JP5826298B2 - 仮想デスクトップインフラストラクチャにおいてチェックアウトした仮想マシンを保護する技術 - Google Patents

Description

本開示は、概して、仮想デスクトップインフラストラクチャにおける仮想マシン（ｖｉｒｔｕａｌ ｍａｃｈｉｎｅ：ＶＭ）に関し、特に、仮想デスクトップインフラストラクチャ（ｖｉｒｔｕａｌ ｄｅｓｋｔｏｐ ｉｎｆｒａｓｔｒｕｃｔｕｒｅ：ＶＤＩ）においてチェックアウトした仮想マシン（ＶＭ）を保護する技術に関する。

仮想デスクトップインフラストラクチャ（ＶＤＩ）は、データセンタにおいて仮想マシン（ＶＭ）として実行されるデスクトップイメージにリモートからアクセスすることに関与し得る。仮想マシン（ＶＭ）が仮想デスクトップインフラストラクチャ（ＶＤＩ）に接続されると、セキュリティ仮想マシン（ｓｅｃｕｒｉｔｙ ｖｉｒｔｕａｌ ｍａｃｈｉｎｅ：ＳＶＭ）は、複数の仮想マシン（ＶＭ）に対してセキュリティサービスを提供し得る。仮想デスクトップインフラストラクチャ（ＶＤＩ）は、切断したユーザが仮想マシン（ＶＭ）を「チェックアウトする」（例えば、仮想マシン（ＶＭ）のホスティングをデータセンタからユーザデバイスに移す）ことを許可することにより、彼らが仮想マシン（ＶＭ）へのアクセスを継続することを可能にし得る。切断したユーザが仮想マシン（ＶＭ）をチェックアウトすると、チェックアウトされた仮想マシンは、エンドポイントセキュリティ機能に欠如し得る。

上記を考慮すれば、仮想デスクトップインフラストラクチャ（ＶＤＩ）においてチェックアウトした仮想マシン（ＶＭ）を保護するための現在の技術に関連する重大な問題及び欠点が存在し得ることが理解されるであろう。

仮想デスクトップインフラストラクチャ（ＶＤＩ）においてチェックアウトした仮想マシン（ＶＭ）を保護する技術を開示する。ある特定の例示的実施形態では、これらの技術は、サーバネットワーク要素によってホスティングされるゲスト仮想マシンをチェックアウトする要求を受信するステップであって、ゲスト仮想マシンのチェックアウトは、ゲスト仮想マシンのホスティングをサーバネットワーク要素からクライアントネットワーク要素へと移すことを含むステップを含む、チェックアウトしたゲスト仮想マシンを保護する方法として実現され得る。チェックアウトしたゲスト仮想マシンを保護するこの方法は、ゲスト仮想マシンを保護するために、ゲスト仮想マシン用にセキュリティモジュールを構成するステップ、及びゲスト仮想マシンがチェックアウトする際に、セキュリティモジュールをゲスト仮想マシンに提供するステップも含み得る。

この特定の例示的実施形態の他の態様によれば、この方法は、クライアントネットワーク要素に関連する情報を収集するために、プローブパケットをクライアントネットワーク要素に送信するステップを更に含み得る。

この特定の例示的実施形態の更なる態様によれば、クライアントネットワーク要素に関連する情報に少なくとも部分的に基づいて、ゲスト仮想マシン用のセキュリティモジュールが構成され得る。

この特定の例示的実施形態の追加の態様によれば、クライアントネットワーク要素に関連する情報は、仮想化プラットフォーム、ハイパーバイザ、セキュリティ情報、脆弱性、権利、ストレージ、ＣＰＵ使用率、メモリ、及びネットワーク入出力（Ｉ／Ｏ）の内の少なくとも１つを含み得る。

この特定の例示的実施形態の更に別の態様によれば、クライアントネットワーク要素に関連するセキュリティ情報は、セキュリティアプリケーション、メーカー、バージョン、日付、歴史、ウイルス対策、スパム対策、マルウェア対策、及びインタフェースの内の少なくとも１つを含み得る。

この特定の例示的実施形態の他の態様によれば、この方法は、セキュリティアプリケーションがクライアントネットワーク要素に関連するか否かを判定するステップを更に含み得る。

この特定の例示的実施形態の更なる態様によれば、ゲスト仮想マシン用にセキュリティモジュールを構成するステップは、クライアントネットワーク要素とインタラクトするためのセキュリティモジュール用のインタフェースの構成を含み得る。

この特定の例示的実施形態の追加の態様によれば、セキュリティモジュール用のインタフェースは、クライアントネットワーク要素に関連するセキュリティアプリケーションとインタラクトするように構成され得る。

この特定の例示的実施形態の更に別の態様によれば、ゲスト仮想マシン用にセキュリティモジュールを構成するステップは、サーバネットワーク要素とインタラクトするためのセキュリティモジュール用のインタフェースの構成を含み得る。

この特定の例示的実施形態の他の態様によれば、ゲスト仮想マシン用にセキュリティモジュールを構成するステップは、セキュリティモジュールのためのウイルス対策ソフトウェア、マルウェア対策ソフトウェア、ファイアウォールソフトウェア、侵入防止ソフトウェア、及びデータ漏洩防止ソフトウェアの内の少なくとも１つのフルバージョンの構成を含み得る。

この特定の例示的実施形態の更なる態様によれば、ゲスト仮想マシン用にセキュリティモジュールを構成するステップは、セキュリティモジュールのためのウイルス対策ソフトウェア、マルウェア対策ソフトウェア、ファイアウォールソフトウェア、侵入防止ソフトウェア、及びデータ漏洩防止ソフトウェアの内の少なくとも１つの部分的バージョンの構成を含み得る。

この特定の例示的実施形態の追加の態様によれば、ゲスト仮想マシン用にセキュリティモジュールを構成するステップは、セキュリティモジュールのためのウイルス対策ソフトウェア、マルウェア対策ソフトウェア、ファイアウォールソフトウェア、侵入防止ソフトウェア、及びデータ漏洩防止ソフトウェアの内の少なくとも１つのアップデートしたバージョンの構成を含み得る。

この特定の例示的実施形態の更に別の態様によれば、この方法は、クライアントネットワーク要素に関連する情報に少なくとも部分的に基づいて、クライアントネットワーク要素に関連する権利を判定するステップを更に含み得る。

この特定の例示的実施形態の他の態様によれば、この方法は、クライアントネットワーク要素が権利を持たないという判定に少なくとも部分的に基づいて、チェックアウトエラーメッセージを表示するステップを更に含み得る。

この特定の例示的実施形態の更なる態様によれば、上記のチェックアウトしたゲスト仮想マシンを保護する方法を行うためのコンピュータプロセスを実行するよう少なくとも１つのプロセッサに指示する、少なくとも１つのプロセッサが読み取れるように構成された命令から成るコンピュータプログラムを保存するための少なくとも１つの非一時的プロセッサ可読ストレージ媒体。

別の特定の例示的実施形態においては、ネットワークに通信的に接続された１つまたは複数のプロセッサを含む、チェックアウトしたゲスト仮想マシンを保護するシステムとして技術が実現されてもよく、１つまたは複数のプロセッサは、サーバネットワーク要素によってホスティングされるゲスト仮想マシンをチェックアウトする要求の受信であって、ゲスト仮想マシンのチェックアウトは、ゲスト仮想マシンのホスティングをサーバネットワーク要素からクライアントネットワーク要素へと移すことを含む、要求の受信を行うように構成され得る。１つまたは複数のプロセッサは、ゲスト仮想マシンを保護するための、ゲスト仮想マシン用のセキュリティモジュールの構成、及びゲスト仮想マシンがチェックアウトする際のゲスト仮想マシンへのセキュリティモジュールの提供も行うように構成され得る。

この特定の例示的実施形態の他の態様によれば、１つまたは複数のプロセッサは、クライアントネットワーク要素に関連する情報を収集するために、プローブパケットをクライアントネットワーク要素に送信するように更に構成され得る。

この特定の例示的実施形態の更なる態様によれば、クライアントネットワーク要素に関連する情報に少なくとも部分的に基づいて、セキュリティモジュールが構成され得る。

この特定の例示的実施形態の追加の態様によれば、１つまたは複数のプロセッサは、セキュリティアプリケーションがクライアントネットワーク要素に関連するか否かを判定するように更に構成され得る。

この特定の例示的実施形態の更なる態様によれば、１つまたは複数のプロセッサは、クライアントネットワーク要素に関連する情報に少なくとも部分的に基づいて、クライアントネットワーク要素に関連する権利を判定するように更に構成され得る。

これより、添付の図面に示されるような例示的実施形態に関連して、本開示をより詳細に記載する。本開示を例示的実施形態に関連して以下に記載するが、本開示がそれらに限定されないことを理解されたい。本明細書の教示を利用可能な当業者は、追加の実施例、変更例、及び実施形態、並びに、本明細書に記載の本開示の範囲内であり、それらに対して本開示が顕著な有用性を持ち得る他の使用分野を認識するであろう。

本開示のより完全な理解を促すために、同様の要素が同様の数字を用いて参照される添付の図面についてこれより言及する。これらの図面は、本開示を限定するものとして解釈されるべきではなく、例となることのみを意図したものである。

