JP2018517373A5 - - Google Patents

Description

第1の態様によれば、フロー制御方法が提供され、この方法は、
複数のアドレス情報がそれぞれ属するホストの属性情報に従って、格納された複数のアドレス情報を少なくとも2つのセキュリティグループにグループ分けするステップであって、属性情報はサービス種別またはセキュリティクラスを含む、ステップと、
検査されたセキュリティグループでは、高レベルのセキュリティグループが低レベルのセキュリティグループを完全に含むことができ、かつ同じレベルのセキュリティグループが重複することなく互いに完全に独立しているように、少なくとも2つのセキュリティグループを検査するステップであって、レベルは、セキュリティグループが親グループ、子グループ、または独立したセキュリティグループのいずれであるかを示すために使用される、ステップと、
ポリシー構成命令を受信するステップであって、ポリシー構成命令は、指定された送信元グループ、指定された送信先グループ、および指定されたアクションインジケータを運び、指定された送信元グループおよび指定された送信先グループは、検査されたセキュリティグループ内の2つの異なるセキュリティグループである、ステップと、
ポリシー構成命令に従って、指定されたルールを構成し、ポリシー構成命令に従って、指定されたルールの格納順序を構成するステップであって、指定されたルールは、構成されるべき少なくとも2つのルール内の任意のルールである、ステップと、
少なくとも2つのルールが構成された後にデータパケットを受信するステップであって、データパケットは送信元アドレス情報および送信先アドレス情報を運ぶ、ステップと、
フロー制御を実施するために、少なくとも2つのルールおよび少なくとも2つのルールの格納順序に従って、データパケットを処理するステップと
を含む。

第2の態様によれば、フロー制御装置が提供され、この装置は、
複数のアドレス情報がそれぞれ属するホストの属性情報に従って、格納された複数のアドレス情報を少なくとも2つのセキュリティグループにグループ分けするように構成されたグループ分けモジュールであって、属性情報はサービス種別またはセキュリティクラスを含む、グループ分けモジュールと
検査されたセキュリティグループでは、高レベルのセキュリティグループが低レベルのセキュリティグループを完全に含むことができ、かつ同じレベルのセキュリティグループが重複することなく互いに完全に独立しているように、少なくとも2つのセキュリティグループを検査するように構成された検査処理モジュールであって、レベルは、セキュリティグループが親グループ、子グループ、または独立したセキュリティグループのいずれであるかを示すために使用される、検査処理モジュールと、
ポリシー構成命令を受信するように構成された受信モジュールであって、ポリシー構成命令は、指定された送信元グループ、指定された送信先グループ、および指定されたアクションインジケータを運び、指定された送信元グループおよび指定された送信先グループは、検査されたセキュリティグループ内の2つの異なるセキュリティグループである、受信モジュールと、
ポリシー構成命令に従って、指定されたルールを構成し、ポリシー構成命令に従って、指定されたルールの格納順序を構成するように構成された構成モジュールであって、指定されたルールは、構成されるべき少なくとも2つのルール内の任意のルールであり、受信モジュールは、少なくとも2つのルールが構成された後にデータパケットを受信するようにさらに構成され、データパケットは送信元アドレス情報および送信先アドレス情報を運ぶ、構成モジュールと、
フロー制御を実施するために、少なくとも2つのルールおよび少なくとも2つのルールの格納順序に従って、データパケットを処理するように構成されたパケット処理モジュールと
を含む。

ステップ201：複数のアドレス情報がそれぞれ属するホストの属性情報に従って、格納された複数のアドレス情報を少なくとも2つのセキュリティグループにグループ分けし、属性情報はサービス種別またはセキュリティクラスを含む。

ステップ301：複数のアドレス情報がそれぞれ属するホストの属性情報に従って、格納された複数のアドレス情報を少なくとも2つのセキュリティグループにグループ分けし、属性情報はサービス種別またはセキュリティクラスを含む。

