JP2009077030A

JP2009077030A - ルール制御装置、ルール制御方法、および、ルール制御プログラム

Info

Publication number: JP2009077030A
Application number: JP2007242254A
Authority: JP
Inventors: Hisafumi Abe; 尚史阿部
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 2007-09-19
Filing date: 2007-09-19
Publication date: 2009-04-09

Abstract

【課題】パケットフィルタリングに於いて、新たなルールの適用によりパケットの処置効率が向上できない。
【解決手段】ルール制御装置は、所定の順序を持つ複数のルールからなる規則集合と、規則集合に属するルールを順序で評価して適用するルールを決定し、適用するルールに基づいて入力されたパケットを廃棄または転送するフィルタ部と、複数のルールの各々の適用回数と、順序で最後に評価される第１のルールが適用されたパケットの特徴情報に基づいて、第１のルールが適用されたパケットの少なくとも一部を、パケットが廃棄されたときは廃棄し、転送されたときは転送する、第２のルールを生成して、規則集合に、第１のルールの直前以前に評価されるように追加するルール管理部を備える。
【選択図】図２

Description

本発明は、受信パケットの廃棄または転送に関するルール制御装置、ルール制御方法、および、ルール制御プログラムに関する。

特許文献１は、パケットをフィルタリングするルールを、ルールの適用回数に基づいて再配置する方法を開示する。

特許文献２は、ファイアウォールから受け取った警告情報を統計処理してパケットの通過規則を適切に変更し、変更情報を作成してファイアウォールに送信する監視サーバを開示する。

特許文献３は、ネットワークの運用管理ポリシールールの適用履歴情報を統計処理して、統計情報に基づいて、ポリシーを削除または追加する装置を開示する。

特開２０００−１７４８０８号公報特開２００４−３４８２９２号公報特開２００５−３５４２８０号公報

上述の技術は、所定の順序を持つ複数のルールの適用回数と、最後に評価される第１のルールが適用されたパケットの特徴情報に基づいて第２のルールを生成して、前記第１のルールの直前以前に評価されるようにするものではない。従って、第２のルールの適用により当該パケットの処置効率を向上できないという課題があった。

本発明の目的は、上述の課題を解決するための、ルール制御装置、ルール制御方法、および、ルール制御プログラムを提供することにある。

本発明の一実施形態のルール制御装置は、所定の順序を持つ複数のルールからなる規則集合と、前記規則集合に属するルールを前記順序で評価して適用する前記ルールを決定し、適用する前記ルールに基づいて入力されたパケットを廃棄または転送するフィルタ部と、前記複数のルールの各々の適用回数と、前記順序で最後に評価される第１のルールが適用された前記パケットの特徴情報に基づいて、前記第１のルールが適用された前記パケットの少なくとも一部を、前記パケットが廃棄されたときは廃棄し、転送されたときは転送する、第２のルールを生成して、前記規則集合に、前記第１のルールの直前以前に評価されるように追加するルール管理部を備える。

本発明の一実施形態のルール制御装置は、所定の順序を持つ複数のルールからなる規則集合を備え、前記規則集合に属するルールを前記順序で評価して適用する前記ルールを決定し、適用する前記ルールに基づいて入力されたパケットを廃棄または転送するフィルタ装置から、前記複数のルールの各々の適用回数と、前記順序で最後に評価される第１のルールが適用された前記パケットの特徴情報を受信して、前記適用回数と前記特徴情報に基づき、前記第１のルールが適用された前記パケットの少なくとも一部を、前記パケットが廃棄されたときは廃棄し、転送されたときは転送する、第２のルールおよび前記順序の情報を生成して、前記第２のルールおよび前記順序の前記情報を前記規則集合に、前記順序において前記第１のルールの直前以前に評価されるように追加する前記フィルタ装置に送信する。

本発明の一実施形態のルール制御プログラムは、所定の順序を持つ複数のルールからなる規則集合を備えるコンピュータに、前記規則集合に属するルールを前記順序で評価して適用する前記ルールを決定し、適用する前記ルールに基づいて入力されたパケットを廃棄または転送するフィルタ処理と、前記複数のルールの各々の適用回数と、前記順序で最後に評価される第１のルールが適用された前記パケットの特徴情報に基づいて、前記第１のルールが適用された前記パケットの少なくとも一部を、前記パケットが廃棄されたときは廃棄し、転送されたときは転送する、第２のルールを生成して、前記規則集合に、前記第１のルールの直前以前に評価されるように追加するルール管理処理を実行させる。

