特表 2024-502013 エッジコンピューティング環境における強化されたセキュリティを提供するためのシステムおよび方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】

(43)【公表日】2024-01-17

(54)【発明の名称】エッジコンピューティング環境における強化されたセキュリティを提供するためのシステムおよび方法

(51)【国際特許分類】

   G06F 21/55 20130101AFI20240110BHJP

   G06F 21/56 20130101ALI20240110BHJP

【ＦＩ】

G06F21/55

G06F21/56 320

【審査請求】未請求

【予備審査請求】未請求

(21)【出願番号】P 2023539874

(86)(22)【出願日】2021-12-29

(85)【翻訳文提出日】2023-08-23

(86)【国際出願番号】 US2021065505

(87)【国際公開番号】W WO2022147118

(87)【国際公開日】2022-07-07

(31)【優先権主張番号】63/132,166

(32)【優先日】2020-12-30

(33)【優先権主張国・地域又は機関】US

(81)【指定国・地域】

(71)【出願人】

【識別番号】508140877

【氏名又は名称】レベル スリー コミュニケーションズ，エルエルシー

(74)【代理人】

【識別番号】110000877

【氏名又は名称】弁理士法人ＲＹＵＫＡ国際特許事務所

(72)【発明者】

【氏名】スミス、クリストファー

(72)【発明者】

【氏名】ベンジャミン、マイケル

(72)【発明者】

【氏名】ブレクル、ピーター

(57)【要約】

本開示の例は、エッジコンピューティング環境における強化されたセキュリティを提供するためのシステムおよび方法を説明する。第１の態様は、第１の展開位置におけるアプリケーションに動的に適用されるセキュリティ機能を第２の展開位置におけるアプリケーションへ移動する方法を説明する。第２の態様は、展開されたアプリケーションのインスタンスをローカルに拡張／縮小する方法を説明する。第３の態様は、検出された悪意ある行為に関連付けられたネットワークトラフィックを第１のアプリケーション展開環境からセキュリティ保護された第２のアプリケーション展開環境へリダイレクトする方法を説明する。第４の態様は、マルチステージネットワークトラフィックフィルタリングを実行する方法を説明する。

【特許請求の範囲】

【請求項1】

システムの第１のエッジコンピューティング環境において動作するアプリケーションの第１のインスタンスに静的セキュリティ機能を適用する段階；
前記アプリケーションの前記第１のインスタンスに第１の動的セキュリティ機能を適用する段階、ここで、前記第１の動的セキュリティ機能は、前記第１のエッジコンピューティング環境における前記アプリケーションの前記第１のインスタンスの動作に固有の動的情報に基づいて動的に決定される；
前記システムの第２のエッジコンピューティング環境における前記アプリケーションの第２のインスタンスをインスタンス化する段階であって、
前記第１の動的セキュリティ機能を識別する段階；および
前記第２のエッジコンピューティング環境における前記アプリケーションの前記第２のインスタンスに前記静的セキュリティ機能および前記第１の動的セキュリティ機能を適用する段階
を有する、インスタンス化する段階；および
少なくとも一部のトラフィックを前記アプリケーションの前記第１のインスタンスから前記アプリケーションの前記第２のインスタンスへリダイレクトする段階
を備える方法。

【請求項2】

前記システムは、前記システムの第３のエッジコンピューティング環境において動作するアプリケーションの第３のインスタンスを含み、
アプリケーションの前記第３のインスタンスに前記静的セキュリティ機能を適用する段階；および
前記アプリケーションの前記第３のインスタンスに第３の動的セキュリティ機能を適用する段階、ここで、前記第３の動的セキュリティ機能は、前記第３のエッジコンピューティング環境における前記アプリケーションの前記第３のインスタンスの動作に固有の動的情報に基づいている
をさらに備える、請求項１に記載の方法。

【請求項3】

前記第１のエッジコンピューティング環境から前記アプリケーションの前記第１のインスタンスを除去する段階をさらに備える、請求項１または２に記載の方法。

【請求項4】

前記アプリケーションの前記第２のインスタンスをインスタンス化する段階の前に、
前記アプリケーションの前記第１のインスタンスまたは前記第１のエッジコンピューティング環境に関連する性能データを評価する段階；および
前記性能データは閾値を超えている、と判断する段階
をさらに備え、
ここで、前記アプリケーションの前記第２のインスタンスのインスタンス化は、前記性能データは前記閾値を超えているという判断に基づいている、
請求項１から３のいずれか一項に記載の方法。

【請求項5】

前記第１の動的セキュリティ機能は、ＤＤｏＳ軽減機能、ファイアウォール分析機能、ユーザ分析機能およびデータ損失防止機能のうちの１つまたは複数を含む、請求項１から４のいずれか一項に記載の方法。

【請求項6】

前記第１の動的セキュリティ機能を適用する段階は、前記アプリケーションの前記第１のインスタンスがサイバー攻撃を受けている、と判断する段階、攻撃デバイスのソース識別データを識別する段階、前記攻撃デバイスからトラフィックを動的にブロックする段階、および検出された前記サイバー攻撃に対するセキュリティ保護を適用する段階を有し、ここで、前記ソース識別データは、
ユーザ名、ユーザ識別子またはアカウント識別子のうちの１つまたは複数を含むユーザ識別情報；
デバイス名、ＩＰアドレスまたは媒体アクセス制御（ＭＡＣ）アドレスのうちの１つまたは複数を含むデバイス識別情報；または
ネットワーク追跡情報またはパケットヘッダ情報のうちの１つまたは複数を含む発信ネットワーク／領域情報
のうちの１つまたは複数を含む、
請求項１から５のいずれか一項に記載の方法。

【請求項7】

前記第１の動的セキュリティ機能をコアシステムストレージに定期的に格納する段階
をさらに備え、
ここで、前記第２のエッジコンピューティング環境における前記アプリケーションの前記第２のインスタンスに前記第１の動的セキュリティ機能を適用する段階は、前記コアシステムストレージから前記第１の動的セキュリティ機能をコピーする段階を含む、
請求項１から６のいずれか一項に記載の方法。

【請求項8】

前記第２のエッジコンピューティング環境は、信用できないエンティティがセキュリティ保護されたコンピューティング環境を検査するのを防ぐ前記セキュリティ保護されたコンピューティング環境を含み、
前記アプリケーションの前記第１のインスタンスの攻撃者を識別する段階
をさらに備え、
ここで、少なくとも一部のトラフィックを前記アプリケーションの前記第１のインスタンスから前記アプリケーションの前記第２のインスタンスへリダイレクトする段階は、識別された前記攻撃者からのトラフィックのみをリダイレクトする段階を有する、
請求項１から７のいずれか一項に記載の方法。

【請求項9】

前記第２のエッジコンピューティング環境における前記アプリケーションの前記第２のインスタンスに前記第１の動的セキュリティ機能を適用する段階は、
前記少なくとも一部のトラフィックのフィルタリングを実行するために前記第２のエッジコンピューティング環境の第１のコンポーネントを決定する段階；
前記第１のコンポーネントを用いて前記少なくとも一部のトラフィックをフィルタリングする段階；
前記第２のエッジコンピューティング環境の性能データをモニタリングする段階；および
前記第２のエッジコンピューティング環境の前記性能データに基づいて、前記少なくとも一部のトラフィックのフィルタリングを前記第２のエッジコンピューティング環境の第２のコンポーネントに始めさせる段階
を含む、
請求項１から８のいずれか一項に記載の方法。

【請求項10】

少なくとも１つのプロセッサ；および
前記プロセッサに動作可能に接続され、コンピュータ実行可能命令を格納したメモリ
を備えるシステムであって、
前記コンピュータ実行可能命令は、前記少なくとも１つのプロセッサにより実行された場合、
システムの第１のエッジコンピューティング環境において動作するアプリケーションの第１のインスタンスに静的セキュリティ機能を適用する段階；
前記アプリケーションの前記第１のインスタンスに第１の動的セキュリティ機能を適用する段階、ここで、前記第１の動的セキュリティ機能は、前記第１のエッジコンピューティング環境における前記アプリケーションの前記第１のインスタンスの動作に固有の動的情報に基づいて動的に決定される；
前記アプリケーションの第２のインスタンスをインスタンス化する段階であって、
前記第１の動的セキュリティ機能を識別する段階；および
前記アプリケーションの前記第２のインスタンスに前記静的セキュリティ機能および前記第１の動的セキュリティ機能を適用する段階
を含む、インスタンス化する段階；および
少なくとも一部のトラフィックを前記アプリケーションの前記第１のインスタンスから前記アプリケーションの前記第２のインスタンスへリダイレクトする段階
を含む方法を前記システムに実行させる、
システム。

【請求項11】

前記システムは、前記システムの第３のエッジコンピューティング環境において動作するアプリケーションの第３のインスタンスを含み、前記方法は、
アプリケーションの前記第３のインスタンスに前記静的セキュリティ機能を適用する段階；および
前記アプリケーションの前記第３のインスタンスに第３の動的セキュリティ機能を適用する段階、ここで、前記第３の動的セキュリティ機能は、前記第３のエッジコンピューティング環境における前記アプリケーションの前記第３のインスタンスの動作に固有の動的情報に基づいている
をさらに含む、請求項１０に記載のシステム。

【請求項12】

前記方法は、前記第１のエッジコンピューティング環境から前記アプリケーションの前記第１のインスタンスを除去する段階をさらに含む、請求項１０または１１に記載のシステム。

【請求項13】

前記方法は、前記アプリケーションの前記第２のインスタンスをインスタンス化する段階の前に、
前記アプリケーションの前記第１のインスタンスまたは前記第１のエッジコンピューティング環境に関連する性能データを評価する段階；および
前記性能データは閾値を超えている、と判断する段階
をさらに含み、
ここで、前記アプリケーションの前記第２のインスタンスのインスタンス化は、前記性能データは前記閾値を超えているという判断に基づいている、
請求項１０から１２のいずれか一項に記載のシステム。

【請求項14】

前記第１の動的セキュリティ機能は、ＤＤｏＳ軽減機能、ファイアウォール分析機能、ユーザ分析機能およびデータ損失防止機能のうちの１つまたは複数を含む、請求項１０から１３のいずれか一項に記載のシステム。

【請求項15】

前記第１の動的セキュリティ機能を適用する段階は、前記アプリケーションの前記第１のインスタンスがサイバー攻撃を受けている、と判断する段階、攻撃デバイスのソース識別データを識別する段階、前記攻撃デバイスからトラフィックを動的にブロックする段階、および検出された前記サイバー攻撃に対するセキュリティ保護を適用する段階を含み、ここで、前記ソース識別データは、
ユーザ名、ユーザ識別子またはアカウント識別子のうちの１つまたは複数を含むユーザ識別情報；
デバイス名、ＩＰアドレスまたは媒体アクセス制御（ＭＡＣ）アドレスのうちの１つまたは複数を含むデバイス識別情報；または
ネットワーク追跡情報またはパケットヘッダ情報のうちの１つまたは複数を含む発信ネットワーク／領域情報
のうちの１つまたは複数を含む、
請求項１０から１４のいずれか一項に記載のシステム。

【請求項16】

前記方法は、
前記第１の動的セキュリティ機能をコアシステムストレージに定期的に格納する段階
をさらに含み、
ここで、前記アプリケーションの前記第２のインスタンスに前記第１の動的セキュリティ機能を適用する段階は、前記コアシステムストレージから前記第１の動的セキュリティ機能をコピーする段階を含む、
請求項１０から１５のいずれか一項に記載のシステム。

【請求項17】

前記アプリケーションの第２のインスタンスをインスタンス化する段階は、信用できないエンティティがセキュリティ保護されたコンピューティング環境を検査するのを防ぐ前記セキュリティ保護されたコンピューティング環境を含む第２のエッジコンピューティング環境における前記アプリケーションの前記第２のインスタンスをインスタンス化する段階を含む、請求項１０から１６のいずれか一項に記載のシステム。

【請求項18】

前記方法は、
前記アプリケーションの前記第１のインスタンスの攻撃者を識別する段階
をさらに含み、
ここで、少なくとも一部のトラフィックを前記アプリケーションの前記第１のインスタンスから前記アプリケーションの前記第２のインスタンスへリダイレクトする段階は、識別された前記攻撃者からのトラフィックのみをリダイレクトする段階を含む、
請求項１７に記載のシステム。

【請求項19】

システムの第１のエッジコンピューティング環境において動作するアプリケーションの第１のインスタンスに静的セキュリティ機能を適用する段階；
前記アプリケーションの前記第１のインスタンスを前記第１のエッジコンピューティング環境において動作させる段階；
前記アプリケーションの前記第１のインスタンスを前記第１のエッジコンピューティング環境において動作させることに関連する動的情報を収集する段階；
前記アプリケーションの前記第１のインスタンスに第１の動的セキュリティ機能を適用する段階、ここで、前記第１の動的セキュリティ機能は、収集された前記動的情報に基づいて動的に決定される；
前記アプリケーションの前記第１のインスタンスまたは前記第１のエッジコンピューティング環境に関連する性能データを評価する段階；および
前記性能データは閾値を超えている、と判断する段階；
前記性能データは前記閾値を超えている、という判断に基づいて、前記システムの第２のエッジコンピューティング環境における前記アプリケーションの第２のインスタンスをインスタンス化する段階であって、
前記第１の動的セキュリティ機能を識別する段階；および
前記第２のエッジコンピューティング環境における前記アプリケーションの前記第２のインスタンスに前記静的セキュリティ機能および前記第１の動的セキュリティ機能を適用する段階
を有する、インスタンス化する段階；および
少なくとも一部のトラフィックを前記アプリケーションの前記第１のインスタンスから前記アプリケーションの前記第２のインスタンスへリダイレクトする段階
を備える方法。

