外部デバイスとホスト・デバイスの間でデータおよびデバイスのセキュリティを提供するためのシステムおよび方法
第１の外部デバイス・プラグ、およびホストから受信されたデータ転送要求に対してセキュリティ・ポリシーを執行するように機能するセキュリティ・エンジンを含むセキュリティ・デバイスと、第２の外部デバイス・プラグを含む外部デバイスと、第１の外部デバイス・プラグと通信するように結合されるように機能する第１の外部デバイス・ポート、第２の外部デバイス・プラグと通信するように結合されるように機能する第２の外部デバイス・ポート、およびデータ転送要求を、そのデータ転送要求を実行する前に、セキュリティ・デバイスに転送するように機能するドライバ、例えば、リダイレクト・ドライバを含むホストとを含むセキュリティで保護されたデータ交換システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、一般にコンピュータ・セキュリティに関し、より詳細には、外部デバイスとホスト・デバイスの間でデータおよびデバイスのセキュリティを提供するためのシステムおよび方法に関する。
【背景技術】
【０００２】
インターネットは、政府、大学、非営利団体、企業、および個人によって所有される数百万の個々のコンピュータ・ネットワークの相互接続である。インターネットは、価値ある情報およびエンターテイメントの優れたソースであるが、インターネットは、「ウイルス」、「スパイウェア」、「アドウェア」、「ワーム」、「トロイの木馬」、および他の悪意のあるコードなどの、システムに損傷を与えるアプリケーション・コード、およびシステムに致命的なアプリケーション・コードの主要なソースにもなっている。
【０００３】
ユーザを保護するのに、プログラマは、悪意のあるコードが、個々のコンピュータとネットワーク・コンピュータの両方を攻撃することを阻止するためのコンピュータ・セキュリティ・システムおよびコンピュータ・ネットワーク・セキュリティ・システムを設計する。おおむね、ネットワーク・セキュリティ・システムは、比較的成功している。企業のネットワークの内部からインターネットに接続されるコンピュータは、通常、２つの防衛線を有する。第１の防衛線は、ファイアウォール、ウイルス対策ソフト、スパイウェア対策ソフト、およびコンテンツ・フィルタリングを含む、ネットワーク・ゲートウェイの一部であることが可能な、ネットワーク・セキュリティ・システムを含む。第２の防衛線は、ネットワーク・セキュリティ・システムほど通常、セキュリティが強くなく、そのため、攻撃に対してより脆弱である、個々のマシン上の個別のセキュリティ・ソフトウェアを含む。組み合わされて、第１の防衛線と第２の防衛線は一緒に、相当に良好なセキュリティ保護を提供する。しかし、或るデバイスが、介在するネットワーク・セキュリティ・システムなしにインターネットに接続されると、そのデバイスは、そのデバイスの第１の防衛線を失う。このため、モバイル・デバイスすなわち移動デバイス（例えば、ラップトップ、デスクトップ、ＲＩＭ社のＢｌａｃｋｂｅｒｒｙなどのＰＤＡ、セル電話機、インターネットに接続された任意の無線デバイスなど）は、企業ネットワークの外部で移動している際、攻撃に対してより脆弱である。
【０００４】
図１は、従来技術の例示的なネットワーク・システム１００を示す。ネットワーク・システム１００は、企業のイントラネット１１５にそれぞれが結合された、デスクトップ１０５および移動デバイス１１０を含む。イントラネット１１５は、ネットワーク・セキュリティ・システム１２０（企業のゲートウェイの一部分であることが可能な）を介して、信頼されないインターネット１３０に結合される。したがって、デスクトップ１０５および移動デバイス１１０は、ネットワーク・セキュリティ・システム１２０を介してインターネット１３０にアクセスする。セキュリティ・アドミニストレータ１２５が、通常、ネットワーク・セキュリティ・システム１２０を管理して、システム１２０が、最新のセキュリティ保護を含むこと、したがって、デスクトップ１０５および移動デバイス１１０が、悪意のあるコードから保護されていることを確実にする。分界（デマーケーション）１３５が、信頼される企業１４０と信頼されない公共のインターネット１３０を分ける。デスクトップ１０５および移動デバイス１１０は、ネットワーク・セキュリティ・システム１２０を介してインターネット１３０に接続されるため、デスクトップ１０５と移動デバイス１１０はともに、インターネット１３０からの悪意のあるコードに対して２つの防衛線（すなわち、ネットワーク・セキュリティ・システム１２０、およびデバイス自体の上に存在するセキュリティ・ソフトウェア）を有する。もちろん、信頼されるものの、イントラネット１１５が、悪意のあるコードのソースであることも可能である。
【０００５】
図２は、移動デバイス１１０が、信頼される企業１４０の外部に移動し、信頼されないインターネット１３０に再接続された場合の、従来技術の例示的なネットワーク・システム２００を示す。このことは、多分、ユーザが、移動デバイス１１０を移動の際に携行し、サイバーカフェで、ホテルで、または任意の信頼されない有線接続または無線接続を介してインターネット１３０に接続する場合に、生じる可能性がある。したがって、図示されるとおり、移動デバイス１１０は、第１の防衛線によって（ネットワーク・セキュリティ・システム１２０によって）もはや保護されておらず、このため、悪意のあるコードを受信する危険を高めている。さらに、移動デバイス１１０を信頼される企業１４０に物理的に持ち帰り、内部から再接続することによって、移動デバイス１１０は、受信された悪意のあるコードをイントラネット１１５に転送する危険を冒す。
【０００６】
移動デバイスの数、および攻撃の数が増大するにつれ、モバイル・セキュリティは、ますます重要になっている。この問題は、２００５年１２月７日〜８日にニューヨークで開かれた最近のＩｎｆｏ−Ｓｅｃｕｒｉｔｙ Ｃｏｎｆｅｒｅｎｃｅにおいて強調された。しかし、完全なソリューションは、提示されなかった。
【０００７】
同様に、或るホスト・デバイスが、ＵＳＢフラッシュ・デバイス、ｉＰｏｄ、外部ハードドライブなどの外部デバイスに接続された場合、両方のデバイスが、悪意のあるコードの受信、またはプライベート・データの転送に対して脆弱である。図１１は、ホスト・コンピュータ（ホスト）１１０５および外部デバイス１１１０を含む例示的な従来技術のデータ交換システム１１００を示す。ホスト１１０５は、外部デバイス１１１０を受けるための、ＵＳＢポートなどのＥＤ（外部デバイス）ポート１１１５を含む。また、ホスト１１０５は、列挙を実行し、外部デバイス１１１０とホスト１１０５の間で通信を可能にするためのＥＤドライバ１１２０も含む。外部デバイス１１１０は、ＥＤポート１１１５と通信するための、ＵＳＢプラグなどの、ＥＤプラグを含む。ホスト１１０５と外部デバイス１１１０の両方が、悪意のあるコードの受信、またはプライベート・データの転送に対して脆弱である。
【発明の開示】
【発明が解決しようとする課題】
【０００８】
したがって、ホスト・デバイスおよび外部デバイスにセキュリティをもたらすシステムおよび方法の必要性が、存在する。
【課題を解決するための手段】
【０００９】
一実施形態によれば、本発明は、ホストと通信するように結合されるように機能する外部デバイス・プラグと、外部デバイスと通信するように結合されるように機能する外部デバイス・ポートと、プロセッサと、オペレーティング・システム、外部デバイスとの通信を制御するように機能する外部デバイス・ドライバ、および外部デバイスとホストとの間のデータ転送要求に対してセキュリティ・ポリシーを執行するように機能するセキュリティ・エンジンを格納するメモリとを含むセキュリティ・デバイスを提供する。セキュリティ・デバイスは、ホスト上のドライバと一緒に機能することが可能である。外部デバイス・プラグと外部デバイス・ポートの少なくともいずれかは、ＵＳＢ標準に従うことが可能である。外部デバイス・プラグと外部デバイス・ポートの少なくともいずれかは、無線接続を含むことが可能である。セキュリティ・エンジンは、ウイルス、スパイウェア、およびアドウェアの少なくとも１つの転送を防ぐことが可能である。セキュリティ・エンジンは、プライベート・データの許可のない転送を防ぐことが可能である。
【００１０】
一実施形態によれば、本発明は、第１の外部デバイス・プラグ、およびホストから受信されたデータ転送要求に対してセキュリティ・ポリシーを執行するように機能するセキュリティ・エンジンを含むセキュリティ・デバイスと、第２の外部デバイス・プラグを含む外部デバイスと、第１の外部デバイス・プラグと通信するように結合されるように機能する第１の外部デバイス・ポート、第２の外部デバイス・プラグと通信するように結合されるように機能する第２の外部デバイス・ポート、およびホストからのデータ転送要求を、そのデータ転送要求を実行する前に、セキュリティ・デバイスに転送するように機能するリダイレクト・ドライバを含むホストとを含むセキュリティで保護されたデータ交換システムを提供する。外部デバイスは、ＵＳＢドライブを含むことが可能である。外部デバイスは、ＰＤＡとセル電話機のいずれかを含むことが可能である。ホストは、ラップトップ、デスクトップ、ＰＤＡ，またはセル電話機の１つを含むことが可能である。ホストは、ホストへのセキュリティで保護されたデバイスの接続を検出すると、リダイレクト・ドライバを起動することが可能である。
【００１１】
一実施形態によれば、本発明は、セキュリティ・デバイスをホストと通信するように結合すること、外部デバイスをセキュリティ・デバイスと通信するように結合すること、セキュリティ・デバイスによって、ホストからデータ転送要求を受信すること、およびセキュリティ・デバイスによって、データ転送要求が実行されることを許す前に、データ転送要求に対してセキュリティ・ポリシーを執行することを含む方法を提供することが可能である。セキュリティ・デバイスをホストと通信するように結合することは、有線接続または無線接続を含むことが可能である。外部デバイスをホストと通信するように結合することは、有線接続または無線接続を含むことが可能である。データ転送要求は、ホストから外部デバイスにデータを転送する要求を含むことが可能である。データ転送要求は、外部デバイスからホストにデータを転送する要求を含むことが可能である。執行することは、ウイルス、スパイウェア、およびアドウェアの少なくとも１つに関して、転送されているデータを点検することを含むことが可能である。執行することは、データ転送要求がプライベート・データを求める要求を含むかどうかを判定することを含むことが可能である。執行することは、プライベート・データの転送を許す前に、さらなるセキュリティ・チェックを要求することを含むことが可能である。
【００１２】
一実施形態によれば、本発明は、セキュリティ・デバイスをホストと通信するように結合すること、外部デバイスをホストと通信するように結合すること、ホストによって、データ転送要求を受信すること、ホストに対してリダイレクト・ドライバを使用して、データ転送要求をセキュリティ・デバイスにリダイレクトすること、およびセキュリティ・デバイスによって、データ転送要求が実行されることを許す前に、データ転送要求に対してセキュリティ・ポリシーを執行することを含む方法を提供する。セキュリティ・デバイスをホストと通信するように結合することは、有線接続または無線接続を使用することを含むことが可能である。外部デバイスをホストと通信するように結合することは、有線接続または無線接続を使用することを含むことが可能である。データ転送要求は、ホストから外部デバイスにデータを転送する要求を含むことが可能である。データ転送要求は、外部デバイスからホストにデータを転送する要求を含むことが可能である。執行することは、ウイルス、スパイウェア、およびアドウェアの少なくとも１つに関して、転送されているデータを点検することを含むことが可能である。執行することは、データ転送要求がプライベート・データを求める要求を含むかどうかを判定することを含むことが可能である。執行することは、プライベート・データの転送を許す前に、さらなるセキュリティ・チェックを要求することを含むことが可能である。
【図面の簡単な説明】
【００１３】
【図１】第１の状態における従来技術のネットワーク・システムを示すブロック図である。
【図２】第２の状態における従来技術のネットワーク・システムを示すブロック図である。
【図３】本発明の実施形態によるネットワーク・システムを示すブロック図である。
【図４】本発明の実施形態によるコンピュータ・システムの詳細を示すブロック図である。
【図５】本発明の実施形態によるモバイル・セキュリティ・システムの詳細を示すブロック図である。
【図６】Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓ（登録商標）の実施形態によるモバイル・セキュリティ・システムの詳細を示すブロック図である。
【図７】本発明の実施形態によるスマート・ポリシー更新システムの詳細を示すブロック図である。
【図８】ＯＳＩ層に関係したネットワーク・セキュリティ対策の詳細を示すブロック図である。
【図９】モバイル・セキュリティ・システムにセキュリティ・コードを広めるための通信技術の詳細を示すブロック図である。
【図１０Ａ−１０Ｃ】本発明の様々な実施形態による、モバイル・セキュリティ・システムに移動デバイスを接続するための様々なアーキテクチャを示すブロック図である。
【図１１】従来技術のデータ交換システムを示すブロック図である。
【図１２】本発明の実施形態によるセキュリティで保護されたデータ交換システムを示すブロック図である。
【図１３】本発明の実施形態によるセキュリティ・デバイスの詳細を示すブロック図である。
【図１４】本発明の実施形態によるセキュリティ・システムの詳細を示すブロック図である。
【図１５】本発明の別の実施形態によるセキュリティで保護されたデータ交換システムを示すブロック図である。
【図１６】本発明の実施形態による、ホストと外部デバイスの間のセキュリティで保護されたデータ交換の方法を示す流れ図である。
【発明を実施するための形態】
【００１４】
以下の説明は、任意の当業者が、本発明を作成し、使用することを可能にするように与えられ、さらに或る特定の応用例、およびその応用例の要件の文脈において与えられる。これらの実施形態の様々な変形が、当業者には可能であり、本明細書で定義される一般的な原理は、本発明の趣旨および範囲を逸脱することなく、これら、およびその他の実施形態および応用例に適用されることが可能である。このため、本発明は、示される実施形態に限定されることは意図されず、本明細書で開示される原理、特徴、および教示と合致する最も広い範囲を与えられるべきである。
【００１５】
本発明の実施形態は、移動デバイスに接続される或る小さなハードウェアを使用し、攻撃、および悪意のあるコードを選別して除く。このハードウェアは、「モバイル・セキュリティ・システム」または「パーソナル・セキュリティ機器」と呼ばれることが可能である。このモバイル・セキュリティ・システムを使用して、移動デバイスは、より強いセキュリティによって保護されることが可能であり、さらに、場合により、移動デバイスが関連する法人／企業によって提供されるのと同一レベルのセキュリティによって保護されることが可能である。
【００１６】
図３は、本発明の実施形態によるネットワーク・システム３００を示す。ネットワーク・システム３００は、デスクトップ３０５、第１の移動デバイス３１０ａ、および第２の移動デバイス３１０ｂを含む。第１の移動デバイス３１０ａは、この時点で企業ネットワーク３４０内部にあるものとして図示され、モバイル・セキュリティ・システム３４５ａを介して企業のイントラネット３１５に結合される。また、デスクトップ３０５および移動デバイス３１０ｂも、企業ネットワーク３４０内部にあるが、この実施形態では、モバイル・セキュリティ・システム３４５ｂなどの介在するモバイル・セキュリティ・システム３４５なしに、イントラネット３１５に結合される。イントラネット３１５は、ネットワーク・セキュリティ・システム３２０（企業のゲートウェイの一部であることが可能な）を介して、信頼されないインターネット３３０に結合される。したがって、第１の移動デバイス３１０ａ、第２の移動デバイス３１０ｂ、およびデスクトップ３０５は、ネットワーク・セキュリティ・システム３２０を介して、信頼されないインターネット３３０にアクセスする。また、デバイス３１０ａ、デバイス３１０ｂ、およびデスクトップ３０５はそれぞれ、デバイス３１０ａ上、デバイス３１０ｂ上、およびデスクトップ３０５上に存在するパーソナル・セキュリティ・システム（図示せず）によって保護されることも可能である。第３の移動デバイス３１０ｃは、現在、企業ネットワーク３４０の外部にあり、モバイル・セキュリティ・システム３４５ｂを介して、信頼されないインターネット３３０に結合される。第３の移動デバイス３１０は、現在、移動中である、信頼される企業３４０の従業員によって使用されていることが可能である。セキュリティ・アドミニストレータ３２５が、移動セキュリティ・システム３４５ａ、移動セキュリティ・システム３４５ｂ、およびネットワーク・セキュリティ・システム３２０を管理して、システム３４５ａ、３４５ｂ、および３２０が最新のセキュリティ保護を含むことを確実にする。同一のセキュリティ・アドミニストレータが、これらの様々なデバイスを管理する必要はないことが、当業者には認識されよう。さらに、セキュリティ・アドミニストレータは、ユーザであることも可能であり、信頼される企業３４０の内部にある必要はない。
【００１７】
分界３３５が、信頼される企業３４０と、信頼されない一般にアクセス可能なインターネット３３０とを分ける。移動デバイス３１０ａ、３１０ｂ、および３１０ｃのそれぞれは、移動デバイス３１０と総称されることが可能であるが、デバイス３１０ａ、３１０ｂ、および３１０ｃが、同一である必要はない。各モバイル・セキュリティ・システム３４５ａおよび３４５ｂは、モバイル・セキュリティ・システム３４５と総称されることが可能であるが、システム３４５ａおよび３４５ｂが、同一である必要はない。
【００１８】
図示されるとおり、移動デバイス３１０ｃは、信頼される企業３４０の外部に移動しているものの、移動デバイス３１０ｃは、モバイル・セキュリティ・システム３４５ｂを介して、信頼されないインターネット３３０に接続され、このため、２つの防衛線（すなわち、モバイル・セキュリティ・システム３４５ｂ、およびデバイス自体の上に存在するセキュリティ・ソフトウェア）を保持する。この実施形態では、モバイル・セキュリティ・システム３４５は、事実上、移動デバイス３１０ｃのためのモバイル・インターネット・ゲートウェイの役割をする。或る実施形態では、モバイル・セキュリティ・システム３４５は、ネットワーク・セキュリティに専用のデバイスであることが可能である。或る実施形態では、各モバイル・セキュリティ・システム３４５は、複数の移動デバイス３１０をサポートすることができ、さらに、場合により、登録された移動デバイス３１０だけ、例えば、企業３４０に属する移動デバイス３１０だけをサポートすることが可能である。
【００１９】
各モバイル・セキュリティ・システム３４５（例えば、３４５ａ、３４５ｂ）は、市販のハードウェア（コアとしてインテル社のＸｓｃａｌｅを有する）、Ｌｉｎｕｘ ＯＳ、およびネットワーク・サービス、ならびにオープン・ソース・ファイアウォール、ＩＤＳ／ＩＰＳ、およびウイルス対策保護に基づく小型サーバであることが可能である。モバイル・セキュリティ・システム３４５は、強固にされた、埋め込まれたＬｉｎｕｘ２．６に基づくことが可能である。
【００２０】
この実施形態では、セキュリティ・アドミニストレータ３２５が、モバイル・セキュリティ・システム３４５ｂと遠隔で通信することができるため、ＩＴは、モバイル・セキュリティ・システム３４５ｂ上で実施されるセキュリティ・ポリシー／データ／エンジンを監視し、さらに／または更新することができる。セキュリティ・アドミニストレータ３２５は、遠隔で、または直接にすべての企業デバイスを一元的に管理することができる。さらに、セキュリティ・アドミニストレータ３２５とモバイル・セキュリティ・システム３４５は対話して、企業セキュリティ・ポリシーをモバイル・セキュリティ・ポリシーに自動的に翻訳し、これに相応してモバイル・セキュリティ・システム３４５を構成することができる。モバイル・セキュリティ・システム３４５は、企業３４０の該当するセキュリティ・ポリシーから生成されることが可能であるため、現在、移動している移動デバイス３１０ｃが、信頼される企業３４０の内部のデバイス３０５／３１０と同一の保護レベルを有することが可能である。
【００２１】
モバイル・セキュリティ・システム３４５は、既存のソフトウェア・セキュリティへのアドオンとして、または移動している移動デバイス上のすべてのセキュリティ・ハードウェアおよびセキュリティ・ソフトウェアに取って代わるように設計されることが可能である。これらのセキュリティ・アプリケーションは、図８に示される例示的なシステムにおいて示されるとおり、好ましくは、異なるＯＳＩ層の上で動作して、最大限のセキュリティおよび悪意のあるコード検出をもたらす。より低いＯＳＩ層上で動作し、ＴＣＰ／ＩＰパケット解析だけを行うこと（ファイアウォール・パケットまたはルータ・パケットを選別することによって）は、ウイルスの振舞い、および／またはワームの振舞いを見落とす。また、多くの最新のウイルスは、第７のＯＳＩ層（アプリケーション、すなわち、ＨＴＴＰ、ＦＴＰなど）「より高い」レベルで実施されるモバイル・コードを使用し、したがって、パケット層においても、アプリケーション層においても解釈され得ない。例えば、悪意のあるＪａｖａ（登録商標） Ｓｃｒｉｐｔ（つまり、ＨＴＭＬページの中に含まれる）に対して、シグネチャをパケットとマッチングしようと試みて、コンテンツ・タイプ（Ｊａｖａ Ｓｃｒｉｐｔ）を理解することなしに、セッション層またはトランスポート層においてだけウイルス対策解析を適用することによっては、そのＪａｖａ Ｓｃｒｉｐｔの悪意のある性質は検出されない。より強い保護を提供するのに、モバイル・セキュリティ・システム３４５は、法人クラス・セキュリティ機器の役割をして、コンテンツ・タイプ、および適切なＯＳＩ層（または、コンテンツがアプリケーション層においてカプセル化されている場合、「より高い」レベル）に基づいて、様々なセキュリティ・アプリケーションをかかわらせることができる。モバイル・セキュリティ・システム３４５は、様々なＯＳＩ層において、例えば、パケット・レベルからアプリケーション・レベルまで、コンテンツ解析を実行するように構成されることが可能である。アプリケーション・レベルで深い検査を実行することは、悪意のあるコンテンツの振舞いを検出するのに不可欠であり、ウイルス、ワーム、スパイウェア、トロイの木馬などの検出を向上させることが認識されよう。以下のソフトウェア・パッケージが、モバイル・セキュリティ・システム３４５上で実施されることが可能である。すなわち、
