(57)【特許請求の範囲】
【請求項１】
ネットワークに設けられ、当該ネットワークを伝送する情報に対し、通過・不通過を制御するセキュリティ装置と、このセキュリティ装置に対して情報を通過させるか不通過とするかを決定するためのネットワークセキュリティルール情報を与えるネットワークセキュリティルール管理装置とを具備するネットワークセキュリティルール管理システムであって、
前記セキュリティ装置と前記ネットワークセキュリティルール管理装置とには、それぞれ、全てのセキュリティ装置に共通する共通ルール情報を記憶する共通ルール情報記憶部と、各セキュリティ装置に固有の個別ルール情報を記憶する個別ルール情報記憶部とが備えられており、
前記ネットワークセキュリティルール管理装置は、
各ルール情報の新規作成を含む更新をした場合に当該更新により更新されたルール情報を記憶する更新ルール情報記憶部と、
当該更新ルール情報記憶部に更新ルール情報を記憶するときに、共通ルール情報の格納先情報を記憶するメモリテーブルと個別ルール情報の格納先情報を記憶するメモリテーブルと、
前記メモリテーブルに格納先情報が記憶されている場合に、更新されたルール情報が上記更新ルール情報記憶部に記憶されたことを検出して当該更新されたルール情報を前記セキュリティ装置に転送し、当該転送後に前記メモリテーブルの格納先情報を削除する転送手段とを具備することを特徴とするネットワークセキュリティルール管理システム。
【請求項２】
ネットワークに設けられ当該ネットワークを伝送する情報に対し通過・不通過を制御するセキュリティ装置に対して、情報を通過させるか不通過とするかを決定するためのネットワークセキュリティルール情報を与えるネットワークセキュリティルール管理装置であって、
前記ネットワークセキュリティルール管理装置は、
全てのセキュリティ装置に共通する共通ルール情報を記憶する共通ルール情報記憶部と、
各セキュリティ装置に固有の個別ルール情報を記憶する個別ルール情報記憶部と、
各ルール情報の新規作成を含む更新をした場合に当該更新により更新されたルール情報を記憶する更新ルール情報記憶部と、
当該更新ルール情報記憶部に更新ルール情報を記憶するときに、共通ルール情報の格納先情報を記憶するメモリテーブルと個別ルール情報の格納先情報を記憶するメモリテーブルと、
前記メモリテーブルに格納先情報が記憶されている場合に、更新されたルール情報が上記更新ルール情報記憶部に記憶されたことを検出して当該更新されたルール情報を前記セキュリティ装置に転送し、当該転送後に前記メモリテーブルの格納先情報を削除する転送手段と
を具備することを特徴とするネットワークセキュリティルール管理装置。
【請求項３】
前記転送手段は、更新ルール情報記憶部に更新されたルール情報が記憶されたことを検出して転送した場合に、当該更新ルール情報記憶部に記憶されているルール情報を、自装置の共通ルール情報記憶部または個別ルール情報記憶部へ記憶することを特徴とする請求項２に記載のネットワークセキュリティルール管理装置。
【請求項４】
ネットワークセキュリティルール管理装置には、
各ルール情報を転送した場合に転送したルール情報を記憶するバックアップ記憶部が備えられ、
前記転送手段は、この転送したルール情報を前記バックアップ記憶部へ記憶することを特徴とする請求項２記載のネットワークセキュリティルール管理装置。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
この発明は、ネットワークにおけるセキュリティを実現するためのネットワークセキュリティルール管理システム及びネットワークセキュリティルール管理装置に関するものである。
【０００２】
【従来の技術】
従来、ネットワークにおいては情報の漏洩や破壊を防止する等の目的でセキュリティ装置が導入されている。このセキュリティ装置としては、ファイアウオール（fire wall ）装置が知られており、このファイアウオール装置はネットワークにおけるネットワークサイトの接続ポイントに設置される。ここで、ネットワークサイトは、会社における本社、各支社等に対応して設置されるサーバ計算機やクライアント計算等のコンピュータ群である。
【０００３】
上記ファイアウオール装置は、設置される接続ポイントにおけるネットワークサイトが本社であるか支社であるか等の特性に応じて、伝送する情報に対し通過・不通過を制御する。この場合、どの情報を通過させるか不通過とするかを決定するためのネットワークセキュリティルール情報（以下、ルール情報）をセットする必要がある。
【０００４】
【発明が解決しようとする課題】
