JP6871108B2

JP6871108B2 - ファイアウォール装置の制御装置及びプログラム

Info

Publication number: JP6871108B2
Application number: JP2017153354A
Authority: JP
Inventors: 崇弘宮本; 亘内川
Original assignee: KDDI Corp
Current assignee: KDDI Corp
Priority date: 2017-08-08
Filing date: 2017-08-08
Publication date: 2021-05-12
Anticipated expiration: 2034-02-17
Also published as: JP2017204890A

Description

本発明は、ファイアウォール装置が使用するルールを効率的に作成してファイアウォール装置に設定する制御装置に関する。

特許文献１に記載されている様に、セキュリティポリシーの異なるネットワーク間において安全に通信するため、一般的に、セキュリティポリシーの境界にファイアウォール装置が設置される。ファイアウォール装置には、２つの端末（又はサブネットワーク）において許可される特定のプロトコルによる通信や、２つの端末（又はサブネットワーク）において許可されない特定のプロトコルによる通信を示すルールが設定され、ファイアウォール装置は、設定されたルールに従い通信を許可又は通信をブロックする。当然、このルールの設定に不備があると、許可されるべき通信を行うことができなくなったり、許可されない通信が行われたりする。

米国特許第２０１３／０２５４８７１明細書

したがって、ファイアウォール装置の設定は、通常、ネットワーク構成の全体を管理しているネットワーク管理者が、各端末やアプリケーションの利用者からの要求に応じて行うことになる。これにより、誤った設定が行われる危険性を縮小できるが、必要なルールの設定や必要なルールの変更を迅速に行うことができない。

本発明は、ネットワーク構成の全体を管理しているネットワーク管理者でなくとも安全にファイアウォール装置にルールの設定を行える、ファイアウォール装置の制御装置を提供するものである。

本発明の一側面によると、制御装置は、複数のネットワークの各ネットワークのアドレスと、前記各ネットワークのそれぞれに関連付けられた、各ネットワークの管理者のアカウント情報と、を保持する保持手段と、アカウント情報を使用してアクセスした管理者に対して、該アカウント情報に関連付けられたネットワークの端末が通信元又は通信先となって行う通信の許可又は不許可を示すルールを該管理者に編集させる第１編集手段と、一人以上の管理者が編集したルールをファイアウォール装置に設定する設定手段と、を備え、前記制御装置は、前記複数のネットワークのトポロジ情報を管理する装置から前記トポロジ情報を取得し、前記取得したトポロジ情報と、前記一人以上の管理者が編集したルールの通信元及び通信先に基づき、前記通信元の端末及び前記通信先の端末それぞれの最寄りの２つのファイアフォール装置、或いは、前記通信元の端末及び前記通信先の端末による通信が経由する複数のファイアウォール装置のそれぞれに設定するルールを生成する生成手段をさらに備えていることを特徴とする。

ネットワーク構成の全体を管理しているネットワーク管理者でなくとも安全にファイアウォール装置にルールの設定を行うことができる。

一実施形態によるシステム構成図。一実施形態において許可する通信を示す図。一実施形態による制御装置の表示画面を示す図。一実施形態による制御装置の表示画面を示す図。一実施形態による集約されたルールを示す図。一実施形態によるシステム構成図。一実施形態による集約されたルールを示す図。一実施形態による各ファイアウォール装置に設定されるルールを示す図。一実施形態による制御装置の制御系統を示す図。一実施形態による制御装置の概略的な構成図。

以下、本発明の例示的な実施形態について図面を参照して説明する。なお、以下の各実施形態は例示であり、本発明の範囲を実施形態の内容に限定するものではない。また、以下の各図においては、実施形態の説明に必要ではない構成要素については図から省略する。

＜第一実施形態＞
図１は、本実施形態を説明するために使用するシステム構成図である。図１によると、例えば、インターネットや広域イーサネット網等の広域網に、ある会社のオフィスネットワークと、端末＃６及び端末＃７と、１つ以上の端末を含むサブネットワークであるサブネットＤ及びサブネットＥが接続されている。さらに、オフィスネットワークは、３つのサブネットワーク、サブネットＡ、Ｂ及びＣを有し、サブネットＡは２つの端末＃１及び＃２を有し、サブネットＢは２つの端末＃３及び＃４を有し、サブネットＣは、１つの端末＃５を有している。なお、オフィスネットワークは、ファイアウォール装置を介して広域網に接続されており、このファイアウォール装置は、設定されたルールに基づきオフィスネットワークの端末と広域網上の端末やサブネットとの通信を制御する。なお、オフィスネットワークには、ファイアウォール装置に対してルールの設定を行う制御装置が設けられる。

