(57)【要約】    【課題】IP-SANにおけるセキュリティの脆弱性を解消し、スプーフィングによる不正アクセスを排除する。    【解決手段】正規ユーザのサーバSV-1〜nおよびストレージ装置STR-1〜nにファイアウォール２３を設置し、これらを統括管理するための分散ファイアウォール・マネージャ２７をIP-SAN内に設置する。分散ファイアウォール・マネージャ２７は、iSNSサーバ２１のディスカバリドメイン情報２９を取得し、iSNSサーバ２１に登録されているノードを正規のユーザのノードと見なし、iSCSIネームとポータル情報とのセットによってセキュリティ・ポリシーを自動生成する。このセキュリティ・ポリシーを共通のポリシーとして全てのファイアウォール２３に割り当て、不正アクセスに対してTCP接続要求そのものを拒否するアクセス・コントロールを実行する。【選択図】図１
2005269486.tif 000002
【特許請求の範囲】
【請求項１】
インターネット・プロトコル・ネットワークにファイアウォールを介して接続され、iSCSIネームとポータル情報を有する複数のサーバと、
前記インターネット・プロトコル・ネットワークにファイアウォールを介して接続され、iSCSIネームとポータル情報を有するストレージ装置と、
前記インターネット・プロトコル・ネットワークにファイアウォールを介して接続され、前記複数のサーバおよびストレージ装置のiSCSIネームとポータル情報をアクセス元の集合に定義してアクセス範囲を管理するネームサーバと、
前記インターネット・プロトコル・ネットワークに接続され、前記ネームサーバから取得した前記アクセス元の集合の定義を基にセキュリティ・ポリシーを生成し、前記ファイアウォールに配布する管理サーバと、を有し、
前記複数のサーバ、ストレージ装置およびネームサーバのファイアウォールのいずれかが前記管理サーバから配布されたセキュリティ・ポリシーに基づいて不正アクセスを検知した場合、前記管理サーバは不正アクセス元の情報を入手し前記ファイアウォールの全てに不正アクセス元の情報を通知することを特徴とするインターネット・プロトコルを用いたストレージエリア・ネットワーク・システム。
【請求項２】
前記セキュリティ・ポリシーは、前記アクセス元の集合の定義に登録されているアクセス元に対してはアクセスを許可し、登録されていないアクセス元に対してはアクセスを拒否するものであることを特徴とする請求項１記載のインターネット・プロトコルを用いたストレージエリア・ネットワーク・システム。
【請求項３】
前記アクセス元の集合の定義は、各ディスカバリドメインに対してiSCSIネームとポータル情報のペアを定義したものであることを特徴とする請求項１記載のインターネット・プロトコルを用いたストレージエリア・ネットワーク・システム。
【請求項４】
複数のサーバとストレージ装置がファイアウォールを介してインターネットに接続されたインターネット・プロトコルを用いたストレージエリア・ネットワークにおいて、前記ファイアウォールを管理するためのマネージャを備え、該マネージャはアクセス元の集合の定義を基にセキュリティ・ポリシーを生成し、該セキュリティ・ポリシーを前記ファイアウォールに配布し、前記ファイアウォールは配布されたセキュリティ・ポリシーを参照して正規アクセス元と不正アクセス元を区別するアクセス・コントロールを行ない、前記マネージャは前記ファイアウォールから不正アクセス元からのアクセスを検知したことの通知と不正アクセス元の情報を不正アクセスの情報として受理したとき、前記不正アクセス元の情報を前記ファイアウォールに対して通知することを特徴とするインターネット・プロトコルを用いたストレージエリア・ネットワークにおけるセキュリティ・システム。
【請求項５】
前記マネージャは、前記複数のサーバの１つ以上のサーバに保持されており、前記セキュリティ・ポリシーは、前記アクセス元の集合の定義に登録されているアクセス元に対してはアクセスを許可し、登録されていないアクセス元に対してはアクセスを拒否するものであることを特徴とする請求項４記載のセキュリティ・システム。
【請求項６】
前記アクセス元の集合の定義は、各ディスカバリドメインに対してiSCSIネームとポータル情報のペアを定義したもので、前記複数のサーバの１つ以上のサーバで管理することを特徴とする請求項４記載のセキュリティ・システム。
【請求項７】
前記マネージャは、生成したセキュリティ・ポリシーを、管理者による修正要求により修正することを特徴とする請求項４記載のセキュリティ・システム。
【請求項８】
前記マネージャは、管理者が予め定義した更新間隔により定期的に前記アクセス元の集合の定義を参照し、その定義が更新されたことを契機に前記セキュリティ・ポリシーの更新を行うか、あるいは前記アクセス元の集合の定義を管理する機能によって発行されるネットワークが更新されたことを示す通知の受理を契機として前記アクセス元の集合の定義を参照し、その更新内容に応じて前記セキュリティ・ポリシーの更新を行うか、あるいはネットワークの再構築によってネットワーク機器から発行される通知を受理した契機において前記アクセス元の集合の定義を参照し、その変更内容に応じて前記セキュリティ・ポリシーの更新を行うことを特徴とする請求項４記載のセキュリティ・システム。
【請求項９】
前記マネージャは、前記ファイアウォールに対して行う不正アクセス元の情報の通知に関して、同じ不正アクセスの場合は、これらを１つの通知に集約することを特徴とする請求項４記載のセキュリティ・システム。
【請求項１０】