本発明の一実施形態のルール制御プログラムは、コンピュータに、所定の順序を持つ複数のルールからなる規則集合を備え、前記規則集合に属するルールを前記順序で評価して適用する前記ルールを決定し、適用する前記ルールに基づいて入力されたパケットを廃棄または転送するフィルタ装置から、前記複数のルールの各々の適用回数と、前記順序で最後に評価される第１のルールが適用された前記パケットの特徴情報を受信して、前記適用回数と前記特徴情報に基づき、前記第１のルールが適用された前記パケットの少なくとも一部を、前記パケットが廃棄されたときは廃棄し、転送されたときは転送する、第２のルールおよび前記順序の情報を生成して、前記第２のルールおよび前記順序の前記情報を前記規則集合に、前記順序において前記第１のルールの直前以前に評価されるように追加する前記フィルタ装置に送信する処理を実行させる。

本発明の一実施形態のルール制御方法は、所定の順序を持つ複数のルールからなる規則集合を備えるコンピュータが、前記規則集合に属するルールを前記順序で評価して適用する前記ルールを決定し、適用する前記ルールに基づいて入力されたパケットを廃棄または転送するフィルタ行程と、前記複数のルールの各々の適用回数と、前記順序で最後に評価される第１のルールが適用された前記パケットの特徴情報に基づいて、前記第１のルールが適用された前記パケットの少なくとも一部を、前記パケットが廃棄されたときは廃棄し、転送されたときは転送する、第２のルールを生成して、前記規則集合に、前記第１のルールの直前以前に評価されるように追加するルール管理行程を有する。

本発明の一実施形態のルール制御方法は、コンピュータが、所定の順序を持つ複数のルールからなる規則集合を備え、前記規則集合に属するルールを前記順序で評価して適用する前記ルールを決定し、適用する前記ルールに基づいて入力されたパケットを廃棄または転送するフィルタ装置から、前記複数のルールの各々の適用回数と、前記順序で最後に評価される第１のルールが適用された前記パケットの特徴情報を受信して、前記適用回数と前記特徴情報に基づき、前記第１のルールが適用された前記パケットの少なくとも一部を、前記パケットが廃棄されたときは廃棄し、転送されたときは転送する、第２のルールおよび前記順序の情報を生成して、前記第２のルールおよび前記順序の前記情報を前記規則集合に、前記順序において前記第１のルールの直前以前に評価されるように追加する前記フィルタ装置に送信する。

本発明は、所定の順序を持つ複数のルールの適用回数と、最後に評価される第１のルールが適用されたパケットの特徴情報に基づいて第２のルールを生成して、前記第１のルールの直前以前に評価されるようにする。本発明は、第２のルールの適用により当該パケットの処置効率を向上させるという効果がある。

図１は、本発明の第１の実施形態にかかるルール制御装置１１のネットワーク構成を例示する。このルール制御装置１１は、外部ネットワーク９１と内部ネットワーク９２の境界に設けられるファイアウォール装置１０として機能する。ファイアウォール装置１０（ルール制御装置１１）は、外部ネットワーク９１から通信のパケットを受信してパケットフィルタリングを行い、所定の条件を満たす通信パケットだけを内部ネットワーク９２に転送する。ファイアウォール装置１０（ルール制御装置１１）は、その他のパケットを廃棄する。ファイアウォール装置１０（ルール制御装置１１）は、内部ネットワーク９２から通信のパケットを受信してパケットフィルタリングを行っても良い。

図２は、本実施形態のファイアウォール装置１０（ルール制御装置１１）（以降、ファイアウォール装置１０とのみ呼称する）の内部構成を示す。ファイアウォール装置１０は、フィルタ部２０、ルール管理部４０、ルール制御プログラム１２、および、設定管理部１３を包含する。

フィルタ部２０は規則集合３１を包含する。本実施形態に於いて、規則集合３１は、ルールテーブル３０として実現されている。ルールテーブル３０（規則集合３１）（以降、ルールテーブル３０とのみ呼称する）は、複数のルール５０を包含する。設定管理部１３がユーザから入力されたルール５０を登録して、ルールテーブル３０を初期設定する。フィルタ部２０は、外部ネットワーク９１からパケットを受信し、ルールテーブル３０のルール５０に基づいてパケットフィルタリングを行う。フィルタ部２０は、通過を許可するパケットは内部ネットワーク９２に転送し、通過を拒否するパケットは廃棄する。

