(57)【要約】【課題】複数のセキュリティポリシーを関連づけた記述が容易、且つ、パケットフィルタリングの処理負担も軽減したファイアウォール装置を提供する。【解決手段】複数のセキュリティポリシーをＧＵＩ画面から入力設定する。各セキュリティポリシーの入力領域は、その包含関係を表すように他のポリシーの入力領域の内部に表示される。ファイアウォール装置は、その入れ子に表示されている複数のセキュリティポリシーを、外側のものが上位（一般）ポリシー、内側のものが（下位）例外ポリシーであるとして、上位のものから先に適用してパケットをフィルタリングする。【選択図】  図５
2008107919.tif 000002
【特許請求の範囲】
【請求項１】
セキュリティポリシーを表示する表示領域を表示画面上に生成する表示領域生成手段と、
生成された表示領域内に、利用者が入力したセキュリティポリシーを記述するポリシー入力手段と、
ポリシー入力手段で記述されたセキュリティポリシーを記憶するポリシー記憶手段と、
ポリシー記憶手段に記憶されているセキュリティポリシーを用いてパケットをフィルタリングするパケット処理手段と、
を備えたファイアウォール装置であって、
前記表示領域生成手段は、利用者の操作に応じて、表示領域を、他の表示領域の内部に生成し、
前記パケット処理手段は、外側の表示領域のセキュリティポリシーである上位ポリシー、内側の表示領域のセキュリティポリシーである下位ポリシーの順に適用してパケットをフィルタリングする
ファイアウォール装置。
【請求項２】
前記ポリシー入力手段は、前記下位ポリシーについて、上位ポリシーに対する変更箇所のみを記述し、
前記パケット処理手段は、前記下位ポリシーについて、前記変更箇所のみを適用してパケットをフィルタリングする
請求項１に記載のファイアウォール装置。
【請求項３】
前記ポリシー入力手段は、パケットがこのセキュリティポリシーの対象に該当するかを判定する判定ルールと、パケットがこのセキュリティポリシーの対象に該当したとき実行するべき動作を指定した動作指定情報とを記述し、
前記パケット処理手段は、パケットが上位ポリシーに該当するとき、このパケットが下位ポリシーに該当するかを判断し、
このパケットが下位ポリシーにも該当したとき、この下位ポリシーの動作指定情報で指定された動作を実行し、前記パケットが下位ポリシーに該当しないとき上位ポリシーが指定する動作を実行する
請求項１または請求項２に記載のファイアウォール装置。
【請求項４】
パケット処理装置に、
セキュリティポリシーを表示する表示領域を表示画面上に生成する表示領域生成手順と、
生成された表示領域内に、利用者が入力したセキュリティポリシーを記述するポリシー入力手順と、
ポリシー入力手順で記述されたセキュリティポリシーを記憶するポリシー記憶手順と、
ポリシー記憶手順で記憶されたセキュリティポリシーを用いてパケットをフィルタリングするパケット処理手順と、
を実行させるファイアウォールプログラムであって、
前記表示領域生成手順は、利用者の操作に応じて、表示領域を、他の表示領域の内部に生成する手順を含み、
前記パケット処理手順は、外側の表示領域のセキュリティポリシーである上位ポリシー、内側の表示領域のセキュリティポリシーである下位ポリシーの順に適用してパケットをフィルタリングする手順を含む
ファイアウォールプログラム。
【請求項５】
前記ポリシー入力手順は、前記下位ポリシーについて、上位ポリシーに対する変更箇所のみを記述する手順であり、
前記パケット処理手順は、前記下位ポリシーについて、前記変更箇所のみを適用してパケットをフィルタリングする手順である
請求項４に記載のファイアウォールプログラム。
【請求項６】
前記ポリシー入力手順は、パケットがこのセキュリティポリシーの対象に該当するかを判定する判定ルールと、パケットがこのセキュリティポリシーの対象に該当したとき実行するべき動作を指定した動作指定情報とを記述する手順を含み、
前記パケット処理手順は、パケットが上位ポリシーに該当するとき、このパケットが下位ポリシーに該当するかを判断する手順と、
このパケットが下位ポリシーにも該当したとき、この下位ポリシーの動作指定情報で指定された動作を実行し、前記パケットが下位ポリシーに該当しないとき上位ポリシーが指定する動作を実行する手順を含む
