JP2005251189A - ネットワークに接続されたコンピュータシステムを攻撃から保護するシステムおよび方法 - Google Patents

Abstract

【課題】 通信ネットワークに接続されたコンピューティングデバイスを識別されたセキュリティの脅威から保護するためのネットワークセキュリティシステムを提供する。
【解決手段】 セキュリティサービスは、この通信ネットワーク中のネットワークセキュリティモジュール向けられたセキュリティ情報を発行する。ネットワークセキュリティモジュールは、コンピュータとその通信ネットワークとの間に論理的にまたは物理的に挿入される。このセキュリティ情報は、ネットワークセキュリティモジュールによって実装されるときにこのコンピュータに対する識別されたセキュリティの脅威からこの対応するコンピュータを保護するセキュリティ対策を含む。
【選択図】 図５

Description

本発明は、ネットワークに接続されたコンピューティングデバイスを攻撃から保護するためのコンピュータシステムおよびコンピュータ実装方法に関する。

ますます多くのコンピュータ、および他のコンピューティングデバイスが、インターネットなど、様々なネットワークを介して相互接続されるにつれて、特にネットワーク上または情報ストリームで送付された侵入または攻撃からのコンピュータセキュリティが、ますます重要になってきている。当業者には理解されるように、これらの攻撃は、確かにそれだけには限定されないが、すべてが、非合法的目的のために１つまたは複数のコンピュータシステムのぜい弱性（ｖｕｌｎｅｒａｂｉｌｉｔｙ）を悪用した、コンピュータウイルス、コンピュータワーム、システムコンポーネントの置換、サービス拒否攻撃（ｄｅｎｉａｌ ｏｆ ｓｅｒｖｉｃｅ ａｔｔａｃｋ）、合法的なコンピュータシステム機能の誤用／乱用さえも含めて多数の異なる形式で到来する。様々なコンピュータ攻撃が技術的に互いに異なることが当業者には理解されようが、本発明の目的のため、また説明を簡単にするために、これらの攻撃のすべてを以降では全般的にコンピュータエクスプロイト（ｃｏｍｐｕｔｅｒ ｅｘｐｌｏｉｔ）、あるいはより簡単にエクスプロイト（ｅｘｐｌｏｉｔ）と呼ぶことにする。

コンピュータシステムが、コンピュータエクスプロイトによって攻撃される、または「感染させられる（ｉｎｆｅｃｔｅｄ）」ときには、システムデバイスを使用不可能にすること、ファームウェア、アプリケーション、またはデータファイルを消去または破損すること、機密上重要な可能性のあるデータをネットワーク上で別のロケーションへと伝送すること、このコンピュータシステムを遮断すること、あるいはこのコンピュータシステムをクラッシュさせることを含めて、この不利な結果は、いろいろである。必ずしもすべてではないにしても、多くのコンピュータエクスプロイトの別の悪性の様相は、感染したコンピュータシステムが他のコンピュータを感染させるために使用されることである。

図１は、コンピュータエクスプロイトが、一般に出回る例示のネットワーク環境１００を示す図である。図１に示すように、この典型的な例示のネットワーク環境１００は、すべてがイントラネットなどの通信ネットワーク１１０を介して、または一般にインターネットと呼ばれるグローバルなＴＣＰ／ＩＰネットワークを含むより大規模な通信ネットワークを介して、相互接続された複数台のコンピュータ１０２〜１０８を含んでいる。どんな理由であれ、コンピュータ１０２などこのネットワーク１１０に接続されたコンピュータ上の悪意のあるパーティは、コンピュータエクスプロイト１１２を開発し、これをこのネットワーク上に放出する。この放出されたコンピュータエクスプロイト１１２は、矢印１１４で示すようにコンピュータ１０４など１台または複数台のコンピュータによって受信され、そしてこのコンピュータを感染させる。多くのコンピュータエクスプロイトでは一般的なように、感染した後に、矢印１１６で示すようにコンピュータ１０４を使用してコンピュータ１０６など他のコンピュータを感染させ、次にこのコンピュータが、矢印１１８で示すようにコンピュータ１０８などさらに他のコンピュータを感染させる。明らかに、これら現代のコンピュータネットワークの速度および到達距離に起因して、コンピュータエクスプロイト１１２は、指数関数的な割合で「成長」し、速やかにローカルな流行病になり、これがグローバルなコンピュータ流行病へと急速にエスカレートする。

コンピュータエクスプロイト、および特にコンピュータウイルスおよびコンピュータワームに対する従来からの防御機構が、アンチウイルスソフトウェア（ａｎｔｉ−ｖｉｒｕｓ ｓｏｆｔｗａｒｅ）である。一般にアンチウイルスソフトウェアは、知られているコンピュータエクスプロイトに関連する識別可能なパターンを探し求めてネットワーク上から到来する着信データをスキャンする。知られているコンピュータエクスプロイトに関連するパターンを検出すると、このアンチウイルスソフトウェアは、この感染したデータからコンピュータウイルスを除去し、そのデータを隔離し、またはこの「感染した」着信データを削除することによって応答することができる。あいにく、アンチウイルスソフトウェアは、一般に「知られている」識別可能なコンピュータエクスプロイトを扱うものである。しばしば、これは、そのデータ中のパターンをこのエクスプロイトの「シグネチャ（ｓｉｇｎａｔｕｒｅ）」と呼ばれるものにマッチングさせることによって行われる。このエクスプロイト検出モデルにおける基本的な欠陥の１つは、コンピュータのアンチウイルスソフトウェアが、その新しいコンピュータエクスプロイトを識別し応答するように更新されるまで、未知のコンピュータエクスプロイトが、ネットワーク中で検査されずに伝搬し得ることである。

アンチウイルスソフトウェアが、数千の知られているコンピュータエクスプロイトを認識する上でより高度化され効率的になってきたのにつれて、これらコンピュータエクスプロイトもまた、より高度化されてきている。例えば、多数の最近のコンピュータエクスプロイトは、今や多相（ｐｏｌｙｍｏｒｐｈｉｃ）であり、換言すれば、移行中には、アンチウイルスソフトウェアで認識できる識別可能なパターンまたは「シグネチャ」を有さない。これらの多相エクスプロイトは、別のコンピュータシステムに伝搬する前にそれ自体を修正するので、アンチウイルスソフトウェアではしばしば認識可能でないことがある。

今日においてコンピュータエクスプロイトに対して保護する際に一般になっている別の防御機構は、ハードウェアまたはソフトウェアのネットワークファイアウォール（ｆｉｒｅｗａｌｌ）である。ファイアウォールは、内部ネットワークと外部ネットワークの間での情報の流れを制御することによって外部ネットワークを起源とする許可されていないアクセスから内部ネットワークを保護するセキュリティシステムであることが、当業者には理解されよう。このファイアウォールの外部を起源とするすべての通信は、まずこの通信を検査するプロキシ（ｐｒｏｘｙ）に送信され、この通信をその対象とするターゲットに転送することが安全であり、または許可可能かどうかが判定される。あいにく、許可可能なネットワークアクティビティ（ｎｅｔｗｏｒｋ ａｃｔｉｖｉｔｙ）が禁止されず、許可できないネットワークアクティビティは否定されるように、ファイアウォールを適切に構成することは、高度で複雑なタスクとなる。技術的な複雑さに加えて、ファイアウォールの構成は管理することが難しい。ファイアウォールが不適切に構成されるときには、許可可能なネットワークトラフィック（ｎｅｔｗｏｒｋ ｔｒａｆｆｉｃ）が不注意にもシャットダウンされ、許可できないネットワークトラフィックが通過することが許可されることもあり、この内部ネットワークが危うくする。この理由から、ファイアウォールに対する変更は、一般にはまれに、しかも技術的なネットワーク設計の問題に精通した人々によってしか行われない。

さらなるファイアウォールの制限として、ファイアウォールは内部のネットワークを保護するが、ファイアウォールは、特定のコンピュータについては何ら保護を提供しないことがある。換言すれば、ファイアウォールは、それ自体を特定のコンピュータのニーズに合うようにはしない。そうではなくて、たとえファイアウォールを使用して１台のコンピュータを保護するにしても、ファイアウォールは、やはりファイアウォールの構成に従ってそのコンピュータを保護するのであって、その１台のコンピュータの構成に従って保護するのではない。

ファイアウォールに関連したさらに他の問題は、ファイアウォールは、ファイアウォールが確立する境界内を起源とするコンピュータエクスプロイトからの保護を提供しないことである。換言すれば、エクスプロイトが、ファイアウォールによって保護されるネットワーク中に入ることができた後には、このエクスプロイトは、このファイアウォールによって禁止されないことである。従業員が、ポータブルコンピュータを家庭に（すなわち、企業のファイアウォール保護の外部に）持ち出し、このポータブルコンピュータを家庭であまり保護されていない環境内で使用するときに、この状況は、しばしば起きる。この従業員に知られないまま、このポータブルコンピュータは、そのとき感染する。このポータブルコンピュータがそのファイアウォールの保護の内部にあるその企業ネットワークに再接続されるときには、このエクスプロイトは、そのファイアウォールに検査されずに他のコンピュータをしばしば自由に感染させることがある。

前述のように、コンピュータエクスプロイトはまた、今や合法的なコンピュータシステム機能を攻撃において活用することもある。したがって、ファイアウォール提供業者およびアンチウイルスソフトウェア提供業者以外の多くのパーティが、これらのコンピュータエクスプロイトからコンピュータを守る際に協力する必要がある。例えば、オペレーティングシステム提供業者は、経済的な理由および契約上の理由のために、今では自分たちのオペレーティングシステムファンクションを絶えず解析してコンピュータエクスプロイトが使用することができる弱点またはぜい弱性を識別する必要がある。本考察の目的では、コンピュータエクスプロイトが、コンピュータシステムを攻撃することができるどのような達成のための道のことも、一般にコンピュータシステムのぜい弱性、または単にぜい弱性と呼ぶことにする。

