JP2023541643A - ローミングｄｎｓファイアウォール - Google Patents

Abstract

モバイルコンピューティングデバイス上に提供されるエンドポイントエージェントによる実行のために、ローミングドメインネームシステム（ＤＮＳ）ファイアウォールが提供される。モバイルコンピュータデバイスは、未知の、信頼できない、又は検証されていないネットワークに定期的に接続しているので、モバイル労働人口の増加は、セキュリティの課題を提示する。これらのネットワークは、トラフィックを安全でないホストにリダイレクトするために利用され得る悪意のあるＤＮＳサーバにＵＲＬ解決要求をルーティングすることによって、組織にセキュリティリスクを与える可能性がある。モバイルコンピューティングデバイス上のローミングＤＮＳファイアウォールは、ネットワークへのアクセスを監視して、関連付けられたネットワークパラメータに基づいて、ネットワークが安全であるか安全でないかを判定する。安全でないネットワークの判定に応答して、ＤＮＳ要求が悪意のあるＤＮＳホストによって処理されないことを保証するために、ＤＮＳ識別子が修正されるか、又は信頼されたＤＮＳに信頼させる。

Description

（関連出願の相互参照）
本出願は、２０２０年９月１５日に出願された米国特許仮出願第６３／０７８，８４８号に対する優先権を主張し、その全体が参照により本明細書に組み込まれる。

（発明の分野）
本開示は、ドメインネームシステム（domain name system、ＤＮＳ）に関し、特に、安全でないネットワークへのクライアントコンピュータＤＮＳの関連付けに関する。

ドメインネームシステム（ＤＮＳ）は、要求されたホストが意図された宛先に解決されることを保証するために、ドメイン名アドレスのソースを信頼することに依拠する。クライアントコンピュータは、ＤＮＳサーバに依拠して、ユニバーサルリソースロケータ（Universal Resource Locator、ＵＲＬ）をＩＰアドレス及び関連するリソースに解決する。ＤＮＳサーバは、通常、信頼できると想定されるが、セキュアな企業ネットワーク外のモバイルワーカーの増加とともに、「在宅勤務」移行は、従業員デバイスがローミングし、セキュアでない外部ネットワークにアクセスすることをもたらした。安全でない、未知の、又は検証されていないネットワークは、仕事関連タスクを実行するためにコーヒーショップ、レストラン、ホテルなどで提供される無料Ｗｉ－Ｆｉネットワークなどのゲストネットワークの形態をとることがある。クライアントコンピュータが新しいネットワークに接続するとき、ダイナミックホスト制御プロトコル（Dynamic Host Control Protocol、ＤＨＣＰ）は、インターネットプロトコル（Internet Protocol、ＩＰ）アドレスをデバイスに割り当て、ゲートウェイ及びＤＮＳルーティング情報を提供する。ＤＨＣＰを利用することが必要であるため、割り当てられたＤＮＳが信頼できない可能性があり、ユーザデータを有害なサーバ又はウェブサイトにリダイレクトするために利用されることがあり、したがって、中間者攻撃の可能性が生じる。従来のファイアウォール機能では、ローカルホストＩＰがＤＮＳサーバとして一般的に利用されるので、潜在的に悪意のあるＤＮＳサーバを区別することができず、ＩＰアドレスのみに基づいて悪意のあるＤＮＳサーバを識別する能力がない。仮想プライベートネットワーク（virtual private network、ＶＰＮ）は、このタイプの攻撃を低減することができるが、ＶＰＮへの接続を確立する前にユーザデータが潜在的に露出されないように保護することが問題であるため、一定のＶＰＮ接続を維持することは問題である。したがって、ローミングユーザが新しいネットワークに接続するとき、悪意のあるＤＮＳサーバに接続される機会が存在する。

したがって、ネットワーク化されたコンピュータデバイスをローミングするための改善されたＤＮＳファイアウォール保護を可能にするシステム及び方法は、依然として非常に望ましい。

本開示の更なる特徴及び利点は、添付の図面と組み合わせて、以下の詳細な記載から明らかになるであろう。
ローミングＤＮＳファイアウォール機能を含むシステムの一実施形態の表現を示す。 エンドポイントエージェント動作の動作方法の一例を示す。 エンドポイントエージェントによってセキュアなＤＮＳアドレスを適用する方法の一例を示す。 ローミングＤＮＳファイアウォールによるＤＮＳオーバーライド保護の方法の一例を示す。 代替的なＤＮＳオーバーライド保護の方法の一例を示す。 ＤＮＳファイアウォール配備管理の方法の一例を示す。

添付の図面を通して、同様の特徴は同様の参照番号によって識別されることに留意されたい。

一実施形態では、モバイルコンピューティングデバイス上でローミングドメインネームシステム（ＤＮＳ）ファイアウォールを起動する方法が提供され、この方法は、
モバイルコンピューティングデバイスのネットワークインターフェース上で新しいネットワークへのネットワーク接続を検出することと、
新しいネットワークに関連付けられた複数のネットワークパラメータを特徴付けることと、
複数のネットワークパラメータの特徴付けに基づいて安全なネットワークプロファイルを受信することと、
受信された安全なネットワークプロファイルからのＤＮＳ識別子で、ネットワークインターフェースに関連付けられたＤＮＳ識別子を修正することと、を含む。

上記で概説した方法の更なる実施形態では、安全なネットワークプロファイルは１つ以上の信頼できるＤＮＳ識別子を識別し、安全なネットワークプロファイルはリモート管理サーバから受信され、ローミングＤＮＳファイアウォールはモバイルコンピューティングデバイス上で実行中のセキュリティエージェントによって提供される。

