特許 6571776 自動的なデバイス検出、デバイス管理およびリモート援助のためのシステムおよび方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6571776

(24)【登録日】2019年8月16日

(45)【発行日】2019年9月4日

(54)【発明の名称】自動的なデバイス検出、デバイス管理およびリモート援助のためのシステムおよび方法

(51)【国際特許分類】

   H04L 12/66 20060101AFI20190826BHJP

   H04L 12/70 20130101ALI20190826BHJP

【ＦＩ】

   H04L12/66 B

   H04L12/70 B

【請求項の数】26

【全頁数】31

(21)【出願番号】特願2017-531210(P2017-531210)

(86)(22)【出願日】2015年12月11日

(65)【公表番号】特表2017-537562(P2017-537562A)

(43)【公表日】2017年12月14日

(86)【国際出願番号】RO2015050013

(87)【国際公開番号】WO2016093724

(87)【国際公開日】20160616

【審査請求日】2018年6月28日

(31)【優先権主張番号】62/090,547

(32)【優先日】2014年12月11日

(33)【優先権主張国】US

(31)【優先権主張番号】62/180,390

(32)【優先日】2015年6月16日

(33)【優先権主張国】US

(31)【優先権主張番号】62/217,310

(32)【優先日】2015年9月11日

(33)【優先権主張国】US

(73)【特許権者】

【識別番号】312016539

【氏名又は名称】ビットディフェンダー アイピーアール マネジメント リミテッド

(74)【代理人】

【識別番号】100140109

【弁理士】

【氏名又は名称】小野 新次郎

(74)【代理人】

【識別番号】100118902

【弁理士】

【氏名又は名称】山本 修

(74)【代理人】

【識別番号】100106208

【弁理士】

【氏名又は名称】宮前 徹

(74)【代理人】

【識別番号】100120112

【弁理士】

【氏名又は名称】中西 基晴

(74)【代理人】

【識別番号】100196508

【弁理士】

【氏名又は名称】松尾 淳一

(72)【発明者】

【氏名】セベレ，ボグダン−コンスタンティン

(72)【発明者】

【氏名】ミルチェスク，ダニエル−アレクサンドル

【審査官】 玉木 宏治

(56)【参考文献】

【文献】 米国特許出願公開第２００８／０１７２４７６（ＵＳ，Ａ１）

【文献】 特開２０１３−１８３４０５（ＪＰ，Ａ）

【文献】 欧州特許出願公開第０２５７５３１９（ＥＰ，Ａ１）

【文献】 米国特許出願公開第２０１６／００８０４２５（ＵＳ，Ａ１）

【文献】 米国特許出願公開第２０１１／０１２２７７４（ＵＳ，Ａ１）

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｈ０４Ｌ １２／００−９５５

(57)【特許請求の範囲】

【請求項1】

ハードウェアプロセッサおよびメモリを備えるネットワークレギュレータであって、前記ハードウェアプロセッサは、
リモートの構成サーバからセキュリティ設定のセットを受け取ることに応答して、前記ネットワークレギュレータを前記セキュリティ設定に従って構成することであって、前記ネットワークレギュレータを前記セキュリティ設定に従って構成することは、前記ネットワークレギュレータに複数のクライアントシステムをコンピュータセキュリティの脅威から保護させ、前記複数のクライアントシステムは、ローカルネットワークに接続され、ルータは、前記複数のクライアントシステムにネットワークアドレスを割り当てるネットワークサービスを提供する、ネットワークレギュレータを前記セキュリティ設定に従って構成することと、
前記ルータに前記ローカルネットワークを介して接続することに応答して、前記ネットワークレギュレータを前記構成サーバに接続するトンネルをセットアップすることであって、前記トンネルをセットアップすることは、前記ルータに前記トンネルを介して受け取られた通信をリダイレクトするように前記ネットワークレギュレータを構成することを含み、前記通信は、前記ネットワークサービスの中断を引き起こすように構成された、トンネルをセットアップすることと、
前記中断に応答して、前記ルータから前記ネットワークサービスを引き継ぐことと
を行うように構成された、ネットワークレギュレータ。

【請求項2】

請求項１に記載のネットワークレギュレータであって、前記ネットワークサービスの前記中断は、前記ルータを無能力化することを含む、ネットワークレギュレータ。

【請求項3】

請求項１または２に記載のネットワークレギュレータであって、前記通信は、前記ルータによって実行されるとき、前記ネットワークサービスの前記中断を引き起こす命令のセットを含む、ネットワークレギュレータ。

【請求項4】

請求項１から３のうちの何れか一項に記載のネットワークレギュレータであって、前記通信は、前記ルータの構成インターフェースを公開するリクエストを含む、ネットワークレギュレータ。

【請求項5】

請求項１から４のうちの何れか一項に記載のネットワークレギュレータであって、前記通信は、前記ルータの構成インターフェースのフィールドのセットを値のセットで自動的に埋めるように構成され、値の前記セットは、前記ネットワークサービスの前記中断を引き起こすように選択された、ネットワークレギュレータ。

【請求項6】

請求項１から５のうちの何れか一項に記載のネットワークレギュレータであって、前記通信は、前記ルータの構成インターフェースにログインするためのユーザ認証情報のセットを含む、ネットワークレギュレータ。

【請求項7】

請求項１から６のうちの何れか一項に記載のネットワークレギュレータであって、前記ハードウェアプロセッサは、前記ネットワークサービスを引き継ぐことに応答して、
トンネルリクエストを前記構成サーバから受け取ることであって、前記トンネルリクエストは、前記複数のクライアントシステムのうちの標的のクライアントシステムを示す、トンネルリクエストを前記構成サーバから受け取ることと、
前記トンネルリクエストを受け取ることに応答して、前記ネットワークレギュレータを前記構成サーバに接続する第２のトンネルをセットアップすることであって、前記第２のトンネルをセットアップすることは、前記標的のクライアントシステムに、前記第２のトンネルを介して前記構成サーバから受け取られた第２の通信をリダイレクトするように、前記ネットワークレギュレータを構成することを含む、第２のトンネルをセットアップすることと
を行うようにさらに構成された、ネットワークレギュレータ。

【請求項8】

請求項７に記載のネットワークレギュレータであって、前記第２の通信は、ユーティリティエージェントを前記標的のクライアントシステムにインストールするように構成されたエージェントインストーラを含む、ネットワークレギュレータ。

【請求項9】

請求項７または８に記載のネットワークレギュレータであって、前記第２の通信は、前記標的のクライアントシステムの動作パラメータのセットを調節するためのパラメータの値のセットを含む、ネットワークレギュレータ。

【請求項10】

請求項１から９のうちの何れか一項に記載のネットワークレギュレータと、前記ローカルネットワークの外部で実行されるセキュリティサーバとを含むシステムであって、前記複数のクライアントシステムをコンピュータセキュリティの脅威から保護することは、リソースにアクセスするリクエストを前記セキュリティサーバにリダイレクトすることを含み、前記リクエストは、前記複数のクライアントシステムのうちの１つのクライアントシステムから前記ネットワークレギュレータによって受け取られ、前記セキュリティサーバは、前記リソースへのアクセスを認めることが、前記クライアントシステムをコンピュータセキュリティの脅威にさらすかどうかを判定するように構成された、システム。

【請求項11】

請求項１から９のうちの何れか一項に記載のネットワークレギュレータであって、前記トンネルは、セキュアシェル（ＳＳＨ）プロトコルに従ってセットアップされる、ネットワークレギュレータ。

【請求項12】

請求項１に記載のネットワークレギュレータと、構成サーバとを含むシステムであって、前記構成サーバは、
セキュリティ設定の前記セットを前記ネットワークレギュレータに送信することと、
前記ネットワークレギュレータに、前記ネットワークレギュレータによってセットアップされたトンネルを介して前記通信を送信することと
を行うように構成された、システム。

【請求項13】

請求項１２に記載のシステムであって、前記ネットワークサービスの前記中断は、前記ルータを無能力化することを含む、システム。

【請求項14】

請求項１２または１３に記載のシステムであって、前記通信は、前記ルータによって実行されるとき、前記ネットワークサービスの前記中断を引き起こす命令のセットを含む、システム。

【請求項15】

請求項１２から１４のうちの何れか一項に記載のシステムであって、前記通信は、前記ルータの構成インターフェースを公開するリクエストを含む、システム。

【請求項16】

請求項１２から１５のうちの何れか一項に記載のシステムであって、前記通信は、前記ルータの構成インターフェースのフィールドのセットを値のセットで自動的に埋めるように構成され、値の前記セットは、前記ネットワークサービスの前記中断を引き起こすように選択された、システム。

【請求項17】

請求項１２から１６のうちの何れか一項に記載のシステムであって、前記通信は、前記ルータの構成インターフェースにログインするためのユーザ認証情報のセットを含む、システム。

【請求項18】

請求項１２から１７のうちの何れか一項に記載のシステムであって、前記構成サーバは、前記通信の送信に備えて、
前記トンネルを介して前記ルータのデバイスタイプを示すデバイスタイプのデータのセットを入手することと、
デバイスタイプのデータの前記セットを入手することに応答して、前記通信を前記ルータの前記デバイスタイプに従って構成することと
を行うようにさらに構成された、システム。

【請求項19】

請求項１２から１８のうちの何れか一項に記載のシステムであって、前記構成サーバは、前記ルータのデバイスタイプを前記通信に対するレスポンスに従って決定するようにさらに構成された、システム。

【請求項20】

請求項１２から１９のうちの何れか一項に記載のシステムであって、前記構成サーバは、前記通信を送信することに応答して、
トンネルリクエストを前記ネットワークレギュレータに送信することであって、前記トンネルリクエストは、前記複数のクライアントシステムのうちの標的のクライアントシステムを示し、前記トンネルリクエストを受け取ることは、前記ネットワークレギュレータに、前記ネットワークレギュレータを前記構成サーバに接続する第２のトンネルをセットアップさせ、前記第２のトンネルをセットアップすることは、前記標的のクライアントシステムに、前記第２のトンネルを介して受け取られた第２の通信をリダイレクトするように、前記ネットワークレギュレータを構成することを含む、トンネルリクエストを前記ネットワークレギュレータに送信することと、
前記トンネルリクエストを送信することに応答して、前記第２の通信を前記ネットワークレギュレータに前記第２のトンネルを介して送信することと
を行うようにさらに構成された、システム。

【請求項21】

請求項２０に記載のシステムであって、前記第２の通信は、ユーティリティエージェントを前記標的のクライアントシステムにインストールするように構成されたエージェントインストーラを含む、システム。

【請求項22】

請求項２０または２１に記載のシステムであって、前記第２の通信は、前記標的のクライアントシステムの動作パラメータのセットを調節するためのパラメータの値のセットを含む、システム。

【請求項23】

請求項２０から２２のうちの何れか一項に記載のシステムであって、前記構成サーバは、前記第２の通信の送信に備えて、
前記第２のトンネルを介して前記標的のクライアントシステムのデバイスタイプを示すデバイスタイプのデータのセットを入手することと、
デバイスタイプのデータの前記セットを入手することに応答して、前記第２の通信を前記ルータの前記デバイスタイプに従って構成することと
を行うようにさらに構成された、システム。

【請求項24】

請求項１２から２３のうちの何れか一項に記載のシステムであって、前記ローカルネットワークの外部で実行されるセキュリティサーバをさらに含み、前記複数のクライアントシステムをコンピュータセキュリティの脅威から保護することは、前記ネットワークレギュレータが、リソースにアクセスするリクエストを前記セキュリティサーバにリダイレクトすることを含み、前記リクエストは、前記複数のクライアントシステムのうちの１つのクライアントシステムから前記ネットワークレギュレータによって受け取られ、前記セキュリティサーバは、前記リソースへのアクセスを認めることが、前記クライアントシステムをコンピュータセキュリティの脅威にさらすかどうかを判定するように構成された、システム。