ぜい弱性は、オペレーティングシステム、または他のコンピュータシステムコンポーネント、ドライバ、アプリケーションにおいて、識別され、対処されるので、これらの提供業者は、一般にソフトウェアの更新版をリリースして、そのぜい弱性を修復することになる。しばしばパッチとも呼ばれる、これらの更新版は、コンピュータシステム上にインストールしてこの識別されたぜい弱性からこのコンピュータシステムを保護するべきである。しかし、これらの更新版は、本質的にはこのオペレーティングシステム、デバイスドライバ、またはソフトウェアアプリケーションのコンポーネントに対するコード変更版である。したがって、これらは、アンチウイルスソフトウェア供給業者からのアンチウイルス更新版のように迅速にまた自由にはリリースすることができない。これらの更新版は、コード変更版であるので、このソフトウェアの更新版は、一般の人々にリリースするのに先立ってかなりのインハウステスト（ｉｎ−ｈｏｕｓｅ ｔｅｓｔｉｎｇ）を必要とする。あいにく、インハウステストにおいてさえ、ソフトウェアの更新版は、１つまたは複数の他のコンピュータシステム機能を破壊させ誤動作させることがある。したがって、ソフトウェアの更新は、コンピュータシステムを利用するパーティにとって非常に大きなジレンマを引き起こす。より詳細には、あるパーティが、彼らのコンピュータシステムを更新してぜい弱性からコンピュータシステムを保護し、彼らのコンピュータシステム動作を中断するリスクを冒すか、それともそのパーティが、彼らのコンピュータシステムを更新するのをやめて彼らのコンピュータシステムが感染することもあり得るというリスクを冒すかということになる。

本システム下においては、新しいコンピュータエクスプロイトが、ネットワーク１１０上で放出されるときと、コンピュータシステムが更新されてそのコンピュータエクスプロイトからコンピュータシステムを保護するときとの間に存在する、以下ではぜい弱性ウィンドウ（ｖｕｌｎｅｒａｂｉｌｉｔｙ ｗｉｎｄｏｗ）と呼ばれる期間が存在する。この名前が示唆するように、コンピュータがぜい弱である、すなわちその新しいコンピュータエクスプロイトにさらされる期間は、このぜい弱性ウィンドウ中の期間である。図２Ａ〜２Ｂは、このぜい弱性ウィンドウを示す例示の時系列のブロック図である。時系列に関する以下の考察に関して、重要な時刻またはイベントは、時系列に関するイベントとして識別し称することにする。

図２Ａは、今やパブリックネットワーク上に放出されている１つまたは複数の最近の高度なクラスのコンピュータエクスプロイトに関するコンピュータシステムのぜい弱性ウィンドウを示している。以下で説明するように、この新しいクラスのコンピュータエクスプロイトは、システム提供業者のセキュリティ対策を利用してコンピュータシステムのぜい弱性を識別し、その後にコンピュータエクスプロイトを作成し送付する。

図２Ａを参照すると、イベント２０２において、オペレーティングシステム提供業者は、そのリリース済みのオペレーティングシステム中のぜい弱性の存在を識別する。例えば、１つのシナリオでは、リリース済みのオペレーティングシステムのそれ自体の内部解析を実施するこのオペレーティングシステム提供業者が、コンピュータシステムを攻撃するために使用することができる以前には知られなかったぜい弱性を発見する。代替シナリオでは、この以前には知られなかったぜい弱性は、コンピュータシステム上でシステムセキュリティ解析を実施し、このぜい弱性に関する情報をこのオペレーティングシステム提供業者へと取り次ぐ組織を含めてサードパーティが発見する。

このオペレーティングシステム提供業者が、このセキュリティぜい弱性の存在を知った後に、このオペレーティングシステム提供業者は、このぜい弱性に対処を行い、これにより、イベント２０４において、このオペレーティングシステムを実行するどのようなコンピュータシステムをも保護するパッチの作成とリリースがもたらされる。一般に、オペレーティングシステム提供業者は、すべてのオペレーティングシステムのユーザに対してこのパッチをインストールするようにとの推薦状と共に、システムパッチが使用可能であるという何らかタイプの発表を行うことになる。このパッチは、影響のあるコンピュータシステム上にダウンロードおよびインストレーションを行うためにこのネットワーク１１０上の知られているロケーションに通常置かれる。

あいにく、頻繁に起こるように、このオペレーティングシステム提供業者が、このパッチをリリースした後、イベント２０６において、悪意のあるパーティは、このパッチをダウンロードし、何らかのリバースエンジニアリング（ｒｅｖｅｒｓｅ ｅｎｇｉｎｅｅｒｉｎｇ）、ならびにこのオペレーティングシステムまたは他のものが公開した任意の情報を使用して、このオペレーティングシステム中の「フィックスされた（ｆｉｘｅｄ）」ぜい弱性に関する詳細を識別する。この情報を使用して、この悪意のあるパーティは、この基礎になっているぜい弱性を攻撃するコンピュータエクスプロイトを作成する。イベント２０８において、この悪意あるパーティは、このネットワーク１１０上でこのコンピュータエクスプロイトを放出する。この「フィックス（ｆｉｘ）」としても知られるソフトウェアパッチを発行する目的は、基礎になっているぜい弱性を補正することであるが、この「フィックス」はしばしば、それ自体があいにくにも新しいぜい弱性を作成し、または含む複雑な１組のソフトウエアコードであり、この新たなぜい弱性は、悪意のあるパーティが作成するコンピュータエクスプロイトによって攻撃される可能性がある。したがって、この「フィックス」が補正するものを評価するのに追加して、この「フィックス」は、可能性のあるぜい弱性についても評価される。

「フィックス」が使用可能であるが、この悪意のあるパーティは、前述の理由を含めて様々な理由から必ずしもあらゆるぜい弱性のあるコンピュータシステムが、直ちにアップグレードされることにはならないことに気づいている。したがって、イベント２０８において、この悪意のあるパーティは、そのコンピュータエクスプロイト１１２をネットワーク１１０上に放出する。このコンピュータエクスプロイト１１２の放出は、前述のように、ぜい弱性ウィンドウ２１２を開始する、そこでは、ぜい弱なコンピュータシステムは、このコンピュータエクスプロイトの影響を受けやすい。イベント２１０において、このパッチが、コンピュータシステム上で最終的にインストールされたときに始めて、このぜい弱性ウィンドウ２１２は、このコンピュータシステムについて終了する。

今日放出される多くのコンピュータエクスプロイトは、図２Ａに関して説明したシナリオなどにおける知られているぜい弱性に基づいているが、場合によっては、以前には知られていないぜい弱性を利用したコンピュータエクスプロイトが、ネットワーク１１０上に放出されることがある。図２Ｂは、このシナリオの下における時系列２２０に関するぜい弱性ウィンドウ２３０を示している。したがって、時系列２２０上に示すように、イベント２２２において、悪意のあるパーティが、新しいコンピュータエクスプロイトを放出する。これは新しいコンピュータエクスプロイトであるので、ぜい弱なコンピュータシステムをその攻撃から保護するために使用可能なオペレーティングシステムのパッチもアンチウイルス更新版も存在しない。それに対応して、ぜい弱性ウィンドウ２３０が、開始される。

この新しいコンピュータエクスプロイトがこのネットワーク１１０上を循環した後のあるポイントで、イベント２２４で示されるように、オペレーティングシステム提供業者および／またはアンチウイルスソフトウェア提供業者は、この新しいコンピュータエクスプロイトを検出する。一般に、この新しいコンピュータエクスプロイトの存在がそのオペレーティングシステム提供業者と、アンチウイルスソフトウェア提供業者の両者によって数時間以内に検出されることが当業者には理解されよう。

このコンピュータエクスプロイトが検出された後に、このアンチウイルスソフトウェア提供業者は、パターン、または「シグネチャ」を識別するためのプロセスを開始して、これによりアンチウイルスソフトウェアがこのコンピュータエクスプロイトを認識できるようにすることができる。同様に、このオペレーティングシステム提供業者は、そのプロセスを開始してこのコンピュータエクスプロイトを解析して、このオペレーティングシステムについてパッチをリリースしてこのコンピュータエクスプロイトからこのオペレーティングシステムを保護する必要があるかどうかを判定する。これらの並行した努力の結果、イベント２２６において、このオペレーティングシステム提供業者および／またはアンチウイルスソフトウェア提供業者は、更新版、すなわちこのオペレーティングシステムへのソフトウェアパッチ、またはアンチウイルスの更新版をリリースし、これがこのコンピュータエクスプロイトに対して対処することになる。その後に、イベント２２８において、この更新版が、ユーザのコンピュータシステム上でインストールされ、それによってそのコンピュータシステムが保護され、このぜい弱性ウィンドウ２３０が、終了へと導かれる。

コンピュータエクスプロイトがコンピュータシステムに対してセキュリティの脅威をもたらす可能性のあるあらゆるシナリオの代表にすぎないが、以上の例から分かるように、ぜい弱性ウィンドウは、コンピュータエクスプロイト１１２がネットワーク１１０上に放出されたときから、対応する更新版がユーザのコンピュータシステム上にインストールされてそのぜい弱性ウィンドウが終了するときまでの間、存在している。悲しむべきことに、このぜい弱性ウィンドウが、長くても、または短くても、感染したコンピュータは、そのコンピュータの所有者に、少しでも可能である場合には、「ウイルス駆除」し修復するためにかなりの金額の費用を負わせる。この費用は、ネットワーク１１０に接続される数千、または数十万台のデバイスを有する大会社またはエンティティを取り扱う際には莫大になる可能性がある。このような費用は、かかるエクスプロイトが顧客のデータを改ざんし破壊し、このデータのすべてをトレースし修復することが極めて困難または不可能となり得る可能性によってさらに拡大される。必要なのは、保護を行う更新版が、そのコンピュータシステム上で使用可能および／またはインストール済みとなる以前でさえ、応答的な方法、および個別のコンピュータシステムのニーズに従ってコンピュータエクスプロイトに対してコンピュータシステムを保護するためのシステムおよび方法である。従来技術において見出された以上および他の課題について、本発明では対処している。

本発明の態様によれば、通信ネットワークに接続されたコンピューティングデバイスをセキュリティの脅威から保護するためのネットワークセキュリティシステム（ｎｅｔｗｏｒｋ ｓｅｃｕｒｉｔｙ ｓｙｓｔｅｍ）が提供される。このネットワークセキュリティシステムは、ネットワークセキュリティモジュール（ｎｅｔｗｏｒｋ ｓｅｃｕｒｉｔｙ ｍｏｄｕｌｅ）を含んでいる。このネットワークセキュリティモジュールは、コンピューティングデバイスとその通信ネットワークの間に挿入される。このネットワークセキュリティシステムはまた、セキュリティサービス（ｓｅｃｕｒｉｔｙ ｓｅｒｖｉｃｅ）を含んでいる。このセキュリティサービスは、ネットワークセキュリティモジュールに対してセキュリティ情報を発行し、このセキュリティ情報は、このネットワークセキュリティモジュールによって実装される際にこのコンピューティングデバイスをそのセキュリティの脅威から保護する。

