JP4735290B2 - セキュリティポリシー不整合解消支援システム、方法およびプログラム - Google Patents

セキュリティポリシー不整合解消支援システム、方法およびプログラム Download PDF

Info

Publication number
JP4735290B2
JP4735290B2 JP2006021114A JP2006021114A JP4735290B2 JP 4735290 B2 JP4735290 B2 JP 4735290B2 JP 2006021114 A JP2006021114 A JP 2006021114A JP 2006021114 A JP2006021114 A JP 2006021114A JP 4735290 B2 JP4735290 B2 JP 4735290B2
Authority
JP
Japan
Prior art keywords
setting information
detection system
intrusion detection
firewall
inconsistency
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2006021114A
Other languages
English (en)
Other versions
JP2007202079A (ja
Inventor
純孝 岡城
勝志 松田
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NEC Corp
Original Assignee
NEC Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by NEC Corp filed Critical NEC Corp
Priority to JP2006021114A priority Critical patent/JP4735290B2/ja
Publication of JP2007202079A publication Critical patent/JP2007202079A/ja
Application granted granted Critical
Publication of JP4735290B2 publication Critical patent/JP4735290B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Landscapes

  • Data Exchanges In Wide-Area Networks (AREA)

Description

本発明は、情報システムにおける複数種類のセキュリティ機能の設定内容（セキュリティポリシー）の不整合解消を支援するセキュリティポリシー不整合解消支援システム、方法およびプログラムに関し、特に管理対象となるネットワークのネットワーク構成（ネットワークや各種機器の接続状態）に応じてセキュリティポリシーの不整合解消を支援できるセキュリティポリシー不整合解消支援システム、方法およびプログラムに関する。
従来のセキュリティ診断システムの一例が、特許文献１に記載されている。特許文献１に示されたセキュリティ診断システムは、構成定義編集部と、ネットワーク構成定義格納部と、診断ポリシー作成部と、診断ポリシー格納部と、セキュリティ診断部とを備えている。そして、ネットワーク構成に対するセキュリティ診断を容易にさせる。特許文献１に記載されたセキュリティ診断システムは、以下のように動作する。
まず、特許文献１に記載されたセキュリティ診断システムは、管理者の操作により、ネットワークの構成定義を表現する定義ファイルを作成し、ネットワーク構成定義格納部に格納する。診断ポリシー作成部は、定義ファイルを解析して、スキャナと呼ばれるソフトウェアによる検査項目とその優先順位からなる診断ポリシーを作成する。スキャナは、データベース化された既知の攻撃方法を擬似的に実行してネットワークシステムのセキュリティホールを発見するためのソフトウェアである。セキュリティ診断部は、診断ポリシーに基づいてセキュリティ診断を実行する。この結果、ネットワーク構成に対するセキュリティ診断を容易に行うことができる。
また、セキュリティ機器の設定を自動的に行うセキュリティ自動設定装置が提案されている（例えば、特許文献２参照。）。特許文献２に記載されたセキュリティ自動設定装置（以下、自動設定装置と記す。）は、設定変更制御部、中央処理部、データベース、シグネチャ制御部、データ更新制御部を備えた構成となっている。そして、セキュリティ機能の抜け目を防止するように、侵入検知システムの設定を更新させる。特許文献２に記載された自動設定装置は、以下のように動作する。
まず、特許文献２に記載された自動設定装置は、ファイアウォールの設定情報を取得し、次にデータベースからすべてのシグネチャを取得する。そして、自動設定装置は、各ポート番号について、ファイアウォールの設定情報を用いて、侵入検知システムで設定すべき内容を導く。さらに、侵入検知システムの現在の設定状態を取得し、この侵入検知システムの現在の設定と、侵入検知システムで設定すべき内容とのＸＯＲをとる。ＸＯＲの結果が真となる場合（つまり、侵入検知システムの現在の設定と、設定すべき内容とが異なっている場合）には、侵入検知システムの現在の設定を変更する。この動作により、ファイアウォールで開いていて侵入検知システムで監視可能なポートについては侵入検知システムが漏れなく監視するように設定できる。また、ファイアウォールで閉じているポートについては侵入検知システムで無駄な監視をしないように設定できる。
また、特許文献３には、送信側のセキュリティポリシーおよび受信側のセキュリティポリシーとの不整合を検出する通信セキュリティ管理システムが記載されている。また、特許文献４には、ルールとノードとの対応付けを行うセキュリティ管理支援システムが記載されている。
特開２００２−９４５０９号公報（段落０００４，０００５，００６８−００７１、図１、図７） 特開２００４−２７４６５４号公報（第５−１２頁、図１、図７、図８） 特開２００２−２６１８３９号公報（段落００２２−００２５） 特開２００４−３４２０７２号公報（段落００７０−０１７１）
しかし、特許文献１に記載されたセキュリティ診断システムは、ネットワークの構成定義を表現する定義ファイルによって検査項目とその順序を決定しているに過ぎず、診断結果の精度は、スキャナの精度に依存する。スキャナによる診断では、外部から得られる情報だけでどのようなセキュリティ上の弱点が存在するのかを判定することは非常に困難であるため、診断を誤ることがある。また、特許文献１では、ネットワークの構成定義がどのように診断ポリシーに反映されるのかについて、言及されていない。
また、特許文献２に記載された自動設定装置は、ファイアウォールの設定が正しいという前提に基づいて動作していて、ファイアウォールの設定に誤りがある場合について考慮されていない。従って、侵入検知システムの設定が正しく、ファイアウォールの設定に誤りがある場合には、特許文献２に記載された自動設定装置は対応することができない。また、特許文献２に記載された自動設定装置は、ファイアウォールの設定を基準にして侵入検知システムの設定を変更する構成になっているので、侵入検知システムの設定しか変更することができない。
ネットワークに属するセキュリティ機器の設定の不整合を適切に検出できることが好ましい。さらに、ファイアウォール等の特定の機器の設定が正しいという前提に基づくことなく、セキュリティ機器の設定の不整合を適切に検出することが好ましい。
また、各種サービスを提供する様々な種類の装置（例えば、ＷＷＷサーバ等）がネットワーク内に存在し、ネットワークや機器等の接続関係が複雑になる場合がある。このような場合であっても、セキュリティ機器の設定の不整合を適切に検出できることが好ましい。
特許文献３に記載された通信セキュリティ管理システムでは、不整合検出対象が、送信側と受信側のセキュリティポリシーに限定されていて、ネットワークや機器等の接続関係が複雑になる場合におけるセキュリティ機器の設定の不整合を適切に検出できるわけではない。
そこで、本発明は、ネットワークや機器等の接続関係が複雑になる場合であっても、セキュリティ機能の設定の不整合を適切に検出することができるセキュリティポリシー不整合解消支援システム、方法およびプログラムを提供することを目的とする。
本発明によるセキュリティポリシー不整合解消支援システムは、ネットワークシステム内のファイアウォールとセグメントとの接続関係、ネットワークシステム内の侵入検知システムと当該侵入検知システムが配置されているセグメントとの関係、ネットワークシステム内の機器とセグメントとの接続関係、および、ネットワークシステム内の機器と当該機器が提供するサービスで使用するポート番号との対応関係を示すネットワーク構成情報を入力するネットワーク構成情報入力手段と、ネットワーク構成情報に基づいて、侵入検知システムが配置されているセグメントを特定し、ネットワークシステムが備えるセキュリティ機器の複数種類のセキュリティ機能の設定を定めた各セキュリティ機能の設定情報のうち、その侵入検知システムとは異なるファイアウォールの設定情報であって、セグメント間で送受信されるパケットの通過を許可するか禁止するかをポート番号に応じて定めたファイアウォールの設定情報から、その侵入検知システムが配置されているセグメントに関する記述箇所を抽出し、当該記述箇所と、ポート番号に応じてパケットを監視するか否かを定めたその侵入検知システムの設定情報とを比較して、設定情報間の不整合を検出する設定情報分析手段とを備えたことを特徴とする。
そのような構成によれば、設定情報分析手段が、各セキュリティ機能の設定情報を比較して、ネットワークシステムの構成に応じて、設定情報間の不整合を検出する。従って、ネットワークや機器等の接続関係が複雑になる場合であっても、セキュリティ機能の設定の不整合を適切に検出することができる。また、その結果、検出された不整合を参照し、自身の経験や知識、あるいは自身が意図する設定状況と照合して、適切に設定情報を修正することができる。また、管理者自身が不整合を検出する必要がないので、管理者の負担を軽減することができる。
ネットワークシステム内のファイアウォールとセグメントとの接続関係、ネットワークシステム内の侵入検知システムと当該侵入検知システムが配置されているセグメントとの関係、ネットワークシステム内の機器とセグメントとの接続関係、および、ネットワークシステム内の機器と当該機器が提供するサービスで使用するポート番号との対応関係を示すネットワーク構成情報を記憶するネットワーク構成情報記憶手段を備え、設定情報分析手段が、ネットワーク構成情報記憶手段に記憶されるネットワーク構成情報に基づいて、侵入検知システムが配置されているセグメントを特定し、各セキュリティ機能の設定情報のうち、その侵入検知システムとは異なるファイアウォールの設定情報であって、セグメント間で送受信されるパケットの通過を許可するか禁止するかをポート番号に応じて定めたファイアウォールの設定情報から、その侵入検知システムが配置されているセグメントに関する記述箇所を抽出し、当該記述箇所と、ポート番号に応じてパケットを監視するか否かを定めたその侵入検知システムの設定情報とを比較して、設定情報間の不整合を検出する構成であってもよい。
そのような構成によれば、ネットワーク構成情報記憶手段が、ネットワークシステムの構成を示すネットワーク構成情報を記憶するので、設定情報を変更する場合に、設定情報を変更するだけで、その変更された設定情報とネットワーク構成情報記憶手段に記憶されたネットワーク構成情報を用いて不整合を検出することができる。
また、本発明によるセキュリティポリシー不整合解消支援システムは、ネットワークシステム内のファイアウォールとセグメントとの接続関係、ネットワークシステム内の侵入検知システムと当該侵入検知システムが配置されているセグメントとの関係、ネットワークシステム内の機器とセグメントとの接続関係、および、ネットワークシステム内の機器と当該機器が提供するサービスで使用するポート番号との対応関係を示すネットワーク構成情報を記憶するネットワーク構成情報記憶手段と、ネットワーク構成情報記憶手段に記憶されるネットワーク構成情報に基づいて、侵入検知システムが配置されているセグメントを特定し、ネットワークシステムが備えるセキュリティ機器の複数種類のセキュリティ機能の設定を定めた各セキュリティ機能の設定情報のうち、その侵入検知システムとは異なるファイアウォールの設定情報であって、セグメント間で送受信されるパケットの通過を許可するか禁止するかをポート番号に応じて定めたファイアウォールの設定情報から、その侵入検知システムが配置されているセグメントに関する記述箇所を抽出し、当該記述箇所と、ポート番号に応じてパケットを監視するか否かを定めたその侵入検知システムの設定情報とを比較して、設定情報間の不整合を検出する設定情報分析手段とを備えたことを特徴とする。
そのような構成の場合にも、ネットワークや機器等の接続関係が複雑になる場合であっても、セキュリティ機能の設定の不整合を適切に検出することができる。また、設定情報を変更する場合に、設定情報を変更するだけで、その変更された設定情報とネットワーク構成情報記憶手段に記憶されたネットワーク構成情報を用いて不整合を検出することができる。
各セキュリティ機能の設定情報を記憶する設定情報記憶手段を備え、設定情報分析手段が、ネットワーク構成情報に基づいて、侵入検知システムが配置されているセグメントを特定し、設定情報記憶手段に記憶された各セキュリティ機能の設定情報のうち、その侵入検知システムとは異なるファイアウォールの設定情報であって、セグメント間で送受信されるパケットの通過を許可するか禁止するかをポート番号に応じて定めたファイアウォールの設定情報から、その侵入検知システムが配置されているセグメントに関する記述箇所を抽出し、当該記述箇所と、ポート番号に応じてパケットを監視するか否かを定めたその侵入検知システムの設定情報とを比較して、設定情報間の不整合を検出する構成であってもよい。
そのような構成によれば、設定情報記憶手段が各セキュリティ機能の設定情報を記憶する。従って、ネットワーク構成情報を変更する場合に、ネットワーク構成情報を変更するだけで、その変更されたネットワーク構成情報と設定情報記憶手段に記憶された設定情報とを用いて不整合を検出することができる。
各セキュリティ機能の設定情報を取得する設定情報取得手段と、設定情報取得手段が取得した各設定情報を設定情報記憶手段に記憶させる設定情報登録手段とを備えた構成であってもよい。
各セキュリティ機能の設定情報を取得する設定情報取得手段を備え、設定情報分析手段が、ネットワーク構成情報に基づいて、侵入検知システムが配置されているセグメントを特定し、設定情報取得手段が取得した各セキュリティ機能の設定情報のうち、その侵入検知システムとは異なるファイアウォールの設定情報であって、セグメント間で送受信されるパケットの通過を許可するか禁止するかをポート番号に応じて定めたファイアウォールの設定情報から、その侵入検知システムが配置されているセグメントに関する記述箇所を抽出し、当該記述箇所と、ポート番号に応じてパケットを監視するか否かを定めたその侵入検知システムの設定情報とを比較して、設定情報間の不整合を検出する構成であってもよい。
設定情報取得手段が、管理者によって設定情報を入力されることによって設定情報を取得する構成であってもよい。
設定情報取得手段が、セキュリティ機器が保持している設定情報をセキュリティ機器から収集することによって設定情報を取得する構成であってもよい。そのような構成によれば、管理者自身が設定情報を入力する必要がないので、管理者の負担が軽減される。
設定情報の収集対象となる機器を備え、その機器が、当該機器のセキュリティ機能の設定情報を抽出し、その設定情報を設定情報取得手段に送信する設定情報送信手段を含む構成であってもよい。そのような構成によれば、管理者自身が設定情報を入力する必要がないので、管理者の負担が軽減される。
設定情報分析手段によって不整合が検出されたときに、当該不整合の種類およびネットワーク構成情報が示す内容に応じて、その不整合の危険度を導出するリスク値計算手段を備えた構成であってもよい。
そのような構成によれば、リスク値計算手段が、不整合の種類およびネットワーク構成情報が示す内容に応じて、その不整合の危険度を導出する。従って、多くの不整合が検出された場合に、管理者は、各不整合についての危険度を把握することができ、多くの不整合の中から危険度の高い不整合から順番に対処を行うことができる。
備えた構成であってもよい。
設定情報分析手段によって不整合が検出されたときに、当該不整合を解消するための設定情報の修正方法を導出する修正方法生成手段を備えた構成であってもよい。
そのような構成によれば、修正方法生成手段が、設定情報分析手段によって不整合が検出されたときに、その不整合を解消するための設定情報の修正方法を導出する。従って、セキュリティ管理者は、自身の経験や知識、あるいは自身が意図する設定状況と照合して、修正を行うかどうかを選択することができる。また、管理者は、その方法によって修正を行えばよいので、管理者の負担が軽減される。
修正方法生成手段によって導出された修正方法を表示して、その修正方法に従って設定情報を修正するか否かの選択を管理者に促す修正選択手段と、管理者によって設定情報を修正すると選択された場合に、その修正方法に従って設定情報を修正する設定情報修正手段とを備えた構成であってもよい。
そのような構成によれば、設定情報修正手段が設定情報を修正するので、管理者は、修正するか否かを選択するだけで、修正自体は行わなくて済む。よって、管理者の負担が軽減される。
複数のセキュリティ機能の設定情報の不整合の種類を導出する規則である設定情報分析規則を、設定情報の組み合わせ毎に記憶する分析規則記憶手段を備え、設定情報分析手段は、不整合検出の対象となる複数の設定情報の組み合わせに応じた設定情報分析規則を分析規則記憶手段から読み込み、当該設定情報分析規則に従って、複数の設定情報の内容およびネットワーク構成情報の内容に応じた不整合を検出する構成であってもよい。
設定情報分析手段によって検出された不整合の種類に応じて設定情報の修正パターンを記述した対処案を導出する規則である対処案生成規則を、複数の設定情報と設定情報分析規則との組み合わせ毎に記憶する対処案生成規則記憶手段を備え、修正方法生成手段は、不整合検出の対象となった複数の設定情報と設定情報分析手段によって読み込まれた設定情報分析規則との組み合わせに応じた対処案生成規則を読込み、当該対処案生成規則に従って、検出された不整合の種類に応じて、不整合検出の対象となった設定情報の修正パターンを含む対処案を特定し、その対処案に含まれる修正パターンに従って設定情報の修正方法を導出する構成であってもよい。
そのような構成によれば、分析規則記憶手段や対処案生成規則記憶手段に新たな設定情報分析規則や新たな対処案生成規則を追加記憶させることにより、ネットワークシステムに新たに追加されたセキュリティ機器のセキュリティ機能の設定についても、不整合を検出したり、修正方法を導出したりすることができる。
分析規則記憶手段が、ファイアウォールの設定情報と侵入検知システムの設定情報との組み合わせに対応する設定情報分析規則であって、管理対象となるネットワークシステムで稼働しているサービスに関係するパケットについて、ファイアウォールの設定情報では通過が許可されているパケットが侵入検知システムの設定情報では監視対象となっていない場合に、通過が許可されて監視が行われるべきパケットに対する監視を行っていない監視漏れ不整合が生じていて、ファイアウォールの設定情報では通過が禁止されているパケットが侵入検知システムの設定情報では監視対象となっている場合に、通過が許可されて監視が行われるべきパケットに対して通過が禁止されているフィルタ過剰不整合が生じていて、ファイアウォールの設定情報では通過が禁止されているパケットが侵入検知システムの設定情報では監視対象となっていない場合に、通過が許可されて監視が行われるべきパケットに対して通過が禁止され監視を行っていないフィルタ過剰かつ監視漏れ不整合が生じていて、管理対象となるネットワークシステムで稼働していないサービスに関係するパケットについて、ファイアウォールの設定情報では通過が許可されているパケットが侵入検知システムの設定情報では監視対象となっている場合に、通過が禁止されて監視が行われないべきであるパケットに対して通過が許可され監視が行われているフィルタ漏れかつ監視過剰不整合が生じていて、ファイアウォールの設定情報では通過が許可されているパケットが侵入検知システムの設定情報では監視対象となっていない場合に、通過が禁止されて監視が行われないべきであるパケットに対して通過が許可されているフィルタ漏れ不整合が生じていて、ファイアウォールの設定情報では通過が禁止されているパケットが侵入検知システムの設定情報では監視対象となっている場合に、通過が禁止されて監視が行われないべきであるパケットに対して監視が行われている監視過剰不整合が生じていると定めた設定情報分析規則を記憶し、設定情報分析手段が、設定情報分析規則を読込み、ファイアウォールの設定情報と侵入検知システムの設定情報とを比較し、ネットワーク構成情報の内容を参照して、設定情報分析規則に従って、通過が許可されて監視が行われるべきパケットが、ファイアウォールの設定情報では通過が許可されて侵入検知システムの設定情報では監視対象となっていない場合には、監視漏れ不整合を検出し、当該監視漏れ不整合の原因となる侵入検知システムの設定情報の記述箇所を特定し、通過が許可されて監視が行われるべきパケットが、ファイアウォールの設定情報では通過が禁止されて侵入検知システムの設定情報では監視対象となっている場合には、フィルタ過剰不整合を検出し、当該フィルタ過剰不整合の原因となるファイアウォールの設定情報の記述箇所を特定し、通過が許可されて監視が行われるべきパケットが、ファイアウォールの設定情報では通過が禁止されて侵入検知システムの設定情報では監視対象となっていない場合に、フィルタ過剰かつ監視漏れ不整合を検出し、当該フィルタ過剰不整合の原因となるファイアウォールの設定情報の記述箇所と、当該監視漏れ不整合の原因となる侵入検知システムの設定情報の記述箇所とを特定し、通過が禁止されて監視が行われないべきであるパケットが、ファイアウォールの設定情報では通過が許可されて侵入検知システムの設定情報では監視対象となっている場合に、フィルタ漏れかつ監視過剰不整合を検出し、当該フィルタ漏れ不整合の原因となるファイアウォールの設定情報の記述箇所と、当該監視過剰不整合の原因となる侵入検知システムの設定情報の記述箇所とを特定し、通過が禁止されて監視が行われないべきであるパケットが、ファイアウォールの設定情報では通過が許可されて侵入検知システムの設定情報では監視対象となっていない場合に、フィルタ漏れ不整合を検出し、当該フィルタ漏れ不整合の原因となるファイアウォールの設定情報の記述箇所を特定し、通過が禁止されて監視が行われないべきであるパケットが、ファイアウォールの設定情報では通過が禁止されてパケットが侵入検知システムの設定情報では監視対象となっている場合に、監視過剰不整合を検出し、当該監視過剰不整合の原因となる侵入検知システムの設定情報の記述箇所を特定し、対処案生成規則記憶手段が、ファイアウォールの設定情報と侵入検知システムの設定情報と設定情報分析規則との組み合わせに対応する対処案生成規則であって、監視漏れ不整合に対応する侵入検知システムの設定情報の修正パターンを定め、フィルタ過剰不整合に対応するファイアウォールの設定情報の修正パターンを定め、監視過剰不整合に対応する侵入検知システムの設定情報の修正パターンを定め、フィルタ漏れ不整合に対応するファイアウォールの設定情報の修正パターンを定めた対処案生成規則を記憶し、修正方法生成手段が、監視漏れ不整合が検出された場合には、監視漏れ不整合に対応する侵入検知システムの設定情報の修正パターンに従って、監視漏れ不整合の原因となる侵入検知システムの設定情報の記述箇所に基づいて、侵入検知システムの設定情報の修正方法を生成し、フィルタ過剰不整合が検出された場合には、フィルタ過剰不整合に対応するファイアウォールの設定情報の修正パターンに従って、フィルタ過剰不整合の原因となるファイアウォールの設定情報の記述箇所に基づいて、ファイアウォールの設定情報の修正方法を生成し、監視過剰不整合が検出された場合には、監視過剰不整合に対応する侵入検知システムの設定情報の修正パターンに従って、監視過剰不整合の原因となる侵入検知システムの設定情報の記述箇所に基づいて、侵入検知システムの設定情報の修正方法を生成し、フィルタ漏れ不整合が検出された場合には、フィルタ漏れ不整合に対応するファイアウォールの設定情報の修正パターンに従って、フィルタ漏れ不整合の原因となるファイアウォールの設定情報の記述箇所に基づいて、ファイアウォールの設定情報の修正方法を生成する構成であってもよい。
そのような構成によれば、管理対象となるネットワークシステムで稼働しているサービスの稼働状況に応じて、ファイアウォールの設定情報と侵入検知システムの設定情報との不整合を検出し、その検出結果に対応する修正方法を生成することができる。
対処案生成規則記憶手段が、フィルタ過剰不整合に対応するファイアウォールの設定情報の修正パターンとして、不整合原因となったファイアウォールの設定情報の記述箇所より優先順位が高い記述であってパケットの通過を許可する記述を挿入する旨の修正パターンを定め、フィルタ漏れ不整合に対応するファイアウォールの設定情報の修正パターンとして、不整合原因となったファイアウォールの設定情報の記述箇所より優先順位が高い記述であってパケットの通過を禁止する記述を挿入する旨の修正パターンを定めた対処案生成規則を記憶し、修正方法生成手段が、フィルタ過剰不整合が検出された場合には、フィルタ過剰不整合に対応する修正パターンに従って、フィルタ過剰不整合の原因として特定されたファイアウォールの設定情報の記述箇所より優先順位が高い記述であって侵入検知システムが監視対象としているパケットのポート番号、およびそのポート番号を使用するサービスが稼動しているサーバのＩＰアドレスを有するパケットの通過を許可する記述を挿入するという修正方法を生成し、フィルタ漏れ不整合が検出された場合には、フィルタ漏れ不整合に対応する修正パターンに従って、フィルタ漏れ不整合の原因として特定されたファイアウォールの設定情報の記述箇所より優先順位が高い記述であって侵入検知システムが監視対象としていないパケットのポート番号を有するパケットの通過を禁止する記述を挿入するという修正方法を生成する構成であってもよい。