上記で概説した方法の更なる実施形態では、ＤＮＳ識別子は、特徴付けられた複数のネットワークパラメータが安全でないと判定されたときに修正される。

上記で概説した方法の更なる実施形態では、複数のネットワークパラメータの特徴付けは、ネットワークタイプ、ネットワーク名、Ｗｉ－Ｆｉ ＢＢＳＩＤ、プライマリドメイン、検索ドメインエントリ、現在のＩＰｖ４ ＤＮＳエントリ、及び現在のＩＰｖ６ ＤＮＳエントリを含む群から選択される１つ以上のパラメータに基づいて、安全ではない。

上記で概説した方法の更なる実施形態では、本方法は、ＤＮＳ識別子が成功裏に修正されたことを検証することを更に含む。

上記で概説した方法の更なる実施形態では、本方法は、特徴付けられた複数のネットワークパラメータに基づいて安全なネットワークプロファイルに対する要求をリモートサーバに送信することを更に含む。

上記で概説した方法の更なる実施形態では、ローミングＤＮＳファイアウォールは、モバイルコンピューティングデバイス上で実行中のエンドポイントエージェントによって提供される。

上記で概説した方法の更なる実施形態では、ＤＮＳ識別子を修正することは、
安全なネットワークプロファイルからＤＮＳレジストリ値を構築することと、
ネットワークインターフェースカード（network interface card、ＮＩＣ）汎用一意識別子（Universally Unique Identifier、ＵＵＩＤ）にＤＮＳレジストリ値を適用することと、
新しいネットワークから切断することと、
セキュリティエージェントをシャットダウンすることと、
新しいネットワークを再接続することと、
エンドポイントエージェントを開始することと、
レジストリＤＮＳ値が維持されていることを検証することと、を含む。

上記で概説した方法の更なる実施形態では、レジストリＤＮＳ値が変更されている場合、方法は、失敗を報告することを更に含む。

上記で概説した方法の更なる実施形態では、本方法は、安全なＤＮＳ識別子が維持されていることを判定するために、ＤＮＳ識別子を定期的にポーリングすることを更に含む。

上記で概説した方法の更なる実施形態では、本方法は、
パラメータ変更を識別するために、複数のネットワークパラメータに関連付けられたレジストリを監視することと、
カーネル変更通知を受信するか、又は特定のレジストリデータへの変更をポーリングすることによって受信することと、
カーネル変更通知がＤＮＳ識別子に関連付けられているかどうかを検証することと、
カーネル変更がＤＮＳ識別子に関連付けられているとき、ＤＮＳオーバーライドをロギングすることと、を含む。

上記で概説した方法の更なる実施形態では、ＤＮＳ識別子は、信頼できるＤＮＳに関連付けられる。

上記で概説した方法の更なる実施形態では、ＤＮＳローミングファイアウォールは、信頼できるネットワーク上では非アクティブ化される。

上記で概説した方法の更なる実施形態では、複数のネットワークパラメータは、ダイナミックホストコンフィギュレーションプロトコル（Dynamic Host Configuration Protocol、ＤＨＣＰ）メッセージで受信される。

上記で概説された方法の更なる実施形態では、ネットワークインターフェースに関連付けられたＤＮＳ識別子を修正することは、関連付けられたレジストリキーで定義される。

また更なる実施形態では、本明細書で概説される方法のうちのいずれか１つのローミングドメインネームシステム（ＤＮＳ）ファイアウォールを実行するためのモバイルコンピューティングデバイスが提供される。

また更なる実施形態では、プロセッサによって実行されると、本明細書に概説される方法のうちのいずれか１つを行う命令を含む非一時的コンピュータ可読メモリが提供される。

更なる実施形態では、ローミングＤＮＳファイアウォール管理サーバを提供する方法が提供され、この方法は、
それぞれのモバイルコンピューティングデバイス上で実行される複数のエンドポイントエージェントによって観察された複数のネットワーク特徴付けを受信することと、
複数のネットワーク特徴付けから安全なネットワークパラメータを判定することと、
複数のネットワークパラメータから、信頼できるＤＮＳ識別子を識別する安全なネットワークプロファイルを生成することと、
安全なネットワークプロファイルを要求側モバイルコンピューティングデバイスに送信することと、を含む。

実施形態は、単に例として、図１～図６を参照して以下に説明される。本明細書に開示される全ての態様、実施形態及び例は、非限定的であることが意図される。

コンピュータが安全でない、検証されていない、又は未知のネットワークに接続しているときに、コンピュータを保護又は実質的に保護するローミングＤＮＳファイアウォール機能が提供される。この機能により、オペレータ（又は顧客）は、ＤＮＳ値が安全であると考えられる安全なネットワークのセットと、安全なネットワークリストにないネットワークにホストが接続するときに動的に適用されるＤＮＳ情報のセットとを定義することができる。

本開示の一態様によれば、モバイルコンピューティングデバイス上でローミングドメインネームシステム（ＤＮＳ）ファイアウォールを起動する方法が提供され、この方法は、モバイルコンピューティングデバイスのネットワークインターフェース上で新しいネットワークへのネットワーク接続を検出することと、新しいネットワークに関連付けられた複数のネットワークパラメータを特徴付けることと、複数のネットワークパラメータの特徴付けに基づいて安全なネットワークプロファイルを受信することと、受信された安全なネットワークプロファイルからのＤＮＳ識別子で、ネットワークインターフェースに関連付けられたＤＮＳ識別子を修正することと、を含む。

