JP6880040B2 - 暗号化展開発見 - Google Patents

Description

本開示の実施形態は一般にキー暗号化に関し、より詳細には、１つ以上のネットワークセグメントで用いられる様々な暗号化キーのキー情報を、発見し、抽出し、解析し、自動的に登録することに関する。

関連特許出願の相互参照
本出願は、２０１５年９月２８日出願の米国仮特許出願第６２／２３３，９００号および２０１６年９月１９日出願の米国仮特許出願第１５／２６９，３１０号の優先権を主張するものであり、それらはそれぞれ全体の参照により本明細書に組み込まれる。

セキュリティシステムにおいて、暗号化キーは、暗号化プロセス中にそれを介して平文データが暗号データに変換され得るメカニズムと、復号プロセス中にそれを介して暗号データが平文データに変換され得るメカニズムを命令するパラメータまたはデータを指す。一般的に、各ネットワークセグメントは、暗号化キーを用いるサーバ、サービスおよびユーザデバイスを含み得る。各企業（例えば、会社、大学、機関、銀行、研究所等）は、そのオペレーションのための少なくとも１つのセグメントを有し得る。企業は、その企業に関連する各サーバ、サービスまたはユーザデバイスによって使用されるキーの種々の態様を把握していない可能性がある。例えば、企業は、キー／証明書の彼らの暗号化アセットのロケーションまたは状態（例えば、有効期限、長さ、強度等）を把握していない可能性がある。

これは、各セグメントで用いられるキーが、異なるソースに由来しており異なるキー特性を有する可能性があるからである。例えば、各キーは、セグメント内の他のキーとは異なり得る暗号の長さ、強度および／または有効期限に関連し得る。企業がキーを維持し、交換し、アクセスするために、企業は各キーのキー情報を知っている必要がある。したがって、キー情報の知識がなければ、企業はキーを有効に維持し、交換し、アクセスすることができない。

従来、企業のネットワーク管理者は、検査のためキー情報を得るためにサーバまたはデバイスにログオンしなければならなかった。例えば、ログインは、サーバまたはデバイスの任意のキーを作成、移動、更新または削除するために必要であり得る。したがって、キーの維持、交換およびセキュリティ強度査定は、如何なる企業にとっても実行に非常にコストがかかり労働集約的である。

種々の実施形態は、暗号化キーを用いるデバイス（暗号化アセット）に関連する１つ以上のネットワークセグメントをインテロゲートするための暗号化発見ツールに関する。特に、暗号化発見ツールは、より広いネットワークの各セグメントからのキー情報を取得するためにネットワークマッパー（ＮＭＡＰ）を使用し得る。そのようなキー情報は、限定はしないが、デバイス識別子、デバイスロケーション、キータイプ、有効期限、キー起源、キー長さ、キー強度等を含む。暗号化発見ツールは、キー管理のためにキー情報を収集してパースしてよい。

いくつかの実施形態において、キー情報を発見するための方法は、少なくとも１つのセグメントを、その少なくとも１つのセグメントの暗号化アセットに関連するキー情報に関してインテロゲートし、その少なくとも１つのセグメントからキー情報を受け取り、キー情報を記憶することを含む。

種々の実施形態により、プロセッサ可読命令を包含する非一時的コンピュータ可読媒体が記述される。命令が実行されると、プロセッサは、少なくとも１つのセグメントの暗号化アセットに関連するキー情報に関して少なくとも１つのセグメントをインテロゲートし、その少なくとも１つのセグメントからキー情報を受け取り、キー情報を記憶することを含む、キー情報を発見するための方法を実行する。

いくつかの実施形態において、キー情報を発見するためのサーバは、データべースと、プロセッサ可読命令で、少なくとも１つのセグメントを、その少なくとも１つのセグメントの暗号化アセットに関連するキー情報に関してインテロゲートし、その少なくとも１つのセグメントからキー情報を受け取り、キー情報を記憶するように構成されたプロセッサとを含む。

種々の実施形態において、少なくとも１つのセグメントの暗号化アセットに用いられるキーに対応するキー情報を発見し管理する方法は、少なくとも１つのセグメントに関連するキー情報を取得し、キー情報を記憶し、また、少なくとも１つの暗号化報告をキー情報に基づいて生成すること、キー情報をエクスポートすること、または、キーをキー情報に基づいて統合することのうち少なくとも１つを含む。

本明細書に組み込まれてその一部を構成する添付図面は、本開示の代表的実施形態を例示し、上記の概括的説明および以下の詳細な説明と共に、種々の実施形態の特徴を説明する働きをする。

種々の実施形態による暗号化を発明するための暗号化発見サーバを有する暗号化使用システムの一例の模式図である。 種々の実施形態による暗号化発見サーバの一例を例示するコンポーネントブロック図である。 種々の実施形態による暗号化発見方法の一例を例示するプロセスフローチャート図である。 種々の実施形態による暗号化発見方法の一例を例示するプロセスフローチャート図である。 種々の実施形態によるキー情報の一例を例示する図である。 種々の実施形態による暗号化報告の一例を示す表示スクリーンである。

添付図面を参照して種々の実施形態を詳細に説明する。可能な限り、同じ参照番号が、図面を通して、同じまたは同様な部品を指すために用いられ得る。異なる、同じ、または同様な部品を指すために異なる参照番号が用いられてよい。特定の例および実装に対してなされた言及は例示の目的のためであって、開示または特許請求の範囲を限定することを意図しない。

暗号化発見ツールの実施形態は、データ記憶装置（例えば、データベース）に結合された適切なコンピューティングプラットフォーム（例えば、サーバ）上で実行されるアプリケーションを含み得る。暗号化発見ツールは、１つ以上のネットワークセグメントを、そのネットワークセグメント上の暗号化アセットに関連付けられたキー情報に関してスキャンまたはインテロゲートしてもよい。キー情報は、キー管理業務のために収集、記憶、ソートまたはエクスポートされてよい。

本発明で言及する、暗号化キーに関連付けられた「キー情報」（「属性」、「暗号化属性」、「キー属性」等）は、キー、キーの暗号化またはセキュリティ特性、キーの暗号化アルゴリズム、暗号化キーを生成／送信／受信するデバイス、デバイスのユーザ、および／または同等物に関連する特性を指し得る。キーは、データ値または信号で表されたその関連するキー情報とともに送信および／または受信され得る。特定の実施形態において、キー情報は、限定はしないが、デバイス識別子、デバイスロケーション、キータイプ、キー起源、キー長さ、キー強度等を含み得る。