本発明のさらなる態様によれば、通信ネットワーク中のコンピューティングデバイスをその通信ネットワーク上で送付されるセキュリティの脅威から保護するための方法が、提供される。その通信ネットワーク中のコンピューティングデバイスに対するセキュリティの脅威に関連した情報が、取得される。このセキュリティの脅威に関連したセキュリティ情報は、ネットワークセキュリティモジュールへと発行される。各ネットワークセキュリティモジュールは、コンピューティングデバイスと通信ネットワークの間に挿入される。このセキュリティ情報は、セキュリティ保護対策（ｐｒｏｔｅｃｔｉｖｅ ｓｅｃｕｒｉｔｙ ｍｅａｓｕｒｅ）を含んでおり、この対策は、ネットワークセキュリティモジュールが実施する際に、コンピューティングデバイスとその通信ネットワークの間の危険な恐れのある（ａｔ−ｒｉｓｋ）ネットワークアクティビティからそのコンピューティングデバイスを保護する。

本発明の前述の態様および付随する利点の多くは、添付図面と併せて以下の詳細な説明に関しての同様な理解が進むにつれ、さらに簡単に理解されよう。

図３Ａは、本発明の態様を実装するのに適した例示のネットワーク環境３００を示す図である。この例示のネットワーク環境３００は、ネットワーク１１０に接続されたコンピュータ３０２を含んでいる。本発明は、コンピュータ３０２などのパーソナルコンピュータに関連して動作する観点で一般的に説明しているが、これは、例証の目的にすぎず、本発明を限定するものと解釈すべきではないことに留意されたい。ほとんどどのようなネットワーク化されたコンピューティングデバイスでもコンピュータエクスプロイトによって攻撃され得ることが当業者には簡単に理解されよう。したがって、本発明を実装して、それだけには限定されないが、パーソナルコンピュータ、タブレットコンピュータ、ノートブックコンピュータ、ＰＤＡ（ｐｅｒｓｏｎａｌ ｄｉｇｉｔａｌ ａｓｓｉｓｔａｎｔ携帯型個人情報端末）、ミニコンピュータおよびメインフレームコンピュータ、（しばしばセル電話と呼ばれる）無線電話、無線電話／ＰＤＡの組合せなどのハイブリッドコンピューティングデバイスなどを含めて非常に多くのタイプのコンピュータ、コンピューティングデバイス、またはコンピューティングシステムを保護することができることが有利である。本発明を実装して、ハードウェアデバイス、周辺デバイス、ソフトウェアアプリケーション、デバイスドライバ、オペレーティングシステムなどを保護することができることもまた有利である。

このネットワーク１１０は、任意数の実際の通信ネットワークを含むことができることを理解されたい。これらの実際の通信ネットワークには、それだけには限定されないが、インターネット、ワイドエリアネットワークおよびローカルエリアネットワーク、イントラネット、セルラネットワーク、ＩＥＥＥ８０２．１１、およびブルートゥース（Ｂｌｕｅｔｏｏｔｈ）無線ネットワークなどが含まれる。したがって、本発明では、コンピュータネットワーク、とりわけインターネットの観点で考察しているが、これは例証の目的にすぎず、本発明を限定するものと解釈すべきではない。

例示のネットワーク環境３００は、ネットワークセキュリティモジュール３０４およびセキュリティサービス３０６も含んでいる。このネットワークセキュリティモジュール３０４は、コンピュータ３０２などのコンピュータとネットワーク１１０との間に挿入される。このネットワークセキュリティモジュール３０４は、物理的にまたは論理的にこのコンピュータ３０２とネットワーク１１０の間に挿入することができる。このコンピュータ３０２とネットワーク１１０の間の通信は、このネットワークセキュリティモジュール３０４を介して流れる。本発明によれば、このネットワークセキュリティモジュール３０４は、それだけには限定されないが、すべてがコンピュータシステムのぜい弱性を利用したコンピュータエクスプロイトのターゲットとなる可能性があり得る、コンピュータ３０２上にインストールされたその特定のオペレーティングシステムのリビジョン、アンチウイルスソフトウェアとそれに対応するシグネチャデータファイルの両方についてのリビジョン情報を含むアンチウイルス情報、インストール済みのアプリケーション、デバイスドライバなどを含めて、このコンピュータの特定の構成に対応するセキュリティ情報に従って、コンピュータ３０２とネットワーク１１０の間のネットワークアクティビティを選択的に制御する。

本発明の一実施形態によれば、そのセキュリティサービス３０６からのセキュリティ情報を定期的に取得するために、ネットワークセキュリティモジュール３０４は、コンピュータ３０２のこの特定の特有な構成に対応するセキュリティ情報を求めるセキュリティ情報要求をこのセキュリティサービス３０６に対して発行する。ネットワークセキュリティモジュール３０４は、このセキュリティサービス３０６からのセキュリティ情報を定期的に取得するように構成することができる。例えば、ネットワークセキュリティモジュール３０４は、毎分ごとにセキュリティサービス３０６からセキュリティ情報を取得するように構成することができる。あるいは、ネットワークセキュリティモジュール３０４は、ユーザが指定した期間に従ってセキュリティサービス３０６からセキュリティ情報を取得するように構成することもできる。

コンピュータの特定の特有な構成に対応するセキュリティ情報を取得することは、数限りない理由からユーザがユーザのコンピュータシステムを更新することを遅延する必要があるときに、重要である。例えば、オペレーティングシステムまたはアンチウイルスソフトウェアを更新するに際しての遅延は、コンピュータがしばらくの間、停止していたために起こることもある。したがって、オペレーティングシステムおよび／またはアンチウイルスソフトウェアの最新リビジョンでは、新たに発見されたコンピュータエクスプロイトからの適切な保護を提供することができるが、あるコンピュータが、「最新状態」になっておらず、したがってそのコンピュータエクスプロイトの影響を受けやすいこともあり、このコンピュータは、そのコンピュータの特定の構成に対応したセキュリティ対策を実装する必要がある。したがって、そのセキュリティ情報要求は、それだけには限定されないが、インストール済みのパッチを含めてこのコンピュータのオペレーティングシステムのリビジョンを識別する情報と、ソフトウェアおよびデータファイルの更新版はもとよりこのコンピュータが使用するその特定のアンチウイルスソフトウェアおよびリビジョンと、電子メールもしくはブラウザの識別子、リビジョン、ファームウェア提供業者、バージョンなどのネットワーク化可能なアプリケーション情報、および他のセキュリティ設定とを含むこともある。

本発明の態様によれば、ネットワークセキュリティモジュール３０４は、コンピュータシステムコンポーネントを更新する動作の１つとしてこのコンピュータの特定の構成情報を取得する。例えば、ユーザがこのコンピュータ３０２上にオペレーティングシステムのパッチをインストールする場合に、このオペレーティングシステムのパッチをインストールする動作の１つとして、ネットワークセキュリティモジュール３０４は、このオペレーティングシステムのその今現在のリビジョンについての通知を受ける。同様に、ネットワーク化可能アプリケーションやアンチウイルスソフトウェアなど他のコンピュータシステムフィーチャは、それらが更新されたときにネットワークセキュリティモジュール３０４にすべてを通知し、その結果、このネットワークセキュリティモジュールは、その最も正確で十分なセキュリティ情報を取得してこのコンピュータの特定の現行の構成に従ってこのコンピュータ３０２を保護することができる。

このセキュリティ情報要求中のこのコンピュータの特定の構成情報に基づいて、セキュリティサービス３０６は、関連するセキュリティ情報を識別して知られている認識されたコンピュータシステムのぜい弱性からこのコンピュータを保護する。関連するセキュリティ情報を識別することについては、以下にさらにかなり詳細に説明している。このセキュリティ情報は、このネットワークセキュリティモジュール３０４によって実装されるべきセキュリティ保護対策を含んでおり、このセキュリティ保護対策によって、このネットワークセキュリティモジュールが、知られているぜい弱性のコンピュータエクスプロイトからこのコンピュータ３０２を隔離することが可能になる。このセキュリティ保護対策は、それだけには限定されないが、パッチまたは更新版をインストールするためのセキュリティサービス３０６やアンチウイルスソフトウェアサービス３０８などある種の知られている安全なネットワークロケーション間の通信以外のコンピュータ３０２とネットワーク１１０の間のすべてのネットワークアクティビティをブロックすること、特定の通信ポートおよびアドレス上のネットワークトラフィックをブロックすること、電子メールアプリケーションやウェブブラウザアプリケーションなどある種のネットワークに関連したアプリケーションへのまたはそのアプリケーションからのあるいはその両方の通信をブロックすること、ならびにコンピュータ３０２上の特定のハードウェアコンポーネントまたはソフトウェアコンポーネントへのアクセスをブロックすることを含めて任意数のネットワークアクティビティ制御、またはその組合せを含むことができる。したがって、このセキュリティ応答を受信すると、このネットワークセキュリティモジュールは、このセキュリティ対策を実装する。

前述のように、ネットワークセキュリティモジュール３０４は、コンピュータ３０２とネットワーク１１０との間に挿入されており、したがって、このコンピュータとこのネットワークの間のすべてのネットワークアクティビティが、このネットワークセキュリティモジュールを介して流れる必要がある。ネットワークトラフィックが、このネットワークセキュリティモジュール３０４を介して流れるときに、このネットワークセキュリティモジュールは、このネットワークトラフィックを監視し、知られている安全なロケーションなどの間の通信以外のすべてのネットワークアクセスをブロックするなどこのセキュリティサービス３０６から受信されるこのセキュリティ保護対策を実装する。

