(57)【要約】【課題】  通信のセキュリティリスクを低減することができる通信セキュリティ管理装置、ネットワークシステム、通信セキュリティ管理方法、及び通信セキュリティ管理プログラムを提供する。【解決手段】  複数の条件に基づき通信を規制する複数のルールと、前記複数のルールに従った通信の履歴とを照合することにより、前記複数のルールから１以上の使用中のルールと未使用のルールとを抽出する抽出部と、前記複数の条件のうち、前記１以上の使用中のルールと前記未使用のルールの間の共通の条件を判定する判定部と、前記共通の条件に応じた前記未使用のルールの処分を通知する通知部とを有することを特徴とする通信セキュリティ管理装置。【選択図】図１２
2019087809.tif 000002
【特許請求の範囲】
【請求項１】
複数の条件に基づき通信を規制する複数のルールと、前記複数のルールに従った通信の履歴とを照合することにより、前記複数のルールから１以上の使用中のルールと未使用のルールとを抽出する抽出部と、
前記複数の条件のうち、前記１以上の使用中のルールと前記未使用のルールの間の共通の条件を判定する判定部と、
前記共通の条件に応じた前記未使用のルールの処分を通知する通知部とを有することを特徴とする通信セキュリティ管理装置。
【請求項２】
前記判定部は、前記共通の条件に応じて前記未使用のルールを分類し、
前記通知部は、前記未使用のルールの分類及び前記処分を通知することを特徴とする請求項１に記載の通信セキュリティ管理装置。
【請求項３】
前記複数の条件には、通信の宛先アドレス、送信元アドレス、及びポート番号に関する各条件が含まれることを特徴とする請求項１または２に記載の通信セキュリティ管理装置。
【請求項４】
前記通知部は、前記１以上の使用中のルールの１つと前記未使用のルールの間で前記宛先アドレス、前記送信元アドレス、及び前記ポート番号に関する各条件が共通する場合、前記処分として、前記未使用のルールの削除を通知することを特徴とする請求項３に記載の通信セキュリティ管理装置。
【請求項５】
前記通知部は、前記１以上の使用中のルールのうち、前記未使用のルールとの間で前記宛先アドレス、前記送信元アドレス、及び前記ポート番号に関する各条件が共通するルールがない場合、前記１以上の使用中のルールの１つと前記未使用のルールの間で、前記宛先アドレス及び前記送信元アドレスに関する各条件が共通するとき、前記処分として、前記未使用のルールの維持を通知することを特徴とする請求項３または４に記載の通信セキュリティ管理装置。
【請求項６】
前記通知部は、前記１以上の使用中のルールのうち、前記未使用のルールとの間で前記宛先アドレス及び前記送信元アドレスに関する各条件が共通するルールがない場合、前記１以上の使用中のルールの１つと前記未使用のルールの間で前記宛先アドレスに関する条件が共通し、前記１以上の使用中のルールの他の１つと前記未使用のルールの間で前記送信元アドレスに関する条件が共通するとき、前記処分として、前記未使用のルールの維持を通知することを特徴とする請求項３乃至５の何れかに記載の通信セキュリティ管理装置。
【請求項７】
前記通知部は、前記１以上の使用中のルールのうち、前記未使用のルールとの間で前記宛先アドレス及び前記送信元アドレスに関する各条件が共通するルールがなく、さらに、前記１以上の使用中のルールのうち、前記未使用のルールとの間で前記宛先アドレスに関する条件が共通するルールと、前記未使用のルールとの間で前記送信元アドレスに関する条件が共通する他のルールとがない場合、前記処分として、前記未使用のルールの削除を通知することを特徴とする請求項３乃至６の何れかに記載の通信セキュリティ管理装置。
【請求項８】
通信制御装置と通信セキュリティ管理装置とを含み、
前記通信制御装置は、
複数の条件に基づき通信を規制する複数のルールを記憶する記憶部と、
前記複数のルールに従って通信を制御する制御部と、
前記通信の履歴を記録する記録部とを有し、
前記通信セキュリティ管理装置は、
前記通信制御装置から前記複数のルール及び前記履歴を取得する取得部と、
前記複数のルールと前記履歴とを照合することにより、前記複数のルールから１以上の使用中のルールと未使用のルールとを抽出する抽出部と、
前記複数の条件のうち、前記１以上の使用中のルールと前記未使用のルールの間の共通の条件を判定する判定部と、
前記共通の条件に応じた前記未使用のルールの処分を通知する通知部とを有することを特徴とするネットワークシステム。
【請求項９】
複数の条件に基づき通信を規制する複数のルールと、前記複数のルールに従った通信の履歴とを照合することにより、前記複数のルールから１以上の使用中のルールと未使用のルールとを抽出する工程と、
前記複数の条件のうち、前記１以上の使用中のルールと前記未使用のルールの間の共通の条件を判定する工程と、
前記共通の条件に応じた前記未使用のルールの処分を通知する工程とを、コンピュータが実行することを特徴とする通信セキュリティ管理方法。
【請求項１０】
複数の条件に基づき通信を規制する複数のルールと、前記複数のルールに従った通信の履歴とを照合することにより、前記複数のルールから１以上の使用中のルールと未使用のルールとを抽出し、
前記複数の条件のうち、前記１以上の使用中のルールと前記未使用のルールの間の共通の条件を判定し、
前記共通の条件に応じた前記未使用のルールの処分を通知する、処理を、コンピュータに実行させることを特徴とする通信セキュリティ管理プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本件は、通信セキュリティ管理装置、ネットワークシステム、通信セキュリティ管理方法、及び通信セキュリティ管理プログラムに関する。
【背景技術】
【０００２】
例えばファイアウォールには、サーバへの通信を許可するためのルールが、パケットに関する各種の条件に基づき設定される。使用されていないルールの設定がファイアウォールに削除されずに残っていると、例えばサーバへの不正アクセスなどのセキュリティリスクが高くなるため、例えばルールごとの利用度のランクが判定される（例えば特許文献１参照）。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１７−１０４１４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかし、利用度が低くても継続的に利用される必要なルールがあるため、利用度によりルールのランクが判定されると利便性が低い。したがって、ルールの要否を適切に判断することが望まれるが、ファイアウォールには大量のルールが設定されていることが多いため、人手によりルールごとの要否を判断するには手間がかかる。
【０００５】
このため、ファイアウォールには、不必要なルールの設定が削除されずに大量に残っており、通信のセキュリティリスクが増加している。なお、この問題は、ファイアウォールに限定されず、通信を制御する他の装置についても同様に存在する。
【０００６】
そこで本件は、通信のセキュリティリスクを低減することができる通信セキュリティ管理装置、ネットワークシステム、通信セキュリティ管理方法、及び通信セキュリティ管理プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００７】
１つの態様では、通信セキュリティ管理装置は、複数の条件に基づき通信を規制する複数のルールと、前記複数のルールに従った通信の履歴とを照合することにより、前記複数のルールから１以上の使用中のルールと未使用のルールとを抽出する抽出部と、前記複数の条件のうち、前記１以上の使用中のルールと前記未使用のルールの間の共通の条件を判定する判定部と、前記共通の条件に応じた前記未使用のルールの処分を通知する通知部とを有する。
【０００８】