「キー管理」は、キー情報に基づいて報告を生成する、キー情報を表すデータをエクスポートする、キー情報に基づいてキーを統合する等のうち１つ以上を指し得る。特に、そのキー情報を収集して有するキーは、限定はしないが、２０１３年１０月７日出願の「ＳＹＳＴＥＭ ＡＮＤ ＭＥＴＨＯＤ ＦＯＲ ＥＮＣＲＹＰＴＩＯＮ ＫＥＹ ＭＡＮＡＧＥＭＥＮＴ、ＦＥＤＥＲＡＴＩＯＮ ＡＮＤ ＤＩＳＴＲＩＢＵＴＩＯＮ」というタイトルの米国仮特許出願第６１／８８７,６６２号、２０１４年３月１０日出願の「ＳＹＳＴＥＭ ＡＮＤ ＭＥＴＨＯＤ ＦＯＲ ＰＯＬＩＣＹ−ＥＮＡＢＬＥＤ ＤＩＳＴＲＩＢＵＴＩＯＮ ＯＦ ＥＮＣＲＹＰＴＩＯＮ ＫＥＹＳ」というタイトルの米国仮特許出願第６１／９５０,３６２号、２０１３年１０月７日出願の米国仮特許出願第６１／８８７,６６２号および２０１４年３月１０日出願の米国仮特許出願第６１／９５０,３６２号の利益を主張する、２０１４年１０月３日出願の「ＳＹＳＴＥＭ ＡＮＤ ＭＥＴＨＯＤ ＦＯＲ ＥＮＣＲＹＰＴＩＯＮ ＫＥＹ ＭＡＮＡＧＥＭＥＮＴ、ＦＥＤＥＲＡＴＩＯＮ ＡＮＤ ＤＩＳＴＲＩＢＵＴＩＯＮ」というタイトルの米国特許出願第１４／５０６、３４６号、２０１３年１０月７日出願の米国仮特許出願第６１／８８７,６６２号、２０１４年３月１０日出願の米国仮特許出願第６１／９５０,３６２号の利益を主張する、２０１４年１０月３日出願の「ＳＹＳＴＥＭ ＡＮＤ ＭＥＴＨＯＤ ＦＯＲ ＥＮＣＲＹＰＴＩＯＮ ＫＥＹ ＭＡＮＡＧＥＭＥＮＴ、ＦＥＤＥＲＡＴＩＯＮ、ＡＮＤ ＤＩＳＴＲＩＢＵＴＩＯＮ」というタイトルのＰＣＴ出願ＰＣＴ／ＵＳ２０１４／０５９１８７号、２０１５年３月１２日出願の「ＳＥＲＶＥＲ ＣＬＩＥＮＴ ＰＫＩ ＦＯＲ ＫＥＹ ＯＲＣＨＥＳＴＲＡＴＩＯＮ ＳＹＳＴＥＭ ＡＮＤ ＰＲＯＣＥＳＳ」というタイトルの米国仮特許出願第６２／１３２,３４２号、２０１５年３月１２日出願の「ＫＯ ＨＩＥＲＡＲＣＨＹ ＦＯＲ ＫＥＹ ＯＲＣＨＥＳＴＲＡＴＩＯＮ ＳＹＳＴＥＭ ＡＮＤ ＰＲＯＣＥＳＳ」というタイトルの米国特許出願第６２／１３２,３７２号、２０１５年３月１３日出願の「ＳＥＲＶＥＲ−ＣＬＩＥＮＴ ＫＥＹ ＥＳＣＲＯＷ ＦＯＲ ＫＥＹ ＯＲＣＨＥＳＴＲＡＴＩＯＮ ＳＹＳＴＥＭ ＡＮＤ ＰＲＯＣＥＳＳ」というタイトルの米国特許出願第６２／１３３,１７２号、または、２０１５年３月１３日出願の「ＣＬＩＥＮＴ ＳＥＲＶＩＣＥＳ ＦＯＲ ＫＥＹ ＯＲＣＨＥＳＴＲＡＴＩＯＮ ＳＹＳＴＥＭ ＡＮＤ ＰＲＯＣＥＳＳ」というタイトルの米国特許出願第６２／１３２,３７９号のうち１つ以上に説明されるような方式で統合されてよく、上記はそれぞれ参照により全体が本明細書に組み込まれる。さらに、キー管理は、キー管理を実行するための１つ以上のサーバとの自動キー／証明書登録をも含み得る。

「企業」とは、会社、会社内のサブグループ、自律かつ独立した団体、通信グループ、セキュリティプロバイダー、種々の団体、組織、および／または同等物であり得る。企業の例は、限定はしないが、大学、機関、銀行、研究所等を含み得る。本明細書で言及する「セグメント」（「ネットワークセグメント」）は、ネットワークグルーピングまたはより大きなネットワークの一部分であり得る。いくつかの実施形態において、セグメントは、限定はしないが、インターネットプロトコル（ＩＰ）アドレス等の適切な識別子を用いて定義され得る。非限定的な例で例示すると、セグメントは、クラスＡネットワーク、クラスＢネットワーク、クラスＣネットワーク、クラスＤネットワーク、クラスＥネットワーク等に対応し得る。各企業は、そのオペレーション用に少なくとも１つのセグメントを用いてよい。

本明細書で言及する「暗号化アセット」は、暗号化技術を実装するデバイス（例えば、デバイス、サーバ、またはデータベース）を指し得る。暗号化アセットの例は、限定はしないが、ファイルサーバ、ウェブサーバ、アプリケーションサーバ、証明書サーバ、メールサーバ、ディレクトリサーバ、ファイル転送プロトコル（ＦＴＰ）サーバ、データベース、管理サーバ、Ｅコマースサーバ、またはエンドユーザデバイス（コンピュータワークステーション、モバイルデバイス、サーバ等）を含み得る。

図１は、種々の実施形態に従って暗号化を発見するための暗号化発見サーバ１１０を有する暗号化使用システム１００の一例の模式図である。図１を参照すると、暗号化発見サーバ１１０は、１つ以上の企業のネットワークに、ネットワーク１３０を介して接続されてよい。非限定的な例で例示すると、暗号化発見サーバ１１０は、第１の企業（企業Ａ１２０ａ）および第２の企業（企業Ｂ１２０ｂ）のネットワークに接続されてよい。暗号化発見サーバ１１０は、１つまたは３つまたはそれ以上の企業に接続されてよい。企業１２０ａ、１２０ｂのネットワークは、１つ以上のサーバ（図示せず）によってサポートされてよい。

