(57)【要約】【課題】アクセスルールが変更された場合に、ネットワーク間で不要な通信が発生しないようにする。【解決手段】自己のネットワーク１０ａにおけるアクセスルール３ａが変更された場合に、アクセス制御支援装置１ａが、その変更の影響を受ける相手のネットワーク１０ｂに対してアクセスルールの変更内容を送信すると共に、相手のネットワーク１０ｂにおけるアクセス制御支援装置１ｂが、この変更内容を受信し、これを用いて自己のアクセスルール３ｂを変更する。これにより、通信元のネットワークでのアクセスルールの変更が、関連する通信先のネットワークでも共有されるようにする。【選択図】図１
2007266849.tif 000002
【特許請求の範囲】
【請求項１】
複数のネットワーク間での通信の許否を、各ネットワークに対応して設けられた制御装置により、通信元のネットワークのアドレス、通信先のネットワークのアドレス、通信の許否を関連付けたアクセスルールに基づいて制御するときの動作をアクセス制御支援装置で支援するネットワークアクセス制御支援システムであって、
自己のネットワークにおけるアクセス制御支援装置は、
ネットワークのアドレスを含むネットワーク情報を記憶しておく記憶手段と、
第１格納手段に格納されている自己のネットワークに対応するアクセスルールが変更された場合に、その変更内容と前記ネットワーク情報とを用いて変更対象のネットワークのアドレスを特定する特定手段と、
アドレスが特定された相手のネットワークにおけるアクセス制御支援装置に対してアクセスルールの変更内容を送信する送信手段と、を有し、
相手のネットワークにおけるアクセス制御支援装置は、
アクセスルールの変更内容を受信する受信手段と、
受信したアクセスルールの変更内容を用いて第２格納手段に格納されている自己のネットワークに対応するアクセスルールを変更する変更手段と、
を有することを特徴とするネットワークアクセス制御支援システム。
【請求項２】
複数のネットワーク間での通信の許否を、各ネットワークに対応して設けられた制御装置により、通信元のネットワークのアドレス、通信先のネットワークのアドレス、通信の許否を関連付けたアクセスルールに基づいて制御するときの動作をアクセス制御支援装置で支援するネットワークアクセス制御支援方法であって、
自己のネットワークにおけるアクセス制御支援装置により、
第１格納手段に格納されている自己のネットワークに対応するアクセスルールが変更された場合に、その変更内容と、記憶手段に記憶されていネットワークのアドレスを含むネットワーク情報とを用いて変更対象のネットワークのアドレスを特定するステップと、
アドレスが特定された相手のネットワークにおけるアクセス制御支援装置に対してアクセスルールの変更内容を送信するステップと、を有し、
相手のネットワークにおけるアクセス制御支援装置により、
アクセスルールの変更内容を受信するステップと、
受信したアクセスルールの変更内容を用いて、第２格納手段に格納されている自己のネットワークに対応するアクセスルールを変更するステップと、
を有することを特徴とするネットワークアクセス制御支援方法。
【請求項３】
複数のネットワーク間での通信の許否を、各ネットワークに対応して設けられた制御装置により、通信元のネットワークのアドレス、通信先のネットワークのアドレス、通信の許否を関連付けたアクセスルールに基づいて制御するときの動作を支援するアクセス制御支援装置であって、
ネットワークのアドレスを含むネットワーク情報を記憶しておく記憶手段と、
格納手段に格納されている自己のネットワークに対応するアクセスルールが変更された場合に、その変更内容と前記ネットワーク情報とを用いて変更対象のネットワークのアドレスを特定する特定手段と、
アドレスが特定された相手のネットワークにおけるアクセス制御支援装置に対してアクセスルールの変更内容を送信する送信手段と、
を有することを特徴とするアクセス制御支援装置。
【請求項４】
前記特定手段は、自己のネットワークについてアクセスルールによる制御を識別するための制御識別情報とアクセスルールの変更内容とを関連付けた制御情報を記憶手段に記憶させるとともに、特定された相手のネットワークについての制御識別情報、アクセスルールの変更内容、参照用識別情報としての自己の制御識別情報を関連付けた制御情報を記憶手段に記憶させることを特徴とする請求項３記載のアクセス制御支援装置。
【請求項５】