−−ファイアウォールおよびＶＰＮ ステートフル・ファイアウォールおよびステートレス・ファイアウォール、ＮＡＴ、パケット・フィルタリングおよびパケット操作、ＤＯＳ／ＤＤＯＳ、ネットフィルタ、ユーザ移動デバイスをインターネットから隔離し、デバイス上でＶＰＮプログラムを実行することなどを含む
−−Ｓｑｕｉｄに基づくオプションのウェブ・アクセラレータおよび／または帯域幅／キャッシュ管理
−−ＩＤＳ／ＩＰＳ Ｓｎｏｒｔに基づく侵入検出−防止システム。Ｓｎｏｒｔは、シグネチャ検査、プロトコル・ベースの検査、および異常ベースの検査の利点を組み合わせる、規則駆動の言語を利用するオープンソースのネットワーク侵入防止−検出システムである。
−−ＣｌａｍＡＶに基づくウイルス対策ソフトおよびスパイウェア対策ソフト さらなるＡＶエンジンおよびＡＳエンジン、例えば、ＭｃＡｆｅｅ、Ｋａｓｐｅｒｓｋｙ、Ｐａｎｄａｍａｙが、さらなる契約料金と引き換えに提供されることが可能である。
−−悪意のあるコンテンツ検出 コンテンツ解析を実行して、シグネチャを有する前の、悪意のあるコンテンツを検出するオンザフライ・ヒューリスティクス。このことは、規則ベース、および更新された規則に基づき、コンテンツ依存のスキャンである。
−−ＵＲＬ分類フィルタリング Ｓｕｒｆｃｏｎｔｒｏｌ、Ｓｍａｒｔ Ｆｉｌｔｅｒｓ、またはＷｅｂｓｅｎｓｅなどの市販のエンジンに基づく。賭博、アダルト・コンテンツ、ニュース、ウェブメールなどの約７０のＵＲＬカテゴリをもたらすことが可能である。移動デバイス３４５は、そのＵＲＬカテゴリに基づいて、異なるセキュリティ・ポリシーを、例えば、賭博ウェブサイトまたはアダルト・コンテンツ・ウェブサイトなどに関して、より高い制限およびヒューリスティクスを適用することが可能である。
【００２２】
図４は、各デスクトップ３０５、移動デバイス３１０、ネットワーク・セキュリティ・システム３２０、モバイル・セキュリティ・システム３４５、およびセキュリティ・アドミニストレータ３２５が、実例であることが可能な、例示的なコンピュータ・システム４００の詳細を示すブロック図である。コンピュータ・システム４００は、通信チャネル４１０に結合された、Ｉｎｔｅｌ Ｐｅｎｔｉｕｍ（登録商標）マイクロプロセッサまたはＭｏｔｏｒｏｌａ Ｐｏｗｅｒ ＰＣ（登録商標）マイクロプロセッサなどの、プロセッサ４０５を含む。コンピュータ・システム４００は、キーボードまたはマウスなどの入力デバイス４１５、陰極線管ディスプレイなどの出力デバイス４２０、通信デバイス４２５、磁気ディスクなどのデータ記憶デバイス４３０、およびＲＡＭ（ランダム・アクセス・メモリ）などのメモリ４３５をさらに含み、以上のそれぞれが、通信チャネル４１０に結合される。通信インタフェース４２５は、直接に、またはモバイル・セキュリティ・システム３４５を介して、インターネットなどのネットワークに結合されることが可能である。データ記憶デバイス４３０とメモリ４３５は、異なるユニットとして図示されているものの、データ記憶デバイス４３０とメモリ４３５は、同一のユニット、分散されたユニット、仮想メモリなどの部分であることも可能であることが、当業者には認識されよう。
【００２３】
データ記憶デバイス４３０および／またはメモリ４３５は、Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓ ＸＰ、ＩＢＭ ＯＳ／２オペレーティング・システム、ＭＡＣ ＯＳ、ＵＮＩＸ（登録商標） ＯＳ、ＬＩＮＵＸ ＯＳなどのオペレーティング・システム４４０、および／または他のプログラム４４５を格納することが可能である。好ましい実施形態は、言及されるプラットフォームおよびオペレーティング・システム以外のプラットフォーム上、およびオペレーティング・システム上で実施されることも可能であることが認められよう。或る実施形態は、場合により、オブジェクト指向プログラミング方法を使用して、ＪＡＶＡ言語、Ｃ言語、および／またはＣ＋＋言語、あるいは他のプログラミング言語を使用して書かれることが可能である。
【００２４】
コンピュータ・システム４００は、ネットワーク接続などのさらなる情報、さらなるメモリ、さらなるプロセッサ、ＬＡＮ、ハードウェア・チャネル、インターネット、またはイントラネットなどを通じて情報を転送するための入力／出力線などを含むことも可能であることが、当業者には認識されよう。また、それらのプログラムおよびデータは、代替の仕方でシステムによって受信され、システムの中に格納されてもよいことも、当業者には認識されよう。例えば、磁気ディスク・ドライブ、ハードディスク・ドライブ、光磁気リーダ、ＣＰＵなどのＣＲＳＭ（コンピュータ可読記憶媒体）リーダ４５０が、磁気ディスク、ハードディスク、光磁気ディスク、ＲＡＭなどのＣＲＳＭ（コンピュータ可読記憶媒体）４５５を読み取るために通信バス４１０に結合されることが可能である。したがって、コンピュータ・システム４００は、ＣＲＭＳリーダ４５０を介してプログラムおよび／またはデータを受け取ることができる。さらに、本明細書における「メモリ」という用語は、永久であるか、一時的であるかにかかわらず、すべてのデータ記憶媒体を範囲に含むことを意図していることが認められよう。
【００２５】
図５は、本発明の実施形態によるモバイル・セキュリティ・システム３４５の詳細を示すブロック図である。モバイル・セキュリティ・システム３４５は、アダプタ／ポート／ドライバ５０５と、メモリ５１０と、プロセッサ５１５と、モバイル・セキュリティ・システムのオペレーティング・システムおよびその他のアプリケーションのセキュリティで保護されたバージョンを格納するプリブート・フラッシュ／ＲＯＭメモリ・モジュール５２０と、ネットワーク接続モジュール５２５と、セキュリティ・エンジン５３０と、セキュリティ・ポリシー５３５と、セキュリティ・データ５４０と、遠隔管理モジュール５５０と、配信モジュール５５５と、バックアップ・モジュール５６０とを含む。これらのモジュールは、モバイル・セキュリティ・システム３４５内にあるものとして示されるものの、これらのモジュールの多くは、別の場所、例えば、セキュリティ・アドミニストレータ３２５上、またはモバイル・セキュリティ・システム３４５と通信する第三者システム上に配置されることも可能であることが、当業者には認識されよう。モバイル・セキュリティ・システム３４５は、ポケット・サイズ、ハンドヘルド・サイズ、またはキーチェーン・サイズの筐体内にあることが可能であり、あるいは、場合により、より小さいことが可能である。さらに、モバイル・セキュリティ・システム３４５は、移動デバイス３１０内部に組み込まれてもよい。
【００２６】
アダプタ／ポート／ドライバ５０５には、ＵＳＢポート、イーサネット（登録商標）・ポート、ＷｉＦｉポート、ＷｉＭＡＸポート、ＧＳＭポート、ＣＤＭＡポート、ＢｌｕｅＴｏｏｔｈポート、ＰＣＭＣＩＡポート、および／またはモバイル・セキュリティ・システム３４５上の他の接続データ・ポートのための接続機構（ソフトウェア、例えば、ドライバを含む）が含まれる。一実施形態では、アダプタ／ポート／ドライバ５０５は、複数のデバイス３１０にネットワーク・セキュリティをもたらすように複数のデバイス３１０への接続が可能であり得る。
【００２７】
メモリ５１０およびプロセッサ５１５は、モバイル・セキュリティ・システム３４５上でオペレーティング・システムおよびアプリケーションを実行する。この実施例では、プリブート・フラッシュ５２０が、オペレーティング・システムおよびアプリケーションを格納する。起動時に、オペレーティング・システムおよびアプリケーションは、実行のためにプリブート・フラッシュ５２０からメモリ５１０にロードされる。オペレーティング・システムおよびアプリケーションは、ランタイム中にユーザによってアクセスされ得ないプリブート・フラッシュ５２０の中に格納されるので、オペレーティング・システムおよびアプリケーションは、破壊可能ではない。メモリ５１０の中のオペレーティング・システムおよびアプリケーションのコピーが、例えば、悪意のあるコードによって、破壊されるようなことがあった場合、オペレーティング・システムおよびアプリケーションは、例えば、再起動時に、プリブート・フラッシュ５２０からメモリ５１０に再びロードされることが可能である。プリブート・フラッシュ５２０内に格納されるものとして示されているが、ＯＳおよびアプリケーションは、ＲＯＭ，ＰＲＯＭ、ＥＥＰＲＯＭなどの他の読み取り専用メモリ内にセキュリティで保護されて格納されることも可能である。
【００２８】
モバイル・セキュリティ・システム３４５上のメモリ（メモリ５１０およびプリブート・フラッシュ５２０を含む）は、以下のとおり、区域に分割されることが可能である。
【００２９】
【表１】
【００３０】
各回の「ハード」再起動時に、モバイル・セキュリティ・システム３４５のブート・ローダ（区域１に存在する）が、区域１から区域２にカーネルおよびセキュリティ・アプリケーション（新規の変更されていないコピー）をコピーする。このことにより、各回に、ＯＳおよびアプリケーションのクリーンなバージョンが、区域２にロードされるようになる。そのようにすると、或る特殊なモバイル・セキュリティ・システム３４５攻撃が開発された場合、ＯＳおよびアプリケーションが、ランタイム中にメモリ区域１にアクセスすることがあらかじめ起きないようにされているので、その攻撃は、システムを感染させることができない。さらに、メモリ５１０に達するいかなる攻撃も、１回しか実行することができず、ハード再起動時に消滅する。感染検出時に、モバイル・セキュリティ・システム３４５を自動的に再起動するトリガ機構が、利用可能であり得る。
【００３１】
ネットワーク接続モジュール５２５は、ＷｉＦｉ、ＷｉＭＡＸ、ＣＤＭＡ、ＧＳＭ、ＧＰＲＳ、イーサネット、モデムなどを含むネットワーク通信ハードウェア／ソフトウェアを介して、例えば、インターネット３３０またはイントラネット３１５への、ネットワーク接続を可能にする。例えば、移動デバイス３１０を、ＷｉＦｉ接続を介してインターネット３３０に接続することを望む場合、アダプタ／ポート／ドライバ５０５が、移動デバイス３１０のＰＣＩポート、ＵＳＢポート、またはＰＣＭＣＩＡポートに接続されることが可能であり、さらにモバイル・セキュリティ・システム３４５のネットワーク接続モジュール５２５が、無線アクセス・ポイントに接続するためのＷｉＦｉネットワーク・インタフェース・カードを含むことが可能である。ネットワーク接続モジュール４２５を使用して、モバイル・セキュリティ・システム３４５は、移動デバイス３１０のためのセキュリティで保護されたゲートウェイとしてネットワークと通信することが可能である。その他の接続アーキテクチャが、図１０Ａ〜図１０Ｃに示される。
【００３２】
セキュリティ・エンジン５３０は、ＩＴマネージャによってともに開発されることが可能な、セキュリティ・ポリシー５３５およびセキュリティ・データ５４０に基づいて、セキュリティ・プログラムを実行する。セキュリティ・エンジン５３０は、ファイアウォール、ＶＰＮ、ＩＳＰ／ＩＤＳ、ウイルス対策ソフト、スパイウェア対策ソフト、悪意のあるコンテンツ・フィルタリング、多層セキュリティ・モニタ、Ｊａｖａモニタおよびバイトコード・モニタなどを含むことが可能である。各セキュリティ・エンジン５３０は、エンジン５３０が、いずれの手続き、コンテンツ、ＵＲＬ、システム・コールなどを許すことができる、または許すことができないかを示す専用のセキュリティ・ポリシー５３５およびセキュリティ・データ５４０を有することが可能である。セキュリティ・エンジン５３０、セキュリティ・ポリシー５３５、およびセキュリティ・データ５４０は、ネットワーク・セキュリティ・システム３２０上のエンジン、ポリシー、およびデータと同一であっても、これらのサブセットであっても、さらに／またはこれらから開発されてもよい。
【００３３】
ウイルス対策ソフトウェアおよびスパイウェア対策ソフトウェアによって提供される、より高いセキュリティ・レベルをもたらすのに、各モバイル・セキュリティ・システム３４５上のセキュリティ・エンジン５３０は、コンテンツ解析アルゴリズムおよびリスク評価アルゴリズムを実施することができる。例えば、ＯＳＩ層７以上（層７内にカプセル化されたモバイル・コード）において動作して、これらのアルゴリズムは、規則エンジンおよび規則更新によって制御されることが可能な専用のＨＲＣＦ（高リスク・コンテンツ・フィルタリング）によって実行されることが可能である。ＨＲＣＦは、深いコンテンツ解析を実行して、リアルタイム・コンテンツ・タイプを検証することができる強力な検出ライブラリに基づく。このことは、多くの攻撃が、誤ったＭＩＭＥタイプの中に隠されており、さらに／または高度なトリックを用いて、危険なアクティブ・スクリプトもしくはＡｃｔｉｖｅ Ｘコンテンツ・タイプにテキスト・ファイル・タイプを与える可能性があるからである。ＨＲＣＦは、ＵＲＬカテゴリに基づく自動規則調整のためにＵＲＬ分類セキュリティ・エンジン５３０と一体化することが可能である。一実施形態では、リスク・レベルが高まると、（説明される機構を使用して）モバイル・セキュリティ・システム３４５は、トラフィックから、よりアクティブなコンテンツを除去するようにフィルタリングを自動的に調整し、高めることが可能である。例えば、より高いリスクが特定された場合、モバイル・コード、例えば、Ｊａｖａスクリプト、ＶＢスクリプトなどのすべてが、取り除かれることが可能である。
【００３４】
法人ポリシー・サーバ・レガシー・システムと一体化するための３つの態様には、以下に説明される規則、ＬＤＡＰ−アクティブ・ディレクトリ、およびログ記録−報告が含まれる。一実施形態では、セキュリティ・アドミニストレータ３２５上で実行されるポリシー・インポート・エージェントが、Ｃｈｅｃｋｐｏｉｎｔ Ｆｉｒｅｗａｌｌ−１およびＣｉｓｃｏ ＰＩＸ Ｆｉｒｅｗａｌｌの規則ベースにアクセスし、それらの規則ベースをローカル・コピーにインポートする。規則解析モジュールが、重要な規則を処理し、モバイル・セキュリティ・システム３４５のためのそのまま使える規則およびポリシーを提供する。この提案されるポリシーは、企業３４０のファイアウォール・ポリシーを遵守する最適な規則をすべてのモバイル・セキュリティ・システム３４５に提供する。エージェントは、定期的に実行されて変更を反映し、モバイル・セキュリティ・システム３４５ポリシー５３５に関する更新を生成する。ＬＤＡＰ−アクティブ・ディレクトリは、ディレクトリ・サービスと一体化されて、企業のディレクトリ定義に応えるモバイル・セキュリティ・システム３４５セキュリティ・ポリシー５３５を維持する。例えば、ＬＤＡＰユーザ・グループ「Ｇ」に関する法人ポリシーが、「Ｇ」グループの中のすべてのモバイル・セキュリティ・システム３４５に自動的に伝播することが可能である。モバイル・セキュリティ・システム３４５ローカル・ログおよび監査証跡が、ログ記録−報告ポリシーに従って、セキュリティ・アドミニストレータ３２５において格納される中央ログに送られることが可能である。ウェブ・インタフェースを使用して、ＩＴは、すべての移動デバイス３１０ユーザ、これらのユーザのインターネット体験、および感染したデバイスを企業３４０に持ち帰ろうとする試みと関係するレポートおよび監査ビューを生成できることが可能である。ＩＴは、ＳＹＳＬＯＧ ＴｒａｐおよびＳＮＭＰ Ｔｒａｐを介して、イベント・レコードおよびログ・レコードをレガシー管理システムに転送することができる。
【００３５】
セキュリティ・エンジン５３０は、重み付きリスク解析を実行することができる。例えば、セキュリティ・エンジン５３０は、インターネット３３０から着信するトラフィックを含め、ＨＴＴＰ、ＦＴＰ、ＳＭＴＰ、ＰＯＰ３、ＩＭ、Ｐ２Ｐなどを解析することができる。セキュリティ・エンジン５３０は、すべてのオブジェクトに、そのオブジェクトのタイプ、複雑度、能力の豊かさ、そのオブジェクトのソースなどに基づいて、重みおよびランクを割り当てることができる。セキュリティ・エンジン５３０は、知られている危険なソース、または知られている安全なソースのリストを使用して、ソースに基づいて重みを割り当てることができる。セキュリティ・エンジン５３０は、ソース、例えば、賭博ソース、アダルト・コンテンツ・ソース、ニュース・ソース、評判のよい会社ソース、銀行業ソースなどのカテゴリに基づいて、オブジェクトに重みを割り当てることができる。セキュリティ・エンジン５３０は、重みを計算することができ、さらにその結果に基づいて、コンテンツへのアクセス、スクリプトが実行されること、システム変更が行われることなどが許されるか、許されないかを決定することができる。セキュリティ・エンジン５３０は、ユーザ・コンテンツを「学習する」ことができ（所定の期間にわたって、ユーザがアクセスする全般的なコンテンツを解析することによって）、それに相応して、パーソナル・コンテンツ・プロファイルを作成することができる。パーソナル・コンテンツ・プロファイルは、ランタイム解析中にコンテンツに割り当てられる重みを較正するのに使用されて、精度を向上させ、特定のユーザ特性に重み付きリスク解析を合わせることが可能である。
【００３６】
一部の実施形態では、セキュリティ・エンジン５３０、セキュリティ・ポリシー５３５、およびセキュリティ・データ５４０は、モバイル・セキュリティ・システム３４５を迂回することを可能にすることができる。セキュリティ・アドミニストレータ３２５によって設定されるセキュリティ・ポリシー５３５は、信頼される企業３４０の外部にいる場合、モバイル・セキュリティ・システム３２５を介するネットワーク接続を強制する特殊な属性を含むことが可能である。このため、この属性が「オン」に設定されている場合、移動デバイス３１０が、モバイル・セキュリティ・システム３４５なしに、信頼される企業３４０の内部からではなくインターネット３３０に接続しようと試みると、ＬＡＮ接続、ＵＳＢネット、モデム、Ｂｌｕｅｔｏｏｔｈ、ＷｉＦｉなどを含むすべてのデータ転送接続が、閉じられることが可能である。移動デバイス３１０は、完全に隔離され、インターネット３３０を含め、いずれのネットワークにも接続することができないことが可能である。
【００３７】
一実施形態では、以上を可能にするのに、モバイル・セキュリティ・システム３４５を、例えば、ＵＳＢケーブルを使用して（電力とＵＳＢ接続の両方をもたらすため）移動デバイス３１０に最初に接続する際、ＵＳＢプラグアンドプレイ・デバイス・ドライバが、移動デバイス３１０に送り込まれる。インストールされるドライバは、モバイル・セキュリティ・システム３４５のためのＵＳＢネット接続を可能にする「Ｌｉｎｕｘ．ｉｎｆ」であることが可能である。この接続は、モバイル・セキュリティ・システム３４５が、ＵＳＢポートを介して、さらに移動デバイス３１０ネットワーク接続に加え、さらなるコード（「接続クライアント」）を使用して、インターネット３３０にアクセスすることを可能にする。Ｗｉｎｄｏｗｓ実施例において、接続クライアントは、図６に示されるすべてのネットワーク接続のすべてのネットワーク・インタフェース・カードより上の、移動デバイス３１０のＮＤＩＳレベルにおいてインストールされることが可能である。この実装は、ＮＤＩＳ ＩＭ（Ｉｎｔｅｒｍｅｄｉａｔｅ）Ｄｒｉｖｅｒとして、またはＮＤＩＳ−Ｈｏｏｋｉｎｇ Ｆｉｌｔｅｒ Ｄｒｉｖｅｒとして行われる。両方の実装は、カーネル・レベルで行われることが可能であり、したがって、エンド・ユーザは、接続クライアントを止めること、または除去することができない。移動デバイス３１０を起動する際、接続クライアントは、信頼される企業３４０内部で、ローカルでセキュリティ・アドミニストレータ３２５またはネットワーク・セキュリティ・システム３２０に接続しようと試みることが可能である。ノードが、見つからない場合（ＶＰＮを介して見つけることは、ローカルＬＡＮ内で見つからないことと見なされる）、接続クライアントは、接続クライアントが、信頼される企業３４０の外部から機能しているものと想定し、例えば、ＵＳＢネットまたは他の接続機構を介して、モバイル・セキュリティ・システム３４５が接続されていることを見出すものと予期する。モバイル・セキュリティ・システム３４５が見つからない場合、接続クライアントは、いずれのネットワーク接続へのいずれの通信も回避することが可能である。ポリシー定義により、この振舞いは、移動デバイス３１０にインストールされたＶＰＮを介する企業３４０への通信を許すように変更されることが可能である。同様に、移動デバイス・システム３４５障害が生じた場合、すべてのトラフィックは、企業３４０へのＶＰＮ接続を除き、ディセーブルにされることが可能である。
【００３８】
ＮＤＩＳは、カーネル・レベルでトラフィックをインターセプトする１つの可能な実施形態であることが認められよう。例えば、別の実施形態では、システムは、Ｗｉｎｓｏｃｋをつなぐ、または将来のＷｉｎｄｏｗｓバージョンにあることが可能な他の仕方を適用することが可能である。
【００３９】
モバイル・セキュリティ・システム３４５が、複数の移動デバイス３１０をサポートする実施形態において、セキュリティ・エンジン５３０、セキュリティ・ポリシー５３５およびセキュリティ・データ５４０は、（例えば、例えばユーザ選好またはＩＴ決定に基づいて）各移動デバイス３１０ごとに異なることが可能である。代替として、システム３４５は、接続されたすべてのデバイス３１０に同一のエンジン５３０、ポリシー５３５、およびデータ５４０を適用することができる。
【００４０】
遠隔管理モジュール５５０が、セキュリティ・アドミニストレータ３２５（および／または他のセキュリティ・アドミニストレータ）との通信を可能にし、さらにシグネチャおよび他のアプリケーションを含むセキュリティ・エンジン５３０、セキュリティ・ポリシー５３５、セキュリティ・データ５４０のローカル更新を可能にする。一実施形態では、セキュリティ・ポリシー５３５およびデータ５４０の変更は、セキュリティ・アドミニストレータ３２５だけによってしか行われ得ない。モバイル・セキュリティ・システム３４５の遠隔管理モジュール５５０は、例えば、セキュリティで保護された接続を介してセキュリティ・アドミニストレータ３２５上で、ＵＡＤ（更新権限デバイス）から更新を受信することができる。ＵＡＤは、インターネット３３０上に位置する顧客ＩＴセンタにおける更新サーバ上で動作して、更新を管理することを任された、企業５４０に属さない可能性があるモバイル・セキュリティ・システム３４５に更新を転送することができる。ＵＡＤは、モバイル・セキュリティ・システム３４５上で動作してもよい。セキュリティ・エンジン５３０は、ウイルス対策エンジンＤＬＬなどを変更することが可能である。ＯＳ更新およびセキュリティ・アプリケーション更新は、セキュリティ・アドミニストレータ３２５に接続されている間に、暗号化され、認証された接続を介して、企業５４０の内部だけから実施されることが可能である。