前記マネージャは、自らの発行する管理用パケットに対して付与される発信元情報を仮想的な発信元情報にスプーフィングし、該マネージャと前記ファイアウォールの間で予め前記仮想的な発信元情報の対応関係を保持しておき、当該マネージャから前記ファイアウォールに対する通信においては、前記仮想的な発信元情報を付与した管理用パケットをユニキャストあるいはマルチキャストで送信し、前記ファイアウォールから前記マネージャに対する通信においては、前記仮想的な発信元情報を宛先情報としてブロードキャストすることを特徴とする請求項４記載のセキュリティ・システム。
【請求項１１】
前記マネージャは、前記ファイアウォールの管理に加え、ファイアウォールとしてのアクセス・コントロールも行なうことを特徴とする請求項４記載のセキュリティ・システム。
【請求項１２】
さらに、前記ファイアウォールあるいは前記マネージャを階層的に管理するマネージャを備えることを特徴とする請求項４記載のセキュリティ・システム。
【請求項１３】
前記マネージャとファイアウォールが行なうアクセス・コントロールは、アクセスコントロールに対して内向きのアクセスに対するアクセスコントロールと、外向きのアクセスに対するアクセスコントロールのどちらか一方、あるいは両方を行うことを特徴とする請求項１１記載のセキュリティ・システム。
【請求項１４】
前記マネージャとファイアウォールが行なうアクセス・コントロールは、全てのアクセス元からのアクセスを拒否する初期設定を施すことを特徴とする請求項４記載のセキュリティ・システム。
【請求項１５】
前記アクセス元の集合の定義の管理は、管理者によって正規アクセス元と判断されたアクセス元によってのみ構成される集合の定義を管理し、前記マネージャからの要求に応じて前記定義を更新し、管理者によって予め定義された通知間隔により定期的に最新の定義を通知するか、管理者の通知要求によって最新の定義を通知することを特徴とする請求項４記載のセキュリティ・システム。
【請求項１６】
1つ以上のファイアウォールを介して接続される1つ以上のストレージ装置と、1つ以上のファイアウォールを介して接続される1つ以上のサーバを有するインターネット・プロトコルを用いたストレージエリア・ネットワークにおいて、前記ファイアウォールを統括管理するための1つ以上のマネージャを備え、該マネージャによって1つ以上のアクセス元の集合の定義を基にセキュリティ・ポリシーを自動生成し、前記ファイアウォールに対してこれを配布し、前記ファイアウォールは、正規アクセス元と不正アクセス元とを区別するアクセス・コントロール、あるいは正規アクセス元に対してアクセス元の集合を区別するアクセス・コントロールを行い、不正アクセス元からのアクセス、あるいは前記ファイアウォールもしくはマネージャの属するアクセス元の集合とは異なるアクセス元の集合からのアクセスを検知したとき、アクセス元の情報とアクセス先の情報と被害状況を主たる不正アクセスの情報として前記マネージャに対して通知し、該マネージャによって、不正アクセス元の情報を前記１つ以上のファイアウォールに対して通知することにより情報共有を図ることを特徴とするインターネット・プロトコルを用いたストレージエリア・ネットワークにおけるセキュリティ・システム。
【請求項１７】
前記マネージャは、管理者が予め定義した前記ファイアウォールの一覧を保持するか、あるいは前記ファイアウォールを管理者が予め定義した間隔により定期的に検出するか、前記ファイアウォールを管理者の指示によって検出することで、前記ファイアウォールの一覧を生成し、前記ファイアウォール毎に固有の識別子を付与することによってこれを管理し、前記ファイアウォールから不正アクセスに関する通知を受理した際、前記マネージャによって前記1つ以上のファイアウォールに対して不正アクセス元の情報を通知することを特徴とする請求項１６記載のセキュリティ・システム。
【請求項１８】
前記ファイアウォールは、前記マネージャから割り当てられる識別子とセキュリティ・ポリシーを受理し、前記アクセス・コントロールを行い、不正アクセスを検知した際、不正アクセスの情報を前記マネージャに対して通知することを特徴とする請求項１６記載のセキュリティ・システム。
【請求項１９】
前記ファイアウォールは、アクセス元の装置が持つ１つ以上の固有情報と識別子との組み合わせによって、正規アクセス元としての条件が成立した場合においてのみ、アクセス元からのアクセスを許可することを特徴とする請求項１６のセキュリティ・システム。
【請求項２０】
複数のサーバとストレージ装置がファイアウォールを介してインターネットに接続されたインターネット・プロトコルを用いたストレージエリア・ネットワークのセキュリティ管理プログラムであって、前記セキュリティ管理プログラムは、
アクセス元の集合の定義を基にセキュリティ・ポリシーを生成するステップと、
前記ファイアウォールと連絡が取れるか通信状態の診断を行なうステップと、
正常な通信が確認された場合、前記ファイアウォールに対して前記セキュリティ・ポリシーを送信するステップと、
前記ファイアウォールから前記セキュリティ・ポリシーに基づく不正アクセスを検知したことの通知と不正アクセス元の情報を受理するステップと、
前記ファイアウォールの全てに不正アクセス元の情報を通知するステップと、
を含むことを特徴とするインターネット・プロトコルを用いたストレージエリア・ネットワークのセキュリティ管理プログラム。
【請求項２１】
複数のサーバとストレージ装置がファイアウォールを介してインターネットに接続されたインターネット・プロトコルを用いたストレージエリア・ネットワークのセキュリティ管理プログラムであって、前記セキュリティ管理プログラムは、
アクセス元の集合の定義に属するアクセス元情報を持つアクセス元を正規のユーザとして判断するステップと、
前記ネットワーク内に管理用パケットをブロードキャストすることにより、これを受取ったファイアウォールを検出するステップと、
