[go: up one dir, main page]

JP7561265B2 - サイバーセキュリティアプリケーションのための暗号化されたｓｎｉフィルタリング方法およびシステム - Google Patents

サイバーセキュリティアプリケーションのための暗号化されたｓｎｉフィルタリング方法およびシステム Download PDF

Info

Publication number
JP7561265B2
JP7561265B2 JP2023501496A JP2023501496A JP7561265B2 JP 7561265 B2 JP7561265 B2 JP 7561265B2 JP 2023501496 A JP2023501496 A JP 2023501496A JP 2023501496 A JP2023501496 A JP 2023501496A JP 7561265 B2 JP7561265 B2 JP 7561265B2
Authority
JP
Japan
Prior art keywords
esni
packets
packet filtering
destination
filtering device
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2023501496A
Other languages
English (en)
Other versions
JP2023535304A (ja
Inventor
ムーア，ショーン
ムートロ，ヴィンセント
アール． ロジャース，ジョナサン
Original Assignee
セントリペタル リミテッド
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Family has litigation
First worldwide family litigation filed litigation Critical https://patents.darts-ip.com/?family=74570199&utm_source=google_patent&utm_medium=platform_link&utm_campaign=public_patent_search&patent=JP7561265(B2) "Global patent litigation dataset” by Darts-ip is licensed under a Creative Commons Attribution 4.0 International License.
Application filed by セントリペタル リミテッド filed Critical セントリペタル リミテッド
Publication of JP2023535304A publication Critical patent/JP2023535304A/ja
Priority to JP2024163896A priority Critical patent/JP2024178324A/ja
Application granted granted Critical
Publication of JP7561265B2 publication Critical patent/JP7561265B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0263—Rule management
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/09—Mapping addresses
    • H04L61/10—Mapping addresses of different types
    • H04L61/103—Mapping addresses of different types across network layers, e.g. resolution of network layer into physical layer addresses or address resolution protocol [ARP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/45—Network directories; Name-to-address mapping
    • H04L61/4505—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols
    • H04L61/4511—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols using domain name system [DNS]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0281—Proxies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0407—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the identity of one or more communicating identities is hidden
    • H04L63/0414—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the identity of one or more communicating identities is hidden during transmission, i.e. party's identity is protected against eavesdropping, e.g. by using temporary identifiers, but is known to the other party or parties involved in the communication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H04L63/205—Network architectures or network communication protocols for network security for managing network security; network security policies in general involving negotiation or determination of the one or more network security mechanisms to be used, e.g. by negotiation between the client and the server or between peers or by selection according to the capabilities of the entities involved
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/30—Network architectures or network communication protocols for network security for supporting lawful interception, monitoring or retaining of communications or communication related information
    • H04L63/302—Network architectures or network communication protocols for network security for supporting lawful interception, monitoring or retaining of communications or communication related information gathering intelligence information for situation awareness or reconnaissance
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/30—Network architectures or network communication protocols for network security for supporting lawful interception, monitoring or retaining of communications or communication related information
    • H04L63/306—Network architectures or network communication protocols for network security for supporting lawful interception, monitoring or retaining of communications or communication related information intercepting packet switched data communications, e.g. Web, Internet or IMS communications

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Computer Hardware Design (AREA)
  • Technology Law (AREA)
  • Evolutionary Computation (AREA)
  • Business, Economics & Management (AREA)
  • General Business, Economics & Management (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Transmission Systems Not Characterized By The Medium Used For Transmission (AREA)
  • Oscillators With Electromechanical Resonators (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)

