JP2020514903A - 動的ネットワークセキュリティポリシーを施行するためのシステム及び方法 - Google Patents

Abstract

動的ネットワークセキュリティポリシーを施行するためのコンピュータ実装方法は、（ｉ）ネットワークトラフィック保護システムによって、ネットワークセグメント上で送信されるネットワークパケットを監視することと、（ｉｉ）ネットワークトラフィック保護システムによって、ネットワークセグメントに接続されたエンドポイントコンピューティングデバイスに関連付けられた少なくとも１つのネットワークパケットの疑わしい送信を検出することと、（ｉｉｉ）ネットワークパケットの疑わしい送信に基づいて、ネットワークセグメントに対する少なくとも１つのネットワークセキュリティポリシーを修正することと、（ｉｖ）ネットワークトラフィック保護システムによって、ネットワークセグメントに接続された全てのエンドポイントコンピューティングデバイスに対する修正されたネットワークセキュリティポリシーを施行することと、を含み得る。様々な他の方法、システム、及びコンピュータ可読媒体も開示される。

Description

ネットワークコンピューティングシステム、特に組織又は企業向けは、多くの場合、悪意のある攻撃がネットワーク内で広がるのを防止するために厳格なネットワークセキュリティを必要とする。例えば、マルウェアに感染し、信頼できるネットワークに接続された単一のコンピューティングデバイスは、同じネットワーク上の他のデバイスに対するセキュリティ脆弱性を生成し得る。従来、ネットワークマネージャ及び様々なソフトウェアは、ネットワーク又はネットワークセグメントのセキュリティの監視を提供するために使用され得る。これらのマネージャは、ネットワーク上のアクティビティを監視し、エンドポイントデバイスへの及びエンドポイントデバイスからのネットワークトラフィックの制御を通じてセキュリティポリシーを施行し得る。

しかしながら、ネットワークマネージャは必ずしもセキュリティポリシーを適時に更新できない場合がある。例えば、セキュリティポリシーは、エンドポイントデバイス構成の突然の変化、又は予想外のトラフィックの出現を考慮しない場合がある。それに加えて、ネットワーク上の個々のエンドポイントデバイスは、ネットワークマネージャのセキュリティポリシーと不適合であり得る独自の特定のセキュリティ要件又はポリシーを有し得る。更に、組織内の異なるネットワークセグメントは、異なるポリシーを必要とする場合があり、エンドポイントデバイスは、これらの異なるポリシーのそれぞれに準拠しない場合がある。例えば、金融部門のネットワークは、顧客サービス部門のネットワークよりも厳格なポリシーを有し得る。顧客サービスネットワークから金融ネットワークへ移動する従業員のエンドポイントデバイスは、新しいネットワークセグメントのポリシーに突然非準拠になり得る。したがって、本開示は、動的ネットワークセキュリティポリシーを施行するためのシステム及び方法に対するニーズを特定し、それに対処する。

以下で更に詳細に説明するように、本開示は、動的ネットワークセキュリティポリシーを施行するための様々なシステム及び方法を記載する。一実施例では、動的ネットワークセキュリティポリシーを施行するためのコンピュータ実装方法は、（ｉ）ネットワークトラフィック保護システムによって、ネットワークセグメント上で送信されるネットワークパケットを監視することと、（ｉｉ）ネットワークトラフィック保護システムによって、ネットワークセグメントに接続されたエンドポイントコンピューティングデバイスに関連付けられた少なくとも１つのネットワークパケットの疑わしい送信を検出することと、（ｉｉｉ）ネットワークパケットの疑わしい送信に基づいて、ネットワークセグメントに対する少なくとも１つのネットワークセキュリティポリシーを修正することと、（ｉｖ）ネットワークトラフィック保護システムによって、ネットワークセグメントに接続された全てのエンドポイントコンピューティングデバイスに対する修正されたネットワークセキュリティポリシーを施行することと、を含んでもよい。

一実施形態では、エンドポイントコンピューティングデバイスは、ネットワークセグメントに接続されている間にネットワークトラフィック保護システムとペアリングすることができるソフトウェアを実行するコンピューティングデバイスを含んでもよい。

いくつかの実施例では、ネットワークパケットの疑わしい送信を検出することは、ネットワークパケットを傍受することを含んでもよい。これらの実施例では、ネットワークパケットの疑わしい送信を検出することはまた、エンドポイントコンピューティングデバイスの予期されるネットワークトラフィックプロファイルに基づいて、ネットワークパケットの送信が疑わしいと判定することを含んでもよい。

いくつかの実施形態では、ネットワークセグメントに対するネットワークセキュリティポリシーを修正することは、エンドポイントコンピューティングデバイスをブロックすること、及び／又はネットワークトラフィックを制限することを含んでもよい。それに加えて、又は代替的に、ネットワークセキュリティポリシーを修正することは、エンドポイントコンピューティングデバイスをデバイスのブラックリストに追加すること、及び／又はネットワークパケットの疑わしい送信の完了を防止することを含んでもよい。

一実施例では、修正されたネットワークセキュリティポリシーを施行することは、修正されたネットワークセキュリティポリシーを、ネットワークセグメントに接続されたエンドポイントコンピューティングデバイスにプッシュすること、及び／又はネットワークトラフィックが修正されたネットワークセキュリティポリシーに従うことを保証することを含んでもよい。それに加えて、又は代替的に、修正されたネットワークセキュリティポリシーを施行することは、ネットワークセグメントに接続された非準拠のエンドポイントコンピューティングデバイスを制限することを含んでもよい。

いくつかの実施形態では、コンピュータ実装方法は、関連するネットワークセグメントを監視する関連するネットワークトラフィック保護システムに、修正されたネットワークセキュリティポリシーを送信することを更に含んでもよい。これらの実施形態では、関連するネットワークセグメントは、ネットワークセグメントを含むネットワークセグメントのクラスタ内に第２のネットワークセグメントを含んでもよい。

一実施例では、コンピュータ実装方法は、ネットワークパケットの疑わしい送信に関連する少なくとも１つのソフトウェアアプリケーションを識別することと、エンドポイントコンピューティングデバイスからソフトウェアアプリケーションに関する追加情報を要求することと、追加情報に基づいてセキュリティアクションを実施することと、を更に含んでもよい。この実施例では、セキュリティアクションは、エンドポイントコンピューティングデバイスのユーザの改ざんを検出すること、ソフトウェアアプリケーションのインストールにおける異常を検出すること、ソフトウェアアプリケーションが悪意のあるものであり得ると判断すること、ソフトウェアアプリケーションに関するユーザアクティビティのログを要求すること、及び／又はエンドポイントコンピューティングデバイスを制限することを含んでもよい。

一実施形態では、上述の方法を実装するためのシステムは、（ｉ）ネットワークトラフィック保護システムによって、ネットワークセグメント上で送信されるネットワークパケットを監視する、メモリに記憶された監視モジュールと、（ｉｉ）ネットワークトラフィック保護システムによって、ネットワークセグメントに接続されたエンドポイントコンピューティングデバイスに関連付けられた少なくとも１つのネットワークパケットの疑わしい送信を検出する、メモリに記憶された検出モジュールと、（ｉｉｉ）ネットワークパケットの疑わしい送信に基づいて、ネットワークセグメントに対する少なくとも１つのネットワークセキュリティポリシーを修正する、メモリに記憶された修正モジュールと、（ｉｖ）ネットワークトラフィック保護システムによって、ネットワークセグメントに接続された全てのエンドポイントコンピューティングデバイスに対する修正されたネットワークセキュリティポリシーを施行する、メモリに記憶された施行モジュールと、を含んでもよい。それに加えて、システムは、監視モジュール、検出モジュール、修正モジュール、及び施行モジュールを実行する少なくとも１つのプロセッサを含んでもよい。

一部の実施例では、上述の方法は、非一時的コンピュータ可読媒体上のコンピュータ可読命令としてコード化されてもよい。例えば、コンピュータ可読媒体は、コンピューティングデバイスの少なくとも１つのプロセッサによって実行されると、コンピューティングデバイスに、（ｉ）ネットワークトラフィック保護システムによって、ネットワークセグメント上で送信されたネットワークパケットを監視させ、（ｉｉ）ネットワークトラフィック保護システムによって、ネットワークセグメントに接続されたエンドポイントコンピューティングデバイスに関連付けられた少なくとも１つのネットワークパケットの疑わしい送信を検出させ、（ｉｉｉ）ネットワークパケットの疑わしい送信に基づいて、ネットワークセグメントに対する少なくとも１つのネットワークセキュリティポリシーを修正させ、かつ、（ｉｖ）ネットワークトラフィック保護システムによって、ネットワークセグメントに接続された全てのエンドポイントコンピューティングデバイスに対する修正されたネットワークセキュリティポリシーを施行させ得る、１つ以上のコンピュータ実行可能命令を含んでもよい。

一実施例では、動的ネットワークセキュリティポリシーを施行するための追加のコンピュータ実装方法は、（ｉ）ネットワークセキュリティエージェントによって、エンドポイントコンピューティングデバイスによるネットワークに接続する試みを検出することと、（ｉｉ）ネットワークセキュリティエージェントによって、ネットワークを管理するネットワークトラフィック保護システムとペアリングすることを試みることと、（ｉｉｉ）ネットワークトラフィック保護システムとペアリングする試みに基づいて、ネットワークに対するネットワークセキュリティポリシーのセットを受信することと、（ｉｖ）ネットワークに対するネットワークセキュリティポリシーの受信したセットに準拠するように、エンドポイントコンピューティングデバイスに対するセキュリティポリシーの元のセットを修正することと、（ｖ）ネットワークに接続する試みを完了することと、を含んでもよい。この例では、追加のコンピュータ実装方法は、ペアリングされたネットワークトラフィック保護システムにセキュリティ機能をオフロードすることを更に含んでもよい。

いくつかの実施形態では、ネットワークトラフィック保護システムとペアリングすることを試みることは、ネットワークセキュリティエージェントとネットワークトラフィック保護システムとの間で相互認証プロセスを実施することを含んでもよい。

一実施例では、ネットワークセキュリティポリシーのセットは、エンドポイントコンピューティングデバイスのユーザに対するユーザ固有のポリシー、及び／又はネットワークに対するネットワーク固有のポリシーを含んでもよい。それに加えて、又は代替的に、ネットワークセキュリティポリシーのセットは、エンドポイントコンピューティングデバイスに対するデフォルトポリシーを含んでもよい。

一実施形態では、セキュリティポリシーの元のセットを修正することは、セキュリティポリシーの元のセットを、ネットワークセキュリティポリシーの受信したセットに置き換えること、及び／又はネットワークセキュリティポリシーの受信したセットをセキュリティポリシーの元のセットに追加することを含んでもよい。それに加えて、又は代替的に、セキュリティポリシーの元のセットを修正することは、ネットワークセキュリティポリシーの受信したセットに準拠するようにセキュリティポリシーの元のセットの一部を改訂することを含んでもよい。

いくつかの実施例では、追加のコンピュータ実装方法は、ネットワークトラフィック保護システムから、ネットワークの少なくとも１つの位置属性を受信することを更に含んでもよい。これらの実施例では、ネットワークの位置属性は、ネットワークの物理的位置及び／又はネットワークのタイプを含んでもよい。これらの実施例では、追加のコンピュータ実装方法はまた、ネットワークの位置属性及びネットワークトラフィック保護システムとペアリングする試みに基づいて、ネットワークの信頼性を計算することと、ネットワークの計算された信頼性基づいて、エンドポイントコンピューティングデバイスに対する少なくとも１つのセキュリティポリシーを修正することと、を含んでもよい。

いくつかの実施形態では、追加のコンピュータ実装方法は、ネットワークセキュリティエージェントによって、ネットワークからの切断を検出することを更に含んでもよい。これらの実施形態では、追加のコンピュータ実装方法は、エンドポイントコンピューティングデバイスのセキュリティポリシーの元のセットを再適用することを含んでもよい。

一実施例では、動的ネットワークセキュリティポリシーを施行するための追加のシステムは、（ｉ）ネットワークトラフィック保護システムによって、ネットワークセグメント上で送信されるネットワークパケットを監視し、（ｉｉ）ネットワークトラフィック保護システムによって、ネットワークセグメントに接続されたエンドポイントコンピューティングデバイスと関連付けられた少なくとも１つのネットワークパケットの疑わしい送信を検出し、（ｉｉｉ）ネットワークパケットの疑わしい送信に基づいて、ネットワークセグメントに対する少なくとも１つのネットワークセキュリティポリシーを修正し、かつ、（ｉｖ）ネットワークトラフィック保護システムによって、ネットワークセグメントに接続された全てのエンドポイントコンピューティングデバイスに対する修正されたネットワークセキュリティポリシーを施行するように構成された、ネットワークコンピューティングデバイスを含んでもよい。それに加えて、エンドポイントコンピューティングデバイスは、（ｉ）ネットワークセキュリティエージェントによって、ネットワークセグメントに接続する試みを検出し、（ｉｉ）ネットワークセキュリティエージェントによって、ネットワークセグメントを管理するネットワークトラフィック保護システムとペアリングすることを試み、（ｉｉｉ）ネットワークトラフィック保護システムとペアリングする試みに基づいて、ネットワークセグメントに対するネットワークセキュリティポリシーのセットを受信し、（ｉｖ）ネットワークセグメントに対する受信したネットワークセキュリティポリシーの受信したセットに準拠するように、エンドポイントコンピューティングデバイスに対するセキュリティポリシーの元のセットを修正し、かつ、（ｖ）ネットワークセグメントに接続する試みを完了するように構成されてもよい。

上述の実施形態のいずれかによる特徴は、本明細書に記載される一般原理に従って、互いに組み合わせて使用されてもよい。これら及び他の実施形態、特徴、及び利点は、添付の図面及び特許請求の範囲と併せて以下の発明を実施するための形態を読むことによって更に十分に理解されるだろう。

