JP2009187587A - セキュリティポリシーを管理する方法及びシステム - Google Patents

Abstract

【課題】ネットワークにおいてセキュリティポリシーを動的且つ適応的に管理する。
【解決手段】セキュリティポリシーリポジトリは、実施のために適切なセキュリティイネーブル装置（ポリシーエンハンスメントポイント（ＰＥＰ））にポリシーデシジョンポイントＰＤＰによりネットワークを通してプッシュされるセキュリティポリシーを収容する。閉じたフィードバックループを使用して、ポリシーフィードバックポイント（ＰＦＰ）は、様々なＰＥＰ又はＰＥＰから生成される侵入、警告、侵害、及び他の異常な振る舞いによるデータを収集及び処理する。このデータは、ポリシーリポジトリへのフィードバックとして送出される。ＰＤＰは、データを検出し、（動的かつ自動的とすることができる）ポリシーの更新が適応的に行われＰＥＰに動的に送出されるかを判定するために分析する。また、ＰＤＰは、コンソールメッセージを送出し、コンソール又は管理者に警告することもできる。
【選択図】図１

Description

本発明は、本発明は、自動化されたセキュリティ管理に関し、より詳細には、セキュリティポリシーのための自動化された管理の提供に関する。

管理ネットワークは成長し続ける。セキュリティポリシーの管理は、成長する関心事となってきている。一般に、組織のネットワークは、ルータ、スイッチ、ファイアウォール、ゲートウェイ、ハブ、ネットワークブリッジ、クライアント、周辺機器、サーバ等のような複数のセキュリティイネーブル装置を含んでいる。様々なアプリケーションは、利用可能なネットワーク装置のそれぞれに関してセキュリティイネーブルにすることもできる。ネットワーク管理技術は、ネットワークを効率的かつ安全に管理するため、これらの装置又はアプリケーションのためにセキュリティポリシーを使用する。

たとえば、オペレーティングシステム（ＯＳ）アプリケーションは、ユーザパスワードが長さで少なくとも６文字必要とされるセキュリティポリシーを含んでいる場合がある。おそらくＯＳ又は別のネットワーク装置内で実行する別のアプリケーションは、少なくとも８文字を有するパスワードを必要とするユーザパスワードのセキュリティポリシーを含んでいる場合がある。勿論、セキュリティポリシーは、特定のネットワークトラフィックを定義された装置上の定義されたポートに移すポリシー、（たとえば、ＰＫＩ（Public Key Infrastructure）技術等）暗号化を必要とするポリシー、定義されたアプリケーション／エンドユーザへのアクセスを制限するポリシー、及び他のポリシーのような、より一般的かつより包括的にネットワークにわたり適用することができる。

今日の典型的な企業環境では、ネットワークインフラストラクチャ及びコンピュータリソースのためのセキュリティ制御は、多くの相互のタスクから主に構成されており、ネットワークセキュリティ制御及びコンフィギュレーションのためのそれぞれのタスクは、ネットワーク管理者により様々なベンダのプロプライエタリメカニズム及びポリシーランゲージを理解することを典型的に含む面倒なプロセスであって、このネットワーク管理者は、次いで、企業のセキュリティポリシーをこれらのプロプライエタリメカニズムに手動でマッピングする。さらに、ポリシーは、企業のネットワークにより直面されない侵入、攻撃及び脅威にシステム的にリンクしていない。この技術は、応答時間を致命的に増加し、分散される攻撃及び脅威の環境に連続して適合するために企業ネットワークの効率を低減し、企業全体のネットワークについて攻撃に対する最適な対策を設計するために潜在的に相関付けされる時間的に感度の高いデータの損失を引き起こす。

今日の標準的なポリシーベースのネットワークマネージメントアーキテクチャは、ネットワークを環境の変化に対して適応的にすることができるフィードバックメカニズムを含んでいない。したがって、先に記載された、ポリシーベースのネットワークマネージメントアーキテクチャに大部分が基づいている既存のセキュリティポリシーマネージメントアーキテクチャは、動的なセキュリティポリシーフィードバックを提供する能力を有さず、かついずれか捕捉されたセキュリティの侵入及び／又は脅威の情報に基づいた適応的なポリシーの更新をなさない。さらに、同じ又は関連するセキュリティポリシーが適用されるネットワーク装置間では、情報の共有がないか、非常に制限された情報の共有となる。さらに、対応する知的なポリシーの配置を容易にするため、異質のソースからの（入力及びフィードバックの両者の）データの相関を提供する、集約化されたビュー及びポリシーエンジンを提供するマネージメントアーキテクチャがない。

