JP2025502606A - ネットワーキングおよびセキュリティスプリットアーキテクチャ - Google Patents

Abstract

ネットワーキングおよびセキュリティスプリットアーキテクチャを提供するための技術が開示される。いくつかの実施形態において、ネットワーキングおよびセキュリティスプリットアーキテクチャを提供するためのシステム、プロセス、及び／又は、コンピュータプログラム製品は、セキュリティサービスにおいてフローを受信するステップと、１つ以上のネットワーキング機能を実行するために、セキュリティサービスのネットワーク層においてフローを処理するステップと、ポリシに基づいてセキュリティ実施を実行するために、フローをセキュリティサービスのセキュリティ層にオフロードするステップと、を含む。

Description

ファイアウォールは、一般的に、認可された通信がファイアウォールを通過することを可能にしながら、認可されていないアクセスからネットワークを保護する。ファイアウォールは、典型的に、ネットワークアクセスのためにファイアウォール機能を提供する、コンピュータといった、デバイスまたは一式のデバイス、もしくは、デバイスにおいて実行されるソフトウェアである。例えば、ファイアウォールは、デバイス（例えば、コンピュータ、スマートフォン、または、他のタイプのネットワーク通信可能なデバイス）のオペレーティングシステムの中に統合することができる。ファイアウォールは、また、コンピュータサーバ、ゲートウェイ、ネットワーク／ルーティングデバイス（例えば、ネットワークルータ）、または、データアプライアンス（例えば、セキュリティ機器、または、他のタイプの専用デバイス）に統合するか、または、ソフトウェアとして実行することもできる。

ファイアウォールは、典型的に、一式のルールに基づいてネットワーク送信を拒否または許可する。これらの一式のルールは、しばしば、ポリシと呼ばれる。例えば、ファイアウォールは、一式のルールまたはポリシを適用することによって、インバウンドトラフィックをフィルタリングすることができる。ファイアウォールは、また、一式のルールまたはポリシを適用することによって、アウトバウンドトラフィックをフィルタリングすることもできる。ファイアウォールは、また、基本的なルーティング機能を実行することもできる。

本発明の様々な実施形態が、以下の詳細な説明および添付の図面において開示されている。
図１は、いくつかの実施形態に従った、ネットワーキングおよびセキュリティスプリットアーキテクチャを提供するためのシステムアーキテクチャに係る機能図である。 図２は、いくつかの実施形態に従った、ネットワーキングおよびセキュリティスプリットアーキテクチャを提供するためのシステムアーキテクチャに係る別の機能図である。 図３は、いくつかの実施形態に従った、ネットワーキングおよびセキュリティスプリットアーキテクチャを提供するためのシステムアーキテクチャに係る別の機能図である。 図４Ａは、データアプライアンスの一つの実施形態である。 図４Ｂは、データアプライアンスの一つの実施形態に係る論理コンポーネントの機能図である。 図５は、いくつかの実施形態に従った、ネットワーキングおよびセキュリティスプリットアーキテクチャを提供するためのプロセスを示すフローチャートである。 図６は、いくつかの実施形態に従った、ネットワーキングおよびセキュリティスプリットアーキテクチャを提供するためのプロセスを示す別のフローチャートである。 図７は、いくつかの実施形態に従った、ネットワーキングおよびセキュリティスプリットアーキテクチャによって提供される性能改善に係る一つの実施例を示している。

本発明は、プロセス、装置、システム、組成物、コンピュータ可読記憶媒体上に具現化されたコンピュータプログラム製品、及び／又は、プロセッサに結合されたメモリ上に保管された命令、及び／又は、メモリによって提供される命令を実行するように構成されたプロセッサといった、プロセッサを含む、多数の方法で実施することができる。本明細書では、これらの実装形態、または、本発明がとり得る任意の他の形態は、技法（ｔｅｃｈｎｉｑｕｅ）と称され得る。一般的に、開示されるプロセスのステップの順序は、本発明の範囲内で変更され得る。特に明記しない限り、タスクを実行するように構成されているものとして説明されるプロセッサまたはメモリといったコンポーネントは、所与の時間にタスクを実行するように一時的に構成される汎用コンポーネント、または、タスクを実行するように製造される所定のコンポーネントとして実装され得る。本明細書で使用されるように、「プロセッサ（“ｐｒｏｃｅｓｓｏｒ”）」という用語は、コンピュータプログラム命令といった、データを処理するように構成された１つ以上のデバイス、回路、及び／又は、処理コアを指す。

本発明の１つ以上の実施形態の詳細な説明が、本発明の原理を示す添付の図面とともに、以下に提供されている。本発明は、そうした実施形態に関連して説明されるが、本発明は、いかなる実施形態にも限定されるものではない。本発明の範囲は、請求項によってのみ限定されるものであり、かつ、本発明は、多数の代替、修正、および、均等物を包含する。本発明の完全な理解を提供するために、以下の説明において多数の具体的な詳細が記載されている。これらの詳細は、例示の目的で提供されるものであり、そして、本発明は、これらの具体的な詳細の一部または全部を伴わずに、請求項に従って実施され得る。明確にするために、本発明に関連する技術分野で知られている技術的材料は、本発明が不必要に不明瞭にならないように、詳細には説明されていない。

先進的または次世代ファイアウォール

マルウェアは、一般的に、悪意のあるソフトウェア（例えば、様々な敵対的、侵入的、及び／又は、そうでなければ不要なソフトウェアを含んでいる）を指すために使用される用語である。マルウェアは、コード、スクリプト、アクティブコンテンツ、及び／又は、他のソフトウェアの形態であり得る。マルウェアの例示的な使用は、コンピュータ及び／又はネットワーク動作を中断すること、機密情報（例えば、身元（ｉｄｅｎｔｉｔｙ）、金融、及び／又は、知的財産関連情報といった、秘密情報）を盗むこと、及び／又は、プライベート／専用コンピュータシステム及び／又はコンピュータネットワークへのアクセスを得ること、を含む。残念ながら、マルウェアの検出および軽減を助けるための技法が開発されるにつれて、不正な作者（ｎｅｆａｒｉｏｕｓ ａｕｔｈｏｒ）は、そうした努力を回避する方法を見出している。従って、マルウェアを識別し、かつ、軽減するための技法に対する改善の必要性が引き続き存在している。

ファイアウォールは、一般的に、承認された通信がファイアウォールを通過することを許可し、一方で、不正アクセスからネットワークを保護している。ファイアウォールは、典型的には、ネットワークアクセスのためにファイアウォール機能を提供する、デバイス、一式のデバイス、または、デバイスにおいて実行されるソフトウェアである。例えば、ファイアウォールは、デバイス（例えば、コンピュータ、スマートフォン、または、他のタイプのネットワーク通信可能デバイス）のオペレーティングシステムの中に統合することができる。ファイアウォールは、また、種々のタイプのデバイスまたはセキュリティデバイス上のソフトウェアアプリケーションに統合されるか、またはそれとして実行されることもできる。コンピュータサーバ、ゲートウェイ、ネットワーク／ルーティングデバイス（例えば、ネットワークルータ）、または、データアプライアンス（例えば、セキュリティ機器、または、他のタイプの特殊目的デバイス、そして、いくつかの実装では、所定の動作が、ＡＳＩＣまたはＦＰＧＡ等の専用ハードウェア内に実装されることができる）といったものである。

ファイアウォールは、典型的に、一式のルールに基づいてネットワーク送信を拒否または許可する。これらの一式のルールは、しばしば、ポリシ（例えば、ネットワークポリシ、または、ネットワークセキュリティポリシ）と呼ばれる。例えば、ファイアウォールは、不要な外部トラフィックが保護デバイスに到達することを防ぐために、一式のルールまたはポリシを適用することによって、インバウンドトラフィックをフィルタリングすることができる。ファイアウォールは、また、一式のルールまたはポリシを適用することによってアウトバウンドトラフィックをフィルタリングすることもできる（例えば、許可（ａｌｌｏｗ）、ブロック（ｂｌｏｃｋ）、モニタリング（ｍｏｎｉｔｏｒ）、通知（ｎｏｔｉｆｙ）、またはログ（ｌｏｇ）、及び／又は、ファイアウォールルールまたはファイアウォールポリシにおいて指定され得る他のアクションであり、これらは、本明細書において説明されるような、様々な基準に基づいてトリガすることができる）。ファイアウォールは、また、同様に一式のルールまたはポリシを適用することによって、ローカルネットワーク（例えば、イントラネット）トラフィックをフィルタリングすることもできる。

