JP2011138505A - セキュリティイベントを管理する方法及び装置 - Google Patents

Abstract

【課題】効果的にセキュリティイベントを管理する方法及び装置を提供すること。
【解決手段】本発明の一特徴は、モバイル計算装置上にセキュリティイベントマネージャを確立するステップと、前記セキュリティイベントマネージャによって、セキュリティイベントの発生を決定するためのセキュリティイベントルールセットを規定するセキュリティポリシーデータを抽出するステップと、前記セキュリティイベントマネージャによって、前記モバイル計算装置の少なくとも１つのセキュリティイベントソースから生成されるセキュリティイベントデータを受信するステップと、前記セキュリティイベントマネージャによって、前記セキュリティイベントデータと前記セキュリティポリシーデータとに基づき、セキュリティイベントの発生を決定するステップと、前記セキュリティイベントマネージャによって、前記セキュリティイベントに応答するステップとを有する方法に関する。
【選択図】図１

Description

本発明は、セキュリティイベントを管理する方法及び装置に関する。

セキュリティイベント管理（ＳＥＭ）及びセキュリティ情報管理（ＳＩＭ）システムは、典型的には、複数のセキュリティイベントソースからセキュリティイベントデータを収集、集約及び相関させるよう構成される企業レベルサーバである。標準的なＳＥＭ／ＳＩＭシステムでは、ユーザのクライアントコンピュータは、レポート、ログ及び他のセキュリティ関連データをＳＥＭ／ＳＩＭサーバに定期的に送信するよう構成される。ＳＥＭ／ＳＩＭサーバは、セキュリティイベントのレポートを作成するため、クライアントコンピュータやネットワークルータ、ファイアウォール、サービスなどの他の企業装置及びソースから受信するセキュリティデータを集約及び相関させる。典型的には、ＳＥＭ／ＳＩＭサーバは、パッシブであり、セキュリティイベントに自動的には応答しない。セキュリティスタッフが、セキュリティイベントのレポートを確認し、適切なアクションをとる。

従来、企業のセキュリティの境界は、計算装置の大部分が固定されたものであったため、企業の物理的境界（すなわち、企業のある建物など）に関連付けされた。しかしながら、計算装置がより可動的になるに従って、企業のセキュリティ境界は拡大し、いくつかのケースでは完全になくなっている。また、従来のＳＥＭ／ＳＩＭサーバなどの中央配置されたセキュリティシステムは、企業のセキュリティを全体的に維持しようとし、特に多数のモバイル計算装置に対するセキュリティを維持しようとするものである。

上記問題点に鑑み、本発明の課題は、効果的にセキュリティイベントを管理する方法及び装置を提供することである。

上記課題を解決するため、本発明の一特徴は、モバイル計算装置上にセキュリティイベントマネージャを確立するステップと、前記セキュリティイベントマネージャによって、セキュリティイベントの発生を決定するためのセキュリティイベントルールセットを規定するセキュリティポリシーデータを抽出するステップと、前記セキュリティイベントマネージャによって、前記モバイル計算装置の少なくとも１つのセキュリティイベントソースから生成されるセキュリティイベントデータを受信するステップと、前記セキュリティイベントマネージャによって、前記セキュリティイベントデータと前記セキュリティポリシーデータとに基づき、セキュリティイベントの発生を決定するステップと、前記セキュリティイベントマネージャによって、前記セキュリティイベントに応答するステップとを有する方法に関する。

本発明によると、効果的にセキュリティイベントを管理する方法及び装置を提供することができる。

図１は、モバイル計算装置上で生成されるセキュリティイベントを管理するモバイル計算装置の一実施例の簡単化されたブロック図である。 図２は、図１のモバイル計算装置のソフトウェア環境の簡単化されたブロック図である。 図３は、図１のモバイル計算装置により実行されるセキュリティイベントを管理する方法の一実施例の簡単化されたフロー図である。 図４は、図３の方法に私用されるセキュリティイベントデータを解析する方法の一実施例の簡単化されたフロー図である。

以下、図面に基づいて本発明の実施の形態を説明する。

本開示のコンセプトは様々な改良及び代替的な形態の影響を受けるが、各実施例が図面により図示され、詳細に説明される。しかしながら、本開示のコンセプトを開示された特定の形態に限定することを意図したものでなく、添付した請求項により規定されるような本発明の趣旨及び範囲内に属するすべての改良、均等及び代替をカバーするものである。

以下の説明では、ロジック実現形態、オペコードなどの多数の具体的詳細は、オペランド、リソース分割／共有／複製実現形態、システムコンポーネントのタイプ及び相互関係を特定するものであり、本開示のより完全な理解を提供するため、ロジック分割／統合選択が提供されてもよい。しかしながら、本開示の実施例はこのような特定の詳細なしに実現可能であることが当業者に理解されるであろう。他の例では、制御構成、ゲートレベル回路及び完全なソフトウェア命令シーケンスは、本開示を不明りょうにしないように詳細には示されない。当業者は、この開示によって過度な実験なしに適切な機能を実現することが可能であろう。

明細書における“一実施例”、“実施例”、“一例となる実施例”などの用語は、開示された実施例が特定の機能、構成又は特徴を有することを示すが、すべての実施例が、特定の機能、構成又は特徴を必ずしも有する必要はない。さらに、このような用語は必ずしも同一の実施例を参照しているとは限らない。さらに、特定の機能、構成又は特徴が実施例に関連して説明されるとき、明示されているか否かにかかわらず、このような機能、構成又は特徴を他の実施例に関して実現することは当業者の知識の範囲内である。

