JP2003333084A - パケットフィルタリングルール設定方法 - Google Patents

Abstract

(57)【要約】 【課題】 パケットフィルタリングシステムに新たなル
ールを設定する場合、既に登録されたルールが増大した
場合にも、新たなルールを正しく設定し、設定ミスによ
るセキュリティホールの発生を防ぐ技術が必要とされ
る。本発明は、新たに設定するルールを自動的に設定す
ることで、ユーザは、設定順序を意識する必要が無くな
り、また、設定ミスによるセキュリティホールの発生を
防ぐことを目的としている。 【解決手段】 パケットフィルタリングシステムに、ル
ール比較解析部２０４を導入することで、ユーザ２０１
は、新しくルールをルール受信部２０２へ渡すだけで、
既に設定されたルールより、新しいルールが無駄になる
原因となるルールを検出し、設定してくれる。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、データパケットの
フィルタリング方法に関し、新たに設定するパケットフ
ィルタリングルールを設定者が希望する意図通りに自動
的に設定し、また、長期間設定されたルールを自動的に
削除するための、パケットフィルタルールの設定、削除
方法に関する。

【０００２】

【従来の技術】近年のインターネットに代表されるネッ
トワークの普及に伴い、企業、または家庭において、内
部でＬＡＮ環境を構成し、外部ネットワーク(例えばイ
ンターネット)に接続する形態をとることが多くなっ
た。しかし、内部、外部ネットワークを接続する際、セ
キュリティが重要な問題となる。外部ネットワークから
内部ネットワークへの不正なアクセスにより、機密情報
が漏洩し、また、改竄される可能性がある。さらに、不
正なアクセスは、内部ネットワーク内のネットワーク環
境やコンピュータに対する攻撃を起こす場合もあり、そ
の結果、ネットワーク環境の破壊など、多大な損害を被
る可能性もある。

【０００３】そこで、不正なアクセスを防止するための
方法として、パケットフィルタリングが挙げられる。パ
ケットフィルタリングは、ファイアウォールなどに用い
られ、保護したいネットワークを不正アクセスから守る
ための有効な方法である。これは、データパケットを中
継するマシンで設定され、受信データパケットを全て検
査し、フィルタリングのルールに基づいて、データパケ
ットが通過することを許可、あるいは拒否するものであ
る。各ルールには、データパケットに関するいくつかの
要素を定義し、これらの要素に応じて、データパケット
が処理される。要素としては、データパケットを送信す
る側、受信する側のアドレスや、ポートなどが挙げられ
る。複数のルールの設定によって、例えば、ある送信元
から送られるデータパケットの通過を拒否したり、別の
送信元から、あるあて先へ送られるデータパケットの通
過を許可することが可能である。ルールは、パケットフ
ィルタリングシステムに順番に記憶される。また、その
ルールは、データパケットが通信装置に到着した際、パ
ケットフィルタリングシステムに記憶された順に評価さ
れる。あるデータパケットが通信装置に到達した際、そ
のパケットに該当する要素を含む最初のルールが適用さ
れ、そのパケットはそのルールに示されるように処理さ
れる。

【０００４】このようなルールに基づいたパケットフィ
ルタリングシステムでは、まず、パケットフィルタリン
グによって実現したいセキュリティポリシーを定義した
後、そのポリシーを実現するルールをパケットフィルタ
リングシステムに登録しなければならない。また、その
システムの運用中に、新たなポリシーを決定した場合、
それに基づくルールを新たに登録しなければならない。
そこで、セキュリティポリシーが高度になるに従って、
ポリシーを実現するために多くのルールが必要となる。
データパケットを中継するマシンに到達する全てのデー
タパケットについて、ルールに適用するか否か検査しな
ければならないため、ルールの数が多いほど、パケット
フィルタリングのパフォーマンスは低下する。

【０００５】また、ルールは、パケットフィルタリング
システムに記憶された順に評価されるため、例えば、あ
るデータパケットの通過を許可するルールの後に、同じ
パケットの通過を拒否するルールを追加しても、前者の
ルールが先に評価されてしまうため、後者のルールが無
駄になってしまう。そこで、すでに設定されている全て
のルールと新たに設定するルールとを比較した上で、適
切な位置に設定しなければならない。その比較、設定操
作は、ユーザが手動で行うことができるが、ルールを構
成する要素が複数あるため、設定ミスが発生する可能性
があり、登録されたルールの数が多いほど、ユーザにと
って困難である。

【０００６】また、設定ミスが、セキュリティホールに
なる可能性も高い。また、削除されないで長時間設定さ
れたままになっているルールは、既に評価されなくなっ
ている場合が多い。評価されないルールがいつまでも設
定されたままになっていることは、セキュリティホール
につながるため、ユーザが設定したルールを全て覚えて
おき、使用されなくなったルールを手動で消さなければ
ならず、手間がかかる。