セキュリティデバイス（例えば、セキュリティ機器、セキュリティゲートウェイ、セキュリティサービス、及び／又は、他のセキュリティデバイス）は、様々なセキュリティ動作（例えば、ファイアウォール、アンチ－マルウェア、侵入防止／検出、プロキシ、及び／又は、他のセキュリティ機能）、ネットワーク機能（例えば、ルーティング、クオリティ・オブ・サービス（ＱｏＳ）、ネットワーク関連リソースのワークロードバランシング、及び／又は、他のネットワーキング機能）、及び／又は、他のセキュリティ及び／又はネットワーキング関連の動作を実行することができる。例えば、ルーティングは、送信元（ｓｏｕｒｃｅ）情報（例えば、ＩＰアドレスおよびポート）、宛先（ｄｅｓｔｉｎａｔｉｏｎ）情報（例えば、ＩＰアドレスおよびポート）、および、プロトコル情報（例えば、レイヤ３ ＩＰベースのルーティング）に基づいて実行することができる。

基本的なパケットフィルタリング・ファイアウォールは、ネットワークを介して送信される個々のパケットを検査することによって、ネットワーク通信トラフィックをフィルタリングする（例えば、パケットフィルタリング・ファイアウォールまたは第１世代ファイアウォールであり、それらはステートレス（ｓｔａｔｅｌｅｓｓ）パケットフィルタリング・ファイアウォールである）。ステートレスパケットフィルタリング・ファイアウォールは、典型的に、個々のパケット自体を検査し、そして、検査されたパケットに基づいて（例えば、パケットの送信元および宛先のアドレス情報、プロトコル情報、および、ポート番号の組み合わせを使用して）ルールを適用する。

アプリケーション・ファイアウォールは、また、（例えば、ＴＣＰ／ＩＰスタックのアプリケーションレベルにおいて動作する、アプリケーション層フィルタリング・ファイアウォール、または、第２世代ファイアウォールを使用して）アプリケーション層フィルタリングを実行することもできる。アプリケーション層フィルタリング・ファイアウォールまたはアプリケーション・ファイアウォールは、一般的に、所定のアプリケーションおよびプロトコル（例えば、ハイパーテキスト転送プロトコル（ＨＴＴＰ）を使用したウェブブラウジング、ドメインネームシステム（ＤＮＳ）要求、ファイル転送プロトコル（ＦＴＰ）を使用したファイル転送、および、Ｔｅｌｎｅｔ、ＤＨＣＰ、ＴＣＰ、ＵＤＰ、およびＴＦＴＰ（ＧＳＳ）といった、様々な他のタイプのアプリケーションおよび他のプロトコル）を識別することができる。例えば、アプリケーション・ファイアウォールは、標準ポートを介して通信を試みる未認可（ｕｎａｕｔｈｏｒｉｚｅｄ）プロトコルをブロックすることができる（例えば、そのプロトコルについて非標準（ｎｏｎ－ｓｔａｎｄａｒｄ）ポートを使用することにより黙って通り抜けること（ｓｎｅａｋ ｔｈｒｏｕｇｈ）を試みる未認可／外れたポリシプロトコルは、一般的に、アプリケーション・ファイアウォールを使用して識別することができる）。

ステートフル・ファイアウォールは、また、ステートフル・ベースのパケット検査を実行することもでき、そこでは、各パケットが、そのネットワーク送信のパケットフロー（例えば、ステートフル・ファイアウォールまたは第３世代ファイアウォール）（ｐａｃｋｅｔｓ／ｐａｃｋｅｔ ｆｌｏｗ）と関連する一式のパケットのコンテキストの中で検査される。このファイアウォール技法は、一般的に、ステートフル・パケット検査と呼ばれる。ファイアウォールを通過する全ての接続の記録を維持し、そして、パケットが、新しい接続の開始であるか、既存の接続の一部であるか、または、無効なパケットであるかを判断することができるからである。例えば、接続の状態は、それ自体が、ポリシの中のルールをトリガするクライテリアの１つになり得る。

先進的または次世代ファイアウォールは、上述のように、ステートレスおよびステートフルなパケットフィルタリングおよびアプリケーション層フィルタリングを実行することができる。次世代ファイアウォールは、また、追加のファイアウォール技法を実行することもできる。例えば、ときどき、先進的または次世代ファイアウォールと呼ばれる、所定の新しいファイアウォールは、また、ユーザおよびコンテンツを識別することもできる。特に、所定の次世代ファイアウォールは、これらのファイアウォールが自動的に識別できるアプリケーションのリストを、何千ものアプリケーションまで拡大している。そうした次世代ファイアウォールの例は、Ｐａｌｏ Ａｌｔｏ Ｎｅｔｗｏｒｋｓ社から市販されている（例えば、Ｐａｌｏ Ａｌｔｏ ＮｅｔｗｏｒｋｓのＰＡ Ｓｅｒｉｅｓファイアウォール）。

例えば、Ｐａｌｏ Ａｌｔｏ Ｎｅｔｗｏｒｋｓ社の次世代ファイアウォールは、様々な識別技術を使用して、企業が、－単にポート、ＩＰアドレス、およびパケットだけでなく－アプリケーション、ユーザ、およびコンテンツを識別し、かつ、制御することを可能にする。様々な識別技術は、正確なアプリケーション識別のためのアプリケーションＩＤ（Ａｐｐ－ＩＤ）、ユーザ識別のためのユーザＩＤ（Ｕｓｅｒ－ＩＤ）（例えば、ユーザまたはユーザグループ）、および、リアルタイムなコンテンツスキャニングのためのコンテンツＩＤ（Ｃｏｎｔｅｎｔ－ＩＤ）（例えば、Ｗｅｂサーフィンを制御し、かつ、データおよびファイルの転送を制限する）、といったものである。これらの識別技術により、企業は、従来のポートブロッキングファイアウォールによって提供される従来のアプローチに従う代わりに、ビジネス関連の概念を使用して、アプリケーションの使用を安全に可能にすることができる。また、次世代ファイアウォールのための特定目的ハードウェアは、専用の機器として、汎用ハードウェアにおいて実行されるソフトウェアよりも、アプリケーション検査についてより高いパフォーマンスレベルを一般的に提供する（例えば、Ｐａｌｏ Ａｌｔｏ Ｎｅｔｗｏｒｋｓ社が提供するセキュリティ機器といったものであり、シングルパス・ソフトウェアエンジンと堅く統合されている、専用の、機能固有の処理を利用し、レイテンシ（ｌａｔｅｎｃｙ）を最小化する一方で、ネットワークのスループットを最大化する）。

先進的または次世代ファイアウォールは、また、仮想化ファイアウォールを使用して実装することもできる。そうした次世代ファイアウォールの例は、Ｐａｌｏ Ａｌｔｏ Ｎｅｔｗｏｒｋｓ社から市販されている（Ｐａｌｏ Ａｌｔｏ Ｎｅｔｗｏｒｋｓのファイアウォールは、例えば、ＶＭｗａｒｅ（Ｒ） ＥＳＸｉ^ＴＭおよびＮＳＸ^ＴＭ、Ｃｉｔｒｉｘ（Ｒ）Ｎｅｔｓｃａｌｅｒ ＳＤＸ^ＴＭ、ＫＶＭ／ＯｐｅｎＳｔａｃｋ（Ｃｅｎｔｏｓ／ＲＨＥＬ、Ｕｂｕｎｔｕ（Ｒ））、および、Ａｍａｚｏｎ Ｗｅｂ Ｓｅｒｖｉｃｅｓ（ＡＷＳ）を含む、様々な商用仮想化環境をサポートしている）。例えば、仮想化ファイアウォールは、物理的フォームファクタ機器で利用可能な、類似の、または、全く同じ次世代ファイアウォールおよび先進的な脅威防止機能をサポートすることができ、企業は、アプリケーションがそのプライベート、パブリック、およびハイブリッドクラウドコンピューティング環境に流入し、それらにわたり安全に流れることができることを可能にする。ＶＭモニタリング、ダイナミックアドレスグループ、およびＲＥＳＴベースのＡＰＩといった自動化機能により、企業は、ＶＭの変化を動的にモニタすることができ、そのコンテキストをセキュリティポリシに反映させて、それにより、ＶＭの変化時に生じ得るポリシの遅れ（ｌａｇ）を排除している。

