JP3948668B2 - セキュリティ自動設定装置、セキュリティ自動設定方法および記録媒体 - Google Patents

Description

【０００１】
【発明の属する技術分野】
本発明は、ネットワークセキュリティ、侵入検知、Ｆｉｒｅｗａｌｌ、コンピュータ通信、インターネット技術に関する技術分野に属する。
【０００２】
【従来の技術】
複数のセキュリティ機能を有する従来のネットワーク機器では、セキュリティ機能毎に、パケット通過判定基準を設け、ネットワークの管理者が、パケット通過判定基準を設定する。
【０００３】
たとえば、Ｆｉｒｅｗａｌｌと、侵入検知プログラム（ＩＤＳ）とが、ネットワーク機器に実装されている場合、ネットワークの管理者は、Ｆｉｒｅｗａｌｌと侵入検知プログラムとを、ネットワークの環境に合わせて設定する（たとえば、特許文献１）。
【０００４】
なお、「Ｆｉｒｅｗａｌｌ」は、組織内のコンピュータネットワークへ、外部から侵入されることを防止するシステムである。また、「侵入検知プログラム」は、通信回線を監視し、ネットワークへの侵入を検知し、ネットワークへの侵入があったことを管理者に通報するシステムである。
【０００５】
したがって、ネットワークで展開されているサービスの変更があれば上記サービスに変更がある度に、設定を個々に変更する必要がある。なお、上記「サービス」は、ＷｅｂサービスやＦＴＰ（File Transfer Protocol）サービスであり、上記「サービスの変更」は、サービス自体の開始や停止である。
【０００６】
【特許文献１】
特開２００１−３１３６４０号公報
【０００７】
【発明が解決しようとする課題】
従来のネットワーク機器において、ネットワークの管理者は、Ｆｉｒｅｗａｌｌと侵入検知プログラムとを、それぞれ、ネットワークの環境に合わせて設定しなければならず、ネットワークで展開されているサービスに変更があれば、サービスに変更がある度に、上記Ｆｉｒｅｗａｌｌと上記侵入検知プログラムとを、個々に、設定し直す必要がある。
【０００８】
つまり、Ｆｉｒｅｗａｌｌと侵入検知プログラムとをネットワークの管理者が設定することが、セキュリティ全体として不可欠なものである。Ｆｉｒｅｗａｌｌと侵入検知プログラム以外に、暗号化処理やネットワーク監視モニタリング等、セキュリティに関連する機能が存在する場合、ネットワーク管理者は、それらネットワークセキュリティ機能の全てについて設定しなければ、ネットワーク機器を運用することができない。
【０００９】
また、Ｆｉｒｅｗａｌｌにおけるパケット通過判定基準の設定と、侵入検知プログラムのパケット監視中にマッチングすべき不正パターンの項目の設定との間における整合性が、上記従来例では取れていないことが多い。
【００１０】
なお、「パケット」は、コンピュータ通信において、送信先のアドレス等の制御情報が付加されているデータの小さなまとまりである。上記「マッチング」は、通過するパケットの文字列と、不正なパターンとを照合する動作であり、上記「不正パターンの項目」は、シグネチャファイルに書かれた不正とみなす文字列の種類である。
【００１１】
すなわち、上記のように、整合性が取れていない場合とは、たとえば、Ｆｉｒｅｗａｌｌで閉じているポートであるにもかかわらず、侵入検知プログラムが閉じられたポートを監視しようとしている場合である。たとえば、Ｆｉｒｅｗａｌｌにおいて閉じられているポート番号が文字列内に含まれているパケットが流れてきても、それはＦｉｒｅｗａｌｌにおいて破棄される。したがって、上記のように整合性が取れていないと、侵入検知プログラムでは監視する必要がないのに、無駄に監視することになる。
【００１２】
したがって、上記従来例では、ネットワーク管理者が設定したセキュリティ機能の抜け目を狙って、外部から行われる不正な攻撃や侵入を許す機会が多いという問題がある。
【００１３】
上記「抜け目」は、Ｆｉｒｅｗａｌｌにおいて閉じていないポートであり、しかも、侵入検知プログラムでも開放したままのポート（監視していないポート）である。もし、所定のポートが空いていると、開放ポートを探すポートスキャンが、外部から実行された後に、上記所定のポートが開放ポート用の攻撃を受ける可能性がある。
【００１４】
本発明は、Ｆｉｒｅｗａｌｌ等、パケットの通過を監視するセキュリティ機能を、２つ以上有するゲートウェイ、ルータ等、ネットワーク機器において、ネットワーク管理者の作業負荷を軽減することができ、また、セキュリティ機能の抜け目を防止することができるセキュリティ自動設定装置、セキュリティ自動設定方法および記録媒体を提供することを目的とする。
【００１５】
【課題を解決するための手段】
本発明は、侵入検知プログラムが所定機能を有し、Ｆｉｒｅｗａｌｌが上記所定機能を設定する場合には、上記侵入検知プログラムが上記所定機能を設定し、一方、侵入検知プログラムが所定機能を有しないか、または、Ｆｉｒｅｗａｌｌが上記所定機能を設定しない場合には、上記侵入検知プログラムが上記所定機能を設定しない制御手段と、上記侵入検知プログラムにおける現在の設定状態と、上記Ｆｉｒｅｗａｌｌに設定されている設定状態との差を検出する差検出手段と、上記差検出手段が検出した設定状態の差に応じて、上記侵入検知プログラムの設定を変更させる設定変更手段とを有することを特徴とするセキュリティ自動設定装置である。
