JP4554609B2 - ネットワーク化されたコンピュータのユーザを特定するネットワークアセットトラッカ - Google Patents

Description

本発明は、包括的にはコンピュータネットワークに関し、特にこのようなコンピュータネットワーク内にセキュリティを提供する装置、システム、方法、及びコンピュータプログラム製品に関する。

今日の技術状況では、企業（すなわち、商社、会社、機関、組織、政府機関等）が１つ又は複数のコンピュータネットワーク（たとえば、ローカルエリアネットワーク（ＬＡＮ）等）を所有して運用することが一般的である。こういったコンピュータネットワークはいくつかのオフィス、フロア、及び／又は建物にわたって広がり得る。こういったコンピュータネットワーク内には、慎重な扱いを要する大量のプロプラエタリ（時に機密）データがある。したがって、このような企業が各自のコンピュータネットワークのセキュリティを気にかけるのは当然である。

ログイン／パスワード方式の実施に関わりなく、非認可ユーザがコンピュータネットワークへのアクセスを得ることは必至である。実際に、コンピュータネットワークのアクセスが許可されているユーザ（たとえば、従業員、独立契約社員、下請業者等）であっても往々にして、認可されていない様式でこのようなネットワークを使用する恐れがある。さらに、多くの非認可の行動（activity）が電子メール（「Ｅメール」）に集中している。たとえば、非認可ユーザ又は認可されていない様式で行動している権限ユーザが、Ｅメールを使用して企業の機密データを、認可を受けていない人々又は認可を受けていないコンピュータシステムに世界規模の公衆インターネットを介して送信する恐れがある。
なお、本出願に対応する外国の特許出願においては下記の文献が発見または提出されている。
米国特許出願公開第２００３／０１７２１６７号明細書 米国特許出願公開第２００４／０１３３６４１号明細書 米国特許出願公開第２００３／０２００２７２号明細書 米国特許第６４０５２５１号明細書 米国特許第５９４４７８７号明細書 米国特許出願公開第２００２／０１７８３８２号明細書 米国特許第６１８５１８４号明細書 米国特許出願公開第２００５／００２７５９３号明細書 米国特許出願公開第２００５／０１２５２８９号明細書 米国特許出願公開第２００５／０１６６２３３号明細書 米国特許第６９８３３７９号明細書 米国特許出願公開第２００６／０００４６２７号明細書 米国特許出願公開第２００６／０１４９６２４号明細書

上記問題から、ネットワーク化されたコンピュータのユーザを特定する装置、システム、方法、及びコンピュータプログラム製品が必要である。今日、この問題は一般に、存在するケーブルプラントドキュメンテーション（もしあれば）をいずれでもまず参照するか、又は物理ロケーションまでケーブルを物理的に辿ることによって打開される。次いで、セキュリティ人員又はＩＴ人員がその物理ロケーションに赴き、違反ユーザを物理的に特定しなければならない。しかし、必要とされる装置、システム、方法、及びコンピュータプログラム製品は、ネットワークＥメールトラフィックを解析し、インターネットプロトコル（ＩＰ）アドレスをエンドユーザにマッピング（すなわち、ネットワーク内の特定のＩＰアドレスのユーザを特定）すべきである。必要とされる装置、システム、方法、及びコンピュータプログラム製品は、セキュリティを脅かすコンピュータを特定し、その位置を特定してディセーブルする際の応答時間を短縮するであろう。

本発明は、ネットワーク化されたコンピュータのユーザを特定する装置、システム、方法、及びコンピュータプログラム製品を提供することにより、上で特定した必要性を満たす。すなわち、一つの実施の形態では、本発明は、（存在する）ネットワークトラフィックを受動的に解析することによりエンドユーザをワークステーションインターネットプロトコル（ＩＰ）アドレスにマッピングするネットワークアセットトラッキングシステムを提供する。本発明のネットワークアセットトラッキングシステムは、一つの実施の形態において、データベースに後援されたウェブアプリケーションを介してエンドユーザからＩＰアドレスへのマッピングのリポートも提供する。

一つの実施の形態では、本発明のネットワークアセットトラッキングシステムは２つの構成要素、すなわち名前発見システム「バックエンド」及び管理ウェブアプリケーション「フロントエンド」を備える。名前発見システム（「ＮＤＳ」）は、企業ＬＡＮのプライマリスイッチに接続された「スニファ」装置（すなわち、ハードウェア）である。ＮＤＳ装置はネットワークトラフィックを捕捉して解析する。ウェブアプリケーションは、コンピュータネットワークの管理者が、ＮＤＳにより捕捉されたデータの管理及び相関付けを行い、このようなデータを企業のディレクトリデータと相互相関させてＩＰアドレスをエンドユーザにマッピングするために提供される。

本発明の利点は、疑いのあるコンピュータの位置を特定してディセーブルする際の応答時間を短縮してセキュリティを脅かすコンピュータユーザを特定できるようにすることにある。

本発明の別の利点は、コンピュータユーザの身元を組織のディレクトリ情報（たとえば、建物、部屋、電話等）にマッピングし、コンピュータの物理ロケーションを突き止められる（すなわち、特定の建物及び／又は部屋を特定する）ようにすることにある。したがって、本発明が対処するセキュリティ脅威としては、非認可ユーザによるものだけでなく、物理的に攻撃の位置特定を行うことが極めて重要なトロイの木馬型の攻撃も含まれる。