添付の図面は、いくつかの例示的な実施形態を図示するものであり、本明細書の一部である。以下の説明と併せて、これらの図面は、本開示の様々な原理を実証及び説明する。
動的ネットワークセキュリティポリシーを施行するための例示的なシステムのブロック図である。 動的ネットワークセキュリティポリシーを施行するための追加の例示的なシステムのブロック図である。 動的ネットワークセキュリティポリシーを施行するための例示的な方法のフローチャートである。 ネットワークセグメントの例示的クラスタにおける修正されたネットワークセキュリティポリシーの例示的な伝搬のブロック図である。 例示的なエンドポイントコンピューティングデバイス上の例示的なソフトウェアアプリケーションの検出に応答して実施される、例示的なセキュリティアクションのブロック図である。 例示的なエンドポイントコンピューティングデバイスと例示的なネットワークとの間の例示的なペアリングのブロック図である。 例示的な位置属性に基づいて計算された例示的なネットワーク信頼性のブロック図である。 動的ネットワークセキュリティポリシーを施行するための追加の例示的な方法のフローチャートである。 本明細書に記載及び／又は図示される実施形態のうちの１つ以上を実装することができる例示的なコンピューティングシステムのブロック図である。 本明細書に記載及び／又は図示される実施形態のうちの１つ以上を実装することができる例示的なコンピューティングネットワークのブロック図である。

図面を通して、同一の参照符号及び記述は、必ずしも同一ではないが、類似の要素を示す。本明細書で説明される例示的実施形態は、様々な修正物及び代替的な形態が可能であるが、特定の実施形態が例として図面に示されており、本明細書に詳細に記載される。しかしながら、本明細書に記載される例示的実施形態は、開示される特定の形態に限定されることを意図しない。むしろ、本開示は、添付の「特許請求の範囲」内にある全ての修正物、等価物、及び代替物を網羅する。

本開示は、概して、動的ネットワークセキュリティポリシーを施行するためのシステム及び方法を目的とする。以下でより詳細に説明するように、ネットワークトラフィックを監視及び傍受することによって、本明細書に記載されるシステム及び方法は、ネットワーク内のセキュリティポリシーの動的調整を可能にし得る。例えば、ネットワークトラフィックをエンドポイントデバイスの予期されるトラフィックプロファイルと比較することによって、開示されるシステム及び方法は、特定のデバイスに関するトラフィックが疑わしいかどうかを判定し、そのデバイスに関するソフトウェアコンプライアンスの問題の検出を可能にし得る。セキュリティポリシーをエンドポイントデバイスにプッシュし、非準拠のデバイスのネットワークトラフィックをブロックすることによって、本明細書に記載されるシステム及び方法は、次いで、同じネットワーク上の他のデバイスに対するネットワークセキュリティを保証し得る。

更に、同じ組織内のネットワークセグメントなどの関連するネットワークセグメントをクラスタリングすることによって、開示されるシステム及び方法は、階層構造内のセグメント又はクラスタにわたってセキュリティポリシーを伝搬し得る。いくつかの実施例では、本明細書に記載されるシステム及び方法は、ネットワークトラフィック保護システムとエンドポイントデバイスとをペアリングして、エンドポイントデバイスが一部のネットワークセキュリティ応答性を信頼できるネットワークトラフィック保護システムにオフロードすることを可能にし得る。開示されるシステム及び方法はまた、エンドポイントデバイスが、ネットワーク又は接続するネットワークのタイプに基づいて、ローカルセキュリティポリシーを動的に調整することを可能にし得る。

それに加えて、本明細書に記載されるシステム及び方法は、デバイスがネットワークに接続され、ネットワークトラフィックの安全性を保証するときに、ネットワークセキュリティポリシーへの準拠を施行することによって、コンピューティングデバイスの機能を改善し得る。これらのシステム及び方法はまた、ネットワークマネージャ及びエンドポイントデバイスを相互に認証することによって、ネットワークセキュリティ及びエンドポイントセキュリティの分野を改善し得る。このように、これらのシステム及び方法は、ネットワークの脅威に自動的に応答するリアルタイムな動的ネットワークセキュリティを提供し得る。

以下に、図１及び図２を参照して、動的ネットワークセキュリティポリシーを施行するための例示的なシステムの詳細な説明を提供する。対応するコンピュータ実装方法の詳細な説明も図３に関連して提供される。ネットワークセグメントの例示的なクラスタにおける修正されたネットワークセキュリティポリシーの例示的な伝搬の詳細な説明は、図４に関連して提供される。例示的なエンドポイントコンピューティングデバイス上の例示的なソフトウェアアプリケーションの検出に応答して実施される例示的なセキュリティアクションの詳細な説明も、図５に関連して提供される。それに加えて、例示的なエンドポイントコンピューティングデバイスと例示的なネットワークとの間の例示的なペアリングの詳細な説明は、図６に関連して提供される。更に、例示的な位置属性に基づいて計算された例示的なネットワーク信頼性の詳細な説明は、図７に関連して提供される。追加の対応するコンピュータ実装方法の詳細な説明は、図８に関連して提供される。最後に、本明細書に記載の実施形態のうちの１つ以上を実装することができる例示的なコンピューティングシステム及びネットワークアーキテクチャの詳細な説明が、それぞれ、図９及び図１０に関連して提供される。

図１は、動的ネットワークセキュリティポリシーを施行するための例示的なシステム１００のブロック図である。本明細書で使用するとき、用語「セキュリティポリシー」は、一般に、コンピューティングデバイス又はシステムのセキュリティを管理するための規則又は制約のセットを指す。とりわけ、本明細書で使用するとき、用語「ネットワークセキュリティポリシー」は、一般に、コンピュータネットワーク上のコンピューティングデバイスのアクセス又は行為を対象とするセキュリティポリシーを指す。

図１に図示されるように、例示的なシステム１００は、１つ以上のタスクを実施するための１つ以上のモジュール１０２を含んでもよい。例えば、以下でより詳細に説明するように、モジュール１０２は、ネットワークトラフィック保護システムによって、ネットワークセグメント上で送信されるネットワークパケットを監視する監視モジュール１０４を含んでもよい。本明細書で使用するとき、用語「ネットワークトラフィック保護システム」及び「ネットワークマネージャ」は、概して、トラフィック分類、帯域幅管理、及びポリシー施行で使用されるデバイス又はソフトウェアを指し、これは、ネットワークパケット及び／若しくはトラフィックを遅延させるか又は優先して、所望のネットワークポリシーへの準拠を保証する方法を含み得る。本明細書で使用するとき、用語「ネットワークパケット」は、概して、ネットワークを介して送信され得るデータの単位を指す。更に、本明細書で使用するとき、用語「ネットワークセグメント」は、概して、物理的又は論理的手段によって他のセグメント又は残りのネットワークから分離され得るネットワークの一部を指す。

図１のモジュール１０２は、ネットワークトラフィック保護システムによって、ネットワークセグメントに接続されたエンドポイントコンピューティングデバイスに関連付けられた少なくとも１つのネットワークパケットの疑わしい送信を検出する検出モジュール１０６を追加的に含んでもよい。モジュール１０２はまた、ネットワークパケットの疑わしい送信に基づいて、ネットワークセグメントに対する少なくとも１つのネットワークセキュリティポリシーを修正する修正モジュール１０８を含んでもよい。モジュール１０２は、ネットワークトラフィック保護システムによって、ネットワークセグメントに接続された全てのエンドポイントコンピューティングデバイスに対する修正されたネットワークセキュリティポリシーを施行する、施行モジュール１１０を更に含んでもよい。別々の要素として図示されるが、図１のモジュール１０２のうちの１つ以上は、単一のモジュール若しくはアプリケーション又は複数のモジュール若しくはアプリケーションの部分を表し得る。

特定の実施形態では、図１のモジュール１００２のうちの１つ以上は、コンピューティングデバイスによって実行されると、コンピューティングデバイスに１つ以上のタスクを実施させ得る、１つ以上のソフトウェアアプリケーション又はプログラムを表し得る。例えば、より詳細に後述するように、モジュール１０２のうちの１つ以上は、図２に示されるデバイス（例えば、ネットワークコンピューティングデバイス２０２）などの１つ以上のコンピューティングデバイスに記憶され、その上で作動するように構成されている、モジュールを表し得る。図１のモジュール１０２のうちの１つ以上はまた、１つ以上のタスクを実施するように構成されている１つ以上の専用コンピュータの全て又は一部を表し得る。図２のネットワークコンピューティングデバイス２０２の一部として図示されているが、図１のモジュール１０２のうちの１つ以上は、ネットワークコンピューティングデバイス２０２及び／又はネットワーク（例えば、図２のネットワークセグメント２０４及び／又は図６のネットワーク６０２）を管理するために、別個のネットワークマネージャデバイス（例えば、図２のネットワークトラフィック保護システム２０８）によって実行されてもよい。

図１に示すように、例示的なシステム１００はまた、メモリ１４０などの１つ以上のメモリデバイスも含み得る。メモリ１４０は、一般に、データ及び／又はコンピュータ可読命令を記憶することができる任意のタイプ又は形態の揮発性又は不揮発性の記憶デバイス又は媒体を表す。一実施例では、メモリ１４０は、モジュール１０２のうちの１つ以上を記憶、ロード、及び／又は維持してもよい。メモリ１４０の例としては、非限定的に、ランダムアクセスメモリ（ＲＡＭ）、リードオンリーメモリ（ＲＯＭ）、フラッシュメモリ、ハードディスクドライブ（ＨＤＤ）、ソリッドステートドライブ（ＳＳＤ）、光ディスクドライブ、キャッシュ、それらのうちの１つ以上の変形形態若しくは組み合わせ、及び／又は任意の他の好適な記憶メモリが挙げられる。

図１に示すように、例示的なシステム１００はまた、物理プロセッサ１３０などの１つ以上の物理プロセッサも含み得る。物理プロセッサ１３０は、一般に、コンピュータ可読命令を解釈及び／又は実行することができる任意のタイプ又は形態のハードウェア実装処理ユニットを表す。一実施例では、物理プロセッサ１３０は、メモリ１４０に記憶されているモジュール１０２のうちの１つ以上にアクセスし、かつ／又はそれを変更することができる。それに加えて、又は代替的に、物理プロセッサ１３０は、動的ネットワークセキュリティポリシーの施行を容易にするために、モジュール１０２のうちの１つ以上を実行し得る。物理プロセッサ１３０の例としては、非限定的に、マイクロプロセッサ、マイクロコントローラ、中央処理装置（ＣＰＵ）、ソフトコアプロセッサを実装するフィールドプログラマブルゲートアレイ（ＦＰＧＡ）、特定用途向け集積回路（ＡＳＩＣ）、それらのうちの１つ以上の部分、それらのうちの１つ以上の変形形態若しくは組み合わせ、及び／又は任意の他の好適な物理プロセッサが挙げられる。

図１に示すように、例示的なシステム１００はまた、データベース１２０などの１つ以上のデータベースを含んでもよい。一実施例では、データベース１２０は、ネットワーク及び／又はネットワークセグメントを保護するための１つ以上のルールを含み得るネットワークセキュリティポリシー１２２を記憶するように構成されてもよい。データベース１２０は、単一のデータベース若しくはコンピューティングデバイスの部分、又は複数のデータベース若しくはコンピューティングデバイスの部分を表してもよい。例えば、データベース１２０は、図２のネットワークコンピューティングデバイス２０２の一部を表し得る。あるいは、図１のデータベース１２０は、図２のネットワークコンピューティングデバイス２０２、エンドポイントコンピューティングデバイス２０６（１）、及び／又はエンドポイントコンピューティングデバイス２０６（２）などのコンピューティングデバイスがアクセスできる１つ以上の物理的に別個のデバイスを表し得る。例えば、データベース１２０は、ネットワークセグメント２０４上に存在し、ネットワークコンピューティングデバイス２０２によってアクセスされてもよい。別の例として、データベース１２０は、ネットワークセグメント２０４又は別のネットワーク接続を介してネットワークコンピューティングデバイス２０２のようなネットワークマネージャによってアクセスされ得る、クラウドストレージなどの外部ストレージであってもよい。

図１の例示的なシステム１００は、様々な方法で実装され得る。例えば、例示的なシステム１００のうちの全て又は一部は、図２における例示的なシステム２００の部分を表してもよい。図２に示すように、システム２００は、ネットワークセグメント２０４を介してネットワークコンピューティングデバイス２０２と通信するエンドポイントコンピューティングデバイス２０６（１）及びエンドポイントコンピューティングデバイス２０６（２）を含んでもよい。一実施例では、モジュール１０２の機能のうちの全て又は一部は、コンピューティングデバイス２０２、ネットワークトラフィック保護システム２０８、及び／又は任意の他の好適なコンピューティングシステムによって実施されてもよい。

より詳細に後述するように、図１によるモジュール１０２のうちの１つ以上は、ネットワークコンピューティングデバイス２０２の少なくとも１つのプロセッサによって実行されるとき、ネットワークコンピューティングデバイス２０２がネットワーク上のエンドポイントデバイスを保護することを可能にし得る。例えば、以下でより詳細に説明するように、監視モジュール１０４は、ネットワークトラフィック保護システム２０８によって、ネットワークセグメント２０４上で送信されるネットワークパケットを監視し得る。検出モジュール１０６は、ネットワークトラフィック保護システム２０８によって、ネットワークセグメント２０４に接続されたエンドポイントコンピューティングデバイス２０６（１）に関連付けられたネットワークパケット２１２の疑わしい送信を検出し得る。修正モジュール１０８は、ネットワークパケット２１２の疑わしい送信に基づいて、ネットワークセグメント２０４に対するネットワークセキュリティポリシー１２２を修正し得る。施行モジュール１１０は、ネットワークセグメント２０４に接続された全てのエンドポイントコンピューティングデバイスに対する修正されたネットワークセキュリティポリシー２１６を施行し得る。

図２の例では、以下でより詳細に説明するように、ネットワークコンピューティングデバイス２０２は、ネットワークトラフィック保護システム２０８など、インストールされたネットワークマネージャソフトウェアを有してもよい。ネットワークコンピューティングデバイス２０２は、ネットワークトラフィック保護システム２０８を使用して、それぞれ、ネットワークセキュリティエージェント２１０（１）及びネットワークセキュリティエージェント２１０（２）を使用してネットワークトラフィック保護システム２０８とペアリングされるエンドポイントコンピューティングデバイス２０６（１）及び２０６（２）のネットワークトラフィックを監視し得る。本明細書で使用するとき、用語「ネットワークセキュリティエージェント」は、概して、特定のデバイスのネットワークセキュリティを管理又は制御するのに役立つソフトウェアを指す。

