▶ パロ アルト ネットワークス，インコーポレイテッドの特許一覧
特開2022-32038クラウドベースのセキュリティサービスのための大規模なローカル化
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2022032038
(43)【公開日】2022-02-24
(54)【発明の名称】クラウドベースのセキュリティサービスのための大規模なローカル化
(51)【国際特許分類】
H04L 12/22 20060101AFI20220216BHJP
H04L 45/74 20220101ALI20220216BHJP
G06F 13/00 20060101ALI20220216BHJP
G06F 21/55 20130101ALI20220216BHJP
【ＦＩ】
H04L12/66 B
H04L12/749
G06F13/00 510A
G06F21/55
【審査請求】有
【請求項の数】20
【出願形態】ＯＬ
【外国語出願】
(21)【出願番号】P 2021126416
(22)【出願日】2021-08-02
(11)【特許番号】
(45)【特許公報発行日】2022-02-15
(31)【優先権主張番号】16/985050
(32)【優先日】2020-08-04
(33)【優先権主張国・地域又は機関】US
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．Ｌｉｎｕｘ
２．ＪＡＶＡ
(71)【出願人】
【識別番号】517392861
【氏名又は名称】パロ アルト ネットワークス，インコーポレイテッド
【氏名又は名称原語表記】Ｐａｌｏ Ａｌｔｏ Ｎｅｔｗｏｒｋｓ，Ｉｎｃ．
【住所又は居所原語表記】３０００ Ｔａｎｎｅｒｙ Ｗａｙ，Ｓａｎｔａ Ｃｌａｒａ，Ｃａｌｉｆｏｒｎｉａ ９５０５４，Ｕｎｉｔｅｄ Ｓｔａｔｅｓ ｏｆ Ａｍｅｒｉｃａ
(74)【代理人】
【識別番号】100107766
【弁理士】
【氏名又は名称】伊東 忠重
(74)【代理人】
【識別番号】100070150
【弁理士】
【氏名又は名称】伊東 忠彦
(74)【代理人】
【識別番号】100135079
【弁理士】
【氏名又は名称】宮崎 修
(72)【発明者】
【氏名】トーマス アーサー ワーバートン
(72)【発明者】
【氏名】シュー リン
(72)【発明者】
【氏名】デヴェンドラ ラウト
(72)【発明者】
【氏名】ジャリアン リー
(72)【発明者】
【氏名】ハオ ロン
【テーマコード（参考）】
5B084
5K030
【Ｆターム（参考）】
5B084AA01
5B084AA11
5B084AB29
5B084DB01
5B084DC02
5B084DC03
5B084FA32
5K030GA15
5K030HA08
5K030HD03
5K030HD09
5K030KA15
5K030LB02
(57)【要約】
【課題】
クラウドベースのセキュリティサービスのための大規模なローカル化を提供するための技法が開示される。
【解決手段】
いくつかの実施形態において、クラウドベースのセキュリティサービスのための大規模なローカル化ためのシステム／方法／コンピュータプログラム製品は、クラウドベースのセキュリティサービスのネットワークゲートウェイにおいて接続要求を受信するステップ、テナントに関連するパブリックIPアドレスの登録されたセットから送信元ネットワークアドレス変換（NAT）を実行するステップ、および、クラウドベースのセキュリティサービスを使用して、サービスとしてのソフトウェア（SaaS）に対するセキュアなアクセスを提供するステップを含む。
【選択図】 図１
クラウドベースのセキュリティサービスのための大規模なローカル化を提供するための技法が開示される。
【解決手段】
いくつかの実施形態において、クラウドベースのセキュリティサービスのための大規模なローカル化ためのシステム／方法／コンピュータプログラム製品は、クラウドベースのセキュリティサービスのネットワークゲートウェイにおいて接続要求を受信するステップ、テナントに関連するパブリックIPアドレスの登録されたセットから送信元ネットワークアドレス変換（NAT）を実行するステップ、および、クラウドベースのセキュリティサービスを使用して、サービスとしてのソフトウェア（SaaS）に対するセキュアなアクセスを提供するステップを含む。
【選択図】 図１
【特許請求の範囲】
【請求項1】
システムであって、
プロセッサであり、
クラウドベースのセキュリティサービスのネットワークゲートウェイにおいて接続要求を受信し、
テナントに関連するパブリックIPアドレスの登録されたセットから送信元ネットワークアドレス変換（ＮＡＴ）を実行し、かつ、
前記クラウドベースのセキュリティサービスを使用して、サービスとしてのソフトウェア（ＳａａＳ）に対するセキュアなアクセスを提供する、
ように構成されている、プロセッサと、
前記プロセッサに結合されており、かつ、前記プロセッサに命令を提供するように構成されている、メモリと、
を含む、システム。
プロセッサであり、
クラウドベースのセキュリティサービスのネットワークゲートウェイにおいて接続要求を受信し、
テナントに関連するパブリックIPアドレスの登録されたセットから送信元ネットワークアドレス変換（ＮＡＴ）を実行し、かつ、
前記クラウドベースのセキュリティサービスを使用して、サービスとしてのソフトウェア（ＳａａＳ）に対するセキュアなアクセスを提供する、
ように構成されている、プロセッサと、
前記プロセッサに結合されており、かつ、前記プロセッサに命令を提供するように構成されている、メモリと、
を含む、システム。
【請求項2】
前記ネットワークゲートウェイからの出口ＩＰは領域に関連しており、該領域は、前記ＳａａＳのユーザについてローカリティの強化されたユーザ体験を推進するために、前記接続要求を送信したユーザの領域に対応する、
請求項１に記載のシステム。
請求項１に記載のシステム。
【請求項3】
前記クラウドベースのセキュリティサービスは、パブリッククラウドサービスプロバイダを使用して提供される、
請求項１に記載のシステム。
請求項１に記載のシステム。
【請求項4】
前記クラウドベースのセキュリティサービスは、複数のパブリッククラウドサービスプロバイダを使用して提供される、
請求項１に記載のシステム。
請求項１に記載のシステム。
【請求項5】
前記クラウドベースのセキュリティサービスは、様々な地域的なクラウドベースのコンピューティングサービスデータセンタそれぞれから１つ以上のＳａａＳプロバイダへの高速ネットワーク接続を提供する、パブリッククラウドサービスプロバイダを使用して提供される、
請求項１に記載のシステム。
請求項１に記載のシステム。
【請求項6】
前記ネットワークゲートウェイは、セキュリティポリシを実施する、
請求項１に記載のシステム。
請求項１に記載のシステム。
【請求項7】
前記ネットワークゲートウェイは、仮想ファイアウォールを有する、
請求項１に記載のシステム。
請求項１に記載のシステム。
【請求項8】
前記接続要求は、新たなセッションに関連しており、かつ、
前記プロセッサは、さらに、
前記新たなセッションに関連するゾーンを決定する、
ように構成されている、
請求項１に記載のシステム。
前記プロセッサは、さらに、
前記新たなセッションに関連するゾーンを決定する、
ように構成されている、
請求項１に記載のシステム。
【請求項9】
前記接続要求は、新たなセッションに関連しており、かつ、
前記プロセッサは、さらに、
前記接続要求に関連するセキュアなトンネル設定に基づいて、前記新たなセッションに関連するゾーンを決定する、
ように構成されている、
請求項１に記載のシステム。
前記プロセッサは、さらに、
前記接続要求に関連するセキュアなトンネル設定に基づいて、前記新たなセッションに関連するゾーンを決定する、
ように構成されている、
請求項１に記載のシステム。
【請求項10】
前記接続要求は、新たなセッションに関連しており、かつ、
前記プロセッサは、さらに、
前記接続要求に関連するドメインに基づいて、前記新たなセッションに関連するゾーンを決定する、
ように構成されている、
請求項１に記載のシステム。
前記プロセッサは、さらに、
前記接続要求に関連するドメインに基づいて、前記新たなセッションに関連するゾーンを決定する、
ように構成されている、
請求項１に記載のシステム。
【請求項11】
ターゲットネットワーク環境を反映するためにハニーネットワーク構成を同期させる方法であって、
クラウドベースのセキュリティサービスのネットワークゲートウェイにおいて接続要求を受信するステップと、
テナントに関連するパブリックIPアドレスの登録されたセットから送信元ネットワークアドレス変換（ＮＡＴ）を実行するステップと、
前記クラウドベースのセキュリティサービスを使用して、サービスとしてのソフトウェア（ＳａａＳ）に対するセキュアなアクセスを提供するステップと、
を含む、方法。
クラウドベースのセキュリティサービスのネットワークゲートウェイにおいて接続要求を受信するステップと、
テナントに関連するパブリックIPアドレスの登録されたセットから送信元ネットワークアドレス変換（ＮＡＴ）を実行するステップと、
前記クラウドベースのセキュリティサービスを使用して、サービスとしてのソフトウェア（ＳａａＳ）に対するセキュアなアクセスを提供するステップと、
を含む、方法。
【請求項12】
前記ネットワークゲートウェイからの出口ＩＰは領域に関連しており、該領域は、前記ＳａａＳのユーザについてローカリティの強化されたユーザ体験を推進するために、前記接続要求を送信したユーザの領域に対応する、
請求項１１に記載の方法。
請求項１１に記載の方法。
【請求項13】
前記クラウドベースのセキュリティサービスは、パブリッククラウドサービスプロバイダを使用して提供される、
請求項１１に記載の方法。
請求項１１に記載の方法。
【請求項14】
前記クラウドベースのセキュリティサービスは、複数のパブリッククラウドサービスプロバイダを使用して提供される、
請求項１１に記載の方法。
請求項１１に記載の方法。
【請求項15】
前記クラウドベースのセキュリティサービスは、様々な地域的なクラウドベースのコンピューティングサービスデータセンタそれぞれから１つ以上のＳａａＳプロバイダへの高速ネットワーク接続を提供する、パブリッククラウドサービスプロバイダを使用して提供される、
請求項１１に記載の方法。
請求項１１に記載の方法。
【請求項16】
有形のコンピュータ読取り可能な記憶媒体に具体化された、コンピュータプログラム製品であって、
クラウドベースのセキュリティサービスのネットワークゲートウェイにおいて接続要求を受信するステップ、
テナントに関連するパブリックIPアドレスの登録されたセットから送信元ネットワークアドレス変換（ＮＡＴ）を実行するステップ、および、
前記クラウドベースのセキュリティサービスを使用して、サービスとしてのソフトウェア（ＳａａＳ）に対するセキュアなアクセスを提供するステップ、
のためのコンピュータ命令を含む、コンピュータプログラム製品。
クラウドベースのセキュリティサービスのネットワークゲートウェイにおいて接続要求を受信するステップ、
テナントに関連するパブリックIPアドレスの登録されたセットから送信元ネットワークアドレス変換（ＮＡＴ）を実行するステップ、および、
前記クラウドベースのセキュリティサービスを使用して、サービスとしてのソフトウェア（ＳａａＳ）に対するセキュアなアクセスを提供するステップ、
のためのコンピュータ命令を含む、コンピュータプログラム製品。
【請求項17】
前記ネットワークゲートウェイからの出口ＩＰは領域に関連しており、該領域は、前記ＳａａＳのユーザについてローカリティの強化されたユーザ体験を推進するために、前記接続要求を送信したユーザの領域に対応する、
請求項１６に記載のコンピュータプログラム製品。
請求項１６に記載のコンピュータプログラム製品。
【請求項18】
前記クラウドベースのセキュリティサービスは、パブリッククラウドサービスプロバイダを使用して提供される、
請求項１６に記載のコンピュータプログラム製品。
請求項１６に記載のコンピュータプログラム製品。
【請求項19】
前記クラウドベースのセキュリティサービスは、複数のパブリッククラウドサービスプロバイダを使用して提供される、
請求項１６に記載のコンピュータプログラム製品。
請求項１６に記載のコンピュータプログラム製品。
【請求項20】
前記クラウドベースのセキュリティサービスは、様々な地域的なクラウドベースのコンピューティングサービスデータセンタそれぞれから１つ以上のＳａａＳプロバイダへの高速ネットワーク接続を提供する、パブリッククラウドサービスプロバイダを使用して提供される、