【０００７】パフォーマンスの向上のための技術とし
て、従来、特開２０００−１７４８０８号公報に記載さ
れたものが知られている。これは、パケットフィルタリ
ングシステムに登録されたルールに優先度を設け、頻繁
に評価されるルールの優先度を高くし、ルールを優先度
順に並び替える方法である。

【０００８】また、特開平８−４４６４２号公報に記載
されたものも知られている。これは、コンピュータネッ
トワーク上の情報の流れを制御する、フレキシブルで容
易な保安方法の提案である。このシステムでは、パケッ
トフィルタの設定にＧＵＩを用い、ユーザが簡単な操作
で、その設定を行うことができるものである。

【０００９】これらの技術によって、パケットフィルタ
リングのパフォーマンスの向上や、設定の容易性は高ま
るが、新たにルールを設定する際には、やはり既に登録
されているルールと手動で比較した上で設定しなければ
ならないため、設定ミスによるセキュリティホールの発
生が起こる。また、設定したルールも、ユーザが消すま
で残ってしまうことになる。

【００１０】

【発明が解決しようとする課題】パケットフィルタリン
グシステムに新たなルールを設定する場合、既に登録さ
れたルールが増大した場合にも、新たなルールを正しく
設定し、また、長時間設定されているルールは残らず削
除することで、設定ミスによるセキュリティホールの発
生を防ぐ技術が必要とされる。

【００１１】本発明は、新たに設定するルールを自動的
に設定し、また、既に長時間設定されているルールを自
動的に削除することで、ユーザは、設定順序を意識する
必要が無くなり、また、設定ミスによるセキュリティホ
ールの発生を防ぐことを目的としている。

【００１２】

【課題を解決するための手段】上記課題を解決するため
に本発明は、２つ以上の通信ネットワークに接続される
通信装置が前記通信ネットワークを介して受信するデー
タパケットに対する前記通信装置から前記通信ネットワ
ークへの送信可否を少なくとも決定する際に使用する１
つ以上の既存ルールに対して、新たなルールを追加する
パケットフィルタリングルール設定方法であって、前記
１つ以上の既存ルールは所定の登録順序で設定されてお
り、かつ、それぞれ複数のルール要素を有し、前記１つ
以上の既存ルールのうち、前記新たなルールを一部また
は全て包含する関係にあるルールを検出ルールとして検
出する検出ステップと、前記検出ステップにより前記検
出ルールが検出された場合には、前記検出ルールの直前
に前記新たなルールを挿入し、前記検出ステップで前記
検出ルールが検出されない場合には、前記１つ以上の既
存ルールの最後に前記新たなルールを追加する挿入ステ
ップとを有し、前記検出ステップは、前記検出ルールが
検出されるまで、前記登録順序で前記１つ以上の既存ル
ールのうち１つを比較対象ルールとして設定する比較対
象ルール設定ステップと、前記比較対象ルールの各ルー
ル要素と前記新たなルールの各ルール要素とを所定の比
較順序で比較することにより、前記比較対象ルールが前
記新たなルールを一部または全て包含する関係にあるか
否かを判定する判定ステップと、前記判定ステップにお
いて、前記比較対象ルールが前記新たなルールを一部ま
たは全て包含する関係にあると判定された場合には、前
記比較対象ルールを前記検出ルールとして設定する検出
ルール設定ステップとをさらに有する。

【００１３】また、本発明における前記判定ステップに
おいては、各ルール要素を前記所定の比較順序で比較す
る際に、前記比較対象ルールが前記新たなルールを一部
または全て包含する関係にないと判明した時点で、前記
比較対象ルールの各ルール要素と前記新たなルールの前
記ルール要素との比較を中止する。

【００１４】また、本発明における前記挿入ステップに
おいては、前記新たなルールを前記既存ルールの直前に
挿入する際に、前記２つのルールが相反するルール要素
を有する場合には、前記２つのルールが相反するルール
要素を有する事を示す情報を出力する出力ステップと、
前記新たなルールと前記既存ルールとのいずれかを有効
なルールとするかを示す情報を入力する入力ステップを
さらに有し、前記入力ステップの入力が前記新たなルー
ルを有効にすることを示す情報の場合には前記既存ルー
ルの直前に前記新たなルールを挿入し、前記入力が前記
既存ルールを有効にすることを示す情報の場合には、前
記新たなルールを最後尾に挿入する。

【００１５】また、本発明における前記所定の比較順序
は、前記通信装置とネットワークとが接続されるインタ
フェース名、前記データパケットが流れるプロトコルの
特徴を示すプロトコル情報、前記データパケットが前記
通信装置を介して中継するパケットか、前記通信装置自
体への要求であるかを判断するチェイン情報、前記デー
タパケットの送信側及び受信側のアドレスとポート、さ
らに、前記データパケットが前記ルールに従って流れる
ことを許可するか否かを判断するターゲット情報の順に
設定されている。

