JP2005524285A - データフィルタ群を管理するためのデバイス - Google Patents

Abstract

本発明は、１次データを受信し、制御手段５を介して、１次規則群に基づいて特定の処理操作を適用した後に前記１次データを伝送することができるコンピュータサーバに組み込まれたデータ処理デバイス１に関する。前記デバイス１は、１次メタ規則と呼ばれる少なくとも１つの１次規則のセットを、パラメータ化できる形で、対応する１次識別子に対して格納する第１のテーブルＴ１と、制御手段５に結合され、サーバ２による２次データの受信後、制御手段５によって送られた運用パラメータを表す補助データを受け取ると、第１のテーブルＴ１から複数の１次識別子の少なくとも１つを選択し、その１次識別子に補助データを関連付けて、特定の処理操作を定義するようにする管理手段８とを含む。

Description

本発明の分野は、データ処理の分野であり、より詳細には、別の公共ネットワークまたは私設ネットワーク、あるいはユーザ端末装置に接続された公共ネットワークまたは私設ネットワークにおけるあるポイントでデータを濾過することの分野である。

データの濾過は、一般に、ファイアウォールと呼ばれる処理デバイスを備えたデータ処理サーバ群によって提供される。ファイアウォールは、通常、私設（つまり内部）ローカルエリアネットワーク（ＬＡＮ）、および孤立したユーザ端末装置を、インターネットなどの公共（つまり外部）ワイドエリアネットワーク（ＷＡＮ）を一般に起点とする外部の攻撃または侵入から保護することを目的とする。また、ファイアウォールは、私設ネットワークのユーザによる公共ネットワークへのアクセスを制限し、かつ／または内部ネットワークおよび外部ネットワークからサーバを保護するのにも使用することができる。

ファイアウォールは、前述した諸機能の少なくとも１つを提供するように、つまり、ファイアウォールが導入されているサーバによって受信されるデータパケットを濾過することができるように構成されなければならない。フィルタ群を定義する１次（つまり基本）規則が、一般に、この目的で使用される。したがって、ファイアウォールを構成することは、（数学的な意味で）順序付き配列のアクティブなフィルタ群をファイアウォールに適用することに存する。データパケットを受信すると、パケットの特性が、順序付き配列のフィルタ群の特性と比較され、フィルタ群の特性に適合する特性を有するパケットだけが、通過することを許される。

ファイアウォールを構成することは、ファイアウォールが属するネットワークの管理者によって手動で行われる困難な作業である。この静的な手動の介入のため、もたらされる構成は、機能的には正しいが、不適切である、または最適ではない可能性がある。構成は、誤っている可能性さえある。これらすべてのケースで、サーバの性能は一般に低下する。

ネットワークは頻繁に進化するので、ファイアウォールは、定期的に再構成されなければならず、これにより、誤りまたは不適切さのリスクが高まるだけでなく、ネットワーク管理者の時間が多大に奪われる。

このため、本発明の１つの目的は、ネットワーク、またはネットワークによって提供されるサービスのパラメータの変更および進化、ならびに予測できないイベントをリアルタイムで考慮に入れるファイアウォールフィルタ管理デバイスを提案することにより、前述した欠点の一部またはすべてを克服することである。

この目的で、本発明は、１次データ（つまりデータパケット）を受信し、ファイアウォールタイプの制御手段によって１次規則に基づいて専用処理を適用した後、前記１次データを伝送するようになされたデータ処理サーバに組み込まれるようになされたデータ処理デバイスを提案する。

デバイスは、ｉ）「１次メタ規則」と呼ばれる１次規則セットの「定義／原型（ｐｒｏｔｏｔｙｐｅ）」をパラメータ化できる形で、１次識別子に対応する関係で格納する（各１次メタ規則、つまりセットは、少なくとも１つの１次規則を含む）第１のテーブルと、ｉｉ）制御手段に結合され、第１のテーブルの中にある一部の（ｃｅｒｔａｉｎｅ）第１識別子を選択することができ、サーバによる２次データの受信後、制御手段によって送られた運用パラメータを表す補助データを受け取ると、第１のテーブルの中にある複数の１次識別子の少なくとも１つを選択し、補助データをその１次識別子に関連付けて専用プロセスを定義するようになされた管理手段とを含むことを特徴とする。

上記の文脈で、「補助データ」という表現は、サーバによる２次データの受信後、ファイアウォールなどの制御手段において実施されるべきメタ規則の１次規則群の運用パラメータに割り当てられなければならないデータ（または値）を意味する。また、上記の文脈で、「２次データ」という表現は、制御手段の再構成の要求として内容が解釈されるサーバ（またはサーバの制御手段）によって受信されるあらゆる情報を意味する。この表現は、１次データパケットの中に含まれるデータ（またはフィールド）、またはネットワークにおいて生じているイベント、例えば、カードの追加を指していることが可能である。

したがって、管理手段は、制御手段を再構成することを、再構成が必要であることが明らかになるたびに毎回、動的に、人間の介入なしに、第１のテーブルの中で定義され、格納されている１次メタ規則、およびサーバによって供給された情報（補助データ）に基づいて行うことができる。