本発明の別の利点は、コンピュータネットワークアセットを不適切に使用しているコンピュータユーザの特定を行うこと、及び情報技術（ＩＴ）インフラ課金目的のためにコンピュータユーザ及び企業内のコンピュータユーザの組織を特定することができることにある。この利点は、大きな共通ネットワークインフラを共有するが、ネットワークの保守及びサポートのコストを別個の事業部又は部門に割り振ろうとする大企業が直面する課金問題を考える場合により明確になる。

本発明のさらに別の利点は、存在するケーブルプラント（ネットワーク）ドキュメンテーションのエラーを特定することができることにある。ネットワーク接続の物理的なロケーションを、ネットワーククローゼット内のスイッチポート上のＩＰアドレスと結び付けて提供することにより、本発明は最後の「ホップ」を文書化し、このような存在するネットワークドキュメンテーションを検査することができるようにする。

本発明のさらなる特徴及び利点並びに本発明の各種実施の形態の構造及び動作について添付図面を参照しながら以下に詳細に説明する。

本発明の特徴及び利点は、以下に述べる詳細な説明から図面と併せて解釈する場合により明らかになろう。

Ｉ．概観
本発明は、ネットワーク化されたコンピュータのユーザを特定する装置、システム、方法、及びコンピュータプログラム製品を対象とする。

一つの実施の形態では、本発明は、ディレクトリデータ及びネットワークトラフィックの内容を使用してインターネットプロトコル（ＩＰ）アドレスを組織の人員にマッピングするためのソリューションとして企業に提供される。第１に、名前発見システム装置（すなわち、「ＮＤＳ」ハードウェア）を企業のローカルエリアネットワーク（ＬＡＮ）のプライマリスイッチに設置することにより、企業のローカルエリアネットワーク（たとえば、イーサネット（登録商標）、ＦＤＤＩ等）トラフィックを捕捉して解析する。捕捉されたデータをリストデータと互いに相関付けて、ＩＰアドレスをエンドユーザにマッピングする。第２に、本発明のネットワークアセットトラッキングソリューションは、企業のＩＴ管理人員が使用するように、データベースに後援されたウェブアプリケーションを通して、収集されたネットワークトラフィックデータのアクセス及び操作も提供する。

本発明の装置、システム、方法、及びコンピュータプログラムは、疑いのあるコンピュータの位置を特定してディセーブルする際の応答時間を短縮してセキュリティを脅かすコンピュータユーザを特定できるようにする。さらに、本発明はまた、企業が課金機能を行えるようにする。たとえば、企業は、料金請求及び他の課金目的（たとえば、政府組織等の特定の企業が採用する共有／割り振りネットワークインフラコストモデル）でコンピュータユーザのサブセット（たとえば、下請業者対従業員）のネットワーク使用状況（たとえば、ネットワーク接続数）を求めることに関心を持ち得る。

これより本発明について上記例に関して以下に詳細に説明する。これは便宜のみのためであり、本発明の応用を限定する意図はない。実際に、以下の説明を読めば、以下の本発明を代替の実施の形態（たとえば、異種のコンピュータネットワーク内の異種のネットワークトラフィックの解析）で実施する方法が当業者には明らかであろう。

「ユーザ」、「企業」、「人員」、「スタッフ」、「組織」、「企業」という用語及びこれら用語の複数形は本明細書全体を通して同義に用いられ、本発明がネットワーク化されたコンピュータのユーザを特定するために提供するツールにアクセスする、ツールを使用する、ツールにより特定される、且つ／又はツールの恩恵を受けるであろう人々を指す。

ＩＩ．装置及びシステムの構造
図１を参照して、本発明の一つの実施の形態によるネットワークアセットトラッキング（「ＮＡＴ」）システム１００を示す。

システム１００は、複数のエンドユーザコンピュータ１０４を相互に接続する企業のローカルエリアネットワーク（たとえば、イーサネット（登録商標））バックボーン１０２を含む。代替の実施の形態では、コンピュータ１０４は端末、ワークステーション（たとえば、Ｓｕｎ（登録商標）Ｓｏｌａｒｉｓ（商標）、Ｍｉｃｒｏｓｏｆｔ（登録商標）Ｗｉｎｄｏｗｓ２０００（商標）若しくはＸＰ（商標）、又はＩＢＭ（登録商標）ＡＩＸ（商標）オペレーティングシステムを走らせているＳｕｎ（登録商標）ＳＰＡＲＣ（商標）ワークステーション若しくはＮＴ（商標）ワークステーション）又はパーソナルコンピュータ（ＰＣ）（たとえば、Ｍｉｃｒｏｓｏｆｔ（登録商標）Ｗｉｎｄｏｗｓ９５／９８（商標）若しくはＷｉｎｄｏｗｓ ＮＴ（商標）オペレーティングシステムを走らせているＩＢＭ（商標）若しくは互換ＰＣ、Ｍａｃ（登録商標）ＯＳオペレーティングシステムを走らせているＭａｃｉｎｔｏｓｈ（登録商標）コンピュータ等）である。（簡単にするために、図１にコンピュータ１０４ａ〜ｎを示す）。代替の実施の形態では、ユーザは、デスクトップコンピュータ、ラップトップ、パームトップ、セットトップボックス、個人情報端末（ＰＤＡ）等が挙げられるがこれらに限定されない任意の処理装置１０４を使用してＬＡＮ１０２にアクセスすることができる。

