JP2011510559A - セキュアデータのネットワーク周辺からの流出防止 - Google Patents

Abstract

セキュアデータが企業ネットワークまたは社内ネットワーク（ｃｏｒｐｎｅｔ）などのネットワークの周辺から流出することを、セキュアデータのハッシュを定期的に計算し、ハッシュをファイアウォールなどネットワーク上のエッジデバイスにプッシュアウトする構成によって防止する。ハッシュは後のアクセスのためにファイアウォールなどのネットワーク上のエッジデバイスに記憶される。エッジデバイスは、企業ネットワークと企業ネットワーク周辺の外部に位置するインターネットなどの外部ネットワークとの間で行き来する全てのトラフィックに対するアクセスを有するように構成される。ユーザが、データを外部ネットワークに送信しようと試みるときはいつでも、エッジデバイス上で動作するプロセスが、そのアウトバウンドデータのハッシュを計算し、該ハッシュを、セキュアデータに関連づけられた記憶済みハッシュと比較する。アウトバウンドデータに対するハッシュとセキュアデータに対する記憶済みハッシュとが合致する場合、エッジデバイスは、そのアウトバウンドデータがネットワーク周辺から流出するのを阻止する。

Description

本発明は、セキュアデータがネットワーク周辺から流出するのを防止することに関する。

企業コンピューティング環境においては、例えば、会社のオフィス、複数のパーソナルコンピュータ、ワークステーション、サーバなどは典型的に、大容量のサブシステム、内部ネットワークインタフェース、外部ネットワークインタフェースなどの他のデバイスとともに相互接続されて、統合環境を提供し、該統合環境において情報が作成され、外部ソースに送信され、外部ソースからアクセスされ、様々なユーザ間で共有され得る。一般的にユーザは、受注の受領、製造、出荷、請求、在庫管理、ドキュメントの準備および管理、電子メール、ウェブブラウズ、ならびにデータの新規作成、アクセス、および共有が有益である他の操作を含め、種々の操作を実行する。

現在、企業には典型的に様々な異なるセキュリティ製品を使用してセキュリティが提供されており、該セキュリティ製品には、特に、企業ネットワークの周辺（perimeter）すなわち「エッジ（edge）」で動作するハードウェアおよびソフトウェアソリューションが含まれる。これらソリューションには、一般に、企業ネットワーク（enterprise network）とインターネットなどの外部ネットワークとの間を移動するトラフィックを監視するファイアウォール、プロキシサーバ、ゲートウェイなどが含まれる。

現在のエッジデバイスは典型的に、着信トラフィックをスキャンしてマルウェア（すなわち、ウイルス、ワーム、トロイの木馬、ルートキットなどの悪質なソフトウェア）について検査し、それにより、企業の周囲にセキュリティのゾーンを提供するように機能する。それらは、ユーザが、例えば、インターネットからマルウェアをダウンロードし、または着信電子メールでマルウェアを受信するのを防止することができる。データがネットワーク周辺の外部に不正に送信されることをエッジデバイスが阻止（block）できるようにするデジタル署名およびウォーターマークなどのデジタル著作権管理（ＤＲＭ：digital rights management）方法を用いることによって、企業内部の機密データまたは秘密データ（「セキュアデータ（secure data）」と総称される）を保護することができる。

これら現在のセキュリティ方法は、多くのアプリケーションにおいて十分に機能するが、典型的にはレガシーセキュアデータを保護することができない。さらに、かかる方法は、セキュアデータをネットワーク周辺の外部に送信するための正しい許可（permission）を有する企業内部の悪意あるユーザによって、容易に回避されてしまう可能性がある。

背景技術および発明が解決しようとする課題の記載は、以下の課題を解決するための手段および発明を実施するための形態の記載に関する簡単な背景情報を紹介するのに提供されている。背景技術および発明が解決しようとする課題の記載は、特許請求の範囲に記載される主題の範囲を決定する際の助けとなることは意図されておらず、特許請求の範囲に記載される主題を、上記に提示した欠点または問題のいずれかまたは全てを解決する実装に対する実装に限定するものとして見なされるべきではない。

