JP2008167460A - 航空機搭載型のセキュリティ管理プログラム - Google Patents

Abstract

【課題】モバイルネットワークプラットフォームにおいてセキュリティ活動を監視するために、航空機搭載型のセキュリティ管理システムを提供する。
【解決手段】航空機搭載型のセキュリティ管理システムは、地上ベースのネットワークセキュリティ管理システムへの通信リンクを介して相互接続されるモバイルネットワークと、その起因がモバイルネットワークに関連するセキュリティ侵害事象を検出する侵害検出システムと、侵害検出システムからセキュリティ侵害事象を受信するモバイルセキュリティ管理プログラムとを含む。モバイルセキュリティ管理プログラムは、ネットワークセキュリティ管理システムにセキュリティ侵害事象を示すメッセージを送信し、ネットワークセキュリティ管理システムから受信したセキュリティの指令に応答して、セキュリティ応答の活動を実行する。
【選択図】図１

Description

この出願は、２００１年８月３日に出願され、「航空機搭載型のセキュリティ管理プログラム（An Airborne Security Manager)」と題された、米国仮出願第６０／３０９，８
６２号に対する３５Ｕ．Ｓ．Ｃ．§１１９（ｅ）の下に優先権を主張し、その明細書および図面は、この明細書において、引用によって明らかに援用される。

技術分野
この発明は、一般に、モバイルネットワークプラットフォームにおけるセキュリティ活動を監視するための航空機搭載型のセキュリティ管理システムに関し、より特定的に、モバイルネットワークプラットフォームが地上ベースのネットワークセキュリティ管理システムと通信しているとき、または通信していないときに、検出されたセキュリティ侵害事象に応答するための自律型かつ航空機搭載型のセキュリティ管理プログラムに関する。

発明の背景
我々の社会および経済は、広帯域のデータサービスおよび映像サービスに依存してきたが、これまで一般に、航空機、船舶、列車、自動車等のモバイルネットワークプラットフォーム上のユーザは、これらを容易に利用することができなかった。ほとんどの形態のモバイルネットワークプラットフォームに対して、このようなサービスを配信するための技術が存在しているものの、過去の解決策は、一般に、かなり費用がかかるうえに、データ転送速度も遅く、および／または、政府／軍事のユーザおよび最上層の海運業界の一部（すなわち巡航船）といった極めて限定された業界にのみ、利用が可能であった。

これまでに開発され、モバイルネットワークプラットフォームにデータサービスおよび映像サービスを提供することを試みてきたシステムは、これらのサービスを提供してきたものの、その成功には限りがあった。１つの大きな障害が、このような広帯域のデータサービスおよび映像サービスへのアクセスの高コストであった。別の問題は、以前に開発されたシステムの能力に限界があることであり、これは、プログラミングの異なるチャネルまたは異なるデータサービスを各々が同時に要求し得る、何十人または何百人もの乗客を運ぶモバイルネットワークプラットフォームにとっては不十分である。さらに、現存するシステムは、一般に、移動中の人々の要望に応えることに対して容易に拡張可能にはならない。

特に興味深いことに、現存するシステムは、モバイルネットワークプラットフォームに関連するセキュリティ問題にも包括的に対処してこなかった。したがって、モバイルネットワークプラットフォームには、機内でのセキュリティ活動を監視して報告し、それに応答するためのネットワークセキュリティアーキテクチャを設けることが望ましい。このようなネットワークセキュリティアーキテクチャは、（ａ）乗客がモバイルプラットフォーム上においてアクセスを有し得るコンピューティングリソースを確保し、（ｂ）信頼性のない通信リンクを介して、地上ベースのシステム構成要素と信頼可能な態様で通信し、（ｃ）モバイルプラットフォーム上で生じる、検出されたセキュリティ侵害事象に対して、ポリシーによって仲介される応答を与え、（ｄ）数百または数千のモバイルプラットフォームに対してシステム管理を基準化するように設計すべきであることが想定される。

発明の概要
この発明に従い、航空機搭載型のセキュリティ管理システムが、モバイルネットワークプラットフォームにおけるセキュリティ活動を監視するために提供される。このセキュリティ管理システムは、地上ベースのネットワークセキュリティ管理システムへの信頼性のない通信リンクを介して相互接続されるモバイルネットワークと、モバイルネットワークに接続され、さらに、その起因がモバイルネットワークに関連するセキュリティ侵害事象を検出するように作動することができる侵害検出システムと、侵害検出システムからセキュリティ侵害事象を受信するように適合されるモバイルセキュリティ管理プログラムとを含む。モバイルセキュリティ管理プログラムは、セキュリティ侵害事象を示すメッセージをネットワークセキュリティ管理システムに送信し、さらに、ネットワークセキュリティ管理システムから受信したセキュリティの指令に応答してセキュリティ応答の活動を実行するように動作することができる。モバイルセキュリティ管理プログラムは、モバイルネットワークプラットフォームがネットワークセキュリティ管理システムに接続されていないときに、モバイルネットワークプラットフォーム上にセキュリティ応答の活動を指令するようにさらに作動することができる。

