WO2006049072A1 - ファイアウォール検査システムおよびファイアウォール情報抽出システム - Google Patents

ファイアウォール検査システムおよびファイアウォール情報抽出システム Download PDF

Info

Publication number
WO2006049072A1
WO2006049072A1 PCT/JP2005/019765 JP2005019765W WO2006049072A1 WO 2006049072 A1 WO2006049072 A1 WO 2006049072A1 JP 2005019765 W JP2005019765 W JP 2005019765W WO 2006049072 A1 WO2006049072 A1 WO 2006049072A1
Authority
WO
WIPO (PCT)
Prior art keywords
firewall
policy
inspection
packet
unique
Prior art date
Application number
PCT/JP2005/019765
Other languages
English (en)
French (fr)
Inventor
Katsushi Matsuda
Original Assignee
Nec Corporation
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nec Corporation filed Critical Nec Corporation
Priority to JP2006543239A priority Critical patent/JPWO2006049072A1/ja
Priority to US11/666,861 priority patent/US20070266431A1/en
Publication of WO2006049072A1 publication Critical patent/WO2006049072A1/ja

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic

Definitions

  • the present invention relates to a firewall detection system that detects a firewall and a firewall information extraction system.
  • the present invention can be used for a service for checking and correcting a firewall policy applied to a firewall.
  • a firewall is a network device or software installed in a gateway or router that connects the Internet to the company network.
  • the firewall inspects the packets flowing through the network and protects the company's network from unauthorized access by passing or blocking the packets. Packet detection is performed based on firewall policy.
  • a firewall policy is a set of rules that define the conditions for allowing a packet to pass and the conditions for blocking it by packet attributes (source address and port, destination address and port, protocol type, etc.).
  • An example of a rule is, for example, “Allow the passage of packets having a specific protocol to a specific port of the address of a public server on the company's network”.
  • Patent Document 1 Japanese Patent Laid-Open No. 2001-337919
  • Patent Document 2 Japanese Patent Laid-Open No. 2001-32338
  • the service provider directly performs a virtual attack on the inspection target of the client company, the detoxified attack method or the inspection method itself is disclosed to the client company, and the client company then makes it to the competitors.
  • the method may leak.
  • the information about the client company's firewall policy, etc. is unknown to the service provider, and even if the firewall allows more packets than necessary, it is a concrete measure to improve that condition. Can't present a practical solution to client companies.
  • an object of the present invention is to prevent a failure or load from occurring in a network system of an organization that receives an inspection service when providing the inspection service. Another object of the present invention is to realize prompt incident response and reduction of inspection service costs. Another object of the present invention is to increase the confidentiality of the inspection method of the inspection service provider. Another object of the present invention is to provide a specific countermeasure for improving the state when the firewall to be inspected passes the packet more than necessary. There is. Means for solving the problem
  • a firewall detection system includes:
  • a policy extraction means that extracts a firewall policy, which is a set of rules that define conditions for allowing or blocking packets, from the firewall, and a firewall policy extracted by the policy extraction means in a format that does not depend on the type of firewall.
  • Inspection knowledge storage means for storing inspection packets which are packets used for attacks or packets obtained by removing attack codes from packets used for attacks;
  • Virtual firewall generation means for generating a virtual firewall, which is a program for causing the determination processing execution means to execute determination processing, using a non-unique policy converted by the conversion means;
  • An inspection unit that reads an inspection packet from the inspection knowledge storage unit, causes the determination processing execution unit to determine whether to pass or block the inspection bucket according to the virtual firewall, and obtains a determination result and a rule derived from the determination result;
  • a test result generating means for generating a verification result by adding predetermined information to a rule derived from a determination result indicating that the verification packet is allowed to pass among the rules included in the non-unique policy converted by the conversion means;
  • the non-unique policy included in the inspection result is formatted according to the type of firewall.
  • the policy extraction means, the conversion means, the inverse conversion means, and the result output means constitute a firewall information extraction system for extracting the firewall policy from the firewall, and the inspection knowledge storage means, the determination processing execution means, and the virtual firewall generation means
  • the inspection means and the inspection result generation means may constitute a detection system that performs inspection related to the firewall. According to such a configuration, the owner of the inspection system can keep the specific inspection method secret from the owner of the fire war nore. In addition, since the inspection system uses non-unique policies, it is not necessary to send a firewall policy in a format that depends on the type of firewall to the inspection system. Thus, the owner of the firewall can keep the type and version of the firewall secret from the owner of the verification system.
  • the policy extraction means and the result output means constitute a firewall information extraction system for extracting the firewall policy from the firewall policy
  • the conversion means, the inspection knowledge storage means, the judgment processing execution means, the virtual firewall generation means, the inspection means, and the inspection result may constitute an inspection system that performs an inspection related to the firewall. According to such a configuration, the owner of the inspection system can keep the specific inspection method secret from the owner of the fire warner.
  • the determination processing execution means determines whether or not to pass the inspection packet depending on whether or not the attribute information stored in the portion other than the payload in the inspection packet matches the rule in the non-unique policy. It's okay. According to such a configuration, it is not necessary to make the attack code stored in the payload harmless. As a result, man-hours required for inspection services can be reduced, and prompt incident response can be achieved. In addition, service costs can be reduced by eliminating the need for harmless man-hours, and it is possible to provide firewall inspection services at a low price.
  • a firewall detection system comprises:
  • a set of rules that define the conditions for passing a packet or blocking the packet A policy extraction means for extracting a firewall policy from the firewall; a conversion means for converting the firewall policy extracted by the policy extraction means into a non-unique policy that is a firewall policy in a format independent of the firewall type;
  • a detection packet that is a packet that is used for an attack or a packet that is obtained by removing an attack code from the packet that is used for an attack, and correction policy information for correcting a rule that passes the detection packet so as to block the detection packet.
  • Inspection correction knowledge storage means for storing; determination processing execution means for executing determination processing for determining whether to pass a given packet or not based on a non-unique policy;
  • Virtual firewall generation means for generating a virtual firewall, which is a program for causing the determination processing execution means to execute determination processing, using a non-unique policy converted by the conversion means;
  • An inspection unit that reads the inspection packet from the inspection correction knowledge storage unit, causes the determination processing execution unit to determine whether to pass or block the inspection packet according to the virtual firewall, and obtains a determination result and a rule that has led to the determination result;
  • a test result generating means for generating a test result by adding predetermined information to a rule derived from a determination result indicating that the test packet is allowed to pass among the rules included in the non-unique policy converted by the converting means;
  • Inversion means for converting the modified non-unique policy into a firewall policy in a format depending on the type of firewall, and result output means for outputting the firewall policy converted by the inverse conversion means are provided. Also good.
  • the policy extraction means, the conversion means, the inverse conversion means, and the result output means constitute a firewall information extraction system for extracting a firewall policy from the firewall, and an inspection correction knowledge storage means, a judgment processing execution means, and a virtual firewall generation
  • the means, the inspection means, the inspection result generation means, and the correction means may constitute an inspection system for inspecting the firewall.
  • the owner of the detection system can keep the specific detection method secret from the owner of the firewall.
  • the inspection system uses non-unique policies for inspection, it is necessary to send a firewall policy in a format that depends on the type of firewall to the inspection system.
  • the owner of the firewall can keep the type and version of the firewall secret from the owner of the inspection system.
  • the policy extraction means and the result output means constitute a firewall information extraction system for extracting a firewall policy from the firewall force, and include conversion means, inspection correction knowledge storage means, determination processing execution means, virtual firewall generation means, inspection means, and inspection
  • the result generation means, the correction means, and the inverse conversion means may constitute an inspection system that performs an inspection related to the firewall. According to such a configuration, the owner of the inspection system can keep the specific inspection method secret from the owner of the firewall.
  • Policy applying means for applying the firewall policy converted by the inverse converting means to the firewall may be provided. According to such a configuration, it is not necessary to apply the firewall policy corrected by the owner of the firewall to the firewall.
  • Non-unique policy storage means for storing the non-unique policy converted by the conversion means, and instruction input means for inputting an instruction to reapply the firewall policy to the firewall
  • the reverse conversion means converts the non-unique policy stored in the non-unique policy storage means into a firewall policy in a format depending on the type of firewall, and applies the policy.
  • the means may be configured to apply the firewall policy converted by the reverse conversion means to the firewall. According to such a configuration, the firewall policy can be easily restored when the firewall policy is broken for some reason or when the type of the firewall is changed. In addition, even if the type of firewall is changed, it is easy to restore the firewall policy, so it is possible to freely replace firewall devices and firewall software.
  • the determination processing execution means determines whether or not to pass the verification packet depending on whether or not the attribute information stored in the portion other than the payload in the verification packet matches the rule in the non-unique policy.
  • the structure which determines may be sufficient. According to such a configuration, it is not necessary to make the attack code stored in the payload harmless. As a result, the time required for inspection services can be reduced and prompt incident response is possible. In addition, service costs can be reduced by eliminating the need for detoxification man-hours, and firewall inspection services can be provided at a low price.
  • a firewall information extraction system is a firewall information extraction system that extracts a firewall policy, which is a set of rules that define conditions for allowing a packet to pass or conditions for blocking a packet, from the firewall.
  • a policy extraction means for extracting the firewall policy of the firewall policy, a conversion means for converting the firewall policy extracted by the policy extraction means into a non-unique policy that is a firewall policy in a format independent of the firewall type, and
  • a non-unique policy sending means that sends the non-unique policy converted by the transformation means to the inspection system that conducts the inspection related to the firewall, and makes the inspection system execute the inspection.
  • a test result receiving means for receiving a test result in which predetermined information is added to a rule that allows a test packet to pass.
  • Inverse conversion means for converting a non-unique policy included in the inspection result into a firewall policy having a format depending on the type of firewall, and a result output means for outputting the firewall policy converted by the inverse conversion means together with predetermined information And may have
  • a firewall information extraction system is a firewall information extraction system that extracts a firewall policy, which is a set of rules that define conditions for allowing a packet to pass or conditions for blocking a packet, from the firewall.
  • a policy extraction means for extracting the firewall policy of the firewall policy, a conversion means for converting the firewall policy extracted by the policy extraction means into a non-unique policy that is a firewall policy in a format independent of the firewall type, and
  • Modification that receives modified non-unique policies from non-unique policy sending means and inspection system that sends non-unique policies converted by the transformation means to inspection systems that perform inspections related to firewalls. And a result receiving means.
  • a reverse conversion means for converting the modified non-unique policy into a firewall policy having a format depending on the type of firewall, and a result output means for outputting the firewall policy converted by the reverse conversion means. Les, even okay.
  • the configuration may include a policy application unit that applies the firewall policy converted by the reverse conversion unit to the firewall.
  • the owner of the firewall himself / herself does not have to perform the work of applying the modified firewall policy to the firewall.
  • a non-unique policy storage means for storing the non-unique policy converted by the conversion means, and an instruction input means for inputting an instruction to reapply the firewall policy to the firewall, wherein the reverse conversion means
  • Non-unique policy storage means when is entered
  • the non-unique policy stored in the server may be converted into a firewall policy having a format depending on the type of firewall, and the policy application unit may apply the firewall policy converted by the reverse conversion unit to the firewall. According to such a configuration, the firewall policy can be easily restored when the firewall policy is broken for some reason or when the type of the firewall is changed. In addition, even if the type of firewall is changed, it is easy to restore the firewall policy, so it is possible to freely replace firewall devices and firewall software.
  • a firewall detection system is a firewall detection system that receives data from a firewall information extraction system that extracts a firewall policy from the firewall and performs detection related to the firewall.
  • a non-unique policy receiving means for receiving a non-unique policy that is a firewall policy in a format independent of the type of firewall from the firewall information extraction system;
  • Inspection knowledge storage means for storing inspection packets which are packets used for attacks or packets obtained by removing attack codes from packets used for attacks;
  • a determination processing execution means for executing a determination processing for determining whether to pass or block a given packet based on a non-unique policy
  • Virtual firewall generation means for generating a virtual firewall, which is a program for causing the determination processing execution means to execute the determination processing, using the non-unique policy received by the non-unique policy receiving means;
  • An inspection means that reads the inspection packet from the inspection knowledge storage means, causes the determination processing execution means to determine whether to pass or block the inspection bucket according to the virtual firewall, and obtains a determination result and a rule derived from the determination result; ,
  • Test result generation means for generating a test result by adding predetermined information to a rule derived from a determination result indicating that a test packet is allowed to pass among the rules included in the non-unique policy received by the non-unique policy receiving means.
  • Inspection result transmission means for transmitting the inspection result to the firewall information extraction system.
  • a firewall inspection system is a firewall inspection system that receives data from a firewall information extraction system that extracts a firewall policy from the firewall and performs a detection relating to the firewall.
  • a policy receiving means for receiving a firewall policy from the firewall information extraction system
  • Inspection knowledge storage means for storing inspection packets which are packets used for attacks or packets obtained by removing attack codes from packets used for attacks;
  • Virtual firewall generation means for generating a virtual firewall, which is a program for causing the determination processing execution means to execute determination processing, using a non-unique policy converted by the conversion means;
  • An inspection unit that reads an inspection packet from the inspection knowledge storage unit, causes the determination processing execution unit to determine whether to pass or block the inspection bucket according to the virtual firewall, and obtains a determination result and a rule derived from the determination result;
  • a test result generating means for generating a verification result by adding predetermined information to a rule derived from a determination result indicating that the verification packet is allowed to pass among the rules included in the non-unique policy converted by the conversion means;
  • a non-unique policy included in the detection result is converted into a firewall policy having a format depending on the type of firewall, and a firewall information extraction system together with predetermined information on the firewall policy converted by the reverse conversion unit Send to And a result transmitting means.
  • a firewall inspection system is a firewall inspection system that receives data from a firewall information extraction system that extracts a firewall policy from the firewall and performs a detection on the firewall.
  • a non-unique policy receiving means for receiving a non-unique policy that is a firewall policy in a format independent of the type of firewall from the firewall information extraction system;
  • a detection packet that is a packet that is used for an attack or a packet that is obtained by removing an attack code from the packet that is used for an attack, and correction policy information for correcting a rule that passes the detection packet so as to block the detection packet.
  • Inspection correction knowledge storage means for storing; determination processing execution means for executing determination processing for determining whether to pass a given packet or not based on a non-unique policy;
  • Virtual firewall generation means for generating a virtual firewall, which is a program for causing the determination processing execution means to execute the determination processing, using the non-unique policy received by the non-unique policy receiving means;
  • An inspection unit that reads the inspection packet from the inspection correction knowledge storage unit, causes the determination processing execution unit to determine whether to pass or block the inspection packet according to the virtual firewall, and obtains a determination result and a rule that has led to the determination result;
  • Test result generation means for generating a test result by adding predetermined information to a rule derived from a determination result that the test packet is allowed to pass among the rules included in the non-unique policy received by the non-unique policy receiving means.
  • a firewall inspection system is a firewall inspection system that receives data from a firewall information extraction system that extracts a firewall policy from the firewall, and performs inspection relating to the firewall.
  • a policy receiving means for receiving a firewall policy from the firewall information extraction system
  • a detection packet that is a packet that is used for an attack or a packet that is obtained by removing an attack code from the packet that is used for an attack, and correction policy information for correcting a rule that passes the detection packet so as to block the detection packet.
  • Inspection correction knowledge storage means for storing; determination processing execution means for executing determination processing for determining whether to pass a given packet or not based on a non-unique policy;
  • Virtual firewall generation means for generating a virtual firewall, which is a program for causing the determination processing execution means to execute determination processing, using a non-unique policy converted by the conversion means;
  • An inspection unit that reads the inspection packet from the inspection correction knowledge storage unit, causes the determination processing execution unit to determine whether to pass or block the inspection packet according to the virtual firewall, and obtains a determination result and a rule that has led to the determination result;
  • Inspection result generation means for generating a detection result by adding predetermined information to a rule derived from a determination result indicating that the inspection packet is allowed to pass among the rules included in the non-unique policy converted by the conversion means;
  • the modified non-unique policy is converted to a firewall with a format that depends on the type of firewall.
  • the determination processing execution means determines whether or not to pass the verification packet depending on whether or not the attribute information stored in the portion other than the payload in the verification packet matches the rule in the non-unique policy. Even if it is the structure to judge. According to such a configuration, it is not necessary to make the attack code stored in the payload harmless. As a result, the amount of time required for inspection services can be reduced, and prompt incident response is possible. In addition, the service cost can be reduced as much as the man-hours for detoxification are not required, and the firewall inspection service can be provided at a low price.
  • FIG. 1 is a block diagram showing a first embodiment of the present invention.
  • FIG. 2 is a block diagram showing a configuration example of a client system and an inspection system in the first embodiment.
  • FIG. 3 is an explanatory diagram showing a virtual FW.
  • FIG. 4 is a flowchart showing the operation of the firewall detection system in the first exemplary embodiment.
  • FIG. 5 is a block diagram showing a modification of the first embodiment.
  • FIG. 6 is a block diagram showing a configuration example of a client system and a detection system in the second embodiment.
  • FIG. 7 is a flowchart showing the operation of the firewall detection system in the second exemplary embodiment.
  • FIG. 8 is a block diagram showing a modification of the second embodiment.
  • FIG. 9 is an explanatory diagram showing an example of a unique policy and a non-unique policy.
  • FIG. 10 is an explanatory diagram showing an example of information stored in the policy storage means of the client system.
  • FIG. 11 is an explanatory diagram showing an example of information stored in policy storage means of the inspection system. 12]
  • FIG. 12 is an explanatory diagram showing an example of inspection knowledge stored in the inspection knowledge DB.
  • FIG. 13 is a flowchart showing a process for determining whether or not to allow a packet to pass.
  • FIG. 14 is an explanatory diagram showing an example of a non-unique policy included in the virtual FW.
  • FIG. 15 is an explanatory diagram showing an example of the inspection result.
  • Fig. 16 is an explanatory diagram showing an example of a unique policy converted from a non-unique policy. 17] Fig. 17 is an explanatory diagram showing the situation where a virtual FW is created and checked for each client company. is there.
  • FIG. 18 is an explanatory diagram showing an example of the inspection correction knowledge stored in the inspection correction knowledge DB
  • FIG. 19 is a flowchart showing non-unique policy correction processing.
  • FIG. 20 is an explanatory diagram showing an example of the modification result of the non-unique policy.
  • FIG. 21 is an explanatory diagram showing an example of a unique policy converted from the modification result of the non-unique policy.
  • the firewall inspection system includes a firewall information extraction system (hereinafter referred to as a client system) 100 and an inspection system 200.
  • the client system 100 and the inspection system 200 are connected via a communication network 400.
  • a case where the communication network 400 is the Internet will be described as an example.
  • the inspection system 200 receives a firewall policy from the client system 100 and performs an inspection based on the firewall policy. Then, the inspection result is transmitted to the client system 100.
  • a person who receives a firewall inspection service (in the following description, referred to as a client company, but not limited to a company) has a client company network 10 that is a communication network of the client company itself.
  • the client company also has a firewall 300 that connects the Internet 400 and the client company network 10.
  • the client company purchases the client system 100 from a person who provides the inspection service (in the following description, it is referred to as a service providing company, but is not limited to the company), and connects to the client company network 10.
  • Client system 100 is connected to a network segment accessible to firewall 300.
  • the service providing company has a service providing company network 20 which is a communication network of the service providing company itself.
  • the inspection system 200 is managed by a service provider and connected to the service provider network 20. Although not shown, the inspection system 200 is connected to the Internet 400 via a gateway, a router, or the like.
  • the client company receives the inspection service for the firewall 300, and pays the service company for the service.
  • FIG. 2 is a block diagram showing a configuration example of the client system 100 and the inspection system 200 in the first embodiment.
  • the client system 100 and the detection system 200 are shown as being directly connected to the Internet.
  • the client system 100 is connected to the Internet 400 through a firewall.
  • the detection system 200 is connected to the Internet 400 via a gateway, a router, etc. (not shown).
  • the client system 100 includes a policy extraction unit 110, a policy conversion rule storage unit 120, a policy storage unit 130, a communication unit 140, a policy reverse conversion unit 150, and a result output unit 160. .
  • the policy extraction unit 110 extracts setting information from the firewall 300.
  • the setting information is information including a firewall policy, and the firewall policy is a set of rules that define conditions for allowing and blocking a knot.
  • the setting information includes the type of firewall 300 (product name, etc.) and version information in addition to the firewall policy.
  • the firewall policy included in the configuration information is described in a format that depends on the type of firewall 300.
  • the policy extraction unit 110 converts the firewall policy included in the extracted setting information into a firewall policy described in a format independent of the type of firewall according to the policy conversion rule.
  • a firewall policy with a format that depends on the type of firewall (hereinafter referred to as “unique policy”) and a firewall policy with a format that does not depend on the type of firewall (hereinafter referred to as “non-unique policy”).
  • the policy conversion rule storage unit 120 stores the correspondence table in correspondence with the type and version of the firewall.
  • the policy extraction unit 110 stores in the policy storage unit 130 the non-unique policy after conversion, information on the type and version of the firewall 300, the time at which the setting information is extracted, and the like.
  • the policy conversion rule storage unit 120 stores policy conversion rules in advance for each type of firewall.
  • the policy storage unit 130 may extract the non-unique policy, firewall type, version information, and setting information converted by the policy extraction unit 110 (the recording date and time in the policy storage unit 130 may be used). ) Etc.
  • the communication unit 140 reads the non-unique policy from the policy storage unit 130 and transmits the non-unique policy to the detection system 200. At this time, the communication unit 140 adds a serial number to the non-unique policy every time the non-unique policy is transmitted. Then, the number is associated with the type and version information of the firewall 300 and stored in the policy storage unit 130, for example. In addition, the communication unit 140 receives a detection result of the firewall 300 performed using the non-unique policy from the detection system 200. The inspection result is the rule included in the non-unique policy with the name of the attack added to the rule that allows the packet that is an attack against the firewall to pass.
  • the policy reverse conversion unit 150 converts a non-unique policy included in the verification result into a unique policy based on the policy conversion rule.
  • the policy reverse conversion unit 150 leaves the name of the attack additionally described in the inspection result as it is.
  • the number added by the communication unit 140 when transmitting the non-unique policy is left as it is.
  • the policy reverse conversion unit 150 may identify the type and version information of the firewall based on the number, refer to the policy conversion rule corresponding to the type, and perform conversion into a specific policy.
  • the policy reverse conversion unit 150 causes the result output unit 160 to output the unique policy to which the attack name is added.
  • the result output unit 160 outputs the unique policy converted from the inspection result by the policy reverse conversion unit 150.
  • the policy extraction unit 110 and the communication unit 140 are, for example, the client company network 10
  • the inspection system 210 includes a communication unit 210, a policy storage unit 220, a virtual FW (firewall) creation unit 230, a virtual FW (firewall) storage unit 240, and a FW (firewall) inspection unit 250.
  • inspection knowledge DB database
  • the communication unit 210 receives a non-unique policy from the client system 100 and stores it in the policy storage unit 220. In addition, the communication unit 210 transmits the inspection result to the client system 100.
  • Policy storage unit 220 stores the non-unique policy received by communication unit 210 from client system 100.
  • the virtual FW creating unit 230 creates a virtual FW and stores it in the virtual FW storage unit 240.
  • the virtual FW is a program that causes a CPU (not shown) included in the detection system 200 to perform a pseudo operation as a firewall.
  • the virtual FW is a program for emulating firewall operations.
  • to simulate the behavior as a firewall is to determine whether a given packet is allowed to pass or block.
  • the virtual FW storage unit 240 stores the created virtual FW.
  • FIG. 3 is an explanatory diagram showing a virtual FW.
  • the virtual FW creation unit 230 creates the virtual FW 500 by adding the non-unique policy 510 to the FW execution instruction 520 prepared in advance.
  • the FW execution instruction 520 is a group of instructions for causing the CPU (not shown) of the inspection system 200 to execute an operation as a firewall.
  • the FW execution instruction 520 is stored in advance in a storage device (not shown) included in the inspection system 200. deep.
  • the virtual FW creation unit 230 reads the FW execution instruction 520 when creating the virtual FW, reads the non-unique policy stored in the policy storage unit 220, adds it to the FW execution instruction 520 as the non-unique policy 510, Generate virtual FW500.
  • the virtual FW 500 is generated, for example, as a program execution file. It is also possible to include a non-unique policy in the virtual FW500 generated as a program execution file. Alternatively, the non-unique policy may be a separate file from the program execution file, and the data file of the non-unique policy may be associated with the program execution file.
  • the verification knowledge DB 260 stores at least one piece of data representing an attack itself or data representing an attack attribute.
  • Data representing the attack itself is an attack on the system. It is the whole packet that becomes a hit.
  • the data representing the attack itself contains attack codes that cause the system that received the packet to malfunction.
  • the attack code is stored in the payload of the packet.
  • the data representing the attack attributes is data excluding the attack code (payload part) from the data representing the attack itself. Therefore, the detection knowledge DB 260 stores data including the attack code (data indicating the attack itself), but stores data including the attack code and data (data indicating the attribute of the attack). , It ’s all right.
  • the examination knowledge DB 260 may store the name of the attack and supplementary items (for example, information on what kind of device is infected, etc.). Data representing the attack itself, or data representing the attributes of the attack, and the name of the attack are collectively referred to as inspection knowledge. If supplementary items exist, they are also included in the examination knowledge, but there is no need for supplemental items.
  • a verification packet the entire packet that causes an attack on the system or a packet obtained by removing the attack code from such a packet.
  • Inspection Knowledge DB 260 stores one or more inspection knowledge. Inspection knowledge is created by inspection system operators and security experts of service providers. Inspection knowledge may be sold to service providers from security vendors or companies that manage incident information. The inspection knowledge is input to the inspection system 200 via, for example, an input device (not shown), and stored in the inspection knowledge DB 260 by the CPU (not shown).
  • the FW inspection unit 250 activates the virtual FW 500 (see FIG. 3) stored in the virtual FW storage unit 240. Then, the FW inspection unit 250 reads the inspection packet (the attack code may or may not be stored in the payload) from the inspection knowledge DB 260, and loads it into a CPU (not shown) that operates according to the virtual FW 500. Determine whether to pass or block the inspection packet. Also, the rule that led to the determination result is specified. Then, the FW detection unit 250 additionally describes the attack name of the detection packet that is determined to be passed to the rule in the non-unique policy stored in the policy storage unit 220.
  • the communication unit 210 is realized by, for example, an interface with the service providing company network 20 (see FIG. 1) and a CPU that operates according to a program.
