JP2014086083A

JP2014086083A - ネットワークアクセス及び受付制御のためのソーシャルグラフの利用

Info

Publication number: JP2014086083A
Application number: JP2013204424A
Authority: JP
Inventors: K Nair Jayakrishnan; ケイ．ナイールジャヤクリシュナン; Hunt Simon; ハントサイモン; Prasanna Venkateswaran; ヴェンカテスワランプラサンナ
Original assignee: McAfee LLC
Current assignee: McAfee LLC
Priority date: 2012-10-19
Filing date: 2013-09-30
Publication date: 2014-05-12
Also published as: US9565194B2; KR20150035980A; AU2013237709A1; KR20140051067A; AU2013237709A2; US20140317676A1; KR101752540B1; KR20160023746A

Abstract

【課題】ソーシャルグラフを利用してネットワークアクセス及び受付制御を行うことを目的とする。
【解決手段】ネットワークのアクセス制御を提供する技術が開示される。方法は、ネットワークにアクセスするためのユーザからの要求を受信し、ユーザに関連する複数のデータを受信し、ただし、複数のデータは、ソーシャルサークルに対するユーザの関係に関連する複数のソーシャルデータを有し、複数のソーシャルデータに少なくとも基づいて電子セキュリティポリシーを識別し、電子セキュリティポリシーが複数のソーシャルデータに少なくとも基づいて認証を許可した場合、ネットワークに対してユーザを認証することを含んでもよい。
【選択図】図１

Description

本発明は、概して電子セキュリティの分野に関し、特にソーシャルデータの使用を通じてネットワークへのアクセスを制御することに関する。

ホームネットワーク又は企業の公衆Wi-Fiネットワークのようないくつかのローカルエリアネットワークでは、電子セキュリティの脆弱性を最小化するために、どのユーザ（及びどのユーザデバイス）がネットワークに参加することを許可され得るかという点における柔軟性を可能にすることが、ますます重要になっている。ローカルネットワークへのゲストアクセスを可能にするいくつかの現在の方法は、制限がないこと（例えば、公衆wifiシステムの場合）又はゲストデバイスの技術的詳細のリストを維持管理することを必要とする。ネットワークに参加することを許可される全てのデバイスの技術仕様のリストを維持管理することは扱いにくい（機械特有の詳細をトラッキングする必要なく、顧客にサービスを提供したいと思う企業の場合）、非現実的である（顧客にサービス提供したいと思う企業の場合、全ての必要なデータをトラッキングする時間をかけることは不可能になり得る）、又は不可能である（データを見つけようとするホームネットワークの技術力に欠ける管理者が、見つけることが困難又は不可能である場合）。

ソーシャルグラフを利用してネットワークアクセス及び受付制御を行うことを目的とする。

ネットワークのアクセス制御を提供する技術が開示される。方法は、ネットワークにアクセスするためのユーザからの要求を受信し、ユーザに関連する複数のデータを受信し、ただし、複数のデータは、ソーシャルサークルに対するユーザの関係に関連する複数のソーシャルデータを有し、複数のソーシャルデータに少なくとも基づいて電子セキュリティポリシーを識別し、電子セキュリティポリシーが複数のソーシャルデータに少なくとも基づいて認証を許可した場合、ネットワークに対してユーザを認証することを含んでもよい。

本発明によれば、例えば、ソーシャルグラフを利用してネットワークアクセス及び受付制御を行うことが可能になる。

本発明の特定の実施例に従ってソーシャルデータのセットに少なくとも基づいてネットワークへのアクセスを仲介する例示的なシステム本発明の特定の実施例に従ってネットワークで使用される例示的なソーシャルグラフ本発明の特定の実施例に従ってネットワークアクセス及び受付制御においてソーシャルグラフを使用する例示的な方法のフローチャート

本発明及びその利点の完全な理解のため、添付図面と共に以下の説明に言及する。

ますます多くの情報がオンラインで利用可能になっているため、ますます多くのユーザが様々な方法でその情報にアクセスすることを試みる可能性がある。情報へのユーザのアクセスを提供するネットワークは、格納されたデータのセキュリティを維持管理することに関心を有することがある。しかし、ネットワークはまた、ネットワークへの不規則なアクセス又は“ゲスト”アクセスを提供するのに十分に柔軟的であり続けなければならない。或る状況では、規則的なネットワークセキュリティ手段は、不正アクセスからネットワークを保護するのに不十分になる可能性もある。例えば、ホームネットワークは、保護されている場合、パスワードにより不十分に保護されていることがある。他の状況でも、ネットワークは、ネットワークに物理的にプラグ接続されているデバイスからの不正アクセスに対して脆弱であるため、通常の防止策を回避する可能性がある。更に他の状況では、ネットワークのオペレータは、依然として或るレベルのセキュリティを維持管理したいと思いつつ、“公衆”又は無制限のゲストアクセスを提供したいと思うことがある。例えば、小売店は、無線ネットワークをその顧客に利用可能にしたいと思うが、その顧客にのみ利用可能にしたいと思うことがある。

