JP3921216B2

JP3921216B2 - コンフィギュレーション情報管理システム及びコンフィギュレーション情報収集プログラム

Info

Publication number: JP3921216B2
Application number: JP2004296570A
Authority: JP
Inventors: 隆雄馬場; 哲奥田; 恵介鏡森; 正宏中安; 工長崎; 慶西川; 新出本
Original assignee: Hitachi Electronics Services Co Ltd
Current assignee: Hitachi Electronics Services Co Ltd
Priority date: 2004-10-08
Filing date: 2004-10-08
Publication date: 2007-05-30
Anticipated expiration: 2024-10-08
Also published as: JP2006109354A

Description

本発明は、ネットワークを相互に接続するネットワーク間接続装置に設定されるコンフィギュレーション情報を管理するコンフィギュレーション情報管理システムに関するものである。

近年の情報ネットワークに関する技術の進展は目覚しく、各企業内に情報ネットワークが構築されているのが普通となっている。情報ネットワークは、これを管理する際の便宜のためやネットワーク技術上の制限等の理由により、多数のセグメントに分けられ、これらのセグメント化されたネットワークが、ネットワーク間接続装置によって相互に接続されることによって構成されている。これらのネットワーク間接続装置には、ネットワークを相互に接続するための情報や、流れる情報の制御を行うための情報などの、いわゆるコンフィギュレーション情報が設定されるものがある。これらの各ネットワーク間接続装置に設定されるコンフィギュレーション情報はネットワークの動作上不可欠なものであり、ネットワークを管理する上ではこれらのコンフィギュレーション情報も管理する必要があるが、一企業内の情報ネットワークであっても、その規模が巨大化すると、セグメント数も非常に多数となり、従って、管理対象となるネットワーク間接続装置の数も膨大なものとなる。

このようなコンフィギュレーション情報の管理を一元的に行うことで、当該管理業務の便宜を図ったコンフィギュレーション情報管理システムが従来用いられており、当該コンフィギュレーション情報管理システムに関する従来技術が、特許文献１〜特許文献５などによって開示されている。

特開平８−２０２６５７号公報特開２０００−２０９２３９号公報特開２００２−１９０８０９号公報特開２００２−２３２４２８号公報特開２００３−１８１６３号公報

各ネットワーク間接続装置は、設定されたコンフィギュレーション情報に従ってネットワークを流れる情報を制御するものであるため、悪意を持った者に当該設定を変更されると、情報の改竄・漏洩を生じ得ることとなる。従って、セキュリティー上の要請として、各ネットワーク間接続装置にアクセスするための情報（ログオンパスワード等）の管理を厳重にすると共に、パスワードの変更の頻度を上げることが望まれるが、ネットワークが大規模化するとネットワーク間接続装置の数も膨大なものとなり、各ネットワーク間接続装置に対するパスワードの変更作業を手動で行うことは非常に煩雑な作業となってしまう。

本発明は、上記した点に鑑み、セキュリティーの向上が図られ、且つ、保守・管理作業の簡略化が図られたコンフィギュレーション情報管理システムを提供することを目的とする。

請求項１のコンフィギュレーション情報管理システムは、ネットワーク間接続装置によって相互に接続されて構成されるネットワークにおいて、通信部とコンフィギュレーション情報取得部とコンフィギュレーション情報管理部とを備えることにより、前記各ネットワーク間接続装置に設定されるコンフィギュレーション情報を、前記ネットワークを介して収集し、当該コンフィギュレーション情報を保存・管理するコンフィギュレーション情報管理システムであって、前記各ネットワーク間接続装置に対して、パスワードを変更させる頻度に対応したセキュリティレベルに応じたグループ分けを行い、当該グループ分けの設定情報を前記コンフィギュレーション情報管理システムに備えられる記憶部に格納しておくことにより、前記各ネットワーク間接続装置のパスワード変更のスケジューリングをグループ単位で指定させることを可能とし、予め設定された前記コンフィギュレーション情報の収集スケジュール若しくは前記パスワードの変更スケジュールに従って、前記ネットワークを介して前記ネットワーク間接続装置にアクセスし、前記各ネットワーク間接続装置にアクセスするためのパスワードを自動的に変更することを特徴とする。