ＬＡＮ１０２のバックボーンはプライマリスイッチ（すなわち、ＬＡＮのプライマリインターネットリンク）１０６に接続される。スイッチ１０６はルータ１０８に接続され、ルータ１０８はコンピュータ１０４のユーザに公衆グローバルインターネット１１２への接続を提供する。

一つの実施の形態では、名前発見システム（「ＮＤＳ」）装置１１０がプライマリスイッチ１０６に接続される。ＮＤＳ１１０は、ＬＡＮ１０２のインバウンド・アウトバウンドトラフィックを捕捉する「スニファ」ハードウェア（すなわち、収集ノード）として機能する。

一つの実施の形態では、ＮＤＳ１１０は電源プラグを備えた１ラックユニット（１Ｕ）ボックスである。このような実施の形態では、ＮＤＳ１１０はプライマリスイッチ１０６に対して２つの１００Ｍｂｐｓネットワーク接続を有する。図１に示すように、一方のリンクは、ＮＤＳ１１０の１つのポートを介してＬＡＮ１０２からのデータを収集するミラードアップリングである。ＮＤＳ１１０の２つ目のポートは、定期的にデータファイルを送信するとともに、ウェブアプリケーションを介して通常アクセスできるようにするために利用される。本明細書の説明を読めば当業者に理解されるように、このような実施の形態では、ＮＤＳ１１０に２つの有効なＩＰアドレスが必要である。これもまた本明細書の説明を読めば当業者に理解されるように、代替の実施の形態では、ネットワークの規模がより大きい場合、ＮＤＳ１１０を各コアネットワークアップリンクポイント（すなわち、プライマリスイッチ）に設置することができる。

一つの実施の形態では、ＬＡＮ１０２の管理者は、ログイン／パスワード方式を含む「フロントエンド」ウェブアプリケーションを介してＮＤＳ１１０にアクセスすることができる。このようなフロントエンドは、ＮＤＳ１１０へのＬＡＮ１０２接続を有するウェブサーバコンピュータ１１４により提供される。当業者に理解されるように、ウェブサーバ１１４はＮＡＴシステム１００の「フロントエンド」を提供する。すなわち、サーバ１１４は、リモートブラウザ（たとえば、ＬＡＮ１０２の管理者）からのハイパーテキスト転送プロトコル（ＨＴＴＰ）要求又はハイパーテキスト転送プロトコル（ＨＴＴＰＳ）要求に応答してウェブページを送出するウェブサーバプロセスを含む。より具体的には、ＮＡＴシステム１００のこのような管理ユーザにウェブページの形態のグラフィカルユーザインタフェース（ＧＵＩ）「フロントエンド」画面を提供する。こういったウェブページは、ユーザの各コンピュータ１０４に送信されるとＧＵＩ画面を表示させる。

代替の実施の形態では、ＬＡＮ１０２の管理者はＮＤＳ１１０のポート２２上のセキュアシェル（ＳＳＨ）プログラムを介してＮＤＳ１１０にリモートアクセスすることもできる。

これもまた本明細書の説明を読めば当業者に理解されるように、代替の実施の形態では、ＮＤＳ１１０は、ＮＡＴＳシステム１００内の、収集されたＬＡＮ１０２のトラフィックデータをすべて記憶する中央リポジトリを備えるか、又はこれにアクセスすることができる。このようなリポジトリには「フロントエンド」ウェブアプリケーションからもアクセス可能であり、ＬＡＮ１０２の管理者は統計の収集、リポートの閲覧等を行うことができる。

ＮＡＴシステム１００の構成要素並びにその機能についてのより詳細な説明を以下に提供する。

ＩＩＩ．動作
図２を参照して、本発明の一つの実施の形態によるネットワークアセットトラッキングプロセス２００のデータフローを示すフローチャートを示す。

まず、ＬＡＮ１０２内のインバウンド・アウトバウンドＥメールトラフィックデータ２０２（たとえば、ＩＰアドレス及びＥメールアドレス）がＮＤＳ１１０により収集（すなわち、抽出）され、記憶される。一つの実施の形態では、ＮＤＳ１１０はＴｅｔｈｅｒｅａｌ（「ネットワークトラフィックのダンプ及び解析」）ネットワークプロトコルアナライザユーティリティ（Ｕｎｉｘ及びＷｉｎｄｏｗｓのオープンソースとして開発され、ＧＮＵ一般公衆利用許諾契約書の下で入手可能）を使用してＬＡＮ１０２からデータを抽出する。代替の実施の形態では、本発明を読めば当業者に理解されるように、ＮＤＳ１１０は他の広く利用可能なユーティリティ（Ｓｎｏｏｐ、Ｔｃｐｄｕｍｐ等、又はカスタムコードロジック）を使用してＬＡＮ１０２からデータを抽出することができる。

