JP2006270315A - ファイアウォールサーバにおけるフィルタリングルール変更方法、ファイアウォールサーバおよびプログラム - Google Patents

Abstract

【課題】ネットワーク情報の設定変更が先に行われたり、悪意の第三者によってネットワーク情報の設定変更が行われたりしても、意図しない通信が行われてしまうことがないようにする。
【解決手段】ネットワーク情報の設定変更が行われた場合、ネットワーク設定変更手段１２３よりパケットフィルタ部１２２に対して、通信を全て遮断する遮断モードへの移行を指示する。また、ネットワーク設定変更手段１２３より、管理者１１に対してフィルタリングルールの見直しを促す。これを受けて、管理者１１は、ルール変更手段１２０を使用し、フィルタリングルール管理部１２１が管理しているフィルタリングルールを修正する。このフィルタリングルールの修正後、ルール変更手段１２０は、パケットフィルタ部１２２に遮断モードの解除を指示する。
【選択図】 図１

Description

この発明は、ネットワークの接続環境を示すネットワーク情報と通信の通過規則を示すフィルタリングルールとが設定されたファイアウォールサーバにおけるフィルタリングルール変更方法、ファイアウォールサーバおよびプログラムに関するものである。

従来より、ファイアウォールシステムでは、不正アクセスやウイルスなどからの攻撃を避けるためにネットワーク間にファイアウォールサーバを設けている。

〔事例１〕
図７にファイアウォールサーバの設置例を示す。この例では、ファイアウォールサーバ１のネットワークインタフェースＩ０に外部ネットワーク２が接続され、ネットワークインタフェースＩ１に第１の内部ネットワーク３が接続され、ネットワークインタフェースＩ２に第２の内部ネットワーク４が接続されている。

また、ファイアウォールサーバ１内には、通信の通過規則を示すフィルタリングルールが設定されている。この例では、内部ネットワーク３と４との間の相互の任意の通信を可能にするために、次のようなフィルタリングルールが設定されている。
フィルタリングルール：「入力ネットワークインタフェース＝Ｉ０以外かつ出力ネットワークインタフェースＩ０以外ならば通過させる」
ファイアウォールサーバ１は、このフィルタリングルールに従い、ネットワークインタフェースＩ０からの通信パケット、ネットワークインタフェースＩ０への通信パケットについては、これを破棄する。

〔ＤＭＺネットワークの増設〕
以上の前提条件の下、今、図８に示すように、新たにＤＭＺネットワーク５を増設し、これをファイアウォールサーバ１のネットワークインタフェースＩ３に接続するものとする。この場合、管理者は、ネットワークインタフェースＩ３に対してアドレス等の必要な情報の設定を行う。すなわち、ファイアウォールサーバ１に設定されているネットワークの接続環境を示すネットワーク情報の設定変更を行う。

このとき、フィルタリングルールについても修正しないと、ＤＭＺネットワーク５に対しては外部ネットワーク２からの通信のみを許可したいにも拘わらず、「入力ネットワークインタフェース＝Ｉ０以外かつ出力ネットワークインタフェースＩ０以外ならば通過させる」という従前のフィルタリングルールが適用されてしまうために、内部ネットワーク３とＤＭＺネットワーク５との間の意図しない通信、内部ネットワーク４とＤＭＺネットワーク５との間の意図しない通信が許可されてしまうことになる。

このため、管理者は、ＤＭＺネットワーク５をネットワークインタフェースＩ３に増設する場合、ネットワーク情報の設定変更と合わせてフィルタリングルールの修正を行い、両者に食い違いが生じないようにする必要がある。

〔事例２〕
図９にファイアウォールサーバの別の設置例を示す。この例では、ファイアウォールサーバ１のネットワークインタフェースＩ０にネットワーク６が接続され、ネットワークインタフェースＩ１にネットワーク７が接続されている。

ファイアウォールサーバ１内には通信の通過規則を示すフィルタリングルールが設定されている。この例では、ネットワーク６からネットワーク７へのＳＳＨ（Secure Shell）通信を許可するために、次のようなフィルタリングルールが設定されている。
フィルタリングルール：「入力ネットワークインタフェース＝Ｉ０かつ出力ネットワークインタフェース＝Ｉ１かつ通信＝ＳＳＨならば通過させる」