Description

（関連出願の相互参照）
本出願は、２０２０年７月１４日に出願された米国仮特許出願第１６／９２８，０８３号（現在は米国特許第１０，９２４，４５６号である）に対する優先権を主張する。また本出願は、２０２１年２月１５日に出願された米国非仮特許出願第１７／１７５，７４７号および２０２１年５月４日に出願された米国非仮特許出願第１７／３０７，０８０号の各継続出願にも関連する。これらの先行出願の各々の内容は、その全体が参照により本明細書に明示的に組み込まれる。
（発明の分野）
本明細書で説明する本発明（以下、本発明のことを「本開示」ということがある）の態様は、概して、コンピュータのハードウェア、ソフトウェア、およびネットワークセキュリティに関する。詳細には、本開示の１またはそれ以上の態様は、全般的には、サイバーセキュリティアプリケーションに関連するサーバ名指示（Server Name Indication、ＳＮＩ）（例えば、暗号化されたＳＮＩ（encrypted SNI、ｅＳＮＩ））の値に対応する暗号文を含むトランスポート層セキュリティ（Transport Layer Security、ＴＬＳ）ハンドシェイクメッセージの効率的なパケットフィルタリングのためのコンピュータハードウェアおよびソフトウェアに関し、より全般的には、ネットワーク通信ポリシー施行アプリケーションに関する。
情報時代が進むにつれ、ネットワークセキュリティはますます重要になっている。ネットワークの脅威／攻撃は、多様な形態（例えば、不正な要求またはデータ転送、ウイルス、マルウェア、リソースを圧倒するように設計された大量のトラフィック（例えば、ＤＤｏＳ）など）をとり得る。これらの脅威の多くは、インターネットを使用して、企業ないし組織（以下「エンタープライズ」という）のコンピュータリソースおよび／または資産にアクセスし、これらを攻撃する。例えば、デスクトップコンピュータ、モバイルデバイス、オンプレミスまたはクラウドエンタープライズアプリケーションサーバ、公開ウェブサーバなどのエンタープライズホストは、営利事業者、政府、国家などのようなエンタープライズによって所有および／または運営および管理されるプライベートネットワーク（例えば、ＴＣＰ／ＩＰネットワーク）に直接接続され（例えば、アタッチされ）得る。これらのエンタープライズネットワークは、次に、エンタープライズのホストが、例えば、他の公的にアドレス指定された、インターネットに接続されたホスト（例えば、公開ウェブサーバ、アプリケーションサーバなど）にアクセスし得るように、インターネットに直接接続される。しかしながら、いくつかの事例では、例えば、エンタープライズホストのオペレータ／ユーザが、悪意のあるインターネットホストと通信するフィッシング電子メールリンクをクリックするようにソーシャルエンジニアリングされている場合、エンタープライズホストは、本質的に悪意のある、インターネット接続ホストまたはインターネットホストにアクセスしている場合がある。他の事例では、エンタープライズホストは、エンタープライズのネットワーク通信ポリシーに違反してインターネットホストと通信している場合がある。
エンタープライズは、例えば、バウンダリを横切るホスト間通信（伝送中のＬ２／Ｌ３パケットの形態）を検査することができる、エンタープライズネットワークとインターネットとの間のバウンダリに（例えば、１またはそれ以上のインターネットアクセスリンクに、またはその近くに）ネットワークパケットフィルタリングデバイスを設置することによって、悪意のあるアクタからこれらのエンタープライズのネットワークを保護しようと試み得るか、さもなければネットワーク通信ポリシーを施行し得る。これらのパケットフィルタリングデバイスは、通信が本質的に悪意のあるものであるか、さもなければエンタープライズ通信ポリシーに違反しているかを判定し、そうである場合、脅威または違反からエンタープライズネットワークを保護するポリシーを施行し（例えば、関連付けられたＩＰパケットをドロップすることによって通信をブロックし）得る。エンタープライズはまた、そのようなネットワークデバイスを使用して、例えば、特定のインターネットホストへのアクセスを制御および／または監視することによって、エンタープライズの通信ポリシーを施行し得る。そのようなポリシーを施行するための１つの手法は、ネットワークパケットフィルタリングデバイスが、ポリシー内のパケットフィルタリングルールに関連付けられたｍａｌｉｃｉｏｕｓ－ａｄｗａｒｅ－ｓｉｔｅ．ｎｅｔなどのドメイン名（例えば、完全修飾ドメイン名（fully qualified domain name、ＦＱＤＮ））のインスタンスについて通信の伝送中パケットを検査またはフィルタリングすることであってもよい。パケットとルールとの間にマッチが見つかった場合には、ネットワークパケットフィルタリングデバイスは、パケットをドロップし得る。多くのウェブ、ｅコマース、ソーシャルメディアなどの通信を転送および仲介するために使用される一般的なＨＴＴＰプロトコルは、多くの場合、ＨＴＴＰメッセージ内にインターネットホストのそのようなドメイン名を含む。ＨＴＴＰメッセージに含まれるドメイン名に対して伝送中パケットをフィルタリングすることは、ポリシー施行技法である。同様に、他のアプリケーション層プロトコル（例えば、ＤＮＳ、ＳＭＴＰ、ＳＩＰなど）は、ポリシー施行中に使用され得るドメイン名を含み得る。エンタープライズ通信ポリシーはまた、エンタープライズ自体によって、または、例えば、ＨＩＰＡＡ、ＰＣＩ ＤＳＳなどの、エンタープライズに対する規制もしくはコンプライアンス権限を有する外部エンティティによって定義され得る、プライバシー保護および保存（privacy protection & preservation、Ｐ３）ポリシーを含んでもよい。エンタープライズ通信ポリシーはまた、法執行（law enforcement、ＬＥ）アプリケーション、例えば、合法的傍受のためのサポートを含んでもよい。
伝送中のネットワークトラフィックは、例えば、トランスポート層セキュリティ（ＴＬＳ）プロトコルを使用して、暗号化を介してセキュリティ保護され得る。ＴＬＳハンドシェイクプロトコルを最初に使用して、ネットワーク（例えば、ＴＣＰ／ＩＰネットワーク）によって接続された２つのホスト間で、セキュアな暗号化された接続またはトンネルを確立し得る。ＴＬＳレコードプロトコルを使用して、トンネルを介した通信を含むアプリケーション層データをセキュアに転送し得る。ＨＴＴＰセッションがＴＬＳによってセキュリティ保護される場合、この組み合わせは、「ＨＴＴＰＳ」と標記され、一般に、ＨＴＴＰの拡張であるとみなされる。伝送中のＨＴＴＰＳパケットのアプリケーション層は、暗号化されたＨＴＴＰメッセージ（ＴＬＳレコードプロトコルパケットにカプセル化されている）を含む。伝送中のＨＴＴＰＳパケットに含まれる平文ＨＴＴＰメッセージ、したがって任意のドメイン名を、オブザーバが読み取ることはできない。これにより、盗取している場合がある悪意のあるアクタからＨＴＴＰセッションがセキュリティ保護されるが、悪意のない／正当なパケットフィルタリングデバイスおよび関連付けられたアプリケーションがＨＴＴＰメッセージに含まれる任意のドメイン名を読み取ることも防止される。これにより、エンタープライズがこれらのエンタープライズの通信ポリシーを施行し、かつこれらのエンタープライズのネットワークを保護することが妨げられることがある。
しかしながら、ＴＬＳハンドシェイクプロトコルＣｌｉｅｎｔＨｅｌｌｏメッセージは、ＣｌｉｅｎｔＨｅｌｌｏメッセージのサーバ名指示（ＳＮＩ）拡張（ＲＦＣ６０６６）内のセキュリティ保護／暗号化されるべきアプリケーション（例えば、ＨＴＴＰ）セッションに関連付けられた（平文）ドメイン名またはホスト名を含み得る。エンタープライズパケットフィルタリングデバイスおよび関連付けられたアプリケーション、並びに盗取者は、伝送中パケットに含まれるＣｌｉｅｎｔＨｅｌｌｏメッセージのクリアテキストＳＮＩフィールドを検査することによって、ＴＬＳによってセキュリティ保護されたセッションに関連付けられたドメイン名を継続して読み取って、場合によっては、それに作用し得る。しかしながら、ＴＬＳをさらにセキュアにするために、伝送中である間にＳＮＩ値の暗号化をサポートする、ＴＬＳに対する１またはそれ以上の拡張が開発されている。当業者であれば、一般に、この拡張および関連技術を「ＥＳＮＩ」として理解するであろう。ＥＳＮＩの主な目的は、悪意のあるアクタによるドメイン名盗取のリスクを軽減することである。しかし、エンタープライズのネットワークを保護し、かつ伝送中パケットのＳＮＩ拡張に含まれるクリアテキストドメイン名を読み取って、場合によっては、それに作用することによってエンタープライズの通信ポリシーを施行するエンタープライズは、ドメイン名が暗号化されているため、ＥＳＮＩが使用される場合にそのようにすることができなくなる。
したがって、エンタープライズは、ＴＬＳによってセキュリティ保護された通信を確立するときにエンタープライズホストがＥＳＮＩを使用する場合、これらのエンタープライズのネットワークを保護し、かつ通信ポリシーを施行するために、平文／クリアテキストドメイン名を使用する方途を必要とする。
以下は、本開示のいくつかの態様の基本的な理解を提供するための簡略化された概要を提示する。本開示の主要なまたは重要な要素を特定することも、本開示の範囲を定めることも意図されていない。以下の概要は、以下の説明の前置きとして、本開示のいくつかの概念を簡略化した形式で提示するに過ぎない。
本明細書に開示される方法、デバイス、システム、および／またはコンピュータ可読媒体は、例えば、伝送中パケットに含まれるドメイン名が暗号化される（例えば、ＴＬＳハンドシェイクプロトコルメッセージ内の暗号化されたサーバ名指示（ｅＳＮＩ）拡張、暗号化されたＴＬＳプロトコルメッセージなど）いくつかの場合において、脅威（例えば、インターネット脅威）からエンタープライズネットワークを保護し、かつエンタープライズ通信ポリシーを施行することを説明する。サイバーセキュリティアプリケーションは、１またはそれ以上のパケット内の暗号化されたホスト名を検出し得る。暗号化されたホスト名（例えば、ドメイン名）を検出することに基づいて、サイバーセキュリティアプリケーションは、暗号化されたホスト名に対応する平文のホスト名（例えば、ドメイン名）を解読し得る。サイバーセキュリティアプリケーションは、平文ホスト名を使用して、平文ホスト名が任意の通信ポリシーに関連付けられているかどうかを判定し得る。例えば、レポート（例えば、サイバー脅威インテリジェンスレポート）において識別された脅威からネットワークを保護するサイバーセキュリティアプリケーションは、平文のホスト名を使用して、平文のホスト名が１またはそれ以上の脅威インジケータに関連付けられているかどうかを判定し得る。平文のホスト名が１またはそれ以上の脅威インジケータに関連付けられている場合、サイバーセキュリティアプリケーションは、１またはそれ以上のパケットフィルタリングルールを１またはそれ以上のパケットに適用し得る。暗号化されたホスト名から平文のホスト名を解読することによって、サイバーセキュリティアプリケーションは、例えば、脅威（例えば、インターネット脅威）から、および悪意のある盗取などのプライバシー侵害からエンタープライズネットワークを保護し、エンタープライズ通信ポリシーを施行し、かつ／または法執行を支援し得る。
上記のプロセスには多くの可能な変形態があり、そのうちのいくつかは、「発明を実施するための形態」セクションにおいて以下に詳しく説明されている。
本発明は、実施例として説明され、添付の図に限定されるものではなく、図において、類似の参照番号は、類似の要素を示す。
本開示の１またはそれ以上の態様による、ＴＬＳによってセキュリティ保護された通信および関連付けられたエンタープライズネットワークのための脅威保護およびポリシー施行システムの例示的な環境を示す。 本開示の１またはそれ以上の態様による、サイバーセキュリティアプリケーションを実行するための例示的な効率的なｅＳＮＩパケットフィルタリングゲートウェイを示す。 ｅＳＮＩ暗号文と平文ドメイン名との間の対応を判定するためにサイバーセキュリティアプリケーションによって使用される代表的なｅＳＮＩドメイン名対応リスト（eSNI Domain Name Correspondence List、ＥＤＣＬ）を示す。 ＥＤＣＬを作成、配信、および維持するための例示的なプロセスのフロー図を示す。 ＥＤＣＬを作成、配信、および維持するための例示的なプロセスのフロー図を示す。 ＣＴＩデータベースから導出されたパケットフィルタリングルールから構成されるポリシーを作成、配信、および維持するための例示的なプロセスのフロー図を示す。 ｅＳＮＩをサポートするＤＮＳ登録されたドメイン名である要素を含むＤＮＳ－ＥＳＮＩセットデータ構造を作成、配信、および維持するための例示的なプロセスのフロー図を示す。 ＥＤＣＬ、ＣＴＩによって導出されたポリシー、およびＤＮＳ－ＥＳＮＩセットデータ構造を作成、配信、および維持するための例示的プロセスのフロー図を示す。 本明細書で説明される１またはそれ以上の実施例による、効率的なｅＳＮＩゲートウェイを構成し、かつ動作させるための方法を示す。 本明細書で説明される１またはそれ以上の実施例による、効率的なｅＳＮＩゲートウェイを構成し、かつ動作させるための方法を示す。 本明細書で説明される１またはそれ以上の態様による、効率的なｅＳＮＩゲートウェイを構成し、かつ動作させるための方法を示す。 本明細書で説明する１またはそれ以上の実施例による、効率的なｅＳＮＩゲートウェイを構成し、かつ動作させるための方法を示す。 暗号化されたネットワークトラフィックが１またはそれ以上の脅威に関連付けられているかどうかを判定するためのプロセスの一実施例を示す。 本明細書で説明される１またはそれ以上の実施例による、暗号化されたホスト名を使用するポリシーを施行するためのプロセスの一実施例を示す。 本明細書で説明される１またはそれ以上の実施例による、パケットを記憶するための方法の一実施例を示す。
本開示の様々な実施形態の以下の説明において、添付図面が参照されるが、添付図面は、本明細書の一部を形成するものであり、そこには、本開示の態様が実施され得る様々な実施形態が例示として示されている。本開示の範囲から逸脱することなく、他の実施形態が利用され得、構造的および機能的な変更が行われ得ることを理解されたい。更およびに、本開示の態様が実施され得る特定の適用例、プロトコル、実施形態が参照される。本開示の範囲から逸脱することなく、他の適用例、プロトコル、および実施形態が利用され得、構造的および機能的な変更が行われ得ることを理解されたい。
以下の説明では、要素間の様々な接続について考察する。これらの接続は一般的なものであり、特に明記されていない限り、直接的または間接的、有線または無線、物理的または論理的（仮想／ソフトウェア定義）であり得る。同様に、ホストおよびアプライアンスなどのネットワーク要素は、物理的または仮想的であり得る。この点において、本明細書は限定することを意図したものではない。
本開示は、ドメイン名が暗号化され得る場合に、ＴＬＳによってセキュリティ保護された通信を構成する伝送中パケットに含まれるドメイン名に作用するサイバーセキュリティアプリケーションのための技法を説明する。いくつかのネットワークサイバーセキュリティアプリケーションは、ルールマッチング基準として平文ドメイン名を含むパケットフィルタリングルールから構成されるＴＣＰ／ＩＰ通信ポリシーを施行する。伝送中パケットに含まれるドメイン名が、例えば、ＴＬＳ ＣｌｉｅｎｔＨｅｌｌｏメッセージ内の暗号化されたサーバ名指示（ＳＮＩ）拡張フィールド値である場合には、ポリシーを施行することができない。追加的もしくは代替的に、サイバーセキュリティアプリケーションは、例えば、暗号化されたＳＮＩの使用を選択的に施行して、クリアテキストドメイン名に関連付けられた盗取を阻止してもよい。
本明細書を通して、「ドメイン名」という用語は、ドメイン名によって識別されるネットワークドメインと互換的に使用され得る。文脈が、「ドメイン名」がドメインの実際の名称またはアイデンティティを指すかどうか、または「ドメイン名」がドメイン自体を指すかどうかを決定する。この用語の互換性を、当業者であれば理解するであろう。また、「ドメイン名」を、文脈によって正確な意味を定義して、ホスト名、完全修飾ドメイン名（ＦＱＤＮ）などと互換的に使用する場合がある。例えば、伝送中のＬ２／Ｌ３パケットの構造化フィールドにおいて観測されるドメイン名は、ＦＱＤＮである場合がある。同様に、ＣＴＩインジケータであるドメイン名もＦＱＤＮである場合がある。
本明細書で使用されるように、暗号化されたサーバ名指示（「ｅＳＮＩ」）は、概して、特定のプロトコル、実装、または規格ではなく、暗号化されたＳＮＩに関連付けられた技術および論理を指し得る。さらに、「ｅＳＮＩ暗号文」は、概して、２者以上の当事者間でセキュアな通信チャネルを確立することに関連付けられたメッセージ（例えば、ＴＬＳ ＣｌｉｅｎｔＨｅｌｌｏメッセージ）のうちの１またはそれ以上の暗号化された部分（例えば、フィールド、値など）を指し得る。１またはそれ以上の暗号化された部分は、ＳＮＩ値、および、例えば、メッセージ（例えば、ＣｌｉｅｎｔＨｅｌｌｏメッセージ）全体を含む、メッセージ（例えば、ＣｌｉｅｎｔＨｅｌｌｏメッセージ）の他の部分を含み得る。本出願人は、ｅＳＮＩプロトコルが現在インターネット技術特別調査委員会（Internet Engineering Task Force、ＩＥＴＦ）によって開発されており、メッセージのどの部分が暗号化されることとなるかはまだ確定されておらず、かつ／または規格の一部として分類されていないと認識している。当業者であれば、本明細書で説明されるプロセス、方法、技法、デバイス、装置、および／またはシステムが、そのような通信のどの部分が暗号化されるかにかかわらず、暗号化されたサーバ名指示（ｅＳＮＩ）を含む通信において、脅威（例えば、インターネット脅威）を検出すること、エンタープライズネットワークを保護すること、プライバシー侵害を軽減すること、エンタープライズ通信ポリシーを施行すること、および／または法執行を支援することに適用され得ることを認識するであろう。
本開示の態様は、例えば、通信の伝送中パケットに含まれるドメイン名が暗号化されている場合に、エンタープライズネットワークをインターネット脅威から保護し、かつエンタープライズ通信ポリシーを施行するための方法、デバイス、システム、および／またはコンピュータ可読媒体に関する。インラインおよび／または伝送中パケットフィルタリングデバイスを動作させる、サイバーセキュリティアプリケーションなどのアプリケーションは、ｅＳＮＩを使用してドメイン名が暗号化されている場合を検出し得る。ｅＳＮＩの使用を検出することに基づいて、アプリケーションおよび／または伝送中パケットフィルタリングデバイスは、ｅＳＮＩ暗号文に対応する平文ドメイン名を判定し、平文ドメイン名に関連付けられた通信ポリシーを施行し得る。
本開示の態様はまた、例えば、通信に含まれるドメイン名が暗号化されていない場合に、エンタープライズネットワークを悪意のある盗取などの脅威から保護し、かつエンタープライズ通信ポリシーを施行するための方法、デバイス、システム、および／またはコンピュータ可読媒体を説明し得る。インラインおよび／または伝送中パケットフィルタリングデバイスを動作させる、サイバーセキュリティアプリケーションは、ｅＳＮＩを使用しないでドメイン名が暗号化されている場合を検出し得る。サイバーセキュリティアプリケーションおよび／または伝送中パケットフィルタリングデバイスは、関連付けられたドメインによってｅＳＮＩがサポートされるかどうかを判定し得る。ｅＳＮＩがサポートされる場合、インラインおよび／または伝送中パケットフィルタリングデバイスを動作させるサイバーセキュリティアプリケーションは、例えば、通信にｅＳＮＩ（利用可能な場合）を使用させることによって、クリアテキストドメイン名を伝送することに関連付けられた通信ポリシーを施行し得る。
インターネット脅威に関連付けられた通信の識別は、多くのサイバー脅威インテリジェンス（cyber threat intelligence、ＣＴＩ）プロバイダ組織から入手可能であるＣＴＩレポートのデータベースを活用し得る。これらのＣＴＩレポートは、悪意のあるアクティビティに関連付けられたインターネットホストまたはインターネットホストのリソース（例えば、サービス、アプリケーションインスタンスなど）の一意の識別子であるインジケータ、または脅威インジケータ、またはセキュリティ侵害インジケータ（Indicators-of-Compromise、ＩｏＣ）を含み得る。ＣＴＩは、脅威アクタによって制御／操作され得るか、またはさもなければ悪意のあるアクティビティに関連付けられ得るリソースのインターネットネットワークアドレス（ＩＰアドレス、５つのタプル（Ｌ３ホストＩＰアドレス、Ｌ４ポート、および／または関連付けられたＬ３プロトコルタイプ）、ホスト名／ドメイン名、ＵＲＩなどの形態）を含み得る。ＣＴＩインジケータには、いくつかのＴＣＰ／ＩＰ通信をセキュリティ保護するために使用される証明書および関連付けられた認証局の識別子も含まれ得る（例えば、ＨＴＴＰを介したセッションをセキュリティ保護するためにＴＬＳプロトコルによって使用されるＸ．５０９証明書）。脅威インジケータに加えて、ＣＴＩレポートは、脅威のタイプ、脅威属性および脅威アクタ、特徴的挙動、攻撃ターゲット、地理的および地政学的情報など、脅威に関連する追加情報を含んでもよい。
本開示は、ＣＴＩにおいて受信されたドメイン名インジケータからパケットフィルタリングルールを導出するための方法、デバイス、システム、および／またはコンピュータ可読媒体を説明し得る。本開示はまた、ＴＬＳによってセキュリティ保護された通信（例えば、ＨＴＴＰＳ通信）を含むパケットに導出されたパケットフィルタリングルールを施行するための方法、デバイス、システム、および／またはコンピュータ可読媒体を説明し得る。この点に関して、エンタープライズは、サイバー脅威インテリジェンスプロバイダ（cyber threat intelligence provider、ＣＴＩＰ）へのサブスクリプションを介してＣＴＩインジケータを受信し得る。エンタープライズは、ＣＴＩインジケータから導出されたパケットフィルタリングルールから構成されるポリシーを作成し、ポリシーを用いてパケットフィルタリングデバイスを構成し、ネットワークのバウンダリを横断する伝送中パケットにポリシーを施行することによって、エンタープライズのエンタープライズネットワークをインターネット脅威から保護し得る。
ＴＬＳによってセキュリティ保護された通信においてドメイン名を暗号化するためのｅＳＮＩの使用は、通信するホストとインターネットのドメイン名システム（Domain Name System、ＤＮＳ）との共同参加を介して実現され得る。すなわち、第１のホスト（例えば、エンタープライズホスト上で実行されているウェブブラウザアプリケーションなどの、ＨＴＴＰクライアント）および第２のホスト（例えば、ｗｗｗ．ｗｅｂ－ｄｏｍａｉｎ－Ｘ．ｃｏｍという名称のドメインをホストするウェブアプリケーションサーバなどのインターネットに接続されたＨＴＴＰサーバ）は、２つのホストの間でＴＬＳによってセキュリティ保護された通信を確立するためにｅＳＮＩをサポートし得る。第２のホスト（例えば、ウェブサーバ）は、第２のホストの関連付けられたＤＮＳエントリ（例えば、ｗｗｗ．ｗｅｂ－ｄｏｍａｉｎ－Ｘ．ｃｏｍ）において公開鍵を公開し得る。クライアントは、公開鍵を使用して、例えば、ＳＮＩ拡張に含まれるドメイン名（例えば、ｗｗｗ．ｗｅｂ－ｄｏｍａｉｎ－Ｘ．ｃｏｍ）および他の情報（例えば、ＣｌｉｅｎｔＨｅｌｌｏメッセージ、ＣｌｉｅｎｔＨｅｌｌｏメッセージ内のデータおよび／または情報など）を暗号化し得る。第２のホスト（例えば、ｗｗｗ．ｗｅｂ－ｄｏｍａｉｎ－Ｘ．ｃｏｍ）と通信する前に、第１のホスト（例えば、ＨＴＴＰクライアント）は、ＤＮＳに照会を発行して、ＩＰアドレス（例えば、ｗｗｗ．ｗｅｂ－ｄｏｍａｉｎ－Ｘ．ｃｏｍの１２．３４．５６．７８）、および第２のホストのｅＳＮＩ公開鍵を取得し（例えば、取り出し、解読し）得る。第１のホスト（例えば、ＨＴＴＰクライアント）は、１２．３４．５６．７８の周知のポート（例えば、ポート４４３（ＨＴＴＰＳ））へのＴＣＰコネクションを確立し得る。第１のホストは、公開鍵を使用して、ＳＮＩ拡張に含まれるＦＱＤＮ（例えば、ｗｗｗ．ｗｅｂ－ｄｏｍａｉｎ－Ｘ．ｃｏｍ）を暗号化し得る。いくつかの実施例では、公開鍵を使用して、ＦＱＤＮに加えて、ＣｌｉｅｎｔＨｅｌｌｏメッセージ並びに／またはＣｌｉｅｎｔＨｅｌｌｏメッセージに含まれるデータおよび情報などの、他のデータを暗号化し得る。ＦＱＤＮおよび任意の追加のデータを公開鍵で暗号化した後、第１のホストは、結果として得られるｅＳＮＩ暗号文をＣｌｉｅｎｔＨｅｌｌｏメッセージなどの通信文に挿入し得る。通信文（例えば、ＣｌｉｅｎｔＨｅｌｌｏメッセージ）は、４４３の宛先ポートを有するＴＣＰパケットにカプセル化され得る。ＴＣＰパケットは、１２．３４．５６．７８の宛先ＩＰアドレスを有するＩＰパケットにカプセル化され得る。ＩＰパケットは、コネクション（例えば、ＴＣＰコネクション）を介して第２のホスト（例えば、ウェブサーバ）に送信（例えば、伝送）され得る。ＣｌｉｅｎｔＨｅｌｌｏメッセージを受信すると、第２のホスト（例えば、ウェブサーバ）は、公開鍵に関連付けられた非公開（例えば、秘密）鍵を使用して暗号文を復号化し、第１のホスト（例えば、ウェブブラウザ）が通信したい第２のホスト（例えば、ドメイン）の平文ドメイン（例えば、ｗｗｗ．ｗｅｂ－ｄｏｍａｉｎ－Ｘ．ｃｏｍ）を取得（例えば、判定）し得る。
パケットフィルタリングデバイスを動作させるアプリケーションは、（例えば、ＣｌｉｅｎｔＨｅｌｌｏメッセージを含む）伝送中パケットのＬ３宛先ＩＰアドレスをｅＳＮＩ関連情報と相関させることによって、ｅＳＮＩ暗号文から平文ドメイン名を導出（例えば、判定）し得る。例えば、パケットフィルタリングデバイスを動作させるサイバーセキュリティアプリケーションは、ドメイン名インジケータのサイバー脅威インテリジェンス（ＣＴＩ）データベースをＴＣＰ／ＩＰ通信と相関させて、潜在的な脅威通信を識別し、かつ／または識別された潜在的な脅威通信をどのように処理（例えば、通信をブロック／ドロップまたは許可／転送）するかを決定し得る。ＣＴＩデータベースは、複数のドメイン名を含むことができ、ＣＴＩデータベースの内容は、動的であり得る。すなわち、新しいエントリ（例えば、ドメイン名および任意の関連付けられた情報）をＣＴＩデータベースに追加することができ、既存のエントリをＣＴＩデータベースから継続的に削除することができる。本開示は、オーバーフローするバッファのために伝送中のパケットがドロップされず、かつ遅延に起因してネットワークセキュリティが危殆化されないように計算効率的であり得るパケットフィルタリング技法を説明する。本明細書で説明されるアプリケーションおよび／またはインラインパケットフィルタリングデバイスは、パケットごとに、伝送中のＬ２／Ｌ３パケットをフィルタリングし得る。すなわち、Ｌ２／Ｌ３透過デバイスは、到着順（例えば、ＦＩＦＯキューイング）に各伝送中パケットをフィルタリングするか、または各伝送中パケットにパケットフィルタリングルールを適用し、次のパケットをフィルタリングする前に各パケットの処置／アクション（例えば、ブロック／ドロップ、許可／転送など）を決定する。ＣｌｉｅｎｔＨｅｌｌｏメッセージなどの通信文は、いくつかのパケットにわたってフラグメント化され得ることが理解されよう。本明細書で説明されるパケットごとの処理は、複数のパケットにわたってフラグメント化された、ＣｌｉｅｎｔＨｅｌｌｏメッセージなどの通信文に適用されてもよい。
ｅＳＮＩドメイン名対応リスト（ＥＤＣＬ）は、ドメイン名のＣＴＩデータベースから生成され得る。ＥＤＣＬは、データ構造であり得る。データ構造は、効率的なアクセスおよび／または修正を可能にするデータ編成、管理、および／または記憶フォーマットであり得る。データ構造は、データ値、これらのデータ値の間の関係、および／またはデータに適用され得る関数若しくは演算の集合であり得る。いくつかの実施例では、データ構造は、ＩＰアドレスによって一意にインデックス付けされる｛ＩＰ－アドレス，ｃｔｉ－ｅｓｎｉ－ドメイン－名－リスト｝と標記された少なくとも２つの列を含む２Ｄテーブルであり得る。他の実施例では、データ構造は、データベースであり得る。ＥＤＣＬを生成するために、ＣＴＩデータベース内の各ドメイン名（例えば、完全修飾ドメイン名（ＦＱＤＮ））が、ＤＮＳに照会され得る。ＤＮＳ照会は、ドメイン名のＩＰアドレスと、関連付けられたドメインがｅＳＮＩをサポートするかどうかと、のうちの少なくとも１つを判定し得る。ドメインがｅＳＮＩをサポートするかどうかを判定することは、暗号化のためのｅＳＮＩ公開鍵を含むリソースレコードを照会することを含み得る。関連付けられたドメインがｅＳＮＩをサポートする場合、ＥＤＣＬ内のエントリ（例えば、行）が、ＩＰアドレスをＩＰアドレス列内に、ドメイン名をｃｔｉ－ｅｓｎｉ－ドメイン－名－リスト列内に配置することによって、作成および／または更新され得る。複数のドメイン名が同じＩＰアドレスに解読され得る仮想ドメイン技術のために、ＥＤＣＬ内の各ＩＰアドレスに関連付けられた複数のドメイン名またはドメイン名のリストが存在し得る。例示の目的で、この概要の実施例について、ＥＤＣＬ内の（一意の）ＩＰアドレスに関連付けられたｃｔｉ－ｅｓｎｉ－ドメイン－名－リスト内に１つのドメイン名のみがあると仮定する。バッファオーバーフローおよびパケットドロップを回避し、かつパケット伝送待ち時間を最小化するように、伝送中パケットを迅速に処理するために、ＥＤＣＬを、ハッシュテーブルなどの効率的なデータ構造として編成して、ＥＤＣＬエントリの存在をチェックし、かつＩＰアドレスに関連付けられたドメイン名のリストを返す、ＩＰアドレスによってインデックス付けされる高速探索をサポートし得る。
（インライン）パケットフィルタリングデバイスが、ｅＳＮＩ暗号文を有するＣｌｉｅｎｔＨｅｌｌｏメッセージを含む伝送中パケットを検査するとき、パケットフィルタリングデバイスは、Ｌ３パケットから宛先ＩＰアドレスを抽出し、かつＥＤＣＬ内の宛先ＩＰアドレスを探索することによって、ｅＳＮＩ暗号文に対応する平文ドメイン名を判定し得る。宛先ＩＰアドレスセキュリティがＥＤＣＬ内に見つからない場合には、サイバーセキュリティアプリケーションロジックは、パケットに関連付けられたＣＴＩベースの脅威がないため、パケットをパケットの宛先に向けて許可（例えば、転送）することを決定し得る。宛先ＩＰアドレスがＥＤＣＬ内に見つかる場合には、関連付けられたドメイン名は、ｅＳＮＩ暗号文に対応する平文ドメイン名であり得る。パケットをどのように処理するかを決定するために、サイバーセキュリティアプリケーションは、平文ドメイン名に対応するパケットマッチング基準を有するルールについて、複数の伝送中パケットフィルタリングルール（ＣＴＩデータベースから導出される）を含む１またはそれ以上のネットワークセキュリティポリシーを探索し得る。マッチルールは、パケット処置（例えば、許可／転送／パスまたはブロック／ドロップ／拒否）を示し得る。マッチルールはまた、ログ、捕捉、ミラー／リダイレクト、プロキシへの転送、偽装ｔｃｐ－ｒｓｔなどの、パケットのための追加の（ネットワーク保護）アクション、またはパケット変換機能（packet transformation function、ＰＴＦ）を示し得る。
複数のドメイン名が、ＥＤＣＬ内の単一のＩＰアドレスに関連付けられ得る。例えば、ドメインホスティングサービスは、単一のＩＰアドレスに対して多くのドメインをホストすることが多い。これらの多くのドメインのうちのいくつかは、プライバシー保護データベース、法執行データベース、企業使用ポリシーデータベースなどのＣＴＩデータベースまたは他のサイバーセキュリティ関連のデータベース内にあり得る。加えて、これらのドメインのうちのいくつかは、ｅＳＮＩをサポートし得る。ｅＳＮＩ暗号文に対応する平文ドメイン名は、ＥＤＣＬ内の関連付けられたＩＰアドレスから明確に判定されない場合がある。サイバーセキュリティアプリケーションは、いくつかの異なるアクションの中から選択して、平文ドメイン名の曖昧さを解消し、かつ／またはさもなければ潜在的な脅威を軽減し得る。これらのアクションは、拡張されたＥＤＣＬ情報、追加の効率的なデータ構造、ＴＬＳメッセージなどに基づき得る。例えば、サイバーセキュリティアプリケーションは、ＴＣＰコネクションを切断し、かつＴＬＳハンドシェイクセッションを終了するＴＣＰ ＲＳＴをクライアントに送信し、ＴＬＳハンドシェイクセッションを終了するＴＬＳメッセージ（例えば、「ハンドシェイク失敗」（コード４０）アラートを有するＴＬＳアラートプロトコルメッセージ）をクライアントに送信し、クライアントにｅＳＮＩをサポートしないＴＬＳバージョン（例えば、ＴＬＳ ｖ．１．２）を使用させるＴＬＳメッセージをクライアントに送信し、クライアントに暗号化されたＳＮＩの代わりに平文ＳＮＩを送信させるＴＬＳメッセージをクライアントに送信するなどを行い得る。