請求項１６に記載のコンピュータプログラム製品。
請求項１６に記載のコンピュータプログラム製品。
【発明の詳細な説明】
【背景技術】
【0001】
ファイアウォールは、一般的に、認可された通信がファイアウォールを通過するのを許可する一方で、ネットワークを不正アクセス（unauthorized access）から保護する。ファイアウォールは、典型的には、ネットワークアクセスのためのファイアウォール機能を提供する、デバイスまたは一組のデバイス、もしくはコンピュータといった、デバイス上で実行されるソフトウェアである。例えば、ファイアウォールは、デバイス(例えば、コンピュータ、スマートフォン、または他のタイプのネットワーク通信可能デバイス)のオペレーティングシステムへと統合することができる。ファイアウォールは、また、コンピュータサーバ、ゲートウェイ、ネットワーク／ルーティングデバイス(例えば、ネットワークルータ)、データ機器(例えば、セキュリティアプライアンスまたは他のタイプの特殊目的デバイス)上のソフトウェアに統合され、または、ソフトウェアとして実行することもできる。
【0002】
ファイアウォールは、典型的には、一式のルールに基づいてネットワーク送信を拒否または許可する。これら一式のルールは、しばしば、ポリシ（policy）と呼ばれる。例えば、ファイアウォールは、一式のルールまたはポリシを適用することによって、インバウンドトラフィックをフィルタリングすることができる。ファイアウォールは、また、一式のルールまたはポリシを適用することによって、アウトバウンドトラフィックをフィルタリングすることもできる。ファイアウォールは、また、基本的なルーティング機能を実行することもできる。
【図面の簡単な説明】
【0003】
本発明の様々な実施形態が、以下の詳細な説明および添付の図面において開示されている。
【図3A】図3Aは、いくつかの実施形態に従った、クラウドベースのセキュリティサービスのための大規模なローカル化（localization at scale）を提供するためのネットワークゲートウェイの例示的なコンポーネントを示すシステムブロック図である。
【発明を実施するための形態】
【0004】
本発明は、多数の方法で実施することができ、プロセス、装置、システム、物質の組成、コンピュータ読取り可能な記憶媒体上に具現化されたコンピュータプログラム製品、及び／又は、プロセッサに結合されたメモリに記憶され、かつ／あるいは、それによって提供される命令を実行するように構成されたプロセッサといった、プロセッサを含んでいる。この明細書において、これらの実施形態、または本発明がとり得る任意の他の形態は、技法（techniques）と称される。一般的に、開示されるプロセスのステップの順序は、本発明の範囲内で変更され得る。
特に断らない限り、タスクを実行するように構成されているものとして記載されるプロセッサまたはメモリといったコンポーネントは、所与の時間にタスクを実行するように時間的に構成されている一般的なコンポーネントとして、または、タスクを実行するように製造されている特定のコンポーネントとして実装することができる。ここにおいて使用される場合、用語「プロセッサ（“processor”）」は、コンピュータプログラム命令といった、データを処理するように構成された１つ以上のデバイス、回路、及び／又は、処理コアを指す。
特に断らない限り、タスクを実行するように構成されているものとして記載されるプロセッサまたはメモリといったコンポーネントは、所与の時間にタスクを実行するように時間的に構成されている一般的なコンポーネントとして、または、タスクを実行するように製造されている特定のコンポーネントとして実装することができる。ここにおいて使用される場合、用語「プロセッサ（“processor”）」は、コンピュータプログラム命令といった、データを処理するように構成された１つ以上のデバイス、回路、及び／又は、処理コアを指す。
【0005】
本発明の１つ以上の実施形態に係る詳細な説明は、本発明の原理を説明する添付の図面と共に以下に提供されている。本発明は、そうした実施形態に関連して説明されるが、本発明は、任意の実施形態に限定されるものではない。本発明の範囲は、請求項によってのみ限定されるものであり、そして、本発明は、多数の代替、修正、および均等物を包含する。本発明の完全な理解を提供するために、以下の説明においては多数の具体的な詳細が記載されている。これらの詳細は、例示のために提供されているものであり、そして、本発明は、これらの特定の詳細の一部または全部を伴うことなく、請求項に従って実施され得る。明確性のために、発明に関連する技術分野において知られている技術的資料は、発明が不必要に不明確にならないように、詳細には説明されていない。
【0006】
先進的または次世代ファイアウォール
【0007】
マルウェア（malware）は、悪意のあるソフトウェア(例えば、様々な敵対的、侵入的、及び／又は、そうでなければ、望まれていないソフトウェアを含むもの)を指す一般的な用語である。マルウェアは、コード、スクリプト、アクティブコンテンツ、及び／又は、他のソフトウェアの形態であり得る。マルウェアの使用例は、コンピュータ及び／又はネットワーク動作の中断、機密情報（proprietary information）(例えば、身元、財務、及び／又は、知的財産関連情報といった秘密情報)の盗用、及び／又は、私的／専有コンピュータシステム及び／又はコンピュータネットワークに対するアクセスの獲得を含む。不幸にも、マルウェアの検出と軽減に役立つ技法が開発されるにつれて、悪意のある作家は、そうした努力を回避する方法を見つける。従って、マルウェアを識別し、かつ、軽減するための技法を改善する継続的な必要性が存在している。
【0008】
ファイアウォールは、一般的に、承認された通信がファイアウォールを通過するのを許可し、一方で、不正アクセスからネットワークを保護している。ファイアウォールは、典型的には、ネットワークアクセスのためにファイアウォール機能を提供する、デバイス、一式のデバイス、または、デバイス上で実行されるソフトウェアである。例えば、ファイアウォールは、デバイス(例えば、コンピュータ、スマートフォン、または、他のタイプのネットワーク通信可能なデバイス)のオペレーティングシステムの中に統合することができる。ファイアウォールは、また、コンピュータサーバ、ゲートウェイ、ネットワーク／ルーティング（routing）デバイス(例えば、ネットワークルータ)、または、データ機器(例えば、セキュリティアプライアンス、または他のタイプの特殊目的デバイス)といった、様々なタイプのデバイスまたはセキュリティデバイス上のソフトウェアアプリケーションとして統合され、または実行することができ、そして、いくつかの実装では、特定の動作は、ASICまたはFPGAのような、特定目的ハードウェアで実装することができる。
る。
る。
【0009】
ファイアウォールは、典型的に、一式のルールに基づいてネットワーク送信を拒否または許可する。これらのルールのセットは、しばしば、ポリシ(例えば、ネットワークポリシ、またはネットワークセキュリティポリシ)として参照される。例えば、ファイアウォールは、不要な外部トラフィックが保護デバイスに到達するのを防ぐために、一式のルールまたはポリシを適用することによって、インバウンドトラフィック（inbound traffic）をフィルタリングすることができる。ファイアウォールは、また、一式のルールまたはポリシを適用することによってアウトバウンドトラフィックをフィルタリングすることができる(例えば、許可（allow）、ブロック（block）、モニタリング（monitor）、通知（notify）、またはログ（log）、及び／又は、ファイアウォールルールまたはファイアウォールポリシにおいて指定され得る他のアクションであり、これらは、ここにおいて説明されるような、様々な基準に基づいてトリガすることができる)。ファイアウォールは、また、同様に一式のルールまたはポリシを適用することによって、ローカルネットワーク(例えば、イントラネット)トラフィックをフィルタリングすることもできる。
【0010】
セキュリティデバイス(例えば、セキュリティアプライアンス、セキュリティゲートウェイ、セキュリティサービス、及び／又は、他のセキュリティデバイス)は、様々なセキュリティ動作(例えば、ファイアウォール、アンチ－マルウェア、侵入防止／検出、プロキシ、及び／又は、他のセキュリティ機能)、ネットワーク機能(例えば、ルーティング、クオリティ・オブ・サービス（QoS)、ネットワーク関連リソースのワークロードバランシング、及び／又は、他のネットワーク機能)、及び／又は、他のセキュリティ及び／又はネットワーク関連の機能を実行することができる。例えば、ルーティングは、送信元（source）情報(例えば、IPアドレスおよびポート)、宛先（destination）情報(例えば、IPアドレスおよびポート)、および、プロトコル情報（例えば、レイヤ－３ ＩＰベースルーティング）に基づいて実行することができる。
【0011】
基本的なパケットフィルタリング・ファイアウォールは、ネットワークを介して送信される個々のパケットを検査することによって、ネットワーク通信トラフィックをフィルタリングする(例えば、ステートレス（stateless）パケットフィルタリング・ファイアウォールである、パケットフィルタリング・ファイアウォールまたは第１世代ファイアウォール)。ステートレスパケットフィルタリング・ファイアウォールは、典型的に、個々のパケット自体を検査し、そして、検査されたパケットに基づいて(例えば、パケットの送信元および宛先のアドレス情報、プロトコル情報、および、ポート番号の組み合わせを使用して)ルールを適用する。
【0012】
アプリケーション・ファイアウォールは、また、(例えば、アプリケーション層フィルタリング・ファイアウォール、または、TCP/IPスタックのアプリケーションレベルにおいて機能する第２世代ファイアウォールを使用して)アプリケーション層フィルタリングを実行することもできる。アプリケーション層フィルタリング・ファイアウォールまたはアプリケーション・ファイアウォールは、一般的に、所定のアプリケーションおよびプロトコル(例えば、ハイパーテキスト転送プロトコル(HTTP)を使用したウェブブラウジング、ドメインネームシステム(DNS)要求、ファイル転送プロトコル(FTP)を使用したファイル転送、および、Telnet、DHCP、TCP、UDP、およびTFTP(GSS)といった、様々な他のタイプのアプリケーションおよび他のプロトコル)を識別することができる。例えば、アプリケーション・ファイアウォールは、標準ポート上で通信を試みる未認可（unauthorized）プロトコルをブロックすることができる(例えば、そのプロトコルについて非標準（non-standard）ポートを使用することにより黙って通り抜けること（sneak through）を試みる未認可／外れたポリシプロトコルは、一般的に、アプリケーション・ファイアウォールを使用して識別することができる)。
【0013】
ステートフル・ファイアウォールは、また、ステートフル・ベースのパケット検査を実行することもでき、そこでは、各パケットが、そのネットワーク送信のパケットフロー（packets/packet flow）と関連する一式のパケットのコンテキストの中で検査される(例えば、ステートフル・ファイアウォールまたは第３世代ファイアウォール)。このファイアウォール技術は、一般的に、ステートフル・パケット検査として参照される。ファイアウォールを通過する全ての接続の記録を保持し、そして、パケットが、新しい接続の開始であるか、既存の接続の一部であるか、または、無効なパケットであるかを判断することができるからである。例えば、接続の状態は、それ自体が、ポリシの中のルールをトリガするクライテリアの１つになり得る。
【0014】
先進的または次世代ファイアウォールは、上述のように、ステートレスおよびステートフルなパケットフィルタリングおよびアプリケーション層フィルタリングを実行することができる。次世代ファイアウォールは、また、追加的なファイアウォール技術を実行することもできる。例えば、先進的または次世代ファイアウォールとして、しばしば参照される所定の新しいファイアウォールは、また、ユーザおよびコンテンツを識別することができる。特に、所定の次世代ファイアウォールは、これらのファイアウォールが自動的に識別できるアプリケーションのリストを、何千ものアプリケーションまで拡大している。そうした次世代ファイアウォールの例は、Palo Alto Networksから市販されている(例えば、Palo Alto NetworksのPAシリーズのファイアウォール)。