１つの態様では、ネットワークシステムは、通信制御装置と通信セキュリティ管理装置とを含み、前記通信制御装置は、複数の条件に基づき通信を規制する複数のルールを記憶する記憶部と、前記複数のルールに従って通信を制御する制御部と、前記通信の履歴を記録する記録部とを有し、前記通信セキュリティ管理装置は、前記通信制御装置から前記複数のルール及び前記履歴を取得する取得部と、前記複数のルールと前記履歴とを照合することにより、前記複数のルールから１以上の使用中のルールと未使用のルールとを抽出する抽出部と、前記複数の条件のうち、前記１以上の使用中のルールと前記未使用のルールの間の共通の条件を判定する判定部と、前記共通の条件に応じた前記未使用のルールの処分を通知する通知部とを有する。
【０００９】
１つの態様では、通信セキュリティ管理方法は、複数の条件に基づき通信を規制する複数のルールと、前記複数のルールに従った通信の履歴とを照合することにより、前記複数のルールから１以上の使用中のルールと未使用のルールとを抽出する工程と、前記複数の条件のうち、前記１以上の使用中のルールと前記未使用のルールの間の共通の条件を判定する工程と、前記共通の条件に応じた前記未使用のルールの処分を通知する工程とを、コンピュータが実行する方法である。
【００１０】
１つの態様では、通信セキュリティ管理プログラムは、複数の条件に基づき通信を規制する複数のルールと、前記複数のルールに従った通信の履歴とを照合することにより、前記複数のルールから１以上の使用中のルールと未使用のルールとを抽出し、前記複数の条件のうち、前記１以上の使用中のルールと前記未使用のルールの間の共通の条件を判定し、前記共通の条件に応じた前記未使用のルールの処分を通知する、処理を、コンピュータに実行させるプログラムである。
【発明の効果】
【００１１】
１つの側面として、通信のセキュリティリスクを低減することができる。
【図面の簡単な説明】
【００１２】
【図１】ネットワークシステムの一例を示す構成図である。
【図２】ファイアウォール装置の一例を示す構成図である。
【図３】通信制御ログデータベース及びルール情報データベースの一例である。
【図４】セキュリティ管理サーバの一例を示す構成図である。
【図５】ログテーブル、ルール情報テーブル、使用ルールテーブル、未使用ルールテーブル、及びクラステーブルの一例である。
【図６】セキュリティ管理サーバの動作の一例を示すフローチャートである。
【図７】ログ取得処理の一例を示すフローチャートである。
【図８】ルール情報取得処理の一例を示すフローチャートである。
【図９】使用ルール及び未使用ルールの抽出処理の一例を示すフローチャートである。
【図１０】使用ルール及び未使用ルールの抽出の一例を示す図である。
【図１１】ルール分類処理の一例を示すフローチャートである。
【図１２】未使用ルールの分類の一例を示す図である。
【図１３】通知処理の一例を示すフローチャートである。
【図１４】クラスごとの使用ルールと未使用ルールの間の共通条件と推奨処分の関係の一例を示す図である。
【図１５】クラス「Ａ」の未使用ルールについて想定されるネットワークの状態の一例を示す図である。
【図１６】クラス「Ｂ」の未使用ルールについて想定されるネットワークの状態の一例を示す図である。
【図１７】クラス「Ｃ」の未使用ルールについて想定されるネットワークの状態の一例を示す図である。
【図１８】クラス「Ｄ」の未使用ルールについて想定されるネットワークの状態の一例を示す図である。
【図１９】通知画面の一例を示す図である。
【発明を実施するための形態】
【００１３】
図１は、ネットワークシステムの一例を示す構成図である。ネットワークシステムには、セキュリティ管理サーバ１、ファイアウォール装置２、操作端末３、及び複数のサーバ９５〜９７が含まれる。セキュリティ管理サーバ１、ファイアウォール装置２、操作端末３、及び各サーバ９５〜９７は、例えばＬＡＮ（Local Area Network）９４に接続されている。
【００１４】
ファイアウォール装置２は、インターネット９３を介した各サーバ９５〜９７への通信を規制する。一例として、拠点Ａ，ＢのＬＡＮ９１に接続された各端末９０からサーバ９５〜９７に通信する場合、ファイアウォール装置２には、例えば操作端末３から通信を許可するためのルールが設定される。ルールは、一例として、ＩＰ（Internet Protocol）パケット（以下、「パケット」と表記）の送信元ＩＰアドレス、宛先ＩＰアドレス、及びポート番号に関する各条件に基づいて設定される。なお、操作端末３及び端末９０としては、パーソナルコンピュータなどが挙げられるが、これに限定されない。
【００１５】
ファイアウォール装置２は、例えばステートフルインスペクションの機能を備えているため、設定済みのルールに基づいて端末９０からサーバ９５〜９７への通信を許可すると、その応答として、サーバ９５〜９７から端末９０への通信を許可するためのルールが動的に設定される。このため、操作端末３からファイアウォール装置２には、外部のインターネット９３から内部のＬＡＮ９４に向かう通信を規制するルールのみが設定される。
【００１６】
例えば、操作端末３からファイアウォール装置２に、拠点Ａの端末９０からサーバ９５に対する通信を許可するためのルールが設定された場合、その端末９０からサーバ９５宛てに送信されたパケットは、符号Ｒ１で示されるように、ファイアウォール装置２を通過してサーバ９５で受信される。
【００１７】
また、ファイアウォール装置２は、そのパケットをルールに基づき通過させると、逆向き、つまりサーバ９５から拠点Ａの端末９０に対する通信を許可するためのルールが設定される。このため、サーバ９５から端末９０に対する応答パケットは、符号Ｒ２で示されるように、ファイアウォール装置２を通過して端末９０で受信される。
【００１８】
また、ファイアウォール装置２に、拠点Ｂの端末９０からサーバ９５への通信を許可するためのルールが設定されていない場合、その端末９０からサーバ９５宛てに送信されたパケットは、符号Ｒ３で示されるように、ファイアウォール装置２を通過できない。このため、サーバ９５は、拠点Ｂの端末９０からパケットを受信することができない。
【００１９】
このようにして、ファイアウォール装置２は、端末９０からサーバ９５〜９７に送信されたセッション開通のパケットを、操作端末３から設定されたルールに基づいて規制し、通過を許可したパケットに対する応答パケットの通過を許可する。ファイアウォール装置２は、パケットの内容からＴＣＰ（Transmission Control Protocol）パケット、ＵＤＰ（User Datagram Protocol）パケット、及びＤＮＳ（Domain Name Server）パケットなどのパケットの種別を識別する。
【００２０】
ファイアウォール装置２は、ＴＣＰパケットの場合、ＴＣＰヘッダ内のコントロールフラグ及びシーケンス番号を参照することにより、セッション開通のパケット及び応答パケットを識別する。また、ＤＮＳパケットの場合、ＱＲ（Query / Response）及びトランザクションＩＤを参照することにより、セッション開通のパケット及び応答パケットを識別する。
【００２１】
ファイアウォール装置２には、大量のルールが設定されているため、人手によりルールごとの要否を判断するには手間がかかる。このため、ファイアウォール装置２には、不必要なルールの設定が削除されずに大量に残っている。ファイアウォール装置２の管理者は、不要なルール設定による通信のセキュリティリスクを低減するため、操作端末３からセキュリティ管理サーバ１に対し、ルールに関してレコメンドを要求する（「レコメンド要求」参照）。
【００２２】
セキュリティ管理サーバ１は、レコメンド要求を受けると、ファイアウォール装置２から、ルールの内容を示す情報（「ルール情報」参照）と、そのルールに基づく通信制御ログとを取得し、両者を照合することにより使用中のルールと未使用のルールを抽出する。セキュリティ管理サーバ１は、使用中のルールと未使用のルールの共通の条件を判定し、その判定結果から未使用のルールの処分を操作端末３に、レコメンドとして通知する（「通知」参照）。
【００２３】
このため、例えばファイアウォール装置２の管理者は、セキュリティ管理サーバ１からの通知に応じて、ルールごとの要否を容易に判断することができる。このため、通信のセキュリティリスクが低減される。
【００２４】