そのような構成によれば、ファイアウォールおよび侵入検知システムの設定で、ポート番号に関して不整合が生じている場合、ファイアウォールの設定の修正方法として、不整合が生じたポート番号に関連するサービスが稼動しているサーバのＩＰアドレスとそのポート番号に関する設定のみを変更する修正方法を生成できる。また、その結果、不整合が生じていないポート番号や、不整合が生じているポート番号に関連するサービスが稼動していないサーバに関する設定については修正されないので、新たな不整合を生じさせたり、修正の結果、ネットワークシステムの運用に支障をきたすおそれがない。
また、本発明によるセキュリティポリシー不整合解消支援方法は、ネットワーク構成情報入力手段が、ネットワークシステム内のファイアウォールとセグメントとの接続関係、ネットワークシステム内の侵入検知システムと当該侵入検知システムが配置されているセグメントとの関係、ネットワークシステム内の機器とセグメントとの接続関係、および、ネットワークシステム内の機器と当該機器が提供するサービスで使用するポート番号との対応関係を示すネットワーク構成情報を入力し、設定情報分析手段が、ネットワーク構成情報に基づいて、侵入検知システムが配置されているセグメントを特定し、ネットワークシステムが備えるセキュリティ機器の複数種類のセキュリティ機能の設定を定めた各セキュリティ機能の設定情報のうち、その侵入検知システムとは異なるファイアウォールの設定情報であって、セグメント間で送受信されるパケットの通過を許可するか禁止するかをポート番号に応じて定めたファイアウォールの設定情報から、その侵入検知システムが配置されているセグメントに関する記述箇所を抽出し、当該記述箇所と、ポート番号に応じてパケットを監視するか否かを定めたその侵入検知システムの設定情報とを比較して、設定情報間の不整合を検出することを特徴とする。
また、本発明によるセキュリティポリシー不整合解消支援方法は、ネットワーク構成情報記憶手段が、ネットワークシステム内のファイアウォールとセグメントとの接続関係、ネットワークシステム内の侵入検知システムと当該侵入検知システムが配置されているセグメントとの関係、ネットワークシステム内の機器とセグメントとの接続関係、および、ネットワークシステム内の機器と当該機器が提供するサービスで使用するポート番号との対応関係を示すネットワーク構成情報を記憶し、設定情報分析手段が、ネットワーク構成情報記憶手段に記憶されるネットワーク構成情報に基づいて、侵入検知システムが配置されているセグメントを特定し、ネットワークシステムが備えるセキュリティ機器の複数種類のセキュリティ機能の設定を定めた各セキュリティ機能の設定情報のうち、その侵入検知システムとは異なるファイアウォールの設定情報であって、セグメント間で送受信されるパケットの通過を許可するか禁止するかをポート番号に応じて定めたファイアウォールの設定情報から、その侵入検知システムが配置されているセグメントに関する記述箇所を抽出し、当該記述箇所と、ポート番号に応じてパケットを監視するか否かを定めたその侵入検知システムの設定情報とを比較して、設定情報間の不整合を検出することを特徴とする。
設定情報記憶手段が、各セキュリティ機能の設定情報を記憶し、設定情報分析手段が、ネットワーク構成情報に基づいて、侵入検知システムが配置されているセグメントを特定し、設定情報記憶手段に記憶された各セキュリティ機能の設定情報のうち、その侵入検知システムとは異なるファイアウォールの設定情報であって、セグメント間で送受信されるパケットの通過を許可するか禁止するかをポート番号に応じて定めたファイアウォールの設定情報から、その侵入検知システムが配置されているセグメントに関する記述箇所を抽出し、当該記述箇所と、ポート番号に応じてパケットを監視するか否かを定めたその侵入検知システムの設定情報とを比較して、設定情報間の不整合を検出する方法であってもよい。
設定情報取得手段が、各セキュリティ機能の設定情報を取得し、設定情報分析手段が、ネットワーク構成情報に基づいて、侵入検知システムが配置されているセグメントを特定し、設定情報取得手段が取得した各セキュリティ機能の設定情報のうち、その侵入検知システムとは異なるファイアウォールの設定情報であって、セグメント間で送受信されるパケットの通過を許可するか禁止するかをポート番号に応じて定めたファイアウォールの設定情報から、その侵入検知システムが配置されているセグメントに関する記述箇所を抽出し、当該記述箇所と、ポート番号に応じてパケットを監視するか否かを定めたその侵入検知システムの設定情報とを比較して、設定情報間の不整合を検出する方法であってもよい。
リスク値計算手段が、設定情報分析手段によって不整合が検出されたときに、当該不整合の種類およびネットワーク構成情報が示す内容に応じて、その不整合の危険度を導出する方法であってもよい。
修正方法生成手段が、設定情報分析手段によって不整合が検出されたときに、当該不整合を解消するための設定情報の修正方法を導出する方法であってもよい。
また、本発明によるセキュリティポリシー不整合解消支援プログラムは、ネットワークシステムが備えるセキュリティ機器の複数種類のセキュリティ機能の設定を定めた各セキュリティ機能の設定情報を記憶する設定情報記憶手段を備えたコンピュータに、ネットワークシステム内のファイアウォールとセグメントとの接続関係、ネットワークシステム内の侵入検知システムと当該侵入検知システムが配置されているセグメントとの関係、ネットワークシステム内の機器とセグメントとの接続関係、および、ネットワークシステム内の機器と当該機器が提供するサービスで使用するポート番号との対応関係を示すネットワーク構成情報を入力するネットワーク構成情報入力処理、およびネットワーク構成情報に基づいて、侵入検知システムが配置されているセグメントを特定し、各セキュリティ機能の設定情報のうち、その侵入検知システムとは異なるファイアウォールの設定情報であって、セグメント間で送受信されるパケットの通過を許可するか禁止するかをポート番号に応じて定めたファイアウォールの設定情報から、その侵入検知システムが配置されているセグメントに関する記述箇所を抽出し、当該記述箇所と、ポート番号に応じてパケットを監視するか否かを定めたその侵入検知システムの設定情報とを比較して、設定情報間の不整合を検出する設定情報分析処理を実行させることを特徴とする。
また、本発明によるセキュリティポリシー不整合解消支援プログラムは、ネットワークシステム内のファイアウォールとセグメントとの接続関係、ネットワークシステム内の侵入検知システムと当該侵入検知システムが配置されているセグメントとの関係、ネットワークシステム内の機器とセグメントとの接続関係、および、ネットワークシステム内の機器と当該機器が提供するサービスで使用するポート番号との対応関係を示すネットワーク構成情報を記憶するネットワーク構成情報記憶手段を備えたコンピュータに、ネットワーク構成情報記憶手段に記憶されるネットワーク構成情報に基づいて、侵入検知システムが配置されているセグメントを特定し、ネットワークシステムが備えるセキュリティ機器の複数種類のセキュリティ機能の設定を定めた各セキュリティ機能の設定情報のうち、その侵入検知システムとは異なるファイアウォールの設定情報であって、セグメント間で送受信されるパケットの通過を許可するか禁止するかをポート番号に応じて定めたファイアウォールの設定情報から、その侵入検知システムが配置されているセグメントに関する記述箇所を抽出し、当該記述箇所と、ポート番号に応じてパケットを監視するか否かを定めたその侵入検知システムの設定情報とを比較して、設定情報間の不整合を検出する設定情報分析処理を実行させることを特徴とする。
また、本発明によるセキュリティポリシー不整合解消支援プログラムは、ネットワークシステムが備えるセキュリティ機器の複数種類のセキュリティ機能の設定を定めた各セキュリティ機能の設定情報を記憶する設定情報記憶手段と、ネットワークシステム内のファイアウォールとセグメントとの接続関係、ネットワークシステム内の侵入検知システムと当該侵入検知システムが配置されているセグメントとの関係、ネットワークシステム内の機器とセグメントとの接続関係、および、ネットワークシステム内の機器と当該機器が提供するサービスで使用するポート番号との対応関係を示すネットワーク構成情報を記憶するネットワーク構成情報記憶手段とを備えたコンピュータに、ネットワーク構成情報記憶手段に記憶されるネットワーク構成情報に基づいて、侵入検知システムが配置されているセグメントを特定し、各セキュリティ機能の設定情報のうち、その侵入検知システムとは異なるファイアウォールの設定情報であって、セグメント間で送受信されるパケットの通過を許可するか禁止するかをポート番号に応じて定めたファイアウォールの設定情報から、その侵入検知システムが配置されているセグメントに関する記述箇所を抽出し、当該記述箇所と、ポート番号に応じてパケットを監視するか否かを定めたその侵入検知システムの設定情報とを比較して、設定情報間の不整合を検出する設定情報分析処理を実行させることを特徴とする。
また、本発明によるセキュリティポリシー不整合解消支援プログラムは、コンピュータに、ネットワークシステム内のファイアウォールとセグメントとの接続関係、ネットワークシステム内の侵入検知システムと当該侵入検知システムが配置されているセグメントとの関係、ネットワークシステム内の機器とセグメントとの接続関係、および、ネットワークシステム内の機器と当該機器が提供するサービスで使用するポート番号との対応関係を示すネットワーク構成情報を入力するネットワーク構成情報入力処理、およびネットワーク構成情報に基づいて、侵入検知システムが配置されているセグメントを特定し、ネットワークシステムが備えるセキュリティ機器の複数種類のセキュリティ機能の設定を定めた各セキュリティ機能の設定情報のうち、その侵入検知システムとは異なるファイアウォールの設定情報であって、セグメント間で送受信されるパケットの通過を許可するか禁止するかをポート番号に応じて定めたファイアウォールの設定情報から、その侵入検知システムが配置されているセグメントに関する記述箇所を抽出し、当該記述箇所と、ポート番号に応じてパケットを監視するか否かを定めたその侵入検知システムの設定情報とを比較して、設定情報間の不整合を検出する設定情報分析処理を実行させることを特徴とする。
コンピュータに、設定情報分析処理で不整合が検出されたときに、当該不整合の種類およびネットワーク構成情報が示す内容に応じて、その不整合の危険度を導出するリスク値計算処理を実行させるプログラムであってもよい。
コンピュータに、設定情報分析処理で不整合が検出されたときに、当該不整合を解消するための設定情報の修正方法を導出する修正方法生成処理を実行させるプログラムであってもよい。
本発明によれば、ネットワークや機器等の接続関係が複雑になる場合であっても、セキュリティ機能の設定の不整合を適切に検出することができる。
以下、本発明の実施の形態を図面を参照して説明する。
実施の形態１．
図１は、本発明によるセキュリティポリシー不整合解消支援システムの第１の実施の形態を示すブロック図である。図１に示すセキュリティポリシー不整合解消支援システムは、プログラムに従って動作するコンピュータであるデータ処理装置１００と、ネットワーク構成情報入力手段１１０と、設定情報入力手段１１５と、情報を出力する出力手段２００とを備えている。また、データ処理装置１００は、設定情報分析手段１２０と、分析方式データベース（以下、分析方式ＤＢと記す。）１３０とを含む。設定情報分析手段１２０は、例えば、プログラムに従って動作するＣＰＵによって実現される。
出力手段２００は、例えば、ディスプレイ装置等の出力装置である。
設定情報入力手段１１５には、複数のセキュリティ機能の設定情報が入力される。例えば、複数のセキュリティ機器（図１において図示せず。）の設定情報がそれぞれ入力される。設定情報は、セキュリティ機能に関する設定内容を示す情報である。例えば、設定情報の例として、どのようなパケットを通過させ、どのようなパケットを通過させないようにするかを示すファイアウォールの設定情報が挙げられる。また、例えば、どのようなポートを監視するかを示す侵入検知システムの設定情報が挙げられる。設定情報は、例えば、複数のルールからなる。
セキュリティ機器は、例えば、ある組織が利用するネットワークシステム（図示せず。）の構成要素となる機器のうち、セキュリティ機能を有する機器である。このネットワークシステムは、セキュリティ管理者（ネットワークシステムのセキュリティ管理を行う者）の管理対象となる。以下、説明を簡単にするため、管理対象となるネットワークシステムには、二つ以上のセキュリティ機器が含まれ、そのセキュリティ機器の設定情報がそれぞれ設定情報入力手段１１５に入力されるものとして説明する。
ネットワーク構成情報入力手段１１０には、管理対象となるネットワークシステムのネットワーク構成情報が入力される。ネットワーク構成情報は、ネットワークシステムに含まれるネットワークとネットワーク、ネットワークと機器、機器と機器の接続関係のうちの少なくとも一部を含む情報である。また、ネットワーク構成情報には、稼働サービス（ネットワークシステムに含まれる機器（例えば、各種サーバ）によって提供されるサービス）の種類の情報も含まれる。稼働サービスの種類とは、より具体的には、稼働サービスで使用しているポートの種類である。後述するように、ネットワーク構成情報には、各サーバと、稼働サービスで使用しているポートの種類との対応関係が示される。その結果、ネットワーク構成情報から、各種稼働サービスの数をカウントすることができる。
ネットワーク構成情報入力手段１１０および設定情報入力手段１１５は、例えば、キーボードやマウスなどの入力装置によって実現される。ネットワーク構成情報入力手段１１０および設定情報入力手段１１５は、共通のキーボードやマウスによって実現されていてもよい。
分析方式ＤＢ１３０は、設定情報分析アルゴリズム（設定情報分析規則）を記憶する。設定情報分析アルゴリズムは、複数のセキュリティ機能の設定情報の不整合の種類を導出する規則である。例えば、設定情報分析アルゴリズムは、条件とその条件が満たされた場合の不整合の種類の組み合わせを示す情報として記述される。条件としては、例えば、複数の設定情報が示す設定内容、および管理対象となるネットワークシステムに属する機器によるサービスの稼働状況の関係が記述される。そのような設定情報分析アルゴリズムの場合、入力された各設定情報の内容とネットワーク構成情報が示すネットワークシステムの構成（ネットワーク構成情報から導かれるサービスの稼働状況）が条件を満足するときには、その条件と対になる結論として記述された不整合の種類が導出されることになる。設定情報分析アルゴリズムの具体例については、図８を用いて後述する。設定情報分析アルゴリズムは、設定情報分析手段１２０が分析を行う際に分析方式ＤＢ１３０から読み込まれる。また、分析方式ＤＢ１３０は、ファイアウォールの設定情報と侵入検知システムの設定情報との組み合わせに応じた設定情報分析アルゴリズムや、その他の設定情報の組み合わせに応じた各種設定情報分析アルゴリズムを記憶する。
設定情報分析手段１２０は、設定情報入力手段１１５に入力された設定情報と、ネットワーク構成情報入力手段１１０に入力されたネットワーク構成情報（管理対象ネットワークシステムのネットワーク構成情報）とを受け取り、その設定情報およびネットワーク構成情報に応じて分析処理を実行する。設定情報分析手段１２０は、あるセキュリティ機能の設定情報と、別のセキュリティ機能設定情報（例えば、あるセキュリティ機器の設定情報と、別のセキュリティ機器の設定情報）と、管理対象となるネットワークシステムのネットワーク構成情報を用いて分析処理を行う。「分析」については後述する。
設定情報入力手段１１５には、互いに異なるセキュリティ機能の設定情報（ここでは、互いに異なるセキュリティ機器の設定情報とする。）が入力される。設定情報分析手段１２０は、設定情報入力手段１１５から設定情報を受け取る場合、この互いに異なるセキュリティ機器の設定情報を受け取る。例えば、設定情報分析手段１２０は、ファイアウォールの設定情報と侵入検知システムの設定情報とを受け取る。また、設定情報分析手段１２０は、ネットワーク構成情報入力手段１１０から管理対象のネットワークシステムのネットワーク構成情報を受け取る。例えば、設定情報分析手段１２０は、ファイアウォールとネットワークとの接続関係、侵入検知システムとネットワークとの接続関係、各種サーバ（例えばＷＷＷサーバ等）とネットワークとの接続関係、各サーバと、稼働サービスで使用しているポートの種類との対応関係を含む情報を、ネットワーク構成情報として受け取る。また、設定情報分析手段１２０は、設定情報入力手段１１５から受け取った設定情報の組み合わせに対応する設定情報分析アルゴリズムを分析方式ＤＢ１３０から読み込み、その設定情報分析アルゴリズムに従って分析処理を行う。例えば、上記のようにファイアウォールの設定情報と侵入検知システムの設定情報と、ネットワーク構成情報とを受け取った場合、ファイアウォールの設定情報と侵入検知システムの設定情報の組み合わせに対応する設定情報分析アルゴリズムを読み込み、そのアルゴリズムに従って分析処理を行う。
本発明において、「分析」とは、異なるセキュリティ機能の各設定情報とネットワーク構成情報を参照し、管理対象のネットワークシステムの構成に応じて（換言すれば、管理対象ネットワークシステムに属する機器によるサービスの稼働状況に応じて）、セキュリティ機能の設定情報を個別に参照するだけでは検出不可能な、異なるセキュリティ機能間の設定の不整合検出を行うことである。
具体的な例を説明する。ファイアウォールの設定では、ファイアウォールに接続されている一区切りのネットワーク（以下、セグメントと記す。）間で送受信される各パケットの通過を許可するか禁止するかについての設定がなされている。例えば、ファイアウォールにNetwork-A 、Network-B 、Network-C の三つのセグメントが接続されているとする。この場合、そのファイアウォールでは、３種類のセグメントの組み合わせ（Network-A およびNetwork-B 間、Network-B およびNetwork-C 間、Network-C およびNetwork-A 間）についてのパケットの通過を許可するか禁止するかの設定がなされる。また、Network-B に侵入検知システムが配置されているとすると、ファイアウォールの３種類の設定のうち、Network-B に関係する設定、すなわち、Network-A およびNetwork-B 間、Network-B およびNetwork-C 間についての設定と、Network-B に配置された侵入検知システムの設定を使って分析を行えばよいことになる。
また、ファイアウォールの設定を基準に考えると、ファイアウォールの設定でパケットの通過を許可しているポートについては、侵入検知システムで監視を行うことが望ましい。逆に、侵入検知システムの設定を基準に考えると、侵入検知システムで監視を行っているポートについては、ファイアウォールでパケット通過を許可する必要があると考えられる。さらに、管理対象ネットワークシステム内のサービス稼働状況を考慮すると、実際に稼働しているサービスで使用されているポートについても、同様のことが言える。稼働サービスで使用されていないポートに関しては、ファイアウォールではそのポートのパケット通過を禁止し、かつ、侵入検知システムでは監視を行わないようにすることが必要であると考えられる。
また、ファイアウォールの設定を基準に考えると、ファイアウォールの設定でパケットの通過を禁止しているポートについては、侵入検知システムで監視を行う必要はない。逆に、侵入検知システムの設定を基準に考えると、侵入検知システムで監視を行っていないポートについては、ファイアウォールで通過を禁止する必要があると考えられる。さらに、管理対象ネットワークシステム内のサービス稼働状況を考慮すると、稼働サービスで使用されていないポートについても、同様のことが言える。実際に稼働しているサービスで使用されているポートに関しては、ファイアウォールではそのポートの通過を許可し、かつ、侵入検知システムでは監視を行うことが必要であると考えられる。
設定情報分析手段１２０は、上記の「分析」を行うことにより、例えば、管理対象のネットワークシステムの構成に応じて（管理対象ネットワークシステムに属する機器によるサービスの稼働状況に応じて）、ファイアウォールでパケット通過を許可しているポートについて侵入検知システムで監視していないという不整合（フィルタ漏れ、あるいは監視漏れ）、あるいは、ファイアウォールでパケット通過を禁止しているポートについて侵入検知システムで監視を行っている不整合（フィルタ過剰、あるいは監視過剰）などの不整合検出を行う。
ここで、「フィルタ漏れ」とは、稼働していないサービスで使用されるポート番号またはプロトコルについて、ファイアウォールがパケット通過を許可している状態である。「フィルタ過剰」とは、稼働しているサービスで使用されるポート番号またはプロトコルについて、ファイアウォールがパケット通過を禁止している状態である。「監視漏れ」とは、ファイアウォールでパケット通過を許可しているポートまたはプロトコルについて侵入検知システムが監視していない状態、あるいは、稼働しているサービスで使用されるポート番号またはプロトコルについて侵入検知システムが監視していない状態である。「監視過剰」とは、ファイアウォールでパケット通過を禁止しているポートまたはプロトコルについて侵入検知システムが監視を行っている状態、あるいは、稼働していないサービスで使用されるポート番号またはプロトコルについて侵入検知システムが監視を行っている状態である。
分析は、予め定められた分析方法に従って実行される。例えば、設定情報分析アルゴリズムは、入力された各設定情報とネットワーク構成情報の示す内容がある条件を満足するときに、その条件に応じた不整合の種類を特定するように予め記述され、分析方式ＤＢ１３０に記憶されている。設定情報分析手段１２０は、その設定情報分析アルゴリズムに従って分析処理を行う。分析方法の例としては、例えば、「ファイアウォールの設定情報と侵入検知システムの設定情報とネットワーク構成情報の間で、ポート番号の設定について不整合があるかどうかを確認する」などの分析方法が挙げられる。このような分析方法に応じて予め作成された設定情報分析アルゴリズムに従って、設定情報分析手段１２０は、「セグメント内で、あるポートに関係するサービスが稼動しており、このポートについて、ファイアウォールでパケット通過を許可しているにも関わらず侵入検知システムで監視していない」、「セグメント内で、あるポートに関係するサービスが稼動しておらず、このポートについて、ファイアウォールでパケット通過を禁止しているにも関わらず侵入検知システムで監視している」などの不整合を検出する。
次に、動作について説明する。
図２は、本実施の形態のセキュリティポリシー不整合解消支援システムの動作の例を示すフローチャートである。データ処理装置１００には、例えばセキュリティ管理者から、設定情報入力手段１１５を介して異なるセキュリティ機能の複数のセキュリティ機器の設定情報が入力される。また、同様に、例えばセキュリティ管理者から、ネットワーク構成情報入力手段１１０を介して管理対象のネットワークシステムのネットワーク構成情報が入力される（ステップＡ１）。ステップＡ１において複数のセキュリティ機能の設定情報と、ネットワーク構成情報が入力されると、設定情報分析手段１２０は、それら複数のセキュリティ機能の設定情報の組み合わせに応じた設定情報分析アルゴリズムを分析方式ＤＢ１３０から読み込む（ステップＡ２）。
続いて、設定情報分析手段１２０は、ステップＡ２で検索された設定情報分析アルゴリズムに従って、ステップＡ１で入力されたネットワーク構成情報に応じて、セキュリティ設定情報から分析に必要な箇所を抽出する（ステップＡ３）。
次に、設定情報分析手段１２０は、ステップＡ２で検索された設定情報分析アルゴリズムに従って、ステップＡ３で抽出されたセキュリティ機器の設定情報の分析を行う。すなわち、複数のセキュリティ機能の設定情報間の不整合の検出を行う（ステップＡ４）。ステップＡ４では、設定情報分析手段１２０は、各設定情報（より具体的には、各設定情報から抽出した箇所の内容）およびネットワーク構成情報の内容が設定情報分析アルゴリズムに記述された条件を満たしている場合には、その条件と対になる結論として記述された不整合が生じていると判断して、不整合を検出する。条件と対になる結論として、不整合の種類が記述されているので、設定情報分析手段１２０は、どのような種類の不整合が生じているのかを検出することができる。また、各設定情報が設定情報分析アルゴリズムに記述されたいずれの条件も満たしていない場合には、不整合が生じていない（不整合が検出されない）と判断すればよい。
ステップＡ４の後、設定情報分析手段１２０は、不整合を検出したか否かを判定する（ステップＡ５）。ステップＡ４の処理において不整合が検出されなかった場合は（ステップＡ５のＮＯ）、設定情報分析手段１２０は、その旨のメッセージを出力手段２００を介して出力して（例えば、出力手段２００に表示させて）処理を終了する。なお、図２において、このメッセージ出力処理のステップの図示は省略している。
ステップＡ４の処理において不整合が検出された場合は（ステップＡ５のＹＥＳ）、設定情報分析手段１２０は、不整合検出結果を生成する（ステップＡ６）。不整合検出結果（分析結果）には、例えば、不整合の種類、不整合となる各設定情報の設定内容が含まれる。また、分析に用いた設定情報分析アルゴリズム名（設定情報分析アルゴリズムの識別情報）、分析対象となった設定情報がどのセキュリティ機能の設定情報であるのか、などの情報が分析結果に付与される。従って、設定情報分析手段１２０は、ステップＡ６において、不整合の種類、不整合となる各設定情報の設定内容をまとめた情報を作成して、不整合検出結果とすればよい。また、設定情報分析アルゴリズム名、分析対象となった設定情報がどのセキュリティ機能の設定情報であるのか等を不整合検出結果に付加してもよい。
