JP2002507295A - 多層型ファイアウオールシステム - Google Patents

Abstract

(57)【要約】 多数のプロトコル層で働くセキュリティ機能を有するノードを含むネットワーク(10)にセキュリティを確立するシステムが提供される。リモートアクセス装置(13)、ルータ(14)、スイッチ(12)、中継器(16)、及びセキュリティ機能を有するネットワークカード(15)のような多数のネットワーク装置は、ネットワークに分散されたファイアウオール機能の実施に貢献するように構成される。種々のネットワーク装置においてネットワークの多数の層全体にわたりファイアウオール機能を分散することにより、浸透したファイアウオールが実施される。浸透した多層ファイアウオールは、ファイアウオールがいかに振舞うべきかを定義するポリシーデータを受け入れるポリシー定義要素(11)を備えている。又、多層ファイアウオールは、定義されたポリシーを実施するのに使用されるネットワークデバイスの集合を含む。ネットワークデバイスのこの集合において多数のプロトコル層にわたって動作するセキュリティ機能は、ポリシー定義要素により整合され、特定のデバイスがネツトワークの当該部分に関与するポリシーの部分を実施するようにする。

Description

【発明の詳細な説明】 多層型ファイアウオールシステム発明の分野 本発明は、ネットワークのセキュリティ機能を確立して実施することに係り、 より詳細には、複数のプロトコル層にセキュリティ機能を確立してネットワーク に多層型ファイアウオールを確立するシステムに係る。先行技術の説明 セキュリティは、いわゆるイントラネットを操作する企業内部と、世界的規模 のグローバルデータネットワークとの両面で、ネットワークユーザにとって益々 重要なものとなってきている。ネットワークのセキュリティを確保する目的で、 著しい技術が開発されている。開発されたセキュリティの特徴は、少なくとも、 次の製品分類を含む。（１）フィルタリング、（２）アクセス制御、（３）保護 通信、（４）セキュリティ支援、及び（５）セキュリティポリシー管理。 フィルタリングは、パケット又はフレームをそれらのヘッダ又はデータ内の値 に基づいてドロップし又は変換することを含む。アクセス制御は、ユーザ又はユ ーザが開始した通信に、特定の計算リソースへのアクセスを与えねばならないか どうか判断することを含む。保護通信は、制御情報又はデータが変更もされない し無許可の個人によって読み取られもしないよう確保するプロセスを指す。セキ ュリティ支援製品形式は、ネットワークデバイスにおいてシステムの他の部分の セキュリティを確保するための支援を与える。セキュリティポリシー管理は、ネ ットワークにおいてセキュリティのポリシーを定義するデータを管理することを 指す。 このような種類のセキュリティ特徴は、現在のシステムでは、特定のネットワ ークデバイスにおいて実施される。セキュリティが実施されるネットワークデバ イスは、通常のターミナルや最終システムに加えて、次のようなデバイスを含む 。（１）ネットワークインターフェイスカード（ＮＩＣ）及びモデム、（２）中 継器、（３）スイッチ、（４）ルータ、（５）ラインサーバ、パケットサーバ及 びアクセスサーバを含むリモートアクセス装置、及び（６）ネットワークマネー ジメントシステム。特定の製品ファミリーにセキュリティを確立するための製品 は存 在するが、ネットワークに見られる種々の全ての装置分類において製品の利点を 採り入れるシステムは、膨大な管理を必要とする。種々様々なネットワーク中間 装置及びターミナルを伴うネットワークにおいては、全ての種々のプロトコルレ ベル及び全ての種々のシステムにおいてセキュリティポリシーの確立を管理する ためのアドミニストレータが必要とされる。 例えば、ある公知システムでは、仮想ローカルエリアネットワーク（ＶＬＡＮ ）と称する構成を確立することができる。ＶＬＡＮを構成することにより、グル ープのメンバーシップが制御される。例えば、ポート番号、媒体アクセス制御ア ドレス、層３プロトコル形式、層３アドレス、及び層３パケットのパターンに一 致するユーザ定義基準を使用して、このような装置におけるＶＬＡＮメンバーシ ップを定義することができる。同様のパターンマッチングは、例えば、層３ない し７のプロトコルデータを含んでもよい。他のシステムは、リモートアクセスシ ステムにおいてコールごとのフィルタリングをサポートする。これは、顧客が色 々な種類のトラフィックをユーザごとに許可又は拒絶できるようにする。種々様 々な他のセキュリティシステムも市場で入手できる。 しかしながら、種々のセキュリティ特徴、種々のデバイス、及びそれらが動作 するプロトコルレベルは、セキュリティ特徴の利用者にとって著しい管理の問題 を引き起こす。複雑であるために、ネットワークの全ての層及びデバイス形式に わたって整合したセキュリティポリシーを確立することは困難であると共に、こ れが首尾良く実施されたとしてもこのようなシステムを維持することは特に困難 である。 更に、ネットワークの進歩に伴い、特定のセキュリティ機能に参加することの できない遺産的システムとしばしば称される古い装置が残される。それ故、ネッ トワークに追加されるセキュリティ機能は、ネットワーク全体に首尾良く浸透で きないことがある。或いは又、ネットワークにおける遺産的システムの存在が、 セキュリティシステムの整合及び実施を更に複雑なものにする。 従来、専用ネットワークを外部からの侵入に対して保護するルータ及びアプリ ケーションプロキシーゲートウェイのような境界装置としてファイアウオールが 実施されている。しかしながら、おそらく、企業の損失の５０％ないし８０％は 、 内部の者の侵入、例えば、不満を抱えた又は機会に恵まれた従業員によるもので ある。従って、会社のイントラネットに関するほとんどのセキュリティ要求は、 内部侵入に対する保護である。 更に、現代企業の経営は、その経済性から、会社にとって外注先での作業や他 の会社との共同運営が益々必要になっている。現代企業では情報技術が業務の実 施に日に日に浸透してきているので、このような外注作業や共同運営は、会社が 電子的手段を用いて互いに情報を共用することを必須とする。この情報が、会社 の情報財産の他部分を保持するものから分離された装置において入手できること は稀である。従って、外注作業や共同運営には、会社にとってそのイントラネッ トの一部分へ別の会社がアクセスするのを許可することが必要となる。更に、各 々の外注作業や共同運営の構成は、通常、会社の異なる部門や子会社を伴う。こ れは、少なくとも１つの外部関係者によりアクセスできる会社の情報財産の割合 が著しく大きくなることを意味する。 従来の境界ファイアウオールは、２つの事柄、即ち内部の者による脅迫や、広 く分散したデータの外部共用によって生じるセキュリティ要件を満足するのにほ とんど適していない。境界ファイアウオールは、内部の者による脅迫に対処する のには全く不適である。それらは、外部の侵入者が会社のイントラネットに侵入 するのを排除することを意味するが、内部の者がそれを行うのを阻止することは できない。 会社の情報への外部アクセスを受け入れるためには、必要な情報を流せるよう に境界ファイアウオールに「ホール」を形成しなければならない。極端な場合に 、各部門は、会社のファイアウオールを全く簡単にバイパスして、外注先や共同 経営の会社、又はその社員へ直接接続することができる。 これらの要件を満足する１つの解決策は、会社のイントラネットを多数の部分 に分割し、そしてそれらの間に境界ファイアウオールを配置することである。こ の解決策は、価値があるが、会社のイントラネットにボトルネックが生じること になる。即ち、内部のファイアウオールが会社内の業務遂行に悪影響を及ぼす。 区画化がより細かくなるにつれて、ファイアウオール区画の外部のリソースへの アクセスは、その遂行性が益々悪くなる。 この問題に対する別の解決策は、ファイアウオールの機能をプロトコルハイア ラーキーの下位層へと分散することである。従って、例えば、ネットワークイン ターフェイスカード、中継器及びスイッチが、あるファイアウオールパケットフ ィルタリング作業を行う場合には、従来パケットフィルタリングを行っていたル ータにおいて相当の処理が軽減され、それ故、所与のコストに対して良好な性能 を発揮することができる。更に、ファイアウオールの分散化は、規模編成の良好 な機会を与える。即ち、ネットワークが成長するにつれて、フィルタリングを実 行するのに使用できるリソースも当然成長する。これは、例えば、内部の境界フ ァイアウオールにおいて生じることのあるチョークポイントの発生を防止する。 通常、公知技術では、パケットフィルタリングのようなファイアウオール機能 は、単一のノード、又は同じファイアウオールルールを伴う同様のノードのグル ープに設けられる。これらのノードは、ネットワークの外部からの侵入に対して ネットワークを保護するためにネットワークの境界に展開される傾向にある。し かしながら、この解決策は、ネットワークの拡張につれて充分に規模を広げるこ とができない。更に、ネットワークセキュリティに対して制御の粒度が非常に粗 くなる。実施することのできる種々の異なる解決策は、個々のシステムがネット ワーク内でいかに相互作用するか理解することが困難である。更に、これらの個 々のシステムは、ネットワーク内部の無許可の行為から保護するために適用した ときには、通常、著しい性能上の問題を引き起こす。(例えば、「インターネット ファイアウオールの構築(Building Internet Firewalls)」、チャプマン氏等著 、オーレイリ＆アソシエーツ、１９９５年９月；「インターネットファイアウオ ール及びセキュリティ(Internet Firewall and Security)」、３コム・テクニカ ルレポート、１９９６年、セメリア著を参照されたい)。 従って、ネットワークシステムの多数の層にわたり整合されたセキュリティポ リシーを実行することのできるシステムの実施が要望される。発明の要旨 本発明は、多数のプロトコル層で動作しそしてセキュリティ機能を有するノー ドを備えたネットワークにおいてセキュリティを与えるシステムを提供する。ル ータ、リモートアクセス装置、スイッチ、中継器及びネットワークカードのよう な多数のネットワークデバイス、並びにセキュリティ機能を有する最終システム プロセスは、ネットワークにおける分散型ファイアウオール機能の実施に貢献す るように構成される。ネットワークのファイアウオール機能を種々のネットワー クデバイス及び最終システムに分散することにより、浸透したファイアウオール が実施される。浸透した多層型ファイアウオールは、ファイアウオールがいかに 振舞わねばならないかを定義するポリシーデータを受け入れるポリシー定義要素 を含む。このポリシー定義要素は、集中化された要素であってもよいし、又はネ ットワークにわたって分散された要素でもよい。又、多層型ファイアウオールは 、定義されたポリシーを実施するのに使用されるネットワークデバイスの集合も 含む。多数のプロトコル層にわたりネットワークデバイスのこの集合において動 作するセキュリティ機能は、特定のデバイスが、ネットワークの当該部分に関与 するポリシーの部分を実施するように、ポリシー定義要素により整合される。 例えば、ネットワークのルータは、トラフィックがルータを横切るところのシ ステム及びネットワークデバイスに関与するポリシーの部分を実施する。スイッ チは、トラフィックがスイッチを横切るところのシステム及びネットワークデバ イスに関与するポリシーの部分を実施する。中継器は、トラフィックが中継器を 横切るところのシステム及びネットワークデバイスに関与するポリシーの部分を 実施する。ネットワークインターフェイスカードは、それが接続されたシステム 又はデバイスに関与するポリシーの部分を実施する。更に、多層型ファイアウオ ールにはネットワークの他の部分が含まれ、例えば、最終システムのオペレーテ ィングシステム及びアプリケーションや、ネットワークトラフィックを制御しそ してネットワークトラフィックを監視するリモートアクセス装置のネットワーク マネージメントシステムや、他の補助的なシステム、例えば、本発明の浸透した 多層型ファイアウオールが実施されるネットワークデバイスの集合に含まれるネ ームサーバ及びファイルサーバが含まれる。 本発明は、多数のネットワークデバイス及び最終システムにおいて整合された アクセス制御、協働保護通信特徴、及び全体的なセキュリティポリシー管理を与 える。セキュリティアドミニストレータには、ネットワークのセキュリティ特性 を監視できるようにする便利で且つ明確な制御システムが設けられる。更に、本 発明は、セキュリティサービスにおける不必要な冗長性を減少できるようにし、 遺産的システムサポートのエリアにおいて著しい顧客の要求を満足し、コスト効 率を与え、そして複雑さを低減させる。 従って、本発明は、１つの観点によれば、ノードを含むネットワークにセキュ リティを与えるシステムを特徴とすることができる。ネットワークのノードセッ トにおけるノードは、１つ又は多数のプロトコル層で動作するセキュリティ機能 を含み、そしてノードの各形式に適応されたフォーマットを有する構成データに 応答してこのようなセキュリティ機能を実行する。システムは、ネットワークの ノードセットにおいて動作するセキュリティ機能に関する情報及びネットワーク におけるノードの相互接続に関する情報を記憶するトポロジーデータ記憶装置を 備えている。このトポロジーデータ記憶装置にはコンフィギュレーションインタ ーフェイスが接続される。このインターフェイスは、ネットワークのノード間で 実施されるべきセキュリティポリシーを指示するセキュリティポリシーステート メントを受け取るための入力を含む。ネットワーク、コンフィギュレーションイ ンターフェイス及びトポロジーデータ記憶装置にはコンフィギュレーションドラ イバーが接続される。このコンフィギュレーションドライバーは、セキュリティ ポリシーステートメントを、ネットワークのノードに必要なフォーマットのコン フィギュレーションデータへと変換するリソースであって、各ノードに対して使 用できる通信チャンネルを用いてコンフィギュレーションデータをノードへ送信 するリソースを含む。 本発明の種々の観点によれば、ノードは、媒体アクセス制御ＭＡＣ層を含む多 数のプロトコル層を実行し、そしてノードセットは、フィルタパラメータに基づ いてＭＡＣ層のフィルタリングを与えるノードを含む。