本開示の一実施形態による、仮想デスクトップインフラストラクチャ（ＶＤＩ）においてチェックアウトした仮想マシン（ＶＭ）を保護するためのネットワークアーキテクチャ１００を描写するブロック図を示す。 本開示の一実施形態による、コンピュータシステムのブロック図を描写する。 本開示の一実施形態による、セキュリティ仮想マシンを示す。 本開示の一実施形態による、仮想デスクトップインフラストラクチャ（ＶＤＩ）においてチェックアウトした仮想マシンにセキュリティを提供するための方法を描写する。 本開示の一実施形態による、仮想デスクトップインフラストラクチャ（ＶＤＩ）において仮想マシンにセキュリティを提供するための方法を描写する。

図１は、本開示の一実施形態による、仮想デスクトップインフラストラクチャ（ＶＤＩ）においてチェックアウトした仮想マシン（ＶＭ）を保護するためのネットワークアーキテクチャ１００を描写するブロック図を示す。図１は、描写されていない更なる要素を含み得るネットワークアーキテクチャ１００の簡略図である。ネットワークアーキテクチャ１００は、クライアントネットワーク要素１１０〜１３０及びサーバネットワーク要素１４０Ａ及び１４０Ｂ（これらの１つまたは複数は、図２に示されるコンピュータシステム２００を用いて実行され得る）を包含し得る。クライアントネットワーク要素１１０〜１３０は、ネットワーク１５０と通信的に接続され得る。サーバネットワーク要素１４０Ａは、ネットワーク１９０及び１５０と通信的に接続され得る。サーバネットワーク要素１４０Ｂは、ストレージデバイス１６０Ａ（１）〜（Ｎ）と通信的に接続され得る。サーバネットワーク要素１４０Ｂは、ＳＡＮ（ストレージエリアネットワーク）ファブリック１７０と通信的に接続され得る。ＳＡＮファブリック１７０は、サーバネットワーク要素１４０Ｂによる、及びネットワーク１５０を介したネットワーク要素１１０によるストレージデバイス１８０（１）〜（Ｎ）へのアクセスをサポートし得る。

以下の記載は、１つまたは複数のモジュールを含み得る仮想デスクトップインフラストラクチャ（ＶＤＩ）においてチェックアウトした仮想マシンを保護するためのシステム及び方法のネットワーク要素、コンピュータ、及び／またはコンポーネントを説明する。本明細書では、「モジュール」という用語は、コンピューティングソフトウェア、ファームウェア、ハードウェア、及び／またはそれらの様々な組み合わせを指すと理解することができる。しかしながら、モジュールは、ハードウェア、ファームウェア上で実行されない、またはプロセッサ可読及び記録可能ストレージ媒体上に記録されないソフトウェアとしては解釈されないものとする（即ち、モジュールは、正確な意味においてソフトウェアではない）。なお、これらのモジュールは例である。モジュールは、様々なアプリケーションをサポートするために、組み合わせる、統合する、分離させる、及び／または複製することができる。また、ある特定のモジュールにおいて行われるとして本明細書に記載された機能は、その特定のモジュールにおいて行われる機能の代わりに、またはそれに加えて、１つまたは複数の他のモジュールにおいて、及び／または１つまたは複数の他のデバイスによって行われてもよい。更に、モジュールは、複数のデバイス及び／または互いにローカルまたはリモートの他のコンポーネント全体で実行されてもよい。また、モジュールは、あるデバイスから移動させて別のデバイスに加える、及び／または両方のデバイスに包含されてもよい。

サーバネットワーク要素１４０Ａ及び１４０Ｂは、ＳＡＮ（ストレージエリアネットワーク）ファブリック１７０と通信的に接続され得る。ＳＡＮファブリック１７０は、サーバネットワーク要素１４０Ａ及び１４０Ｂによる、及びネットワーク１５０を介したクライアントネットワーク要素１１０〜１３０によるストレージデバイス１８０（１）〜（Ｎ）へのアクセスをサポートし得る。サーバネットワーク要素１４０Ａは、ネットワーク１９０と通信的に接続され得る。一部の実施形態によれば、サーバネットワーク要素１４０Ａは、プロキシサーバ、データセンタ、及び／または１つまたは複数の仮想マシン（ＶＭ）をホスティング可能な他のネットワークデバイスでもよい。サーバネットワーク要素１４０Ａは、ネットワーク１９０と通信的に接続され得る。

サーバネットワーク要素１４０Ａは、仮想化環境１４５をホスティングするためのプラットフォームを含み得る。例えば、サーバネットワーク要素１４０Ａは、リモートデスクトッププロトコル（ｒｅｍｏｔｅ ｄｅｓｋｔｏｐ ｐｒｏｔｏｃｏｌ：ＲＤＰ）を介して仮想化環境をホスティングするための仮想デスクトップインフラストラクチャ（ＶＤＩ）プラットフォームを含み得る。仮想化環境１４５は、例えば、ゲスト仮想マシン１５６Ａ〜Ｃ及びセキュリティ仮想マシン１５８等の１つまたは複数の仮想マシンをホスティング可能となり得る。例えば、セキュリティ仮想マシン１５８は、複数のゲスト仮想マシン１５６Ａ〜Ｃに対してセキュリティサービスを提供することができる。複数のゲスト仮想マシン１５６に対してセキュリティサービスを提供するために、複数のセキュリティ仮想マシン１５８が実行され得ることを当業者は理解するであろう。

クライアントネットワーク要素１１０〜１３０は、サーバネットワーク要素１４０Ａと通信的に接続され、ネットワーク１５０を介してゲスト仮想マシン１５６Ａ〜Ｃにリモートに（例えば、リモートデスクトッププロトコル（ＲＤＰ）を介して）アクセスすることができる。例えば、クライアントネットワーク要素１１０は、ゲスト仮想マシン１５６Ａにリモートにアクセスし、クライアントネットワーク要素１２０は、ゲスト仮想マシン１５６Ｂにリモートにアクセスし、クライアントネットワーク要素１３０は、ゲスト仮想マシン１５６Ｃにリモートにアクセスし得る。サーバネットワーク要素１４０Ａは、ゲスト仮想マシン１５６Ａ〜Ｃのホスティングをクライアントネットワーク要素１１０〜１３０に移し、従って、クライアントネットワーク要素１１０〜１３０がサーバネットワーク要素１４０Ａから通信的に切り離された（例えば、「チェックアウトした」）後でも、ゲスト仮想マシン１５６Ａ〜Ｃが動作を継続することが可能となり得る。

クライアントネットワーク要素１１０〜１３０がサーバネットワーク要素１４０Ａから通信的に切り離された後に、ゲスト仮想マシン１５６Ａ〜Ｃが動作を継続するためには、クライアントネットワーク要素１１０〜１３０の各々が、仮想化環境１４５Ａ〜Ｃをホスティングするためのプラットフォームをそれぞれ含み得る。各仮想化環境１４５Ａ〜Ｃは、例えば、ゲスト仮想マシン１５６Ａ〜Ｃ等の１つまたは複数のチェックアウトしたゲスト仮想マシンをサポートすることが可能となり得る。一部の実施形態では、仮想化環境１４５Ａ〜Ｃは、クライアントネットワーク要素１１０〜１３０によってホスティングされるハイパーバイザまたは仮想マシンマネージャ（ＶＭＭ）でもよい。

仮想化は、異なる抽象化レベルで生じ得る。一部の実施形態によれば、ゲスト仮想マシン１５６Ａ〜Ｃは、ハードウェアレベルで抽象化を行い、オペレーティングシステムの上に存在し得る（例えば、ＶＭｗａｒｅワークステーション及びＭｉｃｒｏｓｏｆｔ Ｖｉｒｔｕａｌ ＰＣ／Ｓｅｒｖｅｒ）。他の実施形態によれば、ゲスト仮想マシン１５６Ａ〜Ｃは、ハードウェアレベルで抽象化を行い、オペレーティングシステムの上に存在しない場合がある（即ち、それらは、ベアメタル型の実行でもよい）。一部の実施形態によれば、ゲスト仮想マシン１５６Ａ〜Ｃは、限定されることはないが、オペレーティングシステム（ＯＳ）レベル、ＯＳシステムコールレベル、命令セットエミュレーション、アプリケーションバイナリインタフェースエミュレーション、ユーザレベルＯＳエミュレーション等を含む他のレベルでも抽象化することができる。

