(57)【要約】【課題】専門知識を有しない者であってもファイアウォールポリシを設定することができるファイアウォール設定支援方法を提供する。【解決手段】対象受付部１１が対象指定情報を受け付けるステップと、ポリシ案作成部１２１が、特定のプロトコルにおける全ての通信を遮断させるファイアウォールポリシが設定されたポリシ案を作成するステップと、規則データ取得部１２２が、対象受付部１１が受け付けた対象指定情報に基づいて、追加対象機器または追加対象機能がネットワークにてデータを通信するための規則が定義されたファイアウォール規則データを取得するステップと、ポリシ設定情報作成部１２３が、ファイアウォール規則データに基づき、ポリシ案に対して、追加対象機器または追加対象機能に許可されているファイアウォール規則を反映し、ファイアウォールポリシが設定されたポリシ設定情報を作成するステップとを備えた。【選択図】図１
2020113865.tif 000002
【特許請求の範囲】
【請求項１】
１つ以上の機器が接続されるネットワークにおけるファイアウォールポリシを設定するファイアウォール設定支援方法であって、
対象受付部が、前記ネットワークに追加して接続する１つ以上の追加対象機器、または、前記ネットワークに接続されている機器において追加して使用する１つ以上の追加対象機能に関する対象指定情報を受け付けるステップと、
ポリシ案作成部が、前記ネットワークにて前記ファイアウォールポリシが適用される特定のプロトコル、における全ての通信を遮断させる前記ファイアウォールポリシが設定されたポリシ案を作成するステップと、
規則データ取得部が、前記対象受付部が受け付けた対象指定情報に基づいて、前記１つ以上の追加対象機器、または、前記１つ以上の追加対象機能が前記ネットワークにてデータを通信するための規則が定義されたファイアウォール規則データ、を取得するステップと、
ポリシ設定情報作成部が、前記規則データ取得部が取得したファイアウォール規則データに基づき、前記ポリシ案作成部が作成したポリシ案に対して、前記１つ以上の追加対象機器、または、１つ以上の追加対象機能に許可されているファイアウォール規則を反映し、前記ファイアウォールポリシが設定されたポリシ設定情報を作成するステップ
とを備えたファイアウォール設定支援方法。
【請求項２】
前記規則データ取得部は、前記１つ以上の追加対象機器、または、１つ以上の追加対象機能固有の固有情報をさらに取得するステップを有し、
前記ポリシ設定情報作成部は、前記ポリシ案作成部が作成したポリシ案に対して、前記１つ以上の追加対象機器、または、１つ以上の追加対象機能に許可されているファイアウォール規則と、前記固有情報とを反映し、当該ファイアウォール規則と当該固有情報とを反映した後のポリシ案を、前記ファイアウォールポリシとするポリシ設定情報を作成するステップを有する
ことを特徴とする請求項１記載のファイアウォール設定支援方法。
【請求項３】
前記固有情報は、
前記１つ以上の追加対象機器のＯＳバージョンである
ことを特徴とする請求項２記載のファイアウォール設定支援方法。
【請求項４】
前記固有情報は、
前記１つ以上の追加対象機能に固有の設定に関する情報である
ことを特徴とする請求項２記載のファイアウォール設定支援方法。
【請求項５】
１つ以上の機器が接続されるネットワークにおけるファイアウォールポリシを設定するファイアウォール設定支援装置であって、
前記ネットワークに追加して接続する１つ以上の追加対象機器、または、前記ネットワークに接続されている機器において追加して使用する１つ以上の追加対象機能に関する対象指定情報を受け付ける対象受付部と、
前記ネットワークにて前記ファイアウォールポリシが適用される特定のプロトコル、における全ての通信を遮断させる前記ファイアウォールポリシが設定されたポリシ案を作成するポリシ案作成部と、
前記対象受付部が受け付けた対象指定情報に基づいて、前記１つ以上の追加対象機器、または、前記１つ以上の追加対象機能が前記ネットワークにてデータを通信するための規則が定義されたファイアウォール規則データ、を取得する規則データ取得部と、
前記規則データ取得部が取得したファイアウォール規則データに基づき、前記ポリシ案作成部が作成したポリシ案に対して、前記１つ以上の追加対象機器、または、１つ以上の追加対象機能に許可されているファイアウォール規則を反映し、前記ファイアウォールポリシが設定されたポリシ設定情報を作成するポリシ設定情報作成部
とを備えたファイアウォール設定支援装置。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、ネットワークにおけるファイアウォールポリシを設定するファイアウォールポリシ設定支援方法、および、ファイアウォール設定支援装置に関するものである。
【背景技術】
【０００２】
従来、企業等において、当該企業等のネットワーク、または、当該ネットワークに接続される機器等を、インターネットを通して進入してくる不正アクセスから保護するためのファイアウォールが設定される。一般に、当該ファイアウォールによってネットワーク等がどのように保護されるかを設定したファイアウォールポリシは、セキュリティ管理者等の、専門知識を有する者が設定するようになっている。
当該セキュリティ管理者等に対しては、ファイアウォールポリシをより簡単に設定し、ファイアウォールをより簡単に管理するための方法も知られている。例えば、特許文献１には、複雑なイントラネットにおいても、セキュリティ管理者等が、ファイアウォールの規則の複雑さ、規則の順番、および他の下位のコンフィギュレーション問題を気にすることなく、ファイアウォールポリシを設計することができるようにする、ファイアウォールを管理するための方法に関する技術が開示されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０００−２５３０６６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