検出した前記ファイアウォールに対してファイアウォールＩＤを付与するステップと、
付与したファイアウォールＩＤ毎に前記アクセス元の集合の定義を基にセキュリティ・ポリシーを生成するステップと、
各ファイアウォールに対して前記セキュリティ・ポリシーの割り当てを行ない、アクセス・コントロールの開始要求を行なうステップと、
前記ファイアウォールから前記セキュリティ・ポリシーに基づく不正アクセスを検知したことの通知と不正アクセス元の情報を受理するステップと、
前記ファイアウォールの全てに不正アクセス元の情報を通知するステップと、
を含むことを特徴とするインターネット・プロトコルを用いたストレージエリア・ネットワークのセキュリティ管理プログラム。
【請求項２２】
複数のサーバとストレージ装置がファイアウォールを介してインターネットに接続されたインターネット・プロトコルを用いたストレージエリア・ネットワークにおける前記ファイアウォールで実行されるセキュリティ・プログラムであって、
セキュリティ管理プログラムがアクセス元の集合の定義に基づいて生成したセキュリティ・ポリシーを受理するステップと、
受理したセキュリティ・ポリシーを割り当てるステップと、
アクセス元の情報が前記セキュリティ・ポリシーに定義されているかどうかを判断するステップと、
アクセス元の情報が前記セキュリティ・ポリシーに定義されていない場合、アクセスを拒否するステップと、
前記セキュリティ管理プログラムに対して不正アクセスの検知と不正アクセス元の情報を通知するステップと、
を含むことを特徴とするインターネット・プロトコルを用いたストレージエリア・ネットワークにおけるファイアウォールで実行されるセキュリティ・プログラム。
【請求項２３】
インターネット・プロトコル・ネットワークにファイアウォールを介して接続されるストレージ装置であって、
情報を格納する磁気ディスク装置を有し、
前記ファイアウォールは管理サーバから配布される、アクセス元の集合の定義に登録されているアクセス元に対してはアクセスを許可し、登録されていないアクセス元に対してはアクセスを拒否することを定義したセキュリティ・ポリシーに基づいて正常なアクセスか不正なアクセスかを判断し、不正アクセスを検知した場合は、前記磁気ディスク装置へのアクセスを拒否し、前記管理サーバに不正アクセスがあったことと不正アクセス元の情報を通知することを特徴とするストレージ装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、インターネット・プロトコルを用いたストレージエリア・ネットワーク（以降、IP-SANと表記）におけるセキュリティ管理に関するものである。
【背景技術】
【０００２】
ファイバチャネル・ネットワークにおいて、論理ユニット番号（以降、LUNと表記）を用いたマスキングによるセキュリティ管理は実用に供するものである。これは、ファイバチャネル・ネットワークがIPネットワークに比べて極めて小規模で閉鎖的な利用が主流であるため、アタックによるセキュリティの脅威が表面化していなかったことによる。しかしながら、ファイバチャネル・ネットワークの基盤技術であるSmall Computer System Interface（以降、SCSIと表記）は、伝送距離が非常に短く、かつ環境構築コストが高いため、近年大規模化するIT事業に対しては、保守や拡張の面において不向きである。
【０００３】
このため、低価格で拡張性の高いIPネットワーク技術を用いたIP-SANへのニーズが高まりつつある。従来、閉鎖ネットワークに設置されていたストレージ装置がIPネットワークを介してアクセスされることにより、業務トラフィックとも融合し、ネットワーク規模そのものが拡大される。しかしながらこのために、意図的なアタックによる脅威や、不用意なトラフィック流入によるアクシデントの可能性が増す。
【０００４】
特許文献１に、SANにおけるセキュリティ技術が開示されている。この技術は、従来、分割されたセキュリティ方式を一元的に統合管理し、SANにおいて最善のセキュリティ管理を自動的に行なうために、SANを統合制御する統合管理機構を設置し、ホストとストレージ装置とのアクセス関係をこの管理機構を用いて一括して管理できるようにするものである。
【０００５】
【特許文献１】特開２００２−６３０６３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
従来のLUNマスキング技術では、LUアクセスに至るまでのフェーズにセキュリティの脆弱性が存在した。具体的には、LUへの不正アクセスを防ぐことができても、TCP(Transmission Control Protocol)コネクション確立を許してしまうため、サービス妨害攻撃や分散サービス妨害攻撃などの被害を受ける可能性があった。また、IP-SAN内部において、アタッカーが接続元の情報をスプーフィングし、正規ユーザに成りすますことによって他のノード（イニシエータあるいはターゲット）の一覧を検出したり、検出した他のノードに成りすますことによって、更にノードの検出範囲を広げたりして、アタックの材料と成り得るiSCSIネームやポータル情報やディスカバリドメインなどの情報を連鎖的かつ容易に収集できるという問題があった。
【課題を解決するための手段】
【０００７】
IP-SANの基盤技術であるInternet SCSI（以降、iSCSIと表記）では、アクセス単位であるノード（イニシエータあるいはターゲット）に対して、ノードの固有名称であるiSCSIネームや、IPアドレスとポート番号のセットであるポータル情報などが存在する。IP-SANでは，iSCSIネームやポータル情報などを一括管理することにより、ネーミングサービスを提供したり、ディスカバリドメインと呼ばれるグループによってアクセス範囲を管理するためのネームサーバが存在する。
