JP6419035B2 - ファイアウォール管理装置およびファイアウォール管理プログラム - Google Patents

Description

本発明は、ファイアウォール装置を管理する技術に関するものである。

ネットワークセキュリティ機器であるファイアウォールは、アクセス制御リスト（ＡＣＬ）と呼ばれるリストに基づき、ファイアウォールを経由する通信パケットを通過させるか、または、遮断するかを判断する。
ＡＣＬは、送信元ＩＰアドレス、送信元ポート、宛先ＩＰアドレス、宛先ポート、通信プロトコルといった情報に対応付けて、アクションが定義される。アクションは、通信パケットの通過の許可もしくは拒否を示す。

ＡＣＬが誤っていると、通過させるべき通信パケットがファイアウォールで遮断されて通信障害が発生し、また、遮断すべき通信パケットがファイアウォールを通過してセキュリティ上の脅威が発生する。
そのため、ＡＣＬは十分に検証した後に導入しなければならない。

ＡＣＬは通信の要件を基に作成されるが、通信の要件を作成するユーザが対象システムのネットワーク構成を十分に理解しているとは限らない。そのため、誤った要件が作成されてしまい、誤った要件を基に誤ったＡＣＬが作成されてしまう可能性がある。
例えば、複数のポートが使用されるシステムについて、使用されるポートのうちの１つまたは複数が通信の要件から漏れてしまう可能性がある。この場合、誤ったＡＣＬが作成されて、通信障害が発生する。

特許文献１は、ホスティングサービスにおける共用ファイアウォールの設定方法に関する技術を開示している。
その技術は、ホスティングサービスを利用するユーザから要件変更要求を受けて、ユーザに割り振られたＩＰアドレスを要件変更要求に付加し、ＡＣＬを自動で生成し、生成したＡＣＬを共用ファイアウォールに設定する、というものである。
しかし、複数のファイアウォールを経由する通信パケットに関する要件変更要求があった場合、各ファイアウォールに設定されているルーティング情報を基に、ＡＣＬの設定が必要なファイアウォールを適切に設定することができない。そのため、最適なＡＣＬを生成することができない。

特開２００５−２１７７５７号公報

本発明は、パケットを中継するファイアウォールが複数あっても、それぞれのファイアウォールのアクセス制御リストに追加するエントリを、通信要件に従って生成できるようにすることを目的とする。

本発明のファイアウォール管理装置は、
送信元アドレスと、宛先アドレスと、通信の可否を示すアクションと、を受け付ける要件受付部と、
受け付けられた送信元アドレスと受け付けられた宛先アドレスとが設定されたパケットが送信された場合に前記パケットを中継するために前記パケットに設定されている送信元アドレスと宛先アドレスとの少なくともいずれかのアドレスを変換するファイアウォール装置である変換ファイアウォールを、ファイアウォール装置別のテーブルであって変換前アドレスと変換後アドレスとを互いに対応付けるテーブルであるアドレス変換テーブルを用いて特定するファイアウォール特定部と、
特定された変換ファイアウォールに設定されるアクセス制御リストに登録するエントリとして、受け付けられたアクションを設定したエントリを生成するエントリ生成部とを備える。

本発明によれば、パケットを中継するファイアウォールが複数あっても、各ファイアウォールを特定することができる。そのため、それぞれのファイアウォールのアクセス制御リストに追加するエントリを、通信要件に従って生成することができる。

実施の形態１におけるファイアウォール管理装置１００の機能構成図。 実施の形態１における要件データ１０１の構成図。 実施の形態１における要件受付部１１０の機能構成図。 実施の形態１における通信要件１０２の分割を示す概要図。 実施の形態１におけるファイアウォール設定ファイル１８０の構成図。 実施の形態１におけるファイアウォール特定部１２０の機能構成図。 実施の形態１におけるアドレス変換一覧１２２および特定情報１２４の構成図。 実施の形態１における特定情報１２６の生成を示す概要図。 実施の形態１における特定情報１２４と特定情報１２６と特定情報１０３との関係図。 実施の形態１におけるエントリ生成部１３０の機能構成図。 実施の形態１における通信要件１０２と特定情報１０３とアクセス制御エントリ１０４との関係図。 実施の形態１におけるアクセス制御エントリ１０４の集約を示す概要図。 実施の形態１におけるファイアウォール管理ファイル１９１の構成図。 実施の形態１におけるファイアウォール管理方法のフローチャート。 実施の形態１における要件分割処理（Ｓ１２０）のフローチャート。 実施の形態１におけるファイアウォール特定処理（Ｓ１４０）のフローチャート。 実施の形態１における変換特定処理（Ｓ１４１）のフローチャート。 実施の形態１における送信元アドレス処理（Ｓ１４１１）のフローチャート。 実施の形態１における宛先アドレス処理（Ｓ１４１２）のフローチャート。 実施の形態１における中継特定処理（Ｓ１４２）のフローチャート。 実施の形態１におけるエントリ集約処理（Ｓ１７０）のフローチャート。 実施の形態２におけるファイアウォール管理装置１００の機能構成図。 実施の形態２におけるアクセス制御エントリ１０４の分割を示す概要図。 実施の形態２におけるエントリ分割処理のフローチャート。 実施の形態２におけるエントリ分割処理のフローチャート。 実施の形態３における通信検証システム２００の構成図。 実施の形態３におけるファイアウォール管理装置１００の機能構成図。 実施の形態３における過去要件ファイル１７０の構成図。 実施の形態３における類似度テーブル１９２の構成図。 実施の形態におけるファイアウォール管理装置１００のハードウェア構成図。

実施の形態１．
ファイアウォール装置に設定されるアクセス制御リストに登録するエントリを通信要件に従って生成する形態について、図１から図２１に基づいて説明する。

＊＊＊構成の説明＊＊＊
図１に基づいて、ファイアウォール管理装置１００の機能構成について説明する。
ファイアウォール管理装置１００は、要件受付部１１０と、ファイアウォール特定部１２０と、エントリ生成部１３０と、設定ファイル取得部１４０と、記憶部１９０とを備える。

要件受付部１１０は、１つ以上の通信要件１０２を示す要件データ１０１を受け付ける。
図２において、要件データ１０１は、送信元アドレスと送信元ポートと宛先アドレスと宛先ポートとプロトコルとアクションとのそれぞれの情報を互いに対応付けている。これらの情報は１つ以上の通信要件１０２を示す情報である。
送信元アドレスの情報は、送信元アドレスまたは送信元グループを示す。送信元グループは、連続する複数の送信元アドレスを含むアドレスグループである。ＩＰアドレスは送信元アドレスの一例である。図中の１．１．１．１−３は、１．１．１．１から１．１．１．３までの３つの送信元アドレスを含んだ送信元グループである。
送信元ポートの情報は、送信ポートを示す。図中のａｎｙは全ての送信ポートを意味している。
宛先アドレスの情報は、宛先アドレスまたは宛先グループを示す。宛先グループは、連続する複数の宛先アドレスを含むアドレスグループである。ＩＰアドレスは宛先アドレスの一例である。図中の２．２．２．１−２は、２．２．２．１から２．２．２．２までの２つの宛先アドレスを含んだ宛先グループである。
宛先ポートの情報は、宛先ポートを示す。
プロトコルの情報は、ｔｃｐまたはｕｄｐなどのプロトコルを示す。
アクションの情報は、通信の可否を示す。

図３に基づいて、要件受付部１１０の機能構成について説明する。
要件受付部１１０は、要件データ受付部１１１と、ファイアウォール特定部１２０とを備える。
要件データ受付部１１１は、要件データ１０１を受け付ける。

要件分割部１１２は、要件データ１０１が複数の通信要件１０２を示す場合、要件データ１０１を複数の通信要件１０２に分割する。
つまり、要件分割部１１２は、要件データ１０１が示す送信元グループに含まれる送信元アドレスと要件データ１０１が示す宛先グループに含まれる宛先アドレスとの組み合わせ毎に通信要件１０２を生成する。

図４において、要件データ１０１は３つの送信元アドレスを含んだ送信元グループと２つの宛先アドレスを含んだ宛先グループとを示している。
したがって、要件分割部１１２は、３つの送信元アドレスと２つの宛先アドレスとを組み合わせて、６つの通信要件１０２を生成する。