本開示のいくつかの実施例は、ハードウェア、ファームウェア、マイクロコード、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）命令、ソフトウェア又はこれらの何れかの組み合わせにより実現されてもよい。コンピュータシステムにおいて実現される本開示の実施例は、コンポーネント間の１以上のバスベースインターコネクト及び／又はコンポーネント間の１以上のポイント・ツー・ポイントインターコネクトを有するものであってもよい。本発明の実施例はまた、１以上のプロセッサにより読み込まれ実行される、マシーン可読な有形の媒体に格納される命令として実現されてもよい。マシーン可読な有形媒体は、マシーン（計算装置など）により可読な形態により情報を格納又は送信するための何れかの有形な機構を有するものであってもよい。例えば、マシーン可読な有形媒体は、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、磁気ディスク記憶媒体、光記憶媒体、フラッシュメモリデバイス及び他の有形媒体を含むものであってもよい。

図１を参照して、自装置１００上で生成されるセキュリティイベントを管理するよう構成されるモバイル計算装置１００は、セキュリティイベントマネージャ（ＳＥＭ）１０２と、プロセッサ１０４と、チップセット１０６と、メモリ１０８とを有する。計算装置１００は、ここに記載される機能を実行可能な何れかのタイプのポータブルな計算装置として実現されてもよい。例えば、いくつかの実施例では、計算装置１００は、携帯電話、ＰＤＡ（Ｐｅｒｓｏｎａｌ Ｄａｔａ Ａｓｓｉｓｔａｎｔ）、携帯コンピュータ、ラップトップコンピュータ、モバイルインターネットデバイス（ＭＩＤ）、又は他のコンピュータベースのモバイル装置として実現される。

セキュリティイベントマネージャ１０２は、ここでより詳細に説明されるモバイル計算装置１００上で生成されるセキュリティイベントを収集、正規化、集約、関連付け及び応答するため協調するハードウェアコンポーネント、ファームウェアコンポーネント及びソフトウェアコンポーネントを含む複数のコンポーネントとして実現されてもよい。また、セキュリティイベントマネージャ１０２は、装置１００のプロセッサ１０４から独立した専用のハードウェアプロセッサ及び／又は他の回路を有するものであってもよい。さらに、セキュリティイベントマネージャ１０２は、セキュア化された環境においてセキュリティイベントマネージャを初期化又は“ブート”するよう構成されるファームウェア命令を有してもよい。一部の実施例では、セキュリティイベントマネージャ１０２は、セキュリティを向上させるため、メインメモリ１０８から独立したメモリ（図示せず）を有するか、又は通信接続されてもよい。

プロセッサ１０４は、プロセッサコア１１０を有するシングルコアプロセッサとして実現される。しかしながら、他の実施例では、プロセッサ１０４は、複数のプロセッサコア１１０を有するマルチコアプロセッサとして実現されてもよい。さらに、計算装置１００は、１以上のプロセッサコア１１０を有するさらなるプロセッサ１０４を有してもよい。プロセッサ１０４は、いくつかの信号パス１１２を介しチップセット１０６に通信接続される。信号パス１１２は、プロセッサ１０４とチップセット１０６との間の通信を実行可能な何れかのタイプの信号パスとして実現されてもよい。例えば、信号パス１１２は、任意数の配線、プリント回路ボードトレース、ビア、バス、仲介装置などとして実現されてもよい。

メモリ１０８は、ＤＲＡＭ（Ｄｙｎａｍｉｃ ＲＡＭ）、ＳＤＲＡＭ（Ｓｙｎｃｈｒｏｎｏｕｓ ＤＲＡＭ）、ＤＤＲ（Ｄｏｕｂｌｅ−Ｄａｔａ Ｒａｔｅ） ＳＤＲＡＭ及び／又は他の揮発性メモリデバイスなどを含む１以上のメモリデバイス又はデータストレージとして実現されてもよい。さらに、図１では１つのメモリデバイス１０８しか示されていないが、他の実施例では、計算装置１００はさらなるメモリデバイス１０８を有してもよい。

チップセット１０６は、メモリコントローラハブ（ＭＣＨ）、すなわち、ノースブリッジと、入出力コントローラハブ（ＩＣＨ）、すなわち、サウスブリッジと、ファームウェアデバイスとを有する。このような実施例では、ファームウェアデバイスは、ＢＩＯＳ（Ｂａｓｉｃ Ｉｎｐｕｔ／Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ）データ、命令及び／又は他の情報を格納するためのメモリストレージデバイスとして実現されてもよい。チップセット１０６は、いくつかの信号パス１１４を介しメモリ１０８に通信接続される。信号パス１１２と同様に、信号パス１１４は、任意数のバスパス、プリント回路ボードトレース、配線、ビア、仲介装置及び／又は他のインターコネクトなど、チップセット１０６とメモリデバイス１０８との間の通信を実現可能な何れかのタイプの信号パスとして実現されてもよい。

他の実施例では、チップセット１０６は、プラットフォームコントローラハブ（ＰＣＨ）として実現されてもよい。このような実施例では、メモリコントローラハブ（ＭＣＨ）は、プロセッサに搭載されるか、又は関連付けされてもよい。さらに、このような実施例では、メモリ１０８は、いくつかの信号パス１１６を介しチップセット１０６（すなわち、プラットフォームコントローラハブ）でなくプロセッサ１０４に通信接続されてもよい。信号パス１１２と同様に、信号パス１１６は、任意数のバスパス、プリント回路ボードトレース、配線、ビア、仲介装置及び／又は他のインターコネクトなど、プロセッサ１０４とメモリデバイス１０８との間の通信を実現可能な何れかのタイプの信号パスとして実現されてもよい。

