(57)【要約】【課題】ファイアウォールにおいて通信制御内容の利用度を提示することができるファイアウォールにおける通信制御内容の管理システムを提供する。【解決手段】  ファイアウォールにおける通信制御内容の管理システムにおいて、通信制御内容の設定時刻から現在時刻までの間に通信制御内容に対応する通信データに係るトラフィックログが存在しない場合は、トラフィックログが存在する場合に比べ、通信制御内容の利用度を低いランクに判定する。また、トラフィックログが存在する場合に関し、通信制御内容の最新の通信制御時刻から現在時刻までの経過時間をその長さに応じて複数に区分し、経過時間がより長い区分に属する通信制御内容ほど利用度をより低いランクに判定する。【選択図】図１
2017010414.tif 000002
【特許請求の範囲】
【請求項１】
ファイアウォールにおける通信制御内容の管理システムであって、
前記通信制御内容の設定時刻から現在時刻までの間に前記通信制御内容に対応する通信データに係るトラフィックログが存在しない場合は、前記トラフィックログが存在する場合に比べ、前記通信制御内容の利用度を低いランクに判定することを特徴とする前記管理システム。
【請求項２】
請求項１に記載のファイアウォールにおける通信制御内容の管理システムであって、
前記トラフィックログが存在する場合に関し、前記通信制御内容の最新の通信制御時刻から現在時刻までの経過時間をその長さに応じて複数に区分し、前記経過時間がより長い区分に属する前記通信制御内容ほど利用度をより低いランクに判定することを特徴とする前記管理システム。
【請求項３】
ファイアウォールにおける通信制御内容の管理システムであって、
前記通信制御内容の最新の通信制御時刻から現在時刻までの経過時間をその長さに応じて複数に区分し、前記経過時間がより長い区分に属する前記通信制御内容ほど利用度をより低いランクに判定することを特徴とする前記管理システム。
【請求項４】
請求項１から３のいずれかに記載のファイアウォールにおける通信制御内容の管理システムであって、
前記判定した前記通信制御内容の利用度ランクを、ディスプレイ装置に表示可能であることを特徴とする前記管理システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ファイアウォールに係り、特にファイアウォールにおける通信制御内容の管理システムに関するものである。
【背景技術】
【０００２】
情報通信ネットワークにおいて、ファイアウォールは通信データの制御を実施し、不要な通信データの遮断や破棄を行い、必要な通信データのみを通過させる機能を提供する機器である。主な用途として、ファイアウォールは情報通信ネットワークにおけるセキュリティ確保のために導入されている。
【０００３】
このファイアウォールに不必要な通信制御内容が含まれていると、それが第３者による不正アクセスの侵入経路として悪用され、情報漏えいの原因となるリスクをもってしまう。この種の技術に関連して特許文献１には、通信制御の不整合を検出することによりファイアウォールの通信制御内容の正確性を確保することが記載されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００７−２０２０７９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
従来技術では、運用において変化するその時点で必要な通信制御内容の正常性確保までは考慮されておらず、情報通信ネットワークのセキュリティという観点まで包括していない。セキュリティの観点からは、システム管理者はファイアウォールの通信制御内容の精査を定期的に行うことが望ましい。しかし、従来のファイアウォールでは、設定された通信制御内容の利用度が分からず、ファイアウォールを流れる通信データと通信制御内容が一致しない不必要となった通信制御内容を知る機能がないという問題がある。
【０００６】
したがって本発明の目的は、ファイアウォールにおいて通信制御内容の利用度を提示することができるファイアウォールにおける通信制御内容の管理システムを提供することにある。
【課題を解決するための手段】
【０００７】
本発明は、上記目的を達成するため以下のようなファイアウォールにおける通信制御内容の管理システムを提供する。
（１）ファイアウォールにおける通信制御内容の管理システムであって、
前記通信制御内容の設定時刻から現在時刻までの間に前記通信制御内容に対応する通信データに係るトラフィックログが存在しない場合は、前記トラフィックログが存在する場合に比べ、前記通信制御内容の利用度を低いランクに判定することを特徴とする前記管理システム。
（２）上記（１）に記載のファイアウォールにおける通信制御内容の管理システムであって、
