(57)【要約】【目的】  時刻を考慮してファイアウォールを制御する方式，及び，時刻を考慮してファイアウォールの設定を解析する方式を提供することにある．【構成】  時刻に応じてフィルタを選択する機能を有するファイアウォール制御方式，及び，時刻に基づいてフィルタを分類して，その結果に従ってフィルタセットをファイアウォールに設定し，時刻を考慮してファイアウォールの設定を解析する方式．【選択図】  図１４
2009194496.tif 000002
【特許請求の範囲】
【請求項１】
IPアドレスやポート番号などのパケットヘッダに関する条件（照合条件と呼ぶ）及びパケットに対する操作（アクションと呼ぶ）を記述したフィルタの系列からフィルタを先頭から順番に取り出して解釈し，到着パケットのヘッダが照合条件を満たす最初のフィルタのアクションに従ってパケットの通過と廃棄などの制御を行うファイアウォールにおいて，前記照合条件とアクションに加えて開始と終了の指定（これにより指定される時間帯を指定時間帯と呼ぶ），及び，「内」か「外」を指定する内外選択子（この選択子は省略可とする）を記述したフィルタに対して，追内外選択子が「内」又は，省略されている場合，かつ，ファイアウォールが制御する時刻が指定時間帯に含まれる場合にだけ，そのフィルタを取り出し対象とし，内外選択子が「外」で，かつ，ファイアウォールの制御時刻が指定時間帯に含まれない場合にだけ，そのフィルタを取り出し対象とするフィルタ選択機能を有することを特徴とするファイアウォール制御方式．
【請求項２】
請求項１のファイアウォールにおいて，取り出し対象となるフィルタの集合が同一となる時間帯と，その時間帯に取り出し対象となるフィルタの系列を総て求めるフィルタ分類機能，及び，この時間帯の開始時刻に，その時間帯の取り出し対象となるフィルタの系列をファイアウォールの制御のためのフィルタ系列として設定するフィルタ設定機能を有することを特徴とするファイアウォール制御方式．
【請求項３】
請求項２において，フィルタ解析機能により求められた各時間帯のフィルタ系列を，あらかじめ定められたセキュリティポリシーと比較することにより，そのフィルタ系列内に存在する冗長，不足などを求める設定異常検出機能を有することを特徴とするファイアウォール設定解析方式
【請求項４】
時刻または時間帯が指定されたとき，それらを含む時間帯に対して，請求項２に記載のフィルタ解析機能により求められるフィルタ系列を，あらかじめ定められたセキュリティポリシーと比較することにより，そのフィルタ系列内に存在する冗長，不足などを求める設定異常検出機能を有することを特徴とするファイアウォール設定解析方式
【請求項５】
フィルタ系列内に冗長，不足などの設定異常が存在する場合に，その箇所を図示する設定異常描画機能を有することを特徴とする請求項３または４記載のファイアウォール設定解析方式
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は，コンピュータネットワークのファイアウォールの制御方式及び設定解析方式に関するものである．
【背景技術】
【０００２】
近年，ネットワークに配置されるホストやサーバの増加，ネットワークセキュリティに対する意識の高まりによって，ファイアウォールに設定するルール(以下フィルタ)数は増加している．また，サーバの追加や削除などのネットワーク構成を変更することにより，ファイアウォールの設定を実際のネットワークに合わせて変更する必要がある．このような状況においてファイアウォールの設定にフィルタを追加や削除などを行うには設定を詳細に把握した上で行う必要がある．
例えば，「来週の月曜日の10時から12時まで公開実験をするから，その時間帯だけポートを空けておいて欲しい」といった要求があった場合，管理者は来週の月曜日の10時と12時にファイアウォールの設定を書き換えなければならない．また，このような要求が頻繁に起こった場合，書き換える回数が膨大になり設定の間違いが起こりやすくなる．
ファイアウォールの設定ミスが原因となり，通過すべき通信を通過させていないという設定ミスが発生するとネットワークの利用者にとって不便であり，また，本来通過させてはいけない通信を通過させる設定などのファイアウォールの設定の間違いは不正アクセスやセキュリティホールの発生，コンピュータウイルスの発生の原因になる．それらの原因を探すために，ファイアウォールの解析を行う必要がある．
