JP6553524B2 - 専用のコンピュータセキュリティサービスを利用するシステムおよび方法 - Google Patents

Description

本発明の開示は主にコンピュータセキュリティの分野に関するものであり、より詳しくは、専用のコンピュータセキュリティサービスを利用するシステムおよび方法に関するものである。

現在、いわゆる「クラウド」と呼ばれる技術は、ますます民間に普及してきている。クラウド技術は、企業（クラウド技術サービスのクライアント）のコンピュータインフラストラクチャの実質上の犠牲なく、コンピューティング資源やデータへのリモートアクセスを提供する。一般的に、クラウドサービスにアクセスするため、クライアントは、インターネットに対して常時接続する必要があるだけである。一般に、クラウドサービスにはいくつかのタイプがある、すなわち、プライベートクラウドサービス、パブリッククラウドサービス及び二つのサービスのハイブリッドである。プライベートクラウドサービスは、特定の企業または団体用に設計されており、本質的には資源を有する専用ネットワークを構成し、一方、パブリッククラウドサービスは、接続しているすべてのクライアントにその資源へのアクセスを提供する。ハイブリッドクラウドサービスは、これらの取り組みを両方結合し 、企業のコンピュータインフラストラクチャのより柔軟な構築を可能にする。

驚くことではないが、アンチウイルスソフトウェアを作る企業もまた、クラウド技術に興味を持っている。特に、悪意のあるプログラムと技術の配布が増えていることから、絶え間なくアンチウイルスデータベースを公開する他にユーザーを守る新しい取り組みの必要性が高まっている。アンチウイルスデータベースは、同じく、クラウドサービスにおいて企業が意思決定（すなわちマルウェア検出）ロジックを隠すアンチウイルスソリューションをつくる可能性のみならず不十分なテスト時間により、起こりうるミスに対する保護を与えるようなものではない。

コンピュータセキュリティの分野におけるクラウド技術の一例は、カスペルスキーセキュリティネットワーク（ＫＳＮ）である。非常に一般的に言われていることだが、その操作のアルゴリズムは以下に示すとおりである、すなわち、ユーザーが、知らないファイル又はリンクをチェックするため、クラウドサービスに要求を送り、「安全」との判定又は「危険」との判定の形での返答を受信する。実際には、その技術はこの例よりもはるかに複雑であり、その様々な実装は、例えば米国特許第７６４０５８９号および８７３２８３６号で記載されてきており、この両者は本出願の譲受人に譲渡されてもいる。

企業ネットワークで用いられる場合、データには、第三者により使用/アクセスが禁じられているもの(例えば、デジタル署名、サイズ、タイトル等といった未知のファイルのデータ)が含まれるおそれがあるので、クラウド技術はまた、欠点を有する。結果として、ＤＬＰ(「情報漏えい防止」)ポリシーとしても知られる組織の機密ポリシーに反するかもしれないので、ネットワーク管理者は、そのようなデータの送信を防ぐ及び/又はそのような技術の使用を拒むおそれがある。

このような問題に鑑み、データを匿名にするため又はクラウドサービスのより柔軟な設定のため、ある解決策が提案されている。例えば、１つの解決策の提案では、ある特定のユーザーに対してクラウドサービスを設定できるようにデータを匿名で送信することがある。また、アンチウイルスのクラウド技術を利用するため、悪意のあるプログラムや攻撃の検出レベル(すなわち、提供されるアンチウイルスのサービスの質)と送られているデータのチェックを含む秘密(すなわち、プライバシー)の遵守のレベルとのバランスを保つことが重要である。

既存の解決策を分析すると、これらの技術がしばしば効果的でなく、ある状況下では、利用できないことが明らかになる。

開示されたシステムおよび方法は、アンチウイルス技術、より具体的には、専用のコンピュータセキュリティサービスを利用するシステムおよび方法に関するものである。有利なことに、本開示のシステムおよび方法は、クライアント企業の機密データの送信を妨げることができる。そして、クライアント企業は、コンピュータセキュリティサービスを提供している企業のセキュリティクラウドサービスを使用している。別の技術的効果として、本開示のシステム及び方法は、クライアント企業のインターネットを介して送られているデータ量を削減もする。そして、クライアント企業は、コンピュータセキュリティサービスを提供している企業のセキュリティクラウドサービスを使用している。本明細書で開示された実施例の態様の１つによれば、要求をユーザーのコンピュータからパブリック又はプライベートクラウドサービスにリダイレクトするシステムおよび方法が提供され、ユーザーのコンピュータは、パブリッククラウドサービスとプライベートクラウドサービスの両方を使う企業のネットワーク内に配置される。

一態様によれば、コンピュータセキュリティサービスを利用するための方法が提供される。例示的な態様によれば、方法は、複数のセキュリティサービスのうち少なくとも１つに対して第１のクラウドサービスまたは第２のクラウドサービスのいずれか１つを、いつ使用するべきかを示す複数のルールを電子データベース内に格納する格納工程、複数のセキュリティサービスのうち少なくとも１つにアクセスするためのクライアントコンピュータからの要求を受信する工程、ハードウェアプロセッサにより、受信した要求に関連する少なくとも１つのパラメータを判断する判断工程、要求を第１のクラウドサービスまたは第２のクラウドサービスに送信するべきかどうかを示す命令を判断するため、ハードウェアプロセッサにより、少なくとも１つのパラメータを複数のルールに適用する工程および、複数のセキュリティサービスのうち少なくとも１つを使用するため、要求を第１のクラウドサービスまたは第２のクラウドサービスのいずれか１つに、命令に基づき送信する工程を備える。