【請求項25】

請求項１２から２４のうちの何れか一項に記載のシステムであって、前記トンネルは、セキュアシェル（ＳＳＨ）プロトコルに従ってセットアップされる、システム。

【請求項26】

命令を格納する非一時的コンピュータ可読媒体であって、前記命令は、ネットワークレギュレータの少なくとも１つのハードウェアプロセッサによって実行されるとき、前記ネットワークレギュレータに、
セキュリティ設定のセットをリモートの構成サーバから受け取ることに応答して、前記ネットワークレギュレータを前記セキュリティ設定に従って構成するステップであって、前記ネットワークレギュレータを前記セキュリティ設定に従って構成することは、前記ネットワークレギュレータに複数のクライアントシステムをコンピュータセキュリティの脅威から保護させ、前記複数のクライアントシステムは、ローカルネットワークに接続され、ルータは、前記複数のクライアントシステムにネットワークアドレスを割り当てるネットワークサービスを提供する、ステップと、
前記ルータに前記ローカルネットワークを介して接続することに応答して、前記ネットワークレギュレータを前記構成サーバに接続するトンネルをセットアップするステップであって、前記トンネルをセットアップすることは、前記ルータに前記トンネルを介して前記構成サーバから受け取られた通信をリダイレクトするように前記ネットワークレギュレータを構成することを含み、前記通信は、前記ネットワークサービスの中断を引き起こすように構成された、ステップと、
前記中断に応答して、前記ネットワークサービスを前記ルータから引き継ぐステップと
を行わせる、非一時的コンピュータ可読媒体。

【発明の詳細な説明】

【技術分野】

【0001】

[0001]本出願は、２０１４年１２月１１日出願の「Ｓｙｓｔｅｍｓ ａｎｄ Ｍｅｔｈｏｄｓ ｆｏｒ Ｓｅｃｕｒｉｎｇ Ｎｅｔｗｏｒｋ Ｅｎｄｐｏｉｎｔｓ（ネットワークエンドポイントをセキュアにするためのシステムおよび方法）」という名称の米国仮特許出願第６２／０９０，５４７号、２０１５年６月１６日出願の「Ｓｙｓｔｅｍｓ ａｎｄ Ｍｅｔｈｏｄｓ ｆｏｒ Ａｕｔｏｍａｔｉｃ Ｄｅｖｉｃｅ Ｄｅｔｅｃｔｉｏｎ， Ｄｅｖｉｃｅ Ｍａｎａｇｅｍｅｎｔ， ａｎｄ Ｒｅｍｏｔｅ Ａｓｓｉｓｔａｎｃｅ（自動デバイス検出、デバイス管理およびリモート援助のためのシステムおよび方法）」という名称の米国仮特許出願第６２／１８０，３９０号、ならびに２０１５年９月１１日出願の「Ｓｙｓｔｅｍｓ ａｎｄ Ｍｅｔｈｏｄｓ ｆｏｒ Ａｕｔｏｍａｔｉｃ Ｎｅｔｗｏｒｋ Ｓｅｒｖｉｃｅ Ｔａｋｅｏｖｅｒ（自動ネットワークサービスの引継ぎのためのシステムおよび方法）」という名称の米国仮特許出願第６２／２１７，３１０号の出願日の利益を主張するものであり、これらの全内容が本明細書に参照により援用される。

【0002】

[0002]本発明は、コンピュータセキュリティの脅威に対してネットワークエンドポイントをセキュアにするためのシステムおよび方法、ならびに、自動デバイス検出およびリモートデバイス管理のためのシステムおよび方法に関する。

【背景技術】

【0003】

[0003]マルウェアとしても知られる悪質なソフトウェアは、世界中で非常に多くのコンピュータシステムに影響を及ぼす。コンピュータウイルス、エクスプロイト、およびスパイウェアなどの多くの形で、マルウェアは、何百万ものコンピュータユーザに深刻なリスクをもたらし、データおよび機密情報の喪失、個人情報の盗難、ならびに生産性の喪失などに対してコンピュータユーザを脆弱にする。

【0004】

[0004]非公式にモノのインターネット（ＩｏＴ）と呼ばれる、非常に多様なデバイスが、現在、通信ネットワークおよびインターネットに接続されている。このようなデバイスは、とりわけ、スマートフォン、スマートウオッチ、ＴＶおよび他のマルチメディアデバイス、家庭用ゲーム機、家庭用電化製品、ならびにサーモスタットなどの様々な家庭用センサを含む。さらに多くのこのようなデバイスがオンライン化されるので、このようなデバイスは、セキュリティの脅威に対する標的になる。したがって、マルウェアに対してこのようなデバイスをセキュアにし、このようなデバイスとやりとりする通信を保護する必要性が高まっている。

【0005】

[0005]さらに、家およびオフィスなどの環境におけるこのようなインテリジェントデバイスの拡散は、デバイスおよびネットワーク管理の問題を増加させる。それぞれのデバイスが、別個の構成インターフェースを使用し、別々の接続設定を要求すると、多くのこのようなデバイスを管理することが、とりわけネットワーク管理の経験がない典型的なホームユーザにとって負担になる可能性がある。したがって、特にセキュリティに重点をおいて、自動的にデバイスを検出し、設定するためのシステムおよび方法を開発することについて関心が高まっている。

【発明の概要】

【0006】

[0006]１つの態様によれば、ネットワークレギュレータは、ハードウェアプロセッサおよびメモリを備え、ハードウェアプロセッサは、リモートの構成サーバからセキュリティ設定のセットを受け取ることに応答して、セキュリティ設定に従ってネットワークレギュレータを構成するように構成され、セキュリティ設定に従ってネットワークレギュレータを構成することが、ネットワークレギュレータにコンピュータセキュリティの脅威から複数のクライアントシステムを保護させ、複数のクライアントシステムは、ローカルネットワークに接続され、ルータは、複数のクライアントシステムにネットワークアドレスを割り当てることを含むネットワークサービスを提供する。さらに、ハードウェアプロセッサは、ローカルネットワークでルータに接続することに応答して、構成サーバにネットワークレギュレータを接続するトンネルをセットアップするように構成され、トンネルをセットアップすることは、トンネルを介して受け取られた通信をルータにリダイレクトするようにネットワークレギュレータを構成することを含み、通信は、ネットワークサービスの中断を引き起こすように構成される。さらに、ハードウェアプロセッサは、中断に応答して、ルータからネットワークサービスを引き継ぐように構成される。

【0007】

[0007]別の態様によれば、構成サーバは、少なくとも１つのハードウェアプロセッサおよびメモリを備え、少なくとも１つのハードウェアプロセッサは、リモートネットワークに接続されたネットワークレギュレータにセキュリティ設定のセットを送信するように構成され、セキュリティ設定に従ってネットワークレギュレータを構成することは、ネットワークレギュレータにコンピュータセキュリティの脅威から複数のクライアントシステムを保護させ、複数のクライアントシステムは、リモートネットワークに接続され、ルータは、複数のクライアントシステムにネットワークアドレスを割り当てることを含むネットワークサービスを提供する。さらに、少なくとも１つのハードウェアプロセッサは、ネットワークレギュレータによってセットアップされたトンネルを介してネットワークレギュレータに通信を送信するように構成され、トンネルは、構成サーバにネットワークレギュレータを接続し、トンネルをセットアップすることは、ルータに通信をリダイレクトするようにネットワークレギュレータを構成することを含み、通信は、ネットワークサービスの中断を引き起こすように構成される。

【0008】

[0008]別の態様によれば、非一時的コンピュータ可読媒体は、命令を格納し、命令は、ネットワークレギュレータの少なくとも１つのハードウェアプロセッサによって実行されるとき、ネットワークレギュレータに、リモートの構成サーバからセキュリティ設定のセットを受け取ることに応答して、セキュリティ設定に従ってネットワークレギュレータを構成させ、セキュリティ設定に従ってネットワークレギュレータを構成することが、ネットワークレギュレータにコンピュータセキュリティの脅威から複数のクライアントシステムを保護させ、複数のクライアントシステムは、ローカルネットワークに接続され、ルータは、複数のクライアントシステムにネットワークアドレスを割り当てることを含むネットワークサービスを提供する。さらに、命令は、ネットワークレギュレータに、ローカルネットワークでルータに接続することに応答して、構成サーバにネットワークレギュレータを接続するトンネルをセットアップさせ、トンネルをセットアップすることが、構成サーバからトンネルを介して受け取られた通信をルータにリダイレクトするようにネットワークレギュレータを構成することを含み、通信は、ネットワークサービスの中断を引き起こすように構成される。さらに、命令は、中断に応答して、ネットワークレギュレータに、ルータからネットワークサービスを引き継がせる。

【0009】

[0009]本発明の前述の態様および利点は、以下の詳細な説明を読み、図面を参照することで、より良く理解されるであろう。

【図面の簡単な説明】

【0010】

【図1-A】[0010]本発明のいくつかの実施形態による、ローカルネットワークによって相互接続されたクライアントシステム、およびコンピュータセキュリティの脅威からクライアントシステムを保護するネットワークレギュレータの例示的な構成を示す図である。

【図1-B】[0011]本発明のいくつかの実施形態による、クライアントシステムおよびネットワークレギュレータの代替構成を示す図である。

【図2】[0012]本発明のいくつかの実施形態による、ネットワークレギュレータと協働するリモートサーバのセットを示す図である。

【図3】[0013]本発明のいくつかの実施形態による、クライアントシステムの例示的なハードウェア構成を示す図である。

【図4】[0014]本発明のいくつかの実施形態による、ネットワークレギュレータの例示的なハードウェア構成を示す図である。

【図5】[0015]本発明のいくつかの実施形態による、アドミニストレーション・デバイスの例示的なハードウェア構成を示す図である。

【図6】[0016]本発明のいくつかの実施形態による、保護されたクライアントシステム上で実行する例示的なソフトウェアコンポーネントのセットを示す図である。

【図7】[0017]本発明のいくつかの実施形態による、ネットワークレギュレータ上で実行する例示的なソフトウェアコンポーネントのセットを示す図である。

【図8】[0018]本発明のいくつかの実施形態による、ルータ上で実行する例示的なソフトウェアを示す図である。

【図9】[0019]本発明のいくつかの実施形態による、アドミニストレーション・デバイス上で実行する例示的なソフトウェアを示す図である。

【図10】[0020]本発明のいくつかの実施形態による、ネットワークレギュレータによって実行される例示的な一連のステップを示す図である。

【図11】[0021]本発明のいくつかの実施形態による、ネットワークサービスの引継ぎプロシージャの間に実施される、ルータと、ネットワークレギュレータと、構成サーバとの間の、例示的なデータ交換を示す図である。

【図12】[0022]本発明のいくつかの実施形態による、ネットワークサービスの引継ぎプロシージャの間にネットワークレギュレータによって実施される例示的な一連のステップを示す図である。

【図13】[0023]本発明のいくつかの実施形態による、ネットワークサービスの引継ぎの間に実施される、代替のデータ交換を示す図である。

【図14】[0024]本発明のいくつかの実施形態による、ネットワークサービスの引継ぎを行うために、ネットワークレギュレータによって構成サーバと協働して実施される例示的な一連のステップを示す図である。

【図15】[0025]本発明のいくつかの実施形態による、ネットワークサービスの引継ぎプロシージャの別の例の間に実施される、ルータと、ネットワークレギュレータと、クライアントシステムとの間のデータ交換を示す図である。

【図16】[0026]本発明のいくつかの実施形態による、ネットワークサービスの引継ぎプロシージャの間に、ネットワークレギュレータによって実施される別の例示的な一連のステップを示す図である。

【図17】[0027]デバイス指定のエージェントのインストールの一部として、クライアントシステムと、ネットワークレギュレータと、構成サーバとの間の例示的なデータ交換を示す図である。

【図18】[0028]本発明のいくつかの実施形態による、エージェントのインストールプロシージャの間にネットワークレギュレータによって実施される例示的な一連のステップを示す図である。

