(57)【要約】【課題】パケットフィルタリングルールとフィルタリング結果のログとの対応関係をわかり易く表示することができ、且つ、更新されたルールの機能をログに基づいて表示することのできるネットワーク機器を提供する。【解決手段】複数のパケットフィルタリングルールでフィルタリングしたパケットのログをログテーブルに記憶する。ＧＵＩ画面には、前記複数のパケットフィルタリングルールをテーブルとして表示するとともに、各ルールに適合したパケットのログをそのルールに対応づけて表示する。また、このＧＵＩ画面上でルールが更新されたとき、更新されたルールでログを再度フィルタリングし、ログ表示の対応づけを更新されたルールに合わせて変更する。【選択図】  図４
2008103999.tif 000002
【特許請求の範囲】
【請求項１】
パケットの属性を判定する判定条件と、この判定条件に合致したパケットに対して実行する動作を指定する動作指定情報とを含むパケットフィルタリングルールを複数記憶するルール記憶部と、
入力されたパケットに対して前記複数のルールを順次適用し、最初に適合したルールに規定されている動作を実行するパケットフィルタリング部と、
前記パケットフィルタリング部によってフィルタリングされたパケットのログを記憶するログ記憶部と、
前記ルールと、各ルールに適合したパケットのログとを対応づけて表示する対応テーブル画像を生成する画像生成部と、
を備えたネットワーク機器。
【請求項２】
前記画像生成部は、
前記生成した対応テーブル画像上で前記ルールの更新を受け付けるＧＵＩ手段を含み、
前記ＧＵＩ手段によってルールが更新されたとき、更新されたルールを含む前記複数のルールを前記ログに順次適用し、最初に適合したルールに対応づけるよう前記対応テーブル画像における前記ログの表示を変更する
請求項１に記載のネットワーク機器。
【請求項３】
パケットの属性を判定する判定条件と、この判定条件に合致したパケットに対して実行する動作を指定する動作指定情報とを含むパケットフィルタリングルールを複数記憶するルール記憶部と、
入力されたパケットに対して前記複数のルールを順次適用し、最初に適合したルールに規定されている動作を実行するパケットフィルタリング部と、
前記パケットフィルタリング部によってフィルタリングされたパケットのログを記憶するログ記憶部と、
を備えたネットワーク機器に、
前記ルールと、各ルールに適合したパケットのログとを対応づけて表示する対応テーブル画像を生成させる手順を実行させるネットワーク機器の画像生成プログラム。
【請求項４】
さらに、
前記生成した対応テーブル画像上で前記ルールの更新を受け付けるＧＵＩ手順、
前記ＧＵＩ手順によってルールが更新されたとき、更新されたルールを含む前記複数のルールを前記ログに順次適用し、最初に適合したルールに対応づけるよう前記対応テーブル画像における前記ログの表示を変更する手順、
を含む請求項３に記載のネットワーク機器の画像生成プログラム。
【請求項５】
パケットの属性を判定する判定条件と、この判定条件に合致したパケットに対して実行する動作を指定する動作指定情報とを含むパケットフィルタリングルールを複数記憶するルール記憶部と、
入力されたパケットに対して前記複数のルールを順次適用し、最初に適合したルールに規定されている動作を実行するパケットフィルタリング部と、
前記パケットフィルタリング部によってフィルタリングされたパケットのログを記憶するログ記憶部と、
前記ルール記憶部の記憶内容および前記ログ記憶部の記憶内容を外部出力する通信手段と、
を備えたネットワーク機器と通信する情報処理装置に、
前記ネットワーク機器から、前記ルール記憶部の記憶内容および前記ログ記憶部の記憶内容を受信する手順、
受信した記憶内容に基づき、前記ルールと、各ルールに適合したパケットのログとを対応づけて表示する対応テーブル画像を生成する手順、
生成した対応テーブル画像を表示する手順、
を実行させるファイアウォール管理プログラム。
【請求項６】
さらに、
前記生成した対応テーブル画像上で前記ルールの更新を受け付けるＧＵＩ手順、
前記ＧＵＩ手順によってルールが更新されたとき、更新されたルールを含む前記複数のルールを前記ログに順次適用し、最初に適合したルールに対応づけるよう前記対応テーブル画像における前記ログの表示を変更する手順、
