JP2010520566A - 外部デバイスとホスト・デバイスの間でデータおよびデバイスのセキュリティを提供するためのシステムおよび方法 - Google Patents
外部デバイスとホスト・デバイスの間でデータおよびデバイスのセキュリティを提供するためのシステムおよび方法 Download PDFInfo
- Publication number
- JP2010520566A JP2010520566A JP2009552866A JP2009552866A JP2010520566A JP 2010520566 A JP2010520566 A JP 2010520566A JP 2009552866 A JP2009552866 A JP 2009552866A JP 2009552866 A JP2009552866 A JP 2009552866A JP 2010520566 A JP2010520566 A JP 2010520566A
- Authority
- JP
- Japan
- Prior art keywords
- security
- host
- external device
- data
- mobile
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
- H04L63/0209—Architectural arrangements, e.g. perimeter networks or demilitarized zones
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer And Data Communications (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
- Storage Device Security (AREA)
- Information Transfer Systems (AREA)
- Mobile Radio Communication Systems (AREA)
Abstract
第1の外部デバイス・プラグ、およびホストから受信されたデータ転送要求に対してセキュリティ・ポリシーを執行するように機能するセキュリティ・エンジンを含むセキュリティ・デバイスと、第2の外部デバイス・プラグを含む外部デバイスと、第1の外部デバイス・プラグと通信するように結合されるように機能する第1の外部デバイス・ポート、第2の外部デバイス・プラグと通信するように結合されるように機能する第2の外部デバイス・ポート、およびデータ転送要求を、そのデータ転送要求を実行する前に、セキュリティ・デバイスに転送するように機能するドライバ、例えば、リダイレクト・ドライバを含むホストとを含むセキュリティで保護されたデータ交換システム。
Description
本発明は、一般にコンピュータ・セキュリティに関し、より詳細には、外部デバイスとホスト・デバイスの間でデータおよびデバイスのセキュリティを提供するためのシステムおよび方法に関する。
インターネットは、政府、大学、非営利団体、企業、および個人によって所有される数百万の個々のコンピュータ・ネットワークの相互接続である。インターネットは、価値ある情報およびエンターテイメントの優れたソースであるが、インターネットは、「ウイルス」、「スパイウェア」、「アドウェア」、「ワーム」、「トロイの木馬」、および他の悪意のあるコードなどの、システムに損傷を与えるアプリケーション・コード、およびシステムに致命的なアプリケーション・コードの主要なソースにもなっている。
ユーザを保護するのに、プログラマは、悪意のあるコードが、個々のコンピュータとネットワーク・コンピュータの両方を攻撃することを阻止するためのコンピュータ・セキュリティ・システムおよびコンピュータ・ネットワーク・セキュリティ・システムを設計する。おおむね、ネットワーク・セキュリティ・システムは、比較的成功している。企業のネットワークの内部からインターネットに接続されるコンピュータは、通常、2つの防衛線を有する。第1の防衛線は、ファイアウォール、ウイルス対策ソフト、スパイウェア対策ソフト、およびコンテンツ・フィルタリングを含む、ネットワーク・ゲートウェイの一部であることが可能な、ネットワーク・セキュリティ・システムを含む。第2の防衛線は、ネットワーク・セキュリティ・システムほど通常、セキュリティが強くなく、そのため、攻撃に対してより脆弱である、個々のマシン上の個別のセキュリティ・ソフトウェアを含む。組み合わされて、第1の防衛線と第2の防衛線は一緒に、相当に良好なセキュリティ保護を提供する。しかし、或るデバイスが、介在するネットワーク・セキュリティ・システムなしにインターネットに接続されると、そのデバイスは、そのデバイスの第1の防衛線を失う。このため、モバイル・デバイスすなわち移動デバイス(例えば、ラップトップ、デスクトップ、RIM社のBlackberryなどのPDA、セル電話機、インターネットに接続された任意の無線デバイスなど)は、企業ネットワークの外部で移動している際、攻撃に対してより脆弱である。
図1は、従来技術の例示的なネットワーク・システム100を示す。ネットワーク・システム100は、企業のイントラネット115にそれぞれが結合された、デスクトップ105および移動デバイス110を含む。イントラネット115は、ネットワーク・セキュリティ・システム120(企業のゲートウェイの一部分であることが可能な)を介して、信頼されないインターネット130に結合される。したがって、デスクトップ105および移動デバイス110は、ネットワーク・セキュリティ・システム120を介してインターネット130にアクセスする。セキュリティ・アドミニストレータ125が、通常、ネットワーク・セキュリティ・システム120を管理して、システム120が、最新のセキュリティ保護を含むこと、したがって、デスクトップ105および移動デバイス110が、悪意のあるコードから保護されていることを確実にする。分界(デマーケーション)135が、信頼される企業140と信頼されない公共のインターネット130を分ける。デスクトップ105および移動デバイス110は、ネットワーク・セキュリティ・システム120を介してインターネット130に接続されるため、デスクトップ105と移動デバイス110はともに、インターネット130からの悪意のあるコードに対して2つの防衛線(すなわち、ネットワーク・セキュリティ・システム120、およびデバイス自体の上に存在するセキュリティ・ソフトウェア)を有する。もちろん、信頼されるものの、イントラネット115が、悪意のあるコードのソースであることも可能である。
図2は、移動デバイス110が、信頼される企業140の外部に移動し、信頼されないインターネット130に再接続された場合の、従来技術の例示的なネットワーク・システム200を示す。このことは、多分、ユーザが、移動デバイス110を移動の際に携行し、サイバーカフェで、ホテルで、または任意の信頼されない有線接続または無線接続を介してインターネット130に接続する場合に、生じる可能性がある。したがって、図示されるとおり、移動デバイス110は、第1の防衛線によって(ネットワーク・セキュリティ・システム120によって)もはや保護されておらず、このため、悪意のあるコードを受信する危険を高めている。さらに、移動デバイス110を信頼される企業140に物理的に持ち帰り、内部から再接続することによって、移動デバイス110は、受信された悪意のあるコードをイントラネット115に転送する危険を冒す。
移動デバイスの数、および攻撃の数が増大するにつれ、モバイル・セキュリティは、ますます重要になっている。この問題は、2005年12月7日〜8日にニューヨークで開かれた最近のInfo−Security Conferenceにおいて強調された。しかし、完全なソリューションは、提示されなかった。
同様に、或るホスト・デバイスが、USBフラッシュ・デバイス、iPod、外部ハードドライブなどの外部デバイスに接続された場合、両方のデバイスが、悪意のあるコードの受信、またはプライベート・データの転送に対して脆弱である。図11は、ホスト・コンピュータ(ホスト)1105および外部デバイス1110を含む例示的な従来技術のデータ交換システム1100を示す。ホスト1105は、外部デバイス1110を受けるための、USBポートなどのED(外部デバイス)ポート1115を含む。また、ホスト1105は、列挙を実行し、外部デバイス1110とホスト1105の間で通信を可能にするためのEDドライバ1120も含む。外部デバイス1110は、EDポート1115と通信するための、USBプラグなどの、EDプラグを含む。ホスト1105と外部デバイス1110の両方が、悪意のあるコードの受信、またはプライベート・データの転送に対して脆弱である。
したがって、ホスト・デバイスおよび外部デバイスにセキュリティをもたらすシステムおよび方法の必要性が、存在する。
一実施形態によれば、本発明は、ホストと通信するように結合されるように機能する外部デバイス・プラグと、外部デバイスと通信するように結合されるように機能する外部デバイス・ポートと、プロセッサと、オペレーティング・システム、外部デバイスとの通信を制御するように機能する外部デバイス・ドライバ、および外部デバイスとホストとの間のデータ転送要求に対してセキュリティ・ポリシーを執行するように機能するセキュリティ・エンジンを格納するメモリとを含むセキュリティ・デバイスを提供する。セキュリティ・デバイスは、ホスト上のドライバと一緒に機能することが可能である。外部デバイス・プラグと外部デバイス・ポートの少なくともいずれかは、USB標準に従うことが可能である。外部デバイス・プラグと外部デバイス・ポートの少なくともいずれかは、無線接続を含むことが可能である。セキュリティ・エンジンは、ウイルス、スパイウェア、およびアドウェアの少なくとも1つの転送を防ぐことが可能である。セキュリティ・エンジンは、プライベート・データの許可のない転送を防ぐことが可能である。
一実施形態によれば、本発明は、第1の外部デバイス・プラグ、およびホストから受信されたデータ転送要求に対してセキュリティ・ポリシーを執行するように機能するセキュリティ・エンジンを含むセキュリティ・デバイスと、第2の外部デバイス・プラグを含む外部デバイスと、第1の外部デバイス・プラグと通信するように結合されるように機能する第1の外部デバイス・ポート、第2の外部デバイス・プラグと通信するように結合されるように機能する第2の外部デバイス・ポート、およびホストからのデータ転送要求を、そのデータ転送要求を実行する前に、セキュリティ・デバイスに転送するように機能するリダイレクト・ドライバを含むホストとを含むセキュリティで保護されたデータ交換システムを提供する。外部デバイスは、USBドライブを含むことが可能である。外部デバイスは、PDAとセル電話機のいずれかを含むことが可能である。ホストは、ラップトップ、デスクトップ、PDA,またはセル電話機の1つを含むことが可能である。ホストは、ホストへのセキュリティで保護されたデバイスの接続を検出すると、リダイレクト・ドライバを起動することが可能である。
一実施形態によれば、本発明は、セキュリティ・デバイスをホストと通信するように結合すること、外部デバイスをセキュリティ・デバイスと通信するように結合すること、セキュリティ・デバイスによって、ホストからデータ転送要求を受信すること、およびセキュリティ・デバイスによって、データ転送要求が実行されることを許す前に、データ転送要求に対してセキュリティ・ポリシーを執行することを含む方法を提供することが可能である。セキュリティ・デバイスをホストと通信するように結合することは、有線接続または無線接続を含むことが可能である。外部デバイスをホストと通信するように結合することは、有線接続または無線接続を含むことが可能である。データ転送要求は、ホストから外部デバイスにデータを転送する要求を含むことが可能である。データ転送要求は、外部デバイスからホストにデータを転送する要求を含むことが可能である。執行することは、ウイルス、スパイウェア、およびアドウェアの少なくとも1つに関して、転送されているデータを点検することを含むことが可能である。執行することは、データ転送要求がプライベート・データを求める要求を含むかどうかを判定することを含むことが可能である。執行することは、プライベート・データの転送を許す前に、さらなるセキュリティ・チェックを要求することを含むことが可能である。
一実施形態によれば、本発明は、セキュリティ・デバイスをホストと通信するように結合すること、外部デバイスをホストと通信するように結合すること、ホストによって、データ転送要求を受信すること、ホストに対してリダイレクト・ドライバを使用して、データ転送要求をセキュリティ・デバイスにリダイレクトすること、およびセキュリティ・デバイスによって、データ転送要求が実行されることを許す前に、データ転送要求に対してセキュリティ・ポリシーを執行することを含む方法を提供する。セキュリティ・デバイスをホストと通信するように結合することは、有線接続または無線接続を使用することを含むことが可能である。外部デバイスをホストと通信するように結合することは、有線接続または無線接続を使用することを含むことが可能である。データ転送要求は、ホストから外部デバイスにデータを転送する要求を含むことが可能である。データ転送要求は、外部デバイスからホストにデータを転送する要求を含むことが可能である。執行することは、ウイルス、スパイウェア、およびアドウェアの少なくとも1つに関して、転送されているデータを点検することを含むことが可能である。執行することは、データ転送要求がプライベート・データを求める要求を含むかどうかを判定することを含むことが可能である。執行することは、プライベート・データの転送を許す前に、さらなるセキュリティ・チェックを要求することを含むことが可能である。