図１に戻り、ファイアウォール特定部１２０の機能について説明する。
ファイアウォール特定部１２０は、ファイアウォール装置別のファイアウォール設定ファイル１８０を用いて、通信要件１０２毎に変換ファイアウォールと中継ファイアウォールとの少なくともいずれかを特定する。
変換ファイアウォールは、通信要件１０２に示される送信元アドレスと通信要件１０２に示される宛先アドレスとが設定されたパケットが送信された場合に、パケットを中継するために、パケットに設定されている送信元アドレスと宛先アドレスとの少なくともいずれかのアドレスを変換するファイアウォール装置である。アドレスの変換は、ＮＡＴまたはＮＡＰＴと呼ばれる。ＮＡＴはＮｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｉｏｎの略称であり、ＮＡＰＴはＮｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｐｏｒｔ Ｔｒａｎｓｌａｔｉｏｎの略称である。
中継ファイアウォールは、上記のパケットを中継するために、パケットに設定されている送信元アドレスと宛先アドレスとのいずれのアドレスも変換しないファイアウォール装置である。

図５に基づいて、ファイアウォール設定ファイル１８０の構成について説明する。
ファイアウォール設定ファイル１８０は、変換ファイアウォールを特定するために用いられるアドレス変換テーブル１８１と、中継ファイアウォールを特定するために用いられるルーティングテーブル１８２と、アクセス制御リスト１８３とを含んでいる。アクセス制御リスト１８３はＡＣＬという略称で呼ばれる。

アドレス変換テーブル１８１は、内側インタフェースと内側アドレスと外側インタフェースと外側アドレスとのそれぞれの情報を互いに対応付けている。
内側インタフェースの情報は、内側ネットワークに接続するインタフェースを識別するインタフェース名を示す。内側ネットワークは、ファイアウォール装置が接続する２つのネットワークのうちの一方のネットワークである。
内側アドレスの情報は、変換前の送信元アドレスに相当する変換前アドレスと変換後の宛先アドレスに相当する変換後アドレスとを示す。
外側インタフェースの情報は、外側ネットワークに接続するインタフェースを識別するインタフェース名を示す。外側ネットワークは、ファイアウォール装置が接続する２つのネットワークのうちの他方のネットワークである。
外側アドレスの情報は、変換後の送信元アドレスに相当する変換後アドレスと変換前の宛先アドレスに相当する変換前アドレスとを示す。

ルーティングテーブル１８２は、宛先と出力インタフェースと次ホップとのそれぞれの情報を互いに対応付けている。
宛先の情報は、ルートアドレスを示す。ルートアドレスは、ファイアウォール装置が接続するいずれかのネットワークで使用されるアドレスである。図中のｄｅｆａｕｌｔはｙ’とＺとを除いたアドレスを意味する。
出力インタフェースの情報は、ルートアドレスが使用されるネットワークに接続するインタフェースを識別するインタフェース名を示す。
次ホップの情報は、パケットを次に中継する中継装置を示す。

アクセス制御リスト１８３は、要件データ１０１および通信要件１０２と同じく、送信元アドレスと送信元ポートと宛先アドレスと宛先ポートとプロトコルとアクションとのそれぞれの情報を互いに対応付けている。
アクセス制御リスト１８３に登録されるエントリをアクセス制御エントリという。

図６に基づいて、ファイアウォール特定部１２０の機能構成について説明する。
ファイアウォール特定部１２０は、一覧生成部１２１と、変換特定部１２３と、中継特定部１２５と、特定制御部１２７とを備える。

一覧生成部１２１は、ファイアウォール装置別のアドレス変換テーブル１８１を用いて、アドレス変換一覧１２２を生成する。
図７に基づいて、アドレス変換一覧１２２の構成について説明する。
アドレス変換一覧１２２は、ファイアウォール名と内側アドレスと外側アドレスとを互いに対応付けている。
内側アドレスおよび外側アドレスは、ファイアウォール別のアドレス変換テーブル１８１から抽出されたアドレスを示す。
ファイアウォール名は、アドレス変換テーブル１８１に対応するファイアウォール装置を識別する名称を示す。

図６に戻り、変換特定部１２３の機能について説明する。
変換特定部１２３は、アドレス変換一覧１２２を用いて、通信要件１０２毎に変換ファイアウォールを特定する。
そして、変換特定部１２３は、特定した変換ファイアウォールの情報である特定情報１２４を生成する。

変換ファイアウォールの一例は、第１の送信元ファイアウォール、第２の送信元ファイアウォールおよび宛先ファイアウォールである。
第１の送信元ファイアウォールは、通信要件１０２に示される送信元アドレスと同じ変換前アドレスと変換前アドレスに対応付いた変換後アドレスを含んだアドレス変換テーブル１８１に対応するファイアウォール装置である。
図７において、通信要件１０２に示される送信元アドレスがｘである場合、第１の送信元ファイアウォールは、内側アドレスがｘであるＦＷ１である。
ここで、通信要件１０２に示される送信元アドレスと同じ変換前アドレスを第１の変換前アドレスといい、第１の変換前アドレスに対応付いた変換後アドレスを第１の変換後アドレスという。

第２の送信元ファイアウォールは、第１の変換前アドレスに対応付いた第１の変換後アドレスと同じアドレスを変換前アドレスとして含んだアドレス変換テーブル１８１に対応するファイアウォール装置である。
図７において、第１の変換後アドレスがｘ’である場合、第２の送信元ファイアウォールは、内側アドレスがｘ’であるＦＷ５である。

宛先ファイアウォールは、通信要件１０２に示される宛先アドレスと同じ変換前アドレスを含んだアドレス変換テーブル１８１に対応するファイアウォール装置である。
図７において、通信要件１０２に示される宛先アドレスがｙである場合、宛先ファイアウォールは、外側アドレスがｙであるＦＷ３である。

図７に示すように、特定情報１２４は、変換ファイアウォール（送信元ファイアウォール、宛先ファイアウォール）のファイアウォール名と変換前の（送信元アドレス、宛先アドレス）と変換後の（送信元アドレス、宛先アドレス）とを示す。

図６に戻り、中継特定部１２５の機能について説明する。
中継特定部１２５は、ルーティングテーブル１８２を用いて、通信要件１０２毎に中継ファイアウォールを特定する。ここで、変換ファイアウォールは、中継ファイアウォールを特定する対象のファイアウォール装置から除外される。
そして、中継特定部１２５は、特定した中継ファイアウォールの情報である特定情報１２６を生成する。

中継ファイアウォールは、以下の条件（１）または条件（２）を満たすルーティングテーブル１８２に対応するファイアウォール装置である。
条件（１）において、ルーティングテーブル１８２は、変換ファイアウォールによる変換前の送信元アドレスと同じルートアドレスに対応付いたインタフェース名が、変換ファイアウォールによる変換前の宛先アドレスと同じルートアドレスに対応付いたインタフェース名と異なっている。
条件（２）において、ルーティングテーブル１８２は、変換ファイアウォールによる変換前の送信元アドレスと同じルートアドレスに対応付いたインタフェース名が、変換ファイアウォールによる変換前の宛先アドレスと同じルートアドレスに対応付いたインタフェース名と異なっている。
上記の条件は、通常のルーティング設定では送信元アドレスに対応するインタフェースと宛先アドレスに対応するインタフェースとが互いに異なることを根拠としている。パケットは、ファイアウォール装置のインタフェースから同じインタフェースにルーティングされることはない。

図８において、特定情報１２４が示すように、変換ファイアウォールはＦＷ１、ＦＷ５およびＦＷ３である。
これらの変換ファイアウォールによる変換前の（送信元アドレス、宛先アドレス）および変換後の（送信元アドレス、宛先アドレス）は、（ｘ，ｙ）、（ｘ’，ｙ）、（ｘ’’，ｙ）および（ｘ’’，ｙ’）である。
ＦＷ２のルーティングテーブル１８２において、（ｘ，ｙ）、（ｘ’，ｙ）、（ｘ’’，ｙ）および（ｘ’’，ｙ’）の各アドレスに対応付いた出力インタフェースは、いずれもｉｆ１である。つまり、いずれの場合も、送信元アドレスに対応付いた出力インタフェースは、宛先アドレスに対応付いた出力インタフェースと同じである。したがって、ＦＷ２は中継ファイアウォールではない。
ＦＷ４のルーティングテーブル１８２において、（ｘ，ｙ）の送信元アドレス（ｘ）に対応付いた出力インタフェースはｉｆ１である。一方、この（ｘ，ｙ）の宛先アドレス（ｙ）に対応付いた出力インタフェースはｉｆ２である。つまり、送信元アドレス（ｘ）に対応付いた出力インタフェースは、宛先アドレス（ｙ）に対応付いた出力インタフェースと異なっている。したがって、ＦＷ４は中継ファイアウォールである。

図８に示すように、特定情報１２６は、中継ファイアウォールのファイアウォール名と変換前の（送信元アドレス、宛先アドレス）と変換後の（送信元アドレス、宛先アドレス）とを示す。