したがって、ネットワーク内での改善されたセキュリティポリシー管理が必要とされている。これらの実現及び技術は、異質の企業ネットワークにわたり共通のセキュリティポリシーの仕様を可能にし、ネットワークセキュリティポリシーを動的かつ適応的に管理するために使用することができるフィードバックを動的に提供することができる。

セキュリティポリシーを管理するための新たな方法、装置及びシステムが記載される。以下の詳細な記載の実施の形態では、添付図面が参照され、この添付図面は、実施の形態の一部を形成するものであり、実施される場合がある本発明の特定の実施の形態が例示により示されており、限定するものではない。これらの実施の形態は、当業者のうちの一人が本発明を理解及び実現するのを可能にするために、十分に詳細に記載される。他の実施の形態が利用される場合もあり、この開示の精神及び範囲から逸脱することなしに、構造的、論理的及び電気的な変形が行われる場合がある。以下の詳細な記載は、したがって、限定的な意味で解釈されるものではなく、本発明の実施の形態の範囲は、特許請求の範囲によってのみ定義される。

セキュリティイネーブル装置（security-enabled device）は、ネットワークと通信する処理装置又は周辺装置である。さらに、セキュリティイネーブル装置は、幾つかの例では、セキュリティイネーブル装置が論理的なデバイスを表現するアプリケーションソフトウェアとすることができるので、物理的な装置である必要はない。したがって、本発明の様々な実施の形態の目的で、セキュリティイネーブル装置は、物理的なネットワーク装置及び論理的な（たとえば、アプリケーション）ネットワーク装置を含んでいる。

セキュリティポリシーは、ネットワークの１以上のセキュリティイネーブル装置に実施されるべきセキュリティプロセス、リミテーション、及び／又はロジックを定義する。セキュリティは、様々なデータフォーマットで表現することができ、これらのデータフォーマットの幾つかは、多数のセキュリティイネーブル装置により直接に消費又は実行することができる。幾つかの実施の形態では、セキュリティポリシーは、解釈上のプログラミング言語で書かれたスクリプトであって（たとえば、コンパイル及びスタティックリンクなしで実行できるもの）、セキュリティイネーブル装置でセキュリティ制限を実施するため、セキュリティイネーブル装置により実行される。他の実施の形態では、セキュリティポリシーは、セキュリティイネーブル装置でのアプリケーションの処理のための既存のセキュリティロジックを駆動する入力ファイルとして分析することができる。更なる実施の形態では、セキュリティポリシーは、セキュリティイネーブル装置でのセキュリティアプリケーションの処理のための入力パラメータ値である。さらに、セキュリティポリシーのデータフォーマットは、それぞれのセキュリティイネーブル装置により要求されるフォーマットでそれぞれのセキュリティイネーブル装置に提供することができる。

セキュリティポリシーは、ポリシーリポジトリに集約的に記憶され、管理され、ポリシーデシジョンポイントからディストリビュート（配信）される。リポジトリは、１つのデータベース、データウェアハウスを含むデータベースの集合、電子ファイル、コンピュータアクセス可能な媒体における他の記憶ロケーションとすることができる。リポジトリは、リポジトリにおけるセキュリティポリシーが問い合わせ及び更新されるのを許容する１以上の既存又はカスタム開発されたインタフェース言語（たとえば、ＳＱＬ（Structured Query language）、ＬＤＡＰ（Lightweight Directory Access Protocol）、及びその他）を含んでいる。さらに、１以上のインタフェースアプリケーションは、手動の問合せ及び更新をポリシーリポジトリに自動的に提供するインタフェース言語で開発することができる。

本発明の１実施の形態では、セキュリティポリシーは、固有なＸＭＬ（Extensible Markup Language）フォーマットでリレーショナルデータベースに記憶されている。ポリシーリポジトリにアクセスするためのインタフェース言語はＳＱＬであって、ＳＱＬで書かれた１以上のカスタムサーチ及びエディットアプリケーションは、所望のセキュリティポリシーがポリシーリポジトリ内で検索及び修正されるのを許容する。これらカスタムサーチ及びエディットアプリケーションは、自己実行型アプリケーションであるか、又はセキュリティポリシーを管理又は監視するエンドユーザとインタフェースするアプリケーションとすることができる。