コンフィギュレーション データは、ＭＡＣ層のフィルタリングに対するフィルタパラメータを含む。別の 観点において、多数のプロトコル層は、インターネットプロトコルＩＰ層のよう なネットワーク層を含む。この観点によれば、ノードセットは、フィルタパラメ ータに基づいてネットワーク層フィルタリングを与えるノードを含む。コンフィ ギュレーションデータは、このようなノードにおけるネットワーク層フィルタリ ングのためのフィルタパラメータを含む。別の観点によれば、多数のプロトコル 層は、インターネットプロトコルを介して動作する搬送制御プロトコルＴＣＰの ような搬送層機能を含む。この観点によれば、コンフィギュレーションドライバ ーは、セキュリティポリシーステートメントを、フィルタリングのような搬送層 機能、フィルタリングのようなアプリケーション層機能及び／又はプロトコルス タックの上位層における機能に対するコンフィギュレーションデータに変換する リソースを含む。このような上位層機能は、例えば、認証プロトコル、許可プロ トコル、オーデットプロトコル及び他のセキュリティ機能を含む。フィルタリン ク、アクセス制御、保護通信及びセキュリティ支援特徴を実行する種々のデバイ スは、ネットワークインフラストラクチャーにおいて分散され、そして本発明に より整合形態で管理される。 本発明の他の観点によれば、コンフィギュレーションインターフェイスは、セ キュリティポリシーステートメントを決定するためにスクリプト言語を解読する スクリプトインタープリターを含む。スクリプト言語は、キーボード又はグラフ ィックユーザインターフェイスによって入力することができる。スクリプト言語 のサポートにおいて、トポロジーデータ記憶装置は、セキュリティポリシーを実 施することのできるネットワーク内の能動的ノードと、セキュリティポリシーを 実施できないか又はそれを実施する信頼のない受動的ノードとを指示するデータ を含む。更に、トポロジーデータ記憶装置は、セキュリティフレームワーク内の ノードセットの外部のノードへ至るネットワークリンクに接続されたノードを指 示するデータも含む。セキュリティポリシーステートメントは、最終システムの セキュリティポリシーを指示する。能動的ノード、受動的ノード、及びセキュリ ティネットワークの外部のノードへ至るネットワークリンクに接続されたノード は、ポリシーを実行するように構成される。本発明の別の観点によれば、スクリ プト言語は、ソースノード又はソースグループのためのソース識別子と、行先ノ ード又は行先グループのための行先識別子と、通信アクティビティ識別子と、識 別されたソースと識別された行先との間の識別された通信アクティビティのため のルールとを含むセキュリティポリシーステートメントを特定するシンタックス を含む。本発明の１つの観点によれば、シンタックスは、更に、ルールを実施す べき位置（即ち、ソース、行先、ソース及び行先の両方、或いは中間ノード）の 識別子を含む。 本発明の更に別の観点によれば、セキュリティポリシーステートメントは、ネ ットワーク内の１つ以上の最終ステーションを含むソースセットと、ネットワー ク内の１つ以上の最終ステーションを含む行先セットとの間で通信するためのセ キュリティポリシーを指示する。コンフィギュレーションドライバーは、ネット ワークのノードセット内の指示されたセキュリティポリシーを実施することので きるノードのカット頂点セットを識別すると共にそのカット頂点セット内のノー ドにおいてコンフィギュレーションデータを確立するためのリソースを含み、こ こで、カット頂点セットは、ネットワークから除去された場合にソースセットを 行先セットから分離する能動的ノードより成る。最適な実施形態においては、カ ット頂点セットは、最小のカット頂点セットより成る。 本発明の更に別の観点によれば、コンフィギュレーションドライバーは、受動 的ノードにリンクされた能動的ノードに対してコンフィギュレーションデータを 発生することにより受動的ノードのセキュリティポリシーを実施するためのリソ ースを含む。又、コンフィギュレーションドライバーのリソースは、トポロジー 記憶装置のデータに基づいて実施できないセキュリティポリシーステートメント を識別する。 トポロジーデータ記憶装置は、１つの好ましい観点においては、セキュリティ フレームワーク内に入るノードセット内の特定ノードに関する情報を与えるデー タ構造体を含む。このデータ構造体は、ネットワーク層アドレス、ＭＡＣ層アド レス、上位層ユーザ識別子、搬送層のポート及びソケット番号、特定のノードが セキュリティポリシーを実施する信頼があるかどうか、ノードが実施できるセキ ュリティポリシーの形式、ポリシーを実施するのに使用される構造、セキュリテ ィ構造に必要なコンフィギュレーションデータのフォーマット、及びノードとネ ットワーク内の他のノードとの接続のような情報を含む。 本発明の更に別の観点によれば、コンフィギュレーションドライバーは、ネッ トワークに分散されたセキュリティ機能のためのコンフィギュレーションデータ を発生する。コンフィギュレーションデータは、永続的な記憶能力を有するコン フィギュレーション記憶装置に記憶され、これは、コンフィギュレーションデー タに関連したノードセットにおける特定のノードと通信する。ネットワーク内の あるデバイスのコンフィギュレーション記憶装置は、例えば、不揮発性のプログ ラマブルメモリの形態でデバイス自体に含まれる。別のシステムでは、コンフィ ギュレーション記憶装置は、ポリシーが実施されるノード以外のネットワーク内 のノードに設けられ、そして通信リンクによってポリシーが実施される特定のノ ードに接続される。本発明のこの観点によれば、コンフィギュレーションドライ バーは、更新されたコンフィギュレーションデータをコンフィギュレーション記 憶装置に送信し、その後、セキュリティ機能が実行されるノードに、記憶装置の コンフィギュレーションが更新されたことを通知する。このノードは、次いで、 更新されたコンフィギュレーションデータを読み取り、そして更新されたポリシ ーの実行を開始する。 又、本発明は、より一般的には、ネットワークにファイアウオールシステムを 確立する方法を特徴とすることができる。この方法は、ネットワーク内のノード において動作するセキュリティ機能と、ネットワーク内のノードの相互接続とに 関する情報を含むトポロジーデータを与えることを含む。次いで、この方法は、 当該ノードの形式（１つ又は複数）に合致するフォーマット及び通信チャンネル を使用して、セキュリティ確保されたネットワーク内の最終システム間で実施さ れるべきセキュリティポリシーを含むセキュリティポリシーステートメントを与 えることを含む。次いで、この方法は、トポロジーデータに応答して、セキュリ ティーポリシーステートメントを、ネットワーク内で動作するセキュリティ機能 のためのコンフィギュレーションデータに変換することを含む。最終的に、この 方法は、ノードの種々の形式に合致するフォーマット及び通信チャンネルを使用 して、ネットワーク内の能動的なノードにおいてセキュリティ機能のコンフィギ ュレーションデータを確立することを含む。セキュリティ機能が１つの別の形態 で動作するところの多数のプロトコル層は、少なくとも２つのプロトコル層、例 えば、データリンク層、ネットワーク層、搬送層、並びにそのアプリケーション 又は等効物の少なくとも２つを含む。 従って、本発明は、ネットワークインターフェイスカード、スイッチ、ルータ 及びリモートアクセスシステムに設けられたセキュリティ機能の利点を取り入れ 、 そしてファイアウオール機能をネットワーク内の種々のデバイスへと移動して、 浸透した多層型ファイアウオールを形成する機会をシステムアドミニストレータ ーに与える。セキュリティ特徴は、多数のデバイスに対して多数の層に分散し、 そしてコヒレントなセキュリテイポリシーマネージメントインターフェイスを用 いて管理することができ、このインターフェイスは、ネットワークのセキュリテ ィ特性を介して便利で且つ明確な制御をセキュリティアドミニストレーターに与 える。分散された機能と、便利で且つ明確な制御は、分散型リモート監視ｄｒＭ ＯＮのようなシステム、又は単一目的機能に向けられた他の精巧なネットワーク システムに対してのみ現存するファイアウオールの利点を拡張できるようにする 。 フィルタリングルール及び保護通信インフラストラクチャー情報セットのよう なセキュリティポリシーデータを含むネットワークデバイスの数が増加するにつ れて、コヒレントで且つ整合されたデータ管理を与えることが益々重要となる。 本発明は、種々の多層ネットワークにおいてセキュリティポリシー実施データを 管理及び分散するためのコヒレントな解決策を提供する。 本発明の他の特徴及び効果は、添付図面、その詳細な説明及び請求の範囲から 明らかとなろう。図面の簡単な説明 図１は、本発明による多層型ファイアウオールシステムを含むネットワークを 示す簡単な図である。 図２は、本発明の多層型ファイアウオールシステムに含まれる種々のネットワ ーク要素を示す図である。 図３は、本発明による多層型ファイアウオールを実施するプロセスを示すフロ ーチャートである。 図４は、本発明による多層型ファイアウオール機能を実施するための別の技術 を示すフローチャートである。 図５は、本発明の多層型ファイアウオールシステムによりネットワーク内のノ ードにコンフィギュレーションデータを確立するのに含まれる段階を示すフロー チャートである。 図６及び７は、図２の変形であって、本発明による例示的なセキュリティフレ ームワークを強調して示した図である。好ましい実施形態の詳細な説明 先ず、図１ないし５を参照して本発明を詳細に説明する。図１は、概観図であ る。 図１において、ネットワーク１０は複数のノードを含む。ネットワーク内の少 なくとも１つのノードは、ネットワークマネージメントステーション１１又は他 のセキュリティポリシーサーバを含む。ネットワーク内の他のノードは、スイッ チ１２と、リモートアクセス装置１３と、ルータ１４と、ネットワークインター フェイスカード及びそれをサポートするドライバーソフトウェを含む最終ステー ション１５と、中継器１６とを備えている。従って、ネットワーク１０には種々 のネットワークデバイスが含まれる。スイッチ１２、リモートアクセス装置１３ 、ルータ１４、最終ステーションのネットワークインターフェイスカード１５及 び中継器１６は、全て、セキュリティポリシーマネージメントエージェント２２ 、２３、２４、２５及び２６を各々含む。これらセキュリティポリシーマネージ メントエージェント２２−２６は、種々のプロトコル層においてセキュリティ機 能を実行する。エージェントが実施される特定のネットワークデバイスを横断す るプロトコル層と、他の構造的特徴とに基づいて、セキュリティ機能に使用され る構造は、デバイス形式ごとに変化する。 図１に示す実施形態では、ネットワークマネージメントステーション１１は、 トポロジーデータ記憶装置３０と、コンフィギュレーションインターフェイスの 前端３１と、コンフィギュレーションドライバーを構成するセキュリティポリシ ーマネージメント後端３２とを備えている。トポロジーデータ記憶装置３０は、 ネットワークのノードにおいて多数のプロトコル層で動作するセキュリティポリ シーマネージメントエージェント２２−２６２より実行されるセキュリティ機能 に関する情報を記憶する。又、このトポロジーデータベースは、ネットワークに おけるノードの相互接続も指示する。 コンフィギュレーションインターフェイスの前端３１は、トポロジーデータベ ース３０に接続される。これは、セキュリティポリシーステートメントを受け取 るための入力を含み、例えば、セキュリティポリシー言語のスクリプトを与え、 このスクリプトをインタープリター３４により解読して、セキュリティポリシー ステートメントを形成する。セキュリティポリシーマネージメントの後端３２は 、コンフィギュレーションインターフェイスの前端３１及びトポロジーデータベ ース３０に接続され、セキュリティポリシーステートメントをネットワーク内の ノードのコンフィギュレーションデータへと変換するリソースを含む。セキュリ ティポリシーマネージメントの後端３２は、セキュリティポリシーステートメン トを実施すべきネットワーク内のノードにおいてセキュリティポリシーマネージ メントエージェント２２−２６へのコンフィギュレーションデータを確立するコ ンフィギュレーションドライバーを構成する。 コンフィギュレーションインターフェイスの前端３１は、１つの実施形態にお いては、セキュリティポリシー言語のスクリプトをシステムに入力するところの テキスト入力デバイスを含む。別の実施形態では、コンフィギュレーションシス テムインターフェイスの前端３１は、ユーザがセキュリティポリシーステートメ ントを特定するところのグラフィックユーザインターフェイスを含む。各々の解 決策において、セキュリティポリシーステートメントを、そのポリシーが実施さ れるネットワーク内のノードの適当なプロトコルレベル及びデバイス形式に対す るコンフィギュレーションデータへと変換することのできるシンタックスを有す るセキュリティポリシースクリプトが与えられる。 セキュリティポリシー言語及びセキュリティポリシー言語前端 セキュリティポリシー言語は、ネットワーク内のアクティビティに対する制約 を特定するのに使用される。このようなアクティビティは、中継器、スイッチ、 ルータ、リモートアクセス装置等のネットワークデバイスと、ネットワークの最 終システムとの両方によって行なわれるアクティビティを含む。多層ファイアウ オールは、特定の設備に適したセキュリティポリシー言語で実施できるが、１つ の言語を以下に例示する。 各最終システム及び能動的ネットワークデバイスは、そのセキュリティポリシ ーマネージメントエージェントに関連した１つ以上のネットワークアドレスを有 し、そして１つ以上の他のネットワークデバイスに接続される。この情報は、セ キュリティポリシー言語前端によりシステムアドミニストレータとの対話を介し て得られると共に、トポロジーデータベースから得られる。システムアドミニス トレータとの対話は、ユーザインターフェイスを経て行なわれるか、或いはファ イルや他の記憶リソース、例えば、ドメインネームシステム(ＤＮＳ)、ネットワ ークインフォメーションサービス（ＮＩＳ）又は他のベースの読み取りによって 行なわれる。最終システムは、それらが常にトポロジーデータベースから形成さ れたグラフに放置されるという点でネットワークデバイスとは区別される。 