JP6359766B2 - セキュリティ異常の分散検出のためのテクノロジー - Google Patents

Description

関連米国特許出願の相互参照
本出願は、2014年10月13日に申請され、“TECHNOLOGIES FOR DISTRIBUTED DETECTION OF SECURITY ANOMOLIES”と題された米国特許出願第14/513,140号に対して優先を主張し、2014年9月30日に申請され、“TECHNOLOGIES FOR DISTRIBUTED DETECTION OF SECURITY ANOMOLIES”と題された米国仮出願第62/058,096号に対して35 U.S.C.§119(e)下で優先を主張する。

ネットワーク機能及びサービスが世界中でネットワークオペレータ及びサービスプロバイダにより展開され、管理される方法を、様々な技術仕様が定義している。例えば、仕様は、仮想化されたプラットフォームの仕様を定義してサービスを届け、しばしば、サービス内のコンポーネントが一緒に「チェーンにされる」ことがある。こうした技術仕様には、例えば、欧州電気通信標準化機構のネットワーク機能仮想化のための標準（European Telecommunication Standards Institute's standard for Network Functions Virtualization）（ＥＴＳＩ ＮＦＶ）が含まれる。ネットワークオペレータが、ＥＴＳＩ ＮＦＶにより現在定義されるとおり仮想ネットワーク機能モデル上でネットワーク機能及びサービスを稼働させるとき、物理ネットワーキングシステムに対して従来利用可能な十分定義されたインターフェースは、インターフローパケット解析に対してもはや利用できない。そのようなものとして、脅威が検出されてそれに対して応答されることを確保するためのシステムの能力（例えば、ある加入者が、より高い特権レベルを有する加入者のために予約されたネットワーク機能上のサービスにアクセスするのを防止すること）は、大幅に抑制される可能性がある。

本明細書に説明される概念は、添付図面において、限定でなく例として示される。例示の簡素さ及び明りょうさのため、図内に示される要素は、必ずしも縮尺どおりに描かれていない。適切と考えられる場合、参照ラベルが複数図にわたり繰り返されて、対応する又は類似の要素を示す。
セキュリティ異常の分散検出のためのシステムの少なくとも１つの実施形態の、簡素化されたブロック図である。 図１のシステムのバックボーンネットワークシステムの少なくとも１つの実施形態の、簡素化されたブロック図である。 図２のバックボーンネットワークシステムのサーバの少なくとも１つの実施形態の、簡素化されたブロック図である。 図３のサーバの環境の少なくとも１つの実施形態の、簡素化されたブロック図である。 図２のサーバにより実行され得るセキュリティ異常の分散検出のための方法の少なくとも１つの実施形態の、簡素化されたフロー図である。 図２のサーバにより実行され得るセキュリティ異常の分散検出のための方法の少なくとも１つの実施形態の、簡素化されたフロー図である。 図２のセキュリティサーバにより実行され得るセキュリティ異常の分散検出のための方法の少なくとも１つの実施形態の、簡素化されたフロー図である。

本開示の概念は様々なモディフィケーション及び代替的な形式を受け入れる余地があり、そのうちの特定の実施形態が図面において例として示されており、本明細書において詳細に説明される。しかしながら、本開示の概念を開示される個別の形式に限定する意図はなく、しかし反対に、本発明は本開示及び別記の請求項に矛盾しないすべてのモディフィケーション、均等物、及び代替物をカバーすることが理解されるべきである。

明細書における「１つの実施形態」、「一実施形態」、「一例示的実施形態」等に対する参照は、説明される実施形態が個別の特徴、構造、又は特性を含み得ることを示すが、あらゆる実施形態が必ず上記個別の特徴、構造、又は特性を含むこともあればそうでないこともある。さらに、こうした表現は、必ずしも同じ実施形態を参照していない。さらに、個別の特徴、構造、又は特性が一実施形態と関連して説明されるとき、明示的に説明されているかそうでないかに関わらず、上記特徴、構造、又は特性を他の実施形態と関連して達成することは当業者の知識内であると考えられる。さらに、「少なくとも１つのＡ、Ｂ、及びＣ」の形式のリストに含まれるアイテムは、（Ａ）、（Ｂ）、（Ｃ）、（Ａ及びＢ）、（Ｂ及びＣ）、（Ａ及びＣ）、又は（Ａ、Ｂ、及びＣ）を意味し得ることが十分理解されるべきである。同様に、「Ａ、Ｂ、又はＣのうち少なくとも１つ」の形式で列挙されるアイテムは、（Ａ）、（Ｂ）、（Ｃ）、（Ａ及びＢ）、（Ｂ及びＣ）、（Ａ又はＣ）、又は（Ａ、Ｂ、及びＣ）を意味し得る。

開示される実施形態は、いくつかの場合、ハードウェア、ファームウェア、ソフトウェア、又はこれらのうち任意の組み合わせにおいて実装することができる。開示される実施形態は、さらに、１つ以上の一時的又は非一時的マシン読取可能（例えば、コンピュータ読取可能）記憶媒体により担体され又は該記憶媒体上に記憶された命令として実装されてもよく、上記命令は、１つ以上のプロセッサにより読み出され、実行されることができる。マシン読取可能記憶媒体は、マシンにより読取可能な形式において情報を記憶し又は送信する任意の記憶装置、メカニズム、又は他の物理構造として具現化することができる（例えば、揮発性又は不揮発性のメモリ、媒体ディスク、又は他の媒体装置）。

図面において、いくつかの構造的な又は方法の特徴が、特定の配置及び／又は順序付けにおいて示されることがある。しかしながら、こうした配置及び／又は順序付けは必要とされない可能性があることが十分理解されるべきである。むしろ、いくつかの実施形態において、こうした特徴が、例示される図に示されるのとは異なる仕方及び／又は順序で配置され得る。さらに、個別の図内に構造的又は方法の特徴を含めることは、その特徴がすべての実施形態において必要とされることを暗に示すものではなく、いくつかの実施形態において、含まれないことがあり、あるいは他の特徴と組み合わせられてもよい。

次に図１を参照すると、セキュリティ異常の分散検出（distributed detection）のためのシステム１００が、バックボーンネットワークシステム１０２、バックホールネットワークシステム１０４、１つ以上のタワーシステム１０６、及び１つ以上の加入者装置１０８を例示的に含む。例示的な実施形態において、加入者装置１０８は、タワーシステム１０６によってバックホールネットワークシステム１０４と通信し、バックホールネットワークシステム１０４は、適切なデータパケットが処理及び／又はさらなるルーティングのためにバックボーンネットワークシステム１０２に対してルーティングされることを確保する。バックボーンネットワークシステム１０２、バックホールネットワークシステム１０４、タワーシステム１０６、及び加入者装置１０８は、本明細書において説明される機能を実行する任意の適切な装置又は装置の集合として具現化されてよいことが十分理解されるべきである。例示的な実施形態において、バックボーンネットワークシステム１０２、バックホールネットワークシステム１０４、及びタワーシステム１０６の各々が、加入者装置１０８及び／又は他の装置間における（例えば、インターネットを通じた）電気通信を可能にする。さらに、バックボーンネットワークシステム１０２、バックホールネットワークシステム１０４、及びタワーシステム１０６は、任意数の装置、ネットワーク、ルータ、スイッチ、コンピュータ、及び／又は他の介在装置を含み、その対応する機能を個別の実装に依存して容易にすることができる。

いくつかの実施形態において、バックボーンネットワークシステム１０２は、ネットワーク機能仮想化（Network Function Virtualization）（ＮＦＶ）ベースのロングタームエボリューション（ＬＴＥ）バックボーンネットワークとして、仮想進化型パケットコア（Virtual Evolved Packet Core）（ｖＥＰＣ）アーキテクチャを有して具現化されることができる。バックボーンシステム１０２は、集中型ネットワークとしての機能を果たすことができ、いくつかの実施形態において、別のネットワーク（例えば、インターネット）に通信可能に結合されてもよい。例示的な実施形態において、バックホールネットワークシステム１０４は、バックボーンネットワーク１０２をタワーシステム１０６、サブネットワーク、及び／又はエッジネットワークに（例えば、中間リンクを介して）通信可能に結合する１つ以上の装置を含む。いくつかの実施形態において、バックホールネットワークシステム１０４は、ＬＴＥバックホールネットワークシステムの機能を果たすことができ、様々なネットワークを含んでよく、例えば、Ｔ１、ＩＰ、光、ＡＴＭ、リース、及び／又は他のネットワークが含まれる。

タワーシステム１０６は、通信装置、例えば、モバイルコンピューティング装置（例えば、モバイルフォン）及び／又は他の加入者装置１０８に、互いに及び／又は他のリモート装置と通信することを許可するように構成されたハードウェアを含む。そのようにすることにおいて、タワーシステム１０６は、加入者装置１０８がバックホールネットワークシステム１０４と通信することを可能にする。いくつかの実施形態において、タワーシステム１０６のうち１つ以上が、加入者装置１０８（例えば、モバイルコンピューティング装置ハンドセット）のうち１つ以上と直接的又は間接的に通信するように構成された進化型ノード（ｅＮｏｄｅＢ）を含み、あるいはその他の方法で該進化型ノードとして具現化されることができる。さらに、タワーシステム１０６は、個別の実施形態に依存して、基地局（base transceiver station）（ＢＴＳ）又は別のステーション／システムを含み、あるいは上記としての機能を果たしてもよい。加入者装置１０８は、本明細書に説明される機能を実行することができる任意タイプのコンピューティング装置として具現化されることができる。例えば、ＬＴＥバックホール及びバックボーンシステムが利用される実施形態において、加入者装置１０８は、モバイルコンピューティング装置（例えば、スマートフォン）として具現化されることができ、セルラーネットワークを利用するように構成されることができる。

下記で詳細に説明されるとおり、システム１００は、様々な仮想ネットワーク機能を利用することと同時に、脅威（threats）が（例えば、インターフローパケット解析（inter-flow packet analysis）を介して）検出され、それに対して行動されることを確保することができる。さらに、システム１００は、トラステッドエグゼキューション環境（Trusted Execution Environment）（ＴＥＥ）を用いて仮想プラットフォーム上で、強化された、細粒度の（fine-grain）セキュリティ検査能力を提供することができる。下記で説明されるとおり、例示的な実施形態において、ＴＥＥは、セキュアエンクレーブ、例えばＩｎｔｅｌ（登録商標）ソフトウェアガードエクステンションズ（Software Guard Extensions）（ＳＧＸ）などとして確立される。しかしがら、他の実施形態において、ＴＥＥはその他の方法で、例えば、マネージアビリティエンジン（Manageability Engine）（ＭＥ）、トラステッドプラットフォームモジュール（trusted platform module）（ＴＰＭ）、イノベーションエンジン（Innovation Engine）（ＩＥ）、セキュアパーティション、別個のプロセッサコア、及び／又はその他の方法で確立されるものとして、確立され、あるいは具現化されてもよい。

