JP2007067604A - セキュリティポリシー不整合解消支援システム、方法およびプログラム - Google Patents

Abstract

【課題】 管理対象となるネットワークシステムに複数のセキュリティ機能が適用されている場合に、いずれのセキュリティ機能の設定に誤りがある場合でも、設定の不整合を検出し、不整合を解消するための対処案を提示できるようにする。
【解決手段】 入出力装置２００には、複数のセキュリティ機器の設定情報が入力される。設定情報分析手段１１０は、分析方式ＤＢ１２０から、入力された設定情報の組み合わせに応じた設定情報分析アルゴリズムを読み込み、設定情報間の不整合を検出する。対処案生成手段１３０は、対処案生成方式ＤＢ１４０から、設定情報および設定情報分析アルゴリズムの組み合わせに応じた対処案生成アルゴリズムを読み込み、対処案を生成する。このとき、対処案生成手段１３０は、各設定情報に誤りがあると仮定した場合の修正方法をそれぞれ生成する。そして、生成した対処案を入出力装置２００に表示させる。
【選択図】 図１

Description

本発明は、情報システムにおける複数種類のセキュリティ機能の設定内容（セキュリティポリシー）の不整合解消を支援するセキュリティポリシー不整合解消支援システム、方法およびプログラムに関する。

セキュリティ機器の設定を自動的に行うセキュリティ自動設定装置が提案されている（例えば、特許文献１参照。）。特許文献１に記載されたセキュリティ自動設定装置（以下、自動設定装置と記す。）は、設定変更制御部、中央処理部、データベース、シグネチャ制御部、データ更新制御部を備えた構成となっている。そして、セキュリティ機能の抜け目を防止するように、侵入検知システムの設定を更新させる。特許文献１に記載された自動設定装置は、以下のように動作する。

まず、特許文献１に記載された自動設定装置は、ファイアウォールの設定情報を取得し、次にデータベースからすべてのシグネチャを取得する。そして、自動設定装置は、各ポート番号について、ファイアウォールの設定情報と、侵入検知システムのサポート有無とのＡＮＤをとったものを、侵入検知システムで設定すべき内容とする。さらに、侵入検知システムの現在の設定状態を取得し、この侵入検知システムの現在の設定と、侵入検知システムで設定すべき内容とのＸＯＲをとる。ＸＯＲの結果が真となる場合（つまり、侵入検知システムの現在の設定と、設定すべき内容とが異なっている場合）には、侵入検知システムの現在の設定を変更する。この動作により、ファイアウォールで開いていて侵入検知システムで監視可能なポートについては侵入検知システムが漏れなく監視するように設定できる。また、ファイアウォールで閉じているポートについては侵入検知システムで無駄な監視をしないように設定できる。

特開２００４−２７４６５４号公報（第５−１２頁、図１、図７、図８）

しかし、特許文献１に記載された自動設定装置は、ファイアウォールの設定が正しいという前提に基づいて動作していて、ファイアウォールの設定に誤りがある場合について考慮されていない。従って、侵入検知システムの設定が正しく、ファイアウォールの設定に誤りがある場合には、特許文献１に記載された自動設定装置は対応することができない。また、特許文献１に記載された自動設定装置は、ファイアウォールの設定を基準にして侵入検知システムの設定を変更する構成になっているので、侵入検知システムの設定しか変更することができない。

管理対象となるネットワークシステムに複数のセキュリティ機能が適用されている場合、いずれのセキュリティ機能の設定に誤りがある場合でも、セキュリティ管理者が設定の不整合解消を適切に行えるように支援できることが好ましい。また、セキュリティ機能に関する設定変更（設定の不整合解消）を行う場合に、不整合が生じている設定についてのみ変更を行い、ネットワーク利用者がネットワークシステムを用いて業務等を安定に遂行できるようにすることが好ましい。

なお、企業等の組織のネットワークシステムのセキュリティ管理を行う者を「セキュリティ管理者」と呼ぶことにする。また、セキュリティ管理の対象となるネットワークシステムを利用して業務や作業を行う者を「ネットワーク利用者」と呼ぶことにする。

また、企業等が利用する大規模なネットワークシステムには、数、種類ともに多くのセキュリティ機器が含まれていて、それらのセキュリティ機器の設定情報（設定内容）も複雑になる。そのような多くのセキュリティ機器の設定の不整合を人手で検出することは、非常に多くの時間と費用を要するため、現実的ではない。また、設定の不整合を検出したとしても、その不整合を解消するための設定修正方法を導出することは、セキュリティ管理者にとって大きな負担となる。

そこで、本発明は、管理対象となるネットワークシステムに複数のセキュリティ機能が適用されている場合に、いずれのセキュリティ機能の設定に誤りがある場合でも、不整合の解消を行えるようにすることを目的とする。特に、ネットワークシステムにファイアウォールおよび侵入検知システムが適用されている場合に、ファイアウォールの設定と侵入検知システムの設定のどちらに誤りがある場合でも、不整合の解消を行えるようにすることを目的とする。

また、特定のセキュリティ機能の設定に関する修正支援だけを行うのではなく、複数のセキュリティ機能の設定に関する修正支援を行えるようにすることを目的とする。特に、ファイアウォールの設定に関する修正支援と侵入検知システムの設定に関する修正支援の双方を行えるようにすることを目的とする。

また、ファイアウォールおよび侵入検知システムの設定で、ポートに関して不整合が生じている場合、ファイアウォールの設定の修正方法として、不整合が生じたポートに関する設定のみを変更する修正方法を生成できるようにすることを目的とする。

また、セキュリティ管理者の負担を軽減できるようにすることを目的とする。

本発明によるセキュリティポリシー不整合解消支援システムは、ネットワークシステムが備えるセキュリティ機器の複数種類のセキュリティ機能の設定を定めた各セキュリティ機能の設定情報を比較することによって、設定情報間の不整合を検出する設定情報分析手段と、設定情報分析手段によって不整合が検出されたときに、各セキュリティ機能の設定情報毎に、設定情報が間違っていて他の設定情報が正しいという仮定のもとで、不整合を解消するための設定情報の修正方法を導出する修正方法生成手段とを備えたことを特徴とする。

そのような構成によれば、修正方法生成手段が、各セキュリティ機能の設定情報毎に、設定情報が間違っていて他の設定情報が正しいという仮定のもとで、不整合を解消するための設定情報の修正方法を導出する。従って、設定情報毎に生成された修正方法を参照することで、セキュリティ管理者は、自身の経験や知識、あるいは自身が意図する設定状況と照合して、適切な修正方法を選択することができる。その結果、いずれのセキュリティ機能の設定に誤りがある場合でも、不整合の解消を行うことができる。また、複数種類の修正方法が導出されるので、複数のセキュリティ機能の設定に関する修正支援を行える。また、その結果、管理者は、修正方法を選択して、その方法によって設定情報を修正すればよいので、管理者の負担が軽減される。

各セキュリティ機能の設定情報を記憶する設定情報記憶手段を備え、設定情報分析手段が、設定情報記憶手段に記憶された各セキュリティ機能の設定情報を比較することによって、設定情報間の不整合を検出する構成であってもよい。

各セキュリティ機能の設定情報を取得する設定情報取得手段と、設定情報取得手段が取得した各設定情報を設定情報記憶手段に記憶させる設定情報登録手段とを備えた構成であってもよい。

各セキュリティ機能の設定情報を取得する設定情報取得手段を備え、設定情報分析手段が、設定情報取得手段が取得した各セキュリティ機能の設定情報を比較することによって、設定情報間の不整合を検出する構成であってもよい。

設定情報取得手段が、管理者によって設定情報を入力されることによって設定情報を取得する構成であってもよい。

設定情報取得手段が、セキュリティ機器が保持している設定情報をセキュリティ機器から収集することによって設定情報を取得する構成であってもよい。そのような構成によれば、管理者自身が設定情報を入力する必要がないので、管理者の負担が軽減される。

設定情報の収集対象となる機器を備え、機器が、その機器のセキュリティ機能の設定情報を抽出し、その設定情報を設定情報取得手段に送信する設定情報送信手段を含む構成であってもよい。そのような構成によれば、管理者自身が設定情報を入力する必要がないので、管理者の負担が軽減される。

修正方法生成手段によって設定情報毎に導出された各修正方法をそれぞれ表示して管理者に修正方法の選択を促す修正方法選択手段と、管理者によって選択された修正方法に対応する設定情報であって、セキュリティ機器に保持されている設定情報を、その修正方法に従って修正する設定情報修正手段とを備えた構成であってもよい。そのような構成によれば、設定情報修正手段が、設定情報を修正するので、管理者は修正方法を選択するだけで、修正自体は行わなくて済む。よって、管理者の負担が軽減される。

複数のセキュリティ機能の設定情報の不整合の種類を導出する規則である設定情報分析規則を、設定情報の組み合わせ毎に記憶する分析規則記憶手段を備え、設定情報分析手段が、不整合検出の対象となる複数の設定情報の組み合わせに応じた設定情報分析規則を分析規則記憶手段から読み込み、その設定情報分析規則に従って、複数の設定情報の内容に応じた不整合を検出する構成であってもよい。

設定情報毎に設定情報が間違っていて他の設定情報が正しいという仮定のもとでの設定情報の修正パターンを記述した対処案を導出する規則である対処案生成規則を、複数の設定情報と設定情報分析規則との組み合わせ毎に記憶する対処案生成規則記憶手段を備え、修正方法生成手段が、不整合検出の対象となった複数の設定情報と設定情報分析手段によって読み込まれた設定情報分析規則との組み合わせに応じた対処案生成規則を読み込み、その対処案生成規則に従って、検出された不整合の種類に応じて、不整合検出の対象となった各設定情報毎の修正パターンを含む対処案を特定し、その対処案に含まれる各修正パターンに従って、各修正パターンに対応する設定情報の修正方法を導出する構成であってもよい。

そのような構成によれば、分析規則記憶手段や対処案生成規則記憶手段に新たな設定情報分析規則や新たな対処案生成規則を追加記憶させることにより、ネットワークシステムに新たに追加されたセキュリティ機器のセキュリティ機能の設定についても、不整合を検出し、修正方法を導出することができる。

分析規則記憶手段が、ファイアウォールの設定情報と侵入検知システムの設定情報との組み合わせに対応する設定情報分析規則であって、ファイアウォールの設定情報では通過が許可されているパケットが侵入検知システムの設定情報では監視対象となっていない場合に、通過が許可されているパケットに対する監視を行っていない監視漏れ不整合が生じていて、ファイアウォールの設定情報では通過が禁止されているパケットが侵入検知システムの設定情報では監視対象となっている場合に、通過が禁止されているパケットに対する監視を行っている監視過剰不整合が生じていると定めた設定情報分析規則を記憶し、設定情報分析手段が、その設定情報分析規則を読み込み、ファイアウォールの設定情報と侵入検知システムの設定情報とを比較し、その設定情報分析規則に従って、ファイアウォールの設定情報では通過が許可されているパケットが侵入検知システムの設定情報では監視対象となっていない場合には、監視漏れ不整合を検出し、監視漏れ不整合の原因となるファイアウォールの設定情報および侵入検知システムの設定情報の記述箇所を特定し、ファイアウォールの設定情報では通過が禁止されているパケットが侵入検知システムの設定情報では監視対象となっている場合には、監視過剰不整合を検出し、監視過剰不整合の原因となるファイアウォールの設定情報および侵入検知システムの設定情報の記述箇所を特定し、対処案生成規則記憶手段が、ファイアウォールの設定情報と侵入検知システムの設定情報と設定情報分析規則との組み合わせに対応する対処案生成規則であって、監視漏れ不整合に対応するファイアウォールの設定情報および侵入検知システムの設定情報それぞれの修正パターンを定め、監視過剰不整合に対応するファイアウォールの設定情報および侵入検知システムの設定情報それぞれの修正パターンを定めた対処案生成規則を記憶し、修正方法生成手段が、その対処案生成規則を読み込み、監視漏れ不整合が検出された場合には、監視漏れ不整合に対応するファイアウォールの設定情報および侵入検知システムの設定情報それぞれの修正パターンに従って、監視漏れ不整合の原因となるファイアウォールの設定情報および侵入検知システムの設定情報の記述箇所に基づいて、ファイアウォールの設定情報および侵入検知システムの設定情報それぞれの修正方法を生成し、監視過剰不整合が検出された場合には、監視過剰不整合に対応するファイアウォールの設定情報および侵入検知システムの設定情報それぞれの修正パターンに従って、監視過剰不整合の原因となるファイアウォールの設定情報および侵入検知システムの設定情報の記述箇所に基づいて、ファイアウォールの設定情報および侵入検知システムの設定情報それぞれの修正方法を生成する構成であってもよい。

