(57)【要約】【課題】  セキュリティポリシーの正当性を容易に検証することができるネットワーク管理装置、ネットワーク管理方法、ネットワーク管理プログラム、及びネットワークシステムを提供することを目的とする。【解決手段】  ネットワーク管理装置は、パケットのアドレスの範囲に基づき通信を規制する複数のルールを取得する取得部と、複数のルールのアドレス範囲の全体集合を、ルール間のアドレス範囲の包含関係に基づき互いに素な複数の部分集合に分割する分割部と、各ルールについて、複数の部分集合からアドレス範囲に含まれる部分集合を抽出する抽出部と、各ルールより優先度が高い他のルールとの間で部分集合の包含関係を判定し、部分集合の包含関係の判定結果に基づいて各ルールの処分を決定する決定部と、各ルールの処分及び部分集合の包含関係を示す画像データを出力する出力部とを有する。【選択図】図１０
2019153871.tif 000002
【特許請求の範囲】
【請求項１】
パケットのアドレスの範囲に基づき通信をそれぞれ規制する複数のルールを取得する取得部と、
前記複数のルールの前記アドレスの範囲の全体集合を、前記複数のルールの間の前記アドレスの範囲の包含関係に基づき互いに素な複数の部分集合に分割する分割部と、
前記複数のルールの各々について、前記複数の部分集合から前記アドレスの範囲に含まれる１以上の部分集合を抽出する抽出部と、
前記複数のルールの各々について、該ルールより優先度が高い他のルールとの間で前記１以上の部分集合の包含関係を判定し、前記１以上の部分集合の包含関係の判定結果に基づいて前記複数のルールの各々の処分を決定する決定部と、
前記複数のルールの各々の前記処分及び前記１以上の部分集合の包含関係を示す画像データを出力する出力部とを有することを特徴とするネットワーク管理装置。
【請求項２】
前記複数のルールの各々には、前記パケットによる通信の許可または拒絶を示す動作設定が含まれ、
前記決定部は、前記複数のルールの各々について、前記ルールより優先度が高い前記他のルールとの間で前記１以上の部分集合の包含関係を判定し、さらに前記他のルールとの間で前記動作設定を比較し、前記包含関係の判定結果と前記動作設定の比較結果に基づいて前記複数のルールの各々の処分を決定することを特徴とする請求項１に記載のネットワーク管理装置。
【請求項３】
前記決定部は、前記複数のルールの各々について、前記１以上の部分集合の全てが前記他のルールの前記１以上の部分集合に包含されると判定した場合、前記動作設定が前記他のルールの前記動作設定に一致するとき、前記処分として、前記ルールの削除を決定することを特徴とする請求項２に記載のネットワーク管理装置。
【請求項４】
前記決定部は、前記複数のルールの各々について、前記１以上の部分集合の全てが前記他のルールの前記１以上の部分集合に包含されると判定した場合、前記動作設定が前記他のルールの前記動作設定に一致しないとき、前記処分として、前記ルールの修正を決定することを特徴とする請求項２または３に記載のネットワーク管理装置。
【請求項５】
前記決定部は、前記複数のルールの各々について、前記１以上の部分集合の一部が前記他のルールの前記１以上の部分集合に包含されないと判定した場合、前記動作設定が前記他のルールの前記動作設定に一致しないとき、前記処分として、前記ルールの修正を決定することを特徴とする請求項２乃至４の何れかに記載のネットワーク管理装置。
【請求項６】
パケットのアドレスの範囲に基づき通信をそれぞれ規制する複数のルールを取得する工程と、
前記複数のルールの前記アドレスの範囲の全体集合を、前記複数のルールの間の前記アドレスの範囲の包含関係に基づき互いに素な複数の部分集合に分割する工程と、
前記複数のルールの各々について、前記複数の部分集合から前記アドレスの範囲に含まれる１以上の部分集合を抽出する工程と、
前記複数のルールの各々について、該ルールより優先度が高い他のルールとの間で前記１以上の部分集合の包含関係を判定し、前記１以上の部分集合の包含関係の判定結果に基づいて前記複数のルールの各々の処分を決定する工程と
前記複数のルールの各々の前記処分及び前記１以上の部分集合の包含関係を示す画像データを出力する工程とを、コンピュータが実行することを特徴とするネットワーク管理方法。
【請求項７】
パケットのアドレスの範囲に基づき通信をそれぞれ規制する複数のルールを取得し、
前記複数のルールの前記アドレスの範囲の全体集合を、前記複数のルールの間の前記アドレスの範囲の包含関係に基づき互いに素な複数の部分集合に分割し、
前記複数のルールの各々について、前記複数の部分集合から前記アドレスの範囲に含まれる１以上の部分集合を抽出し、
前記複数のルールの各々について、該ルールより優先度が高い他のルールとの間で前記１以上の部分集合の包含関係を判定し、
前記１以上の部分集合の包含関係の判定結果に基づいて前記複数のルールの各々の処分を決定し、
前記複数のルールの各々の前記処分及び前記１以上の部分集合の包含関係を示す画像データを出力する、処理を、コンピュータに実行させることを特徴とするネットワーク管理プログラム。
【請求項８】
ネットワーク管理装置とネットワーク機器とを含み、
前記ネットワーク機器は、
パケットのアドレスの範囲に基づき通信をそれぞれ規制する複数のルールを記憶する記憶部と、
前記複数のルールに従って前記パケットによる通信を制御する制御部とを有し、
前記ネットワーク管理装置は、
前記ネットワーク機器から前記複数のルールを取得する取得部と、
前記複数のルールの前記アドレスの範囲の全体集合を、前記複数のルールの間の前記アドレスの範囲の包含関係に基づき互いに素な複数の部分集合に分割する分割部と、
前記複数のルールの各々について、前記複数の部分集合から前記アドレスの範囲に含まれる１以上の部分集合を抽出する抽出部と、
前記複数のルールの各々について、該ルールより優先度が高い他のルールとの間で前記１以上の部分集合の包含関係を判定し、前記１以上の部分集合の包含関係の判定結果に基づいて前記複数のルールの各々の処分を決定する決定部と、
前記複数のルールの各々の前記処分及び前記１以上の部分集合の包含関係を示す画像データを出力する出力部とを有することを特徴とするネットワークシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本件は、ネットワーク管理装置、ネットワーク管理方法、ネットワーク管理プログラム、及びネットワークシステムに関する。
【背景技術】
【０００２】
クラウドサービス、５Ｇ（5th Generation）通信、ＩｏＴ（Internet of Things）などの通信技術の普及に伴い、ネットワーク間の接続構成が複雑化し、オフィス、店舗、及び工場などの多くの拠点にファイアウォールなどのセキュリティ対策を施す必要性が増している。ファイアウォールには、例えば特許文献１に記載されているように、セキュリティポリシーとして、パケットの送信元ＩＰ（Internet Protocol）アドレス及び宛先ＩＰアドレスなどの条件に基づき通信を規制する複数のルールが設定される。また、非特許文献１には、セキュリティポリシーを構成する各ルールを視覚的に表現することにより、その正当性を検証する技術が記載されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特表２００２−５０７２９５号公報
【非特許文献】
【０００４】
【非特許文献１】Chi-Shih Chao,”A Visualized Internet Firewall Rule Validation System”,APNOMS 2007
【発明の概要】
【発明が解決しようとする課題】
【０００５】
ファイアウォールが増えると、セキュリティポリシーを設定する負担も増加するため、ルール間に重複及び矛盾などが生じるおそれがある。これに対し、例えば非特許文献１に記載された技術によると、単にルール間の条件同士の包含関係を確認することは可能である。しかし、ルールの修正の要否を決定するためには、さらに各ルールの設定内容を詳細に検討する必要があるため、ネットワークの専門知識が必要とされ、セキュリティポリシーの正当性の検証が容易ではない。
【０００６】
そこで本件は、ネットワーク機器のセキュリティポリシーの正当性を容易に検証することができるネットワーク管理装置、ネットワーク管理方法、ネットワーク管理プログラム、及びネットワークシステムを提供することを目的とする。
【課題を解決するための手段】
【０００７】
１つの態様では、ネットワーク管理装置は、パケットのアドレスの範囲に基づき通信をそれぞれ規制する複数のルールを取得する取得部と、前記複数のルールの前記アドレスの範囲の全体集合を、前記複数のルールの間の前記アドレスの範囲の包含関係に基づき互いに素な複数の部分集合に分割する分割部と、前記複数のルールの各々について、前記複数の部分集合から前記アドレスの範囲に含まれる１以上の部分集合を抽出する抽出部と、前記複数のルールの各々について、該ルールより優先度が高い他のルールとの間で前記１以上の部分集合の包含関係を判定し、前記１以上の部分集合の包含関係の判定結果に基づいて前記複数のルールの各々の処分を決定する決定部と、前記複数のルールの各々の前記処分及び前記１以上の部分集合の包含関係を示す画像データを出力する出力部とを有する。