請求項４または請求項５に記載のファイアウォールプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、送受信されるパケットを選別するファイヤウォール装置に関する。
【背景技術】
【０００２】
ファイアウォールは、信頼できないネットワークと信頼できるネットワークとの間のアクセスを制御するための装置（または機能）である。具体的には、社内ネットワーク（信頼できるネットワーク）とインターネット（信頼できないネットワーク）の間で出入りするパケットを監視し、予め決められたセキュリティポリシーに基づいてパケットを通過させたり破棄したりする装置である。このセキュリティポリシーは、パケットの属性に基づいて通過させるパケットと破棄するパケットを分別するものである。
【０００３】
ネットワークを伝送されるパケット（ＩＰパケット）は、送信元や宛先を示す送信元ＩＰアドレス，送信先ＩＰアドレス、サービス（アプリケーション）の種類を表す送信元ポート、送信先ポート等の属性を有している。どのような属性のパケットを通過させ、どのような属性のパケットを破棄するかをセキュリティポリシーとしてファイアウォールに設定することにより、ファイアウォールは、特定のデータだけを通すことができ、外部から流れてくる不要なデータを遮断したり、内部からのデータの漏えいを防ぐことができる。
【特許文献１】特開２００４−３４２０７２号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
従来のファイアウォール装置では、図７に示すようにパケットをフィルタリングするセキュリティポリシーを線形のリスト状に記述したセキュリティポリシー設定テーブルを記憶し、パケットが入力されると、そのパケットに対してリストの上位から順にセキュリティポリシーを適用して該当するセキュリティポリシーがあるか否かを検査していた。
【０００５】
このような判定方法であるため、セキュリティポリシーの記述順序に厳格さが求められた。すなわち、セキュリティポリシーが常に上から順に参照されるため、判定条件が緩やかな（多くのパケットが該当する）一般ポリシーと、この一般ポリシーに該当するパケットのなかの一部が該当する、すなわち、パケットの該当範囲が一般ポリシーの該当範囲に包含される例外ポリシーとがある場合には、必ず例外ポリシーを上位に記述しなければならない。なぜならば、例外ポリシーに該当するパケットは必ず一般ポリシーに該当するため、先に一般ポリシーを適用して判定した場合には、例外ポリシーに該当するパケットも例外ポリシーが適用されるまえに一般ポリシーに該当するパケットととして処理されてしまうためである。このため、常に各セキュリティポリシーの包含関係を考慮しながら順序を決めてセキュリティポリシーを記述してゆく必要があった。
【０００６】
また、このような線形の記述方式では、たとえ一般ポリシー，例外ポリシーの関係にあるセキュリティポリシーであっても、各ポリシーを独立したセキュリティポリシーとして記述する必要があり、パケットの全ての属性情報についての判定条件を記述する必要があった。このため、複数のセキュリティポリシー間（例えば一般ポリシーと例外ポリシーの間）で重複する判定条件があっても、一方を省略することができず、記述が重複して冗長になってしまううえ、パケットフィルタリング処理においても、各セキュリティポリシーごとに重複した判定条件について判定する必要があり、処理が重複して処理部の負担が増してしまうという問題点があった。
【０００７】
また、全てのセキュリティポリシーが線形に記述されているため、係員がそのリストを一覧したときに、どれが一般ポリシーでどれが例外ポリシーであるかを直感的に把握することができなかった。
【０００８】
この発明は、複数のセキュリティポリシーを関連づけた記述が容易、且つ、パケットフィルタリングの処理負担も軽減したファイアウォール装置を提供することを目的とする。
【課題を解決するための手段】
【０００９】
請求項１の発明は、セキュリティポリシーを表示する表示領域を表示画面上に生成する表示領域生成手段と、生成された表示領域内に、利用者が入力したセキュリティポリシーを記述するポリシー入力手段と、ポリシー入力手段で記述されたセキュリティポリシーを記憶するポリシー記憶手段と、ポリシー記憶手段に記憶されているセキュリティポリシーを用いてパケットをフィルタリングするパケット処理手段と、を備えたファイアウォール装置であって、前記表示領域生成手段は、利用者の操作に応じて、表示領域を、他の表示領域の内部に生成し、前記パケット処理手段は、外側の表示領域のセキュリティポリシーである上位ポリシー、内側の表示領域のセキュリティポリシーである下位ポリシーの順に適用してパケットをフィルタリングすることを特徴とする。