ネットワーク機能仮想化（ＮＶＦ）環境において、非仮想化環境についての従来の十分定義されたインターフェースは一般に利用不可能であり、ＮＦＶシステムは、複数の仮想ネットワーク機能（ＶＮＦ）を含んでよく、その各々は１つ以上の仮想ネットワーク機能コンポーネント（ＶＮＦＣ）を含んでよいことが十分理解されるべきである。ＶＮＦ及び／又はＶＮＦＣは、様々な異なるメカニズムを用いて互いに通信することができ、該メカニズムには、例えば、共有メモリ、閉じられたＯＳ若しくはハイパーバイザ固有のアプリケーションプログラミングインターフェース（ＡＰＩ）、ネットワーク仮想スイッチテストアクセスポイント（ＴＡＰ）、及び／又は他のメカニズムが含まれる。さらに、いくつかの実施形態において、イントラＶＮＦ及び／又はイントラＶＮＦトラフィックが、例えばインターネットプロトコルセキュリティ（ＩＰｓｅｃ）又はセキュアソケットレイヤ（ＳＳＬ）を用いて、暗号化されることができる。そのようなものとして、従来のメカニズムは、従来のネットワーク検査システムが仮想化環境におけるすべてのトラフィックに対して明りょうな可視性を有して効率的に動作するための一貫性のある方法を提供できないことが、十分理解されるべきである。

しかしながら、例示的な実施形態において、システム１００は、ＴＥＥの能力を用いて（例えば、マイクロコード（ｕｃｏｄｅ）、ハードウェア命令、及び／又は他のメカニズムと関連して）仮想化システムにわたりパケット及び／又はフローを検査するように構成される。例えば、下記で説明されるとおり、システム１００の各サーバ又はプラットフォームは、プラットフォームセキュリティポリシーインスペクタ（inspector）の役割を仮定するプラットフォーム固有ＴＥＥを含むことができる。詳細に、プラットフォーム固有ＴＥＥは、ネットワークＭＡＣ／イーサネット（登録商標）及び／又は他のネットワーク／通信インターフェースから（例えば、インターＩＰ（inter-IP）サイドチャネルメカニズムをとおして）来るすべてのパケット（すなわち、進入及び／又は退出）を検査することができる。さらに、プラットフォーム固有ＴＥＥは、ハイパーバイザ（例えば、仮想マシンモニタ）特権に基づいて共有メモリ及び／又は独自ＡＰＩを（proprietary APIs）検査し、定義されたＡＰＩ（例えば、ＨＥＣＩインターフェース）を用いてＴＥＥと通信することができる。プラットフォーム固有ＴＥＥは、さらに又は別法として、署名され及びアンチロールバック保護されたマイクロコード（ｕｃｏｄｅ）パッチ上で呼び出される、より高い特権に基づいて、ローカルの及び共有されたプロセッサ（例えば、ＣＰＵ）とＳｏＣキャッシュメモリとを検査してもよい。いくつかの実施形態において、プラットフォーム固有ＴＥＥは、保護されたインターＶＮＦＣ（inter-VNFC）及びインターＶＮＦ（inter-VNF）トラフィックを監視することに対して、ＴＥＥベースのインターＶＮＦＣトンネルキーを使用する。さらに又は別法として、プラットフォーム固有ＴＥＥは、様々な仮想スイッチインターフェースへの及びＴＡＰへのハイパーバイザアクセスを使用して、トラフィックデータにアクセスすることができる。

いくつかの実施形態において、ＴＥＥは、プラットフォーム上で複数のソースから情報を収集することができ、従来のシステムにおいてなされるよりもかなりより詳細な仕方でそのようにできることが十分理解されるべきである。例えば、ＴＥＥは、ポリシーにより構成可能であって、すべての又は選択されたパケット、ネットワークフローを監視し、パケット修正を追跡し、かつ／あるいは他の監視機能を実行することができる。ＴＥＥは、収集されたデータに対して高度なヒューリスティック（heuristics）を稼働させ、個別のポリシーに依存して脅威情報を保有することができる。さらに、ＴＥＥは、ポリシー及び／又は受信した是正命令（remediation instructions）に基づいて、１つ以上の是正措置（remediation actions）をとることができる（例えば、特定のフローをブロックすること、パケットをコピーすること等）。いくかの実施形態において、ＴＥＥは、例外及び／又は脅威ヒューリスティックを、（例えば、ＮＦＶ分散脅威検出セキュリティシステム上の）指名された（nominated）ＴＥＥに伝えることができ、指名されたＴＥＥは、システム全体のセキュリティ脅威ヒューリスティック／解析を実行することができる。いくつかの実施形態において、他のＴＥＥがさらなる（例えば、より広いスケールの）解析のために指名されたＴＥＥにセキュリティ情報を送信するように分散脅威検出システムが設計されるという意味で、ＴＥＥは「指名される」ことが十分理解されるべきである。下記で説明されるとおり、いくつかの実施形態において、指名されたＴＥＥは、セキュリティサーバ及び／又は分散脅威検出セキュリティシステムに含まれることができる。さらに、いくつかの実施形態において、複数のＴＥＥが、システム全体又はサブシステム全体のセキュリティ脅威解析を実行するように指名されてもよく、これらＴＥＥは、階層的に配置されてもよい。例えば、一実施形態において、第１の指名されたＴＥＥは、第１のサブシステム内のサーバの対応するＴＥＥから受信される情報に基づいて、第１のサブシステムのセキュリティ脅威解析を実行することができ、第２の指名されたＴＥＥは、第２のサブシステム内のサーバの対応するＴＥＥから受信される情報に基づいて、第２のサブシステムのセキュリティ脅威解析を実行することができ、以下同様である。上記サブシステムＴＥＥ（例えば、第１及び第２の指名されたＴＥＥ）の各々は、その解析及び／又はさらなる情報を「より高い」仮想レベルにおける別の指名されたＴＥＥに提供して、より低いレベルの指名されたＴＥＥから受信される情報に基づいて完全なシステム全体（又は、より大きいサブシステム全体）のセキュリティ脅威解析を実行することができる。当然ながら、指名されたＴＥＥ及び／又は階層レベルの数は、個別の実施形態に依存して変動してよい。

ＴＥＥの階層能力は、ローカルの是正措置が制定されることを可能にし、同時に、複数のプラットフォームにわたるＶＮＦとＶＮＦＣとに及ぶフローについてのシステム全体の脅威検出及び是正を可能にすることができる。いくつかの実施形態において、ＴＥＥは、すべてのコード及びデータを含め保護され、（例えば、ＴＰＭ又は仮想ＴＰＭを用いて）署名検証及び測定においてのみロードされることができる。さらに、ＴＥＥは、ルートキーにより承認された、署名検証された第三者検証（third party verification）（ＴＰＶ）コードを稼働させる能力を有して、ＴＰＶ及び／又は他のベンダを有効にしてもよい。本明細書において説明される通信のインターフェースは、例えば、ＳｏＣ又はプロセッサ内のインターＩＰ通信（ＩＰＣ）、装置ドライバモデル（例えば、ＨＥＣＩインターフェース）、仮想ＬＡＮアタッチメント、インターコンポーネント（inter-component）インタラクションのための既存のプロトコル（例えば、ＰＥＣＩ、ＳＭＢＵＳ等）を含んでもよいことが十分理解されるべきである。他の実施形態において、コンポーネントは、例えば、ＴＬＳ保護されたＨＴＴＰＳのウェブベースのＲＥＳＴ ＡＰＩを通じて通信してもよい。さらに、いくつかの実施形態において、システム１００は、プラットフォームの、ハイパーバイザの、及びクラウドＯＳの中立的な仕方で実装されてもよいことが十分理解されるべきである。

次に図２を参照すると、例示的な実施形態において、バックボーンネットワークシステム１０２は、１つ以上のＶＮＦ２０２、１つ以上のサーバ２０４、及びセキュリティサーバ２０６を含む。さらに、いくつかの実施形態において、バックボーンネットワークシステム１０２は、是正サーバ（remediation server）２０８及び／又はオーケストレータ（orchestrators）２１０を含む。１つのセキュリティサーバ２０６、１つの是正サーバ２０８、及び１つのオーケストレータ２１０が図２に例示的に示されるが、バックボーンネットワークシステム１０２は、他の実施形態において任意数のセキュリティサーバ２０６、是正サーバ２０８、及び／又はオーケストレータ２１０を含んでよい。例えば、いくつかのセキュリティサーバ２０６が含まれてもよく、これらセキュリティサーバの各々が、階層の及び分散された脅威検出について本明細書に説明されるとおりに指名されたＴＥＥを含んでもよい。いくつかの実施形態において、サーバ２０４及びセキュリティサーバ２０６の各々が、同様のハードウェア、ソフトウェア、及び／又はファームウェアコンポーネントを含んでよいことが十分理解されるべきである。さらに、いくつかの実施形態において、セキュリティサーバ２０６は、セキュリティサーバ２０６が本明細書に説明されるとおりの指名されたＴＥＥを含むことを除き、サーバ２０４の１つとして具現化されてもよい。

次に図３を参照すると、システム１０２のサーバ２０４、２０６の一例示的な実施形態が示される。図示されるとおり、例示的なサーバ２０４、２０６は、プロセッサ３１０、入力／出力（“Ｉ／Ｏ”サブシステム）３１２、メモリ３１４、データ記憶装置３１６、通信回路３１８、及び１つ以上の周辺装置３２０を含む。さらに、いくつかの実施形態において、サーバ２０４、２０６は、セキュリティコプロセッサ３２２を含むことができる。当然ながら、サーバ２０４、２０６は、他の実施形態において、他の又はさらなるコンポーネント、例えば、典型的なコンピューティング装置内で一般に見られるもの（例えば、様々な入力／出力装置、及び／又は他のコンポーネント）などを含んでもよい。さらに、いくつかの実施形態において、例示的なコンポーネントのうち１つ以上が、別のコンポーネントに組み込まれ、あるいはその他の方法で別のコンポーネントの一部分を形成してもよい。例えば、メモリ３１４又はその一部が、いくつかの実施形態においてプロセッサ３１０に組み込まれてもよい。

