JP2009502052A - 接続セキュリティのためのルールの自動生成 - Google Patents

Abstract

ファイアウォール及び接続ポリシのためのセキュリティ・ポリシを統合された態様で作成する方法及びシステムが提供される。このセキュリティ・システムは、ユーザ・インターフェースを提供する。ユーザは、そのユーザ・インターフェースを通じて、ファイアウォール・ポリシと接続ポリシとの両方を特定するセキュリティ・ルールを定義することができる。セキュリティ・ルールが特定された後で、セキュリティ・システムは、そのセキュリティ・ルールを実現するためのファイアウォール・ルールと接続ルールとを自動生成する。セキュリティ・システムは、ファイアウォール・ルールを執行する役割を有するファイアウォール・エンジンにファイアウォール・ルールを提供し、また、接続ルールを執行する役割を有するＩＰｓｅｃエンジンに提供する。

Description

技術分野及び背景技術

計算機は莫大な量の感知可能データを格納し送信するために使用されている。インターネットあるいは他のネットワーク（例えば携帯電話ネット）に接続される計算機は、そのような感知可能データを得るか破壊しようと努力するハッカーによる絶え間ない攻撃の下にある。記憶装置とトランスミッションの両方中に感知可能データのプライバシーを保証するために、様々なセキュリティ・ツールがそのような感知可能データを安全にするためにインプリメントされた。セキュリティ・ツールはアプリケーションレベル・ファイアウォール・ツールおよびインターネット・プロトコル（「ＩＰ」）セキュリティ・ツールを含んでいる。アプリケーションレベル・ファイアウォールは、異なる計算機上で実行するアプリケーション間で送信されるデータのソースおよび宛先に制限が置かれることを可能にする。例えば、アプリケーションレベル・ファイアウォールは、そうすることからの保護された計算機への送信データに認可されない計算機を防ぐことがある。ファイアウォールは、保護された計算機に送信されるデータをすべて遮り、公認のＩＰアドレスを備えた計算機からでない場合、データを廃棄することがある。アプリケーションレベル・ファイアウォールは、さらにアプリケーションに関連したポート番号に基づいたアクセスを制限することがある。ユーザおよび保護された計算機ができる計算機の制限、受信データは、計算機の脆弱性を開発しようと努力するマルウェアによって悪意のある攻撃を防ぐのを支援することができる。そのようなマルウェアは、ルートキット、トロイの木馬、キーストローク・ロガーなどを含んでいることがある。

ＩＰセキュリティ・ツールは、トランジットにいる間データを受け取るか送信する計算機の同一性およびデータのプライバシーを保証しようと努力する。認証は計算機の同一性を保証するのを支援するプロセスである。また、暗号化および保全性プロテクションはデータのプライバシーおよび保全性を保証するのを支援するプロセスである。ＩＰセキュリティ・ツールは典型的には「ＩＰ認証ヘッダー（ＡＨ）」とタイトルをつけられたインターネット・エンジニアリング・タスク・フォース（「ＩＥＴＦ」）のＲＦＣ１８２６、および「ＩＰ暗号ペイロード（ＥＳＰ）」とタイトルをつけられたＩＥＴＦのＲＦＣ１８２７によって定義されるようなＩＰｓｅｃプロトコルをインプリメントする。ＡＨプロトコルはＩＰデータのコネクションレスの保全性およびデータ起点認証のようなセキュリティサービスを提供するために使用される。セキュリティサービスは、１ペアの通信するホスト間で、１ペアの通信するセキュリティ・ゲートウエイ、あるいはセキュリティ・ゲートウエイとホスト間で提供することができる。ＥＳＰプロトコルは、セキュリティサービスのミックスを単独であるいはＡＨプロトコルと結合して提供することを目指している。
ＥＳＰプロトコルは機密性、データ起点認証およびコネクションレスの保全性を提供するために使用することができる。ＡＨとＥＳＰのプロトコルは、データが計算機間で安全に送信されることを可能にする。ＩＰｓｅｃプロトコルは、１ペアの通信するデバイス間の切換キーに「インターネット鍵交換プロトコル」とタイトルをつけられたＩＥＴＦのＲＦＣ ２４０９を使用することがある。

ファイアウォールとＩＰｓｅｃをインプリメントするツールは感知可能データのデータ機密保護を保証するのを支援することができるが、ファイアウォールおよびＩＰｓｅｃツールの形成は困難で退屈になりえる。典型的には、そのような構成は、企業のためのセキュリティ保護ポリシを確立しようと努力する、企業の保安要員によって行なわれる。セキュリティ保護ポリシはファイアウォール規則、および企業に内部・外部である他の計算機と企業の計算機がどのように通信するか定義するＩＰｓｅｃまたは接続の規則を使用することがある。保安要員は、典型的にはファイアウォール規則を定義し、かつＩＰｓｅｃ規則を定義するＩＰｓｅｃツールを使用するファイアウォール・ツールを使用する。保安要員はファイアウォール規則およびそれらが一貫していて正確に企業の希望のセキュリティ保護ポリシをインプリメントすることを保証するＩＰｓｅｃ規則を調整する必要がある。ＩＰｓｅｃ用語が混乱させることができ一貫しないかもしれないので、および保安要員が多くの決定をなす必要があるので、ＩＰｓｅｃの複雑さのためにセキュリティ保護ポリシをインプリメントするＩＰｓｅｃツールを形成することは、保安要員にとって特に難しいことがある。さらに、ファイアウォールとＩＰｓｅｃがオーバーラップ・テクノロジーであるので、企業保障ポリシをインプリメントする方法上に混乱することは保安要員にとって簡単である。その結果、多くの企業のセキュリティ保護ポリシのインプリメンテーションは希望の保安レベルを提供しないことがある。それは、攻撃するのに脆弱な企業の計算機を残す。

アウトバウンドのデバイスのアウトバウンドのセキュリティ保護ポリシがインバウンドのデバイスのインバウンドのセキュリティ保護ポリシで対称であることをそれらが必要とするので、ＩＰｓｅｃセキュリティ保護ポリシはインプリメントするのがさらに難しい。アウトバウンドのセキュリティ保護ポリシのセキュリティ・アルゴリズム暗号の一式は、特にインバウンドのセキュリティ保護ポリシのセキュリティ・アルゴリズム暗号の一式と一致する必要がある。セキュリティ保護ポリシ用のセキュリティ・アルゴリズムのセレクティングが退屈になりえ複雑になりえるので、一致するインバウンド・アウトバウンドのセキュリティ保護ポリシを確立することは管理者にとって難しいことがある。

