(57)【特許請求の範囲】
【請求項１】
情報収集部が、ネットワークパケットおよびネットワークトラフィックログを収集するステップと、
前記情報収集部が、前記ネットワークパケットに対して、マック（ＭＡＣ）、アイピー（ＩＰ）、およびポート（Ｐｏｒｔ）の情報を含むネットワークトラフィックログを抽出するステップと、
情報分析部が、前記ネットワークトラフィックログに基づいてアクセス制御リストを生成するステップとを含み、
前記アクセス制御リストがポートプロトコルに関連するアクセス制御リストの場合、前記アクセス制御リストを生成するステップは、使用ポートの比率を用いて前記アクセス制御リストを生成するステップと、ポートが接続するＩＰの個数、ポートを使用するＩＰの個数、すでに固定のものに接続、ブロードキャスト、２つのＩＰ間に１つの固定ポートが存在、２つのＩＰ及びポートの間の交差及び他のＩＰが固定で使用するポート、の少なくとも１つの表現方法に基づいて前記生成されたアクセス制御リストを補完するステップとを含み、
前記使用ポートの比率を用いて前記アクセス制御リストを生成するステップは、１つの（ＩＰ１、Ｐｏｒｔ１）と通信を行った対象ＩＰ２ごとに、前記ＩＰ２が使用するポートの個数が予め設定された値より多ければ、前記ＩＰ１のＰｏｒｔ１は固定と決定し、前記ＩＰ２のポートは固定でないものと決定して、前記アクセス制御リストを生成することを特徴とする、アクセス制御リスト抽出方法。
【請求項２】
前記アクセス制御リストは、ＭＡＣプロトコルに関連するアクセス制御リスト、ＩＰプロトコルに関連するアクセス制御リスト、およびポートプロトコルに関連するアクセス制御リストのうちの１つ以上を含むことを特徴とする、請求項１に記載のアクセス制御リスト抽出方法。
【請求項３】
前記アクセス制御リストが前記ＭＡＣプロトコルに関連するアクセス制御リストの場合、
前記アクセス制御リストを生成するステップは、前記ネットワークトラフィックログの集合であるログセットから、前記ＭＡＣプロトコルに該当するアイテムを取り出すステップと、前記アイテムを前記アクセス制御リストに含めるステップとを含むことを特徴とする、請求項２に記載のアクセス制御リスト抽出方法。
【請求項４】
前記アイテムは、送信元ＭＡＣアドレス、プロトコル、宛先ＭＡＣアドレスを含むことを特徴とする、請求項３に記載のアクセス制御リスト抽出方法。
【請求項５】
前記アクセス制御リストが前記ＩＰプロトコルに関連するアクセス制御リストの場合、
前記アクセス制御リストを生成するステップは、前記ネットワークトラフィックログの集合であるログセットから、前記ＩＰプロトコルに該当するアイテムを取り出すステップと、前記アイテムを前記アクセス制御リストに含めるステップとを含むことを特徴とする、請求項２に記載のアクセス制御リスト抽出方法。
【請求項６】
前記アイテムは、送信元ＭＡＣアドレス、送信元ＩＰ、プロトコル、宛先ＭＡＣアドレス、宛先ＩＰを含むことを特徴とする、請求項５に記載のアクセス制御リスト抽出方法。
【請求項７】
ネットワークパケットおよびネットワークトラフィックログを収集し、前記ネットワークパケットに対して、マック（ＭＡＣ）、アイピー（ＩＰ）、およびポート（Ｐｏｒｔ）の情報を含むネットワークトラフィックログを抽出する情報収集部と、
前記ネットワークトラフィックログに基づいてアクセス制御リストを生成する情報分析部とを含み、
前記アクセス制御リストがポートプロトコルに関連するアクセス制御リストの場合、前記情報分析部は、使用ポートの比率を用いて前記アクセス制御リストを生成し、ポートが接続するＩＰの個数、ポートを使用するＩＰの個数、すでに固定のものに接続、ブロードキャスト、２つのＩＰ間に１つの固定ポートが存在、２つのＩＰ及びポートの間の交差及び他のＩＰが固定で使用するポート、の少なくとも１つの表現方法に基づいて前記生成されたアクセス制御リストを補完し、
前記情報分析部は、前記使用ポートの比率を用いて前記アクセス制御リストを生成するにあたり、１つの（ＩＰ１、Ｐｏｒｔ１）と通信を行った対象ＩＰ２ごとに、前記ＩＰ２が使用するポートの個数が予め設定された値より多ければ、前記ＩＰ１のＰｏｒｔ１は固定と決定し、前記ＩＰ２のポートは固定でないものと決定して、前記アクセス制御リストを生成することを特徴とする、アクセス制御リスト抽出システム。
【請求項８】
前記アクセス制御リストは、ＭＡＣプロトコルに関連するアクセス制御リスト、ＩＰプロトコルに関連するアクセス制御リスト、およびポートプロトコルに関連するアクセス制御リストのうちの１つ以上を含むことを特徴とする、請求項７に記載のアクセス制御リスト抽出システム。
【請求項９】
前記アクセス制御リストが前記ＭＡＣプロトコルに関連するアクセス制御リストの場合、
前記情報分析部は、前記ネットワークトラフィックログの集合であるログセットから、前記ＭＡＣプロトコルに該当するアイテムを取り出し、前記アイテムを前記アクセス制御リストに含めることを特徴とする、請求項８に記載のアクセス制御リスト抽出システム。
【請求項１０】
前記アイテムは、送信元ＭＡＣアドレス、プロトコル、宛先ＭＡＣアドレスを含むことを特徴とする、請求項９に記載のアクセス制御リスト抽出システム。
【請求項１１】
前記アクセス制御リストが前記ＩＰプロトコルに関連するアクセス制御リストの場合、
