自動的に分散されるネットワーク保護
ネットワーク保護ソリューションを提供し、このソリューションでは、ゲートウェイ上で最小限の量のリソースを消費しながらクライアントについて目標レベルのセキュリティを達成する方法で、ゲートウェイとクライアントマシンとの間で様々なプロセスを自動的にかつ動的に分散することができるよう、クライアントマシンのセキュリティ機能をネットワークセキュリティゲートウェイに伝達する。例えば、指定されたヘルスポリシーおよび／またはコーポレートガバナンスポリシーに準拠し、かつ、設置され稼働中のＡ／Ｖ機能を有するものと知られているクライアントに関しては、ネットワークセキュリティゲートウェイは、クライアントへの受信ネットワークトラフィックに対してさらなるＡ／Ｖスキャニングを実行する必要がなく、そのため、ゲートウェイにおけるリソースを節約し、運営コストを低減することができる。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、自動的に分散されるネットワーク保護に関する。
【背景技術】
【０００２】
コンテンツ検査、ウイルス対策（「Ａ／Ｖ」）スキャニング、マルウェア（悪意のあるソフトウェア）ブロッキング、情報漏洩防止、侵入検出等を含む、様々な種類のセキュリティ、ネットワークトラフィック保護および他の処理を行うために、ネットワークゲートウェイを使用することができる。そうした機能を提供することは、多くの場合、そのゲートウェイを介してネットワークへのアクセスを行うＰＣ（パーソナルコンピュータ）やモバイルデバイス（例えば携帯電話、スマートフォン、ハンドヘルドゲームデバイス、パーソナルメディアプレーヤー、ハンドヘルドコンピュータ等）などのクライアントマシンの数に直線的に関係する、処理能力、ディスク領域、メモリ、帯域幅等の点で著しいリソースを消費する。ゲートウェイを介したネットワークアクセスを要求するクライアントマシンの数が増加するにつれ、より多くのネットワークゲートウェイを設置しなければならないので、そうしたリソースの消費は、ネットワークゲートウェイセキュリティソリューションのスケーラビリティに影響を与える可能性がある。
【０００３】
さらに、この処理を実行するためのネットワーク帯域幅のコストは、かなりのものである可能性がある。要求にサービス提供するために必要な、クライアントからゲートウェイへのすべてのラウンドトリップは、帯域幅のコストと処理のコストとの両方を意味する。要求されるラウンドトリップおよびサーバー上の処理時間は、全体的なシステムの応答およびクライアント上で実行される様々なユーザーアプリケーションのパフォーマンスを低下させる可能性がある。これらの固有の限界（すなわちスケーラビリティおよび帯域幅）は、業務用の企業（エンタープライズ）ネットワークをサポートするデータセンタ、およびホストされたサービスとしてネットワーク保護を提供するサービスプロバイダ両方の運営コストに著しく影響を及ぼす可能性がある。そうしたサービスプロバイダに関しては、サービスによって保護されているユーザーの数とともにサービスの運営コストが直線的に増加するので、コスト効率のよいビジネスモデルを特定することは多くの場合困難であり得る。
【０００４】
この背景技術は、以下に続く、発明の概要および発明を実施するための形態のための簡潔な状況を紹介するために提供される。この背景技術は、特許請求の範囲に記載する主題の範囲を決定する助けになることも、特許請求の範囲に記載する主題を、上記に示した不都合または問題のいずれかもしくはすべてを解決する実装形態に限定するものであるとみなされることも意図しない。
【発明の概要】
【課題を解決するための手段】
【０００５】
ネットワーク保護ソリューションを提供し、このソリューションでは、ゲートウェイ上で最小限の量のリソースを消費しながらクライアントについて目標レベルのセキュリティを達成する方法で、ゲートウェイとクライアントマシンとの間で様々なプロセスを自動的にかつ動的に分散することができるよう、クライアントマシンのセキュリティ機能をネットワークセキュリティゲートウェイに伝達する。例えば、指定されたヘルスポリシーおよび／またはコーポレートガバナンスポリシーに準拠しかつ設置され稼働中であり、かつ／または最新の脅威データに対して最新のＡ／Ｖ機能を有するものと知られているクライアントに関しては、ネットワークセキュリティゲートウェイは、クライアントへの受信ネットワークトラフィックに対してさらなるＡ／Ｖスキャニングを実行する必要がなく、そのため、ゲートウェイにおけるリソースを節約し、運営コストを低減することができる。
【０００６】
様々な説明のための例では、クライアントマシンにおけるユーザーが、インターネットなどの外部ネットワーク上のウェブサイトのようなリソースにアクセスしようとする場合、そのクライアントがネットワークセキュリティゲートウェイに接続するとき、適用されるポリシーに対するそのクライアントの準拠およびそのクライアントのセキュリティ機能の列挙が転送される。ゲートウェイは、そのクライアントの準拠性およびセキュリティ機能に従って自らのアクションを調節して作業が重複することを回避し、これにより、所望の保護レベルを維持しながらゲートウェイにおけるリソースの消費量を低減するために、できるだけ多くの仕事をクライアントにオフロードすることができる。しかし、非準拠クライアント（すなわち適用されるヘルスポリシーおよび／またはコーポレートガバナンスポリシーに従わないクライアント）には、一般に仕事をオフロードせず、その代わりに、非準拠クライアントのセキュリティを所望のレベルに保つことを確実にするために、ゲートウェイがセキュリティプロセスを実行する。ゲートウェイが自らのアクションを調節し、クライアントにプロセスをオフロードするとき、ユーザーが検索した情報の鮮度や、インターネットの全体的なセキュリティ状態などの外部要因も考慮することができる。
【０００７】
クライアントが、ネットワークトラフィックを処理するために最小限の機能を有する一部の事例では、ゲートウェイが、ウェブサイトへの接続、ＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）フィルタリングやＡ／Ｖスキャニングの実行など、プロセス一式を実行する。クライアントが準拠しており、より完全に構成されまたは能力がある場合、このゲートウェイは、このゲートウェイにおけるリソース消費量がより少ないように、より多くのプロセスをローカルで実行するようクライアントに命令する。ゲートウェイにおいて消費されるいかなるリソースも、例えばネットワークの分析および最適化を可能にするためにログを取られ、またはホストされたネットワーク保護サービスの場合、単に保護されているクライアントの数ではなく、ネットワークセキュリティゲートウェイにおける実際のリソース消費量に基づいて課金情報を生成するために、そのログを使用することができる。一部の実装形態では、複数のネットワークセキュリティゲートウェイを利用することができ、その場合、プロセスはゲートウェイの間で動的に負荷分散される。
【０００８】
有利なことに、この自動的に分散されるネットワーク保護ソリューションは、所望のネットワーク保護レベルを維持しながらコストを低減するために、クライアントと最適化すべきゲートウェイとの間でネットワークトラフィックの処理を割り当てることを可能にする。ゲートウェイにおけるリソース消費量のログを取る能力は、企業ネットワークおよびホストされたサービスの顧客の両方が、どのようにリソースが利用されているのか特定し、それに応じてクライアントの構成を調節することを可能にする。例えば、ゲートウェイにおいてリソースを消費することに対して金銭的ペナルティがもたらされることにより、消費者はクライアント（またはローカルに設置されるゲートウェイ、すなわち企業内に位置し、典型的には管理者がローカルに管理するゲートウェイ）により多くのセキュリティ機能を配備しようという気になる。すると、このネットワークセキュリティゲートウェイをより不定期に、例えばクライアントマシンが、完全には準拠していないまたはローカルセキュリティ機能を備えていないが、それでもなお使用されなければならない場合のバックアップとして頼ることができる。