本発明の別の特徴によれば、デバイスは、補助データに関連する少なくとも１つの選択された（つまりアクティブ化された）、（つまり、補助データによって表される運用パラメータで制御手段において適用されるメタ規則を示す）１次識別子にそれぞれが対応する関係で２次識別子群が格納される、管理手段がアクセスすることができる（好ましくは、第１のテーブルと同様に管理手段に組み込まれた）第２のテーブルを含むことが可能である。この場合、管理手段が、補助データを受け取ると、対応する選択された２次識別子群が第２のテーブルの中に既に存在するかどうかを判定して、専用プロセスを適応させることを目的とする新たな補助データを２次識別子に関連付けるようにすることができることが有利である。これは、構成全体ではなく、構成の変更される必要のある部分だけが変更されることを意味する。

第２のテーブルの中にある一部の選択された１次メタ規則群をグループ化して、補助データに関連する２次識別子によってやはり表される２次メタ規則群にすることができる。

２次識別子は、１次識別子と同一であっても、そうでなくてもよい。例えば、１次メタ規則は、ファイアウォールにおいて単一のパラメータセット（つまり、補助データセット）の下でだけ実行される場合、第１のテーブルと第２のテーブルの中で同一の（１次）識別子を有することが可能である。反対に、１次メタ規則は、ファイアウォールにおいて異なるパラメータセットの下で実行される場合、１次識別子とは異なる２次識別子が付いていなければならない。

これらの（１次）メタ規則群および「超」（２次）メタ規則群により、（再）構成時間がさらに短くなる。

管理手段は、好ましくは、１つまたは複数の１次メタ規則または２次メタ規則との補助データの関連を管理することをそれぞれが目的とする複数の管理サブモジュールを含み（重要なことは、サブモジュール群が、担当する１次メタ規則群または２次メタ規則群を分割することである）、補助データを受け取ると、複数の管理サブモジュールのいずれがその補助データに対応するかを判定するようになされている。これにより、再構成が容易になり、短くなる。

さらに、管理手段は、ある補助データを受け取ると、第２のテーブルから格納されている複数の２次識別子の少なくとも１つを削除するようになされていることが可能である（これは、制御手段のレベルで１次メタ規則または２次メタ規則を選択解除する、つまり非アクティブ化することに相当する）。同様に、管理手段は、サーバによって通信された補足的なデータを受け取ると、１次メタ規則または２次メタ規則、あるいは１次メタ規則または２次メタ規則に関連する第２のテーブルの中の補助データを適応させる、削除する、または変更するようになされていることも可能である。

さらに、管理手段およびテーブルは、好ましくは、サーバに備わり、制御手段を含むファイアウォールを管理する「メタファイアウォール」の一部である。

また、本発明は、前述したタイプのデバイスを備えたファイアウォールも提供する。

本発明は、データを動的に処理する方法をさらに提供し、方法は、１次規則群に依拠してデータ処理サーバによって受信された１次データに専用プロセスを適用して、受信された１次データが処理されてから、サーバによって伝送されるようにすることに存する。

この方法は、「１次メタ規則」と呼ばれる少なくとも１つの１次規則のセットが、パラメータ化できる形で、１次識別子群に対応する関係で第１のテーブルの中に格納され、２次データの受信後、サーバによって送られた運用パラメータを表す補助データが受け取られると、第１のテーブルの中の複数の１次識別子の少なくとも１つが選択され、補助データが１次識別子に関連付けられて専用プロセスが定義される予備ステップを含むことを特徴とする。

本発明の別の特徴によれば、予備ステップ中、補助データに関連する少なくとも１つの選択された１次識別子にそれぞれが対応する関係にある２次識別子群が、第２のテーブルの中に格納される。

第２のテーブルの中の一部の１次メタ規則をグループ化して、２次識別子群によって表される２次メタ規則群にすることができる。

本発明の別の特徴によれば、第１のテーブルの中の１次メタ規則群または２次メタ規則群の選択と、選択された１次メタ規則群または２次メタ規則群を表す２次識別子に関連する第２のテーブルの中の補助データの変更は、並行して実行される。

さらに、方法は、ある補助データが受け取られた場合、第２のテーブルの中に格納されている１次メタ規則群または２次メタ規則群の少なくとも１つを削除することができる。同様に、１次メタ規則群または２次メタ規則群は、サーバによって通信された補足データが受け取られると、第２のテーブルに追加する、第２のテーブルから削除する、または第２のテーブルの中で変更することができる。

本発明によるデバイスおよび方法は、公共遠隔通信ネットワークおよび私設遠隔通信ネットワークにおけるデータの濾過に特に、ただし、排他的にではなく適している。

本発明のその他の特徴および利点は、以下の詳細な説明を読み、添付の図面を考査することで明白となる。

添付の図面は、大方、特定の性質のものであり、したがって、本発明の説明の一部を成すとともに、必要な場合、本発明を定義することに寄与している。

以下の説明は、図１に示すとおり、公共（つまり外部）ネットワーク３と私設（つまり内部）ネットワーク４の間の接続ノード（つまりポイント）に設置されたデータ処理サーバ２に組み込まれたデータ処理デバイス１を参照する。ただし、サーバは、他の多くの場所に、例えば、サービスプロバイダまたはケーブル事業者のところに設置されることも可能である。

例えば、公共ネットワーク３は、インターネットであり、私設ネットワーク４は、多数のユーザ端末装置に接続されたローカルエリアネットワーク（ＬＡＮ）である。

もちろん、デバイス１は、サーバ２に接続される補助装置タイプの外部ユニットに組み込まれることも可能であり、その場合、サーバ２は、外部ネットワーク（インターネット）に直接に接続される。