図２のネットワークコンピューティングデバイス２０２は、次いで、エンドポイントコンピューティングデバイス２０６（１）によって送信されたネットワークパケット２１２を検出し、ネットワークパケット２１２が疑わしいことを判定し得る。次に、ネットワークコンピューティングデバイス２０２は、ネットワークセキュリティポリシー１２２を、疑わしいネットワークパケット２１２の検出に応答して修正されたネットワークセキュリティポリシー１２６となるように修正し得る。最後に、ネットワークコンピューティングデバイス２０２は、修正されたネットワークセキュリティポリシー２１６をエンドポイントコンピューティングデバイス２０６（１）及び２０６（２）にプッシュすることによって、修正されたネットワークセキュリティポリシー２１６を施行し得る。

図２のネットワークコンピューティングデバイス２０２は、概して、コンピュータネットワークを管理することができる任意のタイプ又は形態のコンピューティングデバイスを表す。例えば、ネットワークコンピューティングデバイス２０２は、ネットワークトラフィック保護システムソフトウェアを実行するインラインネットワークデバイスを表し得る。ネットワークコンピューティングデバイス２０２の追加の例としては、非限定的に、モデム、ルータ、ネットワークブリッジ、ネットワークゲートウェイ、スイッチ、ネットワークハブ、トラフィックシェーピングデバイス、並びに／又はネットワークトラフィックの監視及び／若しくはネットワークセキュリティサービスを提供する他のデバイスが挙げられる。図２では単一のエンティティとして示されているが、ネットワークコンピューティングデバイス２０２は、互いに連携して働く及び／又は動作する複数のデバイスを含み得る及び／又はそれらを表し得る。

エンドポイントコンピューティングデバイス２０６（１）及び２０６（２）は、概して、コンピュータ実行可能命令を読み取ることが可能な、任意のタイプ又は形態のコンピューティングデバイスを表す。例えば、エンドポイントコンピューティングデバイス２０６（１）及び２０６（２）は、ネットワークセキュリティエージェントソフトウェアを実行するエンドポイントデバイスを表し得る。エンドポイントコンピューティングデバイス２０６（１）及び２０６（２）の追加の例としては、非限定的に、ラップトップ、タブレット、デスクトップ、サーバ、携帯電話、携帯情報端末（ＰＤＡ）、マルチメディアプレーヤー、埋め込みシステム、ウェアラブルデバイス（例えば、スマートウォッチ、スマートグラスなど）、ゲーム機、それらのうちの１つ以上の組み合わせ、及び／又は他の任意の好適なコンピューティングデバイスが挙げられる。

図２のネットワークセグメント２０４及び図６のネットワーク６０２は、概して、通信又はデータ転送を容易にすることができる任意の媒体又はアーキテクチャを表す。一実施例では、ネットワークセグメント２０４及び／又はネットワーク６０２は、ネットワークコンピューティングデバイス２０２とエンドポイントコンピューティングデバイス２０６（１）及び２０６（２）との間の通信を容易にし得る。この実施例では、ネットワークセグメント２０４及び／又はネットワーク６０２は、無線接続及び／又は有線接続を使用して、通信又はデータ転送を容易にしてもよい。ネットワークセグメント２０４及び／又はネットワーク６０２の例としては、非限定的に、イントラネット、広域ネットワーク（ＷＡＮ）、ローカルエリアネットワーク（ＬＡＮ）、パーソナルエリアネットワーク（ＰＡＮ）、インターネット、電力線通信（ＰＬＣ）、セルラーネットワーク（例えば、Ｇｌｏｂａｌ Ｓｙｓｔｅｍ ｆｏｒ Ｍｏｂｉｌｅ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ（ＧＳＭ（登録商標））ネットワーク）、それらのうちの１つ以上の部分、それらのうちの１つ以上の変形形態若しくは組み合わせ、及び／又は任意の他の好適なネットワークが挙げられる。

図３は、動的ネットワークセキュリティポリシーを施行するための例示的なコンピュータ実装方法３００のフローチャートである。図３に示されるステップは、図１のシステム１００、図２のシステム２００、及び／又はそれらのうちの１つ以上の変形形態若しくは組み合わせを含む、任意の好適なコンピュータ実行可能コード及び／又はコンピューティングシステムによって実施され得る。一実施例では、図３に示されるステップの各々は、アルゴリズムを表してもよく、そのアルゴリズムの構造は、複数のサブステップを含み、かつ／又はそれらによって表され、それらの実施例が以下により詳細に提供される。

図３に示すように、ステップ３０２において、本明細書に記載されるシステムのうちの１つ以上は、ネットワークトラフィック保護システムによって、ネットワークセグメント上で送信されるネットワークパケットを監視し得る。例えば、監視モジュール１０４は、図２のネットワークコンピューティングデバイス２０２の一部として、ネットワークトラフィック保護システム２０８によって、ネットワークセグメント２０４上で送信されるネットワークパケットを監視し得る。

監視モジュール１０４は、様々な方法でネットワークパケットを監視し得る。いくつかの実施例では、ネットワークコンピューティングデバイス２０２は、ネットワークセグメント２０４の一部としてネットワークトラフィック保護システム２０８を実行するインラインネットワークデバイスを表し得る。これらの実施例では、ネットワークコンピューティングデバイス２０２は、ネットワークセグメント２０４のセキュリティ機能の一部又は全てを管理し得る。他の実施例では、ネットワークコンピューティングデバイス２０２は、図１０のシステム１００を実行するクライアント１０１０など、ネットワークパケットを遠隔監視する、有線又は無線接続を介してネットワークセグメント２０４に接続された別個のデバイスであってもよい。あるいは、ネットワークトラフィック保護システム２０８は、ネットワークトラフィックを明確に傍受及び／又は管理するネットワークコンピューティングデバイス２０２上で作動するソフトウェアではなく、別個のハードウェアデバイスを表し得る。

図３に戻ると、ステップ３０４において、本明細書に記載されるシステムのうちの１つ以上は、ネットワークトラフィック保護システムによって、ネットワークセグメントに接続されたエンドポイントコンピューティングデバイスに関連付けられた少なくとも１つのネットワークパケットの疑わしい送信を検出し得る。例えば、検出モジュール１０６は、図２のネットワークコンピューティングデバイス２０２の一部として、ネットワークトラフィック保護システム２０８によって、ネットワークセグメント２０４に接続されたエンドポイントコンピューティングデバイス２０６（１）に関連付けられたネットワークパケット２１２の疑わしい送信を検出し得る。

検出モジュール１０６は、様々な方法でネットワークパケット２１２の疑わしい送信を検出し得る。一実施形態では、エンドポイントコンピューティングデバイス２０６（１）は、ネットワークセグメント２０４に接続されている間にネットワークトラフィック保護システム２０８（例えば、ネットワークセキュリティエージェント２１０（１））とペアリングすることができるソフトウェアを実行し得る。本明細書で使用するとき、用語「ペアリング」は、概して、デバイスが通信し得るように、２つ以上のデバイスを接合するプロセスを指す。この実施形態では、ネットワークトラフィック保護システム２０８は、ネットワークコンピューティングデバイス２０２がエンドポイントデバイスに対するネットワークセキュリティを管理し得るように、ネットワークセグメント２０４への接続時に全てのエンドポイントデバイスがネットワークコンピューティングデバイス２０２とペアリングすることを必要とし得る。ネットワークトラフィック保護システム２０８を介してネットワークコンピューティングデバイス２０２とペアリングされないデバイスは、ブロックされてもよく、ないしは別の方法で制限されてもよい。

図８は、動的ネットワークセキュリティポリシーを施行するための追加の例示的なコンピュータ実装方法８００のフローチャートである。図８に示されるステップは、図１のシステム１００、図２のシステム２００、及び／又はそれらのうちの１つ以上の変形形態若しくは組み合わせを含む、任意の好適なコンピュータ実行可能コード及び／又はコンピューティングシステムによって実施され得る。一実施例では、図８に示されるステップのそれぞれは、アルゴリズムを表してもよく、そのアルゴリズムの構造は、複数のサブステップを含み、かつ／又はそれらによって表され、それらの実施例が以下により詳細に提供される。

図８に示すように、ステップ８０２において、本明細書に記載されるシステムのうちの１つ以上は、ネットワークセキュリティエージェントによって、エンドポイントコンピューティングデバイスによるネットワークに接続する試みを検出し得る。ステップ８０４において、本明細書に記載されるシステムは、ネットワークセキュリティエージェントによって、ネットワークを管理するネットワークトラフィック保護システムとペアリングすることを試み得る。次に、ステップ８０６において、本明細書に記載されるシステムは、ネットワークトラフィック保護システムとペアリングする試みに基づいて、ネットワークに対するネットワークセキュリティポリシーのセットを受信し得る。ステップ８０８において、本明細書に記載されるシステムは、次いで、ネットワークに対するネットワークセキュリティポリシーの受信したセットに準拠するように、エンドポイントコンピューティングデバイスに対するセキュリティポリシーの元のセットを修正し得る。ステップ８１０において、本明細書に記載されるシステムは、最終的に、ネットワークに接続する試みを完了し得る。

例えば、図６に示すように、エンドポイントコンピューティングデバイス２０６は、ネットワークセキュリティエージェント２１０によって、エンドポイントコンピューティングデバイス２０６によるネットワーク６０２に接続する試みを検出し得る。この実施例では、ネットワーク６０２は、図２のネットワークセグメント２０４などのネットワーク又はネットワークセグメントを表し得る。次いで、エンドポイントコンピューティングデバイス２０６は、ネットワークセキュリティエージェント２１０によって、ネットワーク６０２を管理するネットワークトラフィック保護システム２０８とペアリングすることを試み（例えば、ペアリングの試み６０４）得る。エンドポイントコンピューティングデバイス２０６はまた、ペアリングの試み６０４に基づいて、ネットワーク６０２に対するネットワークセキュリティポリシーのセット６０６を受信し得る。次に、エンドポイントコンピューティングデバイス２０６は、ネットワークセキュリティポリシーのセット６０６に準拠するように、エンドポイントコンピューティングデバイス２０６に対するセキュリティポリシー６０８の元のセットを修正し得る。最後に、エンドポイントコンピューティングデバイス２０６は、ネットワーク６０２に接続する試みを完了し得る。

上の実施例では、ペアリングの試み６０４は、ネットワークセキュリティエージェント２１０とネットワークトラフィック保護システム２０８との間で相互認証プロセスを実施することを含み得る。本明細書で使用するとき、用語「相互認証」は、概して、２つ以上のデバイス及び／又はコンピューティングシステムが互いに認証又は識別するプロセスを指す。特に、ネットワークセキュリティエージェント及びネットワークトラフィック保護システムは、それぞれ、エンドポイントコンピューティングデバイス及びネットワークコンピューティングデバイスを相互に認証し得る。

いくつかの実施形態では、ネットワークセキュリティポリシーのセット６０６は、エンドポイントコンピューティングデバイス２０６のユーザに対するユーザ固有のポリシー、ネットワーク６０２に対するネットワーク固有のポリシー、及び／又はエンドポイントコンピューティングデバイス２０６に対するデフォルトポリシーを含み得る。例えば、相互認証がエンドポイントコンピューティングデバイス２０６のユーザを識別する場合、ネットワークトラフィック保護システム２０８は、ユーザポリシーの中央データベース及び／又は別の信頼できるネットワークトラフィック保護システムからユーザ固有のポリシーを取得し得る。これらの実施形態では、ネットワーク固有のポリシーは、ネットワークのタイプ、又はネットワーク６０２を介して送信される情報のタイプに依存し得る。ネットワーク固有のポリシーは、ネットワークトラフィック保護システム２０８からネットワーク６０２に固有のポリシーとして受信されてもよく、又はネットワーク６０２のためのネットワークセキュリティエージェント２１０によって選択されてもよい。追加の実施形態では、ネットワーク６０２は、エンドポイントコンピューティングデバイス２０６とペアリングすることができなくてもよく、及び／又はネットワークトラフィック保護システムを実行しなくてもよい。これらの追加の実施形態では、エンドポイントコンピューティングデバイス２０６は、ネットワーク６０２に接続されている間に、セキュリティポリシーの元のセット６０８など、エンドポイントコンピューティングデバイス２０６に対するデフォルトポリシーを使用してもよい。例えば、デフォルトポリシーは、非検証又は非セキュアなネットワークのためにより厳格なポリシーを含み得る。あるいは、エンドポイントコンピューティングデバイス２０６は、ネットワーク固有のポリシーよりも多くのセキュリティ制御を含むデフォルトポリシーを保持し得る。

いくつかの実施例では、エンドポイントコンピューティングデバイス２０６は、セキュリティポリシーの元のセット６０８をネットワークセキュリティポリシーのセット６０６と置き換えることによって、セキュリティポリシーの元のセット６０８を修正し得る。それに加えて、又は代替的に、エンドポイントコンピューティングデバイス２０６は、ネットワークセキュリティポリシー６０６のセットをセキュリティポリシーの元のセット６０８に追加し得る。他の実施例では、エンドポイントコンピューティングデバイス２０６は、ネットワークセキュリティポリシーのセット６０６に準拠するように、セキュリティポリシーの元のセット６０８の一部を改訂し得る。例えば、ネットワーク６０２は、セキュリティポリシーの元のセット６０８よりも多くの制限を有するセキュリティポリシーを施行する金融ネットワークであり得る。エンドポイントコンピューティングデバイス２０６は、次いで、セキュリティポリシー６０８の元のセットを修正して、ネットワーク６０２に対するネットワークセキュリティポリシー６０６のセットの制限と一致するようにセキュリティを高め得る。