前記ＧＵＩ手順による更新内容を、前記ネットワーク機器に送信する手順、
を含む請求項５に記載のファイアウォール管理プログラム。
【請求項７】
情報処理装置に、
パケットの属性を判定する判定条件と、この判定条件に合致したパケットに対して実行する動作を指定する動作指定情報とを含むパケットフィルタリングルールを複数記憶するルール記憶手順、
入力されたパケットに対して前記複数のルールを順次適用し、最初に適合したルールに規定されている動作を実行するパケットフィルタリング手順、
前記パケットフィルタリング部によってフィルタリングされたパケットのログを記憶するログ記憶手順、
前記ルールと、各ルールに適合したパケットのログとを対応づけて表示する対応テーブル画像を生成させる画像生成手順、
生成された対応テーブル画像を表示する手順、
を実行させるファイアウォールプログラム。
【請求項８】
さらに、
前記生成した対応テーブル画像上で前記ルールの更新を受け付けるＧＵＩ手順、
前記ＧＵＩ手順によってルールが更新されたとき、更新されたルールを含む前記複数のルールを前記ログに順次適用し、最初に適合したルールに対応づけるよう前記対応テーブル画像における前記ログの表示を変更する手順、
を含む請求項７に記載のファイアウォールプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、送受信するパケットを選別するファイアウォール機能を備えた装置およびファイアウォールプログラムに関する。
【背景技術】
【０００２】
ルータ等のネットワーク機器に搭載される一般的なファイアウォール機能は、送受信するパケットが特定の属性を有するパケットであるかを選別し、上記特定の属性を有するパケットのみ通過させ、特定の属性を有さないパケットは破棄するというパケットフィルタリング機能を備えている。
【０００３】
パケットフィルタリング機能では、パケットを選別するためのルールであるパケットフィルタリングルールを複数用いる場合が多い。複数のルールが設定された場合、それらはリスト化して記憶され、選別対象のパケットに対して上位のものから順に適用される。
【０００４】
一般的なパケットフィルタリングルールは、パケット（ＩＰパケット）の受信インタフェース、送信インタフェース、始点アドレス、終点アドレス、プロトコル、始点ポート番号、終点ポート番号等の属性を指定する判定条件と、この判定条件に合致したときそのパケットに対して実行する動作を指定する動作指定情報からなっている。
【０００５】
また、パケットフィルタリングを行うネットワーク機器は、複数のパケットフィルタリングルールを記憶したパケットフィルタリングルールテーブルやフィルタリングのログを記録するログテーブルを有している(たとえば 特許文献１）。
【０００６】
利用者が、パケットフィルタリング機能のメンテナンスを行うとき、上記パケットフィルタリングルールテーブルやログテーブルを表示させて、現在どのようなルールが設定されているか、そのルールによってパケットがどのようにフィルタリングされているかを確認しながらメンテナンスを行う。メンテナンスは主としてパケットフィルタリングルールの更新である。
【０００７】
【特許文献１】特開２００６−６０３０６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００８】
しかし、上記従来のネットワーク機器は、パケットフィルタリングルールテーブルとログテーブルがそれぞれ別々のテーブルとして、別ウィンドウで表示されていたため、ルールとフィルタリングされたパケットのログとの対応関係が視覚的に明確でなく、ログの内容を照査して初めてルールとログとの対応関係が判るというようになっていた。
【０００９】
また、ログは過去のパケットフィルタリングの履歴を記録したものであるため、過去のルールの機能を確認することはできるが、ルールを更新した場合、この更新したルールでパケットがどのようにフィルタリングされるかをログから知ることができなかった。
【００１０】
この発明は、パケットフィルタリングルールとフィルタリング結果のログとの対応関係をわかり易く表示することができ、且つ、更新されたルールの機能をログに基づいて表示することのできるネットワーク機器およびプログラムを提供することを目的とする。
