ホーム > 特許ランキング > セントリペタル リミテッド
知財求人 - 知財ポータルサイト「IP Force」
特開2024-20524モバイルデバイスの効率的なサイバー保護のための方法およびシステム
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2024020524
(43)【公開日】2024-02-14
(54)【発明の名称】モバイルデバイスの効率的なサイバー保護のための方法およびシステム
(51)【国際特許分類】
G06F 21/55 20130101AFI20240206BHJP
【ＦＩ】
G06F21/55
【審査請求】有
【請求項の数】20
【出願形態】ＯＬ
(21)【出願番号】P 2023199361
(22)【出願日】2023-11-24
(62)【分割の表示】P 2022500516の分割
【原出願日】2020-06-15
(31)【優先権主張番号】16/502,565
(32)【優先日】2019-07-03
(33)【優先権主張国・地域又は機関】US
(71)【出願人】
【識別番号】523310402
【氏名又は名称】セントリペタル リミテッド
(74)【代理人】
【識別番号】110002310
【氏名又は名称】弁理士法人あい特許事務所
(72)【発明者】
【氏名】ムーア，ショーン
(72)【発明者】
【氏名】ジェレミア，ピーター ピー．
(57)【要約】
【課題】モバイルデバイスおよびそれに関連する企業ネットワークをインターネットの脅威から効率的に保護する。
【解決手段】モバイルデバイスは、複数のパケットフィルタリングルールの各々を表すポリシー確率的データ構造を取得し、第1のパケットの第1の属性が、前記ポリシー確率的データ構造に表された第1のパケットフィルタリングルールに対応するという判定に基づいて、前記第1のパケットを、セキュリティポリシーに関連付けられたパケットゲートウェイに送信し、送信した後に、新しいパケットフィルタリングルールを受信し、前記新しいパケットフィルタリングルールを表すために前記ポリシー確率的データ構造を更新する。第2のパケットの第2の属性が、前記更新されたポリシー確率的データ構造で表現された新しいパケットフィルタリングルールに対応するというモバイルデバイスによる判定に基づいて、前記第2のパケットのフィルタリングを行わせる。
【選択図】図１
【解決手段】モバイルデバイスは、複数のパケットフィルタリングルールの各々を表すポリシー確率的データ構造を取得し、第1のパケットの第1の属性が、前記ポリシー確率的データ構造に表された第1のパケットフィルタリングルールに対応するという判定に基づいて、前記第1のパケットを、セキュリティポリシーに関連付けられたパケットゲートウェイに送信し、送信した後に、新しいパケットフィルタリングルールを受信し、前記新しいパケットフィルタリングルールを表すために前記ポリシー確率的データ構造を更新する。第2のパケットの第2の属性が、前記更新されたポリシー確率的データ構造で表現された新しいパケットフィルタリングルールに対応するというモバイルデバイスによる判定に基づいて、前記第2のパケットのフィルタリングを行わせる。
【選択図】図１
【特許請求の範囲】
【請求項1】
モバイルデバイスによって、セキュリティポリシーの複数のパケットフィルタリングルールの各々を表す少なくとも1つのポリシー確率的データ構造を受信することと、
第1のパケットの第1の属性が、前記少なくとも1つのポリシー確率的データ構造に表された第1のパケットフィルタリングルールに対応するという前記モバイルデバイスの判定に基づいて、前記第1のパケットを、前記セキュリティポリシーに関連付けられたパケットゲートウェイに送信することと、
前記第1のパケットを前記パケットゲートウェイに送信した後に、新しいパケットフィルタリングルールを受信することと、
前記新しいパケットフィルタリングルールを表すために前記少なくとも1つのポリシー確率的データ構造を更新することと、
第2のパケットの第2の属性が、前記更新された少なくとも1つのポリシー確率的データ構造で表現された新しいパケットフィルタリングルールに対応するというモバイルデバイスによる判定に基づいて、前記第2のパケットのフィルタリングをさせることであって、前記更新前は、前記少なくとも1つのポリシー確率的データ構造は、第2の属性を有するパケットを許可するように構成されていた、前記第2のパケットのフィルタリングをさせること、とを含む、方法。
第1のパケットの第1の属性が、前記少なくとも1つのポリシー確率的データ構造に表された第1のパケットフィルタリングルールに対応するという前記モバイルデバイスの判定に基づいて、前記第1のパケットを、前記セキュリティポリシーに関連付けられたパケットゲートウェイに送信することと、
前記第1のパケットを前記パケットゲートウェイに送信した後に、新しいパケットフィルタリングルールを受信することと、
前記新しいパケットフィルタリングルールを表すために前記少なくとも1つのポリシー確率的データ構造を更新することと、
第2のパケットの第2の属性が、前記更新された少なくとも1つのポリシー確率的データ構造で表現された新しいパケットフィルタリングルールに対応するというモバイルデバイスによる判定に基づいて、前記第2のパケットのフィルタリングをさせることであって、前記更新前は、前記少なくとも1つのポリシー確率的データ構造は、第2の属性を有するパケットを許可するように構成されていた、前記第2のパケットのフィルタリングをさせること、とを含む、方法。
【請求項2】
前記少なくとも1つのポリシー確率的データ構造は、ブルーム・フィルタまたはカッコウ・フィルタとされている、請求項1に記載の方法。
【請求項3】
前記第2のパケットのフィルタリングをさせることは、前記第2のパケットを破棄 (drop) することを含む、請求項1に記載の方法。
【請求項4】
前記第2のパケットのフィルタリングをさせることは、前記第2のパケットに対するルールアクションの実行をさせることを含む、請求項1に記載の方法。
【請求項5】
前記第2のパケットのフィルタリングをさせることが、
前記モバイルデバイスによる、前記第2のパケットの第2の属性が、第2の確率的データ構造で表される第2のパケットフィルタリングルールに対応するという判定に基づいて、前記第2のパケットを、前記セキュリティポリシーに関連するパケットゲートウェイに送信すること、を含む、請求項1に記載の方法。
前記モバイルデバイスによる、前記第2のパケットの第2の属性が、第2の確率的データ構造で表される第2のパケットフィルタリングルールに対応するという判定に基づいて、前記第2のパケットを、前記セキュリティポリシーに関連するパケットゲートウェイに送信すること、を含む、請求項1に記載の方法。
【請求項6】
前記第2のパケットの第2の属性が、前記更新された少なくとも1つのポリシーの確率的データ構造において表現された新しいパケットフィルタリングルールに対応するという判定に基づいて、前記第2のパケットに関連するログを生成することと、
前記ログを、前記セキュリティポリシーに関連付けられた少なくとも1つのネットワークセキュリティデバイスに送信することと、をさらに含む、請求項1に記載の方法。
前記ログを、前記セキュリティポリシーに関連付けられた少なくとも1つのネットワークセキュリティデバイスに送信することと、をさらに含む、請求項1に記載の方法。
【請求項7】
少なくとも1つのネットワークセキュリティデバイスに、前記第1のパケットが前記セキュリティポリシーに関連するパケットゲートウェイに送信されたことを示す指示を送信することをさらに含み、ここにおいて、前記新しいパケットフィルタリングルールを受信することは、前記指示を送信することに応答して新しいパケットフィルタリングルールを受信することを含む、請求項1に記載の方法。
【請求項8】
モバイルデバイスであって、
１つまたは複数のプロセッサと
前記１つまたは複数のプロセッサによって実行されたときに、前記モバイルデバイスに以下のことを行わせる命令を記憶しているメモリとを含む、モバイルデバイス。
セキュリティポリシーの複数のパケットフィルタリングルールの各々を表す少なくとも1つのポリシー確率的データ構造を受信すること、
第1のパケットの第1の属性が前記少なくとも1つのポリシー確率的データ構造に表された第1のパケットフィルタリングルールに対応すると判定したことに基づいて、前記第1のパケットを前記セキュリティポリシーに関連付けられたパケットゲートウェイに送信すること、
前記第1のパケットを前記パケットゲートウェイに送信した後、新しいパケットフィルタリングルールを受信すること、
前記新しいパケットフィルタリングルールを示すために、前記少なくとも1つのポリシー確率的データ構造を更新すること、および
第2のパケットの第2の属性が、前記更新された少なくとも1つのポリシー確率的データ構造で表現された新しいパケットフィルタリングルールに対応すると判定したことに基づいて、前記第2のパケットのフィルタリングをさせることであって、前記更新の前に、前記少なくとも1つのポリシー確率的データ構造が前記第2の属性を有するパケットを許容するように構成されていた。
１つまたは複数のプロセッサと
前記１つまたは複数のプロセッサによって実行されたときに、前記モバイルデバイスに以下のことを行わせる命令を記憶しているメモリとを含む、モバイルデバイス。
セキュリティポリシーの複数のパケットフィルタリングルールの各々を表す少なくとも1つのポリシー確率的データ構造を受信すること、
第1のパケットの第1の属性が前記少なくとも1つのポリシー確率的データ構造に表された第1のパケットフィルタリングルールに対応すると判定したことに基づいて、前記第1のパケットを前記セキュリティポリシーに関連付けられたパケットゲートウェイに送信すること、
前記第1のパケットを前記パケットゲートウェイに送信した後、新しいパケットフィルタリングルールを受信すること、
前記新しいパケットフィルタリングルールを示すために、前記少なくとも1つのポリシー確率的データ構造を更新すること、および
第2のパケットの第2の属性が、前記更新された少なくとも1つのポリシー確率的データ構造で表現された新しいパケットフィルタリングルールに対応すると判定したことに基づいて、前記第2のパケットのフィルタリングをさせることであって、前記更新の前に、前記少なくとも1つのポリシー確率的データ構造が前記第2の属性を有するパケットを許容するように構成されていた。
【請求項9】
前記少なくとも1つのポリシー確率的データ構造は、ブルームフィルタまたはカッコウフィルタとされている、請求項8に記載のモバイルデバイス。
【請求項10】
前記命令は、前記1つまたは複数のプロセッサによって実行されるとき、前記モバイルデバイスに、前記第2のパケットを破棄 (drop) させることによって、前記第2のパケットのフィルタリングをさせる、請求項8に記載のモバイルデバイス。
【請求項11】
前記命令は、前記1つまたは複数のプロセッサによって実行されるとき、前記モバイルデバイスに、前記第2のパケットに対するルールアクションの実行をさせることによって、前記第2のパケットのフィルタリングをさせる、請求項8に記載のモバイルデバイス。
【請求項12】
前記命令は、前記1つまたは複数のプロセッサによって実行されるとき、前記モバイルデバイスに以下の手順を行わせることによって、前記第2のパケットのフィルタリングを行わせる、請求項8に記載のモバイルデバイス。
前記第2のパケットの前記第2の属性が、前記第2の確率的データ構造において表現される前記第2のパケットフィルタリングルールに対応すると判定したことに基づいて、前記第2のパケットを、前記セキュリティポリシーに関連するパケットゲートウェイに送信する。
前記第2のパケットの前記第2の属性が、前記第2の確率的データ構造において表現される前記第2のパケットフィルタリングルールに対応すると判定したことに基づいて、前記第2のパケットを、前記セキュリティポリシーに関連するパケットゲートウェイに送信する。
【請求項13】
前記命令は、前記1つまたは複数のプロセッサによって実行されるとき、前記モバイルデバイスに以下のことを行わせる、請求項8に記載のモバイルデバイス。
前記第2のパケットの第2の属性が、前記更新された少なくとも1つのポリシーの確率的データ構造において表現された新しいパケットフィルタリングルールに対応するという判定に基づいて、前記第2のパケットに関連するログを生成すること、および
前記ログを、前記セキュリティポリシーに関連する少なくとも1つのネットワークセキュリティデバイスに送信すること。
前記第2のパケットの第2の属性が、前記更新された少なくとも1つのポリシーの確率的データ構造において表現された新しいパケットフィルタリングルールに対応するという判定に基づいて、前記第2のパケットに関連するログを生成すること、および
前記ログを、前記セキュリティポリシーに関連する少なくとも1つのネットワークセキュリティデバイスに送信すること。
【請求項14】
前記命令は、前記1つまたは複数のプロセッサによって実行されるとき、前記モバイルデバイスに、以下のことを行わせる、請求項8に記載のモバイルデバイス。
少なくとも1つのネットワークセキュリティデバイスに、前記第1のパケットが前記セキュリティポリシーに関連付けられたパケットゲートウェイに送信されたという指示を送信すること、ここにおいて前記命令は、前記1つまたは複数のプロセッサによって実行されるとき、前記モバイルデバイスに、前記指示の送信に応答して前記新しいパケットフィルタリングルールを受信させることによって、前記新しいパケットフィルタリングルールを受信させる。
少なくとも1つのネットワークセキュリティデバイスに、前記第1のパケットが前記セキュリティポリシーに関連付けられたパケットゲートウェイに送信されたという指示を送信すること、ここにおいて前記命令は、前記1つまたは複数のプロセッサによって実行されるとき、前記モバイルデバイスに、前記指示の送信に応答して前記新しいパケットフィルタリングルールを受信させることによって、前記新しいパケットフィルタリングルールを受信させる。
【請求項15】
モバイルデバイスに実行させる以下の命令を記憶した1つまたは複数の非一時的なコンピュータ可読媒体。
セキュリティポリシーの複数のパケットフィルタリングルールの各々を表す少なくとも1つのポリシー確率的データ構造を受信すること、
第1のパケットの第1の属性が、前記少なくとも1つのポリシー確率的データ構造に表された第1のパケットフィルタリングルールに対応すると判定したことに基づいて、前記第1のパケットを前記セキュリティポリシーに関連付けられたパケットゲートウェイに送信すること、
前記第1のパケットを前記パケットゲートウェイに送信した後、新しいパケットフィルタリングルールを受信すること、
前記新しいパケットフィルタリングルールを表すために、前記少なくとも1つのポリシー確率的データ構造を更新すること、および
第2のパケットの第2の属性が、前記更新された少なくとも1つのポリシー確率的データ構造で表現された前記新しいパケットフィルタリングルールに対応すると判定したことに基づいて、第2のパケットのフィルタリングをさせることであって、前記少なくとも1つのポリシー確率的データ構造は、前記更新の前に、前記第2の属性を有するパケットを許可するように構成されている。
