JP7373560B2 - 相乗的なｄｎｓセキュリティ更新 - Google Patents

Description

関連出願の相互参照
本出願は、２０１９年９月１１日に出願された「ＳＹＮＥＲＧＩＳＴＩＣ ＤＮＳ ＳＥＣＵＲＩＴＹ ＵＰＤＡＴＥ」と題された米国特許出願第１６／５６７，４３５号の利益および優先権を主張し、これは、２０１８年１１月３０日に出願された「ＳＹＮＥＲＧＩＳＴＩＣ ＤＮＳ ＳＥＣＵＲＩＴＹ ＵＰＤＡＴＥ」と題された米国特許出願第６２／７７４，１０２号の利益を主張し、それらの内容は参照により全体が本明細書に組み込まれる。

本実施形態は、概して、エッジネットワークデバイス上のローカルセキュリティポリシーを介した脅威検知に基づいて、ネットワーク内で相乗的なドメインネームシステム（ＤＮＳ）セキュリティ更新を提供するシステムおよび方法に関する。

エンタープライズネットワークの展望は絶えず進化している。モバイルおよびモノのインターネット（ＩｏＴ）デバイスのトラフィック、サービスとしてのソフトウェア（ＳａａＳ）アプリケーション、およびクラウドの採用に対する需要が高まっている。さらに、セキュリティのニーズが高まっており、特定のアプリケーションでは、適切な動作のために優先順位付けおよび最適化が必要になる場合がある。この複雑さが増すにつれて、高い可用性および拡張性を提供しながら、コストおよび運用費用を削減することが求められている。

従来のＷＡＮアーキテクチャは、この進化する状況下で大きな課題に直面している。従来のＷＡＮアーキテクチャは通常、複数のマルチプロトコルラベルスイッチング（ＭＰＬＳ）トランスポート、またはアクティブ／バックアップ方式で使用されるインターネットまたはロングタームエボリューション（ＬＴＥ）リンクとペアになったＭＰＬＳで構成され、ほとんどの場合、インターネットまたはＳａａＳトラフィックがインターネットアクセス用の中央データセンターまたは地域ハブに返送される。これらのアーキテクチャの問題には、不十分な帯域幅、高い帯域幅コスト、アプリケーションダウンタイム、ＳａａＳパフォーマンスの低下、複雑な動作、クラウド接続の複雑なワークフロー、長い展開時間およびポリシーの変更、アプリケーションの可視性の制限、ネットワークの保護の難しさが含まれる。

近年、これらの課題に対処するために、ソフトウェア定義のワイドエリアネットワーク（ＳＤ－ＷＡＮ）ソリューションが開発された。ＳＤ－ＷＡＮは、ソフトウェア定義ネットワーク（ＳＤＮ）のより広範なテクノロジーの一部である。ＳＤＮは、ネットワーク管理への集中型アプローチであり、これは、基礎となるネットワークインフラストラクチャをアプリケーションから除外できる。このデータプレーン転送とコントロールプレーンの分離により、ネットワークオペレータはネットワークのインテリジェンスを一元化し、さらなるネットワークの自動化、運用の簡素化、一元化されたプロビジョニング、監視、およびトラブルシューティングを提供し得る。ＳＤ－ＷＡＮは、ＳＤＮのこれらの原則をＷＡＮに適用できる。

ＳＤ－ＷＡＮを保護するために、クラウド配信される安全なインターネットゲートウェイを使用して、インターネット上の脅威に対する第１の防衛線を提供できる。クラウド配信される安全なインターネットゲートウェイには、ドメインネームシステム（ＤＮＳ）セキュリティプラットフォーム、インターネットまたはプライベートネットワークに接続されたコンピュータ、サービス、または他のリソース用の階層型分散ネーミングシステムを含み得る。ＤＮＳは、様々な情報を、参加しているエンティティの各々に割り当てられたドメインネームに関連付ける。最も顕著に、それはより容易に記憶されるドメインネームを、基礎となるネットワークプロトコルでコンピュータサービスおよびデバイスを位置特定し、識別するために必要な数値のＩＰアドレスに変換する。

Ｃｉｓｃｏ ＵｍｂｒｅｌｌａなどのＤＮＳセキュリティプラットフォームは、ネットワーク上のすべてのデバイスにわたるインターネットアクティビティを完全に可視化し、脅威がネットワークに到達する前にブロックし得る。ＤＮＳセキュリティプラットフォームは、接続が確立される前に、フィッシング、マルウェア感染を阻止し、悪意のある宛先への要求をプ積極的にブロックできる。より具体的には、ＤＮＳは、ドメインネームを割り当て、各ドメインに権限のあるネームサーバを指定することにより、それらのネームをインターネットリソースにマッピングする責任を委任する。ネットワーク管理者は、割り振られたネームスペースのサブドメインに対する権限を他のネームサーバに委任してもよい。このメカニズムは、分散型でフォールトトレラントなサービスを提供し、単一の大規模な中央データベースを回避するように設計されている。

様々なＤＮＳセキュリティプラットフォーム（Ｃｉｓｃｏ Ｕｍｂｒｅｌｌａ、ＯｐｅｎＤＮＳなど）は、ＤＮＳに加えて追加のセキュリティ機能を提供する。多くの場合、これらのＤＮＳセキュリティプラットフォームはクラウドサービスとして提供されてもよい。これらのＤＮＳセキュリティプラットフォームは、例えば、インターネットのインフラストラクチャを使用して、接続が確立される前に悪意のある宛先をブロックするように構成されてもよい。プラットフォームはＤＮＳを使用して、すべてのポートおよびプロトコル、さらにはＩＰへの直接接続を介した脅威を阻止してもよい。プラットフォームは、すべてのウェブトラフィックをプロキシする代わりに、より詳細なＵＲＬおよびファイル検査のために、リスクの高いドメインに要求をルーティングしてもよい。プラットフォームは、遅延またはパフォーマンスへの影響なしに効果的に保護できる。デバイスが他の方法で感染した場合でも、プラットフォームは攻撃者のサーバへの接続を妨げてもよい。プラットフォームは、データ抜き取りおよびランサムウェア暗号化の実行をさらに停止できる。

ＤＮＳセキュリティプラットフォームは、定期的に更新されるリモートでホストされた信頼できる情報源に依存していることが多く、新たな脅威に動的に対応する準備ができていない。例えば、ＤＮＳセキュリティプラットフォームは、脅威に関連付けられたＩＰおよび／またはドメインのリストを維持してもよく、フローがセキュリティプラットフォームを通過すると、アプリケーションの実際の動作に基づいて脅威を検知する統合脅威防御（ＵＴＤ）ポリシーによって処理される。計算量の多いＵＴＤプロセスの結果は、ローカルまたはリモートのセキュリティＤＮＳポリシーの更新には使用されない。ＵＴＤによって生成される情報は非常に豊富なデータセットであり、直接収集すると、深刻な規模の課題が発生する。

ＵｍｂｒｅｌｌａなどのＤＮＳセキュリティプラットフォームはそれぞれ、計算量がはるかに多く、また、より正確である、ＩＰＳ／ＩＤＳ、アプリファイアウォールおよびＡＭＰを含む他の複数の機能などの、ＵＲＬが脅威に関連付けられている情報を更新するための独自のロジックを有し得る。いくつかの階層アーキテクチャでは、ＤＮＳセキュリティプラットフォームを通過したが、他のセキュリティ機能によってフラグが立てられた脅威に関する情報をノード間で集約できる。したがって、ＤＮＳセキュリティプラットフォームが情報を集約して、新たな脅威に対するネットワーク内のすべてのノードの応答性を改善し、計算量の多いセキュリティチェックの重複を回避し、ＤＮＳセキュリティプラットフォームのリモートサーバによって維持される信頼スコアを改善できることが望ましく、有利である。

本開示ならびにその特徴および利点のより完全な理解を提供するために、添付の図面と併せて、以下の説明を参照する。
一実施形態による、高レベルネットワークアーキテクチャの例を示す。 一実施形態による、ＤＮＳセキュリティシステムの高レベルアーキテクチャの例を示す。 一実施形態による、ネットワークトポロジーの例を示す。 一実施形態による、オーバーレイネットワークを管理するためのプロトコルの動作を示す図の例を示す。 一実施形態による、ローカルワイドエリアネットワーク（ＷＡＮ）においてＤＮＳセキュリティ更新がどのように実行され得るかを示すソフトウェア定義のワイドエリアネットワーク（ＳＤ－ＷＡＮ）の図を示す。 一実施形態による、エッジネットワークデバイス上で実行できるセキュリティポリシーのポリシー階層を示す図である。 一実施形態による、ＳＤ－ＷＡＮ内のネットワークコントローラアプライアンスを介してセキュリティポリシーを伝播するためのプロセスのフロー図の例を示す。 一実施形態による、ＳＤ－ＷＡＮ内のエッジネットワークデバイスを介してセキュリティポリシーを伝播するためのプロセスのフロー図の別の例を示す。 一実施形態による、ネットワークデバイスの一例を示す。 いくつかの実施形態による、システムの例を示す。 いくつかの実施形態による、システムの例を示す。

以下に記載される詳細な説明は、実施形態の様々な構成の説明として意図されており、本開示の主題を実施し得る唯一の構成を表すことを意図するものではない。添付の図面は本明細書に組み込まれ、詳細な説明の一部を構成する。詳細な説明は、本開示の主題のより完全な理解を提供することを目的とした特定の詳細を含む。しかしながら、本開示の主題は、本明細書に記載された特定の詳細に限定されず、これらの詳細なしで実施され得ることは明らかかつ明白であろう。場合によっては、本開示の主題の概念を曖昧にすることを回避するために、構造および構成要素がブロック図の形で示されている。

概要
本発明の態様は独立請求項に記載されており、好ましい特徴は従属請求項に記載されている。１つの態様の特徴は、単独で、または他の態様と組み合わせて、各態様に適用することができる。