【課題を解決するための手段】
【００１１】
（１）  この発明のネットワーク機器は、パケットの属性を判定する判定条件と、この判定条件に合致したパケットに対して実行する動作を指定する動作指定情報とを含むパケットフィルタリングルールを複数記憶するルール記憶部と、入力されたパケットに対して前記複数のルールを順次適用し、最初に適合したルールに規定されている動作を実行するパケットフィルタリング部と、前記パケットフィルタリング部によってフィルタリングされたパケットのログを記憶するログ記憶部と、前記ルールと、各ルールに適合したパケットのログとを対応づけて表示する対応テーブル画像を生成する画像生成部と、を備えたことを特徴とする。
【００１２】
（１．２）  この発明は、前記画像生成部は、前記生成した対応テーブル画像上で前記ルールの更新を受け付けるＧＵＩ手段を含み、前記ＧＵＩ手段によってルールが更新されたとき、更新されたルールを含む前記複数のルールを前記ログに順次適用し、最初に適合したルールに対応づけるよう前記対応テーブル画像における前記ログの表示を変更することを特徴とする。
【００１３】
（２）  この発明のネットワーク機器の画像生成プログラムは、パケットの属性を判定する判定条件と、この判定条件に合致したパケットに対して実行する動作を指定する動作指定情報とを含むパケットフィルタリングルールを複数記憶するルール記憶部と、入力されたパケットに対して前記複数のルールを順次適用し、最初に適合したルールに規定されている動作を実行するパケットフィルタリング部と、前記パケットフィルタリング部によってフィルタリングされたパケットのログを記憶するログ記憶部と、を備えたネットワーク機器に、前記ルールと、各ルールに適合したパケットのログとを対応づけて表示する対応テーブル画像を生成させる手順を実行させることを特徴とする。
【００１４】
（２．２）  この発明は、さらに、前記生成した対応テーブル画像上で前記ルールの更新を受け付けるＧＵＩ手順、前記ＧＵＩ手順によってルールが更新されたとき、更新されたルールを含む前記複数のルールを前記ログに順次適用し、最初に適合したルールに対応づけるよう前記対応テーブル画像における前記ログの表示を変更する手順、を含むことを特徴とする。
【００１５】
（３）  この発明のファイアウォール管理プログラムは、パケットの属性を判定する判定条件と、この判定条件に合致したパケットに対して実行する動作を指定する動作指定情報とを含むパケットフィルタリングルールを複数記憶するルール記憶部と、入力されたパケットに対して前記複数のルールを順次適用し、最初に適合したルールに規定されている動作を実行するパケットフィルタリング部と、前記パケットフィルタリング部によってフィルタリングされたパケットのログを記憶するログ記憶部と、前記ルール記憶部の記憶内容および前記ログ記憶部の記憶内容を外部出力する通信手段と、を備えたネットワーク機器と通信する情報処理装置に、前記ネットワーク機器から、前記ルール記憶部の記憶内容および前記ログ記憶部の記憶内容を受信する手順、受信した記憶内容に基づき、前記ルールと、各ルールに適合したパケットのログとを対応づけて表示する対応テーブル画像を生成する手順、生成した対応テーブル画像を表示する手順、を実行させることを特徴とする。
【００１６】
（３．１）  この発明は、さらに、前記生成した対応テーブル画像上で前記ルールの更新を受け付けるＧＵＩ手順、前記ＧＵＩ手順によってルールが更新されたとき、更新されたルールを含む前記複数のルールを前記ログに順次適用し、最初に適合したルールに対応づけるよう前記対応テーブル画像における前記ログの表示を変更する手順、前記ＧＵＩ手順による更新内容を、前記ネットワーク機器に送信する手順、を含むことを特徴とする。
【００１７】
（４）  この発明のファイアウォールプログラムは、情報処理装置に、パケットの属性を判定する判定条件と、この判定条件に合致したパケットに対して実行する動作を指定する動作指定情報とを含むパケットフィルタリングルールを複数記憶するルール記憶手順、入力されたパケットに対して前記複数のルールを順次適用し、最初に適合したルールに規定されている動作を実行するパケットフィルタリング手順、前記パケットフィルタリング部によってフィルタリングされたパケットのログを記憶するログ記憶手順、前記ルールと、各ルールに適合したパケットのログとを対応づけて表示する対応テーブル画像を生成させる画像生成手順、生成された対応テーブル画像を表示する手順、を実行させることを特徴とする。