ネットワークへのアクセスを認証する１つの典型的な方法は、媒体アクセス制御（MAC：medium access control）アドレスフィルタを通じたものである。MACアドレスは、物理的な電気デバイスに割り当てられた数値コードである。しかし、MACアドレスに基づくアクセスのフィルタリングは、時間がかかり、経験の少ないネットワークオペレータにとって困難になることがある。例えば、複数のユーザ装置のMACアドレスを判定することは、あまり技術的経験のない人にとって困難になることがある。更に、許可されたMACアドレスのリストを絶えず更新することは、リソースの制約（人又はコンピュータ）の理由であれ、設計上の考慮の理由（例えば、特定の基準を満たす未知のゲストにネットワークを利用可能にしたいと思うこと）であれ、特定のネットワークにとって困難又は不可能になることがある。

或るネットワーク構成では、ゲストユーザがホスト有線又は無線ネットワークを使用してインターネットにアクセスすることを可能にするために、プライベートネットワークへのコンピュータデバイスの頻繁な追加が行われてもよい。このようなゲストユーザに提供される必要があるネットワークアクセスのレベルは、ゲストとネットワークオペレータとの間の関係及び／又は信頼レベルのような要因と、ゲストの年齢、専門知識等のような他のパラメータとに依存してもよい。この開示の特定の実施例では、コンピュータネットワークのゲストユーザは、一般的にこのようなネットワークのプロバイダと個人的に、職業上で又は別の方法で関連してもよい。例えば、ネットワークプロバイダは、指定の“管理ユーザ”を有してもよい。管理ユーザは、ゲストユーザに提供されるネットワークアクセスの性質を自動的に判定し得るもののような情報を得られ得るソーシャルネットワーキングプラットフォームのソーシャルグラフ（social graph）を有してもよい。

図１は、この開示の特定の実施例に従ってソーシャルデータ（social data）のセットに少なくとも基づいてネットワーク100へのアクセスを仲介する例示的なシステム100を示している。システム100は、ユーザ装置102と、セキュリティデバイス106と、ソーシャルネットワーク104と、ネットワーク108とを含む。

ユーザ装置102は、モジュール、サーバ、コンピュータ、モバイルデバイス、システム・オン・チップ、他の電子デバイス又はデジタル及びアナログ回路のいずれか適切な組み合わせのように、ソーシャルネットワーク104へのユーザアクセスを可能にするように構成されたいずれか適切な電子機構を含んでもよい。或る実施例では、ユーザ装置102は、メモリに結合されたプロセッサを含んでもよい。ユーザ装置102はまた、プロセッサにより実行される命令をメモリに含んでもよい。同じ実施例又は別の実施例で、プロセッサ及びメモリは、他の電子デバイスに存在してもよく、モジュールとしてユーザ装置102を実行してもよい。例えば、ユーザ装置102は、インターネットにアクセスするように構成された携帯電話を含んでもよい。同じ実施例又は別の実施例で、システム100は、複数のユーザ装置102を含んでもよい。

前述のように、ユーザ装置102は、プロセッサと、コンピュータ可読メモリとを含んでもよい。プログラム命令は、命令でプログラムされた汎用又は特殊目的の処理システムに対して、前述の動作を実行させるために使用されてもよい。動作は、動作を実行するための配線ロジックを含む特定のハードウェアコンポーネントにより実行されてもよく、プログラムされたコンピュータコンポーネントとカスタムのハードウェアコンポーネントとのいずれかの組み合わせにより実行されてもよい。ここに記載する方法は、この方法を実行するように処理システム又は他の電子デバイスをプログラムするために使用され得る命令を格納した１つ以上の機械可読媒体を含んでもよいコンピュータプログラムプロダクトとして提供されてもよい。ここで使用される“機械可読媒体”又は“コンピュータ可読媒体”という用語は、機械により実行される命令のシーケンスを格納又は符号化することができ、機械に対してここに記載の方法のいずれか１つを実行させる如何なる媒体をも含むものとする。従って、“機械可読媒体”という用語は、ソリッドステートメモリ、光及び磁気ディスクのようなメモリを含むが、これらに限定されないものとする。更に、どのような形にせよ（例えば、プログラム、プロシージャ、プロセス、アプリケーション、モジュール、ロジック等）、ソフトウェアを、動作を行うもの又は結果を生じるものと言うことは、当該技術分野において一般的である。このような表現は、処理システムによるソフトウェアの実行がプロセッサに対して動作を実行させること又は結果を生成させることを記述する単なる省略表現方法である。