従来においては、保守員等がファイアウオール装置の設置場所に赴き、上記ルール情報をセットしていた。このため、セットの際の入力ミスにより適切なルール情報をセットできなかったり、セットのために多大な時間を要するという問題が生じていた。
【０００５】
本発明は上記のような従来におけるネットワークセキュリティの問題点に鑑みなされたもので、その目的は、ルール情報を適切にセットすることができ、セットのために要する時間を短縮することの可能なネットワークセキュリティルール管理システム及びネットワークセキュリティルール管理装置を提供することである。
【０００６】
【課題を解決するための手段】
本発明に係るネットワークセキュリティルール管理システムは、ネットワークに設けられ、当該ネットワークを伝送する情報に対し、通過・不通過を制御するセキュリティ装置と、このセキュリティ装置に対して情報を通過させるか不通過とするかを決定するためのネットワークセキュリティルール情報を与えるネットワークセキュリティルール管理装置とを具備するネットワークセキュリティルール管理システムであって、前記セキュリティ装置と前記ネットワークセキュリティルール管理装置とには、それぞれ、全てのセキュリティ装置に共通する共通ルール情報を記憶する共通ルール情報記憶部と、各セキュリティ装置に固有の個別ルール情報を記憶する個別ルール情報記憶部とが備えられており、前記ネットワークセキュリティルール管理装置は、各ルール情報の新規作成を含む更新をした場合に当該更新により更新されたルール情報を記憶する更新ルール情報記憶部と、当該更新ルール情報記憶部に更新ルール情報を記憶するときに、共通ルール情報の格納先情報を記憶するメモリテーブルと個別ルール情報の格納先情報を記憶するメモリテーブルと、前記メモリテーブルに格納先情報が記憶されている場合に、更新されたルール情報が上記更新ルール情報記憶部に記憶されたことを検出して当該更新されたルール情報を前記セキュリティ装置に転送し、当該転送後に前記メモリテーブルの格納先情報を削除する転送手段とを具備することを特徴とする。これによって、更新が行われたルール情報のみが転送されて配布され、無駄な配布を行うことがない。
【０００７】
本発明に係るネットワークセキュリティルール管理装置は、ネットワークに設けられ当該ネットワークを伝送する情報に対し通過・不通過を制御するセキュリティ装置に対して、情報を通過させるか不通過とするかを決定するためのネットワークセキュリティルール情報を与えるネットワークセキュリティルール管理装置であって、前記ネットワークセキュリティルール管理装置は、全てのセキュリティ装置に共通する共通ルール情報を記憶する共通ルール情報記憶部と、各セキュリティ装置に固有の個別ルール情報を記憶する個別ルール情報記憶部と、各ルール情報の新規作成を含む更新をした場合に当該更新により更新されたルール情報を記憶する更新ルール情報記憶部と、当該更新ルール情報記憶部に更新ルール情報を記憶するときに、共通ルール情報の格納先情報を記憶するメモリテーブルと個別ルール情報の格納先情報を記憶するメモリテーブルと、前記メモリテーブルに格納先情報が記憶されている場合に、更新されたルール情報が上記更新ルール情報記憶部に記憶されたことを検出して当該更新されたルール情報を前記セキュリティ装置に転送し、当該転送後に前記メモリテーブルの格納先情報を削除する転送手段とを具備することを特徴とする。これによって、更新が行われたルール情報のみが転送されて配布され、無駄な配布を行うことがない。
【０００８】
また、ネットワークセキュリティルール管理装置では、転送手段は、更新ルール情報記憶部に更新されたルール情報が記憶されたことを検出して転送した場合に、更新ルール情報記憶部に記憶されているルール情報を、自装置の共通ルール情報記憶部または個別ルール情報記憶部へ記憶することを特徴とする。
【００１１】
更に、ネットワークセキュリティルール管理装置では、ネットワークセキュリティルール管理装置には、各ルール情報を転送した場合に転送したルール情報を記憶するバックアップ記憶部が備えられ、転送する手段は、転送したルール情報を前記バックアップ記憶部へ記憶することを特徴とする。これにより、転送したルール情報のバックアップが図られ、転送の不具合等が発生した場合に備えることができる。
【００１２】
【発明の実施の形態】
以下添付図面を参照して本発明の実施の形態に係るネットワークセキュリティルール管理システム及びネットワークセキュリティルール管理装置を説明する。各図において同一の構成要素には同一の符号を付して重複する説明を省略する。図１には、本発明の実施の形態に係るネットワークセキュリティルール管理システム及びネットワークセキュリティルール管理装置が示されている。図１においては、ネットワーク１にＮＳＲ管理装置（ネットワークセキュリティルール管理装置）２が接続されると共に、セキュリティ装置であるファイアウオール装置３−１、３−２が接続されている。