特許文献１にファイアウォールを管理するための方法に関する技術に代表されるような、ファイアウォールポリシの設定に関する従来技術は、そもそも、ファイアウォールに関する専門知識を有するセキュリティ管理者等が、ファイアウォールポリシの設定を行うことを前提としている。
従って、企業等の現場の作業員等、ファイアウォールに関する専門知識を有しない者は、ファイアウォールポリシを設定することができないという課題があった。
【０００５】
この発明は、上記のような課題を解決するためになされたもので、専門知識を有しない者であってもファイアウォールポリシを設定することができる、ファイアウォールポリシ設定支援方法、および、ファイアウォールポリシ設定支援装置を提供することを目的とする。
【課題を解決するための手段】
【０００６】
この発明に係るファイアウォールポリシ設定支援方法は、１つ以上の機器が接続されるネットワークにおけるファイアウォールポリシを設定するファイアウォール設定支援方法であって、対象受付部が、ネットワークに追加して接続する１つ以上の追加対象機器、または、ネットワークに接続されている機器において追加して使用する１つ以上の追加対象機能に関する対象指定情報を受け付けるステップと、ポリシ案作成部が、ネットワークにてファイアウォールポリシが適用される特定のプロトコル、における全ての通信を遮断させるファイアウォールポリシが設定されたポリシ案を作成するステップと、規則データ取得部が、対象受付部が受け付けた対象指定情報に基づいて、１つ以上の追加対象機器、または、１つ以上の追加対象機能がネットワークにてデータを通信するための規則が定義されたファイアウォール規則データ、を取得するステップと、ポリシ設定情報作成部が、規則データ取得部が取得したファイアウォール規則データに基づき、ポリシ案作成部が作成したポリシ案に対して、１つ以上の追加対象機器、または、１つ以上の追加対象機能に許可されているファイアウォール規則を反映し、ファイアウォールポリシが設定されたポリシ設定情報を作成するステップとを備えたことを特徴とするものである。
【発明の効果】
【０００７】
この発明によれば、専門知識を有しない者であってもファイアウォールポリシを設定することができる。
【図面の簡単な説明】
【０００８】
【図１】実施の形態１に係るファイアウォール設定支援装置の構成例を示す図である。
【図２】実施の形態１において、設定制御部がポリシ設定情報を作成する際に用いるファイアウォール規則データの内容の一例を示す図であって、図２Ａは、機器毎に設定された、ファイアウォール規則データの内容の一例を示す図であり、図２Ｂは、機能毎に設定された、ファイアウォール規則データの内容の一例を示す図である。
【図３】実施の形態１において、ポリシ案作成部が作成するポリシ案の内容の一例を示す図である。
【図４】実施の形態１において、ポリシ設定情報作成部が、図２Ｂに示すプリンタＡのファイアウォール規則データを反映して作成したポリシ設定情報の内容の一例を示す図である。
【図５】実施の形態１に係るファイアウォール設定支援装置の動作を説明するためのフローチャートである。
【図６】実施の形態１において、ポリシ設定情報作成部が、図２Ｂに示すプリンタＢのファイアウォール規則データを反映して作成した規則反映後ポリシ案の一例を示す図である。
【図７】実施の形態１において、ポリシ設定情報作成部が、図２Ｂに示すＮＡＳ−Ｂのファイアウォール規則データを反映して作成した規則反映後ポリシ案の一例を示す図である。
【図８】実施の形態１において、ポリシ設定情報作成部が、図２Ａに示す監視ソフトウェアＡのファイアウォール規則データを反映して作成した規則反映後ポリシ案の一例を示す図である。
【図９】実施の形態１において、ポリシ設定情報作成部が、図２Ａに示す監視ソフトウェアＢのファイアウォール規則データを反映して作成した規則反映後ポリシ案の一例を示す図である。
【発明を実施するための形態】
【０００９】
以下、この発明の実施の形態について図面を参照しながら詳細に説明する。
実施の形態１．
図１は、実施の形態１に係るファイアウォール設定支援装置１の構成例を示す図である。
ファイアウォール設定支援装置１の動作は、ソフトウェアに基づくＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）を用いたプログラム処理によって実行される。
ファイアウォール設定支援装置１は、１つ以上の機器が接続されるネットワークにおけるファイアウォールポリシを設定する。ファイアウォールポリシは、ファイアウォールによって、ネットワークまたは機器が、どのように保護されるかが設定された情報である。
【００１０】
具体的には、まず、ユーザが、ファイアウォール設定支援装置１から、ネットワークに追加したい１つ以上の機器（以下「追加対象機器」という。）、または、ネットワークに接続されている機器において追加して使用したい１つ以上の機能（以下「追加対象機能」という。）に関する情報を入力する。なお、実施の形態１において、「機能」とは、「アプリケーション」である。また、実施の形態１において、「機器」とは、ＰＣ（Ｐｅｒｓｏｎａｌ  Ｃｏｍｐｕｔｅｒ）、プリンタ、または、ＮＡＳ−Ｂ等である。また、以下の実施の形態１において、「１つ以上の追加対象機器」を単に「追加対象機器」ともいい、「１つ以上の追加対象機能」を単に「追加対象機能」ともいう。
ファイアウォール設定支援装置１は、ユーザが指定した、追加対象機器または追加対象機能、に関する情報を受け付け、当該追加対象機器または追加対象機能に対するファイアウォールポリシを設定したポリシ設定情報を作成する。ファイアウォール設定支援装置１が作成したポリシ設定情報が、例えば、追加対象機器、または、追加対象機能を実行する機器において展開されることで、当該ポリシ設定情報で設定されたファイアウォールポリシが適用され、追加対象機器または追加対象機能に対するファイアウォールが設定される。