更に、図６に示すように、エンドポイントコンピューティングデバイス２０６は、ペアリングの結果として、ネットワークトラフィック保護システム２０８にセキュリティ機能６１０をオフロードし得る。本明細書で使用するとき、用語「セキュリティ機能」は、概して、セキュリティポリシーを施行又は実装するためにとられるアクションを指す。上記の例では、エンドポイントコンピューティングデバイス２０６は、ネットワークトラフィック保護システム２０８が、ネットワークセキュリティポリシーのセット６０６に基づいて、金融ウェブサイトのトラフィックをどのように、いつブロックするかを判定することを可能にし得る。別の例として、ネットワークセキュリティエージェント２１０は、ネットワーク６０２が、ネットワークトラフィック保護システム２０８とのペアリングに基づいて信頼できるネットワークであると判定し得、その結果、ネットワークトラフィック保護システム２０８を信頼して、エンドポイントコンピューティングデバイス２０６に対するネットワークセキュリティを提供し、それによってセキュリティ機能６１０の制御を放棄し得る。

一実施形態では、エンドポイントコンピューティングデバイス２０６は、ネットワーク６０２に接続する試みを完了する前に、ネットワークトラフィック保護システム２０８から、ネットワーク６０２の１つ以上の位置属性を受信し得る。この実施形態では、ネットワーク６０２の位置属性は、ネットワーク６０２の物理的位置及び／又はネットワークのタイプを含み得る。それに加えて、エンドポイントコンピューティングデバイス２０６は次いで、ネットワーク６０２の位置属性及びペアリングの試み６０４に基づいて、ネットワーク６０２の信頼性を計算し得る。次に、エンドポイントコンピューティングデバイス２０６は、ネットワーク６０２の計算された信頼性に基づいて、ネットワークセキュリティポリシーのセット６０６及び／又はセキュリティポリシーの元のセット６０８内のポリシーなど、エンドポイントコンピューティングデバイス２０６に対する１つ以上のセキュリティポリシーを修正し得る。

図７に示すように、ネットワークセキュリティエージェント２１０は、ネットワークトラフィック保護システム２０８から物理的位置（例えば、「Ｃｏｌｕｍｂｕｓ Ｃｏｆｆｅｅ Ｓｈｏｐ」）及びネットワークのタイプ（例えば、「公共」）を有する位置属性７０２を受信し得る。この例では、ネットワークセキュリティエージェント２１０は、位置属性７０２と、ペアリングの試み６０４（例えば、「失敗」）と、を使用して、ネットワーク６０２の信頼性７０４が低いと判定し得る。ネットワークセキュリティエージェント２１０は次いで、ネットワーク６０２上のエンドポイントコンピューティングデバイス２０６による全てのトランザクションを可能にするセキュリティポリシー７０６（１）を、ネットワーク６０２上の金融トランザクションを明確にブロックするセキュリティポリシー７０６（２）に修正し得る。

更なる実施例では、位置属性７０２は、ネットワーク６０２が信頼できるネットワークであるかどうかに関する情報を含み得る。図７の例では、公共のコーヒーショップネットワークは、信頼できないネットワークと見なすことができる。それに加えて、ペアリングの試み６０４の失敗はまた、信頼できないネットワークを示し得る。他の実施例では、ネットワークトラフィック保護システム２０８とペアリングする能力は、計算された信頼性７０４を増加させ得る。セキュリティポリシー７０６（２）は、信頼できないネットワークに対してより制限的であり、及び／又は信頼できるネットワークに対してより寛大であり得る。このように、エンドポイントコンピューティングデバイスは、ネットワーク６０２又はネットワークセグメント２０４などのネットワークへの初期接続中にネットワークセキュリティポリシーを作成及び／又は受信し得る。

図２の例に戻ると、検出モジュール１０６は、ネットワークパケット２１２を傍受し、エンドポイントコンピューティングデバイス２０６（１）の予期されるネットワークトラフィックプロファイル２１４に基づいて、ネットワークパケット２１２の送信が疑わしいと判定することによって、ネットワークパケット２１２の疑わしい送信を検出し得る。予期されるネットワークトラフィックプロファイル２１４は、様々な方法で計算され得る。いくつかの実施形態では、ネットワークトラフィック保護システム２０８は、エンドポイントコンピューティングデバイス２０６（１）に関連付けられたトラフィックに対する履歴データを使用して、エンドポイントコンピューティングデバイス２０６（１）の標準的な挙動を計算してもよい。あるいは、ネットワークセキュリティエージェント２１０（１）は、エンドポイントコンピューティングデバイス２０６（１）のトラフィックを追跡し、予期されるネットワークトラフィックプロファイル２１４をネットワークトラフィック保護システム２０８に送信してもよい。別の実施形態では、ネットワークトラフィック保護システム２０８は、トラフィックプロファイルの中央データベースから予期されるネットワークトラフィックプロファイル２１４を要求及び受信してもよい。例えば、ネットワークトラフィック保護システム２０８は、全ての従業員エンドポイントデバイスに対する期待値及び／又は準拠要件の企業データベースに問い合わせてもよい。更なる実施形態では、エンドポイントコンピューティングデバイス２０６（１）の予期されるネットワークトラフィックプロファイル２１４は、エンドポイントコンピューティングデバイス２０６（２）など、準拠していることが知られている同様のエンドポイントデバイスに基づいてもよい。

図３に戻ると、ステップ３０６において、本明細書に記載されるシステムのうちの１つ以上は、ネットワークパケットの疑わしい送信に基づいて、ネットワークセグメントに対する少なくとも１つのネットワークセキュリティポリシーを修正し得る。例えば、修正モジュール１０８は、図２のネットワークコンピューティングデバイス２０２の一部として、ネットワークパケット２１２の疑わしい送信に基づいて、ネットワークセグメント２０４に対するネットワークセキュリティポリシー１２２を修正し得る。

修正モジュール１０８は、様々な方法でネットワークセキュリティポリシー１２２を修正し得る。いくつかの実施例では、修正モジュール１０８は、エンドポイントコンピューティングデバイス２０６（１）をブロックし、及び／又はネットワークトラフィックを制限するように修正されたネットワークセキュリティポリシー２１６を作成することによって、ネットワークセグメント２０４に対するネットワークセキュリティポリシー１２２を修正してもよい。これらの実施例では、ネットワークトラフィック保護システム２０８とエンドポイントコンピューティングデバイス２０６（１）との間のペアリングは、ネットワークパケット２１２の疑わしい送信により、終了することができる。それに加えて、又は代替的に、修正モジュール１０８は、エンドポイントコンピューティングデバイス２０６（１）をデバイスのブラックリストに追加してもよい。これらの実施例では、デバイスのブラックリストは、複数のネットワークセグメント上のエンドポイントコンピューティングデバイス２０６（１）によるネットワークパケットの疑わしい送信を防止するために、複数のネットワークコンピューティングデバイスによって使用されてもよい。更なる実施例では、修正モジュール１０８は、分析のためにネットワークパケット２１２を傍受した後に、ネットワークパケット２１２の疑わしい送信が完了することをリアルタイムで防止してもよい。これらの実施例では、ネットワークトラフィック保護システム２０８は、全てのネットワークトラフィックを再調査してから続行可能にし得る。

図３に戻ると、ステップ３０８において、本明細書に記載されるシステムのうちの１つ以上は、ネットワークトラフィック保護システムによって、ネットワークセグメントに接続された全てのエンドポイントコンピューティングデバイスに対する修正されたネットワークセキュリティポリシーを施行し得る。例えば、施行モジュール１１０は、図２のネットワークコンピューティングデバイス２０２の一部として、ネットワークトラフィック保護システム２０８によって、ネットワークセグメント２０４に接続された全てのエンドポイントコンピューティングデバイスに対する修正されたネットワークセキュリティポリシー２１６を施行し得る。

施行モジュール１１０は、様々な方法で修正されたネットワークセキュリティポリシー２１６を施行し得る。一実施形態では、施行モジュール１１０は、修正されたネットワークセキュリティポリシー２１６をエンドポイントコンピューティングデバイス２０６（１）及び／又は２０６（２）にプッシュすることによって、修正されたネットワークセキュリティポリシー２１６を施行してもよい。本明細書で使用するとき、用語「プッシュ」は、概して、送信者がプロセスを開始するコンテンツ又はデータを送信する方法を指す。例えば、施行モジュール１１０は、エンドポイントコンピューティングデバイスの更新されたブラックリストをエンドポイントコンピューティングデバイス２０６（１）及び／又は２０６（２）に送信してもよい。それに加えて、又は代替的に、施行モジュール１１０は、ネットワークトラフィックが、修正されたネットワークセキュリティポリシー２１６に従うことを保証し、かつ／又はエンドポイントコンピューティングデバイス２０６（１）などの非準拠のエンドポイントコンピューティングデバイスを制限してもよい。例えば、エンドポイントコンピューティングデバイス２０６（１）は、修正されたネットワークセキュリティポリシー２１６を受け入れない場合があり、施行モジュール１１０はその後、エンドポイントコンピューティングデバイス２０６（１）からのトラフィックを制限してもよい。更に、これらの実施形態では、ネットワークトラフィック保護システム２０８は、修正されたネットワークセキュリティポリシー２１６に基づいてネットワークセグメント２０４に関するネットワークトラフィック及びネットワークパケットを監視し続けてもよい。

いくつかの実施例では、本明細書に記載されるシステムは、関連するネットワークセグメントを監視する関連するネットワークトラフィック保護システムに、修正されたネットワークセキュリティポリシー２１６を送信することを更に含んでもよい。例えば、修正されたネットワークセキュリティポリシー２１６は、脅威であると判定されたエンドポイントデバイスのブラックリストを含んでもよく、ネットワークトラフィック保護システム２０８は、エンドポイントデバイスをブロックすることによってセキュリティを改善し得る他のネットワークトラフィック保護システムにブラックリストを送信してもよい。これらの実施例では、関連するネットワークセグメントは、ネットワークセグメント２０４を含むネットワークセグメントのクラスタ内に第２のネットワークセグメントを含んでもよい。このように、本明細書に記載されるシステムは、ネットワークセグメントのクラスタに対する修正されたネットワークセキュリティポリシー２１６を施行することによって、ネットワークセキュリティポリシー１２２にリアルタイムの変更を伝搬し得る。

図４に示すように、ネットワークセグメント２０４（１）上のネットワークトラフィック保護システム２０８（１）は、ネットワークセグメント２０４（１）上の別のネットワークトラフィック保護システム２０８（２）、及びクラスタ４０２（１）内の関連するネットワークセグメント２０４（２）上のネットワークトラフィック保護システム２０８（３）に修正されたネットワークセキュリティポリシー２１６を送信し得る。それに加えて、第２のクラスタ４０２（２）（例えば、ネットワークトラフィック保護システム２０８（４）及びネットワークトラフィック保護システム２０８（５））上のネットワークトラフィック保護システムは、修正されたネットワークセキュリティポリシー２１６を受信し得ない。この例では、クラスタ４０２（１）は、企業ネットワーク内の金融部門のネットワークセグメントを表し得、クラスタ４０２（２）は、顧客サービス部門のネットワークセグメントを表し得る。修正されたネットワークセキュリティポリシー２１６は、クラスタ４０２（１）内のネットワークセグメントに適用され得るが、クラスタ４０２（２）（例えば、ネットワークセグメント２０４（３）及びネットワークセグメント２０４（４））には適用され得ない、金融トランザクションに対するセキュリティを高めることを含み得る。このように、ネットワークトラフィック保護システム２０８（１）は、修正されたネットワークセキュリティポリシー２１６が適用されるネットワークトラフィック保護システムのみに、修正されたネットワークセキュリティポリシー２１６を送信し得る。別の実施例では、クラスタは、異なる組織のネットワークを表し得、ネットワークトラフィック保護システム２０８（１）は、同じ組織内の他のネットワークトラフィック保護システムのみと通信することが可能であってもよい。このように、修正されたネットワークセキュリティポリシー２１６は、クラスタの階層に基づいてネットワークセグメントにわたって伝搬することができる。

一実施形態では、本明細書に記載されるシステムは、ネットワークパケット２１２の疑わしい送信に関する１つ以上のソフトウェアアプリケーションを識別し、エンドポイントコンピューティングデバイス２０６からソフトウェアアプリケーションに関する追加情報を要求し、追加情報に基づいてセキュリティアクションを実施することを更に含んでもよい。本明細書で使用するとき、用語「ソフトウェアアプリケーション」は、概して、特定の機能又はタスクを実施するように設計され、エンドポイントデバイス上にインストール、展開、実行、及び／ないしは別の方法で実装することができるソフトウェアプログラムを指す。特に、ソフトウェアアプリケーションは、ネットワーク接続を介してデータを要求及び／又は送信することが可能であり得る。

上の実施形態では、セキュリティアクションとしては、エンドポイントコンピューティングデバイス２０６のユーザの改ざんを検出すること、ソフトウェアアプリケーションのインストールにおける異常を検出すること、ソフトウェアアプリケーションが悪意のあるものであり得ると判定すること、ソフトウェアアプリケーションに対するユーザアクティビティのログを要求すること、及び／又はネットワークセグメント２０４上のネットワークトラフィックをブロックするなど、エンドポイントコンピューティングデバイス２０６を制限することが挙げられ得る。これらの実施形態では、ネットワークパケット２１２の疑わしい送信は、ソフトウェアアプリケーションの不正確なインストール、及び／又はユーザの改ざんによって引き起こされる非準拠を示し得る。

図５に示すように、エンドポイントコンピューティングデバイス２０６は、ネットワークパケット２１２を送信し得るソフトウェアアプリケーション５０２を含んでもよい。ネットワークコンピューティングデバイス２０２上のネットワークトラフィック保護システム２０８は、次いで、ネットワークパケット２１２を傍受し、エンドポイントコンピューティングデバイス２０６上のネットワークセキュリティエージェント２１０からソフトウェアアプリケーション５０２に関する追加情報５０４を要求し得る。ネットワークトラフィック保護システム２０８は、次いで、追加情報５０４に基づいてセキュリティアクション５０６を実行し得る。例えば、ネットワークトラフィック保護システム２０８は、追加情報５０４が、ソフトウェアアプリケーション５０２が誤ってインストールされたことを示唆していると判定し、ソフトウェアアプリケーション５０２の新しいインストールを要求するためにセキュリティアクション５０６を実施し得る。別の実施例として、ネットワークトラフィック保護システム２０８は、ソフトウェアアプリケーション５０２が潜在的なセキュリティの脅威であると判定し、その後、セキュリティアクション５０６を実施して、エンドポイントコンピューティングデバイス２０６がソフトウェアアプリケーション５０２からネットワークパケットを送信することを阻止し得る。あるいは、ネットワークセキュリティエージェント２１０は、ソフトウェアアプリケーション５０２のユーザの改ざんを示唆するユーザアクションのログを含む追加情報５０４を送信する場合がある。この場合、セキュリティアクション５０６は、将来の準拠を要求するために、ユーザのアクションについて管理者に警告することを含んでもよい。この実施例では、管理者は、ユーザの監督者であってもよく、ユーザによる非準拠のアクションに関する警告を要求することができる。