セキュアデータが、企業ネットワークまたは企業ネットワーク（「ｃｏｒｐｎｅｔ」：corporate network）などのネットワークの周辺から流出することを、セキュアデータのハッシュを定期的に計算し、該ハッシュを後のアクセスのために記憶されるファイアウォールなどのネットワーク上のエッジデバイスにプッシュアウトする構成によって防止する。エッジデバイスは、企業ネットワークと、企業ネットワーク周辺の外部に位置するインターネットなどの外部ネットワークとの間で行き来する全てのトラフィックに対するアクセスを有するように構成される。ユーザが、データを外部ネットワークに送信しようと試みるときはいつも、エッジデバイス上で動作するプロセスが、そのアウトバウンドデータに対するハッシュを計算し、該ハッシュを、セキュアデータに関連付けられた記憶済みハッシュと比較する。アウトバウンドデータに対するハッシュと、セキュアデータに対する記憶済みハッシュが合致するとき、エッジデバイスは、アウトバウンドデータがネットワーク周辺から流出するのを阻止する。

様々な例において、管理者管理機能（administrator management function）が提供され、該管理者管理機能により、ネットワーク管理者は、企業内のどのデータが「セキュア」であるか、およびハッシュ化してネットワーク周辺からの流出の阻止の対象を指定することができる。管理者はオプションで、例えば、適用されるハッシュアルゴリズムおよび他のセキュアデータ管理パラメータを構成することによって、セキュアデータの管理を構成することができる。管理者は、セキュアデータをネットワークの外部に送信しようとする試み、およびその試みを行ったホストマシンまたはユーザの識別に関する通知を受け取ることができる。

ホストマシン（例えば、企業の周辺内部のデスクトップコンピュータおよびラップトップコンピュータ）上で動作するクライアント側エージェントは、企業ネットワークからダウンロードされたすべてのセキュアデータに対してローカルで行われた変更を追跡するように構成される。（データがローカルホスト上のユーザによって修正された）クライアント側のプロセスは、セキュアデータのハッシュを計算し、該ハッシュをエッジデバイスにプッシュする。クライアント側エージェントは、セキュアデータがユーザ対話を通じてセキュアデータが変化するときであっても、記憶済みハッシュを現在の状態で維持し、企業内の全てのセキュアデータを正確に表すことができる。

この課題を解決するための手段の記載は、以下の発明を実施するための形態においてさらに説明される概念の選択を簡略化した形式で紹介するために提供される。この課題を解決するための手段の記載は、特許請求される主題の重要な特徴または本質的な特徴を特定するようには意図されておらず、特許請求される主題の範囲を決定する際の助けとして用いられることも意図されていない。

セキュアデータがネットワーク周辺から流出するのを防止するための本発明の構成を実装することができる例示的な企業ネットワーク環境を示す図である。 データが「セキュア」として指定され、そのセキュアデータに対するハッシュが計算され、エッジデバイスにプッシュされて記憶される例示的動作フローを示す図である。 ホストマシンのユーザがデータをダウンロードし、そのデータを企業ネットワークの周辺の外部にエッジデバイスを介して送信しようと試みる、例示的な使用シナリオを示す図である。 エッジデバイスがユーザからのアウトバウンドデータに対するハッシュ計算を実行し、その結果得られるハッシュをセキュアデータに関連付けられた記憶済みハッシュと比較し、合致が見つかった場合にユーザからのアウトバウンドデータを阻止する、例示的動作フローを示す図である。 ホストコンピュータを操作するクライアント側エージェントにおいて、ユーザ修正されたセキュアデータに対するハッシュを計算してエッジデバイスにプッシュアウトする、例示的な使用シナリオおよび動作フローを示す図である。