【０００９】
この発明の概要は、以下の、発明を実施するための形態の中でさらに説明する一連の概念を簡略化した形で紹介するために提供する。この発明の概要は、特許請求の範囲に記載する主題の主要な特徴または不可欠な特徴を特定することも、特許請求の範囲に記載する主題の範囲を決定する助けとして使用されることも意図しない。
【図面の簡単な説明】
【００１０】
【図１】この自動的に分散されるネットワーク保護ソリューションを設置することができる、説明のためのコンピューティング環境を示す図である。
【図２】クライアントマシンとネットワークセキュリティゲートウェイとの間でプロセスを割り当てる、説明のための方法の概要を示す図である。
【図３】ローカルセキュリティ保護を僅かに備えるクライアントにおけるユーザーが、インターネット上のウェブサイトにアクセスする、第１の説明のための使用シナリオを示す図である。
【図４】より完全に装備されたクライアントにおけるユーザーが、インターネット上のウェブサイトにアクセスする、第２の説明のための使用シナリオを示す図である。
【図５】完全に装備されたクライアントにおけるユーザーが、インターネット上のウェブサイトにアクセスする、第３の説明のための使用シナリオを示す図である。
【図６】ローカルクライアントにプロセスをオフロードする際に外部要因を考慮することができ、複数のネットワークセキュリティゲートウェイにわたり負荷分散を実行することもできる代替的構成を示す図である。
【発明を実施するための形態】
【００１１】
図中、同じ参照番号は同じ要素を示す。
【００１２】
図１は、この自動的に分散されるネットワーク保護ソリューションを設置することができる、説明のためのコンピューティング環境１００を示す。コンピューティング環境１００は、ＰＣ、ラップトップ、ワークステーションなど、何台かのクライアントマシン１１６１，２．．．Ｎを含む企業ネットワーク１０５をサポートする。例えばこの企業ネットワークの外部の移動ユーザーが使用するデバイス、または消費者ユーザーなどの他者が使用するデバイスに相当することができる、他のクライアントマシン１２１１．．．Ｎも図示する。この例で企業ネットワーク１０５を使用することは、企業（すなわち非消費者用途）で使用される典型的なネットワークの実例となることを意図するが、実際の実装形態は図示する形態と異なってもよい。
【００１３】
この企業ネットワーク１０５内には、ネットワークセキュリティゲートウェイ１２６１（この説明では以下、「ゲートウェイ」と呼ぶ）が位置し、様々なセキュリティ関連プロセスの任意のものを実行できるように構成される。そうしたプロセスには、実装形態によって異なり得るが、典型的にはコンテンツ検査、ウイルス対策スキャニング、マルウェアブロッキング、情報漏洩防止、および同様の種類のプロセスが含まれる。ゲートウェイ１２６１は、通常何らかの種類の認証、承認、および監査機能（多くの場合、「ＡＡＡ」機能と呼ばれる）を実行して、所与のユーザーを識別し、有効なユーザーがどのリソースにアクセスできるのかを決定する様々なポリシーを適用し、ネットワークの分析または課金目的でその有効なユーザーが使用する時間およびデータを追跡することにより、アクセス制御を可能にする。ゲートウェイ１２６１は、場合によってはデータの圧縮など、様々な種類のネットワーク帯域幅最適化技法を実行するように構成することもできる。
【００１４】
この例では、クライアント１２１は、ゲートウェイ１２６１を介して、インターネット１３７上の外部の電子メールサーバー、ウェブサイト、データベースなどの外部リソース１３１にアクセスできるようになる。このゲートウェイ１２６１は、他のセキュリティ製品（図１には不図示）とともに設置することができ、必ずしも企業ネットワーク１０５内のクライアント１１６にセキュリティを提供するための唯一の手段として機能することを意図するものではないことを強調しておく。
【００１５】
もう１つのゲートウェイ１２６Ｎも、環境１００内で利用され、ホストされたサービス１４２としてクライアント１２１がネットワーク保護を得ることができる、ウェブ対応サービスまたは「クラウドベース」サービスとして設置される。ゲートウェイ１２６Ｎは、企業ネットワーク１０５内のゲートウェイ１２６１と同様の特徴および機能を提供するように構成することができる。しかし、典型的には企業ネットワークベースのゲートウェイ１２６１の場合のように、ローカルに位置しかつ／またはローカル管理者によって管理されるのではなく、ゲートウェイ１２６Ｎは、インターネット１３７を介したサービスとして、クライアント１２１によってリモートでアクセスされる。図１には示さないが、一部の実装形態では、企業ネットワーク１０５内のクライアント１１６は、企業ネットワークベースのゲートウェイを置換しまたは補うためのサービスとして、ゲートウェイを利用することもできる。したがって、任意の所与の実装形態で使用されるゲートウェイの数は異なり得る。
【００１６】
図２は、クライアント１２１とゲートウェイ１２６Ｎとの間でセキュリティプロセスを割り当てる、説明のための方法の概要を示す。この方法をクライアント１２１およびゲートウェイ１２６Ｎに関して記載するが、この方法は、企業ネットワーク１０５内のクライアント１１６および企業ネットワークベースのゲートウェイ１２６１について同等の適用性を有することを指摘しておく。例えばインターネット１３７上のウェブサイトなどのリソースにアクセスしようとする場合に、クライアント１２１がゲートウェイ１２６Ｎに接続するとき、参照番号２０５によって示すように、クライアント１２１は、適用されるヘルスポリシーおよび／またはコーポレートガバナンスポリシーに対する自らの準拠、ならびに自らのセキュリティ機能についての列挙もしくはリストをゲートウェイに転送する。
【００１７】
そうした準拠は、例えばネットワークアクセス保護（「ＮＡＰ」）システムを使用してモニタすることができる。そうしたシステムは知られており、典型的には、クライアントが誰であるのか、そのクライアントが属するグループ、ならびにそのクライアントがヘルスポリシーおよび／またはコーポレートガバナンスポリシーに準拠する程度に基づき、ネットワーク管理者が詳細レベルのネットワークアクセスを定義することを可能にする。そうしたポリシーは、実装形態によって異なり得る。クライアントが準拠していない場合、ＮＡＰは、典型的にはそのクライアントを再び自動的に準拠させるための機構を提供し、その後、そのクライアントのネットワークアクセスレベルを動的に高める。典型的な実装形態では、ゲートウェイ１２６Ｎは、適用されるポリシーに対するクライアントの準拠を周期的に再チェックする。
【００１８】
ゲートウェイ１２６Ｎに準拠情報を提供することに加え、そのリストは、例えばクライアント１２１が、設置されているＡ／Ｖ製品を有するかどうか、その製品の動作状態（例えば、その製品が最後に更新されたのはいつか）、そのクライアントがオンにされたファイアウォールを備えるのか、そのクライアントが、知られている悪意のあるＵＲＬを（例えばＵＲＬをブラックリストまたは同様のコンストラクトと突き合わせて比較することにより）フィルタで除去する機能を有するのか、侵入防止システム（「ＩＰＳ」−「悪い」通信を識別し、その通信に対し処置を取るために使用される）がクライアント１２１上に存在し稼働中か等を含む、クライアントのセキュリティ機能を明らかにすることもできる。
【００１９】
準拠およびセキュリティ機能を伝達することは、ＮＡＰ ＡＰＩ（アプリケーションプログラミングインターフェイス）や他のセキュアチャネルなど、既存の手段を使用して実施することができる。あるいは、本出願の譲受人によって所有され、参照によりその全体が本明細書に組み込まれる、２００７年３月１４日に出願された「Ｅｎｔｅｒｐｒｉｓｅ Ｓｅｃｕｒｉｔｙ Ａｓｓｅｓｓｍｅｎｔ Ｓｈａｒｉｎｇ」と題された米国特許出願第１１／７２４，０６１号明細書に記載のように、ＥＳＡＳ（エンタープライズセキュリティアセスメント共有）アーキテクチャを利用することができる。
