特開2024-125006アクセス制御システム、アクセス制御方法、およびアクセス制御プログラム
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2024125006
(43)【公開日】2024-09-13
(54)【発明の名称】アクセス制御システム、アクセス制御方法、およびアクセス制御プログラム
(51)【国際特許分類】
G06F 21/55 20130101AFI20240906BHJP
G06F 21/57 20130101ALI20240906BHJP
H04L 41/0894 20220101ALI20240906BHJP
【ＦＩ】
G06F21/55
G06F21/57
H04L41/0894
【審査請求】未請求
【請求項の数】10
【出願形態】ＯＬ
【外国語出願】
(21)【出願番号】P 2023033054
(22)【出願日】2023-03-03
【国等の委託研究の成果に係る記載事項】（出願人による申告）令和３年度、国立研究開発法人情報通信研究機構「革新的情報通信技術研究開発委託研究／Ｂｅｙｏｎｄ ５Ｇ研究開発促進事業／Ｂｅｙｏｎｄ ５Ｇで実現する同期型ＣＰＳコンピューティング基盤の研究開発」産業技術力強化法第１７条の適用を受ける特許出願
(71)【出願人】
【識別番号】000004237
【氏名又は名称】日本電気株式会社
(74)【代理人】
【識別番号】100080816
【弁理士】
【氏名又は名称】加藤 朝道
(74)【代理人】
【識別番号】100098648
【弁理士】
【氏名又は名称】内田 潔人
(72)【発明者】
【氏名】ガハテ ナクル
(72)【発明者】
【氏名】三谷 昌平
(72)【発明者】
【氏名】植田 啓文
(57)【要約】
【課題】セキュリティ要求を満たしつつワークロードを削減する。
【解決手段】ネットワークシステムにおける動的リスク要因を分析してアクセス制御精度（access control granularity）を決定するワークロード分配制御機能と、前記アクセス制御精度に対応するアクセス制御ポリシーをコアポリシーから選択し、選択した前記アクセス制御ポリシーをフィルタリングＰＥＰ（Policy Enforcement Point）制御部および高精度ＰＥＰ（Policy Enforcement Point）制御部に分配するポリシー選択機能とを備えるアクセス制御システム。
【選択図】図１
【解決手段】ネットワークシステムにおける動的リスク要因を分析してアクセス制御精度（access control granularity）を決定するワークロード分配制御機能と、前記アクセス制御精度に対応するアクセス制御ポリシーをコアポリシーから選択し、選択した前記アクセス制御ポリシーをフィルタリングＰＥＰ（Policy Enforcement Point）制御部および高精度ＰＥＰ（Policy Enforcement Point）制御部に分配するポリシー選択機能とを備えるアクセス制御システム。
【選択図】図１
【特許請求の範囲】
【請求項1】
ネットワークシステムにおける動的リスク要因を分析してアクセス制御精度（access control granularity）を決定するワークロード分配制御機能と、
前記アクセス制御精度に対応するアクセス制御ポリシーをコアポリシーから選択し、選択した前記アクセス制御ポリシーをフィルタリングＰＥＰ（Policy Enforcement Point）制御部および高精度ＰＥＰ（Policy Enforcement Point）制御部に分配するポリシー選択機能と
を備えるアクセス制御システム。
前記アクセス制御精度に対応するアクセス制御ポリシーをコアポリシーから選択し、選択した前記アクセス制御ポリシーをフィルタリングＰＥＰ（Policy Enforcement Point）制御部および高精度ＰＥＰ（Policy Enforcement Point）制御部に分配するポリシー選択機能と
を備えるアクセス制御システム。
【請求項2】
前記コアポリシーは、１つの高精度アクセス制御ポリシーと、前記高精度アクセス制御ポリシーからより低精度な形式に変換された１以上のより低精度なアクセス制御ポリシーとを含み、
前記より低精度なアクセス制御ポリシーは、その許可の決定が、デバイス、リソースおよびネットワークの現在の状態での高精度アクセス制御ポリシーの許可の決定と一致するように選択される
請求項１に記載のアクセス制御システム。
前記より低精度なアクセス制御ポリシーは、その許可の決定が、デバイス、リソースおよびネットワークの現在の状態での高精度アクセス制御ポリシーの許可の決定と一致するように選択される
請求項１に記載のアクセス制御システム。
【請求項3】
前記高精度アクセス制御ポリシーは、アプリケーション層でのアクセス制御リストであり、低精度な形式の前記アクセス制御ポリシーはその一部を置き換えたネットワーク層のアクセス制御リストである
請求項２に記載のアクセス制御システム。
請求項２に記載のアクセス制御システム。
【請求項4】
前記ワークロード分配制御機能は、状態に応じて変化するデバイスのリスクスコアを計算し、ポリシー選択機能は、リスクスコアが高いか低いときには低精度ポリシーを選択し、リスクが中程度なときには高精度ポリシーを選択する
請求項３に記載のアクセス制御システム。
請求項３に記載のアクセス制御システム。
【請求項5】
選択された前記アクセス制御ポリシーを実行するために、低精度ポリシーを実装する１つのＰＥＰと、詳細ポリシーを実装する他のＰＥＰの少なくとも２つのＰＥＰを直列に備える
請求項３に記載のアクセス制御システム。
請求項３に記載のアクセス制御システム。
【請求項6】
ネットワークシステムにおける動的リスク要因を分析することによりアクセス制御精度を決定することと、
前記アクセス制御精度に対応するアクセス制御ポリシーをコアポリシーから選択することと、
選択された前記アクセス制御ポリシーをフィルタリングＰＥＰ（Policy Enforcement Point）制御部および高精度ＰＥＰ（Policy Enforcement Point）制御部に分配することと
を含むアクセス制御方法。
前記アクセス制御精度に対応するアクセス制御ポリシーをコアポリシーから選択することと、
選択された前記アクセス制御ポリシーをフィルタリングＰＥＰ（Policy Enforcement Point）制御部および高精度ＰＥＰ（Policy Enforcement Point）制御部に分配することと
を含むアクセス制御方法。
【請求項7】
前記コアポリシーは、１つの高精度アクセス制御ポリシーと、前記高精度アクセス制御ポリシーからより低精度な形式に変換された１以上のより低精度なアクセス制御ポリシーとを含み、
前記より低精度なアクセス制御ポリシーは、その許可の決定が、デバイス、リソースおよびネットワークの現在の状態での高精度アクセス制御ポリシーの許可の決定と一致するように選択される
請求項６に記載のアクセス制御方法。
前記より低精度なアクセス制御ポリシーは、その許可の決定が、デバイス、リソースおよびネットワークの現在の状態での高精度アクセス制御ポリシーの許可の決定と一致するように選択される
請求項６に記載のアクセス制御方法。
【請求項8】