前記トラフィックログが存在する場合に関し、前記通信制御内容の最新の通信制御時刻から現在時刻までの経過時間をその長さに応じて複数に区分し、前記経過時間がより長い区分に属する前記通信制御内容ほど利用度をより低いランクに判定することを特徴とする前記管理システム。
（３）ファイアウォールにおける通信制御内容の管理システムであって、
前記通信制御内容の最新の通信制御時刻から現在時刻までの経過時間をその長さに応じて複数に区分し、前記経過時間がより長い区分に属する前記通信制御内容ほど利用度をより低いランクに判定することを特徴とする前記管理システム。
（４）上記（１）から（３）のいずれかに記載のファイアウォールにおける通信制御内容の管理システムであって、
前記判定した前記通信制御内容の利用度ランクを、ディスプレイ装置に表示可能であることを特徴とする前記管理システム。
【発明の効果】
【０００８】
本発明によれば、ファイアウォールにおいて通信制御内容の利用度を提示することができる。これにより、情報通信ネットワークのセキュリティ維持のための判断材料を通信制御内容の利用度としてシステム管理者に提供することができる。
【図面の簡単な説明】
【０００９】
【図１】本発明に係るファイアウォールにおける通信制御内容の管理システムの一例を説明するための構成図である。
【図２】通信制御テーブル１０５の一例を示す図である。
【図３】トラフィックログ記録部１０７の一例を示す図である。
【図４】通信制御内容の利用度解析テーブル１１０の一例を示す図である。
【図５】ファイアウォール１０１の処理フローの一例を示す図である。
【図６】通信制御内容の管理システム１０９の処理フローの一例を示す図である。
【発明を実施するための形態】
【００１０】
本発明は、ファイアウォールを運用するシステム管理者に対し、ファイアウォールで設定されている通信制御内容の利用度を提示することができるものである。利用度は、ファイアウォールを流れる通信データが通信制御内容と一致するか否か、また一致する場合は最後に一致してから時間がどれほど経過しているかに基づいてランク付けされる。この利用度ランクにより、まったく一致しない、または最新一致からどの程度時間経過しているかによって、不必要な通信制御内容が設定されているかどうかが判断できるようになり、ネットワークの健全性確保を図ることができる。
【００１１】
図１は、本発明に係るファイアウォールにおける通信制御内容の管理システムの一例を説明するための構成図である。図示のように、ファイアウォール１０１は、通信データを送信する通信送信元１０２と、通信データが送られる通信宛先１０３との間に設けられている。このファイアウォール１０１は、通信制御部１０４と、記憶部１０６と、通信制御内容の管理システム１０９とを備える。
【００１２】
通信制御部１０４は、システム管理者が設定した通信制御内容を記述した通信制御テーブル１０５を有し、そこに記述された通信制御内容と、受信した通信データとが、完全一致するかどうか突き合わせ解析を行う。その結果、完全一致するとともに通信制御内容として「許可」と設定されている通信データは、ファイアウォール１０１を通過し、通信宛先１０３に転送される。一方、完全一致しない通信データ、および完全一致するが通信制御内容として「禁止」と設定されている通信データは破棄される。
【００１３】
図２は、通信制御テーブル１０５の一例を示す図である。通信制御テーブル１０５は、通信制御内容を記述するもので、シーケンス番号２０１、送信元ＩＰアドレス２０２、宛先ＩＰアドレス２０３、プロトコル２０４、および処理２０５を有する。例えば、シーケンス番号１０および２０は、プロトコルがそれぞれＨＴＴＰおよびＨＴＴＰｓで、処理は「許可」である。これに対して、シーケンス番号３０は、プロトコルがＡｎｙ（ＨＴＴＰおよびＨＴＴＰｓ以外のもの）で、処理は「禁止」である。
【００１４】
図１に戻って説明を続けると、記憶部１０６は、図示のように、トラフィックログ記録部１０７と、通信制御内容の設定時刻記録部１０８と、通信制御内容の利用度判定結果記録部１１１とを有する。ここで、上述した通信制御部１０４は、シーケンス番号ごとに、通信データの制御情報をトラフィックログ記録部１０７に記録する。また、この通信制御部１０４は、シーケンス番号ごとに、通信制御内容が設定された時刻情報（日付と時間）を通信制御内容の設定時刻情報記録部１０８に記録する。
【００１５】
図３は、トラフィックログ記録部１０７の一例を示す図である。ここに記録される情報は、図示のように、通信データを制御した通信制御時刻３０１（日付と時間）、シーケンス番号３０２、送信元ＩＰアドレス３０３、送信元ポート番号３０４、宛先ＩＰアドレス３０５、宛先ポート番号３０６、プロトコル３０７、通信データを転送（許可）したか破棄（禁止）したかを示す制御結果３０８を含む。
【００１６】
