JP2006526814A - 動的かつリスク認識型ネットワークセキュリティのためのシステムおよび方法 - Google Patents

Abstract

動的かつリスク認識型ネットワークセキュリティのためのシステムおよび方法を記載する。一実施形態では、システムは通信媒体（１０２）を介する接続が異常である（疑わしい、悪意がある、通常の挙動から逸脱する、特定のプロファイルまたはパターンに適合する、またはこれらのいずれか一つである潜在的可能性がある）かどうかを動的に評価し、接続が特定の期間正常または異常のどちらとみなされるかによって、適切な応答を発生する。応答の型は、接続の発信元をその意図された宛先に接続することを阻止すること、接続の宛先を変更すること、接続を監査すること、またはこれらのいずれかの組合せを含むが、これらに限定されない。

Description

著作権保護の告知
この特許文書およびその図の開示の一部分は、著作権保護下の資料を含む。著作権所有者は、何人による当該特許文書のファクシミリ複製にも異存はないが、それ以外はいかなるものであれ全ての著作権を留保する。

本発明は、情報保証およびセキュリティに関する。さらに詳しくは、それはファイヤウォール、侵入検出、ネットワークセキュリティ、およびリスク評価の分野に関する。

背景技術
インターネットは、コンピュータユーザに利用可能な莫大な量の資源を作り出してきた。同時に、インターネットは、何百万台ものコンピュータの相互接続を要求することによって、コンピュータネットワークセキュリティの実質的な必要性を生み出してきた。ネットワークを保護する上で鍵となる要素はファイヤウォールである。

効率的かつ効果的なセキュリティを達成するために、ファイヤウォールは、規則に基づいてパケットを阻止するか、それとも許容するかを決定しなければならない。歴史的に、ファイヤウォールは、パケットを許容するか否かを決定するために、静的規則に依存してきた。例えば、静的ファイヤウォールに入れられる規則は一般的に、有効なインターネットプロトコル（ＩＰ）アドレスのリストを含む。ファイヤウォールがこれらのＩＰアドレスからパケットを受信すると、ファイヤウォールはパケットを通過させる。ファイヤウォールは一般的に、パケットがそこを通して通過することのできるポートの同様のリストを維持している。パケットをフィルタリングするための静的規則の使用は、ネットワークを効果的に保護するのには不充分である。

ファイヤウォール開発者は、従来のファイヤウォールを改善するために幾つかの手法を試行してきた。例えば、一部の従来のファイヤウォールは、ステートフル検査と呼ばれる技術を含む。例えばソファウェア・テクノロジーズ（ｈｔｔｐ：／／ｗｗｗ．ｓｏｆａｗａｒｅ．ｃｏｍ／ｈｔｍｌ／ｔｅｃｈ＿ｓｔａｔｅｆｕｌ．ｓｈｔｍ）およびチェック・ポイント（商標）ソフトウェアのＦｉｒｅＷａｌｌ−１（ｗｗｗ．ｃｈｅｃｋｐｏｉｎｔ．ｃｏｍ）を参照されたい。

ステートフル検査は、各パケットを個別に審査する代わりに、ネットワークおよびネットワーク関連アプリケーションからの状態関連情報を使用して、制御決定を行なう技術である。ステートフル検査は、潜在的に悪意のあるパケットのフィルタリングを改善するが、この技術を実現する従来のファイヤウォールは、限定された組の情報源のみに依存している。