前記高精度アクセス制御ポリシーは、アプリケーション層でのアクセス制御リストであり、低精度な形式のアクセス制御ポリシーはその一部を置き換えたネットワーク層のアクセス制御リストである
請求項６に記載のアクセス制御方法。
請求項６に記載のアクセス制御方法。
【請求項9】
状態に応じて変化するデバイスのリスクスコアを計算することと、
リスクスコアが高いか低いときには低精度ポリシーを選択することと、
リスクが中程度なときには高精度ポリシーを選択することと
をさらに含む請求項８に記載のアクセス制御方法。
リスクスコアが高いか低いときには低精度ポリシーを選択することと、
リスクが中程度なときには高精度ポリシーを選択することと
をさらに含む請求項８に記載のアクセス制御方法。
【請求項10】
ネットワークシステムにおける動的リスク要因を分析することによりアクセス制御精度を決定することと、
前記アクセス制御精度に対応するアクセス制御ポリシーをコアポリシーから選択することと、
選択された前記アクセス制御ポリシーをフィルタリングＰＥＰ（Policy Enforcement Point）制御部および高精度ＰＥＰ（Policy Enforcement Point）制御部に分配することと
をコンピュータに指示するアクセス制御プログラム。
前記アクセス制御精度に対応するアクセス制御ポリシーをコアポリシーから選択することと、
選択された前記アクセス制御ポリシーをフィルタリングＰＥＰ（Policy Enforcement Point）制御部および高精度ＰＥＰ（Policy Enforcement Point）制御部に分配することと
をコンピュータに指示するアクセス制御プログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、ネットワークシステムの最適なパフォーマンスを実現するためのアクセス制御システム、アクセス制御方法、およびアクセス制御プログラムに関する。
【背景技術】
【0002】
アクセス制御は、ネットワーク攻撃を防ぐための代表的なセキュリティツールである。アクセス制御において、最初のステップは、誰がどのような操作をその上で実行できるかを定義するポリシールールを作成することである。そして、それらのルールに従って、ユーザのアクションが許可または拒否される。
【0003】
ファイアウォールはアクセス制御の一類型であり、予め定義されたポリシールールに基づいてパケットごとの処理を許可したり、拒否したりする。特許文献１は、アプリケーションのセキュリティ要件のみに従って、アクセス制御精度が選択されるファイアウォールシステムを開示する。
【先行技術文献】
【特許文献】
【0004】
【特許文献1】米国特許出願公開ＵＳ２００７／０２３４４１４Ａ１
【発明の概要】
【発明が解決しようとする課題】
【0005】
なお、上記先行技術文献の開示は、本書に引用をもって組み込まれるものとする。以下の分析は、本発明者らによってなされた。
【0006】
高精度（アプリケーション層とネットワーク層の両方におけるアクセス制御）はセキュリティを向上させるが、アクセス制御のワークロードを大幅に増加させる。低精度（ネットワーク層のみにおけるアクセス制御）はワークロードの軽減に役立つが、不十分なセキュリティしか提供し得ない。アクセス制御精度（高精度または低精度）に応じて、セキュリティとワークロードの間にトレードオフが存在する。
【0007】
さらに、セキュリティ要件を満たしつつ、ワークロードを軽減するアクセス制御精度の最良の選択は、環境の変化（ダイナミックさ;dynamicity）に応じて変化する。セキュリティ要件を満たしつつワークロードを軽減できるようにアクセス制御精度(granularity)を動的に決定し、決定した精度に適したポリシールールを適用することが要求される。
【0008】
本開示の目的は、上述した課題の観点から、セキュリティ要件を満たしつつ、ワークロードの軽減に寄与するアクセス制御システム、アクセス制御方法、およびアクセス制御プログラムを提供することである。
【課題を解決するための手段】
【0009】
本発明の第１の視点によれば、ネットワークシステムにおける動的リスク要因を分析してアクセス制御精度(access control granularity)を決定するワークロード分配制御機能と、前記アクセス制御精度に対応するアクセス制御ポリシーをコアポリシーから選択し、選択した前記アクセス制御ポリシーをフィルタリングＰＥＰ(Policy Enforcement Point)制御部および高精度ＰＥＰ(Policy Enforcement Point)制御部に分配するポリシー選択機能とを備えるアクセス制御システムが提供される。
【0010】
本発明の第２の視点によれば、ネットワークシステムにおける動的リスク要因を分析することによりアクセス制御精度を決定することと、前記アクセス制御精度に対応するアクセス制御ポリシーをコアポリシーから選択することと、選択された前記アクセス制御ポリシーをフィルタリングＰＥＰ(Policy Enforcement Point)制御部および高精度ＰＥＰ(Policy Enforcement Point)制御部に分配することとを含むアクセス制御方法が提供される。
【0011】
本発明の第３の視点によれば、ネットワークシステムにおける動的リスク要因を分析することによりアクセス制御精度を決定することと、前記アクセス制御精度に対応するアクセス制御ポリシーをコアポリシーから選択することと、選択された前記アクセス制御ポリシーをフィルタリングＰＥＰ(Policy Enforcement Point)制御部および高精度ＰＥＰ(Policy Enforcement Point)制御部に分配することとをコンピュータに指示するアクセス制御プログラムが提供される。さらに、このプログラムは、コンピュータ読み取り可能な記憶媒体に格納することができる。記憶媒体は、半導体メモリ、ハードディスク、磁気記録媒体、光記録媒体等の非一時的なものであってもよい。また、本発明は、コンピュータプログラム製品として実現することもできる。
【発明の効果】
【0012】
本発明の各視点によれば、セキュリティ要件を満たしつつワークロードの軽減に寄与するアクセス制御システム、アクセス制御方法、およびアクセス制御プログラムが提供される。
【図面の簡単な説明】
【0013】
【図10】アクセス制御分配部のハードウェア構成の一例を示す図である。
【発明を実施するための形態】
【0014】
以下、図面の参照により、本開示の実施形態が説明されるであろう。ただし、以下に説明する実施形態により本開示は限定されない。また、各図面において、同一または対応する要素および処理には適宜、同一の符号が付されている。さらに、図面は模式的であり、各要素の寸法の関係、各要素の比率および各処理の詳細などは、実施された場合の本開示においてとは異なりうることが留意されるべきである。また、図面の相互間においても、互いの寸法の関係および処理の詳細などが異なる部分が含まれていることがある。
【0015】
図１は、一アクセス制御システムを説明する模式的な図である。図１に示すように、アクセス制御システム１００は、アクセス制御分配部１１０、フィルタリングＰＥＰ制御部１２０、および、高精度ＰＥＰ制御部(fine-grained PEP controller)１３０を備える。