図６に戻り、特定制御部１２７の機能について説明する。
特定制御部１２７は、一覧生成部１２１、変換特定部１２３および中継特定部１２５を制御する。
また、特定制御部１２７は、特定情報１２４と特定情報１２６とを用いて、特定情報１０３を生成する。
図９に示すように、特定情報１０３は、特定情報１２４と特定情報１２６とを含んだ情報である。つまり、特定情報１０３は、変換ファイアウォールと中継ファイアウォールとのそれぞれのファイアウォール名と変換前の（送信元アドレス、宛先アドレス）と変換後の（送信元アドレス、宛先アドレス）とを示す。

図１に戻り、エントリ生成部１３０の機能について説明する。
エントリ生成部１３０は、特定情報１０３に示される変換ファイアウォールに設定されるアクセス制御リストに登録するエントリとして、通信要件１０２に示されるアクションを設定したエントリを生成する。
また、エントリ生成部１３０は、特定情報１０３に示される中継ファイアウォールに設定されるアクセス制御リストに登録するエントリとして、通信要件１０２に示されるアクションを設定したエントリを生成する。

例えば、エントリ生成部１３０は、以下のようなエントリを生成する。
エントリ生成部１３０は、第１の送信元ファイアウォールのためのエントリとして、通信要件１０２に示される送信元アドレスと通信要件１０２に示されるアクションとを設定したエントリを生成する。
エントリ生成部１３０は、第２の送信元ファイアウォールのためのエントリとして、第１の変換前アドレスに対応付いた第１の変換後アドレスと通信要件１０２に示されるアクションとを設定したエントリを生成する。
エントリ生成部１３０は、宛先ファイアウォールのためのエントリとして、通信要件１０２に示される宛先アドレスと通信要件１０２に示されるアクションとを設定したエントリを生成する。
エントリ生成部１３０は、中継ファイアウォールのためのエントリとして、変換ファイアウォールによる変換前の送信元アドレスと変換ファイアウォールによる変換前の宛先アドレスと通信要件１０２に示されるアクションとを設定したエントリを生成する。

連続する複数の送信元アドレスのそれぞれを変換するファイアウォール装置が変換ファイアウォールとして特定された場合、エントリ生成部１３０は、変換ファイアウォールのためのエントリとして、複数の送信元アドレスを含んだ送信元グループと受け付けられたアクションとを設定したエントリを生成する。
連続する複数の宛先アドレスのそれぞれを変換するファイアウォール装置が変換ファイアウォールとして特定された場合、エントリ生成部１３０は、変換ファイアウォールのためのエントリとして、複数の宛先アドレスを含んだ宛先グループと受け付けられたアクションとを設定したエントリを生成する。

図１０に基づいて、エントリ生成部１３０の機能構成について説明する。
エントリ生成部１３０は、アドレス置換部１３１とエントリ集約部１３２とを備える。

アドレス置換部１３１は、通信要件１０２毎に、特定情報１０３に示されるファイアウォール装置のそれぞれのアクセス制御エントリ１０４を生成する。
図１１に示すように、アクセス制御エントリ１０４は、通信要件１０２に示される（送信元アドレス、宛先アドレス）を特定情報１０３に示される変換前の（送信元アドレス、宛先アドレス）に置換することによって生成される。

図１０に戻り、エントリ集約部１３２の機能について説明する。
エントリ集約部１３２は、１つのファイアウォール装置のためのエントリとして、送信元アドレスと宛先アドレスとの少なくともいずれかが連続する複数のアクセス制御エントリ１０４が生成された場合、複数のアクセス制御エントリ１０４を１つまたは複数のアクセス制御エントリ１０４に集約する。
図１２において、ＦＷｘのアクセス制御ファイル１０５は、６つのアクセス制御エントリ１０４を含んでいる。
上３つのアクセス制御エントリ１０４は、送信元アドレス（１．１．１．１〜１．１．１．３）が連続し、送信元アドレス以外の情報が一致している。同じく、下３つのアクセス制御エントリ１０４は、送信元アドレスが連続し、送信元アドレス以外の情報が一致している。
そのため、６つのアクセス制御エントリ１０４は、２つのアクセス制御エントリ１０４に集約される。集約後の２つのアクセス制御エントリ１０４において、送信元アドレスの情報は、１．１．１．１から１．１．１．３までの３つの送信元アドレスを含んだ送信元グループを示している。
さらに、集約後の２つのアクセス制御エントリ１０４は、宛先アドレス（２．２．２．１〜２．２．２．２）が連続し、宛先アドレス以外の情報が一致している。
そのため、集約後の２つのアクセス制御エントリ１０４は、１つのアクセス制御エントリ１０４に集約される。集約後の１つのアクセス制御エントリ１０４において、宛先アドレスの情報は、２．２．２．１から２．２．２．２までの２つの宛先アドレスを含んだ宛先グループを示している。

図１に戻り、設定ファイル取得部１４０の機能について説明する。
設定ファイル取得部１４０は、ファイアウォール装置別のファイアウォール設定ファイル１８０を取得する。
例えば、設定ファイル取得部１４０は、それぞれのファイアウォール装置と通信を行って、それぞれのファイアウォール装置からファイアウォール設定ファイル１８０を取得する。
また、利用者がファイアウォール装置別のファイアウォール設定ファイル１８０をファイアウォール管理装置１００に入力し、設定ファイル取得部１４０は入力されたファイアウォール装置別のファイアウォール設定ファイル１８０を取得してもよい。

記憶部１９０は、ファイアウォール管理装置１００で使用、生成または入出力されるデータを記憶する。
記憶部１９０に記憶されるデータの一例は、ファイアウォール装置別のファイアウォール設定ファイル１８０、ファイアウォール装置別のアクセス制御ファイル１０５、および、ファイアウォール管理ファイル１９１である。
ファイアウォール装置別のアクセス制御ファイル１０５は、ファイアウォール装置別に生成された１つまたは複数のアクセス制御エントリ１０４を含んだファイルである。
ファイアウォール管理ファイル１９１は、ファイアウォール装置別のファイアウォール設定ファイル１８０およびアクセス制御ファイル１０５を管理するためのファイルである。

図１３に示すように、ファイアウォール管理ファイル１９１は、ファイアウォール名と設定ファイル名と制御ファイル名とを互いに対応付けている。
設定ファイル名は、ファイアウォール設定ファイル１８０を識別する名称である。
制御ファイル名は、アクセス制御ファイル１０５を識別する名称である。

＊＊＊動作の説明＊＊＊
ファイアウォール管理装置１００の動作はファイアウォール管理方法に相当する。また、ファイアウォール管理方法はファイアウォール管理プログラムの処理手順に相当する。

図１４に基づいて、ファイアウォール管理方法について説明する。
Ｓ１１０は要件受付処理である。
Ｓ１１０において、要件データ受付部１１１は、図４に示すような要件データ１０１を受け付ける。

Ｓ１２０は要件分割処理である。
Ｓ１２０において、要件分割部１１２は、要件データ１０１が複数の通信要件１０２を示す場合、要件データ１０１を複数の通信要件１０２に分割する。
つまり、要件分割部１１２は、要件データ１０１が示す送信元グループに含まれる送信元アドレスと要件データ１０１が示す宛先グループに含まれる宛先アドレスとの組み合わせ毎に通信要件１０２を生成する。
図４において、要件データ１０１は３つの送信元アドレスを含んだ送信元グループと２つの宛先アドレスを含んだ宛先グループとを示している。
したがって、要件分割部１１２は、３つの送信元アドレスと２つの宛先アドレスとを組み合わせて、６つの通信要件１０２を生成する。

図１５に基づいて、要件分割処理（Ｓ１２０）について説明する。
Ｓ１２１において、要件分割部１１２は、送信元アドレスの情報が送信元グループを示す通信要件１０２が要件データ１０１に含まれるか判定する。Ｓ１２１において、送信元アドレスの情報が送信元グループを示す通信要件１０２を対象の通信要件という。
対象の通信要件がある場合、処理はＳ１２２に進む。
対象の通信要件がない場合、処理はＳ１２３に進む。

Ｓ１２２において、要件分割部１１２は、送信元グループを示す通信要件１０２を送信元グループに含まれる送信元アドレス別の通信要件１０２に分割する。

Ｓ１２３において、要件分割部１１２は、宛先アドレスの情報が宛先グループを示す通信要件１０２が要件データ１０１に含まれるか判定する。Ｓ１２３において、宛先アドレスの情報が宛先グループを示す通信要件１０２を対象の通信要件という。
対象の通信要件がある場合、処理はＳ１２４に進む。
対象の通信要件がない場合、要件分割処理（Ｓ１２０）は終了する。

Ｓ１２４において、要件分割部１１２は、宛先グループを示す通信要件１０２を宛先グループに含まれる宛先アドレス別の通信要件１０２に分割する。
Ｓ１２４の後、要件分割処理（Ｓ１２０）は終了する。