〔ルータを介するネットワークの増設〕
このような状態から、今、図１０に示すように、ネットワーク７の先にルータ８を設置し、このルータ８に新たなネットワーク９を接続するものとする。この場合、管理者は、ファイアウォールサーバ１内のルーティングテーブルに、ネットワーク情報として「宛先アドレスがネットワーク９に含まれる通信パケットはネットワークインタフェースＩ１から出力する」というエントリを追加する。

このとき、フィルタリングルールについても修正しないと、ネットワーク９に対してはネットワーク６からのＳＳＨ通信を禁止したいにも拘わらず、「入力ネットワークインタフェース＝Ｉ０かつ出力ネットワークインタフェース＝Ｉ１かつ通信＝ＳＳＨならば通過させる」という従前のフィルタリングルールが適用されてしまうために、ネットワーク６からネットワーク９への意図しない通信が許可されてしまうことになる。

このため、管理者は、ルータ８を介してネットワーク９を増設する場合、ネットワーク情報の設定変更と合わせてフィルタリングルールの修正を行い、両者に食い違いが生じないようにする必要がある。

〔運用手順〕
上述した事例１、２から分かるように、ファイアウォールサーバ１にネットワークを増設する場合、管理者はネットワーク情報の設定変更とあわせてフィルタリングルールの修正を行う。この場合、ネットワーク情報の設定を先に行ってしまうと、フィルタリングルールの修正が行われるまで、ファイアウォールサーバ１を介して意図しない通信が行われてしまう可能性がある。

そこで、ファイアウォールサーバ１にネットワークを増設する場合、ファイアウォールサーバ１の動作を停止するなどして、一時的にファイアウォールサーバ１を介する通信を遮断状態としたうえ、ネットワーク情報の設定変更とフィルタリングルールの修正を行うという運用手順がとられる。

なお、ネットワーク情報の変更については、特許文献１に「ネットワーク機器における設定情報の変更」として示されている。また、フィルタリングルールについては、特許文献２に「パケットの通過規則」として示されている。

特開２００２−１９０８０９号公報 特開２００４−３４８２９２号公報

しかしながら、従来はファイアウォールサーバにネットワークを増設する際の運用手順が煩わしく、ミスが生じやすい。例えば、運用手順のミスにより、ファイアウォールサーバを介する通信を一時的に遮断状態とすることなく、ネットワーク情報の設定変更を先に行うと、フィルタリングルールの修正を行うまで、ファイアウォールサーバを介して意図しない通信が行われてしまう可能性がある。また、ネットワーク情報の設定変更後、フィルタリングルールの修正を忘れると、意図しない通信が許可され続けてしまうことになる。
また、ネットワーク情報の設定変更が悪意のある第三者によって行われた場合、知らない間に、ファイアウォールサーバを介して意図しない通信が行われてしまう虞れがある。

本発明は、このような課題を解決するためになされたもので、その目的とするところは、ネットワーク情報の設定変更が先に行われたり、悪意の第三者によってネットワーク情報の設定変更が行われたりしても、意図しない通信が行われてしまう虞れがないフィルタリングルール変更方法、ファイアウォールサーバおよびプログラムを提供することにある。

このような目的を達成するために本発明は、ファイアウォールサーバ内に設定されたネットワーク情報の設定変更を監視するようにし、ネットワーク情報の設定変更が確認された場合、ファイアウォールサーバを介する通信を全て遮断するとともに、ファイアウォールサーバ内に設定されているフィルタリングルールの変更を促すようにしたものである。
この発明によれば、ファイアウォールサーバにおいて、ネットワーク情報が設定変更されると、ファイアウォールサーバを介する通信が全て遮断されると同時に、フィルタリングルールの変更が促される。

〔事例１〕
例えば、ファイアウォールサーバへのネットワークの増設に際し、管理者が先にファイアウォールサーバ内のネットワーク情報を設定変更すると、ファイアウォールサーバにおける通信が自動的に遮断状態となり、管理者に対してフィルタリングルールの変更が促される。これに促されて、管理者はフィルタリングルールを修正するが、その間、ファイアウォールサーバにおける通信は遮断状態となっているので、ファイアウォールサーバを介して意図しない通信が行われてしまうことはない。フィルタリングルールの修正後、ファイアウォールサーバにおける通信の遮断状態を解除すると、修正されたフィルタリングルールによって通信が再開される。