このような問題を解決する従来技術には以下のようなファイアウォール制御方式がある．
１．従来のファイアウォール制御方式
ここでは，以降の説明で用いる用語，ファイアウォールの動作の概要を示す．
・用語
protocol，src，dst，sport，dportはそれぞれ次の意味を持つ．
protocol：プロトコルを示す
src：送信元アドレスを示す
dst：送信先アドレスを示す
sport：送信元ポートを示す
dport：送信先ポートを示す
フィルタfのprotocolフィールドを指定するには，f.protocolのように”.”を用いて表す．
ここでは，ファイアウォールの例として，iptablesの動作の概要を示す．
ファイアウォールでは，設定を用いてパケットの通過や廃棄を決定する．設定とはフィルタの集合である．ここでは，フィルタとしてiptablesの次のような形式を用いる．ここで，-p，-s，-d，--sport，--dportの組をヘッダ条件と呼ぶ．また，-jのフィールドをフィルタのアクションと呼ぶ．
fi：iptables -A FORWARD -p protocol -s src -d dst -sport sport -dport dport -j action
fi：フィルタを識別するためのidである．
-p：このフィルタが対象とするプロトコルを指定するフィールドである．
tcpまたはudpを指定する．明示しない場合は任意のプロトコルを指定したものとする．
-s：このフィルタが対象とする送信元アドレスを指定する．ここでは133.68.13.1のようなIPアドレスの指定と，133.68.13.0/24のようなネットワークアドレスによる指定を扱う．ネットワークアドレスを指定した場合は領域として扱い，133.68.13.0/24の例では133.68.13.0〜133.68.13.255が指定領域になる．明示しない場合は任意のアドレスを指定したものとする．
-d：このフィルタが対象とする送信先アドレスを指定する．指定の方式は-sのフィールドと同様である．
--sport：このフィルタが対象とする送信元ポート番号を指定する．ここでは，”80”のように単一のポートを指定する．明示しない場合は任意のポート番号を指定したものとする．
--dport：このフィルタが対象とする送信先ポート番号を指定する．指定の方式は-sportのフィールドと同様である．
-j：このフィルタのヘッダ条件と照合に成功するパケットの処理を指定する．ACCEPTであればパケットはファイアウォールを通過するが，DROPであれば破棄される．
このとき，キーk（protocol,src,dst,sport,dport）とフィルタfiが与えられたとき，次の条件を満たす場合にkはfiと照合に成功するという．
Fi.protocol=k.protocol
∧fi.srcが領域の時min(fi.src)<=k.src<=max(fi.src),
fi.srcがIPアドレスの時fi.src=k.src
∧fi.dstが領域の時min(fi.dst)<=k.dst<=(fi.dst),
fi.dstがIPアドレスの時fi.dst=k.dst
∧fi.sport=k.sport
∧fi.dport=k.dport
ここで，mix()，max()はそれぞれ，領域の最小値と最大値を表す．
ただし，fiのフィールドがフィルタで明示されていない場合は該当するフィールの真偽はパケットのヘッダの値にかかわらず真となる．
パケットpがファイアウォールに到着した場合のファイアウォールの動作例を図１に示す．動作手順は次の通りである．ファイアウォールの設定はfi〜fnとする．
STEP１．初期値としてi=1とする．
STEP２．パケットｐのヘッダをキーとして，fiと照合を行う．照合に成功した場合，fiに示されているアクションを元に通過や廃棄を決定する．照合に成功しなかった場合，STEP３に進む．
STEP３．i<nの場合，つまり，fiの次のフィルタが存在する場合，i=i+1を行い，STEP２に進む．i>=nの場合，つまり，fiの次のフィルタが存在しない場合，どの照合にも成功しなかった場合に行われるファイアウォールのデフォルト動作を元に通過や廃棄を決定する．
