JP2013511206A - 仮想ホスト・セキュリティ・プロファイル - Google Patents

Abstract

マルチホーム装置が接続される各ネットワークのための仮想ファイアウォール・プロファイルを生成して適用する構成である。ある実装においては、仮想プロファイルはネットワークのアドレス範囲に基づいていてもよい。これにより、複数のネットワークに対するマルチホーム装置のシームレスな同時接続性が保証される。

Description

本発明は、仮想ホスト・セキュリティ・プロファイルに関する。

一般的に、ホスト・ファイアウォールは、ホストが接続しているネットワークに依存して、様々なファイアウォール・プロファイルを設定する。現在、ワーク、ホーム、およびパブリックの３つの標準のプロファイルタイプを提供することができる。換言すると、ユーザがワーク用ネットワークに接続している場合には、ホスト・ファイアウォールはワーク・プロファイルになり、ユーザが自宅にいる場合には、ホスト・ファイアウォールはホーム・プロファイルになる。パブリック・ファイアウォールは非常に限定的になる傾向があり、ワークおよびホーム・ファイアウォールはより非限定的になる傾向がある。

（同時に複数のネットワークに接続される）マルチホーム（multi-homed）・マシンにおいて、ホスト・ファイアウォールはそのマシンのためのファイアウォール・プロファイルを決定する必要がある。このような場合、ホスト・ファイアウォールは、ファイアウォール・プロファイルのうち最も限定的なものを選択する。例えば、もしローカル・ビジネス（local business）において、マシンが社内向けネットワーク（corpnet）とパブリック・ネットワークの双方に接続されていれば、パブリック・プロファイルが適用される。なぜならば、パブリック・プロファイルは、一般的に、プロファイルの中ではより限定的なものだからである。しかしながら、これはシームレスな接続性の妨げになる。なぜならば、ファイアウォールのために選択された限定的なプロファイルのために、社内向けネットワーク上のマシンは、このマシンに接続できないからである。

以下は、本明細書に記載された、いくつかの新規な実施形態の基本的な理解を提供するために、簡略化した概要を示す。この概要は、広範な概観ではなく、それがキーおよび重要な要素を認定すること、またはその範囲を定めることを意図しているものではない。その唯一の目的は、後に示されるより詳細な説明への前置きとして、簡略化した形でいくつかのコンセプトを示すことである。

開示の構成によって、マシン（装置）が接続されているネットワークのそれぞれについて、ファイアウォール・プロファイルのような、仮想セキュリティ・プロファイルの生成と適用が可能となる。各セキュリティ・プロファイルは、そのプロファイルに応じて装置の接続性を制限する規則の組を含む。ある実装においては、仮想セキュリティ・プロファイルは、単一のネットワークまたは複数に渡るネットワークのアドレス範囲に基づいていてもよい。例えば、マルチホーム・マシンＭがネットワークＡ（アドレス範囲はＡ１−Ａ１０）およびネットワークＢ（アドレス範囲はＢ１−Ｂ１０）に接続されているとすると、２組のセキュリティ規則（例えば、ファイアウォール）が生成される。１組の規則は、ネットワークＡからの全てのトラフィックに対してアドレス範囲（Ａ１−Ａ１０）を適用するように制限され、もう１組の規則は、ネットワークＢからの全てのトラフィックに対してアドレス範囲（Ｂ１−Ｂ１０）を適用するように制限される。これにより、マルチホーム・マシンＭのネットワークＡおよびネットワークＢの双方へのシームレスな同時接続性が保証される。

上記およびこれに関連する目的を達成するために、以下の明細書および添付図面に関連して、いくつかの例示的態様を本明細中に記載する。これらの態様は、本明細書に開示の原理を実施することができる様々な方法を示し、すべての態様とその均等物は特許請求の主題の範囲内に含まれることとする。その他の利点および新規な特徴は、以下の詳細な説明を図面とあわせて理解されることで明確になるであろう。