以下の説明は、任意の当業者が、本発明を作成し、使用することを可能にするように与えられ、さらに或る特定の応用例、およびその応用例の要件の文脈において与えられる。これらの実施形態の様々な変形が、当業者には可能であり、本明細書で定義される一般的な原理は、本発明の趣旨および範囲を逸脱することなく、これら、およびその他の実施形態および応用例に適用されることが可能である。このため、本発明は、示される実施形態に限定されることは意図されず、本明細書で開示される原理、特徴、および教示と合致する最も広い範囲を与えられるべきである。
本発明の実施形態は、移動デバイスに接続される或る小さなハードウェアを使用し、攻撃、および悪意のあるコードを選別して除く。このハードウェアは、「モバイル・セキュリティ・システム」または「パーソナル・セキュリティ機器」と呼ばれることが可能である。このモバイル・セキュリティ・システムを使用して、移動デバイスは、より強いセキュリティによって保護されることが可能であり、さらに、場合により、移動デバイスが関連する法人/企業によって提供されるのと同一レベルのセキュリティによって保護されることが可能である。
図3は、本発明の実施形態によるネットワーク・システム300を示す。ネットワーク・システム300は、デスクトップ305、第1の移動デバイス310a、および第2の移動デバイス310bを含む。第1の移動デバイス310aは、この時点で企業ネットワーク340内部にあるものとして図示され、モバイル・セキュリティ・システム345aを介して企業のイントラネット315に結合される。また、デスクトップ305および移動デバイス310bも、企業ネットワーク340内部にあるが、この実施形態では、モバイル・セキュリティ・システム345bなどの介在するモバイル・セキュリティ・システム345なしに、イントラネット315に結合される。イントラネット315は、ネットワーク・セキュリティ・システム320(企業のゲートウェイの一部であることが可能な)を介して、信頼されないインターネット330に結合される。したがって、第1の移動デバイス310a、第2の移動デバイス310b、およびデスクトップ305は、ネットワーク・セキュリティ・システム320を介して、信頼されないインターネット330にアクセスする。また、デバイス310a、デバイス310b、およびデスクトップ305はそれぞれ、デバイス310a上、デバイス310b上、およびデスクトップ305上に存在するパーソナル・セキュリティ・システム(図示せず)によって保護されることも可能である。第3の移動デバイス310cは、現在、企業ネットワーク340の外部にあり、モバイル・セキュリティ・システム345bを介して、信頼されないインターネット330に結合される。第3の移動デバイス310は、現在、移動中である、信頼される企業340の従業員によって使用されていることが可能である。セキュリティ・アドミニストレータ325が、移動セキュリティ・システム345a、移動セキュリティ・システム345b、およびネットワーク・セキュリティ・システム320を管理して、システム345a、345b、および320が最新のセキュリティ保護を含むことを確実にする。同一のセキュリティ・アドミニストレータが、これらの様々なデバイスを管理する必要はないことが、当業者には認識されよう。さらに、セキュリティ・アドミニストレータは、ユーザであることも可能であり、信頼される企業340の内部にある必要はない。
分界335が、信頼される企業340と、信頼されない一般にアクセス可能なインターネット330とを分ける。移動デバイス310a、310b、および310cのそれぞれは、移動デバイス310と総称されることが可能であるが、デバイス310a、310b、および310cが、同一である必要はない。各モバイル・セキュリティ・システム345aおよび345bは、モバイル・セキュリティ・システム345と総称されることが可能であるが、システム345aおよび345bが、同一である必要はない。
図示されるとおり、移動デバイス310cは、信頼される企業340の外部に移動しているものの、移動デバイス310cは、モバイル・セキュリティ・システム345bを介して、信頼されないインターネット330に接続され、このため、2つの防衛線(すなわち、モバイル・セキュリティ・システム345b、およびデバイス自体の上に存在するセキュリティ・ソフトウェア)を保持する。この実施形態では、モバイル・セキュリティ・システム345は、事実上、移動デバイス310cのためのモバイル・インターネット・ゲートウェイの役割をする。或る実施形態では、モバイル・セキュリティ・システム345は、ネットワーク・セキュリティに専用のデバイスであることが可能である。或る実施形態では、各モバイル・セキュリティ・システム345は、複数の移動デバイス310をサポートすることができ、さらに、場合により、登録された移動デバイス310だけ、例えば、企業340に属する移動デバイス310だけをサポートすることが可能である。
各モバイル・セキュリティ・システム345(例えば、345a、345b)は、市販のハードウェア(コアとしてインテル社のXscaleを有する)、Linux OS、およびネットワーク・サービス、ならびにオープン・ソース・ファイアウォール、IDS/IPS、およびウイルス対策保護に基づく小型サーバであることが可能である。モバイル・セキュリティ・システム345は、強固にされた、埋め込まれたLinux2.6に基づくことが可能である。
この実施形態では、セキュリティ・アドミニストレータ325が、モバイル・セキュリティ・システム345bと遠隔で通信することができるため、ITは、モバイル・セキュリティ・システム345b上で実施されるセキュリティ・ポリシー/データ/エンジンを監視し、さらに/または更新することができる。セキュリティ・アドミニストレータ325は、遠隔で、または直接にすべての企業デバイスを一元的に管理することができる。さらに、セキュリティ・アドミニストレータ325とモバイル・セキュリティ・システム345は対話して、企業セキュリティ・ポリシーをモバイル・セキュリティ・ポリシーに自動的に翻訳し、これに相応してモバイル・セキュリティ・システム345を構成することができる。モバイル・セキュリティ・システム345は、企業340の該当するセキュリティ・ポリシーから生成されることが可能であるため、現在、移動している移動デバイス310cが、信頼される企業340の内部のデバイス305/310と同一の保護レベルを有することが可能である。
モバイル・セキュリティ・システム345は、既存のソフトウェア・セキュリティへのアドオンとして、または移動している移動デバイス上のすべてのセキュリティ・ハードウェアおよびセキュリティ・ソフトウェアに取って代わるように設計されることが可能である。これらのセキュリティ・アプリケーションは、図8に示される例示的なシステムにおいて示されるとおり、好ましくは、異なるOSI層の上で動作して、最大限のセキュリティおよび悪意のあるコード検出をもたらす。より低いOSI層上で動作し、TCP/IPパケット解析だけを行うこと(ファイアウォール・パケットまたはルータ・パケットを選別することによって)は、ウイルスの振舞い、および/またはワームの振舞いを見落とす。また、多くの最新のウイルスは、第7のOSI層(アプリケーション、すなわち、HTTP、FTPなど)「より高い」レベルで実施されるモバイル・コードを使用し、したがって、パケット層においても、アプリケーション層においても解釈され得ない。例えば、悪意のあるJava(登録商標) Script(つまり、HTMLページの中に含まれる)に対して、シグネチャをパケットとマッチングしようと試みて、コンテンツ・タイプ(Java Script)を理解することなしに、セッション層またはトランスポート層においてだけウイルス対策解析を適用することによっては、そのJava Scriptの悪意のある性質は検出されない。より強い保護を提供するのに、モバイル・セキュリティ・システム345は、法人クラス・セキュリティ機器の役割をして、コンテンツ・タイプ、および適切なOSI層(または、コンテンツがアプリケーション層においてカプセル化されている場合、「より高い」レベル)に基づいて、様々なセキュリティ・アプリケーションをかかわらせることができる。モバイル・セキュリティ・システム345は、様々なOSI層において、例えば、パケット・レベルからアプリケーション・レベルまで、コンテンツ解析を実行するように構成されることが可能である。アプリケーション・レベルで深い検査を実行することは、悪意のあるコンテンツの振舞いを検出するのに不可欠であり、ウイルス、ワーム、スパイウェア、トロイの木馬などの検出を向上させることが認識されよう。以下のソフトウェア・パッケージが、モバイル・セキュリティ・システム345上で実施されることが可能である。すなわち、
−−ファイアウォールおよびVPN ステートフル・ファイアウォールおよびステートレス・ファイアウォール、NAT、パケット・フィルタリングおよびパケット操作、DOS/DDOS、ネットフィルタ、ユーザ移動デバイスをインターネットから隔離し、デバイス上でVPNプログラムを実行することなどを含む
−−Squidに基づくオプションのウェブ・アクセラレータおよび/または帯域幅/キャッシュ管理
−−IDS/IPS Snortに基づく侵入検出−防止システム。Snortは、シグネチャ検査、プロトコル・ベースの検査、および異常ベースの検査の利点を組み合わせる、規則駆動の言語を利用するオープンソースのネットワーク侵入防止−検出システムである。
−−ClamAVに基づくウイルス対策ソフトおよびスパイウェア対策ソフト さらなるAVエンジンおよびASエンジン、例えば、McAfee、Kaspersky、Pandamayが、さらなる契約料金と引き換えに提供されることが可能である。
−−悪意のあるコンテンツ検出 コンテンツ解析を実行して、シグネチャを有する前の、悪意のあるコンテンツを検出するオンザフライ・ヒューリスティクス。このことは、規則ベース、および更新された規則に基づき、コンテンツ依存のスキャンである。
−−URL分類フィルタリング Surfcontrol、Smart Filters、またはWebsenseなどの市販のエンジンに基づく。賭博、アダルト・コンテンツ、ニュース、ウェブメールなどの約70のURLカテゴリをもたらすことが可能である。移動デバイス345は、そのURLカテゴリに基づいて、異なるセキュリティ・ポリシーを、例えば、賭博ウェブサイトまたはアダルト・コンテンツ・ウェブサイトなどに関して、より高い制限およびヒューリスティクスを適用することが可能である。
−−ファイアウォールおよびVPN ステートフル・ファイアウォールおよびステートレス・ファイアウォール、NAT、パケット・フィルタリングおよびパケット操作、DOS/DDOS、ネットフィルタ、ユーザ移動デバイスをインターネットから隔離し、デバイス上でVPNプログラムを実行することなどを含む
−−Squidに基づくオプションのウェブ・アクセラレータおよび/または帯域幅/キャッシュ管理
−−IDS/IPS Snortに基づく侵入検出−防止システム。Snortは、シグネチャ検査、プロトコル・ベースの検査、および異常ベースの検査の利点を組み合わせる、規則駆動の言語を利用するオープンソースのネットワーク侵入防止−検出システムである。
−−ClamAVに基づくウイルス対策ソフトおよびスパイウェア対策ソフト さらなるAVエンジンおよびASエンジン、例えば、McAfee、Kaspersky、Pandamayが、さらなる契約料金と引き換えに提供されることが可能である。
−−悪意のあるコンテンツ検出 コンテンツ解析を実行して、シグネチャを有する前の、悪意のあるコンテンツを検出するオンザフライ・ヒューリスティクス。このことは、規則ベース、および更新された規則に基づき、コンテンツ依存のスキャンである。
−−URL分類フィルタリング Surfcontrol、Smart Filters、またはWebsenseなどの市販のエンジンに基づく。賭博、アダルト・コンテンツ、ニュース、ウェブメールなどの約70のURLカテゴリをもたらすことが可能である。移動デバイス345は、そのURLカテゴリに基づいて、異なるセキュリティ・ポリシーを、例えば、賭博ウェブサイトまたはアダルト・コンテンツ・ウェブサイトなどに関して、より高い制限およびヒューリスティクスを適用することが可能である。
図4は、各デスクトップ305、移動デバイス310、ネットワーク・セキュリティ・システム320、モバイル・セキュリティ・システム345、およびセキュリティ・アドミニストレータ325が、実例であることが可能な、例示的なコンピュータ・システム400の詳細を示すブロック図である。コンピュータ・システム400は、通信チャネル410に結合された、Intel Pentium(登録商標)マイクロプロセッサまたはMotorola Power PC(登録商標)マイクロプロセッサなどの、プロセッサ405を含む。コンピュータ・システム400は、キーボードまたはマウスなどの入力デバイス415、陰極線管ディスプレイなどの出力デバイス420、通信デバイス425、磁気ディスクなどのデータ記憶デバイス430、およびRAM(ランダム・アクセス・メモリ)などのメモリ435をさらに含み、以上のそれぞれが、通信チャネル410に結合される。通信インタフェース425は、直接に、またはモバイル・セキュリティ・システム345を介して、インターネットなどのネットワークに結合されることが可能である。データ記憶デバイス430とメモリ435は、異なるユニットとして図示されているものの、データ記憶デバイス430とメモリ435は、同一のユニット、分散されたユニット、仮想メモリなどの部分であることも可能であることが、当業者には認識されよう。