この発明のさまざまな利点は、以下の明細書および前掲の請求項を読んで、以下の図面を参照することにより、当業者に明らかになるであろう。

好ましい実施例の詳細な説明
図１は、無人のモバイルネットワークプラットフォーム１２においてセキュリティ活動を監視するためのネットワークセキュリティアーキテクチャ１０を示す。ネットワークセキュリティアーキテクチャ１０の主な目的は、モバイルネットワークプラットフォーム１２に関連するセキュリティ関連の事象を監視して記録して報告し、それに応答することである。好ましい実施例において、ネットワークセキュリティアーキテクチャ１０は、航空機に存在するモバイルネットワークプラットフォームを支援する。モバイルネットワークプラットフォーム１２は、次いで、１つ以上の信頼性のない無線通信リンク１４を介して、地上ベースのネットワークセキュリティ管理システム１８を含む地上ベースの通信システム１６に、相互接続される。航空機搭載型の適用例を参照して以下の説明を行なうが、このネットワークセキュリティアーキテクチャの広い局面を、旅客バス、巡航船等に存在し得るモバイルネットワークプラットフォームにも適用できることが容易に理解される。

モバイルネットワークプラットフォーム１２は、航空機の乗客に対して、一組の広帯域かつ双方向のデータ通信サービスおよび映像通信サービスを提供することが想定される。このインフラストラクチャにより、十分に速いデータ転送速度で、航空機に対し、および航空機から情報を転送して、さまざまなサービスを支援することができる。このことを行なうために、モバイルネットワークプラットフォーム１２は、主に４つのサブシステム、すなわち、アンテナサブシステム２２、送受信サブシステム（ＲＴＳ）２４、制御サブシステム２６、および客室配信サブシステム２８を含む。以下に、これらの４つのサブシステムの各々についてさらに説明する。

アンテナサブシステム２２は、航空機に対し、双方向かつ広帯域のデータの接続性と、直接放送テレビジョン受信能力とを与える。アンテナサブシステム２２は、一般に、航空機の飛行状態（制限された、横揺れおよび縦揺れの角度）の間に、この接続性を与えるように設計されるが、この発明はそれに限定されない。航空機との接続性は、最も一般的に、Ｋバンド固定衛星サービス（Fixed Satellite Service）（ＦＳＳ）衛星、放送衛星サ
ービス（Broadcast Satellite Service）（ＢＳＳ）衛星、および／または直接放送テレ
ビジョンサービス（ＤＢＳ）衛星を介して得られる。

例示のため、追加説明は、Ｋｕバンド衛星放送信号に関連する処理に対して行なわれる。アンテナサブシステム２２は、Ｋｕバンド衛星放送信号を受信および／または送信することができる。アンテナシステム２２は、入来するＫｕバンド信号をダウンコンバートして増幅し、Ｌバンド信号をＲＴＳ２４に出力する。アンテナシステムは、また、広帯域ダウンリンク能力を与えることもできる。この場合、アンテナシステム２２は、航空機搭載型モデムからＬバンドデータ信号を受信して、この信号をアップコンバートして増幅し、次に、選択された衛星の応答器にＫｕバンド信号として放送する。

送受信サブシステム（ＲＴＳ）２４は、送受信モードで作動する。受信モードにおいて、ＲＴＳ２４は、Ｌバンド搬送波に埋込まれた、再放送された映像信号、再放送された音声信号および／またはＩＰデータを受信することができる。ＲＴＳ２４は、次いで、受信した信号を、復調して逆拡散し、復号化して、客室配信サブシステム２８に経路指定する。送信モードにおいて、ＲＴＳ２４は、Ｌバンド信号に変調されたＩＰデータを送信する。ＲＴＳ２４は、客室配信サブシステム２８から受信した信号、ＩＰデータを符号化して拡散し、変調する。

制御サブシステム２６は、モバイルセキュリティプラットフォーム１２と、その４つのサブシステムの各々との動作を制御する。特に興味深いことに、制御サブシステム２６は、１つ以上の侵害検出サブシステム３２と航空機搭載型の管理プログラム３４とを含む。侵害検出サブシステム３２は、モバイルネットワークプラットフォーム上で生じ得るか、またはモバイルネットワークプラットフォームに関連して生じ得るセキュリティ侵害事象を検出するように作動することができる。そのために、侵害検出サブシステム３２は、それが計算されるコンピューティング装置に入来するデータパケットのすべてを調査し、セキュリティ侵害活動を検出すると、航空機搭載型のセキュリティ管理プログラム３４にセキュリティ侵害事象を送信する。当業者には明らかなように、侵害検出サブシステム３２は、市販の多くのソフトウェア製品の１つを用いて実現することができる。

航空機搭載型のセキュリティ管理プログラム３４は、航空機に対してセキュリティポリシーを実行する責任を負う。航空機との通信が散発的であることが考えられるため、航空機搭載型のセキュリティ管理プログラム３４は、セキュリティ侵害事象に応答しているときに自律して作動する能力を提供しなければならない。セキュリティ侵害事象が検出されると、航空機搭載型のセキュリティ管理プログラム３４は、カスタマイズが可能なセキュリティポリシーに従って、適切に応答する。したがって、航空機搭載型のセキュリティ管理プログラム３４は、任意の侵害検出サブシステムからセキュリティ侵害事象を受信するように適合されて、セキュリティ応答を実行するように作動することができる。例示的な応答には、航空機の一人以上の乗客に警告すること、地上ベースのセキュリティ管理者に警告すること、および／または、乗客のネットワークアクセスの接続を切断することが含まれ得る。