開示の構成に従ってコンピュータ実装されたセキュリティ・システムを示す図である。 管理コンポーネントをさらに備えるセキュリティ・システムの他の実施形態を示す図である。 ネットワーク・アドレス指定に基づいてファイアウォール・プロファイルを適用するセキュリティ・システムの他の実施形態を示す図である。 マルチホーム装置のためにコンピュータ実装されるセキュリティ方法を示す図である。 図４の方法の他の態様を示す図である。 開示の構成に従ってマルチホーミングのためのセキュリティ・プロファイルの管理と利用を実行するように動作可能なコンピュータ・システムのブロック図を示す図である。 マルチホーム装置のためにセキュリティ・プロファイルの管理と利用を実行するコンピュータ環境の概略ブロック図を示す図である。

開示の構成により、マルチホーム装置における様々な通信接続に対応した様々なセキュリティ・プロファイルが使用される。ファイアウォールのコンテキストで、複数の仮想ホスト・ファイアウォール・プロファイルにより、ホスト・ファイアウォールは、例えば装置が接続している各ネットワークのアドレス範囲に基づいて、複数のファイアウォール・プロファイルを生成することができる。これにより、マルチホーム装置が接続する全てのネットワークとのシームレスな接続が可能となる。より具体的には、装置が２つのネットワークに接続していれば、２組のファイアウォール規則が生成されて適用される（例えば、１組の規則はネットワークＡのアドレス範囲が適用され、もう１組の規則はネットワークＢのアドレス範囲が適用される）。

ここで、参照する図面において、全体を通し、同様の参照符号は、同様の構成要素を指すために用いる。以下の記載には、説明を目的とし、その理解を十分なものとするために多数の具体的な詳細が記載されている。しかしながら、これらの具体的な詳細がなくとも、新規な実施形態は実施可能であることは明らかであろう。他の例では、その説明の理解を容易なものとするために、よく知られた構成および装置がブロック図の形式で示される。その意図は、特許請求の主題の主旨および範囲内にある全ての変更形態、均等物、および代替物を含めることである。

図１は、開示の構成に従ってコンピュータ実装されたセキュリティ・システム１００を示す図である。システム１００は、マルチホーム装置１０４のための通信セキュリティを提供する仮想セキュリティ・プロファイル１０２の組を備える。セキュリティ・プロファイル１０２の組は、データ・パケットを受信する接続１０６と割り当てられている。セキュリティ・プロファイル１０２は、複数の物理的接続とも割り当てられることがあり、これは関係が１対１のみならず、１対多の場合もあることを意味する。システム１００は、接続１０６の複数の接続からの受信データ・パケットに応答して、自動的にセキュリティ・プロファイル１０２の組のセキュリティ・プロファイルを選択して適用するためのセキュリティ・コンポーネント１０８をも備えていてもよい。セキュリティ・コンポーネント１０８は、管理者ポリシによって操作されてもよい。

セキュリティ・プロファイル１０２の組は、マルチホーム装置１０４への安全なアクセスを構成するファイアウォール・プロファイルを備えていてもよい。セキュリティ・プロファイル１０２の組は、仮想ネットワークに関連するセキュリティ・プロファイルを含んでいてもよい。つまり、セキュリティ・プロファイルは、仮想ネットワークとの相互作用のためのセキュリティ設定を構成する。さらに、またはこれに代えて、セキュリティ・プロファイル１０２の組は、物理ネットワークに対応するセキュリティ・プロファイルを含んでいてもよい。つまり、セキュリティ・プロファイルは、物理ネットワークとの相互作用のためのセキュリティ設定を構成する。

セキュリティ・プロファイル１０２の組は、様々な接続に対応して割り当てられた様々なアドレス（例えば、ネットワーク）への接続を制限するセキュリティ・プロファイルを含んでいてもよい。換言すると、第１のセキュリティ・プロファイルは、第１のアドレスまたはアドレス範囲で定義された第１の接続を介する安全な通信を構成するための設定を含み、第２のセキュリティ・プロファイルは、第２のアドレスまたはアドレス範囲で定義された第２の接続を介する安全な通信を構成するための設定を含む。なお、接続１０６は、ネットワーク接続、並びに／または内部アプリケーションおよび処理接続であってもよいことに留意されたい。

図２は、管理コンポーネント２０２をさらに備えるセキュリティ・システム２００の他の実施形態を示す図である。管理コンポーネント２０２により、セキュリティ・プロファイル１０２の生成が可能となる。管理コンポーネント２０２は、さらにセキュリティ・プロファイル１０２の保存を行うことができる。例えば、その後、必要に応じて、選択、検索およびマルチホーム装置へダウンロードするために、ネットワーク・ストレージへ保存することが可能である。あるいは、またはこれと組み合わせて、適切なプロファイルを保存のためにマルチホーム装置へダウンロードし、そしてアクティブな接続（例えば、内部処理接続および／または外部接続）での使用中におけるキャッシングを行うことができる。

