JP2008505400A - 高度化されたネットワーククライアントのセキュリティに関係するアプリケーションのためのシステムおよび方法 - Google Patents

Abstract

高度化されたネットワーククライアントのセキュリティのためのシステムおよび方法を提供する。本発明の一実施形態の１態様には、ユーザに関連するセキュリティ関係ポリシーを受信するステップ、セキュリティ関係ポリシーに関連するセキュリティモデルを決定するステップ、およびクライアント装置におけるネットワーク接続へセキュリティモデルを適用するステップを含む。本発明の別の実施形態の１態様には、ユーザに関連する使用特性に関連する第１の測定結果を受信するステップ、使用特性に関連する第２の測定結果を受信するステップ、第１の測定結果および第２の測定結果を比較するステップ、および少なくとも一部比較に基づいて権限のないアクセスが生じたらしいことを決定するステップを含む。

Description

本発明は、一般にコンピュータネットワーク関する。特に、本発明は、ネットワークアクセス高度化のためのシステムおよび方法に関する。

労働力がより移動化すると、企業はそのユーザに企業ネットワークに遠隔接続するための手段を提供しなければならないことがよくある。企業およびそのユーザには、企業ネットワークおよびインターネットなどのその他のリソースへの接続方法の選択に遥かに大きな融通性がある。この融通性の付加に連れて、付随する複雑化とリスクが増加する。従って遠隔アクセスは必要であるが、企業には遠隔アクセスをユーザに提供するのに抵抗がある。

企業ネットワークへの遠隔接続のための各方法により、悪用される恐れのあるセキュリティホールが生じる。例えば悪事を働くアクセスポイントなどネットワークにおいて聞き耳を立てる人間は、ネットワークにアクセスするためのユーザのユーザ名／パスワードの組み合わせを決定することができうる。

また、各接続タイプは種々のネットワークプロバイダから購入することができる。企業は、各プロバイダからの料金請求を各ユーザの遠隔ネットワークアクセスに適合させなければならない。

さらに企業ネットワークに接続する従来の接続製品のそれぞれは、固有のインタフェースを提供する。かつ各インタフェースは比較的明瞭であるが、ユーザは種々のネットワークへの接続を望み、企業およびユーザは複数のインタフェースを処理しなければならず、このことから複雑性が生じる。

また遠隔ユーザは、例えばユーザ名／パスワードの組み合わせをラップトップに添付されたカードに書くことによりユーザ名／パスワードの組み合わせを露出することがある。一度露出すれば、悪事を働く人間はユーザ名／パスワードの組み合わせにアクセスすることができ、次いで権限のあるユーザのような振りをして、企業のシステムにログインする。企業には、代表的に有効なユーザ名およびパスワードを利用するユーザが実際には権限のないことを決定する手段は限られる。

本発明の実施形態は、高度化されたネットワーククライアントのセキュリティのためのシステムおよび方法を提供する。本発明の実施形態の一態様は、ユーザに関連するセキュリティ関係ポリシーを受信するステップ、セキュリティ関係ポリシーに関連するセキュリティモデルを決定するステップ、およびクライアント装置におけるネットワーク接続にセキュリティモデルを適用するステップを含む。本発明の別の実施形態の一態様は、ユーザに関連する使用特性に関連する第１の測定結果を受信するステップ、使用特性に関連する第２の測定結果を受信するステップ、第１の測定結果および第２の測定結果を比較するステップ、および少なくとも一部比較に基づいて権限のないアクセスが生じたらしいことを決定するステップを含む。別の実施形態では、（例えばランダムアクセスメモリまたはコンピュータディスクなどの）コンピュータ可読媒体は以上の方法を実行するコードを含む。

この説明のための実施形態は本発明を制限するか、または規定するために記述するものではなく、その理解を助けるための一例を提供するものである。説明のための実施形態は「発明を実施するための最良の形態」において説明し、そこで本発明の説明をさらに行う。本発明の種々の実施形態により提供する利点はこの明細書を考察することによりさらに理解できる。

本発明のこれらおよびその他の特徴、態様、および利点は添付の図面を参照して以下の「発明を実施するための最良の形態」を読めば、より良く理解される。

本発明の実施形態は、高度化されたネットワーククライアントのセキュリティのためのシステムおよび方法を提供する。本発明に関して複数の実施形態が存在する。導入および例として、本発明の説明のための一実施形態により、中央セキュリティ管理のための方法を提供する。そのような実施形態では、監督者は１つ以上のセキュリティ関係ポリシーを確立する。

例えば、監督者は、個人のファイアウォールおよび最近のウイルス定義ファイルを有するクライアント装置のみがＷｉ−Ｆｉ接続を介して企業の機密データへの接続を認められるべきであることを、決定することができる。とはいえＶＰＮのみがダイヤルアップ回線に必要である。監督者は中央ポリシーサーバにおけるポリシーを確立する。ユーザが企業サーバにログインする場合、ポリシーはユーザのクライアント装置にダウンロードされる。

ユーザが次にＷｉ−Ｆｉ接続を介して企業サーバにログインする場合、クライアント装置における接続マネージャは、セキュリティ関係ポリシーに基づいてセキュリティモデルを生成する。接続マネージャは、次いでＷｉ−Ｆｉ接続に接続モデルを適用する。ユーザが動作する個人のファイアウォールおよび最近のウイルス定義を持たない場合、企業サーバへの接続は阻止される。それぞれのネットワークタイプに対するセキュリティモデルに応じて、ユーザは、なおその他のネットワークタイプを介して企業サーバにアクセスすることができる。

監督者は、利用可能なネットワークタイプ、セキュリティの脅威、およびその他の理由の変化に基づいてポリシーを変更および追加することができる。変化はユーザに透明なようにクライアントに動的に適用される。

この導入部は、本願の一般的な主題事項を読者に紹介するために与えられる。本発明はそのような主題とする事項に決して制限されることはない。説明のための実施形態を以下に記述する。

（システム構成）
本発明による種々のシステムを構築することができる。次に、同じ番号が幾つかの図面を通じて同じ要素を示す図面を参照すると、図１は本発明の一実施形態の実装を説明するための環境を示すブロック図である。図１に示すシステムはクライアント１０２を含む。クライアントはセキュリティサーバ１０４と通信する。

セキュリティサーバ１０４との通信はネットワーク１０８を介して生じる。ネットワーク１０８は公設またはプライベートネットワークを含むことができ、インターネットを含むことができる。ネットワークは、また例えば種々の構成要素間の専用電話回線を含む複数のネットワークを含むことができる。一実施形態では、クライアント１０２はインターネットを経て確立されるバーチャルプライベートネットワーク（virtual private network、”ＶＰＮ”）を介してセキュリティサーバ１０４と通信する。

セキュリティサーバ１０４は、またネットワークを介して企業サーバ１０６と通信する。ネットワーク１０８は、有線および無線双方の、種々の要素を含むことができる。一実施形態では、セキュリティサーバ１０４と企業サーバ１０６との間の通信は専用通信回線を経て確立される静的ＶＰＮを経て生じる。

一実施形態では、ユーザはネットワークアクセス・ユーザインタフェースを使用して、ネットワーク１０８にクライアント装置１０２を接続する。ネットワークアクセス・ユーザインタフェースは常に動作しており、ユーザにインタフェースを介してネットワーク１０８に接続することのみを許容する。ネットワークアクセス・ユーザインタフェースは、クライアント１０２にネットワーク１０８を通じてセキュリティサーバ１０４に自動的に接続させる。セキュリティサーバ１０４はクライアント１０２および１つ以上の企業に付加価値サービスを提供する。インターネットなどのその他のサービスへのアクセスは、セキュリティサーバ１０４を介して提供することができる。