ルール管理部４０は、コピー集合４１と通信ログ４２を包含する。コピー集合４１は、ルールテーブル３０の写しである。設定管理部１３は、ルールテーブル３０を初期設定したとき、その内容をコピー集合４１にコピーしてコピー集合４１を初期設定する。フィルタ部２０がルールテーブル３０の初期設定内容をルール管理部４０に送信して、ルール管理部４０がコピー集合４１に格納しても良い。

ルール管理部４０は、コピー集合４１に基づいて、ルール５０の動的な生成、削除および並べ替えを行い、その変更情報をフィルタ部２０に送信する。送信する変更情報は、例えば、コピー集合４１の内容全体、または、ルール５０の順序情報と生成したルール５０である。フィルタ部２０は、変更情報でルールテーブル３０を更新し、その後は更新したルールテーブル３０に基づいてパケットフィルタリングを行う。

本実施形態に於いて、フィルタ部２０、ルール管理部４０および設定管理部１３は、コンピュータが、図示しない記憶域に格納されているルール制御プログラム１２を読み込んで実行することで実現される。同等な機能が、ハードウェアで実現されてもよい。

図３はルールテーブル３０の構成を示す。ルールテーブル３０は、複数のルール５０を順序付けて格納する。図３では、各ルール５０は上から下に順序づけられている。当該順序の最後のルール５０は特別に第１のルール５１と呼称する。図３において、第１のルール５１は一番下のルール５０である。

各ルール５０はルール識別子５４、処理種別５５、プロトコル種別５６、送信元識別子５Ｂ、および、送信先識別子５Ｃを包含する。

ルール識別子５４は接頭子と連番とからなる。接頭子Ｕはユーザから入力されたルール５０であることを示す。接頭子Ａはルール管理部４０が生成したルール５０であることを示す。接頭子Ｄは第１のルール５１であることを示す。

処理種別５５は、外部ネットワーク９１から受信したパケットに本ルール５０が適用されたとき、当該パケットを内部ネットワーク９２へ転送するのか、廃棄するのかの処置を指定する。許可は内部ネットワーク９２へ転送することを意味し、拒否は廃棄することを意味する。

プロトコル種別５６、送信元識別子５Ｂ、および、送信先識別子５Ｃは、このルール５０の適用条件を規定する。外部ネットワーク９１から受信したパケットのプロトコル、送信元アドレス、および、送信先アドレスが、各々、プロトコル種別５６、送信元識別子５Ｂ、および、送信先識別子５Ｃと合致すると当該パケットに本ルール５０が適用される。当該パケットは、当該ルール５０の処理種別５５に従って転送または廃棄される。なお、受信したパケットのプロトコル、送信元アドレス、および、送信先アドレスは、例えば、パケットのヘッダから取得できる。

送信元識別子５Ｂおよび送信先識別子５Ｃは、パケットのアドレスとなるものであれば何でも良い。送信元識別子５Ｂは、例えば、送信元ＩＰアドレス５７、送信元ポート番号５９、またはその両者の組み合わせである。送信先識別子５Ｃは、例えば、送信先ＩＰアドレス５８、送信先ポート番号５Ａ、または、その両者の組み合わせである。アドレスは、ＴＣＰ／ＩＰ（Transmission Control Protocol/Internet Protocol）のアドレスに限定されず、他のプロトコルのアドレスでも良い。

プロトコル種別５６、送信元識別子５Ｂ、および、送信先識別子５Ｃは、特定の値を指定しても良いし、「任意」という指定も可能である。「任意」は、パケットの値が何であっても、当該条件に合致したものと見なすことを意味する。

パケットを受信した場合、フィルタ部２０は、ルールテーブル３０に順序付けて格納されたルール５０を、当該順序に従って評価する。即ち、フィルタ部２０は、当該パケットのプロトコル、送信元アドレス、および、送信先アドレスが、各々、ルール５０のプロトコル種別５６、送信元識別子５Ｂ、および、送信先識別子５Ｃと合致するかを調べる。フィルタ部２０は、合致したパケットに当該ルール５０を適用する。即ち、フィルタ部２０は、当該ルール５０の処置種別５５にしたがって、当該パケットを内部ネットワーク９２へ転送、または、廃棄する。フィルタ部２０は、当該パケットにあるルール５０を適用すると、当該パケットに関して、後に順序づけられたルール５０は評価しない。

