JP2023051742A - 企業ファイアウォール管理およびネットワーク分離 - Google Patents

Abstract

【課題】複数のエンドポイントを含むシステムにおけるファイアウォールポリシー制御のためのシステム及び方法を提供する。【解決手段】ファイアウォール管理サービス２０２は、管理下の複数のエンドポイント（コンピュータ２１２、コンピュータ２１４、サーバー２１６及びアクティブディレクトリドメインコントローラ２１８）上の複数のネットワーク要素を隔離する機能を含むファイアウォール管理エージェント２０４、２０６、２０８、２１０と通信する。ファイアウォール管理エージェントは、これらのコンピュータ及びサーバー上並びにネットワーク内の任意のホスト上の複数の企業ファイアウォール及び複数のエンドポイントファイアウォールを管理し、必要なポリシーを展開する。ソフトウェアレベルで適用されるファイアウォールの場合は、広範なポリシーが適用され、企業ファイアウォールの場合は、狭いポリシーが選択される。【選択図】図２Ａ

Description

本発明は、企業コンピュータネットワーク環境におけるファイアウォールの使用および管理、ならびにネットワーク分離技法の展開に関する。

ファイアウォールは、一般的には、ネットワーク化されたコンピューティング環境にセキュリティを提供するために使用される。各ファイアウォールは、個別コンピュータまたはサーバーなどの特定のネットワーク要素に対するアクセスを制御する特定のポリシーを含む。企業ネットワークでは、これらのファイアウォールポリシーを実装することは、管理下のエンドポイントの数が多いために困難である可能性がある。システム性能およびセキュリティは、より多くのファイアウォールルールおよびポリシーがシステム上に展開されると低下する可能性がある。

複数のエンドポイントおよび複数のファイアウォールを有するネットワーキング環境では、ユーザー、ユーザーグループ、またはマシンに、ネットワークに対して不当に高いリスクを生じさせる権限が与えられているかどうかを監視することは困難である場合がある。これらのリスクは、複数の個別エンドポイントおよびネットワーク全体に対する脆弱性を含む。

制御の欠如はまた、他の手段においてネットワークのセキュリティを危うくする。例えば、ネットワーク内のマシンがマルウェアに感染するか、または他の形で不正アクセスされると、分散ポリシーおよびルールを迅速に展開することが困難であるので、そのマシンの隔離および回復により長い時間がかかり、その結果、システムの脆弱性が増大する。マシンが脆弱化される毎に、ネットワーク全体にリスクが課される。オーバーヘッドを最小限に抑え、感染したマシンの隔離および回復時間を短縮するファイアウォール制御およびシステム全体におけるサービスのネットワークベースの実装が必要である。

ファイアウォールを有するコンピュータネットワークでは、異なる複数のポリシーおよび複数のファイアウォール設定が使用される。これらの設定は、複数のエンドポイントに固有であるか、ユーザーレベルで複数のユーザーに固有であるか、または集団レベルで複数のユーザーに固有である。

ファイアウォール管理コンポーネントは、ネットワーク内の複数のエンドポイントを保護する複数のファイアウォールタイプの集中管理を提供する。ファイアウォール管理コンポーネントの一側面は、管理下の各エンドポイントに搭載（インストール）されたファイアウォール管理エージェントである。これらのエンドポイントは、コンピュータおよびサーバーを含む。複数のファイアウォール管理エージェントは、これらのコンピュータおよびサーバー上、および概してネットワーク内の任意のホスト上の複数の企業ファイアウォールおよび複数のエンドポイントファイアウォールを管理する。

ファイアウォール管理コンポーネントの第２の側面は、ファイアウォール管理サービスである。このサービスは、中央サーバー上で動作し、現在の複数のポリシーを収集および管理する。ファイアウォール管理サービスはまた、複数のポリシーを同期させ、隔離モードを起動および設定する。アプリケーション設定、ファイアウォールの権限付与および設定は、ファイアウォール管理サービスによって制御される。

管理者は、変更または展開されるポリシーまたはポリシーの一部を含むグローバル構造（global structure）（各ファイアウォールタイプについて同じ）を入力する。ファイアウォール管理サービスは、ポリシーを格納し、そのポリシーを指定されたユーザー、ユーザーグループ、またはマシンに関連付ける。ファイアウォール管理コンポーネントは、サーバーと複数のエージェントとの間の直接ポリシー同期および逆ポリシー同期（direct and reverse policy synchronization）を実行する。別のファイアウォール管理コンポーネントは、ポリシーの階層（hierarchy of policies）をサポートする。

ファイアウォール管理エージェントは、必要なポリシーを展開（デプロイ：deploy）する。ソフトウェアレベルで適用されるファイアウォールの場合、広範なポリシー（wide policy）が適用されることができる。企業ファイアウォールの場合、狭いポリシーが選択される。

管理者は、ネットワークマシンが感染した場合に、ネットワークマシンの隔離を開始する。隔離モードは、マシンを修復するのに必要なこれらのサービスなどのいくつかのサービスを有効にしたままにするように設定されている。隔離ポリシーは、最高優先度のポリシーである。マシンを修復した後、セキュリティ担当者は、ネットワーク分離を無効にし、完全に回復されたエンドポイントファイアウォールポリシーでプラグインすることができる。

実際のポリシー設定は、最後に保存された直接同期および逆同期から決定される。現在の複数のアクティブポリシー（current active policies）は、統一されたポリシー表現フォーマット（unified policy representation format）に変換される。

ファイアウォール管理コンポーネントは、必要な複数のＩＰアドレスの動的スキャンを実行する。アドレスが変更された場合、ファイアウォール管理コンポーネントは、ブロックまたは許可されたＩＰアドレスを含むファイアウォールルールを書き換える。

図１は、システム管理者とエンドユーザーとの間の関係を示す。 図２Ａは、本発明の一実施形態の配置図を示す。 図２Ｂは、本発明の一実施形態の配置図を示す。 図３は、複数のルールが２つの範囲についてどのように設定されるかの一例を示す。 図４は、Ｗｉｎｄｏｗｓファイアウォールのルールの優先度の一例を示す。 図５は、Ｗｉｎｄｏｗｓファイアウォールの複数の設定がどのように構造化されるかの一例を示す。 図６は、競合解決のためのポリシーの階層を示す。 図７は、隔離モードの一例を示す。 図８は、隔離モードを終了する一例を示す。 図９は、ポリシー作成および変更の一例を示す。 図１０は、現在の複数のファイアウォール設定をスキャンする一例を示す。 図１１は、直接同期の一例を示す。 図１２は、逆同期の一例を示す。 図１３は、システムを実装するために使用されるグローバルアーキテクチャの一例を示す。 図１４は、システムに関連して使用されるプラグイン機能の一例を示す。 図１５は、システムの追加の機能拡張を示す。 図１６は、ＧＰＲＭアドオンを伴う代替アーキテクチャを示す。

ファイアウォール管理コンポーネントを有するネットワークは、ネットワーク内の複数のエンドポイントを保護する複数のファイアウォールタイプの集中管理を提供するように具体化されている。ファイアウォール管理コンポーネントは、複数のコンピュータおよび複数のサーバーなどの管理下にある各エンドポイントに搭載されたファイアウォール管理エージェント（firewall management agent）（「管理エージェント」）を含む。これらの管理エージェントは、これらのエンドポイントのコンピュータおよびサーバー上の複数のファイアウォールを管理する。ファイアウォール管理コンポーネントは、ファイアウォール管理サービス（「管理サービス」）をさらに含む。このサービスは、中央サーバー上で動作し、現在の複数のポリシー（current policies）を収集および管理する。管理サービスはまた、複数のポリシーを同期させ、隔離モードを起動および設定する。アプリケーション設定、ファイアウォールの権限付与および設定は、ファイアウォール管理サービスによって制御される。