【００１６】
【発明の実施の形態および実施例】
図１は、本発明の一実施例であるセキュリティ自動設定装置１０と、Ｆｉｒｅｗａｌｌ２０と、侵入検知プログラム３０とを示すブロック図である。
【００１７】
セキュリティ自動設定装置１０は、設定変更制御部１１と、中央処理装置１２と、データベース１３と、シグネチャ制御部１４と、データ更新制御部１５とを有する。
【００１８】
設定変更制御部１１は、ｆｉｒｅｗａｌｌ２０におけるパケット通過規則設定部２１を参照し、セキュリティ自動設定装置１０が使用する設定値を抽出する。
【００１９】
また、設定変更制御部１１は、Ｆｉｒｅｗａｌｌ２０において変更されたパケット通過規則設定値に対応するポートの開閉状態を、検出し、整理する。
【００２０】
上記「整理」は、たとえばＦｉｒｅｗａｌｌ２０と侵入検知プログラム３０とにおいて、重複した設定を一本化し、流れてくるパケットに同じフィルタリングをしないようにする動作である。具体的には、Ｆｉｒｅｗａｌｌ２０において、たとえばＨＴＴＰパケットが流れる８０番ポートを閉じている場合、侵入検知プログラム３０では、８０番ポートを閉じているので流れる筈がないＨＴＴＰパケットを監視する場合が、上記重複の例である。この場合、侵入検知プログラム３０において、ＨＴＴＰパケットを監視する設定を実行すると、その分だけリソースが無駄に必要になり、リソースの無駄を省くためには、重複した設定を避け、整理する必要がある。
【００２１】
中央処理部１２は、設定変更制御部１１が抽出し、整理した（重複した設定を１本化し）セキュリティ設定（設定値）に基づいて、侵入検知プログラム３０に設定すべきポートやプロトコルを決定する。また、中央処理部１２内に存在しているシグネチャファイルの更新と、中央処理部１２の出力時に整理されたセキュリティ設定とに基づいて、データベース１３に格納されているシグネチャファイルを参照し、必要なシグネチャファイルの一覧を、一緒に出力する。
【００２２】
図１１は、シグネチャファイル一覧の例を示す図である。
【００２３】
上記シグネチャファイル一覧は、データベースに格納されているリストであり、侵入検知プログラム３０に応じてその形態は様々である。たとえば、フリーソフトとして有名な侵入検知プログラム「Ｓｎｏｒｔ」（http://www.snort.org/）におけるシグネチャファイルの一覧は、「http://www.snort.org/cgi-bin/done.cgi」に記載されている。このシグネチャファイルの一覧を、データベースへ更新する。シグネチャファイル一覧をデータベースへ登録する場合、番号と、自動設定システム認識用のＩＤ番号と、シグネチャ名とを登録する。
【００２４】
データベース１３は、侵入検知プログラム３０で使用する不正侵入の規則を示す値であるシグネチャを格納し、この格納されているシグネチャとポートとの関係を示すサポート規則一覧を格納しているデータベースである。
【００２５】
上記「不正侵入の規則」は、一般的に言うパッキング・クラッキングの手口であり、Ｗｅｂ等、様々なサービスを行っているサーバに、大量の「無意味なパケット」を投げつけ、サーバの処理に負荷をかける手口であり、サーバをダウンさせる等の俗に言う「攻撃」である。上記「無意味なパケット」は、パケットの中身が、たとえば全て「ＸＸＸ」であるようなパケットである。
【００２６】
上記「シグネチャ」は、攻撃パターンを記述した（文書）ファイルである。上記「攻撃」は、ある程度、攻撃パターンを持ち、この攻撃パターンと同じ攻撃パターンを持つパケットが流れてきたときに、そのパケットが攻撃であるとみなし、管理者に警告し、そのパケット自体を破棄する等の処理を行う。
【００２７】
「サポート規則一覧」は、上記実施例では、図７に示すマッピングテーブルＡにおける「侵入検知プログラム３０でのサポート」であり、図６の表の中段の「侵入検知プログラム３０でのサポート」である。シグネチャは、所定の攻撃パターンが記述されているファイルであるので、データベース１３にファイルが格納されている。
【００２８】
データベース１３は、シグネチャファイルを格納し、このシグネチャファイルは、侵入検知プログラム３０で使用する監視すべきターゲット（監視対象）と、キャラクタマッチング等に使用する不正パケットパターン(無意味なパケット)とを有する。なお、上記「キャラクタマッチング」は、文字列を照合する動作である。
【００２９】
上記「シグネチャファイル」は、随時更新され、データベース１３には、最新情報が全て反映されていると仮定して以降の説明を行う。
【００３０】
シグネチャ制御部１４は、中央処理部１２が得た侵入検知プログラム３０のシグネチャを格納するシグネチャデータベース３１に登録するシグネチャファイルをダウンロードし、データ更新制御部１５へ転送する。