本発明のさらなる態様によれば、セキュリティ応答は、赤色、黄色、緑色のレベルなど指定されたセキュリティレベルを含むこともできる。これらのセキュリティレベルは、このコンピュータ３０２のユーザに対してネットワークセキュリティモジュール３０４が実装する保護対策の代表レベルを識別する情報を表す。例えば、赤色のセキュリティレベルは、ネットワークセキュリティモジュール３０４が、知られている安全なロケーションへのまたはそこからのアクセスを除いて、コンピュータ３０２とネットワーク１１０の間のすべてのネットワークアクティビティを現在ブロックしていることを示すことができる。あるいは、黄色のセキュリティレベルは、ネットワークセキュリティモジュール３０４が、現在、あるセキュリティ保護対策を実装中であるが、さらにこのコンピュータ３０２は、このネットワーク１１０と別の方法で依然として情報をやりとりすることができることを示すことができる。さらに、緑色のセキュリティレベルは、このネットワークセキュリティモジュール３０４が、どのようなセキュリティ保護対策も実装中ではなく、コンピュータ３０２とネットワーク１１０の間の通信が制限されていないことを示すことができる。前述のセキュリティレベルに従って、説明する目的のために、赤色のセキュリティレベルは、完全ロックダウン（ｆｕｌｌ ｒｏｃｋ−ｄｏｗｎ）とも呼ぶことができ、黄色のセキュリティレベルは、部分ロックダウン（ｐａｒｔｉａｌ ｒｏｃｋ−ｄｏｗｎ）とも呼ぶことができ、緑色のセキュリティレベルは、フリーネットワークアクセス（ｆｒｅｅ ｎｅｔｗｏｒｋ ａｃｃｅｓｓ）とも呼ぶことができる。以上の説明では、３つのセキュリティレベル、また赤色、黄色、および緑色のスキーマを識別しているが、これらは例示的なものであり、本発明を限定するものと解釈すべきではない。ユーザに対する表現についての代替的なスキーマを用いて任意数のセキュリティレベルを実装することができることができることが、当業者には簡単に理解されよう。

ネットワークセキュリティモジュール３０４は、自動的な方法で、すなわちユーザの介入を必要とせずに動作するので、以上で識別されたセキュリティレベル、ならびにセキュリティレベルの対応する任意の視覚表現は、ユーザ情報の目的のためだけのものである。これらを使用してネットワークセキュリティモジュール３０４が実装する制約レベルの指示をユーザに提供することができる。この視覚指示は、ユーザが、ネットワーク接続が誤動作しているかどうかを判定し、またはネットワークアクティビティが、現在のネットワークセキュリティの問題によって制約されていることを決定しようと試みているときには特に有用なこともある。

本発明の態様によれば、またセキュリティの追加対策として、ネットワークセキュリティモジュール３０４が、パワーアップされるときに、このネットワークセキュリティモジュールは、デフォルト状態に入る。このデフォルト状態は、コンピュータ３０２と信頼されるネットワークロケーションの間のネットワークアクティビティが許容可能なような、セキュリティの最高レベル、すなわち完全ロックダウンに対応する。パワーアップの一部分として、またはセキュリティサービス３０６との定期的な通信の一部分として、ネットワークセキュリティモジュール３０４は、最新のセキュリティ情報を取得し、このセキュリティ情報に応じて、より制約の少ないセキュリティ対策を課することができる。ぜい弱性を識別することができており、またはエクスプロイトが、このネットワークセキュリティモジュールがパワーオフされていた時間中にネットワーク１１０上に放出されているので、明らかに、このネットワークセキュリティモジュール３０４において完全ロックダウンのデフォルト状態を実装することは、このコンピュータ３０２にとって有利になる。

本発明の一実施形態によれば、ネットワークセキュリティモジュール３０４は、コンピュータ３０２からの情報を要求またはアクセスしない。その代わりに、ネットワークセキュリティモジュール３０４は、ある種のイベントに関連してコンピュータ３０２からこのネットワークセキュリティモジュールに伝送される情報に対して動作する。したがって、ネットワークセキュリティモジュールが最初にコンピュータ３０２とネットワーク１１０の間に挿入されたときなど、ネットワークセキュリティモジュール３０４が、最初にコンピュータを保護し始めるときには、このネットワークセキュリティモジュールは、このコンピュータシステムに対応する特定のどのような構成情報ももたないことになる。前述のように、ネットワークセキュリティモジュール３０４が、コンピュータ３０２に関する構成情報をもたないとき、またはこのネットワークセキュリティモジュール３０４がパワーアップされるときには、このネットワークセキュリティモジュールは、そのデフォルト状態、すなわち完全ロックダウンに入る。しかし、前述のように、完全ロックダウンは、このコンピュータ３０２が知られている安全なロケーションを用いて依然として通信することができるようにすることになる。一例として、これらの知られている安全なロケーションは、オペレーティングシステムの更新が行われる１つまたは複数のロケーションを含んでいる。したがって、コンピュータ３０２が最新のオペレーティングシステム、アンチウイルスソフトウェア、アプリケーション、およびデバイスドライバの使用可能なリビジョンおよび更新版を用いて構成されるときでさえ、ユーザは、このネットワークセキュリティモジュール３０４に送信される更新情報をもたらす更新プロセスを実行することができる。あるいは、このコンピュータシステムの現行の構成についてネットワークセキュリティモジュール３０４に通知する特定のプログラムを提供することができる。

ネットワークセキュリティモジュール３０４とセキュリティサービス３０６の間の通信が、信頼できるものであり、壊れていないようにするために、本発明の一実施形態においては、セキュリティ要求やセキュリティ情報などの、このネットワークセキュリティモジュールとこのセキュリティサービスの間の通信は、ＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｅｒセキュアソケットレイヤ）プロトコルを使用したセキュリティ保護された通信など暗号化されセキュリティ保護された通信の形で送付される。同様に、ネットワークセキュリティモジュール３０４とコンピュータ３０２との間の通信もまた、同様にしてセキュリティ保護される。

本発明のオプションとしての態様によれば、たとえこのコンピュータがパワーオフされていても、このネットワークセキュリティモジュール３０４は、動作し続け、すなわちこのコンピュータ３０２に対応するセキュリティ情報を取得し続ける。例えば、このネットワークセキュリティモジュール３０４は、このコンピュータがパワーオンされていると想定してこの最新のオペレーティングシステムおよび／またはアンチウイルスソフトウェアのリビジョンデータにすべて従ってこのコンピュータ３０２についてのセキュリティ情報を取得し続けることができる。一実施形態によれば、このネットワークセキュリティモジュール３０４は、当業者に知られているように、たとえコンピュータ３０２がパワーオフされていても周辺デバイスにパワーを供給する、コンピュータのこの補助パワーレール（ｐｏｗｅｒ ｒａｉｌ）に接続されている。さらに、このネットワークセキュリティモジュール３０４が、このコンピュータ３０２が動作しているときにしか動作しない場合には、このネットワークセキュリティモジュールが動作を再開するときに、このネットワークセキュリティモジュールは、完全ロックダウンを実装するが、一方でこのネットワークセキュリティモジュールは、このコンピュータの現行の構成に対応する最新のセキュリティ情報を取得する。

本発明の別の実施形態によれば、このネットワークセキュリティモジュール３０４は、ユーザがオプション的に無効化することができる。これは、ネットワークに対してフルにアクセスする必要性が、コンピュータエクスプロイトからの攻撃のリスクより勝るある種の時間があるときに、有用である。例えば、ネットワーキングの問題／課題を診断しようと試みる際にこのネットワークセキュリティモジュール３０４を無効化することが必要となり得る。あるいは、Ｅ９１１のＶｏＩＰ（ｖｏｉｃｅ ｏｖｅｒ ＩＰボイスオーバーＩＰ）サービスを使用するなど何らかの緊急事態では、このネットワークセキュリティモジュール３０４を無効化することが必要になり得る。

本発明の一態様によれば、無効化される際に、このネットワークセキュリティモジュール３０４は、セキュリティサービス３０６からのセキュリティ情報を取得し続けるが、このネットワークセキュリティモジュールは、このセキュリティ保護対策を実装することはない。セキュリティ情報を絶えず更新することは、このネットワークセキュリティモジュールが、再有効化される際に、その最新のセキュリティ情報を有することになるので、特にこのネットワークセキュリティモジュール３０４が一時的にしか無効化されない場合には、そのユーザにとって有利となる。あるいは、ネットワークセキュリティモジュール３０４が無効化され、絶えず更新することがない場合には、このセキュリティサービス３０６との通信がない所定の期間の後に、このネットワークセキュリティモジュールは、そのデフォルト状態に、すなわちネットワークアクティビティの完全ロックダウンに戻ることもある。

セキュリティサービス３０６は、すべてのセキュリティ情報について１つのサーバ／ソースとして、またはその代わりにこのネットワーク１１０全体にわたって分布するサーバ／ソースの階層として実装することができる。階層的なシステムにおいては、ネットワークセキュリティモジュール３０４は、最初は、セキュリティサービスにおけるルートのサーバ／サービス、すなわち常に存在することになるものを用いて構成される。しかし、おそらくネットワークセキュリティモジュール３０４とこのセキュリティサービスの間にある最初の通信において、このセキュリティサービスが戻すそのセキュリティ情報の一部分として、このセキュリティサービスは、このセキュリティサービスのその階層に関する情報を提供する。この情報は、１つまたは複数の範囲のネットワークアドレスとして提供することができ、これらのネットワークアドレスのすべては、このセキュリティサービス階層におけるノードであり、またこのネットワークアドレスは、ネットワークセキュリティモジュール３０４にこの適切なセキュリティ情報を提供することができる。その後は、ネットワークセキュリティモジュール３０４は、必ずしもこの最初のノードに問い合わせて情報を取得する必要があるとは限らない。明らかに、階層的な手法で、このセキュリティサービスを実装するための１つの利点は、このセキュリティサービスを簡単にスケールアップまたはスケールダウンして情報を要求するネットワークセキュリティモジュールの数を適応させることができ、このセキュリティサービス階層中のその最初のノードが、ネットワーク中のすべてのネットワークセキュリティモジュールからのセキュリティ情報要求によって圧倒されないようにすることである。ネットワーク１１０中に分布される階層構造下において、負荷バランシングを行うこともでき、この階層中の１つのノードが失敗する場合に、他のノードが中に入り、このセキュリティ情報を提供するように、冗長度をこのシステム中に構築することができる。

本発明の態様によれば、ネットワークセキュリティモジュール３０４は、当技術分野においてポートミミッキング（ｐｏｒｔ ｍｉｍｉｃｋｉｎｇ）として知られている技法を使用してコンピュータ３０２およびネットワーク１１０に対してトランスペアレント（ｔｒａｎｓｐａｒｅｎｔ）になる。一般的に言えば、ポートミミッキングを使用すると、ネットワークセキュリティモジュール３０４は、コンピュータ３０２にとっては、ネットワーク１１０のように見え、このネットワーク上のデバイスにとってはコンピュータのように見える。したがって、このネットワークセキュリティモジュールが、オペレーティングシステムの更新またはセキュリティ情報の応答の通知などの、この通信がこのネットワークセキュリティモジュールを対象としていることを決定しない限り、またはこのネットワークセキュリティモジュールがこのセキュリティ保護対策に従ってそのネットワークアクティビティをブロックする必要がない限り、ネットワークアクティビティは、このネットワークセキュリティモジュール３０４を介してコンピュータ３０２とネットワーク１１０の間を自由に流れる。