別の態様によれば、方法は、第１のクラウドサービスと第２のクラウドサービスのうちの１つにより、要求に従った複数のセキュリティサービスのうち少なくとも１つを実行する工程および、第１のクラウドサービスと第２のクラウドサービスのうちの１つにより、クライアントに複数のセキュリティサービスのうち少なくとも１つの実行の結果に基づき操作命令を送信する工程をさらに備える。

別の態様によれば、第１のクラウドサービスはプライベートクラウドサービスであり、第２のクラウドサービスはパブリッククラウドサービスである。

別の態様によれば、複数のセキュリティサービスのうち少なくとも１つにアクセスするためのクライアントコンピュータからの要求が、要求を第１のクラウドサービスまたは第２のクラウドサービスへ送信するべきかどうかの指標を有しない。

別の態様によれば、要求は、第１のクラウドサービスにまず送信され、ハードウェアプロセッサにより判断された命令に基づき第２のクラウドサービスにリダイレクトされる

別の態様によれば、複数のルールを格納する格納工程は、第１のクラウドサービスのソフトウェアが前回更新された所定の時間、第１のクラウドサービスにより与えられる複数のセキュリティサービスのうち少なくとも１つのタイプ、要求により送られているデータのタイプ、第１のまたは第２のクラウドサービスのうちの少なくとも１つに対して送られる要求の量のトラフィック割当のうちの少なくとも１つに関連しているルールを格納する工程を備える。

別の態様によれば、受信した要求に関連する少なくとも１つのパラメータを判断する判断工程が、要求によりアクセスされている複数のセキュリティサービスのうち少なくとも１つのタイプ、要求に含まれるファイルのタイプ、要求に含まれるリンクのタイプおよび要求に含まれるハッシュ値のうち、少なくとも１つを判断する工程を備える。

例示的な態様に従えば、コンピュータセキュリティサービスを利用するためのシステムが提供される。例示的な態様に従えば、システムはセキュリティサービスのうち少なくとも１つに対し第１のクラウドサービスまたは第２のクラウドサービスのいずれか１つを、いつ使用すべきかを命令する複数のルールを格納するよう構成されている電子データベース、複数のセキュリティサービスのうち少なくとも１つにアクセスするため、クライアントコンピュータから要求を受信し、受信した要求に関連する少なくとも１つのパラメータを判断し、要求を第１のクラウドサービスまたは第２のクラウドサービスに送信するかどうかを示す命令を判断するため、少なくとも１つのパラメータを複数のルールに適用し、複数のセキュリティサービスのうち少なくとも１つを使用するために、第１のクラウドサービスまたは第２のクラウドサービスのいずれか１つに、命令に基づき、要求を送信するよう構成されているハードウェアプロセッサを備える。

別の態様によれば、コンピュータ実行可能命令を格納している非一時的記録媒体はコンピュータセキュリティサービスの利用のため提供される。例示的な態様に従えば、この媒体は、電子データベース内に、セキュリティサービスのうち少なくとも１つに対し、第１のクラウドサービスまたは第２のクラウドサービスのいずれか１つを、いつ使うべきかを示す複数のルールを格納するための命令、複数のセキュリティサービスのうち少なくとも１つにアクセスするため、クライアントコンピュータからの要求を受信するための命令、受信した要求と関連する少なくとも１つのパラメータを判断するための命令、要求を第１のクラウドサービスまたは第２のクラウドサービスに送信するかどうかを示す命令を判断するため、少なくとも１つのパラメータを複数のルールに適用するための命令および複数のセキュリティサービスのうち少なくとも１つを使用するため、命令に基づき、要求を第１のクラウドサービスまたは第２のクラウドサービスのいずれか１つに送信するための命令を備える。

上記の例示的な態様における簡単な概要は、本開示の基本的な理解を提供するのに役立つ。この概要は、すべての企図される態様の広範囲な概観ではなく、すべての態様の主要または重要な要素のいずれも特定しないことを意図されており、本開示の任意またはすべての態様の範囲を区切るものではないと意図されている。その唯一の目的は、以下の開示における、より詳細な説明の前段階として、簡略化された形式により、１つまたは複数の態様を提示することである。前述における達成のために本開示の１つまたは複数の態様は、説明され、特に請求項に示されている特徴を含むものである。

添付の図面は、本明細書の一部に組み込まれ、本明細書の一部を構成しており、詳細な説明と共に、本開示の一以上の例示的な態様を示し、それらの原理および実装を説明するのに役立つ。

図１は、コンピュータとコンピュータセキュリティサービスを提供する企業(アンチウイルス企業)のパブリッククラウドサービスとのインタラクションの例示したものである。

図２は、例示的な態様に従い、専用のコンピュータセキュリティサービスを利用するための例示的なシステムのブロックダイアグラムを例示したものである。

図３は、別の例示的な態様に従い、専用のコンピュータセキュリティサービスを利用するための例示的なシステムのブロックダイアグラムを例示したものである。

図４は、例示的な態様に従い、クラウドサービスにより提供されうる関連セキュリティサービスのタイプを例示したものである。

図５は、例示的な態様に従い、専用のコンピュータセキュリティサービスの利用するための方法のフローチャートを例示したものである。

図６は、例示的態様に従い、本開示のシステムや方法を実装した汎用コンピュータシステムを例示したものである。

例示的態様は、専用のコンピュータセキュリティサービスを利用するためのシステム、方法およびコンピュータプログラム製品に関連して本明細書に記載されている。当業者は、以下の説明が単なる例示であり、いかなる方法でも限定しないことを意図していることを理解するだろう。別の態様は本開示により利益を受ける当業者に容易に示唆されるであろう。リファレンスにより、添付の図面に示すように現在の例示的な態様の実装について詳細に説明されるだろう。同一または同様の項目を参照するため、図面および以下の説明を通して、同じ参照符号が可能な範囲で用いられている。