格納された複数のアドレス情報を、フロー制御が実行される必要のあるアドレス情報とすることができ、アドレス情報はIPアドレスを含むだけでなく、必ずポート番号を含むことができる。これは、本発明のこの実施形態において特に限定されない。また、複数のアドレス情報を複数のセキュリティグループにグループ分けする際に、パケット交換装置は、各アドレス情報が属するホストのサービス種別を取得し、取得されたサービス種別に従って、複数のアドレス情報を少なくとも2つにグループ分けすることができ、このため、グループ分け後に、各セキュリティグループは同じサービス種別に対応するアドレス情報を含む。勿論、実際のアプリケーションでは、パケット交換装置は、複数のアドレス情報を他の方法でセキュリティグループにグループ分けしてもよく、例えば、各アドレス情報が属するホストのセキュリティクラスに従ってグループ分けを行ってもよい。これは、本発明のこの実施形態において特に限定されない。

図9は、本発明の実施形態によるフロー制御装置の概略構成図である。図9を参照すると、装置は、
複数のアドレス情報がそれぞれ属するホストの属性情報に従って、格納された複数のアドレス情報を少なくとも2つのセキュリティグループにグループ分けするように構成されたグループ分けモジュール401であって、属性情報はサービス種別またはセキュリティクラスを含む、グループ分けモジュール401と
検査されたセキュリティグループでは、高レベルのセキュリティグループが低レベルのセキュリティグループを完全に含むことができ、同じレベルのセキュリティグループが重複することなく互いに完全に独立しており、少なくとも2つのセキュリティグループを検査するように構成された検査処理モジュール402であって、レベルは、セキュリティグループが親グループ、子グループ、または独立したセキュリティグループのいずれであるかを示すために使用される、検査処理モジュール402と、
ポリシー構成命令を受信するように構成された受信モジュール403であって、ポリシー構成命令は、指定された送信元グループ、指定された送信先グループ、および指定されたアクションインジケータを運び、指定された送信元グループおよび指定された送信先グループは、検査されたセキュリティグループ内の2つの異なるセキュリティグループである、受信モジュール403と、
ポリシー構成命令に従って、指定されたルールを構成し、ポリシー構成命令に従って、指定されたルールの格納順序を構成するように構成された構成モジュール404であって、指定されたルールは、少なくとも2つの構成されるべきルール内の任意のルールであり、
ここで、受信モジュール403は、少なくとも2つのルールが構成された後にデータパケットを受信するようにさらに構成され、データパケットは送信元アドレス情報および送信先アドレス情報を運ぶ、構成モジュール404と、
フロー制御を実施するために、少なくとも2つのルールと少なくとも2つのルールの格納順序に従ってデータパケットを処理するように構成されたパケット処理モジュール405と
を含む。

プロセッサ502は、複数のアドレス情報がそれぞれ属するホストの属性情報に従って、格納された複数のアドレス情報を少なくとも2つのセキュリティグループにグループ分けするように構成され、属性情報はサービス種別またはセキュリティクラスを含み、さらに、少なくとも2つのセキュリティグループを検査し、検査されたセキュリティグループでは、高レベルのセキュリティグループが低レベルのセキュリティグループを完全に含むことができ、同じレベルのセキュリティグループが互いに重複することなく完全に独立しているように構成され、レベルは、セキュリティグループが親グループ、子グループ、または独立したセキュリティグループのいずれであるかを示すために使用される。

Claims (24)

1. パケット交換装置に適用されるフロー制御方法であって、
   複数のアドレス情報がそれぞれ属するホストの属性情報に従って、格納された前記複数のアドレス情報を少なくとも3つのセキュリティグループにグループ分けするステップであって、前記属性情報はサービス種別またはセキュリティクラスを含む、ステップと、
   検査されたセキュリティグループでは、高レベルのセキュリティグループが低レベルのセキュリティグループを完全に含み、かつ同じレベルのセキュリティグループが重複することなく互いに完全に独立しているように、前記少なくとも3つのセキュリティグループを検査するステップであって、前記レベルは、前記セキュリティグループが親グループ、子グループ、または独立したセキュリティグループのいずれであるかを示すために使用される、ステップと、