【００１８】
（４．１）  この発明は、さらに、前記生成した対応テーブル画像上で前記ルールの更新を受け付けるＧＵＩ手順、前記ＧＵＩ手順によってルールが更新されたとき、更新されたルールを含む前記複数のルールを前記ログに順次適用し、最初に適合したルールに対応づけるよう前記対応テーブル画像における前記ログの表示を変更する手順、を含むことを特徴とする。
【００１９】
［作用］
この発明では、送受信するパケットをフィルタリングする複数のパケットフィルタリングルールを記憶するとともに、これらルールでフィルタリングされたパケットのログを記録している。そして、上記複数のルールとパケットのログを表示する場合に、複数のルールと、各ルールに適合してこのルールの動作指定情報に基づいて処理されたパケットのログとを、互いに対応づけた対応テーブルの画像を生成する。そして、この対応テーブルの画像を表示することにより、各ルールとログとの対応関係が視覚的にわかり易く表示され、各ルールの機能や、どのパケットがどのルールに基づいて処理されたか、などを一見して知ることができる。
【００２０】
また、この発明では、表示された対応テーブルの画像上でパケットフィルタリングルールを更新するＧＵＩ機能を備えている。画面上でのルールの更新は、ウェブページのエディットボックス等の機能を用いて実現すればよい。ルールが更新されたとき、対応テーブルに表示しているログに対して更新されたルールを再度適用してフィルタリングを行い、更新されたルールに対応するようにログの表示を変更する。これにより、過去にフィルタリングされたパケットのログであっても、このログを用いて、更新されたルールがどのように機能するかを対応づけて表示することが可能である。
【００２１】
なお、上記（１）の発明は、（ファイアウォール機能を備えたルータ装置等の）ネットワーク機器の発明である。生成した対応テーブル画像は、このネットワーク機器にログインしたパーソナルコンピュータの画面に表示すればよい。
【００２２】
上記（２）の発明は、上記ネットワーク機器に上記対応テーブル表示機能を付加するプログラム  （ファームウェア）の発明である。上記（３）の発明は、ネットワーク機器からデータを読み出してパーソナルコンピュータ等の情報処理装置上で対応テーブルを表示するためのプログラムの発明である。上記（４）の発明は、パーソナルコンピュータ等の情報処理装置に搭載されるファイアウォールプログラムの発明である。
【発明の効果】
【００２３】
以上のようにこの発明によれば、パケットフィルタリングルールとフィルタリング結果のログとの対応関係をわかり易く表示することができる。
【００２４】
また、この発明によれば、パケットフィルタリングルールが更新されたとき、過去のログを更新されたルールで再度フィルタリングしてその結果を対応テーブルに表示するため、更新されたルールがどのように機能するかをわかり易く表示することができる。
【発明を実施するための最良の形態】
【００２５】
図面を参照してこの発明の実施形態であるルータ装置について説明する。
【００２６】
ルータ装置は、２つのネットワークを接続する装置であるが、一方のネットワークから他方のネットワークへパケットを転送するとき、そのパケットの転送を許可するか否かを判定し、許可したもののみ通過させ、その他のパケットを破棄するパケットフィルタリングを実行する。
【００２７】
図１は、同ルータ装置のブロック図である。ルータ装置は、４つのＬＡＮ側ポート１４および１つのＷＡＮ側ポート１６を備えている。ＷＡＮ側ポート１６は、インターネットサービスを提供するＩＳＰ等に接続される。ＷＡＮ側ポート１６は、ＰＨＹチップ１５を介してＣＰＵ１０に接続される。
【００２８】
４つのＬＡＮ側ポート１４には、それぞれパーソナルコンピュータ（クライアントＰＣ）等のクライアント装置（不図示）が接続される。これらＬＡＮ側ポート１４は、レイヤ２スイッチチップ１３に接続されている。レイヤ２スイッチチップ１３は、ＬＡＮ側ポート１４に接続される複数のクライアント装置間の通信を制御する。また、このレイヤ２スイッチチップ１３には前記ＣＰＵ１０も接続されている。ＣＰＵ１０は、ＷＡＮ側ポート１６とＬＡＮ側ポート１４との通信を制御する。