管理エージェントは、エージェント関係（agency relationship）にあるユーザーまたは他のプログラムの代わりに動作するコンピュータプログラムである。エージェント関係とは、エージェントが、状況に応じて、動作を行うかまたは動作を行わない権限を有することを意味する。管理サービスは、一組のソフトウェア機能である。例えば、サービスは、情報を取得する（retrieve）か、または一組の命令を実行することができる。サービスは、異なる目的のためにそれを使用することができる複数のクライアントを有する。複数のサービスはまた、サービスがどのように使用されるかを制御する複数のポリシーを有する。これらのポリシーは、典型的に、サービスを要求するクライアントのアイデンティティ（identity）に基づいている。

複数のポリシーおよび複数のファイアウォール設定は、ネットワーク内の異なるレベルで適用される。例えば、エンドポイント、ユーザー、およびユーザーグループに固有のポリシーおよび設定がある。グローバル構造は、ネットワーク内の複数のファイアウォールタイプについて複数のポリシーが確立されたときに作成される。管理サービスは複数のポリシーを格納し、それらを特定の複数のユーザーに関連付ける。

ファイアウォール管理コンポーネントは、中央サーバーと複数の管理エージェントとの間の直接ポリシー同期および逆ポリシー同期を実行する。同期は、管理エージェントとシステムのバックエンド（backend）との間で行われる。バックエンドは、一般に、複数のエンドユーザーに直接アクセス可能でないサービスおよびデータを指す。

複数のファイアウォールポリシー変更は、管理サービスの外部で行うことができ、ローカルポリシー変更およびグループポリシー変更を含む。管理エージェント自体が、ポリシー収集および同期を実行する。この収集および同期は、例えば、時間またはＷｉｎｄｏｗｓイベントトレーシング（Event Tracing）に基づく間隔で行われる。ＥＴＷ（Event Tracing for Windows）は、管理エージェント側を動作させ、Ｍｉｃｒｏｓｏｆｔ－Ｗｉｎｄｏｗｓ－ＤＮＳ－Ｃｌｉｅｎｔプロバイダからの適切な複数のイベントを検出する。

ファイアウォール設定の変更が検出されるか、または同期によって影響を受けると、管理エージェントはサーバーとの通信プロトコルを初期化する。そのプロトコルは、現在のポリシーを取得すること、およびＲＥＳＴ ＡＰＩなどのアプリケーションプログラムインタフェースを使用してバックエンドとのインタラクション（interaction）を開始すること、を含む。バックエンドは、バックエンドポリシーデータベースから最後に格納されたポリシーを取得し、そのポリシーを現在のポリシーと比較する。バックエンドルールとローカルルールとのこの比較は、いくつかの典型的なケースを提示する。ポリシーが一致しない場合、バックエンドは、差異を計算し、その差異を、変更するルール、削除するルール、および追加するルールを含む構造で管理エージェントに送信する。比較によってバックエンド優先度ポリシーと矛盾する新しいローカル変更が検出された場合、バックエンドは新しいルールを設定し、その新しいルールを、変更するルール、削除するルール、および追加するルールを含む構造でエージェントに送信する。これらの場合、管理エージェントは、新しいポリシー設定を格納し、管理下のエンドポイントに任意の変更を適用する。

逆同期は、バックエンドが現在の複数のポリシーについての管理エージェントへの要求を開始するときに行われる。これは、例えば、ＲＥＳＴ ＡＰＩなどのアプリケーションプログラムインタフェースを使用することによって実行され得る。管理エージェントは、現在のポリシーを取得し、それをバックエンドに送信する。ポリシーが一致しない場合、バックエンドポリシーデータベースが更新される。バックエンドは差異を計算し、ローカル変更が高い優先度のポリシーと矛盾する場合、新しい修正ルールがバックエンドによって設定され、バックエンドポリシーデータベースに記憶され、変更するルール、削除するルール、および追加するルールを含む構造で管理エージェントに送信される。バックエンドデータベースにおいて、管理エージェント側で適用されていないポリシー更新がある場合、これらは差異として扱われる。バックエンドは、送信されるべき複数の修正ルールを、変更するルール、削除するルール、および追加するルールを含む構造で管理エージェントに送信する。次に、管理エージェントはポリシー変更を適用し、管理エージェントおよび中央サーバーは逆同期の結果を記録する。

いくつかの場合では、バックエンドルールまたはローカルルールが集中管理構成（centralized management configurations）と矛盾することがある。例えば、Ｗｉｎｄｏｗｓ環境では、グループポリシーオブジェクト（Group Policy Object : GPO）として集合的に知られるグループポリシー構成がある。この状況に対処するために、共通差異計算アルゴリズム（common difference calculation algorithm）が使用される。このアルゴリズムは、管理エージェントが現在のポリシーを中央サーバーに送信するときに開始する。中央サーバーは、バックエンドポリシーデータベースから最新の格納されたポリシーを取得し、そのポリシーを管理エージェントのデータと比較する。第１のステップは、差異を識別することである。このプロセスは、一意の識別子を使用して実行される。各ファイアウォール設定は、一意の識別子、例えば、ファイアウォール設定が格納されているレジストリブランチ（registry branch）を有する。中央サーバー側においておよび管理エージェントのレジストリにおいて、各ファイアウォール設定は、その固有の識別子とともに格納される。新しいポリシーが中央サーバーによって適用されるとき、修正されたパラメータは、一時的な一意の識別子とともに記憶される。修正を行った後、管理エージェントは、修正されたパラメータの永続的な一意の識別子を中央サーバーに通信する。次に、中央サーバーは、一時的な一意の識別子を永続的な一意の識別子に変更する。バックエンドは、修正前に記憶された複数の設定を修正後の複数の設定と比較する。同じ一意の識別子を有する対応する複数の設定が比較される。バックエンドは、複数の新しい一意の識別子によって複数の新しいパラメータを検出する。新しいパラメータおよび変更されたパラメータは、バックエンドによって差異と見なされる。バックエンドは、例えばＪａｖａＳｃｒｉｐｔ Ｏｂｊｅｃｔ Ｎｏｔａｔｉｏｎ（ＪＳＯＮ）を使用して詳細な差異記述（detailed difference description）を準備する。この記述は、エージェントが削除、追加、または変更するためのルールを含む。次に、それらの差異が管理エージェントに通信される。低い優先度のルールが高い優先度のルールと矛盾するときなどのマージポリシー（merge policy）の競合が生じる場合、バックエンドは、競合を修正するために一組のポリシー変更を作成する。競合がローカル管理者によって行われた変更に起因する場合、バックエンドのポリシー変更が優先される。競合がバックエンド管理者によって行われた変更に起因する場合、バックエンドポリシー変更は無効にされる。