図１は単一のクライアント１０２、セキュリティサーバ１０４、および企業サーバ１０６のみを含むが、本発明の実施形態は複数のクライアント１０２を代表的に含み、複数のセキュリティサーバ１０４および企業サーバ１０６を含むことができる。

図２から図４は、クライアント１０２、セキュリティサーバ１０４、および企業サーバ１０６における構成要素を説明するブロック図である。提示する構成要素のそれぞれは、第３のパーティのアプリケーション、特注のアプリケーション、または両者の組み合わせでありうる。構成要素のそれぞれは、またハードウェア、ぼ９、またはハードウェアおよびソフトウェアの組み合わせにおいて実装することができる。

（クライアント装置）
図２は本発明の一実施形態におけるクライアント装置１０２に存在するモジュールを説明するブロック図である。クライアント装置１０２の例は、パーソナルコンピュータ、ディジタルアシスタント、パーソナルディジタルアシスタント、セルラー電話機、移動電話機、スマート電話機、ページャ、ディジタルタブレット、ラップトップコンピュータ、インターネット機器、およびその他のプロセッサベースの装置である。一般にクライアント装置１０２は、任意の適するタイプのプロセッサベースのプラットフォームであり、これはネットワーク１０８に接続され、１つ以上のアプリケーションプログラムと相互動作を行う。クライアント装置１０２はＲＡＭなどのコンピュータ可読媒体に結合されるプロセッサを含むことができる。クライアント装置１０２はマイクロソフト(登録商法)ウインドウズ(登録商標)またはリナックスなどの任意のオペレーティングシステムにおいて動作することができる。クライアント装置１０２は、例えばネットワークアクセスユーザインタフェースを実行するラップトップコンピュータである。

図２に示すモジュールはクライアント１０２の機能性を表す。モジュールは、１つ以上のモジュールを含む１つ以上のコンピュータプログラムとして実装することができる。例えば一実施形態では、図２に示すモジュールは全て単一のネットワークアクセス・アプリケーション内に含まれる。またクライアント１０２において示す機能性は、本発明の他の実施形態におけるサーバにおいて実装することができる。同様に、図３および図４においてサーバ上にあるものとして示す機能性は、本発明の幾つかの実施形態ではクライアント１０２において実装することができる。
図２に示すクライアント１０２はＶＰＮクライアント２０２を含む。ＶＰＮクライアント２０２はクライアント１０２の企業サーバ１０６への接続を許容する。本発明の一実施形態では、ＶＰＮクライアント２０２を使用して、ＶＰＮクライアント２０２が動作中であるか、およびＶＰＮクライアント２０２のＶＰＮサーバへの接続の是非を決定する。例えば、本発明の実施形態により、ＶＰＮクライアント２０２の動作可能であることの是非に基づいて個々のサービスへの接続の是非を決定することができる。

本発明の別の実施形態では、ＶＰＮクライアント２０２は４つの目的に使用される：（１）ポリシーファイルの管理であり、このファイルは、ゲートウエイ・インターネットプロトコル（Internet Protocol、ＩＰ）アドレス、セキュリティおよび認証レベル、およびハッシュなどの情報を含む；（２）自動ＶＰＮ接続；（３）自動ＶＰＮ切断；および（４）ＶＰＮの状態監視。これら４つの目的のそれぞれは、例えば接続マネージャ２１０を含むその他のモジュールの影響を受けることがある。

クライアント１０２は、また安全な記憶装置２０４を含む。安全な記憶装置２０４はクライアント１０２におけるコンテンツを保護する。一実施形態では、安全な記憶装置２０４はクライアント１０２における暗号化コンテンツの格納および一組の許可またはポリシーに基づく暗号化コンテンツへのアクセスの許容を担う。このような実施形態では、コンテンツ創作者はビュアーを介して安全なコンテンツへのアクセスを提供し、受領者にコンテンツの読み取り専用アクセスを許容し、または受領者にコンテンツの変更、およびその、他のユーザへの転送などのその他のタスクの実行を許容することができる。別の実施形態では、安全な記憶装置２０４はユーザに安全なコンテンツの創作および他のクライアント１０２への配信を許容し、コンテンツ創作者は幾らかのユーザへの書類の送信を決定し、ユーザの２人に完全なアクセスおよびユーザの一人に読み取り専用アクセスを許容することができる。

図２に示すクライアント１０２は、またファイアウォール２０６を含む。ファイアウォール２０６は予め規定したポリシーを介するポート封鎖を許容する。例えば一実施形態では、情報技術(information technology、”ＩＴ”)マネージャは、安全区域および危険区域の２つの区域に基づいてポート封鎖を指定する。ＩＴマネージャは、クライアント１０２において実装するネットワークインタフェース装置のそれぞれに対してこれら２つの区域の１つを指定する。ＩＴマネージャは、次いでファイウォール２０６における区域によってポート封鎖規則を設定することができる。

例えばＩＴマネージャが「無線忠実度（Wireless Fidelity、”Ｗｉ−Ｆｉ”）ネットワークインタフェースを危険に分類することができるのは、「Ｗｉ−Ｆｉ」が従来かなり不安全と考えられたからである。そしてＩＴマネージャは、有線ローカルエリヤネットワーク（Local Area Network、”ＬＡＮ”）またはパーソナルハンディフォンシステム（Personal Handyphone System、”ＰＨＳ” ）セルラー接続への接続に使用するものなどの安全区域およびネットワークインタフェース装置に対するより、危険区域に対してより制限的ポート封鎖規則を適用することができる。ＰＨＳ規格はＴＤＤ−ＴＤＭＡベースのマイクロセルラー無線通信技術であり、従来Ｗｉ−Ｆｉ接続より比較的安全と考えられていた。ＰＨＳセルラー接続は、またワイドエリヤネットワーク（wide area network、”ＷＡＮ”）へのアクセスを提供するダイヤルアップ接続に対立するものとして、無線ワイドエリヤネットワーク(wireless wide area network、 ”ＷＷＡＮ”)と呼ぶことができる。

他の種々の実施形態では、ファイアウォール２０６のポート封鎖規則は日中の時間、クライアントＩＰアドレス、着信ＩＰアドレス、着信および発信ポート、プロトコル、およびその他の変数に基づくことができる。一実施形態では、ポート封鎖規則はクライアント１０２にログインする個々のユーザに関連するポリシーデータに基づく。

一実施形態では、ファイアウォール２０６のポート封鎖規則はブラックリストを含む。ブラックリストによりＩＴマネージャは、クライアント１０２におけるアプリケーションの実行を防止することができる。例えばＩＴマネージャは、ユーザがクライアント１０２においてＤＶＤを見ることができないように、ＤＶＤ再生装置をブラックリストに載せることができる。ファイアウォール２０６はユーザにメッセージを与え、アプリケーションが利用できないことをユーザに知らせる。

別の実施形態では、ファイアウォール２０６はホワイトリストを実装する。ホワイトリストは上記のブラックリストより幾らかさらに制限的である。ホワイトリストは指定されたアプリケーションのみの実行を認める。例えばＩＴマネージャは、ＭＳワード、エクセル、パワーポイント、及びアウトルックの実行のみを認めることができる。その他のアプリケーションの実行は認められない。ファイアウォール２０６は特注のファイアウォールまたは本発明の実施形態に組み込む第３のパーティのファイアウォールであることができる。