プロセッサ３１０は、本明細書に説明される機能を実行することができる任意タイプのプロセッサとして具現化されることができる。例えば、プロセッサ３１０は、シングル若しくはマルチコアプロセッサ、デジタルシグナルプロセッサ、マイクロコントローラ、又は他のプロセッサ若しくは処理／制御回路として具現化されてもよい。図示されるとおり、プロセッサ３１０は、１つ以上のキャッシュメモリ３２４を含むことができる。メモリ３１４は、本明細書に説明される機能を実行することができる任意タイプの揮発性又は不揮発性のメモリ又はデータ記憶装置として具現化されてよいことが十分理解されるべきである。動作において、メモリ３１４は、サーバ２０４、２０６の動作の間に使用される様々なデータ及びソフトウェアを記憶することができ、例えば、オペレーティングシステム、アプリケーション、プログラム、ライブラリ、及びドライバなどである。メモリ３１４は、Ｉ／Ｏサブシステム３１２を介してプロセッサ３１０に通信可能に結合され、Ｉ／Ｏサブシステム３１２は、サーバ２０４、２０６のプロセッサ３１０、メモリ３１４、及び他のコンポーネントとの入力／出力動作を容易にする回路及び／又はコンポーネントとして具現化されることができる。例えば、Ｉ／Ｏサブシステム３１２は、メモリコントローラハブ、入力／出力制御ハブ、ファームウェア装置、通信リンク（すなわち、ポイントツーポイントリンク、バスリンク、ワイヤ、ケーブル、光ガイド、印刷回路板トレース等）、及び／又は他のコンポーネント及びサブシステムとして具現化され、あるいはその他の方法で上記を含み、入力／出力動作を容易にすることができる。いくつかの実施形態において、Ｉ／Ｏサブシステム３１２は、システムオンチップ（ＳｏＣ）の一部分を形成し、サーバ２０４、２０６のプロセッサ３１０、メモリ３１４、及び他のコンポーネントとともに、単一の集積回路チップ上に組み込まれることができる。

データ記憶装置３１６は、短期又は長期の記憶に対して構成された任意タイプの１つ又は複数の装置として具現化されることができ、例えば、メモリデバイス及び回路、メモリカード、ハードディスクドライブ、ソリッドステートドライブ、または他のデータ記憶装置などである。データ記憶装置３１６及び／又はメモリ３１４は、サーバ２０４、２０６の動作の間、本明細書に説明される機能を実行するのに有用な様々なデータを記憶することができる。

通信回路３１８は、サーバ２０４、２０６、及び他のリモート装置の間でネットワークを通じた通信を可能にすることができる任意の通信回路、装置、又はこれらの集合として具現化されることができる。通信回路３１８は、任意の１つ以上の通信テクノロジー（例えば、無線又は有線通信）と関連プロトコル（例えば、イーサネット、Ｂｌｕｅｔｏｏｔｈ（登録商標）、Ｗｉ‐Ｆｉ（登録商標）、ＷｉＭＡＸ（登録商標）等）とを使用して、上記通信を達成するように構成されることができる。いくつかの実施形態において、通信回路３１８は、セルラー通信回路及び／又は他の長距離無線通信回路を含む。

周辺装置３２０は、任意数のさらなる周辺又はインターフェース装置、例えば、スピーカ、マイクロフォン、さらなる記憶装置などを含むことができる。周辺装置３２０に含まれる個別の装置は、例えば、サーバ２０４、２０６のタイプ及び／又は意図された使用法に依存してよい。

セキュリティコプロセッサ３２２は、含まれる場合、セキュリティ機能、暗号機能を実行し及び／又は信頼された実行環境を確立することができる任意のハードウェアコンポーネント又は回路として具現化されることができる。例えば、いくつかの実施形態において、セキュリティコプロセッサ３２２は、トラステッドプラットフォームモジュール（ＴＰＭ）又は帯域外（out-of-band）プロセッサとして具現化されてもよい。さらに、いくつかの実施形態において、セキュリティコプロセッサ３２２は、リモート装置（例えば、他のサーバ２０４、２０６の対応するセキュリティコプロセッサ３２２）との帯域外通信リンクを確立することができる。

図２に戻ると、図示されるとおり、バックボーンネットワークシステム１０２は、１つ以上の仮想ネットワーク機能（ＶＮＦ）２０２を含み、ＶＮＦの各々は、１つ以上の仮想ネットワーク機能コンポーネント（ＶＮＦＣ）２１２を含むことができる。ＶＮＦ２０２は、任意の適切な仮想ネットワーク機能として具現化されてよく、同様に、ＶＮＦＣ２１２は、任意の適切なＶＮＦコンポーネントとして具現化されてよいことが十分理解されるべきである。例えば、いくつかの実施形態において、ＶＮＦ２０２は、セキュリティゲートウェイ（ＳＧＷ）、パケットデータネットワークゲートウェイ（ＰＮＧ）、請求機能、及び／又は他の仮想ネットワーク機能を含んでもよい。いくつかの実施形態において、個別のＶＮＦ２０２が複数のサブインスタンスを有してもよく、サブインスタンスは同じサーバ２０４、２０６又は異なるサーバ２０４、２０６上で実行することができる。換言すると、仮想化されるとき、個別のサーバ２０４、２０６にコロケートされた物理ハードウェアにより従来扱われるネットワーク機能が、サーバ２０４、２０６のうち１つ以上にわたりＶＮＦ２０２として分散されることができる。例示的な実施形態において、ＶＮＦＣ２１２は、１つ以上のＶＮＦ２０２の機能性を届けるために協働する処理及び／又はインスタンスである。例えば、いくつかの実施形態において、ＶＮＦＣ２１２は、ＶＮＦ２０２のサブモジュールである。ＶＮＦ２０２と同様に、ＶＮＦＣ２１２が１つ以上のサーバ２０４、２０６にわたり分散されてもよいことが十分理解されるべきである。さらに、個別のＶＮＦＣ２１２が複数のサーバ２０４、２０６にわたり分散され、単一のサーバ２０４、２０６上に確立されるＶＮＦ２０２の一部を依然として形成してもよいことが十分理解されるべきである。

本明細書において説明されるとき、例示的な実施形態において、１つ以上のサーバ２０４、２０６のＶＮＦ２０２は、例えば、１つ以上のインターＶＮＦ通信メカニズムを介してインターＶＮＦ通信ネットワーク２４０を通じて、互いに通信することができる。同様に、１つ以上のサーバ２０４、２０６のＶＮＦＣ２１２は、例えば、１つ以上のインターＶＮＦＣ通信メカニズムを介してインターＶＮＦＣ通信ネットワーク２４２を通じて、互いに通信することができる。インターＶＮＦ及びインターＶＮＦＣ通信メカニズムは、インターＶＮＦ及び／又はインターＶＮＦＣ通信を可能にするように構成された任意の適切なメカニズムとして具現化されてよいことが十分理解されるべきである。例えば、いくつかの実施形態において、ＶＮＦ２０２及び／又はＶＮＦＣ２１２は、ハイパーバイザ及びパケット構文解析、標準フォーマットに基づき整形されたパケット、共有メモリ（例えば、ハイパーバイザにより予約された物理／仮想メモリ）、及び／又は他の適切なメカニズムを有するオープンスイッチを用いて互いに通信することができる。例示的な実施形態において、個別のＶＮＦ２０２又はＶＮＦＣ２１２が実行されているサーバ２０４、２０６のＴＥＥは、上記個別のＶＮＦ２０２又はＶＮＦＣ２１２に関連付けられたインターＶＮＦ及びインターＶＮＦＣ通信を（直接的又は間接的に）読み出すように構成される。

ＶＮＦ２０２は、サービスチェーンへのパケットを処理できることが十分理解されるべきである。しかしながら、動作の間、１つ以上の実行時脅威がシステムに注入される可能性があり、このことは、パケット又はフローのセットが個別のポリシーにより必要とされるとおりサービスチェーン全体によって処理されるのを、妨げる可能性がある。そのようなものとして、サーバ２０４、２０６のＴＥＥは、異常、及び異常なＶＮＦ実行時挙動を識別するのに利用することができ、上記異常及び挙動には、例えば、悪意のあるＴＣＰｓｙｎｃフラッド、パケット廃棄、フロー切断、アプリケーションレベルポリシーの違反、及び他の潜在的なセキュリティ脅威などが含まれる。そのようなものとして、ＴＥＥは、サーバのセキュリティポリシーインスペクタとしての役割を仮定することができる。

図２の例示的な実施形態において、サーバ２０４の各々は、ハイパーバイザ２１４、メモリ３１４、キャッシュ３２４、１つ以上のエンジン２２０、１つ以上のネットワークインターフェース２２２、及び信頼された実行環境２２４を含む。さらに、ハイパーバイザ２１４は、１つ以上のＡＰＩ２２６、仮想スイッチ（ｖＳｗｉｔｃｈ）２２８、１つ以上の暗号化トンネル２３０、及び共有メモリ２３２を含む。当然ながら、サーバ２０４は、いくつかの実施形態においてさらなるコンポーネントを含んでもよく、こうしたコンポーネントは、説明の明りょうさのために省略される。