そのような構成によれば、ファイアウォールの設定情報の修正方法と侵入検知システムの設定情報の修正方法とが生成される。従って、管理者は、設定情報毎に生成された修正方法を参照して、選択することで、ファイアウォールと侵入検知システムのどちらの設定情報に誤りがある場合でも、不整合を解消することができる。また、管理者に対して、ファイアウォールの設定に関する修正支援と侵入検知システムの設定に関する修正支援の双方を行うことができる。

対処案生成規則記憶手段が、監視漏れ不整合に対応するファイアウォールの設定情報の修正パターンとして、不整合原因となったファイアウォールの設定情報の記述箇所より優先順位が高い記述であってパケットの通過を禁止する記述を挿入する旨の修正パターンを定め、監視過剰不整合に対応するファイアウォールの設定情報の修正パターンとして、不整合原因となったファイアウォールの設定情報の記述箇所より優先順位が高い記述であってパケットの通過を許可する記述を挿入する旨の修正パターンを定めた対処案生成規則を記憶し、修正方法生成手段が、監視漏れ不整合が検出された場合には、監視漏れ不整合に対応する修正パターンに従って、監視漏れ不整合の原因として特定されたファイアウォールの設定情報の記述箇所より優先順位が高い記述であって侵入検知システムが監視対象としていないパケットのポート番号を有するパケットの通過を禁止する記述を挿入するという修正方法を生成し、監視過剰不整合が検出された場合には、監視過剰不整合に対応する修正パターンに従って、監視過剰不整合の原因として特定されたファイアウォールの設定情報の記述箇所より優先順位が高い記述であって侵入検知システムが監視対象としているパケットのポート番号を有するパケットの通過を許可する記述を挿入するという修正方法を生成する構成であってもよい。

そのような構成によれば、ファイアウォールおよび侵入検知システムの設定で、ポートに関して不整合が生じている場合、ファイアウォールの設定の修正方法として、不整合が生じたポートに関する設定のみを変更する修正方法を生成できる。また、その結果、不整合が生じていないポートに関する設定については修正されないので、新たな不整合を生じさせたり、修正の結果ネットワークシステムの運用に支障をきたすおそれがない。

また、本発明によるセキュリティポリシー不整合解消支援方法は、設定情報分析手段が、ネットワークシステムが備えるセキュリティ機器の複数種類のセキュリティ機能の設定を定めた各セキュリティ機能の設定情報を比較することによって、設定情報間の不整合を検出し、修正方法生成手段が、設定情報分析手段によって不整合が検出されたときに、各セキュリティ機能の設定情報毎に、設定情報が間違っていて他の設定情報が正しいという仮定のもとで、不整合を解消するための設定情報の修正方法を導出することを特徴とする。

設定情報記憶手段が、各セキュリティ機能の設定情報を記憶し、設定情報分析手段が、設定情報記憶手段に記憶された各セキュリティ機能の設定情報を比較することによって、設定情報間の不整合を検出する方法であってもよい。
。

また、設定情報取得手段が、各セキュリティ機能の設定情報を取得し、設定情報分析手段が、設定情報取得手段が取得した各セキュリティ機能の設定情報を比較することによって、設定情報間の不整合を検出する方法であってもよい。

また、本発明によるセキュリティポリシー不整合解消支援プログラムは、ネットワークシステムが備えるセキュリティ機器の複数種類のセキュリティ機能の設定を定めた各セキュリティ機能の設定情報を記憶する設定情報記憶手段を備えたコンピュータに、設定情報記憶手段に記憶された各セキュリティ機能の設定情報を比較することによって、設定情報間の不整合を検出する設定情報分析処理、および設定情報分析処理で不整合が検出されたときに、各セキュリティ機能の設定情報毎に、設定情報が間違っていて他の設定情報が正しいという仮定のもとで、不整合を解消するための設定情報の修正方法を導出する修正方法生成処理を実行させることを特徴とする。

また、本発明によるセキュリティポリシー不整合解消支援プログラムは、コンピュータに、ネットワークシステムが備えるセキュリティ機器の複数種類のセキュリティ機能の設定を定めた各セキュリティ機能の設定情報を比較することによって、設定情報間の不整合を検出する設定情報分析処理、および設定情報分析手段によって不整合が検出されたときに、各セキュリティ機能の設定情報毎に、設定情報が間違っていて他の設定情報が正しいという仮定のもとで、不整合を解消するための設定情報の修正方法を導出する修正方法生成処理を実行させることを特徴とする。

本発明によれば、管理対象となるネットワークシステムに複数のセキュリティ機能が適用されている場合に、いずれのセキュリティ機能の設定に誤りがある場合でも、不整合の解消を行うことができる。また、管理者に対して、特定のセキュリティ機能の設定に関する修正支援だけを行うのではなく、複数のセキュリティ機能の設定に関する修正支援を行うことができる。また、管理者の負担を軽減できる。

以下、本発明の実施の形態を図面を参照して説明する。

実施の形態１．
図１は、本発明によるセキュリティポリシー不整合解消支援システムの第１の実施の形態を示すブロック図である。図１に示すセキュリティポリシー不整合解消支援システムは、プログラムに従って動作するコンピュータであるデータ処理装置１００と、情報の入出力を行う入出力装置２００とを備えている。入出力装置２００は、例えば、キーボードやマウスなどの入力装置およびディスプレイ装置などの出力装置を含んでいる。

データ処理装置１００は、設定情報分析手段１１０と、分析方式データベース（以下、分析方式ＤＢと記す。）１２０と、対処案生成手段１３０と、対処案生成方式データベース（以下、対処案生成方式ＤＢと記す。）１４０とを含む。設定情報分析手段１１０および対処案生成手段１３０は、例えば、プログラムにしたがって動作するＣＰＵによって実現される。

入出力装置２００には、複数のセキュリティ機能の設定情報が入力される。例えば、複数のセキュリティ機器（図１において図示せず。）の設定情報がそれぞれ入力される。設定情報は、セキュリティ機能に関する設定内容を示す情報である。例えば、設定情報の例として、どのようなパケットを通過させ、どのようなパケットを通過させないようにするかを示すファイアウォールの設定情報が挙げられる。また、例えば、どのようなポートを監視するかを示す侵入検知システムの設定情報が挙げられる。設定情報は、例えば、複数のルールからなる。

セキュリティ機器は、例えば、ある組織が利用するネットワークシステム（図示せず。）の構成要素となる機器のうち、セキュリティ機能を有する機器である。このネットワークシステムは、セキュリティ管理者の管理対象となる。以下、説明を簡単にするため、管理対象となるネットワークシステムには、二つ以上のセキュリティ機器が含まれ、そのセキュリティ機器の設定情報がそれぞれ入出力装置２００に入力されるものとして説明する。

分析方式ＤＢ１２０は、設定情報分析アルゴリズム（設定情報分析規則）を記憶する。設定情報分析アルゴリズムは、複数のセキュリティ機能の設定情報の不整合の種類を導出する規則である。例えば、設定情報分析アルゴリズムは、条件とその条件が満たされた場合の不整合の種類の組み合わせを示す情報として記述される。条件としては、例えば、複数の設定情報が示す設定内容の関係が記述される。そのような設定情報分析アルゴリズムの場合、入力された各設定情報が条件を満足するときには、その条件と対になる結論として記述された不整合の種類が導出されることになる。設定情報分析アルゴリズムの具体例については、図５を用いて後述する。設定情報分析アルゴリズムは、設定情報分析手段１１０が分析を行う際に分析方式ＤＢ１２０から読み込まれる。また、分析方式ＤＢ１２０は、設定情報の組み合わせに応じた設定情報分析アルゴリズムを記憶する。例えば、分析方式ＤＢ１２０は、ファイアウォールの設定情報および侵入検知システムの設定情報の組み合わせに応じた設定情報分析アルゴリズムや、その他の設定情報の組み合わせに応じた各種設定情報分析アルゴリズムを記憶する。

対処案生成方式ＤＢ１４０は、対処案生成アルゴリズム（対処案生成規則）を記憶する。対処案生成アルゴリズムは、複数のセキュリティ機能の設定情報の不整合を解消するための対処案を導出する規則である。例えば、対処案生成アルゴリズムは、条件とその条件が満たされた場合の対処案との組み合わせを示す情報として記述される。条件としては、例えば、設定情報の不整合の種類が記述される。そのような対処案生成アルゴリズムの場合、導出された設定情報の不整合の種類が条件に合致するときには、その条件と対になる結論として記述された対処案が導出されることになる。なお、「対処案」は、検出された不整合について、その不整合を解消するにはどのように対処すべきかを記述した情報である。そして、対処案生成アルゴリズムに記述された対処案には、入出力装置２００に入力される各設定情報毎に、設定情報の修正のパターン（以下、修正パターンと記す。）の記述が含まれる。対処案生成アルゴリズムの具体例については、図７を用いて後述する。図７に示す例では、“then”の次の記述が対処案（修正パターンの記述を含んでいる。）に該当する。修正パターンの例として、例えば「不整合原因の侵入検知システムルールを監視するように修正」等がある。対処案生成アルゴリズムは、対処案生成手段１３０が対処案を生成する際に対処案生成方式ＤＢ１４０から読み込まれる。また、対処案生成方式ＤＢ１４０は、入力された各設定情報と設定情報分析アルゴリズムとの組み合わせに応じた対処案生成アルゴリズムを記憶する。例えば、対処案生成方式ＤＢ１４０は、ファイアウォールの設定情報、侵入検知システムの設定情報、および図５に例示する設定情報分析アルゴリズムの組み合わせに応じた対処案生成アルゴリズムや、その他の組み合わせに応じた対処案生成アルゴリズムを記憶する。

また、修正パターンには、例えばポート番号やルールの識別情報等の具体的な情報は含まれていない。不整合を解消するように設定情報を修正する具体的な方法を「修正方法」と記すことにする。修正方法は、修正パターンに基づいて、対処案生成手段１３０によって生成される。そして、設定情報毎の修正方法を含む対処案が入出力装置２００に表示される。