〔事例２〕
例えば、悪意の第三者がネットワーク情報を設定変更すると、ファイアウォールサーバにおける通信が自動的に遮断状態となる。これにより、悪意の第三者によるファイアウォールサーバを介する意図しない通信を直ちに防ぐことができる。また、ファイアウォールサーバにおける通信が遮断状態となると同時に、管理者に対してフィルタリングルールの変更が促される。これにより、管理者は、自分がネットワーク情報の設定変更を行っていないにも拘わらず、フィルタリングルールの変更が促されたことから、悪意の第三者によってネットワーク情報の設定変更が行われたことを知ることができる。これにに促されて、管理者はフィルタリングルールを修正するが、その間、ファイアウォールサーバにおける通信は遮断状態となっているので、ファイアウォールサーバを介して意図しない通信が行われてしまうこともない。フィルタリングルールの修正後、ファイアウォールサーバにおける通信の遮断状態を解除すると、修正されたフィルタリングルールによって通信が再開される。

なお、本発明は、ファイアウォールサーバにおけるフィルタリングルール変更方法、この方法を適用したファイアウォールサーバ、この方法による処理を実現させるためのプログラムとして提供することも可能である。また、このプログラムを記憶させたフレキシブルディスク、ＣＤ−ＲＯＭ、メモリカードなどの記録媒体としても提供可能である。

本発明によれば、ファイアウォールサーバ内に設定されたネットワーク情報の設定変更を監視するようにし、ネットワーク情報の設定変更が確認された場合、ファイアウォールサーバを介する通信を全て遮断するとともに、ファイアウォールサーバ内に設定されているフィルタリングルールの変更を促すようにしたので、例えば、管理者が先にファイアウォールサーバ内のネットワーク情報を設定変更しても、フィルタリングを修正するまでの間に意図しない通信が行われてしまう虞れがなく、運用手順にしばられることなく、ファイアウォールサーバへのネットワークの増設を行うことが可能となる。また、悪意の第三者によるネットワーク情報の設定変更に対しても、意図しない通信を防ぐことが可能となる。

また、本発明によれば、フィルタリングルールの変更が促されるので、フィルタリングルールの修正忘れが防止される。また、フィルタリングルールの変更を管理者に対して促すことにより、悪意の第三者によるネットワーク情報の設定変更を知ることが可能となり、フィルタリングルールの修正後、ファイアウォールサーバにおける通信の遮断状態を解除することによって、食い違いのないフィルタリングルールとネットワーク情報とに基づいて、ネットワーク間の通信を仲介することができるようになる。

以下、本発明を図面に基づいて詳細に説明する。
〔実施の形態１〕
図１は本発明に係るフィルタリングルール変更方法の実施に用いるファイアウォールサーバの一例（実施の形態１）を示すブロック構成図である。

このファイアウォールサーバ１０は、ファイアウォール部１２と、パケット入出力部１３とから構成されている。
ファイアウォール部１２は、ルール変更手段１２０と、フィルタリングルール管理部１２１と、パケットフィルタ部１２２と、ネットワーク設定変更手段１２３とから構成されている。
パケット入出力部１３は、パケット処理部１３０と、ネットワーク設定管理部１３１とから構成されている。

ルール変更手段１２０は、管理者１１にファイアウォールサーバ１０内のフィルタリングルールを変更するためのユーザインタフェースを提供する。さらに、あらゆる通信パケット１４を通過させない遮断モードの解除をパケットフィルタ部１２２に通知する機能を有する。

フィルタリングルール管理部１２１は、ルール変更手段１２０を利用して管理者１１が設定する、ファイアウォールサーバ１０を介した通信パケット１４を通過させるか遮断するかを判定する基準（パケットの通過規則）となるフィルタリングルールを管理する機能を有する。

パケットフィルタ部１２２は、パケット入出力部１３のパケット処理部１３０から通信パケット１４を受け取る機能を有する。さらに、フィルタリングルール管理部１２１からフィルタリングルールを読み込み、通信パケット１４の内容とフィルタリングルールの内容とを比較して、通信パケット１４を通過させるかまたは破棄するかを判定する機能を有する。さらに、ファイアウォールサーバ１０を通過してよいと判定した通信パケット１４をパケット入出力部１３のパケット処理部１３０へ引き渡す機能を有する。さらに、ネットワーク変更手段１２３から伝えられた、あらゆる通信パケット１４を通過させない遮断モードへの移行指示にしたがって、すべての通信パケット１４を破棄する機能を有する。

