JP2006518080A - ネットワーク監査及びポリシー保証システム - Google Patents

Abstract

ネットワークポリシーを生成し、データ通信ネットワーク（１３）の監査を設定する中央コンプライアンスサーバー（１０）を含む防止指向のネットワーク監査システムである。コンプライアンスサーバーは、特定のデータ収集パラメータ、分析対象のポリシー、及び分析のスケジュールについて記述するためのＧＵＩ（Ｇｒａｐｈｉｃａｌ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ）を提示する。ネットワークに戦略的に配備された１つ又は複数の監査サーバー（１２）が、設定された監査に応答して、異種のデータ収集ツールを使用してネットワークに関する情報を収集し、この収集された情報をコンプライアンスサーバーに伝送する。そして、セキュリティ及び規制ポリシー診断、ネットワーク脆弱性分析、レポート生成、及びセキュリティ改善勧告のためにコンプライアンスサーバーが使用できるように、収集された情報を監査リポジトリ（１４）が保存する。

Description

本発明は、一般に、ネットワークセキュリティ監査システムに関し、更に詳しくは、セキュリティ及び規制ポリシーの自動診断とネットワーク脆弱性分析を提供し、改善作業を管理すると共に、ネットワークのセキュリティを改善するための勧告を行うことにより、発生する前の段階で攻撃を円滑に防止する防止指向のネットワークセキュリティ監査システムに関するものである。

既存のネットワークセキュリティ監査システムは、多くの場合に、防止指向ではなく、検出指向になっている。このような既存のシステムは、通常、（１）リアルタイム侵入検出と、（２）予防的な脆弱性分析及び侵入試験という２つの方法の中のいずれかにおいて動作している。多くの場合に、リアルタイム侵入検出システムは、パケットスニッフィング機能及び／又はその他のネットワーク応答ツールを使用することにより、ネットワーク上における攻撃を検出している。従って、既存のリアルタイムシステムにおいては、ネットワークセキュリティに対して、攻撃的なアプローチではなく、防衛的なアプローチを採用している。

現在のネットワークセキュリティ監査システムにおいては、多くの場合に、ネットワーク上の侵入を検出した後に、その問題を軽減するための改善を試みている。しかしながら、このような改善の試みは、通常、攻撃を受けたネットワーク上の特定の装置に関して手動で起動されており、ネットワーク上の装置の数が増大するに伴って、このような手動による改善の試みによれば、所要する費用が増大すると共に、セキュリティ攻撃の処理が非効率的なものになる。

又、通常、リアルタイム侵入検出情報の入手には、かなりの時間を所要し、防衛策の策定に有用ではないため、通常、これは、ネットワークセキュリティ上における危険の程度を判定するための検討に使用されている。又、リアルタイムの侵入検出情報は、通常、企業のセキュリティポリシー及び／又は規制ポリシーに対する遵守レベルの判定にまったく（或いは、ほとんど）有用ではない。

脆弱性分析ツールの場合には、これらのツールは、通常、既知の脆弱性についてサーチするのみである。この観点において、多くの場合に、特定の脆弱性の処理において過去に蓄積した知識との関連で、いくつかの脆弱性分析ツールを使用して侵入試験タスクを実施するべく、コンサルタントが雇用されている。

しかしながら、ノード数が数千に過ぎないネットワークの場合にも、通常、コンサルタントがレビュー可能なネットワークのサンプル数は、ネットワークの一部のみである（通常、わずかに５〜１０パーセントである）。そして、このサンプリングしたノードの情報に基づいて推定を行い、ネットワーク全体の脆弱性の尺度を提供しているが、このような推定は、多くの場合に、非常に不正確なものになる。

又、従来技術によって提供されるポリシー違反の改善の試みは、通常、手動で処理されている。又、従来技術は、このような改善の試みを正確に追跡する能力をほとんど提供していない。更には、改善の対象となるのは、通常、サンプリングされたアセットのみである。

以上のようなことから、セキュリティ及び規制ポリシーの自動診断とネットワーク脆弱性分析を提供し、改善作業を管理すると共に、定期的にグローバルネットワークのセキュリティを勧告を行うことにより、発生する前の段階で攻撃を円滑に予防する予防指向のネットワークセキュリティ監査システムが求められているのである。

一実施例によれば、本発明は、データ通信ネットワークのセキュリティを監査するネットワーク監査システムに関するものである。このシステムは、データ通信ネットワークのポリシー及び監査を設定する第１サーバーを含んでいる。本発明の一実施例によれば、この第１サーバーは、特定のデータ収集パラメータ、分析対象のポリシー、及び分析のスケジュールを記述した後に、結果的に生成される遵守レベルと改善作業管理に関するレポートを生成するのに使用するＧＵＩ（Ｇｒａｐｈｉｃａｌ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ）を提示する。そして、この第１サーバーに接続された１つ又は複数の第２サーバーが、この設定された監査に応答して、ネットワークに関する情報を収集し、この収集された情報を第１サーバーに伝送する。本発明の一実施例によれば、この第２サーバーによって収集された情報は、ネットワーク上の装置に関する事実及び／又はネットワークのトポロジーに関する事実として見なされる。第１サーバーに接続されたデータストアが、この１つ又は複数の第２サーバーから伝送された収集済みの情報を保存する。そして、第１サーバーが、設定されたネットワークポリシーの中の１つに対する遵守状態を判定し、この判定結果に応答して、ネットワーク機能を変更するべく、独立的に勧告を行う。

本発明の一実施例によれば、第１サーバーは、ユーザーがネットワークポリシー用の自然言語ポリシー文書を生成し、この自然言語ポリシー文書に対して１つ又は複数の機械処理可能な規則を関連付けることにより、ネットワークポリシーを機械実行可能にすることができるクライアントサイドのユーザーインターフェイスを含んでいる。本発明の一実施例によれば、ポリシーは、自然及び機械実行可能な言語の両方の形態であり、第１サーバーによって同期化並びにバージョン制御されている。

本発明の一実施例によれば、複数の異種の情報ソースを使用してネットワークに関する情報を収集し、１つ又は複数の第２サーバーは、それぞれ、この異種の情報ソースによって収集された情報を受信し、この受信した情報を正規化されたデータフォーマットに変換するためのインターフェイスを含んでいる。

本発明の一実施例によれば、第１サーバーの分析によって生成される１つのタイプの勧告は、ネットワーク機能と関連付けられたタスクである。そして、このタスクの完了を監視可能である。別のタイプの勧告は、リスクを低減するための規則の追加である。

本発明の一実施例によれば、このシステムは、監査と関連するアクティブなネットワーク装置を識別し、それらのネットワーク装置を時間の経過に伴って追跡すると共に、それらのネットワーク装置と関連する情報を関連付けるエンジンを含んでいる。

本発明の一実施例によれば、１つ又は複数の第２サーバーは、１つ又は複数の動的に設定可能なパケットフィルタに接続されている。

本発明の一実施例によれば、本システムは、無線アクセスポイントのアドレスフィルタリングが機能しているかどうかを判定すると共に／又は、無線アクセスポイントの場所を追跡するエンジンを含んでいる。

本発明の一実施例によれば、第１サーバーは、異種の情報ソースから収集された情報間における等価性を識別する意味論的正規化モジュール（Ｓｅｍａｎｔｉｃ Ｎｏｒｍａｌｉｚａｔｉｏｎ Ｍｏｄｕｌｅ）を有している。

本発明のこれら及びその他の機能、態様、並びに利点については、以下の詳細な説明、添付の請求項、及び添付図面を参照することにより、十分に理解することができよう。当然のことながら、本発明の実際の範囲は、添付の請求項に定義されているとおりである。

Ｉ．はじめに
図１は、本発明の一実施例によるグローバルネットワークの概略ブロック図である。このグローバルネットワークは、公的なインターネット１８又は私的なワイドエリアネットワーク２０を介して互いに接続された複数の内部ネットワーク１６を含むことができる。又、このグローバルネットワークには、セキュリティ及び規制ポリシーの自動診断とネットワーク脆弱性分析を提供し、このグローバルネットワークのセキュリティを改善するための勧告を行う予防指向のネットワークセキュリティ監査システムが含まれている。

本発明の一実施例によれば、この予防指向のネットワークセキュリティ監査システム（以下、「システム」と呼ぶ）は、監査リポジトリ１４をホスティングしているデータベースサーバー１１に接続された中央コンプライアンス（遵守）サーバー１０を含んでいる。このコンプライアンスサーバー１０は、データ通信ライン１３を介して１つ又は複数の監査サーバー１２に更に接続されている。尚、本発明の一実施例によれば、このデータ通信ラインは、例えば、公開鍵による暗号化などの暗号化メカニズムを使用するＴＬＳ（Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）プロトコルに従ってデータを伝送することにより、通信アプリケーション間におけるプライバシーを円滑に確保している。

監査リポジトリ１４は、ネットワークトポロジー情報、脆弱性及び違反情報、セキュリティ及び規制ポリシー、ネットワークスキャン結果、並びに、これらに類似のものを保存している。ネットワークスキャン結果には、例えば、情報収集ツールによって収集されたネットワーク情報や、ネットワークポリシーにとって重要である物理的セキュリティの側面を記述する手動による監査タスク情報が含まれる。尚、この監査リポジトリ１４は、図１に示されているようにデータベースサーバー１１及び／又はコンプライアンスサーバー１０の一部として実装可能である。

監査サーバー１２は、好ましくは、グローバルネットワーク内の有線ローカルネットワーク１６及び無線ローカルネットワーク２２に関する事実を収集するべく、グローバルネットワーク内に戦略的に配備されている。本発明の一実施例によれば、監査サーバー１２は、異種の情報ソースを使用して、有線及び／又は無線ローカルネットワーク２２に関係する事実を収集するべく構成されている。このような情報ソースには、スキャナ、カメラ、手動入力データ、及び／又はこれらに類似のものが含まれる。そして、それぞれの情報ソースによって収集されたデータは、例えば、ＸＭＬ（ｅＸｔｅｎｓｉｂｌｅ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ）などの正規化されたデータフォーマットに変換され、コンプライアンスサーバー１０がアクセスできるように、監査リポジトリ１４内に保存される。

本発明の一実施例によれば、監査サーバー１２は、グローバルネットワークに対して、ＤＴＡＳ（Ｄｙｎａｍｉｃ Ｔａｒｇｅｔ Ａｃｑｕｉｓｉｔｉｏｎ Ｓｅｒｖｉｃｅ）及び／又はＤＰＦ（Ｄｙｎａｍｉｃ Ｐａｃｋｅｔ Ｆｉｌｔｅｒ）サービスを提供するべく構成されている。ＤＴＡＳによれば、ＩＰアドレスが動的に変化するＤＨＣＰ（Ｄｙｎａｍｉｃ Ｈｏｓｔ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）の場合にも、個々のネットワーク装置を一覧表にし、それらの特性を時間の経過に伴って関連付けることが可能である。そして、ＤＰＦによれば、企業ＬＡＮ／ＷＡＮと、コンプライアンスサーバー１０及び監査リポジトリ１４を含むプライベートサブネット間に、ファイヤウォールが提供される。尚、このＤＴＡＳ及びＤＰＦは、１つ又は複数の専用サーバーを介して（或いは、１つ又は複数の監査サーバー１２の一部として）提供可能である。

コンプライアンスサーバー１０は、セキュリティ及び／又は規制におけるコンプライアンスの観点で、中央サイトからグローバルネットワークの全体的な健康状態を追跡するべく、監査サーバー１２及び監査リポジトリ１４に接続されている。そして、コンプライアンスサーバー１０は、監査サーバー１２によって収集されたデータを分析し、ポリシー違反及び脆弱性リスクを評価すると共に、ネットワークのセキュリティ及びポリシーを改善するための勧告を行う。又、コンプライアンスサーバーは、ネットワーク監査において使用するセキュリティ及び規制ポリシーの生成、設定、編集、試験、及び配備を支援する。又、コンプライアンスサーバー１０は、既定の条件に基づいて手動又は自動的に生成可能な様々なタイプのレポートを通じて、ネットワークのセキュリティに関する統合された視認性と、ポリシー遵守に関して実行された様々な診断をも提供する。

本発明の一実施例によれば、グローバルネットワークは、このネットワークに更なるセキュリティを提供するべく、ファイヤウォール、侵入検出システム、並びに、これらに類似のものなどの従来のセキュリティコンポーネント２４を更に含んでいる。当業者であれば、アンチウイルス、侵入検出、並びにこれらに類似のものなどのその他の検出指向のソリューションを利用することにより、この予防指向のネットワークセキュリティ監査システムを補完することが可能であることを認識するであろう。

ＩＩ．コンプライアンスサーバー
図２は、本発明の一実施例によるコンプライアンスサーバー１０の更に詳細なブロック図である。この図示の実施例によれば、コンプライアンスサーバーは、管理インターフェイス３０、ポリシーラボ（Ｐｏｌｉｃｙ Ｌａｂ）３２、並びにポリシー及び脆弱性（Ｐｏｌｉｃｙ ａｎｄ Ｖｕｌｎｅｒａｂｉｌｉｔｙ：Ｐ＆Ｖ）エンジン３４を含んでいる。管理インターフェイス３０は、グローバルネットワークに関して判明した事実に関する様々な詳細レベルの様々なタイプのレポートを生成するユーザーインターフェイス並びにこれに関連するソフトウェア及びハードウェアを提供している。又、この管理インターフェイス３０によれば、ユーザー、ホスト、ネットワーク、及びこれらに類似するものの中央管理と、監査及び改善タスクの設定及びスケジューリングも可能である。

ポリシーラボ３２は、ユーザーが英語などの自然言語でセキュリティ及び規制ポリシーを迅速に作成できるようにするべく、関係するソフトウェアにより、クライアントサイドアプリケーションを介したユーザーインターフェイスを提供すると共に、作成されたそれらのポリシーを機械処理可能な規則に対してリンクする。尚、自然言語の例として英語を挙げているが、当業者であれば、英語以外の任意の自然言語を使用することにより、ポリシーソース文書を生成可能であることを認識するであろう。又、このポリシーラボ３２によれば、ユーザーは、ネットワークに対するポリシーの効果をモデル化することにより、配備の前に、新しい（又は、変更された）セキュリティポリシーの効果を評価することができる。

Ｐ＆Ｖエンジン３４は、監査サーバー１２によって収集されたデータを分析し、その監査対象のネットワークが、設定されているセキュリティ及び規制ポリシーに対して準拠しているかどうかを判定する。この観点において、Ｐ＆Ｖエンジン３４には、様々なスキャナ及びその他のデータソース製品によって提供されるデータを正規化する意味論的正規化モジュール（Ｓｅｍａｎｔｉｃ Ｎｏｒｍａｌｉｚａｔｉｏｎ Ｍｏｄｕｌｅ）３３が含まれている。又、Ｐ＆Ｖエンジン３４は、事前定義された脆弱性分析規則に基づいて、ネットワーク内に脆弱性リスクが存在するかどうかをも判定する。尚、このＰ＆Ｖエンジン３４は、コンプライアンスサーバー１０内に存在する１つ又は複数のプロセッサに内蔵可能である。