設定情報分析手段１２０は、ステップＡ６で生成された不整合検出結果を出力手段２００を介して出力して（例えば、出力手段２００に表示させて）処理を終了する（ステップＡ７）。
次に、分析の具体例について説明する。ここでは、分析の具体例として、ファイアウォールの設定と侵入検知システムの設定との不整合検出を行う場合について説明する。
ファイアウォールは、組織内のコンピュータネットワークに対する外部からの侵入を防ぐシステムであり、設定情報として複数のフィルタリングルールが設定される。各ルールでは、データパケットに関するいくつかの要素が予め定義される（要素が予め定められる）。また、その要素に合致するデータパケットが送信されてきたときに、そのデータパケットを通過させるか、通過させないかを示す情報もルールに記述される。ファイアウォールは、送信されてきたデータパケットを通過させるか通過させないかを、このルールに従って決定する。なお、要素としては、データパケットの送信元や宛先のＩＰアドレスやポート等がある。複数のルールを設定しておくことで、ある送信元から送られるデータパケットの通過を許可したり、別の送信元から送られるデータパケットの通過を拒否したりすることが可能である。また、各ルールは、順序付けられていて、ファイアウォールは、優先順位の高いルールから参照して、データパケットを通過させるか否かを決定する。すなわち、データパケットが到着した際、優先順位の高いルールから順に、データパケット（送信されてきたデータパケット）の要素と、ルール内に記述された要素とが合致するか否か評価される。要素が合致するならば、そのルールの記述に従って、データパケットを通過させるか否かを決定する。合致しなければ、次の優先順位のルールを用いて同様の評価を行うことを繰り返す。
また、各ルールの要素として、データパケットの送信元や宛先のＩＰアドレスの代わりに、データパケットがファイアウォールを通過する場合におけるファイアウォールのインタフェースであって、データパケットが送られてくるインタフェースと、データパケットを送り出すインタフェースを、データパケットの送信先や宛先として記述することもできる。
また、侵入検知システムは、通信回線を監視し、ネットワークへの侵入を検知して管理者に通報するシステムであり、設定情報としてシグネチャの選択が設定される。シグネチャとは、不正アクセスでよく用いられる手段をパターン化したものであり、一般的に一つのパターンは一つのシグネチャとして管理される。侵入検知システムは、ネットワーク上を流れるパケットをキャプチャし、シグネチャと比較することで不正アクセスを検知する。
図３は、管理対象のネットワークの構成例を示す説明図である。なお、図３では、サーバ等の装置名をかっこ書きで示している。管理対象となるネットワークシステムは、ＤＭＺ（DeMilitarized Zone）セグメント５３と、ＬＡＮセグメント５２と、ファイアウォールfw0 とを含んでいる。ファイアウォールfw0 は、ＤＭＺセグメント５３およびＬＡＮセグメント５２を、外部ネットワークであるInternetセグメント５１から隔てている。すなわち、ファイアウォールfw0 には、Internetセグメント５１、ＤＭＺセグメント５３、ＬＡＮセグメント５２の三つのセグメントが接続されている。また、侵入検知システムids0がＤＭＺセグメント５３内に接続されている（侵入検知システムids0がＤＭＺセグメント５３に配置されていている。）。そして、侵入検知システムids0は、ＤＭＺセグメント５３上を通過するパケットを監視する。さらに、ＤＭＺセグメント５３内には、ＷＷＷサーバとＳＭＴＰ（Simple Mail Transfer Protocol ）サーバが接続されている（ＤＭＺセグメント５３にＷＷＷサーバとＳＭＴＰサーバが配置されている。）。また、ＬＡＮセグメント５２内にはＬＡＮ＿ＰＯＰサーバが接続されている（ＬＡＮセグメント５２にＬＡＮ＿ＰＯＰサーバが配置されている）。また、ＷＷＷサーバ上では80/tcpポートを用いるＨＴＴＰサービスが稼働しているものとする。ＳＭＴＰサーバ上では25/tcpポートを用いるＳＭＴＰサービスが稼働しているものとする。ＬＡＮ＿ＰＯＰサーバ上では、 110/tcpポートを用いるＰＯＰ３（Post Office Protocol version3 ）が稼働しているものとする。
図４は、図３に例示したネットワーク構成を表したネットワーク構成情報の一例である。図４に示す例では、ネットワーク構成情報は、セグメント情報と、ファイアウォール情報と、侵入検知システム情報と、サーバ情報とを含んでいる。セグメント情報では、各セグメントのセグメント名とそのセグメントのネットワークアドレスが記述されている。ファイアウォール情報では、ファイアウォール名とそのファイアウォールが接続されている各セグメントのセグメント名、各セグメントに対するネットワークインタフェース名とそのＩＰアドレスが記述されている。ファイアウォール情報のうち、ファイアウォールが接続されている各セグメントのセグメント名、各セグメントに対するネットワークインタフェース名とそのＩＰアドレスとを対応づけた部分を、ファイアウォール位置情報と記すことにする。侵入検知システム情報では、侵入検知システム名とその侵入検知システムが接続（配置）されているセグメント名が記述されている。侵入検知システム情報において、侵入検知システムが接続（配置）されているセグメント名が記述されている箇所を、侵入検知システム位置情報と記すことにする。サーバ情報では、サーバ名とそのサーバが接続（配置）されているセグメント名、サーバのＩＰアドレス、サーバ上で稼動しているサービスが使用するプロトコルとポート番号が記述されている。
なお、既に説明したように、ファイアウォールのインタフェースは、パケットの送信元や送信先を表す情報として、ファイアウォールのルールに記述することができる。
図４に示すネットワーク構成情報では、ファイアウォールfw0 が、Internetセグメント、ＤＭＺセグメント、およびＬＡＮセグメントに接続されることを示している。また、侵入検知システムids0がＤＭＺセグメント内に接続されていること（ＤＭＺセグメントに配置されていること）を示している。また、ＷＷＷサーバおよびＳＭＴＰサーバがＤＭＺセグメント内に接続されていること（ＤＭＺセグメントに配置されていること）を示している。また、ＬＡＮ＿ＰＯＰサーバがＬＡＮセグメント内に接続されていること（ＬＡＮセグメントに配置されていること）を示している。また、ＷＷＷサーバで稼働するサービスが用いるポートの種類が80/tcpであり、ＳＭＴＰサーバで稼働するサービスが用いるポートの種類が25/tcpであり、ＬＡＮ＿ＰＯＰサーバで稼働するサービスが用いるポートの種類が110/tcp であることを示している。また、このようなネットワーク情報から、各種稼働サービスの数をカウントすることができる。例えば、図４に示す例では、使用するポートの種類が80/tcpである稼働サービスは１つであると判定することができる。仮に、サーバ名が“ＷＷＷ２”であり、そのサーバが使用するポートの種類が80/tcpであるという情報が追加されていたとすると、使用するポートの種類が80/tcpである稼働サービスは２つであると判定されることになる。このように、同じ種類のポートの数の合計が稼働サービスの数となる。
ネットワーク構成情報は、ネットワーク構成情報入力手段１１０を介して入力される。ネットワーク構成情報は管理者が作成してもよいし、ネットワークシステムの資産管理や構成管理を行っている他のシステムの情報を利用してもよい。
図５は、ファイアウォールの設定情報の一例である。図５に示す例では、「プロトコルがｔｃｐで、宛先ポート番号が０番から１０２３番のいずれかであるパケットであって、InternetセグメントからＤＭＺセグメントに送信されるパケットはファイアウォールの通過を許可する」というルール等が設定されている。
図６は、侵入検知システムの設定情報の一例である。図６に示す例では、「プロトコルがｔｃｐで、宛先ポート番号が２５番であるパケットは監視しない」というルール等が設定されている。
また、設定情報に含まれる各ルールには、ルールの識別情報（本例では、番号とする。）が割り当てられている。
なお、図５および図６に示すように、設定情報には、どのセキュリティ機能（セキュリティ機器）に関する設定情報であるのかが記述されている。例えば、図５に例示する設定情報では「ファイアウォール：fw0」という記述があり、この記述により、データ処理装置１００は、入力された設定情報がファイアウォールfw0の設定情報であると判定することができる。同様に、図６に例示する設定情報では、「侵入検知システム：ids0」という記述があり、この記述より、データ処理装置１００は、入力された設定情報が侵入検知システムids0の設定情報であると判定することができる。
ステップＡ１（図２参照。）において、図４に例示するネットワーク構成情報がネットワーク構成情報入力手段１１０を介してデータ処理装置１００の設定情報分析手段１２０に入力され、図５および図６に例示する設定情報が設定情報入力手段１１５を介してデータ処理装置１００の設定情報分析手段１２０に入力された場合を例にして説明する。この場合、設定情報分析手段１２０は、入力された設定情報（図５および図６に示す設定情報）の組み合わせに応じた設定情報分析アルゴリズムを分析方式ＤＢ１３０から検索し、分析方式ＤＢ１２０から読み込む（ステップＡ２）。既に説明したように、設定情報には、どのセキュリティ機能（セキュリティ機器）に関する設定情報であるのかが記述されているので、設定情報分析手段１２０は、どのセキュリティ機能（セキュリティ機器）の設定情報が入力されたのかを判定すればよい。本例では、ファイアウォールfw0の設定情報と侵入検知システムids0の設定情報とが入力されたと判定し、設定情報分析手段１２０は、ファイアウォールの設定情報および侵入検知システムの設定情報の組み合わせに応じた設定情報分析アルゴリズムを分析方式ＤＢ１３０から読み込む。そして、ネットワーク構成に応じて、入力された設定情報から分析に必要な箇所を抽出する（ステップＡ３）。
なお、分析方式ＤＢ１３０は、ある設定情報の組み合わせに応じた設定情報分析アルゴリズムを複数種類記憶していてもよい。すると、複数の設定情報分析アルゴリズムが検索されることになる。この場合、設定情報分析手段１２０は、その複数の設定情報分析アルゴリズムについての説明を出力手段２００（例えば、ディスプレイ装置）に表示し、セキュリティ管理者に適切な設定情報分析アルゴリズムの選択を促し、セキュリティ管理者に選択された設定情報分析アルゴリズムを用いて、入力された設定情報を分析すればよい。
後述するように、設定情報分析アルゴリズムには、どの設定情報からルールを抽出するのかが記述されている（図８に示す第２行から第３行参照。）。設定情報分析手段１２０は、ステップＡ３において、設定情報から分析に必要な箇所を抽出する場合、まず設定情報のルールにセグメントの記述があるか否かを判定する。設定情報のルールにセグメントの記述があれば、設定情報分析手段１２０は、設定情報分析アルゴリズムに記述された「どの設定情報からルールを抽出するのか」を示す指示に応じて、その設定情報からルールを抽出する。例えば、図５に例示するように、ファイアウォールの設定情報のルールにはセグメントの情報が含まれている。そして、設定情報分析アルゴリズムには、「ファイアウォール設定情報から、侵入検知システムが配置されているセグメントに関係のある設定情報を抽出する」という指示が記述されているとする。この場合、設定情報分析手段１２０は、この指示に従って、図７に示す処理を実行する。また、設定情報のルールにセグメントの記述がなければ、設定情報分析手段１２０は、その設定情報から全てのルールを抽出する。例えば、図６に例示するように、侵入検知システムの設定情報のルールにはセグメントの情報が記述されていない。この場合、設定情報分析手段１２０は、侵入検知システムのルールを全て抽出する。
図７は、設定情報から分析に必要な箇所を抽出する処理（ステップＡ３）の処理経過の例を示すフローチャートである。ただし、図７では、ファイアウォールおよび侵入検知システムの設定不整合を検出する際に、ファイアウォールの設定情報から分析に必要な箇所を抽出する場合の処理経過を示している。また、ステップＡ１で、図４に例示するネットワーク構成情報が入力されているものとする。また、ファイアウォールの設定情報のルールにセグメントの情報が含まれていて、設定情報分析アルゴリズムには、「ファイアウォール設定情報から、侵入検知システムが配置されているセグメントに関係のある設定情報を抽出する」という指示が記述されていることによって、設定情報分析手段１２０は、以下の処理を開始する。
まず、設定情報分析手段１２０は、ネットワーク構成情報に含まれるファイアウォール位置情報から、ファイアウォールが接続されている各セグメントの情報を取得する（ステップＳ１）。本例では、設定情報分析手段１２０は、図４に示すファイアウォール位置情報から、「Internet」、「ＤＭＺ」、「ＬＡＮ」という各セグメントの情報を取得する。
次に、設定情報分析手段１２０は、ステップＳ１で取得したセグメントのうち２つのセグメントを用いた各組み合わせを生成する（ステップＳ２）。例えば、「Internet」および「ＤＭＺ」の組み合わせ、「ＤＭＺ」および「ＬＡＮ」の組み合わせ、「ＬＡＮ」および「Internet」の組み合わせを生成する。次に説明するステップＳ３，Ｓ４において、ファイアウォールの設定情報の各ルールが、この各組み合わせに基づいて分類され、各ルールのグループ分けを行うことになる。
続いて、設定情報分析手段１２０は、ファイアウォールの設定情報に含まれるルールを、ステップＳ２で生成した組み合わせ（２つのセグメントの組み合わせ）のいずれかに対応するルールとして分類し、ファイアウォールの設定情報に含まれるルールのグループ分けを行う（ステップＳ３）。ステップＳ３において、設定情報分析手段１２０は、ルールにおいて記述される送信元および宛先がどのセグメントの組み合わせになっているかを判定し、ステップＳ２で生成した各組み合わせのうち、ルールにおいて記述される送信元および宛先となるセグメントの組み合わせと合致する組み合わせに、そのルールを分類すればよい。例えば、「ＤＭＺ」から「ＬＡＮ」へ送信されるパケットについて通過を許可するかまたは禁止するかを定めたルールに関しては、『「ＤＭＺ」および「ＬＡＮ」の組み合わせのグループ』に分類する。「ＬＡＮ」から「ＤＭＺ」へ送信されるパケットについて通過を許可するかまたは禁止するかを定めたルールを分類する場合にも、『「ＤＭＺ」および「ＬＡＮ」の組み合わせのグループ』に分類する。他のルールに関しても、同様である。
ステップＳ３の後、設定情報分析手段１２０は、ファイアウォールの設定情報に含まれる全てのルールについて分類を終了したか否かを判定する（ステップＳ４）。まだ、分類していないルールが存在するならば（ステップＳ４のＮＯ）、ステップＳ３に移行し、ステップＳ３以降の処理を繰り返す。全てのルールについて分類を終了したならば（ステップＳ４のＹＥＳ）、ステップＳ５に移行する。
ステップＳ５では、設定情報分析手段１２０は、ネットワーク構成情報に含まれる侵入検知システム位置情報を参照して、侵入検知システムが接続されているセグメントを特定する。そして、そのセグメントを含まない組み合わせに分類されたルールを抽出対象から除外し、そのセグメントを含む組み合わせに分類されたルールを抽出対象として、ファイアウォールの設定情報からルールを抽出する（ステップＳ５）。本例では、侵入検知システムが接続されているセグメントは「ＤＭＺ」である（図４に示す侵入検知システム位置情報参照。）。従って、設定情報分析手段１２０は、『「ＬＡＮ」および「Internet」の組み合わせのグループ』に分類されたルールを抽出対象から除外し、『「ＤＭＺ」および「ＬＡＮ」の組み合わせのグループ』、『「Internet」および「ＤＭＺ」の組み合わせのグループ』に分類されたルールを抽出対象として、ファイアウォールの設定情報から抽出する。
ステップＳ５において、侵入検知システムが接続されているセグメントを特定するのは、設定情報分析アルゴリズムにおける「侵入検知システムが配置されているセグメントに関係のある設定情報を抽出する」という記述に基づく。
以上のステップＳ１〜Ｓ５の具体例を説明すると、以下のようになる。図５に例示するファイアウォールの設定情報の内容が設定されているファイアウォールfw0 は、図４に例示するネットワーク構成情報のファイアウォール情報から「Internet」、「ＤＭＺ」、「ＬＡＮ」の３つのセグメントに接続されていると判定される。よって、ファイアウォールの設定情報に含まれるルールは、『「ＤＭＺ」および「ＬＡＮ」の組み合わせのグループ』、『「Internet」および「ＤＭＺ」の組み合わせのグループ』、『「ＬＡＮ」および「Internet」の組み合わせのグループ』に分類される。また、図６に例示された設定情報が設定されている侵入検知システムids0は、図４に例示されたネットワーク構成情報の侵入検知システム情報からＤＭＺセグメントに配置されていることがわかる。従って、設定情報分析手段１２０は、図５に例示するファイアウォールの設定情報から、『「ＤＭＺ」および「ＬＡＮ」の組み合わせのグループ』、『「Internet」および「ＤＭＺ」の組み合わせのグループ』に分類されるフィルタリングルールのみを抽出する。例えば、図５に例示するファイアウォールの設定情報の場合、ルール番号“Ｎｏ．５”の「Internetセグメントから、ＤＭＺセグメントのｔｃｐの０から１０２３番ポートのいずれかに向かうパケットは通過を許可する」というルールは抽出する。しかし、ルール番号“Ｎｏ．２０”の「ＬＡＮセグメントからInternetセグメントのｔｃｐの８０番ポートに向かうパケットは通過を許可する」というルールは抽出しない。
なお、既に説明したように、侵入検知システムのルールには、セグメントの情報が記述されていないので（図６参照。）、設定情報分析手段１２０は、侵入検知システムの設定情報から全てのルールを抽出する。
図８は、分析方式ＤＢ１３０に記憶される設定情報分析アルゴリズムの一例を示す説明図である。設定情報分析アルゴリズムには、どの設定情報の組み合わせに応じた設定情報分析アルゴリズムであるのかが予め記述されている。また、設定情報分析アルゴリズムの識別情報も記述される。図８に示す例では、“（ファイアウォール、侵入検知システム）”という記述があり、ファイアウォールの設定情報および侵入検知システムの設定情報の組み合わせに応じた設定情報分析アルゴリズムであることを示している。また、設定情報分析アルゴリズムの識別情報として“００１”が記述されている。
図８に例示する設定情報分析アルゴリズムでは、「ファイアウォール設定情報から、侵入検知システムが配置されているセグメントに関係のある設定情報を抽出する」という処理を記述している。設定情報分析手段１２０は、この記述に従い、上述の図７に示した処理（ステップＳ１〜Ｓ５）を実行する。
また、図８に例示する設定情報分析アルゴリズムでは、“ファイアウォールで通過を許可しているポート番号およびプロトコルと、侵入検知システムで監視しているポート番号およびプロトコルが同じであり、そのポート番号およびプロトコルを使用するサービスが稼動していない”という条件と、“フィルタ漏れかつ監視過剰”という不整合の種類とを対にして記述している。なお、図８では明示していないが、「ポート番号およびプロトコルを使用するサービスが稼動していない」とは、「ポート番号およびプロトコルを使用するサービスが侵入検知システムが配置されているセグメントで稼動していない」ことを意味する。以下の説明においても同様である。
また、“ファイアウォールで通過を許可しているポート番号およびプロトコルと、侵入検知システムで監視しているポート番号およびプロトコルが同じであり、そのポート番号およびプロトコルを使用するサービスが稼動している”という条件と、「整合」という状態とを対にして記述している。「ポート番号およびプロトコルを使用するサービスが稼動している」とは、「ポート番号およびプロトコルを使用するサービスが侵入検知システムが配置されているセグメントで稼動している」ことを意味する。以下の説明に置いても同様である。
また、“ファイアウォールで通過を許可しているポート番号およびプロトコルと、侵入検知システムで監視していないポート番号およびプロトコルが同じであり、そのポート番号およびプロトコルを使用するサービスが（侵入検知システムが配置されているセグメントで）稼動している”という条件と、“監視漏れ”という不整合の種類とを対にして記述している。同様に、“ファイアウォールで通過を許可しているポート番号およびプロトコルと、侵入検知システムで監視していないポート番号およびプロトコルが同じであり、そのポート番号およびプロトコルを使用するサービスが（侵入検知システムが配置されているセグメントで）稼動していない”という条件と、“フィルタ漏れ”という不整合の種類とを対にして記述している。
また、“ファイアウォールで通過を禁止しているポート番号およびプロトコルと、侵入検知システムで監視していないポート番号およびプロトコルが同じであり、そのポート番号およびプロトコルを使用するサービスが（侵入検知システムが配置されているセグメントで）稼動している”という条件と、“フィルタ過剰かつ監視漏れ”という不整合の種類とを対にして記述している。
また、“ファイアウォールで通過を禁止しているポート番号およびプロトコルと、侵入検知システムで監視していないポート番号およびプロトコルが同じであり、そのポート番号およびプロトコルを使用するサービスが（侵入検知システムが配置されているセグメントで）稼動していない”という条件と、「整合」という状態とを対にして記述している。
また、“ファイアウォールで通過を禁止しているポート番号およびプロトコルと、侵入検知システムで監視しているポート番号およびプロトコルが同じであり、そのポート番号およびプロトコルを使用するサービスが（侵入検知システムが配置されているセグメントで）稼動している”という条件と、“フィルタ過剰”という不整合の種類とを対にして記述している。同様に、“ファイアウォールで通過を禁止しているポート番号およびプロトコルと、侵入検知システムで監視しているポート番号およびプロトコルが同じであり、そのポート番号およびプロトコルを使用するサービスが（侵入検知システムが配置されているセグメントで）稼動していない”という条件と、“監視過剰”という不整合の種類とを対にして記述している。
設定情報分析手段１２０は、設定情報分析アルゴリズムに記述された条件のうち、設定情報およびネットワーク構成情報の内容が満たしている条件と対になる状態を検出する。なお、図９は、図８に示す設定情報分析アルゴリズムにおける条件の内容および検出結果となる状態を表としてまとめた説明図である。
なお、ここでは、「ポート番号が同じ」とは、「宛先（送信先）のポート番号が同じ」ということを意味するものとして説明する。ただし、設定情報分析アルゴリズムに条件として、「送信元ポート番号が同じ」という条件が定められてもよい。
本例では、ファイアウォールの設定情報と侵入検知システムの設定情報、およびネットワーク構成情報が入力されているので、設定情報分析手段１２０は、図８に例示する設定情報分析アルゴリズムを読み込み（ステップＡ２）、図７に示すように、ファイアウォール設定情報から分析に必要なフィルタリングルールを抽出する（ステップＡ３）。
続いて、設定情報分析手段１２０は、ステップＡ３で抽出した箇所（ルール）を分析対象として、設定情報の分析を行う（ステップＡ４）。既に説明したように、ファイアウォールの設定情報では、「InternetセグメントからＤＭＺセグメントへ向かうパケットで、プロトコルがｔｃｐで、宛先ポート番号が０番から１０２３番のいずれかであるパケットはファイアウォールの通過を許可する」というルールが設定されている（図５参照。）。また、侵入検知システムの設定情報では、「プロトコルがｔｃｐで、宛先ポート番号が２５番であるパケットを監視しない」というルールが設定されている（図６参照。）。さらに、ネットワーク構成情報では、「ＤＭＺセグメントにおいて、ＳＭＴＰサーバ上で、25/tcpを使用するサービスが稼動している」ということが記述されている（図４参照。）。従って、設定情報分析手段１２０は、“ファイアウォールで通過を許可しているポート番号（２５番）およびプロトコル（ｔｃｐ）と、侵入検知システムで監視していないポート番号（２５番）およびプロトコル（ｔｃｐ）が同じであり、そのポート番号（２５番）およびプロトコル（ｔｃｐ）を使用するサービスが（侵入検知システムが配置されているＤＭＺセグメントで）稼動している”という条件が成立すると判定し、その条件と対に記述された“監視漏れ”が生じていると判定する。すなわち、設定情報分析手段１２０は、不整合として“監視漏れ”を検出する。また、設定情報分析手段１２０は、各設定情報のどの記述箇所で（各設定情報のどのルールで）不整合が生じているのかも特定する。すなわち、不整合原因の記述箇所を特定する。本例では、InternetセグメントからＤＭＺセグメントに向かう、ポート番号２５番およびプロトコルｔｃｐについて定めたファイアウォールルールの番号は“Ｎｏ．５”であり、ポート番号２５番およびプロトコルｔｃｐについて定めた侵入検知システムのルールの番号は“Ｎｏ．２６”である（図５、図６参照。）。よって、設定情報分析手段１２０は、ファイアウォールの設定情報のルール“Ｎｏ．５”と、侵入検知システムの設定情報のルール“Ｎｏ．２６”との間で、25/tcpポートについて“監視漏れ”が生じていると検出する。