発明の概要

統合やり方でファイアウォールと接続のセキュリティ・ポリシを作成する方法およびシステムは提供される、セキュリティシステムは、ユーザがファイアウォールポリシおよび接続ポリシの両方を指定するセキュリティ規則を定義することができるユーザ・インターフェースを提供する。セキュリティ規則が指定された後、セキュリティシステムは自動的にファイアウォール規則及び／又はセキュリティ規則をインプリメントする接続規則を生成する。セキュリティシステムは、ファイアウォール規則を執行する原因で、接続規則を執行する原因であるＩＰｓｅｃエンジンに接続規則を提供するファイアウォール・エンジンにファイアウォール規則を提供する。セキュリティシステムは、ファイアウォール規則および接続規則が一貫していることを保証する。セキュリティ規則が接続セキュリティを指定するので、セキュリティシステムは、さらに接続規則についての知識を備えたファイアウォール規則を生成することができる。

接続セキュリティのアウトバウンドのセキュリティ保護ポリシが接続セキュリティ用のインバウンドのセキュリティ保護ポリシに自動的に由来することを可能にするセキュリティシステムは提供される。インバウンドのセキュリティ保護ポリシ用のセキュリティシステムには各々１つ以上のセキュリティ・アルゴリズムを指定するセキュリティ・スイートがある。一旦インバウンドのセキュリティ保護ポリシが企業の計算機に配達されれば、セキュリティシステムは、計算機のアウトバウンドのセキュリティ保護ポリシのセキュリティ・スイートの根拠としてインバウンドのセキュリティ保護ポリシのセキュリティ・スイートを使用することができる。計算機がそれぞれ企業の計算機に配達されるのと同じインバウンドのセキュリティ・スイートと一致するアウトバウンドのセキュリティ・スイートを提示するので、それらの計算機には一致するインバウンド・アウトバウンドのセキュリティ・スイートがある。

このサマリーは詳述にさらに下に述べられている、簡易慣用字体中の概念のセレクションを導入するために提供される。このサマリーは、要求された主題の主な特長あるいは基本的な特徴を識別するようには意図されない。また、それではない、要求された主題のスコープの決定における援助として使用されるつもりだった

統合型の態様でファイアウォールと接続のセキュリティ・ポリシを作成する方法およびシステムが提供される。１つの実施例では、セキュリティシステムは、ユーザがファイアウォールポリシ及び／又は接続ポリシを指定するセキュリティ規則（ルール）を定義することができるユーザ・インターフェースを提供する。例えば、セキュリティ規則は、インバウンドのトラフィックがある計算機から受け取られることがあり、そのポートを通って受け取られたトラフィックが暗号化されるべきであることをさらに明示するポートを指定することがある。セキュリティ規則が指定された後、セキュリティシステムは自動的にファイアウォール規則、接続規則あるいは１つ以上のファイアウォール規則およびセキュリティ規則をインプリメントする接続規則の組合せを生成する。例えば、ファイアウォール規則は、そのポートへの、および指定されたＩＰアドレスからのインバウンドのトラフィックが暗号化されることになっていることを指定されたＩＰアドレスを備えた計算機へのポートおよび接続規則が明示すること上のインバウンドのトラフィックを制限する。セキュリティシステムは、ファイアウォール規則を執行する原因で、接続規則を執行する原因であるＩＰｓｅｃエンジンに接続規則を提供するファイアウォール・エンジンにファイアウォール規則を提供する。セキュリティシステムがファイアウォール規則、およびより高いレベルのセキュリティ規則を形成する接続規則の両方を自動的に生成するので、それはファイアウォール規則および接続規則が一貫していることを保証することができる。さらに、セキュリティシステムが接続規則についての知識を備えたファイアウォール規則を生成するので、ファイアウォール規則はファイアウォールに通常利用可能でない情報に基づくことができる。このように、一貫したファイアウォール規則、およびハイ・レベルのセキュリティ規則によって表現されるような企業のセキュリティ保護ポリシをインプリメントする接続規則を確立するために、管理者は、セキュリティシステムに頼ることができる。

１つの実施例では、セキュリティシステムは、ユーザが認証されたファイアウォール規則（それは各々ファイアウォール行為、行為が講じられることになっている条件および接続セキュリティを定義する）と呼ばれたセキュリティ規則を確立することを可能にする。条件は、トラフィックの方向、ローカル・アプリケーションの同一性あるいは局所サービスを指定することがある、そして１つの、ローカル、またリモート・アドレスおよびポート、プロトコル、ユーザおよびユーザ群、コンピュータおよびコンピュータ群、インターフェース型など（例えば無線ＬＡＮ）。例えば、認証されたファイアウォール規則にはローカル・アプリケーションおよび遠隔のＩＰアドレスを指定する条件および計算機のポートがあることがある。そのアプリケーションにデータに従う場合、そのＩＰアドレスとポートを備えた計算機から受け取られる、規則の条件は満たされる。また、規則の処置が講じられる。例えば、そのアクションは、データがアプリケーションに送信されるかアプリケーションに送られることからデータを閉鎖することを可能にすることであることがある。認証されたファイアウォール規則の接続セキュリティは、ローカル・アプリケーションに送られたその遠隔のＩＰアドレスおよびポートからのトラフィックが暗号化されることになっておりその保全性を保護することになっていることを示すことがある。セキュリティシステムは、認証されたファイアウォール規則の接続セキュリティを実行する接続セキュリティ規則を生成する。１つの実施例では、セキュリティシステムは認証されたファイアウォール規則から接続セキュリティ規則を生成するが、ファイアウォール規則として認証されたファイアウォール規則を直接使用する。したがって、「認証されたファイアウォール規則」で「認証された」項は、セキュリティシステムが接続セキュリティ規則（例えばＩＰｓｅｃ規則）を生成することができる接続セキュリティ情報でファイアウォール規則が増大されたことを示す。

１つの実施例では、セキュリティシステムは提供することがある、１つの、自動的に接続セキュリティ規則を生成することで使用されるデフォルト・セキュリティ・スイート。セキュリティシステムは、ＩＰｓｅｃプロトコルで主なモード（「フェーズＩ」）およびＩＰｓｅｃプロトコルの迅速なモード（「フェーズＩＩ」）の両方、および鍵交換にデフォルト・セキュリティ・スイートを供給することがある。セキュリティ・スイートは、ＩＰｓｅｃプロトコルによって使用される１セットのセキュリティ・アルゴリズムを指定する。ここに使用されるように、データ保護の暗号のスイートはＥＳＰプロトコルがＳＨＡ−２５６を保全性プロテクションに使用し、３ＤＥＳを暗号化に使用することであることを示すことがある。別の計算機と通信する場合どの暗号化スイートを使用するかをＩＰｓｅｃエンジンが協定することができるように、データ保護の暗号のセットは、優先順位と共に保全性アルゴリズムおよび暗号化アルゴリズムの多数の暗号のスイートを含んでいることがある。セキュリティシステムがこれらのデフォルト・セキュリティ・スイートを提供するので、管理者は保全性プロテクション・アルゴリズムおよび暗号化アルゴリズムを指定する必要なしに、接続セキュリティ規則を含んでいるセキュリティ保護ポリシを指定することができる。主なモードの認証セットは指定することがある、１つの、認証方法（例えばケルベロス）。主なモード鍵交換の暗号の一式は鍵交換アルゴリズム（例えばＤＨ１）、暗号化アルゴリズム（例えば３ＤＥＳ）および保全性プロテクション・アルゴリズム（例えばＳＨＡ１）を指定することがある。迅速なモードの認証セットは認証方法と認証データを指定することがある。迅速なモードデータ保護の暗号の一式はプロトコル（例えばＥＳＰ）、暗号化アルゴリズム（例えば３ＤＥＳ）および保全性プロテクション・アルゴリズム（例えばＳＨＡ１）を指定することがある。セキュリティシステムは、ユーザが追加担保スイートを定義することを可能にすることがある。