【０００８】
１つの態様では、ネットワーク管理方法は、パケットのアドレスの範囲に基づき通信をそれぞれ規制する複数のルールを取得する工程と、前記複数のルールの前記アドレスの範囲の全体集合を、前記複数のルールの間の前記アドレスの範囲の包含関係に基づき互いに素な複数の部分集合に分割する工程と、前記複数のルールの各々について、前記複数の部分集合から前記アドレスの範囲に含まれる１以上の部分集合を抽出する工程と、前記複数のルールの各々について、該ルールより優先度が高い他のルールとの間で前記１以上の部分集合の包含関係を判定し、前記１以上の部分集合の包含関係の判定結果に基づいて前記複数のルールの各々の処分を決定する工程と前記複数のルールの各々の前記処分及び前記１以上の部分集合の包含関係を示す画像データを出力する工程とを、コンピュータが実行する方法である。
【０００９】
１つの態様では、ネットワーク管理プログラムは、パケットのアドレスの範囲に基づき通信をそれぞれ規制する複数のルールを取得し、前記複数のルールの前記アドレスの範囲の全体集合を、前記複数のルールの間の前記アドレスの範囲の包含関係に基づき互いに素な複数の部分集合に分割し、前記複数のルールの各々について、前記複数の部分集合から前記アドレスの範囲に含まれる１以上の部分集合を抽出し、前記複数のルールの各々について、該ルールより優先度が高い他のルールとの間で前記１以上の部分集合の包含関係を判定し、前記１以上の部分集合の包含関係の判定結果に基づいて前記複数のルールの各々の処分を決定し、前記複数のルールの各々の前記処分及び前記１以上の部分集合の包含関係を示す画像データを出力する、処理を、コンピュータに実行させるプログラムである。
【００１０】
１つの態様では、ネットワーク管理システムは、ネットワーク管理装置とネットワーク機器とを含み、前記ネットワーク機器は、パケットのアドレスの範囲に基づき通信をそれぞれ規制する複数のルールを記憶する記憶部と、前記複数のルールに従って前記パケットによる通信を制御する制御部とを有し、前記ネットワーク管理装置は、前記ネットワーク機器から前記複数のルールを取得する取得部と、前記複数のルールの前記アドレスの範囲の全体集合を、前記複数のルールの間の前記アドレスの範囲の包含関係に基づき互いに素な複数の部分集合に分割する分割部と、前記複数のルールの各々について、前記複数の部分集合から前記アドレスの範囲に含まれる１以上の部分集合を抽出する抽出部と、前記複数のルールの各々について、該ルールより優先度が高い他のルールとの間で前記１以上の部分集合の包含関係を判定し、前記１以上の部分集合の包含関係の判定結果に基づいて前記複数のルールの各々の処分を決定する決定部と、前記複数のルールの各々の前記処分及び前記１以上の部分集合の包含関係を示す画像データを出力する出力部とを有する。
【発明の効果】
【００１１】
１つの側面として、ネットワーク機器のセキュリティポリシーの正当性を容易に検証することができる。
【図面の簡単な説明】
【００１２】
【図１】セキュリティポリシーの検証手段の比較例を示す図である。
【図２】ＰＥＣ（Packet Equivalence Classes）の生成例を示す図である。
【図３】ネットワークシステムの一例を示す構成図である。
【図４】ネットワーク管理装置の一例を示す構成図である。
【図５】ＡＣＬ（Access Control List）情報データベースの一例を示す図である。
【図６】ＰＥＣデータベースの一例を示す図である。
【図７】ＡＣＬ情報管理テーブルの一例を示す図である。
【図８】ネットワーク管理装置の処理の一例を示すフローチャートである。
【図９】ルール処分決定処理の一例を示すフローチャートである。
【図１０】表示装置の画面の表示例を示す図である。
【発明を実施するための形態】
【００１３】
図１は、セキュリティポリシーの検証手段の比較例を示す図である。ファイアウォール装置（以下、「ファイアウォール」と表記）９０は、拠点９１ごとにインターネット９２と接続されるノードに設けられている。
【００１４】
ファイアウォール９０には、セキュリティポリシーとして、インターネット９２との通信を規制する複数のルールを含むＡＣＬ９００が設定されている。ＡＣＬ９００には、一例として、設定名、送信元ＩＰアドレス、宛先ＩＰアドレス、及びアクションを含む。なお、送信元ＩＰアドレス及び宛先ＩＰアドレスはアドレスの一例であり、アドレスとしては例えばイーサネットフレームのＤＡ（Destination Address）及びＳＡ（Source Address）が用いられてもよい。
【００１５】
設定名は、個々のルールの名称であり、一例として、「ＡＣＬ＃１」〜「ＡＣＬ＃７」が設定されている。送信元ＩＰアドレスは、パケットの送信元を示すアドレスである。なお、送信元ＩＰアドレスが「0.0.0.0/0」に設定された場合、送信元ＩＰアドレスは全てのＩＰアドレスに該当する。また、宛先ＩＰアドレスは、パケットの宛先を示すアドレスである。なお、宛先ＩＰアドレスが「0.0.0.0/0」に設定された場合、宛先ＩＰアドレスは全てのＩＰアドレスに該当する。
【００１６】
アクションは、送信元ＩＰアドレス及び宛先ＩＰアドレスの各条件を満たすパケットの処理を示す。アクションが「許可」（ＰＥＲＭＩＴ）に設定された場合、条件を満たすパケットは、インターネット９２からファイアウォール９０を通過して拠点９１内のローカルネットワークに送信される。また、アクションが「拒否」（ＤＥＮＹ／ＤＲＯＰ）に設定された場合、条件を満たすパケットは、インターネット９２からファイアウォール９０を通過することなく、廃棄される。なお、アクションは、パケットによる通信の許可または拒絶を示す動作設定の一例である。
【００１７】
また、ＡＣＬ９００内の各ルールの優先度は、ＡＣＬ９００の上方（図１の紙面上部）ほど高い。このため、本例の場合、設定名「ＡＣＬ＃１」のルールの優先度は最も高く、設定名「ＡＣＬ＃７」のルールの優先度は最も低い。ファイアウォール９０は、パケットに対して優先度が高い順にルールを適用する。このため、例えば、優先度が高いルールと優先度が低いルールの間で送信元ＩＰアドレス及び宛先ＩＰアドレスとアクションが完全に重複する場合、優先度が低いルールは適用されない。
【００１８】
セキュリティポリシーの検証手段としては、符号Ｇａ〜Ｇｃで示されるように、ＡＣＬ９００を視覚的に表現する技術が挙げられる。
【００１９】
符号Ｇａは、上記の非特許文献１に基づく技術の一例を示す。設定名「ＡＣＬ＃１」〜「ＡＣＬ＃７」の各ルールは、この順で円環上に配置されており、ルール間の関係に応じた種類の線がそのルール同士を結ぶ。例えば、実線は、優先度の高いルールが優先度の低いルールの送信元ＩＰアドレス及び宛先ＩＰアドレスの全ての範囲を包含することを意味する。また、点線は、優先度の高いルールが優先度の低いルールの送信元ＩＰアドレス及び宛先ＩＰアドレスの範囲の一部だけを包含することを意味する。
【００２０】
この技術によると、単にルール間の条件同士の包含関係の確認することは可能である。しかし、ルールの修正の要否を決定するためには、さらにＡＣＬ９００を詳細に検討する必要があるため、ネットワークの専門知識が必要とされ、セキュリティポリシーの正当性の検証が容易ではない。
【００２１】
また、符号Ｇｂは、ベン図を用いてＡＣＬ９００を可視化する技術の一例を示す。この技術によると、設定名「ＡＣＬ＃１」〜「ＡＣＬ＃７」の各ルール間の送信元ＩＰアドレス及び宛先ＩＰアドレスの重複関係を確認することが可能であるが、ルールごとの優先度が表示されないため、ＡＣＬ９００を詳細に検討する手間が生じ、セキュリティポリシーの正当性の検証が容易ではない。
【００２２】
また、符号Ｇｃは、２次元のグラフを用いてＡＣＬ９００を可視化する技術の一例を示す。この技術によると、設定名「ＡＣＬ＃１」〜「ＡＣＬ＃７」の各ルールについて、送信元ＩＰアドレスの範囲が横軸に示され、宛先ＩＰアドレスの範囲が縦軸に示される。送信元ＩＰアドレス及び宛先ＩＰアドレスの各値は１０進法に変換されてグラフにプロットされる。
【００２３】
設定名「ＡＣＬ＃１」〜「ＡＣＬ＃４」の各ルールは、送信元ＩＰアドレスの範囲が宛先ＩＰアドレスの範囲より広いため、横軸方向に延びた領域として表示される。また、設定名「ＡＣＬ＃５」〜「ＡＣＬ＃７」の各ルールは、宛先ＩＰアドレスの範囲が送信元ＩＰアドレスの範囲より広いため、縦軸方向に延びた領域として表示される。
【００２４】
