ「Ａ」によってアクティブに使用されている資源のコンピュータ・セキュリティ・レベルを再評価するためのトリガ・イベントとしてユーザ「Ｂ」のログオン操作を使用して、様々なコンピュータ・セキュリティ・レベル決定方針が、ユーザ「Ａ」によって使用されている資源に適切なコンピュータ・セキュリティ・レベル値を関連付けるために使用されることができる。
【００８８】
さらに、様々な資源セキュリティ方針が、新たに割り当てられたコンピュータ・セキュリティ・レベルに従って動作するように資源のセキュリティを修正するための適切な応答を決定するために利用されることができる。例えば、クライアント７１６、またはより具体的にはファイアウォール・アプリケーションのコンピュータ・セキュリティ・レベルは、ファイアウォール・パラメータ設定７２６の修正された組を用いてファイアウォール７２４を動的に再構成することによって、動的に調整されることができる。例えば、構成可能な方針で規定されるなど、必要であると決定された場合、動的セキュリティ・レベル調整モジュール７４２は、新しいファイアウォール・パラメータ設定７２６を、例えば、ネットワーク・セキュリティ監視エージェント７１８、ファイアウォール・アプリケーション内のメカニズム、またはクライアント７１６をサポートするオペレーション・システム内のメカニズムを介して、クライアント７１６に送ることができる。
【００８９】
ユーザ「Ｂ」によるネットワーク関係活動が、潜在的に問題があると見なされるものとする。それに応答して、ユーザ「Ａ」のコンピュータ環境を保護するために、ユーザ「Ａ」によって使用されているコンピュータ資源の一定のコンピュータ防衛が、ユーザ「Ａ」の作業環境を保護するために高められることができる。ユーザ「Ｂ」のコンピュータ活動を直接的に変更することによって、何らかの仕方でユーザ「Ｂ」の挙動がおそらく停止され、それによって、ユーザ「Ａ」の作業環境を保護することができるが、本発明は、独特の解決策を提供する。
【００９０】
本発明が完全な機能を備えたデータ処理システムに基づいて説明されたが、本発明に関連するプロセスのいくつかは、分散を実施するのに実際に使用される信号搬送媒体の具体的なタイプに関わらず、コンピュータ可読媒体中の命令の形態、または様々なその他の形態で分散され得ることを、当業者であれば理解するであろうことに留意することが重要である。コンピュータ可読媒体の例は、ＥＰＲＯＭ、ＲＯＭ、テープ、紙、フロッピ・ディスク、ハード・ディスク・ドライブ、ＲＡＭ、およびＣＤ−ＲＯＭなどの媒体と、デジタルおよびアナログ通信リンクなどの伝送型媒体とを含む。
【００９１】
いくつかのコンピュータ・タスクは、機能ユニットによって実行されるとして説明されることができる。機能ユニットは、コンピュータ・タスクを実行するための、ルーチン、サブルーチン、プロセス、サブプロセス、プロシージャ、関数、メソッド、オブジェクト指向オブジェクト、ソフトウェア・モジュール、アプレット、プラグイン、ＡｃｔｉｖｅＸ（商標）コントロール、スクリプト、またはファームウェアもしくはソフトウェアのその他の何らかのコンポーネントによって表されることができる。
【００９２】
図中の要素の説明は、クライアント装置またはクライアント装置のユーザによる何らかのアクションを含むことができる。当業者であれば、クライアント装置に対する要求、またはクライアント装置からの応答、あるいはその両方は、時にはユーザによって開始され、その他の時には、しばしばクライアントのユーザの代わりに、クライアントによって自動的に開始されることを理解されよう。したがって、図の説明においてクライアントまたはクライアントのユーザが言及される場合、「クライアント」と「ユーザ」という用語は、説明されるプロセスの意味に著しい影響を与えることなく、しばしば交換可能に使用され得ることを理解されたい。
【００９３】
本明細書の図の説明は、様々なコンポーネント間の情報の交換を含むことができ、情報の交換は、例えば、要求メッセージとそれに続く応答メッセージなど、メッセージの交換を介して実施されるものとして説明されることができる。適切である場合、同期または非同期の要求／応答交換を含み得る、コンピュータ・コンポーネント間の情報の交換は、メッセージ、メソッド・コール、リモート・プロシージャ・コール、イベント・シグナリング、またはその他のメカニズムなど、様々なデータ交換メカニズムを介して等価的に実施されてよいことを留意されたい。
【００９４】
本発明の説明は、説明の目的で提示されたものであり、網羅的であること、または開示された実施形態に限定されることは意図されていない。多くの修正および変形が、当業者には明らかであろう。実施形態は、本発明の原理とその実際的な応用を説明するため、またその他の企図された使用にとって適し得るような様々な修正を伴った様々な実施形態を実施するために当業者が本発明を理解できるようにするために選択された。
【図面の簡単な説明】
【００９５】
【図１】本発明が実施され得る典型的な分散データ処理システムを示す図である。
【図２】本発明が実施され得るデータ処理システム内で使用され得る典型的なコンピュータ・アーキテクチャを示す図である。
【図３】典型的な企業データ処理システムを示すブロック図である。
【図４】本発明の動的セキュリティ調整機能を含むデータ処理システムの概要を示すブロック図である。
【図５】本発明による、装置のコンピュータ・セキュリティ・レベルの動的調整を示す時間線を示す図である。
【図６】本発明による、装置のコンピュータ・セキュリティ・レベルの動的調整を示す時間線を示す図である。
【図７】与えられたユーザのユーザ・セキュリティ・レベルと与えられたコンピュータ資源のコンピュータ・セキュリティ・レベルの間の逆関係を示す図である。
【図８】与えられたユーザのユーザ・セキュリティ・レベルと与えられたコンピュータ資源のコンピュータ・セキュリティ・レベルの間の逆関係を示す図である。
【図９】本発明の一実施形態による、ユーザ・セキュリティ・レベルの決定に影響を与える情報を集めるためのプロセスを示すフローチャートである。
【図１０】本発明の一実施形態による、特定のユーザのユーザ・セキュリティ・レベルの決定に影響を与えるために、それ以前にログに取られたユーザ活動が分析されるプロセスを示すフローチャートである。
【図１１】セキュリティ・レベルの動的調整をサポートするためのデータ処理システム内のコンポーネントを示すブロック図である。
【図１２】セキュリティ・レベルの動的調整をサポートするためのデータ処理システム内のコンポーネントを示すブロック図である。
【図１３】セキュリティ・レベルの動的調整をサポートするためのデータ処理システム内のコンポーネントを示すブロック図である。
【図１４】セキュリティ・レベルの動的調整をサポートするためのデータ処理システム内のコンポーネントを示すブロック図である。
【図１５】セキュリティ・レベルの動的調整をサポートするためのデータ処理システム内のコンポーネントを示すブロック図である。
【図１６】セキュリティ・レベルの動的調整をサポートするためのデータ処理システム内のコンポーネントを示すブロック図である。
【図１７】セキュリティ・レベルの動的調整をサポートするためのデータ処理システム内のコンポーネントを示すブロック図である。
【図１８】本発明の一実施形態による、ネットワーク上のユーザ活動が、ネットワーク内のアクティブな資源のコンピュータ・セキュリティ・レベル値の動的調整をトリガすることができるプロセスを示すフローチャートである。
【技術分野】
【０００１】
本発明は、改良されたデータ処理システムに関し、詳細には、コンピュータ・セキュリティのための方法および装置に関する。
【背景技術】
【０００２】
コンピュータ・セキュリティ・ツールは、コンピュータ・システムに損害を与えようとする悪意あるユーザの能力を制限するための防衛機構を提供する。ソフトウェア・ベースの侵入検出アプリケーションは、コンピュータ管理者が、疑わしいコンピュータ活動を追跡する措置、ならびにセキュリティ侵害を防止するためにコンピュータ・システムおよびネットワークを変更する措置を講じられるように、管理者に疑わしい活動を警告することができる。
【０００３】
しかし、コンピュータ・システムに対する多くのセキュリティ侵害は、物理的に無権限使用が可能となるためにコンピュータ・システムを物理的に脆弱にする、人間の不注意または怠慢を通して起こる。例えば、ユーザは、コンピュータ・ワークステーションにログオンしたまま、昼食のために席を離れることがあり、ユーザのオフィスの無人で放置されたコンピュータは、無権限の人による使用に対して無防備である。無活動のまま一定の時間が経過すると、ユーザのアカウントまたは装置が自動的にログオフする場合であっても、無権限の人が、悪意ある活動のためにユーザのアカウントにアクセスすることができる期間が残っている。同様の状況は、脆弱な装置に対するより強固な物理的管理を必要とする。
【０００４】
無人で放置された装置に対するより良いセキュリティ実践を主張するのに加えて、人が使用中の装置に対するセキュリティ実践が改善され得る多くの状況が存在し、すなわち、誰かによってアクティブに使用されているコンピュータ資源もまだ依然として、無権限使用または慣習から保護される必要がある。例えば、いくつかの組織、特に政府機関および軍事省は、職員に対する様々なタイプのセキュリティ手順を実施する。１つの組織内の異なる個人は、異なる職務を有し、様々なレベルのセキュリティ・クリアランス（ｓｅｃｕｒｉｔｙ ｃｌｅａｒａｎｃｅ）、または様々なタイプの区分化セキュリティ・アクセスが、個人の職務に従って、同じ組織内の個人に与えられる。多くの場合、同じ組織単位内の２人の人は、相手よって処理された情報を見る権限を与えられない。これらの組織は、異なる職員に適用されるセキュリティ手順を反映した、異なるセキュリティ手順をコンピュータ・システムに対して実施することができ、例えば、各人は、担当する仕事にとって必要なコンピュータ資源にアクセスする権限のみを与えられる。
【０００５】
コンピュータ・システムに対する多くのセキュリティ侵害は、コンピュータ・システムを物理的に脆弱にする、人間の不注意または怠慢を通して起こるが、多くのセキュリティ侵害は、人間が、リスクの高いコンピュータ活動を通して、それらのコンピュータ・システムをコンピュータ的に脆弱にする場合に起こる。これらのリスクの高いコンピュータ活動は、コンピュータが悪意ある攻撃またはコンピュータ・ウイルスの侵入を受ける可能性を増大させる。多くのリスクの高いコンピュータ活動は、意図的に実行される。いくつかの場合、リスクの高いコンピュータ活動は、権限を得て意図的に実行されるが、残念なことに、その他の多くの場合、リスクの高いコンピュータ活動は、権限を得ることなく意図的に、不注意から、または思慮のなさから実行される。
【０００６】
例えば、人はしばしば、作動中のファイアウォールなしに、コンピュータを操作することがある。そのような状況を防止するために、一定のセキュリティ手順が自動的に実施され得る場合であっても、人は、何らかのコンピュータ・セキュリティ防衛による干渉を受けない、特別に構成されたコンピュータを必要とすることがある。いくつかの状況では、従業員は、特別な仕事上の任務を実行するために、作動停止中または使用不可能なファイアウォールなど、特別なコンピュータ構成を必要とすることがある。したがって、この人は、作動中のファイアウォールなしに、権限を得てコンピュータを操作することができる。しかし、その他の状況では、人はしばしば、ファイアウォールによって防止される活動のうちの一部であり得る、音楽または動画コンテンツのダウンロードを不法に行うために、ファイアウォールを使用不可能にすることがある。したがって、この人は、作動中のファイアウォールなしに、権限を得ることなくコンピュータを操作することができる。さらに、コンピュータは、ダウンロード・ファイルに対するウイルス検査の失敗によっても、脆弱にされることがある。
【０００７】