プロセッサは、例えば、マイクロプロセッサ、マイクロコントローラ、デジタルシグナルプロセッサ（DSP：digital signal processor）、特定用途向け集積回路（ASIC：application specific integrated circuit）、又はプログラム命令及び／又は処理データを解釈及び／又は実行するように構成された他のデジタル若しくはアナログ回路を有してもよい。或る実施例では、プロセッサは、メモリに格納されたプログラム命令及び／又は処理データを解釈及び／又は実行してもよい。メモリは、アプリケーションメモリ、システムメモリ又はこれらの双方として部分的に又は全体的に構成されてもよい。メモリは、１つ以上のメモリモジュールを保持及び／又は収容するように構成された如何なるシステム、デバイス又は装置を含んでもよい。各メモリモジュールは、ある期間のプログラム命令及び／又はデータを保持するように構成された如何なるシステム、デバイス又は装置を含んでもよい（例えば、コンピュータ可読記憶媒体）。ユーザ装置102の命令、ロジック又はデータは、１つ以上のプロセッサにより実行されるためメモリに存在してもよい。

プロセッサは、プロセッサの１つ以上のコアにより実行される１つ以上のコード命令を実行してもよい。プロセッサコアは、コード命令により示された命令のプログラムシーケンスに従ってもよい。各コード命令は、プロセッサの１つ以上のデコーダにより処理されてもよい。デコーダは、所定のフォーマットの固定幅マイクロ演算のようなマイクロ演算をその出力として生成してもよく、元のコード命令を反映する他の命令、マイクロ命令又は制御信号を生成してもよい。プロセッサはまた、実行のための変換命令に対応して一般的にリソースを割り当てて動作を待ち行列に入れるレジスタ名称変更ロジック及びスケジューリングロジックを含んでもよい。コード命令により指定された動作の実行の完了の後に、プロセッサ内のバックエンドロジックは、命令を退かせてもよい。或る実施例では、プロセッサは、順序外れの実行を可能にするが、順序通りの命令の退去（retirement）を必要とする。プロセッサ内の退去ロジックは、当業者に知られている様々な形式になってもよい（例えば、並び替えバッファ等）。従って、プロセッサのプロセッサコアは、少なくともデコーダにより生成される出力と、レジスタ名称変更ロジックにより利用されるハードウェアレジスタ及びテーブルと、実行ロジックにより変更されるいずれかのレジスタとに関して、コードの実行中に変換される。

或る実施例では、システム100はまた、セキュリティデバイス106を含んでもよい。セキュリティデバイス106は、モジュール、サーバ、コンピュータ、モバイルデバイス、システム・オン・チップ、他の電子デバイス又はデジタル及びアナログ回路のいずれか適切な組み合わせのように、ネットワーク108へのアクセスを調整するように構成されたいずれか適切な電子機構を含んでもよい。或る実施例では、セキュリティデバイス106は、メモリに結合されたプロセッサを含んでもよい。セキュリティデバイス106はまた、プロセッサにより実行される命令をメモリに含んでもよい。同じ実施例又は別の実施例で、プロセッサ及びメモリは、他の電子デバイスに存在してもよく、モジュールとしてセキュリティデバイス106を実行してもよい。例えば、セキュリティデバイス106は、スタンドアローン型セキュリティデバイスでもよく、ルータ又はゲートウェイに統合されてもよく、及び／又は他の電子デバイスで実行してもよい。

或る実施例では、セキュリティデバイス106は、ユーザインタフェースモジュール110、ソーシャルデータモジュール112、電子セキュリティポリシーエンジン114、認証モジュール116、及び／又はネットワーク108へのアクセスを調節するように構成されたモジュール、サーバ、コンピュータ、モバイルデバイス、システム・オン・チップ、他の電子デバイス又はデジタル及びアナログ回路のいずれか適切な組み合わせの他の構成を含んでもよい。これは、ユーザ装置102へのアクセスを可能にするか否かを判定するための１つ以上のセキュリティポリシーを生成、格納、更新、変更及び／又は分析することを含んでもよい。例えば、セキュリティデバイス106は、管理ユーザの個人の仲間に属するユーザ装置102のようなユーザ装置102のグループに関連するセキュリティポリシーを有してもよい。例えば、ホームネットワークの構成では、管理ユーザは、ホームオーナー（home owner）でもよい。ゲストアクセスは、セキュリティデバイス106により実施されるセキュリティポリシーを介して、ホームオーナーの個人の仲間に提供されてもよい。このような構成では、ゲストアクセスは、ソーシャルネットワーク104を介して認証されてもよい。他の例として、システム100は、管理ユーザの職業上の仲間でもよいゲストユーザのグループを有してもよい。このような状況では、セキュリティデバイス106は、ゲストユーザがソーシャルネットワーク104を介してユーザのアイデンティティ（identity）を認証できる場合、ネットワーク108へのゲストアクセスを可能にするセキュリティポリシーを含んでもよい。

