JP2020509684A - データ暗号化アプリケーションの管理 - Google Patents

Abstract

クラウドベースのアプリケーションを管理する方法が記載される。一実施形態では、方法は、アプリケーションの起動を検出することと、アプリケーションに対して実施されたアクションを検出することと、アプリケーションがデータの少なくとも一部分を暗号化する前に、検出されたアクションと関連付けられたデータを捕捉することと、捕捉されたデータを分析することと、捕捉されたデータの分析に少なくとも部分的に基づいて、ネットワーク管理ポリシーをパケットフローに適用することと、を含む。いくつかの場合には、アプリケーションは、検出されたアクションと関連付けられたデータの少なくとも一部分を暗号化するように構成される。

Description

コンピュータシステム及びコンピュータ関連技術の用途は急速に増大し続けている。コンピュータシステムの用途におけるこの増大は、コンピュータ関連技術に対する進歩に影響を与えてきた。コンピュータシステムは益々、実業界及び個人消費者の活動の重要な部分になってきている。コンピュータシステムは、種々の事業、産業、及び学術的努力を実施するのに使用されることがある。

コンピュータ及びモバイルデバイスの使用の普及は、ルートキット、スパイウェア、トロイの木馬などの悪意あるプログラムの存在の増大をもたらしている。マルウェアプログラマはマルウェア検出においてなされた改善に継続的に適応しており、これはマルウェア検出の改善に適応する継続的なマルウェア技法のサイクルを作成する。

少なくとも１つの実施形態によれば、クラウドベースのアプリケーションを管理するための方法が記載される。一部の場合には、本発明のシステム及び方法は、ユーザーデータ及び／又はシステムデータなどのアプリケーションによって使用されるデータを暗号化するように構成されたアプリケーションを管理してもよい。一実施形態では、方法は、アプリケーションの起動を検出することと、アプリケーションに対して実施されたアクションを検出することと、アプリケーションがデータの少なくとも一部分を暗号化する前に、検出されたアクションと関連付けられたデータを捕捉することと、捕捉されたデータを分析することと、捕捉されたデータの分析に少なくとも部分的に基づいて、ネットワーク管理ポリシーをパケットフローに適用することと、を含んでもよい。一部の場合には、アプリケーションは、検出されたアクションと関連付けられたデータの少なくとも一部分を暗号化するように構成されてもよい。一部の場合には、アプリケーションは、ウェブブラウザを介してアクセスされるオンラインアプリケーション、クラウドベースのアプリケーション、ウェブベースのアプリケーション、インターネットにアクセスするように構成されたモバイルアプリケーション、インターネットにアクセスするように構成されたデスクトップアプリケーションのうちの少なくとも１つを含んでもよい。

一部の実施形態では、方法は、複数の未識別パケットフローから、捕捉されたデータと関連付けられたパケットフローを識別すること、アプリケーションの検出された起動と関連付けられたユーザー識別子のうちの少なくとも１つを判定すること、アプリケーションのイニシエータ、オペレーティングシステムプロセス、アプリケーションと関連付けられたファイルのサイズ、ファイルのファイルハッシュ、ファイル名、又はそれらの任意の組み合わせを含んでもよい。

一部の実施形態では、方法は、識別されたパケットフローを、捕捉されたデータ、判定されたユーザー識別子、アプリケーションの判定されたイニシエータ、オペレーティングシステムプロセス、アプリケーションと関連付けられたファイルの判定されたサイズ、ファイルの判定されたファイルハッシュ、ファイル名、又はそれらの任意の組み合わせのうちの１つと関連付けることを含んでもよい。一部の実施形態では、方法は、捕捉されたデータの分析、検出されたアクション、アプリケーションと関連付けられたアプリケーションカテゴリ、アプリケーションと関連付けられた名前、又はそれらの任意の組み合わせに少なくとも部分的に基づいて、捕捉されたデータを分類することを含んでもよい。一部の実施形態では、方法は、捕捉されたデータの分類に少なくとも部分的に基づいて、ネットワーク管理ポリシーを識別されたパケットフローに適用することを含んでもよい。一部の場合には、ネットワーク管理ポリシーの態様は、実施されたアクションの検出に対して検出されたアクションのタイプに少なくとも部分的に基づいて適用されてもよい。

一部の場合には、検出されたアクションは、アプリケーションのユーザーインターフェースメニュー項目に対するユーザー入力、アプリケーションのボタンに対するユーザー入力、アプリケーションの入力ボックスに対するユーザー入力、アプリケーションに入力されたデータを検出すること、アプリケーションへのファイルアップロードを識別すること、アプリケーションからのファイルダウンロードを識別すること、アプリケーションに関するファイル削除を識別すること、アプリケーションを介したデータの修正を識別すること、又はそれらの任意の組み合わせのうちの少なくとも１つを含んでもよい。一部の実施形態では、方法は、アプリケーションのボタンを識別することと、検出されたカーソル位置に関するボタンの識別に少なくとも部分的に基づいて、検出されたアクションを解釈することと、を含んでもよい。

一部の実施形態では、方法は、捕捉されたデータと関連付けられた識別子を識別することを含んでもよい。一部の場合には、識別子は、アプリケーションプロトコル、レイヤー４プロトコル、レイヤー３プロトコル、レイヤー４ポート番号、レイヤー３アドレス、又はそれらの任意の組み合わせのうちの少なくとも１つを含んでもよい。

一部の実施形態では、方法は、分析に少なくとも部分的に基づいてセキュリティアクションを実施することを含んでもよい。一部の場合には、セキュリティアクションを実施することは、アプリケーションと関連付けられた不審なアクティビティを検出することと、不審なネットワークトラフィックと関連付けられたイントラネットの１つ以上のデバイスを識別することと、を含んでもよい。一部の場合には、セキュリティアクションを実施することは、イントラネットの１つ以上のデバイスに関する不審なトラフィックをマッピングすることと、マッピングに少なくとも部分的に基づいて、不審なネットワークトラフィックの発信元を識別することと、を含んでもよい。

クラウドベースのアプリケーションを管理するように構成されたコンピューティングデバイスも記載される。コンピューティングデバイスは、プロセッサと、プロセッサと電子的に通信しているメモリとを含んでもよい。メモリは、コンピュータ実行可能命令を記憶してもよく、コンピュータ実行可能命令は、プロセッサによって実行されると、プロセッサに、アプリケーションの起動を検出する工程と、アプリケーションに対して実施されたアクションを検出する工程と、アプリケーションがデータの少なくとも一部分を暗号化する前に、検出されたアクションと関連付けられたデータを捕捉する工程と、捕捉されたデータを分析する工程と、捕捉されたデータの分析に少なくとも部分的に基づいて、ネットワーク管理ポリシーをパケットフローに適用する工程とを実施させる。一部の場合には、アプリケーションは、検出されたアクションと関連付けられたデータの少なくとも一部分を暗号化するように構成されてもよい。

コンピュータ実行可能命令を記憶した非一時的コンピュータ可読記憶媒体もまた記載される。命令がプロセッサによって実行されると、命令の実行は、プロセッサに、アプリケーションの起動を検出する工程と、アプリケーションに対して実施されたアクションを検出する工程と、アプリケーションがデータの少なくとも一部分を暗号化する前に、検出されたアクションと関連付けられたデータを捕捉する工程と、捕捉されたデータを分析する工程と、捕捉されたデータの分析に少なくとも部分的に基づいて、ネットワーク管理ポリシーをパケットフローに適用する工程とを実施させてもよい。一部の場合には、アプリケーションは、検出されたアクションと関連付けられたデータの少なくとも一部分を暗号化するように構成されてもよい。

上述の実施形態のいずれかによる特徴は、本明細書に記載される一般原理に従って、互いに組み合わせて使用されてもよい。これら及び他の実施形態、特徴、及び利点は、添付の図面及び特許請求の範囲と併せて以下の発明を実施するための形態を読むことによって更に十分に理解されるだろう。

添付の図面は、いくつかの例示的な実施形態を図示するものであり、本明細書の一部である。以下の説明と併せて、これらの図面は、本開示の様々な原理を実証及び説明する。

本発明のシステム及び方法が実装され得る環境の一実施形態を示すブロック図である。

データ分類モジュールの一実施例を示すブロック図である。

本開示の様々な態様によるデータフローのブロック図を示す。

本開示の様々な態様による方法の一実施形態を示すフロー図である。

本開示の様々な態様による方法の一実施形態を示すフロー図である。

本発明のシステム及び方法を実装するのに好適なコンピュータシステムのブロック図を示す。

本発明のシステム及び方法を実装するのに好適なコンピュータシステムを示すブロック図を示す。

本明細書に記載する実施形態は、様々な修正及び代替的な形態が可能であり、特定の実施形態を例として図面に示しており、本明細書において詳細に記載する。しかしながら、本明細書に記載される例示的実施形態は、開示される特定の形態に限定されることを意図しない。むしろ、本開示は、添付の特許請求の範囲内にある全ての修正物、等価物、及び代替物を網羅する。