この好適な例示において、セキュリティ・プロファイル１０２の組は、第１のアクティブ接続２１０、第２のアクティブ接続２１２および第３のアクティブ接続２１４の３つの接続１０６の各々に対応する第１のプロファイル２０４、第２のプロファイル２０６および第３のプロファイル２０８を含む。システム２００（例えば、セキュリティ・コンポーネント１０８）が、接続がアクティブであると判断すると、対応するセキュリティ・プロファイルもセキュリティ・コンポーネント１０８によってアクティブにされる。接続がアクティブであるか非アクティブであるかのこの決定は、接続上で通信されるパケットを調べることによって行うことができる。このようにして、第１のプロファイル２０４および第２のプロファイル２０６はアクティブになり、安全な通信を提供する。換言すると、第１のセキュリティ・プロファイル２０４は第１の接続２１０に対して、第２のセキュリティ・プロファイルは第２の接続２１２に対して安全な通信を提供する。

さらに、第１および第２のセキュリティ・プロファイル（２０４および２０６）によって提供されるセキュリティは分離されており、その点において、第１のセキュリティ・プロファイル２０４は第２の接続２１２のセキュリティに影響せず、第２のセキュリティ・プロファイル２０６は第１の接続２１０のセキュリティに影響しない。

図３は、ネットワーク・アドレスに基づいてファイアウォール・プロファイルを適用するセキュリティ・システム３００の他の実施形態を示す図である。一の実装においては、仮想セキュリティ・プロファイル１０２は、単一のネットワークの、または複数に渡るネットワークのネットワーク・アドレスにも、ネットワーク・アドレスの範囲にも基づいてよい。ここで、マルチホーム装置１０４のセキュリティ・コンポーネント１０８は、ネットワーク接続３０２のうち、第１のネットワーク接続３０４および第２のネットワーク接続３０６の２つのネットワークがアクティブであることを検出する。セキュリティ・コンポーネント１０８はパケットを調べて、いずれのネットワーク接続３０２がアクティブであるかを決定し、選択して適用する（セキュリティ・プロファイル１０２の）ファイアウォール・プロファイルを決定することができる。

例えば、マルチホーム装置１０４が第１のネットワーク接続３０４（アドレス範囲はＡ１−Ａ１０）および第２のネットワーク接続３０６（アドレス範囲はＢ１−Ｂ１０）にアクティブに接続すると、２組のファイアウォール・セキュリティ規則が生成されて適用される。１組のファイアウォール規則である第１のファイアウォール・プロファイル３０８は、第１のネットワーク接続３０４からの全てのトラフィックに対してアドレス範囲（Ａ１−Ａ１０）を適用するように強制し、２組目のファイアウォール規則である第２のファイアウォール・プロファイル３１０は、第２のネットワーク接続３０６からの全てのトラフィックに対してアドレス範囲（Ｂ１−Ｂ１０）を適用するように強制する。これにより、第１および第２のネットワーク接続（３０４および３０６）の双方に対するマルチホーム装置１０４のシームレスな同時接続性を保証することができる。

同じファイアウォール規則を複数のプロファイルに適用可能であることも、本構成の想定内である。つまり、各ファイアウォール規則は、自身を適用可能な１組のプロファイルを持つことができる。従って、複数のファイアウォール規則、複数のファイアウォール・プロファイルおよび複数の接続が存在する。各ファイアウォール規則は１以上のプロファイルに属することが可能である。また、各プロファイルは１以上の接続に適用することが可能である。

換言すると、コンピュータ実装されたセキュリティ・システム３００は、マルチホーム１０４装置に通信セキュリティを提供するためのファイアウォール・プロファイルの組を備える。これらのファイアウォール・プロファイルは、データ・パケットを受信する接続３０２に割り当てられている。システム３００は、自動的に特定のファイアウォール・プロファイルを選択して接続３０２のアクティブな接続に適用するセキュリティ・コンポーネント１０８をも備える。