客室配信サブシステム（ＣＤＳ）２８は、航空機の乗客に対し、複数のユーザアクセスポイントを介してネットワーク接続を設ける。好ましい実施例において、客室配信システムは、一連の８０２．３イーサネット（Ｒ）スイッチまたは８０２．１１Ｘ無線アクセスポイントのいずれかを含み得る。現在の８０２．１１Ｂ規格が、無線アクセスポイントの全ユーザ間の共有秘密しか考慮しないため、乗客の客室において、所望のレベルの通信のプライバシーを提供するのには適さないことに注意されたい。それとは対照的に、８０２．１１Ｘ（ここで「Ｘ」は、「Ｂ」を超える、８０２．１１の改訂版を示す）等の次世代の無線規格は、「チャネル化」、すなわち、個々のユーザレベルの暗号化を支援する。このような無線規格は、この発明の範囲内にあるものと想定される。

各ユーザアクセスポイントは、好ましくは、管理されたレイヤ３スイッチの特性を有す
る。第１に、各ユーザアクセスポイントは、ＩＰアドレスおよびＭＡＣアドレスと、特定のポートとの関連付けを実施しなければならない。この要件は、有線および無線の客室環境のいずれにも適用可能である。各ユーザアクセスポイントに対する第２の要件は、そのアクセスポートを遮断する指令を受取ることである。無線のアクセス装置の場合、特定の周波数、時分割またはサブフレームを含む通信チャネルが、物理的なアクセスポートにとって代わる。ユーザアクセスポイントの各々に対する第３の要件は、乗客に直接アドレス指定されていないイーサネット（Ｒ）のパケットを、乗客が盗聴または受信することを防ぐことである。有線の客室配信システムにおいて、このことは、切替イーサネット（Ｒ）アーキテクチャを用いることによって達成することができる。無線の客室配信システムにおいて、このことは、特定のユーザに固有の「チャネルレベルの暗号化」を用いることによって達成することができる。

セキュリティポリシーの機構の設計は、ネットワークセキュリティアーキテクチャ１０の最も基本的な要素である。この発明に従い、セキュリティポリシーが、以下の設計の制約内で設計されることが想定される。第１に、セキュリティポリシーの機構は、異なるセキュリティ侵害事象を異なる応答にマッピングしなければならない。応答の重大性が、検出された活動の危険性に基づくことを認識されたい。第２に、航空機から地上への通信が利用可能であるかどうかに関係なく、自動化された応答ポリシーが、常時（オーバーライド条件に従って）実行されなければならない。自動化された応答が、接続の期間中に割込禁止にされた場合、その接続は、セキュリティの管理者が措置をとる機会を得る前に途切れることが考えられる。その場合、システムは、実際にオーバーライドの前に自動化されたポリシーに戻る。管理者が望めば、その応答を撤回することができる。第３に、ポリシーの機構は、航空機搭載型のセキュリティ管理プログラムからの自動化された応答と、地上ベースのセキュリティ管理者から受信した手動の指令との仲介をしなければならない。自動化されたシステムが、乗客のネットワークアクセスを誤って遮断して、地上の管理者がその措置をオーバーライドした場合、セキュリティポリシーの機構は、その措置を認識して遮断を実施しないようにする必要がある。

ステートマシンは、複雑な動作をモデル化するのにフレキシブルな、しかも、直観に訴える機構である。したがって、この発明のセキュリティポリシーを表すためにステートマシンが選択された。図２ａおよび図２ｂは、基本的なＵＭＬステートマシンを示し、このＵＭＬステートマシンは、モバイルネットワークプラットフォームのユーザアクセスポイントに関連するセキュリティポリシーをモデル化する。

図２ａにおいて、各ユーザアクセスポイントは、規定された３つの状態のうちの１つとなり得る。デフォルトにより、ユーザアクセスポイントのすべては正常な状態４２で始まる。任意の種類のセキュリティ侵害事象は、適用可能なユーザアクセスポイントに対し、疑わしい状態４４または接続の断たれた状態４６のいずれかへの遷移を生じる。各遷移は、「事象／応答」の形をとり、ここで、事象は、状態の遷移を生じる外部トリガであり、応答は、遷移を生じる際に、このシステムが開始する外部の措置である。たとえば、正常な状態で生じる低い優先順位または中間の優先順位の事象４８により、システムはその事象のログをとり、および／またはそのユーザアクセスポイントに接続された乗客に警告を与えようとする。次に、ユーザアクセスポイントは、図２ａに示されるように、疑わしい状態へと遷移する。

ステートマシンのモデルは、手動制御を組込むように改良することができる。特定の手動制御の指令により、地上ベースのセキュリティ管理者は、地上から、ユーザアクセスポイントを明示的に割込禁止にするか、または可能にすることができる。ユーザアクセスポイントが手動制御下にあることを示す状態を加えることにより、自動化された応答が、セキュリティ管理者から受信した手動制御の指令をオーバーライドしないようにする。した
がって、各ステートマシンは、図２ｂに示されるように、自動応答の割込禁止状態５０を設け得ることが想定される。自動応答の割込禁止状態への遷移および自動応答の割込禁止状態からの遷移は、地上ベースのセキュリティ管理者によって指令される。自動応答の割込禁止状態の間、管理者は、予め規定されたさまざまなセキュリティ応答のうちの任意の１つを開始することができる。管理者と航空機との間で接続性が失われた場合、ステートマシンのモデルは、構成設定に依存して、正常な状態または以前の状態に戻る。

ステートマシンのモデルは、モバイルセキュリティプラットフォームに存在するホストサーバまたは他の種類のコンピューティング装置の各々を表わすためにも用いられる。このようにして、攻撃されているサーバは、ユーザアクセスポイントとは異なった態様で応答することができる。また、各ステートマシンは、合成事象の生成を介してともに結合されて、サーバが攻撃されているときに、ユーザアクセスポイントが、疑わしい動作に許容度の低い、異なるセキュリティポリシーを用い得るようにすることが想定される。