図示する例では、サーバは、着信データパケットと発信（１次）データパケットが、実質的に同一であるという意味で、「ルータ」タイプである。例えば、サーバ２は、音声データを交換するようになされている。例えば、サーバ２は、インターネット網４を介して通信する複数の電子回路カードを備えている。それらのカードの１つは、外部ネットワーク３（この場合、インターネット）にアクセスし、したがって、ＷＡＮインタフェース（ＡＤＳＬ、ＩＳＤＮ、イーサネット（登録商標））を組み込んでいる。各カードは、内部ネットワークのその他のデータ処理ハードウェアを所与として、特に、内部ネットワーク４上で生じさせることができるトラフィックのタイプに関して、独自の特権を有する。

サーバ２は、好ましくは、構成可能な、またはパラメータ化できるサービス、例えば、電子メールモジュール、イントラネットモジュール、仮想プライベートネットワーク（ＶＰＮ）モジュールなどもホストする。

サーバ２は、当業者には知られており、入出力インタフェース６を介して外部ネットワーク３から、または入出力インタフェース７を介して内部ネットワーク４から受信された１次データパケットを濾過することを主に目的とするファイアウォール５も備えている。

したがって、ファイアウォール５は、ユーザ端末装置Ｔｉ、または、この場合、私設ネットワーク４を外部ネットワーク３を起点とする侵害または攻撃から保護する。

サーバ２によって受信された１次データパケットに対するパラメータ化できる基本（つまり１次）規則群の適用に基づくという条件付きで、あらゆるタイプの濾過を構想することができる。濾過は、ネットワーク全体に広く適用しても、ネットワークの諸部分に適用しても、あるいは各ユーザに適合させてもよい。各ユーザに適合される場合、濾過は、ユーザの認証にも同様に適用される。

もちろん、ファイアウォールは、濾過以外の諸機能を提供するように構成することもできる。ファイアウォールは、特に、ユーザ端末装置群と外部ネットワークの間で交換される一部の情報を格納することができる。これは、一般に、以前に受け入れられた接続の座標（ユーザアドレス、様々なＷｅｂサイト上で訪れたページのアドレス（例えば、ＵＲＬ）、訪れた日時）を適切なメモリの中に保存することに関わる。また、ファイアウォールは、例えば、ファイアウォールが、アプリケーションレイヤの諸要素に応じてパケットを受け入れるか、または拒否するかを決めることができるように、ファイアウォールのＯＳＩモデルのより高いレベルにデータパケット解析を供給するように構成することもできる。さらに、ファイアウォールは、交換される一部のパケットのトレースを保持するように（「ＬＯＧ」モード）、かつ／または一部のパケットの内容を変更するように（ネットワークアドレス変換（ＮＡＴ）モード、例えば、内部ネットワークのＩＰアドレスをマスクするために）構成することもできる。また、ファイアウォールは、ウイルスを検出するように構成することもできる。

図示する例では、ファイアウォール５は、本発明によるデバイス１の一部分を形成している。しかし、デバイス１は、代わりに、ファイアウォールの構成を動的に管理し、制御するために、「在来の（ｎａｔｉｆ）」ファイアウォールに単に結合することもできる。

次に、本発明の処理デバイス１の一例を図２を参照して詳細に説明する。

前述したとおり、この例では、デバイス１は、第１に、ファイアウォール５を形成する制御モジュールを含む。このファイアウォールは、標準の（つまり在来の）ファイアウォールと実質的に同一であり、詳細に説明することはしない。特に、ファイアウォールの階層構造は、当業者が完全に熟知しているので、以下の説明では無視する。

ファイアウォールモジュール５は、パラメータ化することができる基本（つまり１次）規則群に依拠して定義される専用処理（つまり濾過）動作を１次データパケットに適用するために、自らの入出力インタフェース６および７のいずれかを介してサーバ２から１次データパケットを受信することを目的とする。

より正確には、ファイアウォールモジュール５は、アクティブなフィルタ群を定義するパラメータ化できる１次規則群の順序付き配列を導入することによって最初に構成され、送信元アドレスおよび宛先アドレス、入力ネットワークアドレスおよび出力ネットワークアドレス、ＴＣＰ、ＵＤＰ、またはＩＣＭＰなどのＩＰ上の交換プロトコル（例えば、インターネットの場合）などのパケットの独自の特性に応じて、あるいはＴＣＰおよびＵＤＰの場合の送信元ポートおよび宛先ポート、またはＩＣＭＰの場合のパケットタイプなどの交換プロトコルに適合したパラメータに応じて、順次に、秩序正しい形でパケットに前記フィルタ群が適用されることが可能であるようになる。