【００３１】
つまり、シグネチャ制御部１４は、侵入検知プログラム３０の設定値を更新すべきシグネチャを、上記データベースから取得し、この取得したシグネチャと、上記中央処理部が出力した侵入検知プログラム３０の設定変更点とを出力する制御部である。
【００３２】
上記「侵入検知プログラム３０の設定値」は、侵入検知プログラム３０が監視するパケットの種類を示す値であり、図７の式（１）に記載されている「侵入検知プログラム３０の設定」である。「侵入検知プログラム３０に更新すべきシグネチャ」は、図８に示す「設定変更点γ」であり、以前から設定されているパケットの種類の他に必要なシグネチャ（ファイル）である。侵入検知プログラム３０のシグネチャは、平成１５年３月現在で、１５００種類、存在している。たとえば、この自動設定以前に５００種類の攻撃パターンを監視していたとすると、残りの２００種類が、この自動設定の処理で「必要である」になったとした場合、上記２００種類のシグネチャが、「侵入検知プログラム３０に更新すべきシグネチャ」である。
【００３３】
データ更新制御部１５は、侵入検知プログラム３０内のセキュリティ設定の更新された値と、更新したセキュリティ設定で必要なシグネチャファイルとを、シグネチャデータベース３１に登録する。
【００３４】
上記「更新したセキュリティ設定で必要なシグネチャファイル」は、図８に示すマッピングテーブルＢにおける「設定変更点γ」の欄に、「変」と記載されているシグネチャファイルである。
【００３５】
つまり、データ更新制御部１５は、侵入検知プログラム３０内に存在するシグネチャを格納しているシグネチャデータベースと、シグネチャの使用有無を示す設定値との接続路を確保し、シグネチャ制御部１４が出力したシグネチャと、侵入検知プログラム３０とを用い、侵入検知プログラム３０のデータを更新する制御部である。
【００３６】
上記「シグネチャの使用有無を示す設定値」は、図７の式（１）に記載されている「侵入検知プログラム３０の設定」である。また、上記接続路は、中央処理装置１２の侵入検知プログラム３０内シグネチャデータベースとの接続路であり、中央処理装置１２内に「シグネチャの使用有無を示す設定値」が設けられている。
【００３７】
侵入検知プログラム３０のデータを更新する場合、シグネチャのファイルが格納されているデータベースのファイルを上書き保存する。保存するシグネチャファイルは、上記「シグネチャ制御部１４が出力したシグネチャ」である。
【００３８】
Ｆｉｒｅｗａｌｌ２０は、パケット通過規則設定部２１を有する。
【００３９】
パケット通過規則設定部２１は、Ｆｉｒｅｗａｌｌ２０等のネットワークを監視し、予め設定されているパケット通過規則に応じて、パケットを転送する装置内部に設けられ、パケット通過規則を設定するものである。
【００４０】
たとえば、ＷｅｂアクセスとＦＴＰ（File Transfer Protocol）転送とを行う場合は、ＨＴＴＰ(Hyper Text Transfer Protocol）等のプロトコルに使用する８０番ポートや、ＦＴＰ等のプロトコルに使用する２１番ポートを開放し、その他の使用していないポートを閉じること等を示す設定値を、パケット通過規則設定部２１が格納している。
【００４１】
侵入検知プログラム３０は、シグネチャデータベース３１を有する。
【００４２】
つまり、設定変更制御部１１は、侵入検知プログラムが所定機能を有し、Ｆｉｒｅｗａｌｌが上記所定機能を設定する場合には、上記侵入検知プログラムが上記所定機能を設定し、一方、侵入検知プログラムが所定機能を有しないか、または、Ｆｉｒｅｗａｌｌが上記所定機能を設定しない場合には、上記侵入検知プログラムが上記所定機能を設定しない制御手段の例である。
【００４３】
また、中央処理部１２とシグネチャ制御部１４とは、上記侵入検知プログラムにおける現在の設定状態と、上記Ｆｉｒｅｗａｌｌに設定されている設定状態との差を検出する差検出手段の例である。
【００４４】
さらに、データ更新制御部１５は、上記差検出手段が検出した設定状態の差に応じて、上記侵入検知プログラムの設定を変更させる設定変更手段の例である。
【００４５】
図２は、セキュリティ自動設定装置１０の全体の機能構成を示すブロック図である。
【００４６】
セキュリティ自動設定装置１０は、２つ以上のネットワークセキュリティ機能との間で、通信可能なインタフェースを持つ。
【００４７】
ところで、従来例では、２つ以上のセキュリティ機能が存在する場合、２つ以上のセキュリティ機能のそれぞれを、個々に設定する必要があるが、通信する予定のポートをサポートする設定が存在しているか否かを、１０００以上存在している設定対象の中から見つけ出し、ネットワーク管理者が設定する必要があるので、非常に労力を要する。
【００４８】
