[論文レビュー] Algorithms for Analysing Firewall and Router Access Lists

Scott Hazelhurst|ArXiv.org|Aug 9, 2000

Formal Methods in Verification参考文献 5被引用数 38

ひとこと要約

本稿では、ファイアウォールおよびルータのアクセス制御リスト（ACL）を効率的に表現・分析するため、二値決定グラフ（BDD）の使用を提案している。BDDを用いることで、複雑なルールセットの検証、可視化、および変更が効率的に行えるようになる。ルールセットを正規化されたBDDに変換することで、自動分析、同値性の検査、直感的なグラフィカルな検査が可能となり、ネットワークセキュリティポリシーにおけるルールセットの保守性を著しく向上させ、設定エラーを低減する。

ABSTRACT

Network firewalls and routers use a rule database to decide which packets will be allowed from one network onto another. By filtering packets the firewalls and routers can improve security and performance. However, as the size of the rule list increases, it becomes difficult to maintain and validate the rules, and lookup latency may increase significantly. Ordered binary decision diagrams (BDDs) - a compact method of representing and manipulating boolean expressions - are a potential method of representing the rules. This paper presents a new algorithm for representing such lists as a BDD and then shows how the resulting boolean expression can be used to analyse rule sets.

研究の動機と目的

• 大規模なファイアウォールおよびルータのルールセットにおける複雑さと保守の難しさに対処すること。
• ルールの順序、重複、意図しないアクセスパターンによって引き起こされる設定エラーを低減すること。
• 形式的手法を用いて、ルールセット分析の効率性と正しさを向上させること。
• BDDを用いて、スケーラブルでコンパクトなアクセス制御ポリシーの表現を提供すること。
• ネットワーク管理者がルールセットを検証および可視化できる実用的なツールの開発

提案手法

• ネットワーク属性（送信元/送信先IP、ポート、プロトコル）に関する論理式として、各アクセスリストルールを表現する。
• 全ルールセットを1つの簡略化順序付き二値決定グラフ（ROBDD）にコンパイルして、正規化され、コンパクトな表現を得る。
• BDD演算（例：論理積、論理否定、同値性検査）を用いて、ルールセットの形式的解析を行う。
• 衝突、重複、意図しない動作を検出するための照合および照合アルゴリズムを実装する。
• Tcl/Tkを用いて、ルールセットの挙動および異なるルールセット間の差異を可視化するプロトタイプのグラフィカルインターフェースを開発する。
• BDDサイズの最小化とパフォーマンス向上のため、変数の順序付けおよび最適化技術を適用する。

実験結果

リサーチクエスチョン

• RQ1 大規模で複雑なファイアウォールおよびルータのアクセスリストを、コンパクトで形式的かつ解析可能な方法で表現するにはどうすればよいか？
• RQ2 BDDは、ルールセットの整合性の欠如、重複、または意図しないアクセスパターンをどの程度検出できるか？
• RQ3 BDDに基づく解析は、ネットワークアクセスポリシーの正しさと保守性を向上させることができるか？
• RQ4 BDD表現は、ルールセットの自動検証および比較をどの程度効果的に可能にするか？
• RQ5 BDDに基づくルール解析ツールの実用的 usability およびパフォーマンス特性は何か？

主な発見

• BDD表現は、任意のアクセスリストについて正規化され、コンパクトで形式的に正しいモデルを提供し、信頼性の高い解析を可能にする。
• BDDに基づく解析により、ルールの衝突、重複、意図しないアクセスパターンを自動で検出できる。
• プロトタイプのグラフィカルインターフェースにより、ユーザーはルールセットの挙動を視覚化し、異なるバージョン間を効率的に比較できる。
• BDDを用いたルールセット間の同値性検査は、計算的に効率的かつ正確であり、安全なルール変更を可能にする。
• BDD表現により、全ルールリストの調査なしに、「特定のサブネットからのどのトラフィックが許可されているか？」といった高レベルのクエリを実行できる。
• プロトタイプはパフォーマンス最適化がなされていないが、さらなる工学的改善を加えることで、産業用途への適用が実現可能であることが示された。