ファイアウォールの構成は、一般に、デフォルトですべてのトラフィックを禁止しなければならず、アクティブなフィルタ群は、許可されなければならないトラフィックのあるサブセットだけを許可しなければならない。例えば、内部ネットワークをインターネットに接続するルータは、以下の単純化された規則群を適用することができる。すなわち、
・以前に受け入れられたパケットに関連するパケットを受け入れる
・内部ネットワーク（ＬＡＮ）に由来し、インターネットに向かうパケットは、例えば、ＨＴＴＰ（ＴＣＰ／８０）タイプまたはＨＴＴＰＳ（ＴＣＰ４４３）タイプである場合、受け入れる
・ＬＡＮに由来し、ルータに向かうパケットは、ＤＮＳ（ＵＤＰ／５３）タイプまたはＥｃｈｏ Ｒｅｑｕｅｓｔ（ＩＣＭＰ，ｒｅｑｕｅｓｔ ｅｃｈｏ）タイプである場合、受け入れる
・指定されたアドレス「^＊＠^＊」における企業ＬＡＮ上のメールサーバに関連するパケット、例えば、インターネットに由来し、ＬＡＮ上のアドレス「^＊＠^＊」に向かうＳＭＴＰ（ＴＣＰ／２５）パケット、またはアドレス「^＊＠^＊」に由来し、インターネットに向かうＳＭＴＰ（ＴＣＰ／２５）パケットおよびＰＯＰ３（ＴＣＰ／１１０）パケットを受け入れる。

濾過の結果に応じて、ファイアウォールモジュール５は、処理済みの１次データ、すなわち、濾過された場合の、適宜、補完され、かつ／または変更された１次データか、または受信された１次データを拒否するメッセージをサーバ２に送る。もちろん、１次データは、ファイアウォールモジュール５によって受け入れられた後、単にサーバを通過することも可能である。

デバイス１は、サーバの構成を定義する基本規則群の順序付き配列を最適化するための、ただし、より重要なこととして、サーバ２（またはサーバのファイアウォール５）が、例えば、内部ネットワーク４上の変更、または内部ネットワーク４上または外部ネットワーク３上の予期されなかったイベントに対応する２次データを受信するたびに毎回、サーバを動的に、最適な形で再構成することを可能にするため、ならびにサーバに高いレベルのセキュリティを提供するための管理モジュール８を含む。

より正確には、管理モジュール８は、第１に、サーバ２の物理的（つまりハードウェア）特性、例えば、サーバ２が含む電子回路カードの数、カードのタイプ、内部ネットワーク４のトポロジに対して、第２に、サーバの動作構成に対して、例えば、適宜、特定の端末装置に関して、かつ／またはユーザライセンスの存在について特定の制約を伴って、進化しやすい一部のパラメータ化できる内部サービスおよび／または外部サービスをサーバが提供することができるように、第３に、リストされている攻撃またはリストされていない攻撃、例えば、ホストされるサービス（ｈｔｔｐ、ＶＰＮ、ｔｅｌｎｅｔ）に接続しようとする試みやポートスキャンの試み、インターネットサイトまたはインターネットサービスへの接続／接続解除、遠隔の端末装置とのリンク、または認証プロセスに関連するセキュリティで保護された（つまり暗号化された）トンネルの出現／消滅などのＬＡＮ／ＷＡＮインタフェースにおけるトラフィックの変化、またはサービスまたはカードによるタスクの実行中に生じさせられた刺激などの予期されなかった内部イベントおよび／または外部イベントの出現に対して、ファイアウォールモジュール５の構成を動的に適応させることを目的とする。

前述した諸機能を実現するため、管理モジュール８は、「メタファイアウォール」モジュールとも呼ばれ、ファイアウォールモジュール５に結合された第２の「接続」モジュール１０に結合された第１の構成モジュール９を含む。

サーバ２は、物理的（つまりハードウェア）特性の変更、サービスパラメータ（の変更）、または「コンテキスト」情報（刺激）に関連する２次データを受信した場合、管理モジュール８を宛先とする補助（つまり補足的）データを生成して、サーバ２のファイアウォールモジュール５を（再）構成するようにモジュール８に要求する。この補助データを受け取ると、管理モジュール８は、そのデータを自らの第１の構成モジュール９に通信する。

構成モジュール９は、ファイアウォールモジュール５の現在の構成に対して変更を行う機会について判断を行う判断ユニットであり、メタファイアウォール１０は、その判断の実際的な実施を担う。

メタファイアウォール１０は、ファイアウォールモジュール５、ならびにパラメータ化できる基本（つまり１次）規則群を定義するデータと１次識別子群の間における対応の第１のテーブルＴ１が格納されている少なくとも１つの第１のメモリ１２に結合されたインタフェース（または「エンジン」）サブモジュールを含む。

より正確には、（１次）メタ規則と呼ばれる基本（つまり１次）規則のセット（またはクラス）の定義／原型が、第１のテーブルの中に格納される。各メタ規則は、選択された濾過カテゴリに固有である。各セットまたは各クラス（つまり１次メタ規則）は、少なくとも１つの基本規則つまり１次規則を含むが、一般に、フィルタを定義するのに複数の基本規則が要求される。

１次識別子が、各１次メタ規則、つまり規則のクラスに関連付けられている。したがって、メタ規則はそれぞれ、第１のテーブルＴ１の中に格納されている定義（または原型）を有する。それらの定義は、好ましくは、デバイスの設計段階中、ファイアウォールモジュール５およびその使用を考慮に入れて、コンパイルツールの助けを借りて作成される。実際、コンパイルツールは、内容がファイアウォールモジュール５に適合する（またはファイアウォールモジュール５が理解することができる等価の１次規則群に反映されることが可能な）メタ規則群を作成する。

