JP2023025160A - 自動パケットレスネットワーク到達可能性分析 - Google Patents

Abstract

【課題】自動パケットレスネットワーク到達可能性分析のためのシステム、方法及びコンピュータ可読媒体を提供する。【解決手段】ネットワークセキュリティ評価装置は、ホストコンピュータを含むネットワークに対して、ネットワーク構成データの分析を行う。この分析に少なくとも部分的に基づいて、別のコンピュータから到達可能な、ホストコンピュータにある１つ以上のポートが判定される。この分析に少なくとも部分的に基づいて、１つ以上のポートへの１つ以上のルートが判定される。１つ以上のポートおよび１つ以上のルートを記述しているレポートが生成される。【選択図】図１

Description

多くの企業および他の組織は、コンピューティングシステムが同じ場所に配置されてい
るか（例えば、ローカルネットワークの一部として）、またはその代わりに複数の異なる
地理的場所に位置する（例えば、１つ以上の私的なまたは公共の中間ネットワークを介し
て接続された）状態でなど、多数のコンピューティングシステムを相互接続して、それら
の業務をサポートするコンピュータネットワークを運用する。例えば、単一の組織によっ
て、また単一の組織のために運営されるプライベートデータセンタや、顧客にコンピュー
ティングリソースを提供するビジネスとして企業により運営されるパブリックデータセン
タなど、かなりの数の相互接続されたコンピューティングシステムを収容するデータセン
タが普及している。パブリックデータセンタオペレータの中には、様々な顧客が所有する
ハードウェアにネットワークアクセス、電力、および安全な設置設備を提供するものもあ
れば、顧客が使用できるようにされたハードウェアリソースも含む「フルサービス」設備
を提供するものもある。

いくつかの実施形態による、自動パケットレスネットワーク到達可能性分析のためのシステム環境例を示す。 いくつかの実施形態による、分析を補助するための仮想ネットワーク検証サービスとの相互作用を含む、自動パケットレスネットワーク到達可能性分析のためのシステム環境例のさらなる態様を示す。 いくつかの実施形態による、分析の対象となるコンピュータ上のエージェントの使用を含む、自動パケットレスネットワーク到達可能性分析のためのシステム環境例のさらなる態様を示す。 いくつかの実施形態による、是正処置の勧告および／または実施を含む、自動パケットレスネットワーク到達可能性分析のためのシステム環境例のさらなる態様を示す。 いくつかの実施形態による、自動パケットレスネットワーク到達可能性分析を使用して生成されたレポートの例を示す。 いくつかの実施形態による、自動パケットレスネットワーク到達可能性分析を使用して、また分析の対象となるコンピュータ上のエージェントを使用して、生成されたレポートの例を示す。 いくつかの実施形態による、自動パケットレスネットワーク到達可能性分析のための方法を示すフローチャートである。 いくつかの実施形態による、プロバイダネットワーク環境における仮想ネットワーク検証サービスを示す。 いくつかの実施形態による、仮想ネットワーク検証サービス例の構成要素および動作を示す。 いくつかの実施形態による、仮想ネットワークについての情報をプロバイダネットワークのクライアントに提供するための方法のフローチャートである。 いくつかの実施形態による、クライアントが仮想ネットワーク検証サービスに記述情報およびクエリを提供する、プロバイダネットワークのクライアントに仮想ネットワークについての情報を提供するための方法のフローチャートである。 いくつかの実施形態による、クライアントが、記述情報、および仮想ネットワークにアクセスするためのパーミッションを仮想ネットワーク検証サービスに提供する、プロバイダネットワークのクライアントに仮想ネットワークについての情報を提供するための方法のフローチャートである。 いくつかの実施形態による、２つ以上のピア型仮想ネットワークを含む、プロバイダネットワーク環境におけるクライアントの仮想ネットワーク実装形態を示す。 いくつかの実施形態による、プロバイダネットワーク上の仮想ネットワーク例内のサブネットおよびセキュリティグループを示す。 いくつかの実施形態で使用され得るコンピューティングデバイス例を示す。

実施形態は、いくつかの実施形態および説明的な図面の例として本明細書に記載されて
いるが、当業者は、実施形態が記載された実施形態または図面に限定されないことを認識
するであろう。図面およびその詳細な説明は、実施形態を開示された特定の形態に限定す
ることを意図するものではなく、むしろ、その意図は、添付の特許請求の範囲によって定
義される趣旨および範囲に該当する全ての修正形態、均等物、および代替物を包含するこ
とが理解されるべきである。本明細書で使用される見出しは、単に編成の便宜上のもので
あり、本明細書または特許請求の範囲を限定するために使用されることを意図したもので
はない。本出願全体にわたる使用では、「であり得る（ｍａｙ）」という語は、義務的な
意味合い（すなわち、「しなければならない（ｍｕｓｔ）」という意味）ではなく、許容
の意味合い（すなわち、「する可能性がある」という意味）で使用される。同様に、「含
む（ｉｎｃｌｕｄｅ）」、「含む（ｉｎｃｌｕｄｉｎｇ）」、および「含む（ｉｎｃｌｕ
ｄｅｓ）」という語は、「含むがそれに限定されない」ことを意味する。

自動パケットレスネットワーク到達可能性分析のための方法、システム、およびコンピ
ュータ可読媒体の様々な実施形態について述べる。実施形態によっては、ネットワーク到
達可能性分析は、必ずしも従来のポートスキャンを行わないでも、行われる。ポート走査
法に対するこれまでの取り組みでは、パケットが、外部エンティティから（例えば、パブ
リックネットワーク上で）１つ以上のコンピュータ上の様々なポートに送信される可能性
があり、応答が待たれる可能性があり、このようなポートスキャンには、数日かかり、過
度のネットワーク帯域幅を使用する可能性があった。ポートにパケットを送信せずに、本
明細書に記載のネットワーク到達可能性分析では、コンピュータにあるどのポート（もし
あれば）が、例えば、パブリックインターネットまたは同じネットワーク上の別のコンピ
ュータに到達可能であるかを判定することができる。ネットワーク到達可能性分析では、
外部エンティティからそれらのポートへの１つ以上のルートを判定することもできる。ネ
ットワーク到達可能性分析では、様々なソースからのデータを組み合わせて結論を出すこ
とができる。一実施形態において、ネットワーク到達可能性分析では、コンピュータが属
するネットワークに対しネットワーク構成データのセットを問い合わせることができる。
一実施形態において、ネットワーク到達可能性分析では、コンピュータにインストールさ
れたエージェントソフトウェアからデータを取得して、例えば、どのプロセスが開ポート
をリッスンしているかを判定することができる。ネットワーク到達可能性分析では、その
調査結果の側面、例えば、開いており、かつ到達可能なポート、それらのポートへのルー
ト、それらのポートをリッスンしているプロセス、ポートが開いており、かつ到達可能で
あることに対応している構成設定、開いており、かつ到達可能なポートに付随するセキュ
リティ上の懸念、セキュリティ上の懸念を改善する是正措置（例えば、構成設定の変更）
、および／または他の任意の適切な情報、を記述したレポートを作成することができる。
ネットワーク到達可能性分析は、自動化された形で、例えば、スケジュールに従って、ま
たはイベントによってトリガされるのにつれて行われ得、必ずしもエンドユーザによって
直接開始されるとは限らない。本明細書に記載の技法を使用すると、従来のポート走査法
の時間がかかり、リソース集中型の性質とは対照的に、ネットワークのセキュリティが迅
速かつ効率的に分析され得る。

当業者が本開示に照らして理解するように、実施形態は、特定の技術的利点を得ること
ができる可能性があり、特定の技術的利点には、（１）多くのコンピュータ上の多数のポ
ートにパケットを送信し、応答を待つ必要性をなくすることによって、ネットワーク到達
可能性分析の速さを改善すること、（２）多くのコンピュータ上の多数のポートにパケッ
トを送信する必要をなくすことにより、ネットワーク到達可能性分析のネットワーク帯域
幅要件を減らすこと、（３）それによりポートに到達することができるルートを見抜く力
を提供することにより、ネットワークのセキュリティを向上させること、（４）開いてお
り、かつ到達可能なポートをリッスンしているプロセスを見抜く力を提供することにより
、ネットワークのセキュリティを向上させること、（５）ポートが到達可能であることを
もたらす構成設定を報告するとともに、セキュリティ上の懸念を改善すると考えられる設
定への変更を報告することにより、ネットワークのセキュリティを向上させること、（６
）スキャナの場所からの到達可能性のみを確認する従来のポートスキャンよりも完全な見
通しを提供することにより、ネットワークのセキュリティを向上させること、などのうち
のいくつかまたはすべてが含まれる。

図１は、いくつかの実施形態による、自動パケットレスネットワーク到達可能性分析の
ためのシステム環境例を示す。実施形態によっては、ネットワークセキュリティ評価装置
１００は、ネットワーク上の１つ上のコンピューティングデバイスのセキュリティを分析
して、例えば、それらのコンピュータ上のどのポートが開いており、かつ到達可能である
か（もしあれば）を判定することができる。分析の対象となるデバイスは、コンピュータ
、ホストコンピュータ、ホスト、サーバ、インスタンス、またはコンピューティングリソ
ースと呼ばれることもある。図１に示されるように、ホスト１７０Ａ～１７０Ｎなどのコ
ンピューティングデバイスのセットは、プライベートネットワーク１８０内に構成され得
る。図示および例の目的で、２つのホスト１７０Ａおよび１７０Ｎが示されているが、任
意の適切な個数および構成のホストが、ネットワークセキュリティ評価装置１００によっ
て分析され得る。ホスト１７０Ａ～１７０Ｎは、それらのハードウェアリソース、ソフト
ウェアリソース、ネットワーク構成などが同じであっても異なっていてもよい。

ホスト１７０Ａ～１７０Ｎは、プライベートネットワーク１８０のネットワークリソー
スを使用して互いに通信するように構成され得る。ホスト１７０Ａ～１７０Ｎのそれぞれ
は、ホスト１７０Ａにはポート１７１Ａ、またホスト１７０Ｎにはポート１７１Ｎなど、
ネットワークポートを提供することができる。ポート１７１Ａ～１７１Ｎは、ネットワー
ク通信のエンドポイントを表し得、ポート番号によって特定され得る。ポートは、ネット
ワークキングプロトコル、または伝送制御プロトコル（ＴＣＰ：Ｔｒａｎｓｍｉｓｓｉｏ
ｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）およびユーザデータグラムプロトコル（ＵＤＰ
：Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ）などのトランスポート層プロトコル
によって使用され得る。慣例上、特定のポート番号が特定のサービスに予約されている場
合がある。共益サービスを実装するアプリケーションは、予約済みのポート番号を使用し
て、ポートを「リッスン」し、要求に応じて１対１のサーバークライアントダイアログを
確立することにより、クライアントからのサービス要求を受信することができる。例えば
、Ｓｉｍｐｌｅ Ｍａｉｌ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ（ＳＭＴＰ）を実装す
るアプリケーションは、通常、入ってくる要求があるかＴＣＰポート２５をリッスンし、
Ｐｏｓｔ Ｏｆｆｉｃｅ Ｐｒｏｔｏｃｏｌ（ＰＯＰ）を実装するアプリケーションは、
通常、入ってくる要求があるかＴＣＰ１１０をリッスンする。

プライベートネットワーク１８０は、特定の事業体または他の組織によって所有され、
かつ／または運用されているコンピュータを含み得る。一実施形態において、プライベー
トネットワーク１８０の所有者またはオペレータは、ホスト１７０Ａ～１７０Ｎが通常ア
クセスできないか、または外部エンティティ、例えば、パプリックインタ－ネットなどの
１つ以上のパブリックネットワーク１９０を介して接続されたコンピュータに対してある
程度の分離を有するはずであると予想し得る。しかし、ホスト１７０Ａ～１７０Ｎ上の１
つ以上のポートは、実際には、パブリックネットワーク１９０に到達可能であり得、また
セキュリティ上の懸念をもたらす可能性があるように到達可能であり得る。例えば、例え
ばホスト１７０Ａ～１７０Ｎから機密データを集めるために、またはホストを制御するた
めに、特定の開ポートをリッスンしている特定のプロセスは、外部エンティティからの悪
意のある攻撃に対して脆弱である可能性がある。本明細書に記載の技法を使用すると、ホ
スト１７０Ａ～１７０Ｎ上のいずれの到達可能ポートも見付けることができ、場合によっ
ては、セキュリティ上の懸念を解消するために修復することができる。

必ずしもポート１７１Ａ～１７１Ｎにパケットを送信しなくても、ネットワークセキュ
リティ評価装置１００は、どのポートが到達可能であるか（もしあれば）を判定すること
ができる。一実施形態において、到達可能性分析では、ポートがパブリックネットワーク
１９０を介して到達可能であるかどうかを判定することができる。一実施形態において、
到達可能性分析では、ポートがプライベートネットワーク１９０を介して、例えば、ホス
ト１７０Ａ～１７０Ｎのうちの別の１つに到達可能であるかどうかを判定することができ
る。一実施形態において、到達可能性分析では、ホスト上のポートが到達可能性ではない
ことを確認することができる。特定の１つ以上のホストに対して、分析は、自動化された
形で、例えば、スケジュールに従って、またはイベントによってトリガされるのにつれて
、行われ得、必ずしもエンドユーザによって直接開始されるとは限らない。例えば、分析
は、ホストのネットワーク構成の変更に関連するイベントによってトリガされ得る。イベ
ントは、このような変更を監視するプライベートネットワーク１８０のサービスまたはシ
ステムによって発行され得る。

一実施形態において、ネットワークセキュリティ評価装置１００は、ネットワーク構成
データ１１０のセットを使用して、ホスト１７０Ａ～１７０Ｎのうちの１つ以上に対して
ネットワーク到達可能性分析を行うことができる。ネットワーク構成データ１１０は、分
析下のホストが属するネットワーク（例えば、プライベートネットワーク１８０）に関連
する場合がある。ネットワーク構成データは、ホスト１７０Ａ～１７０Ｎ、およびネット
ワーキングデバイス（ルータ、スイッチなど）のネットワーク構成またはその他のプロパ
ティのスナップショットを表し得る。例えば、データ１１０は、仮想プライベートクラウ
ド（ＶＰＣ：Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｃｌｏｕｄ）、サブネット、インスタン
ス、セキュリティグループ、アクセス制御リスト（ＡＣＬ：Ａｃｃｅｓｓ Ｃｏｎｔｒｏ
ｌ Ｌｉｓｔ）、ロードバランサなどに関する情報を含み得る。データ１１０は、例えば
仮想ネットワーキングルールのセットに従って、ネットワーク１８０においてネットワー
キングがどのように働くかをモデル化するために使用され得る。一実施形態において、ネ
ットワーク構成データ１１０の要素が、プライベートネットワーク１８０のサービスによ
って提供され得る。例えば、ネットワーク１８０は、仮想計算インスタンスに関するネッ
トワーク構成データを提供する（例えば、ＡＰＩを介して）、コンピューティング仮想化
サービスを含み得、ネットワークは、仮想ストレージインスタンスに関するネットワーク
構成データを提供する（例えば、ＡＰＩを介して）、様々な類のストレージ仮想化サービ
スを含み得る。データ１１０は、例えば、ネットワーク１８０に実装され、インスタンス
の記述（例えば、計算インスタンスに割り当てられた役割、リソースインスタンスに与え
られたまたは与えられていないパーミッション、インスタンスに割り当てられたＩＰアド
レスなど）を含み、インスタンス間の関係（例えば、インスタンス間のネットワークにわ
たるパス）を記述し、また外部エンティティ（例えば、仮想ネットワークの外部のエンテ
ィティによってアクセスされ得る計算インスタンス）へのインターフェースまたはアクセ
スポイントを記述する、ネットワーキングプリミティブのインスタンスを特定し得る。ネ
ットワーク構成データ１１０およびその取得のさらなる態様は、図８～図１５に関して以
下で述べる。

図１に戻ると、一実施形態において、ネットワークセキュリティ評価装置１００は、ネ
ットワーク構成データ１１０を問い合わせることができるクエリ処理コンポーネント１２
０を含み得る。ネットワークセキュリティ評価装置１００は、クエリ１２５を生成し、ク
エリをクエリ処理コンポーネント１２０に提供し、クエリ結果１２６を受信し、その結果
の分析を行って、どのポートが到達可能であるか（もしあれば）を判定することができる
、クエリ集計・分析コンポーネント１３０も含み得る。クエリ１２５は、クエリ言語に従
って表され得る。一実施形態において、クエリ言語は、ネットワークセキュリティ評価装
置１００が、制約問題としてネットワークについての再帰クエリを含むクエリを表し、制
約ソルバ（例えば、充足可能性モジュロ理論（ＳＭＴ：Ｓａｔｉｓｆｉａｂｉｌｉｔｙ
Ｍｏｄｕｌｏ Ｔｈｅｏｒｙ）ソルバ）エンジンを使用してクエリを解決することによっ
て、クエリに対する結果を提供することを可能にする、宣言型論理プログラミング言語に
相当し得る。クエリの例としては、「ＶＮＶＳ ｑｕｅｒｙ－ｉ Ｉｉｓｔ：ｃａｎーｓ
ｓｈ（ＡＢ）」を挙げることができ、これは、インスタンスＡがインスタンスＢにＳＳＨ
することができるようなすべてのインスタンス対のリストを提供するよう、仮想ネットワ
ーク検証サービス（ＶＮＶＳ：Ｖｉｒｔｕａｌ Ｎｅｔｗｏｒｋ Ｖａｒｉｆｉｃａｔｉ
ｏｎ Ｓｅｒｖｉｃｅ）に要求する。ネットワークセキュリティ評価装置１００は、分析
の必要性に応じて、クエリ１２５を動的にビルドするか、または事前ビルドのクエリを選
択することができる。一実施形態において、クエリは、アナライザ１００のエンドユーザ
、例えば、彼女または彼の管理下にある１つ以上のホストのネットワークセキュリティを
分析しようとするネットワーク管理者によって書かれる必要はない。クエリ１２５のさら
なる態様は、図８～図１５に関して以下に述べる。