データ記憶デバイス430および/またはメモリ435は、Microsoft Windows XP、IBM OS/2オペレーティング・システム、MAC OS、UNIX(登録商標) OS、LINUX OSなどのオペレーティング・システム440、および/または他のプログラム445を格納することが可能である。好ましい実施形態は、言及されるプラットフォームおよびオペレーティング・システム以外のプラットフォーム上、およびオペレーティング・システム上で実施されることも可能であることが認められよう。或る実施形態は、場合により、オブジェクト指向プログラミング方法を使用して、JAVA言語、C言語、および/またはC++言語、あるいは他のプログラミング言語を使用して書かれることが可能である。
コンピュータ・システム400は、ネットワーク接続などのさらなる情報、さらなるメモリ、さらなるプロセッサ、LAN、ハードウェア・チャネル、インターネット、またはイントラネットなどを通じて情報を転送するための入力/出力線などを含むことも可能であることが、当業者には認識されよう。また、それらのプログラムおよびデータは、代替の仕方でシステムによって受信され、システムの中に格納されてもよいことも、当業者には認識されよう。例えば、磁気ディスク・ドライブ、ハードディスク・ドライブ、光磁気リーダ、CPUなどのCRSM(コンピュータ可読記憶媒体)リーダ450が、磁気ディスク、ハードディスク、光磁気ディスク、RAMなどのCRSM(コンピュータ可読記憶媒体)455を読み取るために通信バス410に結合されることが可能である。したがって、コンピュータ・システム400は、CRMSリーダ450を介してプログラムおよび/またはデータを受け取ることができる。さらに、本明細書における「メモリ」という用語は、永久であるか、一時的であるかにかかわらず、すべてのデータ記憶媒体を範囲に含むことを意図していることが認められよう。
図5は、本発明の実施形態によるモバイル・セキュリティ・システム345の詳細を示すブロック図である。モバイル・セキュリティ・システム345は、アダプタ/ポート/ドライバ505と、メモリ510と、プロセッサ515と、モバイル・セキュリティ・システムのオペレーティング・システムおよびその他のアプリケーションのセキュリティで保護されたバージョンを格納するプリブート・フラッシュ/ROMメモリ・モジュール520と、ネットワーク接続モジュール525と、セキュリティ・エンジン530と、セキュリティ・ポリシー535と、セキュリティ・データ540と、遠隔管理モジュール550と、配信モジュール555と、バックアップ・モジュール560とを含む。これらのモジュールは、モバイル・セキュリティ・システム345内にあるものとして示されるものの、これらのモジュールの多くは、別の場所、例えば、セキュリティ・アドミニストレータ325上、またはモバイル・セキュリティ・システム345と通信する第三者システム上に配置されることも可能であることが、当業者には認識されよう。モバイル・セキュリティ・システム345は、ポケット・サイズ、ハンドヘルド・サイズ、またはキーチェーン・サイズの筐体内にあることが可能であり、あるいは、場合により、より小さいことが可能である。さらに、モバイル・セキュリティ・システム345は、移動デバイス310内部に組み込まれてもよい。
アダプタ/ポート/ドライバ505には、USBポート、イーサネット(登録商標)・ポート、WiFiポート、WiMAXポート、GSMポート、CDMAポート、BlueToothポート、PCMCIAポート、および/またはモバイル・セキュリティ・システム345上の他の接続データ・ポートのための接続機構(ソフトウェア、例えば、ドライバを含む)が含まれる。一実施形態では、アダプタ/ポート/ドライバ505は、複数のデバイス310にネットワーク・セキュリティをもたらすように複数のデバイス310への接続が可能であり得る。
メモリ510およびプロセッサ515は、モバイル・セキュリティ・システム345上でオペレーティング・システムおよびアプリケーションを実行する。この実施例では、プリブート・フラッシュ520が、オペレーティング・システムおよびアプリケーションを格納する。起動時に、オペレーティング・システムおよびアプリケーションは、実行のためにプリブート・フラッシュ520からメモリ510にロードされる。オペレーティング・システムおよびアプリケーションは、ランタイム中にユーザによってアクセスされ得ないプリブート・フラッシュ520の中に格納されるので、オペレーティング・システムおよびアプリケーションは、破壊可能ではない。メモリ510の中のオペレーティング・システムおよびアプリケーションのコピーが、例えば、悪意のあるコードによって、破壊されるようなことがあった場合、オペレーティング・システムおよびアプリケーションは、例えば、再起動時に、プリブート・フラッシュ520からメモリ510に再びロードされることが可能である。プリブート・フラッシュ520内に格納されるものとして示されているが、OSおよびアプリケーションは、ROM,PROM、EEPROMなどの他の読み取り専用メモリ内にセキュリティで保護されて格納されることも可能である。
モバイル・セキュリティ・システム345上のメモリ(メモリ510およびプリブート・フラッシュ520を含む)は、以下のとおり、区域に分割されることが可能である。
各回の「ハード」再起動時に、モバイル・セキュリティ・システム345のブート・ローダ(区域1に存在する)が、区域1から区域2にカーネルおよびセキュリティ・アプリケーション(新規の変更されていないコピー)をコピーする。このことにより、各回に、OSおよびアプリケーションのクリーンなバージョンが、区域2にロードされるようになる。そのようにすると、或る特殊なモバイル・セキュリティ・システム345攻撃が開発された場合、OSおよびアプリケーションが、ランタイム中にメモリ区域1にアクセスすることがあらかじめ起きないようにされているので、その攻撃は、システムを感染させることができない。さらに、メモリ510に達するいかなる攻撃も、1回しか実行することができず、ハード再起動時に消滅する。感染検出時に、モバイル・セキュリティ・システム345を自動的に再起動するトリガ機構が、利用可能であり得る。
ネットワーク接続モジュール525は、WiFi、WiMAX、CDMA、GSM、GPRS、イーサネット、モデムなどを含むネットワーク通信ハードウェア/ソフトウェアを介して、例えば、インターネット330またはイントラネット315への、ネットワーク接続を可能にする。例えば、移動デバイス310を、WiFi接続を介してインターネット330に接続することを望む場合、アダプタ/ポート/ドライバ505が、移動デバイス310のPCIポート、USBポート、またはPCMCIAポートに接続されることが可能であり、さらにモバイル・セキュリティ・システム345のネットワーク接続モジュール525が、無線アクセス・ポイントに接続するためのWiFiネットワーク・インタフェース・カードを含むことが可能である。ネットワーク接続モジュール425を使用して、モバイル・セキュリティ・システム345は、移動デバイス310のためのセキュリティで保護されたゲートウェイとしてネットワークと通信することが可能である。その他の接続アーキテクチャが、図10A〜図10Cに示される。
セキュリティ・エンジン530は、ITマネージャによってともに開発されることが可能な、セキュリティ・ポリシー535およびセキュリティ・データ540に基づいて、セキュリティ・プログラムを実行する。セキュリティ・エンジン530は、ファイアウォール、VPN、ISP/IDS、ウイルス対策ソフト、スパイウェア対策ソフト、悪意のあるコンテンツ・フィルタリング、多層セキュリティ・モニタ、Javaモニタおよびバイトコード・モニタなどを含むことが可能である。各セキュリティ・エンジン530は、エンジン530が、いずれの手続き、コンテンツ、URL、システム・コールなどを許すことができる、または許すことができないかを示す専用のセキュリティ・ポリシー535およびセキュリティ・データ540を有することが可能である。セキュリティ・エンジン530、セキュリティ・ポリシー535、およびセキュリティ・データ540は、ネットワーク・セキュリティ・システム320上のエンジン、ポリシー、およびデータと同一であっても、これらのサブセットであっても、さらに/またはこれらから開発されてもよい。
ウイルス対策ソフトウェアおよびスパイウェア対策ソフトウェアによって提供される、より高いセキュリティ・レベルをもたらすのに、各モバイル・セキュリティ・システム345上のセキュリティ・エンジン530は、コンテンツ解析アルゴリズムおよびリスク評価アルゴリズムを実施することができる。例えば、OSI層7以上(層7内にカプセル化されたモバイル・コード)において動作して、これらのアルゴリズムは、規則エンジンおよび規則更新によって制御されることが可能な専用のHRCF(高リスク・コンテンツ・フィルタリング)によって実行されることが可能である。HRCFは、深いコンテンツ解析を実行して、リアルタイム・コンテンツ・タイプを検証することができる強力な検出ライブラリに基づく。このことは、多くの攻撃が、誤ったMIMEタイプの中に隠されており、さらに/または高度なトリックを用いて、危険なアクティブ・スクリプトもしくはActive Xコンテンツ・タイプにテキスト・ファイル・タイプを与える可能性があるからである。HRCFは、URLカテゴリに基づく自動規則調整のためにURL分類セキュリティ・エンジン530と一体化することが可能である。一実施形態では、リスク・レベルが高まると、(説明される機構を使用して)モバイル・セキュリティ・システム345は、トラフィックから、よりアクティブなコンテンツを除去するようにフィルタリングを自動的に調整し、高めることが可能である。例えば、より高いリスクが特定された場合、モバイル・コード、例えば、Javaスクリプト、VBスクリプトなどのすべてが、取り除かれることが可能である。
法人ポリシー・サーバ・レガシー・システムと一体化するための3つの態様には、以下に説明される規則、LDAP−アクティブ・ディレクトリ、およびログ記録−報告が含まれる。一実施形態では、セキュリティ・アドミニストレータ325上で実行されるポリシー・インポート・エージェントが、Checkpoint Firewall−1およびCisco PIX Firewallの規則ベースにアクセスし、それらの規則ベースをローカル・コピーにインポートする。規則解析モジュールが、重要な規則を処理し、モバイル・セキュリティ・システム345のためのそのまま使える規則およびポリシーを提供する。この提案されるポリシーは、企業340のファイアウォール・ポリシーを遵守する最適な規則をすべてのモバイル・セキュリティ・システム345に提供する。エージェントは、定期的に実行されて変更を反映し、モバイル・セキュリティ・システム345ポリシー535に関する更新を生成する。LDAP−アクティブ・ディレクトリは、ディレクトリ・サービスと一体化されて、企業のディレクトリ定義に応えるモバイル・セキュリティ・システム345セキュリティ・ポリシー535を維持する。例えば、LDAPユーザ・グループ「G」に関する法人ポリシーが、「G」グループの中のすべてのモバイル・セキュリティ・システム345に自動的に伝播することが可能である。モバイル・セキュリティ・システム345ローカル・ログおよび監査証跡が、ログ記録−報告ポリシーに従って、セキュリティ・アドミニストレータ325において格納される中央ログに送られることが可能である。ウェブ・インタフェースを使用して、ITは、すべての移動デバイス310ユーザ、これらのユーザのインターネット体験、および感染したデバイスを企業340に持ち帰ろうとする試みと関係するレポートおよび監査ビューを生成できることが可能である。ITは、SYSLOG TrapおよびSNMP Trapを介して、イベント・レコードおよびログ・レコードをレガシー管理システムに転送することができる。
セキュリティ・エンジン530は、重み付きリスク解析を実行することができる。例えば、セキュリティ・エンジン530は、インターネット330から着信するトラフィックを含め、HTTP、FTP、SMTP、POP3、IM、P2Pなどを解析することができる。セキュリティ・エンジン530は、すべてのオブジェクトに、そのオブジェクトのタイプ、複雑度、能力の豊かさ、そのオブジェクトのソースなどに基づいて、重みおよびランクを割り当てることができる。セキュリティ・エンジン530は、知られている危険なソース、または知られている安全なソースのリストを使用して、ソースに基づいて重みを割り当てることができる。セキュリティ・エンジン530は、ソース、例えば、賭博ソース、アダルト・コンテンツ・ソース、ニュース・ソース、評判のよい会社ソース、銀行業ソースなどのカテゴリに基づいて、オブジェクトに重みを割り当てることができる。セキュリティ・エンジン530は、重みを計算することができ、さらにその結果に基づいて、コンテンツへのアクセス、スクリプトが実行されること、システム変更が行われることなどが許されるか、許されないかを決定することができる。セキュリティ・エンジン530は、ユーザ・コンテンツを「学習する」ことができ(所定の期間にわたって、ユーザがアクセスする全般的なコンテンツを解析することによって)、それに相応して、パーソナル・コンテンツ・プロファイルを作成することができる。パーソナル・コンテンツ・プロファイルは、ランタイム解析中にコンテンツに割り当てられる重みを較正するのに使用されて、精度を向上させ、特定のユーザ特性に重み付きリスク解析を合わせることが可能である。