２．ファイアウォール設定を解析し，冗長，不足，矛盾があるフィルタを自動で検出する方式がある(非特許文献２参照．)．
【非特許文献２】「ポリシリフレクタを用いたネットワークアクセス検査機能の設定検証システムの実現と評価」電子情報通信学会論文誌，D-I，Vol.J88-D-I，No.11，pp.1624-1633，Nov.2005．これらの技術により，コンピュータネットワークのセキュリティを向上させることができる．
【発明の開示】
【発明が解決しようとする課題】
【０００３】
従来のコンピュータネットワークのファイアウォール制御方式には，以下の問題がある．
１．非特許文献１の方式では，「２００８年１月３１日１０時から１２時までFtpサーバを公開したい」といった要求があった場合，２００８年１月３１日１０時には，公開するIPアドレス，ポート番号のパケットの通過を許可するフィルタを追加する必要がある．また，２００８年１月３１日１２時に公開するIPアドレス，ポート番号のパケットの通過を許可するフィルタの削除をする必要がある．このような要求が増えていった場合，ファイアウォールの設定ミスが発生する危険性が高くなる．また，管理者への負担も増加する．
２．非特許文献２の方式では，従来のファイアウォールの設定を解析するものであり，前記照合条件とアクションに加えて開始と終了の時刻指定を記述したフィルタを検証することができない．
【課題を解決するための手段】
【０００４】
第１の発明のファイアウォール制御方式は， IPアドレスやポート番号などのパケットヘッダに関する条件（照合条件と呼ぶ）及びパケットに対する操作（アクションと呼ぶ）を記述したフィルタの系列からフィルタを先頭から順番に取り出して解釈し，到着パケットのヘッダが照合条件を満たす最初のフィルタのアクションに従ってパケットの通過と廃棄などの制御を行うファイアウォールにおいて，前記照合条件，アクション，指定時間帯，及び，「内」か「外」を指定する内外選択子を記述したフィルタに対して，追内外選択子が「内」で，かつ，ファイアウォールが制御する時刻が指定時間帯に含まれる場合にだけ，そのフィルタを取り出し対象とし，内外選択子が「外」で，かつ，ファイアウォールの制御時刻が指定時間帯に含まれない場合にだけ，そのフィルタを取り出し対象とするフィルタ選択機能を有することを特徴とする．
第２の発明のファイアウォール制御方式は，IPアドレスやポート番号などのパケットヘッダに関する条件（照合条件と呼ぶ）及びパケットに対する操作（アクションと呼ぶ）を記述したフィルタの系列からフィルタを先頭から順番に取り出して解釈し，到着パケットのヘッダが照合条件を満たす最初のフィルタのアクションに従ってパケットの通過と廃棄などの制御を行うファイアウォールにおいて，取り出し対象となるフィルタの集合が同一となる時間帯と，その時間帯に取り出し対象となるフィルタの系列を総て求めるフィルタ分類機能，及び，この時間帯の開始時刻に，その時間帯の取り出し対象となるフィルタの系列をファイアウォールの制御のためのフィルタ系列として設定するフィルタ設定機能を有することを特徴とする．
第３の発明のファイアウォール設定解析方式は，フィルタ解析機能により求められた各時間帯のフィルタ系列を，あらかじめ定められたセキュリティポリシーと比較することにより，そのフィルタ系列内に存在する冗長，不足などを求める設定異常検出機能を有することを特徴とする．
第４の発明のファイアウォール設定解析方式は，時刻または時間帯が指定されたとき，それらを含む時間帯に対して，請求項４に記載のフィルタ解析機能により求められるフィルタ系列を，あらかじめ定められたセキュリティポリシーと比較することにより，そのフィルタ系列内に存在する冗長，不足などを求める設定異常検出機能を有することを特徴とする．
第５の発明のファイアウォール設定解析方式は，フィルタ系列内に冗長，不足などの設定異常が存在する場合に，その箇所を図示する設定異常描画機能を有することを特徴とする．
【発明の効果】
【０００５】
本発明のコンピュータネットワークのファイアウォール制御方式及び設定解析方式は，コンピュータネットワークの利用可能時間帯に応じてファイアウォールの設定を変更することを容易にして設定変更時に生じる誤りを減少させる方式である．また，利用可能時間帯に応じてファイアウォールの設定を変更可能にした場合でも，ファイアウォールの設定誤りの原因究明を容易にする方式である．本発明の方式は，これらにより，セキュリティを向上させる．