【００１１】
なお、ファイアウォールは、例えば、企業等のネットワークにおいて、１つの機器を不正アクセスから防御することを目的としたパーソナルファイアウォールと、企業等のネットワーク全体を不正アクセスから防御するファイアウォールを含む。実施の形態１では、パーソナルファイアウォールを想定しているが、実施の形態１に係るファイアウォール設定支援装置１は、ファイアウォールのファイアウォールポリシを設定したポリシ設定情報を作成することもできる。実施の形態１では、パーソナルファイアウォールについても、単に「ファイアウォール」というものとする。
また、実施の形態１において、ユーザとは、例えば、ファイアウォールが設定されるネットワークを有する企業等の従業員である。実施の形態１において、ユーザは、ファイアウォールに関する専門的な知識を有しない者を想定している。
【００１２】
ファイアウォール設定支援装置１は、対象受付部１１と、設定制御部１２と、記憶部１３を備える。
設定制御部１２は、ポリシ案作成部１２１と、規則データ取得部１２２と、ポリシ設定情報作成部１２３を備える。
【００１３】
対象受付部１１は、ユーザが入力した、ネットワークに追加して接続する１つ以上の追加対象機器、または、ネットワークに接続されている機器において追加して使用する追加対象機能を指定した対象指定情報を受け付ける。
具体的には、例えば、ユーザは、ファイアウォール設定支援装置１から、マウスまたはキーボード等の入力装置（図１においては図示省略）を操作して、対象機器等入力画面を呼び出し、当該対象機器等入力画面を、表示装置（図１においては図示省略）に表示させる。
そして、ユーザは、入力装置を操作して、対象機器等入力画面から、追加対象機器または追加対象機能に関する情報を入力する。例えば、対象機器等入力画面は、機器または機能の一覧が表示された画面であり、ユーザは、入力装置を操作して、対象機器等入力画面において、追加対象機器とする機器、または、追加対象機能とする機能に付与されているチェックボックスをクリックする等して、追加対象機器または追加対象機能に関する情報を入力する。また、例えば、ユーザは、入力装置を操作して、対象機器等入力画面に表示された入力部に、追加対象機器名、または、追加対象機能名を入力するようにしてもよい。
対象受付部１１は、ユーザが入力した、追加対象機器または追加対象機能に関する情報を、対象指定情報として受け付ける。対象指定情報は、少なくとも、ユーザが指定した、追加対象機器または追加対象機能を特定できる情報になっていればよい。
【００１４】
なお、ユーザは、一度に、複数の、追加対象機器または追加対象機能を入力することも可能である。その場合、対象受付部１１は、ユーザが入力した、複数の、追加対象機器または追加対象機能、を指定した対象指定情報を受け付ける。
対象受付部１１は、受け付けた対象指定情報を、設定制御部１２に出力する。
【００１５】
設定制御部１２は、対象受付部１１が受け付けた対象指定情報と、ファイアウォール規則データに基づき、ポリシ設定情報を作成する。
ここで、ファイアウォール規則データについて、具体例を挙げて説明する。
図２は、実施の形態１において、設定制御部１２がポリシ設定情報を作成する際に用いるファイアウォール規則データの内容の一例を示す図である。図２Ａは、機器毎に設定された、ファイアウォール規則データの内容の一例を示す図であり、図２Ｂは、機能毎に設定された、ファイアウォール規則データの内容の一例を示す図である。
【００１６】
ファイアウォール規則データは、図２Ａ，図２Ｂに示すように、ネットワークに接続され得る機器毎、または、ネットワークに接続された機器にて実行され得る機能毎に、当該機器または当該機能が、それぞれ、ネットワークにてデータを通信するためのファイアウォール規則が定義されたデータである。
例えば、図２Ａに示す例で言うと、ファイアウォール規則データにおいて、監視ソフトウェアＡは、「ＵＤＰ」を用いた、ローカルポート「１２３」または「１６１」への「受信」方向の通信を許可する規則が定義されている。
また、例えば、図２Ｂに示す例で言うと、ファイアウォール規則データにおいて、プリンタＡは、「ＴＣＰ」を用いた、リモートポート「５１５」への「送信」方向の通信を許可するファイアウォール規則が定義されている。
なお、ファイアウォール規則データにおいて定義されている「任意」とは、どの宛先に対しても通信を許可しない、言い換えれば、どの宛先に対しても通信を遮断する、という意味である。
【００１７】
ファイアウォール規則データは、予め、例えば、システムを開発した開発者によって、当該システム開発時に、作成される。なお、ファイアウォール規則データは、企業等において、ファイアウォールに関する専門的な知識を有するセキュリティ担当者によって適宜変更することもできる。
実施の形態１において、ファイアウォール規則データは、記憶部１３に記憶されている。
【００１８】
設定制御部１２の説明に戻る。
設定制御部１２は、上述のとおり、ポリシ案作成部１２１と、規則データ取得部１２２と、ポリシ設定情報作成部１２３を備える。
ポリシ案作成部１２１は、ネットワークにてファイアウォールポリシが適用される特定のプロトコル、における全ての通信を遮断させるファイアウォールポリシが設定されたポリシ案を作成する。