図１４に戻り、Ｓ１３０から説明を続ける。
Ｓ１３０は通信要件選択処理である。
Ｓ１３０において、特定制御部１２７は、要件データ１０１から未選択の通信要件１０２を１つ選択する。

Ｓ１４０はファイアウォール特定処理である。
Ｓ１４０において、ファイアウォール特定部１２０は、選択された通信要件１０２とファイアウォール別のファイアウォール設定ファイル１８０とを用いて、変換ファイアウォールと中継ファイアウォールとを特定する。

図１６に基づいて、ファイアウォール特定処理（Ｓ１４０）について説明する。
Ｓ１４１は変換特定処理である。
Ｓ１４１において、変換特定部１２３は、通信要件１０２とアドレス変換一覧１２２とを用いて、変換ファイアウォールを特定する。
そして、変換特定部１２３は、特定した変換ファイアウォールの情報である特定情報１２４を生成する。
アドレス変換一覧１２２は、一覧生成部１２１によって予め生成されている。

図１７に基づいて、変換特定処理（Ｓ１４１）について説明する。
Ｓ１４１１は送信元アドレス処理である。
Ｓ１４１１において、変換特定部１２３は、通信要件１０２に示される送信元アドレスについて、変換ファイアウォールを特定する。特定される変換ファイアウォールは送信元ファイアウォールである。

図１８に基づいて、送信元アドレス処理（Ｓ１４１１）について説明する。
Ｓ１４１１１において、変換特定部１２３は、通信要件１０２に示される送信元アドレスと同じ内側アドレスをアドレス変換一覧１２２から検索する。Ｓ１４１１１〜Ｓ１４１１３において、通信要件１０２に示される送信元アドレスと同じ内側アドレスを対象の内側アドレスという。
対象の内側アドレスがある場合、処理はＳ１４１１２に進む。
対象の内側アドレスがない場合、送信元アドレス処理（Ｓ１４１１）は終了する。

Ｓ１４１１２において、変換特定部１２３は、対象の内側アドレスに対応付いたファイアウォール名をアドレス変換一覧１２２から選択する。
選択されたファイアウォール名で識別されるファイアウォール装置は、変換ファイアウォールである。
図７において、通信要件１０２に示される送信元アドレスはｘである。そして、対象の内側アドレスｘに対応付いたファイアウォール名はＦＷ１である。したがって、ＦＷ１で識別されるファイアウォール装置は変換ファイアウォールである。

Ｓ１４１１３において、変換特定部１２３は、対象の内側アドレスに対応付いた外側アドレスをアドレス変換一覧１２２から選択する。
図７において、対象の内側アドレスｘに対応付いた外側アドレスはｘ’である。

Ｓ１４１１４において、変換特定部１２３は、選択した外側アドレスと同じ内側アドレスをアドレス変換一覧１２２から検索する。Ｓ１４１１４〜Ｓ１４１１６において、選択した外側アドレスと同じ内側アドレスを対象の内側アドレスという。
対象の内側アドレスがある場合、処理はＳ１４１１５に進む。
対象の内側アドレスがない場合、送信元アドレス処理（Ｓ１４１１）は終了する。

Ｓ１４１１５において、変換特定部１２３は、対象の内側アドレスに対応付いたファイアウォール名をアドレス変換一覧１２２から選択する。
選択されたファイアウォール名で識別されるファイアウォール装置は、変換ファイアウォールである。
図７において、選択された外側アドレスがｘ’である場合、対象の内側アドレスｘ’に対応付いたファイアウォール名はＦＷ５である。したがって、ＦＷ５で識別されるファイアウォール装置は変換ファイアウォールである。

Ｓ１４１１６において、変換特定部１２３は、対象の内側アドレスに対応付いた外側アドレスをアドレス変換一覧１２２から選択する。
図７において、対象の内側アドレスｘ’に対応付いた外側アドレスはｘ’’である。
Ｓ１４１１６の後、処理はＳ１４１１４に戻る。

図１７に戻り、Ｓ１４１２から説明を続ける。
Ｓ１４１２は宛先アドレス処理である。
Ｓ１４１２において、変換特定部１２３は、通信要件１０２に示される宛先アドレスについて、変換ファイアウォールを特定する。特定される変換ファイアウォールは宛先ファイアウォールである。

図１９に基づいて、宛先アドレス処理（Ｓ１４１２）について説明する。
Ｓ１４１２１において、変換特定部１２３は、通信要件１０２に示される宛先アドレスと同じ外側アドレスをアドレス変換一覧１２２から検索する。Ｓ１４１２１〜Ｓ１４１２３において、通信要件１０２に示される宛先アドレスと同じ外側アドレスを対象の外側アドレスという。
対象の外側アドレスがある場合、処理はＳ１４１２２に進む。
対象の外側アドレスがない場合、宛先アドレス処理（Ｓ１４１２）は終了する。

Ｓ１４１２２において、変換特定部１２３は、対象の外側アドレスに対応付いたファイアウォール名をアドレス変換一覧１２２から選択する。
選択されたファイアウォール名で識別されるファイアウォール装置は、変換ファイアウォールである。
図７において、通信要件１０２に示される宛先アドレスはｙである。そして、対象の外側アドレスｙに対応付いたファイアウォール名はＦＷ３である。したがって、ＦＷ３で識別されるファイアウォール装置は変換ファイアウォールである。

Ｓ１４１２３において、変換特定部１２３は、対象の外側アドレスに対応付いた内側アドレスをアドレス変換一覧１２２から選択する。
図７において、対象の外側アドレスｙに対応付いた内側アドレスはｙ’である。

Ｓ１４１２４において、変換特定部１２３は、選択した内側アドレスと同じ外側アドレスをアドレス変換一覧１２２から検索する。Ｓ１４１２４〜Ｓ１４１２６において、選択した内側アドレスと同じ外側アドレスを対象の外側アドレスという。
対象の外側アドレスがある場合、処理はＳ１４１２５に進む。
対象の外側アドレスがない場合、宛先アドレス処理（Ｓ１４１２）は終了する。

Ｓ１４１２５において、変換特定部１２３は、対象の外側アドレスに対応付いたファイアウォール名をアドレス変換一覧１２２から選択する。
選択されたファイアウォール名で識別されるファイアウォール装置は、変換ファイアウォールである。

Ｓ１４１２６において、変換特定部１２３は、対象の外側アドレスに対応付いた内側アドレスをアドレス変換一覧１２２から選択する。
Ｓ１４１２６の後、処理はＳ１４１２４に戻る。

図１７に戻り、Ｓ１４１３から説明を続ける。
Ｓ１４１３は特定情報生成処理である。
Ｓ１４１３において、変換特定部１２３は、特定した変換ファイアウォールの情報である特定情報１２４を生成する。
図７に示すように、特定情報１２４は、変換ファイアウォールＦＷ１、ＦＷ５およびＦＷ３のファイアウォール名と変換前の（送信元アドレス、宛先アドレス）と変換後の（送信元アドレス、宛先アドレス）とを示す。

図１６に戻り、Ｓ１４２から説明を続ける。
Ｓ１４２は中継特定処理である。
Ｓ１４２において、中継特定部１２５は、通信要件１０２と特定情報１２４とファイアウォール別のルーティングテーブル１８２とを用いて、中継ファイアウォールを特定する。
そして、変換特定部１２３は、特定した中継ファイアウォールの情報である特定情報１２６を生成する。

図２０に基づいて、中継特定処理（Ｓ１４２）について説明する。
Ｓ１４２１において、中継特定部１２５は、送信元アドレスと宛先アドレスとのアドレス組を特定情報１２４から抽出する。
図８において、４つのアドレス組（ｘ，ｙ）、（ｘ’，ｙ）、（ｘ’’，ｙ）および（ｘ’’，ｙ’’）が特定情報１２４から抽出される。

Ｓ１４２２において、中継特定部１２５は、中継ファイアウォールの候補を特定する。
中継ファイアウォールの候補は、変換ファイアウォール以外のファイアウォール装置である。
ＦＷ１〜ＦＷ５の５つのファイアウォール装置のうち、ＦＷ１、ＦＷ３およびＦＷ５が変換ファイアウォールである場合、中継ファイアウォールの候補はＦＷ２およびＦＷ４である。

Ｓ１４２３において、中継特定部１２５は、中継ファイアウォールの候補から未選択の候補を１つ選択する。

Ｓ１４２４において、中継特定部１２５は、選択した候補に対して未選択のアドレス組を１つ選択する。

Ｓ１４２５において、中継特定部１２５は、選択した候補のルーティングテーブル１８２から、選択したアドレス組に含まれる送信元アドレスに対応付いたインタフェース名を取得する。
また、中継特定部１２５は、選択した候補のルーティングテーブル１８２から、選択したアドレス組に含まれる宛先アドレスに対応付いたインタフェース名を取得する。
図８において、選択した候補がＦＷ４であり、選択したアドレス組が（ｘ，ｙ）である場合、取得されるインタフェース名はｉｆ１およびｉｆ２である。