前述のように、ネットワークセキュリティモジュール３０４は、問合せの結果として、このセキュリティサービス３０６からセキュリティ情報を取得する。当業者なら、これをポーリングシステム（ｐｏｌｌ ｓｙｓｔｅｍ）、すなわちセキュリティ情報を求めてセキュリティサービス３０６をポーリングすることとして認識されよう。しかし、代替実施形態においては、このセキュリティサービス３０６が、このネットワーク１１０中のこれらのネットワークセキュリティモジュールに対して重要なセキュリティ情報をブロードキャスト（ｂｒｏａｄｃａｓｔ）することが有利である。例えば、このネットワーク環境３００中のこれらのネットワークセキュリティモジュールが、セキュリティサービス３０６からセキュリティ情報を取得する時間間隔によっては、特定の悪性のコンピュータエクスプロイトがこのネットワーク１１０を巡回し始める場合には、ネットワークセキュリティモジュールが重要なセキュリティ情報を要求するのを待つのではなく、このセキュリティサービスは、これらネットワークセキュリティモジュールに対してセキュリティ情報をブロードキャストする。以降でセキュリティブリテン（ｓｅｃｕｒｉｔｙ ｂｕｌｌｅｔｉｎ）と称するこのセキュリティ情報は、一般にこのコンピュータエクスプロイトの影響を受けやすいすべての構成、取るべきセキュリティ保護対策、ならびにその対応するセキュリティレベルの指示を含んでいる。本発明の一態様によれば、このセキュリティブリテンは、所定のスキーマに従って構成されるＸＭＬドキュメントである。

情報をリスナにブロードキャストするシステムは、プッシュシステム（ｐｕｓｈ ｓｙｓｔｅｍ）と呼ばれる。すなわち、このセキュリティサービス３０６は、これらのネットワークセキュリティモジュールに重要なセキュリティ情報をプッシュする。本発明の態様によれば、セキュリティブリテンは、「配信保証」サービスを使用してネットワーク１１０上でブロードキャストされる。配信保証サービスにおいては、セキュリティブリテンは、高優先順位アイテムとして識別され、このネットワークサービス提供業者との契約の中でそうでなければ最初に配信されるはずの他のネットワークトラフィックの配信の前に配信される。

コンピュータ３０２が通信を行う同じネットワーク１１０上で、このセキュリティブリテンを配信することに加えて、「帯域外（ｏｕｔ ｏｆ ｂａｎｄ）」、すなわちこのネットワーク１１０とは別の第２の通信リンク上で通信を行うことが有利なはずであることがしばしばある。図３Ｂは、ネットワーク１１０に接続されたネットワークセキュリティモジュールにセキュリティ情報を配信するための第２の通信リンク３１４を含む、本発明の態様を実装するための代替構成されたネットワーク環境３１０を示す図である。

図３Ｂに示すように、この代替構成されたネットワーク環境３１０は、コンピュータ３０２、セキュリティサービス３０６、およびネットワークセキュリティモジュール３０４を含めてこのネットワーク環境３００に関する前述と同様のコンポーネントを含んでいる。しかし、このセキュリティサービス３０６はさらに、第２の通信リンク３１４上でその情報を受信する受信デバイス３１２に特に適合化したネットワークセキュリティモジュール３０４に対して、セキュリティ情報および／またはセキュリティブリテンの両者を含めてセキュリティ情報を伝送するように構成されている。本発明の態様によれば、第２の通信リンク３１４は、セキュリティサービス３０６とネットワークセキュリティモジュール３０４の間の衛星通信リンク、無線周波数ブロードキャスト、または他の何らかの第２の通信形態であることもある。任意数の通信チャネルを使用できることが当業者には理解されよう。

本発明の代替実施形態によれば、第２の通信リンク３１４は、このセキュリティサービス３０６およびネットワークセキュリティモジュール３０４からの１方向通信リンク、またはこのセキュリティサービスとこのセキュリティモジュールとの間の通信のための２方向通信リンクとすることができる。さらに、前述のようなソフトウェア更新版またはパッチは、この第２の通信リンク３１４上でセキュリティサービス３０６からダウンロードするために使用可能とすることもできる。

このネットワークセキュリティモジュール３０４は、コンピュータ３０２とインターネット１１０の間に挿入されるが、ネットワークセキュリティモジュールの実際の実施形態は多様である。各ケースにおいて、ネットワークセキュリティモジュール３０４は、信頼されているコンポーネントとしてコンピュータ３０２によって取り扱われる。一実施形態によれば、ネットワークセキュリティモジュール３０４は、ネットワーク１１０およびこのコンピュータに接続された、コンピュータ３０２の外部の「ドングル（ｄｏｎｇｌｅ）」と時に呼ばれるハードウェアデバイスとして実装される。あるいは、ネットワークセキュリティモジュール３０４は、コンピュータ３０２内に一体化されたハードウェアコンポーネント、またはこのコンピュータのネットワークインターフェース内の一体化されたサブコンポーネントとして実装することができる。コンピュータ３０２内に、またはこのコンピュータのネットワークインターフェース上のサブコンポーネントとしてネットワークセキュリティモジュール３０４を一体化することは、コンピュータ３０２が、無線接続を介してこのネットワーク１１０に接続されるときに特に有用となり得る。

別の代替実施形態によれば、このネットワークセキュリティモジュールは、それだけには限定されないが、プロセッサ、グラフィックス処理ユニット、ノースブリッジ（ｎｏｒｔｈ ｂｒｉｄｇｅ）、またはサウスブリッジ（ｓｏｕｔｈ ｂｒｉｄｇｅ）を含めてコンピュータ３０２のコンポーネント内部のマイクロコーディング（ｍｉｃｒｏｃｏｄｉｎｇ）またはファームウェアなどのロジックとして実装することができる。さらに他の代替実施形態としては、ネットワークセキュリティモジュール３０４は、コンピュータ３０２上にインストールされたそのオペレーティングシステムに関連して、またはその一部分として、あるいは別のアプリケーションとして動作するソフトウェアモジュールとして実装することができる。このソフトウェア実装されたネットワークセキュリティモジュール３０４は、コンピュータ３０２中の第２のプロセッサ上で動作することができる。この第２のプロセッサは、このコンピュータの主要プロセッサと非対称的に他のコンピュータシステムタスクを実装していてもよいし、また実装していなくてもよい。したがって、ネットワークセキュリティモジュール３０４は、特定のどのような実施形態にも限定されるものと解釈すべきではない。

本発明が実現する利点の１つは、このシステムが多くのエクスプロイトの影響を緩和することであることに留意されたい。例えば、サービス拒否（ＤＯＳ）攻撃とは、そのコンピュータが、そのリソースを使い果たしクラッシュし、またはその代わりに、外部の攻撃／エクスプロイトに対してよりぜい弱なあいまいな状態に誤って入ってしまうようにする目的で、ネットワーク要求を用いてコンピュータを圧倒しようとする試みであることが当業者には理解されよう。しかし、セキュリティ保護対策を実装することによってセキュリティサービス３０６に応答するネットワークセキュリティモジュール３０４を用いることにより、圧倒する可能性のあるネットワーク要求を含むかかるエクスプロイトは、コンピュータ３０２に決して到達しない。

前述のコンポーネントがどのようにしてこのコンピュータ３０２に対して拡張されたセキュリティを提供するために動作するかをさらに十分に理解するために、対応するイベントを伴う時系列上に示された例示のシナリオについて言及する。図４Ａおよび４Ｂは、本発明のコンポーネントの動作を実証するための例示の時系列を示すブロック図である。より詳細には、図４Ａは、ネットワーク１１０上における新しいコンピュータエクスプロイトの放出に関して本発明がどのようにしてコンピュータ３０２のぜい弱性ウィンドウ４０６を最小にするかを実証するための例示の時系列４００を示すブロック図である。以下は、コンピュータエクスプロイトがオペレーティングシステムを攻撃するものとして提示されているが、これは例証の目的のためであり、本発明を限定するものと解釈すべきではないことに留意されたい。本発明を利用してコンピュータシステム上におけるコードモジュール、サービス、ハードウェアデバイスでさえ保護することができる。

この時系列４００上に示すように、イベント４０２において、悪意のあるパーティは、ネットワーク１１０上に新しいコンピュータエクスプロイトを放出する。この新しいコンピュータエクスプロイトの放出は、コンピュータ３０２など、この新しいコンピュータエクスプロイトがターゲットとする、このネットワーク１１０に接続されたコンピュータについてのぜい弱性ウィンドウ４０６を開始する。イベント４０４において、前述のようにそのオペレーティングシステム提供業者、そのアンチウイルス提供業者、または他の者によってこの新しいコンピュータエクスプロイトの存在が検出される。

この新しいコンピュータエクスプロイトの存在を検出すると、このエクスプロイトの攻撃の性質またはモードが識別される以前でさえ、イベント４０８においてそのオペレーティングシステム提供業者は、セキュリティサービス３０６を介してセキュリティ情報を発行する。一般に、コンピュータエクスプロイトが発見され、攻撃のその性質、程度、またはモードがよく知られていないときには、このセキュリティサービスは、すべての明らかに影響を受けるコンピュータシステムについてのこのセキュリティレベルを赤色、すなわち完全ロックダウンに設定することになる。ブロック４１０において、このネットワークセキュリティモジュール３０４は、定期的な要求の形で、またはセキュリティブリテンとしてこのセキュリティ情報を取得し、その対応するセキュリティ対策、この場合には完全ロックダウンを実装する。セキュリティサービス３０６からのセキュリティ対策を実装すると、ターゲットコンピュータのぜい弱性ウィンドウ４０６が閉じられることが有利である。