人が権限を得ることなくコンピュータ・セキュリティ防衛機構を積極的に妨害し得る場合であっても、何人かの人のコンピュータ活動に関して一定のコンピュータ脆弱性を容認する正当な理由が存在することがある。これらのタイプの状況では、上で述べられたように、組織は、異なる職員に適用されるセキュリティ手順を反映した異なるセキュリティ手順をコンピュータ・システムに対して実施することができる。しかし、ほとんどのコンピュータは、ネットワーク化されたデータ処理システム内で動作し、例えばウイルスなど、多くの悪質な脆弱性は、ネットワーク接続を介してコンピュータからコンピュータに広がり得るので、１人の人のコンピュータ活動が、別の人のコンピュータ活動を脆弱にすることがある。
【発明の開示】
【発明が解決しようとする課題】
【０００８】
したがって、ネットワーク化されたコンピュータ環境内の１人のユーザの活動が、別のユーザの活動を危険にさらすことがないように保証する必要がある。より具体的には、特にコンピュータ脆弱性に対して積極的に防衛を試みている第２のユーザのコンピュータにコンピュータ脆弱性が広がり得る場合に、第１のユーザによって容認されるコンピュータ脆弱性が、権限を得ている、得ていないに関わらず、ネットワーク化されたコンピュータ環境に問題を導入しないように保証する必要が存在する。
【０００９】
したがって、コンピュータ・セキュリティ手順が、異なるユーザに関して柔軟な方法で実施され続けることを可能にしながらも、１人のユーザに関して実施または活動化されたコンピュータ・セキュリティ手順が、別のユーザに対するコンピュータ脆弱性を引き起こさないように保証することによって、データ処理システムに対するコンピュータ・セキュリティを改善するのが有利である。
【課題を解決するための手段】
【００１０】
データ処理システム内のコンピュータ資源の安全性を保護するための、方法、システム、装置、またはコンピュータ・プログラム製品が提示される。第１のユーザは、第１のコンピュータ装置を使用し、ユーザ・セキュリティ・レベル（ｕｓｅｒ ｓｅｃｕｒｉｔｙ ｌｅｖｅｌ）が、第１のユーザに関連付けられる。同様に、第２のユーザは、第２のコンピュータ装置を使用し、ユーザ・セキュリティ・レベルが、第２のユーザに関連付けられる。第１のコンピュータ装置上のコンピュータ資源は、第２のユーザの第２のユーザ・セキュリティ・レベルに基づいて、自動的に再構成される。コンピュータ・セキュリティ・レベル（ｃｏｍｐｕｔａｔｉｏｎａｌ ｓｅｃｕｒｉｔｙ ｌｅｖｅｌ）が、第１のコンピュータ装置上のコンピュータ資源に割り当てられることができ、そのコンピュータ・セキュリティ・レベルは、第２のユーザによって使用されている第２のコンピュータ装置による検出ネットワーク活動に応じて動的に調整される。第１のコンピュータ装置上のコンピュータ資源を再構成するための修正セキュリティ関係パラメータは、調整されたコンピュータ・セキュリティ・レベルに基づいて再構成される。
【００１１】
第１の態様に鑑みて、本発明は、データ処理システム内の１組のコンピュータ資源に関する操作を安全にするための方法を提供し、その方法は、第１のユーザによって使用されている第１のコンピュータ装置上のコンピュータ資源を利用するステップであって、第１のユーザ・セキュリティ・レベル表示値（ｕｓｅｒ ｓｅｃｕｒｉｔｙ ｌｅｖｅｌ ｉｎｄｉｃａｔｉｎｇ ｖａｌｕｅ）が、第１のユーザに関連付けられるステップと、第２のユーザによって使用されている第２のコンピュータ装置上のコンピュータ資源を利用するステップであって、第２のユーザ・セキュリティ・レベル表示値が、第２のユーザに関連付けられるステップと、第２のユーザの第２のユーザ・セキュリティ・レベル表示値に基づいて、第１のコンピュータ装置上のコンピュータ資源を自動的に再構成するステップとを含む。
【００１２】
好ましくは、本発明は、第２のユーザによって使用されるコンピュータ資源に関するネットワーク活動を監視するステップと、第２のユーザによって使用されるコンピュータ資源に関するネットワーク活動をフィルタリングするステップと、第２のユーザによって使用されるコンピュータ資源に関する問題のあるネットワーク活動をログに取るステップとをさらに含む方法を提供する。
【００１３】
好ましくは、本発明は、ネットワーク活動をフィルタリングするための規則または条件あるいはその両方を表す第１の構成可能な方針（ｃｏｎｆｉｇｕｒａｂｌｅ ｐｏｌｉｃｙ）を利用するステップをさらに含む方法を提供する。
【００１４】
好ましくは、本発明は、第２のユーザのログに取られた問題のあるネットワーク活動を検査するステップと、検査済のログに取られた問題のあるネットワーク活動からの情報に基づいて、第２のユーザ・セキュリティ・レベル表示値を決定するステップとをさらに含む方法を提供する。
【００１５】
好ましくは、本発明は、第２のユーザ・セキュリティ・レベル表示値を決定するための規則または条件あるいはその両方を表す第２の構成可能な方針を利用するステップをさらに含む方法を提供する。
【００１６】
好ましくは、本発明は、コンピュータ・セキュリティ・レベル表示値（ｃｏｍｐｕｔａｔｉｏｎａｌ ｓｅｃｕｒｉｔｙ ｌｅｖｅｌ ｉｎｄｉｃａｔｉｎｇ ｖａｌｕｅ）を第１のコンピュータ装置上のコンピュータ資源に割り当てるステップと、第２のユーザによって使用されている第２のコンピュータ装置による検出ネットワーク活動に応じて、第１のコンピュータ装置上のコンピュータ資源のコンピュータ・セキュリティ・レベル表示値を調整するステップとをさらに含む方法を提供する。
【００１７】
好ましくは、本発明は、第１のコンピュータ装置上のコンピュータ資源のコンピュータ・セキュリティ・レベル表示値を調整するための規則または条件あるいはその両方を表す第３の構成可能な方針を利用するステップをさらに含む方法を提供する。
【００１８】
好ましくは、本発明は、調整されたコンピュータ・セキュリティ・レベル表示値に基づいて、第１のコンピュータ装置上のコンピュータ資源を再構成するための修正セキュリティ関係パラメータを決定するステップをさらに含む方法を提供する。
【００１９】
好ましくは、本発明は、第１のコンピュータ装置上のコンピュータ資源を再構成するための修正セキュリティ関係パラメータを決定するための規則または条件あるいはその両方を表す第４の構成可能な方針を利用するステップをさらに含む方法を提供する。
【００２０】
好ましくは、本発明は、修正セキュリティ関係パラメータを中央セキュリティ管理アプリケーション（ｃｅｎｔｒａｌｉｚｅｄ ｓｅｃｕｒｉｔｙ ｍａｎａｇｅｍｅｎｔ ａｐｐｌｉｃａｔｉｏｎ）から第１のコンピュータ装置上のネットワーク・セキュリティ・エージェント（ｎｅｔｗｏｒｋ ｓｅｃｕｒｉｔｙ ａｇｅｎｔ）に送るステップをさらに含む方法を提供する。
【００２１】
好ましくは、本発明は、第１のユーザに第１のコンピュータ装置の再構成を通知するステップをさらに含む方法を提供する。
【００２２】
好ましくは、本発明は、外部の情報源からデータ処理システムに第２のユーザ・セキュリティ・レベル表示値を取り出すステップをさらに含む方法を提供する。
【００２３】
第２の態様に鑑みて、本発明は、データ処理システム内の１組のコンピュータ資源に関する操作を安全なものにするための、コンピュータ可読記憶媒体上のコンピュータ・プログラム製品を提供し、そのコンピュータ・プログラム製品は、第１のユーザによって使用されている第１のコンピュータ装置上のコンピュータ資源を利用する手段であって、第１のユーザ・セキュリティ・レベル表示値が、第１のユーザに関連付けられる手段と、第２のユーザによって使用されている第２のコンピュータ装置上のコンピュータ資源を利用する手段であって、第２のユーザ・セキュリティ・レベル表示値が、第２のユーザに関連付けられる手段と、第２のユーザの第２のユーザ・セキュリティ・レベル表示値に基づいて、第１のコンピュータ装置上のコンピュータ資源を自動的に再構成する手段とを含む。
【００２４】
好ましくは、本発明は、第２のユーザによって使用されるコンピュータ資源に関するネットワーク活動を監視する手段と、第２のユーザによって使用されるコンピュータ資源に関するネットワーク活動をフィルタリングする手段と、第２のユーザによって使用されるコンピュータ資源に関する問題のあるネットワーク活動をログに取る手段とをさらに含むコンピュータ・プログラム製品を提供する。
【００２５】
好ましくは、本発明は、第２のユーザのログに取られた問題のあるネットワーク活動を検査する手段と、検査済のログに取られた問題のあるネットワーク活動からの情報に基づいて、第２のユーザ・セキュリティ・レベル表示値を決定する手段とをさらに含むコンピュータ・プログラム製品を提供する。
【００２６】
好ましくは、本発明は、コンピュータ・セキュリティ・レベル表示値を第１のコンピュータ装置上のコンピュータ資源に割り当てる手段と、第２のユーザによって使用されている第２のコンピュータ装置による検出ネットワーク活動に応じて、第１のコンピュータ装置上のコンピュータ資源のコンピュータ・セキュリティ・レベル表示値を調整する手段とをさらに含むコンピュータ・プログラム製品を提供する。
【００２７】
好ましくは、本発明は、調整されたコンピュータ・セキュリティ・レベル表示値に基づいて、第１のコンピュータ装置上のコンピュータ資源を再構成するための修正セキュリティ関係パラメータを決定する手段をさらに含むコンピュータ・プログラム製品を提供する。
【００２８】
第４の態様に鑑みて、本発明は、データ処理システム内の１組のコンピュータ資源に関する操作を安全なものにするための装置を提供し、その装置は、第１のユーザによって使用されている第１のコンピュータ装置上のコンピュータ資源を利用する手段であって、第１のユーザ・セキュリティ・レベル表示値が、第１のユーザに関連付けられる手段と、第２のユーザによって使用されている第２のコンピュータ装置上のコンピュータ資源を利用する手段であって、第２のユーザ・セキュリティ・レベル表示値が、第２のユーザに関連付けられる手段と、第２のユーザの第２のユーザ・セキュリティ・レベル表示値に基づいて、第１のコンピュータ装置上のコンピュータ資源を自動的に再構成する手段とを含む。
【００２９】
好ましくは、本発明は、コンピュータ・セキュリティ・レベル表示値を第１のコンピュータ装置上のコンピュータ資源に割り当てる手段と、第２のユーザによって使用されている第２のコンピュータ装置による検出ネットワーク活動に応じて、第１のコンピュータ装置上のコンピュータ資源のコンピュータ・セキュリティ・レベル表示値を調整する手段とをさらに含む装置を提供する。
【００３０】
好ましくは、本発明は、調整されたコンピュータ・セキュリティ・レベル表示値に基づいて、第１のコンピュータ装置上のコンピュータ資源を再構成するための修正セキュリティ関係パラメータを決定する手段をさらに含む装置を提供する。
【００３１】
本発明の実施形態が、添付の図面を参照しながら、以下で詳細に説明されるが、これは例示的としてのみ、示される。
【発明を実施するための最良の形態】
【００３２】
一般に、本発明を含み得る、または本発明に関係し得る装置は、多種多様なデータ処理技術を含む。したがって、本発明をより詳細に説明する前に、背景として、分散データ処理システム内のハードウェア・コンポーネントおよびソフトウェア・コンポーネントの典型的な組織が説明される。
【００３３】
ここで図面を参照すると、図１は、データ処理システムの典型的なネットワークを示しており、データ処理システムの各々は、本発明の部分を実施することができる。分散データ処理システム１００は、ネットワーク１０１を含み、ネットワーク１０１は、分散データ処理システム１００内で互いに接続される様々な装置およびコンピュータの間の通信リンクを提供するために使用され得る媒体である。ネットワーク１０１は、ワイヤ・ケーブルもしくは光ファイバ・ケーブルなどの永続的接続、または電話もしくは無線通信を介して確立される一時的接続を含むことができる。図示された例では、サーバ１０２およびサーバ１０３は、ストレージ・ユニット１０４と共に、ネットワーク１０１に接続される。加えて、クライアント１０５〜１０７も、ネットワーク１０１に接続される。クライアント１０５〜１０７およびサーバ１０２〜１０３は、メインフレーム、パーソナル・コンピュータ、携帯情報端末（ＰＤＡ）など、様々なコンピューティング装置によって表されることができる。分散データ処理システム１００は、追加のサーバ、クライアント、ルータ、その他の装置、および図示されていないピアツーピア・アーキテクチャを含むこともできる。