なお、設定情報の修正パターン、修正方法は、その設定情報が誤っていると仮定した場合の修正パターン、修正方法である。例えば、対処案に、ファイアウォールの設定情報の修正パターンと、侵入検知システムの設定情報の修正パターンが含まれているとする。ファイアウォールの設定情報の修正パターンは、ファイアウォールの設定情報に誤りがあると仮定した場合の修正パターンである。そして、その修正パターンに基づいて生成された具体的な修正方法も、ファイアウォールの設定情報に誤りがあると仮定した場合の修正方法である。同様に、侵入検知システムの設定情報の修正パターンは、侵入検知システムの設定情報に誤りがあると仮定した場合の修正パターンである。そして、その修正パターンに基づいて生成された具体的な修正方法も、侵入検知システムの設定情報に誤りがあると仮定した場合の修正方法である。

設定情報分析手段１１０は、入出力装置２００から入力された設定情報を受け取り、その設定情報に応じて分析処理を実行する。設定情報分析手段１１０は、あるセキュリティ機能の設定情報と別のセキュリティ機能の設定情報（例えば、あるセキュリティ機器の設定情報と別のセキュリティ機器の設定情報）を用いて分析処理を行う。「分析」については後述する。

入出力装置２００には、互いに異なるセキュリティ機能の設定情報（ここでは、互いに異なるセキュリティ機器の設定情報とする。）が入力される。設定情報分析手段１１０は、入出力装置２００から設定情報を受け取る場合、この互いに異なるセキュリティ機器の設定情報を受け取る。例えば、設定情報分析手段１１０は、ファイアウォールの設定情報と侵入検知システムの設定情報とを受け取る。また、設定情報分析手段１１０は、入出力装置２００から受け取った設定情報の組み合わせに対応する設定情報分析アルゴリズムを分析方式ＤＢ１２０から読み込み、その設定情報分析アルゴリズムに従って分析処理を行う。例えば、上記のように、ファイアウォールの設定情報と侵入検知システムの設定情報とを受け取った場合、ファイアウォールの設定情報と侵入検知システムの設定情報の組み合わせに対応する設定情報分析アルゴリズムを読み込み、そのアルゴリズムに従って分析処理を行う。

本発明において、「分析」とは、異なるセキュリティ機能の各設定情報を参照し、それらセキュリティ機能の設定情報を個別に参照するだけでは検出不可能な、異なるセキュリティ機能間の設定の不整合検出を行うことである。

具体的な例を説明する。ファイアウォールの設定を基準に考えると、ファイアウォールの設定でパケット通過を許可しているポートについては、侵入検知システムで監視を行うことが望ましい。逆に、侵入検知システムの設定を基準に考えると、侵入検知システムで監視を行っているポートについては、ファイアウォールでパケット通過を許可する必要があると考えられる。また、ファイアウォールの設定を基準に考えると、ファイアウォールの設定でパケット通過を禁止しているポートについては、侵入検知システムで監視を行う必要はない。逆に、侵入検知システムの設定を基準に考えると、侵入検知システムで監視を行っていないポートについては、ファイアウォールで通過を禁止する必要があると考えられる。設定情報分析手段１１０は、上記の「分析」を行うことにより、例えば、ファイアウォールでパケット通過を許可しているポートについて侵入検知システムで監視していないという不整合（監視漏れ）、あるいは、ファイアウォールでパケット通過を禁止しているポートについて侵入検知システムで監視を行っている不整合（監視過剰）などの不整合検出を行う。

分析は、あらかじめ定められた分析方法に従って実行される。例えば、設定情報分析アルゴリズムは、入力された各設定情報がある条件を満足するときに、その条件に応じた不整合の種類を特定するように予め記述され、分析方式ＤＢ１２０に記憶されている。設定情報分析手段１１０は、その設定情報分析アルゴリズムに従って分析処理を行う。分析方法の例としては、例えば、「ファイアウォールの設定情報と侵入検知システムの設定情報の間で、ポート番号の設定について不整合があるかどうかを確認する」などの分析方法が挙げられる。このような分析方法に応じて予め作成された設定情報分析アルゴリズムに従って、設定情報分析手段１１０は、「ファイアウォールで通過を許可しているポートについて侵入検知システムで監視していない」、「ファイアウォールで通過を禁止しているポートについて侵入検知システムで監視している」などの不整合を検出する。

対処案生成手段１３０は、入出力装置２００に入力された設定情報および設定情報分析手段１１０に読み込まれた設定情報分析アルゴリズムの組み合わせに応じた対処案生成アルゴリズムを対処案生成方式ＤＢ１４０から読み込む。そして、対処案生成手段１３０は、読み込んだ対処案生成アルゴリズムに記述された対処案のうち、設定情報分析手段１１０による分析で導出された不整合の種類に応じた対処案を特定する。この対処案には、入出力装置２００に入力された設定情報毎の修正パターンが含まれている。対処案生成手段１３０は、特定した対処案に含まれる修正パターンに基づいて、設定情報毎の具体的な修正方法を生成し、その修正方法の集合を対処案として、入出力装置２００に表示させる。

対処案生成手段１３０は、修正パターンの記述に従って、修正方法を生成する。例えば、「不整合原因の侵入検知システムルールを監視するように修正」等の修正パターンに従って、「２５／ｔｃｐへ向かうパケットを監視するように修正する」等の具体的な修正方法を生成する。この修正方法の生成態様は、修正パターンや、設定情報がどのセキュリティ機能の設定情報であるのかによって異なる。修正方法生成の具体例については、設定情報がファイアウォールや侵入検知システムの設定情報である場合を例にして後述する。

次に、動作について説明する。
図２は、本実施の形態のセキュリティポリシー不整合解消支援システムの動作の例を示すフローチャートである。データ処理装置１００には、入出力装置２００を介して、例えばセキュリティ管理者から、異なるセキュリティ機能を複数のセキュリティ機器の設定情報が入力される（ステップＡ１）。ステップＡ１において複数のセキュリティ機能の設定情報が入力されると、設定情報分析手段１１０は、それら複数のセキュリティ機能の設定情報の組み合わせに応じた設定情報分析アルゴリズムを分析方式ＤＢ１２０から検索し、分析方式ＤＢ１２０から読み込む（ステップＡ２）。

続いて、設定情報分析手段１１０は、ステップＡ２で検索された設定情報分析アルゴリズムに従って、ステップＡ１で入力された複数のセキュリティ機能の設定情報の分析を行う。すなわち、複数のセキュリティ機能の設定情報間の不整合の検出を行う（ステップＡ３）。ステップＡ３では、設定情報分析手段１１０は、各設定情報が設定情報分析アルゴリズムに記述された条件を満たしている場合には、その条件と対になる結論として記述された不整合が生じていると判定して、不整合を検出する。条件と対になる結論として、不整合の種類が記述されているので、設定情報分析手段１１０は、どのような種類の不整合が生じているのかを検出することができる。また、各設定情報が設定情報分析アルゴリズムに記述されたいずれの条件も満たしていない場合には、不整合が生じていない（不整合が検出されない）と判定すればよい。

ステップＡ３の処理において不整合が検出されなかった場合は（ステップＡ４のＮＯ）、設定情報分析手段１１０は、その旨のメッセージを入出力装置２００を介して出力して（例えば、入出力装置２００に表示させて）処理を終了する。なお、図２において、このメッセージ出力処理のステップの図示は省略している。

ステップＡ３の処理において不整合が検出された場合は（ステップＡ４のＹＥＳ）、設定情報分析手段１１０は、不整合検出結果を対処案生成手段１３０に送り、対処案生成手段１３０はステップＡ５以降の処理を行う。不整合検出結果（分析結果）には、例えば、不整合の種類、不整合となる各設定情報の設定内容が含まれる。また、分析に用いた設定情報分析アルゴリズム名（設定情報分析アルゴリズムの識別情報）、分析対象となった設定情報がどのセキュリティ機能の設定情報であるのか、等の情報が分析結果に付加される。

対処案生成手段１３０は、ステップＡ２において設定情報分析手段１１０によって検索された設定情報分析アルゴリズムと、ステップＡ１において入出力装置２００を介して入力されたセキュリティ機能の設定情報との組み合わせに応じた対処案生成アルゴリズムを対処案生成方式ＤＢ１４０から検索し、対処案生成方式ＤＢ１４０から読み込む（ステップＡ５）。

続いて、対処案生成手段１３０は、不整合検出結果を入力データとし、ステップＡ５で検索された対処案生成アルゴリズムに従って、ステップＡ３で検出されたセキュリティ設定情報の不整合を解消するための対処案（各設定情報の修正方法）を生成する（ステップＡ６）。ステップＡ６において、対処案生成手段１３０は、読み込んだ対処案生成アルゴリズムに記述された条件のうち、ステップＡ３で検出された不整合の種類と合う条件を特定し、その条件と対になる結論として記述された対処案を特定する。この対処案には、設定情報毎の修正パターンの記述が含まれている。対処案生成手段１３０は、その修正パターンに従って修正方法を生成し、その修正方法の集合を対処案とすることによって対処案を生成する。

次に、対処案生成手段１３０は、ステップＡ６で生成した対処案を入出力装置２００から出力しセキュリティ管理者に提示する（ステップＡ７）。例えば、対処案をディスプレイ装置に表示させる。

次に、対処案生成の具体例について説明する。ここでは、対処案生成の具体例として、ファイアウォールの設定と侵入検知システムの設定との不整合検出を行い、検出された不整合を解消するための対処案を生成する場合について説明する。

ファイアウォールは、組織内のコンピュータネットワークに対する外部からの侵入を防ぐシステムであり、設定情報として複数のフィルタリングルールが設定される。各ルールでは、データパケットに関するいくつかの要素が予め定義される（要素が予め定められる）。また、その要素に合致するデータパケットが送信されてきたときに、そのデータパケットを通過させるか、通過させないかを示す情報もルールに記述される。ファイアウォールは、送信されてきたデータパケットを通過させるか通過させないかを、このルールに従って決定する。なお、要素としては、データパケットの送信元や宛先のＩＰアドレスやポート等がある。複数のルールを設定しておくことで、ある送信元から送られるデータパケットの通過を許可したり、別の送信元から送られるデータパケットの通過を拒否したりすることが可能である。また、各ルールは、順序付けられていて、ファイアウォールは、優先順位の高いルールから参照して、データパケットを通過させるか否かを決定する。すなわち、データパケットが到着した際、優先順位の高いルールから順に、データパケット（送信されてきたデータパケット）の要素と、ルール内に記述された要素とが合致するか否か評価される。要素が合致するならば、そのルールの記述に従って、データパケットを通過させるか否かを決定する。合致しなければ、次の優先順位のルールを用いて同様の評価を行うことを繰り返す。

また、侵入検知システムは、通信回線を監視し、ネットワークへの侵入を検知して管理者に通報するシステムであり、設定情報としてシグネチャの選択が設定される。シグネチャとは、不正アクセスでよく用いられる手段をパターン化したものであり、一般的に一つのパターンは一つのシグネチャとして管理される。侵入検知システムは、ネットワーク上を流れるパケットをキャプチャし、シグネチャと比較することで不正アクセスを検知する。

図３は、ファイアウォールの設定情報の一例である。図３に示す例では、「プロトコルがｔｃｐで、宛先ポート番号が０番から１０２３番のいずれかであるパケットはファイアウォールの通過を許可する」というルールが設定されている。

図４は、侵入検知システムの設定情報の一例である。図４に示す例では、「プロトコルがｔｃｐで、宛先ポート番号が２５番であるパケットを監視しない」というルールが設定されている。