【００１６】また、本発明における前記挿入ステップ
は、前記新たなルールを前記検出ルールの直前に挿入す
る際に、前記２つのルールが相反するルール要素を有す
る場合には、前記２つのルールが相反するルール要素を
有する事を示す情報を出力するステップと、前記新たな
ルールを有効にするか否かを示す情報を入力するステッ
プとをさらに有し、前記新たなルールを有効にするか否
かを示す情報が新たなルールを有効にすることを示す情
報の場合には前記検出ルールの直前に前記新たなルール
を挿入し、前記新たなルールを有効にするか否かを示す
情報が前記新たなルールを有効にしないことを示す情報
の場合には、１つ以上の既存ルールの最後に前記新たな
ルールを追加する。

【００１７】また、本発明において、前記既存ルール
は、前記ルールの有効時間を示す情報を有しており、前
記有効時間が過ぎた場合に、前記ルールを削除するステ
ップをさらに有する。

【００１８】

【発明の実施の形態】本発明を実現することが可能なネ
ットワーク体系を図１に示す。内部ネットワーク(企業
イントラネットや家庭内ＬＡＮ環境など)を内部ネット
ワーク１０１として示し、外部ネットワーク(インター
ネットなど)は外部ネットワーク１０３として示す。ま
た、前記データパケットを中継するマシン(ファイアウ
ォールなど)は通信装置１０２として示す。通信装置１
０２は、内部ネットワーク１０１と外部ネットワーク１
０３の間を全てのパケットが通過する通過点として構成
する。

【００１９】（実施の形態１）図２の構成は、本発明の
第１の実施の形態を示す図である。通信装置１０２は、
現時点までに設定された全てのルールを記憶するパケッ
ト送受信制御部２０６と、新たに設定するルールを取得
するルール受信部２０２と、既にパケット送受信制御部
２０６に登録された全てのルールを取得するルールリス
ト取得部２０３と、既に登録されたルールと新たに設定
するルールを比較解析するルール比較解析部２０４と、
ルールをパケット送受信制御部２０６へ設定するルール
設定部２０５から構成される。ユーザ２０１は、通信装
置１０２の外に存在する。

【００２０】ユーザ２０１は、新たにパケットフィルタ
のルールを設定する際、ルール受信部２０２へルールを
渡す。ルール受信部２０２で取得したルールは、ルール
比較解析部２０４へ渡される。ルール比較解析部２０４
では、ルールリスト取得部２０３を通して、パケット送
受信制御部２０６から現時点までに登録されている全て
のルールを取得する。次に、そのそれぞれのルールと、
新たに設定するルールより設定内容を参照し、パケット
が流れる通信路の範囲と、その通信路が許可であるか、
不許可であるかを比較する。この比較を行うことで、新
たに設定するルールを有効にするための最も適切な適用
順序を自動的に検出し、ルール設定部２０５へ制御を移
す。ルール設定部２０５では、その適用順に従って、新
たに設定するルールをパケット送受信制御部２０６へ設
定する。

【００２１】通信装置１０２の動作は以下の通りであ
る。データパケットが外部ネットワーク１０３より通信
装置１０２で受信される際、通信装置１０２はデータパ
ケットを取得する。

【００２２】データパケット３０１のフォーマットを図
３に示す。ここで示すデータパケットは、ＴＣＰ／ＩＰ
パケット、またはＵＤＰ／ＩＰパケットである。データ
パケット３０１は、ヘッダ部分３０７、および、データ
部分３０８を含んでいる。ヘッダ部分３０７は、送信元
アドレス３０２、あて先アドレス３０３、送信元ポート
３０４、あて先ポート３０５といったフィールドを含
む。その他のフィールドについては、一般的なＩＰパケ
ットと同様であるため、それぞれの詳細を省略する（参
考文献：“マスタリングＴＣＰ／ＩＰ基本編”、竹下隆
史、村山公保、荒井透、苅田幸雄 共著、オーム社（１
９９８））。

【００２３】送信元アドレス３０２は、データパケット
の送信元のＩＰアドレスを示す。あて先アドレス３０３
は、データパケット３０１のあて先のＩＰアドレスを示
す。送信元ポート３０４は、送信元のマシンのポート番
号を示す。ポート番号は、０から６５５３５までの整数
であり、一般に、個々のマシンで動作するアプリケーシ
ョンに対応している。例えば、ウェブサーバは一般にポ
ート番号８０と対応している。あて先ポート３０５は、
あて先のマシンのポート番号を示す。データ３０６は、
あて先のマシンで実行されるアプリケーションによって
使用されるデータそのものを示す。

【００２４】通信装置１０２によってデータパケットが
受信されると、パケット送受信制御部２０６は、それ自
身に登録されているルールを、受信データパケットに対
して登録されている順に適用する。パケット送受信制御
部２０６は、そのパケットに該当する要素を含む最初の
ルールを適用し、そのルールによって、そのパケットが
許可であるか、不許可であるか決定される。ルールがデ
ータパケットに対して適用されると、登録されている残
りのルールは無視される。