【0016】
アクセス制御分配部１１０は、動的リスク要因を入力し、動的リスク要因を分析して適切なアクセス制御ポリシーを選択し、次いで、フィルタリングＰＥＰ（ポリシー行使ポイント；policy enforcement point）制御部１２０および高精度ＰＥＰ（ポリシー行使ポイント；policy enforcement point）制御部１３０にアクセス制御ポリシーを分配する。
【0017】
アクセス制御分配部１１０は、ワークロード分配制御機能１１１およびポリシー選択機能１１２を備える。ワークロード分配制御機能１１１は、ネットワークシステムにおける動的リスク要因を分析することにより、アクセス制御精度(access control granularity)を決定する。ポリシー選択機能１１２は、アクセス制御精度に対応するアクセス制御ポリシーをコアポリシーから選択し、選択されたアクセス制御ポリシーを、フィルタリングＰＥＰ制御部１２０および高精度ＰＥＰ制御部１３０に向けて分配する。
【0018】
コアポリシーＰは、１つの高精度アクセス制御ポリシーＰ２と、高精度アクセス制御ポリシーからより低精度(coarser)な形式に変換された１以上のアクセス制御ポリシーＰ１とを含む。より低精度なアクセス制御ポリシーＰ１は、その許可決定(permission decisions)が、デバイス、リソースおよびネットワークの現在の状態で、高精度アクセス制御ポリシーＰ２の許可決定と一致するように選択される。より低精度なアクセス制御ポリシーＰ１が、高精度アクセス制御ポリシーＰ２と比較して低精度な点は下記の通りである：
１．低精度ポリシー(coarse-grained policies)のルールの数は、高精度ポリシー(fine-grained policy)と比較して少ない。
２．低精度ポリシーにおいて用いられ、信頼レベル、リスクプロファイル、リソースの機密性などを示す「状態」の具体的な表現を指す属性の数は、高精度ポリシーと比較して少ない。
３．一つの側面において、低精度ポリシーは、各ユーザ、各デバイス、各リソース、および項目２において述べた他の属性に実質上(in its sense)特有な高精度ポリシーと比較して、グループポリシーでありうる。
例：
低精度ポリシーは、ネットワーク識別子または属性を用いて定義される。ＩＤＳシステムの現在のステータスが、「送信元ＩＰ １９２．１６８．１．１が低リスクである」ことを示す場合、送信元ＩＰ １９２．１６８．１．１は、送信先ＩＰ(Dst IP) １０．１．１．１へのアクセスを許可される。送信元ＩＰ １９２．１６８．１．１に１０のデバイスが含まれ、送信先ＩＰ １０．１．１．１に１５のリソースが含まれる場合、１０×１５の個別ルールが生成され、デバイスリスクおよび信頼レベル、リソースの機密性などが追加され、これら全てに対して高精度ポリシーが定義されうる。その結果、１つの送信元ＩＰと１つの送信先ＩＰに対してであっても、高精度ポリシーは、より多くの数のルール（この場合は１５０）を含み得、より大きな属性／識別子のスペースを用いて定義され得る。
１．低精度ポリシー(coarse-grained policies)のルールの数は、高精度ポリシー(fine-grained policy)と比較して少ない。
２．低精度ポリシーにおいて用いられ、信頼レベル、リスクプロファイル、リソースの機密性などを示す「状態」の具体的な表現を指す属性の数は、高精度ポリシーと比較して少ない。
３．一つの側面において、低精度ポリシーは、各ユーザ、各デバイス、各リソース、および項目２において述べた他の属性に実質上(in its sense)特有な高精度ポリシーと比較して、グループポリシーでありうる。
例：
低精度ポリシーは、ネットワーク識別子または属性を用いて定義される。ＩＤＳシステムの現在のステータスが、「送信元ＩＰ １９２．１６８．１．１が低リスクである」ことを示す場合、送信元ＩＰ １９２．１６８．１．１は、送信先ＩＰ(Dst IP) １０．１．１．１へのアクセスを許可される。送信元ＩＰ １９２．１６８．１．１に１０のデバイスが含まれ、送信先ＩＰ １０．１．１．１に１５のリソースが含まれる場合、１０×１５の個別ルールが生成され、デバイスリスクおよび信頼レベル、リソースの機密性などが追加され、これら全てに対して高精度ポリシーが定義されうる。その結果、１つの送信元ＩＰと１つの送信先ＩＰに対してであっても、高精度ポリシーは、より多くの数のルール（この場合は１５０）を含み得、より大きな属性／識別子のスペースを用いて定義され得る。
【0019】
高精度アクセス制御ポリシーＰ２は、アプリケーション層のアクセス制御リストであり、低精度アクセス制御ポリシーＰ１は、その一部を置き換えたネットワーク層のアクセス制御リストである。
【0020】
例：
１．ｈｔｔｐ、ｆｔｐ、ｓｍｔｐ、ｄｎｓ、ｔｅｌｎｅｔおよびその他など（ただし、これらに限定されない）のアプリケーション層プロトコルのタイプに基づいて、アクセス制御を識別しうるアプリケーション層ポリシー。
２．２つの異なるブラウザ、２つの異なる電子メールクライアントおよびそれらの間のその他など（ただし、これらに限定されない）の同じアプリケーション層プロトコルを使用する２つのアプリケーションでさえ識別しうるアプリケーション層ポリシー。
３．ユーザパスワード、認証、動作、コンテキスト状態およびそれらの間のその他など（ただしこれらに限定されない）に基づいて、同じアプリケーションプロトコル上で同じアプリケーションを使用する２人のユーザを識別するアプリケーション層ポリシー。
４．同じアプリケーションプロトコル状態上で同じアプリケーションを使用するが、資産の機密性、アクセスニーズ、パスワード、認証、動作、コンテキストおよびそれらの間のその他など（ただしこれらに限定されない）に基づいて、２つの異なるデジタル資産(digital assets)にアクセスする同じユーザを識別するアプリケーション層ポリシー。
５．同じアプリケーションを使用して同じデジタル資産にアクセスするが、デバイスリスクプロファイル、デバイスの信頼レベル、ハードウェアおよびソフトウェア、通信プロトコルおよびそれらの間のその他など（ただしこれらに限定されない）に基づいて異なるデバイスにアクセスする同じユーザを識別するアプリケーション層ポリシー。
６．同じデバイス上の同じアプリケーション上で同じアプリケーションを使用するが、ユーザの行動の変化、場所および時間の変化、デバイスの動作の変化、デバイスのセキュリティ状態の変化、認証とセキュリティの脅威およびそれらの間のその他など（ただしこれらに限定されない）の異なるコンテキストを使用して同じデジタル資産にアクセスする同じユーザを識別するアプリケーション層ポリシー。
７．アプリケーション層ポリシーではないが、項目１～４において記載された例（ただしこれらに限定されない）などの高精度を用いて識別される他の任意のポリシー。
１．ｈｔｔｐ、ｆｔｐ、ｓｍｔｐ、ｄｎｓ、ｔｅｌｎｅｔおよびその他など（ただし、これらに限定されない）のアプリケーション層プロトコルのタイプに基づいて、アクセス制御を識別しうるアプリケーション層ポリシー。