【請求項20】

前記第１の動的セキュリティ機能を適用する段階は、前記アプリケーションの前記第１のインスタンスがサイバー攻撃を受けている、と判断する段階、攻撃デバイスのソース識別データを識別する段階、前記攻撃デバイスからトラフィックを動的にブロックする段階、および検出された前記サイバー攻撃に対するセキュリティ保護を適用する段階を有し、ここで、前記ソース識別データは、
ユーザ名、ユーザ識別子またはアカウント識別子のうちの１つまたは複数を含むユーザ識別情報；
デバイス名、ＩＰアドレスまたは媒体アクセス制御（ＭＡＣ）アドレスのうちの１つまたは複数を含むデバイス識別情報；または
ネットワーク追跡情報またはパケットヘッダ情報のうちの１つまたは複数を含む発信ネットワーク／領域情報
のうちの１つまたは複数を含む、
請求項１９に記載の方法。

【発明の詳細な説明】

【背景技術】

【0001】

関連出願の相互参照
本願は、２０２０年１２月３０日に出願され、「エッジコンピューティング環境における強化されたセキュリティを提供するためのシステムおよび方法」と題する米国仮特許出願第６３／１３２，１６６号の利益を主張する。当該特許出願は、参照により、その全体が本明細書に組み込まれる。

【0002】

エッジコンピューティングは、ネットワークの（例えば、ユーザおよびデバイスが情報を消費する）「エッジ」から地理的または論理的に遠く離れていることがある一元化された位置に依存するのではなく、情報処理およびデータ格納が地理的および／または論理的にこのエッジの近くに位置する分散コンピューティングパラダイムである。概して、エッジコンピューティングにより、応答時間が改善され、データ要求の帯域幅が節約される。追加的に、エッジコンピューティングは、データ要求をローカルに（エッジにおいて）処理することによりコスト節約を提供し、これにより、より高価な集中型またはクラウドベースの位置で処理されなければならないデータの量を低減し得る。エッジコンピューティングの様々な利点にもかかわらず、エッジ環境は、サイバー攻撃など、悪意ある行為により深刻な影響を受け得る。

【0003】

これらおよび他の一般的な考慮事項に関して、本明細書において開示される態様がなされている。また、比較的具体的な問題が論じられ得るが、これらの例は背景技術または本開示における他の箇所において特定される具体的な問題の解決に限定されるべきではないことを理解されたい。

【発明の概要】

【0004】

本開示の例は、第１の展開位置におけるアプリケーションに動的に適用されるセキュリティ機能を第２の展開位置におけるアプリケーションへ移動するためのシステムおよび方法を説明する。態様において、アプリケーションの第１のインスタンスは、第１のアプリケーション展開位置に関連付けられたエッジコンピューティング環境において展開され得る。１つまたは複数のセキュリティ機能は、アプリケーションの第１のインスタンスが第１のアプリケーション展開位置において展開されている間、アプリケーションの第１のインスタンスに動的に適用され得る。アプリケーションの第１のインスタンスに動的に適用されるセキュリティ機能が決定されてよく、アプリケーションの第２のインスタンスが第２のアプリケーション展開位置においてインスタンス化されてよい。次に、アプリケーションの第１のインスタンスに動的に適用されるセキュリティ機能は、アプリケーションの第２のインスタンスに適用され得る。いくつかの態様において、次に、アプリケーションの第１のインスタンスは、アクセス不可能にされてよく、その結果、アプリケーションの第１のインスタンスに向けられたネットワークトラフィックは、アプリケーションの第２のインスタンスへリダイレクトされる。他の態様において、アプリケーションの第１のインスタンスは、アクティブおよび／またはアクセス可能なままであってよく、その結果、ネットワークトラフィックは、アプリケーションの第１のインスタンスおよびアプリケーションの第２のインスタンスにより受信および処理されてよい。

【0005】

本開示の例はさらに、マルチステージネットワークトラフィックフィルタリングを実行するためのシステムおよび方法を説明する。態様において、アプリケーションのインスタンスが、エッジコンピューティング環境において展開され得る。アプリケーションのインスタンスは、エッジコンピューティング環境のいずれか１つまたはいくつかのコンポーネントを用いてアプリケーションにより受信されるネットワークトラフィックのフィルタリングを実行するように構成されたネットワークトラフィックフィルタリングシステムに関連付けられ得る。アプリケーションに向けられたネットワークトラフィックを受信すると、フィルタリングシステムは、ネットワークトラフィックを評価して、ネットワークトラフィックがフィルタリングされるべきかどうかを判断し得る。フィルタリングシステムは、ネットワークトラフィックがフィルタリングされるべきと判断した場合、１つまたは複数の形式の決定ロジックを用いて、エッジコンピューティング環境のどのコンポーネントがフィルタリングを実行するかを決定し得る。次に、フィルタリングシステムは、エッジコンピューティング環境の決定されたコンポーネントにネットワークトラフィックをフィルタリングさせ得る。態様において、エッジコンピューティング環境の性能データも評価されてよく、その評価に基づいて、ネットワークトラフィックのフィルタリングを始めるためのエッジコンピューティング環境の第２のコンポーネントが選択されてよい。

【0006】

この発明の概要は、発明を実施するための形態において以下でさらに説明される概念から選択したものを簡略化された形式で紹介するために提供される。この発明の概要は、特許請求される主題の重要な機能または必須の機能を識別するようには意図されておらず、特許請求される主題の範囲を限定するために用いられるようにも意図されていない。例の追加の態様、特徴および／または利点は、後続の説明において部分的に記載され、部分的に、説明から明らかになり、または本開示の実施により認識され得る。

【図面の簡単な説明】

【0007】

以下の図を参照して、非限定的かつ非網羅的な例を説明する。

【0008】

【図1】エッジコンピューティング環境における強化されたセキュリティを提供するための例示的なシステムを示す。

【0009】

【図2】エッジコンピューティング環境における強化されたセキュリティを提供するための例示的な処理環境を示す。

【0010】

【図3】第１の展開位置におけるアプリケーションに動的に適用されるセキュリティ機能を第２の展開位置におけるアプリケーションへ移動する例示的な方法を示す。

【0011】

【図4】展開されたアプリケーションのインスタンスをローカルに拡張／縮小する例示的な方法を示す。

【0012】

【図5】検出された悪意ある行為に関連付けられたネットワークトラフィックを第１のアプリケーション展開環境からセキュリティ保護された第２のアプリケーション展開環境へリダイレクトする例示的な方法を示す。

【0013】

【図6】マルチステージネットワークトラフィックフィルタリングを実行する例示的な方法を示す。

【0014】

【図7】本実施形態のうちの１つまたは複数が実装され得る適切な動作環境の１つの例を示す。

【発明を実施するための形態】

【0015】

多くのネットワークベースのコンピューティング解決手段では、データの処理および格納は、データを最終的に消費するデバイスおよびアプリケーションから地理的または論理的に遠く離れていることがある一元化された位置で行われる。エッジコンピューティングは、（とりわけ）モノのインターネット（ＩｏＴ）デバイスの指数関数的な成長に対処するために開発されたものであり、これらの一元化された位置におけるデータ処理および格納ロードに寄与する。エッジコンピューティングでは、データ処理およびデータ格納の少なくとも一部を、一元化された位置から消費デバイスおよびアプリケーションに地理的および／または論理的に近い位置（「エッジ位置」）へ移動させる。データ処理およびデータ格納をエッジ位置へこのように移動させることで、特にリアルタイムデータが使用／予想される場合に、アプリケーション性能およびユーザエクスペリエンスに影響を及ぼし得るデータレイテンシ問題が軽減される。また、データ処理およびデータ格納をエッジ位置へこのように移動させることで、データの帯域幅コストが低減する。これは、データが消費デバイスおよびアプリケーションからデータ処理および格納位置まで移動しなければならない距離に基づき得る。

【0016】

エッジ位置は、１つまたは複数のタスクを実行するための機能およびサービスを含み得る。例えば、１つまたは複数のアプリケーションのインスタンスは、１つまたは複数のエッジ位置においてインスタンス化され得る。アプリケーションは、様々なユーザおよびユーザデバイスからのデータ要求を処理し得る。概して、セキュリティ情報（セキュリティポリシー、構成設定等）は、各アプリケーションインスタンスに適用され得る。セキュリティ情報は、「静的」セキュリティ情報および「動的」セキュリティ情報を含み得る。アプリケーションがそれぞれのエッジ位置においてインスタンス化され、またはそれぞれのエッジ位置へ展開される場合、静的セキュリティ情報は、アプリケーションに適用され得る。例えば、各アプリケーションは、デフォルトセキュリティ構成を用いてインスタンス化／展開され得る。デフォルトセキュリティ構成は、アプリケーションまたはアプリケーションタイプの各々に適用されるセキュリティオプションのセットを定義し得る。代替的に、静的セキュリティ情報は、アプリケーションがそれぞれのエッジ位置においてインスタンス化され、またはそれぞれのエッジ位置へ展開された後、アプリケーションに提供され得る。例えば、集中型のクラウドベース環境は、様々なエッジ位置におけるアプリケーションに定期的なセキュリティ更新を提供し得る。定期的なセキュリティ更新は概して、様々なエッジ位置におけるいくつかの（または全ての）アプリケーションに適用可能であってよい。いずれのシナリオでも、アプリケーションの各インスタンス、またはアプリケーションタイプは、同じデフォルトセキュリティ構成を含み得る。

【0017】

動的セキュリティ情報は、アプリケーションがエッジ位置においてインスタンス化され、またはエッジ位置へ展開された後、単一のアプリケーションに適用され得る。動的セキュリティ情報は、特定のアプリケーション、アプリケーションのインスタンス、またはアプリケーションタイプのために構成されたセキュリティオプションのセットを定義し得る。例えば、アプリケーションの第１のインスタンスおよび第２のインスタンスは、１つまたは複数のエッジ位置へ展開され得る。アプリケーションの第１のインスタンスをターゲットにしているサイバー攻撃の検出に応答して、１つまたは複数のＩＰアドレス、それに関連付けられたデバイストラフィック、何らかの一意のまたは動的に導出された識別子、または攻撃デバイスについての他の方法は、アプリケーションの第１のインスタンスにより動的にブロックされ得る。追加的に、検出された特定のタイプのサイバー攻撃に対するセキュリティ保護が、アプリケーションの第１のインスタンスへ動的に割り当てられ得る。アプリケーションの第１のインスタンスに適用されるセキュリティがアプリケーションの第２のインスタンスに自動的に適用されないので、動的セキュリティ情報は、アプリケーションの第１のインスタンスの現在のセキュリティ状態を表す。特に、エッジコンピューティング環境のための従来のセキュリティ手順では、アプリケーションの第１のインスタンスの動的セキュリティ情報をアプリケーションの第２のインスタンスへ動的かつ自動的に適用することが可能ではない。結果として、多くのアプリケーションの動的セキュリティ情報は、アプリケーションの新しいインスタンスに適用されないことが多いので、新しいインスタンスは、既知のおよび前に試みられた攻撃に対して脆弱なままである。

【0018】

エッジコンピューティング環境におけるそのような問題に対処するために、本開示は、第１のアプリケーションインスタンスの現在のセキュリティ状態を第２のアプリケーションインスタンスへ移動するための様々なシステムおよび方法を提供する。態様において、アプリケーション（またはそのインスタンス）が修正され得る。例えば、アプリケーションのインスタンスは、第１のエッジ位置から第２のエッジ位置へ移動またはコピーされ得る。代替的に、アプリケーションは、エッジ位置において拡張または縮小されてよく、その結果、アプリケーションの１つまたは複数のインスタンスは、展開または除去され得る。アプリケーションのそのような修正は、例えば、ユーザ挙動パターンの修正、ユーザ位置および／またはユーザ人口の修正、サイバー攻撃または悪意ある行為の検出、修正されたリソース利用の検出、アプリケーション機能または処理フローの修正、事業の成長または再配置等に応答して実行され得る。そのような修正が行われる場合、動的セキュリティ情報（および／または静的セキュリティ情報）が、アプリケーションの新しいインスタンスに適用され得る。例えば、動的セキュリティ情報は、第１のインスタンスから、または、第１のインスタンスからの動的セキュリティ情報がコピーされたレポジトリから取得され得る。次に、取得された動的セキュリティ情報は、第１のインスタンスおよび新しいインスタンスが同じ（または実質的に同様の）動的セキュリティ情報を共有するように、新しいインスタンスに適用され得る。したがって、アプリケーションの既存のインスタンスの動的セキュリティ情報（および／または静的セキュリティ情報）は、新しいインスタンスが展開される場合、アプリケーションの新しいインスタンスに自動的に適用される。

【0019】

いくつかの態様において、エッジ位置に位置するエッジデバイスおよび／またはアプリケーションは、検出された異常についてのアクティブセキュリティ措置を用いて構成され得る。例えば、アプリケーションへのアクセスを提供しているエッジデバイスは、アプリケーションに向けられたネットワークトラフィックをモニタリング／評価するように構成され得る。アプリケーションに向けられた疑わしいサイバー攻撃または他の悪意ある行為を検出すると、エッジデバイスまたはアプリケーションは、疑わしいネットワークトラフィックをセカンダリコンピューティング環境へリダイレクトさせ得る。セカンダリコンピューティング環境は、セキュアであってよく、ネットワークトラフィックに抵抗するように、および／またはネットワークトラフィックをモニタリングするように構成されてよい。セカンダリコンピューティング環境は、アプリケーションの第２のインスタンスを含み得る。代替的に、アプリケーションのインスタンスは、疑わしいネットワークトラフィックが検出されると、セカンダリコンピューティング環境へ展開され得る。セカンダリコンピューティング環境への疑わしいネットワークトラフィックのリダイレクト時（またはその前）に、アプリケーションの動的セキュリティ情報は、セカンダリコンピューティング環境において展開されるアプリケーションのインスタンスに適用され得る。したがって、セカンダリコンピューティング環境において展開されたインスタンスのセキュリティ状態は、疑わしいネットワークトラフィックがリダイレクトされる場合にエッジデバイス上に展開されたアプリケーションのセキュリティ状態と同じ（または実質的に同様）であり得る。