前記情報分析部は、前記ネットワークトラフィックログの集合であるログセットから、前記ＩＰプロトコルに該当するアイテムを取り出し、前記アイテムを前記アクセス制御リストに含めることを特徴とする、請求項８に記載のアクセス制御リスト抽出システム。
【請求項１２】
前記アイテムは、送信元ＭＡＣアドレス、送信元ＩＰ、プロトコル、宛先ＭＡＣアドレス、宛先ＩＰを含むことを特徴とする、請求項１１に記載のアクセス制御リスト抽出システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、アクセス制御リスト抽出方法およびシステムに関するものであって、より詳細には、フラグ（ｆｌａｇ）情報なしに、ネットワークトラフィックからシステム間のアクセス制御リストを抽出する方法およびシステムに関するものである。
【背景技術】
【０００２】
アクセス制御は、ネットワーク資産管理およびセキュリティ管理、障害管理のために必ず必要な技術である。
【０００３】
代表的なアクセス制御技術であるＮＡＣ（Ｎｅｔｗｏｒｋ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ）は、ネットワークに接続する装置のセキュリティ状態を点検して、安全なノードのみアクセスを許容する技術である。しかし、ホストの特性上、別のエージェントを設けることができない場合には、使用が不可能である。また、ネットワーク装備のＡＣＬ（Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ  Ｌｉｓｔ）を用いると、手動ですべてのリストを作り、リアルタイムに維持しなければならない問題がある。このような問題によって、当該ネットワークからすべてのホストに対してアクセス制御リストを抽出する方法は、現実的に非常に難しい。また、別の装備がネットワークトラフィックを監視して、希望する場合、アクセス制御リスト（ＡＣＬ）に反するトラフィックを制限する形式のアクセス制御を適用することが一般的である。また、アクセス制御リストにおいて最も重要な接続状態およびクライアントとサーバとの関係を正確に抽出することができない困難がある。
【０００４】
このような問題を解決するために、アクセス制御リストを自動化可能な技術が必要である。
【０００５】
アクセス制御リストを自動的に生成するために、従来は、システム間でやり取りされるネットワークトラフィックから、ＴＣＰプロトコルの場合、フラグ（ｆｌａｇ）情報を分析してサーバ−クライアントの関係を知り、サーバ側のポートが固定で使用されていると仮定して、「サーバＩＰ−サーバポート−プロトコル−クライアントＩＰ」のようなアクセス制御リストを生成する方式である。つまり、従来は、ＴＣＰプロトコルの場合、ＴＣＰ３−ｗａｙ  ｈａｎｄｓｈａｋｉｎｇでクライアントがｓｙｎをサーバに送ると、サーバがｓｙｎ＋ａｃｋをクライアントに送る。次に、再びクライアントがａｃｋを送ることを利用して、フラグ（ｆｌａｇ）情報を分析してサーバ−クライアントの関係を知る。その後、サーバポートが固定で使用されているという仮定の下で、「サーバＩＰ−サーバポート−プロトコル−クライアントＩＰ」のようなアクセス制御リストを生成する。その他、すでに周知のサーバポート（ｗｅｌｌ−ｋｎｏｗｎ  ｐｏｒｔ、例えば、８０番ポートはｈｔｔｐサーバポート）は、サーバポートとして使用されていると仮定して、アクセス制御リストを抽出する。
【０００６】
このような従来の方式は、ＴＣＰプロトコルを用いる場合、最も正確である利点がある。しかし、従来の方式は、下記のような、いくつかの問題を有している。
【０００７】
１．サーバ−クライアントの関係を抽出するのに必要なｓｙｎ、ｆｉｎ、ｓｙｎ＋ａｃｋなどの特定フラグ（ｆｌａｇ）のあるパケットが抜けた場合、この方法を適用することができない。トラフィック分析ツール、セキュリティ装備が、すべてのトラフィックに対してフラグ情報まで分析／ロギングが可能でなかったり、当該パケットがドロップ（ｄｒｏｐ）した場合、サーバ−クライアントの関係を知ることができない。
【０００８】
２．ＵＤＰプロトコルなど、フラグ情報のないプロトコルに対して適用することができない。
【０００９】
一方、本発明に関連する先行技術としては、「Ｆｌｏｗ  Ｗｈｉｔｅｌｉｓｔｉｎｇ  ｉｎ  ＳＣＡＤＡ  Ｎｅｔｗｏｒｋｓ」（著者：Ｒａｆａｅｌ  Ｒａｍｏｓ  Ｒｅｇｉｓ  Ｂａｒｂｏｓａ，Ｒａｍｉｎ  Ｓａｄｒｅ，Ａｉｋｏ  Ｐｒａｓ）という論文名で、Ｉｎｔｅｒｎａｔｉｏｎａｌ  Ｃｏｎｆｅｒｅｎｃｅ  ｏｆ  Ｃｒｉｔｉｃａｌ  Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ  Ｐｒｏｔｅｃｔｉｏｎ，２０１３に掲載された内容がある。
【発明の概要】
【発明が解決しようとする課題】
【００１０】
本発明は、上記の従来の問題を解決するためになされたものであって、一定期間のパケットに対して、ＴＣＰフラグ（ｆｌａｇ）情報なしに、所定形式のアクセス制御リストを抽出する方法およびシステムを提供することを目的とする。
【課題を解決するための手段】
【００１１】