【００４１】
セキュリティ・アドミニストレータ３２５は、移動中のユーザへの遠隔サポートのためにＵＲＬブラック・リストおよびＵＲＬホワイト・リストを変更することができる。偽陽性が生じた場合、セキュリティ・アドミニストレータ３２５は、予防的なヒューリスティクス・セキュリティを迂回するが、それでも、ファイアウォール、ウイルス対策ソフト、ＩＰＳ／ＩＤＳなどによって監視することによって、いくつかのＵＲＬへのアクセスを許すことが可能である。さらなる遠隔デバイス管理フィーチャは、セキュリティ・アドミニストレータ３２５が、遠隔診断を実行すること、ローカル・ログにアクセスすること、モバイル・セキュリティ・システム３４５上で構成パラメータなどを変更することを可能にすることができる。セキュリティ・アドミニストレータ３２５は、タスクを、サポートのためのヘルプデスクに委任してもよい。
【００４２】
遠隔管理モジュール５５０は、図７に示されるとおり、セキュリティ・アドミニストレータ３２５上に、または別のシステム上に存在することが可能なウィザード（例えば、ウィザード７４５）と通信することができる。ウィザード７４５の詳細、および遠隔管理モジュール５５０とウィザード７４５の間の通信スキームの詳細は、図７を参照して後段で説明される。
【００４３】
配信モジュール５５５は、モバイル・セキュリティ・システム３４５による、他のＮ個のモバイル・セキュリティ・システム３４５への更新、例えば、規則更新を含むセキュリティ・ポリシー５３５更新、シグネチャ更新を含むセキュリティ・データ５４０更新、セキュリティ・エンジン５３０更新、アプリケーション／ＯＳ更新などの配信を可能にする。これらの更新が転送されるべき他のＮ個のモバイル・セキュリティ・システム３４５を識別するルーティング・テーブルが、配信モジュール５５５に供給されて、システム３４５−システム３４５間通信が可能にされることが可能である。更新は、セキュリティ・アドミニストレータ３２５によって設定されたポリシーに従って実施されることが可能である。更新を転送する際、配信モジュール５５５は、ＵＡＤの役割をする。
【００４４】
各モバイル・セキュリティ・システム３４５は、定期的に、所定の時刻に、ログイン時になど、そのシステム３４５のルーティング・テーブルをセキュリティ情報更新と一緒に獲得することができる。ルーティング・テーブルは、サーバ上に、例えば、セキュリティ・アドミニストレータ３２５上、または別のモバイル・セキュリティ・システム３４５上に保持されることが可能である。一実施形態では、モバイル・セキュリティ・システム３４５は、このサーバに接触して、ルーティング・テーブルを取り出すことができる。代替として、このサーバが、ルーティング・テーブルをモバイル・セキュリティ・システム３４５にプッシュしてもよい。
【００４５】
配信モジュール５５５は、図９に示されるとおり、迅速な更新を可能にすることができる。現在、入手可能なすべての市販のウイルス対策製品は、ウイルスが広がるより速くデバイスを更新することはない。新たなウイルス攻撃が、例えば、シグネチャ更新より速く広がらないことを確実にするのに、各モバイル・セキュリティ・システム３４５が、アクティブなＵＡＤであることが可能である。一実施形態では、図９に示されるとおり、各モバイル・セキュリティ・システム３４５は、シグネチャ更新を他の４つのデバイス３４５に転送することを担う。当業者には認識されるとおり、すべてのデバイス３４５が、同一の数の他のデバイス３４５に転送する必要がある。複数のデバイス３４５が、同一のデバイス３４５に転送することを担ってもよい。必要な場合、活性化されたオフライン・デバイス３４５が、ルーティング・テーブル更新のために、サーバ、例えば、セキュリティ・アドミニストレータ３２５にポーリングすることが可能である。他の多くの更新技術も可能である。
【００４６】
バックアップ・モジュール５６０は、移動デバイス３１０のブート・セクタおよびシステム・ファイルのイメージおよび変更をフラッシュ・メモリ５２０に、または別の永続メモリ・デバイスに絶えずバックアップすることが可能である。つまり、移動デバイス３１０のシステム・セクタまたはブート・セクタが失われることを含め、重大な障害が生じた場合、モバイル・セキュリティ・システム３４５は、再起動中にＣＤ−ＲＯＭとして識別されることが可能であり、バックアップ・モジュール（または別個のプログラム）を立ち上げて、移動デバイス３１０上のブート・セクタおよびシステム・ファイルを復元して、ＩＴサポートの必要なしに移動デバイス３１０を回復することが可能である。ネットワーク・セキュリティ・システム３４５が複数の移動デバイス３１０をサポートする実施形態において、バックアップ・モジュール５６０は、移動デバイス３１０のそれぞれに関して、ブート・セクタおよびシステム・ファイルが異なる場合、別個のブート・セクタおよびシステム・ファイルを含むことが可能である。
【００４７】
図７は、本発明の実施形態によるスマート・ポリシー更新システム７００の詳細を示すブロック図である。システム７００は、ネットワーク・セキュリティ・システム３２０およびモバイル・セキュリティ・システム３４５に結合されたセキュリティ・アドミニストレータ３２５を含む。ネットワーク・セキュリティ・システム３２０は、ウイルス対策エンジン７１５、ＩＳＰ／ＩＤＳエンジン７２０、ファイアウォール・エンジン７２５、およびその他のセキュリティ・エンジンを含むセキュリティ・エンジン７０５を含む。また、ネットワーク・セキュリティ・システム３２０は、ウイルス対策ポリシー−データ７３０、ＩＰＳ／ＩＤＳポリシー−データ７３５、ファイアウォール・ポリシー−データ７４０、およびその他のポリシー−データを含むセキュリティ・ポリシー−データ７１０も含む。同様に、モバイル・セキュリティ・システム３４５は、ウイルス対策エンジン７５５、ＩＰＳ／ＩＤＳエンジン７６０、ファイアウォール・エンジン７６５、およびその他のエンジンを含む。また、モバイル・セキュリティ・システム３４５は、ウイルス対策セキュリティ・ポリシー−データ７７０、ＩＳＰ／ＩＤＳセキュリティ・ポリシー−データ７７５、ファイアウォール・セキュリティ・ポリシー−データ７８０、およびその他のセキュリティ・ポリシー−データを含むセキュリティ・ポリシー−データ５３５／５４０も含む。
【００４８】
セキュリティ・アドミニストレータ３２５は、モバイル・セキュリティ・システム３４５上のセキュリティ・エンジン５３０、セキュリティ・ポリシー５３５、およびセキュリティ・データ５４０の実質的に自動的な初期セットアップ、および、場合により、動的セットアップを可能にするためのウィザード７４５を含む。一実施形態では、ウィザード７４５は、ネットワーク・セキュリティ・システム３２０のすべてのセキュリティ・エンジン７０５およびポリシー−データ７１０を、モバイル・セキュリティ・システム３４５上にセキュリティ・エンジン５３０およびポリシー−データ５３５／５４０として自動的にロードすることができる。別の実施形態では、ウィザード７４５は、無関係であると知られているセキュリティ・エンジンおよびポリシー−データ、例えば、経理によって使用される料金請求ソフトウェアと関係するセキュリティ・エンジンおよびポリシー−データ、ウェブ・サーバ上でだけ実行されているウェブ・ソフトウェアと関係するセキュリティ・エンジンおよびポリシー−データなどを除いて、すべてのセキュリティ・エンジン７０５およびポリシー−データ７１０を含むことが可能である。別の実施形態では、エンジン５３０は、ＩＴマネージャによってロードされる必要があり、ウィザード７４５によって自動的にロードされることはない。
【００４９】
一実施形態では、ウィザード７４５は、モバイル・セキュリティ・システム３４５が、或る特定のセキュリティ・エンジン５３０、例えば、ウイルス対策エンジン７５５、ＩＰＳ／ＩＤＳエンジン７６０、ファイアウォール・エンジン７６５などを要求するかどうかを判定することができる。要求すると判定された場合、ウィザード７４５は、そのエンジン５３０をモバイル・セキュリティ・システム３４５上にロードする。次に、ウィザード７４５は、いずれのポリシー−データ・セットが、例えば、ウイルス対策エンジン７５５のためのいくつか、ＩＳＰ／ＩＤＳエンジン７６０のためのいくつか、ファイアウォール・エンジン７６５のためのいくつかが、モバイル・セキュリティ・システム３４５に重要であるかを判定する。次に、ウィザード７４５は、ネットワーク・セキュリティ・システム３２０上のウイルス対策ポリシー−データ７３０のいずれが、モバイル・セキュリティ・システム３４５上のウイルス対策ポリシー−データ７７０に関係があるか、ネットワーク・セキュリティ・システム３２０上のＩＰＳ／ＩＤＳポリシー−データ７３５のいずれが、モバイル・セキュリティ・システム３４５上のＩＰＳ／ＩＤＳポリシー−データ７７５に関係があるか、ネットワーク・セキュリティ・システム３２０上のファイアウォール・ポリシー−データ７４０のいずれが、モバイル・セキュリティ・システム３４５上のファイアウォール・ポリシー−データ７８０に関係があるか、およびネットワーク・セキュリティ・システム３２０上のその他のポリシー−データのいずれが、モバイル・セキュリティ・システム３４５上のポリシー−データに関係があるかを判定する。前述したとおり、ウィザード７４５は、モバイル・セキュリティ・システム３４５上ですべてのセキュリティ・エンジン７０５が必要とされると判定することも、サブセットだけが必要とされると判定することも可能である。ウィザード７４５は、所与のエンジン・タイプに関するすべてのポリシー−データ７１０が転送されるべきであると判定することも、サブセットだけが転送されるべきであると判定することも可能である。ウィザード７４５は、ＩＴマネージャによって開発された規則、セットアップ手続き中のアイテムごとの選択などに基づいて、いずれの関係のあるポリシー−データ７１０が、モバイル・セキュリティ・システム３４５に転送されるべきかを判定することができる。ウィザード７４５の代替として、ＩＴマネージャが、ウィザード７４５なしに、モバイル・セキュリティ・システム３４５上でエンジン５３０およびポリシー−データ５３５／５４０をセットアップすることもできる。
【００５０】
セキュリティ・アドミニストレータ３２５は、更新権限デバイス７５０を含むことも可能である。更新権限デバイス７５０は、セキュリティ・システム更新（例えば、シグネチャ更新）を獲得することができ、それらの更新をネットワーク・セキュリティ・システム３２０およびモバイル・セキュリティ・システム３４５に送信することができる。ネットワーク・セキュリティ・システム３２０への更新と、モバイル・セキュリティ・システム３４５への更新は、同一でなくてもよいことが当業者には認識されよう。さらに、更新権限デバイス７５０は、セキュリティ・マネージャ、セキュリティ・エンジン開発者、ウイルス対策専門家などから更新を獲得することが可能である。更新権限デバイス７５０は、これらの更新をすべてのネットワーク・セキュリティ・システム３２０、およびすべてのモバイル・セキュリティ・システム３４５に転送することができ、あるいはルーティング・テーブルをすべてのモバイル・セキュリティ・システム３４５に転送し、これらの更新をモバイル・セキュリティ・システム３４５の初期セットだけに転送することができる。モバイル・セキュリティ・システム３４５の初期セットは、図９に示されるプロセスと同様に、ルーティング・テーブルの中で識別されるモバイル・セキュリティ・システム３４５にＰ２Ｐの仕方で、これらの更新を転送することができる。前述したとおり、更新を転送するように動作している各モバイル・セキュリティ・システム３４５は、それ自体、更新権限デバイス７５０の役割をしている。
【００５１】
他のアプリケーションが、モバイル・セキュリティ・システム３４５上に含められてもよい。例えば、既存の顧客からの繰り返される収入に関するアドオン・アプリケーションに、一般的な電子メール・サービス、スパム対策サービス、直接の、セキュリティで保護された電子メール配信サービス、情報ボールト・サービス、安全なスカイプ・サービス、およびその他のインスタント・メッセージング・サービスなどが含まれることが可能である。
電子メール・セキュリティおよびスパム対策 モバイル・セキュリティ・システム３４５（前述のウェブ・セキュリティ・エンジンを含む）上のメール中継、およびローカル・スパム検疫（ＳｅｎｄＭａｉｌまたは類似したプロセスに基づく）の実施が、リアルタイム索引付け（オンライン・ウェブ・スパム・クウォリアを介する）を伴うスパム対策を含む完全なメール・セキュリティ・スイート（ＳＭＴＰおよびＰＯＰ３）を実施することができる。ユーザは、ウェブ・インタフェースを介して検疫へのアクセスを有して、スパム・メッセージを点検すること、メッセージを解放すること、スパム規則を変更し、カスタマイズすることなどができる。
−−メール中継に基づく直接の、セキュリティで保護された電子メール配信は、モバイル・セキュリティ・システム３４５が、経路上のメール・サーバを使用することなしに、１つのモバイル・セキュリティ・システム３４５から別のモバイル・セキュリティ・システム３４５に直接にユーザ電子メールを送信することを許す。このことは、法人ユーザが、インターネットにおいて伝送されて、経路上の様々な未知のメール・サーバ上に跡および複製を残す必要のない電子メールを送信することを許す。このことは、２つのモバイル・セキュリティ・システム間でセキュリティで保護されたパイプを使用する能力と相俟って、法人に貴重である。そのような方法なしには、人々が、メッセージを配信するのに使用された中間メール・サーバの中のコピーを探し出すことによって、企業のメール・サーバにアクセスすることなしに、電子メール交換を追跡することが可能である。
−−情報ボールト エンド・ユーザ情報を暗号化して、モバイル・セキュリティ・システム３４５上に格納するアプリケーションが、すべてのモバイル・セキュリティ・システム３４５上に実装されるウェブ・インタフェースおよびウェブ・サーバ（例えば、ＢＯＡ、Ａｐａｃｈｅなど）を介して、許可されたユーザだけに利用可能であることが可能である。
−−安全なスカイプおよび他のＩＭ モバイル・セキュリティ・システム３４５上にインスタント・メッセージング・クライアントを実装することにより、インスタント・メッセージング・システムまたはＰ２Ｐアプリケーションが、移動デバイス３１０上のデータへのアクセスを全く有さないことが保証されることが可能である。モバイル・セキュリティ・システム３２５上にサウンド・インタフェースをもたらすようにＡＣ／９７のチップセットを追加することにより、ユーザが、モバイル・セキュリティ・システム３２５に直接に話すこと、およびモバイル・セキュリティ・システム３２５から直接、呼を受信することが許されることが可能である。
【００５２】
図示されていないが、小型バッテリが、モバイル・セキュリティ・システム３４５に含められることが可能である。このバッテリは、ランタイム中にＵＳＢ接続によって、または任意の時点で電源アダプタを使用して充電されることが可能である。このバッテリは、例えば、ユーザが、ＵＳＢケーブルをモバイル・セキュリティ・システム３４５から外した際に、適切なシャットダウンを保証することができる。このシャットダウンは、アプリケーション・シャットダウンおよびシステム・シャットダウンを開始するシステムによって通知される。このことにより、ファイル・システム・バッファおよびフラッシング・オープン・ファイル・バッファの適切な状態が確実にされる。
【００５３】
多層防御−検出能力が、要求される。このことは、様々なシステム（ウイルス対策ソフト、ＩＤＳ／ＩＰＳ、ファイアウォール、スパイウェア対策ソフト、ＵＲＬカテゴリなど）のスキャン結果を絶えず監視している特殊なコードによって、様々なレベルで行われて、パズルが構築され、攻撃が、個々のサブシステムのそれぞれによって認識されない場合でさえ、その攻撃が識別されることが可能である。このことを行うことによって、モバイル・セキュリティ・システム３４５は、企業４５０内で提供されるセキュリティ・レベルを維持し、一部の事例では、向上させさえする。
【００５４】
モバイル・セキュリティ・システム３４５の１つの利用可能な利点は、エンド・ユーザが移動中に、または自宅から作業している間に、エンド・ユーザに対して企業５４０のポリシーを執行するシステム３４５の能力である。モバイル・セキュリティ・システム３４５は、企業５４０の内部から接続されている場合と同様のセキュリティ・エンジンおよびポリシーを使用し、さらにエンド・ユーザは、システム３４５なしにインターネット３３０にアクセスすることができない（企業５４０へのＶＰＮ接続を介して以外）ので、ＩＴは、企業５４０の境界を超えてＩＴのセキュリティ・ポリシーを執行できることが可能である。ＯＳは、ＩＴの完全な監督下にあることが可能である一方で、モバイル・セキュリティ・システム３４５ＯＳは、ＩＴの管理下でエンド・ユーザＯＳの役割をする。このことにより、誰がどのセキュリティをどのように管理するかという問題が解決され、生産性は最小限の危険にしか直面しない。
【００５５】
モバイル・セキュリティ・システム３４５のスタンドアロン・バージョンが、同一の機能を提供することができ、さらにウェブ・ブラウザを介してローカル管理インタフェースを提供することができる。ＩＴ部門を欠く自宅ユーザおよびスモール・オフィスに魅力的であることとして、モバイル・セキュリティ・システム３４５は、エンド・ユーザが、ブラウザを起動し、モバイル・セキュリティ・システム３４５に接続し、ホワイトＵＲＬリストおよびブラックＵＲＬリストを変更することなどを含め、様々なポリシー（更新ポリシー、セキュリティ規則など）を設定することなどを可能にする。また、エンド・ユーザに、契約によってモバイル・セキュリティ・システム３４５の遠隔管理のサービスを提供する機会も存在する。
【００５６】
図１０Ａ、図１０Ｂ、および図１０Ｃは、本発明の様々な実施形態による、モバイル・セキュリティ・システム３４５を移動デバイス３１０に接続する３つの例示的なアーキテクチャを示す。図１０Ａにおいて、移動デバイス３１０は、ＵＳＢ接続１０１５および１０２０を介してモバイル・セキュリティ・システム３４５に結合され、ＮＩＣカード１００５を介してインターネット３３０に結合される。移動デバイス３１０は、デバイス３１０のＮＩＣカード１００５を介してインターネット３３０からインターネット・トラフィックを受信する。移動デバイス３１０上のカーネル・レベル・リダイレクタ１０１０（例えば、ＮＤＩＳ、Ｗｉｎｓｏｃｋなどを介する）が、インターネット・トラフィックを、ＵＳＢ接続１０１５および１０２０を介してモバイル・セキュリティ・システム３４５に自動的にリダイレクトし、システム３４５は、そのインターネット・トラフィックをスキャンし、クリーンにし、クリーンにされたインターネット・トラフィックを、ＵＳＢ接続１０１５および１０２０を介して移動デバイス３１０に戻す。図１０Ｂにおいて、移動デバイス３１０は、ＵＳＢ接続１０２５および１０３０を介してモバイル・セキュリティ・システム３４５に結合される。モバイル・セキュリティ・システム３４５は、インターネット３３０からインターネット・トラフィックを受信するためのＮＩＣカード１０３５を含む。モバイル・セキュリティ・システム３４５は、インターネット・トラフィックをスキャンし、クリーンにし、ＵＳＢ接続１０２５および１０３０を介して移動デバイス３１０に転送する。図１０Ｃにおいて、移動デバイス３１０は、ＮＩＣカード１０４０および１０４５を介してモバイル・セキュリティ・システム３４５に結合される。モバイル・セキュリティ・システム３４５は、システム３４５のＮＩＣカード１０４５を介してインターネット３３０からインターネット・トラフィックを受信する。モバイル・セキュリティ・システム３４５は、そのインターネット・トラフィックをスキャンし、クリーンにし、ＮＩＣカード１０４０および１０４５を介して移動デバイス３１０に転送する。他の接続アーキテクチャも可能である。
【００５７】
図１２は、本発明の実施形態によるセキュリティで保護されたデータ交換システム１２００を示すブロック図である。セキュリティで保護されたデータ交換システム１２００は、セキュリティ・デバイス１２１０を介して外部デバイス１１１０に結合されたホスト・コンピュータ（ホスト）１２０５を含む。ホスト１２０５には、ラップトップ、デスクトップ、ＰＤＡ、移動電話機、またはその他のプロセッサ・ベースのデバイスが含まれることが可能である。外部デバイス１１１０は、ＵＳＢドライブ、外部ハードドライブ、ＰＤＡ、音楽プレーヤ、セル電話機などの、メモリを有する任意の外部デバイスであることが可能である。セキュリティ・デバイス１２１０は、ＥＤポート１２２５（ＵＳＢ接続、シリアル接続、パラレル接続、Ｆｉｒｅｗｉｒｅ接続、イーサネット接続、ＷｉＦｉ接続、ＷｉＭＡＸ接続、ＧＳＭ接続、ＣＤＭＡ接続、ＢｌｕｅＴｏｏｔｈ接続、ＰＣＭＣＩＡ接続、および／またはその他の接続）およびＥＤプラグ１２３０（ＵＳＢ接続、シリアル接続、パラレル接続、Ｆｉｒｅｗｉｒｅ接続、イーサネット接続、ＷｉＦｉ接続、ＷｉＭＡＸ接続、ＧＳＭ接続、ＣＤＭＡ接続、ＢｌｕｅＴｏｏｔｈ接続、ＰＣＭＣＩＡ接続、および／またはその他の接続）を介してホスト１２０５と通信するように結合される。外部デバイス１１１０は、ＥＤポート１２３５（ＵＳＢ接続、シリアル接続、パラレル接続、Ｆｉｒｅｗｉｒｅ接続、イーサネット接続、ＷｉＦｉ接続、ＷｉＭＡＸ接続、ＧＳＭ接続、ＣＤＭＡ接続、ＢｌｕｅＴｏｏｔｈ接続、ＰＣＭＣＩＡ接続、および／またはその他の接続）およびＥＤプラグ１１２０（ＵＳＢ接続、シリアル接続、パラレル接続、Ｆｉｒｅｗｉｒｅ接続、イーサネット接続、ＷｉＦｉ接続、ＷｉＭＡＸ接続、ＧＳＭ接続、ＣＤＭＡ接続、ＢｌｕｅＴｏｏｔｈ接続、ＰＣＭＣＩＡ接続、および／またはその他の接続）を介してセキュリティ・デバイス１２１０と通信するように結合される。ＥＤポート１２２５とＥＤプラグ１２３０の組み合わせのコネクタ・タイプは、ＥＤポート１２３５とＥＤプラグ１１２０の組み合わせのコネクタ・タイプとは異なることが可能である。一実施形態では、すべてのポート１２２５／１２３５、およびすべてのプラグ１２３０／１１２０は、ＵＳＢである。プラグ１１２０／１２３０は、オスとして示され、ポート１２２５／１２３５は、メスとして示されるものの、その逆が可能である（プラグ１１２０／１２３０が、メスであることが可能であり、ポート１２２５／１２３５が、オスであることが可能である）ことが、当業者には認識されよう。