図２は、本実施形態において許可される通信を示している。なお、広域網を経由する通信の内、図２に示す以外の通信は許可されないものとする。図２の表は、図１のファイアウォール装置に設定されるルールでもある。通常、ある会社内のネットワークは、部門や業務内容等に対応するサブネットワークに分割（図１では、サブネットＡ〜Ｃの３つに分割）され、サブネットワークごとに管理者が存在する。しかしながら、サブネットワークの管理者は、ネットワーク全体の構成を知らないことが通常であり、ファイアウォール装置に対するルールの設定は、サブネットワークの管理者からの要求に応じて、ネットワーク全体の構成を管理しているネットワーク管理者が行っていた。本実施形態においては、制御装置を利用することにより、ネットワーク全体の構成を知らないサブネットワークの管理者がファイアウォール装置に対するルールの設定を行うことを可能にするものである。

以下、図３及び図４に示す制御装置の表示画面に基づき、どの様にサブネットワークの管理者がファイアウォール装置に対するルールの設定を行うかについて説明する。まず、事前準備として、ネットワーク全体の構成を管理しているネットワーク管理者は、各サブネットワーク、本例では、サブネットＡ、Ｂ、Ｃのサブネットワークアドレスを付与して制御装置に登録する。また、ネットワーク管理者は、サブネットＡ、Ｂ、Ｃの管理者それぞれが制御装置にアクセスする際に使用するアカウントを発行して、制御装置に登録する。さらに、ネットワーク管理者は、事前にサブネットＡ、Ｂ、Ｃの管理者から使用するアプリケーション、つまり通信プロトコルの申請を受け付けて、申請されたプロトコルをサブネットに関連付けて登録する。例えば、図２に示す様にサブネットＡの端末＃１及び＃２は、ＨＴＴＰと、ＳＳＨと、Ｐｉｎｇを使用するため、サブネットＡの管理者は、ネットワーク管理者にＨＴＴＰと、ＳＳＨと、Ｐｉｎｇを通知して制御装置に登録してもらう。

図３は、サブネットＡの管理者が初めて制御装置にログオンしたときに表示される画面の例である。図３において、サブネットＡには、サブネットワークアドレスとして、１９２．１６８．１．０／２４がネットワーク管理者により割り当てられ、使用が許可されるアプリケーション（プロトコル）として、ＨＴＴＰと、ＳＳＨと、Ｐｉｎｇがネットワーク管理者により登録されている。

例えば、サブネットＡの管理者は、「端末編集」ボタンを押下してサブネットＡ内の端末とそのアドレスを登録する。例えば、図１に示す様に、サブネットＡ内に端末＃１と端末＃２があり、サブネットＡの管理者が端末＃１にアドレス１９２．１６８．１．１を割り当て、端末＃１にアドレス１９２．１６８．１．２を割り当てたものとする。この場合、サブネットＡの管理者は、「端末編集」ボタンを押下して端末＃１及び端末＃２と、それらのアドレスを登録することで、図４に示す様に左上のウインドウにサブネットＡ内の端末が表示される。この様に、サブネットＡの管理者は、ネットワーク管理者によらず、サブネットＡ内の端末の追加や削除を行うことができる。

