ファイアウォールに対するポリシ情報表示方法、管理装置及びプログラム
【課題】ネットワーク管理者が、不要ポリシ要素を誤って判断しないようにポリシ情報を表示する方法、管理装置及びプログラムを提供する。
【解決手段】ファイアウォール装置に対するルール情報を生成する際に、ネットワーク管理者によって閲覧可能なディスプレイにポリシ情報を表示する。ポリシ識別子、送信元／宛先アドレス範囲、ポート番号範囲及びアクションを含む複数のポリシ要素Ｐ(i)を評価順序に並べたポリシ情報を記憶する。次に、送信元／宛先アドレス範囲及びポート番号範囲について共通部分を有する干渉関係(conflict)にある、第１のポリシ要素及び第２のポリシ要素を検出する。次に、第１のポリシ要素に、第２のポリシ要素に対する干渉関係タイプと、第２のポリシ要素のポリシ識別子とを表示し、第２のポリシ要素に、第１のポリシ要素に対する干渉関係タイプと、第１のポリシ要素のポリシ識別子とを表示する。
【解決手段】ファイアウォール装置に対するルール情報を生成する際に、ネットワーク管理者によって閲覧可能なディスプレイにポリシ情報を表示する。ポリシ識別子、送信元／宛先アドレス範囲、ポート番号範囲及びアクションを含む複数のポリシ要素Ｐ(i)を評価順序に並べたポリシ情報を記憶する。次に、送信元／宛先アドレス範囲及びポート番号範囲について共通部分を有する干渉関係(conflict)にある、第１のポリシ要素及び第２のポリシ要素を検出する。次に、第１のポリシ要素に、第２のポリシ要素に対する干渉関係タイプと、第２のポリシ要素のポリシ識別子とを表示し、第２のポリシ要素に、第１のポリシ要素に対する干渉関係タイプと、第１のポリシ要素のポリシ識別子とを表示する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ファイアウォールに対するポリシ情報表示方法、管理装置及びプログラムに関する。
【背景技術】
【０００２】
ファイアウォール(Firewall)装置は、管理対象ネットワークと外部ネットワークとの接続点に設置されるルータの一種である。ファイアウォール装置は、管理対象ネットワークの安全性を高めるために、組織毎のトラヒック疎通方針（セキュリティ・ポリシ、以下「ポリシ情報」という）に基づいて必要なパケットのみを通過させ、危険なパケットを阻止する。従って、ファイアウォール装置の構成情報（ルール情報）は、そのポリシ情報に基づいて適切に設定される必要がある。尚、ファイアウォール装置は、管理対象ネットワーク内のセグメントネットワーク同士の間（例えば部署Ａのイントラネットと部署Ｂのイントラネットとの間）に配置されるものであってもよい。
【０００３】
一般に、ネットワーク管理者は、各部署（例えば各イントラネットの管理者）から、「オーダシート」を受け取る。ネットワーク管理者は、それらオーダシートと基本方針とに基づいて、「ポリシ情報」を作成する。ポリシ情報は、複数の「ポリシ要素」の順列によって構成される。ファイアウォール管理装置は、そのポリシ情報に基づいて、ファイアウォール装置毎に「ルール情報」を作成する。ルール情報も、複数の「ルール要素」の順列によって構成される。そして、ファイアウォール管理装置は、ファイアウォール装置毎に、ルール情報を送信する。
【０００４】
ファイアウォール装置は、外部ネットワーク（又は他のセグメントネットワーク）から受信したパケットが、いずれのルール要素に該当するか照合する。そして、該当するルール要素に記述されるアクションに基づいて、そのパケットの転送可否が決定される。ファイアウォール装置は、パケット毎の疎通結果を、「アクセスログ」として記録する。「アクセスログ」とは、どのパケットに対し、どのルール要素によって、どのアクションを採ったかの表す記録である。
【０００５】
ファイアウォール装置のパケット転送性能は、ルール要素の数や評価順序に密接に関係する。ルール要素の数については、同一の送信元／宛先アドレス及びポート番号に対して、複数のルール要素が冗長的に設定されている場合がある。また、評価順序については、アクセスされないルール要素が上位順序で評価される場合もある。従って、ファイアウォール装置のルール情報について、不要ルール要素の整理が必要となる。
【０００６】
例えば、ファイアウォール装置におけるパケット転送性能を高めるために、以下の２つの方法でルール情報を整理することができる。
【０００７】
第１に、ルール情報内のルール要素の数を少なくし、受信したパケットに対するルール要素の照合回数を全体的に少なくする。そのために、「アクセスログ」におけるルール要素毎のログ記録回数をカウントし、その記録回数０（又は０に近い）のルール要素を不要として削除する技術がある（例えば特許文献１参照）。
【０００８】
第２に、受信される複数のパケットについて、ルール情報の中で「適合」しやすいルール要素を上位に並べ、照合回数を全体的に少なくする。これによって、ファイアウォール装置におけるパケット転送性能を上げる。そのために、「アクセスログ」におけるルール要素毎のログ記録回数をカウントし、その記録回数が多いルール要素ほど、上位の順列に移動させる技術がある（例えば特許文献２参照）。
【０００９】
また、ネットワーク管理者に対して、ルール評価順序の変更案を自動的に提示する技術もある（例えば非特許文献１参照）。この技術によれば、アクセスログを解析し、カウント数が少ないルール要素を下位へ、カウント数が多いルール要素を上位へ、並べ替えることができる。
【先行技術文献】
【特許文献】
【００１０】
【特許文献１】ＵＳ７，０１６，９８０Ｂ１
【特許文献２】特許第３５６８８５０号公報
【非特許文献】
【００１１】
【非特許文献１】株式会社クレディスト、「ＡｌｇｏＳｅｃファイアウォールアナライザー」、[online]、［平成２１年９月１５日検索］、インターネット＜URL:http://www.credist.co.jp/product/algosec.html＞
【発明の概要】
【発明が解決しようとする課題】
【００１２】
特定のアプリケーションやホスト又はルータが除去された場合、ネットワークとして、そのトラヒックの開放を意味するポリシ要素が、不要となることもある。この場合、その不要ポリシ要素に対応するルール要素も、不要ルール要素となり、ファイアウォール装置の中で全く適合しない。このような不要ルール要素を放置することは、セキュリティホールに繋がる。
【００１３】
また、非特許文献１に記載された技術によれば、オーダシートに基づいて設定されたポリシ要素と、そのポリシ要素を実現するルール要素とが、紐付けされていない。具体的には、オーダシートの情報を、データとして保持していない。また、オーダシートと、ポリシ要素やルール要素との紐付け情報を保持していないために、それらを更新することもできない。
【００１４】
そのため、ネットワーク管理者が、アクセスログに基づいて不要ルール要素を削除しようとした場合、そのルール要素に関連するポリシ要素は不明である。即ち、削除しようとする不要ルール要素に関連するオーダシートも不明である。結局、ネットワーク管理者は、ルール要素内のアドレスの項目等に基づいて、関連するオーダシートを、人手によって検索する必要がある。
【００１５】
ルール要素と、ポリシ要素と、オーダシートとの対応関係の管理は、必ずしも容易ではない。これは、ルール要素とポリシ要素とが、必ずしも１対１関係に対応付けられないことに基づく。例えば、複数のファイアウォール装置を含むネットワークであっても、ネットワーク管理者の視点からの管理を容易にするために、１つのポリシ情報によって管理される場合がある。この場合、１つのポリシ要素が、複数のファイアウォール装置の複数のルール要素に対応付けられる。
【００１６】
また、特許文献１及び特許文献２に記載された技術のように、ファイアウォール装置毎にそのルール情報を整理することによって、複数のポリシ要素が１つのルール要素で実現されているといった状態も生じ得る。
【００１７】
ネットワーク管理者は、アクセスログに基づいて不要ルール要素を検出し、その不要ルール要素に対応する１つ又は複数のポリシ要素を検出しなければならない。次に、ネットワーク管理者は、そのポリシ要素に関係する１つ又は複数のファイアウォール装置のルール要素を検出しなければならない。１つのポリシ要素の削除は、他のファイアウォール装置のルール要素に対するパケットの通過に影響を与えるからである。
【００１８】
ネットワークが大規模になるほど、各ファイアウォール装置によって保持されるルール要素の数は、数千個単位になる場合もある。この場合、不要ルール要素の検出と、その不要ルール要素に基づくポリシ要素の検出とは、容易ではない。更に、ポリシ情報におけるポリシ要素の削除及び移動は、ネットワーク全体のポリシ情報に違反する場合もある。特に、ポリシ要素の移動は、ポリシ要素間の干渉関係の変化を伴うため、不要ポリシ要素の削除の判断を誤らせる可能性がある。
【００１９】
そこで、本発明は、ネットワーク管理者が、不要ポリシ要素を誤って判断しないようにポリシ情報を表示する方法、管理装置及びプログラムを提供することを目的とする。
【課題を解決するための手段】
【００２０】
本発明によれば、ファイアウォール装置に対するルール情報を編集し生成する際に、ネットワーク管理者によって閲覧可能なディスプレイにポリシ情報を表示し編集可能とする方法であって、
ポリシ識別子と、送信元／宛先アドレス範囲と、ポート番号範囲と、プロトコルと、アクションとを含む複数のポリシ要素Ｐ(i)を評価順序に並べたポリシ情報を記憶する第１のステップと、
送信元／宛先アドレス範囲及びポート番号範囲について共通部分を有する干渉関係(conflict)にある、第１のポリシ要素及び第２のポリシ要素を検出する第２のステップと、
第１のポリシ要素に、第２のポリシ要素に対する干渉関係タイプと、第２のポリシ要素のポリシ識別子とを表示すると共に、第２のポリシ要素に、第１のポリシ要素に対する干渉関係タイプと、第１のポリシ要素のポリシ識別子とを表示する第３のステップと
を有することを特徴とする。
【００２１】
本発明のポリシ情報表示方法における他の実施形態によれば、第３のステップは、第１のポリシ要素及び第２のポリシ要素の評価順序に基づいて、下位ポリシ要素が、上位ポリシ要素によって当該アクションが実際に実現されている場合、下位ポリシ要素に、上位ポリシ要素のポリシ識別子を表示することも好ましい。
【００２２】
本発明のポリシ情報表示方法における他の実施形態によれば、干渉関係タイプとして、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲と完全に一致する第１のタイプ(redundancy)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲に完全に含まれており、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと相違している第２のタイプ(shadowing1)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲に完全に含まれており、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと同一である第３のタイプ(shadowing2)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲を完全に含んでおり、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと相違している第４のタイプ(generalization1)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲を完全に含んでおり、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと同一である第５のタイプ(generalization2)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲と一部の共通部分を有し、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと相違している第６のタイプ(correlation1)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲と一部の共通部分を有し、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと同一である第７のタイプ(correlation2)と
のいずれか１つが表示されることも好ましい。
【００２３】
本発明のポリシ情報表示方法における他の実施形態によれば、ポリシ要素毎に、ネットワーク管理者によって評価順序を変更する操作インタフェースが表示されており、ネットワーク管理者の操作に基づいて当該ポリシ要素の評価順序が変更された際に、第２のステップ及び第３のステップが実行されることも好ましい。
【００２４】
本発明のポリシ情報表示方法における他の実施形態によれば、ポリシ要素毎に、当該ポリシ要素によって判定されたパケット数を、アクセスログのカウント数として表示することも好ましい。
【００２５】
本発明のポリシ情報表示方法における他の実施形態によれば、当該ポリシ要素について、アクセスログのカウント数が所定閾値以下である場合、ネットワーク管理者に対して当該ポリシ要素を不要ポリシ要素として検討させるために、当該ポリシ要素を強調的に表示することも好ましい。
【００２６】
本発明のポリシ情報表示方法における他の実施形態によれば、ポリシ情報に対して、オーダシートが対応付けられており、ポリシ情報のポリシ要素のポリシ識別子は、オーダシートのオーダ識別子に対応付けられていることも好ましい。
【００２７】
本発明のポリシ情報表示方法における他の実施形態によれば、
ポリシ情報の対象となるパケットが通過すると想定される、複数のファイアウォール装置jと、複数のファイアウォール装置jの構成情報に基づく通過順番とを表す経路情報Rを有し、
ポリシ情報に基づいて、経路情報に含まれる上流のファイアウォール装置jから順に、ルール情報におけるルール要素の照合順序が変更されることも好ましい。
【００２８】
本発明によれば、ファイアウォール装置に対するルール情報を生成し編集する際に、ネットワーク管理者によって閲覧可能なディスプレイにポリシ情報を表示し編集可能とするファイアウォール管理装置であって、
ポリシ識別子と、送信元／宛先アドレス範囲と、ポート番号範囲と、プロトコルと、アクションとを含む複数のポリシ要素Ｐ(i)を評価順序に並べたポリシ情報を記憶するポリシ情報記憶手段と、
送信元／宛先アドレス範囲及びポート番号範囲について共通部分を有する干渉関係(conflict)にある第１のポリシ要素及び第２のポリシ要素を検出する干渉関係検出手段と、