【００１３】
ＮＳＲ管理装置２は、全てのファイアウオール装置に共通する共通ルール情報を記憶する共通ルール情報記憶部４と、各ファイアウオール装置に固有の個別ルール情報を記憶する個別ルール情報記憶部５とが備えられている。また、ファイアウオール装置３−１、３−２にも、それぞれ、全てのファイアウオール装置に共通する共通ルール情報を記憶する共通ルール情報記憶部６−１、６−２と、当該ファイアウオール装置に固有の個別ルール情報を記憶する個別ルール情報記憶部７−１、７−２が備えられている。ファイアウオール装置３−１、３−２は、ネットワーク１と既に説明したようなネットワークサイト８−１、８−２との接続点にセットされ、ネットワーク１とネットワークサイト８−１、８−２との間で伝送される情報に対し、通過・不通過を制御する。この制御には、共通ルール情報記憶部６−１、６−２と、個別ルール情報記憶部７−１、７−２に記憶されているルール情報が用いられる。尚、上記各共通ルール情報記憶部と、各個別ルール情報記憶部とは、必ずしも物理的に分けられている必要はない。
【００１４】
全てのファイアウオール装置に共通する共通ルール情報には、「ファイル転送プロトコル（ｆｔｐ）は通過させない」、「特定の共通サーバに対するパケットは通過させる」など、汎用的なルール情報が含まれ、各ファイアウオール装置に固有の個別ルール情報には、ネットワークサイト８−１、８−２に含まれるサーバ計算機群やクライアント計算機群のネットワークアドレス、或いは特定の計算機に対する発信や着信規制等のようなルール情報が含まれる。
【００１５】
ＮＳＲ管理装置２には、編集・格納手段２ａ、管理情報記憶手段２ｂ、配布手段２ｃが備えられている。編集・格納手段２ａは、ルール情報を編集し、これをファイルとして共通ルール情報記憶部４、個別ルール情報記憶部５へ格納するものである。管理情報記憶手段２ｂは、ルール情報の所在（格納アドレス、ディレクトリ等）、ルール情報の最終更新日時、ルール情報の最終配布日時等の情報が記憶されるテーブルである。配布手段２ｃは、所要のときに共通ルール情報記憶部４、個別ルール情報記憶部５からルール情報を取出し、これをファイアウオール装置３−１、３−２へ配布し、ファイアウオール装置３−１、３−２に備えられている共通ルール情報記憶部６−１、６−２、個別ルール情報記憶部７−１、７−２へ転送する。
【００１６】
共通ルール情報記憶部４、個別ルール情報記憶部５を含むＮＳＲ管理装置２は、必ずしも全ての構成を含む必要はないが、例えば、図２に示されるように構成されている。つまり、ＣＰＵ１０が主メモリ１１に記憶されているプログラム及びデータを用いて各部を制御し及びデータ処理する構成となっている。
【００１７】
ＣＰＵ１０には、バス１２を介してキーボード制御部１３、表示制御部１４、マウス制御部１５、プリンタ制御部１６、磁気ディスク制御部１７、通信インタフェース１８が接続されている。キーボード制御部１３にはキーボード入力装置１９が接続されており、各ノードのオペレータがこのキーボード入力装置１９を用いて情報を入力可能となっている。表示制御部１４には例えばＣＲＴを有するＣＲＴ表示装置２０が接続されており、必要な情報が表示されるようになっている。マウス制御部１５にはポインティングディバイスであるマウス２１が接続されており、必要な場合に位置情報を入力することが可能となっている。
【００１８】
プリンタ制御部１６にはプリンタ装置２２が接続されており、情報のプリントアウトが可能となっている。磁気ディスク制御部１７には磁気ディスク装置２３が接続され、磁気ディスク装置２３にはプログラムやデータが記憶され、ＣＰＵ１０により必要に応じてリードライトされる。通信インタフェース１８には通信処理部２４が接続され、ネットワーク１との間でデータの送受が行われるようにされている。
【００１９】
図１に示した管理情報記憶手段２ｂは、例えば、主メモリ１１にメモリテーブルとして具備され、共通ルール情報記憶部４、個別ルール情報記憶部５は、磁気ディスク装置２３に該当する。図１に示されている編集・格納手段２ａ及び配布手段２ｃは、ＣＰＵ１０が主メモリ１１内のプログラムを実行することにより実現される。尚、ファイアウオール装置３−１、３−２は、例えば図２の構成において、プリンタ装置２２、キーボード入力装置１９、ＣＲＴ表示装置２０、マウス２１及びそれらの制御部がなく、通信処理部２４を介してネットワークを伝送する情報の通過・非通過に係る制御を行う構成を備える。
