JP2014126963A - Communication control system, communication control method and communication control program - Google Patents

Communication control system, communication control method and communication control program Download PDF

Info

Publication number
JP2014126963A
JP2014126963A JP2012281898A JP2012281898A JP2014126963A JP 2014126963 A JP2014126963 A JP 2014126963A JP 2012281898 A JP2012281898 A JP 2012281898A JP 2012281898 A JP2012281898 A JP 2012281898A JP 2014126963 A JP2014126963 A JP 2014126963A
Authority
JP
Japan
Prior art keywords
communication control
virtual machine
control device
virtual
communication
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2012281898A
Other languages
Japanese (ja)
Other versions
JP6079218B2 (en
Inventor
Hisato Onodera
久人 小野寺
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NEC Corp
Original Assignee
NEC Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by NEC Corp filed Critical NEC Corp
Priority to JP2012281898A priority Critical patent/JP6079218B2/en
Publication of JP2014126963A publication Critical patent/JP2014126963A/en
Application granted granted Critical
Publication of JP6079218B2 publication Critical patent/JP6079218B2/en
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Landscapes

  • Computer And Data Communications (AREA)

Abstract

PROBLEM TO BE SOLVED: To provide a communication control system for performing communication control on only a virtual machine which does not satisfy a security policy and, even when the virtual machine is infected by an illegal program so that the operation is restricted, performing communication control without giving an impact on other virtual machines.SOLUTION: When a virtual machine 11 having abnormality in a virtual environment 10 is detected by an abnormality detection device 3, a communication control device creation/elimination unit 22 instructs a hypervisor 5 to create a communication control device 15 in the virtual environment 10. The hypervisor 5 creates the communication control device 15 in the virtual environment 10 in response to the instruction of the communication control device creation/elimination unit 22. The communication control device 15 is to be a communication control system for controlling communication of the virtual machine 11 having abnormality.

Description

本発明は、仮想環境の通信制御システム、通信制御方法および通信制御プログラムに関する。特に、コンピュータなどの端末を含むクラウド環境やデータセンタにおいて利用可能である通信制御技術に関する。   The present invention relates to a virtual environment communication control system, a communication control method, and a communication control program. In particular, the present invention relates to a communication control technology that can be used in a cloud environment including a terminal such as a computer or a data center.

一般的なコンピュータ端末の検疫システムでは、あらかじめ端末にエージェントをインストールし、端末がセキュリティポリシを満たさない場合は、検疫ネットワークにのみ接続可能とさせることで、ネットワークのセキュリティを確保していた。   In a general computer terminal quarantine system, network security is ensured by installing an agent in advance in the terminal and allowing the terminal to connect only to the quarantine network if the terminal does not satisfy the security policy.

また、図１０に示した特許文献１の検疫システムにおいては、ネットワーク遮断装置１１０をネットワークセグメントの前に設置することによってネットワークのセキュリティを確保している。   Further, in the quarantine system of Patent Document 1 shown in FIG. 10, network security is ensured by installing the network blocking device 110 in front of the network segment.

特許文献１のネットワーク遮断装置１１０は、検知手段１１１と、隔離ポリシ１１２と、隔離管理手段１１３と、通信遮断手段１１４と、通信手段１１５と、を備えている。検知手段１１１は、管理対象のネットワークセグメントＡ１２１及びＢ１２２を監視する。検知手段１１１は、ネットワークセグメントとの通信において、所定の条件を満たした通信を検知すると検知通知を生成し、その検知通知を隔離管理手段１１３に引き渡す。隔離管理手段１１３は、自装置の検知手段１１１が生成した検知通知、または他のネットワーク遮断装置１３１、１３２が生成した検知通知１６０を上位ネットワーク１５０経由で取得すると、隔離ポリシ１１２に格納されている隔離ポリシに基づき、遮断操作依頼を生成して通信遮断手段１１４に送る。通信遮断手段１１４は、遮断操作依頼に基づいて遮断対象を規定する遮断データを設定し、ネットワークセグメントＡ１２１及びＢ１２２を入出力する通信パケットの通過を遮断するか、そのまま通過させるかを制御する。   The network blocking device 110 of Patent Document 1 includes a detection unit 111, an isolation policy 112, an isolation management unit 113, a communication blocking unit 114, and a communication unit 115. The detection unit 111 monitors the network segments A121 and B122 to be managed. The detection unit 111 generates a detection notification when detecting communication satisfying a predetermined condition in communication with the network segment, and delivers the detection notification to the quarantine management unit 113. When the quarantine management unit 113 acquires the detection notification generated by the detection unit 111 of the own device or the detection notification 160 generated by the other network blocking devices 131 and 132 via the upper network 150, the quarantine management unit 113 stores the detection notification 160 in the quarantine policy 112. Based on the isolation policy, a blocking operation request is generated and sent to the communication blocking unit 114. The communication blocking unit 114 sets blocking data that defines the blocking target based on the blocking operation request, and controls whether to block the passage of communication packets that are input and output from the network segments A121 and B122, or to pass the communication packets as they are.

特許文献１の検疫システムでは、管理対象のネットワークセグメントＡ１２１、Ｂ１２２内でワームを検知した場合に、当該ネットワークセグメントＡ１２１、Ｂ１２２を遮断することによって、他のネットワークセグメント１４１、１４２へワームが感染拡大しないようにしている。また、ワームを検出したネットワーク遮断装置は、他のセグメントを管理している遮断装置に検知通知１６０を送信する。検知通知１６０を取得したネットワーク遮断装置１１０は、自身が管理しているネットワークセグメントＡ１２１、Ｂ１２２内でワームの被害が出る前にネットワーク遮断装置１１０を有効にすることによって感染を予防できる。   In the quarantine system of Patent Document 1, when a worm is detected in the network segments A121 and B122 to be managed, the network segment A121 and B122 is blocked to prevent the worm from spreading to other network segments 141 and 142. I am doing so. In addition, the network cutoff device that has detected the worm transmits a detection notification 160 to the cutoff device that manages other segments. The network blocking device 110 that has received the detection notification 160 can prevent infection by enabling the network blocking device 110 before the worm damage occurs in the network segments A121 and B122 that it manages.

特開２００７−０１１７４８号公報JP 2007-011748 A

一般的な検疫システムでは、端末がウィルスに感染した場合、エージェントが正常に動作することを保証できないため、ウィルスに感染した端末を検疫ネットワークのみに接続させる機構が働かない可能性があるという課題があった。   In a general quarantine system, if a terminal is infected with a virus, it is not possible to guarantee that the agent will operate normally. Therefore, there is a possibility that the mechanism that connects a virus-infected terminal only to the quarantine network may not work. there were.

さらに、端末が利用できるＯＳ（Ｏｐｅｒａｔｉｏｎ Ｓｙｓｔｅｍ）は、エージェントが対応しているＯＳに制限されるという課題があった。   Furthermore, there is a problem that an OS (Operation System) that can be used by the terminal is limited to an OS that the agent supports.

特許文献１に記載の検疫システムでは、ワームの感染拡大を防ぐために、感染のあった端末の属するネットワークと他のネットワークとの通信を遮断し、他のネットワークに存在する端末にワームが感染することを防いでいる。しかしながら、ワームに感染した端末が属するネットワークの中でワームに感染していない端末が、他のネットワークの端末と通信できなくなるという課題があった。   In the quarantine system described in Patent Document 1, in order to prevent the spread of worm infection, communication between the network to which the infected terminal belongs and the other network is blocked, and the worm infects terminals existing in the other network. Is preventing. However, there is a problem that a terminal not infected with the worm cannot communicate with a terminal of another network in the network to which the terminal infected with the worm belongs.

本発明の目的は、セキュリティポリシを満たさない仮想マシンのみに通信制御を行ない、その仮想マシンが不正なプログラムに感染して動作を制御されても、他の仮想マシンに影響を及ぼすことなく、通信制御を行なう通信制御システムを提供することである。   The object of the present invention is to perform communication control only for a virtual machine that does not satisfy the security policy, and even if the virtual machine is infected with an unauthorized program and its operation is controlled, communication is performed without affecting other virtual machines. A communication control system that performs control is provided.

本発明の通信制御システムは、ハイパーバイザによって管理される仮想環境において、仮想環境に含まれる仮想マシンに異常が検知されると、仮想マシンの通信を制御する通信制御装置が仮想環境の内部に生成され、通信制御装置によって仮想マシンの通信を制御する。   In the communication control system of the present invention, in the virtual environment managed by the hypervisor, when an abnormality is detected in the virtual machine included in the virtual environment, a communication control device that controls communication of the virtual machine is generated inside the virtual environment. The communication control device controls the communication of the virtual machine.

また、本発明の通信制御システムは、ハイパーバイザによって管理される仮想環境を有するサーバと、仮想環境に含まれる仮想マシンがセキュリティポリシを満たすか否かによって異常の有無を判定する異常検知装置と、異常の検知された仮想マシンの通信を制御する通信制御装置を仮想環境に作成・削除することをハイパーバイザに指示する通信制御装置作成・削除部を有する通信制御装置管理サーバと、を備え、異常検知装置によって仮想環境の内部に異常のある仮想マシンが検出された際に、通信制御装置作成・削除部は、仮想環境の内部に通信制御装置を作成することをハイパーバイザに指示し、ハイパーバイザは、通信制御装置作成・削除部の指示に応じて仮想環境の内部に通信制御装置を作成し、通信制御装置は、異常のある仮想マシンの通信を制御する。   Further, the communication control system of the present invention includes a server having a virtual environment managed by a hypervisor, an abnormality detection device that determines whether there is an abnormality depending on whether or not a virtual machine included in the virtual environment satisfies a security policy, A communication control device management server having a communication control device creation / deletion unit that instructs the hypervisor to create / delete a communication control device that controls communication of a virtual machine in which an abnormality has been detected. When an abnormal virtual machine is detected inside the virtual environment by the detection device, the communication control device creation / deletion unit instructs the hypervisor to create a communication control device inside the virtual environment. Creates a communication control device inside the virtual environment in response to an instruction from the communication control device creation / deletion unit. To control the communication of the machine.