上記の目的を達成するために、本発明の好ましい実施態様にかかるアクセス制御リスト抽出方法は、情報収集部が、ネットワークパケットおよびネットワークトラフィックログを収集するステップと、前記情報収集部が、前記ネットワークパケットに対して、マック（ＭＡＣ）、アイピー（ＩＰ）、およびポート（Ｐｏｒｔ）の情報を含むネットワークトラフィックログを抽出するステップと、情報分析部が、前記ネットワークトラフィックログに基づいてアクセス制御リストを生成するステップとを含む。
【００１２】
前記アクセス制御リストは、ＭＡＣプロトコルに関連するアクセス制御リスト、ＩＰプロトコルに関連するアクセス制御リスト、およびポートプロトコルに関連するアクセス制御リストのうちの１つ以上を含むことができる。
【００１３】
前記アクセス制御リストが前記ＭＡＣプロトコルに関連するアクセス制御リストの場合、前記アクセス制御リストを生成するステップは、前記ネットワークトラフィックログの集合であるログセットから、前記ＭＡＣプロトコルに該当するアイテムを取り出すステップと、前記アイテムを前記アクセス制御リストに含めるステップとを含むことができる。この時、前記アイテムは、送信元ＭＡＣアドレス、プロトコル、宛先ＭＡＣアドレスを含むことができる。
【００１４】
前記アクセス制御リストが前記ＩＰプロトコルに関連するアクセス制御リストの場合、前記アクセス制御リストを生成するステップは、前記ネットワークトラフィックログの集合であるログセットから、前記ＩＰプロトコルに該当するアイテムを取り出すステップと、前記アイテムを前記アクセス制御リストに含めるステップとを含むことができる。この時、前記アイテムは、送信元ＭＡＣアドレス、送信元ＩＰ、プロトコル、宛先ＭＡＣアドレス、宛先ＩＰを含むことができる。
【００１５】
前記アクセス制御リストが前記ポートプロトコルに関連するアクセス制御リストの場合、前記アクセス制御リストを生成するステップは、使用ポートの比率を用いて前記アクセス制御リストを生成するステップと、前記生成されたアクセス制御リストを補完するステップとを含むことができる。
【００１６】
前記使用ポートの比率を用いて前記アクセス制御リストを生成するステップは、１つの（ＩＰ１、Ｐｏｒｔ１）と通信を行った対象ＩＰ２ごとに、前記ＩＰ２が使用するポートの個数が予め設定された値より多ければ、前記ＩＰ１のＰｏｒｔ１は固定と決定し、前記ＩＰ２のポートは固定でないものと決定して、前記アクセス制御リストを生成することができる。
【００１７】
一方、本発明の好ましい実施態様にかかるアクセス制御リスト抽出システムは、ネットワークパケットおよびネットワークトラフィックログを収集し、前記ネットワークパケットに対して、マック（ＭＡＣ）、アイピー（ＩＰ）、およびポート（Ｐｏｒｔ）の情報を含むネットワークトラフィックログを抽出する情報収集部と、前記ネットワークトラフィックログに基づいてアクセス制御リストを生成する情報分析部とを含む。
【発明の効果】
【００１８】
このような構成の本発明によれば、ネットワークトラフィックからＴＣＰフラグ（ｆｌａｇ）に関する情報を得ることができない場合にも、（ＳｒｃＭＡＣ、ＳｒｃＩＰ、ＳｒｃＰｏｒｔ、ｐｒｏｔｏｃｏｌ、ＤｓｔＭＡＣ、ＤｓｔＩＰ、ＤｓｔＰｏｒｔ）形式のアクセス制御リストを自動的に抽出することができる。
【００１９】
一方、本発明は、ＵＤＰプロトコルにも適用することができる。
【００２０】
類似システムから構成された内部ネットワークで発見されたサーバポート情報を、周知のポート（ｗｅｌｌ−ｋｎｏｗｎ  ｐｏｒｔ）のように、他のシステムのサーバポートを推測するのに使用することができる。
【００２１】
サーバプログラムのうち、動的にサーバポートを割り当てて使用する場合、これを考慮して、動的サーバポートの存在有無に関する情報をユーザに提供することができる。
【００２２】
通信プログラムに従ってクライアントポートも固定で使用する場合、アクセス制御リストでクライアントポートも固定で管理をしなければならない。本発明によれば、クライアントポートが固定で使用される場合、これを探知してユーザに知らせることができる。
【図面の簡単な説明】
【００２３】
【図１】本発明の実施形態にかかるアクセス制御リスト抽出方法を説明するためのフローチャートである。
【図２】図１に示されたネットワークトラフィックログから、ＭＡＣプロトコルに関連するアクセス制御リストを抽出するステップをより細かく説明するためのフローチャートである。
【図３】図１に示されたネットワークトラフィックログから、ＩＰプロトコルに関連するアクセス制御リストを抽出するステップをより細かく説明するためのフローチャートである。
【図４】図１に示されたネットワークトラフィックログから、ポートプロトコルに関連するアクセス制御リストを抽出するステップをより細かく説明するためのフローチャートである。
【図５】本発明の実施形態にかかるアクセス制御リスト抽出方法が適用可能なシステムの一例を示す図である。
【図６】本発明の実施形態にかかるアクセス制御リスト抽出方法が適用可能なシステムの他の例を示す図である。
【発明を実施するための形態】
【００２４】
本発明は、多様な変更を加えることができ、様々な実施形態を有することができるが、特定の実施形態を図面に例示して詳細に説明する。
【００２５】
しかし、これは、本発明を特定の実施形態に対して限定するものではなく、本発明の思想および技術範囲に含まれるすべての変更、均等物または代替物を含むと理解されなければならない。
【００２６】