【００２０】
参照番号２１２によって示すように、ゲートウェイ１２６Ｎが、クライアント１２１の準拠およびセキュリティ機能を分析し、自らのネットワークトラフィックの処理を調節する。一般に、ゲートウェイ１２６Ｎは、クライアント１２１の準拠およびセキュリティ機能が縮小されている（すなわち、クライアント１２１がセキュリティ機能の点で「シンクライアント」であり、かつ／または適用されるポリシーに準拠しない）とき、より多くの処理を自らが実行する。逆に、クライアント１２１がより多くの完全なセキュリティ機能を備える「リッチクライアント」であり、適用されるポリシーに完全に準拠する場合、ゲートウェイ１２６Ｎは、自らの処理をより最小限になるように調節する。さらに、ゲートウェイ１２６Ｎは、適用されるポリシーに対するクライアントの準拠が何らかの理由で変わる場合、自らの処理レベルを変更することができる。一般にすべての場合において、ゲートウェイ１２６Ｎにおける処理の間消費されるリソースのレベルが何であろうと、それらのリソースは典型的には追跡され、参照番号２２５によって示すように、ログ２２０内に永続ベースで記憶される。このログ２２０は、例えば、単にゲートウェイ１２６Ｎによって保護されているクライアントマシンの数などの他の何らかの任意の測度に基づいてではなく、ゲートウェイ１２６Ｎにおける実際のリソース消費量に基づいて（参照番号２３６によって示すように）顧客に対する課金情報を生成するように構成される、課金システム２３１の一部として構成することができる。
【００２１】
商業ベースで消費者に提供される、ホストされたネットワーク保護サービスのプロビジョニングに関連する課金など、商業シナリオでは課金がしばしば利用されるが、この課金の概念はビジネスシナリオにも適用することができる。例えば、図１に示す企業ネットワーク１０５内で、各部門または他の組織は、ＩＴ（情報技術）リソースまたはＩＴサービスを使用することに関し、多くの場合、内部的に課金される。この自動的に分散されるネットワーク保護ソリューションは、そうしたゲートウェイサービスに対する内部的課金をより包括的かつ正確に行えるようにする。
【００２２】
次に図３〜図５に移ると、このソリューションの原理を強調する、いくつかの説明のためのシナリオが図示されている。前と同じように、これらのシナリオは、クライアント１２１およびゲートウェイ１２６Ｎに関して図示し記載するが、これらのシナリオは、企業ネットワーク１０５内のクライアント１１６および企業ネットワークベースのゲートウェイ１２６１について同等の適用性を有することを意図することを指摘しておく。さらに、記載する特定のセキュリティ機能は単に説明のためであるに過ぎないことを意図し、網羅的であるとみなすべきではない。
【００２３】
図３に示すシナリオでは、ローカルに設置されるセキュリティリソース、または適用されるポリシー（すなわちヘルスポリシーおよび／またはコーポレートガバナンスポリシー）に対するその準拠に関し、クライアント１２１を、シンクライアントであるとみなす。このクライアント１２１におけるユーザーは、（参照番号３０５によって示すように）インターネット１３７を介してリソース１３１からのウェブサイトをブラウズすることを望む。クライアント１２１は、ゲートウェイ１２６Ｎを介してリソース１３１に接続し、その接続プロセス中、自らの適用されるポリシーに対する準拠およびセキュリティ機能の列挙を転送する（３１０）。クライアント１２１が、任意のネットワークセキュリティプロセスを実行するように装備されていないか、または適用されるポリシーに準拠していないとき、ゲートウェイ１２６Ｎは、セキュリティ処理作業をそのクライアントにオフロードしない。したがって、ゲートウェイ１２６Ｎは、そのクライアントのためにＵＲＬフィルタリングをまず実行して（３１５）、そのユーザーがアクセスしようとしたウェブサイトが、例えばフィッシングサイトであるまたはマルウェアを含む等により、悪意があると知られているかどうか判定する。悪意があると判定される場合、ゲートウェイがアクセスをブロックする。
【００２４】
そのウェブサイトへのアクセスがブロックされない場合、ゲートウェイ１２６Ｎが、クライアント１２１のプロキシとして、要求されたウェブサイトに接続する（３２０）。そのウェブサイトがコンテンツを返すと、ゲートウェイ１２６Ｎは、ウイルスおよび／または他のマルウェアがないかどうかそのコンテンツを検査する（３２５）。その後、クライアント１２１は、そのウェブサイトからのコンテンツを、さらに処理することなく自由に消費することができる（３３０）。
【００２５】
上記のシナリオは、今日ではありふれており、ゲートウェイ１２６Ｎにおける最高レベルのリソース消費量および対応する最高レベルの課金を表す。このシナリオは、セキュリティに関して完全に能力があるが、適用されるポリシーに準拠しないリッチクライアントについても同様である。そのような場合、ゲートウェイ１２６Ｎは、仕事をリッチクライアントにオフロードせず、そのクライアントのために高レベルのセキュリティ処理を実行する。
【００２６】
図４に示すシナリオでは、クライアント１２１は、ＵＲＬフィルタリングでは構成されないがＡ／Ｖ検査機能で構成されることにより、中間レベルのセキュリティ機能を有し、適用されるヘルスポリシーおよび／またはコーポレートガバナンスポリシーに準拠するとみなされる。このクライアント１２１におけるユーザーは、インターネット１３７を介してリソース１３１からのウェブサイトをブラウズすることを望む（４０５）。クライアント１２１は、ゲートウェイ１２６Ｎを介してリソース１３１に接続し、その接続プロセス中、自らの準拠およびセキュリティ機能の列挙を転送し（４１０）、この例では、その列挙は、クライアントが、適用されるポリシーに完全に準拠し、Ａ／Ｖ検査が設置され、すべての適用できる定義が更新された状態で稼働中であることを示す。
【００２７】
クライアント１２１は、Ａ／Ｖ検査を実行するように装備されているが、ＵＲＬフィルタリングを実行するようには装備されていないため、ゲートウェイ１２６Ｎは、そのクライアントのためにＵＲＬフィルタリングをまず実行し（４１５）、次いで、そのクライアントのプロキシとして、要求されたウェブサイトに接続する（４２０）。そのウェブサイトがコンテンツを返すと、クライアント１２１は、ローカルに設置された自らのＡ／Ｖ検査機能を使用してウイルスおよび／または他のマルウェアがないかどうかそのコンテンツを検査し（４２５）、その後、そのコンテンツを消費する。
【００２８】
このシナリオでは、処理オーバーヘッドがクライアント１２１とゲートウェイ１２６Ｎとの間で分散され、よってゲートウェイにおいて費やされる必要があるリソースがより少ないので、消費者に対してより低い課金を与える。
【００２９】
図５に示すシナリオでは、クライアント１２１は、この例では適用されるポリシーに完全に準拠するＡ／Ｖ検査機能およびＵＲＬフィルタリング機能の両方を含む、セキュリティ機能一式を備えるリッチクライアントである。クライアント１２１におけるユーザーは、ここでもインターネット１３７を介してリソース１３１からのウェブサイトをブラウズすることを望む（５０５）。クライアント１２１は、ゲートウェイ１２６Ｎを介してリソース１３１に接続し、その接続プロセス中、自らの準拠およびセキュリティ機能の列挙を転送し（５１０）、この例では、その列挙は、クライアントにＡ／Ｖ検査が設置され、すべての適用できる定義が更新された状態で稼働中であるだけでなく、クライアントが包括的かつ最新のＵＲＬフィルタリング機能を備えることを示す。
【００３０】
クライアントの準拠状態およびセキュリティ機能を知ることに応答して、ゲートウェイ１２６Ｎは、ウェブサイトに直接接続して、ゲートウェイを介したプロキシ接続の使用をやめるようクライアント１２１に命令する（５１５）。したがって、クライアント１２１は自らのＵＲＬフィルタリングを実行し（５２０）、所望のウェブサイトに直接接続する（５２５）。そのウェブサイトがコンテンツを返すと、クライアント１２１は、ローカルに設置された自らのＡ／Ｖ検査機能を使用してウイルスおよび／または他のマルウェアがないかどうかそのコンテンツを検査し（５３０）、その後、そのコンテンツを消費する。