本開示の更に別の態様によれば、開示される方法のローミングドメインネームシステム（ＤＮＳ）ファイアウォールを実行するためのモバイルコンピューティングデバイスが提供される。

本開示の更に別の態様によれば、プロセッサによって実行されると、開示された方法を行う命令を含む非一時的コンピュータ可読メモリが提供される。

本開示の別の態様によれば、ローミングＤＮＳファイアウォール管理サーバを提供する方法が提供され、この方法は、それぞれのモバイルコンピューティングデバイス上で実行される複数のエンドポイントエージェントによって観察される複数のネットワーク特徴付けを受信することと、複数のネットワーク特徴付けから安全なネットワークパラメータを判定することと、複数のネットワークパラメータから、信頼できるＤＮＳ識別子を識別する安全なネットワークプロファイルを生成することと、安全なネットワークプロファイルを要求側モバイルコンピューティングデバイスに送信することと、を含む。

図１は、ローミングＤＮＳファイアウォール機能を含むシステムの表現を示す。企業ネットワーク１１０環境では、コンピュータ１１２、１１６、及び１１８などのコンピューティングデバイスは、ＵＲＬ識別子を解決するためにセキュアＤＮＳ１１４「１９２．１．９９．４３ １９２．１．９９．４４」を利用して、制御され検証された設定で動作することができる。コンピュータ１６０などのコンピューティングデバイスが、外部の安全でない、検証されていない、又は未知のネットワーク１５０上でオフィス環境の外でローミングするとき、ダイナミックホストコンフィギュレーションプロトコル（ＤＨＣＰ）を介してネットワークへのアクセスを取得するプロセスは、悪意のある、又は信頼できないＤＮＳ１５２を使用することによって、悪者がユーザトラフィックをリダイレクト又は傍受することを可能にする。コンピュータ１６０は、メモリ１６４によって提供される処理機能を実行するためのプロセッサを含む。１つ以上のネットワークインターフェース（ＮＩＣ）１６６は、それぞれのネットワークにログオンするときにＮＩＣ１７２のＤＨＣＰメッセージを構成することによって、ネットワーク１５０、１１０への有線又は無線アクセスを可能にする。エンドポイントエージェント機能１７０は、コンピュータ１６０上で実行され、ネットワーク接続の監視を可能にし、管理サーバ１２０などの管理エンティティにセキュリティ機能を提供する。エンドポイントエージェント１７０は、新しいネットワーク接続を識別し、ネットワーク接続に関連するパラメータを特徴付けて、ネットワークが安全であるかどうかを判定する。ネットワークの特徴付けは、デバイス１６０に提供されるＤＮＳ ＩＰ １５２「１９２．１６８．１．１ １９２．１６８．１．２」が潜在的に安全ではなく、検証された安全なＤＮＳ ＩＰ １３２「８．８．８．８ ８．８．８．４」と置換されるべきかどうかの判定を可能にする。特徴付けは、安全なネットワークプロファイル１８０に関連付けられたパラメータによって定義される。安全なネットワークプロファイルは、管理サーバ１２０及び関連するストレージ１２２によって提供され、相対的なネットワークパラメータ、ネットワークタイプ、ネットワーク識別子、ロケーション、ユーザタイプ、デバイスタイプ、又はアプリケーションタイプを定義する。管理サーバ１２０はまた、エンドポイントエージェントから監査１２４ログを提供して、ＤＮＳ値が上書きされたか、又は適用されなかったかを判定することができる。管理サーバ１２０は、企業又は顧客ネットワーク内でホストされてもよく、分散又はクラウドベースのアーキテクチャを利用してもよい。

以下の例は、開示されたローミングＤＮＳファイアウォール機能が、「在宅勤務」配信又は頻繁に移動するものなどの動的なプロフェッショナル環境において保護を提供することができる場合である。

第１のシナリオは、日々の「在宅勤務」を含み、顧客の従業員は、彼らのホームＷｉ－Ｆｉ接続を使用して、彼らのパーソナルラップトップを会社のＶＰＮに定期的に接続する。従業員が会社のＶＰＮに接続すると、彼らのラップトップは、ＶＰＮに関連付けられた安全なＤＮＳ情報のセットを提供する内部ＤＮＳ情報を受信する。しかしながら、顧客従業員がＶＰＮから切断すると、ローミングＤＮＳファイアウォールは直ちにオンになる。これは、従業員のワークステーションが、有害なサーバを指すＤＮＳエントリを参照する悪いウェブサイト又は埋め込まれたウェブサイトコンテンツの被害を受けないことを確実にする。

日々の「在宅勤務」における第２のシナリオは、企業ＶＰＮが存在しないシナリオである。場合によっては、従業員は仕事用ラップトップを持って１週間に１日オフィスに行き、オフィスネットワークに接続されている間、ネットワーク情報はＤＮＳ情報の内部セットを提供する。しかしながら、１週間のうちの他の４日間、顧客は自宅外又はコーヒーショップで仕事する。従業員がオフィスネットワーク以外のネットワークに接続するとき、ローミングＤＮＳファイアウォールは、審査されたＤＮＳ情報の承認されたセットを適用し、従業員はそれで保護される。

ローミングＤＮＳファイアウォールが非常に有用である第３のシナリオは、仕事の一部として頻繁に移動する従業員の場合である。特に、他の国では、宛先インターネットの一般的な安全性はほとんど知られていない。ローミングＤＮＳファイアウォールは、顧客ネットワーク管理者が、顧客が移動しているときに有効にされるＤＮＳ情報の承認されたセットを構成することを可能にする。