【0020】

検出された異常についてのアクティブセキュリティ措置の別の例として、エッジデバイスは、マルチステージネットワークトラフィックフィルタリングメカニズムを含み得る。フィルタリングメカニズムは、エッジコンピューティング環境にアクセス可能な様々なコンポーネントを用いて、アプリケーションにより受信されるネットワークトラフィックのフィルタリングを実行するように構成され得る。アプリケーションに向けられたネットワークトラフィックを受信すると、フィルタリングメカニズムは、ネットワークトラフィックを評価して、ネットワークトラフィックがフィルタリングされるべきかどうかを判断し得る。フィルタリングメカニズムは、ネットワークトラフィックがフィルタリングされるべきと判断した場合、１つまたは複数の形式の決定ロジックを用いて、エッジコンピューティング環境のどのコンポーネントがフィルタリングを実行するかを決定し得る。例えば、フィルタリングメカニズムは、エッジコンピューティング環境の様々なコンポーネントにより登録されるセキュリティポリシーを用いて、ネットワークトラフィックがハードウェアレベルでフィルタリングされるべきか、またはソフトウェアレベルでフィルタリングされるべきかを判断し得る。

【0021】

それに応じて、本開示は、とりわけ、限定されるわけではないが、第１のアプリケーションの現在のセキュリティ状態を動的かつ自動的に判断して第２のアプリケーションに適用すること、エッジコンピューティング環境における展開されたアプリケーションのインスタンスを動的かつ自動的に拡張／縮小すること、悪意あるエンティティをセキュリティ保護された第２のアプリケーション展開環境へ動的にリダイレクトすること、およびエッジコンピューティング環境におけるマルチステージネットワークトラフィックフィルタリングを実行することを含む複数の技術的利益を提供する。

【0022】

図１は、第１の展開位置におけるアプリケーションに動的に適用されるセキュリティ機能を第２の展開位置におけるアプリケーションへ移動する例示的なシステムの概要を示す。提示される例示的なシステム１００は、統合システムを形成するためにインタラクトする相互依存的コンポーネントの組み合わせである。システム１００のコンポーネントは、システムのハードウェアコンポーネントに実装される、および／またはシステムのハードウェアコンポーネントにより実行されるハードウェアコンポーネントまたはソフトウェアコンポーネントであってよい。システム１００は、システム１００の動作に関する制約、リソースおよびファシリティに従って実行するためのソフトウェアコンポーネントの動作環境を提供し得る。１つの例において、動作環境および／またはソフトウェアコンポーネントは、図７に示される単一の処理デバイスにより提供され得る。別の例において、システムの動作環境およびソフトウェアコンポーネントは、複数のデバイスにわたって分散され得る。例えば、入力がユーザデバイスに入れられてよく、１つまたは複数のネットワークデバイスおよび／またはサーバデバイスなど、ネットワーク内の他のデバイスを用いて、情報が処理またはアクセスされてよい。

【0023】

図１において、システム１００は、プロバイダネットワーク１０２、エッジ環境１０４Ａ、１０４Ｂおよび１０４Ｃ（総称して、「エッジ環境１０４」）、およびユーザデバイス１０８Ａ、１０８Ｂ、１０８Ｃ、１０８Ｄおよび１０８Ｅ（総称して、「ユーザデバイス１０８」）を備える。システム１００などのシステムのスケールは、異なり得ると共に、図１において説明されているものよりも多いかまたは少ないコンポーネントを含み得ることを、当業者であれば理解するであろう。例えば、いくつかの例において、エッジ環境１０４およびプロバイダネットワーク１０２の機能およびコンポーネントは、単一の処理システムまたは環境へ統合され得る。代替的に、エッジ環境１０４の機能およびコンポーネントは、複数のエッジ環境、ユーザデバイスおよび／またはクラウドネットワークにわたって分散され得る。

【0024】

プロバイダネットワーク１０２は、例えば、インターネット、プライベートネットワーク、ワイドエリアネットワーク（ＷＡＮ）等、１つまたは複数のネットワークを介して様々なコンピューティングサービス（例えば、アプリケーション、ストレージ、処理能力）を配信するように構成され得る。プロバイダネットワーク１０２は、多数のハードウェアおよび／またはソフトウェアコンポーネントを備えてよく、１つまたは複数のコンピューティングモデル（例えば、ソフトウェアアズアサービス（ＳａａＳ）、プラットフォームアズアサービス（ＰａａＳ）、インフラストラクチャアズアサービス（ＩａａＳ））の対象になってよい。態様において、プロバイダネットワーク１０２は、エッジコンピューティングアーキテクチャの一部として実装され得る。例えば、プロバイダネットワーク１０２は、オーケストレーションメカニズムへのアクセスを提供し得る。オーケストレーションメカニズムは、デバイス、そのコンポーネントまたはサービス等であってよい。オーケストレーションメカニズムは、１つまたは複数のエンティティに関連付けられた１つまたは複数のアプリケーションへのアクセスを提供するユーザインタフェースを提供し得る。本明細書において用いられる場合、エンティティは、組織または会社、人またはユーザ、またはグループ等を指し得る。ユーザインタフェースは、ユーザレベル（例えば、非管理者）および／または管理者レベルのアクセスおよび特権をアプリケーションに提供し得る。アプリケーションは、地理的に分散された複数のユーザにアクセス可能であってよい。複数のユーザのための改善されたユーザエクスペリエンス（例えば、改善された応答時間および減少した帯域幅使用量）を容易にすべく、アプリケーションの計算およびデータ格納の要件の少なくとも一部は、エッジ環境１０４など、アプリケーションに要求を提供するユーザに（地理的に、および／または論理的に）より近い位置へ移動または分散され得る。

【0025】

エッジ環境１０４は、１つまたは複数のネットワークを介して様々なコンピューティングサービスを特定の地理的な領域またはエリア（例えば、国、州、都市、近隣、建物）のユーザへ配信するように構成され得る。エッジ環境１０４は、１つまたは複数のユーザに地理的に（および／または論理的に）近い領域またはエリアに確立され、または位置し得る。例えば、第１のエッジ環境は、第１の都市におけるユーザの第１のセットに地理的に近接して確立されてよく、第２のエッジ環境は、第２の都市におけるユーザの第２のセットに地理的に近接して確立されてよい。第１のエッジ環境は、ユーザの第１のセットにより提供されるデータ要求のための増加した応答時間を提供してよく、第２のエッジ環境は、ユーザの第２のセットにより提供されるデータ要求のための増加した応答時間を提供してよい。エッジ環境１０４は、エッジノード１０６Ａ、１０６Ｂおよび１０６Ｃ、１０６Ｄ、１０６Ｅおよび１０６Ｆ（総称して、「エッジノード１０６」）を備え得る。エッジノード１０６は、プロバイダネットワーク１０２など、企業またはサービスプロバイダコアネットワークへのエントリポイントを提供し、または２つのネットワーク間のデータフローを制御してよい。概して、エッジノード１０６は、特定の役割を遂行するように設計されてよく、プロバイダネットワーク１０２により提供される１つまたは複数のアプリケーションに関連する特定のタスクを実現するためのアプリケーションおよび／またはサービスを用いて構成されてよい。エッジノード１０６の例は、サーバデバイス、ルータ、ルーティングスイッチ、統合アクセスデバイス、マルチプレクサ等を含み得る。

【0026】

ユーザデバイス１０８は、プロバイダネットワーク１０２および／またはエッジ環境１０４により提供されるアプリケーション／サービスとインタラクトするように構成された様々なエンドユーザデバイスおよび／またはモノのインターネット（ＩｏＴ）デバイスを表し得る。例えば、ユーザデバイス１０８は、プロバイダネットワーク１０２により提供される１つまたは複数のアプリケーションにデータ要求を提供してよく、プロバイダネットワーク１０２により提供される１つまたは複数のアプリケーションから結果データを受信してよい。ユーザデバイス１０８により提供されるデータ要求の応答時間および／または帯域幅使用量は、ユーザデバイス１０８および対応するエッジ環境の間の距離に応じて異なり得る。例えば、ユーザデバイス１０８およびエッジ環境の間の距離が減ったときに、データ要求を遂行するための応答時間が増えてよく、および／または、データ要求のための帯域幅使用量が減ってよい。結果として、第１のユーザデバイスが第２のユーザデバイスよりもエッジ環境に地理的により近い場合、第１のデバイスによりエッジ環境に提供されるデータ要求のための応答時間は、第２のデバイスによりエッジ環境に提供されるデータ要求のための応答時間よりも速くてよい。代替的に、地理的領域内の全てのデバイスにより提供されるデータ要求のための応答時間はおおよそ、特定の時間範囲と同様または特定の時間範囲内であってよい。ユーザデバイス１０８の例は、限定されるわけではないが、パーソナルコンピュータ（ＰＣ）、モバイルデバイス（例えば、スマートフォン、タブレット、ラップトップ、パーソナルデジタルアシスタント（ＰＤＡ（登録商標）））およびウェアラブルデバイス（例えば、スマートウォッチ、スマートアイウェア、フィットネストラッカー、スマート衣類、身体装着型デバイス）を含む。それに応じて、ユーザデバイス１０８は、入力を受信または収集するためのセンサ、アプリケーションおよび／またはサービスを含み得る。例示的なセンサは、マイク、タッチベースセンサ、キーボード、ポインティング／選択ツール、光／磁気スキャナ、加速度計、磁力計、ジャイロスコープ等を含む。収集される入力は、例えば、音声入力、タッチ入力、文字ベース入力、ジェスチャ入力、ビデオ入力および／または画像入力を含み得る。

【0027】

図２は、本明細書において説明される、第１のアプリケーションの現在のセキュリティ状態を第２のアプリケーションへ移動するための例示的な処理環境２００を示す。処理環境２００により実装される技術は、図１のシステム１００において説明される技術およびデータを含み得る。図２および後続の図における例がエッジコンピューティング環境の文脈で論じられるが、クラウドコンピューティング環境など、他の文脈にもこれらの例が適用可能であることが想定されている。いくつかの例において、処理環境２００の１つまたは複数のコンポーネント（またはその機能）は、複数のデバイスにわたって分散され得る。他の例において、単一のデバイスは、処理環境２００のコンポーネントを備え得る。

【0028】

態様において、処理環境２００のいくつかまたは全ては、図１のエッジコンピューティング環境１０４Ａ、１０４Ｂおよび１０４Ｃなど、エッジコンピューティング環境に実装され得る。エッジコンピューティング環境は、１つまたは複数のユーザまたはユーザグループに地理的に近接して位置し得る。処理環境２００は、コアネットワークまたはコアコンピューティング環境のための地理的に局在するアプリケーションおよび／またはサービスを提供し得る。例えば、コアネットワーク（図１におけるプロバイダネットワーク１０２など）により提供されるアプリケーション（またはそのインスタンス）は、処理環境２００へ移動されてよく、または処理環境２００においてインスタンス化されてよい。コアネットワークと比較すると、処理環境２００は、処理環境２００の近くに位置するユーザのための改善された処理能力、データ格納および／またはデータセキュリティを提供し得る。図２において、処理環境２００は、アプリケーション２０２、入力検出コンポーネント２０４、セキュリティ評価エンジン２０６、アプリケーションインスタンス化エンジン２０８、セキュリティ適用エンジン２１０、リダイレクトコンポーネント２１２およびフィルタリングエンジン２１４を備える。処理環境２００のスケールは、異なり得ると共に、追加の、または図２において説明されるものよりも少ないコンポーネントを含み得ることを、当業者であれば理解するであろう。

【0029】

アプリケーション２０２は、コアネットワークまたはコアコンピューティング環境により提供される１つまたは複数のアプリケーション、サービスまたはそれらの組み合わせであってよい。いくつかの例において、アプリケーション２０２（またはその態様）は、コアネットワークまたはコアコンピューティング環境から処理環境２００へオフロードされ得る。アプリケーション２０２の例は、限定されるわけではないが、スマート製造アプリケーション、ビデオ分析アプリケーション、販売時点（ＰＯＳ）トランザクションアプリケーション、小売ロボット工学アプリケーション、ＡＩ／ＭＬサービスおよび機能、ビッグデータ分析アプリケーション、災害復旧サービス、データ格納サービス、ワードプロセッシングアプリケーション、スプレッドシートアプリケーション、シミュレート現実アプリケーション（例えば、仮想現実、複合現実、拡張現実）、ウェブブラウザアプリケーション、メッセージングアプリケーション、ワークフローアプリケーション、メディアプレーヤ／処理アプリケーションおよびゲームアプリケーションを含む。

【0030】

入力検出コンポーネント２０４は、アプリケーション２０２および１つまたは複数のユーザ、デバイスまたはシステムの間のインタラクションを受信および／または検出するように構成され得る。いくつかの例において、入力検出コンポーネント２０４は、処理環境２００のエッジコンピューティングデバイス（エッジノード１０６など）のバックグラウンド処理として実装され得る。バックグラウンド処理は、アプリケーション２０２により送信／受信されるデータ、および／またはアプリケーション２０２のリソース利用パラメータをモニタリングし得る。リソース利用パラメータの例は、負荷平均、ＣＰＵ使用量、メモリ使用量、スワップ領域使用量、ページスワップ、ディスク使用量等を含み得る。他の例において、入力検出コンポーネント２０４は、アプリケーション２０２とインタラクトするためのユーザインタフェースとして実装され得る。ユーザインタフェースは、ユーザがアプリケーション２０２をレビューすること、アプリケーション２０２を修正すること、またはそうでなければアプリケーション２０２とインタラクトすること、および／またはアプリケーション２０２を操作することを可能にするユーザレベル（例えば、非管理者）のアクセスおよび特権を提供し得る。そのようなユーザインタフェースは、アプリケーション２０２を含むエッジコンピューティングデバイスに実装され得る。代替的に、ユーザインタフェースは、コアネットワークにおける、またはそうでなければアプリケーション２０２を含むエッジコンピューティング環境の外部のデバイスに実装され得る。そのようなユーザインタフェースは、管理者レベルのアクセスおよび特権をアプリケーション２０２に提供し得る。例えば、オーケストレーションデバイスは、コアネットワークへのアクセスを有するコンピューティング環境内に位置し得る。オーケストレーションデバイスは、コアネットワークのグローバルビューおよびエッジコンピューティング環境の各々を有する管理者ユーザインタフェースを提供し得る。管理者ユーザインタフェースは、ユーザ（システムまたはネットワーク管理者など）がアプリケーション（またはそのインスタンス）を第１の展開位置から第２の展開位置へ移動すること、１つまたは複数の展開位置におけるアプリケーションの新しいインスタンスをインスタンス化すること、展開位置からアプリケーションのインスタンスを除去すること、セキュリティ機能をアプリケーションに追加／アプリケーションから除去すること等を可能にし得る。いずれの実装シナリオでも、入力検出コンポーネント２０４は、アプリケーションを移動、コピーまたはインスタンス化するための要求または命令を受信または検出し得る。要求／命令は、１つまたは複数のリソース利用パラメータおよび／またはユーザインタフェース入力を評価することにより識別され得る。評価は、例えば、パターンマッチング、正規表現、ファジーマッチング、閾値分析等、１つまたは複数のデータ比較技術の使用を含み得る。