Ｓ１４２６において、中継特定部１２５は、取得した２つのインタフェース名が異なるか判定する。
取得した２つのインタフェース名が異なる場合、処理はＳ１４２７に進む。
取得した２つのインタフェース名が同じである場合、処理はＳ１４２８に進む。

Ｓ１４２７において、中継特定部１２５は、選択した候補の情報を中継ファイアウォールの情報として特定情報１２６に登録する。
図８に示すように、特定情報１２６は、中継ファイアウォールＦＷ４のファイアウォール名と変換前の（送信元アドレス、宛先アドレス）と変換後の（送信元アドレス、宛先アドレス）とを示す。
Ｓ１４２７の後、処理はＳ１４２９に進む。

Ｓ１４２８において、中継特定部１２５は、選択した候補に対して選択していない未選択のアドレス組があるか判定する。
未選択のアドレス組がある場合、処理はＳ１４２４に戻る。
未選択のアドレス組がない場合、処理はＳ１４２９に進む。

Ｓ１４２９において、中継特定部１２５は、未選択の候補があるか判定する。
未選択の候補がある場合、処理はＳ１４２３に戻る。
未選択の候補がない場合、中継特定処理（Ｓ１４２）は終了する。

図１６に戻り、Ｓ１４３から説明を続ける。
Ｓ１４３は特定情報生成処理である。
Ｓ１４３において、特定制御部１２７は、特定情報１２４と特定情報１２６とを用いて、特定情報１０３を生成する。
図９に示すように、特定情報１０３は、特定情報１２４と特定情報１２６とを含んだ情報である。

図１４に戻り、Ｓ１５０から説明を続ける。
Ｓ１５０はエントリ生成処理である。
Ｓ１５０において、アドレス置換部１３１は、特定情報１０３に示されるファイアウォール装置のそれぞれのアクセス制御エントリ１０４を生成する。
図１１に示すように、アクセス制御エントリ１０４は、通信要件１０２に示される（送信元アドレス、宛先アドレス）を特定情報１０３に示される変換前の（送信元アドレス、宛先アドレス）に置換することによって生成される。

そして、アドレス置換部１３１は、生成したアクセス制御エントリ１０４をファイアウォール装置別のアクセス制御ファイル１０５に登録する。

Ｓ１６０において、特定制御部１２７は、未選択の通信要件１０２があるか判定する。
未選択の通信要件１０２がある場合、処理はＳ１３０に戻る。
未選択の通信要件１０２がない場合、処理はＳ１７０に進む。

Ｓ１７０において、エントリ集約部１３２は、ファイアウォール装置別のアクセス制御ファイル１０５に送信元アドレスと宛先アドレスとの少なくともいずれかが連続する複数のアクセス制御エントリ１０４が含まれる場合、複数のアクセス制御エントリ１０４を１つまたは複数のアクセス制御エントリ１０４に集約する。
Ｓ１７０の後、ファイアウォール管理方法の処理は終了する。

図２１に基づいて、エントリ集約処理（Ｓ１７０）について説明する。
Ｓ１７１において、エントリ集約部１３２は、未選択のアクセス制御ファイル１０５を１つ選択する。

Ｓ１７２において、エントリ集約部１３２は、送信元アドレスが連続し、送信元アドレス以外の情報が一致する複数のアクセス制御エントリ１０４があるか判定する。Ｓ１７２およびＳ１７３において、送信元アドレスが連続し、送信元アドレス以外の情報が一致する複数のアクセス制御エントリ１０４を対象のエントリ群という。
対象のエントリ群がある場合、処理はＳ１７３に進む。
対象のエントリ群がない場合、処理はＳ１７４に進む。

Ｓ１７３において、エントリ集約部１３２は、対象のエントリ群毎に、対象のエントリ群を１つのアクセス制御エントリ１０４に集約する。
図１２において、ＦＷｘのアクセス制御ファイル１０５は、６つのアクセス制御エントリ１０４を含んでいる。
上３つのアクセス制御エントリ１０４は、送信元アドレス（１．１．１．１〜１．１．１．３）が連続し、送信元アドレス以外の情報が一致している。同じく、下３つのアクセス制御エントリ１０４は、送信元アドレスが連続し、送信元アドレス以外の情報が一致している。
そのため、６つのアクセス制御エントリ１０４は、２つのアクセス制御エントリ１０４に集約される。集約後の２つのアクセス制御エントリ１０４において、送信元アドレスの情報は、１．１．１．１から１．１．１．３までの３つの送信元アドレスを含んだ送信元グループを示している。

Ｓ１７４において、エントリ集約部１３２は、宛先アドレスが連続し、宛先アドレス以外の情報が一致する複数のアクセス制御エントリ１０４があるか判定する。Ｓ１７４およびＳ１７５において、宛先アドレスが連続し、宛先アドレス以外の情報が一致する複数のアクセス制御エントリ１０４を対象のエントリ群という。
対象のエントリ群がある場合、処理はＳ１７５に進む。
対象のエントリ群がない場合、処理はＳ１７６に進む。

Ｓ１７５において、エントリ集約部１３２は、対象のエントリ群毎に、対象のエントリ群を１つのアクセス制御エントリ１０４に集約する。
図１２において、集約後の２つのアクセス制御エントリ１０４は、宛先アドレス（２．２．２．１〜２．２．２．２）が連続し、宛先アドレス以外の情報が一致している。
そのため、集約後の２つのアクセス制御エントリ１０４は、１つのアクセス制御エントリ１０４に集約される。集約後の１つのアクセス制御エントリ１０４において、宛先アドレスの情報は、２．２．２．１から２．２．２．２までの２つの宛先アドレスを含んだ宛先グループを示している。

Ｓ１７６において、エントリ集約部１３２は、未選択のアクセス制御ファイル１０５があるか判定する。
未選択のアクセス制御ファイル１０５がある場合、処理はＳ１７１に戻る。
未選択のアクセス制御ファイル１０５がない場合、エントリ集約処理（Ｓ１７０）は終了する。

＊＊＊効果の説明＊＊＊
ファイアウォール管理装置１００は、要件データ１０１の通信要件１０２が示すアドレスがパケットを通信する端末装置に設定されたアドレスではなくて、ファイアウォール装置によって変換される前のアドレスであっても、パケットを中継するファイアウォール装置を特定することができる。
そのため、ファイアウォール管理装置１００は、パケットを中継するファイアウォール装置が複数であっても、要件データ１０１の通信要件１０２に応じて、それぞれのファイアウォール装置に必要なアクセス制御リスト１８３のエントリを生成することができる。

実施の形態２．
集約後のアクセス制御エントリ１０４を過去のアクセス制御リスト１８３に基づいて分割する形態について、図２２から図２５に基づいて説明する。但し、実施の形態１と重複する説明は省略する。

＊＊＊構成の説明＊＊＊
図２２に基づいて、ファイアウォール管理装置１００の機能構成について説明する。
ファイアウォール管理装置１００は、エントリ分割部１５０を備える。
記憶部１９０は、ファイアウォール装置別の過去設定ファイル１８９を記憶する。
過去設定ファイル１８９は、過去のファイアウォール設定ファイル１８０である。

エントリ分割部１５０は、変換ファイアウォールまたは中継ファイアウォールのためのエントリとして送信元グループと宛先グループとの少なくともいずれかのアドレスグループが設定されたエントリが生成された場合、以下のように動作する。
エントリ分割部１５０は、変換ファイアウォールに設定されていたアクセス制御リスト１８３である過去のアクセス制御リスト１８３を用いて、生成されたエントリを複数のエントリに分割する。

エントリ分割部１５０は、以下のように、生成されたエントリを複数のエントリに分割される。
エントリ分割部１５０は、過去のアクセス制御リスト１８３に示される送信元グループと宛先グループとのそれぞれのアドレスグループから、生成されたエントリに設定されたアドレスグループに含まれるアドレスグループを抽出する。
エントリ分割部１５０は、生成されたエントリを、抽出したアドレスグループを設定したエントリと、生成されたエントリに設定されたアドレスグループのうちの残りのアドレスグループを設定したエントリと、に分割する。