【００５８】
ホスト１２０５は、列挙を実行し、セキュリティ・デバイス１２１０との通信を可能にするためのＥＤドライバ１２２０を含む。同様に、セキュリティ・デバイス１２１０は、列挙を実行し、外部デバイス１１１０との通信を可能にするためのＥＤドライバ１２４５を含む。
【００５９】
一実施形態では、セキュリティ・デバイス１２１０は、ウイルス、スパイウェア、アドウェア、トロイの木馬などの悪意のあるコードから保護し、さらにプライベート・データの転送を防ぐセキュリティ・ポリシーを執行することができるプログラマブル・ハードウェア機器を含む。一実施形態では、セキュリティ・デバイス１２１０は、ホスト１２０５と外部デバイス１２１５をともに保護するように構成される。一実施形態では、セキュリティ・デバイス１２１０は、外部デバイス１１１０またはホスト１２０５のいずれかだけを保護するように構成される。セキュリティ・デバイス１２１０のさらなる詳細が、図１３および図１４を参照して与えられる。
【００６０】
図１３は、本発明の実施形態によるセキュリティ・デバイス１２１０の詳細を示すブロック図である。セキュリティ・デバイス１２１０は、通信チャネル１３１５に結合された、Ｉｎｔｅｌ Ｐｅｎｔｉｕｍ（登録商標）マイクロプロセッサまたはＭｏｔｏｒｏｌａ Ｐｏｗｅｒ ＰＣ（登録商標）マイクロプロセッサなどの、プロセッサ１３０５を含む。セキュリティ・デバイス１２１０は、通信チャネル１３１５にそれぞれ結合された、ＥＤプラグ１２３０、ＥＤポート１２３５、通信インタフェース１３１０、ＥＥＰＲＯＭなどのストレージ１３２０、およびＲＡＭ（ランダム・アクセス・メモリ）またはＲＯＭ（読み取り専用メモリ）などのメモリ１３２５をさらに含む。通信インタフェース１３１０は、インターネットなどのネットワークに結合されることが可能である。ストレージ１３２０とメモリ１３２５は、異なるユニットとして図示されているものの、データ記憶デバイス１３２０とメモリ１３２５は、同一のユニット、分散されたユニット、仮想メモリなどの部分であることも可能であることが、当業者には認識されよう。本明細書における「メモリ」という用語は、永久であるか、一時的であるかにかかわらず、すべてのデータ記憶媒体を範囲に含むことを意図している。セキュリティ・デバイス１２１０は、ネットワーク接続、さらなるメモリ、さらなるプロセッサ、ＬＡＮ、ハードウェア・チャネル、インターネット、またはイントラネットを介して情報を転送するための入力／出力線など、さらなる構成要素を含むことが可能であることが、当業者には認識されよう。
【００６１】
図示されるとおり、メモリ１３２５は、Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓ ＸＰ、ＩＢＭ ＯＳ／２オペレーティング・システム、ＭＡＣ ＯＳ、Ｕｎｉｘ ＯＳ、Ｌｉｎｕｘ ＯＳなどのオペレーティング・システム１３３０を格納する。好ましい実施形態は、言及されるプラットフォームおよびオペレーティング・システム以外のプラットフォーム上、およびオペレーティング・システム上で実施されることも可能であることが認められよう。或る実施形態は、場合により、オブジェクト指向プログラミング方法を使用して、ＪＡＶＡ言語、Ｃ言語、および／またはＣ＋＋言語、あるいは他のプログラミング言語を使用して書かれることが可能である。また、メモリ１３２５は、ＥＤドライバ１２４５およびセキュリティ・システム１３３５も格納する。ＥＤドライバ１２４５には、標準の外部デバイス１１１０のための標準のドライバ、および独自の外部デバイス１１１０のための独自のドライバが含まれることが可能である。ＥＤドライバ１２４５は、ＥＤプラグ１２３０を介してメモリ１３２５上に転送されることが可能である。セキュリティ・システム１３３５は、ホスト１２０５と外部デバイス１１１０の間のデータ転送アクションに対してセキュリティ・ポリシーを執行するためのコードを含む。
【００６２】
図１４は、本発明の実施形態によるセキュリティ・システム１３３５の詳細を示すブロック図である。セキュリティ・システム１３３５は、セキュリティ・マネージャ１４０５、セキュリティ・エンジン１４１０、セキュリティ・ポリシー１４１５、およびセキュリティ・データ１４２０を含む。
【００６３】
一実施形態では、セキュリティ・マネージャ１４０５は、列挙、すなわち、外部デバイス１１１０または外部デバイス１１１０タイプを識別すること、およびセキュリティ・デバイス１２１０と外部デバイス１１１０の間で通信を確立することができる、対応するＥＤドライバ１２４５を識別することを実行するためのコードを含む。また、セキュリティ・マネージャ１４０５は、セキュリティ・ポリシー１４１５およびセキュリティ・データ１４２０に基づいて、様々なセキュリティ・エンジン１４１０の実行を制御して、データ転送要求またはその他のデバイス要求を評価するコードも含む。さらに、セキュリティ・マネージャ１４０５は、データ転送要求および／またはその他の要求のソースとなるホスト１２０５と通信するコードを含む。
【００６４】
一実施形態では、セキュリティ・エンジン１４１０は、セキュリティ・ポリシー１４１５およびセキュリティ・データ１４２０に基づいて、ホスト１２０５と外部デバイス１１１０の間のデータの転送をセキュリティで保護するためのコードを含む。セキュリティ・エンジン１４１０は、ファイアウォール、ウイルス対策ソフト、スパイウェア対策ソフト、悪意のあるコンテンツ・フィルタリング、多層セキュリティ・モニタ、Ｊａｖａモニタ、およびバイトコード・モニタなどを含むことが可能である。また、セキュリティ・エンジン１４１０は、データ・プライバシー・ポリシー１４１５を執行するデータ・プライバシー・モジュールを含むことも可能である。各セキュリティ・エンジン１４１０は、転送を要求されたデータが、いずれの手続き、ＵＲＬ、システム・コール、コンテンツ、ＩＤなどを含むことが可能であるか、または転送を要求されたデータが、転送不能（もしくはパスワードやＩＤなどのさらなるセキュリティ対策なしには転送不能）であると考えられるかどうかを示す専用のセキュリティ・ポリシー１４１５およびセキュリティ・データ１４２０を有することが可能である。
【００６５】
より高いセキュリティ・レベルをもたらすのに、セキュリティ・エンジン１４１０は、コンテンツ解析アルゴリズムおよびリスク評価アルゴリズムを実施することができる。一実施形態では、セキュリティ・エンジン１４１０は、すべての転送オブジェクトに関して、そのオブジェクトのタイプ、複雑度、能力の豊かさ、ソースなどに基づいて、重みおよびランクを割り当てる。セキュリティ・エンジン１４１０は、知られている危険なソース、または知られている安全なソースのリストを使用して、ソースに基づいて重みを割り当てることができる。セキュリティ・エンジン１４１０は、ソース、例えば、賭博ソース、アダルト・コンテンツ・ソース、ニュース・ソース、評判のよい会社ソース、銀行業ソースなどのカテゴリに基づいて、オブジェクトに重みを割り当てることができる。セキュリティ・エンジン１４１０は、重みを計算することができ、さらにその結果に基づいて、コンテンツへのアクセス、スクリプトが実行されること、システム変更が行われることなどが許されるか、許されないかを決定することができる。セキュリティ・エンジン１４１０は、ユーザ・コンテンツを「学習する」ことができ（所定の期間にわたって、ユーザがアクセスする全般的なコンテンツを解析することによって）、それに相応して、パーソナル・コンテンツ・プロファイルを作成することができる。パーソナル・コンテンツ・プロファイルは、ランタイム解析中にコンテンツに割り当てられる重みを較正するのに使用されて、精度を向上させ、特定のユーザ特性に重み付きリスク解析を合わせることが可能である。
【００６６】
このため、ホスト１２０５からデータ転送要求および／またはその他の要求を受信すると、セキュリティ・マネージャ１４０５は、セキュリティ・ポリシー１４１５に基づいて、適切なセキュリティ・エンジン１４１０を起動する。例えば、セキュリティ・ポリシー１４１５は、特定のＡｃｔｉｖｅＸコントロールが、ホストから外部デバイス１１１０上にロードされることを許さないように構成されることが可能である。セキュリティ・ポリシー１４１５は、ホスト１２０５上のプライベート・フォルダから外部デバイス１１１０へのデータ転送を許さないように構成されることが可能である。セキュリティ・マネージャ１４０５は、これらの例示的なセキュリティ・ポリシー１４１５が満足させられることを確実にする適切なセキュリティ・エンジン１４１０を起動する。さらに、セキュリティ・エンジン１４１０は、悪意のあるＡｃｔｉｖｅＸコントロール、プライベート・フォルダのロケーションなどの定義ファイルを含むことが可能なセキュリティ・データ１４２０を使用することが可能である。
【００６７】
図示されていないが、セキュリティ・システム１３３５は、図５を参照して前述した、ＯＳおよびアプリケーションを有するプリブート・フラッシュ５２０、遠隔管理モジュール５５０、配信モジュール５５５、バックアップ・モジュール５６０などのさらなる構成要素を含むことが可能である。また、他の構成要素も可能である。
【００６８】
図１５は、本発明の別の実施形態によるセキュリティで保護されたデータ交換システム１５００を示すブロック図である。セキュリティで保護されたデータ交換システム１５００は、セキュリティ・デバイス１５０５上のＥＤプラグ１５１５、およびホスト１５２０上の第１のＥＤポート１５２５を介してホスト１５２０と通信するように結合されたセキュリティ・デバイス１５０５を含む。また、セキュリティで保護されたデータ交換システム１５００は、外部デバイス１１１０上のＥＤプラグ１１２０、およびホスト１５２０上の第２のＥＤポート１５３５を介してホスト１５２０と通信するように結合された外部デバイス１１１０も含む。
【００６９】
外部デバイス１１１０は、セキュリティ・デバイス１５０５に直接に結合されないため、セキュリティ・デバイス１５０５は、外部デバイス１１１０とホスト１５２０の間でデータ転送要求を物理的にインターセプトしていない。したがって、この実施形態では、ホスト１５２０は、データ転送方向にかかわらず、外部デバイス１１１０とホスト１５２０の間でデータ転送要求をリダイレクトするように構成されたリダイレクト・ドライバ１５３０を含む。一実施形態では、セキュリティ・デバイス１５０５は、外部デバイス１１１０またはホスト１５２０のいずれかだけを保護するように構成されることが可能である。さらに、一実施形態では、セキュリティ・デバイス１５０５は、ＥＤドライバ、例えば、ＥＤドライバ１２４５を全く含まない。
【００７０】
一実施形態では、セキュリティ・デバイス１５０５が、ホスト１５２０に結合されていない場合、ホスト１５２０は、ＥＤドライバ１５４０を使用して外部デバイス１１１０と通信する。一実施形態では、ホスト１５２０は、セキュリティ・デバイス１５０５がホスト１５２０に結合されるまで、外部デバイス１１１０と通信しないように構成される。一実施形態では、ホスト１５２０は、パスワードおよびＩＤの受信などの、さらなるセキュリティ対策がとられている場合に限って、またはセキュリティ・デバイス１５０５がホスト１５２０に結合されるまで、ＥＤドライバ１５４０を使用して外部デバイス１１１０と通信する。
【００７１】
一実施形態では、ホスト１５２０は、セキュリティ・デバイス１５０５がＥＤポート１５２５に接続されると、セキュリティ・デバイス１５０５の列挙を行うことが可能である。セキュリティ・デバイス１５０５またはセキュリティ・デバイス１５０５タイプを識別すると、ホスト１５２０は、リダイレクト・ドライバ１５３０を開始して、他のすべてのＥＤポート１５３５からのすべてのデータ転送要求、または他の外部デバイス１１１０要求をセキュリティ・デバイス１５０５にリダイレクトすることができる。一実施形態では、リダイレクト・ドライバ１５３０は、プロキシとして外部デバイス１１１０の要求を提示するセキュリティ・デバイス１５０５からのデータ転送要求だけを受け付ける。一実施形態では、リダイレクト・ドライバ１５３０は、セキュリティ・デバイス１５０５が、検査を行い、許可を与えて初めて、外部デバイス１１１０から受信されたデータ転送要求を実行する。他のプロトコルも可能である。
【００７２】
図１６は、本発明の実施形態によるホストと外部デバイスの間のセキュリティで保護されたデータ交換の方法１６００を示す流れ図である。方法１６００は、ステップ１６０５で、セキュリティ・デバイス１５０５が、ホスト１５２０の第１のＥＤポート１５２５に接続されることから始まる。ステップ１６１０で、外部デバイス１１１０が、ホスト１５２０の第２のＥＤポート１５３５に接続される。ステップ１６１５で、ホスト１５０５が、列挙技術を実行してセキュリティ・デバイス１５０５および外部デバイス１１１０を識別し、適切なドライバ１５３０／１５４０をインストールしてセキュリティ・デバイス１５０５および外部デバイス１１１０との通信を可能にする。ステップ１６２０で、リダイレクト・ドライバ１５３０が、ホスト１５０５から外部デバイス１１１０への、または外部デバイス１１１０からホスト１５０５へのデータ転送要求を受信する。ステップ１６２５で、リダイレクト・ドライバ１５３０が、データ転送要求をセキュリティ・デバイス１５０５にリダイレクトし、デバイス１５０５は、ステップ１６３０で、このデータ転送要求に対してデバイス１５０５のセキュリティ・ポリシー（ウイルス対策、スパイウェア対策、アドウェア対策、データ・プライバシーなど）を執行する。ステップ１６３５で、セキュリティ・デバイス１５０５が、このデータ転送要求が、それらのセキュリティ・ポリシーに合格するかどうかを判定する。合格する場合、ステップ１６４０で、セキュリティ・デバイス１５０５が、このデータ転送要求を許可し、ステップ１６４５で、ホスト１５２０が、このデータ転送要求を実行する。合格しない場合、ステップ１６５０で、セキュリティ・デバイス１５０５が、このデータ転送要求を拒否する。次に、方法１６００は、終了する。
【００７３】
一実施形態では、セキュリティ・デバイス１２１０／１５０５は、ホスト１２０５／１５２０の一部として、例えば、ホスト１２０５／１５２０の筐体内で、さらに／またはホスト１２０５／１５２０によって実行されるセキュリティ手続きとして実施されることが可能であることが認められよう。
【００７４】
本発明の好ましい実施形態の以上の説明は、単に例示的であり、前述した実施形態および方法の他の変種および変形も、以上の教示に照らして可能である。ネットワーク・サイトは、別々の、異種のサイトとして示されているものの、これらのサイトは、総合サイトの一部分であることが可能であり、それぞれ、複数のサイトの部分を含むことが可能であり、あるいは単一のサイトと複数のサイトの組み合わせを含むことが可能であることが、当業者には認識されよう。本明細書で説明される様々な実施形態は、ハードウェアを利用して、ソフトウェアを利用して、あるいはハードウェアとソフトウェアの任意の所望される組み合わせを利用して実施されることが可能である。さらに言えば、本明細書で説明される様々な機能を実施することができる任意のタイプのロジックが、利用されることが可能である。構成要素は、プログラミングされた汎用デジタル・コンピュータを使用して、特定用途向け集積回路を使用して、または互いに接続された従来の構成要素および回路のネットワークを使用して実施されることが可能である。接続は、有線、無線、モデムなどであることが可能である。本明細書で説明される実施形態は、網羅的であること、または限定することは意図していない。本発明は、添付の特許請求の範囲だけによって限定される。
【符号の説明】
【００７５】
３００ ネットワーク・システム； ３０５ デスクトップ；
３１０ａ、３１０ｂ 移動デバイス； ３１５ イントラネット；
３２０ ネットワーク・セキュリティ・システム；
３２５ セキュリティ・アドミニストレータ； ３３０ インターネット；
３４０ 企業ネットワーク；
３４５ａ、３４５ｂ モバイル・セキュリティ・システム；
４００ コンピュータ・システム。
【技術分野】
【０００１】
本発明は、一般にコンピュータ・セキュリティに関し、より詳細には、外部デバイスとホスト・デバイスの間でデータおよびデバイスのセキュリティを提供するためのシステムおよび方法に関する。
【背景技術】
【０００２】
インターネットは、政府、大学、非営利団体、企業、および個人によって所有される数百万の個々のコンピュータ・ネットワークの相互接続である。インターネットは、価値ある情報およびエンターテイメントの優れたソースであるが、インターネットは、「ウイルス」、「スパイウェア」、「アドウェア」、「ワーム」、「トロイの木馬」、および他の悪意のあるコードなどの、システムに損傷を与えるアプリケーション・コード、およびシステムに致命的なアプリケーション・コードの主要なソースにもなっている。
【０００３】
ユーザを保護するのに、プログラマは、悪意のあるコードが、個々のコンピュータとネットワーク・コンピュータの両方を攻撃することを阻止するためのコンピュータ・セキュリティ・システムおよびコンピュータ・ネットワーク・セキュリティ・システムを設計する。おおむね、ネットワーク・セキュリティ・システムは、比較的成功している。企業のネットワークの内部からインターネットに接続されるコンピュータは、通常、２つの防衛線を有する。第１の防衛線は、ファイアウォール、ウイルス対策ソフト、スパイウェア対策ソフト、およびコンテンツ・フィルタリングを含む、ネットワーク・ゲートウェイの一部であることが可能な、ネットワーク・セキュリティ・システムを含む。第２の防衛線は、ネットワーク・セキュリティ・システムほど通常、セキュリティが強くなく、そのため、攻撃に対してより脆弱である、個々のマシン上の個別のセキュリティ・ソフトウェアを含む。組み合わされて、第１の防衛線と第２の防衛線は一緒に、相当に良好なセキュリティ保護を提供する。しかし、或るデバイスが、介在するネットワーク・セキュリティ・システムなしにインターネットに接続されると、そのデバイスは、そのデバイスの第１の防衛線を失う。このため、モバイル・デバイスすなわち移動デバイス（例えば、ラップトップ、デスクトップ、ＲＩＭ社のＢｌａｃｋｂｅｒｒｙなどのＰＤＡ、セル電話機、インターネットに接続された任意の無線デバイスなど）は、企業ネットワークの外部で移動している際、攻撃に対してより脆弱である。
【０００４】
図１は、従来技術の例示的なネットワーク・システム１００を示す。ネットワーク・システム１００は、企業のイントラネット１１５にそれぞれが結合された、デスクトップ１０５および移動デバイス１１０を含む。イントラネット１１５は、ネットワーク・セキュリティ・システム１２０（企業のゲートウェイの一部分であることが可能な）を介して、信頼されないインターネット１３０に結合される。したがって、デスクトップ１０５および移動デバイス１１０は、ネットワーク・セキュリティ・システム１２０を介してインターネット１３０にアクセスする。セキュリティ・アドミニストレータ１２５が、通常、ネットワーク・セキュリティ・システム１２０を管理して、システム１２０が、最新のセキュリティ保護を含むこと、したがって、デスクトップ１０５および移動デバイス１１０が、悪意のあるコードから保護されていることを確実にする。分界（デマーケーション）１３５が、信頼される企業１４０と信頼されない公共のインターネット１３０を分ける。デスクトップ１０５および移動デバイス１１０は、ネットワーク・セキュリティ・システム１２０を介してインターネット１３０に接続されるため、デスクトップ１０５と移動デバイス１１０はともに、インターネット１３０からの悪意のあるコードに対して２つの防衛線（すなわち、ネットワーク・セキュリティ・システム１２０、およびデバイス自体の上に存在するセキュリティ・ソフトウェア）を有する。もちろん、信頼されるものの、イントラネット１１５が、悪意のあるコードのソースであることも可能である。
【０００５】
図２は、移動デバイス１１０が、信頼される企業１４０の外部に移動し、信頼されないインターネット１３０に再接続された場合の、従来技術の例示的なネットワーク・システム２００を示す。このことは、多分、ユーザが、移動デバイス１１０を移動の際に携行し、サイバーカフェで、ホテルで、または任意の信頼されない有線接続または無線接続を介してインターネット１３０に接続する場合に、生じる可能性がある。したがって、図示されるとおり、移動デバイス１１０は、第１の防衛線によって（ネットワーク・セキュリティ・システム１２０によって）もはや保護されておらず、このため、悪意のあるコードを受信する危険を高めている。さらに、移動デバイス１１０を信頼される企業１４０に物理的に持ち帰り、内部から再接続することによって、移動デバイス１１０は、受信された悪意のあるコードをイントラネット１１５に転送する危険を冒す。
【０００６】
移動デバイスの数、および攻撃の数が増大するにつれ、モバイル・セキュリティは、ますます重要になっている。この問題は、２００５年１２月７日〜８日にニューヨークで開かれた最近のＩｎｆｏ−Ｓｅｃｕｒｉｔｙ Ｃｏｎｆｅｒｅｎｃｅにおいて強調された。しかし、完全なソリューションは、提示されなかった。
【０００７】
同様に、或るホスト・デバイスが、ＵＳＢフラッシュ・デバイス、ｉＰｏｄ、外部ハードドライブなどの外部デバイスに接続された場合、両方のデバイスが、悪意のあるコードの受信、またはプライベート・データの転送に対して脆弱である。図１１は、ホスト・コンピュータ（ホスト）１１０５および外部デバイス１１１０を含む例示的な従来技術のデータ交換システム１１００を示す。ホスト１１０５は、外部デバイス１１１０を受けるための、ＵＳＢポートなどのＥＤ（外部デバイス）ポート１１１５を含む。また、ホスト１１０５は、列挙を実行し、外部デバイス１１１０とホスト１１０５の間で通信を可能にするためのＥＤドライバ１１２０も含む。外部デバイス１１１０は、ＥＤポート１１１５と通信するための、ＵＳＢプラグなどの、ＥＤプラグを含む。ホスト１１０５と外部デバイス１１１０の両方が、悪意のあるコードの受信、またはプライベート・データの転送に対して脆弱である。
【発明の開示】
【発明が解決しようとする課題】
【０００８】
したがって、ホスト・デバイスおよび外部デバイスにセキュリティをもたらすシステムおよび方法の必要性が、存在する。
【課題を解決するための手段】
【０００９】