上記構成によれば、属性（パスワードを変更させる頻度）が同一であるネットワーク間接続装置がグループ化され、これら属性が同一であるネットワーク間接続装置ごとのパスワードの変更が、コンフィギュレーション情報管理システムによって自動的に（スケジュールに従って）実行される。また、ネットワーク間接続装置のパスワード変更のスケジューリングをグループ単位で指定させることが可能となる。なお、「各ネットワーク間接続装置にアクセスするためのパスワード」とは、ネットワーク間接続装置にログインするためのログインパスワードや、ネットワーク間接続装置の設定の変更を許可するためのイネーブルパスワードなどをいう。

請求項２のコンフィギュレーション情報管理システムは、請求項１記載のコンフィギュレーション情報管理システムであって、前記コンフィギュレーション情報管理部若しくは前記コンフィギュレーション情報管理システムに備えられる記憶部が、前記ネットワーク間接続装置に割当てられる装置名と、当該ネットワーク間接続装置が所属するグループのグループ名と、を格納したネットワーク間接続装置情報テーブルを有することにより、前記グループ分けを行い、前記パスワード変更のスケジューリングの設定情報には前記グループ名が使用され、当該スケジュールに従ったパスワードの自動変更を実行する際には、前記グループ名に該当する前記装置名を前記ネットワーク間接続装置情報テーブルから取得することで、前記各ネットワーク間接続装置にアクセスするためのパスワードを自動的に変更することを特徴とする。

上記構成によれば、ネットワーク間接続装置に割当てられる装置名と、当該ネットワーク間接続装置が所属するグループのグループ名とが格納されるネットワーク間接続装置情報テーブルによって、グループ分けが行われ、パスワードの自動変更の処理時には、各グループ名に該当する各装置名を前記ネットワーク間接続装置情報テーブルから取得することで、パスワードの変更を必要とする各ネットワーク間接続装置が判別される。

請求項３のコンフィギュレーション情報管理システムは、請求項２に記載のコンフィギュレーション情報管理システムであって、前記パスワード変更のスケジューリングの設定時において、前記グループ名による指定の他に、前記装置名による指定も用いることを特徴とする。

請求項４のコンフィギュレーション情報管理システムは、請求項２又は請求項３に記載のコンフィギュレーション情報管理システムであって、前記ネットワーク間接続装置情報テーブルにおける前記装置名ごとに、パスワード変更の可否を定めるパスワード変更フラグを格納することにより、前記パスワードの自動変更を実行する際には、前記各ネットワーク間接続装置に対応する前記パスワード変更フラグの設定に従ってパスワード変更の実行の有無を定めることを特徴とする。

上記構成によれば、ネットワーク間接続装置情報テーブルにおける前記装置名ごとに、パスワード変更の可否を定めるパスワード変更フラグが格納され、パスワードの自動変更を実行する際には、各ネットワーク間接続装置に対応するパスワード変更フラグの設定に従って、各ネットワーク間接続装置のパスワード変更をするかしないかが定められる。

