JP2017505942A - インテリジェントファイアウォールアクセスルール - Google Patents

Abstract

ファイアウォールは、ファイアウォールルールにおけるダイナミックオブジェクトの利用を可能にすることによって改良されたネットワークセキュリティを提供し、ここで、ダイナミックオブジェクトは可変的なデバイスセットを評価する。ダイナミックオブジェクトは、リアルタイムデータソース及び非リアルタイムインベントリのデータから更新されてもよい。ダイナミックオブジェクトは、ファイアウォールルールにおけるソース及びデスティネーションの何れか又は双方について利用されてもよい。ダイナミックオブジェクトが非リアルタイムデータを含む場合、ダイナミックオブジェクトは、設定可能ベースにより非リアルタイムデータインベントリと同期されてもよい。ダイナミックオブジェクトを利用することによって、ファイアウォールは、ユーザに所有及び制御されたデバイスに対する制御を可能にするためのルールにおけるフレキシビリティを提供可能である。

Description

ここに説明される実施例は、一般にネットワークセキュリティに関し、特に“ｂｒｉｎｇ−ｙｏｕｒ−ｏｗｎ−ｄｅｖｉｃｅ”環境におけるインテリジェントファイアウォールアクセスルールに関する。

従業員は、雇用タスクを実行する際に会社から提供されたデバイスにますます制限されない。ますます多くの従業員が、スマートフォン及びタブレットなどのパーソナルモバイルデバイスを職場に持ち込むと共に、それらをオフィスに接続するために遠隔地において利用するに従って、従来のファイアウォールは、これらのデバイスの企業リソースへのアクセスを制御するためのルールを定義できないことにより苦労してきた。

Ｂｒｉｎｇ Ｙｏｕｒ Ｏｗｎ Ｄｅｖｉｃｅ（ＢＹＯＤ）（Ｂｒｉｎｇ Ｙｏｕｒ Ｏｗｎ Ｔｅｃｈｎｏｌｏｇｙ（ＢＹＯＤ）Ｂｒｉｎｇ Ｙｏｕｒ Ｏｗｎ Ｐｈｏｎｅ（ＢＹＯＰ）及びＢｒｉｎｇ Ｙｏｕｒ Ｏｗｎ ＰＣ（ＢＹＯＰＣ）とも呼ばれる）は、従業員が個人的に所有するモバイルデバイス（ラップトップ、タブレット及びスマートフォン）を自分の職場に持ち込み、これらのデバイスを用いて特別に許可された会社情報及びアプリケーションにアクセスすることを許可するポリシーを言う。

あるソースによると、会社のポリシーがＢＹＯＤを明示的に許可しているか否かに関わらず、ブラジルやロシアなどの高成長市場では約７５％の従業員と先進国では４４％がすでに職場で自らの技術を利用することによって、ＢＹＯＤは、ビジネスの世界にかなり進出している。一部の者は、ＢＹＯＤが従業員をより生産的にすることに役立ちうると信じている。他の者は、それが自らのデバイスを利用することによって従業員のモラル及び利便性を増加させ、会社をフレキシブルで魅力的な経営者のように見せると言う。ある会社は、ＢＹＯＤは新たな雇用を引き付けるための手段でさえなりうると感じ、それが彼らのデバイスをサポートする場合、求職者の４４％が組織をより肯定的に見ることを示す調査結果を示す。

従来のファイアウォールアクセスルール又はポリシーは、“ネットワークＹへのＩＰアドレスＸを許可する”及び“ユーザＸがインターネットにアクセスすることを拒絶する”などの１次元のアクセスルールに依拠していた。このようなアクセスルールは、ＢＹＯＤ環境では不十分である。

図１は、従来技術によるファイアウォールルールを示すテーブルである。 図２は、一実施例によるダイナミックオブジェクトを利用するファイアウォールルールを示すテーブルである。 図３は、一実施例によるダイナミックオブジェクトを作成するための技術を示すブロック図である。 図４は、一実施例によるダイナミックオブジェクトとの一致を決定するための条件を示すブロック図である。 図５は、一実施例によるダイナミックオブジェクトとの一致を決定するための他の条件を示すブロック図である。 図６は、一実施例によるダイナミックオブジェクトのためのデータを収集するのに利用されるデバイスのネットワークを示すブロック図である。 図７は、一実施例によるダイナミックオブジェクトを定義するためのユーザインタフェースを示す画面例である。 図８は、一実施例によるダイナミックオブジェクトを利用するルールを評価するための技術を示すフローチャートである。 図９は、一実施例による非リアルタイムデータインベントリとダイナミックオブジェクトとを同期させるための技術を示すフローチャートである。 図１０は、一実施例によるファイアウォールの要素を示すブロック図である。 図１１は、一実施例によるダイナミックオブジェクトを利用するファイアウォールが実現可能なネットワークインフラストラクチャを示すブロック図である。 図１２は、一実施例によるダイナミックオブジェクトを利用するファイアウォールが実現可能なプログラマブルデバイスを示すブロック図である。 図１３は、他の実施例によるダイナミックオブジェクトを利用するファイアウォールが実現可能なプログラマブルデバイスを示すブロック図である。

以下の説明では、説明の目的のため、多数の具体的な詳細が発明の完全な理解を提供するため与えられる。しかしながら、本発明がこれらの具体的な詳細なしに実施可能であることは、当業者に明らかであろう。他の例では、本発明を不明瞭にすることを回避するため、構成及びデバイスはブロック図形式で示される。サブスクリプト又はサフィックスなどの数字の参照は、参照された数字に対応する全てのサブスクリプト及びサフィックスのインスタンスを参照することが理解される。さらに、本開示において用いられる言語は、可読性及び教育目的のため主として選択されており、発明の主題を説明又は画定するため選択されたものでなく、このような発明の主題を決定するには請求項に依拠する必要がある。明細書における“一実施例”又は“実施例”という表現は、実施例に関して説明される特定の特徴、構成又は特性が本発明の少なくとも１つの実施例に含まれることを意味し、“一実施例”又は“実施例”という複数の表現は、必ずしも全てが同一の実施例を参照すると理解されるべきでない。

ここで用いられるように、“コンピュータシステム”という用語は、コンピュータシステム上で又はよって実行されるとして説明される機能を実行する単一のコンピュータ又は一緒に作業する複数のコンピュータを言うことができる。同様に、“プログラマブルデバイス”という用語は、プログラマブルデバイス上で又はよって実行されるとして説明される機能を実行する単一のコンピュータ又は一緒に作業する複数のコンピュータを言うことができ、“機械可読媒体”という用語は、機械可読媒体に記憶されるとして説明される物質を記憶する単一の物理的機械可読媒体又は一緒に記憶する複数の物理的機械可読媒体を言うことができる。

ＢＹＯＤ環境は、重要なセキュリティ問題を提供してきた。これらの問題のいくつかは、ＢＹＯＤ環境に固有のものでない。例えば、会社又は従業員が所有するラップトップなどのデバイスが企業データにアクセスするのに利用され、企業データがデバイスに残って、以降に消失又は盗難されたとき、データ違反が発生しうる。ＢＹＯＤ環境では、会社を離れた従業員は、自分のパーソナルデバイスを会社に返す必要はなく、これらのデバイス上のデータの漏洩が生じうる。しかしながら、さらに、何れのデバイスが企業リソースをセキュアにするためにアクセスが許可されるべきかを制御することは、従来のファイアウォールポリシーによって処理することは大変困難であった。