そこで、上記実施例では、たとえば、Ｆｉｒｅｗａｌｌ２０のパケット通過規則設定部２１におけるパケット通過規則を参照する。そして、Ｆｉｒｅｗａｌｌ２０は、監視対象外のネットワークに対して開いているポートやネットワーク機器が通信すると想定されるパケット以外のパケットであって、指定したポートを通過するパケットを監視し、一方、不正な通信を止めることができる侵入検知プログラム３０は、Ｆｉｒｅｗａｌｌ２０によるパケット通過判定では処理しきれないパケットを監視させる設定や、偽装等を施すことによって、Ｆｉｒｅｗａｌｌ２０のパケット通過判定を逃れた不正なパケットの監視をさせる設定を、自動的に反映し、通信パケットを、重複せずに全て監視する。
【００４９】
これによって、従来、通信する予定のポートをサポートする設定が存在しているか否かを多数の設定対象の中から見つけ出し、設定するという煩雑な手間が不要になり、ネットワークセキュリティ管理の知識がなくても、より強固なセキュリティ設定が可能であり、通過するパケットについて、重複した設定による２重の監視をする必要がないので、ネットワーク帯域の低下を防ぐことができる。
【００５０】
次に、上記実施例の動作について説明する。
【００５１】
以下の説明では、Ｆｉｒｅｗａｌｌ２０と、侵入検知プログラム（ＩＤＳ）３０との２つの機能が、ルータ内部に存在しているとして説明する。
【００５２】
まず、Ｆｉｒｅｗａｌｌ２０のパケット通過規則設定を、管理者が事前に行う。これは、従来から存在しているＦｉｒｅｗａｌｌ２０を想定しているので、この設定方法は、Ｆｉｒｅｗａｌｌ２０の方法に従う。
【００５３】
Ｆｉｒｅｗａｌｌ２０のパケット通過規則設定が既に終了している場合、設定変更制御部１１は、Ｆｉｒｅｗａｌｌ２０に存在しているパケット通過規則設定が行われているファイル等を参照する。
【００５４】
設定変更制御部１１は、Ｆｉｒｅｗａｌｌ２０側における設定に変更がないことを、定期的に確認する必要があり、更新の有無を、たとえば毎時参照する。設定変更制御部１１が、Ｆｉｒｅｗａｌｌ２０側における設定の変更有無を調べ、設定を更新したことを検出すると、設定変更制御部１１は、Ｆｉｒｅｗａｌｌ２０に格納されているパケット通過規則設定内容をダウンロードする。
【００５５】
図３は、上記実施例において、Ｆｉｒｅｗａｌｌ２０に格納されているパケット通過規則設定（セキュリティ設定ファイルα）の例を示す図である。
【００５６】
図３において、「○」は、ポートが開いていることを示し、ポートが開いている状態では、パケットが通過することができ、また、「×」は、ポートが閉じていることを示し、ポートが閉じている状態では、パケットが通過することができない。
【００５７】
ここで、図３に示すＦｉｒｅｗａｌｌ２０に格納されているパケット通過設定内容を示すファイルを、セキュリティ設定ファイルαとする。
【００５８】
セキュリティ設定ファイルαの作成が完了すると、設定変更制御部１１が、セキュリティ設定ファイルαを、中央処理部１２へ転送する。
【００５９】
次に、上記実施例において、設定変更制御部１１が実行する動作について説明する。
【００６０】
図４は、上記実施例において、設定変更制御部１１が実行する動作を示すフローチャートである。
【００６１】
まず、侵入検知プログラム３０（ＩＤＳ）の設定状態を取得する（Ｓ１）。そして、Ｆｉｒｅｗａｌｌ２０の設定状態を取得し（Ｓ２）、侵入検知プログラム３０の設定とＦｉｒｅｗａｌｌ２０の設定とが一致していれば（Ｓ３）、設定を変更する必要がないので、設定変更制御部１１が休止状態になる（Ｓ４）。
【００６２】
侵入検知プログラム３０の設定とＦｉｒｅｗａｌｌ２０の設定とが、互いに相違していれば（Ｓ３）、侵入検知プログラム３０を更新する必要があるので、Ｆｉｒｅｗａｌｌ２０に格納されているパケット通過規則設定を参照し（Ｓ５）、セキュリティ設定ファイル(図３に示すセキュリティ設定ファイルα)を生成し（Ｓ６）、この生成されたセキュリティ設定ファイルαを、中央処理部１２へ転送する（Ｓ７）。
【００６３】
次に、上記実施例において、中央処理部１２が実行する動作を説明する。
【００６４】
図５は、上記実施例において、中央処理部１２が実行する動作を示すフローチャートである。
【００６５】
まず、設定変更制御部１１がＦｉｒｅｗａｌｌ２０の設定状態を取得し（Ｓ１１）、データベース１３から全てのシグネチャを取得し（Ｓ１２）、Ｆｉｒｅｗａｌｌ２０の設定状態を、図６に示すように、マッピングする（Ｓ１３）。
【００６６】
図６は、マッピングテーブルＡ（二次元マトリックス）に、図３に示すデータと、データベース１３からのサポートデータとを入力し、侵入検知プログラム３０の設定を出力として得る図である。
【００６７】
なお、図６に記載されている「ＴＣＰ」は、Transmission Control Protocolであり、インターネットで利用される標準プロトコルであり、ＯＳＩ参照モデルのトランスポート層にあたり、ネットワーク層のＩＰと、セッション層以上のプロトコル（ＨＴＴＰ、ＦＴＰ、ＳＭＴＰ、ＰＯＰ等）の橋渡しをするプロトコルである。インターネットでは、トランスポート層のプロトコルとして、ＵＤＰも使われている。
【００６８】