「ノード」という一般的な表現は、最終システム又はネットワークデバイスのい ずれかを指す。最終システム（ａｋａホスト）は、ポリシーステートメントにお いて識別されるノードである。例えば、管理の目的でネットワークデバイスがア クセスされるときには特殊なケースが生じる。このケースでは、ネットワークデ バイスが最終システムの役割を果たす。 ネットワークの最終システムは、グループに属してもよい。グループは、名前 が付けられ、そしてそれらのメンバーシップは、システムアドミニストレータ等 によるか又はトポロジーデータベースで実施される別の形態においてセキュリテ ィポリシー言語前端への入力で確立される。この場合も、この入力は、ユーザイ ンターフェイスの対話によるか、又はセキュリティポリシー言語前端がファイル 又は他のデータベースを読み取ることにより得ることができる。最終システムの グループは、個々の最終システム又は最終システムの他のグループを含むものと して特定されてもよい。最終的に、通信リンクを経て、セキュリティが適用され るネットワークの外部の他のノードへ接続されるノードは、トポロジーデータベ ースに記入される。１つの実施形態において、シンタックスは、多層ファイアウ オールのマネージメントドメイン以外の最終システムを表わす「外部」という名 前の特殊な「仮想」ノードを与える。従って、トポロジーは、そのトポロジーに おける特定のノードが特殊なノード「外部」に接続されたかどうかを指示する。 別の実施形態では、名前の付いた外部ノードが２つ以上存在することも考えられ る。これは、多層ファイアウオールが、２つ以上の他の外部多層ファイアウオー ルと通信するためのポリシーを定義できるようにする。 又、セキュリティポリシー言語前端は、他の情報、例えば、ユーザ識別子、ユ ーザ識別子のグループ、行先へのアクセスがソースによって許される時間長さに 対する時間仕様、行先へのアクセスが許される時間間隔の仕様、等々を管理し、 又はそれらを特定する前端として働くのが好ましい。 セキュリティポリシー言語それ自体は、ネットワーク内の最終システム間に許 されたアクティビティを特定するセキュリティポリシーステートメントのセット を書き込むのに使用される。例示的なルールベース及びシンタックスは、次の通 りである。 トポロジー情報データベース トポロジー情報データベースは、ノード及びそれらがいかに相互接続されたか に関する情報を含む。ノードに特有の情報は、１つの例では、そのネットワーク アドレス（１つ又は複数）と、そのＭＡＣアドレス（１つ又は複数）と、その許 された関連ユーザ識別子と、そのポート又はソケット番号と、セキュリティポリ シーを実施する信頼があるかどうかと、実施できるのはどんな形式の実施ルール かと、ノードにおけるセキュリティ構造のフォーマットと、ネットワークにおけ るノード間の相互接続とを含む。 ノードがいかに接続されるかの情報は、各ノード又はノードネットワークイン ターフェイスの識別子と、どのノードがどのノードインターフェイスを経て他の どのノードに直接接続されるかを特定するグラフ情報とを含む。又、この情報は 、「外部」ノード、或いは外部接続を指示する別のファイアウオールシステム又は 別のデータ構造体に接続されたノードも含む。１つの拡張において、情報は、物 理的ノード内の個々のプロセスを識別する。 トポロジーデータベースは、一例において、単一のデータベースマネージメン トシステムによって管理されるか、或いは個々のノード又はノードの集合におい てデータベース前端システムにより管理される多数のデータベースから構成され る。多数のデータベースにおけるデータは、例えば、ＲＭＯＮ及びｄＲＭＯＮデ ータと、最終システム及びネットワークデバイスにより管理されるセキュリティ 情報と、ネットワークを通して分散されたネットワークマネージメントシステム により得られる接続情報とを含む。 セキュリティポリシーマネージメント後端 セキュリティポリシーマネージメント後端は、セキュリティポリシー前端コン フィギュレーションインターフェイス及びトポロジーデータベースからの情報を 使用して、セキュリティポリシーステートメントにより特定されたセキュリティ ポリシーを形成、記憶、更新、分配及び実施する。後端は、スタンドアローンマ ネージメントシステム、永続的記憶システム及びノードにおけるエレメントより 成る。セキュリティポリシーマネージメント後端は、トポロジーデータベースに おける情報のコンテクストにおいてセキュリティポリシーステートメントで特定 されたルールを変換し、そしてノード特有のセキュリティポリシーコンフィギュ レーションデータを構成し、それが選択したネットワークノードへ分配する。セ キュリティポリシーマネージメント後端は、セキュリティポリシーステートメン トを、特定のノードで実施できるコンフィギュレーションデータのセットにいか に区画化するかを判断し、そしてセキュリティポリシーステートメントのルール を、その選択されたノードで実施できるノード特有のコンフィギュレーションデ ータへと変換する。 ノード特有のセキュリティポリシーコンフィギュレーションデータは、ノード のフィルタリングエンジンを駆動するフィルタリングルールのような静的なデー タを含むか、又はジャバ、ソース又はバイトコードのような動的なデータリンク プログラムや、ＴＣＬ、ピアール、Ｃシェルスクリプトのようなスクリプト言語 で表わされたプログラムを含む。特定のノードで実施されるセキュリティポリシ ーステートメントを表すコンフィギュレーションデータのフォーマットは、特定 のノード及びそのセキュリティポリシー実施エージェントに基づく。 １つの別の形態において、セキュリティポリシーマネージメント後端は、セキ ュリティポリシーステートメントが上記のシンタックスに基づいて表わされると 仮定すれば、セキュリティポリシーステートメント及びトポロジーデータベース 情報を分析して、次のプロセスに基づきデバイス特有のセキュリティポリシーコ ンフィギュレーションデータを駆動する。 １．ノードは、２つの分類に分けられる。１）ポリシーを実施できないか又は 実施する信頼性がないためにポリシーを実施することのできない受動的ノード、 及び２)ポリシーを実施することのできる能動的ノード。 ２．各能動的ノードごとに、それに直結されるか、又は受動的ノードから他の 受動的ノードを経て能動的ノードへ至る経路が存在するところの全ての受動的ノ ードのリストを形成する。このリストにおける各受動的ノードは、能動的ノード の関連ノードと称される。 ３．各セキュリティポリシールールに対して、ソースノードのセットを形成し (即ちリストが個々のノードのみを含むまでソースセットにおけるノードの全グ ループを繰り返し拡張することにより)、そして行先ノードのセットを決定する( ソースセットにおけるノードではなく行先セットにおけるノードを使用すること 以外は同じ分解アルゴリズムを使用して)。 ４．各セキュリティポリシールールに対して、次の計算を実行する。ソースノ ードセットにおける各受動的ノードごとに、そこから、能動的ノードを横断しな い行先ノードセットの受動的ノードへ至る経路が存在するかどうか決定する。も しそうであれば、ルールを実施できないことを通知する。 ５．ルールが、ソースにおいて実施すべきであることを特定する場合には、 − ソースノードセットにおいて関連ノードを伴う能動的ノードのセットを 決定する。 − これら能動的ノードの各々に対し、ルールで特定されたセキュリティポ リシーステートメントを、ノードが実施できるセキュリティポリシーコ ンフィギュレーションデータ、即ちそれ自身のセキュリティポリシー言 語のルールへと変換する。 − ノード特有の通信チャンネルを使用してノードにおいてこれらルールを 確立する。 ６．ルールが、行先ノードセットにおいて実施すべきであることを特定する場 合には、 − 行先ノードセットにおける関連ノードを使用する以外は、上記５の場合 と同じことを行う。 ７．ルールが、ソースノードセット及び行先ノードセットの両方において実施 すべきことを特定する場合には、 − 上記５及び６の両方を行う。 上述したルールに基づくセキュリティポリシーの実施は、図２及び３を参照し て良く理解することができよう。図２は、本発明によるセキュリティポリシーが 多数の層において実施されるネットワークの要素を詳細に例示する。図３は、分 散型多層ファイアウオールの実施を示す全体的なフローチャートである。 図２から明らかなように、代表的なネットワークは、種々様々なネットワーク デバイス及び最終システムを備えている。従って、図２は、ノードのセットを含 むネットワークを示し、ノードセットにおけるノードは、多数のプロトコル層に セキュリティ機能を与える。ネットワークは、汎用のワイドエリアネットワーク ＷＡＮファシリティ１００を備えている。ワイドエリアネットワーク１００は、 第１のプライベートネットワーク１０１及び第２のプライベートネットワーク１ ０２に接続される。第１のプライベートネットワーク１０１の要素は詳細に示さ れているが、第２のプライベートネットワーク１０２は雲の形で示されている。 又、ワイドエリアネットワークファシリティ１００は、スタンドアローンのルー タ型の最終システム１０３と、公衆交換電話ネットワーク（ＰＳＴＮ）１０５に 接続されたラインサーバ１０４と、これもＰＳＴＮ１０５に接続されたアクセス サーバ１０６とに接続される。図２に示すように、ＷＡＮファシリティ１００は 、サイトルータ１０７、パケットサーバ１０８及び別のサイトルータ１０９を経 てプライベートネットワーク１０１に接続される。 ＰＳＴＮ１０５は、モデム１１０を経てスタンドアローンのダイアルアップ最 終システム１１１に接続される。又、ＰＳＴＮ１０５は、リモートアクセスルー タ１１２に接続される。リモートアクセスルータ１１２は、最終システム１１３ 及び１１４に接続される。又、リモートアクセスルータ１１２は、ターミナルサ ーバ１１５に接続され、これは、次いで、最終システム１１６及び１１７に接続 される。 第１のプライベートネットワーク１０１において、パケットサーバ１０８は、 この例では中継器又はスイッチの機能を与えるハブ１２０に接続される。ハブは 、次いで、サイトルータ１０７及びサイトルータ１０９に接続される。サイトル ータ１０７、１０９の各々は、ワイドエリアネットワークファシリティ１００に も接続される。サイトルータ１０７は、アクセスサーバ１２１に接続され、これ は、ＰＳＴＮ１０５に接続される。又、サイトルータ１０７は、スイッチ１２２ 及びスイッチ１２３を含むスイッチセットに接続される。サイトルータ１０９は 、スイッチ１２４に接続される。スイッチ１２４は、中継器１２５で表わされた 中継器セットに接続される。中継器１２５は、図１のノード１１に対応するセキ ュリティポリシーマネージメントリソースを含む最終ステーション１２６に接続 される。 又、プライベートネットワーク１０１は、スイッチ１２２及び１２３に接続さ れた要素で表わされた多数の他のデバイスも含む。スイッチ１２２は、中継器１ ３０及び最終システム１３１のネットワークインターフェイスカードＮＩＣへの 接続を含む構成で示されている。中継器１３０は、ネットワークインターフェイ スカードを含む最終システム１３２を備えた最終システムセットにも接続される 。 スイッチ１２３は、中継器１３３に接続され、これは、次いで、最終システム １３４を含む多数の最終システムに接続される。スイッチ１２３は、図中雲の形 で一般的に示されたスイッチネットワーク１４０に接続される。スイッチネット ワーク１４０は、スイッチ１４１に接続される。スイッチ１４１は、中継器１４ ２に接続され、これは、次いで、ネットワークインターフェイスカードＮＩＣを 含む最終システム１４３に接続される。 図２において、セキュリティポリシー実施エージェントが配置されたノードは 、水平のバーでコード化される。従って、図の左上の隅から始めて、モデム１１ ０、リモートアクセスルータ１１２、ターミナルサーバ１１５、アクセスサーバ １０６、ラインサーバ１０４、パケットサーバ１０８、サイトルータ１０７、サ イトルータ１０９、スイッチ１２２、スイッチ１２３、中継器１３３、及び最終 システム１３１、１３２のネットワークインターフェイスカードは、全て、セキ ュリティポリシーを実施するエージェントを含む。ポリシーマネージメントステ ーション１２６は、上述したコンフィギュレーションインターフェイス、トポロ ジーデータベース、及びコンフィギュレーションドライバ後端を形成するリソー スを備えている。 本発明に基づいてセキュリティポリシーを実施できる典型的なネットワークに おけるデバイスの概要を以下に説明する。次いで、図３−６を参照して、本発明 のプロセス全体を説明する。 ネットワークインターフェイスカード及びモデム ノードセットにおける最も基本的な製品は、ネットワークインターフェイスカ ード（ＮＩＣ）及びモデムである。ＮＩＣは、内部Ｉ／Ｏバスを経て最終システ ムに取り付けられて、イーサネット、高速イーサネット、ギガビットイーサネッ ト、トークンリング、ＦＤＤＩ及びＡＴＭのようなローカルエリアネットワーク への最終システムアクセスを与えるＩ／Ｏデバイスである。ＡＴＭの場合には、 あるＮＩＣは、ＡＴＭのワイドエリアネットワークにアクセスすることができる 。 モデムは、シリアル又はパラレルインターフェイスを経て最終システムに取り 付けられる外部装置である。一般に、それらは、最終システムがＰＳＴＮ又は非 交換式の地上ラインを使用してデータを移動できるようにする。 従来、ＮＩＣ及びモデムは、特徴ではなくて性能に対して最適化された簡単な 装置である。 おそらく、広範囲な受け入れを得るための第１のＮＩＣセキュリティ特徴は、 ＮＩＣブートＲＯＭである。ネットワークサーバからディスクなしでブートでき るように最初に意図されたブートＲＯＭは、信頼性のあるブートコードの実行を 保証するという関心のあるセキュリティ副作用を有する。ある支援ソフトウェア と共にこれを使用して、信頼性のあるコードを最終システムへロードし、このシ ステムがＮＩＣを確実に動作するよう構成する。 セキュリティの実施と共に益々普及した特徴は、フィルタリングである。フィ ルタリングの使用は、多数の目的により動機付けされる。ＬＡＮレベルにおいて フィルタリングを使用して、フレームの無制限な送信から生じるリソース欠乏の 問題からＮＩＣ及びハブが保護される。この形式のフィルタリングを与えるため に開発された構造は、ＶＬＡＮとして知られている。