以下に開示されるように、ＢＹＯＤアクセス制御は、ファイアウォールポリシーにおける多次元アクセスルールを介し対処される。例えば、情報技術（ＩＴ）管理者は、以下のファイアウォールアクセスルールを介し制御を課すことができる。
・特定のセキュリティソフトウェア（例えば、ＭｃＡｆｅｅ（登録商標）、Ｅｎｄｐｏｉｎｔ Ｓｅｃｕｒｉｔｙ）を実行するサポートされたモバイルデバイスがネットワークにアクセスすることを許可する（ＭＣＡＦＥＥは、ＭｃＡｆｅｅ，Ｉｎｃの登録商標である）。
・ヒューマンリソース（ＨＲ）ユーザは、Ａｎｄｒｏｉｄ（登録商標）デバイスを利用することが許可されていない（ＡＮＤＲＯＩＤは、Ｇｏｏｇｌｅ，Ｉｎｃ．の登録商標である）。
・スマートフォンは、ピア・ツー・ピア（Ｐ２Ｐ）アプリケーションを利用することが許可されていない。
・スマートフォン／タブレットは、有線ネットワークからのアクセスが許可されていない（例えば、誰かがホットスポットとして自分のラップトップを利用しようとすることを禁止する）。
・アクティブディレクトリ（登録商標）（ＡＤ）ドメインの一部であり、企業により承認されたエンドポイントプロテクションを実行しているマシーンのみが企業リソースにアクセスすることを許可する（ＡＣＴＩＶＥ ＤＩＲＥＣＴＯＲＹは、Ｍｉｃｒｏｓｏｆｔ Ｃｏｒｐｏｒａｔｉｏｎの登録商標である）。

後述されるような多次元アクセスルールを許可することによって、ＢＹＯＤアクセスは、企業ファイアウォールに配置された信頼されたルールから管理可能である。

従来のファイアウォールルールは主として１次元であり、典型的には図１のルールセット１００に示されるような要素に関する。当該従来技術の図に示されるような画くルールは、ルール属性（１１０）、ソースインジケータ（１２０）、デスティネーションインジケータ（１３０）、アプリケーション（１４０）、時間（１５０）、方向（１６０）及びレスポンス（１７０）を有する。それぞれの具体値が行１８０に示される。従って、ソースインジケータ１２０は、ＩＰバージョン４又はＩＰバージョン６フォーマットの何れかのインターネットプロトコル（ＩＰ）アドレス、ネットワーク、グループ、ユーザ及びグループ、ドメイン名、国などを特定してもよい。同様に、デスティネーションインジケータ１３０は、ＩＰアドレス、ネットワーク、ドメイン名、国、評判などを特定してもよい。アプリケーション１４０は、ピア・ツー・ピア（Ｐ２Ｐ）チャット又はファイルトランスファプロトコル（ＦＴＰ）などの特定のアプリケーション（例えば、Ｓｋｙｐｅ、Ｆａｃｅｂｏｏｋ）又はアプリケーションタイプを特定してもよい。時間１５０は、平日、週末、常時、又はカスタム期間など、当該ルールが適用可能な時間を示すものであってもよい。方向１６０は、ルールが入力又は出力パケット又は双方に適用されるか示すものであってもよい。レスポンス１７０は、トラフィックの許可、トラフィックのブロック、インタフェースのリセット、トラフィックのレート制限、トラフィックの隔離又はパケットのキャプチャなど、ルールを充足する効果を示すものであってもよい。

従って、例えば、ルール１０２〜１０８が確立可能である。ルール１０２は、２４ビットサブネットマスクによるＩＰｖ４アドレスを示すＩＰアドレスのソース１０．２０．３０．０／２４、データセンタにおける何れかの場所のデスティネーション、全てのアプリケーションに関すること、任意の日時による双方向のネットワークトラフィックを許可する。ルール１０４は、ユーザのソース“Ｊｏｈｎ Ｄ”、平日に行われるインターネットのデスティネーションによる出力チャットトラフィックに適用される。当該トラフィックは許可されるが、レート制限される。ルール１０６は、アプリケーション及びトラフィックの方向に関わらず、制限ゾーンにおけるソース及びインターネットのデスティネーションによる仕事時間中のトラフィックをブロックする。また、一例となるルール１０８は、インターネットのソース及びＤＭＺのデスティネーションによる入力ＦＴＰトラフィックを常時ブロックする。

従来のファイアウォールルールでは、ＩＰの属性、ユーザ、ドメイン名、位置、評判などが組み込まれる。図１に示されるような従来のルールにおけるコンテクストベースの限定が、エンドポイントセキュリティがインストールされた全てのＭｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓ（登録商標）２００８サーバ、又はＡｎｄｒｏｉｄ３．０又は下位のオペレーティングシステムを実行する全てのモバイルデバイスなどに適用されることができない（ＷＩＮＤＯＷＳは、Ｍｉｃｒｏｓｏｆｔ Ｃｏｒｐｏｒａｔｉｏｎの登録商標である）。

ＢＹＯＤ及びカスタム化は、労働者が自分のパーソナルデバイスを使用することを可能にし、作業効率を改善することに役立つため、人気のあるトレンドである。従って、ファイアウォール管理者は、デバイス及びユーザに関連する豊富なコンテクスト情報を記載したアクセスポリシーを作成、監視及び実施することが可能であることを望む。

図２は、従来のソース及びデスティネーション属性に加えて、ルールセット２００の行２１０に示されるように、コンテクストベースのダイナミックオブジェクトを含むようソース及びデスティネーション属性を拡張した一実施例によるルールセットを示すテーブルである。従って、例えば、ルール２０２は、エンドポイントセキュリティソフトウェアがインストールされていない何れかのモバイルデバイスに適用され、アプリケーション、時間又は方向に関わらずデータセンタとの通信をブロックする。ルール２０４は、Ｘオペレーティングシステムを実行する人事部において利用される平日のインターネットへの全ての外部アクセスをブロックする。ルール２０６は、Ｘオペレーティングシステムを実行するスマートフォンにより仕事時間中の何れかのＰ２Ｐアプリケーションによるインターネットへのアクセスをブロックする。ルール２０８は、アクティブディレクトリの一部であり、アプリケーションに関わらず常時ＤＭＺにアクセスするためのアンチウイルスプログラムを実行しているＭｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓを実行している何れかのデバイスを許可する。アクティブディレクトリは、ＷｉｎｄｏｗｓドメインネットワークのためＭｉｃｒｏｓｏｆｔにより実現されるディレクトリサービスである。それは大部分のＷｉｎｄｏｗｓ Ｓｅｒｖｅｒオペレーティングシステムに含まれる。他のディレクトリサービス又は他のタイプの非リアルタイムデータのソースがルールに指定されてもよい。これらのルールは例示的であり、単なる具体例であり、他のダイナミックオブジェクトが所望されるようなルールセットに実現及び指定可能であり、他のルール属性が所望されるように利用されてもよい。

いくつかの実施例では、ルールセットにおいて利用されるダイナミックオブジェクトは、ＭｃＡｆｅｅ Ｎｅｔｗｏｒｋ Ｓｅｃｕｒｉｔｙ Ｓｅｎｓｏｒなど、ネットワークセグメント上のトラフィックを解析する機器によってリアルタイムに作成されてもよい。他の実施例では、ダイナミックオブジェクトは、非リアルタイムデータソースによって維持されるデータと同期されてもよい。ルールセットにおけるダイナミックオブジェクトは、オブジェクトがどのように作成及び維持されるか定義し、ＢＹＯＤ制御のためのフレキシビリティを提供する際、ファイアウォール管理者にフレキシビリティを提供する。ダイナミックオブジェクトは、従来のルールセットと同様に所定のデバイスの静的なセットの代わりに、ダイナミックオブジェクトに対応する可変的なデバイスセットを定義する。

それらがダイナミックオブジェクトであるため、ルールセットに投入されるべき条件を単に定義することは十分でない。ダイナミックオブジェクトは作成され、意味が与えられる必要がある。各種実施例では、ファイアウォール管理者は、ダイナミックオブジェクトを構築するため、各種データソース及び条件を設定してもよい。図３は、ダイナミックオブジェクトを作成する方法を示すブロック図である。

