(57)【要約】  フィルタリング設定支援装置は、送信元ノードと宛先ノードの組み合わせからなるフロー情報を、フロー識別子を付して管理するアクセスポリシー情報と、ノードの物理的な構成情報と、に基づいて、フロー識別子ごとに送信元ノードから宛先ノードに至るまでのネットワークの構成上のパスを、開始ノードと終端ノードの組み合わせにより表現するマッピング情報を生成する論理／物理マッピング部と、マッピング情報に基づいて、複数のフローが混在するノードを、フィルタリングポイントとして特定するフィルタリングポイント分析部と、フィルタリングポイントに設定すべき共通形式ルールを生成する共通形式ルール生成部と、共通形式ルールをネットワークの管理者に提示する共通形式ルール出力部と、を備える。
2014017467.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークに含まれる送信元ノードと宛先ノードの組み合わせからなるフロー情報を、フロー識別子を付して管理するアクセスポリシー情報と、前記ネットワークに含まれるノードの物理的な構成情報と、に基づいて、前記フロー識別子ごとに前記送信元ノードから前記宛先ノードに至るまでの前記ネットワークの構成上のパスを、開始ノードと終端ノードの組み合わせにより表現するマッピング情報を生成する論理／物理マッピング部と、
前記マッピング情報に基づいて、複数のフローが混在するノードを、フィルタリングポイントとして特定するフィルタリングポイント分析部と、
前記フィルタリングポイントを含む前記フロー情報から、前記フィルタリングポイントに設定すべき共通形式ルールを生成する共通形式ルール生成部と、
前記共通形式ルールを前記ネットワークの管理者に提示する共通形式ルール出力部と、
を備えるフィルタリング設定支援装置。
【請求項２】
前記フィルタリングポイント分析部は、前記マッピング情報に含まれる前記ネットワークの構成上のパスを、前記開始ノードから前記終端ノードに向けて走査することで、前記フィルタリングポイントを特定する請求項１のフィルタリング設定支援装置。
【請求項３】
前記フィルタリングポイント分析部は、前記マッピング情報に含まれる前記ネットワークの構成上のパスを、前記終端ノードから前記開始ノードに向けて走査することで、前記フィルタリングポイントを特定する請求項１又は２のフィルタリング設定支援装置。
【請求項４】
前記共通形式ルールを、前記フィルタリングポイントに適合したルールに変換すると共に、前記変換したルールを前記フィルタリングポイントに設定するルール設定部をさらに備える請求項１乃至３のいずれか一項に記載のフィルタリング設定支援装置。
【請求項５】
ネットワークに含まれる送信元ノードと宛先ノードの組み合わせからなるフロー情報を、フロー識別子を付して管理するアクセスポリシー情報と、前記ネットワークに含まれるノードの物理的な構成情報と、に基づいて、前記フロー識別子ごとに前記送信元ノードから前記宛先ノードに至るまでの前記ネットワークの構成上のパスを、開始ノードと終端ノードの組み合わせにより表現するマッピング情報を生成する第１の工程と、
前記マッピング情報に基づいて、異なるフローが混在するノードを、フィルタリングポイントとして特定する第２の工程と、
前記フィルタリングポイントを含む前記フロー情報から、前記フィルタリングポイントに設定すべき共通形式ルールを生成する第３の工程と、
前記共通形式ルールを前記ネットワークの管理者に提示する第４の工程と、
を含むフィルタリング設定支援方法。
【請求項６】
前記第２の工程は、前記マッピング情報に含まれる前記ネットワークの構成上のパスを、前記開始ノードから前記終端ノードに向けて走査することで、前記フィルタリングポイントを特定する請求項５のフィルタリング設定支援方法。
【請求項７】
前記第２の工程は、前記マッピング情報に含まれる前記ネットワークの構成上のパスを、前記終端ノードから前記開始ノードに向けて走査することで、前記フィルタリングポイントを特定する請求項５又は６のフィルタリング設定支援方法。
【請求項８】
前記共通形式ルールを、前記フィルタリングポイントに適合したルールに変換する第５の工程と、
前記変換したルールを前記フィルタリングポイントに設定する第６の工程と、
を含む請求項５乃至７のいずれか一項に記載のフィルタリング設定支援方法。
【請求項９】
ネットワークに含まれる送信元ノードと宛先ノードの組み合わせからなるフロー情報を、フロー識別子を付して管理するアクセスポリシー情報と、前記ネットワークに含まれるノードの物理的な構成情報と、に基づいて、前記フロー識別子ごとに前記送信元ノードから前記宛先ノードに至るまでの前記ネットワークの構成上のパスを、開始ノードと終端ノードの組み合わせにより表現するマッピング情報を生成する第１の処理と、
前記マッピング情報に基づいて、異なるフローが混在するノードを、フィルタリングポイントとして特定する第２の処理と、
前記フィルタリングポイントを含む前記フロー情報から、前記フィルタリングポイントに設定すべき共通形式ルールを生成する第３の処理と、
前記共通形式ルールを前記ネットワークの管理者に提示する第４の処理と、
をコンピュータに実行させることで前記コンピュータをフィルタリング設定支援装置として動作させるプログラム。  
【請求項１０】
前記第２の処理は、前記マッピング情報に含まれる前記ネットワークの構成上のパスを、前記開始ノードから前記終端ノードに向けて走査することで、前記フィルタリングポイントを特定する請求項９のプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
［関連出願についての記載］
本発明は、日本国特許出願：特願２０１２−１６３９６０号（２０１２年  ７月２４日出願）に基づくものであり、同出願の全記載内容は引用をもって本書に組み込み記載されているものとする。