【００３４】
図示された例では、分散データ処理システム１００は、互いに通信を行うために、ライトウェイト・ディレクトリ・アクセス・プロトコル（ＬＤＡＰ）、伝送制御プロトコル／インターネット・プロトコル（ＴＣＰ／ＩＰ）、ファイル転送プロトコル（ＦＴＰ）、ハイパーテキスト転送プロトコル（ＨＴＴＰ）、無線アプリケーション・プロトコル（ＷＡＰ）などの様々なプロトコルを使用する、ネットワークおよびゲートウェイの世界規模の集まりを表すネットワーク１０１の中にインターネットを含むことができる。もちろん、分散データ処理システム１００は、例えば、イントラネット、ローカル・エリア・ネットワーク（ＬＡＮ）、またはワイド・エリア・ネットワーク（ＷＡＮ）などの、多くの異なるタイプのネットワークを含むこともできる。例えば、サーバ１０２は、クライアント１０９と、無線通信リンクを含むネットワーク１１０とを直接的にサポートする。ネットワーク対応電話１１１は、無線リンク１１２を介してネットワーク１１０に接続し、ＰＤＡ １１３は、無線リンク１１４を介してネットワーク１１０に接続する。電話１１１およびＰＤＡ １１３は、いわゆるパーソナル・エリア・ネットワーク（ＰＡＮ）またはパーソナル・アドホック・ネットワークを生成するために、Ｂｌｕｅｔｏｏｔｈ（商標）無線技術などの適切な技術を使用する無線リンク１１５を介して、互いに直接的にデータを転送することもできる。同様に、ＰＤＡ １１３は、無線通信リンク１１６を介して、ＰＤＡ １０７にデータを転送することができる。
【００３５】
本発明は、様々なハードウェア・プラットフォーム上で実施されることができ、図１は、異種コンピューティング環境の一例として意図されており、本発明に対するアーキテクチャ的な限定としては意図されていない。
【００３６】
ここで図２を参照すると、図は、本発明が実施され得る、図１に示されたようなデータ処理システムの典型的なコンピュータ・アーキテクチャを示している。データ処理システム１２０は、内部システム・バス１２３に接続される１つまたは複数の中央処理装置（ＣＰＵ）１２２を含み、内部システム・バス１２３は、ランダム・アクセス・メモリ（ＲＡＭ）１２４と、リード・オンリ・メモリ（ＲＯＭ）１２６と、入力／出力アダプタ１２８とを相互接続し、入力／出力アダプタ１２８は、プリンタ１３０、ディスク・ユニット１３２、または図示されていないオーディオ出力システム等のその他の装置など、様々なＩ／Ｏ装置をサポートする。システム・バス１２３は、通信リンク１３６へのアクセスを提供する通信アダプタ１３４も接続する。ユーザ・インタフェース・アダプタ１４８は、キーボード１４０およびマウス１４２、または図示されていないタッチ・スクリーン、スタイラス、マイクロフォン等のその他の装置など、様々なユーザ装置を接続する。ディスプレイ・アダプタ１４４は、システム・バス１２３をディスプレイ装置１４６に接続する。
【００３７】
当業者であれば、図２のハードウェアがシステム実施に応じて変化し得ることは理解されよう。例えば、システムは、Ｉｎｔｅｌ（登録商標） Ｐｅｎｔｉｕｍ（登録商標）ベースのプロセッサおよびデジタル信号プロセッサ（ＤＳＰ）などの１つまたは複数のプロセッサ、ならびに１つまたは複数のタイプの揮発性および不揮発性メモリを有することができる。その他の周辺装置が、図２に図示されたハードウェアに加えて、またはその代わりに使用されてもよい。図示された例は、本発明に関するアーキテクチャ的な限定を示唆しようとする意図はない。
【００３８】
様々なハードウェア・プラットフォーム上で実施され得ることに加えて、本発明は、様々なソフトウェア環境においても実施されることができる。典型的なオペレーティング・システムが、各データ処理システム内でのプログラム実行を制御するために使用されることができる。例えば、１つの装置は、Ｕｎｉｘ（登録商標）オペレーティング・システムを実行することができ、一方、別の装置は、シンプルなＪａｖａ（登録商標）ランタイム環境を含む。代表的なコンピュータ・プラットフォームは、ブラウザを含むことができ、ブラウザは、グラフィックス・ファイル、文書処理ファイル、拡張可能マークアップ言語（ＸＭＬ）、ハイパーテキスト・マークアップ言語（ＨＴＭＬ）、ハンドヘルド・デバイス・マークアップ言語（ＨＤＭＬ）、無線マークアップ言語（ＷＭＬ）、ならびに様々なその他のフォーマットおよび様々なその他のタイプのファイルなど、様々なフォーマットのハイパーテキスト文書にアクセスするためのよく知られたソフトウェア・アプリケーションである。
【００３９】
本発明は、図１および図２に関して上で説明されたような、様々なハードウェアおよびソフトウェア・プラットフォーム上で実施されることができる。しかし、より具体的には、本発明は、データ処理環境内での改良されたセキュリティ・プロセスに関する。本発明をより詳細に説明する前に、セキュリティ操作をサポートする典型的なデータ処理環境のいくつかの態様が説明される。
【００４０】
ここで図３を参照すると、ブロック図は、典型的な企業データ処理システムを示している。図１は、クライアントとサーバとを有する典型的なデータ処理システムを示しているが、対照的に、図３は、資源へのアクセスを求めるクライアント要求をサポートするのに使用され得るサーバ側エンティティのいくつかと関係する、ネットワーク内のクライアントを示している。典型的なコンピューティング環境と同様に、企業ドメイン２００は、ユーザ２０２が、例えば、クライアント２０６上のブラウザ・アプリケーション２０４を使用することによって、ネットワーク２０８を介してアクセスすることができる資源をホストし、コンピュータ・ネットワークは、図１に示されるような、インターネット、イントラネット、またはその他のネットワークとすることができる。
【００４１】
企業ドメイン２００は、複数のサーバをサポートする。アプリケーション・サーバ２１０は、ウェブベースのアプリケーション、またはレガシ・アプリケーションを含むその他のタイプのバックエンド・アプリケーションを通して、管理されているコンピュータ資源または管理されていないコンピュータ資源あるいはその両方をサポートする。リバース・プロキシ・サーバ２１２、またはより簡潔に、プロキシ・サーバ２１２は、企業ドメイン２００のための広範な機能を実行する。例えば、プロキシ・サーバ２１２は、アプリケーション・サーバのコンテンツをミラーするために、ウェブ・ページをキャッシュすることができる。着信データストリームおよび発信データストリームは、様々な方針内で規定される目標および条件に従って、または配備されたソフトウェア・モジュールの構成に従って、コンピュータ資源に対する要求の着信時およびコンピュータ資源からの応答の発信時に様々な処理タスクを実行するために、入力データストリーム・フィルタおよび出力データストリーム・フィルタによって処理されることができる。
【００４２】
プロキシ・サーバ２１２は、セッション識別子、キャッシュされた信任状（ｃｒｅｄｅｎｔｉａｌ）、またはプロキシ・サーバ２１２によって認識されるセッションに関するその他の情報を管理する、セッション管理ユニットを含むことができる。ウェブベースのアプリケーションは一般に、多くはユーザ名／パスワードの組合せである認証情報をＨＴＭＬフォーム内で入力するようユーザを促すために、様々な手段を利用する。図３に示される例では、ユーザ２０２は、クライアント２０６が資源にアクセス可能になる前に、認証を受けることを要求されることがあり、認証後に、クライアント２０６のためのセッションが確立される。一代替実施形態では、認証および権限付与操作は、ユーザにドメイン２００上の資源へのアクセスを提供する前に実行されず、ユーザ・セッションは、付随する認証操作なしに生成されることができる。
【００４３】
企業ドメイン２００内の上述のエンティティは、多くのコンピューティング環境内の典型的なエンティティである。しかし、多くの企業ドメインは、保護されたコンピュータ資源へのアクセスを管理するためのセキュリティ機能を有する。コンピュータ資源は、電子データ処理装置／サブシステム／システム、アプリケーション、オブジェクト、実行可能コード・モジュール、文書、ウェブ・ページ、ファイル、データベース、データベース・レコード、様々なその他のタイプの機能ユニット、様々なその他のタイプの情報ユニット、または様々なタイプの通信機能とすることができる。保護または管理されているコンピュータ資源は、要求クライアントまたは要求ユーザが認証を受けている場合、または権限を付与されている場合、あるいはその両方である場合にのみアクセス可能または検索可能であるコンピュータ資源であり、場合によっては、認証ユーザは、デフォルトで権限付与ユーザである。
【００４４】
オーセンティケーション・サーバ２１４は、ユーザ名／パスワード、Ｘ．５０９証明書（Ｘ．５０９ ｃｅｒｔｉｆｉｃａｔｅ）、またはセキュア・トークン（ｓｅｃｕｒｅ ｔｏｋｅｎ）など、様々な認証メカニズムをサポートすることができ、複数のオーセンティケーション・サーバが、専門の認証方法に専用されることができる。オーソライゼーション・サーバ２１６は、オーソライゼーション・データベース２１８を利用することができ、オーソライゼーション・データベース２１８は、アクセス制御リスト２２０、権限付与方針２２２、ユーザ・レジストリ２２４内のユーザについての情報、およびユーザ・グループまたはロール２２６についての情報などの情報を含む。この情報を使用して、オーソライゼーション・サーバ２１６は、オーセンティケーション・サーバ２１４に、コンピュータ資源を求める特定の要求が続行を許可されるべきかどうかの表示、すなわちクライアント２０６からの要求に応答して、管理されているコンピュータ資源へのアクセスが認められるべきかどうかの表示を提供する。セキュリティ・コンプライアンス・サーバ２２８は、ユーザおよびユーザのシステムに関連するＩＴセキュリティおよびその他のガバナンス活動を施行する。
【００４５】
上で述べられたように、多くのセキュリティ侵害は、人間が、リスクの高いコンピュータ活動を通して、コンピュータ・システムをコンピュータ的に脆弱にする場合に起こる。これらのリスクの高いコンピュータ活動は、コンピュータが悪意ある攻撃またはコンピュータ・ウイルスの侵入を受ける可能性を増大させる。組織は、異なる職員に適用されるセキュリティ手順を反映した異なるセキュリティ手順を異なるコンピュータ・システムに対して実施することができるが、何人かの人のコンピュータ活動に関して一定のコンピュータ脆弱性を容認する正当な理由が存在することがある。しかし、ほとんどのコンピュータは、ネットワーク化されたデータ処理システム内で動作し、例えばウイルスなど、多くの悪質な脆弱性は、ネットワーク接続を介してコンピュータからコンピュータに広がり得るので、１人の人のコンピュータ活動が、別の人のコンピュータ活動に対するセキュリティを弱めることがある。したがって、ネットワーク化されたコンピュータ環境内の１人のユーザの活動が、別のユーザの活動を危険にさらすことがないように保証する必要がある。より具体的には、第１のユーザによって容認されるコンピュータ脆弱性が、権限を得ている、得ていないに関わらず、ネットワーク化されたコンピュータ環境に問題を導入しないように保証する必要が、特にコンピュータ脆弱性に対して積極的に防衛を試みている第２のユーザのコンピュータにコンピュータ脆弱性が広がり得る場合に、存在する。本発明は、残りの図面に関して以下でより詳細に説明されるように、１人のユーザのコンピュータ活動に対するセキュリティを、別のユーザのネットワーク化されたコンピュータ活動に基づいて、動的に調整するための解決策を提供する。
【００４６】