次に、ＮＤＳ１１０へのＬＡＮ１０２接続を有するウェブサーバコンピュータ１１４（上記データベース後援ウェブアプリケーションを提供する）が、ＬＡＮ１０２内のコンピュータ１０４のユーザを特定するためにＮＤＳ１１０収集データと企業の人員ディレクトリ情報２０６を結び付ける（すなわち、ユーザをＩＰアドレスにマッピングする）。より具体的には、サーバ１１４はＧＵＩ２０８「フロントエンド」画面をウェブページの形態でＮＡＴシステム１００のこのような管理ユーザに提供する。こういったウェブページは、ユーザの各コンピュータに送信されるとＧＵＩ画面２０８を表示させる。

一つの実施の形態では、企業の人員ディレクトリ情報２０６がＩＴＵ−Ｔ Ｘ．５００又は企業の人員（すなわち、ＬＡＮ１０２内のコンピュータ１０４の使用が許可されている人員）についてのデータを含む他のフォーマットされたデータベースとして編成される。一つの実施の形態では、このようなデータベースは表１に列挙した例示的なフィールドを含むカンマ又はタブで区切られたテキストファイルである。

一つの実施の形態では、ＮＡＴシステム１００は、定期的な時間間隔で（たとえば、毎時間、毎日、毎週等）収集されたすべてのＬＡＮ１０２トラフィックデータを含む出力データファイルを生成する。このような実施の形態では、ＮＡＴシステム１００内のデータの処理により、他のソフトウェアアプリケーション製品（たとえば、Ｍｉｃｒｏｓｏｆｔ（登録商標）Ｅｘｃｅｌ等）にインポートし易いようにカンマで区切られたテキストデータファイルを作成する。代替の実施の形態では、ＮＡＴシステム１００の出力データファイルは、表２に列挙した例示的なフィールドの一部又はすべてを含む。

一つの実施の形態では、ウェブアプリケーションＧＵＩ画面２０８は表２から返される任意のフィールドについての表形式の結果をソートする能力を提供する。本明細書を読めば当業者に理解されるように、ＮＡＴ１００の出力データファイルに実際に提示することができる表２からのフィールド及び結果として得られる、ＩＰアドレスへのユーザのマッピングは、企業の人員ディレクトリ２０６内に見られるデータの質に依存する。これもまた本明細書を読めば当業者に理解されるように、表１及び表２の両方に共通するＥメールアドレスフィールドを使用して表１及び表２を共に結び付けることができる。

図２はＮＡＴシステム１００の機能及び他の利点を強調し、例を目的としてのみ提示されることを理解されたい。本発明の構造は、ＮＡＴシステム１００内のデータの収集及び処理を図２に示す方法とは別の方法で行う（たとえば、ウェブサーバ１１４で行われるものとして示す１つ又は複数のデータ処理機能をＮＤＳ１１０で行ってもよく、またその逆も同様である）ことができるように十分に柔軟であり、構成可能なものである。

ＶＩ．ＮＤＳデータ抽出
一つの実施の形態では、ＮＤＳ１１０は、簡易メール転送プロトコル（ＳＭＴＰ）についてはスイッチ１０６のポート２５を解析し、ポストオフィスプロトコルバージョン３（ＰＯＰ３）データについてはスイッチ１０６のポート１１０を解析し、インターネットメッセージアクセスプロトコルバージョン４（ＩＭＡＰ）データについてはスイッチ１０６のポート１４３を解析することによってＥメールアドレス及びＩＰアドレスをＬＡＮ１０２トラフィックデータから抽出することができる。

図３Ａを参照して、本発明の一つの実施の形態によるネットワークアセットトラッキングプロセス２００のデータフローを示すフローチャートを示す。より具体的には、図３Ａでは、ＮＤＳ１１０が、企業の内部（ＳＭＴＰ）メールサーバ３０２と外部（たとえば、公衆インターネット）ＳＭＴＰメールサーバ３０８にアクセスしている外部ユーザ３０６との間で交換されるＳＭＴＰデータトラフィック２０２からコンピュータ１０４のユーザを特定する。

ＳＭＴＰサーバの殆どの設備はデータの圧縮又は暗号化を実施しない。初期ＳＭＴＰグリーティングによりＥメール発信元のドメインが特定される。図３Ａに見られるように、抽出されたデータ３０４（すなわち、ＮＤＳ１１０が抽出したＥメールトラフィックデータ）がプロセス２００によって解析される。コマンド「ＭＡＩＬ ＦＲＯＭ：」により、送信者の完全なＥメールアドレスが特定され、コマンド「ＲＣＰＴ ＴＯ：」により受信者の完全なＥメールアドレスが特定される。ＮＤＳ１１０がＬＡＮ１０２からデータを抽出すると、記憶されているコードロジックを利用して以下のパターンを探索してユーザ識別子を得る。
Ｃｏｍｍａｎｄ：ＭＡＩＬ
Ｒｅｑｕｅｓｔ ｐａｒａｍｅｔｅｒ：ＦＲＯＭ：
又は
Ｃｏｍｍａｎｄ：ＲＣＰＴ
Ｒｅｑｕｅｓｔ ｐａｒａｍｅｔｅｒ：ＴＯ：
ユーザ識別子はおそらく「＜」及び「＞」キャラクタ内に入った状態で「ＦＲＯＭ：」及び「ＴＯ：」の後に続く。「：」の後且つ「＜」の前の言葉は通常、ユーザ識別子の或るストリングである。（「ＦＲＯＭ：」及び「ＴＯ：」はそれぞれ送信者及び受信者を指す）。

