JP2009516265A - ネットワークマップ属性を修正する方法およびシステム - Google Patents

Abstract

開示されたシステムと方法は、自動的且つ受動的に判定されたホスト構成データを修正するための、およびホストに関連付けられた他のパラメータを追加または修正するためのユーザインタフェースを提供する。ホストデータテーブルは、特定の脆弱性の適用を含む、ホストの様々なパラメータ記述を格納できる。一または複数のホストが特定の脆弱性に関連しているとは識別されないと判定した場合、グラフィカルユーザインタフェースは脆弱性パラメータを修正するために使用できる。

Description

本発明の実施形態は、コンピュータネットワークの特性を判定するためのシステムと方法に関する。特に、本発明の実施形態は、自動的且つ受動的にコンピュータネットワークのホスト構成を判定し、ホスト構成データを修正するためのユーザインタフェースを提供することに関する。

コンピュータとこのようなコンピュータに接続するコンピュータネットワークは、現代社会において極めて重要な構成要素である。残念ながら、このようなコンピュータネットワークは、内部と外部の敵意あるソースから攻撃を受易い。このような攻撃を防ぐために侵入検出システム（ＩＤＳ）が使用される。従来の侵入検出システムは、トラフィックに関してネットワークトラフィックを分析することによって機能する。しかし、侵入検出システムは、ネットワークトラフィックのエンドポイントを認識しない。エンドポイントとは、発信元と受信者のメッセージトラフィックのことである。たとえばこのようなエンドポイントとしては、クライアントやサーバが挙げられる。エンドポイントを分析することによって、ホストアドレスやサービスなどネットワークに関してコンテキスト情報が分かる。これらのエンドポイントを考慮に入れないと、ネットワークに関してコンテキスト情報の極めて重要な部分が失われる。この結果、コンピュータネットワークトラフィックのエンドポイントに関する情報を提供する技術がとても必要である。

侵入検出システムは、監視しているコンピュータネットワークに関してコンテキスト情報を持たないため、実際よりも効果が小さい。たとえばコンテキスト情報がなければ、侵入検出システムは、検出回避として知られるコンピュータネットワーク攻撃を受け易い。侵入検出システムが保持していないネットワークエンドポイント情報を攻撃者が使用する場合に検出回避が生じ、侵入検出システムによる検出をうまく切抜ける。公知の方法の検出回避は、インサーションである。様々なサイズのパケットを処理するルーティングインフラストラクチャを備えたネットワークでは、インサーションを使用できる。たとえば装置の一方に最大サイズが１５００バイト、他方に５００バイトをサポートするネットワークに、ルーティングリンク（ルータまたは他の装置）を装着することも可能である。誰かが装置の他方でホストと通信しようとする場合、送信可能な最大のパケットサイズは５００バイトである。この最大限は「Ｐａｔｈ ＭＴＵ（最大転送単位）」と呼ばれる。攻撃者がこれを知ると、２つの適切なサイズのパケット間に大きなパケットを送信でき、オーバーサイズのパケットを受信するために侵入検出システムを取得し、ホストで実際に受信されるデータの悪いモデルを侵入検出システムに与える。

コンテキスト情報がないことによって侵入検出システムは、攻撃を受け易くなるだけでなく、侵入検出システムの効率も低下する。１つのこのような無能力は、コンテキスト情報がなければ、侵入検出システムは攻撃が害を及ぼすか否か見分けできないことである。ターゲットホストによって実行される特定のサービスに攻撃を向けることも可能である。ターゲットホストによって実行されるサービスに関する情報がなければ、侵入検出システムは、狙われるサービスをホストが実行していなくても、攻撃を誤って検出することがある。つまり侵入検出システムは、攻撃が無害であっても警告を出す。このようなイベントを誤検出と呼ぶ。多数の誤検出によって、ネットワーク上のホストを害する本当の攻撃を見つけることが困難になり、費用も掛かる。

コンテキスト情報を侵入検出システムに提供する従来の技術が幾つか知られる。このような技術の１つは、人が手動で各々のホストを監視して、すべての希望するコンテキスト
情報を収集するものである。この手動方式は、時間が掛かる、エラーが生じ易い、メンテナンスが困難であるなどの短所が数多くある。これらの欠点の１つの理由は、現実的にネットワークが動的であるということである。コンピュータネットワークのホストコンピュータは、追加されたり、取外されたり、再構成されたりする。これらの修正が細部に至るまで正確に記載されていなければ、コンテキスト情報が最新のものであるか確認するためにネットワーク上の各々のコンピュータを定期的に巡回しなければならない。