図１に戻ると、一実施形態において、ネットワークセキュリティ評価装置１００は、ネ
ットワーク到達可能性に関連するルール１３５のパッケージに従って、働くことができる
。一実施形態において、クエリ１２５は、ルール１３５に従って生成され得る。例えば、
ルール１３５は、到達可能性について確認される共通サービスに対しポート番号のセット
を定義することができ、アナライザ１００は、分析下のホストがそれらのポート番号に到
達可能であるかどうかを見極めるためのクエリを生成することができる。クエリ１２５は
、分析下の１つ以上のホスト用のネットワークアクセスに影響を与える構成データを取得
するために生成され得る。ルールパッケージ１３５は、セキュリティグループ、仮想プラ
イベートクラウド（ＶＰＣ）、サブネット、アクセス制御リスト、エラスティックロード
バランサ、インターネットゲートウェイ、ｅｇｒｅｓｓ－ｏｎｌｙインターネットゲート
ウェイ、ネットワークアドレス変換、ルーティングテーブル、ピア型ＶＰＣ、仮想プライ
ベートネットワーク（ＶＰＮ：Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）、Ｄ
ｉｒｅｃｔ Ｃｏｎｎｅｃｔｉｏｎ（ＤＸ）などのネットワーキングコンポーネントを分
析することができる。一実施形態において、クエリ結果１２６をルール１３５に従って分
析し、例えば、様々なタイプのネットワーキングコンポーネントがどのように働くかの理
解を使用して、どのポートが到達可能であるかを判定することができる。

いずれかのポートが到達可能であると見なされる場合、ネットワークセキュリティ評価
装置１００は、外部エンティティからそれらのポートへの１つ以上のルートを判定するこ
ともできる。一実施形態において、ルートは、ルール１３５に従って、かつ／またはクエ
リ言語を使用して判定され得る。例えば、１つ以上のクエリを使用して、アナライザ１０
０は、ホスト間またはホストと外部エンティティとの間にネットワークにわたるパスまた
はルート（例えば、リソースからＨＴＴＰＳゲートウェイへのパスであり、それを介して
外部エンティティが仮想ネットワーク上のリソースにアクセスすることができる）がある
（すなわち、ネットワーク接続性がある）と判断することができる。パスは、エンドポイ
ント間にネットワーク接続性をもたらすネットワークにわたる直接パスであってもよく、
あるいはルート上の１つ以上のホップを通過し、エンドポイント間にネットワーク接続性
をもたらす推移的なパスであってもよい。ホストのネットワーク到達可能性を見極めるの
に、事前定義されたルール１３５のセットを適用することによって、クエリ集計・分析コ
ンポーネント１３０は、手動分析（例えば、ネットワーク管理者による）の当て推量およ
び複雑さを取り除く自動ソリューションを表し得る。

一実施形態において、例えば、クエリ集計・分析コンポーネント１３０は、ルール１３
５を使用して、インスタンスがインターネットから、または信頼できる場所の外側からの
インターネット制御メッセージプロトコル（ＩＣＭＰ：Ｉｎｔｅｒｎｅｔ Ｃｏｎｔｒｏ
ｌ Ｍｅｓｓａｇｅ Ｐｒｏｔｏｃｏｌ）アクセスを許すかどうかを確認することができ
る（そのように構成されている場合）。一実施形態において、別の例として、クエリ集計
・分析コンポーネント１３０は、ルール１３５を使用して、開いており、かつインターネ
ットからまたは信頼できる場所の外側から到達可能であるＴＣＰ／ＵＤＰポートをインス
タンスが有するかどうかを確認することができる（そのように構成されている場合）。ル
ール１３５は、具体的には、安全性の低いポート、管理ポート、データベースポート、イ
ントラネットポート、および他のタイプのポートを調査することができる。一実施形態に
おいて、クエリ集計・分析コンポーネント１３０は、ルール１３５を使用して、インスタ
ンスが任意のポートのどこからもアクセスできないようになっているかどうかを確認する
ことができる。一実施形態において、クエリ集計・分析コンポーネント１３０は、ルール
１３５を使用して、サブネットが、セキュリティグループごとに、信頼できる場所の外側
からのＩＣＭＰまたはＴＣＰ／ＵＤＰポートアクセスを許すかどうかを確認することがで
きる。一実施形態において、クエリ集計・分析コンポーネント１３０は、ルール１３５を
使用して、サブネットにどこからもアクセスすることができないインスタンスがあるかど
うか、すべてのインバウンドトラフィックが阻止されているかどうか、またはエラスティ
ックネットワークインターフェース（ＥＮＩ：Ｅｌａｓｔｉｃ Ｎｅｔｗｏｒｋ Ｉｎｔ
ｅｒｆａｃｅ）がないかどうかを確認することができる。

一実施形態において、いずれの到達可能ポートも、従来のポートスキャンを行うことな
く、評価装置１００によって見付けられ得る。一実施形態において、評価装置１００は、
例えば、影響を受けたポートに対してのみ、限られた範囲のポートスキャンを行うことに
よって、パケットレス調査結果を確認することができる。例えば、ＴＣＰポート２２がホ
スト１７０Ａ上で到達可能であることが分かった場合、ネットワークセキュリティ評価装
置１００は、外部エンティティ（例えば、パブリックネットワーク１９０を介してホスト
１７０Ａに接続された別のサーバ）に、１つ以上のパケットをホスト１７０Ａ上のＴＣＰ
ポート２２に送信させ、ホストからの応答を待たせ、アナライザへ報告させることができ
る。このような応答が受信されない場合、ネットワークセキュリティ評価装置１００は、
ポートが実際には到達可能ではないと判断することができる。例えば、ポートがファイア
ウォールによって保護されている可能性がある。応答が受信された場合、ネットワークセ
キュリティ評価装置１００は、ポートが開いており、かつ到達可能であることを確認する
ことができる。このようなポートスキャンを、すでに到達可能であると推定されているポ
ートに制限することにより、ネットワークセキュリティ評価装置１００は、フルポートス
キャンに必要な時間およびネットワーク帯域幅を大幅に縮小することができる。

ネットワークセキュリティ評価装置１００は、分析下のホスト１７０Ａ～１７０Ｎのう
ちの１つ以上に対して、ネットワーク到達可能性および／またはネットワークセキュリテ
ィに関する調査結果を生成することができる。図３に関して以下に述べるように、ネット
ワークセキュリティ評価装置１００は、様々なソースからのデータ（場合によっては、エ
ージェントによって収集されたオンホストデータを含む）を組み合わせて、このような調
査結果を生成することができる。図１に戻ると、報告コンポーネント１４０を使用して、
ネットワークセキュリティ評価装置１００は、その調査結果の側面を記述したレポートを
作成することができる。一実施形態において、報告コンポーネント１４０は、特定のホス
トにとって到達可能である１つ以上のポート１４１を示すか、または記述することができ
る。一実施形態において、報告コンポーネント１４０は、特定のホストにとって到達でき
ない１つ以上のポート１４１を示すか、または記述することができる。一実施形態におい
て、報告コンポーネント１４０は、到達可能であるポートへの１つ以上のルート１４２を
示すか、または記述することができる。一実施形態において、報告コンポーネント１４０
は、その代わりに、特定のホストにとって到達可能なポートがないことを開示することが
できる。このような報告の一例が、図５に関して述べられている。

一実施形態において、ホワイトリストは、信頼できる場所を示すことができ、信頼でき
る場所から到達可能であることが判明した場合、特定のポートまたはポートの範囲が報告
１４０から除外され得る。様々な実施形態において、業界標準の知識、顧客入力、複数の
顧客に基づく機械学習、および／または他の適切なソースなど、様々なデータソースを使
用してホワイトリストを生成することができる。ホワイトリストの内容は、顧客によって
異なる可能性がある。ホワイトリストの内容は、時間の経過とともに変わる可能性がある
。

図１に戻ると、報告コンポーネント１４０は、任意の適切な方法で調査結果を提示する
ことができる。一実施形態において、報告コンポーネント１４０は、例えば、ネットワー
ク管理者に、グラフィカルユーザインターフェース（ＧＵＩ：Ｇｒａｐｈｉｃａｌ Ｕｓ
ｅｒ Ｉｎｔｅｒｆａｃｅ）で調査結果を提示することができる。一実施形態において、
ＧＵＩは、例えば、図４に関して以下に述べるように、調査結果に関連するユーザ入力を
受信することができるような相互作用部分を含み得る。図１に戻ると、一実施形態におい
て、報告コンポーネント１４０は、調査結果をファイルまたは他のデータオブジェクトに
永続的に格納することができ、ファイルまたはデータオブジェクトは、ネットワーク管理
者または他の適切なエンティティによって読み取られ得る。一実施形態において、報告コ
ンポーネント１４０は、電子メールまたは別のメッセージングシステムを使用して、例え
ば、ネットワーク管理者によってアクセス可能なアカウントに調査結果を送信することが
できる。

ネットワークセキュリティ評価装置１００およびホスト１７０Ａ～１７０Ｎは、任意の
適切な個数および構成のコンピューティングデバイスを使用して実装され得、コンピュー
ティングデバイスのいずれも、図１５に示されるコンピューティングデバイス例１５００
によって実装され得る。コンピューティングデバイスは、任意の適切な個数のデータセン
タまたは地理的な場所に位置し得る。様々な実施形態において、ネットワークセキュリテ
ィ評価装置１００の機能性の少なくともいくつかは、同じコンピューティングデバイスに
よって、または様々なコンピューティングデバイスによって提供され得る。ネットワーク
セキュリティ評価装置１００の構成要素のいずれかが様々なコンピューティングデバイス
を使用して実装される場合、構成要素およびそれらのそれぞれのコンピューティングデバ
イスは、例えば、１つ以上のネットワークを介して通信可能に結合され得る。ネットワー
クセキュリティ評価装置１００の構成要素のそれぞれは、以下に述べるように、それらの
それぞれの機能を果たすために使用可能なソフトウェアとハードウェアとの任意の組み合
わせに相当し得る。ネットワークセキュリティ評価装置１００によって実施される動作は
、例えば、初期構成段階後のユーザ開始またはユーザ介入を必要とせずに、またプログラ
ムに従って、例えば、少なくとも１つのコンピューティングデバイス上でプログラム命令
を実行することによって自動的に行われ得る。脅威モデラネットワークセキュリティ評価
装置１００およびネットワーク１８０が図示されていない構成要素をさらに含んでもよく
、図示よりも構成要素を少なく含んでもよく、または図示とは異なる組み合わせ、構成も
しくは個数の構成要素を含んでもよいことが、考えられている。

ネットワークセキュリティ評価装置１００は、サービス指向アーキテクチャに従って複
数のサービスが協働する、サービス指向システムに実装され得る。このような環境では、
ネットワークセキュリティ評価装置１００は、その機能性をサービスとして複数のクライ
アントに提供することができる。サービスは、１つ以上のネットワーク全体にわたって分
散されている複数の異なるインスタンスを使用して実装され得、各インスタンスは、対応
するサービスの機能性へのアクセスを様々なクライアントに提供することができる。任意
の適切な個数および構成のクライアントが、ネットワークセキュリティ評価装置１００と
相互作用し得ることが、考えられている。クライアントがその機能性を呼び出すことを可
能にするために、ネットワークセキュリティ評価装置１００は、１つ以上のＡＰＩもしく
は他のプログラマチックインターフェースおよび／またはグラフィカルユーザインターフ
ェース（ＧＵＩ）などの任意の適切なインターフェースを公開することができる。一実施
形態において、ネットワークセキュリティ評価装置１００の機能性は、料金と引き換えに
クライアントに提供され得る。

ネットワークセキュリティ評価装置１００は、１つ以上のネットワークを介して、ホス
ト１７０Ａ～１７０Ｎ、サービスクライアント、他のサービス、または他のエンティティ
に結合され得る。様々な実施形態において、ネットワーク１９０は、ネットワークセキュ
リティ評価装置１００とホスト１７０Ａ～１７０Ｎとの間にネットワークベースの通信を
確立するのに必要なネットワーキングハードウェアおよびプロトコルの任意の適切な組み
合わせを包含し得る。例えば、ネットワークは、通常、インターネットを集合的に実装す
る様々な電気通信ネットワークおよびサービスプロバイダを包含し得る。ネットワークは
、ローカルエリアネットワーク（ＬＡＮ：Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）また
は広域ネットワーク（ＷＡＮ：Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）などのプライベー
トネットワーク、およびパブリックまたはプライベート無線ネットワークも含み得る。例
えば、ネットワークセキュリティ評価装置１００およびホスト１７０Ａ～１７０Ｎの両方
は、それら自身の内部ネットワークを有する企業内にそれぞれ備えられ得る。このような
実施形態では、ネットワークは、ネットワークセキュリティ評価装置１００とインターネ
ットとの間に、またインターネットとホスト１７０Ａ～１７０Ｎとの間にネットワーキン
グリンクを確立するのに必要な、ハードウェア（例えば、モデム、ルータ、スイッチ、ロ
ードバランサ、プロキシサーバなど）およびソフトウェア（例えば、プロトコルスタック
、会計ソフトウェア、ファイアウォール／セキュリティソフトウェアなど）を含み得る。
実施形態によっては、ネットワークセキュリティ評価装置１００が、パブリックインター
ネットではなくプライベートネットワークを使用してホスト１７０Ａ～１７０Ｎと通信す
ることができることに留意する。

実施形態によっては、ネットワークセキュリティ評価装置１００および／またはホスト
１７０Ａ～１７０Ｎの態様は、プロバイダネットワークのコンピューティングリソースを
使用して実装され得る。プロバイダネットワークは、インターネットおよび／または他の
ネットワークを介してアクセス可能な１つ以上のサービス（様々なタイプのネットワーク
アクセス可能なコンピューティングまたは記憶域など）を分散型クライアントセットに提
供するために、企業または公共部門の組織などのエンティティによって立ち上げられたネ
ットワークに相当し得る。プロバイダネットワークは、プロバイダによって提供されるイ
ンフラストラクチャおよびサービスを実装し、分散させるのに使用される、物理コンピュ
ータサーバおよび／または仮想化コンピュータサーバ、記憶デバイス、ネットワーキング
機器などの集合体など、様々なリソースプールをホストする多数のデータセンタを含み得
る。計算リソースは、実施形態によっては、仮想計算インスタンスまたは物理計算インス
タンスなどの「インスタンス」と呼ばれる単位でクライアントに提供され得る。仮想計算
インスタンスは、例えば、指定の計算能力（ＣＰＵのタイプと個数、メインメモリサイズ
などを示すことによって指定され得る）および指定のソフトウェアスタック（例えば、次
にはハイパーバイザ上で実行され得る、特定のバージョンのオペレーティングシステム）
を有する１つ以上のサーバを含み得る。汎用または特殊目的のコンピュータサーバ、記憶
デバイス、ネットワークデバイスなどを含む、いくつかの異なるタイプのコンピューティ
ングデバイスを単独でまたは組み合わせて使用して、様々な実施形態でプロバイダネット
ワークのリソースを実装することができる。プロバイダネットワークのリソースが同時に
複数のクライアント（またはテナント）の制御下にあり得るため、プロバイダネットワー
クは、マルチテナンシーを提供すると言われることがあり、マルチテナントプロバイダネ
ットワークと呼ばれることもある。

実施形態によっては、プロバイダネットワークのオペレータは、それらのクライアント
のために、リソース予約、制御、およびアクセスのインターフェースの柔軟なセットを実
装することができる。例えば、リソースマネージャは、クライアント（場合によっては、
プロバイダネットワーク内の他のコンポーネントを含む）が、プロバイダネットワークに
よって提供される計算インスタンスについて知り、それを選択し、それへのアクセスを購
入し、かつ／またはそれを予約することを可能にする、プログラムに基づくリソース予約
インターフェースを実装し得る（例えば、Ｗｅｂサイトまたは一連のＷｅｂページを介し
て）。このようなインターフェースは、リソースカタログの閲覧を可能にし、サポートさ
れるリソースの様々なタイプまたはサイズ、サポートされる様々な予約タイプまたはモー
ド、価格設定モデルなどの詳細および仕様を提供する能力を含み得る。

図２は、いくつかの実施形態による、分析を補助するための仮想ネットワーク検証サー
ビスとの相互作用を含む、自動パケットレスネットワーク到達可能性分析のためのシステ
ム環境例のさらなる態様を示す。一実施形態において、ネットワーク構成データ１１０が
、仮想ネットワーク検証サービス２３０によって取得、維持され得る。仮想ネットワーク
検証サービス２３０はまた、クエリ１２５を受信し、ネットワーク構成データ１１０を使
用してクエリに答え、クエリ結果１２６で応答することができるクエリ処理コンポーネン
ト１２０を含み得る。仮想ネットワーク検証サービス２３０は、そのサービスを、ネット
ワークセキュリティ評価装置１００を含む１つ以上のクライアントに提供することができ
る。仮想ネットワーク検証サービスのさらなる態様は、図８～図１４に関して以下に述べ
られる。

図３は、いくつかの実施形態による、分析の対象となるコンピュータ上のエージェント
の使用を含む、自動パケットレスネットワーク到達可能性分析用のシステム環境例のさら
なる態様を示す。一実施形態において、ネットワークセキュリティ評価装置１００は、様
々なソースからのデータを組み合わせて結論を出すことができる。一実施形態において、
ネットワークセキュリティ評価装置１００は、例えば、どのプロセスがポートをリッスン
しているかを判定するために、コンピュータにインストールされたエージェントソフトウ
ェアからデータを取得することができる。プロセスがポートをリッスンしている場合、ポ
ートは「開いている」と見なされ得る。プロセスは、サービス、アプリケーション、サー
ビスデーモン、およびその他の形態の実行可能プログラムコードを含み得る。図３の例に
示されるように、エージェント１７５Ａがホスト１７０Ａにインストールされ得、エージ
ェント１７５Ｎがホスト１７０Ｎにインストールされ得る、などである。また図３の例に
示されるように、プロセス１７６Ａは、ホスト１７０Ａ上に常駐し得（また、ポート１７
１Ａをリッスンしている可能性がある）、プロセス１７６Ｎは、ホスト１７０Ｎ上に常駐
し得（また、ポート１７１Ｎをリッスンしている可能性がある）。実施形態によっては、
エージェント１７５Ａ～１７５Ｎは、例えば、ホスト１７０Ａ～１７０Ｎが同じまたは異
なる構成のハードウェアおよびオペレーティングシステムソフトウェアに相当する場合、
同じバイナリファイルまたは異なるバイナリファイルに相当し得る。

エージェント１７５Ａ～１７５Ｎは、ホスト１７０Ａ～１７０Ｎの構成を見抜く力を集
めることができる可能性がある。一実施形態において、エージェント１７５Ａ～１７５Ｎ
は、例えば、いつポートが開かれ、どのプロセスがそのポートに関連しているかを判定す
るために、対応するホストの動作を監視することができる。一実施形態において、エージ
ェント１７５Ａ～１７５Ｎは、例えば、どのポートが開いているか、かつ／またはどのプ
ロセス１７６Ａ～１７６Ｎがポートをリッスンしているかについて問い合わせるために、
対応するホストのオペレーティングシステムと相互作用することができる。一実施形態に
おいて、エージェント１７５Ａ～１７５Ｎは、ネットワーク到達可能性アナライザが、ア
ナライザが到達可能であると既に見なした特定のポートをリッスンしているプロセスを見
つけるようにエージェントに命令し得るような、ネットワークセキュリティ評価装置１０
０の制御下にあり得る。エージェント１７５Ａ～１７５Ｎは、それらの調査結果をクエリ
集計・分析コンポーネント１３０に報告するように構成され得る。