さらなる他の実施例では、計算装置１００の２以上のコンポーネントが、単一の集積回路に搭載されてもよい。例えば、いくつかの実施例では、プロセッサ１０４と、メモリコントローラハブ（ＭＣＨ）と、入出力コントローラハブ（ＩＣＨ）と、メモリ１０８の各部分と、装置１００の他のコンポーネントとが、システム・オン・チップ（ＳｏＣ）集積回路に搭載されてもよい。さらに又は代わりに、このようなコンポーネントの一部がシステム・イン・パッケージ（ＳｉＰ）集積回路などに搭載されてもよい。また、計算装置１００の物理的なレイアウトは図１に図示された実施例に限定されるものでないことが理解されるべきである。

一部の実施例では、計算装置１００は、データストレージデバイス１１８、１以上の周辺デバイス１２０及び通信回路１２２を有する。このような実施例では、チップセット１０６はまた、データストレージデバイス１１８、周辺デバイス１２０、通信回路１２２及びセキュリティイベントマネージャ１０２と信号パス１２４を介し通信接続される。再び、信号パス１１２と同様に、信号パス１２４は、任意数の配線、プリント回路ボードトレース、ビア、バス、仲介装置など、チップセット１０６と、データストレージデバイス１１８、周辺デバイス１２０、通信回路１２２及びセキュリティイベントマネージャ１０２との間の通信を実現可能な何れかのタイプの信号パスとして実現されてもよい。

データストレージデバイス１１８は、メモリデバイス、回路、メモリカード、ハードディスクドライブ、ソリッドステートドライブ、他のデータストレージデバイスなど、データの短期又は長期格納のために構成される何れかの個数及びタイプのデバイスとして実現される。周辺デバイス１２０は、入力デバイス、出力デバイス及び他のインタフェースデバイスを含む何れかの個数の周辺デバイスを含むものであってもよい。例えば、周辺デバイス１２０は、モバイル計算装置１００のディスプレイスクリーンとキーボードとを有してもよい。周辺デバイス１２０に含まれるデバイスは、例えば、計算装置の意図した利用などに依存するものであってもよい。

通信回路１２２は、モバイル計算装置１００と１以上のリモートデバイスとの間の通信を可能にするための何れかの個数のデバイス及び回路として実現されてもよい。例えば、通信回路１２２は、ネットワーク１６０を介し企業のセキュリティイベント管理（ＳＥＭ）サーバ１８０との有線又は無線通信を実現するための１以上の有線又は無線ネットワークインタフェースを有してもよい。ネットワーク１６０は、ローカルエリアネットワーク、ワイドエリアネットワーク、公衆に利用可能なグローバルネットワーク（インターネットなど）又は他のネットワークなどの何れかのタイプの有線及び／又は無線ネットワークとして実現されてもよい。さらに、ネットワーク１６０は、ルータ、スイッチ、仲介装置など、モバイル計算装置１００と企業のＳＥＭサーバ１８０との間の通信を実現するための何れかの個数のさらなるデバイスを有してもよい。

いくつかの実施例では、モバイル計算装置１００はまた、信号パス１３２を介しセキュリティイベントマネージャ１０２に通信接続される１以上のセンサ１３０を有する。信号パス１１２と同様に、信号パス１３２は、センサ１３０とセキュリティイベントマネージャ１０２との間の通信を実現可能な何れかのタイプの信号パスとして実現されてもよい。センサ１３０は、モバイル計算装置１００のユーザ又は計算装置１００自体の状況の１以上のパラメータを決定するよう構成される何れかのタイプのセンサ又はセンサネットワークとして実現されてもよい。例えば、センサ１３０は、ユーザの位置を決定する位置センサ（ＧＰＳセンサなど）、ユーザの生体データを決定する生体センサ、温度センサ、高度センサ、無線識別情報（ＲＦＩＤ）、送信機及び／又は受信機、データスキャナ又はリーダ、及び／又はユーザ（又は計算装置１００自体）の状況のパラメータを示すデータを検知又は収集するよう構成された他のセンサ及び／又はデバイスとして実現されてもよい。さらに、計算装置１００は説明の簡単化のため図１に示されない他のコンポーネント、サブコンポーネント及びデバイスを有してもよいことが理解されるべきである。

企業ＳＥＭサーバ１８０は、何れかのタイプの企業レベルＳＥＭシステム、ＳＩＭシステム又はＳＥＩＭ（Ｓｅｃｕｒｉｔｙ Ｅｖｅｎｔ ａｎｄ Ｉｎｆｏｒｍａｔｉｏｎ Ｍａｎａｇｅｍｅｎｔ）システムとして実現される。サーバ１８０は、リモートクライアント及び／又は他のセキュリティイベントソースからセキュリティデータを受信し、受信したセキュリティデータを集約し、セキュリティスタッフにより確認のためにセキュリティデータを関連付けるよう構成される１以上のコンピュータサーバマシーンを有してもよい。

企業ＳＥＭサーバ１８０は、プロセッサ１８２と、メモリ１８４と、通信回路１８６とを有する。プロセッサ１８２は、シングル又はマルチコアプロセッサとして実現される。さらに、企業ＳＥＭサーバ１８０は、１以上のプロセッサコアを有する何れかの個数のさらなるプロセッサ１８２を有してもよい。メモリ１８４は、ＤＲＡＭ、ＳＤＲＡＭ、ＤＤＲ ＳＤＲＡＭ及び／又は他の揮発性メモリデバイスなどを含む１以上のメモリデバイス又はデータストレージとして実現されてもよい。図１には１つのメモリデバイス１８４しか示されていないが、他の実施例では、企業ＳＥＭサーバ１８０はさらなるメモリデバイス１８４を有してもよい。通信回路１８６は、モバイル計算装置１００の通信回路１２２と同様であってもよく、ネットワーク１６０を介し企業ＳＥＭサーバ１８０とモバイル計算装置１００との間の通信を可能にするための何れかの個数のデバイス及び回路として実現されてもよい。さらに、企業ＳＥＭサーバ１８０は、説明のために図１に示されていない企業ＳＥＭサーバに典型的に設けられている他のコンポーネント、サブコンポーネント及びデバイスを有するものであってもよいことが理解されるべきである。