本発明の通信制御方法においては、ハイパーバイザによって管理される仮想環境を有するサーバと、仮想環境に含まれる仮想マシンがセキュリティポリシを満たすか否かによって異常の有無を判定する異常検知装置と、異常の検知された仮想マシンの通信を制御する通信制御装置を仮想環境に作成・削除することをハイパーバイザに指示する通信制御装置作成・削除部を有する通信制御装置管理サーバと、を備え、異常検知装置によって仮想環境の内部に異常のある仮想マシンが検出された際に、通信制御装置作成・削除部によって仮想環境の内部に通信制御装置を作成することをハイパーバイザに指示し、ハイパーバイザによって通信制御装置作成・削除部の指示に応じて仮想環境の内部に通信制御装置を作成し、通信制御装置によって異常のある仮想マシンの通信を制御する。   In the communication control method of the present invention, a server having a virtual environment managed by a hypervisor, an abnormality detection device that determines whether there is an abnormality depending on whether or not a virtual machine included in the virtual environment satisfies a security policy, and an abnormality A communication control device management server having a communication control device creation / deletion unit that instructs the hypervisor to create / delete a communication control device that controls communication of detected virtual machines in a virtual environment, and detects abnormality When an abnormal virtual machine is detected inside the virtual environment by the device, the communication control device creation / deletion unit instructs the hypervisor to create a communication control device inside the virtual environment, and communication is performed by the hypervisor. A communication control device is created inside the virtual environment according to the instruction from the control device creation / deletion unit. To control the communication of certain virtual machines with.

本発明の通信制御プログラムは、ハイパーバイザによって管理される仮想環境を有するサーバと、仮想環境に含まれる仮想マシンがセキュリティポリシを満たすか否かによって異常の有無を判定する異常検知装置と、異常の検知された仮想マシンの通信を制御する通信制御装置を仮想環境に作成・削除することをハイパーバイザに指示する通信制御装置作成・削除部を有する通信制御装置管理サーバと、を備え、異常検知装置によって仮想環境の内部に異常のある仮想マシンが検出された際に、通信制御装置作成・削除部によって仮想環境の内部に通信制御装置を作成することをハイパーバイザに指示する処理と、ハイパーバイザによって通信制御装置作成・削除部の指示に応じて仮想環境の内部に通信制御装置を作成する処理と、通信制御装置によって異常のある仮想マシンの通信を制御する処理と、をコンピュータに実行させる。   The communication control program of the present invention includes a server having a virtual environment managed by a hypervisor, an abnormality detection device that determines whether there is an abnormality depending on whether or not a virtual machine included in the virtual environment satisfies a security policy, A communication control device management server having a communication control device creation / deletion unit that instructs a hypervisor to create / delete a communication control device that controls communication of a detected virtual machine in a virtual environment, and an abnormality detection device When a virtual machine with an abnormality is detected in the virtual environment, the communication control device creation / deletion unit instructs the hypervisor to create a communication control device inside the virtual environment, and the hypervisor Processing to create a communication control device inside the virtual environment according to instructions from the communication control device creation / deletion unit, and communication control To execute a process of controlling the communication of virtual machines with abnormal by location, to the computer.

本発明の通信制御システムによれば、セキュリティポリシを満たさない仮想マシンのみに通信制御を行なうため、その仮想マシンが不正なプログラムに感染して動作を制御されても、他の仮想マシンに影響を及ぼすことなく、通信制御を行なうことができる。   According to the communication control system of the present invention, since communication control is performed only for virtual machines that do not satisfy the security policy, even if the virtual machine is infected with an unauthorized program and the operation is controlled, other virtual machines are affected. Communication control can be performed without exerting any influence.

本発明の実施形態に係る通信制御システムの構成図である。It is a block diagram of the communication control system which concerns on embodiment of this invention. 本発明の実施形態に係る異常マシンリストの一例である。It is an example of the abnormal machine list which concerns on embodiment of this invention. 本発明の実施形態に係る通信制御装置設定テーブルの一例である。It is an example of the communication control apparatus setting table which concerns on embodiment of this invention. 本発明の実施形態に係る通信制御装置設置前の仮想環境を説明するための図である。It is a figure for demonstrating the virtual environment before the communication control apparatus installation which concerns on embodiment of this invention. 本発明の実施形態に係る異常状態となった仮想マシンの情報を取得するシーケンス図である。It is a sequence diagram which acquires the information of the virtual machine used as the abnormal condition which concerns on embodiment of this invention. 本発明の実施形態に係る通信制御装置作成シーケンス図である。It is a communication control apparatus creation sequence diagram concerning the embodiment of the present invention. 本発明の実施形態に係る通信制御装置作成直後の仮想環境を説明するための図である。It is a figure for demonstrating the virtual environment immediately after creation of the communication control apparatus which concerns on embodiment of this invention. 本発明の実施形態に係る異常検知時の接続先仮想スイッチを変更するシーケンス図である。It is a sequence diagram which changes the connection destination virtual switch at the time of the abnormality detection which concerns on embodiment of this invention. 本発明の実施形態に係る仮想マシン正常化時のシーケンス図である。It is a sequence diagram at the time of normalization of the virtual machine according to the embodiment of the present invention. 特許文献１のネットワーク遮断装置を備えた検疫システムの概念図である。It is a conceptual diagram of the quarantine system provided with the network interruption | blocking apparatus of patent document 1. FIG.

以下に、本発明を実施するための形態について図面を用いて説明する。但し、以下に述べる実施形態には、本発明を実施するために技術的に好ましい限定がされているが、発明の範囲を以下に限定するものではない。   EMBODIMENT OF THE INVENTION Below, the form for implementing this invention is demonstrated using drawing. However, the preferred embodiments described below are technically preferable for carrying out the present invention, but the scope of the invention is not limited to the following.

（構成）
図１は、本発明の実施形態に係る通信制御システムの全体構成を示す図である。 (Constitution)
FIG. 1 is a diagram showing an overall configuration of a communication control system according to an embodiment of the present invention.

本実施形態に係る通信制御システムは、サーバ１と、通信制御装置管理サーバ２と、異常検知装置３と、を備えており、それぞれの構成要素が互いにネットワーク４によって接続されている。   The communication control system according to the present embodiment includes a server 1, a communication control device management server 2, and an abnormality detection device 3, and each component is connected to each other by a network 4.

サーバ１は、仮想環境１０を構成するためのサーバである。通信制御装置管理サーバ２は、サーバ１の仮想環境１０に構築する通信制御装置１５を管理するサーバである。異常検知装置３は、サーバ１の仮想環境１０の仮想マシン１１、１２がセキュリティポリシに適合するかどうかを判断する装置である。なお、図１に示した本実施形態において、サーバ１は１台のみとしているが、サーバ１を複数台のサーバで構成してもよい。   The server 1 is a server for configuring the virtual environment 10. The communication control device management server 2 is a server that manages the communication control device 15 constructed in the virtual environment 10 of the server 1. The abnormality detection device 3 is a device that determines whether or not the virtual machines 11 and 12 in the virtual environment 10 of the server 1 conform to the security policy. In the present embodiment shown in FIG. 1, only one server 1 is used, but the server 1 may be composed of a plurality of servers.

図１を用いて、各構成要素の特徴的な機能について説明する。   A characteristic function of each component will be described with reference to FIG.

（サーバ）
サーバ１は、仮想環境１０と、仮想環境１０を管理するハイパーバイザ５から構成される。仮想環境１０は、仮想マシン１１、１２、仮想スイッチ１３、１４、通信制御装置１５を含む。仮想マシン１１は仮想スイッチ１３に接続され、仮想マシン１２は仮想スイッチ１４に接続されている。通信制御装置１５は、２つの仮想スイッチ１３、１４に接続されている。図１においては、仮想スイッチ１４がネットワーク４に接続されている。なお、本実施形態においては仮想マシンが二つある例について説明しているが、仮想マシンの数の上限について制限はなく、三つ以上あってもよい。 (server)
The server 1 includes a virtual environment 10 and a hypervisor 5 that manages the virtual environment 10. The virtual environment 10 includes virtual machines 11 and 12, virtual switches 13 and 14, and a communication control device 15. The virtual machine 11 is connected to the virtual switch 13, and the virtual machine 12 is connected to the virtual switch 14. The communication control device 15 is connected to the two virtual switches 13 and 14. In FIG. 1, a virtual switch 14 is connected to the network 4. In this embodiment, an example in which there are two virtual machines has been described. However, there is no upper limit on the number of virtual machines, and there may be three or more.

ハイパーバイザ５は、仮想環境１０を管理し、仮想環境１０の仮想マシン１１、１２、仮想スイッチ１３、１４、通信制御装置１５の作成・設定変更・実行などを行う。   The hypervisor 5 manages the virtual environment 10 and creates, changes, and executes the virtual machines 11 and 12, the virtual switches 13 and 14, and the communication control device 15 in the virtual environment 10.

仮想マシン１１は、異常検知装置３によって異常を検知された仮想マシンであり、通信制御装置１５によって通信制御される。仮想マシン１１の仮想マシンＩＤは、ＶＭ１に設定されている（ＩＤ：Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ）。ここで、仮想マシンＩＤとは、仮想環境１０内で仮想マシンを一意に特定するための識別子である。   The virtual machine 11 is a virtual machine in which an abnormality is detected by the abnormality detection device 3, and communication control is performed by the communication control device 15. The virtual machine ID of the virtual machine 11 is set to VM1 (ID: Identification). Here, the virtual machine ID is an identifier for uniquely identifying a virtual machine in the virtual environment 10.

仮想マシン１２は、異常検知装置３によって異常を検知されていない仮想マシンであり、通信制御がされていない状態である。仮想マシン１２の仮想マシンＩＤは、ＶＭ２に設定されている。   The virtual machine 12 is a virtual machine whose abnormality is not detected by the abnormality detection device 3 and is in a state where communication control is not performed. The virtual machine ID of the virtual machine 12 is set to VM2.