上述したプロセスは、逆同期にも適用される。この違いは、同期が管理エージェントの代わりに中央サーバーによって開始されることである。
説明されるシステムは、好ましくは、ポリシーの階層を含む。これらのポリシーは、最高から最低にランク付けされ、隔離ポリシー、アクティブディレクトリグループポリシー（active directory group policy）、エンドポイントポリシー、および複数のローカルポリシーを含む。例えば、Ｗｉｎｄｏｗｓ環境では、複数のファイアウォールルールは、Ｗｉｎｄｏｗｓファイアウォールまたはサードパーティファイアウォールのいずれかによって設定されることができる。高度なセキュリティ（Advanced Security）を有するＷｉｎｄｏｗｓファイアウォールの場合、複数のファイアウォールルールは、ローカル管理者によって、ファイアウォール管理コンポーネントによって、またはＧＰＯによって展開され得る。サードパーティファイアウォールの場合、複数のルールは、ファイアウォール管理コンポーネントによって、または管理者によって展開され得る。ファイアウォール管理コンポーネントが単にすべてのルールを適用する場合、結果として生じるポリシーは、各ファイアウォールにおいて確立されたマージルールに従った既存のルールの和であり、予期せぬ結果をもたらす可能性がある。優先度のみが解決のために使用される場合、最終的なポリシーは明確ではない。解決策として、メインファイアウォールポリシー（main firewall policy）を決定して適用し、それに従って変更を制御することができる。適切なルールがメインファイアウォールポリシーから欠落している場合、マージ競合は、異なる複数のポリシーソースの優先度を変更することによって解決される。本発明の一実施形態では、新しいポリシーが適用されるとき、ファイアウォールルールの種類ごとに差異が連続的に計算される。新しいポリシーの一例は、管理者がすべてのアウトバウンド接続（outbound connections）を許可する場合である。ポリシー競合の一例は、管理者がポート２３４へのアウトバウンド接続を許可しようと試みるが、サードパーティファイアウォール上でこの接続がブロックされる場合である。メインファイアウォールポリシーは、最初にチェックされる。メインファイアウォールポリシーにおいて適切なルールが存在しない場合、所定のルール優先度に従って、最高優先度のルールが有効にされる。

管理エージェントは、複数のファイアウォールポリシーを選択的に展開する。例えば、ソフトウェアレベルで動作する複数のファイアウォールは、包括的な複数のポリシーを割り当てることができる。複数のサーバーを保護する複数のファイアウォールおよび複数の企業ファイアウォールについて、複数の狭いポリシーを設定することができる。

ネットワークマシンがマルウェアに感染すると、管理者は、ネットワークマシンの隔離処理を開始する。バックエンドは、マシンを隔離されるものとしてマークし、特定の例外（exceptions）を除いて、感染したマシンとの間のすべてのトラフィックを禁止するコマンドをすべてのファイアウォールに送信する。例えば、リモートデスクトッププロトコル（Remote Desktop Protocol : RDP）、バックエンドアクセス、および特定の複数のポートを例外とすることができる。次いで、この隔離ポリシーは、影響を受けるエンドポイントに展開される。

隔離モードアルゴリズムは、概して、以下の複数のステップを含む。すべての現在のファイアウォールルールおよび設定は変更されないままである。ファイアウォール管理コンポーネントは、隔離されたマシンで使用できる必要があるサービスおよび例外に対応する静的ＩＰアドレスを受け取る。次に、ファイアウォール管理コンポーネントは、一組の制限ルールを作成する。例えば、所与の範囲内の所与のＩＰアドレスについて、複数の制限ルールは、隔離モードであっても感染したマシンへのアクセスを必要とする特定のＩＰアドレスを除外して設定されている。除外されたアドレスについては、設定するルールは存在しない。

隔離ポリシーは、最高優先度のポリシーであり、それと競合する他のすべてのポリシーをオーバーライドする（overrides）。
一実施形態では、管理者は、現在の複数のポリシーについてのスキャンを開始する。中央サーバーは、最新の直接同期および逆同期から保存された実際の複数のポリシー設定を管理者に提供する。現在の複数のアクティブポリシーは、統一されたポリシー表現フォーマットに変換される。ポリシーの形式は狭くても広くてもよいが、すべて同じフォーマットで表される。複数の未使用フィールドはデフォルト値または空値に設定される。統一されたフォーマットへの変換後、結果のレポートが管理者に利用可能になる。

さらなる実施形態では、隔離モードアルゴリズムは、ファイアウォール管理コンポーネントが必要なＩＰアドレスの動的スキャンを実行するステップを含む。ＩＰアドレスが変更された場合、ファイアウォール管理コンポーネントは、新しい設定に従ってルールを書き換える。

例示的な実施形態では、管理サービスおよび管理エージェントはそれぞれ、複数のコンポーネント、すなわち、ポリシーストレージ、ファイアウォールマネージャー、隔離モードマネージャー、および同期マネージャーを含む。

図１は、ネットワーク内のシステム管理者１０２および代表的なユーザー１０４のそれぞれの処理１００を示す。複数の管理者は、システムを使用して、複数のエンドポイントポリシー１０６、ユーザーポリシーおよびグループポリシー１０８を作成または変更し、感染したマシンの隔離を開始し（１１０）、現在の複数のポリシーをスキャンする（１１２）。マシンが隔離モードに入ると、ユーザー１０４は警告を取得する（１１４）。

図２Ａおよび図２Ｂは、例示的な配置を示す。ファイアウォール管理サービス２０２（「サービス」）は、ファイアウォール管理エージェント（「エージェント」）２０４、２０６、２０８、および２１０と通信する。エージェント２０４、２０６、２０８、および２１０は、複数のシステムエンドポイント、すなわち、コンピュータ２１２、コンピュータ２１４、サーバー２１６、およびアクティブディレクトリ（Active Directory : AD）ドメインコントローラ２１８に搭載される。ＡＤドメインコントローラは、認証の要求に応答し、複数のユーザーを検証するサーバーである。複数のユーザーおよび複数のコンピュータは、ネットワーク内の複数のドメインによって編成される（organized）。複数のエンドポイント上の複数のエージェントとサービスとの間のトラフィックは、スイッチ２２０を介してルーティングされる。サービスはＡＰＩ２２を介して制御され、ＡＰＩ２２はコンソール（console）またはグラフィカルユーザーインタフェースとして実装され得る。

複数のエンドポイントは、ファイアウォール２３０、２３２、２３４、および２３６によって保護される。各エンドポイントにおけるエージェントは、複数のコンポーネント、すなわち、エンドポイントポリシーストレージ２５０，２６０，２７０，２８０、エンドポイント同期マネージャー２５２，２６２，２７２，２８２、エンドポイントファイアウォールマネージャー２５４，２６４，２７４，２８４、およびエンドポイント隔離モードマネージャー２５６，２６６，２７６，２８６を含む。

サービス２０２は、複数のコンポーネント、すなわち、バックエンドポリシーストレージ２４０、バックエンドファイアウォールマネージャー２４２、バックエンド同期マネージャー２４４、およびバックエンド隔離モードマネージャー２４６を含む。

図２Ａにおいて、サーバー２１６は、ファイアウォール２９０に接続されている。ファイアウォール２９０の配置２００Ｂが図２Ｂに示されている。ファイアウォール２９０の背後（Behind firewall）には、複数のエンドポイント、すなわち、ＤＭＺ２１９内のコンピュータおよびサーバー２２１がある。ＤＭＺは、外部に対する複数のサービス（external-facing services）を含み、それをインターネットなどの信頼できない通常はより大きなネットワークに公開するセキュリティゾーンを意味する。これらのエンドポイントには、エージェント２１１，２１３が搭載されている。複数のエージェントは、複数のコンポーネント、すなわち、エンドポイントポリシーストレージ２５１，２６１、エンドポイント同期マネージャー２５３，２６３、エンドポイントファイアウォールマネージャー２５５，２６５、およびエンドポイント隔離モードマネージャー２５７，２６７を含む。