図面において同様の参照番号は同様の要素を示す。図面の要素は、特に記載していない限り、スケーリングするようには描かれていない。

図１は、セキュアデータがネットワーク周辺から流出することを防止するための本発明の構成が実装され得る、例示的な企業ネットワーク環境１００を示している。事業所、会社、または他の組織などの企業は内部企業ネットワーク１０５を使用しており、（参照番号１１５で識別される「ホスト」と総称される）様々なコンピュータまたはワークステーションは、該内部企業ネットワーク１０５を介して通信するように配置される。ファイアウォール、ゲートウェイ、プロキシサーバ、スイッチまたはルータなどのエッジデバイス１２１が、企業ネットワーク１０５の（図１の破線で示された）周辺に置かれている。図示されているように、エッジデバイス１２１は典型的に、企業ネットワーク１０５を、公衆ネットワークまたはインターネット１２５などの外部ネットワークに接続しており、該公衆ネットワークまたはインターネット１２５などの外部ネットワークは、ウェブサイトなどの様々なアプリケーションおよびデータをホストする複数のリモートサーバを含んでいる。さらに、エッジデバイス１２１は、企業ネットワーク１０５と外部ネットワーク１２５との間のインバウンドおよびアウトバウンド双方で行き来するすべてのトラフィックに対するアクセスを有するように構成されている。

この例においては、エッジデバイス１２１は、図４に関する以下の記載で説明される追加の機能を提供するように修正される、Ｍｉｃｒｏｓｏｆｔ ＩＳＡ（Internet Security and Acceleration）サーバとして配置される。ＩＳＡサーバは、キャッシング、ＨＴＴＰ（HyperText Transport Protocol:ハイパーテキスト転送プロトコル）圧縮、およびクオリティ・オブ・サービス（ＱｏＳ：quality of service）ポリシーエンフォースメントなどの機能を介して、ネットワークエッジセキュリティの機能を、向上したネットワーク性能と統合する。

図示されているように、複数のサーバ１３０が、環境１００において動作可能であり、企業ネットワーク１０５に接続されている。これらのサーバ１３０は、ここでは、例えば、アプリケーションおよびデータベースサーバ、ファイルサーバ、（例えば、電子メールをサポートする）ラインオブビジネス（ＬＯＢ：line-of-business）サーバ、コンテンツおよび共同管理サーバなどを含め、企業内で共通に利用される様々なリソースのうちのいずれかを表している。

管理者コンソール１３６（administrator consoleまたはadmin console）も、環境１００でサポートされる。管理者コンソール１３６は、例えば、ユーザ特権（privilege）および許可を作成および保持すること、ネットワークの動作およびリソースを監視すること、レポートを作成すること、セキュリティのポリシーを設定および監査することなど、企業ネットワーク１０５の構成および管理を行うことができる。既存の市販の管理者コンソールの例は、以下で説明される追加の機能を含むように修正され得るマイクロソフトオペレーション管理マネージャ（ＭＯＭ：Microsoft Operation Manager）である。

図２は、管理者コンソール１３６と対話する管理者または他の権限のあるユーザによる、企業１００内に存在するデータをセキュアと指定し、該セキュアデータに対するハッシュを計算し、エッジデバイス１２１にプッシュし、後のアクセスのために記憶する、例示的な動作フローを示している。典型的にセキュアデータは、ネットワーク１０５の周辺の外に送信された場合に、厳格に制御された状態を除いてその企業に対して何らかのリスクまたは危機をもたらす可能性があり、あるいは、義務やポリシーが法的であるか契約であるか、またはその企業に対して通常受け入れる行動指針の問題として課されているか否かに関わらず、ネットワーク内部のデータが義務またはポリシーに違反して保持される可能性がある、財産性、秘密性、または機密性を有するデータを含む。データをセキュアとして指定する際に使用される基準は、実装によって異なることが予想されるが、ほとんどすべての場合、セキュアデータは、企業ネットワーク周辺から外部に送信される際に制約の対象となるものである。本明細書において使用される「データ」という用語は、環境１００内のほとんど全てのタイプの情報またはオブジェクトに対して適用するが、典型的には、企業の設定による、異なるフォーマットおよびファイル拡張子（例えば、ｄｏｃ、ｔｘｔ等）を使用することができる、フォルダ、ファイル、およびドキュメントを含む。

動作フローは図２のステップ（１）から開始し、該ステップ（１）において、管理者は、特定の実装の環境に応じた何らかの基準にしたがって、環境１００内の或る特定のデータをセキュアと指定するか、またはタグ付けをする。この例においては、指定は、かかるタスクを実行するのに必要な権限（authorization）を有するように設定された管理者によって提供される。しかしながら、他の実装において、他の場合では必要な許可を有する他のユーザがデータをセキュアと指定できるようにすることも望まれることがある。

