JP4373779B2

JP4373779B2 - ステイトフル分散型イベント処理及び適応保全

Info

Publication number: JP4373779B2
Application number: JP2003506143A
Authority: JP
Inventors: ジェイ．エス．グラッドストーン、フィリップ; エイ．クレーマー、ジェフリー
Original assignee: シスコテクノロジーインコーポレイテッド
Priority date: 2001-06-14
Filing date: 2002-06-14
Publication date: 2009-11-25
Anticipated expiration: 2022-06-14
Also published as: US20020194495A1; WO2002103960A2; JP2005513591A; WO2002103960A3; EP1400061B1; EP1400061A2; US7594267B2

Description

【技術分野】
【０００１】
本発明は、コンピュータネットワークセキュリティに関し、特に、コンピュータネットワーク上の１つ以上のノードをセキュリティ保護するための方法及び装置に関する。
【背景技術】
【０００２】
従来のネットワークセキュリティ・システムは、“能動的”又は“受動的”保護の何れかを提供すると言える。能動セキュリティ・システムは、ソフトウェアベース又はハードウェアベースの予めプログラムされた侵入検出対策によって、侵入に対してリアルタイムなバリアを提供する。“受動”システムは、時間の経過と共に静的アクセス制御及びポリシを改善するために、以前のシステム・アクセス・アクティビティについて収集されたデータを調査することによって、以前観察されたセキュリティ侵害を検出し回復する能力を提供する。そして、能動システムは、主に侵入を防ぐ機能を果たし、受動システムは、主に、今後の侵入を防ぐために以前の侵入に関するデータについて報告し調査する機能を果たす。
【０００３】
従来の能動セキュリティ・システムの例には、アクセス制御ツール、コンテンツ・フィルタリングツール、及びシステム監査ツールがある。ネットワーク・ファイアウォール等のアクセス制御ツールは、予め設定された許可レベルを用いてインバウンド及びアウトバウンドのアクセスを制御するために、通常はネットワーク周辺の専用マシン上に配置し得る。コンピュータ・ウイルス・スキャナ等のコンテンツ・フィルタリングツールは、通常、ｅメールサーバ又はワークステーション上の何れかにおいて動作し、又、以前観察された攻撃の既知の兆候に基づき、脅威を及ぼす可能性のある事柄に対して、ｅメール及び添付ファイル等、入力コンテンツをふるい分けることによって機能を果たす。参照モニタ等のシステム監査ツールは、所定の設定値又は動的なマシン状態の何れかから変化を識別することによって、個々のワークステーション又はサーバのステイトレス・モニタリング又は状態ベースモニタリングの何れかを提供し得る（米国特許出願第１０／０７１，３２８号に記述されたステイトフル参照モニタによって提供され、本明細書に引用参照する状態ベースモニタリング等）。
【０００４】
従来の受動セキュリティ・システムの例には、アクティビティ・ロギングツール及び監査ツールがあるが、これらは、互いに同時に用い得る。アクティビティ・ロギングツールは、１つ以上のコンピュータのアクティビティを追跡し、又、観察されたシステム・アクティビティを個々のエントリとして一連のログファイルに転記する。監査ツールは、通常、マシン全体又は個々のマシン内部の何れかに生じる侵害、攻撃、又は他の脅威の可能性があるアクティビティを区別するためにこれらのログ・エントリを調査する。
【発明の開示】
【発明が解決しようとする課題】
【０００５】
両方の種類のセキュリティ・システムは、有用な侵入検出及び防止機能を提供する。しかしながら、一般的に双方共、予めプログラムされたネットワーク管理ポリシ、ビジネスルール、又は他のパラメータに依存し、又、どちらも（特に受動システムは）、新しい種類の攻撃が生じた時、それらに対処するために必要な適応能力を提供しない場合がある。また、従来の能動システムは、ノード全体に生じている見かけ上無害のアクティビティを観察し関連付けて、侵入が起こりつつあることを判断できない。益々浸透するコンピュータネットワークや電子資産の価値から判断して、ネットワーク・セキュリティ上の脅威が同じように大きくなることが予想される。従って、局所的あるいは非局所的な侵入に対するリアルタイムに適応可能な対策を提供するセキュリティ・システムは、コンピュータネットワークのオペレータに対して極めて大きな価値を提供する。
【課題を解決するための手段】
【０００６】
本発明の第１の実施形態は、第１及び第２ノード並びにイベント処理サーバを含むネットワーク化されたコンピュータシステムを保全する方法を提供する。本方法には、第１及び第２ノードが、状態変化を検出する段階と、イベント処理サーバが、第１及び第２ノードから状態変化に関する通知を受信する段階と、イベント処理サーバが、第１及び第２ノードにおいて検出された状態変化を関連付ける段階と、イベント処理サーバが、第１及び第２ノードに影響を及ぼす保全決定を実行する段階と、が含まれ、検出する段階、伝送する段階、関連付ける段階、実行する段階は、人が介在すること無く起こる。
【０００７】
本実施形態は、状態変化が、イベント及びイベント欠如の内の少なくとも１つの結果である場合、状態変化が、参照モニタによって認識される場合、及び／又は、イベント処理サーバが報告を受信することが、第１及び第２ノードがイベント処理サーバに報告することと、イベント処理サーバが第１及び第２ノードにポーリングすること、の内の１つの結果である場合、に実施し得る。本実施形態には、更に、イベント処理サーバが、ネットワーク上の動作ポリシを更新する段階が含まれ、また、動作ポリシを更新する段階には、少なくとも１つのノードにおいてセキュリティポリシの変更を要求する段階と、少なくとも１つのノードにおいてシステム資源にアクセスする権利の変更を要求する段階と、少なくとも１つのノードにおいてシステムパラメータを調整する段階と、ネットワークファイアウォールパラメータを修正する段階と、の内少なくとも１つを含み得る。また、本実施形態は、更に、取られるアクションについて、外部エンティティに通知する段階を含み、また、外部エンティティは、ネットワーク管理者、又はネットワーク上で動作するソフトウェア・アプリケーションであってよい。