  • the virtual FW creation unit 230 and the FW detection unit 250 are realized by a CPU that operates according to a program, for example. Is done.
  • the program may be stored in advance in a storage device (not shown) provided in the inspection system 200.
  • the policy storage unit 220, the virtual FW storage unit 240, and the inspection knowledge DB 260 are realized by, for example, a storage device included in the inspection system 200.
  • the service providing company sells the client system 100 to the client company.
  • Client system 100 accesses firewall 300 in client corporate network 10 (see Figure 1)
  • FIG. 4 is a flowchart showing the operation of the firewall detection system in the present embodiment.
  • the policy extraction unit 110 of the client system 100 extracts the setting information of the firewall 300 (step 1001).
  • the setting information may be extracted from the firewall 300 by executing a setting information acquisition command provided in the firewall 300, for example.
  • the policy extraction unit 110 may extract the setting information from the firewall 300 periodically, for example.
  • the client system 100 includes an input device (not shown) such as a keyboard and a mouse for inputting an instruction from the operator, and the firewall 300 is input when an instruction for extracting setting information is input from the input device. You can extract the setting information from
  • the setting information extraction process may be set in advance to start the setting information extraction process at the timing determined by the contract between the client company and the service provider company.
  • the policy extraction unit 110 converts the unique policy included in the setting information into a non-unique policy and stores the non-unique policy in the policy storage unit 130 (step 1002).
  • the policy extraction unit 110 reads from the policy conversion rule storage unit 120 the policy conversion rule corresponding to the type and version information of the firewall 300 included in the setting information. Then, according to the policy conversion rule, the policy extraction unit 110 converts the unique policy having a format depending on the firewall type into a non-unique policy having a format independent of the firewall type.
  • the policy extraction unit 110 stores the non-unique policy in the policy storage unit 130
  • the date and time when the setting information is extracted may be the recording date and time in the policy storage unit 130
  • the file It is memorized with information on the type and version of Firewall 300.
  • the case where the type and version information of the firewall is included in the setting information is taken as an example, but the type and version information may not be included in the setting information.
  • the client system 100 is preliminarily input firewall type and version information from an operator of a client company via an input device (not shown) such as a keyboard, and the input information is stored in a storage device (not shown). You may also memorize them. Then, the information such as the version stored in advance may be read by the policy extraction unit 110 in step 1002 and stored in the policy storage unit 130 together with the non-unique policy.
  • the type and version information can be acquired from the firewall 300 by executing the data acquisition command (firewall type and version information acquisition command) provided in the firewall 300.
  • the communication unit 140 reads the non-unique policy from the policy storage unit 130, and transmits the non-unique policy to the inspection system 200 via the Internet 400 (step 1003).
  • the communication unit 140 adds a serial number to the non-unique policy and transmits it.
  • the communication unit 140 associates the number added to the non-unique policy with the type and version information of the firewall 300 and stores them in the policy storage unit 130, for example. This number is used to specify the policy conversion rule to be referred to when the test result received later is converted into a specific policy.
  • step 1003 communication unit 140 first transmits an inspection request to inspection system 200, and after receiving a response to receive an inspection request from inspection system 200, transmits a non-unique policy. Also good.
  • the communication unit 210 of the detection system 200 receives the non-unique policy transmitted by the communication unit 140 of the client system 100, and stores the non-unique policy in the policy storage unit 220 (step 1004).
  • the virtual FW creation unit 230 reads the FW execution instruction 520 from, for example, a storage device (not shown) included in the detection system 200, and is stored in the policy storage unit 220 in step 1004. Read a non-unique policy.
  • the virtual FW creation unit 230 reads the read F A non-unique policy is added to the W execution instruction 520 to generate a virtual FW 500 (step 10 05).
  • the virtual FW 500 is generated as a program execution file including the FW execution instruction 520 and the non-unique policy 510 (the non-unique policy itself read from the policy storage unit 220).
  • the virtual FW creation unit 230 stores the generated virtual FW 500 in the virtual FW storage unit 240.
  • the FW inspection unit 250 activates the virtual FW 500 to detect the firewall 300 of the client company (step 1006).
  • the CPU (not shown) of the detection system 200 that performs the firewall operation according to the virtual FW500 and the CPU (not shown) that operates as the FW detection unit 250 are the same CPU.
  • the FW detection unit 250 reads data representing the attack itself (entire packet that becomes an attack on the system) or data representing the attribute of the attack (packet not including the attack code) from the detection knowledge DB 260. Then, the CPU (not shown) operating according to the virtual FW500 determines whether or not to pass the packet.
  • the CPU operating in accordance with the virtual FW 500 determines whether the firewall 300 passes or blocks the packet based on the non-unique policy 510 included in the virtual FW 500 and the attack attribute.
  • the FW inspection unit 250 determines the rule that has resulted in the determination result that the packet is allowed to pass among the rules included in the non-unique policy stored in the policy storage unit 220.
  • the attack name of the packet is added.
  • the FW inspection unit 250 sequentially executes the above processing for each data representing an attack stored in the inspection knowledge DB 260 and data representing an attack attribute.
  • a result obtained by adding the attack information (in this embodiment, the name of the attack) to the non-unique policy stored in step 1004 is the verification result. This check also includes the number added to the non-unique policy in step 1003.
  • the FW inspection unit 250 sends the inspection result to the communication unit 210 of the inspection system 200.
  • the communication unit 210 transmits the detection result to the client system 100 via the Internet 400 (step 1007).
  • the communication unit 140 of the client system 100 receives the verification result from the communication unit 210 of the verification system 200 and passes the verification result to the policy reverse conversion unit 150.
  • the communication unit 140 May store the inspection result in the policy storage unit 130, and the policy reverse conversion unit 150 may read the inspection result from the policy storage unit 130.
  • the policy reverse conversion unit 150 stores the firewall type and version information corresponding to the number included in the inspection result (the number added to the non-unique policy in step 1003) in the information stored in step 1003. Identify based on.
  • the policy conversion rule corresponding to the specified information is read from the policy conversion rule storage unit 120.
  • the policy reverse conversion unit 150 refers to the policy conversion rule and converts the non-unique policy included in the detection result into a unique policy having a format dependent on the firewall 300.
  • the converted unique policy is output (for example, displayed) to the result output unit 160 together with the attack information added in step 1006 (step 1008).
  • the operator of the client company it is possible to present to the operator of the client company a rule that allows an attack packet to pass among the rules included in the firewall policy of the firewall 300.
  • the policy extraction unit and the conversion unit correspond to the policy extraction unit 110.
  • the inspection knowledge storage means corresponds to the inspection knowledge DB 260.
  • the determination process execution means corresponds to the CPU (not shown) of the detection system 200.
  • the virtual firewall generation means corresponds to the virtual FW generation unit 230.
  • the inspection means and the inspection result generation means correspond to the FW inspection unit 250.
  • the reverse conversion means corresponds to the policy reverse conversion unit 150.
  • the result output means corresponds to the result output unit 160.
  • the non-unique policy transmitting unit and the inspection result receiving unit correspond to the communication unit 140 of the client system 100.
  • the non-unique policy receiving unit and the inspection result transmitting unit correspond to the communication unit 210 of the inspection system 200.
  • the client system's firewall 300 itself does not receive the inspection.
  • the service provider's inspection system 200 creates a virtual FW 500 (see FIG. 3) using the firewall 300's non-unique policy.
  • the inspection is performed by virtual FW500.
  • the damage of the firewall 300 eliminates the possibility that the client company will suffer damage such as business suspension or loss of business opportunities. Also firewall There is no risk that client companies that suffer from high load on S300 and the client company network 10 (see Figure 1) will suffer damage such as business stagnation and lost business opportunities.
  • the CPU (not shown) of the inspection system 200 operating according to the virtual FW 500 allows the firewall 300 to pass the packet according to the non-unique policy 510 included in the virtual FW 500 and the attack attribute. Whether to block or not. This determination process can be performed even if the attack code is not included in the packet. Therefore, when a new attack is discovered and a virtual attack can be performed, the man-hour for detoxifying the virtual attack becomes unnecessary. Therefore, the service provider can respond quickly to incidents. In other words, when a new attack is discovered, inspection services related to the attack can be provided early. In addition, the service cost can be reduced as much as the man-hours to detoxify the virtual attack are eliminated, and the firewall inspection service can be provided to client companies at a low price.
  • the data representing the attack itself or the data representing the attribute of the attack stored in the examination knowledge DB 260 is used in the examination system 200 and is not transmitted to the client system 100. Therefore, there is no risk of leaking to competitors through the data strength S client company used by the service provider itself for inspection.
  • the client system 100 transmits a non-unique policy instead of a unique policy. Further, the client system 100 transmits a number associated with the information by the client system 100 itself, not the information on the type and version of the firewall 300. Therefore, the inspection system 200 cannot identify the type and version of the firewall 300 used by the client company. Therefore, for client companies who want to keep the type and version of their own firewall 300 confidential, they can receive the inspection service without knowing the information of the type and version of the firewall 300 to the service provider. There is an effect.
  • the virtual FW creation unit 230 starts creating the virtual FW (step 1005) after the end of step 1004, and the operator of the service provider is instructed to start creating the virtual FW.
  • the FW inspection unit 250 starts the inspection (step 1006) after the end of step 1005 by the operator of the service provider. Therefore, it may be when the start of inspection is instructed.
  • the inspection system 200 includes an input device (not shown) such as a keyboard and a mouse for inputting an instruction from the operator.
  • the operator of the service providing company can perform the processing of steps 10005 and 1006 collectively by batch processing after the non-unique policies stored in the policy storage unit 220 increase.
  • the operation can be interrupted in Step 1004, and the operation after Step 1005 can be resumed after the verification knowledge DB 260 ends.
  • FIG. 5 shows a configuration example in the case of transmitting a unique policy in a format depending on the type of firewall, information on the type of firewall, and version to the detection system 200.
  • the client system 100 includes a policy extraction unit 110, a communication unit 140, and a result output unit 160.
  • the result output unit 160 is the same as the result output unit 160 shown in FIG.
  • the policy extraction unit 110 extracts setting information from the firewall 300, and sends the firewall policy (unique policy) included in the setting information and information on the type and version of the firewall 300 to the communication unit 140.
  • the information on the type of firewall 300 may be input in advance by the operator of the client company.
  • the type and version information may be extracted from the firewall 300.
  • the communication unit 140 of the client system 100 transmits the information on the unique policy and the type and version of the firewall 300 sent from the policy extraction unit 140 to the detection system 200 via the Internet 400.
  • the communication unit 140 receives a detection result from the detection system 200, the communication unit 140 causes the result output unit 160 to output (for example, display output) the detection result.
  • the verification system 200 includes a communication unit 210 and a policy conversion rule storage.
  • Unit 125 unique policy storage unit 135, policy conversion unit 155, non-unique policy storage unit 225, virtual FW creation unit 230, virtual FW storage unit 240, FW inspection unit 250, and inspection knowledge DB 260.
  • the policy conversion rule storage unit 125 stores policy conversion rules in the same manner as the policy conversion rule storage unit 120 in the configuration shown in FIG.
  • Virtual FW creation unit 230, virtual FW storage unit 240, FW verification unit 250, verification knowledge DB 260 are virtual FW creation unit 230, virtual FW storage unit 240, FW detection unit 250, Examination knowledge Same as DB2 60.
  • the non-unique policy storage unit 225 stores the non-unique policy in the same manner as the policy storage unit 220 of the detection system 200 in the configuration shown in FIG.
  • the communication unit 210 of the detection system 200 causes the unique policy storage unit 135 to store the unique policy and the type and version information of the firewall 300 received from the client system 100.
  • the reception time of the unique policy may be stored in the unique policy storage unit 135.
  • the communication unit 210 may add a number or the like for identifying each unique policy to the unique policy and store it in the unique policy storage unit 135.
  • the unique policy storage unit 135 stores information on unique policies, types of firewalls 300, and versions.
  • the policy conversion unit 155 refers to the policy conversion rule and performs conversion from a unique policy to a non-unique policy and conversion from a non-unique policy to a unique policy. After the unique policy is stored in the unique policy storage unit 135 by the communication unit 210, the policy conversion unit 155 stores the policy conversion rule according to the type and version of the firewall stored together with the specific policy. Read from part 125. Then, based on the policy conversion rule, the unique policy stored in the unique policy storage unit 135 is converted into a non-unique policy and stored in the non-unique policy storage unit 225. Information added to identify each unique policy (number, etc.) is also added to the non-unique policy after conversion.
  • the virtual FW creation unit 230 creates a virtual FW 500 (see Fig. 3) in the same manner as in step 1005, and the FW detection unit 250 performs the step. Perform the same inspection as step 1006. If it is determined at the time of detection that the attack packet is allowed to pass, the FW detection unit 250 stores the non-unique policy stored in the non-unique policy storage unit 225. The attack name of the packet is added to the rule that led to the determination result that the packet is allowed to pass among the rules included in the sequence.
  • the policy conversion unit 155 specifies the type and version of the firewall from the information for identifying each unique policy added to the non-unique policy, and further, the policy conversion rule according to the type and version. Is read. Then, the non-unique policy stored in the non-unique policy storage unit 225 is converted into a unique policy. If an attack name is added to a rule included in a non-unique policy, the attack name is left as it is at the time of conversion.
  • the communication unit 210 of the verification system 200 transmits the unique policy converted from the non-unique policy to the client system 100 as the verification result.
  • the attack name is also added to the unique policy transmitted as the inspection result.
  • the communication unit 140 of the client system 100 When the communication unit 140 of the client system 100 receives the inspection result from the inspection system 200, the communication unit 140 causes the result output unit 160 to output the inspection result.
  • the policy conversion rule storage unit 125, the unique policy storage unit 135, and the non-unique policy storage unit 125 are realized by a storage device (not shown) included in the inspection system 200, for example.
  • the policy conversion unit 155 is realized by a CPU that operates according to a program, for example.
  • the policy extraction unit corresponds to the policy extraction unit 110.
  • the conversion unit and the reverse conversion unit correspond to the policy conversion unit 155.
  • the inspection knowledge storage means corresponds to the inspection knowledge DB 260.
  • the determination processing execution means corresponds to the CPU (not shown) of the inspection system 200.
  • the virtual firewall generation means corresponds to the virtual FW generation means 230.
  • the inspection means and the inspection result generation means correspond to the FW inspection unit 250.
  • the result output means corresponds to the result output unit 160.
  • the policy receiving unit and the result transmitting unit correspond to the communication unit 210 of the verification system 200.
  • the inspection system 200 may be combined with the client system 100 and installed in the client company network 10.
  • the inspection system 200 in order to prevent the operation of the inspection system 200 from being known to the client company, when storing various data in the policy storage unit 220, the virtual FW storage unit 240, and the inspection knowledge DB 260, Then, encrypt and store the data. Then, when using data stored in the policy storage unit 220, the virtual FW storage unit 240, and the detection knowledge DB 260, the data can be decrypted and processed.
  • the verification knowledge DB 260 when adding verification knowledge to the verification knowledge DB 260, additional processing is performed so that the verification knowledge is not known to the client company.
  • the terminal device (not shown) power of the service providing company and the inspection knowledge obtained from the inspection system 200 are transmitted.
  • the communication unit 210 of the verification system 200 When receiving the verification knowledge, the communication unit 210 of the verification system 200 additionally stores the verification knowledge in the verification knowledge DB 260 in an encrypted state.
  • FIG. 6 is a block diagram showing a configuration example of the client system (firewall information extraction system) 100 and the inspection system 200 in the present embodiment. Components and apparatuses similar to those shown in FIG. 2 are denoted by the same reference numerals as those in FIG. 2 and description thereof is omitted.
  • the inspection system 200 includes an inspection correction knowledge DB 280 instead of the inspection knowledge DB 260 shown in FIG. 2, and includes an FW inspection correction unit 270 instead of the FW inspection unit 250 shown in FIG.
  • Inspection Correction Knowledge DB 280 stores inspection correction knowledge.
  • Inspection correction knowledge is data in which correction policy information for rules that pass inspection packets is added to the inspection knowledge.
  • the revision policy information is described in the same format as the rules of the non-unique policy, but some elements are not specifically specified.
  • the modification policy information is described so that the rule that does not pass the inspection packet is applied by applying the element of the rule that passes the inspection packet to the element that is not specifically specified.
  • the inspection / correction knowledge DB2 80 is realized by a storage device included in the inspection system 200, for example.
  • the FW inspection correction unit 270 performs the same processing as the FW inspection unit 250 shown in FIG.
  • the FW inspection / correction unit 270 further creates a rule that does not pass the verification packet, using the rule determined to pass the detection packet and the correction policy information. And that le Modify non-unique policies by adding rules.
  • the FW inspection correction unit 270 is realized by a CPU that operates according to a program, for example.
  • the client system 100 includes a policy application unit 170 instead of the policy reverse conversion unit 150 shown in FIG.
  • the policy application unit 170 converts the correction result (in this embodiment, a non-unique policy that has been verified and corrected by the FW detection / correction unit 270) into a specific policy, and outputs the specific policy to the result output unit 160. To do. This process is executed in the same manner as the process executed by the policy inverse converter 150 shown in FIG. Furthermore, the policy application unit 170 applies the unique policy converted from the correction result to the firewall 300.
  • the communication unit 140 causes the policy storage unit 130 to store the correction result received from the verification system 200.
  • the policy application unit 170 once applies the unique policy to the firewall 300, and when an instruction to reapply the firewall policy is input from the operator, reads the correction result from the policy storage unit 130 according to the instruction, The conversion process to the unique policy and the process to apply the unique policy to the firewall 300 are executed again.
  • the instruction to reapply the firewall policy is input via an input device (not shown) such as a keyboard or a mouse provided in the client system 100, for example.
  • the policy application unit 170 converts the non-unique policy (non-unique policy before being modified) converted from the unique policy in the setting information by the policy extraction unit 110. You can convert it to a unique policy and reapply it to Firewall 300.
  • the communication unit 140 may not store the correction result received from the inspection system 200 in the policy storage unit 130.
  • the policy application unit 170 is realized by a CPU that operates according to a program, for example.
  • FIG. 7 is a flowchart showing the operation of the firewall detection system in the present embodiment.
  • the same processes as those shown in FIG. 4 are denoted by the same reference numerals as those in FIG. [0103]
  • the non-unique policy stored in the policy storage unit 220 of the inspection system 200 is in a state where the attack name is added to the rule determined to pass the inspection packet.
  • the FW inspection correction unit 270 corrects the non-unique policy in which the attack name is added to the rule (step 1006a).
  • the FW detection / correction unit 270 extracts a rule to which an attack name is added from each rule included in the non-unique policy (that is, a rule determined to pass the detection packet). Then, the correction policy information associated with the attack name is read from the verification correction knowledge DB 280. The FW inspection / correction unit 270 uses the rule with the attack name added and the correction policy information to create a new rule that does not allow the inspection packet to pass. At this time, it is determined that the verification packet is passed through the correction policy information that is described in the same format as the rule of the non-unique policy, and is specified. Create new rules by applying rule elements. The FW inspection and correction unit 270 inserts the newly created rule before the rule with the attack name added. In addition, the attached attack name is deleted. As a result, the decision to block the inspection packet is made based on the newly created rule.
  • the inspection correction knowledge DB 280 may store inspection correction knowledge including information of “none” as the correction policy information.
  • the revision policy information associated with the attack name may be “None” information.
  • the rule power with the attack name added may not be able to create a new rule.
  • the FW inspection correction unit 270 sends the correction result (the non-unique policy that has been verified and corrected by the FW inspection correction unit 270) to the communication unit 210 of the inspection system 200.
  • the communication unit 210 transmits the correction result to the client system 100 via the Internet 400 (step 1007). This operation is the same as the operation of Step 1007 in the first embodiment.
  • the communication unit 140 of the client system 100 receives the correction result of the communication unit 210 of the detection system 200 and passes the correction result to the policy application unit 170. In addition, the communication unit 140 stores the received correction result in the policy storage unit 130.
  • the policy application unit 170 The correction result may be read from one storage unit 130.
  • the policy application unit 170 reads the policy conversion rule from the policy conversion rule storage unit 120 as in the policy reverse conversion unit 150 shown in FIG. Then, the policy applying unit 170 refers to the policy conversion rule, and converts the non-unique policy included in the modification result into a unique policy having a format depending on the firewall 300. Further, the policy applying unit 170 causes the result output unit 160 to output (for example, display output) the unique policy (step 1008a).
  • step 1006a If the information on the attack name added in step 1006 is included in the correction result, the information on the attack name is also output.
  • step 1008a the policy applying unit 170 applies the unique policy converted from the non-unique policy to the firewall 300. Since the non-unique policy was modified in step 1006a, the unique policy converted from that non-unique policy is different from the original unique policy. By applying this unique policy, the firewall policy of Firewall 300 will be changed. Specifically, it is changed so that the attack packet is not passed.
  • the policy storage unit 130 of the client system 100 stores the modified non-unique policy.
  • the client company can restore (re-apply) the firewall policy to the firewall 300 owned by the client company based on the non-unique policy stored in the policy storage unit 300 without receiving the inspection service by the inspection system 200 again. )It can be performed.
  • the firewall policy is restored, for example, when the firewall policy is broken for some reason or when the model of the firewall 300 is changed.
  • the policy applying unit 170 reads the policy conversion rule and sets the non-unique policy to the unique policy in the same manner as in Step 1008a. Convert and reapply its unique policy to Firewall 300.
  • the policy application section In 170 information on the type and version of the firewall 300 is input together with an instruction to reapply the firewall policy via an input device (not shown).
  • the policy applying unit 170 may read a policy conversion rule corresponding to the type and version information of the firewall 300 that has been input, and convert it to a specific policy using the policy conversion rule. If the model of the firewall 300 has not been changed, the type and version information of the firewall 300 need not be entered.
  • the policy application unit 170 may specify the policy conversion rule in the same manner as the policy reverse conversion unit 150 shown in FIG. That is, in step 1003, a number corresponding to the type and version of the firewall is added to the non-unique policy in advance, so the type and version of the firewall are identified from the number added to the non-unique policy that is the modification result, Furthermore, the policy conversion rule may be specified.
  • the policy application unit 170 converts the non-unique policy (non-unique policy before modification) stored in the policy storage unit 130 by the policy extraction unit 110 into the unique policy in step 1002, and converts the non-unique policy to the firewall 300. You can apply it to.
  • the policy application unit 170 responds to the type and purge information. Read policy transformation rules.
  • the policy application unit 170 converts the non-unique policy stored in the policy storage unit 130 in step 1002 into a unique policy using the policy conversion rule.
  • the policy application unit 170 applies the specific policy to the firewall 300. In this case, the communication unit 140 of the client system 100 does not have to store the correction result received from the inspection system 200 in the policy storage unit 130.
  • the policy extraction unit and the conversion unit correspond to the policy extraction unit 110.
  • the inspection correction knowledge storage means corresponds to the inspection correction knowledge DB 280.
  • the determination processing execution means corresponds to the CPU (not shown) of the inspection system 200.
  • the virtual firewall generation means corresponds to the virtual FW generation unit 230.
  • the inspection means, inspection result generation means, and correction means correspond to the FW inspection correction unit 270.
  • the reverse conversion means corresponds to the policy reverse conversion unit 150.
  • the result output means corresponds to the result output unit 160.
  • Policy application means is policy It corresponds to one application part 170.
  • the non-unique policy storage means corresponds to the policy storage unit 130 of the client system.
  • the instruction input means corresponds to an input device (not shown) included in the client system 100.
  • the non-unique policy transmitting unit and the modification result receiving unit correspond to the communication unit 140 of the client system 100.
  • the non-unique policy receiving unit and the correction result transmitting unit correspond to the communication unit 210 of the inspection system 200
  • the inspection system 200 receives the non-unique policy from the client system 100, and after the inspection by the virtual FW, the FW inspection correction unit 270 determines that the inspection packet is allowed to pass. A new rule that does not pass the verification packet is created using the rule and the revision policy information. Then, the non-unique policy to which the rule is added is transmitted to the client system 100.
  • the policy application unit 170 of the client system 100 converts the non-unique policy into a unique policy and applies it to the firewall 300. Therefore, even if the firewall allows more packets than necessary, it can provide client companies with specific measures to improve the condition.
  • the policy application unit 170 converts the non-unique policy stored in the policy storage unit 130 into a unique policy, and the unique policy is converted to the firewall 300. Applies to Therefore, the client company can easily restore the firewall policy when the firewall policy is broken for some reason or when the model of the firewall 300 is changed. Even if the model of the firewall 300 is changed, it is easy to restore the firewall policy, so that client companies can freely replace firewall software and firewall software.
  • the communication unit 210, the policy conversion rule storage unit 125, the unique policy storage unit 135, the policy conversion unit 155, and the non-unique policy storage unit 225 included in the inspection system 200 are respectively shown in FIG. 5 is the same as the communication unit 210, the policy conversion rule storage unit 125, the unique policy storage unit 135, the policy conversion unit 155, and the non-unique policy storage unit 225 shown in (Modification of the first embodiment).
  • the virtual FW creation unit 230, virtual FW storage unit 240, FW verification / correction unit 270, and verification / correction knowledge DB2 80 included in the verification system 200 are illustrated in FIG. 6 (second embodiment). This is the same as the creation unit 230, the virtual FW storage unit 240, the FW inspection / correction unit 270, and the inspection / correction knowledge DB 280.
  • the policy extraction unit 110, the communication unit 140, and the result output unit 160 included in the client system 100 are the policy extraction unit 110, the communication unit illustrated in FIG. 140 and the result output unit 160 are the same.
  • the policy application unit 175 included in the client system 100 does not perform the conversion from the force non-specific policy to the unique policy, which is the same as the policy application unit 170 shown in FIG.
  • the policy application unit 175 transfers the unique policy to the firewall 300. Set to.
  • the firewall inspection system shown in FIG. 8 operates as follows.
  • the policy extraction unit 110 extracts setting information from the firewall 300, and sends the firewall policy (unique policy) included in the setting information, and the type and version information of the firewall 300 to the communication unit 140.
  • the communication unit 140 transmits information about the unique policy and the type and version of the firewall 300 to the detection system 200.
  • the communication unit 210 of the detection system 200 causes the unique policy storage unit 135 to store information about the unique policy and the type and version of the firewall 300 received from the client system 100.
  • the reception time of the unique policy may be stored in the unique policy storage unit 135.
  • the communication unit 210 may add a number or the like for identifying each unique policy to the unique policy and store it in the unique policy storage unit 135.
  • the sea conversion unit 155 reads the policy conversion rule corresponding to the type and version of the firewall stored together with the specific policy from the policy conversion rule storage unit 125. Based on the policy conversion rule, the unique policy stored in the unique policy storage unit 135 is converted into a non-unique policy and stored in the non-unique policy storage unit 225. Information added to identify each unique policy (number, etc.) is also added to the non-unique policy after conversion.
  • the virtual FW creation unit 230 creates the virtual FW 500, and the FW validation / correction unit 270 performs the validation in the same manner as in step 1006. . Further, the FW inspection / correction unit 270 corrects the non-unique policy in the same manner as in Step 1006a. The FW inspection / correction unit 270 stores the correction result in the non-unique policy storage unit 225.
  • the policy conversion unit 155 identifies the type and version of the firewall from the information for identifying each unique policy that is added to the non-unique policy after the non-unique policy is modified. Read policy conversion rules according to Then, the non-unique policy stored in the non-unique policy storage unit 225 is converted into a unique policy. If an attack name is added to a rule included in a non-unique policy, the attack name is left as it is at the time of conversion.