ここで図４を参照すると、ブロック図は、本発明の動的セキュリティ調整機能を含むデータ処理システムの概要を示している。データ処理システムは、ネットワーク３００を含み、ネットワーク３００は、図１のネットワーク１０１もしくは１１０、または図３のネットワーク２０８と同様とすることができ、あるいはネットワーク３００は、企業ドメイン内に含まれる完全に私設のネットワークを表すこともできる。ユーザ「Ａ」３０２は、ネットワーク３００に接続されるコンピューティング装置３０４にアクセスし、ユーザ「Ｂ」３０６は、やはりネットワーク３００に接続されるコンピューティング装置３０８にアクセスし、コンピューティング装置３０４、３０８は、デスクトップ・コンピュータ、ＰＤＡ、セル電話など、広範なコンピュータ装置を表すことができる。
【００４７】
データ処理システムは、セキュリティ・コンプライアンス・サーバ３１０も含み、セキュリティ・コンプライアンス・サーバ３１０は、動的セキュリティ調整ユニット３１２をサポートする。セキュリティ・コンプライアンス・サーバ３１０は、セキュリティ関係の施行機能を含む任意の適切なサーバを表し、セキュリティ関係の施行機能は代替的に、オーソライゼーション・サーバ、ネットワーク管理サーバ、またはデータ処理システムの管理運営を支援するその他の何らかのタイプのサーバもしくはアプリケーション内に統合されることもできる。
【００４８】
動的セキュリティ調整ユニット３１２は、本発明を実行するための機能を表す。セキュリティ・コンプライアンス・サーバ３１０に適用可能なものと同様の方法で、動的セキュリティ調整ユニット３１２は、セキュリティ関係の施行機能を含む任意の適切なサーバ内に統合されることができ、あるいはオーソライゼーション・サーバ、ネットワーク管理サーバ、またはデータ処理システムの管理運営を支援するその他の何らかのタイプのサーバもしくはアプリケーション内に統合されることもできる。上で述べられたように、本発明は、１人のユーザのコンピュータ活動に対するセキュリティを、別のユーザのネットワーク化されたコンピュータ活動に基づいて、動的に調整するためのプロセスまたはシステムに関し、動的セキュリティ調整ユニット３１２は、必要に応じてこれらの操作を実行する。
【００４９】
例えば、ユーザ「Ａ」３０２は、コンピューティング装置３０４を介してコンピュータ資源にアクセスする。特にコンピューティング装置３０４のコンピュータ・セキュリティ・レベルと呼ばれ得る、コンピューティング装置３０４によってサポートされるコンピュータ資源の現在の操作活動に対して適用される、セキュリティ操作またはパラメータの制約度または反対の観点からは寛容度を反映した、コンピューティング装置３０４のソフトウェアおよびハードウェア・コンピュータ資源についてのセキュリティ関係情報が維持される。同様に、データ処理システム内のその他のアクティブなコンピュータ装置についてのセキュリティ関係情報も維持される。コンピュータ・セキュリティ・レベルは、コンピューティング装置３０４の外部の、しかしデータ処理システムの内部での活動によってコンピューティング装置３０４上で引き起こされ得る誤ったコンピュータ操作に対する、コンピューティング装置３０４上のコンピュータ資源の脆弱性に関係するメトリックと見なされることもできる。これらの誤ったコンピュータ操作は、悪意をもったユーザによって引き起こされることがあり、あるいはこれらの誤ったコンピュータ操作は、不注意または思慮を欠いたユーザの権限を得ていない活動を通して故意にではなく引き起こされることがあり、代替として、これらの誤ったコンピュータ操作は、ユーザの権限を得た活動を通して故意にではなく引き起こされることがある。以下でより詳細に説明されるように、コンピュータ・セキュリティ・レベルは、様々な情報源からの情報を使用して計算されることができ、コンピュータ・セキュリティ・レベルの計算は、構成可能な方針内で規定される条件または規則あるいはその両方によって導かれることができる。
【００５０】
特に特定のユーザのユーザ・セキュリティ・レベルと呼ばれ得る、データ処理システムのユーザによるソフトウェアおよびハードウェア・コンピュータ資源の使用についてのセキュリティ関係情報も維持される。例えば、ユーザ「Ａ」３０２は、ユーザ「Ａ」３０２の活動についての情報から評価されるユーザ・セキュリティ・レベルに関連付けられ、同様に、データ処理システム内のその他のユーザについてのセキュリティ関係情報も維持される。ユーザ・セキュリティ・レベルは、データ処理システム内でサポートされるコンピュータ資源の操作活動を求めるユーザの要求に関する、ユーザの信用度または反対の観点からは行動リスクを反映する。ユーザ・セキュリティ・レベルは、データ処理システム内の活動によってコンピューティング装置上で誤ったコンピュータ操作を引き起こすユーザの能力に関係するメトリックと見なされることもできる。これらの誤ったコンピュータ操作は、悪意をもったユーザによって引き起こされることがあり、あるいはこれらの誤ったコンピュータ操作は、不注意または思慮を欠いたユーザの権限を得ていない活動を通して故意にではなく引き起こされることがあり、代替として、これらの誤ったコンピュータ操作は、ユーザの権限を得た活動を通して故意にではなく引き起こされることがある。以下でより詳細に説明されるように、ユーザ・セキュリティ・レベルは、様々な情報源からの情報を使用して計算されることができ、ユーザ・セキュリティ・レベルの計算は、構成可能な方針内で規定される条件または規則あるいはその両方によって導かれることができる。
【００５１】
動的セキュリティ調整ユニット３１２は、データ処理システムのユーザに関連付けられたユーザ・セキュリティ・レベルを動的に管理すること、およびデータ処理システム内のコンピュータ資源に関連付けられたコンピュータ・セキュリティ・レベルを動的に管理することに責任を負う。図４に示される例を再び参照すると、ユーザ「Ａ」３０２は、コンピューティング装置３０４を利用しており、ユーザ「Ｂ」３０６は、コンピューティング装置３０８を介してネットワーク３００にログオンすることができ、ネットワーク３００を通して資源にアクセスし始めることができる。ユーザ「Ａ」３０２は、ユーザ「Ｂ」３０６のユーザ・セキュリティ・レベルよりも高い信用度を反映したユーザ・セキュリティ・レベルを所有することができ、ユーザ「Ｂ」３０６によるネットワーク３００上でのコンピュータ活動の存在は、ユーザ「Ａ」３０２によるネットワーク３００上でのコンピュータ活動に脆弱性をもたらすことがある。それに応答して、動的セキュリティ調整ユニット３１２は、以下でより詳細に説明されるように、コンピューティング装置３０４に適用されるコンピュータ・セキュリティ・レベルを動的に調整することができ、それによって、ユーザ「Ａ」３０２のコンピュータ操作および活動を保護する。
【００５２】
ここで図５〜図６を参照すると、１対の時間線は、本発明による、装置のコンピュータ・セキュリティ・レベルの動的調整を示している。図５を参照すると、ユーザ「Ａ」はあらかじめ、例えば、ユーザの身分を明らかにするセキュリティ・トークンとしてスマート・カード・デバイスを提示することによる認証操作を通して、データ処理システムまたはそのネットワークあるいはその両方にログオンしている。ユーザ「Ａ」は、コンピューティング装置と、関連するコンピュータ資源とを、ある期間４０２にわたって利用し続け、その期間中、データ処理システムは、コンピューティング装置、またはコンピューティング装置によってサポートされるコンピュータ資源、あるいはその両方に、コンピュータ・セキュリティ・レベルを割り当てる。
【００５３】
ある時点４０４に、ユーザ「Ｂ」が、同じデータ処理システムまたはネットワークあるいはその両方にログオンする。質的な観点から、ユーザ「Ｂ」のユーザ・セキュリティ・レベルが検査され、ユーザ「Ｂ」がユーザ「Ａ」の活動に対して潜在的な脆弱性をもたらすという決定が下される。したがって、ユーザ「Ａ」によって使用されているコンピューティング装置に適用されるセキュリティ予防策を強化するという決定が下され、それによって、望ましくは、ユーザ「Ｂ」が、ユーザ「Ａ」の活動を阻害する活動を実行することを防止する。
【００５４】
コンピュータ的または質的な観点から、ユーザ「Ｂ」は、相対的により低いユーザ・セキュリティ・レベル、例えば、ユーザ「Ａ」のユーザ・セキュリティ・レベルよりも低いユーザ・セキュリティ・レベルを割り当てられていると説明されることができる。それに応答して、データ処理システムは、ユーザ「Ａ」によって使用されているコンピューティング装置のコンピュータ・セキュリティ・レベルを、ユーザ「Ｂ」のユーザ・セキュリティ・レベルに基づいて、動的に調整する。新たに割り当てられたコンピュータ・セキュリティ・レベルは、それが再び変更されるまで、またはユーザ「Ａ」がネットワークまたはデータ処理システムからログアウトするまで、ある期間４０６にわたって有効であり続ける。
【００５５】
図５に示される例では、ユーザ「Ａ」によって使用されているコンピューティング装置のコンピュータ・セキュリティ・レベルは、期間４０４から期間４０６まで強化される。このように、ユーザ「Ａ」によって使用されているコンピューティング装置のコンピュータ・セキュリティ・レベルは、ユーザ「Ｂ」のユーザ・セキュリティ・レベルと、必ずしも逆比例である必要はないが、逆関係があると説明されることができる。したがって、図５に示されるように、ユーザ「Ｂ」が低いユーザ・セキュリティ・レベルを有すると言われる事実は、ユーザ「Ａ」によって使用されているコンピューティング装置のコンピュータ・セキュリティ・レベルを期間４０４から期間４０６まで強化するという応答を引き起こす。
【００５６】
図６を参照すると、異なる時間線が示されている。期間４１２の前に、ユーザ「Ｂ」はあらかじめ、例えば、セキュリティ・トークンとしてスマート・カード・デバイスを使用することによる、またはユーザ名および関連するパスワードを入力するなど、認証要求を満たすことによる認証操作を通して、データ処理システムまたはそのネットワークあるいはその両方にログオンしている。ユーザ「Ｂ」は、コンピューティング装置と、関連するコンピュータ資源とを、ある期間４１２にわたって利用し続ける。
【００５７】
ある時点４１４に、ユーザ「Ａ」が、同じデータ処理システムまたはネットワークあるいはその両方にログオンする。それに応答して、ユーザ「Ａ」のコンピューティング装置に適用されるコンピュータ・セキュリティ・レベルが強化されるべきかどうかについて決定が下される。ユーザ「Ｂ」のユーザ・セキュリティ・レベルが検査され、ユーザ「Ｂ」がユーザ「Ａ」の活動に対して潜在的なセキュリティ脆弱性をもたらすという決定が下される。
【００５８】
例えば図５のような、ユーザ「Ａ」がネットワークにログオンする時に、ユーザ「Ｂ」がネットワークを使用していないシナリオでは、データ処理システムは、ユーザ「Ａ」のコンピューティング装置、またはそのコンピューティング装置によってサポートされるコンピュータ資源、あるいはその両方に初期コンピュータ・セキュリティ・レベルを割り当て、初期コンピュータ・セキュリティ・レベルは、ユーザ「Ｂ」がネットワークまたはデータ処理システムにログオンしていないので、セキュリティ脆弱性がないことを反映する。
【００５９】
しかし、ユーザ「Ａ」がネットワークにログオンする時点４１４で、ユーザ「Ｂ」がすでにネットワークにログオンしている場合、データ処理システムは、ユーザ「Ｂ」のユーザ・セキュリティ・レベルに基づいて、相対的に強化されたコンピュータ・セキュリティ・レベルをユーザ「Ａ」によって使用されているコンピューティング装置に動的に割り当てる。新たに割り当てられた相対的に高いコンピュータ・セキュリティ・レベルは、それが再び変更されるまで、またはユーザ「Ａ」がネットワークまたはデータ処理システムからログアウトするまで、ある期間４１６にわたって有効であり続ける。
【００６０】