１つの実施例では、セキュリティシステムは、接続セキュリティ用のインバウンドのセキュリティ保護ポリシに接続セキュリティのアウトバウンドのセキュリティ保護ポリシが自動的に由来することを可能にする。インバウンドのセキュリティ保護ポリシ用のセキュリティシステムには各々が指定するセキュリティ・スイートがある、１つ以上のセキュリティ・アルゴリズム。一旦インバウンドのセキュリティ保護ポリシが企業の計算機に配達されれば、セキュリティシステムは、計算機のアウトバウンドのセキュリティ保護ポリシのセキュリティ・スイートの根拠としてインバウンドのセキュリティ保護ポリシのセキュリティ・スイートを使用することができる。例えば、インバウンドのセキュリティ保護ポリシは主なモードキー交換を指定することがある、ＳＨＡ１の保全性アルゴリズムを備えたＩＰｓｅｃのための暗号のスイート、３ＤＥＳの暗号化アルゴリズムおよびディフィ・ヘルマンによる鍵交換アルゴリズムは、２をグループ化する。そうならば、その後、アウトバウンドの接続を協定する場合、セキュリティシステムは同じセキュリティ・スイートを提示することがある。計算機がそれぞれインバウンドのセキュリティ・スイートと一致するアウトバウンドのセキュリティ・スイートを提示するので、鮮明度による計算機には一致するインバウンド・アウトバウンドのセキュリティ・スイートがある。このように、企業の計算機は、自動的に生成されたアウトバウンドのセキュリティ保護ポリシに基づいた安全な接続を確立することができる。交互の実施例では、セキュリティシステムは、アウトバウンドのセキュリティ保護ポリシのセキュリティ・スイートに基づいたインバウンドのセキュリティ保護ポリシを自動的に生成することがある。さらに、セキュリティシステムは、アウトバウンドのセキュリティ保護ポリシのために定義されたセキュリティ・スイートに基づいたインバウンドのセキュリティ保護ポリシを自動的に増大し、インバウンドのセキュリティ保護ポリシのために定義されたセキュリティ・スイートに基づいたインバウンドのセキュリティ保護ポリシを増大することがある。

１つの実施例では、セキュリティシステムは、デフォルト・セキュリティ・スイートに基づく接続有価証券のためにセキュリティ保護ポリシを提供することがある。セキュリティシステムは、接続有価証券用のデフォルト・セキュリティ・スイートを定義することがある。例えば、デフォルトデータ・プロテクション暗号化スイートはＥＳＰプロトコルを指定しＳＨＡ１の保全性アルゴリズムを含んでいるかもしれない。また、別のデフォルトデータ・プロテクション暗号化スイートはＥＳＰプロトコルを指定することがあり、ＳＨＡ１の保全性アルゴリズムおよび３ＤＥＳの暗号化アルゴリズムを含んでいることがある。ＥＳＰプロトコルがもっぱら保全性チェックに基づくべきても、管理者が選択することができるか、保全性を両方チェックすることおよび暗号化のに基づかせたセキュリティシステムは、ユーザ・インターフェースを通り抜けて提供することがある。管理者によってセレクションに基づいて、セキュリティシステムは自動的に関連するデフォルトデータ・プロテクション暗号化（crypto）スイート（suite、組）を使用するだろう。

図１−１４は、１つの実施例中のセキュリティシステムのユーザ・インターフェースを図解する表示ページである。図１は１つの実施例中の総括表示ページである。表示ページ１００は概観エリア１１０を含んでいる、通貨ポリシデフォルトおよびセキュリティ保護ポリシエリア１２０の概観を提供する、ユーザ・インターフェースの中で使用される概念への入門を提供する。概観エリアはドメイン・プロフィール・エリア１１１および標準プロファイルエリア１１３を含んでいる。プロフィール・エリアは、認証されたファイアウォール規則を生成する場合そのセキュリティシステムがインプリメントするデフォルトポリシを示す。ドメイン・プロフィール・エリアは、計算機が、それがメンバー（例えば企業のＬＡＮ）であるドメインに接続される場合、当てはまるデフォルトポリシを指定する。また、標準プロファイルエリアは、計算機が、それがメンバー（例えば公にアクセス可能なインターネットアクセスポイント経由の）であるドメインに接続されない場合、当てはまるデフォルトポリシを指定する。この例において、ドメイン・プロフィール・エリアは、ファイアウォールが可能になることを示す。着信接続はデフォルトで否定されるか、閉鎖される。また、アウトバウンドの接続はデフォルトで許可される。
ドメイン・プロフィール・プロパティ・ボタン１１２および標準プロファイルプロパティ・ボタン１１４は、デフォルト・プロフィール行為を修正するために表示ページへのアクセスを提供する。セキュリティ保護ポリシエリアは接続セキュリティ領域１２１およびファイアウォール・セキュリティ領域１２２を含んでいる。接続セキュリティ領域は、ユーザが接続セキュリティ規則の生成で使用されるセキュリティ・スイートを定義し、カスタム接続セキュリティ規則を作成することを可能にする。ファイアウォール・セキュリティ領域は、ユーザが認証されたファイアウォール規則を定義することを可能にする。それは、ドメイン・プロフィール・エリアあるいは標準プロファイルエリアで指定されるようなデフォルトポリシの例外を指定する。

図２は、１つの実施例中のドメイン・プロフィール用のデフォルトポリシの確立を図解する表示ページである。表示ページ２００は着信接続箱２０１、アウトバウンドの接続箱２０２およびセッティング・ボタン２０３を含んでいる。着信接続箱は、ユーザが着信接続を許可するか否定するデフォルトポリシを確立することを可能にする。アウトバウンドの接続箱は、ユーザがアウトバウンドの接続を許可するか否定するデフォルトポリシを確立することを可能にする。セッティングはボタンで留まる、ユーザがプログラムが着信接続を受理し地方の管理者が例外を作成することを可能にすることから閉鎖される場合に、ユーザに通知するようなファイアウォール・ツールの一般行動を指定することを可能にする。