本明細書に記載されるシステム及び方法は、データを暗号化するように構成されたアプリケーションに関する。このようなアプリケーションの実施例としては、クラウドベースのアプリケーション、ウェブベースのアプリケーション、及び非ウェブベースのアプリケーションが挙げられる。より具体的には、本明細書に記載されるシステム及び方法は、複数のコンピューティングデバイスの監視に関して、クラウドベースのアプリケーション、ウェブベースのアプリケーション、及び非ウェブベースの暗号化アプリケーションに関するイベントを管理することに関する。一部の場合には、監視されるアプリケーションは、カスタム、非標準、又は独自の暗号化技術を実装してもよく、これにより、第三者は復号できない場合がある。したがって、本発明のシステム及び方法は、暗号化されるデータを、アプリケーションが当該データを暗号化する前に捕捉することができる。クラウドベースのアプリケーションなどの特定のアプリケーションが実施例として本明細書で使用されるが、本明細書に記載されるシステム及び方法は、データを暗号化するように構成された任意のアプリケーションに適用されることが理解される。

コンピュータユーザーは、ウェブベースのオフィスアプリケーション、クラウドストレージアプリケーションなどのクラウドベースのアプリケーションを使用して、典型的に実施され、ローカルコンピュータ上に記憶されるタスクを実施するようになってきている。一例として、クラウドベースのアプリケーションが、企業環境における労働者によって使用されるようになってきている。クラウドベースのアプリケーションは、ローカルクライアントマシン上とクラウドアプリケーションサーバーなどのリモートコンピューティングデバイス上とで部分的に実行されるアプリケーションを含んでもよい。クラウドベースのアプリケーションは、リモートクラウドストレージロケーションに、クラウドベースアプリケーションに関連するデータを記憶するアプリケーションを含んでもよい。例えば、ユーザーが、クラウドベースのワードプロセッシングアプリケーションを使用してテキスト文書を作成してもよい。テキスト文書を作成するために実行されるクラウドベースのワードプロセッシングアプリケーションのプロセスの少なくとも一部分が、リモートクラウドアプリケーションサーバー上で実行されてもよく、プロセスの少なくとも一部分が、テキスト文書を作成するために、ユーザーのローカルクライアントマシン上で実行されてもよい。テキスト文書のテキストは、リモートクラウドストレージサーバー上に主に記憶されてもよい。例えば、クラウドベースのワードプロセッシングアプリケーションのユーザーによって入力されたテキストが、リモートクラウドストレージサーバー上に記憶されてもよい。それに加えて、又はそれに代えて、文書のテキストが、ローカルクライアントマシン上に記憶されてもよい。

本発明のシステム及び方法の一実施形態は、１つ以上のクラウドベースのアプリケーションに関して収集された情報を活用することと、その情報をネットワーク処理デバイスに送信して、リアルタイムでクラウドベースかつ暗号化されたアプリケーショントラフィックを分類及び管理することと、を含む。一部の場合には、ネットワーク処理デバイスは、インラインネットワーク処理デバイスを含んでもよい。

一実施形態では、本発明のシステム及び方法は、複数のアプリケーションを分類してもよい。複数のアプリケーションは、デスクトップアプリケーション、サーバーアプリケーション、ウェブベースのアプリケーション、クラウドベースのアプリケーション、モバイルアプリケーション、又はそれらの任意の組み合わせを含んでもよい。一部の場合には、複数のアプリケーションは、アプリケーションと関連付けられたシステムデータ及び／又はユーザーデータの少なくとも一部分を暗号化するように構成されたアプリケーションを含んでもよい。一部の場合には、アプリケーションが、独自の暗号化技術を使用してデータを暗号化し、アプリケーション及び／又はアプリケーションのデータを識別する困難さを増大させてもよい。

一部の実施形態では、本発明のシステム及び方法は、クライアントマシン又はエンドポイントの、あらゆるパケット及びあらゆるＴＣＰ／ＵＤＰフローを追跡してもよい。一部の場合には、各フローに対して、システム及び方法は、リアルタイムで、エンドポイントからネットワーク処理デバイスに、収集された情報を送信してもよい。一実施例として、収集された情報は、「アプリケーションＸが開始された」、「メニュー項目Ｙがクリックされた」、「ＴＣＰ接続ＺによってトリガされたＴＣＰ」などのｎ−タプルを含んでもよい。収集された情報がネットワーク処理デバイスに到達すると、ネットワーク処理デバイスは、情報を分析し、監視されているエンドポイントの特定のパケットフローにアプリケーションＩＤを適用してもよい。システム及び方法は、ネットワーク処理デバイスが、特有のクラウドベースのワードプロセッシングアプリケーションなどの特定のクラウドベースのアプリケーションのトラフィックフロー上に細粒化された分類を提供することを可能にしてもよい。一部の場合には、ネットワーク処理デバイスは、インラインネットワークデバイスとして、各物理ネットワークセグメント又はノード上に配備されてもよい。一部の場合には、複数のインラインネットワークデバイスによって提供されるフィードバックループが、いずれのクライアントマシンがいずれの監視対象アプリケーションを稼働させているかなどに関する企業についての全体的なビューをネットワーク処理デバイスが提供することを可能にしてもよい。それに加えて、ネットワーク処理デバイスは、各インラインネットワークデバイスが処理するトラフィックの詳細について報告するためにクラスタ化されてもよい。インラインネットワーク処理デバイスは、監視対象データをリアルタイムで送信してもよい。一部の場合には、フィードバックループは、ネットワーク処理デバイスが、不審なトラフィック又は悪意のある可能性があるトラフィックの起点を検出し、不審なトラフィックフローがどのようにネットワーク中に行き渡るかのマップを生成することを可能にしてもよい。例えば、ネットワーク処理デバイスによってリアルタイム情報が受信される順序及び／又はネットワーク処理デバイスによって受信される情報のタイムスタンプが、不審なプロセスはどこで発生するか、不審なプロセスはどのように拡がるか、当該プロセスはどこへ拡がるか、及び不審なプロセスはコンピューティングデバイスとネットワークデバイスとのネットワークを介していつ拡がるかをネットワーク処理デバイスが判定することを可能にしてもよい。

本発明のシステム及び方法の利益は、生産性トラフィックをレクリエーショントラフィックから識別及び分離することと、次いで、それに応じてトラフィックを優先順位付け及び管理することと、を含む。利益はまた、アプリケーション内の特定のアクション、例えば、仕事関連のビデオ会議とビデオ会議アプリケーション内のパーソナルチャットとを対比して分類することと、次いで、パーソナルチャットを阻止しつつ仕事関連のビデオ会議を許可することなどの関連するフローをそれぞれ管理することと、を含む。本発明のシステム及び方法は、プロキシを使用することなどによって、ネットワーク経路内のトラフィックを復号する必要なく、暗号化されたトラフィックの管理を可能にする。本発明のシステム及び方法は、アプリケーションがプロキシ又は次世代ファイアウォール（next generation firewall、ＮＧＦＷ）などのミドルボックスを検出及び回避しようとする場合であっても、暗号化されたトラフィックの管理を可能にする。本発明のシステム及び方法は、暗号化アルゴリズム及び鍵交換方法にかかわらず、暗号化されたトラフィックの管理を可能にする。本発明のシステム及び方法は、アプリケーション全体にポリシーを適用するのではなく、アプリケーション内の特定のアクションに対してポリシーを適用する細粒化されたアプリケーション管理を可能にする。

図１は、本発明のシステム及び方法が実装され得る環境１００の一実施形態を示すブロック図である。一部の実施形態では、本明細書に記載されるシステム及び方法は、デバイス（例えば、デバイス１０５）上で実施されてもよい。図示のように、環境１００は、デバイス１０５、サーバー１１０、ディスプレイ１３０、コンピューティングデバイス１５０、及びネットワーク１１５を含んでもよく、ネットワーク１１５は、デバイス１０５、サーバー１１０、及びコンピューティングデバイス１５０が互いに通信することを可能にする。

デバイス１０５の実施例は、モバイルデバイス、スマートフォン、パーソナルコンピューティングデバイス、コンピュータ、ラップトップ、デスクトップ、サーバー、メディアコンテンツセットトップボックス、又はそれらの任意の組み合わせ、の任意の組み合わせを含んでもよい。

コンピューティングデバイス１５０の実施例は、ネットワーク処理デバイス、モバイルコンピューティングデバイス、ラップトップ、デスクトップ、サーバー、メディアセットトップボックス、又はそれらの任意の組み合わせ、の任意の組み合わせを含んでもよい。一実施形態では、コンピューティングデバイス１５０は、ネットワーク１１５内のネットワーキングデバイスを含んでもよい。サーバー１１０の実施例は、クラウドアプリケーションサーバー、クラウドストレージサーバー、リモートクラウドストレージサーバー、データサーバー、クラウドサーバー、オートメーションサービスプロバイダと関連付けられたサーバー、プロキシサーバー、メールサーバー、ウェブサーバー、アプリケーションサーバー、データベースサーバー、通信サーバー、ファイルサーバー、ホームサーバー、モバイルサーバー、ネームサーバー、又はそれらの任意の組み合わせ、のうちの少なくとも１つを含んでもよい。