ＩＩＩ．ポリシーラボ
図３は、本発明の一実施例によるポリシーラボ３２の更に詳細な機能ブロック図である。この図示の実施例によれば、ポリシーラボは、ポリシー編集モジュール４０、ポリシーライブラリ４２、及びポリシー配備モジュール４４を含んでいる。

ポリシーライブラリ４２は、英語及び機械処理可能な言語において作成された事前設定されたポリシーのリポジトリである。１つのポリシーは、このポリシーライブラリ４２内に保存されている１つ又は複数の規則から構成される。尚、本発明の一実施例によれば、ポリシーライブラリは、物理的にリポジトリ１４内に存在している。

このポリシーライブラリ４２内に保存されているポリシーは、政府、健康管理団体、金融サービス団体、技術セクタ、国際団体、及び／又は公益団体などの産業組織の厳しい標準規格を満足するべく設計されている。政府によって定義された模範的なポリシーには、ＮＩＳＴ（Ｎａｔｉｏｎａｌ Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｓｔａｎｄａｒｄｓ ａｎｄ Ｔｅｃｈｎｏｌｏｇｙ）、ＮＳＡ（Ｎａｔｉｏｎａｌ Ｓｅｃｕｒｉｔｙ Ａｇｅｎｃｙ）、ＯＭＢ（Ｏｆｆｉｃｅ ｏｆ Ｍａｎａｇｅｍｅｎｔ ａｎｄ Ｂｕｄｇｅｔ）、ＧＬＢＡ（Ｇｒａｈａｍ， Ｌｅａｃｈ， Ｂｌｉｃｅｙ Ａｃｔ）、ＧＩＳＲＡ（Ｇｏｖｅｒｎｍｅｎｔ Ｉｎｆｏｒｍａｔｉｏｎ Ｓｅｃｕｒｉｔｙ Ｒｅｆｏｒｍ Ａｃｔ）、Ｓａｒｂａｎｅｓ−Ｏｘｌｅｙ、ＦＥＲＣ（Ｆｅｄｅｒａｌ Ｅｎｅｒｇｙ Ｒｅｇｕｌａｔｏｒｙ Ｃｏｍｍｉｓｓｉｏｎ）、ＤＩＴＳＣＡＰ（ＤｏＤ Ｉｎｆｏｒｍａｔｉｏｎ Ｔｅｃｈｎｏｌｏｇｙ Ｓｅｃｕｒｉｔｙ Ｃｅｒｔｉｆｉｃａｔｉｏｎ ａｄｎ Ａｃｃｒｅｄｉｔａｔｉｏｎ）、及びＨＩＰＰＡ（Ｈｅａｌｔｈ Ｉｎｓｕｒａｎｃｅ Ｐｏｒｔａｂｉｌｉｔｙ ａｎｄ Ａｃｃｏｕｎｔａｂｉｌｉｔｙ Ａｃｔ）が含まれている。

技術セクタによって定義された模範的なポリシーには、ＳＡＮＳ（Ｓｙｓｔｅｍ Ａｄｍｉｎｉｓｔｒａｔｉｏｎ ａｎｄ Ｎｅｔｗｏｒｋ Ｓｅｃｕｒｉｔｙ）、ＮＥＲＣ（Ｎｏｒｔｈ Ａｍｅｒｉｃａｎ Ｅｌｅｃｔｒｉｃ Ｒｅｌｉａｂｉｌｉｔｙ Ｃｏｕｎｃｉｌ）、及びＩＥＴＦ（Ｉｎｔｅｒｎｅｔ Ｅｎｇｉｎｅｅｒｉｎｇ Ｔａｓｋ Ｆｏｒｃｅ）が含まれている。

国際団体によって定義された模範的なポリシーには、ＩＳＯ（Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｓｔａｎｄａｒｄｓ Ｏｒｇａｎｉｚａｔｉｏｎ）１７７９９、及びＥＵＤＰＤ（ＥＵ Ｐｅｒｓｏｎａｌ Ｄａｔａ Ｐｒｏｔｅｃｔｉｏｎ Ｄｉｒｅｃｔｉｖｅ）が含まれている。

公益団体によって定義された模範的なポリシーには、ＣＯＰＰＡ（Ｃｈｉｌｄｒｅｎ’ｓ Ｏｎｌｉｎｅ Ｐｒｉｖａｃｙ Ｐｒｏｔｅｃｔｉｏｎ Ａｃｔ）が含まれている。本発明の一実施例によれば、ポリシーライブラリ４２は、これらのポリシーの１つ又は複数のものを自然言語及び機械処理可能な言語の両方において保存している。

このポリシーライブラリ４２内に保存されているその他のポリシーは、サードパーティによって提供される製品及び／又はサービスのセキュリティ、可用性、及び性能に関するサードパーティとの合意（これは、ＳＬＡ（Ｓｅｒｖｉｃｅ Ｌｅｖｅｌ Ａｇｒｅｅｍｅｎｔ）と呼ばれている）に対するコンプライアンスを監査及び管理するべく設計されている。又、このポリシーライブラリ４２には、その他のネットワークの脆弱性を検出するポリシーと、特定のネットワークのために開発された専門的なポリシーを更に含むことが可能である。

本発明の一実施例によれば、ポリシー編集モジュール４０及びポリシー配備モジュール４４は、コンプライアンスサーバー１０内に存在する１つ又は複数のプロセッサ上において（又は、時々コンプライアンスサーバーと接続及び同期化するクライアントサイドＧＵＩアプリケーション４６内において）稼働するソフトウェアモジュールである。ポリシー編集モジュール４０によれば、ユーザーは、ポリシーライブラリ４２内に保存するべく、ポリシーを生成及び編集することができる。そして、ポリシー配備モジュール４４によれば、ユーザーは、配備する前に、新しい（又は、変更された）ポリシーの有効性を評価することができる。又、このポリシー配備モジュール４４には、ネットワークセキュリティを向上させるべく、セキュリティポリシー及び規則を勧告する勧告エンジン７１が更に含まれている。

図４は、本発明の一実施例によるポリシー編集及びポリシー配備モジュール４０、４４を起動するＧＵＩ（Ｇｒａｐｈｉｃａｌ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ）の模範的な画面ショットである。このＧＵＩは、ポリシーライブラリ４２内に保存されている様々なファイルをナビゲートするエクスプローラ（Ｅｘｐｏｒｅｒ）ウィンドウ７２を提供している。又、このＧＵＩは、ポリシー編集及び配備モジュールによって提供される様々な機能にアクセスするための複数の選択可能なメニュー及びサブメニューを有するツールバー３６を更に提供している。そして、ワークエリア３７を使用することにより、診断対象の機能と関連する表示を生成することができる。

本発明の一実施例によれば、ポリシーライブラリ４２は、ポリシーのディレクトリ６０と、規則のディレクトリ６２と、に編成されている。ポリシーディレクトリ６０は、個々のポリシー７６を様々なポリシーカテゴリに編成することができる。例えば、カスタム（Ｃｕｓｔｏｍ）ポリシーカテゴリ６４には、特定のグローバルネットワークのニーズを満足するためにカスタマイズされたポリシーを含むことが可能であり、最良事例（Ｂｅｓｔ Ｐｒａｃｔｉｃｅｓ）カテゴリ６６には、産業最良事例に準拠したポリシーを含むことが可能であり、規格及び規制（Ｓｔａｎｄａｒｄｓ ＆ Ｒｅｇｕｌａｔｏｒｙ）ポリシーカテゴリ６８には、公開されている規格及び規制に準拠したポリシーを含むことができる。本発明の一実施例によれば、それぞれのポリシー７６は、１つ又は複数の規則７８と自然言語ポリシーソース文書７４に関連付けられている。

一方、規則ディレクトリ６２は、個々の規則７８を様々なカテゴリ（タイプ）７０に編成することができる。例えば、この規則ディレクトリ６２には、ネットワークポリシーの違反を検出する規則、ネットワークに関する情報を収集する規則、危険に晒されているホストを識別する規則、及び／又はネットワーク内の脆弱性を識別する規則を含むことができる。

本発明の一実施例によれば、新しい規則は、ツールバー３６のファイル（Ｆｉｌｅ）メニュー１０１から新規規則オプション（図示されてはいない）を選択することにより、生成可能である。このオプションを選択すると、図５に示されているように、新しい規則の名前と規則タイプを提供するように、ユーザーに対してポリシー編集モジュール４０が要求するポップアップウィンドウ３８が表示される。そして、ＯＫボタンを選択すると、ワークエリア３７内に、ポリシー編集モジュール４０によって規則編集ウィンドウが表示される。

図６は、本発明の一実施例による規則編集ウィンドウ３９の模範的な画面ショットである。この規則編集ウィンドウ３９には、ユーザーが特定の規則の機械語テキストを閲覧又は生成できるようにする規則テキストウィンドウ１００が含まれている。本発明の一実施例によれば、規則を機械語化するべく、ＸＳＬ（ｅＸｔｅｎｓｉｂｌｅ Ｓｔｙｌｅｓｈｅｅｔ Ｌａｎｇｕａｇｅ）を使用している。但し、当業者であれば、ＸＳＬの代わりに、例えば、ＳＱＬ、Ｊａｖａ（登録商標）、Ｊａｖａ（登録商標）Ｓｃｒｉｐｔ、又は、当技術分野における従来の手続き型、オブジェクト指向、又は構造化されたプログラム言語などのその他のプログラミング言語を使用することも可能であることを認識するであろう。

ポップアップウィンドウ３８内にユーザーによって提供された名前及び規則タイプは、それぞれ、ウィンドウ１０２及び１０４内に表示される。重大性（Ｓｅｖｅｒｉｔｙ）メーター１０６により、ユーザーは、その規則違反の重大性を定量化することができる。即ち、この重大性メーターによれば、リスクの様々な尺度を算出する際に、規則を、その他の規則との関係において重み付けすることができる。尚、本発明の一実施例によれば、重大性レベルは、１〜１００の範囲をとることが可能であり、１００が最も重大である。

ウィンドウ１０８を使用し、ユーザーは、その規則の簡単な説明を提供することができる。

ウィンドウ１１０は、特定のＸＳＬコードと既に関連付けられている定義済みのサブ要素に対する参照のリストを提供している。規則は、通常、特定のプロパティを具備する特定の装置タイプ（例：ルーターやファイヤウォール）、特定のアプリケーション構成（Ｅコマースサーバーやクレジットカード処理システム）、又は特定のサブネット（例：ＤＭＺネットワークや金融ネットワーク）について作成される。特定の参照を選択することにより、ユーザーは、毎回ＸＳＬコードを再生成することなしに、検証（Ｖｅｒｉｆｉｃａｔｉｏｎ）又は断片（Ｆｒａｇｍｅｎｔ）ボタン１０９、１０７を選択することにより、特定の規則に関連付けられているプロパティを選択し、関連するＸＳＬコードをテキストウィンドウ１００に追加することができる。尚、本発明の一実施例によれば、参照と関連付けられているＸＳＬコードは、ネットワークに関するデータを収集するために使用されるスキャナ又はその他の製品には依存しない。

規則を生成した後に、ユーザーは、規則のタイプ（Ｔｙｐｅ）１０４に一致する規則ディレクトリ６２のカテゴリ内に、その規則を保存することができる。

本発明の一実施例によれば、新しいポリシーは、ツールバー３６のファイル（Ｆｉｌｅ）メニュー１０１から新規ポリシーオプション（図示されてはいない）を選択することにより、生成可能である。この新規ポリシーオプションを選択すると、図７に示されているように、新しいポリシーの名前とポリシーカテゴリを入力するように、ユーザーに対して要求するポップアップウィンドウ４１が表示される。又、この時点で、ユーザーは、ポリシーに関連付けられる自然言語ソース文書ファイルへのパスを任意選択によって提供することも可能である。又、ユーザーは、そのポリシーに対して、現在のすべての利用可能な規則の最新バージョン又は既存のポリシーと関連する規則を関連付けるべく更に選択可能である。

ＯＫボタンを選択すると、ワークエリア３７内に、ポリシーエディタウィンドウが表示される。

図８は、本発明の一実施例によるポリシーエディタウィンドウ４３の模範的な画面ショットである。このポリシーエディタウィンドウ４３は、ポリシーのソース文書ディレクトリから取得されたポリシーと関連するソース文書のテキストを表示するソース文書ウィンドウ５０を含んでいる。例えば、ソース文書をポップアップウィンドウ４１において選択すると、その選択された文書のテキストがソース文書ウィンドウ５０内に表示される。

或いは、この代わりに、当初、ポップアップウィンドウ４１によってソース文書が選択されていない場合には、ソース文書ウィンドウ５０には、リンク（図示されてはいない）が表示され、このリンクにより、ユーザーは、別個のファイル選択ウィンドウ内において、利用可能なポリシーソース文書のリストを閲覧し、特定のポリシーソース文書をポリシーに関連付けることができる。この観点において、ポリシー編集モジュール４０は、自然言語のポリシーソース文書を生成及び保存するべく、例えば、ワードプロセッサソフトウェアなどの必要なソフトウェアを提供している。

ポリシー編集モジュール４０は、ポリシーと、選択されたソース文書間における関連付けを保存しており、この結果、次回、そのポリシーをポリシーエディタウィンドウ４３を介して閲覧する際には、その選択されたソース文書が自動的に取得され、ソース文書ウィンドウ５０内に表示されることになる。

又、このポリシーエディタウィンドウ４３には、ポリシーと関連する機械語化された規則のリストを表示する関連規則（Ａｓｓｏｃｉａｔｅｄ Ｒｕｌｅｓ）ウィンドウ５２が更に含まれている。本発明の一実施例によれば、ポップアップウィンドウ４１を介してユーザーが選択した規則のタイプは、当初、この関連規則ウィンドウ５２内に表示される。

ポリシーに対して規則を追加又は削除可能である。ポリシーに規則を追加するには、ユーザーは、エクスプローラウィンドウ７２の規則ディレクトリ６２内に一覧表示されている機械処理可能な規則の特定のバージョンを選択し、追加命令を提供する。この追加命令は、例えば、関連規則ウィンドウ５２の下の追加（Ａｄｄ）アイコンを選択することによって提供可能である。本発明の一実施例によれば、この追加命令により、自然言語ポリシーと機械処理可能な規則の間に関連付けが生成される。次いで、その追加された規則が、関連規則ウィンドウ５２内に表示される。ポリシー編集モジュール４０は、この関連付け情報を保存しており、この結果、そのポリシーを次回起動した際には、その選択された規則も自動的に取得されることになる。このようにして、ポリシーを自然言語において生成すると共に、機械処理可能な規則に対するその関連付けを介して、それらを機械監査可能にすることが可能になっている。