コンピュータセキュリティサービスを提供している企業は、アンチウイルス企業のクラウドセキュリティサービス(例えば、カスペルスキーやカスペルスキーセキュリティネットワークサービス)へのアクセスを提供するアンチウイルス企業とみなすことができる。さらに、クライアント企業は、コンピュータセキュリティサービスを提供している企業により提供されるクラウドセキュリティサービスを使用する企業でありうる。上述したように、パブリッククラウドサービスは、コンピュータセキュリティサービスを提供している企業によりクライアント企業に提供されるクラウドセキュリティサービス(例えば、カスペルスキーセキュリティネットワーク)とみなすことができる。

図１は、コンピュータ（クライアント企業のネットワーク内にある）とコンピュータセキュリティサービスを提供する企業（すなわち、アンチウイルス企業）のパブリッククラウドサービスとの例示的なインタラクションのブロックダイアグラムを示している。示されているように、アンチウイルスソフトウェアは、ユーザーのコンピュータ１００から、インターネット１１０を介して、アンチウイルス企業のパブリッククラウドサービス１２０に、例えばファイルやリンクといった未知のオブジェクトの解析のため要求を送る。要求は、クラウドサービス内の動作ロジックによって解析され、解析に基づき、判定がオブジェクトになされ、コンピュータ１００に返送される。そのアンチウイルスソフトウェアは、受信した判定を用いて、オブジェクトに対し、さらなるアクションをする。基本的に、判定はオブジェクトが有害かどうかの指標であるが、判定は、プログラムがコンピュータリソースへアクセスするのを制限するアプリケーションの制御動作ロジックのルールとなりうる。そのようなサービスの例は、カスペルスキーセキュリティネットワーク（ＫＳＮ）である。また、上述したように、ＫＳＮの動作の実装は、例えば、米国特許第７６４０５８９号および８７３２８３６号で説明されており、それらのそれぞれの内容は、それらの全体におけるリファレンスにより組み込まれている。

上述したように、パブリッククラウドサービスのみを用いる欠点の１つは、パブリッククラウドが、企業秘密のおそれがあるまたはこれに関連するものを構成するデータを使用しうることである。したがって、そのようなサービスにおいて、異なる動作をする変形例が必要とされる。

したがって、図２は、例示的な態様における、専用のコンピュータセキュリティサービスを利用するための例示的なシステムのブロックダイアグラムを例示している。より具体的には、図２は、コンピュータセキュリティサービスを提供している企業（例えば、アンチウイルス企業）のプライベートクラウドサービスを伴うネットワーク内でのコンピュータの動作を例示している。開示されたシステム及び方法に関連して、図１と比べると、プライベートクラウドサービス１０５は、アンチウイルス企業のパブリッククラウドサービス１２０と類似した機能を有するよう構成されたものとして提供される。このように、コンピュータセキュリティサービスを提供している企業は、パブリッククラウドサービス１２０の形態とプライベートクラウドサービス１０５の形態の両者でクラウドサービスを提供する。このような場合には、コンピュータ１００からのすべての要求が、プライベートクラウドサービス１０５に送信されるのが望ましい。この場合、プライベートクラウドサービス１０５は、パブリッククラウドサービス１２０内で動作するすべてのロジック（または、動作にとって少なくとも最も重要な部分）を含む。例示的な態様において、プライベートクラウドサービス１０５の動作（例えば、アンチウイルスデータベース）のためのロジックとデータの継続的な更新の必要性がある限りは、インターネット１１０を介したパブリッククラウドサービス１２０との結びつきが依然としてあるのが好ましい。しかしながら、更新遅延の問題（アップデートのテストと配信に関連する）のため、プライベートクラウドサービス１０５は、場合によっては脅威に関する最新情報（一般になされているアンチウイルスデータベースの最終更新）を有しない恐れがあり、未知の悪意あるプログラムを通過させるまたは正当なアプリケーションの実行可能ファイルを有害であるとして（例えば、偽陽性との検出）検出するリスクがある。このように、上述の例示的な態様に従えば、以下でより詳細に説明されるように、プライベートおよびパブリッククラウドサービスの両方は、セキュリティサービスを提供するため利用されうる。有利なことに、プライベートクラウドサービス１０５を用いることで、より手ごろな設定や使用コストを潜在的に安くすることができる。

図３は、他の例示的な態様に従い、専用のコンピュータセキュリティサービスを利用するための例示的なシステムのブロックダイアグラムを示したものである。示されているように、図３は、コンピュータセキュリティサービスを提供している企業（例えば、アンチウイルス企業）のプライベートやパブリッククラウドサービスを両方利用しているネットワークにおけるコンピュータの例示的な動作を示す。図２の例に対して、図３の例示的なシステムは、コンピュータ１００からの要求を送るべきかどうか、すなわち、プライベートクラウドサービス１０５又はパブリッククラウドサービス１２０へ送るべきかどうかを判断するよう構成されている意思決定モジュール１２５を提供する。

例示的な態様によれば、意思決定モジュール１２５は、どの要求をプライベートクラウドサービス１０５に送信し、どの要求をパブリッククラウドサービス１２０に送信するべきかということを示す既定のポリシーを格納するよう構成された電子データベースを含みうる。以下でより詳細に説明するように、意思決定モジュール１２５は、受信した要求の１つ以上のパラメータを判断し、これらのパラメータを既定のポリシーと比較および／または既定のポリシーに適用することができ、適切なサービスを判断し、要求されたセキュリティサービスすなわち、プライベートクラウドサービス１０５またはパブリッククラウドサービス１２０を提供する。