他の従来のファイヤウォールは、ファイヤウォールの能力を改善するためにネットワーク管理技術に依存してきた。例えば、Ａｎｔｕｒらの「Ｍｅｔｈｏｄ ａｎｄ ａｐｐａｒａｔｕｓ ｆｏｒ ｒｅｃｏｎｆｉｇｕｒｉｎｇ ａｎｄ ｍａｎａｇｉｎｇ ｆｉｒｅｗａｌｌｓ ａｎｄ ｓｅｃｕｒｉｔｙ ｄｅｖｉｃｅｓ」（米国特許第６，２４３，８１５号、２００１年６月５日）、Ｇａｉらの「Ｍｅｔｈｏｄ Ａｎｄ Ａｐｐａｒａｔｕｓ ｆｏｒ ｄｅｆｉｎｉｎｇ ａｎｄ ｉｍｐｌｅｍｅｎｔｉｎｇ ｈｉｇｈ−ｌｅｖｅｌ ｑｕａｌｉｔｙ ｏｆ ｓｅｒｖｉｃｅ ｐｏｌｉｃｉｅｓ ｉｎ ｃｏｍｐｕｔｅｒ ｎｅｔｗｏｒｋｓ」（米国特許第６，１６７，４４５号、２０００年１２月２６日）、およびＦｉｎｋらの「Ｓｙｓｔｅｍ， ｄｅｖｉｃｅ ａｎｄ ｍｅｔｈｏｄ ｆｏｒ ｒａｐｉｄ ｐａｃｋｅｔ ｆｉｌｔｅｒｉｎｇ ａｎｄ ｐｒｏｃｅｓｓｉｎｇ」（米国特許第６，４９６，９３５号、２００２年１２月１７日）を参照されたい。

ファイヤウォールを作製するための従来の技術のどれも、ネットワークアクセスを管理する動的なリスク認識方法を提供するものではない。

発明の概要
本発明の実施形態は、動的かつリスク認識型ネットワークセキュリティのためのシステムおよび方法を提供する。一実施形態では、システムは、通信媒体を介する接続が異常である（疑わしい、悪意がある、通常の挙動から逸脱する、特定のプロファイルまたはパターンに適合する、またはこれらのいずれか一つである潜在的可能性がある）かどうかを動的に評価し、接続が特定の期間正常または異常のどちらとみなされるかによって、適切な応答を発生する。応答の型は、接続の発信元をその意図された宛先に接続することを阻止すること、接続の宛先を変更すること、接続を監査すること、またはこれらのいずれかの組合せを含むが、これらに限定されない。

本発明の実施形態はソフトウェアまたは事前にプログラムされた装置を含むことができ、あるいは別のソフトウェア製品または装置に組み込むことができる。

本発明に係るネットワーク装置はどの時点においても一つまたはそれ以上の接続を解析することができ、理論的には装置が解析できる接続数の上限は無い。接続が通信媒体に到達すると、装置は一組の入力を審査し、かつ／または通信媒体が位置する環境で一組のアクションを実行する。これらの入力、およびアクションの結果に基づいて、装置は接続が異常であるか否かを決定する。接続が異常であると評価された場合、接続の識別子（発信元の名前など）のリスク計量が特定量だけ調整（増加または減少）される。ひとたび接続識別子のリスク計量が指定された閾値に達するかそれを超えると、その識別子によって識別された全ての将来の接続に対し、適切な応答が発生する。接続が正常であると決定された場合にも、リスク計量を調整することができる。

リスク計量調整量、審査する接続の型、適切な応答、入力、アクション、期間、通信媒体の特定の属性、環境の特定の属性、ならびに本発明に係るリスク評価および動的応答装置に必要または有益と思われる他の要素を指定するために、人間が定義できるおよび／または機械が生成することのできる一組のポリシーが使用される。

本発明の実施形態を使用することのできる用途の中には、適応型および知的ファイヤウォール、侵入検出システム、負荷分散システム、ネットワークトラフィック制御、ならびに様々な環境における信用度に基づくシステムが含まれるが、それらに限定されない。