図２Ｂのぜい弱性ウィンドウ２３０とは対照的に、ぜい弱性ウィンドウ４０６は、比較的小さく、それによって、この新しいコンピュータエクスプロイトに対するターゲットコンピュータシステムの露出が最小になる。明らかに、ぜい弱性ウィンドウ４０６など、ぜい弱性ウィンドウが開いている実際の時間長は、少数のファクタに依存する。以上で考察したように、新しいコンピュータエクスプロイトは、一般に放出から１５分から数時間以内に検出される。この第１のファクタよりもさらにずっと可変の第２のファクタは、ネットワークセキュリティモジュール３０４がセキュリティサービス３０６からセキュリティ情報を取得するためにかかる期間である。このネットワークセキュリティモジュール３０４が、絶えずセキュリティ情報を取得できると想定すると、このセキュリティ情報を取得し、この対応するセキュリティ対策を実装するためには、数秒しかかからないこともある。しかし、ネットワークセキュリティモジュール３０４がセキュリティサービス３０６と絶えず通信できない場合、またはこのセキュリティ情報を取得するためのその定期的な時間フレームが長い場合には、このセキュリティ保護対策を実装することに非常に長い時間がかかることもある。本発明の態様によれば、ネットワークセキュリティモジュール３０４が、所定の期間、セキュリティサービス３０６と連絡を取り合っていない場合には、このネットワークセキュリティモジュールは、デフォルトで完全ロックダウン状況の状態になり、このセキュリティサービスからの将来の通信が待ち状態になる。

この初期のセキュリティ情報が発行された後に、このオペレーティングシステム提供業者またはアンチウイルスソフトウェア提供業者は、一般にこのコンピュータエクスプロイトを解析し続けてどのようにしてこのコンピュータエクスプロイトが動作し、かつ／またはどのような特定のコンピュータシステム機能をこのコンピュータエクスプロイトが攻撃するかをより良好に理解する。この解析から、おそらくより制約の少ない第２の組の、ぜい弱なコンピュータシステムがこのコンピュータエクスプロイトに感染しないようにするために取る必要がある保護対策が識別される。したがって、イベント４１２において、黄色のセキュリティレベルをもち、危険な恐れのあるネットワークアクティビティをブロックする保護対策、すなわち部分ロックダウンを識別する更新されたセキュリティ情報が発行される。例えば、前述したように、このセキュリティ保護対策は、そのソースポートおよび／または宛先ポートを含めて通信ポートの特定の範囲への、およびその特定の範囲からのアクセスを単にブロックすること、あるいは他のネットワークアクティビティが自由に流れることができるようにしながら、保護されたコンピュータシステム上にインストールされたそのオペレーティングシステム、アプリケーション、デバイスドライバ、などを対象とする電子メール通信、ウェブアクセス、または他のネットワークアクティビティを無効化することを含むことができる。そのエクスプロイトが、コンピュータシステムの弱点を攻撃するか、または合法的なコンピュータシステム機能を単に悪用するかのいずれにしても、「危険な恐れのある」ネットワークアクティビティは、エクスプロイトによるコンピューティングシステムへの脅威を表すネットワークアクティビティを含むことを理解されたい。さらに、この「危険な恐れのある」ネットワークアクティビティは、別のデバイスによって一方的に開始される、コンピュータシステムを対象とするネットワークアクティビティを含んでいる。換言すれば、「危険な恐れのある」ネットワークアクティビティは、このネットワークに単に接続されただけのコンピュータシステムを対象とするエクスプロイトのネットワークアクティビティを含んでいる。

イベント４１４において、この更新されたセキュリティ情報は、ネットワークセキュリティモジュール３０４によって取得され、この対応するセキュリティ保護対策が実装される。イベント４１６において、オペレーティングシステム提供業者および／またはアンチウイルス提供業者がソフトウェア更新版を生成し使用可能にした後に、追加の更新されたセキュリティ情報が発行される。そのオペレーティングシステム提供業者、アンチウイルスソフトウェア提供業者、またはアプリケーション提供業者からの更新版などのソフトウェア更新版が、このコンピュータ３０２上にインストールされるという前提で、この追加の更新されたセキュリティ情報は、セキュリティレベルが緑色であることを識別することができる。その後に、イベント４１８において、この追加の更新されたセキュリティ情報が取得され、このソフトウェア更新版が、コンピュータ３０２上にインストールされ、このネットワークセキュリティモジュール３０４は、自由な、すなわち制約されないネットワークアクセスを有効化する。

図４Ｂは、ネットワーク１１０上でのコンピュータエクスプロイト、より詳細にはまったく新しい攻撃ではなくて以前に識別されたぜい弱性を利用したエクスプロイトの放出に関して存在し得るぜい弱性ウィンドウをどのようにして本発明が除去するかを実証するための代替的な例示の時系列４２０を示すブロック図である。前述のように、以前から知られているぜい弱性の使用は、まったく新しい攻撃よりもさらにずっと一般的である。イベント４２２において、このオペレーティングシステムプロバイダは、このオペレーティングシステムのこの現行のリリースにおけるぜい弱性の存在を識別する。この識別済みのぜい弱性がもたらすその脅威に応答して、イベント４２４において、このオペレーティングシステム提供業者は、緩和するセキュリティ情報を発行し、そのセキュリティレベルを設定し、対応するセキュリティ保護対策を識別する。図４Ｂに示す本実施例においては、このぜい弱性がネットワーク１１０に接続されたコンピュータに対して重要なリスクをもたらすことを想定して、このオペレーティングシステム提供業者は、完全ロックダウンを実装するセキュリティ対策を伴う、このセキュリティレベルに赤色を設定するセキュリティ情報を発行する。イベント４２６において、ネットワークセキュリティモジュール３０４は、最新のセキュリティ情報を取得し、この完全ロックダウンを実装する。パッチまたは「フィックス」が使用可能になる前にコンピュータ３０２をこの識別されたぜい弱性から保護するセキュリティ対策が実装されることに留意されたい。大部分のコンピュータエクスプロイトは、パッチが訂正するぜい弱性を解析することにより得られる情報から何らかの形で引き出されるので、悪意のあるパーティは、このぜい弱性を攻撃するエクスプロイトを作成する機会を未然に拒否される。したがって、ぜい弱性ウィンドウは、開始されない。明らかに、この結果はこのコンピュータユーザに対する実質的な利点であり、特にこのネットワークセキュリティモジュールがこのセキュリティ対策を実装してはいない場合の図２Ａに示す対応する時系列２００と対照的である。

しばしば、このコンピュータエクスプロイトのさらなる解析の後に、オペレーティングシステム提供業者は、このネットワークに接続されたこのコンピュータをそのコンピュータエクスプロイトから保護することになる制約のより少ない組の保護対策を決定することができる。したがって図４Ｂに示すように、イベント４２８において、そのセキュリティレベルを黄色に設定し、すべての他のネットワークアクティビティを有効化しながら特にこの悪用されたぜい弱性に対処する、対応するセキュリティ保護対策、すなわち部分ロックダウンを含む更新されたセキュリティブリテンが発行される。それに応じて、イベント４３０において、この更新済みのセキュリティ情報が取得され、ネットワークセキュリティモジュール３０４は、この部分ロックダウンを実装する。

コンピュータ３０２上にインストールされる場合には、このぜい弱性をターゲットとするコンピュータエクスプロイトからこのコンピュータを保護するはずであるオペレーティングシステムのパッチまたはアンチウイルス更新版が使用可能となった後に、イベント４３２において、このオペレーティングシステム提供業者は、この情報を発行し、インストールされた後に、このネットワークセキュリティモジュールが、自由なネットワークアクセスを可能にすることができること、すなわちこのパッチがインストールされた後にそのセキュリティレベルを緑色に設定することを示す。それに応じて、イベント４３４において、このパッチまたはアンチウイルス更新版がコンピュータ３０２上にインストールされた後に、このネットワークセキュリティモジュール３０４は、自由なアクセスを有効にする。

図５は、発行されたセキュリティ情報に従って、コンピュータのネットワークアクセスを動的に制御するための例示のルーチン５００を示す流れ図である。図５は、２つの開始ターミナル、すなわちネットワークセキュリティモジュール３０４の起動に対応する開始ターミナル５０２と、コンピュータシステム３０２からの更新通知を受信することに対応する開始ターミナル５２０とを含んでいる。開始ターミナル５０２からまず開始し、ブロック５０４に進むことにより、このネットワークセキュリティモジュール３０４は、完全ロックダウンに関連したセキュリティ対策を実装する。前述のように、完全ロックダウンにあるときには、このコンピュータは、その最新のセキュリティ状況情報および使用可能な任意の更新版を取得するための、セキュリティサービス３０６を含めて知られており信頼されているネットワークロケーションにアクセスすることだけに制限される。

ブロック５０６において、ネットワークセキュリティモジュール３０４は、このコンピュータの現在の構成に対応する、セキュリティサービス３０６からの最新のセキュリティ情報を取得する。本発明の態様によれば、ネットワークセキュリティモジュール３０４は、そのセキュリティサービスに対してその情報を求める要求を発行することによって、そのセキュリティサービスから最新のセキュリティ情報を取得することができる。あるいは、ネットワークセキュリティモジュール３０４は、セキュリティサービス３０６からのブロードキャストとして第２の通信リンク上でまたはこのネットワーク上のブロードキャストとしてこの最新のセキュリティ情報を取得することができる。

判断ブロック５０８において、セキュリティサービス３０６から得られた最新のセキュリティ情報に基づいてネットワークセキュリティモジュール３０４は、この現在実装されているセキュリティ対策、および対応するセキュリティレベルがこの取得された情報を用いて最新になっているかどうかを判定する。本発明の一態様によれば、この判定は、このセキュリティサービスがその最新のリビジョンとして発行するものに対する、このネットワークセキュリティモジュールが現在まで記憶している、このコンピュータシステムについてのリビジョン情報の簡単な比較として行われる。

この現在実装されているセキュリティ対策が最新になってない場合には、ブロック５１０において、ネットワークセキュリティモジュール３０４は、このネットワークセキュリティモジュールがこのコンピュータシステムに関して記憶している情報に従ってこのコンピュータシステムについてのセキュリティ対策を取得する。その代わりに（図示せず）、このセキュリティ対策は、この取得されたセキュリティ情報と共に含めることもできる。ネットワークセキュリティモジュール３０４がこのセキュリティ対策を有した後に、ブロック５１２において、このネットワークセキュリティモジュールは、このセキュリティ対策を実装し、この対応するセキュリティレベルを例えば、赤色、黄色、または緑色に設定する。