【0031】

セキュリティ評価エンジン２０６は、アプリケーション（またはそのインスタンス）に適用されるセキュリティ機能を識別するように構成され得る。例において、セキュリティ評価エンジン２０６は、入力検出コンポーネント２０４により受信または検出される入力に応答して呼び出され得る。例えば、アプリケーションを移動、コピーまたはインスタンス化するための要求または命令が受信または検出された場合、セキュリティ評価エンジン２０６が呼び出され得る。セキュリティ評価エンジン２０６を呼び出すことは、命令／コマンドおよび１つまたは複数のパラメータをセキュリティ評価エンジン２０６に提供することを含み得る。パラメータのうちの少なくとも１つは、アプリケーションを（アプリケーションの名前または識別子を介して）、アプリケーション展開位置を、および／または、アプリケーションに適用されるかまたはアプリケーションから除去される１つまたは複数のセキュリティ機能を識別し得る。例示的なセキュリティ機能は、限定されるわけではないが、アプリケーションセキュリティ制御、情報セキュリティ制御、ネットワークセキュリティ制御、エンドポイントセキュリティ制御およびインターネットセキュリティ制御を含む。セキュリティ評価エンジン２０６は、呼び出されると、識別されたアプリケーションに現在適用されているセキュリティ機能を評価し得る。

【0032】

態様において、アプリケーションのセキュリティ機能は、少なくとも静的セキュリティ機能または動的セキュリティ機能へ分類され、またはそうでなければ整理可能であってよい。静的セキュリティ機能は、アプリケーションがエッジ位置などの展開位置においてインスタンス化され、または展開位置へ展開される場合にアプリケーションに適用されるセキュリティ機能を指し得る。静的セキュリティ機能は、デフォルトセキュリティ構成、または、デバイスまたはデバイスタイプのグループに一様に適用されるセキュリティ構成を表し得る。例えば、静的セキュリティ機能は、アンチウイルス／アンチマルウェアプロバイダにより定期的に提供され、かつ、概して、複数のデバイスに適用可能であるセキュリティ更新を表し得る。動的セキュリティ機能は、特定のアプリケーションまたはアプリケーションインスタンスに適用されるセキュリティ機能を指し得る。動的セキュリティ機能は、アプリケーションが展開位置へ展開されている間、また、例えば、サイバー攻撃、ネットワーク挙動の予想されるユーザの逸脱、リソース利用パラメータの上昇等、特定のアプリケーションのためのネットワークアクティビティの検出に応答して、アプリケーションに適用され得る。例において、動的セキュリティ機能は、アプリケーション／インスタンスの展開位置に基づき、および／またはアプリケーション／インスタンスのためのネットワークアクティビティに基づき、アプリケーションおよび／またはアプリケーションのインスタンス間で異なり得る。それに応じて、動的セキュリティ機能は、単一のアプリケーションまたはアプリケーションインスタンスの現在のセキュリティ状態を表す。

【0033】

セキュリティ評価エンジン２０６は、識別されたアプリケーションに現在適用されているセキュリティ機能を評価した後、評価されたセキュリティ機能の構成設定を格納し得る。例えば、セキュリティ評価エンジン２０６は、静的セキュリティ機能を第１の構成ファイルに格納し、動的セキュリティ機能を第２の構成ファイルに格納し得る。代替的に、静的セキュリティ機能および動的セキュリティ機能は、同じ構成ファイルまたはデータ構造に格納され得る。いくつかの態様において、構成設定は、処理環境２００にローカルに格納され得る。他の態様において、構成設定の少なくとも一部は、処理環境２００の外部の集中型データレポジトリへ伝送されてよく、この集中型データレポジトリにより格納されてよい。例えば、構成設定は、様々なエッジ位置に位置するエッジデバイスによりアクセス可能であるコアネットワークまたはコアコンピューティング環境へ伝送され得る。

【0034】

アプリケーションインスタンス化エンジン２０８は、アプリケーションのインスタンスを展開位置に追加するように、および／または展開位置から除去するように構成され得る。例において、アプリケーションインスタンス化エンジン２０８は、１つまたは複数のアプリケーション（またはそのインスタンス）を追加または除去するための要求または命令を受信し得る。要求または命令は、コアネットワークにおける、またはそうでなければエッジコンピューティング環境の外部のデバイスから受信され得る。例えば、要求または命令は、入力検出コンポーネント２０４に関して上で説明したように、オーケストレーションデバイスの管理者ユーザインタフェースから伝送され得る。代替的に、要求または命令は、アプリケーション２０２のリソース利用パラメータをモニタリングするためのモニタリングプロセスから受信され得る。アプリケーションインスタンス化エンジン２０８は、要求または命令を受信すると、それに応じて、１つまたは複数のアプリケーションを追加および／または除去し得る。例えば、アプリケーションインスタンス化エンジン２０８は、第１のエッジ位置におけるアプリケーションをインスタンス化し、第２のエッジ位置からアプリケーションを除去し得る。別の例として、アプリケーションインスタンス化エンジン２０８は、アプリケーションの第１のインスタンスを備えるエッジ位置におけるアプリケーションの第２のインスタンスをインスタンス化し得る。

【0035】

セキュリティ適用エンジン２１０は、セキュリティ機能をアプリケーションに適用するように構成され得る。いくつかの態様において、セキュリティ適用エンジン２１０は、アプリケーションインスタンス化エンジン２０８が新しいネットワークアプリケーションインスタンスをインスタンス化した位置に実装され得る。他の態様において、セキュリティ適用エンジン２１０は、コアネットワークにおける、またはそうでなければエッジコンピューティング環境の外部のデバイス内に実装され得る。いずれの場合にも、セキュリティ適用エンジン２１０は、セキュリティ評価エンジン２０６により識別されるセキュリティ機能へのアクセスを有し得る。１つの例において、セキュリティ評価エンジン２０６（第１のアプリケーションインスタンスの展開位置に実装される）は、アプリケーションのセキュリティ機能をセキュリティ適用エンジン２１０（第２のアプリケーションインスタンスの展開位置に実装される）に提供し得る。代替的に、セキュリティ評価エンジン２０６は、セキュリティオブジェクト（例えば、セキュリティトークンまたはキー、パスワードまたは認証クレデンシャル）、およびセキュリティ機能（例えば、一意リソース識別子（ＵＲＩ）またはハイパーリンク）の位置をセキュリティ適用エンジン２１０に提供し得る。次に、セキュリティ適用エンジン２１０は、セキュリティオブジェクトおよび位置を用いて、セキュリティ機能を取得し得る。第２の例において、セキュリティ適用エンジン２１０は、集中型データレポジトリからセキュリティ機能を取得し得る。集中型データレポジトリは、セキュリティ適用エンジン２１０にローカルに、またはセキュリティ適用エンジン２１０から遠く離れて位置し得る。例えば、セキュリティ評価エンジン２０６は、新しいネットワークアプリケーションインスタンスの展開位置に実装されてよく、集中型データレポジトリは、コアネットワークに実装されてよい。

【0036】

セキュリティ適用エンジン２１０は、セキュリティ機能をアプリケーションの１つまたは複数のインスタンスに動的に適用し得る。例えば、セキュリティ適用エンジン２１０は、アプリケーションインスタンス化エンジン２０８によりインスタンス化されたアプリケーションの第２のインスタンスにアプリケーションの第１のインスタンスの動的および／または静的セキュリティ機能を適用し得る。動的および／または静的セキュリティ機能は、第２のインスタンスがインスタンス化される時点で（例えば、リアルタイムで）、アプリケーションの第２のインスタンスに適用され得る。代替的に、動的および／または静的セキュリティ機能は、第２のインスタンスが展開された後、アプリケーションの第２のインスタンスに適用され得る。結果として、アプリケーションの第２のインスタンスの現在のセキュリティ状態は、（例えば、第１のインスタンスのセキュリティ機能がセキュリティ評価エンジン２０６により識別されたときに）アプリケーションの第１のインスタンスの現在のセキュリティ状態と同じ（または実質的に同様）であってよい。さらに、アプリケーションの他のインスタンスは、他のエッジコンピューティング環境上のシステム１００内に存在し得る。例えば、アプリケーションの第３のインスタンスは、第３のエッジコンピューティング環境上で以前にインスタンス化されていることがある。アプリケーションの第３のインスタンスは、第１のおよび第２のインスタンスと同じ静的セキュリティ機能を実装してよい；しかしながら、異なる動的セキュリティ機能が第３のインスタンスおよび／または第３のエッジコンピューティング環境の動的性能データにより第３のインスタンスに適用済みであることがあるので、第３のインスタンスに適用される動的セキュリティ機能は異なり得る。

【0037】

リダイレクトコンポーネント２１２は、受信したネットワークトラフィックをリダイレクトするように構成され得る。態様において、リダイレクトコンポーネント２１２は、アプリケーション２０２に向けられたネットワークトラフィックへのアクセスを有し得る。例えば、リダイレクトコンポーネント２１２は、処理環境２００のゲートウェイデバイス（例えば、ルータまたはファイアウォール）により実装され得る。ゲートウェイデバイスは、アプリケーション２０２のためのポート転送またはポートマッピングサービスを提供し得る。そのような例において、入力検出コンポーネント２０４および／またはアプリケーションインスタンス化エンジン２０８により要求／命令が受信または検出された場合、コマンドがリダイレクトコンポーネント２１２へ送信され得る。コマンドは、処理環境２００のコンポーネントにより自動的に送信されてよく、またはユーザ（例えば、ネットワーク管理者）により手動で提供されてよい。コマンドは、アプリケーション２０２のネットワークトラフィックの少なくとも一部を代替的な宛先へリダイレクトするようゲートウェイデバイスを構成し得る。例えば、アプリケーションを第１のエッジ位置から第２のエッジ位置へ移動するためのユーザ要求に基づいて、リダイレクトコンポーネント２１２は、アプリケーションのネットワークトラフィックを第１のエッジ位置から第２のエッジ位置におけるアプリケーションへリダイレクトし得る。

【0038】

フィルタリングエンジン２１４は、ネットワークトラフィックをフィルタリングするように構成され得る。態様において、フィルタリングエンジン２１４は、アプリケーション２０２に向けられたネットワークトラフィックがフィルタリングされるべきかどうかを判断するためのロジックを含み得る。ロジックは、アプリケーション２０２の１つまたは複数のリソース利用パラメータ、および／またはアプリケーション２０２に対する予想されるユーザまたはネットワーク挙動に基づき得る。例えば、サイバー攻撃が行われていると判断すると、フィルタリングエンジン２１４は、サイバー攻撃に関連付けられたネットワークトラフィックがフィルタリングされるべきと判断し得る。ロジックは、１つまたは複数のアルゴリズムまたはモデルへ組み込まれ得る。本明細書において用いられる場合、モデルは、予測的または統計的なユーティリティまたはプログラムを指すことがあり、このユーティリティまたはプログラムは、１つまたは複数の文字シーケンス、クラス、オブジェクト、結果セットまたはイベントにわたる確率分布を決定するために、および／または１つまたは複数の予測子から応答値を予測するために用いられ得る。モデルは、１つまたは複数のルールセット、機械学習（ＭＬ）またはニューラルネットワーク等に基づいてよく、またはこれらを組み込んでよい。

【0039】

フィルタリングエンジン２１４は、エッジコンピューティング環境のどのコンポーネント（存在する場合）がフィルタリングを実行するべきかを決定するためのロジックも含み得る。ロジックは、コンポーネントセキュリティ能力をセキュリティポリシーに関連付けるために、１つまたは複数のコンポーネント登録データ構造を利用し得る。例えば、エッジコンピューティングの様々なコンポーネント（例えば、イーサネット（登録商標）スイッチ、ネットワークインタフェースカード、ハイパーバイザスイッチ、デバイスオペレーティングシステム）が、それぞれのセキュリティ能力および／または実行コストを登録ユーティリティに登録し得る。実行コストは、１つまたは複数のアクションを実行するためのリソース利用および／または財務コストを示し得る。登録ユーティリティは、コンポーネントのセキュリティ能力および／または実行コストに基づき、各コンポーネントをセキュリティポリシーに割り当て、またはそうでなければ関連付け得る。セキュリティポリシーは、例えば、実行されるセキュリティアクションのセット、各セキュリティアクションを呼び出すための基準、および／またはセキュリティアクションの実行が可能なコンポーネントを定義し得る。登録ユーティリティおよび／またはフィルタリングエンジン２１４は、コンポーネントの現在の状態（例えば、利用可能な容量またはリソースロード）をモニタリングし得る。フィルタリングエンジン２１４は、アプリケーションに向けられたネットワークトラフィックがフィルタリングされるべきである、と判断した場合、ネットワークトラフィックに関連付けられたリソース利用パラメータに少なくとも基づいて、登録ユーティリティからセキュリティポリシーを選択し得る。フィルタリングエンジン２１４は、選択されたセキュリティポリシー、コンポーネントの現在の状態および／またはコンポーネントの実行コストに基づいて、フィルタリングを実行するためのコンポーネントを選択し得る。次に、選択されたコンポーネントは、フィルタリングを実行し得る。