ファイアウォール・プロファイルの組は、マルチホーム装置１０４へファイアウォールアクセスを設定する。ファイアウォール・プロファイルの組は、仮想ネットワーク、物理ネットワーク、および／または仮想および物理ネットワークの双方と関連するファイアウォール・プロファイルを含む。ファイアウォール・プロファイルの組は、異なるネットワーク接続に対応して関連付けられた異なるネットワーク・アドレスへの接続を制限するファイアウォール・プロファイルを含む。システム３００は、ファイアウォール・プロファイルを生成してファイアウォール・プロファイルをマルチホーム装置１０４のセキュリティ・コンポーネント１０８にダウンロードするための管理コンポーネント２０２（図示しない）を、さらに備える。

本明細書には、開示の構成の新規な態様を実現するための好適な手法を表す代表的な１組のフローチャートが示されている。説明を簡略化するために、例えば、フローチャートやフローダイアグラムの形式で本明細書に示されている１以上の手法は、一連の動作として示されて記載されると同時に、それらの手法は、動作の順番に限定されず、いくつかの動作は、それに応じて、本明細書に示され記述されている他の動作と、異なる順番で、かつ／または、同時に発生するものであると、理解され認識されるものとする。例えば、当業者であれば、手法が、他の方法として、状態ダイアグラムでのような、相互に関連する一連の状態やイベントとして表すことができることを理解し認識するであろう。さらに、手法に例示される全ての動作が、新規の実装にとって必須でなくともよい。

図４は、マルチホーム装置のためにコンピュータ実装されるセキュリティの方法を示す。４００にて、マルチホーム装置においてアクティブな接続が検出される。４０２にて、各アクティブな接続のためのセキュリティ・プロファイルが選択される。４０４にて、アクティブな接続における安全な通信を提供するために、各アクティブな接続にセキュリティ・プロファイルが適用される。

図５は、図４の方法の他の態様を示す図である。５００にて、セキュリティ・プロファイルが生成され、マルチホーム装置へダウンロードされる。５０２にて、対応するセキュリティ・プロファイルに定義されているように、アクティブな接続に関連付けられたアドレス範囲に基づいて、アクティブな接続に対する通信に制限される。５０４にて、セキュリティ・プロファイルに定義されているように、通信が仮想ネットワークに制限される。５０６にて、セキュリティ・プロファイルに定義されているように、通信が物理ネットワークに制限される。５０８にて、アクティブな接続に応じて選択的な制限を行うために、ファイアウォール・プロファイルであるセキュリティ・プロファイルがホスト・ファイアウォールに格納される。

本出願で用いられているように、“コンポーネント”および“システム”という用語は、コンピュータ関連のエンティティ（実体）を指すことを意図しており、ハードウェア、ハードウェアとソフトウェアとの組み合わせ、ソフトウェア、または実行中のソフトウェアのいずれでもよい。例えば、コンポーネントは、プロセッサ上で実行されている処理、プロセッサ、ハードディスク・ドライブ、（光学式、半導体、および／または、磁気記録媒体の）マルチプル記憶装置ドライブ、オブジェクト、実行可能ファイル、実行スレッド、プログラム、および／または、コンピュータであってもよく、ただし、これらに限定されるものではない。例として、サーバ上で実行されているアプリケーションおよびサーバの双方がコンポーネントになりうる。１以上のコンポーネントがプロセスおよび／または実行スレッドに存在してもよく、コンポーネントは、１つのコンピュータにローカライズされ、および／または２以上のコンピュータ間に分散されてもよい。“好適（exemplary）”という用語は、本明細書では、例、実例、または例示として提示することを意味するために使用することができる。“好適”なものとして本明細書に記載されている態様または設計は、必ずしも、他の態様または設計よりも優先または有利なものとして解釈される必要はない。

ここで図６を参照すると、開示の構成に従ってマルチホーミングのためのセキュリティ・プロファイルの管理と利用を実行するように動作可能なコンピュータ・システム６００のブロック図が示されている。その様々な態様に他のコンテキストを加えるために、図６および以下の記載では、概要、すなわち、様々な態様を実施可能とする適当なコンピュータ・システム６００の一般的記載を提示する。上記の記載は１以上のコンピュータ上で実行できるような、コンピュータが実行可能な命令の一般的なコンテキストとなっているため、当業者であれば、新規の実施形態は、他のプログラム・モジュールとの組み合わせ、および／または、ハードウェアとソフトウェアの組み合わせとしても実装可能であることは理解できるであろう。