【0015】
例えば、Palo Alto Networksの次世代ファイアウォールは、様々な識別技術を使用して、企業およびサービスプロバイダが、アプリケーション、ユーザ、およびコンテンツ－単にポート、IPアドレス、およびパケットだけでなく－を識別し、かつ、制御することを可能にする。様々な識別技術は、正確なアプリケーション識別のためのアプリケーションID（App-ID)（例えば、App ID)、ユーザ識別のためのユーザID（User-ID)（例えば、User ID)、および、リアルタイムなコンテンツスキャニングのためのコンテンツID（Content-ID)（例えば、Content ID)といったものである(例えば、Webサーフィンを制御し、かつ、データおよびファイルの転送を制限する)。これらの識別技術により、企業は、従来のポートブロッキングファイアウォールによって提供される従来のアプローチに従う代わりに、ビジネス関連の概念を使用して、アプリケーションの使用を安全に可能にすることができる。また、例えば、専用装置として実装される、次世代ファイアウォールのための特定目的ハードウェアは、汎用ハードウェア上で実行されるソフトウェアよりも、アプリケーション検査についてより高いパフォーマンスレベルを一般的に提供する(例えば、Palo Alto Networks社が提供するセキュリティアプライアンスといったものであり、シングルパス・ソフトウェアエンジンと堅く統合されている、専用の、機能固有の処理を利用し、Palo Alto NetworksのPAシリーズ次世代ファイアウォールについて、レイテンシ（latency）を最小化する一方で、ネットワークのスループットを最大化する)。
【0016】
先進的または次世代ファイアウォールは、また、仮想化ファイアウォールを使用して実装することもできる。そうした次世代ファイアウォールの例は、Palo Alto Networks社から市販されている(Palo Alto Networksのファイアウォールは、VMware(R) ESXiおよびNSX、Citrix(R)Netscaler SDX、KVM/OpenStack(Centos/RHEL、Ubuntu(R))、および、Amazon Web Services(AWS)を含む、様々な商用仮想化環境をサポートしている)。例えば、仮想化ファイアウォールは、物理的フォームファクタアプライアンスで利用可能な、同様の、または、完全に同一の次世代ファイアウォールおよび先進的な脅威防止機能をサポートすることができ、企業は、プライベート、パブリック、およびハイブリッドなクラウドコンピューティング環境へのアプリケーションの流入を安全に可能にすることができる。VMモニタリング、ダイナミックアドレスグループ、およびRESTベースのAPIといった自動化機能により、企業は、VMの変化を動的にモニタすることができ、そのコンテキストをセキュリティポリシに反映させて、それにより、VMの変化時に生じ得るポリシの遅れ（lag）を排除している。
【0017】
クラウドベースのセキュリティサービスプロバイダに対する技術的課題
【0018】
セキュリティサービスプロバイダは、ファイアウォール、VPN、および、その他のセキュリティ関連サービスを含む、様々な市販のクラウドベースのセキュリティソリューションを提供している。例えば、いくつかのセキュリティサービスプロバイダは、クラウドベースのセキュリティソリューションを顧客に提供するために、世界中の複数の地域に彼ら自身のデータセンタを有している。
【0019】
一般的に、クラウドベースのセキュリティサービスは、世界中の様々な場所／地域でクラウドベースのセキュリティサービスプロバイダによって提供されている。しかしながら、顧客(例えば、所与のクラウドベースのセキュリティサービスプロバイダの企業顧客)は、クラウドベースのセキュリティサービスプロバイダがそうした顧客にクラウドベースのセキュリティサービスを提供するためのデータセンタを持たない特定の場所／地域にオフィス及び／又はモバイルユーザを有することがある。その結果、このことは、クラウドベースのセキュリティサービスプロバイダがローカルデータセンタを有する場所／地域外の多くの顧客に対して、ネットワークパフォーマンスのレイテンシを、しばしば、もたらすことがある。
【0020】
さらに、クラウドベースのセキュリティサービスプロバイダは、クラウドベースのセキュリティサービスプロバイダがローカルデータセンタを持たない場所／地域に対して、ローカル化（localization）のための適切なサポートを提供できないことがある。具体的には、多くのWebサイト／サービスが、ユーザの位置に基づいてローカ化パッケージ(例えば、表示言語／コンテンツ)を決定する。ローカラル化パッケージは、ユーザのIPアドレスの登録された位置によって主に決定される。かくして、ユーザトラフィックがクラウドベースのセキュリティサービスのネットワークゲートウェイから出て行く場合、そのネットワークゲートウェイに関連付けられたパブリックIPアドレスは、典型的に、そのユーザトラフィックのソースIPアドレスとなる。この例において、クラウドベースのセキュリティサービスのネットワークゲートウェイに関連するパブリックIPアドレスは、ユーザの実際の場所と同じ地理的場所に登録されないだろうと仮定すると、ウェブサイト／サービスは、典型的に、ユーザの実際の場所とは異なる言語／コンテンツを表示し、これは、一般的には、クラウドベースのセキュリティサービスプロバイダのそうした顧客にとって、あまり望ましくないユーザ体験である。
【0021】
例えば、フランスに所在するユーザがドイツのクラウドベースのセキュリティサービスプロバイダのネットワークゲートウェイに接続されている場合(例えば、セキュリティサービスプロバイダがイタリアに置かれたデータセンタを有しておらず、かつ、その最も近いネットワークゲートウェイがドイツに置かれている場合)、ウェブサイト／サービスは、ユーザがドイツに所在するかのように、ユーザのセッションを取り扱うだろう。ユーザのセッションに、そのネットワークゲートウェイの出口IPアドレスが付与されているからであり、ドイツで登録されたパブリックIPアドレスに関連するだろう。結果として、このことは、一般的に、そのユーザ(例えば、そして、セキュリティサービスプロバイダがネットワークゲートウェイ／データセンタを有しない場所／地域に置かれたセキュリティサービスプロバイダの他のユーザ)にとって望ましくないユーザ体験をもたらす。
【0022】
従って、必要とされるのは、クラウドベースのセキュリティサービスにローカル化を提供するための新しく、かつ、改良された技法である。
【0023】
クラウドベースのセキュリティサービスのための大規模なローカル化を提供するための技法
【0024】
従って、クラウドベースのセキュリティサービスのために大規模なローカル化を提供するための種々の技術が開示される。
【0025】
開示される技法は、例えば、パブリッククラウドにおいて、IPアドレスの場所／地域とインスタンスの場所／地域は、一般的に無関係であるという観察に基づいている。従って、開示される技術は、所与のネットワークゲートウェイ(例えば、物理的ネットワークゲートウェイ、または、クラウドベースのセキュリティサービスプロバイダに係るそうしたネットワークゲートウェイの仮想インスタンス)の場所／地域(例えば、市、州、郡、県、国、及び／又は、大陸)と、所与のネットワークゲートウェイに関連するIPアドレスと関連付けされた地理的場所とを効果的に切り離す。
【0026】
例えば、ベルギーに置かれた所与のクラウドベースのセキュリティプロバイダのネットワークゲートウェイが、米国(US)ベースのIPアドレスに関連付けられている場合、その出口トラフィックは、インターネット上で利用可能なウェブサイト／サービス(例えば、サービスとしてソフトウェア（Software as a Service、SaaS）プロバイダサイト、または、任意の他のインターネット上のウェブサイト／サービス)による、米国からのトラフィックとして扱われる。
【0027】
対照的に、オランダに所在するユーザに係る所与のユーザセッションのユーザトラフィックが、ベルギー内のネットワークゲートウェイから出ているが、この例では、出口IPアドレスが実際にはオランダベースのIPアドレスである場合に、ウェブサイト／サービスは、その出口IPアドレスに基づいてユーザがオランダに所在するものと推測するだろうし、それによって、クラウドベースのセキュリティプロバイダのネットワークゲートウェイの物理的な位置にかかわらず、オランダにおいてユーザのためにより望ましいローカル体験を提供している。一つの例として、Webサイト／サービスがMicrosoft Office 365(R)サービスである場合、Microsoft Office 365(R)サービスは、ユーザのために適切なオランダベースのローカル体験を提供することができる(例えば、そのオランダベースのユーザのためにSaaSについて適切な言語パッケージを選択すること、など)。
【0028】
いくつかの実施形態において、クラウドベースのセキュリティサービスのために大規模なローカル化を提供するためのシステム／方法／コンピュータプログラム製品は、クラウドベースのセキュリティサービスのネットワークゲートウェイにおいて接続要求を受信するステップと、テナントに関連する登録された一式のパブリックIPアドレスからソースネットワークアドレス変換（Network Address Translation）を実行するステップと、クラウドベースのセキュリティサービスを使用して、サービスとしてソフトウェア（SaaS）へのセキュアなアクセスを提供するステップと、を含む。
【0029】
例えば、開示されるクラウドベースのセキュリティサービスは、以下でさらに説明されるように、強化されたローカリティ（locality）ユーザ体験をユーザに提供する。開示されるクラウドベースのセキュリティサービスは、また、登録されたパブリックIPアドレスのセットが、クラウドベースのセキュリティサービスの各テナント(例えば、顧客)に対して異なるので、以下で、また、さらに説明されるように、ユーザに対して強化されたセキュリティソリューションも提供する。
【0030】
いくつかの実施形態において、クラウドベースのセキュリティサービスのために大規模なローカル化を提供するためのシステム／方法／コンピュータプログラム製品は、さらに、パブリッククラウドサービスプロバイダ(例えば、Google Cloud Platform(R)(GCP)といった、クラウドベースのコンピューティングサービス、または、同様のソリューションを提供する他のパブリッククラウドサービスプロバイダであり、Amazon Web Services(R)(AWS)、Microsoft Azure(R)サービス、等、を含み得るもの、及び／又は、そうしたクラウドベースのコンピューティングサービス及び／又はクラウドベースのセキュリティサービスプロバイダによって制御されるデータセンタの様々な組み合わせ)を使用してクラウドベースのセキュリティサービスを提供することを含み、
、それらの様々な地域的クラウドベースのコンピューティングサービスデータセンタそれぞれから１つ以上のSaaSプロバイダへの高速ネットワーク接続を提供する。その結果としれ、クラウドベースのセキュリティサービスのユーザは、また、そうしたSaaSプロバイダソリューションを使用する場合に、より低いレイテンシを経験し、それによって、ユーザ体験、並びに、クラウドベースのセキュリティサービスを介してそうしたSaaSプロバイダソリューションを使用する場合のセキュリティを、さらに強化している。
、それらの様々な地域的クラウドベースのコンピューティングサービスデータセンタそれぞれから１つ以上のSaaSプロバイダへの高速ネットワーク接続を提供する。その結果としれ、クラウドベースのセキュリティサービスのユーザは、また、そうしたSaaSプロバイダソリューションを使用する場合に、より低いレイテンシを経験し、それによって、ユーザ体験、並びに、クラウドベースのセキュリティサービスを介してそうしたSaaSプロバイダソリューションを使用する場合のセキュリティを、さらに強化している。
【0031】