パケットフィルタリングデバイスを動作させるアプリケーションは、ＣｌｉｅｎｔＨｅｌｌｏメッセージを含む伝送中パケットを検査し、ｅＳＮＩが使用されていると判定し、パケットのＬ３宛先ＩＰアドレスがＥＤＣＬ内にあると判定し得る。ｅＳＮＩ暗号文は、ＣＴＩデータベースに含まれるものなど、関心の（平文）ドメイン名に対応し得る。アプリケーションが平文ドメイン名の曖昧性を解消し、かつ／または別様に脅威を軽減するためにとり得るいくつかのアクションがある。例えば、アプリケーションは、ＣｌｉｅｎｔＨｅｌｌｏメッセージを含むパケットをドロップし、ＣｌｉｅｎｔＨｅｌｌｏメッセージの意図されるホストを偽装するか、または（透過）プロキシとなり得る。
追加的もしくは代替的に、セキュリティアプリケーションは、ＣｌｉｅｎｔＨｅｌｌｏメッセージを（透過的な）介在ＴＬＳ中間者（Man-In-The-Middle、ＭＩＴＭ）プロキシ機能に転送することができる。ＭＩＴＭプロキシ機能は、ＴＬＳによってセキュリティ保護されたアプリケーションセッションを復号化し、セッションを平文で調査し、セッションを再暗号化し、ＴＬＳによってセキュリティ保護されたセッションをこのセッションの宛先に転送し得る。ＭＩＴＭプロキシ機能は、ｅＳＮＩ暗号文を復号化することができない場合があるが、ＭＩＴＭプロキシ機能は、復号化されたアプリケーションセッションを検査（例えば、調査）し、セッションの内容からｅＳＮＩ暗号文に対応する平文ドメイン名を抽出してもよい。例えば、ＨＴＴＰＳセッションは、クリアテキストＨＴＴＰセッションを公開するためにＭＩＴＭプロキシ機能によって復号化されてもよい。この点に関して、ＧＥＴ、ＰＯＳＴ、ＰＵＴなどのＨＴＴＰメソッド要求は、ドメイン名を含み得る。セキュリティアプリケーションは、クリアテキストから平文ドメイン名を抽出し、パケットフィルタリングデバイスによって施行されている任意のポリシーを通じて平文ドメイン名をフィルタリングし得る。
別の実施例では、セキュリティアプリケーションは、ｅＳＮＩ値に対応する平文ドメイン名の曖昧性を解消するために使用され得るシステムＤＮＳ－ＱＵＥＲＹ－ＴＲＡＣＫＥＲを動作させるか、または別様にこれにアクセスし得る。ＤＮＳ－ＱＵＥＲＹ－ＴＲＡＣＫＥＲシステムは、パケットフィルタリングデバイスを通過するＴＬＳセッションも発信し得るエンタープライズホストから発信されたＤＮＳ照会を監視し得る。ＤＮＳ－ＱＵＥＲＹ－ＴＲＡＣＫＥＲシステムは、ｅＳＮＩをサポートするドメイン名に対する任意のＤＮＳ照会に関連付けられたデータのレコードを、例えば、テーブル（例えば、ハッシュテーブル）および／またはデータベースに記憶し得る。各レコードは、ＤＮＳ照会を発信したホストのＩＰアドレス、ドメイン名、ドメイン名の解読されたＩＰアドレス、および／または照会時間を含み得る。ＤＮＳ－ＱＵＥＲＹ－ＴＲＡＣＫＥＲシステムは、ＩＰアドレスを入力として受け入れ、かつ入力されたＩＰアドレスに対応する１またはそれ以上のレコードを返す関数呼び出しを有するレコードを記憶するテーブルおよび／またはデータベースに対するインターフェースを提供し得る。いくつかの実施例では、ＤＮＳ－ＱＵＥＲＹ－ＴＲＡＣＫＥＲは、ＨＴＴＰＳ上のＤＮＳ照会（DNS Queries over HTTPS、ＤｏＨ）（例えば、ＲＦＣ８４８４）および／またはトランスポート層セキュリティ上のＤＮＳ（DNS over Transport Layer Security、ＤｏＴ）（例えば、ＲＦＣ７８５８）などの、暗号化されたＤＮＳプロトコルの使用を考慮するように構成され得る。これらのプロトコルは、ＤＮＳ照会要求および／または応答などの、ＤＮＳ通信を暗号化し得る。すなわち、この構成は、ＤＮＳ－ＱＵＥＲＹ－ＴＲＡＣＫＥＲシステムが、ＤｏＨおよびＤｏＴ通信の平文および／またはクリアテキストにアクセスし得るようなものであり得る。
ドメイン名に関連付けられたＴＬＳによってセキュリティ保護されたセッション（例えば、ＨＴＴＰＳ通信）を開始する前に、エンタープライズホストは、ＤＮＳ照会を発行して、ドメイン名をＩＰアドレスに解読し、ドメインの公開鍵（例えば、ｅＳＮＩ公開鍵）を取得し（例えば、取り出し、獲得し）得る。上述したように、公開鍵を使用して、ＣｌｉｅｎｔＨｅｌｌｏメッセージに含まれるドメイン名並びに他のデータおよび／または情報を暗号化し得る。公開鍵（例えば、ｅＳＮＩ公開鍵）がある場合、ＤＮＳ－ＱＵＥＲＹ－ＴＲＡＣＫＥＲシステムは、公開鍵（例えば、ｅＳＮＩ公開鍵）のレコードをＤＮＳ－ＱＵＥＲＹ－ＴＲＡＣＫＥＲシステムのテーブルおよび／またはデータベースに挿入し得る。パケットフィルタリングデバイスは、ｅＳＮＩ暗号文を有するＣｌｉｅｎｔＨｅｌｌｏメッセージを含むＬ３パケットを受信し得る。パケットフィルタリングデバイス上で実行されているセキュリティアプリケーションは、パケットから宛先ＩＰアドレスを抽出し、宛先ＩＰアドレスによってインデックス付けされた１またはそれ以上のレコードをＤＮＳ－ＱＵＥＲＹ－ＴＲＡＣＫＥＲに照会し得る。照会は、時間制限され得る。すなわち、レコードは、Ｌ３パケットを受信する所定の時間内に作成および／または更新されていてもよい。ＣｌｉｅｎｔＨｅｌｌｏメッセージと時間相関があり、かつ／または発信ホストＩＰアドレスをＬ３パケットの送信元ＩＰアドレスと照合するレコードは、ｅＳＮＩ暗号文に関連付けられた平文ドメイン名を含み得る。セキュリティアプリケーションは、パケットフィルタリングデバイスによって施行されている任意のポリシーを通じて平文ドメイン名をフィルタリングし得る。上述したＤＮＳ－ＱＵＥＲＹ－ＴＲＡＣＫＩＮＧシステムおよび方法は、ｅＳＮＩ暗号文に対応する平文ドメイン名を推定するためのＥＤＣＬベースのシステムおよび方法とともに、またはこれらの代替として使用され得る。
いくつかの事例では、ＥＤＣＬは、アプリケーションに関連し得るドメイン名のデータベースから生成され得る。例えば、データベースは、法執行（ＬＥ）が合法的傍受アプリケーションのための関連付けられた通信セッション（例えば、ＨＴＴＰＳセッション）の平文を傍受、復号化、および記憶する権限を有するドメイン名のコレクションであり得る。法執行は、ドメイン名に関連付けられていないセッションを傍受、復号化、および／または記憶する権限がない場合があることから、ドメイン名の合法的傍受データベースからＥＤＣＬを生成して、セッションが合法的傍受データベース内の平文ドメイン名に関連付けられ得るかどうかを判定し得る。セッションが合法的傍受データベース内のドメイン名に関連付けられている場合には、アプリケーションは、適切なアクションを取り（例えば、関連付けられた通信文の平文を傍受、復号化、および記憶し）得る。
プライバシー保護および保存（Ｐ３）アプリケーションでは、データベースは、プライバシーを保護および保存するために復号化および記憶されるべきではない暗号化された通信セッション（例えば、ＨＴＴＰＳセッション）に関連付けられたドメイン名のコレクションであり得る。ＴＬＳによってセキュリティ保護されたセッションがｅＳＮＩを使用する場合、ドメイン名のＰ３データベースからＥＤＣＬを生成して、セッションがＰ３データベース内の平文ドメイン名に関連付けられているかどうかを判定し得る。ドメイン名がＰ３データベース内のドメイン名に関連付けられている場合には、アプリケーションは、セッションが復号化および／または記憶されないことを確保するための適切なアクションをとり得る。
いくつかの実施例では、エンタープライズは、悪意のあるアクタによる盗取を軽減および／または防止するｅＳＮＩ使用ポリシーを施行しようとし得る。ｅＳＮＩ使用ポリシー施行は、上述したＥＤＣＬベースのｅＳＮＩセキュリティ機能および／またはＤＮＳ－ＱＵＥＲＹ－ＴＲＡＣＫＥＲベースのセキュリティ機能とともに使用され得る。ＥＤＣＬにアクセス可能であることに加えて、アプリケーションは、例えば、ｅＳＮＩをサポートする関連付けられたドメインとともにＤＮＳに登録されたドメイン名の１またはそれ以上の要素を含む、ＤＮＳ－ＥＳＮＩと名付けられたデータ構造にアクセス可能であり得る。例えば、パケットフィルタリングデバイスを動作させるアプリケーションは、ＣＴＩデータベース内にはないがＤＮＳ－ＥＳＮＩデータ構造内にエントリを有するＳＮＩ値（例えば、（クリアテキスト）ドメイン名）を有するＣｌｉｅｎｔＨｅｌｌｏメッセージを検出し得る。ドメイン名は、ドメイン名を暗号文として送信することができる場合でも、平文で送信されている。追加的もしくは代替的に、アプリケーションは、ＤＮＳに照会して、ドメイン名を解読し、ドメインがｅＳＮＩをサポートするかどうかを判定し得る。照会への応答に基づいて、アプリケーションは、ドメイン名が抽象または実際のＤＮＳ－ＥＳＮＩデータ構造の要素またはメンバであるかどうかを判定し得る。アプリケーションが、ドメインがｅＳＮＩをサポートしていると判定した場合、アプリケーションは、ＣｌｉｅｎｔＨｅｌｌｏメッセージ（クリアテキストドメイン名を有する）を含むパケットをドロップし、ＣｌｉｅｎｔＨｅｌｌｏメッセージが送信されているホストに対して偽装／透過プロキシとなり、かつ／またはクライアントに平文ＳＮＩの代わりに暗号化されたＳＮＩを使用させるＴＬＳメッセージをクライアントに送信し得る。
いくつかの実施例では、エンタープライズは、ＴＬＳセッションのためのｅＳＮＩを実装するｅＳＮＩ使用ポリシーを施行しようとし得る。すなわち、エンタープライズホストは、ｅＳＮＩをサポートするドメインのみにアクセスし得る。パケットフィルタリングデバイスを動作させるアプリケーションは、例えば、ＳＮＩ値（例えば、ＤＮＳ－ＥＳＮＩの要素ではない平文ドメイン名）を有するＣｌｉｅｎｔＨｅｌｌｏメッセージを検出し、ＴＬＳハンドシェイクセッションを終了するＴＬＳメッセージをクライアントに送信し、かつ／または関連付けられたＴＣＰセッションを終了するＴＣＰ ＲＳＴメッセージをクライアントに送信することによって、そのようなポリシーを施行し得る。本明細書で説明されるフィルタリングルールおよび／または施行ポリシーは、例えば、２０１５年１２月２３日に出願された「Ｒｕｌｅ－Ｂａｓｅｄ Ｎｅｔｗｏｒｋ－Ｔｈｒｅａｔ Ｄｅｔｅｃｔｉｏｎ ｆｏｒ Ｅｎｃｒｙｐｔｅｄ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ」と題する米国特許出願第１４／７５７，６３８号（現在は米国特許第９，９１７，８５６号）において本出願人によって開示された技法を使用して、ルールベースのネットワーク脅威検出を実行するシステムにおいて用途を見出すことができ、その全体が参照により本明細書に組み込まれる。
図１は、サイバーセキュリティアプリケーションのためのｅＳＮＩフィルタリングのシステム１００を示す。システム１００は、ネットワーク間アクセスおよび／または相互接続を提供する１またはそれ以上のネットワークリンク１０６によって接続され得るネットワークＡ１０２およびネットワークＢ１０４を含み得る。システム１００はまた、１またはそれ以上のホストを含んでもよい。本明細書で使用される場合、「ホスト」（または「複数のホスト」）は、ネットワークに接続された任意のタイプのネットワークデバイスまたはノードまたはコンピューティングデバイスを指し、それらのネットワークインターフェースには、Ｌ３ネットワークアドレスが割り当てられる。１またはそれ以上のホストは、サーバ、デスクトップコンピュータ、ラップトップコンピュータ、タブレットコンピュータ、モバイルデバイス、スマートフォン、ルータ、ゲートウェイ、プロキシ、ファイアウォール、スイッチ、アクセスポイントなどの、コンピューティングデバイスおよび／またはネットワークデバイスであり得る。いくつかの実施例では、いくつかのコンピューティングデバイスは、ＰＳＧ／ＥＳＮＩ Ｇ／Ｗ１２０などの、ネットワークアドレスのないネットワークインターフェースを有し得る。ネットワークアドレスを有していないコンピューティングデバイスは、ホストとみなされない場合がある。割り当てられたネットワークアドレスを有していないネットワークインターフェースは、ネットワークレベル（例えば、Ｌ３および／またはＬ２）に関して「透過的」であるとみなされ得る。
ネットワークＡ１０２は、１またはそれ以上の個人および／またはエンティティ（例えば、政府、企業、サービスプロバイダなど）に関連付けられた１またはそれ以上のネットワーク（例えば、ローカルエリアネットワーク（Local Area Network、ＬＡＮ）、ワイドエリアネットワーク（Wide Area Network、ＷＡＮ）、仮想プライベートネットワーク（Virtual Private Network、ＶＰＮ）、ソフトウェア定義ネットワーク（Software-Defined Network、ＳＤＮ）、またはそれらの組み合わせ）を備え得る。ネットワークＢ１０４は、ネットワークＡ１０２を１またはそれ以上の他のネットワーク（図示せず）とインターフェースおよび／または相互接続する１またはそれ以上のネットワーク（例えば、ＬＡＮ、ＷＡＮ、ＶＰＮ、ＳＤＮ、またはそれらの組み合わせ）を備え得る。例えば、ネットワークＢ１０４は、インターネット、若しくは同様のネットワーク、および／またはその部分を備え得る。
図１に示されるように、ネットワークＡ１０２は、ホスト１１０、１１２、および／または１１４と、パケットセキュリティゲートウェイ（packet security gateway、ＰＳＧ）などの１またはそれ以上のパケットフィルタリングネットワークゲートウェイデバイスと、を備え得る。ホスト１１０、１１２、および／または１１４は、ＴＬＳクライアントおよび／またはＴＬＳトンネル端末として機能するように構成され得る。ＰＳＧは、ｅＳＮＩを使用し得るＴＬＳによってセキュリティ保護された通信に関連付けられた伝送中パケットを処理するためのｅＳＮＩ－ゲートウェイ（ＥＳＮＩ－Ｇ／Ｗ）１２０機能を含み得る。いくつかの実施形態では、ｅＳＮＩゲートウェイネットワークデバイス（例えば、ＥＳＮＩ－Ｇ／Ｗ１２０またはこれらのｅＳＮＩゲートウェイネットワークデバイスの組み込みＰＳＧ）は、ｅＳＮＩゲートウェイが機能する伝送中パケットを入力および／または出力するこれらのｅＳＮＩゲートウェイネットワークデバイスのネットワークインターフェースに割り当てられたＬ３ネットワークアドレスおよび／またはＬ２ネットワークアドレスを有していない場合がある。ｅＳＮＩゲートウェイ（および組み込みＰＳＧ）は、Ｌ３透過であってもよい。
同様に、ネットワークＢ１０４は、ホスト１３０、１３１、および／または１３９を含むか、またはそれらへのネットワークアクセスを提供し得る。ホスト１３０、１３１、および／または１３９は、ＴＬＳサーバおよび／またはＴＬＳトンネル端末として機能するように構成され得る。ホスト１３０、１３１、および／または１３９は、１またはそれ以上のドメインをホストすることができ、関連付けられたドメイン名をＤＮＳ（例えば、ＤＮＳ１６０）に登録し得る。ホスト１３０、１３１、および／または１３９はまた、インターネットＤＮＳ上のドメインのｅＳＮＩサポートを関連付けてもよい（例えば、暗号化のためのｅＳＮＩ公開鍵を含むドメインのリソースレコードを作成する）。ネットワークＢ１０４はまた、システム１４０、１４２、および／または１４４を含むか、またはそれらへのネットワークアクセスを提供し得る。システム１４０、１４２、および／または１４４は、様々なサービスを提供するように構成されたネットワーク化されたホストのコレクションであり得る。例えば、ＣＴＩＰ１４０は、ネットワーク脅威インジケータ（例えば、ドメイン名）を含むＣＴＩレポートを加入者（ＳＰＭＳ１５０など）に提供する１またはそれ以上のＣＴＩプロバイダ（ＣＴＩＰ）であり得る。同様に、法執行インテリジェンスプロバイダ（ＬＥＩＰ）１４２と保護および保存インテリジェンスプロバイダ（Ｐ３ＩＰ）１４４とは、ネットワークインジケータ（例えば、ドメイン名）を含むインテリジェンスレポートを加入者（セキュリティポリシー管理サーバ（Security Policy Management Server、ＳＰＭＳ）１５０など）に提供し得る。ＣＴＩ、ＬＥ、およびＰ３アプリケーションに加えて、他のアプリケーションのインテリジェンスプロバイダ（図示せず）がまた、ドメイン名の形態のネットワークインジケータを含むインテリジェンスレポートを加入者に提供してもよい。
セキュリティポリシー管理サーバ（ＳＰＭＳ）１５０は、１またはそれ以上のパケットフィルタリングルールを含むポリシーを作成および配信するシステムであり得る。１またはそれ以上のパケットフィルタリングルールは、ＣＴＩＰ１４０によって供給されるＣＴＩから、ＬＥＩＰ１４２によって供給されるＬＥＩから、Ｐ３ＩＰ１４４によって供給されるＰ３Ｉからなどで、導出され得る。これらのポリシーは、ＥＳＮＩ－Ｇ／Ｗ１２０などの加入者に配信され得る。ＳＰＭＳ１５０はまた、データを作成し、かつｅＳＮＩゲートウェイ機能をサポートする加入ｅＳＮＩゲートウェイ（例えば、ＥＳＮＩ－Ｇ／Ｗ１２０）に配信するシステムであってもよい。例えば、ＥＤＣＬ－ＳＹＳ１５２は、ＣＴＩ、ＬＥＩ、Ｐ３Ｉなどに含まれるドメイン名インジケータから導出されたＥＤＣＬを作成し、かつ加入ｅＳＮＩゲートウェイＥＳＮＩ－Ｇ／Ｗ１２０に配信する、ＳＰＭＳ１５０のモジュール、デバイス、システム、またはサブシステムを表し得る。別の実施例では、ＣＴＩ－ＰＯＬＩＣＹ－ＳＹＳ１５４は、ＣＴＩインジケータ（ドメイン名インジケータを含む）から導出された１またはそれ以上のパケットフィルタリングルールを含むポリシーを作成する、ＳＰＭＳ１５０のモジュール、デバイス、システム、またはサブシステムであり得る。さらに別の実施例では、ＤＮＳ－ＥＳＮＩ－ＳＹＳ１５６は、ｅＳＮＩをサポートするドメインのＤＮＳ登録されたドメイン名を含むセットデータ構造（例えば、テーブル、データベースなど、および関連付けられた機能）を作成および配信する、ＳＰＭＳ１５０のモジュール、デバイス、システム、またはサブシステムを表し得る。例えば、法執行アプリケーションに関連付けられた法執行ポリシー作成システム（例えば、ＬＥＩ－ＰＯＬＩＣＹ－ＳＹＳ（図示せず））、Ｐ３アプリケーションに関連付けられたプライバシーポリシー作成システム（例えば、Ｐ３Ｉ－ＰＯＬＩＣＹ－ＳＹＳ（図示せず））、および他のポリシー作成システムは、ＣＴＩ－ＰＯＬＩＣＹ－ＳＹＳ１５４と同様であるが、ドメイン名インジケータを含み得る、インテリジェンスのソースおよび／またはタイプが異なり得る。
ドメイン名サーバ（ＤＮＳ）１６０は、インターネットドメイン名システム（ＤＮＳ）を備える１またはそれ以上のコンピュータであり得る。ＤＮＳ１６０は、ドメイン名をＩＰアドレスに解読するために様々なホストによって使用され得る。追加的もしくは代替的に、ＤＮＳ１６０は、ＴＬＳ ＣｌｉｅｎｔＨｅｌｌｏメッセージに含まれるｅＳＮＩ暗号文を作成する際に使用するための暗号鍵（例えば、公開暗号鍵）を取得する（例えば、取り出す、獲得する）ために使用されてもよい。
ＥＳＮＩ－Ｇ／Ｗ１２０は、第１のネットワーク（例えば、ネットワークＡ１０２）と第２のネットワーク（例えば、ネットワークＢ１０４）との間をインターフェースするネットワークバウンダリに、またはこのネットワークバウンダリの近くに位置し得る。例えば、ＥＳＮＩ－Ｇ／Ｗ１２０は、ネットワーク１０２、またはネットワーク１０２内に位置する１またはそれ以上のホストを、ネットワーク１０４、またはネットワーク１０２内に位置する１またはそれ以上のホストと接続（例えば、インターフェース）し得る。上述したように、ネットワークＢ１０４は、ホスト１３０、１３１、および／または１３９を含み得る。ホスト１３０、１３１、および／または１３９は、１またはそれ以上のネットワーク化されたアプリケーションサーバおよび／または関連付けられたドメインをホストし得る。１またはそれ以上のアプリケーションサーバおよび／または関連付けられたドメインは、ＴＬＳによってセキュリティ保護された通信をサポートするように構成され得る。ネットワークＡ１０２は、ホスト１１０、１１２、および／または１１４を含み得る。ホスト１１０、１１２、および／または１１４は、ネットワークアプリケーションクライアント（例えば、ウェブブラウザ）をホストすることができ、ＴＬＳによってセキュリティ保護された通信をサポートするように構成され得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、ネットワークリンク１０６上にインラインで挿入されることができ、ＴＬＳによってセキュリティ保護された通信に関連付けられたドメイン名に関連付けられたポリシーを施行するために、伝送中パケットをフィルタリングし得る。いくつかの実施形態では、ＥＳＮＩ－Ｇ／Ｗ１２０は、ネットワークＡ１０２に関連付けられたホストとネットワークＢ１０４に関連付けられたホストとの間の全てのＴＣＰ／ＩＰパケット通信に対してポリシーを施行するための、パケットセキュリティゲートウェイ（ＰＳＧ）などのより一般的なパケットフィルタリングゲートウェイシステムのサブコンポーネントまたはサブ機能であり得る。ＰＳＧは、ネットワークＡ１０２などの保護されたネットワークと、ネットワークＢ１０４などの保護されたネットワークに接続された保護されていないネットワークと、の間のインターフェースであり得る。１またはそれ以上のＰＳＧが、保護されたネットワークの１またはそれ以上のバウンダリに位置し、いずれか一方の方向に１またはそれ以上のバウンダリを横断する伝送中パケットをフィルタリング（例えば、パケットフィルタリングルールからなるポリシーを適用）し得る。図１に示されるように、ＰＳＧは、ＥＳＮＩ－Ｇ／Ｗ１２０を組み込み得る。ＰＳＧのＥＳＮＩ－Ｇ／Ｗ１２０機能は、ｅＳＮＩを使用するＴＬＳによってセキュリティ保護された通信に関連付けられた１またはそれ以上のパケットに適用され得る。
図示されていないが、追加のネットワークコンポーネントが図１に存在し得ることが理解されよう。これらのネットワークコンポーネントは、パケットヘッダ情報を改変し得るネットワークバウンダリに、またはこのネットワークバウンダリの近くに位置する、ネットワークファイアウォールおよび関連付けられたネットワークアドレス変換（network address translation、ＮＡＴ）機能、プロキシなどの、デバイスを含み得る。パケットヘッダ情報を改変することは、本明細書で説明される方法、デバイス、システム、および／またはコンピュータ可読媒体に影響を及ぼし得る。以下でより詳細に説明されるように、ＣＴＩベースのアプリケーションに関連して説明されるシステム、コンポーネント、機能、データなどは、法執行（ＬＥ）アプリケーション、プライバシー保護および保存（Ｐ３）アプリケーションなどの、他のアプリケーションに適用され得る。これらのアプリケーション（例えば、ＬＥアプリケーション、Ｐ３アプリケーションなど）は、ＣＴＩベースのネットワーク保護アプリケーションと置換され、かつ／または同時に動作され得る。本明細書で説明される方法、デバイス、システム、および／またはコンピュータ可読媒体は、伝送中のＴＬＳ ＣｌｉｅｎｔＨｅｌｌｏメッセージ／パケットに含まれるｅＳＮＩ暗号文と、アプリケーションおよび通信に関連付けられている平文／クリアテキストドメイン名と、の間の対応を判定し得る任意の好適なシステムに実装され得る。ｅＳＮＩ暗号文と平文ドメイン名との間の対応の判定に基づいて、システムは、パケットフィルタリングルールに従ってパケットを処理し得る。
図２は、ネットワークＡ１０２とネットワークＢ１０４との間の通信に対してポリシーを施行するためのＥＳＮＩ－Ｇ／Ｗ１２０の一実施例を示す。通信は、暗号化されたホスト名（例えば、ｅＳＮＩ暗号文に含まれ得る暗号化されたＳＮＩ値）を有するＴＬＳによってセキュリティ保護された通信であり得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、ＥＳＮＩ－Ｇ／Ｗ１２０、ネットワークインターフェースＮＴＷＫ－Ｉ／Ｆ１２７、管理インターフェースＭＧＭＴ－Ｉ／Ｆ１２９を構成し、および動作させるためのロジックを実行し得る、プロセッサおよびメインメモリ（ＣＰＵ－ｗ／ＭＥＭ）１２１を備え得る。ＣＰＵ－ｗ／ＭＥＭ１２１は、１またはそれ以上の通信ポリシー施行アプリケーションに従ってＥＳＮＩ－Ｇ／Ｗ１２０を構成し、および動作させるためのロジックを実行し得る。これらのアプリケーションは、同時かつ協働的／協調的に実行され得る。追加的もしくは代替的に、プロセッサおよびメインメモリ（ＣＰＵ－ｗ／ＭＥＭ）１２１は、ＥＳＮＩ－Ｇ／Ｗ１２０およびＥＳＮＩ－Ｇ／Ｗ１２０の関連付けられたアプリケーションの動作をサポートし得る、ＰＫＴ－ＦＩＬＴＥＲ１２２、ＥＤＣＬ－ＳＶＣ１２３、ＤＮＳ－ＥＳＮＩ－ＳＶＣ１２４、ＤＮＳ－ＱＵＥＲＹ－ＴＲＡＣＫＥＲ１２５、および／またはＴＬＳ－ＭＩＴＭ－ＰＲＯＸＹ１２６などのシステムおよびサービスのコレクションを構成し、および動作させるためのロジックを実行し得る。これらのコンポーネントは、ＢＵＳ１２８を使用して通信し得る。ＢＵＳ１２８を使用して、ＥＳＮＩ－Ｇ／Ｗ１２０のコンポーネント間で、パケットを含むデータを転送し得る。ＢＵＳ１２８は、ＥＳＮＩ－Ｇ／Ｗ１２０のコンポーネント間にデータ通信チャネルを提供し得る。いくつかの実施例では、ＢＵＳ１２８は、プロセッサロジック（例えば、プロセッサおよびメインメモリ（ＣＰＵ－ｗ／ＭＥＭ）１２１）をオンチップキャッシュメモリと接続するオンチップシリコンバスであり得、これにより、高速かつコンパクトな処理が提供される。追加的もしくは代替的に、ＢＵＳ１２８は、ネットワークＡ１０２またはネットワークＢ１０４などのネットワーク接続（例えば、ＴＣＰ／ＩＰネットワーク）であってもよい。更なる実施例では、ＢＵＳ１２８として、プリント回路基板（printed circuit board、ＰＣＢ）上の統合／埋め込みデータバス、コンピュータおよび／または周辺機器を接続するパラレルデータケーブル、ネットワークスイッチおよびルータのポートおよび／またはインターフェースを接続するシリアル光ケーブル、Ｌ２／Ｌ３スイッチされるネットワーク、Ｌ３ルーティングされるネットワークなど、並びにそれらの任意の組み合わせが挙げられ得る。ＢＵＳ１２８は、シリコン、有線、無線、物理、論理、仮想、ソフトウェア定義などであり得る。
ＥＳＮＩ－Ｇ／Ｗ１２０は、ネットワークインターフェースポートＮＴＷＫ－Ｉ／Ｆ１２７を介してネットワークＡ１０２とネットワークＢ１０４とを相互接続し得るネットワークリンク１０６とインラインで位置し得る。いくつかの実施形態では、ネットワークインターフェースポートＮＴＷＫ－Ｉ／Ｆ１２７は、Ｌ３および／またはＬ２において透過的であり得る。すなわち、ネットワークインターフェースポートＮＴＷＫ－Ｉ／Ｆ１２７は、これらのネットワークインターフェースポートに割り当てられたＩＰアドレスおよび／またはＭＡＣアドレスを有していない場合がある。これらの実施例によれば、伝送中のＬ２／Ｌ３パケットは、Ｌ２／Ｌ３パケットヘッダを修正することなくＥＳＮＩ－Ｇ／Ｗ１２０を通過し得る。ＥＳＮＩ－Ｇ／Ｗ１２０の伝送中パケット処理ロジックは、例えば、遅延に起因する内部バッファオーバーフローに起因してパケットをドロップすることなく、リンク１０６のピークパケット伝送レートでのパケットフィルタリングを可能にする、時間効率的かつメモリ効率的なパケット処理を提供し得る。いくつかの実施例では、管理インターフェースＭＧＭＴ－Ｉ／Ｆ１２９は、Ｌ３／ＩＰアドレスを割り当てられ得る。管理インターフェースＭＧＭＴ－Ｉ／Ｆ１２９は、ＥＳＮＩ－Ｇ／Ｗ１２０が、ＳＰＭＳ１５０および／またはＤＮＳ１６０などのサービスを提供するホストと通信することを可能にし得る。
ＰＫＴ－ＦＩＬＴＥＲ１２２システムは、１またはそれ以上のパケットフィルタリングルールを含むポリシーを、ＥＳＮＩ－Ｇ／Ｗ１２０を横断する伝送中パケットに適用し得る。ポリシーは、ＳＰＭＳ１５０などのサーバおよび／またはサービスによって供給され得る。ポリシーのパケットフィルタリングルールは、様々なタイプのインテリジェンスレポート、例えば、ＣＴＩレポート、ＬＥＩレポート、Ｐ３Ｉレポートなどに含まれるインジケータから導出され得る。ＰＫＴ－ＦＩＬＴＥＲ１２２は、ＣＴＩベースのネットワーク保護、合法的傍受、プライバシー保護および保存などの、１またはそれ以上の異なるサイバーセキュリティアプリケーションを同時にサポートするように構成され得る。
ＥＤＣＬ－ＳＶＣ１２３サービスは、１またはそれ以上のＥＤＣＬに関連付けられた情報についての照会を管理し得る。ＥＤＣＬは、ＥＤＣＬ－ＳＹＳ１５２によって（ＭＧＭＴ－Ｉ／Ｆ１２９を介して）提供され得る。ＥＤＣＬ－ＳＹＳ１５２は、ＳＰＭＳ１５０の一部であり得る。ＥＤＣＬ－ＳＶＣ１２３は、ＥＳＮＩ－Ｇ／Ｗ１２０からの照会にサービスし得る。ＥＤＣＬ－ＳＶＣ１２３は、ＥＳＮＩ－Ｇ／Ｗ１２０上で実行されている１またはそれ以上のアプリケーションから１またはそれ以上の照会要求を受信し得る。１またはそれ以上の照会要求は、ＢＵＳ１２８を介して受信され得る。照会要求は、ＩＰアドレスを含み得る。ＥＤＣＬ－ＳＶＣ１２３は、照会応答をアプリケーションに伝送し得る。照会応答は、ＥＤＣＬ－ＳＶＣ１２３によって管理される１またはそれ以上のＥＤＣＬに記憶されたＩＰアドレスに関連付けられたＥＳＮＩ関連情報を含み得る。
ＤＮＳ－ＥＳＮＩ－ＳＶＣ１２４サービスは、インターネットＤＮＳ１６０に登録され得るドメイン名に関連付けられたｅＳＮＩサポート情報についての照会を管理し得る。ＥＤＣＬ－ＳＶＣ１２３は、ＥＳＮＩ－Ｇ／Ｗ１２０上で実行されている１またはそれ以上のアプリケーションから１またはそれ以上の照会要求を受信し得る。照会要求は、ＢＵＳ１２８を介して受信され得る。照会要求は、ドメイン名を含み得る。ＥＤＣＬ－ＳＶＣ１２３は、照会応答を１またはそれ以上のアプリケーションに伝送し得る。照会応答は、ドメイン名に関連付けられたドメインがｅＳＮＩをサポートするかどうかを示す情報を含み得る。ＤＮＳ－ＥＳＮＩ－ＳＶＣ１２４は、ドメイン名がＤＮＳ－ＥＳＮＩ－ＳＶＣによって管理されるＤＮＳ－ＥＳＮＩセットのメンバであるかどうかを判定することによって、ドメイン名がｅＳＮＩをサポートするかどうかを判定し得る。ＤＮＳ－ＥＳＮＩセットは、例えば、ＭＧＭＴ－Ｉ／Ｆ１２９を介してＤＮＳ－ＥＳＮＩ－ＳＹＳ１５６によって提供され得る。ＤＮＳ－ＥＳＮＩ－ＳＹＳ１５６は、ＳＰＭＳ１５０のコンポーネントであり得る。追加的もしくは代替的に、ＤＮＳ－ＥＳＮＩ－ＳＶＣ１２４は、ＤＮＳ１６０に照会してドメイン名がｅＳＮＩサポートのための任意のリソースレコードに関連付けられているかどうかを判定することによって、ドメイン名がｅＳＮＩをサポートするかどうかを判定し得る。
ＤＮＳ－ＱＵＥＲＹ－ＴＲＡＣＫＥＲ１２５システムは、ネットワークＡ１０２に接続されたホストによって発行された場合があるＤＮＳ照会に関連付けられた情報を管理し得る。追加的もしくは代替的に、ＤＮＳ－ＱＵＥＲＹ－ＴＲＡＣＫＥＲ１２５システムは、ネットワークＡ１０２に接続されたホストによって発行された場合があるＤＮＳ照会に関連付けられた情報についての照会にサービスし得る。ＤＮＳ－ＱＵＥＲＹ－ＴＲＡＣＫＥＲ１２５は、ドメイン名をＩＰアドレスに解読するためのＤＮＳ照会要求および応答を観測し得る。各ＤＮＳ照会に対して、ＤＮＳ－ＱＵＥＲＹ－ＴＲＡＣＫＥＲ１２５は、効率的なデータ構造（テーブル（例えば、ハッシュテーブル）またはデータベースなど）に、照会に対するレコードを記憶し得る。レコードは、（１）ＤＮＳ照会を発信したホストのＩＰアドレス、（２）ドメイン名、（３）ドメイン名の解読されたＩＰアドレス、（４）照会時間、並びに／または（５）システムおよび／若しくはサービスを管理および／若しくは改善するための追加の情報を含み得る。例えば、追加の情報は、ドメイン名に関連付けられたｅＳＮＩサポート情報を含み得る。ＤＮＳ－ＱＵＥＲＹ－ＴＲＡＣＫＥＲ１２５は、ｅＳＮＩ暗号文に対応し得る平文ドメイン名の曖昧さを解消することを援助し得る。例えば、ｅＳＮＩゲートウェイアプリケーションは、ｅＳＮＩ暗号文を含むＣｌｉｅｎｔＨｅｌｌｏメッセージを含む伝送中パケットを処理し得る。アプリケーションは、ＥＤＣＬ－ＳＶＣ１２３に照会し、複数のドメイン名がｅＳＮＩ暗号文に対応し得ると判定し得る。複数のドメイン名のうちのどれがｅＳＮＩ暗号文に対応し得るかの曖昧さを解消するために、アプリケーションは、パケットのＬ３送信元ＩＰアドレスおよび／またはＬ３宛先ＩＰアドレスに対応するレコードをＤＮＳ－ＱＵＥＲＹ－ＴＲＡＣＫＥＲ１２５に照会し得る。照会にサービスするために、ＤＮＳ－ＱＵＥＲＹ－ＴＲＡＣＫＥＲ１２５は、パケットの送信元ＩＰアドレスがレコードの発信ホストＩＰアドレスとマッチし、かつ／またはパケットの宛先ＩＰアドレスがレコードの解読されたＩＰアドレスとマッチする、のいずれかである１またはそれ以上のレコードについて、ＤＮＳ－ＱＵＥＲＹ－ＴＲＡＣＫＥＲ１２５のデータ構造（例えば、テーブルおよび／またはデータベース）を探索し得る。任意のそのようなレコードが、アプリケーションに送信される照会応答に含まれ得る。次いで、アプリケーションは、最新のレコードからｅＳＮＩ暗号文に対応する平文ドメイン名を判定し得る。判定された平文ドメイン名に基づいて、アプリケーションは、パケットおよびドメイン名をフィルタリングおよび処理のためにＰＫＴ－ＦＩＬＴＥＲ１２２に送信し得る。