本発明は、フィルタリング設定支援装置、フィルタリング設定支援方法及びプログラムに関する。特に、ネットワーク管理者によるフィルタリングルールの作成を支援するフィルタリング設定支援装置、フィルタリング設定支援方法及びプログラムに関する。
【背景技術】
【０００２】
近年、団体内部での使用に限定されたイントラネットが広く利用されている。複数の拠点を持つ大規模な組織で使用されるイントラネットでは、拠点間を接続するＷＡＮ（Wide Area Network；広域ネットワーク）や部門別のドメイン境界等において、フィルタ装置を設置する必要がある。より具体的には、ファイアウォール、フィルタリング機能付きの基幹ルータ、インテリジェントスイッチ等のフィルタ装置を設置し、ウィルスの侵入や外部からの不正アクセス等の脅威に対抗する。その結果、ネットワーク被害の局所化を実現する。【０００３】
イントラネット等のネットワークでは、それぞれのフィルタ装置に対して適切なフィルタリングルールを設定することで、イントラネット全体の安全性を確保する。ここで、イントラネットが大規模なものになると、その内部に使用されるフィルタ装置の台数が増加し、その種類も多様化する。このようなフィルタ装置に対して個別にフィルタリングルールを設定する必要があるため、フィルタリングルールが分散し、設定不備が発生する等の問題が起きる。【０００４】
特許文献１において、フィルタリングルール設定支援方法の一例が開示されている。特許文献１が開示するフィルタリングルール設定支援方法は、中央のフィルタリングルール管理装置が、管理対象であるフィルタ装置に設定されているフィルタリングルールを収集する。その後、アクセス行列モデルを用いて、ルール間の冗長性や矛盾を検出し、冗長性や矛盾のないフィルタリングルールを生成することで、ネットワーク管理者による適切な設定変更を促す。【０００５】
非特許文献１においても、フィルタリングルール設定支援方法の一例が開示されている。非特許文献１が開示するフィルタリングルール設定支援方法では、中央のフィルタリングルール管理装置が、管理対象であるフィルタ装置に設定されているフィルタリングルールを収集する。その後、有向グラフモデルを用いてクライアント−サーバ間の情報フローをシミュレーションすることで、情報保護ポリシーに反する情報漏えいパスの存在を検知する。検知した結果をネットワーク管理者に通知することで、より適切な設定への変更を促す。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００６−０４０２４７号公報
【非特許文献】
【０００７】
【非特許文献１】H. Sakaki, K. Yanoo and R. Ogawa, "A Model-Based Method for Security Configuration Verification", Lecture Notes in Computer Science, vol. 4266, pp.60-75, 2006
【発明の概要】
【発明が解決しようとする課題】
【０００８】
なお、上記先行技術文献の各開示を、本書に引用をもって繰り込むものとする。以下の分析は、本発明者らによってなされたものである。【０００９】
特許文献１及び非特許文献１が開示する技術は、いずれもフィルタリングルール設定支援に関する技術である。しかし、いずれの技術であっても、多種多様なフィルタ装置が混在するイントラネットに適用することは困難である。特許文献１及び非特許文献１が開示するフィルタリングルール設定支援方法は、中央のフィルタリングルール管理装置が管理対象ネットワークのフィルタ装置におけるフィルタリングルールを収集し、かつ、その解釈ができることが前提である。【００１０】
しかし、実際には、フィルタリングルールを収集するためのインターフェイスやフィルタリングルールの記述方法が、製品又はベンダに応じて大きく異なる。即ち、中央のフィルタリングルール管理装置が、管理対象ネットワークのフィルタ装置におけるフィルタリングルールを収集し、かつ、その解釈ができるという前提は成立しない。そのため、ルールの自動的な収集及び解釈が不可能なフィルタ装置が存在するネットワーク環境において、フィルタ装置の好適なフィルタリングルールを網羅的に生成し、ネットワーク管理者に提案することに寄与するフィルタリング設定支援装置、フィルタリング設定支援方法及びプログラムが、望まれる。
【課題を解決するための手段】
【００１１】
本発明の第１の視点によれば、ネットワークに含まれる送信元ノードと宛先ノードの組み合わせからなるフロー情報を、フロー識別子を付して管理するアクセスポリシー情報と、前記ネットワークに含まれるノードの物理的な構成情報と、に基づいて、前記フロー識別子ごとに前記送信元ノードから前記宛先ノードに至るまでの前記ネットワークの構成上のパスを、開始ノードと終端ノードの組み合わせにより表現するマッピング情報を生成する論理／物理マッピング部と、前記マッピング情報に基づいて、複数のフローが混在するノードを、フィルタリングポイントとして特定するフィルタリングポイント分析部と、前記フィルタリングポイントを含む前記フロー情報から、前記フィルタリングポイントに設定すべき共通形式ルールを生成する共通形式ルール生成部と、前記共通形式ルールを前記ネットワークの管理者に提示する共通形式ルール出力部と、を備えるフィルタリング設定支援装置が提供される。【００１２】
本発明の第２の視点によれば、ネットワークに含まれる送信元ノードと宛先ノードの組み合わせからなるフロー情報を、フロー識別子を付して管理するアクセスポリシー情報と、前記ネットワークに含まれるノードの物理的な構成情報と、に基づいて、前記フロー識別子ごとに前記送信元ノードから前記宛先ノードに至るまでの前記ネットワークの構成上のパスを、開始ノードと終端ノードの組み合わせにより表現するマッピング情報を生成する第１の工程と、前記マッピング情報に基づいて、異なるフローが混在するノードを、フィルタリングポイントとして特定する第２の工程と、前記フィルタリングポイントを含む前記フロー情報から、前記フィルタリングポイントに設定すべき共通形式ルールを生成する第３の工程と、前記共通形式ルールを前記ネットワークの管理者に提示する第４の工程と、を含むフィルタリング設定支援方法が提供される。