一つの例示的な実装においては、パブリッククラウドサービスプロバイダの利点を利用するために、クラウドベースのセキュリティサービスは、Googleパブリッククラウドサービス(例えば、市販のGoogle Cloud Platform(GCP)サービスは、現在、世界的に100以上のプレゼンスポイント(point of presence、PoP)を有している。https://cloud.google.com/vpc/docs/edge-locationsを参照のこと)を利用し、そして、以下でさらに説明されるように、ウェブサイト／サービスのローカリティを向上させるための開示される実装方法を実施する。また、１つ以上のパブリッククラウドサービスを使用してクラウドベースのセキュリティサービスを実装することにより、クラウドベースのセキュリティサービスの柔軟性とスケール（scale）が向上する(例えば、クラウドベースのセキュリティサービスプロバイダの地域的データセンタのみを使用するのは対照的であり、それは、ワールドワイドに多くの地域をカバーしていない可能性があり、多くのパブリッククラウドサービスプロバイダと比べてスケーリングのためのコンピューティングリソースが少ない可能性があり、かつ／あるいは、様々な地域的クラウドベースのコンピューティングサービスデータセンタから１つ以上のSaaSプロバイダへの高速ネットワーク接続を有さない可能性がある)。
【0032】
この例示的な実装において、クラウドベースのセキュリティサービスプロバイダのネットワークゲートウェイは、インターネット上のウェブサイト／サービスにアクセスするためにユーザの企業ネットワークの外部のサイトに接続している、入ってくる（incoming）ユーザセッションでソースNAT(SNAT)演算を実行することによって、ウェブサイト／サービスについてローカリティのユーザ体験を向上させるための開示される技術を実装する。具体的には、そうしたユーザセッションは、異なる場所／地域に配置され得るネットワークゲートウェイに割り当てられるIPアドレスとは対照的に、ネットワークゲートウェイに対して入ってくるユーザセッションの場所／地域に関連するIPアドレスが割り当てられ、及び／又は、このネットワークゲートウェイIPアドレスは、ユーザの場所／地域とは異なる場所／地域に関連する。
【0033】
この例示的な実装において、クラウドベースのセキュリティサービスプロバイダは、また、サポートされているそれぞれの場所／地域(例えば、PoP)について一式のIPアドレス範囲を維持し、クラウドベースのセキュリティサービスプロバイダのサービスの各顧客／テナントに対して、別個のパブリックIPアドレスプールとして使用する(例えば、顧客それぞれが、例えば、数百のそうしたパブリックIPアドレス範囲を提供することを要求するのとは対照的である)。また、各顧客／テナントごとに異なるパブリックIPアドレスプールを維持することによって、クラウドベースのセキュリティサービスプロバイダは、また、(例えば、そうした技術を数百のPoPにおいてサポートすることによって)開示される技術に係る大規模なローカル化を推進すると共に、各顧客のためによりセキュアなソリューションを推進する(例えば、異なる顧客にわたり共有される、そうしたパブリックIPアドレスプールを有することとは対照的である)。例えば、ユーザは、様々なセキュリティポリシを実装するために異なるパブリックIPアドレスプールを利用することができる(例えば、ACME Companyは、クラウドベースのセキュリティサービスプロバイダが、ACME Companyに関連するユーザのためだけに使用されるパブリックIPアドレスプールを利用することを前提として、彼らのSalesforce(R)サービスに接続しているユーザセッションが、ユーザセッションの割り当てられたパブリックIPアドレスに基づいて、マルチファクタ認証をバイパスできるようにする。)
【0034】
一つの実施形態において、クラウドベースのセキュリティサービスプロバイダ(例えば、Palo Alto NetworksのファイアウォールのPAN-OSオペレーティングシステム)のネットワークゲートウェイは、以下でさらに説明されるように、クラウドベースのセキュリティサービスのための大規模なローカル化を提供するために、開示される新しいNAT機能(例えば、SNATオペレーション)をサポートするように構成されている。
【0035】
かくして、クラウドベースのセキュリティサービスのための大規模なローカル化を提供するために開示される技術は、ユーザのための強化されたローカル体験を促進する。例えば、クラウドベースのセキュリティサービスのユーザは、種々のSaaSアプリケーション及び／又はインターネットのウェブサイト／サービスを利用することができ、そして、ユーザの所在地に関連するローカル言語でレンダリングされ／提供される。ユーザをクラウドベースのセキュリティサービスに接続するために使用される、クラウドベースのセキュリティサービスのネットワークゲートウェイとは対照的である(例えば、上記と同様に、ユーザとは異なる地理的な所在地／地域であってよい)。
【0036】
従って、以下でさらに説明されるように、クラウドベースのセキュリティサービスのための大規模なローカル化を提供するための様々な技術が開示される。
【0037】
クラウドベースのセキュリティサービスのための大規模なローカル化を提供するためのシステム処理アーキテクチャ
【0038】
いくつかの実施形態において、クラウドベースのセキュリティサービスは、より大規模で、かつ、ワールドワイドなカバレッジを提供するために、１つ以上のパブリッククラウドソリューションを使用して実装される(例えば、上記と同様に、数百のPoPといった、より多くの領域においてデータセンタを提供している)。例えば、企業顧客のビジネスは、世界中でポップアップしている新たなリモートネットワークロケーションおよび世界中にローミングしているモバイルユーザと共にグローバルに拡大するので、企業顧客のユーザ、データセンタ、および、リモートサイトの接続を維持し、かつ、セキュリティを確保することが課題であり得る。
【0039】
かくして、開示される技術を使用して、クラウドベースのセキュリティサービスは、クラウドベースのインフラストラクチャを使用して実装することができ、クラウドベースのセキュリティサービスプロバイダが、例えば、ファイアウォールおよび計算ソース割り当てのサイズ調整、並びに、企業の頻繁に分散される組織に関連するカバレッジギャップまたは不整合の最小化という課題を回避することを可能にする。さらに、パブリッククラウドの弾性（elasticity）は、需要のシフトおよびトラフィックパターンの変化に応じて効率的にスケールする。かくして、クラウドベースのセキュリティサービスは、クラウドベースのセキュリティサービスプロバイダによって管理されるクラウドベースのセキュリティインフラを活用することで、リモートネットワークおよびモバイルユーザに対する次世代のセキュリティ展開を可能にする。
【0040】
例えば、セキュリティ処理ノード(例えば、Palo Alto Networks社から入手可能な様々なファイアウォールといった、市販のセキュリティプラットフォームソリューションを使用して実装することができる、ネットワークゲートウェイ)は、アプリケーション、脅威、およびコンテンツを識別するために、全てのトラフィックを検査するようにサービス内でネイティブに（natively）展開することができる。また、クラウドベースのセキュリティサービスは、SaaSアプリケーションの使用への可視性、および、企業顧客のユーザに対してどのSaaSアプリケーションが利用可能であるかを制御する能力を提供することもできる(例えば、アクセス、制御、および、他のセキュリティ関連ポリシ、上記と同様に、セッションのIPアドレスに基づくマルチファクタ認証（MultiFactor Authentication、MFA)要求といったものを含んでいる)。かくして、クラウドベースのセキュリティサービスは、例えば、企業顧客のデータセンタ、本社、リモートサイト(例えば、支社とリモートネットワーク)、および、モバイルユーザを安全にするために、セキュリティインフラストラクチャをグローバルに展開し、かつ、管理することができる。
【0041】
図1は、いくつかの実施形態に従った、例示的なクラウドベースのセキュリティサービスのシステム図である。この例では、102において示されるクラウドベースのセキュリティサービス、様々なモバイルユーザ104Aと104B、リモートサイト106Aと106B(例えば、支店オフィスおよびリモートネットワークといった、リモートネットワークロケーション、および、それらの支店におけるユーザを安全にするためにクラウドベースの次世代ファイアウォールを有する)、並びに、企業顧客の本社／データセンタ108が、クラウドベースのセキュリティサービスと通信している。データストア110(例えば、CortexTMデータレイクまたは他のデータストアソリューション)は、また、クラウドベースのセキュリティサービスのための種々のログ及び／又は、他の情報を保管するために、クラウドベースのセキュリティサービスとも通信している。
【0042】
例えば、クラウドベースのセキュリティサービスは、様々なファイアウォール、VPN(例えば、クライアントのVPNトンネルにIPアドレスを割り当てて、例えば、顧客の企業ネットワーク内の内部リソース、企業顧客のモバイルユーザ、およびそれらのリモートネットワーク／サイトロケーション内のユーザの間のセキュアな通信を推進するために、１つ以上のIPアドレスプールを使用してIPsecトンネルを確立することを可能にする)、および、例えば、120に示されるインターネット上のウェブサイト／サービス(例えば、SaaSプロバイダサービスを含む)へのセキュアなアクセスのために、ポリシ(例えば、企業顧客によって設定可能なセキュリティポリシ)に基づいて、モバイルユーザ、リモートサイト、および、本社／データセンタのための他のセキュリティ関連サービスを提供することができる。
【0043】
図2Aは、いくつかの実施形態に従った、例示的なクラウドベースのセキュリティサービスのシステム図である。例えば、クラウドベースのセキュリティサービス200は、市販のパブリッククラウドソリューション、例えば、Google Cloud Platform(GCP)を使用して、サポートされたSaaSプロバイダ(例えば、図示のMicrosoft Office365(R)及び／又はSalesforce(R)といった、他のサポートされたSaaSプロバイダ)のための低レイテンシ（low latency）を推進すると共に、インターネット上で利用可能なSaaSプロバイダソリューションを含むインターネット上のウェブサイト／サービスに接続する際に、クラウドベースのセキュリティサービスのユーザのための強化されたローカル体験のために開示される技術を実装することができる。当業者にとって明らかなように、開示される技術は、同様に、他のパブリッククラウドサービスプロバイダから市販されているパブリッククラウドソリューション、様々なパブリッククラウドサービスプロバイダの組み合わせ、または、クラウドベースのセキュリティサービスプロバイダによって維持／制御される地域データセンタ、または、それらの組み合わせを使用して実装することができる。
【0044】
図2Aを参照すると、クラウドベースのセキュリティサービス200のネットワークゲートウェイ202は、データセンタのサーバ上で実行する仮想ネットワークゲートウェイ202(例えば、Palo Alto Networks社から入手可能なファイアウォールソリューションといった、セキュリティプラットフォーム、または、別の市販のセキュリティプラットフォームソリューションは、同様に、ここにおいて開示されているようなネットワークゲートウェイを実装するように構成することができる)として実装される。この例において、ネットワークゲートウェイは、ドイツにあるGCPのデータセンタのサーバ上で実行されている。イタリアに配置されたユーザ204Aは、（例えば、IPsecトンネルまたは別のセキュア／仮想プライベートネットワーク(VPN)接続を介して)ドイツに配置されたネットワークゲートウェイ202に対してセキュアに接続されている(例えば、クラウドベースのセキュリティサービスは、ユーザ204Aのエンドポイントデバイス上で実行され、かつ、ユーザを最も近い地域的ネットワークゲートウェイに自動的かつセキュアに接続する、エージェントを提供する。このエージェントでは、企業の顧客は、例えば、以下でさらに説明されるように、彼らのモバイルユーザを安全にするためにクラウドベースのネットワークゲートウェイとして機能するクラウドベースのセキュリティサービスにおける場所を選択することができる)。同様に、スペインに配置されたユーザ204Bは、ドイツに配置されたネットワークゲートウェイ202に対して安全に接続されている。一つの例示的な実装において、クラウドベースのセキュリティサービスは、また、エージェント(図示なし)を提供する(例えば、Palo Alto Networks社から入手可能なGlobalProtectエージェントといった、エンドポイントエージェント)。ユーザ204Aおよび204B(例えば、同様に他のユーザおよびデータ機器、サーバ、等)のエンドポイントデバイス(例えば、Linux OS、Microsoft Windows OS、Apple Mac OS、Apple iOS(R)、およびGoogle Android(R) OSといった、様々なオペレーティングシステム(OS)を実行するエンドポイントデバイス)といった、様々なコンピューティングプラットフォーム上で実行することができ、最も近いゲートウェイへの、及び／又は、他の基準(例えば、レイテンシ、ワークロードバランス、等)に基づく自動的で、かつ、セキュアな接続を推進する。