第１のポリシ要素に、第２のポリシ要素に対する干渉関係タイプと、第２のポリシ要素のポリシ識別子とを表示すると共に、第２のポリシ要素に、第１のポリシ要素に対する干渉関係タイプと、第１のポリシ要素のポリシ識別子とを表示する表示制御手段と
を有することを特徴とする。
【００２９】
本発明のファイアウォール管理装置における他の実施形態によれば、表示制御手段は、第１のポリシ要素及び第２のポリシ要素の評価順序に基づいて、下位ポリシ要素が、上位ポリシ要素によって当該アクションが実際に実現されている場合、下位ポリシ要素に、上位ポリシ要素のポリシ識別子を表示することも好ましい。
【００３０】
本発明のファイアウォール管理装置における他の実施形態によれば、表示制御手段は、干渉関係タイプとして、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲と完全に一致する第１のタイプ(redundancy)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲に完全に含まれており、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと相違している第２のタイプ(shadowing1)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲に完全に含まれており、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと同一である第３のタイプ(shadowing2)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲を完全に含んでおり、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと相違している第４のタイプ(generalization1)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲を完全に含んでおり、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと同一である第５のタイプ(generalization2)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲と一部の共通部分を有し、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと相違している第６のタイプ(correlation1)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲と一部の共通部分を有し、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと同一である第７のタイプ(correlation2)と
のいずれか１つを表示することも好ましい。
【００３１】
本発明のファイアウォール管理装置における他の実施形態によれば、
ポリシ要素毎に、ネットワーク管理者によって評価順序を変更する操作インタフェースが表示されており、
干渉関係検出手段及び表示制御手段は、ネットワーク管理者の操作に基づいて当該ポリシ要素の評価順序が変更された際に、実行されることも好ましい。
【００３２】
本発明のファイアウォール管理装置における他の実施形態によれば、表示制御手段は、ポリシ要素毎に、当該ポリシ要素によって判定されたパケット数を、アクセスログのカウント数として表示することも好ましい。
【００３３】
本発明のファイアウォール管理装置における他の実施形態によれば、表示制御手段は、当該ポリシ要素について、アクセスログのカウント数が所定閾値以下である場合、ネットワーク管理者に対して当該ポリシ要素を不要ルールとして検討させるために、当該ポリシ要素を強調的に表示することも好ましい。
【００３４】
本発明のファイアウォール管理装置における他の実施形態によれば、ポリシ情報に対して、オーダシートが対応付けられており、表示制御手段は、ポリシ情報のポリシ要素のポリシ識別子を、オーダシートのオーダ識別子に対応付けることも好ましい。
【００３５】
本発明のファイアウォール管理装置における他の実施形態によれば、
ポリシ情報の対象となるパケットが通過すると想定される、複数のファイアウォール装置jと、複数のファイアウォール装置jの構成情報に基づく通過順番とを表す経路情報Rを記憶する経路情報記憶手段と、
ポリシ情報に基づいて、経路情報に含まれる上流のファイアウォール装置jから順に、ルール情報におけるルール要素の照合順序を変更するルール情報生成手段と
を有することも好ましい。
【００３６】
本発明によれば、ファイアウォール装置に対するルール情報を生成し編集する際に、ネットワーク管理者によって閲覧可能なディスプレイにポリシ情報を表示し編集可能とするファイアウォール管理装置に搭載されたコンピュータを機能させるプログラムであって、
ポリシ識別子と、送信元／宛先アドレス範囲と、ポート番号範囲と、プロトコルと、アクションとを含む複数のポリシ要素Ｐ(i)を評価順序に並べたポリシ情報を記憶するポリシ情報記憶手段と、
送信元／宛先アドレス範囲及びポート番号範囲について共通部分を有する干渉関係(conflict)にある第１のポリシ要素及び第２のポリシ要素を検出する干渉関係検出手段と、
第１のポリシ要素に、第２のポリシ要素に対する干渉関係タイプと、第２のポリシ要素のポリシ識別子とを表示すると共に、第２のポリシ要素に、第１のポリシ要素に対する干渉関係タイプと、第１のポリシ要素のポリシ識別子とを表示する表示制御手段と
してコンピュータを機能させることを特徴とする。
【発明の効果】
【００３７】
本発明のポリシ情報表示方法、管理装置及びプログラムによれば、ポリシ要素間の干渉関係を表示することによって、ネットワーク管理者が、不要ポリシ要素を誤って判断しないようにすることができる。
【図面の簡単な説明】
【００３８】
【図１】ファイアウォール装置及びファイアウォール管理装置を有するシステム構成図である。
【図２】オーダシートが入力されたファイアウォール管理装置のフローチャートである。
【図３】ポリシ要素間の干渉関係タイプを表す説明図である。
【図４】本発明における第１のポリシ情報の表示イメージである。
【図５】ポリシ要素に対して順序が変更された際におけるファイアウォール管理装置のフローチャートである。
【図６】本発明における第２のポリシ情報の表示イメージである。
【図７】ポリシ要素の干渉関係の計算を表す説明図である。
【図８】本発明におけるファイアウォール管理装置の機能構成図である。
【発明を実施するための形態】
【００３９】
以下、本発明の実施の形態について、図面を用いて詳細に説明する。
【００４０】
図１は、ファイアウォール装置及びファイアウォール管理装置を有するシステム構成図である。
【００４１】
図１によれば、管理対象ネットワーク（イントラネット４）と、外部ネットワーク（インターネット５又は他企業のネットワーク６）との間に、ファイアウォール装置２及びルータ３が接続されている。ファイアウォール装置２は、管理対象ネットワークに対するポリシ情報に基づいたルール情報を保持する。尚、ファイアウォール装置２は、ファイアウォールとして独立した装置であってもよいし、アクセスコントロールリストに基づくパケット転送制御機能を有する汎用のルータであってもよい。また、ファイアウォール・ソフトウェアを搭載した汎用の計算機であってもよい。
【００４２】
図１のような大規模ネットワークの場合、多数のファイアウォール装置２が配置される。このような場合、その膨大なルール情報を一元管理するファイアウォール管理装置１を配置することが好ましい。ファイアウォール管理装置１は、各ファイアウォール装置２に保持されるルール情報を設定管理する。ファイアウォール管理装置１は、複数のイントラネット４を含む管理対象ネットワーク全体のポリシ情報を維持するように、各ファイアウォール装置２に対してルール情報を設定する。
【００４３】
ファイアウォール管理装置１には、ネットワーク管理者によってオーダシートが電子帳票として入力される。図１によれば、例えば、部署Ａから、「他の部署Ｂへのアプリケーションhttpのトラヒックについて、ＴＣＰポート２１を開放してほしい」というオーダシートが入力されている。
【００４４】
図１のポリシ情報によれば、部署Ａ[140.192.37.0/8]から部署Ｂ[161.120.33.0/24]への[http]のパケットについて、[allow]が設定されている。例えば、送信元アドレス(SrcIP)"140.192.37.0/8"は、ビット列のネットマスクが８ビットであり、ＩＰアドレス範囲を意味する。また、図１によれば、部署Ａから部署Ｂへの経路に、２つのファイアウォール装置２が含まれている。従って、両方のファイアウォール装置２に対して、そのポリシ要素に基づくルール要素を設定しなければならない。
【００４５】
図２は、オーダシートが入力されたファイアウォール管理装置のフローチャートである。
【００４６】
図２によれば、オーダシートは、以下のオーダ要素を含む。
・オーダＩＤ(IDentifier)（オーダに応じた一意な識別番号）
・送信元アドレス(SrcIP) 「ホスト・グループ」
・宛先アドレス(DstIP) 「ホスト・グループ」
・送信元ポート番号(SrcPort) 「サービス・グループ」
・宛先ポート番号(DstPort) 「サービス・グループ」
・プロトコル(Proto) 「サービス・グループ」
・アクション(Action) 転送許可(allow)又は転送禁止(deny)
【００４７】
「ホスト・グループ」として、送信元アドレス(SrcIP)及び宛先アドレス(DstIP)は、特定のＩＰアドレスであってもよいし、一定のＩＰアドレス範囲であってもよい。「サービス・グループ」として、送信元ポート番号(SrcPort)と、宛先ポート番号(DstPort)と、プロトコル(Proto)とがある。プロトコルは、例えばtcp(transport control protocol)又はudp(user datagram protocol)である。
【００４８】
ポリシ情報のポリシ要素も、オーダシートと同様の構成要素を有する。従って、「ポリシＩＤ」「送信元アドレス」「宛先アドレス」「送信元ポート番号」「宛先ポート番号」「プロトコル」「アクション」を有する。ポリシＩＤは、オーダＩＤと同一であることが好ましい。
【００４９】
（Ｓ２１）ファイアウォール管理装置１は、最初に、ポリシ情報記憶部に対して、オーダシートO(k)のポリシ要素P(k)を、適切な評価順序に挿入する。ネットワーク管理者によって配置されるポリシ要素の評価順序によって、干渉関係が変化する。
（Ｓ２２）ファイアウォール管理装置１は、ポリシ情報記憶部から、ポリシ要素P(k)と干渉関係(conflict)にあるポリシ要素P(i)を検出する。「干渉関係(conflict)」とは、オーダシートO(j)とポリシ要素P(i)とが、プロトコル、ＩＰアドレス及びポート番号が、互いに共通部分を持つ、即ち互いに素でない関係をいう。
（Ｓ２３）ネットワーク管理者に対して、ディスプレイにポリシ情報を表示する。ここで、各ポリシ要素に、干渉関係にある他のポリシ要素のポリシＩＤ（識別子）と、その干渉関係タイプとを表示する。
（Ｓ２４）次に、ポリシ情報Pに基づいて、ファイアウォール装置j毎に、ルール情報RL(j)が生成される。ルール情報RL(j)は、複数のルール要素を照合順に並べたものである。
（Ｓ２５）生成されたルール情報RL(j)は、各ファイアウォール装置jへ送信される。
【００５０】
図３は、ポリシ要素間の干渉関係タイプを表す説明図である。
【００５１】
図３によれば、７つの干渉関係タイプが表されている。「干渉関係(conflict)」とは、２つのポリシ要素におけるＩＰアドレス、ポート番号及びプロトコルが、互いに共通部分を持つ、即ち互いに素(disjoint)でない関係をいう。具体的には、２つのポリシ要素が、以下の全ての条件を満たす関係にあることをいう。
・送信元アドレス(SrcIP)が、共通部分を持つ。
宛先アドレス(DstIP)が、共通部分を持つ。
・送信元ポート番号(SrcPort)が、共通部分を持つ。
・宛先ポート番号(DstPort)が、共通部分を持つ。
・プロトコル(Proto)が、同一である。
【００５２】
図３（ａ）は、第１のタイプ(redundancy)を表す。これは、下位ポリシ要素ｇの送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素ｆの送信元／宛先アドレス範囲及びポート番号範囲と完全に一致する。この場合、下位ポリシ要素ｇは、不要ポリシ要素と判定され、オーダミスに基づく削除の対象となる。
【００５３】
図３（ｂ）は、第２のタイプ(shadowing1)を表す。これは、下位ポリシ要素ｇの送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素ｆの送信元／宛先アドレス範囲及びポート番号範囲に完全に含まれており、下位ポリシ要素ｇのアクションが、上位ポリシ要素ｆのアクションと相違している。以下の２つの場合が想定される。
（１）上位ポリシ要素ｆ：allow
下位ポリシ要素ｇ：deny
※上位ポリシ要素ｆの範囲から見て、下位ポリシ要素ｇの範囲でdenyとなる。
（２）上位ポリシ要素ｆ：deny
下位ポリシ要素ｇ：allow
※下位ポリシ要素ｇの範囲から見て、上位ポリシ要素ｆの範囲でdenyとなる。
【００５４】
図３（ｃ）は、第３のタイプ(shadowing2)を表す。これは、下位ポリシ要素ｇの送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素ｆの送信元／宛先アドレス範囲及びポート番号範囲に完全に含まれており、下位ポリシ要素ｇのアクションが、上位ポリシ要素ｆのアクションと同一である。以下の２つの場合が想定される。
（１）上位ポリシ要素ｆ：allow
下位ポリシ要素ｇ：allow
※下位ポリシ要素ｇは、上位ポリシ要素ｆによって実現され、不要ポリシ要素と
判定される。下位ポリシ要素ｇの実現ＩＤは、上位ポリシ要素ｆを指示する。
（２）上位ポリシ要素ｆ：deny
下位ポリシ要素ｇ：deny
※下位ポリシ要素ｇは、上位ポリシ要素ｆによって実現され、不要ポリシ要素と
判定される。下位ポリシ要素ｇの実現ＩＤは、上位ポリシ要素ｆを指示する。
【００５５】
図３（ｄ）は、第４のタイプ(generalization1)を表す。これは、下位ポリシ要素ｆの送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素ｇの送信元／宛先アドレス範囲及びポート番号範囲を完全に含んでおり、下位ポリシ要素ｇのアクションが、上位ポリシ要素ｆのアクションと相違している。以下の２つの場合が想定される。