ハイパーバイザ２１４又は仮想マシンモニタは、対応するサーバ２０４上で１つ以上の仮想マシン（ＶＭ）を稼働させる。そのようなものとして、ハイパーバイザ２１４は、様々な仮想化されたハードウェアリソース（例えば、仮想メモリ、仮想オペレーティングシステム、仮想ネットワーキングコンポーネント等）を確立し、かつ／あるいは利用することができる。ハイパーバイザ２１４及び／又はサーバ２０４に含まれる個別のＡＰＩ２２６は、個別のサーバ２０４に依存して一般に変動し得る。いくつかの実施形態において、ＡＰＩ２２６は１つ以上の独自ＡＰＩを含む。いくつかの実施形態において、ＡＰＩ２２６は、（例えば、ＶＮＦ２０２に関連付けられた）パケットに対するアクセスを提供することができ、そのため、上記パケットはＴＥＥ２２４により解析されることができる。仮想スイッチ２２８を利用して、ネットワークポリシーを強制し（enforce）、かつ／あるいは措置を強制することができる（例えば、パケットを廃棄する、フローを監視する、ディープインスペクションを実行する、是正措置を実行する等）。例えば、仮想スイッチ２１６は、システム１０２内の仮想マシン（ＶＭ）のネットワーキングを許可することができる。下記で説明されるとおり、いくつかの実施形態において、サーバ２０４は、（例えば、セキュリティサーバ２０６との、ＶＮＦ２０２間の、及び／又はＶＮＦＣ２１２間の通信について、）セキュア通信のための暗号化トンネル２１８を確立することができる。いくつかの実施形態において、暗号化トンネル２１８は、（例えば、対応する暗号化キーに対するアクセスによって、暗号化された形式で又は暗号化されていない形式で）サーバ２０４のＴＥＥによって読み出されることができる。さらに、いくつかの実施形態において、１つ以上のＶＭ、ＶＮＦ２０２、及び／又はＶＮＦＣ２１２は、共有メモリ２３２を利用することができる。例えば、いくつかの実施形態において、ＶＮＦ２０２及びＶＮＦＣ２１２は、共有メモリ２３２を利用して互いに通信することができる。共有メモリ２３２は、個別の実施形態に依存して物理メモリ及び／又は仮想メモリを含んでよいことが十分理解されるべきである。例示的な実施形態において、個別のサーバ２０４のＴＥＥ２２４は、該サーバ２０４のＡＰＩ２２６、仮想スイッチ２２８、暗号化トンネル２３０、及び共有メモリ２３２の各々にアクセスして、１つ以上のパケット／フローのセキュリティ脅威解析についてデータを取り出すことができる。さらに、ＴＥＥ２２４は、こうした解析のためにインターＶＮＦ及びインターＶＮＦＣ通信にアクセスすることができる。

上記で説明されたとおり、サーバ２０４は、メモリ３１４、キャッシュ３２４、エンジン２２０、ネットワークインターフェース２２２、及びＴＥＥ２２４を含む。メモリ３１４は、本明細書に説明される機能を実行することができる任意タイプの揮発性又は不揮発性のメモリ又はデータ記憶装置として具現化されてよいことが十分理解されるべきである。さらに、いくつかの実施形態において、メモリ３１４は、ソフトウェア定義されたストレージを含んでもよい。１つ以上のエンジン２２０は、セキュリティ評価を準備することにおいてＴＥＥ２２４及び／又はセキュリティサーバ２０６に対して有用なデータを生成する任意のハードウェア、ファームウェア、及び／又はソフトウェアコンポーネントとして具現化されることができる。例えば、エンジン２２０は、ＳｏＣ、グラフィックスエンジン、セキュリティエンジン、オーディオエンジン、暗号モジュール、ＴＰＭ、コプロセッサ、通信リンク若しくはチャネル、スイッチ、及び／又は、データを処理し又はその他の方法で扱うように構成された別のエンジンを含むことができる。ネットワークインターフェース２２２は、データパケットのネットワーキング処理に関連付けられた任意のインターフェースとして具現化されることができる。例えば、いくつかの実施形態において、ネットワークインターフェース２２２は、ネットワークＭＡＣ／イーサネットインターフェース、ソフトウェア定義されたネットワーキングモジュール、及び／又は別のネットワークインターフェースを含む。

上記で指摘されたとおり、例示的な実施形態において、ＴＥＥ２２４は、セキュアエンクレーブ、例えば、インテルソフトウェアガードエクステンションズ（ＳＧＸ）などとして確立される。しかしながら、他の実施形態において、ＴＥＥ２２４はその他の方法で、例えば、マネージアビリティエンジン（Manageability Engine）（ＭＥ）、トラステッドプラットフォームモジュール（trusted platform module）（ＴＰＭ）、イノベーションエンジン（Innovation Engine）（ＩＥ）、セキュアパーティション、別個のプロセッサコア、及び／又はその他の方法で確立されるものとして、確立されてもよい。例えば、いくつかの実施形態において、ＴＥＥ２２４は、セキュリティコプロセッサ３２２として具現化され、あるいはセキュリティコプロセッサ３２２によって確立されてもよい。本明細書において論じられるとき、ＴＥＥ２２４は、サーバ２０４の様々なコンポーネントからデータを取り出すように構成され、上記データは、セキュリティ解析を行うのに使用されることができる。いくつかの実施形態において、ＴＥＥ２２４は、取り出されたデータに基づいてローカルのセキュリティ解析を実行することができる。さらに、例示的な実施形態において、ＴＥＥ２２４は、セキュリティ脅威評価データ（すなわち、収集されたデータ、及び／又は解析結果）を、セキュリティサーバ２０６の対応するＴＥＥ２２４に（すなわち、指名されたＴＥＥ２２４に）送信する。例示的な実施形態において、ＴＥＥ２２４は、帯域外通信ネットワークを通じて互いに通信してもよいことが十分理解されるべきである。

本明細書において論じられるとき、セキュリティサーバ２０６の指名されたＴＥＥ２２４は、システム全体（又は、より広いサブシステム全体）のセキュリティ評価を実行する。いくつかの実施形態において、セキュリティサーバ２０６は、是正サーバ２０８と通信して、セキュリティ評価に関連付けられた是正命令（すなわち、サーバ２０４により実行されるべき適切な措置）を要求することができる。図２に示されるとおり、是正サーバ２０８は、クラウドコンピューティング環境２３４内に含まれることができ、その場合、是正サーバ２０８は、オーケストレータ２１０と協議して（consult）、適切な是正措置／命令を決定することができる。是正サーバ２０８及びオーケストレータ２１０は、本明細書に説明される機能を実行することができる任意のサーバ又はコンピューティング装置として具現化されることができる。さらに、是正サーバ２０８及びオーケストレータ２１０は、上記で説明されたサーバ２０４、２０６のコンポーネントと同様のコンポーネント、及び／又は、サーバにおいて一般に見られるコンポーネント、例えば、プロセッサ、メモリ、Ｉ／Ｏサブシステム、データ記憶装置、周辺装置などを含んでもよく、上記コンポーネントは、説明の明りょうさのために図２には示されない。

次に図４を参照すると、使用において、サーバ２０４、２０６のうち１つ以上が、セキュリティ異常の分散検出のための環境４００を確立する。サーバ２０４、２０６の例示的な環境４００は、セキュリティモジュール４０２、信頼された実行環境モジュール４０４、通信モジュール４０６、セキュリティ脅威データベース４０８、１つ以上のポリシー４１０（例えば、セキュリティ及び／又は構成ポリシー）、及びヒューリスティックコード（heuristic code）４１２を含む。環境４００のモジュールの各々は、ハードウェア、ソフトウェア、ファームウェア、又はこれらの組み合わせとして具現化されることができる。さらに、いくつかの実施形態において、例示的なモジュールのうち１つ以上が別のモジュールの一部分を形成してもよく、かつ／あるいは、例示的なモジュールのうち１つ以上がスタンドアロンの又は独立したモジュールとして具現化されてもよい。例えば、環境４００のモジュール、ロジック、及び他のコンポーネントの各々が、サーバ２０４、２０６のプロセッサ３１０の一部分を形成し、あるいはその他の方法で該プロセッサ３１０により確立されてもよい。

セキュリティモジュール４０２は、サーバ２０６のための様々なセキュリティ機能を実行するように構成される。例えば、セキュリティモジュール４０２は、暗号キー、署名、ハッシュの生成及び検証を扱い、かつ／あるいは他の暗号機能を実行することができる。

信頼された実行環境モジュール４０４は、サーバ２０４、２０６内で、信頼された実行環境（例えば、ＴＥＥ２２４）又はその他のセキュア環境を確立する。上記で説明されたとおり、ＴＥＥ２２４は、別のサーバ２０４、２０６の対応するＴＥＥ２２４との信頼された関係を確立することができる。例えば、そのようにすることにおいて、ＴＥＥ２２４は、暗号キー交換を実行することができる。いくつかの実施形態において、ＴＥＥ２２４は、確立された暗号化された及び／又はその他のセキュアなトンネルを通じて互いに通信することができる。上記で説明されたとおり、いくつかの実施形態において、ＴＥＥ２２４は、帯域外通信チャネル（すなわち、対応するサーバ２０４、２０６間における一般の通信チャネルとは別個の通信チャネル）を通じて互いに通信することができる。例えば、サーバ２０４のうち１つについてのＴＥＥ２２４が、セキュリティサーバ２０６のＴＥＥ２２４との信頼された関係を確立することができる。さらに、上記で説明されたとおり、ＴＥＥ２２４は、ＶＮＦＣ‐ＶＮＦＣ及びＶＮＦ‐ＶＮＦネットワークのパケットを読み出し、メモリ３１４、キャッシュ３２４、エンジン２２０、及び／又はネットワークインターフェース２２２からデータ取り出すことができる。さらに、いくつかの実施形態において、ＴＥＥモジュール４０４は、サーバ２０４、２０６のヒューズ（fuses）、メモリ３１４、データ記憶装置３１６、及び／又は他のハードウェアコンポーネントを読み出して、サーバ２０４、２０６の個別のポリシー４１０（例えば、構成又はセキュリティポリシー）を決定する。さらに、ＴＥＥモジュール４０４は、取り出された情報に基づいてサーバ２０４、２０６の１つ以上のパケットのセキュリティ評価を実行して、例えば、パケットがセキュリティ脅威を引き起こすかどうかを決定することができる。そのようにすることにおいて、ＴＥＥ４０４は、セキュリティ脅威データベース４０８からデータを取り出し、あるいはその他の方法で、取り出されたセキュリティ脅威評価データをセキュリティ脅威データベース４０８に相関させることができる。サーバ２０４のうち１つがローカルのセキュリティ脅威評価を実行してもよく、セキュリティサーバ２０６がシステム全体の（又は、より広いサブシステム全体の）セキュリティ脅威評価を実行してもよいことが十分理解されるべきである。そのようなものとして、上記サーバ２０４、２０６のセキュリティ脅威データベース４０８は、対応するデータを含むことができる。いくつかの実施形態において、ＴＥＥモジュール４０４は、１つ以上のパケットのセキュリティを評価することにおいてヒューリスティックコード４１２を利用することができる。いくつかの実施形態において、ヒューリスティックコード４１２は、（ＶＭ又はセキュアコンテナ内で）疑わしい命令が実行されなくてはならないパラメータ及び／又はコンテキストを識別する。さらに又は別法として、ヒューリスティックコード４１２は、悪意のあるコード署名、ホワイトリスト、ブラックリストを識別し、かつ／あるいはその他の方法で、ＴＥＥモジュールによって１つ以上のパケット／命令のセキュリティを評価することにおいて有用なデータを含むことができる。