仮想スイッチ１３、１４は、仮想環境１０内で仮想ネットワークを構成するブリッジである。仮想環境１０内で仮想スイッチを一意に特定するための仮想スイッチＩＤとしては、仮想スイッチ１３、１４に対して、それぞれｖＳＷ１、ＶＭ１＿ｖＳＷが設定されている。仮想スイッチ１３は、通信制御装置管理サーバ２の指示によって、ハイパーバイザ５が作成する。   The virtual switches 13 and 14 are bridges that constitute a virtual network in the virtual environment 10. As virtual switch IDs for uniquely identifying virtual switches in the virtual environment 10, vSW1 and VM1_vSW are set for the virtual switches 13 and 14, respectively. The virtual switch 13 is created by the hypervisor 5 according to an instruction from the communication control device management server 2.

通信制御装置１５は、通信制御装置管理サーバ２によって管理され、異常検知装置３によって異常が検知された仮想マシン１１の通信を制御するファイアウォール機能をもったブリッジである。通信制御装置１５は、仮想環境１０で仮想マシンとして動作する。仮想環境１０内で仮想マシンを一意に特定する仮想マシンＩＤとしては、ＶＭ１＿ＦＷが設定されている。通信制御装置１５は、２つの仮想ネットワークインタフェースをもち、仮想スイッチ１３、１４に接続されている。   The communication control device 15 is a bridge having a firewall function that controls communication of the virtual machine 11 that is managed by the communication control device management server 2 and in which an abnormality is detected by the abnormality detection device 3. The communication control device 15 operates as a virtual machine in the virtual environment 10. VM1_FW is set as a virtual machine ID that uniquely identifies a virtual machine in the virtual environment 10. The communication control device 15 has two virtual network interfaces and is connected to the virtual switches 13 and 14.

（通信制御装置管理サーバ）
通信制御装置管理サーバ２は、仮想マシン特定部２１と、通信制御装置作成・削除部２２と、仮想マシン接続先変更部２３と、異常マシンリスト２４と、通信制御装置設定２５と、を備えている。 (Communication control device management server)
The communication control device management server 2 includes a virtual machine specifying unit 21, a communication control device creating / deleting unit 22, a virtual machine connection destination changing unit 23, an abnormal machine list 24, and a communication control device setting 25. Yes.

仮想マシン特定部２１は、異常検知装置３から異常のある仮想マシン１１のＩＰアドレスを受け取り、仮想マシンＩＤを特定する（ＩＰ：Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）。通信制御装置作成・削除部２２は、通信制御装置１５の作成指示・削除指示・設定を行う。仮想マシン接続先変更部２３は、通信制御装置１５と異常のある仮想マシン１１の接続先仮想スイッチの変更を指示する。異常マシンリスト２４は、異常検知装置３が異常と判断した仮想マシンの情報を格納する。通信制御装置設定２５は、通信制御装置１５に設定する情報をあらかじめ格納しておく。   The virtual machine specifying unit 21 receives the IP address of the virtual machine 11 having an abnormality from the abnormality detection device 3, and specifies the virtual machine ID (IP: Internet Protocol). The communication control device creation / deletion unit 22 instructs creation / deletion / setting of the communication control device 15. The virtual machine connection destination changing unit 23 instructs to change the connection destination virtual switch between the communication control device 15 and the virtual machine 11 having an abnormality. The abnormal machine list 24 stores information on virtual machines that the abnormality detection device 3 has determined to be abnormal. The communication control device setting 25 stores information to be set in the communication control device 15 in advance.

仮想マシン特定部２１は、異常検知装置３から仮想マシンが異常状態になったことを通知された場合、異常状態になった仮想マシンの仮想マシンＩＤと、接続先仮想スイッチの仮想スイッチＩＤを調べ、通信制御作成・削除部２２に通信制御装置作成指示を通知する。また、異常検知装置３から仮想マシンが正常状態になったことを通知された場合、異常マシンリスト２４から当該仮想マシンの仮想マシンＩＤと、通信制御装置１５の仮想マシンＩＤと、通信制御前に接続していた仮想スイッチＩＤと、通信制御後に接続している仮想スイッチＩＤを取得し、仮想マシン接続先変更部２３に通知のあった仮想マシンの接続先仮想スイッチ変更指示を通知する。   When notified from the abnormality detection device 3 that the virtual machine has entered an abnormal state, the virtual machine specifying unit 21 checks the virtual machine ID of the virtual machine that has entered the abnormal state and the virtual switch ID of the connection destination virtual switch. The communication control creation / deletion unit 22 is notified of a communication control device creation instruction. When the abnormality detection device 3 notifies that the virtual machine is in a normal state, the virtual machine ID of the virtual machine, the virtual machine ID of the communication control device 15 and the communication control device 15 before communication control are transmitted from the abnormal machine list 24. The connected virtual switch ID and the virtual switch ID connected after the communication control are acquired, and the virtual machine connection destination changing unit 23 is notified of the virtual machine connection destination virtual switch change instruction.

通信制御装置作成・削除部２２は、仮想マシン特定部２１から通信制御装置作成指示を受けて、まず、ハイパーバイザ５に対して通信制御装置１５及び仮想スイッチ１３の作成を指示する。次に、通信制御装置設定２５から設定を読み込んで、作成した通信制御装置１５に設定を反映する。その後、異常状態になった仮想マシンのＩＰアドレス、仮想マシンＩＤ、接続先仮想スイッチの仮想スイッチＩＤ、通信制御装置１５の仮想マシンＩＤ及び仮想スイッチ１３の仮想スイッチＩＤを異常マシンリスト２４に記録する。最後に、仮想マシン接続先変更部２３に対して、仮想マシン１１と通信制御装置１５の接続先仮想スイッチ変更指示を通知する。また、仮想マシン接続先変更部２３から通信制御装置削除指示を受けて、ハイパーバイザ５に通信制御装置１５の削除を指示し、異常マシンリスト２４から情報を削除する。   Upon receiving a communication control device creation instruction from the virtual machine specifying unit 21, the communication control device creation / deletion unit 22 first instructs the hypervisor 5 to create the communication control device 15 and the virtual switch 13. Next, the setting is read from the communication control device setting 25, and the setting is reflected on the created communication control device 15. Thereafter, the virtual machine IP address, virtual machine ID, virtual switch ID of the connection destination virtual switch, virtual machine ID of the communication control device 15, and virtual switch ID of the virtual switch 13 are recorded in the abnormal machine list 24. . Finally, the virtual machine connection destination changing unit 23 is notified of a connection destination virtual switch change instruction between the virtual machine 11 and the communication control device 15. In addition, upon receiving a communication control device deletion instruction from the virtual machine connection destination changing unit 23, the hypervisor 5 is instructed to delete the communication control device 15, and information is deleted from the abnormal machine list 24.

仮想マシン接続先変更部２３は、通信制御装置作成・削除部２２から接続先仮想スイッチ変更指示を受けて、仮想マシン１１及び通信制御装置１５の接続先仮想スイッチを変更するようハイパーバイザ５に指示する。また、仮想マシン特定部２１から接続先仮想スイッチ変更指示を受けて、仮想マシン１１の接続先仮想スイッチを変更するようハイパーバイザ５に指示する。   The virtual machine connection destination changing unit 23 receives a connection destination virtual switch change instruction from the communication control device creation / deletion unit 22 and instructs the hypervisor 5 to change the connection destination virtual switch of the virtual machine 11 and the communication control device 15. To do. Further, upon receiving a connection destination virtual switch change instruction from the virtual machine specifying unit 21, the hypervisor 5 is instructed to change the connection destination virtual switch of the virtual machine 11.

異常マシンリスト２４は、図２のように、仮想マシンのＩＰアドレスと、異常仮想マシンの仮想マシンＩＤと、通信制御前の仮想スイッチＩＤと、通信制御装置の仮想マシンＩＤと、通信制御後の仮想スイッチＩＤと、を保持している。   As shown in FIG. 2, the abnormal machine list 24 includes a virtual machine IP address, a virtual machine ID of the abnormal virtual machine, a virtual switch ID before the communication control, a virtual machine ID of the communication control device, and a post-communication control. Virtual switch ID.

図２の異常マシンリスト２４の各項目について説明する。仮想マシンのＩＰアドレスは、異常検知装置３によって異常を検知された仮想マシン１１のＩＰアドレスである。異常仮想マシンの仮想マシンＩＤは、異常を検知された仮想マシン１１の仮想マシンＩＤである。通信制御前の仮想スイッチＩＤは、通信制御装置１５に通信制御される前に仮想マシン１１が接続していた仮想スイッチ１４の仮想スイッチＩＤである。通信制御装置の仮想マシンＩＤは、通信制御装置１５がもつ仮想マシンＩＤである。通信制御後の仮想スイッチＩＤは、通信制御装置１５に通信制御された後に仮想マシン１１が接続している仮想スイッチ１３の仮想スイッチＩＤである。   Each item in the abnormal machine list 24 of FIG. 2 will be described. The IP address of the virtual machine is the IP address of the virtual machine 11 in which an abnormality is detected by the abnormality detection device 3. The virtual machine ID of the abnormal virtual machine is the virtual machine ID of the virtual machine 11 in which the abnormality is detected. The virtual switch ID before communication control is the virtual switch ID of the virtual switch 14 to which the virtual machine 11 was connected before the communication control device 15 performs communication control. The virtual machine ID of the communication control device is a virtual machine ID that the communication control device 15 has. The virtual switch ID after the communication control is the virtual switch ID of the virtual switch 13 to which the virtual machine 11 is connected after the communication control by the communication control device 15.

通信制御装置設定２５は、通信制御装置１５に設定する設定内容を保持している。図３に、通信制御装置１５に設定する設定内容の例である通信制御装置設定テーブル３０を示す。通信制御装置設定２５は、ファイアウォールのルールのように、制御対象の通信を指定し、その通信に対しての動作を規定している。図３に示した通信制御装置設定テーブル３０には、通信を指定する条件として通信の送信元ＩＰアドレス、送信元ポート番号、宛先ＩＰアドレス、宛先ポート番号が記載されている。指定した通信に対する通信制御装置１５の動作として、許可・破棄が記載されている。なお、その他の条件として、アプリケーションファイアウォールのように、特定のアプリケーションを条件として指定し、指定したアプリケーションが行う通信のみを制御の対象として指定してもよく、条件は図３の形式には限定しない。   The communication control device setting 25 holds setting contents to be set in the communication control device 15. FIG. 3 shows a communication control device setting table 30 which is an example of setting contents set in the communication control device 15. The communication control device setting 25 specifies a communication to be controlled and defines an operation for the communication, like a firewall rule. The communication control device setting table 30 shown in FIG. 3 describes a transmission source IP address, a transmission source port number, a destination IP address, and a destination port number as conditions for designating communication. Permitted / discarded is described as the operation of the communication control device 15 for the designated communication. As other conditions, a specific application such as an application firewall may be designated as a condition, and only communication performed by the designated application may be designated as a control target. The condition is not limited to the format shown in FIG. .