（１）上位ポリシ要素ｇ：deny
下位ポリシ要素ｆ：allow
※下位ポリシ要素ｆの範囲から見て、上位ポリシ要素ｇの範囲でdenyとなる。
（２）上位ポリシ要素ｇ：allow
下位ポリシ要素ｆ：deny
※下位ポリシ要素ｆの範囲でdenyとなり、上位ポリシ要素ｇは不要ポリシ要素
と判定される。
【００５６】
図３（ｅ）は、第５のタイプ(generalization2)を表す。これは、下位ポリシ要素ｆの送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素ｇの送信元／宛先アドレス範囲及びポート番号範囲を完全に含んでおり、下位ポリシ要素ｆのアクションが、上位ポリシ要素ｇのアクションと同一である。以下の２つの場合が想定される。
（１）上位ポリシ要素ｇ：allow
下位ポリシ要素ｆ：allow
※上位ポリシ要素ｆは、下位ポリシ要素ｇによって実現され、不要ポリシ要素と
判定される。上位ポリシ要素ｆの実現ＩＤは、下位ポリシ要素ｇを指示する。
（２）上位ポリシ要素ｇ：deny
下位ポリシ要素ｆ：deny
※下位ポリシ要素ｆの範囲でdenyとなり、上位ポリシ要素ｇは不要ポリシ要素
と判定される。上位ポリシ要素ｇの実現ＩＤは、下位ポリシ要素ｆを指示する。
【００５７】
例えば、[generalization2]の場合、下位ポリシ要素ｇでヒットすべきパケットが、上位ポリシ要素ｆにおけるヒットに見える恐れがある。下位ポリシ要素ｇのログカウントが０になっているからといって、ネットワーク管理者が、下位ポリシ要素ｇを削除することは、誤判断となる可能性がある。
【００５８】
図３（ｆ）は、第６のタイプ(correlation1)を表す。これは、下位ポリシ要素ｇの送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素ｆの送信元／宛先アドレス範囲及びポート番号範囲と一部の共通部分を有し、下位ポリシ要素ｇのアクションが、上位ポリシ要素ｆのアクションと相違している。以下の２つの場合が想定される。
（１）上位ポリシ要素ｆ：allow
下位ポリシ要素ｇ：deny
※上位ポリシ要素ｆの範囲の一部が、下位ポリシ要素ｇの範囲でdenyとなる。
（２）上位ポリシ要素ｆ：deny
下位ポリシ要素ｇ：allow
※下位ポリシ要素ｇの範囲の一部が、上位ポリシ要素ｆの範囲でdenyとなる。
【００５９】
図３（ｇ）は、第７のタイプ(correlation2)を表す。これは、下位ポリシ要素ｇの送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素ｆの送信元／宛先アドレス範囲及びポート番号範囲と一部の共通部分を有し、下位ポリシ要素ｇのアクションが、上位ポリシ要素ｆのアクションと同一である。
（１）上位ポリシ要素ｆ：allow
下位ポリシ要素ｇ：allow
※上位ポリシ要素ｆと下位ポリシ要素ｇとの範囲で、allowとなる。
（２）上位ポリシ要素ｆ：deny
下位ポリシ要素ｇ：deny
※上位ポリシ要素ｆと下位ポリシ要素ｇとの範囲で、denyとなる。
【００６０】
図４は、本発明における第１のポリシ情報の表示イメージである。
【００６１】
図４によれば、ポリシ情報の各ポリシ要素が、順列に並べて表示されている。ここで、ポリシ要素P(4)とポリシ要素P(5)について注目する。
P(4)：tcp, 1.2.3.0/24, 1.2.3.1/32, any, 80, http, allow
P(5)：tcp, 1.2.3.0/24, 1.2.3.0/24, any, 80, http, allow
ポリシ要素P(4)の送信元アドレス"1.2.3.0/24"は、ポリシ要素P(5)の送信元アドレス"1.2.3.0/24"と共通する。また、ポリシ要素P(4)の宛先アドレス"1.2.3.1/32"は、ポリシ要素P(5)の宛先アドレス"1.2.3.0/24"に含まれる。更に、ポリシ要素P(4)及びP(5)のポート番号及びプロトコルは共通する。このように、上位のポリシ要素P(4)と下位のポリシ要素P(5)とは、「generalization2」の干渉関係にある。この干渉関係が、ポリシ情報のポリシ要素P(4)及びP(5)に表示される。
【００６２】
また、ポリシ要素毎に、「実現ポリシＩＤ」「ログカウント」「順序変更アイコン」が表示される。「実現ポリシＩＤ」は、当該ポリシ要素のアクションが、実際に実現されている他のポリシ要素のポリシＩＤである。図４によれば、上位のポリシ要素P(4)のアクションは、実際にそのポリシ要素P(4)によって実現される。また、下位のポリシ要素P(5)のアクションは、その一部がポリシ要素P(4)によって実現されるけれども、全体としては実際にそのポリシ要素P(5)によって実現される。
【００６３】
「ログカウント」は、ファイアウォール装置から受信したルール要素毎の「アクセスログ」を集計したものである。ログカウントによって、そのポリシ要素によって照合されたパケット数を知ることができる。
【００６４】
図４によれば、ポリシ要素P(5)のログカウントは、０となっている。しかしながら、ポリシ要素P(5)は、ポリシ要素P(4)と「generalization2」の干渉関係にあるために、ポリシ要素P(5)にヒットすべきアクセスログが、ポリシ要素P(4)のログカウントに加算されている可能性がある。この場合、ネットワーク管理者が、「ログカウントが０であるポリシ要素P(5)を、不要ポリシ要素として削除する」との判断は、誤っている可能性がある。
【００６５】
このとき、本発明によれば、当該ポリシ要素について、アクセスログのカウント数が所定閾値以下である場合、ネットワーク管理者に対して当該ポリシ要素を不要ポリシ要素として検討させるために、当該ポリシ要素を強調的に表示する。図４によれば、ポリシ要素P(5)が強調的に表示される。
【００６６】
「順序変更アイコン」は、そのポリシ要素を、１つ上位へ又は１つ下位へ移動させるために、ネットワーク管理者によって操作されるアイコンである。勿論、アイコンでなくても、操作可能なオブジェクトであってもよい。図４によれば、ネットワーク管理者は、不要ポリシ要素として検討すべきポリシ要素P(5)を、ポリシ要素P(4)と評価順序を入れ替えている。
【００６７】
尚、ポリシ情報は、ルール情報と同様に「オーダ・センシティブ」である。即ち、ファイアウォール装置のルール情報におけるルール要素の評価順序は、ポリシ情報のポリシ要素の順序に基づく。受信されたパケット毎に、ルール情報内に記述された先頭のルール要素から順次、末尾のルール要素へ、「適合（ヒット）」／「不適合」を照合していく。そして、最初に「適合」したルール要素のアクションが実行される。それ以降のルール要素については、照合されることなく（無視され）、処理を終了する。そのために、通常、ルール情報の末尾に記述されたルール要素には、あらゆるパケットに適合するべく、デフォルト・アクションが記述される。
【００６８】
図５は、ポリシ要素に対して順序が変更された際におけるファイアウォール管理装置のフローチャートである。
【００６９】
ネットワーク管理者の操作によって、干渉関係にある第１のポリシ要素と第２のポリシ要素との順序が変更された場合、ポリシの内容が変更される場合がある。
（Ｓ５１）ファイアウォール管理装置１は、ネットワーク管理者の操作に応じて、ポリシ情報記憶部に対して、第１のポリシ要素と第２のポリシ要素との評価順序を入れ替える。
（Ｓ５２）ファイアウォール管理装置１は、ポリシ情報記憶部から、第１のポリシ要素と第２のポリシ要素との干渉関係を検出する。図３に基づくいずれか１つの干渉関係タイプを検出する。
（Ｓ５３）ネットワーク管理者に対して、ディスプレイにポリシ情報を表示する。ここで、各ポリシ要素に、干渉関係にある他のポリシ要素のポリシＩＤと、その干渉関係タイプとを表示する。
（Ｓ５４）次に、ポリシ情報Pに基づいて、ファイアウォール装置j毎に、ルール情報RL(j)が生成される。
（Ｓ５５）生成されたルール情報RL(j)は、各ファイアウォール装置jへ送信される。
【００７０】
図６は、本発明における第２のポリシ情報の表示イメージである。
【００７１】
図６によれば、ポリシ要素P(5)とP(4)とが入れ替わっている。このとき、干渉関係タイプも変更される。
P(5)：tcp, 1.2.3.0/24, 1.2.3.0/24, any, 80, http, allow
P(4)：tcp, 1.2.3.0/24, 1.2.3.1/32, any, 80, http, allow
ポリシ要素P(5)の送信元アドレス"1.2.3.0/24"は、ポリシ要素P(4)の送信元アドレス"1.2.3.0/24"と共通する。また、ポリシ要素P(5)の宛先アドレス"1.2.3.0/24"は、ポリシ要素P(4)の宛先アドレス"1.2.3.1/32"を含む。更に、ポリシ要素P(4)及びP(5)のポート番号及びプロトコルは共通する。このように、上位のポリシ要素P(5)と下位のポリシ要素P(4)とは、「shadowing2」の干渉関係にある。この干渉関係が、ポリシ情報のポリシ要素P(4)及びP(5)に表示される。
【００７２】
また、図６によれば、上位のポリシ要素P(5)のアクションは、実際にそのポリシ要素P(5)によって実現される。また、下位のポリシ要素P(4)のアクションは、実際にポリシ要素P(5)によって実現される。従って、下位のポリシ要素P(4)の「実現ポリシＩＤ」は、ポリシＩＤ５となる。
【００７３】
その後、ポリシ要素毎のログカウントを、再度、カウントする。例えば、図６のように、ポリシ要素P(4)について、実現ポリシＩＤ５であって且つログカウントが０であれば、そのポリシ要素P(4)は、不要ポリシ要素として削除することができる。
【００７４】
図７は、ポリシ要素の干渉関係の計算を表す説明図である。
【００７５】
図７によれば、ポリシ要素の干渉関係は、「プロトコル」「送信元アドレス」「送信元ポート番号」「宛先アドレス」「宛先ポート番号」を順にノードに展開したツリーによって表される。同じ値のノードの下には、子ノードが生成される。
【００７６】
図７のツリーは、ポリシ要素P(1)から順に展開されている。展開済みのノードと比較し、差分箇所がある場合に、新たな部分ツリーへ分岐される。例えば、ポリシ要素P(1)及びP(2)は、宛先ポート番号が異なるのみであるので、宛先ポート番号が443のノードで分岐される。また、ポリシ要素P(2)及びP(3)は、宛先アドレスが異なるので、宛先アドレス192.168.1.0/24のノードで分岐される。更に、ポリシ要素P(3)及びP(4)は、送信元アドレスが異なるので、送信元アドレス192.168.3.0/24で分岐される。
【００７７】
ここで、ツリーを展開する際、ポリシ要素間の干渉関係が検出される。例えば、ポリシ要素P(5)を展開する際に、ポリシ要素P(5)の宛先アドレス[192.168.0.0/16]とポリシ要素P(1)の宛先アドレス[192.168.0.0/24]とを比較する。下位の宛先アドレス[192.168.0.0/16]は、上位の宛先アドレス[192.168.0.0/24]を包含する。従って、ポリシ要素P(1)及びP(5)は、generalizationの関係になる。また、ポリシ要素P(5)のアクション[deny]と、ポリシ要素P(1)のアクション[allow]とは相違するため、を比較する。ポリシ要素P(1)及びP(5)は、generalization1の関係になる。
【００７８】
図８は、本発明におけるファイアウォール管理装置の機能構成図である。
【００７９】
図８によれば、ファイアウォール管理装置１は、ディスプレイ部１０１と、オペレータ操作部１０２と、オーダシート入力部１０３と、通信インタフェース部１０４とを有する。ファイアウォール管理装置１は、ファイアウォール装置２に対するルール情報を生成する際に、ネットワーク管理者によって閲覧可能なディスプレイ部１０１に、ポリシ情報を表示する。オペレータ操作部１０２は、ネットワーク管理者によって操作可能であって、ポリシ情報のポリシ要素の評価順序が変更される。オーダシート入力部１０３は、電子帳票としてのオーダシートを入力する。オーダシート入力部１０３は、光学スキャナによる読み取りであってもよいし、Ｗｅｂサーバを用いたフォームの入力であってもよいし、テキストファイルやＣＳＶ(Comma Separated Values)形式ファイルのアップロードであってもよい。通信インタフェース部１０４は、ファイアウォール装置２と、ネットワーク又はシリアルケーブルを介して通信する。
【００８０】
また、図８によれば、ファイアウォール管理装置１は、ポリシ情報記憶部１１０と、干渉関係検出部１１１と、表示制御部１１２と、経路情報記憶部１１３と、ルール情報生成部１１４と、ルール情報記憶部１１５とを有する。これら機能構成部は、ファイアウォール管理装置に搭載されたコンピュータを機能させるプログラムを実行することによって実現される。
【００８１】
ポリシ情報記憶部１１０は、ポリシＩＤと、送信元／宛先アドレス範囲と、ポート番号範囲と、プロトコルと、アクションとを含む複数のポリシ要素Ｐ(i)を評価順序に並べたポリシ情報を記憶する。ポリシ情報記憶部１１０は、オーダシート入力部１０３からオーダシートを入力し、そのオーダシートをポリシ要素Ｐ(i)に対応付けて記憶する。
【００８２】
干渉関係検出部１１１は、ポリシ情報記憶部１１０を用いて、送信元／宛先アドレス範囲及びポート番号範囲について共通部分を有する干渉関係(conflict)にある第１のポリシ要素及び第２のポリシ要素を検出する。
【００８３】
表示制御部１１２は、第１のポリシ要素に、第２のポリシ要素に対する干渉関係タイプと、第２のポリシ要素のポリシＩＤとを表示する。また、第２のポリシ要素に、第１のポリシ要素に対する干渉関係タイプと、第１のポリシ要素のポリシＩＤとを表示する。表示制御部１１２は、ポリシ要素のポリシＩＤを、オーダシートのオーダＩＤに対応付ける。
【００８４】
また、表示制御部１１２は、ポリシ要素毎に、ネットワーク管理者によって評価順序を変更する操作インタフェースを表示する。ネットワーク管理者は、その操作インタフェースを認識しながら、オペレータ操作部１０２を操作する。オペレータ操作部１０２を介したネットワーク管理者の操作に基づいて、干渉関係検出部１１１が実行される。具体的には、当該ポリシ要素の評価順序が変更された際に、干渉関係検出部１１１が実行される。
【００８５】
更に、表示制御部１１２は、下位ポリシ要素が、上位ポリシ要素によって当該アクションが実際に実現されている場合、下位ポリシ要素に、上位ポリシ要素のポリシＩＤを表示する。具体的には、「実現ポリシＩＤ」として表示される。
【００８６】
更に、表示制御部１１２は、ポリシ要素毎に、当該ポリシ要素によって判定されたパケット数を、アクセスログのカウント数として表示する。ネットワーク管理者は、アクセスログのカウント数が所定閾値以下となるポリシ要素について、不要ルールとして検討することができる。また、このようなポリシ要素を強調的に表示することによって、ネットワーク管理者の視覚に訴えることができる。