したがって、この技術によると、複数のルールを示す領域が狭い領域内に複雑に表示されてしまうため、各ルール間の送信元ＩＰアドレス及び宛先ＩＰアドレスの重複範囲を確認することが困難である。このため、セキュリティポリシーの正当性の検証が容易ではない。
【００２５】
そこで、実施例のネットワーク管理装置は、ＡＣＬ９００内の各ルールの送信元ＩＰアドレス及び宛先ＩＰアドレスの全体の範囲を、ＰＥＣと呼ばれるアドレスの集合に分割し、ＰＥＣ単位の処理を行うことにより各ルールの処分とルール間のアドレス範囲の包含関係の画像データを出力する。ＰＥＣは、互いに範囲が重複しないアドレスの集合であり、ＡＣＬ９００内の各ルールの送信元ＩＰアドレス及び宛先ＩＰアドレスの範囲を表すための要素として用いられる。
【００２６】
以下にＰＥＣの例を挙げて説明する。なお、以下の説明において、アドレス範囲とは、送信元ＩＰアドレス及び宛先ＩＰアドレスの各範囲から確定されるアドレス空間の範囲を意味する。
【００２７】
図２は、ＰＥＣの生成例を示す図である。ネットワーク管理装置は、その管理対象のネットワーク全体に含まれるファイアウォール＃１，＃２の各ＡＣＬ９０１，９０２からＰＥＣを生成する。
【００２８】
ネットワーク管理装置は、各ＡＣＬ９０１，９０２から最も範囲の広い送信元ＩＰアドレス「0.0.0.0/0」及び宛先ＩＰアドレス「ANY（全アドレスの意味）」（ファイアウォール＃１，＃２）をアドレス範囲の全体集合（アドレス空間全体であるUniverse）として定義する。ネットワーク管理装置は、符号９０３で示されるように、ＡＣＬ９０１，９０２内の各ルール間のアドレス範囲の包含関係を解析し、解析結果からＰＥＣ｛Ａ｝〜｛Ｄ｝を生成する。
【００２９】
ネットワーク管理装置は、矢印で示されるように、各ルールのアドレス範囲の全体集合[[0.0.0.0/0,*]]（*:Don’t care）には、その次に範囲の広い送信元ＩＰアドレス「0.0.0.0/24」及び宛先ＩＰアドレス「ANY」（ファイアウォール＃２）のアドレス範囲[[0.0.0.0/24,*]]が含まれることを検出する。また、ネットワーク管理装置は、矢印で示されるように、そのアドレス範囲[[0.0.0.0/24,*]]には、送信元ＩＰアドレス「0.0.0.96/28」及び宛先ＩＰアドレス「0.0.0.32/30」（ファイアウォール＃１）のアドレス範囲[[0.0.0.96/28, 0.0.0.32/30]]が包含されることを検出する。
【００３０】
さらに、ネットワーク管理装置は、矢印で示されるように、上記のアドレス範囲[[0.0.0.0/24,*]]には、送信元ＩＰアドレス「0.0.0.64/28」及び宛先ＩＰアドレス「0.0.0.64/30」（ファイアウォール＃２）のアドレス範囲[[0.0.0.64/28, 0.0.0.64/30]]が包含されることを検出する。ここで、アドレス範囲[[0.0.0.96/28, 0.0.0.32/30]]とアドレス範囲[[0.0.0.64/28, 0.0.0.64/30]]は、重複範囲がないため、互いに素な集合である。ネットワーク管理装置は、上記のアドレス範囲の包含関係に基づいて互いに素な集合としてＰＥＣ｛Ａ｝〜｛Ｄ｝を生成する。
【００３１】
符号９０４は、ＡＣＬ９０１，９０２内の各ルールのアドレス範囲の包含関係を示すベン図である。ＰＥＣ｛Ａ｝〜｛Ｄ｝は互いに異なる種類のハッチングにより区別される。各ルールのアドレス範囲の集合を確定する線は、ＰＥＣ｛Ａ｝〜｛Ｄ｝の境界線である。
【００３２】
各ルールのアドレス範囲を含む全体集合[[0.0.0.0/0,*]]には、ＰＥＣ｛Ａ｝〜｛Ｄ｝が含まれている。また、アドレス範囲[[0.0.0.0/24,*]]にはＰＥＣ｛Ｂ｝〜｛Ｄ｝が含まれている。また、互いに素な集合であるアドレス範囲[[0.0.0.96/28, 0.0.0.32/30]]とアドレス範囲[[0.0.0.96/28, 0.0.0.32/30]]は、それぞれ、ＰＥＣ｛Ｃ｝及び｛Ｄ｝に一致する。
【００３３】
ＰＥＣ｛Ａ｝＝[[0.0.0.0/0,*]]- [[0.0.0.0/24,*]]  ・・・（１）
ＰＥＣ｛Ｂ｝＝[[0.0.0.0/24,*]]- [[0.0.0.64/28, 0.0.0.64/30]]
- [[0.0.0.96/28, 0.0.0.32/30]]   ・・・（２）
ＰＥＣ｛Ｃ｝＝[[0.0.0.64/28, 0.0.0.64/30]]   ・・・（３）
ＰＥＣ｛Ｄ｝＝[[0.0.0.96/28, 0.0.0.32/30]]   ・・・（４）
【００３４】
したがって、ネットワーク管理装置は、上記の式（１）〜（４）に従ってＰＥＣ｛Ａ｝〜｛Ｄ｝を生成する。式（１）及び（２）において、「-」は、あるアドレス範囲から他のアドレス範囲を差し引くことを意味する。このため、ＰＥＣは、あるＩＰアドレスのプレフィックス（「/30」，「/24」など）の範囲から他のＩＰアドレスのプレフィックスの範囲を差し引いたものとして表現することができる。
【００３５】
このように、ネットワーク管理装置は、各ルールのアドレス範囲の全体集合を、各ルールの間のアドレス範囲の包含関係に基づき複数のＰＥＣに分割する。なお、複数のＰＥＣは互いに素な複数の部分集合の一例である。
【００３６】
このため、ネットワーク管理装置は、各ルールのアドレス範囲を１以上のＰＥＣの集合として扱うことができるので、各ルール間のアドレス範囲の包含関係を容易に判定することができる。また、ネットワーク管理装置は、アドレス範囲の包含関係の情報を画面に出力することにより、ユーザは容易にセキュリティポリシーの正当性を容易に検証することができる。
【００３７】
図３は、ネットワークシステムの一例を示す構成図である。ネットワークシステムは、ネットワーク管理装置１と、ファイアウォール２１，２２とを含む。ネットワーク管理装置１は、イントラネット８０を介しファイアウォール２１，２２に接続されている。ネットワーク管理装置１とファイアウォール２１，２２は、有線または無線の通信手段により通信する。なお、ファイアウォール２１，２２はネットワーク機器の一例であるが、ネットワーク機器としては、これに限定されず、例えばルータなどが用いられてもよい。
【００３８】
ファイアウォール２１は、拠点＃１に設けられ、拠点＃１のサブネットワーク８１と接続されている。ファイアウォール２２は拠点＃２に設けられ、拠点＃２のサブネットワーク８２と接続されている。一例として、拠点＃１のサブネットワーク８１ではＩＰアドレス「10.45.128.0」〜「10.45.232.0」が用いられ、拠点＃２のサブネットワーク８２ではＩＰアドレス「10.56.64.0」〜「10.56.148.0」が用いられる。
【００３９】
ファイアウォール２１は、拠点＃２のサブネットワーク８２からイントラネット８０を介してサブネットワーク８１に送信されたパケットＰＫＴをＡＣＬにより規制する。ファイアウォール２２は、拠点＃１のサブネットワーク８１からイントラネット８０を介してサブネットワーク８２に送信されたパケットＰＫＴをＡＣＬにより規制する。なお、パケットＰＫＴとしてはＩＰパケットが挙げられるが、これに限定されず、イーサネット（登録商標）フレームが用いられてもよい。
【００４０】
符号Ｕは、ファイアウォール２２の構成の一例を示す。なお、他方のファイアウォール２１もファイアウォール２２と同様の構成を有する。
【００４１】
ファイアウォール２２は、ＣＰＵ（Central Processing Unit）３０、ＲＯＭ（Read Only Memory）３１、ＲＡＭ（Random Access Memory）３２、ＨＤＤ（Hard Disk Drive）３３、及び通信ポート３４，３５を有する。ＣＰＵ３０は、互いに信号の入出力ができるように、ＲＯＭ３１、ＲＡＭ３２、ＨＤＤ３３、及び通信ポート３４，３５と、バス３９を介して接続されている。
【００４２】
ＲＯＭ３１は、ＣＰＵ３０を駆動するプログラムが格納されている。ＲＡＭ３２は、ＣＰＵ３０のワーキングメモリとして機能する。通信ポート３４はサブネットワーク８２との通信を処理し、通信ポート３５はイントラネット８０を介したネットワーク管理装置１及びサブネットワーク８１との通信を処理する。通信ポート３４，３５は、例えば無線ＬＡＮ（Local Area Network）カードやＮＩＣ（Network Interface Card）である。
【００４３】
ＨＤＤ３３は、記憶部の一例であり、上述したように、パケットＰＫＴのアドレス範囲に基づき通信をそれぞれ規制する複数のルールを含むＡＣＬ３３０を記憶する。ＣＰＵ３０は、制御部の一例であり、ＡＣＬ３３０内の各ルールに従ってパケットＰＫＴによる通信を規制する。
【００４４】
ＣＰＵ３０は、通信ポート３５から入力されたパケットＰＫＴの送信元ＩＰアドレス及び宛先ＩＰアドレスが何れかのルールの条件を満たした場合、そのルールのアクションに従ってパケットＰＫＴを通過させるか、廃棄する。
【００４５】