通信モジュール４０６は、適切なネットワークをとおしたサーバ２０４、２０６、及びリモート装置の間の通信を扱う。例えば、上記で論じられたとおり、サーバ２０４、２０６のＴＥＥ２２４は、帯域外通信チャネルを通じて又は暗号化されたトンネルを介して互いに通信することができる。

次に図５〜図６を参照すると、使用において、サーバ２０４は、セキュリティ異常の分散検出のための方法５００を実行することができる。例示的な方法５００はブロック５０２で始まり、ブロック５０２において、サーバが、セキュリティサーバ２０６との信頼された関係を確立する。上記で論じられたとおり、いくつかの実施形態において、セキュリティサーバ２０６は、システム全体の又はサブシステム全体のセキュリティ解析を実行するのに選択され又は「指名された」ＴＥＥ２２４を含む、サーバ２０４のうち１つとして具現化されることができる。他の実施形態において、セキュリティサーバ２０６は、サーバ２０４とは別個のサーバとして具現化されてもよい。信頼された関係を確立することにおいて、サーバ２０４は、ブロック５０４においてセキュリティサーバ２０６との間で暗号キーを交換してもよく、かつ／あるいはブロック５０６において信頼のルート（root of trust）及び／又はヒューズキーを使用してもよいことが十分理解されるべきである。例えば、サーバ２０４及び／又はセキュリティサーバ２０６は、サーバ２０４、２０６、又はより詳細にはサーバ２０４、２０６のハードウェアコンポーネント（例えば、セキュリティコプロセッサ３２２）に対して（例えば、暗号法的に）結び付けられた暗号キー又は識別を含むことができる。

ブロック５０８において、サーバ２０４は、セキュアにブートする。そのようにすることにおいて、サーバ２０４は、その構成ポリシーをブロック５１０において（例えば、サーバ２０４のセキュアな不揮発メモリから）取り出す。いくつかの実施形態において、構成ポリシーは、サーバ２０４の動作に関連付けられた実行パラメータ、コンテキスト情報、及び／又は他の情報を示すことができる。例えば、いくつかの実施形態において、構成ポリシーを利用して、サーバ２０４の様々なハードウェア、ファームウェア、及び／又はソフトウェアコンポーネントに関してＴＥＥ２２４に通知することができる。

ブロック５１２において、サーバ２０４は、セキュリティサーバ２０６との信頼されたトンネルを確立する。そのようにすることにおいて、サーバ２０４は、その存続（aliveness）をブロック５１４において広告する（advertise）ことができる。そのようにするために、サーバ２０４は、セキュリティサーバ２０６と通信して、サーバ２０４が動作していることをセキュリティサーバ２０６に知らせることができる。例えば、サーバ２０４は、ハートビート信号をセキュリティサーバ２０６に送信することができる。さらに、いくつかの実施形態において、サーバ２０４は、その存続を周期的又は連続的に広告することができる。さらに又は別法として、ブロック５１６において、サーバ２０４は、そのセキュリティポリシー及び／又はヒューリスティックコードを（例えば、ヒューリスティックセキュリティアルゴリズムを適用してパケットデータを解析するのに使用するために）セキュリティサーバ２０６に送信することができる。いくつかの実施形態において、サーバ２０４がセキュリティポリシー全体を送信してもよく、一方で、他の実施形態において、セキュリティサーバ２０６が様々なサーバ２０４のためのセキュリティポリシーを維持してもよく、したがって、サーバ２０４はセキュリティポリシー全体でなくセキュリティポリシーに対する直近の更新だけをセキュリティサーバ２０６に提供してもよい。さらに、いくつかの実施形態において、セキュリティサーバ２０４は、セキュリティの評価における使用のためにサーバ２０４にヒューリスティックコードを送信してもよい。

ブロック５１８において、サーバ２０４は、サーバ２０４の実行時状況（runtime posture）（例えば、コンテキスト及び／又は状態情報）を決定する。そのようにすることにおいて、ブロック５２０において、サーバ２０４は、サーバ２０４の１つ以上のＶＮＦ２０２の実行時状況を決定することができる。例えば、サーバ２０４は、サーバ２０４の現在のコンテキストを、ＶＮＦ２０２、ＶＮＦＣ２１２、及び／又はＶＭに応じて決定することができる。ブロック５２２において、サーバ２０４は、ハイパーバイザ２１４をとおしてＶＮＦＣ‐ＶＮＦＣ及び／又はＶＮＦ‐ＶＮＦネットワークの１つ以上のパケットを読み出す。詳細には、サーバ２０４は、仮想スイッチ２２８及び／又はネットワークインターフェース２２２をとおしてＶＮＦＣ‐ＶＮＦＣ及び／又はＶＮＦ‐ＶＮＦネットワークの１つ以上のパケットを読み出すことができる。ブロック５２４において、サーバ２０４は、サーバ２０４のメモリ３１４、２３２、及び／又はキャッシュ３２４から、ＶＮＦＣ及び／又はＶＮＦ処理実行状態に関連付けられた１つ以上のパケットを読み出す。図６のブロック５２６において、サーバ２０４は、サーバ２０４のマイクロコード（ｕｃｏｄｅ）及び／又はＢＩＯＳをとおしてサーバアクセスを可能にする。そのようにすることにおいて、ブロック５２８において、サーバ２０４は、サーバ２０４のヒューズ及び／又は状態を読み出して、サーバ２０４のポリシー（例えば、セキュリティポリシー）を決定することができる。

ブロック５３０において、サーバ２０４は、サーバ２０４のローカル脅威評価を実行することができる。サーバ２０４は、サーバ２０４に対して取り出され又はその他の方法でアクセス可能なポリシー、ヒューリスティックコード、実行時状況、パケット、及び／又は他の情報を利用できることが十分理解されるべきである。いくつかの実施形態において、サーバ２０４は、１つ以上のヒューリスティックアルゴリズムを実行してセキュリティ脅威評価を行う。ブロック５３４において、サーバ２０４は、セキュリティ脅威評価データをセキュリティサーバ２０６に報告する。そのようにすることにおいて、サーバ２０４は、サーバ２０４により収集された生データ、ローカルセキュリティ評価データ、及び／又はサーバ２０４により生成された中間データを送信することができる。

特定の実施形態に依存して、サーバ２０４は、ブロック５３６においてセキュリティサーバ２０６又は是正サーバ２０８からネットワークフロー／パケットについての是正措置命令を受信することができる。例えば、本明細書において論じられるとおり、セキュリティサーバ２０６は、システム全体の脅威解析を実行し及び／又は是正サーバ２０８からの支援を要求して、いずれかの特定の是正措置がサーバ２０４により実行されるべきであるかどうかを決定することができる。いずれもあてはまらない場合、サーバ２０４は、いくつかの実施形態においてセキュリティサーバ２０６から応答を受信しなくてもよい。当然ながら、いくつかの実施形態において、サーバ２０４は、セキュリティ是正措置を実行するかどうかを独立して決定することができる。ブロック５３８において、サーバ２０４は、ネットワークポリシー及び／又は是正措置を強制する。いくつかの実施形態において、サーバ２０４は、仮想スイッチ２２８及び／又はネットワークインターフェース２２２によってそのようにすることができる。特定の是正措置は、特定のセキュリティ脅威及び／又は特定の実施形態に依存して変動する可能性がある。例えば、ブロック５４０において、サーバ２０４は、是正命令に基づいて１つ以上のネットワークパケットを廃棄することができる。ブロック５４２において、サーバ２０４は、１つ以上のネットワークフローを監視することができる。例えば、いくつかの実施形態において、セキュリティサーバ２０６又は是正サーバ２０８は、サーバ２０４に、脅威解析に基づいてセキュリティリスクを引き起こす可能性がある特定クラスのネットワークフローを監視するように命令することができる。さらに、ブロック５４４において、サーバ２０４は、是正命令に基づいて１つ以上のネットワークパケットのディープパケットインスペクションを実行することができる。当然ながら、サーバ２０４は、特定の実施形態に依存して幅広い種類の他の是正措置を実行してよい。

次に図７を参照すると、使用において、セキュリティサーバ２０６は、セキュリティ異常の分散検出のための方法７００を実行することができる。例示的な方法７００は図７のブロック７０２で始まり、ブロック７０２において、セキュリティサーバ２０６は、サーバ２０４のうち１つとの信頼された関係を確立する。上記で説明されたとおり、そのようにすることにおいて、セキュリティサーバ２０６は、ブロック７０４においてサーバ２０４との暗号キー交換を実行し、かつ／あるいはブロック７０６において信頼のルート及び／又はヒューズキーを利用してもよい。例えば、相互的な（bilateral）信頼が確立される実施形態において、サーバ２０４とセキュリティサーバ２０６との双方が、信頼のルート（例えば、暗号法的に結び付けられたキー又は識別子）を含む。ブロック７１０において、セキュリティサーバ２０６は、上記で説明されたとおり、サーバ２０４との信頼されたトンネルを確立する。そのようにすることにおいて、セキュリティサーバ２０６は、ブロック７１０においてサーバ２０４からセキュリティポリシー更新及び／又はヒューリスティックコードを受信することができる。さらに又は別法として、セキュリティサーバ２０４は、（例えば、セキュリティを評価することにおける使用のために）ヒューリスティックコードをサーバ２０４に送信してもよい。さらに、ブロック７１２において、セキュリティサーバ２０６は、受信した情報に基づいてサーバ２０４からセキュリティ脅威評価データを受信する。上記で論じられたとおり、サーバ２０４は、サーバ２０４により収集された生データ、ローカルセキュリティ評価データ、及び／又はサーバ２０４により生成された中間データをセキュリティサーバ２０６に送信して、セキュリティサーバ２０６がシステム全体の又はサブシステム全体のセキュリティ評価を行うことを可能にすることができる。