図３において、ブロック３１０におけるダイナミックオブジェクトの作成は、リアルタイムラーニング（３２０）及び非リアルタイムデータインベントリ（３３０）の２つのタイプのソースの一方又は双方からのダイナミックオブジェクトのデータの取得に依存する。リアルタイムラーニング（３２０）は、ダイナミックオブジェクトをリアルタイムに投入するためにデータをアクティブ又はパッシブに収集することに関する。このようなリアルタイムラーニングは、典型的には、ネットワークセグメント上のトラフィックを解析する機器など、データを取得するハードウェア及びソフトウェアモニタの１つ以上を介し取得される。当該モニタリングは、以下でより詳細に説明されるように、ネットワークフローフィンガープリントを収集するパッシブ（３４０）であるか、又は有用なデータをアクティブに収集するエンドポイントインテリジェントエージェントによるデータの取得などのアクティブ（３５０）なものであってもよい。ダイナミックオブジェクトは、作成されると、リアルタイムラーニングが行われるとき、リアルタイムに自動的に更新される。

非リアルタイムデータインベントリ（３３０）のデータは、ファイアウォールルール作成処理の制御の外部にあってもよいソースから取得されたデータである。典型的な実施例では、当該データはファイアウォールルールの作成以外の理由のため取得され、ダイナミックオブジェクト作成処理によりアクセス可能なデータレポジトリに記憶される。非リアルタイムデータソースは、ファイアウォールを実行する企業により制御されてもよいし、又は所望されるように第三者により制御されてもよい。当該データはダイナミックオブジェクト作成処理の外部で収集及び記憶されるため、ダイナミックオブジェクトを作成及び投入するのに利用されるデータは、周期的などスケジュールベースで抽出されてもよい。ダイナミックオブジェクトが作成されると、非リアルタイムデータインベントリは、非リアルタイムデータインベントリに再アクセスし、非リアルタイムデータインベントリにおける変更に基づき必要に応じてダイナミックオブジェクトを更新することによって、ダイナミックオブジェクトと同期される。非リアルタイムデータインベントリは、テキストファイル３６０、データベース３７０、アプリケーションプログラミングインタフェース（ＡＰＩ）３８０又はスクリプト３９０を含む、何れか所望のタイプのデータソースに依存してもよい。ダイナミックオブジェクトと非リアルタイムデータインベントリとを同期させると、非リアルタイムデータインベントリは所望のデータについてアクセス又はクエリされ、その後、ダイナミックオブジェクト３１０を投入するため返されてもよい。

例えば、図２の一例となるルール２０２におけるダイナミックオブジェクトである“ｍｏｂｉｌｅ＿ｄｅｖｉｃｅｓ＿ｗｉｔｈ＿ｓｅｃｕｒｉｔｙ”などのダイナミックオブジェクトを考える。各種実施例は、ファイアウォール管理者により設定されたダイナミックオブジェクトが、図４のブロック図に示されるように投入することを可能にするものであってもよい。

本例では、ダイナミックオブジェクト４１０“ｍｏｂｉｌｅ＿ｄｅｖｉｃｅｓ＿ｗｉｔｈ＿ｓｅｃｕｒｉｔｙ”は、条件４２０〜４４０の組み合わせとして設定されてもよい。条件４２０において、リアルタイムラーニングが、モバイルデバイスのシグネチャに対応するパターンにデバイスが一致することを発見するのに利用されてもよい。これらのパターンは、ダイナミックオブジェクト作成ソフトウェアに組み込まれてもよいし、又はユーザにより定義されてもよい。本例では、条件はＴｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ（ＴＣＰ）、Ｄｙｎａｍｉｃ Ｈｏｓｔ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｐｒｏｔｏｃｏｌ（ＤＨＣＰ）又はＨｙｐｅｒｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ（ＨＴＴＰ）ユーザエージェントネットワークトラフィックのパッシブフィンガープリント処理を利用し、モバイルデバイスに対応するパケットデータを検索することによってテストされてもよい。当該パッシブフィンガープリント処理データソースのリストは例示的であって、単なる一例であり、他のパッシブデータソース及びタイプのネットワークトラフィックが、アクティブに取得されたデータに加えて利用されてもよい。

第２の条件４３０は、デバイスがセキュリティベンダマネージャサーバとセキュア通信していることを検証するシグネチャに対応するパターンとネットワークトラフィックが一致しているか判定する。第３の条件４４０は、デバイスのＩＰアドレスがセキュアに管理されているモバイルデバイスのＩＰアドレス範囲内にあるか判定する。条件４２０と条件４３０又は４４０の何れかとが充足される場合、モバイルデバイスはセキュリティを備えたモバイルデバイスであるとみなされ、ダイナミックオブジェクトは当該デバイスに対応する情報により投入される。

図４に示されるように、条件４４０は他のダイナミックオブジェクト、本例では、非リアルタイムデータインベントリオブジェクトである“ａｌｌ＿ｍａｎａｇｅｄ＿ｍｏｂｉｌｅ＿ｄｅｖｉｃｅｓ”ネットワークオブジェクト４５０に依存してもよい。従って、条件４４０はまた非リアルタイムデータインベントリオブジェクトである。いくつかの実施例では、ダイナミックオブジェクトは任意のダイナミックオブジェクトの階層に基づき定義されてもよいが、階層内の何れかのオブジェクトが非リアルタイムデータインベントリオブジェクトである場合、ダイナミックオブジェクトはまた非リアルタイムデータインベントリオブジェクトとみなされる。

図４に示されるように、“ａｌｌ＿ｍａｎａｇｅｄ＿ｍｏｂｉｌｅ＿ｄｅｖｉｃｅｓ”ネットワークオブジェクト４５０は、モバイルデバイスに対応するため知られているＩＰアドレス範囲に関する情報を提供する。ブロック４６０において、ネットワークオブジェクト４５０は、ＩＰアドレスＡ．Ｂ．Ｃ．ＤのポートＸＹＺにおけるデータベースと名付けられたｍｏｂｉｌｅ＿ＩＰ＿ａｄｄｒｅｓｓからのネットワークオブジェクトを投入するための命令を有する。ネットワークオブジェクト４５０は、１２０分毎にリモートデータベースと同期するよう定義される。同期の間のｍｏｂｉｌｅ＿ＩＰ＿ａｄｄｒｅｓｓデータベースにおいて行われる変更は、次の同期イベントまでダイナミックオブジェクトに反映されない。

図５は、ダイナミックオブジェクトコンフィギュレーションの他の例を示す図であり、本ケースでは、ダイナミックオブジェクト５１０はアクティブディレクトリの一部である全てのＭｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓデバイスを参照し、図２のルール２０８において利用されるようなアンチウイルスプログラムを実行する。２つの条件がダイナミックオブジェクト５１０を定義するため利用される。条件５２０は、アクティブディレクトリユーザの非リアルタイムＩＰアドレスリストを利用し、デバイスがアクティブディレクトリの一部であるＷｉｎｄｏｗｓマシーンであるか判断するため、現在のデバイスのＩＰアドレスとＩＰアドレスリストとをマッチングする。条件５３０は、デバイスがアンチウイルスソフトウェアを実行しているか示すエンドポイントインテリジェンスエージェントソフトウェアを実行するエンドポイントからリアルタイム情報を受信することに依存するリアルタイムラーニング条件である。条件５２０と５３０との双方が充足されている場合、現在デバイスはルールセットにおけるダイナミックオブジェクト５１０に一致する。

図６は、一実施例によるダイナミックオブジェクトを利用するネットワークセキュリティシステムを示すブロック図である。ネットワークセキュリティマネージャ６１０は、図２に示されるようなルールセットに基づきファイアウォールサービスを提供する。上述されたようなリアルタイムラーニング条件を利用するダイナミックオブジェクトは、ネットワークセキュリティマネージャ６１０のファイアウォール機能によって利用される。ネットワークセキュリティマネージャ６１０は、所望されるような他のネットワークセキュリティサービスを提供してもよい。