或る実施例では、ネットワーク108は、ユーザ装置102とソーシャルネットワーク104との間の通信のアクセスを可能にするように構成された如何なる通信ネットワークを含んでもよい。例えば、ネットワーク108は、ユーザ装置102がソーシャルネットワーク104と通信することを可能にするように構成された如何なる有線ネットワーク（例えば、Ethernet（登録商標）、トークンリング等）、無線ネットワーク（例えば、802.11）又は他のネットワークを含んでもよい。

或る実施例では、ソーシャルネットワーク104は、ソーシャルネットワーク（例えば、Facebook、LinkedIn等）へのアクセスを提供するように構成されたコンピュータデバイスを含んでもよい。例えば、ソーシャルネットワーク104は、通信パス、サーバ、データベース及び／又はソーシャルネットワークへのアクセスを提供するように構成されたコンピュータ機械の他の適切な組み合わせの組み合わせを含んでもよい。或る実施例では、ソーシャルネットワーク104は、シンクライアント（thin client）、シッククライアント（thick client）、ウェブアプリケーション、ウェブサービス、ウェブサーバ又はソーシャルネットワークにアクセスするために使用される他の通信ポイントを含んでもよい。

ソーシャルネットワーク104は、特定のユーザデータへのアクセスを提供してもよい。例えば、ソーシャルネットワーク104は、典型的には、所与のユーザを複数の他のユーザに接続するデータを含んでもよい。従って、各ユーザをグラフの“ノード”に割り当て、社会的関係に基づいてこれらのノードを接続することにより、ユーザのソーシャルサークルの“グラフ”を構成することが可能になり得る。

ソーシャルネットワーク104はまた、各ユーザに特有のデータを提供してもよい。例えば、ソーシャルネットワーク104は、ユーザの人口統計情報（例えば、年齢、性別、教育レベル）と、特定の構成に有用になり得る他の情報とを提供してもよい。例えば、ソーシャルネットワーク104は、ユーザの職業情報、専門レベル、地理的位置、言語等を提供してもよい。

或る実施例では、ユーザ装置102は、セキュリティデバイス106及びネットワーク108を介してソーシャルネットワーク104に通信可能に結合されてもよい。例えば、ユーザ装置102は、インターネット上のウェブページを介してソーシャルネットワーク104にアクセスしてもよい。他の例として、ユーザ装置102は、ユーザ装置102にインストールされたアプリケーションを介してソーシャルネットワーク104にアクセスしてもよい。以下に詳細に説明するように、ユーザ装置102を使用するユーザは、ソーシャルネットワーク104上のそのユーザの情報へのアクセスを可能にしてもよい。ユーザ装置102は、更なる処理のため、ユーザのデータを取得してもよい。或る実施例では、ユーザ装置102は、そのデータをセキュリティデバイス106に通信してもよい。

動作中に、セキュリティデバイス106のオペレータは、一式のゲストユーザ装置102がセキュリティデバイス106を介してネットワーク108にアクセスすることを可能にしたいと思うことがある。従って、オペレータは、一式のゲストユーザ装置102の要件を記述した１つ以上のセキュリティプロファイルを確立してもよい。例えば、セキュリティプロファイルは、ゲストユーザが管理ユーザの特定のソーシャルグラフの一部でなければならないことを記述してもよい。或る構成では、例えば、会社は、会社のソーシャルネットワーキングプラットフォームを介して会社に接続するユーザへのゲストアクセスを可能にしてもよい。これらのユーザは、管理ユーザのソーシャルグラフの一部でもよい。

或る実施例では、セキュリティプロファイルは、ソーシャルグラフの要件に関する更なる詳細を記述してもよい。例えば、セキュリティデバイス106を介したネットワーク108へのゲストアクセスを要求するユーザは、管理者の１つの階級（degree）内にあることが求められてもよい。他の例として、セキュリティデバイス106を介してネットワーク108へのゲストアクセスを要求するユーザは、アクセスを許可される前に特定の更なる基準を満たすことが求められてもよい。例えば、ユーザは、特定の年齢、専門知識、職業及び／又は経験の要件を満たすことが求められてもよい。

構成された場合、セキュリティデバイス106は、ネットワーク108へのアクセスを仲介するように構成されてもよい。ユーザ装置102を動作するゲストユーザは、セキュリティデバイス106を介してネットワーク108へのアクセスを要求してもよい。ユーザ装置102がネットワーク108に接続すると、セキュリティデバイス106は、接続を試みる無許可のデバイスの存在を識別してもよい。或る実施例では、セキュリティデバイス106は、ユーザ装置を一時的なネットワーク位置に導いてもよい。例えば、ユーザ装置102は、ゲストポータル又は他の一時的なウェブページに接続してもよい。