本発明の実施形態は、従来のネットワークアクセス管理ソリューションより優れた多数の利点をもたらす。本発明の実施形態は、多種多様なアプリケーション、ポリシー、および他の情報を利用して、より知的かつ正確な決定を行う。また、本発明の実施形態は、使用される実際のネットワークプロトコルに関係しない、役割に基づくネットワーク管理の手法を提供する。本発明の実施形態は、役割、リスク、および他の属性の概念を使用して、ネットワークのノードについて記述しかつ特徴付ける。また、本発明の実施形態はファイヤウォールにおける実現に限定されない。さらに、実施形態がファイヤウォールとして実現される場合、該ファイヤウォールは従来のファイヤウォールより多様な情報源を使用し、かつ異常な接続に対して能動型対策を始動することができる。

本発明のさらなる詳細および利点を以下に記載する。

本発明のこれらおよび他の特徴、態様、および利点は、以下の詳細な説明を添付の図面を参照しながら読んだときに、いっそうよく理解される。

詳細な説明
本発明の実施形態は、通信媒体を介する接続が異常である（疑わしい、悪意がある、通常の挙動から逸脱する、特定のプロファイルまたはパターンに適合する、またはこれらのいずれか一つである潜在的可能性がある）かどうかを動的に評価し、かつ接続が特定の期間正常または異常のどちらとみなされるかによって適切な応答を発生する、新しいメカニズムを提供する。そのようなタスクを実行する他の同様のメカニズムとは異なり、本発明は、幾つかの形の管理および実施ポリシーと共にリスクを入力として使用する。

今、図を参照すると、幾つかの図を通して同様の符号は同様の要素を示している。図１は、本発明の一実施形態の実現のための例示的環境である。図示する実施形態では、組織はファイヤウォール１０４を通してインターネット１０２にアクセスする。ファイヤウォール１０４は、当業者には周知の通り、基本的ネットワークセキュリティを提供する。

ファイヤウォール１０４は、認証実施機関（以下「ＡＥＦ」という）１０６と通信する。下でさらに詳述するように、ＡＥＦ１０６は、接続によって引き起こされるネットワーク内の資源に対する脅威を評価するために、静的ポリシーデータストア１０８および動的ポリシーデータストア１１０からポリシー情報を抽出する。接続とは、特定の期間有効な発信元と通信媒体上のノードとの間の通信の活動状態である。接続は接続識別子を使用して識別することができる。接続のための一般的な接続識別子は発信元のアドレスである。

本発明の実施形態では、ＡＥＦ１０６は、コンピュータ可読媒体に格納されたプログラムコードを備える。ＡＥＦ１０６のプロセッサはプログラムコードを実行する。プロセッサは例えば、入力を処理し、アルゴリズムを実行し、かつタッチセンシティブ入力装置から受け取った入力に応答して必要に応じて出力を生成することのできる、デジタル論理プロセッサを含むことができる。そのようなプロセッサはマイクロプロセッサ、ＡＳＩＣ、および状態機械を含むことができる。そのようなプロセッサは、プロセッサによって実行されたときにそこに記載されたステップをプロセッサに実行させる命令を格納する媒体、例えばコンピュータ可読媒体を含み、あるいはそれと通信することができる。

コンピュータ可読媒体の実施形態は、タッチセンシティブ入力装置と通信するプロセッサのようなプロセッサにコンピュータ可読命令を提供することのできる、電子、光学、磁気、または他の記憶装置または伝送装置を含むが、それらに限定されない。適切な媒体の他の例は、フロッピディスク、ＣＤ−ＲＯＭ、磁気ディスク、メモリチップ、ＲＯＭ、ＲＡＭ、およびＡＳＩＣ、構成済みプロセッサ、あらゆる光媒体、あらゆる磁気テープまたは他の磁気媒体、またはコンピュータプロセッサがそこから命令を読み出すことのできるいずれかの他の媒体を含むが、それらに限定されない。また、ルータ、私設もしくは公衆ネットワーク、またはワイヤードおよびワイヤレス両方の他の伝送装置またはチャネルをはじめ、様々な他の形のコンピュータ可読媒体が、コンピュータに命令を伝達または搬送することができる。命令は、例えばＣ、Ｃ＋＋、Ｃ＃、Ｖｉｓｕａｌ Ｂａｓｉｃ、Ｊａｖａ、およびＪａｖａＳｃｒｉｐｔをはじめ、いずれかのコンピュータプログラミング言語で書かれたコードを含むことができる。