帯域幅が増加するネットワーク環境におけるセキュリティソリューションの技術的課題

セキュリティサービスプロバイダは、様々なファイアウォール、ＶＰＮ、および、他のセキュリティ関連サービスを含む、様々な市販のセキュリティソリューションを提供する。例えば、いくつかのセキュリティサービスプロバイダは、様々なファイアウォール、ＶＰＮ、および、他のセキュリティ関連サービスを含む、そうしたセキュリティソリューションを顧客に提供する。しかしながら、増加する帯域幅ネットワーク環境（例えば、１００ギガバイト（１００Ｇ）リンクを有するエンタープライズネットワーク環境）は、そうしたセキュリティソリューションに対する技術的課題を提示する。

具体的に、必要とされるものは、そうしたセキュリティソリューションについて高スループットを効率的に促進するための新しく、かつ、改善されたソリューションである。例えば、プライベートおよびパブリッククラウドネットワークは、１００Ｇ又はより高速のネットワーク（例えば、１００Ｇ又はより高速のリンクを有するネットワーク）に向かって移動している。結果として、仮想セキュリティソリューションを提供することはますます高価である（例えば、１００Ｇ又はより高速における、Ｐａｌｏ Ａｌｔｏ Ｎｅｔｗｏｒｋｓ社から市販されているファイアウォールのための仮想セキュリティソリューションといったものであり、それらは、例えば、ＶＭｗａｒｅ（Ｒ） ＥＳＸｉ^ＴＭおよびＮＳＸ^ＴＭ、Ｃｉｔｒｉｘ（Ｒ）Ｎｅｔｓｃａｌｅｒ ＳＤＸ^ＴＭ、ＫＶＭ／ＯｐｅｎＳｔａｃｋ（Ｃｅｎｔｏｓ／ＲＨＥＬ、Ｕｂｕｎｔｕ（Ｒ））、および、Ａｍａｚｏｎ Ｗｅｂ Ｓｅｒｖｉｃｅｓ（ＡＷＳ）、または、様々な他の市販のファイアウォールソリューションを含む、様々な商用仮想化環境を使用して提供されている）。既存のアプローチの一つの例は、ユーザ空間にある、ＶＭ／ＣＮシリーズ仮想化環境を用いてオフロード（ｏｆｆｌｏａｄ）を試みることである。しかしながら、このアプローチは、そうしたオフローディング動作のために利用されるコンピューティングリソースの点で高価である。

ネットワーキングおよびセキュリティスプリットアーキテクチャを提供するための技法の概要

現在のＳＡＳＥ（Ｓｅｃｕｒｉｔｙ Ａｃｃｅｓｓ Ｓｅｒｖｉｃｅ Ｅｄｇｅ）環境においては、我々が克服する必要がある多くの技術的課題が存在している。これらの技術的課題の例が、これから、説明される。ネットワーキング機能は、パブリックＩＰアドレスおよびプライベートＩＰアドレスプール、等といった、ネットワーキング中心であり、かつ、本来は本質的に弾力性のない（ｎｏｔ ｉｎｈｅｒｅｎｔｌｙ ｅｌａｓｔｉｃ）、外部リソースに関連付けられる。また、セキュリティ処理能力のための真の弾力性（ｅｌａｓｔｉｃｉｔｙ）を達成することは、一般的に、技術的には困難である。別の例として、より良好なサービスレベル性能および可用性を達成するために、サードパーティ、または、クラウドプロバイダサービスおよび機能を活用することは、一般的に、技術的には困難である。

従って、ネットワーキングおよびセキュリティスプリットアーキテクチャ（ｓｅｃｕｒｉｔｙ ｓｐｌｉｔ ａｒｃｈｉｔｅｃｔｕｒｅ）を提供するための様々な技法が開示される。本明細書で説明される一つの例は、セキュリティエンティティを、ネットワーキング機能層およびセキュリティ機能層へと分割する、新しいネットワーキングおよびセキュリティスプリットアーキテクチャである（例えば、ＰａｎＯＳプラットフォームを使用するといった、ネットワークゲートウェイファイアウォール（ＮＧＦＷ）であり、例として、カリフォルニア州サンタクララに本拠を置くＰａｌｏ Ａｌｔｏ Ｎｅｔｗｏｒｋｓ社から入手可能なＰａｌｏ Ａｌｔｏ Ｎｅｔｗｏｒｋｓ ＶＭ／ＣＮシリーズ仮想ファイアウォールプラットフォームであり、または、他の市販のセキュリティプラットフォームは、本明細書で説明されるように、開示されるスプリットネットワーキングおよびセキュリティアーキテクチャ技法を使用して、同様に修正され得る）。

例示的な実装において、ネットワーキング機能層は、ＩＰＳｅｃ終了、ルーティング、ネットワークアドレス変換（ＮＡＴ）、等といった、ネットワーキングタスクを終了し、かつ、処理（ｈａｎｄｌｅ）するためにフロントエンドにおいて実装される。本明細書では、この層を、ネットワーキングアンカー層（Ｎｅｔｗｏｒｋｉｎｇ Ａｎｃｈｏｒ Ｌａｙｅｒ）と呼ぶ。セキュリティ機能層は、レイヤ７コンテンツ検査、ＳＳＬ復号（Ｄｅｃｒｙｐｔｉｏｎ）、ＵＲＬフィルタ、等といった、セキュリティタスクを処理するために、バックエンドに展開されている。本明細書では、この層を、セキュリティオフロード層（Ｓｅｃｕｒｉｔｙ Ｏｆｆｌｏａｄｉｎｇ Ｌａｙｅｒ）と呼ぶ。これら２つの層の間のインターフェイスは、オフロードインターフェイスと呼ばれる。

この例示的な実装においては、一旦、ネットワーキングアンカー層でネットワークトラフィックが受信されると、我々は、ＩＰＳｅｃ終了、ネットワーキングルックアップ、次いで、負荷分散（ｌｏａｄ ｂａｌａｎｃｉｎｇ）を、様々なセキュリティオフロード層インスタンスに対して適用することができる。セキュリティオフロード層インスタンスは、次いで、セキュリティポリシルックアップ、レイヤ７コンテンツ検査、および、可能なＳＳＬ復号、または、他のセキュリティ機能を実行する。セキュリティ処理の後で、ネットワークトラフィックは、ルーティング、および、可能なＮＡＴ機能のために、ネットワーキングアンカー層に戻って転送される。

開示されるネットワーキングおよびセキュリティスプリットアーキテクチャは、セキュリティソリューションに対する既存のアプローチに対して様々な改善を提供する。例えば、ネットワーキングアンカー層は、ＣＰＵ集中セキュリティタスクを実行するために、そうした層が必要とされないので、より良好なユニット性能を提供することができる。かくして、この層は、パブリックＩＰアドレスおよびプライベートＩＰアドレスプールといった、より多くのネットワーキングリソースを集約することができる。このことは、一般的に、インスタンス境界にわたり（例えば、仮想ファイアウォールインスタンス境界にわたり）これらのネットワーキングリソースを管理するための変更および困難を低減する。

別の例として、セキュリティオフロード層は、比較的に、ネットワークに依存しない（ａｇｎｏｓｔｉｃ）。従って、セキュリティオフロード層は、ネットワーキングまたはロケーションの知識なしで、より弾力的に展開され得る。

いくつかの実施形態において、ネットワーキングおよびセキュリティスプリットアーキテクチャを提供するためのシステム、プロセス、及び／又は、コンピュータプログラム製品は、セキュリティサービス（例えば、一つのパブリッククラウドサービスプロバイダ、または、複数のパブリッククラウドサービスプロバイダを使用するといった、クラウドベースのセキュリティサービス）で、フローを受信すること、１つ以上のネットワーキング機能を実行するために、セキュリティサービスのネットワーク層（例えば、ネットワークアンカーインスタンス）で、フローを処理すること、および、ポリシに基づいてセキュリティ実施を実行するために、フローを、セキュリティサービスのセキュリティ層（例えば、オフロードセキュリティインスタンス）にオフロードすること、を含む。

例えば、フローは、セキュリティサービスで、新しいフローであると決定され、そして、メタ情報は、セキュリティサービスのネットワーク層でのフローの処理の最中にフローから抽出され得る。そこで、メタ情報は、フローに関連付けられたアプリケーション識別を含んでいる。

ネットワーク層でのフローの処理は、以下のうちの１つ以上を実行することを含み得る。すなわち、ＩＰＳＥＣ終了、ルーティング、ネットワークアドレス変換（ＮＡＴ）、および、ディープパケットインスペクション、である。