システムおよび方法は、相乗的なＤＮＳセキュリティ更新を提供する。システムは、禁止の統合脅威防御（ＵＴＤ）結果を収集することと、複数のＳＤ－ＷＡＮエッジにわたって脅威が検知されたときにローカルセキュリティブラックリストへの更新をトリガするルールベースのモデルを展開することであって、更新が脅威シグネチャを含む、展開することと、脅威をまだ認識していない他のデバイスに更新をプッシュすることと、を行うように構成されてもよい。

一実施形態による、コンピュータ実装方法は、ソフトウェア定義のワイドエリアネットワーク（ＳＤ－ＷＡＮ）のネットワークコントローラアプライアンス１３２を介して、エッジネットワークデバイス１４２ａによって検知された脅威に関連付けられた脅威シグネチャ１０５を含む、エッジネットワークデバイス１４２ａからのアップストリーム更新１０７ａを受信することと、検知された処理を禁止の統合脅威防御（ＵＴＤ）結果としてローカルドメインネームシステム（ＤＮＳ）ブラックリストに追加するために、一時的な更新をトリガすることと、脅威シグネチャ１０５を含むダウンストリーム更新１０７ｂを、脅威をまだ認識していない他のエッジネットワークデバイス１４２ｂを含むデバイスグループにプッシュすることと、を含み得る。

コンピュータ実装方法は、複数のエッジネットワークデバイス１４２にわたって脅威が検知されたときに、検知された脅威をローカルＤＮＳブラックリストに追加するために、一時的な更新がトリガされるルールベースのモデルを展開することをさらに含み得る。検知された脅威は、エッジネットワークデバイス上でローカルに実装された高度なセキュリティポリシー１０３ｂによって検知することができ、ドメインネームシステムセキュリティプラットフォームを有する関連付けられたクラウドセキュリティシステム１０１によって検知されなかった。ローカルに実装された高度なセキュリティポリシー１０３ｂは、統合脅威防御（ＵＴＤ）、ＩＰＳｅｃ／ＳＳＬ侵入検知および防止システム（ＩＰＳ／ＩＤＳ）、高度なマルウェア防御（ＡＭＰ）、ウイルス対策保護（ＡＶ）、データ損失防止（ＤＬＰ）、アプリケーションファイアウォール（ＡｐｐＦＷ）、または暗号化トラフィック分析（ＥＴＡ）のポリシーのうちの１つであり得る。他のエッジネットワークデバイス１４２ｂは、エッジネットワークデバイス１４２ａのパートナーＶＰＮに関連付けられ得る。

コンピュータ実装方法は、ネットワークコントローラアプライアンス１３２で禁止の統合脅威防御（ＵＴＤ）結果のストリームを収集することと、禁止のＵＴＤ結果のストリームに関連付けられた、前処理され、要約されたＤＮＳブラックリストを、関連付けられたクラウドセキュリティシステム１０１に送信することと、をさらに含み得る。アップストリーム更新およびダウンストリーム更新は、ＯＭＰメッセージのアドレスファミリーの新しいメッセージタイプであり得る。デバイスグループは、ローカルに実装された高度なセキュリティポリシー１０３ｂが有効化されていないＳＤ－ＷＡＮ内の他のエッジネットワークデバイスに制限される。脅威シグネチャ１０５は、ＩＰアドレス、ポート、プロトコル、およびパケット長を含む他の属性を含むプロトコルヘッダフィールドを含み得る。

一実施形態によるシステムは、１つ以上のプロセッサと、１つ以上の非一時的コンピュータ可読媒体であって、１つ以上の非一時的コンピュータ可読媒体は、動作の実行を実行または制御するために１つ以上のプロセッサによって実行可能である、１つ以上の非一時的コンピュータ可読媒体に格納されたコンピュータ可読命令を含み、動作が、ソフトウェア定義のワイドエリアネットワークのネットワークコントローラアプライアンス１３２を介して、エッジネットワークデバイス１４２ａによって検知された脅威に関連付けられた脅威シグネチャ１０５を含む、エッジネットワークデバイス１４２ａからのアップストリーム更新１０７ａを受信することと、検知された処理を禁止の統合脅威防御（ＵＴＤ）結果としてローカルドメインネームシステム（ＤＮＳ）ブラックリストに追加するために、一時的な更新をトリガすることと、脅威シグネチャ１０５を含むダウンストリーム更新１０７ｂを、脅威をまだ認識していない他のエッジネットワークデバイス１４２ｂを含むデバイスグループにプッシュすることと、を含み得る、１つ以上の非一時的コンピュータ可読媒体と、を備え得る。

一実施形態によるエッジネットワークデバイス１４２は、１つ以上のプロセッサと、１つ以上の非一時的コンピュータ可読媒体であって、１つ以上の非一時的コンピュータ可読媒体は、動作の実行を実行または制御するために１つ以上のプロセッサによって実行可能である、１つ以上の非一時的コンピュータ可読媒体に格納されたコンピュータ可読命令を含み、動作が、ドメインに関して、エッジネットワークデバイス１４２上のローカルドメインネームシステム（ＤＮＳ）ブラックリスト／ホワイトリストをクエリすることと、ドメインがローカルＤＮＳブラックリスト／ホワイトリスト上にないという第１の回答に応じて、ドメインに関するクエリを、関連付けられたクラウドセキュリティシステム１０１での高度なＤＮＳセキュリティ４１４にプッシュすることと、ドメインが高度なＤＮＳセキュリティ４１４でクリアされるという第２の回答に応じて、エッジネットワークデバイス１４２上でローカルに実装された高度なセキュリティポリシー１０３ｂをクエリすることと、ローカルに実装された高度なセキュリティポリシー１０３ｂを介して、関連付けられたドメインに関する脅威またはクリアランスを検知することと、検知された脅威またはクリアランスに関連付けられたシグネチャ１０５を含むエッジネットワークデバイス１０７ａからのアップストリーム更新を、ソフトウェア定義のワイドエリアネットワークのネットワークコントローラアプライアンス１３２に送信することと、を含む、１つ以上の非一時的コンピュータ可読媒体と、を備え得る。エッジネットワークデバイス１４２の動作は、以下のステップ、脅威に関して、クラウドセキュリティシステム１０１のＤＮＳブラックリスト／ホワイトリストを更新するように、関連付けられたクラウドセキュリティシステム１０１に通知することと、検知された脅威を無効化し、ドメインをローカルＤＮＳホワイトリスト上に配置するために、ネットワークコントローラアプライアンス１３２から更新を受信することネットワークコントローラアプライアンスから更新を受信することと、をさらに含み得る。

例示的な実施形態
図１Ａは、本技術の態様を実装するためのネットワークアーキテクチャ１００Ａの例を示している。ネットワークアーキテクチャ１００Ａの実施例は、Ｃｉｓｃｏ（登録商標）ソフトウェア定義のワイドエリアネットワーク（ＳＤ－ＷＡＮ）アーキテクチャである。しかしながら、当業者は、ネットワークアーキテクチャ１００Ａおよび本開示で論じられる任意の他のシステムについて、同様のまたは代替的な構成での追加またはより少ない構成要素があり得ることを理解するであろう。本開示で提供される図および実施例は、簡潔かつ明確であることを目的とする。他の実施形態は、異なる数および／またはタイプの要素を含み得るが、当業者は、そのような変形が本開示の範囲から逸脱しないことを理解するであろう。

この例では、ネットワークアーキテクチャ１００Ａは、オーケストレーションプレーン１０２と、管理プレーン１２０と、制御プレーン１３０と、データプレーン１４０と、を備え得る。オーケストレーションプレーン１０２は、オーバーレイネットワークにおけるエッジネットワークデバイス１４２（例えば、スイッチ、ルータなど）の自動オンボーディングを支援し得る。オーケストレーションプレーン１０２は、１つ以上の物理または仮想ネットワークオーケストレータアプライアンス１０４を含み得る。ネットワークオーケストレータアプライアンス（複数可）１０４は、エッジネットワークデバイス１４２の初期認証を実行し、制御プレーン１３０とデータプレーン１４０のデバイスとの間の接続を調整し得る。いくつかの実施形態では、ネットワークオーケストレータアプライアンス１０４（複数可）はまた、ネットワークアドレス変換（ＮＡＴ）の後方に位置するデバイスの通信を可能にし得る。いくつかの実施形態では、物理または仮想Ｃｉｓｃｏ（登録商標）ＳＤ－ＷＡＮｖＢｏｎｄアプライアンスは、ネットワークオーケストレーターアプライアンス（複数可）１０４として動作し得る。

管理プレーン１２０は、ネットワークの中央構成および監視を担当し得る。管理プレーン１２０は、１つ以上の物理または仮想ネットワーク管理アプライアンス１２２を含み得る。いくつかの実施形態では、ネットワーク管理アプライアンス（複数可）１２２は、グラフィカルユーザインターフェースを介してネットワークの集中管理を提供して、ユーザがエッジネットワークデバイス１４２およびリンク（例えば、インターネットトランスポートネットワーク１６０、アンダーレイおよびオーバーレイネットワーク内のＭＰＬＳネットワーク１６２、４Ｇ／ＬＴＥネットワーク１６４）を監視し、構成し、かつ維持することを可能にし得る。ネットワーク管理アプライアンス（複数可）１２２は、マルチテナンシーをサポートし、異なるエンティティ（例えば、企業、企業内の部門、部門内のグループなど）に関連付けられた論理的に分離されたネットワークの集中管理を可能にし得る。あるいは、またはさらに、ネットワーク管理アプライアンス（複数可）１２２は、単一のエンティティのための専用のネットワーク管理システムであり得る。いくつかの実施形態では、物理または仮想Ｃｉｓｃｏ（登録商標）ＳＤ－ＷＡＮｖＭａｎａｇｅアプライアンスは、ネットワーク管理アプライアンス（複数可）１２２として動作し得る。