サーバネットワーク要素１４０Ａから通信的に切り離された後の各クライアントネットワーク要素１１０〜１３０によってホスティングされる各ゲスト仮想マシン１５６Ａ〜Ｃは、セキュリティモジュール１５８Ａ〜Ｃの１つをそれぞれ含み得る。例えば、ゲスト仮想マシン１５６Ａ〜Ｃのホスティングが、サーバネットワーク要素１４０Ａからクライアントネットワーク要素１１０〜１３０に移されると、セキュリティモジュール１５８Ａ〜Ｃが起動され、セキュリティサービスをゲスト仮想マシン１５６Ａ〜Ｃに提供することができる。一部の実施形態によれば、ゲスト仮想マシン１５６Ａ〜Ｃがクライアントネットワーク要素１１０〜１３０において仮想化環境１４５Ａ〜Ｃによってホスティングされる際に、セキュリティモジュール１５８Ａ〜Ｃは、ゲスト仮想マシン１５６Ａ〜Ｃに対してセキュリティサービスを提供することができ得る。例えば、ゲスト仮想マシン１５６Ａ〜Ｃに含まれるセキュリティモジュール１５８Ａ〜Ｃは、サーバネットワーク要素１４０Ａに位置するセキュリティ仮想マシン１５８に類似し得る。別の例では、セキュリティモジュール１５８Ａ〜Ｃは、アプリケーションプログラミングインタフェース（ａｐｐｌｉｃａｔｉｏｎ ｐｒｏｇｒａｍｍｉｎｇ ｉｎｔｅｒｆａｃｅ：ＡＰＩ）またはゲスト仮想マシン１５６Ａ〜Ｃにセキュリティサービスを提供するためにクライアントネットワーク要素１１０〜１３０にプレインストールされたセキュリティプログラムに対するインタフェースを含み得る。他の例では、セキュリティモジュール１５８Ａ〜Ｃは、ゲスト仮想マシン１５６Ａ〜Ｃにセキュリティサービスを提供するために、コンピュータウイルス、ワーム、侵入、データ漏洩、及び／またはマルウェアを防止、検出、及び／または除去するソフトウェア、コード、またはスクリプトを含み得る。一部の実施形態によれば、クライアントネットワーク要素１１０〜１３０がサーバネットワーク要素１４０Ａとの通信を再構築すると、セキュリティモジュール１５８Ａ〜１５８Ｃを使用しなくてもよい（例えば、ゲスト仮想マシン１５６Ａ〜Ｃのセキュリティサービスは、サーバネットワーク要素１４０Ａのセキュリティ仮想マシン１５８を用いることによって提供されてもよい）。以下により詳細に説明するように、クライアントネットワーク要素１１０〜１３０がサーバネットワーク要素１４０Ａから通信的に切り離されると（例えば、「チェックアウトした」仮想マシン）、セキュリティモジュール１５８Ａ〜Ｃは、クライアントネットワーク要素１１０〜１３０によってホスティングされるゲスト仮想マシン１５６Ａ〜Ｃに対してセキュリティサービスを提供することができる。

図２のコンピュータシステム２００を参照すると、モデム２４７、ネットワークインタフェース２４８、または他の方法を用いて、クライアントネットワーク要素１１０〜１３０からネットワーク１５０への接続性を提供し得る。クライアントネットワーク要素１１０〜１３０は、例えば、ウェブブラウザまたは他のクライアントソフトウェアを用いて、サーバネットワーク要素１４０Ａまたは１４０Ｂ上の情報にアクセスすることが可能である。このようなクライアントにより、クライアントネットワーク要素１１０〜１３０が、サーバネットワーク要素１４０Ａまたは１４０Ｂ、またはストレージデバイス１６０Ａ（１）〜（Ｎ）、１６０Ｂ（１）〜（Ｎ）、及び／または１８０（１）〜（Ｎ）の１つによってホスティングされるデータにアクセスすることが可能である。

ネットワーク１５０及び１９０は、ローカルエリアネットワーク（ＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ）、インターネット、セルラーネットワーク、衛星ネットワーク、またはクライアントネットワーク要素１１０〜１３０、サーバネットワーク要素１４０Ａ及び１４０Ｂ、及びネットワーク１５０及び１９０と通信的に接続された他のデバイス間の通信を許可する他のネットワークでもよい。ネットワーク１５０及び１９０は、スタンドアロン型ネットワークとして動作する、または互いに協働して動作する上述のネットワークタイプ例の内の１つまたは任意の数を更に含み得る。ネットワーク１５０及び１９０は、それらが通信的に接続される１つまたは複数のクライアントネットワーク要素１１０〜１３０またはサーバネットワーク要素１４０Ａ及び１４０Ｂの１つまたは複数のプロトコルを利用し得る。ネットワーク１５０及び１９０は、他のプロトコルに変換する、または他のプロトコルからネットワークデバイスの１つまたは複数のプロトコルに変換することができる。ネットワーク１５０及び１９０はそれぞれ１つのネットワークとして描写されているが、１つまたは複数の実施形態によれば、ネットワーク１５０及び１９０はそれぞれ複数の相互接続されたネットワークを含み得ることを理解されたい。

ストレージデバイス１６０Ａ（１）〜（Ｎ）、１６０Ｂ（１）〜（Ｎ）、及び／または１８０（１）〜（Ｎ）は、ネットワークアクセスが可能なストレージでもよく、サーバネットワーク要素１４０Ａまたは１４０Ｂに対してローカル、リモート、またはそれらの組み合わせでもよい。ストレージデバイス１６０Ａ（１）〜（Ｎ）、１６０Ｂ（１）〜（Ｎ）、及び／または１８０（１）〜（Ｎ）は、リダンダントアレイオブインエクスペンシブディスク（「ｒｅｄｕｎｄａｎｔ ａｒｒａｙ ｏｆ ｉｎｅｘｐｅｎｓｉｖｅ ｄｉｓｋｓ：ＲＡＩＤ」）、磁気テープ、ディスク、ストレージエリアネットワーク（「ＳＡＮ」）、インターネットスモールコンピュータシステムインタフェース（「ｉｎｔｅｒｎｅｔ ｓｍａｌｌ ｃｏｍｐｕｔｅｒ ｓｙｓｔｅｍｓ ｉｎｔｅｒｆａｃｅ：ｉＳＣＳＩ」）ＳＡＮ、ファイバチャネルＳＡＮ、共通インターネットファイルシステム（「ＣＩＦＳ」）、ネットワークアタッチドストレージ（「ＮＡＳ」）、ネットワークファイルシステム（「ＮＦＳ」）、光学ベースのストレージ、または他のコンピュータアクセス可能ストレージを利用し得る。バックアップまたはアーカイブ目的で、ストレージデバイス１６０Ａ（１）〜（Ｎ）、１６０Ｂ（１）〜（Ｎ）、及び／または１８０（１）〜（Ｎ）を用いてもよい。

一部の実施形態によれば、クライアントネットワーク要素１１０〜１３０は、スマートフォン、ＰＤＡ、デスクトップコンピュータ、ラップトップコンピュータ、サーバ、別のコンピュータ、またはネットワーク１５０に対するワイヤレスまたは有線接続を介して接続された別のデバイスでもよい。クライアントネットワーク要素１１０〜１３０は、ユーザ入力、データベース、ファイル、ウェブサービス、及び／またはアプリケーションプログラミングインタフェースからデータを受信することができる。一部の実施形態では、クライアントネットワーク要素１１０〜１３０は、例えばスマートフォン等の移動クライアントでもよい。仮想化及び仮想環境間の遷移は、サーバ側のプラットフォームで生じてもよく、クライアントネットワーク要素１１０〜１３０は、現在の仮想環境に応じた表示のデータを受信することができる。

サーバネットワーク要素１４０Ａ及び１４０Ｂは、アプリケーションサーバ、アーカイブプラットフォーム、仮想化環境プラットフォーム、バックアップサーバ、ネットワークストレージデバイス、メディアサーバ、メールサーバ、文書管理プラットフォーム、エンタープライズ検索サーバ、またはネットワーク１５０に通信的に接続された他のデバイスでもよい。サーバネットワーク要素１４０Ａ及び１４０Ｂは、アプリケーションデータ、バックアップデータ、または他のデータを記憶するために、ストレージデバイス１６０Ａ（１）〜（Ｎ）、１６０Ｂ（１）〜（Ｎ）、及び／または１８０（１）〜（Ｎ）の１つを利用し得る。サーバネットワーク要素１４０Ａ及び１４０Ｂは、クライアントネットワーク要素１１０〜１３０と、バックアッププラットフォーム、バックアッププロセス、及び／またはストレージとの間で伝達されるデータを処理し得るアプリケーションサーバ等のホストでもよい。一部の実施形態によれば、サーバネットワーク要素１４０Ａ及び１４０Ｂは、データのバックアップ及び／またはアーカイブを行うために使用されるプラットフォームでもよい。

一部の実施形態によれば、クライアントネットワーク要素１１０〜１３０がサーバネットワーク要素１４０Ａと通信的に接続されると、セキュリティ仮想マシン１５８は、ゲスト仮想マシン１５６Ａ〜Ｃに対してセキュリティサービスを提供することができる。セキュリティ仮想マシン１５８は、クライアントネットワーク要素１１０〜１３０がサーバネットワーク要素１４０Ａから通信的に切り離された後、クライアントネットワーク要素１１０〜１３０によってホスティングされるゲスト仮想マシン１５８Ａ〜Ｃ（例えば、「チェックアウトした」）にセキュリティモジュール１５８Ａ〜Ｃを提供することができる。例えば、セキュリティ仮想マシン１５８は、ゲスト仮想マシン１５８Ａ〜Ｃの各々に対して同じセキュリティモジュール１５８Ａ〜Ｃを提供することができる。セキュリティ仮想マシン１５８は、クライアントネットワーク要素１１０〜１３０へとチェックアウトした（例えば、クライアントネットワーク要素１１０〜１３０によってホスティングされる）際にゲスト仮想マシン１５６Ａ〜Ｃにセキュリティサービスを提供するために、セキュリティモジュール１５８Ａ〜Ｃがセキュリティ仮想マシン１５８と同様の機能性を持つように構成してもよい。