セキュリティポリシーの複数のパケットフィルタリングルールの各々を表す少なくとも1つのポリシー確率的データ構造を受信すること、
第1のパケットの第1の属性が、前記少なくとも1つのポリシー確率的データ構造に表された第1のパケットフィルタリングルールに対応すると判定したことに基づいて、前記第1のパケットを前記セキュリティポリシーに関連付けられたパケットゲートウェイに送信すること、
前記第1のパケットを前記パケットゲートウェイに送信した後、新しいパケットフィルタリングルールを受信すること、
前記新しいパケットフィルタリングルールを表すために、前記少なくとも1つのポリシー確率的データ構造を更新すること、および
第2のパケットの第2の属性が、前記更新された少なくとも1つのポリシー確率的データ構造で表現された前記新しいパケットフィルタリングルールに対応すると判定したことに基づいて、第2のパケットのフィルタリングをさせることであって、前記少なくとも1つのポリシー確率的データ構造は、前記更新の前に、前記第2の属性を有するパケットを許可するように構成されている。
【請求項16】
前記少なくとも1つのポリシー確率的データ構造は、ブルームフィルタまたはカッコウフィルタとされている、請求項15に記載の非一時的コンピュータ可読媒体。
【請求項17】
前記命令は実行されると、前記モバイルデバイスに、前記第2のパケットを破棄 (drop) させることによって、前記第2のパケットのフィルタリングをさせる、請求項15に記載の非一時的コンピュータ可読媒体。
【請求項18】
前記命令は実行されると、前記モバイルデバイスに、前記第2のパケットに対するルールアクションを実行させることによって、前記第2のパケットのフィルタリングをさせる、請求項15に記載の非一時的コンピュータ可読媒体。
【請求項19】
前記命令は実行されると、前記モバイルデバイスに以下のことを行わせることにより、前記第2のパケットのフィルタリングを行わせる、請求項15に記載の非一時的コンピュータ可読媒体。
前記第2のパケットの前記第2の属性が、前記第2の確率的データ構造において表現される前記第2のパケットフィルタリングルールに対応すると判定したことに基づいて、前記第2のパケットを、前記セキュリティポリシーに関連するパケットゲートウェイに送信すること。
前記第2のパケットの前記第2の属性が、前記第2の確率的データ構造において表現される前記第2のパケットフィルタリングルールに対応すると判定したことに基づいて、前記第2のパケットを、前記セキュリティポリシーに関連するパケットゲートウェイに送信すること。
【請求項20】
前記命令は実行されると、前記モバイルデバイスに以下のことを行わせる、請求項15に記載の非一時的コンピュータ可読媒体。
前記第2のパケットの第2の属性が、更新された少なくとも1つのポリシー確率的データ構造において表現された新しいパケットフィルタリングルールに対応するという判定に基づいて、前記第2のパケットに関連するログを生成すること、および
前記ログを、前記セキュリティポリシーに関連付けられた少なくとも1つのネットワークセキュリティデバイスに送信すること。
前記第2のパケットの第2の属性が、更新された少なくとも1つのポリシー確率的データ構造において表現された新しいパケットフィルタリングルールに対応するという判定に基づいて、前記第2のパケットに関連するログを生成すること、および
前記ログを、前記セキュリティポリシーに関連付けられた少なくとも1つのネットワークセキュリティデバイスに送信すること。
【発明の詳細な説明】
【技術分野】
【0001】
この特許文書の開示の一部分には、著作権保護の対象となる資料が含まれている。本著作権所有者は、特許商標庁の特許ファイルまたは記録に記載されているように、特許文書または特許開示のいかなる人による複製にも異議を唱えることはないが、それ以外の場合は一切のすべての著作権を留保する。
【0002】
関連出願の相互参照
本出願は、２０１９年７月３日に出願された米国非仮特許出願第１６／５０２，５６５号の優先権を主張し、その内容全体が、参照により本明細書に明示的に組み込まれる。
本出願は、２０１９年７月３日に出願された米国非仮特許出願第１６／５０２，５６５号の優先権を主張し、その内容全体が、参照により本明細書に明示的に組み込まれる。
【0003】
本明細書で説明する発明の開示の態様は、一般に、コンピュータのハードウェア、ソフトウェア、およびネットワークセキュリティに関する。特に、本開示の１つまたはそれ以上の態様は、一般に、モバイルデバイスの効率的なサイバー保護のためのコンピュータのハードウェアおよびソフトウェアに関する。
【背景技術】
【0004】
情報時代が進むにつれ、ネットワークセキュリティはますます重要になっている。ネットワークの脅威／攻撃は様々な形態（例えば、不正な要求またはデータ転送、ウイルス、マルウェア、リソースを圧倒するように設計された大量のトラフィックなど）を採り得る。これらの脅威の多くは、インターネットを使用して、次のように企業コンピュータのリソース／資産にアクセスして攻撃する。デスクトップコンピュータ、オンプレミスまたはクラウドの企業アプリケーションサーバ、公開されているウェブサーバなどの静止または固定の企業ホストは、企業が所有および／または運用ならびに管理するプライベートＴＣＰ／ＩＰネットワークに直接接続され得る。これらの企業ネットワークは、今度は、インターネットに直接接続されているため、（ａ）個々の企業の地理的に分散したプライベートネットワークおよび関連する資産は、インターネットを使用して相互接続することによって互いにアクセスすることができ、（ｂ）個々の企業のホストは、他の公的にアドレス指定されたインターネット接続ホスト（例えば、パブリックウェブサーバおよびアプリケーションサーバ）にアクセスすることができ、（ｃ）他のインターネット接続ホストは、企業の公開されているホスト（ｅコマースウェブサーバなど）にアクセスすることができる。しかしながら、インターネット接続ホストには、悪意のあるアクターによって所有、運用、またはさもなければ制御されているホストが含まれ得る。これらの悪意のあるアクターは、インターネットを使用して、企業の公開されているホストにアクセスして攻撃するだけでなく、可能であるとき、例えば、企業がそのプライベート資産を保護するために使用するネットワーク周辺防御構造の破壊を遂行できたとき、企業のプライベートリソースを攻撃する。
【0005】
企業がその固定／静止ネットワーク資産をインターネットの脅威から保護するための従来のアプローチは、企業ネットワークの周辺または境界としても知られるインターネットアクセスポイントにおいてそのプライベートネットワークをセキュアにすることである。企業は、どのネットワークトラフィックが、（例えば、企業ネットワークに直接接続されているかまたは企業ネットワーク内にあるホストから発信され、インターネットホストのほうを宛先とするか、あるいは逆に、インターネットホストから発信され、企業ネットワークに接続されているホストのほうを宛先とする）いずれかの方向に境界を越えることを許可されているかを指定するセキュリティポリシーを定義する。セキュリティポリシーは、ネットワークファイアウォール、ウェブプロキシ、ＳＳＬ／ＴＬＳプロキシ、侵入防止システム（ＩＰＳ）、（帯域外で提供され得る）侵入検知システム（ＩＤＳ）、脅威イン
テリジェンスゲートウェイ（ＴＩＧ）など、インターネットアクセスポイントにあるかまたはその近くにある様々なデバイスによって施行される。このデバイスのコレクションは、セキュリティスタックまたは企業ネットワークセキュリティスタックと呼ばれ得る。セキュリティスタックによって提供される保護の有効性は、ネットワークセキュリティポリシーの品質、範囲、および忠実度と、併せて、ネットワークパフォーマンスを許容不能なレベルに低下させることなくポリシーを効率的に施行するデバイスの能力と、によって、判定され得る。
テリジェンスゲートウェイ（ＴＩＧ）など、インターネットアクセスポイントにあるかまたはその近くにある様々なデバイスによって施行される。このデバイスのコレクションは、セキュリティスタックまたは企業ネットワークセキュリティスタックと呼ばれ得る。セキュリティスタックによって提供される保護の有効性は、ネットワークセキュリティポリシーの品質、範囲、および忠実度と、併せて、ネットワークパフォーマンスを許容不能なレベルに低下させることなくポリシーを効率的に施行するデバイスの能力と、によって、判定され得る。
【0006】
しかしながら、従来の企業セキュリティスタックでは、企業ユーザの個人用モバイルスマートフォン、ポータブルタブレット、ポータブルデスクトップなど、企業のモバイルホスト／デバイスをインターネットの脅威から保護することが不可能であり得る。これは、そのようなデバイスが、セルラネットワークおよびＷｉ－Ｆｉネットワークなどの無線アクセスネットワークを介してインターネットに直接接続し得るためである。このようなシナリオでは、これらのモバイルデバイスは、インターネットホストと直接通信し得るが、企業セキュリティスタックを介して関連するネットワークトラフィックをフィルタリングすることはない。したがって、悪意のあるインターネットホストおよびアクターは、モバイルデバイスを容易に攻撃することができ、かつモバイルデバイスをマルウェアに容易に感染させることができるか、またはさもなければモバイルデバイス上のリソースおよびアプリケーションを制御し得る。さらに、モバイルデバイスは、悪意のあるアクターが企業ネットワークに侵入し、企業の固定ネットワーク資産を攻撃するための侵入手段として機能し得る。例えば、企業モバイルデバイスおよび／またはそのデバイスがホストするアプリケーションは、セキュリティスタックの背後にある企業アプリケーションサーバへの特権的および許可されたアクセスを有し得る。別の例として、モバイルユーザは、Ｗｉ－Ｆｉアクセスポイントを介して自分のモバイルデバイスを企業ネットワークに直接取り付け得る。これらの例の両方において、悪意のあるアクターは、企業ネットワーク資産に直接かつ自由にアクセスし得る。次に、悪意のあるアクターは、セキュリティスタックの背後にある資産へのモバイルデバイスのアクセスを利用して、企業資産を攻撃し得る。
【0007】
企業のモバイル資産をセキュアにするための従来のアプローチは、（ａ）各企業モバイルデバイスと、企業セキュリティスタックの背後にあるトンネルゲートウェイとの間にトンネルを構成する（セキュアにする）こと、および（ｂ）モバイルデバイスのインターネット通信のほとんどまたはすべてをトンネル経由で送信すること、である。通信がトンネルゲートウェイを出るとき、通信は、企業セキュリティスタックを介して送信され得る。企業セキュリティポリシーは、インターネットホストに向かう途中で通信に適用され得る。インターネットホストから発信された任意の応答通信は、セキュリティスタックを介して同様にフィルタリングされ得る。しかしながら、このアプローチには、複数の実際的な問題があり、それは、企業がそれを使用しない可能性、および／またはモバイルデバイスユーザがそれを拒否する可能性があり、その結果、企業は、モバイルデバイスを、したがって企業のネットワーク資産をインターネットの脅威から効果的にセキュアにしない可能性がある。
【0008】
最も困難な問題のうちの１つは、セキュリティスタックを介してトラフィックをフィルタリングして、インターネットの脅威に関連付けられ得る通信を検出することができる、モバイルデバイスのインターネットトラフィックの実質的にすべてをトンネルゲートウェイにトンネリングして戻すことの非効率性である。通常、企業のモバイルデバイスから発信されたインターネット通信のごく少数の割合のみがインターネットの脅威と通信しているため、この脅威に関連するトラフィックのみをフィルタリングする必要がある。また、企業の従業員がますますモバイルになり、企業ユーザが、個人的通信と仕事／企業通信の両方のために自分自身の個人用モバイルデバイス（例えば、スマートフォン）を使用すること、「自分自身のデバイスの持ち込み」または「ＢＹＯＤ」と呼ばれる市場現象を圧倒
的に好むため、モバイルデバイスのインターネットトラフィックの多くは、個人的通信（例えば高帯域幅のビデオ）であり得、これは、（ａ）企業にとって脅威ではなく、（ｂ）ユーザが企業のセキュリティポリシーおよび会社の使用ポリシーに不必要に従うことを希望しないプライベート通信である。また、地域のプライバシー保護法または規制は、企業がこれらの個人的通信をフィルタリングすることを許可されているかどうかを考慮に入れ得る。したがって、モバイルデバイスのトラフィックをセキュアにするために使用される企業ネットワークリソースが、無駄になり得る。また、モバイルデバイスは、正当なおよび／または良性のトラフィックを不必要に暗号化およびトンネリングすることにより、バッテリ電源を含む多くのリソースを無駄にし得る。さらに高い帯域幅、アプリケーションによるさらに多くの帯域幅消費、およびモバイルデバイスによるさらに多くのリソース消費を提供する次世代のセルラネットワークが展開されるにつれて、モバイルデバイスのインターネットトラフィックおよび関連する企業ネットワークを従来の方法でセキュアにするコストおよび他の非効率性が増加し、法外になり得ることが予想される。
的に好むため、モバイルデバイスのインターネットトラフィックの多くは、個人的通信（例えば高帯域幅のビデオ）であり得、これは、（ａ）企業にとって脅威ではなく、（ｂ）ユーザが企業のセキュリティポリシーおよび会社の使用ポリシーに不必要に従うことを希望しないプライベート通信である。また、地域のプライバシー保護法または規制は、企業がこれらの個人的通信をフィルタリングすることを許可されているかどうかを考慮に入れ得る。したがって、モバイルデバイスのトラフィックをセキュアにするために使用される企業ネットワークリソースが、無駄になり得る。また、モバイルデバイスは、正当なおよび／または良性のトラフィックを不必要に暗号化およびトンネリングすることにより、バッテリ電源を含む多くのリソースを無駄にし得る。さらに高い帯域幅、アプリケーションによるさらに多くの帯域幅消費、およびモバイルデバイスによるさらに多くのリソース消費を提供する次世代のセルラネットワークが展開されるにつれて、モバイルデバイスのインターネットトラフィックおよび関連する企業ネットワークを従来の方法でセキュアにするコストおよび他の非効率性が増加し、法外になり得ることが予想される。
【0009】
したがって、企業のネットワークセキュリティポリシーを使用して企業のモバイル資産を効率的にセキュアにし、それによって、企業のネットワーク資産をインターネットの脅威から保護する必要性が存在する。
【発明の概要】
【0010】
以下は、本開示のいくつかの態様の基本的な理解を提供するための簡略化された概要を提示する。これは、本開示の主要なまたは重要な要素を特定することも、本開示の範囲を定めることも意図されていない。以下の概要は、以下の説明の前置きとして、本開示のいくつかの概念を簡略化した形式で提示するに過ぎない。
【0011】
本開示の態様は、モバイルデバイスおよびそれらに関連する企業ネットワークをインターネットの脅威から効率的にセキュアにすることに関連している。モバイルデバイスは、インターネットの脅威に関連付けられ得るモバイルデバイス通信トラフィックを識別し得、そのような識別されたトラフィックのみをトンネルゲートウェイにトンネリングして、企業セキュリティスタックによってフィルタリングし得る。
