JP2007234051A - コンピュータ・システム保護 - Google Patents

Abstract

【課題】外部コンピュータ・ネットワークから有害なデータに対して保護するためのコンピュータ・システム保護を提供する。
【解決手段】データがコンピュータ・システムに入ると、ソフトウェア・チェッカーは、それを使用不可能に、および無害にするためにそれを暗号化するエンクリプタにあらゆる疑わしいデータを送信する。暗号化されたデータは、内部ネットワークにおけるコンピュータに移動し、および疑わしいデータのためのデスクトップ隔離領域またはサンドボックスを有する。コンピュータは、記憶および転送のためであるが、暗号化されているために有意義な方法での使用のためではない暗号化されたデータを受信するメイン・デスクトップ・アプリケーションを動作させる。同様に、アプリケーションは、暗号化がこれを不可能にするので、暗号化されたデータによって妨害されえない。
【選択図】図３

Description

本発明は、例えばウイルスなどによる、望ましくない外部妨害に対するコンピュータ・システム保護のための方法、そのような保護を実行するためのコンピュータ・プログラム、およびそれによって保護されるコンピュータ・システムに関する。

コンピュータ・ソフトウェア・アプリケーションは、コンピュータ技術が発展するにつれて、次第により柔軟な特性を提供し、およびより良く統合されてきている。残念ながら、これは攻撃への、コンピュータ・システムの暴露を増す効果を有する：トロイの木馬ソフトウェアによる攻撃は、被害者のコンピュータ上で動作するアプリケーション・ソフトウェアの隠された特性を悪用し、かつウイルスによる攻撃は、その結果、あるコンピュータから別のコンピュータへ拡散するアタッカーによって導入されるソフトウェアをもたらす。よってコンピュータ・システム保護は、技術が進歩するにつれて次第により困難になる。コンピュータ・システムへの攻撃は、それらが保持する情報に損害を与え、前記情報を漏洩し、または正当なコンピュータ・システム・ユーザに彼らの仕事を実行させないかもしれない。

Ｋａｕｆｍａｎ，ＰｅｒｉｍａｎおよびＳｐｅｃｉｎｅｒ著、教科書“Ｎｅｔｗｏｒｋ Ｓｅｃｕｒｉｔｙ（ネットワーク・セキュリティ）”、に記載された、コンピュータ・システム保護における現在の業界の最善実践は、データがコンピュータ・システムに入ると、データにソフトウェア・チェッカーを適用することである：前記チェッカーが潜在的な攻撃を識別し、そして攻撃であるとわかるあらゆるデータを拒絶させる。残念ながら、ソフトウェア・チェッカーを用いて正確に攻撃を識別することは大変難しく、また必然的に、しばしば警戒しすぎて失敗することがある。その結果、無害の、そしておそらく価値のあるデータが、システムに入ることを許可されないかもしれない。

無害の、時に価値のあるデータを拒絶するコンピュータ・システムは、信頼できるビジネスツールではないので、データの損失を減らすために、拒絶されたデータを、“隔離領域（quarantine）”と呼ばれるものに配置することが知られている：隔離領域とは、通常のユーザおよびワードプロセッサなどそれらのソフトウェア・アプリケーションによってはアクセスできないが、その代わり、拒絶されたデータを手動で検査することができ、およびそれが有害であるかどうかを決定することができるコンピュータ専門家によってアクセス可能であるコンピュータ記憶領域である。隔離領域におけるデータの専門家による手動の検査は、ソフトウェア・チェッカーよりも、攻撃を検出することに関してずっと正確にできる。自動ソフトウェア・チェッカーによって拒絶されるデータの一部は、その後無害であると識別され、コンピュータ・システムに入ることを許可されるかもしれない。

隔離されたデータの手動検査は、コンピュータ・システムと外界との通信の信頼性を向上させるが、その結果、顕著となりうる遅延をもたらし、またそれを実行するための、費用がかかる専門家スタッフを必要とする。さらに、自動チェッカーおよび手動検査は両方とも失敗しやすい。特に、自動および手動のいずれのチェックも、新しい、よってなじみのない形式の攻撃を検出することに関しては劣っている。攻撃の形式は、アプリケーションで利用できる機能に関連している；そのため、ソフトウェア・アプリケーションがさらに開発されると、新しい形式の攻撃が現れる。このように、コンピュータ・システム保護における、現在の業界の最善の実践は、費用がかかり、効果が薄く、およびこの状況は向上しないであろう。

“サンドボクシング（sandboxing）”と呼ばれる別の従来技術は、Ｓｃｏｔｔ Ｏａｋｓ著の教科書“ＪＡＶＡ（登録商標） Ｓｅｃｕｒｉｔｙ（ＪＡＶＡ（登録商標）セキュリティ）”、に説明されている：それは、データ拒絶アプローチに代替選択肢を提供する。この技術においては、データはコンピュータ・システムに入ることを許可されるが、システム環境、すなわちデータが使用されうる方法は制約される。データが攻撃を構成することがわかるとすると、トロイの木馬またはそれが実行するウイルスは、制約された環境にのみアクセスすることができ、その外部、すなわちサンドボックスの境界を越えて、ソフトウェア・アプリケーションを破壊することができない。