ネットワーク管理装置１は、ファイアウォール２１，２２に対してＡＣＬ３３０を要求する（「ＡＣＬ要求」参照）。ファイアウォール２１，２２は、その要求に応じてＡＣＬ３３０の情報（「ＡＣＬ情報」参照）をネットワーク管理装置１に送信する。
【００４６】
図４は、ネットワーク管理装置１の一例を示す構成図である。ネットワーク管理装置１は、ＣＰＵ１０、ＲＯＭ１１、ＲＡＭ１２、ストレージ１３、通信ポート１４、入力装置１５、及び表示装置１６を有する。ＣＰＵ１０は、互いに信号の入出力ができるように、ＲＯＭ１１、ＲＡＭ１２、ストレージ１３、通信ポート１４、入力装置１５、及び表示装置１６と、バス１９を介して接続されている。なお、ＣＰＵ１０はコンピュータの一例である。
【００４７】
ＲＯＭ１１は、ＣＰＵ１０を駆動するプログラムが格納されている。プログラムには、ネットワーク管理方法を実行するためのネットワーク管理プログラムが含まれる。ＲＡＭ１２は、ＣＰＵ１０のワーキングメモリとして機能する。通信ポート１４は、例えば無線ＬＡＮカードやＮＩＣであり、ファイアウォール２１，２２との通信を処理する。
【００４８】
入力装置１５は、ネットワーク管理装置１に情報を入力する装置である。入力装置１５としては、例えばキーボード、マウス、及びタッチパネルなどが挙げられる。入力装置１５は、入力された情報を、バス１９を介しＣＰＵ１０に出力する。
【００４９】
表示装置１６は、ネットワーク管理装置１の情報を出力する装置である。表示装置１６としては、例えばディスプレイ及びタッチパネルなどが挙げられる。表示装置１６は、ＣＰＵ１０からバス１９を介して情報を取得して出力する。
【００５０】
ＣＰＵ１０は、ＲＯＭ１１からプログラムを読み込むと、機能として、ＡＣＬ取得部１００、ＰＥＣ生成部１０１、ＰＥＣ抽出部１０２、ルール処分決定部１０３、画像データ出力部１０４、及び操作入力処理部１０５が形成される。なお、ＡＣＬ取得部１００、ＰＥＣ生成部１０１、ＰＥＣ抽出部１０２、ルール処分決定部１０３、画像データ出力部１０４、及び操作入力処理部１０５は、例えばＦＰＧＡ（Field Programmable Gate Array）やＡＳＩＣ（Application Specified Integrated Circuit）などのハードウェアから構成される回路であってもよい。
【００５１】
また、ストレージ１３には、ＡＣＬ情報データベース（ＤＢ）１３０、ＰＥＣデータベース１３１、及びＡＣＬ情報管理テーブル１３２が格納されている。なお、ストレージ１３は、ネットワーク管理装置１とは独立して設けられてもよい。
【００５２】
ＡＣＬ取得部１００は、通信ポート１４を介してファイアウォール２１，２２からＡＣＬ情報を取得する。すなわち、ＡＣＬ取得部１００は、取得部の一例であり、通信をそれぞれ規制する複数のルールを取得する。ＡＣＬ取得部１００は、ＡＣＬ情報をＡＣＬ情報ＤＢ１３０に登録する。ＡＣＬ取得部１００は、ＡＣＬ情報の登録が終了すると、その旨をＰＥＣ生成部１０１に通知する。ＰＥＣ生成部１０１は通知に応じて処理を開始する。
【００５３】
図５は、ＡＣＬ情報ＤＢ１３０の一例を示す図である。ＡＣＬ情報ＤＢ１３０は、ファイアウォール２１，２２ごとにＡＣＬ情報を格納する。
【００５４】
ＡＣＬ情報ＤＢ１３０には、拠点＃１のファイアウォール２１について設定名「ＦＷ１−１」〜「ＦＷ１−５」のルールが登録され、拠点＃２のファイアウォール２２について設定名「ＦＷ２−１」〜「ＦＷ２−４」のルールが登録されている。拠点＃１のファイアウォール２１のＡＣＬ情報では、設定名「ＦＷ１−１」のルールの優先度が最も高く、設定名「ＦＷ１−５」のルールの優先度が最も低い。拠点＃２のファイアウォール２２のＡＣＬ情報では、設定名「ＦＷ２−１」のルールの優先度が最も高く、設定名「ＦＷ２−５」のルールの優先度が最も低い。
【００５５】
再び図４を参照すると、ＰＥＣ生成部１０１は、ＡＣＬ情報ＤＢ１３０から複数のＰＥＣを生成する。ＰＥＣの生成手段は、上述した通りである。すなわち、ＰＥＣ生成部１０１は、分割部の一例であり、ＡＣＬ情報ＤＢに登録された各ルールのアドレス範囲の全体集合を、各ルール間のアドレス範囲の包含関係に基づき複数のＰＥＣに分割する。
【００５６】
ＰＥＣ生成部１０１は、ＰＥＣの情報をＰＥＣ−ＤＢ１３１に登録する。ＰＥＣ生成部１０１は、ＰＥＣの情報の登録が終了すると、その旨をＰＥＣ抽出部１０２に通知する。ＰＥＣ抽出部１０２は通知に応じて処理を開始する。
【００５７】
図６は、ＰＥＣ−ＤＢ１３１の一例を示す図である。本例のＰＥＣ−ＤＢ１３１は、図５のＡＣＬ情報ＤＢ１３０から生成されたＰＥＣが登録される。例えばＰＥＣ−ＤＢ１３１には、各ＰＥＣを識別するためのＰＥＣ番号と、そのＰＥＣ番号のＰＥＣに該当するアドレス範囲とが登録されている。アドレス範囲は、上記の式（１）〜（４）と同様の形式で登録されている。
【００５８】
再び図４を参照すると、ＰＥＣ抽出部１０２は、抽出部の一例であり、ＡＣＬ情報ＤＢ１３０の各ルールについて、ＰＥＣ−ＤＢ１３１内の各ＰＥＣからアドレス範囲に含まれる１以上のＰＥＣを抽出する。図２の例を挙げると、ＰＥＣ抽出部１０２は、送信元ＩＰアドレス「0.0.0.0/0」及び宛先ＩＰアドレス「ANY」のルールについて、そのアドレス範囲に含まれるＰＥＣ｛Ａ｝〜｛Ｄ｝を抽出する。
【００５９】
また、ＰＥＣ抽出部１０２は、送信元ＩＰアドレス「0.0.0.0/24」及び宛先ＩＰアドレス「ANY」のルールについて、そのアドレス範囲に含まれるＰＥＣ｛Ｂ｝〜｛Ｄ｝を抽出する。さらに、ＰＥＣ抽出部１０２は、送信元ＩＰアドレス「0.0.0.64/28」及び宛先ＩＰアドレス「0.0.0.64/30」のルールについて、そのアドレス範囲に含まれるＰＥＣ｛Ｃ｝を抽出し、送信元ＩＰアドレス「0.0.0.96/28」及び宛先ＩＰアドレス「0.0.0.32/30」のルールについて、そのアドレス範囲に含まれるＰＥＣ｛Ｄ｝を抽出する。
【００６０】
また、ＰＥＣ抽出部１０２は、ＰＥＣ−ＤＢ１３１から各ルールの優先度及びアクションの情報を取得する。ＰＥＣ抽出部１０２は、各ルールの設定名、優先度、アクション、及び抽出したＰＥＣをＡＣＬ情報管理テーブル１３２に登録する。ＰＥＣ抽出部１０２は、登録が完了すると、その旨をルール処分決定部１０３に通知する。ルール処分決定部１０３は通知に応じて処理を開始する。
【００６１】
図７は、ＡＣＬ情報管理テーブル１３２の一例を示す図である。本例のＡＣＬ情報管理テーブル１３２は、図５のＡＣＬ情報ＤＢ１３０と図６のＰＥＣ−ＤＢ１３１に基づく。ＡＣＬ情報管理テーブル１３２には、各ルールの設定名、優先度（番号が大きいほど高い）、及びアクションと、そのルールのアドレス範囲に含まれる１以上のＰＥＣの各ＰＥＣ番号とが登録されている。
【００６２】
ＡＣＬ情報管理テーブル１３２は、拠点＃１，＃２ごとのファイアウォール２１，２２ごとに上記の各情報が記憶されている。例えば、ファイアウォール２１について、設定名「ＦＷ１−１」のルールの優先度及びアクションはそれぞれ「１」及び「拒否」であり、そのアドレス範囲にはＰＥＣ番号「２」，「３」，「８」，「９」，「１６」，「１７」，「２５」，「２６」の各ＰＥＣが含まれる。また、ファイアウォール２２について、設定名「ＦＷ２−１」のルールの優先度及びアクションはそれぞれ「１」及び「拒否」であり、そのアドレス範囲にはＰＥＣ番号「３」，「９」，「１７」，「２６」の各ＰＥＣが含まれる。
【００６３】
ルール処分決定部１０３は、決定部の一例であり、ＡＣＬ情報ＤＢ１３０内の各ルールについて、各ルールより優先度が高い他のルールとの間でＰＥＣの包含関係を判定し、その判定結果に基づいて各ルールの処分を決定する。ルール処分決定部１０３は、ルールの処分として、ルールの維持、削除、及び確認／修正（確認と修正）の何れかを決定する。ここで、確認／修正とは、ユーザにルールの設定内容を確認させ、その確認結果に応じて修正することを意味する。
【００６４】
ルール処分決定部１０３は、ＡＣＬ情報管理テーブル１３２に基づいてルールの処分を決定する。例えば、ルール処分決定部１０３は、ルールごとのＰＥＣを参照することにより、各ルールのアドレス範囲の全てが、そのルールより優先度の高い他のルールのアドレス範囲に含まれると判定した場合、アクションが共通であれば、無駄な重複設定と判断し、ルールの削除を決定する。ルール処分決定部１０３は、全てのルールの処分の決定が完了すると、各ルールの処分とＰＥＣの包含関係の情報を画像データ出力部１０４に出力する。画像データ出力部１０４は、情報の入力に応じて処理を開始する。
【００６５】
画像データ出力部１０４は、出力部の一例であり、各ルールの処分及びＰＥＣの包含関係を示す画像データを表示装置１６に出力する。表示装置１６は、画像データに基づいて画像を表示する。このため、ユーザは、表示装置１６の画像から各ルールの処分を確認することができるだけでなく、各ルール間のアドレス範囲の包含関係をＰＥＣ単位で視覚的に確認することができる。
【００６６】