【００３１】
上記に述べたように、ゲートウェイ１２６Ｎはクライアントの準拠状態を周期的に再チェックし、クライアントの状態が完全準拠から非準拠に変わる（例えばクライアント１２１上でウイルスの発生が生じる）場合、ゲートウェイはそのクライアントへのセキュリティ処理のオフロードを終了する。同様に、クライアント１２１上でセキュリティインシデントが発生し、そのためそのクライアントが何らかの形で危害を受けた可能性があることを示すＥＳＡＳセキュリティアセスメントが受信される場合、オフロードを同じく終了することもできる。
【００３２】
このシナリオでは、処理はほとんどすべてクライアント１２１にオフロードされているので、ゲートウェイ１２６Ｎが使用するリソースは最小限であり、典型的にはＡＡＡサービスだけである。このことは、顧客に対する最小限の課金をもたらす。
【００３３】
図６は、クライアントにプロセスをオフロードする際に外部要因を考慮することができ、複数のネットワークセキュリティゲートウェイにわたり負荷分散を実行することもできる代替的構成を示す。上記のように、この構成は、企業ネットワーク内のクライアントおよびゲートウェイ、ならびにホストされたネットワーク保護サービスに関連するクライアントおよびゲートウェイのどちらにも適用可能とすることができる。この外部要因を考慮することおよび負荷を分散することは、図２〜図５に図示し、付随するテキストに記載した技法を補い、または場合によってはそれらの技法を置換するために使用することができる。
【００３４】
ここで、クライアント１２１は、ゲートウェイ１２６Ｎに接続して準拠およびセキュリティ機能のリストをそのゲートウェイに転送し（６０５）、そのゲートウェイは、どのように自らの処理を調節し、クライアントに仕事をオフロードするのかを決定する際、様々な外部要因を考慮する（６１０）。そうした要因には、実例として（必ずしもこれらに限定されないが）、インターネット１３７の全体的なセキュリティ状態６１１、アクセスされた情報の鮮度６１２、および他の要因６１３が含まれる。例えば、インターネット上に重大な脅威がある場合、ゲートウェイ１２６Ｎは、特定の時刻にまたは時間間隔でのみ所望のウェブサイトに直接接続するようリッチクライアントに命令することができる。同様に、要求されたデータが１つまたは複数の信頼できるサーバー内に既にキャッシュ済みの場合、ゲートウェイ１２６Ｎは、それらのサーバーからデータを取得するようクライアント１２１に命令することができる。
【００３５】
１つまたは複数のさらなるゲートウェイ６１４にわたり、負荷分散も実行することができる（６１５）。説明のための一例では、ゲートウェイ１２６Ｎは、さらなるゲートウェイ６１４の間でどのように仕事を割り当てるのかを決定する際、クライアント１２１のセキュリティ機能、自らがサービス供給するすべてのクライアント間のセキュリティ処理の全負荷、アクセスされているデータの種類（例えば電子メール、ファイル、ウェブサイト等）、優先順位、ユーザープロファイル、および他の要因を考慮することができる。上記に記載したのと同様の方法で、単一のゲートウェイ１２６を利用する場合、さらなるゲートウェイ６１４は、ローカルクライアント１２１のためにセキュリティ処理を実行する際、ローカルクライアント１２１の機能を考慮する（６２０）。
【００３６】
負荷分散は、クラウドベースゲートウェイとローカルに設置されたゲートウェイと（例えば図１に示すゲートウェイ１２６Ｎおよび１２６１それぞれ）の間で実行することもできる。この例では、負荷分散はローカルに設置された（すなわち「ダウンストリーム」）ゲートウェイ１２６１を支持し、クラウドベース（すなわち「アップストリーム」）ゲートウェイ１２６Ｎのより好ましい運営コストを促進することができる。
【００３７】
この主題を構造的特徴および／または方法論的行為に特有の用語で記載してきたが、添付の特許請求の範囲に定義するこの主題は、必ずしも上記の特定の特徴または行為に限定されないことを理解すべきである。むしろ、上記の特定の特徴および行為は特許請求の範囲を実施する形態例として開示したものである。
【技術分野】
【０００１】
本発明は、自動的に分散されるネットワーク保護に関する。
【背景技術】
【０００２】
コンテンツ検査、ウイルス対策（「Ａ／Ｖ」）スキャニング、マルウェア（悪意のあるソフトウェア）ブロッキング、情報漏洩防止、侵入検出等を含む、様々な種類のセキュリティ、ネットワークトラフィック保護および他の処理を行うために、ネットワークゲートウェイを使用することができる。そうした機能を提供することは、多くの場合、そのゲートウェイを介してネットワークへのアクセスを行うＰＣ（パーソナルコンピュータ）やモバイルデバイス（例えば携帯電話、スマートフォン、ハンドヘルドゲームデバイス、パーソナルメディアプレーヤー、ハンドヘルドコンピュータ等）などのクライアントマシンの数に直線的に関係する、処理能力、ディスク領域、メモリ、帯域幅等の点で著しいリソースを消費する。ゲートウェイを介したネットワークアクセスを要求するクライアントマシンの数が増加するにつれ、より多くのネットワークゲートウェイを設置しなければならないので、そうしたリソースの消費は、ネットワークゲートウェイセキュリティソリューションのスケーラビリティに影響を与える可能性がある。
【０００３】
さらに、この処理を実行するためのネットワーク帯域幅のコストは、かなりのものである可能性がある。要求にサービス提供するために必要な、クライアントからゲートウェイへのすべてのラウンドトリップは、帯域幅のコストと処理のコストとの両方を意味する。要求されるラウンドトリップおよびサーバー上の処理時間は、全体的なシステムの応答およびクライアント上で実行される様々なユーザーアプリケーションのパフォーマンスを低下させる可能性がある。これらの固有の限界（すなわちスケーラビリティおよび帯域幅）は、業務用の企業（エンタープライズ）ネットワークをサポートするデータセンタ、およびホストされたサービスとしてネットワーク保護を提供するサービスプロバイダ両方の運営コストに著しく影響を及ぼす可能性がある。そうしたサービスプロバイダに関しては、サービスによって保護されているユーザーの数とともにサービスの運営コストが直線的に増加するので、コスト効率のよいビジネスモデルを特定することは多くの場合困難であり得る。
【０００４】
この背景技術は、以下に続く、発明の概要および発明を実施するための形態のための簡潔な状況を紹介するために提供される。この背景技術は、特許請求の範囲に記載する主題の範囲を決定する助けになることも、特許請求の範囲に記載する主題を、上記に示した不都合または問題のいずれかもしくはすべてを解決する実装形態に限定するものであるとみなされることも意図しない。
【発明の概要】
【課題を解決するための手段】
【０００５】
ネットワーク保護ソリューションを提供し、このソリューションでは、ゲートウェイ上で最小限の量のリソースを消費しながらクライアントについて目標レベルのセキュリティを達成する方法で、ゲートウェイとクライアントマシンとの間で様々なプロセスを自動的にかつ動的に分散することができるよう、クライアントマシンのセキュリティ機能をネットワークセキュリティゲートウェイに伝達する。例えば、指定されたヘルスポリシーおよび／またはコーポレートガバナンスポリシーに準拠しかつ設置され稼働中であり、かつ／または最新の脅威データに対して最新のＡ／Ｖ機能を有するものと知られているクライアントに関しては、ネットワークセキュリティゲートウェイは、クライアントへの受信ネットワークトラフィックに対してさらなるＡ／Ｖスキャニングを実行する必要がなく、そのため、ゲートウェイにおけるリソースを節約し、運営コストを低減することができる。
【０００６】