【００２５】パケット送受信制御部２０６に登録されて
いるルールの例を図４に示す。各ルールは順番号を持
ち、受信データパケットに対してルールを適用する順序
を示す。また、各ルールは、チェイン情報、ターゲット
情報、送信元アドレス、あて先アドレス、送信元ポー
ト、あて先ポート、プロトコル情報、インタフェース名
を示すフィールドを有する。各ルールは、ルールのフィ
ールドに該当するデータパケットが受信されると、その
ルールに記載されたターゲット情報に基づいて、許可、
あるいは、不許可の制限が行われる。受信データパケッ
トがルールに適用される場合は、データパケットのヘッ
ダ情報が、上記のフィールド内の定義された値の範囲内
に入る場合を言う。

【００２６】例えば、ルール番号１は、ＴＣＰプロトコ
ルを用いて受信されたパケットで、送信元インタフェー
ス名がｅｔｈ０であり、あて先インタフェース名が任意
であり、チェイン情報がＦＯＲＷＡＲＤであり、送信元
アドレスが、１９２．１６８．５．１０−１９２．１６
８．５．３０の範囲にあり、送信元ポートが２５−５０
の範囲にあり、あて先アドレス、あて先ポートが任意で
あるパケットを不許可（ＤＲＯＰ）する。ここで、チェ
イン情報において、ＦＯＲＷＡＲＤは、通信装置を介し
て内部ネットワークから外部ネットワーク、あるいは外
部ネットワークから内部ネットワークへデータを中継す
る場合に設定される。ほかに、ＩＮＰＵＴは、内部ネッ
トワーク、あるいは外部ネットワークから通信装置自身
への通信について規定する場合に設定される。また、Ｏ
ＵＴＰＵＴは、通信装置自身から、内部ネットワーク、
あるいは外部ネットワークへの通信について規定する場
合に設定される。

【００２７】ルール番号２は、ＴＣＰプロトコルを用い
て受信されたパケットで、送信元インタフェース名がｅ
ｔｈ１であり、あて先インタフェース名がｅｔｈ０であ
り、チェイン情報がＦＯＲＷＡＲＤであり、送信元アド
レスが、１９２．１６８．１．１−１９２．１６８．
１．５０の範囲にあり、送信元ポートが４０−８５の範
囲にあり、あて先アドレスが１９２．１６８．５．２０
−１９２．１６８．５．８０の範囲にあり、あて先ポー
トが２５であるパケットを許可（ＡＣＣＥＰＴ）する。

【００２８】ルール番号３は、ＴＣＰプロトコルを用い
て受信されたパケットで、送信元インタフェース名がｅ
ｔｈ１であり、あて先インタフェース名がｅｔｈ０であ
り、チェイン情報がＦＯＲＷＡＲＤであり、送信元アド
レスが、１９２．１６８．１．８０−１９２．１６８．
１．１００の範囲にあり、送信元ポートが８０−１００
の範囲にあり、あて先アドレスが１９２．１６８．５．
２０−１９２．１６８．５．５０の範囲にあり、あて先
ポートが８０であるパケットを許可（ＤＲＯＰ）する。

【００２９】ルールは登録された順に適用されるため、
ルール番号３は、ルール番号１、２のいずれも着信デー
タパケットに適合しない場合に適用される。また、ター
ゲット情報は、ルールに適合するデータパケットを許
可、不許可するだけでなく、それら以外の別の処理をさ
せることも指定できる。

【００３０】こうして、受信データパケットは、パケッ
トフィルタリングシステムに既に登録されたルールに該
当するまで、順次適用する。該当したルールが許可の場
合は、内部ネットワーク１０１へ送信することが許可さ
れる。

【００３１】上記のような動作をするパケットフィルタ
リングシステムにおいて、既に図４に示されるようなル
ールが登録されていると仮定し、新たにルール追加する
場合、その内容によっては、従来の技術で述べた通り、
そのルールが無効になってしまう場合がある。そこで、
本発明では、新たに設定するルールを既にパケットフィ
ルタリングシステムに登録されているルールと比較する
方法を考案し、これを自動的に行うことで、ユーザは設
定順序を意識する必要無く設定できる。

【００３２】上記方法に基づいて、ルール比較解析部２
０４の動作を、図６に示すフローチャートを用いて説明
する。新たにルールを設定する際、新たなルールの設定
要求（ステップ６０１）を行い、ルール比較解析部２０
４は、ルールリスト取得部２０３を介して、パケット送
受信制御部２０６から、既に登録済みの全てのルールを
取得する（ステップ６０２）。以下、既に設定済みのル
ールを旧設定ルールと表記する。

【００３３】次に、新たに設定するルールと、パケット
送受信制御部２０６に既に登録された最も先に評価され
るルールとを比較する（ステップ６０３）。比較要素
は、インタフェース名（ステップ６０４）、プロトコル
情報（ステップ６０５）、チェイン情報（ステップ６０
６）、アドレス（ステップ６０７）、ポート（ステップ
６０８）、ターゲット情報（ステップ６０９）である。