図２を参照して、モバイル計算装置１００は、企業ＳＥＭサーバ１８０と通信する必要なくモバイル計算装置１００のセキュリティイベント管理を提供するためのローカルセキュリティイベントマネージャ１０２を有する。上述されるように、セキュリティイベントマネージャ１０２は、ハードウェア、ファームウェア及び／又はソフトウェアモジュール及びデバイスとして実現される。セキュリティイベントマネージャ１０２は、モバイル計算装置の１以上のセキュリティイベントソース２００からセキュリティイベントデータを収集又は受信するよう構成される。

セキュリティイベントソース２００は、セキュリティイベントデータを生成する何れかのファームウェア、ソフトウェア又はハードウェアとして実現されてもよい。例えば、セキュリティイベントソース２００は、プロセッサファームウェア、周辺デバイスにより実行されるファームウェア、又は計算装置１００の１以上のコンポーネントにより実行される他のファームウェアなど、モバイル計算装置１００の１以上のデバイスにより実行されるファームウェア２０２として実現されてもよい。さらに、セキュリティイベントソース２００は、ログ、アクティビティレポートなどのセキュリティイベントデータを生成する１以上のオペレーティングシステム２０４を有してもよい。セキュリティイベントソース２００はさらに、オペレーティングシステム２０４上で実行されるソフトウェアアプリケーション２０６を有してもよい。モバイル計算装置１００がセンサ１３０を有する実施例では、セキュリティイベントソース２００はまた、センサ１３０により生成されるセンサデータ２０８を有する。

セキュリティイベントソース２００により生成されるセキュリティイベントデータは、セキュリティイベントの発生が決定される何れかのタイプのデータとして実現されてもよい。例えば、セキュリティイベントデータは、１以上のセキュリティイベントソース２００から生成されるイベントログ、アクティビティレポート若しくはログ、エラーレポート／ログ及び／又は他のデータを含むものであってもよい。ソース２００からセキュリティイベントデータを受信することに応答して、セキュリティイベントマネージャ１０２は、以下で詳細に説明されるように、セキュリティイベントが発生したか判断するため、セキュリティイベントデータを正規化、集約及び関連付けるよう構成される。セキュリティイベントが発生したと判断された場合、セキュリティイベントマネージャ１０２は、このようなセキュリティイベントにアクティブに応答し、及び／又はモバイル計算装置１００のユーザインタフェースを介しユーザに情報を提供するよう構成される。

図示された実施例では、セキュリティイベントマネージャ１０２は、正規化エンジン２１０と、集約エンジン２１２と、相関エンジン２１４とを有する。各エンジン２１０，２１２，２１４は、独立したファームウェア又はソフトウェアモジュールとして実現されてもよいし、又はセキュリティイベントマネージャの単一のファームウェア及び／又はソフトウェアモジュールに搭載されてもよい。上述されるように、セキュリティイベントマネージャ２１０は、セキュリティイベントソース２００からセキュリティイベントデータを受信する。正規化エンジンは、セキュリティイベントソース２００から受信するセキュリティイベントデータを正規化するよう構成される。これを実行するため、正規化エンジン２１０はセキュリティイベントデータを共通する又は所定のデータフォーマットに変換する。正規化エンジン２１０により用いられるデータフォーマットは、セキュリティイベントマネージャ１０２の実現形態及び／又は他の基準に基づき決定されてもよい。セキュリティイベントデータが共通のフォーマットに変換されるため、セキュリティイベントデータが解析される効率性及びスピードが向上する。

集約エンジン２１２は、解析対象の全体的なデータ量を減少させるため、正規化されたセキュリティイベントデータを集約するよう構成される。このようにして、集約エンジン２１２は、セキュリティイベントデータを概略化する。例えば、セキュリティイベントデータがあるエラーの１０００個の別個の事例を含む場合、集約エンジン２１２は、当該タイプの１０００個のエラーが解析タイムウィンドウ内で受信されたことを示す１つのエントリとしてこのようなセキュリティイベントデータを表現するよう構成されてもよい。さらに又は代わりに、集約エンジン２１２は、上記例において、１０００個のエラー事例が単一のエラー事例として表されるように、エラーの１０００個の事例を受信したことから生成又は規定される定量的な閾値に基づき、セキュリティイベントデータを表すよう構成されてもよい。

相関エンジン２１４は、セキュリティイベントの発生を決定するため、集約されたセキュリティイベントデータを関連付けるよう構成される。これを実行するため、相関エンジン２１４は、セキュリティポリシーデータベース２２０に格納される所定のセキュリティポリシーに基づきセキュリティイベントデータを関連付けする。セキュリティポリシーは、セキュリティイベントデータからセキュリティイベントを特定するのに利用されるセキュリティイベントルールセットを規定する。セキュリティイベントルールは、定量的、時間的、定性的、合成的及び／又は他の基準などのセキュリティイベントを決定するのに利用可能な何れかのタイプの基準に基づくフォーマットを有してもよい。例えば、１つのセキュリティイベントルールは、イベントＡ及びＢが所定の期間内に互いに発生する場合、セキュリティイベントの発生を示すものであってもよい。他のセキュリティイベントルールは、イベントＣの個数が所定の閾値に達した場合、セキュリティイベントを示すようにしてもよい。さらに、他の例示的なセキュリティイベントルールは、イベントＤがこれまでに発生している場合、セキュリティイベントを示すようにしてもよい。また、セキュリティポリシーは、セキュリティイベントの発生が決定される各種形式を有する何れかの個数のセキュリティポリシーイベントを含むものであってもよい。