別の実施例では、ネットワークトラフィック保護システム２０８は、エンドポイントコンピューティングデバイス２０６上のソフトウェアアプリケーションのネットワークトラフィックに基づいて、ソフトウェアアプリケーション５０２に関して予期されるネットワークトラフィックが欠落していることを判定し得る。この実施例では、ネットワークトラフィック保護システム２０８は、ネットワークトラフィックを図２の予期されるネットワークトラフィックプロファイル２１４と比較して、エンドポイントコンピューティングデバイス２０６上のソフトウェアアプリケーション５０２に対する非準拠を検出し得る。追加情報５０４を要求し、エンドポイントコンピューティングデバイス２０６のそれぞれのネットワークパケットに関連付けられたソフトウェアアプリケーションを識別することにより、ネットワークトラフィック保護システム２０８は、次いで、ネットワークトラフィックが欠落している又は疑わしい１つ以上のソフトウェアアプリケーションを識別し、疑わしいトラフィックを再媒介するために適切なセキュリティアクションを実施し得る。例えば、従業員エンドポイントコンピューティングデバイスは、あるソフトウェアアプリケーションを実行するために会社に必要とされ得、欠落しているネットワークトラフィックは、ソフトウェアアプリケーションの欠落している又は不正確な構成を示し得る。

いくつかの実施形態では、図６の例と同様に、本明細書に記載されるシステムは、ネットワークセキュリティエージェント２１０によって、ネットワーク６０２からの切断を検出し、エンドポイントコンピューティングデバイス２０６に対するセキュリティポリシー６０８の元のセットを再適用することを更に含んでもよい。これらの実施形態では、エンドポイントコンピューティングデバイス２０６は、ネットワーク６０２から切断した後に、及び／又は新しいネットワーク若しくはネットワークセグメントに転送されたときにネットワークセキュリティポリシーの新しいセットを受け入れた後に、以前のセキュリティポリシーに戻ってもよい。例えば、エンドポイントコンピューティングデバイス２０６は、組織内で金融クラスタ４０２（１）から顧客サービスクラスタ４０２（２）に移動するときに、図４のネットワークセグメント２０４（１）から切断し、ネットワークセグメント２０４（３）に接続してもよい。この実施例では、エンドポイントコンピューティングデバイス２０６は、次いで、顧客サービスクラスタ４０２（２）のセキュリティポリシーを受け入れ、もはや適用されない金融クラスタ４０２（１）のセキュリティポリシーを放棄し得る。

上述のように、本明細書に記載されるシステムは、概して、エンドポイントコンピューティングデバイス上で作動するネットワークセキュリティエージェントによって、エンドポイントコンピューティングデバイスによるネットワーク又はネットワークセグメントに接続する試みを検出するように構成された１つ以上のエンドポイントコンピューティングデバイスを含んでもよい。例えば、ネットワークセグメントに接続することを試みるエンドポイントコンピューティングデバイスは、次いで、エンドポイントコンピューティングデバイス上で作動するネットワークセキュリティエージェントによって、ネットワークセグメントを管理するネットワークトラフィック保護システムとペアリングすることを試み得、ネットワークトラフィック保護システムとペアリングする試みに基づいて、ネットワークセグメントに対するネットワークセキュリティポリシーのセットを受信し得る。この実施例では、エンドポイントコンピューティングデバイスは、ネットワークセグメントに対するネットワークセキュリティポリシーの受信したセットに準拠するように、エンドポイントコンピューティングデバイスに対するセキュリティポリシーの元のセットを修正してもよい。ネットワークセキュリティエージェントがネットワークトラフィック保護システムとペアリングし、それに準拠することができれば、エンドポイントコンピューティングデバイスは、ネットワークセグメントに接続する試みを完了することが可能になり得る。複数のエンドポイントコンピューティングデバイスが、ネットワークセグメントに接続されている間に同じネットワークトラフィック保護システムとペアリングし得る。

上の実施例では、ネットワークコンピューティングデバイスは、ネットワークトラフィック保護システムを実行してもよく、ネットワークトラフィック保護システムによって、ネットワークセグメント上で送信されるネットワークパケットを監視するように構成されてもよい。ネットワークコンピューティングデバイスは、ネットワークトラフィック保護システムによって、ネットワークセグメントに接続された上記のエンドポイントコンピューティングデバイスに関連付けられた１つ以上のネットワークパケットの疑わしい送信を検出し、その疑わしい送信に基づいて、ネットワークセグメントに対する１つ以上のネットワークセキュリティポリシーを修正してもよい。この実施例では、ネットワークコンピューティングデバイスは、次いで、修正されたネットワークセキュリティポリシーへの準拠を保証するため、ネットワークセグメントに接続された全てのエンドポイントコンピューティングデバイスに対する修正されたネットワークセキュリティポリシーを施行し得る。ネットワークコンピューティングデバイスはまた、ネットワークセグメントのクラスタ全体にわたる準拠を保証するため、ネットワークトラフィック保護システムを介して、同じネットワークセグメント又はクラスタ内の関連するネットワークセグメント上の他のネットワークトラフィック保護システムに修正されたネットワークセキュリティポリシーを送信し得る。それに加えて、上の実施例では、ネットワークコンピューティングデバイスは、エンドポイントコンピューティングデバイスから疑わしいネットワークパケットを生成している可能性のあるソフトウェアアプリケーションに関する追加情報を要求し、その追加情報を使用してエンドポイントコンピューティングデバイス上でセキュリティアクションを実施し得る。これらの実施例では、ネットワークトラフィック保護システムは、ネットワークセグメント上のトラフィックを管理し、接続されたエンドポイントデバイスによる潜在的に悪意のあるトラフィックの検出に基づいて、ネットワークセキュリティポリシーを動的に調整し得る。

図３の方法３００及び図８の方法８００に関連して上で説明したように、開示されるシステム及び方法は、エンドポイントデバイスに対するネットワークセキュリティポリシーを施行することによって、エンドポイント及びネットワークセキュリティの両方を改善し得る。具体的には、開示されたシステム及び方法は、エンドポイントコンピューティングデバイス上で動作するネットワークセキュリティエージェントをネットワークコンピューティングデバイス上で作動するネットワークトラフィック保護システムとペアリングして、ネットワーク又はネットワークセグメントのネットワークトラフィックの準拠を保証し得る。

信頼できるネットワークトラフィック保護システムとのペアリングにより、本明細書に記載されるシステム及び方法は、エンドポイントコンピューティングデバイスがネットワークセキュリティエージェントからネットワークトラフィック保護システムに一部のネットワークセキュリティ機能をオフロードすることを可能にし得る。例えば、公共のコーヒーショップネットワークが、ネットワークセキュリティエージェントが相互に認証し得る信頼できるネットワークトラフィック保護システムソフトウェアを実行している場合、エンドポイントコンピューティングデバイスは、ネットワークトラフィック保護システムを実行しない別のネットワークよりもそのネットワークを信頼する可能性が高くなり得る。加えて、特定のネットワークに接続されている間にネットワーク固有のセキュリティポリシーを維持することによって、開示されるシステム及び方法は、次いで、デバイスがネットワークを去った後に、エンドポイントコンピューティングデバイス上のリソースを解放して、パフォーマンスを合理化し得る。

いくつかの実施例では、本明細書に記載されるシステム及び方法はまた、ネットワークコンピューティングデバイスが、エンドポイントコンピューティングデバイスのネットワークトラフィックを監視し、異常なトラフィックを検出することを可能にし得る。例えば、ネットワークコンピューティングデバイス上で作動するネットワークトラフィック保護システムは、エンドポイントコンピューティングデバイスが疑わしいネットワークトラフィックで危殆化されていることを検出した場合、ネットワークポリシーを更新して、そのエンドポイントコンピューティングデバイスをブロックし、ネットワークセグメントに接続された他のエンドポイントコンピューティングデバイス上で更新されたポリシーを施行して、他のエンドポイントコンピューティングデバイスが、ネットワークセグメント上のセキュリティ情報の更新を適時に受信するようにし得る。開示されるシステム及び方法はまた、疑わしいネットワークトラフィックに基づいて、危殆化されたエンドポイントコンピューティングデバイス上のネットワークセキュリティエージェントからの、危殆化され得るソフトウェアに関する追加情報を明確に要求し得る。この実施例では、開示されるシステム及び方法は、危殆化されたエンドポイントコンピューティングデバイスの設定情報又はレジストリアクセスを必要とせずに、ソフトウェアコンプライアンスの問題を検出し得る。更に、本明細書に記載されるシステム及び方法は、異なるネットワークセグメント及びクラスタのネットワークタイプに基づいてネットワークセキュリティポリシーの階層を作成及び伝搬し得る。例えば、開示されるシステム及び方法は、金融ネットワークセグメント上の１つのネットワークトラフィック保護システムから別の金融ネットワークセグメント上の別のネットワークトラフィック保護システムにセキュリティポリシーの更新を送信し、組織内の他の無関係な部門のネットワークセグメントには送信しないようにし得る。

上で詳述したように、ネットワーク及びネットワークセグメント上のネットワークトラフィック保護システムからローカルネットワークセキュリティポリシーを受け入れることによって、開示されるシステム及び方法は、あるネットワークから別のネットワークに切り替わるときに、エンドポイントコンピューティングデバイスに対するセキュリティポリシーのより動的な調整を提供し得る。更に、セキュリティポリシーの変更をネットワークトラフィック保護システムからエンドポイントコンピューティングデバイスにリアルタイムでプッシュすることによって、開示されるシステム及び方法は、ネットワークに対するセキュリティの更新を施行する適時性を改善し得る。このように、本明細書に記載されるシステム及び方法は、管理介入なしに、ネットワークセキュリティポリシーのエンドポイントデバイスへのプロビジョニングを改善し得る。

図９は、本明細書に記載及び／又は図示される実施形態のうちの１つ以上を実装することができる例示的なコンピューティングシステム９１０のブロック図である。例えば、コンピューティングシステム９１０のうちの全て又は一部は、単独で又は他の要素と組み合わせてのいずれかで、本明細書に記載されるステップのうちの１つ以上（図３及び／又は図８に示されるステップのうちの１つ以上など）を実施し得、及び／又はそれを実施するための手段であり得る。コンピューティングシステム９１０のうちの全て又は一部はまた、本明細書に記載及び／若しくは図示される任意の他のステップ、方法、若しくはプロセスを実施してもよく、並びに／又はそれを実施するための手段であってもよい。

コンピューティングシステム９１０は、コンピュータ可読命令を実行することができる任意のシングル又はマルチプロセッサのコンピューティングデバイス又はシステムを幅広く表す。コンピューティングシステム９１０の例としては、非限定的に、ワークステーション、ラップトップ、クライアント側端末、サーバ、分散型コンピューティングシステム、ハンドヘルドデバイス、又は他の任意のコンピューティングシステム若しくはデバイスが挙げられる。その最も基本的な構成において、コンピューティングシステム９１０は、少なくとも１つのプロセッサ９１４及びシステムメモリ９１６を含んでもよい。

プロセッサ９１４は、一般に、データを処理すること又は命令を解釈及び実行することができる任意のタイプ又は形態の物理的処理ユニット（例えば、ハードウェア実装型中央処理ユニット）を表す。特定の実施形態では、プロセッサ９１４は、ソフトウェアアプリケーション又はモジュールから命令を受信し得る。これらの命令は、プロセッサ９１４に、本明細書に記載及び／又は図示される例示的な実施形態のうちの１つ以上の機能を実施させ得る。

システムメモリ９１６は、一般に、データ及び／又は他のコンピュータ可読命令を記憶することができる任意のタイプ又は形態の揮発性又は不揮発性の記憶デバイス又は媒体を表す。システムメモリ９１６の例としては、非限定的に、ランダムアクセスメモリ（ＲＡＭ）、リードオンリーメモリ（ＲＯＭ）、フラッシュメモリ、又は任意の他の好適なメモリデバイスが挙げられる。必須ではないが、特定の実施形態では、コンピューティングシステム９１０は、揮発性メモリユニット（例えば、システムメモリ９１６など）、及び不揮発性記憶デバイス（例えば、詳細に後述するような、一次記憶デバイス９３２など）の両方を含んでもよい。一実施例では、図１のモジュール１０２のうちの１つ以上は、システムメモリ９１６内にロードされ得る。

一部の実施例では、システムメモリ９１６は、プロセッサ９１４による実行のために、オペレーティングシステム９２４を記憶及び／又はロードし得る。一実施例では、オペレーティングシステム９２４は、コンピュータハードウェア及びソフトウェアリソースを管理し、並びに／又はコンピューティングシステム９１０上のコンピュータプログラム及び／若しくはアプリケーションに共通のサービスを提供する、ソフトウェアを含み得る及び／又はそれを表し得る。オペレーティングシステム６２４の例としては、非限定的に、ＬＩＮＵＸ、ＪＵＮＯＳ、ＭＩＣＲＯＳＯＦＴ ＷＩＮＤＯＷＳ（登録商標）、ＷＩＮＤＯＷＳ（登録商標） ＭＯＢＩＬＥ、ＭＡＣ ＯＳ、ＡＰＰＬＥのＩＯＳ、ＵＮＩＸ（登録商標）、ＧＯＯＧＬＥ ＣＨＲＯＭＥ ＯＳ、ＧＯＯＧＬＥのＡＮＤＲＯＩＤ（登録商標）、ＳＯＬＡＲＩＳ、それらのうちの１つ以上の変形形態、及び／又は任意の他の好適なオペレーティングシステムが挙げられる。