一実施形態によれば、本発明は、ホストと通信するように結合されるように機能する外部デバイス・プラグと、外部デバイスと通信するように結合されるように機能する外部デバイス・ポートと、プロセッサと、オペレーティング・システム、外部デバイスとの通信を制御するように機能する外部デバイス・ドライバ、および外部デバイスとホストとの間のデータ転送要求に対してセキュリティ・ポリシーを執行するように機能するセキュリティ・エンジンを格納するメモリとを含むセキュリティ・デバイスを提供する。セキュリティ・デバイスは、ホスト上のドライバと一緒に機能することが可能である。外部デバイス・プラグと外部デバイス・ポートの少なくともいずれかは、ＵＳＢ標準に従うことが可能である。外部デバイス・プラグと外部デバイス・ポートの少なくともいずれかは、無線接続を含むことが可能である。セキュリティ・エンジンは、ウイルス、スパイウェア、およびアドウェアの少なくとも１つの転送を防ぐことが可能である。セキュリティ・エンジンは、プライベート・データの許可のない転送を防ぐことが可能である。
【００１０】
一実施形態によれば、本発明は、第１の外部デバイス・プラグ、およびホストから受信されたデータ転送要求に対してセキュリティ・ポリシーを執行するように機能するセキュリティ・エンジンを含むセキュリティ・デバイスと、第２の外部デバイス・プラグを含む外部デバイスと、第１の外部デバイス・プラグと通信するように結合されるように機能する第１の外部デバイス・ポート、第２の外部デバイス・プラグと通信するように結合されるように機能する第２の外部デバイス・ポート、およびホストからのデータ転送要求を、そのデータ転送要求を実行する前に、セキュリティ・デバイスに転送するように機能するリダイレクト・ドライバを含むホストとを含むセキュリティで保護されたデータ交換システムを提供する。外部デバイスは、ＵＳＢドライブを含むことが可能である。外部デバイスは、ＰＤＡとセル電話機のいずれかを含むことが可能である。ホストは、ラップトップ、デスクトップ、ＰＤＡ，またはセル電話機の１つを含むことが可能である。ホストは、ホストへのセキュリティで保護されたデバイスの接続を検出すると、リダイレクト・ドライバを起動することが可能である。
【００１１】
一実施形態によれば、本発明は、セキュリティ・デバイスをホストと通信するように結合すること、外部デバイスをセキュリティ・デバイスと通信するように結合すること、セキュリティ・デバイスによって、ホストからデータ転送要求を受信すること、およびセキュリティ・デバイスによって、データ転送要求が実行されることを許す前に、データ転送要求に対してセキュリティ・ポリシーを執行することを含む方法を提供することが可能である。セキュリティ・デバイスをホストと通信するように結合することは、有線接続または無線接続を含むことが可能である。外部デバイスをホストと通信するように結合することは、有線接続または無線接続を含むことが可能である。データ転送要求は、ホストから外部デバイスにデータを転送する要求を含むことが可能である。データ転送要求は、外部デバイスからホストにデータを転送する要求を含むことが可能である。執行することは、ウイルス、スパイウェア、およびアドウェアの少なくとも１つに関して、転送されているデータを点検することを含むことが可能である。執行することは、データ転送要求がプライベート・データを求める要求を含むかどうかを判定することを含むことが可能である。執行することは、プライベート・データの転送を許す前に、さらなるセキュリティ・チェックを要求することを含むことが可能である。
【００１２】
一実施形態によれば、本発明は、セキュリティ・デバイスをホストと通信するように結合すること、外部デバイスをホストと通信するように結合すること、ホストによって、データ転送要求を受信すること、ホストに対してリダイレクト・ドライバを使用して、データ転送要求をセキュリティ・デバイスにリダイレクトすること、およびセキュリティ・デバイスによって、データ転送要求が実行されることを許す前に、データ転送要求に対してセキュリティ・ポリシーを執行することを含む方法を提供する。セキュリティ・デバイスをホストと通信するように結合することは、有線接続または無線接続を使用することを含むことが可能である。外部デバイスをホストと通信するように結合することは、有線接続または無線接続を使用することを含むことが可能である。データ転送要求は、ホストから外部デバイスにデータを転送する要求を含むことが可能である。データ転送要求は、外部デバイスからホストにデータを転送する要求を含むことが可能である。執行することは、ウイルス、スパイウェア、およびアドウェアの少なくとも１つに関して、転送されているデータを点検することを含むことが可能である。執行することは、データ転送要求がプライベート・データを求める要求を含むかどうかを判定することを含むことが可能である。執行することは、プライベート・データの転送を許す前に、さらなるセキュリティ・チェックを要求することを含むことが可能である。
【図面の簡単な説明】
【００１３】
【図１】第１の状態における従来技術のネットワーク・システムを示すブロック図である。
【図２】第２の状態における従来技術のネットワーク・システムを示すブロック図である。
【図３】本発明の実施形態によるネットワーク・システムを示すブロック図である。
【図４】本発明の実施形態によるコンピュータ・システムの詳細を示すブロック図である。
【図５】本発明の実施形態によるモバイル・セキュリティ・システムの詳細を示すブロック図である。
【図６】Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓ（登録商標）の実施形態によるモバイル・セキュリティ・システムの詳細を示すブロック図である。
【図７】本発明の実施形態によるスマート・ポリシー更新システムの詳細を示すブロック図である。
【図８】ＯＳＩ層に関係したネットワーク・セキュリティ対策の詳細を示すブロック図である。
【図９】モバイル・セキュリティ・システムにセキュリティ・コードを広めるための通信技術の詳細を示すブロック図である。
【図１０Ａ−１０Ｃ】本発明の様々な実施形態による、モバイル・セキュリティ・システムに移動デバイスを接続するための様々なアーキテクチャを示すブロック図である。
【図１１】従来技術のデータ交換システムを示すブロック図である。
【図１２】本発明の実施形態によるセキュリティで保護されたデータ交換システムを示すブロック図である。
【図１３】本発明の実施形態によるセキュリティ・デバイスの詳細を示すブロック図である。
【図１４】本発明の実施形態によるセキュリティ・システムの詳細を示すブロック図である。
【図１５】本発明の別の実施形態によるセキュリティで保護されたデータ交換システムを示すブロック図である。
【図１６】本発明の実施形態による、ホストと外部デバイスの間のセキュリティで保護されたデータ交換の方法を示す流れ図である。
【発明を実施するための形態】
【００１４】
以下の説明は、任意の当業者が、本発明を作成し、使用することを可能にするように与えられ、さらに或る特定の応用例、およびその応用例の要件の文脈において与えられる。これらの実施形態の様々な変形が、当業者には可能であり、本明細書で定義される一般的な原理は、本発明の趣旨および範囲を逸脱することなく、これら、およびその他の実施形態および応用例に適用されることが可能である。このため、本発明は、示される実施形態に限定されることは意図されず、本明細書で開示される原理、特徴、および教示と合致する最も広い範囲を与えられるべきである。
【００１５】
本発明の実施形態は、移動デバイスに接続される或る小さなハードウェアを使用し、攻撃、および悪意のあるコードを選別して除く。このハードウェアは、「モバイル・セキュリティ・システム」または「パーソナル・セキュリティ機器」と呼ばれることが可能である。このモバイル・セキュリティ・システムを使用して、移動デバイスは、より強いセキュリティによって保護されることが可能であり、さらに、場合により、移動デバイスが関連する法人／企業によって提供されるのと同一レベルのセキュリティによって保護されることが可能である。
【００１６】
図３は、本発明の実施形態によるネットワーク・システム３００を示す。ネットワーク・システム３００は、デスクトップ３０５、第１の移動デバイス３１０ａ、および第２の移動デバイス３１０ｂを含む。第１の移動デバイス３１０ａは、この時点で企業ネットワーク３４０内部にあるものとして図示され、モバイル・セキュリティ・システム３４５ａを介して企業のイントラネット３１５に結合される。また、デスクトップ３０５および移動デバイス３１０ｂも、企業ネットワーク３４０内部にあるが、この実施形態では、モバイル・セキュリティ・システム３４５ｂなどの介在するモバイル・セキュリティ・システム３４５なしに、イントラネット３１５に結合される。イントラネット３１５は、ネットワーク・セキュリティ・システム３２０（企業のゲートウェイの一部であることが可能な）を介して、信頼されないインターネット３３０に結合される。したがって、第１の移動デバイス３１０ａ、第２の移動デバイス３１０ｂ、およびデスクトップ３０５は、ネットワーク・セキュリティ・システム３２０を介して、信頼されないインターネット３３０にアクセスする。また、デバイス３１０ａ、デバイス３１０ｂ、およびデスクトップ３０５はそれぞれ、デバイス３１０ａ上、デバイス３１０ｂ上、およびデスクトップ３０５上に存在するパーソナル・セキュリティ・システム（図示せず）によって保護されることも可能である。第３の移動デバイス３１０ｃは、現在、企業ネットワーク３４０の外部にあり、モバイル・セキュリティ・システム３４５ｂを介して、信頼されないインターネット３３０に結合される。第３の移動デバイス３１０は、現在、移動中である、信頼される企業３４０の従業員によって使用されていることが可能である。セキュリティ・アドミニストレータ３２５が、移動セキュリティ・システム３４５ａ、移動セキュリティ・システム３４５ｂ、およびネットワーク・セキュリティ・システム３２０を管理して、システム３４５ａ、３４５ｂ、および３２０が最新のセキュリティ保護を含むことを確実にする。同一のセキュリティ・アドミニストレータが、これらの様々なデバイスを管理する必要はないことが、当業者には認識されよう。さらに、セキュリティ・アドミニストレータは、ユーザであることも可能であり、信頼される企業３４０の内部にある必要はない。
【００１７】
分界３３５が、信頼される企業３４０と、信頼されない一般にアクセス可能なインターネット３３０とを分ける。移動デバイス３１０ａ、３１０ｂ、および３１０ｃのそれぞれは、移動デバイス３１０と総称されることが可能であるが、デバイス３１０ａ、３１０ｂ、および３１０ｃが、同一である必要はない。各モバイル・セキュリティ・システム３４５ａおよび３４５ｂは、モバイル・セキュリティ・システム３４５と総称されることが可能であるが、システム３４５ａおよび３４５ｂが、同一である必要はない。
【００１８】
図示されるとおり、移動デバイス３１０ｃは、信頼される企業３４０の外部に移動しているものの、移動デバイス３１０ｃは、モバイル・セキュリティ・システム３４５ｂを介して、信頼されないインターネット３３０に接続され、このため、２つの防衛線（すなわち、モバイル・セキュリティ・システム３４５ｂ、およびデバイス自体の上に存在するセキュリティ・ソフトウェア）を保持する。この実施形態では、モバイル・セキュリティ・システム３４５は、事実上、移動デバイス３１０ｃのためのモバイル・インターネット・ゲートウェイの役割をする。或る実施形態では、モバイル・セキュリティ・システム３４５は、ネットワーク・セキュリティに専用のデバイスであることが可能である。或る実施形態では、各モバイル・セキュリティ・システム３４５は、複数の移動デバイス３１０をサポートすることができ、さらに、場合により、登録された移動デバイス３１０だけ、例えば、企業３４０に属する移動デバイス３１０だけをサポートすることが可能である。
【００１９】
各モバイル・セキュリティ・システム３４５（例えば、３４５ａ、３４５ｂ）は、市販のハードウェア（コアとしてインテル社のＸｓｃａｌｅを有する）、Ｌｉｎｕｘ ＯＳ、およびネットワーク・サービス、ならびにオープン・ソース・ファイアウォール、ＩＤＳ／ＩＰＳ、およびウイルス対策保護に基づく小型サーバであることが可能である。モバイル・セキュリティ・システム３４５は、強固にされた、埋め込まれたＬｉｎｕｘ２．６に基づくことが可能である。
【００２０】
この実施形態では、セキュリティ・アドミニストレータ３２５が、モバイル・セキュリティ・システム３４５ｂと遠隔で通信することができるため、ＩＴは、モバイル・セキュリティ・システム３４５ｂ上で実施されるセキュリティ・ポリシー／データ／エンジンを監視し、さらに／または更新することができる。セキュリティ・アドミニストレータ３２５は、遠隔で、または直接にすべての企業デバイスを一元的に管理することができる。さらに、セキュリティ・アドミニストレータ３２５とモバイル・セキュリティ・システム３４５は対話して、企業セキュリティ・ポリシーをモバイル・セキュリティ・ポリシーに自動的に翻訳し、これに相応してモバイル・セキュリティ・システム３４５を構成することができる。モバイル・セキュリティ・システム３４５は、企業３４０の該当するセキュリティ・ポリシーから生成されることが可能であるため、現在、移動している移動デバイス３１０ｃが、信頼される企業３４０の内部のデバイス３０５／３１０と同一の保護レベルを有することが可能である。
【００２１】
モバイル・セキュリティ・システム３４５は、既存のソフトウェア・セキュリティへのアドオンとして、または移動している移動デバイス上のすべてのセキュリティ・ハードウェアおよびセキュリティ・ソフトウェアに取って代わるように設計されることが可能である。これらのセキュリティ・アプリケーションは、図８に示される例示的なシステムにおいて示されるとおり、好ましくは、異なるＯＳＩ層の上で動作して、最大限のセキュリティおよび悪意のあるコード検出をもたらす。より低いＯＳＩ層上で動作し、ＴＣＰ／ＩＰパケット解析だけを行うこと（ファイアウォール・パケットまたはルータ・パケットを選別することによって）は、ウイルスの振舞い、および／またはワームの振舞いを見落とす。また、多くの最新のウイルスは、第７のＯＳＩ層（アプリケーション、すなわち、ＨＴＴＰ、ＦＴＰなど）「より高い」レベルで実施されるモバイル・コードを使用し、したがって、パケット層においても、アプリケーション層においても解釈され得ない。例えば、悪意のあるＪａｖａ（登録商標） Ｓｃｒｉｐｔ（つまり、ＨＴＭＬページの中に含まれる）に対して、シグネチャをパケットとマッチングしようと試みて、コンテンツ・タイプ（Ｊａｖａ Ｓｃｒｉｐｔ）を理解することなしに、セッション層またはトランスポート層においてだけウイルス対策解析を適用することによっては、そのＪａｖａ Ｓｃｒｉｐｔの悪意のある性質は検出されない。より強い保護を提供するのに、モバイル・セキュリティ・システム３４５は、法人クラス・セキュリティ機器の役割をして、コンテンツ・タイプ、および適切なＯＳＩ層（または、コンテンツがアプリケーション層においてカプセル化されている場合、「より高い」レベル）に基づいて、様々なセキュリティ・アプリケーションをかかわらせることができる。モバイル・セキュリティ・システム３４５は、様々なＯＳＩ層において、例えば、パケット・レベルからアプリケーション・レベルまで、コンテンツ解析を実行するように構成されることが可能である。アプリケーション・レベルで深い検査を実行することは、悪意のあるコンテンツの振舞いを検出するのに不可欠であり、ウイルス、ワーム、スパイウェア、トロイの木馬などの検出を向上させることが認識されよう。以下のソフトウェア・パッケージが、モバイル・セキュリティ・システム３４５上で実施されることが可能である。すなわち、
−−ファイアウォールおよびＶＰＮ ステートフル・ファイアウォールおよびステートレス・ファイアウォール、ＮＡＴ、パケット・フィルタリングおよびパケット操作、ＤＯＳ／ＤＤＯＳ、ネットフィルタ、ユーザ移動デバイスをインターネットから隔離し、デバイス上でＶＰＮプログラムを実行することなどを含む
−−Ｓｑｕｉｄに基づくオプションのウェブ・アクセラレータおよび／または帯域幅／キャッシュ管理
−−ＩＤＳ／ＩＰＳ Ｓｎｏｒｔに基づく侵入検出−防止システム。Ｓｎｏｒｔは、シグネチャ検査、プロトコル・ベースの検査、および異常ベースの検査の利点を組み合わせる、規則駆動の言語を利用するオープンソースのネットワーク侵入防止−検出システムである。
−−ＣｌａｍＡＶに基づくウイルス対策ソフトおよびスパイウェア対策ソフト さらなるＡＶエンジンおよびＡＳエンジン、例えば、ＭｃＡｆｅｅ、Ｋａｓｐｅｒｓｋｙ、Ｐａｎｄａｍａｙが、さらなる契約料金と引き換えに提供されることが可能である。
−−悪意のあるコンテンツ検出 コンテンツ解析を実行して、シグネチャを有する前の、悪意のあるコンテンツを検出するオンザフライ・ヒューリスティクス。このことは、規則ベース、および更新された規則に基づき、コンテンツ依存のスキャンである。
−−ＵＲＬ分類フィルタリング Ｓｕｒｆｃｏｎｔｒｏｌ、Ｓｍａｒｔ Ｆｉｌｔｅｒｓ、またはＷｅｂｓｅｎｓｅなどの市販のエンジンに基づく。賭博、アダルト・コンテンツ、ニュース、ウェブメールなどの約７０のＵＲＬカテゴリをもたらすことが可能である。移動デバイス３４５は、そのＵＲＬカテゴリに基づいて、異なるセキュリティ・ポリシーを、例えば、賭博ウェブサイトまたはアダルト・コンテンツ・ウェブサイトなどに関して、より高い制限およびヒューリスティクスを適用することが可能である。
【００２２】
図４は、各デスクトップ３０５、移動デバイス３１０、ネットワーク・セキュリティ・システム３２０、モバイル・セキュリティ・システム３４５、およびセキュリティ・アドミニストレータ３２５が、実例であることが可能な、例示的なコンピュータ・システム４００の詳細を示すブロック図である。コンピュータ・システム４００は、通信チャネル４１０に結合された、Ｉｎｔｅｌ Ｐｅｎｔｉｕｍ（登録商標）マイクロプロセッサまたはＭｏｔｏｒｏｌａ Ｐｏｗｅｒ ＰＣ（登録商標）マイクロプロセッサなどの、プロセッサ４０５を含む。コンピュータ・システム４００は、キーボードまたはマウスなどの入力デバイス４１５、陰極線管ディスプレイなどの出力デバイス４２０、通信デバイス４２５、磁気ディスクなどのデータ記憶デバイス４３０、およびＲＡＭ（ランダム・アクセス・メモリ）などのメモリ４３５をさらに含み、以上のそれぞれが、通信チャネル４１０に結合される。通信インタフェース４２５は、直接に、またはモバイル・セキュリティ・システム３４５を介して、インターネットなどのネットワークに結合されることが可能である。データ記憶デバイス４３０とメモリ４３５は、異なるユニットとして図示されているものの、データ記憶デバイス４３０とメモリ４３５は、同一のユニット、分散されたユニット、仮想メモリなどの部分であることも可能であることが、当業者には認識されよう。
【００２３】
データ記憶デバイス４３０および／またはメモリ４３５は、Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓ ＸＰ、ＩＢＭ ＯＳ／２オペレーティング・システム、ＭＡＣ ＯＳ、ＵＮＩＸ（登録商標） ＯＳ、ＬＩＮＵＸ ＯＳなどのオペレーティング・システム４４０、および／または他のプログラム４４５を格納することが可能である。好ましい実施形態は、言及されるプラットフォームおよびオペレーティング・システム以外のプラットフォーム上、およびオペレーティング・システム上で実施されることも可能であることが認められよう。或る実施形態は、場合により、オブジェクト指向プログラミング方法を使用して、ＪＡＶＡ言語、Ｃ言語、および／またはＣ＋＋言語、あるいは他のプログラミング言語を使用して書かれることが可能である。
【００２４】
コンピュータ・システム４００は、ネットワーク接続などのさらなる情報、さらなるメモリ、さらなるプロセッサ、ＬＡＮ、ハードウェア・チャネル、インターネット、またはイントラネットなどを通じて情報を転送するための入力／出力線などを含むことも可能であることが、当業者には認識されよう。また、それらのプログラムおよびデータは、代替の仕方でシステムによって受信され、システムの中に格納されてもよいことも、当業者には認識されよう。例えば、磁気ディスク・ドライブ、ハードディスク・ドライブ、光磁気リーダ、ＣＰＵなどのＣＲＳＭ（コンピュータ可読記憶媒体）リーダ４５０が、磁気ディスク、ハードディスク、光磁気ディスク、ＲＡＭなどのＣＲＳＭ（コンピュータ可読記憶媒体）４５５を読み取るために通信バス４１０に結合されることが可能である。したがって、コンピュータ・システム４００は、ＣＲＭＳリーダ４５０を介してプログラムおよび／またはデータを受け取ることができる。さらに、本明細書における「メモリ」という用語は、永久であるか、一時的であるかにかかわらず、すべてのデータ記憶媒体を範囲に含むことを意図していることが認められよう。
【００２５】
図５は、本発明の実施形態によるモバイル・セキュリティ・システム３４５の詳細を示すブロック図である。モバイル・セキュリティ・システム３４５は、アダプタ／ポート／ドライバ５０５と、メモリ５１０と、プロセッサ５１５と、モバイル・セキュリティ・システムのオペレーティング・システムおよびその他のアプリケーションのセキュリティで保護されたバージョンを格納するプリブート・フラッシュ／ＲＯＭメモリ・モジュール５２０と、ネットワーク接続モジュール５２５と、セキュリティ・エンジン５３０と、セキュリティ・ポリシー５３５と、セキュリティ・データ５４０と、遠隔管理モジュール５５０と、配信モジュール５５５と、バックアップ・モジュール５６０とを含む。これらのモジュールは、モバイル・セキュリティ・システム３４５内にあるものとして示されるものの、これらのモジュールの多くは、別の場所、例えば、セキュリティ・アドミニストレータ３２５上、またはモバイル・セキュリティ・システム３４５と通信する第三者システム上に配置されることも可能であることが、当業者には認識されよう。モバイル・セキュリティ・システム３４５は、ポケット・サイズ、ハンドヘルド・サイズ、またはキーチェーン・サイズの筐体内にあることが可能であり、あるいは、場合により、より小さいことが可能である。さらに、モバイル・セキュリティ・システム３４５は、移動デバイス３１０内部に組み込まれてもよい。
【００２６】
アダプタ／ポート／ドライバ５０５には、ＵＳＢポート、イーサネット（登録商標）・ポート、ＷｉＦｉポート、ＷｉＭＡＸポート、ＧＳＭポート、ＣＤＭＡポート、ＢｌｕｅＴｏｏｔｈポート、ＰＣＭＣＩＡポート、および／またはモバイル・セキュリティ・システム３４５上の他の接続データ・ポートのための接続機構（ソフトウェア、例えば、ドライバを含む）が含まれる。一実施形態では、アダプタ／ポート／ドライバ５０５は、複数のデバイス３１０にネットワーク・セキュリティをもたらすように複数のデバイス３１０への接続が可能であり得る。