様々な態様を実施するためのコンピュータ・システム６００は、プロセッシング・ユニット６０４を有するコンピュータ６０２、システムメモリ６０６のようなコンピュータ読取可能な記憶装置、およびシステム・バス６０８を備える。プロセッシング・ユニット６０４は、シングル・プロセッサ、マルチ・プロセッサ、シングルコア・ユニット、およびマルチコア・ユニットのような、様々な市販のプロセッサのいずれかであってもよい。さらに、当業者であれば、他のコンピュータ・システムの構成によって新規の方法を実行できることは理解できるであろう。他のコンピュータ・システムの構成とは、パーソナル・コンピュータ（例えば、デスクトップ、ノートブック、等）のみならず、ミニコンピュータ、メインフレーム・コンピュータや、携帯型コンピュータ装置、マイクロプロセッサベースもしくはプログラム可能な民生用電子機器、などを含み、これらは１以上の関連デバイスに動作可能に組み合わせることができる。

システムメモリ６０６は、揮発性（ＶＯＬ）メモリ６１０（例えば、ＲＡＭ（ｒａｎｄｏｍ ａｃｃｅｓｓ ｍｅｍｏｒｙ））および不揮発性（ＮＯＮ−ＶＯＬ）メモリ６１２（例えば、ＲＯＭ、ＥＰＲＯＭ、ＥＥＰＲＯＭ、等）のようなコンピュータ読取可能な記憶装置を備える。基本入出力システム（ＢＩＯＳ）は、不揮発性メモリ６１２に保存することが可能であり、スタートアップ中のような、コンピュータ６０２内のコンポーネント間におけるデータおよび信号の通信を容易にする基本ルーチンを含む。揮発性メモリ６１０は、データをキャッシュするためのスタティックＲＡＭのような高速ＲＡＭをも備えていてもよい。

システム・バス６０８は、プロセッシング・ユニット６０４へ繋がるメモリ・サブシステム６０６を備える（ただし、この構成に限定されない）システム・コンポーネントのためのインタフェースを提供する。システム・バス６０８は、様々な市販のバス・アーキテクチャのいずれかを用いて、（メモリコントローラを備えた、もしくは備えていない）メモリ・バス、および周辺バス（例えば、ＰＣＩ、ＰＣＩｅ、ＡＧＰ、ＬＰＣ、等）に相互接続することも可能ないくつかのバスタイプのいずれかであってもよい。

コンピュータ６０２は、機械が読取可能な記憶装置サブシステム６１４および記憶装置インタフェース６１６をさらに備えており、記憶装置インタフェース６１６は、記憶装置サブシステム６１４と、システム・バス６０８もしくは他の所望のコンピュータ・コンポーネントとを接続する。記憶装置サブシステム６１４は、例えば、１以上のハードディスク・ドライブ（ＨＤＤ）、磁気フロッピーディスク（登録商標）ドライブ（ＦＤＤ）、および／または光学式ディスク記憶装置ドライブ（例えば、ＣＤ−ＲＯＭドライブ、ＤＶＤドライブ）を備えていてもよい。記憶装置インタフェース６１６は、例えば、ＥＩＤＥ、ＡＴＡ、ＳＡＴＡ、およびＩＥＥＥ１３９４のようなインタフェース技術を備えていてもよい。

１以上のプログラムおよびデータは、メモリ・サブシステム６１６、機械読取可能なリムーバブルメモリ・サブシステム６１８（例えば、フラッシュ・ドライブ・フォーム・ファクター技術）、および／または記憶装置サブシステム６１４（例えば、光学式、磁気式、半導体式）に格納されてもよい。なお、これらのシステムは、オペレーティング・システム６２０、１以上のアプリケーション・プログラム６２２、他のプログラム・モジュール６２４、およびプログラム・データ６２６を含む。

１以上のアプリケーション・プログラム６２２、他のプログラム・モジュール６２４、およびプログラム・データ６２６は、例えば、図１のシステム１００のエンティティおよびコンポーネント、図２のシステム２００のエンティティおよびコンポーネント、図３のシステム３００のエンティティおよびコンポーネント、並びに図４および図５を含んでいてもよい。