はじめに、ポリシーリポジトリは、組織の書かれたセキュリティポリシーを、ポリシーリポジトリ内のポリシーを表現又は固有に識別する正式な電子表現に変換することでポピュレートされる。幾つかの実施の形態では、組織のネットワークのネットワークセキュリティ管理者の支援でデータベース又はリポジトリ管理者により、この変換が実行される。１つの書かれたポリシーは、ポリシーリポジトリ内で正式な表現に変換されたとき、様々な個別のサブポリシーに変換される場合がある。

１実施の形態では、ポリシーリポジトリ内のセキュリティポリシーのはじめの正式な表現のデータフォーマットは、中間的なデータ言語フォーマットで実施される（たとえば、ＸＭＬ及びその他）。さらに、様々なポリシートランスレータは、特定のセキュリティポリシーの中間のデータ言語フォーマットを特定のセキュリティイネーブル装置により消費することができるデータフォーマットにするために個別に開発することができる。

このように、セキュリティポリシーは、幾つかの実施の形態では、ポリシーリポジトリ内に単数で記憶され、表現されるが、様々なセキュリティイネーブル装置により必要とされる様々なデータフォーマットにレンダリングすることができる。１実施の形態では、ポリシートランスレータは、個々のセキュリティイネーブル装置により必要とされる特定のデータフォーマットにポリシーリポジトリにおけるＸＭＬとして表現されるセキュリティポリシーをレンダリングするため、１以上のＸＳＬ（Extensible Style Sheets）を使用する、ＸＳＬＴ（Extensible Style Sheet Language Transformation）アプリケーションとして実現される。様々なプログラミング言語及び技術は、セキュリティポリシーの中間的なデータフォーマットから特定のセキュリティイネーブル装置により要求される特定のデータフォーマットへの変換を提供するために使用することができる。全てのかかる実現は、本発明の実施の形態により包含されることが意図されている。

本発明の１実施の形態に係る、セキュリティ管理システムの図である。 本発明の１実施の形態に係る、セキュリティポリシーを管理する方法に関するフローチャートである。 本発明の１実施の形態に係る、セキュリティポリシーを管理する別の方法に関するフローチャートである。

図１は、本発明の１実施の形態に係る、セキュリティ管理システム１００を例示するブロック図である。セキュリティ管理システム１００は、ネットワーク化された環境でコンピュータ読取り可能な媒体で実施される。セキュリティ管理システム１００は、ポリシーリポジトリ１１０、ポリシーデシジョンポイント（ＰＤＰ）１１２、ポリシーエンフォースメントポイント（ＰＥＰ）１１３、及びポリシーフィードバックポイント（ＰＦＰ）１２０を含んでいる。

ポリシーリポジトリ１１０は、セキュリティポリシーを収容している。さらに、ポリシーリポジトリ１１０は、ポリシーデータインタフェースを通してポリシーコンソール１１１及びＰＤＰ１１２とインタフェースする。これにより、管理者は、ポリシーリポジトリ１１０におけるポリシーを問合せ、ビュー、及び修正することが可能である。

ＰＤＰ１１２は、１以上のＰＥＰ１１３にセキュリティポリシーを送出（push）する。ＰＥＰ１１３は、セキュリティネットワークに参加するセキュリティイネーブル装置インタフェースである。したがって、ＰＥＰ１１３は、アプリケーションであるか、サーバ、ファイアウォール、ルータのような装置であるか、又はネットワークにわたりアクセス可能な他のコンピュータ装置である。ＰＤＰ１１２は、イネーブルにされ、ＰＥＰ１１３上で実施されることになるセキュリティポリシーを伝達するため、トランスポートプロトコルインタフェース及びデータフォーマット（たとえば、ＣＯＰＳ（Common Open Policy Service Protocol）、ＳＮＭＰ、ＳＳＨ（Secure Socket Shell）／Ｔｅｌｎｅｔ、他のＣＬＩ）を使用してＰＥＰ１１３とインタフェースすることができる。

