NETWORK APPLICATION SECURITY POLICY ENFORCEMENT

A system validates the establishment and/or continuation of a connection between two applications over a network using a three-stage process: (1) a local security agent on the same source system as the source application validates the connection against a set of policies stored locally on the source system; (2) a local security agent on the same destination system as the destination application validates the connection against a set of policies stored locally on the destination system; and (3) a reconciliation engine, after receiving connection and application state information from both the source and destination local security agents, validates the connection against a master set of policies. The connection is allowed or blocked depending on the outcome of the three-stage validation. This system protects against policy violations that are not detected by traditional systems without requiring alterations to the source and destination applications or the network traffic between them. La présente invention concerne un système qui valide l'établissement et/ou la poursuite d'une connexion entre deux applications sur un réseau à l'aide d'un processus en trois étapes : (1) un agent de sécurité locale sur le même système source que l'application source valide la connexion à l'encontre d'un ensemble de politiques stockées localement sur le système source ; (2) un agent de sécurité locale sur le même système de destination que l'application de destination valide la connexion à l'encontre d'un ensemble de politiques stockées localement sur le système de destination ; et (3) un moteur de rapprochement, après réception d'informations d'état d'application et de connexion à la fois des agents de sécurité locaux de source et de destination, valide la connexion à l'encontre d'un ensemble maître de politiques. La connexion est autorisée ou bloquée en fonction du résultat de la validation en trois étapes. Ce système protège contre des violations de politique qui ne sont pas détectées par des systèmes classiques sans nécessiter des modifications des applications de source et de destination ou le trafic de réseau entre eux.