ルールテーブル３０の最下位（ルール５０の順序付けの最後尾）には、第１のルール５１が配置されている。これは、これ以前に評価されたルール５０の何れもが適用されなかったパケットを廃棄する為のルール５０である。評価されれば必ず適用されるように、第１のルール５１のプロトコル種別５６、送信元識別子５Ｂ、および、送信先識別子５Ｃは全て「任意」が指定されている。

コピー集合４１はルールテーブル３０と同じ構造を有する。

図４は通信ログ４２の構成を示す。フィルタ部２０は、受信したパケットにあるルール５０を適用して当該パケットを転送または廃棄したとき、その履歴情報４３をルール管理部４０に送信する。ルール管理部４０は、受信した履歴情報４３を通信ログ４２に蓄積していく。通信ログ４２は、一つのファイルでも良いし、ルール５０ごとに分割されたファイルでも良い。

履歴情報４３即ち、通信ログ４２の各レコードは、適用したルール５０のルール識別子５４、処置日時、ルール５０にしたがって処置されたパケットのプロトコル、送信元アドレス、送信先アドレス、その他が包含される。

パケットのプロトコル、送信元アドレス、送信先アドレスは、各々、ルール５０で指定されたプロトコル種別５６、送信元識別子５Ｂ、および、送信先識別子５Ｃと比較される値である。この意味で、パケットのプロトコル、送信元アドレス、送信先アドレスの各々は、以降、プロトコル種別５６、送信元識別子５Ｂ、および、送信先識別子５Ｃの名前で参照される。送信元アドレスが、ＩＰアドレスとポート番号から構成されるときは、送信元ＩＰアドレス５７と送信元ポート番号５９の名前で参照される。送信先アドレスが、ＩＰアドレスとポート番号から構成されるときは、送信先ＩＰアドレス５８と送信先ポート番号５Ａの名前で参照される。

図５は、ルール管理部４０が、コピー集合４１に基づいてルール５０の動的な生成、削除および並べ替えを行う時のフローチャートである。

ルール管理部４０は、一定時間経過ごと（Ｓ１１でＹ）に起動される。

同部は、通信ログ４２を解析して、ルール識別子５４ごとに、当該一定時間内に当該ルール５０が適用された回数を集計する（Ｓ１２）。集計値は、通信ログ４２の処置日時が当該一定時間内に包含される履歴情報４３の数を、ルール識別子５４ごとにカウントすることで得る。図６はこの集計結果を示す。例えば、図６の最下段は、ルール識別子５４がＤ１のルール５０、即ち、第１のルール５１の適用回数が３１３００回であることを示す。

同部は、集計結果から、適用回数が最低の第１のルール５１以外のルール５０の適用回数（最低回数）を取得する（Ｓ１３）。図６の例においては、ルール識別子５４がＵ４のルール５０の適用回数である４５７を最低回数として取得する。

同部は、通信ログ４２を解析して、第１のルール５１が適用されて廃棄されたパケットを、同一の特徴情報４７、例えば同一のプロトコル種別５６および送信先ポート番号５Ａごとのグループ（グループｎ：n=1~N）に分類する。その後同部は、グループ毎のパケット数（Ｃｎ：n=1~N）および当該一定時間内に処置された全体のパケット数に占める各Ｃｎの割合（Ｒｎ：n=1~N）を求める（Ｓ１４）。同部は、この処理に於いて、通信ログ４２の処置日時が当該一定時間内に包含される履歴情報４３を読み込んで、履歴情報４３に含まれるプロトコル種別５６と送信先ポート番号５Ａの値が同一のパケットを、同一のグループに分類すればよい。

特徴情報４７は、このグループ分けのキーとなるパケットの情報を意味する。上記の例では、特徴情報４７はプロトコル種別５６と送信先ポート番号５Ａの組み合わせである。特徴情報４７は、ルール５０の適用条件を規定するプロトコル種別５６、送信元識別子５Ｂ、および、送信先識別子５Ｃの中から単独に、または組み合わせて適宜選択されれば良い。送信元識別子５Ｂが、送信元ＩＰアドレス５７および送信元ポート番号５９からなる場合は、各々単独に、または、両者を組み合わせて選択されれば良い。同様なことが、送信先識別子５Ｃについても当てはまる。

ルール管理部４０は、特徴情報４７をルール制御装置１１ごとに固定的に選択しても良いし、ユーザの指定を設定管理部１３から受信して選択しても良い。また、ルール管理部４０は、複数の種類の選択情報４３に基づいて、複数回本ステップの処理を実施しても良い。