【０００８】
本発明は、ネームサーバが管理するディスカバリドメイン情報を取得し、これを正規ユーザ情報として用いることにより、セキュリティ・ポリシーを自動生成し、アクセス・コントロールを行うことを主たる特徴とするインターネット・プロトコルを用いたストレージエリア・ネットワークにおけるセキュリティ・システムである。このシステムは、アクセス・コントロールを行うファイアウォールと、このファイアウォールを統括管理するためのマネージャ（以降、分散ファイアウォール・マネージャと表記）とから成り、IP-SAN内部の任意の個所に配置することができる。
【発明の効果】
【０００９】
本発明によれば、インターネット・プロトコルを用いたストレージエリア・ネットワーク（IP-SAN）において、不正アクセスに対してTCP接続要求そのものを拒否することができる。
【００１０】
また、ディスカバリドメイン情報を基にセキュリティ・ポリシーを自動生成することができる。
【発明を実施するための最良の形態】
【００１１】
図２に本発明の対象となるIP-SANの構成例を示す。IPネットワークに複数のサーバSV-1〜SV-nと、複数のストレージ装置STR-1〜STR-nと、iSNSサーバ（Internet Storage Name Server、以降、iSNSサーバと表記）２１と、ファイアウォール管理サーバ２０とが接続される。ファイアウォール管理サーバ２０は、iSNSサーバ２１からディスカバリドメイン情報２９を取得する。更に、ファイアウォール管理サーバ２０の分散ファイアウォール・マネージャ２７によってディスカバリドメイン情報２９に基づくセキュリティ・ポリシーが自動生成され、このセキュリティ・ポリシーはIP-SAN内に配置された各ファイアウォール２３に反映される。
《実施例１》
本実施例では、IP-SANにおいて、iSNSサーバ２１に予め登録された正規ユーザと、それ以外のユーザの間におけるアクセス・コントロール機能を有する分散ファイアウォール・マネージャ２７とファイアウォール２３の例を挙げる。
【００１２】
図１は、実施例１によるIP-SANの論理的な構成を表す図である。ここでは、正規ユーザのサーバSV-1と、アタッカーのサーバSV-2と、ストレージ装置STR-1と、ファイアウォール管理サーバ２０と、iSNSサーバ２１から構成される場合を例に挙げて説明する。正規ユーザのサーバSV-1は、iSCSI対応のホストバスアダプタ（以降、HBAと表記）２２と、ファイアウォール２３を介してIPネットワークに接続されており、アタッカーのサーバSV-2はHBA２４を介して同ネットワークに接続されている。ストレージ装置STR-1のディスク２６は、iSCSI対応のチャネルアダプタ（以降、CHAと表記）２５とファイアウォール２３を介して同ネットワークに接続されている。
【００１３】
図３は、図１で示した実施例１の物理構成を表す。HBA２２，２４およびCHA２５は、CPUによって管理されるメモリと、TCP/IPオフロードエンジン（以降、TOEと表記）と、バスI/Fを有し、それぞれのポート４０，４１，４４を介してIPネットワークに接続される。ストレージ装置STR-1は、CHA２５と、ストレージ本体４５によって構成され、これらはバスI/Fによって接続される。
【００１４】
ファイアウォール２３は、正規ユーザのサーバSV-1と、ファイアウォール管理サーバ２０と、iSNSサーバ２１と、ストレージ装置STR-1のディスクもしくはメモリ上に存在してもよいし、HBA２２，２４と、CHA２５のメモリ上に存在してもよい。また分散ファイアウォール・マネージャ２７はファイアウォール管理サーバ２０のディスクおよびメモリ上に存在する。また、ディスカバリドメイン管理プログラム２８とディスカバリドメイン情報２９は、 iSNSサーバ２１のディスクおよびメモリ上に存在する。さらに、HBA２２のiSCSIネームIaとポータル情報Paは、HBA２２のメモリ上に存在し、HBA２４のiSCSIネームIcとポータル情報Pcは、HBA２４のメモリ上に存在し、CHA２５のiSCSIネームIbとポータル情報Pbは、HBA２５のメモリ上に存在する。
【００１５】
また、分散ファイアウォール・マネージャ２７、および各ファイアウォール２３の場所は限定されない。従って、図３の物理構成は１つの例であり、分散ファイアウォール・マネージャ２７および各ファイアウォール２３は、物理構成上、次に示すような配置方法が考えられる。
（１）IP-SAN内の１装置として外付けされる。
（２）iSCSIアダプタ（HBAもしくはCHA）のメモリ上に保持される。
（３）iSCSIアダプタ（HBAもしくはCHA）のTOEアクセラレータに焼き付けられる。
（４）TCP/IPオフロードを行わない場合、IP-SAN内の機器のディスクあるいはメモリ上に保持される。
【００１６】
分散ファイアウォール・マネージャ２７は、全てのファイアウォール２３に対して、共通なセキュリティ・ポリシーを自動生成して配布する。また、各ファイアウォール２３は、分散ファイアウォール・マネージャ２７によって一括管理される。
【００１７】
次に、正規ユーザの基準について、IP-SAN管理の背景と共に述べる。IP-SANが大規模化するに従い、iSCSIネームの管理コストが増大する。このため、管理者はネットワーク構築過程において、各サーバもしくはストレージ装置がネーミングサービスを利用できるようにするため、iSNSサーバ２１にiSCSIネームとポータル情報を登録する。ここで、iSCSIネームやポータル情報などに代表されるような、ノード（イニシエータあるいはターゲット）に対する１つあるいは複数の固有情報のセットを接続元情報（アクセス元情報）と呼ぶことにする。本実施例において、接続元情報とは、iSCSIネームとポータル情報のペアを指す。