図２に示す実施形態は、またアンティウイルスモジュール２０８を含む。提示するアンティウイルスモジュール２０８は、ポリシーファイル、ウイルス辞書、またはその他のウイルス関係リソースの期限切れを決定し、クライアント１０２にファイルまたはデータの更新機構を提供する。アンティウイルスモジュール２０８はポリシーファイルが期限切れの場合、種々の接続、アプリケーション、およびその他の機能へのアクセスを禁止することができる。例えば、アンティウイルスモジュール２０８は、ポリシーファイルが利用可能である単一のゲートウエイへのクライアント１０２の接続を禁止することができる。一実施形態ではアンティウイルスモジュール２０８は、クライアント１０２における他のモジュールと統合される第３のパーティのアンティウイルス製品を含む。

クライアント１０２は、また規則プロセッサを含む接続マネージャ２１０を含む。一実施形態では、接続マネージャ２１０は各接続に優先番号、例えば１から１００を割り当て、接続すべき最高の番号を持つ接続を選択する。

接続マネージャ２１０は、例えばダイヤルアップ、ＬＡＮ、ディジタル加入者線（digital subscriber line、”ＤＳＬ”）、ケーブルモデム、Ｗｉ−Ｆｉ、無線ローカルエリヤネットワーク（wireless local area network、”ＷＬＡＮ”）、ＰＨＳ、および衛星を含む多様なネットワークへの接続を提供することができる。

一実施形態では、接続マネージャ２１０は公設とプライベート接続との間を区別する。公設接続はサービスプロバイダにより提供する接続であり、サービスプロバイダはセキュリティサーバ１０４の監督者との関係を有し、監督者はセキュリティサーバ１０４に接続の認証を許容する。例えば、セキュリティサーバ１０４の監督者はホットスポットプロバイダとの業務協定を有することができる。接続するために、クライアント１０２はローカルアクセスポイントに接続し、ユーザの認証はセキュリティサーバ１０４において自動的に生じる。対照的にプライベート接続は、接続マネージャは可能であればどこにでも自動化認証を許容するある設備を提供することはできるが、接続のための全ての側面の認証機構を、セキュリティサーバ１０４を欠いて管理することが必要である。

一実施形態では、接続マネージャ２１０は、クライアント１０２に存在するポリシーに基づいてクライアント１０２への利用可能な、または利用できない接続を行う。接続マネージャ２１０はポリシーデータの変化をダウンロードし、サービス品質（quality of service、”ＱｏＳ”）およびその他のデータをセキュリティサーバ１０４または企業サーバ１０６に送信することができる。

一実施形態では、接続マネージャ２１０は、クライアント１０２に付属するハードウェアにより提供する信号に基づいて利用可能な接続のタイプを決定する。例えばクライアント１０２がホットスポットの近くを通過する場合、クライアント１０２におけるＷｉ−Ｆｉカードがホットスポットに感応し、接続マネージャ２１０に信号を送信する。例えばＷｉ−Ｆｉカードは、一斉送信サービス設定識別子（service set identifier、”ＳＳＩＤ”）に感応することができる。一度信号が閾を超えると、接続マネージャ２１０は、ネットワークが利用可能であるか、またはホットスポットに自動的に接続することができるとの信号をクライアント１０２のユーザに提供する。あるいはＷｉ−Ｆｉカードは非一斉送信ＳＳＩＤを調べることができる。接続マネージャ２１０はクライアント１０２に一時に一つの接続を提供するか、またはクライアント１０２に複数の接続を提供することができる。

図２に示すクライアント１０２は、またＱｏＳ収集装置２１２を含む。ＱｏＳ収集装置２１２は、例えば送受信バイト数、平均伝送速度、接続における平均信号強度、接続終了の原因、接続障害、およびネットワーク識別子を含むデータ値を収集する。別の実施形態では、ＱｏＳ収集装置２１２は、接続が不安定な性能を示す時点を決定するデータをセッション中に収集する。

一実施形態では、ＱｏＳ収集装置２１２はセッション中の接続に関するデータを収集するが、次セッションまでセッションのためのデータを送信しない。従ってセッションが異常終了しても、ＱｏＳデータは依然収集され、成功裡に伝送される。別の実施形態では、ＱｏＳ収集装置２１２は、高速または低経費接続など個々のタイプの接続が検出される場合にのみデータを伝送する。

クライアント１０２は、またセッション統計モジュール２１４を含む。セッション統計モジュールはユーザ特性を表すデータを格納する。例えば、セッション統計モジュール２１４は、ユーザが一般的にアクセスするアプリケーションのリスト、ユーザが接続される頻度、代表的ＣＰＵおよびメモリ利用測度、キーボードシーケンス、およびその他のユーザ特性を格納することができる。個々のユーザがＮ標準偏差などの閾より大きく期待特性から外れ、統計の意味するところが指定された量より大きければ、セッション統計モジュール２１４は現ユーザを権限のないユーザの可能性があると特定することができる。

セッション統計モジュール２１４は、その他のタスクも実行することができる。例えば一実施形態では、セッション統計モジュール２１４はユーザの一般的な使用パターンに基づいてアプリケーションを事前にロードする。

図２に示すクライアント１０２は、またポリシー読取装置２１６を含む。一実施形態では、会社のポリシーは企業サーバ１０６に納められる。例えば企業内の個々のグループおよびユーザは、アクセスできる接続のタイプおよびユーザＶＰＮプロファイルの如何などのポリシーにより特定され、ポリシーに関連する。ユーザは、またクライアント１０２におけるＶＰＮポリシーを指定することができる。そのような環境では、ポリシー読取装置２１６は企業サーバ１０６からポリシー規則をダウンロードし、ローカルユーザポリシーにアクセスし、両者間の矛盾を調停する。

例えばＩＴマネージャは、Ｗｉ−Ｆｉネットワークに接続する場合、ユーザが使用するＶＰＮプロファイルを確立することができる。とはいえユーザは、第１のＶＰＮが利用不可能になれば、使用すべき第２のＶＰＮプロファイルの創出を望むことができる。ポリシー読取装置２１６はローカルおよび企業ＶＰＮプロファイルの双方をロードし、２つのＶＰＮプロファイル間の矛盾を解決する。

一実施形態では、ポリシー読取装置２１６は、企業、部署、およびユーザレベルのデータにアクセスする。そのような環境ではポリシー規則の幾つかは、クライアント１０２、セキュリティサーバ１０４、または企業サーバ１０６における軽量ディレクトリ・アクセスプロトコル（lightweight directory access protocol、ＬＤＡＰ）サーバに格納することができる。別の実施形態では、ポリシー読取装置２１６は、ポリシーデータの変更のみを受信し、代表的にはポリシーデータの全てを一度にダウンロードしない。ポリシー読取装置２１６によりダウンロードするポリシーは接続マネージャ２１０の規則プロセッサに提供することができる。

クライアント１０２は、またクライアントセキュリティモジュール２１６を含む。一実施形態では、クライアントセキュリティモジュール２１６はクライアントアセット保護プロセスを実装する。クライアントセキュリティモジュール２１６が、クライアントアセット保護プロセスが実行されることを指示する信号を受信する場合、クライアントセキュリティモジュール２１６は、例えばクライアント１０２における装置およびインタフェースを動作不能にし、幾つかの実施形態では、クライアント１０２のハードドライブを暗号化し、ドライブに格納されたファイルが容易にアクセスできないようにすることができる。