なお、Ｒｎを求めるときの分母は、通信ログ４２の処置日時が当該一定時間内に包含される履歴情報４３の総数から求められる（図６の最下段）。

図７はこのグループ分け、および、ＣｎとＲｎの計算結果を例示する。本図では、特徴情報４７をプロトコル種別５６と送信先ポート番号５Ａの組み合わせとした結果、パケットがグループ１から４までの４グループに分類できたことを示している。

例えば、プロトコル種別５６がＵＤＰ（User Datagram Protocol）で、送信先ポート番号５Ａのパケットがグループ１を構成していることを示している。同図は、グループ１のＣｎ（Ｃ１）は２５６３２個およびＲｎ（Ｒ１）は：２９．８８％として算出されたことも示している。

同部は、全てのグループｎについて完了するまで（Ｓ１５でＮ）、以下の１）乃至３）の処理を行う。

１）同部は、Ｒｎが予め与えられた値（例えば、１０％）以上で（Ｓ１６でＹ）、かつ、Ｃｎが最低回数以上である（Ｓ１７でＹ）場合は、当該グループｎの属するパケットを廃棄するようなルール５０を生成する（Ｓ１８）。ここで生成されたルール５０は、特別に第２のルール５２と呼称する。

図７の例では、グループ１のＲ１（２９．８８％）が１０％以上で、かつ、Ｃ１（２５６３２）が最低回数（４５７）以上である。従って、同部は、グループ１に分類されたパケットを廃棄するような第２のルール５２を生成することになる。グループ１に分類されたパケットは、プロトコル種別５６がＵＤＰで、送信先ポート番号５Ａが８０００のパケットである。従って、同部は、図８に示す第２のルール５２を生成する。ここで、ルール識別子５４は、ルール管理部４０が生成したルール５０であることを示す接頭子Ａを包含する。

２）同部は生成した第２のルール５２をコピー集合４１に追加する（Ｓ１９）。追加位置はどこでも構わない。図９は第１のルール５１の直前に追加したものを例示する。

３）同部は、Ｒｎが予め与えられた値未満（Ｓ１６でＮ）、または、Ｃｎが最低回数未満である（Ｓ１７でＮ）場合は何もしない。

同部は、全てのグループｎについて上述の１）乃至３）の処理を完了する（Ｓ１５でＹ）と、コピー集合４１のルール５０の再配置を行う（Ｓ２０）。再配置は、セキュリティポリシーに矛盾が発生しないように、適用回数の多いルール５０を、評価順位の上位に位置づけてコピー集合４１に格納することをいう。ここで、再配置の対象となるルール５０は、第２のルール５２を含むが第１のルール５１は含まない。

このルール５０の再配置の手順は当業者に知られており、ここでは詳細は割愛する。ルール管理部４０は、例えば、引用文献１で記載された手法を用いる。

図１０は再配置の様子を示す。上段の表は再配置前のコピー集合４１を示す。このコピー情報４１の図には、参考のため、右端のコラムに再配置の基準となる各ルール５０の適用回数（即ち、適用パケット数）が付加されている。Ｕ１乃至Ｕ４のルール５０についての適用回数は、通信ログ４２から得た図６の値である。生成した第２のルール５２についての値は、当該第２のルール５２を生成する基となったグループｎのＣｎである。図７の例に於いては、グループ１のＣ１の値である。

図１０の下段は、再配置後のコピー集合４１を示す。第２のルール５２は、通常、第１のルール５１の直前より前に再配置される。その理由は、グループｎのＣｎの値が最低回数以上である（Ｓ１７でＹ）ことを条件に第２のルール５２を生成しているからである。

再配置後、同部は、第２のルール５２が不要となれば、これを削除する（Ｓ２１）。再配置の結果、第２のルール５２が第１のルール５１の直前に配置されると、不要となるため削除される。これは、今回生成したばかりの第２のルール５２を、第１のルール５１の直前より前に再配置するとセキュリティポリシーに反する場合（特許文献１等を参照）に発生する。また、これは、以前に生成されフィルタ部２０で使用されていた第２のルール５２の適用回数が相対的に下がってきた場合にも発生する。また、同部は、以前に生成してフィルタ部２０で使用されていた第２のルール５２の適用回数がゼロになった時も、当該第２のルール５２は不要であるとして、これをを削除する。