【００１８】
接続元情報は、いかなる場合においても、いずれかのディスカバリドメインに属していなければならない。従って、iSNSサーバ２１におけるネーミングサービスでは、ディスカバリドメインに登録されていないノードは、ディスカバリ操作を行うことができない。このため、管理者がディスカバリドメインに登録した接続元情報は、正規ユーザのものと判断することができる。本実施例では、このディスカバリドメインに登録された正規ユーザの接続元情報を基に、セキュリティ・ポリシーを自動生成する場合について述べる。
【００１９】
図４に、iSNSサーバ２１から取得したばかりのディスカバリドメイン情報２９の例を示す。ディスカバリドメイン情報２９は接続元（アクセス元）の集合の定義であり、各ディスカバリドメインに対して、iSCSIネームとポータル情報のペアが定義されている。この情報を基にして、セキュリティ・ポリシーを自動生成した結果を図５に示す。分散ファイアウォール・マネージャ２７は、iSNSサーバ２１にディスカバリドメイン情報２９が登録されている接続元に対しては、アクセス許可をし、逆にiSNSサーバ２１にディスカバリドメイン情報２９が登録されていない接続元に対しては、アクセス拒否をするようなセキュリティ・ポリシーを自動生成する。
【００２０】
図６に分散ファイアウォール・マネージャ２７の処理フローを示す。分散ファイアウォール・マネージャ２７は、iSNSサーバ２１からディスカバリドメイン情報２９を取得し、これに属する接続元情報を持つ接続元を正規ユーザのノードとして判断し、図５のセキュリティ・ポリシーを生成する（ステップS1）。
【００２１】
次に、分散ファイアウォール・マネージャ２７は、IP-SAN内に配置された各ファイアウォール２３を統合管理するために、各ファイアウォール２３と正常に連絡がとれるか、通信状態の診断を行う（ステップS2）。
【００２２】
正常な通信が確認された場合、各ファイアウォール２３に対して、図５のセキュリティ・ポリシーを送信し（セキュリティ・ポリシーの割り当て）、アクセス・コントロールの開始要求を出す（ステップS3）。何らかの通信障害が発生し、各ファイアウォール２３と連絡が取れない場合は、管理者に障害通知を行い（ステップS8）、処理を中断する。
【００２３】
各ファイアウォール２３がそれぞれの配置場所において不正アクセスを検知したことの通知を受理したか否かの判定を行い（ステップS4）、分散ファイアウォール・マネージャ２７の管理化にある１つ以上、あるいは全ファイアウォール２３にアタッカーの接続元情報を通知する（ステップS5）。
【００２４】
管理者に対しても不正アクセスがあったことを通知し（ステップS6）、ステップS7に移行する。もし、ステップS4において、いずれのファイアウォール２３からも不正アクセスを検知したことの通知がなかった場合は、単にステップS7に移行する。ステップS7では、管理者からの終了要求があったか否かを判定し、終了要求があった場合は処理を中断する。終了要求が無い場合は、ステップS4からの処理を繰り返す。
【００２５】
分散ファイアウォール２７と各ファイアウォール２３の間で交換される様々な管理用の情報を、管理情報と呼ぶことにする。図７に管理情報の例を示す。図７には、後述する実施例２で取り扱われる管理情報も合わせて記載されている。同図において左から順に、管理情報を発行する通知元を表すカラム、その管理情報を受け取る通知先を表すカラム、管理情報を発行するきっかけとなる検知内容を表すカラム、通知先に対する管理情報の内訳である通知事項を表すカラムを示している。
【００２６】
また、通知事項に含まれる管理情報種別は、どういったタイプの管理情報であるかを分類するための指標であり、これには不正アクセスを示すもの、通信失敗を示すもの、ディスカバリドメイン情報の取得失敗を示すものなどが考えられる。例えば、分散ファイアウォール２７において、不正な接続元情報による接続要求の検知をした場合、不正アクセスを表す管理情報種別と、不正な接続元情報と、その攻撃対象（イニシエータやターゲットの情報）と、同じ接続元情報による攻撃の再現回数と、攻撃を受けたファイアウォール２３のファイアウォールID（実施例２）を管理者に通知する。ここで、攻撃対象、攻撃の再現回数、攻撃を受けたファイアウォール２３のファイアウォールIDは被害状況を表している。
【００２７】
次に、分散ファイアウォール・マネージャ２７によって管理される各ファイアウォール２３の処理フローを図８に示す。分散ファイアウォール・マネージャ２７からのセキュリティポリシー割り当ての要求を受理するまでスタンバイ状態となっている（ステップS10）。
【００２８】
要求を受理したら、図５で示したセキュリティ・ポリシーを実際に割り当て、これに基づくアクセス・コントロールを開始する（ステップS11）。
【００２９】
IP-SANにおけるイニシエータとターゲット間の論理的な通信路は、iSCSIプロトコルによるiSCSIセッションによって実現される。iSCSIセッションは、イニシエータがターゲットに対してTCPコネクションを確立し、更に両者の間で認証を行うことによって成立する。
【００３０】
アクセスコントロールでは、いずれかのノードがファイアウォール２３にアクセスしようとした場合、ファイアウォール２３は割り当てられたセキュリティ・ポリシーを参照し、アクセスしてきたノードの接続元情報が、iSCSIネームがIaで、かつポータル情報がPaである場合か、あるいはiSCSIネームがIbで、かつポータル情報がPbである場合において、そのノードからのTCP接続を許可し、逆に上記の接続元情報に該当しない場合は、そのアクセスをアタッカーによる攻撃と見なし、TCP接続を拒否する（ステップS12，S13，S14）。