上記のシナリオに加えて、ローミングＤＮＳファイアウォールは、顧客ネットワーク及び分散作業環境に最良に適合するように、様々な程度の保護に使用することができる。ローミングＤＮＳファイアウォールはまた、顧客体験を改善し、追加の保護を提供する追加の特徴を有してもよく、それは以下の通りである。

エンドポイントエージェントが所与のホストのローミングＤＮＳファイアウォールを有効／無効にするたびに、詳細なログが、エンドポイントエージェントによって行われた変更の完全な監査証跡を提供するセキュリティ機器（オンサイト又はクラウドベース）に送信される。この監査能力は、顧客の追加レベルを容易にすることができる。

ローミングＤＮＳファイアウォールの改ざん防止保護も、エンドポイントエージェントによって提供される。これは、従業員がローミングＤＮＳファイアウォール設定を無効にしようと試みた場合、又は潜在的なサイバー脅威が同じことを行おうと試みた場合、それらがブロックされ、ログが内部セキュリティ機器又は外部ホストに送信され得ることを意味する。

既存のソリューションとは異なり、ローミングＤＮＳファイアウォールは、顧客インフラストラクチャ全体にわたって追加のネットワーク機器又は構成の配置を必要としないものである。この機構は、オペレータ（又は自動化を介したバックエンドシステム）が、安全なネットワークと考えられるネットワーク（安全ネットワークリスト）と、安全ネットワークリストにないネットワークにホストが接続されたときに適用されるローミングＤＮＳ情報（ＤＮＳオーバーライド）のセットとを記述できるようにすることによって機能する。この機構には、安全ネットワークとＤＮＳオーバーライドという２つの記述的な情報セットがある。

安全なネットワーク
定義される必要がある第１のデータオブジェクトは、安全なネットワークである。ネットワークを記述する情報のユニバーサルセットが存在しないので、物理ネットワーク（ＬＡＮ又はＷＡＮ）、Ｗｉ－Ｆｉネットワーク、セルラーデータネットワーク、仮想プライベートネットワーク（ＶＰＮ）などを記述するために使用され得る共通又は一意の特性のセットが定義される必要がある。有線ＬＡＮなどのいくつかのケースでは、利用可能な情報は、デバイスがネットワークに接続するときにゲートウェイによって提供されるものであり、したがって、特性は、ネットワーク自体の物理特性ではなく、むしろ存在しているものである。

この課題のために、ネットワークが定義される方法は、安全なネットワークエンティティを記述するデータセットとして組み合わされる１つ以上の特性によるものである。一致とみなされるためには、全ての指定されたフィールドが一致しなければならず、安全なネットワークを識別するためには、１つのフィールドだけが必須である。
ネットワークタイプ－有線又はＷｉ－Ｆｉ又は仮想などのネットワークのタイプ。
ネットワーク名－Ｗｉ－ＦｉネットワークのＳＳＩＤ又はネットワークケーブルが差し込まれたときに報告される「ＬＡＮ接続」など、オペレーティングシステムによって提示されるネットワーク名。
Ｗｉ－Ｆｉ ＢＳＳＩＤ－Ｗｉ－Ｆｉネットワークを識別する一意のＭＡＣアドレス。
プライマリドメイン－接続時に提供されるネットワークに関連付けられたプライマリドメインストリング。
検索ドメインエントリ－接続時に提供されるネットワークに関連付けられた１つ以上の検索ドメインプレフィックス。
現在のＩＰｖ４ ＤＮＳエントリ－接続時に提供されるネットワークに関連付けられた１つ以上のＩＰｖ４ ＤＮＳエントリ。
現在のＩＰｖ６ ＤＮＳエントリ－接続時に提供されるネットワークに関連付けられた１つ以上のＩＰｖ６ ＤＮＳエントリ。

以下は、特定の顧客トポロジに対して定義され得る安全なネットワークの例示的なセットである。

安全なネットワーク＃１
本社における顧客の主物理ネットワークであるこのネットワークは、管理ドメインと内部ＤＮＳサーバとを含む。
検索ドメイン＃１＝”ＡｃｍｅＮｅｔ”
ＩＰｖ４ ＤＮＳ＃１＝１９２．１．９９．４３
ＩＰｖ４ ＤＮＳ＃２＝１９２．１．９９．４４

安全なネットワーク＃２
このネットワークは、顧客リモートサイトにあるＷｉ－Ｆｉネットワークである。そのＷｉ－Ｆｉネットワークを識別する最も効果的な方法は、ＢＳＳＩＤによるものであるが、内部ＤＮＳなどの任意の追加情報も、ＢＳＳＩＤスプーフィングを回避するのに役立つ可能性がある。
Ｗｉ－Ｆｉ ＢＳＳＩＤ＝３４：２９：Ｆ３：２３：５５：２５

ＤＮＳオーバーライド
メッセージング／処理は、プライマリドメイン、検索プレフィックス、ＩＰｖ４及びＩＰｖ６のサポートも容易に可能にする。したがって、ＤＮＳオーバーライド情報を指定することは、単に１つ以上のＩＰｖ４ ＤＮＳ値を指定することである。例えば、以下のＩＰｖ４ ＤＮＳ値を使用することができる（これはＧｏｏｇｌｅのＩＰｖ４ ＤＮＳ値である）。
ＤＮＳ １＝８．８．８．８
ＤＮＳ ２＝８．８．４．４

これらのＤＮＳ値が実際に何であるかに関して、これは動作決定である。これは、例えば、ルックアップを処理し、それらを検証のためにローカル領域内のＤＮＳセキュリティ権限にルーティングするプロキシであり得る。