図３Ｂを参照して、本発明の一つの実施の形態によるネットワークアセットトラッキングプロセス２００のデータフローを示すフローチャートを示す。より具体的には、図３Ｂでは、ＮＤＳ１１０は、企業の内部（ＰＯＰ）メールサーバ３０２と外部（たとえば、公衆インターネット）メールサーバにアクセスしている外部ユーザとの間で交換されるＰＯＰ３トラフィック２０２からコンピュータ１０４のユーザを特定する。

ＰＯＰ３プロトコルはデータの暗号化又は圧縮を使用しない。図３Ｂに示すように、抽出されたデータ３０４（すなわち、ＮＤＳ１１０が抽出したＥメールトラフィックデータ）はプロセス２００により解析される。ＰＯＰ３では、「ＵＳＥＲ」コマンドの後にスペースが続き、次にユーザの身元（通常、Ｅメールアドレスのユーザ名部分）が続く。ＰＯＰ３の殆どの実施の形態（implementations）は通常、「ＵＳＥＲ」コマンドの後に「ＰＡＳＳ」コマンドが続く。「ＰＡＳＳ」コマンドの後にはスペースが続き、次いでユーザのパスワードが平文（すなわち、暗号化されていないテキスト）で続く。サーバの応答「ＯＫ」によりユーザの信頼性が確認される。したがって、このような実施の形態では、ＰＯＰ３プロトコルに対してのリアルタイムでの解析が、コードロジックを使用して以下のパターンマッチングを行うことで行われる。
Ｒｅｑｕｅｓｔ：ＵＳＥＲ
Ｒｅｑｕｅｓｔ Ａｒｇ：
「Ｒｅｑｕｅｓｔ Ａｒｇ：」は、ユーザの身元を特定するユーザ名ストリングの後に続く。この情報と共に、パケットヘッダは発信元ＩＰアドレス及び宛先ＩＰアドレスを含み、ユーザが使用しているシステムを明確に識別する。発明者は、一般に、ユーザの識別子を捕捉するために必要なデータが６４バイト未満であることを見出した。

図３Ｃを参照して、本発明の一つの実施の形態によるネットワークアセットトラッキングプロセス２００のデータフローを示すフローチャートを示す。より具体的には、図３Ｃでは、ＮＤＳ１１０は、企業の内部（ＩＭＡＰ）メールサーバ３０２と外部（たとえば、公衆インターネット）Ｅメールにアクセスしている外部ユーザとの間で交換されるＩＭＡＰトラフィック２０２からコンピュータ１０４のユーザを特定する。

ＰＯＰ３のように、ＩＭＡＰもデフォルトでデータの暗号化又は圧縮を有さない。図３Ｃに見られるように、抽出されたデータ３０４（すなわち、ＮＤＳ１１０が抽出したＥメールトラフィックデータ）はプロセス２００により解析される。したがって、ストリング「ＬＯＧＩＮ」（大文字と小文字の区別なし）のパターンマッチングを用いてユーザの身元が特定される。「ＬＯＧＩＮ」コマンドがサーバに発行された後、「ＯＫ ＬＯＧＩＮ ｃｏｍｐｌｅｔｅｄ」又は「ＦＡＩＬ」という応答によりユーザの身元が確認される。ユーザのＩＭＡＰシステム用のユーザ名を得ることは、パターン：
Ｒｅｑｕｅｓｔ Ｔａｇ：０００Ａ
Ｒｅｑｕｅｓｔ：ＬＯＧＩＮ

を調べることによりＰＯＰ３の場合と同様である。キーワード「ＬＯＧＩＮ」の後には、二重引用符で囲まれた２つの引数（ユーザ名及びパスワード）が続く。必要な情報であるユーザ名のみを抽出することは、このステップで行われる。ＰＯＰ３と同様に、発明者は、ユーザ識別子を得るために捕捉する必要のあるデータが６４バイト未満であることを見出した。クライアントに応じて、ＬＯＧＩＮコマンドは通常、送信される最初の５つのＩＭＡＰパケット内にある。

図３Ｄを参照して、本発明の一つの実施の形態によるネットワークアセットトラッキングプロセス２００のデータフローを示すフローチャートを示す。より具体的には、図３Ｄでは、企業の内部（Ｅｘｃｈａｎｇｅ）メールサーバ３０２と外部（たとえば、公衆インターネット）Ｅメールサーバ（図３Ｄに示さず）にアクセスしている外部ユーザ３０６との間で交換されるＭｉｃｒｏｓｏｆｔ（登録商標）ＥｘｃｈａｎｇｅＥメールデータトラフィック２０２からコンピュータ１０４のユーザが特定される。