ＴＬＳ－ＭＩＴＭ－ＰＲＯＸＹ１２６（透過）プロキシシステムをｅＳＮＩゲートウェイアプリケーションによって使用して、パケットおよび／または関連付けられた通信のより深い検査を実行し得る。例えば、ＴＬＳ－ＭＩＴＭ－ＰＲＯＸＹ１２６は、ＴＬＳによってセキュリティ保護された通信を復号化し、ＴＬＳによってセキュリティ保護された通信の平文を調査し、ＴＬＳによってセキュリティ保護された通信を再暗号化し得る。アプリケーションは、この中間者手法を使用して、ＴＬＳによってセキュリティ保護された通信に関連付けられたｅＳＮＩ暗号文に対応する平文ドメイン名を判定し得る。例えば、アプリケーションは、暗号化されたホスト名（例えば、ｅＳＮＩ暗号文を含むＣｌｉｅｎｔＨｅｌｌｏメッセージ）を含む伝送中パケットを受信し得る。アプリケーションに関連付けられた平文ドメイン名と、ｅＳＮＩ暗号文と、の間に対応があるかどうかを判定するために、アプリケーションは、ＥＤＣＬ－ＳＶＣ１２３および／またはＤＮＳ－ＱＵＥＲＹ－ＴＲＡＣＫＥＲ１２５を呼び出し得る。ただし、ＥＤＣＬ－ＳＶＣ１２３および／またはＤＮＳ－ＱＵＥＲＹ－ＴＲＡＣＫＥＲ１２５は、暗号化されたホスト名（例えば、ドメイン名）に対応する平文ドメイン名を判定しない場合がある。いくつかの実施例では、ＥＤＣＬ－ＳＶＣ１２３および／またはＤＮＳ－ＱＵＥＲＹ－ＴＲＡＣＫＥＲ１２５は、ある程度の確実性内で平文ドメイン名を判定することができない場合がある。次いで、アプリケーションは、ＴＬＳによってセキュリティ保護された通信をＴＬＳ－ＭＩＴＭ－ＰＲＯＸＹ１２６に転送し得る。ＴＬＳ－ＭＩＴＭ－ＰＲＯＸＹ１２６は、ｅＳＮＩ暗号文に対応する平文ドメイン名を取得（例えば、判定）するために、ＴＬＳによってセキュリティ保護された通信を復号化し得る。以下でより詳細に説明するように、ＬＥアプリケーションおよびＰ３アプリケーションなどの１またはそれ以上のＥＳＮＩ－Ｇ／Ｗアプリケーションは、ＴＬＳ－ＭＩＴＭ－ＰＲＯＸＹ１２６を使用して、ＴＬＳによってセキュリティ保護された通信セッションの平文を獲得し得る。
図３は、ｅＳＮＩドメイン名対応リスト（ＥＤＣＬ）３００の代表的な実施例を示す。ＥＤＣＬデータ構造は、二次元テーブルとして表され得る。ＥＤＣＬ３００をｅＳＮＩゲートウェイ（例えば、ＥＳＮＩ－Ｇ／Ｗ１２０）によって使用して、暗号化されたホスト名（例えば、ｅＳＮＩ暗号文）が、ＣＴＩベースのネットワーク保護、法執行（ＬＥ）、プライバシー保護および保存（Ｐ３）などの、サイバーセキュリティアプリケーションに関連付けられたドメイン名のデータベース内の平文ドメイン名に対応するかどうかを判定し得る。暗号化されたホスト名（例えば、暗号化されたドメイン名）がデータベース内の１またはそれ以上の平文ドメイン名に対応するかどうかの判定は、ｅＳＮＩゲートウェイ（例えば、ＥＳＮＩ－Ｇ／Ｗ１２０）が、暗号化されたドメイン名（例えば、ｅＳＮＩ暗号文を有するＣｌｉｅｎｔＨｅｌｌｏメッセージ）を含む伝送中パケットをどのように処理するかについての要因であり得る。本明細書で考察されるように、ＥＤＣＬ３００は、ＣＴＩベースのネットワーク保護に関連付けられた１またはそれ以上のサイバーセキュリティアプリケーション、並びに法執行（ＬＥ）アプリケーションおよび／またはプライバシー保護および保存（Ｐ３）アプリケーションのような１またはそれ以上のアプリケーションとともに使用され得る。
ＥＤＣＬ３００は、複数の列を含み得る。「ＩＰ－アドレス」と標記された第１の列３０１は、テーブルの各行および／またはエントリにインデックス付けする１またはそれ以上の一意のＩＰアドレスを含み得る。第１の列３０１内の各ＩＰアドレスは、ｅＳＮＩをサポートするドメインに関連付けられているＣＴＩデータベース内の１またはそれ以上のドメイン名に対するＤＮＳレコード（例えば、インターネットＤＮＳ Ａ（ＩＰｖ４）またはＡＡＡＡ（ＩＰｖ６））に対応し得る。「ＣＴＩ－ＥＳＮＩ－ドメイン」と標記された第２の列３０２は、ｅＳＮＩをサポートするＣＴＩデータベース内のドメイン名を含み得る。第２の列３０２内の要素は、第１の列３０１内の対応するＩＰアドレスにおいてホストされるドメインの名称である。例えば、ＥＤＣＬ３００の（３１１，３０２）要素位置内のドメイン｛ｐｇｏｒｌｚｅｘ．ｃｎ，ｘ－ａｄｖｉｃｅ．ｏｎｌｎ，ｂｍｂ２７．ｃｏｍ｝は、（３１１，３０１）要素位置によって示されるように、ＩＰアドレス４０．０７．２５．１３においてホストされ得る。例えば、ＥＳＮＩ－Ｇ／Ｗ１２０が暗号化されたホスト名（例えば、ＣｌｉｅｎｔＨｅｌｌｏメッセージ内のｅＳＮＩ暗号文）を検出し、かつ関連付けられたパケットのＬ３宛先ＩＰアドレスが４０．０７．２５．１３である場合、ＥＤＣＬ３００は、平文ドメイン名｛ｐｇｏｒｌｚｅｘ．ｃｎ，ｘ－ａｄｖｉｃｅ．ｏｎｌｎ，ｂｍｂ２７．ｃｏｍ｝のうちの１つが暗号化されたホスト名（例えば、ｅＳＮＩ暗号文）に対応し得ることを示し得る。ｅＳＮＩ暗号文に対応し得るドメイン名を有する同じＩＰアドレス４０．０７．２５．１３においてホストされる追加のドメインがあり得る。ただし、それらのドメイン名は、ＣＴＩデータベース内にないか、またはｅＳＮＩをサポートしないかのいずれかであるため、要素（３１１，３０２）にリストされない場合がある。
ＥＤＣＬ３００内の残りの列は例示的あり、暗号化されたホスト名（例えば、ｅＳＮＩ暗号文を有するＣｌｉｅｎｔＨｅｌｌｏメッセージ）を含むパケットをどのように処理するかについての意思決定支援のためにＥＳＮＩ－Ｇ／Ｗ１２０によって使用され得る。「＃ＣＴＩ－ＥＳＮＩ－ドメイン」と標記された第３の列３０３は、第２の列３０２内のドメイン名「ＣＴＩ－ＥＳＮＩ－ドメイン」のカウントを含み得る。例えば、要素（３１１，３０２）において表される３つのドメイン名は、要素（３１１，３０３）を３と定義し得る。「＃ＣＴＩ－ドメイン」と標記された第４の列３０４は、第１の列３０１内の対応するＩＰアドレスにおいてホストされるＣＴＩデータベース内のドメイン名のカウントを含み得る。例えば、要素（３１３，３０４）は、１５であることができ、これは、ＣＴＩデータベース内の１５個のドメイン名がＩＰアドレス６２０３：７４００：３３４０：８６１８：４６ｅｆ（例えば、要素（３１３，３０１））においてホストされることを意味する。１５個のドメイン名がＩＰアドレス６２０３：７４００：３３４０：８６１８：４６ｅｆにおいてホストされ得るが、ＣＴＩデータベースには、ｅＳＮＩをサポートしないＩＰアドレス６２０３：７４００：３３４０：８６１８：４６ｅｆにおいてホストされる６つのドメインがある。このことを、要素（３１３、３０３）において示すことができ、これは、所与のＩＰアドレスにおけるｅＳＮＩをサポートするドメイン名の数を示し得る。「＃リバース－ＩＰ－ルックアップ－ドメイン」と標記された第５の列３０５は、リバースＩＰルックアップサービスに従ってＩＰアドレスによってホストされる全てのドメインのカウントを含み得る。いくつかの実施形態では、ＥＳＮＩ－Ｇ／Ｗ１２０が意思決定支援のために使用し得る追加の列がＥＤＣＬ３００内にあり得る。
行３１４に例示される実施例によって示されるように、ＥＳＮＩ－Ｇ／Ｗ１２０は、暗号化されたホスト名を有する通信（例えば、ｅＳＮＩ暗号文を有するＣｌｉｅｎｔＨｅｌｌｏメッセージ）を受信し得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、ネットワークアドレス（例えば、送信元ＩＰアドレス、宛先ＩＰアドレスなど）を使用して、受信されたｅＳＮＩ暗号文に対応する平文ドメイン名を高い確度で判定し得る。示されるように、ＥＳＮＩ－Ｇ／Ｗ１２０は、受信されたｅＳＮＩ暗号文に関連付けられた平文ドメインがｔｏｐｌｉｐｔｓ．ｃｏｍであると判定し得る。この点に関して、ＥＳＮＩ－Ｇ／Ｗ１２０は、ＩＰアドレス２２．７４．０２．１８を使用してＥＤＣＬ３００に照会して、ｅＳＮＩ暗号文に対応する平文ドメイン名を判定し得る。ＥＳＮＩ－Ｇ／Ｗ１２０ロジックは、＃ＣＴＩ－ＥＳＮＩ－ドメイン（３１４，３０３）＝１、かつ＃ＣＴＩ－ドメイン（３１４，３０４）＝１、かつ＃リバース－ＩＰ－ルックアップ－ドメイン（３１４，３０５）＝１であることから、（３１４、３０２）＝ｔｏｐｌｉｐｔｓ．ｃｏｍであり、受信された暗号化されたホスト名（例えば、ｅＳＮＩ暗号文）は、ｔｏｐｌｉｐｔｓ．ｃｏｍに対応すると決定し得る。
別の実施例では、ＥＳＮＩ－Ｇ／Ｗ１２０は、暗号化されたホスト名を有する通信（例えば、ｅＳＮＩ暗号文を有するＣｌｉｅｎｔＨｅｌｌｏメッセージ）を受信し得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、ネットワークアドレス（例えば、送信元ＩＰアドレス、宛先ＩＰアドレスなど）を使用して、暗号化されたホスト名に対応する平文ドメイン名を判定するために追加の方法が必要であり得ると判定し得る。行３１２によって例示される実施例に示されるように、ＥＳＮＩ－Ｇ／Ｗ１２０は、ＩＰアドレス１４．９９．６５．２２を使用してＥＤＣＬ３００に照会して、暗号化されたホスト名（例えば、ｅＳＮＩ暗号文）に対応する１またはそれ以上の平文ドメイン名を判定し得る。ＥＳＮＩ－Ｇ／Ｗ１２０ロジックは、＃ＣＴＩ－ＥＳＮＩ－ドメイン（３１２，３０３）＝５、かつ＃ＣＴＩ－ドメイン（３１２，３０４）＝５、かつ＃リバース－ＩＰ－ルックアップ－ドメイン（３１２，３０５）＝２０であることから、ＥＳＮＩ－Ｇ／Ｗ１２０は、ＩＰアドレス１４．９９．６５．２２においてホストされるドメインがｅＳＮＩをサポートすると判定し得る。追加的に、ＥＳＮＩ－Ｇ／Ｗ１２０は、ｅＳＮＩ暗号文に対応する平文ドメイン名がＣＴＩデータベース内にない可能性が高いと判定し得る。この点に関して、ＥＳＮＩ－Ｇ／Ｗ１２０は、暗号化されたホスト名（例えば、ｅＳＮＩ暗号文）に対応する平文ドメイン名を判定するための追加の方法を使用することを決定し得る。
行３１０に例示される実施例によって示されるように、ＥＳＮＩ－Ｇ／Ｗ１２０は、暗号化されたホスト名を有する通信（例えば、ｅＳＮＩ暗号文を有するＣｌｉｅｎｔＨｅｌｌｏメッセージ）を受信し得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、ネットワークアドレス（例えば、送信元ＩＰアドレス、宛先ＩＰアドレスなど）を使用して、通信が悪意のあるものであり得ると判定し得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、ＩＰアドレス１０２．２．１８．８１を使用してＥＤＣＬ３００に照会して、暗号化されたホスト名（例えば、ｅＳＮＩ暗号文）に関連付けられた１またはそれ以上の平文ドメイン名を判定し得る。ＥＳＮＩ－Ｇ／Ｗ１２０ロジックは、＃ＣＴＩ－ＥＳＮＩ－ドメイン（３１０，３０３）＝８、かつ＃ＣＴＩ－ドメイン（３１０，３０４）＝８、かつ＃リバース－ＩＰ－ルックアップ－ドメイン（３１０，３０５）＝０であることから、ＥＳＮＩ－Ｇ／Ｗ１２０は、インターネットの存在を混乱させるために対策およびアクションを取った悪意のあるアクタにＩＰアドレスが割り当てられたと判定し得る。この判定に基づいて、ＥＳＮＩ－Ｇ／Ｗ１２０は、通信が悪意のある可能性が最も高いと判定し得る。
行３１１に例示される実施例によって示されるように、ＥＳＮＩ－Ｇ／Ｗ１２０は、暗号化されたホスト名を有する通信（例えば、ｅＳＮＩ暗号文を有するＣｌｉｅｎｔＨｅｌｌｏメッセージ）を受信し得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、ネットワークアドレス（例えば、送信元ＩＰアドレス、宛先ＩＰアドレスなど）を使用して、通信が悪意のあるものであり得ると判定し得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、ＩＰアドレス４０．０７．２５．１３を使用してＥＤＣＬ３００に照会して、暗号化されたホスト名（例えば、ｅＳＮＩ暗号文）に関連付けられた１またはそれ以上の平文ドメイン名を判定し得る。ＥＳＮＩ－Ｇ／Ｗ１２０ロジックは、＃ＣＴＩ－ＥＳＮＩ－ドメイン（３１１，３０３）＝３、かつ＃ＣＴＩ－ドメイン（３１１，３０４）＝３、＃リバース－ＩＰ－ルックアップ－ドメイン（３１１，３０５）＝３であることから、ＥＳＮＩ－Ｇ／Ｗ１２０は、この通信が、ＩＰアドレスのクライアントを積極的に検閲または監視しないコンテンツ配信および／またはアドウェアサービスオペレータに割り当てられたＩＰアドレスに通信が向けられていると判定し得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、通信が悪意のある可能性が最も高いと判定し得る。
図４Ａおよび図４Ｂは、ＥＤＣＬを作成、配信、および維持するシステム（例えば、ＥＤＣＬ－ＳＹＳ１５２）のプロセス４００の一実施例を示す。いくつかの実施形態では、システム（例えば、ＥＤＣＬ－ＳＹＳ１５２）は、ＣＴＩデータベースおよび／または他のインテリジェンスデータベースから導出されるパケットフィルタリングルールのポリシーを作成、配信、および維持する、ＳＰＭＳ１５０と統合され得るか、またはＳＰＭＳ１５０のサブシステムを備え得る。ＣＴＩデータベースは、ドメイン名の形態の複数の脅威インジケータを含む複数の脅威インジケータを含み得る。追加的に、ＣＴＩデータベースは、例えば、新しい脅威インテリジェンスレポートおよび／または関連付けられたネットワーク脅威インジケータを生成するサイバー脅威インテリジェンスプロバイダ（例えば、ＣＴＩＰ１４０）によって、継続的に更新されてもよい。ＣＴＩによって導出されたポリシーおよびＥＤＣＬは、個々のｅＳＮＩゲートウェイによって作成および／または管理され得る。追加的もしくは代替的に、ＥＤＣＬおよび／またはＣＴＩによって導出されたセキュリティポリシーは、ＣＴＩＰなどの集中型サーバによって作成および／または管理されてもよい。
ステップ４０５において、システム（例えば、ＥＤＣＬ－ＳＹＳ１５２）は、ＳＰＭＳ１５０の現在のＣＴＩインジケータデータベース（例えば、ＣＴＩ－ＩＮＤＩＣＡＴＯＲ－ＤＢ）にアクセスし、現在のＣＴＩインジケータデータベース（例えば、ＣＴＩ－ＩＮＤＩＣＡＴＯＲ－ＤＢ）から完全修飾ドメイン名（ＦＱＤＮ）を抽出し、かつＦＱＤＮをデータベース（例えば、ＣＴＩ－ＦＱＤＮ－ＤＢ）に挿入することによって、データベース（例えば、ＣＴＩ－ＦＱＤＮ－ＤＢ）を作成する。ステップ４１０において、システムは、ＥＤＣＬを初期化することができ、ＥＤＣＬは、作成時間、ＳＰＭＳ識別情報、ＣＴＩ－ＩＮＤＩＣＡＴＯＲ－ＤＢおよびＣＴＩ－ＦＱＤＮ－ＤＢ識別可能情報などを含むメタデータに関連付けられ得る。ＥＤＣＬが初期化されると、システムは、ＥＤＣＬをポピュレートするために、ＣＴＩ－ＦＱＤＮ－ＤＢ内の各ＦＱＤＮを通るループプロセスまたは反復プロセスを開始し得る。
ステップ４１５において、システムは、ＤＮＳ（例えば、インターネットＤＮＳ１６０）に照会して、現在のＦＱＤＮがｅＳＮＩに関連付けられたリソースレコード（resource record、ＲＲ）を有するかどうかを判定し得る。ステップ４２０において、システムは、リソースレコードが、関連付けられたドメインがｅＳＮＩをサポートするかどうかを示すかどうかを判定し得る。リソースレコードが、関連付けられたドメインがｅＳＮＩをサポートしないことを示す場合には、プロセス４００は、ステップ４１５に戻って、ＣＴＩ－ＦＱＤＮ－ＤＢ内の次のエントリについてＤＮＳに照会する。ただし、リソースレコードが、関連付けられたドメインがｅＳＮＩをサポートすることを示す場合には、プロセス４００は、ステップ４２５に進み、その間に、システムは、ＦＱＤＮのドメインレコード（例えば、ｒｅｓｐ．ＡおよびＡＡＡＡレコード）についてＤＮＳに照会し得る。システムは、応答を受信し得る。応答は、ＦＱＤＮに関連付けられたＩＰｖ４ ＩＰアドレスおよび／またはＩＰｖ６ ＩＰアドレスを含み得る。いくつかの実施例では、ＦＱＤＮについてＡ（ＩＰｖ４）レコードおよびＡＡＡＡ（ＩＰｖ６）レコードの両方が存在する場合には、ドメイン名がＩＰｖ４ ＩＰアドレスおよびＩＰｖ６ ＩＰアドレスの両方を有する場合、ステップ４２５が繰り返され得る。
ステップ４３０において、システムは、ＩＰアドレスがＥＤＣＬ内に存在するかどうかを判定し得る。例えば、システムは、ＩＰアドレスによってインデックス付けされたレコード／行／エントリを探索し得る。エントリが存在しない場合、システムは、ステップ４３５においてＥＤＣＬ内に新しいレコードを作成する。エントリは、ＩＰアドレスによってインデックス付けされ得る。
ＩＰアドレスに対する新しいエントリを作成した後、またはエントリがすでに存在することを発見した後、システムは、ステップ４４０において、ＣＴＩ－ＥＳＮＩ－ドメイン３０２フィールド内のＦＱＤＮのリストにＦＱＤＮを付加し得る。ステップ４４５において、システムは、＃ＣＴＩ－ＥＳＮＩ－ドメイン３０３フィールドをインクリメントして、エントリに関連付けられた新しいＩＰアドレスを示し得る。ステップ４５０において、システムは、ＣＴＩ－ＦＱＤＮ－ＤＢ内に処理すべきＦＱＤＮがさらにあるかどうかを判定し得る。処理すべきＦＱＤＮがさらにある場合、プロセス４００は、ステップ４１５に戻って、ＣＴＩ－ＦＱＤＮ－ＤＢ内の次のＦＱＤＮを用いてプロセスを繰り返す。更なるＦＱＤＮが存在しない場合、プロセス４００は、ステップ４５５に進む。
ステップ４５５において、システムは、ＥＤＣＬ内の追加のフィールドおよび／または列をポピュレートし得る。追加のフィールドおよび／または列は、ＩＰアドレス３０１、ＣＴＩ－ＥＳＮＩ－ドメイン３０２、および＃ＣＴＩ－ＥＳＮＩ－ドメイン３０３に追加され得る。図３に関して上記で考察した一実施例を続けると、行３１３は、要素（３１３、３０１）内のＩＰアドレス６２０３：７４００：３３４０：８６１８：４６ｅｆによってインデックス付けされ得る。行３１３は、ＣＴＩデータベース内にあり、かつｅＳＮＩをサポートするドメインに関連付けられている、９つのドメイン名（要素（３１３，３０３）の値）を有し得る。要素（３１３，３０５）＝１５は、いくつかのリバース－ＩＰ－ルックアップサービスに従って、ＩＰアドレス６２０３：７４００：３３４０：８６１８：４６ｅｆにおいてホストされるドメインの数である。ステップ４６０において、システム（例えば、ＳＰＭＳ１５０）は、ＥＤＣＬを１またはそれ以上のＥＳＮＩ－Ｇ／Ｗ（例えば、ＥＳＮＩ－Ｇ／Ｗ１２０）に配信し得る。いくつかの実施例では、ＥＳＮＩ－Ｇ／Ｗは、ＥＤＣＬを受信するためのサブスクリプションを有し得る。プロセス４００は、ＥＤＣＬを変更し、修正し、改変し、または別様に更新するように繰り返され得る。
プロセス４００は、上述したものとは異なる順序および／または異なる組み合わせで実行されてもよい。ＣＴＩ、ｅＳＮＩサポート、および／またはドメイン名のＩＰアドレスへのマッピングの動態は、遅延および／または同期の問題を最小限に抑えるために、プロセス４００が頻繁に、またはさらには継続的に実行され得ることを示唆する。この点に関して、プロセス４００は、継続的な動的更新モデルを使用し得る。追加的もしくは代替的に、プロセス４００は、バッチ処理を使用して、ＥＤＣＬを更新してもよい。プロセス４００は、ＣＴＩベースのネットワーク保護のためのサイバーセキュリティアプリケーションに関して説明されたが、合法的傍受並びにプライバシー保護および保存アプリケーションなどの、他のアプリケーションが、プロセス４００を使用してＥＤＣＬまたはその均等物を更新し得ることが理解されよう。
図５は、ＣＴＩデータベースから導出された１またはそれ以上のパケットフィルタリングルールを含むポリシーを作成、配信、および維持するシステム（例えば、ＣＴＩ－ＰＯＬＩＣＹ－ＳＹＳ１５４）のプロセス５００の一実施例を示す。ＣＴＩベースのポリシーは、ネットワークバウンダリに位置し、いずれか一方の方向にバウンダリを横切る１またはそれ以上のパケットにポリシーを適用するパケットセキュリティゲートウェイ（ＰＳＧ）に配信され得る。ＰＳＧが、ＣＴＩ－ＰＯＬＩＣＹ－ＳＹＳ１５６によって作成されるポリシーなどのＣＴＩによって導出されたポリシーを用いて構成される場合には、ＰＳＧは、脅威インテリジェンスゲートウェイ（threat intelligence gateway、ＴＩＧ）として識別され得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、ＴＬＳによってセキュリティ保護された通信、またはｅＳＮＩを使用するＴＬＳによってセキュリティ保護された通信に関連付けられたパケットのみをフィルタリングするタスクを課されたＴＩＧのサブシステム、サブコンポーネント、またはサブ機能であり得る。ｅＳＮＩ暗号文に対応する平文ドメイン名に対してパケットをフィルタリングするためにＥＳＮＩ－Ｇ／Ｗ１２０によって使用され得るＰＫＴ－ＦＩＬＴＥＲ１２２を、ＴＩＧまたはＰＳＧによって使用して、１またはそれ以上の、ＣＴＩによって導出されたインジケータ（例えば、ＩＰアドレス、５つのタプル、ドメイン名、ＵＲＩなど）に基づいてパケットをフィルタリングし得る。ＣＴＩ－ＰＯＬＩＣＹ－ＳＹＳ１５４によって作成されたポリシーは、ＥＳＮＩ－Ｇ／Ｗ１２０、並びにＴＩＧおよび／またはＰＳＧなどのＥＳＮＩ－Ｇ／Ｗ１２０を統合するシステムによって、直接、共通、かつ同時に使用され得る。いくつかの実施例では、システム（例えば、ＣＴＩ－ＰＯＬＩＣＹ－ＳＹＳ１５４）は、ＣＴＩデータベースから導出されたポリシーを作成、配信、および／または維持するＳＰＭＳ１５０と統合され得るか、またはＳＰＭＳ１５０のサブシステムを備え得る。
ステップ５１０において、システムは、ＳＰＭＳ１５０の現在のＣＴＩインジケータデータベースＣＴＩ－ＩＮＤＩＣＡＴＯＲ－ＤＢにアクセスすることによって、ＣＴＩ－ＰＯＬＩＣＹ作成プロセスを開始し得る。システムは、他のアプリケーション（例えば、法執行、プライバシー保護および保存など）および他のアプリケーションに関連付けられたデータベースに適合されてもよいことが理解されるであろう。ＣＴＩ－ＰＯＬＩＣＹが初期化されると、システムは、ＣＴＩ－ＩＮＤＩＣＡＴＯＲ－ＤＢ内の各インジケータを通してループプロセスまたは反復プロセスを開始して、ＣＴＩ－ＰＯＬＩＣＹを作成し得る。
ステップ５２０において、システムは、現在のインジケータをマッチング基準として有するパケットフィルタリングルールを作成し得る。ステップ５３０において、システムは、ルールをＣＴＩ－ＰＯＬＩＣＹに挿入し得る。ＯｐｅｎＢＳＤ ＰＦシンタックスなどの典型的なパケットフィルタリングルールシンタックスの観点で、ルールは、少なくとも１つのアクションおよび少なくとも１つのパケットマッチング基準を指定し得る。アクションまたは処置は、パケット（例えば、伝送中のＬ２／Ｌ３パケット）をこのパケットの意図される宛先に許可すること（例えば、渡すこと、転送することなど）を含み得る。代替的に、アクションは、パケット（例えば、伝送中のＬ２／Ｌ３パケット）がこのパケットの意図される宛先に到達することをブロックすること（例えば、拒否すること、ドロップすることなど）を含み得る。パケットマッチング基準は、ＣＴＩインジケータ（例えば、ＩＰアドレス、５つのタプル、ホスト名／ＦＱＤＮ、ＵＲＩなど）に対応するＬ３、Ｌ４、および／またはアプリケーションレイヤパケットフィールド値を含み得る。ターゲットパケットフィルタリングデバイス（例えば、ＰＳＧ、ＴＩＧ、およびＥＳＮＩ－Ｇ／Ｗ）の能力および目的（例えば、ネットワークセキュリティ）に応じて、追加のルールコンポーネントが指定され得る。これらのルールコンポーネントは、パケット変換機能（ＰＴＦ）およびメタデータなどを含み得る。ＰＴＦは、ロギング、捕捉、ミラーリング、リダイレクト、トンネリングなどを含み得る。追加的もしくは代替的に、ＰＴＦは、プロキシ機能を含んでもよい。例えば、ＰＴＦ「ｔｃｐ－ｒｓｔ」は、送信元ホストにＴＣＰコネクションをドロップさせるＴＣＰ ＲＳＴパケットを作成し、送信元ホストに転送することによって、ＴＣＰパケットの宛先ホストを透過的に偽装し得る。メタデータを使用して、パケットフィルタリングデバイスおよび／またはゲートウェイのアプリケーションロジックに、パケットの内容から直接導出することができない、パケットに関連付けられたプロパティを通知し得る。メタデータは、例えば、インジケータの関連付けられたＣＴＩレポートから導出された情報、インジケータを供給したＣＴＩプロバイダ、インジケータに関連付けられた攻撃のタイプ、属性などを含み得る。
ステップ５４０において、システムは、ＣＴＩ－ＩＮＤＩＣＡＴＯＲ－ＤＢ内にインジケータがさらにあるかどうかを判定し得る。ＣＴＩ－ＩＮＤＩＣＡＴＯＲ－ＤＢ内にインジケータがさらにある場合、プロセスは、ステップ５２０に戻って、ＣＴＩ－ＩＮＤＩＣＡＴＯＲ－ＤＢ内の追加のインジケータを処理する。ＣＴＩ－ＩＮＤＩＣＡＴＯＲ－ＤＢ内に追加のインジケータがない場合、プロセス５００は、ステップ５５０に進み、システムは、ＣＴＩ－ＰＯＬＩＣＹ内のルールを編成し得る。追加的もしくは代替的に、システムは、制約を満たすために、および／またはＣＴＩ－ＰＯＬＩＣＹを伝送中パケットに適用するパケットフィルタリングアプリケーション（ＰＳＧ／ＴＩＧ／ＥＳＮＩ－Ｇ／Ｗによって実行される）のパフォーマンスを改善するために、ＣＴＩ－ＰＯＬＩＣＹ内のルールを符号化してもよい。例えば、重複するルールが除去されてもよく、ルールがマージされてもよく、かつ／または順序依存性が識別されてもよい。追加的に、ルールは、パケットフィルタリングアプリケーションによる高速探索をサポートするように、再順序付け並びに／またはグループ化および順序付けされてもよい。ステップ５５０は、ターゲットパケットフィルタリングデバイス／ゲートウェイによって実行され得る。いくつかの実施例では、ステップ５５０とステップ５３０とが組み合わされ得る。ステップ５６０において、システム（例えば、ＳＰＭＳ１５０）は、ＣＴＩ－ＰＯＬＩＣＹを１またはそれ以上の加入ＥＳＮＩ－Ｇ／Ｗ１２０に配信し得る。プロセス５００は、ＣＴＩ－ＰＯＬＩＣＹを変更し、修正し、改変し、または別様に更新するように繰り返され得る。
プロセス５００は、上述したものとは異なる順序および／または異なる組み合わせで実行されてもよい。ＣＴＩの動態は、遅延および／または同期の問題を最小限に抑えるために、プロセス５００が頻繁に、または継続的に実行されることを示唆する。この点に関して、プロセス５００は、継続的な動的更新モデルを使用し得る。追加的もしくは代替的に、プロセス５００は、バッチ処理を使用して、ＣＴＩ－ＰＯＬＩＣＹを更新してもよい。プロセス５００は、ＣＴＩベースのネットワーク保護のためのサイバーセキュリティアプリケーションの観点で説明されたが、合法的傍受並びにプライバシー保護および保存アプリケーションなどの、他のアプリケーションが、プロセス５００を使用して、ＣＴＩ－ＰＯＬＩＣＹまたはその均等物を更新し得ることが理解されよう。
図６は、ＤＮＳ－ＥＳＮＩセットデータ構造を作成、配信、および維持するシステム（例えば、ＤＮＳ－ＥＳＮＩ－ＳＹＳ１５６）のプロセス６００の一実施例を示す。いくつかの実施例では、ＤＮＳ－ＥＳＮＩ－ＳＹＳ１５６システムは、ＣＴＩデータベースから導出されたパケットフィルタリングルールのポリシーを作成、配信、および維持するＳＰＭＳ１５０と統合され得るか、またはＳＰＭＳ１５０のサブシステムを備え得る。ＤＮＳ－ＥＳＮＩセットデータ構造は、ｅＳＮＩをサポートするＤＮＳ登録されたドメイン名のためのエントリを含み得る。ＤＮＳ－ＥＳＮＩデータ構造は、インターネットＤＮＳに登録されたドメイン名が、ｅＳＮＩをサポートするドメインに関連付けられているかどうかを判定し得る。ＤＮＳ－ＥＳＮＩセットは、インターネットＤＮＳ内の登録されたドメイン名を含む動的データベースから、および登録されたドメイン名に関するｅＳＮＩサポートステータスについてＤＮＳに照会することから導出される動的ｅＳＮＩサポート情報から導出され得る。ＥＳＮＩ－Ｇ／Ｗは、ＤＮＳ－ＥＳＮＩを作成および／または維持し得る。追加的もしくは代替的に、例えば、ＳＰＭＳ（例えば、ＳＰＭＳ１５０）を介した集中型手法を採用して、ＤＮＳ－ＥＳＮＩを作成および／または管理し得る。
ＤＮＳ－ＥＳＮＩセットデータ構造は、Ｂｌｏｏｍフィルタ（Ｂ／Ｆ）、Ｃｕｃｋｏｏフィルタ（Ｃ／Ｆ）、および／または任意の好適なセットデータ構造であり得る。これらのタイプのフィルタは、データセットの要素を効率的に記憶し、要素をデータセットに挿入し、要素がセットのメンバであるかどうかを判定し得る。特に、Ｃｕｃｋｏｏフィルタは、セットからの要素の時間効率的な削除または除去をサポートし得る。ＢｌｏｏｍフィルタまたはＣｕｃｋｏｏフィルタのものと同様のプロパティを有する同様のセットデータ構造が使用されてもよいことが理解されよう。
ステップ６１０において、システム（例えば、ＤＮＳ－ＥＳＮＩ－ＳＹＳ１５６）は、ＤＮＳに登録されたドメイン名のリストを収集および／または集約することによって、データベース（例えば、ＤＮＳ－ＲＥＧ－ＤＢ）を生成し得る。これらのリストのソースとして、例えば、ＤＮＳレジストリオペレータ組織および／または関連付けられたデリゲートおよび／または権限のあるネームサーバによって発見されるゾーンファイル、ドメインリストアグリゲータサービス、国別コードドメイン（country code domain、ＣＣＤ）を発見するサードパーティサービス、ＩＣＡＮＮなどが挙げられる。ＤＮＳ登録されたドメイン名が取得される（例えば、判定される）と、システムは、ループプロセスまたは反復プロセスを開始して、ＤＮＳ－ＥＳＮＩを生成し得る。
ステップ６２０において、システムは、データベースＤＮＳ－ＲＥＧ－ＤＢ内の各ドメインについてのｅＳＮＩリソースレコード（ＲＲ）の存在についてＤＮＳ（例えば、インターネットＤＮＳ１６０）に照会し得る。ＲＲは、関連付けられたドメインがｅＳＮＩをサポートすることを示し得る。ステップ６３０において、システムは、ｅＳＮＩに関連付けられたＲＲが現在のドメイン名に対して存在するかどうかを判定し得る。ドメインがｅＳＮＩをサポートしないとシステムが判定した場合、プロセス６００は、ステップ６２０に戻り、データベースＤＮＳ－ＲＥＧ－ＤＢ内の次のドメイン名エントリについてＤＮＳに照会する。システムが、ドメインがｅＳＮＩをサポートすると判定した場合には、システムは、ステップ６４０において、ドメイン名をセットＤＮＳ－ＥＳＮＩに挿入し得る。ステップ６５０において、システムは、ＤＮＳ－ＲＥＧ－ＤＢ内に処理すべきドメイン名がさらにあるかどうかを判定し得る。ある場合、プロセス６００は、ステップ６２０に戻って、ＤＮＳ－ＲＥＧ－ＤＢ内の次のエントリを処理する。これ以上のドメイン名がない場合には、システムは、ステップ６６０に進み、システム（例えば、ＳＰＭＳ１５０）は、ＤＮＳ－ＥＳＮＩを１またはそれ以上の加入ＥＳＮＩ－Ｇ／Ｗ１２０に配信し得る。プロセス６００は、ＤＮＳ－ＥＳＮＩを変更し、修正し、改変し、または別様に更新するように繰り返され得る。
プロセス６００は、上述したものとは異なる順序および／または異なる組み合わせで実行されてもよい。ＤＮＳの動態およびｅＳＮＩは、遅延および／または同期の問題を最小限に抑えるために、プロセス６００が頻繁に、または継続的に実行され得ることを示す。この点に関して、プロセス６００は、継続的な動的更新モデルを使用し得る。いくつかの実施例では、ＥＳＮＩ－Ｇ／Ｗ（例えば、ＥＳＮＩ－Ｇ／Ｗ１２０）は、このＥＳＮＩ－Ｇ／Ｗが伝送中パケットに含まれるクリアテキストＳＮＩを観測すると、ｅＳＮＩサポートステータスについてＤＮＳに直接照会することによって、必要に応じてＤＮＳ－ＥＳＮＩに含まれる情報を判定し得る。
図７は、ＥＤＣＬ、ＣＴＩによって導出されたポリシー、および／またはＤＮＳ－ＥＳＮＩセットデータ構造を作成、配信、および維持するシステム（例えば、ＳＰＭＳ１５０）のプロセス７００の一実施例を示す。以下で説明される実施例は、ＣＴＩベースのネットワーク保護アプリケーションに関連するが、以下で説明されるシステムおよび方法は、ＳＰＭＳ１５０の動作および／または関連付けられたＥＳＮＩ－Ｇ／Ｗの動作に組み込まれ得ることが理解されよう。
ステップ７１０において、システム（例えば、ＳＰＭＳ１５０）は、複数のＣＴＩプロバイダ１４０からＣＴＩレポートを収集し、これらのレポートのデータベース（例えば、ＣＴＩ－ＲＥＰＯＲＴ－ＤＢ）を作成し得る。ＣＴＩレポートは、ＩＰアドレス、５つのタプル、ドメイン名、ＵＲＩなどの形態の１またはそれ以上のネットワーク脅威インジケータを含み得る。脅威インジケータは、脅威に関連付けられたネットワークホストおよび／またはリソース、並びに、脅威攻撃タイプ、属性などの、脅威に関連付けられた追加の情報を識別し得る。ＣＴＩレポートは、脅威であり得るドメイン名を示すネットワーク脅威インジケータを含み得る。
ステップ７２０において、システム（例えば、ＳＰＭＳ１５０）は、ＣＴＩ－ＲＥＰＯＲＴ－ＤＢ内のレポートからネットワーク脅威インジケータを抽出して、データベースＣＴＩ－ＩＮＤＩＣＡＴＯＲ－ＤＢを作成し得る。ＣＴＩ－ＩＮＤＩＣＡＴＯＲ－ＤＢは、例えば、ステップ４０５および５１０において上述した入力であり得る。ＣＴＩプロバイダは、新しいＣＴＩレポートを作成し、かつ／または既存のＣＴＩレポートを更新し得る。この点に関して、システム（例えば、ＳＰＭＳ１５０）は、ステップ７２０を完了した後にステップ７１０に戻り得る。