【００２０】
図１に示した管理情報記憶手段２ｂには、図３に示されるようなメモリテーブルＭ１、Ｍ２が含まれる。メモリテーブルＭ１は、共通ルール情報のファイル（共通ルールファイル）の所在（パス名）が記憶されたテーブルであり、メモリテーブルＭ２は、各ファイアウオール装置３−１、３−２に対する個別ルール情報のファイル（個別ルールファイル）の所在（パス名）が記憶されたテーブルである。ここでは、ファイアウオール装置３−１、３−２のセキュリティシステム名をそれぞれ、セキュリティシステムＡ、セキュリティシステムＢとしてある。
【００２１】
以上のように構成されたシステムにおいては、既に述べたようにＣＰＵ１０が主メモリ１１に記憶されている図４に示されるようなプログラムを実行することにより、編集・格納手段２ａ及び配布手段２ｃが実現されるので、以下に説明を行う。ＣＰＵ１０は、共通ルールファイルの更新指示が入力されたかを監視している（Ｓ１）。更新指示の入力は、例えば、キーボード入力装置１９を用いて行われる。
【００２２】
上記において更新指示の入力があると、メモリテーブルＭ１の情報を参照して共通ルール情報記憶部４から共通ルールファイルを主メモリ１１上へ読み出す（Ｓ２）。勿論、当初には共通ルールファイルには共通ルール情報が含まれていない。そして、オペレータによりキーボード入力装置１９を用いて共通ルールファイルの編集（新規作成を含む）がなされるのを受付け（Ｓ３）、編集終了となると結果のファイルを共通ルール情報記憶部４の元の所在へ記憶する（Ｓ４）。
【００２３】
また、ＣＰＵ１０は、個別ルールファイルの更新指示が入力されたかを監視している（Ｓ５）。ここにおいて更新指示の入力があると、メモリテーブルＭ２の情報を参照して指示された個別ルールファイルの所在を得ておき、個別ルール情報記憶部５から該当の個別ルールファイルを主メモリ１１上へ読み出す（Ｓ６）。勿論、当初には個別ルールファイルには個別ルール情報が含まれていない。そして、オペレータによりキーボード入力装置１９を用いて個別ルールファイルの編集（新規作成を含む）がなされるのを受付け（Ｓ７）、編集終了となると結果のファイルを個別ルール情報記憶部５の元の所在へ記憶する（Ｓ８）。
【００２４】
また、ＣＰＵ１０は、ルールファイルの配布指示が入力されたかを監視している（Ｓ９）。この指示は、例えば、キーボード入力装置１９を用いて直接に、或いはタイマのセットにより間接的に行われる。ここにおいてファイル配布指示の入力があると、メモリテーブルＭ１、メモリテーブルＭ２の該当する情報を参照してファイルの所在を得て、ファイアウオール装置３−１、３−２の該当する装置へファイルを送信する（Ｓ１０）。
【００２５】
ファイアウオール装置３−１、３−２は、共通ルールファイルが配布されてくるとこれを共通ルール情報記憶部６−１、６−２へ記憶し、個別ルールファイルが配布されてくるとこれをを記憶する個別ルール情報記憶部７−１、７−２へ記憶する。
【００２６】
以上のようにして共通ルール情報と個別ルール情報とを分けて管理しているため、共通ルール情報をＮＳＲ管理装置２において入力するだけで済み、従来ファイアウオール装置毎に行っていた入力作業少なくし、入力ミスを減少させることができる。また、共通ルール情報と個別ルール情報とを分けて管理しているため、必要な方のルール情報に編集を加えることができ、効率的である。
【００２７】
次に、上記図１に示したシステム及び装置の第１の変形例を説明する。この変形例では、ＮＳＲ管理装置２に備えられる管理情報記憶手段２ｂに代えて図５に示される管理情報記憶手段２ｂ−１が備えられ、当該管理情報記憶手段２ｂ−１には、図５に示されるように、メモリテーブルＭ１−１、Ｍ２−１、Ｍ３−１が含まれている。メモリテーブルＭ１−１は、共通ルール情報のファイル（共通ルールファイル）の所在（パス名）と共に、当該共通ルールファイルの最終更新日時が記憶されたテーブルであり、メモリテーブルＭ２−１は、各ファイアウオール装置３−１、３−２に対する個別ルール情報のファイル（個別ルールファイル）の所在（パス名）と共に、当該各個別ルールファイルの最終更新日時が記憶されたテーブルである。更に、メモリテーブルＭ３−１は、ファイルについて配布を行った最終配布日時が記憶されたテーブルである。
【００２８】
このシステムでは、図１に示したシステムと同様に、図４に示されるフローチャートに対応するプログラムをＣＰＵ１０が実行する。このとき、ルールファイルの新規作成を含む更新の際に、メモリテーブルＭ１−１、メモリテーブルＭ２−１の該当する欄に最終更新日時を記憶する。そして、ステップＳ９、Ｓ１０における配布の際の処理に代えて、図７に示されるフローチャートに対応するプログラムをＣＰＵ１０が実行する。