セキュリティ層は、（例えば、ファイアウォールの）複数のセキュリティインスタンスを含むことができ、かつ／あるいは、複数のセキュリティインスタンスは、以下のうちの１つ以上を含むセキュリティ機能の別個のマイクロサービスを実行するように実装され得る。すなわち、アンチウィルス、アンチスパム、ＤＮＳセキュリティ、侵入検知／防止セキュリティ（ＩＤＳ／ＩＰＳ）、および、データ抽出セキュリティ、である。

ネットワーク層は、以下のうちの１つ以上を含むことができる。すなわち、ネットワークルータ、仮想プライベートネットワーク（ＶＰＮ）ゲートウェイ、および、ロードバランサ（例えば、ロードバランサは、セッションの第１パケットを、セキュリティ層の１つのセキュリティインスタンスに送信し、かつ、同じセッションの後続のパケットを、セキュリティ層の同じセキュリティインスタンスに送信することができる）、である。

フローが閉じられた（ｃｌｏｓｅｄ）後で、フローに関連付けられたセッション統計が、セキュリティ層によって生成され得る。

ネットワーキングおよびセキュリティスプリットアーキテクチャを提供する開示される技術は、強化されたセキュリティソリューションのための任意の展開（ｄｅｐｌｏｙｍｅｎｔ）に対して適用され得る。一つの例として、開示される技術は、サービスプロバイダネットワーク環境といった、高帯域幅ネットワーク環境に対して適用することができる。具体的に、サービスプロバイダの展開（例えば、ＡＴ＆Ｔ、Ｖｅｒｉｚｏｎ、または、他の市販のサービスセルラー、及び／又は、インターネット／ネットワークサービスプロバイダの展開）は、一般的に、高帯域幅ネットワーク環境に関連付けられる（例えば、そうしたサービスプロバイダは、典型的に、非常に高いスループット（例えば、１００ Ｇｂｐｓ）を所望する）。サービスプロバイダの展開は、また、一般的に、ネットワークトラフィックの大部分が典型的にはパススルートラフィック（ｐａｓｓｔｈｒｏｕｇｈ ｔｒａｆｆｉｃ）（例えば、エレファントフロー（ｅｌｅｐｈａｎｔ ｆｌｏｗ））である、ネットワーク環境にも関連付けられる。かくして、サービスプロバイダネットワークにおけるネットワークトラフィックの著しい割合が、セキュリティ検査についてバイパスされる可能性を有する、より少数のフロー内に存在している（例えば、一つの例示的なサービスプロバイダネットワークでは、ネットワークトラフィックの約８０％は、それが、この例示的なサービスプロバイダネットワークを通過しているエレファントフローの割合なので、オフロードされ得る。）。これらのエレファントフローは、典型的には、ビデオストリーム（例えば、Ｎｅｔｆｌｉｘ、ＹｏｕＴｕｂｅ（登録商標）、等を使用するビデオストリーミング）、及び／又は、ビデオ会議（例えば、Ｚｏｏｍ、ＷｅｂＥｘ、等を使用するビデオ会議）である。

ネットワーキングおよびセキュリティスプリットアーキテクチャを提供するための開示される技術を使用することから利益を得ることができる、ネットワークトラフィックの他の例示的なタイプは、これら又は他の暗号化されたネットワークプロトコルを使用して暗号化される、ＳＳＨ、ＳＳＬ、および、ＩＰＳＥＣ関連ネットワークトラフィックを含んでいる。サービスプロバイダは、典型的に、それらの顧客間のフローの中間にあるとすると、サービスプロバイダは、一般的に、そうした暗号化されたネットワークトラフィックを検査するために必要な鍵を有しておらず、そして、かくして、この暗号化されたトラフィックも、また、開示される技法を使用して、効果的にオフロードされ得る。様々な他のタイプのネットワークトラフィックが、同様に、開示される技法を使用して、効果的にオフロードされ得る。

従って、ネットワーキングおよびセキュリティスプリットアーキテクチャを提供するための様々な技法が開示され、以下でも、また、さらに説明される。

ネットワーキングおよびセキュリティスプリットアーキテクチャを提供するための例示的なシステム実施形態

図１は、いくつかの実施形態に従った、ネットワーキングおよびセキュリティスプリットアーキテクチャを提供するためのシステムアーキテクチャに係る機能図である。図１を参照すると、ネットワーキングおよびセキュリティスプリットアーキテクチャソリューション１０２（例えば、仮想プライベートクラウド（ＶＰＣ）におけるクラウドベースのセキュリティサービスとして実装されるもの）が提供されている。それは、ネットワーキングアンカー層（Ｎｅｔｗｏｒｋｉｎｇ Ａｎｃｈｏｒ Ｌａｙｅｒ）１０４Ａ、（例えば、ルーティング、ネットワーキングの終了、アンダーレイトンネリング、ネットワークアドレス変換（ＮＡＴ）、等のためのレイヤを実装している、開示されるネットワーキングアンカー層の軽量バージョン（例えば、セキュリティ処理コンポーネントを含まない））、オフロードインターフェイス（Ｏｆｆｌｏａｄｉｎｇ Ｉｎｔｅｒｆａｃｅ）１０６（例えば、ネットワーキングレイヤとセキュリティ層との間の機能インターフェイスを提供するためのレイヤを実装している）、および、セキュリティオフロード層（Ｓｅｃｕｒｉｔｙ Ｏｆｆｌｏａｄｉｎｇ）１０８（例えば、ＳＳＬ復号、セキュリティポリシ実施のためのディープパケットインスペクション（ＤＰＩ）、等といったセキュリティ処理のためのレイヤを実装するための動的に割り当てられたセキュリティ処理インスタンス（ｓｅｃｕｒｉｎｇ ｐｒｏｃｅｓｓｉｎｇ ｉｎｓｔａｎｃｅｓ））を含んでいる。図示のように、ネットワーキングアンカー層は、以下の例示的なコンポーネントを含む。すなわち、ルータ１１４、ＶＰＮゲートウェイ１１６、および、ロードバランサ１１８（例えば、適応ロードバランサとして実装され、それは、ポリシベースの転送（ＰＢＦ）を実行し、かつ、ネクストホップ（ｎｅｘｔ－ｈｏｐ）グループへのトラフィックの転送をサポートし、複数の転送先（オフロードインスタンス）を含むことができ、そして、動的に追加または除去することができ、同様に、グループベースのロードバランスハッシュアルゴリズム（例えば、セッションＩＤ／ソースのみ／宛先のみ／ソース－宛先／等）を使用している。また、図示されるように、セキュリティオフロード層は、セキュリティインスタンスグループを含む（例えば、複数のＰａｎＯＳインスタンスを含んでおり、または、別の市販の仮想／コンテナベースのセキュリティプラットフォーム層が、同様に、この層において実装され得る）。

この例示的な実装において、ネットワーキングアンカー層は、ＣＰＵ集約的なセキュリティタスクを実行するためにそうしたレイヤが必要とされないので、より良好なユニット性能を提供することができる。かくして、この層は、パブリックＩＰアドレスおよびプライベートＩＰアドレスプールといった、より多くのネットワーキングリソースを集約することができる。このことは、一般的に、インスタンス境界にわたり（例えば、仮想ファイアウォールインスタンス境界にわたり）これらのネットワーキングリソースを管理するための変更および困難を低減する。また、この例示的な軽量ネットワーキングアンカー層（例えば、純粋なネットワーキングアンカー層）は、同じ転送経路を用いてネットワークトラフィックの１００％をカバーすることができる（例えば、全てのアプリケーションに対して同じスケーリング挙動を提供し、そして、セキュリティ完全性を維持する）。セキュリティオフロード層は、比較的に、ネットワークに依存しない。かくして、セキュリティオフロード層は、ネットワーキングまたはロケーションの知識なしに、より弾力的に展開され得る。

支社（Ｂｒａｎｃｈ Ｏｆｆｉｃｅ）１１２Ａおよび１１２Ｂからのネットワークトラフィックは、ＩＰＳｅｃトンネルを介して、ネットワーキングアンカー層に送信される。ルータは、暗号化されていない（ｎｏｎ－ｅｎｃｒｙｐｔｅｄ）トラフィックをセキュリティオフロード層にルーティングし、そして、暗号化されたトラフィックをＶＰＮゲートウェイにルーティングする。ルータは、また、インターネット１１０への／からのトラフィックをルーティングすることができる。ロードバランサは、示されるように、セキュリティオフロード層の様々なセキュリティインスタンスに対して、（例えば、ネットワークトラフィックまたはセッションに関連付けられたレイヤ４情報に基づいて）ネットワークトラフィックを動的に負荷分散する。この例示的な実装において、ＩＰユーザマッピングが、ネットワーキングアンカー層およびセキュリティオフロード層の両方において生成され、そして、１つのインスタンスにおいて生成されるエントリが、他の全てのインスタンスに同期され得る。