図２は、ファイアウォール装置２の一例を示す構成図である。ファイアウォール装置２は、ＣＰＵ（Central Processing Unit）２０、ＲＯＭ（Read Only Memory）２１、ＲＡＭ（Random Access Memory）２２、ＨＤＤ（Hard Disk Drive）２３、及び通信ポート２４，２５を有する。ＣＰＵ２０は、互いに信号の入出力ができるように、ＲＯＭ２１、ＲＡＭ２２、ＨＤＤ２３、及び通信ポート２４，２５と、バス２９を介して接続されている。
【００２５】
ＲＯＭ２１は、ＣＰＵ２０を駆動するプログラムが格納されている。ＲＡＭ２２は、ＣＰＵ２０のワーキングメモリとして機能する。通信ポート２４，２５は、例えばＬＡＮ（Local Area Network）カードなどのハードウェアにより構成される。通信ポート２４は、インターネット９３との間でパケットを送受信し、通信ポート２４は、ＬＡＮ９４との間でパケットを送受信する。
【００２６】
ＣＰＵ２０は、ＲＯＭ２１からプログラムを読み込むと、機能として、通信制御部２００、ログ記録部２０１、及び情報出力部２０２が形成される。また、ＨＤＤ２３には、ルール情報データベース（ＤＢ）２３０及び通信制御ログＤＢ２３１が格納されている。なお、ＨＤＤ２３は、複数のルールを記憶する記憶部の一例である。
【００２７】
通信制御部２００は、制御部の一例であり、ルール情報ＤＢ２３０に設定されたルールに基づき通信を制御する。例えば、通信制御部２００は、端末９０からインターネット９３経由で受信したパケットを通信ポート２４から取得し、ルールに基づいてパケットを通過させるか否かを判定する。通信制御部２００は、パケットを通過させる場合、パケットを通信ポート２５からＬＡＮ９４に送信し、パケットを通過させない場合、パケットを廃棄する。
【００２８】
このように、通信制御部２００は、端末９０からサーバ９５〜９７への通信を許可するか否かを判定し、判定結果に応じてパケットを制御する。通信制御部２００は、パケットの制御に関する情報を時刻情報とともにログ記録部２０１に出力する。
【００２９】
ログ記録部２０１は、記録部の一例であり、ルールに従った通信の履歴を通信制御ログとして生成し通信制御ログＤＢ２３１に記録する。
【００３０】
図３は、通信制御ログＤＢ２３１及びルール情報ＤＢ２３０の一例である。通信制御ログＤＢ２３１には、時刻ごとに通信制御ログが記録されている。通信制御ログには、「時刻」、「ルール名」、「送信元アドレス」、「宛先アドレス」、「ポート番号」、「プロトコル」、及び「制御内容」が含まれる。
【００３１】
「時刻」は、パケットの制御が行われた年月日及び時刻を示す。「ルール名」は、各ルールを識別するための名称である。「送信元アドレス」は、パケットの送信元ＩＰアドレスであり、「宛先アドレス」は、パケットの宛先ＩＰアドレスである。「ポート番号」はＴＣＰヘッダ内の宛先ポート番号である。
【００３２】
「プロトコル」は、パケットのＩＰヘッダ内のプロトコルである。なお、本例では、プロトコルとして、ＨＴＴＰ（Hyper Text Transfer Protocol）、ＨＴＴＰＳ（Hyper Text Transfer Protocol Secure）、及びＤＮＳを挙げるが、これに限定されない。
【００３３】
「制御内容」は、パケットの制御内容を示す。パケットが通過を許可された場合、「制御内容」は「許可」を示し、パケットが通過を許可されなかった場合、「制御内容」は「拒否」を示す。
【００３４】
また、ルール情報ＤＢ２３０には、ルール情報として、「ルール名」、「送信元アドレス」、「宛先アドレス」、及び「ポート番号」が設定されている。「ルール名」、「送信元アドレス」、「宛先アドレス」、及び「ポート番号」は、上記の通りである。通信制御部２００は、例えば、送信元ＩＰアドレスが「10.1.1.1」であり、宛先アドレスが「192.1.1.1」であり、ポート番号が「80」であるパケットを受信した場合、ルール名「rule1」に従ってパケットを通過させる。
【００３５】
また、通信制御部２００は、パケットの送信元ＩＰアドレス、宛先ＩＰアドレス、及びポート番号が、例えば、ルール名「rule1」〜「rule5」のルールのうち、何れかのルールの送信元アドレス、宛先アドレス、及びポート番号にも一致しない場合、パケットを廃棄する。
【００３６】
このように、ファイアウォール装置２に設定されたルールは、複数の条件に基づき通信を規制する。複数の条件としては、上記のように、例えば通信の宛先アドレス、送信元アドレス、及びポート番号に関する各条件が含まれる。
【００３７】
再び図２を参照すると、通信制御部２００は、セキュリティ管理サーバ１からルール情報及び通信制御ログの要求を受けると、情報出力部２０２にルール情報及び通信制御ログの要求の出力を指示する。情報出力部２０２は、指示に従って、ＨＤＤ２３内のルール情報ＤＢ２３０及び通信制御ログＤＢ２３１からルール情報及び通信制御ログをそれぞれ読出し、通信ポート２４に出力する。これにより、ルール情報及び通信制御ログがセキュリティ管理サーバ１に送信される。
【００３８】
図４は、セキュリティ管理サーバ１の一例を示す構成図である。セキュリティ管理サーバ１は、ＣＰＵ１０、ＲＯＭ１１、ＲＡＭ１２、ＨＤＤ１３、通信ポート１４、入力装置１５、及び出力装置１６を有する。ＣＰＵ１０は、互いに信号の入出力ができるように、ＲＯＭ１１、ＲＡＭ１２、ＨＤＤ１３、通信ポート１４、入力装置１５、及び出力装置１６と、バス１９を介して接続されている。なお、ＣＰＵ１０はコンピュータの一例である。
【００３９】
ＲＯＭ１１は、ＣＰＵ１０を駆動するプログラムが格納されている。プログラムには、実施例のセキュリティ管理方法を実行するためのセキュリティ管理プログラムが含まれる。ＲＡＭ１２は、ＣＰＵ１０のワーキングメモリとして機能する。通信ポート１４は、例えばＬＡＮカードなどのハードウェアにより構成され、ファイアウォール装置２及び操作端末３との通信を処理する。
【００４０】
入力装置１５は、セキュリティ管理サーバ１に情報を入力する装置である。入力装置１５としては、例えばキーボード、マウス、及びタッチパネルなどが挙げられる。入力装置１５は、入力された情報を、バス１９を介しＣＰＵ１０に出力する。
【００４１】
出力装置１６は、セキュリティ管理サーバ１の情報を出力する装置である。出力装置１６としては、例えばディスプレイ及びタッチパネルなどが挙げられる。出力装置１６は、ＣＰＵ１０からバス１９を介して情報を取得して出力する。
【００４２】
ＣＰＵ１０は、ＲＯＭ１１からプログラムを読み込むと、機能として、ログ取得部１００、ルール取得部１０１、ルール抽出部１０２、ルール分類部１０３、及び推奨処分通知部１０４が形成される。また、ＨＤＤ１３には、ログテーブル（ＴＢＬ）１３０、ルール情報ＴＢＬ１３１、使用ルールＴＢＬ１３２、未使用ルールＴＢＬ１３３、及びクラスＴＢＬ１３４が格納されている。
【００４３】
ログ取得部１００は、操作端末３から通信ポート１４を介してレコメンド要求を受けたことに応じ、通信ポート１４を介してファイアウォール装置２に通信制御ログを要求して取得する。ログ取得部１００は、点線で示されるように、通信制御ログをログＴＢＬ１３０に書き込む。ログ取得部１００は、通信制御ログの書き込み完了をルール取得部１０１に通知する。
【００４４】
ルール取得部１０１は、通信制御ログの書き込み完了の通知に応じ、通信ポート１４を介してファイアウォール装置２に通信制御ログを要求して取得する。ルール取得部１０１は、点線で示されるように、ルール情報をルール情報ＴＢＬ１３１に書き込む。ルール取得部１０１は、ルール情報の書き込み完了をルール抽出部１０２に通知する。
【００４５】
ルール抽出部１０２は、抽出部の一例であり、ルール情報の書き込み完了通知に応じて、ルール情報ＴＢＬ１３１内の各ルールと、ログＴＢＬ１３０内の通信制御ログとを照合することにより、ルール情報ＴＢＬ１３１内の各ルールから使用中のルール（以下、「使用ルール」と表記）と未使用のルール（以下、「未使用ルール」と表記）とを抽出する。例えば、ルール抽出部１０２は、点線で示されるように、ログＴＢＬ１３０とルール情報ＴＢＬ１３１を参照し、ログＴＢＬ１３０とルール情報ＴＢＬ１３１のルール名同士の照合結果に基づいてルール情報ＴＢＬ１３１内の各ルールを使用ルールと未使用ルールに分ける。なお、未使用ルールには、登録後に一度も使用されていないルールと、過去に使用されていたが現在では使用されていないルールとが含まれる。