変更されたアクセスルールが削除された場合に、当該アクセスルールを識別するための制御識別情報に関付けられた制御情報を削除するとともに、当該制御識別情報が参照用識別情報として付加されている制御情報を削除する削除手段を更に有することを特徴とする請求項４記載のアクセス制御支援装置。
【請求項６】
前記送信手段は、前記相手のネットワークについての制御情報を送信するものであって、
変更されたアクセスルールが削除された場合に、当該アクセスルールを識別するための制御識別情報を相手のネットワークに対して送信する第２送信手段を更に有することを特徴とする請求項４記載のアクセス制御支援装置。
【請求項７】
前記特定手段は、自己のネットワークについての制御識別情報に関連付けて、アクセスルールの変更が管理者によるものか自動制御によるものかを判別可能な情報を参照用識別情報として付加した制御情報を記憶手段に記憶させることを特徴とする請求項４記載のアクセス制御支援装置。
【請求項８】
請求項３記載のアクセス制御支援装置における送信手段から送信されてきたアクセスルールの変更内容を受信する受信手段と、
受信したアクセスルールの変更内容を用いて、第２格納手段に格納されている自己のネットワークに対応するアクセスルールを変更する変更手段と、
を有することを特徴とするアクセス制御支援装置。
【請求項９】
請求項６記載のアクセス制御支援装置における送信手段から送信されてきた制御情報を受信して記憶手段に記憶させる受信手段と、
受信した制御情報に含まれるアクセスルールの変更内容を用いて、第２格納手段に格納されている自己のネットワークに対応するアクセスルールを変更する変更手段と、
請求項６記載のアクセス制御支援装置における第２送信手段から送信されてきた制御識別情報を受信した場合に、当該制御識別情報が参照用識別情報として付加されている制御情報を記憶手段から削除するとともに、当該制御情報に関連するアクセスルールを第２格納手段から削除する削除手段と、
を有することを特徴とするアクセス制御支援装置。
【請求項１０】
複数のネットワーク間での通信の許否を、各ネットワークに対応して設けられた制御装置により、通信元のネットワークのアドレス、通信先のネットワークのアドレス、通信の許否を関連付けたアクセスルールに基づいて制御するときの動作を支援するアクセス制御支援装置であって、
ネットワークのアドレスを含むネットワーク情報を記憶しておく記憶手段と、
格納手段に格納されている自己のネットワークに対応するアクセスルールが変更された場合に、その変更内容と前記ネットワーク情報とを用いて変更対象のネットワークのアドレスを特定する特定手段と、
アドレスが特定された相手のネットワークにおけるアクセス制御支援装置に対してアクセスルールの変更内容を送信する送信手段と、
他のアクセス制御支援装置における送信手段から送信されてきたアクセスルールの変更内容を受信する受信手段と、
受信したアクセスルールの変更内容を用いて、前記格納手段に格納されている前記アクセスルールを変更する変更手段と、
を有することを特徴とするアクセス制御支援装置。
【請求項１１】
複数のネットワーク間での通信の許否を、各ネットワークに対応して設けられた制御装置により、通信元のネットワークのアドレス、通信先のネットワークのアドレス、通信の許否を関連付けたアクセスルールに基づいて制御するときの動作を支援するためのコンピュータに処理を実行させるアクセス制御支援プログラムであって、
格納手段に格納されている自己のネットワークに対応するアクセスルールが変更された場合に、その変更内容と、記憶手段に記憶されているネットワークのアドレスを含むネットワーク情報を用いて変更対象のネットワークのアドレスを特定する処理と、
アドレスが特定された相手のネットワークにおけるアクセス制御支援装置に対してアクセスルールの変更内容を送信する処理と、
を実行させることを特徴とするアクセス制御支援プログラム。
【請求項１２】
請求項１１記載のアクセス制御支援プログラムが処理を実行させることによって送信されてきたアクセスルールの変更内容を受信する処理と、
受信したアクセスルールを用いて、第２格納手段に格納されている自己のネットワークに対応するアクセスルールを変更する処理と、
をコンピュータに実行させることを特徴とするアクセス制御支援プログラム。
【請求項１３】
複数のネットワーク間での通信の許否を、各ネットワークに対応して設けられた制御装置により、通信元のネットワークのアドレス、通信先のネットワークのアドレス、通信の許否を関連付けたアクセスルールに基づいて制御するときの動作を支援するためのコンピュータに処理を実行させるアクセス制御支援プログラムであって、