図６に記載されている「ＵＤＰ」は、User Datagram Protocolであり、インターネットで利用される標準プロトコルであり、ＯＳＩ参照モデルのトランスポート層にあたり、ネットワーク層のＩＰと、セッション層以上のプロトコル（ＲｅａｌＡｕｄｉｏ等）の橋渡しをするプロトコルである。インターネットでは、トランスポート層のプロトコルとして、ＴＣＰも使われている。
【００６９】
なお、ＵＤＰは、転送速度は速いが信頼性が低く、ＴＣＰは、信頼性は高いが転送速度が遅いという特徴がある。
【００７０】
図６において、「Ｆｉｒｅｗａｌｌ２０の設定状態」における「○」は、設定されていることを示し、「×」は、設定されていないことを示す。また、「侵入検知プログラム３０でのサポート」における「○」は、サポートがあることを示し、「×」は、サポートされていないことを示す。さらに、「侵入検知プログラム３０の設定」における「○」は、設定されることを示し、「×」は、設定されないことを示す。
【００７１】
そして、侵入検知プログラム３０に設定すべき項目である設定項目を決定する（Ｓ１４）。そして、シグネチャ制御部１４へ、上記決定された設定項目を通知する（Ｓ１５）。
【００７２】
なお、上記「項目」は、攻撃の種類が書かれているシグネチャであり、「ポート」は、そのシグネチャ内に記載されているポート番号である。「設定」をしなければならないポート番号が、シグネチャの中に記載されていれば、そのシグネチャを使用しなければならない。この使用しなければならないシグネチャのことを、ここでは、「項目」という。
【００７３】
つまり、設定変更制御部１１から転送されたセキュリティ設定ファイルαを、図６に示すマッピングテーブルＡに反映させる。すなわち、設定変更制御部１１から転送されたセキュリティ設定ファイルαの内容を、図６に示すマッピングテーブルＡにおける「Ｆｉｒｅｗａｌｌ２０の設定状態」の欄に、移す。
【００７４】
図７は、上記実施例における中央処理部１２の動作説明図であり、マッピングテーブルＡの作成方法の詳細を示す図である。
【００７５】
図７に示す例は、マッピングテーブルＡの詳細として、排他処理によって、マッピングテーブルＡを作成する例を示す図である。
【００７６】
つまり、ＴＣＰのポート番号「１」について考えると、図６に示すマッピングテーブルＡにおいて、侵入検知プログラム３０でサポートしていないポートについて、Ｆｉｒｅｗａｌｌ２０で設定しているので、そのポートについて、侵入検知プログラム３０では設定しない。すなわち、図６に示すマッピングテーブルＡにおいて、「○」を「１」とし、「×」を「０」とすると、ＴＣＰのポート番号「１」では、１∧０＝０であり、侵入検知プログラム３０では設定しない。
【００７７】
また、ＴＣＰのポート番号「９」ついて考えると、図６に示すマッピングテーブルＡにおいて、侵入検知プログラム３０でサポートしているポートについて、Ｆｉｒｅｗａｌｌ２０で設定しているので、そのポートについて、侵入検知プログラム３０では設定する。すなわち、図６に示すマッピングテーブルＡにおいて、「○」を「１」とし、「×」を「０」とすると、ＴＣＰのポート番号「１」では、１∧１＝１であり、侵入検知プログラム３０で設定する。
【００７８】
図８は、上記実施例におけるマッピングテーブルＢを示す図である。
【００７９】
マッピングテーブルＢ（二次元マトリックス）は図８に示す侵入検知プログラム３０の設定と、データ更新制御部１５から得た侵入検知プログラム３０における現在の設定データとを入力し、設定変更点を得るテーブルである。
【００８０】
なお、データ更新制御部１５は、侵入検知プログラム３０から「現在の設定データ」を取得し、この取得した現在の設定データを転送する形で受け取ることができる。
【００８１】
中央処理部１２は、データベース１３から得た侵入検知プログラム３０のサポート状況を、マッピングテーブルＡに反映させる。つまり、図７に示す方法（たとえば排他処理）によって、侵入検知プログラム３０に必要な設定β（図８に示す）を出力する。
【００８２】
図７に示す式（１）において、Ｆｉｒｅｗａｌｌ２０の設定状態と、侵入検知プログラム３０のサポート有無とが、ともに「○」であれば、侵入検知プログラム３０の設定を「○」にする。すなわち、Ｆｉｒｅｗａｌｌ２０の設定状態と、侵入検知プログラム３０のサポート有無とを、ａｎｄ条件にした。ａｎｄ条件を示すために、記号「∧」を使用している。
【００８３】
中央処理部１２は、図８に示すように、侵入検知プログラム３０に必要な設定βを、マッピングテーブルＢに反映させる。
【００８４】
また、侵入検知プログラム３０における修正個所数を少なくするために、現在の侵入検知プログラム３０の設定状態を、マッピングテーブルＢに反映させる。つまり、「現在の設定データ」を、マッピングテーブルＢに挿入する。
【００８５】
その後、たとえば、図８に示す排他処理によって、設定変更点γと、現在の侵入検知プログラム３０の設定状態とを出力する。
【００８６】
図９は、中央処理部１２の動作を示すフローチャートであり、マッピングテーブルＢの詳細動作として、排他処理の動作を示すフローチャートである。