ステップ（２）において、セキュアデータ（すなわち、管理者によってセキュアであると指定されたデータ）のハッシュ２０９を計算するハッシュプロセス２０５は、定期的に実行される。例えば１つまたは複数のサーバ１３０で動作するアプリケーションまたはオペレーティングシステムソフトウエアに組み込まれたライブラリクラスまたはＡＰＩ（アプリケーションプログラミングインタフェース）によって提供される方法を使用して、該ハッシュプロセスを実装することができる。

代替的には、ステップ（２）のハッシュプロセス２０５を、サーバ１３０の外部で、例えば企業の構内（premise）において操作されるスタンドアロンのプラットフォーム上で動作するアプリケーション、オペレーティングシステム、機能、またはコンポーネントによって提供されるサービスとして、あるいは、インターネットなどの外部ネットワークからソフトウェアとして提供されるサービスとして実装することができる。

ステップ（２）のハッシュプロセス２０５は、所与の実装の要件に応じて、様々な既知のハッシュアルゴリズムのいずれかを使用することができる。これらハッシュアルゴリズムには、例えば、ＬＭ（ＬａｎＭａｎａｇｅｒ）、ＭＤ４、ＭＤ５、ＣＲＣ１６、ＣＲＣ３２（cycle redundancy check：周期的冗長検査）、ＳＨＡ−０／１，２など（セキュアハッシュアルゴリズム）、Ｔｉｇｅｒ、ＲＩＰＥＭＤなどが含まれる。ハッシュアルゴリズムは、作成されるハッシュの長さと他の因子によって異なるものの、ハッシュアルゴリズムはすべて、該アルゴリズムに入力されるデータを取得して、該データを「ハッシュ」と呼ばれる、短い一意の識別子に縮小するように動作する。ハッシュアルゴリズムに対する入力データがわずかにも変化する場合、結果として得られるハッシュは大きく異なる可能性がある。したがって、ハッシュは、ソースデータをコンパクトな形態の一種のデジタル署名として識別するように機能する。

一部のアプリケーションでは、利用される特定のハッシュアルゴリズムを、管理者コンソール１３６を使用する管理者によって選択することができる。この機能により、管理者は、利用可能なリソースに応じてプロセスを微調整または最適化するパラメータを指定することができ、あるいは、ハッシュの強度と該ハッシュを計算するのに必要な処理リソースとの間の特定のバランスを選択することができる。管理者によって選択可能となるように編成され得る他のプロセスパラメータは、ハッシュアルゴリズムが、環境１００内のデータにいつ、どのように適用されたか（例えば、オンデマンドのバッチでリソースがいつ利用可能であるのかなど）を示すものを含む。

管理者コンソール１３６はさらに、環境１００内のセキュアデータに関連する動作に関するレポートおよび監査ログを監視および作成するように構成され得る。例えば、管理者コンソール１３６は、セキュアデータの数および識別（identity）、誰がセキュアデータにアクセスしたか、いつセキュアデータにアクセスしたかをトラックすることができる。また、ホスト１１５とエッジデバイス１２１によって取られたアクションに関する通知を、以下でさらに詳細に説明するように、管理コンソールで受信することができる。

図２のステップ（３）において、計算されたハッシュ２１２は、企業ネットワーク１０５を介してエッジデバイス１２１にプッシュアウトされる。この例においては、以下に説明されるように、この計算されたハッシュは、エッジデバイス１２１によって記憶され、エッジデバイス１２１が企業ネットワーク１０５からのアウトバウンドトラフィックをスキャンするときにアクセスされる。代替的な構成において、ハッシュ２０５を、エッジデバイス１２１とは別個であるが該エッジデバイス１２１に動作可能に結合されるストア（すなわち、リポジトリ）にプッシュすることができる。多くの実装において、ハッシュ２０５は、ハードディスクドライブによって提供されるメモリなどの不揮発性メモリを使用して、永続的ベースで記憶されるであろう。