【００２７】
メモリ５１０およびプロセッサ５１５は、モバイル・セキュリティ・システム３４５上でオペレーティング・システムおよびアプリケーションを実行する。この実施例では、プリブート・フラッシュ５２０が、オペレーティング・システムおよびアプリケーションを格納する。起動時に、オペレーティング・システムおよびアプリケーションは、実行のためにプリブート・フラッシュ５２０からメモリ５１０にロードされる。オペレーティング・システムおよびアプリケーションは、ランタイム中にユーザによってアクセスされ得ないプリブート・フラッシュ５２０の中に格納されるので、オペレーティング・システムおよびアプリケーションは、破壊可能ではない。メモリ５１０の中のオペレーティング・システムおよびアプリケーションのコピーが、例えば、悪意のあるコードによって、破壊されるようなことがあった場合、オペレーティング・システムおよびアプリケーションは、例えば、再起動時に、プリブート・フラッシュ５２０からメモリ５１０に再びロードされることが可能である。プリブート・フラッシュ５２０内に格納されるものとして示されているが、ＯＳおよびアプリケーションは、ＲＯＭ，ＰＲＯＭ、ＥＥＰＲＯＭなどの他の読み取り専用メモリ内にセキュリティで保護されて格納されることも可能である。
【００２８】
モバイル・セキュリティ・システム３４５上のメモリ（メモリ５１０およびプリブート・フラッシュ５２０を含む）は、以下のとおり、区域に分割されることが可能である。
【００２９】
【表１】
【００３０】
各回の「ハード」再起動時に、モバイル・セキュリティ・システム３４５のブート・ローダ（区域１に存在する）が、区域１から区域２にカーネルおよびセキュリティ・アプリケーション（新規の変更されていないコピー）をコピーする。このことにより、各回に、ＯＳおよびアプリケーションのクリーンなバージョンが、区域２にロードされるようになる。そのようにすると、或る特殊なモバイル・セキュリティ・システム３４５攻撃が開発された場合、ＯＳおよびアプリケーションが、ランタイム中にメモリ区域１にアクセスすることがあらかじめ起きないようにされているので、その攻撃は、システムを感染させることができない。さらに、メモリ５１０に達するいかなる攻撃も、１回しか実行することができず、ハード再起動時に消滅する。感染検出時に、モバイル・セキュリティ・システム３４５を自動的に再起動するトリガ機構が、利用可能であり得る。
【００３１】
ネットワーク接続モジュール５２５は、ＷｉＦｉ、ＷｉＭＡＸ、ＣＤＭＡ、ＧＳＭ、ＧＰＲＳ、イーサネット、モデムなどを含むネットワーク通信ハードウェア／ソフトウェアを介して、例えば、インターネット３３０またはイントラネット３１５への、ネットワーク接続を可能にする。例えば、移動デバイス３１０を、ＷｉＦｉ接続を介してインターネット３３０に接続することを望む場合、アダプタ／ポート／ドライバ５０５が、移動デバイス３１０のＰＣＩポート、ＵＳＢポート、またはＰＣＭＣＩＡポートに接続されることが可能であり、さらにモバイル・セキュリティ・システム３４５のネットワーク接続モジュール５２５が、無線アクセス・ポイントに接続するためのＷｉＦｉネットワーク・インタフェース・カードを含むことが可能である。ネットワーク接続モジュール４２５を使用して、モバイル・セキュリティ・システム３４５は、移動デバイス３１０のためのセキュリティで保護されたゲートウェイとしてネットワークと通信することが可能である。その他の接続アーキテクチャが、図１０Ａ〜図１０Ｃに示される。
【００３２】
セキュリティ・エンジン５３０は、ＩＴマネージャによってともに開発されることが可能な、セキュリティ・ポリシー５３５およびセキュリティ・データ５４０に基づいて、セキュリティ・プログラムを実行する。セキュリティ・エンジン５３０は、ファイアウォール、ＶＰＮ、ＩＳＰ／ＩＤＳ、ウイルス対策ソフト、スパイウェア対策ソフト、悪意のあるコンテンツ・フィルタリング、多層セキュリティ・モニタ、Ｊａｖａモニタおよびバイトコード・モニタなどを含むことが可能である。各セキュリティ・エンジン５３０は、エンジン５３０が、いずれの手続き、コンテンツ、ＵＲＬ、システム・コールなどを許すことができる、または許すことができないかを示す専用のセキュリティ・ポリシー５３５およびセキュリティ・データ５４０を有することが可能である。セキュリティ・エンジン５３０、セキュリティ・ポリシー５３５、およびセキュリティ・データ５４０は、ネットワーク・セキュリティ・システム３２０上のエンジン、ポリシー、およびデータと同一であっても、これらのサブセットであっても、さらに／またはこれらから開発されてもよい。
【００３３】
ウイルス対策ソフトウェアおよびスパイウェア対策ソフトウェアによって提供される、より高いセキュリティ・レベルをもたらすのに、各モバイル・セキュリティ・システム３４５上のセキュリティ・エンジン５３０は、コンテンツ解析アルゴリズムおよびリスク評価アルゴリズムを実施することができる。例えば、ＯＳＩ層７以上（層７内にカプセル化されたモバイル・コード）において動作して、これらのアルゴリズムは、規則エンジンおよび規則更新によって制御されることが可能な専用のＨＲＣＦ（高リスク・コンテンツ・フィルタリング）によって実行されることが可能である。ＨＲＣＦは、深いコンテンツ解析を実行して、リアルタイム・コンテンツ・タイプを検証することができる強力な検出ライブラリに基づく。このことは、多くの攻撃が、誤ったＭＩＭＥタイプの中に隠されており、さらに／または高度なトリックを用いて、危険なアクティブ・スクリプトもしくはＡｃｔｉｖｅ Ｘコンテンツ・タイプにテキスト・ファイル・タイプを与える可能性があるからである。ＨＲＣＦは、ＵＲＬカテゴリに基づく自動規則調整のためにＵＲＬ分類セキュリティ・エンジン５３０と一体化することが可能である。一実施形態では、リスク・レベルが高まると、（説明される機構を使用して）モバイル・セキュリティ・システム３４５は、トラフィックから、よりアクティブなコンテンツを除去するようにフィルタリングを自動的に調整し、高めることが可能である。例えば、より高いリスクが特定された場合、モバイル・コード、例えば、Ｊａｖａスクリプト、ＶＢスクリプトなどのすべてが、取り除かれることが可能である。
【００３４】
法人ポリシー・サーバ・レガシー・システムと一体化するための３つの態様には、以下に説明される規則、ＬＤＡＰ−アクティブ・ディレクトリ、およびログ記録−報告が含まれる。一実施形態では、セキュリティ・アドミニストレータ３２５上で実行されるポリシー・インポート・エージェントが、Ｃｈｅｃｋｐｏｉｎｔ Ｆｉｒｅｗａｌｌ−１およびＣｉｓｃｏ ＰＩＸ Ｆｉｒｅｗａｌｌの規則ベースにアクセスし、それらの規則ベースをローカル・コピーにインポートする。規則解析モジュールが、重要な規則を処理し、モバイル・セキュリティ・システム３４５のためのそのまま使える規則およびポリシーを提供する。この提案されるポリシーは、企業３４０のファイアウォール・ポリシーを遵守する最適な規則をすべてのモバイル・セキュリティ・システム３４５に提供する。エージェントは、定期的に実行されて変更を反映し、モバイル・セキュリティ・システム３４５ポリシー５３５に関する更新を生成する。ＬＤＡＰ−アクティブ・ディレクトリは、ディレクトリ・サービスと一体化されて、企業のディレクトリ定義に応えるモバイル・セキュリティ・システム３４５セキュリティ・ポリシー５３５を維持する。例えば、ＬＤＡＰユーザ・グループ「Ｇ」に関する法人ポリシーが、「Ｇ」グループの中のすべてのモバイル・セキュリティ・システム３４５に自動的に伝播することが可能である。モバイル・セキュリティ・システム３４５ローカル・ログおよび監査証跡が、ログ記録−報告ポリシーに従って、セキュリティ・アドミニストレータ３２５において格納される中央ログに送られることが可能である。ウェブ・インタフェースを使用して、ＩＴは、すべての移動デバイス３１０ユーザ、これらのユーザのインターネット体験、および感染したデバイスを企業３４０に持ち帰ろうとする試みと関係するレポートおよび監査ビューを生成できることが可能である。ＩＴは、ＳＹＳＬＯＧ ＴｒａｐおよびＳＮＭＰ Ｔｒａｐを介して、イベント・レコードおよびログ・レコードをレガシー管理システムに転送することができる。
【００３５】
セキュリティ・エンジン５３０は、重み付きリスク解析を実行することができる。例えば、セキュリティ・エンジン５３０は、インターネット３３０から着信するトラフィックを含め、ＨＴＴＰ、ＦＴＰ、ＳＭＴＰ、ＰＯＰ３、ＩＭ、Ｐ２Ｐなどを解析することができる。セキュリティ・エンジン５３０は、すべてのオブジェクトに、そのオブジェクトのタイプ、複雑度、能力の豊かさ、そのオブジェクトのソースなどに基づいて、重みおよびランクを割り当てることができる。セキュリティ・エンジン５３０は、知られている危険なソース、または知られている安全なソースのリストを使用して、ソースに基づいて重みを割り当てることができる。セキュリティ・エンジン５３０は、ソース、例えば、賭博ソース、アダルト・コンテンツ・ソース、ニュース・ソース、評判のよい会社ソース、銀行業ソースなどのカテゴリに基づいて、オブジェクトに重みを割り当てることができる。セキュリティ・エンジン５３０は、重みを計算することができ、さらにその結果に基づいて、コンテンツへのアクセス、スクリプトが実行されること、システム変更が行われることなどが許されるか、許されないかを決定することができる。セキュリティ・エンジン５３０は、ユーザ・コンテンツを「学習する」ことができ（所定の期間にわたって、ユーザがアクセスする全般的なコンテンツを解析することによって）、それに相応して、パーソナル・コンテンツ・プロファイルを作成することができる。パーソナル・コンテンツ・プロファイルは、ランタイム解析中にコンテンツに割り当てられる重みを較正するのに使用されて、精度を向上させ、特定のユーザ特性に重み付きリスク解析を合わせることが可能である。
【００３６】
一部の実施形態では、セキュリティ・エンジン５３０、セキュリティ・ポリシー５３５、およびセキュリティ・データ５４０は、モバイル・セキュリティ・システム３４５を迂回することを可能にすることができる。セキュリティ・アドミニストレータ３２５によって設定されるセキュリティ・ポリシー５３５は、信頼される企業３４０の外部にいる場合、モバイル・セキュリティ・システム３２５を介するネットワーク接続を強制する特殊な属性を含むことが可能である。このため、この属性が「オン」に設定されている場合、移動デバイス３１０が、モバイル・セキュリティ・システム３４５なしに、信頼される企業３４０の内部からではなくインターネット３３０に接続しようと試みると、ＬＡＮ接続、ＵＳＢネット、モデム、Ｂｌｕｅｔｏｏｔｈ、ＷｉＦｉなどを含むすべてのデータ転送接続が、閉じられることが可能である。移動デバイス３１０は、完全に隔離され、インターネット３３０を含め、いずれのネットワークにも接続することができないことが可能である。
【００３７】
一実施形態では、以上を可能にするのに、モバイル・セキュリティ・システム３４５を、例えば、ＵＳＢケーブルを使用して（電力とＵＳＢ接続の両方をもたらすため）移動デバイス３１０に最初に接続する際、ＵＳＢプラグアンドプレイ・デバイス・ドライバが、移動デバイス３１０に送り込まれる。インストールされるドライバは、モバイル・セキュリティ・システム３４５のためのＵＳＢネット接続を可能にする「Ｌｉｎｕｘ．ｉｎｆ」であることが可能である。この接続は、モバイル・セキュリティ・システム３４５が、ＵＳＢポートを介して、さらに移動デバイス３１０ネットワーク接続に加え、さらなるコード（「接続クライアント」）を使用して、インターネット３３０にアクセスすることを可能にする。Ｗｉｎｄｏｗｓ実施例において、接続クライアントは、図６に示されるすべてのネットワーク接続のすべてのネットワーク・インタフェース・カードより上の、移動デバイス３１０のＮＤＩＳレベルにおいてインストールされることが可能である。この実装は、ＮＤＩＳ ＩＭ（Ｉｎｔｅｒｍｅｄｉａｔｅ）Ｄｒｉｖｅｒとして、またはＮＤＩＳ−Ｈｏｏｋｉｎｇ Ｆｉｌｔｅｒ Ｄｒｉｖｅｒとして行われる。両方の実装は、カーネル・レベルで行われることが可能であり、したがって、エンド・ユーザは、接続クライアントを止めること、または除去することができない。移動デバイス３１０を起動する際、接続クライアントは、信頼される企業３４０内部で、ローカルでセキュリティ・アドミニストレータ３２５またはネットワーク・セキュリティ・システム３２０に接続しようと試みることが可能である。ノードが、見つからない場合（ＶＰＮを介して見つけることは、ローカルＬＡＮ内で見つからないことと見なされる）、接続クライアントは、接続クライアントが、信頼される企業３４０の外部から機能しているものと想定し、例えば、ＵＳＢネットまたは他の接続機構を介して、モバイル・セキュリティ・システム３４５が接続されていることを見出すものと予期する。モバイル・セキュリティ・システム３４５が見つからない場合、接続クライアントは、いずれのネットワーク接続へのいずれの通信も回避することが可能である。ポリシー定義により、この振舞いは、移動デバイス３１０にインストールされたＶＰＮを介する企業３４０への通信を許すように変更されることが可能である。同様に、移動デバイス・システム３４５障害が生じた場合、すべてのトラフィックは、企業３４０へのＶＰＮ接続を除き、ディセーブルにされることが可能である。
【００３８】
ＮＤＩＳは、カーネル・レベルでトラフィックをインターセプトする１つの可能な実施形態であることが認められよう。例えば、別の実施形態では、システムは、Ｗｉｎｓｏｃｋをつなぐ、または将来のＷｉｎｄｏｗｓバージョンにあることが可能な他の仕方を適用することが可能である。
【００３９】
モバイル・セキュリティ・システム３４５が、複数の移動デバイス３１０をサポートする実施形態において、セキュリティ・エンジン５３０、セキュリティ・ポリシー５３５およびセキュリティ・データ５４０は、（例えば、例えばユーザ選好またはＩＴ決定に基づいて）各移動デバイス３１０ごとに異なることが可能である。代替として、システム３４５は、接続されたすべてのデバイス３１０に同一のエンジン５３０、ポリシー５３５、およびデータ５４０を適用することができる。
【００４０】
遠隔管理モジュール５５０が、セキュリティ・アドミニストレータ３２５（および／または他のセキュリティ・アドミニストレータ）との通信を可能にし、さらにシグネチャおよび他のアプリケーションを含むセキュリティ・エンジン５３０、セキュリティ・ポリシー５３５、セキュリティ・データ５４０のローカル更新を可能にする。一実施形態では、セキュリティ・ポリシー５３５およびデータ５４０の変更は、セキュリティ・アドミニストレータ３２５だけによってしか行われ得ない。モバイル・セキュリティ・システム３４５の遠隔管理モジュール５５０は、例えば、セキュリティで保護された接続を介してセキュリティ・アドミニストレータ３２５上で、ＵＡＤ（更新権限デバイス）から更新を受信することができる。ＵＡＤは、インターネット３３０上に位置する顧客ＩＴセンタにおける更新サーバ上で動作して、更新を管理することを任された、企業５４０に属さない可能性があるモバイル・セキュリティ・システム３４５に更新を転送することができる。ＵＡＤは、モバイル・セキュリティ・システム３４５上で動作してもよい。セキュリティ・エンジン５３０は、ウイルス対策エンジンＤＬＬなどを変更することが可能である。ＯＳ更新およびセキュリティ・アプリケーション更新は、セキュリティ・アドミニストレータ３２５に接続されている間に、暗号化され、認証された接続を介して、企業５４０の内部だけから実施されることが可能である。
【００４１】
セキュリティ・アドミニストレータ３２５は、移動中のユーザへの遠隔サポートのためにＵＲＬブラック・リストおよびＵＲＬホワイト・リストを変更することができる。偽陽性が生じた場合、セキュリティ・アドミニストレータ３２５は、予防的なヒューリスティクス・セキュリティを迂回するが、それでも、ファイアウォール、ウイルス対策ソフト、ＩＰＳ／ＩＤＳなどによって監視することによって、いくつかのＵＲＬへのアクセスを許すことが可能である。さらなる遠隔デバイス管理フィーチャは、セキュリティ・アドミニストレータ３２５が、遠隔診断を実行すること、ローカル・ログにアクセスすること、モバイル・セキュリティ・システム３４５上で構成パラメータなどを変更することを可能にすることができる。セキュリティ・アドミニストレータ３２５は、タスクを、サポートのためのヘルプデスクに委任してもよい。
【００４２】
遠隔管理モジュール５５０は、図７に示されるとおり、セキュリティ・アドミニストレータ３２５上に、または別のシステム上に存在することが可能なウィザード（例えば、ウィザード７４５）と通信することができる。ウィザード７４５の詳細、および遠隔管理モジュール５５０とウィザード７４５の間の通信スキームの詳細は、図７を参照して後段で説明される。
【００４３】
配信モジュール５５５は、モバイル・セキュリティ・システム３４５による、他のＮ個のモバイル・セキュリティ・システム３４５への更新、例えば、規則更新を含むセキュリティ・ポリシー５３５更新、シグネチャ更新を含むセキュリティ・データ５４０更新、セキュリティ・エンジン５３０更新、アプリケーション／ＯＳ更新などの配信を可能にする。これらの更新が転送されるべき他のＮ個のモバイル・セキュリティ・システム３４５を識別するルーティング・テーブルが、配信モジュール５５５に供給されて、システム３４５−システム３４５間通信が可能にされることが可能である。更新は、セキュリティ・アドミニストレータ３２５によって設定されたポリシーに従って実施されることが可能である。更新を転送する際、配信モジュール５５５は、ＵＡＤの役割をする。
【００４４】
各モバイル・セキュリティ・システム３４５は、定期的に、所定の時刻に、ログイン時になど、そのシステム３４５のルーティング・テーブルをセキュリティ情報更新と一緒に獲得することができる。ルーティング・テーブルは、サーバ上に、例えば、セキュリティ・アドミニストレータ３２５上、または別のモバイル・セキュリティ・システム３４５上に保持されることが可能である。一実施形態では、モバイル・セキュリティ・システム３４５は、このサーバに接触して、ルーティング・テーブルを取り出すことができる。代替として、このサーバが、ルーティング・テーブルをモバイル・セキュリティ・システム３４５にプッシュしてもよい。
【００４５】
配信モジュール５５５は、図９に示されるとおり、迅速な更新を可能にすることができる。現在、入手可能なすべての市販のウイルス対策製品は、ウイルスが広がるより速くデバイスを更新することはない。新たなウイルス攻撃が、例えば、シグネチャ更新より速く広がらないことを確実にするのに、各モバイル・セキュリティ・システム３４５が、アクティブなＵＡＤであることが可能である。一実施形態では、図９に示されるとおり、各モバイル・セキュリティ・システム３４５は、シグネチャ更新を他の４つのデバイス３４５に転送することを担う。当業者には認識されるとおり、すべてのデバイス３４５が、同一の数の他のデバイス３４５に転送する必要がある。複数のデバイス３４５が、同一のデバイス３４５に転送することを担ってもよい。必要な場合、活性化されたオフライン・デバイス３４５が、ルーティング・テーブル更新のために、サーバ、例えば、セキュリティ・アドミニストレータ３２５にポーリングすることが可能である。他の多くの更新技術も可能である。
【００４６】
バックアップ・モジュール５６０は、移動デバイス３１０のブート・セクタおよびシステム・ファイルのイメージおよび変更をフラッシュ・メモリ５２０に、または別の永続メモリ・デバイスに絶えずバックアップすることが可能である。つまり、移動デバイス３１０のシステム・セクタまたはブート・セクタが失われることを含め、重大な障害が生じた場合、モバイル・セキュリティ・システム３４５は、再起動中にＣＤ−ＲＯＭとして識別されることが可能であり、バックアップ・モジュール（または別個のプログラム）を立ち上げて、移動デバイス３１０上のブート・セクタおよびシステム・ファイルを復元して、ＩＴサポートの必要なしに移動デバイス３１０を回復することが可能である。ネットワーク・セキュリティ・システム３４５が複数の移動デバイス３１０をサポートする実施形態において、バックアップ・モジュール５６０は、移動デバイス３１０のそれぞれに関して、ブート・セクタおよびシステム・ファイルが異なる場合、別個のブート・セクタおよびシステム・ファイルを含むことが可能である。
【００４７】
図７は、本発明の実施形態によるスマート・ポリシー更新システム７００の詳細を示すブロック図である。システム７００は、ネットワーク・セキュリティ・システム３２０およびモバイル・セキュリティ・システム３４５に結合されたセキュリティ・アドミニストレータ３２５を含む。ネットワーク・セキュリティ・システム３２０は、ウイルス対策エンジン７１５、ＩＳＰ／ＩＤＳエンジン７２０、ファイアウォール・エンジン７２５、およびその他のセキュリティ・エンジンを含むセキュリティ・エンジン７０５を含む。また、ネットワーク・セキュリティ・システム３２０は、ウイルス対策ポリシー−データ７３０、ＩＰＳ／ＩＤＳポリシー−データ７３５、ファイアウォール・ポリシー−データ７４０、およびその他のポリシー−データを含むセキュリティ・ポリシー−データ７１０も含む。同様に、モバイル・セキュリティ・システム３４５は、ウイルス対策エンジン７５５、ＩＰＳ／ＩＤＳエンジン７６０、ファイアウォール・エンジン７６５、およびその他のエンジンを含む。また、モバイル・セキュリティ・システム３４５は、ウイルス対策セキュリティ・ポリシー−データ７７０、ＩＳＰ／ＩＤＳセキュリティ・ポリシー−データ７７５、ファイアウォール・セキュリティ・ポリシー−データ７８０、およびその他のセキュリティ・ポリシー−データを含むセキュリティ・ポリシー−データ５３５／５４０も含む。
【００４８】
セキュリティ・アドミニストレータ３２５は、モバイル・セキュリティ・システム３４５上のセキュリティ・エンジン５３０、セキュリティ・ポリシー５３５、およびセキュリティ・データ５４０の実質的に自動的な初期セットアップ、および、場合により、動的セットアップを可能にするためのウィザード７４５を含む。一実施形態では、ウィザード７４５は、ネットワーク・セキュリティ・システム３２０のすべてのセキュリティ・エンジン７０５およびポリシー−データ７１０を、モバイル・セキュリティ・システム３４５上にセキュリティ・エンジン５３０およびポリシー−データ５３５／５４０として自動的にロードすることができる。別の実施形態では、ウィザード７４５は、無関係であると知られているセキュリティ・エンジンおよびポリシー−データ、例えば、経理によって使用される料金請求ソフトウェアと関係するセキュリティ・エンジンおよびポリシー−データ、ウェブ・サーバ上でだけ実行されているウェブ・ソフトウェアと関係するセキュリティ・エンジンおよびポリシー−データなどを除いて、すべてのセキュリティ・エンジン７０５およびポリシー−データ７１０を含むことが可能である。別の実施形態では、エンジン５３０は、ＩＴマネージャによってロードされる必要があり、ウィザード７４５によって自動的にロードされることはない。