格納手段に格納されている自己のネットワークに対応するアクセスルールが変更された場合に、その変更内容と、記憶手段に記憶されているネットワークのアドレスを含むネットワーク情報とを用いて変更対象のネットワークのアドレスを特定する処理と、
アドレスが特定された相手のネットワークにおけるアクセス制御支援装置に対してアクセスルールの変更内容を送信する処理と、
他のネットワークから送信されてきたアクセスルールの変更内容を受信する処理と、
受信したアクセスルールの変更内容を用いて、前記格納手段に格納されている前記アクセスルールを変更する処理と、
を実行させることを特徴とするアクセス制御支援プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、複数のネットワーク間でのアクセスの許否を制御する技術に関する。
【背景技術】
【０００２】
複数のネットワークが相互に接続されたシステムでは、各ネットワークの境界に設けられたファイアウォール等で、セキュリティ上の理由から事前に定められたアクセスルールに基づいて通信の許否制御を行っている。
【０００３】
また、それぞれのネットワークの管理者は、侵入検知システム（ＩＤＳ：Intrusion Detection System）による不正アクセスの検知状態やネットワークのトラフィック状況をもとに、アクセスルールの変更を適宜行っている。
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら、従来のネットワークシステムでは、通信の接続相手がアクセスルールを変更した場合に、不要な通信が発生することになる。
【０００５】
例えば、ネットワークＡとネットワークＢが相互に接続されたシステムにおいて、ネットワークＢのファイアウォールで、ネットワークＡからの通信を全て遮断するというアクセスルールに変更した場合には、ネットワークＡから送信されたパケット情報は、ネットワークＢのファイアウォールまで到達し、このファイアウォールで遮断される。このとき、ネットワークＡ，Ｂ間では不要な通信が発生していることになる。
【０００６】
本発明は、上記に鑑みてなされたものであり、その課題とするところは、アクセスルールが変更された場合にネットワーク間で不要な通信が発生しないようにすることにある。
【課題を解決するための手段】
【０００７】
第１の本発明は、複数のネットワーク間での通信の許否を、各ネットワークに対応して設けられた制御装置により、通信元のネットワークのアドレス、通信先のネットワークのアドレス、通信の許否を関連付けたアクセスルールに基づいて制御するときの動作をアクセス制御支援装置で支援するネットワークアクセス制御支援システムであって、自己のネットワークにおけるアクセス制御支援装置は、ネットワークのアドレスを含むネットワーク情報を記憶しておく記憶手段と、第１格納手段に格納されている自己のネットワークに対応するアクセスルールが変更された場合に、その変更内容と前記ネットワーク情報とを用いて変更対象のネットワークのアドレスを特定する特定手段と、アドレスが特定された相手のネットワークにおけるアクセス制御支援装置に対してアクセスルールの変更内容を送信する送信手段と、を有し、相手のネットワークにおけるアクセス制御支援装置は、アクセスルールの変更内容を受信する受信手段と、受信したアクセスルールの変更内容を用いて第２格納手段に格納されている自己のネットワークに対応するアクセスルールを変更する変更手段と、を有することを特徴とする。
【０００８】
本発明にあっては、アクセスルールが変更された場合に、そのネットワークにおけるアクセス制御支援装置が、その変更の影響を受ける相手のネットワークに対してアクセスルールの変更内容を送信すると共に、相手のネットワークにおけるアクセス制御支援装置が、受信したアクセスルールの変更内容を用いて自己のアクセスルールを変更することで、通信元のネットワークでのアクセスルールの変更が、関連する通信先のネットワークでも共有されるので、通信先では変更後のアクセスルールを用いることが可能になり、不要な通信の発生を防止することができる。
【０００９】