【図19】[0029]図１９−Ａは、本発明のいくつかの実施形態による、ネットワークトラフィックの一部が、セキュリティサーバにおいてスキャンされる本発明の実施形態を示す図である。 [0030]図１９−Ｂは、本発明のいくつかの実施形態による、ネットワークトラフィックの一部が、ネットワークレギュレータによってスキャンされる本発明の実施形態を示す図である。

【図20】[0031]本発明のいくつかの実施形態による、保護されたクライアントシステムのための、仮想プライベートネットワーク（ＶＰＮ：ｖｉｒｔｕａｌ ｐｒｉｖａｔｅ ｎｅｔｗｏｒｋ）のユーティリティエージェントおよびセキュア接続の構成の一部として、クライアントシステムと、ネットワークレギュレータと、構成サーバとの間の例示的なデータ交換を示す図である。

【図21】[0032]本発明のいくつかの実施形態による、ＶＰＮエージェントを動作させるためにクライアントシステムによって実施される、例示的な一連のステップを示す図である。

【発明を実施するための形態】

【0011】

[0033]以下の説明では、全ての説明された構造間の接続は、直接的に動作する接続でも、または中間の構造を通じて間接的に動作する接続でもよいということが理解される。要素のセットは、１つまたは複数の要素を含む。１つの要素についての任意の説明は、少なくとも１つの要素を示すと理解される。複数の要素は、少なくとも２つの要素を含む。別段の要求がない限り、任意の説明された方法のステップは、必ずしも特定の図示の順番で実施される必要はない。第２の要素から導出された第１の要素（例えば、データ）は、第２の要素と同等の第１の要素、ならびに第２の要素および必要に応じて他のデータを処理することによって生成された第１の要素を包含する。パラメータに従って特定すること、または決定することは、パラメータに従って、および必要に応じて他のデータに従って特定すること、または決定することを包含する。別段の定めがない限り、いくつかの量／データのインジケータは、量／データそれ自体であるか、または量／データそれ自体とは異なるインジケータであってもよい。コンピュータセキュリティは、故意でない、または違法なデータおよび／もしくはハードウェアへのアクセスから、故意でない、または違法なデータおよび／もしくはハードウェアの修正から、ならびに、データおよび／もしくはハードウェアの破壊から、ユーザおよび機器を保護することを包含する。コンピュータプログラムは、タスクを行う一連のプロセッサの命令である。本発明のいくつかの実施形態で説明されたコンピュータプログラムは、他のコンピュータプログラムのスタンドアロンのソフトウェアエンティティまたはサブエンティティ（例えば、サブルーチン、ライブラリ）であってもよい。２つのデバイスは、デバイスのネットワークアドレスが同じサブネットに属すとき、および／または両方が同じブロードキャストアドレスを有するとき、同じローカルネットワークに接続されているか、または属すと述べられる。トンネルは、通信ネットワークに接続された２つのエンティティ間の仮想のポイントツーポイント接続である。コンピュータ可読媒体は、磁気、光、および半導体のストレージ媒体（例えばハードドライブ、光ディスク、フラッシュメモリ、ＤＲＡＭ）などの非一時的媒体、ならびに、導電性ケーブルおよび光ファイバリンクなどの通信リンクを包含する。いくつかの実施形態によれば、本発明は、とりわけ、本明細書で説明された方法を実施するためにプログラムされたハードウェア（例えば、１つまたは複数のマイクロプロセッサ）を備えるコンピュータシステム、ならびに、本明細書で説明された方法を実施するための命令を符号化するコンピュータ可読媒体を提供する。

【0012】

[0034]以下の説明は、本発明の実施形態を例として図示するが、必ずしも限定するものではない。
[0035]図１Ａ〜図１Ｂは、本発明のいくつかの実施形態による、例示的なネットワーク構成１０ａ〜１０ｂを示し、複数のクライアントシステム１２ａ〜１２ｆは、ローカルネットワーク１４によって相互接続され、さらにインターネットなどの拡張ネットワーク１６に接続される。クライアントシステム１２ａ〜１２ｆは、プロセッサ、メモリ、および通信インターフェースを有する任意の電子デバイスを表すことができる。例示的なクライアントシステム１２ａ〜１２ｆはとりわけ、パーソナルコンピュータ、ラップトップ、タブレット型コンピュータ、移動体電気通信デバイス（例えば、スマートフォン）、メディアプレーヤ、ＴＶ、家庭用ゲーム機、家庭用電化製品（例えば、冷蔵庫、サーモスタット、インテリジェント暖房および／または照明システム）、ならびにウェアラブルデバイス（例えば、スマートウオッチ、スポーツおよびフィットネス機器）などを含む。ローカルネットワーク１４は、ローカルエリアネットワーク（ＬＡＮ：ｌｏｃａｌ ａｒｅａ ｎｅｔｗｏｒｋ）を備えることができる。例示的なローカルネットワーク１４はとりわけ、ホームネットワークおよび企業ネットワークなどを含むことができる。

【0013】

[0036]ルータ１９は、クライアントシステム１２ａ〜１２ｆ間の通信、および／または拡張ネットワーク１６へのクライアントシステム１２ａ〜１２ｆのアクセスを可能にする電子デバイスを備える。いくつかの実施形態では、ルータ１９は、ローカルネットワーク１４と拡張ネットワーク１６との間のゲートウェイとしてふるまい、クライアントシステム１２ａ〜１２ｆにネットワークサービスのセットを提供する。別段の定めがない限り、ネットワークサービスという用語は、クライアントシステム１２ａ〜１２ｆの相互通信を可能にするサービス、ならびにクライアントシステム１２ａ〜１２ｆと他のエンティティとの間の通信を指すために本明細書で使用される。このようなサービスは、例えば、ネットワーク構成パラメータ（例えば、ネットワークアドレス）をクライアントシステム１２ａ〜１２ｆに配布すること、および参加しているエンドポイント間の通信をルーティングすることを含むことができる。例示的なネットワークサービスは、動的ホスト構成プロトコル（ＤＨＣＰ：ｄｙｎａｍｉｃ ｈｏｓｔ ｃｏｎｆｉｇｕｒａｔｉｏｎ ｐｒｏｔｏｃｏｌ）を実装する。

【0014】

[0037]さらに、図１Ａ〜図１Ｂは、ローカルネットワーク１４に接続されたネットワークレギュレータ１８を示す。いくつかの実施形態では、ネットワークレギュレータ１８は、クライアントシステム１２ａ〜１２ｆに対する様々なサービスを実施するように構成されたネットワーク機器を備える。このようなサービスは、とりわけ、コンピュータセキュリティサービス（例えば、アンチマルウェア、侵入検出、アンチスパイウェア、他）、デバイス管理（例えば、クライアントシステム１２ａ〜１２ｆのリモート構成）、ペアレンタルコントロールサービス、セキュア通信サービス（例えば、仮想プライベートネットワーキング（ＶＰＮ：ｖｉｒｔｕａｌ ｐｒｉｖａｔｅ ｎｅｔｗｏｒｋｉｎｇ））、およびリモート技術援助（例えば、デバイスおよび／またはネットワークのトラブルシューティング）を含む。

【0015】

[0038]本発明のいくつかの実施形態による典型的な適用例では、ネットワークレギュレータ１８は、ルータ１９によって既に構成され管理されているローカルネットワークに導入される。いくつかの実施形態では、インストール時に、レギュレータ１８は、ルータ１９からＤＨＣＰなどのネットワークサービスを引き継ぎ、クライアントシステム１２ａ〜１２ｆと拡張ネットワーク１６との間のトラフィックの少なくとも一部が、ネットワークレギュレータ１８を通過するように、ローカルネットワーク１４と拡張ネットワーク１６との間のゲートウェイの位置に自身をインストールする（図１−Ａ参照）。ゲートウェイの位置にネットワークレギュレータ１８を配置することは、いくつかの実施形態では、レギュレータ１８が、クライアントシステム１２ａ〜１２ｆからのトラフィック（例えば、ＨＴＴＰリクエスト）の少なくともいくつかを、セキュリティサーバにリダイレクトすることによってコンピュータセキュリティサービスを提供するので、好ましくなる可能性がある。ゲートウェイの位置にレギュレータ１８を備えることで、このようなトラフィックの傍受を容易にすることができる。

【0016】

[0039]図１−Ｂの例などのいくつかの実施形態では、ルータ１９は、レギュレータ１８のインストール後、ローカルネットワーク１４に対するゲートウェイとして稼働し続けることができるが、このような場合、ネットワークレギュレータ１８は、レギュレータ１８が、クライアントシステム１２ａ〜１２ｆと同じローカルネットワークに属するようにクライアントシステム１２ａ〜１２ｆと既存のゲートウェイ（すなわちルータ１９）との間に位置することが好ましい。このような位置は、いくつかの実施形態では、ネットワークレギュレータ１８が、それぞれのクライアントシステムのタイプ（例えば、スマートフォン対ＰＣ）を検出し、それに応じて、デバイス指定のユーティリティエージェントをクライアントシステム１２ａ〜１２ｆのいくつかに配信するためにリモートサーバと協働するように構成されるので好ましい。レギュレータ１８が、ローカルネットワーク１４のメンバではない（例えば、ルータ１９と拡張ネットワーク１６との間にレギュレータ１８を配置する）構成は、このようなデバイスの発見およびエージェント配信をより困難にする。

【0017】

[0040]いくつかの実施形態では、クライアントシステム１２ａ〜１２ｆは、拡張ネットワーク１６（例えば、インターネット）に接続されたアドミニストレーション・デバイス２０上で実行するソフトウェアを使用して、ユーザ／アドミニストレータによってリモートで監視、管理および／または構成される。例示的なアドミニストレーション・デバイス２０はとりわけ、スマートフォンおよびパーソナルコンピュータシステムを含む。デバイス２０は、例えば、構成オプションを設定するため、および／または、個々のクライアントシステムで発生するイベントについて通知を受け取るために、ユーザがクライアントシステム１２ａ〜１２ｆの動作をリモートで構成および／または管理することができるグラフィカル・ユーザ・インターフェース（ＧＵＩ）を公開することができる。

【0018】

[0041]いくつかの実施形態では、ネットワークレギュレータ１８は、クライアントシステム１２ａ〜１２ｆに対して様々なサービスを実施するために、リモートコンピュータシステムのセットと協働することができる。例示的なリモートコンピュータシステムは、図２に示された、セキュリティサーバ５０および構成サーバ５２を含む。サーバ５０および５２は、個別のマシン、または多重相互接続されたコンピュータシステムのクラスタを備えることができる。いくつかの実施形態では、ネットワークレギュレータ１８は、クライアントシステム１２ａ〜１２ｆを行き来するトラフィックのいくつかまたは全てをセキュリティサーバ５０にリダイレクトする。次に、サーバ５０は、コンピュータセキュリティの脅威からクライアントシステム１２ａ〜１２ｆを保護するために脅威検出動作（例えば、マルウェア検出、悪質なまたは不正なウェブサイトへのアクセスのブロック、侵入防止、他）を実施することができる。さらに、セキュリティサーバ５０は、複数のセキュリティレコードを備えるイベントデータベース５５に接続されてもよく、それぞれのセキュリティレコードは、セキュリティイベントを示すデータ、ならびに個々のイベントと保護されたクライアントシステムとの間の関連に関するインジケータを含む。

【0019】

[0042]セキュリティサーバ５０を通じて、保護されたクライアントシステムを行き来するトラフィックをルーティングする１つの利点は、依然として保護の恩恵を受けながら、個々のクライアントシステムが、ローカルネットワーク１４を離れることができるというものである。このような構成は、以下で完全に詳しく説明される。