【００８７】
尚、表示制御部１１２は、ルール要素毎に、当該ルール要素によって判定されたパケット数を、アクセスログのカウント数として表示することも好ましい。
【００８８】
経路情報記憶部１１３は、ポリシ情報の対象となるパケットが通過すると想定される、複数のファイアウォール装置jの構成情報に基づいて計算された各ファイアウォール装置jの通過順番を表す経路情報Ｒ、又は、ネットワーク管理者によって与えられた、各ファイアウォール装置jの通過順番を表す経路情報Ｒを記憶する。尚、経路情報記憶部１１３は、ファイアウォール装置２及びルータ３から構成情報を収集し、これら構成情報から経路情報を自動的に推定するものであってもよい。
【００８９】
ルール情報生成部１１４は、ポリシ情報に基づいて、経路情報に含まれる上流のファイアウォール装置jから順に、ルール情報のルール要素の照合順序を変更する。ポリシ情報から、ファイアウォール装置毎のルール情報を生成する技術は、既存技術である。
【００９０】
ルール情報記憶部１１５は、ファイアウォール装置j毎のルール情報RL(j)を記憶する。ルール情報記憶部１１５は、通信インタフェース部１０４を介して、各ファイアウォール装置jへルール情報RL(j)を送信する。又は、ファイアウォール管理装置における、ネットワーク管理者によって閲覧可能なディスプレイに、ルール情報RL(j)を表示させるものであってもよい。ネットワーク管理者は、ルール情報RL(j)を参照しながら、ファイアウォール装置の管理コンソールに直接的に手動で入力することもできる。
【００９１】
以上、詳細に説明したように、本発明のポリシ情報表示方法、管理装置及びプログラムによれば、ポリシ要素間の干渉関係を表示することによって、ネットワーク管理者が、不要ポリシ要素を誤って判断しないようにすることができる。
【００９２】
特に、本発明によれば、オーダシートとポリシ要素とが対応付けられると共に、ネットワーク管理者は、ポリシ情報のみの整理によって、複数のファイアウォール装置に保持されるルール情報を整理することができる。アクセスされていないポリシ要素について、オーダシートを依頼した管理者への確認・照会が容易となる。また、ファイアウォール装置の不要ルール要素の削除及び順序移動をする際に、不要ルール要素の誤判断を防止することができる。本発明によれば、ＩＣＴ(Information Communication Technologies)ソリューション事業（例えばデータセンタ）におけるファイアウォール管理ソリューションに要する工数・コストを削減することができる。
【００９３】
前述した本発明の種々の実施形態について、本発明の技術思想及び見地の範囲の種々の変更、修正及び省略は、当業者によれば容易に行うことができる。前述の説明はあくまで例であって、何ら制約しようとするものではない。本発明は、特許請求の範囲及びその均等物として限定するものにのみ制約される。
【符号の説明】
【００９４】
１ ファイアウォール管理装置
１０１ ディスプレイ部
１０２ オペレータ操作部
１０３ オーダシート入力部
１０４ 通信インタフェース部
１１０ ポリシ情報記憶部
１１１ 干渉関係検出部
１１２ 表示制御部
１１３ 経路情報記憶部
１１４ ルール情報生成部
１１５ ルール情報記憶部
２ ファイアウォール装置
３ ルータ
４ イントラネット
５ インターネット
６ 他の企業のネットワーク
【技術分野】
【０００１】
本発明は、ファイアウォールに対するポリシ情報表示方法、管理装置及びプログラムに関する。
【背景技術】
【０００２】
ファイアウォール(Firewall)装置は、管理対象ネットワークと外部ネットワークとの接続点に設置されるルータの一種である。ファイアウォール装置は、管理対象ネットワークの安全性を高めるために、組織毎のトラヒック疎通方針（セキュリティ・ポリシ、以下「ポリシ情報」という）に基づいて必要なパケットのみを通過させ、危険なパケットを阻止する。従って、ファイアウォール装置の構成情報（ルール情報）は、そのポリシ情報に基づいて適切に設定される必要がある。尚、ファイアウォール装置は、管理対象ネットワーク内のセグメントネットワーク同士の間（例えば部署Ａのイントラネットと部署Ｂのイントラネットとの間）に配置されるものであってもよい。
【０００３】
一般に、ネットワーク管理者は、各部署（例えば各イントラネットの管理者）から、「オーダシート」を受け取る。ネットワーク管理者は、それらオーダシートと基本方針とに基づいて、「ポリシ情報」を作成する。ポリシ情報は、複数の「ポリシ要素」の順列によって構成される。ファイアウォール管理装置は、そのポリシ情報に基づいて、ファイアウォール装置毎に「ルール情報」を作成する。ルール情報も、複数の「ルール要素」の順列によって構成される。そして、ファイアウォール管理装置は、ファイアウォール装置毎に、ルール情報を送信する。
【０００４】
ファイアウォール装置は、外部ネットワーク（又は他のセグメントネットワーク）から受信したパケットが、いずれのルール要素に該当するか照合する。そして、該当するルール要素に記述されるアクションに基づいて、そのパケットの転送可否が決定される。ファイアウォール装置は、パケット毎の疎通結果を、「アクセスログ」として記録する。「アクセスログ」とは、どのパケットに対し、どのルール要素によって、どのアクションを採ったかの表す記録である。
【０００５】
ファイアウォール装置のパケット転送性能は、ルール要素の数や評価順序に密接に関係する。ルール要素の数については、同一の送信元／宛先アドレス及びポート番号に対して、複数のルール要素が冗長的に設定されている場合がある。また、評価順序については、アクセスされないルール要素が上位順序で評価される場合もある。従って、ファイアウォール装置のルール情報について、不要ルール要素の整理が必要となる。
【０００６】
例えば、ファイアウォール装置におけるパケット転送性能を高めるために、以下の２つの方法でルール情報を整理することができる。
【０００７】
第１に、ルール情報内のルール要素の数を少なくし、受信したパケットに対するルール要素の照合回数を全体的に少なくする。そのために、「アクセスログ」におけるルール要素毎のログ記録回数をカウントし、その記録回数０（又は０に近い）のルール要素を不要として削除する技術がある（例えば特許文献１参照）。
【０００８】
第２に、受信される複数のパケットについて、ルール情報の中で「適合」しやすいルール要素を上位に並べ、照合回数を全体的に少なくする。これによって、ファイアウォール装置におけるパケット転送性能を上げる。そのために、「アクセスログ」におけるルール要素毎のログ記録回数をカウントし、その記録回数が多いルール要素ほど、上位の順列に移動させる技術がある（例えば特許文献２参照）。
【０００９】
また、ネットワーク管理者に対して、ルール評価順序の変更案を自動的に提示する技術もある（例えば非特許文献１参照）。この技術によれば、アクセスログを解析し、カウント数が少ないルール要素を下位へ、カウント数が多いルール要素を上位へ、並べ替えることができる。
【先行技術文献】
【特許文献】
【００１０】
【特許文献１】ＵＳ７，０１６，９８０Ｂ１
【特許文献２】特許第３５６８８５０号公報
【非特許文献】
【００１１】
【非特許文献１】株式会社クレディスト、「ＡｌｇｏＳｅｃファイアウォールアナライザー」、[online]、［平成２１年９月１５日検索］、インターネット＜URL:http://www.credist.co.jp/product/algosec.html＞
【発明の概要】
【発明が解決しようとする課題】
【００１２】
特定のアプリケーションやホスト又はルータが除去された場合、ネットワークとして、そのトラヒックの開放を意味するポリシ要素が、不要となることもある。この場合、その不要ポリシ要素に対応するルール要素も、不要ルール要素となり、ファイアウォール装置の中で全く適合しない。このような不要ルール要素を放置することは、セキュリティホールに繋がる。
【００１３】
また、非特許文献１に記載された技術によれば、オーダシートに基づいて設定されたポリシ要素と、そのポリシ要素を実現するルール要素とが、紐付けされていない。具体的には、オーダシートの情報を、データとして保持していない。また、オーダシートと、ポリシ要素やルール要素との紐付け情報を保持していないために、それらを更新することもできない。
【００１４】
そのため、ネットワーク管理者が、アクセスログに基づいて不要ルール要素を削除しようとした場合、そのルール要素に関連するポリシ要素は不明である。即ち、削除しようとする不要ルール要素に関連するオーダシートも不明である。結局、ネットワーク管理者は、ルール要素内のアドレスの項目等に基づいて、関連するオーダシートを、人手によって検索する必要がある。
【００１５】
ルール要素と、ポリシ要素と、オーダシートとの対応関係の管理は、必ずしも容易ではない。これは、ルール要素とポリシ要素とが、必ずしも１対１関係に対応付けられないことに基づく。例えば、複数のファイアウォール装置を含むネットワークであっても、ネットワーク管理者の視点からの管理を容易にするために、１つのポリシ情報によって管理される場合がある。この場合、１つのポリシ要素が、複数のファイアウォール装置の複数のルール要素に対応付けられる。
【００１６】
また、特許文献１及び特許文献２に記載された技術のように、ファイアウォール装置毎にそのルール情報を整理することによって、複数のポリシ要素が１つのルール要素で実現されているといった状態も生じ得る。
【００１７】
ネットワーク管理者は、アクセスログに基づいて不要ルール要素を検出し、その不要ルール要素に対応する１つ又は複数のポリシ要素を検出しなければならない。次に、ネットワーク管理者は、そのポリシ要素に関係する１つ又は複数のファイアウォール装置のルール要素を検出しなければならない。１つのポリシ要素の削除は、他のファイアウォール装置のルール要素に対するパケットの通過に影響を与えるからである。
【００１８】
ネットワークが大規模になるほど、各ファイアウォール装置によって保持されるルール要素の数は、数千個単位になる場合もある。この場合、不要ルール要素の検出と、その不要ルール要素に基づくポリシ要素の検出とは、容易ではない。更に、ポリシ情報におけるポリシ要素の削除及び移動は、ネットワーク全体のポリシ情報に違反する場合もある。特に、ポリシ要素の移動は、ポリシ要素間の干渉関係の変化を伴うため、不要ポリシ要素の削除の判断を誤らせる可能性がある。
【００１９】
そこで、本発明は、ネットワーク管理者が、不要ポリシ要素を誤って判断しないようにポリシ情報を表示する方法、管理装置及びプログラムを提供することを目的とする。
【課題を解決するための手段】
【００２０】
本発明によれば、ファイアウォール装置に対するルール情報を編集し生成する際に、ネットワーク管理者によって閲覧可能なディスプレイにポリシ情報を表示し編集可能とする方法であって、
ポリシ識別子と、送信元／宛先アドレス範囲と、ポート番号範囲と、プロトコルと、アクションとを含む複数のポリシ要素Ｐ(i)を評価順序に並べたポリシ情報を記憶する第１のステップと、
送信元／宛先アドレス範囲及びポート番号範囲について共通部分を有する干渉関係(conflict)にある、第１のポリシ要素及び第２のポリシ要素を検出する第２のステップと、
第１のポリシ要素に、第２のポリシ要素に対する干渉関係タイプと、第２のポリシ要素のポリシ識別子とを表示すると共に、第２のポリシ要素に、第１のポリシ要素に対する干渉関係タイプと、第１のポリシ要素のポリシ識別子とを表示する第３のステップと
を有することを特徴とする。
【００２１】
本発明のポリシ情報表示方法における他の実施形態によれば、第３のステップは、第１のポリシ要素及び第２のポリシ要素の評価順序に基づいて、下位ポリシ要素が、上位ポリシ要素によって当該アクションが実際に実現されている場合、下位ポリシ要素に、上位ポリシ要素のポリシ識別子を表示することも好ましい。
【００２２】
本発明のポリシ情報表示方法における他の実施形態によれば、干渉関係タイプとして、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲と完全に一致する第１のタイプ(redundancy)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲に完全に含まれており、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと相違している第２のタイプ(shadowing1)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲に完全に含まれており、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと同一である第３のタイプ(shadowing2)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲を完全に含んでおり、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと相違している第４のタイプ(generalization1)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲を完全に含んでおり、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと同一である第５のタイプ(generalization2)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲と一部の共通部分を有し、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと相違している第６のタイプ(correlation1)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲と一部の共通部分を有し、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと同一である第７のタイプ(correlation2)と
のいずれか１つが表示されることも好ましい。
【００２３】
本発明のポリシ情報表示方法における他の実施形態によれば、ポリシ要素毎に、ネットワーク管理者によって評価順序を変更する操作インタフェースが表示されており、ネットワーク管理者の操作に基づいて当該ポリシ要素の評価順序が変更された際に、第２のステップ及び第３のステップが実行されることも好ましい。
【００２４】
本発明のポリシ情報表示方法における他の実施形態によれば、ポリシ要素毎に、当該ポリシ要素によって判定されたパケット数を、アクセスログのカウント数として表示することも好ましい。