一方、ポリシーから規則を削除するには、ユーザーは、関連規則ウィンドウ５２において、その規則を選択し、削除命令を発行する。この削除命令は、例えば、関連する規則ウィンドウ５２の下の削除（Ｄｅｌｅｔｅ）アイコンを選択することによって提供可能である。尚、ポリシー編集モジュール４０は、そのポリシーと規則間における関連付け情報をも削除し、この結果、そのポリシーを次回起動した際に、その削除された規則が取得されないようになっている。

本発明の一実施例によれば、ポリシー編集モジュール４０により、ポリシーの特定の部分に対して、１つ又は複数の機械処理可能な規則を関連付けることができる。この観点において、ユーザーは、例えば、ソース文書ウィンドウ５０内の１つのセクションを強調表示することにより、そのポリシー用のソース文書の１つのセクションを示すと共に、関連規則ウィンドウ５２から１つ又は複数の規則を選択する。この結果、関連規則ウィンドウ５２の下のアイコンがオンになり、このアイコンを選択することにより、選択された１つ又は複数の規則が、選択されたテキストと関連付けられることになる。そして、この選択された規則の表示が関連規則ウィンドウ５２内において変化し、その関連付けが示される。又、本発明の一実施例によれば、このソース文書テキストの強調表示された部分は、関連する１つ又は複数の規則にリンクしたハイパーリンクに変換される。

関連規則ウィンドウ５２内において特定の規則を選択すると、その他のポリシー（Ｏｔｈｅｒ Ｐｏｌｉｃｉｅｓ ｃｏｎｔａｉｎｉｎｇ ｓｅｌｅｃｔｅｄ ｒｕｌｅ）ウィンドウ５４内に、その選択された規則を含むその他のポリシーが表示される。ポリシーエディタウィンドウ４３には、表示されているポリシーの説明をユーザーが入力できるようにする説明（Ｐｏｌｉｃｙ Ｄｅｓｃｒｉｐｔｉｏｎ）ウィンドウ５６も更に含まれている。

規則が定義され、特定のポリシーとの関連付けが完了したら、スケジュールされた監査のためにポリシーを配備する前に、ポリシー配備モジュール４４により、ネットワークに対する有効性と影響について、そのポリシーを試験することができる。又、そのポリシーをネットワークに適用する効果をモデル化することも可能である。本発明の一実施例によれば、ポリシー配備モジュール４４は、監査リポジトリ１４内に保存されている過去の監査結果に基づいて、ポリシーを試験する。そして、この試験が完了すると、ポリシーは、配備のための準備が整うことになる。

本発明の一実施例によれば、ポリシーは、ツールバー３６の試験（Ｔｅｓｔ）メニュー１１１からポリシー試験オプション（図示されてはいない）を選択することにより、試験することができる。このオプションを選択することにより、ワークエリア３７内に、ポリシー試験ウィンドウが表示される。

図９は、本発明の一実施例によりポリシー試験（Ｐｏｌｉｃｙ Ｔｅｓｔ）ウィンドウ４５の模範的な画面ショットである。この図示の実施例によれば、ユーザーは、試験対象のポリシーの名前をエリア４７に入力する。これは、例えば、選択アイコン５３を選択して、ポリシーのリストを閲覧し、所望のポリシーを選択することによって実行可能である。

又、ユーザーが比較分析の実行を所望する場合には、ユーザーは、エリア４９に第２のポリシーの名前を入力し、比較分析を実行する旨をエリア５５に示すことも可能である。

そして、ユーザーは、エリア５１に、監査リポジトリ１４内に保存されているスキャン結果文書の名前を入力し、命令を伝送することによって試験を起動する。試験は、例えば、開始ボタン５７を選択することによって起動可能である。この開始命令に応答して、ポリシー配備モジュール４４は、選択されている１つ又は複数のポリシーを、通常のスケジュールされた監査と同様に、スキャン結果に適用する。次いで、ポリシー配備モジュール４４は、その結果を様々なデータポイントに関連付けて、その関連付けられた結果を表のフォーマット５９で表示することにより、ネットワークにそのポリシーを適用した場合の予想される効果に関する組織化されたビューをユーザーに提供する。

本発明の一実施例によれば、このポリシー試験ウィンドウ４５には、ポリシー配備モジュールの勧告エンジン７１を起動する勧告（Ｒｅｃｏｍｍｅｎｄａｔｉｏｎｓ）オプション６１が含まれている。この勧告オプション６１を選択すると、試験されたポリシーには含まれていないが、ポリシーに含めることを勧告する規則のリストが勧告エンジン７１によって提供される。この観点において、勧告エンジン７１は、ポリシー規則の存在を要する装置又はシナリオが監査結果において検出されているかどうかを判定する。例えば、監査結果において、ＷＡＰ（Ｗｉｒｅｌｅｓｓ Ａｃｃｅｓｓ Ｐｏｉｎｔ）の存在が識別されており、試験されたポリシー内に、ＷＡＰをアドレス指定する規則が含まれていない場合には、このエンジンは、この規則をポリシーに追加することを勧告することができる。これは、例えば、規則の存在を要するアセット及び／又はシナリオの表とそれらの規則の識別子を維持管理することによって実行可能である。

勧告エンジン７１は、勧告された規則をスキャン結果に適用し、その重要性に基づいて規則をランク付けする。規則の重要性は、例えば、その規則が適用された回数、その規則に設定されている重大性メーター、影響を受けるアセット、及びこれらに類似のものに基づいて判定することができる。本発明の一実施例によれば、勧告エンジン７１は、その重要性に基づいて順序付けされた勧告規則のリストを表示する。

ＩＶ．監査サーバー
図１０は、本発明の一実施例による監査サーバー１２の更に詳細な機能ブロック図である。監査サーバー１２は、トポロジー分析エンジン２００、ＤＰＦサーバー２０１、及びマルチスキャン合算エンジン２０２を含んでいる。又、この監査サーバー１２には、当技術分野における従来技術と同様の方式で、ネットワーク１６、２２に関するセキュリティデータなどのデータを収集するべく、様々なオープンソーススキャナ２０４、サードパーティスキャナ２０６、特殊目的スキャナ２０８、及び／又は顧客スキャナ２１０と協働するスキャンハーネスも含まれている。模範的なオープンソーススキャナ２０４には、Ｎｅｓｓｕｓが含まれており、これは、オープンソースエンティティであるＮｅｓｓｕｓ．ｏｒｇから提供されている。模範的なサードパーティスキャナ２０６には、例えば、Ｉｎｔｅｒｎｅｔ Ｓｅｃｕｒｉｔｙ Ｓｙｓｔｅｍｓ， Ｉｎｃ．が製造するＩｎｔｅｒｎｅｔ Ｓｃａｎｎｅｒなどのスキャナが含まれる。特殊目的スキャナ２０８は、ネットワークトポロジーの検出、検出が困難な脆弱性及びポリシー違反の専門的なチェック、８０２．１１無線ネットワーク監査、及びこれらに類似のものを実施するべく使用されるサードパーティ又はプロプライエタリなスキャナのいずれかであってよい。そして、顧客スキャナ２１０は、その顧客の環境に固有の監査を実行するべく、使用可能である。

本発明の一実施例によれば、スキャンハーネス２１２は、スキャナと監査サーバー１２間において通信するソフトウェアＡＰＩ（Ａｐｐｌｉｃａｔｉｏｎ Ｐｒｏｇｒａｍ Ｉｎｔｅｒｆａｃｅ）である。このスキャンハーネス２１２は、スキャナの種類が異なっている場合にも、監査サーバー１２がスキャナと均一に通信できるようにする共通インターフェイスを提供している。この結果、多数の異種のネットワークスキャニング技術及びソフトウェアパッケージを単一の統合された監査サーバーに統合することが可能である。

本発明の一実施例によれば、スキャンハーネス２１２の実装は、スキャナごとに行われる。この実装には、それぞれのスキャナが提供可能な機能と、同一タイプの試験を実行可能なその他の関係するスキャナに対してマッピングする方法と、に関するメタ情報が含まれている。例えば、１つのスキャナは、システムフィンガプリンティング、ポートマッピング、及び／又は脆弱性診断を実行する能力を有しており、別のスキャナは、その他の能力を有するように構成可能である。メタ情報を使用することにより、スキャナが特定のタイプの監査を実行する能力を有しているかどうかを判定することができる。

ＤＴＡＳサーバー
本発明の一実施例によれば、監査サーバー１２の初期化により、ネットワーク上のアクティブなホストを検出するべく、トポロジー分析エンジン２００が提供するＤＴＡＳ（Ｄｙｎａｍｉｃ Ｔａｒｇｅｔ Ａｃｑｕｉｓｉｔｉｏｎ Ｓｅｒｖｉｃｅ）が起動する。そして、ネットワーク監査セッションにおいて使用するべく、このアクティブなホストのターゲットリストが生成される。又、トポロジー分析エンジン２００は、ＤＨＣＰを使用してＩＰアドレスを変更している場合にも、その一意の識別子に基づいてアクティブな装置を追跡するべく、マップファイルを更に作成する。

本発明の一実施例によれば、一意の識別子を判定する目的で、３つのタイプのホストが存在している。第１に、サーバーなどのホストは、通常そのＩＰアドレスが変化しない静的なホストである。このシナリオにおいては、ホストの一意の識別子として、この静的なＩＰアドレスを使用する。

第２に、ホストは、静的なホスト名と動的なＩＰを具備可能である。これは、ＤＨＣＰサーバーが、それぞれのホストのＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスを有するように構成されており、ドメインネームサーバーが同一のホスト名をＭＡＣアドレスと関連している複数のＩＰアドレスに割り当てる場合に発生するものである。このシナリオにおいては、ホストの一意の識別子として、ホスト名を使用する。

第３に、ホストは、動的なＩＰと動的なホスト名を具備可能であり、これは、ＤＨＣＰを利用するネットワークにおいて一般的なものである。このシナリオにおいては、一意の識別子として、ホストのＭＡＣアドレスを使用する。

初期化の際に、トポロジー分析エンジン２００は、アクティブなホストを判定するべく、監査サーバー１２と関連付けられている１つ又は複数のネットワークを監査する。この観点において、トポロジー分析エンジンは、既定のパケットを１つ又は複数のネットワークに対してブロードキャストする。このブロードキャストするパケットのタイプは、ネットワークが、静的ＩＰ、静的ホスト名／動的ＩＰネットワーク、又は動的ＩＰ／ホスト名ネットワークであるかどうかによって左右されることになる。例えば、トポロジー分析エンジン２００は、ＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）要求を動的ＩＰ／ホスト名ネットワークに送出し、そのネットワーク内のホストからのＡＲＰ応答を待つ。このＡＰＲ応答には、ＡＲＰ要求において伝送されたＩＰアドレスに関連するホストが生きているという旨の通知に加えて、そのＩＰアドレスに関連するＭＡＣアドレスが指定されている。

所望の応答がホストから受信された場合には、トポロジー分析エンジン２００は、そのホストが生きていると判定し、そのアクティブなホストのＩＰアドレスをその一意の識別子に対してマッピングするマップファイルを生成する。又、このマップファイルには、ホスト名とホストが存在するネットワークのネットワーク識別子を含むこともできる。

本発明の一実施例によれば、トポロジー分析エンジン２００は、このマップファイルに基づいてターゲットファイルを生成する。このターゲットファイルには、例えば、アクティブなホストに関連するＩＰアドレスのリストなどのマップファイル内の情報の部分集合が含まれている。このターゲットファイルは、監査サーバー１２内にローカルに保存され、スキャンハーネス２１２は、監査セッションにおいて、これを使用して生きているホストをスキャンする。そして、このスキャン結果がコンプライアンスサーバー１０に返される際には、このマップファイルも返され、この結果、コンプライアンスサーバー１０は、ＩＰアドレスの変化とは無関係に、複数のスキャンに跨って結果を追跡可能である。この観点において、コンプライアンスサーバー１０は、マップファイルを使用することにより、スキャンされたホストの一意の識別子を判定し、この一意の識別子に基づいてスキャニング情報を保存する。従って、コンプライアンスサーバー１０は、関連するＩＰアドレスが時間と共に変化した場合にも、一意の識別子を使用することにより、スキャンの履歴を維持し、ホストレベルで監査することができる。

本発明の一実施例によれば、スキャンハーネス２１２は、１つ又は複数のスキャナ２０４〜２１０と協働し、コンプライアンスサーバー１０によってスケジュールされた既定の時点において、トポロジー分析エンジン２００によって生成されるターゲットリストに基づいて、事前設定された監査を起動する。この観点において、スキャンハーネス２１２は、必要な入力を様々な異種のスキャナ２０４〜２１０に提供し、ネットワークに関して収集された事実を表すスキャン結果を出力として受信する。異種のスキャナを使用している場合には、スキャン結果は、多くの場合に、そのフォーマットの種類が異なっている。スキャンハーネス２１２は、このようなフォーマットが異なるスキャン結果を取得し、これらを単一の正規化されたデータフォーマットに自動的に変換する。本発明の一実施例によれば、この正規化されたデータフォーマットは、ＸＭＬなどの機械処理可能な言語のフォーマットになっており、これは、本発明の一実施例によれば、構造の面においては、正規化されているが、意味論的な等価性の面においては、正規化されていない。この実施例によれば、意味論的な等価性の正規化は、後程詳細に説明するように、Ｐ＆Ｖエンジン３４（図２）において行われる。尚、このデータフォーマット構造の自動変換を実行する際には、スキャンハーネス２１２は、特定のスキャナの出力における既知のフィールドを、ＸＭＬフォーマットにおいて使用されているＸＭＬフィールドに対してマッピングする変換テーブルを利用可能である。そして、この正規化により、スキャン結果を一貫性を有して解析し、監査リポジトリ１４内に保存することが可能になる。

図１１は、本発明の一実施例によるＸＭＬフォーマットに正規化された監査サーバーのスキャナによってスキャンされたネットワークについて収集された事実を表している模範的なスキャン結果文書２２０である。この図示の実施例によれば、このスキャン結果文書２２０の情報は、最も外に位置している「＜ｓｃａｎｒｅｓｕｌｔ＞」開始タグ２２２と「＜／ｓｃａｎｒｅｓｕｌｔ＞」終了タグ２２４によって挟まれている。そして、スキャン対象のそれぞれのホスト装置の情報は、「＜ｈｏｓｔ＞」タグ２２６と「＜／ｈｏｓｔ＞」タグ２２８に挟まれている。それぞれのホスト装置ごとの情報には、少なくとも、ホストの物理又はＩＰアドレス２３０、試験情報、及び特定のスキャナによって実行された試験の結果が含まれている。尚、ホストの物理アドレスは、トポロジー分析エンジン２００によって生成されるマップイファイルから取得可能である。

スキャナによって実施された試験は、「＜ｔｅｓｔ＞」タグ２３２及び「＜／ｔｅｓｔ＞」タグ２３４によって挟まれている。本発明の一実施例によれば、この試験情報には、試験の名前２３６、スキャナの識別子２３８、試験のバージョン２４０、及びスキャナデータインデックス２４２が含まれている。このスキャナデータインデックスは、実行した試験の詳細と、同一タイプの試験を実行可能なその他の関係するスキャナに対してマッピングする方法と、に関するメタ情報を提供するものである。