【0020】

[0043]いくつかの実施形態では、構成サーバ５２は、レギュレータ１８、ルータ１９、および／または保護されたクライアントシステム１２のデバイス管理および／またはセキュリティ設定を構成するためにアドミニストレーション・デバイス２０と協働する。サーバ５２は、加入者データベース５４に、およびデバイス特性データベース５６に通信接続されてもよい。加入者データベース５４は、複数の加入情報レコードを格納することができ、それぞれの加入情報レコードは、本発明のいくつかの実施形態によるデバイス管理の下でクライアントシステムのセットを示す。１つの実施形態では、それぞれの加入情報レコードは、別個のネットワークレギュレータ１８と一意に関係がある。このような実施形態では、個々のネットワークレギュレータを使用して、構成され、および／または別の方法でサービスを受ける全てのクライアントシステム１２（例えば、図１−Ａにおいて、ローカルネットワーク１４に接続されたクライアントシステム１２ａ〜１２ｆ）は、同じ加入情報レコードと関連がある。それぞれの加入情報レコードは、加入期間のインジケータ、および／または、例えば、所望のセキュリティレベルもしくは加入したサービスの選択項目を記載する加入情報パラメータのセットを含むことができる。加入情報は、サービスレベル契約（ＳＬＡ）に従って管理されてもよい。

【0021】

[0044]いくつかの実施形態では、デバイス特性データベース５６は、それぞれのクライアントシステム１２の構成可能な特性、および／またはそれぞれのクライアントシステムに対する現在の構成設定を示すレコードのセットを含む。さらに、データベース５６は、クライアントシステム１２のデバイスタイプを特定するために使用できる包括的なレコードのセットを含むことができる。このようなレコードは、様々なオペレーティングシステム（例えば、Ｗｉｎｄｏｗｓ（登録商標）対Ｌｉｎｕｘ（登録商標））を使用する、様々な製造業者からの様々なデバイスタイプ（例えば、ルータ、スマートフォン、ウェアラブルデバイス、他）、型、およびモデルに対応するエントリを含むことができる。例示的なエントリは、とりわけ、個々のデバイスタイプが特定のネットワークプロトコル（例えば、ＨＴＴＰ、Ｂｏｎｊｏｕｒ（登録商標））を使用して通信するかどうかのインジケータ、個々のデバイスタイプによって公開されたログイン・インターフェースのレイアウトのインジケータ、他、を含むことができる。

【0022】

[0045]図３、図４、図５は、それぞれ、クライアントシステム１２、ネットワークレギュレータ１８、およびアドミニストレーション・デバイス２０の例示的なハードウェア構成を示す。一般性を失うことなく、図示の構成は、コンピュータシステム（図３〜図４）およびスマートフォン（図５）に対応する。他のシステム（例えば、タブレット型コンピュータ）のハードウェア構成は、図３、図４、図５に示されたハードウェア構成とは異なってもよい。プロセッサ２２、１２２、および２２２のそれぞれは、信号および／またはデータのセットによって、計算上の、および／または論理上の動作を実行するように構成された物理デバイス（例えば、マイクロプロセッサ、半導体基板上に形成されたマルチコアの集積回路）を備える。メモリユニット２４、１２４、および２２４は、動作を行う過程で、プロセッサ２２、１２２、および２２２によって、それぞれ、アクセスされまたは生成されるデータ／信号を格納する揮発性コンピュータ可読媒体（例えばＲＡＭ）を備えることができる。

【0023】

[0046]入力デバイス２６、２２６はとりわけ、コンピュータのキーボード、マウス、およびマイクロフォンを含むことができ、ユーザが個々のシステムにデータおよび／または命令を投入できる個々のハードウェアインターフェースおよび／またはアダプタを含む。出力デバイス２８、２２８は、とりわけモニタなどのディスプレイデバイスおよびスピーカ、ならびに、グラフィックカードなどのハードウェアインターフェース／アダプタを含むことができ、個々のシステムがユーザにデータを伝達することを可能にする。いくつかの実施形態では、入力および出力デバイスは、共通な１つのハードウェア（例えば、タッチスクリーン）を共有する。ストレージデバイス３２、１３２、および２３２は、ソフトウェア命令および／またはデータの不揮発性の記憶、読出し、および書込みを可能にするコンピュータ可読媒体を含む。例示的なストレージデバイスは、磁気および光ディスクならびにフラッシュメモリデバイス、同様にＣＤおよび／またはＤＶＤディスクおよびドライブなどのリムーバブルメディアを含む。

【0024】

[0047]ネットワークアダプタ３４、１３４は、クライアントシステム１２およびネットワークレギュレータ１８が、それぞれ、ローカルネットワーク１４などの電子通信ネットワークに、および／または他のデバイス／コンピュータシステムに接続することを可能にする。通信デバイス４０（図５）は、アドミニストレーション・デバイス２０が拡張ネットワーク１６（例えば、インターネット）に接続することを可能にし、電気通信ハードウェア（電磁波エミッタ／受信機、アンテナ、他）を含むことができる。デバイスタイプおよび構成次第で、アドミニストレーション・デバイス２０は、地理位置情報デバイス４２（例えば、ＧＰＳ受信機）、および検知デバイス１３６のセット（例えば、人感センサ、光センサ、他）をさらに含むことができる。

【0025】

[0048]コントローラのハブ３０、１３０、２３０は、それぞれの個々のシステムのプロセッサと残りのハードウェアコンポーネントとの間の通信を可能にする複数のシステム、周辺機器、および／もしくはチップセットのバス、ならびに／または全ての他の回路を表す。例示的なクライアントシステム１２（図３）では、ハブ３０は、メモリコントローラ、入出力（Ｉ／Ｏ）コントローラ、および割込みコントローラを備えることができる。ハードウェア製造業者次第で、このようないくつかのコントローラは、単一の集積回路に組み込まれてもよく、および／またはプロセッサと統合されてもよい。

【0026】

[0049]図６は、本発明のいくつかの実施形態によるクライアントシステム１２上で実行する例示的なソフトウェアコンポーネントを示す。このようなソフトウェアは、クライアントシステム１２のハードウェアと個々のクライアントシステム上で実行するソフトウェアアプリケーションのセットとの間のインターフェースを提供するオペレーティングシステム（ＯＳ）４０を含むことができる。ソフトウェアアプリケーションは、セキュリティサービス、デバイス管理サービス、ペアレンタルコントロールサービス、セキュア通信サービス（例えば、仮想プライベートネットワーク（ＶＰＮ））、他などの様々なサービスを個々のクライアントシステムに提供するように構成されたユーティリティエージェント４１を含む。いくつかの実施形態では、ユーティリティエージェント４１は、クライアントシステム１２の構成オプションのセット（例えば、ネットワーク構成パラメータ、電力管理パラメータ、セキュリティパラメータ、リモート制御のサーモスタットについては所望温度、またはリモート制御の家庭用照明管理については照明の選択項目、他などのデバイス指定のパラメータ）にアクセスするおよび／またはそれを修正するように構成される。いくつかの実施形態では、クライアントシステム１２上のエージェント４１のインストールは、以下にさらに詳しく示すように、ネットワークレギュレータ１８によって開始され、および／または推進される。

【0027】

[0050]図７は、本発明のいくつかの実施形態による、ネットワークレギュレータ１８上で実行するソフトウェアコンポーネントのセットを示す。このようなコンポーネントは、とりわけ、デバイス検出モジュール４２およびＤＨＣＰモジュール４３を含むことができる。いくつかの実施形態では、モジュール４３は、ローカルネットワーク１４に対するＤＨＣＰサービスを提供する。このようなサービスは、ローカルネットワーク１４への、および／または拡張ネットワーク１６へのアクセスをリクエストするクライアントに、インターネットプロトコル（ＩＰ）の構成情報を配信することを含むことができる。デバイス検出モジュール４２は、以下に示されるように、クライアントシステム１２のデバイスタイプを検出するために、リモートの構成サーバと協働するように構成されてもよい。いくつかの実施形態では、レギュレータ１８は、さらに、以下に詳しく示されるように、ネットワークサービスの引継ぎを実施するように構成されたネットワーク中断モジュール４４を実行する。

【0028】

[0051]図８は、本発明のいくつかの実施形態による、ルータ１９上で実行する例示的なソフトウェアコンポーネントのセットを示す。このようなソフトウェアコンポーネントは、オペレーティングシステム１４０、およびＤＨＣＰサーバ４５を含むアプリケーションのセットを含むことができる。サーバ４５は、ローカルネットワーク１４をセットアップするために、ネットワーク構成パラメータ（例えば、ＩＰアドレス）をクライアントシステム１２ａ〜１２ｆに配布するのに使用されてもよい。

【0029】

[0052]図９は、本発明のいくつかの実施形態による、アドミニストレーション・デバイス２０（例えば、スマートフォン）上で実行する例示的なソフトウェアコンポーネントのセットを示す。このようなソフトウェアコンポーネントは、オペレーティングシステム２４０およびアプリケーションのセットを含むことができる。アプリケーションは、ユーザがクライアントシステム１２ａ〜１２ｆをリモートで構成できるように構成されたアドミニストレーション・アプリケーション４６を含む。システム１２ａ〜１２ｆを構成することは、とりわけ、クライアント指定のセキュリティ設定を構成すること、クライアント指定のネットワークアクセスパラメータ（例えば、接続速度、他）を構成すること、および保守タスク（例えば、ソフトウェアアップグレード、ディスククリーンアップ動作、他）を起動することを含むことができる。アドミニストレーション・アプリケーション４６は、アドミニストレーション・グラフィカル・ユーザ・インターフェース（ＧＵＩ）４８をアドミニストレーション・デバイス２０のユーザに公開することができる。

【0030】

[0053]図１０は、本発明のいくつかの実施形態による、ネットワークレギュレータ１８によって実行される一連のステップを示す。このような一連のステップは、例えば、ネットワークレギュレータ１８のインストール時、または、レギュレータ１８が、ローカルネットワーク１４に最初に導入されるときに実行されてもよい。ステップ３００では、レギュレータ１８は、本明細書でネットワークサービスの既存のプロバイダを表すルータ１９を自動的に検出する。いくつかの実施形態では、レギュレータ１８は、次に、ルータ１９からネットワークサービスのいくつかを引き継ぐ。このような引継ぎは、ルータ１９の機能のいくつかを切断するか、または別の方法で無能力化し、ローカルネットワーク１４に関連するネットワークサービスの少なくとも一部のプロバイダとしてルータ１９を再配置することを含むことができる。１つの代替実施形態では、サービスの引継ぎは、ルータ１９によって管理されるネットワークサービスを実際に無能力化することなく、これに加えて、代替のネットワークサービスのセットを提供することを含むことができる。いくつかの実施形態では、ステップ３０２は、さらに、クライアントシステム１２ａ〜１２ｆと拡張ネットワーク１６との間のネットワークトラフィックの少なくとも一部がレギュレータ１８を通過するように、ローカルネットワーク１４と拡張ネットワーク１６との間のゲートウェイの位置にネットワークレギュレータ１８をインストールすることを含む。

【0031】

[0054]一連のステップ３０４〜３０６では、ネットワークレギュレータ１８は、ローカルネットワーク１４に属するデバイス（すなわち、クライアントシステム１２ａ〜１２ｆ）を自動的に検出し、デバイス指定のユーティリティエージェント４１をクライアントシステム１２ａ〜１２ｆのうちの少なくともいくつかに配布することができる。その後のステップ３０８は、クライアントシステム１２ａ〜１２ｆに対するコンピュータセキュリティサービスのセットを実施する。ステップ３００〜３０８は、以下でさらに詳しく説明される。
ネットワークサービスの引継ぎ
[0055]本発明のいくつかの実施形態では、ルータ１９のＤＨＣＰサービスは、ネットワークレギュレータ１８によって、停止されるか、または別の方法で無能力化されてもよい。この効果は、いくつかの方法を通じて取得される可能性があり、この方法のいくつかが以下に例示される。ＤＨＣＰサービスは、本明細書では単なる例として使用され、以下に説明されるシステムおよび方法は、他のネットワークサービスを引き継ぐために適応されてもよい。