【0040】

本明細書において開示される態様により使用され得る様々なシステムを説明してきたが、本開示は、ここで、本開示の様々な態様により実行され得る１つまたは複数の方法を説明する。態様において、方法３００－６００は、図１のシステム１００または図２の処理環境２００など、例示的なシステムにより実行され得る。しかしながら、方法３００－６００は、そのような例に限定されない。他の態様において、方法３００－６００は、単一のデバイスにより実行され得る。少なくとも１つの態様において、方法３００－６００は、ウェブサービス／分散ネットワークサービス（例えば、クラウドサービス）など、分散ネットワークの１つまたは複数のコンポーネントにより実行され得る。

【0041】

図３は、第１の展開位置におけるアプリケーションに動的に適用されるセキュリティ機能を第２の展開位置におけるアプリケーションへ移動する例示的な方法３００を示す。方法３００は、エッジコンピューティング環境内の１つまたは複数のデバイスおよび／またはコアネットワーク内の複数のデバイスにより実装され得る。例えば、方法３００は、例えばエッジ環境１０４といったエッジ位置に展開されるエッジノード１０６など、エッジコンピューティングデバイスにより実装され得る。このデバイス（または、エッジコンピューティング環境またはコアネットワークに関連付けられた代替的なデバイス）は、アプリケーション２０２など、アプリケーションの第１のインスタンス（第１のアプリケーションインスタンス）を備え得る。１つまたは複数のセキュリティ構成および／またはセキュリティ機能が、第１のアプリケーションインスタンスに固有であり得るように、第１のアプリケーションインスタンスに適用され得る。

【0042】

方法３００は、要求または命令が受信される動作３０２において始まる。態様において、エッジコンピューティング環境および／またはコアネットワークに関連付けられた管理コンポーネントは、第１のアプリケーションインスタンスに関連付けられた要求／命令を受信し得る。要求／命令は、第１のアプリケーションインスタンスまたはアプリケーションの代替的なインスタンスの修正、再配置、インスタンス化または除去に関連し得る。例えば、ユーザは、コアネットワークのオーケストレーションコンポーネントにアクセスし得る。オーケストレーションコンポーネントは、第１のアプリケーションインスタンスのための管理者ユーティリティまたは管理者サービスを提供し得る。ユーザは、オーケストレーションコンポーネントの１つまたは複数のインタフェースを介して、第１のアプリケーションインスタンスをデンバーの第１のエッジ位置からシアトルの第２のエッジ位置へ移動するための要求を提供し得る。別の例として、第１のアプリケーションインスタンスを備えるエッジコンピューティングデバイスは、入力検出コンポーネント２０４など、モニタリングコンポーネントをさらに備え得る。モニタリングコンポーネントは、第１のアプリケーションインスタンスに関連付けられたリソース利用パラメータをモニタリングし得る。モニタリングされたリソース利用パラメータに許容可能な境界を超えさせてしまう条件（例えば、サイバー攻撃、ネットワークトラフィックの増加、予期せぬネットワーク挙動）をモニタリングコンポーネントが検出した場合、モニタリングコンポーネントは、第１のアプリケーションインスタンスを第１のエッジ位置から第２のエッジ位置へ移動させ得る。代替的に、モニタリングコンポーネントは、第１のアプリケーションインスタンスが第１のエッジ位置から第２のエッジ位置へコピーされる旨のインジケーションまたは通知を生成し得る。

【0043】

動作３０４において、アプリケーションに動的に適用されるセキュリティ構成／機能（「動的セキュリティ機能」）が識別され得る。態様において、動作３０２における要求／命令の受信に応答して、セキュリティ評価エンジン２０６など、セキュリティ評価メカニズムが呼び出され得る。セキュリティ評価メカニズムは、第１のアプリケーションインスタンスを評価して、第１のアプリケーションインスタンスに適用される動的セキュリティ機能を識別し得る。動的セキュリティ機能は、第１のアプリケーションインスタンスに関連付けられた疑わしいまたは予期せぬネットワークアクティビティの検出に応答して第１のアプリケーションインスタンスに適用されるセキュリティ機能を表し得る。動的セキュリティ機能の例は、限定されるわけではないが、ＤＤｏＳ軽減機能（例えば、チャレンジ－レスポンス認証、データ検査、ホワイトリストおよび／またはブラックリストに入っているＩＰアドレス）、ファイアウォール分析機能（例えば、パケット検査、ネットワークレベルトラフィックブロック／パススルー、アプリケーションレベルネットワークトラフィックブロック／パススルー）、ユーザ分析機能（例えば、ユーザ挙動履歴分析、ユーザエイリアスまたは既知のアソシエイト、ユーザの許可リストおよび／または拒否リスト、アカウントおよび役割）およびデータ損失防止機能（例えば、ＴＣＰストリーム／ペイロード分析、セキュリティ決定分析）を含む。例えば、アプリケーションの第１のインスタンスがサイバー攻撃を受けていることの検出に応答して、攻撃デバイスに一意に関連付けられた１つまたは複数のＩＰアドレスまたはトラフィックが動的にブロックされてよく、検出された特定のタイプのサイバー攻撃に対するセキュリティ保護が、アプリケーションの第１のインスタンスに適用されてよい。これらのセキュリティ措置は、アプリケーションの第１のインスタンスの動的セキュリティ機能として識別され得る。

【0044】

動的セキュリティ機能を識別するために、セキュリティ評価メカニズムは、第１のアプリケーションインスタンスの１つまたは複数の現在のセキュリティ構成ファイル／設定および／または第１のアプリケーションインスタンスの以前に適用されたセキュリティ構成ファイル／設定を評価し得る。評価は、１つまたは複数の検索ユーティリティまたはディスクイメージング／クローニングユーティリティ等の使用を含み得る。代替的に、セキュリティ評価メカニズムは、現在のセキュリティ状態または１つまたは複数の過去のセキュリティ状態について第１のアプリケーションインスタンスをクエリするコマンドまたは命令セットを実行し得る。セキュリティ評価メカニズムは、識別された動的セキュリティ機能を１つまたは複数の格納位置（例えば、エッジデバイスのローカルメモリ、コアネットワークデバイスのローカルメモリ、エッジデバイスまたはコアネットワークデバイスの構成ファイル、エッジコンピューティング環境の中央レポジトリ）に格納し得る。例において、第１のエッジ環境が機能しなくなり、第２のエッジ環境における第２のアプリケーションインスタンスが第１のエッジ環境へのアクセスなしでインスタンス化される必要がある場合に最近の動的セキュリティ機能が用いられ得るように、動的セキュリティ機能は、定期的に評価され、コアネットワーク内に格納され得る。

【0045】

いくつかの態様において、セキュリティ評価メカニズムはさらに、第１のアプリケーションインスタンスを評価して、第１のアプリケーションインスタンスに適用される静的セキュリティ機能を識別し得る。静的セキュリティ機能は、デフォルトセキュリティ構成、または、デバイスまたはデバイスタイプのグループに一様に適用されるセキュリティ構成を表し得る。静的セキュリティ機能は、第１のアプリケーションインスタンスに関連付けられた現在と過去のネットワークアクティビティにかかわらず、第１のアプリケーションインスタンスに適用され得る。セキュリティ評価メカニズムは、第１のアプリケーションインスタンスの現在のおよび／または以前に適用されたセキュリティ構成ファイル／設定を評価することにより、静的セキュリティ機能を識別し得る。代替的に、セキュリティ評価メカニズムは、アプリケーションに関連付けられたコアネットワークまたはコアコンピューティング環境により提供されるグローバルまたはデフォルトセキュリティ構成ファイル／設定を評価し得る。

【0046】

動作３０６において、アプリケーションの第２のインスタンス（「第２のアプリケーションインスタンス」）がインスタンス化され得る。態様において、動作３０２において受信された要求／命令に基づいて、アプリケーションインスタンス化エンジン２０８など、インスタンス化コンポーネントが呼び出され得る。インスタンス化コンポーネントは、第２のエッジ位置における第２のアプリケーションインスタンスをインスタンス化し得る。第２のアプリケーションインスタンスの機能は、第１のアプリケーションインスタンスの機能と同じ（または同様）であってよい。しかしながら、インスタンス化時点で、第２のアプリケーションインスタンスは、第１のアプリケーションインスタンスの動的セキュリティ機能を含んでいなくてよい。代わりに、第２のアプリケーションインスタンスは、静的セキュリティ機能のみを含んでいてよく、またはセキュリティ機能を含んでいなくてよい。代替的な態様において、インスタンス化コンポーネントは、第１のアプリケーションインスタンスを第１のエッジ位置から第２のエッジ位置へ移動（例えば、コピー／ペースト）し得る。第１のアプリケーションインスタンスを移動することは、第１のアプリケーションインスタンスへのネットワークトラフィックを一時停止すること、第１のアプリケーションインスタンスのアプリケーションおよび対応するファイル（例えば、アプリケーションファイル、構成ファイル、データファイル）をデータパッケージへコピーすること、データパッケージを第２のエッジ位置へ伝送すること、およびデータパッケージを第２のエッジ位置にペースト／インストールすることを含み得る。第２のエッジ位置への第１のアプリケーションインスタンスのペースト／インストール時に、第１のアプリケーションインスタンスは、第１のエッジ位置における第１のアプリケーションインスタンスの動的および／または静的セキュリティ機能の両方を含み得る（が、その必要はない）。

【0047】

動作３０８において、第１のアプリケーションインスタンスの動的セキュリティ機能が第２のアプリケーションインスタンスに適用され得る。態様において、セキュリティ適用エンジン２１０など、セキュリティインストールメカニズムは、第１のアプリケーションインスタンスの動的セキュリティ機能および／または静的セキュリティ機能を受信し、またはこれらにアクセスし得る。セキュリティインストールメカニズムは、少なくとも動的セキュリティ機能を第２のアプリケーションインスタンスへリアルタイムで（例えば、第２のアプリケーションインスタンスのインスタンス化時に）適用し得る。いくつかの例において、動的セキュリティ機能を第２のアプリケーションインスタンスに適用することは、構成オプションのセットを第２のアプリケーションインスタンスにアップロードまたは設定することを含み得る。他の例において、動的セキュリティ機能を第２のアプリケーションインスタンスに適用することは、一連のセキュリティ更新／機能を第２のアプリケーションに順次適用することを含み得る。いずれの例でも、第２のアプリケーションインスタンスへの第１のアプリケーションインスタンスの動的セキュリティ機能（および／または静的セキュリティ機能）の適用時に、第１のアプリケーションインスタンスおよび第２のアプリケーションインスタンスは、同じ（または実質的に同様の）セキュリティ状態を共有する。

【0048】

任意選択的な動作３１０において、第１のアプリケーションインスタンスが除去され得る。態様において、第１のアプリケーションインスタンスの少なくとも動的セキュリティ機能が第２のアプリケーションインスタンスに適用された後、インスタンス化コンポーネントは、第１のアプリケーションインスタンスを除去または無効化し得る。その後、第１のアプリケーションインスタンスに向けられたネットワークトラフィックは、リダイレクトコンポーネント２１２など、リダイレクトメカニズムにより、第２のアプリケーションインスタンスへリダイレクトされ得る。他の例において、第２のアプリケーションインスタンスは、（置換ではなく）追加のインスタンスとして意図されてよく、この場合、第１のアプリケーションインスタンスおよび第２のアプリケーションインスタンスの両方が、通常のロード共有手順毎に、アプリケーションのロードを共有するように維持および利用され得る。

【0049】

図４は、展開されたアプリケーションのインスタンスをローカルに拡張／縮小する例示的な方法４００を示す。方法４００は、エッジコンピューティングデバイス、ユーザデバイスまたはコアネットワーク／コンピューティング環境など、エッジコンピューティング環境における１つまたは複数のデバイスにより実装され得る。デバイスは、第１のエッジ位置に展開されるアプリケーションの第１のインスタンス（「第１のアプリケーションインスタンス」）を含み得る。１つまたは複数のセキュリティ構成／セキュリティ機能は、適用されたセキュリティ構成／機能が第１のアプリケーションインスタンスに固有であるように、第１のアプリケーションインスタンスに適用され得る。

【0050】

方法４００は、第１のアプリケーションインスタンスに関連付けられた性能データが収集され得る動作４０２において始まる。態様において、第１のアプリケーションインスタンスを備えるデバイスは、入力検出コンポーネント２０４など、モニタリングコンポーネントをさらに備えてよく、またはモニタリングコンポーネントによりアクセス可能であってよい。モニタリングコンポーネントは、第１のアプリケーションインスタンスにより受信されるネットワークトラフィックのネットワーク性能データ、および／または第１のアプリケーションインスタンスに関連付けられたリソース利用パラメータなど、第１のアプリケーションインスタンスの性能データをモニタリングおよび／または収集し得る。例示的なネットワーク性能データは、とりわけ、送信元ＩＰアドレスまたは地理的領域から受信されるネットワーク要求の数、１つまたは複数のネットワークまたはエンドポイントデバイスにより受信されるネットワーク要求の数、ネットワーク要求の傾向、１つまたは複数のデバイスのシステムロード、およびネットワークレイテンシを含み得る。リソース利用パラメータの例は、負荷平均、ＣＰＵ使用量、メモリ使用量、スワップ領域使用量、ページスワップ、ディスク使用量等を含み得る。