   ポリシー構成命令を受信するステップであって、前記ポリシー構成命令は、指定された送信元グループ、指定された送信先グループ、および指定されたアクションインジケータを運び、前記指定された送信元グループおよび前記指定された送信先グループは、前記検査されたセキュリティグループ内の2つの異なるセキュリティグループである、ステップと、
   前記ポリシー構成命令に従って、指定されたルールを構成し、前記ポリシー構成命令に従って、少なくとも2つのルールの格納順序を構成するステップであって、前記指定されたルールは、前記ポリシー構成命令に従って生成され、前記少なくとも2つのルールは、前記指定されたルールおよび別の構成されたルールを含み、前記少なくとも2つのルールの各々は、一致条件およびアクションインジケータを含む、ステップと、
   前記少なくとも2つのルールが構成された後にデータパケットを受信するステップであって、前記データパケットは送信元アドレス情報および送信先アドレス情報を運ぶ、ステップと、
   フロー制御を実施するために、前記少なくとも2つのルールおよび前記少なくとも2つのルールの格納順序に従って、前記データパケットを処理するステップと
   を含む方法。
2. 前記少なくとも2つのセキュリティグループを検査する前記ステップが、
   第1のセキュリティグループと複数の第2のセキュリティグループとの間に包含関係または重複関係が存在するかどうかを判断するステップであって、前記第1のセキュリティグループは、前記少なくとも3つのセキュリティグループ内の検査されていないセキュリティグループであり、前記複数の第2のセキュリティグループは、前記少なくとも3つのセキュリティグループ内の前記検査されたセキュリティグループであり、前記包含関係は、前記第1のセキュリティグループが前記第2のセキュリティグループのサブセットであること、または前記第2のセキュリティグループが前記第1のセキュリティグループのサブセットであることを意味し、前記重複関係は、前記第1のセキュリティグループと前記第2のセキュリティグループとの間に共通部分が存在し、前記第1のセキュリティグループが前記第2のセキュリティグループと等しくないことを意味する、ステップと、
   前記第1のセキュリティグループと前記複数の第2のセキュリティグループ内の少なくとも2つの第2のセキュリティグループとの間に包含関係が存在する場合、前記少なくとも2つの第2のセキュリティグループから第3のセキュリティグループとしてセキュリティグループを決定するステップと、
   第1の確認プロンプト情報を表示するステップであって、前記第1の確認プロンプト情報は、前記第1のセキュリティグループと前記第3のセキュリティグループとの間の包含関係を処理するように管理者を促すために使用される、ステップと、
   前記第1の確認プロンプト情報に従って第1の処理命令が受信された場合、前記第1の処理命令に従って、前記第1のセキュリティグループと前記第3のセキュリティグループとの間の前記包含関係を処理するステップと
   を含む、請求項1に記載の方法。
3. 前記少なくとも2つの第2のセキュリティグループから第3のセキュリティグループとしてセキュリティグループを決定する前記ステップが、
   前記第1のセキュリティグループが前記少なくとも2つの第2のセキュリティグループ内のすべてのセキュリティグループに含まれる場合、前記少なくとも2つの第2のセキュリティグループから、最も小さいアドレス範囲を有するセキュリティグループを選択するステップ、または前記第1のセキュリティグループが前記少なくとも2つの第2のセキュリティグループ内のすべてのセキュリティグループを含む場合、前記少なくとも2つの第2のセキュリティグループから、最も大きいアドレス範囲を有するセキュリティグループを選択するステップ、または前記第1のセキュリティグループが前記少なくとも2つの第2のセキュリティグループ内の少なくとも1つの第2のセキュリティグループに含まれ、かつ前記第1のセキュリティグループが前記少なくとも2つの第2のセキュリティグループ内の残りの第2のセキュリティグループをさらに含む場合、前記少なくとも1つの第2のセキュリティグループから、最も小さいアドレス範囲を有するセキュリティグループを選択するか、もしくは前記残りの第2のセキュリティグループから、最も大きいアドレス範囲を有するセキュリティグループを選択するステップと、