図２３において、ＦＷｘのアクセス制御ファイル１０５は、１つのアクセス制御エントリ１０４を含んでいる。このアクセス制御エントリ１０４には、送信元グループ（１．１．１．１−１００）が設定されている。
また、ＦＷｘの過去のアクセス制御リスト１８３は、２つのアドレスグループ（１．１．１．１−１０、１．１．１．２０−３０）を含んでいる。これら２つのアドレスグループは、いずれも、アクセス制御ファイル１０５のアクセス制御エントリ１０４に設定された送信元グループに含まれる。
そのため、アクセス制御ファイル１０５のアクセス制御エントリ１０４は、４つのアクセス制御エントリ１０４に分割される。
１つ目および３つ目のアクセス制御エントリ１０４は、アクセス制御リスト１８３のアドレスグループ（１．１．１．１−１０、１．１．１．２０−３０）が送信元アドレスの情報として設定されたエントリである。
２つ目および４つ目のアクセス制御エントリ１０４は、アクセス制御ファイル１０５の送信元グループのうちの残りのアドレスグループ（１．１．１．１１−１９、１．１．１．３１−１００）が送信元アドレスの情報として設定されたエントリである。

＊＊＊動作の説明＊＊＊
図２４および図２５に基づいて、エントリ分割部１５０によるエントリ分割処理について説明する。
Ｓ１８１において、エントリ分割部１５０は、未選択のアクセス制御ファイル１０５を１つ選択する。Ｓ１８２以降の処理において、選択したアクセス制御ファイル１０５に対応するファイアウォール装置を対象のファイアウォール装置という。

Ｓ１８２において、エントリ分割部１５０は、選択したアクセス制御ファイル１０５に対して選択していない未選択のアクセス制御エントリ１０４を１つ選択する。

Ｓ１８３−１において、エントリ分割部１５０は、選択したアクセス制御エントリ１０４に送信元グループが設定されているか判定する。
選択したアクセス制御エントリ１０４に送信元グループが設定されている場合、処理はＳ１８３−２に進む。Ｓ１８３−２およびＳ１８３−３において、選択したアクセス制御エントリ１０４に設定されている送信元グループをエントリの送信元グループという。
選択したアクセス制御エントリ１０４に送信元グループが設定されていない場合、処理はＳ１８４−１に進む。

Ｓ１８３−２において、エントリ分割部１５０は、対象のファイアウォール装置の過去のアクセス制御リスト１８３から、エントリの送信元グループに含まれるアドレスグループを抽出する。
図２３において、エントリの送信元グループが１．１．１．１−１００である場合、過去のアクセス制御リスト１８３から２つのアドレスグループ（１．１．１．１−１０、１．１．１．２０−３０）が抽出される。

Ｓ１８３−３において、エントリ分割部１５０は、選択したアクセス制御エントリ１０４を、抽出したアドレスグループを設定したエントリと、エントリの送信元グループのうちの残りの送信元グループを設定したエントリと、に分割する。
図２３において、アクセス制御ファイル１０５のアクセス制御エントリ１０４は、４つのアクセス制御エントリ１０４に分割される。
１つ目および３つ目のアクセス制御エントリ１０４は、抽出したアドレスグループ（１．１．１．１−１０、１．１．１．２０−３０）が送信元アドレスの情報として設定されたエントリである。
２つ目および４つ目のアクセス制御エントリ１０４は、アクセス制御ファイル１０５の送信元グループのうちの残りのアドレスグループ（１．１．１．１１−１９、１．１．１．３１−１００）が送信元アドレスの情報として設定されたエントリである。

Ｓ１８４−１において、エントリ分割部１５０は、選択したアクセス制御エントリ１０４に宛先グループが設定されているか判定する。
選択したアクセス制御エントリ１０４に宛先グループが設定されている場合、処理はＳ１８４−２に進む。Ｓ１８４−２およびＳ１８４−３において、選択したアクセス制御エントリ１０４に設定されている宛先グループをエントリの宛先グループという。
選択したアクセス制御エントリ１０４に宛先グループが設定されていない場合、処理はＳ１８５に進む。

Ｓ１８４−２において、エントリ分割部１５０は、対象のファイアウォール装置の過去のアクセス制御リスト１８３から、エントリの宛先グループに含まれるアドレスグループを抽出する。

Ｓ１８４−３において、エントリ分割部１５０は、選択したアクセス制御エントリ１０４を、抽出したアドレスグループを設定したエントリと、エントリの宛先グループのうちの残りの宛先グループを設定したエントリと、に分割する。

Ｓ１８５において、エントリ分割部１５０は、選択したアクセス制御ファイル１０５に対して選択していない未選択のアクセス制御エントリ１０４があるか判定する。
未選択のアクセス制御エントリ１０４がある場合、処理はＳ１８２に戻る。
未選択のアクセス制御エントリ１０４がない場合、処理はＳ１８６に進む。

Ｓ１８６において、エントリ分割部１５０は、未選択のアクセス制御ファイル１０５があるか判定する。
未選択のアクセス制御ファイル１０５がある場合、処理はＳ１８１に戻る。
未選択のアクセス制御ファイル１０５がない場合、エントリ分割処理は終了する。

＊＊＊効果の説明＊＊＊
ファイアウォール管理装置１００は、生成したアクセス制御エントリ１０４をアドレスグループ毎に分割することができる。アクセス制御エントリ１０４をアドレスグループ毎に分割することは、アクセス制御エントリ１０４をサーバ群または端末群の役割毎に分割することを意味する。一般的に、同じ役割を持つサーバ群には連番のアドレス（アドレスグループ）が割り当てられ、また、同じ役割を持つ端末群にも連番のアドレスが割り当てられるためである。役割別のサーバ群の一例は、データベースサーバ群、Ｗｅｂサーバ群、認証サーバ群、メールサーバ群、ＤＮＳサーバ群、ＮＴＰサーバ群、ドメイン管理サーバ群、ログ管理サーバ群である。役割別の端末群の一例は、管理端末群、事務端末群である。ＤＮＳはＤｏｍａｉｎ Ｎａｍｅ Ｓｅｒｖｉｃｅの略称であり、ＮＴＰはＮｅｔｗｏｒｋ Ｔｉｍｅ Ｐｒｏｔｏｃｏｌの略称である。
これにより、ファイアウォール装置の運用が効率化され、かつ、アクセス制御エントリ１０４の設定ミスの発見および不要なアクセス制御エントリ１０４の発見が容易になる。

実施の形態３．
生成したアクセス制御エントリ１０４が要件データ１０１の通信要件１０２を満たすか検証する形態について、図２６から図２９に基づいて説明する。但し、実施の形態１と重複する説明は省略する。

＊＊＊構成の説明＊＊＊
図２６に基づいて、通信検証システム２００の構成について説明する。
通信検証システム２００は、ファイアウォール管理装置１００と、試験環境２１０と、通信監視装置２２０とを備える。

試験環境２１０は、複数のパケット通信装置２１１と、複数のファイアウォール装置２１２とを備える。
パケット通信装置２１１は、ファイアウォール管理装置１００によって生成された試験データ１０６に従ってパケット２１３を生成し、生成したパケット２１３を複数のファイアウォール装置２１２を介して他のパケット通信装置２１１に送信する。
ファイアウォール装置２１２は、生成されたアクセス制御エントリ１０４を含んだアクセス制御リスト１８３が設定され、アクセス制御リスト１８３に従ってパケット２１３の通信の許否を判定し、通信を許可するパケット２１３を中継する。

通信監視装置２２０は、試験環境２１０のネットワーク２１９に流れるパケット２１３をキャプチャし、キャプチャしたパケット２１３の情報を示す試験結果データ２２１を生成する。
つまり、試験結果データ２２１は、試験データ１０６を使用して試験環境２１０で行われた通信の情報を示す。

ファイアウォール管理装置１００は、ファイアウォール装置２１２別のアクセス制御エントリ１０４と試験データ１０６とを生成する。
また、ファイアウォール管理装置１００は、試験結果データ２２１を用いて、生成したアクセス制御エントリ１０４が要件データ１０１の通信要件１０２を満たすか検証する。

図２７に基づいて、ファイアウォール管理装置１００の機能構成について説明する。
ファイアウォール管理装置１００は、過去要件選択部１６１と、試験データ生成部１６２と、エントリ検証部１６３とを備える。
記憶部１９０は、複数の過去要件ファイル１７０、試験データ１０６および検証結果データ１０７を記憶する。

図２８に基づいて、過去要件ファイル１７０の構成について説明する。
過去要件ファイル１７０は、過去要件データ１７１と、過去試験データ１７２と、過去結果データ１７３とを備える。
過去要件データ１７１は、過去の要件データ１０１である。
過去試験データ１７２は、過去の試験データ１０６である。
過去結果データ１７３は、過去の検証結果データ１０７である。

図２７に戻り、過去要件選択部１６１と試験データ生成部１６２とエントリ検証部１６３とのそれぞれの機能について説明する。
過去要件選択部１６１は、要件データ１０１に示される送信元アドレスと宛先アドレスとを用いて、複数の過去要件ファイル１７０から過去要件ファイル１７０を選択する。