言い換えると、図６に示される例では、ユーザ「Ａ」によって使用されているコンピューティング装置のコンピュータ・セキュリティ・レベルは、期間４１６の間、ユーザ「Ｂ」のユーザ・セキュリティ・レベルに基づいて初期的に割り当てられる。このように、ユーザ「Ａ」によって使用されているコンピューティング装置のコンピュータ・セキュリティ・レベルは、ユーザ「Ｂ」のユーザ・セキュリティ・レベルと、必ずしも逆比例である必要はないが、逆関係があると説明されることができる。したがって、図６に示されるように、ユーザ「Ｂ」が低いユーザ・セキュリティ・レベルを有すると言われる事実は、ユーザ「Ａ」によって使用されているコンピューティング装置のコンピュータ・セキュリティ・レベルを期間４１６の間強化するという応答を引き起こす。
【００６１】
図７〜図８を参照すると、１対の図は、与えられたユーザのユーザ・セキュリティ・レベルと与えられたコンピュータ資源のコンピュータ・セキュリティ・レベルの間の逆関係を示している。図は、与えられたユーザのユーザ・セキュリティ・レベルを横軸に沿った変数として、また与えられたコンピュータ資源のコンピュータ・セキュリティ・レベルを縦軸に沿った変数として示している。横軸に関して、与えられたユーザは、セキュリティ・リスクまたは脆弱性があると質的に評価された場合、より低い数値のユーザ・セキュリティ・レベルを量的に割り当てられる。縦軸に関して、与えられた資源は、与えられたユーザの活動に対して脆弱であると評価された場合、高められたレベルのセキュリティを必要とすると質的に評価され、より高い数値のコンピュータ・セキュリティ・レベルを量的に割り当てられる。
【００６２】
逆の関係(inverse relationship)の図における表現は、より高いセキュリティ・リスク、または同じことだが、より低いレベルのセキュリティ信頼性を提示するユーザが、与えられたコンピュータ資源に対するより高いまたはより徹底したセキュリティ応答または防衛の表明（ａｓｓｅｒｔｉｏｎ）を必要とすることを示している。与えられたユーザのユーザ・セキュリティ・レベルが高められると、与えられたコンピュータ資源のコンピュータ・セキュリティ・レベルは低下する。
【００６３】
したがって、本発明の一実施では、与えられたコンピュータ資源のコンピュータ・セキュリティ・レベルは、与えられたユーザのユーザ・セキュリティ・レベルと逆の関係にあり、逆の関係は、図では異なる方法で示されている。図７を参照すると、この逆関係は、単調関数として示されており、本発明の一実施形態では、逆の関係は、変数を逆関係的に関係付ける構成可能な関数として実施されることができる。図８を参照すると、この逆関係は、一連の離散点として示されており、本発明の一実施形態では、逆の関係は、検索表を通して定義される関数として実施されることができる。ユーザ・セキュリティ・レベルをコンピュータ・セキュリティ・レベルにマッピングするためのその他の方法も実施されることができる。
【００６４】
ここで図９を参照すると、フローチャートは、本発明の一実施形態による、ユーザ・セキュリティ・レベルの決定に影響を与える情報を集めるためのプロセスを示している。プロセスは、データ処理システムのユーザがデータ処理システム内のコンピューティング装置にログオンした後に開始し、データ処理システムは、ユーザがコンピュータ資源にアクセスする際のユーザのネットワーク操作またはその他の活動を監視し始める（ステップ５０２）。監視操作は、ユーザがコンピュータ−ヒューマン・インタフェースと対話するコンピュータ装置上で実行されることができ、または監視操作は、ユーザの活動が監視され得るネットワーク内のどこか別の任意の地点で実行されることができる。
【００６５】
監視操作は、ユーザのセッションの間続けられ、リスクの高いセキュリティ関係活動であると決定されたネットワーク関係操作またはその他の活動はいずれも、局所的に、例えば局所キャッシュ内にログとして記録される（ステップ５０４）。セキュリティ的見地から潜在的に問題がある操作であるという決定は、事前決定されること、または方針データベースを通して構成可能とすること、あるいはその両方であることができ、それによって、以下でより詳細に説明されるように、方針で規定される構成可能な規則または条件に従って、すべての潜在的に問題のある操作または疑わしい活動をフィルタリングしながら、一定の問題のある操作がそのようなものとしてタグ付けされることを可能にする。ユーザのセッションが終了する時、セッションの間にログに取られた活動は、適切なデータストアに保存される（ステップ５０６）。
【００６６】
ある時点で、１つまたは複数のセッションにわたってログに取られた活動が、保存および処理のために中央データベースに報告され（ステップ５０８）、プロセスは完了する。ログに取られた情報は、例えば、即時に、定期的に、スケジュールに従って、または報告を求める催促に応答してなど、様々な仕方で報告されることができる。代替として、プロセスは、潜在的に問題のある操作または疑わしい活動が検出された場合に、それらの検出が中央ロケーションに報告され、その後、中央データストアにログとして記録されるように、リアルタイムに実行されることができる。
【００６７】
ここで図１０を参照すると、フローチャートは、本発明の一実施形態による、特定のユーザのユーザ・セキュリティ・レベルの決定に影響を与えるために、それ以前にログに取られたユーザ活動が分析されるプロセスが示されている。プロセスは、特定のユーザのユーザ・セキュリティ・レベルの現在値を取り出すことによって開始する（ステップ６０２）。図１０に示されるプロセスは、特定のユーザのユーザ・セキュリティ・レベルに対する更新操作を示しているが、同様のプロセスは、例えば、新しいユーザがデータ処理システム内に登録された場合など、空のセッション・ログをユーザに関連付け、その後、問題のある活動の空の組をもたらした少なくとも１つのセッションにわたってユーザのネットワーク活動が監視されていたかのように振舞うことによって、特定のユーザのユーザ・セキュリティ・レベルの初期値を生成するためにも実行される。
【００６８】
その後、特定のユーザの潜在的に問題のある操作または疑わしい活動の１つまたは複数の記録されたセッション・ログが、編集および分析され（ステップ６０４）、特定のユーザの新しいまたは修正されたユーザ・セキュリティ・レベルが、計算され（ステップ６０６）、その後、ユーザについてのその他の情報と関連付けられて保存され、それによって、プロセスを完了する。問題のあるセキュリティ関係操作の分析は、制御入力パラメータを使用する所定のアルゴリズムもしくは構成可能なアルゴリズムまたはその両方に従って、あるいは様々な構成可能な条件もしくは規則またはその両方に従って、実行されることができ、分析のための構成可能な情報は、以下でより詳細に説明されるように、方針データベース内の方針から取り出されることができる。
【００６９】
ここで図１１〜図１７を参照すると、１組のブロック図は、本発明の一実施形態による、セキュリティ・レベルの動的調整をサポートするためのデータ処理システム内のコンポーネントを示している。ここで図１１を参照すると、ネットワーク７００は、複数のコンピュータ装置およびソフトウェア・アプリケーションをサポートする。セキュリティ管理アプリケーション７０２は、物理的セキュリティ操作およびコンピュータ・セキュリティ操作に関する管理行為をサポートするための中央統制を提供する。セキュリティ管理アプリケーション７０２は、図には部分的にしか示されていないより大きなデータ処理システム内に存在する。例えば、オーセンティケーション・サーバは、データ処理システムのユーザの身分を検証する。アプリケーション・サーバは、それらのユーザによって使用されるアプリケーションを実行するためのサポートを提供する。オーソライゼーション・サーバは、アプリケーション・サーバなどのコンピュータ資源にアクセスする権限をユーザが付与されているかどうかを決定する。
【００７０】
セキュリティ管理アプリケーション７０２は、様々なタイプのセキュリティ・サブシステムからの操作を統合する。セキュリティ管理アプリケーション７０２は、その操作の特定の態様をサポートするための様々なタイプのコンポーネントまたはモジュールを含む。オペレータ・インタフェース・モジュール７０４は、管理ユーザのためのユーザ・インタフェースをサポートする。ネットワーク・セキュリティ統制モジュール７０６は、ネットワーク・セキュリティに関する特定の操作をサポートする。物理的アラーム統制モジュール７０８は、物理的アラームを報告およびキャンセルするためのサポートを提供する。セキュリティ管理アプリケーション７０２は、ユーザ・レジストリ７１０、方針データベース７１２、コンピュータ資源データベース７１４といった任意の適切なデータストア内に保存され得る様々なタイプのデータの入力を必要とすることがあり、データストアの各々は、以下でより詳細に説明される。
【００７１】
図４と同様に、ネットワーク７００は、セキュリティ・コンプライアンス・サーバと対話するように構成される２つのコンピュータ装置をサポートする。クライアント７１６は、ネットワーク・セキュリティ監視エージェント７１８を含み、ネットワーク・セキュリティ監視エージェント７１８は、フィルタリング方針のコピー７２０と、キャッシュ活動ログ７２２とを含む。クライアント７１６は、典型的なファイアウォール７２４も含み、ファイアウォール７２４は、構成可能なファイアウォール・パラメータ設定７２６を有する。同様に、クライアント７２８は、ネットワーク・セキュリティ監視エージェント７３０を含み、ネットワーク・セキュリティ監視エージェント７３０は、フィルタリング方針のコピー７３２と、キャッシュ活動ログ７３４とを含む。クライアント７２８は、典型的なファイアウォール７３６も含み、ファイアウォール７３６は、構成可能なファイアウォール・パラメータ設定７３８を有する。ネットワーク・セキュリティ監視エージェントは、セキュリティ・コンプライアンス・サーバ７４０と対話し、セキュリティ・コンプライアンス・サーバ７４０は、ユーザ・ログ・データベース７４４を維持する、動的セキュリティ・レベル調整モジュール７４２をサポートする。ネットワーク関係活動についての情報は、データ処理システム内の追加の情報源から集められ得ることに留意されたい。例えば、プロキシ・サーバ７４６も、ネットワーク・セキュリティ監視エージェント７４８を含む。
【００７２】
図９および図１０に関して上で説明されたように、データ処理システム内のクライアント７１６、クライアント７１８、およびその他同様に構成されたコンピュータ装置は、それらのコンピュータ装置のユーザによるネットワーク関係活動についての情報を集めるために、セキュリティ・コンプライアンス・サーバ７４０と対話する。例えば、セキュリティ・コンプライアンス・サーバ７４０は、ネットワーク・セキュリティ監視エージェント７１８にフィルタリング方針のコピー７２０を送信することによって、クライアント７１６を構成し、フィルタリング方針のコピー７２０は、特定のユーザ、例えばユーザ「Ａ」がクライアント７１６を操作している間、クライアント７１６のネットワーク関係活動と照査される規則または条件あるいはその両方を含む。潜在的に問題がある活動は、キャッシュ活動ログ７２２内に記録され、キャッシュ活動ログ７２２は、ユーザ・ログ・データベース７４４に集積されるために、動的セキュリティ・レベル調整モジュール７４２に時々送信される。ネットワーク・セキュリティ監視エージェント７１８は、ネットワーク操作を直接的に監視することができ、またはネットワーク・セキュリティ監視エージェント７１８は、ファイアウォール・アプリケーション７２４など、ネットワーク操作を直接的に監視するその他の情報源からログ情報を集めることによって、ネットワーク操作を間接的に監視することもできる。
【００７３】