【０００８】
本発明の第２の実施形態は、ネットワーク化されたコンピュータシステムを保全するための方法を提供する。本方法には、少なくとも１つのノードが、状態変化を検出する段階と、ネットワーク上のイベント処理サーバが、少なくとも１つのノードから少なくとも１つの状態変化に関する通知を受信する段階と、イベント処理サーバが、保全決定を実行することによって通知に応答する段階と、が含まれ、検出する段階と、受信する段階と、応答する段階と、は、人が介在すること無く起こる。
【０００９】
本実施形態は、状態変化が、イベント及びイベント欠如の内の少なくとも１つの結果である場合、状態変化が、参照モニタによって認識される場合、イベント処理サーバが報告を受信することは、ノードがイベント処理サーバに報告することと、イベント処理サーバがノードにポーリングすること、の内の１つの結果である場合、に実施し得る。また、本実施形態は、保全決定が、状態変化を検出する少なくとも１つのノードに影響を及ぼす場合、及び／又は、保全決定が、状態変化を検出するノード以外に少なくとも１つのノードに影響を及ぼす場合、に実施し得る。本実施形態には、更に、イベント処理サーバが、ネットワークにおける動作ポリシを更新する段階を含むことができ、この場合、動作ポリシを更新する段階は、少なくとも１つのノードにおいてセキュリティポリシの変更を要求する段階と、少なくとも１つのノードにおいてシステム資源にアクセスする権利の変更を要求する段階と、少なくとも１つのノードにおいてシステムパラメータを調整する段階と、ネットワークファイアウォールパラメータを修正する段階と、の内少なくとも１つを含み得る。更にまた、本実施形態には、少なくとも１つのノードが、更新された動作ポリシを実施する段階、及び／又は、取られるアクションについて、外部エンティティに通知する段階を含み得るが、この場合、外部エンティティは、ネットワーク管理者又はネットワーク上で動作するソフトウェア・アプリケーションであってよい。
【００１０】
本発明の第３の実施形態は、ネットワーク化されたコンピュータシステム上のノードを保全するための方法を提供する。本方法には、少なくとも１つのノードが、状態変化を検出する段階と、少なくとも１つのノードが、状態変化に反応する段階と、が含まれ、少なくとも１つのノードが検出し反応する段階は、人が介在すること無く起こる。
【００１１】
本実施形態は、状態変化が、イベント及びイベント欠如の内の少なくとも１つの結果である場合、及び／又は、状態変化が、ステイトフル参照モニタによって認識される場合、に実施し得る。本実施形態は、更に、少なくとも１つのノードが、ネットワーク上のイベント処理サーバに通知する段階を含み、イベント処理サーバが、ネットワークにおいて動作ポリシを更新することによって通知に応答し、この場合、動作ポリシを更新する段階には、少なくとも１つのノードにおいてセキュリティポリシの変更を要求する段階と、少なくとも１つのノードにおいてシステム資源にアクセスする権利の変更を要求する段階と、少なくとも１つのノードにおいてシステムパラメータを調整する段階と、ネットワークファイアウォールパラメータを修正する段階と、の内少なくとも１つが含まれる。本実施形態は、更に、少なくとも１つのノードが、更新された動作ポリシを実施する段階、及び／又は、取られるアクションについて、外部エンティティに通知する段階を含むことができ、この場合、外部エンティティは、ネットワーク管理者、及び／又は、ネットワーク上で動作するソフトウェア・アプリケーションであってよい。
【００１２】
本発明の第４の実施形態は、命令が記録されたコンピュータ読み取り可能媒体であって、命令が、実行された時、ネットワーク化されたコンピュータシステムにおいて少なくとも１つのプロセッサに、ノードの状態変化を検出させ、また、検出された状態変化に反応する段階を規定する命令を処理させるコンピュータ読み取り可能媒体を提供する。
【００１３】
更に、本実施形態は、イベント処理サーバに状態変化を通信する段階を規定する命令、イベント処理サーバから受信された保全命令を処理する段階を規定する命令、及び／又は、取られるアクションに関してネットワーク管理者に通知を送信する段階を規定する命令を含み得る。
【００１４】
本発明の第５の実施形態は、命令が記録されたコンピュータ読み取り可能媒体であって、命令が、実行された時、ネットワーク化されたコンピュータシステムにおいて少なくとも１つのプロセッサに、ネットワーク用の動作ポリシを維持させ、少なくとも１つのノードから状態変化に関する通知を受信させ、状態変化に基づき、動作ポリシを更新させる、コンピュータ読み取り可能媒体を提供する。
【００１５】
本実施形態は、更に、状態変化に関する受信された通知をメモリに記憶する段階を規定する命令、複数のノードから受信された通知を関連付ける段階を規定する命令、受信された通知を電子ファイル記憶装置に記憶する段階を規定する命令、及び／又は、取られるアクションに関して外部エンティティに通知する段階を規定する命令を含むことができ、この場合、外部エンティティは、ネットワーク管理者又はネットワーク上で動作するソフトウェア・アプリケーションである。
【００１６】
本発明の第６の実施形態は、ネットワーク化されたコンピュータシステムを保全するための方法であって、少なくとも１つのノードが、状態変化を検出する段階と、ネットワーク上のイベント処理サーバが、少なくとも１つのノードから、少なくとも１つの状態変化に関する通知を受信する段階と、イベント処理サーバが、保全決定を実施することによって通知に応答する段階と、が含まれる方法を提供する。
【００１７】
本実施形態は、更に、ネットワーク化されたコンピュータシステム上の少なくとも１つのノードに対する保全決定を人間のオペレータが実行する段階、又は、ネットワーク化されたコンピュータシステム上の少なくとも１つのノードに対する保全決定を人間が介在すること無く実行する段階を含み得る。人間のオペレータには、保全決定が人間の介在無しに実行される前に、それを実行するように、所定の期間、入力待ちの状態が割り当てられる。