２．２つの異なるブラウザ、２つの異なる電子メールクライアントおよびそれらの間のその他など（ただし、これらに限定されない）の同じアプリケーション層プロトコルを使用する２つのアプリケーションでさえ識別しうるアプリケーション層ポリシー。
３．ユーザパスワード、認証、動作、コンテキスト状態およびそれらの間のその他など（ただしこれらに限定されない）に基づいて、同じアプリケーションプロトコル上で同じアプリケーションを使用する２人のユーザを識別するアプリケーション層ポリシー。
４．同じアプリケーションプロトコル状態上で同じアプリケーションを使用するが、資産の機密性、アクセスニーズ、パスワード、認証、動作、コンテキストおよびそれらの間のその他など（ただしこれらに限定されない）に基づいて、２つの異なるデジタル資産(digital assets)にアクセスする同じユーザを識別するアプリケーション層ポリシー。
５．同じアプリケーションを使用して同じデジタル資産にアクセスするが、デバイスリスクプロファイル、デバイスの信頼レベル、ハードウェアおよびソフトウェア、通信プロトコルおよびそれらの間のその他など（ただしこれらに限定されない）に基づいて異なるデバイスにアクセスする同じユーザを識別するアプリケーション層ポリシー。
６．同じデバイス上の同じアプリケーション上で同じアプリケーションを使用するが、ユーザの行動の変化、場所および時間の変化、デバイスの動作の変化、デバイスのセキュリティ状態の変化、認証とセキュリティの脅威およびそれらの間のその他など（ただしこれらに限定されない）の異なるコンテキストを使用して同じデジタル資産にアクセスする同じユーザを識別するアプリケーション層ポリシー。
７．アプリケーション層ポリシーではないが、項目１～４において記載された例（ただしこれらに限定されない）などの高精度を用いて識別される他の任意のポリシー。
【0021】
ワークロード分配制御機能１１１は、状態に応じて変化するデバイスのリスクスコアを計算し、ポリシー選択機能１１２は、リスクスコアが高いか低い場合には低精度ポリシーを選択し、リスクが中程度の場合には高精度ポリシーを選択する。
【0022】
アクセス制御分配部１１０は、選択されたアクセス制御ポリシーを実行する手段として、低精度ポリシーを実装するＰＥＰと詳細なポリシーを実装する他のＰＥＰの少なくとも２つのＰＥＰを直列に(in series)備える。フィルタリングＰＥＰ制御部１２０は、低精度な形式(coarse-form)のアクセス制御ポリシーＰ１により１つのＰＥＰを制御する。高精度ＰＥＰ制御部１３０は、高精度アクセス制御ポリシーＰ２により他のＰＥＰを制御する。
【0023】
【0024】
ネットワークシステムにおけるリスク要因は階層的な差を含み、動的に変化する。アクセス制御分配部１１０は、動的リスク要因を分析し、動的リスク要因を分析することによりアクセス制御精度を決定する。
【0025】
リスク要因の例は以下を含む：
１．悪意のあるデバイスからの脅威；その悪意は、弱いセキュリティ体制、インストールされている信頼できるソフトウェアの欠如、未知または疑わしいソフトウェアのインストール、認証の失敗、不正なリソースの要求などの異常な動作、異常なアクセスパターン、ログイン時間、場所、およびデバイスの悪意が疑われ得るその他の任意の要因（ただしこれらに限定されない）から検出され得る。
２．悪意のあるユーザからの脅威；その悪意は、認証の失敗、認証されていないリソースの要求、管理されたデバイスの使用を要するリソースの要求のための管理されていないデバイスの使用、異常なアクセスパターン、ログイン時間、場所およびユーザの悪意が疑われ得るその他の要因（ただしこれらに限定されない）から検出され得る。
３．ネットワーク環境における悪意のある攻撃者による脅威；その悪意は、転送中のネットワークパケットの変更、アクセスに対する異常な量のパケットの要求、合意されたパスと異なるネットワーク パスから到着するパケット、暗号変数の変更、ＴＣＰまたはＩＰのポイズニング(poisoning)およびネットワーク環境の悪意が疑われ得るその他の要因（ただしこれらに限定されない）から検出され得る。
４．機密リソース(sensitive resource)に対する脅威；その機密性は、リソースの機密性、権限のないユーザまたはデバイスにより要求されたこと、悪意のあるユーザまたはデバイスにより要求されたこと、ネットワークまたはその他の要因で悪意のある攻撃者によって攻撃されたことおよび機密性リソースに対する脅威が疑われ得るその他の要因（ただしこれらに限定されない）から検出され得る。
１．悪意のあるデバイスからの脅威；その悪意は、弱いセキュリティ体制、インストールされている信頼できるソフトウェアの欠如、未知または疑わしいソフトウェアのインストール、認証の失敗、不正なリソースの要求などの異常な動作、異常なアクセスパターン、ログイン時間、場所、およびデバイスの悪意が疑われ得るその他の任意の要因（ただしこれらに限定されない）から検出され得る。
２．悪意のあるユーザからの脅威；その悪意は、認証の失敗、認証されていないリソースの要求、管理されたデバイスの使用を要するリソースの要求のための管理されていないデバイスの使用、異常なアクセスパターン、ログイン時間、場所およびユーザの悪意が疑われ得るその他の要因（ただしこれらに限定されない）から検出され得る。
３．ネットワーク環境における悪意のある攻撃者による脅威；その悪意は、転送中のネットワークパケットの変更、アクセスに対する異常な量のパケットの要求、合意されたパスと異なるネットワーク パスから到着するパケット、暗号変数の変更、ＴＣＰまたはＩＰのポイズニング(poisoning)およびネットワーク環境の悪意が疑われ得るその他の要因（ただしこれらに限定されない）から検出され得る。
４．機密リソース(sensitive resource)に対する脅威；その機密性は、リソースの機密性、権限のないユーザまたはデバイスにより要求されたこと、悪意のあるユーザまたはデバイスにより要求されたこと、ネットワークまたはその他の要因で悪意のある攻撃者によって攻撃されたことおよび機密性リソースに対する脅威が疑われ得るその他の要因（ただしこれらに限定されない）から検出され得る。
【0026】
動的環境におけるリスクは、侵入検知システム、侵入防御システム、システム情報およびイベント管理、トラステッドプラットフォームモジュールといった様々な検知メカニズムにより検知され得る。
【0027】
ネットワークシステムのリスク要因は、低精度リスク(coarser granularity risk)と高精度リスクとの２つのカテゴリに分類され得る。例えば、低精度リスクは以下のことを含む。
１．送信先ネットワーク内の全てのリソースが機密(sensitive)であること、または、
２．送信元ネットワーク内の全てのデバイスが疑わしい／ないし高リスク(high risk)の動作をすること、または、
３．送信元ネットワークが異常な無線リソースを利用すること、または、
４．送信元ネットワークがアクセスパターンの異常などを示すこと。
例えば、高精度リスクは以下のことを含む。
１．リスクが特定のリソースのデータ秘密性に関係すること、または、
２．リスクが特定のデバイスの疑わしさに関係すること、または、