図１に戻って説明を続けると、通信制御内容の管理システム１０９は、通信制御内容の利用度解析テーブル１１０を有する。図４は、通信制御内容の利用度解析テーブル１１０の一例を示す図である。この利用度解析テーブル１１０は、シーケンス番号４０１、現在時刻４０２、通信制御内容の設定時刻４０３、通信データを制御した最新の通信制御時刻４０４（日付と時間）、最新の通信制御時刻または通信制御内容の設定時刻（通信制御時刻の記録なしの場合）から現在時刻までの経過時間４０５、および利用度判定結果４０６を有する。
【００１７】
通信制御内容の管理システム１０９は、シーケンス番号ごとに、通信データを制御した最新の通信制御時刻をトラフィックログ記録部１０７から取り込む。また、この管理システム１０９は、シーケンス番号ごとに、通信制御内容の設定時刻を通信制御内容の設定時刻記録部１０８から取り込み、最新の通信制御時刻４０４または通信制御内容の設定時刻４０３（通信制御時刻の記録なしの場合）から現在時刻４０２までの経過時間を算出する。通信制御内容の設定時刻４０３から現在時刻４０２までの間にトラフィックログが存在しない場合、最新の通信制御時刻４０４の欄は「記録なし」とされる。
【００１８】
図４において、シーケンス番号２０では、最新の通信制御時刻４０４の欄は「記録なし」であり、これは通信制御内容の設定時刻４０３から現在時刻４０２までの間にトラフィックログが存在しない場合である。この場合、利用度判定結果４０６は、例えば利用度が最も低いランクＥとされる。また、シーケンス番号２０，３０では、経過時間４０５に応じて例えばそれぞれ利用度がより高いランクＢ，Ａとされる。
【００１９】
図４に示す通信制御内容の利用度解析テーブル１１０は、システム管理者がこの内容を見ることができるように、利用度提示画面として図示しないディスプレイ装置に表示することができる。また、この管理システム１０９は、利用度判定結果４０６を記憶部１０６の通信制御内容の利用度判定結果記録部１１１に記録することができる。
【００２０】
図５は、ファイアウォール１０１の処理フローの一例を示す図である。図示のように、まず、ステップ５０１にて処理を開始し、ステップ５０２にてシステム管理者が通信制御部１０４の通信制御テーブル１０５に、図２に示すような通信制御内容を設定する。ステップ５０３にて、通信制御内容の設定時刻情報を記憶部１０６の通信制御内容の設定時刻記録部１０８に記録する。ステップ５０４にて、通信制御部１０４が通信送信元１０２からの通信データを受け取ると、ステップ５０５にて通信データが通信制御内容と一致するか否かを判定する。判定の結果、「一致」する場合、ステップ５０６にて、通信制御内容の処理が「許可」であるか否かを判定する。判定の結果「許可」である場合、ステップ５０７にて、その通信データを通過させて通信宛先１０３へ送るとともに、ステップ５０８にて、例えば図３のシーケンス番号１０の欄に示すように、そのトラフィックログを記憶部１０６のトラフィックログ記録部１０７に記録する。
【００２１】
一方、先のステップ５０５にて判定の結果、「一致」しない場合、およびステップ５０６にて判定の結果、「許可」でない（禁止の）場合、ステップ５０９にてその通信データを破棄し、ステップ５０８にて、例えば図３のシーケンス番号３０の欄に示すように、そのトラフィックログを記憶部１０６のトラフィックログ記録部１０７に記録する。そしてステップ５１０にて、通信制御内容の管理システム１０９が、トラフィックログ記録部１０７および通信制御内容の設定時刻記録部１０８に記録された情報に基づいて、トラフィックログの有無、および最新の通信制御時刻から現在時刻までの経過時間に基づいて利用度ランクを判定し、ステップ５１１にて処理を終了する。
【００２２】
図６は、通信制御内容の管理システム１０９の処理フローの一例を示す図である。図示のように、まず、ステップ６０１にて処理を開始し、ある通信制御内容に関し記憶部１０６のトラフィックログ記録部１０７および通信制御内容の設定時刻記録部１０８の記録内容を参照する。そしてステップ６０２にて、当該通信制御内容の設定時刻から現在時刻までの間にトラフィックログが存在するか否かを判定する。判定の結果トラフィックログが存在しない場合、ステップ６０３にて当該通信制御内容を利用度ランクＥと判定し、ステップ６０４にて処理を終了する。この利用度ランクＥは、以下で説明する他の利用度Ａ−Ｄに比べ、利用度ランクが低い。
【００２３】