さらに、サブネットＡの管理者は、「ルール編集」ボタンを押下してサブネットＡ内の端末と、それ以外の端末との通信についてのルールを編集することができる。例えば、図２に示すルールの内、サブネットＡに関するものをサブネットＡの管理者は制御装置に登録する。図４の右側のウインドウは、サブネットＡの管理者が登録したルールを示している。この様に、サブネットＡの管理者は、ネットワーク管理者によらず、サブネットＡ内の端末に係るルールの追加や削除を行うことができる。なお、サブネットＡの管理者が設定できるルールは、送信元又は送信先にサブネットＡの端末が関係するものに限定される。なお、サブネットＡの端末とは、左上のウインドウに表示される、制御装置に登録された端末に限定される。また、許可されるアプリケーションン（プロトコル）は、左下のウインドウに表示されるものに限定される。なお、本実施形態は、ルールに設定されていない通信は不許可であり、ルールに設定されている通信は許可としているが、ルールに不許可である通信を設定することもできる。不許可を設定する場合においても、ルールの送信先又は送信元のいずれかはサブネットＡの端末が関係するものに限定される。なお、図４のルールにおいては、理解を容易にするため、送信元アドレスや、送信先アドレスにアドレスではなく端末名を表示しているが、実際には、アドレスが表示される。

サブネットの管理者がルールの設定を行うと、制御装置は、設定されたルールをファイアウォール装置に設定する。例えば、サブネットＡ、Ｂ及びＣの管理者がそれぞれルールの設定を行うと、制御装置は、図２に示すルールをファイアウォール装置に設定することになる。なお、制御装置は、ルールのマッチング処理を高速にできる様に、図２に示すルールを集約基準に従い集約することができる。集約基準は、
（１）「アプリケーションが同一」かつ「送信元アドレスが同一」
（２）「アプリケーションが同一」かつ「受信先アドレスが同一」
（３）「送信元アドレスが同一」かつ「受信先アドレスが同一」
の内の１つ以上の任意の組み合わせとすることができる。さらに、図２の端末＃４と端末＃５の通信は、同じオフィスネットワーク内の通信でありファイアウォール装置を経由しないため、制御装置は、例えば、ネットワークのトポロジを管理しているネットワーク管理装置（図１には示さず）から、ネットワークのトポロジ情報を取得し、サブネットの管理者が設定したルールの内、ファイアウォール装置を経由しないルールについては削除することができる。図５は、図２のルールの内、ファイアウォール装置を経由しない通信に関するルールを削除し、上記集約条件に従い集約した場合のルールを示している。

また、ＨＴＴＰの様に頻繁にセッションが作成される通信は、ルールの適用順序を上位側（先にマッチング処理が行われる側）に設定することで、パフォーマンスを向上させることができる。したがって、例えば、ファイアウォール装置から、ルールに適合したパケット数を示すヒットカウントを受け取ることで、ルールの適用順序を入れ替えることもできる。

以上、本実施形態において、制御装置は、各サブネットの管理者が登録できるルールを、事前に登録された当該管理者が管理するサブネットワークアドレスに対応する端末についてのルールのみに限定し、許可できる通信は、事前に申請したアプリケーションのみに限定する。この構成により、ネットワーク全体の構成を知らなくとも、安全にファイアウォール装置の設定を行うことが可能になる。

＜第二実施形態＞
続いて、第二実施形態について第一実施形態との相違点を中心に説明する。図６は、本実施形態を説明するためのシステム構成図である。図１に示す第一実施形態との相違点は、総ての端末とサブネットが、同じ会社のもの、つまり、同じネットワーク管理者が管理するものとなり、各拠点は、それぞれ、ファイアウォール装置を介して広域網と接続することである。具体的には、図１の端末＃６及び＃７は、オフィスＢに設置され、サブネットＤ及びＥはデータセンタに構成されたサブネットワークとなっている。なお、オフィスＢと区別するため、図１のオフィスネットワークは、オフィスＡネットワークとしている。なお、オフィスＢネットワークはファイアウォール装置＃２を介して広域網に接続し、データセンタネットワークは、ファイアウォール装置＃３を介して広域網に接続する様に構成されている。なお、図１のファイアウォール装置は、他のファイアウォール装置と区別するため、ファイアウォール装置＃１としている。本実施形態において、制御装置は、ファイアウォール装置＃１、＃２及び＃３にルールを設定する。

図７は、本実施形態において設定される、集約されたルールを示している。なお、図２との違いは、端末＃７がサブネットＤ及びＥにＰｉｎｇを行うことである。

従来は、ネットワーク管理者がネットワークトポロジから、どのルールをどのファイアウォール装置に設定すればよいかを判断していた。そのため、従来のファイアウォール装置は「ｔｒｕｓｔｂｕｔｖｅｒｉｆｙ」モデルで運用されていることが一般的である。具体的には、ルールを、当該ルールの送信先に指定された装置の最寄りのファイアウォール装置に設定するものである。よって、このモデルでは、例えば、図７の端末＃１からサブネットＤへのＨＴＴＰ通信のルールは、ファイアウォール装置＃３に設定されることになる。