  • the communication unit 210 of the inspection system 200 transmits the unique policy converted from the non-unique policy to the client system 100 as a correction result. If an attack name is added to the rule included in the unique policy, the attack name is also sent with the unique policy.
  • the communication unit 140 of the client system 100 receives the correction result from the inspection system 200, the communication unit 140 causes the result output unit 160 to output the correction result. In addition, the communication unit 140 passes the correction result to the policy application unit 175, and the policy application unit 175 applies the specific policy included in the correction result to the firewall 300.
  • the communication unit 140 of the client system 100 transmits the instruction to the detection system 200. .
  • the type and version information of the firewall 300 is also input, and the type and version information may also be sent.
  • the communication unit 210 of the inspection system 200 When receiving an instruction from the client system 100, the policy conversion unit 155 converts the modified non-unique policy into a unique policy. Then, the communication unit 210 transmits the unique policy to the client device 100.
  • the communication unit 140 of the client system 100 receives the unique policy, it passes it to the policy application unit 175, and the policy application unit 175 reapplies the unique policy to the firewall 300.
  • the communication unit 210 of the detection system 200 receives from the client system 100 an instruction to reapply the firewall policy and information on the type and version of the firewall 300
  • the policy conversion unit 155 receives the type and version information.
  • the policy conversion rule corresponding to the is read.
  • the policy conversion unit 155 converts the non-unique policy before modification stored in the non-unique policy storage unit 225 into a unique policy using the policy conversion rule.
  • the communication unit 210 transmits the unique policy to the client device 100.
  • the client system 100 that has received the unique policy resets the unique policy in the firewall 300 as described above.
  • the FW detection / modification unit 270 does not need to store the modification result in the non-unique policy storage unit 225.
  • the policy extraction means corresponds to the policy extraction unit 110.
  • the conversion unit and the reverse conversion unit correspond to the policy conversion unit 155.
  • the inspection correction knowledge storage means corresponds to the inspection correction knowledge DB280.
  • the judgment processing execution means corresponds to the CPU (not shown) of the inspection system 200.
  • the virtual firewall generation means corresponds to the virtual FW generation unit 230.
  • the inspection means, inspection result generation means, and correction means correspond to the FW inspection correction unit 270.
  • the result output means corresponds to the result output unit 160.
  • the policy application means corresponds to the policy application unit 175.
  • the non-unique policy storage means corresponds to the non-unique policy storage unit 225.
  • the instruction input means corresponds to an input device (not shown) provided in the client system 100.
  • the policy receiving unit and the corrected policy transmitting unit correspond to the communication unit 210 of the inspection system 200.
  • the inspection system 200 may be combined with the client system 100 and installed in the client company network 10.
  • various data are stored in the policy storage unit 220, the virtual FW storage unit 240, and the inspection correction knowledge DB 280.
  • data is encrypted and stored.
  • the data may be decrypted and processed. Further, when adding the correction knowledge to the inspection / correction knowledge DB 280, additional processing is performed so that the inspection / correction knowledge is not known to the client company.
  • the inspection correction knowledge obtained from the terminal device (not shown) of the service providing company is transmitted to the inspection system 200.
  • the communication unit 210 of the verification system 200 receives the verification correction knowledge, it stores the verification correction knowledge in the verification correction knowledge DB 280 in an encrypted state.
  • a specific example of the first embodiment is shown.
  • a firewall inspection system including the client system 100 and the inspection system 200 shown in FIG. 2 will be described as an example.
  • a service provider providing a firewall inspection service sells the client system 100 to a client company receiving the inspection service.
  • the client company pays the service consideration to the service provider.
  • the client company is in a network segment accessible to the firewall 300 in the client company network 10 (see Figure 1).
  • the policy extraction unit 110 of the client system 100 extracts setting information from the firewall 300 of the client company network 10 (step 1001 shown in FIG. 4).
  • the policy extraction unit 110 periodically extracts setting information, for example.
  • the setting information may be extracted when a setting information extraction instruction is input from an operator of the client company.
  • the policy extraction unit 110 is preset to start the setting information extraction process at the timing determined in the contract between the client company and the service provider company, and starts the setting information extraction process at that timing. May be.
  • the policy extraction unit 110 converts the unique policy included in the setting information into a non-unique policy (step 1002 shown in FIG. 4).
  • An example of a unique policy is shown in Fig. 9 (a), and an example of a non-unique policy converted from the unique policy shown in Fig. 9 (a) is shown in Fig. 9 (b).
  • the iptables firewall policy (unique policy) illustrated in Fig. 9 (a) includes five rules.
  • the rule on the top line (line 01) in Fig. 9 (a) is a rule called the default rule.
  • a default rule is a rule that regulates the behavior of a firewall when a packet that is subject to judgment on whether or not to pass does not match a rule other than the default rule.
  • the default rule shown in Fig. 9 (a) stipulates that all buckets should be dropped.
  • “-p” is a symbol specified by a protocol such as tcp or udp, and is described next to the specified protocol strength S “-p”. If there is no description of the protocol following "-p” and “-p”, it means that there is no particular limitation on the packet protocol.
  • “-S” is a symbol for designating the source address, and the designated source address is described after “-s”.
  • “-D” is a symbol for designating the destination address, and the designated destination address is described after “-d”.
  • “-Dport” is a symbol that specifies the destination port number, and the destination port number is described after "-dportj. There is no description of the destination port number following" -dport "and” -dport ".
  • the destination port number is not particularly limited. “” Is a symbol that specifies the action (whether to pass or block) for a packet that matches the protocol, source address, destination address, destination port number, etc. In case of passing, “acc mark t” is described after “-”. In the case of blocking, “drop” is described after “tsu”.
  • the rule on line 02 shown in Fig. 9 (a) does not limit the protocol, the source address is 0/0, that is, an arbitrary IP address space, and the destination address is 192.168.1.1. A packet whose destination port number is “53 (the port number to which the name resolution service is assigned)” is accepted.
  • the rules on and after line 03 define conditions for allowing packets to pass.
  • Policy extraction unit 110 reads from policy conversion rule storage unit 120 a policy conversion rule corresponding to the type and version information of firewall 300. And that poly With reference to the sea conversion rule, the unique policy illustrated in Fig. 9 (a) is converted to the non-unique policy illustrated in Fig. 9 (b). Note that the type and version information of the firewall 300 is included in the setting information, for example.
  • D2 indicates the end address of the destination address.
  • DP1 indicates the start port number of the destination port number.
  • DP2 indicates the end port number of the destination port number.
  • P1 indicates the start number of the protocol, and “P2” indicates the end number of the protocol.
  • the protocol number “1” represents TCP, and “2” represents UDP. Therefore, when P1 is “1” and P2 is “2”, TCP and UDP are indicated as protocols.
  • A indicates the action for the packet, and either “allow” (pass) or “deny” (block) is described as “A”. In each rule shown in Fig. 9 (a), the source port number is not specified, so in the non-unique policy, SP1 is set to “1” and SP2 is set to "65535". All values are specified.
  • the policy extraction unit 110 stores the non-unique policy converted from the unique policy in the policy storage unit 130.
  • FIG. 10 is an explanatory diagram showing an example of information stored in the policy storage unit 130 of the client system 100.
  • the policy extraction unit 110 stores the non-unique policy together with the non-unique policy in the policy storage unit 130 as the supplementary information 131, the date and time when the non-unique policy is stored, and the type and version of the firewall.
  • the type of software is stored as the type of firewall, and specifically, the product name “iptables” is stored. Also, the version information “1.13.9” is stored.
  • the communication unit 140 of the client system 100 reads the non-unique policy from the policy storage unit 130 and transmits it to the inspection system 200 (step 1003 shown in FIG. 4).
  • the communication unit 140 transmits the non-unique policy out of the non-unique policy and the incidental information 131 stored in the policy storage unit 130.
  • the communication unit 140 does not transmit the incidental information 131 itself, but transmits a non-unique policy with a sequential number added each time a non-unique policy is transmitted. Then, the number is associated with the type and version information of the firewall 300 and stored in the policy storage unit 130, for example.
  • the communication unit 140 also transmits an ID for identifying the client company (hereinafter referred to as a user ID) together with a non-unique policy.
  • the user ID may be input in advance from an operator via an input device (not shown) such as a keyboard and stored in a storage device (not shown) included in the client system 100, for example.
  • the communication unit 210 of the detection system 200 receives the non-unique policy and the user ID from the client system 100, and stores the received non-unique policy and the user ID in the policy storage unit 220 (step shown in FIG. 4). 1004).
  • FIG. 11 is an explanatory diagram illustrating an example of information stored in the policy storage unit 220 of the inspection system 200.
  • the policy storage unit 220 stores, as data 221, the user ID “NEC KL”, the non-unique policy, and the date and time information when the non-unique policy is stored.
  • information received from a client company whose user ID is “AAA” is also stored as data 222.
  • the virtual FW creation unit 230 of the inspection system 200 creates a virtual FW using the non-unique policy recorded in the policy storage unit 220 and stores it in the virtual FW storage unit 240 (Fig. Step 1005) shown in 4).
  • the virtual FW creation unit 230 creates one virtual FW for each non-unique policy.
  • the virtual FW creation unit 230 is provided for each non-unique policy. Create a virtual FW separately.
  • the virtual FW is created by attaching a non-unique policy 510 (see Fig. 3) to the FW execution command 520 (see Fig. 3).
  • the part of the FW execution instruction 520 is common to each virtual FW. Since there are multiple client companies that provide the inspection service, the non-unique policy of one client company is different from the other client company. Manage using user IDs, etc. so that they do not leak to ant companies. The details of the operation for each client company will be described later.
  • the FW inspection unit 250 activates the virtual FW 500 (see Fig. 3) and inspects the firewall 300 of the client company (step 1006 shown in Fig. 4).
  • FIG. 12 is an explanatory diagram showing an example of verification knowledge stored in the verification knowledge DB 260.
  • Each inspection knowledge 261 and 262 illustrated in FIG. 12 includes information of “attack ID”, “description”, “bucket”, and “supplement”, respectively.
  • “Attack ID” is an ID for uniquely identifying inspection knowledge.
  • “Description” indicates the name of the attack.
  • “Packet” is a verification packet.
  • “Supplement” is a supplementary matter indicating a device or the like infected by an attack.
  • the essence of inspection knowledge that does not include “attack ID” or “supplement” in inspection knowledge is data that represents the attack itself or data that represents the attributes of the attack (ie, inspection packet). .
  • Packets included in the inspection knowledge are described in the same format as the rules included in the non-unique policies (SA1, SA2, SP1, SP2, DAI, DA2, DPI, DP2, Pl, It is described in the format P2, C).
  • the meaning of the elements other than the last “C” is the same as the elements of the rules included in the non-unique policy.
  • “C” corresponds to the payload of the inspection packet (specifically, the attack code).
  • “*” representing an arbitrary may be described.
  • an attack code may be described.
  • “*” is written instead of the attack code itself, and the attack code is not limited.
  • SA1 (start address of source address) "SA2 (end address of source address)"
  • DA1 start address of destination address
  • DA2 (destination address) As the end address of the address), “*” representing an arbitrary is described.
  • the part other than "C" in the inspection packet is a part representing the attribute (attack attribute) of the inspection packet.
  • FIG. 13 is a flowchart showing a process for determining whether or not to allow a packet (not shown) of the detection system 200 operating according to the virtual FW 500 to pass.
  • the FW inspection unit 250 reads the inspection packet from the inspection knowledge DB 260.
  • the FW inspection unit 250 passes the inspection packet to a CPU (not shown) according to the virtual FW500.
  • CPU receives the verification packet Take (step 1051).
  • the FW inspection unit 250 writes an inspection packet in a RAM (not shown), and the CPU reads the inspection packet.
  • the CPU extracts the attribute of the inspection packet (the part other than “C” corresponding to the payload) (step 1052). That is, a part indicating the range of the source address, the range of the source port number, the range of the destination address, the range of the destination port number, and the protocol range in the verification packet is extracted. Then, the CPU extracts one non-unique policy 510 (see FIG. 3) force rule included in the virtual FW 500 (step 1053). The CPU retrieves one rule each time it moves to step 1053. At this time, the CPU also sequentially extracts the first rule force of the non-unique policy 510. Therefore, the first rule is taken when moving to step 1053 for the first time. After step 1053, the CPU determines whether the rule has been successfully extracted (step 1054). If it has failed (if no rail has been extracted), it determines whether to allow the packet to pass. The process ends.
  • the attribute of the inspection packet the part other than “C” corresponding to the payload
  • the CPU determines whether or not the attribute power of the inspection bucket retrieved in step 1052 matches the rule retrieved in step 1053 (step 1055). If they do not match, go to step 1053 and repeat the operation after step 1053. If the attribute of the inspection packet matches the extracted rule, the CPU extracts the action (the last element “A” in the rule of the non-unique policy) from the rule (step 1056). Then, the CPU determines whether or not the action is “allow” (step 1057). When the action is “allow”, the CPU determines that the inspection packet is passed by the extracted rule, and the rule that derived the result (that is, the rule that matches the attribute of the inspection packet). Is passed to the FW inspection section 250 (step 1058).
  • Step 1058 the determination process for one detection packet is completed.
  • the FW inspection unit 250 sequentially extracts the inspection knowledge from the inspection knowledge DB 260, and passes the inspection packet included in the inspection knowledge to the CPU operating according to the virtual FW 500. Then, a result indicating that the inspection packet is passed from the CPU operating in accordance with the virtual FW500 or the detection is performed. ⁇ Receives the result of blocking the packet and the rule that led to the result.
  • the FW detection unit 250 receives the result of passing the inspection packet and the rule that led to the result, the name of the attack corresponding to the inspection packet (for example, “Code Red” shown in FIG. ) Is added to the rule in the non-unique policy stored in the rule policy storage unit 220.
  • FIG. 14 A specific example of creating a verification result by adding an attack name to a non-unique policy is shown below.
  • the non-unique policy 510 illustrated in FIG. 14 is included in the virtual FW 500 created in Step 1005.
  • the non-unique policy 510 shown in FIG. 14 includes five nodes 510a to 510e.
  • the FW inspection unit 250 sequentially extracts inspection knowledge from the inspection knowledge DB 260.
  • the FW inspection unit 250 passes the inspection packet included in the inspection knowledge 261 to the CPU operating according to the virtual FW500.
  • the CPU reads the inspection packet (step 1051) and extracts the attribute of the inspection packet (step 1052).
  • the CPU attributes the inspection packet as a source address range (SA1 and SA2), a source port number range (SP1 and SP2), a destination address range (DA1 and DA2), and a destination port number range. (DPI and DP2) and protocol range (P1 and P2) are retrieved.
  • the CPU extracts one rule from the non-unique policy 510 included in the virtual FW (step 1053).
  • the first rule 510 a (see FIG. 14) is taken out.
  • the next step 1054 it is determined that the rule has been successfully extracted, and it is determined whether or not it matches the rule 510a extracted from the attribute power of the inspection packet (step 1055).
  • the source attribute range (S A1 and SA2), source port number range (SP1 and SP2), destination address range (DA1 and DA2), and destination port number range are the attributes of the rule.
  • Judgment is made based on whether or not the attributes of the detection packet are within the respective ranges (DPI and DP2) and protocol (P1 and P2). If the inspection packet attributes fall within each range of rule attributes, it is determined that they match, and if they do not, they are determined not to match. In addition, the CPU determines that the attribute described as “*” falls within an arbitrary range. 261 Inspection packet attributes ( Figure 1) 2) and the attributes of rule 510a (see Fig. 14), the source address range, source port number range, and destination address range in the inspection packet are described in rule 510a. It is in range.
  • the protocol specified in the inspection packet is “1 (represents TCP)”, and the protocol specified in the rule 510a is “1” and “2 (represents UDP)”. Therefore, the protocol is also within the range described in Rule 510a.
  • the range of the transmission destination port number designated by the verification packet is “80 to 80”, whereas the range of the transmission destination port number designated by the rule 510a is “53 to 53”. Therefore, the range of the destination port number specified in the verification packet is not within the range specified by No. 5 10a. Therefore, it is determined that the verification packet of the verification knowledge 261 and the rule 510a do not match, and the process proceeds to step 1053.
  • the rules are taken out one by one in order, and the processing after step 1053 is repeated.
  • step 1053 when the third rule 510c shown in FIG. 14 is extracted in step 1053, it is determined that the attribute of the inspection packet matches the rule 510c. Then, the process shifts to step 1056, and the action of CPUi NOR NONORE 510c is taken out (step 1056). Since the action of the normal 510c is “allow” (see FIG. 14), it is determined as “Yes” in the determination process in Step 1057, and the process proceeds to Step 1058. That is, the CPU passes the information indicating that the inspection packet passed from the FW inspection unit 250 is passed by the rule 510c to the FW inspection unit 250.
  • the attribute of the validation packet of validation knowledge in DB 260 always matches the default rule (the last rule in the non-unique policy, rule 510e in the example shown in FIG. 14). Therefore, the result of passing or blocking is obtained for all the detection packets passed from the FW inspection unit 250. In the flowchart shown in FIG. 13, if “No” is determined in step 104, the process is terminated without outputting the result of passing or blocking. It is impossible to detect that there is no Occurs when (abnormal).
  • the FW inspection unit 250 When the FW inspection unit 250 obtains the determination result of passing or blocking and the information of the rule that led to the determination result, it reads the non-unique policy from the policy storage unit 220. Then, the FW inspection unit 250 adds the name of the attack corresponding to the inspection packet to the rule derived from the determination result that the inspection packet is allowed to pass among the rules included in the non-unique policy. In this example, the inspection result is obtained by adding the name of the attack to the non-unique policy.
  • Figure 15 shows an example of the inspection results. As already indicated, the third rule will pass the inspection packet with the detection knowledge 2 61 (see Fig. 12), and the fourth rule will pass the inspection packet with the detection knowledge 262. It will be. Therefore, as shown in FIG.
  • the FW detection unit 250 adds the name “Code Red” of the attack included in the verification knowledge 261 to the third rule.
  • the attack name “SQL Slammer” included in the knowledge 262 is added to the fourth rule.
  • the name of the attack is added together with the character string “Alert”.
  • the test result shown in Fig. 15 may cause the third rule to pass the attack (Code Red) of the test knowledge 261, and the fourth rule will attack the test knowledge 262 (SQL
  • the FW inspection unit 250 sends the inspection result to the communication unit 210.
  • Communication part of inspection system 200
  • the communication unit 140 of the client system 100 receives the inspection result sent from the inspection system 200 and sends the inspection result to the policy reverse conversion unit 150.
  • the communication unit 140 is supposed to send the inspection result directly to the policy reverse conversion unit 150.
  • the communication unit 140 stores the inspection result in the policy storage unit 130, and the policy reverse conversion unit 150 detects from the policy storage unit 130. ⁇ Results may be read.
  • the number added by the communication unit 140 of the client system 100 at the time of non-unique policy transmission is added to the force check result not shown in FIG. 15 as it is.
  • the policy reverse conversion unit 150 identifies the type and version information of the firewall 300 based on the number, and the policy conversion rule corresponding to the type and version. Is read from the policy conversion rule storage unit 120.
  • the policy reverse conversion unit 150 converts a non-unique policy included in the inspection result received from the inspection system 200 into a unique policy based on the conversion rule.
  • the name of the attack included in the inspection result remains unchanged.
  • a unique policy with the name of the attack added to the rule is obtained, as shown in Figure 16.
  • the policy reverse conversion unit 150 causes the result output unit 160 to output (for example, display output) the unique policy in which the name of the attack is added to the rule (step 1008 shown in FIG. 4). As a result, it is possible to provide the client company with which rules pass which attacks.
  • the user of the client system 100 of the client company modifies the firewall policy of the firewall 300 with reference to the output result.
  • the non-unique policy in which the communication unit 140 of the client system 100 and the communication unit 210 of the detection system 200 communicate with each other is assumed to be transmitted and received in plain text on the Internet 400. It was.
  • the communication unit 140 of the client system 100 may encrypt and transmit the non-unique policy, and the non-unique policy received by the communication unit 210 of the inspection system 200 may be decrypted.
  • the communication unit 210 of the inspection system 200 may encrypt and transmit the inspection result, and the inspection result received by the communication unit 140 of the client system 100 may be decrypted.
  • FIG. 17 is an explanatory diagram showing a situation where a virtual FW is created for each client company and inspection is performed.
  • the communication unit 210 of the inspection system 200 receives a verification request from the client system 100 and sends a response indicating that the verification request is received to the client system 100.
  • the non-unique policy and user ID are received from the client system 100.
  • the user ID does not have to be received at the same time as the non-unique policy.
  • the client system 100 may be authenticated, a user ID may be received at the time of authentication, and then a non-unique policy may be received.
  • the communication unit 210 associates the received non-unique policy with the user ID, and stores the policy storage unit. Store in 220. For example, it is stored as data 221 illustrated in FIG.
  • the virtual FW creation unit 230 reads the non-unique policy and the user ID from the policy storage unit 220, and creates the virtual FW 500 using the non-unique policy. At this time, the user ID is used as the file name of the virtual FW500. For example, a virtual FW 500 with a file name “NEC Kushi vf” is created and stored in the virtual FW storage unit 240.
  • the FW inspection unit 250 activates the virtual FW500 with the file name “NEC Ksh vf” and performs the inspection.
  • the firewall of the client company having the user ID “NEC KL” is inspected.
  • the user ID is used for the file name of the virtual FW 500.
  • the user ID may not be used for the file name.
  • FIG. 6 A specific example of the second embodiment is shown.
  • a firewall inspection system including the client system 100 and the inspection system 200 shown in FIG. 6 will be described as an example. Since the operation until the FW inspection correction unit 270 executes the inspection (the operation from Step 1001 to Step 1006 shown in FIG. 7) is the same as that in the first specific example, the description is omitted.
  • FIG. 18 is an explanatory diagram showing an example of the inspection correction knowledge stored in the inspection correction knowledge DB 280.
  • Each of the verification correction knowledge 281 and 282 illustrated in FIG. 18 includes information of “attack ID”, “description”, “packet”, “correction policy”, and “supplement”, respectively.
  • “Attack ID”, “Description”, “Packet”, and “Supplement” are the same information as the information included in the inspection knowledge (see FIG. 12) shown in the first specific example.
  • “Correction policy” is correction policy information for a rule that allows a verification packet to pass.
  • the inspection and correction knowledge may include “None” as the correction policy (see Inspection and correction 281 shown in FIG. 18).
  • Revision policy information other than "None” is included in the non-unique policy shown in the first specific example It is described in the same format as the rule. That is, the correction policy is described in the format (SA1, SA2, SP1, SP2, DAI, DA2, DPI, DP2, Pl, P2, A). The meaning of each element from SA1 force to A is as explained in the first example. “Deny” is described as “A (action)” in the correction policy for creating a new rule that blocks the inspection packet from the rule that allows the inspection packet to pass. Also, some elements included in the revision policy information are described as “*”, for example, and are not specifically identified.
  • FIG. 19 is a flowchart showing the non-unique policy correction processing (step 1006a).
  • the correction process for the non-unique policy included in the verification result will be described, taking as an example the case where the verification result shown in FIG. 15 is obtained by the verification in step 1006.
  • the FW detection / correction unit 270 first extracts one rule determined to pass the attack (detection packet) of the detection result in step 1006 (step 1071).
  • the FW inspection correction unit 270 may extract the rule to which the attack name is added.
  • the rule on line 03 shown in FIG. 15 is taken out.
  • the FW inspection correction unit 270 determines whether or not the rule has been successfully extracted (step 1072). If all the rules determined to pass the attack have been extracted and there are no rules to be extracted, it is determined that the rule extraction has failed, and the process is terminated.
  • step 1073 the FW inspection / correction unit 270 reads the correction policy information corresponding to the attack name added to the rule determined to pass the attack from the inspection / correction knowledge DB 280 (step 1073). Since the attack name “rcode Red” is added to the root line on line 03 shown in FIG. 15, the correction policy information corresponding to this attack name (the correction policy included in the inspection correction knowledge 281 shown in FIG. 18). Information).
  • the FW inspection / correction unit 270 determines whether or not the read correction policy information is “none” (step 1074). If the revision policy information is not “None”, Move to step 1075. If the revision policy information is not “None”, the process proceeds to Step 1071, and the operations after Step 1071 are repeated. In this example, since the correction policy information power S contained in the inspection correction knowledge 281 is “None”, the process proceeds to Step 1071. The processing after step 1075 will be described later.
  • the FW inspection / correction unit 270 takes out the rule in the fourth line shown in FIG. Since the rule has been successfully extracted (Yes in Step 1072), the FW inspection correction unit 270 reads the correction policy information corresponding to “SQL Slammer” added to the rule on the 04th line (Step 1073). Here, the correction policy information included in the inspection correction knowledge 281 shown in FIG. 18 is read. Since this revision policy information is not “none”, the process proceeds to step 1075.
  • the FW inspection / correction unit 270 describes elements that are not specifically specified in the correction policy (elements described as "*") in the rule extracted in step 1071. Replace with the element you are using.
  • the correction policy information included in the inspection correction knowledge 281 is (*, *, 10 25, 65535, *, *, 1434, 1434, 2, 2, deny), and “SA1 (start address of source address)” , “SA2 (end address of source address)”, “DA1 (start address of destination address)”, and “DA2 (end address of destination address)” are not specified.
  • the FW inspection amendment unit 270 uses the rule (0.0.0.0, 255.255.255.255,1, 65535, 192.168.) Of the 04th line shown in FIG. 15 as SA1, SA2, DAI, DA2 1.4,192.168.1.4, l, 65535, l, 2, allow) are replaced with SA1 (0.0.0.0), SA2 (255.255.255.255), DA1 (192.16 8.1.4), DA2 (192.168.1.4).
  • the revision policy information is (0.0.0.0,25 5.255.255.255, 1025, 65535,192.168.1.4, 192.168.1.4,1434, 1434,2,2, deny).
  • the FW inspection / correction unit 270 adds, as a new rule, correction policy information obtained by replacing an unspecified element with a rule element immediately before the rule extracted in Step 1071 (Step 1076). At this time, the FW inspection / correction unit 270 deletes the attack name information added to the rule extracted in Step 1071.
  • FIG. 20 is an explanatory diagram showing an example of the modification result of the non-unique policy.
  • the 05th line in the non-unique policy correction result shown in FIG. 20 is the same rule as the 04th line in the inspection result shown in FIG.
  • the fourth line in the modification result of the non-unique policy shown in FIG. 20 is a new rule generated based on the rule determined to pass the attack and the modification policy information.
  • the new rule on line 04 shown in Fig. 20 is referenced before the rule determined to pass the attack on line 05, so that the attack packet is blocked by the rule on line 04. It becomes.
  • the FW inspection / correction unit 270 sends the modified non-unique policy (correction result) to the communication unit 210. .
  • the communication unit 210 of the inspection system 200 transmits the correction result sent from the FW inspection / correction unit 270 to the client system 100 (step 1007 shown in FIG. 7).
  • the communication unit 140 of the client system 100 receives the correction result sent from the inspection system 200, and sends the correction result to the policy application unit 170. In addition, the communication unit 140 stores the received correction result in the policy storage unit 130. The policy application unit 170 may read the correction result from the policy storage unit 130.
  • the number added by the communication unit 140 of the client system 100 when the non-unique policy is transmitted (step 1003) is directly appended.
  • the policy application unit 170 identifies the type and version information of the firewall 300 based on the number, and reads the policy conversion rule corresponding to the type and version from the policy conversion rule storage unit 120. Based on the conversion rule, the policy applying unit 170 converts the non-unique policy included in the correction result received from the verification system 200 into a unique policy. At this time, if the attack name is added to the correction result, the attack name is left as it is. As a result, the unique policy converted from the modified result of the non-unique policy is obtained. An example of this unique policy is shown in FIG.
  • the policy application unit 170 causes the result output unit 160 to output (for example, display output) the unique policy converted from the modification result of the non-unique policy.
  • the policy application unit 170 applies the unique policy to the firewall 300 (step 1008 shown in FIG. 7). a).
  • the firewall policy of the firewall 300 is changed so as not to allow the attacking bucket to pass.
  • the correction policy information stored in the inspection correction knowledge DB 280 is “None”
  • the attack name is displayed along with the rule as shown in line 04 of FIG. 21, so which rule passes which attack. It is possible to present to the client company whether or not
  • the policy application unit 170 first outputs the specific policy, prompts the operator of the client company to determine whether or not to apply the specific policy to the firewall, and instructs the input device (Fig. Specific policy may be applied to Firewall 300 when entered through (not shown)
  • the non-unique policy and the modification result in which the communication unit 140 of the client system 100 and the communication unit 210 of the detection system 200 communicate with each other are assumed to be transmitted and received over the Internet 400 in plain text.
  • the communication unit 140 of the client system 100 may encrypt and transmit the non-unique policy, and the non-unique policy received by the communication unit 210 of the inspection system 200 may be decrypted.
  • the configuration may be such that the communication unit 210 of the inspection system 200 encrypts and transmits the correction result, and the communication unit 140 of the client system 100 decrypts the correction result. With such a configuration, it is possible to improve the confidentiality of non-unique policies and correction results to be transmitted and received.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