例示的な一態様によれば、特定のクラウドサービス（すなわち、プライベートまたはブリッククラウドサービスのいずれか）を選択する基準は、パラメータ（すなわち、クラウドサービス選択ポリシー）と関連しており、限定されるわけではないが、プライベートクラウドサービス１０５の前回更新されたデータを含みうる。例えば、プライベートクラウドサービス１０５により使用されるアンチウイルスデータベースが古ければ古いほど、未知の悪意あるプログラムを見逃すまたは未知のクリーンファイルを悪意のある（偽陽性）ものとして分類するおそれが高まる。

別の態様によれば、要求をプライベートクラウドサービス１０５またはパブリッククラウドサービス１２０のいずれか一方に送信するかどうかを判断する基準は、プライベートクラウドサービス１０５における連携サービスのタイプに基づきうる。連携サービスのタイプは図４において、より詳しく説明されているけれども、例として、あるタイプのオブジェクト（例えば、ＵＲＬ）のチェックがプライベートクラウドサービス１０５内でサポートされていない場合、パラメータは、パブリッククラウドサービス１２０にリダイレクトされるべきと示されうる。

別の態様によれば、要求をプライベートクラウドサービス１０５またはパブリッククラウドサービス１２０のいずれか一方に送信するかどうかを判断する基準は、要求により送られているデータのタイプとなりうる。例えば、特定の形式のファイル（例えば、ＰＤＦ形式）の情報の転送処理は、プライベートクラウドサービス１０５とパブリッククラウドサービス１２０を共に使用しているクライアント企業の機密保持ポリシーにより禁じられる。そのため、同様のファイルをチェックするための要求は、プライベートクラウドサービス１０５にリダイレクトされるだろう。有利なことに、開示されたシステムおよび方法は、クライアント企業の機密データの転送処理を防ぐだろう。

さらに別の態様によれば、要求をプライベートクラウドサービス１０５またはパブリッククラウドサービス１２０のいずれか一方に送信するかどうかを判断する基準は、トラフィックの割当でもありうる。この例では、パブリッククラウドサービス１２０に送られているデータ量に制限がある場合、この制限に到達するとすべての要求がプライベートクラウドサービス１０５にリダイレクトされる。他の変形態様にとしては、コンピュータ１００からの各要求を送られているデータの量の観点から解析し、データ量を超過した場合に要求がプライベートクラウドサービス１０５にリダイレクトされる態様もとりうる。
有利なことに、プライベートクラウドサービス１０５の場合、データ送信は、クライアント企業内でのみ行われるので、開示されたシステムと方法により、インターネットを介して送られているデータの量を減らすことができる。

別の態様によれば、意思決定モジュール１２５は、コンピュータ１００側での個別クライアントの形で実装すること、またはクライアント企業のインターネットゲートウェイでのアンチウイルス企業のプロキシサーバーの形で実装することもできる。

図４は、例示的な態様に従いクラウドサービスによって提供されうる関連セキュリティサービスのタイプの例を示したものである。関連セキュリティサービスは、パブリッククラウドサービス１２０および／またはプライベートクラウドサービス１０５のいずれかにより提供されうる。

示されているように、関連セキュリティサービスは、ファイルレピュテーションサービス４０５を含みうる。ファイルレピュテーションサービス４０５は、未知のファイルが有害かそうでないかどうかを判断するよう構成されている。例示的な態様の１つにおいて、このサービスは、未知のファイルのハッシュ値と既知の有害なファイルのハッシュ値とを比較することにより、機能する。加えて、正当である（例えば、ファイルはブラウザのカテゴリに属すると判断された場合、ファイルのカテゴリが判断されうる）。

関連セキュリティサービスは、リンクレピュテーションサービス４１０をさらに含むことができ、リンクレピュテーションサービス４１０は、未知のリンク（例えば、ＵＲＬアドレス）が有害かそうでないかを判断するよう構成されている。例示的な態様の１つにおいて、サービスは、未知のリンクのハッシュ値と既知の有害なリンクのハッシュ値を比較することにより、機能する。別の例示的な態様において、全体のリンクまたはその正規化された値のいずれかが比較される（例えば、サイトアドレスまたはＩＰアドレス）。加えて、正当であると判定された場合、リンクのカテゴリが判断されうる（例えば、リンクはオンラインショップのカテゴリに属しうる）。

関連セキュリティサービスは、さらに動作検出サービス４１５を含み、動作検出サービス４１５は、すでに実行されているファイルから開始されたプロセスの動作に基づき、すでに実行されているファイルの害を判断するよう構成されている。プロセスはシステムのＡＰＩ機能を呼び出し、ＡＰＩ機能のコールログを、すでに知られている有害なプロセスのコールログと比べることができる。このサービスの例示的な実装の１つは、米国特許第８５６６９４３号で説明されており、その内容は本明細書にリファレンスにより組み込まれている。

関連セキュリティサービスは、証明書レピュテーションサービス４２０をさらに含み、証明書レプテーションサービスはハッカーによるサイトやファイルの使用についてその両者の証明書を処理するように構成されている。その実装は、コンピュータセキュリティサービスを提供している企業による解析のための証明書およびそのメタデータを送ることを含み、例えば、米国特許第８７３２４７２号で記載されているように、その内容はリファレンスにより、本明細書に組み込まれている。

関連セキュリティサービスは、偽陽性制御サービス４２５をさらに含み、偽陽性制御サービス４２５は、偽陽性の場合には、アンチウイルスシグネチャーを分析し無効にするよう構成されている。例えば、米国特許第８７３２８３６号に記載されているように、その内容は本明細書にリファレンスにより組み込まれている。