しかしながら、本実施形態において、各サブネットワークの管理者は、ネットワークトポロジを把握していない。したがって、本実施形態では、ファイアウォール装置を「zero trust」モデルで運用する。具体的には、ルールを、当該ルールの送信先に指定された装置及び送信元に指定された装置の最寄りのファイアウォール装置にそれぞれ設定する。なお、通信が経由する総てのファイアウォール装置にルールの設定を行うこともできる。したがって、例えば、図７の端末＃１からサブネットＤへのＨＴＴＰ通信のルールは、ファイアウォール装置＃１及び＃３にそれぞれ設定されることになる。これにより、どちらか一方のファイアウォール装置に不具合等が発生してもセキュリティを保つことができる。

したがって、本実施形態の制御装置は、第一実施形態で説明した様に、各サブネットワークの管理者の入力により作成し、その後集約した、図７のルールの送信先及び送信元から、図８に示す各ファイアウォール装置に設定するルールを作成する。なお、図８（Ａ）〜（Ｃ）は、それぞれ、ファイアウォール装置＃１及び＃３に設定されるルールを示している。例えば、図８（Ａ）に示すファイアウォール装置＃１に設定されるルールは、図７のルールの内、ファイアウォール装置＃１配下の端末又はサブネットワークが送信先又は送信元であるルールを取り出すことにより生成される。

以上、本実施形態によると、制御装置は、各ルールを、ルールの送信先と送信元の端末の最寄りのファイアウォール装置にそれぞれ設定する。この構成によりネットワーク全体の構成を知らなくとも、セキュリティを確保した設定を行うことができる。

以下、第一実施形態及び第二実施形態による制御装置の動作及び構成について説明する。図９は、制御装置の制御系統を示す図である。既に説明した様に、各サブネットの管理者が制御装置を使用して作成したルールは、各ファイアウォール装置に設定される。また、制御装置は、各ファイアウォール装置からルールのヒットカウントを受け取ることができ、ヒットカウントに基づきルールの適用順序を決定することができる。さらに、制御装置は、ネットワーク全体のトポロジを管理しているネットワーク管理システムから、トポロジ情報を受け取り、トポロジ情報に基づきファイアウォール装置を経由しない通信に対するルールを削除することができる。

図１０に一実施形態による制御装置の構成図を示す。サブネット情報管理部は、各サブネットと、サブネットワークアドレスとの対応関係を示す情報を保持し、この情報は、ネットワーク管理者が設定する。サブネット管理者情報管理部は、各サブネットワークそれぞれについて、サブネットワークの管理者が制御装置にアクセスする際に使用するユーザＩＤ及びパスワード等の情報を管理する。制御装置は、アクセスした管理者が使用するユーザＩＤに基づき、どのサブネットワークの情報に制限して、当該管理者にルールや端末の編集を行わせるかを判定する。許可アプリケーション情報管理部は、各サブネットについて、サブネットワークに許可された通信プロトコル、つまり、アプリケーションについての情報を保持し、この情報は、サブネットワークの管理者からの申請に基づきネットワーク管理者が設定する。端末情報編集部は、サブネットワークの管理者が、端末とそのアドレスとの関係を登録するための機能をサブネットワークの管理者に提供する。ルール情報編集部は、サブネットワークの管理者が、ルールを登録するための機能をサブネットワークの管理者に提供する。ルール情報集約部は、各サブネットワークの管理者が個別に登録したルールを集約条件に従い集約する。なお、ルール情報集約部は、トポロジ情報に基づき設定されたルールの内、ファイアオール装置を通過しないものも削除する。設定処理部は、例えば、集約されたルールをファイアフォール装置に設定する。なお、複数のファイアフォール装置が存在する場合、第二実施形態にて説明した様に、設定処理部は、各ファイアフォール装置に設定するルールを、ルールの送信先及び送信元から判定する。入出力部は、ネットワーク管理者や、サブネットの管理者が制御装置を使用する際のユーザインタフェース機能を提供する。