層２より上で動作するより 一般的な機構は、ルータを横切ってフィルタリングを行えるようにする。これら の機構は、ＶＮＥＴとして一般に知られている。 フィルタリングをセキュリティの目的に使用することは、ＮＩＣ、スイッチ、 中継器、ルータ及びリモートアクセス装置で行うことができる。ＮＩＣ内でのフ ィルタリングは、それが送信するソースＭＡＣアドレスが有効であることを保証 すると共に、それが受信するソースアドレスが信頼性のある最終システムからの ものであることを保証するようために使用できる。しかしながら、ＮＩＣフィル タリングは、他の等しく有効な目的にも使用でき、例えば、ハブからＶＬＡＮの 実行処理の負荷を除去し、浸透した多層ファイアウオールを実施し、そして高レ ベルセキュリティプロトコルに対するハードウェアサポートを与えるのに使用で きる。 ＮＩＣ及びモデムにとって独特の１つの保護通信特徴は、ある物理的な通信チ ャンネルによって与えられる高レベルの流出セキュリティである。特に、光ファ イバラインの使用は、侵入者による受動的な盗聴のおそれを低減する。 更に、多くの顧客は、彼等の内部ネットワークが、通信ポート及び最終システ ムへの物理的なアクセスを得ようとする侵入者に対して益々抵抗力のない状態に なりつつある。例えば、慎重さを要する資産的情報を保持する会社のイントラネ ットは、広い地域にわたって延びていて、遠隔のエンジニアリング及びセールス オフィスがそれらに接続されている。これらの遠隔オフィスは、典型的な会社の 構内に見られる同じレベルの物理的セキュリティを与えるものではない。 ＮＩＣ及びモデムは、両方ともネットワークアクセス制御をサポートする特徴 を与えることができる。モデムは、出ダイヤルシーケンスを実行する前に、ユー ザがパスワードを与え、トークンカードを使用し、又はさもなくば、接続を開始 することが許されたという証拠を示すことを必要とする。又、モデムは、許可さ れた電話番号からの接続だけを許すアクセスサーバにおいてコールバック機能を サポートすることもできる。 セキュリティポリシーの後端は、例えば、更新されたＮＩＣブートコードを関 連ネットワークサーバに記憶し、そしてＮＩＣに再ブートするよう通知すること により、ＮＩＣにセキュリティルールを確立する。モデムにおいては、ドライバ ーコードが更新されるか、又はモデムマネージメントコードとの通信により新た な値がコンフィギュレーションレジスタに書き込まれる。 中継器 ハブは、他の最終システムにフレームを送信しそしてプロトコルハイアラーキ ーの層２に接続を与えるためにＮＩＣが接続されるスターネットワーク装置であ る。ハブを相互接続して相互接続ツリーを形成することによりハイアラーキーネ ットワークを構築することができそしてそのようにするのが一般的である。 中継器は、それが受信したフレームをそれらの全てのライン（フレームが到着 したラインを除いて）に放送するハブである。中継器は、低廉な相互接続組織を 構築するのに有用である。しかしながら、相互接続された中継器の数が増加する につれて、接続された最終システム間の干渉も増加する。それ故、中継器を使用 して直接接続できる最終システムの数には限度がある。 中継器は、一般にコストを減少するために特徴を最小限に抑える基本的な放送 デバイスである。しかしながら、それらにおいてセキュリティ特徴が実施されて いる。 層２における保護通信は、本来セキュリティに問題があるが、中継器によって 少なくとも部分的に対処することができる。とりわけ、ある中継器は、フレーム がアドレスされないセグメントにわたって放送されたフレーム内のデータを歪曲 する。これは、これらセグメントに取り付けられた探知機がこれらフレーム内の データを見ることができないよう確保すると共に、衝突検出アルゴリズムが適切 に働き続けるよう保証する。 高端中継器は、ＩＥＥＥ８０２．１０規格で定義されたような精巧な保護通信 機構又はあまり複雑でない他の機構を実施することができる。このような機構は 、フレームに保持されるデータを保護するために暗号化技術を使用する。このよ うな保護は、浸透した多層ファイアウオール及びネットワークアクセス制御機構 のようなシステムセキュリティ特徴を実施しそして最終システムデータの保護を 与えるのに有用である。 従って、セキュリティポリシー後端は、隣接マネージメントノード又はマネー ジメントリソースを中継器自身において更新することにより中継器にコンフィギ ュレーションデータを確立する。 スイッチ スイッチは、フレームのソース及び行先アドレス（並びにおそらくは他の情報 ）を検査して、それらのラインのどれを使用して受信フレームを転送すべきか決 定するハブである。中継器に勝るスイッチの利点は、行先への経路上にあるライ ンのみを経てフレームを送信することにより最終システムへのトラフィックを減 少することである。放送されたフレームの場合には、スイッチは、スイッチ内に 保持されたポリシー情報に基づきあるラインを経てそれらを中継しないように決 定することができる。 ＡＴＭ、イーサネット、高速イーサネット及びトークンリングスイッチを含む 種々の能力及びコストのスイッチが製造される。ＡＴＭスイッチは、他のＲＡＮ 形式に対して作られたスイッチより著しく複雑である。特に、ＡＴＭスイッチが 相互接続されるときには、スイッチが最終システム間に確立した仮想回路を経て フレームを移動する。これは、最終システムからスイッチへ及びスイッチ間での 制御情報の移動を必要とする。この形式のトラフィックは、他のアクセス技術の スイッチでは必要とされない。 又、中継器により実施される全ての機能は、スイッチでも実施できる(前記の 説明を参照)。加えて、スイッチは、種々のフィルタリング機能を実行するのに 適した場所である。あるスイッチは、ＶＬＡＮサポートの形態でこれを既に行う ことができる。セキュリティを与えるのに加えて、ＶＬＡＮは、ＶＬＡＮメンバ ーのないセグメントを経てフレームが放送されるのを阻止することによりスイッ チ／中継器通信組織に流れるトラフィックの量を減少する。 フィルタリング機構は、従来、フィルタリングが適用されるフレームの種々の 特性に基づいて受け入れ判断を行う。しかしながら、フレームの制御及び／又は データを変換するというフィルタリングのより精巧な使い方がある。例えば、浸 透した多層ファイアウオールを実施するには、フレームを別の保護フレーム内に カプセル化し、層２のセキュリティトンネルを実施することが必要となる。層２ のトンネルは、ＡＴＭスイッチ（ＬＡＮエミュレーション）と、ＬＡＮトラフィ ック搬送ＡＴＭセル（ＣＩＦ）とによって既に実施されている。セキュリティト ンネルの概念は、トンネル媒体を通過するときにトンネルトラフィックを保護す ることによりこれらの機構を拡張する。変換フィルタリングの別の分類は、層２ アドレス変換であり、これは、浸透したファイアウオールの実施に有用である。 スイッチは、ＲＡＤＩＵＳ、ＴＡＣＡＣＳ＋及びネットウェアＮＤＳのような 認証、許可及びオーデット（ＡＡＡ）サーバとの代理対話のようなヘッド端ネッ トワークアクセス制御機能を入れるための本来の場所である。スイッチは、中継 器に関連して、ポートの切断及び再接続を監視し、これらをネットワークマネー ジメントアプリケーションに報告することができる。 又、スイッチは、セキュリティ支援特徴を入れるための便利な場所でもある。 例えば、スイッチは、信頼のあるサーバのみがブート像を最終システムへ供給す るよう確保するためにシステム認証プロトコルを実施することができる。スイッ チは、承認ハイアラーキーの最上位の公開キーを含む公開キー暗号化に使用され るトップレベル承認のようなあるセキュリティーインフラストラクチャー情報を 保持しそして分配することができる。 セキュリティポリシー後端は、スイッチにおいて実施されるＳＮＭＰのような マネージメント通信チャンネルを使用するか、又はアプリケーション層のピアー ピア通信プロトコルを使用してスイッチのセキュリティ構造を更新する。ルータ ルータは、それらのインターフェイス間でパケットを移動し、これらパケット をソースと行先との間で進行させるための装置である。ルート指定の判断は、通 常、パケットのソース及び行先ネットワーク層アドレス、及び他の情報（例えば 、パケットのサービスクオリティ、セキュリティオプションデータ及びホップカ ウント）に基づく。ルータは、次のことを含む多数の特性によりスイッチから区 別される。即ち、１）ルータは、異なるアクセス媒体に接続されたインターフェ イス間でデータを移動し、２）層２制御情報に基づくのではなく、層３パケット に保持された情報に基づいてルート指定を行い、そして３）通常フレームを全て のインターフェイスに放送しない。 しかしながら、ネットワーク業界における最近の傾向は、スイッチング及びル ート指定を同じネットワークデバイスに一体化することである。多数のネットワ ーク会社は、異なるアクセス媒体フレームフォーマット間を切り換えるスイッチ を製造し、従って、これらスイッチは、異なるアクセス技術に接続されたインタ ーフェイス間でデータを移動することができる。更に、ＩＰマルチキャストのよ うな層３放送プロトコルが益々普及してきている。その結果、ルータは、現在、 スイッチに非常に類似した放送機能を遂行する。従って、ルータとスイッチとの 間に残された１つの重要な区別は、その機能を遂行するためにその情報を得る場 所（プロトコル層）であると考えられる。 ルータとスイッチとの相違がこのように緩和したのに加えて、同じ装置でルー ト指定及びスイッチングの両方を遂行する多数の会社の製品が市場に出回ってい る。これについて特に注目すべきは、トラフィックパターンを追跡してＩＰパケ ットをルート指定するカリフォルニア州、サニーベールのイプシロンネットワー クス社のルータ／スイッチである。特定のソースと行先との間のトラフィックが 特定のスレッシュホールドに到達した場合には、ルータは、これらシステム間の パケットが比較的高価なＩＰルート指定プロセスをバイパスできるようにするカ ットスルー層２接続を設定する。 ルータは、スイッチと同じ多数のセキュリティサービスを与えるが、プロトコ ルハイアラーキーの層３ではこれを行なわない。層３の保護通信特徴を定義する 現在の活動は非常に多数ある。この活動は、ＩＥＴＦのＩＰＳＥＣワーキンググ ループを中心とする。ＩＰＳＥＣは、公表されると共に間発中である１組の規格 であって、最終システム及びルータがＩＰプロトコルに対して認証、完全性及び 機密性サービスをいかに提供するかを規定する。このようなサービスを利用し、 端−端保護と、中間ルータ間及びルータと最終システムとの間のトンネルの保護 との両方を与えることができる。 又、ルータにより与えられる従来のフィルタリングサービスは、それらがファ イアウオールの要素として働くことができるようにする。一般に、ファイアウオ ールは、ネットワーク層、搬送層及びアプリケーション層におけるパケットフイ ルタリングと、アプリケーション代行との２つの機能を遂行する。ルータは、一 般に、最初のサービスしか与えない。しかしながら、ファイアウオール技術は、 ルータ内に状態マシンを設けて、ＦＴＰ制御トラフィック及びＴＣＰ接続開放パ ケットのような、それを通して転送されるパケットを追跡し、そしてこの保持さ れた状態を使用して、フィルタリングプロセスを推し進めるという傾向である。 この特徴は、パケットフィルタリングとアプリケーション代行との間の区別を不 明瞭にする。 フィルタリングを適切に使用すると、顧客は、仮想ネットワーク（ＶＮＥＴ） を実施することができる。ＶＮＥＴは、ＶＬＡＮの層３等効物である。それらは 、層３の通信組織を経て移動されたトラフィックを個別のドメインに分離する。 ＶＮＥＴに属さない最終システム及びＬＡＮセグメントには、そのトラフィック が見えない。 セキュリティポリシー後端とルータとの問の通信は、通常、アプリケーション 層におけるピアーピア通信である。もちろん、ＳＮＭＰのようなマネージメント チャンネルを使用することができる。 リモートアクセス装置 リモートアクセス装置は、シリアルラインを経て送られる通信を、ルート指定 されたトラフィックに変換する。更に、それらは、ＳＰＸキープ・アライブ、ロ ーカルノードエミュレーション、等のプロトコル代理処理をサポートする。 最終システムは、リモートアクセス装置（例えば、ターミナルサーバ）に直結 することもできるし、又は公衆交換電話ネットワーク（ＰＳＴＮ）を経て接続す ることもできる。より一般的な状態は、ＰＳＴＮを通る接続であり、これは、ア クセスサーバの使用を必要とする。 アクセスサーバ装置には２つの主たる使用目的がある。その第１は、プライベ ートイントラネットへのリモートアクセスを与えることである。この場合、アク セスサーバは、プライベートイントラネット内に配置され、スタンドアローンの 最終システム及びリモートオフィスルータがＰＳＴＮを経てリモートアクセスで きるようにする。リモートアクセス製品の第２の使用目的は、インターネットサ ービスプロバイダー（ＩＳＰ）ネットワーク内である。これらは、ＩＳＰの包含 装置及びＩＳＰのインターネット接続への加入者アクセスを与える。これら２つ の使用目的は、若干異なるセキュリティ要求を有し、これについて以下に詳細に 述べる。 リモートアクセス装置の２つの機能、即ちラインサービス及びパケット処理は 、従来、同じシャーシ内で実施されている。最近の顧客要求の変化、特に、公衆 ＷＡＮを使用してプライベート仮想ネットワークを実施するという要望に伴い、 売主は、これらの機能を、ラインサーバ及びパケットサーバの２つの異なる製品 に分離するようになった。顧客がこれらの製品を使用するときには、ラインサー バは、一方の側では、ＰＳＴＮに接続され(又はおそらく最終システムに直接接 続され)、そして他方の側では、ＷＡＮに接続される。パケットサーバは、一方 の側では、プライベートイントラネット又はＩＳＰファシリティに接続され、そ して他方の側では、ＷＡＮに接続される。各接続に対して、ラインサーバは、Ｗ ＡＮを通して（通常、暗号化技術を使用して）パケットサーバへ至る保護トンネ ルを形成する。ラインサーバへの接続は、スタンドアローンの最終システム又は リモートオフィスのルータ装置から到来する。 ３つのリモートアクセスコンフィギュレーションが代表的である。 第１のＷＡＮアクセスは、公衆交換電話ネットワーク（ＰＳＴＮ）を経てそれ らの内部リソース及びインターネットへのアクセスを与えるためにＩＳＰにより 使用される。アクセスサーバがＰＳＴＮに接続され、スタンドアローンの最終シ ステムをもつクライアントに接続することができる。 