図３の通信制御装置設定テーブル３０で特徴的なのは、送信元ＩＰアドレスや宛先ＩＰアドレスを具体的に指定するかわりに、「異常仮想マシン」を指定することである。「異常仮想マシン」を指定すると、ポリシが適用される際に、異常検知装置３によって異常を検知された仮想マシン１１のＩＰアドレスで置き換えられる。   A characteristic of the communication control device setting table 30 in FIG. 3 is that “abnormal virtual machine” is designated instead of specifically designating the source IP address and the destination IP address. When “abnormal virtual machine” is designated, when the policy is applied, the IP address of the virtual machine 11 whose abnormality is detected by the abnormality detection device 3 is replaced.

（異常検知装置）
異常検知装置３は、異常でない仮想マシン１２がセキュリティポリシを満たすかどうかを判断し、満たさない場合に当該仮想マシン１２を異常であると判断し、通信制御装置管理サーバ２に仮想マシン１２のＩＰアドレスと異常であることを通知する。また、セキュリティポリシを満たさない仮想マシン１１がセキュリティポリシを満たす状態になった場合、異常検知装置３は仮想マシン１１が正常であると判断し、通信制御装置管理サーバ２に仮想マシン１１のＩＰアドレスと正常であることを通知する。 (Abnormality detection device)
The abnormality detection device 3 determines whether or not the virtual machine 12 that is not abnormal satisfies the security policy. If the virtual machine 12 does not satisfy the security policy, the abnormality detection device 3 determines that the virtual machine 12 is abnormal, and sends the IP of the virtual machine 12 to the communication control device management server 2. Notify that the address is abnormal. Further, when the virtual machine 11 that does not satisfy the security policy is in a state satisfying the security policy, the abnormality detection device 3 determines that the virtual machine 11 is normal, and sends the IP address of the virtual machine 11 to the communication control device management server 2. And notify that it is normal.

セキュリティポリシの例としては、「１秒以内に１０種のＩＰアドレスに対してｐｉｎｇを送信している」や、「最新のＯＳパッチが適用されていない」、などが挙げられる。セキュリティポリシを満たすかどうかを判断する手法には一般的な手法を用いることができ、本実施形態においては、セキュリティポリシにあわせた適切な判断手法が選択されるものとする。   Examples of the security policy include “sending pings to 10 types of IP addresses within one second” and “the latest OS patch has not been applied”. A general method can be used as a method for determining whether or not the security policy is satisfied. In this embodiment, an appropriate determination method according to the security policy is selected.

異常検知装置３は、仮想マシンがセキュリティポリシを満たさなくなったとき、もしくは満たすようになったときに、通信制御装置管理サーバ２に対して当該仮想マシンのＩＰアドレスと、異常であるか正常であるかの情報を通知可能であればよく、設置場所は図１に記載の場所に限定されない。例えば、異常検知装置３は、アンチウィルスソフトウェアという形で各仮想マシンにインストールされていてもよい。   The abnormality detection device 3 is abnormal or normal with respect to the communication control device management server 2 and the IP address of the virtual machine when the virtual machine no longer satisfies the security policy or when the virtual machine does not meet the security policy. Such information may be notified, and the installation location is not limited to the location shown in FIG. For example, the abnormality detection device 3 may be installed in each virtual machine in the form of anti-virus software.

（動作）
本発明の実施形態通信制御システムの動作について、図面（図４〜９）を参照しながら説明する。 (Operation)
The operation of the communication control system according to the embodiment of the present invention will be described with reference to the drawings (FIGS. 4 to 9).

図４は、初期状態における仮想環境１０の仮想ネットワークの構成を示す図である。   FIG. 4 is a diagram illustrating the configuration of the virtual network of the virtual environment 10 in the initial state.

図４を参照すると、仮想マシン１１、１２が仮想スイッチ１４に接続されている。仮想マシンＩＤはそれぞれＶＭ１、ＶＭ２とし、仮想スイッチ１４の仮想スイッチＩＤはｖＳＷ１とする。ＩＰアドレスは、仮想マシン１１には「１９２．１６８．１．１」、仮想マシン１２には「１９２．１６８．１．２」、ハイパーバイザ５には「１９２．１６８．１．２００」、通信制御装置管理サーバ２には「１９２．１６８．１．２５３」、異常検知装置３には「１９２．１６８．１．２５４」を設定する。   Referring to FIG. 4, virtual machines 11 and 12 are connected to a virtual switch 14. The virtual machine IDs are VM1 and VM2, respectively, and the virtual switch ID of the virtual switch 14 is vSW1. The IP address is “192.168.1.1” for the virtual machine 11, “192.168.1.2” for the virtual machine 12, “192.168.1.200” for the hypervisor 5, communication “192.168.1.253” is set in the control device management server 2 and “192.168.1.254” is set in the abnormality detection device 3.

（異常検知時における動作）
図５を用いて、仮想マシン１１がセキュリティポリシを満たさなくなり、異常検知装置３が仮想マシン１１を異常と判断したときの動作を説明する。 (Operation when abnormality is detected)
An operation when the virtual machine 11 does not satisfy the security policy and the abnormality detection device 3 determines that the virtual machine 11 is abnormal will be described with reference to FIG.

図５のステップ５０１において、異常検知装置３が異常を検知すると、異常を検知した仮想マシン１１のＩＰアドレス（１９２．１６８．１．１）を仮想マシン特定部２１に送信する。   In step 501 of FIG. 5, when the abnormality detection device 3 detects an abnormality, the IP address (192.168.1.1) of the virtual machine 11 that detected the abnormality is transmitted to the virtual machine specifying unit 21.

仮想マシン特定部２１は、以下のステップ５０２〜５０５において、異常が発生した仮想マシン１１の仮想マシンＩＤを特定する。仮想マシンＩＤを特定する理由は、仮想マシン１１の接続先スイッチの情報取得、または接続先スイッチを変更するために、仮想マシンＩＤを指定してハイパーバイザ５に指示を出す必要があるためである。   The virtual machine specifying unit 21 specifies the virtual machine ID of the virtual machine 11 in which an abnormality has occurred in the following steps 502 to 505. The reason for specifying the virtual machine ID is that it is necessary to specify the virtual machine ID and issue an instruction to the hypervisor 5 in order to acquire information on the connection destination switch of the virtual machine 11 or change the connection destination switch. .

まず、ステップ５０２において、仮想マシン特定部２１は、ハイパーバイザ５が管理している仮想マシンの仮想マシンＩＤ一覧を要求する。   First, in step 502, the virtual machine specifying unit 21 requests a list of virtual machine IDs of virtual machines managed by the hypervisor 5.

ステップ５０３において、ハイパーバイザ５は、自身が管理している仮想マシンの仮想マシンＩＤ（ＶＭ１、ＶＭ２）を仮想マシン特定部２１に送信する。   In step 503, the hypervisor 5 transmits the virtual machine ID (VM 1, VM 2) of the virtual machine managed by the hypervisor 5 to the virtual machine specifying unit 21.

ステップ５０４及びステップ５０５は、各仮想マシンに対して設定されているＩＰアドレスを問い合わせるループ処理である。   Steps 504 and 505 are loop processing for inquiring about the IP address set for each virtual machine.

ステップ５０４において、仮想マシン特定部２１は、受信した仮想マシンＩＤのうち１つを指定し、指定した仮想マシンＩＤを持つ仮想マシンに設定されているＩＰアドレスをハイパーバイザ５に問い合わせる。   In step 504, the virtual machine specifying unit 21 designates one of the received virtual machine IDs, and inquires the hypervisor 5 about the IP address set for the virtual machine having the designated virtual machine ID.

ステップ５０５において、ハイパーバイザ５は、問い合わせがあった仮想マシンのＩＰアドレスを送信する。   In step 505, the hypervisor 5 transmits the IP address of the virtual machine for which an inquiry has been made.

ここで、ステップ５０５において仮想マシン特定部２１が受信したＩＰアドレスが、ステップ５０１で受信した仮想マシンのＩＰアドレスと同じ場合、異常状態の仮想マシンの仮想マシンＩＤをステップ５０４で問い合わせた仮想マシンＩＤと特定し、ステップ５０６に進む。   Here, if the IP address received by the virtual machine specifying unit 21 in step 505 is the same as the IP address of the virtual machine received in step 501, the virtual machine ID inquired in step 504 for the virtual machine ID of the abnormal virtual machine And proceed to step 506.

また、ステップ５０５において仮想マシン特定部２１が受信したＩＰアドレスが、ステップ５０１で受信した仮想マシンのＩＰアドレスと異なる場合、別の仮想マシンＩＤについてステップ５０４、５０５を実行する。   If the IP address received by the virtual machine specifying unit 21 in step 505 is different from the IP address of the virtual machine received in step 501, steps 504 and 505 are executed for another virtual machine ID.

このようにして、本実施形態においては、異常状態の仮想マシン１１の仮想マシンＩＤがＶＭ１であると特定される。   In this way, in the present embodiment, the virtual machine ID of the abnormal virtual machine 11 is identified as VM1.

ステップ５０６において、仮想マシン特定部２１は、前ステップまでに特定した異常状態の仮想マシンＩＤ（ＶＭ１）を用いて、仮想マシン１１が接続されている仮想スイッチのＩＤをハイパーバイザ５に問い合わせる。   In step 506, the virtual machine specifying unit 21 inquires of the hypervisor 5 about the ID of the virtual switch to which the virtual machine 11 is connected, using the virtual machine ID (VM1) in the abnormal state specified up to the previous step.