本発明の実施形態のプログラムコードは、ハードウェア器具、サーバ上のソフトウェア、ファイヤウォール上のソフトウェア、スマートルータ、スマートゲートウェイ、スマートスイッチ、回路基板上の電子回路機構、モバイル装置、およびワイヤレス装置をはじめ、それらに限定されない多種多様な用途に実現することができる。

再び図１を参照すると、これらの脅威は、外部の例えばインターネット１０２、または内部のノード１０２ａ〜ｄなど、多くの様々な発信元に由来するかもしれない。発信元とは、インターネット１０２などの通信媒体を使用して接続を起動したシステム、ソフトウェア、または装置である。ノードが（企業ＬＡＮのような）閉鎖された環境で通信媒体を使用して別のノードに接続するときに、接続を起動したノードは発信元として知られる。両義性がある場合は、宛先のようにふるまうノードを「宛先ノード」と呼ぶこともできる。ノードとは、接続の宛先であるシステム、ソフトウェア、または装置である。一部のノードはサービスを提供する。サービスとは、ノードによって提供される機能、便宜、または能力である。図示する実施形態では、ノード１０２ａ〜ｄはコンピュータワークステーションである。ＡＥＦ１０６がネットワークの接続を解析すると、ＡＥＦ１０６は、リスクレベルおよび本書に記載する他の基準についてのＡＥＦ１０６の解析に基づいて、動的ポリシーデータストア１１０に格納されたポリシーを動的に調整する。

図２は、本発明の実施形態におけるメッセージの流れを示すタイミング図である。ＡＥＦ（１０６）が始動すると、それは静的ポリシーデータストア（１１０）からポリシー情報をロードする２０２。続いて、ＡＥＦ（１０６）はインターネット（１０２）から接続を受け取る２０４。それに応じて、ＡＥＦ（１０６）は動的ポリシーデータストア（１１０）から情報をロードする２０６。データストア（１１０）のサイズに応じて、ＡＥＦ（１０６）は全てのポリシー情報または接続に関連するポリシー情報だけをロードすることができる。接続が異常でない場合、ＡＥＦ（１０６）は接続をそれが向けられたノード（１１２ａ）に転送する２０８。

ノード（１１２ａ）が接続を受け取ると、ノード（１１２ａ）はＡＥＦ（１０６）にフィードバックを提供することができる２１０。例えば、接続はワームのようなウィルスを含むことがある。フィードバックに応答して、ＡＥＦ（１０６）は動的ポリシーデータストア（１１０）内のポリシー情報を更新する２１２。図示する実施形態では、ＡＥＦ（１０６）は次いで、動的ポリシーデータストア（１１０）からの更新されたポリシー情報を再ロードする２１４。

図３は、本発明の一実施形態で役割をいかに使用して、ノードおよびサービス値を割り当てるかを示す図である。役割とは、ノードを識別し、該ノードにその名前、ノード値、該ノードが利用可能なサービス、およびこれらの前記サービスのサービス値を提供するために使用することのできる構造である。図３は、本発明をコンピュータネットワーク環境で使用する場合に適用できる、ウェブサーバ用の役割３０２の一例を示す。役割３０２は様々な属性３０４を含む。図示する実施形態では、属性３０４は名前「ｗｅｂ」およびノード値の６を有する。ノード値は、ノードにどれだけ価値があるかを数量的に指定する。本発明の実施形態が使用される環境におけるポリシーおよび／または制約条件に応じて、ノード値は有限または無限のいずれかとすることができる。

役割３０２はまた、それに関連付けられた少なくとも一つのサービス３０６を持つ。サービスもまた属性３０８を含む。属性３０８の一つがサービス値である。サービス値は、サービスにどれだけ価値があるかを数量的に指定する。本発明の実施形態が使用される環境におけるポリシーおよび／または制約条件に応じて、サービス値は有限または無限のいずれかとすることができる。