本出願で使用している用語は、単に特定の実施形態を説明するために使用されたもので、本発明を限定しようとする意図ではない。単数の表現は、文脈上明らかに異なって意味しない限り、複数の表現を含む。本出願において、「含む」または「有する」などの用語は、明細書上に記載された特徴、数字、段階、動作、構成要素、部品またはこれらを組み合わせたものが存在することを指定するものであり、１つまたはそれ以上の他の特徴や数字、段階、動作、構成要素、部品またはこれらを組み合わせたものの存在または付加の可能性を予め排除しないと理解されなければならない。
【００２７】
別途に定義されない限り、技術的または科学的な用語を含む、ここで使用されるすべての用語は、本発明の属する技術分野における通常の知識を有する者によって一般的に理解されるのと同じ意味を有する。一般的に使用される辞書に定義されているような用語は、関連技術の文脈上有する意味と一致する意味を有すると解釈されなければならず、本出願において明らかに定義しない限り、理想的または過度に形式的な意味で解釈されない。
【００２８】
以下、添付した図面を参照して、本発明の好ましい実施形態をより詳細に説明する。本発明を説明するにあたり、全体的な理解を容易にするために、図面上の同一の構成要素については同一の参照符号を用い、同一の構成要素について重複した説明は省略する。
【００２９】
本発明で提案するアクセス制御リスト抽出方法の基本的なアイデアは次の通りである。
【００３０】
１）サーバポートは、固定で使用する。
【００３１】
２）サーバポートは、複数のクライアントＩＰ、ｐｏｒｔと通信を行う。
【００３２】
３）サーバポートとして確認された場合、これに接続されていたすべての対象ポートはクライアントポートである。
【００３３】
４）クライアントポートは、一般的に固定で使用しないが、特別な場合、固定で使用する場合もある。
【００３４】
５）同一ネットワーク内で、複数のＩＰで同一のサーバポート番号を用いてサービスを提供する場合がある。
【００３５】
６）２つのＩＰの間で双方向通信接続の対が多様な場合、動的サーバポートを用いたサービスを使用していてよい。
【００３６】
７）ＵＤＰの場合、複数のＩＰが同一のポートを固定で使用して互いに通信するサービスが存在する（相互間のポートがすべてサーバの特性を有する）。
【００３７】
８）ブロードキャスト（Ｂｒｏａｄｃａｓｔ）の場合、受ける側は固定ポートである。
【００３８】
９）ログだけで決定することができないことはユーザに聞く。
【００３９】
図１は、本発明の実施形態にかかるアクセス制御リスト抽出方法を説明するためのフローチャートである。
【００４０】
本発明の実施形態にかかるアクセス制御リスト抽出方法は、大きく、２つのステップＳ１０、Ｓ１００からなる。
【００４１】
第１ステップＳ１０は、ネットワークパケットに対するロギング（ｌｏｇｇｉｎｇ）ステップであり、第２ステップＳ１００は、第１ステップＳ１０によって格納されたパケット情報を用いて、ＭＡＣプロトコル（ｐｒｏｔｏｃｏｌ）とＩＰプロトコルおよびポートプロトコル（Ｐｏｒｔ  ｐｒｏｔｏｃｏｌ）に関連するアクセス制御リストを抽出するステップである。
【００４２】
まず、第１ステップＳ１０では、ネットワークまたは通信ノードなどを介して収集される一定期間の全体パケットまたは一定量のサンプリングされた個別パケットに対して、（ＳｒｃＭＡＣ、ＳｒｃＩＰ、ＳｒｃＰｏｒｔ、ｐｒｏｔｏｃｏｌ、ＤｓｔＭＡＣ、ＤｓｔＩＰ、ＤｓｔＰｏｒｔ）情報を抽出して、格納媒体（図示せず）に格納する。ここで、ＳｒｃＭＡＣは、送信元（Ｓｏｕｒｃｅ）ＭＡＣアドレスを意味する。ＳｒｃＩＰは、送信元ＩＰを意味する。ＳｒｃＰｏｒｔは、送信元ポートを意味する。ｐｒｏｔｏｃｏｌは、パケット送信元アイピー（ＩＰ）からパケット宛先アイピー（ＩＰ）へ、またはパケット送信元ポートからパケット宛先ポートへパケットを伝達する時に使用可能なプロトコルを意味する。ＤｓｔＭＡＣは、宛先（Ｄｅｓｔｉｎａｔｉｏｎ）ＭＡＣアドレスを意味する。ＤｓｔＩＰは、宛先ＩＰを意味する。ＤｓｔＰｏｒｔは、宛先ポートを意味する。このように、一定期間の全体パケットまたは一定量のサンプリングされた個別パケットに対して抽出される（ＳｒｃＭＡＣ、ＳｒｃＩＰ、ＳｒｃＰｏｒｔ、ｐｒｏｔｏｃｏｌ、ＤｓｔＭＡＣ、ＤｓｔＩＰ、ＤｓｔＰｏｒｔ）情報をネットワークトラフィックログとすることができる。
【００４３】
以後、第２ステップＳ１００では、ネットワークトラフィックログを用いてアクセス制御リストを抽出する。すなわち、ネットワークトラフィックログの対象となったパケットは、すべてアクセス制御規則を守っている正常なトラフィックであると仮定して、アクセス制御リストを抽出する。アクセス制御リスト（ＡＣＬ）では、状況に応じて、ＭＡＣ、ＩＰ、Ｐｏｒｔのうちの必要な情報のみを用いて表現することができ、ＳｒｃＰｏｒｔとＤｓｔＰｏｒｔは、１つまたは複数のポート番号を示すことができる。
【００４４】
このように、アクセス制御リストを抽出するステップ（すなわち、第２ステップＳ１００）は、ＭＡＣプロトコルに関連するアクセス制御リストを抽出するステップＳ２０と、ＩＰプロトコルに関連するアクセス制御リストを抽出するステップＳ３０と、ポートプロトコルに関連するアクセス制御リストを抽出するステップＳ４０とを含む。特に、ポートプロトコルに関連するアクセス制御リストを抽出するステップＳ４０の場合、臨時に割り当てられて使用するポートと、固定で使用するポートとを区分可能なアクセス制御リストを抽出する。前記ステップＳ２０、Ｓ３０、Ｓ４０については、下記でより詳細に説明する。