ステップ７２５において、システム（例えば、ＳＰＭＳ１５０）は、ＥＤＣＬ－ＳＹＳ１５２を動作させ得る。ステップ７３０において、システム（例えば、ＳＰＭＳ１５０）は、ＣＴＩ－ＰＯＬＩＣＹ－ＳＹＳ１５４を動作させ得る。ステップ７３５において、システム（例えば、ＳＰＭＳ１５０）は、ＤＮＳ－ＥＳＮＩ－ＳＹＳ１５６を動作させ得る。ステップ７２５、７３０、および／または７３５は、同時に動作し得る。ステップ７２５において、システムは、ＭＧＭＴ－Ｉ／Ｆ１２９を介して１またはそれ以上の加入ＥＳＮＩ－Ｇ／Ｗ１２０にＥＤＣＬ－ＳＹＳ１５２を配信し得る。ステップ７３０において、システムは、ＭＧＭＴ－Ｉ／Ｆ１２９を介して１またはそれ以上の加入ＥＳＮＩ－Ｇ／Ｗ１２０にＣＴＩ－ＰＯＬＩＣＹを配信し得る。ステップ７３５において、システムは、ＭＧＭＴ－Ｉ／Ｆ１２９を介して１またはそれ以上の加入ＥＳＮＩ－Ｇ／Ｗ１２０にＤＮＳ－ＥＳＮＩを配信し得る。１またはそれ以上の加入ＥＳＮＩ－Ｇ／Ｗの各々は、ＥＤＣＬ、ＣＴＩ－ＰＯＬＩＣＹ、およびＤＮＳ－ＥＳＮＩを受信し、データを（例えば、ＢＵＳ１２８を介して）ＥＤＣＬ－ＳＶＣ１２３、ＰＫＴ－ＦＩＬＴＥＲ１２２、およびＤＮＳ－ＥＳＮＩ－ＳＶＣ１２４にそれぞれ転送し得る。
図８Ａおよび図８Ｂは、１またはそれ以上のパケットフィルタリングポリシーおよびＥＤＣＬを用いてＥＳＮＩ－Ｇ／Ｗ１２０を構成し、かつ１またはそれ以上のパケットフィルタリングポリシーと１またはそれ以上のＣＴＩインジケータから導出されたＥＤＣＬとに基づいてネットワーク脅威保護アプリケーションを実行するためのプロセスの一実施例を示す。
ステップ８０５において、ＳＰＭＳ１５０は、ＣＴＩによって導出されたパケットフィルタリングポリシー（例えば、ＣＴＩ－ＰＯＬＩＣＹ）と、関連付けられたＣＴＩによって導出されたＥＤＣＬと、のうちの少なくとも１つをＥＳＮＩ－Ｇ／Ｗ１２０に配信し得る。ＳＰＭＳ１５０はまた、ＤＮＳ－ＥＳＮＩをＥＳＮＩ－Ｇ／Ｗ１２０に配信してもよい。ＣＴＩによって導出されたパケットフィルタリングポリシー（例えば、ＣＴＩ－ＰＯＬＩＣＹ）、関連付けられたＣＴＩによって導出されたＥＤＣＬ、および／またはＤＮＳ－ＥＳＮＩ、のうちの少なくとも１つに基づいて、ＥＳＮＩ－Ｇ／Ｗ１２０は、ＥＳＮＩ－Ｇ／Ｗ１２０のＰＫＴ－ＦＩＬＴＥＲ１２２、ＥＤＣＬ－ＳＶＣ１２３、および／またはＤＮＳ－ＥＳＮＩ－ＳＶＣ１２４を構成し得る。
ステップ８１０において、ＨＯＳＴ－１ １１０上で実行されているウェブブラウザのユーザは、サイトＳＲＶＲ－０ １３０にアクセスすることを試行し得る。ＳＲＶＲ－０ １３０は、ｅＳＮＩをサポートするドメイン（例えば、ｗｗｗ．ｌｅｇｉｔｉｍａｔｅ－ｎｏｎ－ＣＴＩ－ｓｉｔｅ．ｎｅｔ）をホストし得る。すなわち、ドメインのＤＮＳエントリは、公開暗号鍵を含み得る。ユーザは、ブラウザウィンドウにドメインをＵＲＩ（例えば、ｈｔｔｐｓ：／／ｗｗｗ．ｌｅｇｉｔｉｍａｔｅ－ｎｏｎ－ＣＴＩ－ｓｉｔｅ．ｎｅｔ／）の一部として入力し得る。ブラウザは、ドメインのＩＰアドレス（例えば、ｗｗｗ．ｌｅｇｉｔｉｍａｔｅ－ｎｏｎ－ＣＴＩ－ｓｉｔｅ．ｎｅｔ）についてＤＮＳ１６０に照会し得る。照会に応答して、ブラウザは、ＩＰアドレス（例えば、８７．６５．４３．２１）および公開暗号鍵（例えば、ＳＩＴＥ－０－ＫＥＹ）を受信し得る。いくつかの実施例では、ＤＮＳ照会は、ＤＮＳ－ＱＵＥＲＹ－ＴＲＡＣＫＥＲ１２５インスタンス（図示せず）によって捕捉され得る。ＩＰアドレスおよび公開暗号鍵を受信した後、ブラウザは、８７．６５．４３．２１のポート４４３（ＨＴＴＰＳ）とのＴＣＰコネクションを確立し得る。ＴＬＳによってセキュリティ保護されたセッションを確立するために、ブラウザは、ＣｌｉｅｎｔＨｅｌｌｏメッセージを生成し、ＳＩＴＥ－０－ＫＥＹのキーを使用してメッセージのドメイン名および／または他の部分を暗号化し、メッセージをＴＣＰパケットおよび（Ｌ３／ＩＰ）宛先ＩＰアドレスフィールドが８７．６５．４３．２１に設定されたＩＰパケットＰＫＴ－０にカプセル化し、パケットＰＫＴ－０をＳＲＶＲ－０ １３０に向けて転送し得る。
ステップ８１５において、ＥＳＮＩ－Ｇ／Ｗ１２０は、パケットＰＫＴ－０を傍受し得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、ＣｌｉｅｎｔＨｅｌｌｏメッセージを調査し、メッセージが暗号化されたホスト名（例えば、ｅＳＮＩ暗号文）を含むと判定し得る。暗号化されたホスト名（例えば、暗号化されたドメイン名）を検出することに応答して、ＥＳＮＩ－Ｇ／Ｗ１２０は、ＰＫＴ－０から（Ｌ３／ＩＰ）宛先ＩＰアドレス（例えば、８７．６５．４３．２１）を抽出し、ＥＤＣＬ－ＳＶＣ１２３に照会することによって、８７．６５．４３．２１によってインデックス付けされたエントリについてＥＤＣＬを探索し得る。探索が結果を返さない場合、ＥＳＮＩ－Ｇ／Ｗ１２０は、平文ドメイン名（例えば、ｗｗｗ．ｌｅｇｉｔｉｍａｔｅ－ｎｏｎ－ＣＴＩ－ｓｉｔｅ．ｎｅｔ）が、関連付けられたポリシーＣＴＩ－ＰＯＬＩＣＹ内のいずれのドメイン名脅威インジケータにも関連付けられていないと判定し得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、ＥＳＮＩ－Ｇ／Ｗ１２０が暗号化されたホスト名（例えば、暗号化されたドメイン名）に対応する平文ドメイン名を知らなくても、この判定を行い得る。ステップ８１５の終結時に、ＥＳＮＩ－Ｇ／Ｗ１２０は、ＰＫＴ－０がＰＫＴ－０の宛先８７．６５．４３．２１（ＳＲＶＲ－０ １３０）に向かって進むことを許可し得る。ステップ８２０において、ＨＯＳＴ－１ １１０とＳＲＶＲ－０ １３０との間のＴＬＳトンネルを確立することができ、（ＴＬＳによってセキュリティ保護された）ＨＴＴＰセッション（例えば、ＨＴＴＰＳ）が行われる。ＨＴＴＰセッションが完了すると、ＴＬＳトンネルおよびＴＣＰコネクションがテアダウンされ得る。
ステップ８２５において、ＨＯＳＴ－１ １１０上で実行されているウェブブラウザのユーザは、サイトＳＲＶＲ－１ １３１にアクセスすることを試行し得る。ＳＲＶＲ－１ １３１は、ｅＳＮＩをサポートする第２のドメイン（例えば、ｔｏｐｌｉｐｔｓ．ｃｏｍ）をホストし得る。上記で考察したように、第２のドメインのＤＮＳエントリは、第２のドメイン名の第２の公開暗号鍵を含み得る。ユーザは、ブラウザウィンドウに第２のドメインをＵＲＩ（例えば、ｈｔｔｐｓ：／／ｔｏｐｌｉｐｔｓ．ｃｏｍ／）の一部として入力し得る。ブラウザは、第２のドメイン（例えば、ｔｏｐｌｉｐｔｓ．ｃｏｍ）のＩＰアドレスについてＤＮＳ１６０に照会し得る。照会に応答して、ブラウザは、第２のＩＰアドレス（例えば、２２．７４．０２．１８）および第２の公開暗号鍵（例えば、ＳＩＴＥ－１－ＫＥＹ）を受信し得る。上記の第１の照会と同様に、ＤＮＳ照会は、ＤＮＳ－ＱＵＥＲＹ－ＴＲＡＣＫＥＲ１２５インスタンス（図示せず）によって捕捉され得る。第２のＩＰアドレスおよび第２の公開暗号鍵を受信した後、ブラウザは、第２のＩＰアドレス（例えば、２２．７４．０２．１８）のポート４４３（ＨＴＴＰＳ）とのＴＣＰコネクションを確立し得る。ＴＬＳによってセキュリティ保護されたセッションを確立するために、ブラウザは、ＣｌｉｅｎｔＨｅｌｌｏメッセージを生成し、第２の公開暗号鍵（例えば、ＳＩＴＥ－１－ＫＥＹ）を使用して、第２のドメイン名（例えば、ｔｏｐｌｉｐｔｓ．ｃｏｍ）、および／またはメッセージの１またはそれ以上の部分を暗号化し、（Ｌ３／ＩＰ）宛先ＩＰアドレスフィールドが第２のＩＰアドレス（例えば、２２．７４．０２．１８）に設定されたＴＣＰパケットおよびＩＰパケットＰＫＴ－１にメッセージをカプセル化し、パケットＰＫＴ－１をＳＲＶＲ－１ １３１に向けて転送し得る。
ステップ８３０において、ＥＳＮＩ－Ｇ／Ｗ１２０は、パケットＰＫＴ－１を傍受し得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、ＣｌｉｅｎｔＨｅｌｌｏメッセージを調査し、メッセージがｅＳＮＩ暗号文を含むと判定し得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、（Ｌ３／ＩＰ）宛先ＩＰアドレス（例えば、２２．７４．０２．１８）を抽出し、ＥＤＣＬ－ＳＶＣ１２３に照会することによって、２２．７４．０２．１８によってインデックス付けされたエントリについてＥＤＣＬを探索し得る。探索は、ＥＤＣＬからエントリを返し得る。例えば、探索は、図３に関して上記で考察したＥＤＣＬ３００から行３１４を返し得る。エントリの内容を調査した後、ＥＳＮＩ－Ｇ／Ｗ１２０は、ｅＳＮＩ暗号文が平文ドメイン名ｔｏｐｌｉｐｔｓ．ｃｏｍに対応すると判定し得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、ＰＫＴ－ＦＩＬＴＥＲ１２２システムを呼び出し得る。上記で考察したように、ＰＫＴ－ＦＩＬＴＥＲ１２２は、ステップ８０５においてＣＴＩ－ＰＯＬＩＣＹを用いて構成され得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、基準「ｔｏｐｌｉｐｔｓ．ｃｏｍ」にマッチするＣＴＩ－ＰＯＬＩＣＹ内のパケットフィルタリングルールを探索し得る。この実施例によれば、マッチパケット（ＰＫＴ－１）を処理するための（ネットワーク保護）「ブロック」アクションを有するマッチルールを見つけ得る。追加的もしくは代替的に、マッチルールは、パケット変換機能（ＰＴＦ）「ｔｃｐ－ｒｓｔ」を含み得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、ＳＲＶＲ－１ １３１を偽装するか、または透過プロキシとなることができ、（致命的な）アラートコード（例えば、コード４０「ハンドシェイク失敗」）を有するＴＬＳアラートプロトコルメッセージをＨＯＳＴ－１ １１０に送信することができ、このことが、ＨＯＳＴ－１ １１０に、ＴＬＳセッションを閉じさせる。ＴＣＰ ＲＳＴが、ＨＯＳＴ－１ １１０にＴＣＰコネクションをテアダウンさせ得る。代替的に、ＥＳＮＩ－Ｇ／Ｗ１２０は、ＴＣＰ ＲＳＴを送信してもよく、これにより、シグナリングなしにＴＬＳセッションが閉じられる。この点に関して、ＥＳＮＩ－Ｇ／Ｗ１２０は、危殆化されている場合があるいかなるデータおよび／または情報もＨＯＳＴ－１ １１０に提供したくない場合がある。
ステップ８３５において、ＨＯＳＴ－１ １１０上で実行されているウェブブラウザのユーザは、サイトＳＲＶＲ－２ １３２にアクセスすることを試行し得る。ＳＲＶＲ－２ １３２は、ｅＳＮＩをサポートする第３のドメイン名（例えば、ｋｏｔｔｏｑｕｉ．ｇａ）をホストし得る。すなわち、第３のドメイン名のＤＮＳエントリは、公開暗号鍵を含み得る。ユーザは、ブラウザウィンドウに第３のドメイン名をＵＲＩ（例えば、ｈｔｔｐｓ：／／ｋｏｔｔｏｑｕｉ．ｇａ／）の一部として入力し得る。ＨＯＳＴ－１ １１０上のブラウザは、第３のドメイン名（例えば、ｋｏｔｔｏｑｕｉ．ｇａ）の第３のＩＰアドレス（例えば、１０２．２．１８．８１）および第３の公開暗号鍵（例えば、ＳＩＴＥ－２－ＫＥＹ）についてＤＮＳ１６０に照会し得る。上述したように、ＤＮＳ照会は、ＤＮＳ－ＱＵＥＲＹ－ＴＲＡＣＫＥＲ１２５（図示せず）によって捕捉され得る。第３のＩＰアドレスおよび第３の公開暗号鍵を受信した後、ブラウザは、１０２．２．１８．８１のポート４４３（ＨＴＴＰＳ）とのＴＣＰコネクションを確立し得る。ＴＬＳによってセキュリティ保護されたセッションを確立するために、ブラウザは、ＣｌｉｅｎｔＨｅｌｌｏメッセージを生成し、第３のドメイン名（例えば、ｋｏｔｔｏｑｕｉ．ｇａ）、および／または第３の公開暗号鍵（例えば、ＳＩＴＥ－２－ＫＥＹ）を使用してメッセージの１またはそれ以上の他の部分を暗号化し、メッセージをＴＣＰパケットおよび（Ｌ３／ＩＰ）宛先ＩＰアドレスフィールドが１０２．２．１８．８１に設定されたＩＰパケットＰＫＴ－２にカプセル化し、パケットＰＫＴ－２をＳＲＶＲ－２ １３２に向けて転送し得る。
ステップ８４０において、ＥＳＮＩ－Ｇ／Ｗ１２０は、パケットＰＫＴ－２を傍受し得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、ＣｌｉｅｎｔＨｅｌｌｏメッセージを調査し、メッセージが暗号化されたホスト名（例えば、ｅＳＮＩ暗号文）を含むと判定し得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、（Ｌ３／ＩＰ）宛先ＩＰアドレス（例えば、１０２．２．１８．８１）を抽出し、ＥＤＣＬ－ＳＶＣ１２３に照会することによって、１０２．２．１８．８１によってインデックス付けされたエントリについてＥＤＣＬを探索し得る。探索は、ＥＤＣＬからエントリを返し得る。例えば、探索は、図３に関して上記で考察したＥＤＣＬ３００から行３１０を返し得る。エントリの内容を調査した後、ＥＳＮＩ－Ｇ／Ｗ１２０は、ｅＳＮＩ暗号文に対応する平文ドメイン名をＥＤＣＬから判定することができないと判定し得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、ＩＰアドレス１０２．２．１８．８１においてホストされる全てのドメインが、ＣＴＩインジケータデータベースおよび関連付けられたＣＴＩ－ＰＯＬＩＣＹ内にあり、ｅＳＮＩをサポートするドメイン名を有すると判定し得る。ＥＤＣＬ３００の要素｛行３１０，列３０２｝内の８つのドメイン名のいずれかは、ｅＳＮＩ暗号文に対応する平文ドメイン名であり得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、８つのドメイン名のうちのいずれか１つを可能性のある通信相手として選択し、次いで、進み得る。追加的もしくは代替的に、ＥＳＮＩ－Ｇ／Ｗ１２０は、ＤＮＳ－ＱＵＥＲＹ－ＴＲＡＣＫＥＲ１２５が、通信相手を判定し得るエントリを有するかどうかをチェックし得る。この実施例では、ＥＳＮＩ－Ｇ／Ｗ１２０は、ＤＮＳ－ＱＵＥＲＹ－ＴＲＡＣＫＥＲ１２５をチェックして、第３のドメイン名（例えば、ｋｏｔｔｏｑｕｉ．ｇａ）が通信相手である可能性が高いと判定し得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、ステップ８０５においてＣＴＩ－ＰＯＬＩＣＹを用いて構成されたＰＫＴ－ＦＩＬＴＥＲ１２２システムを呼び出して、マッチング基準「ｋｏｔｔｏｑｕｉ．ｇａ」を用いてＣＴＩ－ＰＯＬＩＣＹ内のパケットフィルタリングルールを探索し得る。マッチパケット（ＰＫＴ－２）を処理するための（ネットワーク保護）「ブロック」アクションと、パケット変換機能（ＰＴＦ）「ｔｃｐ－ｒｓｔ」と、を有するマッチルールを見つけ得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、ＳＲＶＲ－２ １３２を偽装し得るか、または透過プロキシとなり得る。追加的もしくは代替的に、ＥＳＮＩ－Ｇ／Ｗ１２０は、（致命的な）アラートコード（例えば、コード４０「ハンドシェイク失敗」）を有するＴＬＳアラートプロトコルメッセージをＨＯＳＴ－１ １１０に送信してもよい。ＴＬＳアラートプロトコルメッセージは、ＨＯＳＴ－１ １１０にＴＬＳセッションを閉じさせ得る。追加的もしくは代替的に、ＥＳＮＩ－Ｇ／Ｗ１２０は、ＨＯＳＴ－１ １１０にＴＣＰコネクションをテアダウンさせるＴＣＰ ＲＳＴを送信してもよい。
図８Ｂを参照すると、ＨＯＳＴ－１ １１０上で実行されているウェブブラウザのユーザは、ステップ８４５においてサイトＳＲＶＲ－３ １３３にアクセスすることを試行し得る。ＳＲＶＲ－３ １３３は、ｅＳＮＩをサポートする第４のドメイン名（例えば、ｃａｋｂａｃｏｎ．ｃｎ）をホストし得る。上記の実施例と同様に、第４のドメイン名のＤＮＳエントリは、公開暗号鍵を含み得る。ユーザは、ブラウザウィンドウに第４のドメイン名をＵＲＩ（例えば、ｈｔｔｐｓ：／／ｃａｋｂａｃｏｎ．ｃｎ／）の一部として入力し得る。ブラウザは、第４のＩＰアドレス（例えば、１４．９９．６５．２２）および第４の公開暗号鍵（例えば、ＳＩＴＥ－３－ＫＥＹ）についてＤＮＳ１６０に照会し得る。ＤＮＳ照会は、ＤＮＳ－ＱＵＥＲＹ－ＴＲＡＣＫＥＲ１２５インスタンス（図示せず）によって捕捉され得る。ブラウザは、１４．９９．６５．２２のポート４４３（ＨＴＴＰＳ）とのＴＣＰコネクションを確立し得る。ＴＬＳによってセキュリティ保護されたセッションを確立するために、ブラウザは、ＣｌｉｅｎｔＨｅｌｌｏメッセージを生成し、第４のドメイン名（例えば、ｃａｋｂａｃｏｎ．ｃｎ）、および／または第４の公開暗号鍵（例えば、ＳＩＴＥ－３－ＫＥＹ）を使用してメッセージの１またはそれ以上の部分を暗号化し、メッセージをＴＣＰパケットと（Ｌ３／ＩＰ）宛先ＩＰアドレスフィールドが１４．９９．６５．２２に設定されたＩＰパケットＰＫＴ－３とにカプセル化し、パケットＰＫＴ－３をＳＲＶＲ－３ １３３に向けて転送し得る。
ステップ８５０において、ＥＳＮＩ－Ｇ／Ｗ１２０は、パケットＰＫＴ－３を傍受し、ＣｌｉｅｎｔＨｅｌｌｏメッセージを調査し得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、メッセージが暗号化されたホスト名（例えば、ｅＳＮＩ暗号文）を含むと判定し得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、（Ｌ３／ＩＰ）宛先ＩＰアドレス１４．９９．６５．２２を抽出し、ＥＤＣＬ－ＳＶＣ１２３に照会することによって、１４．９９．６５．２２によってインデックス付けされたエントリについてＥＤＣＬを探索し得る。探索は、図３で上述したＥＤＣＬ３００内の行３１２などのエントリを返し得る。行３１２の内容を調査した後、ＥＳＮＩ－Ｇ／Ｗ１２０は、暗号化されたホスト名（例えば、ｅＳＮＩ暗号文）に対応する平文ドメイン名をＥＤＣＬから判定することができないと判定し得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、ＣＴＩ内にない１４．９９．６５．２２上でホストされる１またはそれ以上のドメインがあると判定し得る。追加的もしくは代替的に、ＥＳＮＩ－Ｇ／Ｗ１２０は、暗号化されたホスト名（例えば、ｅＳＮＩ暗号文）に対応する平文ドメイン名を解読して、通信に関連付けられたポリシーを適正に施行するべきであると判定してもよい。ＥＳＮＩ－Ｇ／Ｗ１２０は、ＳＲＶＲ－３ １３３を偽装し得るか、または透過プロキシとなり得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、ＴＬＳメッセージをＨＯＳＴ－１ １１０に送信し得る。ＴＬＳメッセージは、ＨＯＳＴ－１ １１０に、ＳＮＩを暗号化しないＣｌｉｅｎｔＨｅｌｌｏを発行させ得る。ＴＬＳメッセージは、（致命的な）アラートコード（例えば、コード７０「プロトコルバージョン」）を有するＴＬＳアラートプロトコルメッセージを含み得る。ＴＬＳアラートプロトコルメッセージはまた、ＨＯＳＴ－１ １１０に、暗号化されたＳＮＩをサポートしないＴＬＳ１．２などのＴＬＳバージョンを使用させてもよい。追加的もしくは代替的に、ＥＳＮＩ－Ｇ／Ｗ１２０は、ＨＯＳＴ－１ １１０に暗号化されたＳＮＩオプションを使用させないＴＬＳメッセージを送信してもよい。
ステップ８６０において、ＨＯＳＴ－１ １１０上のブラウザは、ＳＮＩ拡張フィールドが（平文）ｃａｋｂａｃｏｎ．ｃｎに設定されたＣｌｉｅｎｔＨｅｌｌｏメッセージを生成し、メッセージをＴＣＰパケットと（Ｌ３／ＩＰ）宛先ＩＰアドレスフィールドが１４．９９．６５．２２に設定されたＩＰパケットＰＫＴ－３．１とにカプセル化し、パケットＰＫＴ－３．１をＳＲＶＲ－３ １３３に向けて転送し得る。ステップ８６５において、ＥＳＮＩ－Ｇ／Ｗ１２０は、パケットＰＫＴ－３．１を傍受し、ＣｌｉｅｎｔＨｅｌｌｏメッセージを調査し得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、メッセージがクリアテキストＳＮＩ値ｃａｋｂａｃｏｎ．ｃｎを含むと判定し得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、ステップ８０５においてＣＴＩ－ＰＯＬＩＣＹを用いて構成されたＰＫＴ－ＦＩＬＴＥＲ１２２システムを呼び出して、マッチング基準「ｃａｋｂａｃｏｎ．ｃｎ」を用いてＣＴＩ－ＰＯＬＩＣＹ内のパケットフィルタリングルールを探索し得る。この実施例によれば、マッチパケット（ＰＫＴ－３．１）を処理するための（ネットワーク保護）「ブロック」アクションと、パケット変換機能（ＰＴＦ）「ｔｃｐ－ｒｓｔ」と、を有するマッチルールを見つけ得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、ＳＲＶＲ－３ １３３を偽装するか、または透過プロキシとなることができ、（致命的な）アラートコード（例えば、コード４０「ハンドシェイク失敗」）を有するＴＬＳアラートプロトコルメッセージをＨＯＳＴ－１ １１０に送信し得る。ＴＬＳアラートプロトコルメッセージは、ＨＯＳＴ－１ １１０にＴＬＳセッションを閉じさせ得る。追加的もしくは代替的に、ＥＳＮＩ－Ｇ／Ｗ１２０は、ＨＯＳＴ－１ １１０にＴＣＰコネクションをテアダウンさせるＴＣＰ ＲＳＴをＨＯＳＴ－１ １１０に送信してもよい。
ステップ８７０において、ＨＯＳＴ－１ １１０上で実行されているウェブブラウザのユーザは、サイトＳＲＶＲ－４ １３４にアクセスすることを試行し得る。ＳＲＶＲ－４ １３４は、ｅＳＮＩをサポートする第５のドメイン名（例えば、ｎｏｔ－ａ－ＣＴＩ－ｔｈｒｅａｔ－ｓｉｔｅ．ｎｅｔ）をホストし得る。先の考察と同様に、ＤＮＳエントリは、第５の公開暗号鍵を含み得る。第５のドメイン名は、ＣＴＩデータベースおよび／または関連付けられたＣＴＩ－ＰＯＬＩＣＹにリストされなくてもよい。ユーザは、ブラウザウィンドウに第５のドメイン名をＵＲＩ（例えば、ｈｔｔｐｓ：／／ｎｏｔ－ａ－ＣＴＩ－ｔｈｒｅａｔ－ｓｉｔｅ．ｎｅｔ／）の一部として入力し得る。ＨＯＳＴ－１ １１０上のブラウザは、第５のドメイン名（例えば、ｎｏｔ－ａ－ＣＴＩ－ｔｈｒｅａｔ－ｓｉｔｅ．ｎｅｔ）のＩＰアドレス（例えば、１４．９９．６５．２２）および第５の公開暗号鍵（例えば、ＳＩＴＥ－４－ＫＥＹ）についてＤＮＳ１６０に照会し得る。ＤＮＳ１６０は、図３に示されるＥＤＣＬ３００から行３１２などのエントリを返し得る。ＤＮＳ照会は、ＤＮＳ－ＱＵＥＲＹ－ＴＲＡＣＫＥＲ１２５インスタンス（図示せず）によって捕捉され得る。ＤＮＳ照会に対する応答を受信した後、ＨＯＳＴ－１ １１０上のブラウザは、１４．９９．６５．２２のポート４４３（ＨＴＴＰＳ）とのＴＣＰコネクションを確立し得る。ＴＬＳによってセキュリティ保護されたセッションを確立するために、ブラウザは、ＣｌｉｅｎｔＨｅｌｌｏメッセージを生成し、ドメイン名（例えば、ｎｏｔ－ａ－ＣＴＩ－ｔｈｒｅａｔ－ｓｉｔｅ．ｎｅｔ）、および／または第５の公開暗号鍵（例えば、ＳＩＴＥ－４－ＫＥＹ）を使用してメッセージの１またはそれ以上の追加の部分を暗号化し、メッセージをＴＣＰパケットおよび（Ｌ３／ＩＰ）宛先ＩＰアドレスフィールドが１４．９９．６５．２２に設定されたＩＰパケットＰＫＴ－４にカプセル化し、パケットＰＫＴ－４をＳＲＶＲ－４ １３４に向けて転送し得る。
ステップ８７５において、ＥＳＮＩ－Ｇ／Ｗ１２０は、パケットＰＫＴ－４を傍受し得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、ＣｌｉｅｎｔＨｅｌｌｏメッセージを調査し、メッセージが暗号化されたホスト名（例えば、ｅＳＮＩ暗号文）を含むと判定し得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、（Ｌ３／ＩＰ）宛先ＩＰアドレス１４．９９．６５．２２を抽出し、１４．９９．６５．２２によってインデックス付けされたエントリについてＥＤＣＬを探索し得る。ＥＤＣＬを探索することは、ＩＰアドレス１４．９９．６５．２２を使用してＥＤＣＬ－ＳＶＣ１２３に照会することを含み得る。探索は、ＥＤＣＬからエントリを返し得る。エントリは、図３に関して上記で考察したＥＤＣＬ３００の行３１２であり得る。行３１２の内容を調査した後、ＥＳＮＩ－Ｇ／Ｗ１２０は、ｅＳＮＩ暗号文に対応する平文ドメイン名をＥＤＣＬから判定することができないと判定し得る。追加的もしくは代替的に、ＥＳＮＩ－Ｇ／Ｗ１２０は、ＣＴＩ内にない１４．９９．６５．２２上でホストされる複数のドメインがあると判定してもよい。ＥＳＮＩ－Ｇ／Ｗ１２０は、暗号化されたホスト名（例えば、ｅＳＮＩ暗号文）に対応する平文ドメイン名を解読して、通信に関連付けられた１またはそれ以上のポリシーを適正に施行するべきであると判定してもよい。ＥＳＮＩ－Ｇ／Ｗ１２０は、ＳＲＶＲ－４ １３４を偽装するか、または透過プロキシとなり、ＳＮＩを暗号化しないＣｌｉｅｎｔＨｅｌｌｏをＨＯＳＴ－１ １１０に発行させ得るＴＬＳメッセージをＨＯＳＴ－１ １１０に送信し得る。例えば、ＥＳＮＩ－Ｇ／Ｗ１２０は、（致命的な）アラートコード（例えば、コード７０「ハンドシェイク失敗」）を有するＴＬＳアラートプロトコルメッセージをＨＯＳＴ－１ １１０に送信し得る。ＴＬＳアラートメッセージは、ＨＯＳＴ－１ １１０に、暗号化されたＳＮＩをサポートしないＴＬＳバージョン（例えば、ＴＬＳ１．２）を使用させ得る。追加的もしくは代替的に、ＥＳＮＩ－Ｇ／Ｗ１２０は、ＨＯＳＴ－１ １１０に暗号化されたＳＮＩオプションを使用させないＴＬＳメッセージをＨＯＳＴ－１ １１０に送信してもよい。
ステップ８８０において、ＨＯＳＴ－１ １１０上のブラウザは、ＳＮＩ拡張フィールドが（平文）ｎｏｔ－ａ－ＣＴＩ－ｔｈｒｅａｔ－ｓｉｔｅ．ｎｅｔに設定されたＣｌｉｅｎｔＨｅｌｌｏメッセージを生成し、メッセージをＴＣＰパケットおよび（Ｌ３／ＩＰ）宛先ＩＰアドレスフィールドが１４．９９．６５．２２に設定されたＩＰパケットＰＫＴ－４．１にカプセル化し、パケットＰＫＴ－４．１をＳＲＶＲ－４ １３４に向けて転送し得る。ステップ８８５において、ＥＳＮＩ－Ｇ／Ｗ１２０は、パケットＰＫＴ－４．１を傍受し、ＣｌｉｅｎｔＨｅｌｌｏメッセージを調査し得る。ＣｌｉｅｎｔＨｅｌｌｏメッセージを調査することに基づいて、ＥＳＮＩ－Ｇ／Ｗ１２０は、メッセージがクリアテキストＳＮＩ値ｎｏｔ－ａ－ＣＴＩ－ｔｈｒｅａｔ－ｓｉｔｅ．ｎｅｔを含むと判定し得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、ステップ８０５においてＣＴＩ－ＰＯＬＩＣＹを用いて構成されたＰＫＴ－ＦＩＬＴＥＲ１２２システムを呼び出して、マッチング基準「ｎｏｔ－ａ－ＣＴＩ－ｔｈｒｅａｔ－ｓｉｔｅ．ｎｅｔ」を用いてＣＴＩ－ＰＯＬＩＣＹ内のパケットフィルタリングルールを探索し得る。探索は、結果を返さない場合がある。ＥＳＮＩ－Ｇ／Ｗ１２０は、ＰＫＴ－４．１がＰＫＴ－４．１の宛先１４．９９．６５．２２（ＳＲＶＲ－４ １３４）に向かって進むことを許可し得る。ステップ８９０において、ＨＯＳＴ－１ １１０とＳＲＶＲ－４ １３４との間のＴＬＳトンネルを確立することができ、（ＴＬＳによってセキュリティ保護された）ＨＴＴＰセッションが行われ得る。ＨＴＴＰセッションが完了すると、ＴＬＳトンネルおよびＴＣＰコネクションがテアダウンされ得る。
いくつかの実施例では、組織は、組織の内部ユーザがアクセスし、かつ／またはアクセスすることを試行する外部サイトを追跡および規制したいため、ｅＳＮＩ技術の使用を許可しないポリシーを有し得る。この実施例では、ポリシーは、ステップ８７０～８９０において上述したプロセスと同様のプロセスを実行するＥＳＮＩ－Ｇ／Ｗアプリケーションによって施行され得るが、ＥＤＣＬを使用せず、かつ／またはＣＴＩ－ＰＯＬＩＣＹとは異なるポリシーを用いる。例えば、ステップ８７５において、ＥＳＮＩ－Ｇ／Ｗアプリケーションが、ＣｌｉｅｎｔＨｅｌｌｏメッセージがｅＳＮＩ暗号文を含むと判定すると、アプリケーションは、ステップ８７５において、ＥＤＣＬを通した探索をスキップし、ＥＳＮＩ－Ｇ／Ｗ１２０にＳＲＶＲ－４ １３４を偽装させ得る。上記に記載したように、ＥＳＮＩ－Ｇ／Ｗは、暗号化されたＳＮＩを含まないＣｌｉｅｎｔＨｅｌｌｏをＨＯＳＴ－１ １１０に発行させ得るＴＬＳメッセージをＨＯＳＴ－１ １１０に送信し得る。ステップ８８０は、修正なしで実行され得るが、ステップ８８５は、ＣＴＩ－ＰＯＬＩＣＹとは異なるポリシーを適用し得る。ステップ８８５で適用されたポリシーが通信セッションが進行することを許可する場合には、ステップ８９０は、修正なしで実行され得る。
図９は、１またはそれ以上のアプリケーションをサポートするパケットフィルタリング動作を有してＥＳＮＩ－Ｇ／Ｗ１２０を構成するためのプロセスの一実施例を示す。１またはそれ以上のアプリケーションは、例えば、合法的傍受などの法執行（ＬＥ）アプリケーション、または（２）プライバシー保護および保存（Ｐ３）アプリケーションを含み得る。ＬＥアプリケーションの場合、パケットフィルタリングポリシーおよび／またはＥＤＣＬは、ＬＥＩインジケータから導出され得る。同様に、パケットフィルタリングポリシーおよび／またはＥＤＣＬは、Ｐ３アプリケーションのＰ３インジケータ（Ｐ３Ｉ）から導出され得る。そのようなＬＥおよびＰ３アプリケーションは、通信に関連付けられたドメイン名を観測することに依存するロジックを含み得る。通信が、何らかのＬＥＩデータベースおよび／またはＰ３Ｉデータベースに含まれるドメイン名に関連付けられている場合には、アプリケーションは、通信に対して作用し得る。
図９のこの説明は、図８Ａおよび図８Ｂで説明したＣＴＩアプリケーションと形態および機能性が類似している。例えば、図８Ａおよび図８ＢのＣＴＩおよび／または関連付けられたＣＴＩ－ＰＯＬＩＣＹ並びにＥＤＣＬは、図９のＬＥＩおよび／または関連付けられたＬＥＩ－ＰＯＬＩＣＹ並びにＬＥＩ－ＥＤＣＬに類似し得る。ＴＬＳ－ＭＩＴＭ－ＰＲＯＸＹ１２６は、図９において、上記で考察した実施例とは異なって使用されてもよい。ＣＴＩおよびＰ３並びに他のアプリケーションは、例えば、（１）アプリケーションが通信をさらに調査してｅＳＮＩ暗号文に対応するドメイン名を判定し、次いで相応に処理し（例えば、関連付けられたクリアテキストパケットに対してＰＫＴ－ＦＩＬＴＥＲ１２２を呼び出し）得るように、通信暗号文をクリアテキストに復号化することと、（２）通信を復号化し、通信処理意思決定（例えば、クリアテキスト通信を捕捉／記憶するかどうか）を行うために、ユーザＩＤなどの、ドメイン名以外の他の情報についてクリアテキストをさらに調査することと、を含む、ＬＥＩアプリケーションと同様の理由でＴＬＳ－ＭＩＴＭ－ＰＲＯＸＹ１２６コンポーネントを使用し得る。
ステップ９１０において、ＳＰＭＳ１５０は、ＬＥＩによって導出されたパケットフィルタリングポリシー（例えば、ＬＥＩ－ＰＯＬＩＣＹ）と、関連付けられた、ＬＥＩによって導出されたＬＥＩ－ＥＤＣＬと、をＥＳＮＩ－Ｇ／Ｗ１２０に配信し得る。追加的もしくは代替的に、ＳＰＭＳ１５０は、ＤＮＳ－ＥＳＮＩを配信し得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、例えば、ＬＥＩによって導出されたパケットフィルタリングポリシー（例えば、ＬＥＩ－ＰＯＬＩＣＹ）、関連付けられた、ＬＥＩによって導出されたＬＥＩ－ＥＤＣＬ、および／またはＤＮＳ－ＥＳＮＩに基づいて、ＥＳＮＩ－Ｇ／Ｗ１２０のＰＫＴ－ＦＩＬＴＥＲ１２２、ＥＤＣＬ－ＳＶＣ１２３、および／またはＤＮＳ－ＥＳＮＩ－ＳＶＣ１２４を構成し得る。いくつかの実施例では、ＳＰＭＳ１５０は、例えば、ユーザＩＤの１またはそれ以上のリストを含む、追加のＬＥＩデータを配信し得る。
ステップ９２０において、ＨＯＳＴ－２ １１２上で実行されているウェブブラウザのユーザは、サイトＳＲＶＲ－６ １３６にアクセスすることを試行し得る。ＳＲＶＲ－６ １３６は、ｅＳＮＩをサポートする第７のドメイン名（例えば、ＬＥＩ－ｗａｔｃｈｌｉｓｔ－ｓｉｔｅ．ｎｅｔ）をホストし得る。すなわち、第７のドメインのＤＮＳエントリは、第７の公開暗号鍵を含み得る。ユーザは、ブラウザウィンドウに第７のドメイン名をＵＲＩ（例えばｈｔｔｐｓ：／／ＬＥＩ－ｗａｔｃｈｌｉｓｔ－ｓｉｔｅ．ｎｅｔ／）の一部として入力し得る。ブラウザは、ＬＥＩ－ｗａｔｃｈｌｉｓｔ－ｓｉｔｅ．ｎｅｔの第７のＩＰアドレス（例えば、２１．４３．６５．８７）および第７の公開暗号鍵（例えば、ＳＩＴＥ－６－ＫＥＹ）についてＤＮＳ１６０に照会し得る。ＤＮＳ照会は、ＤＮＳ－ＱＵＥＲＹ－ＴＲＡＣＫＥＲ１２５インスタンス（図示せず）によって捕捉され得る。ＤＮＳ１６０からの応答を受信した後、ＨＯＳＴ－２ １１２上のブラウザは、２１．４３．６５．８７のポート４４３（ＨＴＴＰＳ）とのＴＣＰコネクションを確立し得る。ＴＬＳによってセキュリティ保護されたセッションを確立するために、ブラウザは、ＣｌｉｅｎｔＨｅｌｌｏメッセージを生成し、ドメイン名、および／または第７の公開暗号鍵（例えば、ＳＩＴＥ－６－ＫＥＹ）を使用してメッセージの１またはそれ以上の部分を暗号化し、メッセージをＴＣＰパケットおよび（Ｌ３／ＩＰ）宛先ＩＰアドレスフィールドが２１．４３．６５．８７に設定されたＩＰパケットＰＫＴ－６にカプセル化し、パケットＰＫＴ－６をＳＲＶＲ－６ １３６に向けて転送し得る。