試験データ生成部１６２は、選択された過去要件ファイル１７０に含まれる過去試験データ１７２を用いて、試験環境２１０で使用する試験データ１０６を生成する。

エントリ検証部１６３は、試験結果データ２２１と選択された過去要件ファイル１７０に含まれる過去結果データ１７３とを用いて、生成されたアクセス制御エントリ１０４を検証する。
そして、エントリ検証部１６３は、検証した結果を示す検証結果データ１０７を生成する。

＊＊＊動作の説明＊＊＊
まず、過去要件選択部１６１による過去要件選択処理について説明する。
過去要件選択部１６１は、過去要件ファイル１７０毎に、受け付けられた要件データ１０１と過去要件ファイル１７０に含まれる過去要件データ１７１との類似度を算出する。

例えば、過去要件選択部１６１は、図２９に示すような類似度テーブル１９２を用いて、要件データ１０１と過去要件データ１７１との類似度を算出する。
つまり、過去要件選択部１６１は、要件データ１０１に示される送信元グループと過去要件データ１７１に示される送信元グループとを比較する。送信元グループの比較は、送信元アドレスの情報の比較を意味する。
さらに、過去要件選択部１６１は、要件データ１０１に示される宛先グループと過去要件データ１７１に示される宛先グループとを比較する。宛先グループの比較は、宛先アドレスの情報の比較を意味する。
そして、過去要件選択部１６１は、比較結果に対応する類似度を類似度テーブル１９２から取得する。

過去要件選択部１６１は、過去要件ファイル１７０毎の類似度に基づいて、過去要件ファイル１７０を選択する。
例えば、過去要件選択部１６１は、類似度が最も高い過去要件ファイル１７０を選択する。

次に、試験データ生成部１６２による試験データ生成処理について説明する。
試験データ生成部１６２は、選択された過去要件ファイル１７０に含まれる過去試験データ１７２を表示装置に表示する。
試験データ生成部１６２は、表示した過去試験データ１７２に対する修正指示が入力された場合、修正指示に従って過去試験データ１７２を修正することによって、試験データ１０６を生成する。

最後に、エントリ検証部１６３によるエントリ検証処理について説明する。
エントリ検証部１６３は、試験結果データ２２１と選択された過去要件ファイル１７０に含まれる過去結果データ１７３とを比較する。
そして、エントリ検証部１６３は、比較結果を示すデータを検証結果データ１０７として生成する。
試験結果データ２２１に示される試験結果が過去結果データ１７３に示される試験結果と同じである場合または類似する場合、過去の試験後の実環境で問題が生じていなければ、今回の試験後の実環境でも問題は生じないことが期待される。
この場合、ファイアウォール装置２１２別のアクセス制御ファイル１０５に含まれるアクセス制御エントリ１０４は、要件データ１０１の通信要件１０２を満たす正しいエントリであると考えられる。

＊＊＊効果の説明＊＊＊
実施の形態３により、ファイアウォール管理装置１００が生成したアクセス制御エントリ１０４が通信要件１０２を満たすか検証することができる。
これにより、ファイアウォール製品またはファイアウォールプログラムのバージョンが変更になってファイアウォール装置に暗黙のアクセス制御ルールが加わっても、通信障害が発生しないように、通信要件１０２を満たすアクセス制御エントリ１０４を生成することができる。
暗黙のアクセス制御ルールの一例は、以下のようなものである。
ＰＩＮＧ要求を送信後、一定時間は、逆向き通信となるＰＩＮＧ応答の通信が許可される。
アイドル状態が一定時間に達したコネクションは切断される。

図３０に基づいて、ファイアウォール管理装置１００のハードウェア構成例について説明する。
ファイアウォール管理装置１００は、プロセッサ９０１、補助記憶装置９０２、メモリ９０３、通信装置９０４、入力インタフェース９０５、出力インタフェース９０６といったハードウェアを備えるコンピュータである。
プロセッサ９０１は信号線９１０を介して他のハードウェアと接続されている。入力インタフェース９０５はケーブル９１１を介して入力装置９０７に接続されている。出力インタフェース９０６はケーブル９１２を介して出力装置９０８に接続されている。

プロセッサ９０１は、プロセッシングを行うＩＣであり、他のハードウェアを制御する。プロセッサ９０１の一例は、ＣＰＵ、ＤＳＰ、ＧＰＵである。ＩＣはＩｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔの略称である。ＣＰＵはＣｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔの略称であり、ＤＳＰはＤｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒの略称であり、ＧＰＵはＧｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔの略称である。
補助記憶装置９０２はデータを記憶する。補助記憶装置９０２の一例は、ＲＯＭ、フラッシュメモリ、ＨＤＤである。ＲＯＭはＲｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙの略称であり、ＨＤＤはＨａｒｄ Ｄｉｓｋ Ｄｒｉｖｅの略称である。
メモリ９０３はデータを記憶する。メモリ９０３の一例はＲＡＭである。ＲＡＭはＲａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙの略称である。
通信装置９０４は、データを受信するレシーバ９０４１と、データを送信するトランスミッタ９０４２とを備える。通信装置９０４の一例は、通信チップ、ＮＩＣである。ＮＩＣはＮｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄの略称である。
入力インタフェース９０５はケーブル９１１が接続されるポートであり、ポートの一例はＵＳＢ端子である。ＵＳＢはＵｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓの略称である。
出力インタフェース９０６はケーブル９１２が接続されるポートであり、ＵＳＢ端子およびＨＤＭＩ端子はポートの一例である。ＨＤＭＩ（登録商標）はＨｉｇｈ Ｄｅｆｉｎｉｔｉｏｎ Ｍｕｌｔｉｍｅｄｉａ Ｉｎｔｅｒｆａｃｅの略称である。
入力装置９０７はデータ、命令および要求を入力する。入力装置９０７の一例は、マウス、キーボード、タッチパネルである。
出力装置９０８はデータ、結果および応答を出力する。出力装置９０８の一例は、ディスプレイ、プリンタである。ディスプレイの一例はＬＣＤである。ＬＣＤはＬｉｑｕｉｄ
Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙの略称である。

補助記憶装置９０２にはＯＳが記憶されている。ＯＳはＯｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍの略称である。
また、補助記憶装置９０２には、要件受付部１１０、ファイアウォール特定部１２０、エントリ生成部１３０、設定ファイル取得部１４０、エントリ分割部１５０、過去要件選択部１６１、試験データ生成部１６２、エントリ検証部１６３といった「部」の機能を実現するプログラムが記憶されている。
ＯＳの少なくとも一部はメモリ９０３にロードされ、プロセッサ９０１はＯＳを実行しながら「部」の機能を実現するプログラムを実行する。「部」の機能を実現するプログラムは、メモリ９０３にロードされ、プロセッサ９０１に読み込まれ、プロセッサ９０１によって実行される。
なお、ファイアウォール管理装置１００が複数のプロセッサ９０１を備えて、複数のプロセッサ９０１が「部」の機能を実現するプログラムを連携して実行してもよい。

「部」の処理の結果を示すデータ、情報、信号値および変数値などは、メモリ９０３、補助記憶装置９０２、プロセッサ９０１内のレジスタ、または、プロセッサ９０１内のキャッシュメモリに記憶される。

「部」は「サーキットリ」で実装してもよい。「部」は「回路」、「工程」、「手順」または「処理」に読み替えてもよい。
「回路」及び「サーキットリ」は、プロセッサ９０１、ロジックＩＣ、ＧＡ、ＡＳＩＣ、ＦＰＧＡといった処理回路を包含する概念である。ＧＡはＧａｔｅ Ａｒｒａｙの略称であり、ＡＳＩＣはＡｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ
Ｃｉｒｃｕｉｔの略称であり、ＦＰＧＡはＦｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙの略称である。

各実施の形態は、好ましい形態の例示であり、本発明の技術的範囲を制限することを意図するものではない。各実施の形態は、部分的に実施してもよいし、他の形態と組み合わせて実施してもよい。
フローチャート等を用いて説明した処理手順は、ファイアウォール管理装置、ファイアウォール管理方法およびファイアウォール管理プログラムの処理手順の一例である。