【００３１】
また、TCＰ接続を拒否する場合、アタッカーの接続元情報と共に、不正アクセスが発生したことを分散ファイアウォール・マネージャ２７に対して通知する（ステップS15）。これは、あるファイアウォール２３が検出した不正アクセスの結果を1つ以上のファイアウォール２３で共有し、二次被害を阻止するための機能である。ファイアウォール２３は、分散ファイアウォール・マネージャ２７あるいは管理者からの終了要求を受理するまで、ステップS12からの処理を繰り返す。
【００３２】
次に、分散ファイアウォール・マネージャ２７と各ファイアウォール２３の有する各種機能について述べる。まず、分散ファイアウォール・マネージャ２７は、自動生成したセキュリティ・ポリシーに対して、管理者による修正要求があった場合、これを修正することができる。ここでいう修正とは、自動生成されたアクセス許可のセキュリティ・ポリシーを、管理者がアクセス拒否に修正することや、逆に自動生成されたアクセス拒否のセキュリティ・ポリシーを管理者がアクセス許可に修正することなどである。これは、メインテナンスのために一時的に正規ユーザに対してもアクセス拒否を行ったり、逆に正規ユーザとして登録することが確定しているがディスカバリドメイン未登録のノードに対して事前にアクセス許可を行ったりする場合などが想定される。
【００３３】
また、分散ファイアウォール・マネージャ２７は、アタッカーの情報共有機能を逆手にとった攻撃、すなわち、１つあるいは複数のサーバに対して連続した不正アクセスを行い、分散ファイアウォール・マネージャ２７に対する通知を意図的に増加させることによるサービス妨害攻撃あるいは分散サービス妨害攻撃を回避するため、不正アクセスの通知に含まれる接続元情報が同じ場合、各ファイアウォール２３に対する情報共有のための通知を１つの通知に集約し、重複して送信しないようにする。
【００３４】
また、分散ファイアウォール・マネージャ２７は、ネットワーク機器の追加変更に伴い随時運用中に変化するネットワークの状態によって更新されるディスカバリドメイン情報２９に対して、定期的あるいは管理者の指示に従って、最新のディスカバリドメイン情報２９に基いたセキュリティ・ポリシーの更新を行うことができる。セキュリティ・ポリシーの更新契機の例として、各ファイアウォール２３がSCN(State Change Notification)パケットを検知した際、これをネットワーク機器の追加変更と判断して分散ファイアウォール・マネージャ２７に通知し、分散ファイアウォール・マネージャ２７がiSNSサーバ２１からディスカバリドメイン情報２９を取得し、取得したディスカバリドメイン情報２９に登録されている接続元情報に対してのみアクセス許可を行い、それ以外の接続元情報に対してアクセス拒否を行うセキュリティ・ポリシーを自動生成し、これにより現行のセキュリティ・ポリシーを更新することが考えられる。
【００３５】
また、IP-SAN内に配置された各ファイアウォール２３には、デフォルトで全ノードからのアクセスを拒否するような初期設定を施すことができる。これは、分散ファイアウォール・マネージャ２７によって最初のセキュリティ・ポリシーの割り当てが行われるまでの間にアタッカーによる攻撃を受ける可能性があるため、これを回避するための機能として有効である。
【００３６】
また、分散ファイアウォール・マネージャ２７には、マネージャとしての機能以外にIP-SAN内に配置された各ファイアウォール２３と同様のアクセス・コントロール機能を有している。これは、IP-SAN内に分散するセキュリティ・リスクを分散ファイアウォール・マネージャ２７によって集約しているため、分散ファイアウォール管理サーバ２０自体のセキュリティ確保が必須となるためである。また、分散ファイアウォール・マネージャ２７が各ファイアウォール２３に対してセキュリティ・ポリシーを配布する際、分散ファイアウォール・マネージャ２７内のアクセス・コントロール機能に対しても、他のファイアウォール２３と同様にセキュリティ・ポリシーを設定する。
【００３７】
また、分散ファイアウォール・マネージャ２７は、ネットワークの規模や形状に応じて複数配置することが可能である。例えば、この機能により、各分散ファイアウォール・マネージャ２７が管理するセグメント毎の管理情報を集約した情報を、マネージャ・オブ・分散ファイアウォール・マネージャで一括管理することにより、管理通知によるネットワーク負荷を軽減することができる。また、それぞれの分散ファイアウォール・マネージャ２７とマネージャ・オブ・分散ファイアウォール・マネージャの間では、IPアドレスやポート番号など、レイヤ３でのアクセス・コントロール機能を有している。
【００３８】
また、分散ファイアウォール・マネージャ２７が各ファイアウォール２３と通信する際、あるいはiSNSサーバ２１と通信する際に発行される送受信パケットがアタッカーによって盗聴された場合、ファイアウォール管理サーバ２０の位置（IPアドレスとポート番号など）が容易にトレースされてしまう可能性がある。このことは、攻撃経路の絞込みに対して情報を与えることに繋がるため、ファイアウォール管理サーバ２０の位置は容易に特定されないことが望ましい。分散ファイアウォール・マネージャ２７が他のノードと通信する際、要求パケット（管理用パケット）のヘッダ情報に付与される発信元情報（IPアドレスやポート番号など）を、予め分散ファイアウォール・マネージャ２７に対して設定した仮想的な発信元情報にスプーフィングしてユニキャストあるいはマルチキャストにて発行することができる。この場合、分散ファイアウォール・マネージャ２７と各ファイアウォール２３の間で予め仮想的な発信元情報の対応関係を保持しておく必要がある。また、各ファイアウォール２３から分散ファイアウォール・マネージャ２７に対する応答パケットについても要求パケット同様に、スプーフィングしたパケットをブロードキャストにて発行することができる。分散ファイアウォール・マネージャ２７は、この仮想的な発信元情報宛のパケットを受理した際、自分宛のパケットであると判断する必要がある。また、アタッカーによる盗聴を防ぐには、必ずしも上記のような手段を用いる必要はなく、送受信パケットの暗号化などを行ってもよい。