【発明を実施するための最良の形態】
【００１８】
本発明の実施形態の側面は、能動セキュリティ対策と、管理制御と、複数ノード全体において脅威を及ぼす可能性のあるアクティビティをリアルタイムに関連付ける能力とを実現するために、個々のノード上における参照モニタ及びイベント・エージェント・ソフトウェアとネットワークサーバ上におけるイベント処理サーバソフトウェアとを連係して実行することによって、ネットワーク化されたコンピュータシステムをセキュリティ保護するための方法と装置とを提供する。
【００１９】
図４に示したコンピュータシステム４００は、これによって、個々に又は組み合わせて、これらの実施形態の側面を実現し得るが、１つ以上の出力装置４０１と、１つ以上の入力装置４０２との双方に接続される少なくとも１つのメインユニットを含み得る。出力装置４０１は、情報を記憶し、１人以上のユーザ又は１つ以上のマシンに情報を送信又は表示し、入力装置４０２は、１人以上のユーザ又は１つ以上のマシンから入力を受信する。メインユニットには、バス又はスイッチ等の１つ以上の相互接続機構４０５を介して、メモリシステム４０４に接続される１つ以上のプロセッサ４０３を含み得る。また、任意の入力装置４０２及び／又は出力装置４０１が、相互接続機構４０５を介して、プロセッサ４０３及びメモリシステム４０４に接続する。コンピュータシステム４００は、更に、記憶システム４０６を含んでよく、ここでは、情報が不揮発性の媒体上又は媒体内に保持される。この媒体は、システムに固定してもよく、あるいは着脱自在でもよい。
【００２０】
他の選択肢として、コンピュータシステム４００は、分散してもよく、また、従って、メインユニットを含まなくてもよい。特に、入力装置４０２、プロセッサ４０３、メモリシステム４０４、相互接続機構４０５、及び記憶システム４０６は、各々、単一又は複数のコンピュータシステムを含んでよく、また、地理的に異なってよい。例えば、記憶システム４０６は、インターネットを介して、相互接続機構４０５の役割を果たすペンシルベニアに常駐するプロセッサ４０３と通信を行なうニューヨークに常駐するサーバファーム（ｆａｒｍ）を含み得る。
【００２１】
コンピュータシステム４００は、コンピュータプログラミング言語を用いてプログラム可能な汎用コンピュータシステムであってよい。このようなシステムの実行に適したコンピュータプログラミング言語には、手続きプログラミング言語、オブジェクト指向プログラミング言語、この２つの組み合わせ、又は他の言語がある。また、コンピュータシステムは、特別にプログラムされた特定用途のハードウェア又は特定用途向け集積回路（ＡＳＩＣ）であってもよい。
【００２２】
汎用コンピュータシステムにおいて、プロセッサは、通常、オペレーティングシステムと呼ばれるプログラムを実行する市販のプロセッサであり、オペレーティングシステムは、他のコンピュータプログラムの実行を制御し、又、スケジューリング、デバッグ、入出力制御、課金処理、コンパイル、記憶割り当て、データ管理、メモリ管理、通信制御、及び関連サービスを提供する。プロセッサ及びオペレーティングシステムは、他のコンピュータプログラミング言語のアプリケーションプログラムが書き込まれるプラットフォームを規定する。本発明は、いずれか特定のプロセッサ、オペレーティングシステム、又はプログラミング言語に限定しない。
【００２３】
図５に更に詳細に示す記憶システム４０６は、通常、コンピュータ読み取り可能でコンピュータ書き込み可能な不揮発性の記録媒体５０１を含み、記録媒体５０１に記憶されるデータは、プロセッサによって実行されるプログラムやそのプログラムによって処理されるために記憶される情報を記述するものである。媒体は、例えば、ディスク又はフラッシュメモリでよい。通常、動作中、プロセッサは、プロセッサが媒体５０１への場合よりも早く情報にアクセスできる他のメモリ５０２に不揮発性の記録媒体５０１からデータを読み込ませる。このメモリ５０２は、通常、ダイナミック・ランダム・アクセス・メモリ（ＤＲＡＭ）又はスタティック・メモリ（ＳＲＡＭ）等、揮発性のランダム・アクセス・メモリである。図示したように、このメモリは、記憶システム４０６に配置してもよく、又は、図示しないが、メモリシステム４０４に配置してもよい。プロセッサ４０３は、一般的に、集積回路メモリ４０４，５０２のデータを操作し、そして、処理が完了した後、そのデータを媒体５０１にコピーする。様々な機構が、媒体５０１と集積回路記憶素子４０４、５０２との間のデータ移動の管理用として知られているが、本発明は、それに限定しない。本発明は、特定のメモリシステム４０４又は記憶システム４０６に限定しない。
【００２４】
本発明の実施形態の側面は、ソフトウェア、ハードウェア若しくはファームウェア、又はその任意の組み合わせで実現し得る。実施形態の様々な要素は、個々に又は組み合わせて、例えば、記憶装置４０６等のコンピュータ読み取り可能媒体を含むコンピュータプログラムプロダクトとして実現してよく、この媒体上に命令が記憶され、プロセッサ４０３等のプロセッサによってアクセスされ実行される。プロセッサ４０３によって実行される時、これらの命令は、様々な処理ステップを実行するためにプロセッサ４０３に命令する。
【００２５】
図１は、本発明の実施形態における側面を可能にするように構成された上述したようなシステム構成要素間の関係を表す機能ブロック図である。