１００ ファイアウォール管理装置、１０１ 要件データ、１０２ 通信要件、１０３
特定情報、１０４ アクセス制御エントリ、１０５ アクセス制御ファイル、１０６ 試験データ、１０７ 検証結果データ、１１０ 要件受付部、１１１ 要件データ受付部、１１２ 要件分割部、１２０ ファイアウォール特定部、１２１ 一覧生成部、１２２
アドレス変換一覧、１２３ 変換特定部、１２４ 特定情報、１２５ 中継特定部、１２６ 特定情報、１２７ 特定制御部、１３０ エントリ生成部、１３１ アドレス置換部、１３２ エントリ集約部、１４０ 設定ファイル取得部、１５０ エントリ分割部、１６１ 過去要件選択部、１６２ 試験データ生成部、１６３ エントリ検証部、１７０
過去要件ファイル、１７１ 過去要件データ、１７２ 過去試験データ、１７３ 過去結果データ、１８０ ファイアウォール設定ファイル、１８１ アドレス変換テーブル、１８２ ルーティングテーブル、１８３ アクセス制御リスト、１８９ 過去設定ファイル、１９０ 記憶部、１９１ ファイアウォール管理ファイル、１９２ 類似度テーブル、２００ 通信検証システム、２１０ 試験環境、２１１ パケット通信装置、２１２ ファイアウォール装置、２１３ パケット、２１９ ネットワーク、２２０ 通信監視装置、２２１ 試験結果データ、９０１ プロセッサ、９０２ 補助記憶装置、９０３ メモリ、９０４ 通信装置、９０４１ レシーバ、９０４２ トランスミッタ、９０５ 入力インタフェース、９０６ 出力インタフェース、９０７ 入力装置、９０８ 出力装置、９１０ 信号線、９１１ ケーブル、９１２ ケーブル。

Claims (14)

1. 送信元アドレスと、宛先アドレスと、通信の可否を示すアクションと、を受け付ける要件受付部と、
   受け付けられた送信元アドレスと受け付けられた宛先アドレスとが設定されたパケットが送信された場合に前記パケットを中継するために前記パケットに設定されている送信元アドレスと宛先アドレスとの少なくともいずれかのアドレスを変換するファイアウォール装置である変換ファイアウォールを、ファイアウォール装置別のテーブルであって変換前アドレスと変換後アドレスとを互いに対応付けるテーブルであるアドレス変換テーブルを用いて特定するファイアウォール特定部と、
   特定された変換ファイアウォールに設定されるアクセス制御リストに登録するエントリとして、受け付けられたアクションを設定したエントリを生成するエントリ生成部と
   を備えるファイアウォール管理装置。
2. 前記ファイアウォール特定部は、受け付けられた送信元アドレスと同じ変換前アドレスと前記変換前アドレスに対応付いた変換後アドレスとを含んだアドレス変換テーブルに対応するファイアウォール装置である第１の送信元ファイアウォールと、前記変換前アドレスに対応付いた前記変換後アドレスと同じアドレスを変換前アドレスとして含んだアドレス変換テーブルに対応するファイアウォール装置である第２の送信元ファイアウォールとのそれぞれを、前記変換ファイアウォールとして特定する
   請求項１に記載のファイアウォール管理装置。
3. 前記エントリ生成部は、前記第１の送信元ファイアウォールのためのエントリとして、受け付けられた送信元アドレスと受け付けられたアクションとを設定したエントリを生成し、前記第２の送信元ファイアウォールのためのエントリとして、前記変換前アドレスに対応付いた前記変換後アドレスと受け付けられたアクションとを設定したエントリを生成する
   請求項２に記載のファイアウォール管理装置。
4. 前記ファイアウォール特定部は、さらに、受け付けられた宛先アドレスと同じ変換前アドレスを含んだアドレス変換テーブルに対応するファイアウォール装置である宛先ファイアウォールを、前記変換ファイアウォールとして特定する
   請求項２に記載のファイアウォール管理装置。
5. 前記エントリ生成部は、前記宛先ファイアウォールのためのエントリとして、受け付けられた宛先アドレスと受け付けられたアクションとを設定したエントリを生成する
   請求項４に記載のファイアウォール管理装置。
6. 前記ファイアウォール特定部は、前記パケットを中継するために前記パケットに設定されている送信元アドレスと宛先アドレスとのいずれのアドレスも変換しないファイアウォール装置である中継ファイアウォールを、ファイアウォール装置別のテーブルであってルートアドレスとインタフェース名とを互いに対応付けるテーブルであるルーティングテーブルを用いて特定し、
   前記エントリ生成部は、特定された中継ファイアウォールに設定されるアクセス制御リストに登録するエントリとして、受け付けられたアクションを設定したエントリを生成する
   請求項１に記載のファイアウォール管理装置。
7. 前記ファイアウォール特定部は、
   前記変換ファイアウォールによる変換前の送信元アドレスと同じルートアドレスに対応付いたインタフェース名が、前記変換ファイアウォールによる変換前の宛先アドレスと同じルートアドレスに対応付いたインタフェース名と、異なっているルーティングテーブルに対応するファイアウォール装置と、
   前記変換ファイアウォールによる変換後の送信元アドレスと同じルートアドレスに対応付いたインタフェース名が、前記変換ファイアウォールによる変換後の宛先アドレスと同じルートアドレスに対応付いたインタフェース名と、異なっているルーティングテーブルに対応するファイアウォール装置と、
   を前記中継ファイアウォールとして特定する
   請求項６に記載のファイアウォール管理装置。
8. 前記エントリ生成部は、前記中継ファイアウォールのためのエントリとして、前記変換ファイアウォールによる変換前の送信元アドレスと前記変換ファイアウォールによる変換前の宛先アドレスと受け付けられたアクションとを設定したエントリを生成する
   請求項７に記載のファイアウォール管理装置。
9. 前記要件受付部は、連続する複数の送信元アドレスを含んだ送信元グループと、連続する複数の宛先アドレスを含んだ宛先グループと、前記アクションとを受け付け、
   前記ファイアウォール特定部は、受け付けられた送信元グループに含まれる送信元アドレスと受け付けられた宛先グループに含まれる宛先アドレスとの組み合わせ毎に、前記変換ファイアウォールを特定する
   請求項１に記載のファイアウォール管理装置。
10. 前記エントリ生成部は、
    連続する複数の送信元アドレスのそれぞれを変換するファイアウォール装置が前記変換ファイアウォールとして特定された場合、前記変換ファイアウォールのためのエントリとして、前記複数の送信元アドレスを含んだ送信元グループと受け付けられたアクションとを設定したエントリを生成し、
    連続する複数の宛先アドレスのそれぞれを変換するファイアウォール装置が前記変換ファイアウォールとして特定された場合、前記変換ファイアウォールのためのエントリとして、前記複数の宛先アドレスを含んだ宛先グループと受け付けられたアクションとを設定したエントリを生成する
    請求項１に記載のファイアウォール管理装置。
11. 前記変換ファイアウォールのためのエントリとして前記送信元グループと前記宛先グループとの少なくともいずれかのアドレスグループが設定されたエントリが生成された場合、前記変換ファイアウォールに設定されていたアクセス制御リストである過去のアクセス制御リストを用いて、生成されたエントリを複数のエントリに分割するエントリ分割部を備える
    請求項１０に記載のファイアウォール管理装置。
12. 前記エントリ分割部は、
    前記過去のアクセス制御リストに示される送信元グループと宛先グループとのそれぞれのアドレスグループから、生成されたエントリに設定されたアドレスグループに含まれるアドレスグループを抽出し、
    生成されたエントリを、抽出したアドレスグループを設定したエントリと、生成されたエントリに設定されたアドレスグループのうちの残りのアドレスグループを設定したエントリと、に分割する
    請求項１１に記載のファイアウォール管理装置。
13. 送信元アドレスと宛先アドレスと過去の試験データと過去の試験結果データとを含んだ複数の過去要件ファイルから、受け付けられた送信元アドレスと受け付けられた宛先アドレスとを用いて、過去要件ファイルを選択する過去要件選択部と、
    選択された過去要件ファイルに含まれる過去の試験データを用いて、生成されたエントリを含んだアクセス制御リストが設定されたファイアウォール装置を備える試験環境で使用する試験データを生成する試験データ生成部と
    生成された試験データを使用して前記試験環境で行われた通信の情報を示す試験結果データと、選択された過去要件ファイルに含まれる過去の試験結果データとを用いて、生成されたエントリを検証するエントリ検証部と
    を備える請求項１から請求項１２のいずれか１項に記載のファイアウォール管理装置。
14. 送信元アドレスと、宛先アドレスと、通信の可否を示すアクションと、を受け付ける要件受付処理と、
    受け付けられた送信元アドレスと受け付けられた宛先アドレスとが設定されたパケットが送信された場合に前記パケットを中継するために前記パケットに設定されている送信元アドレスと宛先アドレスとの少なくともいずれかのアドレスを変換するファイアウォール装置である変換ファイアウォールを、ファイアウォール装置別のテーブルであって変換前アドレスと変換後アドレスとを互いに対応付けるテーブルであるアドレス変換テーブルを用いて特定するファイアウォール特定処理と、
    特定された変換ファイアウォールに設定されるアクセス制御リストに登録するエントリとして、受け付けられたアクションを設定したエントリを生成するエントリ生成処理と
    をコンピュータに実行させるためのファイアウォール管理プログラム。

Images