図３は、管理対象ネットワークにおける複数のＩＰアドレスについてのルール作成の一例３００を示す。ＩＰアドレスの全範囲３０２は、複数の範囲、例えば、第１の範囲３０４および第２の範囲３０６に分割される。これらの範囲の間には、アドレス３１０，３１２，３１４がある。一実施形態では、隔離モードに入り、範囲３０２内のすべてのアドレスがブロックされる。アドレス３１４はルールから除外され、隔離モードにおいてもアクセス許可が与えられる。アドレス３１０，３１２は、除外されたアドレスの直前および直後のアドレスである。

図４は、優先度ルールの一例４００を示す。グループポリシー４０２，４０４，４０６が与えられると、異なる複数の組のルールが、最高優先度から最低優先度までの評価の順序で利用可能である。これらのルールは、ハードニング（hardening）４１０、接続４１２、バイパス４１４、ブロック４１６、許可４１８、およびデフォルト４２０を含む。評価の順序４２２は、上から下に進む。

一実施形態において、複数のルール４１０は、Ｗｉｎｄｏｗｓ Ｓｅｒｖｉｃｅ Ｈａｒｄｅｎｉｎｇを含む。このタイプのビルトインルール（built-in rule）は、初期設計決定から逸脱する方法でサービスが接続を確立することを制限する。例えば、サービスの制限は、Ｗｉｎｄｏｗｓサービスが、指定されたポート上でのみトラフィックを許可するなどの指定された方法でのみ通信できるように設定される。

接続セキュリティルール４１２は、コンピュータがセキュアネットワークプロトコルスイート（secure network protocol suite）であるＩＰｓｅｃ（Internet Protocol Security）を使用して認証する方法およびタイミングを定義する。ＩＰｓｅｃは、複数のデータパケットを認証および暗号化して、ＩＰ（Internet Protocol）ネットワークを介した２つのコンピュータ間のセキュアな暗号化通信を提供する。接続セキュリティルールはまた、データプライバシー（data privacy）のために暗号化を要求することができる。接続セキュリティルールは、典型的には、サーバーおよびドメイン分離を確立するため、ならびにＮＡＰ（Network Access Protection）ポリシーを実施するために使用される。ＮＡＰは、クライアントヘルスポリシー作成、実施（enforcement）、および修復技術である。ＮＡＰを用いて、複数のシステム管理者は、複数のソフトウェア要件、複数のセキュリティ更新要件、および他の設定を含むことができる複数の正常性ポリシー（health policies）を確立し、自動的に実施することができる。複数の正常性ポリシーに準拠していないクライアントコンピュータは、その構成が更新されてＮＡＰポリシーに準拠するようになるまで、制限されたネットワークアクセスを提供され得る。

認証された複数のバイパスルール４１４は、複数のインバウンドファイアウォールルール（inbound firewall rules）がトラフィックをブロックする場合であっても、特定のコンピュータまたはユーザーの接続を可能にする。このルールでは、典型的には、許可されたコンピュータからのネットワークトラフィックがＩＰｓｅｃによって認証され、アイデンティティ（identity）が確認できるようにする必要がある。

複数のブロックルール４１６は、特定の着信または発信トラフィックを停止する。複数の「許可」ルール４１８は、特定のタイプの着信または発信トラフィックを許可する。複数のブロックルール４１６は、許可ルール４１８の前に評価され、従って、優先される。このため、ネットワークトラフィックは、アクティブブロックルール（active block rule）およびアクティブ許可ルール（active allow rule）の両方に一致する場合にブロックされる。

複数のデフォルトルール４２０は、接続が他のどのルールとも一致しないときに行われるアクションを定義する。例えば、インバウンドトラフィックのデフォルトルールは、接続をブロックすることであり、アウトバウンドデフォルトのデフォルトルールは、接続を許可することである。Ｗｉｎｄｏｗｓ環境では、複数のデフォルトルールは、Ｗｉｎｄｏｗｓファイアウォールのプロパティにおいてプロファイルごとに変更されることができる。各ファイアウォールプロファイルは、ローカルファイアウォールルールおよびローカル接続セキュリティルールに関して設定されることができる。これらの設定は、ローカルに定義されたルールが適用されるか否かを定義する。デフォルト設定は、ローカルファイアウォールルールが適用されるものである。デフォルトルールが無効になっている場合、ローカルに作成されたルールは、管理者によって作成されたかプログラムによって作成されたかにかかわらず、影響を及ぼさない。ローカルファイアウォールルールを有効にする場合、その結果のルールは累積される。

図５は、複数のルール５０６、ポリシー５０８、および修正状態５１０に関連するプロファイル５０２，５０４を有するファイアウォール設定構造５００を示す。ポリシー５０８は、プロファイル５０２，５０４に関して現在適用可能なポリシーを決定するためにデータベースから取得される。複数のルール５０６は、状態修正５１０を行うかどうかを決定するためにチェックされる。

図６は、隔離ポリシー６０２、ＡＤグループポリシー６０４、エンドポイントポリシー６０６、および複数のローカルポリシー変更６０８を含む例示的なポリシー階層６００を示す。これらのポリシーは、優先度６１０を上から下にランク付けされている。

図７は、ユーザー７４０のために管理者７０２によって実装される隔離モード７００を示す。使用される複数のコンポーネントは、コンソール７０４、バックエンド隔離モードマネージャー７０６、およびエンドポイント隔離モードマネージャー７０８を含む。管理者７０２は、コンソール７０４で隔離モードの要求７２０を入力する。コンソール７０４は、空の例外記述（empty exceptions description）７２２を返す。管理者７０２は、（もしあれば）記入された例外記述（filled exceptions description）７２４を入力し、隔離記述７２６は、バックエンド隔離モードマネージャー７０６に伝達され、バックエンド隔離モードマネージャー７０６は、隔離モードが適用されているという通知７２８を送信する。バックエンド隔離モードマネージャー７０８は、隔離設定７３０を複数のエンドポイント隔離モードマネージャー７０８に送信する。これらのモードマネージャーは、隔離モード７３２をローカルに適用し、応答および結果をバックエンド隔離モードマネージャー７０６に送信する。これらの応答は、処理された応答としてコンソール７０４に戻され、管理者７０２は、対応するレポート７３８を受け取る。

図８は、ユーザー８４０のために管理者８０２によって実装される隔離モードの終了８００を示す。使用される複数のコンポーネントは、コンソール８０４、バックエンド隔離モードマネージャー８０６、およびエンドポイント隔離モードマネージャー８０８を含む。管理者８０２は、コンソール８０４で隔離モードを終了するための要求８２０を入力する。コンソール８０４は、空の例外記述８２２を返す。管理者８０２は、（もしあれば）記入された例外記述８２４を入力し、隔離の詳細（isolation details）８２６は、バックエンド隔離モードマネージャー８０６に伝達され、バックエンド隔離モードマネージャー８０６は、隔離モードが無効にされているという通知８２８をユーザー８４０に送信する。バックエンド隔離モードマネージャー８０６は、複数のポリシー８３０を回復し、回復設定８３２を生成する。複数のエンドポイント隔離モードマネージャー８０８は、複数のポリシー変更８３４をローカルに適用し、応答および結果をバックエンド隔離モードマネージャー８０６に送信する。これらの応答は、処理された応答としてコンソール８０４に戻され、管理者８０２は、対応するレポート８３８を受け取る。