ネットワークセキュリティセンサ６２０Ａ，Ｂはそれぞれ、ネットワーク６２２Ａ及び６２２Ｂ上のネットワークトラフィックをモニタリングする。ＢＹＯＤデバイス６３０（Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓデバイス）、６４０（Ｌｉｎｕｘ（登録商標）デバイス）、６５０（サーバ）及び６６０（モバイルデバイス）はネットワーク６２２Ａに接続される（ＬＩＮＵＸは、Ｌｉｎｕｓ Ｔｏｒｖａｌｄｓの登録商標である）。ネットワークセキュリティセンサ６２０Ａは、ネットワークセキュリティマネージャ６１０により利用されるルールセットにより利用されるダイナミックオブジェクトのリアルタイムデータを提供するため、ネットワークトラフィックフローデータをキャプチャしてもよい。さらに、Ｗｉｎｄｏｗｓデバイス６３０は、デバイス６３０からのアクティブ又はパッシブデータ収集を提供するエージェントソフトウェアをインストールしたものであってもよく、ネットワークセキュリティマネージャ６１０により利用されるダイナミックオブジェクトを投入するのに利用するため、当該データをリアルタイムにネットワークセキュリティセンサ６２０Ａにわたす。

非リアルタイムデータソースがまた、図６に示されるネットワークセキュリティマネージャ６１０に利用可能である。これらはアクティブディレクトリ６９０のためのログオンコレクタ、エンドポイント６８０のためのモバイルセキュリティマネージャ及び他のネットワークインベントリデータソース６７０を有してもよい。ネットワークセキュリティマネージャ６１０は、ネットワークセキュリティマネージャ６１０のルールセットにより利用されるダイナミックオブジェクトを投入するため、これらの非リアルタイムデータソースから非リアルタイムデータをクエリ又は取得してもよい。何れか所望の通信技術が、ネットワークセキュリティマネージャ６１０と非リアルタイムデータソース６７０〜６９０との間で利用されてもよい。ネットワークセキュリティマネージャ６１０は、設定可能な周期ベースなどのスケジューリングベースでそれのダイナミックオブジェクトを非リアルタイムデータソース６７０〜６９０と同期してもよいし、又は所望されるような非スケジューリングイベントドリブンベースで同期を実行してもよい。

図７は、ダイナミックオブジェクトを用いてファイアウォールルールセットを実現するネットワークセキュリティマネージャ６１０の一例となるユーザインタフェース７００を示す。ファイアウォール管理者ユーザは、ソース又はデスティネーション属性の何れか（又は双方）としてダイナミックオブジェクトを利用可能なルールセットにおけるルールを有効又は無効にしてもよい。本例では、ユーザは、ソース属性がダイナミックオブジェクト７１０であるルールを定義し、それはＭｃＡｆｅｅ Ａｎｔｉｖｉｒｕｓを実行していないスマートフォン及びタブレットに適用されることを指示する。デスティネーション７２０はデータセンタにおける何れかのデバイスを示し、アプリケーション７３０は何れかのアプリケーションを示し、レスポンス７４０は、ルールが充足される場合、ネットワークトラフィックがブロックされることを示す。

ネットワークセキュリティマネージャ６１０がデバイス、ユーザ及びコンテクストに関するインテリジェンスを有することによって、従来のファイアウォールルールセットにおいて作成できないダイナミックオブジェクトを利用する多数のタイプのルールが作成可能である。例えば、特定のセキュリティソフトウェアを実行するＩＯＳデバイスのみがネットワークにアクセスすることが許可されてもよい。スマートフォン又はタブレットは、有線ネットワーク上では禁止され、自分のモバイルデバイスをホットスポットとして利用しようとする者をストップする。企業セキュリティポリシーは、企業リソース又はネットワークへの適切なセキュリティ保護アクセスを備えたマシーンのみを許可することによって、ＢＹＯＤデバイス上で実施されてもよい。これらは、ファイアウォールのルールセットにおいて利用可能なダイナミックコンテクストアウェアオブジェクトにより提供されるエンハンスされた能力の単なる具体例である。

図７に示されるユーザインタフェースはまた、ファイアウォール管理者が、同期を設定することを可能にすることに加えて、非リアルタイムデータインベントリと同期されるダイナミックオブジェクトの同期状態を閲覧することを可能にするものであってもよい。同期は、好ましくは、ダイナミックオブジェクト単位で設定可能であり、ログファイル又は他の技術は、非リアルタイムデータインベントリデータソースと交換されるデータを示すと共に、何れかの同期失敗を含む同期状態に関する情報を提供するため利用されてもよい。

図８は、ルール評価におけるダイナミックオブジェクトの利用を示すフローチャートである。ルールが複数のダイナミックオブジェクトを利用する場合、当該技術は所望されるようにパラレル又はシーケンスに各ダイナミックオブジェクトについて実行されてもよい。ブロック８１０において、ルールにより利用されるダイナミックオブジェクトが評価される。ブロック８２０において、ダイナミックオブジェクトがリアルタイムデータソースからそれのデータを取得したものである場合、ブロック８３０において、リアルタイムデータがデータソースから抽出され、ブロック８４０において、ダイナミックオブジェクトには、ダイナミックオブジェクトに対応するデバイスを特定するリアルタイムデータが投入される。何れか所望の技術が、リスト及びルックアップテーブルを含むダイナミックオブジェクトを投入したデータを記憶するのに利用されてもよい。例えば、評価時、ダイナミックオブジェクトは、当該ダイナミックオブジェクトに一致するネットワークに現在あるデバイスのＩＰアドレスのリストをもたらす。他の実施例では、ダイナミックオブジェクトが評価される際にリアルタイムデータソースからデータを抽出する代わりに、リアルタイムデータソースは、ネットワークセンサ６２０Ａ，Ｂがダイナミックオブジェクトに関連する変更を検出するといつでも、ダイナミックオブジェクトを更新するためのデータをネットワークセキュリティマネージャ６１０に送信してもよい。従って、いくつかの実施例では、ネットワークセンサ６２０Ａ，Ｂは、ネットワークセキュリティマネージャ６１０により管理されるダイナミックオブジェクトを意識してもよく、他の実施例では、ネットワークセンサは、ネットワークセキュリティマネージャ６１０からのデータに対するリアルタイムリクエストに応答可能であるだけでよい。

ダイナミックオブジェクトがリアルタイムオブジェクトでない場合、又はリアルタイム更新の完了後、ブロック８５０において、ルールが投入されたダイナミックオブジェクトを用いて評価される。ルールがブロック８６０において決定されたようなファイアウォールにより考慮されるネットワークトラフィックに適用される場合、ブロック８７０において、トラフィックをブロックしたり、トラフィックを許可するなどのルールアクションが実行される。

図９は、ダイナミックオブジェクトと非リアルタイムデータインベントリデータソースとの同期を示すフローチャートである。ブロック９１０において、周期的時間の経過や設定されたイベントの発生など、設定された同期時間が発生した場合、ブロック９２０において、更新データがダイナミックオブジェクトコンフィギュレーションにおいて特定される非リアルタイムデータインベントリから要求されてもよい。更新データに対するリクエストとして説明されるが、他の実施例では、リクエストが非リアルタイムデータインベントリに対してなされる代わりに、非リアルタイムデータインベントリがデータ伝送を開始してもよい。

ブロック９３０において、更新データが非リアルタイムデータインベントリから取得されると、リアルタイムダイナミックオブジェクトが上述されるように更新される方法と同様に、更新データがダイナミックオブジェクトを投入するため利用される。一実施例では、ダイナミックオブジェクトに投入されるデータは、ダイナミックオブジェクトがリアルタイムに又は非リアルタイムデータインベントリと同期することによって更新されるか否かに関わらず、同様に記憶される。