【００３４】最初にインタフェース名（ステップ６０
４）の比較を行う。これは、新たに設定するルールと、
旧設定ルールに設定されているインタフェース名が一致
するか否かを比較する。不一致の場合は、比較を終了
し、次にパケット送受信制御部２０６に登録されている
ルールに着目する（ステップ６１０）。着目するルール
が存在する場合は、そのルールと新しく設定するルール
との比較を開始する（ステップ６１１）。着目するルー
ルが存在しない場合は、登録されているルールを全て比
較したことになるため、新しいルールを登録済みのルー
ルの最後に追加し（ステップ６１５）終了する。インタ
フェース名が一致する場合は、次のプロトコル情報（ス
テップ６０５）の比較へ進む。

【００３５】プロトコル情報（ステップ６０５）の比較
では、新たに設定するルールと旧設定ルールに設定され
ているプロトコル情報が一致するか否かを比較する。不
一致の場合は、比較を終了し、次にパケット送受信制御
部２０６に登録されているルールに着目する（ステップ
６１０）。着目するルールが存在する場合は、そのルー
ルと新しく設定するルールとの比較を開始する（ステッ
プ６１１）。着目するルールが存在しない場合は、登録
されているルールを全て比較したことになるため、新し
いルールを登録済みのルールの最後に追加し（ステップ
６１５）終了する。プロトコル情報が一致する場合は、
次のチェイン情報（ステップ６０６）の比較へ進む。

【００３６】チェイン情報（ステップ６０６）の比較で
は、新たに設定するルールと旧設定ルールに設定されて
いるチェイン情報が一致するか否かを比較する。不一致
の場合は、比較を終了し、次にパケット送受信制御部２
０６に登録されているルールに着目する（ステップ６１
０）。着目するルールが存在する場合は、そのルールと
新しく設定するルールとの比較を開始する（ステップ６
１１）。着目するルールが存在しない場合は、登録され
ているルールを全て比較したことになるため、新しいル
ールを登録済みのルールの最後に追加する（ステップ６
１５）。チェイン情報が一致する場合は、次のアドレス
（ステップ６０７）の比較へ進む。

【００３７】アドレス（ステップ６０７）の比較では、
新たに設定するルールと旧設定ルールに設定されてい
る、データパケットを送信する側、受信する側のアドレ
スが一致、または、片方のルールのアドレスの範囲が、
もう一方のルールのアドレスの範囲に完全に含まれる
か、一部含まれるかを比較する。具体的には、図７で示
す（ａ）〜（ｇ）のパターンが挙げられる。ここで、図
７において、＆＆は右辺と左辺の両方を同時に満たすこ
とを示す。このうち、アドレスが一致する可能性がある
場合は、アドレスが同じか、一部重複する場合で、
（ａ）〜（ｅ）であり、（ｆ）、（ｇ）は無視できる。
（ａ）〜（ｅ）を全て満たす条件式は、以下のように表
せる。

【００３８】 (NewIpMax ≧ NowIpMin) && (NowIpMax ≧ NewIpMin) ここで、上記変数の意味は以下の通りである。

【００３９】NowIpMin…旧設定ルールに設定されている
アドレスの最小値 NowIpMax…旧設定ルールに設定されているアドレスの最
大値 NewIpMin…新しく登録するルールのアドレスの最小値 NewIpMax…新しく登録するルールのアドレスの最大値 上記条件を満たす場合、次のポートの比較（ステップ６
０８）へ進む。満たさない場合は、比較を終了し、次に
パケット送受信制御部２０６に登録されているルールに
着目する（ステップ６１０）。着目するルールが存在す
る場合は、そのルールと新しく設定するルールとの比較
を開始する（ステップ６１１）。着目するルールが存在
しない場合は、登録されているルールを全て比較したこ
とになるため、新しいルールを登録済みのルールの最後
に追加し（ステップ６１５）終了する。

【００４０】次に、ポート（ステップ６０８）を比較す
る。ポート（ステップ６０８）の比較では、新たに設定
するルールと旧設定ルールに設定されている、データパ
ケットを送信する側、受信する側のポートが一致、また
は、片方のルールのポートの範囲が、もう一方のルール
のポート（ステップ６０８）の範囲に完全に含まれる
か、一部含まれるかを比較する。具体的には、ポート
（ステップ６０８）が一致するか、一部重複する条件
は、アドレスの場合と同様であるため、以下のように表
せる。