一部の実施形態では、セキュリティ・エンジン530、セキュリティ・ポリシー535、およびセキュリティ・データ540は、モバイル・セキュリティ・システム345を迂回することを可能にすることができる。セキュリティ・アドミニストレータ325によって設定されるセキュリティ・ポリシー535は、信頼される企業340の外部にいる場合、モバイル・セキュリティ・システム325を介するネットワーク接続を強制する特殊な属性を含むことが可能である。このため、この属性が「オン」に設定されている場合、移動デバイス310が、モバイル・セキュリティ・システム345なしに、信頼される企業340の内部からではなくインターネット330に接続しようと試みると、LAN接続、USBネット、モデム、Bluetooth、WiFiなどを含むすべてのデータ転送接続が、閉じられることが可能である。移動デバイス310は、完全に隔離され、インターネット330を含め、いずれのネットワークにも接続することができないことが可能である。
一実施形態では、以上を可能にするのに、モバイル・セキュリティ・システム345を、例えば、USBケーブルを使用して(電力とUSB接続の両方をもたらすため)移動デバイス310に最初に接続する際、USBプラグアンドプレイ・デバイス・ドライバが、移動デバイス310に送り込まれる。インストールされるドライバは、モバイル・セキュリティ・システム345のためのUSBネット接続を可能にする「Linux.inf」であることが可能である。この接続は、モバイル・セキュリティ・システム345が、USBポートを介して、さらに移動デバイス310ネットワーク接続に加え、さらなるコード(「接続クライアント」)を使用して、インターネット330にアクセスすることを可能にする。Windows実施例において、接続クライアントは、図6に示されるすべてのネットワーク接続のすべてのネットワーク・インタフェース・カードより上の、移動デバイス310のNDISレベルにおいてインストールされることが可能である。この実装は、NDIS IM(Intermediate)Driverとして、またはNDIS−Hooking Filter Driverとして行われる。両方の実装は、カーネル・レベルで行われることが可能であり、したがって、エンド・ユーザは、接続クライアントを止めること、または除去することができない。移動デバイス310を起動する際、接続クライアントは、信頼される企業340内部で、ローカルでセキュリティ・アドミニストレータ325またはネットワーク・セキュリティ・システム320に接続しようと試みることが可能である。ノードが、見つからない場合(VPNを介して見つけることは、ローカルLAN内で見つからないことと見なされる)、接続クライアントは、接続クライアントが、信頼される企業340の外部から機能しているものと想定し、例えば、USBネットまたは他の接続機構を介して、モバイル・セキュリティ・システム345が接続されていることを見出すものと予期する。モバイル・セキュリティ・システム345が見つからない場合、接続クライアントは、いずれのネットワーク接続へのいずれの通信も回避することが可能である。ポリシー定義により、この振舞いは、移動デバイス310にインストールされたVPNを介する企業340への通信を許すように変更されることが可能である。同様に、移動デバイス・システム345障害が生じた場合、すべてのトラフィックは、企業340へのVPN接続を除き、ディセーブルにされることが可能である。
NDISは、カーネル・レベルでトラフィックをインターセプトする1つの可能な実施形態であることが認められよう。例えば、別の実施形態では、システムは、Winsockをつなぐ、または将来のWindowsバージョンにあることが可能な他の仕方を適用することが可能である。
モバイル・セキュリティ・システム345が、複数の移動デバイス310をサポートする実施形態において、セキュリティ・エンジン530、セキュリティ・ポリシー535およびセキュリティ・データ540は、(例えば、例えばユーザ選好またはIT決定に基づいて)各移動デバイス310ごとに異なることが可能である。代替として、システム345は、接続されたすべてのデバイス310に同一のエンジン530、ポリシー535、およびデータ540を適用することができる。
遠隔管理モジュール550が、セキュリティ・アドミニストレータ325(および/または他のセキュリティ・アドミニストレータ)との通信を可能にし、さらにシグネチャおよび他のアプリケーションを含むセキュリティ・エンジン530、セキュリティ・ポリシー535、セキュリティ・データ540のローカル更新を可能にする。一実施形態では、セキュリティ・ポリシー535およびデータ540の変更は、セキュリティ・アドミニストレータ325だけによってしか行われ得ない。モバイル・セキュリティ・システム345の遠隔管理モジュール550は、例えば、セキュリティで保護された接続を介してセキュリティ・アドミニストレータ325上で、UAD(更新権限デバイス)から更新を受信することができる。UADは、インターネット330上に位置する顧客ITセンタにおける更新サーバ上で動作して、更新を管理することを任された、企業540に属さない可能性があるモバイル・セキュリティ・システム345に更新を転送することができる。UADは、モバイル・セキュリティ・システム345上で動作してもよい。セキュリティ・エンジン530は、ウイルス対策エンジンDLLなどを変更することが可能である。OS更新およびセキュリティ・アプリケーション更新は、セキュリティ・アドミニストレータ325に接続されている間に、暗号化され、認証された接続を介して、企業540の内部だけから実施されることが可能である。
セキュリティ・アドミニストレータ325は、移動中のユーザへの遠隔サポートのためにURLブラック・リストおよびURLホワイト・リストを変更することができる。偽陽性が生じた場合、セキュリティ・アドミニストレータ325は、予防的なヒューリスティクス・セキュリティを迂回するが、それでも、ファイアウォール、ウイルス対策ソフト、IPS/IDSなどによって監視することによって、いくつかのURLへのアクセスを許すことが可能である。さらなる遠隔デバイス管理フィーチャは、セキュリティ・アドミニストレータ325が、遠隔診断を実行すること、ローカル・ログにアクセスすること、モバイル・セキュリティ・システム345上で構成パラメータなどを変更することを可能にすることができる。セキュリティ・アドミニストレータ325は、タスクを、サポートのためのヘルプデスクに委任してもよい。
遠隔管理モジュール550は、図7に示されるとおり、セキュリティ・アドミニストレータ325上に、または別のシステム上に存在することが可能なウィザード(例えば、ウィザード745)と通信することができる。ウィザード745の詳細、および遠隔管理モジュール550とウィザード745の間の通信スキームの詳細は、図7を参照して後段で説明される。
配信モジュール555は、モバイル・セキュリティ・システム345による、他のN個のモバイル・セキュリティ・システム345への更新、例えば、規則更新を含むセキュリティ・ポリシー535更新、シグネチャ更新を含むセキュリティ・データ540更新、セキュリティ・エンジン530更新、アプリケーション/OS更新などの配信を可能にする。これらの更新が転送されるべき他のN個のモバイル・セキュリティ・システム345を識別するルーティング・テーブルが、配信モジュール555に供給されて、システム345−システム345間通信が可能にされることが可能である。更新は、セキュリティ・アドミニストレータ325によって設定されたポリシーに従って実施されることが可能である。更新を転送する際、配信モジュール555は、UADの役割をする。
各モバイル・セキュリティ・システム345は、定期的に、所定の時刻に、ログイン時になど、そのシステム345のルーティング・テーブルをセキュリティ情報更新と一緒に獲得することができる。ルーティング・テーブルは、サーバ上に、例えば、セキュリティ・アドミニストレータ325上、または別のモバイル・セキュリティ・システム345上に保持されることが可能である。一実施形態では、モバイル・セキュリティ・システム345は、このサーバに接触して、ルーティング・テーブルを取り出すことができる。代替として、このサーバが、ルーティング・テーブルをモバイル・セキュリティ・システム345にプッシュしてもよい。
配信モジュール555は、図9に示されるとおり、迅速な更新を可能にすることができる。現在、入手可能なすべての市販のウイルス対策製品は、ウイルスが広がるより速くデバイスを更新することはない。新たなウイルス攻撃が、例えば、シグネチャ更新より速く広がらないことを確実にするのに、各モバイル・セキュリティ・システム345が、アクティブなUADであることが可能である。一実施形態では、図9に示されるとおり、各モバイル・セキュリティ・システム345は、シグネチャ更新を他の4つのデバイス345に転送することを担う。当業者には認識されるとおり、すべてのデバイス345が、同一の数の他のデバイス345に転送する必要がある。複数のデバイス345が、同一のデバイス345に転送することを担ってもよい。必要な場合、活性化されたオフライン・デバイス345が、ルーティング・テーブル更新のために、サーバ、例えば、セキュリティ・アドミニストレータ325にポーリングすることが可能である。他の多くの更新技術も可能である。
バックアップ・モジュール560は、移動デバイス310のブート・セクタおよびシステム・ファイルのイメージおよび変更をフラッシュ・メモリ520に、または別の永続メモリ・デバイスに絶えずバックアップすることが可能である。つまり、移動デバイス310のシステム・セクタまたはブート・セクタが失われることを含め、重大な障害が生じた場合、モバイル・セキュリティ・システム345は、再起動中にCD−ROMとして識別されることが可能であり、バックアップ・モジュール(または別個のプログラム)を立ち上げて、移動デバイス310上のブート・セクタおよびシステム・ファイルを復元して、ITサポートの必要なしに移動デバイス310を回復することが可能である。ネットワーク・セキュリティ・システム345が複数の移動デバイス310をサポートする実施形態において、バックアップ・モジュール560は、移動デバイス310のそれぞれに関して、ブート・セクタおよびシステム・ファイルが異なる場合、別個のブート・セクタおよびシステム・ファイルを含むことが可能である。
図7は、本発明の実施形態によるスマート・ポリシー更新システム700の詳細を示すブロック図である。システム700は、ネットワーク・セキュリティ・システム320およびモバイル・セキュリティ・システム345に結合されたセキュリティ・アドミニストレータ325を含む。ネットワーク・セキュリティ・システム320は、ウイルス対策エンジン715、ISP/IDSエンジン720、ファイアウォール・エンジン725、およびその他のセキュリティ・エンジンを含むセキュリティ・エンジン705を含む。また、ネットワーク・セキュリティ・システム320は、ウイルス対策ポリシー−データ730、IPS/IDSポリシー−データ735、ファイアウォール・ポリシー−データ740、およびその他のポリシー−データを含むセキュリティ・ポリシー−データ710も含む。同様に、モバイル・セキュリティ・システム345は、ウイルス対策エンジン755、IPS/IDSエンジン760、ファイアウォール・エンジン765、およびその他のエンジンを含む。また、モバイル・セキュリティ・システム345は、ウイルス対策セキュリティ・ポリシー−データ770、ISP/IDSセキュリティ・ポリシー−データ775、ファイアウォール・セキュリティ・ポリシー−データ780、およびその他のセキュリティ・ポリシー−データを含むセキュリティ・ポリシー−データ535/540も含む。
セキュリティ・アドミニストレータ325は、モバイル・セキュリティ・システム345上のセキュリティ・エンジン530、セキュリティ・ポリシー535、およびセキュリティ・データ540の実質的に自動的な初期セットアップ、および、場合により、動的セットアップを可能にするためのウィザード745を含む。一実施形態では、ウィザード745は、ネットワーク・セキュリティ・システム320のすべてのセキュリティ・エンジン705およびポリシー−データ710を、モバイル・セキュリティ・システム345上にセキュリティ・エンジン530およびポリシー−データ535/540として自動的にロードすることができる。別の実施形態では、ウィザード745は、無関係であると知られているセキュリティ・エンジンおよびポリシー−データ、例えば、経理によって使用される料金請求ソフトウェアと関係するセキュリティ・エンジンおよびポリシー−データ、ウェブ・サーバ上でだけ実行されているウェブ・ソフトウェアと関係するセキュリティ・エンジンおよびポリシー−データなどを除いて、すべてのセキュリティ・エンジン705およびポリシー−データ710を含むことが可能である。別の実施形態では、エンジン530は、ITマネージャによってロードされる必要があり、ウィザード745によって自動的にロードされることはない。