図９および図１０は、ユーザ・セキュリティ・レベルを計算するのに使用される情報を集めるためのプロセスを説明しているが、本発明は、外部情報源７５０を含む別の場所からも、ユーザ・セキュリティ・レベルを取得し、または取り出すことができる。外部情報源は、多くの人々についてのユーザ・セキュリティ・レベルを含むデータベースまたは同様のデータストアとすることができる。外部情報源は、例えば、既決犯罪、特にコンピュータ関係犯罪で有罪とされた犯罪者についての情報を維持する法執行機関など、政府機関によって運営されることができる。その他の例では、外部情報源は、料金の支払いを受けて電子情報サービスを提供する営利企業とすることができる。いずれの場合も、ユーザ・セキュリティ・レベルは、外部情報源から取得されることができ、データ処理システム内で集められた情報に加えて外部情報源を使用してもよく、またはおそらくは外部情報源に依存し、それによって、データ処理システムがネットワーク関係活動をフィルタリングすることによってユーザ・セキュリティ・レベルを決定する必要をなくすこともできる。
【００７４】
ここで図１２を参照すると、方針データベース７１２は、セキュリティ・レベルに関する操作を導くために使用され得る方針のいくつかに関する追加の詳細を含む。セキュリティ・コンプライアンス・サーバ７４０の他に、オーソライゼーション・サーバなどのその他のサーバによってもアクセスされ得る方針データベース７１２は、データ処理システム全体の様々な態様の操作を統制するように構成可能な様々なタイプの方針を含む。一般に、方針は、与えられたイベントが生じた場合または認可された状況が起きた場合に特定のアクションが取られるべきかどうかを決定するために、１組の入力パラメータと照査される規則または条件を規定する。説明される方針は、単に例示的なものに過ぎず、その他の方針が、方針データベース７１２に保存されることもできる。
【００７５】
例えば、作業スケジュールに関する様々な企業全体の方針など、汎用権限付与方針７５１は、すべてのユーザに適用されることができる。ユーザ権限付与方針７５２は、個人に対する固有の方針を含むことができ、例えば、特定の方針は、与えられた個人にのみ適用され、それによって、システム管理アプリケーションが、従業員またはその他の人の必要を個人ベースで処理することを可能にする。資源セキュリティ方針７５３は、装置およびその資源の様々な態様についての条件と、装置上のある資源へのアクセスがコンピュータ・セキュリティ・レベルに基づいて許可または拒否され得る仕方とに関する方針である。アプリケーション・セキュリティ方針７５４は、様々なソフトウェア・アプリケーションについての条件と、アプリケーションへのアクセスが許可または拒否され得る仕方とに関する方針である。
【００７６】
ネットワーク関係活動フィルタリング方針７５５は、ネットワーク関係操作がデータ処理システムにセキュリティ脆弱性をもたらさないかどうかを決定するためにネットワーク関係操作をフィルタリングするのに使用され、脆弱性をもたらす場合、活動はログに取られ、報告される。例えば、無権限アプリケーションに関する方針７５６は、無権限アプリケーションがコンピュータ装置上で実行されていないか、またはコンピュータ装置からネットワークにアクセスしていないか、あるいはその両方でないかを検出するが、装置上にインストールされた無権限アプリケーションは、その挙動が装置特有のセキュリティ問題またはネットワーク全体のセキュリティ問題を引き起こし得るかどうかを決定するために、徹底的に検査または試験されてはいない。不法ダウンロードに関する方針７５７は、ネットワークからコンテンツを、例えば、具体的にはインターネットから音楽または動画コンテンツを不法にダウンロードするためにコンピュータ資源が使用されていないかを検出する。安全でないポート使用に関する方針７５８は、様々な悪意ある攻撃において生じることが知られている通信のためにコンピュータ装置上の様々なポートがオープンされていないか、または使用されていないか、あるいはその両方でないかを検出し、装置上の悪意あるソフトウェアの存在を指摘することができる。フラグ付きウェブ・サイトに関する方針７５９は、ユーザ利用禁止であるとして特別にフラグ付けされたインターネット上のウェブ・サイトにアクセスするために装置が使用されていないかを検出する。過剰な通信資源利用に関する方針７６０は、無権限活動のための装置利用または資源利用を表すことがある過剰な仕方で装置がネットワーク上で使用されていないかを検出する。
【００７７】
ユーザ・セキュリティ・レベル決定方針７６１は、以下でより詳細に説明されるように、ユーザのネットワーク関係活動についてのログに取られた情報に基づいて、ユーザのためのユーザ・セキュリティ・レベルを計算するために利用される。コンピュータ・セキュリティ・レベル決定方針７６２は、データ処理システム内のネットワークを現在使用しているユーザのユーザ・セキュリティ・レベルに基づいて、コンピュータ資源のためのコンピュータ・セキュリティ・レベルを計算するために利用される。図面に示される本発明の実施の例は、コンピュータ資源のためのコンピュータ・セキュリティ・レベルを計算する場合に、単一ユーザのユーザ・セキュリティ・レベルを考慮するものとして説明されている。しかし、コンピュータ資源のためのコンピュータ・セキュリティ・レベルは、複数のユーザのユーザ・セキュリティ・レベルに基づいてもよく、それによって、複数のユーザによってもたらされるセキュリティ・リスクの評価を集約することができる。
【００７８】
ここで図１３を参照すると、ユーザ・レジストリ・データベース７１０内に保存され得る情報のいくつかに関する追加の詳細が提供されている。データ処理システム内のコンピュータ資源を使用する各人は、ユーザ・レジストリ・データベース７１０内に個人エントリを有すると仮定されることができ、個人エントリ７７０は、特定のユーザについての情報を含む。ユーザＩＤ ７７１は、認証操作を実行するために人が使用する一意識別子である。グループ・メンバシップ７７２は、プロジェクト、会社部署など、人が所属するグループを表す。ロール・メンバシップ７７３は、監督者または被監督従業員など、人によって実行され得るロールのタイプを表す。ユーザ・セキュリティ・レベル７７４は、人の現行ユーザ・セキュリティ・レベルの表示であり、ユーザ・セキュリティ・レベル７７４は、ユーザのネットワーク関係活動を検査することによって評価されたユーザ・セキュリティ・リスクの表示を提供する数値またはその他のタイプのデータによって表されることができる。初期ユーザ・セキュリティ・レベルは、個人エントリ７７０が作成された時にユーザに割り当てられることができ、初期ユーザ・セキュリティ・レベルは、永続的に個人エントリ７７０内に保存されてもよく、またはシステム・リセット、もしくは与えられたユーザのユーザ・セキュリティ・レベルのデフォルト値が必要とされるその他の状況など、何らかの状況における使用のために別の場所に保存されてもよい。
【００７９】
ここで図１４を参照すると、コンピュータ資源データベース７１４内に保存され得る情報のいくつかに関する追加の詳細が提供され、コンピュータ資源データベース７１４は、ラップトップ・コンピュータ、デスクトップ・コンピュータ、プリンタ、ファイアウォール、ならびにその他のハードウェアおよびソフトウェア資源など、データ処理システム内のコンピュータ資源についての情報を提供する。コンピュータ資源データベース７１４は、各コンピュータ資源についてのエントリを含むことができ、資源エントリ７７５は、資源ＩＤ７７６と、資源タイプ表示７７７と、妥当ならば、資源ロケーション７７８とを含むことができる。コンピュータ・セキュリティ・レベル７７９は、資源の現行コンピュータ・セキュリティ・レベルの表示であり、コンピュータ・セキュリティ・レベル７７９は、ネットワークを介して導入され得る脆弱性から資源を保護するために資源に対して適用されているセキュリティ保護の表示を提供する数値またはその他のタイプのデータによって表されることができる。資源のコンピュータ・セキュリティ・レベルが修正される必要があると決定された場合、資源のセキュリティ・レベルを引き上げるまたは引き下げるために、資源のセキュリティ・パラメータ設定７８０が修正される必要があり、コンピュータ資源データベース７１４内の情報は、資源のコンピュータ・セキュリティ・レベルが修正されることを必要としているかどうかを決定するために、適切なアクションが決定されるように命令する適切な方針を選択するのに必要とされる情報を提供することができる。初期コンピュータ・セキュリティ・レベルは、資源エントリ７７５が作成された時に資源に割り当てられることができ、初期コンピュータ・セキュリティ・レベルは、永続的に資源エントリ７７５内に保存されてもよく、またはシステム・リセット、もしくは与えられた資源のコンピュータ・セキュリティ・レベルのデフォルト値が必要とされるその他の状況など、何らかの状況における使用のために別の場所に保存されてもよい。
【００８０】
ここで図１５を参照すると、ユーザ・セキュリティ・レベル決定方針７８２は、図１２に示されたユーザ・セキュリティ・レベル決定方針７６１の１つの例である。方針７８２は、一定の時間フレーム内のユーザ活動のログが、悪意あるソフトウェアまたはウイルスが装置に侵入し、それによって、ネットワーク全体に広がることを潜在的に可能にし得る、安全でない通信ポートのオープンを示している場合に、ユーザのユーザ・セキュリティ・レベル表示を最大値に設定するための単一の規則を含む。
【００８１】
ここで図１６を参照するとコンピュータ・セキュリティ・レベル決定方針７８４は、図１２に示されたコンピュータ・セキュリティ・レベル決定方針７６２の１つの例である。方針７８４は、特定の装置のコンピュータ・セキュリティ・レベル表示を設定するための単一の規則を含み、この例では、規則は、規則の評価をトリガするイベント、イベントをトリガしたユーザによってもたらされるリスクのレベル、およびコンピュータ・セキュリティ・レベルが修正される装置を使用しているユーザのタイプについての情報を取得する。方針の規則は、ユーザがネットワークにログオンしていること、このユーザが高いユーザ・セキュリティ・レベルを所有していることを検査し、加えて、規則は、特定の装置のユーザが新規ユーザのグループに属するとしてフラグ付けされていることを検査する。これらの条件が真である場合、装置のコンピュータ・セキュリティ・レベルは、特別なデフォルト最大レベルに設定される。
【００８２】
ここで図１７を参照すると、資源セキュリティ方針７８６は、図１２に示された資源セキュリティ方針７５３の１つの例である。方針７８６は、装置に現在割り当てられているコンピュータ・セキュリティ・レベルに基づいて、特定の装置の様々な構成可能なセキュリティ関係パラメータを設定するための単一の規則を含み、この例では、特別なデフォルト最大レベルに設定される。規則は、装置に現在割り当てられているコンピュータ・セキュリティ・レベルが特別なデフォルトの最大レベルに等しい場合、セキュリティ防衛を妨害しようとする試みに抵抗する能力を高めるために、様々なアクションが装置上で実行されるべきことを規定する。例えば、装置上で実行されるファイアウォールのパラメータは、最も制限的な値に設定されるべきであり、それによって、ファイアウォールは、僅かに変則であり得るどのような活動にもフラグ付けを施すこと、またはそうしたどのような活動も停止すること、あるいはその両方を行うように保証する。加えて、ある通信プロトコルは、アクセス不可または操作不可とされ、それによって、悪意あるコードの転送を防止し、または現在の状況下では許容し得ないその他の何らかの活動を防止する。さらに、すべてのメール取得が現在の状況下ではブロックされ、それによって、ユーザ、特に未熟なユーザが、悪意あるファイルが添付された電子メール・メッセージを不注意に受け入れることを防止する。
【００８３】
ここで図１８を参照すると、フローチャートは、本発明の一実施形態による、ネットワーク上のユーザ活動が、ネットワーク内のアクティブな資源のコンピュータ・セキュリティ・レベル値の動的調整をトリガすることができるプロセスを示している。図１８に示されるプロセスは、ネットワーク化されたデータ処理システム内の資源のコンピュータ・セキュリティ・レベル値に対する更新操作を示している。しかし、同様のプロセスは、例えば、デフォルトのコンピュータ・セキュリティ・レベル値を割り当てることによって、またはコンピュータ資源が初期化された時にネットワークの現行ユーザのユーザ・セキュリティ・レベルを検査することによって、特定のコンピュータ資源のコンピュータ・セキュリティ・レベルの初期値を生成するためにも実行される。