　検査サービスを提供する際に、サービスを受ける組織のネットワークシステムに障害や負荷が発生しないようにしたファイアウォール検査システムを開示する。ポリシー抽出部は、検査対象のファイアウォールからファイアウォールポリシーを抽出し、ファイアウォールの種類に依存しない非固有ポリシーに変換する。検査システムの通信部は、非固有ポリシーをクライアントシステムから受信する。仮想ＦＷ作成部は、ファイアウォールの動作をエミュレートするための仮想ＦＷを非固有ポリシーを用いて作成する。仮想ＦＷに従って動作するＣＰＵは、予め作成された検査パケットの属性を参照して検査を行い、検査結果をクライアントシステムに送信する。

Description

明 細 書
ファイアウォール検査システムおよびファイアウォール情報抽出システム 技術分野
[0001] 本発明は、ファイアウォールを検查するファイアウォール検查システムおよびフアイ ァウォール情報抽出システムに関する。
[0002] 本発明は、ファイアウォールに適用されているファイアウォールポリシーの検查ゃ修 正を行うサービスに利用可能である。
背景技術
[0003] 企業等の組織のネットワークセキュリティに対する関心が益々高まっている。組織（ ここでは企業とする。）のネットワークを不正アクセス等から防御する方法の一つにフ アイァウォールを設置する方法がある。ファイアウォールは、インターネットと自社ネッ トワークとを接続するゲートウェイまたはルーターに設置されるネットワーク機器または ソフトウェアである。ファイアウォールは、ネットワークを流れるパケットを検査し、その パケットを通過させたり、遮断したりすることで不正アクセス等から自社ネットワークを 防御する。パケットの検查は、ファイアウォールポリシーに基づいて行われる。ファイア ウォールポリシーとは、パケットを通過させる条件や遮断する条件をパケットの属性（ 送信元アドレスやポート、送信先アドレスやポート、プロトコルの種類等）で定めたル ールの集合である。ルールの例として、例えば、「自社ネットワークの公開サーバのァ ドレスの特定のポートに向力 特定のプロトコルを持つパケットの通過は許可する。」 等が挙げられる。
[0004] ネットワークセキュリティに関する専門家がいない企業や、そのような専門家がいた としても日々発生するインシデントに対応できる状況になっていない企業にとっては、 ファイアウォールポリシーを作成、維持、管理するのは非常に困難である。そのため、 クライアント企業のファイアウォールや公開サーバに仮想攻撃を行レ、、クライアント企 業のファイアウォールや公開サーバの検査を行う検査サービスが盛んに行われてい る。また、このような検査は、特許文献 1や特許文献 2に記載されている。
特許文献 1 :特開 2001— 337919号公報 特許文献 2：特開 2001— 32338号公報
発明の開示
発明が解決しょうとする課題
[0005] 仮想攻撃を行う検査サービスには、以下のような問題がある。
[0006] 第 1に、検査対象となるファイアウォールや公開サーバに仮想攻撃を行って検査す るため、検査対象が深刻なダメージを受ける可能性がある。従って、一時的にネットヮ ークが不通になったり、公開サーバが停止するといつた状況となり、検査サービスを 受けるクライアント企業が業務停止や業務機会損失等の損害を被る可能性がある。 第 2に、仮想攻撃に起因してネットワークや公開サーバの負荷が高くなり、その結果、 クライアント企業が業務停滞や業務機会損失等の損害を被る可能性がある。第 3に、 検査サービスを提供するサービス提供企業は、仮想攻撃を無害化する必要があり、 その工数は膨大であるため、新しい攻撃が発見されてからその攻撃に対する検査が 可能となるまでのタイムラグが生じたり、また、検查サービスコストが高くなつてしまう。 すなわち、サービス提供企業は、迅速なインシデント対応や低価格での検査サービ スの提供を行いにくかった。第 4に、サービス提供企業は、クライアント企業の検査対 象に直接仮想攻撃を行うため、無害化した攻撃手法ゃ検查方法そのものがクライア ント企業に公開されてしまい、クライアント企業を通じて競合他社にそれら手法が漏 洩してしまうおそれがある。第 5に、サービス提供企業にとってクライアント企業のファ ィァウォールポリシー等の情報は不明であり、ファイアウォールが必要以上にパケット を通過させるような状態であったとしても、その状態を改善するための具体的な対応 策をクライアント企業に提示できなレ、。
[0007] そこで、本発明の目的は、検査サービスを提供する際に、検査サービスを受ける組 織のネットワークシステムに障害や負荷が発生しないようにすることにある。本発明の 他の目的は、迅速なインシデント対応や検査サービスコストの低減を実現することに ある。本発明の他の目的は、検査サービスの提供者の検査手法の秘匿性を高めるこ とにある。また、本発明の他の目的は、検査対象となるファイアウォールが必要以上 にパケットを通過させるような状態であった場合に、その状態を改善するための具体 的な対応策を提示できるようにすることにある。 課題を解決するための手段
[0008] 本発明の一態様によれば、ファイアウォール検查システムは、
パケットを通過させる条件またはパケットを遮断する条件を定めたルールの集合で あるファイアウォールポリシーをファイアウォールから抽出するポリシー抽出手段と、 ポリシー抽出手段で抽出されたファイアウォールポリシーを、ファイアウォールの種 類に依存しない書式のファイアウォールポリシーである非固有ポリシーに変換する変 換手段と、
攻撃に用いられるパケットまたは攻撃に用いられるパケットから攻撃コードを除いた パケットである検査パケットを記憶する検査知識記憶手段と、
与えられたパケットを通過させるか遮断するかを非固有ポリシーに基づいて判定す る判定処理を実行する判定処理実行手段と、
判定処理実行手段に判定処理を実行させるためのプログラムである仮想ファイアゥ オールを、変換手段が変換した非固有ポリシーを用いて生成する仮想ファイアウォー ル生成手段と、
検査知識記憶手段から検査パケットを読み込み、判定処理実行手段に検査バケツ トを通過させるか遮断するかを仮想ファイアウォールに従って判定させ、判定結果お よび判定結果を導いたルールを得る検査手段と、
変換手段が変換した非固有ポリシーに含まれるルールのうち検查パケットを通過さ せる旨の判定結果を導いたルールに所定の情報を付加することにより検查結果を生 成する検査結果生成手段と
を有する。
[0009] したがって、ファイアウォールに直接検查パケットを送信して仮想攻撃を行わなくて も、ファイアウォールに対する検查を行うことができる。この結果、検查対象となるファ ィァウォールが仮想攻撃でダメージを受けることがなぐファイアウォールの所有者が 業務停止、業務機会損失等の損害を被る可能性がなくなる。また、ファイアウォール の所有者のネットワークに高負荷力 Sかかることがなぐファイアウォールの所有者が業 務停滞、業務機会損失等の損害を被る可能性がなくなる。
[0010] 検査結果に含まれる非固有ポリシーを、ファイアウォールの種類に依存した書式の ファイアウォールポリシーに変換する逆変換手段と、逆変換手段が変換したファイア ウォールポリシーを所定の情報とともに出力する結果出力手段とを備えていてもよい
[0011] ポリシー抽出手段と変換手段と逆変換手段と結果出力手段は、ファイアウォールポ リシ一をファイアウォールから抽出するファイアウォール情報抽出システムを構成し、 検査知識記憶手段と判定処理実行手段と仮想ファイアウォール生成手段と検査手段 と検查結果生成手段は、ファイアウォールに関する検查を行う検查システムを構成し ていてもよい。このような構成によれば、検查システムの所有者は、ファイアウォーノレ の所有者に、具体的な検查方法を秘密にしておくことができる。また、検查システム は、非固有ポリシーを用いて検查を行うので、ファイアウォールの種類に依存した書 式のファイアウォールポリシーを検查システムに送る必要がなレ、。従って、ファイアゥ オールの所有者は、検查システムの所有者に、ファイアウォールの種類やバージョン を秘密にしておくことができる。
[0012] ポリシー抽出手段と結果出力手段は、ファイアウォールポリシーをファイアウォール 力 抽出するファイアウォール情報抽出システムを構成し、変換手段と検査知識記憶 手段と判定処理実行手段と仮想ファイアウォール生成手段と検査手段と検査結果生 成手段と逆変換手段は、ファイアウォールに関する検査を行う検査システムを構成し ていてもよい。このような構成によれば、検査システムの所有者は、ファイアウォーノレ の所有者に、具体的な検査方法を秘密にしておくことができる。
[0013] 判定処理実行手段が、検査パケットにおけるペイロード以外の部分に格納される属 性情報が非固有ポリシー中のルールに合致するか否かにより、検査パケットを通過さ せるか否かを判定してよい。このような構成によればペイロードに格納される攻撃コー ドを無害化する必要がない。その結果、検查サービスに要する工数を削減でき、迅 速なインシデント対応が可能となる。また、無害化のための工数が不要となる分、サ 一ビスコストを下げることができ、低価格でファイアウォールの検查サービスを提供す ること力 sできる。
[0014] 本発明の他の態様によれば、ファイアウォール検查システムは、
パケットを通過させる条件またはパケットを遮断する条件を定めたルールの集合で あるファイアウォールポリシーをファイアウォールから抽出するポリシー抽出手段と、 ポリシー抽出手段で抽出されたファイアウォールポリシーを、ファイアウォールの種 類に依存しない書式のファイアウォールポリシーである非固有ポリシーに変換する変 換手段と、
攻撃に用いられるパケットまたは攻撃に用いられるパケットから攻撃コードを除いた パケットである検查パケットと、検查パケットを通過させるルールを検查パケットを遮断 するように修正するための修正方針情報とを記憶する検査修正知識記憶手段と、 与えられたパケットを通過させるか遮断するかを非固有ポリシーに基づいて判定す る判定処理を実行する判定処理実行手段と、
判定処理実行手段に判定処理を実行させるためのプログラムである仮想ファイアゥ オールを、変換手段が変換した非固有ポリシーを用いて生成する仮想ファイアウォー ル生成手段と、
検査修正知識記憶手段から検査パケットを読み込み、判定処理実行手段に検査 パケットを通過させるか遮断する力を仮想ファイアウォールに従って判定させ、判定 結果および判定結果を導いたルールを得る検査手段と、
変換手段が変換した非固有ポリシーに含まれるルールのうち検査パケットを通過さ せる旨の判定結果を導いたルールに所定の情報を付加することにより検査結果を生 成する検査結果生成手段と、
検査パケットを通過させる旨の判定結果を導いたルールと検査パケットに対応する 修正方針情報とに基づいて、検査パケットを遮断するルールを作成し、そのルールを 非固有ポリシーに追加することにより非固有ポリシーを修正する修正手段と
を有する。
したがって、ファイアウォールに直接検查パケットを送信して仮想攻撃を行わなくて も、ファイアウォールに対する検查を行うことができる。この結果、検查対象となるファ ィァウォールが仮想攻撃でダメージを受けることがなぐファイアウォールの所有者が 業務停止、業務機会損失等の損害を被る可能性がなくなる。また、ファイアウォール の所有者のネットワークに高負荷力 Sかかることがなぐファイアウォールの所有者が業 務停滞、業務機会損失等の損害を被る可能性がなくなる。また、修正後のファイアゥ オールポリシーを出力するので、ファイアウォールが必要以上にパケットを通過させる ような状態であったとしても、その状態を改善するための具体的な対応策をファイアゥ オールの所有者に提示することができる。
[0016] 修正された非固有ポリシーを、ファイアウォールの種類に依存した書式のファイアゥ オールポリシーに変換する逆変換手段と、逆変換手段が変換したファイアウォールポ リシ一を出力する結果出力手段とを備えてもよい。
[0017] ポリシー抽出手段と変換手段と逆変換手段と結果出力手段は、ファイアウォールポ リシ一をファイアウォールから抽出するファイアウォール情報抽出システムを構成し、 検査修正知識記憶手段と判定処理実行手段と仮想ファイアウォール生成手段と検査 手段と検査結果生成手段と修正手段は、ファイアウォールに関する検査を行う検査 システムを構成していてもよレ、。このような構成によれば、検查システムの所有者は、 ファイアウォールの所有者に、具体的な検查方法を秘密にしておくことができる。また 、検査システムは、非固有ポリシーを用いて検査を行うので、ファイアウォールの種類 に依存した書式のファイアウォールポリシーを検査システムに送る必要がなレ、。従つ て、ファイアウォールの所有者は、検査システムの所有者に、ファイアウォールの種類 やバージョンを秘密にしておくことができる。
[0018] ポリシー抽出手段と結果出力手段は、ファイアウォールポリシーをファイアウォール 力 抽出するファイアウォール情報抽出システムを構成し、変換手段と検査修正知識 記憶手段と判定処理実行手段と仮想ファイアウォール生成手段と検査手段と検査結 果生成手段と修正手段と逆変換手段は、ファイアウォールに関する検査を行う検査 システムを構成していてもよい。このような構成によれば、検査システムの所有者は、 ファイアウォールの所有者に、具体的な検查方法を秘密にしておくことができる。
[0019] 逆変換手段が変換したファイアウォールポリシーをファイアウォールに適用するポリ シー適用手段を備えていてもよい。このような構成によれば、ファイアウォールの所有 者自身力 修正されたファイアウォールポリシーをファイアウォールに適用する作業を 行わなくて済む。
[0020] 変換手段が変換した非固有ポリシーを記憶する非固有ポリシー記憶手段と、フアイ ァウォールにファイアウォールポリシーを再適用する指示が入力される指示入力手段 とをさらに有し、逆変換手段が、指示が入力されたときに、非固有ポリシー記憶手段 に記憶された非固有ポリシーを、ファイアウォールの種類に依存した書式のファイア ウォールポリシーに変換し、ポリシー適用手段が、逆変換手段が変換したファイアゥォ ールポリシーをファイアウォールに適用する構成であってもよレ、。このような構成によ れば、ファイアウォールポリシーが何らかの原因で壊れたりした場合や、ファイアゥォ ールの種類を変更した場合等に、ファイアウォールポリシーのリストアを容易に行うこ とができる。また、ファイアウォールの種類を変更した場合であっても、ファイアウォー ルポリシ一のリストアを容易に行えるので、ファイアウォール機器やファイアウォールソ フトウェアの入れ替えを自由に行うことができる。
[0021] 判定処理実行手段が、検查パケットにおけるペイロード以外の部分に格納される属 性情報が非固有ポリシー中のルールに合致するか否かにより、検查パケットを通過さ せるか否かを判定する構成であってもよい。このような構成によれば、ペイロードに格 納される攻撃コードを無害化する必要がない。その結果、検査サービスに要するェ 数を削減でき、迅速なインシデント対応が可能となる。また、無害化のための工数が 不要となる分、サービスコストを下げることができ、低価格でファイアウォールの検査 サービスを提供することができる。
[0022] 本発明の他の態様によれば、ファイアウォール情報抽出システムは、パケットを通過 させる条件またはパケットを遮断する条件を定めたルールの集合であるファイアゥォ ールポリシーをファイアウォールから抽出するファイアウォール情報抽出システムであ つて、
ファイアウォールポリシーをファイアウォール力 抽出するポリシー抽出手段と、 ポリシー抽出手段で抽出されたファイアウォールポリシーを、ファイアウォールの種 類に依存しない書式のファイアウォールポリシーである非固有ポリシーに変換する変 換手段と、
ファイアウォールに関する検査を行う検査システムに、変換手段が変換した非固有 ポリシーを送信して、検查システムに検查を実行させる非固有ポリシー送信手段と、 検查システムから、非固有ポリシーに含まれるルールのうち、検查パケットを通過さ せるルールに所定の情報が付加された検査結果を受信する検査結果受信手段と を有する。
[0023] 検査結果に含まれる非固有ポリシーを、ファイアウォールの種類に依存した書式の ファイアウォールポリシーに変換する逆変換手段と、逆変換手段が変換したファイア ウォールポリシーを所定の情報とともに出力する結果出力手段とを備えていてもよい
[0024] 本発明の他の態様によれば、ファイアウォール情報抽出システムは、パケットを通過 させる条件またはパケットを遮断する条件を定めたルールの集合であるファイアゥォ ールポリシーをファイアウォールから抽出するファイアウォール情報抽出システムであ つて、
ファイアウォールポリシーをファイアウォール力 抽出するポリシー抽出手段と、 ポリシー抽出手段に抽出されたファイアウォールポリシーを、ファイアウォールの種 類に依存しない書式のファイアウォールポリシーである非固有ポリシーに変換する変 換手段と、
ファイアウォールに関する検査を行う検査システムに、変換手段が変換した非固有 ポリシーを送信して、非固有ポリシーの修正を実行させる非固有ポリシー送信手段と 検査システムから、修正された非固有ポリシーを受信する修正結果受信手段と を有する。
[0025] 修正された非固有ポリシーを、ファイアウォールの種類に依存した書式のファイアゥ オールポリシーに変換する逆変換手段と、逆変換手段が変換したファイアウォールポ リシ一を出力する結果出力手段とを備えてレ、てもよレ、。
[0026] 逆変換手段が変換したファイアウォールポリシーをファイアウォールに適用するポリ シー適用手段を備えた構成であってもよい。このような構成によれば、ファイアウォー ルの所有者自身力 S、修正されたファイアウォールポリシーをファイアウォールに適用 する作業を行わなくて済む。
[0027] 変換手段が変換した非固有ポリシーを記憶する非固有ポリシー記憶手段と、フアイ ァウォールにファイアウォールポリシーを再適用する指示が入力される指示入力手段 とをさらに有し、逆変換手段が、指示が入力されたときに、非固有ポリシー記憶手段 に記憶された非固有ポリシーを、ファイアウォールの種類に依存した書式のファイア ウォールポリシーに変換し、ポリシー適用手段が、逆変換手段が変換したファイアゥォ ールポリシーをファイアウォールに適用する構成であってもよい。このような構成によ れば、ファイアウォールポリシーが何らかの原因で壊れたりした場合や、ファイアゥォ ールの種類を変更した場合等に、ファイアウォールポリシーのリストアを容易に行うこ とができる。また、ファイアウォールの種類を変更した場合であっても、ファイアウォー ルポリシ一のリストアを容易に行えるので、ファイアウォール機器やファイアウォールソ フトウェアの入れ替えを自由に行うことができる。
本発明の他の態様によれば、ファイアウォール検查システムは、ファイアウォールポ リシ一をファイアウォールから抽出するファイアウォール情報抽出システムからデータ を受信してファイアウォールに関する検查を行うファイアウォール検查システムであつ て、
ファイアウォール情報抽出システムから、ファイアウォールの種類に依存しない書式 のファイアウォールポリシーである非固有ポリシーを受信する非固有ポリシー受信手 段と、
攻撃に用いられるパケットまたは攻撃に用いられるパケットから攻撃コードを除いた パケットである検査パケットを記憶する検査知識記憶手段と、
与えられたパケットを通過させるか遮断するかを非固有ポリシーに基づいて判定 する判定処理を実行する判定処理実行手段と、
判定処理実行手段に判定処理を実行させるためのプログラムである仮想ファイアゥ オールを、非固有ポリシー受信手段が受信した非固有ポリシーを用いて生成する仮 想ファイアウォール生成手段と、
検查知識記憶手段から検查パケットを読み込み、判定処理実行手段に検查バケツ トを通過させるか遮断するかを仮想ファイアウォールに従って判定させ、判定結果お よび判定結果を導いたルールを得る検査手段と、
非固有ポリシー受信手段が受信した非固有ポリシーに含まれるルールのうち検查パ ケットを通過させる旨の判定結果を導いたルールに所定の情報を付加することにより 検査結果を生成する検査結果生成手段と、 ファイアウォール情報抽出システムに検査結果を送信する検査結果送信手段と を有する。
[0029] 本発明の他の態様によれば、ファイアウォール検査システムは、ファイアウォールポ リシ一をファイアウォールから抽出するファイアウォール情報抽出システムからデータ を受信してファイアウォールに関する検查を行うファイアウォール検查システムであつ て、
ファイアウォール情報抽出システムからファイアウォールポリシーを受信するポリシ 一受信手段と、
ポリシー受信手段が受信したファイアウォールポリシーを、ファイアウォールの種類 に依存しない書式のファイアウォールポリシーである非固有ポリシーに変換する変換 手段と、
攻撃に用いられるパケットまたは攻撃に用いられるパケットから攻撃コードを除いた パケットである検査パケットを記憶する検査知識記憶手段と、
与えられたパケットを通過させるか遮断するかを非固有ポリシーに基づいて判定す る判定処理を実行する判定処理実行手段と、
判定処理実行手段に判定処理を実行させるためのプログラムである仮想ファイアゥ オールを、変換手段が変換した非固有ポリシーを用いて生成する仮想ファイアウォー ル生成手段と、
検査知識記憶手段から検査パケットを読み込み、判定処理実行手段に検査バケツ トを通過させるか遮断するかを仮想ファイアウォールに従って判定させ、判定結果お よび判定結果を導いたルールを得る検査手段と、
変換手段が変換した非固有ポリシーに含まれるルールのうち検查パケットを通過さ せる旨の判定結果を導いたルールに所定の情報を付加することにより検查結果を生 成する検査結果生成手段と
を有する。
[0030] 検查結果に含まれる非固有ポリシーを、ファイアウォールの種類に依存した書式の ファイアウォールポリシーに変換する逆変換手段と、逆変換手段が変換したファイア ウォールポリシーを所定の情報とともにファイアウォール情報抽出システムに送信す る結果送信手段とをさらに備えていてもよい。
本発明の他の態様によれば、ファイアウォール検査システムは、ファイアウォールポ リシ一をファイアウォールから抽出するファイアウォール情報抽出システムからデータ を受信してファイアウォールに関する検查を行うファイアウォール検查システムであつ て、
ファイアウォール情報抽出システムから、ファイアウォールの種類に依存しない書式 のファイアウォールポリシーである非固有ポリシーを受信する非固有ポリシー受信手 段と、
攻撃に用いられるパケットまたは攻撃に用いられるパケットから攻撃コードを除いた パケットである検查パケットと、検查パケットを通過させるルールを検查パケットを遮断 するように修正するための修正方針情報とを記憶する検査修正知識記憶手段と、 与えられたパケットを通過させるか遮断するかを非固有ポリシーに基づいて判定す る判定処理を実行する判定処理実行手段と、
判定処理実行手段に判定処理を実行させるためのプログラムである仮想ファイアゥ オールを、非固有ポリシー受信手段が受信した非固有ポリシーを用いて生成する仮 想ファイアウォール生成手段と、
検査修正知識記憶手段から検査パケットを読み込み、判定処理実行手段に検査 パケットを通過させるか遮断する力を仮想ファイアウォールに従って判定させ、判定 結果および判定結果を導いたルールを得る検査手段と、
非固有ポリシー受信手段が受信した非固有ポリシーに含まれるルールのうち検査 パケットを通過させる旨の判定結果を導いたルールに所定の情報を付加することによ り検査結果を生成する検査結果生成手段と、
検查パケットを通過させる旨の判定結果を導いたルールと検查パケットに対応する 修正方針情報とに基づいて、検查パケットを遮断するルールを作成し、そのルールを 非固有ポリシーに追加することにより非固有ポリシーを修正する修正手段と、 修正された非固有ポリシーをファイアウォール情報抽出システムに送信する修正結 果送信手段と
を有する。 [0032] 本発明の他の態様によれば、ファイアウォール検査システムは、ファイアウォールポ リシ一をファイアウォールから抽出するファイアウォール情報抽出システムからデータ を受信してファイアウォールに関する検査を行うファイアウォール検査システムであつ て、
ファイアウォール情報抽出システムからファイアウォールポリシーを受信するポリシ 一受信手段と、
ポリシー受信手段が受信したファイアウォールポリシーを、ファイアウォールの種類 に依存しない書式のファイアウォールポリシーである非固有ポリシーに変換する変換 手段と、
攻撃に用いられるパケットまたは攻撃に用いられるパケットから攻撃コードを除いた パケットである検查パケットと、検查パケットを通過させるルールを検查パケットを遮断 するように修正するための修正方針情報とを記憶する検査修正知識記憶手段と、 与えられたパケットを通過させるか遮断するかを非固有ポリシーに基づいて判定す る判定処理を実行する判定処理実行手段と、
判定処理実行手段に判定処理を実行させるためのプログラムである仮想ファイアゥ オールを、変換手段が変換した非固有ポリシーを用いて生成する仮想ファイアウォー ル生成手段と、
検査修正知識記憶手段から検査パケットを読み込み、判定処理実行手段に検査 パケットを通過させるか遮断する力を仮想ファイアウォールに従って判定させ、判定 結果および判定結果を導いたルールを得る検査手段と、
変換手段が変換した非固有ポリシーに含まれるルールのうち検査パケットを通過さ せる旨の判定結果を導いたルールに所定の情報を付加することにより検查結果を生 成する検査結果生成手段と、
検查パケットを通過させる旨の判定結果を導いたルールと検查パケットに対応する 修正方針情報とに基づいて、検查パケットを遮断するルールを作成し、そのルールを 非固有ポリシーに追加することにより非固有ポリシーを修正する修正手段と
を有する。
[0033] 修正された非固有ポリシーを、ファイアウォールの種類に依存した書式のファイアゥ オールポリシーに変換する逆変換手段と、逆変換手段が変換したファイアウォールポ リシ一をファイアウォール情報抽出システムに送信する修正後ポリシー送信手段とを 備えていてもよい。
[0034] 判定処理実行手段が、検查パケットにおけるペイロード以外の部分に格納される属 性情報が非固有ポリシー中のルールに合致するか否かにより、検查パケットを通過さ せるか否かを判定する構成であってもよレ、。このような構成によればペイロードに格 納される攻撃コードを無害化する必要がない。その結果、検查サービスに要するェ 数を削減でき、迅速なインシデント対応が可能となる。また、無害化のための工数が 不要となる分、サービスコストを下げることができ、低価格でファイアウォールの検查 サービスを提供することができる。
図面の簡単な説明
[0035] [図 1]図 1は本発明の第 1の実施の形態を示すブロック図である。
[図 2]図 2は第 1の実施の形態におけるクライアントシステムおよび検査システムの構 成例を示すブロック図である。
[図 3]図 3は仮想 FWを示す説明図である。
[図 4]図 4は第 1の実施の形態におけるファイアウォール検查システムの動作を示すフ ローチャートである。
[図 5]図 5は第 1の実施の形態の変形例を示すブロック図である。
[図 6]図 6は第 2の実施の形態におけるクライアントシステムおよび検查システムの構 成例を示すブロック図である。
[図 7]図 7は第 2の実施の形態におけるファイアウォール検查システムの動作を示すフ ローチャートである。
[図 8]図 8は第 2の実施の形態の変形例を示すブロック図である。
[図 9]図 9は固有ポリシーおよび非固有ポリシーの例を示す説明図である。
[図 10]図 10はクライアントシステムのポリシー記憶手段が記憶する情報の例を示す説 明図である。
[図 11]図 11は検査システムのポリシー記憶手段が記憶する情報の例を示す説明図 である。 園 12]図 12は検査知識 DBが記憶する検査知識の例を示す説明図である。
[図 13]図 13はパケットを通過させるか否かの判定処理を示すフローチャートである。 園 14]図 14は仮想 FWに含まれる非固有ポリシーの例を示す説明図である。
園 15]図 15は検查結果の例を示す説明図である。
園 16]図 16は非固有ポリシーから変換された固有ポリシーの例を示す説明図である 園 17]図 17はクライアント企業毎に仮想 FWを作成し検查を実施する状況を示す説 明図である。
園 18]図 18は検查修正知識 DBが記憶する検查修正知識の例を示す説明図である
[図 19]図 19は非固有ポリシーの修正処理を示すフローチャートである。
園 20]図 20は非固有ポリシーの修正結果の例を示す説明図である。
園 21]図 21は非固有ポリシーの修正結果から変換された固有ポリシーの例を示す説 明図である。
符号の説明
10 クライアント企業ネットワーク
20 サービス提供企業ネットワーク
100 クライアントシステム（ファイアウォール情報抽出システム）
110 ポリシー抽出部
120 ポリシー変換規則記憶部
130 ポリシー記憶部
140 通信部
150 ポリシー逆変換部
160 結果表示部
200 検査システム
210 通信手段
220 ポリシー記憶部
230 仮想 FW作成部 240 仮想 FW記憶部
250 FW検査部
260 検査知識 DB
300 ファイアウォーノレ
400 インターネット
1001— 1008a、 1051— 1059、 1071— 1076 ステップ
発明を実施するための最良の形態
[0037] 第 1の実施形態
図 1を参照すると、本発明の第 1の実施形態によるファイアウォール検査システムは 、ファイアウォール情報抽出システム（以下、クライアントシステムと記す。） 100と検査 システム 200とを備える。クライアントシステム 100と検査システム 200とは、通信ネット ワーク 400を介して接続される。以下、通信ネットワーク 400がインターネットである場 合を例に説明する。検査システム 200は、クライアントシステム 100からファイアウォー ルポリシーを受信し、そのファイアウォールポリシーに基づいて検査を行う。そして、 検査結果をクライアントシステム 100に送信する。
[0038] ファイアウォールの検查サービスを受ける者（以下の説明ではクライアント企業と記 すが、企業に限定されない。）は、クライアント企業自身の通信ネットワークであるクラ イアント企業ネットワーク 10を有している。また、クライアント企業は、インターネット 40 0とクライアント企業ネットワーク 10とを接続さるファイアウォール 300も有している。ク ライアント企業は、検査サービスを提供する者 (以下の説明ではサービス提供企業と 記すが、企業に限定されなレ、。）からクライアントシステム 100を購入し、クライアント企 業ネットワーク 10に接続する。クライアントシステム 100は、ファイアウォール 300にァ クセス可能なネットワークセグメントに接続される。