特定の実施形態では、例示的なコンピューティングシステム９１０はまた、プロセッサ９１４及びシステムメモリ９１６に加えて、１つ以上の構成要素又は要素も含み得る。例えば、図９に示すように、コンピューティングシステム９１０は、メモリコントローラ９１８、入力／出力（Ｉ／Ｏ）コントローラ９２０、及び通信インターフェース９２２を含み得、これらのそれぞれは、通信基盤９１２を介して相互接続され得る。通信基盤９１２は、一般に、コンピューティングデバイスの１つ以上の構成要素間の通信を容易にすることができる、任意のタイプ又は形態の基盤を表す。通信基盤９１２の例としては、非限定的に、通信バス（産業標準構成（ＩＳＡ）、周辺装置相互接続（ＰＣＩ）、ＰＣＩエクスプレス（ＰＣＩｅ）、又は類似のバスなど）、及びネットワークが挙げられる。

メモリコントローラ９１８は、一般に、メモリ若しくはデータを扱うこと、又はコンピューティングシステム９１０の１つ以上の構成要素間の通信を制御すること、ができる、任意のタイプ又は形態のデバイスを表す。例えば、特定の実施形態では、メモリコントローラ９１８は、通信基盤９１２を介して、プロセッサ９１４、システムメモリ９１６、及びＩ／Ｏコントローラ９２０の間の通信を制御してもよい。

Ｉ／Ｏコントローラ９２０は、一般に、コンピューティングデバイスの入出力機能を調整及び／又は制御することができる、任意のタイプ又は形態のモジュールを表す。例えば、特定の実施形態では、Ｉ／Ｏコントローラ９２０は、プロセッサ９１４、システムメモリ９１６、通信インターフェース９２２、ディスプレイアダプタ９２６、入力インターフェース９３０、及び記憶インターフェース９３４などの、コンピューティングシステム９１０の１つ以上の要素間におけるデータの転送を制御又は容易にし得る。

図９に示すように、コンピューティングシステム９１０はまた、ディスプレイアダプタ９２６を介してＩ／Ｏコントローラ９２０に連結された少なくとも１つのディスプレイデバイス９２４も含み得る。ディスプレイデバイス９２４は、一般に、ディスプレイアダプタ９２６によって転送された情報を視覚的に表示することができる、任意のタイプ又は形態のデバイスを表す。同様に、ディスプレイアダプタ９２６は、一般に、ディスプレイデバイス９２４上に表示するために通信基盤９１２から（又は当該技術分野において既知であるように、フレームバッファから）グラフィックス、テキスト、及び他のデータを転送するように構成されている任意のタイプ又は形態のデバイスを表す。

図９に示すように、例示的なコンピューティングシステム９１０はまた、入力インターフェース９３０を介してＩ／Ｏコントローラ９２０に連結された少なくとも１つの入力デバイス９２８も含み得る。入力デバイス９２８は、一般に、コンピュータ又は人間のいずれかが生成した入力を例示的なコンピューティングシステム９１０に提供することができる任意のタイプ又は形態の入力デバイスを表す。入力デバイス９２８の例としては、非限定的に、キーボード、ポインティングデバイス、音声認識デバイス、それらのうちの１つ以上の変形形態若しくは組み合わせ、及び／又は任意の他の入力デバイスが挙げられる。

それに加えて、又は代替的に、例示的なコンピューティングシステム９１０は、追加のＩ／Ｏデバイスを含み得る。例えば、例示的なコンピューティングシステム９１０は、Ｉ／Ｏデバイス９３６を含み得る。この実施例では、Ｉ／Ｏデバイス９３６は、コンピューティングシステム９１０との人間の相互作用を容易にするユーザインターフェースを含み得る及び／又はそれを表し得る。Ｉ／Ｏデバイス９３６の例としては、非限定的に、コンピュータマウス、キーボード、モニタ、プリンタ、モデム、カメラ、スキャナ、マイクロフォン、タッチスクリーンデバイス、それらのうちの１つ以上の変形形態若しくは組み合わせ、及び／又は任意の他のＩ／Ｏデバイスが挙げられる。

通信インターフェース９２２は、例示的なコンピューティングシステム９１０と１つ以上の追加のデバイスとの間の通信を容易にすることができる、任意のタイプ又は形態の通信デバイス又はアダプタを幅広く表す。例えば、特定の実施形態では、通信インターフェース９２２は、コンピューティングシステム９１０と、追加のコンピューティングシステムを含む私設又は公衆ネットワークとの間の通信を容易にし得る。通信インターフェース９２２の例としては、非限定的に、有線ネットワークインターフェース（ネットワークインターフェースカードなど）、無線ネットワークインターフェース（無線ネットワークインターフェースカードなど）、モデム、及び任意の他の好適なインターフェースが挙げられる。少なくとも１つの実施形態では、通信インターフェース９２２は、インターネットなどのネットワークへの直接リンクを介してリモートサーバへの直接接続を提供し得る。通信インターフェース９２２はまた、例えば、ローカルエリアネットワーク（イーサネット（登録商標）ネットワークなど）、パーソナルエリアネットワーク、電話若しくはケーブルネットワーク、セルラー電話接続、衛星データ接続、又は他の任意の好適な接続を通して、このような接続を間接的に提供してもよい。

特定の実施形態では、通信インターフェース９２２はまた、外部バス又は通信チャネルを介したコンピューティングシステム９１０と１つ以上の追加のネットワーク又は記憶デバイスとの間の通信を容易にするように構成されたホストアダプタも表し得る。ホストアダプタの例としては、非限定的に、小型コンピュータシステムインターフェース（ＳＣＳＩ）ホストアダプタ、ユニバーサルシリアルバス（ＵＳＢ）ホストアダプタ、米国電気電子学会（ＩＥＥＥ）１３９４ホストアダプタ、アドバンストテクノロジーアタッチメント（ＡＴＡ）、パラレルＡＴＡ（ＰＡＴＡ）、シリアルＡＴＡ（ＳＡＴＡ）、及び外部ＳＡＴＡ（ｅＳＡＴＡ）ホストアダプタ、ファイバーチャネルインターフェースアダプタ、イーサネット（登録商標）アダプタなどが挙げられる。通信インターフェース９２２はまた、コンピューティングシステム９１０が分散型又はリモートコンピューティングに関与することを可能にしてもよい。例えば、通信インターフェース９２２は、実行のために、リモートデバイスから命令を受信しても、リモートデバイスに命令を送信してもよい。

一部の実施例では、システムメモリ９１６は、プロセッサ９１４による実行のために、ネットワーク通信プログラム９３８を記憶及び／又はロードし得る。一実施例では、ネットワーク通信プログラム９３８は、コンピューティングシステム９１０が、別のコンピューティングシステム（図９には図示せず）とのネットワーク接続９４２を確立すること、及び／又は通信インターフェース９２２を介して他のコンピューティングシステムと通信すること、を可能にする、ソフトウェアを含み得る及び／又はそれを表し得る。この実施例では、ネットワーク通信プログラム９３８は、ネットワーク接続９４２を介して他のコンピューティングシステムに送信される発信トラフィックの流れを指示し得る。それに加えて、又は代替的に、ネットワーク通信プログラム９３８は、プロセッサ９１４と関連してネットワーク接続９４２を介して他のコンピューティングシステムから受信された着信トラフィックの処理を指示し得る。

図９にはこのようには示されていないが、ネットワーク通信プログラム９３８は、代替的に、通信インターフェース９２２に記憶及び／又はロードされ得る。例えば、ネットワーク通信プログラム９３８は、通信インターフェース９２２に組み込まれたプロセッサ及び／又は特定用途向け集積回路（ＡＳＩＣ）によって実行されるソフトウェア及び／又はファームウェアの少なくとも一部分を含み得る及び／又はそれを表し得る。

図９に示すように、例示的なコンピューティングシステム９１０はまた、記憶インターフェース９３４を介して通信基盤９１２に連結された、一次記憶デバイス９３２及びバックアップ記憶デバイス９３３も含み得る。記憶デバイス９３２及び９３３は、一般に、データ及び／又は他のコンピュータ可読命令を記憶することができる、任意のタイプ又は形態の記憶デバイス又は媒体を表す。例えば、記憶デバイス９３２及び９３３は、磁気ディスクドライブ（例えば、いわゆるハードドライブ）、ソリッドステートドライブ、フロッピーディスクドライブ、磁気テープドライブ、光ディスクドライブ、フラッシュドライブなどであり得る。記憶インターフェース９３４は、一般に、記憶デバイス９３２及び９３３とコンピューティングシステム９１０の他の構成要素との間でデータを転送するための、任意のタイプ又は形態のインターフェース又はデバイスを表す。一実施例では、図１のデータベース１２０は、一次記憶デバイス９３２内に記憶及び／又はロードされ得る。

特定の実施形態では、記憶デバイス９３２及び９３３は、コンピュータソフトウェア、データ、又は他のコンピュータ可読情報を記憶するように構成された取り外し可能な記憶ユニットから読み取る及び／又はそれに書き込むように構成され得る。好適な取り外し可能な記憶ユニットの例としては、非限定的に、フロッピーディスク、磁気テープ、光ディスク、フラッシュメモリデバイスなどが挙げられる。記憶デバイス９３２及び９３３はまた、コンピュータソフトウェア、データ、又は他のコンピュータ可読命令がコンピューティングシステム９１０内にロードされることを可能にするための、他の同様の構造体又はデバイスを含んでもよい。例えば、記憶デバイス９３２及び９３３は、ソフトウェア、データ、又は他のコンピュータ可読情報を読み書きするように構成され得る。記憶デバイス９３２及び９３３はまた、コンピューティングシステム９１０の一部であってもよく、又は他のインターフェースシステムを通してアクセスされる別個のデバイスであってもよい。

他の多くのデバイス又はサブシステムが、コンピューティングシステム９１０に接続され得る。反対に、図９に示す構成要素及びデバイスの全てが、本明細書に記載及び／又は図示される実施形態を実践するために存在する必要があるわけではない。上記で言及したデバイス及びサブシステムはまた、図９に示されるものとは異なる方法で相互接続されてもよい。コンピューティングシステム９１０はまた、任意の数のソフトウェア、ファームウェア、及び／又はハードウェア構成を用いてもよい。例えば、本明細書で開示する例示的な実施形態のうちの１つ以上は、コンピュータ可読媒体上で、コンピュータプログラム（コンピュータソフトウェア、ソフトウェアアプリケーション、コンピュータ可読命令、又はコンピュータ制御論理とも称される）としてコード化されてもよい。「コンピュータ可読媒体」という用語は、本明細書で使用するとき、一般に、コンピュータ可読命令を格納又は保有することができる、任意の形態のデバイス、キャリア、又は媒体を指す。コンピュータ可読媒体の例としては、非限定的に、搬送波などの伝送型媒体、並びに磁気記憶媒体（例えば、ハードディスクドライブ、テープドライブ、及びフロッピーディスク）、光学記憶媒体（例えば、コンパクトディスク（ＣＤ）、デジタルビデオディスク（ＤＶＤ）、及びブルーレイ（ＢＬＵ−ＲＡＹ（登録商標））ディスク）、電子記憶媒体（例えば、ソリッドステートドライブ及びフラッシュメディア）、並びに他の分散システムなどの非一時的媒体が挙げられる。

コンピュータプログラムを包含するコンピュータ可読媒体は、コンピューティングシステム９１０内にロードされ得る。コンピュータ可読媒体に記憶されたコンピュータプログラムのうちの全て又は一部は、次いで、システムメモリ９１６内に、並びに／又は記憶デバイス９３２及び９３３の様々な部分内に記憶され得る。プロセッサ９１４によって実行されるとき、コンピューティングシステム９１０内にロードされたコンピュータプログラムは、プロセッサ９１４に、本明細書に記載及び／若しくは図示される例示的な実施形態のうちの１つ以上の機能を実施させ得、並びに／又はそれらを実施するための手段とならせ得る。それに加えて、又は代替的に、本明細書に記載及び／又は図示される例示的な実施形態のうちの１つ以上は、ファームウェア及び／又はハードウェアに実装されてもよい。例えば、コンピューティングシステム９１０は、本明細書に開示される例示的な実施形態のうちの１つ以上を実装するように適合されたＡＳＩＣとして構成され得る。

図１０は、クライアントシステム１０１０、１０２０、及び１０３０、並びにサーバ１０４０及び１０４５がネットワーク１０５０に連結され得る例示的なネットワークアーキテクチャ１０００のブロック図である。上で詳述したように、ネットワークアーキテクチャ１０００のうちの全て又は一部は、単独で又は他の要素と組み合わせてのいずれかで、本明細書に開示されるステップのうちの１つ以上（図３及び／又は図８に示されるステップのうち１つ以上など）を実施し得、及び／又はそれを実施するための手段であり得る。ネットワークアーキテクチャ１０００のうちの全て又は一部はまた、本開示に記載される他のステップ及び特徴を実施するために使用されてもよく、並びに／又はそれを実施するための手段であってもよい。

クライアントシステム１０１０、１０２０、及び１０３０は、一般に、図９の例示的なコンピューティングシステム９１０など、任意のタイプ又は形態のコンピューティングデバイス又はシステムを表す。同様に、サーバ１０４０及び１０４５は、一般に、様々なデータベースサービスを提供する及び／又は特定のソフトウェアアプリケーションを実行するように構成された、アプリケーションサーバ又はデータベースサーバなどのコンピューティングデバイス又はシステムを表す。ネットワーク１０５０は、一般に、例えば、イントラネット、ＷＡＮ、ＬＡＮ、ＰＡＮ、又はインターネットを含む、任意の電気通信ネットワーク又はコンピュータネットワークを表す。一実施例では、クライアントシステム１０１０、１０２０、及び／若しくは１０３０、並びに／又はサーバ１０４０及び／若しくは１０４５は、図１のシステム１００のうちの全て又は一部を含み得る。

図１０に示すように、１つ以上の記憶デバイス１０６０（１）〜（Ｎ）は、サーバ１０４０に直接取り付けられ得る。同様に、１つ以上の記憶デバイス１０７０（１）〜（Ｎ）は、サーバ１０４５に直接取り付けられ得る。記憶デバイス１０６０（１）〜（Ｎ）及び記憶デバイス１０７０（１）〜（Ｎ）は、一般に、データ及び／又は他のコンピュータ可読命令を記憶することができる、任意のタイプ又は形態の記憶デバイス又は媒体を表す。特定の実施形態では、記憶デバイス１０６０（１）〜（Ｎ）及び記憶デバイス１０７０（１）〜（Ｎ）は、ネットワークファイルシステム（ＮＦＳ）、サーバメッセージブロック（ＳＭＢ）、又は共通インターネットファイルシステム（ＣＩＦＳ）などの様々なプロトコルを使用してサーバ１０４０及び１０４５と通信するように構成されたネットワーク接続ストレージ（ＮＡＳ）デバイスを表し得る。