最後に、同部は、コピー集合４１の内容をフィルタ部２０に送信して（Ｓ２２）、その処理を終了する。

フィルタ部２０は、受信したコピー集合４１の内容を、ルールテーブル３０に格納して、更新後のルールテーブル３０に基づいてパケットフィルタリングを継続する。

なお、ルール管理部４０は、コピー集合４１の内容全体ではなく、生成した第２のルール５２とルール５０の新たな順序情報だけをフィルタ部２０に送信しても良い。この場合、ルールテーブル３０上のルール５０の並べ替えは、フィルタ部２０が行う。こうすることで、同部は、フィルタ部２０への送信データ量を減らすことが可能となる。

本実施形態の第１の効果は、パケットを処置（転送または廃棄）するための処理時間を短縮できることである。その理由は、ルール管理部４０が、最後に評価される第１のルール５１が適用されたパケットを分析し、新たな処置ルール５０（第２のルール５２）を生成して、ルールテーブル３０の第１のルール５１の直前以前の位置に追加するからである。これにより、第１のルール５１を適用するよりも少ない評価回数で、当該パケットを処置することが可能になる。

図１１は、ルール５０の評価回数を指標とした処理効率の比較を示す。ここで、評価回数とは、そのルール５０が適用された時に適用可否を評価したルール５０の数である。例えば、（ａ）の表に於いて、ルール識別子５４がＵ３のルール５０の適用回数は４５６８であり、評価回数は１３７０４（３×４５６８）である。これは、ルール識別子５４がＵ１とＵ２のルール５０の評価の後に、Ｕ３のルール５０が評価されて適用されるからである。

図１１は、ルール５０の再配置処理のみを行った場合（（ｂ）の表）の処理効率改善よりも、第２のルール５２を作成して、ルールテーブル３０に追加して再配置処理を行った場合（（Ｃ）の表）の方が、処理効率が改善されることを示す。

再配置処理のみを行った場合（（ｂ）の表）の処理効率改善は、９１．３３％（２３５０６４／２５７３９２）である。第２のルール５２を作成して、ルールテーブル３０に追加して再配置処理を行った場合（（Ｃ）の表）の処理効率改善は、７０．８８％（１８２４２９／２５７３９２）である。

本実施形態の第２の効果は、利用者のルール５０の管理コストを削減することができることにある。その理由は、ルール管理部４０が、パケットの分析に基づき、パケットの処置ルール５０の追加・削除を自動的に行うからである。

図１２は本発明の第２の実施形態を示す。本実施形態のルール制御装置１１では、ルールテーブル３０はフィルタ部２０とルール管理部４０とは別個に存在し、両者により共用される。

本実施形態のルール管理部４０は、フィルタ部２０からパケットの特徴情報４７と各々のルール５０の適用回数を受信して、第２のルール５２を生成してルールテーブル３０に追加する。即ち、ルール管理部４０は、図５に示す処理をルールテーブル３０に対して行う。ルール管理部４０は、コピー集合４１を有さない。フィルタ部２０は、ルール管理部４０が更新したルールテーブル３０を参照してパケットフィルタリングを行う。その他は第１の実施形態と同様である。

本実施形態では、ルール制御装置１１を単純に構成可能である。その理由は、ルール管理部４０が直接ルールテーブル３０を更新するからである。本実施形態においても、第１の実施形態と同じ効果は奏する。

なお、本実施形態に於いても、フィルタ部２０およびルール制御部４０は、コンピュータが、図示しない記憶域に格納されているルール制御プログラム１２を読み込んで実行することで実現される。同等な機能が、ハードウェアで実現されてもよい。

第３の実施形態を説明する。本発明の第１の実施形態では、第１のルール５１および第２のルール５２はパケットを廃棄するルール５０としているが、本発明はこれに限られない。第３の実施形態では、第１のルール５１および第２のルール５２の処理種別５５は、パケットの送信先アドレスを書き換えて、特定のシステムに転送することを指定しても良い。本実施形態ではさらにルールテーブル３０の最適化が可能となる。その理由は、転送先のシステムで、例えば、転送されたパケットの内容（ヘッダ以外の情報を含む）を分析してルール５０を最適化できるからである。

さらに、第１のルール５１および第２のルール５２の処置種別５５は、パケットを単純にそのまま内部ネットワーク９２に転送することを指定しても良い。第１のルール５１の処置種別５５の指定地を適宜選べることで、ルール５０の作成が自由になり、ユーザがルールテーブル３０を設計する自由度が向上する。