【００３９】
また、分散ファイアウォール・マネージャ２７と各ファイアウォール２３は、それぞれの有する自アクセス・コントロール機能の外側から内側に向かうトラフィックだけでなく、自アクセス・コントロール機能の内側から外側に向かうトラフィックに対してもアクセス・コントロールを行うことができる。これは、何らかの手段によって自アクセス・コントロール機能の内側にスパイウェアが設置されていた場合など、アタッカーに対する情報漏洩の危険があるためである。このため、自動生成されたセキュリティ・ポリシーによって信頼された正規ユーザ以外に対してトラフィックが送出されようとした場合、これをアクセス・コントロール機能によって遮断する機能を有している。
【００４０】
以上の説明のとおり実施例１によれば、以下に挙げるような効果を得ることができる。
（１）スプーフィングによりiSNSを突破されても（iSNSサーバが不正アクセスを検知できなかった場合）、ストレージ側でアタッカーの侵入を防ぐことができる。
（２）ストレージ装置に直接接続する攻撃者の侵入を防ぐことができる。
（３）アクセス・コントロールは、ターゲットへのTCP接続より前段のフェーズで行うため、サービス妨害攻撃や分散サービス妨害攻撃などを防ぐことができる。
（４）ファイアウォールはIP-SAN内部の任意の個所に配置できるため、ネームサービスの情報や、他の正規ユーザの情報など、１つのセキュリティ・ホールが原因で発生する連鎖的な被害の拡大を防ぐことができる。
《実施例２》
iSNSサーバ２１におけるネーミングサービスの特徴は、その接続元情報の属するディスカバリドメイン内のノードに対してのみディスカバリ操作を実行できる点にある。このため、管理者が接続元情報をディスカバリドメインに振り分ける際、セキュリティの境界を意識しながら登録するのが一般的である。本実施例では、IP-SANにおいて、iSNSサーバ２１に予め登録された正規ユーザの中で、ディスカバリドメイン間のアクセス・コントロール機能を有する分散ファイアウォール・マネージャ２７とファイアウォール２３の例を挙げる。
【００４１】
実施例２の論理構成を図９に示す。正規ユーザのサーバSV-11、SV-12がIPネットワークを介してファイアウォール管理サーバ２０、iSNSサーバ２１、ストレージ装置STR-1と接続されている。また、接続元情報Ia，Paのペア、Ib，Pbのペアは、ディスカバリドメインDD1に属し、接続元情報Ib，Pbのペア、Ic，Pcのペアは、ディスカバリドメインDD2に属している。また、本実施例は、ディスカバリドメイン間のアクセス・コントロールについて述べるものであり、正規ユーザ以外の接続要求は上記実施例１と同様に拒否できるものとする。
【００４２】
実施例２の物理構成は、実施例１における物理構成（図３）と同様であり、図９における正規ユーザのサーバSV-11，SV-12は、図２における正規ユーザのサーバSV-1，アタッカーのサーバSV-2に対応する。また、論理構成と物理構成の対応関係も実施例１と同様である。
【００４３】
分散ファイアウォール・マネージャ２７は、全てのファイアウォール２３に対して、一意に割り当てたファイアウォールID（図１１参照）毎のセキュリティ・ポリシーを自動生成して配布する。各ファイアウォール２３は、分散ファイアウォール・マネージャ２７によって一括管理される。
【００４４】
次に、実施例２における分散ファイアウォール・マネージャ２７の処理フローを図１０に示す。分散ファイアウォール・マネージャ２７は、iSNSサーバ２１からディスカバリドメイン情報２９を取得し、これに属する接続元情報を持つ接続元を正規ユーザのノードとして判断する（ステップS20）。
【００４５】
次に、分散ファイアウォール・マネージャ２７は、IP-SAN内に配置された各ファイアウォール２３を統合管理するために、各ファイアウォール２３を自動検出する（ステップS21）。自動検出は、管理用パケットをIP-SAN内にブロードキャストすることにより、これを受け取った各ファイアウォール２３が分散ファイアウォール・マネージャ２７に対して応答パケットを返すことにより実施する。
【００４６】
次に、管理用パケットを検出したファイアウォール２３に対して、ファイアウォールIDを自動的に付与する（ステップS22）。これは、IP-SAN内に複数設置されたファイアウォール２３を一意に識別するための識別子である。次に、分散ファイアウォール・マネージャ２７は、図１１に示すように、ファイアウォールID毎にセキュリティ・ポリシーを自動的に生成する。
【００４７】
実施例２における各ファイアウォール２３の処理フローは、実施例１における図８の処理フローと同じである。
【００４８】
図１１では、正規ユーザのサーバSV-11のファイアウォール２３に対して、ファイアウォールID（FW-ID1）が割り当てられており、正規ユーザのサーバSV-12のファイアウォール２３に対して、ファイアウォールID（FW-ID2）が割り当てられており、ファイアウォール管理サーバ２０の分散ファイアウォール・マネージャ２７に対して、ファイアウォールID（FW-ID3）が割り当てられており、iSNSサーバ２１のファイアウォール２３に対して、ファイアウォールID（FW-ID4）が割り当てられており、ストレージ装置STR-1のファイアウォール２３に対して、ファイアウォールID（FW-ID5）が割り当てられている。