参照モニタ２５は、ノードＡ上で動作するが、ノードＡは、ワークステーション、サーバ、又はネットワーク上の他のコンピュータであってよい。参照モニタ２５は、ソフトウェア・アプリケーションであり、これは、ノードＡ上において、同期、非同期、又は双方の状態で動作し、連続的なモニタリング能力を提供し得る。参照モニタ２５は、ＵＮＩＸ、ＬＩＮＵＸ、ＷｉｎｄｏｗｓＮＴ等、任意の市販オペレーティングシステムを走らせるノード上で動作するように構成し得る。参照モニタ２５は、局所的なノード動作及び／又はネットワークが発する要求―これによってオペレーティングシステム及び／又はユーザアプリケーションは、ノード上のシステム資源にアクセスしようとする―を検出し阻止する役割を果たす。幾つかの実施形態において、システムイベントをモニタするために、参照モニタ２５は、インターセプタ２６を含むが、インターセプタ２６は、これらのイベントが行き来する制御経路や通信経路に挿入される。例えば、特定のモニタされたイベントが、ネットワークアクセス要求である場合、インターセプタ２６は、そのネットワークアクセス要求が、オペレーティングシステムの１つの部分から他の部分に通信される地点でオペレーティングシステムに挿入し得る。インターセプタ２６は、阻止された各イベントに対してイベントメッセージを生成し得る。そして、イベントメッセージは、参照モニタ２５に伝えられ、参照モニタ２５は、インターセプタ２６にポリシメッセージを返送し得る。ポリシメッセージは、インターセプタ２６が取るアクションであってよく、例えば、アクセス要求イベントが、制御経路又は通信経路を進んで意図した効果を及ぼし得るアクションでってよく、又は、イベントが経路を通過させないようにするアクションであってよい。参照モニタ２５は、代わりに又は更に、システム資源に対する予想された要求が無いことを有害なアクティビティとして解釈し得る。これらの実施形態において、参照モニタ２５は、イベントメッセージ、ある種のイベントメッセージ、又はある時間フレーム内に受信されるイベントメッセージが全体的に無いことを、例えば、イベントをその意図された経路に沿って進ませる又は進ませない命令等のポリシメッセージをインターセプタ２６に返す要因として解釈し得る。
【００２６】
また、イベント・エージェント４５は、ノードＡ上で動作し、この実施形態においては、ノードＡのバックグラウンドで連続的に動作するソフトウェア・アプリケーションである。イベント・エージェント４５は、参照モニタ２５と共に動作し、また、参照モニタ２５に組み込まれた場合、参照モニタ２５とイベント処理サーバ１００との間の通信を調整する。イベント・エージェント４５は、ＵＮＩＸ、ＬＩＮＵＸ、ＷｉｎｄｏｗｓＮＴ等、任意の市販されているオペレーティングシステムを走らせるノード上で動作するように構成し得る。イベント・エージェント４５は、参照モニタ２５と同じ物理的マシン上で、又は、マシンがネットワーク化されている場合、異なる物理的マシン（図示せず）上で動作し得る。イベント・エージェント４５及び参照モニタ２５は、異なる物理的マシン上で動作する場合、好適には、ＨＴＴＰＳ等、メッセージの完全性及び認証をサポートする任意のセキュア・ネットワークプロトコルを介して通信を行なう。セキュア・ネットワークプロトコルが望ましいのは、イベント・エージェント４５及び参照モニタ２５が、受信された通信の発信源及びコンテンツを実証できるためである。
【００２７】
この実施形態において、イベント処理サーバ１００は、１つ以上のイベント・エージェント４５と通信を行なうソフトウェア・アプリケーションであり、又、イベント・エージェント４５と同じサブネットワーク内に常駐するワークステーション又はサーバ上で、又は、ルータ、ゲートウェイ、若しくは他の構成要素を介して接続された他のサブネットワーク上で動作し得る。イベント・エージェント４５とイベント処理サーバ１００との間のデータトランスポートは、ＨＴＴＰＳ及び／又は他のもの等のセキュア通信プロトコルを介して実現し得る。例示した実施形態において、イベント処理サーバ１００は、統合ソフトウェア・コンポーネント・送受信機１１５、ローダ１２５、命令エンジン１３５、相関エンジン１４５、及び電子ファイル記憶装置１５５から構成されている。送受信機１１５は、イベント・エージェント４５からイベント通知を受信し、又、その処理の準備を行なう。データは、ローダ１２５に送られ、ローダ１２５は、それを電子ファイル記憶装置１５５にロードするための準備を行なう。好適な実施形態において、電子ファイル記憶装置１５５は、迅速にアクセス可能な形態でイベント・エージェント４５の状態表示を常に更新するように編成されたデータベースである。命令エンジン１３５及び相関エンジン１４５は、電子ファイル記憶装置１５５のデータを処理する。命令エンジン１３５は、ノードから受信された個々の通知が、ポリシ更新を保証するかどうかを判断する。例えば、通知が、（バッファオーバラン攻撃等の）能動的攻撃又は受動的攻撃を示すかどうかを判断する。また、ノードを隔離したり、参照モニタ２５が動作するあらゆるマシン上で実行してはならないオペレーティングシステムを規定したり、あるいは、オペレーティングシステム、ネットワーク、若しくはファイアウォールパラメータを調整したり等、取るべき手順を決定する。命令エンジン１３５は、送受信機１１５に送出される命令を送り、そして、送受信機１１５は、それらの命令をイベント・エージェント４５に送信する。相関エンジン１４５は、イベント通知が、組み合わせて考慮された場合、ポリシ更新を保証するかどうかを判断する。１つ以上のネットワーク全体の様々なイベント・エージェントによって報告されたアクティビティを連続的に追跡し分析することによって、イベント処理サーバ１００は、分散されたシステム全体において関係ないと思われるイベントを互いに関連付け、潜在的な攻撃を認識することが可能である。攻撃は、特定のファイルへの書き込みと共に特定の資源へのアクセスの試み等、イベントの組み合わせによって規定し得る。また、アクセスされた時間とマシン資源との間の他の関係も、攻撃を表し得る。
【００２８】
参照モニタ２５、イベント・エージェント４５、及びイベント処理サーバ１００は、様々な方法で対話して、詳細に後述するように、個々のノードの局所的保護、１つ以上のノードの遠隔適応保護、及び１つ以上のノードに対する相互関係保護を行ない得る。
【００２９】