セキュリティデバイス106は、ユーザ装置102が適切なソーシャルネットワーク機能を使用して認証することを要求してもよい。例えば、セキュリティデバイス106は、ユーザ装置102がそのユーザをソーシャルネットワーク104に対して認証することを要求してもよい。或る実施例では、セキュリティデバイス106は、ネットワーク108を介してソーシャルネットワーク104から特定のデータを取得してもよい。例えば、セキュリティデバイス106は、ユーザが関係するセキュリティプロファイルに入るか否かを確認するために、ユーザ装置102のユーザに関連するデータを取得してもよい。或る構成では、例えば、セキュリティデバイス106は、ユーザ装置102のユーザが管理ユーザの指定されたソーシャルグラフ（又はその一部）の範囲内にあるか否かを確認してもよい。

ユーザが認証ルーチンを実行すると、セキュリティデバイス106は、ソーシャルネットワーク104から取得したデータを１つ以上のセキュリティプロファイルに適用してもよい。データ分析に基づいて、セキュリティデバイス106は、ネットワーク108へのユーザ装置のアクセスを許可又はブロックしてもよい。或る実施例では、セキュリティプロファイル及び／又はソーシャルグラフデータは、セキュリティデバイス106に格納されてもよい。同じ実施例又は別の実施例では、このデータの一部又は全部は、セキュリティデバイスに対してローカルの位置又はセキュリティデバイス106から離れた位置にある他の電子デバイスの他のコンピュータ可読媒体に格納されてもよい。同じ実施例又は別の実施例では、データ分析機能は、１つ以上のセキュリティデバイス106を分割してもよい。或る構成では、例えば、ネットワーク認証は、１つのセキュリティデバイス106により実行され、ソーシャルデータ分析は、他のセキュリティデバイス106により実行されてもよい。当業者は、この開示の範囲を逸脱することなく、他の組み合わせも適切になり得ることを認識し得る。

或る実施例では、セキュリティデバイス106は、様々なレベルの詳細でネットワーク108へのユーザ装置102のアクセスを詳述するセキュリティポリシーを実施するように構成されてもよい。例えば、１つのセキュリティポリシーは、ゲストユーザ装置102の特定のセットに対してネットワーク108への無制限のアクセスを可能にしてもよい。或る構成では、例えば、ネットワークオペレータにより使用されてもよいゲストユーザ装置102がユーザにより動作されてもよい。例えば、会社の従業員は、セキュリティデバイス106により通常では認識されていないユーザ装置102を動作していることがある（例えば、従業員が自分のラップトップコンピュータではなく、自分の携帯電話を介してネットワーク108にアクセスを試みている）。他のセキュリティポリシーは、ゲストユーザ装置102の特定のセットに対してネットワーク108への制限されたアクセスを可能にしてもよい。これらの制限は、特定の種類のデータへのアクセス、特定のウェブページへのアクセス、アクセスの期間等を含んでもよい。

同じ実施例又は別の実施例では、セキュリティデバイス106は、１つ以上のセキュリティポリシーを生成、変更、維持管理、実装又は使用するために、ソーシャルネットワーク104から受信したデータを実装してもよい。例えば、所与のソーシャルネットワーク104は、位置、グループ、イベント等のような特定のデータがセキュリティデバイス106によりアクセスされることを可能にしてもよい。これは、セキュリティデバイス106による所与のセキュリティポリシーを判定及び／又は実施する際の更なる柔軟性を可能にしてもよい。以下の例は、例示目的のみで提供されており、決してこの開示の範囲を制限することを意図するものではない。これらの例は、ネットワーク108へのアクセスを仲介する際のセキュリティデバイス106によるセキュリティポリシーの使用を示している。

第１の例では、セキュリティデバイス106は、ホームネットワークに実装されてもよい。セキュリティデバイス106のオペレータは、家族メンバのためのセキュリティポリシーを生成してもよい。家族メンバは、特定のソーシャルグラフの一部として規定されてもよい。ゲストがホームネットワークに接続することを試みた場合、セキュリティデバイス106は、外部デバイスを識別し、ゲストに対してソーシャルネットワーク104を介して認証するように促してもよい。セキュリティデバイス106は、ソーシャルネットワーク104との認証と、ソーシャルグラフに関連するデータとに基づいて、ネットワーク108へのアクセスを許可又はブロックしてもよい。

第２の例では、セキュリティデバイス106は、小売店のような企業により運営される公衆ネットワークに実装されてもよい。セキュリティデバイス106のオペレータは、企業のソーシャルメディアプラットフォームを介して接続された顧客のセキュリティポリシーを生成してもよい。これらの顧客は、特定のソーシャルグラフの一部として規定されてもよい。ゲストが公衆ネットワークに接続することを試みた場合、セキュリティデバイス106は、外部デバイスを識別し、ゲストに対してソーシャルネットワーク104を介して認証するように促してもよい。セキュリティデバイス106は、ソーシャルネットワーク104との認証と、ソーシャルグラフに関連するデータとに基づいて、ネットワーク108へのアクセスを許可又はブロックしてもよい。