第２は、リモートオフィス及びテレコミュニケーション装置にプライベートネ ットワークへのアクセスを与えるリモートオフィスアクセスコンフイギュレーシ ョンである。リモートアクセスルータは、ＰＳＴＮを使用して、会社の構内又は 他の組織のアクセスサーバに接続する。アクセスサーバは、次いで、リモートア クセスルータからプライベートイントラネットへネットワークトラフィックを転 送する。 第３のコンフィギュレーション、即ちスプリットサーバアクセスは、ラインサ ーバ及びパケットサーバ機能を個別の装置に分離する。ラインサーバは、シリア ルラインマネージメント及びデータ通信問題を取り扱い、一方、パケットサーバ は、ＷＡＮとプライベートイントラネットとの間のインターフェイスを取り扱う 。 ３つのコンフィギュレーションは、全て、ある種のネットワークアクセス制御 を必要とする。ＷＡＮアクセスの場合には、ＷＡＮへのアクセスを与える前に、 ユーザを認証しそして許可を与える。インターネットアクセスに加えて、ローカ ルリソース（例えば、ローカルで管理される内容、ｅ−メールサービス、ウェブ ページ）へのアクセスも与えるＩＳＰも、ユーザがローカルリソースを使用でき る前に、ユーザを認証しそして許可を与える。 リモートオフィスアクセスは、プライベートイントラネットを経てトラフィッ クを流せる前に、リモートオフィスを認証しそして許可を与えることを必要とす る。ルータは、それ自体、ユーザを代表するものでないので、初期の接続シーケ ンス中に認証及び許可を与えねばならない。通常、これは、ユーザ(システムア ドミニストレータの役割を果たす)がリモートアクセス装置に対して認証を行い 、そしてこの装置が、認証チェックを遂行した後に、プライベートイントラネッ トへの経路を開くことを必要とする。 スプリットサービスアクセスは、２つのネットワークアクセス制御判断を必要 とする。その第１は、ラインサーバへのユーザアクセスを許し、そしてその第２ は、パケットサーバ、ひいては、プライベートイントラネットへのユーザアクセ スを許すことである。二重ログインでユーザに負担をかけるのを回避するために 、スプリットサービスアクセスに使用されるネットワーク機構は、パケットサー バ又はプライベートイントラネットにより管理されたアクセス制御リソースを使 用 して、ラインサーバへユーザを入れることができる。このような場合に、ライン サーバとパケットサーバ／プライベートイントラネットは、両サーバへのユーザ の入場を許可するように協働する。 リモートアクセスにとって重要な別のセキュリティサービスは、フィルタリン グである。アクセスサーバ（一体的コンフィギュレーション又はスプリットコン フィギュレーションのいずれか）は、ファイアウオール機能を入れるための本来 のポイントである。これは、２つの形式の一方をとることができる。最も簡単な ものは、アクセスサーバ及びパケットサーバ（スプリットサービスアクセスの場 合に）において従来のファイアウオールパケットフィルタリングを行うことであ る。このようなフィルタリングルールは、装置を通過する全てのトラフィックに 適用される。 より進歩したフィルタリング形式は、接続ごとのベースで適用されるフイルタ リングルールを確立することである。即ち、ユーザがアクセスサーバを経て接続 を確立するときに、そのユーザに特有の１組のフィルタリングルールがフィルタ リングデータベースから引き出される。これらルールは、次いで、アクセスサー バにインストールされ、アクセスサーバは、その接続を経て進行するトラフィッ クのみにそれを適用する。 更に、保護通信は、リモートアクセスによって与えられる重要なサービスであ る。これは、２つの段階で行なわれる。ある状態においては、ＰＳＴＮによって 与えられる物理的なセキュリティでは、ユーザ／プライベートイントラネットに 適切な保証を与えるのに不充分である。このような場合に、モデム／リモートア クセスルータは、アクセス／ラインサーバとの通信を暗号技術で保護することが できる。これは、シリアルラインにわたって実行される暗号プロトコルを必要と する。 より一般的なケースは、ＷＡＮにわたる通信を保護する必要性から生じる。こ の状態においては、ＷＡＮにわたりシリアルライントラフィックを移動するのに 必要なトンネルプロトコルが暗号化によって保護される。これは、トンネルプロ トコル内でのセキュリティサポートの結果として生じるか、又はＷＡＮに使用さ れるネットワークプロトコルにより与えられるセキュリティ特徴を使用する結果 として生じる。後者の重要な例は、ＩＰＳＥＣを使用して、ＩＰ ＷＡＮの通信 を保護し、これにより、仮想プライベートネットワークを形成することである。 ネットワークマネージメント 実質上全てのネットワーク中間システム及びＮＩＣは、あるやり方で構成され るか、さもなくば、管理されねばらない。一般に、これは、簡単なネットワーク マネージメントプロトコル（ＳＮＭＰ）を介して遂行され、これは、管理される 各デバイスがリモートマネージメントソフトウェアにより制御されるエージェン ト機能を実施することを仮定する。通常、多数のエージェントが所与のマネージ メントステーションにより管理される。 ネットワークデバイスは、通常、ＳＮＭＰマネージャーからの「ゲット・アン ド・セット」要求に応答するＳＮＭＰエージェントを構成し、これは、サイトア ドミニストレーターが、デバイスごとではなく一体化されたシステムの観点から ネットワーク装置を管理できるようにする。 あるネットワークマネージメントシステムの１つの重要な特性は、分散型リモ ート監視（ｄＲＭＯＮ）を与えることである。リモート監視は、ＬＡＮ装置に接 続された「プローブ」から統計学的情報及びアラーム情報をネットワークマネー ジャーに与える。しかしながら、ＬＡＮセグメントの数が増加するにつれて、プ ローブのリソースがその能力を越えてストレスを受け、不完全な情報がマネージ メントステーションソフトウェアに送られることになる。この問題に対処するた めに、ｄＲＭＯＮは、プローブ機能の若干をＮＩＣ及びハブに分配し、これは、 ＬＡＮのサイズが成長するにつれてリモート監視機能を拡張できるようにする。 ２つのネットワークマネージメントの問題は、重要なセキュリティの観点によ って特徴付けされる。その第１は、ネットワークマネージメントセキュリティで あり、即ちネットワークマネージメントサブシステムが破壊されないよう確保す ることである。重要なことは、アクセス制御機能であるＶＬＡＮ、ＶＮＥＴ又は 他のグループ形成をいかに確実に実施するかである。一般に、この活動の一部分 は中央で管理され、そして一部分がユーザの判断に委ねられる。従って、グルー プメンバーシップに対するアクセス制御は、２段階プロセスである。第１段階で は、システムアドミニストレータは、グループを形成し、そしてユーザ又はシス テムが参加するところのポリシーを確立する。第２段階では、ユーザは、グルー プに参加することを判断するか、又はシステムをグループに入れることを判断す る。次いで、アクセス制御マシンは、グループに関連したポリシーデータを調査 し、提案されたメンバーシップ要求が有効であるかどうか決定する。このアクセ ス制御判断の各段階は、機密保持されねばならない。 他の形式のネットワークマネージメントセキュリティは、マネージメント情報 ベース（ＭＩＢ）へのアクセスを制御し、捕獲されたパケットのような重要なネ ットワークマネージメントデータの保護通信を行い、そしてネットワークマネー ジメントステーションへのアクセスを与えることである。 第２の重要なネットワークマネージメント問題は、セキュリティポリシーマネ ージメントである。上記の製品分類の各々は、正しく且つ機密保持されたオペレ ーションのためにポリシーデータを必要とするセキュリティ特徴を有する。ＮＩ Ｃ、スイッチ、ルータ及びリモートアクセス装置に対するフィルタリングルール が形成され、流布され、変更されそして検討される。中間サイズのネットワーク の場合、これらのマネージメント機能は、フィルタリングデータに対して整合さ れた制御がない限り、支持できないことになる。これは、確実且つ頑丈なセキュ リティポリシーマネージメントシステムの使用を必要とする。保護通信、アクセ ス制御及びセキュリティ支援特徴に関連したセキュリティポリシーデータを管理 するためには同様の要求が存在する。 フィルタリングパラメータ及び保護通信インフラストラクチャー情報のような セキュリティポリシーデータを含むネットワークデバイスの数が増加するにつれ て、そのセキュリティポリシーデータのコヒレントで且つ整合されたマネージメ ントを与えることが益々重要となる。本発明によれば、アドミニストレータがセ キュリティポリシーステートメントを入力できるようにするツールが設けられ、 このようなステートメントに対応するデータは、そのポリシーが実施されるネッ トワークに分散されたエージェントへと分布される。 ネットワーク内の種々のデバイスを制御するセキュリティポリシーデータは、 種々のやり方で相互作用する。従って、コンフィギュレーションインターフェイ スは、ファイアウオール機能の多数の層を正しく管理するのに重要な異なるビュ ーをアドミニストレータに与えるのが好ましい。例えば、ルータのフィルタリン グデータは、ソースアドレス、ＴＣＰヘッダ情報、又はソース／行先アドレス対 によって表示される。各ビューは、トラフィックが拒絶されるか、許可されるか 又は変換されることに関する異なる情報をアドミニストレータに与える。 本発明のコンフィギュレーションドライバーは、所望の振舞いを記述する高レ ベルのセキュリティポリシーデータを、個々のネットワークデバイスのセキュリ ティポリシーデータへとマップする。従って、高レベルの記述ポリシーステート メントが低レベルコンフィギュレーションデータのセットへとコンパイルされる 。次いで、コンフィギュレーションデータは、例えば、簡単なネットワークマネ ージメントプロトコル（ＳＮＭＰ）状のプロトコル、テルネット、トリビアルフ ァイル転送プロトコル(ＴＦＴＰ)、又は他のデバイス特有のプロトコルを使用し て適当なネットワークデバイスへと分配される。従って、ネットワークトポロジ ーデータベースは、コンフィギュレーションインターフェイスに与えられるセキ ュリティポリシーステートメントに基づいてコンフィギュレーションデータをコ ンパイルしそして分配する目的で重要である。 簡単なネットワークの場合、システムアドミニストレータは、トポロジー情報 を手で入力することができる。しかしながら、いかなるサイズのほとんどのネッ トワークについても、これは実用的なオプションでない。従って、必要なトポロ ジー情報を維持する従来のネットワークマネージメントツールは、本発明のコン フィギュレーションドライバーに使用するようにトポロジーデータベース情報を コンパイルするのに使用できる。従来のネットワークマネージメントツールによ って収集されたトポロジー情報と、本発明のセキュリティポリシー実施戦略との 間に必要とされる相互作用のレベルは、実施される多層ファイアウオールの精巧 さに依存する。例えば、ネットワークトポロジーに対する変更は、高レベルセキ ュリティポリシーデータと、要素デバイスに分配されるセキュリティポリシーデ ータとの間のマッピングを無効化することがある。精巧な多層ファイアウオール は、トポロジーに変化が生じたときにネットワークマネージメントシステムから 通知を受け取り、そしてそれに応じてポリシーデータ及びその要素デバイスを再 構成するようにされる。 更に、セキュリティポリシーマネージメントツールは、侵入者がそれを使用し てネットワークに侵入できないように保護される。これは、セキュリティポリシ ーコンフィギュレーションドライバーと、ネットワークに分散されたエージェン トとの間の保護通信を適当なアクセス制御手順に基づいて使用することを必要と する。 ネットワークの多数の要素がアクセス制御をサポートする。しかしながら、全 ての要素が同じ種類のアクセス制御機構をサポートするのではない。共通のネッ トワークアクセス制御機能を、ネットワーク内のできるだけ多くのデバイスに与 えるのが好ましい。例えば、広範囲に配備された認証、許可及び会計サーバーを 、種々様々なネットワークデバイスを管理するように適応させることができる。 更に、ネットウェアのようなネットワークオペレーティングシステムは、あるＡ ＡＡサービスを与える。 更に、ネットワークデバイスは、本発明に基づいてアクセス制御判断を分担す ることができる。簡単な例では、ラインサーバへのアクセス制御は、スプリット アクセスコンフィギュレーションにおいてそれに関連したパケットサーバに委任 することができる。これは、分散型リモートアクセスシステムの一貫した振舞い を確保するだけでなく、その複雑さを低減しそして信頼性を高める。 従来のセキュリティ原理は、保護通信を端から端まで行なわねばならないとし ている。しかしながら、動作条件によって時にはこれが最適でないこともある。 例えば、資産的装置は、端−端セキュリティプロトコルをサポートできない。こ れらのシステム間、又はそれらシステムと非資産的システムとの間の通信のセキ ュリティを確保するためには、資産的システムの代理として働くルータやスイッ チャーのような非侵入の保護機構を必要とする。この解決策は、本来、端−端で はない。 高いセキュリティを必要とする共通の物理的環境においてある装置を共通配置 することができる。このような環境では、境界の外側の装置とその内側の装置と の間に端−端保護を与えることは有益でない。コストを最小限に抑えるために、 保護を物理的セキュリティの境界で終わらせ、全ての内部システムの高価なハー ドウェア及びソフトウェアをサポートする必要性を排除することができる。 セキュリティプロトコルをサポートするには、高価な暗号化ハードウェアを使 用することが必要となる。ある場合には、このハードウェアを全てのシステムに 経済的に設置することができない。これは、データの最終的な行先より前のどこ かで暗号化ハードウェアを実施するシステム又はデバイスでは保護通信経路を終 わらせねばならないことを意味する。 これらの状態を受け入れるために、ソースと行先との間の経路の構成セグメン トにおいて異なる手段により保護通信を行うことが必要である。幾つかのセグメ ントは、層３の保護通信を使用し、一方、他のセグメントは、層２の保護を使用 する。各セグメントにより与えられる保護を、充分な端−端セキュリティを確保 するように整合するには、これらのセグメントが互いに協働することが必要にな る。