一実施形態において、エージェント１７５Ａ～１７５Ｎから中継された情報に基づいて
、クエリ集計・分析コンポーネント１３０は、ルール１３５を使用して、プロセスが異例
のポート番号のポートを開いたかどうかを確認することができる。一実施形態において、
エージェント１７５Ａ～１７５Ｎから中継された情報に基づいて、クエリ集計・分析コン
ポーネント１３０は、ルール１３５を使用して、インスタンスに、どこからも到達できな
い開ポートがあるかどうかを確認することができる。どのプロセスがどのポートをリッス
ンしているかの知識など、エージェント１７５Ａ～１７５Ｎによって集められたデータの
分析を使用して、報告コンポーネント１４０は、開いており、かつ到達可能なポート１４
１をリッスンしているプロセス１４３を示すか、または記述したレポートを作成すること
ができる。一実施形態において、報告コンポーネント１４０は、普通ではないまたは予期
せぬポートを使用しており、したがってセキュリティの脅威をもたらす可能性があるプロ
セスを示すか、または記述することができる。

図４は、いくつかの実施形態による、是正措置の勧告および／または実施を含む、自動
パケットレスネットワーク到達可能性分析用のシステム環境例のさらなる態様を示す。一
実施形態において、クエリ集計・分析１３０は、ポートが到達可能である理由を判定する
ことができる。例えば、１つ以上の構成設定が到達可能なポートの原因である可能性があ
る。１つ以上のソースから集められたデータ（例えば、ネットワーク構成データ１１０お
よびエージェント１７５Ａ～１７５Ｎ）にルール１３５を適用することによって、ネット
ワーク構成アナライザは、ポートが到達可能であることに関与している１つ以上の構成設
定を判定することができる。それにより、報告コンポーネント１４０は、このような調査
結果を報告することができる。

一実施形態において、ネットワークセキュリティ評価装置１００はまた、取られた場合
、到達可能なポートに付随するセキュリティ上の懸念を解消または修正することが期待さ
れ得る、是正措置１４４を勧告することができる。例えば、特定のセキュリティグループ
におけるホストのメンバーシップに起因してポートが到達可能である場合、勧告には、外
部コンピュータがポートにアクセスできないように、そのセキュリティグループの構成設
定を変更することが含まれ得る。一実施形態において、このような是正措置１４４は、報
告コンポーネント１４０によって示されるか、または記述され得る。一実施形態において
、是正措置は、ユーザによって選択された場合に問題を自動的に是正するインターフェー
ス要素を備えたＧＵＩに提示され得る。例えば、報告コンポーネント１４０は、勧告され
た修正を記述し、ユーザによって押された場合に適切な構成設定への変更を実施するボタ
ン（または他のＧＵＩ要素）を含む、画面をユーザインターフェースに生成することがで
きる。

図５は、いくつかの実施形態による、自動パケットレスネットワーク到達可能性分析を
使用して生成されたレポートの例を示す。ネットワークセキュリティ評価装置１００は、
その調査結果の側面、例えば、到達可能なポート、それらのポートへのルート、それらの
ポートをリッスンしているプロセス、ポートが到達可能であることに関与している構成設
定、到達可能ポートに付随するセキュリティ上の懸念、セキュリティ上の懸念を改善し得
る是正措置（例えば、構成設定を変更する）、および／または任意のその他の適切な情報
を記述したレポートを作成することができる。図５は、特定のホスト（インスタンスＩＤ
で言われる）およびそのホスト上の特定のポートについてのネットワーク到達可能性レポ
ート５００の例を示す。レポート５００には、例えば、分析下のインスタンスのインスタ
ンスＩＤ、影響を受けるＴＣＰポート番号、および通常そのポートに関連しているサービ
スを示す高レベルの調査結果５１０が含まれ得る。この例では、ＴＣＰポート番号は、２
２であり、通常は、セキュアシェル（ＳＳＨ：Ｓｅｃｕｒｅ ＳＨｅｌｌ）の目的で使用
される。レポート５００には、問題の重大度５２０（例えば、高、中、または低）の表示
も含まれ得る。レポート５００には、調査結果のより詳細な記述５３０が含まれ得る。図
５の例に示されるように、記述５３０は、ポートがパブリックインターネットから、この
場合、特定のインターネットゲートウェイを介して到達可能であるルートを示し得る。一
実施形態において、記述５３０は、例えば、セキュリティグループ、アクセス制御リスト
、ルーティングテーブル、インターネットゲートウェイなどの構成に起因して、アクセス
が許される理由を示し得る。記述５３０は、インスタンスが属する特定の仮想プライベー
トクラウド（ＶＰＣ）、インスタンス用のネットワークインターフェースのＩＤ、インス
タンス用のセキュリティグループのＩＤなども示し得る。さらに、記述５３０には、ポー
トが到達可能であることによって引き起こされる、あり得るセキュリティ問題を記述する
ことができる。最後に、レポート５００には、セキュリティ上の懸念を改善するための是
正措置の勧告５４０が含まれ得る。この例では、勧告は、セキュリティグループを編集し
て、パブリックインターネット経由でこの特定のポートへのアクセスを取り除くことであ
る。図４に関して上で述べたように、一実施形態において、レポート５００は、ユーザ入
力によって有効にされた場合に、勧告５４０を自動的に実施するユーザインターフェース
要素を含み得る。一実施形態では、レポート５００は、分析対象のネットワークトポロジ
ーを示す視覚化を含み得る。視覚化には、強調表示された調査結果、脅威重大度の色分け
、およびユーザ相互作用が含まれ得る。

図６は、いくつかの実施形態による、自動パケットレスネットワーク到達可能性分析を
使用して、また分析の対象となるコンピュータ上のエージェントを使用して生成されたレ
ポートの例を示す。一実施形態において、上で述べたレポート５００は、分析下のホスト
上のエージェントを使用せずに生成され得る。図６の例に示されるように、このようなエ
ージェントの使用は、より詳細な到達可能性レポート６００を可能にし得る。上で述べた
ように、レポート６００には、高レベルの調査結果６１０、重大度６２０の表示、詳細な
記述６３０、および問題を是正するための勧告６４０が含まれ得る。エージェントによっ
て集められたデータを信頼することにより、レポート６００は、開いており、かつ到達可
能なポートをリッスンしている特定のプロセスを示すことができる。この例では、プロセ
スは、ＳＳＨデーモン「ｓｓｈｄ」である。レポート６００は、ｓｓｈｄプロセスに対応
する特定のバイナリファイルのパスも示すことができる。このようなプロセス情報をネッ
トワーク到達可能性レポートに追加することにより、セキュリティ問題の診断および是正
を助けることができる。

図７は、いくつかの実施形態による、自動パケットレスネットワーク到達可能性分析の
ための方法を示すフローチャートである。７１０に示されるように、ネットワーク構成デ
ータの自動分析が行われ得る。ネットワーク構成データは、ホストコンピュータと、場合
によっては、他のコンピュータおよびネットワーキングデバイス（ルータ、スイッチなど
）を含む他のデバイスと、を有するネットワーク（プライベートネットワークなど）に関
係している可能性がある。一実施形態において、分析は、１つ以上のクエリを使用してネ
ットワーク構成データを問い合わせることを含み得る。クエリは、クエリ言語に従って表
され得る。ネットワーク到達可能性分析では、分析の必要性に応じて、クエリを動的にビ
ルドするか、または、事前ビルド済みのクエリを選択することができる。一実施形態にお
いて、クエリは、アナライザ１００のエンドユーザ、例えば、彼女または彼の管理下にあ
る１つ以上のホストのネットワークセキュリティを分析しようとするネットワーク管理者
によって書かれる必要はない。

７２０に示されるように、分析に基づいて、この方法は、別のコンピュータから到達可
能であるホストコンピュータにある１つ以上のポートを判定することができる。到達可能
性は、パブリックインターネットを介するか、またはホストが属するプライベートネット
ワークを介してであり得る。分析に基づいて、この方法はまた、それによりポートが到達
可能である１つ以上のルートを判定することができる。例えば、ルートは、コンポーネン
トが、インターネットゲートウェイを介してインターネットから、インターネットゲート
ウェイを介して仮想プライベートネットワーク（ＶＰＮ）から、ピア型仮想プライベート
クラウド（ＶＰＣ）から、など、到達可能であることを示し得る。

７３０に示されるように、この方法は、エージェントが分析下のホストコンピュータに
インストールされているかどうかを判定することができる。エージェントは、例えば、開
ポートをリッスンしているプロセスを判定するために、ホストコンピュータの動作の局面
を監視するように構成され得る。エージェントが存在しない場合、７４０に示されるよう
に、この方法は、到達可能ポート、およびそれによってポートが到達可能になるルートを
示すかまたは記述したレポートを生成することができる。一実施形態において、レポート
には、セキュリティグループまたはアクセス制御リスト（ＡＣＬ）に関係している１つ以
上の構成設定など、ポートが到達可能である理由を示すか、または記述することもできる
。一実施形態において、レポートにはまた、１つ以上の構成設定の変更などの是正措置の
１つ以上の勧告を示すかまたは記述することができる。

エージェントが存在する場合、７５０に示されるように、この方法は、エージェントに
よって提供されたデータを使用して、ポートをリッスンしているプロセスを判定すること
ができる。７６０に示されるように、この方法は、開いており、かつ到達可能なポート、
それによりポートが到達可能になるルート、およびポートをリッスンしているプロセスを
示すかまたは記述したレポートを生成することができる。一実施形態において、レポート
にはまた、１つ以上の構成設定など、ポートが開いており、かつ到達可能である理由を示
すかまたは記述することができる。一実施形態において、レポートにはまた、１つ以上の
構成設定の変更などの是正措置の１つ以上の勧告を示すかまたは記述することができる。

ネットワーク到達可能性の例示的なルール
上で述べたように、ネットワークセキュリティ評価装置１００は、ネットワーク到達可
能性に伴うルール１３５のパッケージに従って働くことができる。このようなルールの例
を以下に述べるが、以下のルールのリストは、網羅的であることを意図したものではない
。ネットワークセキュリティ評価装置１００は、以下のルールの一部のみを実装すること
ができ、かつ／またはコンピューティングデバイスの到達可能性を評価するために追加の
ルールを実装することができる。

一実施形態において、第１のルールは、エージェントを用いてインスタンスを分析して
、信頼できる場所の外側のどこかからのアクセスを許されたポートをリッスンしている安
全性の低いプロトコルをインスタンスが有するかどうかを判定することができる。この調
査結果の重大度は、高である。この調査結果は、ポート番号、そのポートのＴＣＰまたは
ＵＤＰ関連付け、そのポートをリッスンしているアプリケーション（およびバージョン）
、そのポートに到達することができるアドレス範囲、またアクセスを許可するセキュリテ
ィグループ、アクセス制御リスト、インターネットゲートウェイ、仮想ゲートウェイ、お
よびその他のチャネルとともに、報告され得る。第１のルールでは、是正措置の勧告には
、アクセス制御構成を編集してアクセスを制限すること（信頼できる場所の外側からのア
クセスが必要ない場合）、およびアプリケーションを停止すること（作業に必要ない場合
）が含まれ得る。

一実施形態において、第２のルールは、エージェントを用いてインスタンスを分析して
、信頼できる場所の外側のどこかからアクセス可能であるポートをリッスンしているＳＨ
Ｓサーバをインスタンスが有するかどうかを判定することができる。この調査結果の重大
度は、中である。この調査結果は、ポート番号、そのポートのＴＣＰまたはＵＤＰ関連付
け、そのポートをリッスンしているアプリケーション（およびバージョン）、そのポート
に到達することができるアドレス範囲、またアクセスを許可するセキュリティグループ、
アクセス制御リスト、インターネットゲートウェイ、仮想ゲートウェイ、およびその他の
チャネルとともに、報告され得る。第１のルールでは、修正措置の勧告には、アクセス制
御構成を編集してアクセスを制限すること（信頼できる場所の外側からのアクセスが必要
ない場合）、およびアプリケーションを停止すること（作業に必要ない場合）が含まれ得
る。

一実施形態において、第３のルールは、エージェントを用いてインスタンスを分析して
、信頼できる場所の外側のどこかからアクセス可能であるポートをリッスンしているＲＤ
Ｐサーバーをインスタンスが有するかどうかを判定することができる。この調査結果の重
大度は、中である。この調査結果は、ポート番号、そのポートのＴＣＰまたはＵＤＰ関連
付け、そのポートをリッスンしているアプリケーション（およびバージョン）、そのポー
トに到達することができるアドレス範囲、またアクセスを許可するセキュリティグループ
、アクセス制御リスト、インターネットゲートウェイ、仮想ゲートウェイ、およびその他
のチャネルとともに、報告され得る。第３のルールでは、是正措置の勧告には、アクセス
制御構成を編集してアクセスを制限すること（信頼できる場所の外側からのアクセスが必
要ない場合）、およびアプリケーションを停止すること（作業に必要ない場合）が含まれ
得る。

一実施形態において、第４のルールは、エージェントを用いてインスタンスを分析して
、信頼できる場所の外側のどこかからアクセス可能であるポートをリッスンしているデー
タベースサーバをインスタンスが有するかどうかを判定することができる。この調査結果
の重大度は、中である。この調査結果は、ポート番号、そのポートのＴＣＰまたはＵＤＰ
関連付け、そのポートをリッスンしているアプリケーション（およびバージョン）、その
ポートに到達することができるアドレス範囲、またアクセスを許可するセキュリティグル
ープ、アクセス制御リスト、インターネットゲートウェイ、仮想ゲートウェイ、およびそ
の他のチャネルとともに、報告され得る。第４のルールでは、是正措置の勧告には、アク
セス制御構成を編集してアクセスを制限すること（信頼できる場所の外側からのアクセス
が必要ない場合）、およびアプリケーションを停止すること（作業に必要ない場合）が含
まれ得る。

一実施形態において、第５のルールは、エージェントを用いてインスタンスを分析して
、信頼できる場所の外側のどこかからアクセス可能であるポートをリッスンしているイン
トラネットサービスをインスタンスが有するかどうかを判定することができる。この調査
結果の重大度は、中である。この調査結果は、ポート番号、そのポートのＴＣＰまたはＵ
ＤＰ関連付け、そのポートをリッスンしているアプリケーション（およびバージョン）、
そのポートに到達することができるアドレス範囲、またアクセスを許可するセキュリティ
グループ、アクセス制御リスト、インターネットゲートウェイ、仮想ゲートウェイ、およ
びその他のチャネルとともに、報告され得る。第５のルールでは、是正措置の勧告には、
アクセス制御構成を編集してアクセスを制限すること（信頼できる場所の外側のアクセス
が必要ない場合）、およびアプリケーションを停止すること（作業に必要ない場合）が含
まれ得る。

一実施形態において、第６のルールは、エージェントを用いてインスタンスを分析して
、インスタンスが、信頼できる場所の外側のどこかからのアクセスが許されているポート
への接続が開いているかどうかを判定することができる。この調査結果の重要度は、低で
ある。この調査結果は、ポート番号、そのポートのＴＣＰまたはＵＤＰ関連付け、そのポ
ートをリッスンしているアプリケーション（およびバージョン）、そのポートに到達する
ことができるアドレス範囲、またアクセスを許可するセキュリティグループ、アクセス制
御リスト、インターネットゲートウェイ、仮想ゲートウェイ、およびその他のチャネルと
ともに、報告され得る。第６のルールでは、是正措置の勧告には、アクセス制御構成を編
集してアクセスを制限すること（信頼できる場所の外側からのアクセスが必要ない場合）
、およびアプリケーションを停止すること（作業に必要ない場合）が含まれ得る。

一実施形態において、第７のルールは、エージェントを用いてインスタンスを分析して
、インスタンスが、異例のポートで接続を開くアプリケーションを有するかどうかを判定
することができる。この調査結果の重大度は、低であり、特定の脅威ではなく情報提供と
見なされ得る。この調査結果は、ポート番号、そのポートのＴＣＰまたはＵＤＰ関連付け
、そのポートをリッスンしているアプリケーション（およびバージョン）、そのポートに
到達することができるアドレス範囲、またアクセスを許可するセキュリティグループ、ア
クセス制御リスト、インターネットゲートウェイ、仮想ゲートウェイ、およびその他のチ
ャネルとともに、報告され得る。第７のルールでは、是正措置の勧告には、アプリケーシ
ョンが期待通りに挙動しているかどうかを確認することが含まれ得る。

一実施形態において、第８のルールは、エージェントなしでインスタンスを分析して、
インスタンスが、信頼できる場所の外側のどこかからのＩＣＭＰアクセスを許可するかど
うかを判定することができる。この調査結果の重大度は、中である。この調査結果は、そ
のポートに到達することができるアドレス範囲、またアクセスを許可するセキュリティグ
ループ、アクセス制御リスト、インターネットゲートウェイ、仮想ゲートウェイ、および
その他のチャネルとともに、報告され得る。第８のルールでは、是正措置の勧告には、ア
クセス制御構成を編集してアクセスを制限することが含まれ得る（信頼できる場所の外側
のアクセスが必要ない場合）。

一実施形態において、第９のルールは、エージェントを用いずにインスタンスを分析し
て、インスタンスが、信頼できる場所の外側のどこかからの通常は安全性の低いポート（
例えば、ポート２０、２１、２３など）へのアクセスを許可するかどうかを判定すること
ができる。この調査結果の重大度は、中である。この調査結果は、ポート番号、ポートの
ＴＣＰまたはＵＤＰ関連付け、通常そのポートを使用するアプリケーション、そのポート
に到達することができるアドレス範囲、またアクセスを許可するセキュリティグループ、
アクセス制御リスト、インターネットゲートウェイ、仮想ゲートウェイ、およびその他の
チャネルとともに、報告され得る。第９のルールでは、是正措置の勧告には、アクセス制
御構成を編集してアクセスを制限することが含まれ得る（信頼できる場所の外側のアクセ
スが必要ない場合）。

一実施形態において、第１０のルールは、エージェントを用いずインスタンスを分析し
て、インスタンスが、信頼できる場所の外側のどこかからの管理ポート番号２２（通常、
ＳＳＨに使用される）へのアクセスを許可するかどうかを判定することができる。この調
査結果の重大度は、中である。この調査結果は、ポート番号、ポートのＴＣＰまたはＵＤ
Ｐ関連付け、通常そのポートを使用するアプリケーション、そのポートに到達することが
できるアドレス範囲、またアクセスを許可するセキュリティグループ、アクセス制御リス
ト、インターネットゲートウェイ、仮想ゲートウェイ、およびその他のチャネルとともに
、報告され得る。第１０のルールでは、是正措置の勧告には、アクセス制御構成を編集し
てアクセスを制限することが含まれ得る（信頼できる管理場所の外側からの管理者アクセ
スが必要ない場合）。