第３の例では、セキュリティデバイス106は、特定のイベントで利用可能な公衆ネットワークに実装されてもよい。セキュリティデバイス106のオペレータは、主催者のソーシャルメディアプラットフォームを介してイベントに接続された参加者のセキュリティポリシーを生成してもよい。これらの顧客は、特定のソーシャルグラフの一部として規定されてもよい。ゲストが公衆ネットワークに接続することを試みた場合、セキュリティデバイス106は、外部デバイスを識別し、ゲストに対してソーシャルネットワーク104を介して認証するように促してもよい。セキュリティデバイス106は、ソーシャルネットワーク104との認証と、ソーシャルグラフに関連するデータとに基づいて、ネットワーク108へのアクセスを許可又はブロックしてもよい。

図２は、本発明の特定の実施例に従ってネットワーク100で使用される例示的なソーシャルグラフ200を示している。或る実施例では、ソーシャルグラフ200は、中央のエンティティ（entity）202に接続された複数のユーザ204-208を含んでもよい。中央のエンティティ202は、ネットワーク100の管理者でもよい。例えば、中央のエンティティ202は、ホームネットワークを動作することに責任のある１人以上の家族メンバでもよい。他の例として、中央のエンティティ202は、公衆との関係を有してもよい企業又は他の公衆のエンティティでもよい。

例示的なソーシャルグラフ200は、３つの種類のユーザを示している。説明を簡単にするために、これらは、第１階級ユーザ204、第２階級ユーザ206及び第３階級ユーザ208と呼ばれることがある。ソーシャルグラフ200は、複数の各種類のユーザ204-208及び特定の関係を示しているが、当業者は、この開示の範囲を逸脱することなく、ユーザのより多くの構成、より少ない構成又は異なる構成も可能であることを認識する。

或る実施例では、ソーシャルグラフ200は、複数の第１階級ユーザ204を含んでもよい。第１階級ユーザ204は、中央のエンティティ202と直接の関係を有するユーザでもよい。例えば、ホームネットワークの場合、第１階級ユーザ204は、家族メンバに属する様々なデバイスでもよい。他の例として、企業で使用される公衆ネットワークの場合、第１階級ユーザ204は、企業と特定の関係（例えば、広告）に選ばれた企業の顧客でもよい。

或る実施例では、ソーシャルグラフ200はまた、複数の第２階級ユーザ206を含んでもよい。第２階級ユーザ206は、中央のエンティティ202と直接の関係を有さないが、１人以上の第１階級ユーザ204と直接の関係を有するユーザでもよい。例えば、ホームネットワークの場合、第２階級ユーザ206は、様々な家族メンバの友人でもよい。或る実施例では、ソーシャルグラフ200は、複数の第３階級ユーザ208を含んでもよい。第３階級ユーザ208は、１人以上の第２階級ユーザ206のみと直接の関係を有するユーザでもよい。システム100の構成に応じて、この開示の範囲を逸脱することなく、ユーザのより多いクラス、より少ないクラス及び／又は異なるクラスが実装されてもよい。

図１を参照して詳細に説明したように、システム100は、適切なユーザグループについての適切なセキュリティポリシーを実施するために、ソーシャルグラフ200に関連するデータを分析するように構成されてもよい。例えば、ホームネットワークの場合、特定の種類のユーザからの特定の動作を防止することが必要である又は望ましいことがある。例えば、第１階級ユーザ204は、第２階級ユーザよりネットワークトラヒックの種類に多くの自由を許可されてもよい。図１を参照して詳細に説明したように、また、図３を参照して以下に説明するように、ネットワーク100の管理者は、ユーザの種類に応じてセキュリティデバイスが異なって動作するように構成してもよい。各種類のユーザのアイデンティティに加えて、ソーシャルグラフ200はまた、各ユーザに関連するデータを含んでもよい。データは、特定のセキュリティポリシーの識別及び／又は適用に使用されてもよい。

図３は、この開示の特定の実施例に従ってネットワークアクセス及び受付制御においてソーシャルグラフを使用する例示的な方法300のフローチャートである。方法300は、新たなユーザを識別し、新たなユーザを分類するためにソーシャルグラフに問い合わせ、新たなユーザのセキュリティポリシーを選択し、選択されたセキュリティポリシーを実施することを含んでもよい。

一実施例によれば、方法300は、好ましくはブロック302で始まる。この開示の教示は、様々な構成で実装されてもよい。従って、方法300の好ましい初期化点及び方法300を含むブロック302-308の順序は、選択された実装に依存してもよい。