本方法は、共通形式ルールをネットワークの管理者に提示するフィルタリング設定支援装置という、特定の機械に結びつけられている。【００１３】
本発明の第３の視点によれば、ネットワークに含まれる送信元ノードと宛先ノードの組み合わせからなるフロー情報を、フロー識別子を付して管理するアクセスポリシー情報と、前記ネットワークに含まれるノードの物理的な構成情報と、に基づいて、前記フロー識別子ごとに前記送信元ノードから前記宛先ノードに至るまでの前記ネットワークの構成上のパスを、開始ノードと終端ノードの組み合わせにより表現するマッピング情報を生成する第１の処理と、前記マッピング情報に基づいて、異なるフローが混在するノードを、フィルタリングポイントとして特定する第２の処理と、前記フィルタリングポイントを含む前記フロー情報から、前記フィルタリングポイントに設定すべき共通形式ルールを生成する第３の処理と、前記共通形式ルールを前記ネットワークの管理者に提示する第４の処理と、をコンピュータに実行させることで前記コンピュータをフィルタリング設定支援装置として動作させるプログラムが提供される。
なお、このプログラムは、コンピュータが読み取り可能な記憶媒体に記録することができる。記憶媒体は、半導体メモリ、ハードディスク、磁気記録媒体、光記録媒体等の非トランジェント（ｎｏｎ−ｔｒａｎｓｉｅｎｔ）なものとすることができる。本発明は、コンピュータプログラム製品として具現することも可能である。
【発明の効果】
【００１４】
本発明の各視点によれば、ルールの自動的な収集及び解釈が不可能なフィルタ装置が存在するネットワーク環境において、フィルタ装置の好適なフィルタリングルールを網羅的に生成し、ネットワーク管理者に提案することに寄与するフィルタリング設定支援装置、フィルタリング設定支援方法及びプログラムが、提供される。
【図面の簡単な説明】
【００１５】
【図１】一実施形態の概要を説明するための図である。
【図２】第１の実施形態に係るフィルタリング設定支援装置１の内部構成の一例を示す図である。
【図３】フィルタリング設定支援装置１の動作を説明するための図である。
【図４】フィルタリング設定支援装置１の動作の一例を示すフローチャートである。
【図５】マッピング情報の一例を示す図である。
【図６】マッピング情報の生成方法の一例を示すフローチャートである。
【図７】図３に示すネットワーク構成におけるアクセスポリシーの一例を示す図である。
【図８】物理構成情報の一例を示す図である。
【図９】集合Ｐ（ｉ）の一例を示す図である。
【図１０】フィルタリングポイントの特定方法の一例を示すフローチャートである。
【図１１】開始ノードに対する出力アークの関係の一例を示す図である。
【図１２】共通形式ルールの生成の一例を示すフローチャートである。
【図１３】ネットワーク管理者に提示する共通形式ルールの一例を示す図である。
【図１４】フィルタリングポイントの特定方法の一例を示すフローチャートである。
【図１５】終端ノードに対する入力アークの関係の一例を示す図である。
【図１６】第３の実施形態に係るフィルタリング設定支援装置３の内部構成の一例を示す図である。
【図１７】ルール設定部９１の内部構成の一例を示す図である。
【図１８】ルール設定部９１の動作の一例を示すフローチャートである。
【発明を実施するための形態】
【００１６】
初めに、図１を用いて一実施形態の概要について説明する。なお、この概要に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、この概要の記載はなんらの限定を意図するものではない。
【００１７】
上述のように、ルールの自動的な収集及び解釈が不可能なフィルタ装置が存在するネットワーク環境において、フィルタ装置の好適なフィルタリングルールを網羅的に生成し、ネットワーク管理者に提案するフィルタリング設定支援装置が、望まれる。
【００１８】
そこで、一例として図１に示すフィルタリング設定支援装置１００を提供する。フィルタリング設定支援装置１００は、論理／物理マッピング部１０１と、フィルタリングポイント分析部１０２と、共通形式ルール生成部１０３と、共通形式ルール出力部１０４と、を備える。論理／物理マッピング部１０１は、ネットワークに含まれる送信元ノードと宛先ノードの組み合わせからなるフロー情報を、フロー識別子を付して管理するアクセスポリシー情報と、ネットワークに含まれるノードの物理的な構成情報と、に基づいて、フロー識別子ごとに送信元ノードから宛先ノードに至るまでのネットワークの構成上のパスを、開始ノードと終端ノードの組み合わせにより表現するマッピング情報を生成する。フィルタリングポイント分析部１０２は、マッピング情報に基づいて、複数のフローが混在するノードを、フィルタリングポイントとして特定する。共通形式ルール生成部１０３は、フィルタリングポイントを含むフロー情報から、フィルタリングポイントに設定すべき共通形式ルールを生成する。共通形式ルール出力部１０４は、共通形式ルールをネットワークの管理者に提示する。
【００１９】
論理／物理マッピング部１０１は、送信元ノードの位置情報と宛先ノードの位置情報との組み合わせからなるフロー情報を、ネットワークの構成上のパス（送信元ノードから宛先ノードに至る任意の経路）の集合に変換することでマッピング情報を生成する。フィルタリングポイント分析部１０２は、マッピング情報を走査することで、複数のフローが混在するノードをフィルタリングポイントとしてとして特定する。さらに、共通形式ルール生成部１０３は、特定されたフィルタリングポイントごとに、設定されるべきルールを対象機器に依存しない共通形式ルールとして生成する。生成された共通形式ルールは、共通形式ルール出力部１０４により、ネットワーク管理者に提示される。
【００２０】