一実施形態では、ウィザード745は、モバイル・セキュリティ・システム345が、或る特定のセキュリティ・エンジン530、例えば、ウイルス対策エンジン755、IPS/IDSエンジン760、ファイアウォール・エンジン765などを要求するかどうかを判定することができる。要求すると判定された場合、ウィザード745は、そのエンジン530をモバイル・セキュリティ・システム345上にロードする。次に、ウィザード745は、いずれのポリシー−データ・セットが、例えば、ウイルス対策エンジン755のためのいくつか、ISP/IDSエンジン760のためのいくつか、ファイアウォール・エンジン765のためのいくつかが、モバイル・セキュリティ・システム345に重要であるかを判定する。次に、ウィザード745は、ネットワーク・セキュリティ・システム320上のウイルス対策ポリシー−データ730のいずれが、モバイル・セキュリティ・システム345上のウイルス対策ポリシー−データ770に関係があるか、ネットワーク・セキュリティ・システム320上のIPS/IDSポリシー−データ735のいずれが、モバイル・セキュリティ・システム345上のIPS/IDSポリシー−データ775に関係があるか、ネットワーク・セキュリティ・システム320上のファイアウォール・ポリシー−データ740のいずれが、モバイル・セキュリティ・システム345上のファイアウォール・ポリシー−データ780に関係があるか、およびネットワーク・セキュリティ・システム320上のその他のポリシー−データのいずれが、モバイル・セキュリティ・システム345上のポリシー−データに関係があるかを判定する。前述したとおり、ウィザード745は、モバイル・セキュリティ・システム345上ですべてのセキュリティ・エンジン705が必要とされると判定することも、サブセットだけが必要とされると判定することも可能である。ウィザード745は、所与のエンジン・タイプに関するすべてのポリシー−データ710が転送されるべきであると判定することも、サブセットだけが転送されるべきであると判定することも可能である。ウィザード745は、ITマネージャによって開発された規則、セットアップ手続き中のアイテムごとの選択などに基づいて、いずれの関係のあるポリシー−データ710が、モバイル・セキュリティ・システム345に転送されるべきかを判定することができる。ウィザード745の代替として、ITマネージャが、ウィザード745なしに、モバイル・セキュリティ・システム345上でエンジン530およびポリシー−データ535/540をセットアップすることもできる。
セキュリティ・アドミニストレータ325は、更新権限デバイス750を含むことも可能である。更新権限デバイス750は、セキュリティ・システム更新(例えば、シグネチャ更新)を獲得することができ、それらの更新をネットワーク・セキュリティ・システム320およびモバイル・セキュリティ・システム345に送信することができる。ネットワーク・セキュリティ・システム320への更新と、モバイル・セキュリティ・システム345への更新は、同一でなくてもよいことが当業者には認識されよう。さらに、更新権限デバイス750は、セキュリティ・マネージャ、セキュリティ・エンジン開発者、ウイルス対策専門家などから更新を獲得することが可能である。更新権限デバイス750は、これらの更新をすべてのネットワーク・セキュリティ・システム320、およびすべてのモバイル・セキュリティ・システム345に転送することができ、あるいはルーティング・テーブルをすべてのモバイル・セキュリティ・システム345に転送し、これらの更新をモバイル・セキュリティ・システム345の初期セットだけに転送することができる。モバイル・セキュリティ・システム345の初期セットは、図9に示されるプロセスと同様に、ルーティング・テーブルの中で識別されるモバイル・セキュリティ・システム345にP2Pの仕方で、これらの更新を転送することができる。前述したとおり、更新を転送するように動作している各モバイル・セキュリティ・システム345は、それ自体、更新権限デバイス750の役割をしている。
他のアプリケーションが、モバイル・セキュリティ・システム345上に含められてもよい。例えば、既存の顧客からの繰り返される収入に関するアドオン・アプリケーションに、一般的な電子メール・サービス、スパム対策サービス、直接の、セキュリティで保護された電子メール配信サービス、情報ボールト・サービス、安全なスカイプ・サービス、およびその他のインスタント・メッセージング・サービスなどが含まれることが可能である。
電子メール・セキュリティおよびスパム対策 モバイル・セキュリティ・システム345(前述のウェブ・セキュリティ・エンジンを含む)上のメール中継、およびローカル・スパム検疫(SendMailまたは類似したプロセスに基づく)の実施が、リアルタイム索引付け(オンライン・ウェブ・スパム・クウォリアを介する)を伴うスパム対策を含む完全なメール・セキュリティ・スイート(SMTPおよびPOP3)を実施することができる。ユーザは、ウェブ・インタフェースを介して検疫へのアクセスを有して、スパム・メッセージを点検すること、メッセージを解放すること、スパム規則を変更し、カスタマイズすることなどができる。
−−メール中継に基づく直接の、セキュリティで保護された電子メール配信は、モバイル・セキュリティ・システム345が、経路上のメール・サーバを使用することなしに、1つのモバイル・セキュリティ・システム345から別のモバイル・セキュリティ・システム345に直接にユーザ電子メールを送信することを許す。このことは、法人ユーザが、インターネットにおいて伝送されて、経路上の様々な未知のメール・サーバ上に跡および複製を残す必要のない電子メールを送信することを許す。このことは、2つのモバイル・セキュリティ・システム間でセキュリティで保護されたパイプを使用する能力と相俟って、法人に貴重である。そのような方法なしには、人々が、メッセージを配信するのに使用された中間メール・サーバの中のコピーを探し出すことによって、企業のメール・サーバにアクセスすることなしに、電子メール交換を追跡することが可能である。
−−情報ボールト エンド・ユーザ情報を暗号化して、モバイル・セキュリティ・システム345上に格納するアプリケーションが、すべてのモバイル・セキュリティ・システム345上に実装されるウェブ・インタフェースおよびウェブ・サーバ(例えば、BOA、Apacheなど)を介して、許可されたユーザだけに利用可能であることが可能である。
−−安全なスカイプおよび他のIM モバイル・セキュリティ・システム345上にインスタント・メッセージング・クライアントを実装することにより、インスタント・メッセージング・システムまたはP2Pアプリケーションが、移動デバイス310上のデータへのアクセスを全く有さないことが保証されることが可能である。モバイル・セキュリティ・システム325上にサウンド・インタフェースをもたらすようにAC/97のチップセットを追加することにより、ユーザが、モバイル・セキュリティ・システム325に直接に話すこと、およびモバイル・セキュリティ・システム325から直接、呼を受信することが許されることが可能である。
電子メール・セキュリティおよびスパム対策 モバイル・セキュリティ・システム345(前述のウェブ・セキュリティ・エンジンを含む)上のメール中継、およびローカル・スパム検疫(SendMailまたは類似したプロセスに基づく)の実施が、リアルタイム索引付け(オンライン・ウェブ・スパム・クウォリアを介する)を伴うスパム対策を含む完全なメール・セキュリティ・スイート(SMTPおよびPOP3)を実施することができる。ユーザは、ウェブ・インタフェースを介して検疫へのアクセスを有して、スパム・メッセージを点検すること、メッセージを解放すること、スパム規則を変更し、カスタマイズすることなどができる。
−−メール中継に基づく直接の、セキュリティで保護された電子メール配信は、モバイル・セキュリティ・システム345が、経路上のメール・サーバを使用することなしに、1つのモバイル・セキュリティ・システム345から別のモバイル・セキュリティ・システム345に直接にユーザ電子メールを送信することを許す。このことは、法人ユーザが、インターネットにおいて伝送されて、経路上の様々な未知のメール・サーバ上に跡および複製を残す必要のない電子メールを送信することを許す。このことは、2つのモバイル・セキュリティ・システム間でセキュリティで保護されたパイプを使用する能力と相俟って、法人に貴重である。そのような方法なしには、人々が、メッセージを配信するのに使用された中間メール・サーバの中のコピーを探し出すことによって、企業のメール・サーバにアクセスすることなしに、電子メール交換を追跡することが可能である。
−−情報ボールト エンド・ユーザ情報を暗号化して、モバイル・セキュリティ・システム345上に格納するアプリケーションが、すべてのモバイル・セキュリティ・システム345上に実装されるウェブ・インタフェースおよびウェブ・サーバ(例えば、BOA、Apacheなど)を介して、許可されたユーザだけに利用可能であることが可能である。
−−安全なスカイプおよび他のIM モバイル・セキュリティ・システム345上にインスタント・メッセージング・クライアントを実装することにより、インスタント・メッセージング・システムまたはP2Pアプリケーションが、移動デバイス310上のデータへのアクセスを全く有さないことが保証されることが可能である。モバイル・セキュリティ・システム325上にサウンド・インタフェースをもたらすようにAC/97のチップセットを追加することにより、ユーザが、モバイル・セキュリティ・システム325に直接に話すこと、およびモバイル・セキュリティ・システム325から直接、呼を受信することが許されることが可能である。
図示されていないが、小型バッテリが、モバイル・セキュリティ・システム345に含められることが可能である。このバッテリは、ランタイム中にUSB接続によって、または任意の時点で電源アダプタを使用して充電されることが可能である。このバッテリは、例えば、ユーザが、USBケーブルをモバイル・セキュリティ・システム345から外した際に、適切なシャットダウンを保証することができる。このシャットダウンは、アプリケーション・シャットダウンおよびシステム・シャットダウンを開始するシステムによって通知される。このことにより、ファイル・システム・バッファおよびフラッシング・オープン・ファイル・バッファの適切な状態が確実にされる。
多層防御−検出能力が、要求される。このことは、様々なシステム(ウイルス対策ソフト、IDS/IPS、ファイアウォール、スパイウェア対策ソフト、URLカテゴリなど)のスキャン結果を絶えず監視している特殊なコードによって、様々なレベルで行われて、パズルが構築され、攻撃が、個々のサブシステムのそれぞれによって認識されない場合でさえ、その攻撃が識別されることが可能である。このことを行うことによって、モバイル・セキュリティ・システム345は、企業450内で提供されるセキュリティ・レベルを維持し、一部の事例では、向上させさえする。
モバイル・セキュリティ・システム345の1つの利用可能な利点は、エンド・ユーザが移動中に、または自宅から作業している間に、エンド・ユーザに対して企業540のポリシーを執行するシステム345の能力である。モバイル・セキュリティ・システム345は、企業540の内部から接続されている場合と同様のセキュリティ・エンジンおよびポリシーを使用し、さらにエンド・ユーザは、システム345なしにインターネット330にアクセスすることができない(企業540へのVPN接続を介して以外)ので、ITは、企業540の境界を超えてITのセキュリティ・ポリシーを執行できることが可能である。OSは、ITの完全な監督下にあることが可能である一方で、モバイル・セキュリティ・システム345OSは、ITの管理下でエンド・ユーザOSの役割をする。このことにより、誰がどのセキュリティをどのように管理するかという問題が解決され、生産性は最小限の危険にしか直面しない。
モバイル・セキュリティ・システム345のスタンドアロン・バージョンが、同一の機能を提供することができ、さらにウェブ・ブラウザを介してローカル管理インタフェースを提供することができる。IT部門を欠く自宅ユーザおよびスモール・オフィスに魅力的であることとして、モバイル・セキュリティ・システム345は、エンド・ユーザが、ブラウザを起動し、モバイル・セキュリティ・システム345に接続し、ホワイトURLリストおよびブラックURLリストを変更することなどを含め、様々なポリシー(更新ポリシー、セキュリティ規則など)を設定することなどを可能にする。また、エンド・ユーザに、契約によってモバイル・セキュリティ・システム345の遠隔管理のサービスを提供する機会も存在する。