スキャナによって検出されたホスト装置に関する情報は、「＜ｒｅｓｕｌｔ＞」タグ２４４と「＜／ｒｅｓｕｌｔ＞」タグ２４６に挟まれている。例えば、このスキャナ結果により、ホスト装置によって実行されたサービスのタイプが明らかになり、これには、サービス名２４８、サービスの実行に使用されたポート２５０、及びサービスと関連するプロトコル２５２が含まれる。当業者であれば、この例は、ホストを中心としたものであり、同様のフォーマットによって、物理的なセキュリティを含む企業のセキュリティに関係する試験を表すことも可能であることを認識するであろう（この場合には、試験対象のオブジェクトの一意の識別子は、外側のタグにおいて付与され、試験の結果は、内側のタグにおいて付与されることになる）。

この正規化されたスキャン結果文書は、その生成が完了すると、コンプライアンスサーバー１０による分析のために監査リポジトリ１４内に保存される。この分析は、その完了した監査用に事前構成されているポリシーに基づいて自動的に実行可能である。又、特定のポリシーを試験したり、或いは、スキャン結果を再分析するべく、ユーザーが手動でこの分析を起動することも可能である。

ＤＰＦサーバー
本発明の一実施例によれば、監査サーバー１２は、監査サーバー１２に内蔵可能なＤＰＦサーバーにより、企業ＬＡＮ／ＷＡＭと、コンプライアンスサーバー１０及び監査リポジトリ１４を含むプライベートサブネット間に、ファイヤウォールを更に提供する。このＤＰＦサーバー２０１は、ＴＣＰ／ＩＰポート上で稼働するＵｎｉｘ（登録商標）デーモンとして実装可能である。

ＤＰＦサーバーは、監査サーバー上の関連するポートとの一時的又は永久的な通信を可能にするフィルタリング規則（これは、ＤＰＦ規則とも呼ばれる）によって動的に設定可能なパケットフィルタを介して、コンプライアンスサーバー１０と監査リポジトリ１４を保護している。本発明の一実施例によれば、ＤＰＦサーバーは、既定では、そのインターフェイスにアドレス指定されているすべてのパケットをドロップするべく構成されている。そして、このインターフェイスの選択されたポート上における通信が、この永久的な（又は、一時的な）フィルタリング規則に基づいて、永久的に（又は、一時的に）開かれる。この結果、このパケットフローの制御により、監査サーバーを介して伝送されるデータに対して完全性が付与される。

本発明の一実施例によれば、監査サーバー１２との永久的な通信を開くべく、ネットワーク管理者は、コンプライアンスサーバー１０を介して、発信元／宛先アドレス、プロトコル、及び／又は発信元／宛先ポート間におけるパケットの自由な交換を可能にする永久的なフィルタリング規則を生成する。例えば、監査サーバー上に電子メールサーバーポートを開くことにより、Ｅメールを自由に送受信できるようにすることが望ましいであろう。

この永久的なフィルタリング規則の生成が完了したら、コンプライアンスサーバー１０は、この規則を最初に到達可能な監査サーバー１２に転送し、次いで、それぞれの監査サーバー１２は、この規則をそれぞれのＤＰＦサーバー２０１に転送する。そして、この永久的なフィルタリング規則は、この規則内に示されている発信元／宛先アドレス、プロトコル、及び／又はポート情報に従って、ＤＰＦサーバー２０１のパケットフィルタに追加されることになる。

又、ＤＰＦサーバー２０１は、特定のスキャンジョブについて、監査サーバーと、そのターゲットファイル内に含まれているＩＰアドレス間に、一時的な通信を更に開くことが可能である。本発明の一実施例によれば、この通信は、スキャンジョブが完了した場合に終了する。この観点において、監査サーバーは、一時的なフィルタリング規則をＰＤＦサーバー２０１に伝送し、このＰＤＦサーバーが、すべてのポート及びプロトコルについて、監査サーバーと、ターゲットファイル内のネットワークの間に、一時的な通信を開く。そして、この接続が確立されたら、その接続は、現在のスキャンジョブが完了するまで、オープン状態に維持される。そして、このジョブが完了すると、終了命令がＤＰＦサーバー２０１に伝送され、この接続において監査サーバーが追加した一時的なフィルタリング規則が除去される。そして、この一時的な規則が除去されると、改定された規則リストが適用され、接続が終了することになる。このようにして、パケットフィルタを動的に制御することにより、スキャン結果が出るまでの間、通信を可能にすると共に、その他の時点においては、この通信を制限し、これにより、コンプライアンスサーバー１０と監査サーバー１４の不必要な暴露を阻止することが可能である。

図１２は、本発明の一実施例によるフィルタリング規則を追加するＧＵＩの画面ショットである。フィルタリング規則は、発信元アドレス、マスク、及びポートの仕様、並びに、宛先アドレス、マスク、及びポートの仕様を含んでいる。本発明の一実施例によれば、単一のインターネットプロトコル設定が発信元及び宛先アドレスの両方に関連付けられている。

ＷＡＰの検出
本発明の一実施例によれば、監査サーバー１２は、無線ネットワークに対するＷＡＰ（Ｗｉｒｅｌｅｓｓ Ａｃｃｅｓｓ Ｐｏｉｎｔ）を自動的に識別及び試験し、グローバルネットワーク上のそれらの論理的な場所を判定するべく、更に構成されている。ＷＡＰは、多くの場合に、そのＷＡＰを介して無線ネットワークに参加することが許されているホストのＭＡＣアドレスのリストを保持することにより、ＭＡＣアドレスフィルタリングを実行する。このリストに含まれていないＭＡＣアドレスを具備するホストは、通常、そのＷＡＰを介して無線ネットワークにアクセスすることはできない。従って、特定のＷＡＰに対してＭＡＣアドレスフィルタリングが効いているかどうか、そのフィルタリングリストが最新のものであるかどうか、及びＭＡＣアドレスフィルタリングが正常に動作しているかどうかを判定することが望ましい。

本発明の一実施例によれば、監査サーバー内のトポロジー分析エンジン２００は、例えば、Ｐｒｅｖｅｎｔｓｙｓ， Ｉｎｃ．が製造するＷｉＦｉスキャナなどの特殊目的のスキャナ２０８を介してＷＡＰを検出するべく構成されている。本発明の一実施例によれば、この特殊目的スキャナ２０８は、識別された無線アクセスポイント装置のリストと、例えば、アクセスポイントと関連する１つ又は複数のアドレス又は識別子、無線周波数又はチャネル情報、及び暗号化状態などの関連する接続パラメータを返す。

既知のＷＡＰの既知のリストと、それらの関連するＭＡＣアドレスフィルタリングリストが与えられると、監査サーバー１２は、それぞれのＷＡＰのＭＡＣアドレスフィルタリングが機能しているかどうかを定期的に試験する。そして、機能していないと判断された場合には、その障害がネットワークに対してリスクを課しているかどうかを判定するべく、試験に不合格となったそのＷＡＰの論理的な場所を特定する。

図１２Ａは、本発明の一実施例によるＷＡＰ試験用の模範的なプロセスのフローチャートである。段階９００において、特定のＭＡＣアドレスを選択し、段階９０２において、トポロジー分析エンジン２００は、その選択されたＭＡＣアドレスを使用して特定のＷＡＰへの参加を試みるクライアントを装う。そして、段階９０４において、トポロジー分析エンジンは、その参加が成功したかどうかを判定する。そして、この参加が失敗すると共に、段階９０６において、そのＭＡＣアドレスが、ＷＡＰのＭＡＣアドレスフィルタリングリスト内にリストされており、認可されたＭＡＣアドレスであると判定された場合には、段階９０８において、障害の通知が伝送される。一方、そうではなく、認可されていないＭＡＣアドレスについて参加が失敗している場合には、その試験は、段階９１２において成功であると判断される。

又、段階９１０において、認可されたＭＡＣアドレスについて、参加が成功したと判定された場合にも、試験は成功であると判定される。しかしながら、参加に成功したが、ＭＡＣアドレスが認可されていない場合には、ＭＡＣアドレスフィルタリングに失敗したという結論が下されることになる。そして、ＷＡＰのネットワークに対して接続可能なシナリオにおいては、段階９１４において、ＷＡＰの論理的な場所を識別する。この観点において、トポロジー分析エンジン２００は、ルート追跡ルーチンを起動し、このルーチンが、無線接続を起動したクライアントから、ＷＡＰを介し、インフラストラクチャを通じて、ターゲットのＩＰアドレスにパケットを伝送するべく使用されるホップ（ルーター）を識別する。このパケットのルートは、例えば、従来のｔｒａｃｅｒｏｕｔｅプログラム又は当技術分野における従来のその他の類似のプログラムを利用することによって追跡可能である。そして、この識別されたルートを無線アクセスポイントパラメータと関連付ける。

本発明の一実施例によれば、ＭＡＣアドレスフィルタリング試験に不合格となったＷＡＰが、ネットワークセキュリティ監査システムが監視しているグローバルネットワーク内に位置しているかどうかをチェックするべく、１つ又は複数のＷＡＰポリシーが提供されている。又、これらのＷＡＰポリシーは、不合格となったＷＡＰが位置しているグローバルネットワークの特定のセクションについて試験することも可能である。次いで、段階９１６において、ＷＡＰポリシーに違反しているかかどうかを判定する。そして、その障害が、ＷＡＰポリシーの違反を表している場合には、それは、例えば、改善タスクの生成、警報の伝送、及び／又はコンプライアンスレポート５００への情報の包含など、その他のポリシー違反と同様に処理されることになる。例えば、ＷＡＰポリシーは、その障害を有するＷＡＰが、グローバルネットワークの会計部門内に位置している場合には、それが重大なセキュリティリスクであり、改善タスクを生成する必要があることを通知する。一方、その障害を有するＷＡＰが、サードパーティのネットワークや、グローバルネットワークの機密性を有していない部分に位置している場合には、ポリシーは、その情報をコンプライアンスレポートに包含することに留め、警報や改善タスクを生成しない。

尚、本発明の一実施例によれば、暗号化使用法、キーの長さ、場所、ベンダ、及びこれらに類似のものなどのＷＡＰプロパティのいずれかに関するその他のポリシーも提供される。

Ｖ．Ｐ＆Ｖ（ポリシー及び脆弱性）エンジン
図１３は、本発明の一実施例によるポリシー分析プロセスの半図式的なブロック図である。１つ又は複数の監査サーバー１２が、１つ又は複数の関連するスキャナ２０４〜２１０を起動してネットワーク１６、２２をスキャンし、既定の監査スケジュールに基づいて、これらに関する事実を収集する。又、必要に応じて、監査スケジュールとは別途に、ユーザーが監査を手動で起動することも可能である。又、ネットワークに関する事実は、人間が行う物理的な検査を通じて手動で収集することも可能である。

ネットワーク情報の取得方法とは無関係に、それぞれの監査サーバー１２は、標準的なＸＭＬフォーマットに正規化されるスキャンデータを有するスキャン結果文書２２０を生成する。次いで、コンプライアンスサーバー１０内に存在するＰ＆Ｖエンジン３４（図２）が、このスキャン結果に対して１つ又は複数のポリシーを適用する。本発明の一実施例によれば、このＰ＆Ｖエンジン３４のパターンマッチング及び変換部分は、当技術分野における従来のＸＬＳＴプロセッサによって実装されている。

ポリシー分析の実行の際には、Ｐ＆Ｖエンジン３４は、適用するポリシーのポリシーテンプレート３００を生成し、このポリシーテンプレートを、監査サーバー１２によって生成されたスキャン結果レポートに適用する。このポリシーテンプレート３００は、適用可能なポリシーと関連する規則を識別することによって生成される。適用可能なポリシーは、そのスケジュールされた監査用に設定されたポリシーであってよい。又、スキャン結果の再分析、或いはポリシーラボ３２内における試験のために、ユーザーがポリシーを手動で選択することも可能である。本発明の一実施例によれば、ポリシーテンプレート３００は、ＸＳＬの断片として作成され、ポリシーＸＳＬテンプレートヘッダ及びフッタによって挟まれた規則の集合体である。

意味論的正規化モジュール
本発明の一実施例によれば、Ｐ＆Ｖエンジン３４は、意味論的正規化モジュール３３を含んでおり、このモジュールにより、ユーザーは、事実を取得するためのデータソースとして使用可能な様々なベンダの異なる製品とは無関係に、スキャナによって収集された事実に適用されるポリシー内に含まれるポリシー規則を作成可能である。これらの異なる製品においては、多くの場合に、試験及び／又は結果は、意味論的に互いに等価であるものの、ネットワークについて収集した情報を表す方法及び／又は情報を試験する方法が、異なっている。例えば、あるスキャナは、当技術分野において周知のＳＮＭＰコミュニティストリングを、その他のスキャナとは異なる方式で、表現し、試験する。即ち、第１のスキャナは、ＳＮＭＰコミュニティストリングを試験するべく特殊な試験番号を使用すると共に、その出力を、単純な区切られたプレーンなテキスト表現としてフォーマット可能であり、第２のスキャナは、この同一の試験を実行するために別の試験番号を使用し、その出力データを、タグ付けされたデータの別個のフィールドを有するＸＭＬ表現として表現することになる。又、これら両方のスキャナのＳＮＭＰコミュニティストリングを表現及び試験する方法は、人間が手動で検査を行い、この手動の検査によって収集された事実を入力する場合とも異なっている。この観点において、本システムは、自動化された監査を補完するべく、手動による監査タスクの生成及び管理をサポートしている。

意味論的正規化モジュール３３によれば、ユーザーは、データソースのそれぞれの特定のバリエーションごとに異なる規則を作成する代わりに、現在存在している異なるデータソース（これには、将来追加されるデータソースも含まれる）によって収集される事実に対して適用するのに十分な柔軟性を有する均一な規則を作成可能である。この観点において、意味論的正規化モジュール３３は、異なるデータソースから供給されるデータの多数のタイプ間における意味論的な等価性を参照マップ内に定義している。これは、例えば、それぞれのデータソース製品が収集可能な事実のタイプのリストを保持すると共に、１つのデータソース製品のそれぞれの事実（又は事実の組）を、その他のデータソース製品のそれぞれの意味論的な等価性を具備する（即ち、同一の意味を具備する）事実又は事実の組に対して、意味論的にマッピングすることによって実行可能である。このマッピングは、リストの構造とその内容に基づいて関係を生成する自己組織型マッピングソフトウェアによって自動的に実行可能であり、且つ／又は、手動で実行することも可能である。そして、１つの製品から得られた事実が、別の製品から得られた事実にどれほど良好に一致しているかに基づいて、マッピングスコアを提供可能である。従って、この参照マップにより、本システムは、多数のネットワークセキュリティスキャナの出力を組み合わせて関連付けることが可能である。