即ち、論理／物理マッピング部１０１が、フロー情報を含むアクセスポリシー情報で許可された通信に相当するフローが発生した際にパケットが通過するすべてのパスを抽出する。さらに、フィルタリングポイント分析部１０２が、パスの情報（マッピング情報）から、異なるフローを仕分けて、転送先を分岐させるフィルタ装置に該当するノードをフィルタリングポイントとして抽出する。その後、共通形式ルール生成部１０３が、抽出したフィルタ装置に設定されるべきルールをアクセスポリシー情報から抽出し、共通形式ルール出力部１０４がネットワーク管理者に提示する。その結果、ルールの自動的な収集・解釈・設定ができないフィルタ装置が管理対象ネットワークに存在する場合でも、すべてのフィルタ装置における好適なルールを網羅的に生成し、ネットワーク管理者に提案することができる。
【００２１】
さらに、下記の形態が可能である。
【００２２】
［形態１］
上記第１の視点に係るフィルタリング設定支援装置のとおりである。
［形態２］
前記フィルタリングポイント分析部は、前記マッピング情報に含まれる前記ネットワークの構成上のパスを、前記開始ノードから前記終端ノードに向けて走査することで、前記フィルタリングポイントを特定することが好ましい。
［形態３］
前記フィルタリングポイント分析部は、前記マッピング情報に含まれる前記ネットワークの構成上のパスを、前記終端ノードから前記開始ノードに向けて走査することで、前記フィルタリングポイントを特定することが好ましい。
［形態４］
前記共通形式ルールを、前記フィルタリングポイントに適合したルールに変換すると共に、前記変換したルールを前記フィルタリングポイントに設定するルール設定部を備えることが好ましい。
［形態５］
上記第２の視点に係るフィルタリング設定支援方法のとおりである。
［形態６］
前記第２の工程は、前記マッピング情報に含まれる前記ネットワークの構成上のパスを、前記開始ノードから前記終端ノードに向けて走査することで、前記フィルタリングポイントを特定することが好ましい。
［形態７］
前記第２の工程は、前記マッピング情報に含まれる前記ネットワークの構成上のパスを、前記終端ノードから前記開始ノードに向けて走査することで、前記フィルタリングポイントを特定することが好ましい。
［形態８］
前記共通形式ルールを、前記フィルタリングポイントに適合したルールに変換する第５の工程と、
前記変換したルールを前記フィルタリングポイントに設定する第６の工程と、
を含むことが好ましい。
［形態９］
上記第３の視点に係るプログラムのとおりである。
［形態１０］
前記第２の処理は、前記マッピング情報に含まれる前記ネットワークの構成上のパスを、前記開始ノードから前記終端ノードに向けて走査することで、前記フィルタリングポイントを特定することが好ましい。
［形態１１］
前記第２の処理は、前記マッピング情報に含まれる前記ネットワークの構成上のパスを、前記終端ノードから前記開始ノードに向けて走査することで、前記フィルタリングポイントを特定することが好ましい。
［形態１２］
前記共通形式ルールを、前記フィルタリングポイントに適合したルールに変換する第５の処理と、
前記変換したルールを前記フィルタリングポイントに設定する第６の処理と、
を実行することが好ましい。
【００２３】
以下に具体的な実施の形態について、図面を参照してさらに詳しく説明する。
【００２４】
［第１の実施形態］
第１の実施形態について、図面を用いてより詳細に説明する。
【００２５】
図２は、本実施形態に係るフィルタリング設定支援装置１の内部構成の一例を示す図である。
【００２６】
フィルタリング設定支援装置１は、ポリシー入力部１０と、ポリシーデータベース２０と、物理構成データベース３０と、論理／物理マッピング部４０と、マッピング情報記憶部５０と、フィルタリングポイント分析部６０と、フィルタリングポイント記憶部７０と、共通形式ルール生成部８０と、共通形式ルール出力部９０と、を含んで構成されている。
【００２７】
ポリシー入力部１０は、ネットワークアクセス制御ルールの抽象的な記述がなされているアクセスポリシーの入力を受け付ける。アクセスポリシーは、ネットワークに含まれる送信元ノードと宛先ノードの組み合わせからなるフロー情報を、フロー識別子（ＩＤ；Identification）を付して管理する。より具体的には、フロー情報は、送信元ノードの位置情報と宛先ノードの位置情報の組み合わせからなる。なお、各ノードの位置情報には、ＭＡＣ（Media Access Control）アドレスやＩＰ（Internet Protocol）アドレス等を使用することが可能であり、以降の説明ではＩＰアドレスをノードの位置情報とする。
【００２８】
ポリシーデータベース２０は、ポリシー入力部１０から入力されたアクセスポリシーを格納する。
【００２９】
物理構成データベース３０は、ネットワークの物理構成情報を格納する。物理構成情報とは、対象とするネットワークに含まれるノードの物理的な構成（ネットワークアドレスや、具体的な製品名等）を記述する情報である。物理構成情報の詳細は後述する。
【００３０】
論理／物理マッピング部４０は、フロー情報と物理構成情報を参照し、マッピング情報を生成する。論理／物理マッピング部４０は、生成したマッピング情報をマッピング情報記憶部５０に格納する。マッピング情報とは、フロー識別子ごとに送信元ノードから宛先ノードに至るまでのネットワークの構成上のパスを、開始ノードと終端ノードの組み合わせにより表現する情報である。即ち、マッピング情報は、フロー情報と物理構成情報に基づき、送信元ノードと宛先ノード間のフローを、ネットワークの構成上のパス（フロー識別子で指定された送信元ノードから宛先ノードに至る任意の経路）の集合に射影して得られる情報である。マッピング情報の詳細は後述する。
【００３１】