コンテキスト情報を侵入検出システムに提供する別の従来の方式は、自動発見システムである。従来の自動発見システムは、アクティブスキャンシステムであり、コンピュータネットワーク上のエンドホストをアクティブに調査し、エンドホストにおいて刺激応答テストを実施して、エンドホストに存在する脆弱性を見つけ出して記録する。手動ではないが、スキャンシステムは様々な問題を抱える。１つの問題は、アクティブスキャンがネットワークに対して有害であるということである。脆弱性のテストにおいて、スキャンシステムによってルータとサーバの両方が誤動作を引き起こしたり、機能を停止したりすることがある。別の問題は、多くの例において、アクティブスキャナが提供する情報と、侵入検出システムが使用できる情報との間に１対１のマッピングが存在しないため、スキャンシステムが有益な情報を侵入検出システムに提供できないことである。別の問題は、スキャンが実施されるときにアクティブスキャナだけがネットワークのスナップショットを提供することにある。ホストは、脆弱なサービスを一時的に実行可能であるため、このスナップショットには問題がある。このような場合、脆弱なサービスを実行していないときにアクティブスキャンを実行する場合もある。この結果、脆弱性の一時的性質にも拘わらず、アクティブスキャンはアラームを発行しない。

自動的且つ受動的にホストの構成を判定する利点がある一方で、受動的に判定したマップに役立つ情報が組込まれていない場合が存在することもある。たとえば特定バージョンのサービスに特定の脆弱性があることが知られる場合もあるが、その一方で別バージョンの同一のサービスが脆弱性でない場合もある。場合によっては、ホストで実行されるサービスにパッチが適用されていて、それによって公知の脆弱性が解消される場合もある。このような場合、インタフェースが提供され、よってユーザは、ネットワークマップに格納されたデータを修正できるという利点がある。更なる利点は、ユーザが都合良いことにグラフィカルユーザインタフェースを利用してネットワークマップデータに注釈を付けることができる。

前述を鑑みると、コンピュータネットワークの自動的且つ受動的に判定したホスト構成を修正するためのユーザインタフェースを効率的に提供できるシステムと方法の必要性が実質的にあることを十分理解できる。

本発明の一実施形態は、ネットワーク上の装置に脆弱性パラメータを割当てる方法を含む。前記方法は、オペレーティングシステムまたはサービスの脆弱性パラメータを定義付け、ネットワーク装置に関連付けたホストマップの脆弱性パラメータを格納し、脆弱性パラメータを表示と修正するためのグラフィカルユーザインタフェースを提供し、前記サービスまたはオペレーティングシステムに関連付けた前記ホストマップにおける修正済み脆弱性パラメータを格納する。

本発明の別の実施形態は、ネットワークの特性を自動的且つ受動的に判定する方法を含む。前記方法は、ネットワーク上に送信された一または複数のパケットを読取り、前記一または複数のパケットを使用して前記ネットワーク上のネットワーク装置を識別し、前記
ネットワーク装置に関連付けたホストマップレコードにおける前記ネットワーク装置の識別を記録し、ユーザからパラメータを受信するためのグラフィカルユーザインタフェースを提供し、前記ネットワーク装置に関連付けた前記ホストマップレコードにおける前記ユーザパラメータを記録する。

本発明の別の実施形態は、ネットワーク上の装置に脆弱性パラメータを割当てるためのシステムである。前記システムは、ネットワーク装置に関連付けたホストマップにおけるオペレーティングシステムまたはサービスの脆弱性パラメータを格納するコンピュータ読取可能な媒体と、前記サービスまたはオペレーティングシステムに割当てられた前記脆弱性パラメータを表示と修正するためのグラフィカルユーザインタフェースを表示するディスプレイと、前記サービスまたはオペレーティングシステムに関連付けた前記ホストシステムにおける前記修正済み脆弱性パラメータを格納するコンピュータ読取可能な媒体とを備える。

本発明の別の実施形態は、ネットワークの特性を自動的且つ受動的に判定するためのシステムである。前記システムは、前記ネットワーク上に送信された一または複数のパケットを受信し、前記一または複数のパケットを使用して前記ネットワーク上の装置を識別する受信器と、ホストマップにおける前記ネットワーク装置の識別を格納するコンピュータ読取可能な媒体と、ユーザからパラメータを受信するためのグラフィカルユーザインタフェースを表示するディスプレイと、前期識別済みのネットワーク装置に関連付けた前記ホストマップに前記ユーザパラメータを格納するコンピュータ読取可能な媒体とを備える。

受動的に判定したネットワーク特性データベースを修正するためのシステムと方法の実施形態が、本発明のこの詳細な説明に記載される。この詳細な説明によれば、説明を目的として、多くの特有の詳細が、本発明の実施形態を完全に理解できるように示される。しかし、当然のことながら、当業者は、これらの詳細が示されていなくても、本発明の実施形態を実施できる。他の例においては、ブロック図の形態で構造と装置が示される。更に当業者は、方法を提示して実施される特定の順序が実例であることを容易に理解でき、この順序は、修正されることも可能であり、また本発明の実施形態の精神と範囲は、維持されたままであると考えられる。