個々のノードの局所的保護は、参照モニタ２５によって行なわれる。図１に示した実施形態において、命令が、ネットワーク５からアプリケーション１５に到着するが、アプリケーション１５は、ｅメール、ブラウザ、端末サーバ、又はノードＡ上で走る他のソフトウェア・アプリケーションであってよい。１０で受信されるこのネットワークベースの命令は、２０においてアプリケーション１５にシステム資源３５に対して対応する要求を発信させ（即ち、ディスク又はＣＰＵへのアクセス）、この要求は、参照モニタ２５によって検出され経路設定される。この要求が、本実施形態において、参照モニタ内、又はハードディスク３５上のデータベースに符号化命令として記憶された予めプログラムされた管理ポリシに違反しない場合、参照モニタは、３０において、アプリケーション１５にシステム資源３５へアクセスさせる。この要求がこれらのポリシに違反する場合、参照モニタ２５は、３０において、アプリケーション１５がシステム資源へアクセスすることを阻止し得る。
【００３０】
参照モニタ２５は、イベント・エージェント４５及びイベント処理サーバ１００と共に動作して、局所的保護に加えて又はその代わりに、遠隔適応保護を行ない得る。また、図１に示すように、参照モニタ２５は、１０で到着する命令に関する基本的な分析を行ない、又、現管理ポリシによって規定したその性質に関してイベント・エージェント４５と４０で通信を行ない得る。次に、イベント・エージェント４５は、アクティビティの性質に関して、（同じ通知の転送を行なう）５０と１１０とでネットワーク５を介して、イベント処理サーバ１００に通知を送信する。イベント処理サーバ１００は、ネットワーク５から１１０で通知を受信する。送受信機１１５は、イベント・エージェント４５から１１０で通知を受信し、又、その処理の準備を行なう。このデータは、次に、ローダ１２５に１２０で送られ、ローダ１２５は、そのローディングを準備し、１３０で電子ファイル記憶装置１５５へのデータロードを開始する。一旦ロードされると、命令エンジン１３５及び相関エンジン１４５は、それぞれ１４０及び１５０で電子ファイル記憶装置１５５のデータを処理する。命令エンジン１３５は、管理ポリシに対する更新が保証されているかどうかを判断する。また、ノードＡを隔離したり、ノードＡ上で実行してはならないシステム動作を規定したり、ノードＡのオペレーティングシステムを調整したり、あるいは、ネットワーク若しくはファイアウォールパラメータを修正したり等、他の取るべき手順を決定する。管理ポリシに対する更新は、参照モニタ２５によって報告されるが、システム資源へのアクセスに対する単一要求に応じて、又は、システム資源へのアクセスに対する複数の要求の組み合わせに応じて発信し得る。命令エンジン１３５は、送受信機１１５に対して１６０でノードＡに関するポリシを更新するために命令を発信し、送受信機１１５は、ネットワーク５を介して、イベント・エージェント４５に１８０及び１９０で命令を送信する。
【００３１】
ある実施形態において、阻止された動作に関するイベント処理サーバ１００のソフトウェアへの通知に加えて、イベント・エージェント４５アプリケーションは、予めプログラムされた頻度で、管理ポリシ更新のために定期的にイベント処理サーバ１００にポーリングを行なう。イベント・エージェント４５ソフトウェアがイベント処理サーバ１００にポーリングすることは、望ましく、反対の場合は、少なくとも１つの理由で、望ましくない。特に、イベント・エージェント４５が動作するノードは、通常、イベント処理サーバ１００のアドレスを認識しており、特にノードが移動式ラップトップである場合、反対は起こり得ない。しかしながら、幾つかの場合、充分に厳重なセキュリティ対策でイベント処理サーバ１００を保護する場合、イベント・エージェント４５に対して、ポーリング又は一斉送信して、管理ポリシ更新を知らせるようにプログラムすると安全である。
【００３２】
遠隔適応保護の第２の実施形態を図２に示すが、この図は、イベント処理サーバ１００が、単一ノードへの攻撃を診断し、そして、他のノードへの後続の攻撃を防止するために動作する状態を示す。１０Ａにおいて、要求、メッセージ、又は他のコンテンツであり得るデータは、ノードＡ上で走るアプリケーション１５Ａに到着する。アプリケーション１５Ａは、例えば、ｅメールアプリケーション、又はこの若しくは他のネットワークにおける他のノードからデータ若しくは要求を受信するようになっている他のアプリケーションであってよい。前述したように、アプリケーション１５Ａがシステム資源３５Ａに２０Ａでアクセスを試みる時、この試みは、参照モニタ２５Ａによって阻止される。参照モニタ２５Ａは、予めプログラムされたポリシ（この場合、３０Ａで資源アクセスを許可する）に基づき、資源にアクセスする試みが受け入れ可能かどうか判断し、４０Ａでイベント・エージェント４５Ａにこの試みについて通知する。イベント・エージェント４５Ａは、イベント処理サーバ１００に５０Ａで通知を送信する。
【００３３】
イベント処理サーバ１００は、この通知を処理し、１３０でデータをロードした後、（例えば、ネットワークから到着するデータが、参照モニタ２５Ａによって以前認識されていないウイルスであったことを決定することによって）ノードＡ上の資源にアクセスする試みを許可すべきではなかったと判断する。１９０Ｂにおいて、システム資源３５Ｂへのアクセスを制限するために、イベント・エージェント４５Ｂに命令を送信して、管理ポリシを更新する。システム資源３５Ａ、３５Ｂは、複数の構成要素を含み、各構成要素は、別々にアクセスし得る。例えば、ｅメールウイルスが、システム資源３５Ａに含まれる１０個の構成要素へのアクセスを順次試みた場合、イベント・エージェント４５Ｂは、これら１０個の一部構成要素へのアクセス、１０個の全構成要素へのアクセス、又はシステム資源３５Ｂ内のこれらの及び他の構成要素へのアクセスを制限することを試みてよい。イベント・エージェント４５Ａ、４５Ｂは、参照モニタ２５Ａと共に動作して、アクセスされた構成要素を判断する。参照モニタ２５Ａがステイトフル参照モニタである場合、参照モニタ２５Ａは、アクセスされた構成要素を認識するが、これは、参照モニタ２５Ａが状態を維持するためである。
【００３４】
イベント・エージェント４５Ｂは、４１Ｂで命令を参照モニタ２５Ｂに送信し、参照モニタ２５Ｂは、これらの命令を取り入れるために、その管理ポリシを更新する。アプリケーション１６Ｂは、アプリケーション１５Ａと同じアプリケーションでなくてもよいが、データがネットワークからアプリケーション１６Ｂに１０Ｂで到着する時、システム資源にアクセスしようとする同様の試みが、２０Ｂで開始される。その管理ポリシを更新した参照モニタ２５Ｂは、この試み（図２において‘Ｘ’で示す）を拒否する。このように、イベント処理サーバ１００は、悪質な可能性のある命令又は要求を識別し、また、好適にはリアルタイムに、管理ポリシの更新によってそれらの実行を防止することによって、被害を及ぼす恐れのあるアクティビティがネットワーク上の２つ以上のノードに影響を及ぼさないようにする。