３．特定のリソースに対する帯域幅の消費が異常であること、または、
４．所定のデバイスが特定のリソースへのアクセスパターンにおいて異常を示すことなど。
１．送信先ネットワーク内の全てのリソースが機密(sensitive)であること、または、
２．送信元ネットワーク内の全てのデバイスが疑わしい／ないし高リスク(high risk)の動作をすること、または、
３．送信元ネットワークが異常な無線リソースを利用すること、または、
４．送信元ネットワークがアクセスパターンの異常などを示すこと。
例えば、高精度リスクは以下のことを含む。
１．リスクが特定のリソースのデータ秘密性に関係すること、または、
２．リスクが特定のデバイスの疑わしさに関係すること、または、
３．特定のリソースに対する帯域幅の消費が異常であること、または、
４．所定のデバイスが特定のリソースへのアクセスパターンにおいて異常を示すことなど。
【0028】
アクセス制御分配部１１０は、低精度リスクが検出された場合にはフィルタリングＰＥＰにアクセス制御を分配し、高精度リスクが検出された場合には高精度ＰＥＰにアクセス制御を分配する。
【0029】
図３は、アクセス制御システムへの一適用例を示す模式的な図である。図３に示すように、アクセス制御システム１００は、送信元ネットワークから送信先ネットワークへのアクセスを制御する。送信元ネットワークは、「送信元ＩＰ(SRC IP)１：低リスクデバイス」および「送信元ＩＰ ２：中／高リスクデバイス」を含む。送信先ネットワークは、「送信先ＩＰ １：機密および非機密リソース(sensitive and non-sensitive resources)」および「送信先ＩＰ ２：機密リソース」を含む。中リスクデバイス(moderate risk devices)は、動的環境では高リスクデバイスに変化し得る。この状況において、アクセス制御システム１００には、動的リスク要因を扱う必要がある。
【0030】
図４は、アクセス制御システムに適用される低リスクの一例を示す模式的な図である。この状況において、「送信元ＩＰ １：低リスクデバイス」は、「送信先ＩＰ １：機密および非機密リソース」および「送信先ＩＰ ２：機密リソース」にアクセスしようとする。「送信元ＩＰ １：低リスクデバイス」は危険にさらされていないので、アクセス制御システム１００はアクセスを阻止しない。アクセス制御分配部（ＡＣＤＵ）１１０は、フィルタリングＰＥＰ制御部１２０にアクセス制御ポリシーを分配し、「送信元ＩＰ １：低リスクデバイス」が、「送信先ＩＰ １：機密および非機密リソース」および「送信先ＩＰ ２：機密リソース」にアクセスできるようにする。
【0031】
図５は、アクセス制御システムに適用される中リスクの一例を示す模式的な図である。この場合において、「送信元ＩＰ ２: 中リスクデバイス」は、機密および非機密リソースを含む「送信先ＩＰ １：機密および非機密リソース」にアクセスしようとする。アクセス制御システム１００には、高精度にアクセスを制御する必要がある。「送信元ＩＰ ２：中リスクデバイス」は、オープンリソースへのアクセスを許可されるべきだが、機密リソースへのアクセスは許可されない。アクセス制御分配部（ＡＣＤＵ）１１０は、高精度アクセス制御ポリシーを、高精度ＰＥＰ制御部１３０に分配して、「送信元ＩＰ ２：中リスクデバイス」によるオープンリソースへのアクセスを許可し、「送信元ＩＰ ２：中リスクデバイス」の機密リソースへのアクセスを阻止する。
【0032】
図６は、アクセス制御システムに適用される高リスクの一例を示す模式的な図である。この状況において、「送信元ＩＰ ２: 中リスクデバイス」は、「送信先ＩＰ ２：機密リソース」にアクセスしようとする。「送信元ＩＰ ２：中リスクデバイス」は、「送信先ＩＰ ２：機密リソース」へのアクセスを許可されるべきではないので、アクセス制御システム１００には、高精度でアクセスを制御する必要はない。アクセス制御分配部（ＡＣＤＵ）１１０は、フィルタリングＰＥＰ制御部１２０に向けて低精度アクセス制御ポリシーを分配し、「送信元ＩＰ ２：中リスクデバイス」から「送信先ＩＰ ２：機密リソース」へのアクセスを阻止する。
【0033】
図７は、アクセス制御システムに適用される高リスクの一例を示す模式的な図である。この状況において、「送信元ＩＰ ２：高リスクデバイス」は、「送信先ＩＰ １： 機密および非機密リソース」および「送信先ＩＰ ２：機密リソース」にアクセスしようとする。「送信元ＩＰ ２：高リスクデバイス」は、「送信先ＩＰ １：機密および非機密リソース」および「送信先ＩＰ ２：機密リソース」へのアクセスを許可されるべきではないので、アクセス制御システム１００には、高精度にアクセスを制御する必要がない。アクセス制御分配部（ＡＣＤＵ）１１０は、フィルタリングＰＥＰ制御部１２０に向けて低精度アクセス制御ポリシーを分配し、「送信元ＩＰ ２：高リスクデバイス」から「送信先ＩＰ １：機密および非機密ソース」および「送信先ＩＰ ２：機密リソース」へのアクセスを阻止する。
【0034】
図８は、アクセス制御精度の事例（複数）の概要の模式的な図である。図８に示すように、ワークロード分配制御機能１１１は、リスク要因を分析し、アクセス制御精度を決定する。送信元ネットワークは、「送信元ＩＰ １：低リスクデバイス(low risk devices)」と、「送信元ＩＰ ２：中／高リスクデバイス」とを含む。送信先ネットワークは、「送信先ＩＰ １：オープンリソース」、「送信先ＩＰ ２：機密および非機密リソースの混合」および「送信先ＩＰ ２：全ての機密リソース」を含む。中リスクデバイスは、動的環境において高リスクデバイスに変化し得る。
【0035】
ワークロード分配制御機能１１１は、状態に応じて変化する装置のリスクスコアを計算し、リスクスコアが高いまたは低いときには、低精度ポリシーを選択し、リスクが中程度であるときには、高精度ポリシーを選択する。選択されたアクセス制御ポリシーを実行する手段として、フィルタリングＰＥＰは低精度ポリシーを実装し、高精度ポリシーは詳細ポリシーを実装する。
【0036】
「送信元ＩＰ ２：中リスクデバイス」が「送信先ＩＰ ２：機密および非機密リソースとの混合」にアクセスしたい場合、ワークロード分配制御機能１１１は、アクセス制御精度を決定する。他の場合には、ワークロード分配制御機能１１１はアクセス制御のためにより低い(coarser)精度を決定する。つまり、ワークロード分配制御機能１１１は、多くの場合、セキュリティ要件を満たしつつワークロードを軽減するために、より低い精度アクセス制御を決定する。
【0037】
図９は、概略的なアクセス制御方法を示すフローチャートである。図９に示すように、アクセス制御方法は、アクセス制御精度を決定するステップ（Ｓ１）、ポリシーを選択するステップ（Ｓ２）および選択されたポリシーを転送するステップ（Ｓ３）を含む。
【0038】
最初のステップ（Ｓ１）において、ワークロード分配制御機能１１１は、動的リスク要因を分析し、アクセス制御精度を決定する。ネットワークシステムの動的リスク要因は、デバイス状態、リソース状態およびネットワーク状態、またはこれらのいずれかを含む。ワークロード分配制御機能１１１は、状態に応じて変化するデバイスのリスクスコアを算出する。