図９は、管理者９０２によるポリシー作成および変更の例示的なケース９００を示す。使用される複数のコンポーネントは、コンソール９０４、バックエンドファイアウォールマネージャー９０６、バックエンドポリシーストレージ９０８、エンドポイントファイアウォールマネージャー９１０、およびエンドポイントポリシーストレージ９１２を含む。管理者９０２は、コンソール９０４においてポリシー作成または変更の要求９２０を入力する。コンソール９０４は、空のポリシー記述９２２を返す。管理者９０２は、記入されたポリシー記述９２４を入力する。一実施形態では、ポリシー記述９２４は、広範なポリシー記述（wide policy description）である。コンソール９０４は、ポリシー記述９２６をバックエンドファイアウォールマネージャー９０６に送信し、バックエンドファイアウォールマネージャー９０６は、保存されたポリシーについての要求９２８をバックエンドポリシーストレージ９０８に送信する。バックエンドポリシーストレージ９０８は、現在の同期されたポリシー設定９３０を送信することによって応答する。バックエンドファイアウォールマネージャー９０６は、現在のポリシー設定９３０を取得し、新しいポリシー９３２を設定する。次に、バックエンドファイアウォールマネージャー９０６は、新しい設定ポリシー９３４をバックエンドポリシーストレージ９０８に送信し、バックエンドポリシーストレージ９０８は、そのポリシーを新しいポリシー９３６として保存する。バックエンドファイアウォールマネージャー９０６はまた、新しいポリシー設定９３８を、ポリシー適用９４２が行われるエンドポイントファイアウォールマネージャー９１０に送信する。新しいポリシー設定９４０はエンドポイントポリシーストレージ９１２に送られ、そこで新しいポリシー９４４が保存される。

図１０は、管理者１００２の要求で現在の複数のファイアウォール設定をスキャンするための手順１０００を示す。使用される複数のコンポーネントは、コンソール１００４、バックエンドファイアウォールマネージャー１００６、およびバックエンドポリシーストレージ１００８を含む。管理者１００２は、コンソール１００４を介してスキャン１０２０を要求する。スキャン要求１０２２は、バックエンドファイアウォールマネージャー１００６に伝達される。バックエンドファイアウォールマネージャー１００６は、バックエンドポリシーストレージ１００８から最後に保存された同期設定を要求する。データ収集１０２６が行われ、現在のファイアウォール設定１０２８がバックエンドファイアウォールマネージャー１００６に伝達される。このデータは、バックエンドファイアウォールマネージャーによって処理され、処理された複数の結果１０３０としてコンソール１００４に送信され、処理された複数の結果は、レポート１０３２の形式で管理者１００２に利用可能である。

図１１は、管理者１１０２によって開始される直接同期の一例１１００を示す。使用される複数のコンポーネントは、エンドポイントイベントビューア（endpoint event viewer）１１０４、エンドポイント同期マネージャー１１０６、バックエンドポリシー同期マネージャー１１１０、およびバックエンドポリシーストレージ１１１２を含む。管理者１１０２は、エンドポイントイベントビューア１１０４に変更１１１４を送信することによって、エンドポイントファイアウォールポリシーに対する変更を開始する。次に、エンドポイントイベントビューア１１０４は、複数のポリシー変更についての通知１１１４をエンドポイント同期マネージャー１１０６に送信する。ポリシー同期１１１６は、エンドポイント同期マネージャー１１０６とバックエンドポリシー同期マネージャー１１０８との間で行われる。同期ポリシー１１１８は、同期されたポリシーの格納１１２０が行われるバックエンドポリシーストレージ１１１０に送信される。

図１２は、管理者１２０２によって開始される逆同期の一例１２００を示す。使用される複数のコンポーネントは、バックエンド同期マネージャー１２０４、エンドポイント同期マネージャー１２０６、およびバックエンドポリシーストレージ１２０８を含む。管理者１２０２は、バックエンド同期マネージャー１２０４を介して逆ポリシー同期の頻度１２１０を設定する。ポリシー同期１２１２は、バックエンド同期マネージャー１２０４とエンドポイント同期マネージャー１２０６との間で行われる。バックエンド同期マネージャーは、同期されたポリシー１２１４をバックエンドポリシーストレージ１２０８に送信し、そこで同期されるポリシーの格納１２１６が行われる。

図１３は、複数の基本プリミティブ（basic primitives）１３０４およびプラグイン機能１３０６を含むファイアウォールライブラリ１３０２を有するグローバルアーキテクチャ図１３００を示す。複数の基本プリミティブ１３０４は、複数のファイアウォール設定の内部共通表現を含む。例えば、（全てのファイアウォールタイプに対する）複数のルール１３２０と、各ファイアウォールタイプに対する複数のルールをある程度記述する複数のポリシー１３２２とが存在する。機能１３２４は、統一されたエラー表現を提供する。また、ＪＳＯＮフォーマットまたはデータベース内の情報などの情報を記憶し、その情報をストレージから読み出すための機能１３２６も存在する。複数の基本プリミティブ１３０４はまた、すべてのファイアウォールタイプまたは複数の固有のファイアウォールのいずれかについて、他のファイアウォールパラメータ１３２８を含む。

プラグイン機能１３０６は、プラグインローディング（plugin loading）１３３０および複数のプラグインコール（plugin calls）１３３２を含む。複数のグローバルプラグインプリミティブ（Global plugin primitives）１３０８は、プラグインＡＰＩ １３４０および複数の動作ステータス１３４２を含む。複数のグローバルプラグインプリミティブ１３０８と通信するのは、プラグイン１３５０およびマネージャー１３５２を含むファイアウォールプラグイン動的ライブラリ１３１０である。また、グローバルプラグインプリミティブ１３０８およびファイアウォールプラグイン動的ライブラリ１３１０と通信するのは、動的リンクライブラリ（dynamic-link libraries : DLL）、例えば、Ｓｏｐｈｏｓ．ｄｌｌ １３６０、Ｃｉｓｃｏ．ｄｄ １３６２、およびＬｉｎｕｘ．ｄｌｌ １３６４である。

プラグインＡＰＩ １３４０は、異なる複数のプラグインに対して単一のインタフェースを提供するように構成されている。ファイアウォールプラグイン動的ライブラリ１３１０は、プラグインＡＰＩ １３４０、ならびにＤＬＬ １３６０，１３６２，１３６４によってアクセスされ得る。さらに、プラグインＡＰＩ １３４０は、ファイアウォールライブラリ１３０２にも接続されている。したがって、プラグインＡＰＩ １３４０は、異なる複数のファイアウォールタイプを管理するために同じ機能を提供する。例えば、プラグインＡＰＩ １３４０は、動的プラグインライブラリ名およびバージョンなどの現在の複数のプラグインパラメータを取得する。プラグインＡＰＩ １３４０はまた、設定ファイルが必要とされる場合、初期ファイアウォール設定のために使用され得る。別のＡＰＩ機能は、パスワード、ユーザー名、または他のパラメータを提供すること、ルール、ルールグループ、ポリシーなどのファイアウォール設定またはパラメータを取得することなどのファイアウォール管理のプロセスをアクティブにする（activating）ことである。さらなるＡＰＩ機能は、新しいファイアウォール設定またはパラメータを追加すること、または既存のルールに変更を加えることを含む。最後に、プラグインＡＰＩ １３４０は、ファイアウォール管理のプロセスを終了する（deactivate）能力を提供する。