【0012】
インターネットの脅威に関連する通信の識別は、多くのサイバー脅威インテリジェンス（ＣＴＩ）プロバイダ組織から入手可能なＣＴＩのデータベースまたはデータ構造を活用し得る。このＣＴＩは、インジケータ、脅威インジケータ、または侵入インジケータ（ＩｏＣ）を含み得る。ＣＴＩは、脅威アクターによって制御／操作され得るか、またはさもなければ悪意のある活動に関連付けられ得るリソースの（ＩＰアドレス、ＩＰアドレス範囲、Ｌ４ポートおよび関連するＬ３プロトコルタイプ、ドメイン名、ＵＲＩなどの形式の）インターネットネットワークアドレスを含み得る。ＣＴＩインジケータ／脅威インジケータには、一部のＴＣＰ／ＩＰ通信をセキュアにするために使用される証明書および関連する認証局の識別子も含まれ得る（例えば、ＨＴＴＰを介したセッションをセキュアにするためにＴＬＳプロトコルによって使用されるＸ．５０９証明書）。
【0013】
アクティブな通信がインターネットの脅威に関連付けられ得るかどうかを判定するために、通信を含む転送中のパケットは、例えば、脅威インジケータで満たされたデータベースまたはデータ構造から生成されたパケットフィルタリングルールを適用するパケットフィルタリングデバイスによって、脅威インジケータで満たされたデータベースまたはデータ構造と比較され得る。パケットの値とデータベースまたはデータ構造内の脅威インジケータとの間で一致が判定された場合、一連の保護アクションまたはパケット変換機能（ＰＴＦ）のうちの少なくとも１つが、パケットに適用され得る。これらの保護アクション／ＰＴＦには、パケットのドロップ、パケットが目的の宛先に進むことの許可、パケットの監視（パケットのログ記録およびキャプチャ、またはパケットのログ記録および転送が含
まれ得る）、目的の宛先へのパケットのミラーリング、ならびに監視またはテストのための別のネットワークデバイスへのパケットのミラーリング、パケットのリダイレクト、対応する応答パケットの生成などが含まれ得る。
まれ得る）、目的の宛先へのパケットのミラーリング、ならびに監視またはテストのための別のネットワークデバイスへのパケットのミラーリング、パケットのリダイレクト、対応する応答パケットの生成などが含まれ得る。
【0014】
保護アクション／ＰＴＦは、インジケータを提供した関連ＣＴＩＰによって提供される脅威インテリジェンスデータまたは脅威メタデータによって部分的に判定され得る。ＣＴＩＰは、ＣＴＩインジケータを、非バイナリの脅威リスク値に関連付け得る。例えば、インジケータのリスクは、関連するパケットまたは通信が攻撃の一部であるという確率または可能性として表されるか、それに関連付けられ得る。このような脅威リスク値は、一致するパケットに適用され得る保護アクション／ＰＴＦの判定に考慮され得る。例えば、パケットに関連するほぼ１００％の脅威リスクがある場合、パケットは、攻撃の一部である可能性が非常に高いため、ドロップされ得る。パケットはまた、ログ記録され、キャプチャされ、脅威／攻撃を認識している必要がある当局に警告され得る。逆に、パケットに関連する脅威リスクがほぼ０％の場合、パケットは、攻撃の一部である可能性が低いため、宛先に向かって進むことが可能にされ得る。別の例として、パケットのリスクの可能性が５０％の場合、パケットは目的の宛先に進むことが可能にされ得るが、パケットはまた、ログ記録またはキャプチャされるか、あるいはリスクが、指定された当局へのアラートで識別され得、当局は、パケットおよび関連する通信をさらに分析して、パケット／通信が攻撃の一部であったかどうかを判定する。リスク値の推定、および関連するアクション／ＰＴＦ、またはネットワーク保護アクションの選択は、関連するＣＴＩＰによって提供され得る脅威メタデータ（例えば、攻撃の種類、攻撃の属性など）、同じインジケータを提供したＣＴＩＰの数、どのＣＴＩＰがインジケータを提供したか、インジケータの忠実度、パケットの発信者の地理的位置、保護されている関連ネットワークの管理者の設定などを含む、いくつかの変数の関数であり得る。
【0015】
ポリシー作成および管理システムは、（ａ）１つまたはそれ以上のＣＴＩＰからＣＴＩおよび関連するメタデータを受信し得、（ｂ）脅威インジケータを集約（例えば、重複する情報をマージおよび削除）し得、（ｃ）脅威インジケータごとにパケットフィルタリングルールを作成し得、（ｄ）パケットフィルタリングルールのすべてをポリシーにまとめ得、（ｅ）ネットワークファイアウォールおよび脅威インテリジェンスゲートウェイ（ＴＩＧ）などのサブスクライブするポリシー施行デバイスにポリシーを配布し得る。ステップ（ｃ）において、パケットフィルタリングルールを作成するとき、各ルールは、（１）パケット一致基準、例えば、パケットフィールドと値のペア、ここで、値はＣＴＩインジケータである、および（２）ルールの基準に一致するパケットに適用されるパケット処置、またはネットワーク保護アクション、またはＰＴＦを指定し得る。パケットフィルタリングルールの構文は、ポリシー施行デバイスによって指定され得る。構文は、ＢＳＤ ＰＦまたはｉｐｔａｂｌｅｓなどの商用ファイアウォールの構文と同じまたは類似であり得る。パケット処置／アクション／ＰＴＦは、ポリシー作成論理によって指定でき、ポリシー作成論理は、上記で説明されたように、ＣＴＩＰが提供する脅威メタデータ、管理者設定などを考慮に入れることができる。ポリシー作成および管理システムは、モバイルアプリケーションに統合し得る。モバイルアプリケーションは、集中型サーバから生成されたポリシーの更新をインストールして受信するように構成することもできる。
【0016】
ＣＴＩから導出したポリシーのサイズは、開示された方法およびシステムを考慮に入れ得る。最も効果的なネットワーク保護を提供するには、多くの異なる独立したＣＴＩＰからのＣＴＩを使用してポリシーを導出する必要がある。ＣＴＩＰは、例えば、攻撃の種類、市場セグメント、脅威メタデータの品質、インジケータの種類、忠実度によって差別化され得るため、独立したＣＴＩＰによって提供されるインジケータ間にはほとんど重複がない場合がある。任意の２つの独立したＣＴＩＰによって提供される２セットの脅威インジケータの場合、セットの共通部分は、比較的小さいか、またはヌルでさえあり得る。し
たがって、アクティブな脅威通信を監視する可能性を最大限に高めるには、可能な限り多くの独立したＣＴＩＰから利用可能なＣＴＩを使用してポリシーを導出する必要がある。これにより、ポリシーが非常に大きくなり得る。例えば、多くの独立したＣＴＩＰから作成されたＣＴＩから導出したポリシーのサイズは、５００万のパケットフィルタリングルールになる可能性がある。しかしながら、インターネットの脅威の範囲は急速に拡大し続けており、したがって、ＣＴＩＰはより多くのＣＴＩを生成し続けている。したがって、将来の保証のために、フィルタリングシステムは、有効なＣＴＩから導出したポリシーのサイズの桁の増加を処理するように設計されて、１，０００万～５，０００万のパケットフィルタリングルールの範囲を含む可能性がある。
たがって、アクティブな脅威通信を監視する可能性を最大限に高めるには、可能な限り多くの独立したＣＴＩＰから利用可能なＣＴＩを使用してポリシーを導出する必要がある。これにより、ポリシーが非常に大きくなり得る。例えば、多くの独立したＣＴＩＰから作成されたＣＴＩから導出したポリシーのサイズは、５００万のパケットフィルタリングルールになる可能性がある。しかしながら、インターネットの脅威の範囲は急速に拡大し続けており、したがって、ＣＴＩＰはより多くのＣＴＩを生成し続けている。したがって、将来の保証のために、フィルタリングシステムは、有効なＣＴＩから導出したポリシーのサイズの桁の増加を処理するように設計されて、１，０００万～５，０００万のパケットフィルタリングルールの範囲を含む可能性がある。
【0017】
ＣＴＩから導出したポリシーのダイナミクスも、説明されている方法およびシステムを考慮に入れ得る。例えば、悪意のあるアクターが、新しい脅威インジケータを使用して新しい攻撃を継続的かつ迅速に作成しているため、ＣＴＩは継続的に変化する。脅威インジケータはまた、６０～１８０日後に「期限切れ」になり、リスクがあると見なされなくなる可能性があり得る。また、ＣＴＩＰは、ＣＴＩ更新の頻度によって区別され得る。したがって、ＣＴＩから導出したポリシーは、有効性を維持するために頻繁に更新する必要がある。実際には、ＣＴＩから導出したポリシー配布の頻度は、毎週、毎日、または毎時間であり得る。
【0018】
ルールの一致基準のインジケータによるポリシー内の各ルールの特徴付けも、開示された方法およびシステムを考慮に入れ得る。このプロパティは、ポリシーを検索する前に、パケットデータがポリシー内の何らかのルールに一致するかどうかを判定するためのテストによって活用され得る。
【0019】
ＣＴＩデータベースのサイズおよびダイナミクスにより、ネットワークを保護するためのＣＴＩの使用は、ポリシー作成とポリシー施行の両方の自動化の恩恵を受け得る。ポリシー施行の自動化では、ネットワークファイアウォールなど、転送中のネットワークトラフィックにパケットフィルタリングルールを適用し得る任意のネットワークデバイスが、ポリシー施行機能を潜在的に実行し得る。ネットワークを保護するためにＣＴＩを適用するには、ポリシー施行デバイスは、（ａ）大幅なレイテンシまたは（例えば大きいレイテンシによって引き起こされるバッファオーバーフローによる）パケット損失なしに、高速インターネットアクセスリンク（例えば１０Ｇ）上の転送中のネットワークトラフィックに、数百万のパケットフィルタリングルールで構成される非常に大きいポリシーを適用すること、（ｂ）例えば、ＩＰアドレス、ＩＰアドレス範囲、５タプル、ドメイン名、ＵＲＩ、Ｘ．５０９証明書など、一致基準に様々な種類のインジケータを使用してパケットフィルタリングルールを適用すること、（ｃ）パケット転送サービスを失うことまたはセキュリティ／保護を失うことなく、現在施行されている非常に大きいポリシーを新しく非常に大きいポリシーで迅速かつ頻繁に更新すること、ならびに（ｄ）例えば、例えばセキュリティ情報およびイベント管理（ＳＩＥＭ）アプリケーションおよびパケットアナライザアプリケーションを使用して通信をサイバー分析できるように、パケットをログ記録およびキャプチャすること、の能力を備えていることが有益である。
【0020】
ＣＴＩから導出したポリシーを使用してモバイルデバイスおよび関連ネットワークを保護するための１つの潜在的なアプローチは、エンドポイントモバイルデバイス上にポリシー施行機能を配置することである。Ａｎｄｒｏｉｄ（登録商標）などのモバイルデバイスオペレーティングシステムには、エンドポイントモバイルデバイスによって発信および受信されたトラフィックに、ＣＴＩから導出したパケットフィルタリングルールを適用することができる、ネットワークファイアウォール機能（例えばＡｎｄｒｏｉｄ（登録商標）のｉｐｔａｂｌｅｓ）が含まれている。ただし、ｉｐｔａｂｌｅｓ、ならびに従来のネットワークファイアウォール、およびいわゆる「次世代」ファイアウォールは、ＣＴＩから
導出したルールで構成されているとき、ＣＴＩから導出したポリシー施行機能で識別できるが、このようなファイアウォールは通常、ネットワークゲートウェイの上記の機能のすべてを有するわけではない。さらに、従来のモバイルデバイスは一般に、ネットワークゲートウェイの能力をサポートするのに十分なプロセッサおよびメモリの要件を欠いている。また、モバイルデバイスは通常、バッテリに蓄えられた電力を節約するために、処理負荷を最小限に抑え、したがって、電力消費を最小限に抑える。したがって、モバイルデバイス上で効果的なポリシー施行機能を見つけるこの潜在的なアプローチは、非現実的であり得る。
導出したルールで構成されているとき、ＣＴＩから導出したポリシー施行機能で識別できるが、このようなファイアウォールは通常、ネットワークゲートウェイの上記の機能のすべてを有するわけではない。さらに、従来のモバイルデバイスは一般に、ネットワークゲートウェイの能力をサポートするのに十分なプロセッサおよびメモリの要件を欠いている。また、モバイルデバイスは通常、バッテリに蓄えられた電力を節約するために、処理負荷を最小限に抑え、したがって、電力消費を最小限に抑える。したがって、モバイルデバイス上で効果的なポリシー施行機能を見つけるこの潜在的なアプローチは、非現実的であり得る。
【0021】
モバイルデバイスの限られた処理能力およびバッテリ電力節約の問題に対処するために、セキュリティスタックを備えたポリシー施行機能（例えば、ＴＩＧ）が、企業ネットワークのインターネットアクセスポイントにおいて提供され得、また、各モバイルデバイスからのインターネットトラフィックのすべてを、セキュリティスタックの背後にあるトンネルゲートウェイにトンネリングする代わりに、システムは、各モバイルデバイスから、ＴＩＧによって施行されるＣＴＩから導出したポリシー内のパケットフィルタリングルールに一致し得るインターネットトラフィックのみをトンネリングし得る。システムは、各モバイルデバイス上で、どのインターネットトラフィックパケットが、企業ネットワーク内にある（リモート）ＴＩＧによって施行されるポリシー内のパケットフィルタリングルールに一致するかを効率的に判定する論理をローカルで実行し得る。
【0022】
どのインターネットトラフィックパケットがポリシー内のパケットフィルタリングルールに一致するかを効率的に判定するために、ＣＴＩから導出したポリシー内の各ルールを脅威インジケータで特徴付けることができる。脅威インジケータは、フィルタリングルールの一致基準として使用できる。モバイルデバイスは、特徴付け脅威インジケータによってセキュリティポリシー内の各ルールを表すデータ構造を利用して、インターネットトラフィックパケットがポリシー内のルールと一致するかどうかを判定し得る。ポリシー全体を表すために、システムは、ポリシー内の各ルールを特徴付ける、ＩＰアドレス、ドメイン名、ＵＲＩ、証明書ＩＤなどのインジケータのすべてを収集し、そのような各インジケータを、例えば、要素（例えばＩＰアドレス、ドメイン名、ＵＲＩ、証明書ＩＤなど）がセットのメンバーであるかどうかを判定するためにテストされ得るセットデータ構造に挿入し得る。データ構造は、ポリシー管理サーバによって生成され得、各モバイルデバイスに配布され得、ポリシーによって保護され得る各モバイルデバイスに記憶され得る。モバイルデバイスがインターネットトラフィックパケットを発信または受信すると、モバイルデバイス上のコンピュータ論理および／またはアプリケーションは、ＩＰアドレス、ドメイン名、ＵＲＩ、証明書ＩＤなど、データ構造内の脅威インジケータに対応し得るパケットに含まれるいずれかの要素を抽出し得、データ構造をテストして、いずれかのそのような要素がデータ構造のセットのメンバーであるかどうかを判定し得る。テストが、いずれかのパケット要素が脅威インジケータのセットのメンバーであることが示す場合、パケット、またはパケットのコピーは、企業プライベートネットワーク内にあるトンネルゲートウェイにトンネリングされ得る。トンネルゲートウェイを出ると、パケットはＴＩＧに送信され得、ＴＩＧは、ポリシーを介してパケットをフィルタリングして、どのパケットフィルタリングルールがパケットに一致するかを判定し得る。一致するルールがＴＩＧによるポリシーテストによって判定されると、ネットワークを保護するために、ルールに関連付けられたアクションまたはＰＴＦがパケットに適用され得る。アクションまたはＰＴＦによって、パケットがインターネットのほうに転送される場合、パケットは、関連するセキュリティスタックを通過し得る。