【００１０】
請求項２の発明は、前記ポリシー入力手段は、前記下位ポリシーについて、上位ポリシーに対する変更箇所のみを記述し、前記パケット処理手段は、前記下位ポリシーについて、前記変更箇所のみを適用してパケットをフィルタリングすることを特徴とする。
【００１１】
請求項３の発明は、前記ポリシー入力手段は、パケットがこのセキュリティポリシーの対象に該当するかを判定する判定ルールと、パケットがこのセキュリティポリシーの対象に該当したとき実行するべき動作を指定した動作指定情報とを記述し、前記パケット処理手段は、パケットが上位ポリシーに該当するとき、このパケットが下位ポリシーに該当するかを判断し、このパケットが下位ポリシーにも該当したとき、この下位ポリシーの動作指定情報で指定された動作を実行し、前記パケットが下位ポリシーに該当しないとき上位ポリシーが指定する動作を実行することを特徴とする。
【００１２】
請求項４の発明は、パケット処理装置に、セキュリティポリシーを表示する表示領域を表示画面上に生成する表示領域生成手順と、生成された表示領域内に、利用者が入力したセキュリティポリシーを記述するポリシー入力手順と、ポリシー入力手順で記述されたセキュリティポリシーを記憶するポリシー記憶手順と、ポリシー記憶手順で記憶されたセキュリティポリシーを用いてパケットをフィルタリングするパケット処理手順と、を実行させるファイアウォールプログラムであって、前記表示領域生成手順は、利用者の操作に応じて、表示領域を、他の表示領域の内部に生成する手順を含み、前記パケット処理手順は、外側の表示領域のセキュリティポリシーである上位ポリシー、内側の表示領域のセキュリティポリシーである下位ポリシーの順に適用してパケットをフィルタリングする手順を含むことを特徴とする。
【００１３】
請求項５の発明は、前記ポリシー入力手順は、前記下位ポリシーについて、上位ポリシーに対する変更箇所のみを記述する手順であり、前記パケット処理手順は、前記下位ポリシーについて、前記変更箇所のみを適用してパケットをフィルタリングする手順であることを特徴とする。
【００１４】
請求項６の発明は、前記ポリシー入力手順は、パケットがこのセキュリティポリシーの対象に該当するかを判定する判定ルールと、パケットがこのセキュリティポリシーの対象に該当したとき実行するべき動作を指定した動作指定情報とを記述する手順を含み、前記パケット処理手順は、パケットが上位ポリシーに該当するとき、このパケットが下位ポリシーに該当するかを判断する手順、このパケットが下位ポリシーにも該当したとき、この下位ポリシーの動作指定情報で指定された動作を実行し、前記パケットが下位ポリシーに該当しないとき上位ポリシーが指定する動作を実行する手順を含むことを特徴とする。
【発明の効果】
【００１５】
この発明によれば、大まかな（一般的な）セキュリティポリシーを決めたのちに、その例外を定義するという人間の思考プロセスに合致しているため、直感的な設定が可能であるとともに、設定後に、その設定内容を観察した場合でも、設定の意図を直感的に把握することができる。
【発明を実施するための最良の形態】
【００１６】
≪発明の概略説明≫
まず、図１〜図３を参照して、この発明のセキュリティポリシー記述方式およびセキュリティポリシー処理方式の概略を説明する。これらの図では、デフォルトセキュリティポリシーを含めて７つのセキュリティポリシーが記述されている場合について説明する。
ここで、この実施形態におけるセキュリティポリシーとは、パケットの属性の全部または一部を指定する判定ルールと、パケットがこの判定ルールに該当したとき、そのパケットに対して行う処理を指定した動作指定情報とを含むデータである。
【００１７】
図１は、各セキュリティポリシーの包含関係を示す図である。図２は各セキュリティポリシーが記述されたセキュリティポリシーテーブルの例を示す図である。図３は、各セキュリティポリシーに基づくパケット処理の決定木を示す図である。
