[論文レビュー] Misconfiguration Management of Network Security Components

Frédéric Cuppens, Nora Cuppens-Boulahia+1 more|PolyPublie (École Polytechnique de Montréal)|Dec 16, 2019

Network Packet Processing and Optimization参考文献 10被引用数 8

ひとこと要約

本稿では、集合演算を用いてルール関係を分析することで、ファイアウォールの誤設定、特に冗長性とシャドーイングを検出し、排除するルールベースのアルゴリズム的フレームワークを提案する。この手法により、初期のルールセットが、順序に依存しない誤りのない最適化された同等の構成に変換され、正しくアクセス制御が保証され、セキュリティポリシーの強化が図られる。

ABSTRACT

Many companies and organizations use firewalls to control the access to their network infrastructure. Firewalls are network security components which provide means to filter traffic within corporate networks, as well as to police incoming and outcoming interaction with the Internet. For this purpose, it is necessary to configure firewalls with a set of filtering rules. Nevertheless, the existence of errors in a set of filtering rules is very likely to degrade the network security policy. The discovering and removal of these configuration errors is a serious and complex problem to solve. In this paper, we present a set of algorithms for such a management. Our approach is based on the analysis of relationships between the set of filtering rules. Then, a subsequent rewriting of rules will derive from an initial firewall setup -- potentially misconfigured -- to an equivalent one completely free of errors. At the same time, the algorithms will detect useless rules in the initial firewall configuration.

研究の動機と目的

• ネットワークセキュリティポリシーを弱めるファイアウォール誤設定という重要な問題に対処すること。
• 自動的にファイアウォールルールセット内の冗長性とシャドーイングを検出し、排除すること。
• 初期の誤設定の可能性のあるルールセットを、同等でエラーのない構成に変換すること。
• ルール順序に依存しないようにすることで、セキュリティポリシーの正しさをルールの順序とは独立して保証すること。
• ポリシー意味を保持しつつ脆弱性を排除する、形式的かつ検証可能なルール再書き換え手法を提供すること。

提案手法

• 共起、和集合、包含の3つの主要な演算を用いて、ファイアウォールルール間の関係を分析する。
• 除外演算に基づいてルールを再書き換えることで、衝突を解消するルール変換アルゴリズム（アルゴリズム1）を適用する。
• 除外関数 $exclusion(R_j, R_i)$ を用いて、$R_j$ がマッチするが $R_i$ がマッチしないパケットの集合を計算し、重複を避ける。
• 高優先度のルールからの除外処理後に条件集合が空集合になるかどうかをチェックすることで、シャドーイングを検出する。
• 除外に基づくチェックを変更して、ルールを削除してもポリシーが変わらないかどうかをテストすることで、冗長性を検出する。
• 形式的補題および定理を用いて、変換後のルールセットにおける同等性、正しさ、およびシャドーイング・冗長性の除去を証明する。

実験結果

リサーチクエスチョン

• RQ1 ファイアウォールルールセットにおける冗長性とシャドーイングを形式的に検出し、排除することは可能か？
• RQ2 ルール変換プロセスによって、ルール順序に依存しない同等でエラーのないファイアウォール構成が得られるか？
• RQ3 共起、包含、和集合といったルール間の形式的関係は、誤設定の正確な検出を可能にするか？
• RQ4 変換後のルールセットが、元のセキュリティポリシーを保持すると同時に、すべての冗長性とシャドーイングを排除できることを検証可能か？
• RQ5 変換後のルールセットの正しさと同等性を数学的にどのように証明できるか？

主な発見

• 提案されたアルゴリズムにより、誤設定の可能性のあるファイアウォールルールセットが、冗長性およびシャドーイングのない同等の構成に変換される。
• 変換後のルールセットはルール順序に依存しないため、衝突を避けるために手動での優先順位付けの必要がなくなる。
• シャドーイングは、高優先度のルールからの除外処理後にルールの条件集合が空集合になる場合に検出され、そのルールが一切適用されないことを示す。
• 除外に基づく検証を用いて、ルールを削除してもポリシーが変わらないかどうかをテストすることで、冗長性が検出される。
• 形式的証明により、変換後のルールセット $Tr(R)$ が元の $R$ と意味論的に同等であることが確認され、ポリシーの正しさが保証される。
• この手法により、最終的な構成における2つのルールが同じパケットに対して同時に適用されることはないため、意図しないアクセスが防止される。