【００２９】
ＣＰＵ１０は、共通ルールファイルに関するメモリテーブルＭ１−１に記憶されている最終更新日時とメモリテーブルＭ３−１記憶された最終配布日時とを比較し（Ｓ１１）、最終更新日時が最終配布日時より後であるかを検出する（Ｓ１２）。ここで、最終更新日時が最終配布日時より後であることが検出されると、更新されたファイルが配布されていないのであるから、共通ルール情報記憶部４から共通ルールファイルを取出し、ファイアウオール装置３−１、３−２へファイルを送信する（Ｓ１３）。次に、個別ルールファイルのナンバＮ（Ｎ＝１はファイアウオール装置３−１に対応のファイル、Ｎ＝２はファイアウオール装置３−２に対応のファイルである。）を「１」として（Ｓ１４）、当該Ｎ（＝１）の個別ルールファイルに関するメモリテーブルＭ２−１に記憶されている最終更新日時とメモリテーブルＭ３−１に記憶された最終配布日時とを比較し（Ｓ１５）、最終更新日時が最終配布日時より後であるかを検出する（Ｓ１６）。
【００３０】
ここで、最終更新日時が最終配布日時より後であることが検出されると、更新されたファイルが配布されていないのであるから、個別ルール情報記憶部５からファイアウオール装置３−１に対応の個別ルールファイルを取出し、ファイアウオール装置３−１へファイルを送信する（Ｓ１７）。次に、Ｎを「１」増加させて、個別ルールファイルのナンバＮを「２」として（Ｓ１８）、当該Ｎ（＝２）の個別ルールファイルが存在するかを検出する（Ｓ１９）。ここでは存在するから、Ｎ（＝２）の個別ルールファイルに関するメモリテーブルＭ２−１に記憶されている最終更新日時とメモリテーブルＭ３−１記憶された最終配布日時とを比較し（Ｓ１５）、最終更新日時が最終配布日時より後であるかを検出する（Ｓ１６）。
【００３１】
ここで、最終更新日時が最終配布日時より後であることが検出されると、更新されたファイルが配布されていないのであるから、個別ルール情報記憶部５からファイアウオール装置３−２に対応の個別ルールファイルを取出し、ファイアウオール装置３−２へファイルを送信する（Ｓ１７）。次に、Ｎを「１」増加させて、個別ルールファイルのナンバＮを「３」として（Ｓ１８）、当該Ｎ（＝３）の個別ルールファイルが存在するかを検出する（Ｓ１９）。ここではファイアウオール装置３−３が存在せず、対応する個別ルールファイルが存在しないので、メモリテーブルＭ３−１の最終配布日時を現在日時に応じて更新し（Ｓ２０）、処理を終了する。
【００３２】
この第１の変形例によれば、更新がなされたルール情報のファイルのみが配布されるので、無駄のないデータ転送を行うことができる。尚、この変形例では、ファイルの最終配布日時を共通に１つ持つようにしたが、ファイル対応にファイルの最終配布日時を持たせて配布の管理を行うようにしても良い。
【００３３】
次に、上記図１に示したシステム及び装置の第２の変形例を説明する。この変形例のＮＳＲ管理装置２には、図８に示されるように、各ルール情報を更新した場合に記憶する更新ルール情報記憶部９が備えられている。この更新ルール情報記憶部９は、他の記憶部と物理的に分けられている必要はない。また、この変形例に係るシステムでは、ＮＳＲ管理装置２に備えられる管理情報記憶手段２ｂに代えて図６に示される管理情報記憶手段２ｂ−２が備えられ、当該管理情報記憶手段２ｂ−２には、図６に示されるように、メモリテーブルＭ１−２、Ｍ２−２が含まれている。
【００３４】
メモリテーブルＭ１−２は、共通ルール情報のファイル（共通ルールファイル）の所在（パス名）と共に、当該共通ルールファイルの更新されたファイルの格納先（例えば、更新ルール情報記憶部９におけるディレクトリ）が記憶されたテーブルであり、また、メモリテーブルＭ２−２は、各ファイアウオール装置３−１、３−２に対する個別ルール情報のファイル（個別ルールファイル）の所在（パス名）と共に、当該各個別ルールファイルの更新されたファイルの格納先（例えば、更新ルール情報記憶部９におけるディレクトリ）が記憶されたテーブルである。
【００３５】
このシステムでは、図１に示したシステムと同様に、図４に示されるフローチャートに対応するプログラムをＣＰＵ１０が実行する。このとき、ルールファイルの新規作成を含む更新の際に、メモリテーブルＭ１−２、メモリテーブルＭ２−２の該当する欄に更新ルール情報記憶部９における格納先を記憶する。そして、ステップＳ９、Ｓ１０における配布の際の処理に代えて、図９に示されるフローチャートに対応するプログラムをＣＰＵ１０が実行する。
【００３６】