各ステートマシンは、図３に示されるように、データ構造５１によって示すことができる。このデータ構造は、現在の状態５２と、生じ得るセキュリティ事象５４と、結果として生じる状態５６と、生じ得る応答５８とを含む。このようにして、生じ得る事象と各状態を相互参照して、結果として生じる状態と、生じ得る措置のリストとを生成することができる。生じ得る事象は、高い優先順位を有するセキュリティ侵害事象と、中間の優先順位を有するセキュリティ侵害事象と、低い優先順位を有するセキュリティ侵害事象と、リセット事象と、タイマ満了事象と、通信リンクアップ事象と、通信リンクダウン事象と、セキュリティ管理者からの手動制御の指令を支援するための、１つ以上の特化した事象とを含み得る（しかし、これらに限定されない）。生じ得る応答は、タイマの設定と、フィルタの設置と、フィルタの再設定と、制御パネルの変更と、地上ベースのセキュリティ管理者への警告と、ユーザアクセスポイントの接続解除と、乗客への警告の発行と、予め規定された１つ以上の顧客応答とを含み得る（しかし、これらに限定されない）。当業者は、これらの説明から、この発明に従ってどのようにセキュリティポリシーの機構を実現すべきかを容易に認識するであろう。

図４を参照すると、ネットワークセキュリティアーキテクチャ１０の全体は、主に５つの構成要素へと論理的に分解することができる。主要な５つの構成要素は、航空機搭載型のポリシーの実行６２と、空地通信６４と、地上制御およびデータ記憶６６と、地上での監視および手動制御６８と、地上でのポリシーの編集および割当て７０とである。これらの論理的な構成要素の各々もまた、図４に示されるように、ネットワークセキュリティアーキテクチャ１０内の、それらの物理的な位置にマッピングされる。

航空機搭載型のポリシーの実行の構成要素６２は、航空機搭載型のセキュリティ管理プログラム３４によって与えられる。航空機搭載型のセキュリティ管理プログラムの主な責任には、侵害検出センサの管理および監視、他の航空機の事象ソースの監視、適用可能なセキュリティポリシーに従った、セキュリティ事象への応答、航空機搭載型の侵害検出センサの監視、ユーザアクセスポイントにおける静的なネットワークトラフィックフィルタの構成、地上ベースのネットワークセキュリティ管理システムからの、任意の手動オーバーライドの指令の実行、地上ベースのネットワークセキュリティ管理システムから受信した新規のセキュリティポリシーのインストール、および地上ベースのネットワークセキュリティ管理システムに対する、問題の事象および状態の報告が含まれる（しかし、これらに限定されない）。当業者には明らかなように、航空機搭載型のセキュリティ管理プログラム３４は、各航空機の１つ以上のサーバに存在する１つ以上のソフトウェアアプリケーションを含む。冗長な航空機搭載型のセキュリティ管理プログラムの構成は、ハードウェアまたはソフトウェアの故障時における障害迂回に備える。

図５を参照すると、航空機搭載型のセキュリティ管理プログラム３４は、５つの機能上のモジュール、すなわち、事象応答のモジュール７２、機上状態のモジュール７４、ポリシー管理プログラム７６、持続的な記憶管理プログラム７８、および通信管理プログラム８０をさらに含む。事象応答のモジュール７２は、事象を受信して、活性状態のセキュリティポリシーを解読し、各事象に応答して適切な措置をトリガする責任を負う。このモジュールが、侵害検出サブシステムから受信したセキュリティ侵害事象以外の事象を扱うように適合されていることを認識されたい。

機上状態のモジュール７４とともに、事象応答のモジュールは、活性状態のセキュリティポリシーを表すステートマシンを解読して実行する。たとえば、セキュリティ侵害事象が到着すると、事象応答のモジュールは、この事象が個々の乗客の接続、個々のホストサーバ、または全体として航空機搭載型のセキュリティ管理プログラムのいずれに関連しているかを判断する。このモジュールは、次に、機上状態のモジュール７４から、上述の乗客の接続、ホストサーバ、または航空機搭載型のセキュリティ管理プログラムの現在の状態を取出し、活性状態のセキュリティポリシーに従って、その状態および事象に関連する措置を取る。例示的な措置には、新規の事象の発行、状態の遷移の実施、ネットワークフィルタの変更、乗客の接続を割込禁止にすること、および／または地上ベースのネットワークセキュリティ管理システムに送信するためのメッセージを待ち行列に入れることが含まれ得る。

機上状態のモジュール７４は、ステートマシンの事象応答を方向付けるために、個々の乗客の接続、各ホストサーバ、および全体として航空機搭載型のセキュリティ管理プログラムの現在の状態を維持する。また、機上状態のモジュール７４は、他の機上のモジュールから状態情報を収集するだけでなく、侵害検出センサの状態（署名ファイル、作動中／非活動中の状態、センサの構成等）も追跡する。

ポリシー管理プログラム７６は、セキュリティポリシーのロードおよび活性化に関し、地上ベースのネットワークセキュリティシステムからの指令に応える責任を負う。また、ポリシー管理プログラムは、状態の報告および事象の報告の頻度を決定する一般的な通信パラメータ等を含む、航空機搭載型のセキュリティ管理プログラムに関連する構成情報のためのリポジトリとしても働く。