サーバ１０４０及び１０４５はまた、ストレージエリアネットワーク（ＳＡＮ）ファブリック１０８０に接続されてもよい。ＳＡＮファブリック１０８０は、一般に、複数の記憶デバイス間の通信を容易にすることができる、任意のタイプ又は形態のコンピュータネットワーク又はアーキテクチャを表す。ＳＡＮファブリック１０８０は、サーバ１０４０及び１０４５と、複数の記憶デバイス１０９０（１）〜（Ｎ）及び／又はインテリジェント記憶アレイ１０９５と、の間の通信を容易にし得る。ＳＡＮファブリック１０８０はまた、記憶デバイス１０９０（１）〜（Ｎ）及びインテリジェント記憶アレイ１０９５が、クライアントシステム１０１０、１０２０、及び１０３０にローカルに取り付けられたデバイスとして現れるような方式で、ネットワーク１０５０並びにサーバ１０４０及び１０４５を介して、クライアントシステム１０１０、１０２０、及び１０３０と、記憶デバイス１０９０（１）〜（Ｎ）及び／又はインテリジェント記憶アレイ１０９５と、の間の通信を容易にし得る。記憶デバイス１０６０（１）〜（Ｎ）及び記憶デバイス１０７０（１）〜（Ｎ）と同様に、記憶デバイス１０９０（１）〜（Ｎ）及びインテリジェント記憶アレイ１０９５は、一般に、データ及び／又は他のコンピュータ可読命令を記憶することができる、任意のタイプ又は形態の記憶デバイス又は媒体を表す。

特定の実施形態では、図１０の例示的なコンピューティングシステム１０１０を参照すると、図１０の通信インターフェース１０２２などの通信インターフェースは、それぞれのクライアントシステム１０１０、１０２０、及び１０３０とネットワーク１０５０との間の接続を提供するために使用され得る。クライアントシステム１０１０、１０２０、及び１０３０は、例えば、ウェブブラウザ又は他のクライアントソフトウェアを使用して、サーバ１０４０又は１０４５上の情報にアクセスすることが可能であり得る。かかるソフトウェアは、クライアントシステム１０１０、１０２０、及び１０３０が、サーバ１０４０、サーバ１０４５、記憶デバイス１０６０（１）〜（Ｎ）、記憶デバイス１０７０（１）〜（Ｎ）、記憶デバイス１０９０（１）〜（Ｎ）、又はインテリジェント記憶アレイ１０９５によってホストされたデータにアクセスすることを可能にし得る。図１０は、データを交換するために（インターネットなどの）ネットワークを使用することを示しているが、本明細書に記載及び／又は図示される実施形態は、インターネット又は任意の特定のネットワークベースの環境に限定されない。

少なくとも１つの実施形態では、本明細書に開示される例示的な実施形態のうちの１つ以上の全て又は一部は、コンピュータプログラムとしてコード化され、サーバ１０４０、サーバ１０４５、記憶デバイス１０６０（１）〜（Ｎ）、記憶デバイス１０７０（１）〜（Ｎ）、記憶デバイス１０９０（１）〜（Ｎ）、インテリジェント記憶アレイ１０９５、又はこれらの任意の組み合わせ上にロードされ、これらによって実行され得る。本明細書に開示される例示的な実施形態のうちの１つ以上の全て又は一部はまた、コンピュータプログラムとしてコード化され、サーバ１０４０に記憶され、サーバ１０４５によって実行され、ネットワーク１０５０を通じてクライアントシステム１０１０、１０２０、及び１０３０に分散されてもよい。

上で詳述したように、コンピューティングシステム９１０及び／又はネットワークアーキテクチャ１０００の１つ以上の構成要素は、単独で又は他の要素と組み合わせてのいずれかで、動的ネットワークセキュリティポリシーを施行するための例示的な方法の１つ以上のステップを実施し得、及び／又はそれを実施するための手段であり得る。

前述の開示は、特定のブロック図、フローチャート、及び実施例を使用して様々な実施形態を記載しているが、本明細書に記載及び／又は図示されるそれぞれのブロック図の構成要素、フローチャートの工程、動作、及び／又は構成要素は、個別にかつ／又は集合的に、広範なハードウェア、ソフトウェア、又はファームウェア（若しくはそれらの任意の組み合わせ）の構成を使用して実装されてもよい。それに加えて、同じ機能性を達成するように他の多くのアーキテクチャを実装することができるので、他の構成要素内に包含される構成要素のいかなる開示も、本質的に例示と見なされるべきである。

一部の実施例では、図１の例示的なシステム１００のうちの全て又は一部は、クラウドコンピューティング環境又はネットワークベースの環境の一部を表してもよい。クラウドコンピューティング環境は、インターネットを介して、様々なサービス及びアプリケーションを提供してもよい。これらのクラウドベースのサービス（例えば、サービスとしてのソフトウェア、サービスとしてのプラットフォーム、サービスとしての基盤など）は、ウェブブラウザ又は他のリモートインターフェースを通してアクセス可能であってもよい。本明細書に記載する様々な機能は、リモートデスクトップ環境又は他の任意のクラウドベースのコンピューティング環境を通して提供されてもよい。

様々な実施形態では、図１の例示的なシステム１００のうちの全て又は一部は、クラウドベースのコンピューティング環境内におけるマルチテナンシーを容易にしてもよい。換言すれば、本明細書に記載するソフトウェアモジュールは、本明細書に記載する機能のうちの１つ以上に対するマルチテナンシーを容易にするように、コンピューティングシステム（例えば、サーバ）を構成してもよい。例えば、本明細書に記載するソフトウェアモジュールのうちの１つ以上は、２つ以上のクライアント（例えば、顧客）がサーバ上で作動しているアプリケーションを共有するのを可能にするように、サーバをプログラムしてもよい。このようにプログラムされたサーバは、複数の顧客（即ち、テナント）の間で、アプリケーション、オペレーティングシステム、処理システム、及び／又は記憶システムを共有してもよい。本明細書に記載するモジュールのうちの１つ以上はまた、ある顧客が別の顧客のデータ及び／又は設定情報にアクセスできないように、顧客ごとにマルチテナントアプリケーションのデータ及び／又は設定情報を分割してもよい。

様々な実施形態によれば、図１の例示的なシステム１００のうちの全て又は一部は、仮想環境内で実装されてもよい。例えば、本明細書に記載するモジュール及び／又はデータは、仮想機械内で常駐及び／又は実行してもよい。本明細書で使用するとき、「仮想機械」という用語は、一般に、仮想機械マネージャ（例えば、ハイパーバイザ）によってコンピューティングハードウェアから抽出される、任意のオペレーティングシステム環境を指す。それに加えて、又は代替的に、本明細書に記載するモジュール及び／又はデータは、仮想化層内で常駐及び／又は実行してもよい。本明細書で使用するとき、「仮想化層」という用語は、一般に、オペレーティングシステム環境にオーバーレイする、並びに／あるいはそこから抽出される、任意のデータ層及び／又はアプリケーション層を指す。仮想化層は、基礎となる基本オペレーティングシステムの一部であるかのように仮想化層を提示する、ソフトウェア仮想化ソリューション（例えば、ファイルシステムフィルタ）によって管理されてもよい。例えば、ソフトウェア仮想化ソリューションは、最初に基本ファイルシステム及び／又はレジストリ内の場所に方向付けられる呼び出しを、仮想化層内の場所にリダイレクトしてもよい。

一部の実施例では、図１の例示的なシステム１００のうちの全て又は一部は、モバイルコンピューティング環境の部分を表してもよい。モバイルコンピューティング環境は、携帯電話、タブレットコンピュータ、電子ブックリーダ、携帯情報端末、ウェアラブルコンピューティングデバイス（例えば、ヘッドマウントディスプレイを備えたコンピューティングデバイス、スマートウォッチなど）などを含む、広範なモバイルコンピューティングデバイスによって実装されてもよい。一部の実施例において、モバイルコンピューティング環境は、例えば、バッテリ電力への依存、任意の所与の時間での１つのみのフォアグラウンドアプリケーションの提示、リモート管理特性、タッチスクリーン特性、位置及び移動データ（例えば、グローバルポジショニングシステム、ジャイロスコープ、加速度計などによって提供される）、システムレベルの構成への修正を制限する、及び／又は第３者のソフトウェアが他のアプリケーションの挙動を検査する能力を限定する制限されたプラットフォーム、アプリケーションのインストールを（例えば、認可されたアプリケーションストアからのみ生じるように）制限する制御などを含む、１つ以上の個別の特性を有することができる。本明細書で説明される様々な機能は、モバイルコンピューティング環境に対して提供され得る、及び／又はモバイルコンピューティング環境と相互作用し得る。

それに加えて、図１の例示的なシステム１００のうちの全て又は一部は、情報管理のための１つ以上のシステムの部分を表してもよく、それと相互作用してもよく、それによって生成されるデータを消費してもよく、かつ／又はそれによって消費されるデータを生成してもよい。本明細書で使用するとき、「情報管理」という用語は、データの保護、組織化、及び／又は記憶を指してもよい。情報管理のためのシステムの例としては、非限定的に、記憶システム、バックアップシステム、アーカイブシステム、複製システム、高可用性システム、データ検索システム、仮想化システムなどを挙げることができる。

一部の実施形態では、図１の例示的なシステム１００のうちの全て又は一部は、情報セキュリティのための１つ以上のシステムの部分を表してもよく、それによって保護されるデータを生成してもよく、かつ／又はそれと通信してもよい。本明細書で使用するとき、「情報セキュリティ」という用語は、保護されたデータに対するアクセスの制御を指してもよい。情報セキュリティのためのシステムの例としては、非限定的に、管理されたセキュリティサービスを提供するシステム、データ損失防止システム、本人認証システム、アクセス制御システム、暗号化システム、ポリシー遵守システム、侵入検出及び防止システム、電子証拠開示システムなどを挙げることができる。

一部の実施例によれば、図１の例示的なシステム１００のうちの全て又は一部は、エンドポイントセキュリティのための１つ以上のシステムの部分を表してもよく、それと通信してもよく、かつ／又はそれから保護を受けてもよい。本明細書で使用するとき、「エンドポイントセキュリティ」という用語は、不正及び／若しくは違法な使用、アクセス、並びに／又は制御からのエンドポイントシステムの保護を指してもよい。エンドポイント保護のためのシステムの例としては、非限定的に、アンチマルウェアシステム、ユーザ認証システム、暗号化システム、プライバシーシステム、スパムフィルタリングサービスなどを挙げることができる。

本明細書に記載及び／又は図示されるプロセスパラメータ及び工程の順序は、単なる例として与えられるものであり、所望に応じて変更することができる。例えば、本明細書に図示及び／又は記載される工程は特定の順序で図示又は考察されることがあるが、これらの工程は、必ずしも図示又は考察される順序で実施される必要はない。本明細書に記載される及び／又は図示される様々な例示的な方法はまた、本明細書に記載される及び／又は図示される工程のうちの１つ以上を省略してもよく、又は開示されるものに加えて追加の工程を含んでもよい。

種々の実施形態が、完全に機能的なコンピューティングシステムに関連して本明細書に記載され及び／又は図示されているが、これら例示的な実施形態のうちの１つ以上は、実際に配布を行うために使用されるコンピュータ可読記憶媒体の特定のタイプに関わらず、多様な形態のプログラム製品として配布され得る。本明細書に開示される実施形態はまた、特定のタスクを実施するソフトウェアモジュールを使用して実装されてもよい。これらのソフトウェアモジュールは、コンピュータ可読記憶媒体又はコンピューティングシステムに記憶されてもよい、スクリプト、バッチ、若しくは他の実行可能ファイルを含んでもよい。一部の実施形態では、これらのソフトウェアモジュールは、本明細書に開示される例示的な実施形態のうちの１つ以上を実施するようにコンピューティングシステムを構成してもよい。

それに加えて、本明細書に記載するモジュールのうちの１つ以上は、データ、物理的デバイス、及び／又は物理的デバイスの表現を、１つの形態から別の形態へと変換してもよい。例えば、本明細書に記載のモジュールのうちの１つ以上は、変換対象のネットワークパケットを受信し、そのネットワークパケットを変換し、変換結果を記憶デバイス又は出力デバイスに出力し、変換結果を使用して疑わしいネットワークトラフィックを識別し、変換結果をサーバ又はデータベースに格納し得る。それに加えて、又は代替的に、本明細書に列挙されるモジュールのうちの１つ以上は、コンピューティングデバイス上で実行し、コンピューティングデバイスにデータを格納し、並びに／あるいは別の方法でコンピューティングデバイスと相互作用することによって、プロセッサ、揮発性メモリ、不揮発性メモリ、及び／又は物理的コンピューティングデバイスの他の任意の部分を、１つの形態から別の形態へと変換してもよい。

上述の記載は、本明細書に開示される例示的な実施形態の様々な態様を他の当業者が最良に利用するのを可能にするために提供されてきた。この例示的な記載は、網羅的であることを意図するものではなく、又は開示される任意の正確な形態に限定することを意図するものではない。本開示の趣旨及び範囲から逸脱することなく、多くの修正及び変形が可能である。本明細書に開示される実施形態は、あらゆる点で例示的であり、限定的ではないものと見なされるべきである。本開示の範囲を決定する際に、添付の特許請求の範囲及びそれらの等価物を参照するべきである。

別途記載のない限り、「〜に接続される」及び「〜に連結される」という用語（並びにそれらの派生語）は、本明細書及び特許請求の範囲で使用するとき、直接的接続及び間接的接続（即ち、他の要素若しくは構成要素を介する）の両方を許容するものとして解釈されるものである。それに加えて、「ａ」又は「ａｎ」という用語は、本明細書及び特許請求の範囲で使用するとき、「〜のうち少なくとも１つ」を意味するものとして解釈されるものである。最後に、簡潔にするため、「含む」及び「有する」という用語（並びにそれらの派生語）は、本明細書及び特許請求の範囲で使用するとき、「備える」という単語と互換性があり、同じ意味を有する。