Ｍｉｃｒｏｓｏｆｔ（登録商標）Ｅｘｃｈａｎｇｅ Ｓｅｒｖｅｒ ２０００及び続く更新版は、Ｍｉｃｒｏｓｏｆｔ（登録商標）Ｏｕｔｌｏｏｋクライアント（クライアントコンピュータ１０４上で実行されている）とＥｘｃｈａｎｇｅメールサーバ３０２との間でトラフィックを暗号化する。したがって、本発明の代替の実施の形態では、Ｅｘｃｈａｎｇｅサーバ３０２にロードされた小さなスクリプトを利用して、抽出されたデータ３０４を得る。すなわち、スクリプトは予め構成された一定の間隔で実行され、Ｅｘｃｈａｎｇｅ Ｓｅｒｖｅｒ ２０００ Ｍｅｓｓａｇｅ Ｔｒａｃｋｉｎｇ Ｃｅｎｔｅｒを利用する（すなわち、サーバ３０２上でメッセージトラッキング機能をイネーブルする）とともに、サーバ３０２の共有資源に常駐する関連トラッキングログファイル（たとえば、ｙｙｙｙｍｍｄｄ．ｔｘｔ）を利用してネットワーク内のＥメールの送信者のＩＰアドレス及びＥメールアドレスを抽出する。

代替の実施の形態では、Ｍｉｃｒｏｓｏｆｔ Ｅｘｃｈａｎｇｅトラッキングログファイルには、ファイルシステムオブジェクトを利用してログファイルを開き、ログファイルを構文解析してネットワーク内のＥメール送信者のＩＰアドレス及びＥメールアドレスを得るスクリプトを使用してリモートアクセスすることができる。

上記２つの実施の形態のいずれでも、図３Ｄに見られるように、抽出されたデータ３０４を次いで、上述したようにプロセス２００により解析することができる。本明細書の説明を読めば関連技術の当業者に理解されるように、２つの代替の上記実施の形態はＥｘｃｈａｎｇｅログファイルを利用するため、このような実施の形態ではＮＤＳ１１０を利用しないままにすることができる。

図３Ａ〜図３Ｄは、ＮＡＴシステム１００の機能及び他の利点を強調し、例を目的としてのみ提示されることを理解されたい。本発明の構造は、ＮＡＴシステム１００内のデータの収集及び処理を図３Ａ〜図３Ｄに示す方法とは別の方法で行うことができるように十分に柔軟であり、構成可能なものである。

Ｖ．実施態様例
本発明（システム１００、プロセス２００、又はその任意のパーツ（複数可）又は機能（複数可））は、ハードウェア、ソフトウェア、又はこれらの組み合わせを使用して実施することができ、１つ又は複数のコンピュータシステム又は他の処理システムに実装することができる。実際、一つの実施の形態では、本発明は本明細書において述べる機能を実行することが可能な１つ又は複数のコンピュータシステムを対象とする。コンピュータシステム４００の例を図４に示す。コンピュータシステム４００はプロセッサ４０４等の１つ又は複数のプロセッサを備える。プロセッサ４０４は通信インフラ４０６（たとえば、通信バス、クロスオーババー、又はネットワーク）に接続される。各種ソフトウェア実施の形態についてこの例示的なコンピュータシステムに関連して説明する。この説明を読めば、他のコンピュータシステム及び／又は構造を使用して本発明を実施する方法が当業者に明らかになろう。

コンピュータシステム４００は、表示ユニット４３０に表示するためにグラフィックス、テキスト、及び他のデータを通信インフラ４０６から（又は図示していないフレームバッファから）転送するディスプレイインタフェース４０２を備えることができる。

コンピュータシステム４００は、主メモリ４０８、好ましくはランダムアクセスメモリ（ＲＡＭ）も備え、また補助メモリ４１０を備えることもできる。補助メモリ４１０としては、たとえば、ハードディスクドライブ４１２及び／又はフロッピー（登録商標）ディスクドライブ、磁気テープドライブ、光ディスクドライブ等を表すリムーバブル記憶ドライブ４１４を挙げることができる。リムーバブル記憶ドライブ４１４は、リムーバブル記憶ユニット４１８に対して既知の様式で読み出し及び／又は書き込みを行う。リムーバブル記憶ユニット４１８は、リムーバブル記憶ドライブ４１４によって読み書きされるフロッピー（登録商標）ディスク、磁気テープ、光ディスク等を表す。理解されるように、リムーバブル記憶ユニット４１８は、コンピュータソフトウェア及び／又はデータが記憶されているコンピュータ使用可能記憶媒体を含む。

代替の実施の形態では、補助メモリ４１０は、コンピュータプログラム又は他の命令をコンピュータシステム４００にロードさせる他の同様の装置を含むことができる。このような装置としてはたとえば、リムーバブル記憶ユニット４２２及びインタフェース４２０を挙げることができる。このような例としては、プログラムカートリッジ及びカートリッジインタフェース（ビデオゲーム装置に見られるもの等）、リムーバブルメモリチップ（消去可能プログラム可能な読み取り専用メモリ（ＥＰＲＯＭ）又はプログラマブル読み取り専用メモリ（ＰＲＯＭ）等）及び関連するソケット、並びに他のリムーバブル記憶ユニット４２２及びソフトウェア及びデータをリムーバブル記憶ユニット４２２からコンピュータシステム４００に転送させるインタフェース４２０を挙げることができる。