・  設定変更時に生じる誤りを減少させる．
ネットワーク内に存在するファイアウォールにおいて，ネットワークにないIPアドレスが送信先アドレスに指定されているなどを検出することが容易になる．
２．ファイアウォールの設定誤りの原因究明を容易にする．
不整合が検出された場合，不整合の原因となったフィルタを絞り込むことが可能となる．
【実施例】
【０００６】
第１の発明の実施例を図２に示す．時刻tにおける動作手順を以下に示す．ファイアウォールの設定はf1〜fnとする．
STEP１．初期値としてi=1とする．
STEP２．fiから，指定時間帯(開始時刻，終了時刻)，内外選択子を取得する．指定時間帯に含まれる場合，つまり，開始時刻≦ｔ＜終了時刻の場合， 内外選択子が「内」，または，選択子がないとき，fiを選択し，STEP３に進む．選択子が「外」の場合，STEP４に進む．
指定時間帯に含まれない場合，つまり，ｔ＜開始時刻，又は，終了時刻≦ｔの場合，内外選択子が「外」のとき，fiを選択し，STEP３に進む．選択肢が「内」，又は，ない場合，STEP４に進む．
STEP３．パケットｐのヘッダをキーとして，fiと照合を行う．照合に成功した場合，fiに示されているアクションを元に通過や廃棄を決定する．照合に成功しなかった場合，STEP４に進む．
STEP４．i<nの場合，つまり，fiの次のフィルタが存在する場合，i=i+1を行い，STEP２に進む．i>=nの場合，つまり，fiの次のフィルタが存在しない場合，どの照合にも成功しなかった場合に行われるファイアウォールのデフォルト動作を元に通過や廃棄を決定する．
動作例を次に示す．ここで，各入力は次の通りとする．
時刻t：2008/01/23 10:20
パケットpのヘッダ情報：（プロトコル：tcp，送信元アドレス：指定しない，送信先IPアドレス：133.68.13.130，送信元ポート番号：指定しない，送信先ポート番号：21）
フィルタf1（照合条件：（プロトコル：tcp，送信元アドレス：指定しない，送信先IPアドレス：133.68.13.0/24，送信元ポート番号：指定しない，送信先ポート番号：21）
アクション：（ACCEPT）
指定時間帯：（開始時刻：2008/01/20 10:00 終了時刻：2008/01/25 10:00）
内外選択子：（内））
STEP１．初期値としてi=1とする．
STEP２．f1から，指定時間帯(2008/01/20 10:00 ，2008/01/25 10:00)，内外選択子(内)を取得する．2008/01/20 10:00≦2008/01/23 10:20＜2008/01/25 10:00であり， 内外選択子が「内」なので，fiを選択する．
STEP３．ｐのヘッダ情報をキーとして，f1と照合を行う．照合に成功したので，ｐを通過させる．
第２の発明を図３に示す．ここでは，ファイアウォール制御の動作手順は，第１の発明の実施例と同様である．残りの機能の動作手順を示す．
各機能の動作手順
・フィルタ分類機能
動作例を図４に示す．この機能は入力として，フィルタf（照合条件，アクション，指定時間帯（開始時刻，終了時刻），内外選択子）の系列F={f1,f2,…,fn}を受付け，時間帯(開始時刻Tjs，終了時刻Tje)とその時間帯に取り出し対象となるフィルタfの系列Fjを求める．
STEP１．f1〜fnの開始時刻，終了時刻を重複を含まずに取得した時刻t1〜tmを昇順にソートする．
STEP２．初期値として，j=0，t0=0,t(m+1)=9999/99/99 99:99とする．F0〜Fmを空にする．
STEP３．時間帯（開始時刻Tjs=tj，終了時刻Tje=t(j+1)）とする．
STEP４．初期値として，i=1とする．
STEP５．fiから，指定時間帯(開始時刻，終了時刻)，内外選択子を取得する．時間帯に含まれる場合，つまり，Tjs≦tis＜Tjeの場合， 内外選択子が「内」，または，選択子がないとき，fiをFjに追加しする．選択子が「外」の場合，そのまま次のSTEPに進む．
時間帯に含まれない場合，つまり，tis＜Tjs，又は，Tje≦tisの場合，内外選択子が「外」のとき，fiをFjに追加する．選択肢が「内」，又は，ない場合，そのまま次のSTEPに進む．