【００４６】
ルール抽出部１０２は、点線で示されるように、使用ルールを使用ルールＴＢＬ１３２に書き込み、未使用ルールを未使用ルールＴＢＬ１３３に書き込む。ルール抽出部１０２は、使用ルール及び未使用ルールの抽出の完了をルール分類部１０３に通知する。
【００４７】
ルール分類部１０３は、判定部の一例であり、使用ルール及び未使用ルールの抽出完了の通知に応じて、各ルールの条件のうち、使用中のルールと未使用のルールの間の共通の条件を判定する。ルール分類部１０３は、点線で示されるように、使用ルールＴＢＬ１３２から使用ルールを読み出し、未使用ルールＴＢＬ１３３から未使用ルールを読み出す。
【００４８】
ルール分類部１０３は、未使用ルールごとに条件を各使用ルールの条件と照合し、条件同士の一致または不一致を判定する。ルール分類部１０３は、未使用ルールと使用ルールとの間で一致する条件、つまり共通の条件に応じて未使用ルールを「Ｘ」、「Ｓ」、「Ａ」〜「Ｄ」のクラスに分類する。ルール分類部１０３は、点線で示されるように、未使用ルールのクラスをクラスＴＢＬ１３４に登録する。ルール分類部１０３は、未使用ルールの分類の完了を推奨処分通知部１０４に通知する。
【００４９】
推奨処分通知部１０４は、通知部の一例であり、未使用ルールの分類の完了通知に応じて、各使用ルールと未使用ルールの間の共通の条件に応じた未使用のルールの処分を操作端末３に通知する。推奨処分通知部１０４は、点線で示されるように、クラスＴＢＬ１３４から未使用ルールごとにクラスを読み出し、クラスに応じた未使用ルールの処分を、通信ポート１４を介して操作端末３に通知する。
【００５０】
これにより、セキュリティ管理サーバ１は、未使用ルールごとにそのクラスに応じた処分を、リコメンドとして、ファイアウォール装置２の管理者などに通知することができる。したがって、未使用ルールの要否を人手で判断する手間が省かれるため、通信のセキュリティリスクが低減される。
【００５１】
また、推奨処分通知部１０４は、未使用ルールの複数のランクに分類して操作端末３に通知する。このため、セキュリティ管理サーバ１は、未使用ルールのクラスを、リコメンドとして、ファイアウォール装置２の管理者などに通知することができる。なお、推奨処分通知部１０４は、操作端末３だけでなく、出力装置１６に通知を出力してもよく、この場合、例えばディスプレイにレコメンドの内容が表示される。
【００５２】
図５は、ログＴＢＬ１３０、ルール情報ＴＢＬ１３１、使用ルールＴＢＬ１３２、未使用ルールＴＢＬ１３３、及びクラスＴＢＬ１３４の一例である。ログＴＢＬ１３０には、通信制御ログＤＢ２３１と同様に、「時刻」、「ルール名」、「送信元アドレス」、「宛先アドレス」、及び「ポート番号」が含まれる。
【００５３】
ルール情報ＴＢＬ１３１には、ルール情報ＤＢ２３０と同様に、「ルール名」、「送信元アドレス」、「宛先アドレス」、及び「ポート番号」が含まれる。使用ルールＴＢＬ１３２には、各使用ルールの「ルール名」、「送信元アドレス」、「宛先アドレス」、及び「ポート番号」が含まれる。未使用ルールＴＢＬ１３３には、各未使用ルールの「ルール名」、「送信元アドレス」、「宛先アドレス」、及び「ポート番号」が含まれる。
【００５４】
クラスＴＢＬ１３４には、「ルール名」、「送信元アドレス」、「宛先アドレス」、「ポート番号」、及び「クラス」が含まれる。「クラス」は、ルール分類部１０３の分類により決定される。
【００５５】
図６は、セキュリティ管理サーバ１の動作の一例を示すフローチャートである。セキュリティ管理サーバ１は、ログ取得部１００によりログ取得処理を行い（ステップＳｔ１）、ルール取得部１０１によりルール情報取得処理を行う（ステップＳｔ２）。なお、セキュリティ管理サーバ１は、通信制御ログより先にルール情報を取得してもよい。
【００５６】
次に、セキュリティ管理サーバ１は、ルール抽出部１０２により使用ルール及び未使用ルールの抽出処理を行う（ステップＳｔ３）。次に、ルール分類部１０３によりルール分類処理を行う（ステップＳｔ４）。次に、セキュリティ管理サーバ１は、推奨処分通知部１０４により通知処理を行う（ステップＳｔ５）。このようにして、セキュリティ管理サーバ１は動作する。以下に各処理について述べる。
【００５７】
図７は、ログ取得処理（ステップＳｔ１）の一例を示すフローチャートである。ログ取得部１００は、操作端末３からレコメンド要求を受け付け（ステップＳｔ１０）、ファイアウォール装置２から通信制御ログを取得する（ステップＳｔ１１）。
【００５８】
次に、ログ取得部１００は、通信制御ログのうち、拒否ログを破棄する（ステップＳｔ１２）。拒否ログとは、例えば図３に示された通信制御ログＤＢ２３１の場合、「制御内容」が「拒否」を示すログを指す。ファイアウォール装置２に設定されたルールは、ファイアウォール装置２を通過することができるパケットの条件を規定しており、拒否ログは、何れのルールの条件にも一致しなかったパケットの内容を示すため、使用ルール及び未使用ルールの抽出には有効ではない。このため、ログ取得部１００は、拒否ログを破棄する。
【００５９】
次に、ログ取得部１００は、拒否ログ以外の通信制御ログをログＴＢＬ１３０に書き込む（ステップＳｔ１３）。このようにして、ログ取得処理は行われる。
【００６０】
図８は、ルール情報取得処理（ステップＳｔ２）の一例を示すフローチャートである。ルール取得部１０１は、ファイアウォール装置２からルール情報を取得する（ステップＳｔ２０）。ルール取得部１０１は、ルール情報をルール情報ＴＢＬ１３１に書き込む（ステップＳｔ２１）。このようにして、ルール情報取得処理は行われる。
【００６１】
図９は、使用ルール及び未使用ルールの抽出処理（ステップＳｔ３）の一例を示すフローチャートである。ルール抽出部１０２は、ルール情報ＴＢＬ１３１からルール情報の１つを選択する（ステップＳｔ３０）。
【００６２】
次に、ルール抽出部１０２は、選択中のルール情報と、ログＴＢＬ１３０内の通信制御ログとを照合することにより、ログＴＢＬ１３０内の通信制御ログに、ルール情報の「ルール名」が有るか否かを判定する（ステップＳｔ３１）。ルール抽出部１０２は、「ルール名」が有る場合（ステップＳｔ３１のＹｅｓ）、ルール情報を使用ルールＴＢＬ１３２に登録する（ステップＳｔ３２）。
【００６３】
また、ルール抽出部１０２は、「ルール名」が無い場合（ステップＳｔ３１のＮｏ）、ルール情報を未使用ルールＴＢＬ１３３に登録する（ステップＳｔ３４）。これにより、ルール情報ＴＢＬ１３１のルール情報が、使用ルール及び未使用ルールの何れであるかが判別される。
【００６４】
次に、ルール抽出部１０２は、ルール情報ＴＢＬ１３１内に未選択のルール情報が有るか否かを判定する（ステップＳｔ３３）。ルール抽出部１０２は、未選択のルール情報が無い場合（ステップＳｔ３３のＮｏ）、処理を終了する。
【００６５】
また、ルール抽出部１０２は、未選択のルール情報が有る場合（ステップＳｔ３３のＹｅｓ）、ステップＳｔ３０の処理を再び行う。ステップＳｔ３０の処理では、未選択の他のルール情報が選択される。なお、ルール情報の選択の順序に限定はない。このようにして、使用ルール及び未使用ルールの抽出処理は行われる。以下に抽出処理の例を挙げる。
【００６６】
図１０は、使用ルール及び未使用ルールの抽出の一例を示す図である。まず、ログ取得部１００は、通信制御ログＤＢ２３１内の通信制御ログのうち、拒否ログを破棄し、その残りをログＴＢＬ１３０に書き込む。また、ルール取得部１０１は、ルール情報ＤＢ２３０内のルール情報をルール情報ＴＢＬ１３１に書き込む。なお、ルール情報ＤＢ２３０の内容は、図３に示される通りである。
【００６７】
次に、ルール抽出部１０２は、ログＴＢＬ１３０内の各通信制御ログをルール情報ＴＢＬ１３１内の各ルール情報と照合する。本例では、ルール名「rule1」及び「rule2」がログＴＢＬ１３０とルール情報ＴＢＬ１３１の間で一致する。このため、ルール抽出部１０２は、ルール情報ＴＢＬ１３１内のルール情報のうち、ルール名「rule1」及び「rule2」のルール情報を使用ルールとして抽出し、使用ルールＴＢＬ１３２に書き込む。