本発明は、マークＡノートン（Ｍａｒｃ Ａ． Ｎｏｒｔｏｎ）とダニエルＪロールカー（Ｄａｎｉｅｌ Ｊ． Ｒｏｅｌｋｅｒ）によって２００４年３月８日に出願された「侵入検出の方法およびシステム」という発明の名称の係属中の米国特許出願第１０／７９３，８８７号に記載されるような侵入検出システムに適用可能であり、参照によってその全体をここに援用する。更に本発明は、マーティンローシュ（Ｍａｒｔｉｎ Ｒｏｅｓｃｈ）、ウィリアムアンドリューボーゲル三世（Ｗｉｌｌｉａｍ Ａｎｄｒｅｗ Ｖｏｇｅｌ，ＩＩＩ）、およびマットウォッチンスキー（Ｍａｔｔ Ｗａｔｃｈｉｎｓｋｉ）によって２００４年５月１２日に出願された「ネットワーク特性を判定し、脆弱性を分析するためのシステムおよび方法」という発明の名称の係属中の米国特許出願第１０／８４３，３５３号に記載されるような脆弱性の分析にも適用可能であり、参照によってその全体をここに援用する。

本発明の実施形態は、受動的に判定したネットワークマップまたは特性データベースに適用できる。これらのシステムは、ネットワーク間を移動するパケットを調べるために受動的である。つまりこれらのシステムは、アクティブスキャンを実行しない。これらのシステムは、殆どまたは全く人の介在を必要としないために自動的である。このような受動システムは、（１）ネットワーク上において各々のネットワーク装置を識別すること、（２）各々のネットワーク装置上において実行されるオペレーティングシステムとサービス
を識別すること、（３）ネットワーク上において起こる修正をリアルタイムで記録すること、および（４）ネットワーク報告メカニズムで使用できる形式でこの情報を収集することなどを含む機能を実行することによって動作する。例示的なネットワーク報告メカニズムとしては、侵入検出システムと管理システム（ＭＭＳ）がある。

ネットワーク報告メカニズムは、ネットワークに関する特性情報について、ネットワーク間を移動するパケットをリアルタイムで調べることができる。特性情報のこのような１つのタイプとしては、ネットワーク上のネットワーク装置またはホストに関連する情報がある。当業者は、ネットワーク装置がネットワーク接続を用いた装置であると十分に理解できる。ネットワーク装置は、コンピュータ、プリンタ、スイッチ、ゲーム機、およびルータに限定されない。

ネットワークトラフィックに応じて、ネットワーク装置のＩＤ（識別データ）が記録される。ＩＤは、たとえばファイルまたはデータベースにデータ構造として格納される。パケットが以前に記録されていたネットワーク装置を識別すると、現在の情報が以前の情報と比較され、修正点が記録される。修正が見つからなければ、新たな情報は記録されない。いずれの場合でも、次のパケットが読取られる。

図１は、本発明の実施形態によってネットワーク特性を自動的且つ受動的に判定するための例示的な方法１００を示すフローチャートである。
方法１００のステップ１１０において、ネットワーク上を転送されるパケットが読取られる。

ステップ１２０において、ネットワーク装置は、パケットを用いて識別される。ネットワーク装置としてはコンピュータ、プリンタ、およびルータがあるが、これらに限定されない。当業者は、ネットワーク装置がホストとも呼ばれることを十分に認識している。

ステップ１３０では、ネットワーク装置のＩＤが記録される。ＩＤは、たとえばファイルまたはデータベースにデータ構造として格納される。パケットが以前に記録されたネットワーク装置を識別する場合、現在の情報が以前の情報と比較され、修正点が記録される。修正が見つからなければ、新たな情報は記録されない。いずれの場合でも、次のパケットを読取るために方法１００はステップ１１０に戻る。

図２は、ネットワーク装置情報またはホスト情報を格納する例示的なデータ構造である。このデータ構造は、ホストの代表的データ構造である。限定されない例として、ホスト情報に、イニシエータＩＰ（インターネットプロトコル）アドレス、各々のメディアアクセスコントロールアドレス（ＭＡＣアドレス）用の有効期限（ＴＴＬ）パラメータを持ったメディアアクセスコントロールアドレスのリスト、オペレーティングシステムのリスト、ネットワークプロトコルのリスト、トランスポートプロトコルのリスト、通信制御プロトコル（ＴＣＰ）サービスデータ構造、ユーザデータグラムプロトコル（ＵＤＰ）サービスデータ構造のリスト、仮想ＬＡＮ（ＶＬＡＮ）タグ、および最終確認日時を含めることができる。ネットワーク上の少なくとも１つのネットワーク装置のＩＰアドレス、メディアアクセスコントロールアドレス、およびＴＴＬパラメータは、通常、ネットワーク上を転送される各々のパケットに含まれる。この結果、ホスト情報のこれらの一部は、各々のパケットのネットワークプロトコルフィールドと転送プロトコルフィールドを直接的に構文解析することによって得られる。

［脆弱性の分析］
ネットワークモニタリングシステムの中には、脆弱性がネットワーク上において発見されたホストに存在していることもある。脆弱性は、ホストまたはホストサービスに対して
悪意を持ってアクセス権を得たり、ホストまたはホストサービスに悪意を持って攻撃したりする公知の方法である。ホストに存在する脆弱性は、様々なソースから派生したものであり、ネットワーク装置を格納するために上述したデータ構造にこの情報を格納できる。たとえば侵入検出システムは、脆弱性リストを保持できる。