[0039] サービス提供企業は、サービス提供企業自身の通信ネットワークであるサービス提 供企業ネットワーク 20を有している。検査システム 200は、サービス提供企業によつ て管理され、サービス提供企業ネットワーク 20に接続される。なお、図示していない 、検査システム 200は、ゲートウェイ、ルータ等を介してインターネット 400に接続さ れる。 [0040] なお、クライアント企業は、ファイアウォール 300に対する検査サービスの提供を受 け、そのサービスの対価をサービス提供企業に支払う。
[0041] 図 2は第 1の実施形態におけるクライアントシステム 100および検査システム 200の 構成例を示すブロック図である。図 2では、便宜上、クライアントシステム 100および 検查システム 200がインターネットに直接接続されているように示している力 図 1に 示すように、クライアントシステム 100は、ファイアウォールを介してインターネット 400 に接続される。また、検查システム 200は、ゲートウェイ、ルータ等（図示せず。）を介 してインターネット 400に接続される。
[0042] 図 2に示すように、クライアントシステム 100はポリシー抽出部 110とポリシー変換規 則記憶部 120とポリシー記憶部 130と通信部 140とポリシー逆変換部 150と結果出 力部 160とを備える。
[0043] ポリシー抽出部 110はファイアウォール 300から設定情報を抽出する。設定情報は 、ファイアウォールポリシーを含む情報であり、ファイアウォールポリシーは、ノ ケットを 通過させる条件や遮断させる条件を定めたルールの集合である。また、本実施形態 では、設定情報には、ファイアウォールポリシーの他にファイアウォール 300の種類（ 製品名等）やバージョン情報も含まれているものとする。設定情報に含まれるファイア ウォールポリシーは、ファイアウォール 300の種類に依存した書式で記述されている。 ポリシー抽出部 110は、抽出した設定情報に含まれているファイアウォールポリシー を、ポリシー変換規則に従って、ファイアウォールの種類に依存しない書式で記述し たファイアウォールポリシーに変換する。ポリシー変換規則は、ファイアウォールの種 類に依存した書式のファイアウォールポリシー（以下、固有ポリシーと記す。）を、ファ ィァウォールの種類に依存しない書式のファイアウォールポリシー（以下、非固有ポリ シ一と記す。）に変換する対応表であり、ファイアウォールの種類やバージョンと対応 付けられてポリシー変換規則記憶部 120に記憶されている。また、ポリシー抽出部 11 0は、変換後の非固有ポリシー、ファイアウォール 300の種類やバージョン等の情報、 設定情報を抽出した時刻等をポリシー記憶部 130に記憶させる。
[0044] ポリシー変換規則記憶部 120は、ファイアウォールの種類毎にポリシー変換規則を 予め記憶している。 [0045] ポリシー記憶部 130は、ポリシー抽出部 110によって変換された非固有ポリシー、フ アイァウォールの種類、バージョン情報、設定情報が抽出された日時 (ポリシー記憶 部 130への記録日時でもよい。）等を記憶する。
[0046] 通信部 140は、ポリシー記憶部 130から非固有ポリシーを読み込み、その非固有ポ リシ一を検查システム 200に送信する。このとき、通信部 140は、非固有ポリシーを送 信する度に連番となる番号を非固有ポリシーに付加する。そして、その番号とファイア ウォール 300の種類やバージョン情報とを対応付けて、例えば、ポリシー記憶部 130 に記憶させておく。また、通信部 140は、非固有ポリシーを用いて行われたファイアゥ オール 300の検查結果を検查システム 200から受信する。検查結果は、非固有ポリ シ一に含まれるルールのうち、ファイアウォールに対する攻撃となるパケットを通過さ せるルールに、その攻撃の名称を追加記述したものである。
[0047] ポリシー逆変換部 150は、ポリシー変換規則に基づいて、検查結果に含まれる非 固有ポリシーを、固有ポリシーに変換する。ポリシー逆変換部 150は、検査結果に追 加記述された攻撃の名称はそのまま残しておく。なお、検査結果には、通信部 140 が非固有ポリシー送信時に付加した番号がそのまま残されている。ポリシー逆変換部 150は、その番号に基づいてファイアウォールの種類やバージョン情報を特定し、そ の種類に応じたポリシー変換規則を参照して固有ポリシーへの変換を行えばよい。 ポリシー逆変換部 150は、攻撃の名称が付加された固有ポリシーを結果出力部 160 に出力させる。
[0048] 結果出力部 160は、ポリシー逆変換部 150によって検査結果から変換された固有 ポリシーを出力する。
[0049] ポリシー抽出部 110および通信部 140は、例えば、クライアント企業ネットワーク 10
(図 1参照）とのインタフェースと、プログラムに従って動作する CPUとによって実現さ れる。ポリシー変換規則記憶部 120およびポリシー記憶部 130は、例えば、クライア ントシステム 100が備える記憶装置によって実現される。ポリシー逆変換部 10は、例 えば、プログラムに従って動作する CPUによって実現される。プログラムは、クライア ントシステム 100が備える記憶装置（図示せず）に予め記憶させておけばよい。結果 出力部 160は、例えば、ディスプレイ装置やプリンタ装置によって実現される。 [0050] 図 2に示すように、検査システム 210は通信部 210とポリシー記憶部 220と仮想 FW (ファイアウォール）作成部 230と、仮想 FW (ファイアウォール）記憶部 240と FW (ファ ィァウォール)検査部 250と検査知識 DB (データベース） 260とを備える。
[0051] 通信部 210は、クライアントシステム 100から非固有ポリシーを受信し、ポリシー記 憶部 220に記憶させる。また、通信部 210は、検查結果をクライアントシステム 100に 送信する。
[0052] ポリシー記憶部 220は、通信部 210がクライアントシステム 100から受信した非固有 ポリシーを記憶する。
[0053] 仮想 FW作成部 230は、仮想 FWを作成し、仮想 FW記憶部 240に記憶させる。仮 想 FWとは、検查システム 200が備える CPU (図示せず）にファイアウォールとしての 動作を擬似的に実行させるプログラムである。換言すれば、仮想 FWは、ファイアゥォ ールの動作をエミュレートするためのプログラムである。また、ファイアウォールとして の動作を擬似的に実行するとは、与えられたパケットを通過させるか遮断するかを判 定することである。
[0054] 仮想 FW記憶部 240は、作成された仮想 FWを記憶する。図 3は、仮想 FWを示す 説明図である。仮想 FW作成部 230は、予め用意されている FW実行命令 520に非 固有ポリシー 510を付加することによって仮想 FW500を作成する。 FW実行命令 52 0は、検査システム 200の CPU (図示せず）にファイアウォールとしての動作を実行さ せる命令群であり、例えば、予め検査システム 200が備える記憶装置（図示せず）に 記憶させておく。仮想 FW作成部 230は、仮想 FW作成時に FW実行命令 520を読 み込み、また、ポリシー記憶部 220に記憶されている非固有ポリシーを読み込み、非 固有ポリシー 510として FW実行命令 520に付加し、仮想 FW500を生成する。仮想 FW500は、例えばプログラムの実行ファイルとして生成される。なお、プログラムの実 行ファイルとして生成される仮想 FW500内に非固有ポリシーを含めてもよレ、。あるい は、非固有ポリシーをプログラム実行ファイルとは別ファイルとし、非固有ポリシーの データファイルと、プログラム実行ファイルを対応付けてもよい。
[0055] 検查知識 DB260は、攻撃そのものを表すデータ、あるいは、攻撃の属性を表すデ ータを少なくとも一つ記憶する。攻撃そのものを表すデータとは、システムに対する攻 撃となるパケット全体のことである。攻撃そのものを表すデータには、パケットを受信し たシステムに誤動作等を行わせるための攻撃コードが含まれている。攻撃コードは、 パケットのペイロードに格納される。攻撃の属性を表すデータとは、攻撃そのものを表 すデータのうちの攻撃コード（ペイロード部分）を除いたデータである。従って、検查 知識 DB260は、攻撃コードを含むデータ（攻撃そのものを表すデータ）を記憶してレ、 ても、攻撃コードを含まなレ、データ（攻撃の属性を表すデータ）を記憶してレ、てもよレヽ 。検查知識 DB260は、攻撃の名称や補足的事項 (例えば、どのような装置に感染す るか等の情報）を記憶していてもよい。攻撃そのものを表すデータ、あるいは、攻撃の 属性を表すデータ、および攻撃の名称をまとめて検査知識と呼ぶ。補足的事項が存 在する場合には、補足的事項も検查知識に含まれるが、補足的事項はなくてもよい。 以下、システムに対する攻撃となるパケット全体、あるいはそのようなパケットから攻撃 コードを除レ、たパケットを、検查パケットと記す。
[0056] 検査知識 DB260は、 1つ以上の検査知識を記憶する。また、検査知識は、サービ ス提供企業の検査システムの運用者やセキュリティ専門家によって作成される。検査 知識は、セキュリティベンダーやインシデント情報を管理する企業等からサービス提 供企業に販売されてもよい。検査知識は、例えば、入力デバイス（図示せず)を介し て検査システム 200に入力され、 CPU (図示せず）によって検査知識 DB260に記憶 される。
[0057] FW検査部 250は、仮想 FW記憶部 240に記憶された仮想 FW500 (図 3参照）を起 動させる。そして、 FW検査部 250は、検査知識 DB260から検査パケット（ペイロード に攻撃コードが格納されていてもいなくてもよい。）を読み込み、仮想 FW500に従つ て動作する CPU (図示せず）にその検查パケットを通過させるか遮断するかを判定さ せる。また、判定結果を導いたルールも特定させる。そして、 FW検查部 250は、ポリ シー記憶部 220が記憶している非固有ポリシー内におけるそのルールに対して、通 過させると判定された検查パケットの攻撃名称を追加記述する。
[0058] 通信部 210は、例えば、サービス提供企業ネットワーク 20 (図 1参照）とのインタフヱ ースと、プログラムに従って動作する CPUとによって実現される。仮想 FW作成部 23 0および FW検查部 250は、例えば、プログラムに従って動作する CPUによって実現 される。プログラムは、検査システム 200が備える記憶装置（図示せず）に予め記憶さ せておけばよい。ポリシー記憶部 220、仮想 FW記憶部 240、および検査知識 DB26 0は、例えば、検査システム 200が備える記憶装置によって実現される。
[0059] 次に、本実施形態の動作について説明する。
[0060] ファイアウォール検查システムの運用開始前に、サービス提供企業は、クライアント 企業にクライアントシステム 100を販売する。クライアントシステム 100は、クライアント 企業ネットワーク 10 (図 1参照）において、ファイアウォール 300にアクセス
可能なネットワークセグメントに接続される。
[0061] 図 4は本実施形態におけるファイアウォール検查システムの動作を示すフローチヤ ートである。クライアントシステム 100のポリシー抽出部 110は、ファイアウォール 300 の設定情報を抽出する（ステップ 1001)。ステップ 1001では、例えば、ファイアゥォ ール 300に備わっている設定情報取得コマンドを実行するなどして、ファイアウォー ノレ 300から設定情報を抽出すればよい。また、ポリシー抽出部 110は、例えば、定期 的にファイアウォール 300から設定情報を抽出すればよい。また、例えば、クライアン トシステム 100が、オペレータからの指示を入力されるキーボードやマウス等の入力 デバイス（図示せず)を備え、その入力デバイスから設定情報の抽出指示が入力され たときにファイアウォール 300から設定情報を抽出してもよレ、。また、例えば、クライア ント企業とサービス提供企業との契約で定めたタイミイングで設定情報抽出処理を開 始するように予め設定されてレ、てもよレ、。
[0062] ステップ 1001の後、ポリシー抽出部 110は、設定情報に含まれる固有ポリシーを非 固有ポリシーに変換し、その非固有ポリシーをポリシー記憶部 130に記憶させる (ス テツプ 1002)。ステップ 1002において、ポリシー抽出部 110は、設定情報に含まれ ているファイアウォール 300の種類やバージョンの情報に対応するポリシー変換規則 をポリシー変換規則記憶部 120から読み込む。そして、ポリシー抽出部 110は、その ポリシー変換規則に従って、ファイアウォールの種類に依存した書式の固有ポリシー を、ファイアウォールの種類に依存しない書式の非固有ポリシーに変換する。また、 ポリシー抽出部 110は、非固有ポリシーをポリシー記憶部 130に記憶させるときに、 設定情報を抽出した日時（ポリシー記憶部 130への記録日時でもよい）、およびファ ィァウォール 300の種類やバージョンの情報とともに記憶させる。
[0063] なお、本実施形態では、ファイアウォールの種類やバージョンの情報が設定情報に 含まれている場合を例にしているが、種類やバージョンの情報が設定情報に含まれ ていなくてもよい。この場合、クライアントシステム 100が、キーボード等の入力デバィ ス（図示せず。 )を介してクライアント企業のオペレータからファイアウォールの種類や バージョンの情報を予め入力され、入力された情報を記憶装置（図示せず）に記憶さ せておいてもよい。そして、予め記憶させておいたバージョン等の情報をポリシー抽 出部 110がステップ 1002で読み込み、非固有ポリシーとともにポリシー記憶部 130 に記憶させてもよレ、。あるいは、ファイアウォール 300に備わっているデータ取得コマ ンド（ファイアウォールの種類やバージョン情報の取得コマンド）を実行することによつ て、ファイアウォール 300から種類やバージョンの情報を取得してもよレ、。
[0064] ステップ 1002の後、通信部 140は、ポリシー記憶部 130から非固有ポリシーを読み 込み、インターネット 400を介して、その非固有ポリシーを検査システム 200に送信す る（ステップ 1003)。ステップ 1003では、通信部 140は、非固有ポリシーを送信する 度に連番となる番号を非固有ポリシーに付加して送信する。通信部 140は、非固有 ポリシーに付加した番号と、ファイアウォール 300の種類やバージョン情報とを対応 付けて、例えば、ポリシー記憶部 130に記憶させる。この番号は、後に受信する検査 結果を固有ポリシーに変換するときに、参照するポリシー変換規則を特定するために 用いられる。
[0065] なお、ステップ 1003では、通信部 140は、まず検査要求を検査システム 200に送 信し、検査システム 200から検査要求を受ける旨の回答を受信した後に、非固有ポリ シーを送信してもよい。
[0066] 検查システム 200の通信部 210は、クライアントシステム 100の通信部 140によって 送信された非固有ポリシーを受信し、その非固有ポリシーをポリシー記憶部 220に記 憶させる（ステップ 1004)。
[0067] 続いて、仮想 FW作成部 230は、例えば、検查システム 200が備える記憶装置（図 示せず）から FW実行命令 520を読み込み、また、ステップ 1004でポリシー記憶部 2 20に記憶された非固有ポリシーを読み込む。仮想 FW作成部 230は、読み込んだ F W実行命令 520に非固有ポリシーを付加して、仮想 FW500を生成する（ステップ 10 05)。例えば、 FW実行命令 520と非固有ポリシー 510 (ポリシー記憶部 220から読 み込んだ非固有ポリシーそのもの）とを含むプログラム実行ファイルとして仮想 FW50 0を生成する。仮想 FW作成部 230は、生成した仮想 FW500を仮想 FW記憶部 240 に記憶させる。
[0068] 続いて、 FW検查部 250は、仮想 FW500を起動し、クライアント企業のファイアゥォ 一ノレ 300の検查を行う（ステップ 1006)。ここでは、仮想 FW500に従ってファイアゥ オールとしての動作を実行する検查システム 200の CPU (図示せず）と、 FW検查部 250としての動作を行う CPU (図示せず）とが同一の CPUであるものとする。 FW検 查部 250は、検查知識 DB260から攻撃そのものを表すデータ（システムに対する攻 撃となるパケット全体）、あるいは、攻撃の属性を表すデータ（攻撃コードを含まない パケット）を読み込む。そして、そのパケットを通過させるか否かの判定を、仮想 FW5 00に従って動作する CPU (図示せず）に実行させる。仮想 FW500に従って動作す る CPUは、仮想 FW500に含まれる非固有ポリシー 510と、攻撃の属性とによって、 ファイアウォール 300がそのパケットを通過させるのか遮断するのかを判定する。パケ ットを通過させると判定された場合、 FW検査部 250は、ポリシー記憶手段 220に記 憶される非固有ポリシーに含まれるルールのうち、パケットを通過させるという判定結 果を導いたルールに対して、そのパケットの攻撃名称を付加する。 FW検査部 250は 、検査知識 DB260に記憶されている攻撃そのものを表すデータや攻撃の属性を表 すデータ毎に以上の処理を順次実行する。
[0069] ステップ 1004で記憶された非固有ポリシーに攻撃の情報 (本実施形態では、攻撃 の名称）が付加されたものが検查結果となる。この検查検査には、ステップ 1003で非 固有ポリシーに付加された番号も含まれている。
[0070] FW検查部 250は、検查システム 200の通信部 210に検查結果を送る。通信部 21 0は、インターネット 400を介してクライアントシステム 100にその検查結果を送信する (ステップ 1007)。
[0071] クライアントシステム 100の通信部 140は、検查システム 200の通信部 210から検查 結果を受信し、その検查結果をポリシー逆変換手段 150に渡す。なお、通信部 140 が検査結果をポリシー記憶部 130に記憶させ、ポリシー逆変換部 150がポリシー記 憶部 130から検査結果を読み込んでもよい。ポリシー逆変換部 150は、検査結果に 含まれている番号 (ステップ 1003で非固有ポリシーに付加された番号）に対応するフ アイァウォールの種類およびバージョンの情報をステップ 1003で記憶させた情報に 基づいて特定する。そして、特定した情報に応じたポリシー変換規則をポリシー変換 規則記憶部 120から読み込む。ポリシー逆変換部 150は、そのポリシー変換規則を 参照して、検查結果に含まれている非固有ポリシーをファイアウォール 300に依存し た書式の固有ポリシーに変換する。そして、ステップ 1006で付加された攻撃の情報 とともに、変換後の固有ポリシーを結果出力部 160に出力（例えば、表示出力）させる (ステップ 1008)。この結果、クライアント企業のオペレータに、ファイアウォール 300 のファイアウォールポリシーに含まれるルールのうち、攻撃となるパケットを通過させる ことになるルールを提示することができる。
[0072] 本実施形態では、ポリシー抽出手段および変換手段はポリシー抽出部 110に相当 する。検査知識記憶手段は検査知識 DB260に相当する。判定処理実行手段は検 查システム 200の CPU (図示せず）に相当する。仮想ファイアウォール生成手段は仮 想 FW生成部 230に相当する。検査手段および検査結果生成手段は FW検査部 25 0に相当する。逆変換手段はポリシー逆変換部 150に相当する。結果出力手段は結 果出力部 160に相当する。非固有ポリシー送信手段および検査結果受信手段はク ライアントシステム 100の通信部 140に相当する。非固有ポリシー受信手段および検 查結果送信手段は、検査システム 200の通信部 210に相当する。
[0073] 次に、本実施形態の効果について説明する。本実施形態によれば、クライアント企 業のファイアウォール 300そのものが検查を受けるのではなぐサービス提供企業の 検查システム 200がファイアウォール 300の非固有ポリシーを用いて仮想 FW500 ( 図 3参照）を作成し、仮想 FW500によって検查を行う。そして、仮想 FW500に従つ てファイアウォールとしての動作を擬似的に実行する検查システム 200の CPU (図示 せず）に攻撃となるパケットを渡しても、クライアント企業のファイアウォール 300には 一切影響がない。従って、ファイアウォール 300のダメージによりクライアント企業が 業務停止や業務機会損失等の損害を被る可能性がなくなる。また、ファイアウォール 300やクライアント企業ネットワーク 10 (図 1参照）に高負荷力 Sかかることがなぐライア ント企業が業務停滞や業務機会損失等の損害を被るおそれがなくなる。
[0074] また、仮想 FW500に従って動作する検査システム 200の CPU (図示せず）は、仮 想 FW500に含まれる非固有ポリシー 510と、攻撃の属性とによって、ファイアウォー ル 300がそのパケットを通過させるのか遮断するのかを判定する。この判定処理は、 パケットに攻撃コードが含まれていなくても行うことができる。従って、新しい攻撃が発 見され、その攻撃の仮想攻撃を行えるようにする場合、仮想攻撃を無害化するという 工数が不要となる。従って、サービス提供企業は、迅速なインシデント対応が可能と なる。すなわち、新しい攻撃が発見されたときに、その攻撃に関する検査サービスを 早期に提供することができる。また、仮想攻撃を無害化する工数が不要となる分、サ 一ビスコストを下げることができ、クライアント企業に対して低価格でファイアウォール の検查サービスを提供することができる。
[0075] また、検査知識 DB260に記憶される攻撃そのものを表すデータ、あるいは、攻撃 の属性を表すデータは検査システム 200において使用され、クライアントシステム 10 0に送信されない。従って、サービス提供企業自身が保有する検査に用いるデータ 力 Sクライアント企業を通じて競合他社に漏洩するおそれがない。
[0076] また、クライアントシステム 100は、固有ポリシーではなく非固有ポリシーを送信する 。さらに、クライアントシステム 100は、ファイアウォール 300の種類やバージョンの情 報ではなぐクライアントシステム 100自身がそれらの情報と対応付ける番号を送信す る。従って、検査システム 200は、クライアント企業が使用しているファイアウォール 30 0の種類やバージョンを識別できなレ、。従って、 自身が所有しているファイアウォール 300の種類やバージョンを秘密にしておきたいと考えるクライアント企業にとっては、 ファイアウォール 300の種類やバージョンの情報をサービス提供企業に知られること なく検查サービスを受けられるという効果がある。
[0077] なお、仮想 FW作成部 230が仮想 FWの作成（ステップ 1005)を開始するのは、ス テツプ 1004の終了後であってサービス提供企業のオペレータによって仮想 FWの作 成開始を指示されたときでもよい。同様に、 FW検查部 250が検查 (ステップ 1006)を 開始するのは、ステップ 1005の終了後であってサービス提供企業のオペレータによ つて検査開始を指示されたときでもよい。この場合、検査システム 200は、オペレータ 力 の指示を入力されるキーボードやマウス等の入力デバイス（図示せず）を備える。 このような構成の場合、サービス提供企業のオペレータは、ポリシー記憶部 220に記 憶された非固有ポリシーが増加してから、バッチ処理によりステップ 10005， 1006の 処理をまとめて行わせることが可能となる。あるいは、検查知識 DB260に新しいデー タを記憶させるメンテナンス作業中にはステップ 1004で動作を中断させ、検查知識 DB260の終了後にステップ 1005以降の動作を再開させることができる。
[0078] また、クライアント企業が、ファイアウォールポリシーやファイアウォール 300の種類 やバージョンを公開してもよいと定めている場合、検查システム 200にこれらの情報を 送信して検查システム 200が非固有ポリシーへの変換等を行ってもよレ、。以下、本実 施形態の変形例として、ファイアウォールの種類に依存した書式の固有ポリシー、フ アイァウォールの種類およびバージョンの情報を検查システム 200に送信する場合の 構成例を図 5に示す。
[0079] 本変形例において、クライアントシステム 100はポリシー抽出部 110と通信部 140と 結果出力部 160とを備える。結果出力部 160は、図 2に示す結果出力部 160と同様 である。
[0080] ポリシー抽出部 110は、ファイアウォール 300から設定情報を抽出し、設定情報に 含まれているファイアウォールポリシー（固有ポリシー）、およびファイアウォール 300 の種類やバージョンの情報を通信部 140に送る。ファイアウォール 300の種類ゃバ 一ジョンの情報は、クライアント企業のオペレータに予め入力されていてもよい。また 、設定情報とは別に、ファイアウォール 300から種類やバージョンの情報を抽出しても よい。
[0081] クライアントシステム 100の通信部 140は、ポリシー抽出部 140から送られた固有ポ リシ一、ファイアウォール 300の種類およびバージョンの情報を、インターネット 400を 介して検查システム 200に送信する。また、通信部 140は、検查システム 200から検 查結果を受信したときには、その検查結果を結果出力部 160に出力（例えば、表示 出力）させる。
[0082] また、本変形例において、検查システム 200は通信部 210とポリシー変換規則記憶 部 125と固有ポリシー記憶部 135とポリシー変換部 155と非固有ポリシー記憶部 225 と仮想 FW作成部 230と仮想 FW記憶部 240と FW検査部 250と検査知識 DB260と を備える。ポリシー変換規則記憶部 125は、図 1に示す構成におけるポリシー変換規 則記憶部 120と同様にポリシー変換規則を記憶する。仮想 FW作成部 230、仮想 F W記憶部 240、 FW検查部 250、検查知識 DB260は、それぞれ図 1に示す構成に おける仮想 FW作成部 230、仮想 FW記憶部 240、 FW検查部 250、検查知識 DB2 60と同様である。非固有ポリシー記憶部 225は、図 1に示す構成における検查シス テム 200のポリシー記憶部 220と同様に、非固有ポリシーを記憶する。
[0083] 検查システム 200の通信部 210は、クライアントシステム 100から受信した固有ポリ シー、ファイアウォール 300の種類およびバージョンの情報を、固有ポリシー記憶部 1 35に記憶させる。この他、固有ポリシーの受信時刻等も固有ポリシー記憶部 135に 記憶させてもよい。また、通信部 210は、各固有ポリシーを識別するための番号等を 固有ポリシーに付して固有ポリシー記憶部 135に記憶させてもよい。
[0084] 固有ポリシー記憶部 135は、固有ポリシー、ファイアウォール 300の種類およびバ 一ジョンの情報を記憶する。
[0085] ポリシー変換部 155は、ポリシー変換規則を参照して、固有ポリシーから非固有ポリ シ一への変換および非固有ポリシーから固有ポリシーへの変換を行う。通信部 210 によって固有ポリシー記憶部 135に固有ポリシーが記憶された後、ポリシー変換部 1 55は、その固有ポリシーとともに記憶されたファイア一ウォールの種類やバージョン に応じたポリシー変換規則をポリシー変換規則記憶部 125から読み込む。そして、そ のポリシー変換規則に基づいて、固有ポリシー記憶部 135に記憶された固有ポリシ 一を非固有ポリシーに変換して非固有ポリシー記憶部 225に記憶させる。なお、各固 有ポリシーを識別するために付加された情報 (番号等）は、変換後の非固有ポリシー にもそのまま付加される。
[0086] 非固有ポリシー記憶部 225に非固有ポリシーが記憶された後、仮想 FW作成部 23 0はステップ 1005と同様に仮想 FW500 (図 3参照）を作成し、 FW検查部 250はステ ップ 1006と同様に検查を実行する。攻撃となるパケットを通過させると検查時に判定 された場合、 FW検查部 250は、非固有ポリシー記憶部 225に記憶される非固有ポリ シ一に含まれるルールのうち、そのパケットを通過させるという判定結果を導いたル ールに対して、そのパケットの攻撃名称を付加する。
[0087] ポリシー変換部 155は、検査後に、非固有ポリシーに付加されている各固有ポリシ 一識別のための情報からファイアウォールの種類やバージョンを特定し、さらにその 種類やバージョンに応じたポリシー変換規則を読み込む。そして、非固有ポリシー記 憶部 225に記憶されている非固有ポリシーを固有ポリシーに変換する。非固有ポリシ 一に含まれるルールに攻撃名称が付加されている場合、その攻撃名称は変換時に そのまま残しておく。
[0088] 検查システム 200の通信部 210は、非固有ポリシーから変換された固有ポリシーを 検查結果としてクライアントシステム 100に送信する。検查時に非固有ポリシーに攻 撃名称が付加された場合、検査結果として送信される固有ポリシーにも攻撃名称が 付加されている。
[0089] クライアントシステム 100の通信部 140は、検査システム 200から検査結果を受信 すると、その検査結果を結果出力部 160に出力させる。
[0090] 本変形例において、ポリシー変換規則記憶部 125、固有ポリシー記憶部 135、およ び非固有ポリシー記憶部 125は、例えば、検査システム 200が備える記憶装置（図 示せず）によって実現される。ポリシー変換部 155は、例えば、プログラムに従って動 作する CPUによって実現される。
[0091] 本変形例では、ポリシー抽出手段はポリシー抽出部 110に相当する。変換手段お よび逆変換手段はポリシー変換部 155に相当する。検査知識記憶手段は検査知識 DB260に相当する。判定処理実行手段は検査システム 200の CPU (図示せず）に 相当する。仮想ファイアウォール生成手段は仮想 FW生成手段 230に相当する。検 查手段および検查結果生成手段は FW検查部 250に相当する。結果出力手段は結 果出力部 160に相当する。ポリシー受信手段および結果送信手段は検查システム 2 00の通信部 210に相当する。