フィルタリングポイント分析部６０は、マッピング情報に含まれるパスを走査することで、複数のフローが混在するノードを、フィルタリングポイントとして抽出する。フィルタリングポイントが、フィルタリングを実施すべきノードに該当する。フィルタリングポイント分析部６０は、抽出したフィルタリングポイントをフィルタリングポイント情報としてフィルタリングポイント記憶部７０に格納する。
【００３２】
共通形式ルール生成部８０は、アクセスポリシー及びフィルタリングポイント情報に基づいて、各フィルタリングポイントを通過するパスに対応するフロー情報を抽出し、当該フィルタリングポイントに設定すべき共通形式ルールを生成する。
【００３３】
共通形式ルール出力部９０は、共通形式ルール生成部８０が生成した共通形式ルールを、ネットワーク管理者に提示する。
【００３４】
なお、ポリシー入力部１０、論理／物理マッピング部４０、フィルタリングポイント分析部６０、共通形式ルール生成部８０、共通形式ルール出力部９０等のフィルタリング設定支援装置１に含まれる各部は、フィルタリング設定支援装置１に搭載されたコンピュータに、そのハードウェアを用いて、後に詳述する各処理を実行させるコンピュータプログラム（フィルタリング設定支援プログラム）により実現することもできる。
【００３５】
次に、フィルタリング設定支援装置１の動作について説明する。なお、フィルタリング設定支援装置１の動作を説明するにあたり、フィルタリング設定を支援するネットワークの構成は、図３のとおりとする。
【００３６】
図３には、ノード２０１〜ノード２０６が含まれている。各ノードの括弧の中に記載したＮ０１〜Ｎ０６は、それぞれのノードを識別するための識別子である。例えば、ノード２０１の識別子は「Ｎ０１」である。
【００３７】
図３に示すネットワーク構成のアクセスポリシーは、ノード２０１からノード２０５への通信を許可、及び、ノード２０３からノード２０６への通信を許可するものとする。フィルタリング設定支援装置１は、このようなアクセスポリシーに従って、ネットワーク管理者にフィルタリング設定の注意を促すノードを特定し、その表示を行う。詳細については後述するが、図３に示すネットワーク構成では、ノード２０４におけるフィルタリング設定に関し、その適正性を確認する表示を行う。何故ならば、ノード２０４は、ノード２０１からノード２０５へのフローと、ノード２０３からノード２０６へのフローが混在（フローが分岐又は合流）するノードだからである。混在するフローは、フィルタリング（パケットフィルタリング）により制御されるため、フローが混在するノードは何らかのフィルタリングルールが設定されるべきノードといえる。
【００３８】
図４は、フィルタリング設定支援装置１の動作の一例を示すフローチャートである。
【００３９】
論理／物理マッピング部４０は、ポリシーデータベース２０に格納されたアクセスポリシーと物理構成データベース３０に格納された物理構成情報を読み込む（ステップＳ０１、ステップＳ０２）。なお、ステップＳ０１とステップＳ０２の順序は逆であってもよいし、これらのステップを並列に実施してもよいことは勿論である。
【００４０】
ステップＳ０３において、論理／物理マッピング部４０は、アクセスポリシー及び物理構成情報を参照することで、マッピング情報を生成する。マッピング情報は、フローの開始ノードである送信元ノードの識別子と、フローの終端ノードである宛先ノードの識別子と、当該フローに対応するフロー情報の識別子と、を１つのレコードとするテーブル情報である。なお、マッピング情報は、フロー識別子により管理される有向グラフである。
【００４１】
図３に示すネットワーク構成のマッピング情報は、図５に示すようなテーブル情報となる。ここでは、マッピング情報の生成を図６のフローチャートを参照しつつ説明する。
【００４２】
ステップＳ１０１において、論理／物理マッピング部４０は、アクセスポリシーに記述されたフロー情報を順次参照する。
【００４３】
図７は、図３に示すネットワーク構成におけるアクセスポリシーの一例を示す図である。アクセスポリシーには、フロー識別子と、送信元ノードの位置情報と、宛先ノードの位置情報と、が少なくとも含まれる。アクセスポリシーは、これらの情報を１つのレコードとし、複数のレコードから構成されるテーブル情報である。
【００４４】
論理／物理マッピング部４０は、アクセスポリシーの先頭から各レコードを順次参照し、フロー識別子とフロー情報を抽出する。なお、以降の説明において、ｉレコード目のフロー情報をＦ（ｉ）と表記する（但し、ｉは１以上の整数）。
【００４５】
ステップＳ１０２において、論理／物理マッピング部４０は、現在参照しているフロー情報Ｆ（ｉ）が示す送信元ノードの位置情報と宛先ノードの位置情報を参照する。
【００４６】
ステップＳ１０３において、論理／物理マッピング部４０は、送信元ノードの位置情報と宛先ノードの位置情報に相当するノード情報を、物理構成情報を走査して特定する。物理構成情報は、ネットワークに含まれるノード間の接続状態をアークとして表現したグラフであり、各ノードには対応するネットワーク上のノードの位置情報等が属性情報として記憶されている。
【００４７】
図８は、物理構成情報の一例を示す図である。各ノードの属性情報は、例えば、図８（ａ）に示すようなテーブル情報として管理される。また、アーク情報に関しては、図８（ｂ）に示すようなテーブル情報として管理される。なお、図８（ｂ）に示すようなアーク情報テーブルは、ノードの組み合わせから構成される点で、フロー情報と類似するが、それぞれ管理する情報の内容が異なる。つまり、アーク情報テーブルは、物理的に隣接するノードの関係を規定する。一方、フロー情報は許可された通信の送信元ノードと宛先ノードとの関係を規定する。なお、物理構成情報に含まれるノードの識別子は、ノードを特定するユニークな属性情報であれば、任意の情報を用いることができる。
【００４８】
論理／物理マッピング部４０は、送信元ノードの位置情報と、宛先ノードの位置情報を属性情報として持つノードを、物理構成情報から抽出する。
【００４９】