   選択された前記セキュリティグループを前記第3のセキュリティグループとして決定するステップと
   を含む、請求項2に記載の方法。
4. 前記第1の処理命令に従って、前記第1のセキュリティグループと前記第3のセキュリティグループとの間の前記包含関係を処理する前記ステップが、
   前記第1のセキュリティグループおよび前記第3のセキュリティグループから、より大きなアドレス範囲を有するセキュリティグループを第4のセキュリティグループとして決定し、前記第1のセキュリティグループおよび前記第3のセキュリティグループから、より小さいアドレス範囲を有するセキュリティグループを第5のセキュリティグループとして決定するステップと、
   前記第1の処理命令が第1の分割命令である場合、前記第4のセキュリティグループから前記第5のセキュリティグループのアドレス情報と同一のアドレス情報を削除して、第1の子セキュリティグループを取得するステップであって、前記第1の子セキュリティグループは、削除後に残ったアドレス情報を含む、ステップと、
   前記第1の処理命令が継承命令である場合、前記第5のセキュリティグループを二次セキュリティグループとして設定し、前記第5のセキュリティグループを前記第4のセキュリティグループの子グループとして設定するステップであって、前記二次セキュリティグループは、前記検査されたセキュリティグループ内の別のセキュリティグループとの包含関係を有するセキュリティグループである、ステップと
   を含む、請求項2または3に記載の方法。
5. 第1のセキュリティグループと複数の第2のセキュリティグループとの間に包含関係または重複関係が存在するかどうかを判断する前記ステップの後、前記方法が、
   前記第1のセキュリティグループと前記複数の第2のセキュリティグループ内の少なくとも2つの第2のセキュリティグループとの間に重複関係が存在する場合、前記少なくとも2つの第2のセキュリティグループから第6のセキュリティグループとしてセキュリティグループを選択するステップと、
   第2の確認プロンプト情報を表示するステップであって、前記第2の確認プロンプト情報は、前記第1のセキュリティグループと前記第6のセキュリティグループとの間の重複関係を処理するように前記管理者を促すために使用される、ステップと、
   前記第2の確認プロンプト情報に従って第2の処理命令が受信された場合、前記第2の処理命令に従って、前記第1のセキュリティグループと前記第6のセキュリティグループとの間の前記重複関係を処理するステップと
   をさらに含む、請求項2に記載の方法。
6. 前記第2の処理命令に従って、前記第1のセキュリティグループと前記第6のセキュリティグループとの間の前記重複関係を処理する前記ステップが、
   前記第2の処理命令が旧グループを保持する命令である場合、前記第1のセキュリティグループ内にあり、かつ前記第6のセキュリティグループ内のアドレス情報と同一であるアドレス情報を第2の子セキュリティグループにグループ分けし、前記第2の子セキュリティグループ内のアドレス情報以外の前記第1のセキュリティグループ内の他のアドレス情報を第3の子セキュリティグループにグループ分けするステップと、
   前記第2の子セキュリティグループを二次セキュリティグループとして設定し、前記第2の子セキュリティグループを前記第6のセキュリティグループの子グループとして設定するステップと
   を含む、請求項5に記載の方法。
7. 前記第2の処理命令に従って、前記第1のセキュリティグループと前記第6のセキュリティグループとの間の前記重複関係を処理する前記ステップが、
   前記第2の処理命令が新グループを保持する命令である場合、前記第6のセキュリティグループ内にあり、かつ前記第1のセキュリティグループ内のアドレス情報と同一であるアドレス情報を第4の子セキュリティグループにグループ分けし、前記第4の子セキュリティグループ内のアドレス情報以外の前記第6のセキュリティグループ内の他のアドレス情報を第5の子セキュリティグループにグループ分けするステップと、
   前記第4の子セキュリティグループを二次セキュリティグループとして設定し、前記第4の子セキュリティグループを前記第1のセキュリティグループの子グループとして設定するステップと