図１３は、本発明の第４の実施形態を示す。本実施形態では、第１の実施形態のフィルタ部２０とルール管理部４０を互いに接続された別装置として分離して実装する。図１３のフィルタ装置６０は図２のフィルタ部２０に相当し、図１２のルール制御装置１１は図２のルール管理部４０に相当する。

フィルタ装置６０とルール制御装置１１は、特徴情報４７およびルール５０の適用回数、並びに、第２のルール５２とルール５０の順序情報の送受信を行う。

本実施形態の効果は、フィルタ装置６０がパケットフィルタリングだけを集中して行うことが出来ることである。その理由は、第２のルール５２を作成する処理、ルール５０の再配置処理をルール制御装置１１が分担するからである。

なお、本実施形態に於いても、ルール制御装置１１は、コンピュータが、図示しない記憶域に格納されているルール制御プログラム１２を読み込んで実行することで実現される。同等な機能が、ハードウェアで実現されてもよい。

ネットワーク構成を示す図である。ルール制御装置の構成を示す図である。ルールテーブル（規則集合）およびコピー集合の構成を示す図である。通信ログの構成を示す図である。ルール管理部のフローチャートである。各ルールの適用回数を示す表である。第１のルールを適用されたパケットの分類を示す表である。第２のルールを示す図である。第２のルールを追加したコピー集合を示す図である。ルールの再配置を示す図である。効果を示す図である。第２の実施形態を示す図である。第４の実施形態を示す図である。

符号の説明

１０ファイアウォール装置
１１ルール制御装置
１２ルール制御プログラム
１３設定管理部
２０フィルタ部
３０ルールテーブル
３１規則集合
４０ルール管理部
４１コピー集合
４２通信ログ
４３履歴情報
４７特徴情報
５０ルール
５１第１のルール
５２第２のルール
５４ルール識別子
５５処理種別
５６プロトコル種別
５７送信元ＩＰアドレス
５８送信先ＩＰアドレス
５９送信元ポート番号
５Ａ送信先ポート番号
５Ｂ送信元識別子
５Ｃ送信先識別子
６０フィルタ装置
９１外部ネットワーク
９２内部ネットワーク