セキュリティ仮想マシン１５８は、少なくとも部分的にホスティングクライアントネットワーク要素１１０〜１３０に関連するパラメータに基づいて、異なるセキュリティモジュール１５８Ａ〜Ｃを異なるゲスト仮想マシン１５６Ａ〜Ｃに提供してもよい。例えば、セキュリティ仮想マシン１５８は、クライアントネットワーク要素１１０〜１３０に関連する１つまたは複数のパラメータを決定するために、クライアントネットワーク要素１１０〜１３０をプローブしてもよい。クライアントネットワーク要素１１０〜１３０に関連する１つまたは複数のパラメータは、仮想化プラットフォーム、ハイパーバイザ、セキュリティ、脆弱性、権利、ストレージ、ＣＰＵ使用率、メモリ、ネットワーク入出力（Ｉ／Ｏ）及びクライアントネットワーク要素１１０〜１３０に関連する他のパラメータを含み得る。セキュリティ仮想マシン１５８は、クライアントネットワーク要素１１０〜１３０がサーバネットワーク要素１４０Ａから通信的に切り離された後にクライアントネットワーク要素１１０〜１３０によってホスティングされ得るゲスト仮想マシン１５６Ａ〜Ｃに対して、構成されたセキュリティモジュール１５８Ａ〜Ｃを提供することができる。

ある例示的実施形態では、セキュリティモジュール１５８Ａ〜Ｃは、セキュリティ仮想マシン１５８とインタラクトするアプリケーションプログラミングインタフェース（ＡＰＩ）または他のインタフェースを含み得る。セキュリティ仮想マシン１５８は、インタフェースを用いてセキュリティモジュール１５８Ａ〜Ｃと通信することができる。例えば、セキュリティ仮想マシン１５８は、セキュリティモジュール１５８Ａ〜Ｃに対して１つまたは複数の命令を伝えることができる。セキュリティ仮想マシン１５８は、セキュリティモジュール１５８Ａ〜Ｃに対して起動命令を伝えることができる。セキュリティ仮想マシン１５８は、セキュリティモジュール１５８Ａ〜Ｃに対して動作停止命令を伝えることができる。セキュリティ仮想マシン１５８は、セキュリティモジュール１５８Ａ〜Ｃに対してアンインストール命令を伝えることができる。セキュリティ仮想マシン１５８は、インタフェースを用いて、セキュリティモジュール１５８Ａ〜Ｃに対して１つまたは複数のアップデートを提供することができる。例えば、セキュリティ仮想マシン１５８は、アップデートしたウイルス対策ソフトウェア、マルウェア対策ソフトウェア、ファイアウォールソフトウェア、侵入防止ソフトウェア、データ漏洩防止ソフトウェア、及び／またはセキュリティモジュール１５８Ａ〜Ｃに対する他のセキュリティソフトウェアを提供し得る。セキュリティ仮想マシン１５８は、定期的にセキュリティモジュール１５８Ａ〜Ｃをアップデートすることができる。例えば、セキュリティ仮想マシン１５８は、クライアントネットワーク要素１１０〜１３０がサーバネットワーク要素１４０Ａと通信的に接続された際に、セキュリティモジュール１５８Ａ〜Ｃをアップデートしてもよい。

セキュリティモジュール１５８Ａ〜Ｃのインタフェースは、クライアントネットワーク要素１１０〜１３０にプレインストールされたセキュリティプログラムとインタラクトすることができる。例えば、セキュリティモジュール１５８Ａ〜Ｃのインタフェースは、クライアントネットワーク要素１１０〜１３０にプレインストールされたセキュリティプログラムと通信してもよい。例えば、セキュリティモジュール１５８Ａ〜Ｃは、クライアントネットワーク要素１１０〜１３０にプレインストールされたセキュリティアプリケーションに対して１つまたは複数の命令を伝えることができる。セキュリティモジュール１５８Ａ〜Ｃは、クライアントネットワーク要素１１０〜１３０にプレインストールされたセキュリティアプリケーションに対して起動命令を伝えることができる。セキュリティモジュール１５８Ａ〜Ｃは、ゲスト仮想マシン１５６Ａ〜Ｃに対してセキュリティサービスを提供するために、クライアントネットワーク要素１１０〜１３０にプレインストールされたセキュリティアプリケーションを起動することができる。セキュリティモジュール１５８Ａ〜Ｃは、クライアントネットワーク要素１１０〜１３０にプレインストールされたセキュリティアプリケーションに対して動作停止命令を伝えることができる。

図２は、本開示の一実施形態によるコンピュータシステム２００のブロック図を示す。コンピュータシステム２００は、本開示による技術を実行するのに適している。コンピュータシステム２００は、中央処理装置２１４、システムメモリ２１７（例えば、ＲＡＭ（ランダムアクセスメモリ）、ＲＯＭ（読み取り専用メモリ）、またはフラッシュＲＡＭ等）、入出力（Ｉ／Ｏ）制御装置２１８、音声出力インタフェース２２２を介したスピーカーシステム２２０等の外部オーディオ装置、ディスプレイアダプタ２２６を介した表示画面２２４等の外部装置、シリアルポート２２８及び２３０、キーボード２３２（キーボード制御装置２３３を介してインタフェースがとられる）、ストレージインタフェース２３４、フロッピーディスク２３８（「フロッピー」は登録商標。以下同じ）を収容するよう機能するフロッピーディスクドライブ２３７、ファイバチャネルネットワーク２９０と接続するよう機能するホストバスアダプタ（ＨＢＡ）インタフェースカード２３５Ａ、ＳＣＳＩバス２３９と接続するよう機能するホストバスアダプタ（ＨＢＡ）インタフェースカード２３５Ｂ、及び光ディスク２４２を収容するよう機能する光ディスクドライブ２４０等のコンピュータシステム２００の主要サブシステムを相互接続し得るバス２１２を含み得る。マウス２４６（または他のポイント・アンド・クリック方式デバイス、シリアルポート２２８を介してバス２１２に接続される）、モデム２４７（シリアルポート２３０を介してバス２１２に接続される）、ネットワークインタフェース２４８（バス２１２に直接接続される）、パワーマネージャ２５０、及びバッテリ２５２も含まれ得る。

バス２１２は、中央処理装置２１４と、先述の通り、読み出し専用メモリ（ＲＯＭ）またはフラッシュメモリ（どちらも不図示）、及びランダムアクセスメモリ（ＲＡＭ）（不図示）を含み得るシステムメモリ２１７との間のデータ通信を可能にする。ＲＡＭは、オペレーティングシステム及びアプリケーションプログラムがロードされ得るメインメモリでもよい。ＲＯＭまたはフラッシュメモリは、その他のコードとして、周辺コンポーネントとのインタラクション等の基本ハードウェア動作を制御する基本入出力システム（Ｂａｓｉｃ Ｉｎｐｕｔ−Ｏｕｔｐｕｔ ｓｙｓｔｅｍ：ＢＩＯＳ）を含み得る。コンピュータシステム２１０と共に常駐するアプリケーションは、ハードディスクドライブ（例えば、固定ディスク２４４）、光学式ドライブ（例えば光学式ドライブ２４０）、フロッピーディスク装置２３７、または他のストレージ媒体等のコンピュータ可読媒体上に保存され、それを介してアクセスされ得る。例えば、セキュリティ仮想マシン１５８は、システムメモリ２１７内に常駐し得る。

ストレージインタフェース２３４は、コンピュータシステム２１０の他のストレージインタフェースと同様に、固定ディスクドライブ２４４等の情報の記憶及び／または読み出し用の標準コンピュータ可読媒体に接続可能である。固定ディスクドライブ２４４は、コンピュータシステム２１０の一部でもよく、あるいは、別個のもので、他のインタフェースシステムを介してアクセスされてもよい。モデム２４７は、電話リンクを介してリモートサーバへ、またはインターネットサービスプロバイダ（ＩＳＰ）を介してインターネットへの直接接続を提供することができる。ネットワークインタフェース２４８は、ＰＯＰ（ｐｏｉｎｔ ｏｆ ｐｒｅｓｅｎｃｅ）を用いたインターネットへの直接ネットワークリンクを経由したリモートサーバへの直接接続を提供することができる。ネットワークインタフェース２４８は、デジタル携帯電話接続、セルラーデジタルパケットデータ（Ｃｅｌｌｕｌａｒ Ｄｉｇｉｔａｌ Ｐａｃｋｅｔ Ｄａｔａ：ＣＤＰＤ）接続、またはデジタル衛星データ接続等を含むワイヤレス技術を用いたこのような接続を提供することができる。

多くの他のデバイスまたはサブシステム（不図示）を同様に接続してもよい（例えば、文書スキャナ、デジタルカメラ等）。反対に、図２に示すデバイスの全てが、本開示を実施するために存在する必要はない。デバイス及びサブシステムは、図２に示される方法とは異なる方法で相互接続されてもよい。本開示を実行するためのコードは、システムメモリ２１７、固定ディスク２４４、光ディスク２４２、またはフロッピーディスク２３８の１つまたは複数等のコンピュータ可読ストレージ媒体に保存されてもよい。本開示を実行するためのコードは、１つまたは複数のインタフェースを介して受信され、メモリに保存されてもよい。コンピュータシステム２１０に設けられるオペレーティングシステムは、ＭＳ−ＤＯＳ（登録商標）、ＭＳ−ＷＩＮＤＯＷＳ（登録商標）、ＯＳ／２（登録商標）、ＯＳ Ｘ（登録商標）、ＵＮＩＸ（登録商標）、Ｌｉｎｕｘ（登録商標）、または別の公知のオペレーティングシステムでもよい。