最も一般的な形式のサンドボックスは、様々な異なる種類のコンピュータ上で実行されることができるＳｕｎ Ｍｉｃｒｏｓｙｓｔｅｍ（登録商標）の言語ＪＡＶＡ（登録商標）で書かれたソフトウェアの、自給式エレメントである、ＪＡＶＡ（登録商標）アプレットに供給されるものである。残念ながら、ＪＡＶＡ（登録商標）サンドボックスは、ＪＡＶＡ（登録商標）アプレットにのみ稼動し、あらゆる他の形式のデータには稼動しないという欠点に苦しむ。例えば、Ｍｉｃｒｏｓｏｆｔ^TM Ｗｏｒｄドキュメントは、ＪＡＶＡ（登録商標）サンドボックス内でＭｉｃｒｏｓｏｆｔ^TM Ｗｏｒｄアプリケーションによって編集されることができない。

より汎用的なサンドボックスが構築され、または提案されてきたが、一般的には使用されていない：実施例は、Ｊａｎｕｓと称され、かつ題名“Ｊａｎｕｓ：Ａｎ Ａｐｐｒｏａｃｈ ｆｏｒ Ｃｏｎｆｉｎｅｍｅｎｔ ｏｆ Ｕｎｔｒｕｓｔｅｄ Ａｐｐｌｉｃａｔｉｏｎｓ（Ｊａｎｕｓ：信頼できないアプリケーションの閉じ込めのアプローチ）”，Ｄａｖｉｄ Ａ． Ｗａｇｎｅｒ，ＵＣ Ｂｅｒｋｅｌｅｙ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ Ｄｉｖｉｓｉｏｎ，報告ＣＳＤ−９９−１０５６、１９９９年８月の論文に説明されている、Ｕｎｉｖｅｒｓｉｔｙ Ｃａｌｉｆｏｒｎｉａ Ｂｅｒｋｅｌｅｙからの研究ソフトウェアを含む。これらは、サンドボックスで実行しているソフトウェアを、メイン・ワークステーション・デスクトップの形式でコンピュータ・システム上で実行している他のソフトウェアと分離するために、オペレーティング・システム内でのセキュリティ特性を利用する。

サンドボクシングの使用は、しかしながら、本当には問題を解決しない。これは、ウイルスが、サンドボックスによって供給される制約された環境内で自由に広がることができるかもしれず、またユーザは、データを交換する業務上の必要性を反映するために、サンドボックス境界を越えてデータを移動する必要が不可避だからである。

本発明の目的は、コンピュータ・システム保護の代替的形式を供給することである。

本発明は、潜在的に有害なデータを受信し、およびサンドボックス・デスクトップを定義するためのサンドボックス・アプリケーションを含むコンピュータ・システムを供給し、それは、潜在的に有害なデータを、無害にするために暗号化する手段と、およびサンドボックス・アプリケーションによって制約されるアプリケーションによる処理のために、暗号化されたデータを解読するための手段も含むことを特徴とする。

本発明は、潜在的に有害なデータを、サンドボックス・アプリケーションによって制約される一方で、検査できるように、かつ実行されるようにする効果を供給する：これは、同様に、ユーザにデータの重要性を決定させる一方で、データが暗号化によって隔離されるようにする。望ましくない素材は廃棄されることができ、さらなる検査の必要性を回避する。さらに、重要なメッセージが専門家の検査を待って遅らせる必要性がなく、その代わり、サンドボックス・デスクトップによって供給される制約された隔離環境においてシステム・ユーザに利用できるようにされる。

サンドボックス・アプリケーションは、保護が適用されるコンピュータ・システムのメイン・デスクトップと関連しているアプリケーションと通信しないデスクトップ・アプリケーションを採用するように決められているかもしれない。

コンピュータ・システム保護は、専門家の検査に中継するために暗号化された形式でサンドボックス・アプリケーションから、ユーザにデータを検索させる手段と、および潜在的に有害な内容に関して、サンドボックス・デスクトップから放出された解読されたデータを調べるための手段とを含むかもしれない。それは、ファイアウォールを介して外部ネットワークにリンクされたコンピュータに搭載されるかもしれない。

別の特徴において、本発明は、潜在的に有害なデータを受信し、およびサンドボックス・デスクトップを定義するためのサンドボックス・アプリケーションを有する保護されたコンピュータ・システムを供給し、それは、それがリンクされる外部ネットワークから、チェッカーを保護するファイアウォールも含み、前記チェッカーは、潜在的に有害なデータを無害にするために暗号化する手段を含み、および前記システムは、サンドボックス・アプリケーションによる処理のために暗号化されたデータを解読する手段を有することを特徴とする。

保護されたコンピュータ・システムは、ユーザが、サンドボックス・アプリケーションの代わりにシステムのメイン・デスクトップと関連するアプリケーションを用いて処理したいと思う、潜在的に有害なデータを暗号化するためのソフトウェアを含むかもしれない。それは、潜在的に有害なデータを無害にするために暗号化するソフトウェアおよびサンドボックス・アプリケーションによって制約されたアプリケーションによる処理のための暗号化されたデータを解読するためのソフトウェアも含むかもしれない。

サンドボックス・アプリケーションは、保護が適用されるコンピュータ・システムのメイン・デスクトップと関連するアプリケーションと通信しないデスクトップ・アプリケーションを採用するように決められているかもしれない。

保護されたコンピュータ・システムは、ユーザに、専門家の検査へ中継するために暗号化された形式でサンドボックス・アプリケーションからデータを検索させるためのソフトウェア、および潜在的に有害な内容に関して、サンドボックス・デスクトップから放出された解読されたデータを調べるためのソフトウェアも含むかもしれない。それは、ファイアウォールを介して外部ネットワークにリンクされるかもしれない。