ステップＳ１０４において、論理／物理マッピング部４０は、送信元ノードから宛先ノードに至るパスの集合Ｐ（ｉ）を、物理構成情報のアーク情報テーブルを走査して抽出する。より具体的には、送信元ノードを開始ノード、宛先ノードを終了ノードとする幅優先探索又は深さ優先探索を繰り返すことで、集合Ｐ（ｉ）を抽出する。
【００５０】
図９は、集合Ｐ（ｉ）の一例を示す図である。なお、上述した探索方法のいずれを用いても、集合Ｐ（ｉ）は送信元ノードから宛先ノードに至る全てのパスを含まないが、通過すべきノード（フィルタリング設定をすべきノード；フィルタリングポイント）は含まれているという点で、フィルタリングルールの設定を支援するという目的の達成には十分であるといえる。
【００５１】
ステップＳ１０５において、論理／物理マッピング部４０は、すべてのフロー情報Ｆ（ｉ）を基に抽出された集合Ｐ（ｉ）を結合することで、マッピング情報を生成する（図５参照）。その後、論理／物理マッピング部４０は、生成したマッピング情報をマッピング情報記憶部５０に格納する。なお、全てのフロー情報の参照が終了するまで、ステップＳ１０２〜Ｓ１０４までの処理を実行する。
【００５２】
次に、図４のステップＳ０４において、フィルタリングポイント分析部６０は、マッピング情報記憶部５０に格納されたマッピング情報を走査することで、フィルタリングポイントを特定する。その後、フィルタリングポイント分析部６０は、特定したフィルタリングポイントをフィルタリングポイント記憶部７０に格納する。
【００５３】
フィルタリングポイントの特定を図１０のフローチャートを参照しつつ説明する。
【００５４】
ステップＳ２０１において、フィルタリングポイント分析部６０は、マッピング情報記憶部５０に格納されているマッピング情報の開始ノード欄を走査し、当該ノードの出力アークと、終端ノードを抽出する。例えば、図５に示すマッピング情報では、ノード識別子としてＮ０２、Ｎ０４、Ｎ０５、Ｎ０６を持つノードが終端ノードとして抽出される。なお、開始ノードは、ノード識別子がＮ０１〜Ｎ０４のノードである。
【００５５】
ステップＳ２０２において、フィルタリングポイント分析部６０は、それぞれの開始ノードについて、フロー識別子ごとの出力アークの数を計数する。例えば、ノード識別子がＮ０４であるノードのフロー識別子としてＦ０１を持つ出力アークは１、フロー識別子としてＦ０２を持つ出力アークも１と計数される。なお、送信元ノードと一致する開始ノードは、本ステップの対象としない。つまり、図３に示すネットワーク構成では、ノード２０１及びノード２０３は除外する。図５に示すマッピング情報に対して、本ステップまでの処理を適用した後の開始ノードとフロー識別子における出力アークの関係を纏めると図１１のようになる。
【００５６】
ステップＳ２０３において、フィルタリングポイント分析部６０は、特定の開始ノードにおいて、いずれかのフロー識別子の出力アーク数が１以上、かつ、全出力アーク数に満たないノードが存在するか否かを判定する。
【００５７】
ステップＳ２０４において、フィルタリングポイント分析部６０は、前ステップで「いずれかのフロー識別子の出力アーク数が１以上、かつ、全出力アーク数に満たないノード」と判定されたノードをフィルタリングポイントとして特定する。図１１に示す例では、ノード識別子がＮ０４であるノード２０４がフィルタリングポイントとして特定される。
【００５８】
その後、フィルタリングポイント分析部６０は、特定したフィルタリングポイントをフィルタリングポイント情報として、フィルタリングポイント記憶部７０に格納する。なお、全ての開始ノードについて、出力アークの計数が終了すれば、図１０の処理を終了する。
【００５９】
以上のように、ステップＳ２０３及び２０４を実行することで、フィルタリングポイント分析部６０は、ネットワークの構成上のパスを開始ノードから終端ノードに向けて走査する。即ち、マッピング情報から、開始ノードについて出力アークの数を計数していくことで、２つ以上のフローが分岐するノードを特定することができる。なお、ノード２０４は、ノード２０５に向かうフローと、ノード２０６に向かうフローと、が分岐するノードといえる。何故ならば、上述したパスの集合Ｐ（ｉ）の性質により、フローの分岐がない場合には、全ての隣接ノードにアークが生成されるためである。上述したように、混在するフローは、フィルタリング（パケットフィルタリング）により制御されるため、フローが混在するノードは何らかのフィルタリングルールが設定されるべきノードである。
【００６０】
次に、図４のステップＳ０５において、共通形式ルール生成部８０は、前述のフィルタリングポイントごとに、設定されるべきルールを対象機器に依存しない共通形式ルールで生成する。
【００６１】
共通形式ルールの生成を図１２のフローチャートを参照しつつ説明する。
【００６２】
ステップＳ３０１において、共通形式ルール生成部８０は、フィルタリングポイント記憶部７０に記憶されたフィルタリングポイント情報に含まれるノードを順次参照する。上述の例では、ノード２０４がフィルタリングポイント情報に含まれているため、ノード２０４が選択される。
【００６３】
ステップＳ３０２において、共通形式ルール生成部８０は、前ステップで参照したノードに関連付けられたフロー識別子を特定する。上述の例では、ノード２０４（ノード識別子はＮ０４）に関連付けられたフロー識別子は、Ｆ０１及びＦ０２である。
【００６４】
ステップＳ３０３において、共通形式ルール生成部８０は、前ステップで特定したフロー識別子を検索キーとして、ポリシーデータベース２０から対応するフロー情報を抽出する。その際、複数のフロー識別子が関連付けられているので、関連付けられた全てのフロー識別子を抽出するまで、ステップＳ３０２及びＳ３０３を実行する。
【００６５】
ステップＳ３０４において、共通形式ルール生成部８０は、抽出されたフロー情報を、ステップＳ３０１で選択したノードに設定すべき共通形式ルールとする。
【００６６】