様々な説明のための例では、クライアントマシンにおけるユーザーが、インターネットなどの外部ネットワーク上のウェブサイトのようなリソースにアクセスしようとする場合、そのクライアントがネットワークセキュリティゲートウェイに接続するとき、適用されるポリシーに対するそのクライアントの準拠およびそのクライアントのセキュリティ機能の列挙が転送される。ゲートウェイは、そのクライアントの準拠性およびセキュリティ機能に従って自らのアクションを調節して作業が重複することを回避し、これにより、所望の保護レベルを維持しながらゲートウェイにおけるリソースの消費量を低減するために、できるだけ多くの仕事をクライアントにオフロードすることができる。しかし、非準拠クライアント（すなわち適用されるヘルスポリシーおよび／またはコーポレートガバナンスポリシーに従わないクライアント）には、一般に仕事をオフロードせず、その代わりに、非準拠クライアントのセキュリティを所望のレベルに保つことを確実にするために、ゲートウェイがセキュリティプロセスを実行する。ゲートウェイが自らのアクションを調節し、クライアントにプロセスをオフロードするとき、ユーザーが検索した情報の鮮度や、インターネットの全体的なセキュリティ状態などの外部要因も考慮することができる。
【０００７】
クライアントが、ネットワークトラフィックを処理するために最小限の機能を有する一部の事例では、ゲートウェイが、ウェブサイトへの接続、ＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）フィルタリングやＡ／Ｖスキャニングの実行など、プロセス一式を実行する。クライアントが準拠しており、より完全に構成されまたは能力がある場合、このゲートウェイは、このゲートウェイにおけるリソース消費量がより少ないように、より多くのプロセスをローカルで実行するようクライアントに命令する。ゲートウェイにおいて消費されるいかなるリソースも、例えばネットワークの分析および最適化を可能にするためにログを取られ、またはホストされたネットワーク保護サービスの場合、単に保護されているクライアントの数ではなく、ネットワークセキュリティゲートウェイにおける実際のリソース消費量に基づいて課金情報を生成するために、そのログを使用することができる。一部の実装形態では、複数のネットワークセキュリティゲートウェイを利用することができ、その場合、プロセスはゲートウェイの間で動的に負荷分散される。
【０００８】
有利なことに、この自動的に分散されるネットワーク保護ソリューションは、所望のネットワーク保護レベルを維持しながらコストを低減するために、クライアントと最適化すべきゲートウェイとの間でネットワークトラフィックの処理を割り当てることを可能にする。ゲートウェイにおけるリソース消費量のログを取る能力は、企業ネットワークおよびホストされたサービスの顧客の両方が、どのようにリソースが利用されているのか特定し、それに応じてクライアントの構成を調節することを可能にする。例えば、ゲートウェイにおいてリソースを消費することに対して金銭的ペナルティがもたらされることにより、消費者はクライアント（またはローカルに設置されるゲートウェイ、すなわち企業内に位置し、典型的には管理者がローカルに管理するゲートウェイ）により多くのセキュリティ機能を配備しようという気になる。すると、このネットワークセキュリティゲートウェイをより不定期に、例えばクライアントマシンが、完全には準拠していないまたはローカルセキュリティ機能を備えていないが、それでもなお使用されなければならない場合のバックアップとして頼ることができる。
【０００９】
この発明の概要は、以下の、発明を実施するための形態の中でさらに説明する一連の概念を簡略化した形で紹介するために提供する。この発明の概要は、特許請求の範囲に記載する主題の主要な特徴または不可欠な特徴を特定することも、特許請求の範囲に記載する主題の範囲を決定する助けとして使用されることも意図しない。
【図面の簡単な説明】
【００１０】
【図１】この自動的に分散されるネットワーク保護ソリューションを設置することができる、説明のためのコンピューティング環境を示す図である。
【図２】クライアントマシンとネットワークセキュリティゲートウェイとの間でプロセスを割り当てる、説明のための方法の概要を示す図である。
【図３】ローカルセキュリティ保護を僅かに備えるクライアントにおけるユーザーが、インターネット上のウェブサイトにアクセスする、第１の説明のための使用シナリオを示す図である。
【図４】より完全に装備されたクライアントにおけるユーザーが、インターネット上のウェブサイトにアクセスする、第２の説明のための使用シナリオを示す図である。
【図５】完全に装備されたクライアントにおけるユーザーが、インターネット上のウェブサイトにアクセスする、第３の説明のための使用シナリオを示す図である。
【図６】ローカルクライアントにプロセスをオフロードする際に外部要因を考慮することができ、複数のネットワークセキュリティゲートウェイにわたり負荷分散を実行することもできる代替的構成を示す図である。
【発明を実施するための形態】
【００１１】
図中、同じ参照番号は同じ要素を示す。
【００１２】
図１は、この自動的に分散されるネットワーク保護ソリューションを設置することができる、説明のためのコンピューティング環境１００を示す。コンピューティング環境１００は、ＰＣ、ラップトップ、ワークステーションなど、何台かのクライアントマシン１１６１，２．．．Ｎを含む企業ネットワーク１０５をサポートする。例えばこの企業ネットワークの外部の移動ユーザーが使用するデバイス、または消費者ユーザーなどの他者が使用するデバイスに相当することができる、他のクライアントマシン１２１１．．．Ｎも図示する。この例で企業ネットワーク１０５を使用することは、企業（すなわち非消費者用途）で使用される典型的なネットワークの実例となることを意図するが、実際の実装形態は図示する形態と異なってもよい。
【００１３】
この企業ネットワーク１０５内には、ネットワークセキュリティゲートウェイ１２６１（この説明では以下、「ゲートウェイ」と呼ぶ）が位置し、様々なセキュリティ関連プロセスの任意のものを実行できるように構成される。そうしたプロセスには、実装形態によって異なり得るが、典型的にはコンテンツ検査、ウイルス対策スキャニング、マルウェアブロッキング、情報漏洩防止、および同様の種類のプロセスが含まれる。ゲートウェイ１２６１は、通常何らかの種類の認証、承認、および監査機能（多くの場合、「ＡＡＡ」機能と呼ばれる）を実行して、所与のユーザーを識別し、有効なユーザーがどのリソースにアクセスできるのかを決定する様々なポリシーを適用し、ネットワークの分析または課金目的でその有効なユーザーが使用する時間およびデータを追跡することにより、アクセス制御を可能にする。ゲートウェイ１２６１は、場合によってはデータの圧縮など、様々な種類のネットワーク帯域幅最適化技法を実行するように構成することもできる。
【００１４】
この例では、クライアント１２１は、ゲートウェイ１２６１を介して、インターネット１３７上の外部の電子メールサーバー、ウェブサイト、データベースなどの外部リソース１３１にアクセスできるようになる。このゲートウェイ１２６１は、他のセキュリティ製品（図１には不図示）とともに設置することができ、必ずしも企業ネットワーク１０５内のクライアント１１６にセキュリティを提供するための唯一の手段として機能することを意図するものではないことを強調しておく。
【００１５】
もう１つのゲートウェイ１２６Ｎも、環境１００内で利用され、ホストされたサービス１４２としてクライアント１２１がネットワーク保護を得ることができる、ウェブ対応サービスまたは「クラウドベース」サービスとして設置される。ゲートウェイ１２６Ｎは、企業ネットワーク１０５内のゲートウェイ１２６１と同様の特徴および機能を提供するように構成することができる。しかし、典型的には企業ネットワークベースのゲートウェイ１２６１の場合のように、ローカルに位置しかつ／またはローカル管理者によって管理されるのではなく、ゲートウェイ１２６Ｎは、インターネット１３７を介したサービスとして、クライアント１２１によってリモートでアクセスされる。図１には示さないが、一部の実装形態では、企業ネットワーク１０５内のクライアント１１６は、企業ネットワークベースのゲートウェイを置換しまたは補うためのサービスとして、ゲートウェイを利用することもできる。したがって、任意の所与の実装形態で使用されるゲートウェイの数は異なり得る。