パワーマネージャ２５０は、バッテリ２５２の電力レベルを監視することができる。パワーマネージャ２５０は、電力レベル、コンピュータシステム２００のシャットダウンまでの残りの時間ウィンドウ、電力消費率、コンピュータシステムがコンセントに差し込まれているか（例えば交流電力）あるいはバッテリ電力であるかのインジケータ、及び他の電力関係情報の決定を可能にする１つまたは複数のＡＰＩ（アプリケーションプログラミングインタフェース）を提供することができる。一部の実施形態によれば、パワーマネージャ２５０のＡＰＩは、リモートからアクセス可能（例えば、ネットワーク接続を用いてリモートバックアップ管理モジュールにアクセス可能）となり得る。一部の実施形態によれば、バッテリ２５２は、コンピュータシステム２００に対してローカルまたはリモートに位置する無停電電源（Ｕｎｉｎｔｅｒｒｕｐｔａｂｌｅ Ｐｏｗｅｒ Ｓｕｐｐｌｙ：ＵＰＳ）でもよい。このような実施形態では、パワーマネージャ２５０は、ＵＰＳの電力レベルに関する情報を提供することができる。

図３を参照すると、本開示の一実施形態によるセキュリティ仮想マシン３１０が示されている。図示されるように、セキュリティ仮想マシン３１０は、プローブモジュール３１２、インタフェースモジュール３１４、構成モジュール３１６、及び／またはアップデートモジュール３２０を含む１つまたは複数のコンポーネントを包含し得る。

プローブモジュール３１２は、クライアントネットワーク要素１１０〜１３０をプローブすることにより、クライアントネットワーク要素１１０〜１３０に関連する情報及び／またはパラメータを得ることができる。例えば、プローブモジュール３１２は、クライアントネットワーク要素１１０〜１３０に対してプローブパケットを送信することができる。プローブパケットは、クライアントネットワーク要素１１０〜１３０に関連する情報及び／またはパラメータを得ることができる。プローブパケットは、得られた情報及び／またはパラメータと共に、プローブモジュール３１２に戻され得る。プローブモジュール３１２は、クライアントネットワーク要素１１０〜１３０に関連する情報及び／またはパラメータを抽出することができる。例えば、クライアントネットワーク要素１１０〜１３０に関連する情報及び／またはパラメータには、仮想化プラットフォーム、ハイパーバイザ、セキュリティ情報、脆弱性、権利、ストレージ、ＣＰＵ使用率、メモリ、ネットワーク入出力（Ｉ／Ｏ）及びクライアントネットワーク要素１１０〜１３０に関連する他のパラメータが含まれ得る。

ある例示的実施形態では、クライアントネットワーク要素１１０〜１３０に関連するセキュリティ情報には、クライアントネットワーク要素１１０〜１３０にプレインストールされたセキュリティアプリケーションに関連する情報が含まれ得る。クライアントネットワーク要素１１０〜１３０にプレインストールされたセキュリティアプリケーションに関連する情報には、セキュリティアプリケーション、メーカー、バージョン、日付、歴史、ウイルス対策、スパム対策、マルウェア対策、インタフェース、及び／またはセキュリティアプリケーションに関連する他の特徴が含まれ得る。別の例示的実施形態では、クライアントネットワーク要素１１０〜１３０に関連するセキュリティ情報は、セキュリティアプリケーションがクライアントネットワーク要素１１０〜１３０にプレインストールされていない可能性があることを示してもよい。クライアントネットワーク要素１１０〜１３０に関連するセキュリティ情報は、ゲスト仮想マシン１５６Ａ〜Ｃに関連するセキュリティモジュール１５８Ａ〜Ｃに関連する情報を含み得る。プローブモジュール３１２は、セキュリティ仮想マシン３１０の様々なモジュール（例えば、インタフェースモジュール３１４、構成モジュール３１６、権利モジュール３１８、及び／またはアップデートモジュール３２０）に対して、クライアントネットワーク要素１１０〜１３０に関連する情報及び／またはパラメータを提供することができる。

インタフェースモジュール３１４は、クライアントネットワーク要素１１０〜１３０によってホスティングされるゲスト仮想マシン１５６Ａ〜Ｃのセキュリティモジュール１５８Ａ〜Ｃとインタラクトすることができる。例えば、インタフェースモジュール３１４は、１つまたは複数の命令をセキュリティモジュール１５８Ａ〜Ｃに伝えることができる。インタフェースモジュール３１４は、セキュリティモジュール１５８Ａ〜Ｃに対して起動命令を伝えることができる。インタフェースモジュール３１４は、セキュリティモジュール１５８Ａ〜Ｃに対して動作停止命令を伝えることができる。インタフェースモジュール３１４は、セキュリティモジュール１５８Ａ〜Ｃに対してアンインストール命令を伝えることができる。インタフェースモジュール３１４は、セキュリティモジュール１５８Ａ〜Ｃに対して１つまたは複数のアップデートを提供することができる。

構成モジュール３１６は、セキュリティモジュール１５８Ａ〜Ｃを構成するための１つまたは複数のプロセッサを含み得る。ゲスト仮想マシン１５６Ａ〜Ｃがクライアントネットワーク要素１１０〜１３０へとチェックアウトすると（例えば、クライアントネットワーク要素１１０〜１３０がサーバネットワーク要素１４０Ａから通信的に切り離されると、クライアントネットワーク要素１１０〜１３０によってホスティングされる）、セキュリティモジュール１５８Ａ〜Ｃが、ゲスト仮想マシン１５６Ａ〜Ｃに提供され得る。構成モジュール３１６は、ゲスト仮想マシン１５６Ａ〜Ｃのセキュリティモジュール１５８Ａ〜Ｃを構成するために、セキュリティ仮想マシン３１０の他のモジュールから情報を受信することができる。

構成モジュール３１６は、ゲスト仮想マシン１５６Ａ〜Ｃをホスティングしようとしているクライアントネットワーク要素１１０〜１３０に関連する情報及び／またはパラメータを受信することができる。構成モジュール３１６は、ゲスト仮想マシン１５６Ａ〜Ｃをホスティングしようとしているクライアントネットワーク要素１１０〜１３０に関連する情報及び／またはパラメータに少なくとも部分的に基づいて、セキュリティモジュール１５８Ａ〜Ｃを構成することができる。ある例示的実施形態では、構成モジュール３１６は、クライアントネットワーク要素１１０〜１３０にプレインストールされたセキュリティアプリケーションとのインタフェースを含むように、セキュリティモジュール１５８Ａ〜Ｃを構成してもよい。セキュリティモジュール１５８Ａ〜Ｃのインタフェースは、クライアントネットワーク要素１１０〜１３０にプレインストールされたセキュリティアプリケーションとインタラクトすることができる。例えば、セキュリティモジュール１５８Ａ〜Ｃのインタフェースは、セキュリティサービスをゲスト仮想マシン１５６Ａ〜Ｃに提供するために、クライアントネットワーク要素１１０〜１３０にプレインストールされたセキュリティアプリケーションとインタラクトすることができる。

例えば、構成モジュール３１６は、クライアントネットワーク要素１１０〜１３０に関連する情報及び／またはパラメータに少なくとも部分的に基づいて、クライアントネットワーク要素１１０〜１３０が旧版のインストールされたセキュリティアプリケーションを持つ、あるいは、プレインストールされたセキュリティアプリケーションを持たない可能性があることを判定し得る。構成モジュール３１６は、クライアントネットワーク要素１１０〜１３０へとチェックアウトしたゲスト仮想マシン１５６Ａ〜Ｃ（例えば、クライアントネットワーク要素１１０〜１３０がサーバネットワーク要素１４０Ａから通信的に切り離されると、クライアントネットワーク要素１１０〜１３０によってホスティングされる）にセキュリティサービスを提供するために、ウイルス対策ソフトウェア、マルウェア対策ソフトウェア、ファイアウォールソフトウェア、侵入防止ソフトウェア、データ漏洩防止ソフトウェア、及び／または他のセキュリティソフトウェアを含むようにセキュリティモジュール１５８Ａ〜Ｃを構成してもよい。ある例示的実施形態では、クライアントネットワーク要素１１０〜１３０がインストールされたセキュリティアプリケーションを持たない可能性がある場合に、構成モジュール３１６は、ゲスト仮想マシン１５６Ａ〜Ｃにセキュリティサービスを提供するために、ウイルス対策ソフトウェア、マルウェア対策ソフトウェア、ファイアウォールソフトウェア、侵入防止ソフトウェア、データ漏洩防止ソフトウェア、及び／または他のセキュリティソフトウェアのフルバージョンを含むようにセキュリティモジュール１５８Ａ〜Ｃを構成することができる。別の例示的実施形態では、クライアントネットワーク要素１１０〜１３０がプレインストールされた旧版のセキュリティアプリケーションを有し得る場合は、構成モジュール３１６は、クライアントネットワーク要素１１０〜１３０にプレインストールされた旧版のセキュリティアプリケーションと共に動作するように、ウイルス対策ソフトウェアマルウェア対策ソフトウェア、ファイアウォールソフトウェア、侵入防止ソフトウェア、データ漏洩防止ソフトウェア、及び／または他のセキュリティソフトウェアの部分的バージョンを含むようにセキュリティモジュール１５８Ａ〜Ｃを構成してもよい。他の例示的実施形態では、構成モジュール３１６は、全てのクライアントネットワーク要素１１０〜１３０に対して同じウイルス対策ソフトウェア、マルウェア対策ソフトウェア、ファイアウォールソフトウェア、侵入防止ソフトウェア、データ漏洩防止ソフトウェア、及び／または他のセキュリティソフトウェアを持つようにセキュリティモジュール１５８Ａ〜Ｃを構成してもよい。