【0032】

[0056]ＤＨＣＰの枯渇として知られる、１つの例示的な背景では、ネットワークレギュレータ１８は、複数の架空デバイスになりすますために、および、ルータ１９からそれぞれの架空デバイスに対するネットワークアドレスをリクエストするためにネットワーク中断モジュール４４を使用することができる。このような架空デバイスの数は、ルータ１９のＤＨＣＰサーバ４５によってリースのために提供される、利用可能なＩＰアドレスのプールを、完全に占有するように選ばれてもよい。この方法では、サーバ４５は、稼働し続けるが、サーバ４５は、もはやローカルネットワーク１４上のクライアントシステムにＩＰアドレスを提供することができない。いくつかの実施形態では、ネットワークレギュレータ１８は、次に、ＤＨＣＰモジュール４３を使用して独自のＤＨＣＰのリースの提供をブロードキャストし、事実上、クライアントシステム１２ａ〜１２ｆと拡張ネットワーク１６との間のトラフィックの少なくとも一部に対するデフォルトＤＨＣＰサーバおよびゲートウェイデバイスとして、レギュレータ１８をクライアントシステム１２ａ〜１２ｆに使用させる。

【0033】

[0057]別の例示的なＤＨＣＰサービスの引継ぎ方法のセットは、既存のＤＨＣＰサービスプロバイダ（例えば、ルータ１９）を自動的に検出し、例えば、ネットワークおよび／または他の機能のパラメータを自動的に再構成することによって個々のデバイスをディスエーブルにすることを含む。このような１つの状況には、図１１〜図１２に示した方法で、ネットワークレギュレータ１８が構成サーバ５２と協働することが必要である。

【0034】

[0058]いくつかの実施形態では、ステップ３２０は、ルータ１９を再構成する許可をユーザにリクエストし、その後受け取る。個々のユーザは、例えば、構成サーバ５２（図２参照）によって維持される加入者データベース５４に載せられたような、レギュレータ１８の、および／またはローカルネットワーク１４の所有者またはアドミニストレータであってもよい。許可を取得することは、例えば、通知をアドミニストレーション・デバイス２０に送ることを含むことができ、レギュレータ１８または構成サーバ５２によって行われてもよい。次に、デバイス２０のアドミニストレーションＧＵＩ４８は、ユーザが、彼／彼女がルータ１９のパラメータの再構成を許すかどうかを示すことができる入力フィールドを公開することができる。さらに、ステップ３２０は、アドミニストレーション・デバイス２０を介してユーザから直接、またはデータベース５４に格納された加入情報レコードからルータ１９に対するログイン認証情報（例えば、ユーザ名、パスワード、他）を取得することを含めることができる。

【0035】

[0059]ステップ３２２では、ネットワークレギュレータ１８は、例えば、ＤＨＣＰのリクエスト／レスポンスの交換の間に、ルータ１９から受け取られたデータを分析することによって、ルータ１９に関するデバイスタイプを示す情報を収集する。このようなデータは、例えば、ルータ１９のメディアアクセス制御（ＭＡＣ：ｍｅｄｉａ ａｃｃｅｓｓ ｃｏｎｔｒｏｌ）アドレス、および認証ヘッダを含むことができる。いくつかの実施形態では、ネットワークレギュレータ１８は、さらに、ルータ１９のログイン・インターフェースを公開することを試みることができ、さらに、個々のインターフェースからデバイスタイプを示すデータを抽出する（例えば、インターフェースがＨＴＭＬドキュメントであるかないかを特定し、個々のインターフェースのネットワークアドレスを特定する）ことができる。レギュレータ１８のいくつかの実施形態は、例えば、画像処理アルゴリズムを使用することによって、個々のインターフェースのいくつかの視覚的特性を抽出することさえできる。

【0036】

[0060]次に、デバイスタイプを示すデータ６１は、構成サーバ５２に送られ（ステップ３２４）、構成サーバ５２は、このようなデータに従って、および／またはデバイス特性データベース５６（図２）に格納されたデータに従って、ルータ１９のデバイスタイプ（例えば、製造業者、モデル、ファミリ、サブファミリ、ファームウェアのバージョン、他）を識別することができる。次に、構成サーバ５２は、レギュレータ１８から受け取られたデバイスタイプを示すデータに従って、ルータ１９の特定のデバイスタイプに合うように調整されたログイン試行６０を構成することができ、ログイン試行データをレギュレータ１８に送信することができる。

【0037】

[0061]いくつかの実施形態では、ネットワークレギュレータ１８は、ルータ１９にログインしようと試行錯誤を繰り返す際に、ステップ３２６〜３３４のループを反復することができる。ステップ３２８〜３３０は、ルータ１９のログイン・インターフェースを公開し、ログイン試行データ６０および／またはユーザ認証情報をルータ１９に送信することができる。ログインが成功したかどうかに関するインジケータは、サーバ５２に送り返され（ステップ３３２）、成功のインジケータは、ルータ１９のデバイスタイプをさらに識別するために、使用されてもよい。

【0038】

[0062]ひとたび正常なログインが達成されると、ステップ３３６で、ネットワークレギュレータ１８は、構成サーバ５２からルータ構成コマンド６３のセットを取得することができ、コマンド６３は、識別されたルータのタイプに従って具体的に作られ、ルータ１９、またはルータ１９によって提供される少なくともいくつかのネットワークサービスを無能力化することを意図される。例示的なルータ構成コマンド６３は、ルータ１９にシャットダウン、再起動、構成インターフェースの公開、および構成設定の変更、などを指示することができる。別の例示的な構成コマンド６３は、ルータ１９の構成インターフェースを公開するために構成されたＨＴＴＰリクエストを含む。いくつかの実施形態では、コマンド６３は、公開されたインターフェースのフィールドのセットを自動的に埋めることができる。いくつかの実施形態では、コマンド６３は、ルータ１９の構成インターフェースのフィールドのセットを埋めるためのパラメータの値のセットを備える。

【0039】

[0063]ステップ３３８では、ネットワークレギュレータ１８は、構成コマンド６３をルータ１９に送信することができる。ルータ１９からのＤＨＣＰサービスの引継ぎを完了するために、レギュレータ１８は、ＤＨＣＰモジュール４３（図７）を用いて、独自のＤＨＣＰのリースの提供をクライアントシステム１２ａ〜１２ｆにブロードキャストする。

【0040】

[0064]いくつかの実施形態では、レギュレータ１８の所有者／アドミニストレータが、レギュレータ１８をアンインストールすることを決定した場合、ネットワークレギュレータ１８は、コマンドの別のセットをルータ１９に送信することができる。このような１つの例では、レギュレータ１８は、ネットワークレギュレータ１８のインストール前に有効であった設定に復帰することを、ルータ１９に指示することができる。

【0041】

[0065]図１３〜図１４は、本発明のいくつかの実施形態による、ネットワークレギュレータ１８によるネットワークサービスの引継ぎの代替方法を示す。図示の方法は、図１１〜図１２に関連して上記で説明された方法に対する変形形態を含む。ネットワークレギュレータ１８を用いてネットワーク設定をアクティブに再設定する、および／または、ルータ１９を（部分的に）ディスエーブルする代わりに、図１３〜図１４に示された方法では、このようなアクションは、構成サーバ５２によって直接実施され、一方、レギュレータ１８は、プロキシまたは中継として使用される。いくつかの実施形態は、トンネル、すなわち、ポイントツーポイントのセキュア接続／通信チャネルを使用して、ルータ１９のリモート構成を行う。

【0042】

[0066]ローカルネットワーク１４内のインストールに応答して、ネットワークレギュレータ１８は、個々のローカルネットワークに接続された個々のネットワークレギュレータ、ルータ１９、およびクライアントシステムに対する一意に識別するインジケータを含む登録メッセージをサーバ５０〜５２に送信することができる。したがって、サーバ５０〜５２は、それぞれの個別のデバイスを選択的に識別することができ、それぞれのクライアントシステム１２およびルータ１９を、加入情報および／または個々のネットワークレギュレータと関連付けることができる。構成サーバ５２に登録するこのような処理は、サーバ５２がレギュレータ１８からトンネル接続を受け入れることを可能にする。

【0043】

[0067]ユーザからローカルネットワークを再構成する許可を取得する（ステップ３４０）のに応答して、ネットワークレギュレータ１８は、レギュレータ１８をサーバ５２に接続する、通信トンネル６９を開くことができる。例示的なトンネルは、セキュアシェル（ＳＳＨ）トンネル、すなわち、ＳＳＨプロトコルの１つのバージョンを使用してセットアップされたトンネルを含む。いくつかの実施形態では、ネットワークレギュレータ１８は、ポートフォワーディング方式を用いて、トンネル６９を介して受け取ったネットワークトラフィックをルータ１９にリダイレクトし、および／または、ルータ１９から受け取った通信をトンネル６９を介してサーバ５２にリダイレクトする。このようなポートフォワーディングは、ネットワーキングの技術分野で知られた任意の方法を使用して、例えば、プロキシ、ＳＯＣＫＳクライアント、ネットワークアドレス変換（ＮＡＴ：ｎｅｔｗｏｒｋ ａｄｄｒｅｓｓ ｔｒａｎｓｌａｔｉｏｎ）、他を使用して達成されてもよい。

【0044】

[0068]したがって、ポートフォワーディングを使用することによって、構成サーバ５２のいくつかの実施形態は、トンネル６９を介してルータ１９をリモートで構成することができる。このようなリモート構成は、ルータ１９のデバイスタイプを特定すること、構成コマンドをルータ１９に送信すること、他などの、図１１〜図１２に関して上記で説明された動作のいくつかを含むことができる。

【0045】

[0069]ルータ１９のデバイスタイプを特定することに応答して、サーバ５２は、トンネルリクエスト６８をレギュレータ１８に送信することができ、トンネルリクエストは、ネットワークレギュレータ１８にトンネル６９をセットアップするように指示する（ステップ３４６）。トンネルは、サーバ５２によってレギュレータ１８に送られた通信が、ルータ１９に転送されるようにポートフォワーディングを用いて構成されてもよい。ステップ３４８では、サーバ５２は、次に、ルータ１９のＤＨＣＰサービスをディスエーブルするかまたは別の方法で再構成するようにルータ１９に指示するために、ログインデータおよび／またはルータ構成コマンドを、トンネル６９上で送信することができる。

【0046】

[0070]図１５〜図１６は、本発明のいくつかの実施形態による、ルータ１９からネットワークサービスを引き継ぐ、さらに別の方法を示す。ローカルネットワーク１４に導入されると、レギュレータ１８は、アドレスリクエスト７０を現在のネットワークのサービスプロバイダ（例えば、ルータ１９）に送ることができ、ネットワークアドレスをリクエストする（ステップ３５０）。それに応じて、ルータ１９は、アドレス提供７２をレギュレータ１８に返すことができる。リクエスト７０およびリターン７２は、標準的なアドレス割当てプロトコル、例えば、ＤＨＣＰの一部を形成することができる。さらに、ステップ３５２は、個々のネットワークアドレスおよび／または他のネットワークパラメータ（例えば、ゲートウェイ、ＤＮＳサーバ、他）を使用するために、アドレス提供７２を受け入れ、ネットワークレギュレータ１８を構成することを含むことができる。

【0047】

[0071]次に、ステップ３５４では、レギュレータ１８は、ネットワークサービスの引継ぎプロシージャ（図１２に関連して、上記参照）を実施するために、人間のオペレータの許可を取得することができる。許可を取得するのに応答して、ステップ３５６では、ネットワークレギュレータ１８は、事前に受け取ったアドレス提供７２のパラメータに従って、ネットワークアドレスの標的セットを特定することができる。いくつかの実施形態では、ＤＨＣＰを使用して、提供７２は、現在のネットワークのサービスプロバイダによって管理され、および／または割当てに利用できるアドレスのプールのインジケータ（例えば、アドレス値の範囲）を含む。レギュレータ１８は、アドレスの個々のプールからネットワークアドレスの標的セットを選択することができる。いくつかの実施形態では、標的セットは、プールの全てのアドレスを含む。他の実施形態では、標的セットは、ルータ１９に現在割り当てられているアドレスを除き、プールの全てのアドレスを含む。