さらなる特徴において、本発明は、有害なデータに対してコンピュータ・システムを保護する方法を供給し、前記システムは潜在的に有害なデータを受信し、かつサンドボックス・デスクトップを定義するためのサンドボックス・アプリケーションを含み、前記方法は：
（ａ）潜在的に有害なデータを無害にするために暗号化するステップ、および
（ｂ）サンドボックス・アプリケーションによって制約されるアプリケーションによる処理のために暗号化されたデータを解読するステップ
を含むことを特徴とする。

サンドボックスは、前記方法によって保護されるコンピュータ・システムのメイン・デスクトップと関連するアプリケーションと通信しないデスクトップ・アプリケーションを含むかもしれない。

前記方法は、専門家の検査に中継するために暗号化された形式でサンドボックス・アプリケーションからデータを検索するステップを含むかもしれない。それは、潜在的に有害なデータに関して、サンドボックス・デスクトップから放出された解読されたデータを調べることも含むかもしれず、またファイアウォールを介して外部ネットワークにリンクされているコンピュータ・システムとともに使用されるかもしれない。

本発明は、潜在的に有害なデータを受信し、およびサンドボックス・デスクトップを定義するためのサンドボックス・アプリケーションを有するコンピュータ・システムを保護する方法も供給し、前記方法は：
（ａ）前記システムがリンクされる外部ネットワークからチェッカーを保護するためにファイアウォールを使用し、
（ｂ）潜在的に有害なデータを無害するために暗号化するためにチェッカーを使用し、および
（ｃ）サンドボックス・アプリケーションによる処理のために、暗号化されたデータを解読すること
を含むことを特徴とする。

またさらなる特徴においては、本発明は、有害なデータに対してコンピュータ・システムを保護するためのコンピュータ・ソフトウェアを供給し、前記システムは潜在的に有害なデータを受信し、およびサンドボックス・デスクトップを定義するためのサンドボックス・アプリケーションを含み、前記コンピュータ・ソフトウェアは：
（ａ）潜在的に有害なデータを無害にするために暗号化し、および
（ｂ）サンドボックス・アプリケーションによって制約される一方で、処理のために暗号化されたデータを解読する
ように決められていることを特徴とする。

コンピュータ・ソフトウェアは、それが保護するコンピュータ・システムのメイン・デスクトップと関連するアプリケーションと通信しないように決められたデスクトップ・アプリケーションをサンドボックス内に含むかもしれない。それは、専門家の検査に中継するための暗号化された形式でサンドボックス・アプリケーションからデータを検索するように、および潜在的に有害な内容に関して、サンドボックス・デスクトップから放出された解読されたデータを調べるように決められているかもしれない。

コンピュータ・システムは、ファイアウォールを介して外部ネットワークにリンクされているかもしれない。

さらに別の特徴において、本発明は、潜在的に有害なデータを受信し、およびサンドボックス・デスクトップを定義するためのサンドボックス・アプリケーションを有するコンピュータ・システムを保護するためのコンピュータ・ソフトウェアを供給し、前記コンピュータ・ソフトウェアは：
（ａ）システムがリンクされている外部ネットワークからチェッカーを保護するファイアウォールを実行し、
（ｂ）潜在的に有害なデータを無害にするために暗号化するため、チェッカーによる暗号化を実行し、および
（ｃ）サンドボックス・アプリケーションによる処理のために暗号化されたデータを解読する
ように決められていることを特徴とする。

図１を参照すると、現在の業界の最善な実践に対応する、従来技術のコンピュータ・システム保護１０が記載されている：外部コンピュータネットワーク１２は、データがコンピュータ・システム（図示されていない）に入ると、入ってきたデータ１４を自動検査ソフトウェア１６（ソフトウェア・チェッカー）に供給する。ソフトウェア・チェッカー１６は、オペレーティング・システムのアクセス・コントロールによって保護されるサーバー・コンピュータのファイル記憶装置の一部として実装される隔離メモリ２０へ、あらゆる疑わしいデータ１８を発信する；それは、無害なデータ２２を内部受信ネットワーク２４へ送信する。隔離領域は、中央ネットワーク・オペレーション・センターにあり、および疑わしいデータの手動の検査を担当する専門検査スタッフ２６によってのみアクセスできる。これらの専門家は、無害なデータに関して隔離記憶装置２０を監視し、それが見つかると、それはクリアされたデータ２８として受信ネットワーク２４へと送信される。ソフトウェア・チェッカー１６は、実際に無害であるデータの一部を疑わしいものとして取り扱いもし、新種の攻撃を識別することもできない。専門検査スタッフ２６は費用がかかり、遅延を招き、および絶対的には信頼できない。