図１４は、一連のステップとして説明されるプラグイン機能の概要１４００を示す。最初のステップ１４０２では、動的プラグインライブラリが所与のファイルパスからロードされる（loaded）。次に、ステップ１４０４において、そのライブラリから複数の機能がエクスポートされる。ステップ１４０６において、ユーザーは、必要に応じて、ロードされたプラグイン機能をコールする（call）ことができる。最後に、ステップ１４０８において、任意のロードされたプラグインが終了され得る。

図１５は、ユーザー１５０６が管理コンソール１５０８を介してアクセスする管理サービス１５０２および管理エージェント１５０４のための代替構成１５００を示す。ユーザー１５０４は、スーパーユーザー（superuser）、管理者、または類似のアクセス特権を有する他のユーザーであってもよい。管理サービス１５０２は、汎用リソースおよびポリシーマネージャー（general resource and policy manager : GRPM）アドオン１５１０、警告マネージャー（alert manager）１５１２、バックアップマネージャー１５１４、同期サービスアドオン１５１６、および通知サーバー１５１８を含む。代替実施形態では、管理サービス１５０２は、クラウドベースのサービスである。管理エージェント１５０４は、警告マネージャー１５２０、バックアップエージェント１５２２、ファイアウォールポリシーマネージャー１５２４、通知エージェント１５２６、およびポリシーコレクタ（policy collector）１５２８を含む。

一実施形態では、ユーザー１５０６は、ネットワークの重要な役割を有するかまたは何らかの機密情報へのアクセス権限を有するマシンが感染していることを検出する。ユーザー１５０６は、管理コンソール１５０８と対話（インタラクション）し、管理サービス１５０２への接続を開く（opening）ことによって開始する。ユーザー１５０６は、隔離のために１つまたは複数のマシンを選択し、隔離アクションのタイプを選択する。いくつかのタイプの隔離では、（サーバー側からの）バックアップマネージャー１５１４および（エージェント側からの）バックアップエージェント１５２２も隔離プロセスに参加する。ユーザー１５０６は、「エンドユーザーにメッセージを表示する」などのオプションを有効または無効にする。ユーザー１５０６は、隔離モードで接続が利用可能なままであるべき例外のリストなどのリストを示す。可能なリストの一例は、ＩＰアドレス、ポート、ホスト名、または動的ＩＰアドレススキャンによるｕｒｌを含む。

設定された複数の要件がＧＲＰＭファイアウォールアドオン１５１０（特定のハンドル）に送信され、検証された場合、ユーザー１５０６は、ネットワークコンピュータまたはマシンの隔離のプロセスを開始する。ＧＲＰＭファイアウォールアドオン１５１０は、このアルゴリズムに従って必要な隔離ルールを計算し、同期サービスアドオン１５１６を使用してその新しいルールをデータベースに設定し、ターゲットエンドポイント上のグループポリシーの無効化を開始する。同期アルゴリズムに従って、複数の隔離ポリシーは直接適用され、グループポリシーの影響はファイアウォールポリシーマネージャー１５２４によって無効にされる。同期は、ＧＲＰＭファイアウォールアドオン１５１０と管理エージェント１５０４との間で開始される。ポリシーの取得（Policy retrieval）はエージェント側で行われ、同期はポリシーコレクタ１５２８およびファイアウォールポリシーマネージャー１５２４によって行われる。ＧＲＰＭファイアウォールアドオン１５１０は、マシンを隔離されるものとしてマークし、隔離モードの進行に関する情報を表示するための通知モジュールとインタフェースする。

感染したコンピュータが処置された後、ユーザー１５０６は、管理コンソール１５０８を介して隔離モードの無効化を開始する。ＧＲＰＭファイアウォールアドオン１５１０は、同期サービスアドオン１５１６とのインタフェースを介してマシンポリシーを完全に復元することによって無効化されるべき隔離ポリシー変更を計算する。利用可能な隔離モード動作は、感染したデバイスのみを隔離すること、感染したデバイスを隔離してバックアップすること、感染したデバイスをフォレンジックデータ（forensic data）で隔離してバックアップすること、デバイスを隔離してデバイスの電源をオフすること、を含む。この機能は、通知サーバー１５１８および通知エージェントによってサポートされる。

一実施形態では、複数のマシンが同時に隔離される。この実施形態では、許可されたリストのセットは、すべてのマシンに対して同じである。許可されたリストは、マシンがその隔離状態に入り、その隔離状態を終了しない場合、変更または編集することが可能である。別の実施形態では、隔離されるコンピュータは現在、オンラインではない。この場合、隔離ポリシーは、接続が確立されたときに適用される。隔離ポリシーは、隔離ポリシーと競合する全ての他のポリシーが禁止されるような最も高い優先度のポリシーである。

一実施形態では、マシンが隔離モードに入るのに失敗した場合に警告が表示される。警告メッセージは、警告マネージャー１５２０によって処理され、通知システムを介してユーザー１５０６に示される。例えば、ユーザー１５０６が「エンドポイントユーザーにメッセージを示す」ことを有効にした場合、エージェント側の警告マネージャー１５２０を用いて、隔離モードの有効化の進捗に関する警告およびメッセージも表示される。マシンが隔離モードを終了することに失敗した場合、警告が示される。さらなる実施形態では、いくつかの警告メッセージは、警告マネージャー１５１２によって処理され、通知システムによって管理コンソール１５０８において示される。

一実施形態では、図１５の複数のコンポーネントは、エンドポイントにおける現在のポリシーの作成または変更を含むポリシー制御、新しいルールの作成、ファイアウォール設定の変更、およびデフォルトの動作のために使用される。

管理コンソール１５０８は、Ｗｉｎｄｏｗｓ、Ｌｉｎｕｘ、Ｓｏｐｈｏｓ、Ｃｉｓｃｏ、またはその他のものなど、選択されたタイプのサポートされるファイアウォールのためのポリシーの広範なポリシー構造（wide policy structure）を定義するために使用される。新しいポリシーは、ポリシーを検証するＧＲＰＭファイアウォールアドオン１５１０に送られる。ＧＲＰＭファイアウォールアドオンは、同期サービスアドオン１５１６を使用して現在のポリシーを取得し、新しいかまたは古いルールおよび設定をデータベースに追加し、変更し、およびデータベースから削除する。同期アルゴリズムに従って、（管理されるコンピュータがネットワーク上にあると仮定して）ＧＲＰＭファイアウォールアドオン１５１０とファイアウォールポリシーマネージャー１５２４との間の同期の初期化時に、新しいポリシーがファイアウォールポリシーマネージャー１５２４によって直接適用される。このステップは、管理されるファイアウォールのタイプに依存する。例えば、企業ファイアウォールは、広範なポリシー記述のうちの狭い部分のみをサポートする。ポリシーは、エージェント側のポリシーコレクタ１５２８およびファイアウォールポリシーマネージャー１５２４を用いて同期されたときに更新される。ポリシー競合は、ポリシー優先度に従って解決される。競合の詳細を示す複数の警告は、警告マネージャー１５１２によって処理される。

一実施形態では、ライブラリは、所与のエンドポイントに対して設定および適用されることができる、ルール、ユーザーグループ、一群のルール、またはデフォルトの動作などのポリシーの広範な記述（wide description）をサポートする。ポリシーは、パラメータ選択に基づいて定義される。