一部の構成では、デバイス１０５は、ユーザーインターフェース１３５、アプリケーション１４０、及びデータ分類モジュール１４５を含んでもよい。デバイス１０５の構成要素はデバイス１０５の内部にあるものとして示されているが、当該構成要素のうちの１つ以上が、デバイス１０５の外部にあり、有線及び／又は無線接続を介してデバイス１０５に接続してもよいことは理解される。一部の実施形態では、ユーザーがデバイス１０５、データ分類モジュール１４５、及び／又はサーバー１１０の機能とインターフェース接続することを可能にするために、アプリケーション１４０はコンピューティングデバイス１５０上にインストールされてもよい。

一部の実施形態では、デバイス１０５は、ネットワーク１１５を介してサーバー１１０と通信してもよい。ネットワーク１１５の実施例は、クラウドネットワーク、ローカルエリアネットワーク（local area network、ＬＡＮ）、ワイドエリアネットワーク（wide area network、ＷＡＮ）、仮想プライベートネットワーク（virtual private network、ＶＰＮ）、無線ネットワーク（例えば、８０２．１１を用いる）、セルラーネットワーク（例えば、３Ｇ及び／又はＬＴＥを用いる）などを含んでもよい。一部の構成では、ネットワーク１１５はインターネットを含んでもよい。一部の実施形態では、デバイス１０５がデータ分類モジュール１４５を含まなくてもよいことに留意されたい。例えば、デバイス１０５は、コンピューティングデバイス１５０及び／又はサーバー１１０などの別のデバイス上に位置するデータ分類モジュール１４５を介してデバイス１０５が外部マシンとインターフェース接続することを可能にするアプリケーション１４０を含んでもよい。一部の実施形態では、デバイス１０５及びサーバー１１０はデータ分類モジュール１４５を含んでもよく、データ分類モジュール１４５の機能の少なくとも一部分がデバイス１０５及び／又はサーバー１１０上で別々に及び／又は同時に実施される。同様に、一部の実施形態では、ユーザーが、コンピューティングデバイス１５０から、（直接に、又はデータ分類モジュール１４５を介してデバイス１０５を通して）デバイス１０５の機能にアクセスしてもよい。例えば、一部の実施形態では、コンピューティングデバイス１５０は、デバイス１０５、データ分類モジュール１４５、及び／又はサーバー１１０の１つ以上の機能とインターフェース接続するモバイルアプリケーションを含む。

一部の実施形態では、コンピューティングデバイス１５０はデータベース１２０と結合されてもよい。データベース１２０は、コンピューティングデバイス１５０の内部にあっても、外部にあってもよい。一実施例では、デバイス１０５は、デバイス１０５の内部又は外部にあるデータベース１２０に直接結合されてもよい。データベース１２０は、ネットワーク管理ポリシー１６０及び識別されたパケットフロー１６５を含んでもよい。一実施例では、コンピューティングデバイス１５０は、識別されたパケットフロー１６５のうちの少なくとも１つと併せたネットワーク管理ポリシー１６０の態様を実装してもよい。例えば、コンピューティングデバイス１５０は、デバイス１０５と連携して、実行される特有のクラウドベースのアプリケーションと関連付けられている特有のパケットフローを識別してもよい。コンピューティングデバイス１５０は、特有のパケットフロー、クラウドベースのアプリケーションの態様、クラウドベースのアプリケーションと関連付けられた態様、又はそれらの任意の組み合わせを識別すると、デバイス１０５に関するネットワーク管理ポリシー１６０の態様を実装してもよい。一実施例として、コンピューティングデバイス１５０は、識別されたパケットフローに関するパケット整形ポリシーを適用してもよい。

データ分類モジュール１４５は、コンピューティングデバイスがクライアントマシン上のクラウドベースのアプリケーションのアクティビティを特有のパケットフローに関連付けることを可能にし、パケットフローの態様、クラウドベースのアプリケーションの態様、又はそれらの任意の組み合わせ（例えば、クラウドベースのアプリケーションによって使用されている帯域幅、クラウドベースのアプリケーションを実行しているクライアントマシンによって使用される帯域幅、クラウドアプリケーションが実行されるクライアントマシンを含むクライアントマシンのネットワークに利用可能な合計の帯域幅、時刻、ユーザータイプ、クラウドアプリケーションのタイプなど）に基づくネットワークポリシーを適用することを可能にしてもよい。一部の実施形態では、データ分類モジュール１４５は、ユーザーインターフェース１３５及びアプリケーション１４０と連携して、本明細書に記載されるシステム及び方法を実施するように構成されてもよい。ユーザーインターフェース１３５は、ユーザーが、データ分類モジュール１４５の１つ以上の機能と対話する、当該機能を制御する、及び／又は当該機能をプログラムすることを可能にしてもよい。以下に、データ分類モジュール１４５に関する更なる詳細について考察する。

図２は、データ分類モジュール１４５−ａの一実施例を示すブロック図である。データ分類モジュール１４５−ａは、図１に示されるデータ分類モジュール１４５の一実施例であってもよい。図示のように、データ分類モジュール１４５−ａは、監視モジュール２０５、データモジュール２１０、分析モジュール２１５、及びポリシーモジュール２２０を含んでもよい。

一部の実施形態では、データ分類モジュール１４５の少なくとも一部分が、ローカルマシン（例えば、図１のデバイス１０５）、リモートコンピューティングデバイス（例えば、図１のコンピューティングデバイス１５０）、ネットワークデバイス（例えば、図１のネットワーク１１５）、サーバー（例えば、図１のサーバー１１０）、又はそれらの任意の組み合わせのアプリケーションに実装されてもよい。

一実施形態では、監視モジュール２０５は、クラウドベースのアプリケーション及び／又はウェブベースのアプリケーションの起動を検出するように構成されてもよい。一部の場合には、監視モジュール２０５は、クライアントマシンに関するクラウドベースのアプリケーションの起動を検出してもよい。一実施例として、監視モジュール２０５は、クラウドベースのアプリケーションと関連付けられた１つ以上のアプリケーションプログラミングインターフェース（application programming interface、ＡＰＩ）をフックしてもよい。一部の実施形態では、監視モジュール２０５と連携して、アプリケーションが、クライアントマシン上でのクラウドベースのアプリケーションの起動を検出するように構成されてもよい。一部の場合には、クラウドベースのアプリケーションは、クラウドベースのアプリケーションの起動を監視及び／又は検出するように構成されたアプリケーションに関する第三者アプリケーションである。

一部の場合には、クラウドベースのアプリケーションは、ウェブブラウザを介してアクセスされるオンラインアプリケーション、クラウドベースのアプリケーション、ウェブベースのアプリケーション、インターネットにアクセスするように構成されたモバイルアプリケーション、及びインターネットにアクセスするように構成されたデスクトップアプリケーション、又はそれらの任意の組み合わせのうちの少なくとも１つを含んでもよい。一部の場合には、モバイルアプリケーション及び／又はデスクトップアプリケーションは、デスクトップアプリケーションの動作と関連付けられたデータを暗号化するように構成されてもよい。一部の場合には、モバイルアプリケーション及び／又はデスクトップアプリケーションは、ブラウザとは無関係にデータを暗号化してもよい。例えば、ビデオ会議アプリケーションなどのモバイル／デスクトップアプリケーションは、暗号化されていないビデオを捕捉し、当該ビデオを暗号化し、暗号化されたビデオをリモートコンピューティングデバイスに送信してもよい。したがって、監視モジュール２０５は、モバイル／デスクトップアプリケーションが暗号化されていないビデオを暗号化する前に、当該暗号化されていないビデオを捕捉することができる。

一部の実施形態では、監視モジュール２０５は、クラウドベースのアプリケーションに対して実施されたアクションを検出するように構成されてもよい。一部の場合には、クラウドベースのアプリケーションは、検出されたアクションと関連付けられたデータの少なくとも一部分を暗号化するように構成されてもよい。

一実施形態では、データモジュール２１０は、クラウドベースのアプリケーションがデータの少なくとも一部分を暗号化する前に、検出されたアクションと関連付けられたデータを捕捉するように構成されてもよい。一部の実施形態では、データモジュール２１０は、パケットフローを捕捉されたデータと関連付けるように構成されてもよい。それに加えて、又はそれに代えて、データモジュール２１０が、識別されたパケットフローを、判定されたユーザー識別子、クラウドベースのアプリケーションの判定されたイニシエータ、クラウドベースのアプリケーションと関連付けられたファイルの判定されたサイズ、ファイルの判定されたファイルハッシュ、所定の実行可能ファイルの名前などのファイル名、又はそれらの任意の組み合わせと関連付けるように構成されてもよい。

一部の実施形態では、データモジュール２１０は、捕捉されたデータを分類するように構成されてもよい。一部の場合には、データモジュール２１０は、捕捉されたデータに対して分析モジュール２１５により実施される分析に少なくとも部分的に基づいて、捕捉されたデータを分類してもよい。それに加えて、又はそれに代えて、データモジュール２１０が、検出されたアクションの１つ以上の態様に少なくとも部分的に基づいて、捕捉されたデータを分類してもよい。