図２を参照すると、サンドボクシングとして知られている従来技術が示されている。外部コンピュータ・ネットワーク４２は、入ってくるデータ４４を、内部コンピュータ・ネットワーク４８の一部であるユーザのコンピュータ４６に供給する。データ４４は、コンピュータ４６上で動作しているメイン・デスクトップ・ソフトウェア・アプリケーション（例えば、ワードプロセッシング）によってアクセスすることができず、および５０のような円によって示される：その代わり、データ４４は、制約された環境を供給するサンドボックス５２に送られ、前記データはその外部の、すなわちサンドボックス境界を越えたソフトウェア・アプリケーションを破壊することができない。サンドボックスは、ＪＡＶＡ（登録商標）の場合ように、その中で動作するアプリケーション・ソフトウェアを翻訳することによって、およびサンドボックスの境界を越えてデータへのアクセスを与える命令が存在しないことを確証することによって実行されるかもしれない。他に、アプリケーション・ソフトウェアは直接実行されるかもしれないが、オペレーティング・システム・アクセス・コントロールは、サンドボックスされたソフトウェアがそれにアクセスしないようにするために、サンドボックスの境界を越えてすべてのリソースに適用される。本発明に従ったコンピュータ・システム保護が、図３に示されている。外部コンピュータ・ネットワーク６０（例えば、インターネット）は、データがコンピュータ・システム（図示されていない）に入ると、入ってくるデータ６２をチェッカー・ソフトウェア６４に供給する。ソフトウェア・チェッカー６４は、それが無害であるとみなすあらゆるデータ６５を送る；それは、あらゆる疑わしいデータ６６を、使用できない、よって無害なものにするために暗号化するエンクリプター６８に発信する。ＵＳ Ｆｅｄｅｒａｌ Ｉｎｆｏｒｍａｔｉｏｎ Ｐｒｏｃｅｓｓｉｎｇ Ｓｔａｎｄａｒｄｓ Ｐｕｂｌｉｃａｔｉｏｎ（米国連邦情報処理標準出版物）４６−２によって説明されている、標準データ暗号化基準（ＤＥＳ）など、データを使用できないものにするあらゆる対称的暗号化アルゴリズムが適しているだろう。

無害なデータ６５および暗号化された疑わしいデータ７０は、内部コンピュータ・ネットワーク７４の一部であるユーザのコンピュータ７２に送られる。コンピュータ７２は、その中に、疑わしいデータのためのデスクトップ隔離領域またはサンドボックス７６を有し、およびこれはネットワーク７４へと接続されている各コンピュータ７２に適用される。コンピュータ７２は、暗号化されたデータ７０を受信する７８などのメイン・デスクトップ・アプリケーションを稼動させ、およびそれを記憶し、かつそれを回すことができるが、これらのアプリケーション７８は、それが暗号化されているために、どんな有意義な方法でもそれを使用することができない。同様に、アプリケーション７８は、暗号化が、データを実行したり翻訳したりすることを不可能にするので、暗号化されたデータによっては妨害されえない。

サンドボックス７６に入ると、暗号化されたデータは、サンドボックス・インポート機能８０によって使用できる形式に解読される：それは、サンドボックス７６で実行するソフトウェア・アプリケーションまたはツール８２によってアクセス可能になる。リリース・チェック・ソフトウェア８４は、解読されたデータからの抽出物が無害かどうかを調べるために、サンドボックス７６に含まれる。疑わしいために、リリース・チェック８４を通過しないデータは、専門家による手動検査を必要とするに足るほど重要かもしれない。そのような場合、ユーザは、おそらく電子メールによって、またはウェブ・インターフェースを介して、リクエスト・キュー８８へ、疑わしいデータが検査されるよう要求８６を送信する。専門家９０は、キュー８８から要求を取り、および疑わしいデータを解読し、かつ手動でそれを調べることによって応答する。

このアプローチの効果は、必要であれば、ユーザが疑わしいデータを調べ、またそれを実行することさえできる一方で、サンドボックスによって制約されることであり、ユーザに、暗号化によって隔離された疑わしいデータの重要性を決定させる。ユーザが、疑わしいデータはユーザの事業的必要性には関係ないと決定した場合、例えば、勝手に送りつけられる広告物である場合、ユーザは、それを捨てることができ、手動検査チームの側の無駄な努力を省く。反対に、疑わしいデータがユーザの仕事に関連する重要なメッセージの一部である場合、メッセージ全体が、手動の検査チームによる精査を待って遅れるのではなく、その代わり、そのデスクトップ・サンドボックスの制約された環境においてユーザが使えるようにされる。

本発明によって実装されるデスクトップ隔離領域７６は、その中でユーザが、制約されたサンドボックス・アプリケーション８２を用いて解読された形式で疑わしいデータを扱うかもしれないので、一種のサンドボックスである。サンドボックスは、例えばＪＡＶＡ（登録商標）またはオペレーティング・システム・コントロールなど、従来技術で著名である適切なツールを用いて構成されうる。暗号化メカニズムは、疑わしいデータが、ユーザのメイン・デスクトップ・アプリケーションにより、非暗号化形式で、サンドボックス７６の外部ではアクセスできないことを確証する。損害を起こそうとしている疑わしいデータは、サンドボックス７６によって阻害される。

事業的機能を実行するために、コンピュータ・ユーザは、例えば、アプリケーションによって供給されるカット・アンド・ペースト（cut-and-paste）設備を用いることによって、疑わしいデータから抽出物を作り、またそれをメイン・デスクトップ・アプリケーション７８によってアクセスできるようにするために、サンドボックス７６からそれを移動させる必要があるかもしれない：すると、各抽出物は無害であることを調べる必要がある。多くの場合、８４などの自動リリース・チェック・ソフトウェアが、たとえそれが全体として疑わしいデータに関してそのようにできないとしても、抽出物が無害であることを、自信を持って主張することができる。例えば、マクロを含むドキュメントの形式でのデータは、疑わしいと考えられるかもしれないが、ドキュメントは、チェッカー・ソフトウェアによって無害であると決定されるかもしれないテキストの段落など、抽出物を含むかもしれない。