図２は、いくつかの実施形態に従った、ネットワーキングおよびセキュリティスプリットアーキテクチャを提供するためのシステムアーキテクチャに係る別の機能図である。図２を参照すると、ネットワーキングおよびセキュリティスプリットアーキテクチャソリューション１０２Ｂ（例えば、仮想プライベートクラウド（ＶＰＣ）においてクラウドベースのセキュリティサービスとして実装されるもの）が、同様に、提供されている。それは、ネットワーキングアンカー層１０４Ｂ（例えば、ルーティング、ネットワーキングの終了、アンダーレイトンネリング、ネットワークアドレス変換（ＮＡＴ）、等のためのレイヤを実装している）、オフロードインターフェイス１０６（例えば、ネットワーク層とセキュリティ層との間の機能的インターフェイスを提供するためのレイヤを実装している、動的に割り当てられたセキュリティ処理インスタンス）、および、セキュリティオフロード層１０８（例えば、ＳＳＬ復号、セキュリティポリシ実施のためのディープパケットインスペクション（ＤＰＩ）、等といった、セキュリティ処理のためのレイヤを実装している）を含んでいる。図示されるように、この例示的な実装におけるネットワーキングアンカー層は、以下の例示的なコンポーネントを含む。すなわち、ルータ１１４、ＶＰＮゲートウェイ１１６、および、ロードバランサ１１８、並びに、非アンカー（ｕｎ－ａｎｃｈｏｒｅｄ）ネットワークトラフィックにおけるセキュリティ処理（例えば、５％スループット）を実行するためのセキュリティ処理コンポーネント１２０、である。また、示されるように、セキュリティオフロード層は、図１に関して上記で説明されたのと同様にように、レイヤ４情報に基づいて負荷分散され得る、アンカートラフィックにおけるセキュリティ処理（例えば、９５％スループット）のためのセキュリティインスタンスグループ（例えば、複数のＰａｎＯＳインスタンスを含んでおり、または、別の市販の仮想／コンテナベースのセキュリティプラットフォーム層が、同様に、この層において実装され得る）を含む。

図３は、いくつかの実施形態に従った、ネットワーキングおよびセキュリティスプリットアーキテクチャを提供するためのシステムアーキテクチャに係る別の機能図である。図３を参照すると、ネットワーキングおよびセキュリティスプリットアーキテクチャソリューション１０２Ｃ（例えば、仮想プライベートクラウド（ＶＰＣ）においてクラウドベースのセキュリティサービスとして実装されるもの）が、同様に、提供されている。それは、ネットワークトラフィック通信を、ネットワーキングおよびセキュリティスプリットアーキテクチャソリューション１０２Ｃと接続するためにセキュアトンネル（例えば、Ｇｌｏｂａｌ Ｐｒｏｔｅｃｔ（ＧＰ）ＶＰＮトンネルであり、Ｐａｌｏ Ａｌｔｏ Ｎｅｔｗｏｒｋｓ社Ｉｎｃ．から市販されているＧｌｏｂａｌ Ｐｒｏｔｅｃｔ（ＧＰ）エージェントを使用して提供されており、または、別のセキュアエンドポイントエージェントを同様に使用することができる）を介して接続する。図２に関して上述したのと同様に、ネットワーキングおよびセキュリティスプリットアーキテクチャソリューション１０２Ｃは、ネットワーキングアンカー層１０４Ｃ（例えば、ルーティング、ネットワーキングの終了、アンダーレイトンネリング、ネットワークアドレス変換（ＮＡＴ）、等のためのレイヤを実装している）、オフロードインターフェイス１０６（例えば、ネットワーク層とセキュリティ層との間の機能的インターフェイスを提供するためのレイヤを実装している）、および、セキュリティオフロード層１０８（例えば、ＳＳＬ復号、セキュリティポリシ実施のためのディープパケットインスペクション（ＤＰＩ）、等といった、セキュリティ処理のためのレイヤを実装している、動的に割り当てられたセキュリティ処理インスタンス）を含んでいる。図示されるように、この例示的な実装におけるネットワーキングアンカー層は、以下の例示的なコンポーネントを含む。すなわち、ルータ１１４、ＶＰＮゲートウェイ１１６、および、ロードバランサ１１８、並びに、非アンカーネットワークトラフィックにおけるセキュリティ処理（例えば、５％スループット）を実行するためのセキュリティ処理コンポーネント１２０、である。また、示されるように、セキュリティオフロード層は、図１に関して上記で説明されたのと同様にように、レイヤ４情報に基づいて負荷分散され得る、アンカートラフィックにおけるセキュリティ処理（例えば、９５％スループット）のためのセキュリティインスタンスグループ（例えば、複数のＰａｎＯＳインスタンスを含んでおり、または、別の市販の仮想／コンテナベースのセキュリティプラットフォーム層が、同様に、この層において実装され得る）を含む。

この例示的な実装において（例えば、図２及び／又は図３に示されるように）、ネットワーキングアンカー層のセキュリティ処理コンポーネント、および、セキュリティオフロード層の両方において実行されるセキュリティ処理は、上記と同様に、ユーザＩＤ、コンテンツＩＤ、および、アプリケーションＩＤ（Ａｐｐ－ＩＤ）ベースのセキュリティ処理技法を含む、様々なＤＰＩセキュリティ処理技法を実装することができる（例えば、対照的に、図１の例示的な実装において、そうしたＤＰＩセキュリティ処理技法は、上記と同様に、セキュリティオフロード層においてのみ実行される）。

この例示的な実装において、ネットワーキングアンカー層とセキュリティオフロード層との間のメタ情報は、転送されるネットワークトラフィックにおいてカプセル化され得る。例えば、セキュリティゾーン（例えば、ソースおよび宛先）情報は、ネットワーキングアンカー層インスタンスの入口および出口インターフェイスに対してゾーンが結合される際に、セキュリティインスタンスに搬送され得る（例えば、そして、他のメタデータ情報も、また、提供され得る）。

Ｌ３／Ｌ４負荷分散（Ｌｏａｄ Ｂａｌａｎｃｉｎｇ）

上述したのと同様に、開示されるスプリットアーキテクチャは、性能向上のための別個のネットワークおよびセキュリティ処理を促進する（例えば、高ネットワーク帯域幅環境は、上述したのと同様に、これらの性能改善から利益を得ることができる）。ネットワーキングコンポーネントは、パブリックＩＰ、プライベートＩＰプール、ボーダーゲートウェイプロトコル（ＢＧＰ）、および、トンネリング（例えば、ＶＰＮトンネリング、等）といった、様々なネットワーキングリソースを処理することができ、一方で、セキュリティコンポーネントは、一般的に、上述したのと同様に、また、様々なＬ７セキュリティ機能も処理することができる。この例示的な実装において、セキュリティコンポーネントは、クラウドネイティブ環境において弾性的であるように設計され、かつ、我々の現在のネットワークテスト分析に基づいており、ネットワークコンポーネントは、セキュリティコンポーネントよりも、はるかに高いネットワーキングトラフィックのスループットを処理することができる。かくして、いくつかのタイプのトラフィックをネットワーキングのカウンターパート（ｃｏｕｎｔｅｒｐａｒｔ）からセキュリティコンポーネントのグループへと効率的にリダイレクトすることを促進するために、Ｌ３／Ｌ４ロードバランサが、さらに開示される。

開示されるスプリットアーキテクチャシステム設計に係る一つの例示的な実装において、ＰａｎＯＳ ＶＭシリーズは、アンカーインスタンスとして使用される（例えば、代替的に、サードパーティまたは他のオープンソースファイアウォールソリューションが、同様に、そうしたアンカーインスタンスとして使用され得る）。この例示的な実装において、ポリシベースの転送（Ｐｏｌｉｃｙ－Ｂａｓｅｄ Ｆｏｒｗａｒｄｉｎｇ、ＰＢＦ）は、Ｌ３／Ｌ４ロードバランサをサポートするように拡張される。

ＰＢＦ（すなわち、ポリシベースの転送）は、転送決定を行うときに、ルーティングよりも高い優先度を有する、転送機能である。必ずしも全てのトラフィックがセキュリティコンポーネントに転送されるわけではないことを考慮すると、トラフィックフィルタリングを実施するためにＰＢＦを使用することができる。現在、ＰＢＦを使用するときに、トラフィックは、１つの宛先のみにリダイレクトされ得るが、ロードバランサとして機能するために、この例示的な実装では（例えば、例示的なＰａｎＯＳ ＶＭシリーズ実装）、ネクストホップのグループ（例えば、マルチパス）に転送することができるように拡張される。