【0023】
データ構造は、空間と時間の両方に関して効率的であることが好ましい。ポリシー内のルールを特徴付ける要素のセットまたは脅威インジケータを記憶するために必要なメモリは、モバイルデバイス上の使用可能なメインメモリに比べて小さくなければならず、メン
バーシップテスト機能および要素挿入機能は、理論と実践の両方において高速で効率的である必要がある。参照により本明細書に組み込まれる、２０１９年４月３０日に出願された米国特許出願第１６／３９９，７００号に記載されているように、ブルームフィルタと呼ばれる確率的データ構造は、これらの基準を満たし得る。ブルームフィルタは、セットの要素を空間効率的に記憶し、要素をセットに時間効率的に挿入し、時間効率的にテストして、要素がセットのメンバーであり得るかどうかを判定し得る。ブルームフィルタは、偽陽性率Ｐによってパラメータ化され、これは、要素が実際にはセットのメンバーではないときに、要素のセットメンバーシップテストがＴｒｕｅを返す確率である。ブルームフィルタの場合、偽陰性率はゼロである。つまり、要素のセットメンバーシップテストがＦａｌｓｅを返す場合、その要素がセットのメンバーではないことは確かである。
バーシップテスト機能および要素挿入機能は、理論と実践の両方において高速で効率的である必要がある。参照により本明細書に組み込まれる、２０１９年４月３０日に出願された米国特許出願第１６／３９９，７００号に記載されているように、ブルームフィルタと呼ばれる確率的データ構造は、これらの基準を満たし得る。ブルームフィルタは、セットの要素を空間効率的に記憶し、要素をセットに時間効率的に挿入し、時間効率的にテストして、要素がセットのメンバーであり得るかどうかを判定し得る。ブルームフィルタは、偽陽性率Ｐによってパラメータ化され、これは、要素が実際にはセットのメンバーではないときに、要素のセットメンバーシップテストがＴｒｕｅを返す確率である。ブルームフィルタの場合、偽陰性率はゼロである。つまり、要素のセットメンバーシップテストがＦａｌｓｅを返す場合、その要素がセットのメンバーではないことは確かである。
【0024】
ブルームフィルタをモバイルデバイスによって使用して、ＩＰアドレス、ドメイン名、またはインターネットトラフィックパケットから抽出されたＵＲＩなどのパケット要素が、ポリシー内のルールを特徴付けるすべてのインジケータのセットのメンバーであるかどうかを効率的に判定し得る。例えば、サイズが約９Ｍバイトのブルームフィルタは、偽陽性率Ｐ＝１０－３、または１０００分の１のとき、ＩＰアドレス、ドメイン名、およびＵＲＬインジケータのすべてを、ＣＴＩＰが提供する脅威インジケータの同様の数（例：５００万）から導出した約５００万のパケットフィルタリングルールで構成される実際のポリシーに記憶するのに十分であり得る。５００万個の要素を含むブルームフィルタを迅速にテストして、所与のパケット要素（ＩＰアドレス、ドメイン名、ＵＲＬなど）がメンバーであるかどうかを（通常は１マイクロ秒未満で）判定し得る。このまたは任意のブルームフィルタの場合、空間／メモリおよびメンバーシップテスト時間の要件は、Ｐの対数の大きさによって異なり、したがって、例えば、Ｐ＝１０－３を１０００分の１のＰ＝１０－６に減らすか、または１００万分の１にすると、空間および時間の要件は２倍に（例えば、この例では約１８ＭＢに）なる。現在の多くのモバイルスマートフォンは、１～４ＧＢのメインメモリを有し得、したがって、例示的な９ＭＢブルームフィルタは、メインメモリの１％未満を占め得る。ＣＴＩから導出したポリシーのサイズが大幅に増加し、それに含まれるパケットフィルタリングルールまたは脅威インジケータの数で測定される場合、関連するブルームフィルタのサイズが問題になる場合は、ブルームフィルタのサイズを低減するために、偽陽性率を増加させ得る。
【0025】
ブルームフィルタのデータ構造（以降、「Ｂ／Ｆ」と略記することがある）は、本開示の説明において使用されるが、この選択は例示的なものであり、決して限定的または制限的であることを意味するものではない。要素のセットを記憶し、要素をセットに挿入し、かつセット内の要素のメンバーシップをテストするための十分かつ同様の時間および空間の効率を備えた任意のデータ構造を使用し得る。例えば、カッコウ(Cuckoo)フィルタは、ブルームフィルタ（Ｂ／Ｆ）と同様の時間および空間の効率があり、セットから要素を効率的に削除または除去する機能もあり、これは、標準のブルームフィルタにはない機能であるが、削除機能をサポートするブルームフィルタ変形態が開発されている。セットから要素を効率的に削除する能力は、いくつかの適用例、実装形態、および／または実施の形態において有用であることが証明され得る。データ構造は、セットに要素を追加するためのＩｎｓｅｒｔ（）関数をサポートし得、要素のセットメンバーシップをテストするためのブール値Ｍｅｍｂｅｒ（）関数をサポートし得、セットから要素を除去するためのＤｅｌｅｔｅ（）関数をサポートし得る。データ構造は、確率的であり得、非ゼロの偽陽性率Ｐに関連付けられ得る。
【0026】
テストが、いずれかのパケット要素がセットのメンバーであることが示す場合、そのパケットは、インターネットの脅威に関連付けられていると判定される。そのため、脅威に関連するパケットは、モバイルデバイスから企業ネットワークトンネルゲートウェイにトンネリングされ得、企業ネットワークトンネルゲートウェイは、関連する企業ネットワー
クのセキュリティスタックの背後に位置し得る。使用され得るトンネリング技術および関連する方法には様々なものがあり、シナリオによっては、トンネリング技術および方法は、企業がモバイルインフラストラクチャに求める保護の種類および効率の量に一部依存し得る。以下の詳細な説明では、いくつかの例示的なトンネリング技術が使用されている。しかしながら、これらのトンネリング技術は例示的なものであり、決して制限的または限定的であることを意味するものではない。本開示の範囲から逸脱することなく本発明を実現するために、他のトンネリング技術および方法が使用され得る。
クのセキュリティスタックの背後に位置し得る。使用され得るトンネリング技術および関連する方法には様々なものがあり、シナリオによっては、トンネリング技術および方法は、企業がモバイルインフラストラクチャに求める保護の種類および効率の量に一部依存し得る。以下の詳細な説明では、いくつかの例示的なトンネリング技術が使用されている。しかしながら、これらのトンネリング技術は例示的なものであり、決して制限的または限定的であることを意味するものではない。本開示の範囲から逸脱することなく本発明を実現するために、他のトンネリング技術および方法が使用され得る。
【0027】
本開示の説明で使用される例示的なインターネット層／Ｌ３トンネリングプロトコルは、ＩＰｓｅｃトンネルモード（ＲＦＣ１４３１）である。ＩＰｓｅｃトンネルモードは、トンネリングされるパケットトラフィックを暗号化し、暗号化されたトラフィックをトランスポート層／Ｌ４パケット（ＵＤＰプロトコルまたはＴＣＰプロトコルのいずれか）のペイロードセクションに配置し、Ｌ４パケットをＩＰパケットにカプセル化し得、これにおいて、ＩＰアドレスフィールド値は、トンネルの終端のＩＰアドレスであり、モバイルデバイスおよび企業ネットワークゲートウェイのアドレスが含まれ得る。ＩＰ－ｉｎ－ＩＰ（ＲＦＣ１２０３）を含む、他のインターネット層／Ｌ３トンネリングプロトコルが使用され得る。モバイルデバイスおよびトンネルトラフィックをＶＰＮに関連付けることができるため、関連する企業ネットワークのプライベートアドレス指定スキームを使用して、トンネルトラフィックを、企業プライベートネットワーク経由でＴＩＧ、セキュリティスタック、およびインターネットにルーティングおよび／または切り替えることができる。これを行うための１つの例示的な方法は、Ｌ２ＴＰ－ｏｖｅｒ－ＩＰｓｅｃまたはＬ２ＴＰ／ＩＰｓｅｃとして知られる、ＩＰｓｅｃと組み合わせたＬ２ＴＰプロトコルを使用することである。Ｌ２ＴＰ／ＩＰｓｅｃは、２つの普及しているモバイルデバイスオペレーティングシステムであるＡｎｄｒｏｉｄ（登録商標）とｉＯＳの両方によってネイティブにサポートされている。以下の説明では、トンネリングを参照するとき、プロトコルの正確な詳細は、省略され得る。当業者は、特定のシナリオのコンテキストを使用して、詳細を推測し得る。
【0028】
モバイルデバイスは、状況に応じて企業に関連付けられ得る。つまり、デバイスは、現在の通信のプロパティに応じて、「企業モード」または「パーソナルモード」、あるいはそれらの両方で動作していると言われ得る。例えば、モバイルデバイスがインターネット脅威トラフィックを企業ネットワークにトンネリングしている場合、そのデバイスは、企業ネットワークに接続されているため、企業モードで動作している企業ホスト／エンドポイント資産と見なされ得る。モバイルデバイスがインターネットトラフィックをトンネリングしておらず、代わりに、他のインターネットホスト／エンドポイントと直接通信しているとき、それは、企業ホスト／エンドポイント資産とは見なされないため、パーソナルモードで動作していると見なされる。モバイルデバイスは、両方のモードで同時に動作している可能性がある。例えば、デバイスは、脅威のない／良性のインターネットホストと直接通信していると同時に、トンネルを介してインターネットの脅威のあるホストと間接的に通信し得る。デバイスは、インターネットの脅威のあるホストと直接通信している可能性があるが、通信のパケットのコピーを企業にトンネリングして戻す。企業ネットワークにトンネリングされたパケット、または企業ネットワークにトンネリングされたコピーされたパケットを監視して、ネットワークの脅威を判定または分析し得る。このようなパケットは、通信が攻撃であるか正当な／良性の通信であるかを判定するために、監視およびサイバー分析され得る。
【0029】
このプロセスは、ポリシーのテストを実行するための論理またはアプリケーションを備えた少なくとも１つのモバイルデバイスを構成することを含み得る。論理またはアプリケーションは、企業管理サーバからインストールできる。モバイルデバイスには、携帯電話、タブレット、ラップトップコンピュータ、またはモバイルホットスポットなどのモバイ
ルネットワーキングデバイスが含まれ得る。企業ネットワークは、ＴＩＧおよびトンネルゲートウェイで構成され得る。
ルネットワーキングデバイスが含まれ得る。企業ネットワークは、ＴＩＧおよびトンネルゲートウェイで構成され得る。
【0030】
ポリシー作成および配布管理サーバは、複数のＣＴＩＰからＣＴＩを受信し、複数のルールを含み得るＣＴＩから導出したポリシーを作成し得る。管理サーバは、複数のルールの各々を表す要素のセットに基づいてブルームフィルタＢ／Ｆを作成し得る。このようなデータ構造（以下、ＴＵＮＮＥＬ－Ｂ／Ｆと呼ぶ）には、ポリシー内の各ルールから抽出された脅威インジケータが含まれ得る。システムは、ポリシーをＴＩＧにダウンロードし、データ構造ＴＵＮＮＥＬ－Ｂ／Ｆを、企業ネットワークに関連付けられた各モバイルデバイスに、およびＴＩＧを含む他のネットワーク要素に送信し得る。
【0031】
モバイルデバイスは、インターネットホストとの通信を開始し得る。ＩＰアドレス、ドメイン名、ＵＲＩなどのアウトバウンドパケットの値は、データ構造ＴＵＮＮＥＬ－Ｂ／Ｆのメンバーシップについてテストされ得る。メンバーシップテストにおいてＴｒｕｅが返された場合、システムは、パケットを企業ネットワークにトンネリングし得る。パケットは、ＴＩＧおよびセキュリティスタックを介してフィルタリングされ得る。通信フロー内の後続のパケットの各々は、企業ネットワークにトンネリングされ、ＴＩＧおよびセキュリティスタックを介してフィルタリングされ得る。メンバーシップテストにおいてＦａｌｓｅが返された場合、システムは、パケットを企業ネットワークにトンネリングせずに、パケットをインターネットホストのほうに直接転送し得る。
【0032】
トンネルゲートウェイから出るトンネルパケットを受信すると、企業ネットワークは、パケットをＴＩＧのほうに転送し得る。ＴＩＧは、各パケットにポリシーを適用し得る。ＴＩＧが、一致するパケットフィルタリングルールを見つけると、ＴＩＧは、ルールの対応するアクション／ＰＴＦをパケットに適用し得る。アクション／ＰＴＦは、例えば、パケットをドロップし得るか、または追加のセキュリティ処理のためにパケットをセキュリティスタックに転送し得る。アクション／ＰＴＦにより、パケットがログ記録およびキャプチャし得るため、パケットおよび関連する通信をＳＩＥＭアプリケーションおよび／またはパケットアナライザアプリケーションで分析して、通信が脅威もしくは攻撃であるかどうか、または通信が良性であると判定されるかどうかを判定することができる。
【0033】
上記のプロセスには多くの可能な変形態があり、そのうちのいくつかは、「発明を実施するための形態」セクションにおいて以下に詳しく説明されている。
【図面の簡単な説明】
【0034】
本開示は、添付の特許請求の範囲において委細に指摘されている。本開示の特徴は、本明細書とともに提供される図面図を含めて、本開示全体を検討することでより明らかになるであろう。
【0035】
本明細書のいくつかの特徴は、添付の図面の図において、限定としてではなく例として示され、ここで、同様の参照番号は、同様の要素を指す。
【0036】
【図1】モバイルデバイスおよび関連する企業ネットワークの保護システムの例示的な環境を示す。
【図2】モバイルデバイスおよび関連する企業ネットワーク要素を構成するためのセキュリティポリシー作成および管理サーバの動作概念のフローチャートを示す。
【図3】モバイルデバイスおよび関連する企業ネットワークにおけるパケットフィルタリングの動作概念のフローチャートを示す。
【図4】モバイルデバイスおよび関連する企業ネットワークの非保護システムの動作概念のフローチャートを示す。
【図5】本明細書で説明される１つまたはそれ以上の例示的な態様に従って使用できる例示的なコンピュータシステムアーキテクチャを示す。
【図6】本明細書で説明される１つまたはそれ以上の例示的な態様に従って使用できる例示的なリモートアクセスシステムアーキテクチャを示す。
【発明を実施するための形態】
【0037】
本開示の様々な実施の形態の以下の説明において、添付図面が参照されるが、添付図面は、本明細書の一部を形成するものであり、そこには、本開示の態様が実施され得る様々な実施の形態が例示として示されている。本開示の範囲から逸脱することなく、他の実施の形態が利用され得、構造的および機能的な変更が行われ得ることを理解されたい。さらに、本開示の態様が実施され得る特定の適用例、プロトコル、および実施の形態が参照される。本開示の範囲から逸脱することなく、他の適用例、プロトコル、および実施の形態が利用され得、構造的および機能的な変更が行われ得ることを理解されたい。
【0038】
以下の説明では、要素間の様々な接続について考察する。これらの接続は一般的なものであり、特に明記されていない限り、直接的または間接的、有線または無線、物理的または論理的（仮想／ソフトウェア定義）であり得る。同様に、ホストおよびアプライアンスなどのネットワーク要素は、物理的または仮想的であり得る。この点において、本明細書は限定することを意図したものではない。