多くの場合、サンドボックス７６は、手動の検査に対する必要性を回避する：しかしながら、疑わしいデータは時々、サンドボックス７６から取られ、そしてアプリケーション７８によるアクセスのために、ユーザのメイン・デスクトップ環境に転送される必要がある。これは、疑わしいためにリリース・チェック８４によって拒絶されるので、手動の検査に対する要求８６が提出される専門家９０による手動の検査を必要とするだろう。

ユーザは手動検査を要求しているので、事業上の必要性に従って、優先順位および費用を割り当てることができる。さらに、本発明は、例えば重要ではない、または“クリーンである”、あるいはそれに関してその編集されたバージョンが、ユーザの要求に応じて送信者から得ることができる素材の不必要なチェックを回避するので、検査の実行の頻度はずっと少なく、厳格に必要なときのみである。

本発明は、疑わしい内容に関して入ってくるデータを検査するための、トロイの木馬およびウイルス・ソフトウェアを検出するための標準技術を採用する。入ってくるデータのあらゆる部分、例えば電子メール・メッセージの添付ファイルが潜在的な攻撃であると考えられる場合、それは暗号化される。オリジナル・データは、暗号化された同等物と、その疑わしい部分とを置き換えることによって修正され、およびそのように修正されたデータは、正常なものとして進むことを許可される。１の疑わしい添付ファイルを伴う電子メール・メッセージは、暗号化されたバージョンで置き換えられた添付ファイルとともに進むことを許可されるが、メッセージ本体および別の添付ファイルは、読み取り可能なままである。

暗号化はデータを使用できないようにし、こうして暗号化された疑わしいデータは、安全にユーザのコンピュータ７２へ進むことを許可されることができる：それは、ユーザまたはそれらのメイン・デスクトップ・アプリケーションには利用できないが、前述のようにサンドボックス・インポート機能８０には利用できる、適切な解読キーによって解読されるまで、使用できないままである。

いくつかの疑わしいデータの暗号化された形式を受信すると、ユーザは、８０で示されたように使用できる形式に解読されるとすぐ、サンドボックス７６にそれを渡すことによって、それを見、または操作する。

暗号化されると、疑わしいデータは、サンドボックス７６で動作しているソフトウェア・アプリケーション８２によってアクセスされることができる。メイン・デスクトップおよびサンドボックスは、同じアプリケーションを動作させているかもしれないが、それらは互いに通信することができないこれらのアプリケーションの別個のインスタンスを作る。例えば、Ｍｉｃｒｏｓｏｆｔ^TM Ｗｏｒｄは、メイン・デスクトップ上と、サンドボックス内の両方でドキュメントを編集するために使用されうる：そうであれば、Ｗｏｒｄは２の別個のインスタンスにおいて動作し、すなわち、１はメイン・デスクトップおよび他方はサンドボックスに関するものであり、２のインスタンスは互いに直接通信することができない。

図４（前述されたものと同等の部分は、同様の参照番号である）は、メール・サーバ１０２をホストする内部あるいは企業ネットワーク７４および７２などの多くのユーザ・コンピュータ（ワークステーション）を示す。ネットワーク７４は、様々なネットワークにおけるコンピュータ上で動作するアプリケーション間の通信を制御するファイアウォールと称されるコンピュータ１０８によって、インターネット６０上の攻撃的なデータから守られる。Ｄ Ｂ ＣｈａｐｍａｎおよびＥ Ｄ Ｚｗｉｃｋｙ著の教科書“Ｂｕｉｌｄｉｎｇ Ｉｎｔｅｒｎｅｔ Ｆｉｒｅｗａｌｌｓ（インターネット・ファイアウォールを構築する）”は、ネットワーク間の、１０８などのコンピュータにおけるソフトウェア・アプリケーション・プロキシを相互に配置することを開示する。コンピュータ１０８は、プロキシ・ファイアウォールまたは砦（べスション）ホスト・ファイアウォール（bastion host firewall）と称される。リンクされたネットワーク６０および７４上のソフトウェア・アプリケーションは、コンピュータ１０８上のアプリケーション・プロキシを介して通信する。

コンピュータ・ファイアウォール１０８がより詳細に図５に示されている：それは、インターネット６０および企業ネットワーク７４との間のネットワーク・アクセスを仲介する砦ホスト１１０を、一般的に非武装ゾーンと呼ばれる、排他的にこの目的のみで用意されたセカンダリネットワーク１１４を介して砦ホスト１１０に接続されたチェッカー１１６とともに具備する。

砦ホスト１１０は、Ｎｅｔｗｏｒｋ Ａｓｓｏｃｉａｔｅｓ’ Ｇａｕｎｔｌｅｔなど、市販されているファイアウォール・ソフトウェアである。チェッカー１１６は、デスクトップ隔離領域のサーバ側のコンポーネント、すなわちチェッカー６４およびエンクリプター６８を含む、電子メール・プロキシをホストするコンピュータである。

