(57)【要約】【課題】フィルタリング装置に対するフィルタ設定情報管理をするため、実際の通信をモニタリングすることによって得た情報を用い、フィルタ設定情報を管理し、設定情報を生成することのできるフィルタ設定情報管理装置および方法を得ること。【解決手段】フィルタリング装置を流れる通信をモニタし、モニタ情報保存テーブル２１、アクセス制御情報テーブル２２、ＮＡＴ設定情報テーブル２３、データ一時保存部２４に基づいて、アクセス制御情報およびＮＡＴ設定情報からなるフィルタ設定情報を生成する。【効果】管理者がフィルタリング装置を管理する工程を削減するだけでなく、通信をモニタした情報を用いるため、フィルタ設定情報を正確に管理できる。【選択図】  図６
2005005820.tif 000002
【特許請求の範囲】
【請求項１】
アクセス制御機能、ＮＡＴ（Ｎｅｔｗｏｒｋ  Ａｄｄｒｅｓｓ  Ｔｒａｎｓｌａｔｉｏｎ）機能を持つフィルタリング装置、複数の端末を有する複数のネットワーク間が接続されるネットワークにおいて適用され、前記各ネットワーク間を接続するフィルタリング装置およびフィルタリング装置のフィルタ設定情報を管理するフィルタリング設定情報管理装置において、前記フィルタリング装置に実際に通信しているデータをモニタリングすることにより、発信元アドレス、送信先アドレス、ポート番号、プロトコル、通信の拒否・許可、通信の回数、ＮＡＴの設定をデータ化し登録されるデータベースと、このデータベースに登録された情報に基づき、前記フィルタリング装置のアクセス制御情報を作成するアクセス制御情報作成手段と、ＮＡＴ情報を作成するＮＡＴアドレス変換情報作成手段を備えることを特徴とするフィルタ設定情報管理方法。
【請求項２】
前記フィルタリング装置を通信するデータをモニタリングし、同一の発信元アドレス、送信先アドレス、ポート番号、プロトコル、通信の拒否・許可の条件を持つ通信の回数を数えてソートし、通信回数の多いものから順番に並べ替えるアクセス制御情報ソート機能を用い、前記アクセス制御情報を作成することを特徴とする請求項１に記載のフィルタ設定情報管理方法。
【請求項３】
前記フィルタリング装置を通信するデータをモニタリングし、発信元アドレス、送信先アドレスが異なるが、同一のポート番号、プロトコル、通信の拒否・許可の条件を持つ通信を登録し、同一条件であるアクセスをサブネット単位で纏めるサブネット変換機能を用い、アクセス制御情報を作成することを特徴とする請求項２に記載されたフィルタ設定情報管理方法。
【請求項４】
前記フィルタリング装置を通信するデータをモニタリングし、発信元アドレス、送信先アドレスが異なるが、同一のポート番号、プロトコル、データ内容をもつ通信を登録し、前記ＮＡＴ設定情報を作成することを特徴とする請求項３に記載されたフィルタ設定情報管理方法。
【請求項５】
前記アクセス制御情報ソート機能を用いて作成した前記アクセス制御情報と、前記ＮＡＴアドレス変換情報を編集し、該編集結果をデータベースに登録し、様々な機器のフォーマットに対応するフィルタ設定情報ファイル作成機能を備えることを特徴とするフィルタ設定情報管理方法。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、アクセス制御機能とＮＡＴ機能を持つフィルタリング装置の設定情報を自動作成するための技術に関し、複数のネットワーク間を接続するためのフィルタリング装置に対するアクセス制御情報およびＮＡＴアドレス変換情報を作成し、様々な機器のフォーマットに対応するテキストファイルを作成するフィルタ設定情報管理装置および方法である。
【０００２】
【従来の技術】
フィルタリング装置において、通信を管理することが最重要課題である。そのためにはフィルタリング装置に全てを間違いなく設定する必要がある。そこでフィルタリング装置を管理する技術として、特開２００２−２６１７８８号公報記載の「ファイアウォール管理装置および方法」がある。この技術では、人間に判りやすい定義技術を用いてパケットフィルタリングだけでなくＮＡＴのアドレス変換情報を含めたファイアウォールの設定情報を生成することができることが示されている。