Claims (29)

1. 動的ネットワークセキュリティポリシーを施行するためのコンピュータ実装方法であって、前記方法の少なくとも一部は、少なくとも１つのプロセッサを含むネットワークコンピューティングデバイスによって実施され、前記方法は、
   ネットワークトラフィック保護システムによって、ネットワークセグメント上で送信されるネットワークパケットを監視することと、
   前記ネットワークトラフィック保護システムによって、前記ネットワークセグメントに接続されたエンドポイントコンピューティングデバイスと関連付けられた少なくとも１つのネットワークパケットの疑わしい送信を検出することと、
   前記ネットワークパケットの前記疑わしい送信に基づいて、前記ネットワークセグメントに対する少なくとも１つのネットワークセキュリティポリシーを修正することと、
   前記ネットワークトラフィック保護システムによって、前記ネットワークセグメントに接続された全てのエンドポイントコンピューティングデバイスに対する前記修正されたネットワークセキュリティポリシーを施行することと、を含む、方法。
2. 前記エンドポイントコンピューティングデバイスが、前記ネットワークセグメントに接続されている間に前記ネットワークトラフィック保護システムとペアリングすることができるソフトウェアを実行するコンピューティングデバイスを含む、請求項１に記載の方法。
3. 前記ネットワークパケットの前記疑わしい送信を検出することが、
   前記ネットワークパケットを傍受することと、
   前記エンドポイントコンピューティングデバイスの予期されるネットワークトラフィックプロファイルに基づいて、前記ネットワークパケットの前記送信が疑わしいと判定することと、を含む、請求項１に記載の方法。
4. 前記ネットワークセグメントに対する前記ネットワークセキュリティポリシーを修正することが、
   前記エンドポイントコンピューティングデバイスをブロックすることと、
   ネットワークトラフィックを制限することと、
   前記エンドポイントコンピューティングデバイスをデバイスのブラックリストに追加することと、
   前記ネットワークパケットの前記疑わしい送信が完了するのを防止することと、のうちの少なくとも１つを含む、請求項１に記載の方法。
5. 前記修正されたネットワークセキュリティポリシーを施行することが、
   前記修正されたネットワークセキュリティポリシーを、前記ネットワークセグメントに接続された前記エンドポイントコンピューティングデバイスにプッシュすることと、
   ネットワークトラフィックが前記修正されたネットワークセキュリティポリシーに従うことを保証することと、
   前記ネットワークセグメントに接続された非準拠のエンドポイントコンピューティングデバイスを制限することと、のうちの少なくとも１つを含む、請求項１に記載の方法。
6. 前記修正されたネットワークセキュリティポリシーを、関連するネットワークセグメントを監視する関連するネットワークトラフィック保護システムに送信することを更に含む、請求項１に記載の方法。
7. 前記関連するネットワークセグメントが、前記ネットワークセグメントを含むネットワークセグメントのクラスタ内の第２のネットワークセグメントを含む、請求項６に記載の方法。
8. 前記ネットワークパケットの前記疑わしい送信に関連する少なくとも１つのソフトウェアアプリケーションを識別することと、
   前記エンドポイントコンピューティングデバイスから前記ソフトウェアアプリケーションに関する追加情報を要求することと、
   前記追加情報に基づいてセキュリティアクションを実施することと、を更に含む、請求項１に記載の方法。
9. 前記セキュリティアクションが、
   前記エンドポイントコンピューティングデバイスのユーザの改ざんを検出することと、
   前記ソフトウェアアプリケーションのインストールにおける異常を検出することと、
   前記ソフトウェアアプリケーションが悪意のあるものであり得ると判定することと、
   前記ソフトウェアアプリケーションに関するユーザアクティビティのログを要求することと、
   前記エンドポイントコンピューティングデバイスを制限することと、のうちの少なくとも１つを含む、請求項８に記載の方法。
10. 動的ネットワークセキュリティポリシーを施行するためのシステムであって、前記システムは、
    ネットワークトラフィック保護システムによって、ネットワークセグメント上で送信されるネットワークパケットを監視する、メモリに記憶された監視モジュールと、
    前記ネットワークトラフィック保護システムによって、前記ネットワークセグメントに接続されたエンドポイントコンピューティングデバイスに関連付けられた少なくとも１つのネットワークパケットの疑わしい送信を検出する、メモリに記憶された検出モジュールと、
    前記ネットワークパケットの前記疑わしい送信に基づいて、前記ネットワークセグメントに対する少なくとも１つのネットワークセキュリティポリシーを修正する、メモリに記憶された修正モジュールと、
    前記ネットワークトラフィック保護システムによって、前記ネットワークセグメントに接続された全てのエンドポイントコンピューティングデバイスに対する前記修正されたネットワークセキュリティポリシーを施行する、メモリに記憶された施行モジュールと、
    前記監視モジュール、前記検出モジュール、前記修正モジュール、及び前記施行モジュールを実行する少なくとも１つのプロセッサと、を備える、システム。
11. 前記エンドポイントコンピューティングデバイスが、前記ネットワークセグメントに接続されている間に前記ネットワークトラフィック保護システムとペアリングすることができるソフトウェアを実行するコンピューティングデバイスを含む、請求項１０に記載のシステム。
12. 前記検出モジュールは、
    前記ネットワークパケットを傍受することと、
    前記エンドポイントコンピューティングデバイスの予期されるネットワークトラフィックプロファイルに基づいて、前記ネットワークパケットの前記送信が疑わしいものであると判定することと、によって、前記ネットワークパケットの前記疑わしい送信を検出する、請求項１０に記載のシステム。
13. 前記修正モジュールは、前記ネットワークセグメントに対する前記ネットワークセキュリティポリシーを、
    前記エンドポイントコンピューティングデバイスをブロックすることと、
    ネットワークトラフィックを制限することと、
    前記エンドポイントコンピューティングデバイスをデバイスのブラックリストに追加することと、
    前記ネットワークパケットの前記疑わしい送信が完了するのを防止することと、のうちの少なくとも１つによって修正する、請求項１０に記載のシステム。
14. 前記施行モジュールは、前記修正されたネットワークセキュリティポリシーを、
    前記修正されたネットワークセキュリティポリシーを、前記ネットワークセグメントに接続された前記エンドポイントコンピューティングデバイスにプッシュすることと、
    ネットワークトラフィックが前記修正されたネットワークセキュリティポリシーに従うことを保証することと、
    前記ネットワークセグメントに接続された非準拠のエンドポイントコンピューティングデバイスを制限することと、のうちの少なくとも１つによって施行する、請求項１０に記載のシステム。
15. 前記修正されたネットワークセキュリティポリシーを、関連するネットワークセグメントを監視する関連するネットワークトラフィック保護システムに送信することを更に含む、請求項１０に記載のシステム。
16. 前記関連するネットワークセグメントが、前記ネットワークセグメントを含むネットワークセグメントのクラスタ内の第２のネットワークセグメントを含む、請求項１５に記載のシステム。
17. 前記ネットワークパケットの前記疑わしい送信に関連する少なくとも１つのソフトウェアアプリケーションを識別することと、
    前記エンドポイントコンピューティングデバイスから前記ソフトウェアアプリケーションに関する追加情報を要求することと、
    前記追加情報に基づいてセキュリティアクションを実施することと、を更に含む、請求項１０に記載のシステム。
18. 前記セキュリティアクションが、
    前記エンドポイントコンピューティングデバイスのユーザの改ざんを検出することと、
    前記ソフトウェアアプリケーションのインストールにおける異常を検出することと、
    前記ソフトウェアアプリケーションが悪意のあるものであり得ると判定することと、
    前記ソフトウェアアプリケーションに関するユーザアクティビティのログを要求することと、
    前記エンドポイントコンピューティングデバイスを制限することと、のうちの少なくとも１つを含む、請求項１７に記載のシステム。
19. １つ以上のコンピュータ実行可能命令を含む非一時的コンピュータ可読媒体であって、前記１つ以上のコンピュータ実行可能命令は、ネットワークコンピューティングデバイスの少なくとも１つのプロセッサによって実行されると、前記コンピューティングデバイスに、
    ネットワークトラフィック保護システムによって、ネットワークセグメント上で送信されるネットワークパケットを監視させ、
    前記ネットワークトラフィック保護システムによって、前記ネットワークセグメントに接続されたエンドポイントコンピューティングデバイスと関連付けられた少なくとも１つのネットワークパケットの疑わしい送信を検出させ、
    前記ネットワークパケットの前記疑わしい送信に基づいて、前記ネットワークセグメントの少なくとも１つのネットワークセキュリティポリシーを修正させ、
    前記ネットワークトラフィック保護システムによって、前記ネットワークセグメントに接続された全てのエンドポイントコンピューティングデバイスに対する前記修正されたネットワークセキュリティポリシーを施行させる、非一時的コンピュータ可読媒体。
20. 前記エンドポイントコンピューティングデバイスが、前記ネットワークセグメントに接続されている間に前記ネットワークトラフィック保護システムとペアリングすることができるソフトウェアを実行するコンピューティングデバイスを含む、請求項１９に記載の非一時的コンピュータ可読媒体。
21. 動的ネットワークセキュリティポリシーを施行するためのコンピュータ実装方法であって、前記方法の少なくとも一部は、少なくとも１つのプロセッサを含むエンドポイントコンピューティングデバイスによって実施され、前記方法は、
    ネットワークセキュリティエージェントによって、前記エンドポイントコンピューティングデバイスによるネットワークに接続する試みを検出することと、
    前記ネットワークセキュリティエージェントによって、前記ネットワークを管理するネットワークトラフィック保護システムとペアリングすることを試みることと、
    前記ネットワークトラフィック保護システムとペアリングする前記試みに基づいて、前記ネットワークに対するネットワークセキュリティポリシーのセットを受信することと、
    前記ネットワークに対する前記ネットワークセキュリティポリシーの受信したセットに準拠するように、前記エンドポイントコンピューティングデバイスに対するセキュリティポリシーの元のセットを修正することと、
    前記ネットワークに接続する前記試みを完了することと、を含む、方法。
22. 前記ネットワークトラフィック保護システムとペアリングすることを試みることが、前記ネットワークセキュリティエージェントと前記ネットワークトラフィック保護システムとの間で相互認証プロセスを実施することを含む、請求項２１に記載の方法。
23. 前記ネットワークセキュリティポリシーのセットが、
    前記エンドポイントコンピューティングデバイスのユーザに対するユーザ固有のポリシーと、
    前記ネットワークに対するネットワーク固有のポリシーと、
    前記エンドポイントコンピューティングデバイスに対するデフォルトポリシーと、のうちの少なくとも１つを含む、請求項２１に記載の方法。
24. 前記セキュリティポリシーの元のセットを修正することが、
    前記セキュリティポリシーの元のセットを前記ネットワークセキュリティポリシーの受信したセットと置き換えることと、
    前記ネットワークセキュリティポリシーの受信したセットを前記セキュリティポリシーの元のセットに追加することと、
    前記ネットワークセキュリティポリシーの受信したセットに準拠するように、前記セキュリティポリシーの元のセットの一部を改訂することと、のうちの少なくとも１つを含む、請求項２１に記載の方法。
25. 前記ペアリングされたネットワークトラフィック保護システムにセキュリティ機能をオフロードすることを更に含む、請求項２１に記載の方法。
26. 前記ネットワークトラフィック保護システムから、前記ネットワークの少なくとも１つの位置属性を受信することと、
    前記ネットワークの前記位置属性及び前記ネットワークトラフィック保護システムとペアリングする前記試みに基づいて、前記ネットワークの信頼性を計算することと、
    前記ネットワークの前記計算された信頼性に基づいて、前記エンドポイントコンピューティングデバイスに対する少なくとも１つのセキュリティポリシーを修正することと、を更に含む、請求項２１に記載の方法。
27. 前記ネットワークの前記位置属性が、
    前記ネットワークの物理的位置と、
    ネットワークのタイプと、のうちの少なくとも１つを含む、請求項２６に記載の方法。
28. 前記ネットワークセキュリティエージェントによって、前記ネットワークからの切断を検出することと、
    前記エンドポイントコンピューティングデバイスに対する前記セキュリティポリシーの元のセットを再適用することと、を更に含む、請求項２１に記載の方法。
29. 動的ネットワークセキュリティポリシーを施行するためのシステムであって、
    ネットワークコンピューティングデバイスであって、
    ネットワークトラフィック保護システムによって、ネットワークセグメント上で送信されるネットワークパケットを監視し、
    前記ネットワークトラフィック保護システムによって、前記ネットワークセグメントに接続されたエンドポイントコンピューティングデバイスと関連付けられた少なくとも１つのネットワークパケットの疑わしい送信を検出し、
    前記ネットワークパケットの前記疑わしい送信に基づいて、前記ネットワークセグメントに対する少なくとも１つのネットワークセキュリティポリシーを修正し、かつ、
    前記ネットワークトラフィック保護システムによって、前記ネットワークセグメントに接続された全てのエンドポイントコンピューティングデバイスに対する前記修正されたネットワークセキュリティポリシーを施行するように構成されている、ネットワークコンピューティングデバイスと、
    前記エンドポイントコンピューティングデバイスであって、
    ネットワークセキュリティエージェントによって、前記エンドポイントコンピューティングデバイスによる前記ネットワークセグメントに接続する試みを検出し、
    前記ネットワークセキュリティエージェントによって、前記ネットワークセグメントを管理する前記ネットワークトラフィック保護システムとペアリングすることを試み、
    前記ネットワークトラフィック保護システムとペアリングする前記試みに基づいて、前記ネットワークセグメントに対するネットワークセキュリティポリシーのセットを受信し、
    前記ネットワークセグメントに対する前記ネットワークセキュリティポリシーの受信したセットに準拠するように、前記エンドポイントコンピューティングデバイスに対するセキュリティポリシーの元のセットを修正し、かつ、
    前記ネットワークセグメントに接続する前記試みを完了するように構成されている、エンドポイントコンピューティングデバイスと、備える、システム。

Images