【００８４】
プロセスは、特定のユーザのネットワーク活動におけるトリガ・イベントを検出することによって開始する（ステップ８０２）。例えば、ログオンおよびログオフ操作など、相対的に少数のイベントのみがトリガ・イベントであるとして事前決定されることが仮定されてよく、それによって、図１８に示されるプロセスを実行する頻度を大幅に削減する。検出に応答して、データ処理システム内でその他のユーザによってアクティブに使用されているいくつかのコンピュータ資源のコンピュータ・セキュリティ・レベル値について、再評価が実行される。それらの資源のコンピュータ・セキュリティ・レベル値は、動的に計算または調整あるいはその両方が行われ、その後、割り当てまたは保存あるいはその両方が行われる（ステップ８０４）。その後、影響を受ける資源のセキュリティ・パラメータの新規の組または修正された組あるいはその両方が、新たに調整されたコンピュータ・セキュリティ・レベル値に基づいて決定される（ステップ８０６）。
【００８５】
その後、影響を受ける資源は、新しいまたは修正されたセキュリティ・パラメータに従って構成または再構成あるいはその両方が行われ（ステップ８０８）、その後、影響を受けた資源は、セキュリティ・パラメータが再び修正されるまで、この仕方で動作する。資源が異なる挙動で動作し始めたことにユーザが気づくことができるので、動的に調整されたコンピュータ・セキュリティ・レベル値を有するこれらの影響を受けた資源を使用しているユーザは、通知を受けることができ（ステップ８１０）、それによって、プロセスが完了する。
【００８６】
本発明の利点は、上で提供された詳細な説明に照らして明らかであるが、図９、図１０、および図１８に示されたプロセス、ならびに図１１〜図１７に示されたコンポーネントは、例を用いて説明されることができる。第１のユーザであるユーザ「Ａ」は、データ処理システム内の様々なコンピュータ資源を使用することができ、特に、ユーザ「Ａ」は、コンピュータを、ファイアウォール・アプリケーション、メール・アプリケーション、オンライン・チャット・アプリケーション、およびその他のアプリケーションなど、コンピュータ上でサポートされる様々な資源と共に利用することができる。ユーザ・セキュリティ・レベルが、ユーザ「Ａ」に関連付けられ、コンピュータ・セキュリティ・レベルが、ユーザ「Ａ」が使用しているコンピュータ資源のいくつかに関連付けられる。ユーザ「Ａ」がそれらのコンピュータ資源を利用している間、図９に関して説明されたように、ユーザ「Ａ」の潜在的に問題のあるネットワーク活動はすべて、ユーザ「Ａ」のユーザ・セキュリティ・レベルのその後の決定のためにログに取られる。様々なネットワーク活動フィルタリング方針が、潜在的に問題のあるネットワーク活動として分類されるべきネットワーク操作を決定するために使用されることができる。図１０に関して説明されたように、中央ユーザ・ログ・データベース内の情報が、データ処理システム内のコンピュータ資源のユーザのユーザ・セキュリティ・レベルを計算するために使用される。様々なユーザ・セキュリティ・レベル決定方針が、適切なユーザ・セキュリティ・レベル値をユーザ「Ａ」に関連付けるために使用されることができる。
【００８７】
ある時点で、ユーザ「Ｂ」が、ネットワークにログオンすることができ、ログオン操作は、ネットワーク上におけるユーザの新たな存在を知らせるので、その後、ユーザ「Ｂ」のユーザ・セキュリティ・レベルが、ユーザがネットワークにログオンした時の現行時間フレーム内で初めて検査される。言い換えると、ユーザ「Ｂ」によるログオン操作など、あるユーザによるあるトリガ・イベント時に、図１８に関して説明されたように、ユーザ・セキュリティ・レベルが、ユーザ「Ａ」などのユーザによって使用されているコンピュータ装置の適切なコンピュータ・セキュリティ・レベルを決定するために使用され、ネットワーク・ログオフ・イベントなどのその他のトリガ・イベントは、反対の効果を有することができる。この例では、ユーザ「Ｂ」は、以前にユーザ「Ｂ」が何らかの問題のあるネットワーク活動に関連付けられたことを示す高いユーザ・セキュリティ・レベルを有するものとする。ユーザ「Ａ」によってアクティブに使用されている資源のコンピュータ・セキュリティ・レベルを再評価するためのトリガ・イベントとしてユーザ「Ｂ」のログオン操作を使用して、様々なコンピュータ・セキュリティ・レベル決定方針が、ユーザ「Ａ」によって使用されている資源に適切なコンピュータ・セキュリティ・レベル値を関連付けるために使用されることができる。
【００８８】
さらに、様々な資源セキュリティ方針が、新たに割り当てられたコンピュータ・セキュリティ・レベルに従って動作するように資源のセキュリティを修正するための適切な応答を決定するために利用されることができる。例えば、クライアント７１６、またはより具体的にはファイアウォール・アプリケーションのコンピュータ・セキュリティ・レベルは、ファイアウォール・パラメータ設定７２６の修正された組を用いてファイアウォール７２４を動的に再構成することによって、動的に調整されることができる。例えば、構成可能な方針で規定されるなど、必要であると決定された場合、動的セキュリティ・レベル調整モジュール７４２は、新しいファイアウォール・パラメータ設定７２６を、例えば、ネットワーク・セキュリティ監視エージェント７１８、ファイアウォール・アプリケーション内のメカニズム、またはクライアント７１６をサポートするオペレーション・システム内のメカニズムを介して、クライアント７１６に送ることができる。
【００８９】
ユーザ「Ｂ」によるネットワーク関係活動が、潜在的に問題があると見なされるものとする。それに応答して、ユーザ「Ａ」のコンピュータ環境を保護するために、ユーザ「Ａ」によって使用されているコンピュータ資源の一定のコンピュータ防衛が、ユーザ「Ａ」の作業環境を保護するために高められることができる。ユーザ「Ｂ」のコンピュータ活動を直接的に変更することによって、何らかの仕方でユーザ「Ｂ」の挙動がおそらく停止され、それによって、ユーザ「Ａ」の作業環境を保護することができるが、本発明は、独特の解決策を提供する。
【００９０】
本発明が完全な機能を備えたデータ処理システムに基づいて説明されたが、本発明に関連するプロセスのいくつかは、分散を実施するのに実際に使用される信号搬送媒体の具体的なタイプに関わらず、コンピュータ可読媒体中の命令の形態、または様々なその他の形態で分散され得ることを、当業者であれば理解するであろうことに留意することが重要である。コンピュータ可読媒体の例は、ＥＰＲＯＭ、ＲＯＭ、テープ、紙、フロッピ・ディスク、ハード・ディスク・ドライブ、ＲＡＭ、およびＣＤ−ＲＯＭなどの媒体と、デジタルおよびアナログ通信リンクなどの伝送型媒体とを含む。
【００９１】
いくつかのコンピュータ・タスクは、機能ユニットによって実行されるとして説明されることができる。機能ユニットは、コンピュータ・タスクを実行するための、ルーチン、サブルーチン、プロセス、サブプロセス、プロシージャ、関数、メソッド、オブジェクト指向オブジェクト、ソフトウェア・モジュール、アプレット、プラグイン、ＡｃｔｉｖｅＸ（商標）コントロール、スクリプト、またはファームウェアもしくはソフトウェアのその他の何らかのコンポーネントによって表されることができる。
【００９２】
図中の要素の説明は、クライアント装置またはクライアント装置のユーザによる何らかのアクションを含むことができる。当業者であれば、クライアント装置に対する要求、またはクライアント装置からの応答、あるいはその両方は、時にはユーザによって開始され、その他の時には、しばしばクライアントのユーザの代わりに、クライアントによって自動的に開始されることを理解されよう。したがって、図の説明においてクライアントまたはクライアントのユーザが言及される場合、「クライアント」と「ユーザ」という用語は、説明されるプロセスの意味に著しい影響を与えることなく、しばしば交換可能に使用され得ることを理解されたい。
【００９３】
本明細書の図の説明は、様々なコンポーネント間の情報の交換を含むことができ、情報の交換は、例えば、要求メッセージとそれに続く応答メッセージなど、メッセージの交換を介して実施されるものとして説明されることができる。適切である場合、同期または非同期の要求／応答交換を含み得る、コンピュータ・コンポーネント間の情報の交換は、メッセージ、メソッド・コール、リモート・プロシージャ・コール、イベント・シグナリング、またはその他のメカニズムなど、様々なデータ交換メカニズムを介して等価的に実施されてよいことを留意されたい。
【００９４】
本発明の説明は、説明の目的で提示されたものであり、網羅的であること、または開示された実施形態に限定されることは意図されていない。多くの修正および変形が、当業者には明らかであろう。実施形態は、本発明の原理とその実際的な応用を説明するため、またその他の企図された使用にとって適し得るような様々な修正を伴った様々な実施形態を実施するために当業者が本発明を理解できるようにするために選択された。
【図面の簡単な説明】
【００９５】
【図１】本発明が実施され得る典型的な分散データ処理システムを示す図である。
【図２】本発明が実施され得るデータ処理システム内で使用され得る典型的なコンピュータ・アーキテクチャを示す図である。
【図３】典型的な企業データ処理システムを示すブロック図である。
【図４】本発明の動的セキュリティ調整機能を含むデータ処理システムの概要を示すブロック図である。
【図５】本発明による、装置のコンピュータ・セキュリティ・レベルの動的調整を示す時間線を示す図である。
【図６】本発明による、装置のコンピュータ・セキュリティ・レベルの動的調整を示す時間線を示す図である。
【図７】与えられたユーザのユーザ・セキュリティ・レベルと与えられたコンピュータ資源のコンピュータ・セキュリティ・レベルの間の逆関係を示す図である。
【図８】与えられたユーザのユーザ・セキュリティ・レベルと与えられたコンピュータ資源のコンピュータ・セキュリティ・レベルの間の逆関係を示す図である。
【図９】本発明の一実施形態による、ユーザ・セキュリティ・レベルの決定に影響を与える情報を集めるためのプロセスを示すフローチャートである。
【図１０】本発明の一実施形態による、特定のユーザのユーザ・セキュリティ・レベルの決定に影響を与えるために、それ以前にログに取られたユーザ活動が分析されるプロセスを示すフローチャートである。
【図１１】セキュリティ・レベルの動的調整をサポートするためのデータ処理システム内のコンポーネントを示すブロック図である。
【図１２】セキュリティ・レベルの動的調整をサポートするためのデータ処理システム内のコンポーネントを示すブロック図である。
【図１３】セキュリティ・レベルの動的調整をサポートするためのデータ処理システム内のコンポーネントを示すブロック図である。
【図１４】セキュリティ・レベルの動的調整をサポートするためのデータ処理システム内のコンポーネントを示すブロック図である。
【図１５】セキュリティ・レベルの動的調整をサポートするためのデータ処理システム内のコンポーネントを示すブロック図である。
【図１６】セキュリティ・レベルの動的調整をサポートするためのデータ処理システム内のコンポーネントを示すブロック図である。
【図１７】セキュリティ・レベルの動的調整をサポートするためのデータ処理システム内のコンポーネントを示すブロック図である。
【図１８】本発明の一実施形態による、ネットワーク上のユーザ活動が、ネットワーク内のアクティブな資源のコンピュータ・セキュリティ・レベル値の動的調整をトリガすることができるプロセスを示すフローチャートである。
【特許請求の範囲】
【請求項１】
データ処理システム内の１組のコンピュータ資源に関する操作を安全にするための方法であって、
第１のユーザによって使用されている第１のコンピュータ装置上のコンピュータ資源を利用するステップであって、第１のユーザ・セキュリティ・レベル表示値が、前記第１のユーザに関連付けられるステップと、