STEP６．i<nの場合，つまり，fiの次のフィルタが存在する場合，i=i+1を行い，STEP５に進む．i≧nの場合，つまり，fiの次のフィルタが存在しない場合，(Fj,Tjs,Tje)を出力し，STEP７に進む．
STEP７．j<mの場合，j=j+1を行い，STEP４に進む．j≧mの場合，終了する．
フィルタ分類機能の動作例を次に示す．
フィルタf1（照合条件：（プロトコル：tcp，送信元IPアドレス：指定しない，送信先IPアドレス：133.68.13.0/24，送信元ポート番号：指定しない，送信先ポート番号：21）
アクション：（ACCEPT）
指定時間帯：（開始時刻：2008/01/20 10:00 終了時刻：2008/01/25 10:00）
内外選択子：（内））
フィルタf2（照合条件：（プロトコル：tcp，送信元IPアドレス：10.10.10.5，送信先IPアドレス：133.68.13.132，送信元ポート番号：1050，送信先ポート番号：22）
アクション：（ACCEPT）
指定時間帯：（開始時刻：2008/01/10 10:00 終了時刻：2008/01/25 10:00）
内外選択子：（内））
STEP１．f1，f2の開始時刻（2008/01/20 10:00，2008/01/10 10:00），終了時刻（2008/01/25 10:00，2008/01/25 10:00）を重複を含まずに取得し，昇順にソートした時刻を
t1(2008/01/10  10:00),
t2(2008/01/20  10:00),
t3(2008/01/25 10:00)
とする．
STEP２．初期値として，j=0とする．t0=0,t4=9999/99/99 99:99とする．
STEP３．時間帯（T1s=0，終了時刻T1e=2008/01/10  10:00）とする．
STEP４．初期値として，i=1とする．
STEP５．f1から，指定時間帯(t1s=2008/01/2010:00，t1e2008/01/2510:00)，「内」を取得する．時間帯(0，2008/01/10  10:00)に含まれず，内外選択子が「内」なので，何もしない．
STEP６．1<２なので，i=２を行う．STEP5と同様に，時間帯(0，2008/01/10  10:00)に含まれず，内外選択子が「内」なので，何もしない．
STEP７．2≧2なので，（F0, 0，2008/01/10  10:00）を出力する．
STEP８．0＜3なので，j=1を行う．
STEP９．時間帯（T1s=2008/01/10  10:00，終了時刻T1e=2008/01/20  10:00）とする．
STEP１０．初期値として，i=1とする．
STEP１１．f1から，指定時間帯(t1s=2008/01/2010:00，t1e2008/01/2510:00)，「内」を取得する．時間帯(2008/01/10  10:00，2008/01/20  10:00)に含まれず，内外選択子が「内」なので，何もしない．
STEP１２．1<２なので，i=２を行う．f2から，指定時間帯(2008/01/1010:00，2008/01/2510:00)，「内」を取得する．時間帯(2008/01/10  10:00，2008/01/20  10:00)に含まれており，内外選択子が「内」なので，F1にf1を追加する．
STEP１３．2≧2なので，（F1, 2008/01/10  10:00，2008/01/20  10:00）を出力する．
STEP１４．1＜3なので，j=2を行い，STEP9〜STEP13と同様に行う．
STEP１５．2＜3なので，j=3を行い，STEP9〜STEP13と同様に行う．
STEP１６． 3≧3なので，終了する．
・フィルタ設定機能
動作例を図５に示す．この機能は入力として，フィルタ系列集合{(F1,T1s,T1e),…,(Fk,tks,tke)}，時刻tを受付け，時間帯の開始時刻に，その時間帯に取り出し対象となるフィルタ系列を出力し，ファイアウォールに設定する．
STEP１．初期値として，l=1とする．
STEP２．時刻ｔを時間帯に含まれる場合，つまり，Tls≦t＜Tleの場合，フィルタ系列Flをファイアウォールに設定して，終了する．時刻ｔが時間帯に含まれない場合，つまり，t＜Tls，または，Tle≦tの場合，次のSTEPに進む．