一実施形態において、第１１のルールは、エージェントを用いずインスタンスを分析し
て、インスタンスが、信頼できる場所の外側のどこかからの管理ポート番号３３８９（通
常、ＲＤＰに使用される）へのアクセスを許可するかどうかを判定することができる。こ
の調査結果の重大度は、中である。この調査結果は、ポート番号、ポートのＴＣＰまたは
ＵＤＰ関連付け、通常そのポートを使用するアプリケーション、そのポートに到達するこ
とができるアドレス範囲、またアクセスを許可するセキュリティグループ、アクセス制御
リスト、インターネットゲートウェイ、仮想ゲートウェイ、およびその他のチャネルとと
もに、報告され得る。第１１のルールでは、是正措置の勧告には、アクセス制御構成を編
集してアクセスを制限することが含まれ得る（信頼できる管理者場所の外側からの管理者
アクセスが必要ない場合）。

一実施形態において、第１２のルールは、エージェントを用いずインスタンスを分析し
て、インスタンスが、信頼できる場所の外側のどこかからのデータベースポート（例えば
、ポート１４３３、１４３４、３３０６など）へのアクセスを許可するかどうかを判定す
ることができる。この調査結果の重要度は、低である。この調査結果は、ポート番号、ポ
ートのＴＣＰまたはＵＤＰ関連付け、通常そのポートを使用するアプリケーション、その
ポートに到達することができるアドレス範囲、またアクセスを許可するセキュリティグル
ープ、アクセス制御リスト、インターネットゲートウェイ、仮想ゲートウェイ、およびそ
の他のチャネルとともに、報告され得る。第１２のルールでは、是正措置の勧告には、ア
クセス制御構成を編集してアクセスを制限することが含まれ得る（インターネットからの
データベースアクセスが必要ない場合）。

一実施形態において、第１３のルールは、エージェントを用いずにインスタンスを分析
して、インスタンスが、信頼できる場所の外側のどこかからのイントラネットポートへの
アクセスを許可するかどうかを判定することができる。この調査結果の重要度は、低であ
る。この調査結果は、ポート番号、ポートのＴＣＰまたはＵＤＰ関連付け、通常そのポー
トを使用するアプリケーション、そのポートに到達することができるアドレス範囲、また
アクセスを許可するセキュリティグループ、アクセス制御リスト、インターネットゲート
ウェイ、仮想ゲートウェイ、およびその他のチャネルとともに、報告され得る。第１３の
ルールでは、是正措置の勧告には、アクセス制御構成を編集してアクセスを制限すること
が含まれ得る（インターネットからのイントラネットポートアクセスが必要ない場合）。

一実施形態において、第１４のルールは、エージェントを用いずにインスタンスを分析
して、インスタンスが、信頼できる場所の外側のどこかからの他のすべてのポート（例え
ば、ルール８～１３が適用されないポート）へのアクセスを許可するかどうかを判定する
ことができる。この調査結果の重要度は、低である。この調査結果は、ポート番号、ポー
トのＴＣＰまたはＵＤＰ関連付け、通常そのポートを使用するアプリケーション、そのポ
ートに到達することができるアドレス範囲、またアクセスを許可するセキュリティグルー
プ、アクセス制御リスト、インターネットゲートウェイ、仮想ゲートウェイ、およびその
他のチャネルとともに、報告され得る。第１４のルールでは、是正措置の勧告には、アク
セス制御構成を編集してアクセスを制限することが含まれ得る（信頼できる場所の外側か
らのアクセスが必要ない場合）。

一実施形態において、第１５のルールは、エージェントを用いてインスタンスを分析し
て、インスタンスが、どこからもアクセスできないポートへの接続が開いているかどうか
を判定することができる。この調査結果の重大度は、低であり、情報提供と見なされ得る
。この調査結果は、ポート番号、各ポートに関連しているアプリケーション（およびバー
ジョン）、および該当するアクセス制御リストおよびセキュリティグループとともに、報
告され得る。第１５のルールでは、是正措置の勧告には、必要ない場合にアクセスできな
いサービスを終わらせることが含まれ得る。

一実施形態において、第１６のルールは、エージェントの有無に関わらずインスタンス
を分析して、インスタンスへのすべてのインバウンドトラフィックが、阻止されているか
どうかを判定することができる。この調査結果の重大度は、低であり、情報提供と見なさ
れ得る。この調査結果は、該当するアクセス制御リストおよびセキュリティグループとと
もに報告され得る。第１６のルールでは、是正措置の勧告には、遮断が適切であるかどう
か確認することが含まれ得る。

仮想ネットワーク検証サービス
実施形態によっては、ネットワーク構成分析は、仮想ネットワーク検証サービスを使用
して実施され得る。実施形態によっては、仮想ネットワーク検証サービスは、宣言型論理
プログラミング言語を活用して、ネットワーク到達可能性アナライザが、プロバイダネッ
トワーク上の仮想ネットワークについての再帰クエリを含むクエリを制約問題として表し
、制約ソルバ（例えば、充足可能性モジュロ理論（ＳＭＴ：Ｓａｔｉｓｆｉａｂｉｌｉｔ
ｙ Ｍｏｄｕｌｏ Ｔｈｅｏｒｉｅｓ）ソルバ）エンジンを使用してクエリを解決するこ
とによって、クエリに対する結果を提供することを可能にする。いくつかの実施形態で使
用され得る宣言型論理プログラミング言語例は、Ｄａｔａｌｏｇである。他の宣言型論理
プログラミング言語が使用されてもよいことに留意されたい。

クライアントの仮想ネットワーク内にネットワーキングプリミティブを備え、構成する
ために、クライアントは様々なプロバイダネットワークサービスを使用することができ、
各サービスは、それ自身のアプリケーションプログラミングインターフェース（ＡＰＩ：
Ａｐｐｌｉｃａｔｉｏｎ Ｐｒｏｇｒａｍｍｉｎｇ Ｉｎｔｅｒｆａｃｅ）およびネット
ワーキングセマンティクスを提供することができる。従来、コードサンプルおよびドキュ
メンテーションが各サービスに提供され得るが、仮想ネットワークにおけるネットワーキ
ングプリミティブ間の相互作用の正式な記述がなかった。実施形態によっては、ネットワ
ーキングプリミティブのための仮想ネットワーキングセマンティクスおよび論理は、論理
プログラミング言語に従って仮想ネットワーキングルールのセットとして表され、符号化
され得る。仮想ネットワーキングルールは、仮想ネットワークに実装され得、またプロバ
イダネットワークのサービスおよびＡＰＩによって提供される、様々なネットワーキング
プリミティブ間の共通の関係および相互作用を表すルールを含み得る。したがって、実施
形態は、プロバイダネットワーク環境において仮想ネットワーキングがどのように働くか
の論理を記述する仮想ネットワーキングルールを１つの場所またはファイルに備えること
ができる。

実施形態によっては、仮想ネットワーキングルールは、ペイメントカード業界データセ
キュリティ基準（ＰＣＩ ＤＳＳ：Ｐａｙｍｅｎｔ Ｃａｒｄ Ｉｎｄｕｓｔｒｙ Ｄａ
ｔａ Ｓｅｃｕｒｉｔｙ Ｓｔａｎｄａｒｄ）、米国連邦リスクおよび承認管理プログラ
ム （ＦｅｄＲＡＭＰ：Ｆｅｄｅｒａｌ Ｒｉｓｋ ａｎｄ Ａｕｔｈｏｒｉｚａｔｉｏ
ｎ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｇｒａｍ）基準、もしくは医療保険の相互運用性と説
明責任に関する法律（ＨＩＰＡＡ：Ｈｅａｌｔｈ Ｉｎｓｕｒａｎｃｅ Ｐｏｒｔａｂｉ
ｌｉｔｙ ａｎｄ Ａｃｏｕｎｄａｂｉｌｉｔｙ Ａｃｔ）基準などのセキュリティ基準
、またはクライアントの内部セキュリティ基準を符号化するルールを組み込み得る。実施
形態によっては、仮想ネットワーク検証サービスは、仮想ネットワーキングルールの２つ
以上の異なるセットを提供することができ、このセットのそれぞれは、特定の基準へのそ
の仮想ネットワークの準拠を検証するのに選択的に使用され得る、様々なネットワーキン
グセキュリティ基準を符号化する。実施形態によっては、仮想ネットワーク検証サービス
は、クライアントの内部セキュリティ基準、ベストプラクティス、または他のネットワー
キング要件を符号化するカスタムルールをクライアント（ネットワーク到達可能性アナラ
イザなど）が定義することを可能にし得、それにより、それらの特定の仮想ネットワーク
に適用するためにクライアントによって定義されたカスタムルールを含む、仮想ネットワ
ーキングルールのセットが実装され得る。

実装形態によっては、仮想ネットワーク検証サービスは、クライアントの仮想ネットワ
ークに関する記述情報を得る。記述情報は、例えば、仮想ネットワークに実装されたネッ
トワーキングプリミティブのインスタンスを特定し、インスタンスの記述（例えば、計算
インスタンスに割り当てられた役割、リソースインスタンスに与えられたまたは与えられ
ていないパーミッション、インスタンスに割り当てられたＩＰアドレスなど）を含み、イ
ンスタンス間の関係（例えば、インスタンス間のネットワークにわたるパス）を記述し、
外部エンティティへのインターフェースまたはアクセスポイント（例えば、仮想ネットワ
ークの外部のエンティティによってアクセスされ得る計算インスタンス）を記述し得る。
実施形態によっては、クライアントは、仮想ネットワークから記述情報を得て、その記述
情報を仮想ネットワーク検証サービスに提供することができる。あるいは、実施形態によ
っては、クライアントは、仮想ネットワーク検証サービスが仮想ネットワークから記述情
報を直接得ることを可能にするパーミッションを、仮想ネットワーク検証サービスに与え
ることができる。仮想ネットワーク検証サービスは、宣言型論理プログラミング言語に従
って、記述情報を論理プログラムとして符号化することができる。

仮想ネットワーク検証サービスの実施形態は、ポート走査方法および構文チェック方法
などの従来のネットワーク分析方法と比較すると、多大な利点をもたらすことができる。
これらの従来の方法とは異なり、符号化された仮想ネットワーキングルールおよび仮想ネ
ットワーク記述を通して、仮想ネットワーク検証サービスは、すべてのネットワーキング
プリミティブおよびリソースインスタンス、ならびにそれらの複雑な相互関係についての
知識を得ることができる。走査時に稼働しているデバイスに頼り、それにより走査時に存
在するデバイス間のネットワークにわたるパスしか特定できない可能性がある従来の方法
とは異なり、記述情報は、仮想ネットワークを記述するメタデータを維持する１つ以上の
プロバイダネットワークサービスのＡＰＩへのＤＥＳＣＲＩＢＥコールのみを使用して、
クライアントによってまたはサービスによって得られ得、それにより、それぞれのデバイ
スまたはインスタンスが稼働しておらず、リッスンしていなくても、ネットワークにわた
るパスが特定され得る。また、ポート走査方法では、脅威が起こっていることは確認でき
るが、脅威が起こっていないことを確認できない可能性がある。構文チェック方法は、個
々のネットワークデバイスのシャロープロバティをチェックすることができるが、攻撃ベ
クトルの有無を確認しない。一方、実施形態によっては、仮想ネットワーク検証サービス
は、符号化された仮想ネットワーキングルールで表されるようなネットワークポリシから
の起こり得る逸脱をすべて見付けることができ、脅威および攻撃ベクトルの有りおよび無
しの両方を確認することができる。さらに、記述情報は、仮想ネットワークを記述するメ
タデータを維持する１つ以上のプロバイダネットワークサービスへのＤＥＳＣＲＩＢＥコ
ールのみを使用して、クライアントによってまたはサービスによって得られ得、それによ
り、実体的なネットワークおよびＣＰＵ帯域幅を必要とするポート走査方法などの従来の
方法とは異なって、クライアントの仮想ネットワークへの影響はほとんどまたは全くなく
、また、ポート走査方法の場合のように、プロバイダネットワーク上のあらゆるデバイス
への完全なネットワークアクセスが必要とされない。

実施形態によっては、仮想ネットワーク検証サービスは、クライアント（ネットワーク
到達可能性アナライザなど）からクエリを受信する。実施形態によっては、クエリは、Ｓ
ＱＬに類似しているがネットワーク構成に適用される表出型クエリ言語で提示され得る。
このようなクエリの非限定的な例としては、「ＶＮＶＳｑｕｅｒｙ－ｉ Ｉｉｓｔ：ｃａ
ｎ－ｓｓｈ（ＡＢ）を挙げることができ、これは、インスタンスＡがインスタンスＢにＳ
ＳＨすることができるようなすべてのインスタンス対のリストを提供するよう、仮想ネッ
トワーク検証サービス（ＶＮＶＳ）に要求する。あるいは、実施形態によっては、クエリ
は、人に分かりやすい形で提示され得る。このようなクエリの非限定的な例は、「インス
タンスＡがインスタンスＢにＳＳＨすることができるようなすべてのインスタンス対のリ
ストを示してください」のようなものであり得る。実施形態によっては、少なくともいく
つかのクエリが、予め定義され、仮想ネットワーク検証サービスへのグラフィカルインタ
ーフェースを介して、ユーザインターフェース要素（例えば、メニュー）においてユーザ
に提供され得る。

クエリは、生成された論理プログラムに関する定理に対応し、制約問題を表し得る。仮
想ネットワーク検証サービスは、宣言型論理プログラミング言語に従って制約問題を解決
するように構成された制約ソルバプログラム（制約ソルバエンジンとも呼ばれる）を使用
して、符号化されたルールに従って、符号化された記述に対するクエリによって表される
制約問題を解決し、結果をクライアントに提供することができる。実施形態によっては、
仮想ネットワーク検証サービスは、クエリを提示するためのＡＰＩおよびインターフェー
スを提供することができる。実施形態によっては、仮想ネットワーク検証サービスは、ク
ライアントがＡＰＩおよびインターフェースを介して選択することができる標準クエリの
セットを提供することができる。実施形態によっては、仮想ネットワーク検証サービスは
、クライアントがカスタムクエリを作成し、ＡＰＩおよびインターフェースを介して提出
すえることを可能にし得る。

実施形態において、コンソール上のサービスへのグラフィカルインターフェースを介し
て、またはコマンドラインインターフェース（ＣＬＩ：Ｃｏｍｍａｎｄ Ｌｉｎｅ Ｉｎ
ｔｅｒｆａｃｅ）を介して、クライアントが仮想ネットワーク検証サービスを使用して、
プロバイダネットワーク上のクライアントの仮想ネットワークについての質問（制約を明
示するクエリとして提示される）に対する回答を得ることができる。提示される可能性が
ある質問の例としては、以下が挙げられるが、これらに限定されない。
●仮想ネットワーク内のどのインスタンスにインターネットからアクセス可能であるか
？
●どのインスタンスが仮想ネットワーク上の指定されたリソースにアクセスすることが
できるか（例えば、データベース、キャッシュ、ストレージエンドポイント、他のインス
タンスなど）？
●仮想ネットワークは、ネットワーキングセキュリティ基準のベストプラクティスに準
拠しているか？
●仮想ネットワークは、このルールのセットに符号化された自分の会社のベストプラク
ティスに準拠しているか。

より一般的には、クライアント（ネットワーク到達可能性アナライザなど）が仮想ネッ
トワーク検証サービスを使用して、仮想ネットワーク内のリソースと仮想ネットワーク内
の他のリソースとの間の期待されるパイプ、ならびに外部エンティティへの期待されるパ
イプが開いているか、また期待されるパイプが唯一の開いたパイプであるか（例えば、外
部エンティティが、それらが達することを許されるべきではない仮想ネットワーク内のリ
ソースに達することができないか）を検証することができる。

仮想ネットワーク内のあるリソースと他のリソースとの間のパイプ、または仮想ネット
ワーク内のリソースと外部エンティティとの間のパイプが開いているかを検証することは
、リソース間、またはリソースと外部エンティティとの間にネットワークにわたるパスま
たはルート（例えば、リソースから、それを介して外部エンティティが仮想ネットワーク
上のリソースにアクセスすることができるＨＴＴＰＳゲートウェイへのパス）があるか（
すなわち、ネットワーク接続性があるか）を検証することを含み得る。パスは、エンドポ
イント間にネットワーク接続性をもたらすネットワークにわたる直接パスであってもよく
、あるいはルート上の１つ以上のホップを通過し、エンドポイント間にネットワーク接続
性をもたらす推移的なパスであってもよい。仮想ネットワークを記述するメタデータを維
持する１つ以上のプロバイダネットワークサービスのＡＰＩへのＤＥＳＣＲＩＢＥコール
のみを使用して、仮想ネットワークについての記述情報を得ることができ、それにより、
それぞれのデバイスまたはインスタンスが稼働しておらず、リッスンしていない場合でも
パスを検証することができる。実施形態によっては、仮想ネットワークについての記述情
報は、リソースに与えられたまたは与えられていないパーミッション（例えば、仮想ネッ
トワーク上のエンドポイントへの１つのリソースアクセスを与えるもしくは与えないパー
ミッション、または、所与のエンドポイント（例えば、ストレージエンドポイント）にア
クセスすることができる、もしくはできない、ＩＰアドレス範囲もしくはリソースインス
タンスの特定のポートを指定するパーミッションなど）を含み得る。これらの実施形態で
は、仮想ネットワーク内のパスが開いていることを検証することは、そのパスに必要なパ
ーミッションが与えられていることを検証することを含み得る。同様に、期待されるパス
が唯一の開いたパスであることを検証することは、仮想ネットワークまたは外部エンティ
ティ内のリソースが、アクセスするべきではないリソースにアクセスするためのパーミッ
ションを有していないと判断することを含み得る。

仮想ネットワーキングルールの適切なセットを有する仮想ネットワーク検証サービスの
実施形態は、例えば、顧客が顧客の仮想ネットワークが、ペイメントカード業界データセ
キュリティ基準（ＰＣＩ ＤＳＳ）、米国連邦リスクおよび承認管理プログラム（Ｆｅｄ
ＲＡＭＰ）基準、もしくは医療保険の相互運用性と説明責任に関する法律（ＨＩＰＰＡ）
基準などのネットワーキングセキュリティ基準に準拠していることを検証するのを助ける
ために、または顧客の仮想ネットワークがクライアントの内部セキュリティ基準またはそ
の他の内部ネットワーキング要件に準拠していることを検証するために、クライアント（
ネットワーク到達可能性アナライザ）によって使用され得る。