本発明は、このような協働を管理できるツールを提供する。 図３は、本発明による多層ファイアウオールを実行するのに使用されるプロセ スのフローチャートである。上述したように、図３に示すノードは、ネットワー ク内の多数のプロトコルレベルで動作する種々様々なネットワークデバイス、最 終システム、並びにこれらネットワークデバイス及び最終システムで実行される 機能に対応する。 図３に示すように、第１段階は、ネットワークトポロジー及びセキュリティル ールを決定する(ステップ３００)。この情報は、図１のシステムにおいてコンフ ィギュレーションインターフェイス及びトポロジーデータ記憶装置によって与え られる。 次いで、ネットワーク内の全ての能動的ノード及び受動的ノードが識別される (ステップ３０１)。各能動的なノードに対し、能動的なノードを介在せずに能動 的なノードに接続された受動的なノードが識別される(ステップ３０２)。これは 、能動的ノードのセットを、コンフィギュレーションデータのコンパイルに使用 されるべき関連する受動的ノードと共に定義する。例えば、図２を参照すれば、 能動的ノードは、ポリシーを実施することのできるノードを含む。受動的ノード は、ポリシーの実施が与えられないか又は信頼されないノードを含む。従って、 受動的ノードは、最終システム１４３、中継器１４２、スイッチ１４１、スイッ チネットワーク１４０、スイッチ１２４、中継器１２５、及びネットワーク 内の他のデバイスを含む。 各セキュリティポリシールールに対し、最終ステーションのソース及び行先セ ットが識別される(ステップ３０３)。ソース及び行先セットは、各々、単一の最 終ステーション又は最終ステーションのグループを含む。次いで、プロセスは、 ルールを実施できるかどうか決定する(ステップ３０４)。上述したように、これ は、例えば、ソースセットの受動的ノードから行先セットの受動的ノードへ至る 経路であって、ルールを実施すべきプロトコル層において動作する能動的ノード を横断しない経路があるかどうか決定することを含む。ソース及び行先セットに おいて受動的ノード間の接続が見つかった場合には、ルールを実施することがで きない。従って、ルールを実施できない場合には、セキュリティプロセスに通知 され(ステップ３０５)、そしてアルゴリズムは、コンパイルされるべきルールが まだあるかどうか決定する(ステップ３０６)。コンパイルされるべきルールがそ れ以上残されていない場合には、ステップ３０７で示すように、アルゴリズムは 終了となる。更にルールがセキュリティポリシーに存在する場合には、アルゴリ ズムは、ステップ３０３へループして戻る。 ステップ３０４において、セット内の識別された能動的ノードでルールを実施 できることが決定された場合には、次いで、そのルールがソースで実施されるか 、行先で実施されるか又はその両方で実施されるよう意図されたかどうか決定さ れる。ルールがソースで実施されるべきであることを指定する場合には、ソース セットのノードと行先セットのノードとの間に介在する能動的ノードが識別され 、そしてルールは、ソースノードの１つがその関連セットにあるところの能動的 ノードのコンフィギュレーションデータに変換され、そしてこれらノードにおい て確立される(ステップ３１０)。 ルールを行先において実施するか又は行先及びソースの両方において実施すべ き場合には、行先セットのノードに関連した各能動的ノードに対し、ルールは、 その能動的ノードのコンフィギュレーションデータに変換され、次いで、そのノ ードにおいて確立される(ステップ３１１)。 ステップ３１０及び３１１の少なくとも１つの後に、アルゴリズムは、変換さ れるべきルールがもっとあるかどうか決定する(ステップ３１２)。それ以上の ルールがない場合には、アルゴリズムは終了となる(ステップ３０７)。変換され るべきルールがもっとある場合には、アルゴリズムは、ステップ３０３へループ して戻り、プロセスを続ける。 ソース及び行先セットが識別されると、行先セットのノードに到達するために 能動的ノードを横断する必要のない経路が受動的ノード間にあるかどうかを決定 するプロセスは、ＷＡＮ１００に接続されたプライベートネットワーク１０２及 びスタンドアローン最終システム１０３を考慮することによって理解することが できる。これらネットワークセグメントにおけるノードは、ポリシーを実施でき ないか、又はポリシーを実施する信頼がない。従って、プライベートネットワー ク１０２及びスタンドアローンのルータ型最終システム１０３のノードが、特定 のルールに対し、ソース及び行先ノードセットに各々存在する場合には、そのル ールをこれらノード間で実施することができない。しかしながら、ノード１０３ 及びプライベートネットワーク１０２の両方が、特定のルールに対してソースノ ードセットに存在するが、プライベートネットワーク１０１の全てのノードが、 特定のルールに対して行先セットに存在する場合には、おそらくルールを実施で きることになる。というのは、ソースセットと行先セットとの間を通信するため に、全ての通信がルータ１０７、パケットサーバ１０８又はルータ１０９のいず れかを横断しなければならず、これらは全てポリシーを実施できるからである。 図４は、ある環境において多層ファイアウオールを改良することのできるプロ セスを示す。例えば、図３のステップ３０３において、プロセスは、ソース及び 行先セットのノード間の経路（１つ又は複数）において能動的ノードの「最小カ ット頂点セット」を識別するように分岐する(ステップ４００)。カット頂点セッ トとは、除去された場合にソースセットと行先セットとを分離する能動的ノード のセットより成る。最小カット頂点セットとは、所与のソース及び行先セットに 対して最小数のノードを有するセットである。従って、図２を参照すれば、例え ば、ソースセットが最終ステーション１１３、１１４、１１６及び１１７を含み 、そして行先セットがスタンドアローンのルータ型最終システム１０３である場 合に、能動的ノードの最小カット頂点セットは、リモートアクセスルータ１１２ より成る。 リモートアクセスルータ１１２を通る各経路には、ソースセットに関連した能 動的ノード（１１２及び１１５）及び行先セットに関連した能動的ノード（１０ ４及び１０６）に見られるものより少数の能動的ノードしかないので、ある場合 には、最小カット頂点セットの能動的ノードでのセキュリティポリシーの実施を 、セキュリティポリシーをソース及び行先セットの全ての能動的ノードへ分配し て実施するものよりも効率的に行うことができる。従って、アルゴリズムは、次 いで、最小カット頂点セットの能動的ノードにおいてルールを効率的に実施でき るかどうか決定する(ステップ４０１)。もしそうでなければ、アルゴリズムは、 ステップ４０２で示されたように、図３のステップ３０４へ復帰する。最小カッ ト頂点セットの能動的ノードにおいてルールを実施できる場合には、ルールが、 カット頂点セットにおける能動的ノードのコンフィギュレーションデータに変換 され、そしてこのようなノードにおいて確立される(ステップ４０３)。ステップ ４０３の後に、プロセスは、図３のアルゴリズムのステップ３０４へ復帰する。 図５は、ネットワークを通して分散されたセキュリティポリシーエージェント においてコンフィギュレーションデータを確立するためのプロセスを示す。 より詳細には、ノードにルールを確立するプロセスは、コンフィギュレーショ ンデータをノードに転送し、それを永続的記憶装置に記憶し、そして新たなルー ルを実行できるようにデータが更新されたことをノードに確認させることを含む 。しかしながら、ネットワークに分散された全てのセキュリティエージェントが 、ディスクドライブや不揮発性フラッシュメモリデバイスのような永続的記憶装 置に直接接続されるのではない。例えば、中継器１３３は、永続的記憶能力をも たないことが考えられる。しかしながら、スイッチ１２３、又は更に好ましくは 、ポリシーマネージメントステーションの一部分を形成する最終ステーション１ ２６は、ディスクドライブ又は他の永続的記憶能力を有する。この状態において 、コンフィギュレーションデータをスイッチ１２３、最終ステーション１２６又 はネットワーク内の別のサーバに与え、そしてコンフィギュレーションデータが 更新されたことを中継器１３３に通知することができる。中継器１３３に関連し たマネージメントエージェントは、次いで、再ブートの際に、又はコンフィギュ レーションデータを更新する必要のある他のプロセスの間に、スイッチ１２３又 は 最終ステーション１２６からコンフィギュレーションデータを検索する。 従って、ノードにルールを確立するプロセスが図５に示され、ステップ５００ で始まる。このプロセスは、先ず、コンフィギュレーションデータの対象ノード が永続的なコンフィギュレーション記憶装置を含むかどうか決定する(ステップ ５０１)。もしそうであれば、コンフィギュレーションデータがそのノードの永 続的な記憶装置へ送られる(ステップ５０２)。ノードが永続的な記憶装置を含ま ない場合には、コンフィギュレーションデータの対象ノードによってアクセスで きるノードの永続的な記憶装置にコンフィギュレーションデータが送られる(ス テップ５０３)。次いで、コンフィギュレーションデータの対象であるノードに 変化を示す信号が送られる(ステップ５０４)。変化が生じたという信号を受信し た後に、ノードは、更新されたコンフィギュレーションデータを検索する(ステ ップ５０５)。ステップ５０２又はステップ５０５のいずれかによってコンフィ ギュレーションデータがノードに送られた後に、ノードは、それが受け取ったコ ンフィギュレーションデータに基づいて新たなルールを実行する(ステップ５０ ６)。 従って、セキュリティポリシーマネージメントコンフィギュレーションドライ バーは、これらルールのコンフィギュレーションデータをノードに通信すること によりノードにルールを確立する。例えば、ノードが永続的な記憶装置を有する 場合には、セキュリティポリシーマネージメントコンフィギュレーションドライ バーは、テルネット又はトリビアル・ファイル搬送プロトコル（ＴＦＴＰ）のよ うな標準的なプロトコルを使用してルールをノードへ直接通信するか、又は多層 ファイアウオールの一部分としてこの目的のために特に指定されたプロトコルを 使用する。ノードが永続的な記憶装置をもたない場合には、セキュリティポリシ ーマネージメントコンフィギュレーションドライバーは、ノードによってアクセ スできる永続的な記憶装置にルールを通信し、次いで、例えば、ＳＮＭＰ又は別 のプロトコルを用いてノードに信号を送り、セキュリティポリシールールが更新 されたことをノードに通知する。次いで、ノードは、新たなセキュリティポリシ ールールを永続的な記憶装置から検索することができる。更に、別のシステムに おけるセキュリティポリシーマネージメントコンフィギュレーションドライバー が分散型データベース解決策を用いてノードポリシーを更新する。例えば、セキ ュリティポリシーマネージメントコンフィギュレーションドライバーは、ノード がキャッシュコピーを有するところのファイル又はデータベースエントリーにデ ータを書き込むことができる。この分散型データベースキャッシュコヒレンシー アルゴリズムは、次いで、そのキャッシュコピーがもはや有効でないことをノー ドに通知し、マスターコピーを再読み取りするよう動機付ける。 各能動的ノードにおいてルールを実施すべきかどうか決定するための上記アル ゴリズムは、本発明の多層ファイアウオールシステムの能力を例示するものに過 ぎない。他のアルゴリズムも考えられる。例えば、セキュリティポリシーステー トメントは、特定のセキュリティポリシールールにおいて、異なる能動的ノード で実施される部分に分解することができる。これは、ソースセットのノードと行 先セットのノードとの間の経路を分析し、この経路における各能動的ノードにサ ポートされる意味を決定し、そしてこのセットの能動的ノードにおいてポリシー ルールの種々のセグメント又はポリシールールの冗長バージョンを実施すること を必要とする。これらの能動的ノードにおいてセキュリティポリシールールを順 次に適用すると、ソース、行先、又はカット頂点セットの能動的ノードにおいて 実施することのできないポリシーを実施できるので、分散形態でルールを実施す るこの解決策は、より効率的なファイアウオールを与えることができる。更に、 ノードの順次経路に沿ってポリシールールの実施を分解することにより、ソース 、行先又はカット頂点セットの能動的ノードにおける実施では考えられない効率 を与えることができる。 図６及び７（図２と同様）を参照して説明する２つの例は、多層ファイアウオ ールが実際にいかに作用するかを示す。図６及び７において、ホストグループ１ （６００）は、中継器（６０４及び６０５）及びスイッチ（６０６及び６０７） を経て２つのサイトルータ６０８の一方に接続された多数の最終システム６０１ 、６０２、６０３…より成る。ホストグループ２（６１０）は、中継器６１３及 びスイッチ６１４を経て他のサイトルータ６１５に接続された２つの最終システ ム（６１１及び６１２）より成る。２つのサイトルータは、スイッチ６２０を経 て相互接続される。 両方の例において、多層ファイアウオールは、１つのポリシールールで構成さ れる。 このルールは、多層ファイアウオールポリシーマネージメントステーション６ ２５においてセキュリティアドミニストレータによって入力される。 第１の例（図６）においては、２つのスイッチ６０６及び６０７は、中継器６ ０４及び６０５を経てホストグループ１（６００）に接続され、ファイアウオー ルルールの実施を行うことができ、そしてスイッチ６１４及び中継器６１３によ りホストグループ２（６１０）に接続されたサイトルータ６１５も、ファイアウ オールルールの実施を行うことができる。 多層ファイアウオールポリシーマネージメントステーション６２５は、多層フ ァイアウオールポリシールールを２つのノード特有のポリシールールに分解し、 その一方は、サイトルータ６１５に対するものであり、そしてその他方は、２つ のスイッチ６０６及び６０７に対するものである(両スイッチは、同じデバイス 特有のポリシールールを受け入れると仮定する)。「実施場所」の項は、「両方」 を指定しているので、多層ファイアウオールポリシーマネージメントステーショ ン６２５は、ノード特有のポリシールールを、ＴＦＴＰのようなプロトコルを使 用するサイトルータ６１５と、ＴＦＴＰのようなプロトコル又は下位層ＳＮＭＰ を使用する２つのスイッチ６０６及び６０７との両方にダウンロードする。