いくつかの実施例では、相関エンジン２１４は、セキュリティポリシーとモバイル計算装置１００のコンテクストデータベース２２２に格納されているコンテクストデータとに基づき、セキュリティイベントデータを関連付けるよう構成される。コンテクストデータは、モバイル計算装置１００及び／又はユーザのコンテクスト（ｃｏｎｔｅｘｔ）、すなわち、状況を規定又は特定する何れかのタイプのデータを含むものであってもよい。例えば、コンテクストデータは、モバイル計算装置１００の位置、ユーザにより実行されているアクティビティ、環境的側面、ユーザの生体データ、履歴データ及び／又は他のコンテクストデータを規定するものであってもよい。このようなコンテクストデータは、様々な程度の仕様を有するものであってもよい。例えば、一部の実施例では、モバイル計算装置１００の位置は、装置１００がある都市、装置１００がある建物、又は装置１００のＧＰＳ座標として規定されてもよい。コンテクストデータのタイプと仕様との関係なく、このようなデータは、セキュリティイベントの発生を決定するため、及び／又は以下で詳細に説明されるようなこのようなイベントへの応答の仕方を決定するため、セキュリティポリシーと共に利用されてもよい。例えば、イベントＡ及びＢの発生しか、モバイル計算装置１００がある位置にある場合、セキュリティイベントを規定しないようにしてもよい。

モバイル計算装置１００はまた、セキュアなデータベース又は他のメモリストレージ位置に格納される高優先度データ２２４を有してもよい。このような高優先度データは、特に機密データとして実現されてもよい。高優先度データをセキュリティを向上させるため、セキュリティイベントマネージャ１０２は、独立したセキュアなバーチャルコンテナに高優先度データを格納するよう構成される。例えば、高優先度データは、セキュアなメモリ位置に格納されてもよい。このようなバーチャルコンテナは、モバイル計算装置１００との間の機密データの伝送を可能にする。

いくつかの実施例では、セキュリティイベントマネージャ１０２は、モバイル計算装置１００上に表示されるユーザインタフェースとやりとりするよう構成されてもよい。例えば、セキュリティイベントマネージャ１０２は、ユーザにセキュリティイベントデータに基づく警告又は更新を表示するようにしてもよい。さらに、ユーザインタフェース２３０は、ユーザ入力を要求するのに利用されてもよい。例えば、ユーザインタフェース２３０は、セキュリティポリシーデータベース２２０に格納されているセキュリティポリシー及び／又はコンテクストデータベース２２２に格納されているコンテクストデータを更新するためユーザにより利用されてもよい。

上述されるように、いくつかの実施例では、モバイル計算装置１００は、ネットワーク１６０を介し企業ＳＥＭサーバ１８０と通信する。いくつかの実施例では、企業ＳＥＭサーバ１８０は、標準的な企業レベルのＳＥＭモジュール、ＳＩＭモジュール及び／又はＳＥＩＭモジュールとして実現される企業セキュリティイベントマネージャ２５０を有する。企業セキュリティイベントマネージャ２５０は、モバイル計算装置１００などのリモート計算装置からセキュリティイベントデータを受信するよう構成される。このようなセキュリティイベントデータは、データベース２５２に格納される。使用するとき、企業セキュリティイベントマネージャ２５０は、セキュリティスタッフによる確認のため、各種リモート計算装置から受信されるセキュリティイベントデータを集約及び関連付けするよう構成される。

図３を参照して、モバイル計算装置１００上で生成されるセキュリティイベントを管理する方法３００は、セキュリティイベントマネージャ１０２が装置１００上で開始されるブロック３０２から開始される。一部の実施例では、セキュリティイベントマネージャ１０２は、セキュアな環境において確立される。セキュリティイベントマネージャ１０２は、計算装置１００に電源供給されると、自動的に起動するようにしてもよい。あるいは、他の実施例では、モバイル計算装置１００のユーザは、セキュリティイベントマネージャ１０２を選択的に起動してもよい。さらに、一部の実施例では、セキュリティイベントマネージャ１０２は、ブロック３０２において、セキュリティポリシーデータベース２２０に格納されているセキュリティポリシー及び／又はコンテクストデータベース２２２に格納されているコンテクストデータを抽出するよう構成されてもよい。

ブロック３０４において、セキュリティイベントマネージャ１０２は、モバイル計算装置１００の１以上のセキュリティイベントソース２００により生成されるセキュリティイベントデータを収集又は受信する。上述されるように、セキュリティイベントデータは、セキュリティイベントの発生が決定される何れかのタイプのデータとして実現されてもよい。例えば、セキュリティイベントデータは、１以上のセキュリティイベントソース２００から生成されるイベントログ、アクティビティレポート若しくはログ、エラーレポート／ログ及び／又は他のデータを含むものであってもよい。さらに、いくつかの実施例では、セキュリティイベントマネージャ１０２は、ブロック３０６において、モバイル計算装置１００のユーザのアクティビティをモニタ及び記録するようにしてもよい。このようなアクティビティログは、企業のＲＢＡＣ（Ｒｏｌｅ Ｂａｓｅｄ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）を確保又はモニタするのに利用されてもよい。セキュリティイベントマネージャ１０２によりモニタ及びログされるアクティビティは、装置１００のアプリケーション及びサービスに関する利用情報など、計算装置１００上で実行される何れかのタイプのアクティビティを含むものであってもよい。