図３は、１つの実施例中の鍵交換用の暗号のスイートの確立を図解する表示ページである。表示ページ３００は、ＩＰｓｅｃの主なモード中にキーの交換をコントロールするためのラジオボタン３０１および３０２、ならびにセッティング・ボタン３０３を含んでいる。ラジオボタンは、ユーザが企業内のグループによって階層的に定義されることがある暗号のスイートの標準セットを選択するか鍵交換用のカスタムセキュリティ・スイートを指定することを可能にする。一般に、認証されたファイアウォール規則およびセキュリティ・スイートのようなセキュリティ保護ポリシは、企業内の様々なグループ・レベルに定義されることがある。例えば、全企業は最高レベルのグループであることがある。また、様々なディビジョンは下位レベルグループであることがある。企業保障ポリシは、企業のすべての計算機用の最小のセキュリティ保護ポリシを指定することがある。ディビジョンセキュリティ保護ポリシは、そのディビジョンの計算機によってハンドル付きのデータの非常に感知可能な性質のために、例えばより多くの引締めポリシであることがある。セキュリティシステムは、計算機用のデフォルトセキュリティ保護ポリシが、それが階層的に属するすべてのグループのセキュリティ保護ポリシの組合せであると認証することがある。セッティング・ボタンは、ユーザがデフォルトセキュリティ保護ポリシをカスタマイズすることを可能にする。

図４は、１つの実施例中の鍵交換暗号化スイート用のセキュリティ・アルゴリズムのセッティングを図解する表示ページである。表示ページ４００は、３つの暗号のスイート４１１−４１３を定義する暗号のスイート・エリア定義領域４１０を含んでいる。暗号のスイートはそれぞれ保全性アルゴリズム、暗号化アルゴリズムおよび鍵交換アルゴリズムを指定する。鍵交換暗号化スイートの順序は、どの鍵交換スイートを用いるかを交渉する際にセキュリティ・システムによって用いられる選好を示す。

図５は、１つの実施例中のデータ保護用の暗号のスイートのセッティングを図解する表示ページである。データ保護セキュリティは保全性プロテクションおよび暗号化の両方を含んでいる。表示ページ５００は、データ保護セキュリティを管理するためのラジオボタン５０１および５０２、ならびにセッティング・ボタン５０３を含んでいる。ラジオボタンは、ユーザが標準の暗号のスイートを選択し使用するか、そしてデータ保護用のカスタム暗号化スイートを指定することを可能にする。セッティング・ボタンは、ユーザがデータ保護用のカスタムの暗号のスイートを指定することを可能にする。

図６は、１つの実施例中のデータ保護用の暗号のスイート用のセキュリティ・アルゴリズムのセッティングを図解する表示ページである。表示ページ６００はデータの完全性（保全性）エリア６０１およびデータの完全性と暗号化のエリア６０２を含んでいる。データの完全性エリアは、データの完全性のみのための暗号のスイートを指定する。暗号のスイートはそれぞれプロトコルおよび保全性アルゴリズムを指定する。データの完全性および暗号化エリアは、データの完全性と暗号化のための暗号のスイートを指定する。暗号のスイートはそれぞれプロトコル、保全性アルゴリズムおよび暗号化アルゴリズムを指定する。

図７は、１つの実施例中の認証方法のセッティングを図解する表示ページである。表示ページ７００はラジオボタン７０１−７０４およびセッティング・ボタン７０５を含んでいる、ラジオボタン７０１は、ユーザがデフォルト認証方法を選択することを可能にする。それは認証方法のヒエラルキーに基づくことがある。ラジオボタン７０２−７０４は、ユーザが交替デフォルト認証方法を選択することを可能にする。セッティング・ボタンは、ユーザがカスタム認証方法を指定することを可能にする。

図８は、１つの実施例中のデフォルトセキュリティ保護ポリシのインバウンドの例外を図解する表示ページである。表示ページ８００はインバウンドの例外エリア８１０および新しいインバウンドの例外ボタン８２０を含んでいる。インバウンドの例外エリアは、デフォルトセキュリティ保護ポリシへのインバウンドの例外８１１−８１６をリストする。インバウンドの例外はそれぞれ名前を含んでいる、行為、１つの、ユーザ、必要な暗号化、プロフィール、１つの、付加的条件、そしてイネーブル・フィールド、それはこの例において示されないインバウンドの例外他について記述する。ユーザは、インバウンドの例外を定義するか修正するために新しいインバウンドの例外ボタンを使用する。ユーザは、インバウンドと次に性質オプションとを選択することにより、インバウンドの例外を修正する。

図９−１３は、１つの実施例中のインバウンドの例外の鋳ばり取を図解する表示ページである。図９は、１つの実施例中のインバウンドの例外用一般的特性のセッティングを図解する表示ページである。表示ページ９００は名前エリア９０１、プログラムエリア９０２およびアクション・エリア９０３を含んでいる。ユーザは、名前エリアにインバウンドの例外の名前を入力し、インバウンドの例外が可能になるかどうか示す。ユーザは、インバウンドの例外が認証されたファイアウォール規則の条件としてすべてのプログラムあるいはプログラムの部分集合に当てはまるかどうか明示するためにプログラムエリアを使用する。ユーザは、インバウンドの例外の条件が満たされる場合に講ずるべき処置を指定するためにアクション・エリアを使用する。アクションは含んでいる、単に安全になった接続を許可し、かつ接続を否定するために接続をすべて許可するためである。ユーザが示す場合、その後、安全な接続だけを許可するために、自動的に対応する接続セキュリティ規則を生成することができるように、セキュリティシステムは、認証されたファイアウォール規則の自動生成フラグをセットする。

図１０は、１つの実施例中のインバウンドの例外のためのユーザおよびコンピュータ・プロパティのセッティングを図解する表示ページである。表示ページ１０００はユーザ・エリア１００１およびコンピュータ・エリア１００２を含んでいる。ユーザは、インバウンドの例外が当てはまるユーザかコンピュータを制限する認証されたファイアウォール規則の条件として、ユーザまたはコンピュータの名前を個々にあるいはグループとして入力する。

図１１は、１つの実施例中のインバウンドの例外のためのプロトコルおよびポートのセッティングを図解する表示ページである。表示ページ１１００はプロトコルエリア１１０１、ポート・エリア１１０２およびＩＣＭＰエリア１１０３を含んでいる。プロトコルエリアは、インバウンドの例外が当てはまる認証されたファイアウォール規則の条件としてユーザがプロトコルを指定することを可能にする。ポート地域は、プロトコルがＴＣＰまたはＵＤＰである場合、インバウンドの例外が当てはまる認証されたファイアウォール規則の条件としてローカルおよび対向局側ポートを示す。ＩＣＭＰエリアは、ＩＣＭＰプロトコルが指定される場合、ユーザが認証されたファイアウォール規則の条件としてインターネット制御処理プロトコルパラメータを指定することを可能にする。

図１２は、インバウンドの例外が１つの実施例中で当てはまるアドレス・スコープのセッティングを図解する表示ページである。表示ページ１２００は構内アドレスエリア１２０１およびリモート・アドレス・エリア１２０２を含んでいる。構内アドレスエリアおよびリモート・アドレス・エリアは、インバウンドの例外が当てはまる認証されたファイアウォール規則の条件としてユーザがローカルおよびリモート・アドレスを指定することを可能にする。