潜在的脆弱性のリストは、脆弱性データベース（ＶＤＢ）に格納できる。ホストまたはホストサービスが識別されると、脆弱性データベースから一または複数の脆弱性がリアルタイムでホストまたはホストサービスにマッピングされる。その後、これらの脆弱性は、特定のホストまたはサービスに連携したグラフィカルユーザインタフェースによって表示できる。管理者は、パッチ固有のシステムまたはシステムグループに関連してこの情報を使用できる。

場合によっては、発見されたホストを能動的にスキャンし、すべての考えられる脆弱性のリストから中核となる脆弱性の小さな集合に至るこのホストのリストを洗練できる。ターゲットシステム上において既にパッチされている脆弱性、またはサービスの構成のために現在は存在していない脆弱性の優先順位降下に伴う脆弱性の削除によって、管理者は、これらの脆弱性を解決する努力を特定された問題領域に向けることができる。

本発明によって、定義済みまたはユーザ定義の値を用いて定義済み且つユーザ定義済みのホスト属性を作成と修正できる。更に本発明によって、手動的にホストのこれらの属性値をユーザが調整できる。実施形態によっては、アプリケーションプログラムインタフェース（ＡＰＩ）を介して提供されるグラフィカルユーザインタフェース（ＧＵＩ）を利用することによってホスト属性を修正できる。このインタフェースを利用して、ユーザは、グラフィカルユーザインタフェースを介してネットワークマップおよび／またはデータベースを修正できる。非限定的な例として、（ａ）ネットワークマップからのホストとネットワークサブネットの削除、（ｂ）ネットワークマップからのサービスの削除、（ｃ）「非適用」として脆弱性へのマーキング、（ｄ）ホストエントリの重要度フィールドの修正、および（ｅ）ホストのテキスト注釈のための機能を、ユーザに付与できる。

［「非適用」として脆弱性マッピングの選択的マーキング］
ユーザは、特定ホストの「非適用」として脆弱性を印付けできる。特定のホストまたはサービスに対して無効（または非適用）であることを示すネットワーク装置データベースのデータベースフィールドを用いて、「非適用」である脆弱性にタグを付けることができる。この結果、「非適用」脆弱性をホストプロファイルの個別リストに表示でき、またこれらの脆弱性に基づいてインパクトフラグを設定できる。脆弱性を「非適用」として印付けすれば、ユーザは、脆弱性を再アクティブ化できる。脆弱性の再アクティブ化によってデータベースフラグの設定が解除され、インパクトフラグが再び脆弱性を使用するようになり、またユーザインタフェースの「有効」または「適用」の脆弱性セクションによって脆弱性が表示される。「無効」または「非適用」脆弱性（Vulnerability）を示すユーザ
インタフェースの例を図１２に示す。

或る実施形態では、「非適用」と印を付けられた脆弱性が、一または複数の定義済みイベントの発生において「非適用」としてのステータスを失うこともある。たとえばエンティティ上のオペレーティングシステムまたはサービスに修正が生じ、これによって新たな脆弱性の検索が行われると、該当する場合、「妥当な」脆弱性としてエンティティに脆弱性を再マップできる。オペレーティングシステム修正のイベントが発生すると、以前の脆弱性リストを削除して、新たな脆弱性の検索を実行できる。脆弱性がオペレーティングシステムに存在し、オペレーティングシステムの修正イベントの前に「無効」として印が付けられる場合、脆弱性を「有効な」脆弱性として再マップできる。

［複数の脆弱性修正］
或る実施形態では、１つのユーザアクションを持った幾つかのホストについて「非適用」として脆弱性に印を付けることができる。このような実施形態において、特定の脆弱性によってマップされた複数のホストまたはサービスを検索してから識別し、ユーザは、各々のホストまたはサービスを手動で選択する必要がなく、それらすべてに「非適用」として印が付けられる。

［ユーザ定義属性］
本発明の特定の実施形態では、ホストプロファイルに一または複数の属性を作成し、値またはデータタイプをその属性に割当てるためのインタフェースを含めることができる。たとえば属性には、（ａ）高、中、または低などの値を持った運用重要度属性、（ｂ）「ロックビル」、「サンタクララ」、「ロンドン」のような例示的値を格納するための場所属性、（ｃ）０〜６００のような定義済み範囲内で整数値タイプを格納するための部屋番号属性を含めることができる。

［属性タイプ］
ユーザは、以下の一または複数の属性タイプを、グラフィカルユーザインタフェースを利用して編集可能である。

［テキスト属性タイプ］
この属性タイプは、単一のテキスト属性フィールドであって、ホストプロファイルに付加するか、またはホストプロファイルに含めることができる。セキュリティ上の問題を生じる場合がある特殊文字の属性テキスト値からの削除は、自動的に処理できる。例示的テキストまたは注釈フィールドを図１７に示す。