操作入力処理部１０５は、ユーザの入力装置１５の操作入力に応じた操作入力情報を画像データ出力部１０４に出力する。画像データ出力部１０４は、操作入力情報に応じて画像を変化させる。これにより、画像データ出力部１０４及び操作入力処理部１０５は、ユーザにＧＵＩ（Graphical User Interface）を提供する。
【００６７】
次にネットワーク管理装置１の処理を説明する。
【００６８】
図８は、ネットワーク管理装置１の処理の一例を示すフローチャートである。本処理は、ネットワーク管理プログラムにより実行される。
【００６９】
ＡＣＬ取得部１００は、ファイアウォール２１，２２からＡＣＬ情報をそれぞれ取得する（ステップＳｔ１）。ＡＣＬ情報はＡＣＬ情報ＤＢ１３０に登録される。
【００７０】
次に、ＰＥＣ生成部１０１は、ＡＣＬ情報ＤＢ１３０内の各ルールのアドレス範囲からＰＥＣを生成する（ステップＳｔ２）。ＰＥＣは、ＰＥＣ番号が付与されてＰＥＣ−ＤＢ１３１に登録される。
【００７１】
次に、ＰＥＣ抽出部１０２は、各ルールのアドレス範囲に含まれるＰＥＣをＰＥＣ−ＤＢ１３１から抽出する（ステップＳｔ３）。次に、ＰＥＣ抽出部１０２は、ＡＣＬ情報ＤＢ１３０から各ルールの優先度及びアクションを取得する（ステップＳｔ４）。次に、ＰＥＣ抽出部１０２は、抽出したＰＥＣのＰＥＣ番号、優先度、及びアクションをルールごとにＡＣＬ情報管理テーブル１３２に登録する（ステップＳｔ５）。
【００７２】
次に、ルール処分決定部１０３は、ＡＣＬ情報管理テーブル１３２から１つのルールを選択する（ステップＳｔ６）。次に、ルール処分決定部１０３は、選択中のルールについて処分を決定する処理（ルール処分決定処理）を実行する（ステップＳｔ７）。ルール処分決定処理の内容は後述する。
【００７３】
次に、ルール処分決定部１０３は、ＡＣＬ情報ＤＢ１３０内の未選択のルールの有無を判定する（ステップＳｔ８）。ルール処分決定部１０３は、未選択のルールが有る場合（ステップＳｔ８のＹｅｓ）、未選択の他のルールを選択して（ステップＳｔ６）、選択中のルールについて再びステップＳｔ７の処理を実行する。
【００７４】
また、未選択のルールが無い場合（ステップＳｔ８のＮｏ）、画像データ出力部１０４は、各ルールの処分及びＰＥＣによるアドレス範囲の包含関係を示す画像データを表示装置１６に出力する（ステップＳｔ９）。このようにして、ネットワーク管理装置１は処理を実行する。
【００７５】
図９は、ルール処分決定処理の一例を示すフローチャートである。本処理は、図８のステップＳｔ７において実行される。また、以下の説明では、各ルールのアドレス範囲に含まれるＰＥＣを、そのアドレス範囲を構成する「構成ＰＥＣ」と表記する。本処理では、優先度が異なるルール間で構成ＰＥＣ及びアクションが比較されるが、比較対象は共通のファイアウォール２１，２２のルール同士である。
【００７６】
ルール処分決定部１０３は、選択中のルールの何れかの構成ＰＥＣが、そのルールより優先度が高い他のルール（上位側ルール）の構成ＰＥＣに包含されるか否かを判定する（ステップＳｔ２１）。ルール処分決定部１０３は、選択中のルールの何れの構成ＰＥＣも上位側ルールの構成ＰＥＣに包含されない場合（ステップＳｔ２１のＮｏ）、選択中のルールの処分として、維持を決定する（ステップＳｔ２２）。
【００７７】
このように、ルール処分決定部１０３は、選択中のルールのアドレス範囲に上位側ルールのアドレス範囲と重複する部分が全くなければ、選択中のルールにより上位側ルールから独立した条件で通信を規制することができると判断し、ルールの維持を決定する。その後、ルール処分決定部１０３は処理を終了する。
【００７８】
また、ルール処分決定部１０３は、選択中のルールの何れかの構成ＰＥＣが上位側ルールの構成ＰＥＣに包含される場合（ステップＳｔ２１のＹｅｓ）、全ての構成ＰＥＣが上位側ルールの構成ＰＥＣに包含されるか否かを判定する（ステップＳｔ２３）。このとき、例えば、ルール処分決定部１０３は、選択中のルールの全ての構成ＰＥＣを包含する構成の上位側ルールの有無を判定する。ルール処分決定部１０３は、全ての構成ＰＥＣが包含される場合（ステップＳｔ２３のＹｅｓ）、選択中のルールと上位側ルールの間でアクションを比較する（ステップＳｔ２７）。このとき、該当する上位側ルールが複数存在する場合、選択中のルールと全ての上位側ルールとの間でアクションが比較される。
【００７９】
ルール処分決定部１０３は、各ルールのアクションが一致した場合（ステップＳｔ２７のＹｅｓ）、選択中のルールの処分として、削除を決定する（ステップＳｔ２８）。
【００８０】
このように、ルール処分決定部１０３は、各ルールについて、全ての構成ＰＥＣが上位側ルールの構成ＰＥＣに包含されると判定した場合、アクションが上位側ルールのアクションに一致するとき、処分として、ルールの削除を決定する。このため、ネットワーク管理装置１は、上位側ルールと重複する無駄なルールの削除をユーザに推奨することができる。
【００８１】
また、ルール処分決定部１０３は、各ルールのアクションが一致しなかった場合（ステップＳｔ２７のＮｏ）、選択中のルールの処分として、ルールの設定内容の確認と修正を決定する（ステップＳｔ２９）。
【００８２】
例えば、上位側ルールのアクションが「許可」であり、選択中のルールのアクションが「拒否」であっても、選択中のルールは優先度が低い（つまり下位側である）ため、そのアクションがパケットに適用されることがない。しかし、このような場合、選択中のルールに設定誤りの可能性があるため、ユーザはルールの設定内容を確認した上でルールを修正することが望ましい。
【００８３】
ルール処分決定部１０３は、上記のように、各ルールについて、全ての構成ＰＥＣが上位側ルールの構成ＰＥＣに包含されると判定した場合、アクションが上位側ルールのアクションに一致しないとき、処分として、ルールの修正を決定する。このため、ネットワーク管理装置１は、設定誤りの可能性がある矛盾したルールの修正をユーザに推奨することができる。
【００８４】
また、ルール処分決定部１０３は、選択中のルールの一部の構成ＰＥＣだけが包含される場合（つまり、上位側ルールの構成ＰＥＣに包含されない構成ＰＥＣが有る場合）（ステップＳｔ２３のＮｏ）、選択中のルールと上位側ルールの間でアクションを比較する（ステップＳｔ２４）。このとき、該当する上位側ルールが複数存在する場合、選択中のルールと全ての上位側ルールとの間でアクションが比較される。
【００８５】
ルール処分決定部１０３は、各ルールのアクションが一致しなかった場合（ステップＳｔ２４のＮｏ）、選択中のルールの処分として、その設定内容の確認と修正を決定する（ステップＳｔ２６）。
【００８６】
例えば、上位側ルールのアクションが「許可」であり、選択中のルールのアクションが「拒否」であっても、選択中のルールは優先度が低いため、互いに重複するアドレス範囲内の送信元ＩＰアドレス及び宛先ＩＰアドレスのパケットには、そのアクションが適用されることがない。しかし、このような場合、選択中のルールに設定誤りの可能性があるため、ユーザはルールの設定内容を確認した上でルールを修正することが望ましい。
【００８７】
ルール処分決定部１０３は、上記のように、各ルールについて、一部の構成ＰＥＣが上位側ルールの構成ＰＥＣに包含されないと判定した場合、アクションが上位側ルールのアクションに一致しないとき、処分として、ルールの修正を決定する。このため、ネットワーク管理装置１は、設定誤りの可能性がある矛盾したルールの修正をユーザに推奨することができる。
【００８８】
また、ルール処分決定部１０３は、各ルールのアクションが一致した場合（ステップＳｔ２４のＹｅｓ）、選択中のルールの処分として、維持を決定する（ステップＳｔ２５）。
【００８９】
例えば、上位側及び選択中の各ルールのアクションがともに「許可」であっても、互いに重複しないアドレス範囲内の送信元ＩＰアドレス及び宛先ＩＰアドレスのパケットには、選択中のルールのアクションが適用される。このような場合、選択中のルールによって、上位側のルールとは異なる条件で同じアクションが可能である。
【００９０】
このようにして、ルール処分決定処理は実行される。以下に、図７のＡＣＬ情報管理テーブル１３２を例に挙げて、ルール処分決定処理による処分の決定例を説明する。
【００９１】
（第１例）
本例では、ルール処分決定部１０３が設定名「ＦＷ１−１」のルールを選択したと仮定する。ルール処分決定部１０３は、そのルールの構成ＰＥＣが上位側ルールの構成ＰＥＣに包含されるか否かを判定する（ステップＳｔ２１）。
【００９２】
しかし、選択中のルールは、優先度が「１」であるため、上位側ルールは存在しない。このため、ルール処分決定部１０３は、設定名「ＦＷ１−１」のルールの何れの構成ＰＥＣも上位側ルールの構成ＰＥＣに包含されないと判定し（ステップＳｔ２１のＮｏ）、そのルールの維持を決定する（ステップＳｔ２２）。
【００９３】
（第２例）