ネットワークにてファイアウォールポリシが適用される通信プロトコルによって、定義可能な、ファイアウォールポリシの規則は決まっている。実施の形態１では、一例として、ファイアウォールポリシが適用される通信プロトコルは、ＴＣＰ／ＵＤＰとしている。ＴＣＰ／ＵＤＰが定義可能なファイアウォールポリシの規則は、ポート、アドレスまたは通信方向である。よって、実施の形態１では、ポリシ案作成部１２１は、以下に示す図３のように、少なくとも、ファイアウォール設定支援装置１にて作成するポリシ設定情報に基づき設定されるファイアウォールポリシが適用される特定のプロトコルであるＴＣＰ／ＵＤＰが定義可能なポート、アドレスおよび通信方向、の通信を遮断させるファイアウォールポリシが設定されたポリシ案を作成する。なお、図３に示すポリシ案では、ポリシ案作成部１２１が、プログラム、ユーザ、および、プロトコルの通信も遮断と定義するものとしている。
実施の形態１では、上述のとおり、一例として、ファイアウォールポリシが適用される通信プロトコルは、ＴＣＰ／ＵＤＰとするが、例えば、ファイアウォールポリシが適用される通信プロトコルがＩＣＭＰである場合、ポリシ案作成部１２１は、ＩＣＭＰが定義可能な規則の通信を遮断させるファイアウォールポリシが設定されたポリシ案を作成する。具体的には、ＩＣＭＰは、アドレス定義は可能であるが、ポート番号という概念が存在しないため定義できない。よって、ファイアウォールポリシが適用される通信プロトコルがＩＣＭＰである場合は、ポリシ案作成部１２１は、指定のアドレス以外を遮断させるファイアウォールポリシが設定されたポリシ案を作成する。
【００１９】
図３は、実施の形態１において、ポリシ案作成部１２１が作成するポリシ案の内容の一例を示す図である。
なお、ポリシ案において設定されている「任意」とは、どの宛先に対しても通信を許可しない、言い換えれば、どの宛先に対しても通信を遮断する、という意味である。
ポリシ案作成部１２１が作成した、図３に示すようなポリシ案に基づき、後段にて、ポリシ設定情報作成部１２３がポリシ設定情報を作成する。
なお、ポリシ案作成部１２１は、作成したポリシ案を、例えば、記憶部１３に記憶させておく。
【００２０】
規則データ取得部１２２は、記憶部１３を参照し、対象受付部１１が受け付けた追加対象機器または追加対象機能のファイアウォール規則データを取得する。
規則データ取得部１２２は、取得したファイアウォール規則データを、ポリシ設定情報作成部１２３に出力する。
【００２１】
ポリシ設定情報作成部１２３は、規則データ取得部１２２が取得した、追加対象機器または追加対象機能のファイアウォール規則データに基づき、ポリシ案作成部１２１が作成したポリシ案に対して、追加対象機器または追加対象機能に許可されているファイアウォール規則を反映し、ファイアウォールポリシを設定したポリシ設定情報を作成する。
【００２２】
具体例を挙げて説明すると、例えば、今、対象受付部１１が、プリンタＡを追加対象機器とする対象指定情報を受け付け、当該プリンタＡのファイアウォール規則データは、図２Ｂに示すとおりであり、ポリシ案作成部１２１が作成したポリシ案は図３に示すとおりであるとする。
この場合、ポリシ設定情報作成部１２３は、ポリシ案を取得し、プリンタＡのファイアウォール規則データに基づき、取得したポリシ案に対して、当該ファイアウォール規則データで定義されている、「ＴＣＰ」を用いた、リモートポート「５１５」への「送信」方向の通信を許可する設定を反映した、ポリシ案（以下「規則反映後ポリシ案」という。）を作成する。そして、ポリシ設定情報作成部１２３は、作成した規則反映後ポリシ案を、ポリシ設定情報とする。
図４は、実施の形態１において、ポリシ設定情報作成部１２３が作成したポリシ設定情報の内容の一例を示す図である。図４は、上述のプリンタＡの例において、ポリシ設定情報作成部１２３が作成したポリシ設定情報の内容の一例を示している。
図４に示すように、ポリシ設定情報作成部１２３は、「ＴＣＰ」を用いた、「送信」方向の通信に関する「ＴＣＰ規則（１）」において、リモートポート「５１５」を除く、リモートポート「０−５１４，５１６−６５５３５」への「送信」方向の通信を「遮断」するファイアウォールポリシを設定することで、リモートポート「５１５」への「送信」方向の通信を許可するとファイアウォールポリシを設定する。実施の形態１では、リモートポートは０−６５５３５が使用されるものとしている。
【００２３】
なお、上述の具体例では、対象受付部１１は、プリンタＡのみを指定した対象指定情報を受け付けた場合の例としたが、対象受付部１１は、一度に、複数の、追加対象機器または追加対象機能を指定した対象指定情報を受け付けることも可能である。
その場合、ポリシ設定情報作成部１２３は、対象指定情報が受け付けた、全ての追加対象機器および追加対象機能について、ファイアウォール規則データで定義されているファイアウォール規則を反映した、ポリシ設定情報を作成する。
対象受付部１１が、一度に、複数の、追加対象機器または追加対象機能を指定した対象指定情報を受け付けた場合の、ポリシ設定情報作成部１２３によるポリシ設定情報の作成については、具体例を挙げて後述する。
【００２４】
ネットワークにてファイアウォールポリシが適用される通信プロトコルがＴＣＰ／ＵＤＰの場合、一般に、ファイアウォールの設定には、以下の条件によるフィルタリングが多く用いられる。
・特定のリモートポートまたはローカルポートによる通信の許可もしくは遮断
・特定のリモートアドレスまたはローカルアドレスによる通信の許可もしくは遮断
従って、ファイアウォールが設定される際に上述の条件が適用されるよう、ポリシ案作成部１２１は、図３に示したようなポリシ案を作成し、ポリシ設定情報作成部１２３は、図４に示したようなポリシ設定情報を作成する。
【００２５】
図１の説明に戻る。
記憶部１３は、ファイアウォール規則データを記憶する。
なお、実施の形態１では、図１に示すとおり、記憶部１３は、ファイアウォール設定支援装置１に備えられるものとするが、これは一例に過ぎず、記憶部１３は、ファイアウォール設定支援装置１の外部の、ファイアウォール設定支援装置１が参照可能な場所に備えられるものとしてもよい。
【００２６】