【００２９】
ＣＰＵ１０には、フラッシュメモリ１１およびＲＡＭ１２が接続されている。フラッシュメモリ１１は、図２に示すようなパケットフィルタリングルールテーブルを記憶している。また、ＲＡＭ１２は、ＬＡＮ側ポート１４およびＷＡＮ側ポート１６から入力されたパケットを、転送または破棄の処理が決定するまでバッファするとともに、図３に示すログテーブル、および、図４，図５に示すＧＵＩ画面の画像データを記憶する。
【００３０】
ＬＡＮ側ポート１４またはＷＡＮ側ポート１６からパケットが入力されると、このパケットをＲＡＭ１２にバッファするとともに、このパケットに図２のパケットフィルタリングルールを適用して処理（通過／破棄）を決定する。通過と決定したパケットについては相手側のポート（ＷＡＮ側ポート１６またはＬＡＮ側ポート１４）にこれを転送する。破棄と決定したパケットについてはＲＡＭ１２からこれを消去する。そして、このパケットフィルタリングの結果をログに記録するとともに、図４のＧＵＩ画面のログウィンドウを更新する。
【００３１】
なお、ルータ装置１は、自己のアドレシング機能により“１９２．１６８．０．１”のＩＰアドレスが割り当てられており、ＬＡＮ側ポート１４に接続されているクライアントＰＣが、インターネットブラウザで“ｈｔｔｐ：／／１９２．１６８．０．１／”のＵＲＬをアクセスしたとき、ブラウザに対して上記図４のＧＵＩ画面を送信する。これにより、上記クライアントＰＣのブラウザウィンドウに上記ＧＵＩ画面が表示される。また、ルータ装置１は、このブラウザウィンドウに表示するＧＵＩ画面を介してパケットフィルタリングルールの変更を受け付ける。このＧＵＩ画面については、後で詳述する。
【００３２】
なお、この実施形態では、ＷＡＮ−ＬＡＮ間の通信を制御する制御部としてＣＰＵ１０を用いているが、ネットワークプロセッサという専用ＬＳＩを用いてもよい。
【００３３】
図２は、ルータ装置１のフラッシュメモリ１１に設定されるパケットフィルタリングルールテーブルの例を示す図である。このルータ装置１では、パケットの以下の属性を判定条件として用い、適合したパケットに対する動作（Ａｃｔｉｏｎ）は、「通過／破棄」である。
【００３４】
・受信インタフェース
・送信インタフェース
・始点アドレス(source address)
・終点アドレス(destination address)
・プロトコル(protocol)
・始点ポート番号(source port)
・終点ポート番号(destination port)
図２（Ａ）のパケットフィルタリングルールテーブルにおいて、
ルール１は、
・受信インタフェース＝ＬＡＮ
・送信インタフェース＝ＷＡＮ
・始点アドレス＝１９２．１６８．０．０／２４
・終点アドレス＝＊（不問）
・プロトコル＝ｔｃｐ
・始点ポート＝＊
・終点ポート＝８０
の判定条件と、
・動作＝通過
の内容を規定している。
【００３５】
ルール２は、
・受信インタフェース＝ＷＡＮ
・送信インタフェース＝ＬＡＮ
・始点アドレス＝＊
・終点アドレス＝１９２．１６８．０．０／２４
・プロトコル＝ｔｃｐ
・始点ポート＝８０
・終点ポート＝＊
の判定条件と、
・動作＝通過
の内容を規定している。
【００３６】
ルール３は、
・受信インタフェース＝ＬＡＮ
・送信インタフェース＝ＷＡＮ
・始点アドレス＝＊
・終点アドレス＝＊
・プロトコル＝＊
・始点ポート＝＊
・終点ポート＝＊
の判定条件と、
・動作＝破棄
の内容を規定している。
【００３７】
ルール４は、
・受信インタフェース＝ＷＡＮ
・送信インタフェース＝ＬＡＮ
・始点アドレス＝＊
・終点アドレス＝＊
・プロトコル＝＊
・始点ポート＝＊
・終点ポート＝＊
の判定条件と、
・動作＝破棄
の内容を規定している。
【００３８】
ルータ装置１のＣＰＵ１０は、入力されたパケットにこれらルールをルール１から順に適用し、判定条件に合致した場合には、そのルールの動作指定情報に規定された動作を実行する。すなわち、あるルールに適合した場合には、そのルールに規定する動作が実行され、それ以後のルールは適用されない。ここで、動作の「通過」とは、入力されたパケットを相手側ポート（送信インタフェース）に転送する動作である。