【００４５】
上述の図１では、ＭＡＣプロトコルに関連するアクセス制御リストを抽出または生成するステップＳ２０、ＩＰプロトコルに関連するアクセス制御リストを抽出または生成するステップＳ３０、およびポートプロトコルに関連するアクセス制御リストを抽出または生成するステップＳ４０が順次に行われるように示されているが、その順序は変化しても構わない。これとは異なり、ＭＡＣプロトコルに関連するアクセス制御リストを抽出または生成するステップＳ２０、ＩＰプロトコルに関連するアクセス制御リストを抽出または生成するステップＳ３０、およびポートプロトコルに関連するアクセス制御リストを抽出または生成するステップＳ４０のうちの少なくとも１つ以上だけを行っても構わない。
【００４６】
このように、ＭＡＣプロトコル、および／またはＩＰプロトコル、および／またはポートプロトコルに関連するアクセスリストを抽出または生成が終了すると、最終のアクセス制御リスト（ＡＣＬ）を得ることができる。最終のアクセス制御リストを結果物として得るステップを、図１ではＳ５０と表現した。
【００４７】
前記では、第２ステップＳ１００を、アクセス制御リストを抽出するステップとしたが、第２ステップＳ１００を、アクセス制御リストを生成するステップとしても構わない。
【００４８】
図２は、図１に示されたネットワークトラフィックログから、ＭＡＣプロトコルに関連するアクセス制御リストを抽出するステップＳ２０をより細かく説明するためのフローチャートである。
【００４９】
図２によれば、ＭＡＣプロトコル、すなわち、ＩＰ、ポート（ｐｏｒｔ）を使用しないプロトコルを用いてパケットをやり取りする場合、ネットワークトラフィックログに（ｓｒｃＭＡＣ、ｘ、ｘ、ｐｒｏｔｏｃｏｌ、ｄｓｔＭＡＣ、ｘ、ｘ）が含まれていれば、当該アクセス制御規則をアクセス制御リスト（ＡＣＬ）に追加する。
【００５０】
すなわち、第１ステップＳ１０によって格納されたネットワークトラフィックログの集合であるログセット（ＬｏｇＳｅｔ）から、ＭＡＣプロトコルに該当する１つのアイテム（すなわち、（ｓｒｃＭＡＣ、ｘ、ｘ、ｐｒｏｔｏｃｏｌ、ｄｓｔＭＡＣ、ｘ、ｘ））を取り出す（Ｓ２２）。
【００５１】
しかる後、これをアクセス制御リスト（ＡＣＬ）に含める（Ｓ２４）。
【００５２】
以後、ログセット（ＬｏｇＳｅｔ）でＭＡＣプロトコルに該当する他のアイテム（すなわち、（ｓｒｃＭＡＣ、ｘ、ｘ、ｐｒｏｔｏｃｏｌ、ｄｓｔＭＡＣ、ｘ、ｘ））がさらにあるかを確認する（Ｓ２６）。
【００５３】
確認の結果、ログセット（ＬｏｇＳｅｔ）でＭＡＣプロトコルに該当する他のアイテムがさらにあれば、上述のステップＳ２２に戻り、そのステップからの動作を繰り返す。すなわち、ＭＡＣプロトコルに該当する他のアイテムがさらにあれば、その他のアイテムはアクセス制御リスト（ＡＣＬ）に追加される。
【００５４】
逆に、ログセット（ＬｏｇＳｅｔ）でＭＡＣプロトコルに該当するアイテムがなければ、終了する（Ｓ２８）。ＭＡＣプロトコルの場合、ＭＡＣを固定で使用するため、Ｓ２８によって完成したアクセス制御リスト（ＡＣＬ）には、ネットワークトラフィックログでＭＡＣプロトコルに関連するパケットをすべて含むアクセス制御規則が存在するはずである。
【００５５】
図３は、図１に示されたネットワークトラフィックログから、ＩＰプロトコルに関連するアクセス制御リストを抽出するステップＳ３０をより細かく説明するためのフローチャートである。
【００５６】
図３によれば、ＩＰプロトコル、すなわち、ポートを使用しないプロトコルを用いてパケットをやり取りする場合、ログに（ｓｒｃＭＡＣ、ｓｒｃＩＰ、ｘ、ｐｒｏｔｏｃｏｌ、ｄｓｔＭＡＣ、ｄｓｔＩＰ、ｘ）が存在すれば、当該アクセス制御規則をアクセス制御リスト（ＡＣＬ）に追加する。
【００５７】
すなわち、ネットワークトラフィックログから、ＭＡＣプロトコルに関連するアクセス制御リストを抽出するステップＳ２０の後に、格納されたネットワークトラフィックログの集合であるログセット（ＬｏｇＳｅｔ）から、ＩＰプロトコルに該当する１つのアイテム（すなわち、（ｓｒｃＭＡＣ、ｓｒｃＩＰ、ｘ、ｐｒｏｔｏｃｏｌ、ｄｓｔＭＡＣ、ｄｓｔＩＰ、ｘ））を取り出す（Ｓ３２）。
【００５８】
しかる後、これをアクセス制御リスト（ＡＣＬ）に含める（Ｓ３４）。
【００５９】
以後、ログセット（ＬｏｇＳｅｔ）でＩＰプロトコルに該当する他のアイテム（すなわち、（ｓｒｃＭＡＣ、ｓｒｃＩＰ、ｘ、ｐｒｏｔｏｃｏｌ、ｄｓｔＭＡＣ、ｄｓｔＩＰ、ｘ））がさらにあるかを確認する（Ｓ３６）。
【００６０】
確認の結果、ログセット（ＬｏｇＳｅｔ）でＩＰプロトコルに該当する他のアイテムがさらにあれば、上述のステップＳ３２に戻り、そのステップからの動作を繰り返す。すなわち、ＩＰプロトコルに該当する他のアイテムがさらにあれば、その他のアイテムはアクセス制御リスト（ＡＣＬ）に追加される。
【００６１】
逆に、ログセット（ＬｏｇＳｅｔ）でＩＰプロトコルに該当するアイテムがなければ、終了する（Ｓ３８）。ＩＰプロトコルの場合、機器を固定で使用しながら、ＭＡＣ、ＩＰを固定で使用するため、Ｓ３８によって完成したアクセス制御リスト（ＡＣＬ）には、ネットワークトラフィックログでＩＰプロトコルに関連するパケットをすべて含むアクセス制御規則が存在するはずである。