持続的な記憶管理プログラム７８は、機上のネットワークセキュリティアーキテクチャに対するデータ記憶要件の全体を管理する。持続的な記憶装置に存在するデータは、一般に３つのカテゴリ、すなわち、（１）通信待ち行列（すなわち、地上ベースのセキュリティ管理システムに送信されるべきメッセージ）、（２）機上状態（すなわち、乗客１人当たりの接続、ホスト１つ当たり、およびシステムワイドデータの要件）、および（３）セキュリティポリシー、の１つに該当する。持続的な記憶管理プログラムは、データ記憶のために、さまざまな周知の、軽量の機構に依存することができる。

図４を参照すると、地上制御およびデータ記憶（Ｃ＆ＤＳ）の構成要素６６は、地上ベースのネットワークセキュリティ管理システム１６によって与えられる。この制御およびデータ記憶制御の機能には、事象データのすべてを持続的な記憶装置に格納すること、各航空機用の、所望された最新の構成を追跡すること、多重ウィンドウを有する複数のセキュリティ管理コンソールを支援すること、開いたコンソールのウィンドウに対し、ウィンドウの内容に影響を及ぼす任意のデータ変更を通知すること、セキュリティポリシーにおいて手動のオーバーライドを行なうためのインターフェイスを設けること、記憶されたデータを見直すために報告インターフェイスを提供すること、および、記憶された全データに対するアクセスを制御することが含まれる（しかし、これらに限定されない）。この構成要素は、ネットワークセキュリティ管理システム１６を構成する、１つ以上の地上のサ
ーバに存在するジャバ（Ｒ）ベースのアプリケーションを用いて実現することができる。

地上制御およびデータ記憶の構成要素６６のより詳細な説明を、図６を参照して行なう。この地上の構成要素は、セキュリティアーキテクチャに関連する各航空機に対して１つの航空機のオブジェクト９０を維持する。航空機のオブジェクト９０は、所定の航空機に存在する航空機搭載型のセキュリティ管理プログラム３４の、最近報告された、所望の状態を追跡するだけでなく、所定の航空機に対するすべての状態情報を維持する。航空機のオブジェクト９０は、その状態が動的メモリに維持されて、必要であれば事象の履歴から再構築することが可能であるような、動的なオブジェクトである。航空機搭載型のセキュリティ管理プログラム３４の状態を変化させ得る任意の活動は、航空機のオブジェクトのメソッドを呼出すことによって実行される。各メソッドは、事象を表わし、適切な事象ログに記録される。加えて、これらのメソッドは、すべてが同期されて、任意の所定の時間に１つのスレッドのみが状態の変更を行なうことができるようにする。デッドロックの可能性を解消するために、これらの事象の動作はいずれも通信を遮断せず、または、他の航空機に対して事象を発行しない。

航空機のオブジェクト９０は、通信サブシステム１００を用いて、航空機搭載型のセキュリティ管理プログラム３４と情報を交換する。航空機のオブジェクト９０は、事象および状態の報告を受信するだけでなく、指令を発行して状態の報告を要求する。適切な事象または状態の報告が受信されるまで、どのような指令も待機中と見なされる。このことは、指令がまだ実行されていないことを意味せず、指令が実行されていないか、または、実行されたものの、肯定応答している状態の報告が、単にまだ受信されていない場合があることを意味する。航空機の機上で何が実際に行なわれているかについての知識にこのような隔たりがあるために、航空機のオブジェクト９０は、最新の状態と所望の状態との区別を注意深く行なわなければならない。

航空機のオブジェクト９０は、当該技術で周知のモデル−ビュー−コントローラ（Model-View-Controller）のアーキテクチャのコントローラである。この例において、モデル
は、データベースに記憶されたデータであり、ビューは、航空機に関する情報を表示するために用いられているさまざまなユーザインターフェイスである。航空機のオブジェクトは、モデルが変化するときはいつでも、ビューのすべてを更新する責任を負う。このことを実行するために、モデルに対する変更はすべて、航空機のオブジェクトによって実行されなければならず、航空機のオブジェクトは、その変更によって影響を受けるおそれのあるユーザインターフェイスを追跡しなければならない。

また、航空機のオブジェクト９０は、ホストのオブジェクト９２および乗客の接続のオブジェクト９４の集合も維持する。ホストのオブジェクト９２は、航空機搭載型のセキュリティ管理プログラム３４が責任を負う機上のホストサーバの各々の状態を表わすために用いられる。乗客の接続のオブジェクト９４は、機上のネットワークに対する個々の乗客の接続を表す。

地上制御およびデータ記憶の構成要素６６は、１つの航空機のコンテナオブジェクト９６も含む。このオブジェクトは、ハッシュテーブル等の収集クラスとして実現され得ることが想定される。この手法の下で、航空機のオブジェクトは、システム内の各航空機に対する航空機のコンテナ９６によって生成される。航空機のコンテナ９６を介して、入来する通信を経路指定することにより、通信サブシステム１００は、適切な航空機のオブジェクトに対し、入来するメッセージを配信することができる。加えて、コンテナの概念は、航空機のオブジェクトが生成される態様を容易にするためにも用いることができる。たとえば、航空機のオブジェクトは、必要とされるときにのみ生成することができる。入来するメッセージが受信されると、航空機のコンテナ９６は、適用可能な航空機のオブジェク
トの位置を突き止める。航空機のオブジェクトがメモリ内に存在しない場合、航空機のコンテナがそのオブジェクトを生成することができる。同様に、もはや積極的に監視されていない航空機のオブジェクトは、それらが再び必要とされるまで、削除することができる。