ＰＦＰ１２０は、ネットワークセキュリティポリシーを脅威の環境と動的にリンクするために設計されるフィードバックポイントであり、これにより、管理されるネットワークが適応的となり、より復元力のあるものとすることができる。ＰＦＰ１２０は、全てＰＥＰ自身である、侵入検出システム（ＩＤＳ：Intrusion Detection Systems）、脆弱性のあるスキャナ等から得られる統合化されたフィードバック情報を含んでいる。ＰＦＰは、ネットワークで使用される特定のセキュリティイネーブル装置とインタフェースするために設計されるモジュールを含むことができる。したがって、ＰＦＰの部分は、ＩＤＭＥＦ、ＳＮＭＰ、若しくは他のＣＬＩ又はネットワーク内のセキュリティイネーブル装置により要求されるプロトコルで通信することができる。

ＰＦＰ１２０は、取得されたセキュリティの脅威の情報を正規化し（normalize）、この情報をＰＤＰ１１２に伝達し、次いで、ＰＤＰ１１２は、ポリシーリポジトリにおけるセキュリティポリシーレコードのために使用されるポリシースキームにより指示される要件に従って正規化された情報を変換し、ポリシーデータインタフェースを通してポリシーリポジトリを更新し、ポリシーコンソール１１１に対して更新を利用可能にする。幾つかの実施の形態では、ポリシーリポジトリ１１０への更新された変化は、ＰＤＰ１１２に自動的に伝達されるか、ＰＤＰ１１２により発見され、予め定義された条件及び閾値に基づいて分析が実行される。他の実施の形態では、ＰＥＰへの更新されたポリシーをプッシュする前に人間の介入が必要ではない場合、分析は、ポリシーリポジトリ１１０に含まれ、１以上のＰＥＰ１１３にＰＤＰ１１２により自動的に送出される多数のセキュリティポリシーへの動的かつ適応的な変化を生じることになる。他の実施の形態では、ＰＤＰ１１２により検出された示唆となるポリシーの変化又はイベントに関して、適切な要員に警告又は通知が送出される。

セキュリティ管理システム１００におけるＰＦＰ１２０のフィードバックループは、動的かつ適応的なセキュリティポリシーの管理を可能にする。従来のセキュリティ管理システムは、動的かつ適応的なフィードバックループがなく、したがって、ネットワークが攻撃されていること、又は脆弱性かつ侵入者又は攻撃を受けやすいことを示すイベント及びデータに基づいたポリシーを更新することでネットワークをタイムリーにプロテクトすることができない。

たとえば、ＳＱＬのＳｌａｍｍｅｒのようなネットワーク侵入がＩＤＳ（ＰＥＰの１つ）により検出されたとき、かかる侵入がＰＦＰにより収集されてＰＤＰに送出され、ＰＤＰは、かかるフィードバックの受信に応じて、問題のあるアプリケーション又はリソースへのポートアクセスを時間的に拒否するため、全てのセキュリティイネーブル装置に変更されたポリシーを発生する。したがって、本発明の実施の形態のポリシー管理技術は適応的であり、ネットワーク内の変化する状況に基づいて動的に調節することができる。

先に記載された説明を通して、セキュリティポリシーを良好に管理するためのセキュリティアーキテクチャにより、改善された方法１００をどのように使用することができるかを理解することがきる。セキュリティポリシーは、複数の個別のセキュリティイネーブル装置で適応的かつ動的に変化、変換、監視、及び実施することができる。他方で、伝統的なアプローチは、生じる異なる問題に対処するための様々なプロプライエタリツール及び専門スタッフを使用して、セキュリティポリシーの代替の変更のための手動的な介入に依存する。伝統的なアプローチは、ネットワークにより直面する脅威又は脆弱性をタイムリーに検出するため、セキュリティイネーブル装置により生じているトランジェントデータ又はイベントを時間感度の高い方式で捕捉することができる動的なフィードバックが欠けている。より動的かつ適応的なセキュリティ管理技術を自動化又は生成することで、本発明の実施の形態は、組織的なセキュリティイネーブル装置及びセキュリティポリシーをタイムリーかつ効率的に訂正及び管理することができる。