データが継続的に作成、削除、および修正される企業ネットワーク１０５では、該企業ネットワーク１０５内に存在するデータは、一般に動的であるので、セキュアデータのハッシュは典型的に頻繁に生成され、エッジデバイス１２１にプッシュアウトされる。これにより、エッジデバイス１２１を、企業内のセキュアデータに関する最新情報に更新し続けることができる。

図３は、セキュアデータがネットワーク周辺から流出するのを防止するための本発明の構成が適用される例示的な使用シナリオを示す。図３は、様々に使用する場合にも適用可能な汎用的なシナリオを示していることに留意されたい。したがって、ある場合には、ユーザ３０２はセキュアデータを用いて作業していることがあり、他の場合には、通常の非セキュアデータを用いて作業していることもある。

この使用シナリオにおけるステップ（１）では、ユーザ３０２は、データ３１２をユーザのローカルのホストマシン１１５にダウンロードする。ステップ（２）において、ユーザ３０２は、例えば、インターネット（すなわち、外部ネットワーク１２５）の外部ドメインにアドレス指定される電子メールにファイルを添付することによって、あるいはＦＴＰ（File Transfer Protocol：ファイル転送プロトコル）を介して外部のＦＴＰサイトまたはサーバにデータをアップロードすることによって、企業ネットワーク１０５の周辺の外部にデータを送信しようと試みる。

エッジデバイス１２１は、外部ネットワーク１２５へのゲートウェイとして機能するので、本明細書において、エッジデバイス１２１は、企業ネットワーク１０５からのすべてのアウトバウンドトラフィックをスキャンして、セキュアデータがネットワーク周辺から流出するのを防止するように配置される。この機能を実装するための例示的な動作フロー図が図４に示されている。ステップ（１）において、エッジデバイス１２１上で動作しているハッシュプロセスは、ホスト１１５で作業するユーザ３０２（図３）が外部に送信しようと試みているアウトバウンドデータ３１２のそれぞれのハッシュを計算する。このハッシュプロセス４０５は、図２に示され、関連する記載で説明されるプロセス２０５と同様である。すなわち、このプロセスは、ライブラリクラスまたはＡＰＩによって提供される方法を使用して実装され、あるいはエッジデバイス１２１上で動作するオペレーティングシステムまたはアプリケーションによって提供される機能、コンポーネント、またはサービスに組み込むことができる。

ステップ（２）において、ホスト１１５からのアウトバウンドデータに対して計算されたハッシュ４０９は、図２に示し、関連する記載で説明したように計算された、セキュアデータに関連づけられた記憶済みハッシュ４２２と比較される。ステップ（３）において、計算されたハッシュ４０９が、記憶済みハッシュ４２２のうちの１つと合致することがわかった場合、ホスト１１５からのアウトバウンドデータ３１２は、セキュアデータ（すなわち、管理者によってセキュアであると以前に指定されたデータ）を含むものであり、該アウトバウンドデータ３１２は、企業ネットワークの周辺１０５から流出することを阻止されることとなる。記憶済みハッシュ４２２の中で合致するハッシュが見つからなかった場合、アウトバウンドデータ３１２は非セキュアデータを含むものであり、該アウトバウンドデータ３１２は企業ネットワーク周辺から流出することが許可されることとなる。

合致が見つかった場合、通知を管理者コンソール１３６に送信して、セキュアデータをネットワークの外部に送信しようとする試みがあったこと、および該試みを阻止したことをネットワーク管理者に通知する。この通知は、上記試みを行ったホストマシンまたはユーザの識別を含むようにも構成され得る。これは、管理者に対して企業ネットワーク１０５およびユーザを管理する際の有益な情報となり得る。例えば、インシデント（incident）は、ユーザ３０２が機密性および財産性のあるデータの取り扱いに関する企業のポリシーを知らず、さらに訓練することが必要であることを示す可能性がある。ユーザ３０２が、単に誤ってセキュアデータを送信しようと試みた可能性もある。