一般的に、プログラムは、ルーチン、方法、データ構造、他のソフトウェア・コンポーネント等を含み、これらは、特定のタスクを実行し、または特定の抽象データ型を実装する。オペレーティング・システム６２０の全てまたは部分、アプリケーション６２２、モジュール６２４、および／またはデータ６２６も、例えば、揮発性メモリ６１０のようなメモリにキャッシュされてもよい。開示の構成は、様々な市販のオペレーティング・システムまたは、（例えば、仮想マシンのように）オペレーティング・システムの組み合わせによって実装されてもよいことは言うまでもない。

記憶装置サブシステム６１４およびメモリ・サブシステム（６０６および６１８）は、コンピュータ読取可能な媒体として、揮発性または不揮発性のデータの格納、データ構造、コンピュータ実行可能命令、等を提供する。コンピュータ読取可能な媒体は、コンピュータ６０２がアクセス可能であり、リムーバブルまたは固定の、揮発性または不揮発性の内部かつ／または外部の媒体の、あらゆる利用可能な媒体であってもよい。コンピュータ６０２のために、媒体は、あらゆる適切なデジタル形式でのデータの格納に対応する。なお、開示の構成の新規な方法を実行するために、コンピュータ実行可能命令を格納するため、ｚｉｐドライブ、磁気タイプ、フラッシュ・メモリ・カード、フラッシュ・ドライブ、カートリッジ、等のコンピュータ読取可能な媒体の他のタイプが採用されてもよいことは、当業者にとって当然のことである。

ユーザは、キーボードやマウス等の外部ユーザ入力装置６２８を使用して、コンピュータ６０２、プログラム、およびデータと対話することができる。他の外部ユーザ入力装置６２８は、マイクロホン、ＩＲ（赤外線）リモート・コントロール、ジョイスティック、ゲーム・パッド、カメラ認識システム、スタイラス・ペン、タッチ・スクリーン、ジェスチャ・システム（例えば、目の動き、頭の動き、等）、および／またはその他のものを含んでいてもよい。例えば、コンピュータ６０２が携帯型コンピュータである場合には、ユーザは、タッチパッド、マイクロホン、キーボード、等のオンボード・ユーザ入力装置６３０を使用して、コンピュータ６０２、プログラム、およびデータと対話することができる。これらの、および他の入力装置は、システム・バス６０８を介して入力／出力（Ｉ／Ｏ）装置インタフェース６３２を通ってプロセッシング・ユニット６０４に接続される。ただし、パラレルポート、ＩＥＥＥ１３９４シリアルポート、ゲーム・ポート、ＵＳＢポート、ＩＲインタフェース、等のような他のインタフェースによっても接続可能である。Ｉ／Ｏ装置インタフェース６３２は、サウンド・カードおよび／またはオンボード・オーディオ処理機能のように、プリンタ、オーディオ装置、カメラ装置、等のような出力周辺装置６３４の使用を容易にもする。

１以上のグラフィックス・インタフェース６３６（一般的に、グラフィックス・プロセッシング・ユニット（ＧＰＵ）とも呼ばれる）は、コンピュータ６０２と、外部ディスプレイ６３８(例えば、ＬＣＤ、プラズマ)および／またはオンボード・ディスプレイ６４０（例えば、携帯型コンピュータ）との間に、グラフィックスおよびビデオ信号を供給する。グラフィックス・インタフェース６３６は、コンピュータ・システム・ボードの一部として製造されてもよい。

コンピュータ６０２は、１以上のネットワークおよび／または他のコンピュータへの有線／無線通信サブシステム６４２を介した論理的な接続を使用することで、ネットワーク環境（例えば、ＩＰベース）で動作することができる。他のコンピュータは、ワークステーション、サーバ、ルータ、パーソナル・コンピュータ、マイクロプロセッサベースのエンタテイメント・アプリケーション、ピア装置、または他の一般的なネットワークノードを含んでいてもよく、一般的にはコンピュータ６０２に関連して記載される多くの、または全てのエレメントを含む。論理的な接続は、ＬＡＮ（ｌｏｃａｌ ａｒｅａ ｎｅｔｗｏｒｋ）、ＷＡＮ（ｗｉｄｅ ａｒｅａ ｎｅｔｗｏｒｋ）、ホット・スポット、等に対する有線／無線の接続性を有していてもよい。ＬＡＮおよびＷＡＮのネットワーク環境はオフィスや会社ではありふれたものであり、イントラネットのように、企業規模のコンピュータネットワークを促進する。これらの全ては、インターネットのようなグローバルな通信ネットワークに接続していてもよい。