図２は、本発明の１実施の形態にかかる、セキュリティポリシーを管理するための別の方法２００のフローチャートを例示している。本方法２００は、コンピュータアクセス可能な媒体を介してアクセス可能であり、複数の処理装置にわたり分散することができるか、ネットワークを通してアクセス可能な１つの処理装置で集約することができる。本方法２００は、ソフトウェア及び／又はファームウェアを使用して実現することができる。セキュリティイネーブル装置は、限定されるものではないが、ルータ、ネットワークハブ、ネットワークブリッジ、スイッチ、ゲートウェイ、クライアント、サーバ、スタンドアロンインテリジェント機器、コンピュータ周辺装置等のような、セキュリティポリシーを実施可能な処理装置とすることができる。セキュリティイネーブル装置は、ネットワークにわたりインタフェースされ、ネットワークは、有線、無線、又は有線と無線の組み合わせとすることができる。

セキュリティポリシーは、ポリシーリポジトリに集約的に記憶される。セキュリティポリシーのデータフォーマットは、ネットワークのセキュリティイネーブル装置のそれぞれで消費及び実施することができるフォーマットに変換される中間的なフォーマットである。１実施の形態では、中間的なフォーマットはＸＭＬであって、ポリシーリポジトリは、ＳＱＬ又はＬＤＡＰで書かれたアプリケーションを使用してアクセスが達成されるデータベース又はディレクトリである。セキュリティポリシーは、セキュリティイネーブル装置にあるセキュリティを実施するアプリケーションにより消費されるスクリプト、パラメータ、又はファイルである。

１以上のポリシーデシジョントランスレータは、セキュリティポリシーを取得、及びネットワークを通して適切なセキュリティイネーブル装置に配信又は送出するために、ポリシーリポジトリと対話する。ポリシーデシジョントランスレータは、セキュリティポリシーの中間的なデータフォーマットをセキュリティイネーブル装置のそれぞれにより使用することができる要求されるデータフォーマットに変換するロジックを含んでいる。したがって、ステップ２１０で、セキュリティポリシーは、ポリシーリポジトリからセキュリティイネーブル装置に実施のために配信又はプッシュされる。

ひとたび、セキュリティイネーブル装置が使用可能なデータフォーマットでセキュリティポリシーを有すると、ステップ２２０で、セキュリティポリシーは、セキュリティイネーブル装置で動的に設けられて実施される。幾つかのＰＥＰは、セキュリティ監査を監視又は捕捉し、ネットワークで生じる様々なセキュリティイベントに関連するイベントを報告又は生じる。さらに、これらのＰＥＰは、ＣＬＩ、アプリケーションプログラミングインタフェース（ＡＰＩ）、又は、異なるタイプのセキュリティログ情報又は通知されたセキュリティイベントが要求に応じて捕捉及び提供されるのを可能にする専用プロトコルを含んでいる。たとえば、セキュリティイネーブル装置のアプリケーションのなかにはＩＤＭＥＦをサポートするものがあり、他方には、ＳＮＭＰをサポートする場合がある。勿論、様々な他のコマンド及びインタフェースは、セキュリティイネーブル装置のアプリケーションにより使用することもできる。全てのかかる種々のコマンド、インタフェース、及びプロトコルは、本発明の実施の形態により含まれることが意図されている。

集約化されたポリシーフィードバックアプリケーション又はポリシーフィードバックポイント（ＰＦＰ）モジュールは、ステップ２３０で、セキュリティの脅威に関する情報又はイベント情報をモニタ及び追跡する。ＰＦＰの異なるコンポーネントは、ＣＬＩ、ＡＰＩ、及び又は専用のセキュリティイネーブル装置のアプリケーションにより認識されるプロトコルと通信するために設計される。また、ＰＦＰは、様々なセキュリティイネーブル装置から得られるセキュリティログ情報又はイベント情報を収集及び処理することができる。セキュリティログ情報又はイベント情報は、次いで２４０で、ＰＦＰによりＰＤＰにより認識又は必要とされるデータフォーマットに正規化又は変換される。ひとたび、セキュリティログ情報又はイベント情報が正規化され、処理されると、ステップ２５０でポリシーリポジトリに更新される。

正規化されるフィードバック情報は、ポリシーリポジトリ内の適切に影響されるセキュリティポリシーとリンク又は関連される。これは、どのセキュリティポリシーがどのセキュリティイネーブル装置で処理しているかに関する情報を有するポリシーフィードバックアプリケーションにより達成することができる。代替的に、セキュリティポリシーは、セキュリティイネーブル装置の識別子でポリシーリポジトリを問合せすることでＰＦＰにより識別することができる。更に他の例では、セキュリティログ情報は、セキュリティポリシー識別子を含むことができる。ＰＦＰについて、取得されたセキュリティログ情報又はイベント情報の部分をポリシーリポジトリにおける適切に作用されるセキュリティポリシーと適切にリンクするための様々な技術が存在する。