投入されたデータオブジェクトは、その後、次の同時時間又はイベントまで同じままであるデータと共にルール評価のために利用されてもよい。

図１０は、一実施例による上述されたダイナミックオブジェクトルール技術を実現するファイアウォール１０００の要素を示すブロック図である。ファイアウォールは、専用機器デバイスとして実現されてもよいし、又は他のネットワークセキュリティ処理を実行するより広範なネットワークセキュリティマネージャデバイスの要素として実現されてもよい。上記の開示に具体的に関連するファイアウォールの要素のみが図１０に示され、当業者は他のファイアウォール要素があってもよいことを理解するであろう。

ネットワークインタフェース１０１０は、それが保護するネットワークにファイアウォールのためのネットワーク接続性を提供する。複数のネットワークインタフェース１０１０が所望されるように備えられてもよい。いくつかの実施例では、ファイアウォールはネットワークトラフィックをモニタリングするための１つのネットワークインタフェース１０１０を利用してもよく、異なるネットワークインタフェースが、ダイナミックオブジェクトを投入するのに利用される非リアルタイムデータを収集するため、非リアルタイムデータインベントリデバイスにアクセスするため利用されてもよい。他の実施例では、同じネットワークインタフェースが双方について利用されてもよい。同様に、ファイアウォールは、ネットワークトラフィックをモニタリングするための１つのネットワークインタフェース１０１０と、ダイナミックオブジェクトを投入するのに利用されるリアルタイムデータを収集するための異なるネットワークインタフェースとを利用してもよい。

ルールエンジン１０２０は、何れのトラフィックがファイアウォール１０００によってブロック、許可などされるか制御するファイアウォールルールを評価するためのサポートを提供する。一実施例におけるルールエンジン１０２０は、ファイアウォールルールを評価するルール評価モジュール１０２１、ルール評価モジュール１０２１により利用するためダイナミックオブジェクトを評価するよう構成されるダイナミックオブジェクトを評価するダイナミックオブジェクト評価手段１０２２、ダイナミックオブジェクトを投入するのに利用されるリアルタイムデータを取得するリアルタイムデータを取得するリアルタイムデータ収集手段１０２３、非リアルタイムデータインベントリソースと同期する非リアルタイムデータ収集手段１０２４、及びリアルタイムデータ、ダイナミックオブジェクトを作成し、非リアルタイムデータ又は双方と共に投入するダイナミックオブジェクト作成モジュール１０２５を有する。

ルールデータストア１０３０は、ルールデータを記憶するのに利用されてもよい。ダイナミックオブジェクトデータを含むルールデータを記憶するための何れか所望の方法が利用されてもよい。ルールデータストア１０３０は、何れか所望の方式で編成されてもよい。ダイナミックオブジェクト作成モジュールは、ファイアウォールルールと利用するため、ルールデータストア１０３０にダイナミックオブジェクトを記憶してもよい。

ユーザインタフェース１０４０は、ダイナミックオブジェクトを含むファイアウォールルールを作成及び編集するため備えられてもよい。このため、ダイナミックオブジェクト定義手段１０４２が、ルール評価時においてダイナミックオブジェクトに一致するよう充足される必要がある条件を含む、ダイナミックオブジェクトを定義するため備えられてもよい。

ルールエンジン１０２０及びユーザインタフェース１０４０は、ハードウェア、ファームウェア、ソフトウェア又はこれらの何れかの組み合わせにより実現されてもよい。

図１１を参照して、上述された技術が実現可能な一例となるインフラストラクチャ１１００が概略的に示される。インフラストラクチャ１１００は、上述されたようなダイナミックオブジェクトによるルールセットをファイアウォールが利用することによって保護可能なコンピュータネットワーク１１０２を含む。コンピュータネットワーク１１０２は、インターネット、企業ネットワーク又はローカル・エリア・ネットワーク（ＬＡＮ）など、今日利用可能な多数の異なるタイプのコンピュータネットワークを含むものであってもよい。これらのネットワークのそれぞれは、有線又は無線プログラマブルデバイスを含み、何れかの数のネットワークプロトコル（例えば、ＴＣＰ／ＩＰ）を利用して実行可能である。ネットワーク１１０２は、ゲートウェイ及びルータ（１１０８により表される）、エンドユーザコンピュータ１１０６及びコンピュータサーバ１１０４に接続されてもよい。インフラストラクチャ１１００はまた、モバイル通信デバイスによる利用のためセルラネットワーク１１０３を有する。モバイルセルラネットワークは、携帯電話及び多数の他のタイプのデバイスをサポートする。インフラストラクチャ１１００におけるモバイルデバイスは、携帯電話１１１０、ラップトップ１１２及びタブレット１１１４として示される。典型的には、ＢＹＯＤデバイスは携帯電話１１１０、ラップトップ１１２及びタブレット１１１４などのモバイルデバイスであるが、図１１に示されるデバイスの何れかはＢＹＯＤデバイスであってもよい。ファイアウォール１１２０は、コンピュータネットワークとのアクセスを保護する。

図１２を参照して、ブロック図は、一実施例による上述された汎用的なアンパッキング技術を利用するプログラマブルデバイス１２００を示す。図１２に示されるプログラマブルデバイスは、第１の処理要素１２７０及び第２の処理要素１２８０を有するマルチプロセッサプログラマブルデバイス１２００である。２つの処理要素１２７０及び１２８０が示されているが、プログラマブルデバイス１２００の実施例はまた、当該処理要素を１つしか有さなくてもよい。

プログラマブルデバイス１２００は、第１の処理要素１２７０及び第２の処理要素１２８０がポイント・ツー・ポイントインターコネクト１２５０を介し結合されるポイント・ツー・ポイントインターコネクトシステムとして示される。図１２に示されるインターコネクトの何れか又は全ては、ポイント・ツー・ポイントインターコネクトでなくマルチドロップバスとして実現されてもよい。

図１２に示されるように、各処理要素１２７０，１２８０は、第１及び第２のプロセッサコア（すなわち、プロセッサコア１２７４ａ，１２７４ｂ及びプロセッサコア１２８４ａ，１２８４ｂ）を含むマルチコアプロセッサであってもよい。このようなコア１２７４ａ，１２７４ｂ，１２８４ａ，１２８４ｂは、図１〜３に関して上述されたものと同様の方式で命令コードを実行するよう構成されてもよい。しかしながら、他の実施例は、所望されるようなシングルコアプロセッサである処理要素を利用してもよい。複数の処理要素１２７０，１２８０を備えた実施例では、各処理要素は、所望されるような異なる数のコアにより実現されてもよい。

各処理要素１２７０，１２８０は、少なくとも１つの共有キャッシュ１２４６を有してもよい。共有キャッシュ１２４６ａ，１２４６ｂはそれぞれ、コア１２７４ａ，１２７４ｂ及び１２８４ａ，１２８４ｂなどの処理要素の１つ以上のコンポーネントによって利用されるデータ（命令など）を記憶してもよい。例えば、共有キャッシュは、処理要素１２７０，１２８０のコンポーネントによるより高速なアクセスのため、メモリ１２３２，１２３４に記憶されるデータをローカルにキャッシュしてもよい。１つ以上の実施例では、共有キャッシュ１２４６ａ，１２４６ｂは、レベル２（Ｌ２）、レベル３（Ｌ３）、レベル４（Ｌ４）又は他のレベルのキャッシュなどの１つ以上のミッドレベルキャッシュ、ラストレベルキャッシュ（ＬＬＣ）又はこれらの組み合わせを含むものであってもよい。

図１２は、図面の簡単化のため２つの処理要素１２７０，１２８０によるプログラマブルデバイスを示しているが、本発明の範囲はこれに限定されず、何れかの数の処理要素があってもよい。あるいは、処理要素１２７０，１２８０の１つ以上は、グラフィクス処理ユニット（ＧＰＵ）、デジタル信号処理（ＤＳＰ）ユニット、フィールドプログラマブルゲートアレイ又は他の何れかのプログラマブル処理要素など、プロセッサ以外の要素であってもよい。処理要素１２８０は、処理要素１２７０に対してヘテロジーニアス又はアシンメトリックであってもよい。アーキテクチャ、マイクロアーキテクチャ、熱、電力消費特性などを含むメリットの指標のスペクトルに関して処理要素１２７０，１２８０の間には各種相違が存在しうる。これらの相違は、処理要素１２７０，１２８０の間の非対称性及び異質性として効果的に明らかにするものであってもよい。いくつかの実施例では、各種処理要素１２７０，１２８０は同一のダイパッケージに配置されてもよい。