【００３９】
なお、図２（Ａ）のパケットフィルタリングルールテーブルは、ＧＵＩで修正可能であり、たとえば、ルール１の終点アドレスを“１７２．１６．０．０／２４”に修正した場合、パケットフィルタリングルールテーブルは、同図（Ｂ）のようになる。
【００４０】
図３は、ＲＡＭ１２に設定されるログテーブルを示す図である。ＣＰＵ１０は、このログテーブルに、入力されたパケットの属性情報およびそのパケットが適合したルールを入力時刻順に記録する。この図では、ログ１０１〜１０７が、適合ルール順に記録されているが、パケットの入力順序は必ずしもこのようになるとは限らない。
【００４１】
図４は、ルータ装置１のＣＰＵ１０が生成し、クライアントＰＣのブラウザに表示されるＧＵＩ画面の例を示している。上述したように、ルータ装置１のＣＰＵ１０は、パケットが入力される毎にそのパケットのログをＲＡＭ１２に設定されたログテーブル（図３）に記録してゆくとともに、同じくＲＡＭ１２に設定されているＧＵＩ画面の画像データのログウィンドウにそのログを追加する。
【００４２】
図４において、このＧＵＩ画面は、図２（Ａ）に示したパケットフィルタリングルールテーブルと図３に示したログテーブルを組み合わせて表示する画面である。この画面上に、ルール１〜４の表示欄２１〜２４が上から順に設定され、ここに各ルールの判定条件と動作が表示される。そして、各ルールの表示欄２１〜２４の直下に、各ルールに適合したパケットのログを表示するログウィンドウ３１〜３４が設定されている。
【００４３】
ルール１に対応するログウィンドウ３１には、ログ１０１，１０２（図３参照）が表示されている。ルール２に対応するログウィンドウ３２には、ログ１０３が表示されている。ルール３に対応するログウィンドウ３３には、ログ１０４，１０５，１０６が表示されている。また、ルール４に対応するログウィンドウ３４には、ログ１０７が表示されている。
【００４４】
このように、このＧＵＩ画面では、単にパケットフィルタリングルールテーブルまたはログテーブルを単独で表示するのみならず（説明は省略するがその機能も備えている）、パケットフィルタリングルールテーブルと、各ルールに適合したパケットのログとを対応づけて組み合わせて表示するため、入力されたパケットが各ルールによってどのようにフィルタリングされているかを視覚的・直感的に把握することができる。
【００４５】
また、クライアントＰＣを操作するユーザは、このＧＵＩ画面上で、パケットフィルタリングルールを更新することができる。たとえば、ルール１の終点アドレスの欄をクリックして入力状態にし、図５に示すように、「＊」から「１７２．１６．０．０／２４」に書き換えることができる。このように、ルールを更新すると、ログとして記録されている各パケットの適合の対応関係が変化するため、表示している各パケットをそのログに基づいて再度フィルタリングし、適合するルールが変化したパケットのログについては、その表示ウィンドウを移動させる。
【００４６】
図５の例では、ルール１の終点アドレスが「＊」から「１７２．１６．０．０／２４」に絞り込まれた結果、ログ１０２のパケットがルール１に適合しなくなり、ログウィンドウ３１から、適合するルール３のログウィンドウ３３に移動することになる。なお、後述するように、ルール３はＬＡＮ→ＷＡＮパケットのデフォルトルールである。
【００４７】
このように、このＧＵＩ画面では、ルールを更新した場合、その更新されたルールでどのようにパケットがフィルタリングされるかを過去のパケットのログでシミュレーションして表示することができるため、ユーザは、今回のルールの更新が正しいか否かを容易に判断することができる。
【００４８】
なお、図５の例では、ルールの判定条件の一部を書き換える更新を行っているが、ルールの更新はこれに限定されず、上記ＧＵＩ画面からの入力操作で、新しいルールの追加、既存のルールの削除等も行うことができる。
【００４９】
図６，図７は、上記ルータ装置１のＣＰＵ１０の動作を示すフローチャートである。