ステップ９３０において、ＥＳＮＩ－Ｇ／Ｗ１２０は、パケットＰＫＴ－６を傍受し、パケットＰＫＴ－６に含まれるＣｌｉｅｎｔＨｅｌｌｏメッセージを調査し得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、メッセージが暗号化されたホスト名（例えば、ｅＳＮＩ暗号文）を含むと判定し得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、（Ｌ３／ＩＰ）宛先ＩＰアドレス２１．４３．６５．８７を抽出し、ＬＥＩ－ＥＤＣＬ－ＳＶＣ１２３に照会することによって、２１．４３．６５．８７によってインデックス付けされたエントリについてＬＥＩ－ＥＤＣＬを探索し得る。探索は、ＬＥＩ－ＥＤＣＬのエントリ（２１．４３．６５．８７によってインデックス付けされる）を返し得る。探索結果に基づいて、ＥＳＮＩ－Ｇ／Ｗ１２０は、（平文）ドメイン名を「ＬＥＩ－ｗａｔｃｈｌｉｓｔ－ｓｉｔｅ．ｎｅｔ」として判定（解読）し得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、ステップ９１０においてＬＥＩ－ＰＯＬＩＣＹを用いて構成されたＰＫＴ－ＦＩＬＴＥＲ１２２システムを呼び出して、マッチング基準「ＬＥＩ－ｗａｔｃｈｌｉｓｔ－ｓｉｔｅ．ｎｅｔ」を用いてＬＥＩ－ＰＯＬＩＣＹ内のパケットフィルタリングルールを探索し得る。マッチパケット（ＰＫＴ－６）およびパケット変換機能（ＰＴＦ）「ｔｌｓ－ｍｉｔｍプロキシ」を処理するための「許可する」アクションを示すマッチルールを見つけ得る。ＰＴＦ「ｔｌｓ－ｍｉｔｍ－ｐｒｏｘｙ」は、ＰＫＴ－６およびＰＫＴ－６と同じフロー／通信に関連付けられた後続のパケットをＴＬＳ－ＭＩＴＭ－ＰＲＯＸＹ１２６に転送するようにＥＳＮＩ－Ｇ／Ｗ１２０にシグナリングし得る。ＴＬＳ－ＭＩＴＭ－ＰＲＯＸＹ１２６を通過した後、ＰＫＴ－６は、ＥＳＮＩ－Ｇ／Ｗ１２０によってＳＲＶＲ－６ １３６に向けて転送され得る。いくつかの実施例では、ＰＫＴ－６のプロキシバージョンをＳＲＶＲ－６ １３６に転送し得る。
ステップ９４０において、ＨＯＳＴ－２ １１２とＳＲＶＲ－６ １３６との間のＴＬＳトンネルを確立することができ、（ＴＬＳによってセキュリティ保護された）ＨＴＴＰセッションが行われ得る。セッションを含むパケットは、ＴＬＳ－ＭＩＴＭ－ＰＲＯＸＹ１２６を通過し、アプリケーションは、復号化されたクリアテキストメッセージ／パケットを捕捉および記憶し得る。アプリケーションはまた、クリアテキストを捕捉および記憶することが許容可能であるかどうかを判定するために、追加の情報、例えばユーザＩＤ、のクリアテキストを検査してもよい。許容されない場合には、捕捉機能および記憶機能を終了し、記憶されたデータを消去し、かつ／または別様にアクセス不能にし得る。ＨＴＴＰセッションが完了すると、ＴＬＳトンネルおよびＴＣＰコネクションがテアダウンされ得る。
図１０は、盗取を最小限に抑えるＥＳＮＩ－Ｇ／Ｗ１２０によるパケットフィルタリングの一実施例を例示している。第１のアプリケーションは、ｅＳＮＩが利用可能であるときはいつでもｅＳＮＩの使用を施行し得る。第２のアプリケーションは、全ての、ＴＬＳによってセキュリティ保護された通信に対してｅＳＮＩの使用を施行し得る。すなわち、第２のアプリケーションは、ｅＳＮＩをサポートするＴＬＳによってセキュリティ保護された通信のみを許可することができ、ｅＳＮＩを使用して、それらのサイトにアクセスし得る。
ステップ１００５において、ＳＰＭＳ１５０は、ＤＮＳ－ＥＳＮＩをＥＳＮＩ－Ｇ／Ｗ１２０に配信し得る。ＤＮＳ－ＥＳＮＩは、ＤＮＳ－ＥＳＮＩの更新バージョンであり得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、ＤＮＳ－ＥＳＮＩを用いてＤＮＳ－ＥＳＮＩ－ＳＶＣ１２４を構成し得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、（例えば、ｅＳＮＩが利用可能であるときはいつでもｅＳＮＩの使用を施行する）第１のアプリケーションを実行し得る。
ステップ１０１０において、ＨＯＳＴ－４ １１４上で実行されているウェブブラウザのユーザは、サイトＳＲＶＲ－７ １３７にアクセスすることを試行し得る。ＳＲＶＲ－７ １３７は、ｅＳＮＩをサポートしない第８のドメイン名（例えば、ｎｏｎ－ｅＳＮＩ－ｓｉｔｅ．ｎｅｔ）をホストし得る。ユーザは、ブラウザウィンドウに第８のドメイン名をＵＲＩ（例えば、ｈｔｔｐｓ：／／ｎｏｎ－ｅＳＮＩ－ｓｉｔｅ．ｎｅｔ／）の一部として入力し得る。第８のドメイン名を受信したことに応答して、ブラウザは、第８のドメイン名（例えば、ｎｏｎ－ｅＳＮＩ－ｓｉｔｅ．ｎｅｔ）のＩＰアドレス（例えば、７８．５６．３４．１２）についてＤＮＳ１６０に照会し得る。ＩＰアドレスを受信すると、ブラウザは、７８．５６．３４．１２のポート４４３（ＨＴＴＰＳ）とのＴＣＰコネクションを確立し得る。ＴＬＳによってセキュリティ保護されたセッションを確立するために、ブラウザは、ＳＮＩフィールドが平文「ｎｏｎ－ｅＳＮＩ－ｓｉｔｅ．ｎｅｔ」に設定されたＣｌｉｅｎｔＨｅｌｌｏメッセージを生成し、メッセージをＴＣＰパケットおよび（Ｌ３／ＩＰ）宛先ＩＰアドレスフィールドが７８．５６．３４．１２に設定されたＩＰパケットＰＫＴ－７にカプセル化し、パケットＰＫＴ－７をＳＲＶＲ－７ １３７に向けて転送し得る。
ステップ１０１５において、ＥＳＮＩ－Ｇ／Ｗ１２０は、パケットＰＫＴ－７を傍受し、パケットＰＫＴ－７に含まれるＣｌｉｅｎｔＨｅｌｌｏメッセージを調査し得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、メッセージがクリアテキストＳＮＩ値「ｎｏｎ－ｅＳＮＩ－ｓｉｔｅ．ｎｅｔ」を含むと判定し得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、ＤＮＳ－ＥＳＮＩ－ＳＶＣ１２４に照会して、ドメイン「ｎｏｎ－ｅＳＮＩ－ｓｉｔｅ．ｎｅｔ」がｅＳＮＩをサポートしないと判定し得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、ＰＫＴ－７がＰＫＴ－７の宛先７８．５６．３４．１２（ＳＲＶＲ－７ １３７）に向かって進むことを許可し得る。ステップ１０２０において、ＨＯＳＴ－４ １１４とＳＲＶＲ－７ １３７との間のＴＬＳトンネルを確立することができ、（ＴＬＳによってセキュリティ保護された）ＨＴＴＰセッションが行われ得る。ＨＴＴＰセッションが完了すると、ＴＬＳトンネルおよびＴＣＰコネクションがテアダウンされ得る。
ステップ１０２５において、ＨＯＳＴ－４ １１４上で実行されているウェブブラウザのユーザは、サイトＳＲＶＲ－８ １３８にアクセスすることを試行し得る。ＳＲＶＲ－８ １３８は、ｅＳＮＩをサポートする第９のドメイン名（例えば、ｓｕｐｐｏｒｔｓ－ｅＳＮＩ－ｓｉｔｅ．ｎｅｔ）をホストし得る。ユーザは、ブラウザウィンドウに第９のドメイン名をＵＲＩ（例えば、ｈｔｔｐｓ：／／ｓｕｐｐｏｒｔｓ－ｅＳＮＩ－ｓｉｔｅ．ｎｅｔ／）の一部として入力し得る。次に、ブラウザは、第９のドメイン（例えば、ｓｕｐｐｏｒｔｓ－ｅＳＮＩ－ｓｉｔｅ．ｎｅｔ）のＩＰアドレス（例えば、１２．３４．４３．２１）についてＤＮＳ１６０に照会し得る。ＩＰアドレスを受信すると、ブラウザは、１２．３４．４３．２１のポート４４３（ＨＴＴＰＳ）とのＴＣＰコネクションを確立し得る。ＴＬＳによってセキュリティ保護されたセッションを確立するために、ブラウザは、ＳＮＩフィールドが平文「ｓｕｐｐｏｒｔｓ－ｅＳＮＩ－ｓｉｔｅ．ｎｅｔ」に設定されたＣｌｉｅｎｔＨｅｌｌｏメッセージを生成し、メッセージをＴＣＰパケットおよび（Ｌ３／ＩＰ）宛先ＩＰアドレスフィールドが１２．３４．４３．２１に設定されたＩＰパケットＰＫＴ－８にカプセル化し、パケットＰＫＴ－８をＳＲＶＲ－８ １３８に向けて転送し得る。
ステップ１０３０において、ＥＳＮＩ－Ｇ／Ｗ１２０は、パケットＰＫＴ－８を傍受し、パケットＰＫＴ－８に含まれるＣｌｉｅｎｔＨｅｌｌｏメッセージを調査し得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、メッセージがクリアテキストＳＮＩ値「ｓｕｐｐｏｒｔｓ－ｅＳＮＩ－ｓｉｔｅ．ｎｅｔ」を含むと判定し得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、ＤＮＳ－ＥＳＮＩ－ＳＶＣ１２４に照会して、ドメイン「ｓｕｐｐｏｒｔｓ－ｅＳＮＩ－ｓｉｔｅ．ｎｅｔ」がｅＳＮＩをサポートすると判定し得る。第１のアプリケーションは、ｅＳＮＩが利用可能であるときにｅＳＮＩを使用することを必要とするため、ＥＳＮＩ－Ｇ／Ｗ１２０は、ＳＲＶＲ－８ １３８を偽装し得るか、または透過プロキシとなり得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、ＨＯＳＴ－４ １１４にｅＳＮＩを使用するＣｌｉｅｎｔＨｅｌｌｏを発行させ得るＴＬＳメッセージをＨＯＳＴ－４ １１４に送信し得る。ＴＬＳメッセージは、ｅＳＮＩが必要とされることをＨＯＳＴ－４ １１４にシグナリングするＴＬＳアラートプロトコルメッセージを含み得る。
ステップ１０３５において、ＨＯＳＴ－４ １１４上で実行されているブラウザは、ドメイン「ｓｕｐｐｏｒｔｓ－ｅＳＮＩ－ｓｉｔｅ．ｎｅｔ」の公開暗号鍵（例えば、ＳＩＴＥ－８－ＫＥＹ）についてＤＮＳ１６０に照会し得る。ブラウザは、ＣｌｉｅｎｔＨｅｌｌｏメッセージを生成し、公開暗号鍵（例えば、ＳＩＴＥ－８－ＫＥＹ）を使用して、ドメイン名「ｓｕｐｐｏｒｔｓ－ｅＳＮＩ－ｓｉｔｅ．ｎｅｔ」および／またはメッセージの１またはそれ以上の他の部分を暗号化し、メッセージをＴＣＰパケットおよび（Ｌ３／ＩＰ）宛先ＩＰアドレスフィールドが１２．３４．４３．２１に設定されたＩＰパケットＰＫＴ－８．１にカプセル化し、パケットＰＫＴ－８．１をＳＲＶＲ－８ １３８に向けて転送し得る。
ステップ１０４０において、ＥＳＮＩ－Ｇ／Ｗ１２０は、パケットＰＫＴ－８．１を傍受し、パケットＰＫＴ－８．１に含まれるＣｌｉｅｎｔＨｅｌｌｏメッセージを調査し得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、メッセージがｅＳＮＩ暗号文を含むと判定し得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、ＰＫＴ－８．１をＰＫＴ－８．１の宛先１２．３４．４３．２１（ＳＲＶＲ－８ １３８）に向けて転送することによって、ＰＫＴ－８．１が進むことを許可し得る。
ステップ１０４５において、ＨＯＳＴ－４ １１４とＳＲＶＲ－８ １３８との間のＴＬＳトンネルを確立することができ、（ＴＬＳによってセキュリティ保護された）ＨＴＴＰセッションが行われ得る。ＨＴＴＰＳセッションが完了すると、ＴＬＳトンネルおよびＴＣＰコネクションがテアダウンされ得る。
ステップ１０５０および１０５５の間、ＥＳＮＩ－Ｇ／Ｗ１２０は、ｅＳＮＩをサポートするサイトにアクセスすることのみを許可し、かつｅＳＮＩ使用を必要とする第２のアプリケーションを動作させている場合がある。
ステップ１０５０において、ＨＯＳＴ－４ １１４上で実行されているウェブブラウザのユーザは、サイトＳＲＶＲ－７ １３７にアクセスすることを試行し得る。ＳＲＶＲ－７ １３７は、ｅＳＮＩをサポートしない第１０のドメイン名（例えば、ｎｏｎ－ｅＳＮＩ－ｓｉｔｅ．ｎｅｔ）をホストし得る。ユーザは、ブラウザウィンドウにドメイン名をＵＲＩ（例えば、ｈｔｔｐｓ：／／ｎｏｎ－ｅＳＮＩ－ｓｉｔｅ．ｎｅｔ／）の一部として入力し得る。ブラウザは、ｎｏｎ－ｅＳＮＩ－ｓｉｔｅ．ｎｅｔのＩＰアドレス（例えば、７８．５６．３４．１２）についてＤＮＳ１６０に照会し得る。ＩＰアドレスを受信すると、ブラウザは、７８．５６．３４．１２のポート４４３（ＨＴＴＰＳ）とのＴＣＰコネクションを確立し得る。ＴＬＳによってセキュリティ保護されたセッションを確立するために、ブラウザは、ＳＮＩフィールドが平文「ｎｏｎ－ｅＳＮＩ－ｓｉｔｅ．ｎｅｔ」に設定されたＣｌｉｅｎｔＨｅｌｌｏメッセージを作成し、メッセージをＴＣＰパケットおよび（Ｌ３／ＩＰ）宛先ＩＰアドレスフィールドが７８．５６．３４．１２に設定されたＩＰパケットＰＫＴ－９にカプセル化し、パケットＰＫＴ－９をＳＲＶＲ－７ １３７に向けて転送し得る。
ステップ１０５５において、ＥＳＮＩ－Ｇ／Ｗ１２０は、パケットＰＫＴ－９を傍受し、パケットＰＫＴ－９に含まれるＣｌｉｅｎｔＨｅｌｌｏメッセージを調査し得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、メッセージがクリアテキストＳＮＩ値「ｎｏｎ－ｅＳＮＩ－ｓｉｔｅ．ｎｅｔ」を含むと判定し得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、ＤＮＳ－ＥＳＮＩ－ＳＶＣ１２４に照会して、ドメイン「ｎｏｎ－ｅＳＮＩ－ｓｉｔｅ．ｎｅｔ」がｅＳＮＩをサポートしないと判定し得る。第２のアプリケーションは、ｅＳＮＩをサポートするサイトにアクセスすることのみを許可し得るため、ＥＳＮＩ－Ｇ／Ｗ１２０は、ＳＲＶＲ－７ １３７を偽装し得るか、または透過プロキシとなり得る。第２のアプリケーションは、ｅＳＮＩをサポートするサイトにアクセスするときに、上述した第１のアプリケーションと同様に実行され得る。ＥＳＮＩ－Ｇ／Ｗ１２０は、（致命的な）アラートコード（例えば、コード４０「ハンドシェイク失敗」）を有するＴＬＳアラートプロトコルメッセージをＨＯＳＴ－４ １１４に送信し得る。ＴＬＳアラートプロトコルメッセージは、ＨＯＳＴ－４ １１４にＴＬＳセッションを閉じさせ得る。追加的もしくは代替的に、ＥＳＮＩ－Ｇ／Ｗ１２０は、ＴＣＰ ＲＳＴをＨＯＳＴ－４ １１４に送信してもよい。ＴＣＰ ＲＳＴは、ＨＯＳＴ－４ １１４にＴＣＰコネクションをテアダウンさせ得る。
上述したように、パケットフィルタリングシステムは、暗号化されたサーバ名指示（ＳＮＩ）値を含む暗号文を含むパケットを受信し得る。パケットフィルタリングシステムは、暗号化されたホスト名に関連付けられた平文ホスト名を判定して、平文ホスト名が１またはそれ以上の脅威に関連付けられているかどうかを判定し得る。図１１は、暗号化されたネットワークトラフィックが１またはそれ以上の脅威に関連付けられているかどうかを判定するためのプロセス１１００の一実施例を示す。プロセス１１００のステップのいくつかまたは全ては、パケットセキュリティゲートウェイ１２０などの１またはそれ以上のコンピューティングデバイスを使用して実行され得る。
ステップ１１１０において、パケットフィルタリングデバイスは、１またはそれ以上の脅威インジケータを受信し得る。例えば、パケットフィルタリングデバイスは、１またはそれ以上のサイバー脅威インテリジェンスプロバイダ（ＣＴＩＰ）から脅威インジケータ（例えば、生の脅威インジケータ）を直接受信し、１またはそれ以上のパケットフィルタリングルールを作成し得る。パケットフィルタリングルールは、セキュリティポリシー管理サーバ（ＳＰＭＳ）から受信され得る。追加的もしくは代替的に、１またはそれ以上の脅威インジケータは、パケットフィルタリングルールにおけるマッチング基準として間接的に受信されてもよい。更なる実施例では、パケットフィルタリングデバイスは、脅威インジケータから導出されたパケットフィルタリングルールから構成される１またはそれ以上のポリシーを受信し得る。１またはそれ以上のポリシーは、エンタープライズ通信ポリシー、プライバシー、保護、および保存ポリシー、法執行ポリシー、またはその均等物を含み得る。パケットフィルタリングデバイスは、第１のネットワークと第２のネットワークとの間をインターフェースするバウンダリに存在し得る。この点に関して、パケットフィルタリングデバイスは、ゲートウェイ、ファイアウォール、ルータ、または任意の他のタイプのエッジデバイスであり得る。追加的もしくは代替的に、パケットフィルタリングデバイスは、１またはそれ以上のネットワークセグメント上に位置するパススルーデバイスであり得る。上記で考察したように、１またはそれ以上の脅威インジケータは、１またはそれ以上の脅威に関連付けられた複数のドメイン名（例えば、ホスト名）を含み得る。追加的もしくは代替的に、１またはそれ以上の脅威インジケータは、１またはそれ以上の脅威に関連付けられた複数のネットワークアドレス（例えば、ＩＰアドレス）を含んでもよい。
ステップ１１２０において、パケットフィルタリングデバイスは、暗号化されたサーバ名指示（ＳＮＩ）値を含む暗号文を含む複数のパケットを受信し得る。複数のパケットは、ＣｌｉｅｎｔＨｅｌｌｏメッセージなどの単一の通信および／またはメッセージに関連付けられ得る。上記に記載したように、複数のパケットは、暗号化されたサーバ名指示（ＳＮＩ）値を含む暗号文を含み得る。
ステップ１１３０において、パケットフィルタリングデバイスは、平文ホスト名が暗号化されたホスト名（例えば、暗号化されたＳＮＩ（ｅＳＮＩ））から解読され得るかどうかを判定し得る。パケットフィルタリングデバイスは、図８Ａおよび図８Ｂに関して上述した技法のうちの１つ以上を使用し得る。例えば、パケットフィルタリングデバイスは、複数のパケットに関連付けられた宛先ネットワークアドレス（例えば、ＩＰアドレス）を判定し得る。パケットフィルタリングデバイスは、宛先ネットワークアドレスによってインデックス付けされたデータ構造に照会して、暗号化されたホスト名に関連付けられたまたは対応する平文ホスト名を判定し得る。照会に基づいて、パケットフィルタリングデバイスは、暗号化されたホスト名に関連付けられた平文ホスト名を含む応答を受信し得る。照会されたデータ構造は、上記で考察したように、ｅＳＮＩドメイン名対応リスト（ＥＤＣＬ）であり得る。いくつかの実施例では、応答は、暗号化されたホスト名に対応し得る複数の平文ホスト名を含み得る。すなわち、宛先ネットワークアドレスに複数のホスト名が関連付けられ得る。パケットフィルタリングデバイスは、暗号化されたホスト名が、宛先ネットワークアドレスに関連付けられた複数のホスト名のうちの１つに対応することを示し得る。追加的に、暗号文に対応し得るドメイン名を有する宛先ネットワークアドレスにおいてホストされる他のドメイン名があり得る。ただし、これらのドメイン名は、これらのドメイン名がＣＴＩデータベース内にないか、またはこれらのドメイン名がｅＳＮＩをサポートしないかのいずれかであるため、ＥＤＣＬ内にリストされない場合がある。
別の実施例では、パケットフィルタリングデバイスは、第１のデバイスからＤＮＳ照会要求を受信することができ、ＤＮＳから対応するＤＮＳ照会応答を受信することができる。ＤＮＳ照会要求および／または応答は、複数のパケットを受信する前に受信され得る。ＤＮＳ照会要求および／または応答は、データ構造に記憶され得る。複数のパケットを受信することに応答して、パケットフィルタリングデバイスは、データ構造に照会して、第１のデバイスから暗号化されたホスト名を有する複数のパケットを受信することに基づいて、平文ホスト名を判定し得る。この点に関して、パケットフィルタリングデバイスは、暗号化されたホスト名が、ＤＮＳ照会の対象であった平文ホスト名に対応すると判定し得る。
いくつかの実施例では、パケットフィルタリングデバイスは、複数のパケットに関連付けられた宛先ネットワークアドレスを判定し得る。上記の実施例では、パケットフィルタリングデバイスは、データ構造に照会して、宛先ネットワークアドレスを使用して、暗号化されたホスト名に関連付けられた平文ホスト名を判定し得る。照会に応答して、パケットフィルタリングデバイスは、宛先ネットワークアドレスをデータ構造内に見つけることができなかったという応答を受信し得る。パケットフィルタリングデバイスは、第１のデバイスに応答を伝送し得る。応答は、平文ホスト名（例えば、暗号化されていないサーバ名指示（ＳＮＩ））を有する複数のパケットの再伝送を要求し得る。パケットフィルタリングデバイスは、平文ホスト名（例えば、ＳＮＩ）を有する複数のパケットの再伝送を受信し得る。
ステップ１１４０において、パケットフィルタリングデバイスは、平文ホスト名が１またはそれ以上の脅威インジケータとマッチするかどうかを判定し得る。判定は、以下のうちの少なくとも１つに基づき得る：暗号化されたサーバ名指示（ｅＳＮＩ）値から解読された平文ホスト名、宛先ネットワークアドレスに関連付けられた平文ホスト名、ＤＮＳ照会など。上記で考察したように、１またはそれ以上の脅威インジケータに複数の平文ホスト名を関連付け得る。上記で考察したように、例えば、複数のドメインがネットワーク宛先アドレス上でホストされる場合、暗号化されたサーバ名指示（ｅＳＮＩ）値を含む暗号文から複数の平文ホスト名を判定し得る。この点に関して、パケットフィルタリングデバイスは、複数のホスト名の各々を１またはそれ以上の脅威インジケータと比較し得る。複数の平文ホスト名のうちの１つが１またはそれ以上の脅威インジケータに関連付けられている場合、パケットフィルタリングデバイスは、複数のパケットが１またはそれ以上の脅威インジケータに関連付けられていると判定し得る。平文ホスト名が１またはそれ以上の脅威インジケータのうちの少なくとも１つとマッチしない場合、パケットフィルタリングデバイスは、ステップ１１５０において、複数のパケットをこれらのパケットの宛先に向けて転送し得る。いくつかの実施例では、通信がこれらの通信の宛先に向かって進むことを許可することは、セキュアな通信チャネル（例えば、ＴＬＳ）が第１のデバイスとホスト名との間に確立されることを可能にし得る。平文ホスト名が１またはそれ以上の脅威インジケータとマッチすると、パケットフィルタリングデバイスは、パケットフィルタリング動作を複数のパケットに適用し得る。パケットフィルタリング動作は、複数のパケットがその意図される宛先に向かって進み続けることを阻止することを含み得る。追加的もしくは代替的に、パケットフィルタリングデバイスは、複数のパケットのコピーを監視のために第１のプロキシシステムに転送しながら、複数のパケットがその意図される宛先に進み続けることを許可してもよい。追加的もしくは代替的に、パケットフィルタリングデバイスは、複数のパケットを更なる処理および／または分析のために第２のプロキシに転送してもよい。
いくつかの事例では、エンタープライズホストは、暗号化されたサーバ名指示（ＳＮＩ）値を含む暗号文をサポートする宛先と通信するときに、暗号化されたホスト名を使用することを要求され得る。図１２は、本明細書で説明される１またはそれ以上の実施例による、暗号化されたホスト名を使用するポリシーを施行するためのプロセス１２００の一実施例を示す。プロセス１２００のステップのいくつかまたは全ては、パケットセキュリティゲートウェイ１２０などの１またはそれ以上のコンピューティングデバイスを使用して実行され得る。
ステップ１２１０において、パケットフィルタリングデバイスは、図９に関して上述したように、１またはそれ以上のポリシーを受信し得る。パケットフィルタリングデバイスは、複数のパケットフィルタリングルールを用いて構成され得る。
ステップ１２２０において、パケットフィルタリングデバイスは、宛先に意図される第１の複数のパケットを第１のデバイスから受信し得る。第１の複数のパケットは、ＣｌｉｅｎｔＨｅｌｌｏメッセージなどの通信またはメッセージに関連付けられ得る。第１の複数のパケットは、平文ホスト名を含み得る。
ステップ１２３０において、パケットフィルタリングデバイスは、宛先がｅＳＮＩをサポートするかどうかを判定し得る。例えば、パケットフィルタリングデバイスは、ドメイン名サービスに照会して、宛先のエントリが公開鍵を含むかどうかを判定し得る。エントリが公開鍵を含む場合、パケットフィルタリングデバイスは、宛先がｅＳＮＩをサポートすると判定し得る。追加的もしくは代替的に、パケットフィルタリングデバイスは、データ構造（例えば、テーブル、データベースなど）に照会して、宛先がｅＳＮＩをサポートするかどうかを判定してもよい。パケットフィルタリングデバイスは、宛先のエントリがデータ構造内に存在する場合、宛先がｅＳＮＩをサポートすると判定し得る。宛先がｅＳＮＩをサポートしない場合、パケットフィルタリングデバイスは、ステップ１２３５において、複数のパケットを宛先に転送し得る。複数のパケットは、第１のデバイスと宛先との間にセキュアな通信チャネル（例えば、ＴＬＳ）を作成することに関連付けられた１またはそれ以上の通信文を含み得る。宛先がｅＳＮＩをサポートする場合、パケットフィルタリングデバイスは、ステップ１２４０において、第１のデバイスがｅＳＮＩを使用するという指示を含むメッセージを伝送し得る。
ステップ１２５０において、パケットフィルタリングデバイスは、宛先に意図される第２の複数のパケットを第１のデバイスから受信し得る。第２の複数のパケットは、暗号化されたサーバ名指示（ＳＮＩ）値を含む暗号文（例えば、ｅＳＮＩ暗号文）を含み得る。いくつかの実施例では、パケットフィルタリングデバイスは、図１１に関して上記で考察した分析を実行して、平文ホスト名と、平文ホスト名が１またはそれ以上の脅威インジケータに関連付けられているかどうかと、を判定し得る。ポリシー施行態様およびフィルタリング態様は、同時にまたは連続して実行され得る。いくつかの実施例では、パケットフィルタリングデバイスは、第１の複数のパケットからの平文ホスト名を記憶し、平文ホスト名を第２の複数のパケット内のｅＳＮＩ暗号文と相関させ得る。上記に記載したように、宛先が１またはそれ以上の脅威インジケータに関連付けられていない場合、パケットフィルタリングデバイスは、ステップ１２６０において、第２の複数のパケットを宛先に向けて転送し得る。追加的もしくは代替的に、第２の複数のパケットは、第２の複数のパケットが暗号化されたＳＮＩ（例えば、ｅＳＮＩ暗号文）を含むという判定に応答して転送されてもよい。第２の複数のパケットは、第１のデバイスと宛先との間にセキュアな通信チャネル（例えば、ＴＬＳ）を作成することに関連付けられた１またはそれ以上の通信文を含み得る。
パケットフィルタリングデバイスは、エンタープライズポリシー（例えば、データ保持ポリシー、規制準拠ポリシーなど）、法執行ポリシー、またはプライバシー、保護、および保存（Ｐ３）ポリシーなどのポリシーに従って、１またはそれ以上のパケットを記憶し得る。図１３は、パケットを記憶するためのプロセス１３００の一実施例を示す。プロセス１３００のステップのいくつかまたは全ては、パケットセキュリティゲートウェイ１２０などの１またはそれ以上のコンピューティングデバイスを使用して実行され得る。
ステップ１３１０において、パケットフィルタリングデバイスは、１またはそれ以上のポリシーを受信し得る。パケットフィルタリングデバイスは、複数のパケットフィルタリングルールを用いて構成され得る。１またはそれ以上のポリシーは、エンタープライズ通信ポリシー、プライバシー、保護、および保存ポリシー、法執行ポリシー、またはその均等物を含み得る。ステップ１３２０において、パケットフィルタリングデバイスは、複数の暗号化されたパケットを受信し得る。複数の暗号化されたパケットは、暗号化されたホスト名（例えば、ｅＳＮＩ暗号文）を含み得る。上記に記載したように、パケットフィルタリングデバイスは、図１１に関して上記で考察した分析を実行して、平文ホスト名と、平文ホスト名が１またはそれ以上の脅威インジケータに関連付けられているかどうかと、を判定し得る。
ステップ１３３０において、パケットフィルタリングデバイスは、複数の暗号化されたパケットを復号化して、複数のクリアテキストパケットを取得し得る。パケットフィルタリングデバイスは、複数の暗号化されたパケットを、（透過的な）介在ＴＬＳ中間者（ＭＩＴＭ）プロキシ機能に転送し得る。ＭＩＴＭプロキシ機能は、ＴＬＳによってセキュリティ保護されたアプリケーションセッションを復号化し、セッションを平文で検査し、セッションを再暗号化し、ＴＬＳによってセキュリティ保護されたセッションをこのセッションの宛先に転送し得る。ステップ１３４０において、パケットフィルタリングデバイス（例えば、ＭＩＴＭプロキシ機能）は、クリアテキストパケットを検査（例えば、調査）し得る。いくつかの実施例では、パケットフィルタリングデバイスは、セッションの内容におけるｅＳＮＩ暗号文に対応する平文ドメイン名を抽出し得る。いくつかの事例では、パケットフィルタリングデバイスは、抽出された平文ドメイン名を使用して、図１１に関して上記で考察した分析を実行し得る。
ステップ１３５０において、パケットフィルタリングデバイスは、複数のパケットが捕捉および記憶されることを許可するかどうかを判定し得る。判定は、エンタープライズ通信ポリシー、プライバシー、保護、および保存ポリシー、法執行ポリシー、またはその均等物などのポリシーに基づき得る。この点に関して、エンタープライズ通信ポリシーは、規制方式（すなわち、ＨＩＰＡＡ、Ｓａｒｂａｎｅｓ－Ｏｘｌｅｙなど）に準拠するために通信のロギングおよび／またはアーカイブを必要とし得る。別の実施例では、法執行ポリシーは、法執行が通信を記憶する権限を有しているかどうかに基づき得る。複数のパケットを記憶する根拠が存在する場合、パケットフィルタリングデバイスは、ステップ１３６０において、複数の復号化されたパケットのコピーを記憶し得る。復号化されたパケットが記憶された後、プロセス１３００は、ステップ１３７０に進み得る。複数の復号化されたパケットが記憶されることを許可されない場合、または復号化されたパケットを記憶した後、パケットフィルタリングデバイスは、複数の暗号化されたパケットをその宛先に転送し得る。上記に記載したように、複数の暗号化されたパケットは、第１のデバイスと宛先との間のセキュアな通信チャネル（例えば、ＴＬＳ）を可能にし得る。
本明細書で説明される技法は、パケットフィルタリングデバイスが、暗号化されたホスト名から平文のホスト名を解読することを可能にする。平文ホスト名を使用して、ネットワークトラフィックが本質的に悪意のあるものであるかどうかを判定し得る。これにより、パケットフィルタリングデバイスは、マルウェアが、悪意のあるホストと通信しようとするときに、セキュアな通信チャネルを使用してパケットフィルタリングデバイスをバイパスすることを防止することが可能になる。さらに、本明細書で説明される技法は、パケットフィルタリングデバイスが、既知の脅威について暗号化されたネットワークトラフィックを監視することを可能にする。これにより、改善されたネットワーク監視が提供され、マルウェアの拡散が低減される。追加的に、宛先によってサポートされるときにｅＳＮＩを施行することは、悪意のある盗取などによるプライバシー侵害の脅威を低減する。さらに、本明細書で説明される技法は、通信をプライバシー法および／または規制に準拠させ得る。最後に、本明細書で説明される技法は、法執行を、暗号化されたネットワークトラフィックの法執行の監視において支援し得る。
本明細書で考察される１またはそれ以上の特徴は、本明細書で説明される１またはそれ以上のコンピュータまたは他のデバイスによって実行される、１またはそれ以上のプログラムモジュールなどの、コンピュータ使用可能若しくは読み取り可能データおよび／またはコンピュータ実行可能命令において具現化され得る。プログラムモジュールは、コンピュータまたは他のデバイス内のプロセッサにより実行されたときに、特定のタスクを実行するかまたは特定の抽象データ型を実装するルーチン、プログラム、オブジェクト、コンポーネント、データ構造などを含み得る。モジュールは、実行するために後でコンパイルされるソースコードプログラミング言語で記述され得るか、またはＨＴＭＬまたはＸＭＬなどの（これらには限定されない）スクリプト言語で記述され得る。コンピュータ実行可能命令は、ハードディスク、光ディスク、リムーバブル記憶媒体、ソリッドステートメモリ、ＲＡＭなどのような、コンピュータ可読媒体に記憶され得る。プログラムモジュールの機能性は、必要に応じて組み合わされてもよく、または分散されてもよい。加えて、機能性は、全体的または部分的に、ファームウェア、または集積回路、フィールドプログラマブルゲートアレイ（field programmable gate array、ＦＰＧＡ）などのようなハードウェア均等物において具現化されてもよい。特定のデータ構造を使用して、本明細書で考察される１またはそれ以上の特徴をより効果的に実装することができ、そのようなデータ構造は、本明細書で説明されるコンピュータ実行可能命令およびコンピュータ使用可能データの範囲に収まると企図される。本明細書で説明される様々な特徴は、方法、コンピューティングデバイス、システム、および／またはコンピュータプログラム製品として具現化され得る。
本開示は様々な実施例に関して説明されてきたが、多くの追加の修正および変形が当業者には明らかであろう。特に、上述した様々なプロセスのいずれかが、特定のアプリケーションの要件に対してより適切である方法で同様の結果を達成するために、代替的な順序で、および／または並行して（異なるコンピューティングデバイス上で）実行されてもよい。したがって、本開示は、本開示の範囲および趣旨から逸脱することなく、具体的に説明されたものとは別様に実施されてもよいことを理解されたい。いくつかの例が上述されているが、それらの例の特徴および／またはステップは、任意の所望の様態で結合、分割、省略、再配置、改変、および／または増強され得る。したがって、本開示は、あらゆる点で例示的なものであり、限定的なものではないとみなされるべきである。したがって、本開示の範囲は、実施例によってではなく、添付の特許請求の範囲およびそれらの均等物によって決定されるべきである。