コンピュータシステム４００は通信インタフェース４２４を備えることもできる。通信インタフェース４２４は、ソフトウェア及びデータをコンピュータシステム４００と外部装置の間で転送させる。通信インタフェース４２４の例としては、モデム、ネットワークインタフェース（イーサネット（登録商標）カード等）、通信ポート、パーソナルコンピュータメモリーカード国際協会（ＰＣＭＣＩＡ）スロット及びカード等を挙げることができる。通信インタフェース４２４を介して転送されるソフトウェア及びデータは、通信インタフェース４２４により受信可能な電子信号、電磁信号、光信号、又は他の信号であることができる信号４２８の形態である。これら信号４２８は、通信パス（たとえば、チャネル）４２６を介して通信インタフェース４２４に提供される。このチャネル４２６は信号４２８を搬送し、ワイヤ又はケーブル、光ファイバ、電話回線、セルラリンク、無線周波数（ＲＦ）リンク、及び他の通信チャネルを使用して実施することができる。

本明細書では、「コンピュータプログラム媒体」及び「コンピュータ使用可能媒体」という用語を、リムーバブル記憶ドライブ４１４、ハードディスクドライブ４１２に設置されたハードディスク、及び信号４２８等の媒体を広く指すために使用する。これらコンピュータプログラム製品はソフトウェアをコンピュータシステム４００に提供する。本発明はこのようなコンピュータプログラム製品を対象とする。

コンピュータプログラム（コンピュータ制御ロジックとも呼ばれる）は主メモリ４０８及び／又は補助メモリ４１０に記憶される。コンピュータプログラムは通信インタフェース４２４を介して受信することもできる。このようなコンピュータプログラムは、実行されると、コンピュータシステム４００が本明細書において考察した本発明の特徴を実行できるようにする。特に、コンピュータプログラムは、実行されると、プロセッサ４０４が本発明の特徴を実行できるようにする。したがって、このようなコンピュータプログラムはコンピュータシステム４００のコントローラを表す。

ソフトウェアを使用して本発明が実施される実施の形態では、ソフトウェアはコンピュータプログラム製品に記憶され、リムーバブル記憶ドライブ４１４、ハードドライブ４１２、又は通信インタフェース４２４を使用してコンピュータシステム４００にロードすることができる。制御ロジック（ソフトウェア）は、プロセッサ４０４によって実行されると、プロセッサ４０４に本明細書において述べた本発明の機能を実行させる。

別の実施の形態では、本発明は、たとえば特定用途向け集積回路（ＡＳＩＣ）等のハードウェア構成要素を使用して主にハードウェアで実施される。本明細書において述べた機能を実行するようにハードウェア状態機械を実施することは当業者に明らかになろう。

さらに別の実施の形態では、本発明はハードウェアとソフトウェアの両方の組み合わせを使用して実施される。

ＶＩ．結論
本発明の各種実施の形態について上述したが、これらは限定ではなく例として提示されたものであることを理解されたい。本発明の精神及び範囲から逸脱することなく形態及び詳細の各種変更を行うことができることが当業者には明らかであろう。したがって、本発明は例示的な上記実施の形態のいずれによっても限定されるべきではなく、以下の特許請求の範囲及びその等価物に従ってのみ規定されるべきである。

本発明を一つの実施の形態により実施することができる企業のローカルエリアコンピュータネットワークを示すブロック図である。 本発明の代替の実施の形態によるネットワークアセットトラッキングプロセスを示すフローチャートである。 本発明の代替の実施の形態によるネットワークアセットトラッキングプロセスを示すフローチャートである。 本発明の代替の実施の形態によるネットワークアセットトラッキングプロセスを示すフローチャートである。 本発明の代替の実施の形態によるネットワークアセットトラッキングプロセスを示すフローチャートである。 本発明の代替の実施の形態によるネットワークアセットトラッキングプロセスを示すフローチャートである。 本発明の実施に有用な例示的なコンピュータシステムのブロック図である。

Claims (19)