【００６８】
また、ルール抽出部１０２は、ルール情報ＴＢＬ１３１内の他のルール情報、つまりルール名「rule3」〜「rule5」のルール情報を未使用ルールとして抽出し、未使用ルールＴＢＬ１３３に書き込む。
【００６９】
このように、ルール抽出部１０２は、ファイアウォール装置２に設定されたルールと、ファイアウォール装置２の通信の履歴とを照合することにより、使用ルールと未使用ルールとを抽出する。
【００７０】
図１１は、ルール分類処理（ステップＳｔ４）の一例を示すフローチャートである。ルール分類部１０３は、未使用ルールＴＢＬ１３３からルール情報を１つ選択する（ステップＳｔ４０）。次に、ルール分類部１０３は、使用ルールＴＢＬ１３２を参照する（ステップＳｔ４１）。
【００７１】
以降のステップＳｔ４２〜Ｓｔ４６の処理において、ルール分類部１０３は、選択中のルール情報に該当する未使用ルールの条件を、使用ルールＴＢＬ１３２内の各使用ルールの条件と比較する。ルールは、送信元アドレス、宛先アドレス、及びポート番号の各条件に基づくため、ルール分類部１０３は、送信元アドレス、宛先アドレス、及びポート番号の各条件の比較の結果、一致または不一致の条件に応じてクラス「Ｘ」、「Ｓ」、「Ａ」〜「Ｄ」に分類することができる。
【００７２】
ルール分類部１０３は、使用ルールのうち、送信元アドレス、宛先アドレス、及びポート番号の各条件が未使用ルールの送信元アドレス、宛先アドレス、及びポート番号の各条件にそれぞれ一致するルールの有無を判定する（ステップＳｔ４２）。つまり、ルール分類部１０３は、宛先アドレス、送信元アドレス、及びポート番号に関する各条件が未使用ルールと共通する使用ルールの有無を判定する。
【００７３】
ルール分類部１０３は、各条件が一致する使用ルールがある場合（ステップＳｔ４２のＹｅｓ）、未使用ルールをクラス「Ｘ」に分類してクラスＴＢＬ１３４に登録する（ステップＳｔ４７）。ルール分類部１０３は、各条件が一致する使用ルールがない場合（ステップＳｔ４２のＮｏ）、使用ルールのうち、送信元アドレス及び宛先アドレスの各条件が未使用ルールの送信元アドレス及び宛先アドレスの各条件にそれぞれ一致するルールの有無を判定する（ステップＳｔ４３）。つまり、ルール分類部１０３は、宛先アドレス及び送信元アドレスに関する各条件が未使用ルールと共通する使用ルールの有無を判定する。
【００７４】
ルール分類部１０３は、各条件が一致する使用ルールがある場合（ステップＳｔ４３のＹｅｓ）、未使用ルールをクラス「Ｓ」に分類してクラスＴＢＬ１３４に登録する（ステップＳｔ４８）。ルール分類部１０３は、各条件が一致する使用ルールがない場合（ステップＳｔ４３のＮｏ）、使用ルールのうち、送信元アドレスの条件が未使用ルールの送信元アドレスの条件と一致するルール、及び宛先アドレスの条件が未使用ルールの宛先アドレスの条件に一致する他のルールの有無を判定する（ステップＳｔ４４）。つまり、ルール分類部１０３は、送信元アドレスに関する条件が未使用ルールと共通する使用ルール、及び宛先アドレスに関する条件が未使用ルールと共通する他の使用ルールの有無を判定する。
【００７５】
ルール分類部１０３は、該当する２つの使用ルールがある場合（ステップＳｔ４４のＹｅｓ）、未使用ルールをクラス「Ａ」に分類してクラスＴＢＬ１３４に登録する（ステップＳｔ４９）。ルール分類部１０３は、該当する２つの使用ルールがない場合（ステップＳｔ４４のＮｏ）、使用ルールのうち、宛先アドレスの条件が未使用ルールの宛先アドレスの条件に一致するルールの有無を判定する（ステップＳｔ４５）。つまり、ルール分類部１０３は、宛先アドレスに関する条件が未使用ルールと共通する使用ルールの有無を判定する。
【００７６】
ルール分類部１０３は、条件が一致する使用ルールがある場合（ステップＳｔ４５のＹｅｓ）、未使用ルールをクラス「Ｂ」に分類してクラスＴＢＬ１３４に登録する（ステップＳｔ５０）。ルール分類部１０３は、条件が一致する使用ルールがない場合（ステップＳｔ４５のＮｏ）、使用ルールのうち、送信元アドレスの条件が未使用ルールの送信元アドレスの条件に一致するルールの有無を判定する（ステップＳｔ４６）。つまり、ルール分類部１０３は、送信元アドレスに関する条件が未使用ルールと共通する使用ルールの有無を判定する。
【００７７】
ルール分類部１０３は、条件が一致する使用ルールがある場合（ステップＳｔ４６のＹｅｓ）、未使用ルールをクラス「Ｃ」に分類してクラスＴＢＬ１３４に登録する（ステップＳｔ５１）。ルール分類部１０３は、条件が一致する使用ルールがない場合（ステップＳｔ４６のＮｏ）、未使用ルールをクラス「Ｄ」に分類してクラスＴＢＬ１３４に登録する（ステップＳｔ５３）。
【００７８】
次に、ルール分類部１０３は、未使用ルールＴＢＬ１３３内のルール情報のうち、未選択のルール情報の有無を判定する（ステップＳｔ５２）。ルール分類部１０３は、未選択のルール情報が有る場合（ステップＳｔ５２のＹｅｓ）、再びステップＳｔ４０以降の各処理を行う。また、ルール分類部１０３は、未選択のルール情報がない場合（ステップＳｔ５２のＮｏ）、処理を終了する。このようにして、ルール分類処理は行われる。
【００７９】
図１２は、未使用ルールの分類の一例を示す図である。ルール分類部１０３は、未使用ルールＴＢＬ１３３内のルール情報と使用ルールＴＢＬ１３２内のルール情報を比較する。
【００８０】
未使用ルールＴＢＬ１３３内のルール名「rule3」の未使用ルールは、点線枠で示されるように、使用ルールＴＢＬ１３２内のルール名「rule1」の使用ルールとの間で送信元アドレス「10.1.1.1」及び宛先アドレス「192.1.1.1」が共通する。しかし、ルール名「rule3」の未使用ルールとルール名「rule1」の使用ルールは、ポート番号が共通しない。
【００８１】
このため、ルール分類部１０３は、ステップＳｔ４２の判定処理において「Ｎｏ」と判定し、ステップＳｔ４３の判定処理において「Ｙｅｓ」と判定する。そして、ルール分類部１０３は、ステップＳｔ４８の処理において、ルール名「rule3」の未使用ルールをクラス「Ｓ」に分類してクラスＴＢＬ１３４に登録する。
【００８２】
また、未使用ルールＴＢＬ１３３内のルール名「rule4」の未使用ルールは、使用ルールＴＢＬ１３２内の何れの使用ルールとも、送信元アドレス、宛先アドレス、及びポート番号が共通しない。このため、ルール分類部１０３は、ステップＳｔ４２〜４６の各判定処理において「Ｎｏ」と判定し、ステップＳｔ５３の処理において、ルール名「rule4」の未使用ルールをクラス「Ｄ」に分類してクラスＴＢＬ１３４に登録する。
【００８３】
未使用ルールＴＢＬ１３３内のルール名「rule5」の未使用ルールは、点線枠で示されるように、使用ルールＴＢＬ１３２内のルール名「rule1」の使用ルールとの間で宛先アドレス「192.1.1.1」だけが共通する。しかし、使用ルールＴＢＬ１３２内には、ルール名「rule5」の未使用ルールと送信元アドレス「10.1.2.2」が共通する他の使用ルールがない。
【００８４】
このため、ルール分類部１０３は、ステップＳｔ４２〜Ｓｔ４４の各判定処理において「Ｎｏ」と判定し、ステップＳｔ４５の判定処理において「Ｙｅｓ」と判定する。そして、ルール分類部１０３は、ステップＳｔ５０の処理において、ルール名「rule5」の未使用ルールをクラス「Ｂ」に分類してクラスＴＢＬ１３４に登録する。
【００８５】
このように、ルール分類部１０３は、ルールを規定する複数の条件のうち、使用ルールと未使用ルールの間の共通の条件を判定する。このため、セキュリティ管理サーバ１は、使用ルールを基準として、各未使用ルールの要否を詳細に判断することができる。
【００８６】
また、ルール分類部１０３は、使用ルールと未使用ルールの間の共通の条件に応じて未使用ルールをクラス「Ｘ」、「Ｓ」、「Ａ」〜「Ｄ」に分類する。このため、セキュリティ管理サーバ１は、使用ルールを基準として、各未使用ルールをランク分けすることができる。
【００８７】