【0048】

[0072]ステップ３５８は、標的セットの全てのアドレスを使用するためにネットワークレギュレータ１８を構成することができる。いくつかの実施形態では、ステップ３５８は、架空デバイスのセット（エイリアス）を作り出すこと、およびネットワークアドレスの標的セットのサブセットをこのようなそれぞれの架空デバイスに割り当てることを含む。次に、一連のステップ３６０〜３６６では、ネットワークレギュレータ１８は、アドレス競合検出（ＡＣＤ：ａｄｄｒｅｓｓ ｃｏｎｆｌｉｃｔ ｄｅｔｅｃｔｉｏｎ）の仕組みを活用し、クライアント１２ａ〜１２ｆに現在割り当てられているネットワークアドレスを漸進的に放棄させることができる。その一方で、レギュレータ１８は、ＤＨＣＰモジュール３６を使用して、ネットワークアドレスおよび／または他の構成パラメータの新しいセットをクライアントシステム１２ａ〜１２ｆに提供することができ、このように、ネットワークサービスの引継ぎプロシージャを完了する。

【0049】

[0073]例示的なＡＣＤの仕組みは、２００８年７月に、Ａｐｐｌｅ（登録商標），Ｉｎｃ．のネットワークワーキンググループ（Ｎｅｔｗｏｒｋ Ｗｏｒｋｉｎｇ Ｇｒｏｕｐ）によって公表された、ＩＰｖ４アドレス競合検出（ＩＰｖ４ Ａｄｄｒｅｓｓ Ｃｏｎｆｌｉｃｔ Ｄｅｔｅｃｔｉｏｎ）リクエストフォーコメンツ（Ｒｅｑｕｅｓｔ ｆｏｒ Ｃｏｍｍｅｎｔｓ）（ＲＦＣ５２２７）に説明されている。説明されたＡＣＤの仕組みは、（例えば、ネットワークアドレスのリースを初めて提供するとき、または、個々のネットワークアドレスに対してリースを更改するときに発生する）ネットワークアドレス割当ての一部として、それぞれのクライアント、および／またはクライアントの個々のネットワークのサービスプロバイダは、個々のネットワークアドレスが利用可能かどうか、すなわち、別のデバイスによって既に使用中でないかどうかを検証することを要求する。このような検証にはとりわけ、アドレス解決プロトコル（ＡＲＰ：Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）および近隣探索プロトコル（ＮＤＰ：Ｎｅｉｇｈｂｏｒ Ｄｉｓｃｏｖｅｒｙ Ｐｒｏｔｏｃｏｌ）の中で説明されているツールおよび／または仕組みを使用することができる。例示的な検証は、個々のクライアントおよび／またはプロバイダが、プローブ（例えば、特別に構成されたネットワークパケット、ｐｉｎｇ、ａｒｐｉｎｇ、他）を現在検証されているネットワークアドレスに送り出すことを含む。プローブを送り出したクライアントおよび／またはプロバイダが、個々のプローブに対するリプライを何も受け取らない場合、個々のアドレスが利用できるとみなされ、個々のクライアントに（再）割当てされてもよい。対照的に、クライアントおよび／またはプロバイダが、個々のプローブに対するリプライを受け取る場合、個々のアドレスが利用されているとみなされ、もはや、個々のクライアントに（再）割当てされない。

【0050】

[0074]上記で説明されたＡＣＤの仕組みは、図１５〜図１６に示されたように、引継ぎ目的で、ネットワークレギュレータ１８のいくつかの実施形態によって活用される。一連のステップ３６０〜３６２では、レギュレータ１８は、クライアントシステム１２および／またはルータ１９によって、それぞれ発行されたアドレス利用可能性プローブ６４ａ〜６４ｂをリッスンすることができる。このようなプローブを検出することに応答して、ステップ３６４は、プローブされたアドレスが、ステップ３５６で特定されたネットワークアドレスの標的セットのいずれかのメンバと一致するかどうかを特定する。一致しない場合、レギュレータ１８は、アドレス利用可能性プローブをリッスンすることに戻る。

【0051】

[0075]プローブされたアドレスがアドレスの標的セットのメンバと一致する場合、ステップ３６６において、レギュレータ１８は、プローブのリプライ６６ａ〜６６ｂを個々のプローブの送信元に返すことができ、プローブのリプライは、個々のネットワークアドレスが利用できないことを示すように構成される。いくつかの実施形態では、ステップ３６６は、個々の架空デバイスの詳細と共に構成されたプローブのリプライを発行するネットワークレギュレータ１８によって作り出された架空デバイス（エイリアス）を含む。クライアントシステム１２が、競合検出をサポートするように構成される場合、このようなリターンプローブを受け取ることによってクライアントシステム１２を特定して、個々のネットワークアドレスの使用を停止し、新しいアドレスをリクエストすることができる。このような新しいリクエストは、ステップ３６０〜３６６の再実行を誘引するので、アドレスの標的セット内の全てのアドレスについて失敗する。それぞれのクライアントシステム１２ａ〜１２ｆに対して一連のステップ３６０〜３６６を繰り返すことによって、ネットワークレギュレータ１８は、このように、ルータ１９によって提供されたネットワークサービスを漸進的にディスエーブルすることができ、クライアントシステム１２ａ〜１２ｆに、レギュレータ１８によって発行されたネットワークアドレスの新しいセットを使用させる。
自動的なデバイスの発見およびエージェントの準備
[0076]ローカルネットワーク１４に対するネットワークサービスのゲートウェイおよび／またはプロバイダとして自身をインストールすると、ネットワークレギュレータ１８は、ローカルネットワーク１４に接続されたクライアントシステム１２ａ〜１２ｆに、ユーティリティエージェント４１（例えば、図６）を配布し始めることができる。図１７は、本発明のいくつかの実施形態による、クライアントシステム１２と、ネットワークレギュレータ１８と、クライアント構成サーバ５２との間の例示的なデータ交換を示し、交換は、デバイスの発見およびエージェントの準備の間に発生する。このような交換は、ネットワークレギュレータ１８のインストール時、および、新しいクライアントシステムがローカルネットワーク１４に最初に導入されたときに発生してもよい。

【0052】

[0077]デバイス指定のユーティリティエージェントを配信するためにネットワークレギュレータ１８によって実施される例示的な一連のステップは、図１８に示される。いくつかの実施形態では、レギュレータ１８は、ローカルのクライアントシステムからの接続リクエストを待つことができる（ステップ４００）。例示的な接続リクエストは、ＨＴＴＰリクエストを含む。クライアントシステム１２が、拡張ネットワーク１６上のアドレスにアクセスを試みると、レギュレータ１８は、個々のクライアントシステムにユーティリティエージェント４１をインストールさせることができる。いくつかの実施形態では、レギュレータ１８は、現在のネットワークアクセスのリクエストを構成サーバ５２にリダイレクトすることができ、構成サーバ５２は、エージェントのインストーラ７５を個々のクライアントシステムに配ることができる（図１７）。１つの代替実施形態では、レギュレータ１８は、サーバ５２からエージェントのインストーラ７５を取得することができ、その後、インストーラ７５を個々のクライアントシステムにプッシュする。

【0053】

[0078]いくつかの実施形態では、インストーラ７５は、確認用インターフェースをユーザに公開するために、クライアントシステム１２（またはアドミニストレーション・デバイス２０）を特定するように構成され、エージェント４１をインストールすることに同意するよう、ユーザにリクエストする。さらに、インストーラ７５は、（例えば、ＳＬＡに載せられているような）個々の加入条件にユーザが同意することを確認するよう、ユーザにリクエストしてもよい。ユーザが同意を表明すると、インストーラ７５は、エージェント４１をインストールし、実行することができる。いくつかの実施形態では、インストーラ７５および／またはネットワークレギュレータ１８は、クライアント構成サーバ５２に個々のクライアントシステムを登録することができる（図１８のステップ４１８）。このような登録は、個々のクライアントシステムを、ネットワークレギュレータ１８に付加された加入情報レコードと関連付けるサーバ５２を含むことができる。

【0054】

[0079]現在、非常に多様なデバイスが、通信ネットワークおよびインターネットに接続されていることを考慮すると、保護されたクライアントシステム１２ａ〜１２ｆに配信されたユーティリティエージェント４１が、それぞれのクライアントシステム（例えば、Ｗｉｎｄｏｗｓ（登録商標）ＯＳまたはｉＯＳ（登録商標）が動作するスマートフォン、タブレット、スマートウオッチ、他）のデバイスタイプに合うように調整されることが好ましい可能性がある。例示的なステップ４００〜４０６（図１８）は、クライアントシステム１２のデバイスタイプを特定する例示的な方法を示す。ネットワークレギュレータ１８は、ＨＴＴＰリクエストからのユーザのエージェントインジケータ（ユーザのエージェントインジケータは、典型的には、ＨＴＴＰリクエストの送信元のブラウザのタイプおよびオペレーティングシステムの両方に関する情報を含む）を抽出することによって、デバイスタイプを示すデータを取得することができる。さらに、レギュレータ１８は、例えば、個々のサービスおよび／またはプロトコルをスキャンすることによって、個々のクライアントシステムによって使用されるアプリケーション、プロトコルおよび／またはサービスのセットを検出することができる（ステップ４０４）。このようにスキャンをすることは、個々のクライアントシステムの特定のポートにプローブを送り出すことを含むことができ、レスポンスをリッスンすることができる。検出されたプロトコルおよびサービスは、とりわけ、Ｂｏｎｊｏｕｒ（登録商標）、簡易ネットワーク管理プロトコル（ＳＮＭＰ：Ｓｉｍｐｌｅ Ｎｅｔｗｏｒｋ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ）、およびネットワークマッパ（Ｎｍａｐ）を含むことができる。その後、ネットワークレギュレータ１８は、ルール、決定木および／または機械学習アルゴリズムのセットを使用して、このようなデバイスタイプを示すデータに従って、ローカルにクライアントシステム１２のデバイスタイプを特定することができる。１つの代替実施形態では、デバイスタイプを示すデータは、構成サーバ５２に送られ（ステップ４０６）、構成サーバ５２は、受け取ったデータに従って、およびデバイス特性データベース５６に格納されている情報に従って、デバイスタイプを識別する。例えば、サーバ５２は、クライアントシステム１２の特性をデータベース５６の様々なエントリに一致させようとしてもよく、このようなそれぞれのエントリは、（おそらく、製品の別個のバージョン、別個のオペレーティングシステム、他を含む）別個のデバイスタイプに対応してもよい。デバイスの発見は、繰り返して続行することができ、サーバ５２は、クライアントシステムに関する利用可能な情報に従って、デバイスタイプを事前に特定してもよい。事前の特定に応答して、サーバ５２は、ネットワークレギュレータ１８からのクライアントシステムに関するデバイスタイプを示すさらなるデータをリクエストしてもよい。クライアントシステム１２のデバイスタイプの明確な識別が達成されるまで、漸次、より多くのデバイスタイプを示すデータが構成サーバ５２に送られる。デバイスタイプが首尾よく識別されると、サーバ５２は、通知をレギュレータ１８に送ることができる。通知を受け取ること（ステップ４０８）に応答して、レギュレータ１８は、ステップ４００で傍受したネットワーク接続リクエストを、エージェントのインストーラアプリケーションにリダイレクトすることができる。

【0055】

[0080]別のデバイスの発見および／またはエージェントの準備の背景には、ルータ１９の自動検出に関して上記で説明された方法（図１３〜図１４）と同じ方法でトンネリングを含むことができる。このような１つの例では、レギュレータ１８は、レギュレータ１８をサーバ５２と接続する通信トンネル（例えば、ＳＳＨトンネル）を開く。個々のトンネルは、サーバ５２から受け取った通信が、ネットワークレギュレータ１８によって、個々のクライアントシステム１２にリダイレクトされるように、ポートフォワーディングを用いて構成されてもよい。その後、サーバ５２は、トンネルを介してエージェントのインストーラをクライアントシステム１２に直接配信することができ、さらに、個々のエージェントをインストールするように、クライアントシステム１２に指示することができる。また、サーバ５２は、上に記載された方法のいずれかを使用し、ＳＳＨトンネルを使用してクライアントシステム１２からデバイスタイプを示す情報を取得することができる。