図１において、デフォルト（全ての条件に当てはまる）セキュリティポリシーはＣ０である。すなわちＣ０は、入力される全てのパケットが該当（適合）するセキュリティポリシーであり、そのパケットが該当する他のセキュリティポリシーがなかった場合には、このデフォルトセキュリティポリシーＣ０の動作指定情報にしたがって処理される。
【００１８】
デフォルトセキュリティポリシーＣ０を除く各セキュリティポリシーは、パケットの属性情報（属性１〜属性Ｎ）のうち、１または複数の属性情報についてその内容を指定する判定ルールを有している。パケットの属性がこの指定された内容と一致したとき、そのパケットはこのセキュリティポリシー（判定ルール）に該当するとされる。一般的に、この判定ルールに記述された条件（該当条件）が詳細であるほど、そのセキュリティポリシーにパケットが該当する該当範囲が狭くなる。また、各セキュリティポリシーにはそのセキュリティポリシーの該当条件に一致したパケットに対する処理を指定する動作指定情報（Ａ１〜Ａ７）も規定されている。
【００１９】
この図では、パケットの該当範囲が、（Ｃ１）⊃（Ｃ１．１）⊃（Ｃ１．１．１）、（Ｃ１）⊃
（Ｃ１．２）、（Ｃ２）⊃（Ｃ２．１）となっている。すなわち、セキュリティポリシーＣ１とセキュリティポリシーＣ１．１の関係で言えば、セキュリティポリシーＣ１が上位階層のセキュリティポリシーである上位ポリシー（一般ポリシー）で、セキュリティポリシーＣ１．１が下位階層セキュリティポリシーである下位ポリシー（例外ポリシー）の関係になる。また、セキュリティポリシーＣ１．１とセキュリティポリシーＣ１．１．１の関係で言えば、セキュリティポリシーＣ１．１が上位ポリシーでセキュリティポリシーＣ１．１．１が下位ポリシーの関係になる。また、Ｃ１とＣ２、および、Ｃ１．１とＣ１．２は、ぞれぞれ同階層に並列したセキュリティポリシーである。
【００２０】
図２は、図１に示したセキュリティポリシーのメモリ上の記憶形態の一例を示す図である。この例では、セキュリティポリシーテーブルを構成してセキュリティポリシー群を記憶している。上述のように、各セキュリティポリシーは、ルール番号（Ｃ以下の数値）で階層が識別される。すなわち、ルールＣ１．１、ルールＣ１．２は、ルールＣ１の下位階層のルールであり、ルールＣ１．１．１は、ルールＣ１．１の下位階層のルールであることが判る。各セキュリティポリシーは、パケットの各属性（属性１〜属性Ｎ）に対する条件および動作からなる。デフォルトセキュリティポリシーＣ０は、全ての属性について無審査（＊）である。セキュリティポリシーＣ１は、属性１について「ａ０」、属性２について「ｂ０」、属性３について「ｃ０」の該当条件を規定している。その他の属性についての該当条件は上位ポリシーに従うこととして記述されていない。なお、Ｃ１の場合、上位ポリシーはデフォルトセキュリティポリシーＣ０であるため、他の属性の適合条件は無審査（＊）である。
【００２１】
セキュリティポリシーＣ１．１は、該当条件として、属性４についての「ｄ０」のみを規定している。他の属性についての該当条件は一般ポリシーに従う。したがって、セキュリティポリシーＣ１．１の全属性についての該当条件は、「属性１＝ａ０、属性２＝ｂ０、属性３＝ｃ０、属性４＝ｄ０、属性５〜Ｎ＝＊」となる。
【００２２】
セキュリティポリシーＣ１．１．１は、該当条件として、属性１についての「ａ１」を規定している。この該当条件「ａ１」は、セキュリティポリシーＣ１の該当条件である「ａ０」に包含される条件（ａ１⊂ａ０）である。たとえば、「ａ０」がＩＰアドレス１９２．１６８．０．１〜６３の範囲であり、ａ１が１９２．１６８．０．１〜７の範囲であるというような場合である。このように、上位ポリシーに既に規定されている属性についてさらに該当条件を規定してもよい。下位ポリシーの該当条件が、上位ポリシーの該当条件よりも狭い範囲のパケットに該当するものであれば、下位ポリシーとして機能する。
【００２３】
なお、仮に下位ポリシーの該当条件が、上位ポリシーの該当条件よりも広い範囲のパケットに該当するものであった場合には、上位ポリシーに適合するパケットは、全て下位ポリシーにも該当することとなり、下位ポリシーとしての機能を果たさないが、パケットフィルタリング機能に実害はない。
【００２４】
以下同様に、セキュリティポリシーＣ１．２は、該当条件として属性４についての「ｄ１」を規定している。また、セキュリティポリシーＣ２は、属性３について「ｃ２」、属性４について「ｄ２」の適合条件を規定している。そして、セキュリティポリシーＣ２．１は、適合条件として属性Ｎについての「ｎ２」を規定している。