図５は、実施の形態１に係るファイアウォール設定支援装置１の動作を説明するためのフローチャートである。
なお、以下の動作説明において、記憶部１３には、図２Ａおよび図２Ｂで示したような、ファイアウォール規則データが記憶されているものとする。
【００２７】
対象受付部１１は、ユーザが入力した、ネットワークに追加して接続する１つ以上の追加対象機器、または、ネットワークに接続されている機器において追加して使用する追加対象機能を指定した対象指定情報を受け付ける（ステップＳＴ５０１）。
ここでは、例えば、対象受付部１１は、プリンタＡ、プリンタＢ、ＮＡＳ−Ｂ、および、監視ソフトウェアＡを指定した対象指定情報を受け付けたものとする。
対象受付部１１は、受け付けた対象指定情報を、設定制御部１２に出力する。
【００２８】
設定制御部１２のポリシ案作成部１２１は、ネットワークにてファイアウォールポリシが適用される特定のプロトコル（ここではＴＣＰ／ＵＤＰ）における全ての通信を遮断させるファイアウォールポリシが設定されたポリシ案を作成する（ステップＳＴ５０２）。ここでは、設定制御部１２は、図３に示すようなポリシ案を作成するものとする。
【００２９】
設定制御部１２の規則データ取得部１２２は、記憶部１３を参照し、対象受付部１１が受け付けた追加対象機器または追加対象機能のファイアウォール規則データを取得する（ステップＳＴ５０３）。ここでは、規則データ取得部１２２は、図２Ａおよび図２Ｂに示したファイアウォール規則データから、プリンタＡ、プリンタＢ、ＮＡＳ−Ｂ、および、監視ソフトウェアＡに関するファイアウォール規則データを取得することになる。
規則データ取得部１２２は、取得したファイアウォール規則データを、ポリシ設定情報作成部１２３に出力する。
【００３０】
設定制御部１２のポリシ設定情報作成部１２３は、ステップＳＴ５０３にて規則データ取得部１２２が取得した、追加対象機器または追加対象機能のファイアウォール規則データに基づき、ポリシ案作成部１２１が作成したポリシ案に対して、追加対象機器または追加対象機能に許可されているファイアウォール規則を反映し、ファイアウォールポリシを設定したポリシ設定情報を作成する。
【００３１】
まず、ポリシ設定情報作成部１２３は、ポリシ案を取得する。そして、ポリシ設定情報作成部１２３は、ステップＳＴ５０３にて規則データ取得部１２２が取得したファイアウォール規則データのうち、ポリシ案に対して未反映のファイアウォール規則データがあるか否かを判定する（ステップＳＴ５０４）。
未反映のファイアウォール規則データがない場合（ステップＳＴ５０４の“ＮＯ”の場合）、ステップＳＴ５０６に進む。当該ステップＳＴ５０６の具体的な動作については後述する。
【００３２】
未反映のファイアウォール規則データがある場合（ステップＳＴ５０４の“ＹＥＳ”の場合）、ステップＳＴ５０５に進む。
今、まだ、プリンタＡ、プリンタＢ、ＮＡＳ−Ｂ、および、監視ソフトウェアＡに関するファイアウォール規則データのうち、いずれのファイアウォール規則データも未反映なので、ステップＳＴ５０５に進む。
【００３３】
ポリシ設定情報作成部１２３は、ステップＳＴ５０５にて、規則データ取得部１２２が取得したファイアウォール規則データを、一つずつ順番に、ポリシ案に反映する。
なお、ポリシ設定情報作成部１２３は、規則データ取得部１２２が取得したファイアウォール規則データが複数存在する場合、任意の順番で、当該複数のファイアウォール規則データをポリシ案に反映すればよい。ここでは、ポリシ設定情報作成部１２３は、プリンタＡのファイアウォール規則データ→プリンタＢのファイアウォール規則データ→ＮＡＳ−Ｂのファイアウォール規則データ→監視ソフトウェアＡの送信方向のファイアウォール規則データ→監視ソフトウェアＡのローカルポート「１２３」を許可する受信方向のファイアウォール規則データ→監視ソフトウェアＡのローカルポート「１６１」を許可する受信方向のファイアウォール規則データの順番で、これらのファイアウォール規則データを、ポリシ案に反映するものとする。
【００３４】
ステップＳＴ５０５において、まず、ポリシ設定情報作成部１２３は、ポリシ案に対して、プリンタＡのファイアウォール規則データを反映した、規則反映後ポリシ案を作成する（ステップＳＴ５０５）。
ポリシ設定情報作成部１２３は、図４に示したような規則反映後ポリシ案を作成することになる。
そして、ステップＳＴ５０４に戻り、ポリシ設定情報作成部１２３は、再び、未反映のファイアウォール規則データがあるか否かを判定する（ステップＳＴ５０４）。
ここでは、まだ、プリンタＢ、ＮＡＳ−Ｂ、および、監視ソフトウェアＡに関するファイアウォール規則データが未反映なので（ステップＳＴ５０４の“ＹＥＳ”の場合）、ポリシ設定情報作成部１２３は、次に、プリンタＢに関するファイアウォール規則データを反映した規則反映後ポリシ案を作成する（ステップＳＴ５０５）。このとき、既に規則反映後ポリシ案を作成済みの場合は、ポリシ設定情報作成部１２３は、作成済みの規則反映後ポリシ案に対して、ファイアウォール規則データを反映して、当該規則反映後ポリシ案を更新するものとする。従って、ここでは、ポリシ設定情報作成部１２３は、図４に示したような規則反映後ポリシ案に対して、プリンタＢに関するファイアウォール規則データを反映し、当該規則反映後ポリシ案を更新することになる。
ポリシ設定情報作成部１２３、図６に示すような規則反映後ポリシ案を作成することになる。
つまり、ポリシ設定情報作成部１２３は、図６に示すように、「ＵＤＰ」を用いた、「受信」方向の通信に関する「ＵＤＰ規則（２）」において、ローカルポート「９１００」を除く、ローカルポート「０−９０９９，９１０１−６５５３５」への「受信」方向の通信を「遮断」するファイアウォールポリシを設定することで、ローカルポート「９１００」への「受信」方向の通信を許可するファイアウォールポリシを設定する。実施の形態１では、ローカルポートは０−６５５３５が使用されるものとしている。