【００２５】
本発明のポリシ情報表示方法における他の実施形態によれば、当該ポリシ要素について、アクセスログのカウント数が所定閾値以下である場合、ネットワーク管理者に対して当該ポリシ要素を不要ポリシ要素として検討させるために、当該ポリシ要素を強調的に表示することも好ましい。
【００２６】
本発明のポリシ情報表示方法における他の実施形態によれば、ポリシ情報に対して、オーダシートが対応付けられており、ポリシ情報のポリシ要素のポリシ識別子は、オーダシートのオーダ識別子に対応付けられていることも好ましい。
【００２７】
本発明のポリシ情報表示方法における他の実施形態によれば、
ポリシ情報の対象となるパケットが通過すると想定される、複数のファイアウォール装置jと、複数のファイアウォール装置jの構成情報に基づく通過順番とを表す経路情報Rを有し、
ポリシ情報に基づいて、経路情報に含まれる上流のファイアウォール装置jから順に、ルール情報におけるルール要素の照合順序が変更されることも好ましい。
【００２８】
本発明によれば、ファイアウォール装置に対するルール情報を生成し編集する際に、ネットワーク管理者によって閲覧可能なディスプレイにポリシ情報を表示し編集可能とするファイアウォール管理装置であって、
ポリシ識別子と、送信元／宛先アドレス範囲と、ポート番号範囲と、プロトコルと、アクションとを含む複数のポリシ要素Ｐ(i)を評価順序に並べたポリシ情報を記憶するポリシ情報記憶手段と、
送信元／宛先アドレス範囲及びポート番号範囲について共通部分を有する干渉関係(conflict)にある第１のポリシ要素及び第２のポリシ要素を検出する干渉関係検出手段と、
第１のポリシ要素に、第２のポリシ要素に対する干渉関係タイプと、第２のポリシ要素のポリシ識別子とを表示すると共に、第２のポリシ要素に、第１のポリシ要素に対する干渉関係タイプと、第１のポリシ要素のポリシ識別子とを表示する表示制御手段と
を有することを特徴とする。
【００２９】
本発明のファイアウォール管理装置における他の実施形態によれば、表示制御手段は、第１のポリシ要素及び第２のポリシ要素の評価順序に基づいて、下位ポリシ要素が、上位ポリシ要素によって当該アクションが実際に実現されている場合、下位ポリシ要素に、上位ポリシ要素のポリシ識別子を表示することも好ましい。
【００３０】
本発明のファイアウォール管理装置における他の実施形態によれば、表示制御手段は、干渉関係タイプとして、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲と完全に一致する第１のタイプ(redundancy)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲に完全に含まれており、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと相違している第２のタイプ(shadowing1)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲に完全に含まれており、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと同一である第３のタイプ(shadowing2)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲を完全に含んでおり、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと相違している第４のタイプ(generalization1)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲を完全に含んでおり、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと同一である第５のタイプ(generalization2)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲と一部の共通部分を有し、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと相違している第６のタイプ(correlation1)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲と一部の共通部分を有し、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと同一である第７のタイプ(correlation2)と
のいずれか１つを表示することも好ましい。
【００３１】
本発明のファイアウォール管理装置における他の実施形態によれば、
ポリシ要素毎に、ネットワーク管理者によって評価順序を変更する操作インタフェースが表示されており、
干渉関係検出手段及び表示制御手段は、ネットワーク管理者の操作に基づいて当該ポリシ要素の評価順序が変更された際に、実行されることも好ましい。
【００３２】
本発明のファイアウォール管理装置における他の実施形態によれば、表示制御手段は、ポリシ要素毎に、当該ポリシ要素によって判定されたパケット数を、アクセスログのカウント数として表示することも好ましい。
【００３３】
本発明のファイアウォール管理装置における他の実施形態によれば、表示制御手段は、当該ポリシ要素について、アクセスログのカウント数が所定閾値以下である場合、ネットワーク管理者に対して当該ポリシ要素を不要ルールとして検討させるために、当該ポリシ要素を強調的に表示することも好ましい。
【００３４】
本発明のファイアウォール管理装置における他の実施形態によれば、ポリシ情報に対して、オーダシートが対応付けられており、表示制御手段は、ポリシ情報のポリシ要素のポリシ識別子を、オーダシートのオーダ識別子に対応付けることも好ましい。
【００３５】
本発明のファイアウォール管理装置における他の実施形態によれば、
ポリシ情報の対象となるパケットが通過すると想定される、複数のファイアウォール装置jと、複数のファイアウォール装置jの構成情報に基づく通過順番とを表す経路情報Rを記憶する経路情報記憶手段と、
ポリシ情報に基づいて、経路情報に含まれる上流のファイアウォール装置jから順に、ルール情報におけるルール要素の照合順序を変更するルール情報生成手段と
を有することも好ましい。
【００３６】
本発明によれば、ファイアウォール装置に対するルール情報を生成し編集する際に、ネットワーク管理者によって閲覧可能なディスプレイにポリシ情報を表示し編集可能とするファイアウォール管理装置に搭載されたコンピュータを機能させるプログラムであって、
ポリシ識別子と、送信元／宛先アドレス範囲と、ポート番号範囲と、プロトコルと、アクションとを含む複数のポリシ要素Ｐ(i)を評価順序に並べたポリシ情報を記憶するポリシ情報記憶手段と、
送信元／宛先アドレス範囲及びポート番号範囲について共通部分を有する干渉関係(conflict)にある第１のポリシ要素及び第２のポリシ要素を検出する干渉関係検出手段と、
第１のポリシ要素に、第２のポリシ要素に対する干渉関係タイプと、第２のポリシ要素のポリシ識別子とを表示すると共に、第２のポリシ要素に、第１のポリシ要素に対する干渉関係タイプと、第１のポリシ要素のポリシ識別子とを表示する表示制御手段と
してコンピュータを機能させることを特徴とする。
【発明の効果】
【００３７】
本発明のポリシ情報表示方法、管理装置及びプログラムによれば、ポリシ要素間の干渉関係を表示することによって、ネットワーク管理者が、不要ポリシ要素を誤って判断しないようにすることができる。
【図面の簡単な説明】
【００３８】
【図１】ファイアウォール装置及びファイアウォール管理装置を有するシステム構成図である。
【図２】オーダシートが入力されたファイアウォール管理装置のフローチャートである。
【図３】ポリシ要素間の干渉関係タイプを表す説明図である。
【図４】本発明における第１のポリシ情報の表示イメージである。
【図５】ポリシ要素に対して順序が変更された際におけるファイアウォール管理装置のフローチャートである。
【図６】本発明における第２のポリシ情報の表示イメージである。
【図７】ポリシ要素の干渉関係の計算を表す説明図である。
【図８】本発明におけるファイアウォール管理装置の機能構成図である。
【発明を実施するための形態】
【００３９】
以下、本発明の実施の形態について、図面を用いて詳細に説明する。
【００４０】
図１は、ファイアウォール装置及びファイアウォール管理装置を有するシステム構成図である。
【００４１】
図１によれば、管理対象ネットワーク（イントラネット４）と、外部ネットワーク（インターネット５又は他企業のネットワーク６）との間に、ファイアウォール装置２及びルータ３が接続されている。ファイアウォール装置２は、管理対象ネットワークに対するポリシ情報に基づいたルール情報を保持する。尚、ファイアウォール装置２は、ファイアウォールとして独立した装置であってもよいし、アクセスコントロールリストに基づくパケット転送制御機能を有する汎用のルータであってもよい。また、ファイアウォール・ソフトウェアを搭載した汎用の計算機であってもよい。
【００４２】
図１のような大規模ネットワークの場合、多数のファイアウォール装置２が配置される。このような場合、その膨大なルール情報を一元管理するファイアウォール管理装置１を配置することが好ましい。ファイアウォール管理装置１は、各ファイアウォール装置２に保持されるルール情報を設定管理する。ファイアウォール管理装置１は、複数のイントラネット４を含む管理対象ネットワーク全体のポリシ情報を維持するように、各ファイアウォール装置２に対してルール情報を設定する。
【００４３】
ファイアウォール管理装置１には、ネットワーク管理者によってオーダシートが電子帳票として入力される。図１によれば、例えば、部署Ａから、「他の部署Ｂへのアプリケーションhttpのトラヒックについて、ＴＣＰポート２１を開放してほしい」というオーダシートが入力されている。
【００４４】
図１のポリシ情報によれば、部署Ａ[140.192.37.0/8]から部署Ｂ[161.120.33.0/24]への[http]のパケットについて、[allow]が設定されている。例えば、送信元アドレス(SrcIP)"140.192.37.0/8"は、ビット列のネットマスクが８ビットであり、ＩＰアドレス範囲を意味する。また、図１によれば、部署Ａから部署Ｂへの経路に、２つのファイアウォール装置２が含まれている。従って、両方のファイアウォール装置２に対して、そのポリシ要素に基づくルール要素を設定しなければならない。
【００４５】
図２は、オーダシートが入力されたファイアウォール管理装置のフローチャートである。
【００４６】
図２によれば、オーダシートは、以下のオーダ要素を含む。
・オーダＩＤ(IDentifier)（オーダに応じた一意な識別番号）
・送信元アドレス(SrcIP) 「ホスト・グループ」
・宛先アドレス(DstIP) 「ホスト・グループ」
・送信元ポート番号(SrcPort) 「サービス・グループ」
・宛先ポート番号(DstPort) 「サービス・グループ」
・プロトコル(Proto) 「サービス・グループ」
・アクション(Action) 転送許可(allow)又は転送禁止(deny)
【００４７】
「ホスト・グループ」として、送信元アドレス(SrcIP)及び宛先アドレス(DstIP)は、特定のＩＰアドレスであってもよいし、一定のＩＰアドレス範囲であってもよい。「サービス・グループ」として、送信元ポート番号(SrcPort)と、宛先ポート番号(DstPort)と、プロトコル(Proto)とがある。プロトコルは、例えばtcp(transport control protocol)又はudp(user datagram protocol)である。
【００４８】
ポリシ情報のポリシ要素も、オーダシートと同様の構成要素を有する。従って、「ポリシＩＤ」「送信元アドレス」「宛先アドレス」「送信元ポート番号」「宛先ポート番号」「プロトコル」「アクション」を有する。ポリシＩＤは、オーダＩＤと同一であることが好ましい。
【００４９】
（Ｓ２１）ファイアウォール管理装置１は、最初に、ポリシ情報記憶部に対して、オーダシートO(k)のポリシ要素P(k)を、適切な評価順序に挿入する。ネットワーク管理者によって配置されるポリシ要素の評価順序によって、干渉関係が変化する。
（Ｓ２２）ファイアウォール管理装置１は、ポリシ情報記憶部から、ポリシ要素P(k)と干渉関係(conflict)にあるポリシ要素P(i)を検出する。「干渉関係(conflict)」とは、オーダシートO(j)とポリシ要素P(i)とが、プロトコル、ＩＰアドレス及びポート番号が、互いに共通部分を持つ、即ち互いに素でない関係をいう。
（Ｓ２３）ネットワーク管理者に対して、ディスプレイにポリシ情報を表示する。ここで、各ポリシ要素に、干渉関係にある他のポリシ要素のポリシＩＤ（識別子）と、その干渉関係タイプとを表示する。
（Ｓ２４）次に、ポリシ情報Pに基づいて、ファイアウォール装置j毎に、ルール情報RL(j)が生成される。ルール情報RL(j)は、複数のルール要素を照合順に並べたものである。
（Ｓ２５）生成されたルール情報RL(j)は、各ファイアウォール装置jへ送信される。
【００５０】
図３は、ポリシ要素間の干渉関係タイプを表す説明図である。
【００５１】
図３によれば、７つの干渉関係タイプが表されている。「干渉関係(conflict)」とは、２つのポリシ要素におけるＩＰアドレス、ポート番号及びプロトコルが、互いに共通部分を持つ、即ち互いに素(disjoint)でない関係をいう。具体的には、２つのポリシ要素が、以下の全ての条件を満たす関係にあることをいう。
・送信元アドレス(SrcIP)が、共通部分を持つ。
宛先アドレス(DstIP)が、共通部分を持つ。
・送信元ポート番号(SrcPort)が、共通部分を持つ。
・宛先ポート番号(DstPort)が、共通部分を持つ。
・プロトコル(Proto)が、同一である。
【００５２】
図３（ａ）は、第１のタイプ(redundancy)を表す。これは、下位ポリシ要素ｇの送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素ｆの送信元／宛先アドレス範囲及びポート番号範囲と完全に一致する。この場合、下位ポリシ要素ｇは、不要ポリシ要素と判定され、オーダミスに基づく削除の対象となる。
【００５３】
図３（ｂ）は、第２のタイプ(shadowing1)を表す。これは、下位ポリシ要素ｇの送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素ｆの送信元／宛先アドレス範囲及びポート番号範囲に完全に含まれており、下位ポリシ要素ｇのアクションが、上位ポリシ要素ｆのアクションと相違している。以下の２つの場合が想定される。