本例では、ルール処分決定部１０３が設定名「ＦＷ１−２」のルールを選択したと仮定する。ルール処分決定部１０３は、そのルールの何れかの構成ＰＥＣが設定名「ＦＷ１−１」のルールの構成ＰＥＣに包含されるか否かを判定する（ステップＳｔ２１）。
【００９４】
設定名「ＦＷ１−２」のルールのアドレス範囲は、ＰＥＣ番号「３」，「９」，「１７」，「２６」の各構成ＰＥＣにより構成される。また、設定名「ＦＷ１−１」のルールのアドレス範囲は、ＰＥＣ番号「２」，「３」，「８」，「９」，「１６」，「１７」，「２５」，「２６」の各構成ＰＥＣにより構成される。
【００９５】
このため、設定名「ＦＷ１−２」，「ＦＷ１−１」の各ルール間において、ＰＥＣ番号「３」，「９」，「１７」，「２６」の各構成ＰＥＣが共通する。つまり、設定名「ＦＷ１−２」のルールの全ての構成ＰＥＣは、上位側である設定名「ＦＷ１−１」のルールの構成ＰＥＣに包含される。
【００９６】
したがって、ルール処分決定部１０３は、設定名「ＦＷ１−２」のルールの何れかの構成ＰＥＣが設定名「ＦＷ１−１」のルールの構成ＰＥＣに包含されると判定する（ステップＳｔ２１のＹｅｓ）。次に、ルール処分決定部１０３は、設定名「ＦＷ１−２」のルールの全ての構成ＰＥＣが設定名「ＦＷ１−１」のルールの構成ＰＥＣに包含されると判定する（ステップＳｔ２３のＹｅｓ）。
【００９７】
次に、ルール処分決定部１０３は、設定名「ＦＷ１−２」，「ＦＷ１−１」の各ルールのアクション同士を比較する（ステップＳｔ２７）。設定名「ＦＷ１−２」のルールのアクションは「許可」であり、「ＦＷ１−１」のルールのアクションは「拒否」である。このため、ルール処分決定部１０３は、各アクションが一致しないと判定し（ステップＳｔ２７のＮｏ）、設定名「ＦＷ１−２」のルールの確認と修正を決定する（ステップＳｔ２９）。
【００９８】
（第３例）
本例では、ルール処分決定部１０３が設定名「ＦＷ１−４」のルールを選択したと仮定する。ルール処分決定部１０３は、そのルールの何れかの構成ＰＥＣが設定名「ＦＷ１−１」〜「ＦＷ１−３」の各ルールの構成ＰＥＣに包含されるか否かを判定する（ステップＳｔ２１）。
【００９９】
設定名「ＦＷ１−４」のルールのアドレス範囲は、ＰＥＣ番号「４」，「５」，「１２」，「１４」，「２０」，「２２」，「２９」，「３０」の各構成ＰＥＣにより構成される。また、設定名「ＦＷ１−３」のルールのアドレス範囲は、ＰＥＣ番号「４」，「１４」，「２２」，「３０」の各構成ＰＥＣにより構成される。
【０１００】
このため、設定名「ＦＷ１−４」，「ＦＷ１−３」の各ルール間において、ＰＥＣ番号「４」，「１４」，「２２」，「３０」の各構成ＰＥＣが共通する。つまり、設定名「ＦＷ１−４」のルールの構成ＰＥＣの一部は、上位側である設定名「ＦＷ１−３」のルールの構成ＰＥＣに包含される。なお、設定名「ＦＷ１−４」のルールと設定名「ＦＷ１−１」，「ＦＷ１−２」の各ルールの間に共通する構成ＰＥＣがない。
【０１０１】
したがって、ルール処分決定部１０３は、設定名「ＦＷ１−４」のルールの何れかの構成ＰＥＣが設定名「ＦＷ１−３」のルールの構成ＰＥＣに包含されると判定する（ステップＳｔ２１のＹｅｓ）。次に、ルール処分決定部１０３は、設定名「ＦＷ１−４」のルールの構成ＰＥＣの一部だけが設定名「ＦＷ１−３」のルールの構成ＰＥＣに包含されると判定する（ステップＳｔ２３のＮｏ）。
【０１０２】
次に、ルール処分決定部１０３は、設定名「ＦＷ１−４」，「ＦＷ１−３」の各ルールのアクション同士を比較する（ステップＳｔ２４）。設定名「ＦＷ１−４」，「ＦＷ１−３」の各ルールのアクションはともに「許可」である。このため、ルール処分決定部１０３は、各アクションが一致すると判定し（ステップＳｔ２４のＹｅｓ）、設定名「ＦＷ１−４」のルールの維持を決定する（ステップＳｔ２５）。
【０１０３】
（第４例）
本例では、ルール処分決定部１０３が設定名「ＦＷ２−３」のルールを選択したと仮定する。ルール処分決定部１０３は、そのルールの何れかの構成ＰＥＣが設定名「ＦＷ２−１」，「ＦＷ２−２」の各ルールの構成ＰＥＣに包含されるか否かを判定する（ステップＳｔ２１）。
【０１０４】
設定名「ＦＷ２−３」のルールのアドレス範囲は、ＰＥＣ番号「１３」，「１５」〜「２０」，「２２」の各構成ＰＥＣにより構成される。また、設定名「ＦＷ２−１」のルールのアドレス範囲は、ＰＥＣ番号「３」，「９」，「１７」，「２６」の各構成ＰＥＣにより構成される。また、設定名「ＦＷ２−２」のルールのアドレス範囲は、ＰＥＣ番号「１」，「７」〜「２０」，「２２」，「２３」の各構成ＰＥＣにより構成される。
【０１０５】
このため、設定名「ＦＷ２−３」，「ＦＷ２−２」の各ルール間において、ＰＥＣ番号「１３」，「１５」〜「２０」，「２２」の各構成ＰＥＣが共通する。つまり、設定名「ＦＷ２−３」のルールの全ての構成ＰＥＣは、上位側である設定名「ＦＷ２−２」のルールの構成ＰＥＣに包含される。なお、設定名「ＦＷ２−３」，「ＦＷ２−１」の各ルール間では、ＰＥＣ番号「１７」の構成ＰＥＣだけが共通する。
【０１０６】
したがって、ルール処分決定部１０３は、設定名「ＦＷ２−３」のルールの何れかの構成ＰＥＣが設定名「ＦＷ２−２」のルールの構成ＰＥＣに包含されると判定する（ステップＳｔ２１のＹｅｓ）。次に、ルール処分決定部１０３は、設定名「ＦＷ２−３」のルールの全ての構成ＰＥＣが設定名「ＦＷ２−２」のルールの構成ＰＥＣに包含されると判定する（ステップＳｔ２３のＹｅｓ）。
【０１０７】
次に、ルール処分決定部１０３は、設定名「ＦＷ２−３」，「ＦＷ２−２」の各ルールのアクション同士を比較する（ステップＳｔ２７）。設定名「ＦＷ２−３」のルールのアクションは「拒否」であり、設定名「ＦＷ２−２」のルールのアクションは「拒否」である。このため、ルール処分決定部１０３は、各アクションが一致すると判定し（ステップＳｔ２７のＹｅｓ）、設定名「ＦＷ２−３」のルールの削除を決定する（ステップＳｔ２８）。
【０１０８】
（第５例）
本例では、ルール処分決定部１０３が設定名「ＦＷ２−４」のルールを選択したと仮定する。ルール処分決定部１０３は、そのルールの何れかの構成ＰＥＣが設定名「ＦＷ２−１」〜「ＦＷ２−３」の各ルールの構成ＰＥＣに包含されるか否かを判定する（ステップＳｔ２１）。
【０１０９】
設定名「ＦＷ２−４」のルールのアドレス範囲は、ＰＥＣ番号「７」〜「３０」の各構成ＰＥＣにより構成される。このため、設定名「ＦＷ２−４」，「ＦＷ２−２」の各ルール間において、ＰＥＣ番号「７」〜「２０」，「２２」，「２３」の各構成ＰＥＣが共通し、設定名「ＦＷ２−４」，「ＦＷ２−３」の各ルール間において、ＰＥＣ番号「１３」，「１５」〜「２０」，「２２」の各構成ＰＥＣが共通する。設定名「ＦＷ２−４」，「ＦＷ２−１」の各ルール間において、ＰＥＣ番号「９」，「１７」，「２６」の各構成ＰＥＣが共通する。つまり、設定名「ＦＷ２−４」のルールの一部の構成ＰＥＣは、上位側である設定名「ＦＷ２−１」〜「ＦＷ２−３」の各ルールの構成ＰＥＣに包含される。
【０１１０】
したがって、ルール処分決定部１０３は、設定名「ＦＷ２−４」のルールの何れかの構成ＰＥＣが設定名「ＦＷ２−１」〜「ＦＷ２−３」の各ルールの構成ＰＥＣに包含されると判定する（ステップＳｔ２１のＹｅｓ）。次に、ルール処分決定部１０３は、設定名「ＦＷ２−４」のルールの構成ＰＥＣの一部だけが設定名「ＦＷ２−１」〜「ＦＷ２−３」の各ルールの構成ＰＥＣに包含されると判定する（ステップＳｔ２３のＮｏ）。
【０１１１】
次に、ルール処分決定部１０３は、設定名「ＦＷ２−４」のルールのアクションと設定名「ＦＷ２−１」〜「ＦＷ２−３」の各ルールのアクションを比較する（ステップＳｔ２４）。設定名「ＦＷ２−４」のルールのアクションは「許可」であり、設定名「ＦＷ２−１」〜「ＦＷ２−３」の各ルールのアクションは「拒否」である。このため、ルール処分決定部１０３は、各アクションが一致しないと判定し（ステップＳｔ２４のＮｏ）、設定名「ＦＷ２−４」のルールの確認と修正を決定する（ステップＳｔ２６）。
【０１１２】
このように、ルール処分決定部１０３は、各ルールより優先度が高い他のルールとの間で構成ＰＥＣの包含関係を判定し、さらに、そのルールとの間でアクションを比較し、包含関係の判定結果とアクションの比較結果に基づいて各ルールの処分を決定する。このため、ネットワーク管理装置１は、優先度を考慮して、各ルール間のアドレス範囲の包含関係だけでなく、アクションの一致または不一致に応じて適切な処分を決定することができる。
【０１１３】
また、本例において、各ルールには、「許可」と「拒否」の２種類のアクションが含まれているが、ファイアウォール２１，２２の種類によっては「許可」及び「拒否」の一方のアクションだけが各ルールに設定可能である場合も考えられる。この場合、例えば、各ルールには「許可」だけが設定されると、各ルールのアドレス範囲の条件を満たさないパケットは明示的に「拒否」対象に該当するとみなされ、廃棄される。
【０１１４】