Claims (68)

  1. 方法であって、
    パケットフィルタリングデバイスによって、インテリジェンスプロバイダから、１またはそれ以上の脅威インジケータを受信することであって、前記１またはそれ以上の脅威インジケータが、１またはそれ以上の脅威に関連付けられた複数のドメイン名を含む、受信することと、
    前記１またはそれ以上の脅威インジケータの各々に関連付けられた複数のパケットフィルタリングルールを判定することであって、前記１またはそれ以上の脅威インジケータが、前記複数のパケットフィルタリングルールのマッチング基準を含む、判定することと、
    第１のデバイスから、複数のパケットを受信することであって、前記複数のパケットが、暗号化されたサーバ名指示（ｅＳＮＩという）値を含む暗号文を含む、受信することと、
    前記暗号文から平文ホスト名が解読可能であるかどうかを判定することと、
    前記暗号文から前記平文ホスト名が解読可能であるという判定に基づいて、前記平文ホスト名が前記１またはそれ以上の脅威インジケータのうちの少なくとも１つにマッチするかどうかを判定することと、
    前記平文ホスト名が前記１またはそれ以上の脅威インジケータのうちの少なくとも１つにマッチするという判定に基づいて、前記複数のパケットフィルタリングルールのうちの１つ以上に関連付けられたパケットフィルタリング動作を前記複数のパケットに適用することとを含む方法であって、
    前記パケットフィルタリング動作が、前記パケットフィルタリング動作が、 前記複数のパケットがその意図される宛先に向かって進み続けることを阻止すること、前記複数のパケットがその意図される宛先まで進み続けることを許可しかつ前記複数のパケットのコピーを監視のために第１のプロキシに転送すること、または前記複数のパケットを第２のプロキシに転送すること、のうちの少なくとも１つを含む、方法。
  2. 前記パケットフィルタリング動作が、前記複数のパケットがその意図される宛先に向かって進み続けることを阻止することを含み、前記方法が、
    前記第１のデバイスに、前記複数のパケットに対する応答を送信することであって、前記応答が、ＴＣＰ ＲＳＴメッセージ、またはＴＬＳハンドシェイクプロキシメッセージ、のうちの少なくとも１つを含む、送信することをさらに含む、請求項１に記載の方法。
  3. 前記パケットフィルタリングデバイスが、保護されたネットワークと保護されていないネットワークとの間をインターフェースするバウンダリに存在する、請求項１または請求項２に記載の方法。
  4. 前記暗号文から前記平文ホスト名が解読可能であるかどうかを判定することが、
    前記複数のパケットに関連付けられた宛先ネットワークアドレスを判定することと、
    前記宛先ネットワークアドレスを使用して、前記暗号文に関連付けられた前記平文ホスト名を判定するためにデータ構造に照会することと、
    前記データ構造に前記照会することに基づいて、前記暗号文に関連付けられた前記平文ホスト名を含む応答を受信することと、をさらに含む、請求項１～請求項３のいずれか１項に記載の方法。
  5. 前記データ構造が、ｅＳＮＩドメイン名対応リスト（ＥＤＣＬという）を含む、請求項４に記載の方法。
  6. 前記暗号文から前記平文ホスト名が解読可能であるかどうかを判定することが、
    前記複数のパケットに関連付けられた宛先ネットワークアドレスを判定することと、
    前記宛先ネットワークアドレスを使用して、前記暗号文に関連付けられた前記平文ホスト名を判定するためにデータ構造に照会することと、
    前記データ構造に前記照会することに基づいて、前記宛先ネットワークアドレスに関連付けられた複数のホスト名を含む応答を受信することであって、前記複数のホスト名が、前記平文ホスト名を含む、受信することと、をさらに含む、請求項１～請求項５のいずれか１項に記載の方法。
  7. 前記暗号文から前記平文ホスト名が解読可能であるかどうかを判定することが、
    前記パケットフィルタリングデバイスによって、かつ前記複数のパケットを受信する前に、ＤＮＳ照会要求および関連付けられたＤＮＳ照会応答を受信することと、
    ＤＮＳ照会をデータ構造に記憶することと、
    前記第１のデバイスから前記暗号文を有する前記複数のパケットを受信することに基づいて、前記平文ホスト名を判定するために前記データ構造に照会することと、をさらに含む、請求項１～請求項６のいずれか１項に記載の方法。
  8. 前記暗号文から前記平文ホスト名が解読可能であるかどうかを判定することが、
    前記複数のパケットに関連付けられた宛先ネットワークアドレスを判定することと、
    前記宛先ネットワークアドレスを使用して、前記暗号文に関連付けられた前記平文ホスト名を判定するためにデータ構造に照会することと、
    前記データ構造に前記照会することに基づいて、前記宛先ネットワークアドレスを前記データ構造内に見つけることができなかったという応答を受信することと、
    前記複数のパケットを送信した第１のデバイスに、平文サーバ名指示（平文ＳＮＩという）を有する前記複数のパケットの再伝送を示す応答を伝送することと、
    前記パケットフィルタリングデバイスによって、前記平文ＳＮＩを有する前記複数のパケットの前記再伝送を受信することと、をさらに含む、請求項１～請求項７のいずれか１項に記載の方法。
  9. 前記パケットフィルタリングデバイスによって、第２の複数のパケットを受信することであって、前記第２の複数のパケットが、第２のｅＳＮＩ値を含む第２の暗号文を含む、受信することと、
    前記暗号文から平文ホスト名が解読可能であるかどうかを判定することと、
    前記暗号文から前記平文ホスト名が解読可能であるという判定に基づいて、前記平文ホスト名が前記１またはそれ以上の脅威インジケータのうちの少なくとも１つにマッチするかどうかを判定することと、
    前記平文ホスト名が前記１またはそれ以上の脅威インジケータのうちの少なくとも１つにマッチしないという判定に基づいて、前記第２の複数のパケットがその意図される宛先に向かって進み続けることを許可することと、を含む、請求項１～請求項８のいずれか１項に記載の方法。
  10. 前記第２の複数のパケットが、前記意図される宛先と第１のデバイスとの間にセキュアな通信チャネルを作成することに関連付けられた１またはそれ以上の通信文を含む、請求項９に記載の方法。
  11. パケットフィルタリングデバイスであって、
    １またはそれ以上のプロセッサと、
    前記１またはそれ以上のプロセッサによって実行されると、請求項１～請求項１０のいずれか１項に記載の方法を前記パケットフィルタリングデバイスに実施させる命令を記憶するメモリと、を備える、パケットフィルタリングデバイス。
  12. 実行されると、請求項１～請求項１０のいずれか１項に記載の方法をパケットフィルタリングデバイスに実施させる命令を含む、非一時的コンピュータ可読媒体。
  13. 方法であって、
    パケットフィルタリングデバイスによって、第１のデバイスから、宛先に意図される第１の複数のパケットを受信することであって、前記第１の複数のパケットが、平文ホスト名を含む、受信することと、
    前記宛先が、暗号化されたサーバ名指示（ｅＳＮＩという）値を含む暗号文をサポートするかどうかを判定することと、
    前記第１のデバイスに、前記宛先がｅＳＮＩ値を使用する暗号文をサポートするという判定に基づいて、前記第１のデバイスが前記第１の複数のパケットを暗号化するという指示を含むメッセージを伝送することと、
    前記パケットフィルタリングデバイスによって、前記第１のデバイスから、前記宛先に意図される第２の複数のパケットを受信することであって、前記第２の複数のパケットが、前記ｅＳＮＩ値を含む暗号文を含む、受信することと、
    前記パケットフィルタリングデバイスによって、前記第２の複数のパケットが前記ｅＳＮＩ値を含む暗号文を含むという判定に基づいて、前記第２の複数のパケットを前記宛先に向けて転送することと、を含む、方法。
  14. 前記第２の複数のパケットが、前記第１のデバイスと前記宛先との間にセキュアな通信チャネルを作成することに関連付けられた１またはそれ以上の通信文を含む、請求項１３に記載の方法。
  15. 前記宛先がｅＳＮＩ値を含む暗号文をサポートするかどうかを判定することが、
    前記パケットフィルタリングデバイスによって、ドメイン名サービスに照会して、前記宛先のエントリが公開鍵を含むかどうかを判定することと、
    前記宛先の前記エントリが公開鍵を含む場合に、前記宛先が前記ｅＳＮＩ値を含む暗号文をサポートすると判定することと、をさらに含む、請求項１３または請求項１４に記載の方法。
  16. 前記宛先が前記ｅＳＮＩ値を含む暗号文をサポートするかどうかを判定することが、
    前記パケットフィルタリングデバイスによって、前記宛先が前記ｅＳＮＩ値を含む暗号文をサポートするかどうかを判定するためにデータ構造に照会することと、
    前記宛先のエントリが前記データ構造内に存在する場合に、前記宛先が前記ｅＳＮＩ値を含む暗号文をサポートすると判定することと、をさらに含む、請求項１３～請求項１５のいずれか１項に記載の方法。
  17. 前記第１のデバイスが暗号文を使用するという指示を含む前記メッセージを伝送することが、
    宛先が前記ｅＳＮＩ値を含む暗号文をサポートするときはいつでも暗号文が使用されることとなることをポリシーが示すと判定することをさらに含む、請求項１３～請求項１６のいずれか１項に記載の方法。
  18. 前記パケットフィルタリングデバイスによって、前記第１のデバイスから、第２の宛先に意図される第３の複数のパケットを受信することであって、前記第３の複数のパケットが、第２の平文ホスト名を含む、受信することと、
    前記第２の宛先がｅＳＮＩ値を含む暗号文をサポートするかどうかを判定することと、
    前記第２の宛先が前記ｅＳＮＩ値を含む暗号文をサポートしないという判定に基づいて、前記第３の複数のパケットを前記第２の宛先に向けて転送することと、を含む、請求項１３～請求項１７のいずれか１項に記載の方法。
  19. 前記第３の複数のパケットが、前記第１のデバイスと前記第２の宛先との間にセキュアな通信チャネルを作成することに関連付けられた１またはそれ以上の通信文を含む、請求項１８に記載の方法。
  20. パケットフィルタリングデバイスであって、
    １またはそれ以上のプロセッサと、
    前記１またはそれ以上のプロセッサによって実行されると、請求項１１～請求項１９のいずれか１項に記載の方法を前記パケットフィルタリングデバイスに実施させる命令を記憶するメモリと、を備える、パケットフィルタリングデバイス。
  21. 実行されると、請求項１１～請求項１９のいずれか１項に記載の方法をパケットフィルタリングデバイスに実施させる命令を含む、非一時的コンピュータ可読媒体。
  22. 方法であって、
    複数のパケットフィルタリングルールを用いて構成されたパケットフィルタリングデバイスによって、１またはそれ以上のポリシーを受信することと、
    前記パケットフィルタリングデバイスによって、複数の暗号化されたパケットを受信することであって、前記複数の暗号化されたパケットが、暗号化されたサーバ名指示（ｅＳＮＩという）値を含む暗号文を含む、受信することと、
    前記複数の暗号化されたパケットを復号化して、複数のクリアテキストパケットを取得することと、
    前記複数のクリアテキストパケットを検査することと、
    前記パケットフィルタリングデバイスが前記複数のクリアテキストパケットを捕捉および記憶することを許可されているかどうかを判定することと、
    前記パケットフィルタリングデバイスが前記複数のクリアテキストパケットを捕捉および記憶することを許可されているという判定に基づいて、前記複数のクリアテキストパケットのコピーを記憶することと、
    前記複数のクリアテキストパケットの検査に基づいて、前記複数のパケットフィルタリングルールのうちの１つ以上に関連付けられたパケットフィルタリング動作を前記複数の暗号化されたパケットに適用することと、を含む、方法。
  23. 前記パケットフィルタリング動作が、
    前記複数の暗号化されたパケットがその意図される宛先に向かって進み続けることを阻止すること、
    前記複数の暗号化されたパケットがその意図される宛先まで進み続けることを許可し、かつ前記複数のクリアテキストパケットのコピーを記憶すること、または、
    前記複数のクリアテキストパケットのコピーを記憶することなく、前記複数の暗号化されたパケットがその意図される宛先まで進み続けることを許可すること、のうちの少なくとも１つを含む、請求項２２に記載の方法。
  24. 前記１またはそれ以上のポリシーが、
    エンタープライズ通信ポリシー、
    プライバシー、保護、および保存ポリシー、または、
    法執行ポリシー、のうちの少なくとも１つを含む、請求項２２または請求項２３に記載の方法。
  25. パケットフィルタリングデバイスであって、
    １またはそれ以上のプロセッサと、
    前記１またはそれ以上のプロセッサによって実行されると、請求項２２～請求項２４のいずれか１項に記載の方法を前記パケットフィルタリングデバイスに実施させる命令を記憶するメモリと、を備える、パケットフィルタリングデバイス。
  26. 実行されると、請求項２２～請求項２４のいずれか１項に記載の方法をパケットフィルタリングデバイスに実施させる命令を含む、非一時的コンピュータ可読媒体。
  27. 方法であって、
    パケットフィルタリングデバイスによって、前記パケットフィルタリングデバイスによって保護されるネットワークの外部のサーバから、セキュリティポリシーを受信することであって、前記セキュリティポリシーが、１またはそれ以上のインテリジェンスプロバイダから受信された１またはそれ以上のインジケータに基づいて作成または改変される複数のパケットフィルタリングルールを含む、受信することと、
    第１のデバイスから、複数のパケットを受信することであって、前記複数のパケットが、暗号化されたサーバ名指示（ｅＳＮＩという）値を含む暗号文を含む、受信することと、
    前記複数のパケットが前記ｅＳＮＩ値を含むという判定に基づいて、前記複数のパケットに関連付けられた宛先ネットワークアドレスを判定することと、
    前記ｅＳＮＩ値に対応する平文ホスト名を判定するために、前記宛先ネットワークアドレスを使用して、データ構造に照会することであって、前記データ構造が、１またはそれ以上のホスト名および対応するネットワークアドレスを含む、照会することと、
    前記データ構造に前記照会することに基づいて、前記ｅＳＮＩ値に対応する前記平文ホスト名を示す応答を受信することであって、前記平文ホスト名が前記宛先ネットワークアドレスに関連付けられていることに基づいて、前記平文ホスト名が、前記ｅＳＮＩ値に対応すると判定される、受信することと、
    前記平文ホスト名が前記１またはそれ以上のインジケータのうちの少なくとも１つに対応するかどうかを判定することと、
    前記複数のパケットに、前記平文ホスト名が前記１またはそれ以上のインジケータのうちの少なくとも１つに対応するという判定に基づいて、前記１またはそれ以上のインジケータのうちの前記少なくとも１つに対応する前記複数のパケットフィルタリングルールのうちの１つ以上によって指定されたパケットフィルタリング動作を適用することと、を含む、方法。
  28. 前記１またはそれ以上のインテリジェンスプロバイダのうちの少なくとも２つが、異なる組織によって管理される、請求項２７に記載の方法。
  29. 前記パケットフィルタリングデバイスによって保護される前記ネットワークの外部の前記サーバが、セキュリティポリシー管理サーバを含む、請求項２７または請求項２８に記載の方法。
  30. 前記パケットフィルタリング動作が、
    前記複数のパケットがその意図される宛先に向かって進み続けることを阻止すること、
    前記複数のパケットがその意図される宛先に進み続けることを許可し、かつ前記複数のパケットのコピーを監視のために第１のプロキシに転送すること、または、
    前記複数のパケットを第２のプロキシに転送すること、のうちの少なくとも１つを含む、請求項２７～請求項２９のいずれか１項に記載の方法。
  31. 前記暗号文が、ＣｌｉｅｎｔＨｅｌｌｏメッセージを含む、請求項２７～請求項３０のいずれか１項に記載の方法。
  32. 前記１またはそれ以上のインテリジェンスプロバイダが、
    サイバー脅威インテリジェンスプロバイダであって、前記サイバー脅威インテリジェンスプロバイダによって提供される前記１またはそれ以上のインジケータが１またはそれ以上の脅威インジケータを含む、サイバー脅威インテリジェンスプロバイダ、
    法執行インテリジェンスプロバイダであって、前記法執行インテリジェンスプロバイダによって提供される前記１またはそれ以上のインジケータが１またはそれ以上のネットワークインジケータを含む、法執行インテリジェンスプロバイダ、または、
    プライバシー、保護、および保存インテリジェンスプロバイダであって、前記プライバシー、保護、および保存インテリジェンスプロバイダによって提供される前記１またはそれ以上のインジケータが、１またはそれ以上のネットワークインジケータを含む、プライバシー、保護、および保存インテリジェンスプロバイダ、のうちの少なくとも１つを含む、請求項２７～請求項３１のいずれか１項に記載の方法。
  33. 前記パケットフィルタリングデバイスによって保護されるネットワークの外部のサーバから、前記データ構造を受信することをさらに含む、請求項２７～請求項３２のいずれか１項に記載の方法。
  34. 前記データ構造が、ｅＳＮＩドメイン名対応リスト（ＥＤＣＬという）を含む、請求項２７～請求項３３のいずれか１項に記載の方法。
  35. 前記パケットフィルタリング動作が、前記複数のパケットがその意図される宛先に向かって進み続けることを阻止することを含み、前記方法が、
    前記第１のデバイスに、前記複数のパケットに対する１またはそれ以上の応答を送信することであって、前記１またはそれ以上の応答が、ＴＣＰ ＲＳＴメッセージ、またはＴＬＳハンドシェイクメッセージ、のうちの少なくとも１つを含む、送信することをさらに含む、請求項２７～請求項３４のいずれか１項に記載の方法。
  36. 前記パケットフィルタリングデバイスが、保護されたネットワークと保護されていないネットワークとの間のバウンダリに存在し、
    前記パケットフィルタリングデバイスが、前記保護されたネットワークと前記保護されていないネットワークとの間をインターフェースする、請求項２７～請求項３５のいずれか１項に記載の方法。
  37. パケットフィルタリングデバイスであって、
    １またはそれ以上のプロセッサと、
    前記１またはそれ以上のプロセッサによって実行されると、請求項２７～請求項３６のいずれか１項に記載の方法を前記パケットフィルタリングデバイスに実施させる命令を記憶するメモリと、を備える、パケットフィルタリングデバイス。
  38. 実行されると、請求項２７～請求項３６のいずれか１項に記載の方法をパケットフィルタリングデバイスに実施させる命令を含む、非一時的コンピュータ可読媒体。
  39. 方法であって、
    パケットフィルタリングデバイスによって、前記パケットフィルタリングデバイスによって保護されるネットワークの外部のサーバから、セキュリティポリシーを受信することであって、前記セキュリティポリシーが、１またはそれ以上のインテリジェンスプロバイダから受信された１またはそれ以上のインジケータに基づく複数のパケットフィルタリングルールを含む、受信することと、
    第１のデバイスから、複数のパケットを受信することであって、前記複数のパケットが、セキュアな通信チャネルを確立するための第１のメッセージおよび暗号化されたサーバ名指示（ｅＳＮＩという）値を含む、受信することと、
    前記複数のパケットが前記ｅＳＮＩ値を含むという判定に基づいて、前記複数のパケットに関連付けられた宛先ネットワークアドレスを判定することと、
    前記ｅＳＮＩ値に対応する平文ホスト名を判定するために、前記宛先ネットワークアドレスを使用して、データ構造に照会することであって、前記データ構造が、１またはそれ以上のホスト名および対応するネットワークアドレスを含む、照会することと、
    前記データ構造に前記照会することに基づいて、前記宛先ネットワークアドレスに関連付けられた複数の平文ホスト名を示す応答を受信することと、
    前記第１のデバイスに関連付けられた１またはそれ以上の以前のドメイン名サービス（ＤＮＳ）照会を示すレコードに基づいて、前記複数の平文ホスト名のうちの第１の平文ホスト名を判定することと、
    前記第１の平文ホスト名が前記１またはそれ以上のインジケータのうちの少なくとも１つに対応するかどうかを判定することと、
    前記複数のパケットに、前記平文ホスト名が前記１またはそれ以上のインジケータのうちの少なくとも１つに対応するという判定に基づいて、前記１またはそれ以上のインジケータのうちの前記少なくとも１つに対応する前記複数のパケットフィルタリングルールのうちの１つ以上によって指定されたパケットフィルタリング動作を適用することと、を含む、方法。
  40. 前記第１の平文ホスト名を解読するために、前記１またはそれ以上のＤＮＳ照会を受信することと、
    前記１またはそれ以上のＤＮＳ照会に関連付けられたレコードを第２のデータ構造内に作成することであって、前記レコードが、前記第１の平文ホスト名と、前記第１の平文ホスト名によって解読されたインターネットプロトコルアドレス（ＩＰアドレスという）と、を含む、作成することと、をさらに含む、請求項３９に記載の方法。
  41. 前記第１の平文ホスト名を前記判定することが、
    前記第１のデバイスからの１またはそれ以上の以前のＤＮＳ照会を示す前記レコードを判定するために、前記第２のデータ構造に照会することと、
    前記第２のデータ構造に前記照会することに基づいて、前記第１の平文ホスト名と、前記第１の平文ホスト名によって解読された前記ＩＰアドレスと、を含む前記レコードを受信することであって、前記第１の平文ホスト名が、前記第１の平文ホスト名が解読した前記ＩＰアドレスに対応する宛先ネットワークアドレスに基づいて、前記ｅＳＮＩ値に対応すると判定される、受信することと、をさらに含む、請求項４０に記載の方法。
  42. 前記第１の平文ホスト名が前記ｅＳＮＩ値に対応すると判定することが、前記１またはそれ以上のＤＮＳ照会の記録と、前記複数のパケットの受信との間の時間相関にさらに基づく、請求項４１に記載の方法。
  43. 前記第１のメッセージが、暗号化されたＣｌｉｅｎｔＨｅｌｌｏメッセージを含む、請求項３９～請求項４２のいずれか１項に記載の方法。
  44. 前記１またはそれ以上のインテリジェンスプロバイダのうちの少なくとも２つが、異なる組織によって管理される、請求項３９～請求項４３のいずれか１項に記載の方法。
  45. 前記１またはそれ以上のインテリジェンスプロバイダが、
    サイバー脅威インテリジェンスプロバイダであって、前記サイバー脅威インテリジェンスプロバイダによって提供される前記１またはそれ以上のインジケータが１またはそれ以上の脅威インジケータを含む、サイバー脅威インテリジェンスプロバイダ、
    法執行インテリジェンスプロバイダであって、前記法執行インテリジェンスプロバイダによって提供される前記１またはそれ以上のインジケータが１またはそれ以上のネットワークインジケータを含む、法執行インテリジェンスプロバイダ、または、
    プライバシー、保護、および保存インテリジェンスプロバイダであって、前記プライバシー、保護、および保存インテリジェンスプロバイダによって提供される前記１またはそれ以上のインジケータが、１またはそれ以上のネットワークインジケータを含む、プライバシー、保護、および保存インテリジェンスプロバイダ、のうちの少なくとも１つを含む、請求項３９～請求項４４のいずれか１項に記載の方法。
  46. 前記パケットフィルタリングデバイスによって保護されるネットワークの外部のサーバから、前記データ構造を受信することをさらに含む、請求項３９～請求項４５のいずれか１項に記載の方法。
  47. 前記パケットフィルタリングデバイスが、保護されたネットワークと保護されていないネットワークとの間のバウンダリに存在し、
    前記パケットフィルタリングデバイスが、前記保護されたネットワークと前記保護されていないネットワークとの間をインターフェースする、請求項３９～請求項４６のいずれか１項に記載の方法。
  48. パケットフィルタリングデバイスであって、
    １またはそれ以上のプロセッサと、
    前記１またはそれ以上のプロセッサによって実行されると、請求項３９～請求項４７のいずれか１項に記載の方法を前記パケットフィルタリングデバイスに実施させる命令を記憶するメモリと、を備える、パケットフィルタリングデバイス。
  49. 実行されると、請求項３９～請求項４７のいずれか１項に記載の方法をパケットフィルタリングデバイスに実施させる命令を含む、非一時的コンピュータ可読媒体。
  50. 方法であって、
    パケットフィルタリングデバイスによって、第１の宛先とのセキュアな通信チャネルを確立することに関連付けられた第１の複数のパケットを受信することであって、前記第１の複数のパケットが、平文サーバ名指示（平文ＳＮＩという）値を含む、受信することと、
    前記パケットフィルタリングデバイスによって、前記平文ＳＮＩ値を含む前記第１の複数のパケットについて、前記第１の宛先が暗号化されたサーバ名指示（ｅＳＮＩという）をサポートしているという判定に基づいて、前記第１の複数のパケットを阻止することと、
    前記パケットフィルタリングデバイスによって、第２の宛先とのセキュアな通信チャネルを確立することに関連付けられた第２の複数のパケットを受信することであって、前記第２の複数のパケットが、ｅＳＮＩ値を含む、受信することと、
    前記パケットフィルタリングデバイスによって、前記第２の複数のパケットがｅＳＮＩ値を含み、かつ前記第２の宛先がｅＳＮＩをサポートしているという判定に基づいて、前記第２の複数のパケットを前記第２の宛先に転送することと、を含む、方法。
  51. 前記第１の宛先との前記セキュアな通信チャネルを確立することに関連付けられた前記第１の複数のパケットが、ＣｌｉｅｎｔＨｅｌｌｏメッセージ、または１またはそれ以上のハンドシェイクメッセージのうちの少なくとも１つを含む、請求項５０に記載の方法。
  52. 前記第２の宛先との前記セキュアな通信チャネルを確立することに関連付けられた前記第２の複数のパケットが、ＣｌｉｅｎｔＨｅｌｌｏメッセージ、または１またはそれ以上のハンドシェイクメッセージのうちの少なくとも１つを含む、請求項５０または請求項５１に記載の方法。
  53. 前記第２の複数のパケットを前記第２の宛先に転送することが、前記ｅＳＮＩ値が脅威インジケータに対応しないという判定にさらに基づく、請求項５０～請求項５２のいずれか１項に記載の方法。
  54. 前記パケットフィルタリングデバイスによって、前記ｅＳＮＩ値が平文ホスト名に解読されることが可能であるかどうかを判定することと、
    前記パケットフィルタリングデバイスによって、かつ前記ｅＳＮＩ値が前記平文ホスト名に解読されることが可能であるという判定に基づいて、前記平文ホスト名を１またはそれ以上の脅威インジケータと比較することであって、前記第２の複数のパケットを前記第２の宛先に転送することが、前記ｅＳＮＩ値が１またはそれ以上の脅威インジケータに対応しないという判定にさらに基づく、比較することと、をさらに含む、請求項５０～請求項５３のいずれか１項に記載の方法。
  55. 前記パケットフィルタリングデバイスによって、かつ前記第１の宛先がｅＳＮＩ値を含む暗号文をサポートするかどうかを判定することと、
    前記パケットフィルタリングデバイスによって、第１のデバイスに、前記第１の宛先がｅＳＮＩ値を含む暗号文をサポートするという判定に基づいて、前記第１の宛先とのセキュアな通信チャネルを確立するための１またはそれ以上の通信文を暗号化するための指示を送信することと、
    前記パケットフィルタリングデバイスによって、前記第１のデバイスから、前記第１の宛先に意図される第３の複数のパケットを受信することであって、前記第３の複数のパケットが、第２のｅＳＮＩ値を含む暗号文を含む、受信することと、
    前記パケットフィルタリングデバイスによって、前記第３の複数のパケットを前記第１の宛先に向けて転送することと、をさらに含む、請求項５０～請求項５４のいずれか１項に記載の方法。
  56. 前記第１の宛先がｅＳＮＩ値を含む暗号文をサポートするかどうかを判定することが、
    前記パケットフィルタリングデバイスによって、ドメイン名サービスに照会して、前記第１の宛先のエントリが公開鍵を含むかどうかを判定することと、
    前記第１の宛先の前記エントリが公開鍵を含む場合に、前記第１の宛先がｅＳＮＩ値を含む暗号文をサポートすると判定することと、をさらに含む、請求項５５に記載の方法。
  57. 前記第１の宛先がｅＳＮＩ値を含む暗号文をサポートするかどうかを判定することが、
    前記パケットフィルタリングデバイスによって、前記第１の宛先がｅＳＮＩ値を含む暗号文をサポートするかどうかを判定するためにデータ構造に照会することと、
    前記第１の宛先のエントリが前記データ構造内に存在する場合に、前記第１の宛先がｅＳＮＩ値を含む暗号文をサポートすると判定することと、をさらに含む、請求項５５に記載の方法。
  58. パケットフィルタリングデバイスであって、
    １またはそれ以上のプロセッサと、
    前記１またはそれ以上のプロセッサによって実行されると、請求項５０～請求項５７のいずれか１項に記載の方法を前記パケットフィルタリングデバイスに実施させる命令を記憶するメモリと、を備える、パケットフィルタリングデバイス。
  59. 実行されると、請求項５０～請求項５７のいずれか１項に記載の方法をパケットフィルタリングデバイスに実施させる命令を含む、非一時的コンピュータ可読媒体。
  60. 方法であって、
    パケットフィルタリングデバイスによって、第１のデバイスから、第１の宛先との第１のセキュアな通信チャネルを確立することに関連付けられた第１の複数のパケットを受信することであって、前記第１の複数のパケットが、平文サーバ名指示（平文ＳＮＩという）値を含む、受信することと、
    前記パケットフィルタリングデバイスによって、前記第１の宛先が、暗号化されたサーバ名指示（ｅＳＮＩという）値を含む暗号文をサポートするかどうかを判定することと、
    前記パケットフィルタリングデバイスによって、前記第１の宛先がｅＳＮＩをサポートするという判定に基づいて前記第１の複数のパケットを阻止することと、
    前記パケットフィルタリングデバイスによって、前記第１の複数のパケットが平文ＳＮＩ値を含むことに基づいて、かつ前記第１の宛先がｅＳＮＩをサポートするという判定に基づいて、前記第１の宛先とのセキュアな通信チャネルを確立するための１またはそれ以上の通信文を暗号化するための指示を送信することと、
    前記パケットフィルタリングデバイスによって、前記第１のデバイスから、前記第１の宛先との第２のセキュアな通信チャネルを確立することに関連付けられた第２の複数のパケットを受信することであって、前記第２の複数のパケットが、第１のｅＳＮＩ値を含む暗号文を含む、受信することと、
    前記パケットフィルタリングデバイスによって、前記第２の複数のパケットが前記第１のｅＳＮＩ値を含むことに基づいて、かつ前記第１の宛先がｅＳＮＩをサポートするという判定に基づいて、前記第２の複数のパケットを前記第１の宛先に向けて転送することと、を含む、方法。
  61. 前記第１の宛先との前記第１のセキュアな通信チャネルを確立することに関連付けられた前記第１の複数のパケットが、ＣｌｉｅｎｔＨｅｌｌｏメッセージ、または１またはそれ以上のハンドシェイクメッセージのうちの少なくとも１つを含む、請求項６０に記載の方法。
  62. 前記第１の宛先との前記第２のセキュアな通信チャネルを確立することに関連付けられた前記第２の複数のパケットが、ＣｌｉｅｎｔＨｅｌｌｏメッセージ、または１またはそれ以上のハンドシェイクメッセージのうちの少なくとも１つを含む、請求項６０または請求項６１に記載の方法。
  63. 前記第２の複数のパケットを第２の宛先に転送することが、前記第１のｅＳＮＩ値が脅威インジケータに対応しないという判定にさらに基づく、請求項６０～請求項６２のいずれか１項に記載の方法。
  64. 前記パケットフィルタリングデバイスによって、前記第１のｅＳＮＩ値が平文ホスト名に解読されることが可能であるかどうかを判定することと、
    前記パケットフィルタリングデバイスによって、かつ前記第１のｅＳＮＩ値が前記平文ホスト名に解読されることが可能であるという判定に基づいて、前記平文ホスト名を１またはそれ以上の脅威インジケータと比較することであって、前記第２の複数のパケットを前記第１の宛先に転送することが、前記第１のｅＳＮＩ値が１またはそれ以上の脅威インジケータに対応しないという判定にさらに基づく、比較することと、をさらに含む、請求項６０～請求項６３のいずれか１項に記載の方法。
  65. 前記第１の宛先が前記ｅＳＮＩ値を含む暗号文をサポートするかどうかを判定することが、
    前記パケットフィルタリングデバイスによって、ドメイン名サービスに照会して、前記第１の宛先のエントリが公開鍵を含むかどうかを判定することと、
    前記第１の宛先の前記エントリが公開鍵を含む場合に、前記第１の宛先がｅＳＮＩ値を含む暗号文をサポートすると判定することと、をさらに含む、請求項６０～請求項６４のいずれか１項に記載の方法。
  66. 前記第１の宛先が前記ｅＳＮＩ値を含む暗号文をサポートするかどうかを判定することが、
    前記パケットフィルタリングデバイスによって、前記第１の宛先がｅＳＮＩ値を含む暗号文をサポートするかどうかを判定するためにデータ構造に照会することと、
    前記第１の宛先のエントリが前記データ構造内に存在する場合に、前記第１の宛先がｅＳＮＩ値を含む暗号文をサポートすると判定することと、をさらに含む、請求項６０～請求項６５のいずれか１項に記載の方法。
  67. パケットフィルタリングデバイスであって、
    １またはそれ以上のプロセッサと、
    前記１またはそれ以上のプロセッサによって実行されると、請求項６０～請求項６６のいずれか１項に記載の方法を前記パケットフィルタリングデバイスに実施させる命令を記憶するメモリと、を備える、パケットフィルタリングデバイス。
  68. 実行されると、請求項６０～請求項６６のいずれか１項に記載の方法をパケットフィルタリングデバイスに実施させる命令を含む、非一時的コンピュータ可読媒体。
JP2023501496A 2020-07-14 2021-07-14 サイバーセキュリティアプリケーションのための暗号化されたｓｎｉフィルタリング方法およびシステム Active JP7561265B2 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2024163896A JP2024178324A (ja) 2020-07-14 2024-09-20 サイバーセキュリティアプリケーションのための暗号化されたｓｎｉフィルタリング方法およびシステム