一部の場合には、分析モジュール２１５は、クラウドベースのアプリケーションと関連付けられたアプリケーションカテゴリに少なくとも部分的に基づいて、捕捉されたデータを分類してもよい。一実施例として、クライアントマシン上のクラウドベースのアプリケーションが、ワードプロセッシングアプリケーション、スプレッドシートアプリケーション、データベースアプリケーション、マルチメディアアプリケーション、プレゼンテーションアプリケーション、クラウドストレージアプリケーション、クラウドストレージオフィスアプリケーション、ソーシャルメディアアプリケーション、音声ストリーミングアプリケーション、ビデオストリーミングアプリケーション、ビデオ会議アプリケーション、ニュース又はメディアアプリケーション、企業アプリケーション、教育アプリケーション、コンテンツアクセスアプリケーション、アンチウイルスアプリケーション、電子メールアプリケーション、インターネットブラウザアプリケーション、グラフィックスアプリケーション、通信アプリケーション、又はそれらの任意の組み合わせのうちの少なくとも１つとして分類されてもよい。一部の場合には、クラウドベースのアプリケーションが、生産性アプリケーション又は仕事関連アプリケーションとして分類されてもよい。それに加えて、クラウドベースのアプリケーションが、パーソナルアプリケーション又はレクリエーションアプリケーションとして分類されてもよい。

一実施形態では、分析モジュール２１５は、捕捉されたデータを分析するように構成されてもよい。一部の実施形態では、分析モジュール２１５は、捕捉されたデータと関連付けられたパケットフローを識別するように構成されてもよい。一部の場合には、分析モジュール２１５は、複数の未知又は未識別のパケットフローからパケットフローを識別してもよい。例えば、分析モジュール２１５は、図１のデバイス１０５からの１つ以上のパケットフロー、図１のコンピューティングデバイス１５０からの１つ以上のパケットフロー、及び／又は図１のサーバー１１０からの１つ以上のパケットフローを識別してもよい。分析モジュール２１５は、複数の未識別のパケットフローに基づいて、捕捉されたデータと関連付けられたパケットフローを識別してもよい。

一部の実施形態では、分析モジュール２１５は、クラウドベースのアプリケーションの検出された起動と関連付けられたユーザー識別子、クラウドベースのアプリケーションのイニシエータ、クラウドベースのアプリケーションと関連付けられたファイルのサイズ、ファイルのファイルハッシュ、又はそれらの任意の組み合わせのうちの少なくとも１つを判定するように構成されてもよい。一部の場合には、リモートマシンは、クライアントマシンが接続された内部ネットワーク、又はクライアントマシンが内部ネットワークのノードである内部ネットワークの外部にあってもよい。それに代えて、リモートマシンが、クライアントマシンが接続された同じ内部ネットワーク上のマシンであってもよい。

一部の実施形態では、分析モジュール２１５は、捕捉されたデータと関連付けられた識別子を識別するように構成されてもよい。一部の場合には、識別子は、ハイパーテキスト転送プロトコル（hypertext transfer protocol、ＨＴＴＰ）又はセキュアＨＴＴＰプロトコルなどのアプリケーションプロトコルを含んでもよい。一部の場合には、識別子は、ユニバーサルリソースロケータ（universal resource locator、ＵＲＬ）、ドメイン名、又はそれらの任意の組み合わせを含んでもよい。それに加えて、又はそれに代えて、識別子は、伝送制御プロトコル（transmission control protocol、ＴＣＰ）又はユーザーデータグラムプロトコル（user datagram protocol、ＵＤＰ）などのレイヤー４プロトコルを含んでもよい。一部の場合には、識別子は、インターネットプロトコル（internet protocol、ＩＰ）アドレス、ソースＩＰアドレス、宛先ＩＰアドレス、又はそれらの任意の組み合わせなどのレイヤー３プロトコルを含んでもよい。それに加えて、又はそれに代えて、識別子は、ＴＣＰソースポート、ＴＣＰ宛先ポート、ＵＤＰソースポート、ＵＤＰ宛先ポート、又はそれらの任意の組み合わせなどの１つ以上のレイヤー４ポート番号を含んでもよい。一部の実施形態では、分析モジュール２１５は、同じクライアントマシン上の２つ以上のクラウドベースのアプリケーションを検出してもよい。一部の場合には、分析モジュール２１５は、２つ以上のクラウドベースのアプリケーションのそれぞれに対する少なくとも１つの識別子を識別することに基づいて、２つ以上のクラウドベースのアプリケーションを区別してもよい。

一部の場合には、捕捉されたデータは、電子メール若しくはワードプロセッシングアプリケーションに入力されたテキストなどのクラウドベースのアプリケーションに入力されたデータ、クラウドストレージなどの外部の場所にクラウドベースのアプリケーションを介してアップロードされたファイル、クラウドストレージ内のファイルの削除などのクラウドベースのアプリケーションを介して削除されたファイル、又はそれらの任意の組み合わせを含んでもよい。一部の場合には、検出されたアクションは、ビデオを再生すること、ポッドキャスティングをストリーミングすること、チャットセッションを起動すること、ビデオ通話を開始すること、又はそれらの任意の組み合わせを含んでもよい。一部の実施例では、監視モジュール２０５によって検出されたアクションは、クラウドベースのアプリケーションのユーザーインターフェースメニュー項目に対するユーザー入力、クラウドベースのアプリケーションのボタンに対するユーザー入力、クラウドベースのアプリケーションの入力ボックス又はテキストボックスに対するユーザー入力又はデータ、クラウドベースのアプリケーションに入力されたデータを検出すること、クラウドベースのアプリケーションへのファイルアップロードを識別すること、クラウドベースのアプリケーションからのファイルダウンロードを識別すること、クラウドベースのアプリケーションに関するファイル削除を識別すること、クラウドベースのアプリケーションを介したデータの修正を識別すること、又はそれらの任意の組み合わせ、のうちの少なくとも１つを含んでもよい。

一部の実施形態では、分析モジュール２１５は、クラウドベースのアプリケーションのボタンを識別するように構成されてもよい。一部の実施例では、分析モジュール２１５は、検出されたカーソル位置に関するボタンの識別に少なくとも部分的に基づいて、検出されたアクションを解釈するように構成されてもよい。一部の場合には、分析モジュール２１５は、カーソルがクラウドベースのアプリケーションのユーザーインターフェースに対して位置する場所を検出するように構成されてもよい。一部の場合には、分析モジュール２１５は、クラウドベースのアプリケーションの選択されているボタンを検出し、クラウドベースのアプリケーションに関するユーザー入力を検出し、又はそれらの任意の組み合わせを行うように構成されてもよい。

一実施形態では、ポリシーモジュール２２０は、分析モジュール２１５によって実施された捕捉されたデータの分析に少なくとも部分的に基づいて、ネットワーク管理ポリシーを識別されたパケットフローに適用するように構成されてもよい。

一部の実施形態において、ポリシーモジュール２２０は、捕捉されたデータの分類に少なくとも部分的に基づいて、ネットワーク管理ポリシーを識別されたパケットフローに適用するように構成されてもよい。一部の場合には、ネットワーク管理ポリシーは、クライアントマシン上で起動されたクラウドベースのアプリケーションのタイプに少なくとも部分的に基づいて、どの程度の帯域幅にクライアントマシンを割り当てるかを決定するネットワーク帯域幅ポリシーを含んでもよい。それに加えて、又はそれに代えて、ネットワーク管理ポリシーは、クラウドベースのアプリケーションと関連付けられた特有のユーザー識別子が割り当てられる優先度、クラウドベースのアプリケーションを使用するユーザータイプ又はユーザーのタイプ（例えば、標準ユーザー、管理者など）、クラウドベースのアプリケーションが起動され、及び／又は使用されている時刻、クライアントマシンに現在利用可能である帯域幅の量、クラウドベースのアプリケーションが消費している帯域幅の量、又はそれらの任意の組み合わせに少なくとも部分的に基づいて、どの程度の帯域幅にクライアントマシンを割り当てるかを決定するネットワーク帯域幅ポリシーを含んでもよい。

それに加えて、又はそれに代えて、ネットワーク管理ポリシーが、どの程度の帯域幅を特有のパケットフローに提供するかを決定するパケット整形ポリシーを含んでもよい。例えば、クライアントマシンが、２つ以上のパケットフローを含んでもよい。ネットワーク管理ポリシーは、クライアントマシン上の第１のパケットフローに第１の帯域幅を適用し、同じクライアントマシン上の第２のパケットフローに第２の帯域幅を適用してもよい。

一部の場合には、ネットワーク管理ポリシーは、クラウドベースのアプリケーションと関連付けられたデータの秘密度レベルを決定するデータセキュリティポリシーを含んでもよい。例えば、クラウドベースのアプリケーションが、クライアントマシンで生成された暗号化されていないユーザーデータと関連付けられている場合に、データは比較的低い秘密度レベルを割り当てられてもよい。一方、ウェブアプリケーションが、暗号化されたデータ、クライアントマシンから外部に発生するデータ、セキュリティ保護又は制限された記憶領域から発生するデータ、又はそれらの任意の組み合わせと関連付けられている場合に、データは比較的高い秘密度レベルを割り当てられてもよい。