図４は、本発明の一実施形態における静的および動的データストアの様々な属性を示す図である。図示する実施形態では、ＡＥＦ（１０６）の全体的ポリシー４０２は、静的ポリシー４０４および動的ポリシー４０６を含む。静的ポリシー４０４は、制約条件、役割、ノード−役割指定、閾値テーブル、サービス、およびアクションをはじめとする様々な属性を含む。これらの属性４０８は、データベース内のテーブル、ビジネスオブジェクトにプログラムされた規則、または規則をソフトウェアアプリケーションに格納して実行するための他の方法を含むことができる。静的ポリシー４０４は、追加属性をも含むことができる。図示する実施形態では、動的ポリシー４０６は単一の属性である脅威レベルテーブル４１０を含むことができる。これは単なる例示である。静的ポリシー４０４および動的ポリシーは両方とも、図４に示す属性のサブセットまたはスーパーセットを含むことができる。

静的ポリシー４０４の一つの属性４０８はアクションである。アクションは二つの目的を有する。第一は発信元の脅威レベルを調整することであり、第二はイベントの結果トリガされる対策として働くことである。対策は能動型または受動型のいずれかとすることができる。能動型対策は、宛先ノードが、発信元からの応答を要求する非同期メッセージまたはクエリを送信することを可能にする。受動型対策は方法に依存し、発信元にいかなるメッセージも送信しない（発信元は対策が講じられたことを知らない）。

脅威レベルとは、発信元またはいずれかの他の接続識別子がどれだけ異常であるかを指定する数量的尺度である。脅威レベルが高ければ高いほど、接続識別子は疑わしい。脅威レベルは、発信元に関連付けられるリスクと考えることもできる。接続がＡＥＦ（１０６）を通過することが許可されるかどうかは、ノード／サービスの脅威レベルおよび閾値の関数である。閾値は、ノードが異常な挙動に対しどれほど耐えられるかを指定する数量的尺度である。閾値はノードに対し、そのノード値に基づいて指定される。ノード値が高ければ高いほど、その閾値は低くなり、それは今度は、前記ノードが異常な挙動に対して低い耐性を示すことを意味する。脅威値および閾値に基づいて脅威を評価するプロセスについては、下でさらに詳述する。

図５は、本発明の一実施形態において結果的にグラフィック出力を生成するシミュレーションの流れを示す流れ図である。図５の流れ図は、本発明に従ってＡＥＦ（１０６）の効果を試験する方法の一例を提供する。図示する実施形態では、トラフィックプロファイルは、トラフィックプロファイルデータストア５０２に格納される。これらのプロファイルは、試みることのできる様々な型の異常および非異常（正常）接続を表わす。トラフィック発生器５０４は、ＡＥＦ１０６への一連の接続を発生するために、トラフィックプロファイルデータストア５０２にアクセスする。

図１に関連して記載した通り、ＡＥＦ１０６は、接続をいかに処理するかを決定するために、静的ポリシーデータストア１０８および動的ポリシーデータストア１１０から情報を抽出する。

接続が異常である場合、その接続の発信元アドレス（その接続識別子）の脅威レベルは、管理者定義ポリシーによって定義された量だけ増大される。次の場合、発信元ｋがノードｉのサービスｊに接続するアクセスが許可される。

ｔｈｒｅａｔＬｅｖｅｌ（ｋ）＜＝ｎｏｄｅＴｈｒｅｓｈｏｌｄ（ｉ）ＡＮＤｔｈｒｅａｔＬｅｖｅｌ（ｋ）＜＝ｓｅｒｖｉｃｅＴｈｒｅｓｈｏｌｄ（ｉ，ｊ）
イベントの結果、脅威レベルは増大し、それはアクションをトリガする。上述の通り、アクションは脅威レベルを調整するかもしれない。例えば、アクションで発信元の脅威レベルを１．５だけ高めさせるために、アクションに次のステートメントを指定することができる。