ネットワーク環境で使用される場合、コンピュータ６０２は有線／無線通信サブシステム６４２（例えば、ネットワーク・インタフェース・アダプタ、オンボード・トランシーバ・サブシステム、等）を介してネットワークに接続することで、有線／無線通信ネットワーク、有線／無線プリンタ、有線／無線入力装置６４４、等と通信する。コンピュータ６０２は、ネットワークを介して通信を確立するための、モデムや他の手段を備えることができる。ネットワーク環境においては、コンピュータ６０２に関するプログラムおよびデータは、分散システムのように遠隔メモリ／記憶装置に格納することができる。図示されているネットワーク通信は典型的なものであり、コンピュータ間で通信リンクを確立する他の手段を用いることができることはもちろんである。

コンピュータ６０２は、ＩＥＥＥ８０２．ｘｘファミリ標準のような無線技術を用いて、有線／無線装置またはエンティティと通信するように動作可能である。例えば、プリンタ、スキャナ、デスクトップおよび／または携帯型コンピュータ、ＰＤＡ（ｐｅｒｓｏｎａｌ ｄｉｇｉｔａｌ ａｓｓｉｓｔａｎｔ）、通信衛星、無線で検出可能なタグ（例えば、キオスク、新聞の売店、トイレ）に関するあらゆる装備または場所、および電話との無線通信（例えば、ＩＥＥＥ８０２．１１無線変調技術）において適切に配置された無線装置と同様である。また、これは、少なくともホット・スポットのためのＷｉ−Ｆｉ（Ｗｉｒｅｌｅｓｓ Ｆｉｄｅｌｉｔｙ）、ＷｉＭａｘ、およびＢｌｕｅｔｏｏｔｈ（登録商標）無線技術を含む。従って、通信は、少なくとも２つの装置間の従来のネットワークまたは単にアドホック通信と同様にあらかじめ定義された構造とすることができる。Ｗｉ−Ｆｉネットワークは、安全で、信頼性があり、高速な無線通信能力を提供するために、ＩＥＥＥ８０２．１１ｘ（ａ、ｂ、ｇ、等）と呼ばれる無線技術を用いる。Ｗｉ−Ｆｉネットワークは、コンピュータを、互いに、インターネットに、および（ＩＥＥＥ８０２．３関連のメディアや機能を用いる）有線ネットワークに接続するために用いることができる。

ここで図７を参照すると、マルチホーム装置のためにセキュリティ・プロファイルの管理と利用を実行するコンピュータ環境７００の概略ブロック図が示されている。環境７００は、１以上のクライアント７０２を備える。クライアント７０２は、ハードウェアおよび／またはソフトウェア（例えば、スレッド、プロセス、コンピュータ装置）であってもよい。クライアント７０２は、例えば、クッキーおよび／または関連のコンテキストの情報を収容することができる。

環境７００も、１以上のサーバ７０４を備える。サーバ７０４も、ハードウェアおよび／またはソフトウェア（例えば、スレッド、プロセス、コンピュータ装置）であってもよい。サーバ７０４は、例えば、この構成を採用することで、変換を実行するスレッドを収容することができる。クライアント７０２とサーバ７０４との間において可能な通信は、２つ以上のコンピュータプロセス間での送信に適したデータ・パケットの形式にすることである。データ・パケットは、例えば、クッキーおよび／または関連するコンテキストの情報を含んでいてもよい。環境７００は、クライアント７０２とサーバ７０４との間の通信を容易にするために採用可能な通信フレームワーク７０６（例えば、インターネットのようなグローバル通信ネットワーク）を含む。

通信は、有線（光ファイバを含む）および／または無線技術を介することで容易に実現できる。クライアント７０２は、クライアント７０２へのローカルな情報（例えば、クッキー、および／または関連のコンテキストの情報）を格納するために使用することが可能な１以上のクライアント・データ記憶装置７０８に適切に接続される。同様に、サーバ７０４は、サーバ７０４へのローカルな情報を格納するために使用することが可能な１以上のサーバ・データ記憶装置７１０に適切に接続される。