【０００３】
【特許文献１】
特開２００２−２６１７８８号公報
【０００４】
【発明が解決しようとする課題】
しかしながら、人間に判りやすい技術での生成は可能であるが、元となるデータは一つ一つ作成する必要がある。
【０００５】
この発明は、モニタリングすることにより、現状の通信をデータ化しフィルタリング装置におけるフィルタ設定情報を生成することができるフィルタ設定情報管理方法を得ることを目的としている。
【０００６】
【課題を解決するための手段】
上記目的を達成するためにこの発明ではアクセス制御機能およびＮＡＴアドレス変換機能を持つフィルタリング装置、複数の端末を有する複数のネットワークが接続されるネットワークに適用され、発信元アドレス、送信先アドレス、ポート番号、プロトコル、通信の許可・拒否、通信の回数、ＮＡＴ情報、インターフェイスが登録されるデータベースと、このデータベースに蓄積された情報を基に、前記フィルタリング装置のアクセス制御情報を作成するアクセス制御情報作成方法と、ＮＡＴ情報を作成するＮＡＴアドレス変換情報作成手段を備えることを特徴とする。
【０００７】
この発明によると、フィルタリング装置を実際に流れている通信をモニタリングし、発信元アドレス、送信先アドレス、ポート番号、プロトコル、通信の許可・拒否、ＮＡＴ情報、インターフェイスに関する情報を用いることによりアクセス制御情報とＮＡＴアドレス変換情報を生成するようにし、フィルタリング装置の設定情報を作成することができる。
【０００８】
【発明の実施の形態】
本発明の対象とするネットワーク構成の一例を説明する。図１はアクセス制御機能およびＮＡＴアドレス変換機能を持つフィルタリング装置ＦＷ１を用い、ネットワーク１１とネットワーク１２を接続した網構成を示す。
【０００９】
フィルタリング装置ＦＷ１はネットワーク１１とネットワーク１２を繋ぐ装置である。フィルタリング装置はネットワーク１１へインターフェイスＦＷｉ２より接続され、ネットワーク１２へはインターフェイスＦＷｉ３より接続される。フィルタ設定情報管理装置ＭＮ４はフィルタリング装置ＦＷ１のインターフェイスＦＷｉ２に最も近いハブＨＢ５へインターフェイスＭＮｉ７で接続されており、フィルタリング装置ＦＷ１のインターフェイスＦＷｉ３に最も近いハブＨＢ６にインターフェイスＭＮｉ８で接続される。
【００１０】
フィルタリング装置ＦＷ１はネットワーク１１とネットワーク１２との間でどの通信を通過させるか否かを設定された規則に従って判定するアクセス制御機能を有し、さらに他ネットワークへローカルアドレスを隠蔽するために、パケット内のＩＰアドレスを変換するＮＡＴアドレス変換機能を有している。フィルタ設定情報管理装置ＭＮ４においては、ネットワーク管理ソフトウェアＳＷ２０によって、常にネットワーク１１からフィルタリング装置ＦＷ１のインターフェイスＦＷｉ２への通信をモニタしており、ネットワーク１２からフィルタリング装置ＦＷ１のインターフェイスＦＷｉ３への通信をモニタしている。モニタされた情報は発信元アドレス、送信先アドレス、ポート番号、プロトコル、通信の許可・拒否、通信の回数、データ内容、ＮＡＴの情報であり、ネットワーク管理ソフトウェアＳＷ２０によって、インターフェイスＭＮｉ７からの通信要件情報ＤＴ３０およびインターフェイスＭＮｉ８からの通信要件情報ＤＴ３１がフィルタ設定情報管理装置ＭＮ４に蓄積される。
【００１１】
この場合、ネットワーク１１内には、４台の端末４１、４２、４３、４４が含まれる。またネットワーク１２内にも同様に４台の端末４５、４６，４７、４８が含まれる。
【００１２】
ネットワーク１１内の各端末４１〜４４には、図１に示すように、一意なアドレスがＡＤ１〜ＡＤ４がそれぞれ割り振られている。またネットワーク１２内の各端末４５〜４８には、一意なアドレスがＡＤ５〜ＡＤ８がそれぞれ割り振られている。
【００１３】
図２、図３、図４、図５はフィルタ設定情報管理装置ＭＮ４のフィルタ設定情報を生成するネットワーク管理ソフトウェアＳＷ２０の機能構成を示したものである。
