[論文レビュー] Platform-Independent Firewall Policy Representation

Vadim Zaliva|ArXiv.org|May 13, 2008

Network Packet Processing and Optimization参考文献 3被引用数 3

ひとこと要約

本論文は、異種のファイアウォールプラットフォーム間での統合的管理を実現するため、プラットフォームに依存しないファイアウォールポリシー表現モデルと、それに対応する高レベルのポリシー定義言語を提案する。ファイアウォールの意味論を共通モデルに抽象化し、ルールプロセッサを介してベンダ固有の構文にコンパイルすることで、構成エラーを低減するとともに、クロスプラットフォームでのポリシー解析を可能にする。このアプローチは、オープンソースのファイアウォールビルダー・ツールに実装されている。

ABSTRACT

In this paper we will discuss the design of abstract firewall model along with platform-independent policy definition language. We will also discuss the main design challenges and solutions to these challenges, as well as examine several differences in policy semantics between vendors and how it could be mapped to our platform-independent language. We will also touch upon a processing model, describing the mechanism by which an abstract policy could be compiled into a concrete firewall policy syntax. We will discuss briefly some future research directions, such as policy optimization and validation

研究の動機と目的

• 構文および意味論が異なる多数のファイアウォールプラットフォームを管理する課題に対処し、管理の複雑さとエラー率を低減すること。
• 低レベルの構文と意味論を高レベルの、プラットフォームに依存しないモデルに抽象化することで、ファイアウォール構成における人的エラーを低減すること。
• 共通の中間表現を提供することにより、クロスプラットフォームでのポリシー解析、検証、最適化を可能にすること。
• 異種環境間でポータブルかつ再利用可能なファイアウォールポリシーマネジメントツールの開発を支援すること。
• 高レベルのセキュリティ抽象化と具体的なファイアウォール実装との間の意味論的・構文的ギャップを埋めること。

提案手法

• 基本的なネットワーキングオブジェクト（IPアドレス、サービス、時間間隔）、ホスト、ファイアウォール、およびアドレス範囲などのユーティリティオブジェクトを含む、オブジェクト指向データモデルを用いて抽象的なファイアウォールモデルを定義する。
• ファイアウォールルールをソース/ディスティネーション、サービス、インターフェース、方向、時間、アクションを含む形で表現できる、プラットフォームに依存しないポリシー定義言語（.fwbファイルで使用）を設計する。
• 抽象ポリシーを特定のプラットフォーム（例：iptables、pf、ipfilter）の具体的な構文にコンパイルする処理モデルを実装する。この際、一連のルール変換関数（「ルールプロセッサ」として呼ばれる）を用いる。
• ルールプロセッサを用いて、アドレス範囲を複数のCIDRブロックに変換する、または動的インターフェースを特別な表記で処理するなど、プラットフォーム固有の差異を解消する。
• 各変換ステップがターゲットプラットフォームの制約に適合させつつ意味論的同等性を保持するように、段階的なコンパイルパイプラインを採用する。
• 抽象モデルを中間表現として活用することで、複数のファイアウォールに跨るポリシーの検証、最適化、異常検出を可能にする。

実験結果

リサーチクエスチョン

• RQ1 主要なファイアウォールプラットフォーム間の構文的・意味論的差異を抽象化し、統一的でプラットフォームに依存しないファイアウォールポリシーモデルを設計するにはどうすればよいか？
• RQ2 ファイアウォールプラットフォーム間の主な意味論的差異（例：デフォルトポリシー、ルールマッチ順序、NAT処理）は何か、そしてそれらを共通モデル内でどのように是正できるか？
• RQ3 高レベルのポリシーレプリゼンテーションを、機能的同等性を保持したまま複数の具体的なファイアウォール構文にコンパイルするにはどうすればよいか？
• RQ4 アドレス範囲のサポート不足や動的インターフェースの処理といった、プラットフォーム固有の制限を解消するのに有効な変換技術（ルールプロセッサ）は何か？
• RQ5 抽象モデルは、ファイアウォール間の異常検出や最適化といった高度なポリシー解析を、どのような方法で可能にするか？

主な発見

• 抽象ファイアウォールモデルは、IPアドレス、サービス、時間間隔といった共通の抽象化を一貫した方法でモデル化することで、多様なファイアウォールプラットフォームを統合することに成功した。
• ルールプロセッサの使用により、抽象ポリシーを具体的な構文に効果的にコンパイルでき、アドレス範囲の分割といった変換は複数のプラットフォームで再利用可能である。
• インプリシットなインターフェース指定、異なるデフォルトポリシー、ルールマッチの意味論的差異といった、プラットフォーム固有の課題は、コンパイルパイプラインにおける意味論の正規化によって体系的に解消できる。
• ルールを多次元空間内の幾何学的図形としてモデル化することで、パケットを点として扱い、ルールの競合や重複を検出できる。このアプローチにより、ポリシーの検証と最適化が可能になる。
• ファイアウォールビルダーへの実装により、実用的妥当性が裏付けられており、5つのファイアウォールプラットフォームをサポートし、主要なLinuxディストリビューションに統合されている。
• 抽象モデルにより、複数のファイアウォールが共通のユーティリティオブジェクトを共有できるため、ネットワーク全体のポリシー解析が可能となり、内部および相互ファイアウォールの両方の異常を検出できる。