【００８７】
つまり、図９は、マッピングテーブルＢの詳細として、排他処理の例を示す図である。
【００８８】
つまり、図８、図９において、差分だけを設定し直す。図８において、「○→×」は、開いているポートを閉じることを意味し、つまり、そのポートにおいて、パケットを通過させないように設定を変更することを示す。また、「×→○」は、パケットを通過させるように設定を変更することを示す。
【００８９】
図９に示す例は、次に示す基準で判断したものである。
【００９０】
下記「Ａ」は、図８に示す「侵入検知プログラム３０における現在の状態」であり、下記「Ｂ」は、図８に示す「侵入検知プログラム３０において設定しようとする内容」であるとした場合、次のようにする。
Ａ＝○でありＢ＝○であれば、「現在の設定を変更しない」つまり、未変更。
Ａ＝○でありＢ＝×であれば、「現在の設定を×に変更する」。
Ａ＝×でありＢ＝○であれば、「現在の設定を○に変更する」。
Ａ＝×でありＢ＝×であれば、「現在の設定を変更しない」つまり、未変更。
【００９１】
ＴＣＰのポート番号８のポートの場合、○→×であるので、現在の設定を×に変更し、また、ＵＤＰのポート番号７のポートの場合、×→○であるので、現在の設定を○に変更する。
【００９２】
シグネチャ制御部１４は、中央処理部１２が最終的に出力する設定変更点γと、侵入検知プログラム３０における現在の設定状態とを取得し、侵入検知プログラム３０に転送すべきシグネチャファイルを、データベース１３からダウンロードし、このダウンロードしたシグネチャファイルと、設定変更点γとを、データ更新制御部１５に転送する。
【００９３】
次に、上記実施例におけるシグネチャ制御部１４の動作について説明する。
【００９４】
図１０は、上記実施例におけるシグネチャ制御部１４の動作を示すフローチャートである。
【００９５】
中央処理部１２から、項目決定通知を取得する（Ｓ２１）。なお、上記「項目決定通知」は、侵入検知プログラム３０に設定するシグネチャが決定したことを、中央処理部１２からシグネチャ制御部１４に知らせる通知信号であり、どのシグネチャを設定することになったのかを示す設定項目（シグネチャファイル一覧におけるＩＤ）も含まれている。
【００９６】
そして、中央処理部１２内のデータベース１３と接続し（Ｓ２２）、データベース１３から、シグネチャファイルを取得し（Ｓ２３）、侵入検知プログラム３０内のシグネチャデータベース３１と接続し（Ｓ２４）、シグネチャファイルを更新する（Ｓ２５）。
【００９７】
データ更新制御部１５は、侵入検知プログラム３０内に、シグネチャファイルが存在していることを確認し、現在動作しているシグネチャ（現在の設定データ）を、一覧データとして、中央処理部１２と、シグネチャ制御部１４とに転送し、また、シグネチャ制御部１４から転送されたシグネチャファイルと設定変更点γとを、侵入検知プログラム３０に反映させる。
【００９８】
以上の一連の動作によって、Ｆｉｒｅｗａｌｌ２０の設定で開放されているポートを、侵入検知プログラム３０が監視するための設定が、必要最小限のシグネチャ数で実現することができる。
【００９９】
なお、上記「必要最小限のシグネチャ数」は、Ｆｉｒｅｗａｌｌ２０の設定情況によるが、Ｆｉｒｅｗａｌｌ２０におけるポートの殆どが閉じていれば、数十個程度になり、多数のポートを開放していれば、それだけ侵入検知プログラム３０で監視する対象は、増えるので、全てのシグネチャを使用することも考えられる。
【０１００】
上記実施例によれば、Ｆｉｒｅｗａｌｌ２０等のセキュリティ設定を、同一装置内で動作するその他のネットワークセキュリティ機能に反映させることができ、また、管理者の労力を費やすことなく運用することができる。このために、セキュリティの穴(抜け目）となる部分が少なく、人的要因からの更新の安全性を確保することができる。
【０１０１】
また、上記実施例によれば、セキュリティ機能を自動的に設定することができるので、ネットワークセキュリティ管理について知識がない人が利用するネットワークにおいても、利用することができ、セキュリティ設定を数多く設定する環境においても利用可能である。
【０１０２】
なお、上記実施例をプログラムの発明として把握することができる。