【００１４】
図２において、モニタ情報保存テーブル２１、図３において、アクセス制御情報テーブル２２、図４において、ＮＡＴ設定情報テーブル２３は、図５において、各種テーブルを保存するデータベースである。
【００１５】
データ一時保存部２４はパケットのデータを一時的に保存する。
【００１６】
アクセス制御情報編集部２５、ＮＡＴ設定情報編集部２６は管理者とテーブルのインターフェイスである。
【００１７】
アクセス制御情報生成部２７、ＮＡＴ設定情報生成部２８は、フィルタリング装置に設定可能な設定情報ファイルを作成するプログラムである。
【００１８】
以下、個々の詳細について説明する。
【００１９】
モニタ情報保存テーブル２１は、モニタした発信元アドレス、送信先アドレス、ポート番号、プロトコル、通信の許可・拒否、インターフェイスの情報が蓄積される。
【００２０】
アクセス制御情報テーブル２２は、モニタ情報保存テーブル２１から同一条件の発信元アドレス、送信先アドレス、ポート番号、プロトコル、通信の許可・拒否、インターフェイスの通信の回数を数え、その多い順番にソートすることによって並びかえたものを格納する。
【００２１】
データ一時保存部２４は、一例として、フィルタリング装置のインターフェイスＦＷｉ２から入力され、インターフェイスＦＷｉ３から出力されるときに、フィルタリング装置においてＮＡＴアドレス変換機能が設定されていれば、ごく短時間に発信元アドレス、あるいは送信先アドレスが異なっているが、同一のデータを持つパケットがインターフェイスＦＷｉ２とインターフェイスＦＷｉ３を流れる。同一のデータを判定するために、ごく短時間だけ、パケット内のデータを保持するものである。保持する時間は、フィルタリング装置を通過するに十分な時間である。
【００２２】
ＮＡＴ設定情報テーブル２３は、モニタ情報保存テーブル２１より、同一のポート番号、プロトコルであり、かつデータ一時保存部２４より同一のデータを持ち、発信先アドレスと送信先アドレスのみ異なり、ＮＡＴであると判断された通信のＮＡＴ前の発信元アドレス、ＮＡＴ後の発信元アドレス、ＮＡＴ前の送信先アドレス、ＮＡＴ後の送信先アドレス、ポート番号、プロトコル情報を格納するテーブルである。１対１のＮＡＴ機能のみでなく、１対多のＮＡＴ機能も格納するものとする。
【００２３】
アクセス制御情報編集部２５はアクセス制御情報テーブル２２を管理するためのユーザインターフェイスであり、管理者がポリシーに反する情報、また不足する情報を削除、登録、編集を行う。
【００２４】
ＮＡＴ設定情報編集部２６はＮＡＴ設定情報テーブル２３を管理するためのユーザインターフェイスであり、管理者がポリシーに反する情報、また不足する情報を削除、登録、編集を行う。
【００２５】
アクセス制御情報生成部２７はアクセス制御情報編集部２５により編集されたテーブルでは、ホスト単位のアクセス制御をサブネット単位のアクセス制御に変換する機能を持つ。連続したＩＰアドレスを持つ端末から、同一の端末へ通信がある場合、サブネット単位でのアクセス制御へ変換しても同様である場合のみ変換するサブネット変換機能を有する。また様々なフィルタリング装置に対応できるよう、様々なフォーマットでアクセス制御情報ファイルを生成するフォーマット変換機能を有するプログラムである。
【００２６】
ＮＡＴ設定情報生成部２８はＮＡＴ設定情報編集部２６により編集されたテーブルより、様々なフィルタリング装置に対応できるよう、様々なフォーマットでＮＡＴ設定情報ファイルを生成するプログラムである。
【００２７】
サブネット変換機能とは、ネットワーク１１内にある連続するＩＰアドレスであるＡＤ１〜ＡＤ３、一例として１９２．１６８．０．１／２４、１９２．１６８．０．２／２４、１９２．１６８．０．３／２４とするＩＰアドレスを持つ端末３台から、ネットワーク１２内にある１０．０．０．１／１６のＩＰアドレスを持つ端末への通信のモニタした通信要件情報ＤＴ３０はそれぞれのアクセス制御情報として蓄積する。それぞれのアクセス制御情報を発信元アドレスを１９２．１６８．０．０／３０、送信先アドレスを１０．０．０．１／１６と変換し、アクセス制御情報ファイルを作成することにより、通信の判別を行うフィルタリング装置の負荷を低減するものである。