一部の場合には、ネットワーク管理ポリシーの態様が、実施されたアクションの検出に対して検出されたアクションのタイプに少なくとも部分的に基づいて適用される。例えば、第１のポリシーが、第１の時点でパケットフローに適用されてもよく、次いで、第２のポリシーが、ユーザーが第１の時間の後であって第２の時間の前に実施するアクションに基づいて、第１の時間の後の第２の時点で同じパケットフローに適用されてもよい。例えば、ユーザーが、第１の時間の後であって第２の時間の前に、制限された記憶場所にアクセスするアクションをとってもよい。

一部の実施例では、分析モジュール２１５が捕捉されたデータを分析した結果に少なくとも部分的に基づいて、セキュリティアクションが実施されてもよい。一部の場合には、セキュリティアクションが、ポリシーモジュール２２０がポリシーを適用することと併せて実装されてもよい。例えば、セキュリティアクションが、捕捉されたデータの分類に少なくとも部分的に基づいて実施されてもよい。一実施例として、セキュリティアクションは、アプリケーションの分析に基づいてアプリケーションの１つ以上の態様を阻止することを含んでもよい。例えば、チャットセッションが、当該チャットセッションと関連付けられた暗号化済みデータの分析に基づいて阻止されてもよい。一部の場合には、セキュリティアクションを実施することが、クラウドベースのアプリケーションと関連付けられた不審なアクティビティを検出すること、不審なネットワークトラフィックと関連付けられたイントラネットの１つ以上のデバイスを識別すること、イントラネットの１つ以上のデバイスに関連して不審なトラフィックをマッピングすること、マッピングに少なくとも部分的に基づいて不審なネットワークトラフィックの発信元を識別すること、又はそれらの任意の組み合わせを含んでもよい。

一実施例として、図１のサーバー１１０が、クラウドアプリケーション及び／又はクラウドストレージなどのクラウドサービスを提供する第三者サーバーを表してもよい。この実施例では、図１のデバイス１０５は、企業ネットワーク内のエンドポイントデバイスとして構成されたクライアントマシンを表してもよく、図１のコンピューティングデバイス１５０が、デバイス１０５の１つ以上の態様を監視するように構成された企業ネットワーク内のネットワーク処理デバイスを表してもよい。一実施例では、コンピューティングデバイス１５０は、デバイス１０５を含む企業ネットワーク内の複数のクライアントマシンを監視するように構成された専用ネットワーク処理デバイスを含んでもよい。それに加えて、又はそれに代えて、コンピューティングデバイス１０５の一実施例が、企業ネットワークに接続されたルータに実装されてもよい。この実施例では、デバイス１０５は、サーバー１１０のクラウドサービスへの接続を起動してもよい。したがって、デバイス１０５上の監視モジュール２０５は、接続の起動を検出してもよい。一実施例では、デバイス１０５は、サーバー１１０のクラウドサービスに関する１つ以上のアクションを実施してもよい。例えば、デバイス１０５は、サーバー１１０に、ファイルをアップロードし、ファイルをダウンロードし、サーバー１１０上のファイルを削除し、メディアファイルを再生し、メディアファイルをストリーミングし、チャットセッションを起動し、ビデオ会議アプリケーションを起動し、又はそれらの任意の組み合わせを行うように命令してもよい。したがって、デバイス１０５上の監視モジュール２０５がアクションを検出してもよい。一部の場合には、デバイス１０５上のデータモジュール２１０は、デバイス１０５が関連付けられたデータを暗号化する前に、検出されたアクションと関連付けられたデータを捕捉するように構成されてもよい。一部の場合には、データモジュール２１０は、捕捉されたデータをコンピューティングデバイス１５０に送出してもよい。したがって、コンピューティングデバイス１５０上の分析モジュール２１５は、捕捉されたデータを分析してもよい。一実施例として、コンピューティングデバイス１５０上のポリシーモジュール２２０は、分析に基づいて、１つ以上のポリシーをデバイス１０５に適用してもよい。したがって、データ分類モジュール１４５−ａは、データを暗号化し、検出された態様の分析に基づいてネットワーク及び／又はセキュリティポリシーを適用するように構成されたクライアントマシン上のアプリケーションの態様を検出してもよい。

図３は、本開示の様々な態様によるデータフロー３００のブロック図を示す。データフロー３００は、データ分類モジュール１４５−ｂとデバイス１０５−ａとの間のデータのフローを示す。データ分類モジュール１４５−ｂは、図１及び／又は図２に基づくデータ分類モジュール１４５−ｂの一実施例であってもよい。デバイス１０５−ａは、図１のデバイス１０５及び／又はコンピューティングデバイス１５０の実施例であってもよい。一部の場合には、データ分類モジュール１４５−ｂは、スマートフォン、デスクトップ、ラップトップ、リモートサーバー（例えば、図１のデバイス１０５、コンピューティングデバイス１５０、及び／又はサーバー１１０）などのコンピューティングデバイスにインストールされ、これらに関する１つ以上の動作を実施してもよい。

３０５において、データ分類モジュール１４５−ｂは、デバイス１０５−ａの１つ以上の特定の動作を監視する。例えば、データ分類モジュール１４５−ｂは、特定のクラウドベースのアプリケーションに関連するデバイス１０５−ａの動作を監視するように構成されてもよい。ブロック３１０において、デバイス１０５−ａは、クラウドベースのアプリケーションに関するアクションを実行してもよい。

３１５において、データ分類モジュール１４５−ｂは、３０５におけるデバイス１０５−ａの監視に少なくとも部分的に基づいて、ブロック３１０のアクションを検出する。３２０において、データ分類モジュール１４５−ｂは、検出されたアクションと関連付けられたデータを送信する。

ブロック３２５において、デバイス１０５−ａは、クラウドベースのアプリケーションに関するデータ動作を実施してもよい。一部の場合には、デバイス１０５−ａは、クラウドベースのアプリケーションにアクセスするクライアントマシンのユーザーによって起動されたデータ動作を実行してもよい。３３０において、データ分類モジュール１４５−ｂは、データ動作を検出してもよい。３３５において、データ分類モジュール１４５−ｂは、検出されたデータ動作と関連付けられたデータを取得してもよい。

ブロック３４０において、データ分類モジュール１４５−ｂは、検出されたアクションと、検出されたアクションと関連付けられたデータと、のうちの少なくとも一方を分析してもよい。ブロック３４５において、データ分類モジュール１４５−ｂは、ブロック３４０の分析に基づいて、クラウドベースのアプリケーションと関連付けられたアクティビティを分類してもよい。

ブロック３５０において、デバイス１０５−ａは、ブロック３２５の検出されたデータ動作と関連付けられたデータを暗号化してもよい。ブロック３５５において、デバイス１０５−ａは、暗号化されたデータをクラウドストレージサーバー及び／又はクラウドアプリケーションサーバーにストリーミングしてもよい。図示のように、ブロック３５０及び３５５は、ブロック３４０及び３４５の参照番号に続く参照番号を割り当てられる。したがって、一部の実施形態では、ブロック３５０と関連付けられたアクションは、ブロック３４０及び／又はブロック３４５の後に行われてもよい。同様に、ブロック３５５と関連付けられたアクションは、ブロック３４０及び／又はブロック３４５の後に行われてもよい。それに代えて、一部の実施例では、ブロック３５０と関連付けられたアクションは、ブロック３４０及び／又はブロック３４５の前に行われてもよい。同様に、一部の実施例では、ブロック３５５と関連付けられたアクションは、ブロック３４０及び／又はブロック３４５の前に行われてもよい。

図４は、クラウドベースのアプリケーションを管理する方法４００の一実施形態を示すフロー図である。一部の構成では、方法４００は、図１、図２、及び／又は図３に示されるデータ分類モジュール１４５によって実装されてもよい。一部の構成では、方法４００は、デバイス１０５、サーバー１１０、ネットワーク１１５、データベース１２０、それらの構成要素、又はそれらの任意の組み合わせと併せて実装されてもよい。

ブロック４０５において、方法４００は、クラウドベースのアプリケーションの起動を検出することを含んでもよい。ブロック４１０において、方法４００は、クラウドベースのアプリケーションに対して実施されたアクションを検出することを含んでもよい。一部の場合には、クラウドベースのアプリケーションは、検出されたアクションと関連付けられたデータの少なくとも一部分を暗号化するように構成されてもよい。ブロック４１５において、方法４００は、クラウドベースのアプリケーションがデータの少なくとも一部分を暗号化する前に、検出されたアクションと関連付けられたデータを捕捉することを含んでもよい。ブロック４２０において、方法４００は、捕捉されたデータを分析することを含んでもよい。ブロック４２５において、方法４００は、捕捉されたデータの分析に少なくとも部分的に基づいて、ネットワーク管理ポリシーを識別されたパケットフローに適用することを含んでもよい。