【0039】
第２ステップ（Ｓ２）において、ポリシー選択機能１１２は、ワークロード分配制御機能１１１により選択された所望のアクセス制御精度を実行するために、コアポリシーから最適なポリシーのセットを選択する。ポリシー選択機能１１２（図１）は、リスクスコアが高いか低いときには低精度ポリシーを選択し、リスクが中程度である場合には高精度ポリシーを選択する。
【0040】
第３ステップ（Ｓ３）において、ポリシー選択機能１１２は、選択されたポリシーの各アクセス制御部へのポリシー転送を実行する。ポリシー選択機能１１２は、リスクスコアが高いか低いとき低精度なポリシーをフィルタリングＰＥＰ制御部１２０に転送し、リスクが中程度であるときには高精度ポリシーを、高精度ＰＥＰ制御部１３０に転送する。
【0041】
図１０は、アクセス制御分配部のハードウェア構成の一例を示す図である。上述したアクセス制御分配部１１０は、図１０に示すハードウェア構成を有する情報処理装置（コンピュータ）２００として構成されてよい。なお、図１０に示すハードウェア構成は、アクセス制御システム１００の機能を実現するハードウェア構成の一例に過ぎず、アクセス制御分配部１１０のハードウェア構成を限定することを意図しないことは留意されるべきである。アクセス制御分配部１１０は、図１０に示されていないハードウェアを含んでよい。
【0042】
図１０に示すように、コンピュータ２００は、ＣＰＵ(Central Processing Unit)２１０、主記憶装置２２０、補助記憶装置２３０、および、通信インターフェースであるＮＩＣ(Network Interface Card)２４０を備える。これらの要素は、例えば、内部バスによって相互に接続される。
【0043】
ＣＰＵ２１０は、アクセス制御プログラムを実行する。主記憶装置２２０は、例えばＲＡＭ(Random Access Memory)であり、コンピュータ２００により実行されるアクセス制御プログラムを一時的に記憶し、ＣＰＵ２１０が処理できるようにする。
【0044】
補助記憶装置２３０は、例えばＨＤＤ(Hard Disk Drive)であり、アクセス制御プログラムを媒体において長期的に(in the medium to long term)記憶しうる。アクセス制御プログラムは、非一時的なコンピュータ可読記憶媒体に記憶されたコンピュータプログラムとして提供されてよい。補助記憶装置２３０は、非一時的なコンピュータ読み取り可能な記憶媒体に記憶されたアクセス制御プログラムを長期にわたって記憶するために使用されうる。
【0045】
ＮＩＣ２４０は、ネットワークを介して外部端末とのインターフェースを提供する。ＮＩＣ２４０は、トラフィック通信を受信または送信するために使用される。
【0046】
上述したコンピュータ２００がアクセス制御プログラムを実行すると、コンピュータ２００はアクセス制御分配部１１０として機能し、図９に示すアクセス制御方法を実装する。
【0047】
上記の例示的な実施形態は、以下の付記のように部分的または全体的に説明されうるが、これらに限定されない。
［付記１］
ネットワークシステムにおける動的リスク要因を分析してアクセス制御精度(access control granularity)を決定するワークロード分配制御機能と、前記アクセス制御精度に対応するアクセス制御ポリシーをコアポリシーから選択し、選択した前記アクセス制御ポリシーをフィルタリングＰＥＰ(Policy Enforcement Point)制御部および高精度ＰＥＰ(Policy Enforcement Point)制御部に分配するポリシー選択機能とを備えるアクセス制御システム。
［付記２］
前記コアポリシーは、１つの高精度アクセス制御ポリシーと、前記高精度アクセス制御ポリシーからより低精度な形式に変換された１以上のアクセス制御ポリシーとを含み、より低精度な前記アクセス制御ポリシーは、その許可の決定が、デバイス、リソースおよびネットワークの現在の状態での高精度アクセス制御ポリシーの許可の決定と一致するように選択される付記１に記載のアクセス制御システム。
［付記３］
前記高精度アクセス制御ポリシーは、アプリケーション層でのアクセス制御リストであり、低精度な形式の前記アクセス制御ポリシーはその一部を置き換えたネットワーク層のアクセス制御リストである付記２に記載のアクセス制御システム。
［付記４］
前記ワークロード分配制御機能は、状態に応じて変化するデバイスのリスクスコアを計算し、ポリシー選択機能は、リスクスコアが高いか低いときには前記低精度ポリシーを選択し、リスクが中程度なときには高精度ポリシーを選択する付記３に記載のアクセス制御システム。
［付記５］
選択された前記アクセス制御ポリシーを実行するために、低精度ポリシーを実装する１つのＰＥＰと、詳細ポリシーを実装する他のＰＥＰの少なくとも２つのＰＥＰを直列に備える付記３に記載のアクセス制御システム。
［付記６］
ネットワークシステムにおける動的リスク要因を分析することによりアクセス制御精度を決定することと、前記アクセス制御精度に対応するアクセス制御ポリシーをコアポリシーから選択することと、選択された前記アクセス制御ポリシーをフィルタリングＰＥＰ(Policy Enforcement Point)制御部および高精度ＰＥＰ(Policy Enforcement Point)制御部に分配することとを含むアクセス制御方法。
［付記７］
前記コアポリシーは、１つの高精度アクセス制御ポリシーと、前記高精度アクセス制御ポリシーからより低精度な形式に変換された１以上のアクセス制御ポリシーとを含み、前記より低精度なアクセス制御ポリシーは、その許可の決定が、デバイス、リソースおよびネットワークの現在の状態での高精度アクセス制御ポリシーの許可の決定と一致するように選択される付記６に記載のアクセス制御方法。
［付記８］
前記高精度アクセス制御ポリシーは、アプリケーション層でのアクセス制御リストであり、低精度な形式のアクセス制御ポリシーはその一部を置き換えたネットワーク層でのアクセス制御リストである付記６に記載のアクセス制御方法。
［付記９］
状態に応じて変化するデバイスのリスクスコアを計算することと、リスクスコアが高いか低いときには低精度ポリシーを選択することと、リスクが中程度なときには高精度ポリシーを選択することとをさらに含む付記８に記載のアクセス制御方法。
［付記１０］
ネットワークシステムにおける動的リスク要因を分析することによりアクセス制御精度を決定することと、前記アクセス制御精度に対応するアクセス制御ポリシーをコアポリシーから選択することと、
選択された前記アクセス制御ポリシーをフィルタリングＰＥＰ(Policy Enforcement Point)制御部および高精度ＰＥＰ(Policy Enforcement Point)制御部に分配することとをコンピュータに指示するアクセス制御プログラム。
［付記１］
ネットワークシステムにおける動的リスク要因を分析してアクセス制御精度(access control granularity)を決定するワークロード分配制御機能と、前記アクセス制御精度に対応するアクセス制御ポリシーをコアポリシーから選択し、選択した前記アクセス制御ポリシーをフィルタリングＰＥＰ(Policy Enforcement Point)制御部および高精度ＰＥＰ(Policy Enforcement Point)制御部に分配するポリシー選択機能とを備えるアクセス制御システム。