【００６２】
図４は、図１に示されたネットワークトラフィックログから、ポートプロトコルに関連するアクセス制御リストを抽出するステップＳ４０をより細かく説明するためのフローチャートである。ステップＳ２０およびステップＳ３０が順次に行われた後に、ステップＳ４０が行われる。
【００６３】
ポートプロトコル（Ｐｏｒｔ  ｐｒｏｔｏｃｏｌ）とは、ポートを使用するプロトコルを用いてパケットをやり取りする場合を意味する（例えば、ＴＣＰ、ＵＤＰ）。
【００６４】
ネットワークトラフィックログから、ポートプロトコルに関連するアクセス制御リストを抽出するステップＳ４０の基本的なアイデアは、接続された対象の多いポートが固定で使用するポートということである。例えば、（ＭＡＣ、ＩＰ、ｐｏｒｔ、ｐｒｏｔｏｃｏｌ）ごとに、相手の種類がいくつかであるかを抽出する。以後、接続対象の多い方を固定ポート（またはサーバポート）と仮定し、そのポートと通信をする対象ポートはクライアントポートと仮定する。このように抽出したアクセス制御リスト（ＡＣＬ）を追加的なアイデアにさらに拡張することで、全体アルゴリズムを終了する。
【００６５】
すなわち、Ｓ４２で、１つの（ＩＰ１、ｐｏｒｔ１）と通信を行った対象ＩＰ２ごとに、ＩＰ２が使用するポートの個数がユーザが定めた値より多ければ、ＩＰ１のｐｏｒｔ１は固定で使用するものであり、ＩＰ２のポートは固定でないと判断する。ＩＰ１がｐｏｒｔ１を使用してＩＰ２と通信するトラフィックに対して、パケットの転送方向を考慮して、ＩＰ１のポートはｐｏｒｔ１として使用し、ＩＰ２のポートはＡＮＹとして使用して、アクセス制御リスト（ＡＣＬ）を作成する。これは、一般的なサーバ−クライアントモデルにおいて、サーバはポートを固定して使用し、クライアントは毎度ランダムなポートを使用する特性を活用したものである。
【００６６】
例えば、ネットワークトラフィックログを分析した時、ＩＰ１０．０．０．１の１００番ポートと、１０．０．０．２が通信を行う時に使用するポートの個数が、ユーザが定めた値（例えば、５０）より多く、両者の間で双方向通信をしているならば、（１０．０．０．１のｍａｃ、１０．０．０．１、１００、ｐｒｏｔｏｃｏｌ、１０．０．０．２のｍａｃ、１０．０．０．２、ＡＮＹ）と、（１０．０．０．２のｍａｃ、１０．０．０．２、ＡＮＹ、ｐｒｏｔｏｃｏｌ、１０．０．０．１のｍａｃ、１０．０．０．１、１００）をアクセス制御リスト（ＡＣＬ）に追加する。この時、アクセス制御リスト（ＡＣＬ）でＭＡＣ情報が必要でなければ、これは、アクセス制御リスト（ＡＣＬ）に追加する時に使用しなくてもよい。前記例において、ＡＮＹは、すべてのポートを含む集合であると見られる。
【００６７】
Ｓ４２をさらに説明すれば次の通りである。Ｓ４２の方法を表現する方法には、下記の２つの例がある。
【００６８】
ａ）ＩＰ１０．０．０．１の１００番ポートに、ＴＣＰプロトコルにより１０．０．０．２がいずれか以上（ＬＩＭＩＴ１）の個数のポートで双方向通信を行う場合、「（１０．０．０．１、１００、ＴＣＰ、⇔、１０．０．０．２、ａｎｙ）」で表現することができる。
【００６９】
ｂ）ＩＰ１０．０．０．１の２００番ポートに、ＵＤＰプロトコルにより１０．０．０．３がいずれか以上（ＬＩＭＩＴ１）の個数のポートでパケットを転送する時、「（１０．０．０．１、２００、ＵＤＰ、←、１０．０．０．３、ａｎｙ）」で表現することができる。
【００７０】
ａ）およびｂ）のような方式で２つのＩＰの間で通信を行う時、ポート接続個数の比率が、ユーザが定めた制限個数（ｌｉｍｉｔ１）を超える時、相手先ポートを固定で使用し、多く使用する側はランダムにポートを使用すると判断してａｎｙに設定したアクセス制御リスト（ＡＣＬ）を作成する。このように、Ｓ４２では、使用ポートの比率（すなわち、ポート接続個数の比率）を用いてアクセス制御リストを作成（生成）する。
【００７１】
以後、Ｓ４４では、上述のＳ４２で区分されていない場合を補完してアクセス制御リスト（ＡＣＬ）を作成する。Ｓ４４では、下記の表１の７つの表現方法を利用してアクセス制御リスト（ＡＣＬ）を構成することができる。すなわち、アクセス制御リストを補完するために、Ｓ４４では、下記の表１で提示する方法を繰り返し適用する。下記の表１に提示された方法を適用する方式には種々あり得るが、一例として、下記の表１の１、２、４、７番を先に適用し、３番を適用後、残ったものに６番を適用し、その後、５番を適用する順序とすることができる。下記の表１において、制限個数（ｌｉｍｉｔ２、ｌｉｍｉｔ３）は、それぞれユーザが定めた閾値（ｔｈｒｅｓｈｏｌｄ）である。
【００７２】
【表１】
0005942013.tif 000002
【００７３】
このようにしても、ネットワークトラフィックログの量の不足などによりアクセス制御リスト（ＡＣＬ）の規則を正確に定めることができない場合については、ユーザに聞かなければならない。
【００７４】