図２は、例えば、Ｗｉｎｄｏｗｓ（商標）動作環境において提供されるようなエンドポイントエージェント動作の動作方法２００を示す。ローミングＤＮＳファイアウォールは、ネットワーク（２０２）を特徴付け、受信した安全なネットワークプロファイル（２０６）に対して相互参照することによって、受信した安全なネットワークプロファイルと比較して、定義された安全なネットワークのいずれにも一致しないネットワーク（２０４）への接続を検出することによって機能する。安全なネットワークプロファイルは、いつでも更新及び受信することができる。ネットワークが安全であるとみなされる場合（２０８ではい）、接続は、例えば、図４及び図５の方法に従って、任意の変更について監視される。ネットワークが安全であるとみなされない場合（２０８でいいえ）、「安全でない」ネットワーク接続を容易にするＮネットワークＩインターフェースＣ及び（ＮＩＣ）上のＤＮＳ設定が適用され、これは、例えば、図３の方法に従って適用され得る。プロファイルの適用は、正しい値が有効であることを保証するために検証され（２１２）、次いで、例えば、図４及び図５のように、可能なオーバーライドイベントについて監視される。

Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓは、レジストリデータを利用して、ＩＰｖ４ ＤＮＳ情報をＮＩＣごとに以下の位置に格納する。
＼ＨＫＬＭ＼ＳＹＳＴＥＭ＼ＣｕｒｒｅｎｔＣｏｎｔｒｏｌＳｅｔ＼Ｓｅｒｖｉｃｅｓ＼Ｔｃｐｉｐ＼Ｐａｒａｍｅｔｅｒｓ＼Ｉｎｔｅｒｆａｃｅｓ＼

各ＮＩＣは、ＵｎｉｖｅｒｓａｌｌｙＵｎｉｑｕｅ Ｉｄｅｎｔｉｆｉｅｒ（ＵＵＩＤ）サブキーによって識別され、これは、ＮＩＣが物理ネットワークカードを表すか、又は仮想ネットワークアダプタを表すかにかかわらず存在する。各ＮＩＣに固有の情報は、ＤＮＳ情報を含む２つのレジストリ値を含む、そのサブキー内のレジストリ値として記憶される。これらの値は存在しても存在しなくてもよい。それらの存在は、ＮＩＣに対するＤＮＳ構成によって完全に指示される。タイプＲＥＧ＿ＳＺのこれらの値は、以下の通りである。
＼ＨＫＬＭ＼ＳＹＳＴＥＭ＼ＣｕｒｒｅｎｔＣｏｎｔｒｏｌＳｅｔ＼Ｓｅｒｖｉｃｅｓ＼Ｔｃｐｉｐ６＼Ｐａｒａｍｅｔｅｒｓ＼Ｉｎｔｅｒｆａｃｅｓ＼［ＮＩＣ－ＵＵＩＤ］＼ＮａｍｅＳｅｒｖｅｒ－静的ＤＮＳ（手動で構成される）
＼ＨＫＬＭ＼ＳＹＳＴＥＭ＼ＣｕｒｒｅｎｔＣｏｎｔｒｏｌＳｅｔ＼Ｓｅｒｖｉｃｅｓ＼Ｔｃｐｉｐ６＼Ｐａｒａｍｅｔｅｒｓ＼Ｉｎｔｅｒｆａｃｅｓ＼［ＮＩＣ－ＵＵＩＤ］＼ＤｈｃｐＮａｍｅＳｅｒｖｅｒ－ダイナミックＤＮＳ（ＤＨＣＰ経由）

各レジストリ値の内容は、ＩＰｖ４ ＤＮＳ値の空間分離リストを含むストリングであり、例は以下の通りである。
「８．８．８．８ ８．８．４．４」

図３を参照すると、ＮＩＣごとにＤＮＳ構成を変更する方法３００では、以下のステップがエンドポイントエージェントによって実行される（これは、必要なときに元のＤＮＳ情報を復元するために実行されるものでもある）。空間分離されたＤＮＳ値の新しいストリングが構築される（３０２）。静的ＤＮＳが使用されているか（ＮａｍｅＳｅｒｖｅｒ値）、又はＤＨＣＰを介して割り当てられた動的ＤＮＳが使用されているか（ＤｈｃｐＮａｍｅＳｅｒｖｅｒ）に応じて、ＮＩＣの適切なレジストリ値が変更される（３０４）。ＤＮＳ値は、新しいＤＮＳ設定をアクティブにする（レジストリ内にあるものからアクティブＤＮＳ情報を復元する）ことによってアクティブ化される（３０６）：「ｉｐｃｏｎｆｉｇ／ｆｌｕｓｈｄｎｓ」。

ＮＩＣごとのＤＮＳ情報が修正されると、エージェントは、以下の場合に元の値の復元を保証する。

ホストは、関連するＮＩＣがオーバーライドされたＤＮＳ情報を有する安全でないネットワークから切断される。

エージェントはシャットダウンする（アップグレード、アンインストール、又は一般的なホストシャットダウンの場合）。

エージェントが開始され、以前のＤＮＳオーバーライドがその元の値に戻されなかったことを認識し、これは、エージェント又はホストが予期せずクラッシュした場合に起こり得る。

ＤＮＳ値が正しい場合（３０８ではい）、オーバーライド保護は、例えば、更に説明される図４及び図５のように実行され得る。値が正しくない場合（３０８でいいえ）、障害を管理システム（３１０）に報告することができ、追加の修復アクションを実行することができる。