第１の構成モジュール９は、メタ規則群の１次識別子のリスト、および１次識別子が対応する補助データのタイプを知っている。このため、補助データ（例えば、新たなＩＳＤＮタイプのＩＰ接続が内部ネットワーク４の端末装置によって要求されたことを示す）を受け取ると、第１の構成モジュール９は、その補助データから、第１に、データタイプを導き出すことができ、したがって、ファイアウォールモジュール５が（再）構成されるために補助データに関連付けなければならないメタ規則を導き出すことができる。次に、構成モジュール９は、メタファイアウォール１０のエンジン１１に１次識別子および関連する補助データ（またはパラメータ値）を供給する。

第１の実施形態では、１次識別子および補助データ（つまりパラメータ値）を受け取ると、エンジン１１は、第１のテーブルＴ１から関連する定義を抽出し、指定された１次メタ規則群のパラメータに受け取られた値（つまり補助データ）を割り当てる。このようにして、エンジン１１は、自らがファイアウォールモジュール５に送る１つまたは複数の新たな１次メタ規則を作成して、それらのメタ規則が、不適切になった規則に取って代わる、または追加されるようにする。

この実施形態は、サーバ２によって供給される補助データに関連するファイアウォールモジュール５の構成の部分だけを変更し、ファイアウォールモジュール５が、自らの構成パラメータを簡単で迅速に供給することができる場合、有利である。その場合、エンジン１１は、いずれの構成がファイアウォールモジュール５における現在の構成であるかを見分けることができ、変化したパラメータだけを変更する。しかし、この第１の実施形態は、ファイアウォールモジュール５が、自らの構成パラメータを供給するように設計されていない場合、または簡単で迅速にそうすることができない場合、最適でない可能性がある。実際、ファイアウォールモジュール５においてアクティブ化されている１次メタ規則が知られていないので、供給されたパラメータ値を使用してファイアウォールモジュール５のすべての規則を再び計算する必要があり、この計算は、クラスが多数の基本規則を含む場合、いくぶん長いプロセスになる可能性がある。この計算は、特にランダムなイベントの場合、困難である、または不可能でさえある可能性がある。というのは、この計算は、すべてのイベントのすべての特性データを保存すること、およびファイアウォールモジュール５の１次規則群のパラメータを設定することを前提とし、これを行うことは、以下に説明するとおり、テーブルＴ２を上流の処理レベルに移すことに等しいからである。

したがって、本発明のデバイスは、図２に示したものとはわずかに異なる形をとることが可能である。この第２の実施形態では、メタファイアウォール１０は、エンジン１１に結合され、２次識別子群と１次識別子群の間の対応の第２のテーブルＴ２を格納する第２のメモリ１３を含み、第１の識別子群は、「アクティブ化された」（つまり選択された）１次メタ規則群を示す。というのは、この１次メタ規則群は、ファイアウォールモジュール５の現在の構成の一部であり、その構成の一部であるこのメタ規則群のパラメータの現在の値を定義する補助データに関連しているからである。つまり、第２のメモリ１３は、ファイアウォールモジュール５の現在の構成を格納する。

一部の２次識別子群は、例えば、１次メタ規則が、ファイアウォールモジュール５において単一セットのパラメータ（つまり単一セットの補助データ）だけで使用される場合、一部の１次識別子群と同一であることが可能である。しかし、２次識別子は、対応する１次メタ規則が、ファイアウォールモジュール５においていくつかの異なるセットのパラメータで使用される場合、１次識別子とは異なる。

第１の構成モジュール９は、好ましくは、第２の識別子群のリスト、および第２の識別子群が対応する補助データのタイプを知っている。このため、第１の構成モジュール９によって供給された第２の識別子および値を受け取ると、エンジン１１はまず、第２のテーブルＴ２を調べて、第２のテーブルＴ２が、適宜、受け取られたものとは異なる補助データ（つまり値）に対応する関係にある前記２次識別子を含むかどうかを判定する。

含まない場合、エンジン１１は、第１の実施形態の場合と同様の手順をとる。したがって、エンジン１１は、第１のテーブルＴ１から、受け取られた２次識別子または１次識別子に関連するメタ規則の定義を抽出し、受け取られた値（つまり補助データ）をそのメタ規則のパラメータに割り当てる。また、エンジン１１は、第２のテーブルＴ２からメタ規則を削除することを決定することもできる。その場合、エンジン１１はまず、古い補助データに関連する１次規則のセットを再構成し、それらの規則をファイアウォールモジュール５から削除する。メタ規則を変更することも、ファイアウォールモジュール５が、アクティブ化された１次規則群を特定する簡単な手段を提供しない場合（メタファイアウォールが、２次識別子を使用してメタ規則群を特定する簡単な手段を提供するので、これが該当すると考えることができる）、メタ規則の古いバージョンをあらかじめ削除することを前提とする。

このようにして、新たな基本規則のクラスが作成され、ファイアウォールモジュール５に送られて、不適切になったメタ規則に取って代わるか、既にアクティブ化されているメタ規則群に追加される。次に、メタ規則の第２の識別子および関連する補助データが第２のテーブルＴ２の中に格納される。というのは、以降、これらの識別子およびデータが、現在の構成の一部を定義するからである。