【００４９】
一実施形態では、ウィザード７４５は、モバイル・セキュリティ・システム３４５が、或る特定のセキュリティ・エンジン５３０、例えば、ウイルス対策エンジン７５５、ＩＰＳ／ＩＤＳエンジン７６０、ファイアウォール・エンジン７６５などを要求するかどうかを判定することができる。要求すると判定された場合、ウィザード７４５は、そのエンジン５３０をモバイル・セキュリティ・システム３４５上にロードする。次に、ウィザード７４５は、いずれのポリシー−データ・セットが、例えば、ウイルス対策エンジン７５５のためのいくつか、ＩＳＰ／ＩＤＳエンジン７６０のためのいくつか、ファイアウォール・エンジン７６５のためのいくつかが、モバイル・セキュリティ・システム３４５に重要であるかを判定する。次に、ウィザード７４５は、ネットワーク・セキュリティ・システム３２０上のウイルス対策ポリシー−データ７３０のいずれが、モバイル・セキュリティ・システム３４５上のウイルス対策ポリシー−データ７７０に関係があるか、ネットワーク・セキュリティ・システム３２０上のＩＰＳ／ＩＤＳポリシー−データ７３５のいずれが、モバイル・セキュリティ・システム３４５上のＩＰＳ／ＩＤＳポリシー−データ７７５に関係があるか、ネットワーク・セキュリティ・システム３２０上のファイアウォール・ポリシー−データ７４０のいずれが、モバイル・セキュリティ・システム３４５上のファイアウォール・ポリシー−データ７８０に関係があるか、およびネットワーク・セキュリティ・システム３２０上のその他のポリシー−データのいずれが、モバイル・セキュリティ・システム３４５上のポリシー−データに関係があるかを判定する。前述したとおり、ウィザード７４５は、モバイル・セキュリティ・システム３４５上ですべてのセキュリティ・エンジン７０５が必要とされると判定することも、サブセットだけが必要とされると判定することも可能である。ウィザード７４５は、所与のエンジン・タイプに関するすべてのポリシー−データ７１０が転送されるべきであると判定することも、サブセットだけが転送されるべきであると判定することも可能である。ウィザード７４５は、ＩＴマネージャによって開発された規則、セットアップ手続き中のアイテムごとの選択などに基づいて、いずれの関係のあるポリシー−データ７１０が、モバイル・セキュリティ・システム３４５に転送されるべきかを判定することができる。ウィザード７４５の代替として、ＩＴマネージャが、ウィザード７４５なしに、モバイル・セキュリティ・システム３４５上でエンジン５３０およびポリシー−データ５３５／５４０をセットアップすることもできる。
【００５０】
セキュリティ・アドミニストレータ３２５は、更新権限デバイス７５０を含むことも可能である。更新権限デバイス７５０は、セキュリティ・システム更新（例えば、シグネチャ更新）を獲得することができ、それらの更新をネットワーク・セキュリティ・システム３２０およびモバイル・セキュリティ・システム３４５に送信することができる。ネットワーク・セキュリティ・システム３２０への更新と、モバイル・セキュリティ・システム３４５への更新は、同一でなくてもよいことが当業者には認識されよう。さらに、更新権限デバイス７５０は、セキュリティ・マネージャ、セキュリティ・エンジン開発者、ウイルス対策専門家などから更新を獲得することが可能である。更新権限デバイス７５０は、これらの更新をすべてのネットワーク・セキュリティ・システム３２０、およびすべてのモバイル・セキュリティ・システム３４５に転送することができ、あるいはルーティング・テーブルをすべてのモバイル・セキュリティ・システム３４５に転送し、これらの更新をモバイル・セキュリティ・システム３４５の初期セットだけに転送することができる。モバイル・セキュリティ・システム３４５の初期セットは、図９に示されるプロセスと同様に、ルーティング・テーブルの中で識別されるモバイル・セキュリティ・システム３４５にＰ２Ｐの仕方で、これらの更新を転送することができる。前述したとおり、更新を転送するように動作している各モバイル・セキュリティ・システム３４５は、それ自体、更新権限デバイス７５０の役割をしている。
【００５１】
他のアプリケーションが、モバイル・セキュリティ・システム３４５上に含められてもよい。例えば、既存の顧客からの繰り返される収入に関するアドオン・アプリケーションに、一般的な電子メール・サービス、スパム対策サービス、直接の、セキュリティで保護された電子メール配信サービス、情報ボールト・サービス、安全なスカイプ・サービス、およびその他のインスタント・メッセージング・サービスなどが含まれることが可能である。
電子メール・セキュリティおよびスパム対策 モバイル・セキュリティ・システム３４５（前述のウェブ・セキュリティ・エンジンを含む）上のメール中継、およびローカル・スパム検疫（ＳｅｎｄＭａｉｌまたは類似したプロセスに基づく）の実施が、リアルタイム索引付け（オンライン・ウェブ・スパム・クウォリアを介する）を伴うスパム対策を含む完全なメール・セキュリティ・スイート（ＳＭＴＰおよびＰＯＰ３）を実施することができる。ユーザは、ウェブ・インタフェースを介して検疫へのアクセスを有して、スパム・メッセージを点検すること、メッセージを解放すること、スパム規則を変更し、カスタマイズすることなどができる。
−−メール中継に基づく直接の、セキュリティで保護された電子メール配信は、モバイル・セキュリティ・システム３４５が、経路上のメール・サーバを使用することなしに、１つのモバイル・セキュリティ・システム３４５から別のモバイル・セキュリティ・システム３４５に直接にユーザ電子メールを送信することを許す。このことは、法人ユーザが、インターネットにおいて伝送されて、経路上の様々な未知のメール・サーバ上に跡および複製を残す必要のない電子メールを送信することを許す。このことは、２つのモバイル・セキュリティ・システム間でセキュリティで保護されたパイプを使用する能力と相俟って、法人に貴重である。そのような方法なしには、人々が、メッセージを配信するのに使用された中間メール・サーバの中のコピーを探し出すことによって、企業のメール・サーバにアクセスすることなしに、電子メール交換を追跡することが可能である。
−−情報ボールト エンド・ユーザ情報を暗号化して、モバイル・セキュリティ・システム３４５上に格納するアプリケーションが、すべてのモバイル・セキュリティ・システム３４５上に実装されるウェブ・インタフェースおよびウェブ・サーバ（例えば、ＢＯＡ、Ａｐａｃｈｅなど）を介して、許可されたユーザだけに利用可能であることが可能である。
−−安全なスカイプおよび他のＩＭ モバイル・セキュリティ・システム３４５上にインスタント・メッセージング・クライアントを実装することにより、インスタント・メッセージング・システムまたはＰ２Ｐアプリケーションが、移動デバイス３１０上のデータへのアクセスを全く有さないことが保証されることが可能である。モバイル・セキュリティ・システム３２５上にサウンド・インタフェースをもたらすようにＡＣ／９７のチップセットを追加することにより、ユーザが、モバイル・セキュリティ・システム３２５に直接に話すこと、およびモバイル・セキュリティ・システム３２５から直接、呼を受信することが許されることが可能である。
【００５２】
図示されていないが、小型バッテリが、モバイル・セキュリティ・システム３４５に含められることが可能である。このバッテリは、ランタイム中にＵＳＢ接続によって、または任意の時点で電源アダプタを使用して充電されることが可能である。このバッテリは、例えば、ユーザが、ＵＳＢケーブルをモバイル・セキュリティ・システム３４５から外した際に、適切なシャットダウンを保証することができる。このシャットダウンは、アプリケーション・シャットダウンおよびシステム・シャットダウンを開始するシステムによって通知される。このことにより、ファイル・システム・バッファおよびフラッシング・オープン・ファイル・バッファの適切な状態が確実にされる。
【００５３】
多層防御−検出能力が、要求される。このことは、様々なシステム（ウイルス対策ソフト、ＩＤＳ／ＩＰＳ、ファイアウォール、スパイウェア対策ソフト、ＵＲＬカテゴリなど）のスキャン結果を絶えず監視している特殊なコードによって、様々なレベルで行われて、パズルが構築され、攻撃が、個々のサブシステムのそれぞれによって認識されない場合でさえ、その攻撃が識別されることが可能である。このことを行うことによって、モバイル・セキュリティ・システム３４５は、企業４５０内で提供されるセキュリティ・レベルを維持し、一部の事例では、向上させさえする。
【００５４】
モバイル・セキュリティ・システム３４５の１つの利用可能な利点は、エンド・ユーザが移動中に、または自宅から作業している間に、エンド・ユーザに対して企業５４０のポリシーを執行するシステム３４５の能力である。モバイル・セキュリティ・システム３４５は、企業５４０の内部から接続されている場合と同様のセキュリティ・エンジンおよびポリシーを使用し、さらにエンド・ユーザは、システム３４５なしにインターネット３３０にアクセスすることができない（企業５４０へのＶＰＮ接続を介して以外）ので、ＩＴは、企業５４０の境界を超えてＩＴのセキュリティ・ポリシーを執行できることが可能である。ＯＳは、ＩＴの完全な監督下にあることが可能である一方で、モバイル・セキュリティ・システム３４５ＯＳは、ＩＴの管理下でエンド・ユーザＯＳの役割をする。このことにより、誰がどのセキュリティをどのように管理するかという問題が解決され、生産性は最小限の危険にしか直面しない。
【００５５】
モバイル・セキュリティ・システム３４５のスタンドアロン・バージョンが、同一の機能を提供することができ、さらにウェブ・ブラウザを介してローカル管理インタフェースを提供することができる。ＩＴ部門を欠く自宅ユーザおよびスモール・オフィスに魅力的であることとして、モバイル・セキュリティ・システム３４５は、エンド・ユーザが、ブラウザを起動し、モバイル・セキュリティ・システム３４５に接続し、ホワイトＵＲＬリストおよびブラックＵＲＬリストを変更することなどを含め、様々なポリシー（更新ポリシー、セキュリティ規則など）を設定することなどを可能にする。また、エンド・ユーザに、契約によってモバイル・セキュリティ・システム３４５の遠隔管理のサービスを提供する機会も存在する。
【００５６】
図１０Ａ、図１０Ｂ、および図１０Ｃは、本発明の様々な実施形態による、モバイル・セキュリティ・システム３４５を移動デバイス３１０に接続する３つの例示的なアーキテクチャを示す。図１０Ａにおいて、移動デバイス３１０は、ＵＳＢ接続１０１５および１０２０を介してモバイル・セキュリティ・システム３４５に結合され、ＮＩＣカード１００５を介してインターネット３３０に結合される。移動デバイス３１０は、デバイス３１０のＮＩＣカード１００５を介してインターネット３３０からインターネット・トラフィックを受信する。移動デバイス３１０上のカーネル・レベル・リダイレクタ１０１０（例えば、ＮＤＩＳ、Ｗｉｎｓｏｃｋなどを介する）が、インターネット・トラフィックを、ＵＳＢ接続１０１５および１０２０を介してモバイル・セキュリティ・システム３４５に自動的にリダイレクトし、システム３４５は、そのインターネット・トラフィックをスキャンし、クリーンにし、クリーンにされたインターネット・トラフィックを、ＵＳＢ接続１０１５および１０２０を介して移動デバイス３１０に戻す。図１０Ｂにおいて、移動デバイス３１０は、ＵＳＢ接続１０２５および１０３０を介してモバイル・セキュリティ・システム３４５に結合される。モバイル・セキュリティ・システム３４５は、インターネット３３０からインターネット・トラフィックを受信するためのＮＩＣカード１０３５を含む。モバイル・セキュリティ・システム３４５は、インターネット・トラフィックをスキャンし、クリーンにし、ＵＳＢ接続１０２５および１０３０を介して移動デバイス３１０に転送する。図１０Ｃにおいて、移動デバイス３１０は、ＮＩＣカード１０４０および１０４５を介してモバイル・セキュリティ・システム３４５に結合される。モバイル・セキュリティ・システム３４５は、システム３４５のＮＩＣカード１０４５を介してインターネット３３０からインターネット・トラフィックを受信する。モバイル・セキュリティ・システム３４５は、そのインターネット・トラフィックをスキャンし、クリーンにし、ＮＩＣカード１０４０および１０４５を介して移動デバイス３１０に転送する。他の接続アーキテクチャも可能である。
【００５７】
図１２は、本発明の実施形態によるセキュリティで保護されたデータ交換システム１２００を示すブロック図である。セキュリティで保護されたデータ交換システム１２００は、セキュリティ・デバイス１２１０を介して外部デバイス１１１０に結合されたホスト・コンピュータ（ホスト）１２０５を含む。ホスト１２０５には、ラップトップ、デスクトップ、ＰＤＡ、移動電話機、またはその他のプロセッサ・ベースのデバイスが含まれることが可能である。外部デバイス１１１０は、ＵＳＢドライブ、外部ハードドライブ、ＰＤＡ、音楽プレーヤ、セル電話機などの、メモリを有する任意の外部デバイスであることが可能である。セキュリティ・デバイス１２１０は、ＥＤポート１２２５（ＵＳＢ接続、シリアル接続、パラレル接続、Ｆｉｒｅｗｉｒｅ接続、イーサネット接続、ＷｉＦｉ接続、ＷｉＭＡＸ接続、ＧＳＭ接続、ＣＤＭＡ接続、ＢｌｕｅＴｏｏｔｈ接続、ＰＣＭＣＩＡ接続、および／またはその他の接続）およびＥＤプラグ１２３０（ＵＳＢ接続、シリアル接続、パラレル接続、Ｆｉｒｅｗｉｒｅ接続、イーサネット接続、ＷｉＦｉ接続、ＷｉＭＡＸ接続、ＧＳＭ接続、ＣＤＭＡ接続、ＢｌｕｅＴｏｏｔｈ接続、ＰＣＭＣＩＡ接続、および／またはその他の接続）を介してホスト１２０５と通信するように結合される。外部デバイス１１１０は、ＥＤポート１２３５（ＵＳＢ接続、シリアル接続、パラレル接続、Ｆｉｒｅｗｉｒｅ接続、イーサネット接続、ＷｉＦｉ接続、ＷｉＭＡＸ接続、ＧＳＭ接続、ＣＤＭＡ接続、ＢｌｕｅＴｏｏｔｈ接続、ＰＣＭＣＩＡ接続、および／またはその他の接続）およびＥＤプラグ１１２０（ＵＳＢ接続、シリアル接続、パラレル接続、Ｆｉｒｅｗｉｒｅ接続、イーサネット接続、ＷｉＦｉ接続、ＷｉＭＡＸ接続、ＧＳＭ接続、ＣＤＭＡ接続、ＢｌｕｅＴｏｏｔｈ接続、ＰＣＭＣＩＡ接続、および／またはその他の接続）を介してセキュリティ・デバイス１２１０と通信するように結合される。ＥＤポート１２２５とＥＤプラグ１２３０の組み合わせのコネクタ・タイプは、ＥＤポート１２３５とＥＤプラグ１１２０の組み合わせのコネクタ・タイプとは異なることが可能である。一実施形態では、すべてのポート１２２５／１２３５、およびすべてのプラグ１２３０／１１２０は、ＵＳＢである。プラグ１１２０／１２３０は、オスとして示され、ポート１２２５／１２３５は、メスとして示されるものの、その逆が可能である（プラグ１１２０／１２３０が、メスであることが可能であり、ポート１２２５／１２３５が、オスであることが可能である）ことが、当業者には認識されよう。
【００５８】
ホスト１２０５は、列挙を実行し、セキュリティ・デバイス１２１０との通信を可能にするためのＥＤドライバ１２２０を含む。同様に、セキュリティ・デバイス１２１０は、列挙を実行し、外部デバイス１１１０との通信を可能にするためのＥＤドライバ１２４５を含む。
【００５９】
一実施形態では、セキュリティ・デバイス１２１０は、ウイルス、スパイウェア、アドウェア、トロイの木馬などの悪意のあるコードから保護し、さらにプライベート・データの転送を防ぐセキュリティ・ポリシーを執行することができるプログラマブル・ハードウェア機器を含む。一実施形態では、セキュリティ・デバイス１２１０は、ホスト１２０５と外部デバイス１２１５をともに保護するように構成される。一実施形態では、セキュリティ・デバイス１２１０は、外部デバイス１１１０またはホスト１２０５のいずれかだけを保護するように構成される。セキュリティ・デバイス１２１０のさらなる詳細が、図１３および図１４を参照して与えられる。
【００６０】
図１３は、本発明の実施形態によるセキュリティ・デバイス１２１０の詳細を示すブロック図である。セキュリティ・デバイス１２１０は、通信チャネル１３１５に結合された、Ｉｎｔｅｌ Ｐｅｎｔｉｕｍ（登録商標）マイクロプロセッサまたはＭｏｔｏｒｏｌａ Ｐｏｗｅｒ ＰＣ（登録商標）マイクロプロセッサなどの、プロセッサ１３０５を含む。セキュリティ・デバイス１２１０は、通信チャネル１３１５にそれぞれ結合された、ＥＤプラグ１２３０、ＥＤポート１２３５、通信インタフェース１３１０、ＥＥＰＲＯＭなどのストレージ１３２０、およびＲＡＭ（ランダム・アクセス・メモリ）またはＲＯＭ（読み取り専用メモリ）などのメモリ１３２５をさらに含む。通信インタフェース１３１０は、インターネットなどのネットワークに結合されることが可能である。ストレージ１３２０とメモリ１３２５は、異なるユニットとして図示されているものの、データ記憶デバイス１３２０とメモリ１３２５は、同一のユニット、分散されたユニット、仮想メモリなどの部分であることも可能であることが、当業者には認識されよう。本明細書における「メモリ」という用語は、永久であるか、一時的であるかにかかわらず、すべてのデータ記憶媒体を範囲に含むことを意図している。セキュリティ・デバイス１２１０は、ネットワーク接続、さらなるメモリ、さらなるプロセッサ、ＬＡＮ、ハードウェア・チャネル、インターネット、またはイントラネットを介して情報を転送するための入力／出力線など、さらなる構成要素を含むことが可能であることが、当業者には認識されよう。
【００６１】
図示されるとおり、メモリ１３２５は、Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓ ＸＰ、ＩＢＭ ＯＳ／２オペレーティング・システム、ＭＡＣ ＯＳ、Ｕｎｉｘ ＯＳ、Ｌｉｎｕｘ ＯＳなどのオペレーティング・システム１３３０を格納する。好ましい実施形態は、言及されるプラットフォームおよびオペレーティング・システム以外のプラットフォーム上、およびオペレーティング・システム上で実施されることも可能であることが認められよう。或る実施形態は、場合により、オブジェクト指向プログラミング方法を使用して、ＪＡＶＡ言語、Ｃ言語、および／またはＣ＋＋言語、あるいは他のプログラミング言語を使用して書かれることが可能である。また、メモリ１３２５は、ＥＤドライバ１２４５およびセキュリティ・システム１３３５も格納する。ＥＤドライバ１２４５には、標準の外部デバイス１１１０のための標準のドライバ、および独自の外部デバイス１１１０のための独自のドライバが含まれることが可能である。ＥＤドライバ１２４５は、ＥＤプラグ１２３０を介してメモリ１３２５上に転送されることが可能である。セキュリティ・システム１３３５は、ホスト１２０５と外部デバイス１１１０の間のデータ転送アクションに対してセキュリティ・ポリシーを執行するためのコードを含む。
【００６２】
図１４は、本発明の実施形態によるセキュリティ・システム１３３５の詳細を示すブロック図である。セキュリティ・システム１３３５は、セキュリティ・マネージャ１４０５、セキュリティ・エンジン１４１０、セキュリティ・ポリシー１４１５、およびセキュリティ・データ１４２０を含む。
【００６３】
一実施形態では、セキュリティ・マネージャ１４０５は、列挙、すなわち、外部デバイス１１１０または外部デバイス１１１０タイプを識別すること、およびセキュリティ・デバイス１２１０と外部デバイス１１１０の間で通信を確立することができる、対応するＥＤドライバ１２４５を識別することを実行するためのコードを含む。また、セキュリティ・マネージャ１４０５は、セキュリティ・ポリシー１４１５およびセキュリティ・データ１４２０に基づいて、様々なセキュリティ・エンジン１４１０の実行を制御して、データ転送要求またはその他のデバイス要求を評価するコードも含む。さらに、セキュリティ・マネージャ１４０５は、データ転送要求および／またはその他の要求のソースとなるホスト１２０５と通信するコードを含む。
【００６４】
一実施形態では、セキュリティ・エンジン１４１０は、セキュリティ・ポリシー１４１５およびセキュリティ・データ１４２０に基づいて、ホスト１２０５と外部デバイス１１１０の間のデータの転送をセキュリティで保護するためのコードを含む。セキュリティ・エンジン１４１０は、ファイアウォール、ウイルス対策ソフト、スパイウェア対策ソフト、悪意のあるコンテンツ・フィルタリング、多層セキュリティ・モニタ、Ｊａｖａモニタ、およびバイトコード・モニタなどを含むことが可能である。また、セキュリティ・エンジン１４１０は、データ・プライバシー・ポリシー１４１５を執行するデータ・プライバシー・モジュールを含むことも可能である。各セキュリティ・エンジン１４１０は、転送を要求されたデータが、いずれの手続き、ＵＲＬ、システム・コール、コンテンツ、ＩＤなどを含むことが可能であるか、または転送を要求されたデータが、転送不能（もしくはパスワードやＩＤなどのさらなるセキュリティ対策なしには転送不能）であると考えられるかどうかを示す専用のセキュリティ・ポリシー１４１５およびセキュリティ・データ１４２０を有することが可能である。
【００６５】
より高いセキュリティ・レベルをもたらすのに、セキュリティ・エンジン１４１０は、コンテンツ解析アルゴリズムおよびリスク評価アルゴリズムを実施することができる。一実施形態では、セキュリティ・エンジン１４１０は、すべての転送オブジェクトに関して、そのオブジェクトのタイプ、複雑度、能力の豊かさ、ソースなどに基づいて、重みおよびランクを割り当てる。セキュリティ・エンジン１４１０は、知られている危険なソース、または知られている安全なソースのリストを使用して、ソースに基づいて重みを割り当てることができる。セキュリティ・エンジン１４１０は、ソース、例えば、賭博ソース、アダルト・コンテンツ・ソース、ニュース・ソース、評判のよい会社ソース、銀行業ソースなどのカテゴリに基づいて、オブジェクトに重みを割り当てることができる。セキュリティ・エンジン１４１０は、重みを計算することができ、さらにその結果に基づいて、コンテンツへのアクセス、スクリプトが実行されること、システム変更が行われることなどが許されるか、許されないかを決定することができる。セキュリティ・エンジン１４１０は、ユーザ・コンテンツを「学習する」ことができ（所定の期間にわたって、ユーザがアクセスする全般的なコンテンツを解析することによって）、それに相応して、パーソナル・コンテンツ・プロファイルを作成することができる。パーソナル・コンテンツ・プロファイルは、ランタイム解析中にコンテンツに割り当てられる重みを較正するのに使用されて、精度を向上させ、特定のユーザ特性に重み付きリスク解析を合わせることが可能である。