ブロック302において、方法300は、ネットワーク100で使用される適切なソーシャルグラフ200を識別してもよい。図１〜２を参照して詳細に前述したように、ソーシャルグラフ200は、ネットワーク100の管理者のような適切な中央のエンティティ202に基づいてもよい。或る実施例では、ソーシャルグラフ200は既に存在してもよい。同じ実施例又は別の実施例では、ソーシャルグラフ200は、全体的又は部分的に生成される必要があってもよい。或る実施例では、システム100のソーシャルデータモジュール112は、ソーシャルデータを受信するように構成されてもよい。適切なソーシャルグラフ200が識別された場合、方法300はブロック304に進んでもよい。

ブロック304において、方法300は、ネットワーク100へのアクセスを要求する新たなユーザを識別してもよい。図１〜２を参照して詳細に前述したように、新たなユーザは、ソーシャルグラフ200の中央のエンティティ202との直接の関係を有するエンティティ、間接の関係を有するエンティティ又は関係のないエンティティでもよい。例えば、新たなユーザは、企業の公衆インターネット接続をしようと思う新たな顧客でもよい。方法300は、新たなユーザを中央のエンティティ202のソーシャルグラフ200の中に配置してもよい。或る実施例では、システム100のユーザインタフェースモジュール110は、ネットワークにアクセスするためのユーザからの要求を受信するように構成されてもよい。新たなユーザ（及び適切な中央のエンティティとの関係）が識別された場合、方法300はブロック306に進んでもよい。

ブロック306において、方法300は、新たなユーザについてのデータと、ソーシャルグラフ200内の位置とに基づいて、新たなユーザに対して実施される１つ以上のセキュリティポリシーを選択してもよい。例えば、システム100は、ホームネットワークの家族メンバに比較的低いレベルの管理を要求し、ホームネットワークの家族でないメンバに比較的高いレベルの管理を要求してもよい。或る実施例では、システム100の電子セキュリティポリシーエンジン114は、適切な電子セキュリティポリシーを識別するように構成されてもよい。適切なセキュリティポリシーを選択した後に、方法300はブロック308に進んでもよい。

ブロック308において、方法300は、新たなユーザに対して選択されたセキュリティポリシーを実施する。或る実装では、ユーザの監視期間（又は連続した監視期間）は、ユーザの状態、ソーシャルグラフ200に関連するデータ、及び／又は監視されるトラヒックの変化を生じることがある。或る実施例では、システム100の認証モジュール114は、電子セキュリティポリシーと、関係するソーシャルデータとに基づいてユーザを認証するように構成されてもよい。従って、或る実施例では、選択されたセキュリティポリシーを実施した後に、方法300はブロック302に戻ってもよい。

図３は、方法300に関して行われる特定の数のブロックを開示しているが、方法300は、図３に記載のものより多い又は少ないブロックで実行されてもよい。更に、図３は、方法300を含むブロックの特定の順序を開示しているが、方法300を含むブロックは、如何なる適切な順序で行われてもよい。例えば、方法300は、新たなユーザがソーシャルネットワークを使用して自分を認証することを可能にする（又は要求する）ために必要なブロックを含んでもよい。例えば、ソーシャルグラフ200がソーシャルネットワークから収集されたデータに基づいてもよい構成では、方法300は、新たなユーザがネットワーク100に接続できる前に、そのソーシャルネットワークを使用して自分を認証することを要求してもよい。

ネットワークのアクセス制御を提供する電子セキュリティデバイスが開示される。電子セキュリティデバイスは、ネットワークにアクセスするためのユーザからの要求を受信するように構成されたユーザインタフェースモジュールと、ユーザに関連する複数のデータを受信するように構成されたソーシャルデータモジュールであり、複数のデータは、ソーシャルサークルに対するユーザの関係に関連する複数のソーシャルデータを有するソーシャルデータモジュールと、複数のソーシャルデータに少なくとも基づいて電子セキュリティポリシーを識別するように構成された電子セキュリティポリシーエンジンと、電子セキュリティポリシーが複数のソーシャルデータに少なくとも基づいて認証を許可した場合、ネットワークに対してユーザを認証するように構成された認証モジュールとを含んでもよい。

認証モジュールは、複数のソーシャルデータが受信されたソーシャルネットワークを使用してユーザが認証することを要求するように更に構成されてもよい。ソーシャルデータモジュールは、ネットワークの管理者に関連する複数の社会的関係を反映するソーシャルグラフを生成するように更に構成されてもよい。認証モジュールは、ソーシャルグラフに従ってユーザが管理者との所定の関係の範囲内にあるか否かを判定することにより、ネットワークに対してユーザを認証するように構成される。所定の関係は、ユーザと管理者との間の個人的関係を含んでもよい。所定の関係は、ユーザと管理者との間の地理的関係を含んでもよい。所定の関係は、ユーザと管理者との間の企業関係を含んでもよい。