図１３は、１つの環境中のインバウンドの例外の高度な属性のセッティングを図解する表示ページである。表示ページ１３００はプロフィール・エリア１３０１、インターフェース型ボタン１３０２および印刷業務ボタン１３０３を含んでいる。プロフィール・エリアは、プロフィール（つまりドメイン及び／又は標準）がインバウンドの例外が当てはまると認証されたファイアウォールの条件として裁決するユーザが指定することを可能にする。インターフェース型ボタンは、インバウンドの例外が当てはまる認証されたファイアウォール規則の条件としてユーザがインターフェースのタイプを指定することを可能にする。サービス・ボタンは、インバウンドの例外が当てはまる認証されたファイアウォール規則の条件としてユーザがサービスを指定することを可能にする。

図１４は、１つの実施例中のプロフィールのアウトバウンドの例外を図解する表示ページである。表示ページ１４００は、アウトバウンドの例外をリストするアウトバウンドの免責摘要表エリア１４０１を含んでいる。セキュリティシステムは、インバウンドの例外が修正されるのと同じくらいほとんど同じ方法でユーザがアウトバウンドの例外を作成し修正することを可能にするユーザ・インターフェースを提供する。

図１５は、１つの実施例中のセキュリティシステムのデータ構造を図解するブロック図である。データ構造はセキュリティ・スイート１５０１−１５０４および規則１５０６−１５０７を含む。データ構造は１つの実施例にホスト・計算機のレジストリの一部として格納されることがある。セキュリティ・スイート１５０１は、ＩＰｓｅｃの主なモードのための認証セットを定義する。認証セットはそれぞれ認証方法と認証データを識別する。セキュリティ・スイート１５０２は、ＩＰｓｅｃの主なモード用の鍵交換暗号化スイートを定義する。鍵交換の暗号のスイートは鍵交換アルゴリズム、暗号化アルゴリズムおよび保全性アルゴリズムを含んでいる。セキュリティ・スイート１５０３は、ＩＰｓｅｃの迅速なモードのための認証セットを定義する。認証セットは認証方法と認証データを識別する。セキュリティ・スイート１５０４は、ＩＰｓｅｃの迅速なモード用のデータ保護暗号化スイートを定義する。暗号のスイートはプロトコル、暗号化アルゴリズムおよび保全性アルゴリズムを含んでいる。接続セキュリティ規則および認証されたファイアウォール規則は、ＩＰｓｅｃとファイアウォールのための規則を、それぞれ定義する。表１は、認証されたファイアウォール規則のフィールドを定義する。また、表２は、接続セキュリティ規則のフィールドを定義する。

図１６は、１つの実施例中のセキュリティシステムのコンポーネントを図解するブロック図である。セキュリティシステム１６００はユーザ・インターフェースコンポーネント１６０１を含んでいる、認証されたファイアウォール、規則は１６０２を格納する、接続、セキュリティ規則は１６０３を格納する、１つの、接続セキュリティを自動生成する、コンポーネント１６０４、ＡＬＥコンポーネント１６０５、トランスポート層エンジン１６０６、ＩＰｓｅｃコンポーネント１６０７のフェーズＩｌおよびフェーズ（フェーズ）Ｉを規定するＩＰｓｅｃコンポーネント１６０８。ユーザ・インターフェースコンポーネントは、図１−１４のユーザ・インターフェースを提供し、認証されたファイアウォール規則店の認証されたファイアウォール規則を生成し、格納する。ユーザ・インターフェースコンポーネントは、さらに接続セキュリティ規則店にユーザ定義のカスタム接続セキュリティ規則を格納することがある。その、接続セキュリティを自動生成する、認証されたファイアウォール規則から接続セキュリティ規則を生成するために、ホストコンピュータ上でコンポーネントが実行すると裁決する。その接続セキュリティを自動生成する、コンポーネントが詳細に下に記述されると裁決する。ＡＬＥコンポーネントはアプリケーション層フィルタ濾過を行ない、認証されたファイアウォール規則のファイアウォール規則を執行する、格納し、トランスポート層エンジンから判決を下されることがある考察接続セキュリティ情報へとることがある。トランスポート層エンジンはＩＰｓｅｃコンポーネントを呼び出すことにより接続セキュリティ規則を執行する。

セキュリティシステムがインプリメントされることがある計算機は中央処理装置、記憶、入力装置（例えばキーボードとポインティング・デバイス）、出力デバイス（例えば表示装置）および記憶デバイス（例えばディスクドライブ）を含んでいることがある。記憶と記憶デバイスはセキュリティシステムをインプリメントする命令を含んでいるかもしれない、コンピュータが読める媒体である。さらに、データ構造とメッセージ構造は、通信リンク上の信号のようなデータ伝送媒体によって格納されることがあるし送信されることがある。様々な通信リンクは、インターネット、ローカルエリアネットワーク、広域ネットワークあるいは二地点間のダイアルアップ接続のように使用されてもよい。

セキュリティシステムは、パーソナルコンピュータ、サーバーコンピュータ、携帯型のデバイスあるいはラップトップ・デバイス、マルチプロセッサーシステム、マイクロプロセッサ・ベース・システム、プログラム可能な家電、ネットワークＰＣ、ミニコンピュータ、メインフレーム・コンピュータ、上記のシステムあるいはデバイスのうちのどれでも含んでいる分散コンピューティング環境などを含んでいる様々な操作環境中でインプリメントされることがある。セキュリティシステムも、携帯電話、携帯情報端末、家電、ホームオートメーション・デバイスなどのような計算機上でインプリメントされることがある。

セキュリティシステムは、１つ以上のコンピュータあるいは他のデバイスによって実行されて、プログラムモジュールのようなコンピュータ実行可能命令の一般情勢に述べられることがある。一般に、プログラムモジュールは、特別のタスクか道具項目抽象データ型を行なうルーチン、プログラム、オブジェクト、コンポーネント、データ構造などを含んでいる。典型的には、様々な実施例中で望まれるように、プログラムモジュールの機能性は組み合わせられることがあるし分配されることがある。