   を含む、請求項5に記載の方法。
8. 前記第2の処理命令に従って、前記第1のセキュリティグループと前記第6のセキュリティグループとの間の前記重複関係を処理する前記ステップが、
   前記第2の処理命令が第2の分割命令である場合、前記第1のセキュリティグループおよび前記第6のセキュリティグループ内の同一のアドレス情報、前記第6のセキュリティグループ内のアドレス情報と同一のアドレス情報以外の前記第1のセキュリティグループ内の他のアドレス情報、および前記第1のセキュリティグループ内のアドレス情報と同一のアドレス情報以外の前記第6のセキュリティグループ内の他のアドレス情報を、3つのセキュリティグループにそれぞれグループ分けするステップ
   を含む、請求項5に記載の方法。
9. 前記ポリシー構成命令に従って、指定されたルールを構成する前記ステップが、
   前記指定された送信元グループと前記指定された送信先グループとの両方が一次セキュリティグループである場合、前記指定された送信元グループ、前記指定された送信先グループ、および前記指定されたアクションインジケータに従って、前記指定されたルールを構成するステップであって、前記指定されたルールおよび前記指定されたルールとは独立した前記別の構成されたルールの前記格納順序は、フロー制御に影響を与えず、前記一次セキュリティグループは、前記検査されたセキュリティグループ内の別のセキュリティグループとの包含関係または重複関係を有しない独立したセキュリティグループであり、前記指定されたルールおよび前記別の構成されたルールは、独立したセキュリティグループによって形成される、ステップ
   を含む、請求項1から8のいずれか一項に記載の方法。
10. 前記ポリシー構成命令に従って、指定されたルールを構成し、前記ポリシー構成命令に従って、前記指定されたルールの格納順序を構成する前記ステップが、
    前記指定された送信元グループまたは前記指定された送信先グループが二次セキュリティグループである場合、第1のルールが構成されているかどうかを判断するステップであって、前記第1のルールは、前記指定された送信元グループの親グループと前記指定された送信先グループとの間のルール、前記指定された送信元グループと前記指定された送信先グループの親グループとの間のルール、または前記指定された送信元グループの親グループと前記指定された送信先グループの親グループとの間のルールである、ステップと、
    前記第1のルールが構成されている場合、前記指定されたアクションインジケータが前記第1のルールに含まれるアクションインジケータと同一であるかどうかを判断するステップと、
    前記指定されたアクションインジケータが前記第1のルールに含まれる前記アクションインジケータと同一である場合、前記指定されたルールの構成を禁止するステップと
    を含む、請求項1から8のいずれか一項に記載の方法。
11. 前記指定されたアクションインジケータが前記第1のルールに含まれるアクションインジケータと同一であるかどうかを判断する前記ステップの後、前記方法が、
    前記指定されたアクションインジケータが前記第1のルールに含まれる前記アクションインジケータと競合する場合、前記指定された送信元グループ、前記指定された送信先グループ、および前記指定されたアクションインジケータに従って、前記指定されたルールを構成するステップと、
    前記指定されたルールの前記格納順序が前記第1のルールの格納順序に先行することを設定するステップと
    をさらに含む、請求項10に記載の方法。
12. 前記指定されたルールの構成を禁止する前記ステップの後、前記方法が、
    前記指定されたルールの構成が禁止されており、かつ前記指定されたルールが冗長ルールであることを管理者に促すための「構成禁止」プロンプト情報を表示するステップ
    をさらに含む、請求項10または11に記載の方法。
13. フロー制御装置であって、
    複数のアドレス情報がそれぞれ属するホストの属性情報に従って、格納された前記複数のアドレス情報を少なくとも3つのセキュリティグループにグループ分けするように構成されたグループ分けモジュールであって、前記属性情報はサービス種別またはセキュリティクラスを含む、グループ分けモジュールと