【００３５】
相互関係保護の例を、図３に示すが、この図は、複数のノードから受信された通知を処理して攻撃が進行中であることを判断し、また、他のノードにおいて後続の同様なアクティビティを防止することを示す。前述の実施形態のように、１０Ａ及び１０Ｂにおいて、要求、メッセージ、又は他のコンテンツであり得るデータが、それぞれノードＡ及びＢ上で走るアプリケーション１５Ａ及び１６Ｂに到着する。アプリケーション１５Ａ及び１６Ｂは、例えば、ｅメールアプリケーション、又はこの若しくは他のネットワークにおける他のノードからデータ又は要求を受信するようになっている他のアプリケーションであってよいが、アプリケーション１５Ａ及び１６Ｂは、同じアプリケーションでなくてもよい。前述したように、アプリケーション１５Ａ及び１６Ｂが、それぞれ２０Ａ及び２０Ｂで、システム資源３５Ａ及び３５Ｂへのアクセスを試みる時、これらの試みは、それぞれの参照モニタ２５Ａ及び２５Ｂによって阻止される。参照モニタは、予めプログラムされたポリシに基づき、資源にアクセスしようとする試みが、受け入れ可能か検証し、３０Ａ及び３０Ｂでアクセスを許可する。また、参照モニタ２５Ａ及び２５Ｂは、このアクティビティに関して、それぞれ４０Ａ及び４０Ｂで、イベント・エージェント４５Ａ及び４５Ｂにも通知する。イベント・エージェント４５Ａ及び４５Ｂは、このアクティビティの通知をイベント処理サーバ１００に送信し、イベント処理サーバ１００は、それを電子ファイル記憶装置１５５にロードして処理する。
【００３６】
イベント処理サーバ１００は、この実施形態において、図１に示したように相関エンジン１４５構成要素を含み、電子ファイル記憶装置１５５のデータを処理して、モニタされたアクティビティを予めプログラムされた組み合わせ及び時間フレームと比較することによって、ノードＡ及びＢ上のアクションが、有害な可能性のあるアクティビティを表すことを判断する。ノードＤ及びＥ上で走るイベント・エージェント４５Ｄ及び４５Ｅは、これらの通知を受信し、それぞれの参照モニタ２５Ｄ及び２５Ｅに命令を送信して、それぞれ４１Ｄ及び４１Ｅで管理ポリシを更新する。幾つかの実施形態において、イベント・エージェント４５Ａ及び４５Ｂは、これらの通知も受信し、参照モニタ２５Ａ及び２５Ｂに命令を送信して、それぞれ４０Ａ及び４０Ｂで管理ポリシを更新する。他の選択可能な実施形態において、命令は、あるノードに特有の管理ポリシ変更、特定のノードの隔離、ネットワーク若しくはファイアウォールパラメータの調整、又は、他の命令を含み得る。例示した実施形態において、参照モニタ２５Ｄ及び２５Ｅは、更新された管理ポリシを組み込むことで、後続のネットワーク要求が、それぞれ１０Ｄ及び１０Ｅでアプリケーション１７Ｄ及び１８Ｅに到着する時、システム資源３５Ｄ及び３５Ｅに対する要求が、拒否される（図３において‘Ｘ’で示す）。
このように、イベント処理サーバ１００は、組み合わせて考慮した場合、複数のワークステーションに生じるアクティビティが、悪質な又は有害な可能性のあるイベントを表すことを見分け、また、命令を送信して、リアルタイムに、そのアクティビティがネットワーク上の１つ又は複数の他のノードに影響を及ぼさないようにする。
【００３７】
ある実施形態において、イベント処理サーバ１００は、イベント・エージェント４５によってポーリングされると、ポリシ更新又はネットワークパラメータ修正等の命令も伝える。しかしながら、ある実施形態及び／又は緊急事態において、イベント処理サーバ１００は、１つ以上のイベント・エージェント４５に自発的な命令を送信して管理ポリシを更新し得る。
【００３８】
ある実施形態において、イベント処理サーバ１００は、予めプログラムされたセキュリティ対策を利用可能にする適切なイベント・エージェント４５に通知を送信するが、他の実施形態において、イベント処理サーバ１００は、命令を発信して、イベント・エージェント４５によって観察されたアクティビティの分析に基づき、新しい対策を課す。セキュリティ対策更新は、観察された攻撃をできるだけ早く阻止するために、或る数のイベント・エージェント４５に命令を発信することによって、リアルタイムに実行することが好ましい。
【００３９】
ある実施形態において、イベント・エージェント（群）４５は、参照モニタ（群）２５によって検出されたアクティビティに関してイベント処理サーバ１００に通知することに加えて、他のエンティティにも通知し得る。１つの例において、イベント・エージェント（群）４５は、ポケットベル、ｅメール、ＳＮＭＰトラップ、任意の他のサーバ若しくはコンソールへのメッセージ、ＳＭＳメッセージ、又は他の通信方法によって、このアクティビティに関して、ネットワーク管理者に通知し得る。他の例において、イベント・エージェント（群）４５は、検出されたアクティビティのネットワーク上に常駐するソフトウェア・アプリケーション又は他のプログラムされた構成要素に通知し得る。例えば、イベント・エージェント４５は、ファイアウォールの構成を更新できるように、ファイアウォールアプリケーションに通知し得る。また、イベント処理サーバ１００は、結果的に生じる命令をイベント・エージェント４５に発信する前又は後、これらの又は他の通信方法を用いて、これらのエンティティに通知し得る。
【００４０】
本発明の実施形態は、あるイベント処理サーバが他のイベント処理サーバと通信を行なって、ネットワーク上の大きな集団のノードを保護するように構成し得る。図６に示したように、ノードＡ、Ｂは、サーバＣと通信状態１０、２０にあり、状態変化を認識するとサーバＣに通知し、ノードＤ、Ｅは、サーバＦと通信状態３０，４０にあり、状態変化を認識するとサーバＦに通知する。サーバＣ、Ｆは、サーバＧと通信状態６０，７０にある。サーバＧは、更に他のサーバ（図示せず）と通信状態にあってもなくてもよい。本発明の１つの実施形態によれば、サーバＣ又はＦは、サーバＣ又はＦと通信状態にあるノードによって状態変化に関する通知がなされると、状態変化及び／又は結果として生じる管理ポリシの修正をサーバＧに対して伝え、こうして、命令及び／又は更新が他のサーバ及び／又は他のノードに伝わる。