ネットワーク設定変更手段１２３は、管理者１１にファイアウォールサーバ１０内のネットワーク情報の設定を変更するためのユーザインタフェースを提供する。さらに、ネットワーク情報の設定を変更する際に、パケットフィルタ部１２２へあらゆる通信パケット１４を通過させない遮断モードへ移行するように通知する機能を有する。さらに、ネットワーク情報の設定を変更する際に、フィルタリングルールを見直すように管理者１１へ通知する機能を有する。

パケット処理部１３０は、ファイアウォールサーバ１０を通過しようとする通信パケット１４をネットワーク１５から受け取り、パケットフィルタ部１２２へ通信パケット１４を受け渡す機能を有する。さらに、パケットフィルタ部１２２においてファイアウォールサーバ１０を通過してよいと判定された通信パケット１４を受け取り、通信パケット１４に記載された送信先とネットワーク情報に含まれるルーティングテーブルとを照らし合わせた結果、パケットを送出すべき適切なネットワークインタフェースへ通信パケット１４を転送する機能を有する。

ネットワーク設定管理部１３１は、ネットワーク１５から通信パケット１４を受信するネットワークインタフェースに割り当てるアドレスや、通信パケット１４の送信先ごとに、いずれのネットワークインタフェースから送出すべきかを定めるルーティングテーブルなどのネットワーク情報を保持している。

次に、図２に示すフローチャートを参照して、このファイアウォールサーバ１０の動作について説明する。
例えば、ファイアウォールサーバ１０に、新たなネットワークを増設する場合、管理者１１は、ネットワーク設定変更手段１２３を使用して、ネットワーク設定管理部１３１が管理するネットワーク情報の設定変更を行う（ステップ２００）。

このとき、ネットワーク設定変更手段１２３は、パケットフィルタ部１２２に対して、あらゆる通信パケット１４を通過させない遮断モード、すなわち通信を全て遮断する遮断モードへ移行するように指示する（ステップ２０１）。これを受けて、パケットフィルタ部１２２は、ファイアウォールサーバ１０を通過しようとするあらゆる通信パケット１４を破棄する（ステップ２０７）。

また、ネットワーク設定変更手段１２３は、ネットワーク設定管理部１３１が管理するネットワーク情報の設定を実際に変更するとともに（ステップ２０２）、管理者１１に対してフィルタリングルールの見直しを促す（ステップ２０３）。

ネットワーク設定変更手段１２３からフィルタリングルールを見直すように勧められた管理者１１は、ルール変更手段１２０を使用して、現在用いられているフィルタリングルールを、設定変更したネットワーク情報と食い違いのないフィルタリングルールに修正する（ステップ２０４）。

管理者１１によってフィルタリングルールが修正されると、フィルタリングルール管理部１２１は、その修正されたフィルタリングルールを格納する（ステップ２０５）。また、ルール変更手段１２０は、パケットフィルタ部１２２に遮断モードの解除を指示する（ステップ２０６）。

これにより、パケットフィルタ部１２２における遮断モードが解除され、ファイアウォールサーバ１０を通過しようとする通信パケット１４に対して、修正されたフィルタリングルールを基準とした通過／破棄の判定が再開される（ステップ２０８）。

以上の動作手順により、ネットワーク情報の設定の変更を検知し、管理者１１に対してフィルタリングルールの修正を促すことによって、ネットワーク情報とフィルタリングルールとの間で食い違いのない設定を維持することが可能となる。

次に、図３を用いて、上述した動作内容を具体例に説明する。まず、前提として、この例では、ファイアウォールサーバ１０のネットワークインタフェースＩ０に外部ネットワーク３３が接続され、ネットワークインタフェースＩ１に第１の内部ネットワーク３１が接続され、ネットワークインタフェースＩ２に第２の内部ネットワーク３２が接続されているものとする。

また、ファイアウォールサーバ１０内に、内部ネットワーク３１と３２との間の相互通信を許可することを目的として、次のようなフィルタリングルールが設定されているものとする。
フィルタリングルール：「入力ネットワークインタフェース＝Ｉ０以外かつ出力ネットワークインタフェースＩ０以外ならば通過させる」