また、設定情報に含まれる各ルールには、ルールの識別情報（本例では、番号とする。）が割り当てられている。

なお、図３および図４に示すように、設定情報には、どのセキュリティ機能（セキュリティ機器）に関する設定情報であるのかが記述されている。例えば、図３に例示する設定情報では、「ファイアウォール」という記述があり、この記述により、データ処理装置１００は、入力された設定情報がファイアウォールの設定情報であると判定することができる。同様に、図４に例示する設定情報では、「侵入検知システム」という記述があり、この記述により、データ処理装置１００は、入力された設定情報が侵入検知システムの設定情報であると判定することができる。

ステップＡ１（図２参照。）において、図３および図４に例示する設定情報が、入出力装置２００を介して、データ処理装置１００の設定情報分析手段１１０に入力されると、設定情報分析手段１１０は、入力された設定情報の組み合わせに応じた設定情報分析アルゴリズムを分析方式ＤＢ１２０から検索し、分析方式ＤＢ１２０から読み込む（ステップＡ２）。既に説明したように、設定情報には、どのセキュリティ機能（セキュリティ機器）に関する設定情報であるのかが記述されているので、設定情報分析手段１１０は、どのセキュリティ機能（セキュリティ機器）の設定情報が入力されたのかを判定すればよい。本例では、ファイアウォールの設定情報と侵入検知システムの設定情報とが入力されたと判定し、設定情報分析手段１１０は、ファイアウォールの設定情報および侵入検知システムの設定情報の組み合わせに応じた設定情報分析アルゴリズムを分析方式ＤＢ１２０から読み込む。そして、その設定情報分析アルゴリズムを用いて、入力された設定情報を分析する（ステップＡ３）。

なお、分析方式ＤＢ１２０は、ある設定情報の組み合わせに応じた設定情報分析アルゴリズムを複数種類記憶していてもよい。すると、複数の設定情報分析アルゴリズムが検索されることになる。この場合、設定情報分析手段１１０は、その複数の設定情報分析アルゴリズムについての説明を入出力装置２００（例えば、ディスプレイ装置）に表示し、セキュリティ管理者に適切な設定情報分析アルゴリズムの選択を促し、セキュリティ管理者に選択された設定情報分析アルゴリズムを用いて、入力された設定情報を分析すればよい。

図５は、分析方式ＤＢ１２０に記憶される設定情報分析アルゴリズムの一例を示す説明図である。設定情報分析アルゴリズムには、どの設定情報の組み合わせに応じた設定情報分析アルゴリズムであるのかが予め記述されている。また、設定情報分析アルゴリズムの識別情報も記述される。図５に示す例では、“（ファイアウォール，侵入検知システム）”という記述があり、ファイアウォールの設定情報および侵入検知システムの設定情報の組み合わせに応じた設定情報分析アルゴリズムであることを示している。また、設定情報分析アルゴリズムの識別情報として“００１”が記述されている。

また、図５に例示する設定情報分析アルゴリズムでは、“ファイアウォールで通過を許可しているポート番号およびプロトコルと、侵入検知システムで監視していないポート番号およびプロトコルとが同じである”という条件と、“監視漏れ”という不整合の種類とを対にして記述している。同様に、“ファイアウォールで通過を禁止しているポート番号およびプロトコルと、侵入検知システムで監視しているポート番号およびプロトコルとが同じである”という条件と、“監視過剰”という不整合の種類とを対にして記述している。ただし、図５に示す条件において、プロトコルに関しては明示していない。図５に例示する設定情報分析アルゴリズムを用いて、設定情報分析手段１１０が分析を行う場合、“監視漏れ（ファイアウォールで通過を許可しているパケットについて侵入検知システムで適切に監視していないという不整合）”、または“監視過剰（ファイアウォールで通過を禁止しているパケットについて侵入検知システムで監視しているという不整合）”を検出する。

なお、ここでは、「ポート番号が同じ」とは、「宛先（送信先）のポート番号が同じ」ということを意味するものとして説明する。ただし、設定情報分析アルゴリズムに条件にとして、「送信元のポート番号が同じ」という条件が定められていてもよい。

本例では、ファイアウォールの設定情報および侵入検知システムの設定情報が入力されているので、設定情報分析手段１１０は、図５に例示する設定情報分析アルゴリズムを読み込み（ステップＡ２）、分析を行う（ステップＡ３）。既に説明したように、ファイアウォールの設定情報では、「プロトコルがｔｃｐで、宛先ポート番号が０番から１０２３番のいずれかであるパケットはファイアウォールの通過を許可する」というルールが設定されている（図３参照。）。また、侵入検知システムの設定情報では、「プロトコルがｔｃｐで、宛先ポート番号が２５番であるパケットを監視しない」というルールが設定されている（図４参照。）。従って、設定情報分析手段１１０は、“ファイアウォールで通過を許可しているポート番号（２５番）およびプロトコル（ｔｃｐ）と、侵入検知システムで監視していないポート番号（２５番）およびプロトコル（ｔｃｐ）とが同じである”という条件が成立すると判定し、その条件と対に記述された“監視漏れ”が生じていると判定する。すなわち、設定情報分析手段１１０は、不整合として“監視漏れ”を検出する。このとき、ポート番号２５番について定めたファイアウォールのルールの番号は“Ｎｏ．５”であり、ポート番号２５番について定めた侵入検知システムのルールの番号は“Ｎｏ．２６”である（図３、図４参照。）。よって、設定情報分析手段１１０は、ファイアウォールの設定情報のルール“Ｎｏ．５”と、侵入検知システムの設定情報のルール“Ｎｏ．２６”との間で、２５／ｔｃｐポートについて“監視漏れ”が生じていると検出する。

設定情報分析手段１１０は、各設定情報のどの記述箇所で（各設定情報のどのルールで）不整合が生じているのかも特定する。すなわち、不整合原因の記述箇所を特定する。設定情報分析手段１１０は、ファイアウォールの設定情報において通過が許可されているパケットが侵入検知システムの設定情報では監視対象となっていない場合には、そのパケットの通過許可を記述したルールおよびそのパケットを監視しないと記述したルールを不整合原因のルールとして特定する。また、ファイアウォールの設定情報において通過が禁止されているパケットが侵入検知システムの設定情報では監視対象となっている場合には、そのパケットの通過禁止を記述したルールおよびそのパケットを監視すると記述したルールを不整合原因のルールとして特定する。

本例では、分析の結果“監視漏れ”が検出されているので（ステップＡ４のＹＥＳ）、設定情報分析手段１１０は、不整合検出結果（分析結果）を対処案生成手段１３０に送り、対処案生成手段１３０はステップＡ５以降の処理を行う。図６は、分析結果の一例を示す説明図である。図６に示す例では、不整合の種類と、不整合となる各設定情報の設定内容（本例では、“ｔｃｐの０：１０２３番ポートへ向かうパケットは通過を許可する”，“２５／ｔｃｐへ向かうパケットは監視しない”という設定内容）とを分析結果としている。不整合となる各設定情報の設定内容とともに、その設定内容を定めたルールの番号も分析結果に含められる。不整合となる設定情報の設定内容に共通して記述されたポート番号が、不整合の生じているポート番号である。対処案生成手段１３０は、修正方法生成時において、不整合検出結果を入力データとし、そのポート番号における不整合を解消するための修正方法を生成する。また、分析に用いた設定情報分析アルゴリズム名（本例では、“００１”）と、分析対象となった設定情報がどのセキュリティ機能の設定情報であるのかという情報（本例では、ファイアウォールおよび侵入検知システムという情報）が分析結果に付加されている。

対処案生成手段１３０は、設定情報分析手段１１０から送られる分析結果を参照し、設定情報分析手段１１０によって検索された設定情報分析アルゴリズムと、入力されたセキュリティ機能の設定情報との組み合わせに応じた対処案生成アルゴリズムを対処案生成方式ＤＢ１４０から検索し、対処案生成方式ＤＢ１４０から読み込む（ステップＡ５）。図６に例示する分析結果では、分析に用いた設定情報分析アルゴリズム名として“００１”が示され、分析対象となった設定情報がどのセキュリティ機能の設定情報であるのかという情報として、“ファイアウォール，侵入検知システム”が示されている。従って、対処案生成手段１３０は、これらの組み合わせに応じた対処案生成アルゴリズムを対処案生成方式ＤＢ１４０から読み込む。

図７は、対処案生成方式ＤＢ１４０に記憶される対処案生成アルゴリズムの一例を示す説明図である。対処案生成アルゴリズムには、どの設定情報分析アルゴリズムおよびどの設定情報の組み合わせに応じた対処案生成アルゴリズムであるのかが予め記述されている。図７に示す例では、“（ファイアウォール，侵入検知システム，設定情報分析アルゴリズム００１）”という記述があり、ファイアウォールの設定情報、侵入検知システムの設定情報、および識別情報が“００１”の設定情報分析アルゴリズムという組み合わせに応じた対処案生成アルゴリズムであることを示している。また、対処案生成アルゴリズムの識別情報が記述されていてもよい。図７に示す例では、対処案生成アルゴリズムの識別情報として“００１”が記述されている（図７に示す１行目参照。）。

また、図７に例示する対処案生成アルゴリズムでは、“監視漏れ”という条件（“監視漏れ”が検出されたという条件）と対にして、「不整合原因の侵入検知システムのルールを監視するように修正する」という修正パターン、および「不整合原因のファイアウォールルールの直前に通過禁止ルールを挿入する」という修正パターンを記述している。よって、“監視漏れ”が検出されたという条件が満たされた場合には、対処案生成手段１３０は、対処案生成アルゴリズムに記述された修正パターンのうち、この２種類の修正パターンを特定する。そして、対処案生成手段１３０は、その２種類の修正パターンそれぞれに従って、２種類の修正方法を生成する。「不整合原因の侵入検知システムのルールを監視するように修正する」という修正パターンは、ファイアウォールルールの設定は正しいという仮定のもとでの修正パターンである。「不整合原因のファイアウォールルールの直前に通過禁止ルールを挿入する」という修正パターンは、侵入検知システムの設定は正しいという仮定のもとでの修正パターンである。

また、図７に例示する対処案生成アルゴリズムでは、“監視過剰”という条件（“監視過剰”が検出されたという条件）と対にして、「不整合原因の侵入検知システムのルールを監視しないように修正する」という修正パターン、および「不整合原因のファイアウォールルールの直前に通過許可ルールを挿入する」という修正パターンを記述している。よって、“監視過剰”が検出されたという条件が満たされた場合には、対処案生成手段１３０は、対処案生成アルゴリズムに記述された修正パターンのうち、この２種類の修正パターンを特定する。そして、対処案生成手段１３０は、その２種類の修正パターンそれぞれに従って、２種類の修正方法を生成する。「不整合原因の侵入検知システムのルールを監視しないように修正する」という修正パターンは、ファイアウォールルールの設定は正しいという仮定のもとでの修正パターンである。「不整合原因のファイアウォールルールの直前に通過許可ルールを挿入する」という修正パターンは、侵入検知システムの設定は正しいという仮定のもとでの修正パターンである。