この意味論的なマッピングの実行が完了したら、参照のリストを生成し、ポリシー規則の機械語化の際に使用するべく参照マップ内に保存する。本発明の一実施例によれば、この参照は、カプセル化されユーザーから抽出された更に具体的なコードを示すシンボリックな名前である。自己組織型マッピングソフトウェアによっ生成されたマッチングの組は、そのマッピングスコアが所与の閾値を上回っている事実に関連付けられた参照の場合には、意味的に等価であると仮定される。一方、マッピングスコアが閾値を下回っている場合には、そのマッチングが本当に意味的に等価であるかどうかを判定するべく手動で検証する。

図１３Ａは、本発明の一実施例による模範的な参照マップ８００の概念的なレイアウト図である。当業者であれば、この参照マップは、多数のその他の方法で編成可能であり、この図１３Ａには示されていないその他のフィールドを含むことも可能であることを認識するであろう。

参照マップ８００は、参照フィールド８０２と、１つ又は複数のデータソースフィールド８０４ａ〜ｄを含むことができる。参照フィールド８０２は、データソースフィールド８０４ａ〜ｄ内において識別されているデータソース製品によって生成される対応する試験ＩＤ８０８ａ〜ｂ及び／又はキーワード８１０ａ〜ｂにマッピングされた参照８０６ａ〜ｂのリストを含んでいる。そして、特定のデータソース製品と関連付けられているそれぞれの試験ＩＤ８０８ａ〜ｂ及び／又はキーワード８１０ａ〜ｂは、それらの両方が同一の参照８０６ａ〜ｂと関連しておれば、異なるデータソース製品と関連する試験ＩＤ及び／又はキーワードと意味的に等価であると判定可能である。

本発明の一実施例によれば、それぞれの参照は、その文書を生成するデータソース製品のタイプに基づいてスキャン結果文書を解析し、その文書の適切なフィールドからデータを取得するべく構成されたコードと関連付けられている。尚、このデータを取得するためのコードは、ＸＳＬ、ＳＱＬ、Ｊａｖａ（登録商標）、並びに、当技術分野における従来のその他の手続き型、オプジェクト指向、又は構造化されたプログラミング言語によって実装可能である。

前述の例の場合には、ＳＮＭＰコミュニティストリング参照を使用する規則を具備したポリシーが様々なＸＭＬスキャン結果文書に適用されると、参照マップ８００をサーチして、ＳＮＭＰコミュニティストリング参照を探し、その参照について異なるデータソースが生成する試験ＩＤ及び／又はキーワードを判定する。例えば、Ｎｅｓｓｕｓスキャナなどの特定のデータソースが、参照マップを介して、その参照と関連する事実を生成すると識別された場合には、その参照及びその特定のスキャナに関連しているコードを起動し、そのスキャン結果文書の正しいフィールドからデータを取得することになる。例えば、「ＳＮＭＰ＿Ｃｏｍｍｕｎｉｔｙ＿Ｓｔｒｉｎｇ．Ｎｅｓｓｕｓ．」などの名前空間表記法を、Ｎｅｓｓｕｓスキャナによって生成されたスキャン結果文書からＳＮＭＰコミュニティストリングと関連するデータを抽出するのに使用するコードに対してマッピング可能である。

本発明の一実施例によれば、ＸＭＬスキャン結果文書２２０に対して、ＸＳＬに基づいたポリシーテンプレート３００を実行すると、Ｐ＆Ｖエンジン３４が、ＸＭＬに基づいたコンプライアンス文書３４０を生成する。そして、Ｐ＆Ｖエンジン３４は、この生成されたコンプライアンス文書を分析し、様々なタイプの演算を実行する。このような演算には、例えば、いくつかの準拠した（又は、準拠していない）ホストの数、監査の際に検出されたポリシー及び脆弱性違反の数、及びこれらに類似のものの算出が含まれる。そして、この演算情報が、関連付けられて、１つ又は複数のレポート５００内において、ユーザーに提示されることになる。尚、これらのレポートは、スケジュールされた監査が完了した際に（又は、既定のスケジュールに基づいて）自動的に生成可能である。又、ユーザーの手動による要求に基づいて、これらのレポートを生成することも可能である。

本発明の一実施例によれば、Ｐ＆Ｖエンジンは、ネットワークの全体的なセキュリティを改善するための勧告を自動的に行う。これは、例えば、コンプライアンス文書３４０内に特記されたポリシー又は脆弱性規則違反用の改善タスク５０１を生成することによって実行可能である。又、この生成された改善タスクに関する情報を１つ又は複数のレポート５００内に表示することも可能である。この情報においては、そのタスクがポリシー違反用のものであるか又は脆弱性検出用のものであるか、そのポリシー又は脆弱性規則の名前、その規則の重大性の尺度、違反又は脆弱性が検出されたホストのアドレス、及び違反又は脆弱性が検出された日付を示すことができる。次いで、ネットワーク管理者は、グローバルネットワークのセキュリティを改善するべく、この改善タスクを特定の人物又はエンティティに割り当てることができる。そして、この割り当てられた改善タスクの状態を追跡し、本システムが生成するレポート５００内において、これを提供可能である。

図１４は、本発明の一実施例による模範的なＸＳＬに基づいたポリシーテンプレート３００の図である。この図示の例においては、ポリシーテンプレートには、ＦＴＰ（Ｆｉｌｅ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）サービス又はｔｅｌｎｅｔサービスを実行しているスキャン対象のネットワーク上のホストが、特定のテキストを含むログオンバナーテンプレートを提供しなければならないという旨を記述した規則が含まれている。一実施例によれば、この規則は、この規則が適用されるデータを生成する特定の情報ソースとは無関係に作成される。

この図示の実施例における規則は、「＜ｘｓｌ：ｔｅｍｐｌａｔｅ＞」タグ３０２と「＜／ｘｓｌ：ｔｅｍｐｌａｔｅ＞」タグ３０４によって挟まれている。そして、この規則の実際の処理は、＜ｘｓｌ：ｆｏｒ−ｅａｃｈ ｓｅｌｅｃｔ ＝ ”＄ｈｏｓｔｓ”＞３０６という表現によって実行され、ここで、”＄ｈｏｓｔｓ”は、基準にマッチングするホストを表す変数に対する参照である。そして、この表現は、当業者には周知のＸＳＬ言語のその他の規則に準拠している。

模範的な規則によれば、この表現３０６の値が一致すると（即ち、その名前属性が「ｆｔｐ」又は「ｔｅｌｎｅｔ」に等しく、且つ、その”＄ｂａｎｎｅｒ”テキストが一致しないサービスが存在する場合には）、ｒｅｓｕｌｔ要素３０８が、ｄｅｓｃｒｉｐｔｉｏｎ子要素３１０及びｓｏｌｕｔｉｏｎ子要素３１２を伴って出力される。ｄｅｓｃｒｉｐｔｉｏｎ要素３１０は、違反された規則の英語の説明を提供するものである。一方、ｓｏｌｕｔｉｏｎ要素３１２は、その規則違反を修復するソリューションについて記述している。

図１５は、本発明の一実施例による参照マップ８００内に保存されている正規化情報に基づいてＸＭＬに基づいたスキャン結果文書２２０に対してＸＳＬポリシーテンプレート３００を適用した際に生成されるＸＭＬに基づいたコンプライアンス文書３４０を表示するＧＵＩの画面ショットである。この図１５に示されているように、ＧＵＩのワークエリア３７内に、ポリシーテンプレート３００、スキャン結果文書２２０、及びコンプライアンス文書３４０を同時に表示可能である。

コンプライアンス文書３４０は、ポリシー識別子３５０によって識別されたポリシーテンプレートを監査対象のネットワーク１６内の１つ又は複数のホスト装置に適用した結果を含んでいる。１つ又は複数の規則を特定のホストに適用した結果３４２は、＜ｒｕｌｅ＿ｒｅｓｕｌｔｓ＞タグ３５０及び＜／ｒｕｌｅ＿ｒｅｓｕｌｔｓ＞タグ３５２によって挟まれている。それぞれの結果３４２は、規則識別子３５２、重大性インジケータ３５４、規則カテゴリタイプ３５６、ホスト識別子３４８、及びネットワークグループ３５８を含んでいる。又、それぞれの結果３４２は、適用された規則の説明３４４と、その規則と関連するソリューション３４６を更に含んでいる。次いで、このコンプライアンス文書３４０は、コンプライアンスサーバー１０がコンプライアンス報告及び改善のために使用できるように、監査リポジトリ１４内に保存される。

本発明の一実施例によれば、Ｐ＆Ｖエンジンは、その組織のセキュリティの状態を表す標準化されたスコアを算出可能である。これは、例えば、リスクの様々なカテゴリに跨って重要なリソース／ノード当たりの違反の平均数を算出することによって実行可能である。又、この算出に、時間の尺度を含めることも可能である。

改善タスク
図１６は、本発明の一実施例による改善管理及び報告モジュール４０８（図１７）との関連で、Ｐ＆Ｖエンジン３４が実行する模範的な改善プロセスのフローチャートである。プロセスが開始すると、段階４５０において、Ｐ＆Ｖエンジン３４が、ポリシー違反又は脆弱性クレーム用の改善タスクの新しいインスタンスを生成する。この観点において、Ｐ＆Ｖエンジン３４は、違反されたポリシー又は脆弱性規則のタイプに関する情報、違反されたポリシー又は脆弱性規則の名前、その規則違反に関連する重大性、違反が検出されたホストのアドレス、及び違反が検出された日付をコンプライアンス文書３４０から抽出する。この情報のすべて又は一部は、後程、本システムが生成するレポート５００（又は、別個の改善タスク割当ウィンドウ）内に表示されることになる。

段階４５１において、この改善タスクの状態を未割当状態に設定する。

そして、段階４５２において、この改善タスクが解決のために人物又はエンティティに既に割り当てられているかどうかに関する判定を行う。改善タスクは、役割、地理的な責任、及びこれらに類似のものに基づいて割り当て可能である。そして、この回答が「はい」である場合には、段階４５３において、この改善タスクの状態を割当済み状態に変更する。次いで、段階４５４において、改善管理及び報告モジュール４０８は、その割り当てられた人物又はエンティティに対して通知を伝送する。本発明の一実施例によれば、この通知は、改善タスクに関するすべての（又は、一部の）情報を含む電子メールメッセージの形態になっている。尚、この電子メールメッセージには、タスクの状態を更新するべく、改善管理及び報告モジュール４０８が提供する改善更新機能に対するハイパーリンクを更に含むことができる。

ＡＲＳ（Ａｃｔｉｏｎ Ｒｅｑｕｅｓｔ Ｓｙｓｔｅｍ）とも呼ばれるサードパーティの改善システムが、このネットワークセキュリティ監査システムに統合されている場合には、本発明の一実施例によれば、そのサードパーティのＡＲＳと関連しているユーザーに対して電子メール通知は伝送されず、この代わりに、それらのユーザーに割り当てられているタスクが、その関連するＡＲＳに対してプッシュされることになる。次いで、これに相応して、ＡＲＳが、そのユーザーに対して通知することができる。これらのユーザーは、ＡＲＳを介して彼らのタスクを更新可能であり、或いは、このネットワークセキュリティ監査システムの認可ユーザーと関連している場合には、改善更新機能を介して、それらのタスクを更新可能である。又、サードパーティのＡＲＳを介して実行された更新は、ネットワークセキュリティ監査システム内にプルされ、改善更新機能に伝送される。

段階４５６において、そのポリシー違反又は脆弱性クレームが解決されたかどうかについて判定する。これは、例えば、その関連するタスクの状態を解決済みの状態にユーザーが更新したかどうかを判定することによって実行可能である。

そして、この回答が「いいえ」である場合には、段階４５８において、偽陽性状態をユーザーがタスクに適用しているかどうかに関する更なる判定を行う。即ち、割り当てられたユーザーは、ポリシー違反又は脆弱性クレームが、脆弱性又は違反に関する誤った報告を提示している場合には、そのポリシー違反又は脆弱性クレームに対して偽陽性状態を適用可能であり、この場合には、その修復を計画することなしに、将来、それを本システムがフィルタリングによって除去することを所望することになる。又、その脆弱性又は違反が、許容可能なリスクを表している場合には、割り当てられたユーザーは、「許容可能なリスク」状態を提供可能であり、この場合にも、その修復を計画することなしに、将来、それを本システムがフィルタリングによって除去することを所望することになる。

ユーザーから偽陽性状態が受信されると、段階４５９において、そのタスクの状態を偽陽性状態に変更する。本発明の一実施例によれば、偽陽性状態が付与されたポリシー違反又は脆弱性クレームは、段階４６０に示されているように、この同一の監査設定を使用する後続の監査において無視されることになる。

一方、段階４５６を再度参照し、クレームが解決されている場合には、段階４６２において、その修復を検証する。この観点において、Ｐ＆Ｖエンジン３４は、この同一の監査設定に基づいてネットワークを再監査する。そして、段階４６４において、その修復が検証されたかどうかの判定を行う。修復は、ポリシー違反が再監査において検出されない場合に、検証されたと判定される。そして、この場合には、段階４６６において、タスクの状態が検証済みの状態に変更され、そのタスクは、そのユーザーの改善タスクのリストから除去されることになる。

一方、そうではなく、修復が検証されない場合には、段階４６５において、そのタスクのその特定のインスタンスを除去し、段階４５０及び段階４５１において、未割当状態を有するそのタスクの新しいインスタンスを生成することになる。

尚、本発明の一実施例によれば、例えば、重大性、暴露の長さ、及びこれらに類似するものなどの基準に基づいて、改善タスクを自動的に優先順位付けすることができる。

ＶＩ．管理インターフェイス
図２を再度参照すれば、コンプライアンスサーバー１０は、レポート５００の生成及びシステムの管理のためのＧＵＩを提供する管理インターフェイス３０を含んでいる。本発明の一実施例によれば、このＧＵＩは、ウェブベースのインターフェイスである。

図１７は、本発明の一実施例による管理インターフェイス３０を構成する論理的なモジュールの更に詳しいブロック図である。この図示の実施例によれば、管理インターフェイス３０は、コンプライアンス報告モジュール４００と管理モジュール４０２を含んでいる。コンプライアンス報告モジュール４００により、コンプライアンスサーバー１０は、ネットワークの全体的なセキュリティの様々なタイプのビューを提供するレポート５００を生成可能である。一方、管理モジュール４０２によれば、ユーザーの役割の管理、ネットワーク装置の管理、及びネットワーク監査の設定及びスケジューリングが可能である。

コンプライアンス報告モジュール
本発明の一実施例によれば、コンプライアンス報告モジュール４００は、ポリシーコンプライアンス報告サブモジュール４０４、リスク報告サブモジュール４０６、改善管理及び報告サブモジュール４０８、及びネットワークトポロジー報告サブモジュール４１０を含む（但し、これらに限定されない）様々なタイプのレポート５００を生成する複数のサブモジュールを含んでいる。