１つ以上の企業（例えば、企業Ａ１２０ａおよび企業Ｂ１２０ｂ）のネットワークそれぞれは、１つ以上のサーバによってサポートされる少なくとも１つのセグメントと関連付けられてよい。セグメントは、限定はしないが、ネットワークリソースを共有する、または、他方式でそのセグメント内に含まれるように設計された暗号化アセットの群等のコンピュータネットワークの一部であってよい。非限定的な例で例示すると、企業Ａ１２０ａは第１のセグメント（セグメントＡ１３０ａ）、第２のセグメント（セグメントＢ１３０ｂ）、および第３のセグメント（セグメントＣ１３０ｃ）に関連付けられてよい。企業Ｂ１２０ｂは第４のセグメント（セグメントＤ１３０ｄ）に関連付けられてよい。セグメント１３０ａ−１３０ｄそれぞれは、限定はしないが、ロケーション、仕事グループ、企業内の役割等の適切な基準に基づいて、それらの対応する企業（企業Ａ１２０ａおよび企業Ｂ１２０ｂ）によって確立され得る。非限定的な例で例示すると、セグメントＡ１３０ａは、企業Ａ１２０ａの第１のオフィスロケーションのためのネットワークに対応し得る。セグメントＢ１３０ｂは企業Ｂ１２０ｂの第２のオフィスロケーションのためのネットワークに対応し得る。セグメントＣ１３０ｃは企業Ｃ１２０ｃの第３のオフィスロケーションのためのネットワークに対応し得る。

各セグメントは少なくとも１つの暗号化アセットを含んでよい。非限定的な例で例示すると、セグメントＡ１３０ａは、少なくとも、１つのファイルサーバ１４０、１つのウェブサーバ１４１、および１つ以上の第１のエンドユーザデバイス１４２に関連付けられてよい。セグメントＢ１３０ｂは、少なくとも、１つのアプリケーションサーバ１４３、１つの証明書サーバ１４４、および１つ以上の第２のエンドユーザデバイス１４５に関連付けられてよい。セグメントＣ１３０ｃは、少なくとも、１つのメールサーバ１４６、１つのディレクトリサーバ１４７、および１つ以上の第３のエンドユーザデバイス１４８に関連付けられてよい。セグメントＤ１３０ｄは、少なくとも、１つのＦＴＰサーバ１４９、１つのデータベース１５０、および１つ以上の第４のエンドユーザデバイス１５１と関連付けられてよい。暗号化アセット１４０−１５１のうち１つ以上は、何らかの形式の暗号化キーまたは証明書を用いてよい。

いくつかの実施形態において、ネットワーク１３０は、暗号化発見サーバ１１０、企業１２０ａ、１２０ｂのネットワーク、セグメント１３０ａ−１３０ｄ、および／または暗号化アセット１４０-１５１間の通信を可能にしてもよい。ネットワーク１３０は、限定はしないが、インターネット、または１つ以上のイントラネット、ローカルエリアネットワーク（ＬＡＮ）、イーサネット（登録商標）ネットワーク、メトロポリタンエリアネットワーク（ＭＡＮ）、ワイドエリアネットワーク（ＷＡＮ）、それらの組み合わせ等のワイドエリア通信ネットワークであってよい。ネットワーク１３０はさらに、限定はしないが、３Ｇネットワーク、ロングタームエボリューション（ＬＴＥ）ネットワーク、４Ｇネットワーク等のモバイルデータネットワークであってもよい。特定の実施形態において、ネットワーク１３０は、限定はしないが、ファイアウォール、暗号化またはその他のソフトウェアもしくはハードウェア構成などの、権限のない人員または団体によるネットワーク通信へのアクセスを防止する適切なセキュリティ特徴で構成された１つ以上のセキュリティで保護されたネットワークを表し得る。

いくつかの実施形態において、暗号化発見サーバ１１０はデータベース１１５を含んでもよい。いくつかの実施形態において、暗号化発見サーバ１１０はデータベース１１５に結合されてよい。いくつかの実施形態において、データベース１１５は、ネットワーク１３０を介して暗号化発見サーバ１１０に接続されてよい。いくつかの実施形態において、データベース１１５は、別の適切なネットワークを介して暗号化発見サーバ１１０に接続されてよい。データベース１１５は、セグメント１３０ａ−１３０ｄから受け取った、抽出されたキー情報を記憶またはパースするように構成されてよい。データベース１１５は、暗号化発見サーバ１１０のプロセッサ（例えば、プロセッサ２１０）を利用してもよい。代替的に、データベース１１５は、記憶、パース、報告生成またはデータベース１１５および／または暗号化発見サーバ１１０に関するその他の説明されたプロセスを実行するための独自のプロセッサ（限定はしないが、プロセッサ２１０など）を含んでもよい。非限定的な例で例示すると、データベース１１５はＳＱＬｉｔｅデータベースであってよい。

特定の実施形態において、データベース１１５は、暗号化発見サーバ１１０のメモリ（例えば、図２のメモリ２２０）よりも、より大量の情報を記憶することができ、また、記憶された情報への権限のないアクセスに対してより高レベルのセキュリティを提供することができてよい。データベース１１５は、限定はしないが、ランダムアクセスメモリ（ＲＡＭ）、リードオンリーメモリ（ＲＯＭ）、フロッピー（登録商標）ディスク、ハードディスク、ドングル、またはその他のリコンプセンサリボード（Ｒｅｃｏｍｐ Ｓｅｎｓｏｒｙ Ｂｏａｒｄ（ＲＳＢ））接続メモリデバイス等を含む任意の適切な電子的記憶装置またはシステムを含んでもよい。データベース１１５はまた、クラウドストレージで実装されてもよい。

キー管理サーバ１６０は、本明細書で説明されるキー管理またはキー統合業務を実行するために暗号化発見サーバ１１０および／またはデータベース１１５に結合されてよい。

図２は、種々の実施形態による暗号化発見サーバ１１０（図１に示す）の一例のコンポーネントブロック図である。図１−２を参照すると、暗号化発見サーバ１１０は、少なくとも１つのプロセッサ２１０と、プロセッサ２１０に作動的に結合されたメモリ２２０と、少なくとも１つの出力デバイス２３０と、少なくとも１つの入力デバイス２４０と、少なくとも１つのネットワークデバイス２５０を含んでもよい。

いくつかの実施形態において、暗号化発見サーバ１１０は、本明細書で説明される動作を実行するためにハードウェアおよびソフトウェアで構成された、デスクトップコンピュータ、メインフレームコンピュータ、サーバ コンピュータ、ラップトップコンピュータ、パッドデバイス、スマートフォンデバイス等を含んでもよい。例えば、暗号化発見サーバ１１０は、本明細書で説明される動作を実行するために、適切なアプリケーションソフトウェア（またはその他のソフトウェア）で構成された場合に、適切な処理能力、メモリ、ユーザインターフェース（例えば、表示および入力）機能および通信機能を有する、典型的なデスクトップパーソナルコンピュータ（ＰＣ）またはアップル（Ａｐｐｌｅ（登録商標））コンピュータデバイスを含んでもよい。こうして、特定の実施形態は、多くのビジネスおよび／または組織上の環境に多くの場合既に存在するプロセッサデバイスを用いて、そのようなデバイスを、本明細書で説明される適切なソフトウェアプロセスで構成することによって実装され得る。したがって、そのような実施形態は、最小の追加ハードウェアコストで実装され得る。しかしながら、暗号化発見サーバ１１０の他の実施形態は、本明細書で説明される動作を実行するために特別に構成された専用デバイスハードウェアを含んでもよい。