第２の本発明は、複数のネットワーク間での通信の許否を、各ネットワークに対応して設けられた制御装置により、通信元のネットワークのアドレス、通信先のネットワークのアドレス、通信の許否を関連付けたアクセスルールに基づいて制御するときの動作をアクセス制御支援装置で支援するネットワークアクセス制御支援方法であって、自己のネットワークにおけるアクセス制御支援装置により、第１格納手段に格納されている自己のネットワークに対応するアクセスルールが変更された場合に、その変更内容と、記憶手段に記憶されていネットワークのアドレスを含むネットワーク情報とを用いて変更対象のネットワークのアドレスを特定するステップと、アドレスが特定された相手のネットワークにおけるアクセス制御支援装置に対してアクセスルールの変更内容を送信するステップと、を有し、相手のネットワークにおけるアクセス制御支援装置により、アクセスルールの変更内容を受信するステップと、受信したアクセスルールの変更内容を用いて、第２格納手段に格納されている自己のネットワークに対応するアクセスルールを変更するステップと、を有することを特徴とする。
【００１０】
第３の本発明は、複数のネットワーク間での通信の許否を、各ネットワークに対応して設けられた制御装置により、通信元のネットワークのアドレス、通信先のネットワークのアドレス、通信の許否を関連付けたアクセスルールに基づいて制御するときの動作を支援するアクセス制御支援装置であって、ネットワークのアドレスを含むネットワーク情報を記憶しておく記憶手段と、格納手段に格納されている自己のネットワークに対応するアクセスルールが変更された場合に、その変更内容と前記ネットワーク情報とを用いて変更対象のネットワークのアドレスを特定する特定手段と、アドレスが特定された相手のネットワークにおけるアクセス制御支援装置に対してアクセスルールの変更内容を送信する送信手段と、を有することを特徴とする。
【００１１】
上記アクセス制御支援装置において、前記特定手段は、自己のネットワークについてアクセスルールによる制御を識別するための制御識別情報とアクセスルールの変更内容とを関連付けた制御情報を記憶手段に記憶させるとともに、特定された相手のネットワークについての制御識別情報、アクセスルールの変更内容、参照用識別情報としての自己の制御識別情報を関連付けた制御情報を記憶手段に記憶させることを特徴とする。
【００１２】
上記アクセス制御支援装置において、変更されたアクセスルールが削除された場合に、当該アクセスルールを識別するための制御識別情報に関付けられた制御情報を削除するとともに、当該制御識別情報が参照用識別情報として付加されている制御情報を削除する削除手段を更に有することを特徴とする。
【００１３】
上記アクセス制御支援装置において、前記送信手段は、前記相手のネットワークについての制御情報を送信するものであって、変更されたアクセスルールが削除された場合に、当該アクセスルールを識別するための制御識別情報を相手のネットワークに対して送信する第２送信手段を更に有することを特徴とする。
【００１４】
上記アクセス制御支援装置において、前記特定手段は、自己のネットワークについての制御識別情報に関連付けて、アクセスルールの変更が管理者によるものか自動制御によるものかを判別可能な情報を参照用識別情報として付加した制御情報を記憶手段に記憶させることを特徴とする。
【００１５】
第４の本発明は、上記アクセス制御支援装置と通信可能な別のアクセス制御支援装置であって、上記アクセス制御支援装置における送信手段から送信されてきたアクセスルールの変更内容を受信する受信手段と、受信したアクセスルールの変更内容を用いて、第２格納手段に格納されている自己のネットワークに対応するアクセスルールを変更する変更手段と、を有することを特徴とする。
【００１６】
本アクセス制御支援装置において、前記受信手段は、送信されてきた制御情報を受信して記憶手段に記憶させ、前記変更手段は、受信した制御情報に含まれるアクセスルールの変更内容を用いて、第２格納手段に格納されている自己のネットワークに対応するアクセスルールを変更するものであって、第２送信手段から送信されてきた制御識別情報を受信した場合に、当該制御識別情報が参照用識別情報として付加されている制御情報を記憶手段から削除するとともに、当該制御情報に関連するアクセスルールを第２格納手段から削除する削除手段を有することを特徴とする。
【００１７】