等価なＩＰｖ６情報は、以下のレジストリキー（及び後続のＮＩＣごとのキー及び値）において見つけることができる。
＼ＨＫＬＭ＼ＳＹＳＴＥＭ＼ＣｕｒｒｅｎｔＣｏｎｔｒｏｌＳｅｔ＼Ｓｅｒｖｉｃｅｓ＼Ｔｃｐｉｐ６＼Ｐａｒａｍｅｔｅｒｓ＼Ｉｎｔｅｒｆａｃｅｓ＼［ＮＩＣ－ＵＵＩＤ］

以下のように、より高いレベルで見出されるＩＰｖ４ ＤＮＳ情報も存在することに留意されたい。
＼ＨＫＬＭ＼ＳＹＳＴＥＭ＼ＣｕｒｒｅｎｔＣｏｎｔｒｏｌＳｅｔ＼Ｓｅｒｖｉｃｅｓ＼Ｔｃｐｉｐ＼Ｐａｒａｍｅｔｅｒｓ

ＤＮＳオーバーライドは、ホスト全体ではなく、ネットワークごとに実装される。これは、最終的に、ルーティングテーブルが期待されるように機能することを可能にし、同時に接続される複数のネットワークをサポートする。これは、ＶＰＮ及び潜在的にゲートウェイホストを利用する共有物理接続に関して重要な意味を有する（ただし、複数のネットワークがＤＮＳを提供していることが予想される場合、ゲートウェイに対するＤＮＳクエリは非常に複雑になる）。

ＤＮＳオーバーライド保護
ＮＩＣごとのＤＮＳを管理するレジストリキーは、通常のＷｉｎｄｏｗｓオペレーティングシステムタスクの一部として変更され得るが、マルウェアが通常のＤＮＳサーバを妨害することを望む場合、潜在的に悪意のある方法で変更されることもある。例えば、ＤＨＣＰを使用するように構成されたＮＩＣは、ＤＨＣＰプロバイダによって構成されたリース期限を有し、これは典型的には３０日ごとである。更新が発生すると、ホストはＤＨＣＰ及びＤＮＳ情報（典型的な構成）の完全なセットを受信し、その結果、ＤＮＳレジストリ値が元の値にリセットされる。ローミングＤＮＳファイアウォールがアクティブであったときにこれが発生した場合、ローミングＤＮＳファイアウォールが無効化されることになる。

このため、レジストリ値が修正された場合に、オーバーライド値が適切な値に戻されることを保証するために、保護機構が必要とされた。Ｗｉｎｄｏｗｓは、ユーザモードから特定のレジストリキー／値へのアクセスをブロックする機構、又は特定のレジストリキー／値を監視し、実際に変更されたものを同じコールバックコンテキストで通知する通知機構を持たないので、２つの潜在的な手法が可能である。図４は、ＤＮＳオーバーライド保護の方法４００を示す。期待値（すなわち、オーバーライドＤＮＳ情報）は、キャッシュされ（４０２）、特定のレジストリデータに対する変更をポーリングすることによって、毎秒１回など、値が依然として適切な値であることを定期的に検証される（４０４）。期待されるＤＮＳ値が存在する場合（４０４ではい）、モニタポーリングプロセスが継続する。期待値が適切な値でない場合（４０４でいいえ）、値は、既知の安全値に対して識別される（４０６）。識別されたネットワークが安全である場合（４０８ではい）、モニタポーリングプロセスは継続するが、値が安全でない場合（４０８でいいえ）、オーバーライドイベントが記録され（４１０）、管理システムに提供され、値は、予想されるベースラインを有する変更された値と置き換えられる。次に、ローミングＤＮＳファイアウォールを再起動して（４１２）、安全なＤＮＳ値を適用することができる。

図５は、ＤＮＳオーバーライド保護の代替方法５００を示す。期待値（すなわち、オーバーライドＤＮＳ情報）がキャッシュされる（５０２）。システムサーバプロセスＮｔＮｏｔｉｆｙＣｈａｎｇｅＫｅｙは、レジストリ（５０４）の下で全てのレジストリ値アクティビティを（再帰的に）監視するために利用される。
ｋｅｙ＼ＨＫＬＭ＼ＳＹＳＴＥＭ＼ＣｕｒｒｅｎｔＣｏｎｔｒｏｌＳｅｔ＼Ｓｅｒｖｉｃｅｓ＼Ｔｃｐｉｐ＼Ｐａｒａｍｅｔｅｒｓ＼Ｉｎｔｅｒｆａｃｅｓ。

この機構は、カーネル（５０６）によって生成された通知のためのアラート可能な「ランディングパッド」を提供するスレッドを依然として必要とするが、ポーリング処理ヒットを回避する。関心のないキー／値に対して追加の通知が受信されるが、ポーリングする必要がないという利点は、関心のないコールバックを無視することを許容可能なトレードオフにする。通知コールバックがトリガされると、変更されたレジストリ値が予想されるベースラインと一致することが検証される（５０８）。ＤＮＳ値が変化していない場合（５０８でいいえ）、更なる通知を受信するためにコールバックを登録することによって、監視が継続する（５０４）。ＤＮＳ値が変更された場合（５０８ではい）、それらは、予想されるベースラインを有する変更された値で置き換えられ、オーバーライドイベントが記録され（５１０）、管理システムに提供される。次に、ローミングＤＮＳファイアウォールを再起動して（５１２）、安全なＤＮＳ値を適用することができる。