【0056】

[0081]幅広い様々なユーティリティエージェントは、本明細書で説明されたシステムおよび方法を使用して準備されてもよい。セキュリティサービスを提供するように構成された例示的なユーティリティエージェント４１は、クライアントシステム１２のセキュリティ評価を実施し（例えば、ローカルのマルウェアスキャン）、セキュリティ評価データを構成サーバ５２またはセキュリティサーバ５０に送ることができる。その後、サーバは、ユーザ／アドミニストレータに対して表示するために、セキュリティインジケータをアドミニストレーション・デバイス２０に転送することができる。ユーザ／アドミニストレータに対して表示された例示的なセキュリティインジケータは、とりわけ、クライアントシステム１２上で実行する特定のソフトウェアオブジェクト（例えば、オペレーティングシステム）が最新であるかどうかに関するインジケータ、および、クライアントシステム１２を保護するために使用されるパスワードの強度に関するインジケータを含むことができる。セキュリティエージェントによって実施される他の例示的なアクションは、個々のクライアントシステムに対して、ソフトウェアおよび／またはセキュリティポリシーを更新することを含む。いくつかの実施形態では、エージェント４１は、例えば、クライアントシステム１２が、悪質な攻撃を受けやすいかどうかを特定するためのネットワークパケット検査アルゴリズムを使用して、クライアントシステム１２を行き来するネットワークトラフィックを、フィルタリングするように構成される。コンピュータセキュリティサービスを提供するユーティリティエージェントの追加の機能は、以下で説明される。

【0057】

[0082]セキュア通信サービスを提供するように構成された例示的なユーティリティエージェント４１は、仮想プライベートネットワーク（ＶＰＮ）のエージェントを含む。このようなエージェントは、クライアントシステム１２がローカルネットワーク１４を離れるとき（例えば、ユーザが、彼の／彼女の携帯電話と共に家を出るとき）、クライアントシステム１２を保護することができる。このようなエージェントは、ネットワークレギュレータ１８および／または構成サーバ５２と協働し、セキュア通信トンネルを開き、および／または、個々のクライアントシステムとセキュリティサーバ５０との間にＶＰＮをセットアップすることができる（詳細は以下）。

【0058】

[0083]ペアレンタルコントロールサービスを提供するように構成された例示的なユーティリティエージェント４１は、クライアントシステム１２の使用方法を監視し、アドミニストレーション・デバイス２０を介して使用方法のパターンを監督者ユーザ（例えば、親）に報告することができる。さらに、エージェント４１は、クライアントシステム１２が、いくつかのリモートのリソース（例えば、ＩＰアドレス、ウェブサイト、他）にアクセスすることを、または、いくつかのローカルにインストールされたアプリケーション（例えば、ゲーム）を使用することを阻止することができる。このようにブロックすることは、永久に、または、ユーザが指定したスケジュールに従って、強要することができる。

【0059】

[0084]リモート技術援助を提供するように構成された例示的なユーティリティエージェント４１は、自動的に構成することができ、および／または、クライアントシステム１２と構成サーバ５２との間にセキュアな通信チャネル（例えば、ＳＳＨトンネル）を開くことができる。その後、構成および／またはトラブルシューティングコマンドは、おそらくクライアントシステム１２のユーザから明白に関与または援助されることなく、サーバ５２からクライアントシステム１２に送信されてもよい。

【0060】

[0085]家庭用電化製品、ウェアラブルデバイス、他などのいくつかのクライアントシステムは、上記に示されたように、ユーティリティエージェントをインストールすることができない可能性がある。しかし、このようなデバイスには、個々のデバイスのリモートコマンドを可能にするビルトイン構成および／またはデバイス管理エージェントを含むことができる。本発明のいくつかの実施形態は、既存の管理エージェントならびにデバイス指定のプロトコルおよび／または通信方法を使用して、パラメータの値の最新情報をこのようなデバイスに伝達することができる。このようなデバイスに対してでさえ、デバイスタイプを正確に識別することで、構成サーバ５２が、適切にフォーマットし、構成コマンドを個々のクライアントシステムに伝達することが可能になる。このようなクライアントシステムのデバイスタイプの特定を容易にするために、ネットワークレギュレータ１８は、個々のクライアントシステムから受け取った通信を自発的に解析するか、または、個々の通信を構成サーバ５２に再ルーティングすることができる。

【0061】

[0086]いくつかの実施形態では、ネットワークレギュレータ１８は、ユーティリティエージェント４１のインストールに成功することが、クライアントシステム１２が拡張ネットワーク１６にアクセスする前提条件としてもよい。図１８のステップ４１６によって示されたように、いくつかの実施形態は、エージェントのインストールに対する応答においてのみ、クライアントシステムが、拡張ネットワーク１６にアクセスできるようにしてもよい。このような構成が、クライアントシステム１２の、および／またはローカルネットワーク１４のセキュリティを改善することができる。
デバイス管理
[0087]ひとたびユーティリティエージェント４１が機能すれば、ユーティリティエージェントは、様々なデバイス管理タスクを実施するために、例えば、個々のクライアントシステム１２ａ〜１２ｆをリモートで構成するために使用されてもよい。例示的な構成タスクは、とりわけ、クライアントシステムをオンまたはオフすること（例えば、ホームセキュリティシステムを稼働状態にすることまたは稼働状態を解除すること、照明を点灯および消灯すること）、クライアントシステムの機能パラメータの値を設定すること（例えば、スマートサーモスタットを所望の温度に設定すること）、ネットワークおよび／またはセキュリティ特性を構成すること（例えば、ネットワーク１４へのいくつかのクライアントシステムのアクセスをブロックするか、または可能にすること、ファイアウォールのパラメータを構成すること、ペアレンタルコントロールのアプリケーションおよび／または特性を構成すること）、個々のクライアントシステム上で実行するコンポーネントに対するソフトウェアアップデートを実施すること、ならびに、個々のクライアントシステムに関する技術援助／トラブルシューティングのタスクを実施することを含む。

【0062】

[0088]いくつかの実施形態では、ユーザ／アドミニストレータは、アドミニストレーション・デバイス２０（例えば、アドミニストレーション・アプリケーションを走らせるスマートフォン）によって公開された、アドミニストレーションＧＵＩ４８を介して、クライアントシステム１２をリモートで管理することができる。ネットワークレギュレータ１８が、構成サーバ５２に登録するのに続き、サーバ５２は、レギュレータ１８およびアドミニストレーション・デバイス２０を加入情報に一意に関連付けることができる。また、個々の加入情報は、レギュレータ１８を個々のネットワークレギュレータによって保護されたクライアントシステム１２ａ〜１２ｆのセットと一意に関連付けることを可能にする。したがって、アドミニストレーション・デバイス２０のユーザは、構成サーバ５２の助けを借りて、アドミニストレーションＧＵＩ４８からリモートで管理するために、特別のクライアントシステムを選択することができる可能性がある。実際のデバイス管理（例えば、パラメータの値を設定すること）は、アドミニストレーション・デバイス２０と個々のクライアントシステムとの間のデータおよび／または構成コマンドを送信することを含むことができる。

【0063】

[0089]いくつかの実施形態では、標的のクライアントシステムへの構成データ／コマンドの送信は、ルータ１９を構成すること（図１３〜図１４）、および、デバイスの発見に関する、上に記載されたシステムおよび方法の変形形態を使用する。アドミニストレーション・デバイス２０からのデバイス管理リクエストを受け取ることに応答して、サーバ５２は、通知をネットワークレギュレータ１８に送ることができ、通知は、レギュレータ１８および／または標的のクライアントシステムに、サーバ５２とレギュレータ１８との間の、および／または、サーバ５２と標的のクライアントシステムとの間の通信トンネル（例えば、ＳＳＨトンネル）を開かせる。トンネルは、上記で説明されたように、ポートフォワーディングを用いて構成されてもよい。その後、このようなトンネルは、サーバ５２から標的のクライアントシステムに構成コマンドを送信するために使用されてもよく、個々のコマンドは、例えば、個々のクライアントシステムの構成設定を変更するように作られている。いくつかの実施形態では、このような構成コマンドは、ユーティリティエージェント４１によって実行される。標的とされたクライアントシステムが、ユーティリティエージェントを欠くか、またはこのようなエージェントをインストールできないとき、構成コマンドは、個々のデバイスの本来の管理ソフトウェアに向けられる。

【0064】

[0090]１つの例示的な適用例では、ユーザは、上記で説明された方法を使用して、特定の標的のクライアントシステムの技術援助／トラブルシューティングをリクエストすることができる。その後、技術援助は、個々のユーザがさらに関与することなく、自動的に次に進むことができる。トラブルシューティングの一部として、サーバ５２のいくつかの実施形態は、特定の技術的問題を解決するように構成された専用のユーティリティエージェントをインストールするために、標的のクライアントシステムを特定することができる。
コンピュータセキュリティ保護
[0091]図１９−Ａ〜図１９−Ｂは、例示的な実施形態を示し、ネットワークレギュレータ１８は、セキュリティサーバ５０と協働し、クライアントシステム１２ａ〜１２ｆを、マルウェア、アドウェア、スパイウェア、およびネットワーク侵入などのコンピュータセキュリティの脅威から保護する。図１９−Ａの実施形態では、ネットワークレギュレータ１８は、保護されたクライアントシステム１２とローカルネットワークの外部のコンピュータシステムとの間の（本明細書で、ネットワークパケット８０で示された）データトラフィックのいくつか、または全てを、セキュリティサーバ５０を通じて再ルーティングする。このような再ルーティングは、例えば、ローカルネットワーク１４と拡張ネットワーク１６との間にゲートウェイとしてネットワークレギュレータ１８をインストールすることによって、および、レギュレータ１８を使用してネットワークトラフィックを傍受し、サーバ５０に自発的にリダイレクトすることによって達成することができる。図１９−Ａに示したような実施形態では、脅威検出は、セキュリティサーバ５０によって実施され、（例えば、ネットワークパケット８０を分析して、ネットワークパケットが、マルウェアを含むかどうか、または、ネットワークパケットが、ネットワーク侵入を示しているかどうかを特定することによる）当技術分野で知られた任意の方法を使用する。

【0065】

[0092]いくつかの実施形態では、図１９−Ｂに示されたように、脅威検出は、ネットワークレギュレータ１８によって実施される。このようなローカルの検出には、例えば、パケットの内容をフィルタリングすることを含むことができる。レギュレータ１８は、セキュリティサーバ５０からフィルタパラメータ８２のセット（例えば、マルウェアを示す署名）をダウンロードすることによって、マルウェア検出アルゴリズムを最新に保つことができる。いくつかの実施形態は、レギュレータ１８上の脅威検出をセキュリティサーバ５０における脅威検出と組み合わせることができる。このような１つの例では、ネットワークレギュレータ１８は、例えば、比較的安価な方法を使用して、データトラフィックの事前分析を行うことができる。その後、レギュレータ１８は、さらに分析するために、疑わしいネットワークパケットをサーバ５０に送ることができる。

【0066】

[0093]セキュリティサーバ５０を通じてトラフィックを再ルーティングすること（図１９−Ａ）は、ローカルのセキュリティ分析を実施すること（図１９−Ｂ）に対して、いくつかの利点を有する可能性がある。サーバ５０は、多目的に構築された、高スループットのコンピュータシステムを備えることができ、したがって、ディープパケットインスペクションなどの、計算集約的なトラフィック分析を、レギュレータ１８よりもずっと効率的に行うことができる可能性がある。ネットワークレギュレータ１８にこのような能力をインストールすることは、レギュレータ１８の価格、複雑性、および攻撃対象領域を、実質的に増加させるであろう。集約されたデータ分析を有することに関する別の利点は、このような構成が、マルウェアを識別する署名の、および、多くの配布されたネットワークレギュレータ１８に対するネットワークパケット分析に使用される他のデータの最新版を配布する必要性を、解消するというものである。また、集約されたセキュリティシステムは、典型的には、新たに発見された脅威に対応するためによりよく装備される。