ＣＰＵ１０は、共通ルールファイルに関するメモリテーブルＭ１−２に格納先が記憶されているかを検出し（Ｓ２１）、格納先が記憶されているかを判定する（Ｓ２２）。ここで、格納先が記憶されている場合には、格納先に基づき更新ルール情報記憶部９から更新に係る共通ルールファイルを取出し、ファイアウオール装置３−１、３−２へファイルを送信すると共に、更新に係る共通ルールファイルを共通ルール情報記憶部４へ格納し、メモリテーブルＭ１−２に記憶されている格納先を削除する（Ｓ２３）。次に、個別ルールファイルのナンバＮ（Ｎ＝１はファイアウオール装置３−１に対応のファイル、Ｎ＝２はファイアウオール装置３−２に対応のファイルである。）を「１」として（Ｓ１４）、当該Ｎ（＝１）の個別ルールファイルに関するメモリテーブルＭ２−２に格納先が記憶されているかを検出し（Ｓ２５）、格納先の情報が記憶されているかを判定する（Ｓ２６）。
【００３７】
ここで、格納先が記憶されていることが検出されると、格納先に基づき更新ルール情報記憶部９から更新に係る該当個別ルールファイルを取出し、ファイアウオール装置３−１へファイルを送信すると共に、更新に係る個別ルールファイルを個別ルール情報記憶部５へ格納し、メモリテーブルＭ２−２に記憶されている格納先を削除する（Ｓ２７）。次に、Ｎを「１」増加させて、個別ルールファイルのナンバＮを「２」として（Ｓ２８）、当該Ｎ（＝２）の個別ルールファイルが存在するかを検出する（Ｓ２９）。ここでは存在するから、Ｎ（＝２）の個別ルールファイルに関するメモリテーブルＭ２−２に格納先が記憶されているかを検出し（Ｓ２５）、格納先が記憶されているかを判定する（Ｓ２６）。
【００３８】
ここで、格納先が記憶されていることが検出されると、格納先に基づき更新ルール情報記憶部９から更新に係る該当個別ルールファイルを取出し、ファイアウオール装置３−２へファイルを送信すると共に、更新に係る個別ルールファイルを個別ルール情報記憶部５へ格納し、メモリテーブルＭ２−２に記憶されている格納先を削除する（Ｓ２７）。次に、Ｎを「１」増加させて、個別ルールファイルのナンバＮを「３」として（Ｓ２８）、当該Ｎ（＝３）の個別ルールファイルが存在するかを検出する（Ｓ２９）。ここではファイアウオール装置３−３が存在せず、対応する個別ルールファイルが存在しないので、処理を終了する。このように第２の変形例によれば、ルール情報のファイル更新がなされた場合、格納先が記憶されるので、これを検出してファイルの配布を行うことにより、ファイルのみが配布されるので、無駄のないデータ転送を行うことができる。
【００３９】
次に、上記図１に示したシステム及び装置の第３の変形例を説明する。この変形例のＮＳＲ管理装置２には、図８に示されるように、各ルール情報を更新した場合に記憶する更新ルール情報記憶部９が備えられている点では第２の変形例と同様の構成を備える。この更新ルール情報記憶部９は、他の記憶部と物理的に分けられている必要はない。また、この変形例に係るシステムでは、ＮＳＲ管理装置２に備えられる管理情報記憶手段２ｂに代えて図１０に示される管理情報記憶手段２ｂ−３が備えられ、当該管理情報記憶手段２ｂ−３には、図１０に示されるように、メモリテーブルＭ１−３、Ｍ２−３、Ｍ３−３が含まれている。
【００４０】
メモリテーブルＭ１−３は、共通ルール情報のファイル（共通ルールファイル）の所在（パス名）と共に、当該共通ルールファイルの最終更新日時及び当該共通ルールファイルの更新されたファイルの格納先（例えば、更新ルール情報記憶部９におけるディレクトリ）が記憶されたテーブルであり、また、メモリテーブルＭ２−３は、各ファイアウオール装置３−１、３−２に対する個別ルール情報のファイル（個別ルールファイル）の所在（パス名）と共に、当該各個別ルールファイルの最終更新日時及び当該各個別ルールファイルの更新されたファイルの格納先（例えば、更新ルール情報記憶部９におけるディレクトリ）が記憶されたテーブルである。更に、メモリテーブルＭ３−３は、ファイルについて配布を行った最終配布日時が記憶されたテーブルである。
【００４１】
このシステムでは、図１に示したシステムと同様に、図４に示されるフローチャートに対応するプログラムをＣＰＵ１０が実行する。このとき、ルールファイルの新規作成を含む更新処理の際に、メモリテーブルＭ１−３、メモリテーブルＭ２−３の該当する欄に最終更新日時及び更新ルール情報記憶部９における格納先を記憶する。そして、ステップＳ９、Ｓ１０における配布の際の処理に代えて、図１２に示されるフローチャ
ートに対応するプログラムをＣＰＵ１０が実行する。
【００４２】