図10A、図10B、および図10Cは、本発明の様々な実施形態による、モバイル・セキュリティ・システム345を移動デバイス310に接続する3つの例示的なアーキテクチャを示す。図10Aにおいて、移動デバイス310は、USB接続1015および1020を介してモバイル・セキュリティ・システム345に結合され、NICカード1005を介してインターネット330に結合される。移動デバイス310は、デバイス310のNICカード1005を介してインターネット330からインターネット・トラフィックを受信する。移動デバイス310上のカーネル・レベル・リダイレクタ1010(例えば、NDIS、Winsockなどを介する)が、インターネット・トラフィックを、USB接続1015および1020を介してモバイル・セキュリティ・システム345に自動的にリダイレクトし、システム345は、そのインターネット・トラフィックをスキャンし、クリーンにし、クリーンにされたインターネット・トラフィックを、USB接続1015および1020を介して移動デバイス310に戻す。図10Bにおいて、移動デバイス310は、USB接続1025および1030を介してモバイル・セキュリティ・システム345に結合される。モバイル・セキュリティ・システム345は、インターネット330からインターネット・トラフィックを受信するためのNICカード1035を含む。モバイル・セキュリティ・システム345は、インターネット・トラフィックをスキャンし、クリーンにし、USB接続1025および1030を介して移動デバイス310に転送する。図10Cにおいて、移動デバイス310は、NICカード1040および1045を介してモバイル・セキュリティ・システム345に結合される。モバイル・セキュリティ・システム345は、システム345のNICカード1045を介してインターネット330からインターネット・トラフィックを受信する。モバイル・セキュリティ・システム345は、そのインターネット・トラフィックをスキャンし、クリーンにし、NICカード1040および1045を介して移動デバイス310に転送する。他の接続アーキテクチャも可能である。
図12は、本発明の実施形態によるセキュリティで保護されたデータ交換システム1200を示すブロック図である。セキュリティで保護されたデータ交換システム1200は、セキュリティ・デバイス1210を介して外部デバイス1110に結合されたホスト・コンピュータ(ホスト)1205を含む。ホスト1205には、ラップトップ、デスクトップ、PDA、移動電話機、またはその他のプロセッサ・ベースのデバイスが含まれることが可能である。外部デバイス1110は、USBドライブ、外部ハードドライブ、PDA、音楽プレーヤ、セル電話機などの、メモリを有する任意の外部デバイスであることが可能である。セキュリティ・デバイス1210は、EDポート1225(USB接続、シリアル接続、パラレル接続、Firewire接続、イーサネット接続、WiFi接続、WiMAX接続、GSM接続、CDMA接続、BlueTooth接続、PCMCIA接続、および/またはその他の接続)およびEDプラグ1230(USB接続、シリアル接続、パラレル接続、Firewire接続、イーサネット接続、WiFi接続、WiMAX接続、GSM接続、CDMA接続、BlueTooth接続、PCMCIA接続、および/またはその他の接続)を介してホスト1205と通信するように結合される。外部デバイス1110は、EDポート1235(USB接続、シリアル接続、パラレル接続、Firewire接続、イーサネット接続、WiFi接続、WiMAX接続、GSM接続、CDMA接続、BlueTooth接続、PCMCIA接続、および/またはその他の接続)およびEDプラグ1120(USB接続、シリアル接続、パラレル接続、Firewire接続、イーサネット接続、WiFi接続、WiMAX接続、GSM接続、CDMA接続、BlueTooth接続、PCMCIA接続、および/またはその他の接続)を介してセキュリティ・デバイス1210と通信するように結合される。EDポート1225とEDプラグ1230の組み合わせのコネクタ・タイプは、EDポート1235とEDプラグ1120の組み合わせのコネクタ・タイプとは異なることが可能である。一実施形態では、すべてのポート1225/1235、およびすべてのプラグ1230/1120は、USBである。プラグ1120/1230は、オスとして示され、ポート1225/1235は、メスとして示されるものの、その逆が可能である(プラグ1120/1230が、メスであることが可能であり、ポート1225/1235が、オスであることが可能である)ことが、当業者には認識されよう。
ホスト1205は、列挙を実行し、セキュリティ・デバイス1210との通信を可能にするためのEDドライバ1220を含む。同様に、セキュリティ・デバイス1210は、列挙を実行し、外部デバイス1110との通信を可能にするためのEDドライバ1245を含む。
一実施形態では、セキュリティ・デバイス1210は、ウイルス、スパイウェア、アドウェア、トロイの木馬などの悪意のあるコードから保護し、さらにプライベート・データの転送を防ぐセキュリティ・ポリシーを執行することができるプログラマブル・ハードウェア機器を含む。一実施形態では、セキュリティ・デバイス1210は、ホスト1205と外部デバイス1215をともに保護するように構成される。一実施形態では、セキュリティ・デバイス1210は、外部デバイス1110またはホスト1205のいずれかだけを保護するように構成される。セキュリティ・デバイス1210のさらなる詳細が、図13および図14を参照して与えられる。
図13は、本発明の実施形態によるセキュリティ・デバイス1210の詳細を示すブロック図である。セキュリティ・デバイス1210は、通信チャネル1315に結合された、Intel Pentium(登録商標)マイクロプロセッサまたはMotorola Power PC(登録商標)マイクロプロセッサなどの、プロセッサ1305を含む。セキュリティ・デバイス1210は、通信チャネル1315にそれぞれ結合された、EDプラグ1230、EDポート1235、通信インタフェース1310、EEPROMなどのストレージ1320、およびRAM(ランダム・アクセス・メモリ)またはROM(読み取り専用メモリ)などのメモリ1325をさらに含む。通信インタフェース1310は、インターネットなどのネットワークに結合されることが可能である。ストレージ1320とメモリ1325は、異なるユニットとして図示されているものの、データ記憶デバイス1320とメモリ1325は、同一のユニット、分散されたユニット、仮想メモリなどの部分であることも可能であることが、当業者には認識されよう。本明細書における「メモリ」という用語は、永久であるか、一時的であるかにかかわらず、すべてのデータ記憶媒体を範囲に含むことを意図している。セキュリティ・デバイス1210は、ネットワーク接続、さらなるメモリ、さらなるプロセッサ、LAN、ハードウェア・チャネル、インターネット、またはイントラネットを介して情報を転送するための入力/出力線など、さらなる構成要素を含むことが可能であることが、当業者には認識されよう。
図示されるとおり、メモリ1325は、Microsoft Windows XP、IBM OS/2オペレーティング・システム、MAC OS、Unix OS、Linux OSなどのオペレーティング・システム1330を格納する。好ましい実施形態は、言及されるプラットフォームおよびオペレーティング・システム以外のプラットフォーム上、およびオペレーティング・システム上で実施されることも可能であることが認められよう。或る実施形態は、場合により、オブジェクト指向プログラミング方法を使用して、JAVA言語、C言語、および/またはC++言語、あるいは他のプログラミング言語を使用して書かれることが可能である。また、メモリ1325は、EDドライバ1245およびセキュリティ・システム1335も格納する。EDドライバ1245には、標準の外部デバイス1110のための標準のドライバ、および独自の外部デバイス1110のための独自のドライバが含まれることが可能である。EDドライバ1245は、EDプラグ1230を介してメモリ1325上に転送されることが可能である。セキュリティ・システム1335は、ホスト1205と外部デバイス1110の間のデータ転送アクションに対してセキュリティ・ポリシーを執行するためのコードを含む。
図14は、本発明の実施形態によるセキュリティ・システム1335の詳細を示すブロック図である。セキュリティ・システム1335は、セキュリティ・マネージャ1405、セキュリティ・エンジン1410、セキュリティ・ポリシー1415、およびセキュリティ・データ1420を含む。
一実施形態では、セキュリティ・マネージャ1405は、列挙、すなわち、外部デバイス1110または外部デバイス1110タイプを識別すること、およびセキュリティ・デバイス1210と外部デバイス1110の間で通信を確立することができる、対応するEDドライバ1245を識別することを実行するためのコードを含む。また、セキュリティ・マネージャ1405は、セキュリティ・ポリシー1415およびセキュリティ・データ1420に基づいて、様々なセキュリティ・エンジン1410の実行を制御して、データ転送要求またはその他のデバイス要求を評価するコードも含む。さらに、セキュリティ・マネージャ1405は、データ転送要求および/またはその他の要求のソースとなるホスト1205と通信するコードを含む。
一実施形態では、セキュリティ・エンジン1410は、セキュリティ・ポリシー1415およびセキュリティ・データ1420に基づいて、ホスト1205と外部デバイス1110の間のデータの転送をセキュリティで保護するためのコードを含む。セキュリティ・エンジン1410は、ファイアウォール、ウイルス対策ソフト、スパイウェア対策ソフト、悪意のあるコンテンツ・フィルタリング、多層セキュリティ・モニタ、Javaモニタ、およびバイトコード・モニタなどを含むことが可能である。また、セキュリティ・エンジン1410は、データ・プライバシー・ポリシー1415を執行するデータ・プライバシー・モジュールを含むことも可能である。各セキュリティ・エンジン1410は、転送を要求されたデータが、いずれの手続き、URL、システム・コール、コンテンツ、IDなどを含むことが可能であるか、または転送を要求されたデータが、転送不能(もしくはパスワードやIDなどのさらなるセキュリティ対策なしには転送不能)であると考えられるかどうかを示す専用のセキュリティ・ポリシー1415およびセキュリティ・データ1420を有することが可能である。
より高いセキュリティ・レベルをもたらすのに、セキュリティ・エンジン1410は、コンテンツ解析アルゴリズムおよびリスク評価アルゴリズムを実施することができる。一実施形態では、セキュリティ・エンジン1410は、すべての転送オブジェクトに関して、そのオブジェクトのタイプ、複雑度、能力の豊かさ、ソースなどに基づいて、重みおよびランクを割り当てる。セキュリティ・エンジン1410は、知られている危険なソース、または知られている安全なソースのリストを使用して、ソースに基づいて重みを割り当てることができる。セキュリティ・エンジン1410は、ソース、例えば、賭博ソース、アダルト・コンテンツ・ソース、ニュース・ソース、評判のよい会社ソース、銀行業ソースなどのカテゴリに基づいて、オブジェクトに重みを割り当てることができる。セキュリティ・エンジン1410は、重みを計算することができ、さらにその結果に基づいて、コンテンツへのアクセス、スクリプトが実行されること、システム変更が行われることなどが許されるか、許されないかを決定することができる。セキュリティ・エンジン1410は、ユーザ・コンテンツを「学習する」ことができ(所定の期間にわたって、ユーザがアクセスする全般的なコンテンツを解析することによって)、それに相応して、パーソナル・コンテンツ・プロファイルを作成することができる。パーソナル・コンテンツ・プロファイルは、ランタイム解析中にコンテンツに割り当てられる重みを較正するのに使用されて、精度を向上させ、特定のユーザ特性に重み付きリスク解析を合わせることが可能である。
このため、ホスト1205からデータ転送要求および/またはその他の要求を受信すると、セキュリティ・マネージャ1405は、セキュリティ・ポリシー1415に基づいて、適切なセキュリティ・エンジン1410を起動する。例えば、セキュリティ・ポリシー1415は、特定のActiveXコントロールが、ホストから外部デバイス1110上にロードされることを許さないように構成されることが可能である。セキュリティ・ポリシー1415は、ホスト1205上のプライベート・フォルダから外部デバイス1110へのデータ転送を許さないように構成されることが可能である。セキュリティ・マネージャ1405は、これらの例示的なセキュリティ・ポリシー1415が満足させられることを確実にする適切なセキュリティ・エンジン1410を起動する。さらに、セキュリティ・エンジン1410は、悪意のあるActiveXコントロール、プライベート・フォルダのロケーションなどの定義ファイルを含むことが可能なセキュリティ・データ1420を使用することが可能である。
図示されていないが、セキュリティ・システム1335は、図5を参照して前述した、OSおよびアプリケーションを有するプリブート・フラッシュ520、遠隔管理モジュール550、配信モジュール555、バックアップ・モジュール560などのさらなる構成要素を含むことが可能である。また、他の構成要素も可能である。
図15は、本発明の別の実施形態によるセキュリティで保護されたデータ交換システム1500を示すブロック図である。セキュリティで保護されたデータ交換システム1500は、セキュリティ・デバイス1505上のEDプラグ1515、およびホスト1520上の第1のEDポート1525を介してホスト1520と通信するように結合されたセキュリティ・デバイス1505を含む。また、セキュリティで保護されたデータ交換システム1500は、外部デバイス1110上のEDプラグ1120、およびホスト1520上の第2のEDポート1535を介してホスト1520と通信するように結合された外部デバイス1110も含む。