ｔｌ_ｉ＋ｌ＝ｔｌ_ｉ＋１．５
解析をサポートするために、静的ポリシーおよび動的ポリシーの二種類のポリシーが使用される。静的ポリシーは、メカニズムが意思決定を実行することができるように、メカニズムに規則を提供する。動的ポリシーは、全ての発信元の脅威レベルを追跡するために、メカニズムによって実時間で更新される。

再び図５に戻って、図示する実施形態で、ＡＥＦ１０６はイベント解析器５０６にイベントログを提供する。イベント解析器５０６はこれらのログを処理し、結果のグラフ５０８を発生する。図６、７、および８は、本発明の一実施形態によって生成されたグラフの例である。図６は、本発明の一実施形態における正常なプロファイルを持つトラフィックを示すグラフである。図７は、本発明の一実施形態における疑わしいプロファイルを持つトラフィックを示すグラフである。そして図８は、本発明の一実施形態における非常に悪意のあるプロファイルを持つトラフィックを示すグラフである。

本発明の生産（シミュレーションとは対照的に）の実施形態では、ＡＥＦ１０６は多数の方法で脅威に応答することができる。応答の型は種類として、接続の発信元をその意図された宛先に接続すること（認証実施）を阻止すること、接続の宛先を変更すること、接続を監査すること、またはこれらのいずれかを含むことができるが、それらに限定されない。

本発明に係るＡＥＦ１０６は、例えば以下をはじめとする様々な方法を使用して、特定のノードの脅威レベルを調整することができる。

・接続発信元のオペレーティングシステムの受動フィンガプリントを得る。このオペレーティングシステム情報に基づいて、到来したパケットがそのオペレーティングシステムのパケットの基準に適合するかどうかを検査する。この情報は、特定の発信元に由来するスキャンを識別するためにも使用することができる。

・ＤＮＳレコードを検査して、内部ノードが初めて別の内部ノードに接続する場合（タイムアウト無く）、それがＤＮＳサーバにアクセスしているかどうかを調べる。そうでない場合には発信元ノードは疑わしいかもしれない。

・高レベルの発見的規則を使用して、ネットワーク接続が正常か否かを決定する。例えば、発信元ポートが増分しているかどうか、接続がポートスキャンのように見えるかどうか、かつシーケンス番号に以前に遭遇したことがあるかどうかを決定する。

・侵入検出システム（ＩＤＳ）シグネチャのデータベースと接続のパターンを照合する。一致するものがある場合、これは悪意のある攻撃の発生であるかもしれない。脅威レベルを上げ、悪化する場合には、それを遮断する。

・特定のノードのスイッチが切られるはずであるが、宛先ノードが依然として該ノードから接続を受けている場合には、悪意のある何かが発生しているかもしれない。

・ノードのユーザの挙動を検査する。一つのノードが別のノードに接続されるが、発信元ノードにユーザがおらず、あるいは異常な時間帯にユーザがいる場合、発信元ノードの脅威レベルを上げることができる。

・ノード毎に到来および送出データのログを記録し続ける。ノードＡが時間ｔにノードＢからトラフィックを受信するが、ノードＢにおおよその時間ｔにおけるその送出データのログが無い場合、ノードＢの脅威レベルを上げることができる。

・ノードにおけるユーザのアクションを検査し、悪意があるように見えるコマンドが無いか調べる。

・発信元ノードにピングを打ち、それが活動中であるか調べる。活動中でないが、依然としてデータを送信している場合には、何らかの問題が進行中であるかもしれない。

・発信元ノードによって起動された接続の帯域幅を検査し、それを期待されるトラフィックの型と照合する。例えば、我々は映像ストリーミングのようなアプリケーションに比較して、通常のトラフィックに高大域幅の利用を予想しない。ウェブトラフィックのような通常のトラフィックマルチメディアストリーミングのそれに匹敵する帯域幅を使用している場合、どこか問題があるかもしれない。