ＣＰＵ１０は、共通ルールファイルに関するメモリテーブルＭ１−３に記憶されている最終更新日時とメモリテーブルＭ３−３記憶された最終配布日時とを比較し（Ｓ１１）、最終更新日時が最終配布日時より後であるかを検出する（Ｓ１２）。ここで、最終更新日時が最終配布日時より後であることが検出されると、更新されたファイルが配布されていないのであるから、更新ファイル名に基づき更新ルール情報記憶部９から共通ルールファイルを取出し、ファイアウオール装置３−１、３−２へファイルを送信すると共に、更新に係る共通ルールファイルを共通ルール情報記憶部４へ格納し、メモリテーブルＭ１−３に記憶されている格納先を削除する（Ｓ２３）。次に、個別ルールファイルのナンバＮ（Ｎ＝１はファイアウオール装置３−１に対応のファイル、Ｎ＝２はファイアウオール装置３−２に対応のファイルである。）を「１」として（Ｓ１４）、当該Ｎ（＝１）の個別ルールファイルに関するメモリテーブルＭ２−３に記憶されている最終更新日時とメモリテーブルＭ３−３に記憶された最終配布日時とを比較し（Ｓ１５）、最終更新日時が最終配布日時より後であるかを検出する（Ｓ１６）。
【００４３】
ここで、最終更新日時が最終配布日時より後であることが検出されると、更新されたファイルが配布されていないのであるから、更新ファイル名に基づき更新ルール情報記憶部９からファイアウオール装置３−１に対応の個別ルールファイルを取出し、ファイアウオール装置３−１へファイルを送信すると共に、更新に係る個別ルールファイルを個別ルール情報記憶部５へ格納し、メモリテーブルＭ２−３に記憶されている格納先を削除する（Ｓ２７）。次に、Ｎを「１」増加させて、個別ルールファイルのナンバＮを「２」として（Ｓ１８）、当該Ｎ（＝２）の個別ルールファイルが存在するかを検出する（Ｓ１９）。ここでは存在するから、Ｎ（＝２）の個別ルールファイルに関するメモリテーブルＭ２−３に記憶されている最終更新日時とメモリテーブルＭ３−３記憶された最終配布日時とを比較し（Ｓ１５）、最終更新日時が最終配布日時より後であるかを検出する（Ｓ１６）。
【００４４】
ここで、最終更新日時が最終配布日時より後であることが検出されると、更新されたファイルが配布されていないのであるから、更新ファイル名に基づき更新ルール情報記憶部９からファイアウオール装置３−２に対応の個別ルールファイルを取出し、ファイアウオール装置３−２へファイルを送信すると共に、更新に係る個別ルールファイルを個別ルール情報記憶部５へ格納し、メモリテーブルＭ２−３に記憶されている格納先を削除する（Ｓ２７）。
【００４５】
次に、Ｎを「１」増加させて、個別ルールファイルのナンバＮを「３」として（Ｓ１８）、当該Ｎ（＝３）の個別ルールファイルが存在するかを検出する（Ｓ１９）。ここではファイアウオール装置３−３が存在せず、対応する個別ルールファイルが存在しないので、メモリテーブルＭ３−３の最終配布日時を現在日時に応じて更新し（Ｓ２０）、処理を終了する。
【００４６】
この第３の変形例によれば、更新がなされたルール情報のファイルのみが配布されるので、無駄のないデータ転送を行うことができる。尚、この変形例では、ファイルの最終配布日時を共通に１つ持つようにしたが、ファイル対応にファイルの最終配布日時を持たせて配布の管理を行うようにしても良い。
【００４７】
次に、上記図１に示したシステム及び装置の第４の変形例を説明する。この変形例のＮＳＲ管理装置２には、図８に示される構成に加えて図１３に示されるように、各ルール情報を配布した場合にバックアップファイルを記憶するバックアップ記憶部９Ａが備えられている。また、この変形例に係るシステムでは、ＮＳＲ管理装置２に備えられる図１０の管理情報記憶手段２ｂ−３に代えて図１１に示される管理情報記憶手段２ｂ−４が備えられ、当該管理情報記憶手段２ｂ−３には、図１１に示されるように、メモリテーブルＭ１−３、Ｍ２−３、Ｍ３−４が含まれている。メモリテーブルＭ１−３、Ｍ２−３における記憶内容は第３の変形例に等しい。メモリテーブルＭ３−４には、ファイルについて配布を行った最終配布日時と共に、バックアップファイルのファイル名が記憶されている。バックアップファイルのファイル名は、配布の都度に作成されるバックアップファイルの性質に鑑み、連番や日付や共通ルールファイルと個別ルールファイルの別などを付加情報としてセットされる（図１１に図示のものは、連番が付されている）。
【００４８】
この変形例では、第３の変形例と大略同じ図１４に示すフローチャート対応の動作を基本に実行する。ただ、第３の変形例と異なるのは、図１３のフローチャートと比べて、ステップＳ２３Ａ、ステップＳ２７Ａにおいてバックアップファイルをバックアップ記憶部９Ａへ格納し、メモリテーブルＭ３−４には、ファイルについて配布を行った最終配布日時と共に、バックアップファイルのファイル名を記憶する点である。