【００３５】
そして、ステップＳＴ５０４に戻り、ポリシ設定情報作成部１２３は、再び、未反映のファイアウォール規則データがあるか否かを判定する（ステップＳＴ５０４）。
ここでは、まだ、ＮＡＳ−Ｂ、および、監視ソフトウェアＡに関するファイアウォール規則データが未反映なので（ステップＳＴ５０４の“ＹＥＳ”の場合）、ポリシ設定情報作成部１２３は、次に、ＮＡＳ−Ｂに関するファイアウォール規則データを反映した規則反映後ポリシ案を作成する（ステップＳＴ５０５）。ここでは、ポリシ設定情報作成部１２３は、図６に示したような規則反映後ポリシ案に対して、ＮＡＳ−Ｂに関するファイアウォール規則データを反映し、規則反映後ポリシ案を更新することになる。
ポリシ設定情報作成部１２３、図７に示すような規則反映後ポリシ案を作成することになる。
つまり、ポリシ設定情報作成部１２３は、図７に示すように、「ＴＣＰ」を用いた、「送信」方向の通信に関する「ＴＣＰ規則（１）」において、リモートポート「４４５」をさらに除く、ローカルポート「０−４４４，４４６−５１４，５１６−６５５３５」への「送信」方向の通信を「遮断」するファイアウォールポリシを設定することで、リモートポート「４４５」への「送信」方向の通信を許可するファイアウォールポリシを設定する。
【００３６】
そして、ステップＳＴ５０４に戻り、ポリシ設定情報作成部１２３は、再び、未反映のファイアウォール規則データがあるか否かを判定する（ステップＳＴ５０４）。
ここでは、まだ、監視ソフトウェアＡに関するファイアウォール規則データが未反映なので（ステップＳＴ５０４の“ＹＥＳ”の場合）、ポリシ設定情報作成部１２３は、次に、監視ソフトウェアＡに関するファイアウォール規則データを反映した規則反映後ポリシ案を作成する（ステップＳＴ５０５）。
なお、ポリシ設定情報作成部１２３は、上述したように、ステップＳＴ５０４およびステップＳＴ５０５を繰り返し、監視ソフトウェアＡの送信方向のファイアウォール規則データ、監視ソフトウェアＡのローカルポート「１２３」を許可する受信方向のファイアウォール規則データ、および、監視ソフトウェアＡのローカルポート「１６１」を許可する受信方向のファイアウォール規則データのそれぞれを反映した規則反映後ポリシ案を順に作成していくことになるが、ここでは、説明の簡単のため、上記３種類のファイアウォール規則データを、監視ソフトウェアＡのファイアウォール規則データとして一度に反映されたものとする。
【００３７】
ポリシ設定情報作成部１２３は、図７に示したような規則反映後ポリシ案に対して、監視ソフトウェアＡに関するファイアウォール規則データを反映し、規則反映後ポリシ案を更新する。ポリシ設定情報作成部１２３、図８に示すような規則反映後ポリシ案を作成することになる。
つまり、ポリシ設定情報作成部１２３は、図８に示すように、「ＴＣＰ」を用いた、「送信」方向の通信に関する「ＴＣＰ規則（１）」において、リモートポート「８０」をさらに除く、ローカルポート「０−７９，８１−４４４，４４６−５１４，５１６−６５５３５」への「送信」方向の通信を「遮断」するファイアウォールポリシを設定することで、リモートポート「８０」への「送信」方向の通信を許可するファイアウォールポリシを設定する。また、ポリシ設定情報作成部１２３は、図８に示すように、「ＵＤＰ」を用いた、「受信」方向の通信に関する「ＵＤＰ規則（２）」において、ローカルポート「１２３」および「１６１」をさらに除く、ローカルポート「０−１２２，１２４−１６０，１６２−９０９９，９１０１−６５５３５」への「受信」方向の通信の通信を「遮断」するファイアウォールポリシを設定することで、ローカルポート「１２３」および「１６１」への「受信」方向の通信を許可するファイアウォールポリシを設定する。
【００３８】
そして、ステップＳＴ５０４に戻り、ポリシ設定情報作成部１２３は、再び、未反映のファイアウォール規則データがあるか否かを判定する（ステップＳＴ５０４）。
以上の動作において、プリンタＡ、プリンタＢ、ＮＡＳ−Ｂ、および、監視ソフトウェアＡに関するファイアウォール規則データは全て反映されたので（ステップＳＴ５０４の“ＮＯ”の場合）、ステップＳＴ５０６に進む。
そして、ファイアウォール規則データは、ステップＳＴ５０５にて作成した規則反映後ポリシ案を、ポリシ設定情報とする（ステップＳＴ５０６）。ここでは、図８で示した規則反映後ポリシ案が、ポリシ設定情報となる。これにより、ポリシ設定情報作成部１２３は、ポリシ設定情報を作成したことになる。
【００３９】
このように、実施の形態１に係るファイアウォール設定支援装置１は、追加対象機器または追加対象機能を指定した対象指定情報を受け付け、受け付けた対象指定情報と、予め定義されているファイアウォール規則データに基づき、ポリシ設定情報を作成する。
ファイアウォール設定支援装置１が作成したポリシ設定情報が、例えば、追加対象機器、または、追加対象機能を実行する機器において展開されることで、当該ポリシ設定情報で設定されたファイアウォールポリシが適用され、追加対象機器または追加対象機能に対するファイアウォールが設定される。この場合のポリシ設定情報は、例えば、Ｗｉｎｄｏｗｓであれば、＊．ｗｆｗファイル、または、当該＊．ｗｆｗファイルを適用するためのバッチファイルのイメージである。
また、例えば、ファイアウォール設定支援装置１が、追加対象機能を使用しようとする機器に備えられる場合は、当該機器は、ファイアウォール設定支援装置１が作成したポリシ設定情報に設定されているファイアウォールポリシを直接使用してファイアウォールを設定することができる。
【００４０】
従来、ファイアウォールポリシの設定は、例えばシステムの開発者側で、ファイアウォールに関する専門知識を有するセキュリティ管理者等が行うことが前提となっていた。