プロセッサ２１０は、汎用プロセッサ（例えば、マイクロプロセッサ）等の任意の適切なデータ処理デバイスを含んでもよいが、代替的に、プロセッサ２１０は、任意の従来型プロセッサ、コントローラ、マイクロコントローラまたはステートマシンであってもよい。さらに、プロセッサ２１０は、コンピューティングデバイスの組み合わせ、例えば、デジタル信号プロセッサ（ＤＳＰ）とマイクロプロセッサの組み合わせ、複数のマイクロプロセッサ、ＤＰＳコアと併せた少なくとも１つのマイクロプロセッサ、または任意の他のそのような構成として実装されてもよい。プロセッサ２１０は、本明細書で説明される暗号化発見サーバ１１０の特徴と機能を実行するためにプロセッサ可読命令で構成されてよい。

メモリ２２０は、プロセッサ２１０に作動的に結合されてよく、プロセッサ２１０を、本明細書で説明される動作と機能を実行させるように制御するためのソフトウェアおよびデータを記憶するための任意の適切なデバイスを含んでもよい。特に、メモリ２２０は、暗号化発見ツールアプリケーションのためのプロセッサ可読命令を記憶してもよい。メモリ２２０は、限定はしないが、ＲＡＭ、ＲＯＭ、フロッピーディスク、ハードディスク、ドングル、または、メモリデバイスに接続されたその他のＲＳＢ等を含んでよい。いくつかの実施形態において、メモリ２２０は、データベース１１５とは別個のコンポーネントであってよい。別の実施形態において、メモリ２２０とデータベース１１５は同じ記憶装置であってよい。

いくつかの実施形態において、暗号化発見サーバ１１０は、少なくとも１つの出力デバイス２３０を含んでもよい。出力デバイス２３０は、限定はしないが、タッチスクリーン、液晶ディスプレイ（ＬＣＤ）、発光ダイオード（ＬＥＤ）、陰極線管（ＣＲＴ）、プラズマ、またはその他の適切な表示スクリーン、オーディオスピーカーもしくはその他の音声発生装置、それらの組み合わせ等を含む、人間が知覚可能な可視信号、可聴信号、触覚信号、またはそれらの任意の組み合わせを提供する任意の適切なデバイスを含んでもよい。

いくつかの実施形態において、暗号化発見サーバ１１０は、人員（企業の従業員、技術者またはその他の権限のあるユーザ等）に、暗号化発見サーバ１１０へのアクセスを提供するインターフェースを提供する少なくとも１つの入力デバイス２４０を含んでよい。入力デバイス２４０は、限定はしないが、１つ以上の手動オペレータ（限定はしないが、スイッチ、ボタン、タッチスクリーン、ノブ、マウス、キーボード、キーパッド、スライダー等）、マイクロフォン等を含む、ユーザからの入力を受け取る任意の適切なデバイスを含んでもよい。

ネットワークデバイス２５０は、ネットワーク１３０との接続およびネットワーク１３０を介した通信のために構成されてよい。ネットワークデバイス２５０は、ネットワーク１３０との接続およびネットワーク１３０を介した通信のためのインターフェースソフトウェア、ハードウェア、またはそれらの組み合わせを含んでもよい。例えば、ネットワークデバイス２５０は、ネットワーク１３０（またはネットワーク接続デバイス）との無線通信リンクを提供するためのソフトウェアに結合される少なくとも１つの無線受信機、送信機、および／または送受信機エレクトロニクスを含んでもよい。特定の実施形態において、ネットワークデバイス２５０は、本明細書で説明される送信および受信などの有線または無線通信機能を提供するためにプロセッサ２１０とともに動作してもよい。ネットワークデバイス２５０は、限定はしないが、インターネット、または１つ以上のイントラネット、ＬＡＮ、イーサネットネットワーク、ＭＡＮ、ＷＡＮ、３Ｇネットワーク、ＬＴＥネットワーク、４Ｇネットワーク等の典型的な業界標準に従って通信を提供してもよい。

図３は、種々の実施形態による暗号化発見方法３００の一例を示すプロセスフローチャート図である。図１−３を参照すると、暗号化発見サーバ１１０のプロセッサ２１０は、ブロックＢ３１０で、少なくとも１つのセグメントに関連付けられたキー情報を取得してよい。例えば、暗号化発見サーバ１１０のプロセッサ２１０は、少なくとも１つのセグメント（例えば、セグメント１３０ａ−１３０ｄのうち１つ以上）に、暗号化アセット１４０-１５１のうち１つ以上に関連するキー情報を送信するようにインテロゲート、スキャンまたは要求するように構成されてよい。暗号化発見サーバ１１０は、それに応答してネットワークデバイス２５０でキー情報を受け取ってよい。

ブロックＢ３２０で、暗号化発見サーバ１１０のプロセッサ２１０は、いくつかの実施形態により、キー情報をデータベース１１５および／またはメモリ２２０に記憶するように構成されてよい。キー情報は、限定はしないが、スキャン（インテロゲーション）、セグメント、暗号化アセット、企業、キー情報のカテゴリ（例えば、デバイス識別子、デバイスロケーション、キータイプ、キー起源、キー長さまたはキー強度）、またはその他の適切な基準等の適切な基準に基づいて整理または記憶されてよい。

記憶された情報で、暗号化発見サーバ１１０のプロセッサ２１０（またはデータベース１１５等の別個のデバイス内の別のプロセッサ）は、（１）キー情報に基づいて少なくとも１つの暗号化報告を生成する（ブロックＢ３３０）、（２）キー情報をエクスポートする（ブロックＢ３４０）、および／または（３）キー情報に基づいて、キー情報に関連するキーを統合する（ブロックＢ３５０）のうち１つ以上を実行するように構成されてよい。

ブロックＢ３３０に関して、暗号化発見サーバ１１０のプロセッサ２１０は、ブロックＢ３１０で取得されてブロックＢ３２０で記憶されたキー情報を用いて少なくとも１つの暗号化報告を出力するように構成されてよい。暗号化報告は、キー情報の種々の態様を示すために説明的で情報を与えるような方式で整理されてよい。例えば、暗号化報告は、キー情報を取得するにあたりスキャンされた暗号化アセットの数、暗号化アセットに関連する地理的ロケーション、キーのカテゴリ、キーを発行する証明書／キーの権限、暗号強度（暗号の強度）、キーの有効期限に関する情報またはキーに関するその他の技術情報を含んでよい。暗号化報告は、暗号化発見サーバ１１０のプロセッサ２１０（またはデータベース１１５等の別個のデバイス内の別のプロセッサ）によって、スキャンされる１つ以上の特定のセグメントに関する、１つ以上の特定の暗号化アセットに関する、キー情報の１つ以上の特定のカテゴリに関する、またはその他の適切な基準に関する、１つ以上の特定のスキャン（インテロゲーション）に関するキー情報に基づいてコンパイルされてよい。人員（セキュリティオフィサー等の）は、報告によって提供される戦略的視野を整理した後で、暗号化キーと証明書のステータスに関する明確な理解を有することができ、それに従ってキー管理業務（例えば、キー管理サーバ１６０による）を実行できる。