設定情報分析手段１２０は、ファイアウォールの設定情報において通過が許可されているパケットが侵入検知システムの設定情報では監視対象となっており、そのパケットの宛先ポート番号とプロトコルを使用するサービスが稼動していない場合には、そのパケットの通過許可を記述したルールおよびそのパケットを監視しないと記述したルールを不整合原因のルールとして特定する。この場合、“フィルタ漏れかつ監視過剰”が生じていることを検出する。
また、ファイアウォールの設定情報において通過が許可されているパケットが侵入検知システムの設定情報では監視対象となっていない場合には、そのパケットの通過許可を記述したルールおよびそのパケットを監視しないと記述したルールを不整合原因のルールとして特定する。この場合、そのパケットの宛先ポート番号とプロトコルを使用するサービスが稼動しているならば、上述の具体例のように、“監視漏れ”が生じていることを検出する。また、そのパケットの宛先ポート番号とプロトコルを使用するサービスが稼動していないならば、“フィルタ漏れ”が生じていることを検出する。
また、ファイアウォールの設定情報において通過が禁止されているパケットが侵入検知システムの設定情報では監視対象となっておらず、そのパケットの宛先ポート番号とプロトコルを使用するサービスが稼動している場合には、そのパケットの通過禁止を記述したルールおよびそのパケットを監視しないと記述したルールを不整合原因のルールとして特定する。この場合、“フィルタ過剰かつ監視漏れ”が生じていることを検出する。
また、ファイアウォールの設定情報において通過が禁止されているパケットが侵入検知システムの設定情報では監視対象となっている場合には、そのパケットの通過禁止を記述したルールおよびそのパケットを監視すると記述したルールを不整合原因のルールとして特定する。この場合、そのパケットの宛先ポート番号とプロトコルを使用するサービスが稼動しているならば、“フィルタ過剰”が生じていることを検出する。また、そのパケットの宛先ポート番号とプロトコルを使用するサービスが稼動していないならば、“監視過剰”が生じていることを検出する。
また、設定情報分析手段１２０は、ファイアウォールの設定情報において通過が許可されているパケットが侵入検知システムの設定情報では監視対象となっており、そのパケットの宛先ポート番号とプロトコルを使用するサービスが稼動している場合には、不整合が生じていないと判定する。
ファイアウォールの設定情報において通過が禁止されているパケットが侵入検知システムの設定情報では監視対象となっておらず、そのパケットの宛先ポート番号とプロトコルを使用するサービスが稼動していない場合も、同様に、不整合が生じていないと判定する。
ステップＡ４の後、設定情報分析手段１２０は、不整合を検出したか否かを判定する（ステップＡ５）。上述の具体例の場合、ステップＡ４における分析の結果“監視漏れ”が検出されているので（ステップＡ５のＹＥＳ）、設定情報分析手段１２０は、不整合検出結果（分析結果）を生成し（ステップＡ６）、出力手段２００（例えば、ディスプレイ装置）を介して、結果を出力する（ステップＡ７）。なお、不整合を検出しなかった場合（ステップＡ５のＮＯ）、設定情報分析手段１２０は、その旨のメッセージを出力手段２００を介して出力して（例えば、出力手段２００に表示させて）処理を終了する。
図１０は、分析結果の一例を示す説明図である。図１０に示す例では、不整合の種類と、不整合となる各設定情報の設定内容（本例では、“InternetセグメントからＤＭＺセグメントのｔｃｐの０：１０２３番ポートへ向かうパケットは通過を許可する”、“25/tcpへ向かうパケットは監視しない”という設定内容）とを分析結果としている。不整合となる各設定情報の設定内容に共通して記述されたポート番号が、不整合の生じているポート番号である。また、分析に用いた設定情報分析アルゴリズム名（本例では、“００１”）と、分析対象となった設定情報がどのセキュリティ機能（セキュリティ機器）の設定情報であるのかという情報（本例では、ファイアウォールfw0および侵入検知システムids0という情報）が分析結果に付加されている。
セキュリティ管理者は、表示された分析結果を確認することで、設定情報の不整合を把握することができる。その後、設定情報の不整合箇所の設定内容を確認し、修正をセキュリティ管理者が施すことにより不整合を解消することもできる。
また、一般的に、侵入検知システムでは、ポート番号とプロトコルの組み合わせ１つに対して複数のシグネチャが対応することがある。このような場合、侵入検知システムでは個々のシグネチャについて、有効／無効を選択することにより、そのシグネチャが対応するパケットのパターンの監視を行うか行わないかを設定する。このとき、侵入検知システムの設定情報の設定内容としては、あるポート番号とプロトコルの組み合わせを監視するシグネチャについて、（１）すべてのシグネチャが有効、（２）有効なシグネチャと無効なシグネチャが混在、（３）すべてのシグネチャが無効、という３つの状態をとる。
この場合、設定情報分析アルゴリズムにおいて不整合の種類と対になる条件として、シグニチャの状態を定めてもよい。図１１および図１２は、この場合の設定情報分析アルゴリズムの例を示す説明図である。なお、図１２に示す記述は、図１１に示す記述の続きである。
図１１および図１２に例示する設定情報分析アルゴリズムでは、一つのポート番号（p_num とする。）およびプロトコル（protoとする。）について、「ファイアウォールでパケット通過を許可し、侵入検知システムでそのポート番号およびプロトコルに関するシグネチャが全て有効であり、そのポート番号およびプロトコルを使用するサービスが稼働している」という条件と、「整合」という状態とを対にして記述している。
また、「ファイアウォールでパケット通過を許可し、侵入検知システムでそのポート番号およびプロトコルに関するシグネチャが全て有効であり、そのポート番号およびプロトコルを使用するサービスが稼働していない」という条件と、「監視過剰かつフィルタ漏れ」という不整合とを対にして記述している。
また、「ファイアウォールでパケット通過を許可し、侵入検知システムでそのポート番号およびプロトコルに関するシグネチャに有効と無効とが混在し、そのポート番号およびプロトコルを使用するサービスが稼働している」という条件と、「監視漏れ」という不整合とを対にして記述している。
また、「ファイアウォールでパケット通過を許可し、侵入検知システムでそのポート番号およびプロトコルに関するシグネチャに有効と無効とが混在し、そのポート番号およびプロトコルを使用するサービスが稼働していない」という条件と、「監視過剰かつフィルタ漏れ」という不整合とを対にして記述している。
また、「ファイアウォールでパケット通過を許可し、侵入検知システムでそのポート番号およびプロトコルに関するシグネチャが全て無効であり、そのポート番号およびプロトコルを使用するサービスが稼働している」という条件と、「監視漏れ」という不整合とを対にして記述している。
また、「ファイアウォールでパケット通過を許可し、侵入検知システムでそのポート番号およびプロトコルに関するシグネチャが全て無効であり、そのポート番号およびプロトコルを使用するサービスが稼働していない」という条件と、「フィルタ漏れ」という不整合とを対にして記述している。
また、「ファイアウォールでパケット通過を禁止し、侵入検知システムでそのポート番号およびプロトコルに関するシグネチャが全て無効であり、そのポート番号およびプロトコルを使用するサービスが稼働している」という条件と、「監視漏れかつフィルタ過剰」という不整合とを対にして記述している。
また、「ファイアウォールでパケット通過を禁止し、侵入検知システムでそのポート番号およびプロトコルに関するシグネチャが全て無効であり、そのポート番号およびプロトコルを使用するサービスが稼働していない」という条件と、「整合」という状態とを対にして記述している。
また、「ファイアウォールでパケット通過を禁止し、侵入検知システムでそのポート番号およびプロトコルに関するシグネチャに有効と無効とが混在し、そのポート番号およびプロトコルを使用するサービスが稼働している」という条件と、「監視漏れかつフィルタ過剰」という不整合とを対にして記述している。
また、「ファイアウォールでパケット通過を禁止し、侵入検知システムでそのポート番号およびプロトコルに関するシグネチャに有効と無効とが混在し、そのポート番号およびプロトコルを使用するサービスが稼働していない」という条件と、「監視過剰」という不整合とを対にして記述している。
また、「ファイアウォールでパケット通過を禁止し、侵入検知システムでそのポート番号およびプロトコルに関するシグネチャが全て有効であり、そのポート番号およびプロトコルを使用するサービスが稼働している」という条件と、「フィルタ過剰」という不整合とを対にして記述している。
また、「ファイアウォールでパケット通過を禁止し、侵入検知システムでそのポート番号およびプロトコルに関するシグネチャが全て有効であり、そのポート番号およびプロトコルを使用するサービスが稼働していない」という条件と、「監視過剰」という不整合とを対にして記述している。
分析方式ＤＢ１３０は、図１１および図１２に示すような条件を記述した設定情報分析アルゴリズムを記憶していてもよい。図１３は、図１１および図１２に示す設定情報分析アルゴリズムにおける条件の内容および検出結果となる状態を表としてまとめた説明図である。
次に、本実施の形態の効果について説明する。
本実施の形態では、複数の互いに異なるセキュリティ機能の設定情報（例えば、ファイアウォールの設定情報と侵入検知システムの設定情報）の間に存在する不整合を、管理対象のネットワークの構成に応じて（管理対象ネットワークシステムに属する機器によるサービスの稼働状況に応じて）検出することができる。従って、ネットワークや機器等の接続関係が複雑になる場合であっても、セキュリティ機器の設定の不整合を適切に検出することができる。そして、セキュリティ管理者は、自身の経験や知識、あるいは自身が意図する設定状況と照合して、適切な修正を行うことができる。
また、本実施の形態では、設定情報の不整合を管理対象のネットワークの構成に応じて、自動的に導出するため、セキュリティ管理者の負担を大幅に削減することができる。
また、本実施の形態では、不整合の原因となる各設定情報の設定内容（すなわち、不整合が生じている箇所）を出力するため、セキュリティ管理者の負担が大幅に削減される。すなわち、セキュリティ管理者は、人手で設定情報の不整合を検出して、不整合を把握しなくてもよいので、セキュリティ管理者の負担を軽減することができる。
また、本実施の形態では、分析方式ＤＢ１３０に記憶された設定情報分析アルゴリズムを用いて分析を行う。従って、分析方式ＤＢ１３０に新たな設定情報分析アルゴリズムを追加記憶させることで、新たに追加されたセキュリティ機能の設定情報（例えば、新たに追加されたセキュリティ機器の設定情報）についても不整合の検出や不整合箇所の特定を行うことができる。
また、本実施の形態では、各設定情報の内容およびネットワーク構成情報の内容が満足する条件と対になる状態を検出する。従って、いずれの設定情報に誤りがあったとしても、適切に不整合を検出することができる。すなわち、特定の設定情報が正しいということを前提にして特定の設定情報の不整合だけを検出するのではなく、いずれの設定情報に誤りがあったとしても、適切に不整合を検出することができる。
本実施の形態において、設定情報取得手段は、設定情報入力手段１１５によって実現される。分析規則記憶手段は、分析方式ＤＢ１３０によって実現される。
実施の形態２．
図１４は、本発明によるセキュリティポリシー不整合解消支援システムの第２の実施の形態を示すブロック図である。第１の実施の形態と同様の構成部については、図１と同一の符号を付して説明を省略する。また、第１の実施の形態と同様の構成部の動作は、第１の実施の形態と同様である。
第２の実施の形態において、データ処理装置１００は、第１の実施の形態で示した設定情報分析手段１２０、分析方式ＤＢ１３０に加え、リスク値計算手段１４０を含んでいる。リスク値計算手段１４０は、例えば、プログラムに従って動作するＣＰＵによって実現される。
リスク値計算手段１４０は、設定情報分析手段１２０により検出された各不整合について、不整合の内容や不整合の原因となった各セキュリティ機能の設定情報やネットワーク構成情報の内容から不整合の危険度（リスク値）を計算する。危険度（リスク値）は、検出された不整合が管理対象システムに与える脅威を数値化した値である。
次に動作について説明する。
図１５は、本実施の形態のセキュリティポリシー不整合解消支援システムの動作の例を示すフローチャートである。まず、データ処理装置１００には、例えばセキュリティ管理者から、設定情報入力手段１１５を介して異なるセキュリティ機能の複数のセキュリティ機器の設定情報が入力される。また、同様に、例えばセキュリティ管理者から、ネットワーク構成情報入力手段１１０を介して管理対象のネットワークシステムのネットワーク構成情報が入力される（ステップＢ１）。ステップＢ１において複数のセキュリティ機能の設定情報とネットワーク構成情報が入力されると、設定情報分析手段１２０は、それら複数のセキュリティ機器の設定情報の組み合わせに応じた設定情報分析アルゴリズムを分析方式ＤＢ１３０から読み込む（ステップＢ２）。
続いて、設定情報分析手段１２０は、ステップＢ２で検索された設定情報分析アルゴリズムに従って、ステップＢ１で入力されたネットワーク構成情報に応じて、セキュリティ設定情報から分析に必要な箇所を抽出する（ステップＢ３）。
次に、設定情報分析手段１２０は、ステップＢ２で検索された設定情報分析アルゴリズムに従って、ステップＢ３で抽出されたセキュリティ機器の設定情報の分析を行う。すなわち、複数のセキュリティ機能の設定情報間の不整合の検出を行う（ステップＢ４）。ステップＢ４では、設定情報分析手段１２０は、各設定情報（より具体的には、各設定情報から抽出した箇所の内容）およびネットワーク構成情報の内容が設定情報分析アルゴリズムに記述された条件を満たしている場合には、その条件と対になる結論として記述された不整合が生じていると判断して、不整合を検出する。条件と対になる結論として、不整合の種類が記述されているので、設定情報分析手段１２０は、どのような種類の不整合が生じているのかを検出することができる。また、各設定情報が設定情報分析アルゴリズムに記述されたいずれの条件も満たしていない場合には、不整合が生じていない（不整合が検出されない）と判断すればよい。
ステップＢ４の後、設定情報分析手段１２０は、不整合を検出したか否かを判定する（ステップＢ５）。ステップＢ４の処理において不整合が検出されなかった場合は（ステップＢ５のＮＯ）、設定情報分析手段１２０は、その旨のメッセージを出力手段２００を介して出力して（例えば、出力手段２００に表示させて）処理を終了する。なお、図１５において、このメッセージ出力処理のステップの図示は省略している。
ステップＢ４の処理において不整合が検出された場合は（ステップＢ５のＹＥＳ）、設定情報分析手段１２０は、不整合検出結果を生成する（ステップＢ６）。不整合検出結果（分析結果）には、例えば、不整合の種類、不整合となる各設定情報の設定内容が含まれる。また、分析に用いた設定情報分析アルゴリズム名（設定情報分析アルゴリズムの識別情報）、分析対象となった設定情報がどのセキュリティ機能の設定情報であるのか、などの情報が分析結果に付与される。
上述のステップＢ１〜Ｂ６の処理は、第１の実施の形態におけるステップＡ１〜Ａ６の処理と同様である。
リスク値計算手段１４０は、ステップＢ６で生成された不整合検出結果の各不整合について、不整合の内容や不整合の原因となった各セキュリティ機能の設定情報やネットワーク構成情報の内容から不整合の危険度（リスク値）を計算する（ステップＢ７）。
リスク値計算の例について説明する。本例では、図１３に例示した各不整合についてのリスク値計算を行う場合を例にして説明する。図１６は、リスク値の計算例を示す説明図である。
ファイアウォールの設定情報の設定内容と、侵入検知システムの設定情報の設定内容と、ネットワーク構成情報の内容（具体的にはサービスの稼働状況）の組み合わせから定まる不整合の種類に対して危険順位を定めておく。各不整合に対する危険順位、および重み付けの例を図１７に示す。図１７に示す例では、「監視過剰かつフィルタ漏れ」の危険順位を１として最も高く定め、続いて、「フィルタ漏れ」、「監視漏れ」、「監視漏れかつフィルタ過剰」、「フィルタ過剰」、「監視過剰」の順に、危険順位を２，３，４，５，６と定めている。この場合、「監視過剰」の危険順位が最も低くなる。また、各不整合に対する重みｗ（ｃ）も予め定めておく。図１７には、各不整合に対する重みｗ（ｃ）も示している。重みｗ（ｃ）は、危険順位が高いほど大きい値として定められる。図１７に示す例では、「監視過剰かつフィルタ漏れ」の重みｗ（ｃ）を９として最も大きな値に定め、「監視過剰」の重みｗ（ｃ）を１として最も小さな値に定めている。
図１６では、リスク値をＲ（ｃ，ｓ）として表している。“ｃ”は、不整合の種類を示し、“ｓ”は、サービスの種類を示している。リスク値Ｒ（ｃ、ｓ）の値が大きいほど、設定の不整合が管理対象システムに与える悪影響の度合いがより高いことを示す。
図１６に示すように、リスク値Ｒ（ｃ，ｓ）は、以下に示す式によって計算することができる。
Ｒ（ｃ，ｓ）＝ｗ（ｃ）＋ｆｗ（ｓ）・ｆｖ（ｓ） （式１）
式１において、各不整合の種類による重みであるｗ（ｃ）は、上述のように、危険順位が高いほど大きい値になるように各不整合の種類に対して定められている値である。
ｆｗ（ｓ）は、サービスｓが存在する（サービスｓが稼働している）セグメント（Ｎとする。）におけるサービスｓの重要度であり、ｆｖ（ｓ）は、サービスｓの脆弱度である。不整合の種類が同じであっても、サービスの種類（ポート番号とプロトコルの組み合わせの種類）によって、管理対象ネットワークシステム内でのサービスの重要度は異なると考えられる。そこで、本例によるリスク値計算では、「サービスの重要度」を、「そのサービスが存在するセグメントにおけるサービスの重要度」と、「そのサービスの脆弱度」の積と定義する。
この「セグメントにおけるサービスの重要度」であるｆｗ（ｓ）は、以下に示す式によって算出することができる。
ｆｗ（ｓ）＝１＋ｌｏｇ（ｆ（ｓ，Ｎ）＋１） （式２）
式２において、ｆ（ｓ、Ｎ）は、セグメントＮにおけるサービスｓの稼働数である。この稼働数ｆ（ｓ，Ｎ）は、ネットワーク構成情報を参照することによって求めることができる。例えば、リスク値計算手段１４０は、図４に例示するネットワーク構成情報に含まれるサーバ情報を参照して、あるセグメントＮにおけるサービス（例えば、80/tcpを使用するサービス）の数をカウントすることにより、ｆ（ｓ，Ｎ）を求めることができる。「セグメントにおけるサービスｓの重要度ｆｗ（ｓ）」は、そのセグメントの中でのサービスの出現率を意味し、式２は、あるセグメントにおいて多く稼働しているサービスがそのセグメントを特徴付けるサービスである（そのセグメントにおいて重要なサービスである）という考えに基づいている。セグメントの中で、そのサービスｓの稼働数が多いほど「セグメントにおけるサービスｓの重要度ｆｗ（ｓ）」の値は大きくなる。
「サービスの脆弱度ｆｖ（ｓ）」は、以下に示す式によって算出することができる。
ｆｖ（ｓ）＝ｎ（ｓ）／Ｓ （式３）
式３において、Ｓは、全シグネチャ数である。また、ｎ（ｓ）は、サービスｓに属するシグネチャ数である。すなわち、本例では、「サービスの脆弱度ｆｖ（ｓ）」を、侵入検知システムにおける全シグネチャ数に対するそのサービスｓのシグネチャ数の割合として表している。「サービスの脆弱度」は、ウィルスやワーム、不正アクセス等の攻撃によるサービスの狙われ易さを意味している。式３は、侵入検知システムにおいて、あるサービスに関するシグネチャの数が多いほどそのサービスは脆弱であるという考えに基づいている。サービスに関連するシグネチャの数が多いほど「サービスの脆弱度ｆｖ（ｓ）」の値は大きくなる。
式１、式２、および式３により、リスク値Ｒ（ｃ，ｓ）は、以下の式で表すことができ、リスク値計算手段１４０は、以下の式により不整合の危険度（リスク値）を計算すればよい。
Ｒ（ｃ，ｓ）
＝ｗ（ｃ）＋｛１＋ｌｏｇ（ｆ（ｓ，Ｎ）＋１）｝・｛ｎ（ｓ）／Ｓ｝ 式４
次に、リスク値計算手段１４０は、ステップＢ６で生成された不整合検出結果に対して、ステップＢ７で算出したリスク値をそれぞれ付与し、出力手段２００を介して出力して（例えば、出力手段２００に表示させて）処理を終了する（ステップＢ８）。
また、リスク値計算方法（式４に例示するようなリスク値計算式）を複数種類用意する場合には、設定情報分析手段１２０に対応する分析方式ＤＢ１３０と同様に、リスク値計算手段１４０に対してリスク値計算方式ＤＢを設けるようにしてもよい。そして、リスク値計算方式ＤＢに複数種類のリスク値計算式を記憶させておいてもよい。このとき、不整合の種類およびサービスの種類（ポート番号およびプロトコルの組み合わせの種類）とリスク値計算式を対応付けておき、不整合やサービスに応じたリスク値計算式をリスク値計算方式ＤＢから読み出せるようにしておけばよい。
上記のステップＢ１〜Ｂ６の各処理は、第１の実施の形態におけるステップＡ１〜Ａ６の各処理と同様の処理である。
次に、本実施の形態の効果について説明する。
本実施の形態でも、第１の実施の形態と同様の効果が得られる。また、本実施の形態では、設定情報分析手段１２０によって検出された各不整合について、リスク値計算手段１４０がリスク値を付与する。従って、セキュリティ管理者は、複数検出された不整合について、それぞれの不整合の危険度、不整合を解消するための対処の緊急度を自動的に得ることができる。また、より危険度の高い、緊急度の高い不整合から対応を行うことができる。
第２の実施の形態において、設定情報取得手段は、設定情報入力手段１１５によって実現される。分析規則記憶手段は、分析方式ＤＢ１３０によって実現される。
実施の形態３．
図１８は、本発明によるセキュリティポリシー不整合解消支援システムの第３の実施の形態を示すブロック図である。第１の実施の形態と同様の構成部については、図１と同一の符号を付して説明を省略する。また、第１の実施の形態と同様の構成部の動作は、第１の実施の形態と同様である。
第３の実施の形態において、データ処理装置１００は、第１の実施の形態で示した設定情報分析手段１２０、分析方式ＤＢ１３０に加え、対処案生成手段１５０、対処案生成方式データベース（以下、対処案生成方式ＤＢと記す。）１６０を含んでいる。対処案生成手段１５０は、例えば、プログラムに従って動作するＣＰＵによって実現される。
対処案生成方式ＤＢ１６０は、対処案生成アルゴリズム（対処案生成規則）を記憶する。対処案生成アルゴリズムは、複数のセキュリティ機能の設定情報の不整合を解消するための対処案を導出する規則である。例えば、対処案生成アルゴリズムは、条件とその条件が満たされた場合の対処案との組み合わせを示す情報として記述される。条件としては、例えば、設定情報の不整合の種類が記述される。そのような対処案生成アルゴリズムの場合、導出された設定情報の不整合の種類が条件に合致するときには、その条件と対になる結論として記述された対処案が導出されることになる。なお、「対処案」は、検出された不整合について、その不整合を解消するにはどのように対処すべきかを記述した情報である。そして、対処案生成アルゴリズムに記述された対処案には、設定情報の修正のパターン（以下、修正パターンと記す。）の記述が含まれる。対処案生成アルゴリズムの具体例については、図２０を用いて後述する。図２０に示す例では、“then”の次の記述が対処案（修正パターンの記述を含んでいる。）に該当する。修正パターンの例として、例えば「不整合原因の侵入検知システムルールを監視するように修正」等がある。対処案生成アルゴリズムは、対処案生成手段１５０が対処案を生成する際に対処案生成方式ＤＢ１６０から読み込まれる。また、対処案生成方式ＤＢ１６０は、入力された各設定情報と設定情報分析アルゴリズムとの組み合わせに応じた対処案生成アルゴリズムを記憶する。例えば、対処案生成方式ＤＢ１６０は、ファイアウォールの設定情報、侵入検知システムの設定情報、および図８に例示する設定情報分析アルゴリズムの組み合わせに応じた対処案生成アルゴリズムや、その他の組み合わせに応じた対処案生成アルゴリズムを記憶する。
また、修正パターンには、例えばポート番号やルールの識別情報等の具体的な情報は含まれていない。不整合を解消するように設定情報を修正する具体的な方法を「修正方法」と記すことにする。修正方法は、修正パターンに基づいて、対処案生成手段１５０によって生成される。そして、修正方法を含む対処案が出力手段２００に表示される。
対処案生成手段１５０は、設定情報入力手段１１５に入力された設定情報および設定情報分析手段１２０に読み込まれた設定情報分析アルゴリズムの組み合わせに応じた対処案生成アルゴリズムを対処案生成方式ＤＢ１６０から読み込む。そして、対処案生成手段１５０は、読み込んだ対処案生成アルゴリズムに記述された対処案のうち、設定情報分析手段１２０による分析で導出された不整合の種類に応じた対処案を特定する。対処案生成手段１５０は、特定した対処案に含まれる修正パターンに基づいて、具体的な修正方法を生成し、その修正方法の集合を対処案として、出力手段２００に表示させる。
対処案生成手段１５０は、修正パターンの記述に従って、修正方法を生成する。例えば、「不整合原因の侵入検知システムルールを監視するように修正」等の修正パターンに従って、「25/tcpへ向かうパケットを監視するように修正する」等の具体的な修正方法を生成する。この修正方法生成の具体例については、設定情報がファイアウォールや侵入検知システムの設定情報である場合を例にして後述する。
次に、動作について説明する。
図１９は、本実施の形態のセキュリティポリシー不整合解消支援システムの動作の例を示すフローチャートである。まず、データ処理装置１００には、例えばセキュリティ管理者から、設定情報入力手段１１５を介して異なるセキュリティ機能の複数のセキュリティ機器の設定情報が入力される。また、同様に、例えばセキュリティ管理者から、ネットワーク構成情報入力手段１１０を介して管理対象のネットワークシステムのネットワーク構成情報が入力される（ステップＣ１）。ステップＣ１において複数のセキュリティ機能の設定情報とネットワーク構成情報が入力されると、設定情報分析手段１２０は、それら複数のセキュリティ機器の設定情報の組み合わせに応じた設定情報分析アルゴリズムを分析方式ＤＢ１３０から読み込む（ステップＣ２）。