【００１６】
図２は、クライアント１２１とゲートウェイ１２６Ｎとの間でセキュリティプロセスを割り当てる、説明のための方法の概要を示す。この方法をクライアント１２１およびゲートウェイ１２６Ｎに関して記載するが、この方法は、企業ネットワーク１０５内のクライアント１１６および企業ネットワークベースのゲートウェイ１２６１について同等の適用性を有することを指摘しておく。例えばインターネット１３７上のウェブサイトなどのリソースにアクセスしようとする場合に、クライアント１２１がゲートウェイ１２６Ｎに接続するとき、参照番号２０５によって示すように、クライアント１２１は、適用されるヘルスポリシーおよび／またはコーポレートガバナンスポリシーに対する自らの準拠、ならびに自らのセキュリティ機能についての列挙もしくはリストをゲートウェイに転送する。
【００１７】
そうした準拠は、例えばネットワークアクセス保護（「ＮＡＰ」）システムを使用してモニタすることができる。そうしたシステムは知られており、典型的には、クライアントが誰であるのか、そのクライアントが属するグループ、ならびにそのクライアントがヘルスポリシーおよび／またはコーポレートガバナンスポリシーに準拠する程度に基づき、ネットワーク管理者が詳細レベルのネットワークアクセスを定義することを可能にする。そうしたポリシーは、実装形態によって異なり得る。クライアントが準拠していない場合、ＮＡＰは、典型的にはそのクライアントを再び自動的に準拠させるための機構を提供し、その後、そのクライアントのネットワークアクセスレベルを動的に高める。典型的な実装形態では、ゲートウェイ１２６Ｎは、適用されるポリシーに対するクライアントの準拠を周期的に再チェックする。
【００１８】
ゲートウェイ１２６Ｎに準拠情報を提供することに加え、そのリストは、例えばクライアント１２１が、設置されているＡ／Ｖ製品を有するかどうか、その製品の動作状態（例えば、その製品が最後に更新されたのはいつか）、そのクライアントがオンにされたファイアウォールを備えるのか、そのクライアントが、知られている悪意のあるＵＲＬを（例えばＵＲＬをブラックリストまたは同様のコンストラクトと突き合わせて比較することにより）フィルタで除去する機能を有するのか、侵入防止システム（「ＩＰＳ」−「悪い」通信を識別し、その通信に対し処置を取るために使用される）がクライアント１２１上に存在し稼働中か等を含む、クライアントのセキュリティ機能を明らかにすることもできる。
【００１９】
準拠およびセキュリティ機能を伝達することは、ＮＡＰ ＡＰＩ（アプリケーションプログラミングインターフェイス）や他のセキュアチャネルなど、既存の手段を使用して実施することができる。あるいは、本出願の譲受人によって所有され、参照によりその全体が本明細書に組み込まれる、２００７年３月１４日に出願された「Ｅｎｔｅｒｐｒｉｓｅ Ｓｅｃｕｒｉｔｙ Ａｓｓｅｓｓｍｅｎｔ Ｓｈａｒｉｎｇ」と題された米国特許出願第１１／７２４，０６１号明細書に記載のように、ＥＳＡＳ（エンタープライズセキュリティアセスメント共有）アーキテクチャを利用することができる。
【００２０】
参照番号２１２によって示すように、ゲートウェイ１２６Ｎが、クライアント１２１の準拠およびセキュリティ機能を分析し、自らのネットワークトラフィックの処理を調節する。一般に、ゲートウェイ１２６Ｎは、クライアント１２１の準拠およびセキュリティ機能が縮小されている（すなわち、クライアント１２１がセキュリティ機能の点で「シンクライアント」であり、かつ／または適用されるポリシーに準拠しない）とき、より多くの処理を自らが実行する。逆に、クライアント１２１がより多くの完全なセキュリティ機能を備える「リッチクライアント」であり、適用されるポリシーに完全に準拠する場合、ゲートウェイ１２６Ｎは、自らの処理をより最小限になるように調節する。さらに、ゲートウェイ１２６Ｎは、適用されるポリシーに対するクライアントの準拠が何らかの理由で変わる場合、自らの処理レベルを変更することができる。一般にすべての場合において、ゲートウェイ１２６Ｎにおける処理の間消費されるリソースのレベルが何であろうと、それらのリソースは典型的には追跡され、参照番号２２５によって示すように、ログ２２０内に永続ベースで記憶される。このログ２２０は、例えば、単にゲートウェイ１２６Ｎによって保護されているクライアントマシンの数などの他の何らかの任意の測度に基づいてではなく、ゲートウェイ１２６Ｎにおける実際のリソース消費量に基づいて（参照番号２３６によって示すように）顧客に対する課金情報を生成するように構成される、課金システム２３１の一部として構成することができる。
【００２１】
商業ベースで消費者に提供される、ホストされたネットワーク保護サービスのプロビジョニングに関連する課金など、商業シナリオでは課金がしばしば利用されるが、この課金の概念はビジネスシナリオにも適用することができる。例えば、図１に示す企業ネットワーク１０５内で、各部門または他の組織は、ＩＴ（情報技術）リソースまたはＩＴサービスを使用することに関し、多くの場合、内部的に課金される。この自動的に分散されるネットワーク保護ソリューションは、そうしたゲートウェイサービスに対する内部的課金をより包括的かつ正確に行えるようにする。
【００２２】
次に図３〜図５に移ると、このソリューションの原理を強調する、いくつかの説明のためのシナリオが図示されている。前と同じように、これらのシナリオは、クライアント１２１およびゲートウェイ１２６Ｎに関して図示し記載するが、これらのシナリオは、企業ネットワーク１０５内のクライアント１１６および企業ネットワークベースのゲートウェイ１２６１について同等の適用性を有することを意図することを指摘しておく。さらに、記載する特定のセキュリティ機能は単に説明のためであるに過ぎないことを意図し、網羅的であるとみなすべきではない。
【００２３】
図３に示すシナリオでは、ローカルに設置されるセキュリティリソース、または適用されるポリシー（すなわちヘルスポリシーおよび／またはコーポレートガバナンスポリシー）に対するその準拠に関し、クライアント１２１を、シンクライアントであるとみなす。このクライアント１２１におけるユーザーは、（参照番号３０５によって示すように）インターネット１３７を介してリソース１３１からのウェブサイトをブラウズすることを望む。クライアント１２１は、ゲートウェイ１２６Ｎを介してリソース１３１に接続し、その接続プロセス中、自らの適用されるポリシーに対する準拠およびセキュリティ機能の列挙を転送する（３１０）。クライアント１２１が、任意のネットワークセキュリティプロセスを実行するように装備されていないか、または適用されるポリシーに準拠していないとき、ゲートウェイ１２６Ｎは、セキュリティ処理作業をそのクライアントにオフロードしない。したがって、ゲートウェイ１２６Ｎは、そのクライアントのためにＵＲＬフィルタリングをまず実行して（３１５）、そのユーザーがアクセスしようとしたウェブサイトが、例えばフィッシングサイトであるまたはマルウェアを含む等により、悪意があると知られているかどうか判定する。悪意があると判定される場合、ゲートウェイがアクセスをブロックする。
【００２４】
そのウェブサイトへのアクセスがブロックされない場合、ゲートウェイ１２６Ｎが、クライアント１２１のプロキシとして、要求されたウェブサイトに接続する（３２０）。そのウェブサイトがコンテンツを返すと、ゲートウェイ１２６Ｎは、ウイルスおよび／または他のマルウェアがないかどうかそのコンテンツを検査する（３２５）。その後、クライアント１２１は、そのウェブサイトからのコンテンツを、さらに処理することなく自由に消費することができる（３３０）。
【００２５】