    検査されたセキュリティグループでは、高レベルのセキュリティグループが低レベルのセキュリティグループを完全に含み、かつ同じレベルのセキュリティグループが重複することなく互いに完全に独立しているように、前記少なくとも3つのセキュリティグループを検査するように構成された検査処理モジュールであって、前記レベルは、前記セキュリティグループが親グループ、子グループ、または独立したセキュリティグループのいずれであるかを示すために使用される、検査処理モジュールと、
    ポリシー構成命令を受信するように構成された受信モジュールであって、前記ポリシー構成命令は、指定された送信元グループ、指定された送信先グループ、および指定されたアクションインジケータを運び、前記指定された送信元グループおよび前記指定された送信先グループは、前記検査されたセキュリティグループ内の2つの異なるセキュリティグループである、受信モジュールと、
    前記ポリシー構成命令に従って、指定されたルールを構成し、前記ポリシー構成命令に従って、少なくとも2つのルールの格納順序を構成するように構成された構成モジュールであって、前記指定されたルールは、前記ポリシー構成命令に従って生成され、前記少なくとも2つのルールは、前記指定されたルールおよび別の構成されたルールを含み、前記少なくとも2つのルールの各々は、一致条件およびアクションインジケータを含み、前記受信モジュールが、前記少なくとも2つのルールが構成された後にデータパケットを受信するようにさらに構成され、前記データパケットは送信元アドレス情報および送信先アドレス情報を運ぶ、構成モジュールと、
    フロー制御を実施するために、前記少なくとも2つのルールおよび前記少なくとも2つのルールの格納順序に従って、前記データパケットを処理するように構成されたパケット処理モジュールと
    を備える装置。
14. 前記検査処理モジュールが、
    第1のセキュリティグループと複数の第2のセキュリティグループとの間に包含関係または重複関係が存在するかどうかを判断するように構成された判定ユニットであって、前記第1のセキュリティグループは、前記少なくとも3つのセキュリティグループ内の検査されていないセキュリティグループであり、前記複数の第2のセキュリティグループは、前記少なくとも3つのセキュリティグループ内の前記検査されたセキュリティグループであり、前記包含関係は、前記第1のセキュリティグループが前記第2のセキュリティグループのサブセットであること、または前記第2のセキュリティグループが前記第1のセキュリティグループのサブセットであることを意味し、前記重複関係は、前記第1のセキュリティグループと前記第2のセキュリティグループとの間に共通部分が存在し、前記第1のセキュリティグループが前記第2のセキュリティグループと等しくないことを意味する、判定ユニットと、
    前記第1のセキュリティグループと前記複数の第2のセキュリティグループ内の少なくとも2つの第2のセキュリティグループとの間に包含関係が存在する場合、前記少なくとも2つの第2のセキュリティグループから第3のセキュリティグループとしてセキュリティグループを決定するように構成された決定ユニットと、
    第1の確認プロンプト情報を表示するように構成された表示ユニットであって、前記第1の確認プロンプト情報は、前記第1のセキュリティグループと前記第3のセキュリティグループとの間の包含関係を処理するように管理者を促すために使用される、表示ユニットと、
    前記第1の確認プロンプト情報に従って第1の処理命令が受信された場合、前記第1の処理命令に従って、前記第1のセキュリティグループと前記第3のセキュリティグループとの間の前記包含関係を処理するように構成された包含関係処理ユニットと
    を備える、請求項13に記載の装置。
15. 前記決定ユニットが、