権利モジュール３１８は、クライアントネットワーク要素１１０〜１３０に関連する権利を判定することができる。権利モジュール３１８は、クライアントネットワーク要素１１０〜１３０に関連する情報及び／またはパラメータに少なくとも部分的に基づいて、クライアントネットワーク要素１１０〜１３０に関連する権利を判定することができる。例えば、権利モジュール３１８は、クライアントネットワーク要素１１０〜１３０がゲスト仮想マシン１５６Ａ〜Ｃをチェックアウトする権利を持つか否かを判定することができる。権利モジュール３１８は、クライアントネットワーク要素１１０〜１３０が、セキュリティモジュール１５８Ａ〜Ｃのウイルス対策ソフトウェア、マルウェア対策ソフトウェア、ファイアウォールソフトウェア、侵入防止ソフトウェア、データ漏洩防止ソフトウェア、及び／または他のセキュリティソフトウェアを受信する権利を持つか否かも判定することができる。権利モジュール３１８は、クライアントネットワーク要素１１０〜１３０が、ウイルス対策ソフトウェア、マルウェア対策ソフトウェア、ファイアウォールソフトウェア、侵入防止ソフトウェア、データ漏洩防止ソフトウェア、及び／または他のセキュリティソフトウェアのフルバージョンまたは部分的バージョンを受信する権利を持つか否かを判定することができる。権利モジュール３１８は、クライアントネットワーク要素１１０〜１３０がセキュリティモジュール１５８Ａ〜Ｃのアップデートを受信する権利を持つか否かを判定することができる。

アップデートモジュール３２０は、クライアントネットワーク要素１１０〜１３０によってホスティングされるゲスト仮想マシン１５６Ａ〜Ｃのセキュリティモジュール１５８Ａ〜Ｃをアップデートすることができる。例えば、アップデートモジュール３２０は、インタフェースモジュール３１４を介して、アップデートしたウイルス対策ソフトウェア、マルウェア対策ソフトウェア、ファイアウォールソフトウェア、侵入防止ソフトウェア、データ漏洩防止ソフトウェア、及び／または他のセキュリティソフトウェアをセキュリティモジュール１５８Ａ〜Ｃに提供することができる。アップデートモジュール３２０は、クライアントネットワーク要素１１０〜１３０によってホスティングされるゲスト仮想マシン１５６Ａ〜Ｃのセキュリティモジュール１５８Ａ〜Ｃを定期的にアップデートすることができる。例えば、アップデートモジュール３２０は、クライアントネットワーク要素１１０〜１３０によってホスティングされるゲスト仮想ネットワーク１５６Ａ〜Ｃがサーバネットワーク要素１４０Ａに通信的に接続される度にセキュリティモジュール１５８Ａ〜Ｃをアップデートしてもよい。

図４を参照すると、本開示の一実施形態による、仮想デスクトップインフラストラクチャ（ＶＤＩ）においてチェックアウトした仮想マシンにセキュリティを提供するための方法４００が示されている。ブロック４０２において、方法４００が開始され得る。

ブロック４０４において、１つまたは複数のクライアントネットワーク要素１１０〜１３０に関連するユーザが、チェックアウトプロセスを開始し得る。例えば、１つまたは複数のクライアントネットワーク要素１１０〜１３０は、ネットワーク１５０を介してサーバネットワーク要素１４０Ａに通信的に接続され得る。１つまたは複数のクライアントネットワーク要素１１０〜１３０に関連するユーザは、サーバネットワーク要素１４０Ａによってホスティングされる１つまたは複数のゲスト仮想マシン１５６Ａ〜Ｃにリモートからアクセス（例えば、リモートデスクトッププロトコル（ＲＤＰ）を介して）し得る。ユーザは、サーバネットワーク要素１４０Ａからクライアントネットワーク要素１１０〜１３０を通信的に切り離すことは決めても、まだゲスト仮想マシン１５６Ａ〜Ｃへのアクセスの継続を望む場合がある。ユーザは、ゲスト仮想マシン１５６Ａ〜Ｃのホスティングをサーバネットワーク要素１４０Ａからクライアントネットワーク要素１１０〜１３０に移すために（例えば、クライアントネットワーク要素１１０〜１３０によってホスティングされるゲスト仮想マシン１５６Ａ〜Ｃ）、チェックアウトプロセスを開始し得る。ユーザは、クライアントネットワーク要素１１０〜１３０がサーバネットワーク要素１４０Ａから通信的に切り離された際にゲスト仮想マシン１５６Ａ〜Ｃへのアクセスを継続するために、チェックアウトプロセスを開始する要求を送信し得る。

ブロック４１０において、構成モジュール３１６は、ゲスト仮想マシン１５６Ａ〜Ｃのためにセキュリティモジュール１５８Ａ〜Ｃを構成し得る。構成モジュール３１６は、クライアントネットワーク要素１１０〜１３０によってホスティングされる予定のゲスト仮想マシン１５６Ａ〜Ｃにセキュリティサービスを提供するために、ウイルス対策ソフトウェア、マルウェア対策ソフトウェア、ファイアウォールソフトウェア、侵入防止ソフトウェア、データ漏洩防止ソフトウェア、及び／または他のセキュリティソフトウェアを含むようにセキュリティモジュール１５８Ａ〜Ｃを構成してもよい。ある例示的実施形態では、構成モジュール３１６は、クライアントネットワーク要素１１０〜１３０上でホスティングされるゲスト仮想マシン１５６Ａ〜Ｃと通信するインタフェースを含むようにセキュリティモジュール１５８Ａ〜Ｃを構成してもよい。セキュリティモジュール１５８Ａ〜Ｃのインタフェースは、ゲスト仮想マシン１５６Ａ〜Ｃにセキュリティサービスを提供するために、ゲスト仮想マシン１５６Ａ〜Ｃと直接通信することができる。

ブロック４０６において、セキュリティ仮想マシン３１０は、クライアントネットワーク要素１１０〜１３０をプローブすることにより、クライアントネットワーク要素１１０〜１３０と関連する情報及び／またはパラメータを受信することができる。例えば、セキュリティ仮想マシン３１０のプローブモジュール３１２は、プローブパケットをクライアントネットワーク要素１１０〜１３０に送信することにより、クライアントネットワーク要素１１０〜１３０に関連する情報及び／またはパラメータを得ることができる。ある例示的実施形態では、クライアントネットワーク要素１１０〜１３０に関連する情報及び／またはパラメータは、仮想化プラットフォーム、ハイパーバイザ、セキュリティ情報、脆弱性、権利、ストレージ、ＣＰＵ使用率、メモリ、ネットワーク入出力（Ｉ／Ｏ）、及びクライアントネットワーク要素１１０〜１３０に関連する他のパラメータを含み得る。プローブモジュール３１２は、プローブパケットからクライアントネットワーク要素１１０〜１３０に関連する情報及び／またはパラメータを抽出することができる。プローブモジュール３１２は、セキュリティ仮想マシン３１０の他のモジュールに対して、クライアントネットワーク要素１１０〜１３０に関連する情報及び／またはパラメータを提供することができる。

ブロック４０８では、セキュリティアプリケーションがクライアントネットワーク要素１１０〜１３０にプレインストールされているか否かを判定し得る。例えば、セキュリティ仮想マシン３１０の構成モジュール３１６は、セキュリティアプリケーションがクライアントネットワーク要素１１０〜１３０にプレインストールされているか否かを判定することができる。構成モジュール３１６は、クライアントネットワーク要素１１０〜１３０に関連する情報及び／またはパラメータに少なくとも部分的に基づいて、セキュリティアプリケーションがクライアントネットワーク要素１１０〜１３０にプレインストールされているか否かを判定することができる。

ある代替実施形態では、ブロック４１０において、構成モジュール３１６は、セキュリティアプリケーションがクライアントネットワーク要素１１０〜１３０にプレインストールされているか否かを判定することができ、構成モジュール３１６は、セキュリティモジュール１５８Ａ〜Ｃを構成することができる。構成モジュール３１６は、クライアントネットワーク要素１１０〜１３０に関連するセキュリティ情報に少なくとも部分的に基づいて、セキュリティモジュール１５８Ａ〜Ｃを構成することができる。ある例示的実施形態では、構成モジュール３１６は、クライアントネットワーク要素１１０〜１３０にプレインストールされたセキュリティアプリケーションとのインタフェースを含むようにセキュリティモジュール１５８Ａ〜Ｃを構成することができる。セキュリティモジュール１５８Ａ〜Ｃのインタフェースは、クライアントネットワーク要素１１０〜１３０にプレインストールされたセキュリティアプリケーションとインタラクトすることができる。例えば、セキュリティモジュール１５８Ａ〜Ｃのインタフェースは、セキュリティサービスをゲスト仮想マシン１５６Ａ〜Ｃに提供するために、クライアントネットワーク要素１１０〜１３０にプレインストールされたセキュリティアプリケーションとインタラクトすることができる。