図５は、クラウドベースのアプリケーションを管理する方法５００の一実施形態を示すフロー図である。一部の構成では、方法５００は、図１、図２、及び／又は図３に示されるデータ分類モジュール１４５によって実装されてもよい。一部の構成では、方法５００は、デバイス１０５、サーバー１１０、ネットワーク１１５、データベース１２０、それらの構成要素、又はそれらの任意の組み合わせと併せて実装されてもよい。

ブロック５０５において、方法５００は、ウェブベースのアプリケーションに対して捕捉されたデータを分析することを含んでもよい。ブロック５１０において、方法５００は、捕捉されたデータと関連付けられたパケットフローを識別することを含んでもよい。ブロック５１５において、方法５００は、検出された捕捉されたデータと関連付けられた識別情報を検出することを含んでもよい。ブロック５２０において、方法５００は、識別されたパケットフローを、捕捉されたデータと検出された識別情報とのうちの少なくとも一方と関連付けることを含んでもよい。ブロック５２５において、方法５００は、捕捉されたデータの分析と検出された識別情報とのうちの少なくとも一方に少なくとも部分的に基づいて、捕捉されたデータを分類することを含んでもよい。ブロック５３０において、方法５００は、捕捉されたデータの分類に少なくとも部分的に基づいて、ネットワーク管理ポリシーを識別されたパケットフローに適用することを含んでもよい。

図６は、本発明のシステム及び方法を実装するのに好適なコンピューティングデバイス６００のブロック図を示す。デバイス６００は、図１に示されるデバイス１０５、コンピューティングデバイス１５０、及び／又はサーバー１１０の一実施例であってもよい。一構成では、デバイス６００は、中央処理装置６１０、システムメモリ６１５（典型的にはＲＡＭであるが、ＲＯＭ、フラッシュＲＡＭなども含んでもよい）、入出力コントローラ６２０、音声出力インターフェース６３０を介するスピーカシステム６２５などの外部音声デバイス、ディスプレイアダプタ６４０を介するディスプレイ画面６３５などの外部デバイス、入力デバイス６４５（例えば、入力コントローラ６５０とインターフェース接続されたリモートコントロールデバイス）、（ＵＳＢコントローラ６７０とインターフェース接続された）複数のＵＳＢデバイス６６５、及び記憶インターフェース６８０など、デバイス６００の主要なサブシステムを相互接続するバス６０５を含む。また、センサーコントローラ６６０及び（バス６０５に直接結合された）ネットワークインターフェース６８５を介してバス６０５に接続された少なくとも１つのセンサー６５５も含まれる。

バス６０５によって、中央処理装置６１０と、上述したような、読出し専用メモリ（read−only memory、ＲＯＭ）又はフラッシュメモリ（どちらも図示せず）及びランダムアクセスメモリ（random access memory、ＲＡＭ）（図示せず）を含み得るシステムメモリ６１５と、の間のデータ通信が可能になる。ＲＡＭは、概して、オペレーティングシステム及びアプリケーションプログラムがロードされるメインメモリである。ＲＯＭ又はフラッシュメモリは、他のコードの中でも、周辺構成要素又はデバイスとの相互作用などの基本的なハードウェア動作を制御する、ベーシック入出力システム（Basic Input-Output system、ＢＩＯＳ）を含むことができる。例えば、本発明のシステム及び方法を実装するデータ分類モジュール１４５−ｃは、システムメモリ６１５内に記憶されてもよい。デバイス６００に常駐するアプリケーション（例えば、アプリケーション１４０）は、概して、ハードディスクドライブ（例えば、固定ディスク６７５）又は他の記憶媒体などの非一時的コンピュータ可読媒体上に記憶され、それを介してアクセスされる。それに加えて、アプリケーションは、インターフェース６８５を介してアクセスされるとアプリケーション及びデータ通信技術に従って変調される、電子信号の形態であることができる。

記憶インターフェース６８０は、デバイス６００の他の記憶インターフェースと同様に、固定ディスクドライブ６７５など、情報の記憶及び／又は検索用の標準的なコンピュータ可読媒体に接続することができる。固定ディスクドライブ６７５は、デバイス６００の一部であってもよく、又は独立したものであって、他のインターフェースシステムを通してアクセスされてもよい。ネットワークインターフェース６８５は、ポイントオブプレゼンス（point of presence、ＰＯＰ）を介したインターネットに対する直接ネットワークリンクを介して、リモートサーバーに対する直接接続を提供してもよい。ネットワークインターフェース６８５は、デジタル携帯電話接続、セルラーデジタルパケットデータ（Cellular Digital Packet Data、ＣＤＰＤ）接続、デジタル衛星データ接続などを含む無線技術を用いて、かかる接続を提供してもよい。一部の実施形態では、１つ以上のセンサー（例えば、動きセンサー、煙センサー、ガラス破壊センサー、ドアセンサー、窓センサー、一酸化炭素センサーなど）は、ネットワークインターフェース６８５を介して無線でデバイス６００に接続する。

多くの他のデバイス及び／又はサブシステムが、同様の方法で接続されてもよい（例えば、娯楽システム、コンピューティングデバイス、リモートカメラ、無線キーフォブ、壁装着ユーザーインターフェースデバイス、セル無線モジュール、バッテリ、アラームサイレン、ドアロック、照明システム、サーモスタット、家庭電化製品モニタ、ユーティリティ機器モニタなど）。逆に、図６に示される全てのデバイスが、本発明のシステム及び方法を実践するために必ずしも存在しなくてもよい。デバイス及びサブシステムは、図６に示されるものとは異なる形で相互接続することができる。図６に示されるものなどのシステムの一部の動作の態様は、当該技術分野において容易に知られており、本出願では詳細に考察しない。本開示を実装するコードは、システムメモリ６１５又は固定ディスク６７５の１つ以上など、非一時的コンピュータ可読媒体に記憶することができる。デバイス６００上に提供されるオペレーティングシステムは、ｉＯＳ（登録商標）、ＡＮＤＲＯＩＤ（登録商標）、ＭＳ−ＤＯＳ（登録商標）、ＭＳ−ＷＩＮＤＯＷＳ（登録商標）、ＯＳ／２（登録商標）、ＵＮＩＸ（登録商標）、ＬＩＮＵＸ（登録商標）、又は別の既知のオペレーティングシステムであってもよい。

更に、本明細書に記載する信号に関して、当業者であれば、信号を第１のブロックから第２のブロックに直接伝送できること、又は信号をブロック間で修正（例えば、増幅、減衰、遅延、ラッチ、バッファ、反転、フィルタリング、又は別の方法で修正）できることを認識するであろう。上述の実施形態の信号は、あるブロックから次のブロックに伝送されるものと特徴付けられるが、本発明のシステム及び方法の他の実施形態は、信号の情報及び／又は機能面がブロック間で伝送される限り、かかる直接伝送される信号の代わりに修正済みの信号を含んでもよい。ある程度、第２のブロックにおける信号入力は、関係する回路の物理的制約（例えば、いくらかの減衰及び遅延が必然的に存在する）により、第１のブロックからの第１の信号出力から得られた第２の信号として概念化することができる。したがって、本明細書で使用するとき、第１の信号から得られた第２の信号は、回路制約によるものであるか、あるいは第１の信号の情報及び／又は最終機能面を変更しない他の回路素子を通過することによるものであるか否かにかかわらず、第１の信号又は第１の信号に対する何らかの修正を含む。

システム６００と関連付けられた信号は、無線周波数、電磁気、ローカルエリアネットワーク（local area network、ＬＡＮ）、広域ネットワーク（wide area network、ＷＡＮ）、仮想プライベートネットワーク（virtual private network、ＶＰＮ）、無線ネットワーク（例えば、８０２．１１を使用する）、セルラーネットワーク（例えば、３Ｇ及び／又はＬＴＥを使用する）、及び／又は他の信号などの無線通信信号を含んでもよい。ネットワークインターフェース６８５は、モバイル通信用のＷＷＡＮ（ＧＳＭ（登録商標）、ＣＤＭＡ、及びＷＣＤＭＡ（登録商標））、ＷＬＡＮ（Ｂｌｕｅｔｏｏｔｈ（登録商標）及びＷｉ−Ｆｉを含む）、ＷＭＡＮ（ＷｉＭＡＸ）、無線パーソナルエリアネットワーク（Wireless Personal Area Network、ＷＰＡＮ）アプリケーション用のアンテナ（ＲＦＩＤ及びＵＷＢを含む）、などの１つ以上を可能にしてもよい。

Ｉ／Ｏコントローラ６２０は、ネットワークインターフェース６８５及び／又は記憶インターフェース６８０と連携して動作してもよい。ネットワークインターフェース６８５は、システム６００が、図１のネットワーク１１５を介して、クライアントデバイス（例えば、図１のデバイス１０５）、及び／又は他のデバイスと通信する能力を備えることを可能にしてもよい。ネットワークインターフェース６８５は、有線及び／又は無線ネットワーク接続を提供してもよい。一部の場合には、ネットワークインターフェース６８５は、イーサネット（登録商標）アダプタ又はファイバーチャネルアダプタを含んでもよい。記憶インターフェース６８０は、システム６００が１つ以上のデータ記憶デバイスにアクセスすることを可能にしてもよい。１つ以上のデータ記憶デバイスは、それぞれ２つ以上のデータ階層を含んでもよい。記憶インターフェース６８０は、イーサネット（登録商標）アダプタ、ファイバーチャネルアダプタ、ファイバーチャネルプロトコル（Fibre Channel Protocol、ＦＣＰ）アダプタ、ＳＣＳＩアダプタ、及びｉＳＣＳＩプロトコルアダプタのうちの１つ以上を含んでもよい。