【００２５】
なお、セキュリティポリシーを識別するためのポリシー名「Ｃ１」，「Ｃ１．１」等は、ユーザがセキュリティポリシー設定を行うときに入力するのではなく、ファイアウォール装置によって自動的に付される。後述の図５に示すようなＧＵＩを用いてセキュリティポリシーを入力して設定することにより、ファイアウォール装置が階層関係を自動的に把握することができ、ファイアウォール装置が、この把握した階層関係を分かりやすく表すようなポリシー名を自動的に付してセキュリティポリシーテーブルに登録する。なお、各セキュリティポリシーのポリシー名は、上記のような様式のものに限定されない。
【００２６】
図３は、図１，図２のように階層化されたセキュリティポリシーでパケットをフィルタリングする場合の決定木(Decision Tree) を示している。この決定木では、各セキュリティポリシーが、左に上位ポリシー、右に行くほど下位ポリシーになるように配列されている。同じ列（カラム）に上下に並んでいるセキュリティポリシーは、同じ階層で並列に規定されたセキュリティポリシーである。
【００２７】
この決定木において、入力されたパケットには、まずデフォルトポリシーＣ０が適用される。デフォルトポリシーＣ０には、全てのパケットが該当するため、判断は、必ず下位ポリシー（Ｃ１，Ｃ２）に進む。このように、適用したセキュリティポリシーにパケットが該当すると、次にその直下の下位ポリシーをそのパケットに適用する。同じ階層に複数のセキュリティポリシーが存在する場合には、上に配列されたセキュリティポリシーから順にパケットに適用する。
【００２８】
ここでは、まずＣ１が適用される。パケットがセキュリティポリシーＣ１に適合すると、次にセキュリティポリシーＣ１のさらに下位のセキュリティポリシーがこのパケットに対して適用される。もし、パケットがセキュリティポリシーＣ１に適合しなかった場合には、同じ階層のセキュリティポリシーＣ２がこのパケットに適用される。パケットがセキュリティポリシーＣ２に適合すると、このセキュリティポリシーＣ２のさらに下位のセキュリティポリシーがこのパケットに対して適用される。もし、パケットがセキュリティポリシーＣ２にも適合しなかった場合には、同じ階層のセキュリティポリシーがもう存在しないため、このパケットはデフォルトポリシーＣ０にのみ適合することが分かる。このため、ファイアウォール装置は、このパケットに対して、デフォルトポリシーの動作指定情報で指定される動作Ａ１の処理を行う。このように、パケットが入力されたとき、このパケットに対して、決定木を順次辿ってセキュリティポリシーを適用してゆき、次に適用するセキュリティポリシーがなくなったとき、最後のセキュリティポリシーに対して不適合（Ｎｏ）であった場合には、その直ぐ上位のセキュリティポリシーに規定された動作を実行する。
【００２９】
また、パケットがセキュリティポリシーＣ１に該当して下位ポリシーであるＣ１．１、Ｃ１．２がこのパケットに対して適用される場合も上記と同様である。まずＣ１．１が適用される。パケットがセキュリティポリシーＣ１．１に適合すると、次にセキュリティポリシーＣ１のさらに下位のセキュリティポリシーであるＣ１．１．１がこのパケットに対して適用される。パケットがセキュリティポリシーＣ１．１．１に該当した場合、このセキュリティポリシーＣ１．１．１のさらに下位のセキュリティポリシーは存在しないため、このパケットはＣ１．１．１に適合することが分かる。このため、このパケットに対しては、セキュリティポリシーＣ１．１．１の動作指定情報に指定されている動作Ａ４を実行する。このように、パケットが入力されたとき、このパケットに対して、決定木を順次辿ってセキュリティポリシーを適用してゆき、次に適用するセキュリティポリシーがなくなったとき、最後のセキュリティポリシーが該当（Ｙｅｓ）であった場合には、その最後に該当したセキュリティポリシーに規定された動作を実行する。
【００３０】
もし、パケットがセキュリティポリシーＣ１．１．１に該当しなかった場合には、次のセキュリティポリシーがもう存在しないため、このパケットはセキュリティポリシーＣ１．１に該当することが分かる。このため、このパケットに対して、セキュリティポリシーＣ１．１に規定された動作であるＡ３を実行する。