【００４１】(NewPortMax≧NowPortMin) && (NowPortMa
x≧NewPortMin) ここで、上記変数の意味は以下の通りである。

【００４２】NowPortMin…旧設定ルールに設定されてい
るポートの最小値 NowPortMax…旧設定ルールに設定されているポートの最
大値 NewPortMin…新しく登録するルールのポートの最小値 NewPortMax…新しく登録するルールのポートの最大値 上記条件を満たす場合、ターゲット情報（ステップ６０
９）へ進む。満たさない場合は、比較を終了し、次にパ
ケット送受信制御部２０６に登録されているルールに着
目する（ステップ６１０）。着目するルールが存在する
場合は、そのルールと新しく設定するルールとの比較を
開始する（ステップ６１１）。着目するルールが存在し
ない場合は、登録されているルールを全て比較したこと
になるため、新しいルールを登録済みのルールの最後に
追加し（ステップ６１５）終了する。

【００４３】次の、ターゲット情報（ステップ６０９）
の比較では、ターゲット情報が一致する場合は、着目し
たルールと新しく設定するルールの一部、または全てが
同じ内容になるため、着目したルールの後に新しいルー
ルを設定しても、新しいルールの一部、または全てが参
照されない。そこで、新しく設定するルールが参照され
るようにするため、検出した旧設定ルールの１つ前に新
しいルールを挿入する（ステップ６１３）。ターゲット
情報が異なる場合は、データパケットが通過する同じ経
路に対して、異なった動作をさせることになるため、新
しい設定が無効になる可能性がある。この場合、新しい
ルールを設定するか否かをユーザに問い（ステップ６１
２）、ユーザが旧設定ルールのままで良いと判断した場
合は、新しいルールを設定しない（ステップ６１４）。
ユーザが設定を希望する場合は、着目した旧設定ルール
の１つ前に新しいルールを挿入することで、必ず新しい
ルールが適用されるようにする。

【００４４】例えば、図５で示すルールを新たに追加す
る場合、図６に示すフローチャートに従って新たなルー
ルと旧設定ルールを比較する。ルール番号１との比較で
は、送信インタフェース名が異なり、問題が起こる可能
性が無いため、ルール番号２との比較へ移行する。ルー
ル番号２との比較では、インタフェース名、プロトコル
情報、チェイン情報、ポート番号は一致するが、送信元
アドレスが異なり、問題が起こる可能性が無いため、ル
ール番号３との比較へ移行する。ルール番号３との比較
では、インタフェース名、チェイン情報、プロトコル情
報が一致する。また、新たに設定する送信元アドレス
が、旧設定ルールのそれと一部重複するため、図７の
（ｅ）に該当する。さらに、新たに設定するあて先ポー
トの一部が旧設定ルールのそれと一部重複しているた
め、図７の（ｂ）に該当する。また、ターゲット情報が
異なるため、新たに設定するルールを通常通り、ルール
番号３の後方に設定してしまうと、送信元アドレス１９
２．１６８．５．８５−１９２．１６８．５．１００の
範囲より来た受信データパケットはルール番号３に従っ
て不許可されてしまい、新たに設定したルールが適用さ
れない。そこで、ユーザに有無を問うことにより、ユー
ザが新たに設定するルールを全て有効にしたい場合は、
そのルールをルール番号３の手前に挿入する。この操作
により、ユーザの意思に基づいて新たに設定したルール
を有効にすることが可能である。

【００４５】実施の形態１では、本発明の実施の１例と
して、ＴＣＰ／ＩＰパケットについて述べたが、ＴＣＰ
／ＩＰパケット、ＵＤＰ／ＩＰパケット以外のパケット
についても、要素のとり方によって、本発明を適用する
ことが可能である。

【００４６】（実施の形態２）図８は、本発明の第2の
実施の形態を示す図である。通信装置１０２は、現時点
までに設定された全てのルールを記憶するパケット送受
信制御部８０４と、新たに設定するルールを取得するル
ール受信部８０２と、ルール受信部８０２から受信した
ルールを有効時刻（以下で説明）とともに記憶し、有効
時刻によってパケット送受信制御部８０４から削除する
ルール記憶部８０３と、ルール記憶部８０３へ定期的に
信号を送る信号送出部８０５から構成される。ユーザ８
０１は、通信装置１０２の外に存在する。

【００４７】ユーザ８０１は、最初にパケットフィルタ
のルールを設定する際、ルール記憶部８０３に対して、
ルールを自動的に削除してよい時間（有効時間）を登録
する。有効時間は秒単位で表し、新たにルールを設定す
る際、設定後３０分経過した後、削除したい場合は、有
効時間を１８００秒とする。その後、ユーザ８０１は、
新たにパケットフィルタのルールを設定する際、ルール
受信部８０２へルールを渡す。ルール受信部８０２で取
得したルールは、ルール記憶部８０３で記憶された後、
パケット送受信制御部８０４へ設定する。ルール記憶部
８０３では、現時刻に有効時間を加えた時刻（有効時
刻）を計算し、有効時刻の早い順になるようにルールを
記憶する。信号送出部８０５では、定期的にルール記憶
部へ信号を送る。ルール記憶部では、信号を受信した時
刻が、有効時刻と等しいか、過ぎているか否かを、ルー
ル記憶部に登録されている全てのルールにおいて検索
し、それに該当するルールを削除する。