（１）上位ポリシ要素ｆ：allow
下位ポリシ要素ｇ：deny
※上位ポリシ要素ｆの範囲から見て、下位ポリシ要素ｇの範囲でdenyとなる。
（２）上位ポリシ要素ｆ：deny
下位ポリシ要素ｇ：allow
※下位ポリシ要素ｇの範囲から見て、上位ポリシ要素ｆの範囲でdenyとなる。
【００５４】
図３（ｃ）は、第３のタイプ(shadowing2)を表す。これは、下位ポリシ要素ｇの送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素ｆの送信元／宛先アドレス範囲及びポート番号範囲に完全に含まれており、下位ポリシ要素ｇのアクションが、上位ポリシ要素ｆのアクションと同一である。以下の２つの場合が想定される。
（１）上位ポリシ要素ｆ：allow
下位ポリシ要素ｇ：allow
※下位ポリシ要素ｇは、上位ポリシ要素ｆによって実現され、不要ポリシ要素と
判定される。下位ポリシ要素ｇの実現ＩＤは、上位ポリシ要素ｆを指示する。
（２）上位ポリシ要素ｆ：deny
下位ポリシ要素ｇ：deny
※下位ポリシ要素ｇは、上位ポリシ要素ｆによって実現され、不要ポリシ要素と
判定される。下位ポリシ要素ｇの実現ＩＤは、上位ポリシ要素ｆを指示する。
【００５５】
図３（ｄ）は、第４のタイプ(generalization1)を表す。これは、下位ポリシ要素ｆの送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素ｇの送信元／宛先アドレス範囲及びポート番号範囲を完全に含んでおり、下位ポリシ要素ｇのアクションが、上位ポリシ要素ｆのアクションと相違している。以下の２つの場合が想定される。
（１）上位ポリシ要素ｇ：deny
下位ポリシ要素ｆ：allow
※下位ポリシ要素ｆの範囲から見て、上位ポリシ要素ｇの範囲でdenyとなる。
（２）上位ポリシ要素ｇ：allow
下位ポリシ要素ｆ：deny
※下位ポリシ要素ｆの範囲でdenyとなり、上位ポリシ要素ｇは不要ポリシ要素
と判定される。
【００５６】
図３（ｅ）は、第５のタイプ(generalization2)を表す。これは、下位ポリシ要素ｆの送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素ｇの送信元／宛先アドレス範囲及びポート番号範囲を完全に含んでおり、下位ポリシ要素ｆのアクションが、上位ポリシ要素ｇのアクションと同一である。以下の２つの場合が想定される。
（１）上位ポリシ要素ｇ：allow
下位ポリシ要素ｆ：allow
※上位ポリシ要素ｆは、下位ポリシ要素ｇによって実現され、不要ポリシ要素と
判定される。上位ポリシ要素ｆの実現ＩＤは、下位ポリシ要素ｇを指示する。
（２）上位ポリシ要素ｇ：deny
下位ポリシ要素ｆ：deny
※下位ポリシ要素ｆの範囲でdenyとなり、上位ポリシ要素ｇは不要ポリシ要素
と判定される。上位ポリシ要素ｇの実現ＩＤは、下位ポリシ要素ｆを指示する。
【００５７】
例えば、[generalization2]の場合、下位ポリシ要素ｇでヒットすべきパケットが、上位ポリシ要素ｆにおけるヒットに見える恐れがある。下位ポリシ要素ｇのログカウントが０になっているからといって、ネットワーク管理者が、下位ポリシ要素ｇを削除することは、誤判断となる可能性がある。
【００５８】
図３（ｆ）は、第６のタイプ(correlation1)を表す。これは、下位ポリシ要素ｇの送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素ｆの送信元／宛先アドレス範囲及びポート番号範囲と一部の共通部分を有し、下位ポリシ要素ｇのアクションが、上位ポリシ要素ｆのアクションと相違している。以下の２つの場合が想定される。
（１）上位ポリシ要素ｆ：allow
下位ポリシ要素ｇ：deny
※上位ポリシ要素ｆの範囲の一部が、下位ポリシ要素ｇの範囲でdenyとなる。
（２）上位ポリシ要素ｆ：deny
下位ポリシ要素ｇ：allow
※下位ポリシ要素ｇの範囲の一部が、上位ポリシ要素ｆの範囲でdenyとなる。
【００５９】
図３（ｇ）は、第７のタイプ(correlation2)を表す。これは、下位ポリシ要素ｇの送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素ｆの送信元／宛先アドレス範囲及びポート番号範囲と一部の共通部分を有し、下位ポリシ要素ｇのアクションが、上位ポリシ要素ｆのアクションと同一である。
（１）上位ポリシ要素ｆ：allow
下位ポリシ要素ｇ：allow
※上位ポリシ要素ｆと下位ポリシ要素ｇとの範囲で、allowとなる。
（２）上位ポリシ要素ｆ：deny
下位ポリシ要素ｇ：deny
※上位ポリシ要素ｆと下位ポリシ要素ｇとの範囲で、denyとなる。
【００６０】
図４は、本発明における第１のポリシ情報の表示イメージである。
【００６１】
図４によれば、ポリシ情報の各ポリシ要素が、順列に並べて表示されている。ここで、ポリシ要素P(4)とポリシ要素P(5)について注目する。
P(4)：tcp, 1.2.3.0/24, 1.2.3.1/32, any, 80, http, allow
P(5)：tcp, 1.2.3.0/24, 1.2.3.0/24, any, 80, http, allow
ポリシ要素P(4)の送信元アドレス"1.2.3.0/24"は、ポリシ要素P(5)の送信元アドレス"1.2.3.0/24"と共通する。また、ポリシ要素P(4)の宛先アドレス"1.2.3.1/32"は、ポリシ要素P(5)の宛先アドレス"1.2.3.0/24"に含まれる。更に、ポリシ要素P(4)及びP(5)のポート番号及びプロトコルは共通する。このように、上位のポリシ要素P(4)と下位のポリシ要素P(5)とは、「generalization2」の干渉関係にある。この干渉関係が、ポリシ情報のポリシ要素P(4)及びP(5)に表示される。
【００６２】
また、ポリシ要素毎に、「実現ポリシＩＤ」「ログカウント」「順序変更アイコン」が表示される。「実現ポリシＩＤ」は、当該ポリシ要素のアクションが、実際に実現されている他のポリシ要素のポリシＩＤである。図４によれば、上位のポリシ要素P(4)のアクションは、実際にそのポリシ要素P(4)によって実現される。また、下位のポリシ要素P(5)のアクションは、その一部がポリシ要素P(4)によって実現されるけれども、全体としては実際にそのポリシ要素P(5)によって実現される。
【００６３】
「ログカウント」は、ファイアウォール装置から受信したルール要素毎の「アクセスログ」を集計したものである。ログカウントによって、そのポリシ要素によって照合されたパケット数を知ることができる。
【００６４】
図４によれば、ポリシ要素P(5)のログカウントは、０となっている。しかしながら、ポリシ要素P(5)は、ポリシ要素P(4)と「generalization2」の干渉関係にあるために、ポリシ要素P(5)にヒットすべきアクセスログが、ポリシ要素P(4)のログカウントに加算されている可能性がある。この場合、ネットワーク管理者が、「ログカウントが０であるポリシ要素P(5)を、不要ポリシ要素として削除する」との判断は、誤っている可能性がある。
【００６５】
このとき、本発明によれば、当該ポリシ要素について、アクセスログのカウント数が所定閾値以下である場合、ネットワーク管理者に対して当該ポリシ要素を不要ポリシ要素として検討させるために、当該ポリシ要素を強調的に表示する。図４によれば、ポリシ要素P(5)が強調的に表示される。
【００６６】
「順序変更アイコン」は、そのポリシ要素を、１つ上位へ又は１つ下位へ移動させるために、ネットワーク管理者によって操作されるアイコンである。勿論、アイコンでなくても、操作可能なオブジェクトであってもよい。図４によれば、ネットワーク管理者は、不要ポリシ要素として検討すべきポリシ要素P(5)を、ポリシ要素P(4)と評価順序を入れ替えている。
【００６７】
尚、ポリシ情報は、ルール情報と同様に「オーダ・センシティブ」である。即ち、ファイアウォール装置のルール情報におけるルール要素の評価順序は、ポリシ情報のポリシ要素の順序に基づく。受信されたパケット毎に、ルール情報内に記述された先頭のルール要素から順次、末尾のルール要素へ、「適合（ヒット）」／「不適合」を照合していく。そして、最初に「適合」したルール要素のアクションが実行される。それ以降のルール要素については、照合されることなく（無視され）、処理を終了する。そのために、通常、ルール情報の末尾に記述されたルール要素には、あらゆるパケットに適合するべく、デフォルト・アクションが記述される。
【００６８】
図５は、ポリシ要素に対して順序が変更された際におけるファイアウォール管理装置のフローチャートである。
【００６９】
ネットワーク管理者の操作によって、干渉関係にある第１のポリシ要素と第２のポリシ要素との順序が変更された場合、ポリシの内容が変更される場合がある。
（Ｓ５１）ファイアウォール管理装置１は、ネットワーク管理者の操作に応じて、ポリシ情報記憶部に対して、第１のポリシ要素と第２のポリシ要素との評価順序を入れ替える。
（Ｓ５２）ファイアウォール管理装置１は、ポリシ情報記憶部から、第１のポリシ要素と第２のポリシ要素との干渉関係を検出する。図３に基づくいずれか１つの干渉関係タイプを検出する。
（Ｓ５３）ネットワーク管理者に対して、ディスプレイにポリシ情報を表示する。ここで、各ポリシ要素に、干渉関係にある他のポリシ要素のポリシＩＤと、その干渉関係タイプとを表示する。
（Ｓ５４）次に、ポリシ情報Pに基づいて、ファイアウォール装置j毎に、ルール情報RL(j)が生成される。
（Ｓ５５）生成されたルール情報RL(j)は、各ファイアウォール装置jへ送信される。
【００７０】
図６は、本発明における第２のポリシ情報の表示イメージである。
【００７１】
図６によれば、ポリシ要素P(5)とP(4)とが入れ替わっている。このとき、干渉関係タイプも変更される。
P(5)：tcp, 1.2.3.0/24, 1.2.3.0/24, any, 80, http, allow
P(4)：tcp, 1.2.3.0/24, 1.2.3.1/32, any, 80, http, allow
ポリシ要素P(5)の送信元アドレス"1.2.3.0/24"は、ポリシ要素P(4)の送信元アドレス"1.2.3.0/24"と共通する。また、ポリシ要素P(5)の宛先アドレス"1.2.3.0/24"は、ポリシ要素P(4)の宛先アドレス"1.2.3.1/32"を含む。更に、ポリシ要素P(4)及びP(5)のポート番号及びプロトコルは共通する。このように、上位のポリシ要素P(5)と下位のポリシ要素P(4)とは、「shadowing2」の干渉関係にある。この干渉関係が、ポリシ情報のポリシ要素P(4)及びP(5)に表示される。
【００７２】
また、図６によれば、上位のポリシ要素P(5)のアクションは、実際にそのポリシ要素P(5)によって実現される。また、下位のポリシ要素P(4)のアクションは、実際にポリシ要素P(5)によって実現される。従って、下位のポリシ要素P(4)の「実現ポリシＩＤ」は、ポリシＩＤ５となる。
【００７３】
その後、ポリシ要素毎のログカウントを、再度、カウントする。例えば、図６のように、ポリシ要素P(4)について、実現ポリシＩＤ５であって且つログカウントが０であれば、そのポリシ要素P(4)は、不要ポリシ要素として削除することができる。
【００７４】
図７は、ポリシ要素の干渉関係の計算を表す説明図である。
【００７５】
図７によれば、ポリシ要素の干渉関係は、「プロトコル」「送信元アドレス」「送信元ポート番号」「宛先アドレス」「宛先ポート番号」を順にノードに展開したツリーによって表される。同じ値のノードの下には、子ノードが生成される。
【００７６】
図７のツリーは、ポリシ要素P(1)から順に展開されている。展開済みのノードと比較し、差分箇所がある場合に、新たな部分ツリーへ分岐される。例えば、ポリシ要素P(1)及びP(2)は、宛先ポート番号が異なるのみであるので、宛先ポート番号が443のノードで分岐される。また、ポリシ要素P(2)及びP(3)は、宛先アドレスが異なるので、宛先アドレス192.168.1.0/24のノードで分岐される。更に、ポリシ要素P(3)及びP(4)は、送信元アドレスが異なるので、送信元アドレス192.168.3.0/24で分岐される。
【００７７】
ここで、ツリーを展開する際、ポリシ要素間の干渉関係が検出される。例えば、ポリシ要素P(5)を展開する際に、ポリシ要素P(5)の宛先アドレス[192.168.0.0/16]とポリシ要素P(1)の宛先アドレス[192.168.0.0/24]とを比較する。下位の宛先アドレス[192.168.0.0/16]は、上位の宛先アドレス[192.168.0.0/24]を包含する。従って、ポリシ要素P(1)及びP(5)は、generalizationの関係になる。また、ポリシ要素P(5)のアクション[deny]と、ポリシ要素P(1)のアクション[allow]とは相違するため、を比較する。ポリシ要素P(1)及びP(5)は、generalization1の関係になる。
【００７８】
図８は、本発明におけるファイアウォール管理装置の機能構成図である。
【００７９】
図８によれば、ファイアウォール管理装置１は、ディスプレイ部１０１と、オペレータ操作部１０２と、オーダシート入力部１０３と、通信インタフェース部１０４とを有する。ファイアウォール管理装置１は、ファイアウォール装置２に対するルール情報を生成する際に、ネットワーク管理者によって閲覧可能なディスプレイ部１０１に、ポリシ情報を表示する。オペレータ操作部１０２は、ネットワーク管理者によって操作可能であって、ポリシ情報のポリシ要素の評価順序が変更される。オーダシート入力部１０３は、電子帳票としてのオーダシートを入力する。オーダシート入力部１０３は、光学スキャナによる読み取りであってもよいし、Ｗｅｂサーバを用いたフォームの入力であってもよいし、テキストファイルやＣＳＶ(Comma Separated Values)形式ファイルのアップロードであってもよい。通信インタフェース部１０４は、ファイアウォール装置２と、ネットワーク又はシリアルケーブルを介して通信する。
【００８０】
また、図８によれば、ファイアウォール管理装置１は、ポリシ情報記憶部１１０と、干渉関係検出部１１１と、表示制御部１１２と、経路情報記憶部１１３と、ルール情報生成部１１４と、ルール情報記憶部１１５とを有する。これら機能構成部は、ファイアウォール管理装置に搭載されたコンピュータを機能させるプログラムを実行することによって実現される。
【００８１】
ポリシ情報記憶部１１０は、ポリシＩＤと、送信元／宛先アドレス範囲と、ポート番号範囲と、プロトコルと、アクションとを含む複数のポリシ要素Ｐ(i)を評価順序に並べたポリシ情報を記憶する。ポリシ情報記憶部１１０は、オーダシート入力部１０３からオーダシートを入力し、そのオーダシートをポリシ要素Ｐ(i)に対応付けて記憶する。