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US16/928,083 US10924456B1 (en) 2020-07-14 2020-07-14 Methods and systems for efficient encrypted SNI filtering for cybersecurity applications
US16/928,083 2020-07-14
PCT/US2021/041635 WO2022072035A2 (en) 2020-07-14 2021-07-14 Methods and systems for efficient encrypted sni filtering for cybersecurity applications

Related Child Applications (1)

Application Number Title Priority Date Filing Date
JP2024163896A Division JP2024178324A (ja) 2020-07-14 2024-09-20 サイバーセキュリティアプリケーションのための暗号化されたｓｎｉフィルタリング方法およびシステム

Publications (2)

Publication Number Publication Date
JP2023535304A JP2023535304A (ja) 2023-08-17
JP7561265B2 true JP7561265B2 (ja) 2024-10-03

Family

ID=74570199

Family Applications (2)

Application Number Title Priority Date Filing Date
JP2023501496A Active JP7561265B2 (ja) 2020-07-14 2021-07-14 サイバーセキュリティアプリケーションのための暗号化されたｓｎｉフィルタリング方法およびシステム
JP2024163896A Pending JP2024178324A (ja) 2020-07-14 2024-09-20 サイバーセキュリティアプリケーションのための暗号化されたｓｎｉフィルタリング方法およびシステム

Family Applications After (1)

Application Number Title Priority Date Filing Date
JP2024163896A Pending JP2024178324A (ja) 2020-07-14 2024-09-20 サイバーセキュリティアプリケーションのための暗号化されたｓｎｉフィルタリング方法およびシステム

Country Status (8)

Country Link
US (7) US10924456B1 (ja)
EP (1) EP3941019A1 (ja)
JP (2) JP7561265B2 (ja)
KR (1) KR20230048334A (ja)
CN (2) CN114095198B (ja)
AU (1) AU2021353410B2 (ja)
CA (1) CA3186011A1 (ja)
WO (1) WO2022072035A2 (ja)

Families Citing this family (26)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP3550771A4 (en) * 2016-11-30 2019-12-18 Nec Corporation COMMUNICATION DEVICE, COMMUNICATION METHOD, AND COMMUNICATION PROGRAM
US10841280B2 (en) * 2018-03-16 2020-11-17 Lightspeed Systems, Inc. User device-based enterprise web filtering
US10924456B1 (en) 2020-07-14 2021-02-16 Centripetal Networks, Inc. Methods and systems for efficient encrypted SNI filtering for cybersecurity applications
CN116530054B (zh) * 2020-09-01 2025-09-12 瑞典爱立信有限公司 用于去激活电信网络中的服务器名称指示sni加密的方法和节点
CN116076097B (zh) * 2020-09-15 2025-09-09 瑞典爱立信有限公司 加密业务情况下用于业务检测的机制
US11729154B2 (en) * 2021-02-25 2023-08-15 Comcast Cable Communications, Llc Systems and methods for network privacy
US11570149B2 (en) * 2021-03-30 2023-01-31 Palo Alto Networks, Inc. Feedback mechanism to enforce a security policy
IL282353B2 (en) 2021-04-14 2025-02-01 Cognyte Tech Israel Ltd System and method for identifying services with encrypted traffic
US12200136B2 (en) * 2021-05-28 2025-01-14 Comcast Cable Communications, Llc Systems and methods for secure communication
US11743301B2 (en) * 2021-11-17 2023-08-29 Arbor Networks, Inc. System and method for DNS misuse detection
US20230179985A1 (en) * 2021-12-08 2023-06-08 Palo Alto Networks, Inc. Targeted pdu capture by a network device for roaming detection in wireless networks
US11552925B1 (en) * 2021-12-14 2023-01-10 Bitdefender IPR Management Ltd. Systems and methods of controlling internet access using encrypted DNS
US12052216B2 (en) 2021-12-18 2024-07-30 Microsoft Technology Licensing, Llc Using entity name mapping for routing network traffic having encrypted server name identification (SNI) headers
CN114374622B (zh) * 2021-12-31 2023-12-19 恒安嘉新（北京）科技股份公司 一种基于融合分流设备的分流方法及融合分流设备
US12095665B2 (en) 2022-01-10 2024-09-17 Cisco Technology, Inc. Network address translation (NAT)-based traffic steering
US20230247064A1 (en) * 2022-02-01 2023-08-03 Charter Communications Operating, Llc Methods and apparatus for automatically securing communications between a mediation device and point of intercept
US12107890B2 (en) * 2022-04-12 2024-10-01 Cujo LLC Network security with server name indication
EP4270871A1 (en) * 2022-04-25 2023-11-01 Sandvine Corporation System and method for classifying obfuscated traffic flows
US12250296B2 (en) 2022-05-24 2025-03-11 Bitdefender IPR Management Ltd. Privacy-preserving filtering of encrypted traffic via handshake decryption and re-encryption
CA3257989A1 (en) * 2022-06-07 2023-12-14 Centurylink Intellectual Property Llc SMART FIREWALL USING VALID TRAFFIC IDENTIFICATION
US20240129322A1 (en) * 2022-10-18 2024-04-18 Michael Kotlarz System and method for detecting digital intrusion and redirecting to safe zone in real-time
EP4380101A1 (en) * 2022-11-30 2024-06-05 Cujo LLC Discovery of fqdn for target website
US11838262B1 (en) 2022-11-30 2023-12-05 Cujo LLC Discovery of FQDN for target website
US20250125956A1 (en) * 2023-10-13 2025-04-17 Microsoft Technology Licensing, Llc Communication policy enforcement using a secure plaintext label
WO2025113818A1 (en) * 2023-11-27 2025-06-05 Telefonaktiebolaget Lm Ericsson (Publ) First node, second node, third node, communications system and methods performed thereby for handling information
CN119854182B (zh) * 2025-01-10 2025-09-30 中国科学技术大学 基于tls流量的nat局域网主机探测方法及系统

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20120227109A1 (en) 2011-03-03 2012-09-06 Jpmorgan Chase Bank, N.A. System And Method For Packet Profiling
CN107135190A (zh) 2016-02-29 2017-09-05 阿里巴巴集团控股有限公司 基于传输层安全连接的数据流量归属识别方法及装置
US20200053145A1 (en) 2018-08-13 2020-02-13 Wickr Inc. System and Method for Providing a Configuration File to Client Devices
WO2020127148A1 (en) 2018-12-21 2020-06-25 Telefonaktiebolaget Lm Ericsson (Publ) User data traffic handling

Family Cites Families (26)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7730187B2 (en) * 2006-10-05 2010-06-01 Limelight Networks, Inc. Remote domain name service
JP2011097468A (ja) * 2009-10-30 2011-05-12 Kumamoto Univ 監視装置、監視システム、監視方法及び監視プログラム
JP4879347B2 (ja) * 2009-12-25 2012-02-22 キヤノンＩｔソリューションズ株式会社 中継処理装置、中継処理方法及びプログラム
IL209960A0 (en) * 2010-12-13 2011-02-28 Comitari Technologies Ltd Web element spoofing prevention system and method
US9237168B2 (en) * 2012-05-17 2016-01-12 Cisco Technology, Inc. Transport layer security traffic control using service name identification
US9565213B2 (en) * 2012-10-22 2017-02-07 Centripetal Networks, Inc. Methods and systems for protecting a secured network
US9419942B1 (en) * 2013-06-05 2016-08-16 Palo Alto Networks, Inc. Destination domain extraction for secure protocols
US10223530B2 (en) * 2013-11-13 2019-03-05 Proofpoint, Inc. System and method of protecting client computers
CN103825887B (zh) * 2014-02-14 2017-06-16 深信服网络科技（深圳）有限公司 基于https加密的网站过滤方法和系统
US9137217B1 (en) * 2014-05-16 2015-09-15 Iboss, Inc. Manage encrypted network traffic using DNS responses
US9571452B2 (en) 2014-07-01 2017-02-14 Sophos Limited Deploying a security policy based on domain names
WO2017039591A1 (en) 2015-08-28 2017-03-09 Hewlett Packard Enterprise Development Lp Extracted data classification to determine if a dns packet is malicious
US9917856B2 (en) * 2015-12-23 2018-03-13 Centripetal Networks, Inc. Rule-based network-threat detection for encrypted communications
US11729144B2 (en) * 2016-01-04 2023-08-15 Centripetal Networks, Llc Efficient packet capture for cyber threat analysis
US10547638B1 (en) * 2017-03-22 2020-01-28 Ca, Inc. Detecting name resolution spoofing
US10284526B2 (en) * 2017-07-24 2019-05-07 Centripetal Networks, Inc. Efficient SSL/TLS proxy
US10693893B2 (en) 2018-01-16 2020-06-23 International Business Machines Corporation Detection of man-in-the-middle in HTTPS transactions independent of certificate trust chain
US11463364B2 (en) * 2018-07-24 2022-10-04 Telefonaktiebolaget Lm Ericsson (Publ) Methods, nodes and operator network for enabling filtering of traffic from an application
US11106807B2 (en) * 2018-09-05 2021-08-31 Comcast Cable Communications, Llc Domain name obfuscation and metadata storage via encryption
CN109450945A (zh) * 2018-12-26 2019-03-08 成都西维数码科技有限公司 一种基于sni的网页访问安全监控方法
US11310162B2 (en) 2019-02-22 2022-04-19 Sandvine Corporation System and method for classifying network traffic
US10594658B1 (en) * 2019-08-27 2020-03-17 Farsight Security, Inc. Preventing a network protocol over an encrypted channel, and applications thereof
US11070533B2 (en) 2019-10-10 2021-07-20 Forcepoint Llc Encrypted server name indication inspection
US11356423B2 (en) * 2020-01-14 2022-06-07 Cisco Technology, Inc. Managing encrypted server-name-indication (ESNI) at proxy devices
US10924456B1 (en) 2020-07-14 2021-02-16 Centripetal Networks, Inc. Methods and systems for efficient encrypted SNI filtering for cybersecurity applications
US11689642B2 (en) * 2021-07-15 2023-06-27 Cisco Technology, Inc. Routing application control and data-plane traffic in support of cloud-native applications

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20120227109A1 (en) 2011-03-03 2012-09-06 Jpmorgan Chase Bank, N.A. System And Method For Packet Profiling
CN107135190A (zh) 2016-02-29 2017-09-05 阿里巴巴集团控股有限公司 基于传输层安全连接的数据流量归属识别方法及装置
US20200053145A1 (en) 2018-08-13 2020-02-13 Wickr Inc. System and Method for Providing a Configuration File to Client Devices
WO2020127148A1 (en) 2018-12-21 2020-06-25 Telefonaktiebolaget Lm Ericsson (Publ) User data traffic handling

Also Published As

Publication number Publication date
AU2021353410A1 (en) 2023-02-16
US20220191171A1 (en) 2022-06-16
CN114095198B (zh) 2023-01-13
US20220021651A1 (en) 2022-01-20
CN116015865B (zh) 2025-11-21
CN116015865A (zh) 2023-04-25
US12255871B2 (en) 2025-03-18
CA3186011A1 (en) 2022-04-07
US20220021650A1 (en) 2022-01-20
EP3941019A1 (en) 2022-01-19
WO2022072035A2 (en) 2022-04-07
US20240171542A1 (en) 2024-05-23
US11271902B2 (en) 2022-03-08
US20230103468A1 (en) 2023-04-06
JP2023535304A (ja) 2023-08-17
US20230412561A1 (en) 2023-12-21
CN114095198A (zh) 2022-02-25
US11646996B2 (en) 2023-05-09
AU2021353410B2 (en) 2024-08-29
US11855966B2 (en) 2023-12-26
WO2022072035A3 (en) 2022-06-16
KR20230048334A (ko) 2023-04-11
US10924456B1 (en) 2021-02-16
US12166744B2 (en) 2024-12-10
US11463405B2 (en) 2022-10-04
JP2024178324A (ja) 2024-12-24

Similar Documents

Publication Publication Date Title
JP7561265B2 (ja) サイバーセキュリティアプリケーションのための暗号化されたｓｎｉフィルタリング方法およびシステム
CN111034150B (zh) 选择性地解密ssl/tls通信的方法和装置
US12034710B2 (en) Efficient SSL/TLS proxy
US20230370492A1 (en) Identify and block domains used for nxns-based ddos attack

Legal Events

Date Code Title Description
A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20230307

A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20230307

A711 Notification of change in applicant

Free format text: JAPANESE INTERMEDIATE CODE: A711

Effective date: 20230815

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20240222

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20240520

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20240725

A601 Written request for extension of time

Free format text: JAPANESE INTERMEDIATE CODE: A601

Effective date: 20240823

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20240920

R150 Certificate of patent or registration of utility model

Ref document number: 7561265

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150