【００４８】ルール記憶部（８０２）の詳細を図９のフ
ローチャートを用いて述べる。図９（ａ）において、ユ
ーザは、あらかじめ、有効時間を登録しておく（ステッ
プ９０１）。ユーザが新たなルールを追加（ステップ９
０２）後、そのルールは有効時刻とともにルール記憶部
へ登録される。登録の際、ルール記憶部の中で、有効時
刻の早い順にルールを並べ替える（ステップ９０３）。

【００４９】図９（ｂ）において、信号送出部は、終了
の信号を受信するまで（ステップ９０４）定期的に信号
をルール記憶部８０３へ送信する（ステップ９０５）。
図９（ｃ）において、ルール記憶部８０３は、信号送信
部９０２より定期的に信号を受信（ステップ９０６）
し、パケットフィルタリングシステムに最初に登録され
たルールを取得（ステップ９０７）し、その時点での現
時刻とルールに登録された有効時刻を比較（ステップ９
０８）する。現時刻が有効時刻と等しいか、有効時刻を
過ぎたルールは削除（ステップ９０９）し、次に登録さ
れているルールを取得する（ステップ９１０）。次のル
ールが取得できれば、再び有効時刻と現時刻を比較する
（ステップ９０８）。次のルールが取得できない場合
は、比較を終了する。取得したルールの現時刻が有効時
刻を過ぎていない場合は、それ以降に登録されているル
ールは有効時刻を過ぎないため、比較を終了する。

【００５０】（実施の形態３）上記実施の形態１の発明
へ、実施の形態２の発明を組み込むことによって、新た
に設定するルールを自動的に設定し、さらに、既に登録
されたルールのうち、古いものを自動的に削除すること
が可能となる。

【００５１】

【発明の効果】本発明により、ユーザは、新たにパケッ
トフィルタのルールを設定する際、既に設定されたルー
ルとの設定順序を意識する必要が無くなる。また、既に
設定されたルールは、時間によって削除されるため、古
いルールは自動的に全て削除される。これにより、ユー
ザの設定ミスによるセキュリティホールを防ぐことが可
能となる。

【図面の簡単な説明】

【図１】本発明を実現することが可能なネットワーク体
系図

【図２】本発明の実施の形態１の構成図

【図３】データパケットのフォーマット図

【図４】パケットフィルタリングシステムに登録されて
いるルールの例を示す図

【図５】新たに設定を行うルールの例を示す図

【図６】本発明の実施の形態１におけるフローチャート

【図７】アドレスの比較方法を示す図

【図８】本発明の実施の形態２の構成図

【図９】本発明の実施の形態２におけるフローチャート

【符号の説明】

１０１ 内部ネットワーク １０２ 通信装置 １０３ 外部ネットワーク ２０１ ユーザ ２０２ ルール受信部 ２０３ ルールリスト取得部 ２０４ ルール比較解析部 ２０５ ルール設定部 ２０６ パケット送受信制御部 ３０１ データパケット ３０２ 送信元ＩＰアドレス ３０３ あて先ＩＰアドレス ３０４ 送信元ポート ３０５ あて先ポート ３０６ データ ３０７ ヘッダ部分 ３０８ データ部分 ６０１ 新たなルールの設定要求 ６０２ 既に登録済みの全てのルールの取得 ６０３ 新たなルールと登録済みの最も先に評価される
ルールの比較 ６０４ インタフェース名の比較 ６０５ プロトコル情報の比較 ６０６ チェイン情報の比較 ６０７ アドレスの比較 ６０８ ポートの比較 ６０９ ターゲット情報の比較 ６１０ 登録済みの次のルールに着目 ６１１ 新しいルールと登録済みの次に評価されるルー
ルの比較 ６１２ 設定の有無をユーザに問う ６１３ 検出したルールの前に新たなルールを挿入 ６１４ 設定しない ６１５ 新しいルールを登録済みの全てのルールの最後
に追加 ８０１ ユーザ ８０２ ルール受信部 ８０３ ルール記憶部 ８０４ パケット送受信制御部 ８０５ 信号送信部 ９０１ ユーザによる有効時間の登録 ９０２ 新しいルールの追加 ９０３ 有効時刻順にルールを記憶 ９０４ ルール記憶部へ信号送信 ９０５ 終了の信号を受信 ９０６ 信号送出部より信号受信 ９０７ 最初に登録されたルールを取得 ９０８ 有効時刻と現時刻との比較 ９０９ ルールの削除 ９１０ 次に登録されたルールを取得

フロントページの続き (72)発明者 久保田 幸司 大阪府門真市大字門真1006番地 松下電器 産業株式会社内 (72)発明者 伊藤 由起子 大阪府門真市大字門真1006番地 松下電器 産業株式会社内 Ｆターム(参考） 5B089 GA04 KA12 KA17 KB13 KC14 KC15 5K030 GA11 HA08 HD01 KA05 LB05 LD20 LE11