1. 組織のディレクトリ情報からのユーザ識別情報を、発見装置によって抽出されたユーザ識別情報及び現在のインターネットプロトコルアドレスとマッチングすることによって、組織の通信ネットワーク内の複数のコンピュータのユーザを特定するシステムであって、
   ユーザ識別情報を含むがデバイスのリストを含まない前記組織のディレクトリ情報を記憶するデータベースと、
   前記通信ネットワーク内のスイッチを通過するトラフィックを受動的にモニタするための、前記スイッチへの少なくとも１つの接続を有し、ユーザ識別情報及び対応するインターネットプロトコルアドレスを抽出する発見装置と、
   前記発見装置に接続され、前記通信ネットワークを介して前記データベースにアクセスすることができるサーバであって、前記組織のディレクトリ情報からの前記ユーザ識別情報を、前記発見装置によって抽出された前記ユーザ識別情報及び現在のインターネットプロトコルアドレスとマッチングして、前記組織のディレクトリ情報からの前記ユーザ識別情報で識別されるユーザのいずれが、前記抽出されたインターネットプロトコルアドレスのそれぞれを現在使用しているかを自動的に決定することが可能なサーバと
   を備えるシステム。
2. 前記通信ネットワークはローカルエリアネットワークである
   請求項１に記載のシステム。
3. 前記ローカルエリアネットワークはイーサネット（登録商標）ネットワークである
   請求項２に記載のシステム。
4. 前記発見装置及びウェブサーバがアクセス可能であり、前記発見装置によりモニタされた前記トラフィックを記憶する中央リポジトリ
   をさらに備える請求項１から３のいずれかに記載のシステム。
5. 前記データベースはフォーマットされたデータベースである
   請求項１から４のいずれかに記載のシステム。
6. 前記データベースは、以下のデータフィールド、すなわち（ｉ）ファーストネーム及びラストネーム、並びに（ｉｉ）電子メールアドレス及び／又はユーザ名を含む
   請求項１から５のいずれかに記載のシステム。
7. 前記サーバは、ブラウザベースの問い合わせに応答してユーザのいずれがコンピュータのいずれを使用しているかを特定することが可能なウェブサーバである
   請求項１から６のいずれかに記載のシステム。
8. 前記データベースは、以下のデータフィールド、すなわち（ｉ）ミドルネームのイニシャル、（ｉｉ）ニックネーム、（ｉｉｉ）別名、（ｉｖ）建物、（ｖ）部屋、（ｖｉ）永久的なＥメール、（ｖｉｉ）一時的なＥメール、又は（ｖｉｉｉ）所属／組織のうちの１つ、或いは（ｉｘ）上記（ｉ）〜（ｖｉｉｉ）のデータフィールドの任意の組み合わせをさらに含む
   請求項６に記載のシステム。
9. 組織のディレクトリ情報からのユーザ識別情報を、発見装置によって抽出されたユーザ識別情報及び現在のインターネットプロトコルアドレスとマッチングすることによって、組織の通信ネットワーク内の複数のコンピュータのユーザを特定する方法であって、
   前記通信ネットワーク内のスイッチを通過するトラフィックをモニタするステップと、
   前記モニタされたトラフィックからユーザ識別情報及び対応するインターネットプロトコルアドレスを抽出するステップと、
   ユーザ識別情報を含むがデバイスのリストを含まない前記組織のディレクトリ情報のデータベースにアクセスするステップと、
   前記組織のディレクトリ情報からの前記ユーザ識別情報を、前記発見装置によって抽出された前記ユーザ識別情報及び現在のインターネットプロトコルアドレスとマッチングして、前記組織のディレクトリ情報からの前記ユーザ識別情報で識別されるユーザのいずれが、前記抽出されたインターネットプロトコルアドレスのそれぞれを現在使用しているかを自動的に決定するステップとを備える方法。
10. 前記ユーザ識別情報及び対応するインターネットプロトコルアドレスを中央リポジトリに記憶するステップ
    をさらに備える請求項９に記載の方法。
11. 前記中央リポジトリにアクセスするステップと、
    所定の時間間隔中にユーザのいずれがコンピュータのいずれを使用したかについての情報を含むデータファイルを、前記所定の時間間隔で生成するステップと
    をさらに備える請求項１０に記載の方法。
12. 前記抽出するステップは、
    既知の電子メールプロトコル及び／又は認証プロトコルに基づいたパターンマッチングを使用することによって、前記モニタされたトラフィックから電子メールアドレス及び／又はユーザ名、並びに対応するインターネットプロトコルアドレスを抽出するステップを有する請求項９から１１のいずれかに記載の方法。
13. 前記通信ネットワークはローカルエリアネットワークである
    請求項９から１２のいずれかに記載の方法。
14. 前記ローカルエリアネットワークはイーサネット（登録商標）ネットワークである
    請求項１３に記載の方法。
15. 前記データベースはフォーマットされたデータベースである
    請求項９から１４のいずれかに記載の方法。
16. 前記通信ネットワークを介して、前記通信ネットワーク内のコンピュータのユーザを特定する、インターネットプロトコルアドレスを含む問い合わせを受け取るステップと、
    前記抽出されたインターネットプロトコルアドレスのサブセットと複数のユーザのサブセットとの前記マッチングを用いて、前記受け取ったインターネットプロトコルアドレスを使用して前記問い合わせに応答するステップと
    をさらに備える請求項９から１５のいずれかに記載の方法。
17. 前記データベースは、以下のデータフィールド、すなわち（ｉ）ファーストネーム及びラストネーム、並びに（ｉｉ）電子メールアドレス及び／又はユーザ名を含む
    請求項９から１６のいずれかに記載の方法。
18. 前記通信ネットワークを介して、前記通信ネットワーク内のコンピュータのユーザを特定する、前記データフィールドのうちの少なくとも１つを含む問い合わせを受け取るステップと、
    前記抽出されたインターネットプロトコルアドレスのサブセットと複数のユーザのサブセットとの前記マッチングを用いて、受け取ったデータフィールドを使用して前記問い合わせに応答するステップと
    をさらに備える請求項１７に記載の方法。
19. コンピュータに、請求項９から１８のいずれかに記載の方法を実行させるプログラム。

Images