【００２８】
フォーマット変換機能とは、様々なフィルタリング装置の構成定義として用いることを可能とするため、発信元アドレス、送信先アドレス、ポート番号、プロトコル、通信の許可・拒否、ＮＡＴ情報を管理者の追加する語句を挿入し、指定する順序に変換する機能である。一例として発信元アドレス、送信先アドレス、ポート番号、プロトコル、通信の許可・拒否のデータを、［ＡＣＬ  １００  ＜通信の許可・拒否＞＜プロトコル＞＜発信元アドレス＞＜送信先アドレス＞  ｅｑ  ＜ポート番号＞］と追加、変更して、アクセス制御情報についてのフィルタ設定情報ファイルを作成する機能である。
【００２９】
このようにこの実施の形態においては、フィルタ設定情報管理装置ＭＮ４によりモニタした通信要件情報ＤＴ３０および通信要件情報ＤＴ３１を用いて、モニタ情報保存テーブル２１、アクセス制御情報テーブル２２、ＮＡＴ設定情報テーブル２３、データ一時保存部２４、アクセス制御情報編集部２５、ＮＡＴ設定情報編集部２６、アクセス制御情報生成部２７、ＮＡＴ設定情報生成部２８により、フィルタリング装置の所要の設定情報を容易に作成することができる。
【００３０】
なお、上記の実施の形態においては二つのネットワーク間のフィルタリング装置の管理を対象としたが、３つ以上にまたがるフィルタリング装置を管理対象としてもよい。またフィルタリング装置内にこの機能を有することとしてもよい。
【００３１】
【発明の効果】
以上、説明したように本発明によれば、現在、フィルタリング装置を通信しているパケット、データをモニタし、発信元アドレス、送信先アドレス、ポート番号、プロトコル、通信の許可・拒否、通信の回数、ＮＡＴ情報、インターフェイスの情報を用い、アクセス制御情報およびＮＡＴアドレス変換情報を生成することにより、フィルタリング装置における所要の設定情報を自動に作成することができる。
【００３２】
フィルタリング装置における所要の設定情報を自動に作成することにより、フィルタリング装置の設定作業工程を削減できるものとする。
【００３３】
フィルタリング装置における発信元アドレス、送信先アドレス、ポート番号、プロトコル、通信の許可・拒否の同一条件を持つ通信を回数によるソートし、アクセス制御情報を生成することにより、フィルタリング装置のアクセス制御の負荷を軽減することができるものとする。
【図面の簡単な説明】
【図１】この発明を適用するネットワーク接続構成の一例を示すブロック図である。
【図２】モニタ情報保存テーブル２１を示す。
【図３】アクセス制御情報テーブル２２を示す。
【図４】ＮＡＴ設定情報テーブル２３を示す。
【図５】データ一時保存部２４を示す。
【図６】フィルタ設定情報作成手順を示すフローチャートである。
【符号の説明】
ＦＷ１…フィルタリング装置、ＦＷｉ２…インターフェイス、ＦＷｉ３…インターフェイス、ＭＮ４…フィルタ設定情報管理装置、ＨＢ５…ハブ、ＨＢ６…ハブ、ＭＮｉ７…インターフェイス、ＭＮｉ８…インターフェイス、１１…ネットワーク、１２…ネットワーク、ＳＷ２０…ネットワーク管理ソフトウェア、２１…モニタ情報保存テーブル、２２…アクセス制御情報テーブル、２３…ＮＡＴ設定情報テーブル、２４…データ一時保存部、２５…アクセス制御情報編集部、２６…ＮＡＴ設定情報編集部、２７…アクセス制御情報生成部、２８…ＮＡＴ設定情報生成部、３０…通信要件情報ＤＴ、３１…通信要件情報ＤＴ、４１…端末、４２…端末、４３…端末、４４…端末、４５…端末、４６…端末、４７…端末、４８…端末。
【図１】
2005005820.tif 000003
【図２】
2005005820.tif 000004
【図３】
2005005820.tif 000005
【図４】
2005005820.tif 000006
【図５】
2005005820.tif 000007
【図６】
2005005820.tif 000008