クライアント１０２は、またユーザインタフェース２２０を含むことができる。ユーザインタフェース２２０は、基礎をなす動作環境またはユーザに見える基礎をなす環境を制御することができる。例えば一実施形態では、ユーザインタフェース２２０は、ユーザの視点からマイクロソフト(登録商標)ウインドウズのオペレーティングシステムインタフェースに取って代わる。換言すれば、ユーザはウインドウズの標準的特徴の多くにアクセスできない。そのようなユーザインタフェースは、ユーザがアクセスできるアプリケーションおよび構成設定を制限するために実装することができる。パーソナルディジタルアシスタント（personal digital assistant、”ＰＤＡ”）などの幾つかの実施形態では、ユーザインタフェースは本発明の実施形態により提供されない。標準ＰＤＡユーザインタフェースが利用される。

ユーザインタフェース２２０はネットワーク接続にアクセスするための使用しやすい機構をユーザに提供する。一実施形態では、ユーザインタフェース２２０が見える場合、ユーザインタフェース２２０は非常に使用しやすいフォーマットを提供し、このフォーマットはネットワーク接続タイプを表示し、その他の機能性をユーザに提供する。例えば、新しいネットワークタイプへの接続などの複雑な動作中に、ユーザはユーザインタフェース２２０内の単一のボタンを簡単に選択することができ、クライアント１０２は以前のネットワークを正確に切断にし、新規ネットワークを得て、全ての認証およびポリシーベースの要求条件を実行し、次いで新規ネットワークにおけるアプリケーションの使用継続をユーザに許容する。この簡単で、複雑さを隠し、完全自動化の使用しやすいユーザンタフェース２２０により、クライアント１０２を成功裡に動作させることをあまり技術知識のないユーザに許容することができる。全てのネットワーク接続、認証、安全な署名、ＶＰＮパラメータ、および接続のその他の側面は、ユーザインタフェース２２０により管理される。

図２に示すクライアント１０２は、またセキュリティエージェント２２２を含む。幾つかの実施形態では、セキュリティエージェント２２２は、「爆弾」とも呼ばれる。一実施形態では、クライアント１０２が次に企業サーバ１０６に接続する場合、ＩＴマネージャは、セキュリティエージェント２２２を起動すべきことを指示する。ＩＴマネージャがそうすることができるのは、クライアント１０２が、盗まれたとの報告を受けるからである。その後、クライアント１０２は企業サーバ１０６に直接または間接的かのいずれかにより接続し、セキュリティエージェント２２２を開始するメッセージを受信する。

一実施形態では、セキュリティエージェント２２２が動作する場合、セキュリティエージェント２２２は全てのアプリケーションが動作可能であるのを止め、クライアント１０２のハードドライブにおけるデータを暗号化する。例えばセキュリティエージェント２２２は、上記のようにホワイトリストを実装し、次いでクライアント１０２における全てのデータのために安全な記憶装置を実装することができる。接続マネージャ２１０を、また接続が不可能であるように構成することができる。

１つのそのような実施形態では、データは消去されるよりむしろセキュリティエージェント２２２により単に暗号化されるので、クライアント１０２がその後復旧すればデータは回復することができる。例えば企業はローカルドライブを復号化するのに必要なキーを保持することができる。クライアント１０２が企業に戻り、次いで企業はドライブを復号化する。別の実施形態では、クライアントのローカルドライブにおけるデータは、例えば複数回データに上書きすることによりアクセス不能にする。

図２に示すクライアント１０２は、また帯域外通信受信機２２４を含む。帯域外通信受信機２２４は、クライアントにネットワークベースの接続を通すより、他の通信の受信を許容する。接続マネージャ２１０は帯域外通信を管理することができる。例えばセキュリティエージェント２２２を起動する命令は帯域外通信受信機２２４により受信する短メッセージサービス（short messaging service、”ＳＭＳ”）を介して伝送することができる。

図３は本発明の一実施形態におけるセキュリティサーバ１０４に存在するモジュールを説明するブロック図である。図３に示すセキュリティサーバ１０４は、遠隔認証ダイヤルインユーザサービス（remote authentication dial-in user service、”ＲＡＤＩＵＳ”）サーバ３０２を含み、このサーバはＡＡＡ（authentication, authorization, and accounting、認証、認可、および計理）サーバとも呼ぶことができる。ＲＡＤＩＵＳは規格であり、これによりアプリケーションおよび装置はＡＡＡサーバと通信する。

発明の幾つかの実施形態では、ＲＡＤＩＵＳサーバ３０２は、企業サーバ１０６におけるＲＡＤＩＵＳサーバの代理をする。一実施形態では、ＲＡＤＩＵＳサーバ３０２は、拡張可能認証プロトコル伝送レイヤセキュリティ（Extensible Authentication Protocol Transport Layer Security、”ＥＡＰ−ＴＬＳ”）を使用して、クライアント１０２のための相互認証を提供する。ＥＡＰ−ＴＬＳ自体は厳密には、主としてＷｉ−Ｆｉ接続のために設計された８０２．１ｘ認証プロトコルであるが、基礎をなすＴＬＳ認証プロトコルは、有線および無線ネットワークの双方に展開することができる。ＥＡＰ−ＴＬＳは相互安全ソケットレイヤ(secured sockets layer、”ＳＳＬ”)の認証を行う。これはクライアント装置１０２およびＲＡＤＩＵＳサーバ３０２の双方に証書を所有することを要求する。相互認証ではそれぞれの側は、その証書およびその私的キーを使用して、他に対してその身元を証明することができる。

図３に示すセキュリティサーバは、またＬＤＡＰサーバ３０４を含む。ＬＤＡＰサーバ３０４はＬＤＡＰプロトコルを使用するが、このプロトコルはネットワークにおけるユーザ、組織、およびその他のリソースの位置を決めるための機構を提供する。本発明の一実施形態では、ＬＤＡＰサーバ３０４は、企業の顧客が購入しても、しなくても良い種々の構成要素へのネットワークにおけるアクセス制御を提供する。例えば図１に関係して記述したように、顧客は安全な記憶装置の実装を選択することができる。そのような場合、顧客またはユーザまたは顧客に関連するグループは、またファイアウォールモジュールに関連する。ＬＤＡＰ入力を使用して、次いでファイアウォールがクライアントにおいて動作可能であることを決定する。

幾つかの実施形態では、ＬＤＡＰサーバ３０４はＬＤＡＰプロトコルを使用しないユーザ識別子のリストとして実装される。別の実施形態では、ＬＤＡＰサーバ３０４におけるデータは企業サーバ１０６に存在するデータから伝播する。

図３に示すセキュリティサーバ１０４は、またセッションマネージャ３０６を含む。セッションマネージャ３０６はクライアント１０２と企業サーバ１０６との間のセッションを含むセッションを制御する。幾つかの実施形態では、セッションマネージャ３０６は、またデータ要求の経路指定方法を決定する。例えばセッションマネージャ３０６は、特定のデータ要求は企業サーバ１０６よりむしろインターネットへ経路指定されるべきであることを決定することができる。これは「パイプの分割」（"splitting the pipe"）と呼ぶことができ、クライアント装置における「分割されたトンネル化」（大部分の標準ＶＰＮクライアントによる従来構成の選択肢）をセキュリティサーバにおいて企業宛に考えられないトラフィックのより安全な分割により置き換える機構を提供し、必要な余分の帯域経費を招く企業を含むことなく全てのトラフィックの監視を許容する。