そのため、システムを利用する現場となる企業等において、ファイアウォールに関する専門知識を有しないユーザが、ファイアウォールポリシを設定することができなかった。
その結果、企業等においては、例えば、現場の仕様等にあわせて、システムの変更を行いたい場合であっても、当該変更にあわせたファイアウォールポリシの設定ができないことにより、当該変更を実施できないということが発生し得た。また、このように、企業等においては、ネットワーク設計の自由度がなかった。
これに対し、実施の形態１に係るファイアウォール設定支援装置１は、上述のとおり、追加対象機器または追加対象機能を指定した対象指定情報を受け付け、受け付けた対象指定情報と、予め定義されているファイアウォール規則データに基づき、ポリシ設定情報を作成することができる。
ユーザは、追加対象機器または追加対象機能を指定するだけで、ファイアウォールを設定するためのポリシ設定情報を得ることができるため、ファイアウォールに関する専門知識を有しない者であっても、ファイアウォールポリシを設定することができる。例えば、プリンタを繋ぐ、または、アプリケーションを使う、程度の知識しかないユーザであっても、当該プリンタ、または、当該アプリケーションを使用する機器に対して、簡単にファイアウォールポリシを設定することができる。
【００４１】
また、従来は、システムに応じて、開発者側にて、セキュリティ管理者等が、ポート等を一から指定して、ファイアウォールポリシの設定を行っていた。しかし、上述のとおり、開発者は、機器毎または機能毎のファイアウォール規則データを用意しておくようにすることで、企業等にて、ファイアウォールポリシの設定を行わせるようにすることができる。また、例えば、開発者側にて、システム開発時に、ファイアウォールポリシを設定する際も、複数のシステムに、それぞれ、ファイアウォールポリシを、一から設定する必要はなく、作成済みのファイアウォール規則データを使用して、機器単位でファイアウォールポリシの設定を行うことができる。その結果、開発側での開発コストを抑えることができる。
【００４２】
なお、以上の説明では、ファイアウォール設定支援装置１が、例えば、プリンタＡ、プリンタＢ、ＮＡＳ−Ｂ、および、監視ソフトウェアＡのように（図２Ａおよび図２Ｂ参照）、ファイアウォール規則データにおいて、規則として１つの条件のみが定義されている機器または機能が追加対象機器または追加対象機能に指定された場合に、ポリシ設定情報を作成する動作について説明した。例えば、監視ソフトウェアＡは、ファイアウォール規則データにおいて、「ＵＤＰ」を用いた、ローカルポート「１２３」または「１６１」への「受信」方向の通信を許可するファイアウォール規則が定義されている。すなわち、許可するローカルポートを「１２３」または「１６１」とする条件が定義されている。しかし、どのアドレスから送信されたデータに対して、当該「受信」方向の通信を許可するか、という条件については「任意」である。
【００４３】
しかし、ファイアウォール設定支援装置１は、例えば、監視ソフトウェアＢのように（図２Ｂ参照）、ファイアウォール規則データにおいて、規則として２つの条件が組み合わされて定義されている機器または機能が追加対象機器または追加対象機能に指定された場合であっても、ポリシ設定情報を作成することができる。監視ソフトウェアＢは、ファイアウォール規則データにおいて、「ＴＣＰ」を用いた、特定のリモートアドレス「１９２．１６８．１０．１００」から、特定のポート「１２３４５」への「受信」方向の通信を許可するファイアウォール規則が定義されている。
この場合、ファイアウォール設定支援装置１は、「ＴＣＰ」を用いた、リモートアドレス「１９２．１６８．１０．１００」から、ポート「１２３４５」への「受信」方向のみを許可するファイアウォールポリシが設定されたポリシ設定情報を作成する。
具体的には、ファイアウォール設定支援装置１のポリシ設定情報作成部１２３は、上述の図５のステップＳＴ５０５において、反映後ポリシ案を作成する際に、リモートアドレス「１９２．１６８．１０．１００」以外による、任意のポートへの「受信」方向の通信を遮断するＴＣＰ規則と、任意のリモートアドレスから、ポート「１２３４５」以外への「受信」方向の通信を遮断するＴＣＰ規則を、ファイアウォールポリシとして設定した反映後ポリシ案を作成する。
【００４４】
例えば、対象受付部１１が、プリンタＡ、プリンタＢ、ＮＡＳ−Ｂ、監視ソフトウェアＡ、および、監視ソフトウェアＢを指定した対象指定情報を受け付けた場合、図５を用いて説明した動作を行った結果、ポリシ設定情報作成部１２３は、図９に示すような規則反映後ポリシ案を作成し、当該規則反映後ポリシ案を、ポリシ設定情報とすることになる。
図９において、「ＴＣＰ規則（２）」は、リモートアドレス「１９２．１６８．１０．１００」以外による、任意のポートへの「受信」方向の通信を遮断するファイアウォールポリシを設定したＴＣＰ規則である。また、「ＴＣＰ規則（３）」は、任意のリモートアドレスから、ポート「１２３４５」以外への「受信」方向の通信を遮断するファイアウォールポリシを設定したＴＣＰ規則である。
【００４５】
なお、「受信」方向の「ＴＣＰ規則」は、２つ（「ＴＣＰ規則（２）」および「ＴＣＰ規則（３）」）設定する必要がある。そのため、ポリシ設定情報作成部１２３は、「ＴＣＰ規則（２）」を設定した規則反映後ポリシ案を作成後、「ＴＣＰ規則（３）」を設定した規則反映後ポリシ案を作成する際には、ポリシ案作成部１２１が作成し記憶しておいたポリシ案（図３参照）から、再度、「ＴＣＰ規則」のポリシ案を取得し、取得した「ＴＣＰ規則」に対して、ファイアウォール規則データを反映するようにする。
【００４６】
また、以上の実施の形態１において、ファイアウォール設定支援装置１は、ポリシ設定情報を作成する際、ファイアウォール規則データだけでなく、追加対象機器または追加対象機能固有の固有情報を考慮して、ポリシ設定情報を作成することもできる。