図６に示された流れ図は、本発明の本実施態様におけるチェッカー１１６の動きを示しているが、電子メールのチェックは、市販されているＳｏｐｈｏｓ Ｓｗｅｅｐなど、標準ウイルス・チェッカー・ソフトウェアを用いて実行されうる。１４０において、電子メール・メッセージは、砦ホスト１１０（図示されていない）を介して、外部送信者から受信される。前記メッセージは、１４２において個別の部分（メッセージ本体および添付ファイル）に分解され、および第一のそのような部分が、ウイルス・チェッカー１１６による１４６におけるチェックのために１４４において選択される。前記部分が危険なコードを含むことが１４８で分かった場合、メッセージ全体がサーバ隔離領域１５０に置かれ、および前記メッセージの処理は１５２において放棄される。他に、前記部分が危険なコードを含むものとして１４８において識別されない場合、またそれが１５４において安全であると証明された場合、それは一時的に記憶される次のステージ１５６に送られる。

メッセージ部分が１５４において安全である（無害である）と証明されえなかった場合、それは１５８において暗号化される：その結果暗号化されたバージョンは、証明されなかったメッセージ部分を置き換え、および一時的記憶のために次のステージ１５６へと送られる。１またはそれ以上の部分がメッセージに残っている場合、次の部分が１６０において選択され、およびステップ１４６で始まるプロシージャは、その部分を繰り返す。これは、残っている部分がなくなるまで、またはメッセージ処理の放棄が１５２において起こるまで、どちらが先に生じても、連続的メッセージ部分に関して継続する。最後のメッセージ部分が処理されるまでにそのような放棄がない場合、部分的に暗号化された、および部分的に非暗号化された電子メール・メッセージが１５６において記憶装置に蓄積されたであろう。この記憶されたメッセージは、砦ホスト・ファイアウォール１１０を介して、企業メール・サーバ１０２へと、１６２において転送される。

ワークステーション７２は、前述されたものに同等な部分が同様の参照番号をふられている、図７に記載のように編成されている。各ワークステーション７２は、処理および記憶が分割され、かつ個別のユーザ・デスクトップ―ユーザがアプリケーション７８で信頼できるデータで稼動するメイン・デスクトップ２００、およびデスクトップ隔離領域におけるデータを扱うための８２などのソフトウェア・アプリケーションを伴うサンドボックス・デスクトップ７６と関連しているという特徴を有する。メインおよびサンドボックス・デスクトップ・アプリケーション７８および８２は、互いに隔離されている：すなわち、メイン・デスクトップ・アプリケーション７８は、サンドボックス・デスクトップ・アプリケーション８２によって処理されているデータへはアクセスできず、よってそのようなデータによって損害を受け得ない。

３の特殊なシステム処理に関するソフトウェアが、ワークステーション７２、解読処理８０、暗号化処理２０８、およびチェック処理２１０で動作する：これらは、ユーザに２のデスクトップ７６および２００の間でデータを移動させる能力を供給する。解読処理８０は、メイン・デスクトップ２００から暗号化されたデータを取り、それを解読し、およびそれをサンドボックス・デスクトップ７６に移動させる。暗号化処理２０８は、解読されたデータをサンドボックス７６から取り、それを暗号化し、およびそれをメイン・デスクトップ２００に移動させるという逆の動作を実行する。チェック処理２１０は、それを暗号化することなく、サンドボックス７６からメイン・デスクトップ２００へとデータを移動させ、そのように移動されたデータは、潜在的に損害を与えるコードを含んでいないことを確立して内容チェックを通過したという基準に従っている。

図４および５を再度参照すると、ファイアウォール１０８は、実行可能に見えるが明らかに攻撃ではない添付ファイルを伴うメッセージを受信するかもしれない：砦ホスト１１０はそれから前記メッセージをチェッカー１１６に送る。チェッカー１１６が、前記添付ファイルが疑わしいことを確認すると、チェッカー１１６は暗号化キーでそれを暗号化する。暗号化された添付ファイルを伴うその結果のメッセージは、砦ホスト１１０を通して、それから企業メール・サーバ１０２に戻される。

メッセージの受信ワークステーション７２は、メイン・デスクトップ２００上でメール・クライアント・ソフトウェア・アプリケーション２１２を動作させ、およびメール・サーバ１０２からメッセージを検索する。メール・クライアント２１２、またはメイン・デスクトップ２００上で動作しているあらゆる他のソフトウェア７８は、暗号化された添付ファイルにアクセスすることができる：このソフトウェアは、しかしながら、関連する暗号化キーへアクセスすることができないので、暗号化された添付ファイルを解読することができない。こうして、暗号化された添付ファイルに含まれる疑わしいデータは、アクセスすることができず、または実行することができない。

おそらくそれが添付されているメッセージを読むことによって、ユーザが、暗号化された添付ファイルには興味がないと判断すると、それは削除されうる。しかしながら、暗号化された添付ファイルにおけるデータにアクセスしたいユーザは、第一に、添付ファイルを解読するための解読プロセス２０６を使用しなければならず、およびそのデータをサンドボックス・デスクトップ７６に送らなければならない。一度サンドボックス・デスクトップ７６に入ると、データは、ソフトウェア・アプリケーション８２によってアクセスされ、または実行されることはできるが、サンドボックス制約は、アプリケーションのふるまいを制約するので、添付ファイルにおけるデータが攻撃であると分かった場合、あらゆるその後の損害が、サンドボックスの中に含まれ、アプリケーション７８ではなく、アプリケーション８２およびそれらのデータのみに影響を与える。

ユーザが、添付ファイルに含まれるデータの一部をメイン・デスクトップ２００に戻す必要がある場合、それは、チェック・プロセス２００を通過する。これは内容チェッカーをデータに課し、それが安全であると決定されうる場合にのみ通過を許可する。チェック・プロセス２１０を通過できないデータは、サンドボックス・デスクトップ７６からメイン・デスクトップ２００へ移動しない。