請求項１の、ネットワーク間接続装置によって相互に接続されて構成されるネットワークにおいて、通信部とコンフィギュレーション情報取得部とコンフィギュレーション情報管理部とを備えることにより、前記各ネットワーク間接続装置に設定されるコンフィギュレーション情報を、前記ネットワークを介して収集し、当該コンフィギュレーション情報を保存・管理するコンフィギュレーション情報管理システムであって、前記各ネットワーク間接続装置に対して、パスワードを変更させる頻度に対応したセキュリティレベルに応じたグループ分けを行い、当該グループ分けの設定情報を前記コンフィギュレーション情報管理システムに備えられる記憶部に格納しておくことにより、前記各ネットワーク間接続装置のパスワード変更のスケジューリングをグループ単位で指定させることを可能とし、予め設定された前記コンフィギュレーション情報の収集スケジュール若しくは前記パスワードの変更スケジュールに従って、前記ネットワークを介して前記ネットワーク間接続装置にアクセスし、前記各ネットワーク間接続装置にアクセスするためのパスワードを自動的に変更することを特徴とするコンフィギュレーション情報管理システムによれば、コンフィギュレーション情報管理システムによって自動的に各ネットワーク間接続装置のパスワードが変更されるため、ネットワークの大規模化に伴いネットワーク間接続装置の数が膨大なものとなっても、各ネットワーク間接続装置に対するパスワードの変更作業が煩雑になるということが無い。また、これにより、パスワード変更の頻度を上げることが容易にできるため、セキュリティーに優れる。また、属性が同一であるネットワーク間接続装置をグループ化することができるため、当該コンフィギュレーション情報管理システムの運用の柔軟化が図られる。すなわち、例えば、各ネットワーク間接続装置のうち、特に高いセキュリティーを必要とするものをグループ化し、当該グループについては頻繁にパスワードの変更を行わせ、逆にセキュリティー上の問題があまり生じないネットワーク間接続装置については低頻度でパスワード変更を行わせるといった運用や、同一の機種であるネットワーク間接続装置をグループ化し、装置としてややセキュリティーが弱いものに対しては頻繁にパスワードの変更を行わせるなどといった運用が可能となるのである。

請求項２の、前記コンフィギュレーション情報管理部若しくは前記コンフィギュレーション情報管理システムに備えられる記憶部が、前記ネットワーク間接続装置に割当てられる装置名と、当該ネットワーク間接続装置が所属するグループのグループ名と、を格納したネットワーク間接続装置情報テーブルを有することにより、前記グループ分けを行い、前記パスワード変更のスケジューリングの設定情報には前記グループ名が使用され、当該スケジュールに従ったパスワードの自動変更を実行する際には、前記グループ名に該当する前記装置名を前記ネットワーク間接続装置情報テーブルから取得することで、前記各ネットワーク間接続装置にアクセスするためのパスワードを自動的に変更することを特徴とする請求項１記載のコンフィギュレーション情報管理システムによれば、属性が同一であるネットワーク間接続装置をグループ化することができるため、当該コンフィギュレーション情報管理システムの運用の柔軟化が図られる。

以下、本発明の具体的実施例について、図面を参照しながら説明する。なお、以下の実施態様は、本発明を具体化する際の一形態であって、本発明をその範囲内に限定するためのものではない。

図１は本実施例のコンフィギュレーション情報管理システムを備えるネットワークの構成の一例の概略を示す図であり、図２はコンフィギュレーション情報管理システムの構成の概略を示すブロック図である。図３・図４はそれぞれコンフィギュレーション情報管理システムが有するテーブルの一例を示す図であり、図５はパスワード変更処理の動作の概略を示すフローチャートである。

本実施例のネットワーク１は、図１に示されるように、特定顧客（一企業）の管理下にあるネットワークであり、当該特定顧客は本社・支社・営業所によって階層化されて構成され、当該構成に応じてセグメント化された各ネットワーク（本社センタ内の１００・１１０や、各支社及び各営業所の各ネットワーク）が、ネットワーク間接続装置であるファイアウォールＦ１やルータＲ０〜Ｒｎによって相互に接続されて構成されており、ＴＣＰ／ＩＰプロトコルスイートによって通信が行われる。本社センタ内には、外部公開サーバＳ１０１（例えば、Ｗｅｂサーバやメールサーバ等）が公開側のネットワークセグメント１００に設置され、ファイアウォールＦ１を介した内部側ネットワークセグメント１１０には、コンフィギュレーション情報管理システムサーバＳ１１１・各種内部サーバ（例えば、ネットワーク管理サーバや、各種業務サーバ等）Ｓ１１２と、クライアントとなる複数のパーソナルコンピュータ１１５が設置される。本社と支社間及び支社と営業所間は専用線で接続され、それぞれの支社や営業所にも内部サーバやパーソナルコンピュータが設置される。なお、本社と支社間及び支社と営業所間を結ぶ専用線は、ＶＰＮ（仮想専用線）であってもよく、このことからも明らかなように、「特定顧客の管理下にあるネットワーク」とは、ネットワークを構成する物理的な伝送媒体や接続機器等が「特定顧客」の管理下にあるこということに限定しているものではない。