【００４９】
この第４の変形例によれば、配布に係るファルのバックアップが作成されているので、配布が適切に実行されなかった場合に、メモリテーブルＭ３−４のファイル名及びその付加情報を基に該当ファイルを検索し、これをバックアップ記憶部９Ａから取出し再度配布するなど、時間経過後の処理を可能とする。尚、バックアップに係る当該変形例の構成は、第２の変形例にも適用し得るものである。また、図１に示した実施の形態を含め、各例では、ファイアウオール装置を２台としたが、システム構成に応じて３台以上とできることは言うまでもない。
【００５０】
【発明の効果】
以上説明したように、本発明に係るネットワークセキュリティルール管理システムとネットワークセキュリティルール管理装置によれば、ルール情報を共通ルール情報と個別ルール情報に分けて作成編集及び転送による配布を行うようにしたので、各個別のセキュリティ装置が設置されている場所へ赴く必要がなく、ルール情報を適切にセットすることができ、セットのために要する時間を短縮することが可能である。そして、ルール情報のファイル更新がなされた場合、これを検出してファイルの配布を行うことにより、ファイルのみが配布されるので、無駄のないデータ転送を行うことができる。
【図面の簡単な説明】
【図１】本発明の実施の形態に係るネットワークセキュリティルール管理システム及びその装置の構成図。
【図２】本発明の実施の形態に係るネットワークセキュリティルール管理装置のブッロック図。
【図３】本発明の実施の形態に係るネットワークセキュリティルール管理システム及びその装置に採用される管理情報記憶手段の内容を示す図。
【図４】本発明の実施の形態に係るネットワークセキュリティルール管理システム及びその装置の動作を示すフローチャート。
【図５】本発明の実施の形態に係るネットワークセキュリティルール管理システム及びその装置の第１の変形例に採用される管理情報記憶手段の内容を示す図。
【図６】本発明の実施の形態に係るネットワークセキュリティルール管理システム及びその装置の第２の変形例に採用される管理情報記憶手段の内容を示す図。
【図７】本発明の実施の形態に係るネットワークセキュリティルール管理システム及びその装置の第１の変形例の動作を示すフローチャート。
【図８】本発明の実施の形態に係るネットワークセキュリティルール管理システム及びその装置の第２の変形例の構成図。
【図９】本発明の実施の形態に係るネットワークセキュリティルール管理システム及びその装置の第２の変形例の動作を示すフローチャート。
【図１０】本発明の実施の形態に係るネットワークセキュリティルール管理システム及びその装置の第３の変形例に採用される管理情報記憶手段の内容を示す図。
【図１１】本発明の実施の形態に係るネットワークセキュリティルール管理システム及びその装置の第４の変形例に採用される管理情報記憶手段の内容を示す図。
【図１２】本発明の実施の形態に係るネットワークセキュリティルール管理システム及びその装置の第３の変形例の動作を示すフローチャート。
【図１３】本発明の実施の形態に係るネットワークセキュリティルール管理システム及びその装置の第４の変形例の構成図。
【図１４】本発明の実施の形態に係るネットワークセキュリティルール管理システム及びその装置の第４の変形例の動作を示すフローチャート。
【符号の説明】
１  ネットワーク
２  ＮＳＲ管理装置
３−１、３−２  ファイアウオール装置
４、６−１、６−２共通ルール情報記憶部
５、７−、７−２  個別ルール情報記憶部
８−１、８−２  ネットワークサイト
９  更新ルール情報記憶部
９Ａ  バックアップ記憶部
２ａ  編集・格納手段
２ｂ、２ｂ−１〜４  管理情報記憶手段
２ｃ  配布手段
【図１】
0003732672.tif 000002
【図２】
0003732672.tif 000003
【図３】
0003732672.tif 000004
【図４】
0003732672.tif 000005
【図５】
0003732672.tif 000006
【図６】
0003732672.tif 000007
【図７】
0003732672.tif 000008
【図８】
0003732672.tif 000009
【図９】
0003732672.tif 000010
【図１０】
0003732672.tif 000011
【図１１】
0003732672.tif 000012
【図１２】
0003732672.tif 000013
【図１３】
0003732672.tif 000014
【図１４】
0003732672.tif 000015