【0039】
本開示の実施の形態に従って、本発明の代表的な環境１００を示す図１を参照して、モバイルデバイスおよび関連する企業ネットワークの効率的なサイバー保護のためのシステムを検討する。モバイルデバイスＭＢＤＶ１０１およびＭＢＤＶ１０２は、プライベート企業ネットワークＥＮＥＴ１６０を動作させる企業と提携し得るユーザによって個人的に所有／動作されている。モバイルデバイスＭＢＤＶ１０１とモバイルデバイスＭＢＤＶ１０２はどちらも、無線アクセスネットワークＲＮＥＴ１２０およびモバイルコアネットワークＭＣＮＥＴ１５０を動作させるモバイルプロバイダに加入している。モバイルデバイスＭＢＤＶ１０１およびＭＢＤＶ１０２が携帯電話呼を行うと、シグナリングおよび通信が、モバイルコアネットワークＭＣＮＥＴ１５０を介してルーティングされ、他のモバイルプロバイダのモバイルコアネットワーク（図１に図示されず）を介してルーティングされ得る。２Ｇ以降の世代のモバイルデバイスおよびモバイルネットワークは、インターネットおよび関連するＴＣＰ／ＩＰネットワークへのアクセスをサポートする。モバイルデバイスＭＢＤＶ１０１およびＭＢＤＶ１０２は、インターネット１３０を介して、ウェブサーバＷＳＶＲ１５１およびマルウェアサーバＭＡＬＳＶＲ１５２などの公的にアドレス指定されたインターネットサーバにアクセスし得る。モバイルデバイスＭＢＤＶ１０１は、本明細書で説明されるパケットテスト、パケットフィルタリング、およびパケットトンネリングの機能を実装するモバイルデバイスセキュリティアプリケーションＭＢＬ－ＣＹＢＥＲ－ＡＰＰをダウンロードし得、インストールし得る。モバイルデバイスセキュリティアプリケーションＭＢＬ－ＣＹＢＥＲ－ＡＰＰは、本開示明細書の他の場所で説明されているように、構成、クライアントのトンネリング、ＴＵＮＮＥＬ－Ｂ／Ｆの管理、および他の機能の実行を行い得る。モバイルデバイスＭＢＤＶ１０２は、モバイルデバイスセキュリティアプリケーションＭＢＬ－ＣＹＢＥＲ－ＡＰＰをダウンロードしていないため、本開示の方法およびシステムによって保護されていない。
【0040】
プライベート企業ネットワークＥＮＥＴ１６０は、ＰＣ１６１などの内部ホストへのインターネットアクセスを提供し得る。プライベート企業ネットワークＥＮＥＴ１６０は、これらの内部ホストとインターネットホストとの間のトラフィックが、ＣＴＩから導出したポリシーを施行している脅威インテリジェンスゲートウェイＴＩＧ１７０を通過する必要があるように構成できる。トラフィックは、セキュリティスタックＳＳＴＫ１７５を通過することもあり、ＳＳＴＫ１７５には、従来のネットワークファイアウォールと、ウェ
ブプロキシ、ＳＳＬプロキシ、ＩＤＳ、ＩＰＳなどの他の企業ネットワークセキュリティデバイスとのうちの少なくとも１つが含まれ得る。脅威インテリジェンスゲートウェイＴＩＧ１７０およびセキュリティスタックＳＳＴＫ１７５は、プライベート企業ネットワークＥＮＥＴ１６０のインターネットアクセスポイントに配置するかまたはその近くに配置できる。ポリシーをパケットに適用する場合、脅威インテリジェンスゲートウェイＴＩＧ１７０は、ポリシー内のルールに一致するパケットのログを生成し得、このログは、インターネット経由でセキュリティオペレーションセンターＳＯＣ１４０に送信され、例えば、ＳＩＥＭアプリケーションおよびパケットアナライザアプリケーションを使用するサイバーアナリストによる攻撃分析に供され得る。
ブプロキシ、ＳＳＬプロキシ、ＩＤＳ、ＩＰＳなどの他の企業ネットワークセキュリティデバイスとのうちの少なくとも１つが含まれ得る。脅威インテリジェンスゲートウェイＴＩＧ１７０およびセキュリティスタックＳＳＴＫ１７５は、プライベート企業ネットワークＥＮＥＴ１６０のインターネットアクセスポイントに配置するかまたはその近くに配置できる。ポリシーをパケットに適用する場合、脅威インテリジェンスゲートウェイＴＩＧ１７０は、ポリシー内のルールに一致するパケットのログを生成し得、このログは、インターネット経由でセキュリティオペレーションセンターＳＯＣ１４０に送信され、例えば、ＳＩＥＭアプリケーションおよびパケットアナライザアプリケーションを使用するサイバーアナリストによる攻撃分析に供され得る。
【0041】
企業システムサーバＥＳＶＲ１６２は、モバイルデバイスＭＢＤＶ１０１およびＭＢＤＶ１０２を所有／操作するユーザを含み得る企業のユーザが使用するために企業によってホストされる、プライベートウェブアプリケーションサーバであり得る。モバイルデバイスＭＢＤＶ１０１およびＭＢＤＶ１０２は、ポート４４３（ＨＴＴＰＳのポート）上で企業システムサーバＥＳＶＲ１６２にアクセスするためのＨＴＴＰＳクライアントを含む、企業が提供するアプリケーションを使用して、企業システムサーバＥＳＶＲ１６２にアクセスする。アプリケーションが企業システムサーバＥＳＶＲ１６２に接続すると、ウェブアプリケーションはログインフォームを提示する。次に、ユーザは、企業クレデンシャルを入力して、ウェブアプリケーションにセキュアにアクセスし得る。ネットワークセキュリティ管理者は、セキュリティスタックＳＳＴＫ１７５においてネットワークファイアウォールのポート４４３を開いたため、モバイルデバイスＭＢＤＶ１０１およびＭＢＤＶ１０２上のアプリケーションから発信されたものなど、未承諾のインバウンドＨＴＴＰＳ接続が、企業システムサーバＥＳＶＲ１６２とのセッションを開始することができる。
【0042】
プライベート企業ネットワークＥＮＥＴ１６０に接続されたホストトンネルゲートウェイＴＧＷ１６３は、モバイルデバイスセキュリティアプリケーションＭＢＬ－ＣＹＢＥＲ－ＡＰＰをインストールしたモバイルデバイスＭＢＤＶ１０１などのモバイルデバイスで確立され得るトンネルを終端して集中させる。企業システムサーバＥＳＶＲ１６２と同様に、ネットワーク管理者は、セキュリティスタックＳＳＴＫ１７５においてネットワークファイアウォールの１つまたはそれ以上のポートを開いたため、モバイルデバイスセキュリティアプリケーションＭＢＬ－ＣＹＢＥＲ－ＡＰＰをインストールしたモバイルデバイスＭＢＤＶ１０１および他のモバイルエンドポイントから発信されたものなど、未承諾のインバウンドトンネルトラフィックが、ＴＧＷ１６３にアクセスし得る。例えば、トンネリングプロトコルがＩＰｓｅｃトンネルモードである場合、管理者は、ＩＰｓｅｃの既知のポート５００、５０、および５１を開いている可能性がある。ＴＧＷ１６３は、トンネルからの出口において、受信したパケットをカプセル化解除および／または復号化し得る。ＴＧＷ１６３は、カプセル化解除および／または復号化されたパケットをプライベート企業ネットワークＥＮＥＴ１６０に転送し得る。これらのパケットは、ＩＰヘッダの宛先ＩＰアドレスフィールドにパブリックインターネットアドレスを有するため、プライベート企業ネットワークＥＮＥＴ１６０内のルータおよび／またはスイッチは、これらのパケットをインターネットアクセスポイントのほうに転送し得、したがって、ＣＴＩから導出したポリシーをパケットに適用する脅威インテリジェンスゲートウェイＴＩＧ１７０を転送する。
【0043】
セキュリティポリシー作成および管理サーバＳＰＭＳ１４１は、例えば、ＣＴＩＰ１４２および１４３を含む、１つまたはそれ以上のＣＴＩＰからＣＴＩを収集し得る。セキュリティポリシー作成および管理サーバＳＰＭＳ１４１はまた、ＣＴＩを集約し、ＣＴＩに基づいて少なくとも１つのセキュリティポリシーを作成し得、ホストコンピュータおよび脅威インテリジェンスゲートウェイＴＩＧ１７０などの複数のネットワークデバイスを含み得る加入者にセキュリティポリシーを公開し得る。セキュリティポリシー作成および管
理サーバＳＰＭＳ１４１は、セキュリティポリシーごとにデータ構造ＴＵＮＮＥＬ－Ｂ／Ｆを作成し得、モバイルデバイスＭＢＤＶ１０１によってホストされるモバイルデバイスセキュリティアプリケーションＭＢＬ－ＣＹＢＥＲ－ＡＰＰなど、各セキュリティポリシーに関連付けられた各加入者にデータ構造ＴＵＮＮＥＬ－Ｂ／Ｆを公開し得る。代替的に、脅威インテリジェンスゲートウェイＴＩＧ１７０は、サイバー保護のために脅威インテリジェンスゲートウェイＴＩＧ１７０に関連付けられたモバイルデバイスセキュリティアプリケーションＭＢＬ－ＣＹＢＥＲ－ＡＰＰの関連付けられたインスタンスなど、関連付けられたモバイルデバイスごとにデータ構造ＴＵＮＮＥＬ－Ｂ／Ｆを作成し得、モバイルデバイスセキュリティアプリケーションＭＢＬ－ＣＹＢＥＲ－ＡＰＰの各サブスクライブインスタンスを含む、関連付けられたモバイルデバイスに現在のデータ構造ＴＵＮＮＥＬ－Ｂ／Ｆを公開し得る。
理サーバＳＰＭＳ１４１は、セキュリティポリシーごとにデータ構造ＴＵＮＮＥＬ－Ｂ／Ｆを作成し得、モバイルデバイスＭＢＤＶ１０１によってホストされるモバイルデバイスセキュリティアプリケーションＭＢＬ－ＣＹＢＥＲ－ＡＰＰなど、各セキュリティポリシーに関連付けられた各加入者にデータ構造ＴＵＮＮＥＬ－Ｂ／Ｆを公開し得る。代替的に、脅威インテリジェンスゲートウェイＴＩＧ１７０は、サイバー保護のために脅威インテリジェンスゲートウェイＴＩＧ１７０に関連付けられたモバイルデバイスセキュリティアプリケーションＭＢＬ－ＣＹＢＥＲ－ＡＰＰの関連付けられたインスタンスなど、関連付けられたモバイルデバイスごとにデータ構造ＴＵＮＮＥＬ－Ｂ／Ｆを作成し得、モバイルデバイスセキュリティアプリケーションＭＢＬ－ＣＹＢＥＲ－ＡＰＰの各サブスクライブインスタンスを含む、関連付けられたモバイルデバイスに現在のデータ構造ＴＵＮＮＥＬ－Ｂ／Ｆを公開し得る。
【0044】
図２は、図１に示すモバイルデバイスおよび関連する企業ネットワークの保護システムについて、モバイルデバイスおよび関連する企業ネットワーク要素を構成するためのセキュリティポリシー作成および管理サーバの動作概念のフローチャートを示す。
【0045】
ステップ２－１において、セキュリティポリシー作成および管理サーバＳＰＭＳ１４１が、ＣＴＩＰ１４２およびＣＴＩＰ１４３などの脅威インテリジェンスプロバイダによって公開されたＣＴＩをダウンロードし得る。ステップ２－２において、セキュリティポリシー作成および管理サーバＳＰＭＳ１４１が、ＣＴＩインジケータを集約し、ＣＴＩを処理してセキュリティポリシーを生成し得る。複数の脅威インテリジェンスプロバイダが同じ脅威インジケータを提供し得るため、セキュリティポリシー作成および管理サーバＳＰＭＳ１４１は、ルールを単一のセットにマージし、重複する脅威インジケータを削除し、さもなければ脅威インジケータを統合し得る。セキュリティポリシー作成および管理サーバＳＰＭＳ１４１は、少なくとも１つのパケットフィルタリングルールを作成し得、各ルールは、脅威インジケータに対応する一致基準、および一致が判定されたときにパケットに適用される対応するアクション／ＰＴＦを含む。対応するアクション／ＰＴＦは、脅威インテリジェンスゲートウェイＴＩＧ１７０のオペレータ／管理者によって提供される要件を含む複数の要因に基づいて判定できる。セキュリティポリシー作成および管理サーバＳＰＭＳ１４１は、生成されたルールの各々を収集してセキュリティポリシーを生成し得、脅威インテリジェンスゲートウェイＴＩＧ１７０を含む複数のセキュリティデバイスにセキュリティポリシーを配布し得る。ステップ２－３において、セキュリティポリシー作成および管理サーバＳＰＭＳ１４１は、セキュリティポリシー内の各パケットフィルタリングルールを特徴付けるＩＰアドレス、ドメイン名、ＵＲＩ、証明書ＩＤなどを含む脅威インジケータのすべてを収集することにより、セキュリティポリシーに関連付けられたブルームフィルタＴＵＮＮＥＬ－Ｂ／Ｆを生成し得る。セキュリティポリシー作成および管理サーバＳＰＭＳ１４１は、データ構造ＴＵＮＮＥＬ－Ｂ／Ｆにインジケータを挿入し得、これは、セキュリティポリシー内のいずれかのルールがテスト対象のパケット要素と一致するかどうかを判定するためにテストされ得る。
【0046】
ステップ２－４において、ＳＰＭＳが、セキュリティポリシーおよびデータ構造ＴＵＮＮＥＬ－Ｂ／Ｆのうちの少なくとも１つを複数のネットワークセキュリティデバイスに公開し得る。セキュリティポリシー作成および管理サーバＳＰＭＳ１４１は、セキュリティポリシーおよびデータ構造ＴＵＮＮＥＬ－Ｂ／Ｆのうちの少なくとも１つを、脅威インテリジェンスゲートウェイＴＩＧ１７０および企業ネットワークに関連する複数のモバイルデバイスを含み得る複数のネットワーク加入者に送信し得る。脅威インテリジェンスゲートウェイＴＩＧ１７０は、セキュリティポリシーをダウンロードし得、セキュリティポリシーを使用してパケットフィルタリング論理を構成し得る。ステップ２－５において、モバイルデバイスＭＢＤＶ１０１上のモバイルデバイスセキュリティアプリケーションＭＢＬ－ＣＹＢＥＲ－ＡＰＰが、データ構造ＴＵＮＮＥＬ－Ｂ／Ｆをダウンロードし得、デー
タ構造ＴＵＮＮＥＬ－Ｂ／Ｆを使用してトンネリング論理を構成し得る。モバイルデバイスＭＢＤＶ１０２がモバイルデバイスセキュリティアプリケーションＭＢＬ－ＣＹＢＥＲ－ＡＰＰをインストールしていない場合、それは、データ構造ＴＵＮＮＥＬ－Ｂ／Ｆをダウンロードせず、セキュリティポリシーによって保護されない。ポリシーおよびデータ構造ＴＵＮＮＥＬ－Ｂ／Ｆも更新され得、セキュリティポリシーおよびデータ構造ＴＵＮＮＥＬ－Ｂ／Ｆの更新が生成および配布され得る。このような更新に基づいて、モバイルデバイスセキュリティアプリケーションＭＢＬ－ＣＹＢＥＲ－ＡＰＰは、企業ネットワークにトンネリングされることなく、以前は目的の宛先に進むことが許可されていたフィルタリングのために、パケットをトンネリングし得る。
タ構造ＴＵＮＮＥＬ－Ｂ／Ｆを使用してトンネリング論理を構成し得る。モバイルデバイスＭＢＤＶ１０２がモバイルデバイスセキュリティアプリケーションＭＢＬ－ＣＹＢＥＲ－ＡＰＰをインストールしていない場合、それは、データ構造ＴＵＮＮＥＬ－Ｂ／Ｆをダウンロードせず、セキュリティポリシーによって保護されない。ポリシーおよびデータ構造ＴＵＮＮＥＬ－Ｂ／Ｆも更新され得、セキュリティポリシーおよびデータ構造ＴＵＮＮＥＬ－Ｂ／Ｆの更新が生成および配布され得る。このような更新に基づいて、モバイルデバイスセキュリティアプリケーションＭＢＬ－ＣＹＢＥＲ－ＡＰＰは、企業ネットワークにトンネリングされることなく、以前は目的の宛先に進むことが許可されていたフィルタリングのために、パケットをトンネリングし得る。
【0047】
図３は、図１に示すモバイルデバイスおよび関連する企業ネットワークの保護システムについて、モバイルデバイスおよび関連する企業ネットワークにおけるパケットフィルタリングの動作概念のフローチャートを示す。フローチャート／動作概念は、すべてのデバイスおよびホストがすでに動作のために構成されていることを前提としている。特に、モバイルデバイスＭＢＤＶ１０１は、モバイルデバイスセキュリティアプリケーションＭＢＬ－ＣＹＢＥＲ－ＡＰＰをすでにダウンロード、インストール、および構成しており、ＴＧＷ１６３とのトンネルを確立している可能性がある。逆に、モバイルデバイスＭＢＤＶ１０２は、モバイルデバイスセキュリティアプリケーションＭＢＬ－ＣＹＢＥＲ－ＡＰＰで構成されていない。
【0048】