第２のユーザによって使用されている第２のコンピュータ装置上のコンピュータ資源を利用するステップであって、第２のユーザ・セキュリティ・レベル表示値が、前記第２のユーザに関連付けられるステップと、
前記第２のユーザの前記第２のユーザ・セキュリティ・レベル表示値に基づいて、前記第１のコンピュータ装置上の前記コンピュータ資源を自動的に再構成するステップと、を含む方法。
【請求項２】
前記第２のユーザによって使用されるコンピュータ資源に関するネットワーク活動を監視するステップと、
前記第２のユーザによって使用されるコンピュータ資源に関する前記ネットワーク活動をフィルタリングするステップと、
前記第２のユーザによって使用されるコンピュータ資源に関する問題のあるネットワーク活動をログに取るステップと、をさらに含む、請求項１に記載の方法。
【請求項３】
前記ネットワーク活動をフィルタリングするための規則または条件あるいはその両方を表す第１の構成可能な方針を利用するステップをさらに含む、請求項２に記載の方法。
【請求項４】
前記第２のユーザの前記ログに取られた問題のあるネットワーク活動を検査するステップと、
前記検査済のログに取られた問題のあるネットワーク活動からの情報に基づいて、前記第２のユーザ・セキュリティ・レベル表示値を決定するステップと、をさらに含む、請求項２に記載の方法。
【請求項５】
前記第２のユーザ・セキュリティ・レベル表示値を決定するための規則または条件あるいはその両方を表す第２の構成可能な方針を利用するステップをさらに含む、請求項４に記載の方法。
【請求項６】
コンピュータ・セキュリティ・レベル表示値を前記第１のコンピュータ装置上のコンピュータ資源に割り当てるステップと、
前記第２のユーザによって使用されている前記第２のコンピュータ装置による検出ネットワーク活動に応じて、前記第１のコンピュータ装置上の前記コンピュータ資源の前記コンピュータ・セキュリティ・レベル表示値を調整するステップと、をさらに含む、請求項１に記載の方法。
【請求項７】
前記第１のコンピュータ装置上の前記コンピュータ資源の前記コンピュータ・セキュリティ・レベル表示値を調整するための規則または条件あるいはその両方を表す第３の構成可能な方針を利用するステップをさらに含む、請求項６に記載の方法。
【請求項８】
前記調整されたコンピュータ・セキュリティ・レベル表示値に基づいて、前記第１のコンピュータ装置上の前記コンピュータ資源を再構成するための修正セキュリティ関係パラメータを決定するステップをさらに含む、請求項６に記載の方法。
【請求項９】
前記第１のコンピュータ装置上の前記コンピュータ資源を再構成するための修正セキュリティ関係パラメータを決定するための規則または条件あるいはその両方を表す第４の構成可能な方針を利用するステップをさらに含む、請求項８に記載の方法。
【請求項１０】
修正セキュリティ関係パラメータを中央セキュリティ管理アプリケーションから前記第１のコンピュータ装置上のネットワーク・セキュリティ・エージェントに送るステップをさらに含む、請求項６に記載の方法。
【請求項１１】
前記第１のユーザに前記第１のコンピュータ装置の前記再構成を通知するステップをさらに含む、請求項１に記載の方法。
【請求項１２】
外部の情報源から前記データ処理システムに前記第２のユーザ・セキュリティ・レベル表示値を取り出すステップをさらに含む、請求項１に記載の方法。
【請求項１３】
データ処理システム内の１組のコンピュータ資源に関する操作を安全にするための装置であって、
第１のユーザによって使用されている第１のコンピュータ装置上のコンピュータ資源を利用する手段であって、第１のユーザ・セキュリティ・レベル表示値が、前記第１のユーザに関連付けられる手段と、
第２のユーザによって使用されている第２のコンピュータ装置上のコンピュータ資源を利用する手段であって、第２のユーザ・セキュリティ・レベル表示値が、前記第２のユーザに関連付けられる手段と、
前記第２のユーザの前記第２のユーザ・セキュリティ・レベル表示値に基づいて、前記第１のコンピュータ装置上の前記コンピュータ資源を自動的に再構成する手段と、を含む装置。
【請求項１４】
コンピュータ・セキュリティ・レベル表示値を前記第１のコンピュータ装置上のコンピュータ資源に割り当てる手段と、
前記第２のユーザによって使用されている前記第２のコンピュータ装置による検出ネットワーク活動に応じて、前記第１のコンピュータ装置上の前記コンピュータ資源の前記コンピュータ・セキュリティ・レベル表示値を調整する手段と、をさらに含む、請求項１３に記載の装置。
【請求項１５】
前記調整されたコンピュータ・セキュリティ・レベル表示値に基づいて、前記第１のコンピュータ装置上の前記コンピュータ資源を再構成するための修正セキュリティ関係パラメータを決定する手段をさらに含む、請求項１４に記載の装置。
【請求項１６】
デジタル・コンピュータの内部メモリにロード可能なコンピュータ・プログラム製品であって、前記製品がコンピュータ上で実行された場合に、請求項１から１２に記載の発明を実施するように実行するためのソフトウェア・コード部分を含むコンピュータ・プログラム製品。
【請求項１】
データ処理システム内の１組のコンピュータ資源に関する操作を安全にするための方法であって、
第１のユーザによって使用されている第１のコンピュータ装置上のコンピュータ資源を利用するステップであって、第１のユーザ・セキュリティ・レベル表示値が、前記第１のユーザに関連付けられるステップと、
第２のユーザによって使用されている第２のコンピュータ装置上のコンピュータ資源を利用するステップであって、第２のユーザ・セキュリティ・レベル表示値が、前記第２のユーザに関連付けられるステップと、
前記第２のユーザの前記第２のユーザ・セキュリティ・レベル表示値に基づいて、前記第１のコンピュータ装置上の前記コンピュータ資源を自動的に再構成するステップと、を含む方法。
【請求項２】
前記第２のユーザによって使用されるコンピュータ資源に関するネットワーク活動を監視するステップと、
前記第２のユーザによって使用されるコンピュータ資源に関する前記ネットワーク活動をフィルタリングするステップと、
前記第２のユーザによって使用されるコンピュータ資源に関する問題のあるネットワーク活動をログに取るステップと、をさらに含む、請求項１に記載の方法。
【請求項３】
前記ネットワーク活動をフィルタリングするための規則または条件あるいはその両方を表す第１の構成可能な方針を利用するステップをさらに含む、請求項２に記載の方法。
【請求項４】
前記第２のユーザの前記ログに取られた問題のあるネットワーク活動を検査するステップと、
前記検査済のログに取られた問題のあるネットワーク活動からの情報に基づいて、前記第２のユーザ・セキュリティ・レベル表示値を決定するステップと、をさらに含む、請求項２に記載の方法。
【請求項５】
前記第２のユーザ・セキュリティ・レベル表示値を決定するための規則または条件あるいはその両方を表す第２の構成可能な方針を利用するステップをさらに含む、請求項４に記載の方法。
【請求項６】
コンピュータ・セキュリティ・レベル表示値を前記第１のコンピュータ装置上のコンピュータ資源に割り当てるステップと、
前記第２のユーザによって使用されている前記第２のコンピュータ装置による検出ネットワーク活動に応じて、前記第１のコンピュータ装置上の前記コンピュータ資源の前記コンピュータ・セキュリティ・レベル表示値を調整するステップと、をさらに含む、請求項１に記載の方法。
【請求項７】
前記第１のコンピュータ装置上の前記コンピュータ資源の前記コンピュータ・セキュリティ・レベル表示値を調整するための規則または条件あるいはその両方を表す第３の構成可能な方針を利用するステップをさらに含む、請求項６に記載の方法。
【請求項８】
前記調整されたコンピュータ・セキュリティ・レベル表示値に基づいて、前記第１のコンピュータ装置上の前記コンピュータ資源を再構成するための修正セキュリティ関係パラメータを決定するステップをさらに含む、請求項６に記載の方法。
【請求項９】
前記第１のコンピュータ装置上の前記コンピュータ資源を再構成するための修正セキュリティ関係パラメータを決定するための規則または条件あるいはその両方を表す第４の構成可能な方針を利用するステップをさらに含む、請求項８に記載の方法。
【請求項１０】
修正セキュリティ関係パラメータを中央セキュリティ管理アプリケーションから前記第１のコンピュータ装置上のネットワーク・セキュリティ・エージェントに送るステップをさらに含む、請求項６に記載の方法。
【請求項１１】
前記第１のユーザに前記第１のコンピュータ装置の前記再構成を通知するステップをさらに含む、請求項１に記載の方法。
【請求項１２】
外部の情報源から前記データ処理システムに前記第２のユーザ・セキュリティ・レベル表示値を取り出すステップをさらに含む、請求項１に記載の方法。
【請求項１３】
データ処理システム内の１組のコンピュータ資源に関する操作を安全にするための装置であって、
第１のユーザによって使用されている第１のコンピュータ装置上のコンピュータ資源を利用する手段であって、第１のユーザ・セキュリティ・レベル表示値が、前記第１のユーザに関連付けられる手段と、
第２のユーザによって使用されている第２のコンピュータ装置上のコンピュータ資源を利用する手段であって、第２のユーザ・セキュリティ・レベル表示値が、前記第２のユーザに関連付けられる手段と、
前記第２のユーザの前記第２のユーザ・セキュリティ・レベル表示値に基づいて、前記第１のコンピュータ装置上の前記コンピュータ資源を自動的に再構成する手段と、を含む装置。
【請求項１４】
コンピュータ・セキュリティ・レベル表示値を前記第１のコンピュータ装置上のコンピュータ資源に割り当てる手段と、
前記第２のユーザによって使用されている前記第２のコンピュータ装置による検出ネットワーク活動に応じて、前記第１のコンピュータ装置上の前記コンピュータ資源の前記コンピュータ・セキュリティ・レベル表示値を調整する手段と、をさらに含む、請求項１３に記載の装置。
【請求項１５】
前記調整されたコンピュータ・セキュリティ・レベル表示値に基づいて、前記第１のコンピュータ装置上の前記コンピュータ資源を再構成するための修正セキュリティ関係パラメータを決定する手段をさらに含む、請求項１４に記載の装置。
【請求項１６】
デジタル・コンピュータの内部メモリにロード可能なコンピュータ・プログラム製品であって、前記製品がコンピュータ上で実行された場合に、請求項１から１２に記載の発明を実施するように実行するためのソフトウェア・コード部分を含むコンピュータ・プログラム製品。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【公表番号】特表２００９−５１２９２２（Ｐ２００９−５１２９２２Ａ）
【公表日】平成２１年３月２６日（２００９．３．２６）
【国際特許分類】
【出願番号】特願２００８−５３６００９（Ｐ２００８−５３６００９）
【出願日】平成１８年１０月３日（２００６．１０．３）
【国際出願番号】ＰＣＴ／ＥＰ２００６／０６６９９６
【国際公開番号】ＷＯ２００７／０４５５５４
【国際公開日】平成１９年４月２６日（２００７．４．２６）
【出願人】（３９０００９５３１）インターナショナル・ビジネス・マシーンズ・コーポレーション (4,084)
【氏名又は名称原語表記】ＩＮＴＥＲＮＡＴＩＯＮＡＬ ＢＵＳＩＮＥＳＳ ＭＡＳＣＨＩＮＥＳ ＣＯＲＰＯＲＡＴＩＯＮ
【Ｆターム（参考）】
【公表日】平成２１年３月２６日（２００９．３．２６）
【国際特許分類】
【出願日】平成１８年１０月３日（２００６．１０．３）
【国際出願番号】ＰＣＴ／ＥＰ２００６／０６６９９６
【国際公開番号】ＷＯ２００７／０４５５５４
【国際公開日】平成１９年４月２６日（２００７．４．２６）
【出願人】（３９０００９５３１）インターナショナル・ビジネス・マシーンズ・コーポレーション (4,084)
【氏名又は名称原語表記】ＩＮＴＥＲＮＡＴＩＯＮＡＬ ＢＵＳＩＮＥＳＳ ＭＡＳＣＨＩＮＥＳ ＣＯＲＰＯＲＡＴＩＯＮ
【Ｆターム（参考）】
[ Back to top ]