【００４１】
様々な実施形態には、所定の位置に様々な通信構成がある。例えば、サーバＧと排他的な通信状態６０，７０にあるサーバＣ及びＦから構成される“階層的な”通信構造は、互いに通信状態５０にあるサーバＣ及びＦから構成される“平面”構造によって置き換え又は補足し得るため、通知は、サーバＧを通って移動してネットワーク上の他のサーバに行き着く必要はない。様々な実施形態が、階層構造、平面構造、又は双方の組み合わせを用い得る。
【００４２】
本発明について、具体的な実施形態を参照して詳細に図示し記述し、その変形例を示したが、形態及び詳細の様々な新たな変更を、以下の請求項によって定義される本発明の精神と範囲から逸脱することなく、成し得ることを、当業者は理解されたい。
【図面の簡単な説明】
【００４３】
【図１】本発明の少なくとも１つの実施形態の側面を示すシステム構成要素の相互関係を表す機能ブロック図。
【図２】本発明の少なくとも１つの他の実施形態における側面を示すシステム構成要素の相互関係を表す機能ブロック図。
【図３Ａ】本発明の少なくとも第３の実施形態の側面を示すシステム構成要素の相互関係を表す機能ブロック図。
【図３Ｂ】本発明の少なくとも第３の実施形態の側面を示すシステム構成要素の相互関係を表す機能ブロック図。
【図４】本発明の実施形態の側面を実現し得る例示のコンピュータシステムのブロック図。
【図５】本発明の実施形態の側面を実現し得る例示のコンピュータシステム構成要素を表すブロック図。
【図６】本発明の少なくとも第４の実施携帯の側面を示すシステム構成要素の相互関係を表すブロック図。

Claims

第１及び第２ノード並びにイベント処理サーバを含むネットワーク化されたコンピュータシステムを保全する方法であって、
前記第１及び第２ノードが各々、対応するノードのアプリケーションに起因するシステム資源の状態変化を検出する段階と、
前記イベント処理サーバが、前記第１及び第２ノードから前記状態変化に関する通知を受信する段階と、
前記イベント処理サーバが、前記第１及び第２ノードにおいて検出された状態変化を関連付ける段階と、
前記イベント処理サーバが、前記関連付けられた状態変化に基づいて前記第１及び第２ノードに影響を及ぼす保全決定を実行する段階と、を含み、
前記検出する段階、伝送する段階、関連付ける段階、実行する段階は、人が介在すること無く起こる方法。
請求項１に記載の方法であって、前記状態変化は、イベント及びイベント欠如の内の少なくとも１つの結果である方法。
請求項１に記載の方法であって、前記状態変化は、参照モニタによって認識される方法。
請求項３に記載の方法であって、前記モニタは、ステイトフル参照モニタである方法。
請求項１に記載の方法であって、
前記イベント処理サーバが報告を受信することは、前記第１及び第２ノードが前記イベント処理サーバに報告することと、前記イベント処理サーバが前記第１及び第２ノードにポーリングすること、の内の１つの結果である方法。
請求項１に記載の方法であって、更に、
前記イベント処理サーバが、前記保全決定の基準である前記ネットワーク上の動作ポリシを更新する段階が含まれる方法。
請求項６に記載の方法であって、
前記動作ポリシを更新する段階には、少なくとも１つのノードにおいてセキュリティポリシの変更を要求する段階と、少なくとも１つのノードにおいてシステム資源にアクセスする権利の変更を要求する段階と、少なくとも１つのノードにおいてシステムパラメータを調整する段階と、ネットワークファイアウォールパラメータを修正する段階と、の内少なくとも１つが含まれる方法。
請求項６に記載の方法であって、更に、少なくとも１つのノードが、更新された動作ポリシを実施する段階が含まれる方法。
請求項１に記載の方法であって、更に、取られるアクションについて、外部エンティティに通知する段階が含まれる方法。
請求項９に記載の方法であって、前記外部エンティティは、ネットワーク管理者である方法。
請求項９に記載の方法であって、前記外部エンティティは、前記ネットワーク上で動作するソフトウェア・アプリケーションである方法。
ネットワーク化されたコンピュータシステムを保全するための方法であって、
少なくとも１つのノードが、前記ノードのアプリケーションに起因するシステム資源の状態変化を検出する段階と、
前記ネットワーク上のイベント処理サーバが、前記少なくとも１つのノードから少なくとも１つの状態変化に関する通知を受信する段階と、
前記イベント処理サーバが、前記少なくとも１つの状態変化に関する通知に基づく保全決定を実行すると共に前記通知に応答する段階と、が含まれ、
前記検出する段階と、受信する段階と、応答する段階と、は、人が介在すること無く起こる方法。
請求項１２に記載の方法であって、前記状態変化は、イベント及びイベント欠如の内の少なくとも１つの結果である方法。
請求項１２に記載の方法であって、前記状態変化は、参照モニタによって認識される方法。
請求項１４に記載の方法であって、前記参照モニタは、ステイトフル参照モニタである方法。
請求項１２に記載の方法であって、
前記イベント処理サーバが報告を受信することは、前記ノードが前記イベント処理サーバに報告することと、前記イベント処理サーバが前記ノードにポーリングすること、の内の１つの結果である方法。
請求項１２に記載の方法であって、前記保全決定は、前記状態変化を検出する前記少なくとも１つのノードに影響を及ぼす方法。
請求項１２に記載の方法であって、前記保全決定は、前記状態変化を検出する前記ノード以外に少なくとも１つのノードに影響を及ぼす方法。
請求項１２に記載の方法であって、更に、イベント処理サーバが、前記ネットワークにおける動作ポリシを更新する段階が含まれる方法。
請求項１９に記載の方法であって、
前記動作ポリシを更新する段階には、少なくとも１つのノードにおいてセキュリティポリシの変更を要求する段階と、少なくとも１つのノードにおいてシステム資源にアクセスする権利の変更を要求する段階と、少なくとも１つのノードにおいてシステムパラメータを調整する段階と、ネットワークファイアウォールパラメータを修正する段階と、の内少なくとも１つが含まれる方法。