このコンピュータシステムについてのセキュリティ対策を実装した後に、または代わりに、現在実装済みのセキュリティ対策がこのコンピュータシステムについて最新になっている場合には、ブロック５１４において、このネットワークセキュリティモジュール３０４は、遅延状態に入る。この遅延状態は、ネットワークセキュリティモジュール３０４が定期的にセキュリティサービス３０６に照会してその最新のセキュリティ情報を取得する期間に相当する。所定の期間、遅延した後に、このプロセスはブロック５０６に戻り、ここでセキュリティサービス３０６からこの最新のセキュリティ情報を取得し、この現在実装済みのセキュリティ対策がこのコンピュータシステムについて最新になっているかどうかを判定し、新しい任意のセキュリティ対策を実装するプロセスが反復される。

図５に示すように、例示のルーチン５００は、このルーチンが絶えず動作してコンピュータエクスプロイトからこのコンピュータ３０２を保護するように設計されているので、終了ターミナルをもたない。しかし、前述のようにネットワークセキュリティモジュール３０４が、パワーオフされ、この例示のネットワーク環境３００から切り離され、あるいはユーザが明示的に無効化する場合には、このルーチン５００が終了することになることが当業者には理解されよう。

代替的な開始ターミナル５２０に関して、このエントリポイントは、ネットワークセキュリティモジュール３０４がこのコンピュータシステムからの更新通知を受信するときの状況を表す。以前に考察したように、本発明を利用するように適合されたアプリケーションは、このコンピュータシステムを更新するためのステップのうちの１つとしてこのネットワークセキュリティモジュールに現在のリビジョン情報を通知する。例えば、このアンチウイルスソフトウェアを更新しながら、このプロセスの１ステップは、ネットワークセキュリティモジュール３０４のために意図され、このネットワークセキュリティモジュールに現在のリビジョンについて知らせる通知を発行することになる。したがってブロック５２２において、このネットワークセキュリティモジュールは、更新通知を受信する。

ブロック５２４において、この更新通知情報は、この現在の実装済みのセキュリティ対策が最新になっているかどうかを判定する際に後で使用するためにこのネットワークセキュリティモジュールによって記憶される。オペレーティングシステムの更新ならびに他のコードモジュールの更新はまた、このネットワークセキュリティモジュール３０４に対して通知を提供するように適合させることもでき、その結果、このセキュリティシステムは、所与の任意のコンピュータシステムを保護するために必要な適切なセキュリティ対策についてより詳細な情報を得た上での判定をすることができるようになっている。

この情報を記憶した後に、このルーチン５００は、ブロック５０６へと進み、前述のように、ここでセキュリティサービス３０６から最新のセキュリティ情報を取得し、この現在実装済みのセキュリティ対策がこのコンピュータシステムについて最新になっているかどうかを判定し、新しい任意のセキュリティ対策を実装するステップが開始される。その代わりとして（図示せず）、ブロック５２４において、更新されたコンピュータシステム情報を受信した後に、このネットワークセキュリティモジュールは、現在の遅延状態が終了するまでセキュリティ状況情報を取得するために待つこともできる。

図６は、この例示のネットワーク環境３００中のネットワークセキュリティモジュール３０４などのネットワークセキュリティモジュールのためのセキュリティ情報をブロードキャストするための例示のルーチン６００を示す流れ図である。ブロック６０２から開始して、セキュリティサービス３０６は、様々なソースからセキュリティに関連した情報を取得する。例えば、セキュリティサービス３０６は一般に、最新のバージョン、パッチ、および使用可能な更新版、ならびにこれら様々なパッチおよび更新版を介して対処されるコンピュータエクスプロイトおよび／またはぜい弱性に関してオペレーティングシステム提供業者、アンチウイルスソフトウェア提供業者から情報を取得するはずである。様々な政府機関、セキュリティ専門家、などを含めて他のソースについても、セキュリティに関連した情報を求めてポーリングすることができる。

ブロック６０４において、セキュリティサービス３０６は、ネットワーク１１０に接続されたこのコンピュータシステムのぜい弱性に関する情報を取得する。この情報は、そのぜい弱性が検出されるときに、オペレーティングシステム提供業者、アンチウイルスソフトウェア提供業者、または他のパーティから到達することもある。ブロック６０６において、このセキュリティサービス３０６は、このぜい弱性がもたらす脅威に基づいて、例えば赤色、黄色、または緑色のセキュリティレベル、ならびにネットワークセキュリティモジュール３０４などのこれらのネットワークセキュリティモジュールが実装すべきセキュリティ保護対策を決定してこのぜい弱性上のコンピュータエクスプロイトによる攻撃からのこれらの影響を受けるコンピュータをセキュリティで保護する。

ブロック６０６においてセキュリティサービス３０６は、前述のようにネットワーク１１０に接続されたこのネットワークセキュリティモジュールに対してこのセキュリティレベルおよび対応するセキュリティ保護対策を含むセキュリティブリテンをブロードキャストする。前述のように、セキュリティサービス３０６は、すべてのネットワークセキュリティモジュールに対してネットワーク規模（ｎｅｔｗｏｒｋ−ｗｉｄｅ）のブロードキャストを発行することによってこのセキュリティブリテンをブロードキャストすることができる。このネットワーク規模のブロードキャストは、前述のその配信保証オプションをオプション的に使用してネットワーク１１０上で行われてもよく、またはこのネットワーク環境３００におけるこのネットワークセキュリティデバイスに対して第２の通信リンク３１４上で行われてもよい。このセキュリティブリテンをブロードキャストした後にこのルーチン６００は、終了する。

図７は、ネットワークセキュリティモジュール３０４からのセキュリティ情報要求を受信し、それに応答するセキュリティサービス３０６が実装する例示のルーチン７００を示す流れ図である。ブロック７０２から開始して、セキュリティサービス３０６は、ネットワークセキュリティモジュール３０４からセキュリティ情報要求を受信する。すでに述べたように、このセキュリティ情報要求は、このコンピュータの現在の構成に対応する情報を含むことができる。

ブロック７０４においてこのネットワークセキュリティモジュールが提供するこのセキュリティ情報要求中のこの特定のコンピュータの構成情報に従って、セキュリティサービス３０６は、このセキュリティ情報要求中のこのコンピュータの現在の構成情報に対応する関連したセキュリティ情報を識別する。

一実施形態によれば、セキュリティサービス３０６は、このコンピュータの構成情報に従ってこのコンピュータ３０２を保護するために必要なセキュリティ保護対策を決定することによってこの関連したセキュリティ情報を識別する。代替実施形態によれば、セキュリティサービス３０６は、どのセキュリティ保護対策を実装すべきかを決定するためにこのネットワークセキュリティモジュールによってさらに処理するためのこの特定のコンピュータの構成に対応するすべてのセキュリティ情報を戻すことによってこの関連したセキュリティ情報を識別する。さらなる代替形態としては、セキュリティサービス３０６は、この特定のコンピュータの構成に対応するすべてのセキュリティ情報を戻すことによってこの関連したセキュリティ情報を識別しており、このセキュリティ情報は次いで、このコンピュータがこのネットワークセキュリティモジュールにどのセキュリティ保護対策を実装すべきかを通知することができるようにこのネットワークセキュリティデバイスからコンピュータ３０２へと転送される。前述の代替形態の組合せはまた、他のシステムと同様に利用することができる。したがって、本発明は、特定のどの一実施形態にも限定されるものと解釈すべきではない。

ブロック７０６において、セキュリティサービス３０６は、この関連したセキュリティ情報をこの要求しているネットワークセキュリティモジュール３０４に戻す。その後、このルーチン７００は、終了する。

図８は、セキュリティサービス３０６から得られたセキュリティ対策に従ってコンピュータ３０２とこのネットワークの間のネットワークトラフィックの流れを制御するための、ネットワークセキュリティモジュール３０４によって実装される例示の方法８００を示す流れ図である。ブロック８０２から開始してネットワークセキュリティモジュール３０４は、このコンピュータ３０２に到来するネットワークトラフィックもこのコンピュータを起源とするネットワークトラフィックも含めてネットワークトラフィックを受信する。

判断ブロック８０４において、このネットワークトラフィックが、このセキュリティサービス、アンチウイルスソフトウェア提供業者、オペレーティングシステム提供業者など、信頼されているネットワークサイトへの、またはそこからのネットワークトラフィックであるかどうかについての判定が行われる。このネットワークトラフィックが、信頼されているネットワークサイトへの、またはそこからのものである場合、このルーチンは、ブロック８１０へと進み、ここで、このネットワークトラフィックは、ネットワークセキュリティモジュール３０４を介して流れることが可能になり、その後にこのルーチン８００は、終了する。しかし、このネットワークトラフィックが信頼されているネットワークサイトへの、またはそこからのものでない場合には、このルーチンは、判断ブロック８０６へと進む。

判断ブロック８０６において、その現在実装済みのセキュリティ対策に従ってこのネットワークトラフィックが制約されるかどうかについての別の判定が行われる。このネットワークトラフィックがその現在実装済みのセキュリティ対策に従って制約を受けない場合、このルーチンは、ブロック８１０へと進み、ここでこのネットワークトラフィックは、ネットワークセキュリティモジュール３０４を介して流れることが可能になり、このルーチン８００は、その後に終了する。しかし、このネットワークトラフィックがその現在実装済みのセキュリティ対策に従って制約を受ける場合には、このルーチンはブロック８０８へと進み、ここでは、このネットワークトラフィックは、ネットワークセキュリティモジュール３０４を介して流れることが許可されない。その後、このルーチン８００は終了する。

ネットワークセキュリティモジュール３０４は、コンピュータ３０２とインターネット１１０の間に挿入されるが、このネットワークセキュリティモジュールの実際の実施形態は、いろいろなものになり得る。図３に示す実施形態によれば、このネットワークセキュリティモジュール３０４は、インターネット１１０へ、およびコンピュータ３０２へと接続された、コンピュータ３０２の外部のハードウェアデバイスとして実装することができる。しかし、本発明は、この実施形態だけに限定されるものと解釈すべきではない。代替形態（図示せず）としては、ネットワークセキュリティモジュール３０４は、コンピュータ３０２内のコンポーネントとして、またはこのコンピュータのネットワークインターフェース内のサブコンポーネントとして一体化されたコンポーネントでもよい。これら２つの実施形態は、コンピュータ３０２がインターネット１１０に無線接続を経由して接続されるときに、特に有用となり得る。さらに他の代替形態として、このネットワークセキュリティモジュールは、そのオペレーティングシステム内に一体化されたソフトウェアモジュールとして、またはそのコンピュータ３０２上にインストールされた別のモジュールとして実装することもできる。したがって、ネットワークセキュリティモジュール３０４は、特定の任意の実施形態だけに限定されるものと解釈すべきではない。