ステップ５０７において、ハイパーバイザ５は、接続先仮想スイッチＩＤ（ｖＳＷ１）を仮想マシン特定部２１に送信する。   In step 507, the hypervisor 5 transmits the connection destination virtual switch ID (vSW 1) to the virtual machine specifying unit 21.

ステップ５０８において、仮想マシン特定部２１は、仮想マシン１１のＩＰアドレス（１９２．１６８．１．１）・仮想マシンＩＤ（ＶＭ１）・仮想スイッチＩＤ（ｖＳＷ）とともに、通信制御装置作成指示を通信制御装置作成・削除部２２に通知する。   In step 508, the virtual machine specifying unit 21 performs communication control of a communication control device creation instruction together with the IP address (192.168.1.1), virtual machine ID (VM1), and virtual switch ID (vSW) of the virtual machine 11. The device creation / deletion unit 22 is notified.

（通信制御装置作成における動作）
続いて、図６を用いて、通信制御装置作成指示を受け取った後の通信制御装置作成・削除部２２の動作について説明する。 (Operations in creating a communication control device)
Next, the operation of the communication control device creation / deletion unit 22 after receiving the communication control device creation instruction will be described with reference to FIG.

図６のステップ６０１において、通信制御装置作成・削除部２２は、ハイパーバイザ５に対して、仮想マシンＩＤをＶＭ１＿ＦＷとし、接続先仮想スイッチをｖＳＷ１とし、通信制御装置１５の作成を行なう指示を出す。なお、通信制御装置１５の仮想マシンＩＤは、既存のものと重複しなければどのような名前でもよい。ここでは異常状態である仮想マシン１１の仮想マシンＩＤ（ＶＭ１）に「＿ＦＷ」を追加したものとする。「＿ＦＷ」を追加した仮想マシンＩＤが既に存在する場合は、重複しなくなるまで「＿ＦＷ」を追加すればよい。   In step 601 of FIG. 6, the communication control device creation / deletion unit 22 instructs the hypervisor 5 to create the communication control device 15 with the virtual machine ID VM1_FW and the connection destination virtual switch vSW1. . Note that the virtual machine ID of the communication control device 15 may have any name as long as it does not overlap with an existing one. Here, it is assumed that “_FW” is added to the virtual machine ID (VM1) of the virtual machine 11 in an abnormal state. If the virtual machine ID to which “_FW” is added already exists, “_FW” may be added until there is no overlap.

ステップ６０２において、ハイパーバイザ５は、通信制御装置１５を作成する。ハイパーバイザ５は、２つある仮想ネットワークインタフェースのうち、１つを仮想スイッチ１４（ｖＳＷ１）と接続する。ここで、仮想スイッチ１４と接続する仮想ネットワークインタフェースには、あらかじめネットワーク４で用いないＩＰアドレスを１つ割り当てておくものとする。ここでは「１９２．１６８．１．１００」を割り当てておいたものとする。このＩＰアドレスは、通信制御装置１５の設定を行うために用いられ、後述するステップ６０８で削除される。   In step 602, the hypervisor 5 creates the communication control device 15. The hypervisor 5 connects one of the two virtual network interfaces to the virtual switch 14 (vSW1). Here, it is assumed that one IP address not used in the network 4 is assigned to the virtual network interface connected to the virtual switch 14 in advance. Here, it is assumed that “192.168.1.100” is assigned. This IP address is used for setting the communication control device 15, and is deleted in step 608 described later.

次に、ステップ６０３において、通信制御装置作成・削除部２２は、仮想スイッチＩＤをＶＭ１＿ｖＳＷとする仮想スイッチ１３の作成をハイパーバイザ５に指示する。   Next, in step 603, the communication control device creation / deletion unit 22 instructs the hypervisor 5 to create the virtual switch 13 having the virtual switch ID VM1_vSW.

ステップ６０４において、ハイパーバイザ５は、仮想スイッチＩＤをＶＭ１＿ｖＳＷとする仮想スイッチ１３を作成する。なお、仮想スイッチＩＤについても、仮想マシンＩＤと同様に既存のものと重複しなければどのような名前でもよい。ここでは、異常状態である仮想マシン１１の仮想マシンＩＤ（ＶＭ１）に「＿ｖＳＷ」を追加したものとする。「＿ｖＳＷ」を追加した仮想スイッチＩＤが既に存在する場合は、重複しなくなるまで「＿ｖＳＷ」を追加すればよい。   In step 604, the hypervisor 5 creates the virtual switch 13 having the virtual switch ID VM1_vSW. Note that the virtual switch ID may have any name as long as it does not overlap with the existing one, like the virtual machine ID. Here, it is assumed that “_vSW” is added to the virtual machine ID (VM1) of the virtual machine 11 in an abnormal state. If the virtual switch ID to which “_vSW” is added already exists, “_vSW” may be added until there is no overlap.

ステップ６０５において、通信制御装置作成・削除部２２は、通信制御装置設定２５に設定を要求する。   In step 605, the communication control device creation / deletion unit 22 requests a setting to the communication control device setting 25.

ステップ６０６において、通信制御装置設定２５は、設定を通信制御装置作成・削除部２２に送信する。ここでは、通信制御装置作成・削除部２２に対して、図３の通信制御装置設定テーブル３０に示した設定が送信されたものとする。   In step 606, the communication control device setting 25 transmits the setting to the communication control device creation / deletion unit 22. Here, it is assumed that the settings shown in the communication control device setting table 30 in FIG. 3 are transmitted to the communication control device creation / deletion unit 22.

ステップ６０７において、通信制御装置作成・削除部２２は、受信した設定（図３）中の「異常仮想マシン」の部分を、異常状態の仮想マシン１１のＩＰアドレス（１９２．１６８．１．１）で置き換える。   In step 607, the communication control device creation / deletion unit 22 sets the “abnormal virtual machine” portion in the received setting (FIG. 3) as the IP address (192.168.1.1) of the virtual machine 11 in the abnormal state. Replace with.

ステップ６０８において、通信制御装置作成・削除部２２は、通信制御装置１５にあらかじめ設定されているＩＰアドレス（１９２．１６８．１．１００）を用いて、ステップ６０７で作成した設定を通信制御装置１５に反映させるとともに、通信制御装置１５のＩＰアドレス（１９２．１６８．１．１００）を削除する。通信制御装置１５のＩＰアドレスを削除する理由は、異常検知装置３が別の仮想マシンの異常を検知し、通信制御装置作成・削除部２２が通信制御装置１５を作成したときに、同一仮想ネットワーク内に同じＩＰアドレスをもつ通信制御装置１５が存在するのを防ぐためである。   In step 608, the communication control device creation / deletion unit 22 uses the IP address (192.168.1.100) preset in the communication control device 15, and sets the setting created in step 607 to the communication control device 15. And the IP address (192.168.1.100) of the communication control device 15 is deleted. The reason for deleting the IP address of the communication control device 15 is that when the abnormality detection device 3 detects an abnormality of another virtual machine and the communication control device creation / deletion unit 22 creates the communication control device 15, the same virtual network This is to prevent the communication control device 15 having the same IP address from being present therein.

ステップ６０９において、通信制御装置作成・削除部２２は、ステップ５０８で受信した仮想マシン１１のＩＰアドレス・仮想マシンＩＤ（ＶＭ１）・接続先仮想スイッチＩＤを異常マシンリスト２４に保存する。同時に、通信制御装置作成・削除部２２は、自身が作成を指示した通信制御装置１５の仮想マシンＩＤ（ＶＭ１＿ＦＷ）及び仮想スイッチＩＤ（ＶＭ１＿ｖＳＷ）を異常マシンリスト２４に保存し、異常マシンリスト２４を更新する。なお、ステップ６０４で作成した仮想スイッチＩＤ（ＶＭ１＿ｖＳＷ）は、図２の異常マシンリストテーブル２０における通信制御後の仮想スイッチＩＤとする。   In step 609, the communication control device creation / deletion unit 22 stores the IP address, virtual machine ID (VM 1), and connection destination virtual switch ID of the virtual machine 11 received in step 508 in the abnormal machine list 24. At the same time, the communication control device creation / deletion unit 22 saves the virtual machine ID (VM1_FW) and virtual switch ID (VM1_vSW) of the communication control device 15 that the communication control device 15 has instructed creation in the abnormal machine list 24, and stores the abnormal machine list 24 in the abnormal machine list 24. Update. The virtual switch ID (VM1_vSW) created in step 604 is a virtual switch ID after communication control in the abnormal machine list table 20 of FIG.

ステップ６１０において、通信制御装置作成・削除部２２は、仮想マシン接続先変更部２３に対して、仮想マシン１１の仮想マシンＩＤ（ＶＭ１）・通信制御装置１５の仮想マシンＩＤ（ＶＭ１＿ＦＷ）・仮想スイッチＩＤ（ｖＳＷ１、ＶＭ１＿ｖＳＷ）を送信し、接続先仮想スイッチ変更指示を通知する。   In step 610, the communication control device creation / deletion unit 22 gives the virtual machine connection destination change unit 23 a virtual machine ID (VM1) of the virtual machine 11, a virtual machine ID (VM1_FW) of the communication control device 15, and a virtual switch ID (vSW1, VM1_vSW) is transmitted, and a connection destination virtual switch change instruction is notified.

図７は、図６のステップ６１０終了時における仮想環境１０の状態である。図７においては、通信制御装置１５が仮想マシン（ＶＭ１＿ＦＷ）として仮想スイッチ１４（ｖＳＷ１）に接続されている。   FIG. 7 shows the state of the virtual environment 10 at the end of step 610 in FIG. In FIG. 7, the communication control device 15 is connected to the virtual switch 14 (vSW1) as a virtual machine (VM1_FW).

（仮想マシン接続先変更における動作）
次に、図８を用いて、ステップ６１０において仮想マシン接続先変更指示を受け取った後の仮想マシン接続先変更部２３の動作を説明する。 (Operation in changing virtual machine connection destination)
Next, the operation of the virtual machine connection destination changing unit 23 after receiving the virtual machine connection destination change instruction in Step 610 will be described with reference to FIG.