関連セキュリティサービスは、データ転送サービス４３０をさらに含み、データ転送サービス４３０は、例えばｐ２ｐ（すなわち、「ピアツーピア」）といった技術を使用して、ファイルを送信するよう構成されている。

関連セキュリティサービスは、さらにコンテンツフィルタサービス４３５をさらに含み、コンテンツフィルトレーションサービスはＥメールメッセージがスパムではないかどうかチェックするよう構成されている。一態様において、大量の同一Ｅメールはスパム送信として知られているが、このサービスは、大量の類似する他のＥメールのハッシュ値との比較のため、Ｅメール（またはその構成部分）からハッシュ値（またはハッシュ値のセット）を生成するよう構成されている。このサービスの例示的な一実装は、米国特許第８７３８７２１号において記載されており、その内容は本明細書にリファレンスにより組み込まれている。

関連セキュリティサービスは、さらにペアレンタルコントロールサービス４４０を含み、これはペアレンタルコントロールモジュールの動作をチェックするよう構成されている。関連セキュリティサービスは、さらにフィッシング用サービス４４５を含み、これはフィッシングの恐れのあるＷｅｂページとリンクを検出する（例えば、ブラウザで検出する）よう構成されている。

パブリッククラウドサービス１２０および／またはプライベートクラウドサービス１０５は、例示的な態様によれば、必ずしもすべての関連セキュリティサービスを含まないことが認識されるべきである。また、提案されたサービスは、様々なデータ（すなわち、様々なタイプのデータ）、すなわち、ファイル、リンク、様々なオブジェクト（例えばファイルまたはリンク等）のハッシュ値およびオブジェクトについての様々なメタデータ（サイズ、作成時期、オブジェクトのタイプ等）も使って、機能する。例示的な一態様に従えば、コンピュータ１００のあるネットワークの管理者は、このようなデータの送信に様々な制限を課すことができ、このことは、サービスの中には、パブリッククラウドサービス１２０ではなくプライベートクラウドサービス１０５を使用するものもあり、その逆もありうることを意味する。

図５は、例示的な態様により、専用のコンピュータセキュリティサービスを利用するための方法のフローチャートを例示したものである。示されるように、ステップ５１０で、要求は、１つ以上の関連セキュリティサービスを使用するため、ユーザーのコンピュータ１００からクラウドサービスへ送信される。一態様によれば、コンピュータが特定の時刻にどのサービス、すなわち、パブリッククラウドサービス１２０またはプライベートクラウドサービス１０５にアクセスしているかについては、コンピュータ１００から（より正確には、コンピュータ１００にインストールされたアンチウイルスのアプリケーションから）の情報はないことを認識すべきである。次に、ステップ５２０では、要求が意思決定モジュール１２５により受信／遮断される。異なる態様において、意思決定モジュール１２５は、クライアント企業のインターネットゲートウェイで、アンチウイルス企業のプロキシサーバーの形で実装されうる。また、別の例示的な態様によれば、意思決定モジュール１２５はコンピュータ１００上に備えられる。この場合、どのサービスにアクセスすべきか判断するロジックが存在する。ステップ５３０で、意思決定モジュール１２５は、要求のパラメータ、例えば、どのセキュリティサービスに要求がアクセスしようとしているか、どのデータ（より正確には、ファイル、リンク、ハッシュ値等のタイプ）が送信および／または要求されているかといったパラメータを判断し、これらのパラメータのうち１つ以上を、図３にさらに詳細に述べられているクラウドサービスの選択のための既存のポリシーに照らしてチェック／適用する。既存のポリシーにより、要求がパブリッククラウドサービス１２０へリダイレクトするのを許可する場合、要求はステップ５５０で意思決定モジュール１２５により生成される適切な命令に基づき、パブリッククラウドサービス１２０にリダイレクトされる。そうでなければ、要求は、ステップ５４０で意思決定モジュール１２５により生成される適切な命令に基づき、プライベートクラウドサービス１０５にリダイレクトされる。

以下は、要求を別のサービスへとリダイレクトする３つの例である。第１の例では、ユーザーのコンピュータ１００は送信されているデータのタイプ（例えば、解析されたファイルの形式がＰＤＦである。）を含んでおり、既定のポリシーはクラウドサービス選択ポリシーによりこのタイプのファイルが社外に送られるのを禁止する。結果として、意思決定モジュール１２５は要求を適切な／要求されたセキュリティサービスのため、プライベートクラウドサービス１０５に再送信することを判断する。

別の例では、意思決定モジュール１２５は、ユーザーのコンピュータ１００からの要求がクラウドサービス選択ポリシーにより定義されたデータ転送のための既定の割当のサイズを超えることを判断する。結果として、意思決定モジュール１２５は、要求を適切な／要求されたセキュリティサービスのため、プライベートクラウドサービス１０５に再送信することを判断する。

別の例では、意思決定モジュール１２５は、ユーザーのコンピュータ１００からの要求が、送信されているデータ（例えば、インターネットリンクに関する情報）の許容タイプを含むがプライベートクラウドサービス１０５のデータベースの更新が所定の時間よりも前に（例えば１２時間も前に）行われたと判断する。この場合には、意思決定モジュール１２５は、要求を適切な／要求されたセキュリティサービスのため、パブリッククラウドサービス１２０に再送信することを判断する。