以下は、この例示的なＰａｎＯＳ ＶＭシリーズ実装について、開示されるＰＢＦからマルチパスへの拡張の実装のための一つの例示的なスキーマである。

マルチパスへのＰＢＦのスキーマ（Ｓｃｈｅｍａ ｆｏｒ ＰＢＦ ｔｏ Ｍｕｌｔｉｐａｔｈ）

ＰＢＦネクストホップは、パケットが送信される出口インターフェイスとネクストホップアドレスとの組み合わせである。

ＰＢＦマルチパスグループは（例えば、総数は４）、ＰＢＦネクストホップのグループである（例えば、最大で６４）。セッションがＰＢＦマルチパスルールに一致する場合には、そのルールで定義されたハッシュアルゴリズムに基づいて、このグループで定義されたネクストホップに転送する。

ＰＢＦマルチパスハッシュ実装のためのハッシュアルゴリズムは、セッションのトラフィックのうち、どのネクストホップが宛先として使用され得るかを決定する。現在のサポートハッシュアルゴリズムは、ソースＩＰ、宛先ＩＰ、ソースー宛先ＩＰ、および、セッションＩＤに基づいている。

他の全てのＰＢＦルールと同様に、ＰＢＦルールマッチングは、セッションの出口ゾーンを決定するためのセッションのまさに最初のパケットについてのみ起こる。

他のタイプのＰＢＦルールとは異なり、ＰＢＦマルチパスルールは、ｃ２ｓトラフィックのみにマッチする。このルールは、ｓ２ｃマッチングを行うときには無視される。

しかしながら、ＰＢＦマルチパスルールにヒットしたが、マルチパスグループ内でアクティブなネクストホップが定義されていない場合、このルールは無視され、そして、ルーティングが、代わりに、使用される。

かくして、アンカーインスタンスは、依然として、完全な機能性を有することができる。

マルチパスルールがヒットし、かつ、グループ内にアクティブなネクストホップが存在する場合には、ネクストホップのうちの１つが選択され、そして、ルール内で定義されたハッシュに基づいて、セッション内にキャッシュされる。

このセッションに一致するパケットは、選択されたネクストホップに転送される。

また、マルチパスグループへの／からの、ネクストホップの追加／除去は、一般的に、既存のセッションに影響を与えない。

ネットワーキングおよびセキュリティスプリットアーキテクチャにおける性能改善

開示されるネットワーキングおよびセキュリティスプリットアーキテクチャは、これから説明するように、クラウドベースのセキュリティソリューションについて様々な性能改善を促進することができる。

例えば、単一リモートノード（ＲＮ）の性能について、上述したのと同様に、セキュリティ負荷をオフロード層へとオフロードすることによって、単一ＲＮの性能を改善することができる。

別の重要な態様は、コンピューティング能力あたりの全体的な性能（コア）である。開示されるスプリットアーキテクチャは、アンカー（外側）層に張り付く（ｓｔｉｃｋｉｎｇ）ネットワーキングリソースを可能にすることができる。これにより、クラウドベースのセキュリティサービスは、日中の全体的な性能を損なうことなく、トラフィックが少ない夜間にコンピューティング／処理コストを低減することができる。

かくして、開示されるスプリットアーキテクチャは、技術的に可能な限りセキュリティ処理を、内側レイヤにオフロードすることを促進する。例えば、４：１（内側ｖｓ外側）よりも大きい比を達成することができる場合には、性能を失わないことによって、全体的なコスト節約が見られる。

図７は、いくつかの実施形態に従った、ネットワーキングおよびセキュリティスプリットアーキテクチャによって提供される性能改善に係る一つの実施例を図示している。

図７に示されるように、例えば、１つの４コアのＲＮノードが２５０ＭｂｐｓのＳＳＬ復号トラフィックを処理することができる場合に、このＲＮノードを使用して、１つの２００ＭｂｐｓのＲＮ、または、４つの５０ＭｂｐｓのＲＮをプロビジョニングすることができる。総アグリゲーションスループットは、２００Ｍｂｐｓである。コア当たりのスループットは、５０Ｍｂｐｓ／コアである。単一の最高ＲＮ終端（ｔｅｒｍｉｎａｔｉｏｎ）は、２００Ｍｂｐｓである。

開示されるスプリットアーキテクチャを使用することなく、ＦＱＤＮベースのスケーリングを実行する場合には、４つの５０ＭｂｐｓのＲＮを４つの異なるＲＮノードに分離することができ、そして、次いで、各ＲＮは、２００Ｍｂｐｓまで到達することができる。すると、総アグリゲーションスループットは、８００Ｍｂｐｓである。コア当たりのスループットは、依然として５０Ｍｂｐｓ／コアである。単一の最高ＲＮ終端は、依然として２００Ｍｂｐｓである。ＦＱＤＮベースのスケーリングは、アンカーノードが処理できる容量まで、ＲＮスケーリングを可能にする。しかしながら、ＦＱＤＮベースのスケーリングは、アンカーノード容量制限が存在するので、単一のＲＮインスタンスに対してそれ以上スケールアップすることはできない。

対照的に、開示されるスプリットアーキテクチャを使用して、内部オフロード層に対してヘビーリフティングＳＳＬ復号トラフィックをオフロードすることによって、アンカーノードにおけるスループット容量を増加させることができる。かくして、開示されるスプリットアーキテクチャを用いて、アンカー対オフロードの４：１の性能処理比率を達成することができる場合には、トラフィックを以下のように処理することができる。すなわち、１つの８００ＭｂｐｓのＲＮ、または、４つの２００ＭｂｐｓのＲＮ、である。次いで、この場合に、総アグリゲーションスループットは、８００Ｍｂｐｓである。コア当たりのスループットは、４０Ｍｂｐｓ／コアである。単一の最高ＲＮ終端は、８００Ｍｂｐｓである。かくして、ＲＮ容量の高い上限（ｈｉｇｈ ｃｅｉｌｉｎｇ）が著しく増加され、これは、開示されるスプリットアーキテクチャがどのように単一ＲＮ性能を著しく改善することができるかを明らかにする。

従って、ネットワーキングおよびセキュリティスプリットアーキテクチャのための開示される技法は、フレキシブルであり、そして、例えば、仮想ベース及び／又はコンテナベースのファイアウォール（例えば、Ｐａｌｏ Ａｌｔｏ ＮｅｔｗｏｒｋｓのＶＭ－ＳｅｒｉｅｓまたはＣＮ－Ｓｅｒｉｅｓファイアウォール、あるいは、他の市販の仮想ベースまたはコンテナベースのファイアウォール）を使用して、セキュリティオフロード層のセキュリティインスタンスを実装する、任意の展開のために機能することができる。例えば、開示される分割ネットワーキングおよびセキュリティアーキテクチャは、節約される全ての計算サイクルがパケット処理および追加のファイアウォール性能のために使用され得るので、著しいスループットのブーストを提供することができる。

データアプライアンス４００の一つの実施形態が図４Ａに示されている。示される例は、様々な実施形態において、ネットワークゲートウェイがデータアプライアンスとして実装される場合に、ネットワークゲートウェイ４００に含まれ得る物理的なコンポーネントの表現である。具体的に、データアプライアンスは、高性能マルチコア中央処理装置（ＣＰＵ）４０２、および、ランダムアクセスメモリ（ＲＡＭ）４０４を含んでいる。データアプライアンスは、また、ストレージ４１０（１つ以上のハードディスクまたはソリッドステートストレージユニット、といったもの）も含んでいる。様々な実施形態において、データアプライアンスは、エンタープライズネットワークをモニタリングし、かつ、開示される技法を実装する際に使用される情報を（ＲＡＭ ４０４、ストレージ４１０、及び／又は、他の適切な場所のいずれかに）保管する。そうした情報の例は、アプリケーション識別子、コンテンツ識別子、ユーザ識別子、要求されたＵＲＬ、ＩＰアドレスマッピング、ポリシおよび他の構成情報、署名、ホスト名／ＵＲＬ分類情報、マルウェアプロファイル、および、機械学習モデルを含んでいる。データアプライアンスは、また、１つ以上の任意的なハードウェアアクセラレータを含むこともできる。例えば、データアプライアンスは、暗号化および復号動作を実行するように構成されている暗号エンジン４０６、および、マッチングを実行し、ネットワークプロセッサとして作用し、かつ／あるいは、他のタスクを実行するように構成されている１つ以上のフィールドプログラマブルゲートアレイ（ＦＰＧＡ）４０８、を含むことができる。