しかし、１次識別子または２次識別子が第２のテーブルＴ２の中に存在する場合、１次識別子に関連する補助データが抽出され、変更されなければならないデータだけが置き換えられる。もちろん、補助データ（つまり値）は、新たなパラメータが第１の構成モジュール９によって導入されている場合にも追加されることが可能である。次に、ファイアウォールモジュール５に変更されたメタ規則またはパラメータ化された新たなメタ規則が送られて、そのメタ規則が、不適切になったメタ規則に取って代わるか、または追加されるようになる。次に、新たな補助データが、関連する２次識別子および１次識別子に対応する関係で第２のテーブルＴ２の中に格納される。というのは、以降、この補助データが、現在の構成の一部を定義するからである。

再構成処理をさらに加速させるため、２次メタ規則群を形成するクラス（つまり１次メタ規則のクラス）のクラスも、第２のテーブルＴ２の中で形成することができる。その場合、それらの２次メタ規則群は、それらの２次メタ規則群が、補助データを使用してアクティブ化された（選択された）場合に、関連する１次識別子群および補助データに対応する関係で第２のテーブルＴ２の中にやはり格納されている２次識別子に関連付けられる。

１次メタ規則の規則群の間、または２次メタ規則の１次メタ規則群の間、あるいは１次メタ規則群の間または２次メタ規則群の間の優先レベルも、対応するテーブルの中に入れることができる。

エンジン１１は、好ましくは、第１の構成モジュール９の命令で、ファイアウォールモジュール５においてもはやアクティブでない１次メタ規則群に関連する２次識別子群を第２のテーブルＴ２から削除するようになされている。エンジン１１は、好ましくは、第１の構成モジュール９の命令で、新たな１次メタ規則群または２次メタ規則群に関連する２次識別子群を第２のテーブルＴ２の中で追加する、または変更する、または１つまたは複数の１次メタ規則を２次メタ規則に追加する、または２次メタ規則から除去するようにもなされている。また、エンジン１１は、コマンドで、少なくとも２つの異なる１次メタ規則または２次メタ規則に属する１次メタ規則群または２次メタ規則群を同一の２次メタ規則の中で結合し、または１次メタ規則または２次メタ規則を少なくとも２つの１次メタ規則または２次メタ規則に分割して、新たなフィルタ定義を作成するようにもなされていることが可能である。

第１の構成モジュール１１によって送られるコマンドは、好ましくは、サーバ２から受け取られたコマンド（または補足的データ）の結果である。

第２のテーブルＴ２の中にデータを保存することの２つの例示的な例を次に説明する。前述したとおり、第１のテーブルＴ１は、１次識別子に対応する関係で１次メタ規則の定義または原型を含む。例えば、１次識別子「Ｅｍａｉｌ」が、３つの１次規則原型の以下のセットを示す。
・規則１：Ｆｌｏｗ＝ＦｒｏｍＬａｎＴｏＷａｎ Ｓｏｕｒｃｅ＝＄１ Ｐｒｏｔｏｃｏｌ＝ｔｃｐ ＤｅｓｔｉｎａｔｉｏｎＰｏｒｔ＝ｓｍｔｐ Ａｃｔｉｏｎ＝ＡＣＣＥＰＴ
・規則２：Ｆｌｏｗ＝ＦｒｏｍＬａｎＴｏＷａｎ Ｓｏｕｒｃｅ＝＄１ Ｐｒｏｔｏｃｏｌ＝ｔｃｐ ＤｅｓｔｉｎａｔｉｏｎＰｏｒｔ＝ｐｏｐ３ Ａｃｔｉｏｎ＝ＡＣＣＥＰＴ
・規則３：Ｆｌｏｗ＝ＦｒｏｍＷａｎＴｏＬａｎ Ｄｅｓｔｉｎａｔｉｏｎ＝＄１ Ｐｒｏｔｏｃｏｌ＝ｔｃｐ ＤｅｓｔｉｎａｔｉｏｎＰｏｒｔ＝ｓｍｔｐ Ａｃｔｉｏｎ＝ＡＣＣＥＰＴ

このＥｍａｉｌメタ規則は、内部ネットワーク（ＬＡＮ）上の電子メールサーバとインターネット上のＩＳＰサーバの間で電子メールを交換するのに使用される。このメタ規則は、ＬＡＮ上の電子メールサーバのＩＳＰアドレスに対応する１つのパラメータ（補助データ）「＄１」だけを含む。

このパラメータは、その３つの１次規則原型に固有の構文を使用して送られる。

１次規則群を特徴付けるその他のパラメータ（「Ｐｒｏｔｏｃｏｌ＝ｔｃｐ」、「ＤｅｓｔｉｎａｔｉｏｎＰｏｒｔ＝ｓｍｔｐ」、または「ＦｒｏｍＬａｎＴｏＷａｎ」）は、第１のテーブルのエントリの中で静的に定義される。

サーバアドレス１０．０．０．１（または補助データ）を有する１次メタ規則、Ｅｍａｉｌをアクティブ化することが所望される場合、アドレス１０．０．０．１に関連する１次識別子Ｅｍａｉｌが、この例ではやはりＥｍａｉｌであることが可能な２次識別子に対応する関係で、第２のテーブルＴ２の中に保存される。第２のテーブルＴ２の中で、これは、「Ｅｍａｉｌ−＞Ｅｍａｉｌ １０．０．０．１」という形で表現されることが可能である。