アクションが１種類だけである場合、ルール処分決定部１０３は、選択中のルールと上位側ルールの各アクションを比較せずに選択中のルールの処分を決定する。このため、上記のステップＳｔ２４，Ｓｔ２７の処理は行われない。したがって、ルール処分決定部１０３は、ステップＳｔ２３の判定処理において、「Ｎｏ」と判定したとき、選択中のルールの維持を決定し（ステップＳｔ２５）、「Ｙｅｓ」と判定したとき、選択中のルールの削除を決定する（ステップＳｔ２８）。
【０１１５】
このように、ルール処分決定部１０３は、各ルールより優先度が高い他のルールとの間で構成ＰＥＣの包含関係を判定し、その判定結果に基づいて各ルールの処分を決定する。このため、ルール処分決定部１０３は、優先度を考慮して、各ルール間のアドレス範囲の包含関係に応じて適切な処分を決定することができる。
【０１１６】
画像データ出力部１０４は、ルール処分決定処理により決定された各ルールの処分とその処理中に判定されたルール間の構成ＰＥＣの包含関係を示す画像データを表示装置１６に出力する。表示装置１６は、その画像データを画面に表示する。以下に画面の表示例を説明する。
【０１１７】
図１０は、表示装置１６の画面の表示例を示す図である。表示装置１６の画面には、上述したようにＧＵＩが提供される。
【０１１８】
符号４０は、ファイアウォール２１のＡＣＬ３３０内の各ルールとその処分を表示するウィンドウの一例を示す。符号４００，４０１のマークは、一例として、ルールの維持及び確認と修正をそれぞれ示す。本例において、設定名「ＦＷ１−２」のルールには確認と修正の処分が推奨され、その他の各ルールには維持の処分が推奨されている。なお、削除の処分について、図示は省略するが、他の処分と同様にマークが表示される。
【０１１９】
また、ウィンドウ４０の最下行には、構成ＰＥＣを表示する「ＰＥＣ」欄が設けられている。ユーザが、例えばマウスなどのポインティングデバイスにより、設定名「ＦＷ１−２」のルールの欄（点線枠参照）をクリックすると、ウィンドウ４１が表示される。
【０１２０】
ウィンドウ４１の最下行には、クリックした設定名「ＦＷ１−２」のルールのアドレス範囲を構成する構成ＰＥＣのＰＥＣ番号の一覧が表示される。このため、ユーザは、構成ＰＥＣを単位としてアドレス範囲を確認することができる。
【０１２１】
また、ユーザが、ポインティングデバイスによりＰＥＣ番号の欄をクリックすると、そのＰＥＣ番号の構成ＰＥＣを視覚的に確認可能なサブウィンドウ４１１が表示される。例えばＰＥＣ番号「２６」の欄がクリックされると、サブウィンドウ４１１内の斜線のハッチング領域がＰＥＣ番号「２６」の構成ＰＥＣのアドレス領域として表示される。
【０１２２】
また、ウィンドウ４１内の各ルールの欄がポインティングデバイスによりクリックされると、そのルールの設定内容が表示される。例えば、ユーザが設定名「ＦＷ１−２」のルールの欄（点線枠参照）がクリックされると、「ＦＷ１−２  0.0.0.0/0  10.56.64.0/24  許可」と表示される。
【０１２３】
また、各ルールの欄の横には、そのルールのアクションが「〇」（許可）及び「×」（拒否）で表示される。ウィンドウ４０においてクリックされた設定名「ＦＷ１−２」のルールのアクションは「許可」であるため、「〇」が表示される。また、設定名「ＦＷ１−２」のルールの構成ＰＥＣを包含する設定名「ＦＷ１−１」のルールのアクションが、「×」で表示される。
【０１２４】
なお、ＰＥＣの欄の１つ上の行には、ＡＣＬ３３０に設定されていないアドレス群として、「Others」の欄が設けられている。ファイアウォール２１，２２は、未設定のアドレス範囲のパケットを廃棄するため、「Others」のアクションの欄には「×」が表示される。
【０１２５】
また、設定名「ＦＷ１−１」のルールのアクションの欄４１２には、設定名「ＦＷ１−２」のルールの構成ＰＥＣを含むことを意味する斜線が表示されている。このため、ユーザは、各ルール間の構成ＰＥＣの包含関係を確認することができる。
【０１２６】
このように、画像データ出力部１０４は、各ルールの処分及び構成ＰＥＣの包含関係を示す画像データを出力する。各構成ＰＥＣは互いに素な集合であるため、ユーザは、ネットワークの専門知識がなくても、ルールの処分を確認した上で各ルール間のアドレス範囲の重複を視覚的に容易に確認することができる。
【０１２７】
したがって、本例のネットワーク管理装置、ネットワーク管理方法、ネットワーク管理プログラム、及びネットワークシステムによると、ネットワーク機器のセキュリティポリシーの正当性を容易に検証することができる。
【０１２８】
なお、上記の処理機能は、コンピュータによって実現することができる。その場合、処理装置が有すべき機能の処理内容を記述したプログラムが提供される。そのプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体（ただし、搬送波は除く）に記録しておくことができる。
【０１２９】
プログラムを流通させる場合には、例えば、そのプログラムが記録されたＤＶＤ（Digital Versatile Disc）、ＣＤ−ＲＯＭ（Compact Disc Read Only Memory）などの可搬型記録媒体の形態で販売される。また、プログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することもできる。
【０１３０】
プログラムを実行するコンピュータは、例えば、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、自己の記憶装置に格納する。そして、コンピュータは、自己の記憶装置からプログラムを読み取り、プログラムに従った処理を実行する。なお、コンピュータは、可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することもできる。また、コンピュータは、サーバコンピュータからプログラムが転送されるごとに、逐次、受け取ったプログラムに従った処理を実行することもできる。
【０１３１】
上述した実施形態は本発明の好適な実施の例である。但し、これに限定されるものではなく、本発明の要旨を逸脱しない範囲内において種々変形して実施可能である。
【０１３２】
なお、以上の説明に関して更に以下の付記を開示する。
（付記１）  パケットのアドレスの範囲に基づき通信をそれぞれ規制する複数のルールを取得する取得部と、
前記複数のルールの前記アドレスの範囲の全体集合を、前記複数のルールの間の前記アドレスの範囲の包含関係に基づき互いに素な複数の部分集合に分割する分割部と、
前記複数のルールの各々について、前記複数の部分集合から前記アドレスの範囲に含まれる１以上の部分集合を抽出する抽出部と、
前記複数のルールの各々について、該ルールより優先度が高い他のルールとの間で前記１以上の部分集合の包含関係を判定し、前記１以上の部分集合の包含関係の判定結果に基づいて前記複数のルールの各々の処分を決定する決定部と、
前記複数のルールの各々の前記処分及び前記１以上の部分集合の包含関係を示す画像データを出力する出力部とを有することを特徴とするネットワーク管理装置。
（付記２）  前記複数のルールの各々には、前記パケットによる通信の許可または拒絶を示す動作設定が含まれ、
前記決定部は、前記複数のルールの各々について、前記ルールより優先度が高い前記他のルールとの間で前記１以上の部分集合の包含関係を判定し、さらに前記他のルールとの間で前記動作設定を比較し、前記包含関係の判定結果と前記動作設定の比較結果に基づいて前記複数のルールの各々の処分を決定することを特徴とする付記１に記載のネットワーク管理装置。
（付記３）  前記決定部は、前記複数のルールの各々について、前記１以上の部分集合の全てが前記他のルールの前記１以上の部分集合に包含されると判定した場合、前記動作設定が前記他のルールの前記動作設定に一致するとき、前記処分として、前記ルールの削除を決定することを特徴とする付記２に記載のネットワーク管理装置。
（付記４）  前記決定部は、前記複数のルールの各々について、前記１以上の部分集合の全てが前記他のルールの前記１以上の部分集合に包含されると判定した場合、前記動作設定が前記他のルールの前記動作設定に一致しないとき、前記処分として、前記ルールの修正を決定することを特徴とする付記２または３に記載のネットワーク管理装置。
（付記５）  前記決定部は、前記複数のルールの各々について、前記１以上の部分集合の一部が前記他のルールの前記１以上の部分集合に包含されないと判定した場合、前記動作設定が前記他のルールの前記動作設定に一致しないとき、前記処分として、前記ルールの修正を決定することを特徴とする付記２乃至４の何れかに記載のネットワーク管理装置。
（付記６）  パケットのアドレスの範囲に基づき通信をそれぞれ規制する複数のルールを取得する工程と、