外部デバイス1110は、セキュリティ・デバイス1505に直接に結合されないため、セキュリティ・デバイス1505は、外部デバイス1110とホスト1520の間でデータ転送要求を物理的にインターセプトしていない。したがって、この実施形態では、ホスト1520は、データ転送方向にかかわらず、外部デバイス1110とホスト1520の間でデータ転送要求をリダイレクトするように構成されたリダイレクト・ドライバ1530を含む。一実施形態では、セキュリティ・デバイス1505は、外部デバイス1110またはホスト1520のいずれかだけを保護するように構成されることが可能である。さらに、一実施形態では、セキュリティ・デバイス1505は、EDドライバ、例えば、EDドライバ1245を全く含まない。
一実施形態では、セキュリティ・デバイス1505が、ホスト1520に結合されていない場合、ホスト1520は、EDドライバ1540を使用して外部デバイス1110と通信する。一実施形態では、ホスト1520は、セキュリティ・デバイス1505がホスト1520に結合されるまで、外部デバイス1110と通信しないように構成される。一実施形態では、ホスト1520は、パスワードおよびIDの受信などの、さらなるセキュリティ対策がとられている場合に限って、またはセキュリティ・デバイス1505がホスト1520に結合されるまで、EDドライバ1540を使用して外部デバイス1110と通信する。
一実施形態では、ホスト1520は、セキュリティ・デバイス1505がEDポート1525に接続されると、セキュリティ・デバイス1505の列挙を行うことが可能である。セキュリティ・デバイス1505またはセキュリティ・デバイス1505タイプを識別すると、ホスト1520は、リダイレクト・ドライバ1530を開始して、他のすべてのEDポート1535からのすべてのデータ転送要求、または他の外部デバイス1110要求をセキュリティ・デバイス1505にリダイレクトすることができる。一実施形態では、リダイレクト・ドライバ1530は、プロキシとして外部デバイス1110の要求を提示するセキュリティ・デバイス1505からのデータ転送要求だけを受け付ける。一実施形態では、リダイレクト・ドライバ1530は、セキュリティ・デバイス1505が、検査を行い、許可を与えて初めて、外部デバイス1110から受信されたデータ転送要求を実行する。他のプロトコルも可能である。
図16は、本発明の実施形態によるホストと外部デバイスの間のセキュリティで保護されたデータ交換の方法1600を示す流れ図である。方法1600は、ステップ1605で、セキュリティ・デバイス1505が、ホスト1520の第1のEDポート1525に接続されることから始まる。ステップ1610で、外部デバイス1110が、ホスト1520の第2のEDポート1535に接続される。ステップ1615で、ホスト1505が、列挙技術を実行してセキュリティ・デバイス1505および外部デバイス1110を識別し、適切なドライバ1530/1540をインストールしてセキュリティ・デバイス1505および外部デバイス1110との通信を可能にする。ステップ1620で、リダイレクト・ドライバ1530が、ホスト1505から外部デバイス1110への、または外部デバイス1110からホスト1505へのデータ転送要求を受信する。ステップ1625で、リダイレクト・ドライバ1530が、データ転送要求をセキュリティ・デバイス1505にリダイレクトし、デバイス1505は、ステップ1630で、このデータ転送要求に対してデバイス1505のセキュリティ・ポリシー(ウイルス対策、スパイウェア対策、アドウェア対策、データ・プライバシーなど)を執行する。ステップ1635で、セキュリティ・デバイス1505が、このデータ転送要求が、それらのセキュリティ・ポリシーに合格するかどうかを判定する。合格する場合、ステップ1640で、セキュリティ・デバイス1505が、このデータ転送要求を許可し、ステップ1645で、ホスト1520が、このデータ転送要求を実行する。合格しない場合、ステップ1650で、セキュリティ・デバイス1505が、このデータ転送要求を拒否する。次に、方法1600は、終了する。
一実施形態では、セキュリティ・デバイス1210/1505は、ホスト1205/1520の一部として、例えば、ホスト1205/1520の筐体内で、さらに/またはホスト1205/1520によって実行されるセキュリティ手続きとして実施されることが可能であることが認められよう。
本発明の好ましい実施形態の以上の説明は、単に例示的であり、前述した実施形態および方法の他の変種および変形も、以上の教示に照らして可能である。ネットワーク・サイトは、別々の、異種のサイトとして示されているものの、これらのサイトは、総合サイトの一部分であることが可能であり、それぞれ、複数のサイトの部分を含むことが可能であり、あるいは単一のサイトと複数のサイトの組み合わせを含むことが可能であることが、当業者には認識されよう。本明細書で説明される様々な実施形態は、ハードウェアを利用して、ソフトウェアを利用して、あるいはハードウェアとソフトウェアの任意の所望される組み合わせを利用して実施されることが可能である。さらに言えば、本明細書で説明される様々な機能を実施することができる任意のタイプのロジックが、利用されることが可能である。構成要素は、プログラミングされた汎用デジタル・コンピュータを使用して、特定用途向け集積回路を使用して、または互いに接続された従来の構成要素および回路のネットワークを使用して実施されることが可能である。接続は、有線、無線、モデムなどであることが可能である。本明細書で説明される実施形態は、網羅的であること、または限定することは意図していない。本発明は、添付の特許請求の範囲だけによって限定される。
300 ネットワーク・システム; 305 デスクトップ;
310a、310b 移動デバイス; 315 イントラネット;
320 ネットワーク・セキュリティ・システム;
325 セキュリティ・アドミニストレータ; 330 インターネット;
340 企業ネットワーク;
345a、345b モバイル・セキュリティ・システム;
400 コンピュータ・システム。
310a、310b 移動デバイス; 315 イントラネット;
320 ネットワーク・セキュリティ・システム;
325 セキュリティ・アドミニストレータ; 330 インターネット;
340 企業ネットワーク;
345a、345b モバイル・セキュリティ・システム;
400 コンピュータ・システム。
Claims (27)
- ホストと通信用に結合すべく機能する外部デバイス・プラグと、
外部デバイスと通信用に結合すべく機能する外部デバイス・ポートと、
プロセッサと、
メモリにして:
オペレーティング・システム; 前記外部デバイスとの通信を制御すべく機能する外部デバイス・ドライバ; および、前記外部デバイスと前記ホストの間のデータ転送要求に対してセキュリティ・ポリシーを執行すべく機能するセキュリティ・エンジン
を格納するメモリと
を含むセキュリティ・デバイス。 - 前記ホスト上のドライバと一緒に機能する請求項1に記載のセキュリティ・デバイス。
- 前記外部デバイス・プラグと前記外部デバイス・ポートの少なくともいずれかは、USB標準に準拠する請求項1に記載のセキュリティ・デバイス。
- 前記外部デバイス・プラグと前記外部デバイス・ポートの少なくともいずれかは、無線接続を含む請求項1に記載のセキュリティ・デバイス。
- 前記セキュリティ・エンジンは、ウイルス、スパイウェア、およびアドウェアの少なくとも1つの転送を防止する請求項1に記載のセキュリティ・デバイス。
- 前記セキュリティ・エンジンは、プライベート・データの許可のない転送を防止する請求項1に記載のセキュリティ・デバイス。
- セキュリティ・デバイスにして: 第1の外部デバイス・プラグ; および、ホストから受信されたデータ転送要求に対してセキュリティ・ポリシーを執行すべく機能するセキュリティ・エンジンを含むセキュリティ・デバイスと、
第2の外部デバイス・プラグを含む外部デバイスと、
ホストにして: 前記第1の外部デバイス・プラグと通信するように結合されるように機能する第1の外部デバイス・ポート; 前記第2の外部デバイス・プラグと通信するように結合されるように機能する第2の外部デバイス・ポート; および、データ転送要求を、前記データ転送要求を実行する前に、前記ホストから前記セキュリティ・デバイスに転送すべく機能するリダイレクト・ドライバを含むホストと
を含むセキュリティで保護されたデータ交換システム。 - 前記外部デバイスは、USBドライブを含む請求項7に記載のセキュリティで保護されたデータ交換システム。
- 前記外部デバイスは、PDAまたはセル電話機のいずれかを含む請求項7に記載のセキュリティで保護されたデータ交換システム。
- 前記ホストは、ラップトップ、デスクトップ、PDA、またはセル電話機の1つを含む請求項7に記載のセキュリティで保護されたデータ交換システム。
- 前記ホストは、前記ホストへの前記セキュリティで保護されたデバイスの接続を検出すると、前記リダイレクト・ドライバを起動する請求項7に記載のセキュリティで保護されたデータ交換システム。
- セキュリティ・デバイスをホストと通信するように結合すること、
外部デバイスを前記セキュリティ・デバイスと通信するように結合すること、
前記セキュリティ・デバイスによって、前記ホストからデータ転送要求を受信すること、および
前記セキュリティ・デバイスによって、前記データ転送要求に対して、前記データ転送要求が実行されることを許す前に、セキュリティ・ポリシーを執行することを含む方法。 - セキュリティ・デバイスをホストと前記通信するように結合することは、有線接続または無線接続を使用することを含む請求項12に記載の方法。
- 外部デバイスを前記ホストと前記通信するように結合することは、有線接続または無線接続を使用することを含む請求項12に記載の方法。
- 前記データ転送要求は、前記ホストから前記外部デバイスにデータを転送する要求を含む請求項12に記載の方法。
- 前記データ転送要求は、前記外部デバイスから前記ホストにデータを転送する要求を含む請求項12に記載の方法。
- 前記執行することは、ウイルス、スパイウェア、およびアドウェアの少なくとも1つに関して、転送される前記データを点検することを含む請求項12に記載の方法。
- 前記執行することは、前記データ転送要求が、プライベート・データを求める要求を含むかどうかを判定することを含む請求項12に記載の方法。
- 前記執行することは、プライベート・データの前記転送を許す前に、さらなるセキュリティ検査を要求することを含む請求項18に記載の方法。
- セキュリティ・デバイスをホストと通信するように結合すること、
外部デバイスを前記ホストと通信するように結合すること、
前記ホストによって、データ転送要求を受信すること、
前記ホスト上のリダイレクト・ドライバを使用して、前記データ転送要求を前記セキュリティ・デバイスにリダイレクトすること、および
前記セキュリティ・デバイスによって、前記データ転送要求に対して、前記データ転送要求が実行されることを許す前に、セキュリティ・ポリシーを執行することを含む方法。 - セキュリティ・デバイスをホストに前記通信するように結合することは、有線接続または無線接続を使用することを含む請求項20に記載の方法。
- 外部デバイスを前記ホストに前記通信するように結合することは、有線接続または無線接続を使用することを含む
請求項20に記載の方法。 - 前記データ転送要求は、前記ホストから前記外部デバイスにデータを転送する要求を含む請求項20に記載の方法。
- 前記データ転送要求は、前記外部デバイスから前記ホストにデータを転送する要求を含む請求項20に記載の方法。
- 前記執行することは、ウイルス、スパイウェア、およびアドウェアの少なくとも1つに関して、転送される前記データを点検することを含む請求項20に記載の方法。
- 前記執行することは、前記データ転送要求が、プライベート・データを求める要求を含むかどうかを判定することを含む請求項20に記載の方法。
- 前記執行することは、プライベート・データの前記転送を許す前に、さらなるセキュリティ検査を要求することを含む請求項26に記載の方法。
Applications Claiming Priority (2)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
US89310907P | 2007-03-05 | 2007-03-05 | |
PCT/US2008/055942 WO2009061523A1 (en) | 2007-03-05 | 2008-03-05 | System and method for providing data and device security between external and host devices |
Publications (1)
Publication Number | Publication Date |
---|---|
JP2010520566A true JP2010520566A (ja) | 2010-06-10 |
Family
ID=40626112
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2009552866A Pending JP2010520566A (ja) | 2007-03-05 | 2008-03-05 | 外部デバイスとホスト・デバイスの間でデータおよびデバイスのセキュリティを提供するためのシステムおよび方法 |
Country Status (8)
Country | Link |
---|---|
EP (1) | EP2132643B1 (ja) |