厳密なポリシーが要求され、企業ファイアウォールがそのポリシーをサポートすることができない場合、ＧＲＰＭファイアウォールアドオン１５１０は、ソフトウェアレベルで動作する他のデフォルト管理ファイアウォールタイプを含めることによって、この機能を提供する。一実施形態では、ポリシーの古い部分が変更され、データベースに保存されるか、またはデータベースから削除される。あるいは、ポリシーの新しい部分がデータベースに保存されたときにポリシーが更新される。

複数の企業ファイアウォールを有する実施形態では、広範なポリシーのいくつかの項目が利用可能でない場合、狭いポリシーのみが展開される。あるいは、ソフトウェアレベルの複数のファイアウォールについては、ポリシーの広範な構造が実装される。ポリシーの広範な構造は、Ｗｉｎｄｏｗｓ、Ｌｉｎｕｘ、Ｓｏｐｈｏｓ、Ｃｉｓｃｏなどの選択されたタイプのサポートされたファイアウォールについてのユーザーレベルまたはユーザーグループレベルの制限で定義される。ＧＲＰＭファイアウォールアドオン１５１０は、ポリシー検証を実行する。ＧＲＰＭファイアウォールアドオン１５１０は、同期サービスアドオン１５１６を使用して現在のポリシーを取得し、新しいかまたは古いルールおよび設定をデータベースに追加、変更、またはデータベースから削除し、変更をユーザーグループまたはユーザーに関連付ける。同期アルゴリズムに従って、ＧＲＰＭファイアウォールアドオン１５１０とファイアウォールポリシーマネージャー１５２４との間の同期の初期化時に、新しいポリシーがファイアウォールポリシーマネージャー１５２４によって直接適用される。このステップは、管理されるファイアウォールのタイプに依存する。ポリシーの更新は、エージェント側のポリシーコレクタ１５２８およびファイアウォールポリシーマネージャーを用いて同期中に行われる。ポリシー競合は、ポリシー優先度に従って解決される。競合の詳細を有する複数の警告は、警告マネージャー１５２０によって送信される。

一実施形態では、管理されたファイアウォールは、現在、複数のユーザーまたは一群のユーザーのポリシーをサポートしていない。この場合、特定の複数のユーザーおよび一群のユーザーについてのポリシーが、ユーザー起動（user activation）後に格納され、ロードされる。管理エージェント１５０４およびローカルデータベースが、これらのステップを実行する。

マシンが感染していない状態にある間にｕｒｌおよびホスト名を決定する機能を提供するために、バックエンドはＤＮＳサーバーのリストを受信する。バックエンドは、それらを「ＤＮＳサーバーの既知のＩＰアドレス」などのデータベースに格納する。バックエンドは、提供されたＤＮＳサーバーのリストをチェックする。所与のサーバーは、ＤＮＳＳＥＣをサポートするローカルのＷｉｎｄｏｗｓ Ａｃｔｉｖｅ ＤｉｒｅｃｔｏｒｙのＤＮＳサーバーまたはパブリックサーバーである場合に信頼できると見なされる。一実施形態では、検出プロセスで信頼できるとされたＤＮＳサーバーが、ｕｒｌおよびホスト名を決定するために使用される。

ＤＮＳサーバーのＩＰアドレスは、隔離モード中にｕｒｌおよびホスト名を決定する際のさらなる使用のために設定される。ＤＮＳサーバーが信頼できない場合、対応する警告メッセージが管理コンソール１５０８に表示される。ユーザー１５０６が許可した場合、信頼できるＤＮＳサーバーと同じようにインタラクションが行われる。バックエンドは、管理エージェント１５０４に、信頼できるＤＮＳサーバーのＩＰアドレスのリストと、ＩＰアドレスのリストに分けられるｕｒｌ及びホスト名のリストを送信する。管理エージェント１５０４は、対応する複数のＤＮＳサーバーにアクセスし、受信した複数のＩＰアドレス（決定されたｕｒｌおよびホスト名）をバックエンドに送信する。バックエンドは、アルゴリズムに従って、受信した複数のＩＰアドレスについての例外を構築する。隔離モードに入るとき、管理者の「許可されたリスト」ならびにバックエンドとインタラクションするためのポートおよびＩＰアドレスよりも多くの項目が必要とされる場合がある。これらは、ＤＮＳサーバーのためのポートおよびＩＰアドレスを含む。このポリシーに従って、動的ＩＰアドレスを更新する際に２つの主な手段がある。まず、管理エージェント１５２０は、ＤＮＳクライアントからのいくつかのイベントを検出する。この場合、エージェント１５２０は、バックエンドに「リフレッシュｐｉｎｇ要求」を送信し、ステップｂが開始する。第２に、バックエンドは、ＩＰアドレスのリストと一致するｕｒｌおよびホスト名の関連性を検証するために、検証要求をエージェント１５０４に送信する。このステップは、独立して、または第１の手段の結果として実行されることができる。代替実施形態では、第２の手段の前に、ユーザー１５０６は、バックエンド側の信頼できるＤＮＳサーバーのリストを変更する。そして、リフレッシュされた隔離ルールが管理エージェント１５０４に送信される。これは、好ましくは、隔離されたマシンが新しいＤＮＳサーバーにアクセスできるように行われる。管理エージェント１５０４は、ＩＰアドレスの受信された更新をバックエンドに渡し、バックエンドは、それらを既存のルールについてチェックし、変更が行われた場合にそれらを置き換える。変更を伴う新しい隔離ルールがエージェント１５０４に送信され、修正された隔離ルールがエージェント１５０４に適用される。

一実施形態では、動的ＩＰアドレスポリシーが更新される。例えば、管理エージェント１５０４上で実行されるＥｖｅｎｔ Ｔｒａｃｉｎｇ ｆｏｒ Ｗｉｎｄｏｗｓ（ＥＴＷ）は、Ｍｉｃｒｏｓｏｆｔ－Ｗｉｎｄｏｗｓ－ＤＮＳ－Ｃｌｉｅｎｔプロバイダから適切なイベントを検出する。この場合、エージェント１５０４は、隔離ポリシー内のいくつかのｕｒｌまたはホスト名に対応するＩＰアドレスの更新を開始する。１０分などの指定された設定可能な時間間隔に従って、エージェント１５０４は、適切なＩＰアドレスの更新を初期化する。管理者は、管理コンソールを使用して、選択されたエンドポイント上の動的ＩＰアドレスの更新を実施することができる。この場合、バックエンドは、エージェント１５０４に、隔離ポリシー内のいくつかのｕｒｌまたはホスト名に対応するＩＰアドレスの更新を開始させる。

隔離モードの実装のために、管理されたネットワーク内のすべてのマシンは、隔離される能力をサポートすべきである。現在、これらの要件は、Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓオペレーティングシステムを実行するマシンによって満たすことができる。また、適切なポリシー、例えば、ＪＳＯＮフォーマットのpolicy.machine.network_isolationが必要とされる：

ここで、「immediate action（即時動作）」は、以下の値を格納することができる：感染したデバイスのみを隔離すること、感染したデバイスを隔離してバックアップすること、感染したデバイスをフォレンジックデータで隔離してバックアップすること、デバイスを隔離して電源オフすること。許可されたプロパティは、（デフォルトの）インバウンド、アウトバウンド、またはインバウンドとアウトバウンドの両方のいずれであるかにかかわらず、トラフィック方向の指示とともに、その名前に対応する値を含むべきである。