前記複数のルールの前記アドレスの範囲の全体集合を、前記複数のルールの間の前記アドレスの範囲の包含関係に基づき互いに素な複数の部分集合に分割する工程と、
前記複数のルールの各々について、前記複数の部分集合から前記アドレスの範囲に含まれる１以上の部分集合を抽出する工程と、
前記複数のルールの各々について、該ルールより優先度が高い他のルールとの間で前記１以上の部分集合の包含関係を判定し、前記１以上の部分集合の包含関係の判定結果に基づいて前記複数のルールの各々の処分を決定する工程と
前記複数のルールの各々の前記処分及び前記１以上の部分集合の包含関係を示す画像データを出力する工程とを、コンピュータが実行することを特徴とするネットワーク管理方法。
（付記７）  前記複数のルールの各々には、前記パケットによる通信の許可または拒絶を示す動作設定が含まれ、
前記複数のルールの各々の処分を決定する工程において、前記複数のルールの各々について、前記ルールより優先度が高い前記他のルールとの間で前記１以上の部分集合の包含関係を判定し、さらに前記他のルールとの間で前記動作設定を比較し、前記包含関係の判定結果と前記動作設定の比較結果に基づいて前記複数のルールの各々の処分を決定することを特徴とする付記６に記載のネットワーク管理方法。
（付記８）  前記複数のルールの各々の処分を決定する工程において、前記複数のルールの各々について、前記１以上の部分集合の全てが前記他のルールの前記１以上の部分集合に包含されると判定した場合、前記動作設定が前記他のルールの前記動作設定に一致するとき、前記処分として、前記ルールの削除を決定することを特徴とする付記７に記載のネットワーク管理方法。
（付記９）  前記複数のルールの各々の処分を決定する工程において、前記複数のルールの各々について、前記１以上の部分集合の全てが前記他のルールの前記１以上の部分集合に包含されると判定した場合、前記動作設定が前記他のルールの前記動作設定に一致しないとき、前記処分として、前記ルールの修正を決定することを特徴とする付記７または８に記載のネットワーク管理方法。
（付記１０）  前記複数のルールの各々の処分を決定する工程において、前記複数のルールの各々について、前記１以上の部分集合の一部が前記他のルールの前記１以上の部分集合に包含されないと判定した場合、前記動作設定が前記他のルールの前記動作設定に一致しないとき、前記処分として、前記ルールの修正を決定することを特徴とする付記７乃至９の何れかに記載のネットワーク管理方法。
（付記１１）  パケットのアドレスの範囲に基づき通信をそれぞれ規制する複数のルールを取得し、
前記複数のルールの前記アドレスの範囲の全体集合を、前記複数のルールの間の前記アドレスの範囲の包含関係に基づき互いに素な複数の部分集合に分割し、
前記複数のルールの各々について、前記複数の部分集合から前記アドレスの範囲に含まれる１以上の部分集合を抽出し、
前記複数のルールの各々について、該ルールより優先度が高い他のルールとの間で前記１以上の部分集合の包含関係を判定し、
前記１以上の部分集合の包含関係の判定結果に基づいて前記複数のルールの各々の処分を決定し、
前記複数のルールの各々の前記処分及び前記１以上の部分集合の包含関係を示す画像データを出力する、処理を、コンピュータに実行させることを特徴とするネットワーク管理プログラム。
（付記１２）  前記複数のルールの各々には、前記パケットによる通信の許可または拒絶を示す動作設定が含まれ、
前記複数のルールの各々の処分を決定する処理において、前記複数のルールの各々について、前記ルールより優先度が高い前記他のルールとの間で前記１以上の部分集合の包含関係を判定し、さらに前記他のルールとの間で前記動作設定を比較し、前記包含関係の判定結果と前記動作設定の比較結果に基づいて前記複数のルールの各々の処分を決定することを特徴とする付記１１に記載のネットワーク管理プログラム。
（付記１３）  前記複数のルールの各々の処分を決定する処理において、前記複数のルールの各々について、前記１以上の部分集合の全てが前記他のルールの前記１以上の部分集合に包含されると判定した場合、前記動作設定が前記他のルールの前記動作設定に一致するとき、前記処分として、前記ルールの削除を決定することを特徴とする付記１２に記載のネットワーク管理プログラム。
（付記１４）  前記複数のルールの各々の処分を決定する処理において、前記複数のルールの各々について、前記１以上の部分集合の全てが前記他のルールの前記１以上の部分集合に包含されると判定した場合、前記動作設定が前記他のルールの前記動作設定に一致しないとき、前記処分として、前記ルールの修正を決定することを特徴とする付記１２または１３に記載のネットワーク管理プログラム。
（付記１５）  前記複数のルールの各々の処分を決定する処理において、前記複数のルールの各々について、前記１以上の部分集合の一部が前記他のルールの前記１以上の部分集合に包含されないと判定した場合、前記動作設定が前記他のルールの前記動作設定に一致しないとき、前記処分として、前記ルールの修正を決定することを特徴とする付記１２乃至１４の何れかに記載のネットワーク管理プログラム。
（付記１６）  ネットワーク管理装置とネットワーク機器とを含み、
前記ネットワーク機器は、
パケットのアドレスの範囲に基づき通信をそれぞれ規制する複数のルールを記憶する記憶部と、
前記複数のルールに従って前記パケットによる通信を制御する制御部とを有し、
前記ネットワーク管理装置は、
前記ネットワーク機器から前記複数のルールを取得する取得部と、
前記複数のルールの前記アドレスの範囲の全体集合を、前記複数のルールの間の前記アドレスの範囲の包含関係に基づき互いに素な複数の部分集合に分割する分割部と、
前記複数のルールの各々について、前記複数の部分集合から前記アドレスの範囲に含まれる１以上の部分集合を抽出する抽出部と、
前記複数のルールの各々について、該ルールより優先度が高い他のルールとの間で前記１以上の部分集合の包含関係を判定し、前記１以上の部分集合の包含関係の判定結果に基づいて前記複数のルールの各々の処分を決定する決定部と、
前記複数のルールの各々の前記処分及び前記１以上の部分集合の包含関係を示す画像データを出力する出力部とを有することを特徴とするネットワークシステム。
（付記１７）  前記複数のルールの各々には、前記パケットによる通信の許可または拒絶を示す動作設定が含まれ、
前記決定部は、前記複数のルールの各々について、前記ルールより優先度が高い前記他のルールとの間で前記１以上の部分集合の包含関係を判定し、さらに前記他のルールとの間で前記動作設定を比較し、前記包含関係の判定結果と前記動作設定の比較結果に基づいて前記複数のルールの各々の処分を決定することを特徴とする付記１６に記載のネットワークシステム。
（付記１８）  前記決定部は、前記複数のルールの各々について、前記１以上の部分集合の全てが前記他のルールの前記１以上の部分集合に包含されると判定した場合、前記動作設定が前記他のルールの前記動作設定に一致するとき、前記処分として、前記ルールの削除を決定することを特徴とする付記１７に記載のネットワークシステム。
（付記１９）  前記決定部は、前記複数のルールの各々について、前記１以上の部分集合の全てが前記他のルールの前記１以上の部分集合に包含されると判定した場合、前記動作設定が前記他のルールの前記動作設定に一致しないとき、前記処分として、前記ルールの修正を決定することを特徴とする付記１７または１８に記載のネットワークシステム。
（付記２０）  前記決定部は、前記複数のルールの各々について、前記１以上の部分集合の一部が前記他のルールの前記１以上の部分集合に包含されないと判定した場合、前記動作設定が前記他のルールの前記動作設定に一致しないとき、前記処分として、前記ルールの修正を決定することを特徴とする付記１７乃至１９の何れかに記載のネットワークシステム。
【符号の説明】
【０１３３】
１      ネットワーク管理装置
２１，２２，９０    ファイアウォール
１０，３０     ＣＰＵ
３３      ＨＤＤ
１００     ＡＣＬ取得部
１０１     ＰＥＣ生成部
１０２     ＰＥＣ抽出部
１０３     ルール処分決定部
１０４     画像データ出力部
１３０     ＡＣＬ情報データベース
１３１     ＰＥＣデータベース
１３２     ＡＣＬ情報管理テーブル
３３０，９００    ＡＣＬ
【図１】
2019153871.tif 000003
【図２】
2019153871.tif 000004
【図３】
2019153871.tif 000005
【図４】
2019153871.tif 000006
【図５】
2019153871.tif 000007
【図６】
2019153871.tif 000008
【図７】
2019153871.tif 000009
【図８】
2019153871.tif 000010
【図９】
2019153871.tif 000011
【図１０】
2019153871.tif 000012