JP (1) | JP2010520566A (ja) |
CN (1) | CN101675423B (ja) |
AU (1) | AU2008325044A1 (ja) |
CA (1) | CA2680231A1 (ja) |
EA (1) | EA200970833A1 (ja) |
IL (1) | IL200770A0 (ja) |
WO (1) | WO2009061523A1 (ja) |
Cited By (9)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
WO2013042272A1 (ja) * | 2011-09-20 | 2013-03-28 | Akai Koji | コンピュータ・システム |
JP2013532866A (ja) * | 2010-07-26 | 2013-08-19 | キヨン キム | ハッカーウィルスセキュリティー統合管理機 |
JP2016518633A (ja) * | 2013-01-25 | 2016-06-23 | クアルコム,インコーポレイテッド | モバイルデバイス上での挙動の特徴の適応的な観測 |
JP2017505942A (ja) * | 2013-12-20 | 2017-02-23 | マカフィー, インコーポレイテッド | インテリジェントファイアウォールアクセスルール |
US9742559B2 (en) | 2013-01-22 | 2017-08-22 | Qualcomm Incorporated | Inter-module authentication for securing application execution integrity within a computing device |
US9747440B2 (en) | 2012-08-15 | 2017-08-29 | Qualcomm Incorporated | On-line behavioral analysis engine in mobile device with multiple analyzer model providers |
US9756066B2 (en) | 2012-08-15 | 2017-09-05 | Qualcomm Incorporated | Secure behavior analysis over trusted execution environment |
US9898602B2 (en) | 2012-05-14 | 2018-02-20 | Qualcomm Incorporated | System, apparatus, and method for adaptive observation of mobile device behavior |
US10089582B2 (en) | 2013-01-02 | 2018-10-02 | Qualcomm Incorporated | Using normalized confidence values for classifying mobile device behaviors |
Families Citing this family (6)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN102256293B (zh) * | 2011-04-18 | 2014-08-13 | 电子科技大学 | 自组织融合网络按需路由网关及其驱动设计方法 |
CN102378166B (zh) * | 2011-09-09 | 2014-04-23 | 周伯生 | 基于无线防火墙的网络安全方法 |
US8843739B2 (en) * | 2012-04-04 | 2014-09-23 | Lockheed Martin Corporation | Anti-tamper device, system, method, and computer-readable medium |
US9081960B2 (en) | 2012-04-27 | 2015-07-14 | Ut-Battelle, Llc | Architecture for removable media USB-ARM |
CN103914525B (zh) * | 2014-03-25 | 2017-02-08 | 深圳市深信服电子科技有限公司 | Fat32格式的usb设备重定向后的数据读取方法和系统 |
US11310279B2 (en) | 2019-04-05 | 2022-04-19 | International Business Machines Corporation | Implementation of selected enterprise policies |
Family Cites Families (5)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2000047878A (ja) * | 1998-07-31 | 2000-02-18 | Sony Computer Entertainment Inc | データ処理システム及び方法、並びにデータ送受信装置及び方法 |
US6813682B2 (en) | 2000-09-29 | 2004-11-02 | Steven Bress | Write protection for computer long-term memory devices |
US7076690B1 (en) * | 2002-04-15 | 2006-07-11 | Emc Corporation | Method and apparatus for managing access to volumes of storage |
US7478235B2 (en) * | 2002-06-28 | 2009-01-13 | Microsoft Corporation | Methods and systems for protecting data in USB systems |
US7769995B2 (en) * | 2004-01-07 | 2010-08-03 | Microsoft Corporation | System and method for providing secure network access |
-
2008
- 2008-03-05 JP JP2009552866A patent/JP2010520566A/ja active Pending
- 2008-03-05 CA CA002680231A patent/CA2680231A1/en not_active Abandoned
- 2008-03-05 EP EP08847968.8A patent/EP2132643B1/en active Active
- 2008-03-05 WO PCT/US2008/055942 patent/WO2009061523A1/en active Application Filing
- 2008-03-05 AU AU2008325044A patent/AU2008325044A1/en not_active Abandoned
- 2008-03-05 EA EA200970833A patent/EA200970833A1/ru unknown
- 2008-03-05 CN CN2008800149216A patent/CN101675423B/zh active Active
-
2009
- 2009-09-06 IL IL200770A patent/IL200770A0/en unknown
Cited By (12)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2013532866A (ja) * | 2010-07-26 | 2013-08-19 | キヨン キム | ハッカーウィルスセキュリティー統合管理機 |
WO2013042272A1 (ja) * | 2011-09-20 | 2013-03-28 | Akai Koji | コンピュータ・システム |
US9898602B2 (en) | 2012-05-14 | 2018-02-20 | Qualcomm Incorporated | System, apparatus, and method for adaptive observation of mobile device behavior |
US9747440B2 (en) | 2012-08-15 | 2017-08-29 | Qualcomm Incorporated | On-line behavioral analysis engine in mobile device with multiple analyzer model providers |
US9756066B2 (en) | 2012-08-15 | 2017-09-05 | Qualcomm Incorporated | Secure behavior analysis over trusted execution environment |
US10089582B2 (en) | 2013-01-02 | 2018-10-02 | Qualcomm Incorporated | Using normalized confidence values for classifying mobile device behaviors |
US9742559B2 (en) | 2013-01-22 | 2017-08-22 | Qualcomm Incorporated | Inter-module authentication for securing application execution integrity within a computing device |
JP2016518633A (ja) * | 2013-01-25 | 2016-06-23 | クアルコム,インコーポレイテッド | モバイルデバイス上での挙動の特徴の適応的な観測 |
JP2017505942A (ja) * | 2013-12-20 | 2017-02-23 | マカフィー, インコーポレイテッド | インテリジェントファイアウォールアクセスルール |
US10367787B2 (en) | 2013-12-20 | 2019-07-30 | Mcafee, Llc | Intelligent firewall access rules |
US10904216B2 (en) | 2013-12-20 | 2021-01-26 | Mcafee, Llc | Intelligent firewall access rules |
US11997069B2 (en) | 2013-12-20 | 2024-05-28 | Mcafee, Llc | Intelligent firewall access rules |
Also Published As
Publication number | Publication date |
---|---|
EP2132643A4 (en) | 2011-11-23 |
WO2009061523A1 (en) | 2009-05-14 |
EP2132643B1 (en) | 2017-10-25 |
EP2132643A1 (en) | 2009-12-16 |
CN101675423B (zh) | 2012-07-18 |
AU2008325044A1 (en) | 2009-05-14 |
IL200770A0 (en) | 2010-05-17 |
EA200970833A1 (ru) | 2010-04-30 |
CN101675423A (zh) | 2010-03-17 |
CA2680231A1 (en) | 2009-05-14 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
US11757941B2 (en) | System and method for providing network and computer firewall protection with dynamic address isolation to a device | |
US11652829B2 (en) | System and method for providing data and device security between external and host devices | |
US11757835B2 (en) | System and method for implementing content and network security inside a chip | |
US10839075B2 (en) | System and method for providing network security to mobile devices | |
EP2132643B1 (en) | System and method for providing data and device security between external and host devices | |
WO2010059864A1 (en) | Systems and methods for providing real time access monitoring of a removable media device |