別の例示的実施形態では、構成モジュール３１６は、クライアントネットワーク要素１１０〜１３０がクライアントネットワーク要素１１０〜１３０にインストールされた旧版のセキュリティアプリケーションを有する可能性があると判定し得る。構成モジュール３１６は、クライアントネットワーク要素１１０〜１３０にプレインストールされた旧版のセキュリティアプリケーションとインタラクトするようにセキュリティモジュール１５８Ａ〜Ｃを構成することができる。別の例示的実施形態では、構成モジュール３１６は、クライアントネットワーク要素１１０〜１３０によってホスティングされる予定のゲスト仮想マシン１５６Ａ〜Ｃにセキュリティサービスを提供するために、アップデートしたウイルス対策ソフトウェア、マルウェア対策ソフトウェア、ファイアウォールソフトウェア、侵入防止ソフトウェア、データ漏洩防止ソフトウェア、及び／または他のセキュリティソフトウェアを含むようにセキュリティモジュール１５８Ａ〜Ｃを構成してもよい。他の例示的実施形態では、構成モジュール３１６は、クライアントネットワーク要素１１０〜１３０にプレインストールされたセキュリティアプリケーションとは無関係に、ウイルス対策ソフトウェアマルウェア対策ソフトウェア、ファイアウォールソフトウェア、侵入防止ソフトウェア、データ漏洩防止ソフトウェア、及び／または他のセキュリティソフトウェアを含むようにセキュリティモジュール１５８Ａ〜Ｃを構成してもよい。

ブロック４１２において、構成モジュール３１６は、セキュリティアプリケーションがクライアントネットワーク要素１１０〜１３０にプレインストールされていないと判定することができ、権利モジュール３１８は、クライアントネットワーク要素１１０〜１３０がセキュリティモジュール１５８Ａ〜Ｃを受信する権利を有するか否かを判定することができる。例えば、権利モジュール３１８は、クライアントネットワーク要素１１０〜１３０が、ウイルス対策ソフトウェアマルウェア対策ソフトウェア、ファイアウォールソフトウェア、侵入防止ソフトウェア、データ漏洩防止ソフトウェア、及び／またはセキュリティモジュール１５８Ａ〜Ｃの他のセキュリティソフトウェアを受信する権利を有するか否かを確認することができる。また、権利モジュール３１８は、ウイルス対策ソフトウェア、マルウェア対策ソフトウェア、ファイアウォールソフトウェア、侵入防止ソフトウェア、データ漏洩防止ソフトウェア、及び／または他のセキュリティソフトウェアを含むセキュリティモジュール１５８Ａ〜Ｃをクライアントネットワーク要素１１０〜１３０が受信することを許可する権利を発行することができる。

クライアントネットワーク要素１１０〜１３０がセキュリティモジュール１５８Ａ〜Ｃを受信する権利を有すると権利モジュール３１８が判定した場合には、方法４００は、ブロック４１０に戻るように進み得る。他の実施形態では、ブロック４１０において、構成モジュール３１６は、ゲスト仮想マシン１５６Ａ〜Ｃにセキュリティサービスを提供するために、ウイルス対策ソフトウェア、マルウェア対策ソフトウェア、ファイアウォールソフトウェア、侵入防止ソフトウェア、データ漏洩防止ソフトウェア、及び／または他のセキュリティソフトウェアのフルバージョンを含むようにセキュリティモジュール１５８Ａ〜Ｃを構成してもよい。別の例示的実施形態では、構成モジュール３１６は、クライアントネットワーク要素１１０〜１３０にプレインストールされた旧版のセキュリティアプリケーションと共に動作するように、ウイルス対策ソフトウェア、マルウェア対策ソフトウェア、ファイアウォールソフトウェア、侵入防止ソフトウェア、データ漏洩防止ソフトウェア、及び／または他のセキュリティソフトウェアの部分的バージョンを含むようにセキュリティモジュール１５８Ａ〜Ｃを構成してもよい。

ブロック４１４において、クライアントネットワーク要素１１０〜１３０がセキュリティモジュール１５８Ａ〜Ｃを受信する権利を持たないと権利モジュール３１８が判定し、セキュリティ仮想マシン３１０が、クライアントネットワーク要素１１０〜１３０にエラーメッセージを提供し得る。例えば、構成モジュール３１６は、ゲスト仮想マシン１５６Ａ〜Ｃのクライアントネットワーク要素１１０〜１３０によるホスティングが不可能であることをユーザに知らせるために、クライアントネットワーク要素１１０〜１３０に対するエラーメッセージを表示し得る。

ブロック４１６において、クライアントネットワーク要素１１０〜１３０によってホスティングされるゲスト仮想マシン１５６Ａ〜Ｃにセキュリティサービスを提供するために、セキュリティモジュール１５８Ａ〜Ｃがゲスト仮想マシン１５６Ａ〜Ｃに提供されてもよい。例えば、セキュリティモジュール１５８Ａ〜Ｃは、ゲスト仮想マシン１５６Ａ〜Ｃの一部として統合されてもよく、ゲスト仮想マシン１５６Ａ〜Ｃのホスティングをサーバネットワーク要素１４０Ａからクライアントネットワーク要素１１０〜１３０に移し得る。ゲスト仮想マシン１５６Ａ〜Ｃのホスティングが、サーバネットワーク要素１４０Ａからクライアントネットワーク要素１１０〜１３０に移されると、セキュリティサービスを提供するためにセキュリティモジュール１５８Ａ〜Ｃが起動され得る。

ブロック４１８において、方法４００が終了し得る。

図５を参照すると、本開示の一実施形態による、仮想デスクトップインフラストラクチャ（ＶＤＩ）において仮想マシンにセキュリティを提供するための方法５００が示されている。ブロック５０２において、方法５００を開始し得る。

ブロック５０４において、１つまたは複数のクライアントネットワーク要素１１０〜１３０に関連するユーザがチェックインプロセスを開始し得る。例えば、１つまたは複数のクライアントネットワーク要素１１０〜１３０は、ネットワーク１５０を介してサーバネットワーク要素１４０Ａと通信的に接続されていない場合がある。１つまたは複数のゲスト仮想マシン１５６Ａ〜Ｃをホスティングし得るクライアントネットワーク要素１１０〜１３０に関連するユーザは、サーバネットワーク要素１４０Ａとの通信リンクを構築し得る。ユーザは、サーバネットワーク要素１４０Ａと通信リンクを再構築することを決定し、ゲスト仮想マシン１５６Ａ〜Ｃのホスティングをクライアントネットワーク要素１１０〜１３０からサーバネットワーク要素１４０Ａに戻し得る。ゲスト仮想マシン１５６Ａ〜Ｃのホスティングをクライアントネットワーク要素１１０〜１３０からサーバネットワーク要素１４０Ａに戻すために（例えば、サーバネットワーク要素１４０Ａによってホスティングされるゲスト仮想マシン１５６Ａ〜Ｃ）、ユーザは、チェックインプロセスを開始する要求を送信する。

ブロック５０６において、セキュリティ仮想マシン３１０は、クライアントネットワーク要素１１０〜１３０によってホスティングされるゲスト仮想マシン１５６Ａ〜Ｃをサーバネットワーク要素１４０Ａによってホスティングされるゲスト仮想マシン１５６Ａ〜Ｃと同期させることができる。ある例示的実施形態では、セキュリティ仮想マシン３１０は、クライアントネットワーク要素１１０〜１３０によってホスティングされるゲスト仮想マシン１５６Ａ〜Ｃと、サーバネットワーク要素１４０Ａによってホスティングされるゲスト仮想マシン１５６Ａ〜Ｃとの相違を判定することができる。セキュリティ仮想マシン３１０は、クライアントネットワーク要素１１０〜１３０によってホスティングされるゲスト仮想マシン１５６Ａ〜Ｃと、サーバネットワーク要素１４０Ａによってホスティングされるゲスト仮想マシン１５６Ａ〜Ｃとの相違を用いて、サーバネットワーク要素１４０Ａによってホスティングされるゲスト仮想マシン１５６Ａ〜Ｃをアップデートすることができる。

ブロック５０８において、クライアントネットワーク要素１１０〜１３０によってホスティングされるゲスト仮想マシン１５６Ａ〜Ｃのセキュリティモジュール１５８Ａ〜Ｃをアップデートする必要があるか否かを決定し得る。例えば、インタフェースモジュール３１４は、クライアントネットワーク要素１１０〜１３０によってホスティングされるゲスト仮想マシン１５６Ａ〜Ｃのセキュリティモジュール１５８Ａ〜Ｃとインタラクトすることができる。インタフェースモジュール３１４は、クライアントネットワーク要素１１０〜１３０によってホスティングされるゲスト仮想マシン１５６Ａ〜Ｃのセキュリティモジュール１５８Ａ〜Ｃに関連する情報を収集することができる。インタフェースモジュール３１４は、クライアントネットワーク要素１１０〜１３０によってホスティングされるゲスト仮想マシン１５６Ａ〜Ｃのセキュリティモジュール１５８Ａ〜Ｃに関連する情報をアップデートモジュール３２０に提供することができる。アップデートモジュール３２０は、クライアントネットワーク要素１１０〜１３０によってホスティングされるゲスト仮想マシン１５６Ａ〜Ｃのセキュリティモジュール１５８Ａ〜Ｃをアップデートするか否かを決定し得る。