図１７は、ある１つの実施例において、接続セキュリティ・ルール・コンポーネントの自動生成の処理を図解する流れ図である。コンポーネントは認証されたファイアウォール規則から接続セキュリティ規則を生成するために呼び出される。認証されたファイアウォール支配にはそれぞれ対応する接続セキュリティ支配が自動的に生成されるべきかどうか示すフラグがある。ユーザ・インターフェースコンポーネントは、それが作成する各認証されたファイアウォール支配のためにフラグをセットする。ブロック１７０１では、コンポーネントは次の認証されたファイアウォール規則を選択する。決定ブロック１７０２に、認証されたファイアウォール規則がすべて既にその後選択されている場合、コンポーネントはほかに完成する、コンポーネントはブロック１７０３で継続する。決定ブロック１７０３に、規則が示す場合、その後、自動的に接続セキュリティ規則を生成するために、コンポーネントはブロック１７０４で継続する、ほかに、次の認証されたファイアウォール規則を選択するために１７０１を閉鎖するコンポーネントループ。ブロック１７０４では、コンポーネントは接続セキュリティ支配データ構造を作る。ブロック１７０５では、コンポーネントは、ローカルでおよびリモート・アドレス・ポートを確立するセット５つのタプルコンポーネントおよび接続セキュリティ規則のためのプロトコルを呼び出す。決定ブロック１７０６に、選択された認証されたファイアウォール規則がリモートユーザ権限リスト、次にコンポーネントを含んでいる場合、ブロック１７０７でほかに継続する、コンポーネントはブロック１７０８で継続する。ブロック１７０７では、コンポーネントは、ユーザのための認証スイートがＩＰｓｅｃのフェーズＩｌのために定義されたかどうか判断するプロセス・リモートユーザ承認コンポーネントを呼び出す。ブロック１７０８では、コンポーネントは、接続セキュリティ規則のためにアクションをセットするためにセット・アクションコンポーネントを呼び出す。ブロック１７０９では、コンポーネントは、５つのタプルあるいは２つのタプル（つまりソースと終点アドレス）のいずれかと一致する一致する接続セキュリティ規則があるかどうか判断する。決定ブロック１７１０に、マッチがその後見つかる場合、コンポーネントは、ブロック１７１２でほかに継続する、コンポーネントはブロック１７１１で継続する。ブロック１７１１では、コンポーネントはセットを呼び出す、デフォルトに基づいた接続セキュリティ規則のために認証方法および暗号のスイートをセットする釣り合わないセキュリティ・スイートコンポーネント。ブロック１７１２では、コンポーネントは、一致する接続セキュリティ規則に基づいた認証および暗号のスイートをセットするためにセットと一致するセキュリティコンポーネントを呼び出す。その後、コンポーネントは、次の認証されたファイアウォール規則を選択するためにブロック１７０１をループにする。

図１８は、１つの実施例中のセット５−タプルコンポーネントの処理を図解する流れ図である。コンポーネントは、選択された認証されたファイアウォール規則の５つのタプルに基づいた接続セキュリティ規則の５つのタプル（つまり構内アドレス、自局側ポート、リモート・アドレス、対向局側ポートおよびプロトコル）をセットする。ブロック１８０１では、コンポーネントは、認証されたファイアウォール規則の５つのタプルを検索する。決定ブロック１８０３に、その後、構内アドレスが無指定か、ワイルドカードである場合、コンポーネントは、ブロック１８０３中のホストコンピュータを構内アドレスにほかに指させる、コンポーネントはブロック１８０４で継続する。決定ブロック１８０４に、リモート・アドレスが無指定の場合、あるいはワイルドカード、その後、コンポーネントは、ブロック１８０５中の任意のコンピュータをリモート・アドレスにほかに指させる、コンポーネントはブロック１８０６に、ブロック１８０６で継続する、コンポーネントは接続セキュリティ規則で修正されるような５つのタプルを格納し、次に、リターンする。

図１９は、１つの実施例中のプロセス・リモートユーザ権限リストコンポーネントの処理を図解する流れ図である。コンポーネントはフェーズＩｌ認証スイートが定義されたことを保証するために呼び出される。ブロック１９０１では、コンポーネントはデフォルトフェーズＩｌ認証スイートを検索する。決定ブロック１９０２に、ユーザ認証がその後指定される場合、コンポーネントはほかにリターンする、コンポーネントは、接続セキュリティ規則の生成に失敗する。

図２０は、１つの実施例中のセット・アクションコンポーネントの処理を図解する流れ図である。条件をすべてコピーすることができる場合、コンポーネントはアクションを安全にさせる。また、認証されたファイアウォール規則は、インバウンド・流通交通の両方に適用される。そうでなければ、コンポーネントはアクションをセットする、に、ＤＭＺ。トランスポート層にデータが導かれるアプリケーションについての知識がないので、アプリケーション名のような条件は接続セキュリティ規則にコピーすることができない。アクション、安全、それを安全に送ることができる場合のみデータが許可されるだろうということを示す。ＤＭＺのアクションは、５つのタプルと一致するデータを安全に送信することができなければそれが明瞭なものの中で送られるだろうということを示す。しかしながら、それはＡＬＥ層によって否定されることがある。ブロック２００１では、コンポーネントは、条件がすべてコピーされたかどうか判断する。決定ブロック２００２に、条件がすべてその後コピーされている場合、コンポーネントは、ブロック２００３でほかに継続する、コンポーネントはブロック２００４で継続する。決定ブロック２００３に、認証されたファイアウォール規則がインバウンド・流通交通（例えば、１つの規則はインバウンドのトラフィックに適用されることがある。また、別の規則が流通交通に適用されることがあるか、単一の規則がインバウンド・流通交通の両方に適用されることがある）の両方にその後適用される場合、コンポーネントは、ブロック２００５でほかに継続する、コンポーネントはブロック２００４で継続する。ブロック２００４では、コンポーネントはＤＭＺとリターンにアクションをセットする。ブロック２００５では、コンポーネントはアクションを安全にさせ、次に、リターンする。

図２１は、１つの実施例において構成要素のセキュリティ・スイートと一致するセットの処理を図解する流れ図である。コンポーネントは、一致する接続セキュリティ規則に基づいた接続セキュリティ規則のためにセキュリティ・スイートをセットする。ブロック２１０１−２１０２では、コンポーネントは、一致する接続セキュリティ規則に基づいたフェーズＩｌ認証および暗号のスイートをセットする。ブロック２１０３では、作成されている規則がインバウンドの規則でリターンする場合、コンポーネントは暗号化に、より高い優先順位を与える。

図２２は、ある１つの実施例における設定された一致しないセキュリティ・スイート・コンポーネントの処理を図解する流れ図である。デフォルト・セキュリティ・スイートに基づいたフェーズＩおよびフェーズＩｌ認証方法中の構成要素のセットおよび暗号のスイート。ブロック２２０１では、コンポーネントはデフォルトのフェーズのＩの暗号のスイートを識別する。ブロック２２０２では、コンポーネントはデフォルトフェーズＩ認証方法を識別する。ブロック２２０３では、コンポーネントはデフォルトのフェーズのＩの暗号のスイートを識別する。決定ブロック２２０４に、認証されたファイアウォール規則が認証のみを示す場合、ブロック２２０５では、コンポーネントは保全性プロテクションに、より高い優先順位を与える。決定ブロック２２０６に、認証されたファイアウォール規則が認証と暗号化の両方をその後示す場合、コンポーネントは、ブロック２２０７でほかに継続する、コンポーネントはブロック２２１０で継続する。決定ブロック２２０７に、認証されたファイアウォール規則がそうである場合、のために、インバウンド、だけ、その後、コンポーネントは、ブロック２２０９でほかに継続する、コンポーネントはブロック２２０８で継続する。ブロック２２０８では、コンポーネントは保全性プロテクションに、より高い優先順位を与える。ブロック２２０９では、コンポーネントは保全性プロテクションに、より低い優先順位を与える。ブロック２２１０では、コンポーネントはデフォルトフェーズＩｌ認証方法を識別する。その後、コンポーネントは、識別された認証方法および暗号のスイートに基づいた接続セキュリティ規則のセキュリティ・スイートをセットし、次に、リターンする。