ポリシーコンプライアンス報告サブモジュール４０４は、監査リポジトリ１４内に保存されている１つ又は複数のコンプライアンス文書３４０が示している適用可能なセキュリティ及び規制ポリシーに対するネットワークの全体的な遵守状態を要約したポリシーコンプライアンスレポート５０３を生成する。

図１８は、本発明の一実施例によるＸＭＬに基づいたコンプライアンス文書３４０に基づいて算出及び生成された模範的なポリシーコンプライアンスレポート５０３を表示するＧＵＩの画面ショットである。このコンプライアンスレポート５０３は、レポートメニュー５０２から標準的なレポートオプション５０４を選択することによって生成可能である。このレポート５０３は、１つ又は複数のグラフとしてポリシーコンプライアンス情報を表示するコンプライアンス要約セクション５０６を含むことができる。又、レポート５００には、ネットワーク監査に合格した（又は、不合格となった）ホストに関する情報を有するレポート要約セクション５０８をも含むことができる。そして、脆弱性及びポリシー違反セクション５１０は、いくつかの解決済みの脆弱性及びポリシーと、いくつかの改善前の脆弱性及びポリシーを含んでおり、改善タスクセクション５１２は、Ｐ＆Ｖエンジン３４によって生成された改善タスクを表示している。

リスク報告サブモジュール４０６は、リスクに対する暴露に関連し、暴露のウィンドウと時間の経過に伴う傾向を追跡したレポートを生成する。図１９は、本発明の一実施例による監査リポジトリ１４内に保存されている履歴監査結果に基づいて算出及び生成された模範的な傾向のレポート５２０を表示するＧＵＩの画面ショットである。この傾向レポート５２０は、レポートメニュー５０２から傾向報告オプション５２２を選択することによって生成可能である。この傾向レポート５２０には、リスクに晒されているアセットの傾向を示すウィンドウ５２４、時間に伴う違反／脆弱性及び改善の数を示すウィンドウ５２６、及び違反及び／又は脆弱性クレームを修復するための平均時間に関する傾向を示すウィンドウ５２８を含むことができる。この情報は、図１９に示されているように、すべての監査対象のネットワークを考慮したエグゼクティブレポートレベルにおいて生成可能である。又、この同一の情報を個々のネットワーク及び個々の装置ごとに示すことも可能である。従って、すべてのネットワーク、特定のネットワーク、又は個々の装置のリスクと暴露、並びに、これらの問題をそれぞれのレベルにおいて修復するための平均時間を報告可能であり、この結果、迅速な演算が可能になっている。尚、添付図面には、具体的に示されていないが、本発明の一実施例によれば、これらのビューは、これらのレベルのそれぞれにおいて存在している。この結果、トポロジー分析エンジン２００が提供するＤＴＡＳ機能により、個別の装置におけるＩＰアドレスの変化とは無関係に、結果を追跡可能である。

改善管理及び報告サブモジュール４１２は、改善タスクの割り当て、タスクの状態の更新、サードパーティのＡＲＳの追加、及び関連レポートの生成のためのＧＵＩを提供している。

図２０は、本発明の一実施例による模範的な改善タスクの割当画面５３０を表示するＧＵＩの画面ショットである。この改善タスク割当画面５３０は、特定の監査において、ポリシー違反又はネットワーク脆弱性が検出された規則のリストを一覧表示している。又、この改善タスク割当画面５３０は、その問題を有するホストのＩＰアドレス（ＩＰ Ａｄｄｒｅｓｓ）５３４と、そのホストと関連しているホスト（Ｈｏｓｔ）名５３６を更に一覧表示している。そして、違反又は脆弱性が検出された日付が、日付（Ｄａｔｅ Ｆｏｕｎｄ）フィールド５３８内に一覧表示されており、重大性（Ｓｅｖｅｒｉｔｙ）フィールド５４０には、違反された規則に関連する重大性の尺度が示されている。

フィールド５４２は、タスクが割り当てられた人物又はエンティティを示している。ユーザーは、認可されたユーザー又はエンティティを閲覧し、スクロールダウンアイコン５４４を選択することによってタスクを割り当てることができる。タスク割当（ａｓｓｉｇｎ ｔａｓｋｓ）ボタン５４６を選択すると、その選択されたユーザー又はエンティティに対して、改善管理及び報告モジュール４０８が割り当てられる。そして、その選択されたユーザー又はエンティティに対して、通知が伝送されるか、或いは、示されているサードパーティＡＲＳに対して、その割り当てられたタスクがプッシュされることになる。

図２１は、本発明の一実施例による模範的なタスク更新ウィンドウ５５０の画面ショットである。尚、このウィンドウは、改善タスクが割り当てられている人物の電子メール通知内のリンクをユーザーが選択した際に表示される。

本発明の一実施例によれば、このタスク更新ウィンドウ５５０は、特定のユーザー５５２に割り当てられた改善タスクのリスト５５２を表示しており、更には、割り当てられたタスクの更新済みの状態をユーザーが入力できるようにする状態（Ｓｔａｔｕｓ）エリア５５４を有するしている。又、違反又は脆弱性の修復の際にユーザーを支援するべく、違反又は脆弱性に関する説明５５６、リスクファクタ（Ｒｉｓｋ Ｆａｃｔｏｒ）５５８、及び提案するソリューション（Ｓｏｌｕｔｉｏｎ）５６０が表示されている。偽陽性リスト（Ｆａｌｓｅ Ｐｏｓｉｔｉｖｅ Ｌｉｓｔ）５６２は、状態領域５５４内においてユーザーが偽陽性状態を割り当てた割当済みのタスクの詳細を提供している。

提出（ｓｕｂｍｉｔ）ボタン５６４を選択すると、その割当済みのタスクの状態がコンプライアンスサーバー１０に伝送される。そして、コンプライアンスサーバー１０は、解決済みであるとユーザーが通知しているクレームを検証するべく試みる。そして、この検証が成功した場合に、そのタスクは、そのユーザーの改善タスクのリスト５５２から除去される。一方、検証に成功しなかった場合には、コンプライアンスサーバー１０は、その改善タスクの別のインスタンスを生成し、そのタスクをそのユーザーに対して再割当するか、或いは、別のユーザーに割り当てることができる。

ネットワークトポロジー報告サブモジュール４１４は、ネットワーク及びその要素の構造のいくつかのビューを生成する。

図２２Ａ〜図２２Ｄは、サードパーティＡＲＳ及びこれに関連するユーザーを本ネットワークセキュリティ監査システムに統合する模範的なＧＵＩの画面ショットである。尚、模範的なＡＲＳは、ＢＭＣ Ｓｏｆｔｗａｒｅ， Ｉｎｃ．が製造するＲｅｍｅｄｙである。

ユーザーは、利用可能なシステム（Ａｖａｉｌａｂｌｅ Ｓｙｓｔｅｍｓ）ウィンドウ５８０（図２２Ａ）を介して、利用可能なＡＲＳのリストを閲覧可能である。ユーザーは、改善追加システム（Ａｄｄ Ｒｅｍｅｄｉａｔｉｏｎ Ｓｙｓｔｅｍ）ウィンドウ５８２（図２２Ｂ）を介して、利用可能なシステムに対して新しいＡＲＳを追加可能である。又、ユーザーは、外部改善ユーザー（Ｅｘｔｅｒｎａｌ Ｒｅｍｅｄｉａｔｉｏｎ Ｕｓｅｒ）ウィンドウ５８４（図２２Ｃ）を介して、外部ＡＲＳと関連する外部ユーザーに関する情報を閲覧することも可能である。そして、外部改善システムユーザー追加（Ａｄｄ Ｅｘｔｅｒｎａｌ Ｒｅｍｅｄｉａｔｉｏｎ Ｓｙｓｔｅｍ Ｕｓｅｒ）ウィンドウ５８６（図２２Ｄ）を介して、新しい外部ユーザーを追加することができる。

管理モジュール
本発明の一実施例によれば、管理モジュール４０２は、ユーザー／ホスト／ネットワーク管理サブモジュール４１２、監査管理サブモジュール４１４、スキャナ設定サブモジュール４１６、及びソフトウェア更新サブモジュール４１８を含んでいる。

ユーザー／ホスト／ネットワーク管理サブモジュール４１２は、ユーザー、ホスト、及びネットワークを追加、削除、及び編集するためのＧＵＩを提供している。図２３は、本発明の一実施例による新しいユーザーを追加する模範的なＧＵＩの画面ショットである。この図示の実施例によれば、このユーザー追加（Ａｄｄ Ｕｓｅｒ）ウィンドウ６００により、管理者は、新しいユーザー、ユーザー名、パスワード、フルネーム、及び電子メールアドレスを提供することができる。又、ユーザーには、様々なシステム機能に対するアクセスのタイプを決定する既定の１つ又は複数の役割も割り当てられる。次いで、このユーザーの既定の役割は、指定されたネットワークグループに対して割り当てられる。又、図２４に示されているように、外部ＡＲＳに対する識別子と外部改善ユーザー名を提供することにより、ユーザーを外部ＡＲＳと関連付けることも可能である。

ホスト管理機能には、ホスト及びホストプロパティの追加、編集、及び削除が含まれる（但し、これらに限定されない）。本発明の一実施例によれば、ホストとは、グローバルネットワーク上の特定のマシンである。

図２５は、本発明の一実施例によるグローバルネットワークにホストを追加する模範的なＧＵＩの画面ショットである。ホストは、ホスト名（Ｈｏｓｔｎａｍｅ）６１０、ＩＰアドレス（ＩＰ ａｄｄｒｅｓｓ）６１２、一意のＩＤ（Ｕｎｉｑｕｅ ＩＤ）６１４、オペレーティングシステム（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）６１６、及び説明（Ｄｅｓｃｒｉｐｔｉｏｎ）６１８と関連付けることができる。一意のＩＤは、静的なＩＰアドレス、或いは、ＤＨＣＰシステムの場合には、ＭＡＣアドレスの形態であってよい。本発明の一実施例においては、ホスト名又はＩＰアドレスにおける潜在的な変化にも拘らず、この一意のＩＤを使用することによってホストを識別している。

又、ホストは、ホストプロパティ（Ｈｏｓｔ Ｐｒｏｐｅｒｔｉｅｓ）の組６２０とドル値（Ｖａｌｕｅ ｏｆ Ｈｏｓｔ ＄：）６２２とも関連付けることが可能である。本発明の一実施例によれば、ユーザーは、利用可能なホストプロパティのリストから選択することにより、追加するホストのタイプ（例：サーバー、デスクトップ、ＤＭＺなど）を定義することができる。ホストプロパティにより、割り当てられたホストタイプの文脈において、ポリシー違反を検出することが可能になる。

本発明の一実施例によれば、設置及びネットワークの定義に続いて、初期監査を実行することにより、ホストデータを監査リポジトリ１４に自動的に入力すると共にターゲットリストを生成するＤＴＡＳプロセスがトリガされる。次いで、ユーザー／ホスト／ネットワーク管理サブモジュールが提供するホスト編集機能を起動し、例えば、一意のＩＤ、ホストプロパティ、及びドル値などの更なるホストデータを手動で指定可能である。

又、ＤＴＡＳプロセスが、監査プロセスの一部として、ホストデータを自動的に取得し、それらをターゲットリストに収録している間に、ユーザーが、ホスト追加及び削除機能を使用することにより、ターゲットリストのホストを手動で追加及び削除することも可能である。

図２６は、本発明の一実施例によるホストグループを生成する模範的なＧＵＩの画面ショットである。ホストグループは、監査及びポリシー分析を実行するべくグループ化された異なるネットワークから選択された複数のホストを表している。それぞれのホストグループは、ホストグループ名、ホストグループ値、及び含まれているホストのグループと関連付け可能である。そして、ホストグループのドル値を使用することにより、ポリシー又は脆弱性規則違反を検出した際にリスクに晒されているアセットを算出可能である。

本発明の一実施例によれば、ホストを監査するべく、まず、これをネットワークと関連付け、次いで、このネットワークをネットワークグループと関連付ける。この結果、ホストグループをネットワークグループと関連付けることにより、異なるネットワークに跨って選択されたホストをスキャンすることができる。

図２７は、本発明の一実施例による利用可能なホストプロパティのリストにホストプロパティを追加する模範的なＧＵＩの画面ショットである。この図示の実施例によれば、ラベルに基づいたホストプロパティと、仕様に基づいたプロパティという２つのタイプのホストプロパティが存在している。ラベルに基づいたホストプロパティは、単純にプロパティの名前を含んでいる。模範的なラベルに基づいたホストプロパティは、関連するホストがデータベースサーバーであることを示すプロパティである。

仕様に基づいたホストプロパティは、プロパティの名前、説明、ソリューション、重大性レベル、及びサービスマッピングを含んでいる。プロパティの説明は、コンプライアンス報告モジュール４００によって生成されるレポート内に表示されるホストプロパティに関する基本的な情報を提供する。プロパティのソリューションは、選択されたホストプロパティと関連するポリシー違反を軽減するためのテキスト説明及び／又はリンクを含んでいる。又、仕様に基づいたホストプロパティには、そのホストプロパティをすべてのホストに適用するべきかどうかを判定するためのインジケータが更に含まれている。

模範的なホストプロパティの仕様には、信頼されているホストプロパティ、ファイヤウォールホストプロパティ、ルーターホストプロパティ、Ｎｅｔｂｉｏｓを有していない開発者マシンのプロパティ、フィルタリングされたアプリケーションサーバーを有する開発者マシンのプロパティ、コマースサーバーのプロパティ、及びこれらに類似のものが含まれている（但し、これらに限定されない）。又、本発明の一実施例によれば、ユーザー／ホスト／ネットワーク管理サブモジュール４１２が提供するホストプロパティ追加、ホストプロパティ編集、及びホストプロパティ削除機能により、カスタムホストプロパティを生成並びに操作することも可能である。

図２８は、本発明の一実施例によるホストプロパティの仕様を定義する際に選択可能なサービスを追加する模範的なＧＵＩの画面ショットである。この図示の実施例によれば、サービスは、サービス名、プロトコル、及びサービスポートと関連付けられる。サービスポートは、そのサービスが稼働するポートを表している。そして、プロトコルは、そのサービスに使用される（例えば、ＴＣＰやＵＤＰなどの）インターネットプロトコルを示している。

図２９は、本発明の一実施例による図１のグローバルネットワークにサブネットワークを追加する模範的なＧＵＩの画面ショットである。この図示の実施例によれば、ネットワークは、ホストの特定のクラスタを表している。そして、ネットワークは、ネットワーク名、ＩＰレンジ（レンジベースのネットワークの場合）、又はＩＰアドレス／ネットワークマスク（マスクスタイルのネットワークの場合）、静的／ＤＨＣＰ設定、及びネットワーク上のそれぞれの個々の装置の平均値と関連付け可能である。

このネットワーク上の個々の装置の平均値を使用することにより、ポリシー又は脆弱性違反を検出した際にリスクに晒されているアセットを算出可能である。この場合には、特定のドル値が指定されていないホストの値として、この平均値を使用することができる。値が指定されていない場合には、このネットワーク上のそれぞれの個々の装置の平均値は、予め決定されたドル値を既定値とするものであってよい。そして、この既定値は、変更可能である。