コンフィギュレーション情報管理システムサーバＳ１１１は、図２に示されるように、通信部１１１ａと、コンフィギュレーション情報取得部１１１ｂと、コンフィギュレーション情報管理部１１１ｃと、接続情報取得部１１１ｄと、記憶部１１１ｅと、パスワード設定部１１１ｆと、を備える。また、記憶部１１１ｅには、図３に示されるような、ネットワーク間接続装置情報テーブルＴ３０が格納される。ネットワーク間接続装置情報テーブルＴ３０の「装置名」は各ネットワーク間接続装置に一意に割当てられる名前である。「グループ」は、各装置を管理し易いグループにグループ分けしたものであり必ずしも支社や営業所といった区分と同一であるものではない。「機種コード」は当該ネットワーク間接続装置の機種を示すものであり、「ＩＰアドレス」は当該ネットワーク間接続装置に割当てられたＩＰアドレス、「ログオンＩＤ」及び「ログオンパスワード」は当該ネットワーク間接続装置にログオンするためのものである。

コンフィギュレーション情報管理システムは、予め設定されたスケジュール若しくは随時の取得要求に従って、ネットワーク間接続装置である各ルータＲ０〜Ｒｎ及びファイアウォールＦ１からコンフィギュレーション情報の収集を行うものであり、当該スケジュールの設定や取得要求の入力や取得結果の出力等は、クライアントとなる各パーソナルコンピュータ１１５によっても良いし、図示はしないが、コンフィギュレーション情報管理システムサーバＳ１１１に備えられる入出力装置によってもよい。各ルータからのコンフィギュレーション情報の収集動作は、収集スケジュール若しくは随時の収集要求によって定められるルータから、通信部１１１ａとコンフィギュレーション情報取得部１１１ｂとによりコンフィギュレーション情報を取得し、当該情報をコンフィギュレーション情報管理部１１１ｃに蓄積・更新することによって行われる。なお、コンフィギュレーション情報とは、ネットワークを相互に接続するための情報（例えば、各ルータに備えられる各ポートに設定されるＩＰアドレス・サブネットマスク・ブロードキャストアドレス等や伝送媒体に関する情報など）や、流れる情報の制御を行うための情報（例えば、フィルタリング情報等）などをいう。

次に、コンフィギュレーション情報管理システムの本発明に関する、ネットワーク間接続装置のパスワード変更処理の動作の概略について、図５を参照しつつ説明する。ネットワーク間接続装置のパスワード変更処理は、予め設定されたパスワード変更スケジュールに従い若しくは随時のパスワード変更要求に従って起動される。当該パスワード変更スケジュールは、例えば、パスワードを変更するネットワーク間接続装置（ルータ若しくはファイアウォールなど）を選択して、変更処理の実行日時を設定することによって作成される。「ルータの選択」は、個別に「装置名」を指定すること若しくは「グループ」を指定することによって行われる。当該スケジュールの作成は、前述したごとく、各パーソナルコンピュータ１１５若しくはコンフィギュレーション情報管理システムサーバＳ１１１に備えられる入出力装置（図示なし）を使用して作成される。