【0045】
図2Aに示されるように、開示される技術を使用して、ネットワークゲートウェイ202は、222に示されているMicrosoft Office 365(R)サービスと接続する際に、ユーザ204Aのセッションに関連付けられるべきイタリアのパブリックIPアドレス(例えば、イタリアの地理的場所に関連付けられたパブリックIPアドレス)を、出口IPアドレスとして割り当てるためのソースNAT(SNAT)オペレーションを自動的に実行する。同様に、ネットワークゲートウェイ202は、222に示されているMicrosoft Office 365(R)サービスと接続する際に、ユーザ204Bのセッションに関連付けられる出口IPアドレスとしてスペインのパブリックIPアドレス(例えば、スペインの地理的場所に関連付けられたパブリックIPアドレス)を割り当てるために、SNATオペレーションを自動的に実行する。
【0046】
222Aおよび222Bに示されるように、クラウドベースのセキュリティサービスのユーザ204Aおよび204Bは、ネットワークゲートウェイ202を介して接続して、Microsoft Office 365(R)(及び／又は、他のインターネットウェブサイト／サービス)といった、種々のSaaSアプリケーションにアクセスすることができ、これらは、ネットワークゲートウェイ202によって実行される上述のSNATオペレーションの結果として、各ユーザのそれぞれの場所に関連するローカル言語で提供される(例えば、そうしたSNATオペレーションがない場合、Microsoft Office 365(R)といったSaaSアプリケーションは、ユーザがドイツに配置されているネットワークゲートウェイ202に関連するパブリックIPアドレス(例えば、ドイツの地理的場所に関連するパブリックIPアドレス)に基づいてドイツに配置されていることを推測しる。これは、望ましいユーザローカル化体験を提供しないだろう)。
【0047】
さらに、この例におけるパブリッククラウドプロバイダ、GCPは、様々な地域的クラウドベースのコンピューティングサービスデータセンタから、Microsoft Office 365(R)を含む１社以上のSaaSプロバイダへの高速ネットワーク接続を提供する(例えば、地域的クラウドプラットフォームサイトから様々なSaaSプロバイダサイトへのGoogle所有ファイバネットワーク接続を利用するGCPプレミアムネットワークを使用する)。その結果として、クラウドベースのセキュリティサービス200のユーザ204Aおよび204Bは、ネットワークゲートウェイ202に接続して、そうしたSaaSプロバイダソリューション(例えば、Microsoft Office 365(R))にアクセスする場合にも、より低いレイテンシを経験し、それによって、クラウドベースのセキュリティサービスを介してSaaSプロバイダソリューションを安全に使用する場合に、ユーザ体験をさらに向上させている。
【0048】
図2Bは、いくつかの実施形態に従った、例示的なクラウドベースのセキュリティサービスの別のシステム図である。この例において、クラウドベースのセキュリティサービス200のネットワークゲートウェイ202A、202B、および202Cは、図示のように、異なる地理的場所に配置される。また、示されるように、異なる場所／地域に配置されたクラウドベースのセキュリティサービスのユーザは、以下でさらに説明されるように、クラウドベースのセキュリティサービスプロバイダのネットワークゲートウェイに自動的に安全に接続することができる。例えば、ワルシャワ(ポーランド)に配置されたユーザは、ドイツ、フランクフルトに配置されたeu-west-3データセンタのネットワークゲートウェイ202Aに接続され、カナダ、バンクーバーに配置されたユーザは、米国、オレゴンに配置されたus-west-1データセンタのネットワークゲートウェイ202Bに接続され、カリフォルニア州、サンフランシスコに配置されたユーザは、同じく米国、オレゴンに配置されたus-west-2データセンタのネットワークゲートウェイ202Cに接続される。一つの例示的な実装において、クラウドベースのセキュリティサービスは、現在130以上のネットワークエッジロケーション(PoP)を提供する、GCPといった、パブリッククラウドプラットフォームを用いて実装することができる。そして、また、同様に、上記と同様に、様々なサポートされたSaaSソリューションにアクセスするクラウドベースのセキュリティサービスのユーザのために、インターネットサービスプロバイダ(ISP)ホップを低減した、低レイテンシ、低損失のネットワークも提供する。
【0049】
一つの実施形態において、開示されるネットワークゲートウェイ(例えば、図2Aのネットワークゲートウェイ202および図2Bのネットワークゲートウェイ202A－C)は、クライアント装置間、および、クライアント装置と、ユーザ／装置204Aおよび204B(例えば、ネットワーク通信を実行することができる任意のエンドポイント装置)といった、サーバ／他の装置、および、例えば、外部宛先(例えば、インターネットなどの外部ネットワークを介して到達可能な、保護された／セキュアな企業ネットワークの外にある任意の装置、サーバ、及び／又は、ウェブサイト／サービスを含みうるもの)との間の通信に関するポリシ(例えば、セキュリティポリシ)を実施するように構成されている。そうしたポリシの例は、トラフィックの整形、サービスの品質、および、トラフィックのルーティングを管理するものを含んでいる。ポリシの他の例は、受信（及び／又は送信）電子メールの添付ファイル、ウェブサイトのコンテンツ、インスタントメッセージプログラムを介して交換されるファイル、及び／又は、他のファイル転送における脅威についてスキャニング（scanning）を要求するもの、といったセキュリティポリシを含んでいる。いくつかの実施形態において、ネットワークゲートウェイは、また、保護された／セキュアな企業ネットワーク内に留まるトラフィック(図2Aおよび図2Bには示されていない)に関するポリシを実施するようにも構成されている。
【0050】
図3Aおよび3Bは、いくつかの実施形態に従った、クラウドベースのセキュリティサービスのために大規模なローカル化を提供するためのネットワークゲートウェイの例示的なコンポーネントを示すシステムブロック図である。一つの例示的な実装において、クラウドベースのセキュリティサービスプロバイダのネットワークゲートウェイ300Aおよびネットワークゲートウェイ300Bは、市販の仮想ゲートウェイを使用して(例えば、Palo Alto Networks社から市販のファイアウォールといった、セキュリティプラットフォームを使用して)実装することができる。例えば、図2Aのネットワークゲートウェイ202および図2Bのネットワークゲートウェイ202A－202Cは、以下に説明されるように、図3Aの300Aおよび図3Bの300Bに示されるように、それぞれ実装することができる。
【0051】
一つの例示的な実装において、モバイルユーザに対して、クラウドベースのセキュリティサービスは、モバイルユーザを地域ネットワークゲートウェイに自動的に、かつ、セキュアに接続するために、企業顧客のユーザのエンドポイント装置(例えば、図3Bのモバイルユーザ304Aおよび304B)上に配備され、かつ、実行されるエージェントを提供する(例えば、Palo Alto Networks社から市販されているGlobalProtectアプリケーション、または、別のVPNクライアントアプリケーションが、ここにおいて説明されるように、開示される動作を実行するように同様に構成することができる)。この例示的な実装において、クラウドベースのセキュリティサービスは、ワールドワイドな展開に対応し、かつ、ローカル化された体験を提供するために、100以上の計算位置を有し、そして、クラウドベースのセキュリティサービスは、各位置を、性能およびレイテンシに基づいて計算位置にマッピングするように構成されている。
【0052】
具体的には、モバイルユーザがクラウドベースのセキュリティサービスプロバイダのネットワークゲートウェイに接続する場合、エージェントは、接続するゲートウェイを決定するために以下の選択プロセスを実行する。モバイルユーザが、クラウドベースのセキュリティサービスプロバイダのローカルネットワークゲートウェイを有する国において接続する場合、モバイルユーザは、その場所／地域(例えば、国)のネットワークゲートウェイに接続する。より具体的に、クラウドベースのセキュリティサービスプロバイダは、サポートされる各場所／地域に対する仮想ゲートウェイについてネットワークドメインを登録する(例えば、図3Bに示されるように、クラウドベースのセキュリティサービスプロバイダは、イタリアの仮想ゲートウェイ（GW）302Aおよびスペインの仮想GW302Bについて別個のネットワークドメインを登録する)。モバイルユーザは、ローカルの場所／地域(例えば、国)について、そうした登録ドメインに接続する。図3Bに示されるように、以下でさらに説明されるような、そうした仮想ゲートウェイは、ある場合には、異なる場所／地域に配置されたネットワークゲートウェイ上で実行されてよい(例えば、スペイン仮想ゲートウェイ(GW)を実行しているネットワークゲートウェイおよびイタリア仮想GWは、実際には、ドイツに配置されたGPCサイトにおけるサーバ上で実行されてよい)。また、国の中に１つ以上のゲートウェイが存在する場合(例えば、図2Bに示されるように、ネットワークゲートウェイ202Bおよび202C)、モバイルユーザは、最も低いレイテンシを有する国内ネットワークゲートウェイに接続する(例えば、IPsec/VPNトンネルを使用してネットワークゲートウェイに対してセキュアな接続を開始する際に)。場合によって、ユーザは、自身のエージェントから追加のネットワークゲートウェイを手動で選択することができる(例えば、ネットワーク／セキュリティ管理者が、ユーザに、そうしたネットワークゲートウェイを手動で選択できるようにしている場合)。例えば、いくつかの構成において、企業顧客は、例えば、自身のモバイルユーザを安全にするためにクラウドベースのネットワークゲートウェイとして機能するクラウドベースのセキュリティサービス内の場所を選択することができる。
【0053】
クラウドベースのセキュリティサービスの企業顧客のためのイタリアの支店およびスペインの支店といった、リモートネットワークについて、企業顧客のためのネットワーク管理者は、それぞれのようなリモートネットワーク(RN)をクラウドベースのセキュリティサービスプロバイダによって提供される１つ以上のネットワークゲートウェイに接続するために、別個のIPsecトンネル(例えば、VPNトンネル)を設定することができ(例えば、最も近いネットワークゲートウェイの１つ以上にそれらのネットワークを選択するように通常設定し、次いで、上記のように、ネットワークゲートウェイ選択基準を遅延/ワークロードなどにすることができる)。クラウドベースのセキュリティサービスプロバイダが提供する２つ以上のネットワークゲートウェイへの異なるIPsecトンネルを設定するRNは、遅延が最も小さいネットワークゲートウェイ(例えば、ネットワークゲートウェイへのIPsec/VPNトンネルを使用したセキュアな接続を開始する時点)を選択するように設定することもできる。
【0054】