[0092] 本変形例では、固有ポリシー、ファイアウォール 300の種類やバージョンの情報が サービス提供企業に知られることになるという点以外は、第 1の実施形態と同様の効 果が得られる。 [0093] また、検査システム 200をクライアントシステム 100と結合させて、クライアント企業ネ ットワーク 10に設置してもよレ、。このような構成の場合、検査システム 200の動作がク ライアント企業に知られることがないようにするため、ポリシー記憶部 220、仮想 FW記 憶部 240および検查知識 DB260に各種データを記憶させるときには、データを暗号 化して記憶させる。そして、ポリシー記憶部 220、仮想 FW記憶部 240および検查知 識 DB260に記憶されたデータを利用するときに、そのデータを復号して処理を行え ばよレ、。また、検查知識 DB260に検查知識を追加する場合には、検查知識がクライ アント企業に知られないように追加処理を行う。例えば、サービス提供企業の端末装 置（図示せず）力、ら検查システム 200に喑号ィ匕した検查知識を送信する。検查システ ム 200の通信部 210は、その検查知識を受信した場合、暗号化した状態のまま検查 知識 DB260に検查知識を追加記憶させる。
[0094] 第 2の実施形態
図 6は本実施形態におけるクライアントシステム（ファイアウォール情報抽出システム ) 100および検査システム 200の構成例を示すブロック図である。図 2に示す構成部 や装置と同様の構成部、装置については、図 2と同一の符号を付して説明を省略す る。
[0095] 検査システム 200は、図 2に示す検査知識 DB260の代わりに検査修正知識 DB28 0を備え、図 2に示す FW検査部 250の代わりに FW検査修正部 270を備える。
[0096] 検査修正知識 DB280は、検査修正知識を記憶する。検査修正知識は、検査パケ ットを通過させてしまうルールに対する修正方針情報を検査知識に追加したデータ である。修正方針情報は、非固有ポリシーのルールと同様の形式で記述されるが、 一部の要素が具体的に特定されていない。その具体的に特定されていない要素に 検查パケットを通過させてしまうルールの要素を当てはめることで、検查パケットを通 過させないルールになるように修正方針情報は記述されている。検查修正知識 DB2 80は、例えば、検查システム 200が備える記憶装置によって実現される。
[0097] FW検查修正部 270は、図 2に示す FW検查部 250と同一の処理を行う。 FW検查 修正部 270は、さらに、検查パケットを通過させると判定されたルールと修正方針情 報とを用いて、その検查パケットを通過させないルールを作成する。そして、そのル ールを追加することによって非固有ポリシーを修正する。 FW検査修正部 270は、例 えば、プログラムに従って動作する CPUによって実現される。
[0098] クライアントシステム 100は、図 2に示すポリシー逆変換部 150の代わりにポリシー 適用部 170を備える。ポリシー適用部 170は、修正結果 (本実施形態では、 FW検查 修正部 270によって検查および修正が行われた非固有ポリシー）を固有ポリシーに 変換し、その固有ポリシーを結果出力部 160に出力する。この処理は、図 2に示すポ リシ一逆変換部 150が実行する処理と同様に実行する。ポリシー適用部 170は、さら に、修正結果から変換した固有ポリシーをファイアウォール 300に適用する。
[0099] また、本実施形態では、通信部 140は、検查システム 200から受信した修正結果を ポリシー記憶部 130に記憶させる。ポリシー適用部 170は、固有ポリシーを一旦ファ ィァウォール 300に適用した後、ファイアウォールポリシーを再適用する指示がオペ レータから入力されると、その指示に応じてポリシー記憶部 130から修正結果を読み 込み、再度固有ポリシーへの変換処理および固有ポリシーをファイアウォール 300に 適用する処理を実行する。なお、ファイアウォールポリシーを再適用する指示は、例 えば、クライアントシステム 100が備えるキーボードやマウス等の入力デバイス（図示 せず）を介して入力される。
[0100] ここでは、修正結果から固有ポリシーへの変換を行って、その固有ポリシーをフアイ ァウォール 300に適用する場合を示した。ファイアウォールポリシーを再適用する指 示が入力された場合、ポリシー適用部 170は、ポリシー抽出部 110によって設定情 報中の固有ポリシーから変換された非固有ポリシー（修正される前の非固有ポリシー )を固有ポリシーに変換して、その固有ポリシーをファイアウォール 300に再適用して もよレ、。この場合、通信部 140は、検查システム 200から受信した修正結果をポリシ 一記憶部 130に記憶させておかなくてもよい。
[0101] ポリシー適用部 170は、例えば、プログラムに従って動作する CPUによって実現さ れる。
[0102] 次に、本実施形態の動作について説明する。図 7は本実施形態におけるファイアゥ オール検查システムの動作を示すフローチャートである。図 4に示す処理と同様の処 理については図 4と同一の符号を付して説明を省略する。 [0103] ステップ 1006が終了すると、検査システム 200のポリシー記憶部 220に記憶される 非固有ポリシーは、検査パケットを通過させると判定されたルールに攻撃名称が付加 された状態になっている。 FW検査修正部 270は、ルールに攻撃名称が付加された 非固有ポリシーを修正する（ステップ 1006a)。ステップ 1006aでは、 FW検查修正部 270は、非固有ポリシーに含まれる各ルールから攻撃名称が付加されているルール（ すなわち、検查パケットを通過させると判定されたルール）を取り出す。そして、その 攻撃名称に対応付けられた修正方針情報を検查修正知識 DB280から読み込む。 F W検查修正部 270は、攻撃名称が付加されたルールと修正方針情報とを用いて、そ の検查パケットを通過させない新たなルールを作成する。このとき、非固有ポリシーの ルールと同様の形式で記述されてレ、る修正方針情報にぉレ、て、特定されてレ、なレ、要 素に、検查パケットを通過させると判定されたルールの要素を当てはめることによって 、新たなルールを作成する。 FW検查修正部 270は、新たに作成したルールを、攻撃 名称が付加されたルールの前に挿入する。また、付加されていた攻撃名称を削除す る。この結果、新たに作成されたルールに基づいて、検査パケットを遮断するという判 定が行われるようになる。
[0104] なお、検査修正知識 DB280は、修正方針情報として「なし」という情報を含む検査 修正知識を記憶していてもよい。この場合、攻撃名称と対応付けられた修正方針情 報が「なし」という情報である場合がある。そのような場合には、攻撃名称が付加され たルール力 新たなルールを作成しなくてもよい。すなわち、攻撃名称が付加された ルール力 新たなルールを作成できない場合があってもよい。
[0105] FW検査修正部 270は、検査システム 200の通信部 210に修正結果（FW検查修 正部 270によって検查および修正が行われた非固有ポリシー）を送る。通信部 210 は、インターネット 400を介してクライアントシステム 100に修正結果を送信する（ステ ップ 1007)。この動作は、第 1の実施形態におけるステップ 1007の動作と同様であ る。
[0106] クライアントシステム 100の通信部 140は、検查システム 200の通信部 210力 修正 結果を受信し、その修正結果をポリシー適用部 170に渡す。また、通信部 140は、受 信した修正結果をポリシー記憶部 130に記憶させる。ポリシー適用部 170は、ポリシ 一記憶部 130から修正結果を読み込んでもよい。ポリシー適用部 170は、図 2に示 すポリシー逆変換部 150と同様に、ポリシー変換規則をポリシー変換規則記憶部 12 0から読み込む。そして、ポリシー適用部 170は、ポリシー変換規則を参照して、修正 結果に含まれている非固有ポリシーをファイアウォール 300に依存した書式の固有ポ リシ一に変換する。また、ポリシー適用部 170は、その固有ポリシーを結果出力部 16 0に出力（例えば、表示出力）させる（ステップ 1008a)。
[0107] なお、ステップ 1006で付加された攻撃名称の情報が修正結果に含まれている場 合には、その攻撃名称の情報も出力する。また、ステップ 1008aにおいて、ポリシー 適用部 170は、非固有ポリシーから変換された固有ポリシーをファイアウォール 300 に適用する。非固有ポリシーはステップ 1006aで修正されているので、その非固有ポ リシ一から変換された固有ポリシーは、元の固有ポリシーとは異なっている。この固有 ポリシーが適用されることにより、ファイアウォール 300のファイアウォールポリシーは 変更されることになる。具体的には、攻撃となるパケットを通過させないように変更さ れる。
[0108] また、クライアントシステム 100を設置したクライアント企業が一度でも検査サービス を受けた後には、クライアントシステム 100のポリシー記憶部 130には、修正された非 固有ポリシーが記憶されている。クライアント企業は、検査システム 200による検査サ 一ビスを再び受けなくても、ポリシー記憶部 300に記憶された非固有ポリシーに基づ いて、クライアント企業が所有するファイアウォール 300にファイアウォールポリシーの リストア（再適用）を行うことができる。ファイアウォールポリシーのリストアを行うのは、 例えば、ファイアウォールポリシーが何らかの原因で壊れたりした場合や、ファイアゥ オール 300の機種を変更した場合等である。ポリシー適用部 170は、入力デバイス（ 図示せず）からファイアウォールポリシーを再適用する指示が入力されると、ステップ 1008aの処理と同様に、ポリシー変換規則を読み込んで非固有ポリシーを固有ポリ シ一に変換し、その固有ポリシーをファイアウォール 300に再適用する。
[0109] なお、ファイアウォール 300の機種が変更されている場合には、以前に参照したポ リシ一変換規則とは異なるポリシー変換規則を用いて固有ポリシーへの変換を行う必 要がある。そのため、ファイアウォールポリシーの再適用を行う場合、ポリシー適用部 170は、入力デバイス（図示せず）を介して、ファイアウォールポリシーを再適用する 指示とともに、ファイアウォール 300の種類やバージョンの情報も入力される。ポリシ 一適用部 170は、入力されたファイアウォール 300の種類やバージョンの情報に応じ たポリシー変換規則を読み込み、そのポリシー変換規則を用いて固有ポリシーへの 変換を行えばよい。ファイアウォール 300の機種が変更されていない場合には、ファ ィァウォール 300の種類やバージョンの情報は入力されなくてもよレ、。この場合、ポリ シー適用部 170は、図 2に示すポリシー逆変換部 150と同様にポリシー変換規則を 特定すればよい。すなわち、ステップ 1003において、予めファイアウォールの種類や バージョンに対応する番号が非固有ポリシーに付加されるので、修正結果となる非固 有ポリシーに付加されている番号からファイアウォールの種類やバージョンを特定し、 さらにポリシー変換規則を特定すればよい。
[0110] また、ポリシー適用部 170は、ステップ 1002においてポリシー抽出部 110がポリシ 一記憶部 130に記憶させた非固有ポリシー（修正される前の非固有ポリシー）を固有 ポリシーに変換してファイアウォール 300に適用してもょレ、。ポリシー適用部 170は、 入力デバイス（図示せず）を介して、ファイアウォールポリシーを再適用する指示、ファ ィァウォール 300の種類およびバージョンの情報も入力されると、その種類やパージ ヨンの情報に応じたポリシー変換規則を読み込む。そして、ポリシー適用部 170は、 ステップ 1002においてポリシー記憶部 130に記憶された非固有ポリシーを、そのポリ シー変換規則を用いて固有ポリシーに変換する。ポリシー適用部 170は、その固有 ポリシーをファイアウォール 300に適用する。この場合、クライアントシステム 100の通 信部 140は、検査システム 200から受信した修正結果をポリシー記憶部 130に記憶 させておかなくてよい。
[0111] 本実施形態では、ポリシー抽出手段および変換手段はポリシー抽出部 110に相当 する。検查修正知識記憶手段は検查修正知識 DB280に相当する。判定処理実行 手段は検查システム 200の CPU (図示せず）に相当する。仮想ファイアウォール生成 手段は仮想 FW生成部 230に相当する。検查手段、検查結果生成手段、および修 正手段は FW検查修正部 270に相当する。逆変換手段はポリシー逆変換部 150に 相当する。結果出力手段は結果出力部 160に相当する。ポリシー適用手段はポリシ 一適用部 170に相当する。非固有ポリシー記憶手段はクライアントシステムのポリシ 一記憶部 130に相当する。指示入力手段はクライアントシステム 100が備える入力デ バイス（図示せず）に相当する。非固有ポリシー送信手段および修正結果受信手段 はクライアントシステム 100の通信手段 140に相当する。非固有ポリシー受信手段お よび修正結果送信手段は検查システム 200の通信部 210に相当する。
[0112] 本実施形態においても、第 1の実施形態と同様の効果に加えて、さらに、以下に示 す効果も得られる。
[0113] 本実施形態では、検查システム 200がクライアントシステム 100から非固有ポリシー を受信し、仮想 FWによる検査の後、 FW検查修正部 270が、検查パケットを通過さ せると判定されたルールと修正方針情報とを用いて、その検查パケットを通過させな い新たなルールを作成する。そして、そのルールを追加した非固有ポリシーをクライ アントシステム 100に送信する。クライアントシステム 100のポリシー適用部 170は、そ の非固有ポリシーを固有ポリシーに変換してファイアウォール 300に適用する。従つ て、ファイアウォールが必要以上にパケットを通過させるような状態であったとしても、 その状態を改善するための具体的な対応策をクライアント企業に与えることができる。
[0114] また、ファイアウォールポリシーを再適用する指示が入力されると、ポリシー適用部 1 70は、ポリシー記憶部 130に記憶された非固有ポリシーを固有ポリシーに変換し、そ の固有ポリシーをファイアウォール 300に適用する。従って、クライアント企業は、ファ ィァウォールポリシーが何らかの原因で壊れたりした場合や、ファイアウォール 300の 機種を変更した場合等に、ファイアウォールポリシーのリストアを容易に行うことができ る。また、ファイアウォール 300の機種を変更した場合であっても、ファイアウォールポ リシ一のリストアを容易に行えるので、クライアント企業は、ファイアウォール機器ゃフ アイァウォールソフトウェアの入れ替えを自由に行うことができる。
[0115] 第 1の実施形態で説明したように、クライアント企業が、ファイアウォールポリシーや ファイアウォール 300の種類やバージョンを公開してもよいと定めている場合、検查シ ステム 200にこれらの情報を送信して検查システム 200が非固有ポリシーへの変換 等を行ってもよレ、。以下、本実施の形態の変形例として、ファイアウォールの種類に 依存した書式の固有ポリシー、ファイアウォールの種類およびバージョンの情報を検 查システム 200に送信する場合の構成例を図 8に示す。
[0116] 図 8に示す構成例において、検査システム 200が備える通信部 210、ポリシー変換 規則記憶部 125、固有ポリシー記憶部 135、ポリシー変換部 155、および非固有ポリ シー記憶部 225は、それぞれ図 5 (第 1の実施形態の変形例）に示す通信部 210、ポ リシ一変換規則記憶部 125、固有ポリシー記憶部 135、ポリシー変換部 155、および 非固有ポリシー記憶部 225と同様である。また、検查システム 200が備える仮想 FW 作成部 230、仮想 FW記憶部 240、 FW検查修正部 270、および検查修正知識 DB2 80は、それぞれ図 6 (第 2の実施形態）に示す仮想 FW作成部 230、仮想 FW記憶部 240、 FW検查修正部 270、および検查修正知識 DB280と同様である。
[0117] また、クライアントシステム 100が備えるポリシー抽出部 110、通信部 140、および結 果出力部 160は、それぞれ図 5 (第 1の実施形態の変形例）に示すポリシー抽出部 1 10、通信部 140、および結果出力部 160と同様である。クライアントシステム 100が 備えるポリシー適用部 175は、図 6に示すポリシー適用部 170と同様である力 非固 有ポリシーから固有ポリシーへの変換は行わない。 FW検査修正部 270によって修 正された非固有ポリシーがポリシー変換部 155によって固有ポリシーに変換され、ク ライアントシステム 100がその固有ポリシーを受信すると、ポリシー適用部 175は、そ の固有ポリシーをファイアウォール 300に設定する。
[0118] 図 8に示すファイアウォール検査システムは、以下のように動作する。ポリシー抽出 部 110はファイアウォール 300から設定情報を抽出し、設定情報に含まれているファ ィァウォールポリシー（固有ポリシー）、およびファイアウォール 300の種類やバージョ ンの情報を通信部 140に送る。通信部 140は、固有ポリシー、ファイアウォール 300 の種類およびバージョンの情報を検查システム 200に送信する。
[0119] 検查システム 200の通信部 210は、クライアントシステム 100から受信した固有ポリ シー、ファイアウォール 300の種類およびバージョンの情報を、固有ポリシー記憶部 1 35に記憶させる。この他、固有ポリシーの受信時刻等も固有ポリシー記憶部 135に 記憶させてもよい。また、通信部 210は、各固有ポリシーを識別するための番号等を 固有ポリシーに付して固有ポリシー記憶部 135に記憶させてもよい。
[0120] 通信部 210によって固有ポリシー記憶部 135に固有ポリシーが記憶された後、ポリ シー変換部 155は、その固有ポリシーとともに記憶されたファイア一ウォールの種類 やバージョンに応じたポリシー変換規則をポリシー変換規則記憶部 125から読み込 む。そして、そのポリシー変換規則に基づいて、固有ポリシー記憶部 135に記憶され た固有ポリシーを非固有ポリシーに変換して非固有ポリシー記憶部 225に記憶させ る。なお、各固有ポリシーを識別するために付加された情報 (番号等）は、変換後の 非固有ポリシーにもそのまま付加される。
[0121] 非固有ポリシー記憶部 225に非固有ポリシーが記憶された後、仮想 FW作成部 23 0は仮想 FW500を作成し、 FW検查修正部 270はステップ 1006と同様に検查を実 行する。さらに、 FW検查修正部 270はステップ 1006aと同様に非固有ポリシーを修 正する。 FW検查修正部 270は、修正結果を非固有ポリシー記憶部 225に記憶させ る。
[0122] ポリシー変換部 155は、非固有ポリシーの修正後に、非固有ポリシーに付加されて レ、る各固有ポリシー識別のための情報からファイアウォールの種類やバージョンを特 定し、さらにその種類やバージョンに応じたポリシー変換規則を読み込む。そして、 非固有ポリシー記憶部 225に記憶されている非固有ポリシーを固有ポリシーに変換 する。非固有ポリシーに含まれるルールに攻撃名称が付加されている場合、その攻 撃名称は変換時にそのまま残しておく。
[0123] 検査システム 200の通信部 210は、非固有ポリシーから変換された固有ポリシーを 修正結果としてクライアントシステム 100に送信する。固有ポリシーに含まれるルール に攻撃名称が付加されている場合、その攻撃名称も固有ポリシーとともに送信する。
[0124] クライアントシステム 100の通信部 140は、検査システム 200から修正結果を受信 すると、その修正結果を結果出力部 160に出力させる。また、通信部 140は、修正結 果をポリシー適用部 175に渡し、ポリシー適用部 175は、修正結果に含まれている固 有ポリシーをファイアウォール 300に適用する。
[0125] クライアントシステム 100の通信部 140は、入力デバイス（図示せず）を介して、ファ ィァウォールポリシーを再適用する指示が入力されると、その指示を検查システム 20 0に送信する。このとき、ファイアウォール 300の種類やバージョンの情報も入力され 、その種類やバージョンの情報も送信してもよレ、。検查システム 200の通信部 210は 、クライアントシステム 100から指示を受信すると、ポリシー変換部 155に、修正後の 非固有ポリシーを固有ポリシーに変換させる。そして、通信部 210は、その固有ポリシ 一をクライアント装置 100に送信する。クライアントシステム 100の通信部 140は、固 有ポリシーを受信するとポリシー適用部 175に渡し、ポリシー適用部 175は、固有ポリ シーをファイアウォール 300に再適用する。
[0126] また、修正前の非固有ポリシーに基づいてファイアウォールポリシーの再適用を行 つてもよレ、。この場合、検查システム 200の通信部 210は、クライアントシステム 100 から、ファイアウォールポリシーを再適用する指示およびファイアウォール 300の種類 やバージョンの情報を受信すると、ポリシー変換部 155に、その種類やバージョンの 情報に応じたポリシー変換規則を読み込ませる。ポリシー変換部 155は、そのポリシ 一変換規則を用いて、非固有ポリシー記憶部 225に記憶されている修正前の非固有 ポリシーを固有ポリシーに変換する。そして、通信部 210は、その固有ポリシーをクラ イアント装置 100に送信する。固有ポリシーを受信したクライアントシステム 100は、 既に説明したように、その固有ポリシーをファイアウォール 300に再設定する。修正前 の非固有ポリシーに基づいてファイアウォールポリシーの再適用を行う場合、 FW検 查修正部 270は、修正結果を非固有ポリシー記憶部 225に記憶させなくてよい。
[0127] 本変形例では、ポリシー抽出手段はポリシー抽出部 110に相当する。変換手段お よび逆変換手段はポリシー変換部 155に相当する。検査修正知識記憶手段は検査 修正知識 DB280に相当する。判定処理実行手段は検査システム 200の CPU (図示 せず）に相当する。仮想ファイアウォール生成手段は仮想 FW生成部 230に相当す る。検査手段、検査結果生成手段、および修正手段は FW検査修正部 270に相当 する。結果出力手段は結果出力部 160に相当する。ポリシー適用手段はポリシー適 用部 175に相当する。非固有ポリシー記憶手段は非固有ポリシー記憶部 225に相当 する。指示入力手段はクライアントシステム 100が備える入力デバイス（図示せず）に 相当する。ポリシー受信手段および修正後ポリシー送信手段は、検查システム 200 の通信部 210に相当する。
[0128] 本変形例では、固有ポリシー、ファイアウォール 300の種類やバージョンの情報が サービス提供企業に知られることになるという点以外は、第 2の実施形態と同様の効 果が得られる。
[0129] また、検査システム 200をクライアントシステム 100と結合させて、クライアント企業ネ ットワーク 10に設置してもよレ、。このような構成の場合、検査システム 200の動作がク ライアント企業に知られることがないようにするため、ポリシー記憶部 220、仮想 FW記 憶部 240および検查修正知識 DB280に各種データを記憶させるときには、データを 暗号化して記憶させる。そして、ポリシー記憶部 220、仮想 FW記憶部 240および検 查修正知識 DB280に記憶されたデータを利用するときに、そのデータを復号して処 理を行えばよい。また、検查修正知識 DB280に検查修正知識を追加する場合には 、検查修正知識がクライアント企業に知られないように追加処理を行う。例えば、サー ビス提供企業の端末装置（図示せず)から検査システム 200に喑号ィ匕した検査修正 知識を送信する。検查システム 200の通信部 210は、その検查修正知識を受信した 場合、暗号化した状態のまま検查修正知識 DB280に検查修正知識を追加記憶させ る。
[0130] 第 1の具体例
第 1の実施形態の具体例を示す。ここでは、図 2に示すクライアントシステム 100と 検査システム 200とを備えたファイアウォール検査システムを例にして説明する。ファ ィァウォール検査サービスを提供するサービス提供企業は、検査サービスを受けるク ライアント企業にクライアントシステム 100を販売する。また、クライアント企業はサービ ス提供企業にサービス対価を支払う。クライアント企業はクライアント企業ネットワーク 10 (図 1参照）の中のファイアウォール 300にアクセス可能なネットワークセグメントに
[0131] クライアントシステム 100のポリシー抽出部 110は、クライアント企業ネットワーク 10 のファイアウォール 300から設定情報を抽出する（図 4に示すステップ 1001)。ポリシ 一抽出部 110は、例えば、定期的に設定情報を抽出する。あるいは、クライアント企 業のオペレータから設定情報の抽出指示が入力されたときに設定情報を抽出しても よい。また、ポリシー抽出部 110は、クライアント企業とサービス提供企業との契約で 定めたタイミイングで設定情報抽出処理を開始するように予め設定され、そのタイミン グになったときに設定情報の抽出処理を開始してもよい。 [0132] 続いて、ポリシー抽出部 110は、設定情報に含まれる固有ポリシーを非固有ポリシ 一に変換する（図 4に示すステップ 1002)。固有ポリシーの例を図 9 (a)に示し、図 9 ( a)に示す固有ポリシーから変換した非固有ポリシーの例を図 9 (b)に示す。
[0133] 本例では、ファイアウォール 300が、 iptables (ソフトウェアの製品名）に従って動作し てレ、るものとする。図 9 (a)に例示する iptablesのファイアウォールポリシー（固有ポリシ 一）は、 5つのルールを含んでいる。図 9 (a)の先頭行（第 01行）のルールは、デフォ ルトルールと呼ばれるルールである。デフォルトルールは、通過させるか否かの判定 対象となるパケットがデフォルトルール以外のルールに合致しなかったときにファイア ウォールの動作を規定するルールである。図 9 (a)に示すデフォルトルールは、バケツ トを全て遮断（drop)すると規定している。また、 iptablesのファイアウォールポリシーで は、「- p」は tcpや udp等のプロトコルの指定する記号であり、指定されるプロトコル力 S「 -p」の次に記述される。 「- p」および「- p」に続くプロトコルの記述がない場合には、パ ケットのプロトコルについては特に限定しないことを意味する。 「- s」は送信元アドレス を指定する記号であり、指定される送信元アドレスが「- s」の次に記述される。 「- d」は 送信先アドレスを指定する記号であり、指定される送信先アドレスが「- d」の次に記述 される。「- dport」は送信先ポート番号を指定する記号であり、送信先ポート番号が「- dportjの次に記述される。 「- dport」および「- dport」に続く送信先ポート番号の記述 がない場合には、送信先ポート番号については特に限定しないことを意味する。「 」 は、プロトコル、送信元アドレス、送信先アドレス、送信先ポート番号等が指定したも のに合致したパケットに対するアクション (通過させるか遮断するか）を指定する記号 である。通過させる場合には、「- の次に「acc印 t」が記述される。遮断する場合には 、「つ'」の次に「drop」が記述される。例えば、図 9 (a)に示す第 02行のルールは、プロ トコルは限定せず、送信元アドレスが 0/0、すなわち任意の IPアドレス空間であり、送 信先アドレスが 192.168.1.1であり、送信先ポート番号が「53 (名前解決サービスが割 り当てられてレ、るポート番号）」であるパケットは通過（accept)させるとレ、うルールであ る。第 03行以降のルールも同様に、パケットを通過させる条件を定めている。
[0134] ポリシー抽出部 110は、ファイアウォール 300の種類やバージョンの情報に対応す るポリシー変換規則をポリシー変換規則記憶部 120から読み込む。そして、そのポリ シー変換規則を参照して、図 9 (a)に例示する固有ポリシーを図 9 (b)に例示する非 固有ポリシーに変換する。なお、ファイアウォール 300の種類やバージョンの情報は 、例えば、設定情報に含まれている。
[0135] 本具体例では、非固有ポリシーにおいてデフォルトルールは最終行に記述されるも のとする。従って、図 9 (a)の第 01行のデフォルトルールは、図 9 (b)に示す非固有ポ リシ一では最終行（第 05行）に記述されている。非固有ポリシーに含まれる各ルール は、（SA1、 SA2、 SP1、 SP2、 DA1、 DA2、 DPI , DP2、 Pl、 P2、 A)とレヽぅ形式で 記述される。この形式において「SA1」は、送信元アドレスの開始アドレスを示す。 「S A2」は、送信元アドレスの終了アドレスを示す。 「SP1」は、送信元ポート番号の開始 ポート番号を示す。 「SP2」は、送信元ポート番号の終了ポート番号を示す。「DA1」 は、送信先アドレスの開始アドレスを示す。「DA2」は、送信先アドレスの終了アドレス を示す。 「DP1」は、送信先ポート番号の開始ポート番号を示す。 「DP2」は、送信先 ポート番号の終了ポート番号を示す。 「P1」はプロトコルの開始ナンバーを示し、「P2 」はプロトコルの終了ナンバーを示す。ここで、プロトコルの番号「1」は TCPを表し、「 2」は UDPを表すものとする。従って、 P1が「1」であり、 P2が「2」である場合、プロトコ ルとして TCPおよび UDPを示していることになる。「A」はパケットに対するアクション を示し、「A」として allow (通過させる）または deny (遮断する）のいずれかが記述され る。なお、図 9 (a)に示す各ルールでは、送信元ポート番号が指定されていないので 、非固有ポリシーでは、 SP1を「1」とし、 SP2を「65535」として、送信元ポート番号の 取りうる値全てを指定している。