ステップ３－１において、ＭＢＤＶ１０１またはＭＢＤＶ１０２のいずれかであり得るモバイルデバイスＭＢＤＶを所有および／または動作させ得るユーザが、電子メールアプリケーションを介して電子メールをチェックし得、ウェブサーバＷＳＶＲ１５１上のリソースにリンクする埋め込みＵＲＬをクリックし得る。モバイルデバイスＭＢＤＶ１０１または１０２は、ＤＮＳ（図３に図示せず）を照会することによって、ＵＲＬの当局のホスト名、または完全修飾ドメイン名（ＦＱＤＮ）を、ウェブサーバＷＳＶＲ１５１のＩＰアドレス、例えば１２．３４．５６．７８へと解決し得る。モバイルデバイスＭＢＤＶは、宛先ポート８０でＴＣＰ ＳＹＮパケットを作成することにより、ポート８０（ＨＴＴＰ）上でウェブサーバＷＳＶＲ１５１とのＴＣＰ接続を開始しようとし、ＴＣＰパケットをＩＰパケットにカプセル化し得、このＩＰパケットは、１２．３４．５６．７８に設定された宛先ＩＰアドレスフィールドで設定され、対応するＭＢＤＶのソースＩＰアドレスで設定され得る。
【0049】
ステップ３－２において、パケットが（無線アクセスネットワークＲＮＥＴ１２０に）転送され得る前に、ＭＢＤＶ１０１のモバイルデバイスセキュリティアプリケーションＭＢＬ－ＣＹＢＥＲ－ＡＰＰが、データ構造ＴＵＮＮＥＬ－Ｂ／Ｆの脅威インジケータに関連する各パケット要素を判定し得る。例えば、モバイルデバイスセキュリティアプリケーションＭＢＬ－ＣＹＢＥＲ－ＡＰＰは、宛先ＩＰアドレスフィールドからＩＰアドレス（例えば１２．３４．５６．７８）を抽出し得、１２．３４．５６．７８がデータ構造ＴＵＮＮＥＬ－Ｂ／Ｆのメンバーであるかどうかをテストし得る。メンバーシップテストは、脅威インテリジェンスゲートウェイＴＩＧ１７０上のセキュリティポリシーに一致するパケットフィルタリングルールがないと判定したことに基づいて、ＦＡＬＳＥを返す。モバイルデバイスセキュリティアプリケーションＭＢＬ－ＣＹＢＥＲ－ＡＰＰは、テストされたパケットデータ（例えばウェブサーバＷＳＶＲ１５１のＩＰアドレス１２．３４．５６．７８）に関連する脅威リスクがないと判定し得る。モバイルデバイスセキュリティアプリケーションＭＢＬ－ＣＹＢＥＲ－ＡＰＰは、フィルタリングするパケットをトンネリングする必要がないと判定し得る。モバイルデバイスセキュリティアプリケーションＭＢＬ－ＣＹＢＥＲ－ＡＰＰは、パケットを、ＴＧＷ１６３、脅威インテリジェンスゲートウェイＴＩＧ１７０、および／またはセキュリティスタックＳＳＴＫ１７５に転送しない場合がある。
【0050】
ステップ３－３において、フィルタリングされるパケットをトンネリングする必要がないという判定に基づいて、モバイルデバイスＭＢＤＶ１０１が、無線アクセスネットワークＲＮＥＴ１２０を介して、パケットをウェブサーバＷＳＶＲ１５１のほうに直接転送し得る。同様に、任意のトンネリング判定／決定論理を実行せずに、ＭＢＤＶ１０２は、無線アクセスネットワークＲＮＥＴ１２０を介して、パケットをウェブサーバＷＳＶＲ１５１のほうに直接転送し得る。パケット転送は、ＴＣＰハンドシェイクを開始し、その後、１２．３４．５６．７８のポート８０上でＴＣＰ接続の確立を引き起こし得る。モバイルデバイスＭＢＤＶは、ＵＲＬに対してＨＴＴＰ ＧＥＴ要求メソッドを発行し得る。ウェブサーバＷＳＶＲ１５１は、要求されたリソースで応答し、ウェブセッションは終了し、ＴＣＰ接続は切断され得る。このような通信セッション中に、ＭＢＤＶ１０１の場合、すべてのインバウンドおよびアウトバウンドパケットのＩＰアドレスフィールド、ドメイン名フィールド、ＵＲＩフィールドなどの関連するパケットフィールド値が、データ構造ＴＵＮＮＥＬ－Ｂ／Ｆ内のメンバーシップについてテストされ得る。通信フロー内の各パケットが、安全な宛先に関連付けられている場合、モバイルデバイスセキュリティアプリケーションＭＢＬ－ＣＹＢＥＲ－ＡＰＰは、データ構造ＴＵＮＮＥＬ－Ｂ／Ｆのテストが常にＦＡＬＳＥを返すため、セッションを含むパケットのいずれもトンネリングされないので、フィルタリングするパケットをトンネリングする必要がないと判定し得る。
【0051】
ステップ３－１において、モバイルデバイスＭＢＤＶ１０１を所有および／または動作できるユーザは、スピアフィッシング電子メールを読み、マルウェアサーバＭＡＬＳＶＲ１５２上のリソースにリンクする埋め込みＵＲＬをクリックするように騙され得、ＭＡＬＳＶＲ１５２は、企業システムサーバＥＳＶＲ１６２上の企業ウェブアプリケーションのログインページを偽装するウェブページを含み得る。モバイルデバイスＭＢＤＶ１０１は、ＤＮＳ（図３に図示せず）を照会することによって、ＵＲＬの当局のホスト名、または完全修飾ドメイン名（ＦＱＤＮ）を、マルウェアサーバＭＡＬＳＶＲ１５２のＩＰアドレス、例えば８７．６５．４３．２１へと解決し得る。モバイルデバイスＭＢＤＶ１０１は、宛先ポート８０でＴＣＰ ＳＹＮパケットを作成することにより、ポート８０（ＨＴＴＰ）上でマルウェアサーバＭＡＬＳＶＲ１５２とのＴＣＰ接続を開始しようとし、８７．６５．４３．２１に設定された宛先ＩＰアドレスフィールドを有するＩＰパケットにＴＣＰパケットをカプセル化し得る。ステップ３－２において、パケットがデバイスＭＢＤＶ１０１によって無線アクセスネットワークＲＮＥＴ１２０に転送される前に、モバイルデバイスセキュリティアプリケーションＭＢＬ－ＣＹＢＥＲ－ＡＰＰは、パケット要素（例えば宛先ＩＰアドレスフィールドからのＩＰアドレス８７．６５．４３．２１）を抽出し得、いずれかのパケット要素がデータ構造ＴＵＮＮＥＬ－Ｂ／Ｆのメンバーであるかどうかを判定するためにテストし得る。
【0052】
メンバーシップテストは、データ構造ＴＵＮＮＥＬ－Ｂ／Ｆに関連付けられたセキュリティポリシー内に一致するパケットフィルタリングルールがあるというＴＲＵＥ値または他のインジケーションを返し得る。モバイルデバイスセキュリティアプリケーションＭＢＬ－ＣＹＢＥＲ－ＡＰＰは、データ構造ＴＵＮＮＥＬ－Ｂ／Ｆに関連付けられたセキュリティポリシー内に一致するパケットフィルタリングルールがあるというＴＲＵＥ値または他のインジケーションに基づいて、パケットが、関連する企業脅威インテリジェンスゲートウェイＴＩＧ１７０によってフィルタリングされる必要があり、パケット要素（例えばマルウェアサーバＭＡＬＳＶＲ１５２のＩＰアドレス８７．６５．４３．２１）に関連する何らかの脅威リスクがあると判定し得る。ステップ３－４において、モバイルデバイスＭＢＤＶ１０１が、データ構造ＴＵＮＮＥＬ－Ｂ／Ｆに関連付けられたセキュリティポリシー内に一致するパケットフィルタリングルールがあるというＴＲＵＥ値または他のインジケーションに基づいて、ネットワークトンネル内でパケットをＴＧＷ１６３に送信し得る。ステップ３－５において、パケットが、トンネルの企業ネットワーク側において受信
され、プライベート企業ネットワークＥＮＥＴ１６０を介してインターネットアクセスリンクのほうに転送され、脅威インテリジェンスゲートウェイＴＩＧ１７０によってパケットフィルタリングのために受信され得る。ステップ３－６において、脅威インテリジェンスゲートウェイＴＩＧ１７０が、セキュリティポリシーをパケットに適用し得、パケット要素（ＩＰアドレス８７．６５．４３．２１など）に一致するルールを判定し得る。判定されたルールに関連付けられたネットワーク保護アクション／ＰＴＦは、パケットが、ブロック／ドロップ、ログ記録、および／またはキャプチャされることのうちの少なくとも１つであり得ることを指定し得る。
され、プライベート企業ネットワークＥＮＥＴ１６０を介してインターネットアクセスリンクのほうに転送され、脅威インテリジェンスゲートウェイＴＩＧ１７０によってパケットフィルタリングのために受信され得る。ステップ３－６において、脅威インテリジェンスゲートウェイＴＩＧ１７０が、セキュリティポリシーをパケットに適用し得、パケット要素（ＩＰアドレス８７．６５．４３．２１など）に一致するルールを判定し得る。判定されたルールに関連付けられたネットワーク保護アクション／ＰＴＦは、パケットが、ブロック／ドロップ、ログ記録、および／またはキャプチャされることのうちの少なくとも１つであり得ることを指定し得る。
【0053】
代替的に、データ構造ＴＵＮＮＥＬ－Ｂ／Ｆのテストからの一致の判定に基づいて任意のパケットを送信する前に、システムは、ネットワークトラフィックの量を減らすために、二次データ構造をテストし得る。例えば、システムは、ブロックアクションまたはＰＴＦに関連付けられているポリシーの各ルールを表し得るブロックルールデータ構造をテストし得る。ブロックルールデータ構造に関連付けられたセキュリティポリシー内に一致するパケットフィルタリングルールがあるというＴＲＵＥ値または他のインジケーションに基づいて、モバイルデバイスセキュリティアプリケーションＭＢＬ－ＣＹＢＥＲ－ＡＰＰは、ブロックルールアクションを実行して、ブロックルールに関連付けられたパケットが、トンネルを介して企業ネットワーク内のパケットフィルタリングデバイスにそのようなパケットを送信する必要なしに、目的の宛先に進むのを防止する。ブロックルールのデータ構造はまた、ブルームフィルタであってもよく、ブロックルールのデータ構造は、施行されているポリシーのルールのすべてに関連付けられたデータ構造ＴＵＮＮＥＬ－Ｂ／Ｆよりも小さいデータ構造であってもよい。
【0054】
ステップ３－７において、脅威インテリジェンスゲートウェイＴＩＧ１７０が、ログをセキュリティオペレーションセンターＳＯＣ１４０または他のネットワークデバイスに送信し得る。ログは、ＳＩＥＭアプリケーションを使用するサイバーアナリストなどのセキュリティオペレーションセンターＳＯＣ１４０によって分析され得る。脅威インジケータ（例えばＩＰアドレス８７．６５．４３．２１）のＣＴＩを提供したＣＴＩＰによるマルウェアサーバＭＡＬＳＶＲ１５２に関連する脅威リスクの判定に基づいて、システムは、修正指示アクションをとり得る。例えば、脅威分析デバイスは、モバイルデバイスＭＢＤＶ１０１のユーザにインシデントを報告し得るか、またはスピアフィッシング電子メール攻撃とその回避方法について考察したサイバーセキュリティトレーニングビデオの視聴をユーザに推奨し得る。同様に、モバイルデバイスセキュリティアプリケーションＭＢＬ－ＣＹＢＥＲ－ＡＰＰは、脅威イベントのログを生成し、そのログをセキュリティオペレーションセンターＳＯＣ１４０、または他のネットワークセキュリティアプリケーションもしくはデバイスに送信し得る。モバイルデバイスセキュリティアプリケーションＭＢＬ－ＣＹＢＥＲ－ＡＰＰは、ブロックルールの確率的データ構造に関連付けられたセキュリティポリシー内に一致するパケットフィルタリングルールがあるというインジケーションに基づいて、脅威イベントのログを選択的に生成し得る。
【0055】
図４は、図１に示すモバイルデバイスおよび関連する企業ネットワークの保護システムについて、モバイルデバイスおよび関連する企業ネットワークにおけるパケットフィルタリングの動作概念のフローチャートを示す。フローチャート／動作概念は、すべてのデバイスおよびホストがすでに動作のために構成されていることを前提としている。特に、図４に関して、モバイルデバイスＭＢＤＶは、モバイルデバイスセキュリティアプリケーションＭＢＬ－ＣＹＢＥＲ－ＡＰＰをダウンロード、インストール、または構成していない。
【0056】
ステップ４－１において、モバイルデバイスセキュリティアプリケーションＭＢＬ－ＣＹＢＥＲ－ＡＰＰで構成されていないモバイルデバイスＭＢＤＶ１０２を所有または動作
できるユーザが、上で考察したようにスピアフィッシング電子メールにアクセスし得る。しかしながら、モバイルデバイスＭＢＤＶ１０２はモバイルデバイスセキュリティアプリケーションＭＢＬ－ＣＹＢＥＲ－ＡＰＰで構成されていないため、モバイルデバイス上には、パケット要素を抽出し、いずれかのパケット要素がデータ構造ＴＵＮＮＥＬ－Ｂ／Ｆのメンバーであるかどうかをテストする論理がない。代わりに、モバイルデバイスＭＢＤＶ１０２を所有または動作させ得るユーザが、企業システムサーバＥＳＶＲ１６２上の企業ウェブアプリケーションのログインページを偽装するウェブページであり得るマルウェアサーバＭＡＬＳＶＲ１５２上のリソースにリンクする埋め込みＵＲＬをクリックするように騙された場合、モバイルデバイスは、マルウェアサーバＭＡＬＳＶＲ１５２との接続の確立を開始し得る。モバイルデバイスＭＢＤＶ１０２は、ＤＮＳ（図４に図示せず）を照会することによって、ＵＲＬの当局のホスト名または完全修飾ドメイン名（ＦＱＤＮ）を、マルウェアサーバＭＡＬＳＶＲ１５２のＩＰアドレス（例えばＩＰアドレス８７．６５．４３．２１）へと解決し得る。モバイルデバイスＭＢＤＶ１０２は、宛先ポート８０でＴＣＰ ＳＹＮパケットを作成することにより、ポート８０（ＨＴＴＰ）上でマルウェアサーバＭＡＬＳＶＲ１５２とのＴＣＰ接続を開始しようとし、判定された宛先ＩＰアドレスフィールド（例えばＩＰアドレス８７．６５．４３．２１）を持つＩＰパケットにＴＣＰパケットをカプセル化し得る。モバイルデバイスＭＢＤＶ１０２を保護するモバイルデバイスセキュリティアプリケーションＭＢＬ－ＣＹＢＥＲ－ＡＰＰがないため、マルウェアサーバＭＡＬＳＶＲ１５２とのＴＣＰ接続は確立され得、モバイルデバイスＭＢＤＶ１０２は、ＵＲＬに対してＨＴＴＰ ＧＥＴ要求メソッドを発行し得る。
できるユーザが、上で考察したようにスピアフィッシング電子メールにアクセスし得る。しかしながら、モバイルデバイスＭＢＤＶ１０２はモバイルデバイスセキュリティアプリケーションＭＢＬ－ＣＹＢＥＲ－ＡＰＰで構成されていないため、モバイルデバイス上には、パケット要素を抽出し、いずれかのパケット要素がデータ構造ＴＵＮＮＥＬ－Ｂ／Ｆのメンバーであるかどうかをテストする論理がない。代わりに、モバイルデバイスＭＢＤＶ１０２を所有または動作させ得るユーザが、企業システムサーバＥＳＶＲ１６２上の企業ウェブアプリケーションのログインページを偽装するウェブページであり得るマルウェアサーバＭＡＬＳＶＲ１５２上のリソースにリンクする埋め込みＵＲＬをクリックするように騙された場合、モバイルデバイスは、マルウェアサーバＭＡＬＳＶＲ１５２との接続の確立を開始し得る。モバイルデバイスＭＢＤＶ１０２は、ＤＮＳ（図４に図示せず）を照会することによって、ＵＲＬの当局のホスト名または完全修飾ドメイン名（ＦＱＤＮ）を、マルウェアサーバＭＡＬＳＶＲ１５２のＩＰアドレス（例えばＩＰアドレス８７．６５．４３．２１）へと解決し得る。モバイルデバイスＭＢＤＶ１０２は、宛先ポート８０でＴＣＰ ＳＹＮパケットを作成することにより、ポート８０（ＨＴＴＰ）上でマルウェアサーバＭＡＬＳＶＲ１５２とのＴＣＰ接続を開始しようとし、判定された宛先ＩＰアドレスフィールド（例えばＩＰアドレス８７．６５．４３．２１）を持つＩＰパケットにＴＣＰパケットをカプセル化し得る。モバイルデバイスＭＢＤＶ１０２を保護するモバイルデバイスセキュリティアプリケーションＭＢＬ－ＣＹＢＥＲ－ＡＰＰがないため、マルウェアサーバＭＡＬＳＶＲ１５２とのＴＣＰ接続は確立され得、モバイルデバイスＭＢＤＶ１０２は、ＵＲＬに対してＨＴＴＰ ＧＥＴ要求メソッドを発行し得る。
【0057】