上記のシナリオは、今日ではありふれており、ゲートウェイ１２６Ｎにおける最高レベルのリソース消費量および対応する最高レベルの課金を表す。このシナリオは、セキュリティに関して完全に能力があるが、適用されるポリシーに準拠しないリッチクライアントについても同様である。そのような場合、ゲートウェイ１２６Ｎは、仕事をリッチクライアントにオフロードせず、そのクライアントのために高レベルのセキュリティ処理を実行する。
【００２６】
図４に示すシナリオでは、クライアント１２１は、ＵＲＬフィルタリングでは構成されないがＡ／Ｖ検査機能で構成されることにより、中間レベルのセキュリティ機能を有し、適用されるヘルスポリシーおよび／またはコーポレートガバナンスポリシーに準拠するとみなされる。このクライアント１２１におけるユーザーは、インターネット１３７を介してリソース１３１からのウェブサイトをブラウズすることを望む（４０５）。クライアント１２１は、ゲートウェイ１２６Ｎを介してリソース１３１に接続し、その接続プロセス中、自らの準拠およびセキュリティ機能の列挙を転送し（４１０）、この例では、その列挙は、クライアントが、適用されるポリシーに完全に準拠し、Ａ／Ｖ検査が設置され、すべての適用できる定義が更新された状態で稼働中であることを示す。
【００２７】
クライアント１２１は、Ａ／Ｖ検査を実行するように装備されているが、ＵＲＬフィルタリングを実行するようには装備されていないため、ゲートウェイ１２６Ｎは、そのクライアントのためにＵＲＬフィルタリングをまず実行し（４１５）、次いで、そのクライアントのプロキシとして、要求されたウェブサイトに接続する（４２０）。そのウェブサイトがコンテンツを返すと、クライアント１２１は、ローカルに設置された自らのＡ／Ｖ検査機能を使用してウイルスおよび／または他のマルウェアがないかどうかそのコンテンツを検査し（４２５）、その後、そのコンテンツを消費する。
【００２８】
このシナリオでは、処理オーバーヘッドがクライアント１２１とゲートウェイ１２６Ｎとの間で分散され、よってゲートウェイにおいて費やされる必要があるリソースがより少ないので、消費者に対してより低い課金を与える。
【００２９】
図５に示すシナリオでは、クライアント１２１は、この例では適用されるポリシーに完全に準拠するＡ／Ｖ検査機能およびＵＲＬフィルタリング機能の両方を含む、セキュリティ機能一式を備えるリッチクライアントである。クライアント１２１におけるユーザーは、ここでもインターネット１３７を介してリソース１３１からのウェブサイトをブラウズすることを望む（５０５）。クライアント１２１は、ゲートウェイ１２６Ｎを介してリソース１３１に接続し、その接続プロセス中、自らの準拠およびセキュリティ機能の列挙を転送し（５１０）、この例では、その列挙は、クライアントにＡ／Ｖ検査が設置され、すべての適用できる定義が更新された状態で稼働中であるだけでなく、クライアントが包括的かつ最新のＵＲＬフィルタリング機能を備えることを示す。
【００３０】
クライアントの準拠状態およびセキュリティ機能を知ることに応答して、ゲートウェイ１２６Ｎは、ウェブサイトに直接接続して、ゲートウェイを介したプロキシ接続の使用をやめるようクライアント１２１に命令する（５１５）。したがって、クライアント１２１は自らのＵＲＬフィルタリングを実行し（５２０）、所望のウェブサイトに直接接続する（５２５）。そのウェブサイトがコンテンツを返すと、クライアント１２１は、ローカルに設置された自らのＡ／Ｖ検査機能を使用してウイルスおよび／または他のマルウェアがないかどうかそのコンテンツを検査し（５３０）、その後、そのコンテンツを消費する。
【００３１】
上記に述べたように、ゲートウェイ１２６Ｎはクライアントの準拠状態を周期的に再チェックし、クライアントの状態が完全準拠から非準拠に変わる（例えばクライアント１２１上でウイルスの発生が生じる）場合、ゲートウェイはそのクライアントへのセキュリティ処理のオフロードを終了する。同様に、クライアント１２１上でセキュリティインシデントが発生し、そのためそのクライアントが何らかの形で危害を受けた可能性があることを示すＥＳＡＳセキュリティアセスメントが受信される場合、オフロードを同じく終了することもできる。
【００３２】
このシナリオでは、処理はほとんどすべてクライアント１２１にオフロードされているので、ゲートウェイ１２６Ｎが使用するリソースは最小限であり、典型的にはＡＡＡサービスだけである。このことは、顧客に対する最小限の課金をもたらす。
【００３３】
図６は、クライアントにプロセスをオフロードする際に外部要因を考慮することができ、複数のネットワークセキュリティゲートウェイにわたり負荷分散を実行することもできる代替的構成を示す。上記のように、この構成は、企業ネットワーク内のクライアントおよびゲートウェイ、ならびにホストされたネットワーク保護サービスに関連するクライアントおよびゲートウェイのどちらにも適用可能とすることができる。この外部要因を考慮することおよび負荷を分散することは、図２〜図５に図示し、付随するテキストに記載した技法を補い、または場合によってはそれらの技法を置換するために使用することができる。
【００３４】
ここで、クライアント１２１は、ゲートウェイ１２６Ｎに接続して準拠およびセキュリティ機能のリストをそのゲートウェイに転送し（６０５）、そのゲートウェイは、どのように自らの処理を調節し、クライアントに仕事をオフロードするのかを決定する際、様々な外部要因を考慮する（６１０）。そうした要因には、実例として（必ずしもこれらに限定されないが）、インターネット１３７の全体的なセキュリティ状態６１１、アクセスされた情報の鮮度６１２、および他の要因６１３が含まれる。例えば、インターネット上に重大な脅威がある場合、ゲートウェイ１２６Ｎは、特定の時刻にまたは時間間隔でのみ所望のウェブサイトに直接接続するようリッチクライアントに命令することができる。同様に、要求されたデータが１つまたは複数の信頼できるサーバー内に既にキャッシュ済みの場合、ゲートウェイ１２６Ｎは、それらのサーバーからデータを取得するようクライアント１２１に命令することができる。
【００３５】
１つまたは複数のさらなるゲートウェイ６１４にわたり、負荷分散も実行することができる（６１５）。説明のための一例では、ゲートウェイ１２６Ｎは、さらなるゲートウェイ６１４の間でどのように仕事を割り当てるのかを決定する際、クライアント１２１のセキュリティ機能、自らがサービス供給するすべてのクライアント間のセキュリティ処理の全負荷、アクセスされているデータの種類（例えば電子メール、ファイル、ウェブサイト等）、優先順位、ユーザープロファイル、および他の要因を考慮することができる。上記に記載したのと同様の方法で、単一のゲートウェイ１２６を利用する場合、さらなるゲートウェイ６１４は、ローカルクライアント１２１のためにセキュリティ処理を実行する際、ローカルクライアント１２１の機能を考慮する（６２０）。
【００３６】
負荷分散は、クラウドベースゲートウェイとローカルに設置されたゲートウェイと（例えば図１に示すゲートウェイ１２６Ｎおよび１２６１それぞれ）の間で実行することもできる。この例では、負荷分散はローカルに設置された（すなわち「ダウンストリーム」）ゲートウェイ１２６１を支持し、クラウドベース（すなわち「アップストリーム」）ゲートウェイ１２６Ｎのより好ましい運営コストを促進することができる。
【００３７】
この主題を構造的特徴および／または方法論的行為に特有の用語で記載してきたが、添付の特許請求の範囲に定義するこの主題は、必ずしも上記の特定の特徴または行為に限定されないことを理解すべきである。むしろ、上記の特定の特徴および行為は特許請求の範囲を実施する形態例として開示したものである。
【特許請求の範囲】
【請求項１】
自動的に分散されるネットワーク保護をクライアント（１２１）に提供するための、ネットワークセキュリティゲートウェイ（１２６）において実行する方法であって、
前記クライアントのセキュリティ機能、および前記クライアントのヘルスまたはガバナンスに関する１つもしくは複数のポリシーに対する前記クライアントの準拠状態の列挙を受信するステップ（２０５）と、
前記クライアントにおけるセキュリティ機能準拠の前記列挙に応じて、前記ネットワークセキュリティゲートウェイと前記クライアントとの間のセキュリティ関連処理の割り当てを調節するステップ（２１２）と、