【００８２】
干渉関係検出部１１１は、ポリシ情報記憶部１１０を用いて、送信元／宛先アドレス範囲及びポート番号範囲について共通部分を有する干渉関係(conflict)にある第１のポリシ要素及び第２のポリシ要素を検出する。
【００８３】
表示制御部１１２は、第１のポリシ要素に、第２のポリシ要素に対する干渉関係タイプと、第２のポリシ要素のポリシＩＤとを表示する。また、第２のポリシ要素に、第１のポリシ要素に対する干渉関係タイプと、第１のポリシ要素のポリシＩＤとを表示する。表示制御部１１２は、ポリシ要素のポリシＩＤを、オーダシートのオーダＩＤに対応付ける。
【００８４】
また、表示制御部１１２は、ポリシ要素毎に、ネットワーク管理者によって評価順序を変更する操作インタフェースを表示する。ネットワーク管理者は、その操作インタフェースを認識しながら、オペレータ操作部１０２を操作する。オペレータ操作部１０２を介したネットワーク管理者の操作に基づいて、干渉関係検出部１１１が実行される。具体的には、当該ポリシ要素の評価順序が変更された際に、干渉関係検出部１１１が実行される。
【００８５】
更に、表示制御部１１２は、下位ポリシ要素が、上位ポリシ要素によって当該アクションが実際に実現されている場合、下位ポリシ要素に、上位ポリシ要素のポリシＩＤを表示する。具体的には、「実現ポリシＩＤ」として表示される。
【００８６】
更に、表示制御部１１２は、ポリシ要素毎に、当該ポリシ要素によって判定されたパケット数を、アクセスログのカウント数として表示する。ネットワーク管理者は、アクセスログのカウント数が所定閾値以下となるポリシ要素について、不要ルールとして検討することができる。また、このようなポリシ要素を強調的に表示することによって、ネットワーク管理者の視覚に訴えることができる。
【００８７】
尚、表示制御部１１２は、ルール要素毎に、当該ルール要素によって判定されたパケット数を、アクセスログのカウント数として表示することも好ましい。
【００８８】
経路情報記憶部１１３は、ポリシ情報の対象となるパケットが通過すると想定される、複数のファイアウォール装置jの構成情報に基づいて計算された各ファイアウォール装置jの通過順番を表す経路情報Ｒ、又は、ネットワーク管理者によって与えられた、各ファイアウォール装置jの通過順番を表す経路情報Ｒを記憶する。尚、経路情報記憶部１１３は、ファイアウォール装置２及びルータ３から構成情報を収集し、これら構成情報から経路情報を自動的に推定するものであってもよい。
【００８９】
ルール情報生成部１１４は、ポリシ情報に基づいて、経路情報に含まれる上流のファイアウォール装置jから順に、ルール情報のルール要素の照合順序を変更する。ポリシ情報から、ファイアウォール装置毎のルール情報を生成する技術は、既存技術である。
【００９０】
ルール情報記憶部１１５は、ファイアウォール装置j毎のルール情報RL(j)を記憶する。ルール情報記憶部１１５は、通信インタフェース部１０４を介して、各ファイアウォール装置jへルール情報RL(j)を送信する。又は、ファイアウォール管理装置における、ネットワーク管理者によって閲覧可能なディスプレイに、ルール情報RL(j)を表示させるものであってもよい。ネットワーク管理者は、ルール情報RL(j)を参照しながら、ファイアウォール装置の管理コンソールに直接的に手動で入力することもできる。
【００９１】
以上、詳細に説明したように、本発明のポリシ情報表示方法、管理装置及びプログラムによれば、ポリシ要素間の干渉関係を表示することによって、ネットワーク管理者が、不要ポリシ要素を誤って判断しないようにすることができる。
【００９２】
特に、本発明によれば、オーダシートとポリシ要素とが対応付けられると共に、ネットワーク管理者は、ポリシ情報のみの整理によって、複数のファイアウォール装置に保持されるルール情報を整理することができる。アクセスされていないポリシ要素について、オーダシートを依頼した管理者への確認・照会が容易となる。また、ファイアウォール装置の不要ルール要素の削除及び順序移動をする際に、不要ルール要素の誤判断を防止することができる。本発明によれば、ＩＣＴ(Information Communication Technologies)ソリューション事業（例えばデータセンタ）におけるファイアウォール管理ソリューションに要する工数・コストを削減することができる。
【００９３】
前述した本発明の種々の実施形態について、本発明の技術思想及び見地の範囲の種々の変更、修正及び省略は、当業者によれば容易に行うことができる。前述の説明はあくまで例であって、何ら制約しようとするものではない。本発明は、特許請求の範囲及びその均等物として限定するものにのみ制約される。
【符号の説明】
【００９４】
１ ファイアウォール管理装置
１０１ ディスプレイ部
１０２ オペレータ操作部
１０３ オーダシート入力部
１０４ 通信インタフェース部
１１０ ポリシ情報記憶部
１１１ 干渉関係検出部
１１２ 表示制御部
１１３ 経路情報記憶部
１１４ ルール情報生成部
１１５ ルール情報記憶部
２ ファイアウォール装置
３ ルータ
４ イントラネット
５ インターネット
６ 他の企業のネットワーク
【特許請求の範囲】
【請求項１】
ファイアウォール装置に対するルール情報を編集し生成する際に、ネットワーク管理者によって閲覧可能なディスプレイにポリシ情報を表示し編集可能とする方法であって、
ポリシ識別子と、送信元／宛先アドレス範囲と、ポート番号範囲と、プロトコルと、アクションとを含む複数のポリシ要素Ｐ(i)を評価順序に並べたポリシ情報を記憶する第１のステップと、
前記送信元／宛先アドレス範囲及びポート番号範囲について共通部分を有する干渉関係(conflict)にある、第１のポリシ要素及び第２のポリシ要素を検出する第２のステップと、
第１のポリシ要素に、第２のポリシ要素に対する干渉関係タイプと、第２のポリシ要素のポリシ識別子とを表示すると共に、第２のポリシ要素に、第１のポリシ要素に対する干渉関係タイプと、第１のポリシ要素のポリシ識別子とを表示する第３のステップと
を有することを特徴とするポリシ情報表示方法。
【請求項２】
第３のステップは、第１のポリシ要素及び第２のポリシ要素の評価順序に基づいて、
下位ポリシ要素が、上位ポリシ要素によって当該アクションが実際に実現されている場合、下位ポリシ要素に、上位ポリシ要素のポリシ識別子を表示することを特徴とする請求項１に記載のポリシ情報表示方法。
【請求項３】
前記干渉関係タイプとして、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲と完全に一致する第１のタイプ(redundancy)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲に完全に含まれており、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと相違している第２のタイプ(shadowing1)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲に完全に含まれており、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと同一である第３のタイプ(shadowing2)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲を完全に含んでおり、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと相違している第４のタイプ(generalization1)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲を完全に含んでおり、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと同一である第５のタイプ(generalization2)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲と一部の共通部分を有し、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと相違している第６のタイプ(correlation1)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲と一部の共通部分を有し、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと同一である第７のタイプ(correlation2)と
のいずれか１つが表示されることを特徴とする請求項１又は２に記載のポリシ情報表示方法。
【請求項４】
前記ポリシ要素毎に、前記ネットワーク管理者によって評価順序を変更する操作インタフェースが表示されており、
前記ネットワーク管理者の操作に基づいて当該ポリシ要素の評価順序が変更された際に、第２のステップ及び第３のステップが実行されることを特徴とする請求項１から３のいずれか１項に記載のポリシ情報表示方法。
【請求項５】
前記ポリシ要素毎に、当該ポリシ要素によって判定されたパケット数を、アクセスログのカウント数として表示することを特徴とする請求項１から４のいずれか１項に記載のポリシ情報表示方法。
【請求項６】
当該ポリシ要素について、前記アクセスログのカウント数が所定閾値以下である場合、前記ネットワーク管理者に対して当該ポリシ要素を不要ポリシ要素として検討させるために、当該ポリシ要素を強調的に表示することを特徴とする請求項１から５のいずれか１項に記載のポリシ情報表示方法。
【請求項７】
前記ポリシ情報に対して、オーダシートが対応付けられており、
前記ポリシ情報の前記ポリシ要素の前記ポリシ識別子は、前記オーダシートのオーダ識別子に対応付けられていることを特徴とする請求項１から６のいずれか１項に記載のポリシ情報表示方法。
【請求項８】
ポリシ情報の対象となるパケットが通過すると想定される、複数のファイアウォール装置jの構成情報に基づいて計算された各ファイアウォール装置jの通過順番を表す経路情報Ｒ、又は、ネットワーク管理者によって与えられた、各ファイアウォール装置jの通過順番を表す経路情報Ｒを有し、
前記ポリシ情報に基づいて、前記経路情報に含まれる上流のファイアウォール装置jから順に、ルール情報におけるルール要素の照合順序が変更される
ことを特徴とする請求項１から７のいずれか１項に記載のポリシ情報表示方法。
【請求項９】
ファイアウォール装置に対するルール情報を生成し編集する際に、ネットワーク管理者によって閲覧可能なディスプレイにポリシ情報を表示し編集可能とするファイアウォール管理装置であって、
ポリシ識別子と、送信元／宛先アドレス範囲と、ポート番号範囲と、プロトコルと、アクションとを含む複数のポリシ要素Ｐ(i)を評価順序に並べたポリシ情報を記憶するポリシ情報記憶手段と、
前記送信元／宛先アドレス範囲及びポート番号範囲について共通部分を有する干渉関係(conflict)にある第１のポリシ要素及び第２のポリシ要素を検出する干渉関係検出手段と、
第１のポリシ要素に、第２のポリシ要素に対する干渉関係タイプと、第２のポリシ要素のポリシ識別子とを表示すると共に、第２のポリシ要素に、第１のポリシ要素に対する干渉関係タイプと、第１のポリシ要素のポリシ識別子とを表示する表示制御手段と
を有することを特徴とするファイアウォール管理装置。
【請求項１０】
前記表示制御手段は、第１のポリシ要素及び第２のポリシ要素の評価順序に基づいて、
下位ポリシ要素が、上位ポリシ要素によって当該アクションが実際に実現されている場合、下位ポリシ要素に、上位ポリシ要素のポリシ識別子を表示することを特徴とする請求項９に記載のファイアウォール管理装置。
【請求項１１】
前記表示制御手段は、前記干渉関係タイプとして、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲と完全に一致する第１のタイプ(redundancy)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲に完全に含まれており、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと相違している第２のタイプ(shadowing1)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲に完全に含まれており、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと同一である第３のタイプ(shadowing2)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲を完全に含んでおり、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと相違している第４のタイプ(generalization1)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲を完全に含んでおり、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと同一である第５のタイプ(generalization2)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲と一部の共通部分を有し、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと相違している第６のタイプ(correlation1)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲と一部の共通部分を有し、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと同一である第７のタイプ(correlation2)と
のいずれか１つを表示することを特徴とする請求項９又は１０に記載のファイアウォール管理装置。
【請求項１２】
前記ポリシ要素毎に、前記ネットワーク管理者によって評価順序を変更する操作インタフェースが表示されており、
前記干渉関係検出手段及び前記表示制御手段は、前記ネットワーク管理者の操作に基づいて当該ポリシ要素の評価順序が変更された際に、実行されることを特徴とする請求項９から１１のいずれか１項に記載のファイアウォール管理装置。
【請求項１３】
前記表示制御手段は、前記ポリシ要素毎に、当該ポリシ要素によって判定されたパケット数を、アクセスログのカウント数として表示することを特徴とする請求項９から１２のいずれか１項に記載のファイアウォール管理装置。
【請求項１４】