図２３は、１つの実施例中の接続セキュリティ用のアウトバウンドのセキュリティ保護ポリシを確立するためにコンポーネントの処理を図解する流れ図である。コンポーネントは、インバウンドのセキュリティ保護ポリシのセキュリティ・スイートに基づいたアウトバウンドのセキュリティ保護ポリシを確立する。ブロック２３０１では、コンポーネントは、セキュリティ・スイートを含んでいるＩＰｓｅｃのためのインバウンドのセキュリティ保護ポリシを検索する。ブロック２３０２では、コンポーネントはインバウンドのセキュリティ保護ポリシからセキュリティ・スイートを識別する。ブロック２３０３では、コンポーネントは、識別されたセキュリティ・スイートに基づいたアウトバウンドの接続を協定する。１つの実施例では、アウトバウンドの接続を協定する場合、コンポーネントは多数のセキュリティ・スイートを提示することがある。セキュリティ・スイートは、優先権が最も複雑でないセキュリティ・アルゴリズムに与えられるように、それらのセキュリティ・アルゴリズムの複雑さに基づいて命じられることがある。コンポーネントは、さらにインバウンドのセキュリティ保護ポリシのセキュリティ・スイートの中で定義されたセキュリティ・アルゴリズムの様々な組合せに基づいたセキュリティ・スイートを自動的に生成することがある。例えば、１つのセキュリティ・スイートは、ＳＨＡ１の保全性アルゴリズムおよび３ＤＥＳの暗号化アルゴリズムを指定することがある。また、別のセキュリティ・スイートは、ＳＨＡ−２５６の保全性アルゴリズムおよびＡＥＳ−１２８の暗号化アルゴリズムを指定することがある。そのような場合では、コンポーネントは、ＳＨＡ１の保全性アルゴリズムおよびＡＥＳ−１２８の暗号化アルゴリズムを指定するアウトバウンドのセキュリティ・スイート、およびＳＨＡ−２５６の保全性アルゴリズムおよび３ＤＥＳの暗号化アルゴリズムを指定するアウトバウンドのセキュリティ・スイートを生成することがある。

図２４は、１つの実施例中のデフォルト・セキュリティ・スイートに基づいた接続セキュリティ保護ポリシを確立するためにコンポーネントの処理を図解する流れ図である。ブロック２４０１では、コンポーネントは接続セキュリティのためにデフォルト・セキュリティ・スイートを提供する。デフォルト・セキュリティ・スイートは、保全性照合のみに基づいたか、保全性チェックおよび暗号化に基づいたデータ保護モードをインプリメントすることがある。ブロック２４０２では、コンポーネントは、管理者からデータ保護モードのセレクションを受け取る。ブロック２４０３では、コンポーネントは、選択されたデータ保護モードに関連したデフォルト・セキュリティ・スイートを使用して、接続セキュリティを協定する。

図２５は、１つの実施例中のＩＰｓｅｃの主なモード用のセキュリティ・スイートを自動的に生成するコンポーネントの処理を図解する流れ図である。コンポーネントは、セキュリティ保護ポリシのインバウンドかアウトバウンドのセキュリティ・スイートによって定義されたセキュリティ・アルゴリズムの様々な組合せに基づいたセキュリティ・スイートを生成する。ブロック２５０１では、コンポーネントは、セキュリティ・スイートの次の鍵交換アルゴリズムを選択する。決定ブロック２５０２に、鍵交換アルゴリズムがすべて既にその後選択されている場合、コンポーネントはほかに完成する、コンポーネントはブロック２５０３で継続する。ブロック２５０３では、コンポーネントは、セキュリティ・スイートの次の保全性アルゴリズムを選択する。決定ブロック２５０４に、保全性アルゴリズムがすべて既にその後選択されている場合、次の鍵交換アルゴリズムをほかに選択するために２５０１を閉鎖するコンポーネントループ、コンポーネントはブロック２５０５で継続する。ブロック２５０５では、コンポーネントは、セキュリティ・スイートの次の暗号化アルゴリズムを選択する。決定（判断）ブロック２５０６に、暗号化アルゴリズムがすべて既に選択されている場合、次の保全性アルゴリズムをほかに選択するために２５０３を閉鎖するコンポーネントループ、コンポーネントはブロック２５０７で継続する。ブロック２５０７では、コンポーネントは、選択ボタン交換アルゴリズム、保全性アルゴリズムおよび暗号化アルゴリズムに基づいた新しいセキュリティ・スイートを形成する。インバウンドかアウトバウンドの接続を協定する場合、セキュリティシステムは新しく決まったセキュリティ・スイートを使用することができる。その後、コンポーネントは次の暗号化アルゴリズムを選択するために２５０５を閉鎖するためにループする。

以上では、発明の対象を構造的な特徴及び／又は方法的な行為に特有の言語を用いて説明したが、冒頭の特許請求の範囲において定義された発明は以上で用いられた特定の特徴には制限されていないことは理解されるはずである。もっと正確に言えば、上述した特定の特徴および行為は、特許請求の範囲を実現する例示として開示されている。従って、本発明は、特許請求の範囲によってのみその範囲を画定される。