幾つかの実施形態では、クライアント１０２および企業サーバ１０６は通信用ＶＰＮを確立する。そのような実施形態では、セッションマネージャ３０６は企業以外の他の位置に要求を経路指定することができないことがある、−パケットは暗号化され、従って独立に評価することができない。

一実施形態では、セッションマネージャ３０６はクライアント装置１０２またはユーザの自動化認証を行う。例えば、セッションマネージャ３０６が、クライアント１０２がＷｉ−Ｆｉホットスポットに近づきつつあると決定すれば、セッションマネージャ３０６は、ホットスポットはユーザを認証する必要があるとの証書によりホットスポットを予め占拠することができる。このようにして、認証は非常に早くユーザに出される。セッションマネージャ３０６は、またデータのクライアント装置１０２へのダウンロードのための待ち行列のし方を制御することができる。

そのような一実施形態では、セッションマネージャ３０６はデータ待ち行列に２つのモードを提供する。第１のモードではセッションマネージャ３０６は、ネットワークのダウンタイムは短い、例えばユーザは、ネットワークアクセスを妨害するトンネルを通過して移動中であると決定する。そのような場合、セッションマネージャは最少量のデータを待ち行列にする。第２のモードではセッションマネージャ３０６は、ネットワークのダウンタイムは比較的長く継続するものである、例えばユーザはニューヨークから東京への飛行機に搭乗していると決定する。そのような場合、セッションマネージャ３０６は比較的大きな量のデータを待ち行列にする。そのような一実施形態では、セッションマネージャ３０６は、ダウンタイムの間ユーザを待ち行列に入れることによりモードを決定する。ユーザがセキュリティサーバ１０４に再接続する場合、セッションマネージャ３０６は待ち行列データの最良のダウンロード方法を決定し、ダウンロードを開始する。

一実施形態では、セッションマネージャ３０６はパケット形成装置(図示せず)を含む。パケット形成装置はセッションマネージャ３０６に種々の機能上の能力を提供する。例えば一実施形態では、パケット形成装置は企業サーバ１０６とクライアント１０２との間で送信するパケットの優先順位付け機構を提供する。一実施形態では、パケット形成装置はマルチプロトコルラベル交換(Multiprotocol Label Switching 、”ＭＰＬＳ”)を利用する。ＭＰＬＳは特定の経路を所与のシーケンスのパケットに指定することを許容する。ＭＰＬＳは大部分のパケットを（ルーティング)レイヤ３レベルよりむしろ交換(レイヤ２)レベルにおいて転送することを許容する。ＭＰＬＳは、特にネットワークがより変化するトラフィックの搬送を開始する場合、データ伝送のためにＱｏＳを提供する手段を提供する。

セッションマネージャ３０６は、またセッション持続能力を提供することができる。例えば一実施形態では、ユーザが接続を停止するか、またはあるプロバイダのネットワークサービスエリヤから他に移動し、第１の接続が終了し、第２の接続が開始される場合、接続マネージャ３０６はバーチャルセッションを持続する。

セッションマネージャ３０６はサーバ側規則エンジンを含むことができる。サーバ側規則エンジンは、上記のセッション統計などの履歴情報を統計的な攻撃の決定に使用することができる。例えばセッションマネージャ３０６はクライアント装置１０２に関する格納された統計にアクセスすることができ、クライアント装置１０２に対する現統計の監視に基づいて、権限のないユーザがクライアント装置１０２を使用していることの決定をすることができる。

図３に示すセキュリティサーバ１０４は、またリアルタイムモニタ３０８を含む。リアルタイムモニタ３０８はログオンするクライアントおよびユーザ、伝送されるデータ量、実行中のＱｏＳ測定、使用中のポート、およびその他の情報などの通信状態を監視する。

リアルタイムモニタ３０８が問題を検出する場合、リアルタイムモニタ３０８はネットワークサポートに警報を出すことができる。一実施形態では、リアルタイムモニタ３０８からのデータはセキュリティサーバ１０４において利用可能なポータルを介してユーザに提供する。別の実施形態では、リアルタイムモニタ３０８はユーザがデータにアクセスする、企業サーバ１０６に情報を伝送する。

図３に示す実施形態は、また履歴モニタ３１０を含む。履歴モニタ３１０はリアルタイムモニタ３０８に類似の情報を提供する。とはいえ基本となるデータは事実上履歴に関するものである。例えば一実施形態では、履歴モニタ３１０は知的業務決定を行い、規制準拠の問題を取り扱うための監査情報を提供する。

履歴モニタ３１０を介して利用可能な情報は、例えば履歴上のＱｏＳデータ、登録準拠データ、および計量に合致するデータを含む。履歴データモニタ３１０は、種々のクライアントの計量を時間に亘って比較することにより、あるクライアントが最適に動作していないことの決定に使用することができる。例えば履歴データモニタ３１０を介して利用可能な情報の評価により、支援要員は特定のクライアント装置１０２の無線チューナの故障を決定することができることがある。あるクライアント装置１０２のユーザがサービスの可用性について苦情を伝えているが、他のユーザはサービスに成功裡にアクセスできれば、その場合クライアント装置の無線が問題でありうる。

履歴データモニタ３１０は、また接続に関してセキュリティサーバ１０４において得られる情報、および電気通信事業者により提供するデータを調和させるのに使用することができる。データは、あるリソースを増やす必要がある場合、およびある通信事業者が適切に動作していない場合の決定に使用することができる。

セキュリティサーバは、またデータベース３１２を含む。本発明の実施形態では、データベース３１２は、たとえばＭｙＳＱＬ，オラクル、またはマイクロソフトのＳＱＬを含む任意のタイプのデータベースでありうる。またデータベース３１２は図２では単一のデータベースとして示されるが、データベース３１２は実際には複数のデータベース、１つ以上のデータベース内の複数のスキーマ、および１つ以上のスキーマ内の複数のテーブルを含むことができる。データベース３１２は、また１台以上の他のマシーン、例えばデータベースサーバにおいて存在することができる。

本発明の一実施形態では、データベース３１２は有効なユーザリスト、有効なセルラーカードリスト、企業内の個々のユーザとグループとの間の関係、およびその他の顧客情報などのセキュリティサーバ１０４によりサービスを受ける企業に関する顧客情報を格納する。

例えば一実施形態では、データベース３１２は、ユーザとセルラーデータカードとの間の関連を格納する。企業は特定のデータカードに一人のユーザを割り当てることができる。あるいは企業はユーザグループをセルラーデータカードグループに関連付けることができる。請求書発送データなどのその他のタイプのデータは、またデータベース３１２に格納することができる。

図３に示すセキュリティサーバ１０４は、またＱｏＳサーバ３１４を含む。ＱｏＳサーバ３１４はクライアント装置１０２におけるＱｏＳ収集装置２１２から情報をアップロードし、ＱｏＳデータを格納する。ＱｏＳサーバ３１４は複数のクライアントからデータを収集し、データベース３１２にデータを格納することができる。

一実施形態では、ＱｏＳツールエンジン３１６はスプレッドシートにおけるＱｏＳデータの集合を提供する。別の実施形態では、ＱｏＳツールエンジン３１６は地図の景観、パイ図表、およびグラフを使用するデータを提供する。ＱｏＳツールエンジン３１６は、またＱｏＳベースの警報設定のための能力を提供することができ、ポータルを介してユーザにデータを提供することができる。