第５の本発明は、複数のネットワーク間での通信の許否を、各ネットワークに対応して設けられた制御装置により、通信元のネットワークのアドレス、通信先のネットワークのアドレス、通信の許否を関連付けたアクセスルールに基づいて制御するときの動作を支援するアクセス制御支援装置であって、ネットワークのアドレスを含むネットワーク情報を記憶しておく記憶手段と、格納手段に格納されている自己のネットワークに対応するアクセスルールが変更された場合に、その変更内容と前記ネットワーク情報とを用いて変更対象のネットワークのアドレスを特定する特定手段と、アドレスが特定された相手のネットワークにおけるアクセス制御支援装置に対してアクセスルールの変更内容を送信する送信手段と、他のアクセス制御支援装置における送信手段から送信されてきたアクセスルールの変更内容を受信する受信手段と、受信したアクセスルールの変更内容を用いて、前記格納手段に格納されている前記アクセスルールを変更する変更手段と、を有することを特徴とする。
【００１８】
第６の本発明は、複数のネットワーク間での通信の許否を、各ネットワークに対応して設けられた制御装置により、通信元のネットワークのアドレス、通信先のネットワークのアドレス、通信の許否を関連付けたアクセスルールに基づいて制御するときの動作を支援するためのコンピュータに処理を実行させるアクセス制御支援プログラムであって、格納手段に格納されている自己のネットワークに対応するアクセスルールが変更された場合に、その変更内容と、記憶手段に記憶されているネットワークのアドレスを含むネットワーク情報を用いて変更対象のネットワークのアドレスを特定する処理と、アドレスが特定された相手のネットワークにおけるアクセス制御支援装置に対してアクセスルールの変更内容を送信する処理と、を実行させることを特徴とする。
【００１９】
第７の本発明は、上記のアクセス制御支援プログラムが実行されるコンピュータと通信が可能なコンピュータに対して処理を実行させるアクセス制御支援プログラムであって、送信されてきたアクセスルールの変更内容を受信する処理と、受信したアクセスルールを用いて、第２格納手段に格納されている自己のネットワークに対応するアクセスルールを変更する処理と、をコンピュータに実行させることを特徴とする。
【００２０】
第８の本発明は、複数のネットワーク間での通信の許否を、各ネットワークに対応して設けられた制御装置により、通信元のネットワークのアドレス、通信先のネットワークのアドレス、通信の許否を関連付けたアクセスルールに基づいて制御するときの動作を支援するためのコンピュータに処理を実行させるアクセス制御支援プログラムであって、格納手段に格納されている自己のネットワークに対応するアクセスルールが変更された場合に、その変更内容と、記憶手段に記憶されているネットワークのアドレスを含むネットワーク情報とを用いて変更対象のネットワークのアドレスを特定する処理と、アドレスが特定された相手のネットワークにおけるアクセス制御支援装置に対してアクセスルールの変更内容を送信する処理と、他のネットワークから送信されてきたアクセスルールの変更内容を受信する処理と、受信したアクセスルールの変更内容を用いて、前記格納手段に格納されている前記アクセスルールを変更する処理と、を実行させることを特徴とする。
【発明の効果】
【００２１】
本発明によれば、アクセスルールが変更された場合に、ネットワーク間での不要な通信の発生を防止することができる。
【発明を実施するための最良の形態】
【００２２】
各ネットワークで用いられるアクセスルールは、セキュリティ上の理由から変更されることが多い。不要な通信を発生させないためには、相手先のネットワークでアクセスルールが変更され通信が遮断された場合には、自己のネットワークから相手先へ通信を行わないようにすることが必要である。本ネットワークアクセス制御支援システムは、このような観点からなされたものである。以下、図面を用いて説明する。
【００２３】
図１は、本実施の形態におけるネットワークアクセス制御支援システムの構成を示すブロック図である。同図のネットワークアクセス制御支援システムは、複数のネットワーク１０ａ，１０ｂ間での通信の許否をそれぞれのネットワークに設けられた制御装置２ａ，２ｂによりそれぞれのアクセスルール３ａ，３ｂに基づいて制御するときの動作を、アクセス制御支援装置１ａ，１ｂで支援するものである。
【００２４】
ネットワーク１０ａとネットワーク１０ｂとは相互接続ネットワーク２０を介して通信可能となっている。ネットワーク１０ａ，１０ｂ，２０は、例えばインターネットにより通信を行うものとする。ネットワーク１０ａと相互接続ネットワーク２０との境界に制御装置２ａが配置され、ネットワーク１０ｂと相互接続ネットワーク２０との境界に制御装置２ｂが配置される。なお、同図においては２つのネットワーク１０ａ，１０ｂだけを示しているが、実際にはさらに多くのネットワークが接続されても構わない。