コントロールプレーン１３０は、ネットワークトポロジーを構築し、かつ維持し、トラフィックが流れる場所を決定し得る。コントロールプレーン１３０は、１つ以上の物理または仮想ネットワークコントローラアプライアンス（複数可）１３２を含み得る。ネットワークコントローラアプライアンス（複数可）１３２は、各ネットワークデバイス１４２への安全な接続を確立し、制御プレーンプロトコル（例えば、オーバーレイ管理プロトコル（ＯＭＰ）（以下でさらに詳細に説明する）、オープンショートパスファースト（ＯＳＰＦ）、インターミディエイト・システム・トゥ・インターミディエイト・システム（ＩＳ－ＩＳ）、ボーダーゲートウェイプロトコル（ＢＧＰ）、マルチキャストルーティングプロトコル（ＰＩＭ）、インターネットグループ管理プロトコル（ＩＧＭＰ）、インターネット制御通知プロトコル（ＩＣＭＰ）、アドレス解決プロトコル（ＡＲＰ）、双方向フォワーディング検出（ＢＦＤ）、リンク集約制御プロトコル（ＬＡＣＰ）など）を介してルートおよびポリシー情報を配信し得る。いくつかの実施形態では、ネットワークコントローラアプライアンス（複数可）１３２は、ルートリフレクタとして動作し得る。ネットワークコントローラアプライアンス（複数可）１３２はまた、エッジネットワークデバイス１４２間およびエッジネットワークデバイス１４２の間のデータプレーン１４０内の安全な接続を調整し得る。例えば、いくつかの実施形態では、ネットワークコントローラアプライアンス（複数可）１３２は、ネットワークデバイス１４２（複数可）の間で暗号鍵情報を配信し得る。これにより、ネットワークは、インターネット鍵交換（ＩＫＥ）なしで、安全なネットワークプロトコルまたはアプリケーション（例えば、インターネットプロトコルセキュリティ（ＩＰＳｅｃ）、トランスポート層セキュリティ（ＴＬＳ）、セキュアシェル（ＳＳＨ）など）をサポートし、ネットワークのスケーラビリティを有効化すすることが可能になり得る。いくつかの実施形態では、物理または仮想Ｃｉｓｃｏ（登録商標）ＳＤ－ＷＡＮｖＳｍａｒｔコントローラは、ネットワークコントローラアプライアンス（複数可）１３２として動作し得る。

データプレーン１４０は、制御プレーン１３０からの決定に基づいてパケットの転送を担当し得る。データプレーン１４０は、物理または仮想ネットワークデバイスであり得るエッジネットワークデバイス１４２を含み得る。エッジネットワークデバイス１４２は、１つ以上のデータセンターまたはコロケーションセンター１５０、キャンパスネットワーク１５２、ブランチオフィスネットワーク１５４、ホームオフィスネットワーク１５４内などの、またはクラウド（例えば、サービスとしてのインフラストラクチャ（ＩａａＳ）、サービスとしてのプラットフォーム（ＰａａＳ）、ＳａａＳ、および他のクラウドサービスプロバイダーネットワーク）内などの組織の様々なネットワーク環境のエッジで動作し得る。エッジネットワークデバイス１４２は、１つ以上のインターネットトランスポートネットワーク１６０（例えば、デジタル加入者回線（ＤＳＬ）、ケーブルなど）、ＭＰＬＳネットワーク１６２（または他のプライベートパケット交換ネットワーク（例えば、メトロイーサネット、フレームリレー、非同期転送モード（ＡＴＭ）など）、モバイルネットワーク１６４（例えば、３Ｇ、４Ｇ／ＬＴＥ、５Ｇなど）、または他のＷＡＮ技術（例えば、同期光ネットワーク（ＳＯＮＥＴ）、同期デジタル階層（ＳＤＨ）、高密度波長分割多重（ＤＷＤＭ）、または他の光ファイバ技術、リース回線（例えば、Ｔｌ／Ｅｌ、Ｔ３／Ｅ３など）、公衆交換電話網（ＰＳＴＮ）、統合サービスデジタルネットワーク（ＩＳＤＮ）、または他のプライベート回線交換ネットワーク、超小型衛星通信地球局（ＶＳＡＴ）または他の衛星ネットワークなど）を介すなどした、１つ以上のＷＡＮトランスポートを介したサイトの間の安全なデータプレーン接続を提供し得る。エッジネットワークデバイス１４２は、他のタスクの中でもとりわけ、トラフィック転送、セキュリティ、暗号化、サービス品質（ＱｏＳ）、およびルーティング（例えば、ＢＧＰ、ＯＳＰＦ）を担当し得る。いくつかの実施形態では、物理または仮想Ｃｉｓｃｏ（登録商標）ＳＤ－ＷＡＮｖＥｄｇｅルータは、エッジネットワークデバイス１４２として動作し得る。

図１Ｂは、ネットワークアーキテクチャ１００Ａで動作するように構成されたＤＮＳクラウドセキュリティシステム１０１を含むネットワークアーキテクチャ１００Ｂを示している。エッジネットワークデバイス１４２（１４２ａ、１４２ｂ）は、ローカルに実装された様々なセキュリティサービス１０３を有し得る。例えば、エッジネットワークデバイス１４２は、基本的なＤＮＳセキュリティポリシーとしてローカルドメインネームシステム（ＤＮＳ）ブラックリスト／ホワイトリスト１０３ａを実装することができ、これはまた、特定の企業に固有のカスタマイズを可能にし得る。様々なローカルに実装されたセキュリティサービス１０３は、統合脅威防御（ＵＴＤ）、ＩＰＳｅｃ／ＳＳＬ侵入検知および防止システム（ＩＰＳ／ＩＤＳ）、高度なマルウェア防御（ＡＭＰ）、ウイルス対策保護（ＡＶ）、データ損失防止（ＤＬＰ）、アプリケーションファイアウォール（ＡｐｐＦＷ）、または暗号化トラフィック分析（ＥＴＡ）などのより多くのローカルに実装された高度なセキュリティポリシー１０３ｂを含み得、これらは、プラットフォームの機能に基づいて、選択したエッジネットワークデバイス１４２で埋め込まれ、有効化され得る。これらの高度なセキュリティポリシーは、クラウドセキュリティサービス１０１が脅威として識別しなかった可能性のある脅威を識別し得る。また、ＤＮＳクラウドセキュリティシステム１０１は、エッジネットワークデバイス１４２上のＵＴＤポリシーを時々更新し得る（１０９）。高度なＤＮＳセキュリティ４１４を備えたエッジネットワークデバイス１４２は、エッジネットワークデバイス１４２をＤＮＳセキュリティチェックの対象とし、有効な／悪意のないドメインが解決されたＩＰアドレスをＤＮＳ応答として受信するときに、インターネットドメインへのＤＮＳ要求（ローカルドメインがバイパスされてもよい）をＤＮＳクラウドセキュリティシステム１０１にリダイレクトし得る。ＤＮＳクラウドセキュリティシステム１０１は、ＤＮＳクラウドセキュリティシステム１０１がアプリケーショントラフィックを追加のセキュリティチェックを対象としたい場合、プロキシＩＰアドレスを与えてもよい。トンネルを介したアプリケーションセキュリティがエッジネットワークデバイス１４２上に構成されている場合、エッジネットワークデバイス１４２上で受信された選択されたアプリケーショントラフィック（直接インターネットアクセストラフィック）は、ファイアウォール、ＩＰＳなどの追加のセキュリティ関数のためのＤＮＳクラウドセキュリティシステム１０１にトンネリングされ得る。

さらに、ネットワークコントローラアプライアンス１３２は、禁止または許可のＵＴＤ結果を収集し、信頼性スコアの強化および更新に使用するために、前処理され、要約されたＤＮＳブラックリスト／ホワイトリスト１１１をＤＮＳクラウドセキュリティシステム１０１に断続的に送信し得る。

１つ以上のネットワークコントローラアプライアンス１３２は、ネットワークアーキテクチャ１００Ａを管理するように構成されてもよく、以下でさらに詳細に説明するように、特別なオーバーレイ管理プロトコル（ＯＭＰ）を使用することによってすべての制御およびデータポリシーの管理を担当してもよい。脅威は、ローカルに実装されたセキュリティサービス１０３によって検知され得、脅威シグネチャ１０５は、アップストリームＯＭＰメッセージ１０７ａを介してネットワークコントローラアプライアンス１３２にアップストリームで送信し得る。ネットワークコントローラアプライアンス１３２は、（それがサービスを提供している企業に固有である可能性がある）脅威シグネチャ１０５を追加し得、他のエッジネットワークデバイス１４２ｂに伝播するダウンストリームＯＭＰメッセージ１０７ｂを介して脅威シグネチャ１０５をダウンストリームにプッシュし得る。アップストリームおよびダウンストリームＯＭＰメッセージ１０７ａ、１０７は、ＯＭＰメッセージ内のアドレスファミリーの新しいメッセージタイプであり得る。他のエッジネットワークデバイス１４２ｂは、高度なセキュリティポリシーのうちの１つまたはいくつかを実行することができなかった可能性があり、そうでなければ、そのような脅威を検知することができなかった可能性がある。

ＤＮＳクラウドセキュリティシステム１０１のセキュリティサーバからトラフィックを再ルーティングすることにより、ＤＮＳクラウドセキュリティシステム１０１を拡張するための優れた機能が提供され、ＳＤ－ＷＡＮ固有のネットワークコントローラアプライアンス層１３０は、顧客のネットワークトポロジー、デバイスタイプおよび機能、ならびに特定のエッジネットワークデバイス１４２で見られるアプリケーションを考慮に入れ得る。脅威シグネチャは、ＩＰアドレス、ポート、プロトコル、および／またはパケット長などの他の属性などのプロトコルヘッダフィールドを含み得る。これらの脅威シグネチャを受信するエッジネットワークデバイス１４２は、アクセス制御リスト（ＡＣＬ）を使用するトラフィックの基本的な分類を使用し得、一致が見つかった場合、エッジネットワークデバイス１４２は、トラフィックをＤＮＳクラウドセキュリティにリダイレクトする代わりに脅威を防ぐことができこれにより、帯域幅コストが節約され、ＤＮＳクラウドセキュリティシステム１０１のスケーラビリティが改善される。

ネットワークアーキテクチャ１００Ａの動作に関する追加の詳細は、Ｃｉｓｃｏ（登録商標）Ｓｙｓｔｅｍｓ， Ｉｎｃ．の「Ｃｉｓｃｏ（登録商標）ＳＤ－ＷＡＮ Ｄｅｓｉｇｎ Ｇｕｉｄｅ」（２０１８年１０月）および、Ｃｉｓｃｏ（登録商標）Ｓｙｓｔｅｍｓ， Ｉｎｃ．の「Ｃｉｓｃｏ（登録商標）ＳＤ－ＷＡＮ Ｄｅｐｌｏｙｍｅｎｔ Ｇｕｉｄｅ」（２０１８年１０月）、で説明されており、これらは参照により本明細書に組み込まれる。