ブロック３０８では、セキュリティイベントマネージャ１０２は、計算装置１００が企業環境内にあるか判断する。例えば、セキュリティイベントマネージャ１０２は、装置１００が企業の物理的位置内（特定の部屋、建物又はエリアなど）にあるか判断してもよい。これを実行するため、セキュリティイベントマネージャ１０２は、コンテクストデータベース２２２に格納されているコンテクストデータを利用する。このような決定の仕様は、実現形態に応じて変更されてもよい。例えば、一部の実施例では、ブロック３０８において、セキュリティイベントマネージャ１０２は、装置１００が物理的位置でなく企業ＳＥＭサーバ１８０に通信接続されているか判断するよう構成される。

セキュリティイベントマネージャ１０２が、ブロック３０８においてモバイル計算装置１００が企業環境内にあると判断した場合、セキュリティイベントマネージャ１０２は、ブロック３１０において、セキュリティイベントデータを企業ＳＥＭサーバ１８０に送信する。一部の実施例では、セキュリティイベントマネージャ１０２は、ブロック３１０において、“未処理の”セキュリティイベントデータ（すなわち、セキュリティイベントソース２００から受信されるようなセキュリティイベントデータ）をサーバ１８０に送信してもよい。しかしながら、他の実施例では、セキュリティイベントマネージャ１０２は、ブロック３１０において、集約及び正規化されたセキュリティイベントデータをサーバ１８０に送信するよう構成される。さらに、ブロック３１２において、セキュリティイベントマネージャ１０２は、何れかのアクティビティログ又は他のＲＢＡＣデータをサーバ１８０に送信する。このようにして、セキュリティイベントデータと多数のリモート装置からの他の情報とが、企業ＳＥＭサーバ１８０により解析される。方法３００は、以降にブロック３０４にループバックし、さらなるセキュリティイベントデータがセキュリティイベントマネージャ１０２により受信される。

ブロック３０８に戻って、セキュリティイベントマネージャ１０２が、モバイル計算装置１００が企業環境内にないと判断した場合、ブロック３１４において、セキュリティイベントマネージャ１０２は、セキュリティイベントデータを解析するか判断する。セキュリティイベントマネージャ１０２は、定期的に（データが毎時解析される）又は１以上のトリガイベントに基づき（所定量のセキュリティイベントデータが受信されるなど）、セキュリティイベントデータを解析するか判断する。このようなトリガイベントは、例えば、セキュリティポリシーデータベース２２０に格納されているセキュリティポリシーなどによって規定されてもよい。さらに、他の実施例では、セキュリティイベントマネージャ１０２は、実質的に連続的にセキュリティイベントソース２００から受信されるセキュリティイベントデータを解析するようにしてもよい。このような実施例では、ブロック３１４はスキップされてもよいし、又は方法３００に含まれなくてもよい。

セキュリティイベントマネージャが、セキュリティイベントデータが確認されるべきであると判断した場合、ブロック３１６において、セキュリティイベントマネージャ１０２は、セキュリティイベントデータを解析する。これを実行するため、セキュリティイベントマネージャ１０２は、図４に示されるようなセキュリティイベントデータを解析するための方法４００を実行する。方法４００は、セキュリティイベントデータが正規化されるブロック４０２から開始される。上述されるように、セキュリティイベントデータは、セキュリティイベントデータを共通する又は所定のデータフォーマットに変換するため、正規化エンジン２１０により正規化される。正規化エンジン２１０により用いられるデータフォーマットは、セキュリティイベントマネージャ１０２の実現形態及び／又は他の基準に基づき決定される。

ブロック４０４において、セキュリティイベントマネージャ１０２の集約エンジン２１２は、解析対象のデータ量全体が低減されるように、正規化されたセキュリティイベントデータを概略化するため、正規化されたセキュリティイベントデータを集約する。集約エンジン２１２は、図２に関して上述されたような定量的閾値などに基づくものなど何れか適切な方法を用いてセキュリティイベントデータを集約する。方法３００のブロック３１６において、正規化及び集約処理がセキュリティイベントデータの解析において実現されるが、このような正規化及び集約処理は、他の実施例では方法３００の他の処理において実行されてもよい。例えば、一部の実施例では、セキュリティイベントデータは、セキュリティイベントマネージャ１０２による受信に応答して、定期的に又は所定のトリガイベントに基づき正規化及び集約化される。

方法４００のブロック４０６を参照して、セキュリティイベントマネージャ１０２の相関エンジン２１４は、その後にセキュリティイベントの発生を決定するため、集約されたセキュリティイベントデータを関連付ける。上述されるように、相関エンジン２１４は、セキュリティポリシーデータベース２２０に格納されてるセキュリティポリシーに基づきセキュリティイベントデータを関連付ける。さらに、一部の実施例では、ブロック４０８において、相関エンジン２１４は、モバイル計算装置１００のコンテクストデータベース２２２に格納されているコンテクストデータとセキュリティポリシーとに基づきセキュリティイベントデータを関連付けるよう構成される。また、セキュリティイベントマネージャ１０２は、コンテクストデータベース２２２からコンテクストデータを抽出し、当該データとセキュリティポリシーのセキュリティイベントルールとを用いて、セキュリティイベントデータを関連付け、これによりセキュリティイベントが発生したか判断するよう構成される。

いくつかの実施例では、セキュリティイベントマネージャ１０２は、ブロック４１０において、セキュリティイベントデータに関するさらなる情報のために、ユーザ及び／又は企業ＳＥＭサーバ１８０を促すよう構成されてもよい。このようなさらなる情報はさらに、セキュリティイベントが発生したか判断するのに利用されてもよい。例えば、あるイベントが１日のある時間に一貫して受信される場合、セキュリティイベントマネージャ１０２は、このようなイベントがセキュリティの脅威であるか、又は許容されるべきか判断するようユーザを促すものであってもよい。さらに、セキュリティイベントマネージャ１０２は、同様の又は追加的な情報を取得するため、サーバ１８０と通信してもよい。