【００２５】
制御装置２ａは、ネットワーク１０ａと他のネットワークとの通信接続の許否を示すアクセスルール３ａを内蔵のメモリに格納する。また、制御装置２ｂも、同様にネットワーク１０ｂと他のネットワークとの通信接続の許否を示すアクセスルール３ｂを内蔵のメモリに格納する。制御装置２ａ，２ｂはそれぞれのアクセスルールに従って、ネットワーク間の通信を制御する装置であり、ルータやファイアウォール等に相当する。
【００２６】
アクセス制御支援装置１ａは、制御管理部４ａ、情報交換部５ａ、ネットワーク情報データベース（図においては「ネットワーク情報ＤＢ」と示す。以下同じ）６ａ、制御情報データベース７ａを備える。アクセス制御支援装置１ｂも同様に、制御管理部４ｂ、情報交換部５ｂ、ネットワーク情報データベース６ｂ、制御情報データベース７ｂを備える。アクセス制御支援装置１ａ，１ｂは、ＣＰＵ、メモリ、記憶装置等を備えたコンピュータによって実現される。そして、各部４，５は、プログラムに従って、各データベース６，７あるいはメモリや記憶装置に記憶されている情報を用いて処理を行い、その処理結果をメモリや記憶装置に記憶させるように動作する。
【００２７】
ネットワーク情報データベース６ａ，６ｂには、図２のテーブルに示すような、ネットワークの識別情報（図において「ネットワークＩＤ」と示す。以下同じ）とネットワークのアドレスとアクセス制御支援装置のアドレスとを関連付けたネットワーク情報が記憶される。このネットワーク情報を用いることで、ネットワークのアドレスが特定されれば、対応するアクセス制御支援装置のアドレスが特定できるようになっている。ここでは、ネットワーク１０ａの識別情報をＡとし、ネットワーク１０ｂの識別情報をＢとする。また、ネットワーク１０ａのアドレスは「１９２．１６８」で識別可能なものとし、ネットワーク１０ｂのアドレスは「１７２．１６」で識別可能なものとする。
【００２８】
アクセスルール３ａは、図３のテーブルに示すように、通信元のネットワークのアドレス、通信先のネットワークのアドレス、通信の許否を関連付けたものである。通信の許否とは、通信元から通信先への通信が許可されるか拒否されるかを示すものである。アクセスルール３ａでは、その他、付帯情報としてルールＩＤ、プロトコル、通信元ポート、通信先ポートが関連付けられている。図３の例では、例えばルールＩＤが３のものは、ネットワークＡからネットワークＢへの通信が拒否されることを示している。アクセスルール３ｂについても、図４のテーブルに示すように、関連付けがなされる項目はアクセスルール３ａと同様である。
【００２９】
アクセスルール３ａ，３ｂは、それぞれの管理者３０ａ，３０ｂが変更可能なものである。変更は、管理者３０ａ，３０ｂがそれぞれ制御装置２ａ，２ｂ直接操作して行うほか、自動制御によって行うことも可能である。なお、ここでいう変更とは、アクセスルールの追加、削除、修正のうちのいずれか１つ以上のことをいう。
【００３０】
制御管理部４ａは、アクセスルール３ａが変更された場合に、その変更内容と、ネットワーク情報データベース６ａに記憶されているネットワーク情報とを用いて変更対象のネットワークの識別情報を特定する。そして、特定した識別情報と変更内容とを関連付けて制御情報として制御情報データベース７ａに記憶させる。
【００３１】
制御情報は、図５のテーブルに示すように、特定されたネットワークの識別情報と、変更内容を示す通信元のネットワークのアドレス、通信先のネットワークのアドレス、通信の許否が関連付けられる。このほか、第１付帯情報として、ルールＩＤ、プロトコル、通信元ポート、通信先ポートが関連付けされ、第２付帯情報として、制御識別情報（図において「制御ＩＤ」と示す。以下同じ）、参照用の制御識別情報（図において「参照用制御ＩＤ」と示す。以下同じ）がさらに関連付けられる。この第２付帯情報については後述する。なお、制御管理部４ｂ、制御情報データベース７ｂの構成も同様であり、制御情報データベース７ｂに記憶される制御情報については図６のテーブルに示す。
【００３２】
情報交換部５ａは、特定された相手のネットワークに対して、対応する制御情報を制御情報データベース７ａから読み出して送信する。これにより、アクセスルールの変更内容に影響のある相手のネットワークに対して、その変更内容を送信することになる。また、相手のネットワークから制御情報が送信されてきた場合には、これを受信して制御管理部４ａに伝送する。制御管理部４ａは、受信した制御情報に含まれるアクセスルールの変更内容に一致するように、自己のアクセスルール３ａを変更する。なお、情報交換部５ｂ、制御管理部４ｂも同様である。