STEP３．l=l+1を行い，STEP2に進む．
フィルタ設定機能の動作例を次に示す．
時刻ｔ：2008/01/15 10:00
フィルタ系列集合{(F1, 2008/01/10 10:00, 2008/01/15 10:00),
(F2, 2008/01/15 10:00, 2008/01/25 10:00)}
STEP１．初期値として，l=1とする．
STEP２． 2008/01/15 10:00≦2008/01/15 10:00なので，次のSTEPに進む．
STEP３．l=２を行う．2008/01/15 10:00≦2008/01/15 10:00＜2008/01/25 10:00なので，フィルタ系列F2をファイアウォールに設定して，終了する．
第３の発明の実施例を図６に示す．設定異常検出機能は，非特許文献1に従って，セキュリティポリシとファイアウォールの設定の整合性検査を行う機能である．セキュリティポリシとは，特定のサブネット間のトラヒックの許可や不許可などを定めたセキュリティに関する基本方針である．セキュリティポリシに実ネットワークを反映させて，具体的な記述に変換（これを反射ポリシ(rp)とする）する．ファイアウォールの設定内容を反射ポリシと同様の記述形式を持つルールへと変換（これを反射コンフィグrcとする）し，反射ポリシと比較検証を行う．検証結果として，次の２つが抽出されれ，反射ポリシのIDと，反射コンフィグのIDが出力される．
・ファイアウォールに設定が不足している場合
不足反射ポリシ：反射ポリシに対応する設定がファイアウォールに見つからなかったことを示す結果である．
・ファイウォールに余分な設定がされている場合
冗長反射コンフィグ：これは，反射コンフィグに対応するセキュリティポリシが存在しないことを示す結果である．
動作手順を図７を用いて次に示す．
STEP１．初期値としてj=0とする．
STEP２．フィルタ分類機能により求められた各時間帯のフィルタ系列{(F1,T1s,T1e),…,(Fk,tks,tke)}の中から，（Fj，tjs，tje）を選択し，セキュリティポリシと比較し，不整合があった場合は，不整合の内容を出力する．ない場合は，そのまま次のSTEPに進む．
STEP３．j<kの場合，つまり，Fjの次にまだフィルタ系列がある場合，j=j+1を行い，STEP2に進む．j≧kの場合，つまり，Fjの次にフィルタ系列がない場合，終了する．
動作例を次に示す．ここでは，各入力は以下の通りとする．
フィルタ系列(F0：図８に示したフィルタ系列,
T0s：0,T0e：2008/01/15 10:00)
フィルタ系列(F1：図９に示したフィルタ系列,
T1s：2008/01/15 10:00,T1e：2008/01/20 10:00)
フィルタ系列(F2：図１０に示したフィルタ系列,
T2s：2008/01/20 10:00,T2e：9999/99/99 99:99)
セキュリティポリシ：図１１に示したセキュリティポリシ
STEP１．初期値としてj=0とする．
STEP２．F0とセキュリティポリシを比較検証する．不整合がないので，次に進む．
STEP３．0<2なので，j=1を行う．
STEP４．F1とセキュリティポリシを比較検証する．不整合(不足反射ポリシ：RP4,RP8，冗長反射コンフィグ：なし)を出力する．
STEP５．1<2なので，j=2を行う．
STEP６．F2とセキュリティポリシを比較検証する．不整合がないので，つぎに進む．
STEP７．2≧2なので，終了する．
第４の発明の実施例を図１２に示す．時刻ｔにおける，動作手順を図１３を用いて次に示す．
STEP１．初期値としてl=0とする．
STEP２．時刻tがフィルタ系列の時間帯に含まれている場合，つまり，Tls≦t≦Tleの場合，次のSTEPに進む．時刻tがフィルタ系列の時間帯に含まれていない場合，つまり，t＜Tls，または，Tle＜tの場合，l=l+1を行い，STEP２に進む．
STEP３．Flとセキュリティポリシを比較し，不整合があった場合は，不整合の内容を出力する．ない場合は，そのまま終了する．
動作例を次に示す．ここでは，各入力は以下の通りとする．
時刻t：2008/01/17 10:00
フィルタ系列(F0：図８に示したフィルタ系列,