ブロック５１０において、アップデートモジュール３２０は、クライアントネットワーク要素１１０〜１３０のゲスト仮想マシン１５６Ａ〜Ｃのセキュリティモジュール１５８Ａ〜Ｃをアップデートすることを決定し得る。アップデートモジュール３２０は、クライアントネットワーク要素１１０〜１３０によってホスティングされるゲスト仮想マシン１５６Ａ〜Ｃのセキュリティモジュール１５８Ａ〜Ｃをアップデートすることができる。例えば、アップデートモジュール３２０は、インタフェースモジュール３１４を介して、アップデートしたウイルス対策ソフトウェア、マルウェア対策ソフトウェア、ファイアウォールソフトウェア、侵入防止ソフトウェア、データ漏洩防止ソフトウェア、及び／または他のセキュリティソフトウェアをセキュリティモジュール１５８Ａ〜Ｃに提供することができる。

ブロック５１２において、アップデートモジュール３２０は、クライアントネットワーク要素１１０〜１３０によってホスティングされるゲスト仮想マシン１５６Ａ〜Ｃのセキュリティモジュール１５８Ａ〜Ｃをアップデートしないことを決定し得る。セキュリティ仮想マシン３１０は、クライアントネットワーク要素１１０〜１３０によってホスティングされるゲスト仮想マシン１５６Ａ〜Ｃのセキュリティモジュール１５８Ａ〜Ｃの動作を停止させることができる。例えば、インタフェースモジュール３１４は、１つまたは複数の命令をセキュリティモジュール１５８Ａ〜Ｃに伝えることができる。ある例示的実施形態では、インタフェースモジュール３１４は、動作停止命令をセキュリティモジュール１５８Ａ〜Ｃに伝えることができる。別の例示的実施形態では、インタフェースモジュール３１４は、アンインストール命令をセキュリティモジュール１５８Ａ〜Ｃに伝えることができる。

ブロック５１４において、方法５００が終了し得る。

ここで、上記のような本開示に従った仮想環境に基づくウェブクライアント管理は通常、ある程度の入力データの処理及び出力データの生成に関与することに留意されたい。この入力データの処理及び出力データの生成は、ハードウェアまたはソフトウェアにおいて実行され得る。例えば、セキュリティ仮想マシン、あるいは上記のような本開示による仮想デスクトップインフラストラクチャにおけるチェックアウトした仮想マシンの保護に関連する機能を実行するための同様または関連の回路において、特定の電子コンポーネントを使用してもよい。代替的に、命令に従って動作する１つまたは複数のプロセッサが、上記のような本開示による仮想デスクトップインフラストラクチャにおけるチェックアウトした仮想マシンの保護に関連する機能を実行してもよい。その場合には、そのような命令が１つまたは複数のプロセッサ可読ストレージ媒体（例えば、磁気ディスクまたは他のストレージ媒体）に保存され得る、または１つまたは複数の搬送波において具体化された１つまたは複数の信号を介して１つまたは複数のプロセッサに送信され得ることも本開示の範囲内である。

本開示は、本明細書に記載の特定の実施形態によって範囲が限定されるものではない。実際には、本明細書に記載のものに加えて、本開示の他の様々な実施形態及び変更が、上記の記載及び添付の図面から当業者には明らかとなるであろう。従って、このような他の実施形態及び変更は、本開示の範囲内に入ることを意図したものである。更に、本明細書においては、特定の目的のための特定の環境における特定の実行という状況で本開示を説明したが、当業者であれば、その有用性がこれに限定されず、幾つもの目的のための幾つもの環境において、本開示が有益に実行され得ることを認識するであろう。従って、以下に記載の特許請求の範囲は、本明細書に記載の本開示の全容及び精神を考慮して解釈されるべきものである。

Claims (20)

1. チェックアウトしたゲスト仮想マシンを保護する方法であって、
   サーバネットワーク要素によってホスティングされるゲスト仮想マシンをチェックアウトする要求を受信するステップであって、前記ゲスト仮想マシンのチェックアウトは、前記ゲスト仮想マシンのホスティングを前記サーバネットワーク要素からクライアントネットワーク要素へと移すことを含むステップと、
   前記ゲスト仮想マシンを保護するために、前記ゲスト仮想マシン用にセキュリティモジュールを構成するステップと、
   前記ゲスト仮想マシンがチェックアウトする際に、前記セキュリティモジュールを前記ゲスト仮想マシンに提供するステップと、
   を含む方法。
2. 前記クライアントネットワーク要素に関連する情報を収集するために、プローブパケットを前記クライアントネットワーク要素に送信するステップを更に含む、請求項１に記載の方法。
3. 前記クライアントネットワーク要素に関連する前記情報に少なくとも部分的に基づいて、前記ゲスト仮想マシン用の前記セキュリティモジュールを構成する、請求項２に記載の方法。
4. 前記クライアントネットワーク要素に関連する前記情報は、仮想化プラットフォーム、ハイパーバイザ、セキュリティ情報、脆弱性、権利、ストレージ、ＣＰＵ使用率、メモリ、及びネットワーク入出力（Ｉ／Ｏ）の内の少なくとも１つを含む、請求項２に記載の方法。
5. 前記クライアントネットワーク要素に関連する前記セキュリティ情報は、セキュリティアプリケーション、メーカー、バージョン、日付、歴史、ウイルス対策、スパム対策、マルウェア対策、及びインタフェースの内の少なくとも１つを含む、請求項４に記載の方法。
6. セキュリティアプリケーションが前記クライアントネットワーク要素に関連するか否かを判定するステップを更に含む、請求項１に記載の方法。
7. 前記ゲスト仮想マシン用に前記セキュリティモジュールを構成するステップは、前記クライアントネットワーク要素とインタラクトするための前記セキュリティモジュール用のインタフェースの構成を含む、請求項１に記載の方法。
8. 前記セキュリティモジュール用の前記インタフェースは、前記クライアントネットワーク要素に関連するセキュリティアプリケーションとインタラクトするように構成される、請求項７に記載の方法。
9. 前記ゲスト仮想マシン用に前記セキュリティモジュールを構成するステップは、前記サーバネットワーク要素とインタラクトするための前記セキュリティモジュール用のインタフェースの構成を含む、請求項１に記載の方法。
10. 前記ゲスト仮想マシン用に前記セキュリティモジュールを構成するステップは、前記セキュリティモジュールのためのウイルス対策ソフトウェア、マルウェア対策ソフトウェア、ファイアウォールソフトウェア、侵入防止ソフトウェア、及びデータ漏洩防止ソフトウェアの内の少なくとも１つのフルバージョンの構成を含む、請求項１に記載の方法。
11. 前記ゲスト仮想マシン用に前記セキュリティモジュールを構成するステップは、前記セキュリティモジュールのためのウイルス対策ソフトウェア、マルウェア対策ソフトウェア、ファイアウォールソフトウェア、侵入防止ソフトウェア、及びデータ漏洩防止ソフトウェアの内の少なくとも１つの部分的バージョンの構成を含む、請求項１に記載の方法。
12. 前記ゲスト仮想マシン用に前記セキュリティモジュールを構成するステップは、前記セキュリティモジュールのためのウイルス対策ソフトウェア、マルウェア対策ソフトウェア、ファイアウォールソフトウェア、侵入防止ソフトウェア、及びデータ漏洩防止ソフトウェアの内の少なくとも１つのアップデートしたバージョンの構成を含む、請求項１に記載の方法。
13. 前記クライアントネットワーク要素に関連する前記情報に少なくとも部分的に基づいて、前記クライアントネットワーク要素に関連する権利を判定するステップを更に含む、請求項２に記載の方法。
14. 前記クライアントネットワーク要素が権利を持たないという前記判定に少なくとも部分的に基づいて、チェックアウトエラーメッセージを表示するステップを更に含む、請求項１３に記載の方法。
15. 請求項１に記載の前記方法を行うためのコンピュータプロセスを実行するよう少なくとも１つのプロセッサに指示する、前記少なくとも１つのプロセッサが読み取れるように構成された命令から成るコンピュータプログラムを保存するための少なくとも１つの非一時的プロセッサ可読ストレージ媒体。
16. チェックアウトしたゲスト仮想マシンを保護するシステムであって、
    ネットワークに通信的に接続された１つまたは複数のプロセッサを含み、前記１つまたは複数のプロセッサは、
    サーバネットワーク要素によってホスティングされるゲスト仮想マシンをチェックアウトする要求の受信であって、前記ゲスト仮想マシンのチェックアウトは、前記ゲスト仮想マシンのホスティングを前記サーバネットワーク要素からクライアントネットワーク要素へと移すことを含む、要求の受信と、
    前記ゲスト仮想マシンを保護するための、前記ゲスト仮想マシン用のセキュリティモジュールの構成と、
    前記ゲスト仮想マシンがチェックアウトする際の前記ゲスト仮想マシンへの前記セキュリティモジュールの提供と、
    を行うように構成された、システム。
17. 前記１つまたは複数のプロセッサは、
    前記クライアントネットワーク要素に関連する情報を収集するために、プローブパケットを前記クライアントネットワーク要素に送信するように更に構成される、請求項１６に記載のシステム。
18. 前記クライアントネットワーク要素に関連する前記情報に少なくとも部分的に基づいて、前記セキュリティモジュールを構成する、請求項１７に記載のシステム。
19. 前記１つまたは複数のプロセッサは、
    セキュリティアプリケーションが前記クライアントネットワーク要素に関連するか否かを判定するように更に構成される、請求項１６に記載のシステム。
20. 前記１つまたは複数のプロセッサは、
    前記クライアントネットワーク要素に関連する前記情報に少なくとも部分的に基づいて、前記クライアントネットワーク要素に関連する権利を判定するように更に構成される、請求項１７に記載のシステム。