また、ファイアウォールサーバ１０内に、ネットワーク情報として、次のようなネットワークインタフェースの設定が行われているものとする。
・ネットワークインタフェースＩ０
アドレス：１７２．１６．１．１／２４
・ネットワークインタフェースＩ１
アドレス：１９２．１６８．１．２５４／２４
・ネットワークインタフェースＩ２
アドレス：１９２．１６８．２．２５４／２４

〔ＤＭＺネットワークの増設〕
以上の前提条件の下で、今、図４に示すように、新たにＤＭＺネットワーク３４（１９２．１６８．３．０／２４）を増設し、これをファイアウォールサーバ１０のネットワークインタフェースＩ３に接続するものとする。

この場合、管理者１１は、ネットワーク設定変更手段１２３を用いて、ネットワークインタフェースＩ３を介する通信を可能とするためのネットワーク情報の設定操作を行う。すなわち、現在のネットワーク情報に、次のようなネットワークインタフェースの設定を加える。
・ネットワークインタフェースＩ３
アドレス：１９２．１６８．３．２５４／２４

すると、ネットワーク設定変更手段１２３は、パケットフィルタ部１２２に対して、あらゆる通信パケット１４を破棄する遮断モードへの移行を指示する。そして、ネットワーク設定管理部１３１は、管理するネットワーク情報の設定を変更する。

一方、ネットワーク情報の設定の変更を検知したネットワーク設定変更手段１２３は、管理者１１に対し、フィルタリングルールの見直しを行うように通知する。フィルタリングルールの見直しを勧められた管理者１１は、現時点のフィルタリングルールを見直すことによって、現在の設定のままでは、ＤＭＺネットワーク３４から内部ネットワーク３１や３２への通信が可能になってしまううえに、外部ネットワーク３３からＤＭＺネットワーク３４への通信が不可能であることに気づくことができる。

よって、管理者１１は、意図しない通信パケットの通過を禁止するために、ルール変更手段１２０を用いて、以下に示すようなフィルタリングルールを現状のフィルタリングルールよりも高い優先度で設定する。
フィルタリングルール：「入力ネットワークインタフェース＝Ｉ０かつ出力ネットワークインタフェース＝Ｉ３ならば通過させる」、「入力ネットワークインタフェース＝Ｉ３ならば遮断する」

フィルタリングルール管理部１２１は、この修正されたフィルタリングルールを格納し、ルール変更手段１２０は、パケットフィルタ部１２２に対して遮断モードを解除するように指示する。遮断モードの解除通知を受け取ったパケットフィルタ部１２２は、あらゆる通信パケット１４を破棄することをやめ、新たに設定されたフィルタリングルールに基づいた通信パケット１４の通過／破棄の判定を再開する。

以上の説明から分かるように、本実施の形態のファイアウォールサーバ１０によれば、管理者１１が先にファイアウォールサーバ１０内のネットワーク情報を設定しても、フィルタリングルールを修正するまでの間、パケットフィルタ部１２２があらゆる通信パケット１４を破棄する遮断モードに移行しているので、変更前のフィルタリングルールではファイアウォールサーバ１０を通過してしまうはずのＤＭＺネットワーク３３から内部ネットワーク３１、内部ネットワーク３２への通信パケット１４が、ファイアウォールサーバ１０を通過することが避けられる。これにより、運用手順にしばられることなく、ファイアウォールサーバ１０へのＤＭＺネットワーク３３の増設を行うことが可能となる。また、管理者１１にフィルタリングルールの変更が促されるので、フィルタリングルールの修正忘れが防止される。

また、本実施の形態のファイアウォールサーバ１０によれば、ネットワーク設定管理部１３１が管理するネットワーク情報の設定変更が管理者ではなく、悪意の第三者によって行われた場合、パケットフィルタ部１２２があらゆる通信パケット１４を破棄する遮断モードに自動的に移行するので、知らない間に、ファイアウォールサーバ１０を介して意図しない通信が行われてしまう虞れがない。また、管理者１１は、自分がネットワーク情報の設定変更を行っていないにも拘わらず、フィルタリングルールの変更が促されたことから、悪意の第三者によってネットワーク情報の設定変更が行われたことを知ることができる。また、これに促されて、管理者１１はフィルタリングルールを修正するが、その間、ファイアウォールサーバ１０における通信は遮断状態となっているので、ファイアウォールサーバ１０を介して意図しない通信が行われてしまうこともない。