添付ファイルに含まれるデータが、必要ではあるが、チェック・プロセス２１０を通過できない場合、ユーザは、それを、暗号化プロセス２０８を通してメイン・デスクトップ２００に戻すかもしれない：これは、使用できなくなり、よって安全になるデータを暗号化する。暗号化されたデータは、手動の再検討のため、セキュリティ専門家の中央チームへ（例えば、電子メールによって）送られるかもしれない。

上述の実施例において、メッセージまたは添付ファイルは、危険なコードを含むことが分かった場合、サーバ隔離領域１５０に配置される。しかしながら、別の方法も可能である：例えば、疑わしい部分が、その部分の除去の通知によって置き換えられた後に、メッセージがその経路で送信されうる。他に、潜在的に危険であるとわかった部分は、そのようにしるしをつけられ、暗号化され、それから残りの暗号化されていない部分を伴ってその経路で送信されうる。ユーザのワークステーション７２での解読プロセス８０は、潜在的に危険なデータを解読しないが、セキュリティ専門家の中央チームのデスクトップ上の同等物は解読する。

本発明は、１１６などのチェッカー・ソフトウェアによって疑わしいことがわかったデータの取り扱いを向上させる。これは、多くの場合、ユーザが専門家を関与させずにすべての必要な行動を取るので、疑わしいデータを調べるための専門家の手動の介入に必要とされる努力を低減する：すなわち、ユーザは、ある場合には望ましくないデータを削除し、他の場合には、送信者からの反復メッセージを要求する。このユーザ・アクションは、専門家の検査に対する必要性を回避するので、それによって招かれる遅延を排除する。

本発明を実行するための適切なコンピュータ・ソフトウェアまたはコンピュータ・プログラムは、市販されているか（例えば、サンドボックス、ファイアウォール、またはチェッカー・ソフトウェア）、または本発明を必要とせず、通常のプログラマによって単順に実行されうる（例えば、インターフェースが必要とされる場合）。それは、キャリア媒体上に簡単に記録することができ、および上述の種類のコンピュータ・システム上で動作することができる。よって、そのようなソフトウェアおよびシステムはさらには説明されない。

図１は、従来技術のコンピュータ・システムの概略図である。 図２は、従来技術のコンピュータ・システムの概略図である。 図３は、本発明のコンピュータ保護の概略図である。 図４は、コンピュータ保護のためのファイアウォールの使用を示す。 図５は、コンピュータ保護のためのファイアウォールの使用を示す。 図６は、本発明に従ったコンピュータ保護プロシージャの流れ図である。 図７は、本発明に従った、ワークテーション上のメインならびにサンドボックス・デスクトップの使用を示す。

符号の説明

１２：外部ネットワーク
１６：自動検査
２４：内部ネットワーク

Claims (23)