請求項１９に記載の方法であって、更に、少なくとも１つのノードが、前記更新された動作ポリシを実施する段階が含まれる方法。
請求項１２に記載の方法であって、更に、取られるアクションについて、外部エンティティに通知する段階が含まれる方法。
請求項２２に記載の方法であって、前記外部エンティティは、ネットワーク管理者である方法。
請求項２２に記載の方法であって、前記外部エンティティは、前記ネットワーク上で動作するソフトウェア・アプリケーションである方法。
ネットワーク化されたコンピュータシステム上のノードを保全するための方法であって、
少なくとも１つのノードが、前記ノードのアプリケーションに起因するシステム資源の状態変化を検出する段階と、
前記少なくとも１つのノードが、前記状態変化に反応して前記少なくとも１つのノードの資源へのアクセスを阻止する段階と、を含み、
前記少なくとも１つのノードが検出し且つ反応して阻止する段階は、人が介在すること無く起こる方法。
請求項２５に記載の方法であって、前記状態変化は、イベント及びイベント欠如の内の少なくとも１つの結果である方法。
請求項２５に記載の方法であって、前記状態変化は、参照モニタによって認識される方法。
請求項２７に記載の方法であって、前記参照モニタは、ステイトフル参照モニタである方法。
請求項２５に記載の方法であって、更に、前記少なくとも１つのノードが、前記ネットワーク上のイベント処理サーバに通知する方法。
請求項２５に記載の方法であって、更に、前記イベント処理サーバが、前記ネットワークにおいて動作ポリシを更新することによって前記少なくとも１つのノードが阻止することへの反応に応答する段階が含まれる方法。
請求項３０に記載の方法であって、
前記動作ポリシを更新する段階には、少なくとも１つのノードにおいてセキュリティポリシの変更を要求する段階と、少なくとも１つのノードにおいてシステム資源にアクセスする権利の変更を要求する段階と、少なくとも１つのノードにおいてシステムパラメータを調整する段階と、ネットワークファイアウォールパラメータを修正する段階と、の内少なくとも１つが含まれる方法。
請求項３０に記載の方法であって、更に、少なくとも１つのノードが、前記更新された動作ポリシを実施する段階が含まれる方法。
請求項２５に記載の方法であって、更に、取られるアクションについて、外部エンティティに通知する段階が含まれる方法。
請求項３３に記載の方法であって、前記外部エンティティは、ネットワーク管理者である方法。
請求項３３に記載の方法であって、前記外部エンティティは、前記ネットワーク上で動作するソフトウェア・アプリケーションである方法。
命令が記録されたコンピュータ読み取り可能媒体であって、命令が、実行された時、ネットワーク化されたコンピュータシステムにおいて少なくとも１つのプロセッサに、
アプリケーションに起因するシステム資源の状態変化を検出させ、
前記検出された状態変化に反応する段階を規定する命令を処理させる、コンピュータ読み取り可能媒体。
請求項３６に記載のコンピュータ読み取り可能媒体であって、更に、イベント処理サーバに前記状態変化を通信する段階を規定する命令が含まれるコンピュータ読み取り可能媒体。
請求項３７に記載のコンピュータ読み取り可能媒体であって、更に、前記イベント処理サーバから受信された保全命令を処理する段階を規定する命令が含まれるコンピュータ読み取り可能媒体。
請求項３６に記載のコンピュータ読み取り可能媒体であって、更に、取られるアクションに関してネットワーク管理者に通知を送信する段階を規定する命令が含まれるコンピュータ読み取り可能媒体。
命令が記録されたコンピュータ読み取り可能媒体であって、前記命令が、実行された時、ネットワーク化されたコンピュータシステムにおいて少なくとも１つのプロセッサに、
前記ネットワーク用の動作ポリシを維持させ、
少なくとも１つのノードから前記ノードのアプリケーションに起因するシステム資源の状態変化に関する通知を受信させ、
前記状態変化に基づき、前記動作ポリシを更新させる、コンピュータ読み取り可能媒体。
請求項４０に記載のコンピュータ読み取り可能媒体であって、更に、状態変化に関する受信された通知をメモリに記憶する段階を規定する命令が含まれるコンピュータ読み取り可能媒体。
請求項４１に記載のコンピュータ読み取り可能媒体であって、更に、複数のノードから受信された通知を関連付ける段階を規定する命令が含まれるコンピュータ読み取り可能媒体。
請求項４１に記載のコンピュータ読み取り可能媒体であって、更に、受信された通知を電子ファイル記憶装置に記憶する段階を規定する命令が含まれるコンピュータ読み取り可能媒体。
請求項４０に記載のコンピュータ読み取り可能媒体であって、更に、取られるアクションに関して外部エンティティに通知する段階を規定する命令が含まれるコンピュータ読み取り可能媒体。
請求項４４に記載のコンピュータ読み取り可能媒体であって、前記外部エンティティは、ネットワーク管理者であるコンピュータ読み取り可能媒体。
請求項４４に記載のコンピュータ読み取り可能媒体であって、前記外部エンティティは、ネットワーク上で動作するソフトウェア・アプリケーションであるコンピュータ読み取り可能媒体。
ネットワーク化されたコンピュータシステムを保全するための方法であって、
少なくとも１つのノードが、アプリケーションに起因するシステム資源の状態変化を検出する段階と、
前記ネットワーク上のイベント処理サーバが、前記少なくとも１つのノードから、前記少なくとも１つの状態変化に関する通知を受信する段階と、
前記イベント処理サーバが、前記状態変化に基づく保全決定を実施して前記通知に応答する段階と、が含まれる方法。
請求項４７に記載の方法であって、更に、
前記イベント処理サーバが、前記ネットワーク化されたコンピュータシステム上の少なくとも１つのノードに対する前記保全決定を人間が介在すること無く実行する段階が含まれる方法。
請求項４８に記載の方法であって、
人間のオペレータには、前記保全決定が人間の介在無しに実行される前に、それを実行するように、所定の期間、入力待ちの状態が割り当てられる方法。