ブロック７１４において、セキュリティサーバ２０６は、セキュリティ脅威評価データをセキュリティ脅威データベース４０８に相関させて、解析されたパケットがサーバ２０４に対するセキュリティ脅威を引き起こすかどうかを決定する。いくつかの実施形態において、セキュリティサーバ２０６は、（例えば、ＶＭ内における）パケットの実行を、状況、セキュリティ及び構成ポリシー、コンテキスト、ヒューリスティックコード、及び／又はサーバ２０４の動作に関する他の情報に基づいてシミュレートすることができる。さらに又は別法として、セキュリティサーバ２０６は、パケットを、様々なマルウェア（例えば、ウィルス）署名、ホワイトリスト、ブラックリスト、及び／又は他のデータと比較して、パケットが安全であるかどうかを決定してもよい。

ブロック７１６において、セキュリティサーバ２０６は、セキュリティ脅威が識別されたかどうかを決定する。そうである場合、セキュリティサーバ２０６は、ブロック７１８において是正措置を決定する。そのようにするために、ブロック７２０において、セキュリティサーバ２０６は、是正サーバ２０８からの是正決定を要求することができる。こうした実施形態において、是正サーバ２０８は、システム全体の（例えば、クラウドベースの）セキュリティ評価を実行し、及び／又はその他の方法で、サーバ２０４により実行されるべき是正措置を決定して、セキュリティ脅威に関連付けられた損害を是正し（remedy）、あるいは最小化することができる。上記で論じられたとおり、いくつかの実施形態において、是正サーバ２０８は、クラウドコンピューティング環境２３４内のオーケストレータ２１０と協働して、上記決定を行うことができる。是正サーバ２０８が協議を受ける（consulted）場合、ブロック７２２において、セキュリティサーバ２０６は、対応する是正命令を是正サーバ２０８から受信することができる。他の実施形態において、是正サーバ２０８は、命令をサーバ２０４に直接送信してもよい。当然ながら、いくつかの実施形態において、セキュリティサーバ２０６は、是正解析を独自で実行してもよい。ブロック７２４において、セキュリティサーバ２０６は、是正命令をサーバ２０４に送信することができる。

例
本明細書において開示されるテクノロジーの例示が下記で提供される。テクノロジーの一実施形態が下記で説明される例のうち任意の１つ以上又は任意の組み合わせを含んでよい。

例１は、セキュリティ異常の分散検出のためのコンピューティング装置を含み、当該コンピューティング装置は、（ｉ）セキュリティサーバとの信頼された関係を確立し、（ｉｉ）上記信頼された関係の確立に応答して、インター仮想ネットワーク機能ネットワークとインター仮想ネットワーク機能コンポーネントネットワークとのうち少なくとも１つの、１つ以上のパケットを受信し、（ｉｉｉ）上記１つ以上のパケットのセキュリティ脅威評価を実行する、信頼された実行環境モジュールと、上記セキュリティ脅威評価を上記セキュリティサーバに送信する通信モジュールと、を備える。

例２は、例１に記載の構成要件を含み、上記信頼された関係を確立することは、上記セキュリティサーバの対応する信頼された実行環境モジュールとの上記信頼された関係を確立することを含む。

例３は、例１及び２のうちいずれか１つに記載の構成要件を含み、上記セキュリティ脅威評価を送信することは、当該コンピューティング装置の上記信頼された実行環境モジュールと上記セキュリティサーバの上記対応する信頼された実行環境モジュールとの間で確立される帯域外通信チャネルを通じて、上記セキュリティサーバの上記対応する信頼された実行環境モジュールに上記セキュリティ脅威評価を送信することを含む。

例４は、例１〜３のうちいずれか１つに記載の構成要件を含み、上記信頼された関係を確立することは、上記セキュリティサーバとの間で暗号キーを交換することを含む。

例５は、例１〜４のうちいずれか１つに記載の構成要件を含み、上記信頼された関係を確立することは、当該コンピューティング装置の信頼のルート又はヒューズキーのうち少なくとも１つを利用することを含む。

例６は、例１〜５のうちいずれか１つに記載の構成要件を含み、上記信頼された実行環境モジュールはさらに、上記信頼された関係に基づいて上記セキュリティサーバとの信頼されたトンネルを確立する。

例７は、例１〜６のうちいずれか１つに記載の構成要件を含み、上記信頼されたトンネルを確立することは、当該コンピューティング装置のセキュリティポリシーを上記セキュリティサーバに送信することをさらに含む。

例８は、例１〜７のうちいずれか１つに記載の構成要件を含み、上記信頼されたトンネルを確立することは、当該コンピューティング装置のヒューリスティックコードを上記セキュリティサーバに送信することを含む。

例９は、例１〜８のうちいずれか１つに記載の構成要件を含み、上記信頼されたトンネルを確立することは、上記セキュリティサーバからヒューリスティックコードを受信することをさらに含む。

例１０は、例１〜９のうちいずれか１つに記載の構成要件を含み、上記信頼された実行環境モジュールはさらに、上記信頼された関係の確立に応答して当該コンピューティング装置をブートする。

例１１は、例１〜１０のうちいずれか１つに記載の構成要件を含み、当該コンピューティング装置をブートすることは、当該コンピューティング装置の構成ポリシーを取り出すことを含む。

例１２は、例１〜１１のうちいずれか１つに記載の構成要件を含み、上記信頼された実行環境モジュールはさらに、当該コンピューティング装置の実行時状況を決定し、上記セキュリティ脅威評価を実行することは、上記実行時状況に基づいて上記１つ以上のパケットの上記セキュリティ脅威評価を実行することを含む。

例１３は、例１〜１２のうちいずれか１つに記載の構成要件を含み、当該コンピューティング装置の上記実行時状況を決定することは、当該コンピューティング装置の仮想ネットワーク機能の実行時状況を決定することを含む。

例１４は、例１〜１３のうちいずれか１つに記載の構成要件を含み、上記通信モジュールはさらに、上記セキュリティサーバから上記１つ以上のパケットについての是正措置命令を受信する。

例１５は、例１〜１４のうちいずれか１つに記載の構成要件を含み、上記信頼された実行環境モジュールはさらに、上記是正措置命令に対応する是正措置を強制する。

例１６は、コンピューティング装置によるセキュリティ異常の分散検出のための方法を含み、当該方法は、上記コンピューティング装置により、セキュリティサーバとの信頼された関係を確立することと、上記コンピューティング装置により、上記信頼された関係を確立することに応答して、インター仮想ネットワーク機能ネットワークとインター仮想ネットワーク機能コンポーネントネットワークとのうち少なくとも１つの、１つ以上のパケットを受信することと、上記コンピューティング装置により、上記１つ以上のパケットのセキュリティ脅威評価を実行することと、上記コンピューティング装置により、上記セキュリティ脅威評価を上記セキュリティサーバに送信することと、を含む。

例１７は、例１６に記載の構成要件を含み、上記信頼された関係を確立することは、上記セキュリティサーバの対応する信頼された実行環境モジュールとの上記信頼された関係を確立することを含む。

例１８は、例１６及び１７のうちいずれか１つに記載の構成要件を含み、上記セキュリティ脅威評価を送信することは、上記コンピューティング装置の上記信頼された実行環境モジュールと上記セキュリティサーバの上記対応する信頼された実行環境モジュールとの間で確立される帯域外通信チャネルを通じて、上記セキュリティサーバの上記対応する信頼された実行環境モジュールに上記セキュリティ脅威評価を送信することを含む。

例１９は、例１６〜１８のうちいずれか１つに記載の構成要件を含み、上記信頼された関係を確立することは、上記セキュリティサーバとの間で暗号キーを交換することを含む。

例２０は、例１６〜１９のうちいずれか１つに記載の構成要件を含み、上記信頼された関係を確立することは、当該コンピューティング装置の信頼のルート又はヒューズキーのうち少なくとも１つを利用することを含む。

例２１は、例１６〜２０のうちいずれか１つに記載の構成要件を含み、上記コンピューティング装置により、上記信頼された関係に基づいて上記セキュリティサーバとの信頼されたトンネルを確立することをさらに含む。

例２２は、例１６〜２１のうちいずれか１つに記載の構成要件を含み、上記信頼されたトンネルを確立することは、上記コンピューティング装置のセキュリティポリシーを上記セキュリティサーバに送信することをさらに含む。

例２３は、例１６〜２２のうちいずれか１つに記載の構成要件を含み、上記信頼されたトンネルを確立することは、上記コンピューティング装置のヒューリスティックコードを上記セキュリティサーバに送信することを含む。

例２４は、例１６〜２３のうちいずれか１つに記載の構成要件を含み、上記信頼されたトンネルを確立することは、上記セキュリティサーバからヒューリスティックコードを受信することをさらに含む。

例２５は、例１６〜２４のうちいずれか１つに記載の構成要件を含み、上記信頼された関係を確立することに応答して上記コンピューティング装置をブートすることをさらに含む。

例２６は、例１６〜２５のうちいずれか１つに記載の構成要件を含み、上記コンピューティング装置をブートすることは、上記コンピューティング装置の構成ポリシーを取り出すことを含む。

例２７は、例１６〜２６のうちいずれか１つに記載の構成要件を含み、上記コンピューティング装置により、上記コンピューティング装置の実行時状況を決定することをさらに含み、上記セキュリティ脅威評価を実行することは、上記実行時状況に基づいて上記１つ以上のパケットの上記セキュリティ脅威評価を実行することを含む。

例２８は、例１６〜２７のうちいずれか１つに記載の構成要件を含み、上記コンピューティング装置の上記実行時状況を決定することは、上記コンピューティング装置の仮想ネットワーク機能の実行時状況を決定することを含む。

例２９は、例１６〜２８のうちいずれか１つに記載の構成要件を含み、上記コンピューティング装置により、上記セキュリティサーバから上記１つ以上のパケットについての是正措置命令を受信することをさらに含む。

例３０は、例１６〜２９のうちいずれか１つに記載の構成要件を含み、上記コンピューティング装置により、上記是正措置命令に対応する是正措置を強制することをさらに含む。

例３１は、プロセッサと複数の命令を記憶したメモリとを備えたコンピューティング装置を含み、上記命令は、上記プロセッサにより実行されるときに、例１６〜３０のうちいずれか１つに記載の方法を上記コンピューティング装置に実行させる。

例３１は、複数の命令を記憶した１つ以上のマシン読取可能記憶媒体を含み、上記命令は、コンピューティング装置により実行されるときに、例１６〜３０のうちいずれか１つに記載の方法を上記コンピューティング装置に実行させる。