続いて、設定情報分析手段１２０は、ステップＣ２で検索された設定情報分析アルゴリズムに従って、ステップＣ１で入力されたネットワーク構成情報に応じて、セキュリティ設定情報から分析に必要な箇所を抽出する（ステップＣ３）。
次に、設定情報分析手段１２０は、ステップＣ２で検索された設定情報分析アルゴリズムに従って、ステップＣ３で抽出されたセキュリティ機器の設定情報の分析を行う。すなわち、複数のセキュリティ機能の設定情報間の不整合の検出を行う（ステップＣ４）。ステップＣ４では、設定情報分析手段１２０は、各設定情報（より具体的には、各設定情報から抽出した箇所の内容）およびネットワーク構成情報の内容が設定情報分析アルゴリズムに記述された条件を満たしている場合には、その条件と対になる結論として記述された不整合が生じていると判断して、不整合を検出する。条件と対になる結論として、不整合の種類が記述されているので、設定情報分析手段１２０は、どのような種類の不整合が生じているのかを検出することができる。また、各設定情報が設定情報分析アルゴリズムに記述されたいずれの条件も満たしていない場合には、不整合が生じていない（不整合が検出されない）と判断すればよい。
ステップＣ４の後、設定情報分析手段１２０は、不整合を検出したか否かを判定する（ステップＣ５）。ステップＣ４の処理において不整合が検出されなかった場合は（ステップＣ５のＮＯ）、設定情報分析手段１２０は、その旨のメッセージを出力手段２００を介して出力して（例えば、出力手段２００に表示させて）処理を終了する。なお、図１９において、このメッセージ出力処理のステップの図示は省略している。
ステップＣ４の処理において不整合が検出された場合は（ステップＣ５のＹＥＳ）、設定情報分析手段１２０は、不整合検出結果を生成する（ステップＣ６）。不整合検出結果（分析結果）には、例えば、不整合の種類、不整合となる各設定情報の設定内容が含まれる。また、分析に用いた設定情報分析アルゴリズム名（設定情報分析アルゴリズムの識別情報）、分析対象となった設定情報がどのセキュリティ機能の設定情報であるのか、などの情報が分析結果に付与される。
上述のステップＣ１〜Ｃ６の処理は、第１の実施の形態におけるステップＡ１〜Ａ６の処理と同様である。ただし、設定情報分析手段１２０は、ステップＣ６において、生成した不整合検出結果（分析結果）を対処案生成手段に送る。
対処案生成手段１５０は、ステップＣ２において設定情報分析手段１２０によって検索された設定情報分析アルゴリズムと、ステップＣ１において設定情報入力手段１１５を介して入力されたセキュリティ機能の設定情報との組み合わせに応じた対処案生成アルゴリズムを対処案生成方式ＤＢ１６０から検索し、対処案生成方式ＤＢ１６０から読み込む（ステップＣ７）。
続いて、対処案生成手段１５０は、不整合検出結果と、ステップＣ１においてネットワーク構成情報入力手段を介して入力された管理対象ネットワークの構成情報を入力データとし、ステップＣ７で検索された対処案生成アルゴリズムに従って、ステップＣ４で検出されたセキュリティ設定情報の不整合を解消するための対処案（各設定情報の修正方法）を生成する（ステップＣ８）。ステップＣ８において、対処案生成手段１５０は、読み込んだ対処案生成アルゴリズムに記述された条件のうち、ステップＣ４で検出された不整合の種類と合う条件を特定し、その条件と対になる結論として記述された対処案を特定する。この対処案には、修正パターンの記述が含まれている。対処案生成手段１５０は、その修正パターンに従って修正方法を生成し、その修正方法の集合を対処案とすることによって対処案を生成する。
次に、対処案生成手段１５０は、ステップＣ８で生成した対処案を出力手段２００から出力し、セキュリティ管理者に提示する（ステップＣ９）。例えば、対処案をディスプレイ装置に表示させる。
次に、対処案生成の具体例について説明する。ここでは、対処案生成の具体例として、ファイアウォールの設定と侵入検知システムの設定との不整合検出を行い、検出された不整合を解消するための対処案を生成する場合について説明する。上述のように、ステップＣ１〜Ｃ６の処理は、第１の実施の形態におけるステップＡ１〜Ａ６の処理と同様であり、ステップＡ１〜Ａ６の具体例については第１の実施の形態で説明したので、ここでは、ステップＣ７以降の処理について説明する。なお、設定情報としてファイアウォールの設定情報および侵入検知システムの設定情報が入力され、ステップＣ２では、図８に例示する設定情報分析アルゴリズムを検索していたものとする。この結果、分析結果（不整合検出結果）には、図１０に例示した場合と同様に、分析に用いた設定情報分析アルゴリズム名として“００１”が示され、分析対象となった設定情報がどのセキュリティ機能の設定情報であるのかという情報として、“ファイアウォール：fw0，侵入検知システム：ids0”が示されているものとする。
対処案生成手段１５０は、設定情報分析手段１２０から送られる分析結果（不整合検出結果）を参照し、設定情報分析手段１２０によって検索された設定情報分析アルゴリズムと、入力されたセキュリティ機能の設定情報との組み合わせに応じた対処案生成アルゴリズムを対処案生成方式ＤＢ１６０から検索し、対処案生成方式ＤＢ１６０から読み込む（ステップＣ７）。分析結果には、分析に用いた設定情報分析アルゴリズム名“００１”、および分析対象となった設定情報が“ファイアウォール：fw0”および“侵入検知システム：ids0”の設定情報であることが示されている。従って、対処案生成手段１５０は、設定情報分析アルゴリズム“００１”、ファイアウォールfw0 の設定情報、侵入検知システムids0の設定情報の組み合わせに応じた対処案生成アルゴリズムを対処案生成方式ＤＢ１６０から読み込む。
図２０は、対処案生成方式ＤＢ１６０に記憶される対処案生成アルゴリズムの一例を示す説明図である。対処案生成アルゴリズムには、どの設定情報分析アルゴリズムおよびどの設定情報の組み合わせに応じた対処案生成アルゴリズムであるのかが予め記述されている。図２０に示す例では、“（ファイアウォール，侵入検知システム，設定情報分析アルゴリズム００１）”という記述があり、ファイアウォールの設定情報、侵入検知システムの設定情報、および識別情報が“００１”の設定情報分析アルゴリズムという組み合わせに応じた対処案生成アルゴリズムであることを示している。また、対処案生成アルゴリズムの識別情報が記述されていてもよい。図２０に示す例では、対処案生成アルゴリズムの識別情報として“００１”が記述されている（図２０に示す１行目参照。）。
また、図２０に例示する対処案生成アルゴリズムでは、“フィルタ漏れかつ監視過剰”という条件（“フィルタ漏れかつ監視過剰”が検出されたという条件）と対にして、「不整合原因のファイアウォールルールの直前に通過禁止ルールを挿入する」という修正パターン、および「不整合原因の侵入検知システムのルールを監視しないように修正する」という修正パターンを記述している。よって、“フィルタ漏れかつ監視過剰”が検出されたという条件が満たされた場合には、対処案生成手段１５０は、対処案生成アルゴリズムに記述された修正パターンのうち、この２種類の修正パターンを特定する。そして、対処案生成手段１５０は、その２種類の修正パターンそれぞれに従って、修正方法を生成する。
また、図２０に例示する対処案生成アルゴリズムでは、“監視漏れ”という条件（“監視漏れ”が検出されたという条件）と対にして、「不整合原因の侵入検知システムのルールを監視するように修正する」という修正パターンを記述している。よって、“監視漏れ”が検出されたという条件が満たされた場合には、対処案生成手段１５０は、対処案生成アルゴリズムに記述された修正パターンのうち、この修正パターンを特定する。そして、対処案生成手段１５０は、その修正パターンに従って、修正方法を生成する。
また、図２０に例示する対処案生成アルゴリズムでは、“フィルタ漏れ”という条件（“フィルタ漏れ”が検出されたという条件）と対にして、「不整合原因のファイアウォールルールの直前に通過禁止ルールを挿入する」という修正パターンを記述している。よって、“フィルタ漏れ”が検出されたという条件が満たされた場合には、対処案生成手段１５０は、対処案生成アルゴリズムに記述された修正パターンのうち、この修正パターンを特定する。そして、対処案生成手段１５０は、その修正パターンに従って、修正方法を生成する。
また、図２０に例示する対処案生成アルゴリズムでは、“フィルタ過剰かつ監視漏れ”という条件（“フィルタ過剰かつ監視漏れ”が検出されたという条件）と対にして、「不整合原因のファイアウォールルールの直前に通過許可ルールを挿入する」という修正パターン、および「不整合原因の侵入検知システムのルールを監視するように修正する」という修正パターンを記述している。よって、“フィルタ過剰かつ監視漏れ”が検出されたという条件が満たされた場合には、対処案生成手段１５０は、対処案生成アルゴリズムに記述された修正パターンのうち、この２種類の修正パターンを特定する。そして、対処案生成手段１５０は、その２種類の修正パターンそれぞれに従って、修正方法を生成する。
また、図２０に例示する対処案生成アルゴリズムでは、“フィルタ過剰”という条件（“フィルタ過剰”が検出されたという条件）と対にして、「不整合原因のファイアウォールルールの直前に通過許可ルールを挿入する」という修正パターンを記述している。よって、“フィルタ過剰”が検出されたという条件が満たされた場合には、対処案生成手段１５０は、対処案生成アルゴリズムに記述された修正パターンのうち、この修正パターンを特定する。そして、対処案生成手段１５０は、その修正パターンに従って、修正方法を生成する。
また、図２０に例示する対処案生成アルゴリズムでは、“監視過剰”という条件（“監視過剰”が検出されたという条件）と対にして、「不整合原因の侵入検知システムのルールを監視しないように修正する」という修正パターンを記述している。よって、“監視過剰”が検出されたという条件が満たされた場合には、対処案生成手段１５０は、対処案生成アルゴリズムに記述された修正パターンのうち、この修正パターンを特定する。そして、対処案生成手段１５０は、その修正パターンに従って、修正方法を生成する。
ここで、侵入検知システムの修正方法の生成態様について説明する。侵入検知システムの設定情報の修正パターンとしては、「不整合原因の侵入検知システムのルールを監視するように修正する」という修正パターン（“監視漏れ”、“フィルタ過剰かつ監視漏れ”に対応。）、および「不整合原因の侵入検知システムのルールを監視しないように修正する」という修正パターン（“監視過剰”、“フィルタ漏れかつ監視過剰”に対応。）がある。対処案生成手段１５０は、「不整合原因の侵入検知システムのルールを監視するように修正する」という修正パターンに従って修正方法を生成する場合、不整合原因の侵入検知システムのルールの記述を「監視しない」から「監視する」に修正するという修正方法を生成すればよい。このとき、不整合原因の侵入検知システムのルールは設定情報分析手段１２０によって特定されているので、その特定されているルールの記述を「監視しない」から「監視する」に修正するという修正方法を生成すればよい。また、対処案生成手段１５０は、「不整合原因の侵入検知システムのルールを監視しないように修正する」という修正パターンに従って修正方法を生成する場合、不整合原因の侵入検知システムのルールの記述を「監視する」から「監視しない」に修正するという修正方法を生成すればよい。このとき、不整合原因の侵入検知システムのルールは設定情報分析手段１２０によって特定されているので、その特定されているルールの記述を「監視する」から「監視しない」に修正するという修正方法を生成すればよい。
次に、ファイアウォールの修正方法の生成態様について説明する。ファイアウォールの設定情報の修正方法を生成するときには、“フィルタ漏れ”や“フィルタ漏れかつ監視過剰”の不整合の場合に不整合原因のルールを「許可する」から「禁止する」に修正し、“フィルタ過剰”や“フィルタ過剰かつ監視漏れ”不整合の場合に不整合原因のルールを「禁止する」から「許可する」に修正するという単純な修正方法では、設定情報の修正後に不具合が生じてしまうことが多い。従って、そのような単純な修正方法を生成してすることは好ましくない。
図２１は、ファイアウォールの設定情報の一例を示す説明図であり、図２２は、侵入検知システムの設定情報の一例示す説明図である。以下、図２１に例示するファイアウォールの設定情報と、図２２に例示する侵入検知システムの設定情報とがステップＣ１において入力されたものとする。図２１に例示するファイアウォールの設定情報では、ルール“Ｎｏ．５”で、「プロトコルがｔｃｐで、宛先ポート番号が０番から７９番のいずれかであるパケットであって、InternetセグメントからＤＭＺセグメントに送信されるパケットはファイアウォールの通過を許可する」というルールが設定されている。このルールに着目し、以下、０番から７９番の範囲のポート番号に着目して説明する。図２２に例示する侵入検知システムの設定情報では、ｔｃｐの０番から２４番までのポート番号、およびｔｃｐの２６番から７９番までのポート番号のパケットについて監視しないことが、ルール“Ｎｏ．１〜Ｎｏ．２５”およびルール“Ｎｏ．２７〜Ｎｏ．８０”で設定されている。また、ｔｃｐの２５番のポート番号のパケットについては監視することが、ルール“Ｎｏ．２６”で設定されている。
図２３は、ステップＣ１において入力されたファイアウォールの設定情報（図２１参照。）および侵入検知システムの設定情報（図２２参照。）に含まれるルールを模式的に示した模式図である。図２４は、図２１および図２２のように示される設定情報（ルール）に対して、上記のような単純な修正方法を採用してルールを修正した状態を模式的に示した模式図である。
図２３から図２５において、横軸は、ルールの範囲（具体的には、各ルールが定めているＩＰアドレスおよびポート番号の範囲）を示す。本例では、侵入検視システムはＤＭＺに属し、ネットワーク構成情報において、ＤＭＺのＩＰアドレスは、“207.190.1.0/24”と定められているので（図４参照。）、侵入検知システムのルールでは、ＩＰアドレスの範囲は“207.190.1.0/24”となる。また、侵入検知システムのルール“Ｎｏ．２６”では、“25/tcp”とポート番号およびプロトコルを定めていて、このポート番号およびプロトコルを使用するＤＭＺ内の装置（ＳＭＴＰサーバ）のＩＰアドレスは、“207.190.1.10”である（図４参照。）。従って、ファイアウォールルール“Ｎｏ．５”のうち、模式的に侵入検知システムのルール“Ｎｏ．２６”に対応する部分では、ＩＰアドレスの範囲は“207.190.1.10”となる。また、縦軸は、ファイアウォールの設定情報に含まれるルールの優先度（優先順位）を示す。なお、侵入検知システムの設定情報に含まれるルールには、特に優先順位は定められていない。また、図２３から図２５において、斜線で示したルールは、監視有効（監視を行うこと）を定めた侵入検知システムのルールを意味する。また、多数の点を描画した模様で示したルールは、監視無効（監視を行わないこと）を定めた侵入検知システムのルールを意味する。白色で示したルールは、パケットの通過を許可するファイアウォールのルールを意味する。横線で示したルールは、パケットの通過を禁止するファイアウォールのルールを意味する。
図２３に示した例では、フィルタ過剰不整合が生じている状態を示している。すなわち、管理対象のネットワークシステムに25/tcpというポート番号およびプロトコルの組み合わせを使用するサービスがＳＭＴＰサーバ上で稼動している状態で、侵入検知システムのルール“Ｎｏ．２６”では、監視有効としているにも関わらず、ファイアウォールのルール“Ｎｏ．５”では、パケットの通過を禁止していて、フィルタ過剰不整合が生じていることを示している。このとき、不整合を起こしているファイアウォールのルール“Ｎｏ．５”を単純に「パケットの通過を禁止する」から「パケットの通過を許可する」に修正するものとする。図２４は、この修正後の状態を示している。上記のような単純な修正では、ポート番号０〜２４番の範囲、およびポート番号２６〜７９番の範囲で不整合は生じていなかったにも関わらず、この範囲のポートを使用するｔｃｐパケットがファイアウォールを通過するように修正されてしまい、これらのポートがセキュリティホールとなってしまうおそれがある。その結果、管理対象ネットワークおよびその利用者に多大な被害をもたらすおそれがある。また、図２４に示すように、元々、不整合が生じていなかった範囲で、フィルタ漏れ不整合が生じてしまうことになる。
このような不具合が生じないような修正方法の一例を図２５に示す。図２５に示すように、ファイアウォールの設定情報（ルール）を修正する場合には、対処案生成手段１５０は、不整合の原因となったルールより、優先順位が一つ高いルールを追加するように修正する。本例では、対処案生成手段１５０は、その追加するルールにおいて、不整合が生じていたポート番号と、そのポート番号を使用するサービスが稼動するサーバのＩＰアドレスを指定してパケットの通過を許可するようにする。図２５に示す例では、不整合の原因となったルール（“Ｎｏ．５”）より、優先順位が一つ高いルールを追加している。このルールには、ルールの番号として“Ｎｏ．５−１”が新たに割り当てられている。追加されたルール“Ｎｏ．５−１”では、不整合が生じていた２５番ポート、プロトコル、およびそのポートを使用するサービスが稼動しているＳＭＴＰサーバのＩＰアドレスのみを指定し、「InternetからＳＭＴＰサーバのｔｃｐの２５番ポートへ向かうパケットは通過を許可する」という設定内容を定めている。対処案生成手段１５０は、不整合が生じたポート番号およびプロトコルに対応する装置（本例ではＳＭＴＰサーバ）のＩＰアドレスを、入力データとして入力されたネットワーク構成情報（図４参照。）から読み込めばよい。このような優先順位の高い新たなルールの追加により、修正前のファイアウォールのルール“Ｎｏ．５”と、侵入検知システムのルール“Ｎｏ．２６”との間の不整合は解消される。また、追加されたルールは、不整合が生じていたポート番号と、そのポート番号を使用するサービスが稼動するサーバのＩＰアドレスを指定しているので、不整合が生じていない範囲において、ファイアウォールのルール“Ｎｏ．５”と、侵入検知システムのルール“Ｎｏ．１〜２５”，“Ｎｏ．２７〜７９”との関係（不整合は生じていないという関係）は、維持される。さらに、不整合箇所である２５番ポート以外の、０番から２４番、および２６番から７９番ポートへ向かうパケットについては通過が禁止されたままであるので、セキュリティホールになることもない。
このような修正方法を生成するために、ファイアウォールの修正パターンとして、「不整合原因のファイアウォールルールの直前に通過許可ルールを挿入する」という修正パターン、および「不整合原因のファイアウォールルールの直前に通過禁止ルールを挿入する」という修正パターンが、図２０に例示する対処案生成アルゴリズムに記述される。対処案生成手段１５０は、「不整合原因のファイアウォールルールの直前に通過許可ルールを挿入する」という修正パターンに従って修正方法を生成する場合、不整合原因となるファイアウォールのルールより一つ優先順位が高いルールであって、不整合が生じているポートについて、そのポートとそのポートを使用するサービスが稼動しているサーバのＩＰアドレスを宛先とするパケットの通過を許可するルールを追加するという修正方法を生成すればよい。既に述べたように、対処案生成手段１５０は、このＩＰアドレスをネットワーク構成情報から読み込めばよい。また、不整合原因となるファイアウォールのルールは設定情報分析手段１２０によって特定されているので、その特定されているルールより一つ優先順位が高いルールであって、不整合が生じているポートについて、そのポートとそのポートを使用するサービスが稼動しているサーバのＩＰアドレスを宛先とするパケットの通過を許可するルールを追加するという修正方法を生成すればよい。例えば、図２５に示すように、不具合原因となるファイアウォールのルール“Ｎｏ．５”より優先順位が一つ高く、不整合が生じている２５番ポートについて、２５番ポートとこのポートを使用するサービスが稼動しているＳＭＴＰサーバのＩＰアドレスを宛先とするパケットの通過を許可するルールを追加するという修正方法を生成すればよい。また、対処案生成手段１５０は、「不整合原因のファイアウォールルールの直前に通過禁止ルールを挿入する」という修正パターンに従って修正方法を生成する場合、不整合原因となるファイアウォールのルールより一つ優先順位が高いルールであって、不整合が生じているポートについてパケットの通過を禁止するルールを追加するという修正方法を生成すればよい。このとき、不整合原因となるファイアウォールのルールは設定情報分析手段１２０によって特定されているので、その特定されているルールより一つ優先順位が高いルールであって、不整合が生じているポートについてパケットの通過を禁止するルールを追加するという修正方法を生成すればよい。
対処案生成手段１５０は、ステップＣ８において、修正方法を生成したならば、その修正方法の集合を対処案とし、対処案を出力手段２００に出力（例えば、表示出力）させる（ステップＣ９）。図２６は、対処案生成手段１５０が出力手段２００に出力（表示）させる情報の例を示す説明図である。図２６に示すように、不整合の種類とともに、その不整合を生じさせているファイアウォールのルールおよび侵入検知システムのルールについて、ルール番号とルールの内容を表示する。さらに、その不整合を解消するための対処案を表示する。図２６に示す例では、『Ｎｏ．５の直前にルールＮｏ．５−１「ＩＰアドレス207.190.1.10、ｔｃｐの２５ポートへ向かうパケットの通過を許可する」を追加する』という修正方法を示している。
セキュリティ管理者は、表示された対処案を確認し、管理対象ネットワーク上でのサービス稼働状況、あるいは自身の経験や知識、管理者自身が意図する設定状況等と照らし合わせ、ファイアウォールの設定情報あるいは侵入検知システムの設定情報を修正するかを判断する。その後、対処案に従って、修正をセキュリティ管理者が施すことにより不整合を解消することができる。
次に、本実施の形態の効果について説明する。
本実施の形態でも、第１の実施の形態と同様の効果が得られる。また、本実施の形態では、複数の互いに異なるセキュリティ機能の設定情報（例えば、ファイアウォールの設定情報と侵入検知システムの設定情報）の間に存在する不整合を検出し、検出された不整合を解消するための設定情報の修正方法を、管理対象となるネットワークの構成に応じて（管理対象ネットワークシステムに属する機器によるサービスの稼働状況に応じて）生成することができる。また、設定情報分析手段１５０によって特定された不整合の種類と対になる修正パターンに従って修正方法を生成するので、いずれのセキュリティ機能の設定に誤りがある場合でも、不整合を解消するための対処案をすることができる。また、複数のセキュリティ機能の設定に関する修正方法を含む対処案を生成することができる。例えば、ファイアウォール設定情報と侵入検知システム設定情報の間で不整合が検出された場合には、その不整合を解消するためのファイアウォール設定情報の修正方法または侵入検知システム設定情報の修正方法、あるいはその双方を生成することができる。
また、本実施の形態では、設定情報の不整合検出および検出された不整合の解消のための設定情報の修正方法を自動的に導出し提示する。セキュリティ管理者は、その修正方法を施せば不整合を解消できるため、セキュリティ管理者の負担が大幅に削減される。すなわち、セキュリティ管理者は人手で修正方法を導出しなくてもよいので、セキュリティ管理者の負担が軽減される。
また、本実施の形態では、ファイアウォールの設定情報の修正方法を生成する際に、不整合部分のみ修正する新たなルールを追加する修正方法を生成するように構成されている。従って、不整合部分以外に影響を及ぼさない修正方法を生成できる。また、その修正方法で設定情報を修正すれば、管理対象となるネットワークシステムの利用者がネットワークシステムを用いて業務等を安定に遂行できるようにすることができる。
また、本実施の形態では、セキュリティ管理者は、セキュリティレベルの高いネットワークシステムの運用ができ、ネットワーク利用者は、安定したネットワークシステムが利用できる。
また、本実施の形態では、分析方式ＤＢ１３０に記憶された設定情報分析アルゴリズムを用いて分析を行い、対処案生成方式ＤＢ１６０に記憶された対処案生成アルゴリズムを用いて対処案を生成する。従って、分析方式ＤＢ１３０に新たな設定情報分析アルゴリズムを追加記憶させ、対処案生成方式ＤＢ１６０に新たな対処案生成アルゴリズムを追加記憶させることで、新たに追加されたセキュリティ機能の設定情報（例えば、新たに追加されたセキュリティ機器の設定情報）についても不整合箇所の特定や対処案の生成を行うことができる。
本実施の形態において、設定情報取得手段は、設定情報入力手段１１５によって実現される。分析規則記憶手段は、分析方式ＤＢ１３０によって実現される。修正方法生成手段は、対処案生成手段１５０によって実現される。対処案生成規則記憶手段は、対処案生成方式ＤＢ１６０によって実現される。
実施の形態４．
図２７は、本発明によるセキュリティポリシー不整合解消支援システムの第４の実施の形態を示すブロック図である。第２の実施の形態および第３の実施の形態と同様の構成部については、図１４および図１８と同一の符号を付して説明を省略する。また、第２の実施の形態および第３の実施の形態と同様の構成部の動作は、第２の実施の形態および第３の実施の形態と同様である。
第４の実施の形態において、データ処理装置１００は、第２の実施の形態で示した設定情報分析手段１２０、分析方式ＤＢ１３０、リスク値計算手段１４０に加え、第３の実施の形態で示した対処案生成手段１５０、対処案生成方式ＤＢ１６０を含んでいる。