代替的には、ユーザ３０２が実際に悪意あるユーザである可能性、または、正規ユーザの識別がハッカーによって推測されて悪意あるユーザまたはハッカーが故意にポリシーに反してネットワーク１０５の外部にデータを移動させようとしている可能性もある。インシデントは、セキュアデータを送信する試みによって明示される、企業内のマシンまたは他のＩＴ資産が危険にさらされている可能性を示すことができる。

図４のステップ（４）において、エッジデバイス１２１がアウトバウンドセキュアデータを阻止したことの通知が、管理者コンソール１３６によって受信される。この通知を、監査の目的のために記録することができ、または、例えば、警告としてネットワーク管理者に提起することができる。一部の実装では管理者コンソール１３６は、アウトバウンドデータのハッシュがセキュアデータに関連づけられた記憶済みのハッシュに合致したという事実に関わらず、阻止を手動でオーバーライド（override）してアウトバウンドデータをネットワーク周辺から流出することを許可する能力を管理者に提供するように構成されることもある。管理者は、阻止されたアウトバウンドセキュアデータを発したホストまたはユーザを、サーバ１３０上の他のセキュアデータにアクセスすることができないようにロックアウト（lock out）することも選択することができる。

セキュアデータがネットワーク周辺から流出するのを防止する本発明の構成を、企業内のユーザによって修正されるデータに対して適用することもできる。ここで、図５を参照すると、ホストコンピュータ１１５を操作するクライアント側エージェントに関する例示的な使用シナリオおよび動作フローが示されており、該クライアント側エージェントが操作するホストコンピュータ１１５は、修正されエッジデバイス１２１にプッシュアウトされるセキュアデータのハッシュ５０９を計算する。

（１）で示されるように、この使用シナリオでは、ユーザ５０２が、セキュアデータ５１２をユーザのローカルホストマシン１１５にダウンロードして、該データを修正することを要する。例えば、データ５１２は、ユーザ５０２がワープロドキュメントを編集することによって修正する（すなわち、テキストを修正し、新しいテキストを追加し、既存のテキストを削除することなど）ワープロドキュメントを含み得る。この例においては、修正されたドキュメントがセキュアデータを元として作成されたものであり、該ドキュメントは、セキュアとの指定を維持するであろうことが想定されている。しかしながら、修正されたデータに対して計算されたハッシュは、元のセキュアデータに対して計算されたハッシュとは合致しないこととなる。

この使用シナリオに効果的に対処するために、（２）で示されるように、ホスト１１５上で動作するクライアント側エージェント５２５は、セキュアデータのダウンロードだけでなく、ホストのユーザによるセキュアデータに対する全ての後続の修正の発生もトラックするように構成される。クライアント側エージェント５２５は、修正されたデータのハッシュ５０９を計算してエッジデバイス１２１にプッシュし、該ハッシュは、後の使用のためにエッジデバイス１２１において格納されることとなる。これにより、エッジデバイス１２１は、セキュアデータがユーザによって修正されたときであっても、企業内のセキュアデータに関する最新の情報で更新される状態が続くことになる。オプションとして、クライアント側エージェント５２５は、ユーザがセキュアデータに修正を加え、新しいハッシュが計算されるときはいつでも、管理者コンソール１３６に対する通知を作成して送信することができる。

クライアント側エージェント５２５によって使用されるハッシュプロセスが、図２および図４に示され、関連する記載で説明された処理と同様に実行される。３つのハッシュプロセスの全て（すなわち、例えばサーバ１３０、ホスト１１５、およびエッジデバイス１２１において実装されるプロセス）が同じハッシュアルゴリズムを使用しなければならないことも重視される。したがって、管理者コンソール１３６は（上述したように）管理者が特定のハッシュアルゴリズムを選択することができるように構成されるが、該選択されたアルゴリズムを、企業環境で動作するすべてのハッシュプロセスで使用する必要があるだろう。

ユーザが続いて、修正されたデータを企業ネットワーク１０５の外部に送信しようと試みるとすると、エッジデバイス１２１は、次いで、該修正されたアウトバウンドデータのハッシュを計算し、図４に示され、関連する記載に説明されるように、該ハッシュを記憶済みのハッシュと比較する。この場合、アウトバウンドデータに対して計算されたハッシュが、クライアントエージェント５２５によって以前に計算されたハッシュと合致すると、エッジデバイスは、該アウトバウンドデータがセキュアであると認識するため、そのアウトバウンドデータがネットワーク周辺から流出するのを阻止することとなる。