図２は、ネットワークアーキテクチャ１００Ａの様々な態様を示すためのネットワークトポロジー２００の例を示している。ネットワークトポロジー２００は、管理ネットワーク２０２、一対のネットワークサイト２０４Ａおよび２０４Ｂ（集合的に、２０４）（例えば、データセンター（複数可）１５０、キャンパスネットワーク（複数可）１５２、ブランチオフィスネットワーク（複数可）１５４、ホームオフィスネットワーク（複数可）１５６、クラウドサービスプロバイダネットワー（複数可）など）、および一対のインターネットトランスポートネットワーク１６０Ａおよび１６０Ｂ（総称して、１６０）を含み得る。管理ネットワーク２０２は、１つ以上のネットワークオーケストレータアプライアンス１０４、１つ以上のネットワーク管理アプライアンス１２２、および１つ以上のネットワークコントローラアプライアンス１３２を含み得る。この例では、管理ネットワーク２０２は単一のネットワークとして示されているが、当業者は、管理ネットワーク２０２の各要素が任意の数のネットワークに分散され、かつ／またはサイト２０４と同じ場所に位置し得ることを理解するであろう。この例では、管理ネットワーク２０２の各要素には、トランスポートネットワーク１６０Ａまたは１６０Ｂのいずれかを介して到達し得る。

各サイトは、１つ以上のサイトネットワークデバイス２０８に接続された１つ以上のエンドポイント２０６を含み得る。エンドポイント２０６は、汎用コンピューティングデバイス（例えば、サーバ、ワークステーション、デスクトップコンピュータなど）、モバイルコンピューティングデバイス（例えば、ラップトップ、タブレット、携帯電話など）、ウェアラブルデバイス（例えば、時計、眼鏡または他のヘッドマウントディスプレイ（ＨＭＤ）、イヤーデバイスなど）を含み得る。エンドポイント２０６はまた、農業機械（例えば、家畜追跡および管理システム、給水デバイス、無人航空機（ＵＡＶ）など）、コネクテッドカーおよび他の車両、スマートホームセンサーおよびデバイス（例えば、警報システム、セキュリティカメラ、照明、電化製品、メディアプレーヤー、ＨＶＡＣ機械、ユーティリティメーター、窓、自動ドア、ドアベル、ロックなど）、オフィス機械（例えば、デスクトップ電話、コピー機、ファックス機など）、ヘルスケアデバイス（例えば、ペースメーカー、生体認証センサー、医療機械など）、産業用機械（例えば、ロボット、工場機械、建設機械、産業用センサーなど）、小売機械（例えば、自動販売機、ＰＯＳ（販売時点情報管理）デバイス、ＲＦＩＤ（無線周波数識別）タグなど）、スマートシティデバイス（例えば、街灯、パーキングメーター、廃棄物管理センサーなど）、輸送およびロジスティック機械（例えば、回転式改札口、レンタカートラッカー、ナビゲーションデバイス、在庫モニターなど）などのモノのインターネット（ＩｏＴ）デバイスまたは機械を含み得る。

サイトネットワークデバイス２０８は、物理または仮想スイッチ、ルータ、および他のネットワークデバイスを含み得る。この例では、サイト２０４Ａは１対のサイトネットワークデバイスを含むように示され、サイト２０４Ｂは単一のサイトネットワークデバイスを含むように示されているが、サイトネットワークデバイス２０８は、多層（例えば、コア、配信、アクセス層）、スパインアンドリーフ、メッシュ、ツリー、バス、ハブおよびスポークなどを含む任意のネットワークトポロジー内の任意の数のネットワークデバイスを備え得る。例えば、いくつかの実施形態では、１つ以上のデータセンターネットワークは、Ｃｉｓｃｏ（登録商標）アプリケーションセントリックインフラストラクチャ（ＡＣＩ）アーキテクチャを実装してもよく、かつ／または１つ以上のキャンパスネットワークは、Ｃｉｓｃｏ（登録商標）ソフトウェア定義アクセス（ＳＤ－アクセスまたはＳＤＡ）アーキテクチャを実装してもよい。サイトネットワークデバイス２０８は、エンドポイント２０６を１つ以上のエッジネットワークデバイス１４２に接続することができ、エッジネットワークデバイス１４２を使用して、トランスポートネットワーク１６０に直接接続し得る。

いくつかの実施形態では、「カラー」を使用して個々のＷＡＮトランスポートネットワークを識別することができ、異なるＷＡＮトランスポートネットワークに異なるカラー（例えば、ｍｐｌｓ、ｐｒｉｖａｔｅ１、ビズインターネット、メトロイーサネット、ｌｔｅなど）を割り当てることができる。この例では、ネットワークトポロジー２００は、インターネットトランスポートネットワーク１６０Ａのための「ビズインターネット」と呼ばれるカラー、および、インターネットトランスポートネットワーク１６０Ｂのための「パブリックインターネット」と呼ばれるカラーを利用し得る。

いくつかの実施形態では、各エッジネットワークデバイス１４２は、ネットワークコントローラアプライアンス（複数可）１３２へのデータグラムトランスポート層セキュリティ（ＤＴＬＳ）またはＴＬＳ制御接続を形成し、各トランスポートネットワーク１６０を介して任意のネットワーク制御アプライアンス１３２に接続し得る。いくつかの実施形態では、エッジネットワークデバイス１４２はまた、ＩＰＳｅｃトンネルを介して他のサイト内のエッジネットワークデバイスに安全に接続し得る。いくつかの実施形態では、ＢＦＤプロトコルをこれらのトンネルの各々内で使用して、損失、待ち時間、ジッタ、およびパス障害を検知し得る。

エッジネットワークデバイス１４２上では、カラーを使用して、個々のＷＡＮトランスポートトンネルを識別し、または区別し得る（例えば、単一のエッジネットワークデバイス上で同じカラーを２回使用することはできない）。カラー自体も重要な意味を持つ。例えば、メトロイーサネット、ｍｐｌｓ、ｐｒｉｖａｔｅ１、ｐｒｉｖａｔｅ２、ｐｒｉｖａｔｅ３、ｐｒｉｖａｔｅ４、ｐｒｉｖａｔｅ５、ｐｒｉｖａｔｅ６のカラーは、プライベートネットワークのために、または、トランスポートＩＰエンドポイントのＮＡＴアドレス指定がない場所で使用できるプライベートカラーと見なすことができる（例えば、同じカラーの２つのエンドポイント間にＮＡＴがない場合があるため）。エッジネットワークデバイス１４２がプライベートカラーを使用する場合、ネイティブ、プライベート、アンダーレイＩＰアドレスを使用して他のエッジネットワークデバイスへのＩＰＳｅｃトンネルを構築しようとしてもよい。パブリックカラーは、３ｇ、ｂｉｚ、インターネット、ブルー、ブロンズ、ｃｕｓｔｏｍ１、ｃｕｓｔｏｍ２、ｃｕｓｔｏｍ３、デフォルト、ゴールド、グリーン、ＬＴＥ、パブリックインターネット、レッド、シルバーを含み得る。パブリックカラーは、（ＮＡＴが関与している場合）ポストＮＡＴ ＩＰアドレスへのトンネルを構築するためにエッジネットワークデバイス１４２によって使用されてもよい。エッジネットワークデバイス１４２がプライベートカラーを使用し、他のプライベートカラーと通信するためにＮＡＴを必要とする場合、構成のキャリア設定は、エッジネットワークデバイス１４２がプライベートＩＰアドレスを使用するかパブリックＩＰアドレスを使用するかを指示し得る。この設定を使用すると、一方または両方がＮＡＴを使用しているときに、２つのプライベートカラーでセッションを確立し得る。

図３は、ネットワーク（例えば、ネットワークアーキテクチャ１００）のオーバーレイを管理するためにいくつかの実施形態で使用され得るＯＭＰの動作を示す図３００の例を示す。この例では、ＯＭＰメッセージ／更新にセキュリティの新しいカテゴリのメッセージを含めることができ、ＤＮＳ脅威はセキュリティのサブカテゴリである。エッジネットワークデバイス１４２ａ、３０２Ａおよび３０２Ｂ（総称して、３０２）によって検知された脅威シグネチャ１０５は、ネットワークコントローラアプライアンス１３２とエッジネットワークデバイス１４２Ａおよび１４２Ｂとの間をそれぞれ往来して送信され得、ルートプレフィックス、ネクストホップルート、暗号鍵、ポリシー情報などの制御プレーン情報は、それぞれの安全なＤＴＬＳまたはＴＬＳ接続３０４Ａおよび３０４Ｂを介して交換され得る。ネットワークコントローラアプライアンス１３２は、ルートリフレクタと同様に動作し得る。例えば、ネットワークコントローラアプライアンス１３２は、エッジネットワークデバイス１４２からルートを受信し、それらに任意のポリシーを処理し、適用し、かつ、オーバーレイ内の他のエッジネットワークデバイス１４２にルートをアドバタイズし得る。ポリシーが定義されていない場合、エッジネットワークデバイス１４２はフルメッシュトポロジーと同様に挙動し、各エッジネットワークデバイス１４２は別のサイトで別のエッジネットワークデバイス１４２に直接接続して、各サイトから完全なルーティング情報を受信し得る。

ＯＭＰは、次の３種類のルートをアドバタイズし得る
・エッジネットワークデバイス１４２のローカルサイトまたはサービス側から学習したプレフィックスに対応し得るＯＭＰルート。プレフィックスは、静的ルートもしくは接続ルートとして、またはＯＳＰＦまたはＢＧＰプロトコルなどの内部から発信し、オーバーレイ全体で伝送できるようにＯＭＰに再配信できる。ＯＭＰルートは、トランスポートロケーション（ＴＬＯＣ）情報（ＢＧＰネクストホップＩＰアドレスに類似している可能性がある）などの属性や、発信元、発信者、設定、サイト識別子、タグ、および仮想プライベートネットワーク（ＶＰＮ）などの他の属性をアドバタイズできる。ＯＭＰルートは、それが指すＴＬＯＣがアクティブな場合、転送テーブルにインストールされてもよい。