つまり、上記実施例は、Ｆｉｒｅｗａｌｌにおけるパケット通過規則の設定値であるパケット通過規則設定値が変更されると、上記変更されたパケット通過規則設定値を取得し、上記変更されたパケット通過規則設定値に対応するポートの開閉状態を検出し、整理し、この検出されたポートの開閉状態を、Ｆｉｒｅｗａｌｌのポート開閉情報として出力する設定変更制御手順と、侵入検知プログラムで使用する不正侵入の規則を示す値であるシグネチャを格納し、この格納されているシグネチャとポートとの関係を示すサポート規則一覧を、データベースに格納する格納手順と、上記データベースに格納されている上記サポート規則一覧を参照し、Ｆｉｒｅｗａｌｌのポート開閉情報と、上記データベースを参照した侵入検知プログラムでサポートされているサポート規則一覧との照合結果に応じて、侵入検知プログラムの設定値を決定し、この決定された侵入検知プログラムの設定値と、現在の侵入検知プログラムの設定値との照合結果に応じて、侵入検知プログラムにおいて設定を変更すべき点である設定値変更点を中央処理部が決定し、出力する設定値変更点決定手順と、上記侵入検知プログラムの設定値を更新すべきシグネチャを、上記データベースから取得し、この取得したシグネチャと、上記中央処理部が出力した侵入検知プログラムの設定変更点とを出力するシグネチャ制御手順と、上記侵入検知プログラム内に存在するシグネチャを格納しているシグネチャデータベースと、シグネチャの使用有無を示す設定値との接続路を確保し、上記シグネチャ制御部が出力したシグネチャと、侵入検知プログラムとを用い、上記侵入検知プログラムのデータを更新するデータ更新制御手順とをコンピュータに実行させるプログラムの例である。
【０１０３】
この場合、上記中央処理部は、対応するポート番号と、ポート開閉の有無と、侵入検知プログラムによるサポートの有無とに応じて、排他的に処理する。
【０１０４】
また、上記実施例は、侵入検知プログラムが所定機能を有し、Ｆｉｒｅｗａｌｌが上記所定機能を設定する場合には、設定変更制御部が、上記侵入検知プログラムに上記所定機能を設定し、一方、侵入検知プログラムが所定機能を有しないか、または、Ｆｉｒｅｗａｌｌが上記所定機能を設定しない場合には、上記設定変更制御部が、上記侵入検知プログラムに上記所定機能を設定しない制御手順と、上記侵入検知プログラムにおける現在の設定状態と、上記Ｆｉｒｅｗａｌｌに設定されている設定状態との差を、中央処理装置が、検出する差検出手順と、上記差検出手順で検出された設定状態の差に応じて、データ更新制御部が、上記侵入検知プログラムの設定を変更させる設定変更手順とをコンピュータに実行させるプログラムの例である。
【０１０５】
さらに、上記プログラムを、ＣＤ、ＤＶＤ、ＦＤ、ＨＤ、半導体メモリ等の記録媒体に記録するようにしてもよい。
【０１０６】
【発明の効果】
本発明によれば、複数のネットワークセキュリティ機能におけるセキュリティ設定を、１つに絞ることができ、つまり、重複設定を１本化することができ、作業効率が向上するという効果を奏し、しかも、人的寄与率が高いために発生していたセキュリティの穴を、未然に防止することができるという効果を奏する。
【図面の簡単な説明】
【図１】本発明の一実施例であるセキュリティ自動設定装置１０と、Ｆｉｒｅｗａｌｌ２０と、侵入検知プログラム３０とを示すブロック図である。
【図２】セキュリティ自動設定装置１０の全体の機能構成を示すブロック図である。
【図３】上記実施例において、Ｆｉｒｅｗａｌｌ２０に格納されているパケット通過規則設定（セキュリティ設定ファイルα）の例を示す図である。
【図４】上記実施例において、設定変更制御部１１が実行する動作を示すフローチャートである。
【図５】上記実施例において、中央処理部１２が実行する動作を示すフローチャートである。
【図６】マッピングテーブルＡ（二次元マトリックス）に、図３に示すデータと、データベース１３からのサポートデータとを入力し、侵入検知プログラム３０の設定を出力として得る図である。
【図７】上記実施例における中央処理部１２の動作説明図であり、マッピングテーブルＡの作成方法の詳細を示す図である。
【図８】上記実施例におけるマッピングテーブルＢを示す図である。
【図９】中央処理部１２の動作を示すフローチャートであり、マッピングテーブルＢの詳細動作として、排他処理の動作を示すフローチャートである。
【図１０】上記実施例におけるシグネチャ制御部１４の動作のフローチャートである。
【図１１】シグネチャファイルの一覧の例を示す図である。
【符号の説明】
１０…セキュリティ自動設定装置、
１１…設定変更制御部、
１２…中央処理部、
１３…データベース、
１４…シグネチャ制御部、
１５…データ更新制御部、
２０…Ｆｉｒｅｗａｌｌ、
２１…パケット通過規則設定部、
３０…侵入検知システム、
３１…シグネチャデータベース。

Claims (6)

1. Ｆｉｒｅｗａｌｌにおけるパケット通過規則の設定値であるパケット通過規則設定値が変更されると、上記変更されたパケット通過規則設定値を取得し、上記変更されたパケット通過規則設定値に対応するポートの開閉状態を検出し、整理し、この検出されたポートの開閉状態を、Ｆｉｒｅｗａｌｌのポート開閉情報として出力する設定変更制御部と；
   侵入検知プログラムで使用する不正侵入の規則を示す値であるシグネチャ を格納し、この格納されているシグネチャとポートとの関係を示すサポート規則一覧を格納しているデータベースと；
   上記データベースに格納されている上記サポート規則一覧を参照し、Ｆｉｒｅｗａｌｌのポート開閉情報と、上記データベースを参照した侵入検知プログラムでサポートされているサポート規則一覧との照合結果に応じて、侵入検知プログラムの設定値を決定し、この決定された侵入検知プログラムの設定値と、現在の侵入検知プログラムの設定値との照合結果に応じて、侵入検知プログラムにおいて設定を変更すべき点である設定値変更点を決定し、出力する中央処理部と；