地上制御およびデータ記憶の構成要素６６は、中央データベース９８内の各航空機に対する事象の履歴も維持する。データベース９８は、システム内の航空機によって報告された全事象の記録を維持する。加えて、データベース９８は、地上ベースのセキュリティ管理者によって実行されたすべての指令の記録を維持する。前者が各航空機の最新の状態を表わす一方で、後者は各航空機の所望の状態を表わす。「最新の」という用語を選択することにより、地上では反映されなかったことが考えられる、航空機の機上で生じる事象間の時間の遅延を反映する。

セキュリティポリシーのファイルは、データベース９８内にも記憶される。構成の選択肢として、古いポリシーの履歴を維持するために、このポリシーテーブルは追加専用であり得る。主なポリシーテーブルは、より小さな一連のポリシーの要素に対するバージョン数および名前のマッピングを維持する。通信サブシステム１００は、データベース９８のインターフェイスとなって、セキュリティポリシーのファイルを検索し、航空機の機上のポリシーファイルを更新する。

ポリシー管理プログラム９９は、ポリシーファイルに対する任意の変更に対して責任を負う。ポリシーが、１つの航空機に関連しない唯一のものであるため、このオブジェクトは必要である。ポリシー管理プログラム９９は、ポリシーファイルに対する任意の変更が適切にバージョン化されるようにする。また、ポリシー管理プログラム９９は、１つ以上の航空機に更新されたポリシーを配信する責任も負う。

図４に戻って、地上での監視および手動制御の構成要素６８と、地上でのポリシーの編集および割当ての構成要素７０ともまた、地上ベースのネットワークセキュリティ管理システム１２に存在する。監視および手動制御の構成要素の機能には、一群の航空機の状態および活動を監視して、閉塞検査のために個々の航空機を選択すること、１つの航空機の状態および活動を監視して、閉塞検査のために個々のサーバまたは乗客の接続を選択すること、１つの空中のサーバの状態および活動を監視すること、１つの空中のサーバを手動で制御すること、１つの空中の乗客の接続の状態および活動を監視すること、および、１つの空中の乗客の接続を手動で制御することが含まれる（しかし、これらに限定されない）。この構成要素は、１つ以上の地上サーバ上で稼動する、ジャバ（Ｒ）ベースのユーザインターフェイスを用いて実現することができる。

監視および手動制御の機能を支援するために、ユーザインターフェイスは、人間のネットワークセキュリティ管理者によって監視され得る多数のウィンドウを含む。たとえば、航空機のブラウザにより、図７に示されるように、多数の群の航空機の操縦を可能にし、集合させた／集約された情報の表示を可能にする。しかしながら、このウィンドウは、通信リンクの状態を示さない。このような状態情報を表示するために、ユーザは、航空機のブラウザから特定の航空機を選択し、それによって航空機の状態ウィンドウに移動することができる。例示的な航空機の状態ウィンドウが、図８に示される。航空機の状態ウィンドウにより、ユーザは、１つの樹木構造のビュー１０２において特定の航空機に関連する全データを見ることができる。加えて、ログを取った事象および指令のすべてが、下のログパネル１０４に表示される。タブ１０６は、ウィンドウの上部とともに、他のパネルへの移動を可能にし、他のパネルは、次いで、この航空機に関連する、異なる特定の要素に焦点を合わせる。たとえば、座席パネル１０８は、特定の座席に対する状態情報、ログの詳細、および手動制御を提供する。監視および手動制御の機能を支援するために用いられ
る他の例示的なウィンドウは、１つの乗客の接続に対する情報を表示することに焦点を合わせる乗客の接続の状態ウィンドウ、航空機に存在する特定のホストコンピューティング装置に関する情報を表示することに焦点を合わせる機上のホストの状態ウィンドウ、および、所定の群、航空機、乗客の接続またはホストの装置に対する事象情報を表示する事象ログのウィンドウを含み得る（しかし、これらに限定されない）。上述のウィンドウが、この発明の監視および手動制御の機能を実現するために用いられる機能性および外観の一部を示しているに過ぎないことが想定される。

監視および手動制御に加え、セキュリティポリシーのファイルを編集してセキュリティポリシーの更新を配信するためのサービスもまた、地上ベースのネットワークセキュリティ管理システム１６に存在する。ポリシーの編集および適用の機能には、センサの構成ファイルを編集すること、適用可能なベンダのウェブサイトから、侵害検出の署名ファイルの更新を取出すこと、応答ポリシーのステートマシンおよびパラメータを編集すること、静的なセキュリティ構成を編集すること、センサのファイルと、署名ファイルと、応答ポリシーと、静的な構成とを組み合わせて特定のセキュリティポリシーにすること、セキュリティポリシーの更新にバージョン制御を与えること、最新のポリシーと所望のポリシーとによって、システム内の航空機を走査すること、および、選択された群の航空機に新規のポリシーを配信することが含まれる（しかし、これらに限定されない）。セキュリティポリシーの編集は、日常的な活動となるようには意図されない。このため、ポリシーの編集および適用の機能は、地上のサーバ上で稼動するユーザインターフェイスを介して管理される他の機能とは分離した、別個の論理的な構成要素として扱われる。