・トランスポートネットワーク１６０に接続するエッジネットワークデバイス１４２上の論理トンネル終端点に対応し得るＴＬＯＣルート。いくつかの実施形態では、ＴＬＯＣルートは、一意に識別され、ＩＰアドレス、リンクカラー、およびカプセル化（例えば、汎用ルーティングカプセル化（ＧＲＥ）、ＩＰＳｅｃなど）を含む３つ組によって表され得る。システムＩＰアドレス、カラー、およびカプセル化に加えて、ＴＬＯＣルートは、ＴＬＯＣプライベートおよびパブリックＩＰアドレス、キャリア、設定、サイト識別子、タグ、および重みなどの属性を伝送することもできる。いくつかの実施形態では、アクティブなＢＦＤセッションがそのＴＬＯＣに関連付けられている場合、ＴＬＯＣは、特定のエッジネットワークデバイス１４２上でアクティブ状態にあり得る。

・エッジネットワークデバイス１４２のローカルサイトに接続され、サービス挿入で使用するために他のサイトにアクセス可能であってもよいサービス（例えば、ファイアウォール、分散型サービス拒否（ＤＤｏＳ）緩和策、ロードバランサー、侵入防止システム（ＩＰＳ）、侵入検知システム（ＩＤＳ）、ＷＡＮオプティマイザーなど）を表すことができるサービスルート。さらに、これらのルートにはＶＰＮを含まれ得、ＶＰＮラベルを更新タイプで送信して、リモートサイトでサービスされているＶＰＮをネットワークコントローラアプライアンス１３２に通知できる。

図３の例では、ＯＭＰは、エッジネットワークデバイス１４２とネットワークコントローラアプライアンス１３２との間に確立されたＤＴＬＳ／ＴＬＳトンネル３０４上で実行されていることが示されている。さらに、図３００は、ＷＡＮトランスポートネットワーク１６０Ａを介してＴＬＯＣ３０８Ａと３０８Ｃとの間に確立されたＩＰＳｅｃトンネル３０６Ａ、および、ＷＡＮトランスポートネットワーク１６０Ｂを介してＴＬＯＣ３０８ＢとＴＬＯＣ３０８Ｄとの間に確立されたＩＰＳｅｃトンネル３０６Ｂを示す。ＩＰＳｅｃトンネル３０６Ａおよび３０６Ｂが確立されると、それらの各々にわたってＢＦＤを有効化し得る。サービスルートを介して送信される更新は、ＩＰＳｅｃトンネル３０６Ａおよび３０６Ｂでカバーされる。ローカル脅威が検知された場合の更新には、次の２つのタイプがある。（１）フローレベル（任意選択的）－フローパス内の複数のポイントでの二重検査を回避するためのフローベースまたはアプリケーションベースのローカルセキュリティ脅威の伝播、およびＭＰＬＳラベルの形式のメタデータは、フローレベルでＩＰＳｅｃトンネル３０６Ａおよび３０６Ｂにわたって遠端に送信され、ポリシーチェーンを再度通過するのを防ぐことができる。（２）コントローラレベル－ＤＮＳ更新は、ＯＭＰ内でネットワークコントローラアプライアンス１３２に送信され、その結果、他のエッジネットワークデバイス１４２は、脅威情報を備えたそれらのローカルキャッシュで更新され得る。

図４Ａは、一実施形態による、ローカルワイドエリアネットワーク（ＷＡＮ）４０１においてＤＮＳセキュリティ更新がどのように実行され得るかを示すソフトウェア定義のワイドエリアネットワーク（ＳＤ－ＷＡＮ）４００の図を示す。一実施形態では、ローカルＷＡＮ４０１内の第１のエッジネットワークデバイス１４２ａは、トラフィックをローカルドメインネームシステム（ＤＮＳ）ブラックリスト１０３ａ、ＤＮＳクラウドセキュリティシステム１０１を介した高度なＤＮＳセキュリティ４１４、およびローカルに実装された高度なセキュリティポリシー１０３ｂの対象とすることが可能であってもよい。第２のエッジネットワークデバイス１４２ｂはローカルドメインネームシステム（ＤＮＳ）ブラックリスト１０３ａのみを実行することが可能であってもよく、第３のエッジネットワークデバイス１４２ｃはローカルＤＮＳブラックリスト／ホワイトリスト１０３ａ、およびＤＮＳクラウドセキュリティシステム１０１を介した高度なＤＮＳセキュリティ４１４のみを実行することが可能であってもよい。

エンドポイント２０６ａを介したユーザは、特定のドメインにアクセスするための要求４０３を第１のエッジネットワークデバイス１４２ａに送信することができ、ドメインに関連付けられたトラフィックは、そのドメインが悪意のあるものかどうかをクエリするために、第１のエッジネットワークデバイス１４２ａのローカルＤＮＳブラックリスト／ホワイトリスト１０３ａの対象となり得る。ドメインがローカルＤＮＳブラックリスト１０３ａにリストされている場合、トラフィックはブロックされ得、ドメインがリストされていない場合、エッジネットワークデバイス１４２ａは、ドメインをＤＮＳクラウドセキュリティシステム１０１での高度なＤＮＳセキュリティ４１４にプッシュ４０５し得る。再び特定のドメインが、悪意があると見なされない場合、第１のエッジネットワークデバイス１４２ａはローカルに実装された高度なセキュリティポリシー１０３ｂを有するので、第１のエッジネットワークデバイス１４２ａはローカルに実装された高度なセキュリティポリシー１０３ｂを通じてトラフィックをより深いセキュリティ関数の対象とすることができる。ローカルに実装された高度なセキュリティポリシー１０３ｂが、特定のドメインがブロックされるべきであると判断した場合、エッジネットワークデバイス１４２ａは、更新４０７をネットワーク管理アプライアンス１２２に送信し得る。

ネットワーク管理アプライアンス１２２は、ＤＮＳクラウドセキュリティシステム１０１でチェックし（４１１）、ローカルに実装された高度なセキュリティポリシー１０３ｂの判定が、ＤＮＳクラウドセキュリティシステム１０１での高度なＤＮＳセキュリティ４１４の判定と一致するかどうかを決定し得る。そうでない場合、ＤＮＳクラウドセキュリティシステム１０１は、そのセキュリティポリシーを更新するかどうかを決定し得る。高度なＤＮＳセキュリティ４１４はまた、ドメインがクリアされたことを示し、ドメインをホワイトリストに追加し得る。次に、ネットワーク管理アプライアンス１２２は、ドメインをブラックリストに追加するかホワイトリストに追加するかどうかに関わらず、ローカルに実装された高度なセキュリティポリシー１０３ｂを実行する機能を持たない他のエッジネットワークデバイス１４２ｂ、１２ｂｃに、ドメインに関するセキュリティポリシー更新４０９を伝播し得る。ＤＮＳクラウドセキュリティシステム１０１はまた、ドメインがもはや悪意がないことを経時的に決定し、ネットワーク管理アプライアンス１２２を更新して４１１、別のセキュリティポリシー更新４０９をエッジネットワークデバイス１４２に伝播してもよい。さらに、ドメインの脅威が十分に深刻である場合、ＤＮＳクラウドセキュリティシステム１０１は、それがサービスを提供する他のネットワーク４１５に対して、ドメインに関するセキュリティポリシー更新４１３を送信してもよい。

図４Ｂは、一実施形態による、エッジネットワークデバイス１４２上で実行できるセキュリティポリシーのポリシー階層を示す図４５０を示す。ローカルに実装された高度なセキュリティポリシー１０３ｂを実行できるエッジネットワークデバイス１４２の場合、検知された脅威は、他のすべてのエッジネットワークデバイス１４２を備え得る以下の特定のデバイスグループに伝播され得る。ローカルに実装された高度なセキュリティポリシー１０３ｂが有効化されていないエッジネットワークデバイス１４２ｂ、１４２ｃのみ、ローカルＤＮＳブラックリスト／ホワイトリスト１０３ａが有効化されているエッジネットワークデバイス１４２ｂ、１４２ｃ、１４２ｅのみ、またはエッジネットワークデバイスのその他のカスタマイズされたサブセット１４２。

図５Ａおよび５Ｂは、一実施形態による、ＳＤ－ＷＡＮを介してセキュリティポリシーを伝播するためのプロセス５００Ａ、５００Ｂのフロー図の例をそれぞれ示す。当業者は、本明細書で論じられる任意のプロセスについて、特に明記しない限り、様々な実施形態の範囲内で、同様のまたは代替的な順序で、または並行して実行される追加の、より少ない、または代替的なステップがあり得ることを理解する。例えば、ステップ５０２において、１つ以上のネットワークコントローラアプライアンス１３２は、特定のエッジネットワークデバイス１４２ａのローカルに実装された高度なセキュリティポリシー１０３ｂによって検知された脅威に関連付けられた脅威シグネチャ１０５を含み得るアップストリームメッセージ１０７ａを受信し得る。新たな脅威への応答を改善するために、ステップ５０４において、展開されたルールベースのモデルに基づいて、脅威が１つまたは複数のエッジネットワークデバイス１４２にわたって検知されると、一時的な更新がトリガされて、脅威が受信されると、脅威をローカルＤＮＳブラックリストにネットワークコントローラアプライアンス１３２によって収集された禁止のＵＴＤ結果として追加する。