最も注意深く確認しなければならないことは、動的サーバポートを使用するサービスを用いる場合である。ＦＴＰ、ＯＰＣなど、動的にサーバポートを割り当てながら通信を行うサービスを用いる場合、２つのＩＰの間に１つ以上の固定ポートで交渉（ｎｅｇｏｔｉａｔｉｏｎ）を行った後、そのたびにサーバポートを割り当てて通信を行うため、ネットワークトラフィックログに通信するポートの対（ｐａｉｒ）が多様に存在する。このような場合が発生すると、動的サーバポートを使用するサービスの使用有無を確認した後、セキュリティ政策に合わせて、アクセス制御リスト（ＡＣＬ）でポートを特定範囲に開放したり、動的サーバポートを使用させないなどの処理が必要である。
【００７５】
上述のＳ４４の抽出されたアクセス制御リスト（ＡＣＬ）の補完が完了すると、アクセス制御リスト（ＡＣＬ）の抽出が終了する（Ｓ４６）。
【００７６】
上述の本発明の実施形態の説明では、アクセス制御リスト（ＡＣＬ）の規則を作成する時、ＭＡＣ、ＩＰ、ｐｏｒｔ、ｐｒｏｔｏｃｏｌの情報をすべて使用するものとしたが、必要によっては、ＭＡＣ、ＩＰ、ｐｏｒｔ、ｐｒｏｔｏｃｏｌのうちの必要な情報のみを使用してもよい。すなわち、すべての情報を考慮してアクセス制御リスト（ＡＣＬ）を抽出または生成してもよく、そのうちの必要な一部の情報のみでアクセス制御リスト（ＡＣＬ）を抽出または生成してもよい。
【００７７】
一方、本発明は、多様な装備に適用可能である。まず、本発明は、適用位置に応じて、モニタリング装備、インライン装備に適用されてよい。そして、本発明は、入力情報の特性に応じて、トラフィックを入力として受ける装備、トラフィックログを入力として受ける装備に適用されてよい。
【００７８】
結局、本発明が適用可能な装備は、モニタリング装備であるがトラフィックを入力として受ける装備、モニタリング装備であるがトラフィックログを入力として受ける装備、インライン装備であるがトラフィックを入力として受ける装備、インライン装備であるがトラフィックログを入力として受ける装備である。
【００７９】
図５は、本発明の実施形態にかかるアクセス制御リスト抽出方法が適用可能なシステムの一例を示す図である。図５のアクセス制御リスト抽出システムは、一般的なネットワークスイッチを意味するものと見られる。
【００８０】
図５のアクセス制御リスト抽出システム４０は、情報収集部４２と、情報分析部４４と、ユーザインタフェース部４６とを含む。
【００８１】
情報収集部４２は、ネットワークまたは通信ノード３０、３２を介してモニタリングされるネットワークトラフィック（ネットワークパケットともいう）、および／またはモニタリング装備５０、またはトラフィックログ生成装置５２からネットワークトラフィックログを収集して、格納することができる。ここで、モニタリング方式は、スイッチミラーリング、トラフィックタッピングなどがあり得る。
【００８２】
そして、情報収集部４２は、図１の第１ステップＳ１０のように収集される一定期間の全体パケットまたは一定量のサンプリングされた個別パケットに対して、（ＳｒｃＭＡＣ、ＳｒｃＩＰ、ＳｒｃＰｏｒｔ、ｐｒｏｔｏｃｏｌ、ＤｓｔＭＡＣ、ＤｓｔＩＰ、ＤｓｔＰｏｒｔ）情報を抽出することができる。ここで、抽出された（ＳｒｃＭＡＣ、ＳｒｃＩＰ、ＳｒｃＰｏｒｔ、ｐｒｏｔｏｃｏｌ、ＤｓｔＭＡＣ、ＤｓｔＩＰ、ＤｓｔＰｏｒｔ）情報を、ネットワークトラフィックログとすることができる。
【００８３】
情報分析部４４は、情報収集部４２で抽出されるネットワークトラフィックログに基づいて、本発明で提示する方式（図１参照）でアクセス制御リスト（ＡＣＬ）の情報を分析（抽出または生成）することができる。
【００８４】
つまり、図１の第２ステップＳ１００のように、情報分析部４４は、ＭＡＣプロトコルに関連するアクセス制御リストを抽出または生成し、ＩＰプロトコルに関連するアクセス制御リストを抽出または生成し、ポートプロトコルに関連するアクセス制御リストを抽出する動作を順次に経由することによって、最終のアクセス制御リスト（ＡＣＬ）を抽出または生成することができる。
【００８５】
ユーザインタフェース部４６は、ユーザが本発明で提示する方式（図１参照）に対する設定値を調整することができる。一方、ユーザインタフェース部４６は、情報分析部４４で分析（抽出または生成）された結果を確認することができる。一方、ユーザインタフェース部４６は、抽出方式（図１参照）に対する設定を調整して、再実行などの機能を提供することができる。
【００８６】
上述の図５とは異なり、本発明の実施形態にかかるアクセス制御リスト抽出方法は、ホワイトリスト基盤のネットワークスイッチ（図６参照）が生成したログから、ホワイトリスト基盤のネットワークスイッチが使用するホワイトリスト情報を生成する所に使用できる。特に、本発明が図６に例示されたホワイトリスト基盤のネットワークスイッチと連結して使用する場合、ホワイトリスト基盤のネットワークスイッチがネットワークトラフィックをトラフィックログに変換した後、当該トラフィックログを入力として受けて動作するため、本発明が適用可能な装備は、モニタリング装備であるがトラフィックログを入力として受ける装備になってよい。
【００８７】
図６は、本発明の実施形態にかかるアクセス制御リスト抽出方法が適用可能なシステムの他の例を示す図である。
【００８８】
図６のホワイトリスト基盤のネットワークスイッチ１００は、スイッチ制御部１０と、トラフィックロギング部１２と、ホワイトリスト監視部１４と、ホワイトリスト管理部１６とを含む。
【００８９】