空地通信の構成要素６４は、航空機搭載型のセキュリティ管理プログラムと地上のサーバとの間の通信に対して責任を負う。したがって、この構成要素は、これらの２つの物理的な位置に分散される。空地通信の機能には、非閉塞通信を提供すること、信頼可能な配信が得られるまで伝送を再試行すること、非接続の期間中に、メッセージを待ち行列に入れること、通信セッションの認証を処理すること、不正な変更および再生から保護するために、暗号の整合性のチェックを用いること、可能であれば、冗長なメッセージまたは取って代わったメッセージを最適化すること、メッセージの優先順位に従い、利用可能な帯域幅を用いること、帯域幅の消費を最小にすること、および、セキュリティポリシーの更新を航空機に配信することが含まれる（しかし、これらに限定されない）。通信の構成要素を論理的に分離させることにより、航空機搭載型のセキュリティ管理プログラムおよび地上のサーバの設計が、散発的な接続から必要以上に複雑になることを防止することを助ける。

上述の説明は、この発明の好ましい実施例を開示し、説明する。当業者は、この説明から、ならびに添付の図面および請求項から、前掲の請求項に規定されるこの発明の真の精神および公正な範囲から逸脱することなく、この発明に変更および変形を行なってよいことを容易に認識するであろう。

この発明に従った、モバイルネットワークプラットフォームのためのネットワークセキュリティアーキテクチャを示すブロック図である。 この発明に従った、モバイルネットワークプラットフォーム上の所定のユーザアクセスポイントに対するセキュリティポリシーを示すステートマシンの図である。 この発明に従った、モバイルネットワークプラットフォーム上の所定のユーザアクセスポイントに対するセキュリティポリシーを示すステートマシンの図である。 この発明のセキュリティポリシーを実行するための、例示的なデータ構造の図である。 この発明のネットワークセキュリティアーキテクチャ全体の主なソフトウェアの構成要素を示す図である。 この発明に従った航空機搭載型のセキュリティ管理プログラムを含む機能上のソフトウェアモジュールを示すブロック図である。 この発明に従った地上ベースのネットワークセキュリティシステムの地上制御およびデータ記憶の機能を実現する、機能上の構成要素を示すブロック図である。 この発明に従った地上ベースのネットワークセキュリティシステムの監視および手動制御の機能を実現するために用いられる、例示的な航空機のブラウザのウィンドウを示す図である。 この発明に従った地上ベースのネットワークセキュリティシステムの監視および手動制御の機能を実現するために用いられる、例示的な航空機の状態のウィンドウを示す図である。

Claims (19)