本実施の形態のセキュリティポリシー不整合解消支援システムの動作について説明する。図２８は、本実施の形態のセキュリティポリシー不整合解消支援システムの動作の例を示すフローチャートである。まず、データ処理装置１００には、例えばセキュリティ管理者から、設定情報入力手段１１５を介して異なるセキュリティ機能の複数のセキュリティ機器の設定情報が入力される。また、同様に、例えばセキュリティ管理者から、ネットワーク構成情報入力手段１１０を介して管理対象のネットワークシステムのネットワーク構成情報が入力される（ステップＤ１）。ステップＤ１において複数のセキュリティ機能の設定情報とネットワーク構成情報が入力されると、設定情報分析手段１２０は、それら複数のセキュリティ機器の設定情報の組み合わせに応じた設定情報分析アルゴリズムを分析方式ＤＢ１３０から読み込む（ステップＤ２）。
続いて、設定情報分析手段１２０は、ステップＤ２で検索された設定情報分析アルゴリズムに従って、ステップＤ１で入力されたネットワーク構成情報に応じて、セキュリティ設定情報から分析に必要な箇所を抽出する（ステップＤ３）。
次に、設定情報分析手段１２０は、ステップＤ２で検索された設定情報分析アルゴリズムに従って、ステップＤ３で抽出されたセキュリティ機器の設定情報の分析を行う。すなわち、複数のセキュリティ機能の設定情報間の不整合の検出を行う（ステップＤ４）。ステップＤ４では、設定情報分析手段１２０は、各設定情報（より具体的には、各設定情報から抽出した箇所の内容）およびネットワーク構成情報の内容が設定情報分析アルゴリズムに記述された条件を満たしている場合には、その条件と対になる結論として記述された不整合が生じていると判断して、不整合を検出する。条件と対になる結論として、不整合の種類が記述されているので、設定情報分析手段１２０は、どのような種類の不整合が生じているのかを検出することができる。また、各設定情報が設定情報分析アルゴリズムに記述されたいずれの条件も満たしていない場合には、不整合が生じていない（不整合が検出されない）と判断すればよい。
ステップＤ４の後、設定情報分析手段１２０は、不整合を検出したか否かを判定する（ステップＤ５）。ステップＤ４の処理において不整合が検出されなかった場合は（ステップＤ５のＮＯ）、設定情報分析手段１２０は、その旨のメッセージを出力手段２００を介して出力して（例えば、出力手段２００に表示させて）処理を終了する。なお、図２８において、このメッセージ出力処理のステップの図示は省略している。
ステップＤ４の処理において不整合が検出された場合は（ステップＤ５のＹＥＳ）、設定情報分析手段１２０は、不整合検出結果を生成する（ステップＤ６）。不整合検出結果（分析結果）には、例えば、不整合の種類、不整合となる各設定情報の設定内容が含まれる。また、分析に用いた設定情報分析アルゴリズム名（設定情報分析アルゴリズムの識別情報）、分析対象となった設定情報がどのセキュリティ機能の設定情報であるのか、などの情報が分析結果に付与される。
次に、リスク値計算手段１４０は、ステップＤ６で生成された不整合検出結果の各不整合について、不整合の内容や不整合の原因となった各セキュリティ機能の設定情報やネットワーク構成情報の内容から不整合の危険度（リスク値）を計算する（ステップＤ７）。
対処案生成手段１５０は、ステップＤ２において設定情報分析手段１２０によって検索された設定情報分析アルゴリズムと、ステップＤ１において設定情報入力手段１１５を介して入力されたセキュリティ機能の設定情報との組み合わせに応じた対処案生成アルゴリズムを対処案生成方式ＤＢ１６０から検索し、対処案生成方式ＤＢ１６０から読み込む（ステップＤ８）。
続いて、対処案生成手段１５０は、不整合検出結果と、ステップＤ１においてネットワーク構成情報入力手段を介して入力された管理対象ネットワークの構成情報を入力データとし、ステップＤ８で検索された対処案生成アルゴリズムに従って、ステップＤ４で検出されたセキュリティ設定情報の不整合を解消するための対処案（各設定情報の修正方法）を生成する（ステップＤ９）。ステップＤ９において、対処案生成手段１５０は、読み込んだ対処案生成アルゴリズムに記述された条件のうち、ステップＤ４で検出された不整合の種類と合う条件を特定し、その条件と対になる結論として記述された対処案を特定する。この対処案には、修正パターンの記述が含まれている。対処案生成手段１５０は、その修正パターンに従って修正方法を生成し、その修正方法の集合を対処案とすることによって対処案を生成する。
次に、対処案生成手段１５０は、ステップＤ９で生成した対処案を出力手段２００から出力し、セキュリティ管理者に提示する（ステップＤ１０）。例えば、対処案をディスプレイ装置に表示させる。
上記のステップＤ１〜Ｄ７の各処理は、第２の実施の形態におけるステップＢ１〜Ｂ７の各処理と同様の処理である。また、上記のステップＤ８〜Ｄ１０の各処理は、第３の実施の形態におけるステップＣ７〜Ｃ９の各処理と同様の処理である。
次に、本実施の形態の効果について説明する。
本実施の形態でも、第２の実施の形態および第３の実施の形態と同様の効果が得られる。例えば、本実施の形態では、設定情報分析手段１２０によって検出された各不整合について、リスク値計算手段１４０がリスク値を付与し、さらに、対処案生成手段１５０が設定情報の不整合検出および検出された不整合の解消のための設定情報の修正方法を自動的に導出し提示するため、セキュリティ管理者は、複数検出された不整合について、それぞれの不整合の危険度、不整合を解消するための対処の緊急度の高い不整合から対応を行うことができる。セキュリティ管理者は提示された修正方法から適切なものを選択することができる。そして、選択した修正方法を施すだけで不整合を解消できるため、セキュリティ管理者の負担が大幅に削減される。
第４の実施の形態において、設定情報取得手段は、設定情報入力手段１１５によって実現される。分析規則記憶手段は、分析方式ＤＢ１３０によって実現される。修正方法生成手段は、対処案生成手段１５０によって実現される。対処案生成規則記憶手段は、対処案生成方式ＤＢ１６０によって実現される。
上記の各実施の形態では、キーボードやマウス等の入力装置である設定情報入力手段１１５に、セキュリティ管理者から設定情報が入力される場合を説明した。セキュリティポリシー不整合解消支援システムは、通信ネットワークを介してセキュリティ機器（例えば、ファイアウォールや侵入検知システム等）から設定情報を受信する構成であってもよい。図２９は、この場合の構成例を示すブロック図である。図２９は、第４の実施の形態の変形例として、データ処理装置１００が設定情報抽出手段を備えた場合の構成例を示している。第４の実施の形態と同様の構成部については、図２７と同一の符号を付して説明を省略する。また、第４の実施の形態と同様の構成部の動作は、第４の実施の形態と同様である。設定情報抽出手段１１６は、例えば、プログラムに従って動作するＣＰＵによって実現される。なお、図２９に例示する構成の場合でも、セキュリティポリシー不整合解消支援システムは、セキュリティ管理者が操作を行うためのキーボードやマウス等の入力装置を備えているものとする。
データ処理装置１００および管理対象となるネットワークシステムに含まれるセキュリティ機器４００（例えば、ファイアウォールや侵入検知システム等）は、通信ネットワーク３００を介して接続される。各セキュリティ機器４００は、その機器が有するセキュリティ機能に関する設定を定めた設定情報を保持している。設定情報は、例えば、ハードウェアによって実現されるセキュリティ機能に関する設定を集めたものであってもよい。また、セキュリティ機器４００に搭載されたソフトウェアによって実現されるセキュリティ機能に関する設定を定めた設定情報も、セキュリティ機器４００の設定情報である。セキュリティ機器４００が保持する設定情報は、上述の各実施の形態において設定情報入力手段１１５に入力される設定情報と同様の情報である。
ここでは、設定情報抽出手段１１６は、通信ネットワーク３００に接続されているセキュリティ機器４００のうち少なくとも２つのセキュリティ機器４００から設定情報を抽出、収集するものとする。なお、管理対象となるネットワークシステムには、２つ以上のセキュリティ機器が含まれているものとする。
図２９に例示する変形例の場合、まず、データ処理装置１００は、キーボードやマウス等の入力装置を介して、例えばセキュリティ管理者から、設定情報の抽出、収集の対象となるセキュリティ機器を指定される。このとき、設定情報抽出手段１１６は、例えば、セキュリティ機器の指定を促す画面を出力手段２００に表示して、入力装置を介して指定されたセキュリティ機器を、設定情報の抽出、収集の対象となるセキュリティ機器として決定する。あるいは、ネットワーク構成情報にに記述された各セキュリティ機器を選択候補として表示してセキュリティ管理者に選択を促し、入力装置を介して指定されたセキュリティ機器を、設定情報の抽出、収集の対象となるセキュリティ機器として決定してもよい。また、設定情報抽出手段１１６は、通信ネットワーク３００に接続されているセキュリティ機器４００を検索し、検索されたセキュリティ機器を、設定情報の抽出、収集の対象となるセキュリティ機器として決定してもよい。セキュリティ機器４００を検索するときには、ＳＮＭＰ（Simple Network Management Protocol）を利用すればよい。また、セキュリティ機能を実現するためのソフトウェアを搭載したセキュリティ機器を検索する場合には、セキュリティ機器に搭載されているＯＳのコマンドを利用して検索を行ってもよい。
次に、設定情報抽出手段１１６は、決定した（セキュリティ管理者に指定された）セキュリティ機器に設定されている設定情報を抽出、取得する。設定情報抽出手段１１６は、ＳＮＭＰを利用したり、設定情報の収集対象として決定されたセキュリティ機器に備わっている設定情報取得コマンドを実行するなどして設定情報の抽出、収集を行う。このとき、分析対象となる設定情報を、必ずしもすべて設定情報抽出手段１１６が抽出する必要はなく、一部のセキュリティ機器の設定情報については、第４の実施の形態等と同様に設定情報入力手段（図２９において図示せず。）から入力するようにしてもよい。
ネットワーク構成情報が入力され、設定情報抽出手段１１６が設定情報を収集したならば、セキュリティポリシー不整合解消支援システムは、ステップＤ２（図２８参照。）以降の動作を行えばよい。
図２９では、第４の実施の形態の変形例として、データ処理装置１００が設定情報抽出手段１１６を備えた場合の構成例を示しているが、他の各実施の形態においても、データ処理装置１００が設定情報抽出手段を備える構成としてもよい。
本変形例において、設定情報取得手段は、設定情報抽出手段１１６によって実現される。
このように、設定情報抽出手段１１６が設定情報を抽出、収集する場合、セキュリティ管理者自身が設定情報を入力する必要がない。よって、セキュリティ管理者の負担を軽減することができる。
図２９に例示するように、通信ネットワーク３００を介してデータ処理装置１００とセキュリティ機器４００とが接続されている場合、ステップＤ１０で表示出力された修正方法に従って、対処案生成手段１５０がセキュリティ機器の設定情報を修正し、設定情報を更新してもよい。以下、対処案生成手段１５０がセキュリティ機器の設定情報を修正する場合の例について説明する。
図３０は、ステップＤ１０において対処案生成手段１５０が出力手段２００に表示させる画面（修正をするか否かの選択を促す画面）の例を示す説明図である。ここでは、ファイアウォールの設定情報と侵入検知システムの設定情報を収集し、その各設定情報の修正をするか否かの選択を促す場合を例に説明する。
対処案生成手段１５０は、図３０に例示するように不整合に対する修正方法を表示して、例えばラジオボタンによってその修正を実行するか否かの選択を行わせる選択領域３０１を含む画面を生成する。図３０では、対処案生成手段１５０が、選択領域３０１内において、不整合の種類、不整合原因であるファイアウォールの設定、不整合原因となる侵入検知システムの設定、サービスの稼働状況とともに、設定情報（ルール）の修正方法（本例では、ファイアウォールの設定情報の修正方法）を表示するように画面を生成した場合を示している。なお、図３０に示す例では、選択領域３０１内にリスク値も表示している。
図３０に示す例では、不整合の種類として「フィルタ過剰」が表示されている。また、不整合のリスク値が表示されている。そして、「フィルタ過剰」の原因であるファイアウォールの設定として、図２１に例示するルール“Ｎｏ．５”の内容が表示されている。また、「フィルタ過剰」の原因である侵入検知システムの設定として、図２２に例示するルール“Ｎｏ．２６”の内容が表示されている。また、管理対象ネットワークには、図４に例示するネットワーク構成情報のＳＭＴＰサーバについての内容（25/tcpを使用するサービスが稼働している旨）が表示されている。さらに、ラジオボタン３０２ａ，３０２ｂとともに、ファイアウォールの設定情報（ルール）の修正方法（ルール“Ｎｏ．５”の直前に「ＩＰアドレス２０７．１９０．１．１０、ｔｃｐの２５番ポートへの通過を許可」するルールを挿入するという修正方法）が表示されている。
修正方法とともに表示されたラジオボタン３０２ａは、その修正方法で設定情報を修正することを選択するためのボタンであり、ラジオボタン３０２ｂは、その修正方法で設定情報を修正しないことを選択するためのボタンである。
セキュリティ管理者は、自身の経験や知識等に基づいて、複数のセキュリティ機器（本例では、ファイアウォールおよび侵入検知システム）の設定を修正すべきかを判断する。そして、修正するか否かに対応するラジオボタンがクリックされる。
なお、図３０に示すように、選択領域３０１にスクロールバーを表示して、セキュリティ管理者によるスクロールバー操作に応じて、他の不整合に関する修正方法を表示してもよい。
また、対処案生成手段１５０は、図３０に示すように、「修正実行」ボタン、「キャンセル」ボタンを表示するようにして画面を生成する。ラジオボタンがクリックされることにより修正するか否かが選択され、「修正実行」ボタンがクリックされた場合には、対処案生成手段１５０は、選択されたボタンに対応する修正方法に従って、その修正方法に対応するセキュリティ機器の設定情報を修正し、修正後の設定情報をセキュリティ機器に再設定する。このとき、対処案生成手段１５０は、通信ネットワーク３００を介して接続されているセキュリティ機器４００の設定情報を修正して、更新する。例えば、図３０に示すように、ラジオボタン３０１ａがクリックされた後に、「修正実行」ボタンがクリックされた場合、対処案生成手段１５０は、ファイアウォールのルール“Ｎｏ．５”の直前に「ＩＰアドレス２０７．１９０．１．１０、ｔｃｐの２５番ポートへの通過を許可」するルールを挿入する。なお、「キャンセル」ボタンがクリックされた場合には、それまでに行われたラジオボタンのクリックを無効にする。
また、対処案生成手段１５０は、図３０に示すように、分析対象機器の名称（“fw0 ”や“ids0”等）、分析方式ＤＢ１３０から読み込まれた設定情報分析アルゴリズムの識別情報、およびその設定情報分析アルゴリズムに対応するセキュリティ機器を表示するように、画面を生成してもよい。
ここでは、図２９に示す対処案生成手段１５０がセキュリティ機器の設定情報を修正する場合を例にして説明したが、データ処理装置１００がリスク値計算手段１００を備えていない場合であっても、同様に、対処案生成手段１５０がセキュリティ機器の設定情報を修正してもよい。
本例において、修正選択手段は、対処案生成手段１５０および出力手段２００によって実現される。設定情報修正手段は、対処案生成手段１５０によって実現される。
このように、対処案生成手段１５０は、通信ネットワーク３００を介して接続されているセキュリティ機器４００の設定情報を修正する場合、セキュリティ管理者自身が設定情報を修正する必要がない。よって、セキュリティ管理者の負担を軽減することができる。
また、図２９に示した変形例では、データ処理１００が設定情報抽出手段１１６を備え、設定情報抽出手段１１６がセキュリティ機器４００から設定情報を抽出、収集する場合について説明した。セキュリティ機器４００が設定情報抽出手段１１６を備え、セキュリティ機器４００に備えられる設定情報抽出手段１１６が、セキュリティ機器４００自身から設定情報を抽出し、その設定情報をデータ処理装置１００に送信する構成であってもよい。図３１は、この場合の構成例を示すブロック図である。セキュリティ機器４００は、設定情報抽出手段１１６を備える。設定情報抽出手段１１６は、セキュリティ機器４００に設けられるＣＰＵによって実現される。
また、データ処理装置１００は、セキュリティ機器セキュリティ機器４００と通信を行うための通信ソフトウェアを予め記憶装置（図示せず）に記憶する。また、データ処理装置１００は、通信ソフトウェアに従って動作する設定情報受信手段１７０を備える。設定情報受信手段１７０は、例えばＣＰＵによって実現される。設定情報受信手段１７０は、セキュリティ機器４００に設定情報を要求する。この要求を受けると、設定情報抽出手段１１６は、セキュリティ機器４００が保持する設定情報を抽出する。続いて、設定情報抽出手段１１６は、抽出した設定情報をデータ処理装置１００に送信する。設定情報受信手段１７０は、この設定情報を受信する。設定情報分析手段１１０および対処案生成手段１３０は、この設定情報を用いてステップＤ２（図２８参照。）以降の動作を行えばよい。
このような構成により、セキュリティ管理者自身が設定情報を入力しなくてもよいので、セキュリティ管理者の負担を軽減することができる。
図３１に例示する構成の場合、設定情報取得手段は、設定情報受信手段１７０によって実現される。設定情報送信手段は、設定情報抽出手段１１６によって実現される。
なお、図３１に例示する構成の場合にも、対処案生成手段１５０が図３０に例示する画面を出力手段２００に表示させ、また、通信ネットワーク３００を介して接続されているセキュリティ機器４００の設定情報を修正してもよい。データ処理装置１００がリスク値計算手段１４０を備えていない場合であっても同様である。この結果、セキュリティ管理者自身が設定情報を修正しなくてもよいので、セキュリティ管理者の負担を軽減できる。
また、図３１では、第４の実施の形態の変形例として、データ処理装置１００が設定情報受信手段１７０を備え、セキュリティ機器が設定情報抽出手段１１６を備えた場合の構成例を示しているが、他の実施の形態においても、データ処理装置１００が設定情報受信手段１７０を備え、セキュリティ機器が設定情報抽出手段１１６を備える構成としてもよい。
また、上記の各実施の形態およびその変形例において、データ処理装置１００が予めネットワーク構成情報や、外部のセキュリティ機器の設定情報を記憶し、データ処理装置１００が予め記憶しているネットワーク構成情報や設定情報を用いて、ステップＡ２（あるいは、ステップＢ２，Ｃ２，Ｄ２）以降の処理を行ってもよい。図３２は、データ処理装置がネットワーク構成情報や設定情報を記憶する場合の構成例を示すブロック図である。データ処理装置１００は、情報記憶手段１８０を備える。
情報記憶手段１８０は、予めネットワーク構成情報および設定情報を記憶する。設定情報分析手段１２０は、情報記憶手段１８０に記憶されているネットワーク構成情報および設定情報を用いてステップＡ２以降の処理を行えばよい。
また、情報記憶手段１８０がネットワーク構成情報を記憶し、設定情報入力手段１１５（または、設定情報抽出手段１１６あるいは設定情報受信手段１８０。図３２において図示せず。）により設定情報を取得してもよい。その場合、設定情報が変更された場合、変更後の設定情報を入力するだけで、情報記憶手段１８０に記憶されているネットワーク構成情報と、変更後の設定情報とを用いて分析を行うことができる。
情報記憶手段１８０が設定情報を記憶し、ネットワーク構成情報入力手段１１０にネットワーク構成情報が入力される構成であってもよい。その場合、ネットワーク構成情報が変更された場合、変更後のネットワーク構成情報を入力するだけで、記憶手段１８０に記憶されている設定情報と、変更後のネットワーク構成情報とを用いて分析を行うことができる。
図３２に示す構成に置いて、データ処理装置１００が、ネットワーク構成情報入力装置１１０および設定情報入力装置１１５（あるいはその一方）を備え、ネットワーク構成情報入力装置１１０や設定情報入力装置１１５から入力された情報（ネットワーク構成情報や設定情報）を、情報登録手段（図示せず。）が情報記憶手段１８０に記憶させる構成であってもよい。そして、情報記憶手段１８０に記憶された情報を用いて分析を行ってもよい。情報登録手段（図示せず。）は、例えば、データ処理装置１００のＣＰＵによって実現される。
図３２では、第１の実施の形態の変形例として、データ処理装置１００が情報記憶手段１８０を備える場合の構成例を示したが、他の実施の形態においても、データ処理装置１００が情報記憶手段１８０を備える構成としてもよい。
本変形例において、ネットワーク構成情報記憶手段、設定情報記憶手段は、情報記憶手段１８０によって実現される。設定情報登録手段は、情報登録手段（図示せず。）によって実現される。
上記の各実施の形態や、その変形例において、一つのセキュリティ機器が複数のセキュリティ機能を有し、複数のセキュリティ機能に応じた設定情報を有している場合もあり得る。その場合、一つのセキュリティ機器が有している複数の設定情報が、セキュリティポリシー不整合解消支援システムに入力されてもよい。
図３３は、本発明によるセキュリティポリシー不整合解消支援システムの具体的な構成例を示すブロック図である。データ処理装置１００には、ネットワーク構成情報入力手段１１０や設定情報入力手段１１５として、キーボードやマウス等の入力装置５０４が接続されている。また、出力手段２００として、ディスプレイ装置等の出力装置５０５が接続されている。
また、データ処理装置１００は、例えば、ＣＰＵ５０１と、記憶装置５０２と、ネットワークインタフェース部を備える。ＣＰＵ５０１は、記憶装置５０２に記憶されるセキュリティポリシー不整合解消支援プログラムに従って、設定情報分析手段１２０としての動作を行う。ＣＰＵ５０１が、リスク値計算手段１４０としての動作を行ってもよい。また、対処案生成手段１５０としての動作を行ってもよい。また、設定情報抽出手段１１６、設定情報受信手段１７０としての動作を行ってもよい。
また、記憶装置５０２は、分析方式ＤＢ１３０として、設定情報分析アルゴリズムを記憶する。さらに、記憶装置５０２が、対処案生成方式ＤＢ１６０として、対処案生成アルゴリズムを記憶してもよい。また、記憶装置５０２を、図３２に示す情報記憶手段１８０としてもよい。
ネットワークインタフェース部５０３は、通信ネットワーク３００とのインタフェースである。通信ネットワーク３００を介して設定情報を抽出したり、受信したりする場合、ＣＰＵ５０１は、ネットワークインタフェース部５０３を介して、設定情報の抽出や受信を行う。
本発明は、異なるセキュリティ機能に関する設定情報の不整合の検出や、その不整合を解消するための設定情報の修正方法の生成等の用途に適用できる。
本発明によるセキュリティポリシー不整合解消支援システムの第１の実施の形態を示すブロック図である。 第１の実施の形態のセキュリティポリシー不整合解消支援システムの動作の例を示すフローチャートである。 管理対象のネットワーク構成の一例を示す説明図である。 ネットワーク構成情報の一例を示す説明図である。 ファイアウォールの設定情報の一例を示す説明図である。 侵入検知システムの設定情報の一例示す説明図である。 設定情報から分析に必要な箇所を抽出する処理の処理経過の例を示すフローチャートである。 設定情報分析アルゴリズムの一例を示す説明図である。 図８に示す設定情報分析アルゴリズムにおける条件の内容および検出結果となる状態を表としてまとめた説明図である。 分析結果の一例を示す説明図である。 設定情報分析アルゴリズムの例を示す説明図である。 設定情報分析アルゴリズムの例を示す説明図である。 図１１および図１２に示す設定情報分析アルゴリズムにおける条件の内容および検出結果となる状態を表としてまとめた説明図である。 本発明によるセキュリティポリシー不整合解消支援システムの第２の実施の形態を示すブロック図である。 第２の実施の形態のセキュリティポリシー不整合解消支援システムの動作の例を示すフローチャートである。 リスク値の計算例を示す説明図である。 各不整合に対する危険順位、および重み付けの一例を示す説明図である。 本発明によるセキュリティポリシー不整合解消支援システムの第３の実施の形態を示すブロック図である。 第３の実施の形態のセキュリティポリシー不整合解消支援システムの動作の例を示すフローチャートである。 対処案生成アルゴリズムの一例を示す説明図である。 ファイアウォールの設定情報の一例を示す説明図である。 侵入検知システムの設定情報の一例示す説明図である。 ファイアウォールの設定情報および侵入検知システムの設定情報に含まれるルールを模式的に示した模式図である。 単純な修正方法を採用してファイアウォールのルールを修正した状態を模式的に示した模式図である。 新たな不整合が生じないような修正を模式的に示した模式図である。 出力手段に出力（表示）させる情報の例を示す説明図である。 本発明によるセキュリティポリシー不整合解消支援システムの第４の実施の形態を示すブロック図である。 第４の実施の形態のセキュリティポリシー不整合解消支援システムの動作の例を示すフローチャートである。 データ処理装置が設定情報抽出手段を備える場合の構成例を示すブロック図である。 修正をするか否かの選択を促す画面の例を示す説明図である。 セキュリティ機器が設定情報抽出手段を備える場合の構成例を示すブロック図である。 データ処理装置がネットワーク構成情報や設定情報を記憶する場合の構成例を示すブロック図である。 本発明によるセキュリティポリシー不整合解消支援システムの具体的な構成例を示すブロック図である。
符号の説明
１００ データ処理装置
１１０ ネットワーク構成情報入力手段
１１５ 設定情報入力手段
１２０ 設定情報分析手段
１３０ 分析方式データベース
１４０ リスク値計算手段
１５０ 対処案生成手段
１６０ 対処案生成方式データベース
２００ 出力手段