「実 施場所」の項が「ソース」を指定する場合には、多層ファイアウオールポリシー マネージメントステーション６２５は、サイトルータ６１５に対するポリシール ールのみをダウンロードする。「実施場所」の項が「行先」を指定する場合には 、多層ファイアウオールポリシーマネージメントステーション６２５は、スイッ チ６０６及び６０７に対するポリシールールのみをダウンロードする。 第２の例（図７）は、第１の例と同じネットワークトポロジーを有する。しか しながら、ポリシーの実施は、第１の例とは異なるやり方で行なわれる。特に、 中継器６０４及び６０５を経てホストグループ１（６００）の最終システムに接 続されたスイッチと、これらの最終システムにおけるＮＩＣとの両方は、ノード 特有のポリシールールを実施することができる。加えて、中継器６１３を経てホ ストグループ２（６１０）に接続されたスイッチ６１４は、ノード特有のポリシ ールールを実施できるが、サイトルータ６１５は、実施できない。 多層ファイアウオールポリシーマネージメントステーション６２５は、多層フ ァイアウオールのポリシールールを２つのノード特有のポリシールールに分解し 、その一方は、中継器を経てホストグループ２（６１０）に接続されたスイッチ ６１４に対するものであり、そしてその他方は、ホストグループ１（６００）に 接続された２つのスイッチ６０６及び６０７に対するものである(この場合も、 これらスイッチの両方が、同じデバイス特有のポリシールールを受け入れると仮 定する)。「実施場所」の項は、「両方」を指定しているので、多層ファイアウオ ールポリシーマネージメントステーション６２５は、ノード特有のポリシールー ルを、ホストグループ２（６１０）のスイッチ６１４と、ホストグループ１（６ ００）の２つのスイッチ６０６及び６０７との両方にダウンロードする。「実施 場所」の項が「ソース」を指定する場合には、多層ファイアウオールポリシーマ ネージメントステーション６２５は、適当なポリシールールをホストグループ２ （６１０）のスイッチ６１４のみにダウンロードする。「実施場所」の項が「行 先」を指定する場合には、多層ファイアウオールポリシーマネージメントステー ション６２５は、適当なポリシールールをホストグループ１（６００）のスイッ チ６０６及び６０７のみにダウンロードする。 この例は、ＮＩＣが多層ファイアウオールに参加する１つの方法も示している 。ホストグループ１（６００）に関連した各スイッチ６０６及び６０７は、その ノード特有のポリシールールを受け取ると、それが接続されたホストグループ１ (６００)の各最終システム６０１、６０２及び６０３へポリシールール情報を放 送する。例えば、ホストグループ１（６００）のスイッチ６０６及び６０７に対 するノード特有のポリシールールは、次のようになる。 このテーブルにおいて、ホストグループ２（６１０）の各最終システム６１１ 及び６１２は、行先であるホストグループ１（６００）の各ホストに対するソー スとして特にリストされている。実際の場合には、ホストグループ２（６１０） 及びホストグループ１（６００）の最終システムに関連したサブネットアドレス をリストすることによりこれらルールをより効率的に表すことができる。 最終システム６０１のＮＩＣのような各ＮＩＣは、これらのルールを受け取る と、その最終システム（例えば、６０１）が行先ではないところのノード特有の ポリシールールを全て破棄する。次いで、残りのルールを使用して、最終システ ム（例えば、６０１）に到着するパケットをフィルタする。この例では、ノード 特有のポリシールールを実施するＮＩＣを伴う最終システム６０１、６０２及び ６０３は、ホストグループ２（６１０）における最終システム６１１及び６１２ からのＦＴＰ要求以外のトラフィックを受け取ることができない。 ホストグループ１（６００）のスイッチ６０６及び６０７は、これらのルール を使用するが、ホストグループ１（６００）の最終システム６０１、６０２及び ６０３から到来するトラフィックに対してのみである。特に、それらは、ホスト グループ２（６１０）の最終システム６１１及び６１２を行先とするＦＴＰ応答 ではない全てのパケットをドロップする。これらのスイッチ６０６及び６０７は 、それらが中継器６０４及び６０５を経て接続されない最終システムの行先アド レスを特定するノード特有のルールを破棄する。 この例において示される効果は、ＮＩＣがインバウンドトラフィックに対して 多層ファイアウオールポリシールールを実施する役割を果たし、一方、スイッチ がアウトバウンドトラフィックに対してそれを実施する役割を果たすことである 。この実施に対する役割を分割することにより、ホストグループ１（６００）の スイッチ６０６及び６０７からある処理の負荷を取り去る。敵対するトラフィッ ク に対して最終システムを保護するようにＮＩＣに依存することによりこれが行な われる。 両方の例において、多層ファイアウオールマネージメントステーション６２５ は、デバイス特有のポリシールールをデバイスへ直接通信する。この解決策は、 説明を簡略化するが、多層ファイアウオールマネージメントプロトコルに複雑さ をもたらす。他の実施戦略も考えられ、望ましいものがある。例えば、ノード特 有のポリシールールをデバイスに直接分配するのではなく、多層ファイアウオー ルマネージメントステーション６２５は、それらを永続的記憶装置に記憶し、そ して新たなポリシーを検索するように各デバイスに通知することができる。第２ の例では、ホストグループ１（６００）のスイッチ６０６及び６０７は、最終シ ステム６０１、６０２及び６０３のＮＩＣにノード特有のポリシーを直接放送す るのではなく、永続的な記憶装置から新たなポリシーを検索すべきであることを 通知するメッセージをそれらに放送してもよい。 本発明の多層ファイアウオール機能は、１つの実施形態では、オブジェクトベ ースのマネージメントシステムとして実施され、そして他の実施形態では、分散 型多層ファイアウオールの構成を与える目的で他のプログラミング技術で実施さ れる。 本発明は、種々様々なネットワークデバイス及び最終システムより成るネット ワークにおいて整合された多層型の浸透したファイアウオールを形成するフレー ムワークを提供する。このシステムは、セキュリティポリシールールを高レベル で指定するコンフィギュレーションインターフェイスをベースとする管理し易い 前端を与える。これらのルールは、次いで、ルールによって作用を受けるネット ワーク内のノードに対する実際のコンフィギュレーションデータに分解される。 このコンフィギュレーションデータは、次いで、ルールを実施するためにネット ワークのノードにおいて確立される。ネットワークのトポロジー及びネットワー クのノードで実行されるセキュリティ機能の形式に関する情報を使用して、この プロセスをルールごとに実行することにより、整合された浸透した多層ファイア ウオールシステムが提供される。本発明によれば、ファイアウオールの種々の要 素の役割分担が、好ましくは、グラフィックユーザインターフェイス及び高レベ ルスクリプトのような使い易い特徴を実施する１つ以上のインテリジェントマネ ージメントシステムに集合される。 本発明の多層ファイアウオールは、無類の融通性をもつネットワークシステム のセキュリティインフラストラクチャーを提供する。更に、種々様々なネットワ ークにおける多数のデバイスの複雑な管理を可能にするコヒレントな前端が提供 される。 本発明の好ましい実施形態の以上の説明は、本発明を単に例示するものに過ぎ ない。本発明は、これに限定されるものではなく、請求の範囲に記載した本発明 の範囲内で多数の種々の変更がなされ得ることが当業者に明らかであろう。

Claims (1)

1. 【特許請求の範囲】 １．複数の形式のノードを含むネットワークにセキュリティを与えるシステム であって、ネットワーク内のノードセットのノードは、対応するノード形式に適 応したコンフィギュレーションデータに応答して実行されるセキュリティ機能を 含むようなシステムにおいて、 ネットワーク内のノードセットにおいて働くセキュリティ機能と、ノードセッ ト内のノードの相互接続とに関する情報を記憶するトポロジーデータ記憶装置と 、 上記トポロジーデータ記憶装置に接続され、ネットワーク内のノード間で実施 されるべきセキュリティポリシーを指示するセキュリティポリシーステートメン トを受け取る入力を含むコンフィギュレーションインターフェイスと、 上記ネットワーク、コンフィギュレーションインターフェイス及びトポロジー データ記憶装置に接続され、セキュリティポリシーステートメントを、ネットワ ーク内の複数の形式のノードに対するコンフィギュレーションデータに変換し、 そしてそのコンフィギュレーションデータをノードへと搬送するリソースを含む コンフィギュレーションドライバーと、 を備えたことを特徴とするシステム。 ２．上記ノードセットは、フィルタパラメータに基づいて媒体アクセス制御Ｍ ＡＣ層フィルタリングを与えるノードを含み、そしてコンフィギュレーションデ ータは、ＭＡＣ層フィルタリングのためのフィルタパラメータを含む請求項１に 記載のシステム。 ３．上記ノードセットは、フィルタパラメータに基づいてネットワーク層フィ ルタリングを与えるノードを含み、そしてコンフィギュレーションデータは、ネ ットワーク層フィルタリングのためのフィルタパラメータを含む請求項１に記載 のシステム。 ４．上記ノードセットは、フィルタパラメータに基づいて搬送層フィルタリン グを与えるノードを含み、そしてコンフィギュレーションデータは、搬送層フィ ルタリングのためのフィルタパラメータを含む請求項１に記載のシステム。 ５．上記ノードセットは、フィルタパラメータに基づきアプリケーション層フ ィルタリングを与えるノードを含み、そしてコンフィギュレーションデータは、 アプリケーション層フィルタリングのためのフィルタパラメータを含む請求項１ に記載のシステム。 ６．上記セキュリティ機能は、認証プロトコルを含む請求項１に記載のシステ ム。 ７．上記セキュリティ機能は、オーデットを含む請求項１に記載のシステム。 ８．上記セキュリティ機能は、許可を含む請求項１に記載のシステム。 ９．上記ノードセットは、中継器の機能を実行するノードを含み、そして上記 セキュリティ機能は、中継器の機能に媒体アクセス制御ＭＡＣ層フィルタリング を含む請求項１に記載のシステム。 １０．上記ノードセットは、データリンク層スイッチの機能を実行するノード を含み、そして上記セキュリティ機能は、スイッチ機能に媒体アクセス制御ＭＡ Ｃ層フィルタリングを含む請求項１に記載のシステム。 １１．上記ノードセットは、ネットワーク層ルート指定機能を実行するノード を含み、そして上記セキュリティ機能は、ルート指定機能にネットワーク層フィ ルタリングを含む請求項１に記載のシステム。 １２．上記ノードセットは、多数のプロトコル層ルート指定機能を実行するノ ードを含み、そして上記セキュリティ機能は、認証機構を含む請求項１に記載の システム。 １３．上記ノードセットは、ネットワーク層ルート指定機能を実行するノード 及びデータリンク層スイッチ機能を実行するノードを含み、そして上記セキュリ ティ機能は、媒体アクセス制御ＭＡＣ層フィルタリング及びネットワーク層フィ ルタリングを含む請求項１に記載のシステム。 １４．上記ノードセットは、多数のプロトコル層ルート指定機能を実行するノ ードを含み、そして上記セキュリティ機能は、認証を含む請求項１３に記載のシ ステム。 １５．上記トポロジーデータ記憶装置は、ノードセットの外部のノードへ至る ネットワークリンクに接続されたノードを指示するデータを含む請求項１に記載 のシステム。 １６．上記トポロジーデータ記憶装置は、ノードセットの外部のノードへ至る ネットワークリンクに接続されたノードと、セキュリティポリシーを実施できる 能動的ノードと、セキュリティポリシーを実施できないか又は実施する信頼性の ない受動的ノードとを指示するデータを含み、そして 上記セキュリティポリシーステートメントは、能動的ノードと、受動的ノード と、ノードセットの外部のノードへ至るネットワークリンクに進行する通信とに 対してセキュリティポリシーを指示する請求項１に記載のシステム。 １７．上記コンフィギュレーションインターフェイスは、スクリプト言語を解 読してセキュリティポリシーステートメントを決定するスクリプトインタープリ ターを含む請求項１に記載のシステム。 １８．上記トポロジーデータ記憶装置は、セキュリティポリシーを実施できる 能動的ノードと、セキュリティポリシーを実施できないか又は実施する信頼性の ない受動的ノードとを指示するデータを含む請求項１に記載のシステム。 １９．上記セキュリティポリシーステートメントは、１つ以上の最終ステーシ ョンのソースセットと、１つ以上の最終ステーションの行先セットとの間の通信 に対するセキュリティポリシーを指示する請求項１８に記載のシステム。 ２０．上記コンフィギュレーションドライバは、受動的ノードにリンクされた 能動的ノードに対してコンフィギュレーションデータを発生することにより受動 的ノードのセキュリティポリシーを実施するリソースを含む請求項１８に記載の システム。 ２１．上記スクリプト言語は、ソースセット識別子、行先セット識別子、通信 アクティビティ識別子、及び識別されたソースセットと識別された行先セットと の間の識別された通信アクティビティに対するルールを含むセキュリティポリシ ーステートメントを指定するシンタックスを含む請求項１７に記載のシステム。 ２２．上記シンタックスは、更に、ルールを実施すべき位置の識別子を含む請 求項２１に記載のシステム。 ２３．上記コンフィギュレーションドライバーは、トポロジーデータ記憶装置 のデータに基づいて実施できないセキュリティポリシーステートメントを識別す るためのリソースを含む請求項２１に記載のシステム。 ２４．ノードセットの特定ノードと通信する永続的記憶能力を有するコンフィ ギュレーション記憶装置を備え、そして上記コンフイギュレーションドライバー は、特定ノードに対するコンフィギュレーションデータをコンフィギュレーショ ン記憶装置に送信する請求項１に記載のシステム。 ２５．上記コンフィギュレーション記憶装置は、通信リンクによって特定ノー ドに接続される請求項２４に記載のシステム。 ２６．上記トポロジーデータ記憶装置は、ネットワーク層アドレス、媒体アク セス制御ＭＡＣ層アドレス、ユーザ識別子、特定ノードがセキュリティポリシー を実施する信頼があるかどうか、実施できるセキュリティポリシーの形式、及び 他のノードへのその接続を含む特定ノードの情報を与えるデータ構造体を備えて いる請求項１に記載のシステム。 ２７．上記セキュリティポリシーステートメントは、ネットワークの１つ以上 の最終ステーションを含むソースセットと、ネットワークの１つ以上の最終ステ ーションを含む行先セットとの間の通信に対するセキュリティポリシーを指示し 、そして上記コンフィギュレーションドライバーは、ネットワークのノードセッ ト内の指示されたセキュリティポリシーを実施することのできるカット頂点セッ トのノードを識別しそしてカット頂点セットのノードにコンフィギュレーション データを確立するためのリソースを含む請求項１に記載のシステム。 ２８．上記カット頂点セットは、最小のカット頂点セットより成る請求項２７ に記載のシステム。 ２９．複数の形式のノードを含むネットワークにセキュリティを与えるシステ ムであって、ネットワーク内のノードセットのノードは、対応するノード形式に 適応したコンフィギュレーションデータに応答して実行されるセキュリティ機能 を含むようなシステムにおいて、 ネットワーク内のノードセットのセキュリティ機能と、ノードセット内のノー ドの相互接続とに関する情報を記憶するトポロジーデータ記憶装置であって、１ つ以上のプロトコル層におけるアドレス、特定ノードがセキュリティポリシーを 実施する信頼性があるかどうか、特定ノードが実施できるセキュリティポリシー の形式、及び特定ノードと他のノードとの接続を含む特定ノードの情報を与える データ構造体を有するトポロジーデータ記憶装置と、 上記トポロジーデータ記憶装置に接続されたコンフィギュレーションインター フェイスであって、このインターフェイスは、ネットワークにおける１つ以上の 終端ステーションのソースセットと１つ以上の終端ステーションの行先セットと の間で実施されるべきセキュリティポリシーを指示するセキュリティポリシース テートメントを受け取る入力と、スクリプト言語を解読してセキュリティポリシ ーステートメントを決定するためのスクリプトインタープリターとを含み、上記 スクリプト言語は、ソースセット識別子、行先セット識別子、通信アクティビテ ィ識別子、及び識別されたソースセットと識別された行先セットとの間の識別さ れた通信アクティビティに対するルールを含むセキュリティポリシーステートメ ントを指定するシンタックスを含むようなコンフィギュレーションインターフェ イスと、 上記ネットワーク、コンフィギュレーションインターフェイス及びトポロジー データ記憶装置に接続され、セキュリティポリシーステートメントを、ネットワ ーク内の種々の形式のノードに対するコンフィギュレーションデータに変換し、 そしてそのコンフィギュレーションデータをノードへと搬送するリソースを含む コンフィギュレーションドライバーと、 を備えたことを特徴とするシステム。 ３０．上記ノードセットは、フィルタパラメータに基づいて媒体アクセス制御 ＭＡＣ層フィルタリングを与えるノードを含み、そしてコンフィギュレーション データは、ＭＡＣ層フィルタリングのためのフィルタパラメータを含む請求項２ ９に記載のシステム。 ３１．上記ノードセットは、フィルタパラメータに基づいてネットワーク層フ ィルタリングを与えるノードを含み、そしてコンフィギュレーションデータは、 ネットワーク層フィルタリングのためのフィルタパラメータを含む請求項２９に 記載のシステム。 ３２．上記ノードセットは、フィルタリングパラメータに基づいて搬送層フィ ルタリングを与えるノードを含み、そしてコンフィギュレーションデータは、搬 送層フィルタリングのためのフィルタパラメータを含む請求項２９に記載のシス テム。 ３３．上記ノードセットは、フィルタパラメータに基づきアプリケーション層 フィルタリングを与えるノードを含み、そしてコンフィギュレーションデータは 、アプリケーション層フィルタリングのためのフィルタパラメータを含む請求項 ２９に記載のシステム。 ３４．上記トポロジーデータ記憶装置は、セキュリティポリシーを実施できる 能動的ノードと、セキュリティポリシーを実施できないか又は実施する信頼性の ない受動的ノードとを指示するデータを含む請求項２９に記載のシステム。 ３５．上記トポロジーデータ記憶装置は、ノードセットの外部のノードへ至る ネットワークリンクに接続されたノードを指示するデータを含む請求項２９に記 載のシステム。 ３６．上記セキュリティポリシーステートメントは、ノードセットの外部のノ ードへ至るネットワークリンクに進行する通信に対するセキュリティポリシーを 指示する請求項３５に記載のシステム。 ３７．上記シンタックスは、更に、ルールを実施すべき位置の識別子を含む請 求項２９に記載のシステム。 ３８．上記コンフィギュレーションドライバーは、トポロジーデータ記憶装置 のデータに基づいて実施できないセキュリティポリシーステートメントを識別す るためのリソースを備えている請求項２９に記載のシステム。 ３９．ノードセットの特定ノードと通信する永続的記憶能力を有するコンフィ ギュレーション記憶装置を備え、そして上記コンフィギュレーションドライバー は、特定ノードに対するコンフィギュレーションデータをコンフィギュレーショ ン記憶装置に送信する請求項２９に記載のシステム。 ４０．上記コンフィギュレーション記憶装置は、通信リンクにより特定のノー ドに接続される請求項３９に記載のシステム。 ４１．上記コンフィギュレーションドライバーは、指示されたセキュリティポ リシーを実施することのできるカット頂点セットのノードを識別しそしてカット 頂点セットのノードにコンフィギュレーションデータを確立するためのリソース を含む請求項２９に記載のシステム。 ４２．上記カット頂点セットは、最小のカット頂点セットより成る請求項４１ に記載のシステム。 ４３．複数の形式のノードのセットを含むネットワークにファイアウオールシ ステムを確立する方法であって、ネットワーク内の上記ノードセットのノードは 、対応するノードに適応したコンフィギュレーションデータに応答して実行され るセキュリティ機能を含み、上記方法は、 上記ノードセットのノードにおいて働くセキュリティ機能と、上記ノードセッ トのノードの相互接続とに関する情報を含むトポロジーデータを与え、 上記ノードセットの最終システム間で実施されるべきセキュリティポリシーを 指示するセキュリティポリシーステートメントを与え、 上記トポロジーデータに応答して、セキュリティポリシーステートメントを、 ノードセットのノードにおいて働くセキュリティ機能に対するコンフィギュレー ションデータへと変換し、そして ネットワーク内のノードにおいてセキュリティ機能にコンフィギュレーション データを確立する、 という段階を備えたことを特徴とする方法。 ４４．上記トポロジーデータは、１つ以上のプロトコル層のアドレス、特定ノ ードがセキュリティポリシーを実施する信頼があるかどうか、特定ノードが実施 できるセキュリティポリシーの形式、及び特定ノードと他のノードとの接続を含 む特定ノードの情報を与えるデータ構造体を備えている請求項４３に記載の方法 。 ４５．セキュリティポリシーステートメントを与える上記段階は、スクリプト 言語を解読して、セキュリティポリシーステートメントを決定することを含み、 上記スクリプト言語は、ソース識別子、行先識別子、通信アクティビティ識別子 、及び識別されたソースと識別された行先との間の識別された通信アクティビテ ィに対するルールを含むセキュリティポリシーステートメントを指定するための シンタックスを含む請求項４３に記載の方法。 ４６．上記シンタックスは、更に、ルールを実施すべき位置の識別子を含む請 求項４５に記載の方法。 ４７．上記確立段階は、ノードと通信する永続的な記憶装置にネットワークの コンフィギュレーションデータを送信することを含む請求項４３に記載の方法。 ４８．少なくとも１つのノードに対し、ノードと通信する永続的な記憶装置は 、ノードにとってローカルであり、そして少なくとも１つの他のノードに対し、 ノードと通信する永続的な記憶装置は、ノードから離れている請求項４７に記載 の方法。 ４９．少なくとも１つのノードに対し、ノードと通信する永続的な記憶装置は 、ノードから離れており、ノードにコンフィギュレーションデータを確立する上 記段階は、永続的な記憶装置にコンフィギュレーションデータを送信した後に、 コンフィギュレーションデータが変化したことをノードのセキュリティ機能に通 知することを含む請求項４７に記載の方法。 ５０．上記トポロジーデータは、セキュリティポリシーを実施できる能動的ノ ードと、セキュリティポリシーを実施できないか又は実施する信頼性のない受動 的ノードとを指示するデータを含む請求項４３に記載の方法。 ５１．上記トポロジーデータは、ノードセットの外部のノードへ至るネットワ ークリンクに接続されたノードを指示するデータを含む請求項５０に記載の方法 。 ５２．上記セキュリティポリシーステートメントは、ノードセットの外部のノ ードへ至るネットワークリンクに進行する通信に対してセキュリティポリシーを 指示する請求項５１に記載の方法。 ５３．上記変換段階は、受動的ノードのセキュリティポリシーを実施するため に、受動的ノードにリンクされた能動的ノードのコンフィギュレーションデータ を発生することを含む請求項５０に記載の方法。 ５４．上記変換段階は、トポロジーデータ記憶装置のデータに基づいて実施で きないセキュリティポリシーステートメントを識別することを含む請求項４３に 記載の方法。 ５５．上記ノードセットは、フィルタパラメータに基づいてＭＡＣ層フィルタ リングを与えるノードを含み、そしてコンフィギュレーションデータは、ＭＡＣ 層フィルタリングのためのフィルタパラメータを含む請求項４３に記載の方法。 ５６．上記ノードセットは、フィルタパラメータに基づいてネットワーク層フ ィルタリングを与えるノードを含み、そしてコンフィギュレーションデータは、 ネットワーク層フィルタリングのためのフィルタパラメータを含む請求項４３に 記載の方法。 ５７．上記ノードセットは、フィルタパラメータに基づいて搬送層フィルタリ ングを与えるノードを含み、そしてコンフィギュレーションデータは、搬送層フ ィルタリングのためのフィルタパラメータを含む請求項４３に記載の方法。 ５８．上記ノードセットは、フィルタパラメータに基づきアプリケーション層 フィルタリングを与えるノードを含み、そしてコンフィギュレーションデータは 、アプリケーション層フィルタリングのためのフィルタパラメータを含む請求項 ４３に記載の方法。 ５９．上記セキュリティ機能は、許可を含む請求項４３に記載の方法。 ６０．上記セキュリティ機能は、認証を含む請求項４３に記載の方法。 ６１．上記セキュリティ機能は、オーデットを含む請求項４３に記載の方法。 ６２．上記ノードセットは、インターネットプロトコルＩＰフィルタパラメー タに基づいてネットワーク層フィルタリングを与えるノードを含み、そしてコン フィギュレーションデータは、ＩＰフィルタパラメータを含む請求項４３に記載 の方法。 ６３．上記ノードセットは、インターネットプロトコル及び搬送制御プロトコ ルＴＣＰ／ＩＰフィルタパラメータに基づいてフィルタリングを与えるノードを 含み、そしてコンフィギュレーションデータは、ＴＣＰ／ＩＰフィルタパラメー タを含む請求項４３に記載の方法。 ６４．複数の形式のノードのセットを含むネットワークにファイアウオールシ ステムを確立する方法であって、ネットワーク内の上記ノードセットのノードは 、対応するノードに適応したコンフィギュレーションデータに応答して実行され るセキュリティ機能を含み、上記方法は、 上記ノードセットのノードにおいて働くセキュリティ機能と、上記ノードセッ トのノードの相互接続とに関する情報を含むトポロジーデータを与え、 上記ノードセットにおける最終ステーションのソースセットと最終ステーショ ンの行先セットとの間で実施されるべきセキュリティポリシーを指示するセキュ リティポリシーステートメントを与え、 トポロジーデータ及びセキュリティポリシーステートメントに応答して、セキ ュリティポリシーステートメントを実施できるノードより成るカット頂点セット のノードを識別し、これは、ネットワークから除去された場合に、ソースセット を行先セットから分離するものであり、 識別されたカット頂点セット及びセキュリティポリシーステートメントに応答 して、カット頂点セットのノードにおいて働くセキュリティ機能に対するコンフ ィギュレーションデータへと変換し、そして カット頂点セットのノードにおいてセキュリティ機能にコンフィギュレーショ ンデータを確立する、 という段階を備えたことを特徴とする方法。 ６５．上記トポロジーデータは、アドレス、特定ノードがセキュリティポリシ ーを実施する信頼があるかどうか、特定ノードが実施できるセキュリティポリシ ーの形式、及び特定ノードと他のノードとの接続を含む特定ノードの情報を与え るデータ構造体を備えている請求項６４に記載の方法。 ６６．セキュリティポリシーステートメントを与える上記段階は、スクリプト 言語を解読して、セキュリティポリシーステートメントを決定することを含み、 上記スクリプト言語は、ソース識別子、行先識別子、通信アクティビティ識別子 、及び識別されたソースと識別された行先との間の識別された通信アクティビテ ィに対するルールを含むセキュリティポリシーステートメントを指定するための シンタックスを含む請求項６４に記載の方法。 ６７．上記確立段階は、カット頂点セットのノードと通信する永続的な記憶装 置にネットワークのコンフィギュレーションデータを送信することを含む請求項 ６４に記載の方法。 ６８．少なくとも１つのノードに対し、ノードと通信する永続的な記憶装置は 、ノードにとってローカルであり、そして少なくとも１つの他のノードに対し、 ノードと通信する永続的な記憶装置は、ノードから離れている請求項６７に記載 の方法。 ６９．上記ノードセットは、インターネットプロトコルＩＰフイルタパラメー タに基づいてネットワーク層フィルタリングを与えるノードを含み、そしてコン フィギュレーションデータは、ＩＰフィルタパラメータを含む請求項６４に記載 の方法。 ７０．上記ノードセットは、インターネットプロトコル及び搬送制御プロトコ ルＴＣＰ／ＩＰフィルタパラメータに基づいてフィルタリングを与えるノードを 含み、そしてコンフィギュレーションデータは、ＴＣＰ／ＩＰフィルタパラメー タを含む請求項６４に記載の方法。 ７１．上記カット頂点セットは、最小のカット頂点セットより成る請求項６４ に記載の方法。