Claims

所定の順序を持つ複数のルールからなる規則集合と、
前記規則集合に属するルールを前記順序で評価して適用する前記ルールを決定し、適用する前記ルールに基づいて入力されたパケットを廃棄または転送するフィルタ部と、
前記複数のルールの各々の適用回数と、前記順序で最後に評価される第１のルールが適用された前記パケットの特徴情報に基づいて、前記第１のルールが適用された前記パケットの少なくとも一部を、前記パケットが廃棄されたときは廃棄し、転送されたときは転送する、第２のルールを生成して、前記規則集合に、前記第１のルールの直前以前に評価されるように追加するルール管理部を備えるルール制御装置。
前記順序を、前記第１のルールを除き、前記適用回数に基づき決定する前記ルール管理部を備える請求項１のルール制御装置。
前記順序を、所定時間ごとに見直し、前記第２のルールの前記順序における順番が、前記第１のルールの直前になったときは、前記第２のルールを削除する前記ルール管理部を備える請求項２のルール制御装置。
前記特徴情報は、前記パケットのプロトコル種別、送信元識別子、送信先識別子の何れか、または、その組み合わせであり、前記特徴情報が同一の前記パケットに適用された前記第１のルールの回数が所定条件を満たすとき、前記特徴情報が同一の前記パケットに適用する前記第２のルールを生成する前記ルール管理部を備える請求項１乃至３のいずれかに記載のルール制御装置。
前記パケットの総数に対する、前記特徴情報が同一の、前記第１のルールが適用された前記パケットの数の割合が、所定値以上の場合に、前記第２のルールを生成する前記ルール管理部を備える請求項１乃至４のいずれかに記載のルール制御装置。
所定の順序を持つ複数のルールからなる規則集合を備え、前記規則集合に属するルールを前記順序で評価して適用する前記ルールを決定し、適用する前記ルールに基づいて入力されたパケットを廃棄または転送するフィルタ装置から、
前記複数のルールの各々の適用回数と、前記順序で最後に評価される第１のルールが適用された前記パケットの特徴情報を受信して、
前記適用回数と前記特徴情報に基づき、前記第１のルールが適用された前記パケットの少なくとも一部を、前記パケットが廃棄されたときは廃棄し、転送されたときは転送する、第２のルールおよび前記順序の情報を生成して、前記第２のルールおよび前記順序の前記情報を前記規則集合に、前記順序において前記第１のルールの直前以前に評価されるように追加する前記フィルタ装置に送信するルール制御装置。
前記特徴情報は、前記パケットのプロトコル種別、送信元識別子、送信先識別子の何れか、または、その組み合わせであり、前記特徴情報が同一の前記パケットに適用された前記第１のルールの回数が所定条件を満たすとき、前記特徴情報が同一の前記パケットに適用する前記第２のルールを生成する請求項６のルール制御装置。
所定の順序を持つ複数のルールからなる規則集合を備えるコンピュータに、
前記規則集合に属するルールを前記順序で評価して適用する前記ルールを決定し、適用する前記ルールに基づいて入力されたパケットを廃棄または転送するフィルタ処理と、
前記複数のルールの各々の適用回数と、前記順序で最後に評価される第１のルールが適用された前記パケットの特徴情報に基づいて、前記第１のルールが適用された前記パケットの少なくとも一部を、前記パケットが廃棄されたときは廃棄し、転送されたときは転送する、第２のルールを生成して、前記規則集合に、前記第１のルールの直前以前に評価されるように追加するルール管理処理を実行させるルール制御プログラム。
前記コンピュータに、
前記順序を、前記第１のルールを除き、前記適用回数に基づき決定する前記ルール管理処理を実行させる請求項８のルール制御プログラム。
前記コンピュータに、
前記順序を、所定時間ごとに見直し、前記第２のルールの前記順序における順番が、前記第１のルールの直前になったときは、前記第２のルールを削除する前記ルール管理処理を実行させる請求項９のルール制御プログラム。
コンピュータに、
所定の順序を持つ複数のルールからなる規則集合を備え、前記規則集合に属するルールを前記順序で評価して適用する前記ルールを決定し、適用する前記ルールに基づいて入力されたパケットを廃棄または転送するフィルタ装置から、
前記複数のルールの各々の適用回数と、前記順序で最後に評価される第１のルールが適用された前記パケットの特徴情報を受信して、
前記適用回数と前記特徴情報に基づき、前記第１のルールが適用された前記パケットの少なくとも一部を、前記パケットが廃棄されたときは廃棄し、転送されたときは転送する、第２のルールおよび前記順序の情報を生成して、前記第２のルールおよび前記順序の前記情報を前記規則集合に、前記順序において前記第１のルールの直前以前に評価されるように追加する前記フィルタ装置に送信する処理を実行させるルール制御プログラム。
所定の順序を持つ複数のルールからなる規則集合を備えるコンピュータが、
前記規則集合に属するルールを前記順序で評価して適用する前記ルールを決定し、適用する前記ルールに基づいて入力されたパケットを廃棄または転送するフィルタ行程と、
前記複数のルールの各々の適用回数と、前記順序で最後に評価される第１のルールが適用された前記パケットの特徴情報に基づいて、前記第１のルールが適用された前記パケットの少なくとも一部を、前記パケットが廃棄されたときは廃棄し、転送されたときは転送する、第２のルールを生成して、前記規則集合に、前記第１のルールの直前以前に評価されるように追加するルール管理行程を有するルール制御方法。
前記コンピュータが、前記順序を、前記第１のルールを除き、前記適用回数に基づき決定する前記ルール管理行程を有する請求項１２のルール制御方法。
前記コンピュータが、前記順序を、所定時間ごとに見直し、前記第２のルールの前記順序における順番が、前記第１のルールの直前になったときは、前記第２のルールを削除する前記ルール管理行程を有する請求項１３のルール制御プログラム。
コンピュータが、
所定の順序を持つ複数のルールからなる規則集合を備え、前記規則集合に属するルールを前記順序で評価して適用する前記ルールを決定し、適用する前記ルールに基づいて入力されたパケットを廃棄または転送するフィルタ装置から、
前記複数のルールの各々の適用回数と、前記順序で最後に評価される第１のルールが適用された前記パケットの特徴情報を受信して、
前記適用回数と前記特徴情報に基づき、前記第１のルールが適用された前記パケットの少なくとも一部を、前記パケットが廃棄されたときは廃棄し、転送されたときは転送する、第２のルールおよび前記順序の情報を生成して、前記第２のルールおよび前記順序の前記情報を前記規則集合に、前記順序において前記第１のルールの直前以前に評価されるように追加する前記フィルタ装置に送信するルール制御方法。