【００３３】
次に、本ネットワークアクセス制御支援システムにおける全体的な処理について具体的に説明する。
【００３４】
ステップ１：まず、管理者３０ａが、制御装置２ａに対してネットワーク１０ａにおけるアクセスルール３ａを変更する操作を行う。ここでは、先に図３を用いて説明したルールＩＤが３で示されるアクセスルールを追加するものとする。このアクセスルールは、ネットワーク１０ｂからネットワーク１０ａへの通信を拒否するというものである。
【００３５】
ステップ２：制御装置２ａは、この追加されたアクセスルールを制御管理部４ａに伝送する。
【００３６】
ステップ３：制御管理部４ａは、受け取ったアクセスルールにおける通信元のネットワークアドレス及び通信先のネットワークアドレスと、ネットワーク情報データベース６ａに記憶されているネットワーク情報とを比較して、変更内容に関係のあるネットワークの識別情報を特定する。ここでは、追加されたルールＩＤ３における通信元のネットワークアドレスはネットワーク１０ｂのものであり、通信先のネットワークアドレスはネットワーク１０ａのものであるので、これらと図２のネットワーク情報とを比較することで、ネットワーク１０ａの識別情報Ａとネットワーク１０ｂの識別情報Ｂが特定される。
【００３７】
ステップ４：制御管理部４ａは、図５に示すように、特定された識別情報Ａ、変更内容、制御を識別するための制御識別情報Ａ１を関連付けることでネットワーク１０ａについての制御情報を生成するとともに、特定された識別情報Ｂ、変更内容、制御識別情報Ａ２、参照用制御識別情報としての制御識別情報Ａ１を関連付けることでネットワーク１０ｂについての制御情報を生成して、制御情報データベース７ａに記憶させる。また、自己のネットワーク１０ａについての制御識別情報Ａ１に関連付けて、アクセスルールの変更が管理者によるものか自動制御によるものかを判別可能な情報を参照用識別情報として付加する。この参照用識別情報について、図５では管理者によるものであることを空欄で示している。
【００３８】
ステップ５：制御管理部４ａは、制御識別情報Ａ２で示されるネットワークＢに関する制御情報を制御情報データベース７ａから読み出して、情報交換部５ａに伝送する。
【００３９】
ステップ６：情報交換部５ａは、制御管理部４ａから受け取った制御情報をネットワーク１０ｂにおける制御装置２ｂへ送信する。
【００４０】
ステップ７：制御装置２ｂは、送信されてきた制御情報を情報交換部５ｂにより受信し、制御管理部４ｂに伝送する。
【００４１】
ステップ８：制御管理部４ｂは、受け取った制御情報と同じものが制御情報データベース７ｂに既に記憶されていないかを確認する。記憶されていない場合には、この制御情報に含まれるアクセスルールの変更内容と同一になるように、アクセスルール３ｂを変更する。ここでは、図４に示すように、ルールＩＤが３で示されるアクセスルールを追加する。
【００４２】
ステップ９：制御管理部４ｂは、アクセスルール３ｂを変更した後、図６に示すように、受信した制御情報に制御情報Ｂ１を関連付けて制御情報データベース７ｂに記憶させる。
【００４３】
この後、ネットワーク１０ａ，１０ｂでは、制御装置２ａ，２ｂがそれぞれ変更後のアクセスルール３ａ，３ｂに従って通信の許否制御を行う。すなわち、制御装置２ａは、アクセスルール３ａが、ネットワーク１０ｂからネットワーク１０ａへの通信が拒否されることを示しているので、ネットワーク１０ｂの制御装置２ｂから何らかの情報が送信されてきたとしてもこれを遮断する動作をする。一方、制御装置２ｂは、アクセスルール３ｂが、ネットワーク１０ｂからネットワーク１０ａへの通信が拒否されることを示しているので、ネットワーク１０ａへ送信されようとする情報を遮断する。
【００４４】
次に、変更されたアクセスルールを削除するときの処理について説明する。
【００４５】
制御管理部４ａは、変更されたアクセスルールが管理者３０ａもしくは自動制御によって削除された場合には、このアクセスルールを識別するための制御識別情報Ａ１に関付けられた制御情報を制御情報データベース７ａから削除するとともに、この制御識別情報Ａ１が参照用識別情報として付加されている制御情報を制御情報データベース７ａから削除する。すなわち、制御識別情報Ａ１とＡ２に関連する制御情報が削除される。