【0051】

動作４０４において、第１のアプリケーションインスタンスの性能データが評価され得る。態様において、収集された性能データは、例えば、決定木、ロジスティック回帰、サポートベクタマシン（ＳＶＭ）、ｋ近傍法（ＫＮＮ）アルゴリズム、ニューラルネットワーク、単純ベイズ分類器、線形回帰、ｋ平均法クラスタリング等、１つまたは複数の人工知能（ＡＩ）、機械学習（ＭＬ）または他のロジックメカニズムを用いて評価され得る。評価は、性能データにおける１つまたは複数のパラメータを閾値または予め定義された値と比較することを含み得る。例えば、収集された性能データは、第１のアプリケーションインスタンスを備えるデバイスに実装されたＭＬモデルに提供され得る。ＭＬモデルは、性能データをパースして、第１のアプリケーションインスタンスの現在のＣＰＵ使用量値を識別し得る。ＭＬモデルは、現在のＣＰＵ使用量値を第１のアプリケーションインスタンス、デバイスまたはコアネットワーク／コンピューティング環境により予め定義されたＣＰＵ使用量閾値と比較し得る。ＣＰＵ使用量閾値は、許容可能なまたは予想されるＣＰＵ使用量値範囲を示し得る。

【0052】

判断動作４０６において、評価された性能データに基づき、判断が行われ得る。性能データは閾値／予め定義された値と一致していない、または閾値／予め定義された値を超えていない、と動作４０４の評価メカニズム（またはエッジコンピューティング環境の代替的な決定コンポーネント）が判断した場合、方法４００は、動作４０２へ戻る。しかしながら、性能データは閾値／予め定義された値と一致している、または閾値／予め定義された値を超えている、と評価メカニズム（またはエッジコンピューティング環境の代替的な決定コンポーネント）が判断した場合、方法４００は、動作４０８へ進む。本明細書において用いられる場合、閾値を「超える」は、文脈に応じて特定の閾値を上回っているかまたは下回っていると判断される特定の測定されたパラメータを含み得る。

【0053】

動作４０８において、アプリケーションの第２のインスタンス（「第２のアプリケーションインスタンス」）がインスタンス化され得る。態様において、性能データが閾値／予め定義された値と一致している、またはこれらを超えていると判断された場合、アプリケーションインスタンス化エンジン２０８など、インスタンス化コンポーネントが呼び出され得る。インスタンス化コンポーネントは、第１のエッジ位置における第２のアプリケーションインスタンスをインスタンス化し得る。代替的に、インスタンス化コンポーネントは、１つまたは複数の第２のエッジ位置における第２のアプリケーションインスタンスをインスタンス化し得る。いくつかの例において、第２のアプリケーションインスタンスの能力は、第１のアプリケーションインスタンスの能力と同じ（または同様）であってよい。他の例において、第２のアプリケーションインスタンスの能力は、第１のアプリケーションインスタンスの能力とは明らかに異なり得る。例えば、第２のアプリケーションインスタンスは、著しくより高い処理能力、および増加したワークロードボリュームを処理するための追加の機能を含み得る。いずれの例でも、インスタンス化時に、第２のアプリケーションインスタンスは、第１のアプリケーションインスタンスの１つまたは複数のセキュリティ機能を含んでいなくてよい。例えば、インスタンス化時に、第２のアプリケーションインスタンスは、いかなるセキュリティ機能も含んでいなくてよく、または第１のアプリケーションインスタンスの静的セキュリティ機能のみを含んでいてよい。

【0054】

動作４１０において、第１のアプリケーションインスタンスに適用されるセキュリティ構成またはセキュリティ機能セットが識別され得る。態様において、セキュリティ評価エンジン２０６など、セキュリティ評価メカニズムは、第１のアプリケーションインスタンスに適用される動的セキュリティ機能を識別するために用いられ得る。動的セキュリティ機能は、第１のアプリケーションインスタンスに関連付けられた疑わしいまたは予期せぬネットワークアクティビティの検出に応答して第１のアプリケーションインスタンスに適用されるセキュリティ機能を表し得る。代替的に、動的セキュリティ機能は、第１のアプリケーションインスタンスがエッジ位置へ展開されている間に行われる１つまたは複数のセキュリティ判断に応答して第１のアプリケーションインスタンスに動的に適用されるセキュリティ機能を表し得る。セキュリティ評価メカニズムは、第１のアプリケーションインスタンスに適用される静的セキュリティ機能を識別するためにも用いられ得る。静的セキュリティ機能は、デフォルトセキュリティ構成、または、デバイスまたはデバイスタイプのグループに一様に適用されるセキュリティ構成を表し得る。動的および／または静的セキュリティ機能を識別することは、第１のアプリケーションインスタンスの１つまたは複数の現在のおよび／または以前に適用されたセキュリティ構成ファイル／設定を評価することを含み得る。セキュリティ評価メカニズムは、識別された動的および／または静的セキュリティ機能を１つまたは複数の格納位置に格納し得る。

【0055】

動作４１２において、第１のアプリケーションインスタンスのセキュリティ機能が第２のアプリケーションインスタンスに適用され得る。態様において、セキュリティ適用エンジン２１０など、セキュリティインストールメカニズムが、識別された動的および／または静的セキュリティ機能を第２のアプリケーションインスタンスにリアルタイムで（例えば、第２のアプリケーションインスタンスのインスタンス化時に）適用し得る。セキュリティ機能を第２のアプリケーションインスタンスに適用することは、構成オプションのセットを第２のアプリケーションインスタンスにアップロードまたは設定すること、一連のセキュリティ更新／機能を第２のアプリケーションに順次適用すること、または動的および静的セキュリティ機能を第２のアプリケーションに特定の順序で適用することを含み得る。第２のアプリケーションインスタンスへの動的および／または静的セキュリティ機能の適用時に、第１のアプリケーションインスタンスおよび第２のアプリケーションインスタンスは、同じ（または実質的に同様の）セキュリティ状態を共有する。例えば、１つまたは複数のＩＰアドレスが第１のアプリケーションインスタンスにより以前にブロックされていた場合、第２のアプリケーションインスタンスのセキュリティ状態は、１つまたは複数のＩＰアドレスが第２のアプリケーションインスタンスによってもブロックされるようなものになる。

【0056】

任意選択的な動作４１４において、第１のアプリケーションインスタンスのネットワークトラフィックおよび／または１つまたは複数のワークロードが、第２のアプリケーションインスタンスへリダイレクトされ得る。態様において、セキュリティ機能が第２のアプリケーションインスタンスに適用された後、リダイレクトコンポーネント２１２など、リダイレクトメカニズムは、第１のアプリケーションインスタンスのネットワークトラフィックの少なくとも一部を第２のアプリケーションインスタンスへリダイレクトし得る。例えば、第２のアプリケーションインスタンスの能力が第１のアプリケーションインスタンスにおおよそ等しい場合、第１のアプリケーションインスタンスのネットワークトラフィックのおおよそ半分が第２のアプリケーションインスタンスへリダイレクトされ得る。代替的に、第２のアプリケーションの能力が第１のアプリケーションインスタンスの能力を超えている場合、第１のアプリケーションインスタンスのネットワークトラフィックのより大きい割合が第２のアプリケーションインスタンスへリダイレクトされ得る。いくつかの態様において、１つまたは複数のワークロード（またはその一部）は、第１のアプリケーションインスタンスから第２のアプリケーションインスタンスへ移動され得る。例えば、第２のアプリケーションインスタンスの能力が第１のアプリケーションインスタンスの能力を超えている場合、第２のアプリケーションインスタンスの向上した処理能力を活用するために、特にプロセッサに負担がかかるワークロードが、第２のアプリケーションインスタンスへ移動され得る。

【0057】

態様において、セキュリティ機能が第２のアプリケーションインスタンスに適用された後、モニタリングコンポーネントは、第１のアプリケーションインスタンスおよび／または第２のアプリケーションインスタンスの性能データを収集し得る。収集された性能データは、動作４０４に関して開示されるように、評価され得る。第１のアプリケーションインスタンスおよび／または第２のアプリケーションインスタンスの性能データはもはや、閾値／予め定義された値と一致していない、または閾値／予め定義された値を超えていない、と後に判断された場合、第１のアプリケーションインスタンスまたは第２のアプリケーションインスタンスのうちの少なくとも１つを除去する決定が行われ得る。例えば、第１のアプリケーションインスタンスのＣＰＵ使用量はもはやＣＰＵ使用量閾値を超えていない、または特定の期間（例えば、５分）にわたってＣＰＵ使用量閾値を超えていない、と動作４０４の評価メカニズムが判断した場合、インスタンス化コンポーネントは、第２のアプリケーションインスタンスを除去または無効化し得る。

【0058】

図５は、検出された悪意ある行為に関連付けられたネットワークトラフィックを第１のアプリケーション展開環境からセキュリティ保護された第２のアプリケーション展開環境へリダイレクトする例示的な方法５００を示す。方法５００は、エッジコンピューティングデバイス、ユーザデバイス、ＩｏＴデバイスまたはコアネットワーク／コンピューティング環境など、エッジコンピューティング環境（例えば、第１のアプリケーション展開環境）内の１つまたは複数のデバイスにより実装され得る。デバイスは、第１のエッジ位置に展開されるアプリケーションの第１のインスタンス（「第１のアプリケーションインスタンス」）を含み得る。１つまたは複数のセキュリティ構成／セキュリティ機能は、適用されたセキュリティ構成／機能が第１のアプリケーションインスタンスに固有であるように、第１のアプリケーションインスタンスに適用され得る。

【0059】

方法５００は、第１のアプリケーションインスタンスに関連付けられた性能データが収集され得る動作５０２において始まる。態様において、第１のアプリケーションインスタンスを備えるデバイスは、入力検出コンポーネント２０４など、モニタリングコンポーネントをさらに備えてよく、またはモニタリングコンポーネントによりアクセス可能であってよい。モニタリングコンポーネントは、第１のアプリケーションインスタンスにより受信されるネットワークトラフィックのネットワーク性能データ、および／または第１のアプリケーションインスタンスに関連付けられたリソース利用パラメータなど、第１のアプリケーションインスタンスの性能データをモニタリングおよび／または収集し得る。

【0060】

動作５０４において、第１のアプリケーションインスタンスの性能データが評価され得る。態様において、収集された性能データは、方法４００の動作４０４に関して開示されるように、１つまたは複数の人工知能（ＡＩ）、機械学習（ＭＬ）または他のロジックメカニズムを用いて評価され得る。評価は、性能データにおける１つまたは複数のパラメータを閾値または予め定義された値と比較することを含み得る。例えば、収集された性能データは、第１のアプリケーションインスタンスを備えるデバイスに実装されたＡＩモデルに提供され得る。ＡＩモデルは、性能データをパースして、送信元ＩＰアドレスから受信されるネットワーク要求の数が最後の１５分で３０００％増えたことを識別し得る。この情報に基づいて、ＡＩモデルは、ＤｏＳ攻撃などのサイバー攻撃が行われている、と判断し得る。

【0061】

判断動作５０６において、評価された性能データに基づき、判断が行われ得る。性能データは閾値／予め定義された値を超えていない、または悪意ある挙動を示す可能性が低い、と動作５０４の評価メカニズム（またはエッジコンピューティング環境の代替的な決定コンポーネント）が判断した場合、方法５００は、動作５０２へ戻る。しかしながら、性能データは閾値／予め定義された値と一致している、または閾値／予め定義された値を超えている、または悪意ある挙動を示す可能性がある、と評価メカニズム（またはエッジコンピューティング環境の代替的な決定コンポーネント）が判断した場合、方法５００は、動作５０８へ進む。

【0062】

任意選択的な動作５０８において、第１のアプリケーションインスタンスに適用されるセキュリティ構成またはセキュリティ機能セットが識別され得る。態様において、セキュリティ評価エンジン２０６など、セキュリティ評価メカニズムは、第１のアプリケーションインスタンスに適用される動的および／または静的セキュリティ機能を識別するために用いられ得る。動的セキュリティ機能は、第１のアプリケーションインスタンスに関連付けられた疑わしいまたは予期せぬネットワークアクティビティの検出に応答して第１のアプリケーションインスタンスに適用されるセキュリティ機能を表し得る。代替的に、動的セキュリティ機能は、第１のアプリケーションインスタンスがエッジ位置へ展開されている間に行われる１つまたは複数のセキュリティ判断に応答して第１のアプリケーションインスタンスに動的に適用されるセキュリティ機能を表し得る。セキュリティ評価メカニズムは、第１のアプリケーションインスタンスに適用される静的セキュリティ機能を識別するためにも用いられ得る。静的セキュリティ機能は、デフォルトセキュリティ構成、または、デバイスまたはデバイスタイプのグループに一様に適用されるセキュリティ構成を表し得る。動的および／または静的セキュリティ機能を識別することは、第１のアプリケーションインスタンスの１つまたは複数の現在のおよび／または以前に適用されたセキュリティ構成ファイル／設定を評価することを含み得る。

【0063】

任意選択的な動作５１０において、第１のアプリケーションインスタンスのセキュリティ機能が第２のアプリケーションインスタンスに適用され得る。態様において、セキュリティ適用エンジン２１０など、セキュリティインストールメカニズムが、識別された動的および／または静的セキュリティ機能をセキュリティ保護されたコンピューティング環境（例えば、第２のアプリケーション展開環境）に適用し得る。セキュリティ保護されたコンピューティング環境は、ホストデバイスまたはオペレーティングシステムに害を与えるリスクなく未検査のまたは信用できないプログラムまたはコードを実行するためのセキュリティメカニズムを提供し得る。例えば、未検証のまたは信用できないエンティティ（例えば、サードパーティ、サプライヤ、ユーザまたはウェブサイト）からのプログラムまたはコードは、意図しないまたは望ましくない影響についてプログラムまたはコードをモニタリングするために、セキュリティ保護されたコンピューティング環境で実行され得る。システム障害を軽減し、および／またはソフトウェア脆弱性が拡散するのを防ぐために、セキュリティ保護されたコンピューティング環境は、プログラムまたはコードの実行のための密に制御されるリソースのセットを提供し得る。さらに、セキュリティ保護されたコンピューティング環境は、未検証のまたは信用できないエンティティがセキュリティ保護されたコンピューティング環境を検査するのを防止または制限し得る。