図６は、汎用コンピュータシステム（パーソナルコンピュータまたはサーバーでよい）本開示のシステムや方法が例示的態様に従い実装された汎用コンピュータシステム（パーソナルコンピュータまたはサーバーでよい）の例示である。示すように、コンピュータシステムは、中央処理装置２１、システムメモリ２２およびシステムバス２３を含み、様々なシステム構成要素と接続し、中央処理装置２１に関連するメモリを含む。システムバス２３は、従来技術から知られている任意のバスの構造と同様に実現され、順にバスメモリまたはバスメモリコントローラ、周辺バスおよびローカルバスを含み、任意のバスアーキテクチャと相互作用することができる。システムメモリは、永久メモリ（ＲＯＭ）２４とランダムアクセスメモリ（ＲＡＭ）２５を含む。ベーシックインプット／アウトプットシステム（ＢＩＯＳ）２６は、基本的な手順を含み、ＲＯＭ２４を用いるオペレーティングシステムをロードする時と同じように、パーソナルコンピュータ２０の要素間での情報の転送を保証する。

パーソナルコンピュータ２０は、次に、データを読み込み及び書き込むためにハードディスク２７、リムーバル磁気ディスク２９に読み取りおよび書き込みするために磁気ディスクドライブ２８およびリムーバル光学ディスクドライブ３１（ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭおよび別の光学情報メディア）に読み取りおよび書き込みするために光学ドライブ３０を含む。ハードディスク２７、磁気ディスクドライブ２８および光学ドライブ３０は、ハードディスクインターフェース３２、磁気ディスクインターフェース３３および光学ドライブインターフェース３４それぞれを介して、システムバス２３に接続されている。ドライブおよび対応するコンピュータ情報メディアは、パーソナルコンピュータ２０における、コンピュータ命令、データ構造、プログラムモジュールおよび別のデータを記憶するために、電力的に独立しているモジュールである。

本開示は、ハードディスク２７、リムーバブル磁気ディスク２９およびリムーバブル光学ディスク３１を使用するシステムの実装を提供するが、別のタイプのコンピュータ情報媒体５６の採用が可能であることが理解されるべきであり、それは、コンピュータによって読み取り可能な形式でデータを格納することができるもの（半導体ドライブ、フラッシュメモリカード、デジタルディスク、ランダムアクセスメモリ（ＲＡＭ）など）であり、それは、コントローラ５５を介してシステムバス２３に接続されている。

コンピュータ２０は、ファイルシステム３６を有し、そこに、記録されたオペレーティングシステム３５が保管され、さらに、追加のプログラムアプリケーション３７、その他のプログラムモジュール３８およびプログラムデータ３９が保管されている。ユーザーは、入力装置（キーボード４０、マウス４２）を使用して、パーソナルコンピュータ２０にコマンドおよび情報を入力することができる。別の入力機器（図示せず）を使用することができ、それは、マイクロフォン、ジョイスティック、ゲームコントローラ、スキャナおよびその他などである。そのような入力機器は、通常、シリアルポート４６を介して、コンピュータシステム２０に接続され、それは順に、システムバスに接続され、しかし、それらは、パラレルポート、ゲームポート、またはユニバーサルシリアルバス（ＵＳＢ）等の別の方法（図示せず）で接続されることができる。モニター４７又は別のタイプのディスプレイ機器は、インターフェース（例えば、ビデオアダプター４８）を介して、システムバス２３に接続される。モニター４７に加えて、パーソナルコンピュータは、ラウドスピーカー、プリンタ等のその他の周辺出力機器（図示せず）を備えることができる。

パーソナルコンピュータ２０はネットワーク環境で動作でき、１つ以上のリモートコンピュータ４９とのネットワーク接続を用いる。リモートコンピュータ（又はコンピュータ群）４９は、また、パーソナルコンピュータまたはサーバーであり、それは、前述した要素の大部分またはすべてを有し、図４で示すように、パーソナルコンピュータ２０の本質を説明している。その他のデバイスもまたルーター、ネットワークステーション、ピアデバイスまたは他のネットワークノードといったコンピュータネットワークに存在しうる。

ネットワーク接続は、ローカルエリアコンピュータネットワーク（ＬＡＮ）５０とワイドエリアコンピュータネットワーク（ＷＡＮ）を形成することができる。このようなネットワークは、企業コンピュータネットワークと社内ネットワークで用いられ、さらに、それらは、概して、インターネットへのアクセス権を有している。ＬＡＮまたはＷＡＮネットワークにおいて、パーソナルコンピュータ２０は、ネットワークアダプターまたはネットワークインターフェース５１を介して、ローカルエリアネットワーク５０に接続される。ネットワークが使用されるとき、パーソナルコンピュータ２０は、インターネットなどの広域コンピュータネットワークとの通信を提供するために、モデム５４または別のモジュールを使用することができる。内部または外部装置であるモデム５４は、シリアルポート４６によってシステムバス２３に接続されている。ネットワーク接続は、一例であり、ネットワークの正確な構成を示している必要はないことに留意すべきである。すなわち、実際には、技術的な通信モジュールによって、１つのコンピュータと別のコンピュータの接続を確立するという、別の方法がある。

様々な態様において、本明細書で説明されるシステム及び方法は、ハードウェア、ソフトウェア、ファームウェア、またはそれらの任意の組み合わせで実装されることができる。ソフトウェアで実装される場合、方法は、非一時的なコンピュータ可読媒体に、１つまたは複数の命令またはコードとして格納されることができる。コンピュータ可読媒体は、データストレージを含む。限定するものではなく、例として、そのようなコンピュータ可読媒体は、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ、ＣＤ−ＲＯＭ、フラッシュメモリ、または、別のタイプの電気的、磁気的、または光学的記憶媒体、または別の媒体を備えることができ、それは、所望のプログラムコードを、命令またはデータ構造の形で、搬送または保管するために使用することができる。それは、汎用コンピュータのプロセッサによってアクセスされることができる。