1. 潜在的に有害なデータを受信し、かつサンドボックス・デスクトップを定義するためのサンドボックス・アプリケーション（７６）を含むコンピュータ・システム保護であって、それは潜在的に有害なデータを無害にするために暗号化するための手段（６４，６８，２０８）およびサンドボックス・アプリケーション（７６）によって制約されるアプリケーション（８２）による処理のために暗号化されたデータを解読するための手段（８０）も含むことを特徴とするコンピュータ・システム保護。
2. 前記サンドボックス・アプリケーション（７６）は、保護が適用されるコンピュータ・システム（７２）のメイン・デスクトップ（２００）と関連するアプリケーション（７８）と通信しないデスクトップ・アプリケーション（８２）を採用するように決められていることを特徴とする、請求項１に記載のコンピュータ・システム保護。
3. 専門家の検査に中継するために暗号化された形式で前記サンドボックス・アプリケーション（７６）から、ユーザにデータを検索させるための手段（２０８）を含むことを特徴とする、請求項１または２に記載のコンピュータ・システム保護。
4. 潜在的に有害な内容に関して前記サンドボックス・デスクトップ（７６）から放出された解読されたデータを調べるための手段（２１０）を含むことを特徴とする請求項１、２、または３に記載のコンピュータ・システム保護。
5. ファイアウォール（１０８）を介して外部ネットワーク（６０）にリンクされているコンピュータ（７２）に搭載されることを特徴とする、請求項１、２、または３に記載のコンピュータ・システム保護。
6. 潜在的に有害なデータを受信し、かつサンドボックス・デスクトップを定義するためのサンドボックス・アプリケーション（７６）を有する保護されたコンピュータ・システムであって、それは、それがリンクされる外部ネットワーク（６０）からチェッカー（１１６）を保護するファイアウォール（１０８）も含み、前記チェッカー（１１６）は、潜在的に有害なデータを無害にするために暗号化するための手段（６４，６８）を含み、および前記システム（７２）は、サンドボックス・アプリケーション（７６）による処理のための暗号化されたデータを解読するための手段（８０）を有することを特徴とする、保護されたコンピュータ・システム。
7. ユーザが、サンドボックス・アプリケーション（７６）の代わりに、前記システム（７２）のメイン・デスクトップ（２００）と関連するアプリケーション（７８）を用いて処理をしたいかもしれない潜在的に有害なデータを暗号化するためのソフトウェア（２０８）を含むことを特徴とする、請求項６に記載の保護されたコンピュータ・システム。
8. 前記サンドボックス・アプリケーション（７６）は、保護が適用されるコンピュータ・システム（７２）のメイン・デスクトップ（２００）と関連するアプリケーション（７８）と通信しないデスクトップ・アプリケーション（８２）を採用するように決められていることを特徴とする、請求項６に記載の保護されたコンピュータ・システム。
9. それは、専門家の検査に中継するために暗号化された形式で前記サンドボックス・アプリケーション（７６）から、ユーザにデータを検索させるためのソフトウェア（２０８）を含むことを特徴とする、請求項８に記載の保護されたコンピュータ・システム。
10. それは、潜在的に有害な内容に関して前記サンドボックス・デスクトップ（７６）から放出された解読されたデータを調べるためのソフトウェア（２１０）を含むことを特徴とする、請求項６、７、８、または９に記載の保護されたコンピュータ・システム。
11. それは、ファイアウォール（１０８）を介して外部ネットワーク（６０）にリンクされることを特徴とする、請求項６、７、８、または９に記載の保護されたコンピュータ・システム。
12. 有害なデータに対してコンピュータ・システムを保護するための方法であって、前記システム（７２）は、潜在的に有害なデータを受信し、かつサンドボックス・デスクトップを定義するためのサンドボックス・アプリケーション（７６）を含み：
    ａ）潜在的に有害なデータを無害にするために暗号化するステップと、および
    ｂ）前記サンドボックス・アプリケーション（７６）によって制約されるアプリケーション（８２）による処理のため暗号化されたデータを解読するステップと
    を含むことを特徴とする方法。
13. 前記サンドボックスは、前記方法によって保護されるコンピュータ・システム（７２）のメイン・デスクトップ（２００）と関連するアプリケーション（７８）と通信しないデスクトップ・アプリケーション（８２）を含むことを特徴とする、請求項１２に記載のコンピュータ・システムを保護する方法。
14. それは、専門家の検査に中継するために暗号化された形式で前記サンドボックス・アプリケーション（７６）からデータを検索するステップを含むことを特徴とする、請求項１２または１３に記載のコンピュータ・システムを保護する方法。
15. それは、潜在的に有害な内容に関して前記サンドボックス・デスクトップ（７６）から放出された解読されたデータを調べることを含むことを特徴とする、請求項１２、１３、または１４に記載のコンピュータ・システムを保護する方法。
16. 前記コンピュータ・システム（７２）は、ファイアウォール（１０８）を介して外部ネットワーク（６０）にリンクされることを特徴とする請求項１２、１３、または１４に記載のコンピュータ・システムを保護する方法。
17. 潜在的に有害なデータを受信し、かつサンドボックス・デスクトップを定義するためのサンドボックス・アプリケーション（７６）を有するコンピュータ・システムを保護する方法であって：
    ａ）前記システム（７２）がリンクされる外部ネットワーク（６０）からチェッカー（１１６）を保護するためにファイアウォール（１０８）を使用し、
    ｂ）潜在的に有害なデータを無害にするために暗号化するため、前記チェッカー（１１６）を使用し、および
    ｃ）前記サンドボックス・アプリケーション（７６）による処理のために暗号化されたデータを解読すること
    を含むことを特徴とする方法。
18. 有害なデータに対してコンピュータ・システムを保護するコンピュータ・ソフトウェアであって、前記システム（７２）は潜在的に有害なデータを受信し、かつサンドボックス・デスクトップを定義するためのサンドボックス・アプリケーション（７６）を含み、前記コンピュータ・ソフトウェアは：
    ａ）潜在的に有害なデータを無害にするために暗号化し、および
    ｂ）前記サンドボックス・アプリケーション（７６）によって制約される一方で処理のために暗号化されたデータを解読する
    ように決められていることを特徴とするコンピュータ・ソフトウェア。
19. それは、前記サンドボックス内に、それが保護するコンピュータ・システム（７２）のメイン・デスクトップ（２００）と関連するアプリケーション（７８）と通信しないように決められたデスクトップ・アプリケーション（８２）を含むことを特徴とする、請求項１８に記載のコンピュータ・ソフトウェア。
20. それは、専門家の検査に中継するために暗号化された形式で前記サンドボックス・アプリケーション（７６）からデータを検索するように決められていることを特徴とする、請求項１８に記載のコンピュータ・ソフトウェア。
21. それは、潜在的に有害な内容に関して前記サンドボックス・デスクトップ（７６）から放出された解読されたデータを調べるように決められていることを特徴とする、請求項１８に記載のコンピュータ・ソフトウェア。
22. 前記コンピュータ・システム（７２）は、ファイアウォール（１０８）を介して外部ネットワーク（６０）にリンクされることを特徴とする、請求項１８に記載のコンピュータ・ソフトウェア。
23. 潜在的に有害なデータを受信し、かつサンドボックス・デスクトップを定義するためのサンドボックス・アプリケーション（７６）を有するコンピュータ・システムを保護するためのコンピュータ・ソフトウェアであって：
    ａ）前記システム（７２）がリンクされる外部ネットワーク（６０）からチェッカー（１１６）を保護するファイアウォール（１０８）を実行し、
    ｂ）潜在的に有害なデータを無害にするために暗号化するため、前記チェッカー（１１６）によって暗号化を実行し、および
    ｃ）前記サンドボックス・アプリケーション（７６）による処理のために暗号化されたデータを解読する
    ように決められていることを特徴とするコンピュータ・ソフトウェア。

Images