図３に示す実施形態では、セキュリティサーバ１０４は、またポータルサーバ３１８を含む。ポータルサーバ３１８は、例えばウエブサーバでありうる。マイクロソフト(登録商標)のインターネット情報サーバ（Internet Information Server、”ＩＩＳ”）またはアパッチを含む任意の標準ウエブサーバアプリケーションを使用することができる。

図１および図３に示すセキュリティサーバ１０４は単一のサーバとして図示されるが、セキュリティサーバ１０４は複数のサーバを含むことができる。例えば本発明の一実施形態では、セキュリティサーバ１０４は複数の地域サーバを含む。

また上記の記述は、データがセキュリティサーバ１０４に提供され、セキュリティサーバ１０４からクライアント１０２により問い合わせが出される、即ちクライアントがデータを取り出す、ことを示唆する。一方幾つかの実施形態では、クライアント１０２は、また聴取装置(図示せず)を含み、従ってセキュリティサーバ１０４はデータをクライアント１０２に出力することができる。

図４は本発明の一実施形態における企業サーバ１０６に存在するモジュールを説明するブロック図である。企業サーバ１０６は、本明細書では顧客サーバと呼ぶこともでき、１つ以上のセキュリティサーバ１０４に接続される１つ以上の企業のための１つ以上のサーバを含むことができる。

図４に示す企業サーバ１０６はポリシーサーバ４０２を含む。ポリシーサーバ４０２は、例えば利用可能なＶＰＮプロファイル、利用可能な伝送機構（例えばＷｉ−Ｆｉ、ＬＡＮ、ＰＨＳ、ダイヤルアップ）、ファイアウォール規則、ブラックリストおよびホワイトリストなど、接続規則、およびアンティウイルス規則を含むポリシー規則を管理するための手段を提供する。ポリシーサーバ４０２は、各クライアントまたはクライアントのグループに対して実行するデータ調節レベルなど、その他の規則も含むことができる。データ調節により個々のクライアント１０２へのデータ伝送速度を制限し、接続リソースを最適化することができる。

ポリシーは１つ以上のレベルにおいて管理することができる。例えばＩＴマネージャが企業に対して全体としてのＶＰＮプロファイル、しかし技術グループに対しては異なるＶＰＮプロファイルの創出を望むことができるのは、技術グループが種々の固有のアプリケーションへのアクセスを必要とするからである。

ポリシーサーバ４０２は、またクライアント１０２が利用する種々のサーバの位置形成のための機構を提供することができる。例えばポリシーサーバ４０２は、ＩＴマネージャに加速サーバ４０４または貯蔵サーバ４０６のＩＰアドレスの指定を許容することができる。

一実施形態では、ポリシーサーバは、またクライアント１０２における種々の構成要素に対する更新を受信するユーザの指定をＩＴマネージャに許容する。ポリシーサーバ４０２は、また接続構成の実行をＩＴマネージャに許容することができる。例えばＩＴマネージャはポリシーサーバを使用して、ＰＨＳ接続のための電話番号、私的接続のためのＷｉ−ＦｉＳＳＩＤの電話番号、およびその他の接続構成情報を指定することができる。

図４に示す企業サーバ１０６は、また加速サーバ４０４を含む。加速サーバ４０４はデータ伝送の性能を改善するプロセスを実行する。例えば加速サーバ４０４はクライアント１０２に伝送する画像を自動的に圧縮することができる。

一実施形態では、加速サーバ４０４はポリシーサーバ４０２と通信する。ＩＴマネージャはポリシーサーバ４０２を使用して加速規則を設定し、加速サーバ４０４はこれらの規則を使用して、個々の通信に対して使用する加速レベルを決定する。一実施形態では、ＩＴマネージャは、全ての通信に対して無指定の加速レベルおよびあるユーザグループに対して特定の加速レベルを設定する。特定レベルの加速を優先加速と呼ぶことができる。

企業サーバ１０６は、また貯蔵サーバ４０６を含む。貯蔵サーバは２つの構成要素、自動的構成要素および監督構成要素を含む。一実施形態では、自動的構成要素は企業のメールサーバ(図示せず)を組み込み、メールサーバに出入りする電子メールに関する動作を実行する。例えば貯蔵サーバ４０６は電子メールを検疫し、自動的に電子メールを暗号化した後送信し、電子メールに法的拒否を付加するか、または電子メールに関するその他の機能を実行する。

一実施形態では、貯蔵サーバ４０６の自動的構成要素は、用語に基づくか、または電子メールの宛先または発信元のドメインまたは特定のアドレスに基づいて電子メールを検索する。この情報を使用して、ユーザは上記のものなどの電子メールに関する機能を実行することができる。

貯蔵サーバ４０６の監督構成要素はユーザに特定のユーザまたは全てのユーザのいずれかによる安全なコンテンツへのアクセスの終了を許容する。監督構成要素は、また動作を記入する。貯蔵サーバ４０６の一実施形態を使用してユーザは、雇用が終了したユーザの組が最早いずれの安全なコンテンツへもアクセスできないことを示すことができる。貯蔵サーバ４０６の代わりの実施形態では、ユーザは安全なコンテンツ、例えば価格リストの所与の要素が今や期限切れであり、従って安全なコンテンツの一部分は、いずれのユーザによっても最早見ることができないことを示すことができる。各ユーザが安全なコンテンツにアクセスする場合、貯蔵サーバ４０６は事象を記入する。従ってそれぞれの安全なコンテンツの要素に対して、貯蔵サーバ４０６は安全なコンテンツに関する全ての動作の記録を創出する。

一実施形態では、貯蔵サーバ４０６は、またデータを圧縮する。例えば一実施形態では、標準ＰＫＺＩＰ圧縮を利用して、全てのコンテンツを圧縮する。別の実施形態では、ＩＴマネージャは３つのタイプの画像を特定し、各タイプの画像に対する必要な解像度のレベルに基づいて各タイプの画像に対して異なるレベルの圧縮を指定することができる。

企業サーバ１０６は、またＲＡＤＩＵＳサーバ４０８およびＬＤＡＰサーバ４１０を含み、これらはセキュリティサーバ１０４に関係する上記のサーバに類似である。セキュリティサーバ１０４におけるＲＡＤＩＵＳサーバ３０２は、企業サーバ１０６におけるＲＡＤＩＵＳサーバ４０８の代理をすることができる。同様にＬＤＡＰサーバ４１０におけるデータは、セキュリティサーバ１０４におけるＬＤＡＰサーバ２０４に伝播することができる。

企業サーバ１０６は、また一回限りのパスワード（one-time password、”ＯＴＰ”）サーバ４１２を含む。ＯＴＰサーバ４１２は認証のための機構を提供する。例えば本発明の一実施形態では、企業サーバ１０６はＯＴＰサーバ４１２を使用して、相互認証プロセスを実行する。

企業サーバ１０６は、また集線装置４１４を含む。集線装置４１４はクライアント１０２に遠隔アクセス能力を提供する。例えば集線装置４１４は、クライアント１０２と企業サーバ１０６との間でＶＰＮを終端させる手段として役立つことができる。

図４に示す企業サーバ１０６は、またポータルサーバ４１６を含む。ポータルサーバ４１６は、ＩＩＳまたはアパッチなどの標準ウエブサーバを含むことができる。ポータルサーバ４１６は１つ以上のポータルを提供することがある。例えば一実施形態では、ポータルサーバ４１６は２つのポータル、ポータル１およびポータル２を提供する。