ここで、侵入検知システムの修正方法の生成態様について説明する。侵入検知システムの設定情報の修正パターンとしては、「不整合原因の侵入検知システムのルールを監視するように修正する」という修正パターン（“監視漏れ”の場合）、および「不整合原因の侵入検知システムのルールを監視しないように修正する」という修正パターン（“監視過剰”の場合）がある。対処案生成手段１３０は、「不整合原因の侵入検知システムのルールを監視するように修正する」という修正パターンに従って修正方法を生成する場合、不整合原因の侵入検知システムのルールの記述を「監視しない」から「監視する」に修正するという修正方法を生成すればよい。このとき、不整合原因の侵入検知システムのルールは設定情報分析手段１１０によって特定されているので、その特定されているルールの記述を「監視しない」から「監視する」に修正するという修正方法を生成すればよい。また、対処案生成手段１３０は、「不整合原因の侵入検知システムのルールを監視しないように修正する」という修正パターンに従って修正方法を生成する場合、不整合原因の侵入検知システムのルールの記述を「監視する」から「監視しない」に修正するという修正方法を生成すればよい。このとき、不整合原因の侵入検知システムのルールは設定情報分析手段１１０によって特定されているので、その特定されているルールの記述を「監視する」から「監視しない」に修正するという修正方法を生成すればよい。

次に、ファイアウォールの修正方法の生成態様について説明する。ファイアウォールの設定情報の修正方法を生成するときには、監視漏れ不整合の場合に不整合原因のルールを「許可する」から「禁止する」に修正し、監視過剰不整合の場合に不整合原因のルールを「禁止する」から「許可する」に修正するという単純な修正方法では、設定情報の修正後に不具合が生じてしまうことが多い。従って、そのような単純な修正方法を生成してすることは好ましくない。

図８は、ステップＡ１において入力されたファイアウォールの設定情報（図３参照。）および侵入検知システムの設定情報（図４参照。）に含まれるルールを模式的に示した模式図である。図９は、図８のように示される設定情報（ルール）に対して、上記のような単純な修正方法を採用してルールを修正した状態を模式的に示した模式図である。図８から図１０において、横軸は、ルールの範囲（具体的には、各ルールが定めているポート番号の範囲）を示す。縦軸は、ファイアウォールの設定情報に含まれるルールの優先度（優先順位）を示す。なお、侵入検知システムの設定情報に含まれるルールには、特に優先順位は定められていない。また、図８から図１０において、斜線で示したルールは、監視有効（監視を行うこと）を定めた侵入検知システムのルールを意味する。また、多数の点を描画した模様で示したルールは、監視無効（監視を行わないこと）を定めた侵入検知システムのルールを意味する。白色で示したルールは、パケットの通過を許可するファイアウォールのルールを意味する。縦線で示したルールは、パケットの通過を禁止するファイアウォールのルールを意味する。

図８に示した例では、図６に示した監視漏れ不整合が生じている状態を示している。すなわち、ファイアウォールのルール“Ｎｏ．５”では、パケットの通過を許可しているにも関わらず、侵入検知システムのルール“Ｎｏ．２６”では、監視無効としていて、監視漏れ不整合が生じていることを示している。このとき、侵入検知システムの設定が正しいという仮定に基づき、不整合を起こしているファイアウォールのルール“Ｎｏ．５”を単純に「パケットの通過を許可する」から「パケットの通過を禁止する」に修正するものとする。図９は、この修正後の状態を示している。上記のような単純な修正では、ポート番号０〜２４番の範囲、およびポート番号２６〜１０２３番の範囲で不整合は生じていなかったにも関わらず、この範囲のポートを使用するｔｃｐパケットがファイアウォールを通過できなくなるように修正されてしまい、これらのポートを使用する他のサービスが停止してしまうおそれがある。その結果、管理対象ネットワークおよびその利用者に多大な被害をもたらすおそれがある。また、図９に示すように、元々、不整合が生じていなかった範囲で、監視過剰不整合が生じてしまうことになる。

このような不具合が生じないような、修正方法の一例を図１０に示す。図１０に示すように、ファイアウォールの設定情報（ルール）を修正する場合には、不整合の原因となったルールより、優先順位が一つ高いルールを追加するように修正する。そして、その追加するルールでは、不整合が生じていたポート番号のみを指定するようにする。図１０に示す例では、不整合の原因となったルール（“Ｎｏ．５”）より、優先順位が一つ高いルールを追加している。このルールには、ルールの番号として“Ｎｏ．５−１”が新たに割り当てられている。追加されたルール“Ｎｏ．５−１”では、不整合が生じていた２５番のみを指定し、「ｔｃｐの２５番ポートへ向かうパケットは通過を禁止する」という設定内容を定めている。このような優先順位の高い新たなルールの追加により、修正前のファイアウォールのルール“Ｎｏ．５”と、侵入検知システムのルール“Ｎｏ．２６”との間の不整合は解消される。また、追加されたルールは、不整合が生じていたポート番号のみを指定しているので、不整合が生じていないポート番号の範囲において、ファイアウォールのルール“Ｎｏ．５”と、侵入検知システムのルール“Ｎｏ．１〜２５”，“Ｎｏ．２７〜１０２４”との関係（不整合は生じていないという関係）は、維持される。さらに、不整合箇所である２５番ポート以外の、０番から２４番、および２６番から１０２３番ポートへ向かうパケットについては通過が許可されたままであるので、他のサービスに影響を与えることもない。

このような修正方法を生成するために、ファイアウォールの修正パターンとして、「不整合原因のファイアウォールルールの直前に通過禁止ルールを挿入する」という修正パターン、および「不整合原因のファイアウォールルールの直前に通過許可ルールを挿入する」という修正パターンが、図７に例示する対処案生成アルゴリズムに記述される。対処案生成手段１３０は、「不整合原因のファイアウォールルールの直前に通過禁止ルールを挿入する」という修正パターンに従って修正方法を生成する場合、不整合原因となるファイアウォールのルールより一つ優先順位が高いルールであって、不整合が生じているポートについてパケットの通過を禁止するルールを追加するという修正方法を生成すればよい。このとき、不整合原因となるファイアウォールのルールは設定情報分析手段１１０によって特定されているので、その特定されているルールより一つ優先順位が高いルールであって、不整合が生じているポートについてパケットの通過を禁止するルールを追加するという修正方法を生成すればよい。例えば、図１０に示すように、不具合原因となるファイアウォールのルール“Ｎｏ．５”より優先順位が一つ高く、不整合が生じている２５番ポートについてパケットの通過を禁止するルールを追加するという修正方法を生成すればよい。また、対処案生成手段１３０は、「不整合原因のファイアウォールルールの直前に通過許可ルールを挿入する」という修正パターンに従って修正方法を生成する場合、不整合原因となるファイアウォールのルールより一つ優先順位が高いルールであって、不整合が生じているポートについてパケットの通過を許可するルールを追加するという修正方法を生成すればよい。このとき、不整合原因となるファイアウォールのルールは設定情報分析手段１１０によって特定されているので、その特定されているルールより一つ優先順位が高いルールであって、不整合が生じているポートについてパケットの通過を許可するルールを追加するという修正方法を生成すればよい。

対処案生成手段１３０は、ステップＡ６において、ファイアウォールの設定が正しいという仮定のもとでの修正方法と、侵入検知システムの設定が正しいという仮定のもとでの修正方法を生成したならば、その修正方法の集合を対処案とし、対処案を入出力装置２００に出力（例えば、表示出力）させる（ステップＡ７）。図１１は、対処案生成手段１３０が入出力装置２００に出力（表示）させる情報の例を示す説明図である。図１１に示すように、不整合の種類とともに、その不整合を生じさせているファイアウォールのルールおよび侵入検知システムのルールについて、ルール番号とルールの内容を表示する。さらに、その不整合を解消するための対処案として、ファイアウォールのルールの修正方法および侵入検知システムのルールの修正方法を表示する。ファイアウォールのルールの修正方法は、ファイアウォールの設定が誤っていて侵入検知システムの設定が正しいという仮定のもとでの修正方法である。図１１では、『Ｎｏ．５の直前にルールＮｏ．５−１「ｔｃｐの２５ポートへ向かうパケットの通過を禁止する」を追加する』という修正方法を示している。また、侵入検知システムのルールの修正方法は、侵入検知システムの設定が誤っていてファイアウォールの設定が正しいという仮定のもとでの修正方法である。本例、『２５／ｔｃｐに向かうパケットに関する設定を「監視しない」から「監視する」に変更する』旨の修正方法を示す。

セキュリティ管理者は、表示された対処案を確認し、管理対象ネットワーク上でのサービス稼働状況、あるいは自身の経験や知識、管理者自身が意図する設定状況等と照らし合わせ、ファイアウォールの設定情報を修正するか、侵入検知システムの設定情報を修正するかを判断する。その後、対処案に従って、選択した修正をセキュリティ管理者が施すことにより不整合を解消することができる。

次に、本実施の形態の効果について説明する。
本実施の形態では、複数の互いに異なるセキュリティ機能の設定情報の間に存在する不整合を検出し、検出された不整合を解消するための設定情報の修正方法をそれぞれのセキュリティ機能について生成する。従って、いずれかの設定だけが常に正しいという仮定を置くことなく、全ての設定情報の修正方法を生成することができる。すなわち、いずれのセキュリティ機能の設定に誤りがある場合でも、不整合を解消するための対処案をすることができる。また、複数のセキュリティ機能の設定に関する修正方法を含む対処案を生成することができる。例えば、ファイアウォール設定情報と侵入検知システム設定情報の間で不整合が検出された場合には、その不整合を解消するための、ファイアウォール設定情報の修正方法と侵入検知システム設定情報の修正方法を生成することができる。

また、本実施の形態では、設定情報の不整合検出および検出された不整合の解消のための設定情報の修正方法を自動的に導出し提示するため、セキュリティ管理者は提示された修正方法から適切なものを選択することができる。そして、選択した修正方法を施すだけで不整合を解消できるため、セキュリティ管理者の負担が大幅に削減される。

また、本実施の形態では、ファイアウォールの設定情報の修正方法を生成する際に、不整合部分のみ修正する新たなルールを追加する修正方法を生成するように構成されている。従って、不整合部分以外に影響を及ぼさない修正方法を生成できる。

また、本実施の形態では、セキュリティ管理者は、セキュリティレベルの高いネットワークシステムの運用ができ、ネットワーク利用者は、安定したネットワークシステムが利用できる。

また、本実施の形態では、分析方式ＤＢ１２０に記憶された設定情報分析アルゴリズムを用いて分析を行い、対処案生成方式ＤＢ１４０に記憶された対処案生成アルゴリズムを用いて対処案を生成する。従って、分析方式ＤＢ１２０に新たな設定情報分析アルゴリズムを追加記憶させ、対処案生成方式ＤＢ１４０に新たな対処案生成アルゴリズムを追加記憶させることで、新たに追加されたセキュリティ機能の設定情報（例えば、新たに追加されたセキュリティ機器の設定情報）についても不整合箇所の特定や対処案の生成を行うことができる。

本実施の形態において、設定情報取得手段は、入出力装置２００によって実現される。分析規則記憶手段は、分析方式ＤＢ１２０によって実現される。対処案生成規則記憶手段は、対処案生成方式ＤＢ１４０によって実現される。

実施の形態２．
図１２は、本発明によるセキュリティポリシー不整合解消支援システムの第２の実施の形態を示すブロック図である。第１の実施の形態と同様の構成部については、図１と同一の符号を付して説明を省略する。また、第１の実施の形態と同様の構成部の動作は、第１の実施の形態と同様である。

第２の実施の形態において、データ処理装置１００は、第１の実施の形態で示した設定情報分析手段１１０、分析方式ＤＢ１２０、対処案生成手段１３０、対処案生成方式ＤＢ１４０に加え、設定情報抽出手段１５０を含んでいる。設定情報抽出手段１５０は、例えば、プログラムに従って動作するＣＰＵによって実現される。