本発明の好ましい実施形態について、例証し説明してきたが、本発明の趣旨および範囲を逸脱することなく様々な変更をこの中で行うことができることが理解されよう。

コンピュータエクスプロイトがその上で一般に配布される、従来技術において見出されるような例示のネットワーク環境を示す図である。 ネットワーク上に放出されるコンピュータエクスプロイトに関する、コンピュータシステムの異なるぜい弱性ウィンドウを実証する例示の時系列を示す１つのブロック図である。 ネットワーク上に放出されるコンピュータエクスプロイトに関する、コンピュータシステムの異なるぜい弱性ウィンドウを実証する例示の時系列を示す１つのブロック図である。 本発明の態様を実装するのに適したネットワーク環境の一例を示す図である。 本発明の態様を実装するのに適したネットワーク環境の一例を示す図である。 本発明が、コンピュータエクスプロイトに関連するぜい弱性ウィンドウをどのようにして最小にするかを実証するための時系列の一例を示す図である。 本発明が、コンピュータエクスプロイトに関連するぜい弱性ウィンドウをどのようにして最小にするかを実証するための時系列の一例を示す図である。 本発明による、発行されたセキュリティ情報に従ってコンピュータシステムのネットワークアクセスを動的に制御するルーチンの一例を示す流れ図である。 本発明による、例示のネットワーク環境中においてネットワークセキュリティモジュールについてのセキュリティ情報を発行するためのセキュリティサービスによって実装されるルーチンの一例を示す流れ図である。 ネットワークセキュリティモジュールからのセキュリティ情報を求める要求を受信し応答するセキュリティサービスによって実装されるルーチンの一例を示す流れ図である。 このセキュリティサービスから得られるセキュリティ対策に従ってコンピュータとそのネットワークの間のネットワークトラフィックの流れを制御するための、ネットワークセキュリティモジュールによって実装される方法の一例を示す流れ図である。

Claims (21)

1. 通信ネットワークに接続されたコンピューティングデバイスを識別されたセキュリティの脅威から保護するためのネットワークセキュリティシステムであって、
   コンピューティングデバイスと前記通信ネットワークとの間に挿入されたネットワークセキュリティモジュールと、
   ネットワークセキュリティモジュールのための、前記ネットワークセキュリティモジュールによって実装されるときに識別されたセキュリティの脅威から前記対応するコンピューティングデバイスを保護するセキュリティ対策を含むセキュリティ情報を発行するセキュリティサービスと
   を含むことを特徴とするネットワークセキュリティシステム。
2. 前記セキュリティ対策は、前記コンピューティングデバイスと信頼されている通信ネットワークロケーションとの間のネットワークアクティビティを除いて、前記コンピューティングデバイスと前記通信ネットワークとの間のすべてのネットワークアクセスをブロックするステップを含むことができることを特徴とする請求項１に記載のネットワークセキュリティシステム。
3. 前記セキュリティ対策は、前記ネットワークアクティビティのソースおよび／または宛先に対応する通信ポートの範囲に関与する、前記コンピューティングデバイスと前記通信ネットワークとの間のネットワークアクティビティを選択的にブロックするステップを含むことができることを特徴とする請求項２に記載のネットワークセキュリティシステム。
4. 前記セキュリティ対策は、前記コンピューティングデバイス上で実行されるコードモジュールと前記通信ネットワークとの間のネットワークアクティビティをブロックするステップを含むことができることを特徴とする請求項３に記載のネットワークセキュリティシステム。
5. 前記セキュリティ情報は、セキュリティレベルをさらに含み、前記セキュリティレベルは、前記セキュリティ情報中の前記セキュリティ対策に対応することを特徴とする請求項４に記載のネットワークセキュリティシステム。
6. 前記セキュリティ情報は、前記コンピューティングデバイスについての最新の使用可能なオペレーティングシステムのリビジョンを識別するオペレーティングシステムリビジョン値をさらに含むことを特徴とする請求項５に記載のネットワークセキュリティシステム。
7. 前記セキュリティ情報は、前記コンピューティングデバイスについての最新の使用可能なアンチウイルスソフトウェアのリビジョンを識別するアンチウイルスソフトウェアリビジョン値をさらに含むことを特徴とする請求項６に記載のネットワークセキュリティシステム。
8. 前記セキュリティサービスは、前記コンピューティングデバイス上の前記オペレーティングシステムの現在のリビジョンのオペレーティングシステムリビジョン値を識別するセキュリティ要求に応答して前記コンピューティングデバイス上の前記オペレーティングシステムの現在のリビジョンに従って知られているセキュリティの脅威から前記コンピューティングデバイスを保護するセキュリティ対策を含むセキュリティ応答を戻すことを特徴とする請求項１に記載のネットワークセキュリティシステム。
9. 前記セキュリティ要求は、さらに前記コンピューティングデバイス上の現在のアンチウイルスソフトウェアのリビジョンのアンチウイルスソフトウェアリビジョン値を識別し、前記セキュリティ応答は、前記コンピューティングデバイス上の前記オペレーティングシステムおよび前記アンチウイルスソフトウェアの現在のリビジョンに従って知られているセキュリティの脅威から前記コンピューティングデバイスを保護するセキュリティ対策を含むことを特徴とする請求項８に記載のネットワークセキュリティシステム。
10. 前記セキュリティサービスは、前記通信ネットワークに接続された信頼されているロケーション上に前記セキュリティ情報を記憶することによって前記セキュリティ情報を発行することを特徴とする請求項１に記載のネットワークセキュリティシステム。
11. 前記セキュリティサービスは、第２の通信リンクを介して前記セキュリティ情報をブロードキャストすることによって、前記通信ネットワークから前記セキュリティ情報を発行することを特徴とする請求項１に記載のネットワークセキュリティシステム。
12. 前記第２の通信リンクは、衛星通信リンクであることを特徴とする請求項１１に記載のネットワークセキュリティシステム。
13. 前記第２の通信リンクは、無線周波数通信リンクであることを特徴とする請求項１１に記載のネットワークセキュリティシステム。
14. 前記セキュリティサービスは、前記通信ネットワーク上で一般的なブロードキャストによって前記セキュリティ情報を発行することを特徴とする請求項１に記載のネットワークセキュリティシステム。
15. 前記セキュリティサービスは、配信保証サービスを使用して前記通信ネットワーク上で前記セキュリティ情報を発行することを特徴とする請求項１に記載のネットワークセキュリティシステム。
16. 通信ネットワーク中のコンピューティングデバイスを前記通信ネットワーク上で送付される識別されたセキュリティの脅威から保護するための方法であって、
    前記通信ネットワーク中のコンピューティングデバイスに対する前記識別されたセキュリティの脅威に関連した情報を取得するステップと、
    前記通信ネットワーク中のネットワークセキュリティモジュールに前記識別されたセキュリティの脅威に関連したセキュリティ情報を発行するステップと
    を含み、前記通信ネットワーク中の各ネットワークセキュリティモジュールは、コンピューティングデバイスと前記通信ネットワークとの間に挿入され、前記セキュリティ情報は、ネットワークセキュリティモジュールによって実施される際に前記コンピューティングデバイスと前記通信ネットワークとの間の危険な恐れのあるネットワークアクティビティを前記識別されたセキュリティの脅威から保護するセキュリティ保護対策を含むことを特徴とする方法。
17. 前記セキュリティ保護対策は、前記コンピューティングデバイスと信頼されている通信ネットワークロケーションとの間のネットワークアクティビティを除いて、前記コンピューティングデバイスと前記通信ネットワークとの間のすべてのネットワークアクセスをブロックするステップを含むことを特徴とする請求項１６に記載の方法。
18. 前記セキュリティ保護対策は、前記ネットワークアクティビティのソースおよび／または宛先に対応する通信ポートの範囲に関与する、前記コンピューティングデバイスと前記通信ネットワークとの間のネットワークアクティビティを選択的にブロックするステップを含むことを特徴とする請求項１６に記載の方法。
19. 前記セキュリティ保護対策は、前記コンピューティングデバイス上で実行されるコードモジュールと前記通信ネットワークの間のネットワークアクティビティをブロックするステップを含むことを特徴とする請求項１６に記載の方法。
20. 実行される際に、通信ネットワーク中のコンピューティングデバイスを前記通信ネットワーク上で送付される識別されたセキュリティの脅威から保護するための方法を実行するコンピュータ実行可能命令を有するコンピュータ読取り可能媒体であって、前記方法は、
    前記通信ネットワーク中のコンピューティングデバイスに対する前記識別されたセキュリティの脅威に関連した情報を取得するステップと、
    前記通信ネットワーク中のネットワークセキュリティモジュールに前記識別されたセキュリティの脅威に関連したセキュリティ情報を発行するステップと
    を含み、前記通信ネットワーク中の各ネットワークセキュリティモジュールは、コンピューティングデバイスと前記通信ネットワークとの間に挿入され、前記セキュリティ情報は、ネットワークセキュリティモジュールによって実施される際に前記コンピューティングデバイスと前記通信ネットワークとの間の危険な恐れのあるネットワークアクティビティを前記識別されたセキュリティの脅威から保護するセキュリティ保護対策を含むことを特徴とするコンピュータ読取り可能媒体。
21. 通信ネットワークに接続されたコンピューティングデバイスをネットワークで送付されるセキュリティの脅威から保護するためのネットワークセキュリティシステムであって、
    前記コンピューティングデバイスに対するネットワークで送付されるセキュリティの脅威に関連した情報を取得し、実装される場合に、前記コンピューティングデバイスを前記ネットワークで送付されるセキュリティの脅威から保護する、前記コンピューティングデバイスと前記通信ネットワークとの間のネットワークアクティビティに対応するセキュリティ保護対策を含むセキュリティブリテンを発行するセキュリティサービスと、
    前記コンピューティングデバイスと前記通信ネットワークとの間に挿入され、前記セキュリティサービスによって発行されるセキュリティブリテンを取得し、前記セキュリティ保護対策を選択的に実装し、それによって前記ネットワークで送付されるセキュリティの脅威から前記コンピューティングデバイスを保護するネットワークセキュリティモジュールと
    を含むことを特徴とするネットワークセキュリティシステム。
    

Images