前記クライアントのためにセキュリティ関連プロセスを実行するとき、前記ネットワークセキュリティゲートウェイが消費するリソースのレベルのログを取るステップ（２２５）と
を含むことを特徴とする方法。
【請求項２】
前記ログを取ったリソースのレベルを使用して、前記クライアントに適用される課金情報を生成するさらなるステップを含むことを特徴とする請求項１に記載の方法。
【請求項３】
前記クライアントは、企業ネットワーク内のコンピューティングデバイスであり、前記コンピューティングデバイスはＰＣ、ワークステーション、またはサーバーのうちの１つであることを特徴とする請求項１に記載の方法。
【請求項４】
前記ネットワークセキュリティゲートウェイは、コンテンツ検査、ウイルス対策スキャニング、マルウェアブロッキング、情報漏洩防止、ファイアウォールサービス、またはセキュリティポリシーの実行のうちの少なくとも１つを行うように構成されることを特徴とする請求項１に記載の方法。
【請求項５】
前記割り当てるステップは、セキュリティ関連プロセスを、前記ネットワークセキュリティゲートウェイから前記クライアントにオフロードするステップを含むことを特徴とする請求項１に記載の方法。
【請求項６】
前記クライアントの準拠状態を、周期的に再チェックするさらなるステップを含むことを特徴とする請求項１に記載の方法。
【請求項７】
前記クライアントが非準拠になるとき、前記オフロードするステップを終了するさらなるステップを含むことを特徴とする請求項５に記載の方法。
【請求項８】
セキュリティ機能および準拠状態の前記列挙は、ＮＡＰインターフェイス、ネットワークチャネル、またはＥＳＡＳセキュリティアセスメントのうちの１つを介して受信されることを特徴とする請求項１に記載の方法。
【請求項９】
ＡＡＡサービスを実行するさらなるステップを含むことを特徴とする請求項１に記載の方法。
【請求項１０】
１つまたは複数のさらなるゲートウェイへの、前記セキュリティ関連処理の負荷分散を実行するさらなるステップを含むことを特徴とする請求項１に記載の方法。
【請求項１１】
クラウドサービスをサポートするように構成されるネットワークセキュリティゲートウェイによって実行されることを特徴とする請求項１に記載の方法。
【請求項１２】
前記クライアントのために前記ゲートウェイにおいて実行されるセキュリティ関連処理に伴うリソースの消費に対して、ペナルティを課すさらなるステップを含むことを特徴とする請求項１に記載の方法。
【請求項１３】
前記クライアントにおけるより高いレベルのセキュリティ関連処理を刺激するよう、前記ペナルティは金銭的であることを特徴とする請求項１２に記載の方法。
【請求項１４】
前記クライアントは、ダウンストリームゲートウェイを含むことを特徴とする請求項１に記載の方法。
【請求項１５】
前記セキュリティ関連処理は、コンテンツ検査、ウイルス対策スキャニング、マルウェアブロッキング、情報漏洩防止、ファイアウォールサービス、またはセキュリティポリシーの実行のうちの少なくとも１つを含むことを特徴とする請求項１に記載の方法。
【請求項１】
自動的に分散されるネットワーク保護をクライアント（１２１）に提供するための、ネットワークセキュリティゲートウェイ（１２６）において実行する方法であって、
前記クライアントのセキュリティ機能、および前記クライアントのヘルスまたはガバナンスに関する１つもしくは複数のポリシーに対する前記クライアントの準拠状態の列挙を受信するステップ（２０５）と、
前記クライアントにおけるセキュリティ機能準拠の前記列挙に応じて、前記ネットワークセキュリティゲートウェイと前記クライアントとの間のセキュリティ関連処理の割り当てを調節するステップ（２１２）と、
前記クライアントのためにセキュリティ関連プロセスを実行するとき、前記ネットワークセキュリティゲートウェイが消費するリソースのレベルのログを取るステップ（２２５）と
を含むことを特徴とする方法。
【請求項２】
前記ログを取ったリソースのレベルを使用して、前記クライアントに適用される課金情報を生成するさらなるステップを含むことを特徴とする請求項１に記載の方法。
【請求項３】
前記クライアントは、企業ネットワーク内のコンピューティングデバイスであり、前記コンピューティングデバイスはＰＣ、ワークステーション、またはサーバーのうちの１つであることを特徴とする請求項１に記載の方法。
【請求項４】
前記ネットワークセキュリティゲートウェイは、コンテンツ検査、ウイルス対策スキャニング、マルウェアブロッキング、情報漏洩防止、ファイアウォールサービス、またはセキュリティポリシーの実行のうちの少なくとも１つを行うように構成されることを特徴とする請求項１に記載の方法。
【請求項５】
前記割り当てるステップは、セキュリティ関連プロセスを、前記ネットワークセキュリティゲートウェイから前記クライアントにオフロードするステップを含むことを特徴とする請求項１に記載の方法。
【請求項６】
前記クライアントの準拠状態を、周期的に再チェックするさらなるステップを含むことを特徴とする請求項１に記載の方法。
【請求項７】
前記クライアントが非準拠になるとき、前記オフロードするステップを終了するさらなるステップを含むことを特徴とする請求項５に記載の方法。
【請求項８】
セキュリティ機能および準拠状態の前記列挙は、ＮＡＰインターフェイス、ネットワークチャネル、またはＥＳＡＳセキュリティアセスメントのうちの１つを介して受信されることを特徴とする請求項１に記載の方法。
【請求項９】
ＡＡＡサービスを実行するさらなるステップを含むことを特徴とする請求項１に記載の方法。
【請求項１０】
１つまたは複数のさらなるゲートウェイへの、前記セキュリティ関連処理の負荷分散を実行するさらなるステップを含むことを特徴とする請求項１に記載の方法。
【請求項１１】
クラウドサービスをサポートするように構成されるネットワークセキュリティゲートウェイによって実行されることを特徴とする請求項１に記載の方法。
【請求項１２】
前記クライアントのために前記ゲートウェイにおいて実行されるセキュリティ関連処理に伴うリソースの消費に対して、ペナルティを課すさらなるステップを含むことを特徴とする請求項１に記載の方法。
【請求項１３】
前記クライアントにおけるより高いレベルのセキュリティ関連処理を刺激するよう、前記ペナルティは金銭的であることを特徴とする請求項１２に記載の方法。
【請求項１４】
前記クライアントは、ダウンストリームゲートウェイを含むことを特徴とする請求項１に記載の方法。
【請求項１５】
前記セキュリティ関連処理は、コンテンツ検査、ウイルス対策スキャニング、マルウェアブロッキング、情報漏洩防止、ファイアウォールサービス、またはセキュリティポリシーの実行のうちの少なくとも１つを含むことを特徴とする請求項１に記載の方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図２】
【図３】
【図４】
【図５】
【図６】
【公表番号】特表２０１１−５２７８５６（Ｐ２０１１−５２７８５６Ａ）
【公表日】平成２３年１１月４日（２０１１．１１．４）
【国際特許分類】
【出願番号】特願２０１１−５１７４７３（Ｐ２０１１−５１７４７３）
【出願日】平成２１年６月２６日（２００９．６．２６）
【国際出願番号】ＰＣＴ／ＵＳ２００９／０４８８９８
【国際公開番号】ＷＯ２０１０／００５８１４
【国際公開日】平成２２年１月１４日（２０１０．１．１４）
【出願人】（５０００４６４３８）マイクロソフト コーポレーション (3,165)
【Ｆターム（参考）】
【公表日】平成２３年１１月４日（２０１１．１１．４）
【国際特許分類】
【出願日】平成２１年６月２６日（２００９．６．２６）
【国際出願番号】ＰＣＴ／ＵＳ２００９／０４８８９８
【国際公開番号】ＷＯ２０１０／００５８１４
【国際公開日】平成２２年１月１４日（２０１０．１．１４）
【出願人】（５０００４６４３８）マイクロソフト コーポレーション (3,165)
【Ｆターム（参考）】
[ Back to top ]