前記表示制御手段は、当該ポリシ要素について、前記アクセスログのカウント数が所定閾値以下である場合、前記ネットワーク管理者に対して当該ポリシ要素を不要ルールとして検討させるために、当該ポリシ要素を強調的に表示することを特徴とする請求項９から１３のいずれか１項に記載のファイアウォール管理装置。
【請求項１５】
前記ポリシ情報に対して、オーダシートが対応付けられており、
前記表示制御手段は、前記ポリシ情報の前記ポリシ要素の前記ポリシ識別子を、前記オーダシートのオーダ識別子に対応付けることを特徴とするファイアウォール管理装置。
【請求項１６】
ポリシ情報の対象となるパケットが通過すると想定される、複数のファイアウォール装置jの構成情報に基づいて計算された各ファイアウォール装置jの通過順番を表す経路情報Ｒ、又は、ネットワーク管理者によって与えられた、各ファイアウォール装置jの通過順番を表す経路情報Ｒを記憶する経路情報記憶手段と、
前記ポリシ情報に基づいて、前記経路情報に含まれる上流のファイアウォール装置jから順に、ルール情報におけるルール要素の照合順序を変更するルール情報生成手段と
を有することを特徴とする請求項９から１５のいずれか１項に記載のファイアウォール管理装置。
【請求項１７】
ファイアウォール装置に対するルール情報を生成し編集する際に、ネットワーク管理者によって閲覧可能なディスプレイにポリシ情報を表示し編集可能とするファイアウォール管理装置に搭載されたコンピュータを機能させるプログラムであって、
ポリシ識別子と、送信元／宛先アドレス範囲と、ポート番号範囲と、プロトコルと、アクションとを含む複数のポリシ要素Ｐ(i)を評価順序に並べたポリシ情報を記憶するポリシ情報記憶手段と、
前記送信元／宛先アドレス範囲及びポート番号範囲について共通部分を有する干渉関係(conflict)にある第１のポリシ要素及び第２のポリシ要素を検出する干渉関係検出手段と、
第１のポリシ要素に、第２のポリシ要素に対する干渉関係タイプと、第２のポリシ要素のポリシ識別子とを表示すると共に、第２のポリシ要素に、第１のポリシ要素に対する干渉関係タイプと、第１のポリシ要素のポリシ識別子とを表示する表示制御手段と
してコンピュータを機能させることを特徴とするファイアウォール管理装置用のプログラム。
【請求項１】
ファイアウォール装置に対するルール情報を編集し生成する際に、ネットワーク管理者によって閲覧可能なディスプレイにポリシ情報を表示し編集可能とする方法であって、
ポリシ識別子と、送信元／宛先アドレス範囲と、ポート番号範囲と、プロトコルと、アクションとを含む複数のポリシ要素Ｐ(i)を評価順序に並べたポリシ情報を記憶する第１のステップと、
前記送信元／宛先アドレス範囲及びポート番号範囲について共通部分を有する干渉関係(conflict)にある、第１のポリシ要素及び第２のポリシ要素を検出する第２のステップと、
第１のポリシ要素に、第２のポリシ要素に対する干渉関係タイプと、第２のポリシ要素のポリシ識別子とを表示すると共に、第２のポリシ要素に、第１のポリシ要素に対する干渉関係タイプと、第１のポリシ要素のポリシ識別子とを表示する第３のステップと
を有することを特徴とするポリシ情報表示方法。
【請求項２】
第３のステップは、第１のポリシ要素及び第２のポリシ要素の評価順序に基づいて、
下位ポリシ要素が、上位ポリシ要素によって当該アクションが実際に実現されている場合、下位ポリシ要素に、上位ポリシ要素のポリシ識別子を表示することを特徴とする請求項１に記載のポリシ情報表示方法。
【請求項３】
前記干渉関係タイプとして、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲と完全に一致する第１のタイプ(redundancy)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲に完全に含まれており、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと相違している第２のタイプ(shadowing1)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲に完全に含まれており、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと同一である第３のタイプ(shadowing2)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲を完全に含んでおり、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと相違している第４のタイプ(generalization1)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲を完全に含んでおり、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと同一である第５のタイプ(generalization2)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲と一部の共通部分を有し、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと相違している第６のタイプ(correlation1)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲と一部の共通部分を有し、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと同一である第７のタイプ(correlation2)と
のいずれか１つが表示されることを特徴とする請求項１又は２に記載のポリシ情報表示方法。
【請求項４】
前記ポリシ要素毎に、前記ネットワーク管理者によって評価順序を変更する操作インタフェースが表示されており、
前記ネットワーク管理者の操作に基づいて当該ポリシ要素の評価順序が変更された際に、第２のステップ及び第３のステップが実行されることを特徴とする請求項１から３のいずれか１項に記載のポリシ情報表示方法。
【請求項５】
前記ポリシ要素毎に、当該ポリシ要素によって判定されたパケット数を、アクセスログのカウント数として表示することを特徴とする請求項１から４のいずれか１項に記載のポリシ情報表示方法。
【請求項６】
当該ポリシ要素について、前記アクセスログのカウント数が所定閾値以下である場合、前記ネットワーク管理者に対して当該ポリシ要素を不要ポリシ要素として検討させるために、当該ポリシ要素を強調的に表示することを特徴とする請求項１から５のいずれか１項に記載のポリシ情報表示方法。
【請求項７】
前記ポリシ情報に対して、オーダシートが対応付けられており、
前記ポリシ情報の前記ポリシ要素の前記ポリシ識別子は、前記オーダシートのオーダ識別子に対応付けられていることを特徴とする請求項１から６のいずれか１項に記載のポリシ情報表示方法。
【請求項８】
ポリシ情報の対象となるパケットが通過すると想定される、複数のファイアウォール装置jの構成情報に基づいて計算された各ファイアウォール装置jの通過順番を表す経路情報Ｒ、又は、ネットワーク管理者によって与えられた、各ファイアウォール装置jの通過順番を表す経路情報Ｒを有し、
前記ポリシ情報に基づいて、前記経路情報に含まれる上流のファイアウォール装置jから順に、ルール情報におけるルール要素の照合順序が変更される
ことを特徴とする請求項１から７のいずれか１項に記載のポリシ情報表示方法。
【請求項９】
ファイアウォール装置に対するルール情報を生成し編集する際に、ネットワーク管理者によって閲覧可能なディスプレイにポリシ情報を表示し編集可能とするファイアウォール管理装置であって、
ポリシ識別子と、送信元／宛先アドレス範囲と、ポート番号範囲と、プロトコルと、アクションとを含む複数のポリシ要素Ｐ(i)を評価順序に並べたポリシ情報を記憶するポリシ情報記憶手段と、
前記送信元／宛先アドレス範囲及びポート番号範囲について共通部分を有する干渉関係(conflict)にある第１のポリシ要素及び第２のポリシ要素を検出する干渉関係検出手段と、
第１のポリシ要素に、第２のポリシ要素に対する干渉関係タイプと、第２のポリシ要素のポリシ識別子とを表示すると共に、第２のポリシ要素に、第１のポリシ要素に対する干渉関係タイプと、第１のポリシ要素のポリシ識別子とを表示する表示制御手段と
を有することを特徴とするファイアウォール管理装置。
【請求項１０】
前記表示制御手段は、第１のポリシ要素及び第２のポリシ要素の評価順序に基づいて、
下位ポリシ要素が、上位ポリシ要素によって当該アクションが実際に実現されている場合、下位ポリシ要素に、上位ポリシ要素のポリシ識別子を表示することを特徴とする請求項９に記載のファイアウォール管理装置。
【請求項１１】
前記表示制御手段は、前記干渉関係タイプとして、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲と完全に一致する第１のタイプ(redundancy)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲に完全に含まれており、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと相違している第２のタイプ(shadowing1)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲に完全に含まれており、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと同一である第３のタイプ(shadowing2)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲を完全に含んでおり、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと相違している第４のタイプ(generalization1)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲を完全に含んでおり、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと同一である第５のタイプ(generalization2)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲と一部の共通部分を有し、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと相違している第６のタイプ(correlation1)と、
下位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲が、上位ポリシ要素の送信元／宛先アドレス範囲及びポート番号範囲と一部の共通部分を有し、下位ポリシ要素のアクションが、上位ポリシ要素のアクションと同一である第７のタイプ(correlation2)と
のいずれか１つを表示することを特徴とする請求項９又は１０に記載のファイアウォール管理装置。
【請求項１２】
前記ポリシ要素毎に、前記ネットワーク管理者によって評価順序を変更する操作インタフェースが表示されており、
前記干渉関係検出手段及び前記表示制御手段は、前記ネットワーク管理者の操作に基づいて当該ポリシ要素の評価順序が変更された際に、実行されることを特徴とする請求項９から１１のいずれか１項に記載のファイアウォール管理装置。
【請求項１３】
前記表示制御手段は、前記ポリシ要素毎に、当該ポリシ要素によって判定されたパケット数を、アクセスログのカウント数として表示することを特徴とする請求項９から１２のいずれか１項に記載のファイアウォール管理装置。
【請求項１４】
前記表示制御手段は、当該ポリシ要素について、前記アクセスログのカウント数が所定閾値以下である場合、前記ネットワーク管理者に対して当該ポリシ要素を不要ルールとして検討させるために、当該ポリシ要素を強調的に表示することを特徴とする請求項９から１３のいずれか１項に記載のファイアウォール管理装置。
【請求項１５】
前記ポリシ情報に対して、オーダシートが対応付けられており、
前記表示制御手段は、前記ポリシ情報の前記ポリシ要素の前記ポリシ識別子を、前記オーダシートのオーダ識別子に対応付けることを特徴とするファイアウォール管理装置。
【請求項１６】
ポリシ情報の対象となるパケットが通過すると想定される、複数のファイアウォール装置jの構成情報に基づいて計算された各ファイアウォール装置jの通過順番を表す経路情報Ｒ、又は、ネットワーク管理者によって与えられた、各ファイアウォール装置jの通過順番を表す経路情報Ｒを記憶する経路情報記憶手段と、
前記ポリシ情報に基づいて、前記経路情報に含まれる上流のファイアウォール装置jから順に、ルール情報におけるルール要素の照合順序を変更するルール情報生成手段と
を有することを特徴とする請求項９から１５のいずれか１項に記載のファイアウォール管理装置。
【請求項１７】
ファイアウォール装置に対するルール情報を生成し編集する際に、ネットワーク管理者によって閲覧可能なディスプレイにポリシ情報を表示し編集可能とするファイアウォール管理装置に搭載されたコンピュータを機能させるプログラムであって、
ポリシ識別子と、送信元／宛先アドレス範囲と、ポート番号範囲と、プロトコルと、アクションとを含む複数のポリシ要素Ｐ(i)を評価順序に並べたポリシ情報を記憶するポリシ情報記憶手段と、
前記送信元／宛先アドレス範囲及びポート番号範囲について共通部分を有する干渉関係(conflict)にある第１のポリシ要素及び第２のポリシ要素を検出する干渉関係検出手段と、
第１のポリシ要素に、第２のポリシ要素に対する干渉関係タイプと、第２のポリシ要素のポリシ識別子とを表示すると共に、第２のポリシ要素に、第１のポリシ要素に対する干渉関係タイプと、第１のポリシ要素のポリシ識別子とを表示する表示制御手段と
してコンピュータを機能させることを特徴とするファイアウォール管理装置用のプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【公開番号】特開２０１１−６０２４９（Ｐ２０１１−６０２４９Ａ）
【公開日】平成２３年３月２４日（２０１１．３．２４）
【国際特許分類】
【出願番号】特願２００９−２１２５７８（Ｐ２００９−２１２５７８）
【出願日】平成２１年９月１５日（２００９．９．１５）
【出願人】（０００２０８８９１）ＫＤＤＩ株式会社 (2,700)
【Ｆターム（参考）】
【公開日】平成２３年３月２４日（２０１１．３．２４）
【国際特許分類】
【出願日】平成２１年９月１５日（２００９．９．１５）
【出願人】（０００２０８８９１）ＫＤＤＩ株式会社 (2,700)
【Ｆターム（参考）】
[ Back to top ]