【0067】

[0094]このようなコンピュータセキュリティシステムおよび方法の例示的なアプリケーションは、保護されたクライアントシステムが、悪質なまたは不正なウェブページにアクセスすることをブロックすることを含む。このような１つの例では、リモートのリソースへアクセスするリクエスト（例えば、保護されたクライアントシステムからのＨＴＴＰリクエスト）は、リモートのリソース、ウェブページ、他へのアクセスが、コンピュータセキュリティのリスクに相当するかどうかを特定するために、傍受され、分析される。このような分析には、当技術分野で知られた任意の方法、例えば、個々のリソースのアドレスと、既知の悪質なまたは不正なウェブページのブラックリストとのマッチング、個々のウェブページのレイアウトの分析、他を使用することができる。分析は、（例えば、図１９−Ａに示すような構成の中で）セキュリティサーバ５０で、または（例えば、図１９−Ｂに示すように）ネットワークレギュレータ１８で行われてもよい。分析によって、リモートのリソースにアクセスすることが、コンピュータセキュリティのリスクを意味しないということが確立されると、個々のクライアントシステムは、個々のリモートのリソースへのアクセスを許される。アクセスが危険であると思われるときは、リクエスト中のクライアントシステムは、個々のリソースにアクセスすることをブロックされる可能性がある。アクセスをブロックすることに加えて、セキュリティサーバ５０のいくつかの実施形態は、イベント通知をアドミニストレーション・デバイス２０に送り、ネットワークレギュレータ１８のユーザ／アドミニストレータにセキュリティイベントが発生したことを知らせる。通知は、個々のイベントに関わるクライアントシステムのインジケータ、およびイベントタイプのインジケータ（例えば、不正なウェブサイトへのアクセス）を含むことができる。

【0068】

[0095]本発明のいくつかの実施形態による、コンピュータセキュリティシステムの別の例示的な適用例は、図２０〜図２１に示される。上記に示されたように、クライアントシステムは、ローカルネットワーク１４でネットワークレギュレータ１８に接続しながら、コンピュータセキュリティの脅威から保護されてもよい。しかし、（例えば、ユーザが、彼の／彼女の携帯電話と共に家を出るときに起こるように）ネットワーク１４を離れることは、個々のクライアントシステムを様々なセキュリティのリスクにさらす可能性がある。いくつかの実施形態は、ひとたびレギュレータ１８および構成サーバ５２による保護のために登録されると、個々のクライアントシステムは、常に保護されるということを保証する。

【0069】

[0096]このような保護を達成するために、いくつかの実施形態は、個々のクライアントシステム（例えば、携帯電話、タブレット型コンピュータ）にユーティリティエージェント４１をインストールし、ユーティリティエージェント４１は、個々のクライアントシステムをセキュリティサーバ５０と接続する仮想プライベートネットワーク（ＶＰＮ）を管理するように構成される。個々のクライアントシステムが、ビルトインのＶＰＮエージェントを有する場合、いくつかの実施形態は、ユーティリティエージェント４１をインストールする代わりに、既存のＶＰＮエージェントを構成することを選ぶことができる。セキュリティサーバ５０へのＶＰＮ接続（トンネル）は、例えば、個々のクライアントシステムが、ローカルネットワーク１４を離れるときに開始されてもよい。ローカルネットワーク１４から離れているときでさえ、セキュリティサーバ５０との接続を維持することによって、いくつかの実施形態は、個々のクライアントシステムを保護するために、上記で説明されたコンピュータセキュリティの方法（例えば、セキュリティサーバ５０を介してトラフィックを再ルーティングすること）を使用し続けることができる。

【0070】

[0097]図２０は、クライアントシステム１２と、ネットワークレギュレータ１８と、構成サーバ５２との間の例示的なデータ交換を示し、交換は、ＶＰＮのユーティリティエージェント、および、セキュリティサーバ５０との関連セキュア接続の動作の一部として発生する。図２１は、本発明のいくつかの実施形態による、ＶＰＮのユーティリティエージェントを動作させるクライアントシステム１２によって実施される例示的な一連のステップを示す。

【0071】

[0098]クライアントシステム１２上で実行するＶＰＮのユーティリティエージェントは、セキュリティサーバ５０とのＶＰＮトンネルを確立するために、構成サーバ５２から接続パラメータ８８を取得することができる。このようなパラメータは、上記で論じられたように、クライアントシステム１２のデバイスタイプに合うように調整されてもよい。いくつかの実施形態では、一連のステップ５０２〜５０４は、クライアントシステム１２が、現在、ローカルネットワーク１４（すなわち、ネットワークレギュレータ１８によってサービスを提供されたローカルネットワーク）の一部であるかどうかを特定する。ステップ５０２は、当技術分野で知られた任意の方法に従って、例えば、レギュレータ１８と個々のクライアントシステムとの間のキープアライブメッセージ８４の流れを維持することによって、次に進むことができる。クライアントシステム１２が、ローカルネットワーク１４に接続され続けている間、クライアントシステム１２は、外部ネットワーク１６にアクセスするためにゲートウェイとしてレギュレータ１８を使用することができ、上記で説明された方法に従って、コンピュータセキュリティの脅威から保護される。

【0072】

[0099]ステップ５１０で、クライアントシステム１２が、もはやローカルネットワーク１４に接続されていないことを検出した場合、クライアントシステム１２上で実行するＶＰＮエージェントは、セキュリティサーバ５０へのＶＰＮトンネル９０を開くことができ、ＶＰＮパラメータ８８に従ってトンネル９０を構成する。その後、クライアントシステム１２は、インターネットブラウジング、メッセージング、他などの通信のためにＶＰＮトンネル９０を使用することができる。１つの代替実施形態では、ネットワークレギュレータ１８は、クライアントシステム１２が、ローカルネットワーク１４を離れたことを特定し、それに応じて、セキュリティサーバ５０に通知することができる。その後、トンネル９０を確立することは、サーバ５０によって開始することができる。

【0073】

[0100]クライアントシステム１２が、ネットワークレギュレータ１８の近くに戻ると（例えば、ユーザが、彼の／彼女の携帯電話と共に家に戻ると）、クライアントシステム１２は、ネットワークレギュレータ１８からのネットワークサービスの提供（例えば、ＤＨＣＰの提供）を検出することができる。一連のステップ５１４〜５１６で、ローカルネットワーク１４に接続するためにこのような提供を受け取ると、個々のクライアントシステム上で実行するＶＰＮのユーティリティエージェントは、ＶＰＮトンネル９０を閉じ、ローカルネットワーク１４に接続することができる。

【0074】

[0101]本明細書で説明された例示的なシステムおよび方法は、悪質なソフトウェアおよびネットワーク侵入などのコンピュータセキュリティの脅威から複数のクライアントシステムを保護することを可能にする。従来のコンピュータシステムを保護することに加えて、説明されたシステムおよび方法は、大衆文化の中でモノのインターネット（ＩｏＴ）と総称されるデバイスなど、インターネットに接続されたインテリジェントデバイスの種々のエコシステムを保護することに対して、特に向いている。このようなデバイスの例は、とりわけ、ウェアラブルデバイス（例えば、スマートウオッチ、フィットネスバンド、インタラクティブジュエリ）、家庭用娯楽機器（ＴＶ、メディアプレーヤ、家庭用ゲーム機）、家庭用電化製品（冷蔵庫、サーモスタット、インテリジェント照明システム、ホームセキュリティシステム）を含む。いくつかの実施形態は、統一され、統合された解決策を使用して、例えば、家の中で全ての電子デバイスを保護することを可能にする。

【0075】

[0102]いくつかの実施形態は、複数の保護されたクライアントシステムを相互接続するローカルネットワークをセットアップし、管理するように構成されたネットワークレギュレータを含む。ネットワークレギュレータは、ローカルネットワークとインターネットなどの拡張ネットワークとの間のゲートウェイの位置に、自身をインストールすることができる。いくつかの実施形態では、保護は、ネットワークレギュレータが、リモートのセキュリティサーバを通じて、保護されたクライアントシステムとローカルネットワークの外部のエンティティとの間で交換されるデータトラフィックの少なくとも一部を再ルーティングすることによって達成される。次に、トラフィックは、マルウェアのスキャンをされてもよく、危険なリソース（例えば、悪質なまたは不正なウェブサイト）へのアクセスはブロックされる。

【0076】

[0103]いくつかの実施形態は、コンピュータセキュリティの脅威からの保護は、個々のクライアントシステムが、ローカルネットワークを離れるときでさえ、続くことを保証する。例えば、ユーザが、彼の／彼女の携帯電話と共に家を出るとき、携帯電話は保護され続ける。いくつかの実施形態では、このような保護は、保護されたクライアントシステムが、ローカルネットワークを離れたことを自動的に検出し、それに応じて、デバイスがローカルネットワークから離れている間、個々のデバイスを行き来するデータトラフィックを運ぶために使用される、セキュリティサーバへのトンネル（例えば、ポイントツーポイントのＶＰＮ接続）を自動的にアクティブにすることによって達成される。

【0077】

[0104]いくつかの実施形態では、ネットワークレギュレータは、サービスの加入情報と一意に関連付けられ、統一されたセキュリティの管理、および、全ての保護されたクライアントシステムに対する、例えば、家の中にある全てのインテリジェントデバイスに対する他の態様を可能にする。したがって、保護されたクライアントシステムによる不正なウェブサイトにアクセスする試みなどのセキュリティイベントは、加入情報のアカウントに自動的に関連付けられ、個々のアカウントの連絡窓口／アドミニストレータに報告されてもよい。セキュリティイベントの報告は、通知をアドミニストレータのアドミニストレーション・デバイス（例えば、携帯電話）に送ることを含むことができる。いくつかの実施形態では、このような通知は、セキュリティサーバによって集約され、ユーザ毎および／またはデバイス毎にグループ化される。アドミニストレーション・デバイス上で実行するグラフィカル・ユーザ・インターフェース（ＧＵＩ）は、それぞれのセキュリティイベント、統計データ、他に関する情報を表示することができる。したがって、本発明のいくつかの実施形態は、多くの顧客／アカウントに対してコンピュータセキュリティを管理するための集約された解決策を可能にし、このようなそれぞれのアカウントは、独自の様々なグループのデバイスと関連付けられる。

【0078】

[0105]ローカルネットワークに接続されたクライアントシステムの保護を保証することは別として、いくつかの実施形態は、自動構成、トラブルシューティング／技術援助、および保護されたクライアントシステムのリモート管理に対する統一された解決策を提供する。いくつかの実施形態は、それぞれの保護されたデバイス上にユーティリティエージェントをインストールし、ユーティリティエージェントは、リモートサーバと協働して構成データおよび／または実行可能なコードを受け取る。クライアントシステムのユーザ／アドミニストレータは、アドミニストレーション・デバイス（例えば、携帯電話）上に表示されるユーザインターフェースを介して、個々のデバイスをリモートで管理することができる。このような管理には、例えば、動作パラメータ（所望の家の温度、ペアレンタルコントロールの設定、他）を設定すること、ソフトウェアアップデートを適用すること、およびトラブルシューティングを含むことができる。

【0079】

[0106]本発明のいくつかの実施形態は、コンピュータエンジニアリングまたはネットワーク管理の専門知識を必要としないように、使いやすさのために具体的に作られている。例えば、インストール時に、ネットワークレギュレータは、ローカルネットワークに対する、インターネットアクセスのデフォルトのプロバイダになるために、既存のルータからいくつかのネットワークサービスを、自動的に引き継ぐことができる。

【0080】

[0107]上記の実施形態は、本発明の範囲を逸脱することなく、多くの方法で変更されてもよいということが当業者には明らかであろう。したがって、本発明の範囲は、以下の特許請求の範囲およびその法的均等物によって特定されるべきである。

【図1-A】

【図1-B】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【図17】

【図18】

【図19-A】

【図19-B】

【図20】

【図21】