報告は、ブラウザ−ウィンドウフォーマット等のウェブベースの表示に基づいて生成され得る。報告は、マイクロソフトワード文書、マイクロソフトエクセル文書、ポータブルドキュメントフォーマット（ＰＤＦ）等の電子的可読フォーマットで生成されてもよい。

ブロックＢ３４０に関して、暗号化発見サーバ１１０のプロセッサ２１０は、データベース１１５または別の記憶装置から、限定はしないが、マイクロソフトエクセル、カンマ区切り値（ＣＶＳ）、Ｓｉｍｉｌｅモデル（ＳＭＬ）等の適切なフォーマットでキー情報をエクスポートするように構成されてよい。非限定的な例で例示すると、エクスポートされた、キー情報を含むＳＭＬファイルは、キー情報に基づいてオブジェクトを作成するために用いられ得る。これは単純に、キー情報の余分な再キーイングをレンダリングすることによる、またはコピー／ペースト処理によるオブジェクト作成である。ブロックＢ３５０に関連して、キー統合（ならびに管理、フェデレーションおよび分散）が、暗号化発見サーバ１１０のプロセッサ２１０または他の適切なプロセッサ（例えば、キー管理サーバ１６０のプロセッサ）によって、取得されたキー情報に基づいてキーに関して実行され得る。

図４は、種々の実施形態による暗号化発見方法４００の一例を示すプロセスフローチャート図である。図１−４を参照すると、暗号化発見方法４００は、暗号化発見方法３００の１つ以上のブロックに対応し得る。特に、ブロックＢ４１０−Ｂ４２０はブロックＢ３１０に対応し得る。ブロックＢ４３０はブロックＢ３２０に対応し得る。

ブロックＢ４１０において、暗号化発見サーバ１１０のプロセッサ２１０は、少なくとも１つのセグメントの暗号化アセットに関連するキー情報に関して少なくとも１つのセグメントをインテロゲートするように構成されてよい。いくつかの実施形態において、少なくとも１つのセグメントを選択するユーザ入力は、入力デバイス２４０を介して暗号化発見サーバ１１０によって受け取られてよい。いくつかの実施形態において、暗号化発見サーバ１１０のプロセッサ２１０は、１つ以上のセグメントを、限定はしないが、最近のインテロゲーションが実行されてからの時間等による適切な基準に基づいて自動選択してよい（時限自動スキャンに関して）。暗号化発見サーバ１１０のプロセッサ２１０は、少なくとも１つの選択されたセグメントに関連する暗号化アセットからのキー情報を含むデータを誘導するように構成されてよい。少なくとも１つの選択されたセグメントならびに暗号化アセットは、ＩＰアドレス等の識別子で識別されてよい。インテロゲーションは、識別子に対応するセグメントに関して実行されてよい。

暗号化発見サーバ１１０のプロセッサ２１０は、選択されたセグメントに、信号に具現化された要求を送信することによって、選択されたセグメントをインテロゲートしてよい。いくつかの実施形態において、暗号化発見サーバ１１０のプロセッサ２１０は、そのような要求を送信するためのＮＭＡＰ標準を用いるように構成されてよい。ＮＭＡＰ標準は、スキャンおよび、ネットワーク上のデバイス（例えば、選択されたセグメント）、ポート識別等に関する詳細情報のためのネットワークツールであり得る。キー情報は、ＮＭＡＰを、キー情報を含むデータを出力させるように操作することによって引き出され得る。

インテロゲート対象に２つ以上のセグメントが選択されたことに応答して、暗号化発見サーバ１１０のプロセッサ２１０は、本明細書で説明されるインテロゲーションを２つ以上のセグメントに対して同時に実行するように構成されてよい。暗号化発見サーバ１１０のプロセッサ２１０は、２つ以上の選択されたセグメントを同時にインテロゲートするようにＮＭＡＰに指令することによってインテロゲーション対象の２つ以上の選択されたセグメントに関するプロセスを合計するように構成されてよい。別の実施形態において、セグメントは逐次インテロゲートされてよい。同時、逐次、いずれの場合にも、スキャン毎にインテロゲートされるセグメントの数は、プロセッサ２１０の処理能力に基づいてよい。

ブロックＢ４２０で、暗号化発見サーバ１１０のネットワークデバイス２５０に結合されたプロセッサ２１０は、インテロゲーションに応答して、少なくとも１つのセグメントからキー情報を受け取ってよい。いくつかの実施形態において、暗号化発見サーバ１１０は、インテロゲートされた少なくとも１つのセグメントからキー情報を受け取ってよい。いくつかの実施形態において、暗号化発見サーバ１１０は、少なくとも１つのセグメントに対応する暗号化アセットからキー情報を直接受け取ってよい。

ＮＭＡＰ標準が実装される場合、暗号化発見サーバ１１０は、キー情報を含み得る出力データをＮＭＡＰフォーマットで受け取ってよい。出力データは冗長であり得る。暗号化発見サーバ１１０のプロセッサ２１０は、出力データからキー情報を抽出するように構成されてよい。特に、プロセッサ２１０は、ＮＭＡＰ出力データのデータ層内のキー情報を抽出するように構成されてよい。非限定的な例で例示すると、キーがセキュアセル（ＳＳＨ）キーであるか、セキュアソケットレイヤ（ＳＳＬ）キーであるか、リベスト−シャミア−エーデマン（ＲＳＡ）暗号システムであるか、デジタル署名アルゴリズム（ＤＳＡ）であるかが抽出されて、キーのキータイプ／カテゴリを決定してもよい。限定はしないが、キー長さ、キー強度、有効期限等の他のキー情報が、同様にＮＭＡＰ出力データから抽出されてよい。プロセッサ２１０は、出力データをフィルタリングするにあたり、注目すべきデータタイプ（デバイス識別子、デバイスロケーション、キータイプ、有効期限、キー起源、キー長さ、キー強度および／または同等物）に関連するデータ識別子を特定するように構成されてよい。そのようなデータ識別子は、データファイルタイプ、データ内容、識別可能なデータの特定の部分等を含んでもよい。特定後、プロセッサは、データ識別子に関連するデータを、データベース１１５または他の適切な記憶装置にコピーまたは移動してもよい。プロセッサ２１０は、出力データをフィルタ／パースするためにＮＭＡＰとインターフェースしてもよい。別の実施形態において、適切なネットワーク列挙および／またはネットワークマッピング標準が、同様な方式でキー情報を取得するために用いられてよい。