保存は、「ｍｅｔａｆｉｒｅｗａｌｌ ａｄｄ Ｅｍａｉｌ １０．０．０．１」タイプの命令を使用して実行されることが可能である。

サーバアドレスを後に変更しなければならない、またはメタ規則、Ｅｍａｉｌを後に削除しなければならない場合、命令「ｍｅｔａｆｉｒｅｗａｌｌ ａｄｄ Ｅｍａｉｌ ２０．０．０．１」および命令「ｍｅｔａｆｉｒｅｗａｌｌ ｄｅｌｅｔｅ Ｅｍａｉｌ」がそれぞれ、発せられる。

例えば、アドレス「１０．０．０．２」を有する第２の電子メールサーバを含むように設備が進化し、単一の２次メタ規則を使用して両方のサーバを管理することが所望される場合、２次識別子「サーバ」をその２次メタ規則に関連付けることができる。

２次メタ規則を示すこの２次識別子、および関連する補助データを第２のテーブルＴ２の中に保存するため、「ｍｅｔａｆｉｒｅｗａｌｌ ａｄｄｉｎ Ｓｅｒｖｅｒ Ｅｍａｉｌ １０．０．０．１」および「ｍｅｔａｆｉｒｅｗａｌｌ ａｐｐｅｎｄｉｎ Ｓｅｒｖｅｒ Ｅｍａｉｌ １０．０．０．２」コマンドが発せられる。

第２のテーブルＴ２の中で、これは、以下の形で表現されることが可能である。
・Ｓｅｒｖｅｒ−＞ Ｅｍａｉｌ １０．０．０．１
Ｅｍａｉｌ １０．０．０．２

必要となった場合、メタ規則サーバは、「ｍｅｔａｆｉｒｅｗａｌｌ ｄｅｌｅｔｅ Ｓｅｒｖｅｒ」コマンドで削除することができる。

必須ではないが、第１の構成モジュール９は、（１次および／または２次）メタ規則の別個のセットのパラメータ（補助パラメータ）をアクティブ化し、設定することをそれぞれが担う複数の構成サブモジュールに分割されて、１次データが受け取られると、その１次データに関連するモジュールだけが呼び出されるようにすることができる。その場合、各サブモジュールは、第１のテーブルＴ１の一部分に結合されたエンジン１１の一部分を対象とするようになされる。モジュール間で依存関係リンクが存在することが可能である。その場合、あるモジュールを呼び出すことは、そのモジュール自体、自らが依存する、または自らが関連しているモジュール群を呼び出すことを必然的に伴う。これにより、再構成を計算するのに必要な時間がさらに短縮される。

構成モジュール９およびメタファイアウォール１０は、以上では、２つの、結合されているが、別個のモジュールの形態で説明してきた。しかし、構成モジュール９およびメタファイアウォール１０は、単一のモジュール８を形成することも可能である。

さらに、それ自体でファイアウォールを形成するデバイスを説明してきた。しかし、ファイアウォールモジュールが、固有の形態でサーバ２の中に既に導入されている場合、本発明のデバイスがファイアウォールモジュール５を含まないことも可能である。したがって、その場合、本発明のデバイスは、管理モジュール８だけから成り、管理モジュール８をサーバ２の中に導入して、サーバ２内部で固有のファイアウォールモジュールに結合されるようにしなければならない。

さらに、第１の構成モジュール９やエンジン１１などのデバイス１の一部のモジュールは、ソフトウェアモジュールの形態をとることも可能である。しかし、それらのモジュールは、少なくとも部分的に、電子回路（ハードウェア）の形態、またはソフトウェアモジュールと電子回路の組み合わせの形態で実施することも同様に可能である。ソフトウェアモジュールは、例えば、Ｊａｖａ（登録商標）、Ｃ、またはＣ＋＋で書くことができる。

また、メタファイアウォール１０の諸機能（特にテーブルＴ１およびＴ２を介する規則群の名指し）を標準のファイアウォール５に組み込むこともできる。

本発明は、データ処理サーバ１２によって受信された１次データに、１次規則群に基づいて専用プロセスを適用して、受信された１次データが処理されてから、前記サーバによって伝送されるようにするためのデータを動的に処理する方法も提供する。

この方法は、前述したデバイスを使用して実施することができる。この方法のステップによって提供される主な機能および下位機能、ならびにオプションの機能は、前述したデバイスを形成する様々な手段によって提供される諸機能と実質的に同一であるため、本発明による方法の主な機能を実施するステップだけを以下に説明する。

方法は、第１の規則のセット（「１次メタ規則」と呼ばれ、少なくとも１つの１次規則から成る）が、パラメータ化できる形で、１次識別子に対応する関係で第１のテーブルＴ１の中に格納され、その後、第１のテーブルＴ１の中でいくつかの１次識別子が選択され、２次データの受信後、サーバ２によって送られた運用パラメータを表す補助データが受け取られると、第１のテーブルの中で複数の１次識別子の少なくとも１つが選択され、補助データがその１次識別子に関連付けられて、専用プロセスが定義される予備ステップを含む。

さらに、予備ステップ中、補助データに関連する少なくとも１つ選択された１次識別子にそれぞれが対応する関係で、複数の２次識別子が第２のテーブルＴ２の中に格納されることが可能である。

さらに、第１のテーブルＴ１における１次メタ規則の選択と、第２のテーブルＴ２における選択された１次メタ規則または２次メタ規則を表す２次識別子に関連する補助データの変更が、並行に実行されることが可能である。