［整数範囲タイプ］
この属性タイプは、ユーザ定義最小整数とユーザ定義最大整数の間の整数として定義される。ユーザが整数をこの属性に割当てようとする場合、この属性が定義範囲を外れると、エラーが返される。属性定義が修正されると、定義範囲を外れる任意のホスト属性の設定が削除される。

［値リストタイプ］
この属性タイプは、文字列値のリストと定義される。少なくとも１つの値を定義できる。各々のエントリにＩＤを含めることができ、属性値がホストに割当てられる場合、このＩＤを使用して属性値を識別できる。属性が修正され、項目が削除されると、この項目を用いた任意のホスト属性の設定が削除されることもある。たとえば「場所」リスト属性が存在し、またシステムが「ロックビル」位置に割当てられる場合には、「ロックビル」の位置が削除されると、「ロックビル」値を持ったすべてのホストから場所属性が削除される。

［ＩＰ割当値リストタイプ］
各々のリスト項目は、ネットワーク定義リスト（ＩＰアドレス／ＣＩＤＲ注釈のネットマスクペア）に関連付けることができる。またホストの属性値は、ＩＰアドレスに基づいて自動的に設定できる場合を除き、この属性タイプは値リストタイプと同じである。特定のリスト項目の値を修正すると、この設定値を持った他のホストは自動的に更新できる。

最大限の仕様から最小限の仕様に至るまでネットワーク定義を評価できる。たとえばネットワーク１０．４．０．０／１６と１０．０．０．０／８が異なるレベルに指定される場合、ホスト１０．４．１２．６８には１０．４．０．０／１６のネットワークに一致する値を割当てできる。リスト項目のＩＰ範囲が修正されると、ホストの属性値設定値を自
動的に再評価できる。

［ホスト重要度］
ネットワークマップのホストにサーバ重要度フィールドを提供できる。このフィールドは、ホストのデータベースとメモリマップ表現の両方に追加でき、しかも、検索可能フィールドにできる。図３に、この属性を検索するための例示的インタフェースを示す。

１つの例示的な実施形態では、重要度カタログには、無、低、中、および高の４つのレベルを含めることができる。「無」レベルは、デフォルトレベルとして定義できる。新たなホストがネットワークマップに追加されると、新たなホストは、このレベルに自動的に割当てられる。ユーザは、個々のホストのレベルを修正したり、検索結果画面および／またはホストビュー画面からの選択ホストにレベル修正を適用したりできる。重要度フィールドを設定する例示的なインタフェースを図１５と図１７に示す。以下に詳細に説明するように、一または複数の方針と応答に関連付けられた規則に重要度フィールドを使用できる。

ユーザは、ホストマップのビューから特定のホストを選択可能である。図１５に示した例示的なインタフェースによって、ユーザがリンクをクリックすると、ポップアップが表示され、ユーザは、特定ホストの重要度レベルを選択できる。

［ネットワークモニタリングシステムの統合］
属性定義にユニバーサル一義識別子（ＵＵＩＤ）を含めることによって、高可用性ピアと管理センサは、ローカル生成属性とリモート生成属性を区別できる。以下で使用されるように、高可用性ピアは、ネットワークマップの第２コピーを格納する第２システムである。或る実施形態では、高可用性のために格納されたネットワークマップを、マップをホスティングする複数のピア間で同期できる。１つのネットワークモニタリングシステム上に値を割当てたホストは、第２ネットワーク高可用性モニタリングシステム上にその値を自動的に割当てできる。或る実施形態では、第２ネットワークエンティティに伝搬される属性を第２エンティティによって修正し、第１エンティティに伝搬し戻すことができる。高可用性ピアを介して、任意の属性および／または妥当性、または以下に記載する適用可能パラメータを活用できる。

ユーザは、すべてのホストプロファイルに適用できる汎用属性を定義できる。ホスト検索において、また方針と応答に関連して属性を使用できる。属性定義の追加、削除、および修正、特定のホストの属性値の設定と削除などの機能は、上記に限定されることはないが、ＡＰＩを介して実行できる。

属性が生成されると、これらの値を方針と応答の規則ならびに検索制約条件に追加できる。値リスト属性タイプについては、ユーザは、「ｉｓ」と「ｉｓ ｎｏｔ」演算子を使用できる。整数範囲属性タイプについて、ユーザは、＝、＜、および＞などの算術演算子を使用できる。テキスト属性については、「ｃｏｎｔａｉｎｓ」、「ｓｔａｒｔｓ ｗｉｔｈ」、および「ｅｎｄｓ ｗｉｔｈ」などの演算子を使用して正規表現検索を実行できる。

更なる実施形態では、ユーザは、（ａ）属性と値をホストプロファイルに割当て、（ｂ）属性をホストテーブルビューの一または複数のホストに割当て、（ｃ）ＩＰアドレスに基づいて、ホストが検出されるとき自動的に属性をホストに設定し、ホスト修飾子として方針と応答規則で使用するために定義済みホスト属性を設定し、および（ｅ）ユーザ定義済みホスト属性を管理できるように、インタフェースが提供される。