例３３は、セキュリティ異常の分散検出のためのコンピューティング装置を含み、当該コンピューティング装置は、セキュリティサーバとの信頼された関係を確立する手段と、上記信頼された関係の確立に応答して、インター仮想ネットワーク機能ネットワークとインター仮想ネットワーク機能コンポーネントネットワークとのうち少なくとも１つの、１つ以上のパケットを受信する手段と、上記１つ以上のパケットのセキュリティ脅威評価を実行する手段と、上記セキュリティ脅威評価を上記セキュリティサーバに送信する手段と、を備える。

例３４は、例３３に記載の構成要件を含み、上記信頼された関係を確立する手段は、上記セキュリティサーバの対応する信頼された実行環境モジュールとの上記信頼された関係を確立する手段を含む。

例３５は、例３３及び３４のうちいずれか１つに記載の構成要件を含み、上記セキュリティ脅威評価を送信する手段は、当該コンピューティング装置の上記信頼された実行環境モジュールと上記セキュリティサーバの上記対応する信頼された実行環境モジュールとの間で確立される帯域外通信チャネルを通じて、上記セキュリティサーバの上記対応する信頼された実行環境モジュールに上記セキュリティ脅威評価を送信する手段を含む。

例３６は、例３３〜３５のうちいずれか１つに記載の構成要件を含み、上記信頼された関係を確立する手段は、上記セキュリティサーバとの間で暗号キーを交換する手段を含む。

例３７は、例３３〜３６のうちいずれか１つに記載の構成要件を含み、上記信頼された関係を確立する手段は、当該コンピューティング装置の信頼のルート又はヒューズキーのうち少なくとも１つを利用する手段を含む。

例３８は、例３３〜３７のうちいずれか１つに記載の構成要件を含み、上記信頼された関係に基づいて上記セキュリティサーバとの信頼されたトンネルを確立する手段をさらに含む。

例３９は、例３３〜３８のうちいずれか１つに記載の構成要件を含み、上記信頼されたトンネルを確立する手段は、当該コンピューティング装置のセキュリティポリシーを上記セキュリティサーバに送信する手段を含む。

例４０は、例３３〜３９のうちいずれか１つに記載の構成要件を含み、上記信頼されたトンネルを確立する手段は、当該コンピューティング装置のヒューリスティックコードを上記セキュリティサーバに送信する手段を含む。

例４１は、例３３〜４０のうちいずれか１つに記載の構成要件を含み、上記信頼されたトンネルを確立する手段は、上記セキュリティサーバからヒューリスティックコードを受信する手段を含む。

例４２は、例３３〜４１のうちいずれか１つに記載の構成要件を含み、上記信頼された関係の確立に応答して当該コンピューティング装置をブートする手段をさらに含む。

例４３は、例３３〜４２のうちいずれか１つに記載の構成要件を含み、当該コンピューティング装置をブートする手段は、当該コンピューティング装置の構成ポリシーを取り出す手段を含む。

例４４は、例３３〜４３のうちいずれか１つに記載の構成要件を含み、当該コンピューティング装置の実行時状況を決定する手段をさらに含み、上記セキュリティ脅威評価を実行する手段は、上記実行時状況に基づいて上記１つ以上のパケットの上記セキュリティ脅威評価を実行する手段を含む。

例４５は、例３３〜４４のうちいずれか１つに記載の構成要件を含み、当該コンピューティング装置の上記実行時状況を決定する手段は、当該コンピューティング装置の仮想ネットワーク機能の実行時状況を決定する手段を含む。

例４６は、例３３〜４５のうちいずれか１つに記載の構成要件を含み、上記セキュリティサーバから上記１つ以上のパケットについての是正措置命令を受信する手段をさらに含む。

例４７は、例３３〜４６のうちいずれか１つに記載の構成要件を含み、上記是正措置命令に対応する是正措置を強制する手段をさらに含む。

例４８は、セキュリティ異常の分散検出のためのセキュリティサーバを含み、当該セキュリティサーバは、コンピューティング装置との信頼された関係を確立する信頼された実行環境モジュールと、上記コンピューティング装置から、上記コンピューティング装置のインター仮想ネットワーク機能ネットワークとインター仮想ネットワーク機能コンポーネントネットワークとのうち少なくとも１つの、１つ以上のパケットのセキュリティ脅威評価を受信する通信モジュールと、を備え、上記信頼された実行環境モジュールはさらに、上記セキュリティ脅威評価を当該セキュリティサーバのセキュリティ脅威データベースに相関させて、上記１つ以上のパケットがセキュリティ脅威を引き起こすかを決定する。

例４９は、例４８に記載の構成要件を含み、上記信頼された関係を確立することは、上記コンピューティング装置の対応する信頼された実行環境モジュールとの上記信頼された関係を確立することを含む。

例５０は、例４８及び４９のうちいずれか１つに記載の構成要件を含み、上記セキュリティ脅威評価を受信することは、当該セキュリティサーバの上記信頼された実行環境モジュールと上記コンピューティング装置の上記対応する信頼された実行環境モジュールとの間で確立される帯域外通信チャネルを通じて、上記コンピューティング装置の上記対応する信頼された実行環境モジュールから上記セキュリティ脅威評価を受信することを含む。

例５１は、例４８〜５０のうちいずれか１つに記載の構成要件を含み、上記信頼された関係を確立することは、上記コンピューティング装置との間で暗号キーを交換することを含む。

例５２は、例４８〜５１のうちいずれか１つに記載の構成要件を含み、上記信頼された実行環境モジュールはさらに、上記信頼された関係に基づいて上記コンピューティング装置との信頼されたトンネルを確立する。

例５３は、例４８〜５２のうちいずれか１つに記載の構成要件を含み、上記信頼されたトンネルを確立することは、上記コンピューティング装置のセキュリティポリシーを上記コンピューティング装置から受信することをさらに含む。

例５４は、例４８〜５３のうちいずれか１つに記載の構成要件を含み、上記信頼されたトンネルを確立することは、上記コンピューティング装置のヒューリスティックコードを上記コンピューティング装置から受信することをさらに含む。

例５５は、例４８〜５４のうちいずれか１つに記載の構成要件を含み、上記信頼されたトンネルを確立することは、ヒューリスティックコードを上記コンピューティング装置に送信することをさらに含む。

例５６は、例４８〜５５のうちいずれか１つに記載の構成要件を含み、上記信頼された実行環境モジュールはさらに、上記セキュリティ脅威評価の上記セキュリティ脅威データベースとの相関に基づいたセキュリティ脅威の識別に応答して是正措置を決定する。

例５７は、例４８〜５６のうちいずれか１つに記載の構成要件を含み、上記是正措置を決定することは、是正サーバからの是正決定を要求することと、上記是正サーバから上記是正決定に関連付けられた是正命令を受信することと、を含む。

例５８は、例４８〜５７のうちいずれか１つに記載の構成要件を含み、上記通信モジュールはさらに、上記是正命令を上記コンピューティング装置に送信する。

例５９は、セキュリティサーバによるセキュリティ異常の分散検出のための方法を含み、当該方法は、上記セキュリティサーバにより、コンピューティング装置との信頼された関係を確立することと、上記セキュリティサーバにより上記コンピューティング装置から、上記コンピューティング装置のインター仮想ネットワーク機能ネットワークとインター仮想ネットワーク機能コンポーネントネットワークとのうち少なくとも１つの、１つ以上のパケットのセキュリティ脅威評価を受信することと、上記セキュリティサーバにより、上記セキュリティ脅威評価を上記セキュリティサーバのセキュリティ脅威データベースに相関させて、上記１つ以上のパケットがセキュリティ脅威を引き起こすかを決定することと、を含む。

例６０は、例５９に記載の構成要件を含み、上記信頼された関係を確立することは、上記コンピューティング装置の対応する信頼された実行環境モジュールとの上記信頼された関係を確立することを含む。

例６１は、例５９及び６０のうちいずれか１つに記載の構成要件を含み、上記セキュリティ脅威評価を受信することは、上記セキュリティサーバの上記信頼された実行環境モジュールと上記コンピューティング装置の上記対応する信頼された実行環境モジュールとの間で確立される帯域外通信チャネルを通じて、上記コンピューティング装置の上記対応する信頼された実行環境モジュールから上記セキュリティ脅威評価を受信することを含む。

例６２は、例５９〜６１のうちいずれか１つに記載の構成要件を含み、上記信頼された関係を確立することは、上記コンピューティング装置との間で暗号キーを交換することを含む。

例６３は、例５９〜６２のうちいずれか１つに記載の構成要件を含み、上記セキュリティサーバにより、上記信頼された関係に基づいて上記コンピューティング装置との信頼されたトンネルを確立することをさらに含む。

例６４は、例５９〜６３のうちいずれか１つに記載の構成要件を含み、上記信頼されたトンネルを確立することは、上記コンピューティング装置のセキュリティポリシーを上記コンピューティング装置から受信することをさらに含む。

例６５は、例５９〜６４のうちいずれか１つに記載の構成要件を含み、上記信頼されたトンネルを確立することは、上記コンピューティング装置のヒューリスティックコードを上記コンピューティング装置から受信することをさらに含む。

例６６は、例５９〜６５のうちいずれか１つに記載の構成要件を含み、上記信頼されたトンネルを確立することは、ヒューリスティックコードを上記コンピューティング装置に送信することをさらに含む。

例６７は、例５９〜６６のうちいずれか１つに記載の構成要件を含み、上記セキュリティサーバにより、上記セキュリティ脅威評価の上記セキュリティ脅威データベースとの相関に基づいてセキュリティ脅威を識別することに応答して是正措置を決定することをさらに含む。

例６８は、例５９〜６７のうちいずれか１つに記載の構成要件を含み、上記是正措置を決定することは、是正サーバからの是正決定を要求することと、上記是正サーバから上記是正決定に関連付けられた是正命令を受信することと、を含む。

例６９は、例５９〜６８のうちいずれか１つに記載の構成要件を含み、上記セキュリティサーバにより、上記是正命令を上記コンピューティング装置に送信することをさらに含む。

例７０は、プロセッサと複数の命令を記憶したメモリとを備えたセキュリティサーバを含み、上記命令は、上記プロセッサにより実行されるときに、例５９〜６９のうちいずれか１つに記載の方法を上記セキュリティサーバに実行させる。

例７１は、複数の命令を記憶した１つ以上のマシン読取可能記憶媒体を含み、上記命令は、セキュリティサーバにより実行されるときに、例５９〜６９のうちいずれか１つに記載の方法を上記セキュリティサーバに実行させる。