本発明は、単に例として以上に説明したデバイスおよび方法の実施形態に限定されず、添付の特許請求の範囲に含まれる当業者が構想することができるすべての変形形態を包含する。

私設ネットワークおよび公共ネットワークに接続され、本発明によるデバイスを備えたサーバを極めて図式化して示す図である。 本発明によるデバイスの一実施形態を示すブロック図である。

Claims (14)

1. １次データを受信し、制御手段（５）が１次規則に基づいて専用処理を適用した後、前記１次データを伝送するようになされたデータ処理サーバ（２）に組み込まれるようになされたデータ処理デバイス（１）であって、
   ｉ）「１次メタ規則」と呼ばれる少なくとも１つの１次規則のセットをパラメータ化できる形で、１次識別子に対応する関係で格納する第１のテーブル（Ｔ１）と、
   ｉｉ）前記制御手段（５）に結合され、前記サーバ（２）による２次データの受信後、前記制御手段（５）によって送られた運用パラメータを表す補助データを受け取ると、第１のテーブル（Ｔ１）の中にある複数の１次識別子の少なくとも１つを選択し、前記補助データを該少なくとも１つの１次識別子に関連付けて前記専用プロセスを定義するようになされた管理手段（８）とを含むことを特徴とする、データ処理デバイス。
2. 補助データに関連する少なくとも１つの選択された１次識別子にそれぞれが対応する関係で複数の２次識別子が格納される、前記管理手段（８）がアクセスすることができる第２のテーブル（Ｔ２）を含むことを特徴とする請求項１に記載のデバイス。
3. 前記管理手段（８）が、前記補助データを受け取ると、該補助データに対応する選択された１次識別子が第２のテーブル（Ｔ２）の中に存在するかどうかを判定して、前記専用プロセスを適応させることを目的とする新たな補助データを該１次識別子に関連付けるようになされていることを特徴とする請求項２に記載のデバイス。
4. 第２のテーブル（Ｔ２）の中にある一部の選択された１次メタ規則群をグループ化して、２次識別子によって表される２次メタ規則群にすることを特徴とする請求項２に記載のデバイス。
5. 前記管理手段（８）が、ｉ）少なくとも１つの１次メタ規則または２次メタ規則との補助データの関連を管理するようにそれぞれがなされた複数の管理サブモジュールを含み、ｉｉ）前記補助データを受け取ると、前記管理サブモジュールのいずれが該補助データに対応するかを判定するようになされていることを特徴とする請求項１に記載のデバイス。
6. 前記管理手段（８）が、サーバ（２）によって通信された前記補助データを受け取ると、１次メタ規則または２次メタ規則、または補助データを前記１次メタ規則または前記２次メタ規則に関連する第２のテーブル（２）に追加するか、第２のテーブルから削除するか、または第２のテーブルの中で変更するようになされていることを特徴とする請求項２に記載のデバイス。
7. 前記管理手段（８）および前記テーブル（Ｔ１、Ｔ２）が、前記サーバ（２）に備わったファイアウォールを管理するようになされたメタファイアウォールの一部であることを特徴とする請求項１に記載のデバイス。
8. 請求項１から７のいずれか一項に記載のデバイス（１）を含むことを特徴とするファイアウォール。
9. データ処理サーバ（２）によって受信された１次データに１次規則群に基づいて専用プロセスを適用して、受信された１次データが処理されてから前記サーバによって伝送されるようにすることに存するデータ処理方法であって、
   ｉ）「１次メタ規則」と呼ばれる少なくとも１つの１次規則のセットがパラメータ化できる形で、１次識別子群に対応する関係で第１のテーブル（Ｔ１）の中に格納され、（ｉｉ）２次データの受信後、サーバ（２）によって送られた運用パラメータを表す補助データが受け取られると、第１のテーブル（Ｔ１）の中の複数の１次識別子の少なくとも１つが選択され、前記補助データが前記１次識別子に関連付けられて前記専用プロセスが定義される、予備ステップを含むことを特徴とする方法。
10. 予備ステップ中、補助データに関連する少なくとも１つの選択された１次識別子にそれぞれが対応する関係にある２次識別子群が、第２のテーブル（Ｔ２）の中に格納されることを特徴とする請求項９に記載の方法。
11. 補助データが受け取られると、該補助データに対応する選択された１次識別子が第２のテーブル（Ｔ２）の中に存在するかどうかを判定して、前記専用プロセスを適応させるようになされた新たな補助データを該１次識別子に関連付けるようにすることを特徴とする請求項１０に記載の方法。
12. 第２のテーブル（Ｔ２）の中にある一部の１次メタ規則群がグループ化して、２次識別子によって表される２次メタ規則群にすることを特徴とする請求項１０に記載の方法。
13. ｉ）第１のテーブル（Ｔ１）における１次メタ規則群または２次メタ規則群の選択と、ｉｉ）選択された１次メタ規則群または２次メタ規則群を表す２次識別子に関連する第２のテーブル（Ｔ２）における補助データの変更が、並行に実行されることを特徴とする請求項９に記載の方法。
14. 前記サーバ（２）によって通信された補足的データが受信されると、１次メタ規則群または２次メタ規則群が第２のテーブル（Ｔ２）に追加されるか、第２のテーブルから削除されるか、または第２のテーブルの中で変更されることを特徴とする請求項９に記載の方法。

Images