本発明の実施形態は、このメカニズム（役割情報つまり様々なノードに値を指定する能力）に特定的な文脈で、役割に基づくアクセス制御（ＲＢＡＣ）の概念を使用するノードの効率的な管理スキームを包含する。したがって、より価値の高いノードはより高い値を持つことができる。また、一実施形態は、対策を実行するために独立した汎用インタフェースを含む。対策に適用されるインタフェースは汎用であるので、メカニズムは潜在的にＯＳＣモデルの全ての層からの入力を使用することができる。

本発明のＡＥＦの実施形態は、組織内の新しいインターネットワームおよび電子メールウィルスの伝播速度を低減し、かつ最終的に伝播を完全に停止することができる。ＡＥＦはまた、遠隔位置からシステムを弱体化しようとする執拗な攻撃者を挫折させ、阻むこともできる。さらに、ＡＥＦは監視を提供し、組織内のシステムを誤用または悪用しようとする執拗な部内者を阻むこともできる。さらに、ＡＥＦはその意思決定にリスクおよび疑念を使用するので、将来の新しい形の未知の攻撃を阻止することができる。

本発明の好適な実施形態の上記の記載は、単に例示および説明のために提示したものであって、全てを網羅するように、あるいは開示した厳密な形に発明を限定するように意図したものではない。本発明の精神および範囲から逸脱することなく、多くの変形および適応が当業者には明白であろう。

用語集
ノード：ノードとは、接続の宛先であるシステム、ソフトウェア、または装置である。

発信元：発信元とは、通信媒体を使用して接続を起動したシステム、ソフトウェア、または装置である。ノードが（企業ＬＡＮのような）閉鎖された環境で通信媒体を使用して別のノードに接続するときに、接続を起動したノードは発信元として知られる。両義性がある場合には、宛先のようにふるまうノードを「宛先ノード」と呼ぶこともできる。

サービス：サービスとは、ノードによって提供される機能、便宜、または能力である。

ノード値：ノード値は、ノードにどれだけ価値があるかを数量的に指定する。本発明が使用される環境におけるポリシーおよび／または制約条件に応じて、ノード値は有限または無限のいずれかとすることができる。

サービス値：サービス値は、サービスにどれだけ価値があるかを数量的に指定する。本発明が使用される環境におけるポリシーおよび／または制約条件に応じて、サービス値は有限または無限のいずれかとすることができる。

接続：接続とは、特定の期間有効な発信元と通信媒体上のノードとの間の通信の活動状態である。接続は接続識別子を使用して識別することができる。接続のための一般的な接続識別子は発信元のアドレスである。

役割：役割とは、ノードを識別し、該ノードにその名前、ノード値、該ノードが利用可能なサービス、およびこれらの前記サービスのサービス値を提供するために使用することのできる構造である。

アクション：アクションは二つの目的を有する。第一は発信元の脅威レベルを調整することであり、第二はイベントの結果トリガされる対策として働くことである。対策は能動型または受動型のいずれかとすることができる。能動型対策は、宛先ノードが、発信元からの応答を要求する非同期メッセージまたはクエリを送信することを可能にする。受動型対策は方法に依存し、発信元にいかなるメッセージも送信しない（発信元は対策が講じられたことを知らない）。

脅威レベル：脅威レベルとは、発信元またはいずれかの他の接続識別子がどれだけ異常であるかを指定する数量的尺度である。脅威レベルが高ければ高いほど、接続識別子は疑わしい。脅威レベルは、発信元に関連付けられるリスクと考えることもできる。

閾値：閾値とは、ノードが異常な挙動に対しどれほど耐えられるかを指定する数量的尺度である。閾値はノードに対し、そのノード値に基づいて指定される。ノード値が高ければ高いほど、その閾値は低くなり、それは今度は、前記ノードが異常な挙動に対して低い耐性を示すことを意味する。