図６は、パケットが入力されたときの処理動作を示すフローチャートである。パケットがＬＡＮ側ポート１４またはＷＡＮ側ポート１６のどちらかから入力されると（Ｓ１）、このパケットにパケットフィルタリングルールを適用してフィルタリングする（Ｓ２〜Ｓ８）。
【００５０】
まずＳ２では、ルール番号を示すｉに１を設定する（Ｓ２）。そして入力されたパケットにルールｉを適用して（Ｓ３）、パケットがこのルールｉの判定条件に適合するか否かを判断する（Ｓ４）。適合した場合には（Ｓ４でＹＥＳ）、このルールに規定されている動作を実行する（Ｓ５）。適合しなかった場合にはｉがＮ（最終ルール）未満であることを条件に（Ｓ６でＮＯ）、ｉに１を加算して（Ｓ７）、Ｓ３にもどる。
【００５１】
もし、パケットがルール１〜Ｎのいずれにも該当しなかった場合には、このパケットを破棄する  （Ｓ８）。なお、この実施形態の図２〜図５に示したルールでは、ルール３，ルール４がデフォルトルールになっており、ＬＡＮ→ＷＡＮ間を転送される全てのパケットがルール３に該当し、ＷＡＮ→ＬＡＮ間を転送される全てのパケットがルール４に該当するため、Ｓ６からＳ８に進む場合はないが、もしデフォルトルールが設定されていない場合であっても、既定のルールに該当しないパケットはこのＳ６→Ｓ８の判断によって破棄される。
【００５２】
パケットをルール既定の動作で処理（Ｓ５）したのち、または、どのルールにも該当せず破棄（Ｓ８）したのち、ＣＰＵ１０は、このパケットの属性情報および適合したルールの番号を図３に示したログテーブルに記録する（Ｓ９）。そして、このログを図４のＧＵＩ画面のログウィンドウに展開して（Ｓ１０）、ルータ装置１にログインしたクライアントＰＣから閲覧できるようにする。
【００５３】
図７は、図４のＧＵＩ画面で、例えば図５に示すようにルールが更新されたときの動作を示すフローチャートである。ＧＵＩ画面上で既存ルールの表示欄を左クリックすると、そのルールの記述内容を変更することができる。また、ＧＵＩ画面上で既存ルールの表示欄を右クリックすると、そのルールの移動・削除および新たなルールの作成をすることができる。このような操作によりルールが更新されると（Ｓ２０）、ログとして記録されているパケットの適合性を再度判断する（Ｓ２２〜Ｓ２６）。
【００５４】
まずＳ２２では、ルール番号を示すｉに１を設定する。そして読み出したログの属性情報にルールｉを適用して（Ｓ２３）、パケットがこのルールｉの判定条件に適合するか否かを判断する（Ｓ２４）。適合した場合には（Ｓ２４でＹＥＳ）、適合ルールが変更になったか（ログに記録されている適合ルールの番号と今回適合したルールの番号が異なるか否か）を判断する（Ｓ２７）。適合ルールが変更になった場合には、ＧＵＩウィンドウに表示しているログを、新たに適合ルールとなったログウィンドウに移動する（Ｓ２８）。適合ルールが変更されなかった場合には、表示は変更しない。
Ｓ２１以下の処理をＧＵＩ画面に表示している全てのログについて実行したのち（Ｓ２９）動作を終了する。
【００５５】
なお、ログテーブルに記録されるログは、図３に示した数よりも多数になることが考えられる。このような場合には、図４，図５のＧＵＩ画面に表示するログの数を制限するようにしてもよい。
【００５６】
また、ＧＵＩ画面として、図４，図５のルール・ログ対応付けテーブルだけでなく、図２のパケットフィルタリングルールテーブル、図３のログテーブルを切り換え表示できるようにしてもよい。この場合において、図２のパケットフィルタリングルールテーブルの単独画面上でルールを更新し、図５のルール・ログ対応付けテーブルに切り換えた場合でも図７の処理を実行するようにすればよい。
【００５７】
なお、この実施形態では、パケットフィルタリング機能を備えたルータ装置について説明したが、この発明は、パケットを転送するネットワーク機器であればどのような装置にも適用することができる。
【００５８】
なお、パケットフィルタリング機能のみを備えた従来のネットワーク機器に対して、図６のＳ１１の機能を実現するプログラムおよび図７の機能を実現するプログラムをファームウェアでアップデートすれば、上記実施形態と同様の機能を備えた機器として動作させることができる。
【００５９】