【００３１】
また、パケットがセキュリティポリシーＣ１．１に該当しなかった場合には、同じ階層のセキュリティポリシーＣ１．２がこのパケットに適用される。パケットがセキュリティポリシーＣ１．２に該当した場合、このセキュリティポリシーＣ１．２のさらに下位のセキュリティポリシーは存在しないため、このパケットはＣ１．２に適合することが分かる。このため、このパケットに対して、セキュリティポリシーＣ１．２に規定された動作であるＡ５を実行する。
【００３２】
さらに、パケットがセキュリティポリシーＣ１．１にもＣ１．２にも適合しなかった場合には、同じ階層のセキュリティポリシーがもう存在しないため、このパケットはセキュリティポリシーＣ１に適合することが分かる。このため、このパケットに対して、セキュリティポリシーＣ１に規定された動作であるＡ２を実行する。
【００３３】
このように、このセキュリティポリシー処理方式では、入力されたパケットに対して、先にパケットの該当範囲が広い上位ポリシー（一般ポリシー）を適用して大枠の属性を絞り込むため、下位の例外ポリシーの判定ではその例外部分の属性のみを判定すればよく、重複した属性の判定を省略して効率的な判定が可能になる。
【００３４】
≪ルータ装置≫
以下、図４〜図６を参照して、上記セキュリティポリシー記述方式・処理方式を適用したルータ装置について説明する。
ルータ装置は、２つのネットワークを接続する装置であるが、一方のネットワークから他方のネットワークへパケットを転送するとき、そのパケットの転送を許可するか否かを判定し、許可できるもののみ通過させるパケットフィルタリングを実行する。
【００３５】
図４において、ルータ装置は、４つのＬＡＮ側ポート１４および１つのＷＡＮ側ポート１６を備えている。ＷＡＮ側ポート１６は、インターネットサービスを提供するＩＳＰ等に接続される。ＷＡＮ側ポート１６は、ＰＨＹチップ１５を介してＣＰＵ１０に接続される。
４つのＬＡＮ側ポート１４には、それぞれクライアント装置（不図示）が接続される。これらＬＡＮ側ポート１４は、レイヤ２スイッチチップ１３に接続されている。レイヤ２スイッチチップ１３は、ＬＡＮ側ポート１４に接続される複数のクライアント装置間の通信を制御する。また、このレイヤ２スイッチチップ１３には前記ＣＰＵ１０も接続されている。ＣＰＵ１０は、ＷＡＮ側ポート１６とＬＡＮ側ポート１４との通信を制御する。
【００３６】
ＣＰＵ１０には、フラッシュメモリ１１およびＲＡＭ１２が接続されている。フラッシュメモリ１１は、図２に示したようなセキュリティポリシーテーブルを記憶している。ＲＡＭ１２は、ＬＡＮ側ポート１４およびＷＡＮ側ポート１６から入力されたパケットを、転送または破棄の処理が決定するまでバッファする。
なお、この実施形態では、ＷＡＮ−ＬＡＮ間の通信を制御する制御部としてＣＰＵ１０を用いているが、ネットワークプロセッサという専用ＬＳＩを用いてもよい。
【００３７】
図５（Ａ）は、このルータ装置が生成するセキュリティポリシー設定画面の表示例を示す図である。また、図６はこの設定画面に表示されたセキュリティポリシー群の決定木を示す図である。
図５（Ａ）のセキュリティポリシー設定画面はルータのＣＰＵ１０が作成し、このルータ装置にネットワークを介してアクセスしたクライアントＰＣの画面に表示されるものである。たとえば、ＬＡＮに接続されたクライアントＰＣがインターネットブラウザで“ｈｔｔｐ：／／１９２．１６８．０．１”のアドレスをアクセスすると、ブラウザウィンドウに表示される画面である。この表示画面は、図１に示したようなセキュリティポリシーの包含関係を示す概念図をウィンドウ表示しやすいように矩形にし、各矩形の中に図２に示したような各セキュリティポリシーを記述できるようにしたものである。
【００３８】
この図では、図１〜図３で説明したセキュリティポリシーを具体的且つ簡略化して示している。セキュリティポリシーは、「受信インタフェース」，「送信インタフェース」，「始点アドレス」，
「終点アドレス」，「サービス」の属性の全部または一部について該当条件を規定している。そして動作指定情報として、そのパケットを通過させる「通過：・」、または、破棄する「破棄：×」の２種類のうちいずれかが規定される。
【００３９】