ポータル１は、例えばポリシーサーバ４０２およびＬＤＡＰサーバ４１０を含む図２および図３に示す種々の要素を管理するための構成インタフェースを提供する。ポータル２は、ＱｏＳデータおよびセッションデータなどのデータにアクセスするためのインタフェースを提供する。

例えばユーザは、ポータル２における履歴ＱｏＳデータを使用して、個々のプロバイダのスループット、ユーザ接続、およびその他のＱｏＳの計量に関する実行状況を決定することができる。ポータル２は、また現在接続されているユーザの数などのリアルタイム情報を提供することができる。

例えば一実施形態では、ＩＴマネージャは、認証の失敗によりこの３分間に２０ユーザが通信事業者により拒否され、同じユーザ識別子を持つ５ユーザが現在５台の異なる装置にログオンしていることを決定する。ＩＴマネージャはこの情報を使用して、セキュリティに潜む問題を検出する。ポータル２は、また上記のように警報の設定に使用することができる。

注意すべきは、本発明は図１から図４に示すものとは異なる構成を有するシステムを含むことができることである。例えば本発明による幾つかのシステムでは、セキュリティサーバ１０４および企業サーバ１０６は複数のセキュリティおよび企業サーバを含むことができる。図１から図４に示すシステム１００は単に説明上のものであり、以下に記載する説明上のシステムおよびプロセスの説明の手助けに使用する。

（ネットワーククライアントのセキュリティを高度化する方法の説明）
以下の説明上の実施形態では、企業サーバ１０６における中央ポリシーサーバ４０２を利用する。一実施形態では、クライアント装置１０２はセキュリティ関係ポリシーをポリシーサーバ４０２からダウンロードし、接続マネージャ２１０はポリシーを利用して、より多くのセキュリティモデルの１つを生成し、セキュリティモデルを接続に適用する。図５は、本発明の一実施形態におけるネットワーク接続へセキュリティモデルを適用するためのプロセスを説明するフローチャートである。提示する実施形態では、接続マネージャ２１０は、ネットワーク接続が確立したとの指示を受信する５０２。例えば、ユーザはユーザインタフェース２２０におけるボタンをクリックして、接続マネージャ２１０に第１のネットワーク接続を切断にし、第２のネットワーク接続に接続させることができる。第２のネットワーク接続が成功裡に完了した場合、接続マネージャ２１０は切断にすることができる。

接続マネージャ２１０は、次いでネットワークタイプを決定する５０４。接続マネージャ２１０が第２のネットワーク接続を確立すれば、接続マネージャ２１０は接続確立のプロセスの一部としてネットワークタイプを格納することができる。別の実施形態では、接続マネージャ２１０は既存接続を分析し、ネットワークタイプを決定する。接続マネージャ２１０は、速度、プロバイダ、信頼性、およびその他の属性などのネットワークのその他の属性を得ることができる。接続マネージャ２１０は、ネットワークを調べることにより属性を得ることができるか、または性能計量などの、以前に格納したネットワークの属性を得ることができる。

図５に示す実施形態では、接続マネージャ２１０は、次にユーザに関連するセキュリティ関係ポリシーを受信する５０６。セキュリティ関係ポリシーは中央ポリシー管理データ格納装置からダウンロードすることができる。例えば、一実施形態では、監督者はポリシーサーバ４０２におけるセキュリティ関係ポリシーを確立する。クライアント１０２におけるポリシー読取装置２１６はポリシーサーバ４０２からポリシーをダウンロードする。接続マネージャ２１０は、次いでポリシー読取装置２１６からセキュリティ関係ポリシーを受信する。ポリシーはＸＭＬファイル、データベース、またはデータ格納装置の形式であることができる。

接続マネージャ２１０は、次にセキュリティ関係ポリシーに関連するセキュリティモデルを決定する５０８。例えば、接続マネージャ２１０は、ファイアウォールおよびアンティウイルスの保護の個々のレベルがクライアント１０２により現在アクセスしているネットワークタイプに必要であることを決定することができる。一実施形態では、セキュリティモデルは、個々のネットワークタイプを使用するためにＶＰＮが確立されることを必要とすることがある。別の実施形態では、個々のホワイトリストまたはブラックリストが現ネットワークタイプに必要であることがある。その他の実施形態では、各セキュリティモデルはファイアウォール、ＶＰＮ、アンティウイルスおよびその他の属性の種々の組み合わせを含むことができ、これらの属性は組み合わせてセキュリティ関係ポリシーの実装に使用することができる。

一度接続マネージャ２１０がセキュリティ関係ポリシーに関連するセキュリティモデルを決定すると、接続マネージャ２１０はセキュリティモデルをネットワーク接続に適用する５１０。例えば、ファイアウォール保護の個々のレベルがネットワーク接続により利用するネットワークタイプに必要であれば、接続マネージャ２１０はファイアウォールに必須のレベルの保護を提供させる。一実施形態では、アンティウイルスまたはファイアウォールの保護が、クライアント１０２がアクセスを試行しようとする接続タイプのサポートに不十分であれば、接続マネージャ２１０は接続の発生を許可しない。一実施形態では、接続マネージャ５１０は１つ以上のセキュリティモデルを利用して、セキュリティ関係ポリシーに基づいて利用する最適の接続を決定し、自動的にそのネットワークに接続する。別の実施形態では、クライアントが接続の確立に十分なセキュリティ構成要素、たとえば適するファイアウォールを持たなければ、接続マネージャ２１０は接続を動作不能にするか、または隠蔽する。

一実施形態では、クライアント装置における構成要素は、使用特性に基づいてユーザの行動をユーザの過去の行動と比較する。現在の行動と過去の行動が大きく異なれば、現ユーザは権限のないユーザ、例えばユーザのユーザ名およびパスワードを見つけたある人物と特定することができる。使用特性に基づいてユーザを無効と特定するプロセスは、統計的攻撃検出と呼ぶことができる。図６は、本発明の一実施形態における統計的攻撃を決定するためのプロセスを説明するフローチャートである。提示する実施形態では、セッション統計モジュール２１４は、使用特性に関連する第１の測定結果を受信する５０２。第１の測定結果は、例えば使用特性の平均、中間、最大、最小、またはその他の測定結果の要約でありうる。各測定結果は複数の測定を含むことができる。一実施形態では、測定結果は使用特性の履歴を表す符号である。例えば、一実施形態では、測定結果はキーストロークシーケンスの使用特性に関係する。測定結果は、クライアント１０２がネットワーク１０８に接続される最初の５分間の個々のキーストロークシーケンスの使用頻度を示す符号である。

本発明の実施形態では、使用特性は個々のユーザのクライアント１０２の利用の仕方に関する情報を提供する特性でありうる。例えば、一実施形態では、使用特性は訪問をうけた一様なリソースの位置決め装置、起動したアプリケーション、指定した経過時間当りのシステム呼数、キーストロークシーケンス、システム呼、プロセッサ利用測定結果、およびメモリ利用測定結果を構成上含むグループから選択する少なくとも１つの使用特性を含む。別の実施形態では、使用特性は接続に関連するトラフィックレベル、使用するプロトコル、およびヒットしたポートを構成上含むグループから選択する少なくとも１つの使用特性を含む。

セッション統計モジュールは、次に使用特性に関連する第２の測定結果を受信する５０４。第２の測定結果は、ある時点の動作の実際の測定結果である。例えば、一実施形態では、第１の測定結果は特定のクライアント１０２における特定のユーザによる平均のプロセッサ利用である。第２の測定結果はクライアント１０２におけるユーザによるある時点の実際のプロセッサ利用である。