図７は、クライアントシステム７０５、７１０、及び７１５、並びにストレージサーバー７２０−ａ及び７２０−ｂ（いずれもコンピュータシステム６００を使用して実装することができる）がネットワーク７３０に結合されたネットワークアーキテクチャ７００を示すブロック図である。一実施形態では、データ分類モジュール１４５−ｄは、本発明のシステム及び方法を実装するために、ストレージサーバー７２０−ａ、７２０−ｂのうちの一方の内部に位置してもよい。データ分類モジュール１４５−ｄは、図１、図２、図３、及び／又は図６に示されるデータ分類モジュール１４５の一実施例であってもよい。ストレージサーバー７２０−ａは、記憶デバイス７２５−ａ−ｌ〜７２５−ａ−ｊが直接取り付けられたように更に示され、ストレージサーバー７２０−ｂは、記憶デバイス７２５−ｂ−ｌ〜７２５−ｂ−ｋが直接取り付けられた状態で示されている。ＳＡＮファブリック７４０は、ストレージサーバー７２０−ａ及び７２０−ｂにより、またネットワーク７３０を介してクライアントシステム７０５、７１０、及び７１５により、記憶デバイス７３５−ｌ〜７３５−ｍへのアクセスをサポートする。インテリジェントストレージアレイ７４５も、ＳＡＮファブリック７４０を介してアクセス可能な特定の記憶デバイスの一実施例として図示されている。

コンピュータシステム６００を参照すると、ネットワークインターフェース６８５、又はいくつかの他の方法を使用して、クライアントシステム７０５、７１０、及び７１５のそれぞれからネットワーク７３０への接続性を提供することができる。クライアントシステム７０５、７１０、及び７１５は、例えば、ウェブブラウザ又は他のクライアントソフトウェア（図示せず）を使用して、ストレージサーバー７２０−ａ又は７２０−ｂ上の情報にアクセスすることが可能である。このようなクライアントは、クライアントシステム７０５、７１０、及び７１５が、ストレージサーバー７２０−ａ若しくは７２０−ｂ、又は記憶デバイス７２５−ａ−ｌ〜７２５−ａ−ｊ、７２５−ｂ−ｌ〜７２５−ｂ−ｋ、７３５−ｌ〜７３５−ｍのうちの１つ、又はインテリジェントストレージアレイ７４５によってホストされるデータにアクセスすることを可能にする。図７は、データを交換するために（インターネットなどの）ネットワークを使用することを示しているが、本発明のシステム及び方法は、インターネット又は任意の特定のネットワークベースの環境に限定されない。

前述の開示は、特定のブロック図、フローチャート、及び実施例を使用して様々な実施形態を記載しているが、本明細書に記載及び／又は図示されるそれぞれのブロック図の構成要素、フローチャートの工程、動作、及び／又は構成要素は、個別にかつ／又は集合的に、広範なハードウェア、ソフトウェア、又はファームウェア（若しくはそれらの任意の組み合わせ）の構成を使用して実装されてもよい。それに加えて、同じ機能性を達成するように他の多くのアーキテクチャを実装することができるので、他の構成要素内に包含される構成要素のあらゆる開示は、本質的に例示と見なされるべきである。

本明細書に記載及び／又は図示されるプロセスパラメータ及び工程の順序は、単なる例として与えられるものであり、所望に応じて変更することができる。例えば、本明細書に図示及び／又は記載される工程は特定の順序で図示又は考察されることがあるが、これらの工程は、必ずしも図示又は考察される順序で実施される必要はない。本明細書に記載及び／又は図示される様々な例示的な方法はまた、本明細書に記載若しくは図示される工程の１つ以上を省略するか、又は開示されるものに加えて追加の工程を含んでもよい。

更に、様々な実施形態を、完全に機能的なコンピューティングシステムの文脈において本明細書に記載及び／又は例証してきたが、これらの例示的な実施形態の１つ以上は、実際に配布を実施するために使用されるコンピュータ可読媒体の特定のタイプにかかわらず、様々な形態のプログラム製品として配布されてもよい。本明細書に開示される実施形態はまた、特定のタスクを実施するソフトウェアモジュールを使用して実装されてもよい。これらのソフトウェアモジュールは、コンピュータ可読記憶媒体又はコンピューティングシステムに記憶されてもよい、スクリプト、バッチ、若しくは他の実行可能ファイルを含んでもよい。一部の実施形態では、これらのソフトウェアモジュールは、本明細書に開示される例示的な実施形態の１つ以上を実施するようにコンピューティングシステムを構成してもよい。

上記の記載は、説明を目的として特定の実施形態を参照して記載してきた。しかしながら、上述の例示的な考察は、包括的であること、又は本発明を開示される正確な形態に限定することを意図するものではない。上述の教示を考慮して、多くの修正及び変形が可能である。実施形態は、本発明のシステム及び方法並びにそれらの実際の適用の原理を最も良く説明するために選択し記載したものであり、それによって他の当業者が、企図される特定の用途に好適であり得る様々な修正を用いて、本発明のシステム及び方法並びに様々な実施形態を最大限に利用することが可能になる。

別途記載のない限り、「ａ」又は「ａｎ」という用語は、本明細書及び特許請求の範囲で使用するとき、「〜の少なくとも１つ」を意味すると解釈されるものとする。それに加えて、使用しやすくするため、「含む」及び「有する」という語は、本明細書及び特許請求の範囲で使用するとき、「備える」という語と交換可能であり、同じ意味を有する。それに加えて、「〜に基づく」という用語は、本明細書及び特許請求の範囲で使用するとき、「少なくとも〜に基づく」を意味すると解釈されるものとする。

本明細書で使用するとき、「セキュリティアクション」という用語は、ファイルが何らかのタイプのマルウェアを含む可能性が高いと判定した後に、本明細書に記載されるシステムがとり得る任意の数のアクションを指し得る。例えば、セキュリティアクションのタイプは、ファイルがコンピューティングデバイス上で任意のアクションを実施することを防止して管理者にファイルの潜在的な悪意を警告することを含み、ファイルを隔離し、ファイルを削除し、ファイルのダウンロードを阻止し、及び／又はファイルについてユーザーに警告してもよい。それに加えて、本明細書に記載されるシステムは、ファイル以外のオブジェクトに対してセキュリティアクションを実施してもよい。例えば、本明細書に記載されるシステムは、悪意のあるＵＲＬ及び／又はＩＰアドレスをブラックリストに載せることができる。したがって、本明細書に記載される方法及びシステムと連携するセキュリティアクションは、１つ以上のコンピューティングデバイスのハードウェア、ファームウェア、ソフトウェア、又はそれらの任意の組み合わせを悪意のある攻撃から保護することによって、１つ以上のコンピューティングデバイスのセキュリティ及び動作完全性を改善し得る。これらは、本明細書に記載されるシステムによって実施され得るセキュリティアクションのタイプの網羅的なリストではないことを理解されたい。他のセキュリティアクションもまた、本開示に含まれる。

Claims (20)