図５（Ａ）においては、Ｐ１〜Ｐ７のセキュリティポリシーがそれぞれの記述領域に表示されている。Ｐ１は、ＬＡＮからＷＡＮに転送されるパケットのデフォルトポリシーである。すなわち、受信インタフェースがＬＡＮ側ポート、送信インタフェースがＷＡＮ側ポートのパケットは、原則として破棄するというポリシーである。その下位ポリシーがＰ２である。Ｐ２は、Ｐ１に該当したパケットでもサービス（プロトコル等）が必須サービスに係るパケットの場合には通過させるというポリシーである。
【００４０】
さらに、その下位ポリシーがＰ３およびＰ４である。ポリシーＰ３は、Ｐ２に該当したパケットでも始点アドレスが１９２．１６８．０．２１〜２５５の場合には、破棄するというポリシーである。また、ポリシーＰ４は、Ｐ２に該当したパケットでもＦＴＰのパケットの場合には破棄するというポリシーである。
【００４１】
これらのセキュリティポリシーにより、図６（Ａ）に示すように、ＬＡＮ側ポートからＷＡＮ側ポートに転送されるパケットのうち、必須サービスのパケットで、始点アドレスが１９２．１６８．０．１〜２０のもの、なおかつ、サービスがＦＴＰ（ファイル転送プロトコル）のものを除いて通過させることができる。
【００４２】
また、Ｐ５は、ＷＡＮからＬＡＮに転送されるパケットのデフォルトポリシーである。すなわち、受信インタフェースがＷＡＮ側ポート、送信インタフェースがＬＡＮ側ポートのパケットは、原則として破棄するというポリシーである。その下位ポリシーがＰ６である。Ｐ６は、Ｐ５に該当したパケットでもサービスがＳＩＰ（Session Initiation Protocol:インターネット電話プロトコルの一種）のパケットの場合には通過させるというポリシーである。またさらに、その下位ポリシーがＰ７である。ポリシーＰ７は、Ｐ６に該当するパケットでも始点アドレスが迷惑電話リストに登録されているアドレスの場合には、そのパケットを破棄するというポリシーである。これらのセキュリティポリシーにより、図６（Ｂ）に示すように、ＷＡＮ側ポートからＬＡＮ側ポートに転送されるパケットのうち、始点アドレスが迷惑電話リストに登録されていないＳＩＰのパケットのみを通過させることができる。
なお、各セキュリティポリシーの該当性の判定においては、判定ルールとして記述されている属性情報のみを判定し、記述されていないものについては判定しない。これは、上位ルールの判定によって、既にフィルタリングされているからである。
【００４３】
図５（Ａ）に示したセキュリティポリシー設定画面において、ユーザは、マウスを右クリックすることにより、同図（Ｂ）のメニューリストを表示させることができ、このメニューリストから所望のメニューを選択することにより、この階層化されたセキュリティポリシーテーブルを作成することができる。
同図（Ｂ）は、画面が右クリックされたとき、ルータ装置が生成・表示するメニューリストを示す図である。メニューリストは、「編集」、「削除」、「コピー」、「ペースト」、「追加（並列）」、「追加（絞り込み）」、「無効」の各メニューで構成されている。
【００４４】
ユーザが、テーブルに新たなセキュリティポリシーを追加する場合には「追加（並列）」または
「追加（絞り込み）」のメニューを選択する。「追加（並列）」が選択された場合には、ルータ装置は、そのときマウスで右クリックされたセキュリティポリシーの記述領域と同じ階層に新たなセキュリティポリシー記述領域を作成する。たとえば、同図（Ａ）では、Ｐ３の領域でこの「追加（並列）」を選択するとＰ４の記述領域が生成される
【００４５】
また、「追加（絞り込み）」が選択された場合には、ルータ装置は、そのときマウスで右クリックされたセキュリティポリシーの記述領域の下位に新たなセキュリティポリシー記述領域を作成する。たとえば、同図（Ａ）では、Ｐ２の領域でこの「追加（並列）」を選択するとＰ３またはＰ４の記述領域が生成される
【００４６】
ユーザが、先に設定したセキュリティポリシーを複製したい場合には、「コピー」および「ペースト」のメニューを選択する。「コピー」が選択されると、ルータ装置は、そのときマウスで右クリックされた領域のセキュリティポリシーをバッファに記憶する。次に、「ペースト」が選択されると、そのときマウスで右クリックされた領域の下位にコピーしたセキュリティポリシーの領域を作成し、バッファした内容を表示する。
【００４７】
「編集」メニューは、既に設定されているセキュリティポリシーを修正するためのメニューである。ルータ装置は、「編集」が選択されると、そのときマウスで右クリックされた領域の判定ルールおよび動作選択情報の修正を可能にする。