様々な態様において、本開示で説明されたシステムや方法は、モジュールの観点で扱いうる。本明細書で使用する用語「モジュール」は、実世界の機器、コンポーネント、または、ハードウェアを用いて実装されるコンポーネント配置、を意味しており、そのハードウェアとしては、特定用途向け集積回路（ＡＳＩＣ）、フィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ）によるものなど、例えば、またはハードウェアとソフトウェアの組み合わせとして、モジュールの機能を実装するため、マイクロプロセッサ・システムと命令セットによるものなどがあり、これらは、（実行されている間に）マイクロプロセッサ・システムを専用の機器に変換する。モジュールは、その二つの組み合わせとして実装されることもでき、ハードウェア単体により容易である特定の機能およびハードウェアとソフトウェアの組み合わせにより容易である別の機能を有する。特定の実装において、モジュールの少なくとも一部および、ある場合においては、モジュール全てついて、汎用コンピュータ（例えば、以下にある図６で更に詳細に説明したもののように）のプロセッサ上で実行することができる。したがって、各モジュールは様々な適切な構成を実現でき、本明細書で例示されたいかなる特定の実装に制限されるべきでない。

明確にするために、本態様のルーティン特徴の全てが本明細書に開示されているわけではない。本発明の開示における、どんな実際の実装の開発でも、多くの実装での特有の決定が、開発者の特定の目標を達成するためになされるべきであり、これらの具体的な目標は、異なる実装および異なる開発者で異なるであろうことを、理解されるであろう。そのような開発努力は複雑で時間がかかる可能性があるが、それでも、本開示の利益を有する当業者にとっては、エンジニアリングの日常の仕事であろう。

さらに、本明細書の用語及び表現は、説明の目的のためであり、制限されるものではなく、本明細書での、そのような用語及び表現は、関連技術の熟練の知識と組み合わせて、本明細書で提示される教示および指針に照らして当業者によって解釈されるべきであること、を理解されるべきである。さらに、明細書または特許請求の範囲内の任意の用語に対して、そのように記載された明示がない限り、一般的でない又は特別な意味を帰することは、意図されていない。

本明細書に開示される様々な態様は、実例として本明細書で言及された既知のモジュールに現在および将来既知の等価物を包含したものである。さらに、態様および用途が示され説明されてきたが、この開示で利益のある当業者は、上で述べたよりも多くの改良が、本明細書で開示された発明のコンセプトから離れることなく可能であることは明らかだろう。

Claims (14)