図3Aを参照すると、イタリアオフィス306Aは、IPsec/VPNトンネル326Aを介して、クラウドベースのセキュリティサービスのネットワークゲートウェイ300Aのリモートネットワーク(RN)入口モジュール340に接続するように構成されている。RN入口モジュール340は、セキュリティ解析およびセキュリティポリシ実施のために(例えば、制御プレーン構成モジュール330Aは、パケットをデコードすることにより、深いパケット検査(DPI)を実行することができ、フロー／セッションを監視し、セキュリティポリシ実施を実行する、等)、制御プレーン構成モジュール330Aを使用して、入口接続処理およびパケット検査を実行する(例えば、図4Bに関して以下に同様に説明されるようにセキュリティプラットフォームのコンポーネントを使用して実装される)、仮想ネットワークゲートウェイのソフトウェアコンポーネントである(例えば、Cプログラミング言語で実装され、または、このコンポーネントを実装するために別のプログラミング言語が使用され得る)。
【0055】
具体的には、RN入口モジュール（Ingress Module）340およびリモートネットワーク(RN)出口モジュール（Egress Module）350は、リモートネットワーク(RN)のためのネットワークゲートウェイでソースNAT(SNAT)処理オペレーションを実行するように構成されている。より具体的に、RN入口モジュール340は、IPsecトンネル326Aがイタリアオフィス306Aから接続するために企業顧客によって構成されることを決定する。この例示的な実装において、IPsecトンネル構成情報は、データストア380内に保管され(例えば、支店のためにトンネルが作成されたときは、オフィスの場所に基づいてゾーンに関連付けられる)、そこでは、セキュリティ管理プラットフォームが、クラウドベースのセキュリティサービスの企業顧客のためのそうしたIPsec構成情報を、クラウドベースのセキュリティサービスのために異なる地域／場所のネットワークゲートウェイに提供する(例えば、Palo Alto Networks社から市販のセキュリティ管理プラットフォームである、Panorama、または、別の市販のセキュリティ管理プラットフォームが同様に使用され、場所／地域／国のゾーンへのそうしたIPsecトンネルのマッピングを含むテーブル内にローカルに保管できる、そうした構成データを配布することができる)。その結果として、RN入口モジュールは、IPsecトンネル326Aを介して接続している任意の新しいフロー（例えば、新たなセッション）をイタリアゾーンと関連付ける(例えば、データストア380に保管された新しいフロー／セッションテーブルが、決定された場所／地域、この場合には、イタリアゾーンを新しいフロー／セッションに関連付けるように更新され、その結果、位置データ(イタリアゾーン)が、その新しいフロー／セッションに関連付けられたメタデータに含まれる)。新しいフロー／セッションのSNAT処理操作を完了するために(例えば、そこで、SNAT処理操作は、新しいフロー／セッションに関連するゾーンに基づいて出口IPアドレスを決定する)、RN NAT 出口モジュール350は、そのテナントのために、イタリアのパブリックIPアドレスプールからIPアドレスを選択し／割り当て、出口IPアドレスとして新しいイタリアのパブリックIPアドレスを割り当てる(例えば、出口IPアドレスは、インターネット上のWebサイト／(SaaS)サービスにアクセスするためといった、クラウドベースのセキュリティサービスがインターネットへの出口トラフィックに使用するIPアドレスを一般的に参照する)。370Aで示される新しいフロー／セッションのためである(例えば、国／ゾーン毎のパブリックIPアドレスは、各顧客／テナントのためにクラウドベースのセキュリティサービスプロバイダによって取得され、そして、次いで、データストア380といった、ローカルストレージの各ネットワークゲートウェイに配布され得る)。上記のSNAT処理操作は、同様に、別個のIPsecトンネル326Bを介してスペインオフィス306Bから接続される新しいフロー／セッションに対して実行され、370Bに示される新しいフロー／セッションに対する出口IPアドレスとして新しいスペインベースのパブリックIPアドレスを割り当てることができる。
【0056】
場合によって、出口IPアドレスを選択するためのSNAT処理操作を実行するための上述のゾーンは、国内の地域に基づくことができる。一つの例として、企業顧客は、カナダに展開された２つのリモートネットワーク(RN)ロケーションを有し得る。中央カナダおよび東カナダである。この例における両方のロケーションは、カナダのコンピュータロケーション(カナダに配置されたネットワークゲートウェイ)に対してマップする。しかし、カナダのケベック州は、カナダの他の州(英語)とは異なるデフォルト言語(フランス語)を使用している。かくして、クラウドベースのセキュリティサービスのネットワークゲートウェイは、これらの異なるRNからのセッションに異なる出口IPアドレスを割り当てるように構成され、上記と同様に、所望のローカリティユーザ体験を達成する(例えば、ロケーションは、Webサイト／(SaaS)サービスに接続されたときに、ユーザが地域の正しいデフォルト言語を確実に得るように、異なる出口IPアドレスを使用する)。
【0057】
図3Bを参照すると、イタリア仮想GW302Aおよびスペイン仮想GW302Bを含む各仮想ゲートウェイ(GW)は、別個の登録ドメイン名(例えば、完全修飾ドメイン名(Fully Qualified Domain Name、FQDN)／IPアドレス)を設定される。イタリアモバイルユーザ304Aがネットワークゲートウェイ300Bに接続しようとすると、イタリアモバイルユーザ304Aのエンドポイントデバイス上で実行しているエージェントは、イタリア仮想GW302Aに関連付けられた登録ドメイン名(例えば、完全修飾ドメイン名（FQDN）／IPアドレス)に対するネットワーク接続を開始する(例えば、エージェントは、モバイルユーザの現在の場所で利用可能な仮想ゲートウェイの登録ドメイン名、完全修飾ドメイン名（FQDN）に対する接続を開始するように構成されているため)。その結果として、イタリア仮想GW302Aは、入ってくるユーザの位置がイタリアであることを自動的に決定し、そして、イタリアモバイルユーザ304Aのための新しいフロー／セッションに関連するメタデータを、上記と同様に、データストア380に保管することができる。新しいフロー／セッションのためのSNAT処理操作を完了するために(例えば、そこでは、SNAT処理操作が新しいフロー／セッションに関連するゾーンに基づいて出口IPアドレスを決定する)、モバイルユーザ(MU)NAT出口モジュール360は、そのテナントのために、イタリアのパブリックIPアドレスプールからIPアドレスを選択し／割り当て、上記と同様に370Cで示される新しいフロー／セッションのための出口IPアドレスとして、新しいイタリアベースのパブリックIPアドレスを割り当てる(例えば、国／ゾーン毎のパブリックIPアドレスは、各顧客／テナントのためにクラウドベースのセキュリティサービスプロバイダによって取得され、そして、次いで、データストア380といった、ローカルストレージの各ネットワークゲートウェイに配布される)。上記のSNAT処理操作は、同様に、スペイン仮想GW302Bを介してスペインモバイルユーザ304Bから接続している新しいフロー／セッションに対して実行され、370Dに示されるように、新しいフロー／セッションに対する出口IPアドレスとして新しいスペインベースのパブリックIPアドレスを割り当てることができる。
【0058】
この例示的な実装において、クラウドベースのセキュリティサービスプロバイダのネットワークゲートウェイは、それによって、ウェブサイト／サービスについてローカリティの強化されたユーザ体験のために、開示される技術を効率的かつ安全に実装する。インターネット上のウェブサイト／サービスにアクセスするためにユーザの企業ネットワークの外部のサイトに接している、入ってくるユーザセッション上でソースNAT(SNAT)処理オペレーションを実行することによるものである。具体的に、そうしたユーザセッションは、異なる場所／地域に配置され得るネットワークゲートウェイに割り当てられた出口IPアドレスとは対照的に、ユーザの入力セッションの場所／地域に関連する出口IPアドレスをネットワークゲートウェイに割り当てられ、及び／又は、ネットワークゲートウェイIPアドレスは、上記と同様に、ユーザの場所／地域とは異なる場所／地域に関連する。この例示的な実装において、クラウドベースのセキュリティサービスプロバイダのネットワークゲートウェイ(例えば、Palo Alto NetworksのファイアウォールのPAN-OSオペレーティングシステム)は、クラウドベースのセキュリティサービスのための大規模なローカル化を提供するために、開示される新しいSNAT機能(例えば、SNAT処理操作)をサポートするように構成されている。
【0059】
上記と同様に、この例示的な実装において、クラウドベースのセキュリティサービスプロバイダは、また、サポートされている場所／地域(例えば、PoP)それぞれについて、IPアドレス範囲のセットを維持し、クラウドベースのセキュリティサービスプロバイダのサービスの各顧客／テナントに対して、別個のパブリックIPアドレスプールとして使用する(例えば、顧客それぞれが、例えば、数百のそうしたパブリックIPアドレス範囲を提供することを要求するのとは対照的である)。また、各顧客／テナントについて異なるパブリックIPアドレスプールを維持することにより、クラウドベースのセキュリティサービスプロバイダは、開示される技術の大規模なローカル化のメリットを推進すると共に(例えば、数百のPoPでそうした技術をサポートすることによる)、顧客それぞれについてよりセキュアなソリューションも推進する(例えば、異なる顧客にわたり共有されるそうしたパブリックIPアドレスプールを有することとは対照的である)。例えば、顧客は、異なるパブリックIPアドレスプールを利用して、様々なセキュリティポリシを実装することができる(例えば、ACME Companyは、クラウドベースのセキュリティサービスプロバイダが、ACME Companyに関連するユーザのためだけに使用されるパブリックIPアドレスプールを利用することを前提として、彼らのSalesforce(R)サービスに接続しているユーザセッションが、ユーザセッションの割り当てられたパブリックIPアドレスに基づいて、マルチファクタ認証をバイパスできるようにする。)。
【0060】
ネットワークゲートウェイ202の一つの実施形態が図4Aに示されている。示される例は、様々な実施形態において、ネットワークゲートウェイがデータ機器として実装される場合に、ネットワークゲートウェイ202に含まれ得る物理的コンポーネントの表現である。具体的に、データ機器は、高性能マルチコア中央処理装置（CPU）402およびランダムアクセスメモリ404を含んでいる。データ機器は、また、ストレージ410(１つ以上のハードディスクまたはソリッドステート・ストレージユニットといったもの)を含んでいる。様々な実施形態において、データ機器は、(RAM404、ストレージ410、及び／又は、他の適切な場所のいずれかにおいて)企業ネットワークのモニタリング、および、開示される技術の実装においてに使用される情報を保管する。そうした情報の例は、アプリケーション識別子、コンテンツ識別子、ユーザ識別子、要求されたURL、IPアドレスマッピング、ポリシおよび他の設定情報、署名、ホスト名／URL分類情報、マルウェアプロファイル、および、機械学習モデルを含む。データ機器は、また、１つ以上のオプションのハードウェアアクセラレータも含んでよい。例えば、データ機器は、暗号化および復号動作を実行するように構成された暗号エンジン406、および、マッチングを実行し、ネットワークプロセッサとして動作し、かつ／あるいは、他のタスクを実行するように構成された１つ以上のフィールドプログラマブルゲートアレイ408を含み得る。
【0061】
データ機器によって実行されるものとしてここにおいて説明される機能性は、種々の方法で提供／実施することができる。例えば、データ機器は、専用のデバイスまたはデバイスのセットであってよい。データ機器によって提供される機能は、汎用コンピュータ、コンピュータサーバ、ゲートウェイ、及び／又は、ネットワーク／ルーティングデバイス上のソフトウェアに統合され、または、実行され得る。いくつかの実施形態において、データ機器によって提供されるものとして説明される少なくともいくつかのサービスは、その代わりに(または、それに加えて)、クライアント装置(例えば、クライアント装置204A)上で実行するソフトウェアによってクライアント装置に提供される。
【0062】