クライアントエージェント５２５は典型的に、各ホスト１１５上で動作するソフトウェアコンポーネントとして実装され、例えばセキュリティ製品またはアプリケーションの一部として、あるいはオペレーティングシステムによって提供される機能として統合される。代替的には、クライアントエージェント５２５は、別個のプラットフォーム上で動作し、複数のホスト１１５の１つまたは複数に対する監視、およびリモートベースで修正されたセキュアデータに対するハッシュの計算を提供する。

本主題を構造的機能および／または方法的動作に特有の言語で説明してきたが、添付の特許請求の範囲で定義される本発明は、必ずしも上述の特有の機能または動作に限られないことを理解されたい。むしろ、上述の特有の機能または動作は特許請求の範囲を実装する例示的な形態として開示されている。

Claims (20)

1. セキュアデータ（２０９）が企業ネットワークの周辺（１０５）から流出するのを防止するための方法であって、
   前記企業ネットワーク周辺（１０５）を越えて送信されるアウトバウンドデータ（３１２）を監視するステップと、
   前記アウトバウンドデータのハッシュ（４０５）を計算するステップと、
   前記アウトバウンドデータの前記ハッシュ（４０５）を、前記企業ネットワーク（１０５）の管理者または権限のあるユーザによってそれぞれセキュアであるとして指定されたデータファイル（２０９）の各々に関連付けられている複数の記憶済みハッシュ（４２２）の各々と比較するするステップと、
   前記アウトバウンドデータの前記ハッシュ（４０５）が前記複数の記憶済みハッシュ（４２２）のうちのいずれか１つに合致する場合、前記アウトバウンドデータ（３１２）が前記周辺から流出するのを阻止するステップと、
   前記アウトバウンドデータの前記ハッシュ（４０５）が前記複数の記憶済みハッシュ（４２２）のいずれにも合致しない場合、前記アウトバウンドデータ（３１２）が前記ネットワーク周辺の外に出ることを許可するステップと
   を含むことを特徴とする方法。
2. 前記監視するステップ、前記計算するステップ、前記比較するステップ、前記阻止するステップ、前記許可するステップを、前記ネットワーク周辺（１０５）に設けられたエッジデバイス（１２１）において実行するステップをさらに含むことを特徴とする請求項１に記載の方法。
3. 前記エッジデバイス（１２１）は、外部ネットワーク（１２５）へのゲートウェイとして機能するようにさらに構成され、前記アウトバウンドデータ（３１２）は、前記外部ネットワーク（１２５）上のアドレスで受信されることが意図されていることを特徴とする請求項２に記載の方法。
4. 前記エッジデバイス（１２１）は、ファイアウォール機能と、キャッシング、ＨＴＴＰ圧縮、またはＱｏＳポリシーエンフォースメントのうちの１つから選択されたネットワークの最適化とを含むエッジセキュリティを提供するようにさらに構成されることを特徴とする請求項３に記載の方法。
5. セキュア（２０９）として指定されたデータに対して計算されたハッシュ（２１２）を受信して、該受信したハッシュ（２１２）を前記複数の記憶済みハッシュ（４２２）とともに記憶する記憶するステップをさらに含み、前記受信したハッシュ（２１２）は、前記指定されたセキュアデータを一意に識別するように機能することを特徴とする請求項４に記載の方法。
6. 前記記憶済みハッシュ（４２２）は、前記エッジデバイス（１２１）または該エッジデバイスに動作可能に結合することができる外部デバイスの一方に配置されたリポジトリ内に、持続的に記憶されることを特徴とする請求項５に記載の方法。
7. 前記アウトバウンドデータ（３１２）が前記周辺から流出するのを阻止されるときに、前記企業ネットワーク（１０５）内における管理者管理機能（１３６）に対して通知を送信するステップをさらに含むことを特徴とする請求項６に記載の方法。
8. 前記通知に応答してネットワーク管理者から、前記アウトバウンドデータ（３１２）が前記ネットワーク周辺（１０５）から流出するのを許可されていることを示す手動オーバーライドを受信するステップをさらに含むことを特徴とする請求項７に記載の方法。