図５のネットワーク間接続装置のパスワード変更処理では、「ルータの選択」が、「グループ」を指定することによって作成された場合のパスワード変更処理の動作の一例を示している。ネットワーク間接続装置のパスワード変更処理が起動されると、先ずパスワード変更のスケジューリングがなされているルータの抽出を行う。当該抽出は、パスワード変更スケジュールに記載されている「グループ名」を取得し、当該「グループ名」をキーとしてネットワーク間接続装置情報テーブルＴ３０から「装置名」を取得することによって行われる。当該抽出動作はパスワード設定部１１１ｆによって行われ、パスワード設定部１１１ｆは、さらに図４に示されるような抽出した装置名のテーブルＴ４０を作成し（ステップ５１）、テーブルＴ４０のデータ数（即ちパスワード変更を行うルータの数）を変数ｎに代入すると共に変数ｉに１を代入する（ステップ５２）。次に、ループ１内の処理に移行し、ステップ５３では、ネットワーク間接続装置情報テーブルＴ３０を参照して、Ｔ４０ｉの装置名に対応するルータ（装置名テーブルＴ４０のｉ番目の装置名に該当するルータ。）へアクセスするための接続情報（ログオンＩＤやログオンパスワード等）を取得する。ステップ５４では、当該接続情報を使用して、パスワード設定部１１１ｆと通信部１１１ａとによりＴ４０ｉの装置名に対応するルータにアクセスして、当該ルータのログオンパスワードを変更する。当該新しく設定するパスワードは、パスワード設定部１１１ｆによって自動的に生成するものであってもいいし、ユーザによって入力されるものであっても良い。続くステップ５５では、ネットワーク間接続装置情報テーブルＴ３０の、Ｔ４０ｉのルータに対応するログオンパスワードを、前記新しく設定したパスワードで更新することで、変更したパスワードをネットワーク間接続装置情報テーブルＴ３０に反映し、当該変更の履歴を記憶部１１１ｅに蓄積する。ステップ５６では、変数ｉを１増加させてループ１内の処理（ステップ５３〜ステップ５６）を繰り返し、パスワード変更のスケジューリングがなされている全てのルータに対してパスワード変更処理を行った（ｉ＞ｎとなった）後に処理を終了する。

以上のごとく、本実施例のコンフィギュレーション情報管理システムによれば、ネットワーク間接続装置の特定（全選択などとしてもよい）と日時を設定したスケジュールを作成するのみ（若しくはネットワーク間接続装置を特定してパスワード変更要求を行うのみ）で、各ネットワーク間接続装置に対するパスワードの変更作業を行うことができるため、ネットワークの大規模化に伴いネットワーク間接続装置の数が膨大なものとなっても、パスワード変更作業の作業性に優れ、これにより保守管理コストの削減が図られる。また、「ネットワーク間接続装置の特定」をグループ単位で行うことができるため、例えば、セキュリティレベルに応じたグループ化を行うことにより、高いセキュリティレベルを要するグループに対しては頻繁にパスワード変更処理を行い、低いセキュリティレベルのグループは低頻度でパスワード変更処理を行う。といった運用を簡易に行うことが可能となるため、コンフィギュレーション情報管理システムの運用の柔軟化が図られる。

なお、本実施例では、パスワード変更処理において変更するパスワードを「ログオンパスワード」としているが、ネットワーク間接続装置が保持するパスワードに応じて（例えばイネーブルパスワードなど）それぞれを変更させるものであっても良い。

図６及び図７は本実施例のコンフィギュレーション情報管理システムの、コンフィギュレーション情報収集動作の概略を示すフローチャートである。なお、本実施例のコンフィギュレーション情報管理システムの構成、及び、当該コンフィギュレーション情報管理システムが備えられるネットワークの構成は実施例１と同様であるため、重複する部分についてはここでの説明を省略し、本実施例の説明において必要があるときは、図１〜図４を参照して説明する。