データ機器がタスクを実行するものとして説明されるときはいつでも、単一のコンポーネント、コンポーネントのサブセット、または、データ機器の全てのコンポーネントは、タスクを実行するために協働し得る。同様に、データ機器のコンポーネントがタスクを実行するものとして説明されるときはいつでも、サブコンポーネントはタスクを実行することができ、かつ／あるいは、コンポーネントは他のコンポーネントと共にタスクを実行することができる。様々な実施形態において、データ機器の一部は、１つ以上の第三者によって提供される。データ機器に対して利用可能な計算リソースの量といったファクタに応じて、データ機器の様々な論理コンポーネント及び／又は機能は省略され得る。そして、ここにおいて説明される技術はそれに応じて適合される。同様に、追加の論理コンポーネント／機能が、該当する場合に、データ機器の実施形態に含めることができる。種々の実施形態におけるデータ機器に含まれるコンポーネントの一つの例は、アプリケーションを識別するように構成されたアプリケーション識別エンジンである(例えば、パケットフロー分析に基づいてアプリケーションを識別するために種々のアプリケーション署名を使用する)。例えば、アプリケーション識別エンジンは、セッションが関与するトラフィックのタイプを決定することができる。Webブラウジング－ソーシャルネットワーキング、Webブラウジング－ニュース、SSH、等といったものである。
【0063】
開示されるシステム処理アーキテクチャは、異なる展開シナリオにおいて、以下のような異なる種類のクラウドを用いて使用することができる。(1)パブリッククラウド、(2)プライベートクラウドオンプレミス、(3)ハイエンド物理ファイアウォール内で、いくらかの処理能力がプライベートクラウドを実行するために割り当てられる(例えば、Palo Alto Networks PA-5200シリーズのファイアウォールアプライアンスにおける管理プレーン(MP)を使用する)、といったものである。
【0064】
図4Bは、データ機器の一つの実施形態の論理コンポーネントの機能図である。示される例は、様々な実施形態においてネットワークゲートウェイ202に含まれ得る論理コンポーネントの表現である。別段の規定がない限り、ネットワークゲートウェイ202の種々の論理コンポーネントは、(例えば、該当する場合、Java、python、等で書かれている)１つ以上のスクリプトのセットを含む、種々の方法で一般的に実装可能である。
【0065】
示されるように、ネットワークゲートウェイ202はファイアウォールを含み、そして、管理プレーン432およびデータプレーン434を含んでいる。管理プレーンは、ユーザーインタラクションの管理の責任を負う。ポリシの設定およびログデータの閲覧のためのユーザーインターフェイスを提供することによる、といったものである。データプレーンは、データ管理の責任を負う。パケット処理およびセッション処理をじっこうすることによる、といったものである。
【0066】
ネットワークプロセッサ436は、クライアント装置204といった、クライアント装置からパケットを受信し、そして、それらを処理のためにデータプレーン434に提供するように構成されている。フローモジュール438は、新しいセッションの一部としてパケットを識別するときはいつでも、新しいセッションフローを生成する。後に続くパケットはフロールックアップに基づいてセッションに属していると識別される。該当する場合、SSL復号エンジン440によってSSL復号化が適用される。そうでなければ、SSL復号エンジン440による処理は省略される。復号エンジン440は、ネットワークゲートウェイ202がSSL/TLSおよびSSHの暗号化されたトラフィックを検査および制御するのを助け、そして、従って、そうでなければ暗号化されたトラフィック内に隠されたままである可能性のある脅威を停止するのを助ける。復号エンジン440は、また、重要なコンテンツが企業／セキュアな顧客のネットワークから離れることを防止するのを助けることもできる。復号化は、URLカテゴリ、トラフィックソース、トラフィック宛先、ユーザ、ユーザグループ、およびポートといったパラメータに基づいて選択的に制御することができる(例えば、イネーブルされ、または、ディセーブルされる)。復号化ポリシ(例えば、復号するセッションを指定するもの)に加えて、復号化プロファイルは、ポリシによって制御されるセッションの様々なオプションを制御するために割り当てられ得る。例えば、特定の暗号スイートおよび暗号化プロトコルバージョンの使用が要求され得る。
【0067】
アプリケーション識別(APP-ID)エンジン442は、セッションが関与するトラフィックのタイプを決定するように構成されている。一つの例として、アプリケーション識別エンジン442は、受信データ内のGETリクエストを認識し、そして、セッションがHTTPデコーダを必要としているものと結論付けることができる。場合によって、例えば、webブラウジングセッションにおいて、識別されたアプリケーションは変更可能であり、そして、そうした変更はネットワークゲートウェイ202によって記録される。例えば、ユーザは、最初に、企業のWiki(訪問したURLに基づいて「Webブラウジング－生産性」として分類されている)を閲覧し、そして、次に、ソーシャルネットワーキングサイト(訪問したURLに基づいて「Webブラウジング－ソーシャルネットワーキング」として分類されている)を閲覧することができる。異なるタイプのプロトコルは、対応するデコーダを有している。
【0068】
アプリケーション識別エンジン442によって行われた決定に基づいて、パケットは、脅威エンジン444によって、パケット（順序が狂って受信され得るもの）を正しい順序に組み立て、トークン化（tokenization）を実行し、そして、情報を抽出するように構成された適切なデコーダに送られる。脅威エンジン444は、また、パケットに何が起こるべきかを決定するために、署名照合（signature matching）を実行する。必要に応じて、SSL暗号化エンジン446は、復号されたデータを再暗号化することができる。パケットは、転送のために(例えば、宛先へ)転送モジュール448を使用して転送される。
【0069】
図4Bにも示されるように、ポリシ452は、受信され、そして、管理プレーン432に保管される。ポリシは、ドメイン名、及び／又は、ホスト／サーバ名を使用して指定され得る、１つ以上のルールを含むことができ、そして、ルールは、モニタリングされるセッショントラフィックフローからの様々な抽出されたパラメータ／情報に基づいて、加入者／IPフローに対するセキュリティポリシ実施のためといった、１つ以上の署名、または他の照合基準、もしくは発見的方法を適用することができる。インターフェイス（I/F）通信器450は、通信の管理のために(例えば、(REST)API、メッセージ、またはネットワークプロトコル通信、もしくは他の通信メカニズムを介して)提供される。
【0070】
追加の論理コンポーネント／機能が、この例示的な実施形態に含まれ得る。例えば、図3A－図3Bに関して上述したネットワークゲートウェイコンポーネント(例えば、302Aおよび302Bに示されるような位置ベースの仮想ゲートウェイ、RN入口モジュール340、RN NAT出口モジュール350、MU NAT出口モジュール360、及び／又は、データストア380、等)も、また、様々な実施形態においてデータ機器に含めることができる。
【0071】
クラウドベースのセキュリティサービスのための大規模なローカル化を提供するための例示的なプロセス
【0072】
図5は、いくつかの実施形態に従った、クラウドベースのセキュリティサービスのための大規模なローカル化を提供するプロセスを示すフロー図である。一つの実施形態において、プロセス500は、上述のシステムアーキテクチャ(例えば、図1－図4Bに関して上述したようなもの)を使用して実行される。
【0073】
このプロセスは、クラウドベースのセキュリティサービスのネットワークゲートウェイにおいて接続要求が受信されると、502で開始する。例えば、クラウドベースのセキュリティサービスは、パブリッククラウドサービスプロバイダを使用して、または、上述のようにパブリッククラウドサービスプロバイダの組み合わせを使用して提供することができる。
【0074】
504では、テナントに関連する登録済みパブリックIPアドレスのセットからソースネットワークアドレス変換（NAT）が実行される。例えば、クラウドベースのセキュリティサービスは、上記と同様に、クラウドベースのセキュリティサービスの各顧客／テナントに対して、サポートされているそれぞれの場所／地域に対して登録されたIPアドレスのプールを獲得することができる。
【0075】
506では、クラウドベースのセキュリティサービスを利用してサービスとしてソフトウェア（Software as a Service、SaaS）へのセキュアなアクセスが提供されている。かくして、上記と同様に、所望のローカリティユーザ体験は、クラウドベースのセキュリティサービスを使用してSaaSにアクセスするユーザに対して達成される(例えば、ロケーションは、ユーザが、上記と同様に、モバイルユーザのロケーション及び／又はリモートネットワーク／支店オフィスに関連する場所／地域のための正しいデフォルト言語を獲得するのを確実にするために、異なる出口IPアドレスを使用する)。
【0076】
図6は、いくつかの実施形態に従った、クラウドベースのセキュリティサービスのために大規模なローカル化を提供するプロセスを示す別のフロー図である。一つの実施形態において、プロセス600は、上述のシステムアーキテクチャ(例えば、図1－図4Bに関して上述したようなもの)を使用して実行される。
【0077】
本このプロセスは、クラウドベースのセキュリティサービスのネットワークゲートウェイにおける接続要求が受信されると、602で開始する。一つの例示的な実装において、クラウドベースのセキュリティサービスは、パブリッククラウドサービスプロバイダを使用して提供され、パブリッククラウドサービスプロバイダは、上記と同様に、様々な地域的クラウドベースのコンピューティングサービスデータセンタそれぞれから１つ以上のSaaSプロバイダへの高速ネットワーク接続を提供する。
【0078】
604では、接続要求に関連するセキュアなトンネル構成に基づいて新しいセッションに関連するゾーン（zone）が決定され、ソースネットワークアドレス変換（SNAT）オペレーションを実行するために出口IPアドレスを選択する。例えば、ネットワークドメイン要求を介してネットワークゲートウェイに接続するリモートネットワーク／支店オフィスからの新しいセッションに対して、選択された出口IPは、セキュアトンネルのゾーンに対応するゾーン(例えば、場所／地域)に関連付けられ、SaaSのユーザのためのローカリティの強化されたユーザ体験を推進する。
【0079】
606では、接続要求に関連するドメインに基づいて新しいセッションに関連するゾーンが決定され、ソースネットワークアドレス変換（SNAT）を実行するために出口IPアドレスを選択する。例えば、ネットワークドメイン要求を介してネットワークゲートウェイに接続するモバイルユーザの新しいセッションに対して、ネットワークゲートウェイからの選択された出口IPは、接続要求を送信したユーザのゾーンに対応するゾーン(例えば、場所／地域)に関連付けられ、SaaSのユーザのためのローカリティの強化されたユーザ体験を推進する。
【0080】
608では、選択された出口IPアドレスを使用して、ウェブサイト／サービスへのセキュアなアクセスが提供される。かくして、上記と同様に、所望のローカリティユーザ体験は、クラウドベースのセキュリティサービスを使用してウェブサイト／サービスにアクセスするユーザに対して達成される(例えば、ロケーションは、ユーザが、上記と同様に、モバイルユーザのロケーション及び／又はリモートネットワーク／支店オフィスに関連する場所／地域のための正しいデフォルト言語を獲得するのを確実にするために、異なる出口IPアドレスを使用する)。
【0081】
前述の実施形態は、理解を明確にするために、ある程度詳細に説明されてきたが、本発明は、提供される詳細について限定されるものではない。本発明を実施するための多くの代替的な方法が存在している。開示される実施形態は例示的なものであり、かつ、限定的なものではない。
【図1】
【図2A】
【図2B】
【図3A】
【図3B】
【図4A】
【図4B】
【図5】
【図6】
【手続補正書】
【提出日】2021-09-29
【手続補正1】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項1】
システムであって、
プロセッサであり、