   上記侵入検知プログラムの設定値を更新すべきシグネチャを、上記データベースから取得し、この取得したシグネチャと、上記中央処理部が出力した侵入検知プログラムの設定変更点とを出力するシグネチャ制御部と；
   上記侵入検知プログラム内に存在するシグネチャを格納しているシグネチャデータベースと、シグネチャの使用有無を示す設定値との接続路を確保し、上記シグネチャ制御部が出力したシグネチャと、侵入検知プログラムとを用い、上記侵入検知プログラムのデータを更新するデータ更新制御部と；
   を有することを特徴とするセキュリティ自動設定装置。
2. 請求項１において、
   上記中央処理部は、対応するポート番号と、ポート開閉の有無と、侵入検知プログラムによるサポートの有無とに応じて、排他的に処理することを特徴とするセキュリティ自動設定装置。
3. Ｆｉｒｅｗａｌｌにおけるパケット通過規則の設定値であるパケット通過規則設定値が変更されると、上記変更されたパケット通過規則設定値を取得し、上記変更されたパケット通過規則設定値に対応するポートの開閉状態を検出し、整理し、この検出されたポートの開閉状態を、Ｆｉｒｅｗａｌｌのポート開閉情報として出力する設定変更制御段階と；
   侵入検知プログラムで使用する不正侵入の規則を示す値であるシグネチャ を格納し、この格納されているシグネチャとポートとの関係を示すサポート規則一覧を、データベースに格納する格納段階と、
   上記データベースに格納されている上記サポート規則一覧を参照し、Ｆｉｒｅｗａｌｌのポート開閉情報と、上記データベースを参照した侵入検知プログラムでサポートされているサポート規則一覧との照合結果に応じて、侵入検知プログラムの設定値を決定し、この決定された侵入検知プログラムの設定値と、現在の侵入検知プログラムの設定値との照合結果に応じて、侵入検知プログラムにおいて設定を変更すべき点である設定値変更点を中央処理部が決定し、出力する設定値変更点決定段階と；
   上記侵入検知プログラムの設定値を更新すべきシグネチャを、上記データベースから取得し、この取得したシグネチャと、上記中央処理部が出力した侵入検知プログラムの設定変更点とを出力するシグネチャ制御段階と；
   上記侵入検知プログラム内に存在するシグネチャを格納しているシグネチャデータベースと、シグネチャの使用有無を示す設定値との接続路を確保し、上記シグネチャ制御部が出力したシグネチャと、侵入検知プログラムとを用い、上記侵入検知プログラムのデータを更新するデータ更新制御段階と；
   を有することを特徴とするセキュリティ自動設定方法。
4. 請求項３において、
   上記中央処理部は、対応するポート番号と、ポート開閉の有無と、侵入検知プログラムによるサポートの有無とに応じて、排他的に処理することを特徴とするセキュリティ自動設定方法。
5. Ｆｉｒｅｗａｌｌにおけるパケット通過規則の設定値であるパケット通過規則設定値が変更されると、上記変更されたパケット通過規則設定値を取得し、上記変更されたパケット通過規則設定値に対応するポートの開閉状態を検出し、整理し、この検出されたポートの開閉状態を、Ｆｉｒｅｗａｌｌのポート開閉情報として出力する設定変更制御手順と；
   侵入検知プログラムで使用する不正侵入の規則を示す値であるシグネチャ を格納し、この格納されているシグネチャとポートとの関係を示すサポート規則一覧を、データベースに格納する格納手順と、
   上記データベースに格納されている上記サポート規則一覧を参照し、Ｆｉｒｅｗａｌｌのポート開閉情報と、上記データベースを参照した侵入検知プログラムでサポートされているサポート規則一覧との照合結果に応じて、侵入検知プログラムの設定値を決定し、この決定された侵入検知プログラムの設定値と、現在の侵入検知プログラムの設定値との照合結果に応じて、侵入検知プログラムにおいて設定を変更すべき点である設定値変更点を中央処理部が決定し、出力する設定値変更点決定手順と；
   上記侵入検知プログラムの設定値を更新すべきシグネチャを、上記データベースから取得し、この取得したシグネチャと、上記中央処理部が出力した侵入検知プログラムの設定変更点とを出力するシグネチャ制御手順と；
   上記侵入検知プログラム内に存在するシグネチャを格納しているシグネチャデータベースと、シグネチャの使用有無を示す設定値との接続路を確保し、上記シグネチャ制御部が出力したシグネチャと、侵入検知プログラムとを用い、上記侵入検知プログラムのデータを更新するデータ更新制御手順と；
   をコンピュータに実行させるプログラムを記録したコンピュータ読取可能な記録媒体。
6. 請求項５において、
   上記中央処理部は、対応するポート番号と、ポート開閉の有無と、侵入検知プログラムによるサポートの有無とに応じて、排他的に処理することを特徴とするプログラムを記録したコンピュータ読取可能な記録媒体。

Images