9. 前記管理者管理機能（１３６）は、構成管理、監視、報告、または監査のうちの１つから選択された機能を含むことを特徴とする請求項８に記載の方法。
10. 前記管理者管理機能（１３６）は、複数の異なるハッシュアルゴリズムの中から選択できるように構成されることを特徴とする請求項９に記載の方法。
11. 企業ネットワーク（１０５）内のデータをセキュアであると識別する方法であって、
    前記企業ネットワークの管理者または許可されたユーザから、あるデータファイル（２０９）がセキュアであるとの指定を受信するステップと、
    前記企業ネットワーク周辺（１０５）からの流出に対する制限の対象となるセキュアデータとして一意に識別する、前記データファイル（２０９）のハッシュ（２１２）を計算するステップと、
    前記企業ネットワーク周辺（１０５）に設けられ、前記企業ネットワーク（１０５）からアウトバウンドされるセキュアデータを阻止するように構成されたエッジデバイス（１２１）に、前記ハッシュ（２１２）を送信するステップと
    を含むことを特徴とする方法。
12. 前記エッジデバイス（１２１）が前記企業ネットワーク（１０５）内の現在のセキュアデータのアイデンティティで更新され続けるように、セキュアとして指定された他のデータに対するハッシュ（２１２）を計算するステップをさらに含むことを特徴とする請求項１１に記載の方法。
13. 前記計算するステップは、所定の間隔で実行されることを特徴とする請求項１２に記載の方法。
14. 前記企業ネットワーク（１０５）におけるデバイスの構成を管理するように構成される管理者コンソール（１３６）を使用して前記所定間隔を設定するステップをさらに含むことを特徴とする請求項１３に記載の方法。
15. 企業ネットワーク（１０５）のホストにおいて修正されたデータがセキュアであると識別するための方法であって、セキュアデータは前記企業ネットワーク周辺（１０５）から流出する際に制限を受ける対象となり、
    前記方法は、
    前記ホスト（１１５）における動作を監視して、前記企業ネットワーク（１０５）内のソース（１３０）からダウンロード（５１２）されたセキュアデータがいつ修正されたかを識別するステップと、
    前記修正されたデータがセキュアであることを一意に識別する、前記修正されたデータのハッシュ（５０９）を計算するステップと、
    前記企業ネットワーク周辺（１０５）に設けられ、前記企業ネットワーク（１０５）からアウトバウンドされるセキュアデータを阻止するように構成されたエッジデバイス（１２１）に、前記ハッシュ（５０９）を送信するステップと
    を含むことを特徴とする方法。
16. 前記監視するステップに応じて管理者通知を作成するステップをさらに含むことを特徴とする請求項１５に記載の方法。
17. 前記エッジデバイス（１２１）は、ファイアウォール、ルータ、プロキシサーバ、スイッチ、またはゲートウェイのうちのいずれか１つから選択されることを特徴とする請求項１６に記載の方法。
18. 前記ホスト（１１５）は、デスクトップ、ラップトップ、またはワークステーションのうちのいずれか１つから選択されたコンピューティングデバイスであり、前記コンピューティングデバイスは、サーバ（１３０）である前記ソースに結合されることを特徴とする請求項１７に記載の方法。
19. 前記ハッシュ（５０９）は、ＬＭ、ＭＤ４、ＭＤ５、ＣＲＣ１６、ＣＲＣ３２、ＳＨＡ−０／１、ＳＨＡ―０、ＳＨＡ１、ＳＨＡ−２、Ｔｉｇｅｒ、またはＲＩＰＥＭＤのうちのいずれか１つから選択されたアルゴリズムを使用して計算されることを特徴とする請求項１８に記載の方法。
20. 前記監視するステップ、前記計算するステップ、および前記送信するステップは、前記企業ネットワーク（１０５）内のホストマシン（１１５）に配置されたクライアント側エージェント（５２５）によって実行されることを特徴とする請求項１９に記載の方法。

Images