ステップ８０１において、仮想マシン接続先変更部２３は、通信制御装置作成・削除部２２から受け取った通信制御装置１５の仮想マシンＩＤ（ＶＭ１＿ＦＷ）及び仮想スイッチＩＤ（ＶＭ１＿ｖＳＷ）を基に、通信制御装置１５を仮想スイッチ１３と接続するようハイパーバイザ５に指示を出す。なお、通信制御装置１５と仮想スイッチ１３の接続に用いる仮想ネットワークインタフェースは、図６のステップ６０２において仮想スイッチ１４と接続した方ではない仮想ネットワークインタフェースとする。   In step 801, the virtual machine connection destination changing unit 23, based on the virtual machine ID (VM1_FW) and virtual switch ID (VM1_vSW) of the communication control device 15 received from the communication control device creation / deletion unit 22, Is instructed to connect to the virtual switch 13. Note that the virtual network interface used for connection between the communication control device 15 and the virtual switch 13 is a virtual network interface that is not connected to the virtual switch 14 in step 602 of FIG.

ステップ８０２において、ハイパーバイザ５は、通信制御装置１５と仮想スイッチ１３を接続する。   In step 802, the hypervisor 5 connects the communication control device 15 and the virtual switch 13.

同様に、ステップ８０３において、仮想マシン接続先変更部２３は、仮想マシン１１の接続先仮想スイッチを仮想スイッチ１３に変更するようハイパーバイザ５に指示を出す。   Similarly, in step 803, the virtual machine connection destination changing unit 23 instructs the hypervisor 5 to change the connection destination virtual switch of the virtual machine 11 to the virtual switch 13.

ステップ８０４において、ハイパーバイザ５は、仮想マシン１１の接続先仮想スイッチを仮想スイッチ１３に変更する。   In step 804, the hypervisor 5 changes the connection destination virtual switch of the virtual machine 11 to the virtual switch 13.

以上で、異常検知装置３によって仮想マシン１１が異常であると判断されたときの一連の動作は完了する。   The series of operations when the abnormality detection device 3 determines that the virtual machine 11 is abnormal is completed.

（通信制御装置削除における動作）
次に、図９を用いて、仮想マシン１１がセキュリティポリシを満たし、異常検知装置３によって仮想マシン１１が異常状態から正常状態に戻ったと判断されたときの動作を説明する。 (Operations when deleting the communication control device)
Next, an operation when the virtual machine 11 satisfies the security policy and the virtual machine 11 is determined to have returned from the abnormal state to the normal state will be described with reference to FIG.

図９のステップ９０１において、異常検知装置３は、仮想マシン特定部２１に対して、仮想マシン１１が正常状態に復帰したことを通知する情報と、仮想マシン１１のＩＰアドレスとを送信する。   In step 901 of FIG. 9, the abnormality detection device 3 transmits information notifying that the virtual machine 11 has returned to the normal state and the IP address of the virtual machine 11 to the virtual machine specifying unit 21.

ステップ９０２において、仮想マシン特定部２１は、ステップ９０１で受信した仮想マシンのＩＰアドレスを基に、当該仮想マシンの仮想マシンＩＤ（ＶＭ１）・通信制御前の接続先仮想スイッチの仮想スイッチＩＤ（ｖＳＷ１）・通信制御装置１５の仮想マシンＩＤ（ＶＭ１＿ＦＷ）・通信制御後の接続先仮想スイッチの仮想スイッチＩＤ（ＶＭ１＿ｖＳＷ）を異常マシンリスト２４に要求する。   In step 902, based on the IP address of the virtual machine received in step 901, the virtual machine specifying unit 21 determines the virtual machine ID (VM1) of the virtual machine and the virtual switch ID (vSW1) of the connection destination virtual switch before communication control. ) Requests the virtual machine ID (VM1_FW) of the communication control device 15 and the virtual switch ID (VM1_vSW) of the connection destination virtual switch after the communication control to the abnormal machine list 24.

ステップ９０３において、異常マシンリスト２４は、仮想マシン特定部２１に対して要求された情報を送信する。   In step 903, the abnormal machine list 24 transmits the requested information to the virtual machine specifying unit 21.

ステップ９０４において、仮想マシン特定部２１は、ステップ９０３で受け取った情報とともに仮想マシン接続先変更指示を仮想マシン接続先変更部２３に通知する。   In step 904, the virtual machine specifying unit 21 notifies the virtual machine connection destination change unit 23 of a virtual machine connection destination change instruction together with the information received in step 903.

ステップ９０５において、仮想マシン接続先変更部２３は、ステップ９０４で受信した仮想マシン１１の仮想マシンＩＤ（ＶＭ１）と、通信制御前の接続先仮想スイッチ１４の仮想スイッチＩＤ（ｖＳＷ１）を基に、正常状態に復帰した仮想マシン１１の接続先仮想スイッチを通信制御前の接続先の仮想スイッチ１４に変更するようハイパーバイザ５に指示する。   In step 905, the virtual machine connection destination changing unit 23, based on the virtual machine ID (VM1) of the virtual machine 11 received in step 904 and the virtual switch ID (vSW1) of the connection destination virtual switch 14 before communication control. The hypervisor 5 is instructed to change the connection destination virtual switch of the virtual machine 11 that has returned to the normal state to the connection destination virtual switch 14 before the communication control.

ステップ９０６において、ハイパーバイザ５は、仮想マシン１１の接続先の仮想スイッチを仮想スイッチ１４に変更する。   In step 906, the hypervisor 5 changes the virtual switch to which the virtual machine 11 is connected to the virtual switch 14.

ステップ９０７において、仮想マシン接続先変更部２３は、通信制御装置１５の仮想マシンＩＤ（ＶＭ１＿ＦＷ）と仮想スイッチ１３の仮想スイッチＩＤ（ＶＭ１＿ｖＳＷ）を通信制御装置作成・削除部２２に送信し、それらの削除を指示する。   In step 907, the virtual machine connection destination changing unit 23 transmits the virtual machine ID (VM1_FW) of the communication control device 15 and the virtual switch ID (VM1_vSW) of the virtual switch 13 to the communication control device creating / deleting unit 22. Instruct to delete.

ステップ９０８において、通信制御装置作成・削除部２２は、ハイパーバイザ５に対して、ステップ９０７で受信した通信制御装置１５の仮想マシンＩＤ（ＶＭ１＿ＦＷ）と仮想スイッチ１３の仮想スイッチＩＤ（ＶＭ１＿ｖＳＷ）の削除を指示する。   In step 908, the communication control device creation / deletion unit 22 deletes the virtual machine ID (VM1_FW) of the communication control device 15 and the virtual switch ID (VM1_vSW) of the virtual switch 13 received in step 907 for the hypervisor 5. Instruct.

ステップ９０９において、ハイパーバイザ５は、通信制御装置１５と仮想スイッチ１３を削除する。   In step 909, the hypervisor 5 deletes the communication control device 15 and the virtual switch 13.

最後に、ステップ９１０において、通信制御装置作成・削除部２２は、異常マシンリスト２４から仮想マシン１１の情報を削除する。   Finally, in step 910, the communication control device creation / deletion unit 22 deletes the information of the virtual machine 11 from the abnormal machine list 24.

以上が通信制御装置削除に関する動作である。   The above is the operation related to the communication control device deletion.

本発明の実施形態についてまとめると、以下のようになる。   The embodiments of the present invention are summarized as follows.

まず、異常検知装置３が仮想マシン１１の異常を検知し、通信制御装置管理サーバ２に通知する。通信制御装置管理サーバ２は、仮想マシン特定部２１によって異常状態の仮想マシン１１の仮想マシンＩＤを特定する。仮想マシン特定部２１によって特定された仮想マシンＩＤを基に、通信制御装置作成・削除部２２が通信制御装置１５を作成し、仮想マシン１１に適した設定を行う。異常状態の仮想マシン１１と通信制御装置１５のそれぞれの仮想マシンＩＤを用いて、仮想マシン接続先変更部２３は、接続先仮想スイッチを変更すると、仮想マシン１１の通信経路上に通信制御装置１５が配置される。   First, the abnormality detection device 3 detects an abnormality in the virtual machine 11 and notifies the communication control device management server 2 of the abnormality. The communication control device management server 2 specifies the virtual machine ID of the virtual machine 11 in the abnormal state by the virtual machine specifying unit 21. Based on the virtual machine ID specified by the virtual machine specifying unit 21, the communication control device creation / deletion unit 22 creates the communication control device 15 and performs settings suitable for the virtual machine 11. When the virtual machine connection destination changing unit 23 changes the connection destination virtual switch using the virtual machine IDs of the virtual machine 11 and the communication control device 15 in the abnormal state, the communication control device 15 is placed on the communication path of the virtual machine 11. Is placed.

本発明の実施形態に係る通信制御システムは、通信制御装置をあらかじめネットワーク内に設置しておくのではなく、仮想マシンの異常を検知してから動的に設置することに特徴がある。   The communication control system according to the embodiment of the present invention is characterized in that the communication control device is not installed in the network in advance, but is dynamically installed after detecting an abnormality of the virtual machine.

また、本発明の実施形態に係る通信制御システムは、通信制御装置が行う通信制御がセグメント単位での通信制御ではなく、仮想マシン単位での通信制御であることに特徴がある。   In addition, the communication control system according to the embodiment of the present invention is characterized in that the communication control performed by the communication control apparatus is not communication control in segment units but communication control in virtual machine units.

さらに、本発明の実施形態に係る通信制御システムは、仮想マシンが異常状態から正常状態に復帰したときに、通信制御装置をネットワークから取り除くことに特徴がある。   Furthermore, the communication control system according to the embodiment of the present invention is characterized in that the communication control device is removed from the network when the virtual machine returns from the abnormal state to the normal state.

（効果）
本発明の効果をまとめると以下のようになる。 (effect)
The effects of the present invention are summarized as follows.