    前記第1のセキュリティグループが前記少なくとも2つの第2のセキュリティグループ内のすべてのセキュリティグループに含まれる場合、前記少なくとも2つの第2のセキュリティグループから、最も小さいアドレス範囲を有するセキュリティグループを選択するか、または前記第1のセキュリティグループが前記少なくとも2つの第2のセキュリティグループ内のすべてのセキュリティグループを含む場合、前記少なくとも2つの第2のセキュリティグループから、最も大きいアドレス範囲を有するセキュリティグループを選択するか、または前記第1のセキュリティグループが前記少なくとも2つの第2のセキュリティグループ内の少なくとも1つの第2のセキュリティグループに含まれ、かつ前記第1のセキュリティグループが前記少なくとも2つの第2のセキュリティグループ内の残りの第2のセキュリティグループをさらに含む場合、前記少なくとも1つの第2のセキュリティグループから、最も小さいアドレス範囲を有するセキュリティグループを選択するか、もしくは前記残りの第2のセキュリティグループから、最も大きいアドレス範囲を有するセキュリティグループを選択するように構成された選択サブユニットと、
    選択された前記セキュリティグループを前記第3のセキュリティグループとして決定するように構成された決定サブユニットと
    を備える、請求項14に記載の装置。
16. 前記包含関係処理ユニットが、
    前記第1の確認プロンプト情報に従って前記第1の処理命令が受信された場合、前記第1のセキュリティグループおよび前記第3のセキュリティグループから、前記第1の処理命令に従って、より大きなアドレス範囲を有するセキュリティグループを第4のセキュリティグループとして決定し、前記第1のセキュリティグループおよび前記第3のセキュリティグループから、より小さいアドレス範囲を有するセキュリティグループを第5のセキュリティグループとして決定するように構成された決定サブユニットと、
    前記第1の処理命令が第1の分割命令である場合、前記第4のセキュリティグループから前記第5のセキュリティグループのアドレス情報と同一のアドレス情報を削除して、第1の子セキュリティグループを取得するように構成された削除サブユニットであって、前記第1の子セキュリティグループは、削除後に残ったアドレス情報を含む、削除サブユニットと、
    前記第1の処理命令が継承命令である場合、前記第5のセキュリティグループを二次セキュリティグループとして設定し、前記第5のセキュリティグループを前記第4のセキュリティグループの子グループとして設定するように構成された設定サブユニットであって、前記二次セキュリティグループは、前記検査されたセキュリティグループ内の別のセキュリティグループとの包含関係を有するセキュリティグループである、設定サブユニットと
    を備える、請求項14または15に記載の装置。
17. 前記検査処理モジュールが、
    前記第1のセキュリティグループと前記複数の第2のセキュリティグループ内の少なくとも2つの第2のセキュリティグループとの間に重複関係が存在する場合、前記少なくとも2つの第2のセキュリティグループから第6のセキュリティグループとしてセキュリティグループを選択するように構成された選択ユニットであって、前記表示ユニットが、第2の確認プロンプト情報を表示するようにさらに構成され、前記第2の確認プロンプト情報は、前記第1のセキュリティグループと前記第6のセキュリティグループとの間の重複関係を処理するように前記管理者を促すために使用される、選択ユニットと、
    前記第2の確認プロンプト情報に従って第2の処理命令が受信された場合、前記第2の処理命令に従って、前記第1のセキュリティグループと前記第6のセキュリティグループとの間の前記重複関係を処理するように構成された重複関係処理ユニットと
    をさらに備える、請求項14に記載の装置。
18. 前記重複関係処理ユニットが、
    前記第2の処理命令が前記第2の確認プロンプト情報に従って受信され、かつ前記第2の処理命令が旧グループを保持する命令である場合、前記第1のセキュリティグループ内にあり、かつ前記第6のセキュリティグループ内のアドレス情報と同一であるアドレス情報を第2の子セキュリティグループにグループ分けし、前記第2の子セキュリティグループ内のアドレス情報以外の前記第1のセキュリティグループ内の他のアドレス情報を第3の子セキュリティグループにグループ分けするように構成されたグループ分けサブユニットと、
    前記第2の子セキュリティグループを二次セキュリティグループとして設定し、前記第2の子セキュリティグループを前記第6のセキュリティグループの子グループとして設定するように構成された設定サブユニットと
    を備える、請求項17に記載の装置。
19. 前記重複関係処理ユニットが、