〔実施の形態２〕
次に、図５を用いて、本発明に係るフィルタリングルール変更方法の実施に用いるファイアウォールサーバの他の例（実施の形態２）について説明する。

この実施の形態２は、ファイアウォールサーバ１０のファイアウォール部１２に、変更検出通知手段１２４と、比較用ネットワーク情報１２５を保有するネットワーク設定監視部１２６が追加され、ネットワーク設定変更手段４６０がファイアウォールサーバ１０とネットワークで接続された管理クライアント４６内に存在し、ネットワーク設定監視部１２６がネットワーク設定管理部１３１に対してネットワーク情報の設定変更を定期的にポーリングする点で実施の形態１と異なる。

ネットワーク設定監視部１２６は、比較用ネットワーク情報１２５とネットワーク設定管理部１３１が管理するネットワーク情報とを定期的に比較し、ネットワーク設定管理部１３１が管理するネットワーク情報の設定変更を検出する機能を有する。さらに、ネットワーク情報の設定変更を検出したときには、変更検出通知手段１２４を介して管理者１１に対してフィルタリングルールの見直しを促す機能を有する。なお、ネットワーク設定監視部１２６は、比較用ネットワーク情報１２５ととして、設定変更される前の最新の値とワーク情報を保有する。

変更検出通知手段１２４は、ネットワーク設定監視部１２６においてネットワーク情報の設定変更が検出された場合に、管理者１１にその内容を通知するユーザインタフェースを提供する。

次に、図６に示すフローチャートを用いて、この実施の形態２のファイアウォールサーバ１０での具体的な処理の流れを説明する。
例えば、ファイアウォールサーバ１０に、新たなネットワークを増設するものとする。この場合、管理者１１は、管理クライアント４６のネットワーク設定変更手段４６０を使用して、ネットワーク情報の設定変更を行う（ステップ５００）。これにより、ネットワーク設定変更手段４６０がネットワーク設定管理部１３１にアクセスし、ネットワーク情報の設定を実際に変更する（ステップ５０１）。

一方、ネットワーク設定監視部１２６は、ネットワーク設定管理部１３１が管理するネットワーク情報を定期的にポーリングし、比較用ネットワーク情報１２５と照合することによって、ネットワーク情報の設定変更を検出する（ステップ５０２）。

すると、ネットワーク設定監視部１２６は、パケットフィルタ部１２２に対して、あらゆる通信パケット１４を破棄する遮断モードへの移行を指示する（ステップ５０３）。これにより、パケットフィルタ部１２２は、遮断モードへ移行し、ファイアウォールサーバ１０を通過しようとするあらゆる通信パケット１４を破棄する。

次に、ネットワーク設定監視部１２６は、変更検出通知手段１２４を起動する（ステップ５０４）。変更検出通知手段１２４は、メールやコンソール画面への出力を行うことによって、管理者１１にフィルタリングルールの見直しを促す（ステップ５０５）。

変更検出通知手段１２４からフィルタリングルールを見直すように勧められた管理者４１は、ルール変更手段１２０を使用して、現在用いられているフィルタリングルールを、設定変更したネットワーク情報と食い違いのないフィルタリングルールに修正する（ステップ５０６）。フィルタリングルール管理部１２１は、この管理者１１によって修正されたフィルタリングルールを格納する（ステップ５０７）。

すると、ルール変更手段１２０がネットワーク設定監視部１２６にフィルタリングルールが修正された旨を通知する（ステップ５０８）。これを受けて、ネットーワーク設定監視部１２６は、ネットワーク設定管理部１３１が管理している最新のネットワーク情報を、新たな比較用ネットワーク情報１２５として格納する（ステップ５０９）。

この後、ネットワーク設定監視部１２６は、パケットフィルタ部１２２に遮断モードの解除を指示する。遮断モードの解除を指示されたパケットフィルタ部１２２は、ファイアウォールサーバ１０を通過しようとする通信パケット１４に対して、修正されたフィルタリングルールを基準とした通過／破棄の判定を再開する（ステップ５１０）。