［グラフィカルユーザインタフェース］
グラフィカルユーザインタフェースによって、ユーザは、脆弱性エディタを使用して一または複数のホストに対して「非適用」として特定の脆弱性の印を付けることができる。或る実施形態では、インタフェースは、選択した脆弱性があるホストの位置を容易にするために、検索フィールドとして「脆弱性ＩＤ」を含む検索画面を備えることができる。或る実施形態では、ユーザ定義済みホスト属性をサポートするユーザインタフェースを含めることができる。インタフェースを介してユーザは、一または複数の以下の機能を実行できる。つまり機能としては、（ａ）属性定義の作成と修正、（ｂ）特定ホストの属性設定の表示ならびに修正、および（ｃ）属性値に基づいたホストディスプレイの体系付けがある。

［既存の属性リスト］
属性リスト画面には、ユーザ定義済み属性が表示される。当初、リストが空になっている場合もある。「生成」リンクの起動によって新規属性を生成するための個別画面が表示できる。既存の属性について、テーブルには、名前、タイプが表示され、また属性の設定を自動的に割当てる。インタフェースは、特定の属性を修正したり削除したりするため、各々の行に２つのリンクを含めることができる。たとえば「編集リンク」は、エントリを編集するためのインタフェースを表示し、「削除」リンクは、選択した項目を削除したり、テーブルディスプレイをリフレッシュしたりできる。１つのこのような例示的インタフェースを図３に示す。

［新たな属性の追加］
新たな属性の追加画面によって、ユーザは、新たな属性を命名し、そのタイプを選択し、更にこのタイプに基づいて設定を構成できる。上記の通り、属性の例示的なタイプには、テキスト、整数、およびリストを含めることができる。或る実施形態では、現在選択されるタイプを構成するための限定された組のグラフィカルユーザインタフェースが表示される。このような１つの例示的インタフェースを図４に示す。

整数範囲タイプのインタフェースは、整数範囲の最小と最大入力フィールドを含む２つの新たな行を表示できる。このような１つの例示的インタフェースを図５に示す。
リストタイプは、複数のリストを表示できる。このような１つの例示的インタフェースを図６に示す。最初のリストは、属性値のリストである。これらの値の１つが選択されると、その値が自動的に割当てられるＩＰ範囲を表示できる。入力フィールドを利用してどちらからのリストに値を追加できる。選択した項目は、各々のリスト領域の右上にある「Ｘ」を使用して削除できる。ユーザが新たな属性の構成を終了した場合は、「属性の保存」ボタンが、その属性を追加するために使用できる。ユーザは、「属性リストに戻る」リンクまたはボタンを起動することによって、属性リストに戻ることができる。

［既存の属性の修正］
属性リストにおいて特定の属性の修正リンクをユーザがクリックすると、既存の属性を修正するためのインタフェースを表示できる。このような１つの例示的インタフェースを図７に示す。或る実施形態では、ユーザは、既存属性のタイプを修正できない。このような実施形態では、タイプは、修正可能組合せボックスの代わりにラベルとして表示される。或る実施形態では、新規属性インタフェースに採用された制御を、既存属性インタフェースの修正に使用できる。

［属性のネットワークマップビュー］
属性ビューによって、ユーザは、ユーザ定義済み属性のリストから属性を選択できる。選択した属性の値は、ネットワークマップツリーのトップレベル要素として表示できる。ユーザがこれらの値の１つを増加すると、その属性値が設定されるホストＩＰのリストを
、子要素として表示できる。これらのホストを１つ選択すると、右端のパネルにホストプロファイルビューが表示される。このような１つの例示的インタフェースを図８に示す。

複数のユーザインタフェースの任意の１つによって、ホストプロファイルデータを表示できる。或る実施形態では、ホスト属性と脆弱性の編集は、別のポップアップウィンドウで実行できる。値が設定される属性は、読取専用のホストプロファイルに表示できる。

［折り畳みサブセクション］
或る実施形態では、サービスと脆弱性などの表示されたサブセクションは拡張または折り畳むことができる。デフォルトとして、表示されたサブセクションは、折り畳まれることができ、ホストプロファイルの負担を軽くし、垂直サイズを小さくできる。折り畳まれたサブセクションは、タイトルバーに総要素数を表示して、各々のセクションを拡張する必要がなく、サブ要素数をユーザに知らせることができる。このような例示的インタフェースの１つを図９に示す。

［属性エディタ］
属性エディタは、テーブルビューの属性の編集に使用できる。エディタは、ポップアップウィンドウ形式であり、これによってユーザは、利用可能な属性を選択し、選択したホストの値を設定できる。ポップアップには、利用可能な属性の表示を含めることができる。属性が選択されたら、この属性の適切な編集フィールドを表示できる。非限定が選択されると、この属性に対して適切な編集フィールドを表示できる。非限定の例として、このフィールドには、テキスト属性のテキスト領域、範囲属性のテキストフィールド、およびリスト属性のボックスを含めることができる。このような１つの例示的インタフェースを図１０に示す。