ステップ５０６において、ネットワークコントローラアプライアンス１３２は、学習された脅威の脅威シグネチャ１０５を含み得るダウンストリームメッセージ１０７ｂを、同じネットワーク内の、もしくはその脅威を検知していないパートナーＶＰＮに関連付けられた他のエッジネットワークデバイス１４２ｂおよび／またはブランチに伝播し、プッシュし得る。すべてのエッジネットワークデバイス１４２は、それが検知した脅威に関連するイベントをネットワークコントローラアプライアンス１３２に送信し得る。これらのイベントは、Ｅｌａｓｔｉｃ Ｓｅａｒｃｈデータベースに保存でき、デバイスＩＤ、脅威ＩＤ、ＩＰアドレスなどに基づいてクエリできる。ＥｌａｓｔｉｃＳｅａｒｃｈデータベースは、ネットワークコントローラアプライアンス１３２によって使用され、どのエッジネットワークデバイス１４２がこの脅威を報告していないかを判断できる。例えば、脅威シグネチャ１０５は、パートナーＶＰＮに関連付けられたすべてのデバイスに送信され得る。したがって、１つ以上のネットワークコントローラアプライアンス１３２（例えば、クラウド内に位置するコントローラの１つ以上のインスタンス）は、エッジに隣接するネットワークレベルの監視および分析を可能にし得る。

さらに、１つ以上のネットワークコントローラアプライアンス１３２は、エッジネットワークデバイス１４２とＤＮＳクラウドセキュリティシステム１０１の中央サーバとの間のバッファとして動作し得る。ステップ５０８において、ネットワークコントローラアプライアンス１３２は、禁止のＵＴＤ結果のストリームを収集し、かつ処理し、ステップ５０９において、信頼性スコアの強化および更新に使用するために、前処理され、要約されたＤＮＳブラックリストをＤＮＳクラウドセキュリティシステム１０１に送信し得る。ネットワークコントローラアプライアンス１３２は、ＤＮＳクラウドセキュリティシステム１０１に対して、ホワイトリスト／ブラックリスト内のドメイン／サブドメイン文字列（キー）のリストおよび変更セット（ＤＮＳクラウドセキュリティシステムとの最後の同期からの新しい変更）を維持し得る。前の同期時からの変更のみがＤＮＳクラウドセキュリティシステムに送信される。これにより、新しいセキュリティの脅威への対応が改善され、スケーラブルなデータパイプラインが構築される。これは、ＤＮＳクラウドセキュリティシステム１０１の一元化されたリストを改善するために様々な顧客間で活用され、または、様々なネットワーク１００の脅威パターンを識別するために使用される分析モジュールにおいて活用され得る。

検知された脅威またはクリアランスを特定のエッジネットワークデバイス１４２ａに関するセキュリティポリシーを伝播するために、最初にステップ５１２で、エッジネットワークデバイス１４２ａは、ドメインに関してエッジネットワークデバイス１４２ａ上のローカルＤＮＳブラックリスト／ホワイトリスト１０３ａにクエリすることができる。ステップ５１４において、エッジネットワークデバイス１４２ａは、ドメインがローカルＤＮＳブラックリスト／ホワイトリスト１０３ａにないという第１の応答に応じて、ドメインに関するクエリを、ＤＮＳクラウドセキュリティシステム１０１の高度なＤＮＳセキュリティ４１４にプッシュし得る。ステップ５１６において、エッジネットワークデバイス１４２ａは、ドメインが高度なＤＮＳセキュリティ４１４でクリアされているという第２の応答に応じて、エッジネットワークデバイス上でローカルに実装された高度なセキュリティポリシーをクエリし得る。ステップ５１８において、エッジネットワークデバイス１４２ａは、ローカルに実装された高度なセキュリティポリシーを介して、ドメインに関する脅威を検知し得る。ステップ５２０において、特定のエッジネットワークデバイス１４２ａは、エッジネットワークデバイス１４２ａによって検知された脅威またはクリアランスに関連付けられたシグネチャ１０５を含み得るアップストリームメッセージ１０７ａを、ソフトウェア定義のワイドエリアネットワーク４００のネットワークコントローラアプライアンス１３２に送信し得る。任意選択的に、エッジネットワークデバイス１４２ａは、ＤＮＳクラウドセキュリティシステム１０１にそのサーバを更新するように直接通知し得る。

図６は、ネットワークデバイス６００（例えば、スイッチ、ルータ、ネットワークアプライアンスなど）の例を示している。ネットワークデバイス６００は、マスター中央処理ユニット（ＣＰＵ）６０２、インターフェース６０４、およびバス６０６（例えば、ＰＣＩバス）を含み得る。適切なソフトウェアまたはファームウェアの制御下で動作する場合、ＣＰＵ６０２は、パケット管理、エラー検知、および／またはルーティング関数の実行を担当し得る。ＣＰＵ６０２は、好ましくは、オペレーティングシステムおよび任意の適切なアプリケーションソフトウェアを含むソフトウェアの制御下でこれらすべての関数を達成する。ＣＰＵ６０２は、マイクロプロセッサのＭｏｔｏｒｏｌａファミリーまたはマイクロプロセッサのＭＩＰＳファミリーからのプロセッサなどの１つ以上のプロセッサ６０８を含んでもよい。代替的な実施形態において、プロセッサ６０８は、ネットワークデバイス６００の動作を制御するために特別に設計されたハードウェアであり得る。一実施形態では、メモリ６１０（不揮発性ＲＡＭおよび／またはＲＯＭなど）もまた、ＣＰＵ６０２の一部を形成し得る。ただし、メモリをシステムに結合することができる多くの異なる方式がある。

インターフェース６０４は、インターフェースカード（ラインカードと呼ばれることもある）として提供され得る。インターフェース６０４はネットワーク上のデータパケットの送受信を制御し得、ネットワークデバイス６００で使用される他の周辺機器をサポートし得ることもある。提供され得るインターフェースの中には、イーサネットインターフェース、フレームリレーインターフェース、ケーブルインターフェース、ＤＳＬインターフェース、トークンリングインターフェースなどがある。さらに、高速トークンリングインターフェース、ワイヤレスインターフェース、イーサネットインターフェース、ギガビットイーサネットインターフェース、非同期転送モード（ＡＴＭ）インターフェース、高速シリアルインターフェース（ＨＳＳＩ）、パケットオーバーＳＯＮＥＴ（ＰＯＳ）インターフェース、光ファイバ分散データインタフェース（ＦＤＤＩ）など、様々な非常に高速なインターフェースが提供されてもよい。インターフェース６０４は、適切な媒体との通信に適したポートを含んでもよい。インターフェース６０４はまた、場合によっては独立したプロセッサを、場合によっては揮発性ＲＡＭ含んでもよい。独立したプロセッサは、パケット交換、メディア制御、管理などの通信集約型タスクを制御してもよい。通信集約型タスクのために別個のプロセッサを提供することにより、インターフェース６０４は、ＣＰＵ６０２がルーティング計算、ネットワーク診断、セキュリティ関数などを効率的に実行することを可能にしてもよい。

図６に示されるシステムは、一実施形態のネットワークデバイスの例であるが、本技術が実装され得る唯一のネットワークデバイスアーキテクチャであることを意味するものではない。例えば、通信ならびにルーティング計算および他のネットワーク関数を処理し得る単一のプロセッサを有するアーキテクチャもまた、使用され得る。さらに、他のタイプのインターフェースおよび媒体もまた、ネットワークデバイス６００とともに使用され得る。

ネットワークデバイスの構成に関わらず、本明細書で説明するローミング、ルート最適化、およびルーティング関数のための汎用ネットワーク動作およびメカニズムのためのプログラム命令を格納するように構成された１つ以上のメモリまたはメモリモジュール（メモリ６１０を含む）を使用してもよい。プログラム命令は、オペレーティングシステムおよび／または１つ以上のアプリケーションの動作を制御してもよい。１つのメモリまたは複数のメモリはまた、モビリティバインディング、登録、および関連付けテーブルなどのテーブルを格納するように構成されてもよい。

図７Ａおよび図７Ｂは、様々な実施形態によるシステムを示している。様々な実施形態を実施するとき、より適切なシステムが当業者には明らかであろう。当業者はまた、他のシステムが可能であることを容易に理解するであろう。

図７Ａは、システムの構成要素がバス７０５を使用して互いに電気的に通信しているバスコンピューティングシステム７００の例を示している。コンピューティングシステム７００は、読み取り専用メモリ（ＲＯＭ）７２０およびランダムアクセスメモリ（ＲＡＭ）７２５などのシステムメモリ７１５を含む様々なシステム構成要素をプロセッサ７１０に結合してもよい処理ユニット（ＣＰＵまたはプロセッサ）７１０およびシステムバス７０５を含み得る。コンピューティングシステム７００は、プロセッサ７１０に直接接続されているか、近接しているか、またはプロセッサ７１０の一部として統合された高速メモリのキャッシュ７１２を含み得る。コンピューティングシステム７００は、プロセッサ７１０による高速アクセスのために、メモリ７１５、ＲＯＭ７２０、ＲＡＭ７２５および／またはストレージデバイス７３０からキャッシュ７１２にデータをコピーし得る。このようにして、キャッシュ７１２は、データを待機している間のプロセッサの遅延を回避するという性能向上を提供し得る。これらおよび他のモジュールは、プロセッサ７１０を制御して、様々なアクションを実行し得る。他のシステムメモリ７１５も同様に利用可能であってもよい。メモリ７１５は、異なる性能特性を備えた複数の異なるタイプのメモリを含み得る。プロセッサ７１０は、任意の汎用プロセッサ、プロセッサ７１０を制御するように構成されたストレージデバイス７３０に格納されたモジュール１ ７３２、モジュール２ ７３４、およびモジュール３ ７３６のようなハードウェアモジュールまたはソフトウェアモジュール、ならびに、ソフトウェア命令が実際のプロセッサ設計に組み込まれている専用プロセッサを含み得る。プロセッサ７１０は、本質的に、複数のコアまたはプロセッサ、バス、メモリコントローラ、キャッシュなどを含む完全に自己充足型のコンピューティングシステムであってもよい。マルチコアプロセッサは、対称または非対称であってもよい。

コンピューティングデバイス７００とのユーザ対話を可能にするために、入力デバイス７４５は、音声用マイク、ジェスチャまたはグラフィック入力用のタッチスクリーン、キーボード、マウス、モーション入力、音声などの任意の数の入力メカニズムを表すことができる。出力デバイス７３５はまた、当業者に知られている出力メカニズムのうちの１つ以上であり得る。場合によっては、マルチモーダルシステムは、ユーザがコンピューティングデバイス７００と通信するために複数のタイプの入力を提供することを可能にし得る。通信インターフェース７４０は、一般に、ユーザ入力およびシステム出力を統御し、かつ管理し得る。特定のハードウェア構成での動作に制限がなくてもよいため、ここでの基本機能は、開発時に改善されたハードウェアまたはファームウェア構成に簡単に置き換えてもよい。