設定情報抽出手段１５０は、通信ネットワーク３００に接続されているセキュリティ機器４００のうち少なくとも二つのセキュリティ機器４００から設定情報を抽出、収集する。なお、本実施の形態においても、説明を簡単にするため、管理対象となるネットワークシステムには、二つ以上のセキュリティ機器が含まれているものとする。そして、設定情報抽出手段１５０は、少なくとも二つのセキュリティ機器４００から設定情報を抽出、収集するものとする。

また、セキュリティ機器４００は、例えば、ある組織が利用するネットワークシステム（図示せず。）の構成要素となる機器のうち、セキュリティ機能を有する機器である。このネットワークシステムは、セキュリティ管理者の管理対象となる。ネットワークシステムの構成要素となる各機器は、通信ネットワーク３００を介して接続されている。ネットワークシステムは少なくとも二つのセキュリティ機器４００を含み、通信ネットワーク３００には少なくとも二つのセキュリティ機器４００が接続されている。データ処理装置１００は、通信ネットワーク３００を介してセキュリティ機器４００と接続される。各セキュリティ機器４００は、その機器が有するセキュリティ機能に関する設定を定めた設定情報を保持している。設定情報は、例えば、ハードウェアによって実現されるセキュリティ機能に関する設定を集めたものであってもよい。また、セキュリティ機器４００に搭載されたソフトウェアによって実現されるセキュリティ機能に関する設定を定めた設定情報も、セキュリティ機器４００の設定情報である。セキュリティ機器４００が保持する設定情報は、第１の実施の形態において入出力装置２００に入力される設定情報と同様の情報である。

次に動作について説明する。
図１３は、本実施の形態のセキュリティポリシー不整合解消支援システムの動作の例を示すフローチャートである。まず、データ処理装置１００は、入出力装置２００を介して、例えばセキュリティ管理者から、設定情報の抽出、収集の対象となるセキュリティ機器を指定される（ステップＢ１）。ステップＢ１において、設定情報抽出手段１５０は、例えば、セキュリティ機器の指定を促す画面を入出力装置２００に表示して、入出力装置２００を介して指定されたセキュリティ機器を、設定情報の抽出、収集の対象となるセキュリティ機器として決定する。あるいは、セキュリティ機器４００を含むネットワークシステムのトポロジー情報（各機器同士の接続関係を示す情報）を予め記憶しておき、そのトポロジー情報に記述された各セキュリティ機器を選択候補として表示してシステム管理者に選択を促し、入出力装置２００を介して指定されたセキュリティ機器を、設定情報の抽出、収集の対象となるセキュリティ機器として決定してもよい。また、設定情報抽出手段１５０は、通信ネットワーク３００に接続されているセキュリティ機器４００を検索し、検索されたセキュリティ機器を、設定情報の抽出、収集の対象となるセキュリティ機器として決定してもよい。セキュリティ機器４００を検索するときには、ＳＮＭＰ（Simple Network Management Protocol）を利用すればよい。また、セキュリティ機能を実現するためのソフトウェアを搭載したセキュリティ機器を検索する場合には、セキュリティ機器に搭載されているＯＳのコマンドを利用して検索を行ってもよい。

次に、設定情報抽出手段１５０は、ステップＢ１で決定した（ステップＢ１で指定された）セキュリティ機器に設定されている設定情報を抽出、取得する（ステップＢ２）。設定情報抽出手段１５０は、ＳＮＭＰを利用したり、設定情報の収集対象として決定されたセキュリティ機器に備わっている設定情報取得コマンドを実行するなどして設定情報の抽出、収集を行う。このとき、分析対象となる設定情報を、必ずしもすべて設定情報抽出手段１５０が抽出する必要はなく、一部のセキュリティ機器の設定情報については、第１の実施の形態と同様に入出力装置２００から入力するようにしてもよい。

ステップＢ２の後、設定情報分析手段１１０は、ステップＢ２で抽出、収集された複数のセキュリティ機器の設定情報の組み合わせに応じた設定情報分析アルゴリズムを分析方式ＤＢ１２０から検索し、読み込む（ステップＢ３）。次に、設定情報分析手段１１０は、ステップＢ３で検索された設定情報分析アルゴリズムに従って、ステップＢ２で抽出、収集された複数のセキュリティ機器の設定情報の分析を行い、その設定情報の間の不整合検出を行う（ステップＢ４）。

ステップＢ４の処理において不整合が検出されなかった場合は（ステップＢ５のＮＯ）、設定情報分析手段１１０は、その旨のメッセージを入出力装置２００を介して出力して、処理を終了する。なお、図１３において、このメッセージ出力処理のステップの図示は省略している。ステップＢ４の処理において不整合が検出された場合は（ステップＢ５のＹＥＳ）、設定情報分析手段１１０は、不整合検出結果を対処案生成手段１３０に送り、対処案生成手段１３０はステップＢ６以降の処理を行う。

対処案生成手段１３０は、ステップＢ３において設定情報分析手段１１０によって検索された設定情報分析アルゴリズムと、ステップＢ２において抽出、収集されたセキュリティ機器の設定情報との組み合わせに応じた対処案生成アルゴリズムを対処案生成方式ＤＢ１４０から検索し、対処案生成方式ＤＢ１４０から読み込む（ステップＢ６）。続いて、対処案生成手段１３０は、ステップＢ６で検索された対処案生成アルゴリズムに従って、ステップＢ４で検出されたセキュリティ設定情報の不整合を解消するための対処案（各設定情報の修正方法）を生成する（ステップＢ７）。次に、対処案生成手段１３０は、ステップＢ７で生成した対処案を入出力装置２００から出力しセキュリティ管理者に提示する（ステップＢ８）。例えば、対処案をディスプレイ装置に表示させる。

上記のステップＢ３〜Ｂ８の各処理は、第１の実施の形態におけるステップＡ２〜Ａ７の各処理と同様の処理である。

次に、本実施の形態の効果について説明する。
本実施の形態でも、第１の実施の形態と同様の効果が得られる。また、本実施の形態では、セキュリティ管理者がセキュリティ機器の指定を行えば、設定情報抽出手段１５０がそのセキュリティ機器から設定情報を抽出、収集する。その後、第１の実施の形態と同様に、設定情報の分析および対処案の生成を行う。従って、ほとんど人手が介在することなく、対処案の生成まで行うことができる。また、設定情報抽出手段１５０がセキュリティ管理者からの指定を受けずにセキュリティ機器４００を検索する構成の場合には、人手を介することなく設定情報の抽出、収集、設定情報の分析、対処案生成まで行うことができる。

第２の実施の形態において、設定情報取得手段は、設定情報抽出手段１５０によって実現される。分析規則記憶手段は、分析方式ＤＢ１２０によって実現される。対処案生成規則記憶手段は、対処案生成方式ＤＢ１４０によって実現される。

実施の形態３．
図１４は、本発明によるセキュリティポリシー不整合解消支援システムの第３の実施の形態を示すブロック図である。第２の実施の形態と同様の構成部については、図１３と同一の符号を付して説明を省略する。また、第２の実施の形態と同様の構成部の動作は、第２の実施の形態と同様である。

第３の実施の形態において、データ処理装置１００は、第２の実施の形態で示した設定情報分析手段１１０、分析方式ＤＢ１２０、対処案生成手段１３０、対処案生成方式ＤＢ１４０、設定情報抽出手段１５０に加え、設定情報更新手段１６０を含んでいる。設定情報更新手段１６０は、例えば、プログラムに従って動作するＣＰＵによって実現される。

設定情報更新手段１６０は、通信ネットワーク３００に接続されているセキュリティ機器４００のうち少なくとも一つのセキュリティ機器４００の設定情報を更新する。また、本実施の形態では、対処案生成手段１３０は、例えば、設定情報毎の修正方法を表示して、どの修正方法を採用するかをセキュリティ管理者に選択させる。そして、設定情報更新手段１６０は、セキュリティ管理者に選択された修正方法に従って、その修正方法に対応するセキュリティ機器の設定情報を更新する。

なお、本実施の形態においても、説明を簡単にするため、管理対象となるネットワークシステムには、二つ以上のセキュリティ機器が含まれているものとする。そして、設定情報抽出手段１５０は、少なくとも二つのセキュリティ機器４００から設定情報を抽出、収集するものとする。

次に動作について説明する。
図１５は、本実施の形態のセキュリティポリシー不整合解消支援システムの動作の例を示すフローチャートである。まず、データ処理装置１００は、入出力装置２００を介して、例えばセキュリティ管理者から、設定情報の抽出、収集の対象となるセキュリティ機器を指定される（ステップＣ１）。次に、設定情報抽出手段１５０は、ステップＣ１で決定した（ステップＣ１で指定された）セキュリティ機器に設定されている設定情報を抽出、取得する（ステップＣ２）。続いて、設定情報分析手段１１０は、ステップＣ２で抽出、収集された複数のセキュリティ機器の設定情報の組み合わせに応じた設定情報分析アルゴリズムを分析方式ＤＢ１２０から検索し、読み込む（ステップＣ３）。次に、設定情報分析手段１１０は、ステップＣ３で検索された設定情報分析アルゴリズムに従って、ステップＣ２で抽出、収集された複数のセキュリティ機器の設定情報の分析を行い、その設定情報の間の不整合検出を行う（ステップＣ４）。

ステップＣ４の処理において不整合が検出されなかった場合は（ステップＣ５のＮＯ）、設定情報分析手段１１０は、その旨のメッセージを入出力装置２００を介して出力して、処理を終了する。なお、図１５において、このメッセージ出力処理のステップの図示は省略している。ステップＣ４の処理において不整合が検出された場合は（ステップＣ５のＹＥＳ）、設定情報分析手段１１０は、不整合検出結果を対処案生成手段１３０に送り、対処案生成手段１３０は、ステップＣ６以降の処理を行う。

対処案生成手段１３０は、ステップＣ３において設定情報分析手段１１０によって検索された設定情報分析アルゴリズムと、ステップＣ２において抽出、収集されたセキュリティ機器の設定情報との組み合わせに応じた対処案生成アルゴリズムを対処案生成方式ＤＢ１４０から検索し、対処案生成方式ＤＢ１４０から読み込む（ステップＣ６）。続いて、対処案生成手段１３０は、ステップＣ６で検索された対処案生成アルゴリズムに従って、ステップＣ４で検出されたセキュリティ設定情報の不整合を解消するための対処案（各設定情報の修正方法）を生成する（ステップＣ７）。次に、対処案生成手段１３０は、ステップＣ７で生成した対処案を入出力装置２００から出力しセキュリティ管理者に提示する（ステップＣ８）。例えば、対処案をディスプレイ装置に表示させる。

上記のステップＣ１〜Ｃ８の各処理は、第２の実施の形態におけるステップＢ１〜Ｂ８の各処理と同様の処理である。

ステップＣ８の次に、対処案生成手段１３０は、例えば、設定情報毎の修正方法を表示して、修正方法の選択を促す画面を生成し、その画面を入出力装置２００に表示させる。そして、対処案生成手段１３０は、入出力装置２００を介してセキュリティ管理者に選択された修正方法を、検出された不整合を解消するための修正方法として決定する（ステップＣ９）。

次に、設定情報更新手段１６０は、ステップＣ９で選択された修正方法に従って、通信ネットワーク３００を介して接続されているセキュリティ機器４００の設定情報を修正し、更新する（ステップＣ１０）。