ブロックＢ４３０で、キー情報は、限定はしないが、ブロックＢ３２０に関して説明したような方式で記憶されてよい。

非限定的な例で例示すると、企業Ａ１２０ａのセキュリティオフィサーが、セグメントＡ１３０ａとセグメントＢ１３０ｂに関する暗号化ステータスを知りたいとする。セキュリティオフィサーは、インテロゲートするセグメントＡ１３０ａおよびセグメントＢ１３０ｂを、入力デバイス２４０を介して選択してもよい。暗号化発見サーバ１１０のプロセッサ２１０は、セグメントＡ１３０ａとセグメントＢ１３０ｂに関するワークフローを合計するように構成されてよい。プロセッサ２１０は、セグメントＡ１３０ａおよびセグメントＢ１３０ｂの両方に、対応する暗号化アセットに関連するキー情報を合計されるワークフローに基づいて要求（ＮＭＡＰ標準を用いて）してもよい（例えば、ブロックＢ４１０で）。次に、ＮＭＡＰ出力データが受け取られてよい（ブロックＢ４２０で）。プロセッサ２１０はＮＭＡＰ出力データからキー情報を抽出してもよい。キー情報は記憶されてよい（ブロックＢ４３０またはＢ３２０で）。キー管理プロセスは次に、ブロックＢ３３０−Ｂ３５０のうち1つ以上で実行されてよい（キー管理サーバ１６０によって）。

図５は、種々の実施形態によるキー情報５００の一例を示す図である。図１−５を参照すると、キー情報５００が、セグメントまたは暗号化アセットから受信され得る。キー情報５００は、ＮＭＡＰ出力データから、またはキー情報５００を含む他のタイプの出力データから抽出されてよい。キー情報５００は、限定はしないが、デバイス識別子５１０、デバイスロケーション５２０、キータイプ５３０、有効期限５４０、キー起源５５０、キー長さ５６０またはキー強度５７０のうち１つ以上を含んでもよい。

いくつかの実施形態において、デバイス識別子５１０は暗号化アセットの適切な記述を参照してもよい。デバイス識別子５１０の例は、限定はしないが、デバイス名、ネットワークアドレス（例えば、ＩＰアドレス）、デバイスロケーション、それらの組み合わせ等を含み得る。いくつかの実施形態において、デバイス ロケーション５２０は、暗号化アセットが物理的に位置している地理的ロケーションであり得る。いくつかの実施形態において、デバイスロケーション５２０は、関連する企業、セグメント、および／または暗号化アセットのネットワークアドレス（ＩＰアドレス）に基づいてプロセッサ２１０によって決定されてよい。例えば、取得されたネットワークアドレスから、プロセッサ２１０は、ネットワークアドレスに関連する暗号化アセットがどこにあるかを含むデバイス情報を取得するために企業／セグメントのデータベース（例えば、ライトウェイトディレクトリアクセスプロトコル（ＬＤＡＰ）またはアクティブディレクトリ（ＡＤ））に直接クエリーしてもよい。いくつかの実施形態において、デバイスロケーション５２０は、さらなる判断なしに、キー情報５００の一部として直接受け取られる。例えば、暗号化アセット、企業サーバ、またはセグメントサーバに埋め込まれたＧＰＳチップで決まるグローバルポジショニングシステム（ＧＰＳ）データが、暗号化発見サーバ１１０に伝送されてよい。

いくつかの実施形態において、キータイプ５３０はキーのカテゴリまたは分類を指し得る。キータイプ５３０の例は、限定はしないが、パブリック、プライベート、ＳＳＨ、ＳＳＬ、ＲＳＡ、ＤＳＡ、自己署名式、署名局（ＣＡ）署名式、等を含んでよい。いくつかの実施形態において、有効期限５４０は、キーが失効または無効になった可能性がある時点であり得る。有効期限データ５４０は、ＣＡによってキーが生成された場合に生成し得る。

いくつかの実施形態において、キー起源５５０は、そのキーを生成した源であり得る。特に、キーは、暗号化アセット（自己署名式）、ＣＡ（例えば、マイクロソフト）、ベンダー等によって生成され得る。いくつかの実施形態において、キー長さ５６０は、ビットでのキーのサイズを指す。いくつかの実施形態において、キー強度５７０は、キーの暗号化セキュリティレベル（暗号強度）を指し得る。

図６は、種々の実施形態による暗号化報告６１０の一例を示す表示スクリーン６００である。図１−６を参照すると、表示スクリーン６００はウェブページとして生成され得る。暗号化報告６１０は、いくつかの実施形態によれば、ブロックＢ３３０に従って表示され得る。暗号化報告６１０は、特定のインテロゲーションに対して（インテロゲーション毎）またはスキャニングに対して（スキャン毎）生成され得る。インテロゲーションの各行為は、同じ企業内の少なくとも１つのセグメントに関するもの、または、２つ以上の異なる企業内の２つ以上のセグメントに関するものであり得る。暗号化報告６１０は、いくつかの実施形態によれば、キー情報（例えば、キー情報５００）の少なくとも一部を含み得る。非限定的な例で例示すると、暗号化報告６１０は、デバイス識別子５１０、デバイスロケーション５２０、キータイプ５３０、有効期限５４０、キー起源５５０、キー長さ５６０、またはキー強度５７０のうち１つ以上に関する情報を含み得る。

表示スクリーン６００は、キー情報（例えば、キー情報５００）に基づく統計を示すテキスト（例えば、テキスト部分６２０）を含んでもよい。表示スクリーン６００の非限定的な例において、スキャンされた暗号化アセットの総数、配置された暗号化ポートの数、パブリックキーの数、ＳＳＨキーの数、ＳＳＬ証明書の数、ＲＳＡの数、ＤＳＡの数、自己署名式証明書の数、ＣＡ署名式証明書の数が表示されてよい。

表示スクリーン６００はさらに、少なくとも１つのグラフ（例えば、第１のグラフ６３０、第２のグラフ６４０、第３のグラフ６５０等）またはキー情報（例えば、キー情報５００）に基づいて生成された、その他のタイプの視覚的表示をも含んでよい。非限定的な例で説明すると、第１のグラフ６３０は、キーの暗号強度（例えば、暗号強度５７０）を表すパイ図であってよい。暗号強度は、限定はしないが、「弱」、「中」または「強」などの適切なレベルに分けられてもよい。第２のグラフ６４０は、ＳＳＬ、ＳＳＨ、または付加的／代替的なキータイプ（例えば、ＲＳＡ、ＤＳＡ等）であり得るキータイプ（例えば、キータイプ５３０）を表すパイ図であり得る。第３のグラフ６５０は、キーの有効期限（例えば、有効期限５４０）を表す棒グラフであり得る。