    前記第2の処理命令が前記第2の確認プロンプト情報に従って受信され、かつ前記第2の処理命令が新グループを保持する命令である場合、前記第6のセキュリティグループ内にあり、かつ前記第1のセキュリティグループ内のアドレス情報と同一であるアドレス情報を第4の子セキュリティグループにグループ分けし、前記第4の子セキュリティグループ内のアドレス情報以外の前記第6のセキュリティグループ内の他のアドレス情報を第5の子セキュリティグループにグループ分けするように構成されたグループ分けサブユニットと、
    前記第4の子セキュリティグループを二次セキュリティグループとして設定し、前記第4の子セキュリティグループを前記第1のセキュリティグループの子グループとして設定するように構成された設定サブユニットと
    を備える、請求項17に記載の装置。
20. 前記重複関係処理ユニットが、
    前記第2の処理命令が前記第2の確認プロンプト情報に従って受信され、前記第2の処理命令が第2の分割命令である場合、前記第1のセキュリティグループおよび前記第6のセキュリティグループ内の同一のアドレス情報、前記第6のセキュリティグループ内のアドレス情報と同一のアドレス情報以外の前記第1のセキュリティグループ内の他のアドレス情報、および前記第1のセキュリティグループ内のアドレス情報と同一のアドレス情報以外の前記第6のセキュリティグループ内の他のアドレス情報を、3つのセキュリティグループにそれぞれグループ分けするように構成されたグループ分けサブユニット
    を備える、請求項17に記載の装置。
21. 前記構成モジュールが、
    前記指定された送信元グループと前記指定された送信先グループとの両方が一次セキュリティグループである場合、前記指定された送信元グループ、前記指定された送信先グループ、および前記指定されたアクションインジケータに従って、前記指定されたルールを構成するように構成された構成ユニットであって、前記指定されたルールおよび前記指定されたルールとは独立した前記別の構成されたルールの前記格納順序は、フロー制御に影響を与えず、前記一次セキュリティグループは、前記検査されたセキュリティグループ内の別のセキュリティグループとの包含関係または重複関係を有しない独立したセキュリティグループであり、前記指定されたルールおよび前記別の構成されたルールは、独立したセキュリティグループによって形成される、構成ユニット
    を備える、請求項13から20のいずれか一項に記載の装置。
22. 前記構成モジュールが、
    前記指定された送信元グループまたは前記指定された送信先グループが二次セキュリティグループである場合、第1のルールが構成されているかどうかを判断するように構成された判定ユニットであって、前記第1のルールは、前記指定された送信元グループの親グループと前記指定された送信先グループとの間のルール、前記指定された送信元グループと前記指定された送信先グループの親グループとの間のルール、または前記指定された送信元グループの親グループと前記指定された送信先グループの親グループとの間のルールであり、前記判定ユニットは、前記第1のルールが構成されている場合、前記指定されたアクションインジケータが前記第1のルールに含まれるアクションインジケータと同一であるかどうかを判断するようにさらに構成されている、判定ユニットと、
    前記指定されたアクションインジケータが前記第1のルールに含まれる前記アクションインジケータと同一である場合、前記指定されたルールの構成を禁止するように構成された構成禁止ユニットと
    を備える、請求項13から20のいずれか一項に記載の装置。
23. 前記構成モジュールが、
    前記指定されたアクションインジケータが前記第1のルールに含まれる前記アクションインジケータと競合する場合、前記指定された送信元グループ、前記指定された送信先グループ、および前記指定されたアクションインジケータに従って、前記指定されたルールを構成するように構成された構成ユニットと、
    前記指定されたルールの前記格納順序が前記第1のルールの格納順序に先行することを設定するように構成された設定ユニットと
    をさらに備える、請求項22に記載の装置。
24. 前記構成モジュールが、
    前記指定されたルールの構成が禁止されており、かつ前記指定されたルールが冗長ルールであることを管理者に促すための「構成禁止」プロンプト情報を表示するように構成された表示ユニット
    をさらに備える、請求項22または23に記載の装置。

Images