第１の処理要素１２７０は更に、メモリコントローラロジック（ＭＣ）１２７２及びポイント・ツー・ポイント（Ｐ−Ｐ）インターコネクト１２７６及び１２７８を有してもよい。同様に、第２の処理要素１２８０は、ＭＣ１２８２及びＰ−Ｐインターコネクト１２８６，１２８８を有してもよい。図１２に示されるように、ＭＣ１２７２，１２８２は、各自のプロセッサにローカルに付属されたメインメモリの一部であってもよい各自のメモリ、すなわち、メモリ１２３２，１２３４と処理要素１２７０，１２８０とを結合する。ＭＣロジック１２７２，１２８２は処理要素１２７０，１２８０に一体化されるように示されているが、いくつかの実施例では、ＭＣロジックは、一体化されるのでなく、処理要素１２７０，１２８０の外部の別のロジックであってもよい。

処理要素１２７０，１２８０はそれぞれ、Ｐ−Ｐインターコネクト１２７６，１２８６，１２８４を介しＩ／Ｏサブシステム１２９０に結合されてもよい。図１２に示されるように、Ｉ／Ｏサブシステム１２９０は、Ｐ−Ｐインターコネクト１２９４，１２９８を有する。さらに、Ｉ／Ｏサブシステム１２９０は、Ｉ／Ｏサブシステム１２９０をハイパフォーマンスグラフィクスエンジン１２３８に結合するためのインタフェース１２９２を有する。一実施例では、バス１２４９は、グラフィクスエンジン１２３８とＩ／Ｏサブシステム１２９０とを結合するのに利用されてもよい。あるいは、ポイント・ツー・ポイントインターコネクト１２３９は、これらのコンポーネントを結合してもよい。

さらに、Ｉ／Ｏサブシステム１２９０は、インタフェース１２９６を介し第１のリンク１２１６に結合されてもよい。一実施例では、本発明の範囲はこれに限定されるものでないが、第１のリンク１２１６は、ＰＣＩ（Ｐｅｒｉｐｈｅｒａｌ Ｃｏｍｐｏｎｅｎｔ Ｉｎｔｅｒｃｏｎｎｅｃｔ）バス、又はＰＣＩ Ｅｘｐｒｅｓｓバスや他のＩ／Ｏインターコネクトバスなどのバスであってもよい。

図１２に示されるように、各種Ｉ／Ｏデバイス１２１４は、第１のリンク１２１６と共に、第１のリンク１２１６を第２のリンク１２１０に結合させるブリッジ１２１８に結合されてもよい。一実施例では、第２のリンク１２２０はＬＰＣ（Ｌｏｗ Ｐｉｎ Ｃｏｕｎｔ）バスであってもよい。各種デバイスは、例えば、一実施例では、キーボード／マウス１２１２、通信デバイス１２２６（さらにコンピュータネットワーク１２０３と通信してもよい）、及びコード１２３０を含むディスクドライブ又は他のマスストレージデバイスなどのデータストレージユニット１２２８などを含む第２のリンク１２２０に結合されてもよい。コード１２３０は、上述された技術の１つ以上の実施例を実行するための命令を有してもよい。さらに、オーディオＩ／Ｏ１２２４が第２のバス１２２０に結合されてもよい。

他の実施例が想到されることに留意されたい。例えば、図１２のポイント・ツー・ポイントアーキテクチャの代わりに、システムはマルチドロップバス又は他の通信技術を実装してもよい。リンク１２１６，１２２０は図１２においてバスとして示されているが、何れか所望のタイプのリンクが利用可能である。また、図１２の要素は、あるいは、図１２に示されるものより多数又は少数の集積チップを用いてパーティションされてもよい。

図１３を参照して、ブロック図は他の実施例によるプログラマブルデバイス１３００を示す。図１２の特定の態様は、図１３の他の態様を不明瞭にすることを回避するため、図１３から省かれてもよい。

図１３は、処理要素１３７０，１３８０がそれぞれ一体化されたメモリ及びＩ／Ｏコントロールロジック（ＣＬ）１３７２，１３８２を有してもよいことを示す。いくつかの実施例では、ＣＬ１３７２，１３８２は、図１２に関して上述されたものなどのメモリコントロールロジック（ＭＣ）を有してもよい。さらに、ＣＬ１３７２，１３８２はまたＩ／Ｏコントロールロジックを有してもよい。図１３は、メモリ１３３２，１３３４がＣＬ１３７２，１３８２に結合されるだけでなく、Ｉ／Ｏデバイス１３１４がまたコントロールロジック１３７２，１３８２に結合されてもよいことを示す。レガシーＩ／Ｏデバイス１３１５がＩ／Ｏサブシステム１３９０に結合されてもよい。

図１２及び１２に示されるプログラマブルデバイスは、ここに説明された各種実施例を実現するのに利用可能なプログラマブルデバイスの実施例の概略図である。図１２及び１３に示されるプログラマブルデバイスの各種コンポーネントは、システム・オン・チップ（ＳｏＣ）アーキテクチャにおいて組み合わせ可能であることが理解されるであろう。

具体例
以下の具体例は更なる実施例に関する。

具体例１は、実行されると、ファイアウォールルールにおいて利用するため、可変的なデバイスグループを定義するダイナミックオブジェクトを作成するステップと、ファイアウォールの外部のソースから受信したデータをダイナミックオブジェクトに投入するステップと、ファイアウォールルールを評価する一部としてダイナミックオブジェクトを評価するステップとをファイアウォールデバイスに実行させる命令が記憶されるマシーン可読媒体である。

具体例２は具体例１の主題を有し、実行されると、ダイナミックオブジェクトに投入するステップをファイアウォール装置に実行させる命令は、リアルタイムデータソースからデバイスデータを受信するステップと、受信したデバイスデータをダイナミックオブジェクトに投入するステップとを含む。

具体例３は具体例２の主題を有し、実行されると、リアルタイムデータソースからデバイスデータを受信するステップをファイアウォール装置に実行させる命令は、ネットワークをモニタリングするネットワークセキュリティデバイスからのデバイスデータをリクエストするステップを含む。

具体例４は具体例１の主題を有し、実行されると、ダイナミックオブジェクトに投入するステップをファイアウォール装置に実行させる命令は、非リアルタイムデータインベントリからデバイスデータを受信するステップと、受信したデバイスデータをダイナミックオブジェクトに投入するステップとを含む。

具体例５は具体例１の主題を有し、実行されると、非リアルタイムデータインベントリからデバイスデータを受信するステップをファイアウォール装置に実行させる命令は、ダイナミックオブジェクトと非リアルタイムデータインベントリとを同期させるステップを含む。

具体例６は具体例１の主題を有し、実行されると、非リアルタイムデータインベントリからデバイスデータを受信するステップをファイアウォール装置に実行させる命令は、デバイス情報について非リアルタイムデータインベントリをクエリするステップを含む。

具体例７は具体例１〜６の主題を有し、実行されると、命令はダイナミックオブジェクトとダイナミックオブジェクトを利用するルールとを定義するためのユーザインタフェースを提供するステップを更にファイアウォールデバイスに実行させる。