仮想ネットワーク検証サービスの別の適用例としては、ネットワークセキュリティ問題
またはソフトウェアバグなどの脆弱性の仮想ネットワークにおける起こり得る影響を突き
止めるためがある。例えば、仮想ネットワーク内の特定のインスタンス上で作動している
特定のソフトウェアプログラムに脆弱性が発見された場合、クライアント（ネットワーク
到達可能性アナライザなど）は、このインスタンスが仮想ネットワーク内の他のインスタ
ンスと通信することができる、すべての方法を判定するためにクエリを作成し、提出する
ことができる。結果は、クライアントが、脆弱性の起こり得る影響を特定し、したがって
状況を最もうまく処理する方法に関して決定を行うことを可能にし得る。例えば、脆弱性
を有するインスタンスからミッションクリティカルなデータベースを有するインスタンス
への直接のパスがない場合、問題に、通常の保守スケジュールに従って処理される低い優
先度を与えることができる。脆弱性を有するインスタンスがミッションクリティカルなデ
ータベースを有するインスタンスに影響を与える場合、仮想ネットワークの少なくとも一
部をシャットダウンして脆弱性に直ちに対処するという決定を行うことができる。

仮想ネットワーク検証サービスの別の適用例は、プロバイダネットワーク環境のための
仮想ネットワーキングの変更のオフラインテストの際である。例えば、プロバイダネット
ワーク環境で仮想ネットワーキングがどのように働くかの論理を記述する仮想ネットワー
キングルールをテスト環境で使用して、仮想ネットワーキングプリミティブの変更を、そ
れがプロバイダネットワークに適用される前にテストし、この変更が仮想ネットワークに
どのような影響を与え得るかを判定することができる。

仮想ネットワーク検証サービスの別の適用例は、クライアント用の仮想ネットワークを
自動的に統合する際である。例えば、クライアント（ネットワーク到達可能性アナライザ
など）が、特定のネットワーキングセキュリティ基準に準拠し、また指定されたネットワ
ーキングプリミティブののセットを含む、仮想ネットワークを確立することを望む場合が
ある。クライアントが自ら仮想ネットワークをビルドし、テストする必要がないように、
仮想ネットワーク検証サービスおよび仮想ネットワーキングルールを使用して、制約（ク
ライアント指定プリミティブ、ネットワーキングセキュリティ基準、仮想ネットワーキン
グがプロバイダネットワーク環境内でどのように働くかの論理を記述する仮想ネットワー
キングルール、など）のすべてを満たす仮想ネットワークを自動的に統合し、検証するこ
とができる。例えば、基準によって課せられた制約をクエリとして提示することができ、
クエリを解決して、制約を満たす仮想ネットワーク構成を判定することができ、あるいは
仮想ネットワークの構成が制約に従っているかどうかを判定することができる。それによ
り、制約に従う仮想ネットワークが統合されてもよく、あるいは仮想ネットワークが制約
に従うように修正されてもよい。

仮想ネットワーク検証サービスの別の適用例は、構成または変更がプロバイダネットワ
ークに実装される前に、クライアント（ネットワーク到達可能性アナライザなど）が新た
な仮想ネットワーク構成または既存の仮想ネットワークの変更を検証することを可能にす
ることである。例えば、仮想ネットワーク構成は、クライアントによって生成または修正
されてもよく、その構成に対する制約はクエリとして提示することが可能であって、構成
がプロバイダネットワークに実装される前に、クエリを解決して、構成がクエリで提示さ
れたクライアントの制約に準拠していることを検証してもよい。

図８は、いくつかの実施形態による、プロバイダネットワーク環境における仮想ネット
ワーク検証サービスを示す。クライアントにプロバイダネットワーク８００を提供するサ
ービスプロバイダは、クライアントがプロバイダネットワーク８００上の仮想ネットワー
ク８１０にリソースを確立し、管理することを可能にするサービスおよびアプリケーショ
ンプログラミングインターフェース（ＡＰＩ）８０２を提供することができる。プロバイ
ダネットワーク８００環境における仮想ネットワーク８１０は、それぞれのクライアント
のプロバイダネットワークリソースのセットを含むネットワーク空間であって、クライア
ントのリソース用のプロバイダネットワーク８００上の論理的に隔離されたセクションと
して機能する、ネットワーク空間として、広く定義され得る（例えば、アドレス範囲また
はアドレス空間によって論理的に定義される）。仮想ネットワーク８１０は、ネットワー
クプロトコルに従ってプライベートまたはローカルのインターネットプロトコル（ＩＰ：
Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレス空間、例えばインターネットプロトコル
バージョン４（ＩＰｖ４：Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ ｖｅｒｓｉｏｎ４）ア
ドレス範囲またはサブネット内の３２ビットＩＰアドレスを実装することができる。仮想
ネットワーク８１０上のソース（例えば、計算リソース、ストレージリソース、サーバ、
ホストデバイスなどのエンドポイント）には、仮想ネットワーク８１０のアドレス空間内
のＩＰアドレス（例えば、３２ビットのＩＰｖ４アドレス）が割り当てられ得る。プロバ
イダネットワーク８００上のクライアントの仮想ネットワーク８１０は、クライアントに
よって仮想コンピューティングリソースインスタンスとして構成されたホストデバイス上
の仮想マシン（ＶＭ：Ｖｉｒｔｕａｌ Ｍａｃｈｉｎｅ）などのクライアントのリソース
インスタンスを含む。プロバイダネットワーク上のリソースインスタンスの少なくともい
くつかは、複数のオペレーティングシステムをホストコンピュータ上で同時に、すなわち
ホストデバイス上のＶＭとして実行することを可能にするハードウェア仮想化技術に従っ
て実装することができる。ホストデバイス上のハイパーバイザ、または仮想マシンモニタ
（ＶＭＭ：Ｖｉｒｔｕａｌ Ｍａｃｈｉｎｅ Ｍｏｎｉｔｏｒ）は、それぞれのホスト上
のＶＭに仮想プラットフォームを提示し、ホストデバイス上のＶＭの実行を監視する。各
ＶＭには１つ以上のＩＰアドレスが与えられ、それぞれのホスト上のＶＭＭは、ホスト上
のＶＭのＩＰアドレスを分かっている可能性がある。

様々なネットワークリソース、構造、および機能性（ネットワーキングプリミティブと
呼ばれる）が、様々なプロバイダネットワークサービス８０２を介してプロバイダネット
ワーク８００のクライアントに提供され得る。クライアントは、少なくとも部分的に様々
なサービスおよびＡＰＩ８０２を使用して、プロバイダネットワーク８００上でクライア
ントの仮想ネットワーク８１０を作成し、構成し、ポピュレートし、修正することができ
る。以下では、サービス８０２によって提供され得、限定的であることを意図するもので
はない、ネットワーキングプリミティブ例を挙げる。
●仮想ネットワーク
●リソースインスタンス（例えば、サービス８０２を使用するクライアントによる、仮
想コンピューティングリソースインスタンスとして構成されたＶＭ（例えば、アプリケー
ションサーバ、Ｗｅｂサーバ、データベースサーバ、アクセスポイント、ゲートウェイ、
ロードバランサ、ロギングサービスなどの特定のプロバイダネットワークサービスのイン
スタンス、ネットワーク監視および分析サービス、コードリポジトリサービス、コンテナ
管理サービスなど）。
●タグ－実施形態によっては、クライアントは、リソースインスタンスをタグ付けする
ことによって、クライアントの仮想ネットワーク内の特定のリソースインスタンス（例え
ば、ＶＭ）に特定の役割を割り当てることが許され得る。タグは、例えば、ＰＲＯＤやＤ
ＥＶなどのテキスト文字列であり得る。タグは、リソースインスタンス用のメタデータに
格納され得る。タグは、標準プロバイダネットワーク定義タグおよび／またはクライアン
ト定義タグを含み得る。リソースインスタンスの役割例には、セキュアソケットシェル（
ＳＳＨ：Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｓｈｅｌｌ）アクセスインスタンス、ロギングサ
ービスインスタンス、コードリポジトリインスタンス、本番リソースインスタンス、およ
び開発リソースインスタンスが含まれるが、これらに限定されるわけではない。
●仮想ネットワークエンドポイント（例えば、計算リソース、ストレージリソース、サ
ーバ、ホストデバイスなどのエンドポイント）。
●仮想ネットワークピアリング接続実施形態によっては、クライアントは、プロバイダ
ネットワーク上に２つ以上の仮想ネットワークを確立することができる。仮想ネットワー
クがインターネットなどの外部ネットワークを横断する必要なしにプロバイダネットワー
クにわたって安全に通信することを可能にするピアリング接続が、仮想ネットワーク間で
確立され得る。
●仮想ネットワークの外部のエンティティから仮想ネットワークのリソースの少なくと
もいくつかへのアクセスを提供するインターネットゲートウェイ
●例えば、仮想ネットワーク上のリソースインスタンスのグループまたはクラスタ間で
ネットワークトラフィックを分散させる仮想化ロードバランサインスタンスである、ロー
ドバランサ
●ネットワークアドレス変換（ＮＡＴ：Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓ
ｌａｔｉｏｎ）インスタンス
●ＮＡＴゲートウェイ
●ネットワークアクセス制御リスト（ＡＣＬ）
●ネットワークインターフェース。
●ルートテーブル
●サブネット－仮想ネットワークは、必ずしもではないが、２つ以上のサブネットワー
ク、またはサブネットに細分され得る。
●セキュリティグループ－実施形態によっては、プロバイダネットワークは、クライア
ントが、クライアントの仮想ネットワーク内に、サブネット内に、またはサブネットにわ
たって、仮想セキュリティグループを確立し、管理することを可能にし得る。セキュリテ
ィグループは、リソースインスタンスを論理的にグループ化したものであり、セキュリテ
ィグループルールに従ってセキュリティグループ内の１つ以上のリソースインスタンスに
到達することを許されたトラフィックを制御する仮想ファイアウォールとして機能する。
●リージョン－プロバイダネットワークサービスおよびリソース（例えば、仮想ネット
ワーク、ＶＭインスタンス、データストレージ、ゲートウェイ、ロードバランサなど）は
、複数の地理的な場所または範囲でサポートされ得る。本明細書で使用される際、リージ
ョンとは、プロバイダネットワークサービスをサポートし、そこで、クライアントがリソ
ースを起動し、構成することができる別個の地理的範囲である。サービスおよびＡＰＩに
より、クライアントは１つ以上のリージョンでクライアントのリソースを起動または複製
することが可能になり得る。
●ゾーン－各地域には、本明細書でゾーンと呼ばれる複数の孤立した場所が含まれ得る
。クライアントのリソースインスタンスは、１つのゾーン内のリソースインスタンスに障
害が発生した場合に、別のゾーン内のインスタンスが要求を処理できるように、リージョ
ン内の複数のゾーンに分散させることができる。

実施形態によっては、クライアントは、それぞれのプロバイダネットワークサービス８
０２を使用して、上記のネットワーキングプリミティブのうちの１つ以上のインスタンス
を含む仮想ネットワーク８１０をプロバイダネットワーク８００上に確立することができ
る。図８は、プロバイダネットワーク８００上の仮想ネットワーク例８１０を示し、この
例は、限定的であることを意図するものではない。クライアントの仮想ネットワーク８１
０は、仮想ネットワークの機能性を実装するリソースインスタンス８１８（例えば、ＶＭ
）、例えばアプリケーションサーバ、Ｗｅｂサーバ、データベースサーバなどを含み得る
。リソースインスタンス８１８は、インスタンス８１８Ａおよび８１８Ｂのグループまた
はクラスタを含み得、例えば、インスタンス８１８Ａは、本番環境に相当し得る一方、イ
ンスタンス８１８Ｂは、開発環境に相当し得る。実施形態によっては、インスタンス８１
８Ａと８１８Ｂとは、異なるサブネットおよび／またはセキュリティグループ内にあり得
る。

クライアントの仮想ネットワーク８１０はまた、アプリケーションおよびオペレーティ
ングシステムロギングサービス、ネットワーク監視および分析サービス、コードリポジト
リサービス、コンテナ管理サービスなど、クライアントの仮想ネットワーク８１０内に特
定のプロバイダネットワークサービスを実装するサービスインスタンス８１６（例えば、
ＶＭ）を含み得る。

クライアントの仮想ネットワーク８１０はまた、クライアントネットワーク８８０上の
デバイス８８２および他の外部エンティティ８９０がインターネットなどの中間ネットワ
ーク８５０を介して仮想ネットワーク８１０内のリソースおよびエンドポイントと通信す
ることを可能にするアクセスインスタンスを含み得る。アクセスインスタンスは、例えば
、ロードバランサおよびゲートウェイ（インターネットゲートウェイ、ＮＡＴゲートウェ
イなど）を含み得る。この例に示されるように、実施形態によっては、アクセスインスタ
ンスは、ＨＴＴＰＳアクセスインスタンス８１４およびＳＳＨアクセスインスタンス８１
２を含み得る。ＨＴＴＰＳアクセスインスタンス８１４は、ＨＴＴＰＳプロトコルを使用
して外部エンティティ８９０からリソースインスタンス８１８Ａおよび８１８Ｂにそれぞ
れアクセスするためのインスタンス８１４Ａおよび８１４Ｂ、ならびにＨＴＴＰＳプロト
コルを使用してクライアントネットワーク８８０上のデバイス８８２からサービスインス
タンス８１６にアクセスするためのインスタンス８１４Ｃを含み得る。実施形態によって
は、クライアントは、例えばＳＳＨを使用して、クライアントネットワーク８８０上のデ
バイス８８２（例えば、コンソール）から仮想ネットワーク８１０内のリソースインスタ
ンスにアクセスすることができる。実施形態によっては、ＳＳＨを使用してリソースイン
スタンスにアクセスするために、クライアントにインスタンスのＩＰアドレスとキーとが
与えられる。クライアントは、提供された情報を使用してインスタンスに直接ＳＳＨ接続
することができる。実施形態によっては、ＳＳＨアクセスインスタンス８１２は、クライ
アントがＳＳＨプロトコルを使用してクライアントネットワーク８８０上のデバイス８８
２（例えば、コンソール）から仮想ネットワーク８１０上のクライアントのリソースイン
スタンスにアクセスすることを可能にするプロキシとして機能し得る。例えば、ＳＳＨア
クセスインスタンス８１２は、クライアントの仮想ネットワークの公にアクセス可能なサ
ブネット内にあり得る。クライアントのリソースインスタンスの少なくとも一部が、公に
アクセスできないサブネットにある場合がある。これらのリソースインスタンスは、ＳＳ
Ｈアクセスインスタンス８１２に付設されたセキュリティグループからのＳＳＨアクセス
を許可するセキュリティグループ内にあり得る。クライアントは、クライアントのリソー
スインスタンスに接続するためにＳＳＨアクセスインスタンス１１２に接続することがで
きる。

図８に示すように、プロバイダネットワーク８００は、プロバイダネットワーク８００
上の１つ以上のコンピューティングデバイスによって実装される仮想ネットワーク検証サ
ービス８３０を含み得る。実施形態によっては、仮想ネットワーク検証サービス８３０の
インスタンスは、例えば、図８に示すようにＳＳＨアクセスインスタンス８１２によって
、クライアントの仮想ネットワーク８００上に実装され得る。仮想ネットワーク検証サー
ビス８３０は、宣言的論理プログラミング言語（例えば、Ｄａｔａｌｏｇ）を利用して、
クライアントがプロバイダネットワーク上のクライアントの仮想ネットワークについて再
帰クエリを含むクエリを制約問題として表すことを可能にし得、制約ソルバエンジンを使
用してクエリを解決することにより、クエリに対する結果を提供する。

仮想ネットワーク検証サービス８３０において、サービス８０２によって提供されるネ
ットワーキングプリミティブのための仮想ネットワーキングセマンティクスおよび論理は
、論理プログラミング言語に従って仮想ネットワーキングルールのセットとして表され、
符号化され得る。仮想ネットワーキングルールは、仮想ネットワーク８１０に実装されて
いる様々なネットワーキングプリミティブ間の共通の関係および相互作用を表わすルール
を含み得る。仮想ネットワーキングルールは、ネットワーキングセキュリティ基準（例え
ば、ＰＣＩ、ＦｅｄＲＡＭＰ、ＨＩＰＰＡなど）、またはクライアントの内部セキュリテ
ィ基準もしくは他のネットワーキング要件を符号化するルールも組み込むことができる。

仮想ネットワーク検証サービス８３０は、クライアントの仮想ネットワーク８１０につ
いての記述情報を得る。記述情報は、例えば、仮想ネットワーク８１０に実装されている
ネットワーキングプリミティブのインスタンスを特定し、様々なインスタンスの記述（例
えば、インスタンスに割り当てられた役割、インスタンスに与えられたまたは与えられて
いないパーミッション、インスタンスに割り当てられたＩＰアドレスなど）を含み、イン
スタンス間の関係（例えば、インスタンス間のパス）を記述し、また外部エンティティ８
９０へのインターフェースまたはアクセスポイントを記述することができる。実施形態に
よっては、クライアントは、仮想ネットワーク８１０から記述情報を得て、その記述情報
を仮想ネットワーク検証サービス８３０に提供することができる。あるいは、実施形態に
よっては、クライアントは、仮想ネットワーク検証サービス８３０が仮想ネットワーク８
１０から記述情報を直接得ることを可能にするパーミッションを、仮想ネットワーク検証
サービス８３０に与えることができる。仮想ネットワーク検証サービス８３０は、宣言型
論理プログラミング言語に従って記述情報を論理プログラムとして符号化することができ
る。

仮想ネットワーク検証サービス８３０は、宣言型論理プログラミング言語を利用し、ク
ライアントがプロバイダネットワーク８００上のクライアントの仮想ネットワーク８１０
についてのクエリを、例えばグラフィカルインターフェースまたはコマンドラインインタ
ーフェース（ＣＬＩ：Ｃｏｍｍａｎｄ Ｌｉｎｅ Ｉｎｔｅｒｆａｃｅ）を介して、クラ
イアントネットワーク８８０内のクライアントデバイス８８２上のサービス８３０に提示
することを可能にし得る。いくつかの実施形態において使用され得る論理プログラミング
言語例には、Ｄａｔａｌｏｇがある。他の宣言型論理プログラミング言語が使用されても
よいことに留意されたい。実施形態によっては、クエリは、ＳＱＬに幾分類似している可
能性があるがネットワーク構成に適用される表出型クエリ言語で提示され得る。あるいは
、実施形態によっては、クエリは、人に分かりやすい形で提示され得る。クエリは、生成
された論理プログラムに関する定理に対応し、制約問題を表す。仮想ネットワーク検証サ
ービス８３０は、制約ソルバエンジンを使用して、符号化されたルールに従って、符号化
された記述に対するクエリによって表された制約問題を解決することができ、その結果を
クライアントに提供する。実施形態によっては、仮想ネットワーク検証サービス８３０は
、クエリを提示するためのＡＰＩおよびインターフェースを提供することができる。実施
形態によっては、仮想ネットワーク検証サービス８３０は、クライアントがＡＰＩおよび
インターフェースを介して選択することができる標準クエリのセットを提供することがで
きる。実施形態によっては、仮想ネットワーク検証サービス８３０は、クライアントがＡ
ＰＩおよびインターフェースを介してカスタムクエリを作成し、提出することを可能にし
得る。