次に、図４のステップＳ０６において、共通形式ルール出力部９０は、生成した共通形式ルールを、任意のディスプレイ装置又は音声出力装置を介して、ネットワーク管理者に提示する。その際、共通形式ルール出力部９０は、フィルタリングポイントごとに、共通形式ルールをネットワーク管理者に提示する。ここで、フロー情報を提示する際の態様は、対象機器に依存しない共通形式であって、ネットワーク管理者が解釈できる形式であれば、どのようなものでもよい。例えば、図１３に示すテーブル形式が好適な一例である。なお、図１３では、ノード２０４におけるフィルタリングルールの確認を促す表示の一例である。
【００６７】
なお、本実施形態に係るフィルタリング設定支援装置１は、ポリシーデータベース２０、物理構成データベース３０、マッピング情報記憶部及びフィルタリングポイント記憶部７０の各記憶部を内部に含むものとして説明したが、これらの記憶部に相当する役割をネットワークに接続されたデータベースサーバ等が担うことも勿論可能である。
【００６８】
以上のように、論理／物理マッピング部４０は、アクセスポリシーで許可された通信に相当するフローが発生した際に、パケットが通過するすべてのパスを抽出する。その後、フィルタリングポイント分析部６０が、当該パスの情報から、フローが混在（分岐）することでフィルタリングルールの設定が必要なフィルタ装置に相当するノード（フィルタリングポイント）を抽出する。さらに、共通形式ルール生成部８０が、抽出されたフィルタリングポイントに設定されるべきルールをアクセスポリシーから生成し、ネットワーク管理者に提示される。
【００６９】
その結果、本実施形態に係るフィルタリング設定支援装置１は、与えられたアクセスポリシーに基づくパケットフィルタリングを誤りなく実施することを保証するために必要なフィルタ装置を抽出し、当該フィルタ装置において設定すべきルールを提示できる。
【００７０】
［第２の実施形態］
続いて、第２の実施形態について図面を参照して詳細に説明する。
【００７１】
第１の実施形態に係るフィルタリング設定支援装置１は、各開始ノードにおける出力アークを計数することで、フィルタリングポイントを特定する。本実施形態に係るフィルタリング設定支援装置２は、各終端ノードにおける入力アークを計数することで、フィルタリングポイントを特定する。なお、フィルタリング設定支援装置１及び２の内部構成について相違する点は存在しないので、図２に相当する説明は省略する。
【００７２】
フィルタリング設定支援装置１及び２の相違点は、フィルタリングポイント分析部６０におけるフィルタリングポイントの特定手順である。そこで、フィルタリングポイント分析部６０におけるフィルタリングポイントの特定を図１４のフローチャートを参照しつつ説明する。
【００７３】
ステップＳ４０１において、フィルタリングポイント分析部６０は、マッピング情報記憶部５０に格納されているマッピング情報における終端ノード欄を走査し、当該終端ノードの入力アークと、開始ノードを抽出する。なお、宛先ノードと一致する終端ノードは、本ステップの対象としない。つまり、図３に示すネットワーク構成では、ノード２０５及びノード２０６は除外する。
【００７４】
ステップＳ４０２において、フィルタリングポイント分析部６０は、それぞれの終端ノードについて、フロー識別子ごとの入力アークの数を計数する。図５に示すマッピング情報に対して、本ステップまでの処理を適用した後の終端ノードとフロー識別子における入力アークの関係を纏めると図１５のようになる。
【００７５】
ステップＳ４０３において、フィルタリングポイント分析部６０は、特定の終端ノードにおいて、いずれかのフロー識別子の入力アーク数が１以上、かつ、全入力アーク数に満たないノードが存在するか否かを判定する。
【００７６】
ステップＳ４０４において、フィルタリングポイント分析部６０は、前ステップで「いずれかのフロー識別子の入力アーク数が１以上、かつ、全入力アーク数に満たないノード」と判定されたノードをフィルタリングポイントとして特定する。
【００７７】
このように、フィルタリング設定支援装置２のフィルタリングポイント分析部６０は、ネットワークの構成上のパスを、終端ノードから開始ノードに向けて走査する。即ち、マッピング情報から、終端ノードについて入力アークの数を計数していくことで、２つ以上のフローが合流するノードを特定することができる。なお、ノード２０４は、ノード２０２からのフローと、ノード２０３からのフローと、が合流するノードといえる。
【００７８】
本実施形態に係るフィルタリング設定支援装置２においても、与えられたアクセスポリシーに基づくパケットフィルタリングを誤りなく実施することを保証するために必要なフィルタ装置を抽出し、当該フィルタ装置において設定すべきルールを提示できる。
【００７９】
［第３の実施形態］
続いて、第３の実施形態について図面を参照して詳細に説明する。
【００８０】
図１６は、本実施形態に係るフィルタリング設定支援装置３の内部構成の一例を示す図である。図１６において図２と同一構成要素には、同一の符号を表し、その説明を省略する。フィルタリング設定支援装置１及び３の相違点は、フィルタ装置４に接続可能なルール設定部９１を備える点である。フィルタリング設定支援装置３は、管理対象ネットワーク内の一部又は全てのフィルタ装置に対して、ルールの設定を自動的に行う。
【００８１】
図１７は、ルール設定部９１の内部構成の一例を示す図である。
【００８２】
ルール設定部９１は、ルール形式変換部３０１と、ルール形式変換モジュール群３０２と、設定実行部３０３と、を含んで構成される。
【００８３】
ルール形式変換部３０１は、フィルタリングポイント記憶部７０に格納されたフィルタリングポイント情報と、ポリシーデータベース２０に格納されたアクセスポリシーと、を参照し、共通形式ルールを生成する。さらに、ルール形式変換部３０１は、物理構成データベース３０に格納された物理構成情報に基づいて、ルール形式変換モジュール群３０２から適切な変換モジュールを選択し、実行する。その結果、ルール形式変換部３０１は、前述のフィルタリングポイント情報に記載されたフィルタ装置４に適合するルールに共通形式ルールを変換する。ルール形式変換部３０１は、変換したルールを、フィルタ装置４の位置情報と共に、設定実行部３０３に出力する。