スイッチ制御部１０は、それぞれのスイッチインタフェース１を介して入力されるパケットをスイッチングすることができる。ホワイトリスト基盤のネットワークスイッチ１００は、スイッチ制御部１０によるパケットスイッチの機能により、ネットワークの資源管理および内部ネットワークのモニタリング機能および制御機能などを行うことができる。特に、スイッチ制御部１０によってスイッチインタフェース１ごとに個別の政策（通信を許容するか、それとも遮断するかを決定した内容を含む）を適用することができる。
【００９０】
スイッチ制御部１０は、複数のスイッチインタフェース１それぞれを介して入力されるパケットをスイッチングして、ホワイトリスト監視部１４に伝達し、ホワイトリスト監視部１４の制御信号に基づいて遮断動作を行うことができる。
【００９１】
トラフィックロギング部１２は、トラフィックログ１８ａを生成することができる。特に、トラフィックロギング部１２は、スイッチ制御部１０でスイッチングされて入力されるパケットから、ホワイトリストに対応する情報を選別するために、例えば、送信元ＭＡＣ、送信元アイピー（ＩＰ）、送信元ポート、宛先ＭＡＣ、宛先アイピー（ＩＰ）、宛先ポート、プロトコルなどの情報を抽出することができる。ここで、抽出される送信元ＭＡＣ、送信元アイピー（ＩＰ）、送信元ポート、宛先ＭＡＣ、宛先アイピー（ＩＰ）、宛先ポート、プロトコルなどの情報が、本発明でのネットワークトラフィックログに該当すると見られる。トラフィックロギング部１２で抽出された情報は、ホワイトリスト監視部１４に伝達され、ホワイトリストに違反するかを判断する根拠資料として使用される。
【００９２】
ホワイトリスト監視部１４は、許容された通信ノードおよび許容された通信規則が定義されたホワイトリストが予め格納されている。ホワイトリスト監視部１４は、スイッチ制御部１０から入るパケットを受けてホワイトリスト基盤の監視を行うものの、ホワイトリストに該当する（すなわち、ホワイトリストを守る）パケットに対しては、単位時間ごとに発生するパケット数またはトラフィック量を政策ログ１８ｂに記録する。また、ホワイトリスト監視部１４は、ホワイトリストに違反するパケットに対しては、トラフィックログ１８ａおよび当該パケットが入ってきたスイッチインタフェース番号を記録して、違反ログ１８ｃに記録する。ホワイトリスト監視部１４は、トラフィックロギング部１２で抽出された情報に基づいて、当該パケットが予め設定されたホワイトリストに違反するかを判断することができる。
【００９３】
一方、ホワイトリスト監視部１４は、違反するトラフィック（すなわち、１つ以上のパケット；パケットの束）に対する遮断規則をスイッチ制御部１０に伝達して、トラフィック遮断（パケット遮断と見ることができる）を行うようにすることができる。
【００９４】
ホワイトリスト管理部１６は、ホワイトリスト監視部１４にホワイトリストを伝達する機能と、トラフィックログ１８ａと政策ログ１８ｂおよび違反ログ１８ｃを、外部の監視システム（図示せず）に管理インタフェース２０を介して伝達する機能を担当することができる。外部監視システムは、伝達されたログを、思考分析、ネットワーク状態の把握、ホワイトリストの生成および変更などに使用する。
【００９５】
図６において、説明されていない符号１８は、ログ部を意味する。
【００９６】
上述の図６には、パケットごとに、送信元ＭＡＣ、送信元アイピー（ＩＰ）、送信元ポート、宛先ＭＡＣ、宛先アイピー（ＩＰ）、宛先ポート、プロトコルなどの情報を抽出可能なトラフィックロギング部１２は存在するが、アクセス制御リスト（ＡＣＬ）を抽出する構成要素がない。しかし、図５の情報分析部４４のような、アクセス制御リスト（ＡＣＬ）を抽出可能な構成要素を、図６に示されたホワイトリスト基盤のネットワークスイッチ１００に追加すれば、トラフィックロギング部１２によって抽出される情報に基づいてアクセス制御リスト（ＡＣＬ）を抽出することができることを、当業者であれば誰でも容易に理解することができる。
【００９７】
以上、図面と明細書で最適な実施形態が開示された。ここで、特定の用語が使用されたが、これは、単に本発明を説明するための目的で使用されたものであり、意味の限定や特許請求の範囲に記載された本発明の範囲を制限するために使用されたものではない。そのため、本技術分野における通常の知識を有する者であれば、これから多様な変形および均等な他の実施形態が可能であることを理解することができる。したがって、本発明の真の技術的保護範囲は、添付した特許請求の範囲の技術的思想によって定められなければならない。
【符号の説明】
【００９８】
１０：スイッチ制御部
１２：トラフィックロギング部
１４：ホワイトリスト監視部
１６：ホワイトリスト管理部
１８：ログ部
２０：管理インタフェース
３０、３２：ネットワークまたは通信ノード
４０：アクセス制御リスト抽出システム
４２：情報収集部
４４：情報分析部
４６：ユーザインタフェース部
５０：モニタリング装備
５２：トラフィックログ生成装置
【図１】
0005942013.tif 000003
【図２】
0005942013.tif 000004
【図３】
0005942013.tif 000005
【図４】
0005942013.tif 000006
【図５】
0005942013.tif 000007
【図６】
0005942013.tif 000008