【００４８】
「削除」メニューは、設定されているセキュリティポリシーを削除するためのメニューである。ルータ装置は、「削除」が選択されると、そのときマウスで右クリックされた領域のセキュリティポリシーを削除する。
【００４９】
「無効」メニューは、設定されているセキュリティポリシーを削除することなく、一時的に適用されないようにするためのメニューである。ルータ装置は、「無効」が選択されたとき、そのときマウスで右クリックされた領域のセキュリティポリシーを無効にするとともに、その記述領域を暗く（グレー）表示に変更する。再度同じ「無効」の操作が行われたとき、ルータ装置は、その領域のセキュリティポリシーを再度有効にするとともに、表示を元に戻す。この場合において、セキュリティポリシーを無効しているときには、「無効」ボタンが「有効」ボタンに表示が変更され、上記「再度同じ「無効」の操作」が「有効」の操作となるようにしてもよい。
【００５０】
なお、ルータ装置が実行する上記「コピー」、「ペースト」、「削除」、「編集」の処理動作は、右クリックで指定された領域のセキュリティポリシーのみに対する処理として実行されるようにしてもよく、さらに、そのセキュリティポリシーに従属する下位ポリシーを含めた処理として実行されるようにしてもよい。
【００５１】
また、同図（Ａ）の設定画面において、セキュリティポリシーの記述領域を左クリックした状態でマウスを移動させる（ドラッグする）と、そのセキュリティポリシーを移動させることができる。たとえば、同じ階層内に複数のセキュリティポリシーが並列に設定されている場合、最もパケットが適合する可能性の高いセキュリティポリシーを先頭に持ってくることにより、以下のポリシー判定処理を少なくすることができるため、このドラッグで判定順序を入れ換えるメンテナンスを行えるようにしている。また、これにより、同じ階層内で複数のセキュリティポリシーを従来のように線形に記述し、例外ポリシーを一般ポリシーの上位に移動させるというメンテナンスも可能である。
【００５２】
なお、上記のセキュリティポリシー設定画面におけるポリシー設定において、下位ポリシーとして、上位ポリシーの該当範囲内で該当するパケットを持たないようなポリシーを設定してしまった場合、たとえば、上位ポリシーとして「サービス：ＨＴＴＰ」の判定ルールが設定されているのに、下位ポリシーとして「サービス：ＦＴＰ」の判定ルールをを設定してしまった場合、この下位ポリシーは無意味であるが、判定が全てＮＯとなるので、結局上位ポリシーの動作指定情報に従ってパケットが処理されることになり、パケットフィルタリングにおける実害はない。
【００５３】
設定入力終了時に、装置が、上記のような無意味なポリシーを判定して自動的に削除するようにしてもよい。
上記実施形態では、ルータ装置について説明したが、この発明は、パケットを転送しつつ、パケットフィルタリングを行う装置であれば、どのような装置にも適用することができる。また、パケットを転送する相手は、ＷＡＮとＬＡＮに限定されない。
【図面の簡単な説明】
【００５４】
【図１】各セキュリティポリシーの包含関係を示す図
【図２】各セキュリティポリシーが記述されたセキュリティポリシーテーブルの例を示す図
【図３】各セキュリティポリシーに基づくパケット処理の決定木を示す図
【図４】この発明の実施形態であるルータ装置のブロック図
【図５】上記ルータ装置が生成するセキュリティポリシー設定画面の表示例を示す図
【図６】上記セキュリティポリシーの設定画面に表示されたセキュリティポリシー群の決定木を示す図
【図７】従来のセキュリティポリシー設定画面の表示例を示す図
【符号の説明】
【００５５】
１０  ＣＰＵ
１１  フラッシュメモリ
１２  ＲＡＭ
１３  レイヤ２スイッチチップ
１４  ＬＡＮ側ポート
１５  ＰＨＹチップ
１６  ＷＡＮ側ポート
【図１】
2008107919.tif 000003
【図２】
2008107919.tif 000004
【図３】
2008107919.tif 000005
【図４】
2008107919.tif 000006
【図５】
2008107919.tif 000007
【図６】
2008107919.tif 000008
【図７】
2008107919.tif 000009