ブロック４１２において、セキュリティイベントマネージャ１０２は、ブロック４１０において受信した追加的な情報に基づき、セキュリティポリシーを更新するよう構成される。例えば、ユーザが、未知のイベントがセキュリティの脅威でないと判断した場合、セキュリティポリシーは、当該時間にそれが発生したとき、そのイベントを無視するよう更新されてもよい（しかしながら、異なる時間にそれが発生した場合には、当該イベントをセキュリティイベントとして分類してもよい）。このようにして、セキュリティポリシー及びセキュリティイベントデータの相関とは、モバイル計算装置１００のセキュリティを向上させるため、経時的に変更されてもよい。

図３の方法に戻って、ブロック３１６においてセキュリティイベントデータを解析した後、セキュリティイベントマネージャ１０２は、セキュリティイベントがブロック３１８において発生したか判断する。このような判定は、上述されるように、セキュリティイベントソース２００から受信されるセキュリティイベントデータの正規化、集約及び関連付けに基づく。セキュリティイベントが発生していない場合、方法３００はブロック３０４にループバックし、さらなるセキュリティイベントデータがセキュリティイベントソースから受信される。しかしながら、セキュリティイベントマネージャが、セキュリティイベントが発生したと判断した場合、ブロック３２０において、セキュリティイベントマネージャ１０２は、セキュリティイベントに応答する。セキュリティイベントマネージャ１０２は、セキュリティイベントが発生したという判断に応答して、セキュリティイベントの無視、モバイル計算装置１００の接続状態の変更、ソフトウェアアプリケーションへのアクセスの変更、モバイル計算装置１００のデータフィルタの変更、高優先度データ２２４などのデータへのアクセスの拒否、モバイル計算装置１００のリブート、モバイル計算装置１００のオフ、モバイル計算装置１００上で実行されるソフトウェアアプリケーション又はサービスの隔離及び／又は１以上の何れかさらなるアクションを含む１以上のアクションを実行する。その後、セキュリティイベントに応答して行われるアクションに応じて、方法３００は、さらなるセキュリティイベントデータがセキュリティイベントソース２００から受信されるブロック３０４にループバックする。

本開示が図面と説明により詳細に図示及び説明されたが、このような図示及び説明は、単なる一例であって、限定的なものとみなされるべきでなく、単なる例示的な実施例が図示及び説明され、本開示の趣旨の範囲内のすべての変更及び改良が保護されることが所望されることが理解されるべきである。

以上、本発明の実施例について詳述したが、本発明は上述した特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。

１００ モバイル計算装置
１６０ ネットワーク
１８０ 企業セキュリティイベント管理サーバ

Claims (24)