1. アプリケーションデータを分類する方法であって、
   アプリケーションの起動を検出することと、
   前記アプリケーションに対して実施されたアクションを検出することであって、前記アプリケーションが、前記検出されたアクションと関連付けられたデータの少なくとも一部分を暗号化するように構成されている、検出することと、
   前記アプリケーションが前記データの前記少なくとも一部分を暗号化する前に、前記検出されたアクションと関連付けられた前記データを捕捉することと、
   前記捕捉されたデータを分析することと、
   前記捕捉されたデータの前記分析に少なくとも部分的に基づいて、ネットワーク管理ポリシーをパケットフローに適用することと、を含む、方法。
2. 複数の未識別パケットフローから、前記捕捉されたデータと関連付けられたパケットフローを識別することと、
   前記アプリケーションの前記検出された起動と関連付けられたユーザー識別子、前記アプリケーションのイニシエータ、前記アプリケーションと関連付けられたファイルのサイズ、前記ファイルのファイルハッシュ、ファイル名、又はそれらの任意の組み合わせのうちの少なくとも１つを判定することと、を更に含む、請求項１に記載の方法。
3. 前記識別されたパケットフローを、前記捕捉されたデータ、前記判定されたユーザー識別子、前記アプリケーションの前記判定されたイニシエータ、前記アプリケーションと関連付けられた前記ファイルの前記判定されたサイズ、前記ファイルの前記判定されたファイルハッシュ、ファイル名、又はそれらの任意の組み合わせのうちの少なくとも１つと関連付けることを更に含む、請求項２に記載の方法。
4. 前記捕捉されたデータの前記分析、前記検出されたアクション、前記アプリケーションと関連付けられたアプリケーションカテゴリ、又はそれらの任意の組み合わせに少なくとも部分的に基づいて、前記捕捉されたデータを分類することと、
   前記捕捉されたデータの前記分類に少なくとも部分的に基づいて、前記ネットワーク管理ポリシーを前記識別されたパケットフローに適用することと、を更に含み、前記ネットワーク管理ポリシーの態様が、実施された前記アクションの検出に対して検出されたアクションのタイプに少なくとも部分的に基づいて適用される、請求項３に記載の方法。
5. 前記検出されたアクションが、前記アプリケーションのユーザーインターフェースメニュー項目に対するユーザー入力、前記アプリケーションのボタンに対するユーザー入力、前記アプリケーションの入力ボックスに対するユーザー入力、前記アプリケーションに入力されたデータを検出すること、前記アプリケーションへのファイルアップロードを識別すること、前記アプリケーションからのファイルダウンロードを識別すること、前記アプリケーションに関するファイル削除を識別すること、前記アプリケーションを介したデータの修正を識別すること、メディアファイルを再生すること、メディアファイルをストリーミングすること、クラウドストレージからファイルを削除すること、チャットセッションを起動すること、ビデオ通話を開始すること、又はそれらの任意の組み合わせのうちの少なくとも１つを含む、請求項１に記載の方法。
6. 前記アプリケーションの前記ボタンを識別することと、
   検出されたカーソル位置に関する前記ボタンの前記識別に少なくとも部分的に基づいて、前記検出されたアクションを解釈することと、を更に含む、請求項５に記載の方法。
7. 前記捕捉されたデータと関連付けられた識別子を識別することを更に含み、前記識別子が、アプリケーションプロトコル、レイヤー４プロトコル、レイヤー３プロトコル、レイヤー３アドレス、レイヤー４ポート番号、又はそれらの任意の組み合わせのうちの少なくとも１つを含む、請求項１に記載の方法。
8. 前記分析に少なくとも部分的に基づいてセキュリティアクションを実施することを更に含み、前記セキュリティアクションを実施することが、
   前記アプリケーションと関連付けられた不審なアクティビティを検出することと、
   前記不審なネットワークトラフィックと関連付けられたイントラネットの１つ以上のデバイスを識別することと、を含む、請求項１に記載の方法。
9. 前記セキュリティアクションを実施することが、
   前記イントラネットの前記１つ以上のデバイスに関して前記不審なトラフィックをマッピングすることと、
   前記マッピングに少なくとも部分的に基づいて、前記不審なネットワークトラフィックの発信元を識別することと、を含む、請求項８に記載の方法。
10. 前記アプリケーションが、ウェブブラウザを介してアクセスされるオンラインアプリケーション、クラウドベースのアプリケーション、ウェブベースのアプリケーション、インターネットにアクセスするように構成されたモバイルアプリケーション、インターネットにアクセスするように構成されたデスクトップアプリケーションのうちの少なくとも１つを含む、請求項１に記載の方法。
11. アプリケーションデータを分類するように構成されたコンピューティングデバイスであって、
    プロセッサと、
    前記プロセッサと電子的に通信しているメモリと、を更に備え、前記メモリが、前記プロセッサによって実行されると、前記プロセッサに、
    アプリケーションの起動を検出する工程と、
    前記アプリケーションに対して実施されたアクションを検出する工程であって、前記アプリケーションが、前記検出されたアクションと関連付けられたデータの少なくとも一部分を暗号化するように構成されている、検出する工程と、
    前記アプリケーションが前記データの前記少なくとも一部分を暗号化する前に、前記検出されたアクションと関連付けられた前記データを捕捉する工程と、
    前記捕捉されたデータを分析する工程と、
    前記捕捉されたデータの前記分析に少なくとも部分的に基づいて、ネットワーク管理ポリシーをパケットフローに適用する工程と、を実施させるコンピュータ実行可能命令を記憶する、コンピューティングデバイス。
12. 前記プロセッサによって実行される前記命令が、前記プロセッサに、
    複数の未識別パケットフローから、前記捕捉されたデータと関連付けられたパケットフローを識別する工程と、
    前記アプリケーションの前記検出された起動と関連付けられたユーザー識別子、前記アプリケーションのイニシエータ、前記アプリケーションと関連付けられたファイルのサイズ、前記ファイルのファイルハッシュ、ファイル名、又はそれらの任意の組み合わせのうちの少なくとも１つを判定する工程と、を実施させる、請求項１１に記載のコンピューティングデバイス。
13. 前記プロセッサによって実行される前記命令が、前記プロセッサに、
    前記識別されたパケットフローを、前記捕捉されたデータ、前記判定されたユーザー識別子、前記アプリケーションの前記判定されたイニシエータ、前記アプリケーションと関連付けられた前記ファイルの前記判定されたサイズ、前記ファイルの前記判定されたファイルハッシュ、ファイル名、又はそれらの任意の組み合わせのうちの少なくとも１つと関連付ける工程を実施させる、請求項１２に記載のコンピューティングデバイス。
14. 前記プロセッサによって実行される前記命令が、前記プロセッサに、
    前記捕捉されたデータの前記分析、前記検出されたアクション、前記アプリケーションと関連付けられたアプリケーションカテゴリ、又はそれらの任意の組み合わせに少なくとも部分的に基づいて、前記捕捉されたデータを分類する工程と、
    前記捕捉されたデータの前記分類に少なくとも部分的に基づいて、前記ネットワーク管理ポリシーを前記識別されたパケットフローに適用する工程と、を実施させ、前記ネットワーク管理ポリシーの態様が、実施される前記アクションの検出に対して検出されたアクションのタイプに少なくとも部分的に基づいて適用される、請求項１３に記載のコンピューティングデバイス。
15. 前記検出されたアクションが、前記アプリケーションのユーザーインターフェースメニュー項目に対するユーザー入力、前記アプリケーションのボタンに対するユーザー入力、前記アプリケーションの入力ボックスに対するユーザー入力、前記アプリケーションに入力されたデータを検出すること、前記アプリケーションへのファイルアップロードを識別すること、前記アプリケーションからのファイルダウンロードを識別すること、前記アプリケーションに関するファイル削除を識別すること、前記アプリケーションを介したデータの修正を識別すること、メディアファイルを再生すること、メディアファイルをストリーミングすること、クラウドストレージからファイルを削除すること、チャットセッションを起動すること、ビデオ通話を開始すること、又はそれらの任意の組み合わせのうちの少なくとも１つを含む、請求項１１に記載のコンピューティングデバイス。
16. 前記プロセッサによって実行される前記命令が、前記プロセッサに、
    前記アプリケーションの前記ボタンを識別する工程と、
    検出されたカーソル位置に関する前記ボタンの前記識別に少なくとも部分的に基づいて、前記検出されたアクションを解釈する工程と、を実施させる、請求項１５に記載のコンピューティングデバイス。
17. 前記プロセッサによって実行される前記命令が、前記プロセッサに、
    前記捕捉されたデータと関連付けられた識別子を識別する工程を実施させ、前記識別子が、アプリケーションプロトコル、レイヤー４プロトコル、レイヤー３プロトコル、レイヤー３アドレス、レイヤー４ポート番号、又はそれらの任意の組み合わせのうちの少なくとも１つを含む、請求項１１に記載のコンピューティングデバイス。
18. 前記プロセッサによって実行される前記命令が、前記プロセッサに、
    前記分析に少なくとも部分的に基づいてセキュリティアクションを実施する工程を実施させ、前記セキュリティアクションを実施することが、
    前記アプリケーションと関連付けられた不審なアクティビティを検出することと、
    前記不審なネットワークトラフィックと関連付けられたイントラネットの１つ以上のデバイスを識別することと、を含む、請求項１１に記載のコンピューティングデバイス。
19. コンピュータ実行可能命令を記憶した非一時的コンピュータ可読記憶媒体であって、前記コンピュータ実行可能命令が、プロセッサによって実行されると、前記プロセッサに、
    アプリケーションの起動を検出する工程と、
    前記アプリケーションに対して実施されたアクションを検出する工程であって、前記アプリケーションが、前記検出されたアクションと関連付けられたデータの少なくとも一部分を暗号化するように構成されている、検出する工程と、
    前記アプリケーションが前記データの前記少なくとも一部分を暗号化する前に、前記検出されたアクションと関連付けられた前記データを捕捉する工程と、
    前記捕捉されたデータを分析する工程と、
    前記捕捉されたデータの前記分析に少なくとも部分的に基づいて、ネットワーク管理ポリシーをパケットフローに適用する工程と、を実施させる、非一時的コンピュータ可読記憶媒体。
20. 前記プロセッサによって実行される前記命令が、前記プロセッサに、
    複数の未識別パケットフローから、前記捕捉されたデータと関連付けられたパケットフローを識別する工程と、
    前記アプリケーションの前記検出された起動と関連付けられたユーザー識別子、前記アプリケーションのイニシエータ、前記アプリケーションと関連付けられたファイルのサイズ、前記ファイルのファイルハッシュ、ファイル名、又はそれらの任意の組み合わせのうちの少なくとも１つを判定する工程と、を実施させる、請求項１９に記載のコンピュータプログラム製品。

Images