［脆弱性エディタ］
脆弱性エディタによって、ユーザは、現在のホストに適用可能と適用不可である脆弱性を容易に指定できる。一実施形態において、ウィンドウは、リスト間に矢印ボタンが表示された２つの並行する選択リストによって構成できる。一方のリストからもう一方のリストに脆弱性を転送するため、ユーザは、所望の項目を選択し、矢印ボタンの１つをクリックできる。ユーザがリストの配列を終了したら、修正を適用する場合は「保存」ボタンを使用する。このような一実施形態を図１１に示す。

［属性テーブルビュー］
属性テーブルビューは属性値の検索、表示、および報告に使用し、またホストとこれらの値に関連付けできる。これらの属性は、ホストテーブルビューまたは個別のテーブルビューに表示できる。このテーブルビューは、属性名、属性が設定されるホストのＩＰアドレス、およびこれら属性の値の列を表示できる。

属性名、値、および／またはホストＩＰアドレスに基づいて属性テーブルビューを検索するために、対応する属性検索ページを提供でき提供できる。選択した属性の組に関連付けられた他の情報を見つけるために、選択した属性の属性テーブルビューから他のテーブルビューに至るまでリンクボタンを使用できる。

或る実施形態においては、「属性の設定」ボタンをインタフェースに含めることができる。このボタンの選択によってポップアップウィンドウが表示され、ユーザは、利用可能な属性を選択して、テーブルビューで識別されたホストの値を設定できる。ポップアップには、利用可能な属性のコンボボックスを含めることができ、また属性が選択されたら、テキスト属性のテキスト領域、範囲属性のテキストフィールド、またはリスト属性のコンボボックスなど、この属性に対して適切な編集フィールドを表示できる。

本発明の実施形態によれば、方法を実行するためにプロセッサが実行する命令は、コンピュータ読取可能な媒体に格納され、前記コンピュータ読取可能な媒体は、デジタル情報を格納する装置であることができる。たとえばコンピュータ読取可能な媒体としては、ソフトウェアを格納するための技術として知られる読出専用メモリ（ＲＯＭ、たとえばコンパクトディスク−ＲＯＭすなわちＣＤ−ＲＯＭ）がある。コンピュータ読取可能な媒体は、実行される命令を実行するのに適したプロセッサによってアクセスが可能である。「実行されるように構成された命令」と「実行される命令」という用語は、プロセッサによって現在の形式（たとえばマシンコード）で容易に実行される命令、または更なるプロセッサによって容易に実行される操作（たとえば編集、復号化、またはアクセスコードなどの提供）を含むということを指している。

本発明の実施形態は、一または複数のネットワークを介するデータ通信に関連する。データ通信は、一または複数のネットワークの一または複数の通信チャネルによって実行できる。ネットワークには、有線通信リンク（たとえば同軸ケーブル、銅線、光ファイバ、それらの組合せなど）、無線通信リンク（たとえば衛星通信リンク、地上無線通信リンク、衛星対地上通信リンク、それらの組合せなど）、またはそれらの組合せを含めることができる。通信リンクには、通信チャネルが通信を伝搬する一または複数の通信チャネルを含めることができる。

以下に開示する本発明の実施形態にかかるシステムと方法には、コンピュータネットワークに関するコンテキスト情報を与えることによって、既存の侵入検出システムまたはリアルタイムネットワーク報告メカニズムを改善させる利点がある。このようなシステムと方法は、情報が自動的に更新される点において手動の方法に比べて特に有利である。サーバとクライアントの両方のオペレーティングシステムを見つける本発明の機能は、従来のネットワーク検出システムに比べて大幅な利点をもたらす。ネットワークに害を及ぼさす、関連する情報を侵入検出システムに提供でき、またその情報は、常に最新のものである点において、アクティブスキャンシステムと比較しても有利である。それは侵入検出システムの機能を強化する情報を提供する、またはネットワークのステータスの連続リアルタイムレポートを提供するために使用できる。それはサーバとクライアント両方のオペレーティングシステムを見つけることができる。

前述の詳細な説明において、本発明の実施形態にかかるシステムと方法は、特定の例示的な実施形態に関して記載される。従って、本明細書と図面は、限定的なものではなく例示とみなされるべきである。本発明の範囲は、請求の範囲によって、且つ、それらの均等物によって、更に理解されるべきである。