例７２は、セキュリティ異常の分散検出のためのセキュリティサーバを含み、当該セキュリティサーバは、コンピューティング装置との信頼された関係を確立する手段と、上記コンピューティング装置から、上記コンピューティング装置のインター仮想ネットワーク機能ネットワークとインター仮想ネットワーク機能コンポーネントネットワークとのうち少なくとも１つの、１つ以上のパケットのセキュリティ脅威評価を受信する手段と、上記セキュリティ脅威評価を当該セキュリティサーバのセキュリティ脅威データベースに相関させて、上記１つ以上のパケットがセキュリティ脅威を引き起こすかを決定する手段と、を備える。

例７３は、例７２に記載の構成要件を含み、上記信頼された関係を確立する手段は、上記コンピューティング装置の対応する信頼された実行環境モジュールとの上記信頼された関係を確立する手段を含む。

例７４は、例７２及び７３のうちいずれか１つに記載の構成要件を含み、上記セキュリティ脅威評価を受信する手段は、当該セキュリティサーバの上記信頼された実行環境モジュールと上記コンピューティング装置の上記対応する信頼された実行環境モジュールとの間で確立される帯域外通信チャネルを通じて、上記コンピューティング装置の上記対応する信頼された実行環境モジュールから上記セキュリティ脅威評価を受信する手段を含む。

例７５は、例７２〜７４のうちいずれか１つに記載の構成要件を含み、上記信頼された関係を確立する手段は、上記コンピューティング装置との間で暗号キーを交換する手段を含む。

例７６は、例７２〜７５のうちいずれか１つに記載の構成要件を含み、上記信頼された関係に基づいて上記コンピューティング装置との信頼されたトンネルを確立する手段をさらに含む。

例７７は、例７２〜７６のうちいずれか１つに記載の構成要件を含み、上記信頼されたトンネルを確立する手段は、上記コンピューティング装置のセキュリティポリシーを上記コンピューティング装置から受信する手段をさらに含む。

例７８は、例７２〜７７のうちいずれか１つに記載の構成要件を含み、上記信頼されたトンネルを確立する手段は、上記コンピューティング装置のヒューリスティックコードを上記コンピューティング装置から受信する手段をさらに含む。

例７９は、例７２〜７８のうちいずれか１つに記載の構成要件を含み、上記信頼されたトンネルを確立する手段は、ヒューリスティックコードを上記コンピューティング装置に送信する手段をさらに含む。

例８０は、例７２〜７９のうちいずれか１つに記載の構成要件を含み、上記セキュリティ脅威評価の上記セキュリティ脅威データベースとの相関に基づいたセキュリティ脅威の識別に応答して是正措置を決定する手段をさらに含む。

例８１は、例７２〜８０のうちいずれか１つに記載の構成要件を含み、上記是正措置を決定する手段は、是正サーバからの是正決定を要求する手段と、上記是正サーバから上記是正決定に関連付けられた是正命令を受信する手段と、を含む。

例８２は、例７２〜８１のうちいずれか１つに記載の構成要件を含み、上記是正命令を上記コンピューティング装置に送信する手段をさらに含む。

Claims (26)

1. セキュリティ異常の分散検出のためのコンピューティング装置であって、
   （ｉ）セキュリティサーバとの信頼された関係を確立し、（ｉｉ）前記信頼された関係の確立に応答して、インター仮想ネットワーク機能ネットワークとインター仮想ネットワーク機能コンポーネントネットワークとのうち少なくとも１つの、１つ以上のパケットを受信し、（ｉｉｉ）前記１つ以上のパケットのセキュリティ脅威評価を実行する、信頼された実行環境モジュールと、
   前記セキュリティ脅威評価を前記セキュリティサーバに送信する通信モジュールと、
   を備えたコンピューティング装置。
2. 前記信頼された関係を確立することは、前記セキュリティサーバの対応する信頼された実行環境モジュールとの前記信頼された関係を確立することを含む、請求項１に記載のコンピューティング装置。
3. 前記セキュリティ脅威評価を送信することは、当該コンピューティング装置の前記信頼された実行環境モジュールと前記セキュリティサーバの前記対応する信頼された実行環境モジュールとの間で確立される帯域外通信チャネルを通じて、前記セキュリティサーバの前記対応する信頼された実行環境モジュールに前記セキュリティ脅威評価を送信することを含む、請求項２に記載のコンピューティング装置。
4. 前記信頼された関係を確立することは、前記セキュリティサーバとの間で暗号キーを交換することを含む、請求項１に記載のコンピューティング装置。
5. 前記信頼された関係を確立することは、当該コンピューティング装置の信頼のルート又はヒューズキーのうち少なくとも１つを利用することを含む、請求項１に記載のコンピューティング装置。
6. 前記信頼された実行環境モジュールはさらに、前記信頼された関係に基づいて前記セキュリティサーバとの信頼されたトンネルを確立する、請求項１に記載のコンピューティング装置。
7. 前記信頼されたトンネルを確立することは、当該コンピューティング装置のセキュリティポリシーを前記セキュリティサーバに送信することをさらに含む、請求項６に記載のコンピューティング装置。
8. 前記信頼されたトンネルを確立することは、当該コンピューティング装置のヒューリスティックコードを前記セキュリティサーバに送信することを含む、請求項６に記載のコンピューティング装置。
9. 前記信頼されたトンネルを確立することは、前記セキュリティサーバからヒューリスティックコードを受信することをさらに含む、請求項６に記載のコンピューティング装置。
10. 前記信頼された実行環境モジュールはさらに、前記信頼された関係の確立に応答して当該コンピューティング装置をブートする、請求項１に記載のコンピューティング装置。
11. 当該コンピューティング装置をブートすることは、当該コンピューティング装置の構成ポリシーを取り出すことを含む、請求項１０に記載のコンピューティング装置。
12. 前記信頼された実行環境モジュールはさらに、当該コンピューティング装置の実行時状況を決定し、
    前記セキュリティ脅威評価を実行することは、前記実行時状況に基づいて前記１つ以上のパケットの前記セキュリティ脅威評価を実行することを含む、請求項１に記載のコンピューティング装置。
13. 当該コンピューティング装置の前記実行時状況を決定することは、当該コンピューティング装置の仮想ネットワーク機能の実行時状況を決定することを含む、請求項１２に記載のコンピューティング装置。
14. 前記通信モジュールはさらに、前記セキュリティサーバから前記１つ以上のパケットについての是正措置命令を受信する、請求項１に記載のコンピューティング装置。
15. 前記信頼された実行環境モジュールはさらに、前記是正措置命令に対応する是正措置を強制する、請求項１４に記載のコンピューティング装置。
16. コンピューティング装置によるセキュリティ異常の分散検出のための方法であって、
    前記コンピューティング装置により、セキュリティサーバとの信頼された関係を確立することと、
    前記コンピューティング装置により、前記信頼された関係を確立することに応答して、インター仮想ネットワーク機能ネットワークとインター仮想ネットワーク機能コンポーネントネットワークとのうち少なくとも１つの、１つ以上のパケットを受信することと、
    前記コンピューティング装置により、前記１つ以上のパケットのセキュリティ脅威評価を実行することと、
    前記コンピューティング装置により、前記セキュリティ脅威評価を前記セキュリティサーバに送信することと、
    を含む方法。
17. 前記信頼された関係を確立することは、前記セキュリティサーバの対応する信頼された実行環境モジュールとの前記信頼された関係を確立することを含む、請求項１６に記載の方法。
18. 前記セキュリティ脅威評価を送信することは、前記コンピューティング装置の前記信頼された実行環境モジュールと前記セキュリティサーバの前記対応する信頼された実行環境モジュールとの間で確立される帯域外通信チャネルを通じて、前記セキュリティサーバの前記対応する信頼された実行環境モジュールに前記セキュリティ脅威評価を送信することを含む、請求項１７に記載の方法。
19. 前記コンピューティング装置により、前記コンピューティング装置の仮想ネットワーク機能の実行時状況を決定すること、をさらに含み、
    前記セキュリティ脅威評価を実行することは、前記実行時状況に基づいて前記１つ以上のパケットの前記セキュリティ脅威評価を実行することを含む、請求項１６に記載の方法。
20. 前記コンピューティング装置により、前記セキュリティサーバから前記１つ以上のパケットについての是正措置命令を受信することと、
    前記コンピューティング装置により、前記是正措置命令に対応する是正措置を強制することと、
    をさらに含む請求項１６に記載の方法。
21. コンピューティング装置に請求項１６乃至２０のうちいずれか１項に記載の方法を実行させるコンピュータプログラム。
22. セキュリティ異常の分散検出のためのセキュリティサーバであって、
    コンピューティング装置との信頼された関係を確立する信頼された実行環境モジュールと、
    前記コンピューティング装置から、前記コンピューティング装置のインター仮想ネットワーク機能ネットワークとインター仮想ネットワーク機能コンポーネントネットワークとのうち少なくとも１つの、１つ以上のパケットのセキュリティ脅威評価を受信する通信モジュールと、
    を備え、
    前記信頼された実行環境モジュールはさらに、前記セキュリティ脅威評価を当該セキュリティサーバのセキュリティ脅威データベースに相関させて、前記１つ以上のパケットがセキュリティ脅威を引き起こすかを決定する、
    セキュリティサーバ。
23. 前記信頼された関係を確立することは、前記コンピューティング装置の対応する信頼された実行環境モジュールとの前記信頼された関係を確立することを含み、
    前記セキュリティ脅威評価を受信することは、当該セキュリティサーバの前記信頼された実行環境モジュールと前記コンピューティング装置の前記対応する信頼された実行環境モジュールとの間で確立される帯域外通信チャネルを通じて、前記コンピューティング装置の前記対応する信頼された実行環境モジュールから前記セキュリティ脅威評価を受信することを含む、請求項２２に記載のセキュリティサーバ。
24. 前記信頼された実行環境モジュールはさらに、前記セキュリティ脅威評価の前記セキュリティ脅威データベースとの相関に基づいたセキュリティ脅威の識別に応答して是正措置を決定する、請求項２２に記載のセキュリティサーバ。
25. 前記是正措置を決定することは、
    是正サーバからの是正決定を要求することと、
    前記是正サーバから前記是正決定に関連付けられた是正命令を受信することと、
    を含み、
    前記通信モジュールはさらに、前記是正命令を前記コンピューティング装置に送信する、請求項２４に記載のセキュリティサーバ。
26. 請求項２１に記載のコンピュータプログラムを記憶したコンピュータ読取可能記憶媒体。
    

Images