ＰＤＰには、セキュリティポリシーレコードがセキュリティログ情報又はイベント情報で更新されるときのように、トリガ又はイベントアプリケーションを設けることができ、多数の専門のポリシーデシジョントランスレータは、自動的に実行される。他の実施の形態では、多数のポリシーデシジョントランスレータは、ポリシーリポジトリ内でのセキュリティポリシーレコードに更新されるセキュリティログ情報又はイベント情報を調査するため、機器構成可能な時間インターバルで連続的に処理するために構成される。

専用のポリシーデシジョントランスレータは、セキュリティフィードバック情報を評価し、検出された定義された閾値又はイベントに基づいてアクションを取るために設計及び構成される。幾つかのケースでは、ポリシーデシジョントランスレータは、ポリシーリポジトリ内でセキュリティポリシーを変更又は時間的に変化し、影響を受けたセキュリティイネーブル装置に動的に変化を送出する。このように、ポリシーデシジョントランスレータは、ステップ２５２に示されるように、適応的かつ動的なセキュリティポリシーの変化を有効にすることができる。他の実施の形態では、ステップ２５４に示されるように、ポリシーデシジョントランスレータは、動的かつ自動的に、警報を送出し、ポリシーリポジトリから実行するための多数の他のアプリケーションをトリガすることができる。ポリシーの変化が行われるとき、及び／又はポリシーの変化が行われないときに警報を送出することができるが、ネットワークセキュリティ管理者のような適切なエンドユーザに通知することが必要と思われる。なお更なる実施の形態では、専用のポリシーデシジョントランスレータは、適切なエンドユーザに送出される警報における有益な情報又は示唆に富んだポリシー変化の情報を含むことができる。

したがって、ポリシーデシジョントランスレータは、ポリシーリポジトリから、セキュリティポリシーをセキュリティイネーブル装置の特定のデータフォーマットにレンダリングするために使用することができ、ポリシーリポジトリ内の特定のセキュリティポリシーと関連する更新されたセキュリティログ情報又はイベント情報を評価するために使用することができる。評価は、ポリシーデシジョントランスレータ、ダイナミックセキュリティポリシー変化、及び／又は警報に含まれる有益又は示唆に富んだ情報と送出される警報によるアクションを引き起こさない。さらに、幾つかの例では、更なる専用のアプリケーションは、セキュリティログ情報又はイベント情報の評価に基づいてポリシーデシジョントランスレータによりトリガされ、自動的に処理することができる。

評価は、セキュリティイネーブル装置で生じるセキュリティ侵害（violation）、侵入（intrusion）、セキュリティの脅威（threat）、セキュリティの脆弱性（vulnerability）、異常な状態又はトラフィック、若しくは、評価することが望まれる他のイベント又は状況を含んでいる。評価は、セキュリティイネーブル装置で報告及び捕捉されるセキュリティログ情報又はイベントに含まれる利用可能な情報によってのみ制限される。したがって、専用のポリシーデシジョントランスレータは、所望のレベルのセキュリティマネージメントを達成するための知識、経験及び要件に従う設計及び実現することができる。

さらに、幾つかの実施の形態では、ポリシーリポジトリは、ポリシーデシジョントランスレータにより自動的に処理することができ、ネットワークセキュリティ管理者のようなエンドユーザにより手動的に使用することができる多数のポリシー承認及び編集（policy authoring and editing）アプリケーションを含んでいる。したがって、ネットワークのセキュリティポリシーは、本発明の実施の形態の様々な教示により、集約的に管理、分散、変更及びモニタすることができる。これらの教示は、ネットワークセキュリティポリシーを管理するために現在使用される手動的に集約的かつアドホック技術を軽減する。このように、本発明の実施の形態によれば、ネットワークセキュリティのより適応的、動的及び効果的な管理を達成することができる。さらに、セキュリティポリシー及びトランザクション情報は、ネットワークを安全にするために手動的な介入なしに適応的な変化をもたらす動的なフィードバックを提供するために使用される。