【００６６】
このため、ホスト１２０５からデータ転送要求および／またはその他の要求を受信すると、セキュリティ・マネージャ１４０５は、セキュリティ・ポリシー１４１５に基づいて、適切なセキュリティ・エンジン１４１０を起動する。例えば、セキュリティ・ポリシー１４１５は、特定のＡｃｔｉｖｅＸコントロールが、ホストから外部デバイス１１１０上にロードされることを許さないように構成されることが可能である。セキュリティ・ポリシー１４１５は、ホスト１２０５上のプライベート・フォルダから外部デバイス１１１０へのデータ転送を許さないように構成されることが可能である。セキュリティ・マネージャ１４０５は、これらの例示的なセキュリティ・ポリシー１４１５が満足させられることを確実にする適切なセキュリティ・エンジン１４１０を起動する。さらに、セキュリティ・エンジン１４１０は、悪意のあるＡｃｔｉｖｅＸコントロール、プライベート・フォルダのロケーションなどの定義ファイルを含むことが可能なセキュリティ・データ１４２０を使用することが可能である。
【００６７】
図示されていないが、セキュリティ・システム１３３５は、図５を参照して前述した、ＯＳおよびアプリケーションを有するプリブート・フラッシュ５２０、遠隔管理モジュール５５０、配信モジュール５５５、バックアップ・モジュール５６０などのさらなる構成要素を含むことが可能である。また、他の構成要素も可能である。
【００６８】
図１５は、本発明の別の実施形態によるセキュリティで保護されたデータ交換システム１５００を示すブロック図である。セキュリティで保護されたデータ交換システム１５００は、セキュリティ・デバイス１５０５上のＥＤプラグ１５１５、およびホスト１５２０上の第１のＥＤポート１５２５を介してホスト１５２０と通信するように結合されたセキュリティ・デバイス１５０５を含む。また、セキュリティで保護されたデータ交換システム１５００は、外部デバイス１１１０上のＥＤプラグ１１２０、およびホスト１５２０上の第２のＥＤポート１５３５を介してホスト１５２０と通信するように結合された外部デバイス１１１０も含む。
【００６９】
外部デバイス１１１０は、セキュリティ・デバイス１５０５に直接に結合されないため、セキュリティ・デバイス１５０５は、外部デバイス１１１０とホスト１５２０の間でデータ転送要求を物理的にインターセプトしていない。したがって、この実施形態では、ホスト１５２０は、データ転送方向にかかわらず、外部デバイス１１１０とホスト１５２０の間でデータ転送要求をリダイレクトするように構成されたリダイレクト・ドライバ１５３０を含む。一実施形態では、セキュリティ・デバイス１５０５は、外部デバイス１１１０またはホスト１５２０のいずれかだけを保護するように構成されることが可能である。さらに、一実施形態では、セキュリティ・デバイス１５０５は、ＥＤドライバ、例えば、ＥＤドライバ１２４５を全く含まない。
【００７０】
一実施形態では、セキュリティ・デバイス１５０５が、ホスト１５２０に結合されていない場合、ホスト１５２０は、ＥＤドライバ１５４０を使用して外部デバイス１１１０と通信する。一実施形態では、ホスト１５２０は、セキュリティ・デバイス１５０５がホスト１５２０に結合されるまで、外部デバイス１１１０と通信しないように構成される。一実施形態では、ホスト１５２０は、パスワードおよびＩＤの受信などの、さらなるセキュリティ対策がとられている場合に限って、またはセキュリティ・デバイス１５０５がホスト１５２０に結合されるまで、ＥＤドライバ１５４０を使用して外部デバイス１１１０と通信する。
【００７１】
一実施形態では、ホスト１５２０は、セキュリティ・デバイス１５０５がＥＤポート１５２５に接続されると、セキュリティ・デバイス１５０５の列挙を行うことが可能である。セキュリティ・デバイス１５０５またはセキュリティ・デバイス１５０５タイプを識別すると、ホスト１５２０は、リダイレクト・ドライバ１５３０を開始して、他のすべてのＥＤポート１５３５からのすべてのデータ転送要求、または他の外部デバイス１１１０要求をセキュリティ・デバイス１５０５にリダイレクトすることができる。一実施形態では、リダイレクト・ドライバ１５３０は、プロキシとして外部デバイス１１１０の要求を提示するセキュリティ・デバイス１５０５からのデータ転送要求だけを受け付ける。一実施形態では、リダイレクト・ドライバ１５３０は、セキュリティ・デバイス１５０５が、検査を行い、許可を与えて初めて、外部デバイス１１１０から受信されたデータ転送要求を実行する。他のプロトコルも可能である。
【００７２】
図１６は、本発明の実施形態によるホストと外部デバイスの間のセキュリティで保護されたデータ交換の方法１６００を示す流れ図である。方法１６００は、ステップ１６０５で、セキュリティ・デバイス１５０５が、ホスト１５２０の第１のＥＤポート１５２５に接続されることから始まる。ステップ１６１０で、外部デバイス１１１０が、ホスト１５２０の第２のＥＤポート１５３５に接続される。ステップ１６１５で、ホスト１５０５が、列挙技術を実行してセキュリティ・デバイス１５０５および外部デバイス１１１０を識別し、適切なドライバ１５３０／１５４０をインストールしてセキュリティ・デバイス１５０５および外部デバイス１１１０との通信を可能にする。ステップ１６２０で、リダイレクト・ドライバ１５３０が、ホスト１５０５から外部デバイス１１１０への、または外部デバイス１１１０からホスト１５０５へのデータ転送要求を受信する。ステップ１６２５で、リダイレクト・ドライバ１５３０が、データ転送要求をセキュリティ・デバイス１５０５にリダイレクトし、デバイス１５０５は、ステップ１６３０で、このデータ転送要求に対してデバイス１５０５のセキュリティ・ポリシー（ウイルス対策、スパイウェア対策、アドウェア対策、データ・プライバシーなど）を執行する。ステップ１６３５で、セキュリティ・デバイス１５０５が、このデータ転送要求が、それらのセキュリティ・ポリシーに合格するかどうかを判定する。合格する場合、ステップ１６４０で、セキュリティ・デバイス１５０５が、このデータ転送要求を許可し、ステップ１６４５で、ホスト１５２０が、このデータ転送要求を実行する。合格しない場合、ステップ１６５０で、セキュリティ・デバイス１５０５が、このデータ転送要求を拒否する。次に、方法１６００は、終了する。
【００７３】
一実施形態では、セキュリティ・デバイス１２１０／１５０５は、ホスト１２０５／１５２０の一部として、例えば、ホスト１２０５／１５２０の筐体内で、さらに／またはホスト１２０５／１５２０によって実行されるセキュリティ手続きとして実施されることが可能であることが認められよう。
【００７４】
本発明の好ましい実施形態の以上の説明は、単に例示的であり、前述した実施形態および方法の他の変種および変形も、以上の教示に照らして可能である。ネットワーク・サイトは、別々の、異種のサイトとして示されているものの、これらのサイトは、総合サイトの一部分であることが可能であり、それぞれ、複数のサイトの部分を含むことが可能であり、あるいは単一のサイトと複数のサイトの組み合わせを含むことが可能であることが、当業者には認識されよう。本明細書で説明される様々な実施形態は、ハードウェアを利用して、ソフトウェアを利用して、あるいはハードウェアとソフトウェアの任意の所望される組み合わせを利用して実施されることが可能である。さらに言えば、本明細書で説明される様々な機能を実施することができる任意のタイプのロジックが、利用されることが可能である。構成要素は、プログラミングされた汎用デジタル・コンピュータを使用して、特定用途向け集積回路を使用して、または互いに接続された従来の構成要素および回路のネットワークを使用して実施されることが可能である。接続は、有線、無線、モデムなどであることが可能である。本明細書で説明される実施形態は、網羅的であること、または限定することは意図していない。本発明は、添付の特許請求の範囲だけによって限定される。
【符号の説明】
【００７５】
３００ ネットワーク・システム； ３０５ デスクトップ；
３１０ａ、３１０ｂ 移動デバイス； ３１５ イントラネット；
３２０ ネットワーク・セキュリティ・システム；
３２５ セキュリティ・アドミニストレータ； ３３０ インターネット；
３４０ 企業ネットワーク；
３４５ａ、３４５ｂ モバイル・セキュリティ・システム；
４００ コンピュータ・システム。
【特許請求の範囲】
【請求項１】
ホストと通信用に結合すべく機能する外部デバイス・プラグと、
外部デバイスと通信用に結合すべく機能する外部デバイス・ポートと、
プロセッサと、
メモリにして：
オペレーティング・システム； 前記外部デバイスとの通信を制御すべく機能する外部デバイス・ドライバ； および、前記外部デバイスと前記ホストの間のデータ転送要求に対してセキュリティ・ポリシーを執行すべく機能するセキュリティ・エンジン
を格納するメモリと
を含むセキュリティ・デバイス。
【請求項２】
前記ホスト上のドライバと一緒に機能する請求項１に記載のセキュリティ・デバイス。
【請求項３】
前記外部デバイス・プラグと前記外部デバイス・ポートの少なくともいずれかは、ＵＳＢ標準に準拠する請求項１に記載のセキュリティ・デバイス。
【請求項４】
前記外部デバイス・プラグと前記外部デバイス・ポートの少なくともいずれかは、無線接続を含む請求項１に記載のセキュリティ・デバイス。
【請求項５】
前記セキュリティ・エンジンは、ウイルス、スパイウェア、およびアドウェアの少なくとも１つの転送を防止する請求項１に記載のセキュリティ・デバイス。
【請求項６】
前記セキュリティ・エンジンは、プライベート・データの許可のない転送を防止する請求項１に記載のセキュリティ・デバイス。
【請求項７】
セキュリティ・デバイスにして： 第１の外部デバイス・プラグ； および、ホストから受信されたデータ転送要求に対してセキュリティ・ポリシーを執行すべく機能するセキュリティ・エンジンを含むセキュリティ・デバイスと、
第２の外部デバイス・プラグを含む外部デバイスと、
ホストにして： 前記第１の外部デバイス・プラグと通信するように結合されるように機能する第１の外部デバイス・ポート； 前記第２の外部デバイス・プラグと通信するように結合されるように機能する第２の外部デバイス・ポート； および、データ転送要求を、前記データ転送要求を実行する前に、前記ホストから前記セキュリティ・デバイスに転送すべく機能するリダイレクト・ドライバを含むホストと
を含むセキュリティで保護されたデータ交換システム。
【請求項８】
前記外部デバイスは、ＵＳＢドライブを含む請求項７に記載のセキュリティで保護されたデータ交換システム。
【請求項９】
前記外部デバイスは、ＰＤＡまたはセル電話機のいずれかを含む請求項７に記載のセキュリティで保護されたデータ交換システム。
【請求項１０】
前記ホストは、ラップトップ、デスクトップ、ＰＤＡ、またはセル電話機の１つを含む請求項７に記載のセキュリティで保護されたデータ交換システム。
【請求項１１】
前記ホストは、前記ホストへの前記セキュリティで保護されたデバイスの接続を検出すると、前記リダイレクト・ドライバを起動する請求項７に記載のセキュリティで保護されたデータ交換システム。
【請求項１２】
セキュリティ・デバイスをホストと通信するように結合すること、
外部デバイスを前記セキュリティ・デバイスと通信するように結合すること、
前記セキュリティ・デバイスによって、前記ホストからデータ転送要求を受信すること、および
前記セキュリティ・デバイスによって、前記データ転送要求に対して、前記データ転送要求が実行されることを許す前に、セキュリティ・ポリシーを執行することを含む方法。
【請求項１３】
セキュリティ・デバイスをホストと前記通信するように結合することは、有線接続または無線接続を使用することを含む請求項１２に記載の方法。
【請求項１４】
外部デバイスを前記ホストと前記通信するように結合することは、有線接続または無線接続を使用することを含む請求項１２に記載の方法。
【請求項１５】
前記データ転送要求は、前記ホストから前記外部デバイスにデータを転送する要求を含む請求項１２に記載の方法。
【請求項１６】
前記データ転送要求は、前記外部デバイスから前記ホストにデータを転送する要求を含む請求項１２に記載の方法。
【請求項１７】
前記執行することは、ウイルス、スパイウェア、およびアドウェアの少なくとも１つに関して、転送される前記データを点検することを含む請求項１２に記載の方法。
【請求項１８】
前記執行することは、前記データ転送要求が、プライベート・データを求める要求を含むかどうかを判定することを含む請求項１２に記載の方法。
【請求項１９】
前記執行することは、プライベート・データの前記転送を許す前に、さらなるセキュリティ検査を要求することを含む請求項１８に記載の方法。
【請求項２０】
セキュリティ・デバイスをホストと通信するように結合すること、
外部デバイスを前記ホストと通信するように結合すること、
前記ホストによって、データ転送要求を受信すること、
前記ホスト上のリダイレクト・ドライバを使用して、前記データ転送要求を前記セキュリティ・デバイスにリダイレクトすること、および
前記セキュリティ・デバイスによって、前記データ転送要求に対して、前記データ転送要求が実行されることを許す前に、セキュリティ・ポリシーを執行することを含む方法。
【請求項２１】
セキュリティ・デバイスをホストに前記通信するように結合することは、有線接続または無線接続を使用することを含む請求項２０に記載の方法。
【請求項２２】
外部デバイスを前記ホストに前記通信するように結合することは、有線接続または無線接続を使用することを含む
請求項２０に記載の方法。
【請求項２３】
前記データ転送要求は、前記ホストから前記外部デバイスにデータを転送する要求を含む請求項２０に記載の方法。
【請求項２４】
前記データ転送要求は、前記外部デバイスから前記ホストにデータを転送する要求を含む請求項２０に記載の方法。
【請求項２５】
前記執行することは、ウイルス、スパイウェア、およびアドウェアの少なくとも１つに関して、転送される前記データを点検することを含む請求項２０に記載の方法。
【請求項２６】
前記執行することは、前記データ転送要求が、プライベート・データを求める要求を含むかどうかを判定することを含む請求項２０に記載の方法。
【請求項２７】
前記執行することは、プライベート・データの前記転送を許す前に、さらなるセキュリティ検査を要求することを含む請求項２６に記載の方法。
【請求項１】
ホストと通信用に結合すべく機能する外部デバイス・プラグと、
外部デバイスと通信用に結合すべく機能する外部デバイス・ポートと、
プロセッサと、
メモリにして：
オペレーティング・システム； 前記外部デバイスとの通信を制御すべく機能する外部デバイス・ドライバ； および、前記外部デバイスと前記ホストの間のデータ転送要求に対してセキュリティ・ポリシーを執行すべく機能するセキュリティ・エンジン
を格納するメモリと
を含むセキュリティ・デバイス。
【請求項２】
前記ホスト上のドライバと一緒に機能する請求項１に記載のセキュリティ・デバイス。
【請求項３】
前記外部デバイス・プラグと前記外部デバイス・ポートの少なくともいずれかは、ＵＳＢ標準に準拠する請求項１に記載のセキュリティ・デバイス。
【請求項４】
前記外部デバイス・プラグと前記外部デバイス・ポートの少なくともいずれかは、無線接続を含む請求項１に記載のセキュリティ・デバイス。
【請求項５】
前記セキュリティ・エンジンは、ウイルス、スパイウェア、およびアドウェアの少なくとも１つの転送を防止する請求項１に記載のセキュリティ・デバイス。
【請求項６】
前記セキュリティ・エンジンは、プライベート・データの許可のない転送を防止する請求項１に記載のセキュリティ・デバイス。
【請求項７】
セキュリティ・デバイスにして： 第１の外部デバイス・プラグ； および、ホストから受信されたデータ転送要求に対してセキュリティ・ポリシーを執行すべく機能するセキュリティ・エンジンを含むセキュリティ・デバイスと、
第２の外部デバイス・プラグを含む外部デバイスと、
ホストにして： 前記第１の外部デバイス・プラグと通信するように結合されるように機能する第１の外部デバイス・ポート； 前記第２の外部デバイス・プラグと通信するように結合されるように機能する第２の外部デバイス・ポート； および、データ転送要求を、前記データ転送要求を実行する前に、前記ホストから前記セキュリティ・デバイスに転送すべく機能するリダイレクト・ドライバを含むホストと
を含むセキュリティで保護されたデータ交換システム。
【請求項８】
前記外部デバイスは、ＵＳＢドライブを含む請求項７に記載のセキュリティで保護されたデータ交換システム。
【請求項９】
前記外部デバイスは、ＰＤＡまたはセル電話機のいずれかを含む請求項７に記載のセキュリティで保護されたデータ交換システム。
【請求項１０】
前記ホストは、ラップトップ、デスクトップ、ＰＤＡ、またはセル電話機の１つを含む請求項７に記載のセキュリティで保護されたデータ交換システム。
【請求項１１】
前記ホストは、前記ホストへの前記セキュリティで保護されたデバイスの接続を検出すると、前記リダイレクト・ドライバを起動する請求項７に記載のセキュリティで保護されたデータ交換システム。
【請求項１２】
セキュリティ・デバイスをホストと通信するように結合すること、
外部デバイスを前記セキュリティ・デバイスと通信するように結合すること、
前記セキュリティ・デバイスによって、前記ホストからデータ転送要求を受信すること、および
前記セキュリティ・デバイスによって、前記データ転送要求に対して、前記データ転送要求が実行されることを許す前に、セキュリティ・ポリシーを執行することを含む方法。
【請求項１３】
セキュリティ・デバイスをホストと前記通信するように結合することは、有線接続または無線接続を使用することを含む請求項１２に記載の方法。
【請求項１４】
外部デバイスを前記ホストと前記通信するように結合することは、有線接続または無線接続を使用することを含む請求項１２に記載の方法。
【請求項１５】
前記データ転送要求は、前記ホストから前記外部デバイスにデータを転送する要求を含む請求項１２に記載の方法。
【請求項１６】
前記データ転送要求は、前記外部デバイスから前記ホストにデータを転送する要求を含む請求項１２に記載の方法。
【請求項１７】
前記執行することは、ウイルス、スパイウェア、およびアドウェアの少なくとも１つに関して、転送される前記データを点検することを含む請求項１２に記載の方法。
【請求項１８】
前記執行することは、前記データ転送要求が、プライベート・データを求める要求を含むかどうかを判定することを含む請求項１２に記載の方法。
【請求項１９】
前記執行することは、プライベート・データの前記転送を許す前に、さらなるセキュリティ検査を要求することを含む請求項１８に記載の方法。
【請求項２０】
セキュリティ・デバイスをホストと通信するように結合すること、
外部デバイスを前記ホストと通信するように結合すること、
前記ホストによって、データ転送要求を受信すること、
前記ホスト上のリダイレクト・ドライバを使用して、前記データ転送要求を前記セキュリティ・デバイスにリダイレクトすること、および
前記セキュリティ・デバイスによって、前記データ転送要求に対して、前記データ転送要求が実行されることを許す前に、セキュリティ・ポリシーを執行することを含む方法。
【請求項２１】
セキュリティ・デバイスをホストに前記通信するように結合することは、有線接続または無線接続を使用することを含む請求項２０に記載の方法。
【請求項２２】
外部デバイスを前記ホストに前記通信するように結合することは、有線接続または無線接続を使用することを含む
請求項２０に記載の方法。
【請求項２３】
前記データ転送要求は、前記ホストから前記外部デバイスにデータを転送する要求を含む請求項２０に記載の方法。
【請求項２４】
前記データ転送要求は、前記外部デバイスから前記ホストにデータを転送する要求を含む請求項２０に記載の方法。
【請求項２５】
前記執行することは、ウイルス、スパイウェア、およびアドウェアの少なくとも１つに関して、転送される前記データを点検することを含む請求項２０に記載の方法。
【請求項２６】
前記執行することは、前記データ転送要求が、プライベート・データを求める要求を含むかどうかを判定することを含む請求項２０に記載の方法。
【請求項２７】
前記執行することは、プライベート・データの前記転送を許す前に、さらなるセキュリティ検査を要求することを含む請求項２６に記載の方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０Ａ】
【図１０Ｂ】
【図１０Ｃ】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０Ａ】
【図１０Ｂ】
【図１０Ｃ】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【公表番号】特表２０１０−５２０５６６（Ｐ２０１０−５２０５６６Ａ）
【公表日】平成２２年６月１０日（２０１０．６．１０）
【国際特許分類】
【出願番号】特願２００９−５５２８６６（Ｐ２００９−５５２８６６）
【出願日】平成２０年３月５日（２００８．３．５）
【国際出願番号】ＰＣＴ／ＵＳ２００８／０５５９４２
【国際公開番号】ＷＯ２００９／０６１５２３
【国際公開日】平成２１年５月１４日（２００９．５．１４）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．Ｌｉｎｕｘ
２．Ｂｌｕｅｔｏｏｔｈ
３．ＧＳＭ
【出願人】（３０８０３３７００）ヨギー・セキュリティ・システムズ・リミテッド (3)
【Ｆターム（参考）】
【公表日】平成２２年６月１０日（２０１０．６．１０）
【国際特許分類】
【出願日】平成２０年３月５日（２００８．３．５）
【国際出願番号】ＰＣＴ／ＵＳ２００８／０５５９４２
【国際公開番号】ＷＯ２００９／０６１５２３
【国際公開日】平成２１年５月１４日（２００９．５．１４）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．Ｌｉｎｕｘ
２．Ｂｌｕｅｔｏｏｔｈ
３．ＧＳＭ
【出願人】（３０８０３３７００）ヨギー・セキュリティ・システムズ・リミテッド (3)
【Ｆターム（参考）】
[ Back to top ]