図１３は、通知処理（ステップＳｔ５）の一例を示すフローチャートである。推奨処分通知部１０４は、クラスＴＢＬ１３４を参照する（ステップＳｔ６０）。次に、推奨処分通知部１０４は、未使用ルールごとにクラスに応じた通知を生成する（ステップＳｔ６１）。
【００８８】
次に、推奨処分通知部１０４は、通知を、レコメンド要求に対する応答として通信ポート１４から操作端末３に送信する（ステップＳｔ６２）。このようにして、通知処理は行われる。
【００８９】
推奨処分通知部１０４は、レコメンドとして、クラスに応じた未使用ルールの処分を通知する。つまり、推奨処分通知部１０４は、使用ルールと未使用ルールの間の共通の条件に応じた未使用ルールの処分を操作端末３に通知する。
【００９０】
このため、例えばファイアウォール装置２の管理者は、セキュリティ管理サーバ１からの通知に応じて、ルールごとの要否を容易に判断することができる。このため、通信のセキュリティリスクが低減される。
【００９１】
以下に、使用ルールと未使用ルールの間の共通の条件と、通知により推奨される処分（推奨処分）との関係を述べる。
【００９２】
図１４は、クラスごとの使用ルールと未使用ルールの間の共通条件と推奨処分の関係の一例を示す図である。図１４において、丸印「〇」は、未使用ルールが使用ルールとの間で一致する条件を表し、バツ印「×」は、未使用ルールが使用ルールとの間で不一致の条件を表す。また、ハイフン「−」は、未使用ルールが使用ルールとの間で一致または不一致の条件を表す。
【００９３】
さらに、三角印「△」は、未使用ルールが別々の使用ルールとの間で一致する条件を示す。つまり、クラス「Ａ」の未使用ルールは、送信元アドレスが一致する使用ルールと、宛先アドレスが一致する使用ルールが別々である。
【００９４】
クラス「Ｘ」の未使用ルールは、使用ルールの少なくとも１つと送信元アドレス、宛先アドレス、及びポート番号に関する各条件が共通する。つまり、クラス「Ｘ」の未使用ルールは、使用ルールと重複してファイアウォール装置２に設定されたルールである。
【００９５】
ファイアウォール装置２は、送信元アドレス、宛先アドレス、及びポート番号の各条件が同一であって、ルール名だけが異なる複数のルールが設定された場合、例えば、ルール情報ＤＢ２３０内の登録が早いほうのルールに従って該当パケットを通過させる。このため、ルール情報ＤＢ２３０内の登録が遅いほうのルールは必然的に使用されなくなる。
【００９６】
したがって、推奨処分通知部１０４は、クラス「Ｘ」の未使用ルールの推奨処分として削除を通知する。すなわち、推奨処分通知部１０４は、使用ルールの１つと未使用ルールの間で宛先アドレス、送信元アドレス、及びポート番号に関する各条件が共通する場合、処分として、未使用ルールの削除を通知する。
【００９７】
このため、例えば、ファイアウォール装置２の管理者は、通知に基づいて、宛先アドレス、送信元アドレス、及びポート番号に関する各条件が重複して設定された不要なルールの削除を検討することができる。
【００９８】
クラス「Ｓ」の未使用ルールは、上記のクラス「Ｘ」の条件を満たさず、使用ルールの少なくとも１つと送信元アドレス及び宛先アドレスに関する各条件が共通し、ポート番号に関する条件が共通しない。つまり、クラス「Ｓ」の未使用ルールは、使用ルールと異なるポート番号が設定されたルールである。
【００９９】
クラス「Ｓ」の未使用ルールについて、例えば、その設定時に使用していた端末９０とサーバ９５〜９７は存在するが、端末９０とサーバ９５〜９７の間の通信を利用するアプリケーションが変更になったことにより、その該当ポートが使われなくなったことが想定される。しかし、将来的なサービスの拡張によっては、そのポートが使われる可能性がある。
【０１００】
したがって、推奨処分通知部１０４は、クラス「Ｓ」の未使用ルールの推奨処分として維持を通知する。つまり、推奨処分通知部１０４は、使用ルールのうち、未使用ルールとの間で宛先アドレス、送信元アドレス、及びポート番号に関する各条件が共通するルールがない場合、使用ルールの１つと未使用ルールの間で、宛先アドレス及び送信元アドレスに関する各条件が共通するとき、処分として、未使用のルールの維持を通知する。
【０１０１】
このため、例えば、ファイアウォール装置２の管理者は、通知に基づいて、現在は使用されていないが、将来的に使用される可能性がある未使用ルールの維持を検討することができる。
【０１０２】
クラス「Ａ」の未使用ルールは、上記のクラス「Ｘ」及び「Ｓ」の条件を満たさず、使用ルールの少なくとも１つと送信元アドレスに関する条件が共通し、使用ルールの他の少なくとも１つと宛先アドレスに関する条件が共通する。つまり、クラス「Ａ」の未使用ルールは、送信元アドレス及び宛先アドレスに関する各条件が別々の使用ルールと同様に設定されたルールである。なお、クラス「Ａ」の未使用ルールのポート番号に関する条件は、使用ルールと共通してもしなくてもよい。
【０１０３】
図１５は、クラス「Ａ」の未使用ルールについて想定されるネットワークの状態の一例を示す図である。図１５において、図１と共通する構成には同一の符号を付し、その説明は省略する。
【０１０４】
符号Ｒａは、クラス「Ａ」の未使用ルールによる拠点Ａの端末９０からサーバ９５への通信経路を示す。符号Ｒｂは、使用ルールによる拠点Ａの端末９０からサーバ９６への通信経路を示し、符号Ｒｃは、他の使用ルールによる拠点Ｂの端末９０からサーバ９５への通信経路を示す。
【０１０５】
符号Ｒａの未使用ルールは、符号Ｒｂの使用ルールと送信元アドレスに関する条件が共通し、その送信元アドレスは拠点Ａの端末９０のアドレスである。また、符号Ｒａの未使用ルールは、符号Ｒｃの使用ルールと宛先アドレスが共通し、その宛先アドレスはサーバ９５のアドレスである。
【０１０６】
拠点Ａの端末９０からサーバ９５に通信が行われなくなっても、拠点Ａの端末９０は別のサーバ９６と通信し、サーバ９５は拠点Ｂの端末９０と通信している。つまり、拠点Ａの端末９０とサーバ９５は、撤去されておらず、他の装置と通信を継続している。このため、将来的にはサービスまたは運用範囲の拡張によっては、再び拠点Ａの端末９０からサーバ９５に通信が行われる可能性がある。
【０１０７】
したがって、推奨処分通知部１０４は、クラス「Ａ」の未使用ルールの推奨処分として維持を通知する。つまり、推奨処分通知部１０４は、未使用ルールとの間で宛先アドレス及び送信元アドレスに関する各条件が共通する使用ルールがない場合、使用ルールの１つと未使用ルールの間で宛先アドレスに関する条件が共通し、使用ルールの他の１つと未使用ルールの間で送信元アドレスに関する条件が共通するとき、処分として、未使用のルールの維持を通知する
【０１０８】
このため、例えば、ファイアウォール装置２の管理者は、通知に基づいて、現在は使用されていないが、将来的に使用される可能性がある未使用ルールの維持を検討することができる。
【０１０９】
再び図１４を参照すると、クラス「Ｂ」の未使用ルールは、上記のクラス「Ｘ」、「Ｓ」、及び「Ａ」の条件を満たさず、使用ルールの少なくとも１つと宛先アドレスに関する条件が共通する。つまり、クラス「Ｂ」の未使用ルールは、何れの使用ルールとも送信元アドレスに関する条件が異なるルールである。なお、クラス「Ｂ」の未使用ルールのポート番号に関する条件は、使用ルールと共通してもしなくてもよい。
【０１１０】
図１６は、クラス「Ｂ」の未使用ルールについて想定されるネットワークの状態の一例を示す図である。図１６において、図１と共通する構成には同一の符号を付し、その説明は省略する。
【０１１１】
符号Ｒｄは、クラス「Ｂ」の未使用ルールによる拠点Ａの端末９０からサーバ９５への通信経路を示す。クラス「Ｂ」の未使用ルールと送信元アドレスに関する条件が共通する使用ルールはないため、その送信元アドレスに該当する端末９０は例えば撤去された可能性がある。このため、例えば、悪意のあるユーザが自分の端末（不図示）に撤去済みの端末９０と同一のアドレスを設定し、ファイアウォール装置２に残った未使用ルールを利用してサーバ９５に不正にアクセスするおそれがある。
【０１１２】