なお、本発明による制御装置は、コンピュータを上記制御装置として動作させるプログラムにより実現することができる。これらコンピュータプログラムは、コンピュータが読み取り可能な記憶媒体に記憶されて、又は、ネットワーク経由で配布が可能なものである。また、制御装置が制御するファイアウォール装置は、物理的な装置に限定されず、仮想的なファイアウォール装置であっても良い。

Claims

複数のネットワークの各ネットワークのアドレスと、前記各ネットワークのそれぞれに関連付けられた、各ネットワークの管理者のアカウント情報と、を保持する保持手段と、
アカウント情報を使用してアクセスした管理者に対して、該アカウント情報に関連付けられたネットワークの端末が通信元又は通信先となって行う通信の許可又は不許可を示すルールを該管理者に編集させる第１編集手段と、
一人以上の管理者が編集したルールをファイアウォール装置に設定する設定手段と、
を備えている制御装置であって、
前記制御装置は、前記複数のネットワークのトポロジ情報を管理する装置から前記トポロジ情報を取得し、前記取得したトポロジ情報と、前記一人以上の管理者が編集したルールの通信元及び通信先に基づき、前記通信元の端末及び前記通信先の端末それぞれの最寄りの２つのファイアフォール装置、或いは、前記通信元の端末及び前記通信先の端末による通信が経由する複数のファイアウォール装置のそれぞれに設定するルールを生成する生成手段をさらに備えていることを特徴とする制御装置。
アカウント情報を使用してアクセスした管理者に対して、該アカウント情報に関連付けられたネットワークの端末のアドレスを該管理者に編集させる第２編集手段をさらに備えていることを特徴とする請求項１に記載の制御装置。
前記生成手段は、前記一人以上の管理者が編集したルールから、その通信元及び通信先の端末が設定対象のファイアウォール装置の配下の端末であるルールを取り出すことで、前記設定対象のファイアウォール装置に設定するルールを生成することを特徴とする請求項１又は２に記載の制御装置。
前記一人以上の管理者が編集したルールを、所定の集約基準に従い集約する集約手段をさらに備えていることを特徴とする請求項１から３のいずれか１項に記載の制御装置。
前記所定の集約基準は、通信プロトコルが同一で、かつ、送信元の端末が同一であるルールを１つのルールに集約することと、通信プロトコルが同一で、かつ、送信先の端末が同一であるルールを１つのルールに集約することと、送信元の端末が同一で、かつ、送信先の端末が同一であるルールを１つのルールに集約することの少なくとも１つを含むことを特徴とする請求項４に記載の制御装置。
前記複数のネットワークのトポロジ情報を管理する装置から前記トポロジ情報を取得し、前記取得したトポロジ情報に基づき前記一人以上の管理者が編集したルールのうち、ファイアウォール装置を経由しない通信を示すルールを削除する削除手段をさらに備えていることを特徴とする請求項１から５のいずれか１項に記載の制御装置。
複数のネットワークの各ネットワークのアドレスと、前記各ネットワークのそれぞれに関連付けられた、各ネットワークの管理者のアカウント情報と、を保持する保持手段と、
アカウント情報を使用してアクセスした管理者に対して、該アカウント情報に関連付けられたネットワークの端末が通信元又は通信先となって行う通信の許可又は不許可を示すルールを該管理者に編集させる第１編集手段と、
一人以上の管理者が編集したルールをファイアウォール装置に設定する設定手段と、
前記複数のネットワークのトポロジ情報を管理する装置から前記トポロジ情報を取得し、前記取得したトポロジ情報に基づき前記一人以上の管理者が編集したルールのうち、ファイアウォール装置を経由しない通信のルールを削除する削除手段と、
を備えていることを特徴とする制御装置。
ファイアウォール装置に設定したルールに適合したパケットの数を示す情報を当該ファイアウォール装置から取得し、前記取得したパケットの数を示す情報に基づきルールの適用順序を決定する決定手段をさらに備えていることを特徴とする請求項１から７のいずれか１項に記載の制御装置。
請求項１から８のいずれか１項に記載の制御装置としてコンピュータを機能させることを特徴とするプログラム。