Claims (28)

  1. ネットワークシステム内のファイアウォールとセグメントとの接続関係、前記ネットワークシステム内の侵入検知システムと当該侵入検知システムが配置されているセグメントとの関係、前記ネットワークシステム内の機器とセグメントとの接続関係、および、前記ネットワークシステム内の機器と当該機器が提供するサービスで使用するポート番号との対応関係を示すネットワーク構成情報を入力するネットワーク構成情報入力手段と、
    ネットワーク構成情報に基づいて、侵入検知システムが配置されているセグメントを特定し、ネットワークシステムが備えるセキュリティ機器の複数種類のセキュリティ機能の設定を定めた各セキュリティ機能の設定情報のうち、前記侵入検知システムとは異なる前記ファイアウォールの設定情報であって、セグメント間で送受信されるパケットの通過を許可するか禁止するかをポート番号に応じて定めた前記ファイアウォールの設定情報から、前記侵入検知システムが配置されているセグメントに関する記述箇所を抽出し、当該記述箇所と、ポート番号に応じてパケットを監視するか否かを定めた前記侵入検知システムの設定情報とを比較して、設定情報間の不整合を検出する設定情報分析手段とを備えた
    ことを特徴とするセキュリティポリシー不整合解消支援システム。
  2. ネットワークシステム内のファイアウォールとセグメントとの接続関係、前記ネットワークシステム内の侵入検知システムと当該侵入検知システムが配置されているセグメントとの関係、前記ネットワークシステム内の機器とセグメントとの接続関係、および、前記ネットワークシステム内の機器と当該機器が提供するサービスで使用するポート番号との対応関係を示すネットワーク構成情報を記憶するネットワーク構成情報記憶手段を備え、
    設定情報分析手段は、ネットワーク構成情報記憶手段に記憶されるネットワーク構成情報に基づいて、侵入検知システムが配置されているセグメントを特定し、各セキュリティ機能の設定情報のうち、前記侵入検知システムとは異なる前記ファイアウォールの設定情報であって、セグメント間で送受信されるパケットの通過を許可するか禁止するかをポート番号に応じて定めた前記ファイアウォールの設定情報から、前記侵入検知システムが配置されているセグメントに関する記述箇所を抽出し、当該記述箇所と、ポート番号に応じてパケットを監視するか否かを定めた前記侵入検知システムの設定情報とを比較して、設定情報間の不整合を検出する
    請求項１に記載のセキュリティポリシー不整合解消支援システム。
  3. ネットワークシステム内のファイアウォールとセグメントとの接続関係、前記ネットワークシステム内の侵入検知システムと当該侵入検知システムが配置されているセグメントとの関係、前記ネットワークシステム内の機器とセグメントとの接続関係、および、前記ネットワークシステム内の機器と当該機器が提供するサービスで使用するポート番号との対応関係を示すネットワーク構成情報を記憶するネットワーク構成情報記憶手段と、
    ネットワーク構成情報記憶手段に記憶されるネットワーク構成情報に基づいて、侵入検知システムが配置されているセグメントを特定し、ネットワークシステムが備えるセキュリティ機器の複数種類のセキュリティ機能の設定を定めた各セキュリティ機能の設定情報のうち、前記侵入検知システムとは異なる前記ファイアウォールの設定情報であって、セグメント間で送受信されるパケットの通過を許可するか禁止するかをポート番号に応じて定めた前記ファイアウォールの設定情報から、前記侵入検知システムが配置されているセグメントに関する記述箇所を抽出し、当該記述箇所と、ポート番号に応じてパケットを監視するか否かを定めた前記侵入検知システムの設定情報とを比較して、設定情報間の不整合を検出する設定情報分析手段とを備えた
    ことを特徴とするセキュリティポリシー不整合解消支援システム。
  4. 各セキュリティ機能の設定情報を記憶する設定情報記憶手段を備え、
    設定情報分析手段は、ネットワーク構成情報に基づいて、侵入検知システムが配置されているセグメントを特定し、設定情報記憶手段に記憶された各セキュリティ機能の設定情報のうち、前記侵入検知システムとは異なるファイアウォールの設定情報であって、セグメント間で送受信されるパケットの通過を許可するか禁止するかをポート番号に応じて定めた前記ファイアウォールの設定情報から、前記侵入検知システムが配置されているセグメントに関する記述箇所を抽出し、当該記述箇所と、ポート番号に応じてパケットを監視するか否かを定めた前記侵入検知システムの設定情報とを比較して、設定情報間の不整合を検出する
    請求項１から請求項３のうちのいずれか１項に記載のセキュリティポリシー不整合解消支援システム。
  5. 各セキュリティ機能の設定情報を取得する設定情報取得手段と、
    設定情報取得手段が取得した各設定情報を設定情報記憶手段に記憶させる設定情報登録手段とを備えた
    請求項４に記載のセキュリティポリシー不整合解消支援システム。
  6. 各セキュリティ機能の設定情報を取得する設定情報取得手段を備え、
    設定情報分析手段は、ネットワーク構成情報に基づいて、侵入検知システムが配置されているセグメントを特定し、設定情報取得手段が取得した各セキュリティ機能の設定情報のうち、前記侵入検知システムとは異なるファイアウォールの設定情報であって、セグメント間で送受信されるパケットの通過を許可するか禁止するかをポート番号に応じて定めた前記ファイアウォールの設定情報から、前記侵入検知システムが配置されているセグメントに関する記述箇所を抽出し、当該記述箇所と、ポート番号に応じてパケットを監視するか否かを定めた前記侵入検知システムの設定情報とを比較して、設定情報間の不整合を検出する
    請求項１から請求項３のうちのいずれか１項に記載のセキュリティポリシー不整合解消支援システム。
  7. 設定情報取得手段は、管理者によって設定情報を入力されることによって設定情報を取得する
    請求項５または請求項６に記載のセキュリティポリシー不整合解消支援システム。
  8. 設定情報取得手段は、セキュリティ機器が保持している設定情報をセキュリティ機器から収集することによって設定情報を取得する
    請求項５または請求項６に記載のセキュリティポリシー不整合解消支援システム。
  9. 設定情報の収集対象となる機器を備え、
    前記機器は、当該機器のセキュリティ機能の設定情報を抽出し、前記設定情報を設定情報取得手段に送信する設定情報送信手段を含む
    請求項５または請求項６に記載のセキュリティポリシー不整合解消支援システム。
  10. 設定情報分析手段によって不整合が検出されたときに、当該不整合の種類およびネットワーク構成情報が示す内容に応じて、前記不整合の危険度を導出するリスク値計算手段を備えた
    請求項１から請求項９のうちのいずれか１項に記載のセキュリティポリシー不整合解消支援システム。
  11. 設定情報分析手段によって不整合が検出されたときに、当該不整合を解消するための設定情報の修正方法を導出する修正方法生成手段を備えた
    請求項１から請求項１０のうちのいずれか１項に記載のセキュリティポリシー不整合解消支援システム。
  12. 修正方法生成手段によって導出された修正方法を表示して、前記修正方法に従って設定情報を修正するか否かの選択を管理者に促す修正選択手段と、
    管理者によって設定情報を修正すると選択された場合に、前記修正方法に従って設定情報を修正する設定情報修正手段とを備えた
    請求項１１に記載のセキュリティポリシー不整合解消支援システム。
  13. 複数のセキュリティ機能の設定情報の不整合の種類を導出する規則である設定情報分析規則を、設定情報の組み合わせ毎に記憶する分析規則記憶手段を備え、
    設定情報分析手段は、不整合検出の対象となる複数の設定情報の組み合わせに応じた設定情報分析規則を分析規則記憶手段から読み込み、当該設定情報分析規則に従って、前記複数の設定情報の内容およびネットワーク構成情報の内容に応じた不整合を検出する
    請求項１０または請求項１２に記載のセキュリティポリシー不整合解消支援システム。
  14. 設定情報分析手段によって検出された不整合の種類に応じて設定情報の修正パターンを記述した対処案を導出する規則である対処案生成規則を、複数の設定情報と設定情報分析規則との組み合わせ毎に記憶する対処案生成規則記憶手段を備え、
    修正方法生成手段は、不整合検出の対象となった複数の設定情報と設定情報分析手段によって読み込まれた設定情報分析規則との組み合わせに応じた対処案生成規則を読込み、当該対処案生成規則に従って、検出された不整合の種類に応じて、不整合検出の対象となった設定情報の修正パターンを含む対処案を特定し、前記対処案に含まれる修正パターンに従って設定情報の修正方法を導出する
    請求項１３に記載のセキュリティポリシー不整合解消支援システム。
  15. 分析規則記憶手段は、
    ファイアウォールの設定情報と侵入検知システムの設定情報との組み合わせに対応する設定情報分析規則であって、
    管理対象となるネットワークシステムで稼働しているサービスに関係するパケットについて、
    ファイアウォールの設定情報では通過が許可されているパケットが侵入検知システムの設定情報では監視対象となっていない場合に、通過が許可されて監視が行われるべきパケットに対する監視を行っていない監視漏れ不整合が生じていて、
    ファイアウォールの設定情報では通過が禁止されているパケットが侵入検知システムの設定情報では監視対象となっている場合に、通過が許可されて監視が行われるべきパケットに対して通過が禁止されているフィルタ過剰不整合が生じていて、
    ファイアウォールの設定情報では通過が禁止されているパケットが侵入検知システムの設定情報では監視対象となっていない場合に、通過が許可されて監視が行われるべきパケットに対して通過が禁止され監視を行っていないフィルタ過剰かつ監視漏れ不整合が生じていて、
    管理対象となるネットワークシステムで稼働していないサービスに関係するパケットについて、
    ファイアウォールの設定情報では通過が許可されているパケットが侵入検知システムの設定情報では監視対象となっている場合に、通過が禁止されて監視が行われないべきであるパケットに対して通過が許可され監視が行われているフィルタ漏れかつ監視過剰不整合が生じていて、
    ファイアウォールの設定情報では通過が許可されているパケットが侵入検知システムの設定情報では監視対象となっていない場合に、通過が禁止されて監視が行われないべきであるパケットに対して通過が許可されているフィルタ漏れ不整合が生じていて、
    ファイアウォールの設定情報では通過が禁止されているパケットが侵入検知システムの設定情報では監視対象となっている場合に、通過が禁止されて監視が行われないべきであるパケットに対して監視が行われている監視過剰不整合が生じている
    と定めた設定情報分析規則を記憶し、
    設定情報分析手段は、
    前記設定情報分析規則を読込み、ファイアウォールの設定情報と侵入検知システムの設定情報とを比較し、ネットワーク構成情報の内容を参照して、前記設定情報分析規則に従って、
    通過が許可されて監視が行われるべきパケットが、ファイアウォールの設定情報では通過が許可されて侵入検知システムの設定情報では監視対象となっていない場合には、監視漏れ不整合を検出し、当該監視漏れ不整合の原因となる侵入検知システムの設定情報の記述箇所を特定し、
    通過が許可されて監視が行われるべきパケットが、ファイアウォールの設定情報では通過が禁止されて侵入検知システムの設定情報では監視対象となっている場合には、フィルタ過剰不整合を検出し、当該フィルタ過剰不整合の原因となるファイアウォールの設定情報の記述箇所を特定し、
    通過が許可されて監視が行われるべきパケットが、ファイアウォールの設定情報では通過が禁止されて侵入検知システムの設定情報では監視対象となっていない場合に、フィルタ過剰かつ監視漏れ不整合を検出し、当該フィルタ過剰不整合の原因となるファイアウォールの設定情報の記述箇所と、当該監視漏れ不整合の原因となる侵入検知システムの設定情報の記述箇所とを特定し、
    通過が禁止されて監視が行われないべきであるパケットが、ファイアウォールの設定情報では通過が許可されて侵入検知システムの設定情報では監視対象となっている場合に、フィルタ漏れかつ監視過剰不整合を検出し、当該フィルタ漏れ不整合の原因となるファイアウォールの設定情報の記述箇所と、当該監視過剰不整合の原因となる侵入検知システムの設定情報の記述箇所とを特定し、
    通過が禁止されて監視が行われないべきであるパケットが、ファイアウォールの設定情報では通過が許可されて侵入検知システムの設定情報では監視対象となっていない場合に、フィルタ漏れ不整合を検出し、当該フィルタ漏れ不整合の原因となるファイアウォールの設定情報の記述箇所を特定し、
    通過が禁止されて監視が行われないべきであるパケットが、ファイアウォールの設定情報では通過が禁止されてパケットが侵入検知システムの設定情報では監視対象となっている場合に、監視過剰不整合を検出し、当該監視過剰不整合の原因となる侵入検知システムの設定情報の記述箇所を特定し、
    対処案生成規則記憶手段は、
    ファイアウォールの設定情報と侵入検知システムの設定情報と前記設定情報分析規則との組み合わせに対応する対処案生成規則であって、監視漏れ不整合に対応する侵入検知システムの設定情報の修正パターンを定め、フィルタ過剰不整合に対応するファイアウォールの設定情報の修正パターンを定め、監視過剰不整合に対応する侵入検知システムの設定情報の修正パターンを定め、フィルタ漏れ不整合に対応するファイアウォールの設定情報の修正パターンを定めた対処案生成規則を記憶し、
    修正方法生成手段は、
    監視漏れ不整合が検出された場合には、監視漏れ不整合に対応する侵入検知システムの設定情報の修正パターンに従って、監視漏れ不整合の原因となる侵入検知システムの設定情報の記述箇所に基づいて、侵入検知システムの設定情報の修正方法を生成し、
    フィルタ過剰不整合が検出された場合には、フィルタ過剰不整合に対応するファイアウォールの設定情報の修正パターンに従って、フィルタ過剰不整合の原因となるファイアウォールの設定情報の記述箇所に基づいて、ファイアウォールの設定情報の修正方法を生成し、
    監視過剰不整合が検出された場合には、監視過剰不整合に対応する侵入検知システムの設定情報の修正パターンに従って、監視過剰不整合の原因となる侵入検知システムの設定情報の記述箇所に基づいて、侵入検知システムの設定情報の修正方法を生成し、
    フィルタ漏れ不整合が検出された場合には、フィルタ漏れ不整合に対応するファイアウォールの設定情報の修正パターンに従って、フィルタ漏れ不整合の原因となるファイアウォールの設定情報の記述箇所に基づいて、ファイアウォールの設定情報の修正方法を生成する
    請求項１４に記載のセキュリティポリシー不整合解消支援システム。
  16. 対処案生成規則記憶手段は、
    フィルタ過剰不整合に対応するファイアウォールの設定情報の修正パターンとして、不整合原因となったファイアウォールの設定情報の記述箇所より優先順位が高い記述であってパケットの通過を許可する記述を挿入する旨の修正パターンを定め、フィルタ漏れ不整合に対応するファイアウォールの設定情報の修正パターンとして、不整合原因となったファイアウォールの設定情報の記述箇所より優先順位が高い記述であってパケットの通過を禁止する記述を挿入する旨の修正パターンを定めた対処案生成規則を記憶し、
    修正方法生成手段は、
    フィルタ過剰不整合が検出された場合には、フィルタ過剰不整合に対応する修正パターンに従って、フィルタ過剰不整合の原因として特定されたファイアウォールの設定情報の記述箇所より優先順位が高い記述であって侵入検知システムが監視対象としているパケットのポート番号、およびそのポート番号を使用するサービスが稼動しているサーバのＩＰアドレスを有するパケットの通過を許可する記述を挿入するという修正方法を生成し、
    フィルタ漏れ不整合が検出された場合には、フィルタ漏れ不整合に対応する修正パターンに従って、フィルタ漏れ不整合の原因として特定されたファイアウォールの設定情報の記述箇所より優先順位が高い記述であって侵入検知システムが監視対象としていないパケットのポート番号を有するパケットの通過を禁止する記述を挿入するという修正方法を生成する
    請求項１５に記載のセキュリティポリシー不整合解消支援システム。
  17. ネットワーク構成情報入力手段が、ネットワークシステム内のファイアウォールとセグメントとの接続関係、前記ネットワークシステム内の侵入検知システムと当該侵入検知システムが配置されているセグメントとの関係、前記ネットワークシステム内の機器とセグメントとの接続関係、および、前記ネットワークシステム内の機器と当該機器が提供するサービスで使用するポート番号との対応関係を示すネットワーク構成情報を入力し、
    設定情報分析手段が、ネットワーク構成情報に基づいて、侵入検知システムが配置されているセグメントを特定し、ネットワークシステムが備えるセキュリティ機器の複数種類のセキュリティ機能の設定を定めた各セキュリティ機能の設定情報のうち、前記侵入検知システムとは異なる前記ファイアウォールの設定情報であって、セグメント間で送受信されるパケットの通過を許可するか禁止するかをポート番号に応じて定めた前記ファイアウォールの設定情報から、前記侵入検知システムが配置されているセグメントに関する記述箇所を抽出し、当該記述箇所と、ポート番号に応じてパケットを監視するか否かを定めた前記侵入検知システムの設定情報とを比較して、設定情報間の不整合を検出する
    ことを特徴とするセキュリティポリシー不整合解消支援方法。
  18. ネットワーク構成情報記憶手段が、ネットワークシステム内のファイアウォールとセグメントとの接続関係、前記ネットワークシステム内の侵入検知システムと当該侵入検知システムが配置されているセグメントとの関係、前記ネットワークシステム内の機器とセグメントとの接続関係、および、前記ネットワークシステム内の機器と当該機器が提供するサービスで使用するポート番号との対応関係を示すネットワーク構成情報を記憶し、
    設定情報分析手段が、ネットワーク構成情報記憶手段に記憶されるネットワーク構成情報に基づいて、侵入検知システムが配置されているセグメントを特定し、ネットワークシステムが備えるセキュリティ機器の複数種類のセキュリティ機能の設定を定めた各セキュリティ機能の設定情報のうち、前記侵入検知システムとは異なる前記ファイアウォールの設定情報であって、セグメント間で送受信されるパケットの通過を許可するか禁止するかをポート番号に応じて定めた前記ファイアウォールの設定情報から、前記侵入検知システムが配置されているセグメントに関する記述箇所を抽出し、当該記述箇所と、ポート番号に応じてパケットを監視するか否かを定めた前記侵入検知システムの設定情報とを比較して、設定情報間の不整合を検出する
    ことを特徴とするセキュリティポリシー不整合解消支援方法。
  19. 設定情報記憶手段が、各セキュリティ機能の設定情報を記憶し、
    設定情報分析手段が、ネットワーク構成情報に基づいて、侵入検知システムが配置されているセグメントを特定し、設定情報記憶手段に記憶された各セキュリティ機能の設定情報のうち、前記侵入検知システムとは異なるファイアウォールの設定情報であって、セグメント間で送受信されるパケットの通過を許可するか禁止するかをポート番号に応じて定めた前記ファイアウォールの設定情報から、前記侵入検知システムが配置されているセグメントに関する記述箇所を抽出し、当該記述箇所と、ポート番号に応じてパケットを監視するか否かを定めた前記侵入検知システムの設定情報とを比較して、設定情報間の不整合を検出する
    請求項１７または請求項１８に記載のセキュリティポリシー不整合解消支援方法。
  20. 設定情報取得手段が、各セキュリティ機能の設定情報を取得し、
    設定情報分析手段が、ネットワーク構成情報に基づいて、侵入検知システムが配置されているセグメントを特定し、設定情報取得手段が取得した各セキュリティ機能の設定情報のうち、前記侵入検知システムとは異なるファイアウォールの設定情報であって、セグメント間で送受信されるパケットの通過を許可するか禁止するかをポート番号に応じて定めた前記ファイアウォールの設定情報から、前記侵入検知システムが配置されているセグメントに関する記述箇所を抽出し、当該記述箇所と、ポート番号に応じてパケットを監視するか否かを定めた前記侵入検知システムの設定情報とを比較して、設定情報間の不整合を検出する
    請求項１７または請求項１８に記載のセキュリティポリシー不整合解消支援方法。
  21. リスク値計算手段が、設定情報分析手段によって不整合が検出されたときに、当該不整合の種類およびネットワーク構成情報が示す内容に応じて、前記不整合の危険度を導出する
    請求項１７から請求項２０のうちのいずれか１項に記載のセキュリティポリシー不整合解消支援方法。
  22. 修正方法生成手段が、設定情報分析手段によって不整合が検出されたときに、当該不整合を解消するための設定情報の修正方法を導出する
    請求項１７から請求項２１のうちのいずれか１項に記載のセキュリティポリシー不整合解消支援方法。
  23. ネットワークシステムが備えるセキュリティ機器の複数種類のセキュリティ機能の設定を定めた各セキュリティ機能の設定情報を記憶する設定情報記憶手段を備えたコンピュータに、
    ネットワークシステム内のファイアウォールとセグメントとの接続関係、前記ネットワークシステム内の侵入検知システムと当該侵入検知システムが配置されているセグメントとの関係、前記ネットワークシステム内の機器とセグメントとの接続関係、および、前記ネットワークシステム内の機器と当該機器が提供するサービスで使用するポート番号との対応関係を示すネットワーク構成情報を入力するネットワーク構成情報入力処理、および
    ネットワーク構成情報に基づいて、侵入検知システムが配置されているセグメントを特定し、各セキュリティ機能の設定情報のうち、前記侵入検知システムとは異なる前記ファイアウォールの設定情報であって、セグメント間で送受信されるパケットの通過を許可するか禁止するかをポート番号に応じて定めた前記ファイアウォールの設定情報から、前記侵入検知システムが配置されているセグメントに関する記述箇所を抽出し、当該記述箇所と、ポート番号に応じてパケットを監視するか否かを定めた前記侵入検知システムの設定情報とを比較して、設定情報間の不整合を検出する設定情報分析処理
    を実行させるためのセキュリティポリシー不整合解消支援プログラム。
  24. ネットワークシステム内のファイアウォールとセグメントとの接続関係、前記ネットワークシステム内の侵入検知システムと当該侵入検知システムが配置されているセグメントとの関係、前記ネットワークシステム内の機器とセグメントとの接続関係、および、前記ネットワークシステム内の機器と当該機器が提供するサービスで使用するポート番号との対応関係を示すネットワーク構成情報を記憶するネットワーク構成情報記憶手段を備えたコンピュータに、
    ネットワーク構成情報記憶手段に記憶されるネットワーク構成情報に基づいて、侵入検知システムが配置されているセグメントを特定し、ネットワークシステムが備えるセキュリティ機器の複数種類のセキュリティ機能の設定を定めた各セキュリティ機能の設定情報のうち、前記侵入検知システムとは異なる前記ファイアウォールの設定情報であって、セグメント間で送受信されるパケットの通過を許可するか禁止するかをポート番号に応じて定めた前記ファイアウォールの設定情報から、前記侵入検知システムが配置されているセグメントに関する記述箇所を抽出し、当該記述箇所と、ポート番号に応じてパケットを監視するか否かを定めた前記侵入検知システムの設定情報とを比較して、設定情報間の不整合を検出する設定情報分析処理
    を実行させるためのセキュリティポリシー不整合解消支援プログラム。
  25. ネットワークシステムが備えるセキュリティ機器の複数種類のセキュリティ機能の設定を定めた各セキュリティ機能の設定情報を記憶する設定情報記憶手段と、ネットワークシステム内のファイアウォールとセグメントとの接続関係、前記ネットワークシステム内の侵入検知システムと当該侵入検知システムが配置されているセグメントとの関係、前記ネットワークシステム内の機器とセグメントとの接続関係、および、前記ネットワークシステム内の機器と当該機器が提供するサービスで使用するポート番号との対応関係を示すネットワーク構成情報を記憶するネットワーク構成情報記憶手段とを備えたコンピュータに、
    ネットワーク構成情報記憶手段に記憶されるネットワーク構成情報に基づいて、侵入検知システムが配置されているセグメントを特定し、各セキュリティ機能の設定情報のうち、前記侵入検知システムとは異なる前記ファイアウォールの設定情報であって、セグメント間で送受信されるパケットの通過を許可するか禁止するかをポート番号に応じて定めた前記ファイアウォールの設定情報から、前記侵入検知システムが配置されているセグメントに関する記述箇所を抽出し、当該記述箇所と、ポート番号に応じてパケットを監視するか否かを定めた前記侵入検知システムの設定情報とを比較して、設定情報間の不整合を検出する設定情報分析処理
    を実行させるためのセキュリティポリシー不整合解消支援プログラム。
  26. コンピュータに、
    ネットワークシステム内のファイアウォールとセグメントとの接続関係、前記ネットワークシステム内の侵入検知システムと当該侵入検知システムが配置されているセグメントとの関係、前記ネットワークシステム内の機器とセグメントとの接続関係、および、前記ネットワークシステム内の機器と当該機器が提供するサービスで使用するポート番号との対応関係を示すネットワーク構成情報を入力するネットワーク構成情報入力処理、および
    ネットワーク構成情報に基づいて、侵入検知システムが配置されているセグメントを特定し、ネットワークシステムが備えるセキュリティ機器の複数種類のセキュリティ機能の設定を定めた各セキュリティ機能の設定情報のうち、前記侵入検知システムとは異なる前記ファイアウォールの設定情報であって、セグメント間で送受信されるパケットの通過を許可するか禁止するかをポート番号に応じて定めた前記ファイアウォールの設定情報から、前記侵入検知システムが配置されているセグメントに関する記述箇所を抽出し、当該記述箇所と、ポート番号に応じてパケットを監視するか否かを定めた前記侵入検知システムの設定情報とを比較して、設定情報間の不整合を検出する設定情報分析処理
    を実行させるためのセキュリティポリシー不整合解消支援プログラム。
  27. コンピュータに、
    設定情報分析処理で不整合が検出されたときに、当該不整合の種類およびネットワーク構成情報が示す内容に応じて、前記不整合の危険度を導出するリスク値計算処理
    を実行させる請求項２３から請求項２６のうちのいずれか１項に記載のセキュリティポリシー不整合解消支援プログラム。
  28. コンピュータに、
    設定情報分析処理で不整合が検出されたときに、当該不整合を解消するための設定情報の修正方法を導出する修正方法生成処理
    を実行させる請求項２３から請求項２７のうちのいずれか１項に記載のセキュリティポリシー不整合解消支援プログラム。
JP2006021114A 2006-01-30 2006-01-30 セキュリティポリシー不整合解消支援システム、方法およびプログラム Active JP4735290B2 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2006021114A JP4735290B2 (ja) 2006-01-30 2006-01-30 セキュリティポリシー不整合解消支援システム、方法およびプログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2006021114A JP4735290B2 (ja) 2006-01-30 2006-01-30 セキュリティポリシー不整合解消支援システム、方法およびプログラム