したがって、推奨処分通知部１０４は、クラス「Ｂ」の未使用ルールの推奨処分として削除を通知する。このため、例えば、ファイアウォール装置２の管理者は、通知に基づいて、セキュリティリスクの高い未使用ルールの削除を検討することができる。
【０１１３】
再び図１４を参照すると、クラス「Ｃ」の未使用ルールは、上記のクラス「Ｘ」、「Ｓ」、「Ａ」、及び「Ｂ」の条件を満たさず、使用ルールの少なくとも１つと送信元アドレスに関する条件が共通する。つまり、クラス「Ｃ」の未使用ルールは、何れの使用ルールとも宛先アドレスが異なるルールである。なお、クラス「Ｃ」の未使用ルールのポート番号に関する条件は、使用ルールと共通してもしなくてもよい。
【０１１４】
図１７は、クラス「Ｃ」の未使用ルールについて想定されるネットワークの状態の一例を示す図である。図１７において、図１と共通する構成には同一の符号を付し、その説明は省略する。
【０１１５】
符号Ｒｅは、クラス「Ｃ」の未使用ルールによる拠点Ａの端末９０からサーバ９５への通信経路を示す。クラス「Ｃ」の未使用ルールと宛先アドレスに関する条件が共通する使用ルールはないため、その宛先アドレスに該当するサーバ９５は例えば撤去された可能性がある。このため、クラス「Ｃ」の未使用ルールは将来的にも使用されない可能性が高い。
【０１１６】
したがって、推奨処分通知部１０４は、クラス「Ｃ」の未使用ルールの推奨処分として削除を通知する。このため、例えば、ファイアウォール装置２の管理者は、通知に基づいて、将来的にも使用されない可能性が高い未使用ルールの削除を検討することができる。
【０１１７】
再び図１４を参照すると、クラス「Ｄ」の未使用ルールは、上記のクラス「Ｘ」、「Ｓ」、及び「Ａ」〜「Ｃ」の条件を満たさず、使用ルールの何れとも送信元アドレス及び宛先アドレスに関する各条件が共通しない。つまり、クラス「Ｄ」の未使用ルールは、何れの使用ルールとも送信元アドレス及び宛先アドレスに関する各条件が異なるルールである。なお、クラス「Ｄ」の未使用ルールのポート番号に関する条件は、使用ルールと共通してもしなくてもよい。
【０１１８】
図１８は、クラス「Ｄ」の未使用ルールについて想定されるネットワークの状態の一例を示す図である。図１８において、図１と共通する構成には同一の符号を付し、その説明は省略する。
【０１１９】
符号Ｒｆは、クラス「Ｄ」の未使用ルールによる拠点Ａの端末９０からサーバ９５への通信経路を示す。クラス「Ｄ」の未使用ルールと送信元アドレス及び宛先アドレスに関する各条件が共通する使用ルールはないため、その宛先アドレスに該当するサーバ９５とその送信元アドレスに該当する端末９０は、例えば撤去された可能性がある。このため、クラス「Ｄ」の未使用ルールは将来的にも使用されない可能性が、クラス「Ｃ」の未使用ルールより高い。
【０１２０】
したがって、推奨処分通知部１０４は、クラス「Ｄ」の未使用ルールの推奨処分として削除を通知する。このため、例えば、ファイアウォール装置２の管理者は、通知に基づいて、将来的にも使用されない可能性が高い未使用ルールの削除を検討することができる。
【０１２１】
このように、推奨処分通知部１０４は、未使用ルールとの間で宛先アドレス及び送信元アドレスに関する各条件が共通する使用ルールがなく、さらに未使用ルールとの間で宛先アドレスに関する条件が共通する使用ルールと、未使用ルールとの間で送信元アドレスに関する条件が共通する他の使用ルールとがない場合、処分として、未使用のルールの削除を通知する。このため、例えば、ファイアウォール装置２の管理者は、クラス「Ｂ」〜「Ｄ」の未使用ルールの削除を検討することができる。
【０１２２】
また、推奨処分通知部１０４は、未使用ルールの処分とともに、未使用のルールの分類であるクラスを通知する。このため、例えば、ファイアウォール装置２の管理者は、クラスに応じた優先度で未使用ルールの処分を検討することができる。なお、推奨処分通知部１０４の通知は、操作端末３のディスプレイなどの画面に表示される。
【０１２３】
図１９は、通知画面の一例を示す図である。通知画面には、推奨処分通知部１０４の通知に基づいて、未使用ルールの一覧とその数（「３件」参照）が表示される。
【０１２４】
クラスごとの通知欄４０には、クラスに応じた情報と推奨処分（「維持」、「削除」参照）と、未使用ルールのルール情報が表示される。さらに、通知欄４０には、クラスごとのルール数（「１件」参照）、チェックボックス４２、及び一括削除ボタン４１が表示される。ユーザは、チェックボックス４２にチェックを入れ、一括削除ボタン４１をクリックすることで、各未使用ルールの設定をファイアウォール装置２から一括で削除することができる。これにより、ルールの削除の利便性が向上する。
【０１２５】
このように、セキュリティ管理サーバ１は、ユーザに各未使用ルールのクラス及び処分を通知することができる。したがって、ユーザは、各未使用ルールの要否を通知に基づいて検討し、未使用ルールを削除するなどして通信のセキュリティリスクを低減することができる。
【０１２６】
なお、上記の処理機能は、コンピュータによって実現することができる。その場合、処理装置が有すべき機能の処理内容を記述したプログラムが提供される。そのプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体（ただし、搬送波は除く）に記録しておくことができる。
【０１２７】
プログラムを流通させる場合には、例えば、そのプログラムが記録されたＤＶＤ（Digital Versatile Disc）、ＣＤ−ＲＯＭ（Compact Disc Read Only Memory）などの可搬型記録媒体の形態で販売される。また、プログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することもできる。
【０１２８】
プログラムを実行するコンピュータは、例えば、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、自己の記憶装置に格納する。そして、コンピュータは、自己の記憶装置からプログラムを読み取り、プログラムに従った処理を実行する。なお、コンピュータは、可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することもできる。また、コンピュータは、サーバコンピュータからプログラムが転送されるごとに、逐次、受け取ったプログラムに従った処理を実行することもできる。
【０１２９】
上述した実施形態は本発明の好適な実施の例である。但し、これに限定されるものではなく、本発明の要旨を逸脱しない範囲内において種々変形して実施可能である。
【０１３０】
なお、以上の説明に関して更に以下の付記を開示する。
（付記１）  複数の条件に基づき通信を規制する複数のルールと、前記複数のルールに従った通信の履歴とを照合することにより、前記複数のルールから１以上の使用中のルールと未使用のルールとを抽出する抽出部と、
前記複数の条件のうち、前記１以上の使用中のルールと前記未使用のルールの間の共通の条件を判定する判定部と、
前記共通の条件に応じた前記未使用のルールの処分を通知する通知部とを有することを特徴とする通信セキュリティ管理装置。
（付記２）  前記判定部は、前記共通の条件に応じて前記未使用のルールを分類し、
前記通知部は、前記未使用のルールの分類及び前記処分を通知することを特徴とする付記１に記載の通信セキュリティ管理装置。
（付記３）  前記複数の条件には、通信の宛先アドレス、送信元アドレス、及びポート番号に関する各条件が含まれることを特徴とする付記１または２に記載の通信セキュリティ管理装置。
（付記４）  前記通知部は、前記１以上の使用中のルールの１つと前記未使用のルールの間で前記宛先アドレス、前記送信元アドレス、及び前記ポート番号に関する各条件が共通する場合、前記処分として、前記未使用のルールの削除を通知することを特徴とする付記３に記載の通信セキュリティ管理装置。
（付記５）  前記通知部は、前記１以上の使用中のルールのうち、前記未使用のルールとの間で前記宛先アドレス、前記送信元アドレス、及び前記ポート番号に関する各条件が共通するルールがない場合、前記１以上の使用中のルールの１つと前記未使用のルールの間で、前記宛先アドレス及び前記送信元アドレスに関する各条件が共通するとき、前記処分として、前記未使用のルールの維持を通知することを特徴とする付記３または４に記載の通信セキュリティ管理装置。