図１６は、ステップＣ９において対処案生成手段１３０が入出力装置２００に表示させる画面（修正方法の選択を促す画面）の例を示す説明図である。ここでは、ファイアウォールの設定情報と侵入検知システムの設定情報を収集し、その各設定情報の修正方法のうち、どちらか一方の選択を促す場合を例に説明する。

対処案生成手段１３０は、図１６に例示するように複数の修正方法を並べて、例えばラジオボタンによって修正方法の選択を行わせる選択領域６０１を含む画面を生成する。図１６では、対処案生成手段１３０が選択領域６０１内において、不整合の種類、不整合原因であるファイアウォールの設定、および不整合原因となる侵入検知システムの設定とともに、侵入検知システムの設定情報（ルール）の修正方法、ファイアウォールの設定情報（ルール）の修正方法を表示するように画面を生成した場合を示している。

図１６に示す例では、不整合の種類として「監視漏れ」が表示されている。そして、「監視漏れ」の原因であるファイアウォールの設定として、図３に例示するルール“Ｎｏ．５”の内容が表示されている。また、「監視漏れ」の原因である侵入検知システムの設定として、図４に例示するルール“Ｎｏ．２６”の内容が表示されている。さらに、ラジオボタン６０２ａとともに、侵入検知システムの設定情報（ルール）の修正方法（ルール“Ｎｏ．２６”における「監視する」を「監視しない」に修正するという方法）が表示されている。また、ラジオボタン６０２ｂととともに、ファイアウォールの設定情報（ルール）の修正方法（ルール“Ｎｏ．５”の直前に「ｔｃｐの２５番ポートへの通過を禁止」するルールを挿入するという修正方法）が表示されている。

セキュリティ管理者は、管理対象ネットワーク上でのサービス稼働状況、あるいは自身の経験や知識等に基づいて、複数のセキュリティ機器（本例では、ファイアウォールおよび侵入検知システム）のいずれの設定を修正すべきかを判断する。そして、修正すべき設定情報の修正方法に対応するラジオボタンがクリックされる。

なお、図１６に示すように、選択領域６０１にスクロールバーを表示して、セキュリティ管理者によるスクロールバー操作に応じて、他の不整合に関する修正方法を表示してもよい。

また、対処案生成手段１３０は、図１６に示すように、「修正実行」ボタン、「キャンセル」ボタンを表示するようにして画面を生成する。ラジオボタンがクリックされることにより修正方法が選択され、「修正実行」ボタンがクリックされた場合には、設定情報更新手段１６０は、選択された修正方法に従って、その修正方法に対応するセキュリティ機器の設定情報を修正し、修正後の設定情報をセキュリティ機器に再設定する。例えば、図１６に示すように、ラジオボタン６０１ａがクリックされた後に、「修正実行」ボタンがクリックされた場合、設定情報更新手段１６０は、侵入検知システムのルール“Ｎｏ．２６”における「監視する」を「監視しない」に修正する。なお、「キャンセル」ボタンがクリックされた場合には、それまでに行われたラジオボタンのクリックを無効にする。

また、対処案生成手段１３０は、図１６に示すように、分析対象機器の名称（“firewall-01 ”や“IDS-A ”等）、分析方式ＤＢ１２０から読み込まれた設定情報分析アルゴリズムの識別情報、およびその設定情報分析アルゴリズムに対応するセキュリティ機器を表示するように、画面を生成してもよい。

次に、本実施の形態の効果について説明する。
本実施の形態でも、第２の実施の形態と同様の効果が得られる。また、本実施の形態では、設定情報更新手段１６０が、セキュリティ管理者に選択された修正方法に従って、その修正方法に対応するセキュリティ機器の設定情報を修正し、修正後の設定情報をセキュリティ機器に再設定する。従って、設定情報の抽出、収集、設定情報の分析、対処案生成だけでなく、修正された設定情報の再設定も行うことができる。また、修正された設定情報の再設定までデータ処理装置１００が行うので、セキュリティ管理者の負担をさらに軽減することができる。

第３の実施の形態において、設定情報取得手段は、設定情報抽出手段１５０によって実現される。分析規則記憶手段は、分析方式ＤＢ１２０によって実現される。対処案生成規則記憶手段は、対処案生成方式ＤＢ１４０によって実現される。修正方法選択手段は、対処案生成手段１３０および入出力装置２００によって実現される。設定情報修正手段は、設定情報更新手段１６０によって実現される。

実施の形態１において、データ処理装置１００が実施の形態３と同様に設定情報更新手段１６０を備え、設定情報更新手段１６０がセキュリティ機器の設定情報を修正する構成としてもよい。

第２の実施の形態および第３の実施の形態では、データ処理装置１００が設定情報抽出手段１５０を備え、設定情報抽出手段１５０がセキュリティ機器４００から設定情報を抽出、収集する場合について説明した。セキュリティ機器４００が設定情報抽出手段１５０を備え、セキュリティ機器４００に備えられる設定情報抽出手段１５０が、セキュリティ機器４００自身から設定情報を抽出し、その設定情報をデータ処理装置１００に送信する構成であってもよい。図１７は、この場合の構成例を示すブロック図である。セキュリティ機器４００は、設定情報抽出手段１５０を備える。設定情報抽出手段１５０は、セキュリティ機器４００に設けられるＣＰＵによって実現される。

また、データ処理装置１００は、セキュリティ機器４００と通信を行うための通信ソフトウェアを予め記憶装置（図示せず）に記憶する。また、データ処理装置１００は、通信ソフトウェアに従って動作する設定情報受信手段１７０を備える。設定情報受信手段１７０は、例えばＣＰＵによって実現される。設定情報受信手段１７０は、セキュリティ機器４００に設定情報を要求する。この要求を受けると、設定情報抽出手段１５０は、セキュリティ機器４００が保持する設定情報を抽出する。続いて、設定情報抽出手段１５０は、抽出した設定情報をデータ処理装置１００に送信する。設定情報受信手段１７０は、この設定情報を受信する。設定情報分析手段１１０および対処案生成手段１３０は、この設定情報を用いて、ステップＢ３以降（あるいは、Ｃ３以降）の動作を行えばよい。

この場合、設定情報送信手段は、セキュリティ機器４００が備える設定情報抽出手段１５０によって実現される。そして、設定情報取得手段は、データ処理装置１００が備える設定情報受信手段１７０によって実現される。

なお、図１７では、設定情報更新手段１６０を示していないが、図１７に示すデータ処理装置１００は、設定情報更新手段１６０を備えていてもよい。

また、第１の実施の形態から第３の実施の形態において、データ処理装置１００が予め外部のセキュリティ機器４００の設定情報を記憶し、データ処理装置１００が予め記憶している設定情報について、設定情報の分析、対処案生成、修正された設定情報の再設定を行ってもよい。図１８は、データ処理装置１００が予め設定情報を記憶する場合の構成例を示すブロック図である。設定情報記憶手段１８０は、外部のセキュリティ機器４００（図１８において図示せず。）の設定情報を予め記憶する。設定情報分析手段１１０および対処案生成手段１３０の動作は、第１の実施の形態から第３の実施の形態における動作と同様である。ただし、本例における設定情報分析手段１１０および対処案生成手段１３０は、設定情報記憶手段１８０が予め記憶している設定情報を用いて、設定情報の分析、対処案生成を行う。なお、図１８では、設定情報更新手段１６０を示していないが、図１８に示すデータ処理装置１００は、設定情報更新手段１６０を備えていてもよい。

図１８に示す構成の場合、設定情報記憶手段１８０が予め設定情報を記憶しているので、設定情報抽出手段１５０（図１２参照）や、設定情報受信手段１７０（図１７参照）を備えていなくてもよい。また、図１８に示す構成において、設定情報抽出手段１５０または設定情報受信手段１７０を設け、設定情報抽出手段１５０が抽出した設定情報（または設定情報受信手段１７０が受信した設定情報、あるいは入出力装置２００から入力された設定情報）を、設定情報登録手段（図示せず。）が設定情報記憶手段１８０に記憶させる構成であってもよい。そして、設定情報分析手段１１０および対処案生成手段１３０は、設定情報記憶手段１８０に記憶された設定情報を用いて設定情報の分析、対処案生成を行ってもよい。なお、設定情報登録手段は、例えば、データ処理装置１００のＣＰＵによって実現される。

また、第１の実施の形態から第３の実施の形態では、管理対象となるネットワークシステムには、二つ以上のセキュリティ機器が含まれ、そのセキュリティ機器の設定情報が入力されたり、あるいは、その二つ以上のセキュリティ機器から設定情報を収集したりするものとして説明した。一つのセキュリティ機器が二つ以上のセキュリティ機能を有し、そのセキュリティ機器が各セキュリティ機能に関する設定情報を有している場合には、管理対象となるネットワークシステムに、そのようなセキュリティ機器が一つだけ含まれていてもよい。そして、第１の実施の形態では、その一つのセキュリティ機器が保持する複数種類の設定情報が入力されてもよい。また、第２の実施の形態や第３の実施の形態では、その一つのセキュリティ機器が保持する複数種類の設定情報を抽出、収集してもよい。

図１９は、本発明によるセキュリティポリシー不整合解消支援システムの具体的な構成例を示すブロック図である。データ処理装置１００には、入出力装置として、キーボードやマウスなどの入力装置２００ａや、ディスプレイ装置などの出力装置２００ｂが接続される。また、データ処理装置１００は、ＣＰＵ５０１と、記憶装置５０２と、ネットワークインタフェース部５０３とを備える。記憶装置５０２は、設定情報分析アルゴリズムや対処案生成アルゴリズムを記憶する。図１８に示す構成の場合、設定情報も記憶する。また、記憶装置５０２は、セキュリティポリシー不整合解消支援プログラムも記憶する。ＣＰＵ５０１は、記憶装置５０２からセキュリティポリシー不整合解消支援プログラムを読み込み、そのプログラムに従って動作する。この結果、ＣＰＵ５０１は、設定情報分析手段１１０、対処案生成手段１３０としての動作を行う。また、ＣＰＵ５０１は、設定情報分析手段１１０、対処案生成手段１３０としての動作（分析、対処案生成）を行う際に、記憶装置５０２から設定情報分析アルゴリズムや対処案生成アルゴリズムを読み込む。なお、第２の実施の形態の場合には、ＣＰＵ５０１は設定情報抽出手段１５０としての動作も行い、第３の実施の形態の場合には、設定情報更新手段１６０としての動作も行う。また、図１７に示す構成の場合、設定情報受信手段１７０としても動作する。ネットワークインタフェース部５０３は、通信ネットワーク３００とのインタフェースである。ＣＰＵ５０１は、ネットワークインタフェース部５０３を介して、セキュリティ機器から設定情報を抽出する。