上記の記載には、開示の構成の例が含まれている。もちろん、コンポーネントおよび／または手法の全ての考えうる組み合わせを記載することは可能ではない。しかしながら、当業者であれば、多数のさらなる組み合わせおよび置換が可能であることは理解できるであろう。よって、新規の構成は、添付のクレームの主旨および範囲内に含まれる全てのそのような代替物、変更形態、および変形形態を含むことを意図している。さらに、“include”という用語が詳細な説明およびクレームのいずれでも使用される範囲においては、その用語は、“comprising”という用語がクレームにおいて移行語として用いられる際に解釈されるように、“comprising”と同様に包含的であることを意図するものである。

Claims (15)

1. マルチホーム装置に通信セキュリティを提供するセキュリティ・プロファイルの組であって、データ・パケットを受信する接続に関連するセキュリティ・プロファイルと、
   複数の接続からのデータ・パケットの受信に応じて、自動的にセキュリティ・プロファイルを選択して適用するセキュリティ・コンポーネントと
   を備えることを特徴とするコンピュータ実装されるセキュリティ・システム。
2. 前記接続は、ネットワーク接続であることを特徴とする請求項１に記載のセキュリティ・システム。
3. 前記セキュリティ・プロファイルの組は、前記マルチホーム装置への安全なアクセスを構成するファイアウォール・プロファイルを含むことを特徴とする請求項１に記載のセキュリティ・システム。
4. 前記セキュリティ・プロファイルの組は、仮想ネットワークに関連するセキュリティ・プロファイルを含むことを特徴とする請求項１に記載のセキュリティ・システム。
5. 前記セキュリティ・プロファイルの組は、物理ネットワークに対応するセキュリティ・プロファイルを含むことを特徴とする請求項１に記載のセキュリティ・システム。
6. 前記セキュリティ・プロファイルの組は、異なる接続に対応して割り当てられた異なるネットワーク・アドレスへの接続を制限することを特徴とする請求項１に記載のセキュリティ・システム。
7. 前記セキュリティ・プロファイルを生成し、前記セキュリティ・プロファイルを前記マルチホーム装置の前記セキュリティ・コンポーネントにダウンロードする管理コンポーネントをさらに備えることを特徴とする請求項１に記載のセキュリティ・システム。
8. マルチホーム装置のために、コンピュータ実装されるセキュリティの方法であって、
   前記マルチホーム装置においてアクティブな接続を検出するステップと、
   アクティブな接続のそれぞれに対するセキュリティ・プロファイルを選択するステップと、
   前記アクティブな接続における安全な通信を提供するために、アクティブな接続のそれぞれに前記セキュリティ・プロファイルを適用するステップと、
   を備えることを特徴とする方法。
9. 前記セキュリティ・プロファイルを生成ステップと、
   前記セキュリティ・プロファイルを前記マルチホーム装置にダウンロードするステップと
   をさらに備えることを特徴とする請求項８に記載の方法。
10. 前記対応するセキュリティ・プロファイルに定義されているように、アクティブな接続に割り当てられたアドレス範囲に基づいて、前記アクティブな接続への通信を制限するステップ
    をさらに備えることを特徴とする請求項８に記載の方法。
11. 前記セキュリティ・プロファイルに定義されているように、仮想ネットワークへの通信を制限するステップ
    をさらに備えることを特徴とする請求項８に記載の方法。
12. 前記セキュリティ・プロファイルに定義されているように、物理ネットワークへの通信を制限するステップ
    をさらに備えることを特徴とする請求項８に記載の方法。
13. アクティブな接続に応じて選択的な制限を行うために、ファイアウォール・プロファイルである前記セキュリティ・プロファイルをホスト・ファイアウォールに格納するステップ
    をさらに備えることを特徴とする請求項８に記載の方法。
14. アクティブな接続に関連付けられたアドレス範囲に基づいて、セキュリティ・プロファイルである、対応するファイアウォール・プロファイルを前記アクティブな接続に適用するステップ
    をさらに備えることを特徴とする請求項８に記載の方法。
15. 前記アクティブな接続は、ネットワーク接続であることを特徴とする請求項８に記載の方法。

Images