本発明の一実施例によれば、ネットワークは、既定のネットワークプロパティと関連付けられている。そして、このネットワークプロパティより、監査分析において、関連するネットワークタイプの文脈において、ポリシー違反を分析することができる。

図３０は、本発明の一実施例によるネットワークに関連付け可能なネットワークプロパティを追加する模範的なＧＵＩの画面ショットである。模範的なネットワークプロパティには、ＤＭＺネットワーク、プライベートネットワーク、又はパブリックネットワークの各プロパティが含まれている。尚、本発明の一実施例によれば、ネットワークプロパティとは、単に、ポリシーを作成する際に参照として使用するべく、様々なネットワークの機能に関するユーザー説明と一致する用語を提供するのに使用されるラベルである（即ち、ＤＭＺ、金融、プライベート、及びパブリックなどである）。

本発明の一実施例によれば、ネットワークプロパティは、排他的なものであってもよく、或いは、非排他的なものであってもよい。但し、ネットワークは、複数の非排他的なネットワークプロパティをサポート可能であるが、１つのネットワークに排他的なネットワークプロパティが割り当てられている場合には、そのネットワークに更なるネットワークプロパティを割り当てることはできない。

図３１Ａ〜図３１Ｂは、本発明の一実施例によるネットワークグループを生成すると共にアクセス制御を割り当てる模範的なＧＵＩの画面ショットである。ネットワークグループは、監査及びポリシー分析を実行するべくグループ化されたネットワークのクラスタを表している。そして、この図示の実施例によれば、監査を実行するべく、まず、ネットワークをネットワークグループに関連付ける。

ネットワークグループは、ネットワークグループ名、含まれているネットワークのグループ及び／又はホストグループ、並びに、そのネットワークグループについてユーザーがアクセス可能な機能を決定するユーザー権限割当と関連付け可能である。一実施例によれば、１つのネットワークグループには、ネットワーク及びホストグループからのホストを含むことができるが、これらのホストは互いに異なっている。この実施例によれば、１つのネットワークグループには、類似のホストが含まれていない。

本発明の一実施例によれば、監査管理サブモジュール４２０により、監査の設定及びスケジューリングを含む監査の管理を実行可能である。監査設定機能には、監査設定の生成、編集、及び削除が含まれており、本発明の一実施例によれば、この監査設定は、ネットワークセキュリティ監査を実行するための特定の方式を表すものである。

図３２Ａ〜図３２Ｂは、本発明の一実施例による監査を生成（設定）する模範的なＧＵＩの画面ショットである。この図示の実施例によれば、監査は、一意の監査設定名（Ａｕｄｉｔ Ｃｏｆｉｇｕｒａｔｉｏｎ Ｎａｍｅ）７００、監査対象のネットワークグループのリスト（Ｓｅｌｅｃｔ Ｎｅｔｗｏｒｋ Ｇｒｏｕｐ）７０４、監査を分析する際に参照するポリシーディレクトリ６０（図４）から選択されたポリシーの任意選択のリスト（Ｓｅｌｅｃｔ Ｐｏｌｉｃｉｅｓ Ｏｐｔｉｏｎｓ）７０６、及び監査を実行するためのスキャナの選択内容（Ｓｅｌｅｃｔ Ｓｃａｎｎｅｒｓ）７０２を提供することによって生成される。又、図３２Ｂに示されているように、特定のネットワークをスキャンするべく、特定の監査サーバー１２を指定することも可能である。本発明の一実施例によれば、本システムは、負荷と残りの作業情報に基づいて、監査タスクを複数の監査スキャナに自動的に分配可能である。又、監査設定プロセスの一部として、様々なスキャナオプション及び設定内容を更に指定可能である。

本発明の一実施例によれば、監査の設定においてポリシーが選択されていない場合には、監査サーバー１２は、単に、スキャン対象のネットワークに関して収集されたデータに基づいて、監査スキャン結果を生成する。そして、監査管理サブモジュール４１４が提供する監査結果再分析機能を起動することによって選択されるまで、このスキャン結果に対してポリシーは適用されない。そして、本発明の一実施例によれば、ポリシーが適用されるまでは、レポートを生成するべく監査結果を利用することはできない。

図３３は、本発明の一実施例による設定された監査の実行をスケジュールする模範的なＧＵＩの画面ショットである。この図示の実施例よれば、監査は、その設定されれている監査の名前７１０を選択し、その監査を、即時に実行するか（Ｅｘｅｃｕｔｅ Ｉｍｍｅｄｉａｔｅｌｙ））７１２、指定された日付及び時刻に実行するか（Ｓｃｈｅｄｕｌｅ Ｏｎｃｅ）７１４、或いは、循環スケジュールに従って周期的に実行するか（Ｒｅｃｕｒｒｉｎｇ Ｓｃｈｅｄｕｌｅ）７１６を示すことにより、スケジューリングされる。尚、循環スケジュールによって設定された監査は、その監査スケジュールが変更又は削除されるまで、指定された日付パラメータに従って無制限に実行される。

提出（ｓｕｂｍｉｔ）ボタン７１８を選択すると、その設定された監査は、監査サーバー１２による実行準備が整うまで、監査設定及びスケジュールのリポジトリ内に保存されることになる。この観点において、コンプライアンスサーバー１０は、監査スケジュールを継続的にレビューするスケジューリングメカニズムを含んでおり、スケジュールされた監査を実行する時点になったことを検出すると、必要な監査設定情報を監査サーバー１２に通知する。この結果、監査サーバー１２が、この受信した監査設定情報に基づいて、監査の実行を開始する。

本発明の一実施例によれば、監査管理サブモジュール４１４の状態閲覧機能を起動することにより、スケジュールされた監査の状態を閲覧することができる。図３４は、スケジュールされた監査の状態を閲覧するＧＵＩの模範的な画面ショットである。本発明の一実施例によれば、この状態閲覧機能により、完了した監査に関連するＸＭＬスキャン結果を閲覧すると共に、現在進行中の監査を取り消すことができる。

図３５は、本発明の一実施例によるスキャン結果を再分析するＧＵＩの画面ショットである。これは、当初、ポリシーが設定されてはいなかったスキャン結果の分析を起動することをユーザーが所望する場合に望ましいものである。又、この監査結果再分析機能の起動は、当初、設定プロセスにおいてポリシーが選択されていたものの、更なるポリシーをスキャン結果に適用することをユーザーが所望する場合にも望ましいものである。この観点において、このＧＵＩによれば、ユーザーは、エリア（Ｓｅｌｅｃｔ ａ Ｓｃａｎ Ｒｅｓｕｌｔ Ｄｏｃｕｍｅｎｔ）７２０内において、監査リポジトリ１４内に保存されている特定のスキャン結果文書を選択することができる。又、ユーザーは、エリア（Ｓｅｌｅｃｔ ａ ｐｏｌｉｃｙ ｆｉｌｅ）７２２内において、監査リポジトリ１４内に保存されているポリシーファイルのリストからポリシーを選択する。そして、提出（ｓｕｂｍｉｔ）ボタン７２４を選択すると、監査結果再分析機能によってＰ＆Ｖエンジン３４が起動され、選択されたポリシー用のポリシーテンプレートが生成されて、そのスキャン結果文書に対して、ポリシーテンプレートが実行されることになる。この結果、コンプライアンス文書が生成され、これを分析することにより、コンプライアンスレポート５００を生成可能である。

本発明の一実施例によれば、再分析が完了した際に、再分析プロセスを起動した管理者に対して、例えば、電子メールによって自動的に通知が行われる。又、管理者は、監査管理サブモジュール４１４の再分析状態閲覧機能を起動することにより、その再分析用にスケジュールされた監査の状態を閲覧することも可能である。図３６は、この再分析用にスケジュールされた監査の状態を閲覧するＧＵＩの模範的な画面ショットである。又、再分析状態閲覧機能を起動することにより、その分析によって生成されたＸＭＬコンプライアンス文書を閲覧することも可能である。

本発明の一実施例によれば、ソフトウェア更新サブモジュール４２６により、ポリシーライブラリ４２、オペレーティングシステム、及びその他のシステムコンポーネント（例：コンプライアンスサーバー１０、監査サーバー１２、ＤＴＡＳサーバー、ＤＰＦサーバー、及びこれらに類似のもの）を更新することができる。

ポリシーライブラリを更新する際には、管理者は、ソフトウェア更新サブモジュール４２６が提供するポリシーライブラリ更新機能を起動し、更新済みのポリシーファイルをリモートサイトからダウンロードする。そして、ポリシーインポート機能を起動することにより、その新しいポリシーを実装する。

図３７Ａ〜図３７Ｂは、本発明の一実施例によるポリシーをインポートするＧＵＩの画面ショットである。ポリシー更新ウィンドウ７３４内の提出（ｓｕｂｍｉｔ）ボタン７３０を選択することにより、新しいポリシーをシステム内に実装することができる。又、ユーザーは、ポリシーロールバック（Ｒｏｌｌｂａｃｋ Ｐｏｌｉｃｉｅｓ）ウィンドウ７３２内の提出（ｓｕｂｍｉｔ）ボタン７３６を選択することにより、特定のポリシーの以前のバージョンへのロールバックを選択することも可能である。

本発明の一実施例によれば、ソフトウェア更新サブモジュール４２６は、特定のシステムコンポーネントが以前のバージョンに戻ることを可能にするコンポーネントロールバック機能をも提供している。但し、ソフトウェア更新サブモジュール４２６は、ロールバックを起動する前に、その選択されたコンポーネントがアイドル状態にあることを検証する。そして、そのコンポーネントが現在使用中である場合には、そのロールバック要求は取り消されることになる。

オペレーティングシステム又はシステムコンポーネントのロールバック、並びに、本システムのオペレーティングシステムの更新を実行すると、その古いコンポーネントの署名ファイルの再検証が起動される。本発明の一実施例によれば、これは、ソフトウェア更新サブモジュール４２６によって自動的に実現される。そして、署名が有効でない場合には、そのロールバック又は更新プロセスは取り消されることになる。

以上、特定の実施例を参照し、本発明について説明したが、当業者であれば、本発明の範囲と精神を逸脱することなしに、この説明した実施例に対する変形を容易に案出することができよう。例えば、本明細書に記述されている様々なモジュールは、１つ又は複数のプロセッサ上に実装されるソフトウェアモジュールとして説明されているが、当業者であれば、これらのモジュールを、ハードウェア、ファームウェア、或いは、ソフトウェア、ハードウェア、又はファームウェアの組み合わせとして実装可能であることを認識しよう。又、フローチャートによって説明した各段階は、図示の順序で実装することも可能であり、或いは、当業者が認識するその他の順序で実装することも可能である。

又、当業者であれば、本明細書の本発明自体から、その他のタスクに対するソリューションとその他のアプリケーションに対する適合を想起することができよう。例えば、本明細書に記述されているポリシーは、ネットワークセキュリティポリシーであるが、当業者であれば、ネットワーク監査の実行において、その他のタイプのポリシーを使用可能であることを認識しよう。従って、本出願人の意図するところによれば、本発明のこれらの使用法と、開示のために本明細書において選択されている本発明の実施例に対して本発明の精神及び範囲を逸脱することなしに実施可能な変更及び修正のすべては、添付の請求項に含まれている。従って、本発明のこれらの実施例は、すべての側面において、例示を意図するものであり、限定を意図するものと解釈されてはならず、本発明の範囲は、以上の説明によってではなく、添付の請求項とその等価物によって規定されているとおりである。

本発明の一実施例による予防指向のネットワークセキュリティ監査システムを含むグローバルネットワークの概略ブロック図である。 本発明の一実施例によるコンプライアンスサーバーのブロック図である。 本発明の一実施例によるポリシーラボのブロック図である。 本発明の一実施例によるポリシー編集及びポリシー配備モジュールを起動するＧＵＩ（Ｇｒａｐｈｉｃａｌ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ）の模範的な画面ショットである。 本発明の一実施例によるポリシー規則を生成するポップアップウィンドウの模範的な画面ショットである。 本発明の一実施例による規則エディタウィンドウの模範的な画面ショットである。 本発明の一実施例によるポリシーを生成するポップアップウィンドウの模範的な画面ショットである。 本発明の一実施例によるポリシーエディタウィンドウの模範的な画面ショットである。 本発明の一実施例によるポリシー試験ウィンドウの模範的な画面ショットである。 本発明の一実施例による監査サーバーのブロック図である。 本発明の一実施例によるＸＭＬ（ｅＸｔｅｎｓｉｂｌｅ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ）フォーマットに正規化済みのスキャンされたネットワークについて収集された事実を表す模範的なスキャン結果文書である。 本発明の一実施例によるフィルタリング規則を追加するＧＵＩの画面ショットである。 本発明の一実施例による無線アクセスポイントを試験する模範的なプロセスのフローチャートである。 本発明の一実施例によるポリシー分析プロセスの半図式的なブロック図である。 本発明の一実施例による模範的な基準マップの概念的なレイアウト図である。 本発明の一実施例による模範的なＸＭＬに基づいた規則テンプレートの図である。 本発明の一実施例によるＸＭＬに基づいたスキャン結果文書にＸＳＬポリシーテンプレートを適用した際に生成されるＸＭＬに基づいたコンプライアンス文書を表示するＧＵＩの画面ショットである。 本発明の一実施例によって実行される模範的な改善プロセスのフローチャートである。 本発明の一実施例による管理インターフェイスを構成する論理モジュールのブロック図である。 本発明の一実施例によるＸＭＬに基づいたコンプライアンス文書に基づいて算出及び生成された模範的なポリシーコンプライアンスレポートを表示するＧＵＩの画面ショットである。 本発明の一実施例による履歴監査データに基づいて算出及び生成された模範的な傾向レポートを表示するＧＵＩの画面ショットである。 本発明の一実施例による模範的な改善タスクの割当画面を表示するＧＵＩの画面ショットである。 本発明の一実施例による模範的なタスク更新ウィンドウの画面ショットである。 本発明の一実施例によるサードパーティ改善システム及びこの関連ユーザーを図１のシステムに統合する模範的なＧＵＩの画面ショットである。 本発明の一実施例による図１のシステムに新しいユーザーを追加する模範的なＧＵＩの画面ショットである。 本発明の一実施例による図２３のユーザーをサードパーティ改善システムと関連付ける模範的なＧＵＩの画面ショットである。 本発明の一実施例によるホストを図１のグローバルネットワークに追加する模範的なＧＵＩの画面ショットである。 本発明の一実施例によるホストグループを生成する模範的なＧＵＩの画面ショットである。 本発明の一実施例による利用可能なホストプロパティリストにホストプロパティを追加する模範的なＧＵＩの画面ショットである。 本発明の一実施例によるホストプロパティの仕様を定義する際に選択可能なサービスを追加する模範的なＧＵＩの画面ショットである。 本発明の一実施例による図１のグローバルネットワークにサブネットワークを追加する模範的なＧＵＩの画面ショットである。 本発明の一実施例によるネットワークに関連付け可能なネットワークプロパティを追加する模範的なＧＵＩの画面ショットである。 本発明の一実施例によるネットワークグループを生成してアクセス制御を割り当てる模範的なＧＵＩの画面ショットである。 本発明の一実施例による監査を生成する模範的なＧＵＩの画面ショットである。 本発明の一実施例による設定済みの監査をスケジュールする模範的なＧＵＩの画面ショットである。 本発明の一実施例によるスケジュールされた監査の状態を閲覧するＧＵＩの模範的な画面ショットである。 本発明の一実施例によるスキャン結果を再分析する同一の（又は、異なる）ポリシーを利用した再分析のためのＧＵＩの画面ショットである。 同一の（又は、異なる）ポリシーを利用する再分析のためにスケジュールされた監査の状態を閲覧するＧＵＩの模範的な画面ショットである。 本発明の一実施例によるポリシーのインポート、更新、及び／又はロールバックを実行するＧＵＩの模範的な画面ショットである。