ネットワークのアクセス制御を提供する方法が開示される。この方法は、ネットワークにアクセスするためのユーザからの要求を受信し、ユーザに関連する複数のデータを受信し、ただし、複数のデータは、ソーシャルサークルに対するユーザの関係に関連する複数のソーシャルデータを有し、複数のソーシャルデータに少なくとも基づいて電子セキュリティポリシーを識別し、電子セキュリティポリシーが複数のソーシャルデータに少なくとも基づいて認証を許可した場合、ネットワークに対してユーザを認証することを含んでもよい。

この方法は、複数のソーシャルデータが受信されたソーシャルネットワークを使用してユーザが認証することを要求することを含んでもよい。この方法はまた、ネットワークの管理者に関連する複数の社会的関係を反映するソーシャルグラフを生成することを含んでもよい。ネットワークに対するユーザの認証は、ソーシャルグラフに従ってユーザが管理者との所定の関係の範囲内にあるか否かを判定することを含んでもよい。所定の関係は、ユーザと管理者との間の個人的関係を含んでもよい。所定の関係は、ユーザと管理者との間の地理的関係を含んでもよい。所定の関係は、ユーザと管理者との間の企業関係を含んでもよい。

この出願は、2012年10月19日に“SYSTEM AND METHOD FOR SOCIAL DATA-BASED NETWORK ACCESS”という題で出願されたインド仮出願第4373/CHE/2012号の優先権を主張する。

100 システム
102 ユーザ装置
104 ソーシャルネットワーク
106 セキュリティデバイス
108 ネットワーク

Claims

ネットワークのアクセス制御を提供する方法であって、
ネットワークにアクセスするためのユーザからの要求を受信するステップと、
前記ユーザに関連する複数のデータを受信するステップであり、前記複数のデータは、ソーシャルサークルに対する前記ユーザの関係に関連する複数のソーシャルデータを有するステップと、
前記複数のソーシャルデータに少なくとも基づいて電子セキュリティポリシーを識別するステップと、
前記電子セキュリティポリシーが前記複数のソーシャルデータに少なくとも基づいて認証を許可した場合、前記ネットワークに対して前記ユーザを認証するステップと
を有する方法。
前記複数のソーシャルデータが受信されたソーシャルネットワークを使用して前記ユーザが認証することを要求するステップを更に有する、請求項１に記載の方法。
前記ネットワークの管理者に関連する複数の社会的関係を反映するソーシャルグラフを生成するステップを更に有する、請求項１に記載の方法。
前記ネットワークの管理者に関連する複数の社会的関係を反映するソーシャルグラフを生成するステップを有し、
前記ネットワークに対する前記ユーザの認証は、前記ソーシャルグラフに従って前記ユーザが前記管理者との所定の関係の範囲内にあるか否かを判定することを有する、請求項１に記載の方法。
前記ネットワークの管理者に関連する複数の社会的関係を反映するソーシャルグラフを生成するステップを有し、
前記ネットワークに対する前記ユーザの認証は、前記ソーシャルグラフに従って前記ユーザが前記管理者との所定の関係の範囲内にあるか否かを判定することを有し、
前記所定の関係は、ユーザと管理者との間の個人的関係を有する、請求項１に記載の方法。
前記ネットワークの管理者に関連する複数の社会的関係を反映するソーシャルグラフを生成するステップを有し、
前記ネットワークに対する前記ユーザの認証は、前記ソーシャルグラフに従って前記ユーザが前記管理者との所定の関係の範囲内にあるか否かを判定することを有し、
前記所定の関係は、ユーザと管理者との間の地理的関係を有する、請求項１に記載の方法。
前記ネットワークの管理者に関連する複数の社会的関係を反映するソーシャルグラフを生成するステップを有し、
前記ネットワークに対する前記ユーザの認証は、前記ソーシャルグラフに従って前記ユーザが前記管理者との所定の関係の範囲内にあるか否かを判定することを有し、
前記所定の関係は、ユーザと管理者との間の企業関係を有する、請求項１に記載の方法。
コンピュータ可読媒体に保持されるコンピュータ実行可能命令を有する少なくとも１つの機械可読記憶媒体であって、
プロセッサにより読み取り可能な前記命令は、読み取られて実行された場合、前記プロセッサに対して請求項１ないし７のうちいずれか１項に記載の方法を実行させる少なくとも１つの機械可読記憶媒体。
電子デバイスを保護するシステムであって、
メモリと、
プロセッサと、
保護されたシステムリソースと、
前記メモリに存在して前記プロセッサにより実行可能な命令を含み、請求項１ないし７のうちいずれか１項に記載の方法を実行するように構成された１つ以上のセキュリティエージェントを有するシステム。
電子デバイスを保護するシステムであって、
請求項１ないし７のうちいずれか１項に記載の方法を実行する手段を有するシステム。