以下は、図８に示される仮想ネットワーク例について、クライアントによって提示され
得るクエリ例を説明するものであり、このクエリ例は、限定的であることを意図するもの
ではない。

仮想ネットワーク８１０のいくつかの実施形態では、仮想ネットワーク８１０上のリソ
ースは、クライアントネットワーク８８０上の指定されたエンドポイントからＳＳＨアク
セスインスタンス８１２を通じてＳＳＨを介してのみアクセス可能であるべきである。し
たがって、クライアントは、仮想ネットワーク８１０内のどのインスタンスも中間ネット
ワーク８５０上のエンドポイントからＳＳＨを介してアクセス可能ではないことを検証し
たい場合がある。これを検証するためのクエリ例は、次のように表され得る。
すべてのインスタンス：
！ｉｎｔｅｒｎｅｔ－ｃａｎ－ｓｓｈ－ｔｏ－ｉｎｓｔａｎｃｅ（Ｉｎｓｔａｎｃｅ
）

クライアントはまた、クライアントネットワーク８８０から、仮想ネットワーク８１０
上のＳＳＨアクセスインスタンス８１２がＳＳＨを介してアクセス可能であることを検証
したい場合もある。先に述べたように、実施形態によっては、仮想ネットワーク８１０内
のクライアントのインスタンスの少なくともいくつかに特定の役割を割り当てることがで
き、役割は、インスタンス用のメタデータに格納されているタグによって示され得る。タ
グは、記述情報に含まれ得、それにより仮想ネットワーク８１０についての符号化された
記述に示され得る。したがって、実施形態によっては、タグは、例えば、特定の役割を割
り当てられたインスタンスが実際にそれらの役割を果たすことができることを検証するた
めに、クエリで使用され得る。クライアントネットワーク８８０から、仮想ネットワーク
８１０上のＳＳＨアクセスインスタンス８１２がＳＳＨを介してアクセス可能であること
を検証するためのクエリ例は、次のように表され得る。
すべてのインスタンス：
ａｔｏｍ／ｉｎｓｔａｎｃｅ－ｔａｇ（Ｉｎｓｔａｎｃｅ、ｔａｇ－ｋｅｙ／Ｎａｍ
ｅ、ｔａｇ－ｖａｌｕｅ／ＳＳＨＡｃｃｅｓｓＩｎｓｔａｎｃｅ）
＜＝＞ＣｌｉｅｎｔＮｅｔｗｏｒｋ－ｃａｎ－ｓｓｈ－ｔｏ－ｉｎｓｔａｎｃｅ（Ｉ
ｎｓｔａｎｃｅ）

上記の式は、制約ソルバによって評価されると、仮想ネットワーク８１０上のすべての
インスタンスをチェックし、ＳＳＨＡｃｃｅｓｓＩｎｓｔａｎｃｅとしてタグ付けされた
インスタンスについては、制約ソルバは、そのインスタンスがクライアントネットワーク
８８０からＳＳＨを介して到達可能であるかどうかを判定し、そうである場合にＴＲＵＥ
を返し、そうでない場合にＦＡＬＳＥを返す。

以下では、クライアントが仮想ネットワーク検証サービス８３０に適切なクエリを提示
することによって検証することができる仮想ネットワーク８１０の態様の他の例のいくつ
かを挙げているが、これは限定的であることを意図したものではない。
●ＳＳＨを介してクライアントネットワーク８８０からＳＳＨアクセスインスタンス８
１２のみがアクセス可能である。
●リソースインスタンス８１８Ａおよび８１８Ｂは、中間ネットワーク８５０Ｂ（例え
ばインターネット）を介して外部エンティティ８９０によってそれぞれのＨＴＴＰＳアク
セスインスタンス８１４Ａおよび８１４Ｂを通して到達可能である。
●リソースインスタンス８１８Ａおよび８１８Ｂは、要求を認証するために中間ネット
ワーク８５０Ｂに到達することができる。
●リソースインスタンス８１８Ａおよび８１８Ｂは、指定サービスインスタンス８１６
に書き込むことができる。
●指定サービスインスタンス８１６は、ＨＴＴＰＳアクセスインスタンス８１４Ｃを介
してクライアントネットワーク８８０から到達することができる。
●指定サービスインスタンス８１６は、仮想ネットワーク８１０上の指定エンドポイン
トに到達することができる。
●すべてのインスタンスは、指定されたタグのセットのうちの１つでタグ付けされる。

図９は、いくつかの実施形態による、仮想ネットワーク検証サービス例の構成要素およ
び動作を示す。仮想ネットワーク検証サービス９３０は、プロバイダネットワーク上の１
つ以上のコンピューティングデバイスによって実装することができる。実施形態によって
は、仮想ネットワーク検証サービス９３０のインスタンスは、例えば図８に示されるよう
にＳＳＨアクセスインスタンス８１２によって、クライアントの仮想ネットワーク上に実
装され得る。図９に示されるように、実施形態によっては、仮想ネットワーク検証サービ
ス９３０は、サービスエンジン９３４、制約ソルバ９３６エンジン、およびＡＰＩ９３２
を含み得る。サービスエンジン９３４は、以下に限定されるわけではないが、ルール符号
化９５０ロジック、クエリ処理９６０ロジック、および記述符号化９７０ロジックを実装
し得る。制約ソルバ９３６は、符号化された仮想ネットワーキングルール９３８に基づい
て、符号化された記述９４０によって表されるような、仮想ネットワークについての再帰
クエリを含むクエリを解決するように構成された宣言型論理プログラミング言語エンジン
に相当し得る。ＡＰＩ９３２は、クライアントを含むがこれに限定されない外部エンティ
ティにサービス９１０の機能性を公開する。

図９の（１Ａ）および（１Ｂ）において、サービス９３０のルール符号化９５０ロジッ
クは、仮想ネットワークに適用されるべき仮想ネットワーキングルール９３８を得て（１
Ａ）、符号化する（１Ｂ）ことができる。符号化されるルールは、サービスプロバイダか
ら、クライアントから、または他の外部のエンティティもしくは情報源から得られ得る。
符号化されたルール例９３８は、後で本明細書で示される。

実施形態において、仮想ネットワークで使用されるネットワーキングプリミティブのた
めの仮想ネットワーキングセマンティクスおよび論理は、論理プログラミング言語に従っ
て、仮想ネットワーキングルール９３８のセットとして得られ、符号化され得る。仮想ネ
ットワーキングルール９３８は、仮想ネットワークに実装され得、またプロバイダネット
ワークのサービスおよびＡＰＩによって提供される、様々なネットワーキングプリミティ
ブ間の共通の関係および相互作用を表すルールを含み得る。したがって、実施形態は、プ
ロバイダネットワーク環境において仮想ネットワーキングがどのように働くかの論理を記
述する仮想ネットワーキングルール９３８を１つの場所またはファイルに備えることがで
きる。

実施形態によっては、仮想ネットワーク検証サービス９３０は、ペイメントカード業界
データセキュリティ基準（ＰＣＩ ＤＳＳ）、米国連邦リスクおよび承認管理プログラム
（ＦｅｄＲＡＭＰ）基準、または医療保険の相互運用性と説明責任に関する法律（ＨＩＰ
ＰＡ）基準などのネットワーキングセキュリティ基準のためのルールを得て、符号化する
ことができ、それにより、ネットワーキングセキュリティ基準を検証するためのルールを
含む仮想ネットワーキングルール９３８のセットが実装され得る。実施形態によっては、
仮想ネットワーク検証サービス９３０は、クライアントの仮想ネットワークが特定の標準
に準拠していることを検証するためにクライアントによって選択的に使用され得る、様々
なネットワーキングセキュリティ基準をそれぞれが符号化する、仮想ネットワーキングル
ール９３８の２つ以上の異なるセットを提供することができる。実施形態によっては、仮
想ネットワーク検証サービス９３０は、クライアントの内部セキュリティ基準、ベストプ
ラクティス、または他のネットワーキング要件を符号化するカスタムルールをクライアン
トが定義することを可能にすることができ、それにより、それらの特定の仮想ネットワー
クに適用するようにクライアントによって定義されたカスタムルールを含む、仮想ネット
ワーキングルール９３８のセットが実装され得る。

図９の（２）において、サービス９３０のクエリ処理９６０ロジックは、仮想ネットワ
ーキングルール９３８に従って仮想ネットワークについて解決されるべきクエリをクライ
アントから受信することができる。実施形態によっては、クライアントは、グラフィカル
インターフェースまたはコマンドラインインターフェース（ＣＬＩ）を介して、プロバイ
ダネットワーク上でクライアントの仮想ネットワークについてのクエリをサービスＡＰＩ
９３２に提供することができる。実施形態によっては、クエリは、ＳＱＬに類似している
がネットワーク構成に適用される表出型言語で提示され得る。あるいは、実施形態によっ
ては、クエリは、人に分かりやすい形で提示され得る。クエリ例は、図８に関連して上に
説明されている。

図９の（３Ａ）および（３Ｂ）において、サービス９３０の記述符号化９７０ロジック
は、仮想ネットワークの記述を得て（３Ａ）、符号化する（３Ｂ）ことができる。実施形
態によっては、サービス９３０の記述符号化９７０ロジックは、仮想ネットワークについ
ての記述情報を得て（３Ａ）、記述符号化９７０ロジックが受信する各クエリに対して、
符号化された記述９４０として、記述情報をエンコードし（３Ｂ）、クエリを解決する際
に記述９４０が最新のものであることを保証する。しかし、実施形態によっては、記述符
号化９７０ロジックは、仮想ネットワークについての記述情報を得て、符号化し、符号化
された記述９４０を使用して２つ以上のクエリを処理することができる。図９の（３Ａ）
において、サービス９３０の記述符号化９７０ロジックは、クライアントの仮想ネットワ
ークについての記述情報を得る。記述情報は、例えば、仮想ネットワークに実装されてい
るネットワーキングプリミティブのインスタンスを特定し、様々なインスタンスの記述（
例えば、インスタンスに割り当てられた役割、インスタンスに与えられたまたは与えられ
ていないパーミッション、インスタンスに割り当てられたＩＰアドレスなど）を含み、イ
ンスタンス間の関係（例えば、インスタンス間のパスなど）を記述し、また外部エンティ
ティへのインターフェースまたはアクセスポイントを記述することができる。実施形態に
よっては、クライアントは、仮想ネットワークから記述情報を得て、その記述情報を仮想
ネットワーク検証サービスに提供することができる。あるいは、実施形態によっては、ク
ライアントは、仮想ネットワーク検証サービス９３０がクエリに応答して、仮想ネットワ
ークから記述情報を直接得ることを可能にするパーションを仮想ネットワーク検証サービ
ス２３０に与えることができる。図９の（３Ｂ）において、サービス９３０の記述符号化
９７０ロジックは、宣言型論理プログラミング言語に従って、得られた記述情報を論理プ
ログラムとして符号化することができる。

図９の（４）において、サービス９３０のクエリ処理９６０ロジックは、クエリを制約
ソルバ９３６に提供することができる。制約ソルバ９３６は、符号化されたルール９３８
に従って、符号化された記述９４０に対するクエリによって表された制約問題を解決し、
（５Ａ）において、結果（例えば、クエリによって提示された質問に対する回答）を、結
果をフォーマットするクエリ処理９６０に提供し、（５Ｂ）において、フォーマットされ
た結果をＡＰＩ９３２を介してクライアントに提供する。フォーマットされた結果は、文
字形式結果（例えば、「ＹＥＳ」、「ＮＯ」、「ＴＲＵＥ」、または「ＦＡＬＳＥ」など
のクエリによって提示された制約に対する回答を表すテキスト、クエリによって提示され
た制約を満たすインスタンスのリストなど）、および／またはグラフィカル結果（例えば
、クエリを解決することによって判定された２つ以上のインスタンス間の関係のグラフィ
カル表現、クエリを解決することによって特定された仮想ネットワーク特定インスタンス
のグラフィカル表現など）を含み得る。

図１０は、いくつかの実施形態による、仮想ネットワークについての情報をプロバイダ
ネットワークのクライアントに提供するための方法のフローチャートである。１０００に
示されるように、仮想ネットワーキングルールが得られ、符号化され得る。符号化される
ルールは、サービスプロバイダから、クライアントから、または他の外部のエンティティ
もしくは情報源から得られ得る。仮想ネットワーキングルールは、プロバイダネットワー
ク上の仮想ネットワークで使用されるネットワーキングプリミティブのための仮想ネット
ワーキングセマンティクスおよび論理を表すことができる。実施形態によっては、仮想ネ
ットワーキングルールは、ペイメントカード業界データセキュリティ基準（ＰＣＩ ＤＳ
Ｓ）、米国連邦リスクおよび認可管理プログラム（ＦｅｄＰＡＭＰ）基準、または医療保
険の相互運用性と説明責任に関する法律（ＨＩＰＡＡ）などのネットワーキングセキュリ
ティ基準のためのルールを表し得る。実施形態によっては、仮想ネットワーキングルール
は、クライアントの内部セキュリティ基準または他のネットワーキング要件を表すクライ
アント定義ルールを含み得る。符号化されたルール例は、本明細書において後で示される
。

１０１０に示されるように、仮想ネットワーク検証サービスは、クライアント（ネット
ワーク到達可能性アナライザなど）から仮想ネットワークについてのクエリを受信するこ
とができる。実施形態では、コンソール上のサービスへのグラフィカルインターフェース
を介して、またはコマンドラインインターフェース（ＣＬＩ）を介して、クライアントが
仮想ネットワーク検証サービスを使用して、プロバイダネットワーク上のクライアントの
仮想ネットワークについての質問（再帰的クエリを含むクエリとして提示される）に対す
る回答を得ることができる。実施形態によっては、クエリは、ＳＱＬに類似しているがネ
ットワーク構成に適用される表出型言語で提示され得る。あるいは、実施形態によっては
、クエリは、人に分かりやすい形で提示され得る。クエリ例は、図８に関連して上に説明
されている。

１０２０に示されるように、仮想ネットワーク検証サービスは、仮想ネットワークにつ
いての記述情報を得て、符号化することができる。記述情報は、例えば、仮想ネットワー
クに実装されているネットワーキングプリミティブのインスタンスを特定し、インスタン
スの記述（例えば、計算インスタンスに割り当てられた役割、リソースインスタンスに与
えられたまたは与えられていないパーミッション、インスタンスに割り当てられたＩＰア
ドレスなど）を含み、インスタンス間の関係（例えば、インスタンス間のパス）を記述し
、また外部エンティティ（例えば、仮想ネットワークの外部のエンティティによってアク
セスされ得る計算インスタンス）へのインターフェースまたはアクセスポイントを記述す
ることができる。実施形態によっては、クライアントは、仮想ネットワークから記述情報
を得て、その記述情報を仮想ネットワーク検証サービスに提供することができる。あるい
は、実施形態によっては、クライアントは、仮想ネットワーク検証サービスが仮想ネット
ワークから記述情報を直接得ることを可能にするパーミッションを、仮想ネットワーク検
証サービスに与えることができる。仮想ネットワーク検証サービスは、宣言型論理プログ
ラミング言語（例えば、Ｄａｔａｌｏｇ）に従って記述情報を論理プログラムとして符号
化することができる。

１０３０に示されるように、仮想ネットワーク検証サービスは、宣言型論理プログラミ
ング言語（例えば、Ｄａｔａｌｏｇ）制約ソルバエンジンを使用して、符号化された仮想
ネットワーキングルールに従って、符号化された記述に対するクエリを解決し得る。１０
４０に示されるように、クエリ解決の結果（例えば、クエリによって提示された質問に対
する回答）がフォーマットされ、クライアントに提供され得る。フォーマットされた結果
は、文字形式結果（例えば、「ＹＥＳ」、「ＮＯ」、「ＴＲＵＥ」、または「ＦＡＬＳＥ
」などのクエリによって提示された制約に対する回答を表すテキスト、クエリによって提
示された制約を満たすインスタンスのリストなど）、および／またはグラフィカル結果（
例えば、クエリを解決することによって判定された２つ以上のインスタンス間の関係のグ
ラフィカル表現、クエリを解決することによって特定された仮想ネットワーク特定インス
タンスのグラフィカル表現など）を含み得る。

要素１０４０から要素１０１０に戻る矢印によって示されるように、要素１０１０～１
０４０を繰り返し行って、クライアントの仮想ネットワークについての複数のクエリを提
示し、解決することができる。実施形態によっては、例えば、クライアントは、一連のク
エリを含むスクリプトを書いて、そのスクリプトを実行してクエリを仮想ネットワーク検
証サービスに提示し、またそこから結果を受信することができる。図１０に示すように、
実施形態によっては、仮想ネットワーク検証サービスは、仮想ネットワークについての記
述情報を得て、仮想ネットワーク検証サービスが受信する各クエリに対して記述情報を符
号化された記述として符号化し、クエリを解決する際に記述が最新のものであることを保
証することができる。しかし、実施形態によっては、仮想ネットワーク検証サービスは、
仮想ネットワークについての記述情報を取て、符号化し、符号化された記述を使用して２
つ以上のクエリを処理することができる。

図１１は、いくつかの実施形態による、クライアントが記述情報およびクエリを仮想ネ
ットワーク検証サービスに提供する、プロバイダネットワークのクライアントに仮想ネッ
トワークについての情報を提供するための方法のフローチャートである。１１００に示さ
れるように、クライアント（ネットワーク到達可能性アナライザなど）は、例えばプロバ
イダネットワークサービスＡＰＩによって提供されるＤＥＳＣＲＩＢＥコールを使用して
、仮想ネットワークから記述情報を得る。１１１０に示されるように、クライアントが、
仮想ネットワーク検証サービスにクエリおよび記的情報を送信する。１１２０に示される
ように、検証サービスが、仮想ネットワークについての記述情報を符号化する。１１３０
に示されるように、検証サービスが、制約ソルバエンジンを使用して、符号化された仮想
ネットワークルールに従って、符号化された記述に対するクエリを解決する。１１４０に
示されるように、仮想ネットワーク検証サービスは、クエリ解決の結果をクライアントに
提供する。