Publications (2)

Publication Number Publication Date
JP2007202079A JP2007202079A (ja) 2007-08-09
JP4735290B2 true JP4735290B2 (ja) 2011-07-27

Family

ID=38456166

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2006021114A Active JP4735290B2 (ja) 2006-01-30 2006-01-30 セキュリティポリシー不整合解消支援システム、方法およびプログラム

Country Status (1)

Country Link
JP (1) JP4735290B2 (ja)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP5681804B2 (ja) * 2011-09-20 2015-03-11 株式会社日立製作所 リスク判定方法及びリスク判定サーバ
WO2014076821A1 (ja) * 2012-11-16 2014-05-22 富士通株式会社 検証システム、管理装置、検証方法およびプログラム
JP6731789B2 (ja) * 2016-06-03 2020-07-29 キヤノン株式会社 ネットワークデバイス及びその制御方法、プログラム

Also Published As

Publication number Publication date
JP2007202079A (ja) 2007-08-09

Similar Documents

Publication Publication Date Title
US20220414217A1 (en) System and method of protecting client computers
US9363286B2 (en) System and methods for detection of fraudulent online transactions
US8239951B2 (en) System, method and computer readable medium for evaluating a security characteristic
US7882537B2 (en) Method and apparatus for security policy management
US8701177B2 (en) Method and apparatus for graphical presentation of firewall security policy
US7930752B2 (en) Method for the detection and visualization of anomalous behaviors in a computer network
US20150135316A1 (en) System and method of protecting client computers
US20130055399A1 (en) Automatic analysis of security related incidents in computer networks
CN106663169A (zh) 使用无监督式机器学习和优先权算法的高速威胁情报管理的系统及方法
US20220191230A1 (en) Diagnosing and managing network vulnerabilities
EP2203860A2 (en) System and method for detecting security defects in applications
US20070107041A1 (en) Information processor, method and program for controlling incident response device
JP4735290B2 (ja) セキュリティポリシー不整合解消支援システム、方法およびプログラム
EP2922265A1 (en) System and methods for detection of fraudulent online transactions
US20110055924A1 (en) Graph structures for event matching
Bolzoni et al. ATLANTIDES: An Architecture for Alert Verification in Network Intrusion Detection Systems.
JP6962239B2 (ja) ネットワーク管理装置、ネットワーク管理方法、ネットワーク管理プログラム、及びネットワークシステム
JP4389853B2 (ja) セキュリティポリシー不整合解消支援システム、方法およびプログラム
US20110185166A1 (en) Slider Control for Security Grouping and Enforcement
AT&T synthesize_stat_res.eps
Calvo et al. An Adaptive Web Application Firewall.
Fakoorrad Application Layer of Software Defined Networking: pros and cons in terms of security
CN117879892A (zh) 物联网安全风险事件预测方法及装置
JP2004363923A (ja) セキュリティ管理システムとそのホスト装置及び管理装置とセキュリティ管理方法
LaPadula State of the Art in CyberSecurity Monitoring

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20081212

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20100924

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20101012

A521 Written amendment

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20101210

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20110111

A521 Written amendment

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20110308

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20110329

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20110411

R150 Certificate of patent or registration of utility model

Ref document number: 4735290

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

Free format text: JAPANESE INTERMEDIATE CODE: R150

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20140513

Year of fee payment: 3