ネットワークの特性を自動的且つ受動的に判定するための方法例のフローチャート。 ネットワーク装置情報またはホスト情報を格納するための例のデータ構造の図。 ユーザ定義ホスト属性を表示するための例示的なユーザインタフェースの図。 新たな属性を追加と命名し、そのタイプを選択するための例示的なユーザインタフェースの図。 範囲を用いて整数属性を定義するための例示的なユーザインタフェースの図。 リスト項目を追加または選択するための例示的なユーザインタフェースの図。 属性リストの属性を修正するための例示的なユーザインタフェースの図。 ユーザ定義属性リストから属性を選択するための例示的なインタフェースの図。 折り畳みサブセクションを含む例示的なユーザインタフェースの図。 テーブルビューにおいて属性を編集するための例示的なインタフェースの図。 例示的な脆弱性エディタの図。 「無効」または「非適用」を表示するための例示的なインタフェースの図。 重要度フィールドを検索するための例示的なインタフェースの図。 重要度フィールドを選択するための例示的なインタフェースの図。 ホストの重要度レベルを選択するための例示的なインタフェースの図。 重要度フィールドを設定するための例示的なインタフェースの図。 例示的なテキストまたは注記フィールドの図。

Claims (20)

1. ネットワーク上の装置に脆弱性パラメータを割当てる方法であって、前記方法は、
   オペレーティングシステムまたはサービスの脆弱性パラメータを定義付けることと、
   ネットワーク装置に関連付けたホストマップの脆弱性パラメータを格納することと、
   脆弱性パラメータを表示と修正するためのグラフィカルユーザインタフェースを提供することと、および
   前記サービスまたはオペレーティングシステムに関連付けた前記ホストマップにおける修正済み脆弱性パラメータを格納することと
   を含む、方法。
2. 前記脆弱性パラメータは無効または有効である、請求項１記載の方法。
3. 前記グラフィカルユーザインタフェースは、アプリケーションプログラムインタフェースを通じて提供される、請求項１記載の方法。
4. 前記グラフィカルユーザインタフェースは、複数の選択されたホストまたはサービスの脆弱性パラメータを設定する機能を提供する、請求項１記載の方法。
5. 前記脆弱性パラメータはユニバーサル一義識別子に関連付けられ、高可用性ピアに同期される、請求項１記載の方法。
6. 前記グラフィカルユーザインタフェースは、ネットワークマップからホストを削除する機能を提供する、請求項１記載の方法。
7. ネットワークの特性を自動的且つ受動的に判定する方法であって、前記方法は、
   ネットワーク上に送信された一または複数のパケットを読取ることと、
   前記一または複数のパケットを使用して前記ネットワーク上のネットワーク装置を識別することと、
   前記ネットワーク装置に関連付けたホストマップレコードにおける前記ネットワーク装置の識別を記録することと、
   ユーザからパラメータを受信するためのグラフィカルユーザインタフェースを提供することと、および
   前記ネットワーク装置に関連付けた前記ホストマップレコードにおける前記パラメータを記録することと
   を含む、方法。
8. 前記グラフィカルユーザインタフェースは、アプリケーションプログラムインタフェースを通じて提供される、請求項７記載の方法。
9. 前記パラメータは運用重要度属性である、請求項７記載の方法。
10. 前記パラメータは場所属性である、請求項７記載の方法。
11. 前記パラメータはユーザ定義範囲内の整数値である、請求項７記載の方法。
12. 前記パラメータは文字列値のリストである、請求項７記載の方法。
13. 前記パラメータはユニバーサル一義識別子に関連付けられ、高可用性ピアに同期される、請求項７記載の方法。
14. ネットワーク上の装置に脆弱性パラメータを割当てるシステムであって、前記システムは、
    ネットワーク装置に関連付けたホストマップにおけるオペレーティングシステムまたはサービスの脆弱性パラメータを格納するコンピュータ読取可能な媒体と、
    前記サービスまたはオペレーティングシステムに割当てられた前記脆弱性パラメータを表示と修正するためのグラフィカルユーザインタフェースを表示するディスプレイと、
    前記サービスまたはオペレーティングシステムに関連付けた前記ホストシステムにおける前記修正済み脆弱性パラメータを格納するコンピュータ読取可能な媒体と
    を備える、システム。
15. 前記脆弱性パラメータは無効または有効である、請求項１４記載のシステム。
16. 前記脆弱性パラメータはユニバーサル一義識別子に関連付けられ、高可用性ピアに同期される、請求項１４記載のシステム。
17. ネットワークの特性を自動的且つ受動的に判定するシステムであって、前記システムは、
    前記ネットワーク上に送信された一または複数のパケットを受信し、前記一または複数のパケットを使用して前記ネットワーク上の装置を識別する受信器と、
    ホストマップにおける前記ネットワーク装置の識別を格納するコンピュータ読取可能な媒体と、
    ユーザからパラメータを受信するためのグラフィカルユーザインタフェースを表示するディスプレイと、
    前記識別済みのネットワーク装置に関連付けた前記ホストマップに前記ユーザパラメータを格納するコンピュータ読取可能な媒体と
    を備える、システム。
18. 前記パラメータはユニバーサル一義識別子に関連付けられ、高可用性ピアに同期される、請求項１４記載のシステム。
19. 前記グラフィカルユーザインタフェースは、アプリケーションプログラムインタフェースを通じて提供される、請求項１７記載のシステム。
20. 前記パラメータは運用重要度属性である、請求項１７記載のシステム。

Images