【００８４】
ルール形式変換モジュール群３０２は、フィルタ装置４の種類に応じて用意される変換モジュールの集合である。ルール形式変換モジュール群３０２に含まれる変換モジュールは、ルール形式変換部３０１からフィルタ装置４の種類を表す識別子と、変換対象の共通形式ルールと、の入力を受け、フィルタ装置４に対応する形式のルールを出力する。
【００８５】
設定実行部３０３は、ルール形式変換部３０１から受け付けるフィルタ装置４の属性情報と、当該装置に設定されるべきルールと、を受け取って、フィルタ装置４の位置情報に基づいて、ルールをフィルタ装置４に送信し、設定を変更する。
【００８６】
次に、ルール設定部９１の動作について説明する。
【００８７】
図１８は、ルール設定部９１の動作の一例を示すフローチャートである。
【００８８】
ステップＳ５０１において、ルール形式変換部３０１は、フィルタリングポイント記憶部７０に格納されたフィルタリングポイント情報と、ポリシーデータベース２０に格納されたアクセスポリシーと、物理構成データベース３０に格納された物理構成情報、を読み込む。
【００８９】
ステップＳ５０２において、ルール形式変換部３０１は、フィルタリングポイント情報及びアクセスポリシーから、フィルタリングポイント情報に記載されたフィルタ装置４に設定されるべきルールを、共通形式ルールとして生成する。その際の具体的な生成方法は、上述の共通形式ルール生成部８０における方法と同様でよい。
【００９０】
ステップＳ５０３において、ルール形式変換部３０１は、物理構成情報を参照し、フィルタリングポイント情報に記載されたフィルタ装置４の種類を特定し、当該種類に対応するルール形式変換モジュール群３０２に含まれる変換モジュールに、共通形式ルールを入力して、当該フィルタ装置４が解釈できる形式に変換されたルールを取得する。物理構成情報には、フィルタ装置４の位置情報や種類を表す識別子が、属性情報として格納されており、フィルタリングポイント情報に記載されているフィルタ装置４の位置情報を検索キーとして、当該装置の種類を表す識別子を特定する。
【００９１】
ステップＳ５０４において、設定実行部３０３は、フィルタ装置４の位置情報を参照し、所定のルール設定用通信を介して、変換後のルールをフィルタリングポイント情報に記載されたフィルタ装置４に設定する。なお、設定実行部３０３におけるルール設定用通信については、フィルタ装置４の種類を表す識別子によって、対応する通信プロトコルを切り替えるように、動作させてもよい。
【００９２】
本実施形態に係るフィルタリング設定支援装置３は、ネットワーク管理者への共通形式ルールの提示に加えて、ルール設定部９１の動作により、フィルタ装置４に対して自動的なルール設定を行うため、ルール設定作業を効率的に行うことができる。
【００９３】
なお、コンピュータの記憶部にフィルタリング設定支援プログラムをインストールすることにより、コンピュータをフィルタリング設定支援装置として機能させることができる。また、フィルタリング設定支援プログラムをコンピュータに実行させることにより、コンピュータによりフィルタリング設定支援方法を実行することができる。
【００９４】
なお、引用した上記の特許文献等の各開示は、本書に引用をもって繰り込むものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態ないし実施例の変更・調整が可能である。また、本発明の請求の範囲の枠内において種々の開示要素（各請求項の各要素、各実施形態ないし実施例の各要素、各図面の各要素等を含む）の多様な組み合わせ、ないし、選択が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。特に、本書に記載した数値範囲については、当該範囲内に含まれる任意の数値ないし小範囲が、別段の記載のない場合でも具体的に記載されているものと解釈されるべきである。
【符号の説明】
【００９５】
１〜３、１００  フィルタリング設定支援装置
４  フィルタ装置
１０  ポリシー入力部
２０  ポリシーデータベース
３０  物理構成データベース
４０、１０１  論理／物理マッピング部
５０  マッピング情報記憶部
６０、１０２  フィルタリングポイント分析部
７０  フィルタリングポイント記憶部
８０、１０３  共通形式ルール生成部
９０、１０４  共通形式ルール出力部
９１  ルール設定部
２０１〜２０６  ノード
３０１  ルール形式変換部
３０２  ルール形式変換モジュール群
３０３  設定実行部
【図１】
2014017467.tif 000003
【図２】
2014017467.tif 000004
【図３】
2014017467.tif 000005
【図４】
2014017467.tif 000006
【図５】
2014017467.tif 000007
【図６】
2014017467.tif 000008
【図７】
2014017467.tif 000009
【図８】
2014017467.tif 000010
【図９】
2014017467.tif 000011
【図１０】
2014017467.tif 000012
【図１１】
2014017467.tif 000013
【図１２】
2014017467.tif 000014
【図１３】
2014017467.tif 000015
【図１４】
2014017467.tif 000016
【図１５】
2014017467.tif 000017
【図１６】
2014017467.tif 000018
【図１７】
2014017467.tif 000019
【図１８】
2014017467.tif 000020
【国際調査報告】
2014017467.tif 000021
2014017467.tif 000022