（付記６）  前記通知部は、前記１以上の使用中のルールのうち、前記未使用のルールとの間で前記宛先アドレス及び前記送信元アドレスに関する各条件が共通するルールがない場合、前記１以上の使用中のルールの１つと前記未使用のルールの間で前記宛先アドレスに関する条件が共通し、前記１以上の使用中のルールの他の１つと前記未使用のルールの間で前記送信元アドレスに関する条件が共通するとき、前記処分として、前記未使用のルールの維持を通知することを特徴とする付記３乃至５の何れかに記載の通信セキュリティ管理装置。
（付記７）  前記通知部は、前記１以上の使用中のルールのうち、前記未使用のルールとの間で前記宛先アドレス及び前記送信元アドレスに関する各条件が共通するルールがなく、さらに、前記１以上の使用中のルールのうち、前記未使用のルールとの間で前記宛先アドレスに関する条件が共通するルールと、前記未使用のルールとの間で前記送信元アドレスに関する条件が共通する他のルールとがない場合、前記処分として、前記未使用のルールの削除を通知することを特徴とする請求項３乃至６の何れかに記載の通信セキュリティ管理装置。
（付記８）  通信制御装置と通信セキュリティ管理装置とを含み、
前記通信制御装置は、
複数の条件に基づき通信を規制する複数のルールを記憶する記憶部と、
前記複数のルールに従って通信を制御する制御部と、
前記通信の履歴を記録する記録部とを有し、
前記通信セキュリティ管理装置は、
前記通信制御装置から前記複数のルール及び前記履歴を取得する取得部と、
前記複数のルールと前記履歴とを照合することにより、前記複数のルールから１以上の使用中のルールと未使用のルールとを抽出する抽出部と、
前記複数の条件のうち、前記１以上の使用中のルールと前記未使用のルールの間の共通の条件を判定する判定部と、
前記共通の条件に応じた前記未使用のルールの処分を通知する通知部とを有することを特徴とするネットワークシステム。
（付記９）  前記判定部は、前記共通の条件に応じて前記未使用のルールを分類し、
前記通知部は、前記未使用のルールの分類及び前記処分を通知することを特徴とする付記８に記載のネットワークシステム。
（付記１０）  前記複数の条件には、通信の宛先アドレス、送信元アドレス、及びポート番号に関する各条件が含まれることを特徴とする付記８または９に記載のネットワークシステム。
（付記１１）  複数の条件に基づき通信を規制する複数のルールと、前記複数のルールに従った通信の履歴とを照合することにより、前記複数のルールから１以上の使用中のルールと未使用のルールとを抽出する工程と、
前記複数の条件のうち、前記１以上の使用中のルールと前記未使用のルールの間の共通の条件を判定する工程と、
前記共通の条件に応じた前記未使用のルールの処分を通知する工程とを、コンピュータが実行することを特徴とする通信セキュリティ管理方法。
（付記１２）  前記共通の条件を判定する工程において、前記共通の条件に応じて前記未使用のルールを分類し、
前記処分を通知する工程において、前記未使用のルールの分類及び前記処分を通知することを特徴とする付記１１に記載の通信セキュリティ管理方法。
（付記１３）  前記複数の条件には、通信の宛先アドレス、送信元アドレス、及びポート番号に関する各条件が含まれることを特徴とする付記１１または１２に記載の通信セキュリティ管理方法。
（付記１４）  前記処分を通知する工程において、前記１以上の使用中のルールの１つと前記未使用のルールの間で前記宛先アドレス、前記送信元アドレス、及び前記ポート番号に関する各条件が共通する場合、前記処分として、前記未使用のルールの削除を通知することを特徴とする付記１３に記載の通信セキュリティ管理方法。
（付記１５）  前記処分を通知する工程において、前記１以上の使用中のルールのうち、前記未使用のルールとの間で前記宛先アドレス、前記送信元アドレス、及び前記ポート番号に関する各条件が共通するルールがない場合、前記１以上の使用中のルールの１つと前記未使用のルールの間で、前記宛先アドレス及び前記送信元アドレスに関する各条件が共通するとき、前記処分として、前記未使用のルールの維持を通知することを特徴とする付記１３または１４に記載の通信セキュリティ管理方法。
（付記１６）  前記処分を通知する工程において、前記１以上の使用中のルールのうち、前記未使用のルールとの間で前記宛先アドレス及び前記送信元アドレスに関する各条件が共通するルールがない場合、前記１以上の使用中のルールの１つと前記未使用のルールの間で前記宛先アドレスに関する条件が共通し、前記１以上の使用中のルールの他の１つと前記未使用のルールの間で前記送信元アドレスに関する条件が共通するとき、前記処分として、前記未使用のルールの維持を通知することを特徴とする付記１３乃至１５の何れかに記載の通信セキュリティ管理方法。
（付記１７）  前記処分を通知する工程において、前記１以上の使用中のルールのうち、前記未使用のルールとの間で前記宛先アドレス及び前記送信元アドレスに関する各条件が共通するルールがなく、さらに、前記１以上の使用中のルールのうち、前記未使用のルールとの間で前記宛先アドレスに関する条件が共通するルールと、前記未使用のルールとの間で前記送信元アドレスに関する条件が共通する他のルールとがない場合、前記処分として、前記未使用のルールの削除を通知することを特徴とする請求項１３乃至１６の何れかに記載の通信セキュリティ管理方法。
（付記１８）  複数の条件に基づき通信を規制する複数のルールと、前記複数のルールに従った通信の履歴とを照合することにより、前記複数のルールから１以上の使用中のルールと未使用のルールとを抽出し、
前記複数の条件のうち、前記１以上の使用中のルールと前記未使用のルールの間の共通の条件を判定し、
前記共通の条件に応じた前記未使用のルールの処分を通知する、処理を、コンピュータに実行させることを特徴とする通信セキュリティ管理プログラム。
（付記１９）  前記共通の条件を判定する処理において、前記共通の条件に応じて前記未使用のルールを分類し、
前記処分を通知する処理において、前記未使用のルールの分類及び前記処分を通知することを特徴とする付記１８に記載の通信セキュリティ管理プログラム。
（付記２０）  前記複数の条件には、通信の宛先アドレス、送信元アドレス、及びポート番号に関する各条件が含まれることを特徴とする付記１８または１９に記載の通信セキュリティ管理プログラム。
【符号の説明】
【０１３１】
１       セキュリティ管理サーバ
２       ファイアウォール装置
１０，２０      ＣＰＵ
１３，２３      ＨＤＤ
１０２      ルール抽出部
１０３      ルール分類部
１０４      推奨処分通知部
２００      通信制御部
２０１      ログ記録部
【図１】
2019087809.tif 000003
【図２】
2019087809.tif 000004
【図３】
2019087809.tif 000005
【図４】
2019087809.tif 000006
【図５】
2019087809.tif 000007
【図６】
2019087809.tif 000008
【図７】
2019087809.tif 000009
【図８】
2019087809.tif 000010
【図９】
2019087809.tif 000011
【図１０】
2019087809.tif 000012
【図１１】
2019087809.tif 000013
【図１２】
2019087809.tif 000014
【図１３】
2019087809.tif 000015
【図１４】
2019087809.tif 000016
【図１５】
2019087809.tif 000017
【図１６】
2019087809.tif 000018
【図１７】
2019087809.tif 000019
【図１８】
2019087809.tif 000020
【図１９】
2019087809.tif 000021