データアプライアンスによって実行されるものとして本明細書で説明される機能性は、様々な方法で提供／実装され得る。例えば、データアプライアンスは、専用デバイス、または、一式のデバイスであり得る。データアプライアンスによって提供される機能性は、また、汎用コンピュータ、コンピュータサーバ、ゲートウェイ、及び／又は、ネットワーク／ルーティングデバイスに統合されてもよく、または、そこでソフトウェアとして実行されてもよい。いくつかの実施形態において、データアプライアンスによって提供されるものとして説明される少なくともいくつかのサービスは、代わりに（または、追加的に）、クライアントデバイス上で実行されているソフトウェアによって、クライアントデバイス（例えば、ラップトップ、スマートフォン、等といった、エンドポイントデバイス）に対して提供される。

データアプライアンスがタスクを実行していると説明される場合はいつでも、データアプライアンスの単一のコンポーネント、コンポーネントのサブセット、または、全てのコンポーネントが協働してタスクを実行し得る。同様に、データアプライアンスのコンポーネントがタスクを実行していると説明される場合はいつでも、サブコンポーネントがタスクを実行し、かつ／あるいは、コンポーネントが他のコンポーネントと共にタスクを実行得る。様々な実施形態において、データアプライアンスの一部は、１つ以上のサードパーティによって提供される。データアプライアンスに利用可能なコンピューティングリソースの量といった要因に応じて、データアプライアンスの種々の論理コンポーネント及び／又は特徴は、省略され、そして、本明細書で説明される技法は、それに応じて、適合され得る。同様に、追加的な論理コンポーネント／特徴が、適用可能な場合に、データアプライアンスの実施形態に含まれ得る。様々な実施形態においてデータアプライアンスに含まれるコンポーネントの一つの例は、（例えば、パケットフロー分析に基づいてアプリケーションを識別するために様々なアプリケーションシグネチャを使用して）アプリケーションを識別するように構成されている、アプリケーション識別エンジンである。例えば、アプリケーション識別エンジンは、どのタイプのトラフィックをセッションが含んでいるかを決定することができる。ウェブブラウジング－ソーシャルネットワーキング、ウェブブラウジング－ニュース、ＳＳＨ、といったものである。

開示されるシステム処理アーキテクチャは、以下のような、異なる展開シナリオにおいて、異なるタイプのクラウドと共に使用され得る。すなわち、（１）パブリッククラウド、（２）オンプレミスのプライベートクラウド、および、（３）ハイエンドの物理的ファイアウォールの内部、である。プライベートクラウドを実行するために、（例えば、Ｐａｌｏ Ａｌｔｏ Ｎｅｔｗｏｒｋｓ ＰＡ－５２００ Ｓｅｒｉｅｓファイアウォールアプライアンス内の管理プレーン（ＭＰ）を使用して）いくらかの処理能力を割り当てることができる。

図４Ｂは、データアプライアンスの一つの実施形態の論理コンポーネントに係る機能図である。示される例は、様々な実施形態においてネットワークゲートウェイ４００に含まれ得る論理コンポーネントの表現である。別段の指定がない限り、ネットワークゲートウェイ４００の様々な論理コンポーネントは、一般的に、様々な方法で実装可能であり、１つ以上のスクリプトのセットとして含んでいる（例えば、適用可能な場合、Ｊａｖａ（登録商標）、ｐｙｔｈｏｎ、等で書かれている）。

図示されるように、ネットワークゲートウェイ４００は、ファイアウォールを含み、そして、管理プレーン４３２およびデータプレーン４３４を含んでいる。管理プレーンは、ポリシを構成すること、および、ログデータを閲覧するためにユーザインターフェイスを提供することなどによって、ユーザインタラクションを管理することを担う。データプレーンは、パケット処理およびセッション処理を実行することなどによって、データを管理することを担う。

ネットワークプロセッサ４３６は、クライアントデバイスからパケットを受信し、かつ、それらを処理のためにデータプレーン４３４に提供するように構成されている。フローモジュール４３８は、パケットを新しいセッションの一部であると識別するときはいつでも、新しいセッションフローを作成する。後続のパケットは、フロールックアップに基づいて、セッションに属するものとして識別される。適用可能な場合、ＳＳＬ復号は、ＳＳＬ復号エンジン４４０によって適用される。そうでなければ、ＳＳＬ復号エンジン４４０による処理は省略される。復号エンジン４４０は、ネットワークゲートウェイ４００がＳＳＬ／ＴＬＳおよびＳＳＨ暗号化トラフィックを検査し、かつ、制御するのを助けることができ、そして、従って、そうでなければ暗号化トラフィック無いに隠されたままになり得る脅威を停止するのを助けることができる。復号エンジン４４０は、また、機密コンテンツが、エンタープライズ／セキュアな顧客のネットワークから離れることを防止するのを助けることもできる。復号は、ＵＲＬカテゴリ、トラフィックソース、トラフィック宛先、ユーザ、ユーザグループ、および、ポートといった、パラメータに基づいて選択的に制御（例えば、有効化または無効化）することができる。復号ポリシ（例えば、どのセッションを復号するかを指定する）に加えて、復号プロファイルは、ポリシによって制御されるセッションのための種々のオプションを制御するように割り当てられることができる。例えば、特定の暗号スイートおよび暗号化プロトコルバージョンの使用が必要とされ得る。

アプリケーション識別（ＡＰＰ－ＩＤ）エンジン４４２は、セッションがどのタイプのトラフィックを伴うかを決定するように構成されている。一つの例として、アプリケーション識別エンジン４４２は、受信されたデータにおけるＧＥＴ要求を認識し、そして、セッションがＨＴＴＰデコーダを必要とすると結論付けることができる。いくつかの場合、例えば、ウェブブラウジングセッションにおいて、識別されたアプリケーションは変化することができ、そして、そうした変化はネットワークゲートウェイ４００によって記録される。例えば、ユーザは、最初に、企業Ｗｉｋｉ（訪問したＵＲＬに基づいて「ウェブブラウジング－生産性（“Ｗｅｂ Ｂｒｏｗｓｉｎｇ－Ｐｒｏｄｕｃｔｉｖｉｔｙ”）」として分類される）をブラウズし、そして、次いで、ソーシャルネットワーキングサイト（訪問したＵＲＬに基づいて「ウェブブラウジング－ソーシャルネットワーキング（“Ｗｅｂ Ｂｒｏｗｓｉｎｇ－Ｓｏｃｉａｌ Ｎｅｔｗｏｒｋｉｎｇ”）」として分類される）をブラウズすることができる。異なるタイプのプロトコルは、対応するデコーダを有している。

アプリケーション識別（ＡＰＰ－ＩＤ）エンジン４４２によって行われた決定に基づいて、パケットは、脅威エンジン４４４によって、パケット（順序が乱れて受信され得る）を正しい順序へと組み立て、トークン化を実行し、かつ、情報を抽出するように構成された適切なデコーダに対して送信される。脅威エンジン４４４は、また、パケットに何が起こるべきかを決定するためにシグネチャマッチングを実行する。必要に応じて、ＳＳＬ暗号化エンジン４４６は、復号されたデータを再暗号化することができる。パケットは、送信のために（例えば、宛先に対して）転送モジュール４４８を使用して転送される。

図４Ｂにも、また、示されるように、ポリシ４５２は、管理プレーン４３２において受信され、かつ、保管される。ポリシは、ドメイン、及び／又は、ホスト／サーバ名を使用して指定され得る、１つ以上のルールを含むことができ、そして、ルールは、モニタリングされたセッショントラフィックフローからの様々な抽出されたパラメータ／情報に基づく、加入者／ＩＰフローに対するセキュリティポリシの実施などのために、１つ以上のシグネチャ、または他の一致する基準、もしくはヒューリスティクスを適用することができる。インターフェイス（Ｉ／Ｆ）通信機４５０は、（例えば、（ＲＥＳＴ）ＡＰＩ、メッセージ、もしくは、ネットワークプロトコル通信または他の通信メカニズムを介した）管理通信のために提供されている。

ネットワーキングおよびセキュリティスプリットアーキテクチャを提供するための例示的なプロセス実施形態

図５は、いくつかの実施形態に従った、ネットワーキングおよびセキュリティスプリットアーキテクチャを提供するためのプロセスを示すフローチャートである。一つの実施形態において、プロセス５００は、上述のシステムアーキテクチャ（例えば、図１－図４Ｂに関して上述したようなもの）を使用して実行される。