図１２は、いくつかの実施形態による、クライアントが、記述情報、および仮想ネット
ワークにアクセスするためのパーミッションを仮想ネットワーク検証サービスに提供する
、プバイダネットワークのクライアントに仮想ネットワークについての情報を提供する方
法のフローチャートである。１２００に示されるように、クライアント（ネットワーク到
達可能性アナライザなど）が、サービスが仮想ネットワークから記述的情報を得ることを
可能にするパーミッション、例えば、仮想ネットワークを記述するメタデータを維持する
１つ以上のプロバイダネットワークサービスへのＤＥＳＣＲＩＢＥコールを使用して、仮
想ネットワークについての情報を得るためのパーミッションを、仮想ネットワーク検証サ
ービスに与える。１２１０に示されるように、クライアントが、仮想ネットワーク検証サ
ービスにクエリを送信する。１２２０に示されるように、仮想ネットワーク検証サービス
が、例えば、仮想ネットワークを記述するメタデータを維持する１つ以上のプロバイダネ
ットワークサービスへのＤＥＳＣＲＩＢＥコールを使用して、仮想ネットワークから記述
情報を得る。１２３０に示されるに、仮想ネットワーク検証サービスが仮想ネットワーク
についての記述情報を符号化する。１２４０に示されるように、仮想ネットワーク検証サ
ービスが、制約ソルバエンジンを使用して、ルールに従って、符号化された記述に対する
クエリを解決する。１２５０に示されるように、仮想ネットワーク検証サービスは、クエ
リ解決の結果をクライアントに提供する。

図１３は、いくつかの実施形態による、２つ以上のピア型仮想ネットワークを含む、プ
ロバイダネットワーク環境におけるクライアントの仮想ネットワーク実装形態を示す。図
１３は、本明細書で説明される、仮想ネットワーク検証サービス１３３０において使用さ
れ得る仮想ネットワーキングルール例を部分的に説明するために提供される。図１３に示
されるように、プロバイダネットワーク１３００上のクライアントの仮想ネットワーク実
装形態１３１０は、２つ以上の仮想ネットワーク１３２０を含み得る。図１３は、クライ
アントの仮想ネットワーク実装形態１３１０における２つの仮想ネットワーク１３２０Ａ
および１３２０Ｂを示す。実施形態によっては、仮想ネットワーク１３２０Ａおよび１３
２０Ｂは、それぞれ１つ以上のサブネットを含み得、セキュリティグループは、仮想ネッ
トワーク１３２０Ａおよび１３２０内に確立され得る。ネットワークエンドポイント１３
２２Ａおよび１３２２Ｂは、それぞれの仮想ネットワーク１３２０Ａおよび１３２０Ｂに
おけるネットワーキングプリミティブの様々なインスタンス（例えば、リソースインスタ
ンス）のネットワークインターフェースを表す。仮想ネットワーク１３２０Ａおよび１３
２０Ｂ上のインスタンスがインターネットなどの外部ネットワーク１３５０を横断する必
要なしにプロバイダネットワーク１３００にわたって安全に通信することを可能にするピ
アリング接続１３２４が、仮想ネットワーク１３２０Ａと１３２０Ｂとの間にプロバイダ
ネットワーク１３００にわたって確立され得る。

「プライベートルーティング」のルール例を以下に示す。これらの例は、限定的である
ことを意図するものではない。これらの例で使用される「ルーティング」とは、ファイア
ウォールなしで、ＩＰパケットが１つのエンドポイントから別のエンドポイントに流れる
ことができるかどうかを意味する。仮想ネットワーク実装形態１３１０内の２つのエンド
ポイント間のルーティングは、「プライベートルーティング」と呼ばれることがある。仮
想ネットワーク実装形態１３１０において、両方のエンドポイントが同じ仮想ネットワー
ク１３２０にあるか、または異なる仮想ネットワーク１３２０にあるかに応じて、このル
ールは、異なる可能性がある。以下では、仮想ネットワーク実装形態１３１０においてパ
ケットが２つのエンドポイント間を流れ得るかどうかを判断するための記述的論理プログ
ラミング言語に従うルール例を記述する。
ｒｏｕｔａｂｌｅ－ｐｒｉｖａｔｅ：ｅｎｄｐｏｉｎｔ－＞ｅｎｄｐｏｉｎｔ－＞ｔｙ
ｐｅ
－：ｒｏｕｔａｂｌｅ－ｐｒｉｖａｔｅ Ｅｎｄｐｏｉｎｔ１ Ｅｎｄｐｏｉｎｔ２
＜－ｒｏｕｔａｂｌｅ－ｐｒｉｖａｔｅ－ｏｎｅ－ｗａｙ Ｅｎｄｐｏｉｎｔ１ Ｅ
ｎｄｐｏｉｎｔ２
＜－ｒｏｕｔａｂｌｅ－ｐｒｉｖａｔｅ－ｏｎｅ－ｗａｙ Ｅｎｄｐｏｉｎｔ２ Ｅ
ｎｄｐｏｉｎｔ１

最初の行は、エンドポイントのタイプを定義する。Ｅｎｄｐｏｉｎｔ１およびＥｎｄｐ
ｏｉｎｔ２は、変数である。（ｒｏｕｔａｂｌｅ－ｐｒｉｖａｔｅ－ｏｎｅ－ｗａｙ Ｅ
ｎｄｐｏｉｎｔ１ Ｅｎｄｐｏｉｎｔ２）および（ｒｏｕｔａｂｌｅ－ｐｒｉｖａｔｅ－
ｏｎｅ－ｗａｙ Ｅｎｄｐｏｉｎｔ２ Ｅｎｄｐｏｉｎｔ１）が両方とも真の場合、ルー
ル（ｒｏｕｔａｂｌｅ－ｐｒｉｖａｔｅ Ｅｎｄｐｏｉｎｔ１ Ｅｎｄｐｏｉｎｔ２）は
、真と評価される（そうでなければ偽）。仮想ネットワーク１３２０内のエンドポイント
間のルーティングでは、ルールｒｏｕｔａｂｌｅ－ｐｒｉｖａｔｅ－ｏｎｅ－ｗａｙは、
以下のように定義され得る。
ｒｏｕｔａｂｌｅ－ｐｒｉｖａｔｅ－ｏｎｅ－ｗａｙ：ｅｎｄｐｏｉｎｔ－＞ｅｎｄｐ
ｏｉｎｔ －＞ｔｙｐｅ
－：ｒｏｕｔａｂｌｅ－ｐｒｉｖａｔｅ－ｏｎｅ－ｗａｙ Ｅｎｄｐｏｉｎｔ１ Ｅｎ
ｄｐｏｉｎｔ２
＜－ｅｎｄｐｏｉｎｔ－ｈａｓ－ｖｉｒｔｕａｌ－ｎｅｔｗｏｒｋ Ｅｎｄｐｏｉｎ
ｔ１ Ｖｎｅｔｗｏｒｋ
＜－ｅｎｄｐｏｉｎｔ－ｈａｓ－ｖｉｒｔｕａｌ－ｎｅｔｗｏｒｋ Ｅｎｄｐｏｉｎ
ｔ２ Ｖｎｅｔｗｏｒｋ

Ｅｎｄｐｏｉｎｔ１およびＥｎｄｐｏｉｎｔ２は、変数である。Ｖｎｅｔｗｏｒｋは、
同じ変数である（すなわち、同じ仮想ネットワーク１３２０を示す）。このルールは、Ｅ
ｎｄｐｏｉｎｔ１およびＥｎｄｐｏｉｎｔ２の両方が同じ仮想ネットワーク１３２０内に
ある場合には真（そうでない場合には偽）と評価する。

ピアリング接続１３２４を通した、様々な仮想ネットワーク１３２０内のエンドポイン
ト２０２２間のルーティングでは、ルールｒｏｕｔａｂｌｅ－ｐｒｉｖａｔｅ－ｏｎｅ－
ｗａｙは、以下のように定義され得る。「／／」で始まるテキストは、コメントである。
－：ｒｏｕｔａｂｌｅ－ｐｒｉｖａｔｅ－ｏｎｅ－ｗａｙ Ｅｎｄｐｏｉｎｔ１ Ｅｎ
ｄｐｏｉｎｔ２
／／エンドポイントのＩＰを調べる
＜－ｅｎｄｐｏｉｎｔ－ｈａｓ－ｐｒｉｖａｔｅ－ｉｐ Ｅｎｄｐｏｉｎｔ１ Ｉｐ
１
＜－ｅｎｄｐｏｉｎｔ－ｈａｓ－ｐｒｉｖａｔｅ－ｉｐ Ｅｎｄｐｏｉｎｔ１ Ｉｐ
２
／／エンドポイントの仮想ネットワークを調べる
＜－ｅｎｄｐｏｉｎｔ－ｈａｓ－ｖｉｒｔｕａｌ－ｎｅｔｗｏｒｋ Ｅｎｄｐｏｉｎ
ｔ１ Ｖｎｅｔｗｏｒｋ１
＜－ｅｎｄｐｏｉｎｔ－ｈａｓ－ｖｉｒｔｕａｌ－ｎｅｔｗｏｒｋ Ｅｎｄｐｏｉｎ
ｔ２ Ｖｎｅｔｗｏｒｋ２
／／ピアリングのＣＩＤＲ（クラスレスドメイン間ルーティング）を調べる
＜－ｐｅｅｒｅｄ－ｃｉｄｒｓ Ｐｃｘ Ｖｎｅｔｗｏｒｋ１ Ｃｉｄｒ１ Ｖｎｅ
ｔｗｏｒｋ２ Ｃｉｄｒ２
／／ソースエンドポイントのルートテーブルを調べる
＜－ｅｎｄｐｏｉｎｔ－ｈａｓ－ｒｔｂ Ｅｎｄｐｏｉｎｔ１ Ｒｔｂ１
／／テーブル内のルートのＣＩＤＲを調べ、そのルートが有効であるか確認する
＜－ａｔｏｍ／ｐｃｘ－ｒｏｕｔｅ Ｒｔｂ１ Ｐｃｘ Ｃｉｄｒ３ ｒｏｕｔｅ－
ｓｔａｔｅ／ａｃｔｉｖｅ
／／３つのＣＩＤＲすべてがそれぞれのＩＰと一致することを確認する
＜－ｃｉｄｒ－ｍａｔｃｈｅｓ－ｐｒｉｖａｔｅ－ｉｐ Ｃｉｄｒ１ Ｉｐ１
＜－ｃｉｄｒ－ｍａｔｃｈｅｓ－ｐｒｉｖａｔｅ－ｉｐ Ｃｉｄｒ２ Ｉｐ２
＜－ｃｉｄｒ－ｍａｔｃｈｅｓ－ｐｒｉｖａｔｅ－ｉｐ Ｃｉｄｒ３ Ｉｐ２

図１４は、いくつかの実施形態による、プロバイダネットワーク上の仮想ネットワーク
例内のサブネットおよびセキュリティグループを示す。上で述べたように、ネットワーク
到達可能性アナライザは、セキュリティグループに変更を行うことを含め、ポートを閉じ
る、かつ／またはポートを到達不能にするという是正措置を勧告する、かつ／または行う
ことができる。実施形態によっては、プロバイダネットワークは、クライアントが、クラ
イアントの仮想ネットワーク１４１０内に、サブネット１４１４内に、またはサブネット
１４１４にわたって、仮想セキュリティグループ１４１６を確立し、管理することを可能
にし得る。一実施形態において、セキュリティグループ１４１６は、リソースインスタン
ス１４１８の論理上のグループ化であり、セキュリティグループルールに従って、セキュ
リティグループ１４１６内の１つ以上のリソースインスタンス１４１８に到達することを
許されたトラフィックを制御する仮想ファイアウォールとして機能する。クライアントは
、仮想ネットワーク１４１０内に１つ以上のセキュリティグループ１４１６を確立し、仮
想ネットワーク１４１０内の各リソースインスタンス１４１８をセキュリティグループ１
４１６のうちの１つ以上に関連付けることができる。実施形態によっては、クライアント
は、セキュリティグループ１４１６に関連付けられたリソースインスタンス１４１８に到
達することを許されたインバウンドトラフィックを制御する各セキュリティグループ１４
１６に対するルールを確立し、かつ／または修正することができる。

図１４に示される仮想ネットワーク例１４１０では、仮想ネットワークは１４１０は、
２つのサブネット１４１４Ａと１４１４Ｂとに細分される。仮想ネットワーク１４１０へ
のアクセスは、ゲートウェイ１４３０によって制御される。各サブネット１４１４は、そ
れぞれのサブネット１４１４上のリソースインスタンス１４１８へ（また、それから）ト
ラフィックを送るように働く少なくとも１つのルータ１４１２を含み得る。実施形態によ
っては、ネットワークアクセス制御リスト（ＡＣＬ）を使用して、ルータ１４１２におい
てサブネット１４１４へのアクセスを制御することができる。図１４に示される例では、
リソースインスタンス１４１８Ａ～１４１８Ｅがサブネット１４１４Ａ上にあり、リソー
スインスタンス１４１８Ｆ～１４１８Ｊがサブネット１４１４Ｂ上にある。クライアント
は、４つのセキュリティグループ１４１６Ａ～１４１６Ｄを確立している。図１４に示さ
れるように、セキュリティグループは、サブネット１４１４Ａ上のリソースインスタンス
１４１８Ａおよび１４１８Ｂとサブネット１４１４Ｂ上のリソースインスタンス１４１８
Ｆとを含むセキュリティグループ１４１６Ａがそうであるように、サブネット１４１４に
わたって延在し得る。また、リソースインスタンス１４１８は、セキュリティグループ１
４１６Ａおよび１４１６Ｂに含まれるリソースインスタンス１４１８Ａがそうであるよう
に、２つ以上のセキュリティグループ１４１６に含まれ得る。

例示的なコンピュータシステム
少なくともいくつかの実施形態では、本明細書に記載の技術のうちの１つ以上の一部ま
たは全部を実装するコンピュータシステムは、１つ以上のコンピュータ可読媒体を含むか
、またはそれにアクセスするように構成されるコンピュータシステムを含み得る。図１５
は、そのようなコンピューティングデバイス１５００を示している。図示の実施形態では
、コンピューティングデバイス１５００は、入力／出力（Ｉ／Ｏ）インターフェース１５
３０を介してシステムメモリ１５２０に結合された１つ以上のプロセッサ１５１０Ａ－１
５１０Ｎを含む。コンピューティングデバイス１５００は、Ｉ／Ｏインターフェース１５
３０に結合されたネットワークインターフェース１５４０をさらに含む。

様々な実施形態において、コンピューティングデバイス１５００は、１つのプロセッサ
を含む単一プロセッサシステム、またはいくつかのプロセッサ１５１０Ａ～１５１０Ｎ（
例えば、２、４、８、または別の適切な個数）を含むマルチプロセッサシステムであり得
る。プロセッサ１５１０Ａ～１５１０Ｎは、命令を実行することができる任意の適切なプ
ロセッサを含み得る。例えば、様々な実施形態において、プロセッサ１５１０Ａ～１５１
０Ｎは、ｘ８６、ＰｏｗｅｒＰＣ、ＳＰＡＲＣ、もしくはＭＩＰＳ ＩＳＡなどの様々な
命令セットアーキテクチャ（ＩＳＡ：Ｉｎｓｔｒｕｃｔｉｏｎ Ｓｅｔ Ａｒｃｈｉｔｅ
ｃｔｕｒｅ）のいずれか、または他のいずれかのＩＳＡを実装するプロセッサであり得る
。マルチプロセッサシステムでは、プロセッサ１５１０Ａ～１５１０Ｎのそれぞれは、通
常、同じＩＳＡを実装することができるが、必ずしもそうとは限らない。

システムメモリ１５２０は、プロセッサ１５１０Ａ～１５１０Ｎによってアクセス可能
なプログラム命令およびデータを格納するように構成され得る。様々な実施形態において
、システムメモリ１５２０は、スタティックランダムアクセスメモリ（ＳＲＡＭ：Ｓｔａ
ｔｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、シンクロナスダイナミックＲＡ
Ｍ（ＳＤＲＡＭ：Ｓｙｎｃｈｒｏｎｏｕｓ Ｄｙｎａｍｉｃ ＲＡＭ）、不揮発性／フラ
ッシュ型メモリ、または任意の他のタイプのメモリなどの任意の適切なメモリテクノロジ
ーを使用して実装され得る。図示の実施形態では、上記のこれらの方法、技法、およびデ
ータなど、１つ以上の望ましい機能を実装するプログラム命令およびデータが、コード（
すなわち、プログラム命令）１５２５およびデータ１５２６としてシステムメモリ１５２
０内に格納されて示されている。図示の実施形態では、システムメモリ１５２０は、上で
述べたネットワークセキュリティ評価装置１００の態様を実装するプログラムコードおよ
びデータも格納する。

ある実施形態では、Ｉ／Ｏインターフェース１５３０は、プロセッサ１５１０Ａ～１５
１０Ｎと、システムメモリ１５２０と、ネットワークインターフェース１５４０または他
の周辺インターフェースを含むデバイス内の任意の周辺デバイスと、の間のＩ／Ｏトラフ
ィックを調整するように構成され得る。実施形態によっては、Ｉ／Ｏインターフェース１
５３０は、ある構成要素（例えば、システムメモリ１５２０）からのデータ信号を別の構
成要素（例えば、プロセッサ１５１０Ａ～１５１０Ｎ）による使用に適したフォーマット
に変換するために必要ないかなるプロトコル、タイミング、または他のデータの変換も行
うことができる。実施形態によっては、Ｉ／Ｏインターフェース１５３０は、例えば、周
辺コンポーネント相互接続（ＰＣＩ：Ｐｅｒｉｐｈｅｒａｌ Ｃｏｍｐｏｎｅｎｔ Ｉｎ
ｔｅｒｃｏｎｎｅｃｔ）バス規格またはユニバーサルシリアルバス（ＵＳＢ：Ｕｎｉｖｅ
ｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）規格の一種など、様々なタイプの周辺バスを通して付
設されたデバイスへのサポートを含み得る。実施形態によっては、Ｉ／Ｏインターフェー
ス１５３０の機能は、例えば、ノースブリッジおよびサウスブリッジなどの２つ以上の別
々の構成要素に分割され得る。また、実施形態によっては、システムメモリ１５２０への
インターフェースなど、Ｉ／Ｏインターフェース１５３０の機能性の一部または全部が、
プロセッサ１５１０Ａ～１５１０Ｎに直接組み込まれ得る。

ネットワークインターフェース１５４０は、コンピューティングデバイス１５００と、
１つまた複数のネットワーク１５５０に付設された他のデバイス１５６０との間でデータ
を交換することを可能にするように構成され得る。様々な実施形態において、ネットワー
クインターフェース１５４０は、例えば、イーサネットネットワーク型など、任意の適切
な有線または無線の一般的なデータネットワークを介した通信に対応することができる。
さらに、ネットワークインターフェース１５４０は、アナログ音声ネットワークもしくは
デジタルファイバ通信ネットワークなどの電気通信／電話ネットワーク、ファイバチャネ
ルＳＡＮなどのストレージエリアネットワーク、または他の任意の適切なタイプのネット
ワークおよび／もしくはプロトコルを介した通信に対応することができる。