第１の効果は、セキュリティポリシを満たさない仮想マシンに限って通信制御を行うことによって、他の仮想マシンの業務に影響を与えない点にある。その理由は、通信制御を行う前の仮想スイッチと仮想マシンの間に通信制御装置を導入するためである。   The first effect is that communication control is performed only for virtual machines that do not satisfy the security policy, so that the operations of other virtual machines are not affected. This is because a communication control device is introduced between the virtual switch and the virtual machine before communication control is performed.

第２の効果は、仮想マシンが不正なプログラムに感染し、仮想マシンの動作を制御されても、通信制御を行うことができる点にある。その理由は、通信制御を行うために仮想マシンの動作を制御するのではなく、別の仮想マシンとして通信制御装置を作り、仮想マシンとして作成した通信制御装置によって通信制御を行うためである。   The second effect is that communication control can be performed even if the virtual machine is infected with an unauthorized program and the operation of the virtual machine is controlled. The reason for this is not to control the operation of the virtual machine to perform communication control, but to create a communication control device as another virtual machine and perform communication control by the communication control device created as a virtual machine.

第３の効果は、仮想マシンがセキュリティポリシを満たしているときは、サーバのリソースを消費しない点にある。その理由は、仮想マシンが異常状態になったときに初めて通信制御装置が作成され、仮想マシンが正常状態になったときには削除されるためである。   A third effect is that the server resources are not consumed when the virtual machine satisfies the security policy. The reason is that the communication control device is created for the first time when the virtual machine is in an abnormal state and is deleted when the virtual machine is in a normal state.

本発明の実施形態に係る通信制御システムは、クラウド事業者が運営するクラウドシステムや、データセンタなどにおけるサーバシステムにおいて適用することができる。また、一般的なインターネットにおいて運営される公共ネットワーク環境においても適用可能である。さらに、企業や公共施設内の個別ネットワーク環境においても適用可能である。   The communication control system according to the embodiment of the present invention can be applied to a cloud system operated by a cloud operator or a server system in a data center or the like. It can also be applied in a public network environment operated on a general Internet. Furthermore, it can be applied to an individual network environment in a company or public facility.

以上、実施形態を参照して本願発明を説明してきたが、本願発明は上記実施形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。   Although the present invention has been described with reference to the embodiments, the present invention is not limited to the above embodiments. Various changes that can be understood by those skilled in the art can be made to the configuration and details of the present invention within the scope of the present invention.

１ サーバ
２ 通信制御装置管理サーバ
３ 異常検知装置
４ ネットワーク
５ ハイパーバイザ
１０ 仮想環境
１１ 仮想マシン
１２ 仮想マシン
１３ 仮想スイッチ
１４ 仮想スイッチ
１５ 通信制御装置
２０ 異常マシンリストテーブル
２１ 仮想マシン特定部
２２ 通信制御装置作成・削除部
２３ 仮想マシン接続先変更部
２４ 異常マシンリスト
２５ 通信制御装置設定
３０ 通信制御装置設定テーブル
１１０ ネットワーク遮断装置
１１１ 検知手段
１１２ 隔離ポリシ
１１３ 隔離管理手段
１１４ 通信遮断手段
１１５ 通信手段
１３１、１３２ ネットワーク遮断装置
１５０ 上位ネットワーク
１６０ 検知通知 DESCRIPTION OF SYMBOLS 1 Server 2 Communication control apparatus management server 3 Anomaly detection apparatus 4 Network 5 Hypervisor 10 Virtual environment 11 Virtual machine 12 Virtual machine 13 Virtual switch 14 Virtual switch 15 Communication control apparatus 20 Abnormal machine list table 21 Virtual machine specific | specification part 22 Communication control apparatus Creation / deletion unit 23 Virtual machine connection destination change unit 24 Abnormal machine list 25 Communication control device setting 30 Communication control device setting table 110 Network blocking device 111 Detection unit 112 Quarantine policy 113 Quarantine management unit 114 Communication blocking unit 115 Communication unit 131, 132 Network shut-off device 150 Host network 160 Detection notification

Claims (10)