Ｗｉｎｄｏｗｓ（商標）実装では、カーネルのみの変更通知ＡＰＩ ＣｍＲｅｇｉｓｔｅｒＣａｌｌｂａｃｋ／ＣｍＲｅｇｉｓｔｅｒＣａｌｌｂａｃｋＥｘが利用され得る。代替として、ＮｔＮｏｔｉｆｙＣｈａｎｇｅＫｅｙは、ユーザモード及びカーネルモードの両方において使用されることができ、又は手動ポーリングが利用されてもよい。

ＤＮＳオーバーライドロギング
ロギング機構は、例えば、図４及び図５に説明されるように、この機構がホストＤＮＳに関連するアクションをとるときにオペレータに可視性を与えるように実装することができる。ログには３つのタイプがある。

ＤＮＳオーバーライド－このログは、ホストが安全でないネットワークに接続されたことをエージェントが検出し、そのネットワーク接続に対してＤＮＳをオーバーライドすることを選択したことを示す。

ＤＮＳ復元－このログは、エージェントがネットワーク接続のために元のＤＮＳ情報を復元することを選択したことを示し、これは、ネットワーク切断、エージェントのシャットダウン、又はエージェントがＤＮＳ状態を開始及びクリーンアップしている（場合によっては、エージェント又はホストクラッシュによって引き起こされる）ことによって起こり得る。

ＤＮＳ保護－このログは、エージェントが、オーバーライドとして配置されたＤＮＳ情報に対する予期せぬ外部変更を検出したこと、及びそれがオーバーライド値を復元したことを示す。これは、ホスト上のマルウェアが変更を行おうとした場合、又はＤＨＣＰリースが復元されたときに「ｉｐｃｏｎｆｉｇ／ｒｅｎｅｗ」コマンドなどで）起こる可能性がある。

図６は、ＤＮＳファイアウォール配備管理の方法６００を示す。管理システムサーバは、組織によってホストされ得るか、又は分散クラウドコンピューティング環境によって提供され得る。機能のいくつかは、組織に関連付けられたシステムの構成プロファイルに依存して構成又は実装され得る。外部権限ＤＮＳがプロファイルに対して定義されていない場合、管理サーバは、検証のためにローカル領域内のＤＮＳセキュリティ権限から信頼できるＤＮＳを要求することができる（６０２）。安全なネットワークを特徴付けるために、エンドポイントエージェント調査を、エンドポイントエージェントによって現在観察されているネットワーク及びネットワークパラメータの共通セットを記述する分析システムに供給することができる（６０４）。例えば、顧客ネットワーク（物理又は仮想）上に配備された１０００個のエンドポイントエージェントが、２つの共通ネットワークが使用されている（場合によっては、通常の労働時間中に）ことを示す場合、これらの２つのネットワーク（おそらく既存のＤＮＳ情報によって識別される）が組織に関連付けられた安全なネットワークを表すという結論を引き出すことができ、顧客管理インターフェースを使用して、顧客ＩＴチームによるこれらの結論の検証を要求することができる。この初期セットを作成することは、過度に困難ではない可能性が高いが、顧客ネットワーク変更においてその安全なネットワークリストの精度を維持することは、追加の運用上の努力及び自動化された機構のサポートを必要とする。調査されたネットワークから、共通又は既知の特徴に基づいて安全パラメータを判定することができる（６０６）。代替的に、ネットワークは、それらの内部ＤＮＳ情報を安全ネットワークマッチ基準として公開することによって手動で記述され得る。提供されると、管理サーバは、エンドポイントエージェントを利用して、エンドポイントエージェントが説明した安全なネットワークのうちの１つ以上を見たことを検証することができる。これにより、ホストの大部分（全てではないとしても）が、提供された安全なネットワーク分類に適合することの検証が可能になる。

次いで、安全でないネットワーク上で使用されるべき検証されたＤＮＳを定義する安全なネットワークプロファイルを生成し（６０８）、必要に応じてエンドポイントエージェントに送信することができる（６１０）。エンドポイントエージェントが動作すると、追加のネットワークプロファイルパラメータ、ネットワークオーバーライド及び実行エラーを識別するＤＮＳログを受信することができる（６１２）。イベントが以前に定義された安全なネットワークプロファイルに関連付けられている場合（６１４ではい又は）、ネットワークプロファイルステータスを修正することができ（６１６）、考えられるマルウェアなどのデバイス固有のソフトウェア問題を識別することができる。イベントが安全なネットワークに関連付けられていない場合（６１４でいいえ）、関連付けられたパラメータを識別し（６１８）、安全なネットワークプロファイルの追加の安全なネットワークパラメータを判定する（６０６）際に利用することができる。

本開示の実施形態における各要素は、ハードウェア、ソフトウェア／プログラム、又はそれらの任意の組み合わせとして実装され得る。ソフトウェアコードは、その全体又は一部分のいずれかで、コンピュータ可読媒体若しくはメモリ、又は非一時的メモリ（例えば、ＲＯＭ、例えば、フラッシュメモリ、ＣＤ ＲＯＭ、ＤＶＤ ＲＯＭ、Ｂｌｕ－ｒａｙ（登録商標）、半導体ＲＯＭ、ＵＳＢなどの不揮発性メモリ、又はハードディスクなどの磁気記録媒体）に記憶され得る。プログラムは、ソースコード、オブジェクトコード、部分的にコンパイルされた形態などのコード中間ソース及びオブジェクトコードの形態、又はその他の形態であり得る。

図１～図６に示されるシステム及びコンポーネントは、図面に示されていないコンポーネントを含み得ることが、当業者には理解されよう。説明を簡潔かつ明確にするために、図中の要素は必ずしも縮尺通りではなく、概略的なものにすぎず、要素構造を制限するものではない。当業者には、特許請求の範囲に定義される本発明の範囲から逸脱することなく、いくつかの変形及び修正を行うことができることが明らかであろう。