本実施例のコンフィギュレーション情報管理システムサーバＳ１１１（図２）に備えられる記憶部１１１ｅには、図８に示されるような機種情報テーブルＴ７０が備えられ、且つ、ネットワーク１を介してネットワーク間接続装置にアクセスしコンフィギュレーション情報を取得するためにネットワーク間接続装置へ入力する各機種に対応したコマンドが格納されたコマンドファイルの集合であるコマンドファイル群２３と、ネットワーク１を介してネットワーク間接続装置から取得した情報に対して補正を行うための各機種に対応したパラメータが格納されたパラメータファイルの集合であるパラメータファイル群２４と、がモジュール化されて保持されている。「ネットワーク間接続装置へ入力する各機種に対応したコマンド」とは、例えば、コンフィギュレーション情報管理システムがネットワーク間接続装置にＴｅｌｎｅｔやＦＴＰなどを使用してログインする場合に必要となるコマンドや、ＴｅｌｎｅｔやＦＴＰなどを使用してネットワーク間接続装置に入力する（コンフィギュレーション情報を収集するための）各機種に対応したコマンドライン等であり、コマンドファイルはこれらのコマンドが格納されたファイルであって、ネットワーク間接続装置の各機種ごとに対応して作成され、記憶部１１１ｅに保持される。「ネットワーク間接続装置から取得した情報に対して補正を行うためのパラメータ」とは、ネットワーク間接続装置の機種の異同による情報の欠損などがある場合など（例えば特定の機種では特定の情報が取得できない場合等）にこれを補正するための、各機種に応じたパラメータであり、パラメータファイルはこれらのパラメータが格納されたファイルであって、ネットワーク間接続装置の各機種ごとに対応して作成され、記憶部１１１ｅに保持される。機種情報テーブルＴ７０には、機種を一意に定める機種コードやメーカ名などと共に、前記した各機種に対応したコマンドファイルのファイル名とパラメータファイルのファイル名とが格納される。

次に、コンフィギュレーション情報の収集動作のうち主に本発明に関する部分を説明する。コンフィギュレーション情報の収集処理は、予め設定されたコンフィギュレーション情報の収集スケジュールに従い若しくは随時のコンフィギュレーション情報収集要求に従って起動される。コンフィギュレーション情報の収集スケジュールの作成は、実施例１のパスワード変更スケジュールの作成と同様の概念であるのでここでの説明を省略する。また、コンフィギュレーション情報収集処理（図６・図７）が起動された直後のステップ６０１及びステップ６０２の動作概念は、実施例１のネットワーク間接続装置のパスワード変更処理（図５）のステップ５１及びステップ５２と同様であるためここでの説明を省略する。

ステップ６０３では、ネットワーク間接続装置情報テーブルＴ３０（図３）を参照して、Ｔ４０ｉの装置名に対応するルータ（装置名テーブルＴ４０（図４）のｉ番目の装置名に該当するルータ。）の機種コードを取得し、当該機種コードをキーとして機種情報テーブルＴ７０から、当該ルータに対応するコマンドファイル名とパラメータファイル名を取得し、これに該当するコマンドファイル及びパラメータファイルを記憶部１１１ｅから取得する。続くステップ６０４ではステップ６０３で取得したコマンドファイル及びパラメータファイルの改竄（管理者が意図したものではない変更）の有無をチェックする。当該検証は、例えば、最初にコマンドファイル及びパラメータファイルをインストールする際に、ファイル構成から特定の計算方式に従って一意に生成されるキーを保存しておき、これと検証対象となるコマンドファイル及びパラメータファイルから同様の方法によって生成されるキーとを比較することによっても良いし、単純にファイル内容の全文一致を確認するなどしてもよい。