Claims (46)

1. データ通信ネットワークを監査するネットワーク監査システムであって、
   前記データ通信ネットワークのポリシー及び監査を設定する第１サーバーと、
   前記第１サーバーに接続されており、前記設定された監査に応答して、前記ネットワークに関する情報を収集し、前記収集された情報を前記第１サーバーに伝送する１つ又は複数の第２サーバーと、
   前記第１サーバーに接続されており、前記１つ又は複数の第２サーバーによって伝送された前記収集された情報を保存するデータストアであって、前記第１サーバーは、前記設定されたネットワークポリシーの中の１つに対する遵守状態を判定し、ネットワーク機能を変更するべく、前記判定結果に応答して、独立的に勧告を行う、データストアと、
   を有するネットワーク監査システム。
2. ユーザーが、前記ネットワークポリシー用の自然言語ポリシー文書を生成し、１つ又は複数の機械処理可能な規則を前記自然言語ポリシー文書に関連付けることにより、前記ネットワークポリシーを機械実行可能にすることができるユーザーインターフェイスを更に有する請求項１記載のネットワーク監査システム。
3. 前記１つ又は複数の第２サーバーに接続された複数の異種の情報ソースを更に有し、
   前記１つ又は複数の第２サーバーは、それぞれ、
   前記異種の情報ソースによって収集された情報を受信する手段と、
   前記受信された情報を正規化されたデータフォーマットに変換する手段と、
   を含んでいる請求項１記載のネットワーク監査システム。
4. 複数の異種の情報ソースと前記１つ又は複数の第２サーバー間において稼働し、前記異種の情報ソースと均一に通信するための均一な通信プラットフォームを提供するインターフェイスを更に有する請求項１記載のネットワーク監査システム。
5. 前記勧告は、前記設定されたネットワークポリシーの中の１つに対する変更と関連している請求項１記載のネットワーク監査システム。
6. 状態を監視し、前記勧告されたアクションの完了を検証する手段を更に有し、前記勧告は、前記ネットワーク機能と関連するタスクである請求項１記載のネットワーク監査システム。
7. 監査と関連するアクティブなネットワーク装置を識別する手段と、
   時間の経過に伴って前記ネットワーク装置を追跡する手段と、
   前記ネットワーク装置と関連する情報を関連付ける手段と、
   を更に有する請求項１記載のネットワーク監査システム。
8. 前記１つ又は複数の第２サーバーは、１つ又は複数の動的に設定可能なパケットフィルタに接続されている請求項１記載のネットワーク監査システム。
9. 無線アクセスポイントのアドレスフィルタリングが機能しているかどうかを判定する手段を更に有している請求項１記載のネットワーク監査システム。
10. 無線アクセスポイントの場所を追跡する手段を更に有している請求項１記載のネットワーク監査システム。
11. 前記第１サーバーは、異種の情報ソースによって収集された情報間における等価性を識別する意味論的正規化モジュールを有している請求項１記載のネットワーク監査システム。
12. 前記ネットワークポリシーは、ソースタイプとは独立的に、前記異種の情報ソースによって生成された情報に適用される１つ又は複数の規則を含んでいる請求項１１記載のネットワーク監査システム。
13. 前記第１サーバーは、前記判定結果に応答して、前記データ通信ネットワークのセキュリティのグラフィカルな表現を提供する請求項１記載のネットワーク監査システム。
14. 前記データ通信ネットワークのセキュリティに対する統合された視認性を提供するレポートを生成する手段を更に有する請求項１記載のネットワーク監査システム。
15. 前記ネットワーク機能は、ネットワークセキュリティ機能である請求項１記載のネットワーク監査システム。
16. ネットワーク監査システム内においてネットワークポリシーを生成及び適用する方法であって、
    データストア内に、前記ネットワークポリシー用の自然言語ポリシー文書と１つ又は複数の機械処理可能なポリシー規則を保持する段階と、
    前記自然言語ポリシー文書の少なくとも一部を前記機械処理可能なポリシー規則の少なくとも１つに関連付ける段階と、
    前記機械処理可能なポリシー規則の少なくとも１つを、前記ネットワークについて収集された情報に適用する段階と、
    前記適用結果に基づいて、前記ネットワークポリシーに対する遵守状態を判定する段階と、
    を有する方法。
17. 前記ネットワークポリシーに対する遵守状態に基づいて、ネットワーク機能を変更するための勧告を行う段階を更に有する請求項１６記載の方法。
18. 前記自然言語ポリシー文書のユーザー選択による第１部分を受信する段階と、
    機械処理可能なポリシー規則のリストからのユーザー選択による第１ポリシー規則を受信する段階と、
    前記自然言語ポリシー文書のユーザー選択による第２部分を受信する段階と、
    機械処理可能なポリシー規則のリストからのユーザー選択による第２ポリシー規則を受信する段階と、
    前記自然言語ポリシー文書の前記第１部分を前記第１ポリシー規則に関連付けると共に、前記自然言語ポリシー文書の前記第２部分を前記第２ポリシー規則に関連付ける段階と、
    を更に有する請求項１６記載の方法。
19. ユーザー選択による前記ネットワークポリシーを受信する段階と、
    前記選択されたネットワークポリシーをネットワーク監査に関連付ける段階と、
    前記ネットワーク監査において、前記ネットワークについて収集された情報に対して、前記機械処理可能なポリシー規則の前記少なくとも１つを自動的に適用する段階と、
    を更に有する請求項１６記載の方法。
20. 前記機械処理可能なポリシー規則は、前記規則の違反用の重大性メーターと関連付けれている請求項１６記載の方法。
21. 前記ネットワークについて収集される前記情報は、履歴監査情報であり、前記方法は、前記履歴監査情報に基づいて、前記ネットワークに対して前記ネットワークポリシーを適用した効果をモデル化する段階を更に含んでいる請求項１６記載の方法。
22. ネットワーク監査システム内のサーバーであって、
    ネットワークポリシー用の自然言語ポリシー文書と１つ又は複数の機械処理可能なポリシー規則を保存するデータストアと、
    前記データストアに接続されており、ユーザーが、前記自然言語ポリシー文書の少なくとも一部を前記機械処理可能なポリシー規則の中の少なくとも１つに関連付けることを可能にするクライアントサイドのユーザーインターフェイスと、
    前記ネットワークについて収集された情報に対して、前記機械処理可能なポリシー規則の前記少なくとも１つを適用する手段と、
    前記適用結果に基づいて、前記ネットワークポリシーに対する遵守状態を判定する手段と、
    を有するサーバー。
23. 前記ネットワークポリシーに対する前記遵守状態に基づいて、ネットワーク機能を変更するための勧告を行う手段を更に有している請求項２２記載のサーバー。
24. 情報ソースタイプとは無関係に、前記収集された情報に対して、前記機械処理可能なポリシー規則の前記少なくとも１つを均一に適用する手段を更に有している請求項２２記載のサーバー。
25. 前記クライアントサイドのユーザーインターフェイスは、
    前記自然言語ポリシー文書のユーザー選択による第１部分を受信する手段と、
    機械処理可能なポリシー規則のリストからのユーザー選択による第１ポリシー規則を受信する手段と、
    前記自然言語ポリシー文書のユーザー選択による第２部分を受信する手段と、
    機械処理可能なポリシー規則のリストからのユーザー選択による第２ポリシー規則を受信する手段と、
    前記自然言語ポリシー文書の前記第１部分を前記第１ポリシー規則に関連付けると共に、前記自然言語ポリシー文書の前記第２部分を前記第２ポリシー規則に関連付ける手段と、
    を更に有する請求項２２記載のサーバー。
26. 自動ポリシー監査のための方法であって、
    ユーザーがネットワーク監査を設定できるようにするユーザーインターフェイスを提供する段階と、
    前記ネットワーク監査設定情報をデータストア内に保存する段階と、
    前記設定情報に基づいて、前記ネットワーク監査を自動的に起動し、前記ネットワークに関する情報を収集する段階と、
    前記収集されたネットワーク情報に対して、ネットワークポリシーを電子的に適用する段階と、
    前記ネットワークポリシーに対する遵守状態を判定する段階と、
    前記遵守状態の判定結果に基づいて、タスクを生成する段階と、
    前記タスクの状態を監視する段階と、
    を有する方法。
27. 前記設定情報に基づいて、前記ネットワークを再監査し、前記ネットワークに関する情報を新たに収集する段階と、
    前記新たに収集されたネットワーク情報に対して、前記ネットワークポリシーを電子的に再適用する段階と、
    を更に有する請求項２６記載の方法。
28. ネットワーク監査システム内のサーバーであって、
    ユーザーがネットワーク監査を設定できるようにするユーザーインターフェイスと、
    前記ネットワーク監査設定情報を保存するデータストアと、
    前記設定情報に基づいて、前記ネットワーク監査を自動的に起動し、前記ネットワークに関する情報を収集する手段と、
    前記収集されたネットワーク情報に対して、ネットワークポリシーを電子的に適用する手段と、
    前記ネットワークポリシーに対する遵守状態を判定する手段と、
    前記遵守状態の判定結果に基づいてタスクを生成する手段と、
    前記タスクの状態を監視する手段と、
    を有するサーバー。
29. 前記設定情報は、監査スケジュール情報を含む請求項２８記載のシステム。
30. 前記タスクを実行するべく割り当てる手段を更に有する請求項２８記載のシステム。
31. 前記タスクの状態を監視する前記手段は、前記タスクの完了の標識を受信する手段を更に有する請求項２８記載のシステム。
32. 前記タスクの完了を検証する手段を更に有する請求項３１記載のシステム。
33. ネットワークの監査方法であって、
    複数の異種の情報ソースによって収集されたネットワーク情報を取得する段階と、
    前記取得された情報に適用されるネットワークポリシーを識別する段階と、
    前記複数の異種の情報ソースによって収集された前記情報間における意味論的な等価性を識別する段階と、
    前記意味論的に等価であると識別された情報に対して、前記ネットワークポリシーを均一に適用する段階と、
    を有する方法。
34. それぞれの意味論的な等価性は識別子と関連付けられている請求項３３記載の方法。
35. 前記識別子は、ソースタイプとは独立的に、ネットワークポリシー規則を生成べく使用される請求項３４記載の方法。
36. 前記識別子は、それぞれの異種の情報ソースによって収集された前記情報を解析するコンピュータコードと関連付けられている請求項３３記載の方法。
37. 前記意味論的な等価性を識別する段階は、
    それぞれの情報ソースによって収集された事実のリストを識別する段階と、
    前記リスト上のそれぞれの事実について、その他の情報ソースのそれぞれによって収集された１つ又は複数の等価な事実を識別する段階と、
    前記意味論的な等価性情報を保存する段階と、
    を有している請求項３３記載の方法。
38. 前記ネットワークポリシーに対する遵守状態を判定する段階と、
    前記遵守状態の判定結果に基づいて、ネットワーク機能を変更するための勧告を行う段階と、
    を更に有する請求項３３記載の方法。
39. ネットワーク監査システム内のサーバーであって、
    複数の異種の情報ソースによって収集されたネットワーク情報を保存するデータストアと、
    前記データストアに接続されており、前記複数の異種の情報ソースによって収集された前記情報間における意味論的な等価性を識別する意味論的正規化モジュールと、
    前記意味論的に等価であると識別された前記情報に対して、ネットワークポリシーを均一に適用する手段と、
    を有するサーバー。
40. 前記意味論的正規化モジュールは、それぞれの情報ソースによって収集された事実のリストを識別し、前記リスト上のそれぞれの事実について、その他の情報ソースのそれぞれによって収集された１つ又は複数の等価な事実を識別し、前記意味論的な等価性情報を保存する請求項３９記載のサーバー。
41. 前記ネットワークポリシーに対する遵守状態を判定する手段と、
    前記遵守状態の判定結果に基づいて、ネットワーク機能を変更するための勧告を行う手段と、
    を更に有する請求項３９記載のサーバー。
42. 複数の異種の情報ソースを利用して、ネットワーク監査システム内において情報を収集する方法であって、
    均一な通信インターフェイスを介して、前記複数の異種の情報ソースと通信する段階と、
    前記均一な通信インターフェイスを介して、前記異種の情報ソースによって収集されたネットワーク情報を受信する段階と、
    前記受信したネットワーク情報を正規化されたデータフォーマットに変換する段階と、
    前記変換されたネットワーク情報をデータストア内に保存する段階と、
    前記変換されたネットワーク情報の少なくとも一部をネットワークポリシーと比較する段階と、
    前記比較結果に基づいて、前記ネットワークポリシーに対する遵守状態を判定する段階と、
    を有する方法。
43. 前記比較段階は、
    第１情報ソースと関連している第１の変換されたネットワーク情報が、第２情報ソースと関連している第２の変換されたネットワーク情報と意味論的に等価であるかどうかを識別する段階を更に有する請求項４２記載の方法。
44. 前記ネットワーク情報を収集するネットワーク監査をスケジュールする段階と、
    前記スケジュールされたネットワーク監査の開始に応答して、ネットワーク装置との通信を開くと共に、前記スケジュールされたネットワーク監査の終了に応答して、前記ネットワーク装置との通信を閉じるべく、パケットフィルタを動的に設定する段階と、
    を更に有する請求項４２記載の方法。
45. 前記ネットワーク情報は、１つ又は複数の無線ネットワークにアクセスするべく使用する無線アクセスポイントのリスト及びこれに関連するパラメータを含んでおり、
    前記方法は、
    無線アクセスポイントとの関連付けを行う段階と、
    前記ネットワーク上の前記無線アクセスポイントの場所を判定する段階と、
    を更に有する請求項４２記載の方法。
46. 前記無線アクセスポイントの場所を判定する段階は、
    前記無線アクセスポイントと関連する１つ又は複数のルーターを識別する段階と、
    前記識別されたルーターを前記無線アクセスポイントのパラメータと関連付ける段階と、
    を有する請求項４２記載の方法。

Images