図３は、本発明の１実施の形態に係る、セキュリティポリシーを管理するための別の方法３００に関するフローチャートである。本方法３００は、コンピュータネットワーク環境で様々なコンピュータアクセス可能な媒体内で実現される。ネットワークは、ポリシーエンフォースメントポイント（ＰＥＰ）と呼ばれる多数の物理的又は論理的な装置を含んでいる。ＰＥＰは、周辺装置、処理装置等のような、セキュリティトランザクションを実施及び追跡可能な装置である。さらに、ポリシーリポジトリは、ネットワークＰＥＰで生じているセキュリティトランザクション、及び様々なＰＥＰでネットワークを通して管理されるセキュリティポリシーに関する情報を含んでいる。

ポリシーデシジョンポイント（ＰＤＰ）アプリケーション又はモジュールは、ポリシーリポジトリで動的にセキュリティポリシーが変化又は変更されるとき、ネットワークの初期化、又はネットワークの管理及び動作の間、ステップ３１０で影響を受けたＰＥＰにポリシーリポジトリからセキュリティポリシーを送出する。

ネットワークの動作の間、セキュリティポリシーは、ＰＥＰで生じているセキュリティトランザクションを報告及び追跡するため動的に実施及び動作する。したがって、ステップ３２０で、幾つかの実施の形態では、侵入検出システム（IDS: Intrusion Detection System）は、ＰＥＰのうちの１つの承認されていない侵入又は他のネットワークの脆弱性を検出する。ステップ３３０では、ポリシーフィードバックポイント（ＰＦＰ）は、ＩＤＳからのセキュリティトランザクションデータを受け、受信されたデータの優先度を設定する。つぎに、ステップ３４０では、ＰＤＰは、ポリシーデータインタフェースを通して、又は新たなセキュリティトランザクションデータでポリシーリポジトリを更新することを通して間接的に、ＰＦＰからのフィードバックデータを受信する。

ステップ３５０で、ポリシーエンジンは、セキュリティトランザクションデータ及びその設定の優先度に基づいてポリシーリポジトリへの必要とされるポリシーのアップデートを生成する。ポリシー変化は、ネットワーク及び／又はＰＥＰでの侵入又は他のアタックに動的に対抗するため、ネットワークと適応的かつ動的に行うことができる。これに応じて、ポリシーの変化が適応的に行われるとき、次いで、ステップ３５２で、ポリシーリポジトリは、自動的に更新される。

ステップ３６０では、ポリシーの変化がＰＤＰの一部に関する自動的なアクションを必要とするかを判定するためにチェックが行われ、動的なポリシーの変化が行われた場合、自動的なアクションが必要とされ、次いで、ステップ３６２で、新たなポリシーの変化が適切なＰＥＰに送出され、動的にロードされ、適切なＰＥＰで実行される。ダイナミックポリシーの変化が望まれる場合、次いで、ステップ３６４で、ポリシーコンソールにおける適切なログ／ディスプレイ警告が現れ、自動的な警告をポリシー管理者に任意に送出することができる。

先の記載は例示的なものであって、限定するものではない。多くの他の実施の形態は、先の記載を検討することに応じて当業者にとって明らかであろう。したがって、本発明の実施の形態の範囲は、かかる請求項がタイトル付けされる等価な構成の改善な範囲に沿って、特許請求の範囲を参照して決定されるべきである。

要約は、技術的な開示の性質及び要旨を迅速に読者が確認するのを可能にするのを要約に要求する37 C.F.R.§1.72(b)に従って提供される。請求項の範囲又は意味を解釈又は制限するために使用されるものではないことが理解されるべきである。

上述された実施の形態の記載では、様々な特徴が開示の流れの目的で１つの実施の形態に互いにグループ化されている。この開示の方法は、本発明の特許請求された実施の形態がそれぞれの請求項で明示的に引用されるよりも多くの機能を要求するという意図を反映するものとして解釈されるべきではない。むしろ、請求項が反映するように、本発明の主題は、１つの開示される実施の形態の全ての機能よりも少ない。したがって、以下の請求項は、実施の形態の記載に盛り込まれ、それぞれの請求項は、個別の例示的な実施の形態としてそれ自身を意味している。

１００：セキュリティ管理システム
１１０：ポリシーリポジトリ
１１１：ポリシーコンソール
１１２：ポリシーデシジョンポイント
１１３：ポリシーエンフォースメントポイント
１２０：ポリシーフィードバックポイント

Claims (8)