[0136] ポリシー抽出部 110は、固有ポリシーから変換した非固有ポリシーをポリシー記憶 部 130に記憶させる。図 10は、クライアントシステム 100のポリシー記憶部 130が記 憶する情報の例を示す説明図である。図 10に示すように、ポリシー抽出部 110は、 非固有ポリシーとともに、付帯情報 131として、非固有ポリシーを記憶させた日時、フ アイァウォールの種類およびバージョンもポリシー記憶部 130に記憶させる。図 10に 示す例では、ファイアウォールの種類としてソフトウェアの種類を記憶させていて、具 体的には「iptables」という製品名を記憶させている。また、バージョンとして「1.13.9」と レ、う情報を記憶させている。 [0137] 次にクライアントシステム 100の通信部 140は、ポリシー記憶部 130から非固有ポリ シーを読み込んで、検査システム 200に送信する（図 4に示すステップ 1003)。ここ で通信部 140は、ポリシー記憶部 130に記憶された非固有ポリシーと付帯情報 131 のうち、非固有ポリシーを送信する。通信部 140は、付帯情報 131そのものは送信せ ず、非固有ポリシーを送信する度に連番となる番号を非固有ポリシーに付加して送 信する。そして、その番号とファイアウォール 300の種類やバージョン情報とを対応付 けて、例えば、ポリシー記憶部 130に記憶させる。また、通信部 140は、クライアント 企業を識別するための ID (以下、ユーザ IDと記す。）も、非固有ポリシーとともに送信 する。ユーザ IDは、例えば、キーボート等の入力デバイス（図示せず）を介してォペレ ータから予め入力され、クライアントシステム 100が備える記憶装置（図示せず）に記 憶させておけばよい。
[0138] 検查システム 200の通信部 210は、クライアントシステム 100から非固有ポリシーお よびユーザ IDを受信し、受信した非固有ポリシーおよびユーザ IDをポリシー記憶部 220に記憶させる（図 4に示すステップ 1004)。図 11は、検査システム 200のポリシ 一記憶部 220が記憶する情報の例を示す説明図である。図 11に示す例では、ポリシ 一記憶手段 220は、ユーザ IDである「NEC KL」、非固有ポリシー、および非固有ポリ シーを記憶した日時の情報をデータ 221として記憶している。同様に、ユーザ IDが「 AAA」であるクライアント企業から受信した情報もデータ 222として記憶している。
[0139] 次に、検査システム 200の仮想 FW作成部 230は、ポリシー記憶部 220に記録され てレ、る非固有ポリシーを用いて仮想 FWを作成し、仮想 FW記憶部 240に記憶させる (図 4に示すステップ 1005)。仮想 FW作成部 230は、非固有ポリシー 1つにつき 1つ の仮想 FWを作成する。非固有ポリシーが複数ある場合、すなわちクライアント企業 が複数存在し各クライアント企業から受信した各非固有ポリシーがそれぞれポリシー 記憶部 220に記憶されている場合、仮想 FW作成部 230は、非固有ポリシー毎に別 々に仮想 FWを作成する。なお、仮想 FWは、 FW実行命令 520 (図 3参照）に非固有 ポリシー 510 (図 3参照）を付カ卩することにより作成される。 FW実行命令 520の部分 は、各仮想 FWにおいて共通である。サービス提供企業が検查サービスを提供する クライアント企業は複数あるため、あるクライアント企業の非固有ポリシーが別のクライ アント企業に流出しないように、ユーザ ID等を用いて管理する。各クライアント企業毎 に、検査を実施する動作の詳細につレ、ては後述する。
[0140] FW検査部 250は、仮想 FW500 (図 3参照）を起動し、クライアント企業のファイアゥ オール 300の検查を行う（図 4に示すステップ 1006)。
[0141] 検查処理の説明の前にまず、検查知識 DB260が記憶する検查知識の例について 説明する。図 12は、検查知識 DB260が記憶する検查知識の例を示す説明図である 。図 12に例示する各検查知識 261， 262は、それぞれ、「攻撃 ID」、「説明」、「バケツ ト」、「補足」という情報を含んでいる。「攻撃 ID」は、検査知識を一意に同定するため の IDである。 「説明」は、攻撃の名称を示している。 「パケット」は、検查パケットである 。 「補足」は、攻撃により感染する装置等を示す補足的事項である。ただし、検査知識 に「攻撃 ID」や「補足」が含まれていなくてもよぐ検査知識の本質は、攻撃そのもの を表すデータ、あるいは、攻撃の属性を表すデータ（すなわち検查パケット）である。
[0142] 検査知識に含まれるパケット（検査パケット）は、非固有ポリシーに含まれるルールと ほぼ同様の形式で記述され、（SA1、 SA2、 SP1、 SP2、 DAI , DA2、 DPI , DP2、 Pl、 P2、 C)という形式で記述される。最後の「C」以外の要素の意味は、非固有ポリ シ一に含まれるルールの要素と同じである。 「C」は、検査パケットのペイロード（中身） に該当し、具体的には攻撃コードである。 「C」として、任意を表す「*」が記述されて いてもよい。あるいは、攻撃コードが記述されていてもよい。図 12に示す例では、攻 撃コードそのものではなく「*」が記述され、攻撃コードを限定していない場合を示し ている。また、図 12に示す例では、「SA1 (送信元アドレスの開始アドレス）」、 「SA2 ( 送信元アドレスの終了アドレス）」、 「DA1 (送信先アドレスの開始アドレス）」、 「DA2 ( 送信先アドレスの終了アドレス）」としても、任意を表す「*」が記述されている。
[0143] 検查パケットにおける「C」以外の部分は、検查パケットの属性 (攻撃の属性）を表す 部分である。
[0144] 図 13は、仮想 FW500に従って動作する検查システム 200の CPU (図示せず）によ るパケットを通過させるか否かの判定処理を示すフローチャートである。 FW検查部 2 50は、検查知識 DB260から、検查パケットを読み込む。 FW検查部 250は、検查パ ケットを、仮想 FW500に従う CPU (図示せず）に渡す。 CPUは、検查パケットを受け 取る（ステップ 1051)。例えば、 FW検査部 250が RAM (図示せず）に検査パケットを 書き込み、 CPUがその検査パケットを読み込む。
[0145] 続いて、 CPUは、検査パケットの属性 (ペイロードに該当する「C」以外の部分）を取 り出す (ステップ 1052)。すなわち、検查パケット中の送信元アドレスの範囲、送信元 ポート番号の範囲、送信先アドレスの範囲、送信先ポート番号の範囲、およびプロト コルの範囲を示す部分を取り出す。そして、 CPUは、仮想 FW500に含まれる非固 有ポリシー 510 (図 3参照）力 ルールを一つ取り出す（ステップ 1053)。 CPUは、 ステップ 1053に移行するたびにルールを一つ取り出す。このとき CPUは、非固有ポ リシ一 510の先頭のルール力も順番に取り出す。従って、最初にステップ 1053に移 行したときには、先頭のルールを取り出す。ステップ 1053の後、 CPUは、ルールの 取り出しに成功したか否かを判定し (ステップ 1054)、失敗した場合 (ノレールを取り出 せなかった場合）には、パケットを通過させるか否かの判定処理を終了する。
[0146] ルールの取り出しに成功した場合、 CPUは、ステップ 1052で取り出した検査バケツ トの属性力、ステップ 1053で取り出したルールに合致するか否かを判定する（ステツ プ 1055)。合致しない場合には、ステップ 1053に移行し、ステップ 1053以降の動作 を繰り返す。検査パケットの属性力 取り出したルールに合致する場合には、 CPUは 、そのルールからアクション（非固有ポリシーのルールにおける最後の要素「A」）を取 り出す（ステップ 1056)。そして、 CPUは、そのアクションが「allow」であるか否かを判 定する（ステップ 1057)。 CPUは、アクションが「allow」である場合には、取り出したル ールによって検査パケットが通過させる旨の結果と、その結果を導いたルール (すな わち検査パケットの属性に合致したルール）を FW検査部 250に渡す (ステップ 1058 )。また、 CPUは、アクション力 deny」である場合には、取り出したルールによって検 查パケットを遮断する旨の結果と、その結果を導いたルールを FW検查部 250に渡 す（ステップ 1059)。ステップ 1058またはステップ 1059を実行することにより、一つ の検查パケットについての判定処理を終了する。
[0147] FW検查部 250は、検查知識 DB260から検查知識を順に取り出し、検查知識に含 まれている検查パケットを仮想 FW500に従って動作する CPUに渡す。そして、仮想 FW500に従って動作する CPUから、検查パケットを通過させる旨の結果あるいは検 查パケットを遮断する旨の結果、およびその結果を導いたルールを受け取る。 FW検 查部 250は、検査パケットを通過させる旨の結果およびその結果を導いたルールを 受け取った場合、その検査パケットに対応する攻撃の名称 (例えば、図 12に例示す る「Code Red」等）を、ルールポリシー記憶部 220が記憶している非固有ポリシー内に おけるそのルールに対して追加記述する。
[0148] 非固有ポリシーに攻撃名称を付加することにより検查結果を作成するまでの具体例 を以下に示す。ここでは、ステップ 1005で作成された仮想 FW500に、図 14に例示 する非固有ポリシー 510が含まれているとする。図 14に示す非固有ポリシー 510は、 5つのノレ一ノレ 510a〜510eを含んでレヽる。
[0149] FW検查部 250は検查知識 DB260から検查知識を順に取り出す。ここではまず攻 撃 IDが「2001-00255」の検查知識 261 (図 12参照）を取り出したとする。 FW検查手 段 250は、検查知識 261に含まれる検查パケットを、仮想 FW500に従って動作する CPUに渡す。 CPUは、その検査パケットを読み込み（ステップ 1051)、検査パケット の属性を取り出す (ステップ 1052)。 CPUは、検査パケットの属性として、送信元アド レスの範囲（SA1と SA2)、送信元ポート番号の範囲（SP1と SP2)、送信先アドレス の範囲（DA1と DA2)、送信先ポート番号の範囲（DPIと DP2)、プロトコルの範囲（ P1と P2)を取り出す。
[0150] 続いて CPUは、仮想 FWに含まれる非固有ポリシー 510から一つのルールを取り 出す（ステップ 1053)。最初にステップ 1053に移行したときには、先頭のルール 510 a (図 14参照）を取り出す。次のステップ 1054ではルールの取り出しに成功したと判 定し、検査パケットの属性力 取り出したルール 510aに合致するか否かを判定する（ ステップ 1055)。ステップ 1055では、ルールの属性である送信元アドレスの範囲（S A1と SA2)、送信元ポート番号の範囲（SP1と SP2)、送信先アドレスの範囲（DA1と DA2)、送信先ポート番号の範囲（DPIと DP2)、プロトコルの範囲（P1と P2)の各範 囲の中に検查パケットの属性がそれぞれ収まっているか否かにより判定する。ルール の属性の各範囲の中に検查パケットの属性がそれぞれ収まっていれば合致すると判 定し、収まっていなければ合致しないと判定する。また、 CPUは、「*」と記述された 属性は、任意の範囲に収まると判定する。検查知識 261の検查パケットの属性（図 1 2参照）と、ルール 510aの属性（図 14参照）とを比較すると、検査パケットにおける送 信元アドレスの範囲、送信元ポート番号の範囲、送信先アドレスの範囲は、それぞれ ルール 510aに記述された範囲に収まっている。また、検査パケットで指定されたプロ トコルは「1 (TCPを表す。）」であり、ルール 510aで指定されたプロトコルは、「1」およ び「2 (UDPを表す。）」である。従って、プロトコノレも、ルール 510aに記述された範囲 に収まっている。しかし、検查パケットで指定された送信先ポート番号の範囲が「80 〜80」であるのに対し、ルール 510aで指定された送信先ポート番号の範囲は「53〜 53」である。よって、検查パケットで指定された送信先ポート番号の範囲は、ノレ一ノレ 5 10aで指定された範囲に収まっていなレ、。このため、検查知識 261の検查パケットと ルール 510aとは合致しなレ、と判定し、ステップ 1053に移行する。ステップ 1053に移 行する度に、順番に一つずつルールを取り出し、ステップ 1053以降の処理を繰り返 す。
[0151] 本例では、ステップ 1053で図 14に示す 3番目のルール 510cを取り出したときに、 検査パケットの属性がルール 510cに合致すると判定することになる。すると、ステツ プ 1056に移行し、 CPUiまノレ一ノレ 510cのアクションを取り出す（ステップ 1056)。ノレ ール 510cのアクションは「allow」であるので（図 14参照）、ステップ 1057の判定処理 では「Yes」と判定され、ステップ 1058に移行する。すなわち、 CPUは、 FW検査部 2 50から渡された検査パケットはルール 510cによって通過となる旨の情報を FW検査 部 250に渡す。
[0152] 同様に、 FW検査部 250から検査知識 262の検査パケット（図 12参照）が渡された 場合、仮想 FWに従って動作する CPUは、その検査パケットはルール 540d (図 14参 照）によって通過となる旨の情報を FW検查部 250に渡す。
[0153] 検查知識 DB260の検查知識の検查パケットの属性は、デフォルトルール（非固有 ポリシーにおける最後のルール、図 14に示す例ではルール 510e)に必ず合致する 。従って、 FW検查部 250から渡される全ての検查パケットについて、通過または遮 断の結果が得られる。なお、図 13に示すフローチャートにおいて、ステップ 104で「N o」と判定された場合には通過または遮断の結果を出力することなく処理を終了する 力 この終了態様は、非固有ポリシー 510内にルールが一つもないという検查不能な (異常な)場合に生じる。
[0154] FW検査部 250は、通過または遮断の判定結果およびその判定結果を導いたルー ルの情報を得ると、ポリシー記憶部 220から非固有ポリシーを読み込む。そして、 FW 検查部 250は、その非固有ポリシーに含まれるルールのうち、検查パケットを通過さ せるという判定結果を導いたルールに、検查パケットに対応する攻撃の名称を付カロ する。本例では、非固有ポリシーに攻撃の名称を付加したものが検查結果となる。検 查結果の例を図 15に示す。既に示したように、 3番目のルールによって、検查知識 2 61 (図 12参照）の検查パケットを通過することになり、 4番目のルールによって、検查 知識 262の検查パケットを通過させることになる。従って、図 15に示すように、 FW検 查部 250は、検查知識 261に含まれる攻撃の名称「Code Red」を 3番目のルールに 付加する。同様に、検查知識 262に含まれる攻撃の名称「SQL Slammer」を 4番目の ルールに付加する。図 15に示す例では文字列「Alert」とともに攻撃の名称を付加し ている。この結果、図 15に示す検査結果は、 3番目のルールが検査知識 261の攻撃 (Code Red)を通過させてしまう可能性があり、 4番目のルールが検査知識 262の攻 撃（SQL
Slammer )を通過させてしまう可能性があることを表す。
[0155] FW検査部 250は、この検査結果を通信部 210に送る。検査システム 200の通信部
210は FW検査部 250から送られた検査結果をクライアントシステム 100に送信する（ 図 4に示すステップ 1007)。
[0156] クライアントシステム 100の通信部 140は、検査システム 200から送られた検査結果 を受信し、検査結果をポリシー逆変換部 150に送る。ここでは通信部 140が検査結 果を直接ポリシー逆変換部 150に送るとしている力 通信部 140が検查結果をポリシ 一記憶部 130に記憶させ、ポリシー逆変換部 150がポリシー記憶部 130から検查結 果を読み込んでもよい。
[0157] また、図 15では図示を省略している力 検查結果には、クライアントシステム 100の 通信部 140が非固有ポリシー送信時 (ステップ 1003)で付加した番号がそのまま付 加されている。ポリシー逆変換部 150は、その番号に基づいてファイアウォール 300 の種類やバージョン情報を特定し、その種類やバージョンに応じたポリシー変換規則 をポリシー変換規則記憶部 120から読み込む。ポリシー逆変換部 150は、その変換 規則に基づいて、検査システム 200から受信した検査結果に含まれる非固有ポリシ 一を固有ポリシーに変換する。このとき、検査結果に含まれている攻撃の名称はその まま残す。この結果、図 16に示すように、ルールに攻撃の名称が付加された固有ポリ シ一が得られる。ポリシー逆変換部 150は、ルールに攻撃の名称が付加された固有 ポリシーを結果出力部 160に出力（例えば表示出力）させる（図 4に示すステップ 100 8)。この結果、どのルールがどの攻撃を通過させてしまうのかをクライアント企業に提 示すること力 Sできる。
[0158] クライアント企業のクライアントシステム 100の利用者は出力された結果を参考にフ アイァウォール 300のファイアウォールポリシーを修正する。
[0159] 以上の具体例では、クライアントシステム 100の通信部 140と検查システム 200の 通信部 210とが相互に通信する非固有ポリシーゃ検查結果はインターネット 400上 を平文で送受信されるものとしていた。クライアントシステム 100の通信部 140が非固 有ポリシーを暗号化して送信し、検査システム 200の通信部 210が受信した非固有 ポリシーを復号する構成でもよい。同様に、検査システム 200の通信部 210が検査結 果を暗号化して送信し、クライアントシステム 100の通信部 140が受信した検査結果 を復号する構成でもよい。このような構成により、送受信する非固有ポリシーや検査 結果の秘匿性を高めることができる。
[0160] 次に、クライアント企業が複数存在する場合に、クライアント企業毎に検査を実施す る動作について説明する。図 17は、クライアント企業毎に仮想 FWを作成し検査を実 施する状況を示す説明図である。検査システム 200の通信部 210は、例えば、クライ アントシステム 100から検查要求を受け、検查要求を受ける旨の回答をクライアントシ ステム 100に送信した後、クライアントシステム 100から非固有ポリシーおよびユーザ I D (本例では「NEC KL」とする。）を受信する。なお、ユーザ IDは、非固有ポリシーと 同時に受信しなくてもよい。例えば、検查要求を受けるときに、クライアントシステム 10 0に対する認証を行い、その認証時にユーザ IDを受信し、その後に非固有ポリシー を受信してもよい。
[0161] 通信部 210は、受信した非固有ポリシーとユーザ IDとを対応付けてポリシー記憶部 220に記憶させる。例えば、図 11に例示するデータ 221のように記憶させる。仮想 F W作成部 230は、ポリシー記憶部 220から非固有ポリシーとユーザ IDを読み込み、 非固有ポリシーを用いて仮想 FW500を作成する。このとき、仮想 FW500のファイル 名にユーザ IDを用いる。例えば、「NEC Kし vf」とレ、うファイル名の仮想 FW500を作 成し、仮想 FW記憶部 240に記憶させる。 FW検查部 250は、「NEC Kし vf」とレ、ぅフ アイル名の仮想 FW500を起動させ、検查を行う。この結果、「NEC KL」というユーザ I Dを持つクライアント企業のファイアウォールの検査が実行される。このように、クライ アント企業のユーザ ID毎に仮想 FW500を作成することで、非固有ポリシーが他のク ライアント企業に流出することを防止できる。なお、ここでは、仮想 FW500のファイル 名にユーザ IDを用レ、る場合を示したが、ファイル名にユーザ IDを用いなくてもよい。 各仮想 FW500を識別可能なファイル名を各仮想 FW500に付与し、各ファイル名と ユーザ IDとを対応付けて記憶することにより、各仮想 FWのファイルがどのクライアン ト企業の仮想 FWであるのかを認識可能な構成としてもよい。
[0162] 第 2の具体例
第 2の実施形態の具体例を示す。ここでは、図 6に示すクライアントシステム 100と 検査システム 200とを備えたファイアウォール検査システムを例にして説明する。 FW 検査修正部 270が、検査を実行するまでの動作（図 7に示すステップ 1001〜ステツ プ 1006までの動作）は、第 1の具体例と同様であるので省略する。
[0163] FW検査修正部 270による非固有ポリシーの修正処理の説明の前に、検査修正知 識 DB280が記憶する検査修正知識の例について説明する。図 18は、検査修正知 識 DB280が記憶する検査修正知識の例を示す説明図である。図 18に例示する各 検查修正知識 281 , 282は、それぞれ、「攻撃 ID」、「説明」、「パケット」、「修正方針」 、「補足」という情報を含んでいる。 「攻撃 ID」、「説明」、「パケット」、および「補足」は、 それぞれ第 1の具体例で示した検査知識（図 12参照）に含まれる情報と同様の情報 である。 「修正方針」は、検查パケットを通過させてしまうルールに対する修正方針情 報である。検查修正知識には、修正方針として「なし」という情報が含まれていてもよ レ、（図 18に示す検查修正 281参照）。
[0164] 「なし」以外の修正方針情報は、第 1の具体例で示した非固有ポリシーに含まれる ルールと同じ形式で記述される。すなわち、修正方針は、（SA1、 SA2、 SP1、 SP2 、 DAI , DA2、 DPI , DP2、 Pl、 P2、 A)という形式で記述される。 SA1力ら Aまで の各要素の意味は、第 1の具体例で説明した通りである。検査パケットを通過させて しまうルールからその検查パケットを遮断する新たなルールを作成するための修正方 針では、「A (アクション)」として「deny」が記述される。また、修正方針情報に含まれる 一部の要素は、例えば「*」と記述され、具体的に特定されていない。
[0165] このような検查修正知識を用いて、 FW検查修正部 270は、検查後（ステップ 1006 後）の非固有ポリシーを修正する（図 7に示すステップ 1006a)。図 19は、非固有ポリ シ一の修正処理（ステップ 1006a)を示すフローチャートである。以下、ステップ 1006 の検查により図 15に示す検查結果が得られた場合を例にして、検查結果に含まれる 非固有ポリシーの修正処理を説明する。
[0166] FW検查修正部 270は、まずステップ 1006の検查結果力、ら攻撃（検查パケット）を 通過させると判定されたルールを一つ取り出す (ステップ 1071)。 FW検査修正部 27 0は、ステップ 1071において、攻撃名称が付加されているルールを取り出せばよい。 本例では、最初にステップ 1071に移行したときに、図 15に示す第 03行のルールを 取り出す。続いて、 FW検査修正部 270は、ルールの取り出しに成功したか否かを判 定する（ステップ 1072)。攻撃を通過させると判定されたルールが全て取り出し済み であり、取り出すべきルールが存在しなかった場合には、ルールの取り出しに失敗し たと判定し、処理を終了する。
[0167] 攻撃を通過させると判定されたルールの取り出しに成功したと判定した場合には、 ステップ 1073に移行する。 FW検査修正部 270は、ステップ 1073において、攻撃を 通過させると判定されたルールに付加された攻撃名称に対応する修正方針情報を 検查修正知識 DB280から読み込む（ステップ 1073)。図 15に示す第 03行のルー ノレには、 rcode Red」という攻撃名称が付加されているので、この攻撃名称に対応す る修正方針情報（図 18に示す検査修正知識 281に含まれる修正方針情報)を読み 込む。
[0168] 続いて、 FW検查修正部 270は、読み込んだ修正方針情報が「なし」となっているか どうかを判定する（ステップ 1074)。修正方針情報が「なし」となっていなければ、ステ ップ 1075に移行する。修正方針情報が「なし」でなければ、ステップ 1071に移行し、 ステップ 1071以降の動作を繰り返す。本例では、検査修正知識 281に含まれる修 正方針情報力 S「なし」であるので、ステップ 1071に移行する。なお、ステップ 1075以 降の処理については後述する。
[0169] ステップ 1071に以降した場合、 FW検查修正部 270は、図 15に示す第 04行のル ールを取り出す。ルールの取り出しに成功したので（ステップ 1072の Yes)、 FW検査 修正部 270は、第 04行のルールに付加された「SQL Slammer」に対応する修正方針 情報を読み込む (ステップ 1073)。ここでは、図 18に示す検查修正知識 281に含ま れる修正方針情報を読み込む。この修正方針情報は「なし」ではないので、ステップ 1075に移行する。
[0170] ステップ 105では、 FW検查修正部 270は、修正方針の中で具体的に特定されて いない要素（「*」と記述された要素）を、ステップ 1071で取り出したルールに記述さ れている要素で置き換える。検査修正知識 281に含まれる修正方針情報は、 （*，*，10 25，65535，*,*,1434, 1434，2，2,deny )であり、「SA1 (送信元アドレスの開始アドレス）」 、「SA2 (送信元アドレスの終了アドレス）」、 「DA1 (送信先アドレスの開始アドレス）」 、および「DA2 (送信先アドレスの終了アドレス）」が特定されていない。従って、本例 では、 FW検査修正部 270は、修正方針情報の SA1, SA2, DAI , DA2を、図 15 に示す第 04行のルール（0.0.0.0, 255.255.255.255,1, 65535, 192.168.1.4,192.168.1.4 ，l，65535,l,2,allow)における SA1 (0.0.0.0 ) , SA2 (255.255.255.255) , DA1 (192.16 8.1.4 ) , DA2 (192.168.1.4)に置き換える。この結果、修正方針情報は、 (0.0.0.0,25 5.255.255.255, 1025, 65535,192.168.1.4, 192.168.1.4,1434, 1434，2，2，deny)となる。
[0171] FW検查修正部 270は、特定されていない要素をルールの要素で置き換えた修正 方針情報を新たなルールとして、ステップ 1071で取り出したルールの直前に追加す る（ステップ 1076)。このとき、 FW検查修正部 270は、ステップ 1071で取り出したル ールに付加されている攻撃名称の情報を削除する。
[0172] ステップ 1076の後、ステップ 1071に移行し、ステップ 1071以降の動作を繰り返す 。本例では、図 15に示す検查結果において、第 05行以降に、攻撃を通過させると判 定されたルールは存在しなレ、ので処理を終了する。 [0173] 以上の処理によって、非固有ポリシーの修正結果が得られる。図 20は、非固有ポリ シ一の修正結果の例を示す説明図である。図 20に示す非固有ポリシーの修正結果 における第 05行は、図 15に示す検査結果における第 04行と同一のルールである。 そして、図 20に示す非固有ポリシーの修正結果における第 04行は、攻撃を通過さ せると判定されたルールと修正方針情報とにより生成された新たなルールである。図 20に示す第 04行の新たなルールは、第 05行の攻撃を通過させると判定されたルー ルより先に参照されるため、第 04行のルールにより攻撃となるパケットは遮断されるこ とになる。
[0174] 以上のように非固有ポリシーの修正を終了すると（ステップ 1006aの処理を終了す ると）、 FW検查修正部 270は、修正した非固有ポリシー（修正結果）を通信部 210に 送る。検查システム 200の通信部 210は FW検查修正部 270から送られた修正結果 をクライアントシステム 100に送信する（図 7に示すステップ 1007)。
[0175] クライアントシステム 100の通信部 140は、検査システム 200から送られた修正結果 を受信し、修正結果をポリシー適用部 170に送る。また、通信部 140は、受信した修 正結果をポリシー記憶部 130に記憶させる。ポリシー適用部 170は、ポリシー記憶部 130から修正結果を読み込んでもよい。
[0176] また、図 20では図示を省略している力 修正結果には、クライアントシステム 100の 通信部 140が非固有ポリシー送信時 (ステップ 1003)で付加した番号がそのまま付 カロされている。ポリシー適用部 170は、その番号に基づいてファイアウォール 300の 種類やバージョン情報を特定し、その種類やバージョンに応じたポリシー変換規則を ポリシー変換規則記憶部 120から読み込む。ポリシー適用部 170は、その変換規則 に基づレ、て、検查システム 200から受信した修正結果に含まれる非固有ポリシーを 固有ポリシーに変換する。このとき、修正結果に攻撃名称が付加されている場合には 、攻撃名称をそのまま残す。この結果、非固有ポリシーの修正結果から変換された固 有ポリシーが得られる。この固有ポリシーの例を図 21に示す。
[0177] ポリシー適用部 170は、非固有ポリシーの修正結果から変換された固有ポリシーを 結果出力部 160に出力（例えば表示出力）させる。また、同時に、ポリシー適用部 17 0は、その固有ポリシーをファイアウォール 300に適用する（図 7に示すステップ 1008 a)。この結果、ファイアウォール 300のファイアウォールポリシーは、攻撃となるバケツ トを通過させないように変更される。また、検査修正知識 DB280が記憶する修正方 針情報が「なし」である場合でも、図 21の第 04行のように攻撃名称がルールとともに 表示されるので、どのルールがどの攻撃を通過させてしまうのかをクライアント企業に 提示すること力 Sできる。
[0178] ここではポリシー適用部 170力 固有ポリシーの出力とファイアウォール 300への固 有ポリシーの適用とを同時に行う場合を示した。ポリシー適用部 170は、固有ポリシ 一の出力を先に行レ、、クライアント企業のオペレータにその固有ポリシーをファイアゥ オールに適用するか否かの判断を促し、適用する旨の指示が入力デバイス（図示せ ず）を介して入力されたときに、固有ポリシーをファイアウォール 300に適用してもよい
[0179] 以上の具体例では、クライアントシステム 100の通信部 140と検查システム 200の 通信部 210とが相互に通信する非固有ポリシーや修正結果はインターネット 400上 を平文で送受信されるものとしていた。クライアントシステム 100の通信部 140が非固 有ポリシーを暗号化して送信し、検査システム 200の通信部 210が受信した非固有 ポリシーを復号する構成でもよい。同様に、検査システム 200の通信部 210が修正結 果を暗号化して送信し、クライアントシステム 100の通信部 140が受信した修正結果 を復号する構成でもよい。このような構成により、送受信する非固有ポリシーや修正 結果の秘匿性を高めることができる。