1. モバイル計算装置上にセキュリティイベントマネージャを確立するステップと、
   前記セキュリティイベントマネージャによって、セキュリティイベントの発生を決定するためのセキュリティイベントルールセットを規定するセキュリティポリシーデータを抽出するステップと、
   前記セキュリティイベントマネージャによって、前記モバイル計算装置の少なくとも１つのセキュリティイベントソースから生成されるセキュリティイベントデータを受信するステップと、
   前記セキュリティイベントマネージャによって、前記セキュリティイベントデータと前記セキュリティポリシーデータとに基づき、セキュリティイベントの発生を決定するステップと、
   前記セキュリティイベントマネージャによって、前記セキュリティイベントに応答するステップと、
   を有する方法。
2. 前記セキュリティイベントマネージャを確立するステップは、セキュアなブート環境において前記セキュリティイベントマネージャを確立することからなる、請求項１記載の方法。
3. 前記セキュリティイベントデータを受信するステップは、前記モバイル計算装置の複数のセキュリティイベントソースから生成されるセキュリティイベントデータを受信することからなる、請求項１記載の方法。
4. 前記セキュリティイベントデータを受信するステップは、前記モバイル計算装置のファームウェア、前記モバイル計算装置のオペレーティングシステム及び前記モバイル計算装置上で実行されるソフトウェアアプリケーションの少なくとも１つから生成されるセキュリティイベントデータを受信することからなる、請求項１記載の方法。
5. 前記セキュリティイベントの発生を決定するステップは、前記セキュリティイベントデータを所定のデータフォーマットに正規化することを含む、請求項１記載の方法。
6. 前記セキュリティイベントの発生を決定するステップは、前記セキュリティイベントデータを概略化するため、前記セキュリティイベントデータを集約することを含む、請求項１記載の方法。
7. 前記セキュリティイベントの発生を決定するステップは、前記セキュリティポリシーデータに基づきセキュリティイベントの発生を決定するため、前記セキュリティイベントデータを関連付ける、請求項１記載の方法。
8. 前記セキュリティイベントの発生を決定するステップは、前記モバイル計算装置に関するコンテクストデータと前記セキュリティポリシーとに基づき、セキュリティイベントの発生を決定するため、前記セキュリティイベントデータを関連付ける、請求項１記載の方法。
9. 前記コンテクストデータは、前記モバイル計算装置のユーザの位置、前記ユーザのアクティビティ、前記ユーザがいる環境の側面及び前記ユーザに関する生体データの少なくとも１つを示すデータを有する、請求項８記載の方法。
10. 前記セキュリティイベントの発生を決定するステップは、
    所定のデータフォーマットを有する正規化されたセキュリティイベントデータを生成するため、前記セキュリティイベントデータを正規化するステップと、
    前記正規化されたセキュリティイベントデータを概略する集約されたセキュリティイベントデータを生成するため、前記正規化されたセキュリティイベントデータを集約するステップと、
    前記セキュリティポリシーデータに基づきセキュリティイベントの発生を決定するため、前記集約されたセキュリティイベントデータを関連付けるステップと、
    を含む、請求項１記載の方法。
11. 前記セキュリティイベントマネージャによって、前記モバイル計算装置上に格納されているコンテクストデータベースからコンテクストデータを抽出するステップをさらに有し、
    前記セキュリティイベントの発生を決定するステップは、前記セキュリティイベントデータと前記コンテクストデータとに基づき、セキュリティイベントの発生を決定する、請求項１記載の方法。
12. 前記セキュリティイベントに応答するステップは、前記モバイル計算装置の接続状態の変更、前記モバイル計算装置上のソフトウェアアプリケーションへのアクセスの変更、前記セキュリティイベントマネージャのイベントデータフィルタの変更、データへのアクセスの拒絶、前記モバイル計算装置のリブート、前記モバイル計算装置の電力状態の変更、及び前記モバイル計算装置上で実行されるソフトウェアアプリケーション又はサービスの隔離の前記モバイル計算装置上のアクションの少なくとも１つを実行することを含む、請求項１記載の方法。
13. 前記モバイル計算装置のセンサから生成されるセンサデータを受信するステップと、
    前記モバイル計算装置上に格納されているコンテクストデータベースを前記センサデータによって更新するステップと、
    をさらに有する、請求項１記載の方法。
14. ユーザ入力データを受信するため、前記モバイル計算装置上にユーザインタフェースを表示するステップと、
    前記ユーザ入力データに基づき前記セキュリティポリシーデータを更新するステップと、
    をさらに有する、請求項１記載の方法。
15. 企業セキュリティイベントマネージャサーバとのネットワーク通信接続を確立するステップと、
    前記モバイル計算装置から前記企業セキュリティイベントマネージャサーバに前記セキュリティイベントデータを送信するステップと、
    をさらに有する、請求項１記載の方法。
16. セキュリティイベントマネージャと、
    プロセッサと、
    複数の命令を格納したメモリデバイスと、
    を有するモバイル計算装置であって、
    前記複数の命令は、前記プロセッサによって実行されると、前記セキュリティイベントマネージャに、
    前記モバイル計算装置の複数のセキュリティイベントソースから生成されるセキュリティイベントデータを受信させ、
    セキュリティイベントの発生を決定するため、前記モバイル計算装置に格納され、前記セキュリティイベントの発生を決定するセキュリティイベントルールセットを規定するセキュリティポリシーに基づき、前記セキュリティイベントデータを関連付け、
    前記セキュリティポリシーに基づき前記セキュリティイベントに応答させるモバイル計算装置。
17. 前記セキュリティイベントデータの関連付けは、前記セキュリティイベントデータが前記セキュリティポリシーの少なくとも１つのセキュリティイベントルールとの所定の関係を有することに応答して、前記セキュリティイベントの発生を決定することを含む、請求項１６記載のモバイル計算装置。
18. 前記複数の命令はさらに、前記セキュリティイベントマネージャに、
    前記セキュリティイベントデータを所定のデータフォーマットに正規化させ、
    前記セキュリティイベントデータを概略化するため、前記セキュリティイベントデータを集約させる、請求項１６記載のモバイル計算装置。
19. 前記複数の命令はさらに、前記セキュリティイベントマネージャに当該モバイル計算装置に格納されているコンテクストデータベースから当該モバイル計算装置のユーザに関するコンテクストデータを抽出させ、
    前記セキュリティイベントデータの関連付けは、セキュリティポリシーと前記コンテクストデータとに基づき前記セキュリティイベントデータを関連付ける、請求項１６記載のモバイル計算装置。
20. センサをさらに有し、
    前記複数の命令はさらに、前記セキュリティイベントマネージャに、
    前記センサから生成されたセンサデータを受信させ、
    前記センサデータによって当該モバイル計算装置に格納されているコンテクストデータベースを更新させる、請求項１６記載のモバイル計算装置。
21. 前記複数の命令はさらに、前記セキュリティイベントマネージャに、
    企業セキュリティイベントマネージャとのネットワーク通信接続を確立させ、
    当該モバイル計算装置から前記企業セキュリティイベントマネージャサーバに前記セキュリティイベントデータを送信させる、請求項１６記載のモバイル計算装置。
22. 複数の命令を有するマシーン可読な有形媒体であって、
    前記複数の命令は、実行されると計算装置に、
    セキュリティイベントマネージャを確立させ、
    前記計算装置の複数のセキュリティイベントソースから生成されるセキュリティイベントデータをセキュリティイベントマネージャに受信させ、
    所定のデータフォーマットを有する正規化されたセキュリティイベントデータを生成するため、前記セキュリティイベントマネージャを用いて前記セキュリティイベントデータを正規化させ、
    前記正規化されたセキュリティイベントデータを概略化した集約されたセキュリティイベントデータを生成するため、前記セキュリティイベントマネージャを用いて前記正規化されたセキュリティイベントデータを集約させ、
    セキュリティイベントが発生したか判断するため、前記セキュリティイベントマネージャを用いて所定のセキュリティポリシーに基づき前記集約されたセキュリティイベントデータを関連付けさせる有形媒体。
23. 前記集約されたセキュリティイベントデータの関連付けは、前記セキュリティイベントデータが前記所定のセキュリティポリシーにより規定される少なくとも１つのセキュリティイベントルールとの所定の関係を有するか判断することを含む、請求項２２記載の有形媒体。
24. 前記複数の命令はさらに、前記計算装置に前記所定のセキュリティポリシーに基づきセキュリティイベントに応答させる、請求項２２記載の有形媒体。

Images