表示スクリーン６００はさらに、ブロックＢ３４０に従って、暗号化報告６１０または特定の暗号化報告６１０に関連するキー情報をダウンロードまたはエクスポートするための少なくとも１つのユーザインタラクティブ素子（例えば、ダウンロード素子６９５）を含んでよい。

図示され説明された種々の実施形態は、請求項の種々の特徴を例示するための例としてのみ提供されている。しかしながら、いずれの所与の実施形態に関して図示され説明された特徴も、その関連する実施形態に必ずしも限定されるわけではなく、図示され説明されるその他の実施形態と共に、または組み合わせて用いられてもよい。さらに、請求項は、いずれの1つの実施形態によっても限定されることを意図していない。

上記の説明された方法およびプロセス流れ図は、単に例示的な例として提供されたものであり、種々の実施形態のステップが、提示された順に実行されなければならないということを要求する意図も意味する意図もない。当業者には理解されるであろうように、上記の実施形態におけるステップの順は、任意の順に実行されてよい。「その後（ｔｈｅｒｅａｆｔｅｒ）」、「次いで（ｔｈｅｎ）」「次に（ｎｅｘｔ）」等の語は、ステップの順を限定する意図はなく、これらの語は単に、読者に、方法の説明を通してガイドするために用いられている。さらに、請求項に記載された、例えば、冠詞「1つの（ａ）」、「1つの（ａｎ）」または「その（ｔｈｅ）」を用いた単数の要素への言及は、その要素を単数に限定するものと解釈されるべきではない。

本明細書で開示される実施形態に関連して説明された種々の例示的論理ブロック、モジュール、回路およびアルゴリズムステップは、電子的ハードウェア、コンピュータソフトウェア、または両方の組み合わせとして実装されてよい。ハードウェアとソフトウェアのこの互換性を明確に説明するために、ブロック、モジュール、回路およびステップは一般的にそれらの機能性に関して説明されてきた。そのような機能性がハードウェアとして実装されるのか、またはソフトウェアとして実装されるのかは、特定のアプリケーションと、全体的なシステムに課される設計制約にかかっている。当業者ならば、記載された機能性を、それぞれの特定のアプリケーションに対して様々な方式で実装し得るであろうが、そのような実装に関する判断は、本発明の範囲からの逸脱を招くと解釈されるべきではない。

本明細書で開示される実施形態に関連して説明された種々の例示的ロジック、論理ブロック、モジュールおよび回路を実装するために用いられるハードウェアは、汎用プロセッサ、デジタル信号プロセッサ（ＤＳＰ）、特定用途向け集積回路（ＡＳＩＣ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）または他のプログラマブルロジックデバイス、離散ゲートまたはトランジスタロジック、離散ハードウェアコンポーネント、または、本明細書に記載される機能を実行することを目指したそれらの任意の組み合わせで実装または実行されてよい。汎用プロセッサはマイクロプロセッサであり得るが、代替的に、プロセッサは任意の従来型プロセッサ、コントローラ、マイクロコントローラまたはステートマシンであってよい。プロセッサは、コンピューティングデバイスの組み合わせとして実装されてもよく、例えば、1つのＤＳＰと1つのマイクロプロセッサの組み合わせ、複数のマイクロプロセッサの組み合わせ、ＤＳＰコアと併用した１つ以上のマイクロプロセッサの組み合わせ、または任意のそのような構成で実装されてよい。代替的に、いくつかのステップまたは方法は、所与の機能専用の回路系によって実行されてもよい。

いくつかの例示的実施形態において、記載される機能はハードウェア、ソフトウェア、ファームウェア、またはそれらの任意の組み合わせで実装されてよい。ソフトウェアで実装される場合、機能は１つ以上の命令またはコードとして、非一時的コンピュータ可読記憶媒体または非一時的プロセッサ可読記憶媒体に記憶されてよい。本明細書で開示される方法のステップまたはアルゴリズムは、非一時的コンピュータ可読媒体またはプロセッサ可読記憶媒体に存在し得るプロセッサで実施可能なソフトウェアで具現化されてよい。非一時的コンピュータ可読またはプロセッサ可読記憶媒体は、コンピュータまたはプロセッサによってアクセスされ得る任意の記憶媒体であってよい。限定はしない例として、そのような非一時的コンピュータ可読またはプロセッサ可読記憶媒体は、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ、フラッシュメモリ、ＣＤ−ＲＯＭまたは他の光学的ディスク記憶装置、磁気ディスク記憶装置または他の磁気記憶装置、または、コンピュータによってアクセスされ得る命令またはデータ構造の形式の所望のプログラムコードを記憶するために用いられ得る任意の他の媒体を含み得る。本明細書で用いるディスク（ｄｉｓｋ）およびディスク（ｄｉｓｃ）は、コンパクトディスク（ＣＤ）、レーザーディスク（登録商標）、光ディスク、デジタル多用途ディスク（ＤＶＤ）、フロッピーディスク、およびブルーレイ（登録商標）ディスクを含み、ディスク（ｄｉｓｋ）は通常データを磁気的に再生するのに対し、ディスク（ｄｉｓｃ）はデータをレーザーで光学的に再生する。上記の組み合わせも、非一時的コンピュータ可読媒体およびプロセッサ可読媒体の範囲内に含まれる。さらに、方法またはアルゴリズムの操作は、コンピュータプログラム製品に組み込まれ得る非一時的プロセッサ可読記憶媒体および／またはコンピュータ可読記憶媒体上に、コードおよび／または命令の1つまたは任意の組み合わせ、またはセットとして存在してよい。

開示の実施形態の上記の説明は、当業者が本発明を作成または使用できるようにするために提供された。これらの実施形態への種々の改変は、当業者には容易にわかり得るものであり、本明細書に規定された包括的な原理は、本発明の趣旨または範囲から逸脱せずにいくつかの実施形態に適用され得る。したがって、本発明は本明細書に示された実施形態に限定されることを意図しておらず、以下の特許請求の範囲および本明細書で開示される原理および新規の特徴に整合する最も広い範囲に一致することを意図している。

Claims (16)