Claims

請求の範囲
[1] パケットを通過させる条件またはパケットを遮断する条件を定めたルールの集合で あるファイアウォールポリシーをファイアウォールから抽出するポリシー抽出手段と、 前記ポリシー抽出手段で抽出されたファイアウォールポリシーを、ファイアウォール の種類に依存しない書式のファイアウォールポリシーである非固有ポリシーに変換す る変換手段と、
攻撃に用いられるパケットまたは攻撃に用いられるパケットから攻撃コードを除いた パケットである検査パケットを記憶する検査知識記憶手段と、
与えられたパケットを通過させるか遮断するかを前記非固有ポリシーに基づいて判 定する判定処理を実行する判定処理実行手段と、
前記判定処理実行手段に前記判定処理を実行させるためのプログラムである仮想 ファイアウォールを、前記変換手段が変換した非固有ポリシーを用いて生成する仮想 ファイアウォール生成手段と、
前記検査知識記憶手段から検査パケットを読み込み、前記判定処理実行手段に 前記検査パケットを通過させるか遮断するかを前記仮想ファイアウォールに従って判 定させ、判定結果および判定結果を導いたルールを得る検査手段と、
前記変換手段が変換した非固有ポリシーに含まれるルールのうち検查パケットを通 過させる旨の判定結果を導いたルールに所定の情報を付加することにより検查結果 を生成する検査結果生成手段と
を有するファイアウォール検查システム。
[2] 検查結果に含まれる非固有ポリシーを、ファイアウォールの種類に依存した書式の ファイアウォールポリシーに変換する逆変換手段と、
前記逆変換手段が変換したファイアウォールポリシーを所定の情報とともに出力す る結果出力手段と
をさらに有する、請求項 1に記載のファイアウォール検査システム。
[3] 前記ポリシー抽出手段と前記変換手段と前記逆変換手段と前記結果出力手段は、 ファイアウォールポリシーをファイアウォール力 抽出するファイアウォール情報抽出 システムを構成し、前記検査知識記憶手段と前記判定処理実行手段と前記仮想ファ ィァウォール生成手段と前記検査手段と前記検査結果生成手段は、前記ファイアゥ オールに関する検査を行う検査システムを構成する、請求項 2に記載のファイアゥォ 一ル検查システム。
[4] 前記ポリシー抽出手段と前記結果出力手段は、ファイアウォールポリシーをファイア ウォール力 抽出するファイアウォール情報抽出システムを構成し、前記変換手段と 前記検査知識記憶手段と前記判定処理実行手段と前記仮想ファイアウォール生成 手段と前記検査手段と前記検査結果生成手段と前記逆変換手段は、前記ファイアゥ オールに関する検查を行う検查システムを構成する、請求項 2に記載のファイアゥォ 一ル検查システム。
[5] 前記判定処理実行手段は、検查パケットにおけるペイロード以外の部分に格納さ れる属性情報が非固有ポリシー中のルールに合致するか否かにより、前記検查パケ ットを通過させるか否かを判定する、請求項 1から請求項 4のうちのいずれ力 4項に記 載のファイアウォール検査システム。
[6] パケットを通過させる条件またはパケットを遮断する条件を定めたルールの集合で あるファイアウォールポリシーをファイアウォールから抽出するポリシー抽出手段と、 前記ポリシー抽出手段で抽出されたファイアウォールポリシーを、ファイアウォール の種類に依存しない書式のファイアウォールポリシーである非固有ポリシーに変換す る変換手段と、
攻撃に用いられるパケットまたは攻撃に用いられるパケットから攻撃コードを除いた パケットである検査パケットと、前記検査パケットを通過させるルールを前記検査パケ ットを遮断するように修正するための修正方針情報とを記憶する検査修正知識記憶 手段と、
与えられたパケットを通過させるか遮断するかを前記非固有ポリシーに基づいて判 定する判定処理を実行する判定処理実行手段と、
前記判定処理実行手段に前記判定処理を実行させるためのプログラムである仮想 ファイアウォールを、前記変換手段が変換した非固有ポリシーを用いて生成する仮想 ファイアウォール生成手段と、
前記検査修正知識記憶手段から検査パケットを読み込み、前記判定処理実行手 段に前記検査パケットを通過させるか遮断するかを前記仮想ファイアウォールに従つ て判定させ、判定結果および判定結果を導いたルールを得る検査手段と、
前記変換手段が変換した非固有ポリシーに含まれるルールのうち検査パケットを通 過させる旨の判定結果を導いたルールに所定の情報を付加することにより検查結果 を生成する検査結果生成手段と、
検查パケットを通過させる旨の判定結果を導いたルールと前記検查パケットに対応 する修正方針情報とに基づいて、前記検查パケットを遮断するルールを作成し、前 記ルールを前記非固有ポリシーに追加することにより非固有ポリシーを修正する修正 手段と
を有するファイアウォール検查システム。
[7] 修正された非固有ポリシーを、ファイアウォールの種類に依存した書式のファイアゥ オールポリシーに変換する逆変換手段と、
前記逆変換手段が変換したファイアウォールポリシーを出力する結果出力手段と をさらに有する、請求項 6に記載のファイアウォール検査システム。
[8] 前記ポリシー抽出手段と前記変換手段と前記逆変換手段と前記結果出力手段は、 ファイアウォールポリシーをファイアウォール力 抽出するファイアウォール情報抽出 システムを構成し、前記検査修正知識記憶手段と前記判定処理実行手段と前記仮 想ファイアウォール生成手段と前記検査手段と前記検査結果生成手段と前記修正手 段は、前記ファイアウォールに関する検査を行う検査システムを構成する、請求項 7 に記載のファイアウォール検査システム。
[9] 前記ポリシー抽出手段と前記結果出力手段は。ファイアウォールポリシーをファイア ウォール力 抽出するファイアウォール情報抽出システムを構成し、前記変換手段と 前記検査修正知識記憶手段と前記判定処理実行手段と前記仮想ファイアウォール 生成手段と前記検査手段と前記検査結果生成手段と前記修正手段と前記逆変換手 段は、前記ファイアウォールに関する検查を行う検查システムを構成する、請求項 7 に記載のファイアウォール検查システム。
[10] 前記逆変換手段が変換したファイアウォールポリシーをファイアウォールに適用す るポリシー適用手段をさらに有する、請求項 7から請求項 9のうちのいずれ力、 1項に記 載のファイアウォール検査システム。
[11] 前記変換手段が変換した非固有ポリシーを記憶する非固有ポリシー記憶手段と、 ファイアウォールにファイアウォールポリシーを再適用する指示が入力される指示入 力手段とをさらに有し、
前記逆変換手段は、前記指示が入力されたときに、前記非固有ポリシー記憶手段 に記憶された非固有ポリシーを、ファイアウォールの種類に依存した書式のファイア ウォールポリシーに変換し、前記ポリシー適用手段は、前記逆変換手段が変換したフ アイァウォールポリシーをファイアウォールに適用する、
請求項 10に記載のファイアウォール検查システム。
[12] 前記判定処理実行手段は、検查パケットにおけるペイロード以外の部分に格納さ れる属性情報が非固有ポリシー中のルールに合致するか否かにより、前記検查パケ ットを通過させるか否かを判定する、請求項 6から請求項 11のうちのいずれ力 4項に 記載のファイアウォール検査システム。
[13] パケットを通過させる条件またはパケットを遮断する条件を定めたルールの集合で あるファイアウォールポリシーをファイアウォールから抽出するファイアウォール情報 抽出システムであって、
ファイアウォールポリシーをファイアウォール力 抽出するポリシー抽出手段と、 前記ポリシー抽出手段で抽出されたファイアウォールポリシーを、ファイアウォール の種類に依存しない書式のファイアウォールポリシーである非固有ポリシーに変換す る変換手段と、
ファイアウォールに関する検査を行う検査システムに、前記変換手段が変換した非 固有ポリシーを送信して、前記検查システムに検查を実行させる非固有ポリシー送信 手段と、
前記検查システムから、前記非固有ポリシーに含まれるルールのうち、検查パケット を通過させるルールに所定の情報が付加された検查結果を受信する検查結果受信 手段と
を有するファイアウォール情報抽出システム。
[14] 検查結果に含まれる非固有ポリシーを、ファイアウォールの種類に依存した書式の ファイアウォールポリシーに変換する逆変換手段と、
前記逆変換手段が変換したファイアウォールポリシーを所定の情報とともに出力す る結果出力手段と
をさらに有する、請求項 13に記載のファイアウォール情報抽出システム。
[15] パケットを通過させる条件またはパケットを遮断する条件を定めたルールの集合で あるファイアウォールポリシーをファイアウォールから抽出するファイアウォール情報 抽出システムであって、
ファイアウォールポリシーをファイアウォール力 抽出するポリシー抽出手段と、 前記ポリシー抽出手段で抽出されたファイアウォールポリシーを、ファイアウォール の種類に依存しない書式のファイアウォールポリシーである非固有ポリシーに変換す る変換手段と、
ファイアウォールに関する検查を行う検查システムに、前記変換手段が変換した非 固有ポリシーを送信して、前記非固有ポリシーの修正を実行させる非固有ポリシー送 信手段と、
前記検査システムから、修正された非固有ポリシーを受信する修正結果受信手段と を有するファイアウォール情報抽出システム。
[16] 修正された非固有ポリシーを、ファイアウォールの種類に依存した書式のファイアゥ オールポリシーに変換する逆変換手段と、
前記逆変換手段が変換したファイアウォールポリシーを出力する結果出力手段と をさらに有する、請求項 15に記載のファイアウォール情報抽出システム。
[17] 前記逆変換手段が変換したファイアウォールポリシーをファイアウォールに適用す るポリシー適用手段をさらに有する、請求項 16に記載のファイアウォール情報抽出シ ステム。
[18] 前記変換手段が変換した非固有ポリシーを記憶する非固有ポリシー記憶手段と、 ファイアウォールにファイアウォールポリシーを再適用する指示が入力される指示入 力手段と
をさらに有し、
前記逆変換手段は、前記指示が入力されたときに、前記非固有ポリシー記憶手段 に記憶された非固有ポリシーを、ファイアウォールの種類に依存した書式のファイア ウォールポリシーに変換し、
前記ポリシー適用手段は、前記逆変換手段が変換したファイアウォールポリシーを ファイアウォールに適用する、
請求項 17に記載のファイアウォール情報抽出システム。
[19] ファイアウォールポリシーをファイアウォール力 抽出するファイアウォール情報抽 出システムからデータを受信して前記ファイアウォールに関する検查を行うファイアゥ オール検查システムであって、
前記ファイアウォール情報抽出システムから、ファイアウォールの種類に依存しない 書式のファイアウォールポリシーである非固有ポリシーを受信する非固有ポリシー受 信手段と、
攻撃に用いられるパケットまたは攻撃に用いられるパケットから攻撃コードを除いた パケットである検査パケットを記憶する検査知識記憶手段と、
与えられたパケットを通過させるか遮断するかを前記非固有ポリシーに基づいて判 定する判定処理を実行する判定処理実行手段と、
前記判定処理実行手段に前記判定処理を実行させるためのプログラムである仮想 ファイアウォールを、前記非固有ポリシー受信手段が受信した非固有ポリシーを用い て生成する仮想ファイアウォール生成手段と、
前記検査知識記憶手段から検査パケットを読み込み、前記判定処理実行手段に 前記検査パケットを通過させるか遮断するかを前記仮想ファイアウォールに従って判 定させ、判定結果および判定結果を導いたルールを得る検査手段と、
前記非固有ポリシー受信手段が受信した非固有ポリシーに含まれるルールのうち 検查パケットを通過させる旨の判定結果を導いたルールに所定の情報を付加するこ とにより検査結果を生成する検査結果生成手段と、
前記ファイアウォール情報抽出システムに前記検査結果を送信する検査結果送信 手段と
を有するファイアウォール検查システム。
[20] ファイアウォールポリシーをファイアウォール力 抽出するファイアウォール情報抽 出システムからデータを受信して前記ファイアウォールに関する検査を行うファイアゥ オール検査システムであって、
前記ファイアウォール情報抽出システムから前記ファイアウォールポリシーを受信す るポリシー受信手段と、
前記ポリシー受信手段が受信したファイアウォールポリシーを、ファイアウォールの 種類に依存しない書式のファイアウォールポリシーである非固有ポリシーに変換する 変換手段と、
攻撃に用いられるパケットまたは攻撃に用いられるパケットから攻撃コードを除いた パケットである検査パケットを記憶する検査知識記憶手段と、
与えられたパケットを通過させるか遮断するかを前記非固有ポリシーに基づいて判 定する判定処理を実行する判定処理実行手段と、
前記判定処理実行手段に前記判定処理を実行させるためのプログラムである仮想 ファイアウォールを、前記変換手段が変換した非固有ポリシーを用いて生成する仮想 ファイアウォール生成手段と、
前記検査知識記憶手段から検査パケットを読み込み、前記判定処理実行手段に 前記検査パケットを通過させるか遮断するかを前記仮想ファイアウォールに従って判 定させ、判定結果および判定結果を導いたルールを得る検査手段と、
前記変換手段が変換した非固有ポリシーに含まれるルールのうち検査パケットを通 過させる旨の判定結果を導いたルールに所定の情報を付加することにより検査結果 を生成する検査結果生成手段と
を有するファイアウォール検査システム。
[21] 検查結果に含まれる非固有ポリシーを、ファイアウォールの種類に依存した書式の ファイアウォールポリシーに変換する逆変換手段と、
前記逆変換手段が変換したファイアウォールポリシーを所定の情報とともにファイア ウォール情報抽出システムに送信する結果送信手段と
をさらに有する、請求項 20に記載のファイアウォール検查システム。
[22] ファイアウォールポリシーをファイアウォール力 抽出するファイアウォール情報抽 出システムからデータを受信して前記ファイアウォールに関する検查を行うファイアゥ オール検査システムであって、
前記ファイアウォール情報抽出システムから、ファイアウォールの種類に依存しない 書式のファイアウォールポリシーである非固有ポリシーを受信する非固有ポリシー受 信手段と、
攻撃に用いられるパケットまたは攻撃に用いられるパケットから攻撃コードを除いた パケットである検查パケットと、前記検查パケットを通過させるルールを前記検查パケ ットを遮断するように修正するための修正方針情報とを記憶する検查修正知識記憶 手段と、
与えられたパケットを通過させるか遮断するかを前記非固有ポリシーに基づいて判 定する判定処理を実行する判定処理実行手段と、
前記判定処理実行手段に前記判定処理を実行させるためのプログラムである仮想 ファイアウォールを、前記非固有ポリシー受信手段が受信した非固有ポリシーを用い て生成する仮想ファイアウォール生成手段と、
前記検査修正知識記憶手段から検査パケットを読み込み、前記判定処理実行手 段に前記検査パケットを通過させるか遮断するかを前記仮想ファイアウォールに従つ て判定させ、判定結果および判定結果を導いたルールを得る検査手段と、
前記非固有ポリシー受信手段が受信した非固有ポリシーに含まれるルールのうち 検査パケットを通過させる旨の判定結果を導いたルールに所定の情報を付加するこ とにより検査結果を生成する検査結果生成手段と、
検査パケットを通過させる旨の判定結果を導いたルールと前記検査パケットに対応 する修正方針情報とに基づいて、前記検査パケットを遮断するルールを作成し、前 記ルールを前記非固有ポリシーに追加することにより非固有ポリシーを修正する修正 手段と、
修正された非固有ポリシーを前記ファイアウォール情報抽出システムに送信する修 正結果送信手段と
を有するファイアウォール検查システム。
ファイアウォールポリシーをファイアウォール力 抽出するファイアウォール情報抽 出システムからデータを受信して前記ファイアウォールに関する検查を行うファイアゥ オール検査システムであって、
前記ファイアウォール情報抽出システムから前記ファイアウォールポリシーを受信す るポリシー受信手段と、
前記ポリシー受信手段が受信したファイアウォールポリシーを、ファイアウォールの 種類に依存しない書式のファイアウォールポリシーである非固有ポリシーに変換する 変換手段と、
攻撃に用いられるパケットまたは攻撃に用いられるパケットから攻撃コードを除いた パケットである検查パケットと、前記検查パケットを通過させるルールを、前記検查パ ケットを遮断するように修正するための修正方針情報とを記憶する検查修正知識記 憶手段と、
与えられたパケットを通過させるか遮断するかを前記非固有ポリシーに基づいて判 定する判定処理を実行する判定処理実行手段と、
前記判定処理実行手段に前記判定処理を実行させるためのプログラムである仮想 ファイアウォールを、前記変換手段が変換した非固有ポリシーを用いて生成する仮想 ファイアウォール生成手段と、
前記検査修正知識記憶手段から検査パケットを読み込み、前記判定処理実行手 段に前記検査パケットを通過させるか遮断するかを前記仮想ファイアウォールに従つ て判定させ、判定結果および判定結果を導いたルールを得る検査手段と、
前記変換手段が変換した非固有ポリシーに含まれるルールのうち検査パケットを通 過させる旨の判定結果を導いたルールに所定の情報を付加することにより検査結果 を生成する検査結果生成手段と、
検查パケットを通過させる旨の判定結果を導いたルールと前記検查パケットに対応 する修正方針情報とに基づいて、前記検查パケットを遮断するルールを作成し、前 記ルールを前記非固有ポリシーに追加することにより非固有ポリシーを修正する修正 手段と
を有するファイアウォール検查システム。
修正された非固有ポリシーを、ファイアウォールの種類に依存した書式のファイアゥ オールポリシーに変換する逆変換手段と、 前記逆変換手段が変換したファイアウォールポリシーをファイアウォール情報抽出 システムに送信する修正後ポリシー送信手段と
をさらに有する、請求項 23に記載のファイアウォール検査システム。
[25] 前記判定処理実行手段は、検查パケットにおけるペイロード以外の部分に格納さ れる属性情報が非固有ポリシー中のルールに合致するか否かにより、前記検查パケ ットを通過させるか否かを判定する、請求項 19から請求項 24のうちのいずれ力 4項 に記載のファイアウォール検查システム。
[26] コンピュータに、
パケットを通過させる条件またはパケットを遮断する条件を定めたルールの集合で あるファイアウォールポリシーをファイアウォールから抽出する処理と、
抽出されたファイアウォールポリシーを、ファイアウォールの種類に依存しない書式 のファイアウォールポリシーである非固有ポリシーに変換する処理と、
ファイアウォールに関する検査を行う検査システムに前記非固有ポリシーを送信す る処理と、
前記検査システムから、前記非固有ポリシーに含まれるルールのうち、検査パケット を通過させるルールに所定の情報が付加された検査結果を受信する処理
を実行させるためのファイアウォール情報抽出プログラム。
[27] コンピュータに、
検査結果に含まれる非固有ポリシーを、ファイアウォールの種類に依存した書式の ファイアウォールポリシーに変換する処理と、
前記ファイアウォールポリシーを所定の情報とともに出力する処理と
をさらに実行させるための、請求項 26に記載のファイアウォール情報抽出プロダラ ム。
[28] コンピュータに、
パケットを通過させる条件またはパケットを遮断する条件を定めたルールの集合で あるファイアウォールポリシーをファイアウォールから抽出する処理と、
抽出されたファイアウォールポリシーを、ファイアウォールの種類に依存しない書式 のファイアウォールポリシーである非固有ポリシーに変換する処理と、 ファイアウォールに関する検査を行う検査システムに前記非固有ポリシーを送信す る処理と、
前記検査システムから、修正された非固有ポリシーを受信する処理と
を実行させるためのファイアウォール情報抽出プログラム。
[29] コンピュータに、
修正された非固有ポリシーを、ファイアウォールの種類に依存した書式のファイアゥ オールポリシーに変換する処理と、
前記ファイアウォールポリシーを出力する処理と
をさらに実行させるための、請求項 28に記載のファイアウォール情報抽出プロダラ ム。
[30] 攻撃に用いられるパケットまたは攻撃に用いられるパケットから攻撃コードを除いた パケットである検查パケットを記憶する検查知識記憶手段を備え、ファイアウォールポ リシ一をファイアウォールから抽出するファイアウォール情報抽出システムからデータ を受信して前記ファイアウォールに関する検査を行うコンピュータに搭載されるフアイ ァウォール検査プログラムであって、
コンピュータに、
前記ファイアウォール情報抽出システムから、ファイアウォールの種類に依存しない 書式のファイアウォールポリシーである非固有ポリシーを受信する処理と、
与えられたパケットを通過させるか遮断するかを前記非固有ポリシーに基づいて判 定する判定処理を実行する判定処理実行手段に前記判定処理を実行させるための プログラムである仮想ファイアウォールを、受信した非固有ポリシーを用いて生成する 処理と、
前記検査知識記憶手段から検査パケットを読み込み、前記判定処理実行手段に 前記検查パケットを通過させるか遮断するかを前記仮想ファイアウォールに従って判 定させ、判定結果および判定結果を導いたルールを得る処理と、
受信した非固有ポリシーに含まれるルールのうち検查パケットを通過させる旨の判 定結果を導いたルールに所定の情報を付加することにより検查結果を生成する処理 と、 前記ファイアウォール情報抽出システムに前記検査結果を送信する処理と を実行させるためのファイアウォール検査プログラム。
[31] 攻撃に用いられるパケットまたは攻撃に用いられるパケットから攻撃コードを除いた パケットである検查パケットを記憶する検查知識記憶手段を備え、ファイアウォールポ リシ一をファイアウォールから抽出するファイアウォール情報抽出システムからデータ を受信して前記ファイアウォールに関する検查を行うコンピュータに搭載されるフアイ ァウォール検查プログラムであって、
コンピュータに、
前記ファイアウォール情報抽出システムから前記ファイアウォールポリシーを受信す る処理と、
受信したファイアウォールポリシーを、ファイアウォールの種類に依存しなレ、書式の ファイアウォールポリシーである非固有ポリシーに変換する処理と、
与えられたパケットを通過させるか遮断するかを前記非固有ポリシーに基づいて判 定する判定処理を実行する判定処理実行手段に前記判定処理を実行させるための プログラムである仮想ファイアウォールを、変換した非固有ポリシーを用いて生成する 処理と、
前記検査知識記憶手段から検査パケットを読み込み、前記判定処理実行手段に 前記検査パケットを通過させるか遮断するかを前記仮想ファイアウォールに従って判 定させ、判定結果および判定結果を導レ、たルールを得る処理と、
変換した非固有ポリシーに含まれるルールのうち検査パケットを通過させる旨の判 定結果を導いたルールに所定の情報を付加することにより検査結果を生成する処理 を実行させるためのファイアウォール検查プログラム。
[32] コンピュータに、
検查結果に含まれる非固有ポリシーを、ファイアウォールの種類に依存した書式の ファイアウォールポリシーに変換する処理、
前記ファイアウォールポリシーを所定の情報とともにファイアウォール情報抽出シス テムに送信する処理
をさらに実行させるための、請求項 31に記載のファイアウォール検查プログラム。 [33] 攻撃に用いられるパケットまたは攻撃に用いられるパケットから攻撃コードを除いた パケットである検査パケットと、前記検査パケットを通過させるルールを前記検査パケ ットを遮断するように修正するための修正方針情報とを記憶する検査修正知識記憶 手段を備え、ファイアウォールポリシーをファイアウォール力、ら抽出するファイアウォー ル情報抽出システムからデータを受信して前記ファイアウォールに関する検查を行う コンピュータに搭載されるファイアウォール検查プログラムであって、
コンピュータに、
前記ファイアウォール情報抽出システムから、ファイアウォールの種類に依存しない 書式のファイアウォールポリシーである非固有ポリシーを受信する処理と、
与えられたパケットを通過させるか遮断するかを前記非固有ポリシーに基づいて判 定する判定処理を実行する判定処理実行手段に前記判定処理を実行させるための プログラムである仮想ファイアウォールを、受信した非固有ポリシーを用いて生成する 処理と、
前記検査修正知識記憶手段から検査パケットを読み込み、前記判定処理実行手 段に前記検査パケットを通過させるか遮断するかを前記仮想ファイアウォールに従つ て判定させ、判定結果および判定結果を導いたルールを得る処理と、
受信した非固有ポリシーに含まれるルールのうち検査パケットを通過させる旨の判 定結果を導いたルールに所定の情報を付加することにより検査結果を生成する処理 と、
検査パケットを通過させる旨の判定結果を導いたルールと前記検査パケットに対応 する修正方針情報とに基づいて、前記検査パケットを遮断するルールを作成し、前 記ルールを前記非固有ポリシーに追加することにより非固有ポリシーを修正する処理 と、
修正された非固有ポリシーを前記ファイアウォール情報抽出システムに送信する処 理と
を実行させるためのファイアウォール検查プログラム。
[34] 攻撃に用いられるパケットまたは攻撃に用いられるパケットから攻撃コードを除いた パケットである検查パケットと、前記検查パケットを通過させるルールを前記検查パケ ットを遮断するように修正するための修正方針情報とを記憶する検査修正知識記憶 手段を備え、ファイアウォールポリシーをファイアウォール力 抽出するファイアウォー ル情報抽出システムからデータを受信して前記ファイアウォールに関する検査を行う コンピュータに搭載されるファイアウォール検查プログラムであって、
コンピュータに、
前記ファイアウォール情報抽出システムから前記ファイアウォールポリシーを受信す る処理と、
受信したファイアウォールポリシーを、ファイアウォールの種類に依存しなレ、書式の ファイアウォールポリシーである非固有ポリシーに変換する処理と、
与えられたパケットを通過させるか遮断するかを前記非固有ポリシーに基づいて判 定する判定処理を実行する判定処理実行手段に前記判定処理を実行させるための プログラムで
ある仮想ファイアウォールを、変換した非固有ポリシーを用いて生成する処理と、 前記検査修正知識記憶手段から検査パケットを読み込み、前記判定処理実行手 段に前記検査パケットを通過させるか遮断するかを前記仮想ファイアウォールに従つ て判定させ、判定結果および判定結果を導いたルールを得る処理と、
変換した非固有ポリシーに含まれるルールのうち検査パケットを通過させる旨の判 定結果を導いたルールに所定の情報を付加することにより検査結果を生成する処理 と、
検査パケットを通過させる旨の判定結果を導いたルールと前記検査パケットに対応 する修正方針情報とに基づいて、前記検査パケットを遮断するルールを作成し、前 記ルールを前記非固有ポリシーに追加することにより非固有ポリシーを修正する処理 と
を実行させるためのファイアウォール検查プログラム。
コンピュータに、
修正された非固有ポリシーを、ファイアウォールの種類に依存した書式のファイアゥ オールポリシーに変換する処理と、
前記ファイアウォールポリシーをファイアウォール情報抽出システムに送信する処理 をさらに実行させるための、請求項 34に記載のファイアウォール検査プログラム。
PCT/JP2005/019765 2004-11-04 2005-10-27 ファイアウォール検査システムおよびファイアウォール情報抽出システム WO2006049072A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2006543239A JPWO2006049072A1 (ja) 2004-11-04 2005-10-27 ファイアウォール検査システムおよびファイアウォール情報抽出システム
US11/666,861 US20070266431A1 (en) 2004-11-04 2005-10-27 Firewall Inspecting System and Firewall Information Extraction System

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2004-320788 2004-11-04
JP2004320788 2004-11-04

Publications (1)

Publication Number Publication Date
WO2006049072A1 true WO2006049072A1 (ja) 2006-05-11

Family

ID=36319084

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2005/019765 WO2006049072A1 (ja) 2004-11-04 2005-10-27 ファイアウォール検査システムおよびファイアウォール情報抽出システム

Country Status (3)

Country Link
US (1) US20070266431A1 (ja)
JP (1) JPWO2006049072A1 (ja)
WO (1) WO2006049072A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107122241A (zh) * 2016-02-25 2017-09-01 深圳市知穹科技有限公司 基于cpu和gpu的数据库防火墙系统和其的控制方法

Families Citing this family (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7634584B2 (en) 2005-04-27 2009-12-15 Solarflare Communications, Inc. Packet validation in virtual network interface architecture
JP5072314B2 (ja) * 2006-10-20 2012-11-14 キヤノン株式会社 文書管理システム、文書管理方法、文書管理プログラム、記憶媒体
US8261317B2 (en) * 2008-03-27 2012-09-04 Juniper Networks, Inc. Moving security for virtual machines
US11140178B1 (en) * 2009-11-23 2021-10-05 F5 Networks, Inc. Methods and system for client side analysis of responses for server purposes
US9531670B2 (en) 2009-11-30 2016-12-27 Iwebgate Technology Limited System and method for network virtualization and security using computer systems and software
US20110131648A1 (en) * 2009-11-30 2011-06-02 Iwebgate Technology Limited Method and System for Digital Communication Security Using Computer Systems
US10742604B2 (en) 2013-04-08 2020-08-11 Xilinx, Inc. Locked down network interface
US9667596B2 (en) 2014-06-04 2017-05-30 Bank Of America Corporation Firewall policy comparison
US9391955B2 (en) * 2014-06-04 2016-07-12 Bank Of America Corporation Firewall policy converter

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2000216780A (ja) * 1998-05-19 2000-08-04 Hitachi Ltd ネットワ―ク管理システム
JP2001237895A (ja) * 2000-01-18 2001-08-31 Lucent Technol Inc ネットワークゲートウェイの解析方法及び装置
JP2002328896A (ja) * 2001-04-27 2002-11-15 Nippon Telegr & Teleph Corp <Ntt> 不正アクセス対処ルール自動設定装置

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7143438B1 (en) * 1997-09-12 2006-11-28 Lucent Technologies Inc. Methods and apparatus for a computer network firewall with multiple domain support
US6141749A (en) * 1997-09-12 2000-10-31 Lucent Technologies Inc. Methods and apparatus for a computer network firewall with stateful packet filtering
US6154775A (en) * 1997-09-12 2000-11-28 Lucent Technologies Inc. Methods and apparatus for a computer network firewall with dynamic rule processing with the ability to dynamically alter the operations of rules
US7143151B1 (en) * 1998-05-19 2006-11-28 Hitachi, Ltd. Network management system for generating setup information for a plurality of devices based on common meta-level information
US6226372B1 (en) * 1998-12-11 2001-05-01 Securelogix Corporation Tightly integrated cooperative telecommunications firewall and scanner with distributed capabilities
CA2296989C (en) * 1999-01-29 2005-10-25 Lucent Technologies Inc. A method and apparatus for managing a firewall
US7150037B2 (en) * 2001-03-21 2006-12-12 Intelliden, Inc. Network configuration manager
US7159125B2 (en) * 2001-08-14 2007-01-02 Endforce, Inc. Policy engine for modular generation of policy for a flat, per-device database
ATE273591T1 (de) * 2001-12-18 2004-08-15 Stonesoft Corp Prüfung der konfiguration einer firewall
US20040039940A1 (en) * 2002-08-23 2004-02-26 Koninklijke Philips Electronics N.V. Hardware-based packet filtering accelerator
US20060041936A1 (en) * 2004-08-19 2006-02-23 International Business Machines Corporation Method and apparatus for graphical presentation of firewall security policy

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2000216780A (ja) * 1998-05-19 2000-08-04 Hitachi Ltd ネットワ―ク管理システム
JP2001237895A (ja) * 2000-01-18 2001-08-31 Lucent Technol Inc ネットワークゲートウェイの解析方法及び装置
JP2002328896A (ja) * 2001-04-27 2002-11-15 Nippon Telegr & Teleph Corp <Ntt> 不正アクセス対処ルール自動設定装置

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107122241A (zh) * 2016-02-25 2017-09-01 深圳市知穹科技有限公司 基于cpu和gpu的数据库防火墙系统和其的控制方法
CN107122241B (zh) * 2016-02-25 2019-11-19 深圳市知穹科技有限公司 基于cpu和gpu的数据库防火墙系统和其的控制方法

Also Published As

Publication number Publication date
JPWO2006049072A1 (ja) 2008-05-29
US20070266431A1 (en) 2007-11-15

Similar Documents

Publication Publication Date Title
WO2006049072A1 (ja) ファイアウォール検査システムおよびファイアウォール情報抽出システム
CA2966408C (en) A system and method for network intrusion detection of covert channels based on off-line network traffic
US7343599B2 (en) Network-based patching machine
US7490149B2 (en) Security management apparatus, security management system, security management method, and security management program
US20020069366A1 (en) Tunnel mechanis for providing selective external access to firewall protected devices
CN106031118A (zh) 云服务安全中介和代理
CN102546576A (zh) 一种网页挂马检测和防护方法、系统及相应代码提取方法
Zhang et al. Frameup: an incriminatory attack on Storj: a peer to peer blockchain enabled distributed storage system
JP2002533792A (ja) 信頼された内部ネットワ−クの作動を保護方法およびシステム
CN107979581A (zh) 僵尸特征的检测方法和装置
JP7040992B2 (ja) 脆弱性情報生成装置および脆弱性評価装置
JP2022509121A (ja) セキュア通信方法およびそのシステム
US20060294595A1 (en) Component selector
CN108737338A (zh) 一种认证方法及系统
Detering et al. On the (in-) security of javascript object signing and encryption
Tracy et al. Guidelines on Securing Public Web Servers Web Servers
CN107342963A (zh) 一种虚拟机安全控制方法、系统及网络设备
Gupta et al. Handbook of research on information security and assurance
TWI667587B (zh) 資訊安全防護方法
KR102042086B1 (ko) 암호화 통신 프로토콜 제어 모듈
CN109688108A (zh) 一种防御文件上传漏洞的安全机制及其实施方法
Mitseva et al. Challenges and Pitfalls in Generating Representative ICS Datasets in Cyber Security Research
Kloiber et al. Test-beds and guidelines for securing IoT products and for
CN108366040A (zh) 一种可编程防火墙的逻辑代码检测方法、装置及电子设备
Richter et al. Conception and Implementation of Professional Laboratory Exercises in the field of ICS/SCADA Security-Part I: Fundamentals

Legal Events

Date Code Title Description
AK Designated states

Kind code of ref document: A1

Designated state(s): AE AG AL AM AT AU AZ BA BB BG BR BW BY BZ CA CH CN CO CR CU CZ DE DK DM DZ EC EE EG ES FI GB GD GE GH GM HR HU ID IL IN IS JP KE KG KM KN KP KR KZ LC LK LR LS LT LU LV LY MA MD MG MK MN MW MX MZ NA NG NI NO NZ OM PG PH PL PT RO RU SC SD SE SG SK SL SM SY TJ TM TN TR TT TZ UA UG US UZ VC VN YU ZA ZM ZW

AL Designated countries for regional patents

Kind code of ref document: A1

Designated state(s): GM KE LS MW MZ NA SD SL SZ TZ UG ZM ZW AM AZ BY KG KZ MD RU TJ TM AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HU IE IS IT LT LU LV MC NL PL PT RO SE SI SK TR BF BJ CF CG CI CM GA GN GQ GW ML MR NE SN TD TG

DPEN Request for preliminary examination filed prior to expiration of 19th month from priority date (pct application filed from 20040101)
121 Ep: the epo has been informed by wipo that ep was designated in this application
WWE Wipo information: entry into national phase

Ref document number: 2006543239

Country of ref document: JP

WWE Wipo information: entry into national phase

Ref document number: 11666861

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

WWP Wipo information: published in national office

Ref document number: 11666861

Country of ref document: US

122 Ep: pct application non-entry in european phase

Ref document number: 05799364

Country of ref document: EP

Kind code of ref document: A1