以上の動作手順により、ネットワーク情報の設定変更を検知し、管理者１１に対してフィルタリングルールの修正を促すことによって、ネットワーク情報とフィルタリングルールとの間で食い違いのない設定を維持することが可能となる。

この実施の形態２において、ファイアウォールサーバ１０は、実施の形態１で示したようなネットワーク設定変更手段１２３を持たず、ファイアウォールサーバ１０に接続された管理クライアント４６におけるネットワーク設定変更手段４６０からの操作により、ネットワーク設定管理部１３１が管理するネットワーク情報の設定変更が行われる。なお、ファイアウォールサーバ１０内のＯＳのコマンド等を利用することによって、ネットワーク情報の設定変更を行った場合であっても、同様にしてネットワーク情報の設定変更を検出することが可能である。

また、この実施の形態２において、ネットワーク設定監視部１２６は、ネットワーク情報を定期的にポーリングし、そのネットワーク情報と比較用ネットワーク情報１２５とを照合することによってネットワーク情報の設定変更を検知するので、悪意のある第三者がファイアウォールサーバ１０に侵入し、故意にネットワーク情報の設定が変更されたとしても、意図しない通信を防ぐことができる。

上述した実施の形態１や実施の形態２におけるファイアウォールサーバ１０内での処理動作は、プロセッサや記憶装置からなるハードウェアと、これらのハードウェアと協働して各種機能を実現させるプログラムとによって実現される。また、プログラムは媒体に記憶された形で提供され、ハードウェアシステムに組み込まれている記憶装置、例えばハードディスク装置にインストールされることによって実行される。

なお、従来技術として例示した特許文献１には、ネットワーク機器管理装置と複数のネットワーク機器保守管理装置とを通信ネットワークを介して接続したネットワーク機器管理システムが示されている。このネットワーク機器管理システムにおいて、ネットワーク機器管理装置は、定期的に機器保守管理装置を介してネットワーク機器の設定状況（ネットワーク情報）を監視し、差異があるときにはそれを外部に通知する。ネットワーク機器保守装置は、ネットワーク機器管理装置に指示されて、配下のネットワーク機器からその設定情報（ネットワーク情報）を取り込み、事前に保持しているネットワーク機器の既設設定情報と取り込んだ設定情報とを比較し、差異があるときにはその設定情報をネットワーク機器管理装置に報告するとともに、新たな既設設定情報として保持する。

この特許文献１に示されたネットワーク機器管理システムは、ネットワーク情報の設定変更が検出された場合、最新の設定をネットワーク機器保守装置とネットワーク機器管理装置に格納して世代管理を行うことを目的としており、ファイアウォールサーバの存在はなく、ネットワーク情報の設定が変更された場合にファイアウォールサーバを介した通信を全て遮断し、管理者に通知するというアクションはとられない。このネットワーク機器管理システムにおけるネットワーク機器の設定変更を検出することの効果は、ネットワーク機器における設定の最新状態を事業者側で一元的に管理できることであり、それ以上の効果はない。これに対して、本発明では、ファイアウォールサーバ内で、ネットワーク情報の設定変更を監視し、ネットワーク情報が変更された場合に、意図しない通信が行われることを避けることを目的としており、遠隔の装置やサイトは使用しない。

また、従来技術として例示した特許文献２には、ユーザ端末と通信網との間にファイアウォールを設置する構成が示されている。このファイアウォールは、不正なパケットを検知した場合、その旨の警告情報を含む監視結果情報をネットワークを介して監視センタへ送信する。監視センタでは、監視サーバが、監視結果情報の解析結果に基づいて、必要に応じて、パケットの通過規則を適切に変更し、変更情報を作成して、ファイアウォールへ送る。

この特許文献２において、不正なパケットの検知を特許文献１に示されたネットワーク情報の設定変更に置き換えた場合、ネットワーク情報の設定変更が検知された時に、監視センタからファイアウォール内のパケットの通過規則を変更することが考えられる。しかし、この場合、監視センタからパケットの通過規則が変更されるまで、ファイアウォール内では従前のパケット通過規則が適用されてしまうために、ファイアウォールを介して意図しない通信が行われてしまう。本発明を適用した場合、ファイアウォールを介する通信は全て遮断されるので、監視センタからパケットの通過規則が変更されるまでの間、ファイアウォールを介して意図しない通信が行われてしまうことはない。