1. モバイルネットワークプラットフォームにおいてセキュリティ活動を監視するためのネットワークセキュリティアーキテクチャであって、
   前記モバイルネットワークプラットフォーム上に存在するモバイルネットワークを含み、前記モバイルネットワークは、地上ベースのネットワークセキュリティ管理システムへの信頼性のない通信リンクを介して相互接続され、前記ネットワークセキュリティアーキテクチャはさらに、
   前記モバイルネットワークに接続され、そして、前記モバイルネットワークプラットフォーム上に存在する侵害検出システムを含み、前記侵害検出システムは、前記モバイルネットワークに関連するセキュリティ侵害事象を検出するように作動することができ、前記ネットワークセキュリティアーキテクチャはさらに、
   前記モバイルネットワークプラットフォーム上に存在し、そして、前記侵害検出システムから前記セキュリティ侵害事象を受信するように適合されるモバイルセキュリティ管理プログラムを含み、前記モバイルセキュリティ管理プログラムは、前記モバイルネットワークプラットフォームがネットワークセキュリティ管理システムに接続されていないときに、前記セキュリティ侵害事象に応答してセキュリティ応答の活動を実行するようにさらに作動することができる、ネットワークセキュリティアーキテクチャ。
2. 前記モバイルセキュリティ管理プログラムは、前記モバイルネットワークプラットフォーム上に存在するセキュリティポリシーに従って、セキュリティ応答の活動を実行するように作動することができる、請求項１に記載のネットワークセキュリティアーキテクチャ。
3. 前記セキュリティポリシーは、複数の予め規定されたセキュリティ侵害事象、および、前記複数のセキュリティ侵害事象の各々に対して対応するセキュリティ応答として規定される、請求項２に記載のネットワークセキュリティアーキテクチャ。
4. 前記セキュリティポリシーは、現在の作動状態の要素、生じ得るセキュリティ侵害事象の要素、結果として生じる作動状態の要素、およびセキュリティ応答の要素を有するデータ構造によって規定される、請求項２に記載のネットワークセキュリティアーキテクチャ。
5. 前記モバイルネットワークは、複数のユーザアクセスポイントを含み、前記セキュリティ侵害事象が前記複数のユーザアクセスポイントの１つに関連し、かつ、セキュリティ応答が前記複数のユーザアクセスポイントの前記１つに向けられるようにする、請求項１に記載のネットワークセキュリティアーキテクチャ。
6. 前記セキュリティ応答は、前記侵害検出システムから受信した前記セキュリティ侵害事象のログを取ること、前記ユーザアクセスポイントの少なくとも１つに警告メッセージを与えること、地上ベースのネットワークセキュリティ管理システムに警告メッセージを与えること、前記ユーザアクセスポイントの１つにネットワークトラフィック遮断フィルタを設置すること、および、前記モバイルネットワークから前記ユーザアクセスポイントの１つの接続を断つことからなる群から選択される、請求項５に記載のネットワークセキュリティアーキテクチャ。
7. 前記モバイルセキュリティ管理プログラムは、前記複数のユーザアクセスポイントの各々に対する現在の作動状態の指標を維持し、前記複数のユーザアクセスポイントの前記１つに向けられた前記セキュリティ応答が、前記複数のユーザアクセスポイントの前記１つの前記作動状態に部分的に基づくようにする、請求項５に記載のネットワークセキュリテ
   ィアーキテクチャ。
8. 任意の所定のユーザアクセスポイントに対する前記現在の作動状態は、正常な状態、疑わしい状態、および接続が断たれた状態からなる群から選択される、請求項７に記載のネットワークセキュリティアーキテクチャ。
9. 前記モバイルセキュリティ管理プログラムは、前記複数のユーザアクセスポイントの前記１つに対する前記現在の作動状態を識別し、そして、前記識別された作動状態と、前記侵害検出システムから受信した前記セキュリティ侵害事象とに部分的に基づいてセキュリティ応答の活動を実行するようにさらに作動することができる、請求項７に記載のネットワークセキュリティアーキテクチャ。
10. 前記モバイルセキュリティ管理プログラムは、前記セキュリティポリシーに従って、前記複数のユーザアクセスポイントの前記１つに対する前記現在の作動状態を変更するようにさらに作動することができる、請求項９に記載のネットワークセキュリティアーキテクチャ。
11. 前記モバイルセキュリティ管理プログラムは、前記ネットワークセキュリティ管理システムに前記セキュリティ侵害事象を示すメッセージを送信し、そして、前記ネットワークセキュリティ管理システムから受信したセキュリティ指令に応答してセキュリティ応答の活動を実行するように作動することができる、請求項１に記載のネットワークセキュリティアーキテクチャ。
12. モバイルネットワークプラットフォームに存在するネットワークに関連するセキュリティ活動を監視するための方法であって、前記モバイルネットワークプラットフォームは、地上ベースのネットワークセキュリティ管理システムへの信頼性のない通信リンクを介して相互接続され、前記方法は、
    その起因が前記モバイルネットワークプラットフォーム上に存在する前記ネットワークに関連するセキュリティ侵害事象を検出するステップと、
    前記モバイルネットワークプラットフォーム上に存在するモバイルセキュリティ管理プログラムを提供するステップとを含み、前記モバイルセキュリティ管理プログラムは、前記セキュリティ侵害事象を受信するように適合され、前記方法はさらに、
    前記モバイルネットワークプラットフォームが前記ネットワークセキュリティ管理システムに接続されていないときに、検出されたセキュリティ侵害事象に応答してセキュリティ応答の活動を実行するステップを含む、方法。
13. セキュリティ応答の活動を実行する前記ステップは、セキュリティポリシーに従って前記セキュリティ応答の活動を適用するステップをさらに含み、前記セキュリティポリシーは、複数の予め規定されたセキュリティ侵害事象、および前記複数のセキュリティ侵害事象の各々に対して対応するセキュリティ応答として規定される、請求項１２に記載の方法。
14. セキュリティポリシーに従って前記セキュリティ応答の活動を適用するステップをさらに含み、前記セキュリティポリシーは、現在の作動状態の要素、生じうるセキュリティ侵害事象の要素、結果として生じる作動状態の要素、およびセキュリティ応答の要素を有するデータ構造によって規定される、請求項１２に記載の方法。
15. 前記ネットワークは、複数のユーザアクセスポイントを含み、前記セキュリティ侵害事象が前記複数のユーザアクセスポイントの１つに関連し、かつ、セキュリティ応答が前記複数のユーザアクセスポイントの前記１つに向けられるようにする、請求項１２に記載の
    方法。
16. 前記セキュリティ応答の活動は、前記セキュリティ侵害事象のログを取ること、前記ユーザアクセスポイントの少なくとも１つに警告メッセージを与えること、地上ベースのネットワークセキュリティ管理システムに警告メッセージを与えること、前記ユーザアクセスポイントの１つにネットワークトラフィック遮断フィルタを設置すること、および、ネットワークから前記ユーザアクセスポイントの１つの接続を断つことからなる群から選択される、請求項１５に記載の方法。
17. 前記複数のユーザアクセスポイントの各々に対する現在の作動状態の指標を維持するステップと、検出されたセキュリティ侵害事象に応答してセキュリティ応答の活動を実行するステップとをさらに含み、前記セキュリティ応答の活動は、前記複数のユーザアクセスポイントの前記１つの前記作動状態に部分的に基づく、請求項１５に記載の方法。
18. 任意の所定のユーザアクセスポイントに対する前記現在の作動状態は、正常な状態、疑わしい状態、および接続が断たれた状態からなる群から選択される、請求項１７に記載の方法。
19. 航空機上に存在するネットワークに関連するセキュリティ活動を監視するための航空機搭載型のセキュリティシステムであって、前記航空機は、地上ベースのネットワークセキュリティ管理システムへの信頼性のない通信リンクを介して相互接続され、前記航空機搭載型のセキュリティシステムは、
    前記ネットワークに接続され、そして、ネットワークに関連するセキュリティ侵害事象を検出するように作動することができる侵害検出システムと、
    前記ネットワークに接続され、そして、前記侵害検出システムから前記セキュリティ侵害事象を受信するように適合される航空機搭載型のセキュリティ管理プログラムとを含み、前記セキュリティ管理プログラムは、前記航空機が前記ネットワークセキュリティ管理システムに接続されていないときに、セキュリティポリシーに従って、セキュリティ応答の活動を実行するようにさらに作動することができる、航空機搭載型のセキュリティシステム。

Images