追加対象機器または追加対象機能固有の固有情報とは、例えば、追加対象機器のＯＳバージョン、追加対象機器の機種、または、追加対象機能に固有の設定に関する情報である。固有情報は、例えば、ファイアウォール規則データに付与されている。
【００４７】
具体的には、ファイアウォール設定支援装置１において、規則データ取得部１２２は、ファイアウォール規則データを取得する際（図５のステップＳＴ５０３参照）、上述の固有情報もあわせて取得する。
そして、ポリシ設定情報作成部１２３は、未反映のファイアウォール規則データで定義されている許可範囲を反映した反映後ポリシ案を作成する際（図５のステップＳＴ５０５）、固有情報も反映する。
【００４８】
例えば、特定の機種または特定のＯＳバージョンを有する機器においては、特定のポートへの通信を許可しておかないと、機器での処理がエラーとなって、当該機器がシャットダウンさえることがあり得る。
ファイアウォール設定支援装置１において、上述のように、固有情報も考慮したポリシ設定情報を作成することで、機器または機能固有の設定がなされていないことで、機器での処理がエラーとなることを防ぐ、ポリシ設定情報を作成することができる。
【００４９】
また、以上の実施の形態１において、ファイアウォール設定支援装置１は、例えば、ある機器に対するポリシ設定情報を作成し、当該ある機器においてファイアウォールを設定した後、再び、当該機器における機能を追加する対象指定情報を受け付けた場合、過去に作成済みのポリシ設定情報を考慮した上で、今回受け付けた対象指定情報とファイアウォール規則データに基づき、ポリシ設定情報を作成することができる。
具体的には、ファイアウォール設定支援装置１において、ポリシ設定情報作成部１２３は、例えば、ポリシ設定情報を作成すると、作成したポリシ設定情報を、当該ポリシ設定情報を使用する機器の情報と対応付けて、記憶部１３に記憶させておく。
そして、再び当該機器に対するポリシ設定情報を作成することになる際には、規則データ取得部１２２が、記憶部１３から、作成済みのポリシ設定情報も、取得する（図５のステップＳＴ５０３参照）。ポリシ設定情報作成部１２３は、未反映のファイアウォール規則データで定義されている許可範囲を反映した反映後ポリシ案を作成する際（図５のステップＳＴ５０５参照）、作成済みのポリシ設定情報にて設定されている許可範囲も反映させるようにする。
なお、ファイアウォール設定支援装置１は、上述の機能を有しておらず、例えば、ポリシ設定情報を作成する都度、ユーザが、既に追加対象機器または追加対象機能として指定したことがある機器または機能を含む、ファイアウォールポリシを設定したい全ての機器または機能、を指定し、ファイアウォール設定支援装置１は、図５で説明したような動作を行うようにしてもよい。
【００５０】
以上のように、実施の形態１によれば、ファイアウォール設定支援装置１は、ネットワークに追加して接続する１つ以上の追加対象機器、または、ネットワークに接続されている機器において追加して使用する１つ以上の追加対象機能に関する対象指定情報を受け付ける対象受付部１１と、ネットワークにてファイアウォールポリシが適用される特定のプロトコル、における全ての通信を遮断させるファイアウォールポリシが設定されたポリシ案を作成するポリシ案作成部１２１と、対象受付部１１が受け付けた対象指定情報に基づいて、１つ以上の追加対象機器、または、１つ以上の追加対象機能がネットワークにてデータを通信するための規則が定義されたファイアウォール規則データ、を取得する規則データ取得部１２２と、規則データ取得部１２２が取得したファイアウォール規則データに基づき、ポリシ案作成部１２１が作成したポリシ案に対して、１つ以上の追加対象機器、または、１つ以上の追加対象機能に許可されているファイアウォール規則を反映し、ファイアウォールポリシが設定されたポリシ設定情報を作成するポリシ設定情報作成部１２３を備えるように構成した。
そのため、当該ファイアウォール設定支援装置１によるファイアウォール設定支援方法によれば、専門知識を有しない者であってもファイアウォールポリシを設定することができる。
【００５１】
また、ファイアウォール設定支援装置１において、規則データ取得部１２２は、１つ以上の追加対象機器、または、１つ以上の追加対象機能固有の固有情報をさらに取得し、ポリシ設定情報作成部１２３は、ポリシ案作成部１２１が作成したポリシ案に対して、１つ以上の追加対象機器、または、１つ以上の追加対象機能に許可されているファイアウォール規則と、固有情報とを反映し、当該ファイアウォール規則と当該固有情報とを反映した後のポリシ案を、ファイアウォールポリシとするポリシ設定情報を作成するように構成した。
そのため、機器または機能固有の設定がなされていないことで、機器での処理がエラーとなることを防ぐ、ポリシ設定情報を作成することができる。
【００５２】
なお、本願発明はその発明の範囲内において、実施の形態の任意の構成要素の変形、もしくは実施の形態の任意の構成要素の省略が可能である。
【符号の説明】
【００５３】
１  ファイアウォール設定支援装置
１１  対象受付部
１２  設定制御部
１２１  ポリシ案作成部
１２２  規則データ取得部
１２３  ポリシ設定情報作成部
１３  記憶部
【図１】
2020113865.tif 000003
【図２】
2020113865.tif 000004
【図３】
2020113865.tif 000005
【図４】
2020113865.tif 000006
【図５】
2020113865.tif 000007
【図６】
2020113865.tif 000008
【図７】
2020113865.tif 000009
【図８】
2020113865.tif 000010
【図９】
2020113865.tif 000011