本発明は、異なるセキュリティ機能に関する設定情報の不整合の検出や、その不整合を解消するための設定情報の修正方法の生成等の用途に適用できる。

本発明によるセキュリティポリシー不整合解消支援システムの第１の実施の形態を示すブロック図である。 第１の実施の形態のセキュリティポリシー不整合解消支援システムの動作の例を示すフローチャートである。 ファイアウォールの設定情報の一例を示す説明図である。 侵入検知システムの設定情報の一例示す説明図である。 設定情報分析アルゴリズムの一例を示す説明図である。 分析結果の一例を示す説明図である。 対処案生成アルゴリズムの一例を示す説明図である。 ファイアウォールの設定情報および侵入検知システムの設定情報に含まれるルールを模式的に示した模式図である。 単純な修正方法を採用してファイアウォールのルールを修正した状態を模式的に示した模式図である。 新たな不整合が生じないような修正を模式的に示した模式図である。 入出力装置２００に出力（表示）させる情報の例を示す説明図である。 本発明によるセキュリティポリシー不整合解消支援システムの第２の実施の形態を示すブロック図である。 第２の実施の形態のセキュリティポリシー不整合解消支援システムの動作の例を示すフローチャートである。 本発明によるセキュリティポリシー不整合解消支援システムの第３の実施の形態を示すブロック図である。 第３の実施の形態のセキュリティポリシー不整合解消支援システムの動作の例を示すフローチャートである。 修正方法の選択を促す画面の例を示す説明図である。 セキュリティ機器が設定情報抽出手段を備える場合のブロック図である。 データ処理装置１００が予め設定情報を記憶する場合の構成例を示すブロック図である。 本発明によるセキュリティポリシー不整合解消支援システムの具体的な構成例を示すブロック図である。

符号の説明

１００ データ処理装置
１１０ 設定情報分析手段
１２０ 分析方式データベース
１３０ 対処案生成手段
１４０ 対処案生成方式データベース
２００ 入出力装置

Claims (17)

1. ネットワークシステムが備えるセキュリティ機器の複数種類のセキュリティ機能の設定を定めた各セキュリティ機能の設定情報を比較することによって、設定情報間の不整合を検出する設定情報分析手段と、
   設定情報分析手段によって不整合が検出されたときに、各セキュリティ機能の設定情報毎に、当該設定情報が間違っていて他の設定情報が正しいという仮定のもとで、前記不整合を解消するための設定情報の修正方法を導出する修正方法生成手段とを備えた
   ことを特徴とするセキュリティポリシー不整合解消支援システム。
2. 各セキュリティ機能の設定情報を記憶する設定情報記憶手段を備え、
   設定情報分析手段は、設定情報記憶手段に記憶された各セキュリティ機能の設定情報を比較することによって、設定情報間の不整合を検出する
   請求項１に記載のセキュリティポリシー不整合解消支援システム。
3. 各セキュリティ機能の設定情報を取得する設定情報取得手段と、
   設定情報取得手段が取得した各設定情報を設定情報記憶手段に記憶させる設定情報登録手段とを備えた
   請求項２に記載のセキュリティポリシー不整合解消支援システム。
4. 各セキュリティ機能の設定情報を取得する設定情報取得手段を備え、
   設定情報分析手段は、設定情報取得手段が取得した各セキュリティ機能の設定情報を比較することによって、設定情報間の不整合を検出する
   請求項１に記載のセキュリティポリシー不整合解消支援システム。
5. 設定情報取得手段は、管理者によって設定情報を入力されることによって設定情報を取得する
   請求項３または請求項４に記載のセキュリティポリシー不整合解消支援システム。
6. 設定情報取得手段は、セキュリティ機器が保持している設定情報をセキュリティ機器から収集することによって設定情報を取得する
   請求項３または請求項４に記載のセキュリティポリシー不整合解消支援システム。
7. 設定情報の収集対象となる機器を備え、
   前記機器は、当該機器のセキュリティ機能の設定情報を抽出し、前記設定情報を設定情報取得手段に送信する設定情報送信手段を含む
   請求項３または請求項４に記載のセキュリティポリシー不整合解消支援システム。
8. 修正方法生成手段によって設定情報毎に導出された各修正方法をそれぞれ表示して管理者に修正方法の選択を促す修正方法選択手段と、
   管理者によって選択された修正方法に対応する設定情報であって、セキュリティ機器に保持されている設定情報を、前記修正方法に従って修正する設定情報修正手段とを備えた
   請求項１から請求項７のうちのいずれか１項に記載のセキュリティポリシー不整合解消支援システム。
9. 複数のセキュリティ機能の設定情報の不整合の種類を導出する規則である設定情報分析規則を、設定情報の組み合わせ毎に記憶する分析規則記憶手段を備え、
   設定情報分析手段は、不整合検出の対象となる複数の設定情報の組み合わせに応じた設定情報分析規則を分析規則記憶手段から読み込み、当該設定情報分析規則に従って、前記複数の設定情報の内容に応じた不整合を検出する
   請求項請求項１から請求項８のうちのいずれか１項に記載のセキュリティポリシー不整合解消支援システム。
10. 設定情報毎に当該設定情報が間違っていて他の設定情報が正しいという仮定のもとでの設定情報の修正パターンを記述した対処案を導出する規則である対処案生成規則を、複数の設定情報と設定情報分析規則との組み合わせ毎に記憶する対処案生成規則記憶手段を備え、
    修正方法生成手段は、不整合検出の対象となった複数の設定情報と設定情報分析手段によって読み込まれた設定情報分析規則との組み合わせに応じた対処案生成規則を読み込み、当該対処案生成規則に従って、検出された不整合の種類に応じて、不整合検出の対象となった各設定情報毎の修正パターンを含む対処案を特定し、前記対処案に含まれる各修正パターンに従って、各修正パターンに対応する設定情報の修正方法を導出する
    請求項９に記載のセキュリティポリシー不整合解消支援システム。
11. 分析規則記憶手段は、ファイアウォールの設定情報と侵入検知システムの設定情報との組み合わせに対応する設定情報分析規則であって、ファイアウォールの設定情報では通過が許可されているパケットが侵入検知システムの設定情報では監視対象となっていない場合に、通過が許可されているパケットに対する監視を行っていない監視漏れ不整合が生じていて、ファイアウォールの設定情報では通過が禁止されているパケットが侵入検知システムの設定情報では監視対象となっている場合に、通過が禁止されているパケットに対する監視を行っている監視過剰不整合が生じていると定めた設定情報分析規則を記憶し、
    設定情報分析手段は、前記設定情報分析規則を読み込み、ファイアウォールの設定情報と侵入検知システムの設定情報とを比較し、前記設定情報分析規則に従って、ファイアウォールの設定情報では通過が許可されているパケットが侵入検知システムの設定情報では監視対象となっていない場合には、監視漏れ不整合を検出し、当該監視漏れ不整合の原因となるファイアウォールの設定情報および侵入検知システムの設定情報の記述箇所を特定し、ファイアウォールの設定情報では通過が禁止されているパケットが侵入検知システムの設定情報では監視対象となっている場合には、監視過剰不整合を検出し、当該監視過剰不整合の原因となるファイアウォールの設定情報および侵入検知システムの設定情報の記述箇所を特定し、
    対処案生成規則記憶手段は、ファイアウォールの設定情報と侵入検知システムの設定情報と前記設定情報分析規則との組み合わせに対応する対処案生成規則であって、監視漏れ不整合に対応するファイアウォールの設定情報および侵入検知システムの設定情報それぞれの修正パターンを定め、監視過剰不整合に対応するファイアウォールの設定情報および侵入検知システムの設定情報それぞれの修正パターンを定めた対処案生成規則を記憶し、
    修正方法生成手段は、前記対処案生成規則を読み込み、監視漏れ不整合が検出された場合には、監視漏れ不整合に対応するファイアウォールの設定情報および侵入検知システムの設定情報それぞれの修正パターンに従って、監視漏れ不整合の原因となるファイアウォールの設定情報および侵入検知システムの設定情報の記述箇所に基づいて、ファイアウォールの設定情報および侵入検知システムの設定情報それぞれの修正方法を生成し、監視過剰不整合が検出された場合には、監視過剰不整合に対応するファイアウォールの設定情報および侵入検知システムの設定情報それぞれの修正パターンに従って、監視過剰不整合の原因となるファイアウォールの設定情報および侵入検知システムの設定情報の記述箇所に基づいて、ファイアウォールの設定情報および侵入検知システムの設定情報それぞれの修正方法を生成する
    請求項１０に記載のセキュリティポリシー不整合解消支援システム。
12. 対処案生成規則記憶手段は、監視漏れ不整合に対応するファイアウォールの設定情報の修正パターンとして、不整合原因となったファイアウォールの設定情報の記述箇所より優先順位が高い記述であってパケットの通過を禁止する記述を挿入する旨の修正パターンを定め、監視過剰不整合に対応するファイアウォールの設定情報の修正パターンとして、不整合原因となったファイアウォールの設定情報の記述箇所より優先順位が高い記述であってパケットの通過を許可する記述を挿入する旨の修正パターンを定めた対処案生成規則を記憶し、
    修正方法生成手段は、監視漏れ不整合が検出された場合には、監視漏れ不整合に対応する修正パターンに従って、監視漏れ不整合の原因として特定されたファイアウォールの設定情報の記述箇所より優先順位が高い記述であって侵入検知システムが監視対象としていないパケットのポート番号を有するパケットの通過を禁止する記述を挿入するという修正方法を生成し、監視過剰不整合が検出された場合には、監視過剰不整合に対応する修正パターンに従って、監視過剰不整合の原因として特定されたファイアウォールの設定情報の記述箇所より優先順位が高い記述であって侵入検知システムが監視対象としているパケットのポート番号を有するパケットの通過を許可する記述を挿入するという修正方法を生成する
    請求項１１に記載のセキュリティポリシー不整合解消支援システム。
13. 設定情報分析手段が、ネットワークシステムが備えるセキュリティ機器の複数種類のセキュリティ機能の設定を定めた各セキュリティ機能の設定情報を比較することによって、設定情報間の不整合を検出し、
    修正方法生成手段が、設定情報分析手段によって不整合が検出されたときに、各セキュリティ機能の設定情報毎に、当該設定情報が間違っていて他の設定情報が正しいという仮定のもとで、前記不整合を解消するための設定情報の修正方法を導出する
    ことを特徴とするセキュリティポリシー不整合解消支援方法。
14. 設定情報記憶手段が、各セキュリティ機能の設定情報を記憶し、
    設定情報分析手段が、設定情報記憶手段に記憶された各セキュリティ機能の設定情報を比較することによって、設定情報間の不整合を検出する
    請求項１３に記載のセキュリティポリシー不整合解消支援方法。
15. 設定情報取得手段が、各セキュリティ機能の設定情報を取得し、
    設定情報分析手段が、設定情報取得手段が取得した各セキュリティ機能の設定情報を比較することによって、設定情報間の不整合を検出する
    請求項１３に記載のセキュリティポリシー不整合解消支援方法。
16. ネットワークシステムが備えるセキュリティ機器の複数種類のセキュリティ機能の設定を定めた各セキュリティ機能の設定情報を記憶する設定情報記憶手段を備えたコンピュータに、
    設定情報記憶手段に記憶された各セキュリティ機能の設定情報を比較することによって、設定情報間の不整合を検出する設定情報分析処理、および
    設定情報分析処理で不整合が検出されたときに、各セキュリティ機能の設定情報毎に、当該設定情報が間違っていて他の設定情報が正しいという仮定のもとで、前記不整合を解消するための設定情報の修正方法を導出する修正方法生成処理
    を実行させるためのセキュリティポリシー不整合解消支援プログラム。
17. コンピュータに、
    ネットワークシステムが備えるセキュリティ機器の複数種類のセキュリティ機能の設定を定めた各セキュリティ機能の設定情報を比較することによって、設定情報間の不整合を検出する設定情報分析処理、および
    設定情報分析手段によって不整合が検出されたときに、各セキュリティ機能の設定情報毎に、当該設定情報が間違っていて他の設定情報が正しいという仮定のもとで、前記不整合を解消するための設定情報の修正方法を導出する修正方法生成処理
    を実行させるためのセキュリティポリシー不整合解消支援プログラム。

Images