ステップ６０４における検証の結果、改竄なしと判断された場合には、ステップ６０６に移行し（ステップ６０５）、ネットワーク間接続装置情報テーブルＴ３０を参照して、Ｔ４０ｉの装置名に対応するルータへアクセスするための接続情報を取得すると共に、パスワード変更オン・オフのフラグ（本実施例では、ネットワーク間接続装置情報テーブルＴ３０の「パスワード変更」が“１”である場合にパスワード変更オン、「パスワード変更」が“０”である場合にはパスワード変更オフとする）を取得する（ステップ６０６）。ステップ６０７では、ステップ６０６で取得したパスワード変更フラグにより、パスワード変更処理のオン・オフを判断し、これがオンである場合にはステップ６０８へと移行する。ステップ６０８では、ステップ６０６で取得した接続情報とステップ６０３で取得したコマンドファイルとを使用して、Ｔ４０ｉのルータのパスワードを変更する（パスワード変更動作については実施例１と同様の概念）と共に、Ｔ４０ｉのルータに設定されているコンフィギュレーション情報を取得する。ステップ６０９では当該取得したコンフィギュレーション情報の改竄（管理者が意図したものではない変更）の有無をチェックし（コンフィギュレーション情報管理部１１１ｃに保存されている情報と比較し）、改竄が検出された場合はユーザにその旨を通知して（ステップ６１２）、ステップ６１７へ移行する。一方、ステップ６０９における判断が否定であった場合には、ステップ６０８において取得されるコンフィギュレーション情報が、ルータの機種の相違に起因して、一部の情報を欠損等している場合があるため、ステップ６０３で取得したパラメータファイルを使用して補正し、各ネットワーク間接続装置（ルータ若しくはファイアウォール等）にそのまま設定できるコンフィギュレーション情報ファイルに変換してからコンフィギュレーション情報管理部１１１ｃに保存する（ステップ６１０）。続くステップ６１１は実施例１のステップ５５と同様の概念である。一方、ステップ６０７における判断で、パスワード変更処理がオフとされている場合には、ステップ６１３においてＴ４０ｉのルータに設定されているコンフィギュレーション情報を取得する。続くステップ６１４及びステップ６１５は、ステップ６０９及びステップ６１０と同様の処理である。ステップ６０５における判断が肯定であった場合（コマンドファイル・パラメータファイルの改竄が検出された場合）には、ユーザに改竄が検出された旨を通知した（ステップ６１６）後にステップ６１７へ移行し、当該ルータ（Ｔ４０ｉの装置名に対応するルータ）へのアクセスを行うことなく、次のルータの処理へと移行する。ステップ６１７では、変数ｉを１増加させてループ１内の処理（ステップ６０３〜ステップ６１７）を繰り返し、コンフィギュレーション収集のスケジューリングがなされている全てのルータに対して収集処理を行った（ｉ＞ｎとなった）後に処理を終了する。なお、図６及び図７の処理は、コンフィギュレーション情報の収集動作としており、コンフィギュレーション情報の収集動作の中でパスワードの変更処理も行うような構成としているが、例えば、ユーザの選択等に従って、パスワードの変更処理のみを行う処理としても動作させることができ（ユーザがパスワードの変更処理のみを選択した場合には、ステップ６０８〜６１０、ステップ６１２〜６１５におけるコンフィギュレーション情報の収集動作を行わせないようにする）、この場合、実施例１と同等の機能をも備えるものとすることができる。

以上のごとく、本実施例のコンフィギュレーション情報管理システムによれば、コマンドファイル及びパラメータファイルがモジュール化されて保持されるため、例えば、新しい機種のネットワーク間接続装置が導入されることにより、コマンド（ネットワーク間接続装置にアクセスしコンフィギュレーション情報を取得するために前記ネットワーク間接続装置へ入力する各機種に対応したコマンド）の変更、若しくは、パラメータ（ネットワーク間接続装置から取得した情報に対して補正を行うためのパラメータ）の変更の必要性が生じた場合であっても、当該コマンドファイル又はパラメータファイルの更新作業（及びネットワーク間接続装置情報テーブルＴ３０と機種情報テーブルＴ７０の更新）を行うのみで済む。コンフィギュレーション情報管理システムのシステム内に各コマンドやパラメータが埋め込まれているものでは、コマンドやパラメータに変更の必要性が生じた場合にはシステム全体の更新作業を必要とするのに比して、本発明のコンフィギュレーション情報管理システムは汎用性が高く、保守・管理作業の簡略化が図られると共に運用の柔軟化も図られ、これによりコンフィギュレーション情報管理システムの保守・管理コストの低減が図られる。当該効果は、ネットワークが大規模であり、その運用期間も長期に亘る場合などには、異なるベンダの製品（ネットワーク間接続装置）を採用するケースも増加するため、より顕著となる。

コマンドファイル及びパラメータファイルをモジュール化して保持する構成とすると、システム内にコマンドやパラメータが埋め込まれている場合に比して、コマンドやパラメータに対する改竄が行われる危険性が高まるが、本実施例のコンフィギュレーション情報管理システムによれば、コマンドファイル及びパラメータファイルに改竄があったと認められた場合には、ユーザに改竄が検出された旨を通知し、これに対応するネットワーク間接続装置へのアクセスを行わない（すなわち改竄のあった可能性のあるファイルが使用されることが無い）ため、セキュリティーの向上が図られる。