1. 複数のコンピュータセキュリティサービスを利用する方法であって、
   格納工程と、受信工程と、判断工程と、適用工程と、送信工程とを備え、
   前記格納工程では、プライベートクラウドサービスまたはパブリッククラウドサービスのいずれか１つをいつ使用するべきかを示す複数のポリシーを電子データベース内に格納し、前記プライベートクラウドサービスまたはパブリッククラウドサービスは、異なるタイプの複数のセキュリティサービスを用いてソフトウェアオブジェクトを分析し当該ソフトウェアオブジェクトが悪意のあるものかどうかを判断するよう構成されており、
   前記受信工程では、前記複数のセキュリティサービスのうち少なくとも１つにアクセスするためのクライアントコンピュータからの要求を受信し、前記要求は未知のソフトウェアオブジェクトを含んでおり、
   前記判断工程では、ハードウェアプロセッサにより前記受信した要求に関連する少なくとも１つのパラメータを判断し、前記パラメータは、アクセスされているセキュリティサービスのタイプと、前記要求に含まれるソフトウェアオブジェクトのタイプの少なくとも１つを含むとともに、ファイル、リンク及びハッシュ値のうちの１つを含み、
   前記適用工程では、前記要求を前記プライベートクラウドサービスまたは前記パブリッククラウドサービスに送信するべきかどうかを判断するため、前記ハードウェアプロセッサにより、前記少なくとも１つのパラメータを前記複数のポリシーに適用し、
   前記送信工程では、前記判断に基づいて、前記要求を前記プライベートクラウドサービスまたは前記パブリッククラウドサービスのいずれか１つに送信する、
   方法。
2. 前記プライベートクラウドサービス及び前記パブリッククラウドサービスはさらに、クライアントコンピュータ上でソフトウェアオブジェクトをどのように処理するかを指定するアプリケーション制御ロジックを生成するよう構成される、
   請求項１に記載の方法。
3. 前記複数のセキュリティサービスのうち少なくとも１つにアクセスするための前記クライアントコンピュータからの前記要求が、前記要求を前記プライベートクラウドサービスまたは前記パブリッククラウドサービスへ送信するべきかどうかの指標を有しないことを特徴とする、
   請求項１に記載の方法。
4. 前記複数のポリシーを格納する前記格納工程は、前記プライベートクラウドサービスのソフトウェアが前回更新された所定の時間、前記プライベートクラウドサービスにより与えられる前記複数のセキュリティサービスのうち少なくとも１つのタイプ、前記要求により送られているデータのタイプ、プライベートまたはパブリッククラウドサービスのうちの少なくとも１つに対して送られる要求の量のトラフィック割当のうちの少なくとも１つに関連しているポリシーを格納する工程を備える、
   請求項１に記載の方法。
5. 前記受信した要求に関連する前記少なくとも１つのパラメータを判断する前記判断工程が、前記要求によりアクセスされている前記複数のセキュリティサービスのうち少なくとも１つのタイプ、前記要求に含まれるファイルのタイプ、前記要求に含まれるリンクのタイプおよび前記要求に含まれるハッシュ値のうち、少なくとも１つを判断する工程を備える、
   請求項４に記載の方法。
6. コンピュータセキュリティサービスを利用するシステムであって、電子データベース、ハードウェアプロセッサを有し、
   前記電子データベースは、プライベートクラウドサービスまたはパブリッククラウドサービスのいずれか１つをいつ使用すべきかを示す複数のポリシーを格納するよう構成され、前記プライベートクラウドサービスまたはパブリッククラウドサービスは、異なるタイプの複数のセキュリティサービスを用いてソフトウェアオブジェクトを分析し当該ソフトウェアオブジェクトが悪意のあるものかどうかを判断するよう構成されており、
   前記ハードウェアプロセッサは、
   前記複数のセキュリティサービスのうち少なくとも１つにアクセスするため、クライアントコンピュータから要求を受信し、前記要求は未知のソフトウェアオブジェクトを含み、
   前記受信した要求に関連する少なくとも１つのパラメータを判断し、前記パラメータは、アクセスされているセキュリティサービスのタイプと、前記要求に含まれるソフトウェアオブジェクトのタイプの少なくとも１つを含むとともに、ファイル、リンク及びハッシュ値のうちの１つを含み、
   前記要求を前記プライベートクラウドサービスまたは前記パブリッククラウドサービスに送信するかどうかを命令する命令を判断するため、前記少なくとも１つのパラメータを前記複数のポリシーに適用し、
   前記判断に基づいて、前記プライベートクラウドサービスまたは前記パブリッククラウドサービスのいずれか１つに前記要求を送信するよう構成されている、
   システム。
7. 前記プライベートクラウドサービスと前記パブリッククラウドサービスのうち前記１つは、ライアントコンピュータ上でソフトウェアオブジェクトをどのように処理するかを指定するアプリケーション制御ロジックを生成するよう構成される、
   請求項６に記載のシステム。
8. 前記複数のセキュリティサービスのうち少なくとも１つにアクセスするための前記クライアントコンピュータからの前記要求は、前記要求を前記プライベートクラウドサービスまたは前記パブリッククラウドサービスに対して送信するかどうかの指標を含まない、
   請求項６に記載のシステム。
9. 前記電子データベースは、前記プライベートクラウドサービスのソフトウェアの最終更新の所定時間、前記プライベートクラウドサービスにより与えられる前記複数のセキュリティサービスのうち少なくとも１つのタイプ、前記要求により送られているデータのタイプ、プライベートまたはパブリッククラウドサービスのうちの少なくとも１つに送られている要求の量のトラフィック割当のうちの少なくとも１つに関連する前記複数のポリシーを格納するように構成されている、
   請求項６に記載のシステム。
10. 前記ハードウェアプロセッサは、前記要求によりアクセスされている前記複数のセキュリティサービスのうち少なくとも１つのタイプ、前記要求に含まれるファイルのタイプ、前記要求に含まれるリンクのタイプおよび前記要求に含まれるハッシュ値のうちの少なくとも１つを判断することにより、前記少なくとも１つのパラメータを判断するようさらに構成されている、
    請求項９に記載のシステム。
11. コンピュータセキュリティサービスの利用するためのコンピュータ実行可能命令を格納した非一時的記録媒体であって、
    格納命令と、受信命令と、判断命令と、適用命令と、送信命令とを備え、
    前記格納命令は、電子データベース内に、プライベートクラウドサービスまたはパブリッククラウドサービスのいずれか１つをいつ使用すべきかを示す複数のポリシーを格納する命令であり、前記プライベートクラウドサービスまたはパブリッククラウドサービスは、異なるタイプの複数のセキュリティサービスを用いてソフトウェアオブジェクトを分析し当該ソフトウェアオブジェクトが悪意のあるものかどうかを判断するよう構成されており
    前記受信命令は、前記複数のセキュリティサービスのうち少なくとも１つにアクセスするため、クライアントコンピュータからの要求を受信する命令であり、前記要求は未知のソフトウェアオブジェクトを含んでおり、
    前記判断命令は、前記受信した要求に関連する少なくとも１つのパラメータを判断する命令であり、前記パラメータは、アクセスされているセキュリティサービスのタイプと、前記要求に含まれるソフトウェアオブジェクトのタイプの少なくとも１つを含むとともに、ファイル、リンク及びハッシュ値のうちの１つを含み、
    前記適用命令は、前記要求を前記プライベートクラウドサービスまたは前記パブリッククラウドサービスに送信するべきかどうかを判断するため、前記少なくとも１つのパラメータを前記複数のポリシーに適用する命令であり、
    前記送信命令は、前記判断に基づいて、前記要求を前記プライベートクラウドサービスまたは前記パブリッククラウドサービスのいずれか１つに送信する命令である、
    非一時的記録媒体。
12. 前記複数のセキュリティサービスのうち少なくとも１つにアクセスするため前記クライアントコンピュータからの前記要求が前記要求を前記プライベートクラウドサービスまたは前記パブリッククラウドサービスに送信すべきかどうかの指標を含まない、
    請求項１１に記載の非一時的記録媒体。
13. 前記複数のポリシーを格納するための前記命令が、前記プライベートクラウドサービスのソフトウェアの最終更新の所定時間、前記プライベートクラウドサービスにより与えられる前記複数のセキュリティサービスのうち少なくとも１つのタイプ、前記要求により送られているデータのタイプ、プライベートまたはパブリッククラウドサービスのうちの少なくとも１つに送られている要求の量のトラフィック割当のうちの少なくとも１つに関連するポリシーを格納するための命令をさらに備える、
    請求項１１に記載の非一時的記録媒体。
14. 前記受信した要求に関連する前記少なくとも１つのパラメータを判断するための前記命令が、前記要求によりアクセスされている前記複数のセキュリティサービスのうち少なくとも１つのタイプ、前記要求に含まれるファイルのタイプ、前記要求に含まれるリンクのタイプおよび前記要求に含まれるハッシュ値のうちの少なくとも１つを判断するための命令をさらに備える、
    請求項１３に記載の非一時的記録媒体。