プロセスは、フローがセキュリティサービスにおいて受信されるときに、５０２で開始する。例えば、セキュリティサービスは、上述したのと同様に、クラウドベースのセキュリティサービスであり得る。一つの例示的な実装において、セキュリティサービスは、仮想ベース／コンテナベースのネットワークインスタンス（例えば、ＶＭシリーズまたはＣＮシリーズのファイアウォール、もしくは、サードパーティのネットワークインスタンスまたはクラウドサービス）上に実装され、そのフローは、上述したのと同様に、ネットワーキングアンカー層によるネットワーク処理の後でセキュリティ処理のためにオフロードされる（例えば、ファイアウォールを通過する全体的なネットワークトラフィックの全部またはサブセット）。

５０４では、１つ以上のネットワーキング機能を実行するために、セキュリティサービスのネットワーク層でフローの処理が実行される。例えば、ＩＰＳＥＣ終了（ｔｅｒｍｉｎａｔｉｏｎ）、ネットワークルーティング、及び／又は、ネットワークアドレス変換（ＮＡＴ）は、上述したのと同様に、ネットワーキングアンカー層において実行され得る。

５０６では、ポリシに基づいてセキュリティ実施を実行するために、フローをセキュリティサービスのセキュリティ層にオフロードすることが実行される。例えば、ネットワーキングアンカー層のロードバランサは、上述したのと同様に、フローをセキュリティオフロード層のセキュリティインスタンスに対して送信することができる。

図６は、いくつかの実施形態に従った、ネットワーキングおよびセキュリティスプリットアーキテクチャを提供するためのプロセスを示す別のフローチャートである。一つの実施形態において、プロセス６００は、上述のシステムアーキテクチャ（例えば、図１－図４Ｂに関して上述したようなもの）を使用して実行される。

プロセスは、複数のフローがセキュリティサービスにおいて受信されるとき、６０２で開始する。例えば、セキュリティサービスは、上述したのと同様に、クラウドベースのセキュリティサービスであり得る。一つの例示的な実装において、セキュリティサービスは、仮想ベース／コンテナベースのネットワークインスタンス（例えば、ＶＭシリーズまたはＣＮシリーズのファイアウォール、もしくは、サードパーティのネットワークインスタンスまたはクラウドサービス）上に実装され、そのフローは、上述したのと同様に、ネットワーキングアンカー層によるネットワーク処理の後でセキュリティ処理のためにオフロードされる（例えば、ファイアウォールを通過する全体的なネットワークトラフィックの全部またはサブセット）。

６０４では、１つ以上のネットワーキング機能を実行するために、セキュリティサービスのネットワーク層でフローの処理が実行される。例えば、ＩＰＳＥＣ終端、ネットワークルーティング、及び／又は、ネットワークアドレス変換（ＮＡＴ）は、上述したのと同様に、ネットワーキングアンカー層において実行され得る。

６０６では、セキュリティサービスのセキュリティ層にオフロードするために、複数のフローの負荷分散が実行される。例えば、ネットワーキングアンカー層は、上述したのと同様に、ロードバランサを含むことができる。

６０８では、セキュリティサービスのセキュリティ層でのポリシに基づいて、オフロードされた複数のフローのそれぞれに対してセキュリティ検査および実施が実行される。例えば、ネットワーキングアンカー層のロードバランサは、上述したのと同様に、フローをセキュリティオフロード層のセキュリティインスタンスに対して送信することができる。

６１０では、複数のフローのそれぞれに関連付けられたセッション統計が、上述したのと同様に、セキュリティ層から生成される。

前述の実施形態は、理解を明確にする目的で、ある程度詳細に説明されてきたが、本発明は、提供される詳細に限定されるものではない。本発明を実施する多くの代替方法が存在している。開示される実施形態は、例示的なものであり、かつ、限定的なものではない。

Claims (20)

1. システムであって、
   プロセッサ、および、メモリを含み、
   前記プロセッサは、
   セキュリティサービスにおいてフローを受信し、
   １つ以上のネットワーキング機能を実行するために、前記セキュリティサービスのネットワーク層において前記フローを処理し、かつ、
   ポリシに基づいてセキュリティ実施を実行するために、前記フローを、前記セキュリティサービスのセキュリティ層にオフロードする、
   ように構成されており、
   前記メモリは、
   前記プロセッサに結合され、かつ、
   前記プロセッサに命令を提供するように構成されている、
   システム。
2. 前記フローは、前記セキュリティサービスにおいて新しいフローであると決定され、
   前記セキュリティサービスの前記ネットワーク層において前記フローを処理する最中に、メタ情報が、前記フローから抽出され、
   前記メタ情報は、前記フローに関連付けられたアプリケーション識別子を含んでいる、
   請求項１に記載のシステム。
3. 前記ネットワーク層で前記フローを処理することは、ＩＰＳＥＣ終了を実行することを含む、
   請求項１に記載のシステム。
4. 前記ネットワーク層で前記フローを処理することは、ルーティングを実行することを含む、
   請求項１に記載のシステム。
5. 前記ネットワーク層で前記フローを処理することは、ネットワークアドレス変換（ＮＡＴ）を実行することを含む、
   請求項１に記載のシステム。
6. 前記ネットワーク層で前記フローを処理することは、ディープパケットインスペクションを使用することを含む、
   請求項１に記載のシステム。
7. 前記セキュリティ層は、複数のセキュリティインスタンスを含む、
   請求項１に記載のシステム。
8. 前記セキュリティ層は、ファイアウォールのセキュリティインスタンスを含む、
   請求項１に記載のシステム。
9. 前記セキュリティ層は、セキュリティ機能の別個のマイクロサービスのための複数のセキュリティインスタンスを含み、
   前記セキュリティインスタンスは、アンチウィルス、アンチスパム、ＤＮＳセキュリティ、侵入検知／防止セキュリティ（ＩＤＳ／ＩＰＳ）、および、データ抽出セキュリティ、のうち１つ以上を含んでいる、
   請求項１に記載のシステム。
10. 前記ネットワーク層は、ネットワークルータを含む、
    請求項１に記載のシステム。
11. 前記ネットワーク層は、仮想プライベートネットワーク（ＶＰＮ）ゲートウェイを含む、
    請求項１に記載のシステム。
12. 前記ネットワーク層は、ロードバランサを含む、
    請求項１に記載のシステム。
13. 前記ネットワーク層は、ロードバランサを含み、
    前記ロードバランサは、前記フローの第１セッションを前記セキュリティ層の第１セキュリティインスタンスに送信し、かつ、
    前記フローの前記第１セッションの子を前記セキュリティ層の前記第１セキュリティインスタンスに送信する、
    請求項１に記載のシステム。
14. 前記ネットワーク層は、ネットワークアンカーインスタンスを含む、
    請求項１に記載のシステム。
15. 前記セキュリティサービスは、クラウドベースのセキュリティサービスである、
    請求項１に記載のシステム。
16. 前記セキュリティサービスは、パブリッククラウドサービスプロバイダを使用して提供される、クラウドベースのセキュリティサービスである、
    請求項１に記載のシステム。
17. 前記セキュリティサービスは、複数のパブリッククラウドサービスプロバイダを使用して提供される、クラウドベースのセキュリティサービスである、
    請求項１に記載のシステム。
18. 前記プロセッサは、さらに、
    前記フローを閉じ、かつ、
    前記セキュリティ層から前記フローに関連するセッション統計を受信する、
    ように構成されている、
    請求項１に記載のシステム。
19. 方法であって、
    セキュリティサービスにおいてフローを受信するステップと、
    １つ以上のネットワーキング機能を実行するために、前記セキュリティサービスのネットワーク層において前記フローを処理するステップと、
    ポリシに基づいてセキュリティ実施を実行するために、前記フローを、前記セキュリティサービスのセキュリティ層にオフロードするステップと、
    を含む、方法。
20. コンピュータプログラムであって、
    前記コンピュータプログラムは、複数のコンピュータ命令を含み、かつ、非一時的有形コンピュータ可読記憶媒体に保管されており、
    前記命令が実行されると、
    セキュリティサービスにおいてフローを受信するステップと、
    １つ以上のネットワーキング機能を実行するために、前記セキュリティサービスのネットワーク層において前記フローを処理するステップと、
    ポリシに基づいてセキュリティ実施を実行するために、前記フローを、前記セキュリティサービスのセキュリティ層にオフロードするステップと、
    を実施する、コンピュータプログラム。
    

Images