クラウドベースのセキュリティサービスのネットワークゲートウェイにおいて接続要求を受信し、
テナントに関連するパブリックIPアドレスの登録されたセットから送信元ネットワークアドレス変換（ＮＡＴ）を実行し、前記ネットワークゲートウェイからの出口ＩＰは領域に関連しており、該領域は、サービスとしてのソフトウェア（ＳａａＳ）のユーザについてローカリティの強化されたユーザ体験を推進するために、前記接続要求を送信したユーザの領域に対応しており、かつ、
前記クラウドベースのセキュリティサービスを使用して、前記ＳａａＳに対するセキュアなアクセスを提供し、前記クラウドベースのセキュリティサービスは、パブリッククラウドサービスプロバイダの様々な地域的なクラウドベースのコンピューティングサービスデータセンタそれぞれから１つ以上のＳａａＳプロバイダへの高速ネットワーク接続を提供する、パブリッククラウドサービスプロバイダを使用して提供される、
ように構成されている、プロセッサと、
前記プロセッサに結合されており、かつ、前記プロセッサに命令を提供するように構成されている、メモリと、
を含む、システム。
プロセッサであり、
クラウドベースのセキュリティサービスのネットワークゲートウェイにおいて接続要求を受信し、
テナントに関連するパブリックIPアドレスの登録されたセットから送信元ネットワークアドレス変換（ＮＡＴ）を実行し、前記ネットワークゲートウェイからの出口ＩＰは領域に関連しており、該領域は、サービスとしてのソフトウェア（ＳａａＳ）のユーザについてローカリティの強化されたユーザ体験を推進するために、前記接続要求を送信したユーザの領域に対応しており、かつ、
前記クラウドベースのセキュリティサービスを使用して、前記ＳａａＳに対するセキュアなアクセスを提供し、前記クラウドベースのセキュリティサービスは、パブリッククラウドサービスプロバイダの様々な地域的なクラウドベースのコンピューティングサービスデータセンタそれぞれから１つ以上のＳａａＳプロバイダへの高速ネットワーク接続を提供する、パブリッククラウドサービスプロバイダを使用して提供される、
ように構成されている、プロセッサと、
前記プロセッサに結合されており、かつ、前記プロセッサに命令を提供するように構成されている、メモリと、
を含む、システム。
【請求項2】
前記クラウドベースのセキュリティサービスは、サポートされている地域それぞれについて一式のIPアドレス範囲を維持し、前記クラウドベースのセキュリティサービスの各顧客に対して別個のパブリックIPアドレスプールを提供する、
請求項１に記載のシステム。
請求項１に記載のシステム。
【請求項3】
前記クラウドベースのセキュリティサービスは、パブリッククラウドサービスプロバイダを使用して提供される、
請求項１に記載のシステム。
請求項１に記載のシステム。
【請求項4】
前記クラウドベースのセキュリティサービスは、複数のパブリッククラウドサービスプロバイダを使用して提供される、
請求項１に記載のシステム。
請求項１に記載のシステム。
【請求項5】
前記クラウドベースのセキュリティサービスは、サポートされている地域それぞれについて一式のIPアドレス範囲を維持し、前記クラウドベースのセキュリティサービスの各顧客に対して別個のパブリックIPアドレスプールを提供し、かつ、
第１顧客は、前記第１顧客に関連する前記別個のパブリックIPアドレスプールに関連付けられた別個のセキュリティポリシを設定する、
請求項１に記載のシステム。
第１顧客は、前記第１顧客に関連する前記別個のパブリックIPアドレスプールに関連付けられた別個のセキュリティポリシを設定する、
請求項１に記載のシステム。
【請求項6】
前記ネットワークゲートウェイは、セキュリティポリシを実施する、
請求項１に記載のシステム。
請求項１に記載のシステム。
【請求項7】
前記ネットワークゲートウェイは、仮想ファイアウォールを有する、
請求項１に記載のシステム。
請求項１に記載のシステム。
【請求項8】
前記接続要求は、新たなセッションに関連しており、かつ、
前記プロセッサは、さらに、
前記新たなセッションに関連するゾーンを決定する、
ように構成されている、
請求項１に記載のシステム。
前記プロセッサは、さらに、
前記新たなセッションに関連するゾーンを決定する、
ように構成されている、
請求項１に記載のシステム。
【請求項9】
前記接続要求は、新たなセッションに関連しており、かつ、
前記プロセッサは、さらに、
前記接続要求に関連するセキュアなトンネル設定に基づいて、前記新たなセッションに関連するゾーンを決定する、
ように構成されている、
請求項１に記載のシステム。
前記プロセッサは、さらに、
前記接続要求に関連するセキュアなトンネル設定に基づいて、前記新たなセッションに関連するゾーンを決定する、
ように構成されている、
請求項１に記載のシステム。
【請求項10】
前記接続要求は、新たなセッションに関連しており、かつ、
前記プロセッサは、さらに、
前記接続要求に関連するドメインに基づいて、前記新たなセッションに関連するゾーンを決定する、
ように構成されている、
請求項１に記載のシステム。
前記プロセッサは、さらに、
前記接続要求に関連するドメインに基づいて、前記新たなセッションに関連するゾーンを決定する、
ように構成されている、
請求項１に記載のシステム。
【請求項11】
ターゲットネットワーク環境を反映するためにハニーネットワーク構成を同期させる方法であって、
クラウドベースのセキュリティサービスのネットワークゲートウェイにおいて接続要求を受信するステップと、
テナントに関連するパブリックIPアドレスの登録されたセットから送信元ネットワークアドレス変換（ＮＡＴ）を実行するステップであり、前記ネットワークゲートウェイからの出口ＩＰは領域に関連しており、該領域は、サービスとしてのソフトウェア（ＳａａＳ）のユーザについてローカリティの強化されたユーザ体験を推進するために、前記接続要求を送信したユーザの領域に対応している、ステップと、
前記クラウドベースのセキュリティサービスを使用して、前記ＳａａＳに対するセキュアなアクセスを提供するステップであり、前記クラウドベースのセキュリティサービスは、パブリッククラウドサービスプロバイダの様々な地域的なクラウドベースのコンピューティングサービスデータセンタそれぞれから１つ以上のＳａａＳプロバイダへの高速ネットワーク接続を提供する、パブリッククラウドサービスプロバイダを使用して提供される、ステップと、
を含む、方法。
クラウドベースのセキュリティサービスのネットワークゲートウェイにおいて接続要求を受信するステップと、
テナントに関連するパブリックIPアドレスの登録されたセットから送信元ネットワークアドレス変換（ＮＡＴ）を実行するステップであり、前記ネットワークゲートウェイからの出口ＩＰは領域に関連しており、該領域は、サービスとしてのソフトウェア（ＳａａＳ）のユーザについてローカリティの強化されたユーザ体験を推進するために、前記接続要求を送信したユーザの領域に対応している、ステップと、
前記クラウドベースのセキュリティサービスを使用して、前記ＳａａＳに対するセキュアなアクセスを提供するステップであり、前記クラウドベースのセキュリティサービスは、パブリッククラウドサービスプロバイダの様々な地域的なクラウドベースのコンピューティングサービスデータセンタそれぞれから１つ以上のＳａａＳプロバイダへの高速ネットワーク接続を提供する、パブリッククラウドサービスプロバイダを使用して提供される、ステップと、
を含む、方法。
【請求項12】
前記クラウドベースのセキュリティサービスは、サポートされている地域それぞれについて一式のIPアドレス範囲を維持し、前記クラウドベースのセキュリティサービスの各顧客に対して別個のパブリックIPアドレスプールを提供する、
請求項１１に記載の方法。
請求項１１に記載の方法。
【請求項13】
前記クラウドベースのセキュリティサービスは、パブリッククラウドサービスプロバイダを使用して提供される、
請求項１１に記載の方法。
請求項１１に記載の方法。
【請求項14】
前記クラウドベースのセキュリティサービスは、複数のパブリッククラウドサービスプロバイダを使用して提供される、
請求項１１に記載の方法。
請求項１１に記載の方法。
【請求項15】
前記クラウドベースのセキュリティサービスは、サポートされている地域それぞれについて一式のIPアドレス範囲を維持し、前記クラウドベースのセキュリティサービスの各顧客に対して別個のパブリックIPアドレスプールを提供し、かつ、
第１顧客は、前記第１顧客に関連する前記別個のパブリックIPアドレスプールに関連付けられた別個のセキュリティポリシを設定する、
請求項１１に記載の方法。
第１顧客は、前記第１顧客に関連する前記別個のパブリックIPアドレスプールに関連付けられた別個のセキュリティポリシを設定する、
請求項１１に記載の方法。
【請求項16】
非一時的なコンピュータ読取り可能な記憶媒体に具体化された、コンピュータプログラムであって、
クラウドベースのセキュリティサービスのネットワークゲートウェイにおいて接続要求を受信するステップ、
テナントに関連するパブリックIPアドレスの登録されたセットから送信元ネットワークアドレス変換（ＮＡＴ）を実行するステップであり、前記ネットワークゲートウェイからの出口ＩＰは領域に関連しており、該領域は、サービスとしてのソフトウェア（ＳａａＳ）のユーザについてローカリティの強化されたユーザ体験を推進するために、前記接続要求を送信したユーザの領域に対応している、ステップ、および、
前記クラウドベースのセキュリティサービスを使用して、前記ＳａａＳに対するセキュアなアクセスを提供するステップであり、前記クラウドベースのセキュリティサービスは、パブリッククラウドサービスプロバイダの様々な地域的なクラウドベースのコンピューティングサービスデータセンタそれぞれから１つ以上のＳａａＳプロバイダへの高速ネットワーク接続を提供する、パブリッククラウドサービスプロバイダを使用して提供される、ステップ、
のためのコンピュータ命令を含む、コンピュータプログラム。
クラウドベースのセキュリティサービスのネットワークゲートウェイにおいて接続要求を受信するステップ、
テナントに関連するパブリックIPアドレスの登録されたセットから送信元ネットワークアドレス変換（ＮＡＴ）を実行するステップであり、前記ネットワークゲートウェイからの出口ＩＰは領域に関連しており、該領域は、サービスとしてのソフトウェア（ＳａａＳ）のユーザについてローカリティの強化されたユーザ体験を推進するために、前記接続要求を送信したユーザの領域に対応している、ステップ、および、
前記クラウドベースのセキュリティサービスを使用して、前記ＳａａＳに対するセキュアなアクセスを提供するステップであり、前記クラウドベースのセキュリティサービスは、パブリッククラウドサービスプロバイダの様々な地域的なクラウドベースのコンピューティングサービスデータセンタそれぞれから１つ以上のＳａａＳプロバイダへの高速ネットワーク接続を提供する、パブリッククラウドサービスプロバイダを使用して提供される、ステップ、
のためのコンピュータ命令を含む、コンピュータプログラム。
【請求項17】
前記クラウドベースのセキュリティサービスは、サポートされている地域それぞれについて一式のIPアドレス範囲を維持し、前記クラウドベースのセキュリティサービスの各顧客に対して別個のパブリックIPアドレスプールを提供する、
請求項１６に記載のコンピュータプログラム。
請求項１６に記載のコンピュータプログラム。
【請求項18】
前記クラウドベースのセキュリティサービスは、パブリッククラウドサービスプロバイダを使用して提供される、
請求項１６に記載のコンピュータプログラム。
請求項１６に記載のコンピュータプログラム。
【請求項19】
前記クラウドベースのセキュリティサービスは、複数のパブリッククラウドサービスプロバイダを使用して提供される、
請求項１６に記載のコンピュータプログラム。
請求項１６に記載のコンピュータプログラム。
【請求項20】
前記クラウドベースのセキュリティサービスは、サポートされている地域それぞれについて一式のIPアドレス範囲を維持し、前記クラウドベースのセキュリティサービスの各顧客に対して別個のパブリックIPアドレスプールを提供し、かつ、
第１顧客は、前記第１顧客に関連する前記別個のパブリックIPアドレスプールに関連付けられた別個のセキュリティポリシを設定する、
請求項１６に記載のコンピュータプログラム。
第１顧客は、前記第１顧客に関連する前記別個のパブリックIPアドレスプールに関連付けられた別個のセキュリティポリシを設定する、
請求項１６に記載のコンピュータプログラム。
【外国語明細書】