【0064】

態様において、セキュリティ保護されたコンピューティング環境は、アプリケーションの既存の第２のインスタンス（「第２のアプリケーションインスタンス」）を備え得る。代替的に、第２のアプリケーションインスタンスは、第１のアプリケーションインスタンスのセキュリティ機能が識別された後、アプリケーションインスタンス化エンジン２０８など、インスタンス化コンポーネントによりインスタンス化され得る。いずれの場合にも、セキュリティ適用エンジン２１０など、セキュリティインストールメカニズムが、第１のアプリケーションインスタンスの識別された動的および／または静的セキュリティ機能を第２のアプリケーションインスタンスにリアルタイムで適用し得る。

【0065】

動作５１２において、第１のアプリケーションインスタンスのネットワークトラフィックが、第２のアプリケーションインスタンスへリダイレクトされ得る。態様において、セキュリティ機能が第２のアプリケーションインスタンスに適用された後、リダイレクトコンポーネント２１２など、リダイレクトメカニズムは、第１のアプリケーションインスタンスのネットワークトラフィックの少なくとも一部をセキュリティ保護されたコンピューティング環境における第２のアプリケーションインスタンスへリダイレクトし得る。ネットワークトラフィックは、リダイレクトが行われたことをネットワークトラフィックに関連付けられたユーザまたはデバイスが認識していないように、セキュリティ保護されたコンピューティング環境へリダイレクトされ得る。例えば、攻撃者のネットワークトラフィックは、攻撃者へのリダイレクトの通知またはインジケーションを提供することなく、第１のアプリケーションインスタンスから第２のアプリケーションインスタンスへリダイレクトされ得る。

【0066】

任意選択的な動作５１４において、第２のアプリケーションインスタンスに関連付けられた性能データが収集される。態様において、セキュリティ保護されたコンピューティング環境のモニタリングコンポーネントは、第２のアプリケーションインスタンスにより受信されるネットワークトラフィックのネットワーク性能データ、および／または第２のアプリケーションインスタンスに関連付けられたリソース利用パラメータなど、第２のアプリケーションインスタンスの性能データをモニタリングし得る。第２のアプリケーションインスタンスの性能データは、ネットワークトラフィックに関連付けられたユーザまたはデバイスの攻撃ベクトルまたは方法論を識別するために用いられ得る。次に、識別された攻撃ベクトルまたは方法論の知識が、１つまたは複数の攻撃軽減技術を実装または識別するために用いられ得る。

【0067】

図６は、マルチステージネットワークトラフィックフィルタリングを実行する例示的な方法６００を示す。方法６００は、エッジコンピューティングデバイス、ユーザデバイスまたはコアネットワーク／コンピューティング環境など、エッジコンピューティング環境における１つまたは複数のデバイスにより実装され得る。デバイスは、エッジ位置に実装されてよく、アプリケーションの少なくとも１つのインスタンス（「アプリケーションインスタンス」）を備えてよい。１つまたは複数のセキュリティ構成／セキュリティ機能は、適用されたセキュリティ構成／機能がアプリケーションインスタンスに固有であるように、アプリケーションインスタンスに適用され得る。

【0068】

方法６００は、アプリケーションインスタンスに関連付けられた性能データが収集される動作６０２において始まる。態様において、アプリケーションインスタンスを備えるデバイスは、入力検出コンポーネント２０４など、モニタリングコンポーネントをさらに備えてよく、またはモニタリングコンポーネントによりアクセス可能であってよい。モニタリングコンポーネントは、アプリケーションインスタンスにより受信されるネットワークトラフィックのネットワーク性能データ、および／またはアプリケーションインスタンスに関連付けられたリソース利用パラメータなど、第１のアプリケーションインスタンスの性能データをモニタリングおよび／または収集し得る。

【0069】

動作６０４において、アプリケーションインスタンスの性能データが評価され得る。態様において、収集された性能データは、方法４００の動作４０４に関して開示されるように、１つまたは複数の人工知能（ＡＩ）、機械学習（ＭＬ）または他のロジックメカニズムを用いて評価され得る。評価は、性能データにおける１つまたは複数のパラメータを閾値または予め定義された値と比較することを含み得る。例えば、受信されたネットワークトラフィック／挙動を分類するためのロジックルールセットが、収集された性能データに適用され得る。ロジックルールセットは、性能データおよび／またはネットワークトラフィックにおける１つまたは複数の性能パラメータおよび／またはソース識別データオブジェクトを識別し得る。ソース識別データオブジェクトの例は、ユーザ識別子（例えば、ユーザ名、ユーザ識別子、アカウント識別子）、デバイス識別子（例えば、デバイス名、ＩＰアドレス、媒体アクセス制御（ＭＡＣ）アドレス）、発信ネットワーク／領域データ（例えば、ネットワーク追跡情報、パケットヘッダ情報）等を含み得る。性能パラメータおよび／またはソース識別データオブジェクトは、１つまたは複数の閾値、許可リストまたは拒否リストと比較され得る。許可リストは、アクセスが承認されているエンティティ、ユーザ識別子、デバイス識別子またはネットワーク等のリストを含み得る。対照的に、拒否リストは、アクセスが拒否または制限されているエンティティ、ユーザ識別子、デバイス識別子またはネットワーク等のリストを含み得る。例えば、ネットワークトラフィックにおけるＩＰアドレスは、ブロックされているまたは疑わしいＩＰアドレスの拒否リストに対して評価され得る。

【0070】

判断動作６０６において、評価された性能データに基づき、判断が行われ得る。性能データは閾値／予め定義された値を超えていない、または悪意ある挙動を示す可能性が低い、と動作６０４の評価メカニズム（またはエッジコンピューティング環境の代替的な決定コンポーネント）が判断した場合、方法６００は、動作６０２へ戻る。例えば、特定の量のネットワークトラフィックに関連付けられたＩＰアドレスが拒否リスト内に見つからない場合、ネットワークトラフィックは、フィルタリングされなくてよい。しかしながら、性能データは閾値／予め定義された値と一致している、または閾値／予め定義された値を超えている、または悪意ある挙動を示す可能性がある、と評価メカニズム（またはエッジコンピューティング環境の代替的な決定コンポーネント）が判断した場合、方法６００は、動作６０８へ進む。

【0071】

動作６０８において、受信されたネットワークトラフィックをフィルタリングするためのコンポーネントが選択され得る。態様において、デバイスおよび／またはエッジコンピューティング環境の１つまたは複数のコンポーネントが、コンポーネント登録サービス／ユーティリティに登録され得る。コンポーネント登録サービス／ユーティリティは、デバイスにローカルに実装されてよく、またはデバイスによりリモートでアクセスされてよい。コンポーネント登録サービス／ユーティリティに登録するために、コンポーネントはそれぞれ、例えば、有効化されている機能／機能性、利用可能な容量（例えば、処理容量、格納容量、ワークロード容量）、セキュリティ能力、アクション／イベント実行コスト、適用可能な制限または使用量情報（例えば、サービスまたはライセンス契約）等、情報をコンポーネント登録サービス／ユーティリティに提供し得る。コンポーネントにより提供される登録情報に基づいて、コンポーネント登録サービス／ユーティリティは、各コンポーネントをセキュリティポリシーに割り当て、またはそうでなければ関連付け得る。セキュリティポリシーは、実行されるセキュリティアクションのセット、各セキュリティアクションを呼び出すための基準、および／またはセキュリティアクションの実行が可能なコンポーネントを定義し得る。

【0072】

態様において、評価された性能データは、フィルタリングエンジン２１４など、コンポーネント選択メカニズムに提供され（またはそうでなければコンポーネント選択メカニズムを検索するために用いられ）得る。コンポーネント選択メカニズムは、評価された性能データを用いて、１つまたは複数の適用可能なセキュリティポリシーをコンポーネント登録サービス／ユーティリティから選択し得る。例えば、評価された性能データは、ＳＹＮフラッドなど、特定のサイバー攻撃を示すネットワークトラフィックをアプリケーションインスタンスが現在受信していることを示し得る。コンポーネント選択メカニズムは、評価された性能データをパースして、ＳＹＮフラッド攻撃を示す用語または他の内容を識別し得る。ＳＹＮフラッド攻撃の識別に応答して、コンポーネント選択メカニズムは、１つまたは複数のパターンマッチング技術（例えば、正規表現、ワイルドカード、文脈自由文法）を用いて、関連するセキュリティポリシーを求めてコンポーネント登録サービス／ユーティリティを検索し得る。例えば、コンポーネント登録サービス／ユーティリティは、ネットワークインタフェースカードがＳＹＮフラッド攻撃を（例えば、１メガバイト（ＭＢ）当たり）第１のコストでフィルタリングできることを示す第１のセキュリティポリシー、および、デバイスハイパーバイザがＳＹＮフラッド攻撃を第１のコストよりも高い（１ＭＢ当たりより高価な）第２のコストでフィルタリングできることを示す第２のセキュリティポリシーを含み得る。結果として、コンポーネント選択メカニズムは、ネットワークインタフェースカードを選択し得る。この選択は、実行されるべきタスクおよび／または関連する詳細（例えば、攻撃ＩＰアドレス、攻撃タイプ、要求されたフィルタリングのタイプ、フィルタリングの持続時間、リダイレクトＩＰアドレス）を指定するネットワークインタフェースカードへ通知、コマンドまたは命令セットを送信することを含み得る。

【0073】

動作６１０において、選択されたコンポーネントが、受信されたネットワークトラフィックをフィルタリングし得る。例えば、上記の例から続けると、選択されたネットワークインタフェースカードは、受信されたネットワークトラフィックに関連付けられたＩＰアドレスの示された範囲に対してパケットブロックを実行し得る。いくつかの態様において、複数のコンポーネントが、コンポーネント選択メカニズムにより選択され得る。複数のコンポーネントの各々は、複数のコンポーネントの現在の状態に基づいてネットワークトラフィックの少なくとも一部をフィルタリングすることを選択し得る。例えば、ネットワークインタフェースカードおよびデバイスハイパーバイザは、進行中のＳＹＮフラッド攻撃をフィルタリングするために選択され得る。選択の時点で、ネットワークインタフェースカードは、各コンポーネントに関連付けられたコストにまずは基づいてフィルタリングを実行するために選択され得る。ネットワークインタフェースカードリソースが許容可能な使用量レベルを超え、または利用不可能になってしまう原因となるイベントが、ネットワークインタフェースカードがネットワークトラフィックをフィルタリングしている間に発生し得る。結果として、コンポーネント選択メカニズムは、ネットワークインタフェースカードの代わりに（またはネットワークインタフェースカードに加えて）ネットワークトラフィックのフィルタリングを始めるようデバイスハイパーバイザに命令し得る。

【0074】

図７は、本明細書において説明されるルーティング範囲制限技術のための例示的な適切な動作環境を示す。その最も基本的な構成において動作環境７００は、典型的には、少なくとも１つの処理ユニット７０２およびメモリ７０４を含む。コンピューティングデバイスの正確な構成およびタイプに応じて、（本明細書において開示される技術を実行するための命令を格納した）メモリ７０４は、揮発性（ＲＡＭなど）、不揮発性（例えば、ＲＯＭ、フラッシュメモリ等）またはこれら２つの何らかの組み合わせのものであってよい。この最も基本的な構成は、図７において破線７０６により示されている。さらに、環境７００は、磁気または光ディスクまたはテープを含むがこれらに限定されないストレージデバイス（リムーバブル（７０８）および／またはノンリムーバブル（７１０））も含み得る。同様に、環境７００は、例えば、キーボード、マウス、ペン、音声入力等、入力デバイス７１４、および／または、例えば、ディスプレイ、スピーカ、プリンタ等、出力デバイス７１６も有し得る。この環境には、例えば、ＬＡＮ、ＷＡＮ、ポイントツーポイント等、１つまたは複数の通信接続７１２も含まれ得る。実施形態において、これらの接続は、ポイントツーポイント通信、接続指向通信、コネクションレス通信等を容易にするように動作可能であってよい。

【0075】

動作環境７００は、典型的には、少なくとも何らかの形態のコンピュータ可読媒体を含む。コンピュータ可読媒体は、処理ユニット７０２、または動作環境を備える他のデバイスによりアクセスされ得る任意の利用可能な媒体であり得る。限定ではなく例として、コンピュータ可読媒体は、コンピュータ記憶媒体および通信媒体を備え得る。コンピュータ記憶媒体は、例えばコンピュータ可読命令、データ構造、プログラムモジュールまたは他のデータといった情報の格納のための任意の方法または技術において実装される、揮発性および不揮発性、リムーバブルおよびノンリムーバブルの媒体を含む。コンピュータ記憶媒体は、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ、フラッシュメモリまたは他のメモリ技術、ＣＤ－ＲＯＭ、デジタル多用途ディスク（ＤＶＤ）または他の光ストレージ、磁気カセット、磁気テープ、磁気ディスクストレージまたは他の磁気ストレージデバイス、または所望の情報を格納するために用いられ得る任意の他の非一時的媒体を含む。コンピュータ記憶媒体は、通信媒体を含まない。

【0076】

通信媒体は、コンピュータ可読命令、データ構造、プログラムモジュールまたは他のデータを、例えば搬送波または他の搬送メカニズムといった変調されたデータ信号に具現化し、任意の情報配信媒体を含む。「変調されたデータ信号」という用語は、信号内の情報をエンコードするように設定または変更された特徴のうちの１つまたは複数を有する信号を意味する。限定ではなく例として、通信媒体は、有線ネットワークまたは直接有線接続など、有線媒体、および、音響、ＲＦ、赤外線、マイクロ波および他の無線媒体など、無線媒体を含む。上記のもののいずれの組み合わせも、コンピュータ可読媒体の範囲内に含まれるべきである。