本発明に係るフィルタリングルール変更方法の実施に用いるファイアウォールサーバの一例（実施の形態１）を示すブロック構成図である。 このファイアウォールサーバの動作を説明するためのフローチャートである。 このファイアウォールサーバの動作内容を具体例に説明するための図である。 図３においてＤＭＺネットワークを増設する場合の動作内容を説明するための図である。 本発明に係るフィルタリングルール変更方法の実施に用いるファイアウォールサーバの他の例（実施の形態２）を示すブロック構成図である。 このファイアウォールサーバの動作を説明するためのフローチャートである。 ファイアウォールサーバの設置例（事例１）を示す図である。 事例１においてＤＭＺネットワークを増設した際の意図しない通信を説明する図である。 ファイアウォールサーバの設置例（事例２）を示す図である。 事例２においてルータを介してネットワークをを増設した際の意図しない通信を説明する図である。

符号の説明

１０…ファイアウォールサーバ、１２…ファイアウォール部、１３…パケット入出力部、１４…通信パケット、１５…ネットワーク、３１，３２…内部ネットワーク、３３…外部ネットワーク、３４…ＤＭＺネットワーク、Ｉ０，Ｉ１，Ｉ２，Ｉ３…ネットワークインタフェース、４６…管理クライアント、１２０…ルール変更手段、１２１…フィルタリングルール管理部、１２２…パケットフィルタ部、１２３…ネットワーク設定変更手段、１２４…変更検出通知手段、１２５…比較用ネットワーク情報、１２６…ネットワーク設定監視部、１３０…パケット処理部、１３１…ネットワーク設定管理部、、４６０…ネットワーク設定変更手段。

Claims (6)

1. ネットワークの接続環境を示すネットワーク情報と通信の通過規則を示すフィルタリングルールとが設定されたファイアウォールサーバにおけるフィルタリングルール変更方法であって、
   前記ネットワーク情報の設定変更を監視するステップと、
   前記ネットワーク情報の設定変更が確認された場合、前記ファイアウォールサーバを介する通信を全て遮断するとともに、前記フィルタリングルールの変更を促すステップと
   を備えたことを特徴とするファイアウォールサーバにおけるフィルタリングルール変更方法。
2. ネットワークの接続環境を示すネットワーク情報と通信の通過規則を示すフィルタリングルールとが設定されたファイアウォールサーバにおいて、
   前記ネットワーク情報の設定変更を監視する手段と、
   前記ネットワーク情報の設定変更が確認された場合、前記ファイアウォールサーバを介する通信を全て遮断するとともに、前記フィルタリングルールの変更を促す手段と
   を備えたことを特徴とするファイアウォールサーバ。
3. ネットワークの接続環境を示すネットワーク情報と通信の通過規則を示すフィルタリングルールとが設定されたファイアウォールサーバのコンピュータに、
   前記ネットワーク情報の設定変更を監視する処理と、
   前記ネットワーク情報の設定変更が確認された場合、前記ファイアウォールサーバを介する通信を全て遮断するとともに、前記フィルタリングルールの変更を促す処理と
   を実現させるためのプログラム。
4. 請求項１に記載されたファイアウォールサーバにおけるフィルタリングルール変更方法において、
   さらに、
   前記フィルタリングルールの変更に促されて前記フィルタリングルールを修正するステップと、
   前記フィルタリングルールが修正された後に前記ファイアウォールサーバを介する全ての通信の遮断状態を解除するステップと
   を備えたことを特徴とするファイアウォールサーバにおけるフィルタリングルール変更方法。
5. 請求項２に記載されたファイアウォールサーバにおいて、
   さらに、
   前記フィルタリングルールの変更に促されて修正された前記フィルタリングルールを格納する手段と、
   前記修正されたフィルタリングルールが格納された後に前記ファイアウォールサーバを介する全ての通信の遮断状態を解除する手段と
   を備えたことを特徴とするファイアウォールサーバ。
6. 請求項３に記載されたプログラムにおいて、
   前記コンピュータに、
   さらに、
   前記フィルタリングルールの変更に促されて修正された前記フィルタリングルールを格納する処理と、
   前記修正されたフィルタリングルールが格納された後に前記ファイアウォールサーバを介する全ての通信の遮断状態を解除する処理と
   を実現させるためのプログラム。
   

Images