具体例８は具体例１の主題を有し、ダイナミックオブジェクトは、可変的なデバイスセットを評価する。

具体例９は具体例１の主題を有し、実行されると、ダイナミックオブジェクトに投入するステップをファイアウォール装置に実行させる命令は、リアルタイムデータソースからデバイスデータを受信するステップと、受信したデバイスデータをダイナミックオブジェクトに投入するステップとを含み、ここで、実行されると、リアルタイムデータソースからデバイスデータを受信するステップをファイアウォール装置に実行させる命令は、任意的には、実行されると、ネットワークをモニタリングするネットワークセキュリティデバイスからのデバイスデータをリクエストするステップをファイアウォール装置に実行させる。

具体例１０は具体例１の主題を有し、実行されると、ダイナミックオブジェクトに投入するステップをファイアウォール装置に実行させる命令は、非リアルタイムデータインベントリからデバイスデータを受信するステップと、受信したデバイスデータをダイナミックオブジェクトに投入するステップとを含み、ここで、実行されると、非リアルタイムデータインベントリからデバイスデータを受信するステップをファイアウォール装置に実行させる命令は、任意的には、実行されると、ダイナミックオブジェクトと非リアルタイムデータインベントリとを同期させるステップをファイアウォール装置に実行させる。

具体例１１は、ネットワークのファイアウォールを提供する方法であって、対応する可変的なデバイスセットを定義するダイナミックオブジェクトを利用するファイアウォールルールを定義するステップと、リアルタイムデータソースと非リアルタイムデータインベントリとの少なくとも１つを可変的なダイナミックオブジェクトセットに投入するステップと、ファイアウォールルールを評価する一部としてネットワークトラフィックに対応するデバイスとダイナミックオブジェクトとをマッチングするステップとを有する方法である。

具体例１２は具体例１１の主題を有し、ファイアウォールルールの評価に応答してアクションを実行するステップを更に有する。

具体例１３は具体例１１〜１２の主題を有し、ダイナミックオブジェクトとデバイス情報の非リアルタイムデータインベントリとを同期させるステップを更に有する。

具体例１４は具体例１３の主題を有し、ダイナミックオブジェクトとデバイス情報の非リアルタイムデータインベントリとを同期させるステップは、非リアルタイムデータインベントリをクエリするステップと、非リアルタイムデータインベントリをクエリすることによって取得された結果によってダイナミックオブジェクトを更新するステップとを含む。

具体例１５は具体例１１〜１２の主題を有し、リアルタイムデバイス情報を取得するステップと、リアルタイムデバイス情報をダイナミックオブジェクトに投入するステップと、を更に有する。

具体例１６は具体例１５の主題を有し、リアルタイムデバイス情報を取得するステップは、ネットワークフローをパッシブにモニタリングするデバイスからデバイス情報を取得するステップを含む。

具体例１７は具体例１１乃至１６記載の方法を実行するための手段を有するファイアウォール装置である。

具体例１８は、ネットワークインタフェースと、ネットワークインタフェースに結合されるルールエンジンと、ルールエンジンに結合されるルールデータストアと、を有するファイアウォールであって、ルールエンジンは、ダイナミックオブジェクトを有するルールを評価するよう構成されるルール評価モジュールと、ルール評価モジュールにより利用されるダイナミックオブジェクトを評価するよう構成されるダイナミックオブジェクト評価モジュールと、リアルタイムデータソースからデータを取得するよう構成されるリアルタイムデータ収集手段と、非リアルタイムデータインベントリからデータを取得するよう構成される非リアルタイムデータ収集手段と、ダイナミックオブジェクトを作成し、リアルタイムデータ及び非リアルタイムデータの１つ以上を投入するよう構成されるダイナミックオブジェクト作成モジュールと、を有するファイアウォールである。

具体例１９は具体例１８の主題を有し、ユーザインタフェースを更に有し、ユーザインタフェースは、ファイアウォールルールによる利用のためダイナミックオブジェクトを定義するよう構成されるダイナミックオブジェクト定義手段を有する。

具体例２０は具体例１８〜１９の主題を有し、ダイナミックオブジェクトは、リアルタイムデータ又は非リアルタイムデータに関連する１つ以上の条件を有する。

具体例２１は具体例１８〜１９の主題を有し、ダイナミックオブジェクト作成モジュールは、ルールデータストアにダイナミックオブジェクトを記憶する。

具体例２２は具体例１８の主題を有し、ユーザインタフェースを更に有し、ユーザインタフェースは、ファイアウォールルールによる利用のためダイナミックオブジェクトを定義するよう構成されるダイナミックオブジェクト定義手段を有し、ここで、ダイナミックオブジェクトは、リアルタイムデータ又は非リアルタイムデータに関連する１つ以上の条件を有し、ダイナミックオブジェクト作成モジュールは、ルールデータストアにダイナミックオブジェクトを記憶する。

具体例２３は、ファイアウォールによりネットワークを保護するシステムであって、ネットワークデバイスデータのリアルタイムソースと、ネットワークデバイスデータの非リアルタイムソースと、ファイアウォールとを有し、ファイアウォールは、プロセッサと、プロセッサに結合されるファイアウォールルールデータストアと、プロセッサに結合されるメモリとを有し、メモリは、実行されると、ファイアウォールルールにおいて利用するため、可変的なデバイスグループを定義するダイナミックオブジェクトを作成するステップと、ネットワークデバイスデータのリアルタイムソースとネットワークデバイスデータの非リアルタイムソースとの１つ以上から受信したデータをダイナミックオブジェクトに投入するステップと、ダイナミックオブジェクトを利用してファイアウォールルールを評価する一部としてダイナミックオブジェクトを評価するステップと、をプロセッサに実行させるための命令を記憶するシステムである。

具体例２４は具体例２３の主題を有し、ネットワークデバイスデータのリアルタイムソースは、ネットワークをパッシブにモニタリングするネットワークセキュリティデバイスを有する。

具体例２５は具体例２３の主題を有し、ネットワークデバイスデータの非リアルタイムソースは、エンドポイントデバイスのモバイルセキュリティマネージャを有する。

具体例２６は具体例２３の主題を有し、ネットワークデバイスデータの非リアルタイムソースは、ディレクトリサービスのログオン収集手段を有する。

具体例２７は具体例２３〜２６の主題を有し、メモリに記憶される命令は、実行されると、ダイナミックオブジェクトとダイナミックオブジェクトを利用するルールとを定義するためのユーザインタフェースを提供するステップをプロセッサに実行させる命令を更に有する。

具体例２８は具体例２３〜２６の主題を有し、実行されると、プロセッサにダイナミックオブジェクトに投入するステップを実行させる命令は、実行されると、ダイナミックオブジェクトと非リアルタイムソースとを同期させるステップをプロセッサに実行させる命令を有する。

具体例２９は、ファイアウォールルールにおいて利用するため、可変的なデバイスグループを定義するダイナミックオブジェクトを作成する手段と、ファイアウォールの外部のソースから受信したデータをダイナミックオブジェクトに投入する手段と、ファイアウォールルールを評価する一部としてダイナミックオブジェクトを評価する手段とを有するファイアウォールデバイスである。

具体例３０は具体例２９の主題を有し、ダイナミックオブジェクトに投入する手段は、リアルタイムデータソースからデバイスデータを受信する手段と、受信したデバイスデータをダイナミックオブジェクトに投入する手段とを含む。

具体例３１は具体例３０の主題を有し、リアルタイムデータソースからデバイスデータを受信する手段は、ネットワークをモニタリングするネットワークセキュリティデバイスからのデバイスデータをリクエストする手段を含む。

具体例３２は具体例２９の主題を有し、ダイナミックオブジェクトに投入する手段は、非リアルタイムデータインベントリからデバイスデータを受信する手段と、受信したデバイスデータをダイナミックオブジェクトに投入する手段とを含む。

具体例３３は具体例２９の主題を有し、非リアルタイムデータインベントリからデバイスデータを受信する手段は、ダイナミックオブジェクトと非リアルタイムデータインベントリとを同期させる手段を含む。

具体例３４は具体例２９の主題を有し、非リアルタイムデータインベントリからデバイスデータを受信する手段は、デバイス情報について非リアルタイムデータインベントリをクエリする手段を含む。