ストレージデバイス７３０は、不揮発性メモリであり得、磁気カセット、フラッシュメモリカード、ソリッドステートメモリデバイス、デジタル多用途ディスク、カートリッジ、ランダムアクセスメモリ、読み取り専用メモリ、およびそれらのハイブリッドなど、コンピュータによってアクセス可能であるデータを格納し得るハードディスクまたは他のタイプのコンピュータ可読媒体であり得る。

ストレージデバイス７３０は、プロセッサ７１０を制御するためのソフトウェアモジュール７３２、７３４、７３６を含み得る。他のハードウェアまたはソフトウェアモジュールが企図される。ストレージデバイス７３０は、システムバス７０５に接続され得る。いくつかの実施形態において、特定の関数を実行するハードウェアモジュールは、その関数を実行するために、プロセッサ７１０、バス７０５、出力デバイス７３５などの必要なハードウェア構成要素に関連して、コンピュータ可読媒体に格納されたソフトウェア構成要素を含み得る。

図７Ｂは、一実施形態によって使用され得るチップセットコンピューティングシステム７５０の例示的なアーキテクチャを示す。コンピューティングシステム７５０は、識別された計算を実行するように構成されたソフトウェア、ファームウェア、およびハードウェアを実行することが可能な任意の数の物理的に、かつ／または論理的に異なるリソースを表すプロセッサ７５５を含み得る。プロセッサ７５５は、プロセッサ７５５への入力、およびプロセッサ７５５からの出力を制御し得るチップセット７６０と通信し得る。この例では、チップセット７６０は、ディスプレイなどの出力デバイス７６５に情報を出力し得、磁気媒体、固体媒体、および他の適切な記憶媒体を含み得るストレージデバイス７７０に情報を読み書きし得る。チップセット７６０はまた、ＲＡＭ７７５からデータを読み取り、ＲＡＭ７７５にデータを書き込むことができる。チップセット７６０とインターフェースするために、様々なユーザインターフェース構成要素７８５とインターフェースするためのブリッジ７８０を提供し得る。ユーザインターフェース構成要素７８５は、キーボード、マイクロフォン、タッチ検知および処理回路、マウスなどのポインティングデバイスなどを含み得る。コンピューティングシステム７５０への入力は、機械生成および／または人間生成の様々なソースのいずれかに由来し得る。

チップセット７６０はまた、異なる物理インターフェースを有し得る１つ以上の通信インターフェース７９０とインターフェースし得る。通信インターフェース７９０は、有線および無線ＬＡＮ、ブロードバンド無線ネットワーク、ならびにパーソナルエリアネットワークのためのインターフェースを含み得る。本明細書に開示される技術を生成し、表示し、かつ使用するための方法のいくつかのアプリケーションは、物理インターフェースを介して順序付けられたデータセットを受信することを含み得る、またはストレージデバイス７７０もしくはＲＡＭ７７５内に格納されたデータを分析するプロセッサ７５５によってマシン自体によって生成され得る。さらに、コンピューティングシステム７５０は、ユーザインターフェース構成要素７８５を介してユーザから入力を受信し、プロセッサ７５５を使用してこれらの入力を解釈することによってブラウジング関数などの適切な関数を実行し得る。

コンピューティングシステム７００および７５０は、それぞれ２つ以上のプロセッサ７１０および７５５を有することができ、またはより大きな処理能力を提供するために一緒にネットワーク化されたコンピューティングデバイスのグループまたはクラスタの一部であり得ることが理解されよう。

要約すると、実施形態のシステムおよび方法は、ソフトウェア定義のワイドエリアネットワーク（ＳＤ－ＷＡＮ）の下で動作するエンタープライズネットワークのための相乗的なドメインネームシステムＤＮＳセキュリティ更新を提供する。システムは、許可および／または禁止の統合脅威防御（ＵＴＤ）結果を収集することと、複数のＳＤ－ＷＡＮエッジネットワークデバイスにわたって脅威またはクリアランスが検知されたときにローカルセキュリティブラックリスト／ホワイトリストへの更新をトリガするルールベースのモデルを展開することであって、更新がシグネチャを含む、展開することと、脅威またはクリアランスをまだ認識していない他のデバイスに更新をプッシュすることと、を行うように構成されてもよい。

説明を明確にするために、場合によっては、様々な実施形態は、ソフトウェアで具体化される方法におけるデバイス、デバイス構成要素、ステップもしくはルーチン、またはハードウェアとソフトウェアの組み合わせを含む機能ブロックを含む個々の機能ブロックを含むものとして提示され得る。

いくつかの実施形態では、コンピュータ可読ストレージデバイス、媒体、およびメモリは、ビットストリームなどを含むケーブルまたは無線信号を含むことができる。しかしながら、言及される場合、非一時的コンピュータ可読記憶媒体は、エネルギー、搬送波信号、電磁波、および信号自体などの媒体を明示的に除外する。

上記の例による方法は、コンピュータ可読媒体に格納されているか、他の場合にはそれから利用可能であるコンピュータ実行可能命令を使用して実装することができる。そのような命令は、例えば、特定の機能または機能のグループを実行するために、汎用コンピュータ、専用コンピュータ、または専用処理デバイスを引き起こすか、あるいは構成する命令およびデータを含むことができる。使用されるコンピュータリソースの部分は、ネットワーク経由でアクセス可能であり得る。コンピュータの実行可能命令は、例えば、バイナリ、アセンブリ言語、ファームウェア、またはソースコードなどの中間フォーマット命令であり得る。命令、使用される情報、および／または説明された例による方法中に作成された情報を格納するために使用され得るコンピュータ可読媒体の例には、磁気ディスクまたは光ディスク、フラッシュメモリ、不揮発性メモリを備えたＵＳＢデバイス、ネットワークストレージデバイスなどが含まれる。

これらの開示による方法を実装するデバイスは、ハードウェア、ファームウェア、および／またはソフトウェアを含むことができ、様々なフォームファクタのいずれかを取ることができる。このようなフォームファクタのいくつかの例は、サーバ、ラックマウントデバイス、デスクトップコンピュータ、ラップトップコンピュータなどの汎用コンピューティングデバイス、またはタブレットコンピュータ、スマートフォン、携帯情報端末、ウェアラブルデバイスなどの汎用モバイルコンピューティングデバイスを含む。本明細書で説明される機能はまた、周辺機器またはアドインカードで具体化され得る。このような機能は、さらなる例として、単一のデバイスで実行される異なるチップまたは異なるプロセスの間の回路基板上に実装することもできる。

命令、そのような命令を伝達するための媒体、それらを実行するためのコンピューティングリソース、およびそのようなコンピューティングリソースをサポートするための他の構造は、これらの開示に記載された機能を提供するための手段である。

添付の特許請求の範囲の範疇の態様を説明するために、様々な例および他の情報を使用したが、当業者であれば、多種多様な実装形態を導出するために、これらの例を使用することができるように、かかる例における特定の特徴または構成に基づいて、特許請求の範囲のいかなる制限も示唆されるべきではない。さらに、一部の主題は、構造的特徴および／または方法ステップの例に固有の言語で説明されている場合があるが、添付の特許請求の範囲で定義される主題は、必ずしもこれらの説明された特徴または行為に限定されないことを理解されたい。例えば、かかる機能は、ここで特定されている構成要素以外の構成要素で、異なって配布し、または実行することができる。むしろ、説明された特徴およびステップは、添付の特許請求の範囲の範疇のシステムおよび方法の構成要素の例として開示される。

Claims (24)