本発明の上述した及びそれ以外の目的、特徴及び効果は、本発明の好適実施例に関する以上の説明から明らかであろう。なお、添附の図面では、異なる複数の図面を通じて同一の構成要素には同一の参照番号が付されている。また、これらの図面は、寸法通りではなく、むしろ、本発明の原理を説明することに重点がおかれている。
ある実施例における全体的なディスプレイ・ページである。 ある実施例のある領域に対するデフォルト・ポリシの確立を図解するディスプレイ・ページである。 ある実施例における鍵交換のためのセキュリティ・スイートの確立を図解するディスプレイ・ページである。 ある実施例における鍵交換のためのセキュリティ・スイートの設定を図解するディスプレイ・ページである。 ある実施例におけるデータ保護のためのセキュリティ・スイートの設定を図解するディスプレイ・ページである。 ある実施例におけるデータ保護のためのカスタム・セキュリティ・スイートの設定を図解するディスプレイ・ページである。 ある実施例における認証のためのセキュリティ・スイートの設定を図解するディスプレイ・ページである。 ある実施例におけるデフォルト・セキュリティ・ポリシへのインバウンドな例外を図解するディスプレイ・ページである。 ある実施例におけるインバウンドな例外のための一般的な性質の設定を図解するディスプレイ・ページである。 ある実施例におけるインバウンドな例外のためのユーザ及びコンピュータの性質の設定を図解するディスプレイ・ページである。 ある実施例におけるインバウンドな例外のためのプロトコル及びポートの設定を図解するディスプレイ・ページである。 ある実施例においてインバウンドな例外が適用されるアドレス範囲の設定を図解するディスプレイ・ページである。 ある実施例におけるインバウンドな例外の進んだ属性の設定を図解するディスプレイ・ページである。 ある実施例におけるプロファイルへのアウトバウンドな例外を図解するディスプレイ・ページである。 ある実施例におけるセキュリティ・システムのデータ構造を図解するブロック図である。 ある実施例のセキュリティ・システムのコンポーネントを図解するブロック図である。 ある実施例において接続セキュリティ・ルール・コンポーネントを自動生成する処理を図解する流れ図である。 ある実施例において設定された５タプル・コンポーネントの処理を図解する流れ図である。 ある実施例におけるプロセス・リモート・ユーザ承認リストの処理を図解する流れ図である。 ある実施例における設定されたアクション・コンポーネントの処理を図解する流れ図である。 ある実施例における設定された一致する認証及び暗号化スイート・コンポーネントの処理を図解する流れ図である。 ある実施例における設定された一致しない認証及び暗号化スイート・コンポーネントの処理を図解する流れ図である。 ある実施例において接続セキュリティのためのアウトバウンドなセキュリティ・ポリシを確立するコンポーネントの処理を図解する流れ図である。 ある実施例においてデフォルトのセキュリティ・スイートに基づいて接続セキュリティ・ポリシを確立するコンポーネントの処理を図解する流れ図である。 ある実施例においてＩＰｓｅｃのメイン・モードのためにセキュリティ・スイートを自動生成するコンポーネントの処理を図解する流れ図である。

Claims (20)

1. コンピュータ・システムにおいて、ファイアウォール・ポリシと接続ポリシとのためのセキュリティ・ポリシを作成する方法であって、
   ファイアウォール・ポリシと接続ポリシとに関係するセキュリティ・ルールをユーザが特定することができるユーザ・インターフェースを提供するステップと、
   前記特定されたセキュリティ・ルールからファイアウォール・ルールと接続ルールとを自動生成するステップと、
   を含むことを特徴とする方法。
2. 請求項１記載の方法において、接続ルールはＩＰセキュリティ・プロトコルの振る舞いを特定することを特徴とする方法。
3. 請求項１記載の方法において、接続ルールは鍵交換とデータ保護と接続と関連する認証とを特定することを特徴とする方法。
4. 請求項３記載の方法において、データ保護は暗号化及び保全性技術を特定することを特徴とする方法。
5. 請求項１記載の方法において、セキュリティ・ルールは、条件と、前記条件が満たされるときになすべきアクションと、前記条件を満足するデータに対する認証及び暗号化の振る舞いとを特定することを特徴とする方法。
6. 請求項１記載の方法において、ファイアウォール・ルールは条件と前記条件が満たされるときになすべきアクションとを含み、前記条件は接続セキュリティ情報に基づきうることを特徴とする方法。
7. 請求項１記載の方法において、ユーザは前記ユーザ・インターフェースを通じてＩＰセキュリティ・プロトコルのメイン・モードとクイック・モードとに対するセキュリティ・スイートを特定することができることを特徴とする方法。
8. 請求項７記載の方法において、メイン・モードのための前記セキュリティ・スイートは認証方法と暗号化スイートとを含むことを特徴とする方法。
9. 請求項７記載の方法において、クイック・モードのための前記セキュリティ・スイートは暗号化スイートを含むことを特徴とする方法。
10. 請求項７記載の方法において、接続ルールはデフォルトのセキュリティ・スイートに基づいて自動生成されることを特徴とする方法。
11. コンピュータ・システムを制御して接続ルールを生成する命令を含むコンピュータ可読な媒体であって、
    セキュリティ・ルールのローカル及びリモートなアドレス情報に基づいて前記接続ルールのためのエンドポイント情報を確立するステップと、
    前記セキュリティ・ルールの条件を前記接続ルールにコピーできるかどうかに基づいて前記接続ルールのためのアクションを確立するステップと、
    デフォルトのセキュリティ・スイートに基づいて前記接続ルールのための接続セキュリティ・スイートを確立するステップと、
    を含む方法によって、接続ルールを生成する命令を含むコンピュータ可読な媒体。
12. 請求項１１記載のコンピュータ可読な媒体において、前記デフォルトのセキュリティ・スイートは認証方法と暗号化スイートとのためのメイン・モードとクイック・モードとを含むことを特徴とするコンピュータ可読な媒体。
13. 請求項１１記載のコンピュータ可読な媒体において、前記セキュリティ・スイートの確立は、一致するエンドポイント情報を用いて接続ルールに対して既に確立されたセキュリティ・スイートに基づくことを特徴とするコンピュータ可読な媒体。
14. 請求項１１記載のコンピュータ可読な媒体において、前記セキュリティ・ルールのすべての条件をコピーできるときには、安全な接続を確立することができないときにアクションは失敗することを指示することを特徴とするコンピュータ可読な媒体。
15. 請求項１１記載のコンピュータ可読な媒体において、前記セキュリティ・ルールのすべての条件をコピーできるとは限らないときには、安全な接続を確立できないときに安全でない接続を確立することを指示するアクションを確立するステップを更に含むことを特徴とするコンピュータ可読な媒体。
16. 請求項１１記載のコンピュータ可読な媒体において、前記エンドポイントの確立は、前記セキュリティ・ルールのローカル・アドレスが特定されていないときには、ローカルな計算機を指示するように前記ローカル・エンドポイント情報を設定することを含むことを特徴とするコンピュータ可読な媒体。
17. 請求項１１記載のコンピュータ可読な媒体において、前記エンドポイントの確立は、前記セキュリティ・ルールのリモート・アドレスが特定されていないときには、任意のリモートな計算機を指示するように前記リモート・エンドポイント情報を設定することを含むことを特徴とするコンピュータ可読な媒体。
18. ファイアウォール・アクションと、
    方向とローカル・アプリケーションとローカル・サービスとローカル・アドレスとリモート・アドレスとローカル・ポートとリモート・ポートとを含む条件と、
    前記条件を満たすデータが伝送される接続に適用されるセキュリティを指示する接続セキュリティと、
    を含むデータ構造を含むコンピュータ可読な媒体。
19. 請求項１８記載のコンピュータ可読な媒体において、前記接続セキュリティは認証と暗号化とを特定することを特徴とするコンピュータ可読な媒体。
20. 請求項１８記載のコンピュータ可読な媒体において、認証方法と暗号化スイートとを更に含むことを特徴とするコンピュータ可読な媒体。

Images