具体例３５は具体例２９〜３４の主題を有し、ダイナミックオブジェクトとダイナミックオブジェクトを利用するルールとを定義するためのユーザインタフェースを提供する手段を更に有する。

具体例３６は具体例２９の主題を有し、ダイナミックオブジェクトは、可変的なデバイスセットを評価する。

上記説明は限定的でなく例示的であると意図されることが理解されるべきである。例えば、上述された実施例は互いに一緒に利用されてもよい。他の多数の実施理恵は、上記説明を参照した当業者に明らかであろう。従って、本発明の範囲は、請求項に与えられる均等の完全な範囲と共に、添付した請求項を参照して決定されるべきである。

Claims (26)

1. ファイアウォールルールにおいて利用するため、可変的なデバイスグループを定義するダイナミックオブジェクトを作成するステップと、
   ファイアウォールの外部のソースから受信したデータを前記ダイナミックオブジェクトに投入するステップと、
   前記ファイアウォールルールを評価する一部として前記ダイナミックオブジェクトを評価するステップと、
   をファイアウォールデバイスに実行させるためのプログラム。
2. 前記ダイナミックオブジェクトに投入するステップは、
   リアルタイムデータソースからデバイスデータを受信するステップと、
   前記受信したデバイスデータを前記ダイナミックオブジェクトに投入するステップと、
   を含む、請求項１記載のプログラム。
3. 前記リアルタイムデータソースからデバイスデータを受信するステップは、ネットワークをモニタリングするネットワークセキュリティデバイスからのデバイスデータをリクエストするステップを含む、請求項２記載のプログラム。
4. 前記ダイナミックオブジェクトに投入するステップは、
   非リアルタイムデータインベントリからデバイスデータを受信するステップと、
   前記受信したデバイスデータを前記ダイナミックオブジェクトに投入するステップと、
   を含む、請求項１記載のプログラム。
5. 前記非リアルタイムデータインベントリからデバイスデータを受信するステップは、前記ダイナミックオブジェクトと前記非リアルタイムデータインベントリとを同期させるステップを含む、請求項１記載のプログラム。
6. 前記非リアルタイムデータインベントリからデバイスデータを受信するステップは、デバイス情報について前記非リアルタイムデータインベントリをクエリするステップを含む、請求項１記載のプログラム。
7. ダイナミックオブジェクトとダイナミックオブジェクトを利用するルールとを定義するためのユーザインタフェースを提供するステップを更に前記ファイアウォールデバイスに実行させる、請求項１乃至６何れか一項記載のプログラム。
8. 前記ダイナミックオブジェクトは、可変的なデバイスセットを評価する、請求項１記載のプログラム。
9. ネットワークのファイアウォールを提供する方法であって、
   対応する可変的なデバイスセットを定義するダイナミックオブジェクトを利用するファイアウォールルールを定義するステップと、
   リアルタイムデータソースと非リアルタイムデータインベントリとの少なくとも１つを可変的なダイナミックオブジェクトセットに投入するステップと、
   前記ファイアウォールルールを評価する一部としてネットワークトラフィックに対応するデバイスと前記ダイナミックオブジェクトとをマッチングするステップと、
   を有する方法。
10. 前記ファイアウォールルールの評価に応答してアクションを実行するステップを更に有する、請求項９記載の方法。
11. 前記ダイナミックオブジェクトとデバイス情報の非リアルタイムデータインベントリとを同期させるステップを更に有する、請求項９又は１０記載の方法。
12. 前記ダイナミックオブジェクトとデバイス情報の非リアルタイムデータインベントリとを同期させるステップは、
    前記非リアルタイムデータインベントリをクエリするステップと、
    前記非リアルタイムデータインベントリをクエリすることによって取得された結果によって前記ダイナミックオブジェクトを更新するステップと、
    を含む、請求項１１記載の方法。
13. リアルタイムデバイス情報を取得するステップと、
    前記リアルタイムデバイス情報を前記ダイナミックオブジェクトに投入するステップと、
    を更に有する、請求項９又は１０記載の方法。
14. 前記リアルタイムデバイス情報を取得するステップは、ネットワークフローをパッシブにモニタリングするデバイスからデバイス情報を取得するステップを含む、請求項１３記載の方法。
15. 請求項９乃至１４何れか一項記載の方法を実行するための手段を有するファイアウォール装置。
16. ネットワークインタフェースと、
    前記ネットワークインタフェースに結合されるルールエンジンと、
    前記ルールエンジンに結合されるルールデータストアと、
    を有するファイアウォールであって、
    前記ルールエンジンは、
    ダイナミックオブジェクトを有するルールを評価するよう構成されるルール評価モジュールと、
    前記ルール評価モジュールにより利用されるダイナミックオブジェクトを評価するよう構成されるダイナミックオブジェクト評価モジュールと、
    リアルタイムデータソースからデータを取得するよう構成されるリアルタイムデータ収集手段と、
    非リアルタイムデータインベントリからデータを取得するよう構成される非リアルタイムデータ収集手段と、
    ダイナミックオブジェクトを作成し、リアルタイムデータ及び非リアルタイムデータの１つ以上を投入するよう構成されるダイナミックオブジェクト作成モジュールと、
    を有するファイアウォール。
17. ユーザインタフェースを更に有し、
    前記ユーザインタフェースは、ファイアウォールルールによる利用のためダイナミックオブジェクトを定義するよう構成されるダイナミックオブジェクト定義手段を有する、請求項１６記載のファイアウォール。
18. 前記ダイナミックオブジェクトは、リアルタイムデータ又は非リアルタイムデータに関連する１つ以上の条件を有する、請求項１６又は１７記載のファイアウォール。
19. 前記ダイナミックオブジェクト作成モジュールは、前記ルールデータストアにダイナミックオブジェクトを記憶する、請求項１６又は１７記載のファイアウォール。
20. ファイアウォールによりネットワークを保護するシステムであって、
    ネットワークデバイスデータのリアルタイムソースと、
    ネットワークデバイスデータの非リアルタイムソースと、
    ファイアウォールと、
    を有し、
    前記ファイアウォールは、
    プロセッサと、
    前記プロセッサに結合されるファイアウォールルールデータストアと、
    前記プロセッサに結合されるメモリと、
    を有し、
    前記メモリは、
    ファイアウォールルールにおいて利用するため、可変的なデバイスグループを定義するダイナミックオブジェクトを作成するステップと、
    前記ネットワークデバイスデータのリアルタイムソースと前記ネットワークデバイスデータの非リアルタイムソースとの１つ以上から受信したデータを前記ダイナミックオブジェクトに投入するステップと、
    前記ダイナミックオブジェクトを利用して前記ファイアウォールルールを評価する一部として前記ダイナミックオブジェクトを評価するステップと、
    を前記プロセッサに実行させるためのプログラムを記憶するシステム。
21. 前記ネットワークデバイスデータのリアルタイムソースは、ネットワークをパッシブにモニタリングするネットワークセキュリティデバイスを有する、請求項２０記載のシステム。
22. 前記ネットワークデバイスデータの非リアルタイムソースは、エンドポイントデバイスのモバイルセキュリティマネージャを有する、請求項２０記載のシステム。
23. 前記ネットワークデバイスデータの非リアルタイムソースは、ディレクトリサービスのログオン収集手段を有する、請求項２０記載のシステム。
24. 前記プログラムは、ダイナミックオブジェクトとダイナミックオブジェクトを利用するルールとを定義するためのユーザインタフェースを提供するステップを前記プロセッサに更に実行させる、請求項２０乃至２３何れか一項記載のシステム。
25. 前記プログラムは、前記ダイナミックオブジェクトと前記非リアルタイムソースとを同期させるステップを前記プロセッサに更に実行させる、請求項２０乃至２３何れか一項記載のシステム。
26. 請求項１乃至８何れか一項記載のプログラムを記憶するためのコンピュータ可読記憶媒体。

Images