分離ネットワークアドオンは、ポリシーおよびリソース特性（policy and resource traits）を記述するコンテンツでＰＯＳＴをGRPM /addons endpointにコールする（calling）こと(POST /api/resource_and_policy_addons/v1/addons)によって登録される。ＧＲＰＭアドオンのＲｅｓｔ ＡＰＩに従って、ネットワーク分離アドオンは、リソース検証検出（resource validation discovery）およびポリシー検証においてＧＲＰＭを支援する必要がある。新たに検出されたリソースタイプは、例えば、新たなマシンがネットワークに参加するときに検証される必要がある。ポリシー検証は、指定された許可リストに従って管理者によって設定されたポリシー構造を検証する「/validator」によって実施される。ポリシー検証はまた、「/applicability endpoints」によって実施され、これは、ポリシーがリソース、例えば、Ｗｉｎｄｏｗｓオペレーティングシステムを実行するマシンに適用できるかどうかをチェックするものである。ネットワーク分離がカスタム実行を有する必要があるので、ポリシー展開の処理は、「/deployment endpoint」によって実施される。ネットワーク分離ポリシーは非連続的な実行を想定しているので、この処理は「/run endpoint」によって実施される。

図１６は、図１５に関連して説明したＧＲＰＭアドオン特徴を有する実施形態１６００を示す。一実施形態では、強制フックインタフェース（mandatory hook interface）が使用され、アクセスが制御される。例えば、特別な権限を有するＧＲＰＭスーパーユーザーに、クラウドベースサービス１６０２と通信しているコンソール１６０１を介して強制フックインタフェースを使用する唯一の権限を与えることができる。管理下にあるのは、サーバー１６０４、２つのエンドポイント１６０６，１６０８であり、スイッチ１６１０で接続されている。一実施形態では、ファイアウォール１６１２は、その背後の他のネットワークリソースを保護する企業ファイアウォールを指す。

エンドポイント１６０６，１６０８は、エンドポイントファイアウォール管理エージェント１６２０，１６３０と、エンドポイントファイアウォール１６２２，１６３２とを含む。サーバー１６０４は、集中型のファイアウォール管理エージェント１６４０およびエンドポイントファイアウォール１６４２を含む。

クラウドベースのサービス１６０２は、ＧＲＰＭ１６５０、ファイアウォール管理ＧＲＰＭアドオン１６５２、およびＧＲＰＭアドオン１６５２と通信するポリシーストレージ１６５４を含む。

上述したシステムおよび方法は、企業コンピュータネットワーク環境において具体化される。本発明の文脈における企業とは、管理された複数のエンドポイントおよび集中型の管理サーバーを使用することを指す。そのような設定は、民間組織、非営利団体、および政府機関によって具体化され得る。

Claims (20)

1. 複数のエンドポイントを有するコンピュータネットワークにおいてマシンを隔離するシステムであって、
   集中型のファイアウォール管理サービスと、
   管理下の複数のエンドポイントに搭載された１または複数のファイアウォール管理エージェントと、を備え、
   前記ファイアウォール管理サービスは、少なくとも１つのエンドポイントについての隔離モードを展開するように構成されており、
   アプリケーションファイアウォール設定、ファイアウォールの権限付与および設定は、前記ファイアウォール管理サービスによって制御される、システム。
2. 前記ファイアウォール管理サービスおよび前記１つまたは複数のファイアウォール管理エージェントは、前記ファイアウォール管理サービスと前記１つまたは複数のファイアウォール管理エージェントとの間の直接ポリシー同期を実行する、請求項１に記載のシステム。
3. 前記ファイアウォール管理サービスは、ファイアウォールポリシーの階層を含む、請求項２に記載のシステム。
4. 前記複数のエンドポイントは、複数のファイアウォールポリシーを有するソフトウェアを含み、前記ソフトウェアに適用される前記複数のファイアウォールポリシーは、前記ネットワークのレベルで適用するポリシーよりも広い、請求項３に記載のシステム。
5. 隔離モードの複数のルールは、エンドポイントへのすべてのネットワークトラフィックおよびエンドポイントからのすべてのネットワークトラフィックをブロックするが、該隔離モードの複数のルールは、着信および発信ネットワークトラフィックに関するバリアから１つまたは複数のサービスを除外するように設定されている、請求項３に記載のシステム。
6. 前記ファイアウォールポリシーの階層において、隔離ポリシーは、最高優先度のポリシーである、請求項５に記載のシステム。
7. 現在の複数のファイアウォールポリシーが、統一されたポリシー表現フォーマットに変換される、請求項６に記載のシステム。
8. 前記ファイアウォール管理サービスは、複数のＩＰアドレスの動的スキャンを実行するように構成されている、請求項６に記載のシステム。
9. ファイアウォール管理サービスと、複数のエンドポイントにおいて１つまたは複数のマシンに搭載された１つまたは複数のファイアウォール管理エージェントと、を有するコンピュータネットワーク内のエンドポイントを隔離するための方法であって、
   マルウェアに感染したエンドポイントを特定すること、
   指定された複数のサービスによる前記マシンへのアクセスを可能にする前記エンドポイントのための複数のファイアウォールポリシーを設定すること、
   隔離された前記マシンの前記マルウェアを除去すること、
   前記隔離されたマシンのための複数のネットワークファイアウォールルールを復元すること、を備える方法。
10. 前記ファイアウォール管理サービスおよび１つまたは複数のファイアウォール管理エージェントによる直接ポリシー同期を行うことをさらに備える請求項９に記載の方法。
11. ファイアウォールポリシーの階層に従って複数のファイアウォールポリシーを同期させることをさらに備える請求項１０に記載の方法。
12. 前記複数のエンドポイントは、複数のファイアウォールポリシーを有するソフトウェアを含み、
    前記ネットワークのレベルで適用するポリシーよりも広い前記ソフトウェアに適用される前記複数のファイアウォールポリシーを設定することをさらに備える請求項１１に記載の方法。
13. 着信および発信ネットワークトラフィックを制御する複数のファイアウォールポリシーに従って、前記マシンへの１つまたは複数のサービスによるアクセスを許可し、それ以外はブロックすることをさらに備える請求項１２に記載の方法。
14. 前記ファイアウォールポリシーの階層において、隔離ポリシーは、最高優先度のポリシーである、請求項１３に記載の方法。
15. 現在の複数のファイアウォールポリシーを、統一されたポリシー表現フォーマットに変換することをさらに備える請求項１１に記載の方法。
16. 前記ファイアウォール管理サービスを用いて複数のＩＰアドレスの動的スキャンを実行することをさらに備える請求項１１に記載の方法。
17. 前記マシンは、サーバーである、請求項１１に記載の方法。
18. ファイアウォール管理サービスおよびファイアウォール管理エージェントによって管理下にあるコンピュータネットワーク内のマシンを隔離する手段であって、
    マルウェアに感染したマシンを隔離する手段と、
    隔離された前記マシンへのアクセスを管理する１つまたは複数のルールを作成する手段と、
    前記隔離されたマシンをその隔離前の状態に回復させる手段と、を備える手段。
19. 隔離されたマシンを回復させた後に変更された複数のファイアウォールポリシーを保存する手段をさらに備える請求項１８に記載の手段。
20. 利用可能な複数のライブラリから現在の複数のプラグインパラメータを取得し、現在のファイアウォール設定にアクセスし、複数のファイアウォール設定またはパラメータを取得することによって、複数のファイアウォールルールを設定するＡＰＩ手段をさらに備える請求項１８に記載の手段。

Images