1. コンピュータ実装方法であって、
   ソフトウェア定義のワイドエリアネットワーク（ＳＤ－ＷＡＮ）のネットワークコントローラアプライアンスを介して、エッジネットワークデバイスによって検知された脅威に関連付けられた脅威シグネチャを含む、前記エッジネットワークデバイスからのアップストリーム更新を受信することであって、前記アップストリーム更新は禁止の統合脅威防御（ＵＴＤ）の結果のストリームの一部として受信される、受信することと、
   前記検知された脅威を禁止の統合脅威防御（ＵＴＤ）の結果としてローカルドメインネームシステム（ＤＮＳ）ブラックリストに追加するために、一時的な更新をトリガすることと、
   前記脅威シグネチャを含むダウンストリーム更新を、前記脅威を認識していない他のエッジネットワークデバイスを含むデバイスグループにプッシュすることと、
   前記禁止のＵＴＤ結果のストリームに関連付けられた前処理され、要約されたＤＮＳブラックリストを、関連付けられたクラウドセキュリティシステムに送信することと、を含む、コンピュータ実装方法。
2. 複数のエッジネットワークデバイスにわたって前記脅威が検知されたときに、前記検知された脅威を前記ローカルＤＮＳブラックリストに追加するために、前記一時的な更新がトリガされるルールベースのモデルを展開することと、をさらに含む、請求項１に記載のコンピュータ実装方法。
3. 前記検知された脅威が、前記エッジネットワークデバイス上でローカルに実装された高度なセキュリティポリシーによって検知され、ドメインネームシステムセキュリティプラットフォームを有する関連付けられたクラウドセキュリティシステムによって検知されなかった、請求項１または２に記載のコンピュータ実装方法。
4. 前記ローカルに実装された高度なセキュリティポリシーが、統合脅威防御（ＵＴＤ）、ＩＰＳｅｃ／ＳＳＬ侵入検知および防止システム（ＩＰＳ／ＩＤＳ）、高度なマルウェア防御（ＡＭＰ）、ウイルス対策保護（ＡＶ）、データ損失防止（ＤＬＰ）、アプリケーションファイアウォール（ＡｐｐＦＷ）、または暗号化トラフィック分析（ＥＴＡ）のポリシーのうちの１つである、請求項３に記載のコンピュータ実装方法。
5. 前記他のエッジネットワークデバイスが前記エッジネットワークデバイスのパートナーＶＰＮに関連付けられている、請求項１～４のいずれか一項に記載のコンピュータ実装方法。
6. 前記アップストリーム更新および前記ダウンストリーム更新が、ＯＭＰメッセージ内のアドレスファミリーの新しいメッセージタイプである、請求項１～５のいずれか一項に記載のコンピュータ実装方法。
7. 前記デバイスグループが、ローカルに実装された高度なセキュリティポリシーが有効化されていない前記ＳＤ－ＷＡＮ内の他のエッジネットワークデバイスに限定される、請求項１～６のいずれか一項に記載のコンピュータ実装方法。
8. 前記脅威シグネチャが、ＩＰアドレス、ポート、プロトコル、およびパケット長を含む他の属性を含むプロトコルヘッダフィールドを含む、請求項１～７のいずれか一項に記載のコンピュータ実装方法。
9. システムであって、
   １つ以上のプロセッサと、
   １つ以上の非一時的コンピュータ可読媒体であって、前記１つ以上の非一時的コンピュータ可読媒体は、動作の実行を実行または制御するために前記１つ以上のプロセッサによって実行可能である、前記１つ以上の非一時的コンピュータ可読媒体に格納されたコンピュータ可読命令を含み、前記動作が、
   ソフトウェア定義のワイドエリアネットワークのネットワークコントローラアプライアンスを介して、エッジネットワークデバイスによって検知された脅威に関連付けられた脅威シグネチャを含む、前記エッジネットワークデバイスからのアップストリーム更新を受信することであって、前記アップストリーム更新は禁止の統合脅威防御（ＵＴＤ）の結果のストリームの一部として受信される、受信することと、
   前記検知された脅威を禁止の統合脅威防御（ＵＴＤ）の結果としてローカルドメインネームシステム（ＤＮＳ）ブラックリストに追加するために、一時的な更新をトリガすることと、
   前記脅威シグネチャを含むダウンストリーム更新を、前記脅威を認識していない他のエッジネットワークデバイスにプッシュすることと、
   前記禁止のＵＴＤ結果のストリームに関連付けられた前処理され、要約されたＤＮＳブラックリストを、関連付けられたクラウドセキュリティシステムに送信することと、を含む、１つ以上の非一時的コンピュータ可読媒体と、を備える、システム。
10. 前記動作が、
    複数のエッジネットワークデバイスにわたって前記脅威が検知された場合にのみ、前記検知された脅威を前記ローカルＤＮＳブラックリストに追加するために、前記一時的な更新がトリガされる、ルールベースのモデルを展開することをさらに含む、請求項９に記載のシステム。
11. 前記検知された脅威が、前記エッジネットワークデバイス上でローカルに実装された高度なセキュリティポリシーによって検知され、ドメインネームシステムセキュリティプラットフォームを有する関連付けられたクラウドセキュリティシステムによって検知されなかった、請求項９または１０に記載のシステム。
12. 前記ローカルに実装された高度なセキュリティポリシーが、統合脅威防御（ＵＴＤ）、ＩＰＳｅｃ／ＳＳＬ侵入検知および防止システム（ＩＰＳ／ＩＤＳ）、高度なマルウェア防御（ＡＭＰ）、ウイルス対策保護（ＡＶ）、データ損失防止（ＤＬＰ）、アプリケーションファイアウォール（ＡｐｐＦＷ）、または暗号化トラフィック分析（ＥＴＡ）のポリシーのうちの１つである、請求項１１に記載のシステム。
13. 前記アップストリーム更新および前記ダウンストリーム更新が、ＯＭＰメッセージである、請求項９～１２のいずれか一項に記載のシステム。
14. エッジネットワークデバイスであって、
    １つ以上のプロセッサと、
    １つ以上の非一時的コンピュータ可読媒体であって、前記１つ以上の非一時的コンピュータ可読媒体は、動作の実行を実行または制御するために前記１つ以上のプロセッサによって実行可能である、前記１つ以上の非一時的コンピュータ可読媒体に格納されたコンピュータ可読命令を含み、前記動作が、
    ドメインに関して、前記エッジネットワークデバイス上のローカルドメインネームシステム（ＤＮＳ）ブラックリスト／ホワイトリストをクエリすることと、
    前記ドメインが前記ローカルＤＮＳブラックリスト／ホワイトリスト上にないという第１の回答に応じて、前記ドメインに関するクエリを、関連付けられたクラウドセキュリティシステムでの高度なＤＮＳセキュリティにプッシュすることと、
    前記ドメインが前記高度なＤＮＳセキュリティでクリアされるという第２の回答に応じて、前記エッジネットワークデバイス上でローカルに実装された高度なセキュリティポリシーをクエリすることと、
    前記ローカルに実装された高度なセキュリティポリシーを介して、関連付けられたドメインに関する脅威またはクリアランスを検知することと、
    前記検知された脅威またはクリアランスに関連付けられたシグネチャを含む、前記エッジネットワークデバイスからのアップストリーム更新を、ソフトウェア定義のワイドエリアネットワークのネットワークコントローラアプライアンスに送信することと、を含む、１つ以上の非一時的コンピュータ可読媒体と、を備える、エッジネットワークデバイス。
15. 前記動作が、
    前記脅威に関して、前記関連付けられたクラウドセキュリティシステムのＤＮＳブラックリスト／ホワイトリストを更新するように、前記関連付けられたクラウドセキュリティシステムに通知することをさらに含む、請求項１４に記載のエッジネットワークデバイス。
16. 前記動作が、
    前記検知された脅威を無効化し、前記ドメインを前記ローカルＤＮＳホワイトリスト上に配置するために、前記ネットワークコントローラアプライアンスから更新を受信することをさらに含む、請求項１４または１５に記載のエッジネットワークデバイス。
17. 前記高度なセキュリティポリシーが、統合脅威防御（ＵＴＤ）、ＩＰＳｅｃ／ＳＳＬ侵入検知および防止システム（ＩＰＳ／ＩＤＳ）、高度なマルウェア防御（ＡＭＰ）、ウイルス対策保護（ＡＶ）、データ損失防止（ＤＬＰ）、アプリケーションファイアウォール（ＡｐｐＦＷ）、または暗号化トラフィック分析（ＥＴＡ）のポリシーのうちの１つである、請求項１６に記載のエッジネットワークデバイス。
18. 前記アップストリーム更新が、ＯＭＰメッセージである、請求項１４～１７のいずれか一項に記載のエッジネットワークデバイス。
19. 装置であって、
    ソフトウェア定義のワイドエリアネットワーク（ＳＤ－ＷＡＮ）のネットワークコントローラアプライアンスを介して、エッジネットワークデバイスによって検知された脅威に関連付けられた脅威シグネチャを含む、前記エッジネットワークデバイスからのアップストリーム更新を受信するための手段であって、前記アップストリーム更新は禁止の統合脅威防御（ＵＴＤ）の結果のストリームの一部として受信される、受信するための手段と、
    前記検知された脅威を禁止の統合脅威防御（ＵＴＤ）結果としてローカルドメインネームシステム（ＤＮＳ）ブラックリストに追加するために、一時的な更新をトリガするための手段と、
    前記脅威シグネチャを含むダウンストリーム更新を、前記脅威を認識していない他のエッジネットワークデバイスを含むデバイスグループにプッシュするための手段と、
    前記禁止のＵＴＤ結果のストリームに関連付けられた前処理され、要約されたＤＮＳブラックリストを、関連付けられたクラウドセキュリティシステムに送信する手段と、を備える、装置。
20. 請求項２～８のいずれか一項に記載の方法を実施するための手段をさらに備える、請求項１９に記載の装置。
21. エッジネットワークデバイスであって、
    ドメインに関して、前記エッジネットワークデバイス上のローカルドメインネームシステム（ＤＮＳ）ブラックリスト／ホワイトリストをクエリするための手段と、
    前記ドメインが前記ローカルＤＮＳブラックリスト／ホワイトリスト上にないという第１の回答に応じて、前記ドメインに関するクエリを、関連付けられたクラウドセキュリティシステムでの高度なＤＮＳセキュリティにプッシュするための手段と、
    前記ドメインが前記高度なＤＮＳセキュリティでクリアされるという第２の回答に応じて、前記エッジネットワークデバイス上でローカルに実装された高度なセキュリティポリシーをクエリするための手段と、
    前記ローカルに実装された高度なセキュリティポリシーを介して、関連付けられたドメインに関する脅威またはクリアランスを検知するための手段と、
    前記検知された脅威またはクリアランスに関連付けられたシグネチャを含む、前記エッジネットワークデバイスからのアップストリーム更新を、ソフトウェア定義のワイドエリアネットワークのネットワークコントローラアプライアンスに送信するための手段と、を備える、エッジネットワークデバイス。
22. 前記脅威に関して、前記関連付けられたクラウドセキュリティシステムのＤＮＳブラックリスト／ホワイトリストを更新するように、前記関連付けられたクラウドセキュリティシステムに通知するための手段、および／または、前記検知された脅威を無効化し、前記ドメインを前記ローカルＤＮＳホワイトリスト上に配置するために、前記ネットワークコントローラアプライアンスから更新を受信するための手段をさらに備え、任意選択的に、前記高度なセキュリティポリシーが、統合脅威防御（ＵＴＤ）、ＩＰＳｅｃ／ＳＳＬ侵入検知および防止システム（ＩＰＳ／ＩＤＳ）、高度なマルウェア防御（ＡＭＰ）、ウイルス対策保護（ＡＶ）、データ損失防止（ＤＬＰ）、アプリケーションファイアウォール（ＡｐｐＦＷ）、または暗号化トラフィック分析（ＥＴＡ）のポリシーのうちの１つであり、任意選択的に、前記アップストリーム更新がＯＭＰメッセージである、請求項２１に記載のエッジネットワークデバイス。
23. コンピュータによって実行されると、前記コンピュータに、請求項１～８のいずれか一項に記載の方法のステップを実行させる命令を含む、コンピュータプログラム。
24. コンピュータによって実行されると、前記コンピュータに、請求項１～８のいずれか一項に記載の方法のステップを実行させる命令を含む、コンピュータ可読記憶媒体。

Images