【0077】

動作環境７００は、１つまたは複数のリモートコンピュータへの論理接続を用いてネットワーク接続環境において動作する単一のコンピュータであってよい。リモートコンピュータは、パーソナルコンピュータ、サーバ、ルータ、ネットワークＰＣ、ピアデバイスまたは他の共通のネットワークノードであってよく、典型的には、上で説明された要素の多くまたは全て、およびそのようには言及されていない他のものを含む。論理接続は、利用可能な通信媒体によりサポートされる任意の方法を含み得る。そのようなネットワーキング環境は、オフィス規模、企業規模のコンピュータネットワーク、イントラネットおよびインターネットにおいてよく見られる。

【0078】

本明細書ソフトウェアにおいて説明される実施形態は、本明細書において開示されるシステムおよび方法をハードウェアまたはソフトウェアおよびハードウェアの組み合わせを用いて実装および実行するために使用され得る。特定の機能を実行するものとして特定のデバイスが本開示の全体を通じて記載されてきたが、これらのデバイスは、例示の目的で提供されており、本開示の範囲から逸脱することなく、本明細書において開示される機能を実行するために他のデバイスが使用され得ることを、当業者であれば理解するであろう。

【0079】

本開示は、可能な実施形態のうちのいくつかのみが示された添付図面を参照して、本技術のいくつかの実施形態を説明している。しかしながら、他の態様は、多くの異なる形態で具現化されてよく、本明細書において記載された実施形態に限定されるものと解釈されるべきはない。むしろ、これらの実施形態は、本開示が十分かつ完全であり、かつ、可能な実施形態の範囲を当業者へ完全に伝えるように、提供された。

【0080】

本明細書において特定の実施形態が説明されているが、本技術の範囲は、それらの特定の実施形態に限定されない。当業者であれば、本技術の範囲および趣旨内である他の実施形態または改良を認識するであろう。したがって、具体的な構造、動作または媒体は、例示的な実施形態としてのみ開示されている。本技術の範囲は、以下の特許請求の範囲およびその中のあらゆる均等物により定義される。
［他の可能な項目］
［項目１］
システムの第１のエッジコンピューティング環境において動作するアプリケーションの第１のインスタンスに静的セキュリティ機能を適用する段階；
前記アプリケーションの前記第１のインスタンスに第１の動的セキュリティ機能を適用する段階、ここで、前記第１の動的セキュリティ機能は、前記第１のエッジコンピューティング環境における前記アプリケーションの前記第１のインスタンスの動作に固有の動的情報に基づいて動的に決定される；
前記システムの第２のエッジコンピューティング環境における前記アプリケーションの第２のインスタンスをインスタンス化する段階であって、
前記第１の動的セキュリティ機能を識別する段階；および
前記第２のエッジコンピューティング環境における前記アプリケーションの前記第２のインスタンスに前記静的セキュリティ機能および前記第１の動的セキュリティ機能を適用する段階
を有する、インスタンス化する段階；および
少なくとも一部のトラフィックを前記アプリケーションの前記第１のインスタンスから前記アプリケーションの前記第２のインスタンスへリダイレクトする段階
を備える方法。
［項目２］
前記システムは、前記システムの第３のエッジコンピューティング環境において動作するアプリケーションの第３のインスタンスを含み、
アプリケーションの前記第３のインスタンスに前記静的セキュリティ機能を適用する段階；および
前記アプリケーションの前記第３のインスタンスに第３の動的セキュリティ機能を適用する段階、ここで、前記第３の動的セキュリティ機能は、前記第３のエッジコンピューティング環境における前記アプリケーションの前記第３のインスタンスの動作に固有の動的情報に基づいている
をさらに備える、項目１に記載の方法。
［項目３］
前記第１のエッジコンピューティング環境から前記アプリケーションの前記第１のインスタンスを除去する段階をさらに備える、項目１に記載の方法。
［項目４］
前記アプリケーションの前記第２のインスタンスをインスタンス化する段階の前に、
前記アプリケーションの前記第１のインスタンスまたは前記第１のエッジコンピューティング環境に関連する性能データを評価する段階；および
前記性能データは閾値を超えている、と判断する段階
をさらに備え、
ここで、前記アプリケーションの前記第２のインスタンスのインスタンス化は、前記性能データは前記閾値を超えているという判断に基づいている、
項目１に記載の方法。
［項目５］
前記第１の動的セキュリティ機能は、ＤＤｏＳ軽減機能、ファイアウォール分析機能、ユーザ分析機能およびデータ損失防止機能のうちの１つまたは複数を含む、項目１に記載の方法。
［項目６］
前記第１の動的セキュリティ機能を適用する段階は、前記アプリケーションの前記第１のインスタンスがサイバー攻撃を受けている、と判断する段階、攻撃デバイスのソース識別データを識別する段階、前記攻撃デバイスからトラフィックを動的にブロックする段階、および検出された前記サイバー攻撃に対するセキュリティ保護を適用する段階を有し、ここで、前記ソース識別データは、
ユーザ名、ユーザ識別子またはアカウント識別子のうちの１つまたは複数を含むユーザ識別情報；
デバイス名、ＩＰアドレスまたは媒体アクセス制御（ＭＡＣ）アドレスのうちの１つまたは複数を含むデバイス識別情報；または
ネットワーク追跡情報またはパケットヘッダ情報のうちの１つまたは複数を含む発信ネットワーク／領域情報
のうちの１つまたは複数を含む、
項目１に記載の方法。
［項目７］
前記第１の動的セキュリティ機能をコアシステムストレージに定期的に格納する段階
をさらに備え、
ここで、前記第２のエッジコンピューティング環境における前記アプリケーションの前記第２のインスタンスに前記第１の動的セキュリティ機能を適用する段階は、前記コアシステムストレージから前記第１の動的セキュリティ機能をコピーする段階を含む、
項目１に記載の方法。
［項目８］
前記第２のエッジコンピューティング環境は、信用できないエンティティがセキュリティ保護されたコンピューティング環境を検査するのを防ぐ前記セキュリティ保護されたコンピューティング環境を含み、
前記第１のアプリケーションインスタンスの攻撃者を識別する段階
をさらに備え、
ここで、少なくとも一部のトラフィックを前記アプリケーションの前記第１のインスタンスから前記アプリケーションの前記第２のインスタンスへリダイレクトする段階は、識別された前記攻撃者からのトラフィックのみをリダイレクトする段階を有する、
項目１に記載の方法。
［項目９］
前記第２のエッジコンピューティング環境における前記アプリケーションの前記第２のインスタンスに前記第１の動的セキュリティ機能を適用する段階は、
前記少なくとも一部のトラフィックのフィルタリングを実行するために前記第２のエッジコンピューティング環境の第１のコンポーネントを決定する段階；
前記第１のコンポーネントを用いて前記少なくとも一部のトラフィックをフィルタリングする段階；
前記第２のエッジコンピューティング環境の性能データをモニタリングする段階；および
前記第２のエッジコンピューティング環境の前記性能データに基づいて、前記少なくとも一部のトラフィックのフィルタリングを前記第２のエッジコンピューティング環境の第２のコンポーネントに始めさせる段階
を含む、
項目１に記載の方法。
［項目１０］
少なくとも１つのプロセッサ；および
前記プロセッサに動作可能に接続され、コンピュータ実行可能命令を格納したメモリ
を備えるシステムであって、
前記コンピュータ実行可能命令は、前記少なくとも１つのプロセッサにより実行された場合、
システムの第１のエッジコンピューティング環境において動作するアプリケーションの第１のインスタンスに静的セキュリティ機能を適用する段階；
前記アプリケーションの前記第１のインスタンスに第１の動的セキュリティ機能を適用する段階、ここで、前記第１の動的セキュリティ機能は、前記第１のエッジコンピューティング環境における前記アプリケーションの前記第１のインスタンスの動作に固有の動的情報に基づいて動的に決定される；
前記アプリケーションの第２のインスタンスをインスタンス化する段階であって、
前記第１の動的セキュリティ機能を識別する段階；および
前記アプリケーションの前記第２のインスタンスに前記静的セキュリティ機能および前記第１の動的セキュリティ機能を適用する段階
を含む、インスタンス化する段階；および
少なくとも一部のトラフィックを前記アプリケーションの前記第１のインスタンスから前記アプリケーションの前記第２のインスタンスへリダイレクトする段階
を含む方法を前記システムに実行させる、
システム。
［項目１１］
前記システムは、前記システムの第３のエッジコンピューティング環境において動作するアプリケーションの第３のインスタンスを含み、前記方法は、
アプリケーションの前記第３のインスタンスに前記静的セキュリティ機能を適用する段階；および
前記アプリケーションの前記第３のインスタンスに第３の動的セキュリティ機能を適用する段階、ここで、前記第３の動的セキュリティ機能は、前記第３のエッジコンピューティング環境における前記アプリケーションの前記第３のインスタンスの動作に固有の動的情報に基づいている
をさらに含む、項目１０に記載のシステム。
［項目１２］
前記方法は、前記第１のエッジコンピューティング環境から前記アプリケーションの前記第１のインスタンスを除去する段階をさらに含む、項目１０に記載のシステム。
［項目１３］
前記方法は、前記アプリケーションの前記第２のインスタンスをインスタンス化する段階の前に、
前記アプリケーションの前記第１のインスタンスまたは前記第１のエッジコンピューティング環境に関連する性能データを評価する段階；および
前記性能データは閾値を超えている、と判断する段階
をさらに含み、
ここで、前記アプリケーションの前記第２のインスタンスのインスタンス化は、前記性能データは前記閾値を超えているという判断に基づいている、
項目１０に記載のシステム。
［項目１４］
前記第１の動的セキュリティ機能は、ＤＤｏＳ軽減機能、ファイアウォール分析機能、ユーザ分析機能およびデータ損失防止機能のうちの１つまたは複数を含む、項目１０に記載のシステム。
［項目１５］
前記第１の動的セキュリティ機能を適用する段階は、前記アプリケーションの前記第１のインスタンスがサイバー攻撃を受けている、と判断する段階、攻撃デバイスのソース識別データを識別する段階、前記攻撃デバイスからトラフィックを動的にブロックする段階、および検出された前記サイバー攻撃に対するセキュリティ保護を適用する段階を含み、ここで、前記ソース識別データは、
ユーザ名、ユーザ識別子またはアカウント識別子のうちの１つまたは複数を含むユーザ識別情報；
デバイス名、ＩＰアドレスまたは媒体アクセス制御（ＭＡＣ）アドレスのうちの１つまたは複数を含むデバイス識別情報；または
ネットワーク追跡情報またはパケットヘッダ情報のうちの１つまたは複数を含む発信ネットワーク／領域情報
のうちの１つまたは複数を含む、
項目１０に記載のシステム。
［項目１６］
前記方法は、
前記第１の動的セキュリティ機能をコアシステムストレージに定期的に格納する段階
をさらに含み、
ここで、前記アプリケーションの前記第２のインスタンスに前記第１の動的セキュリティ機能を適用する段階は、前記コアシステムストレージから前記第１の動的セキュリティ機能をコピーする段階を含む、
項目１０に記載のシステム。
［項目１７］
前記アプリケーションの第２のインスタンスをインスタンス化する段階は、信用できないエンティティがセキュリティ保護されたコンピューティング環境を検査するのを防ぐ前記セキュリティ保護されたコンピューティング環境を含む第２のエッジコンピューティング環境における前記アプリケーションの前記第２のインスタンスをインスタンス化する段階を含む、項目１０に記載のシステム。
［項目１８］
前記方法は、
前記第１のアプリケーションインスタンスの攻撃者を識別する段階
をさらに含み、
ここで、少なくとも一部のトラフィックを前記アプリケーションの前記第１のインスタンスから前記アプリケーションの前記第２のインスタンスへリダイレクトする段階は、識別された前記攻撃者からのトラフィックのみをリダイレクトする段階を含む、
項目１７に記載のシステム。
［項目１９］
システムの第１のエッジコンピューティング環境において動作するアプリケーションの第１のインスタンスに静的セキュリティ機能を適用する段階；
前記アプリケーションの前記第１のインスタンスを前記第１のエッジコンピューティング環境において動作させる段階；
前記アプリケーションの前記第１のインスタンスを前記第１のエッジコンピューティング環境において動作させることに関連する動的情報を収集する段階；
前記アプリケーションの前記第１のインスタンスに第１の動的セキュリティ機能を適用する段階、ここで、前記第１の動的セキュリティ機能は、収集された前記動的情報に基づいて動的に決定される；
前記アプリケーションの前記第１のインスタンスまたは前記第１のエッジコンピューティング環境に関連する性能データを評価する段階；および
前記性能データは閾値を超えている、と判断する段階；
前記性能データは前記閾値を超えている、という判断に基づいて、前記システムの第２のエッジコンピューティング環境における前記アプリケーションの第２のインスタンスをインスタンス化する段階であって、
前記第１の動的セキュリティ機能を識別する段階；および
前記第２のエッジコンピューティング環境における前記アプリケーションの前記第２のインスタンスに前記静的セキュリティ機能および前記第１の動的セキュリティ機能を適用する段階
を有する、インスタンス化する段階；および
少なくとも一部のトラフィックを前記アプリケーションの前記第１のインスタンスから前記アプリケーションの前記第２のインスタンスへリダイレクトする段階
を備える方法。
［項目２０］
前記第１の動的セキュリティ機能を適用する段階は、前記アプリケーションの前記第１のインスタンスがサイバー攻撃を受けている、と判断する段階、攻撃デバイスのソース識別データを識別する段階、前記攻撃デバイスからトラフィックを動的にブロックする段階、および検出された前記サイバー攻撃に対するセキュリティ保護を適用する段階を有し、ここで、前記ソース識別データは、
ユーザ名、ユーザ識別子またはアカウント識別子のうちの１つまたは複数を含むユーザ識別情報；
デバイス名、ＩＰアドレスまたは媒体アクセス制御（ＭＡＣ）アドレスのうちの１つまたは複数を含むデバイス識別情報；または
ネットワーク追跡情報またはパケットヘッダ情報のうちの１つまたは複数を含む発信ネットワーク／領域情報
のうちの１つまたは複数を含む、
項目１９に記載の方法。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【国際調査報告】