【００４６】
また、情報交換部５ａは、変更されたアクセスルールが削除された場合には、このアクセスルールを識別するための制御識別情報Ａ１をネットワーク１０ｂにおけるアクセス制御支援装置１ｂへ送信する。
【００４７】
アクセス制御支援装置１ｂでは、制御識別情報Ａ１を受信した場合には、この制御識別情報Ａ１が参照用識別情報として付加されている制御情報を制御情報データベース７ｂから削除するとともに、この制御情報に関連するアクセスルールを制御装置２ｂにおけるアクセスルール３ｂから削除する。
【００４８】
したがって、本実施の形態によれば、自己のネットワーク１０ａにおけるアクセスルール３ａが変更された場合に、アクセス制御支援装置１ａが、その変更の影響を受ける相手のネットワーク１０ｂに対してアクセスルールの変更内容を送信すると共に、相手のネットワーク１０ｂにおけるアクセス制御支援装置１ｂが、受信したアクセスルールの変更内容を用いて自己のアクセスルール３ｂを変更することで、通信元のネットワークでのアクセスルールの変更が、関連する通信先のネットワークでも共有されるので、通信先では変更後のアクセスルールを用いることが可能になり、不要な通信の発生を防止することができる。
【００４９】
本実施の形態によれば、ネットワーク１０ａにおいて変更されたアクセスルールが削除された場合に、アクセス制御支援装置１ａにより、このアクセスルールを識別するための制御識別情報Ａ１に関付けられた制御情報を制御情報データベース７ａから削除するとともに、制御識別情報Ａ１が参照用識別情報として付加されている制御情報を制御情報データベース７ａから削除することで、アクセスルールの削除に伴って関連する制御情報が自動で削除されるので、管理者にとって管理が容易になる等の便宜を図ることができる。
【００５０】
本実施の形態によれば、ネットワーク１０ａにおいて変更されたアクセスルールが削除された場合に、アクセス制御支援装置１ａにより、このアクセスルールを示す制御識別情報Ａ１を相手のネットワーク１０ｂにおけるアクセス制御支援装置１ｂに対して送信するとともに、アクセス制御支援装置１ｂにより、受信した制御識別情報Ａ１が参照用識別情報として付加されている制御情報を制御情報データベース７ｂから削除し、更にこの制御情報に関連するアクセスルールを制御装置２ｂにおけるアクセスルール３ｂから削除することで、通信元のネットワーク１０ａでのアクセスルールの削除に伴って、通信先のネットワーク１０ｂでも関連する制御情報およびアクセスルールが削除されるので、通信先の管理者にとって管理が容易になる等の便宜を図ることができる。
【００５１】
本実施の形態によれば、アクセス制御支援装置１ａの制御管理部４ａにより、自己のネットワーク１０ａについての制御識別情報Ａ１に関連付けて、アクセスルールの変更が管理者３０ａによるものか自動制御によるものかを判別可能な情報を参照用識別情報として付加した制御情報を生成することで、管理者３０ａは、アクセスルールの変更が、自分が操作したものなのか、自動制御でなされたものかを容易に調べることができる。
【図面の簡単な説明】
【００５２】
【図１】一実施形態におけるネットワークアクセス制御支援システムの構成を示すブロック図である。
【図２】図１のネットワーク情報データベース６ａ，６ｂに共通に記憶されるネットワーク情報を示すテーブルである。
【図３】図１の制御装置２ａによる管理下にあるアクセスルール３ａを示すテーブルである。
【図４】図１の制御装置２ｂによる管理下にあるアクセスルール３ｂを示すテーブルである。
【図５】図１の制御情報データベース７ａに記憶される制御情報を示すテーブルである。
【図６】図１の制御情報データベース７ｂに記憶される制御情報を示すテーブルである。
【符号の説明】
【００５３】
１ａ，１ｂ…アクセス制御支援装置
２ａ，２ｂ…制御装置
３ａ，３ｂ…アクセスルール
４ａ，４ｂ…制御管理部
５ａ，５ｂ…情報交換部
６ａ，６ｂ…ネットワーク情報データベース
７ａ，７ｂ…制御情報データベース
１０ａ，１０ｂ…ネットワーク
２０…相互接続ネットワーク
３０ａ，３０ｂ…管理者
【図１】
2007266849.tif 000003
【図２】
2007266849.tif 000004
【図３】
2007266849.tif 000005
【図４】
2007266849.tif 000006
【図５】
2007266849.tif 000007
【図６】
2007266849.tif 000008