なお、上記実施形態では、ルータ装置１がＧＵＩ画面を作成し、ルータ装置１にログインしたクライアントＰＣがブラウザを用いてこの画面を表示する構成としたが、ルータ装置１は、ＵＳＢ，シリアル，ネットワーク等のインタフェースを介してパケットフィルタリングルールテーブルおよびログテーブルのデータを出力するのみの構成であり、このパケットフィルタリングルールテーブル・ログテーブルを受信したパーソナルコンピュータがユーティリティプログラムを用いて上記対応テーブルのＧＵＩ画面を作成・表示する構成としてもよい。
【００６０】
図８のフローチャートを参照して、上記パーソナルコンピュータ上で動作するユーティリティプログラムの動作を説明する。パーソナルコンピュータに接続されるネットワーク機器は、パケットフィルタリング機能を備えており、図６のＳ１〜Ｓ１０の処理を実行するとともに、パーソナルコンピュータと通信してパケットフィルタリングルールテーブルおよびログテーブルの内容を送信する機能を備えている。
【００６１】
図８（Ａ）は、対応付けテーブルの表示動作を示すフローチャートである。ネットワーク機器からパケットフィルタリングルールテーブル、ログテーブルの記憶内容を受信すると（Ｓ３１）、ログに記録されている適合ルールの情報に基づいて対応付けテーブルを作成し（Ｓ３２）、これをディスプレイに表示する（Ｓ３３）。
【００６２】
同図（Ｂ）は、対応付けテーブル上でルールが更新された場合の動作を示すフローチャートである。この動作は、図７に示した動作とほぼ同様である。ユーティリティプログラムが規定する操作によりルールが更新されると（Ｓ４０）、ログとして記録されているパケットの適合性を再度判断する  （Ｓ４２〜Ｓ４６）。
【００６３】
まずＳ４２では、ルール番号を示すｉに１を設定する。そして読み出したログの属性情報にルールｉを適用して（Ｓ４３）、パケットがこのルールｉの判定条件に適合するか否かを判断する（Ｓ４４）。適合した場合には（Ｓ４４でＹＥＳ）、適合ルールが変更になったか（ログに記録されている適合ルールの番号と今回適合したルールの番号が異なるか否か）を判断する（Ｓ４７）。適合ルールが変更になった場合には、ＧＵＩウィンドウに表示しているログを、新たに適合ルールとなったログウィンドウに移動する（Ｓ４８）。適合ルールが変更されなかった場合には、表示は変更しない。
【００６４】
Ｓ４１以下の処理をＧＵＩ画面に表示している全てのログについて実行したのち（Ｓ４９）、更新されたルールをネットワーク機器に送信して（Ｓ５０）動作を終了する。
【００６５】
上記実施形態は、パケットフィルタリング機能を備えたネットワーク機器のルールおよびログを対応づけて表示することについて説明したが、この発明は、パーソナルコンピュータのファイアウォールプログラムのパケットフィルタリング機能にも適用することができる。この場合、ファイアウォールプログラムは、図６，図７のように動作する。
【図面の簡単な説明】
【００６６】
【図１】この発明の実施形態であるルータ装置のブロック図
【図２】前記ルータ装置が記憶しているパケットフィルタリングルールテーブルを示す図
【図３】前記ルータ装置が記録するログテーブルを示す図
【図４】前記ルータ装置が作成するＧＵＩ画面を示す図
【図５】前記ルータ装置が作成するＧＵＩ画面を示す図
【図６】前記ルータ装置のパケット処理動作を示すフローチャート
【図７】前記ルータ装置のルール更新時の動作を示すフローチャート
【図８】前記ルータ装置からパケットフィルタリングルールテーブル、ログテーブルの記憶内容を受信したパーソナルコンピュータの動作を示すフローチャート
【符号の説明】
【００６７】
１  ルータ装置
１０  ＣＰＵ
１１  フラッシュメモリ
１２  ＲＡＭ
１３  レイヤ２スイッチチップ
１４  ＬＡＮ側ポート
１５  ＰＨＹチップ
１６  ＷＡＮ側ポート
２１〜２４  ルール表示欄
３１〜３４  ログウィンドウ
１０１〜１０７  ログ
【図１】
2008103999.tif 000003
【図２】
2008103999.tif 000004
【図３】
2008103999.tif 000005
【図４】
2008103999.tif 000006
【図５】
2008103999.tif 000007
【図６】
2008103999.tif 000008
【図７】
2008103999.tif 000009
【図８】
2008103999.tif 000010