実施形態によっては、システムメモリ１５２０は、対応する方法および装置の実施形態
を実装するための上記のようなプ ログラム命令およびデータを格納するように構成され
たコンピュータ可読（すなわち、コンピュータアクセス可能）媒体の一実施形態であり得
る。例えば、システムメモリ１５２０は、ネットワークセキュリティ評価装置１００に関
連するプログラムコードおよびデータを格納することができる。実施形態によっては、プ
ログラム命令および／またはデータは、様々なタイプのコンピュータ可読媒体上で受信さ
れ、送信され、または格納され得る。一般的に言えば、コンピュータ可読媒体は、Ｉ／Ｏ
インターフェース１５３０を介してコンピューティングデバイス１５００に結合された磁
気または光学媒体、例えばディスクまたはＤＶＤ／ＣＤなどの非一時的記憶媒体またはメ
モリ媒体を含み得る。非一時的コンピュータ可読記憶媒体は、システムメモリ１５２０ま
たは別のタイプのメモリとしてコンピューティングデバイス１５００のいくつかの実施形
態に含まれ得る、ＲＡＭ（例えば、ＳＤＲＡＭ、ＤＤＲ ＳＤＲＡＭ、ＲＤＲＡＭ、ＳＲ
ＡＭなど）、ＲＯＭなどの任意の揮発性媒体または不揮発性媒体も含み得る。さらに、コ
ンピュータ可読媒体は、伝送媒体、またはネットワークインターフェース１５４０を介し
て実装され得るような、ネットワークおよび／または無線リンクなどの通信媒体を介して
伝達される、電気信号、電磁信号、もしくはデジタル信号などの信号を含み得る。図１５
に示されるものなどの複数のコンピューティングデバイスの一部またはすべてを使用して
、様々な実施形態において、記載の機能性を実装することができ、例えば、様々な異なる
デバイスおよびサーバで実行されるソフトウェアコンポーネントが連携して機能性を提供
し得る。実施形態によっては、記載の機能性の一部は、記憶装置デバイス、ネットワーク
デバイス、または様々なタイプのコンピュータシステムを使用して実装され得る。本明細
書で使用される際、「コンピューティングデバイス（ｃｏｍｐｕｔｉｎｇ ｄｅｖｉｃｅ
）」という用語は、少なくともこれらのタイプのデバイスのすべてを指すが、これらのタ
イプのデバイスに限定されるものではない。

図面に示され、本明細書で説明される様々な方法は、方法の実施形態の例を表す。方法
は、ソフトウェア、ハードウェア、またはそれらの組み合わせで実装され得る。方法のう
ちの様々な方法で、ステップの順序が変更され得、様々な要素の追加、並べ替え、組み合
わせ、省略、修正などが可能である。ステップのうちの様々なステップが自動的に（例え
ば、ユーザ入力によって直接促されることなく）、かつ／またはプログラムによって（例
えば、プログラム命令に従って）行われ得る。

本開示の実施形態は、以下の条項によって記述され得る。
１．システムであって、
ネットワークセキュリティ評価装置を実装するように構成された１つ以上のコンピュー
ティングデバイスを備え、前記ネットワークセキュリティ評価装置が、
ホストコンピュータを含むネットワークに対して、ネットワーク構成データの１つ以
上のクエリを生成することであって、前記１つ以上のクエリがクエリ言語で表され、前記
１つ以上のクエリが、少なくとも部分的にルールのセットに基づいて生成される、生成す
ることと、
開いており、かつ前記ネットワークの外側から到達可能である、前記ホストコンピュ
ータにある１つ以上のポートを判定することであって、前記１つ以上のポートが、前記１
つ以上のクエリの結果に少なくとも部分的に基づいて判定される、判定することと、
前記１つ以上のポートをリッスンしている１つ以上のプロセスを判定することであっ
て、前記１つ以上のプロセスが、前記ホストコンピュータにインストールされたエージェ
ントを使用して判定される、判定することと、
前記１つ以上のポートおよび前記１つ以上のプロセスを記述したレポートを生成する
ことと、を行うように、構成されている、システム。
２．前記ネットワークセキュリティ評価装置が、
前記ネットワークの外側から前記１つ以上のポートへの１つ以上のルートを判定決およ
び報告するようにさらに構成されている、条項１に記載のシステム。
３．前記ネットワークセキュリティ評価者が、
前記１つ以上のポートを、開いており、かつ前記ネットワークの外側から到達可能であ
るようにする、１つ以上の構成設定を判定および報告するようにさらに構成されている、
条項１または２のいずれか一項に記載のシステム。
４．前記ネットワークセキュリティ評価装置が、
行われる場合、前記ポートのうちの１つ以上を閉じるか、または前記ポートのうちの１
つ以上を前記ネットワークの外側から到達不能にする、１つ以上の是正措置を判定および
報告するようにさらに構成されている、条項１から３のいずれか一項に記載のシステム。
５．１つ以上のコンピューティングデバイスによって行われるコンピュータ実装方法で
あって、
コンピューティングデバイスを含むネットワークに対して、ネットワーク構成データの
分析を行うことと、
別のコンピューティングデバイスから到達可能である前記コンピューティングデバイス
にある１つ以上のポートを判定することであって、前記１つ以上のポートが前記分析に少
なくとも部分的に基づいて判定される、判定することと、
前記１つ以上のポートへの１つ以上のルートを判定することであって、前記１つ以上の
ルートが、少なくとも部分的に前記分析に基づいて判定される、判定することと、
前記１つ以上のポートおよび前記１以上のルートを記述するレポートを生成することと
、を含む、コンピュータ実装方法。
６．
前記１つ以上のポートをリッスンしている１つ以上のプロセスを判定および報告するこ
とであって、前記１つ以上のプロセスが、前記コンピューティングデバイスにインストー
ルされたエージェントソフトウェアを使用して判定される、ことをさらに含む、条項５に
記載の方法。
７．
前記１つ以上のポートを到達可能であるようにする、１つ以上の構成設定を判定および
報告することをさらに含む、条項５または６のいずれか一項に記載の方法。
８．
行われる場合、前記ポートのうちの１つ以上を到達不能にする、１つ以上の是正措置を
判定および報告することをさらに含む、条項５から７のいずれか一項に記載の方法。
９．
ユーザーインターフェイスに、選択された場合に前記是正措置のうちの少なくとも１つ
が行われるようにする、１つ以上のインターフェース要素を表示することをさらに含む、
条項８に記載の方法。
１０．前記分析が、前記ネットワーク構成データの１つ以上のクエリに少なくとも部分
的に基づいて行われ、前記１つ以上のクエリが、クエリ言語で表され、前記１つ以上のク
エリが、少なくとも部分的にルールのセットに基づいて生成される、条項５から９のいず
れか一項に記載の方法。
１１．前記１つ以上のポートにパケットを送信せずに、前記１つ以上のポートが判定さ
れる、条項５から１０のいずれか一項に記載の方法。
１２．
追加のコンピューティングデバイスから前記１つ以上のポートに１つ以上のパケットを
送信することにより、前記１つ以上のポートが到達可能であることを検証することをさら
に含む、条項５から１１のいずれか一項に記載の方法。
１３．プログラム命令を格納するコンピュータ可読記憶媒体であって、前記プログラム
命令が、
ホストコンピュータを含むネットワークに対して、ネットワーク構成データの分析を行
うことと、
開いており、かつ別のコンピュータから到達可能である、前記ホストコンピュータにあ
る１つまたは複数のポートを判定することであって、前記１つ以上のポートが、少なくと
も部分的に前記分析の結果に基づいて判定される、判定することと、
前記１つ以上のポートをリッスンしている１つ以上のプロセスを判定することであって
、前記１つ以上のプロセスが、前記ホストコンピュータにインストールされたエージェン
トを使用して判定される、判定することと、
前記１つ以上のポートおよび前記１つ以上のプロセスを記述したレポートを生すること
と、を行うようにコンピュータ実行可能である、コンピュータ可読記憶媒体。
１４．前記プログラム命令が、
前記１つ以上のポートをリッスンしている１つ以上のプロセスを判定および報告するこ
とであって、前記１つ以上のプロセスが、ホストコンピュータにインストールされたエー
ジェントソフトウェアを使用して判定される、判定および報告すること、を行うようにさ
らにコンピュータ実行可能である、条項１３に記載のコンピュータ可読記憶媒体。
１５．前記プログラム命令が、
前記１つ以上のポートを開いており、かつ到達可能であるようにする、１つ以上の構成
設定を判定および報告すること、を行うようにさらにコンピュータ実行可能である、条項
１３または１４のいずれか一項に記載のコンピュータ可読記憶媒体。
１６．前記プログラム命令が、
行われる場合、前記ポートのうちの１つ以上を閉じるか、または前記ポートのうちの１
つ以上を到達不能にする、１つ以上の是正措置を判定および報告すること、を行うように
、さらにコンピュータ実行可能である、条項１３から１５のいずれか一項に記載のコンピ
ュータ可読記憶媒体。
１７．前記プログラム命令が、
ユーザーインターフェイスに、選択された場合に前記是正措置のうちの少なくとも１つ
が行われるようにする、１つ以上のインターフェース要素を表示することをさらに含む、
条項１６に記載の方法。
１８．前記分析が、前記ネットワーク構成データの１つ以上のクエリに少なくとも部分
的に基づいて行われ、前記１つ以上のクエリが、クエリ言語で表され、前記１つ以上のク
エリが、少なくとも部分的にルールのセットに基づいて生成される、条項１３から１７の
いずれか一項に記載のコンピュータ可読記憶媒体。
１９．別のコンピュータから前記１つ以上のポートにパケットを送信することなく、前
記１つ以上のポートが判定される、条項１３から１８のいずれか一項に記載のコンピュー
タ可読記憶媒体。
２０．信頼できる場所のホワイトリストに少なくとも部分的に基づき、前記リポートか
ら、さらに１つ以上の開いており、かつ到達可能なポートが前記リポートから除外される
、条項１３から１９のいずれか一項に記載のコンピュータ可読記憶媒体。

本明細書の本発明の記載で使用される用語は、特定の実施形態のみを説明するためのも
のであり、本発明を限定することを意図するものではない。本発明の明細書および添付の
特許請求の範囲で使用される際、単数形「ａ」、「ａｎ」、および「ｔｈｅ」は、文脈上
そうでないことが明確に示されない限り、複数形も含むことを意図している。本明細書で
使用される「および／または（ａｎｄ／ｏｒ）」という用語は、関連の挙げられた項目の
１つ以上のありとあらゆる考えられる組み合わせを指し、含むことも理解されるであろう
。本明細書で使用される際、用語「含む（ｉｎｃｌｕｄｅｓ）」、「含む（ｉｎｃｌｕｄ
ｉｎｇ）」、「備える（ｃｏｍｐｒｉｓｅｓ）」、および／または「備える（ｃｏｍｐｒ
ｉｓｉｎｇ）」は、述べられた特徴、整数、ステップ、動作、要素、および／または構成
要素の存在を明示するが、１つ以上の他の特徴、整数、ステップ、動作、要素、構成要素
、および／またはそれらのグループの存在または追加を排除するものではことがさらに理
解されるであろう。

本明細書で使用される際、用語「の場合（ｉｆ）」は、文脈に応じて、「いつ」または
「時に」または「判定に応答して」または「検出に応答して」を意味すると解釈され得る
。同様に、「判定された場合」または「（規定の条件またはイベント）が検出された場合
」という言い回しは、文脈に応じて、「決定時に」または「判定に応答して」または「（
規定の条件またはイベント）の検出時に」、または「（規定の条件またはイベント）の検
出に応答して」を意味すると解釈され得る。

本明細書では、第１、第２などの用語を使用して様々な要素を説明している場合がある
が、これらの要素は、これらの用語によって限定されるべきではないことも理解されるで
あろう。これらの用語は、ある要素と別の要素を区別するためにのみ使用される。例えば
、本発明の範囲から逸脱しない限り、第１のコンタクトを第２のコンタクトと言うことが
でき、同様に、第２のコンタクトを第１のコンタクトと言うことができる。第１のコンタ
クトと第２のコンタクトは、両方ともコンタクトであるが、同じコンタクトではない。

請求項に係る発明の対象の完全な理解をもたらすように、多数の特定の細目が本明細書
に示されている。しかし、これらの特定の細目を伴わずに請求項に係る発明の対象が実施
されることが、当業者には理解されるであろう。他の例では、請求項に係る発明の対象を
不明瞭にしないために、当業者に知られていると思われる方法、装置、またはシステムは
、詳細には説明されていない。本開示の恩恵を受ける当業者に明らかであるように、様々
な修正および変更がなされ得る。このような修正および変更をすべて受け入れ、したがっ
て上記の説明が限定的な意味合いではなく例示的な意味合いで見られることを意図してい
る。

Claims (15)

1. システムであって、
   ネットワークセキュリティ評価装置を実装するように構成された１つ以上のコンピュー
   ティングデバイスを備え、前記ネットワークセキュリティ評価装置が、
   ホストコンピュータを含むネットワークに対して、ネットワーク構成データの１つ以
   上のクエリを生成することであって、前記１つ以上のクエリがクエリ言語で表され、前記
   １つ以上のクエリが、少なくとも部分的にルールのセットに基づいて生成される、生成す
   ることと、
   開いており、かつ前記ネットワークの外側から到達可能である、前記ホストコンピュ
   ータにある１つ以上のポートを判定することであって、前記１つ以上のポートが、前記１
   つ以上のクエリの結果に少なくとも部分的に基づいて判定される、判定することと、
   前記１つ以上のポートをリッスンしている１つ以上のプロセスを判定することであっ
   て、前記１つ以上のプロセスが、前記ホストコンピュータにインストールされたエージェ
   ントを使用して判定される、判定することと、
   前記１つ以上のポートおよび前記１つ以上のプロセスを記述したレポートを生成する
   ことと、を行うように、構成されている、システム。
2. 前記ネットワークセキュリティ評価装置が、
   前記ネットワークの外側から前記１つ以上のポートへの１つ以上のルートを判定決およ
   び報告するようにさらに構成されている、請求項１に記載のシステム。
3. 前記ネットワークセキュリティ評価装置が、
   前記１つ以上のポートを、開いており、かつ前記ネットワークの外側から到達可能であ
   るようにする、１つ以上の構成設定を判定および報告するようにさらに構成されている、
   請求項１に記載のシステム。
4. 前記ネットワークセキュリティ評価装置が、
   行われる場合、前記ポートのうちの１つ以上を閉じるか、または前記ポートのうちの１
   つ以上を前記ネットワークの外側から到達不能にする、１つ以上の是正措置を判定および
   報告するようにさらに構成されている、請求項１に記載のシステム。
5. １つ以上のコンピューティングデバイスによって行われるコンピュータ実装方法であっ
   て、
   コンピューティングデバイスを含むネットワークに対して、ネットワーク構成データの
   分析を行うことと、
   別のコンピューティングデバイスから到達可能である前記コンピューティングデバイス
   にある１つ以上のポートを判定することであって、前記１つ以上のポートが前記分析に少
   なくとも部分的に基づいて判定される、判定することと、
   前記１つ以上のポートへの１つ以上のルートを判定することであって、前記１つ以上の
   ルートが、少なくとも部分的に前記分析に基づいて判定される、判定することと、
   前記１つ以上のポートおよび前記１以上のルートを記述するレポートを生成することと
   、を含む、コンピュータ実装方法。
6. 前記１つ以上のポートをリッスンしている１つ以上のプロセスを判定および報告するこ
   とであって、前記１つ以上のプロセスが、前記コンピューティングデバイスにインストー
   ルされたエージェントソフトウェアを使用して判定される、ことをさらに含む、請求項５
   に記載の方法。
7. 前記１つ以上のポートを到達可能であるようにする、１つ以上の構成設定を判定および
   報告することをさらに含む、請求項５に記載の方法。
8. 行われる場合、前記ポートのうちの１つ以上を到達不能にする、１つ以上の是正措置を
   判定および報告することをさらに含む、請求項５に記載の方法。
9. 前記分析が、前記ネットワーク構成データの１つ以上のクエリに少なくとも部分的に基
   づいて行われ、前記１つ以上のクエリが、クエリ言語で表され、前記１つ以上のクエリが
   、少なくとも部分的にルールのセットに基づいて生成される、請求項５に記載の方法。
10. 前記１つ以上のポートにパケットを送信せずに、前記１つ以上のポートが判定される、
    請求項５に記載の方法。
11. プログラム命令を格納するコンピュータ可読記憶媒体であって、前記プログラム命令が
    、
    ホストコンピュータを含むネットワークに対して、ネットワーク構成データの分析を行
    うことと、
    開いており、かつ別のコンピュータから到達可能である、前記ホストコンピュータにあ
    る１つまたは複数のポートを判定することであって、前記１つ以上のポートが、少なくと
    も部分的に前記分析の結果に基づいて判定される、判定することと、
    前記１つ以上のポートをリッスンしている１つ以上のプロセスを判定することであって
    、前記１つ以上のプロセスが、前記ホストコンピュータにインストールされたエージェン
    トを使用して判定される、判定することと、
    前記１つ以上のポートおよび前記１つ以上のプロセスを記述したレポートを生成するこ
    とと、を行うようにコンピュータ実行可能である、コンピュータ可読記憶媒体。
12. 前記プログラム命令が、
    前記１つ以上のポートをリッスンしている１つ以上のプロセスを判定および報告するこ
    とであって、前記１つ以上のプロセスが、ホストコンピュータにインストールされたエー
    ジェントソフトウェアを使用して判定される、判定および報告すること、を行うようにさ
    らにコンピュータ実行可能である、請求項１１に記載のコンピュータ可読記憶媒体。
13. 前記プログラム命令が、
    前記１つ以上のポートを開いており、かつ到達可能であるようにする、１つ以上の構成
    設定を判定および報告すること、を行うようにさらにコンピュータ実行可能である、請求
    項１１に記載のコンピュータ可読記憶媒体。
14. 前記プログラム命令が、
    行われる場合、前記ポートのうちの１つ以上を閉じるか、または前記ポートのうちの１
    つ以上を到達不能にする、１つ以上の是正措置を判定および報告すること、を行うように
    、さらにコンピュータ実行可能である、請求項１１に記載のコンピュータ可読記憶媒体。
15. 前記１つ以上のポートが、別のコンピュータから前記１つ以上のポートにパケットを送
    信することなく判定される、請求項１１に記載のコンピュータ可読記憶媒体。

Images