一方、先のステップ６０２にて判定の結果、トラフィックログが存在する場合は、通信制御内容の最新の通信制御時刻から現在時刻までの経過時間の長さに応じて設定された複数の区分中どの区分に属するかによって、通信制御内容の利用度ランクが判定される。まず、ステップ６０５にて、当該通信制御内容の最新の通信制御時刻から現在時刻までの経過時間が１週間以内か否かを判定する。判定の結果１週間以内の場合、ステップ６０６にて当該通信制御内容を利用度ランクＡと判定し、ステップ６０４にて処理を終了する。一方、先のステップ６０５にて判定の結果１週間以内でない場合、ステップ６０７にて、当該通信制御内容の最新の通信制御時刻から現在時刻までの経過時間が１か月以内か否かを判定する。判定の結果１か月以内の場合、ステップ６０８にて当該通信制御内容を利用度ランクＢと判定し、ステップ６０４にて処理を終了する。一方、先のステップ６０７にて判定の結果１か月以内でない場合、ステップ６０９にて、当該通信制御内容の最新の通信制御時刻から現在時刻までの経過時間が１年以内か否かを判定する。判定の結果１年以内の場合、ステップ６１０にて当該通信制御内容を利用度ランクＣと判定し、ステップ６０４にて処理を終了する。一方、先のステップ６０９にて判定の結果１年以内でない場合、ステップ６１１にて、当該通信制御内容を利用度ランクＤと判定し、ステップ６０４にて処理を終了する。
【００２４】
このように本発明は、通信制御内容の設定時刻から現在時刻までの間に通信制御内容に対応する通信データに係るトラフィックログが存在しない場合は、トラフィックログが存在する場合に比べ、前記通信制御内容の利用度を低いランクに判定する。そして、トラフィックログが存在する場合に関し、前記通信制御内容の最新の通信制御時刻から現在時刻までの経過時間をその長さに応じて複数に区分し、前記経過時間がより長い区分に属する前記通信制御内容ほど利用度をより低いランクに判定する。
【００２５】
この管理システム１０９の処理は、各通信制御内容について繰り返し行われる。また、この処理はシステム管理者の指示により定期的にまたは不定期に実施することができる。
【００２６】
上述のように通信制御内容の利用度は、当該通信制御内容の設定時刻から現在時刻までの間にトラフィックログが存在するか否かを判定し、および当該通信制御内容の最新の通信制御時刻から現在時刻までの経過時間に重み付けを行い、トラフィックログが存在しない場合に利用度が最も低く、またトラフィックログが存在する場合には、当該通信制御内容の最新の通信制御時刻から現在時刻までの経過時間が長いほど利用度が低いと判定する。すなわち図６の例では、利用度はランクＥが最も低く、以降ランクＤからＡまで順々に利用度が高くなる。本例では利用度をランクＡ−Ｅの５つとしたが、これに限定されず、これよりも多くても少なくてもよい。この利用度ランクは、図４に示すように利用度判定結果４０６として、例えばディスプレイ装置に利用度提示画面を表示することができるだけでなく、プリンタ装置を用いて紙などに出力することができ、また記憶部１０６の通信制御内容の利用度判定結果記録部１１１に記録することができる。
【００２７】
これによりシステム管理者は、ファイアウォールに設定されている利用度の低い、もしくは利用されていない通信制御内容の情報を知ることができ、この情報を元に不要と判断した通信制御内容を削除することができる。例えば、図６の処理フローにおいて、利用度ランクＤおよびＥを削除対象とすることができる。この場合、利用度ランクＤおよびＥに係る通信制御内容の削除は、例えばシステム管理者が手動で行うことができるが、管理システム１０９からの指示により通信制御部１０４で自動的に行うように構成することもできる。このように利用されていない、あるいは利用度の低い通信制御内容を削除することで、それらが第３者による不正アクセスの侵入経路として悪用され、情報漏えいの原因となるリスクを防止し、情報通信ネットワークのセキュリティ維持を図ることができる。
【符号の説明】
【００２８】
１０１  ・・・ファイアウォール
１０２  ・・・通信送信元
１０３  ・・・通信宛先
１０４  ・・・通信制御部
１０５  ・・・通信制御テーブル
１０６  ・・・記憶部
１０７  ・・・トラフィックログ記録部
１０８  ・・・通信制御内容の設定時刻記録部
１０９  ・・・通信制御内容の管理システム
１１０  ・・・通信制御内容の利用度解析テーブル
１１１  ・・・通信制御内容の利用度判定結果記録部
２０１  ・・・シーケンス番号
２０２  ・・・送信元ＩＰアドレス
２０３  ・・・宛先ＩＰアドレス
２０４  ・・・プロトコル
２０５  ・・・処理
３０１  ・・・通信制御時間
３０２  ・・・シーケンス番号
３０３  ・・・送信元ＩＰアドレス
３０４  ・・・送信元ポート番号
３０５  ・・・宛先ＩＰアドレス
３０６  ・・・宛先ポート番号
３０７  ・・・プロトコル
３０８  ・・・制御結果
４０１  ・・・シーケンス番号
４０２  ・・・現在時刻
４０３  ・・・通信制御内容の設定時刻
４０４  ・・・最新の通信制御時刻
４０５  ・・・経過時間
４０６  ・・・利用度判定結果
【図１】
2017010414.tif 000003
【図２】
2017010414.tif 000004
【図３】
2017010414.tif 000005
【図４】
2017010414.tif 000006
【図５】
2017010414.tif 000007
【図６】
2017010414.tif 000008