本発明の一実施形態の実現のための例示的環境を示すブロック図である。 本発明の一実施形態における情報の流れを示すタイミング図である。 本発明の一実施形態において役割をいかに使用してノードおよびサービス値を割り当てるかを示す図である。 本発明の一実施形態における静的および動的データストアの様々な属性を示す図である。 本発明の一実施形態においてグラフィック出力を生成するためのシミュレーションの流れを示す流れ図である。 本発明の一実施形態における正常なプロファイルを持つトラフィックを示すグラフである。 本発明の一実施形態における疑わしいプロファイルを持つトラフィックを示すグラフである。 本発明の一実施形態における非常に悪意のあるプロファイルを持つトラフィックを示すグラフである。

Claims (17)

1. 静的ポリシーデータストアと、
   動的ポリシーデータストアと、
   前記静的ポリシーデータストアおよび前記動的ポリシーデータストアと通信し、かつ接続のリスク認識解析を実行するように動作可能な認証実行機関（ＡＥＦ）とを備えたネットワークセキュリティシステム。
2. 前記静的ポリシーデータストアが、制約条件、役割、ノード−役割指定、閾値、ノード値、サービス値、およびアクション値のうちの少なくとも一つを含む、請求項１に記載のネットワークセキュリティシステム。
3. 前記閾値が前記ノード値に反比例する、請求項２に記載のネットワークセキュリティシステム。
4. 前記閾値が前記ノード値に反比例する、請求項２に記載のネットワークセキュリティシステム。
5. 前記動的ポリシーデータストアが脅威レベルテーブルを含む、請求項１に記載のネットワークセキュリティシステム。
6. 前記ＡＥＦがさらに、前記接続に対する応答を生成するように動作可能である、請求項１に記載のネットワークセキュリティシステム。
7. 前記応答が、前記接続の発信元が意図された宛先に接続するのを阻止すること、前記接続の前記意図された宛先を変更すること、および前記接続を監査することのうちの少なくとも一つを含む、請求項６に記載のネットワークセキュリティシステム。
8. 前記ＡＥＦがさらに対策を生成するように動作可能である、請求項１に記載のネットワークセキュリティシステム。
9. 前記対策が能動型対策または受動型対策を含む、請求項８に記載のネットワークセキュリティシステム。
10. 前記ＡＥＦがルータ、ゲートウェイ、ハードウェア器具、またはウェブサーバを含む、請求項１に記載のネットワークセキュリティシステム。
11. 前記ＡＥＦと通信するファイヤウォールをさらに備える、請求項１に記載のネットワークセキュリティシステム。
12. 前記ＡＥＦと通信する侵入検出システムをさらに備える、請求項１に記載のネットワークセキュリティシステム。
13. 静的ポリシーデータストアから静的ポリシーデータ属性を受け取ることと、
    ノードに向けられた接続要求を受け取ることと、
    動的ポリシーデータストアから動的ポリシーデータ属性を受け取ることと、
    少なくとも部分的に前記静的ポリシーデータ属性および少なくとも部分的に前記動的ポリシーデータ属性に基づいて、前記接続要求が異常であるかどうかを決定することを含む方法。
14. 前記接続要求に応答することをさらに含む、請求項１３に記載の方法。
15. 応答が、前記接続要求を前記ノードに転送すること、前記接続の発信元が意図された宛先に接続するのを阻止すること、前記接続の前記意図された宛先を変更すること、および前記接続を監査することのうちの少なくとも一つを含む、請求項１４に記載の方法。
16. 前記決定の結果に基づいて前記動的ポリシーデータストア内の前記動的ポリシーデータ属性を更新することをさらに含む、請求項１３に記載の方法。
17. 前記接続要求が異常であると決定された場合、前記更新は脅威レベルを上げることを含む、請求項１３に記載の方法。

Images