Claims (6)

【特許請求の範囲】
1. 【請求項１】 ２つ以上の通信ネットワークに接続され
   る通信装置が前記通信ネットワークを介して受信するデ
   ータパケットに対する前記通信装置から前記通信ネット
   ワークへの送信可否を少なくとも決定する際に使用する
   １つ以上の既存ルールに対して、新たなルールを追加す
   るパケットフィルタリングルール設定方法であって、 前記１つ以上の既存ルールは所定の登録順序で設定され
   ており、かつ、それぞれ複数のルール要素を有し、 前記１つ以上の既存ルールのうち、前記新たなルールを
   一部または全て包含する関係にあるルールを検出ルール
   として検出する検出ステップと、 前記検出ステップにより前記検出ルールが検出された場
   合には、前記検出ルールの直前に前記新たなルールを挿
   入し、前記検出ステップで前記検出ルールが検出されな
   い場合には、前記１つ以上の既存ルールの最後に前記新
   たなルールを追加する挿入ステップとを有し、 前記検出ステップは、 前記検出ルールが検出されるまで、前記登録順序で前記
   １つ以上の既存ルールのうち１つを比較対象ルールとし
   て設定する比較対象ルール設定ステップと、 前記比較対象ルールの各ルール要素と前記新たなルール
   の各ルール要素とを所定の比較順序で比較することによ
   り、前記比較対象ルールが前記新たなルールを一部また
   は全て包含する関係にあるか否かを判定する判定ステッ
   プと、 前記判定ステップにおいて、前記比較対象ルールが前記
   新たなルールを一部または全て包含する関係にあると判
   定された場合には、前記比較対象ルールを前記検出ルー
   ルとして設定する検出ルール設定ステップとをさらに有
   することを特徴とするパケットフィルタリングルール設
   定方法。
2. 【請求項２】 前記判定ステップにおいて、各ルール要
   素を前記所定の比較順序で比較する際に、前記比較対象
   ルールが前記新たなルールを一部または全て包含する関
   係にないと判明した時点で、前記比較対象ルールの各ル
   ール要素と前記新たなルールの前記ルール要素との比較
   を中止することを特徴とする請求項１記載のパケットフ
   ィルタリングルール設定方法。
3. 【請求項３】 前記挿入ステップにおいて、前記新たな
   ルールを前記既存ルールの直前に挿入する際に、前記２
   つのルールが相反するルール要素を有する場合には、前
   記２つのルールが相反するルール要素を有する事を示す
   情報を出力する出力ステップと、前記新たなルールと前
   記既存ルールとのいずれかを有効なルールとするかを示
   す情報を入力する入力ステップをさらに有し、 前記入力ステップの入力が前記新たなルールを有効にす
   ることを示す情報の場合には前記既存ルールの直前に前
   記新たなルールを挿入し、前記入力が前記既存ルールを
   有効にすることを示す情報の場合には、前記新たなルー
   ルを最後尾に挿入することを特徴とする請求項１または
   ２に記載のパケットフィルタリングルール設定方法。
4. 【請求項４】 前記所定の比較順序は、前記通信装置と
   ネットワークとが接続されるインタフェース名、前記デ
   ータパケットが流れるプロトコルの特徴を示すプロトコ
   ル情報、前記データパケットが前記通信装置を介して中
   継するパケットか、前記通信装置自体への要求であるか
   を判断するチェイン情報、前記データパケットの送信側
   及び受信側のアドレスとポート、さらに、前記データパ
   ケットが前記ルールに従って流れることを許可するか否
   かを判断するターゲット情報の順に設定されていること
   を特徴とする請求項１から３のいずかに記載のパケット
   フィルタリングルール設定方法。
5. 【請求項５】 前記挿入ステップは、前記新たなルール
   を前記検出ルールの直前に挿入する際に、前記２つのル
   ールが相反するルール要素を有する場合には、前記２つ
   のルールが相反するルール要素を有する事を示す情報を
   出力するステップと、前記新たなルールを有効にするか
   否かを示す情報を入力するステップとをさらに有し、前
   記新たなルールを有効にするか否かを示す情報が新たな
   ルールを有効にすることを示す情報の場合には前記検出
   ルールの直前に前記新たなルールを挿入し、前記新たな
   ルールを有効にするか否かを示す情報が前記新たなルー
   ルを有効にしないことを示す情報の場合には、１つ以上
   の既存ルールの最後に前記新たなルールを追加すること
   を特徴とする請求項１から４のいずれかに記載のパケッ
   トフィルタリングルール設定方法。
6. 【請求項６】 前記既存ルールは前記ルールの有効時間
   を示す情報を有しており、前記有効時間が過ぎた場合
   に、前記ルールを削除するステップをさらに有すること
   を特徴とする請求項１から５のいずれかに記載のパケッ
   トフィルタリングルール設定方法。