［付記２］
前記コアポリシーは、１つの高精度アクセス制御ポリシーと、前記高精度アクセス制御ポリシーからより低精度な形式に変換された１以上のアクセス制御ポリシーとを含み、より低精度な前記アクセス制御ポリシーは、その許可の決定が、デバイス、リソースおよびネットワークの現在の状態での高精度アクセス制御ポリシーの許可の決定と一致するように選択される付記１に記載のアクセス制御システム。
［付記３］
前記高精度アクセス制御ポリシーは、アプリケーション層でのアクセス制御リストであり、低精度な形式の前記アクセス制御ポリシーはその一部を置き換えたネットワーク層のアクセス制御リストである付記２に記載のアクセス制御システム。
［付記４］
前記ワークロード分配制御機能は、状態に応じて変化するデバイスのリスクスコアを計算し、ポリシー選択機能は、リスクスコアが高いか低いときには前記低精度ポリシーを選択し、リスクが中程度なときには高精度ポリシーを選択する付記３に記載のアクセス制御システム。
［付記５］
選択された前記アクセス制御ポリシーを実行するために、低精度ポリシーを実装する１つのＰＥＰと、詳細ポリシーを実装する他のＰＥＰの少なくとも２つのＰＥＰを直列に備える付記３に記載のアクセス制御システム。
［付記６］
ネットワークシステムにおける動的リスク要因を分析することによりアクセス制御精度を決定することと、前記アクセス制御精度に対応するアクセス制御ポリシーをコアポリシーから選択することと、選択された前記アクセス制御ポリシーをフィルタリングＰＥＰ(Policy Enforcement Point)制御部および高精度ＰＥＰ(Policy Enforcement Point)制御部に分配することとを含むアクセス制御方法。
［付記７］
前記コアポリシーは、１つの高精度アクセス制御ポリシーと、前記高精度アクセス制御ポリシーからより低精度な形式に変換された１以上のアクセス制御ポリシーとを含み、前記より低精度なアクセス制御ポリシーは、その許可の決定が、デバイス、リソースおよびネットワークの現在の状態での高精度アクセス制御ポリシーの許可の決定と一致するように選択される付記６に記載のアクセス制御方法。
［付記８］
前記高精度アクセス制御ポリシーは、アプリケーション層でのアクセス制御リストであり、低精度な形式のアクセス制御ポリシーはその一部を置き換えたネットワーク層でのアクセス制御リストである付記６に記載のアクセス制御方法。
［付記９］
状態に応じて変化するデバイスのリスクスコアを計算することと、リスクスコアが高いか低いときには低精度ポリシーを選択することと、リスクが中程度なときには高精度ポリシーを選択することとをさらに含む付記８に記載のアクセス制御方法。
［付記１０］
ネットワークシステムにおける動的リスク要因を分析することによりアクセス制御精度を決定することと、前記アクセス制御精度に対応するアクセス制御ポリシーをコアポリシーから選択することと、
選択された前記アクセス制御ポリシーをフィルタリングＰＥＰ(Policy Enforcement Point)制御部および高精度ＰＥＰ(Policy Enforcement Point)制御部に分配することとをコンピュータに指示するアクセス制御プログラム。
【0048】
以上、本発明の各実施形態について説明したが、本発明の全開示（請求の範囲を含む）の枠内において、その基本的技術思想に基づいて、実施形態や実施例の変更、調整が可能であることに留意されたい。さらに、本発明の全開示の範囲内において開示された多種多様な要素（個々の請求項の個々の要素、個々の例示的な実施形態または実施例の個々の要素、および個々の図の個々の要素を含む）を様々に組み合わせたり、選択したり（あるいは少なくとも部分的に削除したり）することが可能である。つまり、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろうあらゆる変形、修正を含むことは自明である。特に、本明細書に開示される数値範囲は、特に記載がなくても、開示範囲内に含まれる中間値または部分範囲も具体的に開示されるものと解釈されるべきである。さらに、上に引用された特許文献の開示内容は、参照により全体として本明細書に組み込まれる。
【符号の説明】
【0049】
１００ アクセス制御システム
１１０ アクセス制御分配部
１１１ ワークロード分配制御機能
１１２ ポリシー選択機能
１２０ フィルタリングＰＥＰ制御部
１３０ 高精度ＰＥＰ制御部
２００ 情報処理装置（コンピュータ）
２１０ ＣＰＵ(Central Processing Unit)
２２０ 主記憶装置
２３０ 補助記憶装置
２４０ ＮＩＣ(Network Interface Card)
１１０ アクセス制御分配部
１１１ ワークロード分配制御機能
１１２ ポリシー選択機能
１２０ フィルタリングＰＥＰ制御部
１３０ 高精度ＰＥＰ制御部
２００ 情報処理装置（コンピュータ）
２１０ ＣＰＵ(Central Processing Unit)
２２０ 主記憶装置
２３０ 補助記憶装置
２４０ ＮＩＣ(Network Interface Card)
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【手続補正書】
【提出日】2024-03-01
【手続補正1】
【補正対象書類名】特許請求の範囲
【補正対象項目名】請求項８
【補正方法】変更
【補正の内容】
【請求項8】
前記高精度アクセス制御ポリシーは、アプリケーション層でのアクセス制御リストであり、低精度な形式のアクセス制御ポリシーはその一部を置き換えたネットワーク層のアクセス制御リストである
請求項７に記載のアクセス制御方法。
請求項７に記載のアクセス制御方法。
【手続補正2】
【補正対象書類名】明細書
【補正対象項目名】００３４
【補正方法】変更
【補正の内容】
【0034】
図８は、アクセス制御精度の事例（複数）の概要の模式的な図である。図８に示すように、ワークロード分配制御機能１１１は、リスク要因を分析し、アクセス制御精度を決定する。送信元ネットワークは、「送信元ＩＰ １：低リスクデバイス(low risk devices)」と、「送信元ＩＰ ２：中／高リスクデバイス」とを含む。送信先ネットワークは、「送信先ＩＰ １：オープンリソース」、「送信先ＩＰ ２：機密および非機密リソースの混合」および「送信先ＩＰ ３：全ての機密リソース」を含む。中リスクデバイスは、動的環境において高リスクデバイスに変化し得る。
【手続補正3】
【補正対象書類名】明細書
【補正対象項目名】００４７
【補正方法】変更
【補正の内容】
【0047】
上記の例示的な実施形態は、以下の付記のように部分的または全体的に説明されうるが、これらに限定されない。
［付記１］
ネットワークシステムにおける動的リスク要因を分析してアクセス制御精度(access control granularity)を決定するワークロード分配制御機能と、前記アクセス制御精度に対応するアクセス制御ポリシーをコアポリシーから選択し、選択した前記アクセス制御ポリシーをフィルタリングＰＥＰ(Policy Enforcement Point)制御部および高精度ＰＥＰ(Policy Enforcement Point)制御部に分配するポリシー選択機能とを備えるアクセス制御システム。