なお、実施例のネットワーク１では、ＴＣＰ／ＩＰプロトコルスイートによって通信が行われるものとしたが、本発明をこれに限るものではなく、各ネットワークの設計思想に基づいて定められるプロトコルに応じて必要となるコマンド等をファイル化して保持することで、有効に本発明を適用することができる。

コンフィギュレーション情報管理システムを備えるネットワークの構成の概略を示す図コンフィギュレーション情報管理システムの構成の概略を示すブロック図ネットワーク間接続装置情報テーブルの一例を示す図装置名テーブルの一例を示す図パスワード変更処理の動作の概略を示すフローチャートコンフィギュレーション情報収集動作の概略を示すフローチャートコンフィギュレーション情報収集動作の概略を示すフローチャート機種情報テーブルの一例を示す図

符号の説明

１ネットワーク
１１１ａ通信部
１１１ｂコンフィギュレーション情報取得部
１１１ｃコンフィギュレーション情報管理部
１１１ｄ接続情報取得部
１１１ｅ記憶部
１１１ｆパスワード設定部
Ｆ１ファイアウォール（ネットワーク間接続装置）
Ｒ０〜Ｒｎルータ（ネットワーク間接続装置）
Ｓ１１１コンフィギュレーション情報管理システムサーバ
Ｔ３０ネットワーク間接続装置情報テーブル
Ｔ７０機種情報テーブル

Claims

ネットワーク間接続装置によって相互に接続されて構成されるネットワークにおいて、通信部とコンフィギュレーション情報取得部とコンフィギュレーション情報管理部とを備えることにより、前記各ネットワーク間接続装置に設定されるコンフィギュレーション情報を、前記ネットワークを介して収集し、当該コンフィギュレーション情報を保存・管理するコンフィギュレーション情報管理システムであって、前記各ネットワーク間接続装置に対して、パスワードを変更させる頻度に対応したセキュリティレベルに応じたグループ分けを行い、当該グループ分けの設定情報を前記コンフィギュレーション情報管理システムに備えられる記憶部に格納しておくことにより、前記各ネットワーク間接続装置のパスワード変更のスケジューリングをグループ単位で指定させることを可能とし、予め設定された前記コンフィギュレーション情報の収集スケジュール若しくは前記パスワードの変更スケジュールに従って、前記ネットワークを介して前記ネットワーク間接続装置にアクセスし、前記各ネットワーク間接続装置にアクセスするためのパスワードを自動的に変更することを特徴とするコンフィギュレーション情報管理システム。
前記コンフィギュレーション情報管理部若しくは前記コンフィギュレーション情報管理システムに備えられる記憶部が、前記ネットワーク間接続装置に割当てられる装置名と、当該ネットワーク間接続装置が所属するグループのグループ名と、を格納したネットワーク間接続装置情報テーブルを有することにより、前記グループ分けを行い、前記パスワード変更のスケジューリングの設定情報には前記グループ名が使用され、当該スケジュールに従ったパスワードの自動変更を実行する際には、前記グループ名に該当する前記装置名を前記ネットワーク間接続装置情報テーブルから取得することで、前記各ネットワーク間接続装置にアクセスするためのパスワードを自動的に変更することを特徴とする請求項１記載のコンフィギュレーション情報管理システム。
前記パスワード変更のスケジューリングの設定時において、前記グループ名による指定の他に、前記装置名による指定も用いることを特徴とする請求項２記載のコンフィギュレーション情報管理システム。
前記ネットワーク間接続装置情報テーブルにおける前記装置名ごとに、パスワード変更の可否を定めるパスワード変更フラグを格納することにより、前記パスワードの自動変更を実行する際には、前記各ネットワーク間接続装置に対応する前記パスワード変更フラグの設定に従ってパスワード変更の実行の有無を定めることを特徴とする請求項２又は請求項３に記載のコンフィギュレーション情報管理システム。