セッション統計モジュール２１４は、第１の測定結果および第２の測定結果を比較する６０８。セッション統計モジュール２１４は、次いで第１および第２の測定結果が大きく異なるかを決定する６１０。例えば、セッション統計モジュール２１４は、ユーザおよびクライアント１０２に対して以前に収集した測定結果および現在の測定結果に関する統計的線形回帰を実行することができる。

測定結果が大きく異なれば、セッション統計モジュールは権限のないアクセスを信号通知する６１２。例えば、セッション統計モジュール２１４は企業サーバ１０６に信号を送信し、権限のないアクセスを指示する。別の実施形態では、クライアント１０２は企業サーバ１０６を切断にし、ユーザにそれ以上のネットワーク接続を行うことを認めない。一度信号が送信されるか、または測定結果が大きく異ならないとの決定がなされれば、プロセスは終了する６1４。

指示に応じて、企業サーバ１０６は機密情報へのユーザのアクセスを動作不能にすることができる。企業サーバ１０６は、またあらゆるネットワーク接続へのユーザのアクセスを動作不能にすることができる。一実施形態では、企業サーバ１０６またはセキュリティサーバ１０４は個々のユーザに対する使用特性を監視し、攻撃の可能性が特定されれば、ユーザのアクセスを停止させる。そのようなサーバベースの実施形態は、クライアントベースの実施形態に対して利用可能なデータのサブセットに頼ることができる。

本発明の一実施形態では、セッション統計モジュール２１４は使用特性の測定結果を使用して、アプリケーションを予めロードする。例えば、クライアント装置１０２における立ち上げプロセスが完了すると直ちに、ユーザが一般に電子メールクライアントアプリケーションを開けば、セッション統計モジュール２１４はアプリケーションを予めロードさせ、ユーザがアプリケーションを手動で開始するか、またはアプリケーションを開始グループに明白に追加しなくとも良いようにする。

（その他の実施形態）
本発明の実施形態のこれまでの説明は、図示および説明の目的のためのみに提示されたものであり、全てを尽くすか、または開示した正確な形式に本発明を制限するために考えられたものではない。本発明の精神および範囲を逸脱することのない数多くの変更および適用は、当業者には明らかであろう。

本発明の一実施形態の実装を説明するための環境を示すブロック図である。 本発明の一実施形態におけるクライアント装置１０２に存在するモジュールを説明するブロック図である。 本発明の一実施形態におけるセキュリティサーバ１０４に存在するモジュールを説明するブロック図である。 本発明の一実施形態における企業サーバ１０６に存在するモジュールを説明するブロック図である。 本発明の一実施形態におけるネットワーク接続へセキュリティモデルを適用するためのプロセスを説明するフローチャート図である。 本発明の一実施形態における統計的攻撃を決定するためのプロセスを説明するフローチャート図である。

Claims (17)

1. ユーザに関連するセキュリティ関係ポリシーを受信するステップと、
   前記セキュリティ関係ポリシーに関連するセキュリティモデルを決定するステップと、
   クライアント装置におけるネットワーク接続に前記セキュリティモデルを適用するステップ
   とを含むことを特徴とする方法。
2. 前記セキュリティモデルが、少なくとも１つの規則を含むことを特徴とする請求項１に記載の方法。
3. 前記規則が、ファイアウォール規則、アンティウイルス規則、およびバーチャルプライベートネットワーク規則を構成上含むグループから選択する規則を含むことを特徴とする請求項２に記載の方法。
4. 前記セキュリティポリシーが接続タイプに関連することを特徴とする請求項１に記載の方法。
5. 前記接続タイプがＷｉ−Ｆｉ、ローカルエリヤネットワーク、ワイドエリヤネットワーク、無線ワイドエリヤネットワーク、パーソナルハンディネットワーク、ダイヤルアップ、および衛星を構成上含むグループから選択する接続タイプを含むことを特徴とする請求項４に記載の方法。
6. 前記セキュリティポリシーが安全区域および非安全区域を含むことを特徴とする請求項１に記載の方法。
7. 前記ユーザがユーザグループに所属することを特徴とする求項１に記載の方法。
8. 前記セキュリティポリシーを受信するステップが、ポリシーサーバから前記セキュリティポリシーを受信するステップを含むことを特徴とする請求項１に記載の方法。
9. セキュリティポリシーを創出するステップと、
   前記セキュリティポリシーを前記ユーザと関連させるステップ
   とを更に含むことを特徴とする請求項８に記載の方法。
10. ユーザに関連する使用特性に関連する第１の測定結果を受信するステップと、
    前記使用特性に関連する第２の測定結果を受信するステップと、
    前記第１の測定結果および第２の測定結果を比較するステップと、
    少なくとも一部前記比較に基づいて権限のないアクセスが生じたらしいことを決定するステップ
    とを含むことを特徴とする方法。
11. 前記使用特性が、訪問をうけた一様なリソースの位置決め装置、起動したアプリケーション、指定した経過時間当りのシステム呼数、キーストロークシーケンス、システム呼、プロセッサ利用測定結果、およびメモリ利用測定結果を構成上含むグループから選択する少なくとも１つの使用特性を含むことを特徴とする請求項１０に記載の方法。
12. 前記使用特性が、接続に関連するトラフィックレベル、使用されたプロトコル、およびヒットしたポートを構成上含むグループから選択する少なくとも１つの使用特性を含むことを特徴とする請求項１０に記載の方法。
13. 前記第１の測定結果および第２の測定結果が統計的線形回帰の実行を含むことを特徴とする請求項１０に記載の方法。
14. 符号化プログラムコードが存在するコンピュータ可読媒体であって、前記プログラムコードが、
    ユーザに関連するセキュリティ関係ポリシーを受信するためのプログラムコードと、
    前記セキュリティ関係ポリシーに関連するセキュリティモデルを決定するためのプログラムコードと、
    クライアント装置におけるネットワーク接続に前記セキュリティモデルを適用するためのプログラムコード
    とを含むことを特徴とするコンピュータ可読媒体。
15. 符号化プログラムコードが存在するコンピュータ可読媒体であって、前記プログラムコードが、
    ユーザに関連する使用特性に関連する第１の測定結果を受信するためのプログラムコードと、
    前記使用特性に関連する第２の測定結果を受信するためのプログラムコードと、
    前記第１の測定結果および第２の測定結果を比較するためのプログラムコードと、
    少なくとも一部前記比較に基づいて権限のないアクセスが生じたらしいことを決定するためのプログラムコード
    とを含むことを特徴とするコンピュータ可読媒体。
16. ユーザに関連するポリシーを決定するために動作可能なポリシー読取装置と、
    ユーザに関連するセキュリティ関係ポリシーを受信し、前記セキュリティ関係ポリシーに関連するセキュリティモデルを決定し、クライアント装置におけるネットワーク接続に前記セキュリティモデルを適用するために動作可能なクライアントセキュリティモデル
    とを備えることを特徴とするシステム。
17. ユーザに関連するポリシーを決定するために動作可能なポリシー読取装置と、
    ユーザに関連する使用特性に関連する第１の測定結果を受信し、前記使用特性に関連する第２の測定結果を受信し、前記第１の測定結果および第２の測定結果を比較し、少なくとも一部前記比較に基づいて権限のないアクセスが生じたらしいことを決定するために動作可能な権限のないアクセス検出器
    とを備えることを特徴とするシステム。

Images