1. ネットワークのセキュリティポリシーを動的に管理する方法であって、
   前記セキュリティポリシーは、ポリシーリポジトリに記憶され、ネットワーク上のセキュリティイネーブル装置により実施され、
   当該方法は、
   前記セキュリティイネーブル装置からのセキュリティの脅威に関する情報を取得する取得ステップと、
   取得されたセキュリティの脅威に関する情報を中間のデータフォーマットに正規化する正規化ステップと、
   前記セキュリティイネーブル装置で生じるセキュリティの侵害、侵入、セキュリティの脅威、セキュリティの脆弱性、異常な状態又はトラフィック、若しくは、評価することが望まれる他の事象又は状況の検出のため、前記正規化されたセキュリティの脅威に関する情報を評価する評価ステップと、前記評価の結果は、少なくとも１つのセキュリティポリシーに対する変更を示し、
   前記評価結果に依存して前記ポリシーリポジトリに記憶されている少なくとも１つのセキュリティポリシーを更新する更新ステップと、
   少なくとも１つの更新されたセキュリティポリシーを前記セキュリティイネーブル装置に送信する送信ステップとを含み、前記更新されたセキュリティポリシーは、ポリシーの変更を示す情報を含む警報として前記セキュリティイネーブル装置に送出される、
   ことを特徴とする方法。
2. 前記取得ステップは、セキュリティトランザクションのプロトコル及びセキュリティトランザクションのコマンドラインのインタフェースの少なくとも１つを使用して前記セキュリティの脅威に関する情報を取得する、
   請求項１記載の方法。
3. １以上のセキュリティポリシーに動的なポリシーのフィードバックを与えるステップを更に含む、
   請求項１又は２記載の方法。
4. 前記セキュリティポリシーは、ＸＭＬ（Extensible Markup Language）フォーマットで前記ポリシーリポジトリに記憶され、
   当該方法は、
   ＸＳＬＴ（Extensible Style Sheet Language Transform）を使用して、前記セキュリティポリシーを、該セキュリティポリシーを実施するために前記セキュリティイネーブル装置により使用されるデータフォーマットに変換するステップを更に含む、
   請求項１乃至３の何れか記載の方法。
5. ネットワークのセキュリティポリシーを動的に管理する装置であって、
   前記セキュリティポリシーは、ネットワーク上のセキュリティイネーブル装置により実施され、
   当該装置は、
   前記セキュリティポリシーを記憶する記憶手段と、
   前記セキュリティイネーブル装置からのセキュリティの脅威に関する情報を取得する取得手段と、
   取得されたセキュリティの脅威に関する情報を中間のデータフォーマットに正規化する正規化手段と、
   前記セキュリティイネーブル装置で生じるセキュリティの侵害、侵入、セキュリティの脅威、セキュリティの脆弱性、異常な状態又はトラフィック、若しくは、評価することが望まれる他の事象又は状況の検出のため、前記正規化されたセキュリティの脅威に関する情報を評価する評価手段と、前記評価の結果は、少なくとも１つのセキュリティポリシーに対する変更を示し、
   前記評価結果に依存して前記記憶手段に記憶されている少なくとも１つのセキュリティポリシーを更新する更新手段と、
   少なくとも１つの更新されたセキュリティポリシーを前記セキュリティイネーブル装置に送信する送信手段とを有し、前記更新されたセキュリティポリシーは、ポリシーの変更を示す情報を含む警報として前記セキュリティイネーブル装置に送出される、
   ことを特徴とする装置。
6. 前記取得手段は、セキュリティトランザクションのプロトコル及びセキュリティトランザクションのコマンドラインのインタフェースの少なくとも１つを使用して前記セキュリティの脅威に関する情報を取得する、
   請求項５記載の装置。
7. １以上のセキュリティポリシーに動的なポリシーのフィードバックを与える手段を更に有する、
   請求項５又は６記載の装置。
8. 前記セキュリティポリシーは、ＸＭＬ（Extensible Markup Language）フォーマットで前記ポリシーリポジトリに記憶され、
   当該装置は、
   ＸＳＬＴ（Extensible Style Sheet Language Transform）を使用して、前記セキュリティポリシーを、該セキュリティポリシーを実施するために前記セキュリティイネーブル装置により使用されるデータフォーマットに変換する変換手段を更に有する、
   請求項５乃至７の何れか記載の装置。

Images