［付記２］
前記コアポリシーは、１つの高精度アクセス制御ポリシーと、前記高精度アクセス制御ポリシーからより低精度な形式に変換された１以上のアクセス制御ポリシーとを含み、より低精度な前記アクセス制御ポリシーは、その許可の決定が、デバイス、リソースおよびネットワークの現在の状態での高精度アクセス制御ポリシーの許可の決定と一致するように選択される付記１に記載のアクセス制御システム。
［付記３］
前記高精度アクセス制御ポリシーは、アプリケーション層でのアクセス制御リストであり、低精度な形式の前記アクセス制御ポリシーはその一部を置き換えたネットワーク層のアクセス制御リストである付記２に記載のアクセス制御システム。
［付記４］
前記ワークロード分配制御機能は、状態に応じて変化するデバイスのリスクスコアを計算し、ポリシー選択機能は、リスクスコアが高いか低いときには前記低精度ポリシーを選択し、リスクが中程度なときには高精度ポリシーを選択する付記３に記載のアクセス制御システム。
［付記５］
選択された前記アクセス制御ポリシーを実行するために、低精度ポリシーを実装する１つのＰＥＰと、詳細ポリシーを実装する他のＰＥＰの少なくとも２つのＰＥＰを直列に備える付記３に記載のアクセス制御システム。
［付記６］
ネットワークシステムにおける動的リスク要因を分析することによりアクセス制御精度を決定することと、前記アクセス制御精度に対応するアクセス制御ポリシーをコアポリシーから選択することと、選択された前記アクセス制御ポリシーをフィルタリングＰＥＰ(Policy Enforcement Point)制御部および高精度ＰＥＰ(Policy Enforcement Point)制御部に分配することとを含むアクセス制御方法。
［付記７］
前記コアポリシーは、１つの高精度アクセス制御ポリシーと、前記高精度アクセス制御ポリシーからより低精度な形式に変換された１以上のアクセス制御ポリシーとを含み、前記より低精度なアクセス制御ポリシーは、その許可の決定が、デバイス、リソースおよびネットワークの現在の状態での高精度アクセス制御ポリシーの許可の決定と一致するように選択される付記６に記載のアクセス制御方法。
［付記８］
前記高精度アクセス制御ポリシーは、アプリケーション層でのアクセス制御リストであり、低精度な形式のアクセス制御ポリシーはその一部を置き換えたネットワーク層でのアクセス制御リストである付記７に記載のアクセス制御方法。
［付記９］
状態に応じて変化するデバイスのリスクスコアを計算することと、リスクスコアが高いか低いときには低精度ポリシーを選択することと、リスクが中程度なときには高精度ポリシーを選択することとをさらに含む付記８に記載のアクセス制御方法。
［付記１０］
ネットワークシステムにおける動的リスク要因を分析することによりアクセス制御精度を決定することと、前記アクセス制御精度に対応するアクセス制御ポリシーをコアポリシーから選択することと、
選択された前記アクセス制御ポリシーをフィルタリングＰＥＰ(Policy Enforcement Point)制御部および高精度ＰＥＰ(Policy Enforcement Point)制御部に分配することとをコンピュータに指示するアクセス制御プログラム。
［付記１］
ネットワークシステムにおける動的リスク要因を分析してアクセス制御精度(access control granularity)を決定するワークロード分配制御機能と、前記アクセス制御精度に対応するアクセス制御ポリシーをコアポリシーから選択し、選択した前記アクセス制御ポリシーをフィルタリングＰＥＰ(Policy Enforcement Point)制御部および高精度ＰＥＰ(Policy Enforcement Point)制御部に分配するポリシー選択機能とを備えるアクセス制御システム。
［付記２］
前記コアポリシーは、１つの高精度アクセス制御ポリシーと、前記高精度アクセス制御ポリシーからより低精度な形式に変換された１以上のアクセス制御ポリシーとを含み、より低精度な前記アクセス制御ポリシーは、その許可の決定が、デバイス、リソースおよびネットワークの現在の状態での高精度アクセス制御ポリシーの許可の決定と一致するように選択される付記１に記載のアクセス制御システム。
［付記３］
前記高精度アクセス制御ポリシーは、アプリケーション層でのアクセス制御リストであり、低精度な形式の前記アクセス制御ポリシーはその一部を置き換えたネットワーク層のアクセス制御リストである付記２に記載のアクセス制御システム。
［付記４］
前記ワークロード分配制御機能は、状態に応じて変化するデバイスのリスクスコアを計算し、ポリシー選択機能は、リスクスコアが高いか低いときには前記低精度ポリシーを選択し、リスクが中程度なときには高精度ポリシーを選択する付記３に記載のアクセス制御システム。
［付記５］
選択された前記アクセス制御ポリシーを実行するために、低精度ポリシーを実装する１つのＰＥＰと、詳細ポリシーを実装する他のＰＥＰの少なくとも２つのＰＥＰを直列に備える付記３に記載のアクセス制御システム。
［付記６］
ネットワークシステムにおける動的リスク要因を分析することによりアクセス制御精度を決定することと、前記アクセス制御精度に対応するアクセス制御ポリシーをコアポリシーから選択することと、選択された前記アクセス制御ポリシーをフィルタリングＰＥＰ(Policy Enforcement Point)制御部および高精度ＰＥＰ(Policy Enforcement Point)制御部に分配することとを含むアクセス制御方法。
［付記７］
前記コアポリシーは、１つの高精度アクセス制御ポリシーと、前記高精度アクセス制御ポリシーからより低精度な形式に変換された１以上のアクセス制御ポリシーとを含み、前記より低精度なアクセス制御ポリシーは、その許可の決定が、デバイス、リソースおよびネットワークの現在の状態での高精度アクセス制御ポリシーの許可の決定と一致するように選択される付記６に記載のアクセス制御方法。
［付記８］
前記高精度アクセス制御ポリシーは、アプリケーション層でのアクセス制御リストであり、低精度な形式のアクセス制御ポリシーはその一部を置き換えたネットワーク層でのアクセス制御リストである付記７に記載のアクセス制御方法。
［付記９］
状態に応じて変化するデバイスのリスクスコアを計算することと、リスクスコアが高いか低いときには低精度ポリシーを選択することと、リスクが中程度なときには高精度ポリシーを選択することとをさらに含む付記８に記載のアクセス制御方法。
［付記１０］
ネットワークシステムにおける動的リスク要因を分析することによりアクセス制御精度を決定することと、前記アクセス制御精度に対応するアクセス制御ポリシーをコアポリシーから選択することと、
選択された前記アクセス制御ポリシーをフィルタリングＰＥＰ(Policy Enforcement Point)制御部および高精度ＰＥＰ(Policy Enforcement Point)制御部に分配することとをコンピュータに指示するアクセス制御プログラム。
【外国語明細書】