ステップ４－２において、マルウェアサーバＭＡＬＳＶＲ１５２が、要求されたリソースで応答し、このリソースは、企業システムサーバＥＳＶＲ１６２上の企業ウェブアプリケーションのログインページを偽装するウェブページ／フォームであり得る。ユーザは、ログインクレデンシャルを入力し得、フォームをマルウェアサーバＭＡＬＳＶＲ１５２にポストし得る。ユーザがログインクレデンシャルを入力すると、ＭＡＬＳＶＲ１５２は、ログインクレデンシャルをログ記録して盗み得る。ステップ４－３において、マルウェアサーバＭＡＬＳＶＲ１５２を動作させ得る悪意のあるアクターが、盗んだクレデンシャルを使用して企業システムサーバＥＳＶＲ１６２にログインし、企業の機密データを盗む、または改ざんし得る。
【0058】
本明細書で説明される機能およびステップは、本明細書で説明される１つまたはそれ以上の機能を実行するために１つまたはそれ以上のコンピュータまたは他のデバイスによって実行される、１つまたはそれ以上のプログラムモジュールなどの中のコンピュータ使用可能データまたはコンピュータ実行可能命令において具体化できる。一般に、プログラムモジュールは、コンピュータまたは他のデータ処理デバイス内の１つまたはそれ以上のプロセッサによって実行されると、特定のタスクを実行するかまたは特定の抽象データ型を実装するルーチン、プログラム、オブジェクト、コンポーネント、データ構造などを含む。コンピュータ実行可能命令は、ハードディスク、光ディスク、リムーバブル記憶媒体、ソリッドステートメモリ、ＲＡＭなどのコンピュータ可読媒体に記憶され得る。理解されるように、プログラムモジュールの機能は、所望に応じて組み合わせられ得るか、または分散され得る。さらに、機能は、集積回路、特定用途向け集積回路（ＡＳＩＣ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）などのファームウェア等価物またはハードウェア等価物において、全体的にまたは部分的に具体化できる。特定のデータ構造を使用して、本開示の１つまたはそれ以上の態様をより効果的に実装し得、このようなデータ構造は、本明細書で説明されるコンピュータ実行可能命令およびコンピュータ使用可能データの範囲に収まると企図される。
【0059】
必須ではないが、当業者は、本明細書で説明される様々な態様が、方法、システム、装置、またはコンピュータ実行可能命令を記憶する１つまたはそれ以上のコンピュータ可読
媒体として具体化できることを理解するであろう。したがって、態様は、完全にハードウェア実施の形態、完全にソフトウェア実施の形態、完全にファームウェア実施の形態、またはソフトウェア態様、ハードウェア態様、およびファームウェア態様を任意の組み合わせで組み合わせた実施の形態の形態をとることができる。
媒体として具体化できることを理解するであろう。したがって、態様は、完全にハードウェア実施の形態、完全にソフトウェア実施の形態、完全にファームウェア実施の形態、またはソフトウェア態様、ハードウェア態様、およびファームウェア態様を任意の組み合わせで組み合わせた実施の形態の形態をとることができる。
【0060】
本明細書で説明されるように、様々な方法および行為は、１つまたはそれ以上のコンピューティングデバイスおよびネットワークにわたって動作し得る。機能は、任意の方式で分散できるか、または単一のコンピューティングデバイス（例えば、サーバ、クライアントコンピュータなど）内に配置できる。
【0061】
コンピュータソフトウェア、ハードウェア、およびネットワークは、とりわけ、スタンドアロン環境、ネットワーク化環境、リモートアクセス（別名、リモートデスクトップ）環境、仮想化環境、および／またはクラウドベース環境を含む、様々な異なるシステム環境において利用できる。図５は、スタンドアロンおよび／またはネットワーク化環境において、本明細書で説明される１つまたはそれ以上の例示的な態様を実装するために使用され得るシステムアーキテクチャおよびデータ処理デバイスの一例を示す。様々なネットワークノード５０３、５０５、５０７、および５０９は、インターネットなどのワイドエリアネットワーク（ＷＡＮ）５０１を介して相互接続され得る。プライベートイントラネット、コーポレートネットワーク、ローカルエリアネットワーク（ＬＡＮ）、メトロポリタンエリアネットワーク（ＭＡＮ）、無線ネットワーク、パーソナルネットワーク（ＰＡＮ）、ソフトウェア定義ネットワーク（ＳＤＮ）などを含む、他のネットワークもまた、または代替的に、使用され得る。ネットワーク５０１は例示目的であり、より少ないまたは追加のコンピュータネットワークに置き換えることができる。ローカルエリアネットワーク５３３は、任意の既知のＬＡＮトポロジのうちの１つまたはそれ以上を有し得、イーサネットなど、様々な異なるプロトコルのうちの１つまたはそれ以上を使用し得る。デバイス５０３、５０５、５０７、および５０９、ならびに他のデバイス（図示せず）は、ネットワークのうちの１つまたはそれ以上に、ツイストペアワイヤ、同軸ケーブル、光ファイバ、電波、または他の通信媒体を介して接続され得る。
【0062】
本明細書において使用され、図面に表示される「ネットワーク」という用語は、リモート記憶デバイスが互いに１つまたはそれ以上の通信経路を介して連結されるシステムを指すだけでなく、記憶機能を有するこのようなシステムに適宜連結され得るスタンドアロンデバイスを指している。したがって、「ネットワーク」という用語は、「物理ネットワーク」だけでなく、すべての物理ネットワークにわたって存在するシングルエンティティに帰属するデータから構成される「コンテンツネットワーク」をも含む。
【0063】
コンポーネントは、データサーバ５０３、ウェブサーバ５０５、およびクライアントコンピュータ５０７、５０９を含み得る。データサーバ５０３は、データベースおよび制御ソフトウェアの全体的なアクセス、制御、および管理を提供して、本明細書で説明される１つまたはそれ以上の例示的な態様を実行する。データサーバ５０３は、ウェブサーバ５０５に接続され得、ユーザは、要求に応じてデータとのインタラクションを行って、データを取得する。代替的に、データサーバ５０３は、ウェブサーバ自体として機能し、インターネットに直接接続されてもよい。データサーバ５０３は、ローカルエリアネットワーク５３３、ワイドエリアネットワーク５０１（例えば、インターネット）を介して、直接または間接接続により、または何らかの他のネットワークにより、ウェブサーバ５０５に接続され得る。ユーザは、リモートコンピュータ５０７、５０９を使用して、例えば、ウェブブラウザを使用して、データサーバ５０３とのインタラクションを行って、ウェブサーバ５０５によりホストされる１つまたはそれ以上の外部公開ウェブサイトを介してデータサーバ５０３に接続し得る。クライアントコンピュータ５０７、５０９は、データサーバ５０３に記憶されているデータにアクセスするためにデータサーバ５０３と連携して使
用され得るか、または他の目的に使用され得る。例えば、クライアントデバイス５０７から、ユーザは、この技術分野で知られているインターネットブラウザを使用して、あるいは（インターネットなどの）コンピュータネットワークを介してウェブサーバ５０５および／またはデータサーバ５０３と通信するソフトウェアアプリケーションを実行することによって、ウェブサーバ５０５にアクセスし得る。
用され得るか、または他の目的に使用され得る。例えば、クライアントデバイス５０７から、ユーザは、この技術分野で知られているインターネットブラウザを使用して、あるいは（インターネットなどの）コンピュータネットワークを介してウェブサーバ５０５および／またはデータサーバ５０３と通信するソフトウェアアプリケーションを実行することによって、ウェブサーバ５０５にアクセスし得る。
【0064】
サーバおよびアプリケーションは、同じ物理マシンで組み合わされ得、かつ個別の仮想アドレスまたは論理アドレスを保持し得るか、または個別の物理マシンに常駐し得る。図５は、使用され得るネットワークアーキテクチャのほんの一例を示しているに過ぎず、当業者であれば、本明細書でさらに説明されるように、使用される特定のネットワークアーキテクチャおよびデータ処理デバイスは、変更することができ、それらが提供する機能に対して二次的なものであることを理解するであろう。例えば、ウェブサーバ５０５およびデータサーバ５０３により提供されるサービスは、シングルサーバ上で組み合わせることができる。
【0065】
各コンポーネント５０３、５０５、５０７、５０９は、任意のタイプの既知のコンピュータ、サーバ、またはデータ処理デバイスとすることができる。例えば、データサーバ５０３は、データサーバ５０３の全体的な動作を制御するプロセッサ５５を含み得る。データサーバ５０３は、ランダムアクセスメモリ（ＲＡＭ）５１３、読み取り専用メモリ（ＲＯＭ）５１５、ネットワークインターフェース５１７、入力／出力インターフェース５１９（例えば、キーボード、マウス、ディスプレイ、プリンタなど）、およびメモリ５２１をさらに含み得る。入力／出力（Ｉ／Ｏ）５１９は、データまたはファイルを読み取る、書き込む、表示する、および／または印刷するための様々なインターフェースユニットおよびドライブを含み得る。メモリ５２１は、データ処理デバイス５０３の全体的な動作を制御するオペレーティングシステムソフトウェア５２３、データサーバ５０３に指示して本明細書で説明される態様を実施させる制御論理５２５、ならびに本明細書で説明される態様と連携して使用されないかまたは使用されない可能性がある二次的機能、サポート機能、および／または他の機能を提供する他のアプリケーションソフトウェア５２７をさらに記憶し得る。制御論理は、本明細書では、データサーバソフトウェア５２５と称する場合もある。データサーバソフトウェアの機能は、制御論理にコード化されたルールに基づいて自動的に行われる動作もしくは決定、ユーザがシステムへの入力を行うことにより手動で行われる動作もしくは決定、および／またはユーザ入力（例えば、クエリ、データ更新など）に基づいた自動処理の組み合わせを指すことができる。
【0066】
メモリ５２１は、第１のデータベース５２９および第２のデータベース５３１を含む、本明細書で説明される１つまたはそれ以上の態様を実行するために使用されるデータを記憶することもできる。いくつかの実施の形態では、第１のデータベースは、第２のデータベースを含み得る（例えば、個別のテーブル、レポートなどとして）。つまり、情報は、システム設計に応じて、シングルデータベースに記憶することができるか、または異なる論理データベース、仮想データベース、もしくは物理データベースに分離することができる。デバイス５０５、５０７、および５０９は、デバイス５０３に関して説明されるのと同様の、または異なるアーキテクチャを有し得る。当業者であれば、本明細書で説明されるデータ処理デバイス５０３（またはデバイス５０５、５０７、または５０９）の機能は、例えば、複数のデータ処理デバイスにわたって拡散させて、処理負荷を複数のコンピュータにわたって分散させ、地理的位置、ユーザアクセスレベル、サービス品質（ＱｏＳ）などに基づいてトランザクションは分離され得ることを理解するであろう。
【0067】
１つまたはそれ以上の態様は、本明細書で説明される１つまたはそれ以上のコンピュータまたは他のデバイスによって実行される、１つまたはそれ以上のプログラムモジュールなどの中のコンピュータ使用可能もしくは読み取り可能データおよび／またはコンピュー
タ実行可能命令において具体化され得る。一般に、プログラムモジュールは、コンピュータまたは他のデバイス内のプロセッサにより実行されると、特定のタスクを実行するかまたは特定の抽象データ型を実装するルーチン、プログラム、オブジェクト、コンポーネント、データ構造などを含む。モジュールは、実行するために後でコンパイルされるソースコードプログラム言語で記述することができるか、またはＨｙｐｅｒＴｅｘｔ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ（ハイパーテキストマークアップ言語：ＨＴＭＬ）またはＥｘｔｅｎｓｉｂｌｅ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ（拡張マークアップ言語：ＸＭＬ）のような（これらには限定されない）スクリプト言語で記述することができる。コンピュータ実行可能命令は、不揮発性記憶デバイスのようなコンピュータ可読媒体に記憶することができる。ハードディスク、ＣＤ－ＲＯＭ、光学記憶デバイス、磁気記憶デバイス、および／またはこれらの任意の組み合わせを含む任意の好適なコンピュータ可読記憶媒体を利用することができる。また、本明細書において説明されるデータまたはイベントを表す様々な伝送（非記憶）媒体は、発信元と宛先との間で、金属ワイヤ、光ファイバ、および／または無線伝送媒体（例えば、空気および／または空間）のような信号伝送媒体内を移動する電磁波の形態で転送することができる。本明細書において説明される様々な態様は、方法、データ処理システム、またはコンピュータプログラム製品として具体化することができる。したがって、様々な機能は、集積回路、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）などのソフトウェア、ファームウェア、および／またはハードウェアもしくはハードウェア等価物において、全体的もしくは部分的に具体化することができる。特定のデータ構造を使用して、本明細書で説明される１つまたはそれ以上の態様をより効果的に実装することができ、このようなデータ構造は、本明細書で説明されるコンピュータ実行可能命令およびコンピュータ使用可能データの範囲に収まると企図される。
タ実行可能命令において具体化され得る。一般に、プログラムモジュールは、コンピュータまたは他のデバイス内のプロセッサにより実行されると、特定のタスクを実行するかまたは特定の抽象データ型を実装するルーチン、プログラム、オブジェクト、コンポーネント、データ構造などを含む。モジュールは、実行するために後でコンパイルされるソースコードプログラム言語で記述することができるか、またはＨｙｐｅｒＴｅｘｔ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ（ハイパーテキストマークアップ言語：ＨＴＭＬ）またはＥｘｔｅｎｓｉｂｌｅ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ（拡張マークアップ言語：ＸＭＬ）のような（これらには限定されない）スクリプト言語で記述することができる。コンピュータ実行可能命令は、不揮発性記憶デバイスのようなコンピュータ可読媒体に記憶することができる。ハードディスク、ＣＤ－ＲＯＭ、光学記憶デバイス、磁気記憶デバイス、および／またはこれらの任意の組み合わせを含む任意の好適なコンピュータ可読記憶媒体を利用することができる。また、本明細書において説明されるデータまたはイベントを表す様々な伝送（非記憶）媒体は、発信元と宛先との間で、金属ワイヤ、光ファイバ、および／または無線伝送媒体（例えば、空気および／または空間）のような信号伝送媒体内を移動する電磁波の形態で転送することができる。本明細書において説明される様々な態様は、方法、データ処理システム、またはコンピュータプログラム製品として具体化することができる。したがって、様々な機能は、集積回路、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）などのソフトウェア、ファームウェア、および／またはハードウェアもしくはハードウェア等価物において、全体的もしくは部分的に具体化することができる。特定のデータ構造を使用して、本明細書で説明される１つまたはそれ以上の態様をより効果的に実装することができ、このようなデータ構造は、本明細書で説明されるコンピュータ実行可能命令およびコンピュータ使用可能データの範囲に収まると企図される。