Claims (18)

1. モバイルコンピューティングデバイス上でローミングドメインネームシステム（ＤＮＳ）ファイアウォールを起動する方法であって、
   前記モバイルコンピューティングデバイスのネットワークインターフェース上で新しいネットワークへのネットワーク接続を検出することと、
   前記新しいネットワークに関連付けられた複数のネットワークパラメータを特徴付けることと、
   前記複数のネットワークパラメータの前記特徴付けに基づいて安全なネットワークプロファイルを受信することと、
   前記受信された安全なネットワークプロファイルからのＤＮＳ識別子で、前記ネットワークインターフェースに関連付けられたＤＮＳ識別子を修正することと、を含む、方法。
2. 前記安全なネットワークプロファイルは、１つ以上の信頼できるＤＮＳ識別子を識別し、前記安全なネットワークプロファイルは、リモート管理サーバから受信され、前記ローミングＤＮＳファイアウォールは、前記モバイルコンピューティングデバイス上で実行中のセキュリティエージェントによって提供される、請求項１に記載の方法。
3. 前記ＤＮＳ識別子は、前記特徴付けられた複数のネットワークパラメータが安全でないと判定されたときに修正される、請求項１又は２に記載の方法。
4. 複数のネットワークパラメータの特徴付けは、ネットワークタイプ、ネットワーク名、Ｗｉ－Ｆｉ ＢＢＳＩＤ、プライマリドメイン、検索ドメインエントリ、現在のＩＰｖ４ ＤＮＳエントリ、及び現在のＩＰｖ６ ＤＮＳエントリを含む群から選択される１つ以上のパラメータに基づいて、安全ではない、請求項１、２、又は３に記載の方法。
5. 前記ＤＮＳ識別子が成功裏に修正されたことを検証することを更に含む、請求項１～４のいずれか一項に記載の方法。
6. 前記特徴付けられた複数のネットワークパラメータに基づいて、安全なネットワークプロファイルに対する要求をリモートサーバに送信することを更に含む、請求項１～５のいずれか一項に記載の方法。
7. 前記ローミングＤＮＳファイアウォールは、前記モバイルコンピューティングデバイス上で実行されるエンドポイントエージェントによって提供される、請求項１～６のいずれか一項に記載の方法。
8. 前記ＤＮＳ識別子を修正することは、
   前記安全なネットワークプロファイルからＤＮＳレジストリ値を構築することと、
   ネットワークインターフェースカード（ＮＩＣ）汎用一意識別子（ＵＵＩＤ）に前記ＤＮＳレジストリ値を適用することと、
   前記新しいネットワークから切断することと、
   セキュリティエージェントをシャットダウンすることと、
   前記新しいネットワークを再接続することと、
   前記エンドポイントエージェントを開始することと、
   前記レジストリＤＮＳ値が維持されていることを検証すことと、を更に含む、請求項１～７のいずれか一項に記載の方法。
9. 前記レジストリＤＮＳ値が変更された場合、前記方法は、失敗を報告することを更に含む、請求項８に記載の方法。
10. 前記安全なＤＮＳ識別子が維持されていることを判定するために、前記ＤＮＳ識別子を定期的にポーリングすることを更に含む、請求項１～９のいずれか一項に記載の方法。
11. パラメータ変更を識別するために、前記複数のネットワークパラメータに関連付けられたレジストリを監視することと、
    カーネル変更通知を受信するか、又は特定のレジストリデータへの変更をポーリングすることによって受信することと、
    前記カーネル変更通知が前記ＤＮＳ識別子に関連付けられているかどうかを検証することと、
    前記カーネル変更が前記ＤＮＳ識別子に関連付けられているとき、ＤＮＳオーバーライドをロギングすることと、を更に含む、請求項１～１０のいずれか一項に記載の方法。
12. 前記ＤＮＳ識別子は、信頼できるＤＮＳに関連付けられる、請求項１～１１のいずれか一項に記載の方法。
13. 前記ＤＮＳローミングファイアウォールは、信頼できるネットワーク上では非アクティブ化される、請求項１～１２のいずれか一項に記載の方法。
14. 前記複数のネットワークパラメータは、ダイナミックホストコンフィギュレーションプロトコル（ＤＨＣＰ）メッセージで受信される、請求項１～１３のいずれか一項に記載の方法。
15. 前記ネットワークインターフェースに関連付けられたＤＮＳ識別子を修正することは、関連付けられたレジストリキーで定義される、請求項１～１４のいずれか一項に記載の方法。
16. 請求項１～１５に記載の方法のローミングドメインネームシステム（ＤＮＳ）ファイアウォールを実行するためのモバイルコンピューティングデバイス。
17. プロセッサによって実行されると、請求項１～１５に記載の方法を行う命令を含む非一時的コンピュータ可読メモリ。
18. ローミングＤＮＳファイアウォール管理サーバを提供する方法であって、
    それぞれのモバイルコンピューティングデバイス上で実行される複数のエンドポイントエージェントによって観察された複数のネットワーク特徴付けを受信することと、
    前記複数のネットワーク特徴付けから安全なネットワークパラメータを判定することと、
    前記複数のネットワークパラメータから、信頼できるＤＮＳ識別子を識別する安全なネットワークプロファイルを生成することと、
    前記安全なネットワークプロファイルを要求側モバイルコンピューティングデバイスに送信することと、を含む、方法。

Images