【００４９】
更に、ファイアウォール管理サーバ２０に対して、固有情報としてIPアドレスIP1が割り当てられており、iSNSサーバ２１に対して、固有情報としてIPアドレスIP2が割り当てられている。また、実施例２におけるIPアドレスIP1、IP2はあくまでも機器の持つ固有情報の１つとして挙げたものであり、この他にもMAC(Media Access Control)アドレスやホスト名などを固有情報として考えることができる。
【００５０】
次に、正規ユーザのサーバSV-11を例にとって、自動生成されるセキュリティ・ポリシーの一例について説明する。正規ユーザのサーバSV-11は、ファイアウォールID（FW-ID1）を持つため、ディスカバリドメインDD1に属し、ＩaとPaとFW-ID1のセットによるアクセス、ＩbとPbとFW-ID5のセットによるアクセス、IP1とFW-ID3のセットによるアクセス、IP2とFW-ID4のセットによるアクセス、以外のアクセスを拒否するようなセキュリティ・ポリシーが割り当てられている。
【００５１】
再び図１０を参照する。各ファイアウォール２３に対して、セキュリティ・ポリシーの割り当てを行い、アクセス・コントロールの開始要求を出す（ステップS24）。
【００５２】
次に、１つあるいは複数のファイアウォール２３がそれぞれの配置場所において、不正アクセスを検知したことの通知を受理したか否かの判定を行い（ステップS25）、不正アクセス検知の通知を受理した場合、分散ファイアウォール・マネージャ２７の管理化にある１つ以上のファイアウォール２３にアタッカーの接続元情報を通知する（ステップS26）。そして、管理者に対しても不正アクセスがあったことを通知し（ステップS27）、ステップS28に移行する。
【００５３】
もし、いずれのファイアウォール２３も不正アクセスを検知しなかった場合は、単にステップS25からステップS28に移行する。ステップS28では、管理者からの終了要求があったか否かを判定し、終了要求があった場合は処理を中断する。終了要求が無い場合、ステップS25からの処理を繰り返す。
【００５４】
以上の説明とおり実施例２によれば、上記実施例１の効果（１）〜（４）以外に、さらに、下記の効果を得ることができる。
（５）アクセス元の装置に対して直接割り当てられるiSCSIネームやポータル情報やMACアドレスなどの固有情報と共に、各ファイアウォールを一意に識別するために分散ファイアウォール・マネージャが割り当てる識別子であるファイアウォールIDとの組み合わせによって正規アクセス元であるか否かの判定を行うことができるため、アタッカーによってiSCSIネームやポータル情報やMACアドレスなどを全てスプーフィングしたアクセスを受けたとしても、不正アクセスとしてこれを拒否することができる。また、このファイアウォールIDは、パケットのオプション領域に含めて送信する方法と、各ファイアウォールの間でファイアウォールIDのネゴシエーションを行い、信頼できるファイアウォールIDの場合にのみアクセス許可を行うことができる。後者の場合、アクセス元情報のスプーフィングに関わらず、ファイアウォールを導入していない装置からのアクセスを全て拒否することができる。
【図面の簡単な説明】
【００５５】
【図１】実施例１におけるIP-SANの論理構成を示す図である。
【図２】IP-SANの構成例を示す図である。
【図３】実施例１と実施例２におけるIP-SANの物理構成を示す図である。
【図４】ディスカバリドメイン情報の例を示す図である。
【図５】ディスカバリドメイン情報を基に分散ファイアウォール・マネージャが自動生成したセキュリティポリシーの例を示す図である。
【図６】実施例１と実施例２における分散ファイアウォール・マネージャの処理フローを示す図である。
【図７】分散ファイアウォール・マネージャおよび各ファイアウォールにおける管理情報通知の例を示す図である。
【図８】実施例１と実施例２における各ファイアウォールの処理フローを示す図である。
【図９】実施例２におけるIP-SANの論理構成を示す図である。
【図１０】実施例２における分散ファイアウォール・マネージャの処理フローを示す図である。
【図１１】実施例２におけるファイアウォールID毎のセキュリティ・ポリシーの定義を示す図である。
【符号の説明】
【００５６】
SV-1，SV-2，SV-n…サーバ、
STR-1,STR-2,STR-n…ストレージ装置、
２０…ファイアウォール管理サーバ、
２１…iSNSサーバ、
２２，２４…iSNS対応ホストバスアダプタ、
２３…ファイアウォール、
２５…iSNS対応チャネルアダプタ、
２６…ディスク、
２７…分散ファイアウォール・マネージャ、
２８…ディスカバリドメイン管理（プログラム）、
２９…ディスカバリドメイン情報、
４０，４１，４２，４３，４４…ポート、
４５…ストレージ本体。
【図１】
2005269486.tif 000003
【図２】
2005269486.tif 000004
【図３】
2005269486.tif 000005
【図４】
2005269486.tif 000006
【図５】
2005269486.tif 000007
【図６】
2005269486.tif 000008
【図７】
2005269486.tif 000009
【図８】
2005269486.tif 000010
【図９】
2005269486.tif 000011
【図１０】
2005269486.tif 000012
【図１１】
2005269486.tif 000013