T0s：0,T0e：2008/01/15 10:00)
フィルタ系列(F1：図９に示したフィルタ系列,
T1s：2008/01/15 10:00,T1e：2008/01/20 10:00)
フィルタ系列(F2：図１０に示したフィルタ系列,
T2s：2008/01/20 10:00,T2e：9999/99/99 99:99)
セキュリティポリシ：図１１に示したセキュリティポリシ
STEP１．初期値としてl=0とする．
STEP２．2008/01/15 10:00＜2008/01/17 10:00なので，l=1を行う．
STEP３．2008/01/17 10:00がフィルタ系列の時間帯に含まれている場合，つまり，2008/01/15 10:00≦2008/01/17 10:00≦2008/01/20 10:00なので，F1とセキュリティポリシを比較検証する．不整合(不足反射ポリシ：RP4,RP８，冗長反射コンフィグ：なし)を出力すし，終了する．
第５の発明の実施例を，動作手順によって，以下に示す．
STEP１．フィルタ系列F=｛f1,f2,…,fn｝のそれぞれをfとして，次のSTEPを実行する．
STEP２．設定検査機能によって求められた不整合(不足反射ポリシID,冗長反射コンフィグID)にfが含まれていれば，着色等，強調して描画する．そうでなければ，着色せずに描画する．
動作例を次に示す．ここでの各入力は，次の通りである．
フィルタ系列：図１４に示すフィルタ系列
反射ポリシ：図１５で示す反射ポリシ
不整合：(不足：rp4，rp9  冗長：f10,f11)
動作手順で示したSTEP1，STEP2を行った結果を図１６で示す．不整合(不足：rp4，rp9  冗長：f10,f11)を着色して描画する．その他のフィルタは着色せずに描画する．
【産業上の利用可能性】
【０００７】
このようなコンピュータネットワークのファイアウォール制御方式及び設定解析方式は，ローカルエリアネットワークなどのコンピュータネットワークの管理運用におおいに役立つ．
【図面の簡単な説明】
【０００８】
【図１】従来のファイアウォール制御の例である
【図２】発明１によるファイアウォール制御の例である．
【図３】発明２によるファイアウォール制御の例である．
【図４】フィルタ分類機能の動作手順のフローチャート図である．
【図５】フィルタ設定機能の動作手順のフローチャート図である．
【図６】発明３によるファイアウォール設定解析の例である．
【図７】設定異常検出機能の動作手順のフローチャート図である．
【図８】設定異常検出機能の入力となる，フィルタ系列F0の例である．
【図９】設定異常検出機能の入力となる，フィルタ系列F1の例である．
【図１０】設定異常検出機能の入力となる，フィルタ系列F2の例である．
【図１１】設定異常検出機能の入力となる，セキュリティポリシの例である．
【図１２】発明４によるファイアウォール設定解析の例である．
【図１３】設定異常検出機能の動作手順のフローチャート図である．
【図１４】発明５によるファイアウォール設定解析の例である.
【図１５】設定異常描画機能の入力である，フィルタ系列の例である．
【図１６】設定異常検出機能の入力である反射ポリシの例である．
【図１７】設定異常描画機能による動作結果例の図である．
【図１】
2009194496.tif 000003
【図２】
2009194496.tif 000004
【図３】
2009194496.tif 000005
【図４】
2009194496.tif 000006
【図５】
2009194496.tif 000007
【図６】
2009194496.tif 000008
【図７】
2009194496.tif 000009
【図８】
2009194496.tif 000010
【図９】
2009194496.tif 000011
【図１０】
2009194496.tif 000012
【図１１】
2009194496.tif 000013
【図１２】
2009194496.tif 000014
【図１３】
2009194496.tif 000015
【図１４】
2009194496.tif 000016
【図１５】
2009194496.tif 000017
【図１６】
2009194496.tif 000018
【図１７】
2009194496.tif 000019