1. キー情報を発見するための方法であって、コンピュータが、
   少なくとも１つのセグメントに対して、その少なくとも１つのセグメントの暗号化アセットそれぞれに対応する暗号化キーに関連するキー情報を要求し、
   前記少なくとも１つのセグメントから、前記要求の結果として、前記暗号化キーに関連する前記キー情報を含む出力データをネットワークマッピングフォーマットで受け取り、
   前記出力データから前記暗号化キーに関連する前記キー情報を抽出し、
   前記キー情報を記憶し、
   保存された前記キー情報に基づいてキー管理業務を実行する、
   ことを含み、
   前記キー情報は、デバイス識別子、デバイスロケーション、キータイプ、キー起源、キー長さ、またはキー強度のうち少なくとも１つを含み、
   前記ネットワークマッピングフォーマットはネットワークマッパー（ＮＭＡＰ）フォーマットであり、
   前記暗号化キーに関連する前記キー情報は、前記ＮＭＡＰフォーマットの前記出力データのデータ層内から抽出される、
   ことを特徴とする方法。
2. さらに、前記コンピュータが、少なくとも１つのセグメントを選択するためのユーザ入力を受け取り、選択された少なくとも１つのセグメントに対して前記キー情報を要求することを含む、請求項１に記載の方法。
3. 前記少なくとも１つのセグメントはネットワークマッパー（ＮＭＡＰ）を用いて、前記キー情報が要求される、請求項１に記載の方法。
4. 暗号化アセットが、ファイルサーバ、ウェブサーバ、アプリケーションサーバ、証明書サーバ、メールサーバ、ディレクトリサーバ、ファイル転送プロトコル（ＦＴＰ）サーバ、データベース、管理サーバ、Ｅコマースサーバ、またはエンドユーザデバイスのうち少なくとも２つを含む、請求項１に記載の方法。
5. 前記キー管理業務は、前記コンピュータが、少なくとも１つの暗号化に関する報告を、前記キー情報に基づいて生成することを含む、請求項１に記載の方法。
6. 前記キー情報の１または複数の特徴を表示する前記暗号化に関する報告は、前記コンピュータによって生成されたウェブページに含まれる、請求項５に記載の方法。
7. 前記キー管理業務は、前記コンピュータが、前記キー情報をエクスポートすることを含む、請求項１に記載の方法。
8. 前記キー管理業務は、前記コンピュータが、前記キー情報に基づいてキーを統合することを含む、請求項１に記載の方法。
9. 実行された場合に、プロセッサに、キー情報を発見するための方法を実行させるように、プロセッサ可読命令を包含する非一時的コンピュータ可読媒体であって、
   前記方法が、
   少なくとも１つのセグメントに対して、その少なくとも１つのセグメントの暗号化アセットそれぞれに対応する暗号化キーに関連するキー情報を要求し、
   前記少なくとも１つのセグメントから、前記要求の結果として、前記暗号化キーに関連する前記キー情報を含む出力データをネットワークマッピングフォーマットで受け取り、
   前記出力データから前記暗号化キーに関連する前記キー情報を抽出し、
   前記キー情報を記憶し、
   保存された前記キー情報に基づいてキー管理業務を実行することを含み、
   前記キー情報は、デバイス識別子、デバイスロケーション、キータイプ、キー起源、キー長さ、またはキー強度のうち少なくとも１つを含み、
   前記ネットワークマッピングフォーマットはネットワークマッパー（ＮＭＡＰ）フォーマットであり、
   前記暗号化キーに関連する前記キー情報は、前記ＮＭＡＰフォーマットの前記出力データのデータ層内から抽出される、
   ことを特徴とする非一時的コンピュータ可読媒体。
10. キー情報を発見するためのサーバであって、
    データベースと、
    プロセッサと、
    前記プロセッサに結合され、プロセッサ可読命令を格納するメモリと、を備え、
    前記プロセッサによって前記プロセッサ可読命令が実行されると、前記プロセッサが、
    少なくとも１つのセグメントに対して、その少なくとも１つのセグメントの暗号化アセットそれぞれに対応する暗号化キーに関連するキー情報を要求し、
    前記少なくとも１つのセグメントから、前記要求の結果として、前記暗号化キーに関連する前記キー情報を含む出力データをネットワークマッピングフォーマットで受け取り、
    前記出力データから前記暗号化キーに関連する前記キー情報を抽出し、
    前記キー情報を記憶し、
    保存された前記キー情報に基づいてキー管理業務を実行するように構成されており、
    前記キー情報は、デバイス識別子、デバイスロケーション、キータイプ、キー起源、キー長さ、またはキー強度のうち少なくとも１つを含み、
    前記ネットワークマッピングフォーマットはネットワークマッパー（ＮＭＡＰ）フォーマットであり、
    前記暗号化キーに関連する前記キー情報は、前記ＮＭＡＰフォーマットの前記出力データのデータ層内から抽出される、
    ことを特徴とするサーバ。
11. 前記プロセッサはさらに、前記プロセッサ可読命令で、前記少なくとも１つのセグメントを選択するためのユーザ入力を受け取り、選択された少なくとも１つのセグメントに対して前記キー情報を要求するように構成されている、
    請求項１０に記載のサーバ。
12. 前記プロセッサは、前記プロセッサ可読命令で、前記少なくとも１つのセグメントに対して、ネットワークマッパー（ＮＭＡＰ）を用いて前記キー情報を要求するように構成される、
    請求項１０に記載のサーバ。
13. 前記暗号化アセットが、ファイルサーバ、ウェブサーバ、アプリケーションサーバ、証明書サーバ、メールサーバ、ディレクトリサーバ、ファイル転送プロトコル（ＦＴＰ）サーバ、データベース、管理サーバ、Ｅコマースサーバ、またはエンドユーザデバイスのうち少なくとも２つを含む、請求項１０に記載のサーバ。
14. 少なくとも１つのセグメントの暗号化アセットに用いられるキーに対応するキー情報を発見し管理する方法であって、
    前記少なくとも１つのセグメントの前記暗号化アセットそれぞれに対応するキーに関連するキー情報であってネットワークマッパー（ＮＭＡＰ）を用いて取得されたキー情報を含む出力データをネットワークマッピングフォーマットで取得し、
    ネットワークマッピングフォーマットの前記出力データのデータ層内から、前記キーに関連し、デバイス識別子、デバイスロケーション、キータイプ、キー起源、キー長さ、またはキー強度のうち少なくとも１つを含む前記キー情報を抽出し、
    前記キー情報を記憶し、
    保存された前記キー情報に基づいてキー管理業務を実行する、
    ことを含み、
    前記キー管理業務は、
    少なくとも１つの暗号化報告をキー情報に基づいて生成すること、
    キー情報をエクスポートすること、または、
    キーをキー情報に基づいて統合すること、
    のうち少なくとも１つを含む、
    ことを特徴とする方法。
15. 前記キー情報を含む前記出力データを取得することは、
    前記少なくとも１つのセグメントに対して、前記キーに関連する前記キー情報を要求し、
    前記少なくとも１つのセグメントから、前記キーに関連する前記キー情報を含む前記出力データを、前記要求の結果としてネットワークマッピングフォーマットで受け取る、
    ことを含む請求項１４に記載の方法。
16. 前記暗号化アセットのそれぞれが、少なくとも１つのセグメントに含まれるように設計されている、請求項１に記載の方法。

Images