【0068】
図６をさらに参照すると、本明細書で説明される１つまたはそれ以上の態様を、リモートアクセス環境内で実装することができる。図６は、本明細書で説明される１つまたはそれ以上の例示的な態様に従って使用できる例示的なコンピューティング環境５２０内にコンピューティングデバイス５０１を含む例示的なシステムアーキテクチャを示している。コンピューティングデバイス５０１は、クライアントアクセスデバイスに仮想マシンを提供するように構成されたシングルサーバデスクトップ仮想化システムまたはマルチサーバデスクトップ仮想化システム（例えば、リモートアクセスシステムまたはクラウドシステム）内のサーバ６０６ａとして使用することができる。コンピューティングデバイス５０１は、サーバと、ＲＡＭ６０５、ＲＯＭ６０７、入力／出力（Ｉ／Ｏ）モジュール６０９、およびメモリ６１５を含むサーバに関連するコンポーネントとの全体的な動作を制御するプロセッサ６０３を有することができる。
【0069】
Ｉ／Ｏモジュール６０９は、コンピューティングデバイス１０１のユーザが入力を行うことができるマウス、キーパッド、タッチスクリーン、スキャナ、光学式読み取り装置、および／またはスタイラス（あるいは他の入力デバイス）を含み得、オーディオ出力を提供するスピーカのうちの１つまたはそれ以上と、テキスト出力、オーディオビジュアル出力、および／またはグラフィカル出力を提供するビデオ表示デバイスのうちの１つまたはそれ以上と、をさらに含み得る。ソフトウェアは、メモリ６１５および／または他のストレージ内に記憶して、本明細書で説明される様々な機能を実行するためにコンピューティングデバイス５０１を専用コンピューティングデバイスに構成する命令をプロセッサ６０３に提供することができる。例えば、メモリ６１５は、オペレーティングシステム６１７、アプリケーションプログラム６１９、および関連するデータベース６２１など、コンピューティングデバイス５０１により使用されるソフトウェアを記憶することができる。
【0070】
コンピューティングデバイス５０１は、端末６４０（クライアントデバイスとも称される）などの１つまたはそれ以上のリモートコンピュータへの接続をサポートするネットワーク化環境内で動作することができる。端末６４０は、コンピューティングデバイス５０
３または５０１に関して上記で説明された要素のうちの多くまたはすべてを含むパーソナルコンピュータ、モバイルデバイス、ラップトップコンピュータ、タブレット、またはサーバとすることができる。図６に示すネットワーク接続は、ローカルエリアネットワーク（ＬＡＮ）６２５およびワイドエリアネットワーク（ＷＡＮ）６２９を含むが、他のネットワークを含むこともできる。ＬＡＮネットワーキング環境内で使用されるとき、コンピューティングデバイス５０１は、ネットワークインターフェースまたはアダプタ６２３を介してＬＡＮ６２５に接続することができる。ＷＡＮネットワーキング環境内で使用されるとき、コンピューティングデバイス５０１は、コンピュータネットワーク６３０（例えば、インターネット）などのＷＡＮ６２９を介して通信を確立するモデム６２７または他のワイドエリアネットワークインターフェースを含み得る。図示のネットワーク接続は例示であり、コンピュータ間の通信リンクを確立する他の手段を使用できることを理解されるだろう。コンピューティングデバイス５０１および／または端末６４０は、バッテリ、スピーカ、およびアンテナ（図示せず）などの様々な他のコンポーネントを含むモバイル端末（例えば、携帯電話、スマートフォン、携帯情報端末（ＰＤＡ）、ノートブックなど）とすることもできる。
３または５０１に関して上記で説明された要素のうちの多くまたはすべてを含むパーソナルコンピュータ、モバイルデバイス、ラップトップコンピュータ、タブレット、またはサーバとすることができる。図６に示すネットワーク接続は、ローカルエリアネットワーク（ＬＡＮ）６２５およびワイドエリアネットワーク（ＷＡＮ）６２９を含むが、他のネットワークを含むこともできる。ＬＡＮネットワーキング環境内で使用されるとき、コンピューティングデバイス５０１は、ネットワークインターフェースまたはアダプタ６２３を介してＬＡＮ６２５に接続することができる。ＷＡＮネットワーキング環境内で使用されるとき、コンピューティングデバイス５０１は、コンピュータネットワーク６３０（例えば、インターネット）などのＷＡＮ６２９を介して通信を確立するモデム６２７または他のワイドエリアネットワークインターフェースを含み得る。図示のネットワーク接続は例示であり、コンピュータ間の通信リンクを確立する他の手段を使用できることを理解されるだろう。コンピューティングデバイス５０１および／または端末６４０は、バッテリ、スピーカ、およびアンテナ（図示せず）などの様々な他のコンポーネントを含むモバイル端末（例えば、携帯電話、スマートフォン、携帯情報端末（ＰＤＡ）、ノートブックなど）とすることもできる。
【0071】
本明細書で説明される態様は、多数の他の汎用または専用コンピューティングシステム環境または構成で動作することもできる。本明細書において説明される態様に使用されるために好適とすることができる他のコンピューティングシステム、環境、および／または構成の例は、これらには限定されないが、パーソナルコンピュータ、サーバコンピュータ、ハンドヘルドデバイスまたはラップトップデバイス、マルチプロセッサシステム、マイクロプロセッサベースシステム、セットトップボックス、プログラマブルコンシューマエレクトロニクス、ネットワークパーソナルコンピュータ（ＰＣ）、ミニコンピュータ、メインフレームコンピュータ、上記システムまたはデバイスのいずれかを含む分散コンピューティング環境などを含む。
【0072】
図６に示すように、１つまたはそれ以上のクライアントデバイス６４０は、１つまたはそれ以上のサーバ６０６ａ～６０６ｎ（本明細書では、「サーバ６０６」と総称される）と通信することができる。一実施の形態では、コンピューティング環境５２０は、サーバ６０６とクライアントマシン６４０との間に設置されたネットワークアプライアンスを含み得る。ネットワークアプライアンスは、クライアント／サーバ接続を管理することができ、いくつかの場合では、クライアント接続の負荷を複数のバックエンドサーバ６０６の間でバランスさせることができる。
【0073】
クライアントマシン６４０は、いくつかの実施の形態では、シングルクライアントマシン６４０またはシングルクライアントマシングループ６４０と称することができるのに対し、サーバ６０６は、シングルサーバ６０６またはシングルサーバグループ６０６と称することができる。一実施の形態では、シングルクライアントマシン６４０が、１つよりも多くのサーバ６０６と通信するのに対し、別の実施の形態では、シングルサーバ６０６は、１つよりも多くのクライアントマシン６４０と通信する。さらに別の実施の形態では、シングルクライアントマシン６４０は、シングルサーバ６０６と通信する。
【0074】
クライアントマシン６４０は、いくつかの実施の形態では、以下の非網羅的な用語：クライアントマシン、クライアント、クライアントコンピュータ、クライアントデバイス、クライアントコンピューティングデバイス、ローカルマシン、リモートマシン、クライアントノード、エンドポイント、またはエンドポイントノード、のうちのいずれか１つで言及される可能性がある。サーバ６０６は、いくつかの実施の形態では、以下の非網羅的な用語：サーバ、ローカルマシン、リモートマシン、サーバファーム、またはホストコンピューティングデバイスのうちのいずれか１つで言及され得る。いくつかの実施の形態では、クライアントマシン６４０は、仮想マシンとすることができる。いくつかの態様では、
仮想マシンは、ハイパーバイザによって管理することができるのに対し、他の態様では、仮想マシンは、サーバ６０６上で実行されるハイパーバイザ、またはクライアント６４０上で実行されるハイパーバイザによって管理することができる。仮想マシンは、コンテナマネージャによって、例えばＤｏｃｋｅｒおよびＬｉｎｕｘ(登録商標) Ｃｏｎｔａｉｎｅｒｓ（ＬＸＣ）によって管理されるコンテナシステムである場合もある。仮想マシンはまた、ハイパーバイザで管理された仮想マシンとコンテナとの組み合わせでもかまわない。
仮想マシンは、ハイパーバイザによって管理することができるのに対し、他の態様では、仮想マシンは、サーバ６０６上で実行されるハイパーバイザ、またはクライアント６４０上で実行されるハイパーバイザによって管理することができる。仮想マシンは、コンテナマネージャによって、例えばＤｏｃｋｅｒおよびＬｉｎｕｘ(登録商標) Ｃｏｎｔａｉｎｅｒｓ（ＬＸＣ）によって管理されるコンテナシステムである場合もある。仮想マシンはまた、ハイパーバイザで管理された仮想マシンとコンテナとの組み合わせでもかまわない。
【0075】
いくつかの実施の形態は、サーバ６０６または他のリモートに位置するマシン上でリモートに実行されるアプリケーションにより生成されたアプリケーション出力を表示するクライアントデバイス６４０を含み得る。これらの実施の形態では、クライアントデバイス６４０は、仮想マシンレシーバプログラムまたはアプリケーションを実行して、アプリケーションウィンドウ、ブラウザ、または他の出力ウィンドウ内に出力を表示することができる。１つの例では、アプリケーションがデスクトップであるのに対し、他の例では、アプリケーションはデスクトップを生成または表示するアプリケーションである。デスクトップは、オペレーティングシステムのインスタンスのユーザインターフェースを提供するグラフィカルシェルを含み得、そのインスタンスに、ローカルアプリケーションおよび／またはリモートアプリケーションを統合することができる。本明細書において使用されるアプリケーションは、オペレーティングシステム（および、任意選択的に、さらにはデスクトップ）のインスタンスを読み込んだ後に実行されるプログラムである。サーバ６０６は、いくつかの実施の形態では、リモートプレゼンテーションプロトコルまたは他のプログラムを使用して、クライアント上で実行されるシンクライアントアプリケーションまたはリモートディスプレイアプリケーションにデータを送信して、サーバ６０６上で実行されるアプリケーションにより生成されたディスプレイ出力を提示し得る。シンクライアントプロトコルまたはリモートディスプレイプロトコルは、フロリダ州Ｆｔ．ＬａｕｄｅｒｄａｌｅのＣｉｔｒｉｘ Ｓｙｓｔｅｍｓ，Ｉｎｃ．により開発されたＩｎｄｅｐｅｎｄｅｎｔ Ｃｏｍｐｕｔｉｎｇ Ａｒｃｈｉｔｅｃｔｕｒｅ（ＩＣＡ）プロトコル、またはワシントン州ＲｅｄｍｏｎｄのＭｉｃｒｏｓｏｆｔ Ｃｏｒｐｏｒａｔｉｏｎにより開発されたＲｅｍｏｔｅ Ｄｅｓｋｔｏｐ Ｐｒｏｔｏｃｏｌ（ＲＤＰ）などのプロトコルとすることができる。
【0076】
リモートコンピューティング環境は、１つよりも多くのサーバ６０６ａ～６０６ｎを含み得、そのため、サーバ６０６ａ～６０６ｎは、例えば、クラウドコンピューティング環境において、サーバファーム６０６に論理的にまとめてグループ化され得る。サーバファーム６０６は、論理的にまとめてグループ化されている状態で地理的に分散されたサーバ６０６、または論理的にまとめてグループ化されている状態で互いに近接して配置されたサーバ６０６を含み得る。サーバファーム６０６内の地理的に分散されたサーバ６０６ａ～６０６ｎは、いくつかの実施の形態では、ＷＡＮ（ワイド）、ＭＡＮ（メトロポリタン）、またはＬＡＮ（ローカル）を使用して通信することができ、異なる地理的地域は、異なる大陸、大陸の異なる地域、異なる国、異なる州、異なる都市、異なるキャンパス、異なる部屋、または前述の地理的な場所の任意の組み合わせとして特徴付けることができる。いくつかの実施の形態では、サーバファーム６０６は、シングルエンティティとして管理され得るのに対し、他の実施の形態では、サーバファーム６０６は、複数のサーバファームを含むことができる。
【0077】
いくつかの実施の形態では、サーバファームは、実質的に同様のタイプのオペレーティングシステムプラットフォーム（例えば、ＷＩＮＤＯＷＳ（登録商標）、ＵＮＩＸ（登録商標）、ＬＩＮＵＸ（登録商標）、ｉＯＳ、ＡＮＤＲＯＩＤ（登録商標）、ＳＹＭＢＩＡＮなど）を実行するサーバ６０６を含み得る。他の実施の形態では、サーバファーム６０６は、第１のタイプのオペレーティングシステムプラットフォームを実行する第１のグル
ープの１つまたはそれ以上のサーバと、第２のタイプのオペレーティングシステムプラットフォームを実行する第２のグループの１つまたはそれ以上のサーバと、を含み得る。
ープの１つまたはそれ以上のサーバと、第２のタイプのオペレーティングシステムプラットフォームを実行する第２のグループの１つまたはそれ以上のサーバと、を含み得る。
【0078】
サーバ６０６は、必要に応じて任意のタイプのサーバとして、例えば、ファイルサーバ、アプリケーションサーバ、ウェブサーバ、プロキシサーバ、アプライアンス、ネットワークアプライアンス、ゲートウェイ、アプリケーションゲートウェイ、ゲートウェイサーバ、仮想化サーバ、展開サーバ、Ｓｅｃｕｒｅ Ｓｏｃｋｅｔｓ Ｌａｙｅｒ（ＳＳＬ）ＶＰＮサーバ、ファイアウォール、ウェブサーバ、アプリケーションサーバとして、あるいはマスターアプリケーションサーバ、アクティブディレクトリを実行するサーバ、またはファイアウォール機能、アプリケーション機能、またはロードバランス機能を実現するアプリケーションアクセラレーションプログラムを実行するサーバとして構成され得る。他のサーバタイプを使用してもよい。
【0079】
いくつかの実施の形態は第１のサーバ６０６ａを含み、第１のサーバ６０６ａは、クライアントマシン６４０から要求を受信し、要求を第２のサーバ６０６ｂ（図示せず）に転送し、クライアントマシン６４０により生成された要求に第２のサーバ６０６ｂ（図示せず）からの応答で応答する。第１のサーバ６０６ａは、クライアントマシン６４０に利用可能な列挙されたアプリケーション、ならびに列挙されたアプリケーション内で識別されるアプリケーションをホストするアプリケーションサーバ６０６に関連するアドレス情報を取得し得る。次に、第１のサーバ６０６ａは、クライアントの要求に対する応答を、ウェブインターフェースを使用して提示し、クライアント６４０と直接通信して、識別されたアプリケーションへのアクセスをクライアント６４０に提供し得る。１つまたはそれ以上のクライアント６４０および／または１つまたはそれ以上のサーバ６０６は、ネットワーク６３０、例えばネットワーク５０１を介してデータを送信し得る。
【0080】
本開示の態様が、その例示的な実施の形態に関して説明されてきた。添付の特許請求項の範囲および趣旨に収まる多数の他の実施の形態、変形、および変更は当業者であれば、本開示を検討することにより想到するであろう。例えば、当業者は、例示的な図に示されたステップが、列挙された順序以外の順序で実行され得、示された１つまたはそれ以上のステップは、任意選択的であり得ることを理解するであろう。以下の特許請求項の範囲における任意のおよびすべての特徴は、可能な限り任意の方法で組み合わせる、または再配置することができる。
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