ハイパーバイザによって管理される仮想環境において、前記仮想環境に含まれる仮想マシンに異常が検知されると、前記仮想マシンの通信を制御する通信制御装置が前記仮想環境の内部に生成され、前記通信制御装置によって前記仮想マシンの通信を制御することを特徴とする通信制御システム。   In a virtual environment managed by a hypervisor, when an abnormality is detected in a virtual machine included in the virtual environment, a communication control device that controls communication of the virtual machine is generated inside the virtual environment, and the communication control A communication control system, wherein communication of the virtual machine is controlled by an apparatus. 前記仮想環境を有するサーバと、
前記仮想環境に含まれる前記仮想マシンがセキュリティポリシを満たすか否かによって異常の有無を判定する異常検知装置と、
異常の検知された前記仮想マシンの通信を制御する前記通信制御装置を前記仮想環境に作成・削除することを前記ハイパーバイザに指示する通信制御装置作成・削除部を有する通信制御装置管理サーバと、を備え、
前記異常検知装置によって前記仮想環境の内部に異常のある前記仮想マシンが検出された際に、
前記通信制御装置作成・削除部は、前記仮想環境の内部に前記通信制御装置を作成することを前記ハイパーバイザに指示し、
前記ハイパーバイザは、前記通信制御装置作成・削除部の指示に応じて前記仮想環境の内部に前記通信制御装置を作成し、
前記通信制御装置は、前記異常のある仮想マシンの通信を制御することを特徴とする請求項１に記載の通信制御システム。 A server having the virtual environment;
An abnormality detection device that determines whether there is an abnormality depending on whether the virtual machine included in the virtual environment satisfies a security policy;
A communication control device management server having a communication control device creation / deletion unit that instructs the hypervisor to create / delete the communication control device that controls communication of the virtual machine in which an abnormality is detected; With
When the virtual machine having an abnormality in the virtual environment is detected by the abnormality detection device,
The communication control device creation / deletion unit instructs the hypervisor to create the communication control device inside the virtual environment,
The hypervisor creates the communication control device inside the virtual environment according to an instruction from the communication control device creation / deletion unit,
The communication control system according to claim 1, wherein the communication control device controls communication of the abnormal virtual machine. 前記異常のある仮想マシンが前記異常検出装置によって正常な状態に復帰したと判定された場合、
前記ハイパーバイザは、前記通信制御装置作成・削除部の指示に応じて前記通信制御装置を削除することを特徴とする請求項２に記載の通信制御システム。 When it is determined that the abnormal virtual machine has returned to a normal state by the abnormality detection device,
The communication control system according to claim 2, wherein the hypervisor deletes the communication control device in response to an instruction from the communication control device creation / deletion unit. 前記ハイパーバイザは、前記仮想環境の内部で仮想ネットワークを構成するブリッジとなる仮想スイッチを生成し、
前記仮想スイッチは、前記仮想ネットワークを通じて前記仮想マシンに接続され、前記仮想マシンと外部ネットワークとの接続を切替えることを特徴とする請求項１乃至３のいずれか一項に記載の通信制御システム。 The hypervisor generates a virtual switch that becomes a bridge that constitutes a virtual network inside the virtual environment,
The communication control system according to any one of claims 1 to 3, wherein the virtual switch is connected to the virtual machine through the virtual network, and switches connection between the virtual machine and an external network. さらに、前記通信制御装置管理サーバは、
前記異常のある仮想マシンを特定する仮想マシン特定部と、
前記通信制御装置及び前記異常のある仮想マシンの接続先となる前記仮想スイッチを変更する指示を出す仮想マシン接続先変更部と、を有し、
前記異常検知装置は、
前記仮想マシンに異常を検出すると、前記異常のある仮想マシンのＩＰアドレスを前記仮想マシン特定部に通知し、
前記仮想マシン特定部は、
前記仮想環境の内部にある前記仮想マシンの仮想マシンＩＤの一覧を前記ハイパーバイザから取得し、
取得した前記仮想マシンＩＤの一覧を基に前記異常のある仮想マシンの前記仮想マシンＩＤを特定し、
特定した前記仮想マシンＩＤを基に前記異常のある仮想マシンの接続先となる前記仮想スイッチの仮想スイッチＩＤを前記ハイパーバイザから取得し、
前記異常のある仮想マシンの前記仮想マシンＩＤ及び前記ＩＰアドレスと前記異常のある仮想マシンが接続する前記仮想スイッチの前記仮想スイッチＩＤとを前記通信制御装置作成・削除部に通知するとともに、前記通信制御装置を作成する指示を前記ハイパーバイザに出すことを特徴とする請求項４に記載の通信制御システム。 Furthermore, the communication control device management server includes:
A virtual machine identification unit that identifies the abnormal virtual machine;
A virtual machine connection destination changing unit that issues an instruction to change the virtual switch that is a connection destination of the communication control device and the virtual machine having the abnormality,
The abnormality detection device is:
When an abnormality is detected in the virtual machine, the virtual machine specifying unit is notified of the IP address of the virtual machine having the abnormality,
The virtual machine specifying unit
Obtaining a list of virtual machine IDs of the virtual machines inside the virtual environment from the hypervisor;
Identify the virtual machine ID of the abnormal virtual machine based on the acquired list of virtual machine IDs,
Obtaining from the hypervisor a virtual switch ID of the virtual switch that is a connection destination of the abnormal virtual machine based on the identified virtual machine ID;
Notifying the communication control device creating / deleting unit of the virtual machine ID and the IP address of the abnormal virtual machine and the virtual switch ID of the virtual switch to which the abnormal virtual machine is connected, and the communication The communication control system according to claim 4, wherein an instruction to create a control device is issued to the hypervisor. 前記通信制御装置作成・削除部は、前記仮想マシン特定部の指示に応じて前記通信制御装置及び前記仮想スイッチを作成する指示を前記ハイパーバイザに指示し、
前記ハイパーバイザは、前記通信制御装置作成・削除部の指示に応じて前記通信制御装置及び前記仮想スイッチを作成し、
前記通信制御装置作成・削除部は、前記異常のある仮想マシンの仮想マシンＩＤと、前記通信制御装置の仮想マシンＩＤと、前記作成された仮想スイッチの仮想スイッチＩＤとを前記仮想マシン接続先変更部に送信し、
前記仮想マシン接続先変更部は、前記通信制御装置の仮想マシンＩＤと前記作成された仮想スイッチの仮想スイッチＩＤとを基に前記通信制御装置を前記作成された仮想スイッチに接続する指示を前記ハイパーバイザに出し、
前記ハイパーバイザは、前記通信制御装置と前記作成された仮想スイッチとを接続し、
前記仮想マシン接続先変更部は、前記異常のある仮想マシンの接続先を前記作成された仮想スイッチに変更する指示を前記ハイパーバイザに出し、
前記ハイパーバイザは、前記異常のある仮想マシンと前記作成された仮想スイッチとを接続し、
前記通信制御装置は、前記仮想ネットワーク内部の正常な前記仮想マシンと前記異常のある仮想マシンとの通信を制御することを特徴とする請求項５に記載の通信制御システム。 The communication control device creation / deletion unit instructs the hypervisor to create the communication control device and the virtual switch according to an instruction from the virtual machine specifying unit,
The hypervisor creates the communication control device and the virtual switch according to an instruction from the communication control device creation / deletion unit,
The communication control device creation / deletion unit changes the virtual machine connection destination to a virtual machine ID of the abnormal virtual machine, a virtual machine ID of the communication control device, and a virtual switch ID of the created virtual switch. Send to the department,
The virtual machine connection destination changing unit issues an instruction to connect the communication control device to the created virtual switch based on the virtual machine ID of the communication control device and the virtual switch ID of the created virtual switch. Put it on the visor,
The hypervisor connects the communication control device and the created virtual switch,
The virtual machine connection destination changing unit issues an instruction to the hypervisor to change the connection destination of the abnormal virtual machine to the created virtual switch,
The hypervisor connects the abnormal virtual machine and the created virtual switch,
The communication control system according to claim 5, wherein the communication control device controls communication between the normal virtual machine and the abnormal virtual machine inside the virtual network. 前記通信制御装置管理サーバは、
前記異常のある仮想マシンのＩＰアドレス及び仮想マシンＩＤと、通信制御前に前記異常のある仮想マシンが接続されていた前記仮想スイッチの前記仮想スイッチＩＤと、通信制御装置の仮想マシンＩＤと、通信制御後に前記異常のある仮想マシンを接続する前記仮想スイッチの前記仮想スイッチＩＤと、を含む異常マシンリストを備え、
前記通信制御装置作成・削除部は、
前記通信制御装置を作成した際には前記異常マシンリストの内容を更新し、前記通信制御装置を削除した際には前記異常マシンリストから前記削除された通信制御装置に関する内容を削除することを特徴とする請求項６に記載の通信制御システム。 The communication control device management server
The IP address and virtual machine ID of the virtual machine with the abnormality, the virtual switch ID of the virtual switch to which the virtual machine with the abnormality was connected before communication control, the virtual machine ID of the communication control device, and communication An abnormal machine list including the virtual switch ID of the virtual switch for connecting the virtual machine with the abnormality after the control,
The communication control device creation / deletion unit
The content of the abnormal machine list is updated when the communication control device is created, and the content related to the deleted communication control device is deleted from the abnormal machine list when the communication control device is deleted. The communication control system according to claim 6. 前記通信制御装置管理サーバは、
前記通信制御装置によって制御される前記仮想マシンの通信を指定するとともに前記通信に対応する動作を規定する通信制御装置設定を備え、
前記通信制御装置設定は、
前記通信を指定する条件として、前記通信における送信元ＩＰアドレスと、送信元ポート番号と、宛先ＩＰアドレスと、宛先ポート番号と、を含み、
前記通信に対応する動作として、前記通信の許可もしくは破棄のいずれかの設定内容を含むことを特徴とする請求項２乃至７のいずれか一項に記載の通信制御システム。 The communication control device management server
A communication control device setting that specifies communication corresponding to the communication and specifies communication of the virtual machine controlled by the communication control device;
The communication control device setting is
The conditions for designating the communication include a source IP address, a source port number, a destination IP address, and a destination port number in the communication,
The communication control system according to any one of claims 2 to 7, wherein the operation corresponding to the communication includes a setting content for either permission or cancellation of the communication. ハイパーバイザによって管理される仮想環境を有するサーバと、
前記仮想環境に含まれる仮想マシンがセキュリティポリシを満たすか否かによって異常の有無を判定する異常検知装置と、
異常の検知された前記仮想マシンの通信を制御する通信制御装置を前記仮想環境に作成・削除することを前記ハイパーバイザに指示する通信制御装置作成・削除部を有する通信制御装置管理サーバと、を備え、
前記異常検知装置によって前記仮想環境の内部に異常のある前記仮想マシンが検出された際に、
前記通信制御装置作成・削除部によって前記仮想環境の内部に前記通信制御装置を作成することを前記ハイパーバイザに指示し、
前記ハイパーバイザによって前記通信制御装置作成・削除部の指示に応じて前記仮想環境の内部に前記通信制御装置を作成し、
前記通信制御装置によって前記異常のある仮想マシンの通信を制御することを特徴とする通信制御方法。 A server having a virtual environment managed by a hypervisor;
An anomaly detection device that determines whether there is an anomaly according to whether or not a virtual machine included in the virtual environment satisfies a security policy;
A communication control device management server having a communication control device creation / deletion unit that instructs the hypervisor to create / delete a communication control device that controls communication of the virtual machine in which an abnormality is detected in the virtual environment; Prepared,
When the virtual machine having an abnormality in the virtual environment is detected by the abnormality detection device,
Instructing the hypervisor to create the communication control device inside the virtual environment by the communication control device creation / deletion unit,
In response to an instruction from the communication control device creation / deletion unit by the hypervisor, the communication control device is created inside the virtual environment,
A communication control method, comprising: controlling communication of the abnormal virtual machine by the communication control device. ハイパーバイザによって管理される仮想環境を有するサーバと、
前記仮想環境に含まれる仮想マシンがセキュリティポリシを満たすか否かによって異常の有無を判定する異常検知装置と、
異常の検知された前記仮想マシンの通信を制御する通信制御装置を前記仮想環境に作成・削除することを前記ハイパーバイザに指示する通信制御装置作成・削除部を有する通信制御装置管理サーバと、を備え、
前記異常検知装置によって前記仮想環境の内部に異常のある前記仮想マシンが検出された際に、
前記通信制御装置作成・削除部によって前記仮想環境の内部に前記通信制御装置を作成することを前記ハイパーバイザに指示する処理と、
前記ハイパーバイザによって前記通信制御装置作成・削除部の指示に応じて前記仮想環境の内部に前記通信制御装置を作成する処理と、
前記通信制御装置によって前記異常のある仮想マシンの通信を制御する処理と、をコンピュータに実行させることを特徴とする通信制御プログラム。 A server having a virtual environment managed by a hypervisor;
An anomaly detection device that determines whether there is an anomaly according to whether or not a virtual machine included in the virtual environment satisfies a security policy;
A communication control device management server having a communication control device creation / deletion unit that instructs the hypervisor to create / delete a communication control device that controls communication of the virtual machine in which an abnormality is detected in the virtual environment; Prepared,
When the virtual machine having an abnormality in the virtual environment is detected by the abnormality detection device,
Processing for instructing the hypervisor to create the communication control device inside the virtual environment by the communication control device creation / deletion unit;
Processing for creating the communication control device in the virtual environment according to an instruction from the communication control device creation / deletion unit by the hypervisor;
A communication control program causing a computer to execute processing for controlling communication of the abnormal virtual machine by the communication control device.
JP2012281898A 2012-12-26 2012-12-26 Communication control system, communication control method, and communication control program Active JP6079218B2 (en)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2012281898A JP6079218B2 (en) 2012-12-26 2012-12-26 Communication control system, communication control method, and communication control program

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2012281898A JP6079218B2 (en) 2012-12-26 2012-12-26 Communication control system, communication control method, and communication control program

Publications (2)

Publication Number Publication Date
JP2014126963A true JP2014126963A (en) 2014-07-07
JP6079218B2 JP6079218B2 (en) 2017-02-15

Family

ID=51406415

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2012281898A Active JP6079218B2 (en) 2012-12-26 2012-12-26 Communication control system, communication control method, and communication control program

Country Status (1)

Country Link
JP (1) JP6079218B2 (en)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2019193845A1 (en) * 2018-04-02 2019-10-10 株式会社デンソー Electric control unit and electric control system
JP2020047175A (en) * 2018-09-21 2020-03-26 株式会社日立ハイテクソリューションズ Security system

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006099780A (en) * 2004-09-29 2006-04-13 Microsoft Corp Method, system and device for isolating software deployment over a network from external malicious intrusion
JP2007522583A (en) * 2004-02-13 2007-08-09 インテル・コーポレーション Apparatus and method for dynamically expandable virtual switch
US20090150527A1 (en) * 2007-12-10 2009-06-11 Sun Microsystems, Inc. Method and system for reconfiguring a virtual network path
JP2012222383A (en) * 2011-04-04 2012-11-12 Nec Corp Quarantine network system and quarantine method

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007522583A (en) * 2004-02-13 2007-08-09 インテル・コーポレーション Apparatus and method for dynamically expandable virtual switch
JP2006099780A (en) * 2004-09-29 2006-04-13 Microsoft Corp Method, system and device for isolating software deployment over a network from external malicious intrusion
US20090150527A1 (en) * 2007-12-10 2009-06-11 Sun Microsystems, Inc. Method and system for reconfiguring a virtual network path
JP2012222383A (en) * 2011-04-04 2012-11-12 Nec Corp Quarantine network system and quarantine method

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2019193845A1 (en) * 2018-04-02 2019-10-10 株式会社デンソー Electric control unit and electric control system
JP2019185130A (en) * 2018-04-02 2019-10-24 株式会社デンソー Electronic control unit and electronic control system
JP7006461B2 (en) 2018-04-02 2022-01-24 株式会社デンソー Electronic control device and electronic control system
US11915027B2 (en) 2018-04-02 2024-02-27 Denso Corporation Security and data logging of virtual machines
JP2020047175A (en) * 2018-09-21 2020-03-26 株式会社日立ハイテクソリューションズ Security system
JP7198617B2 (en) 2018-09-21 2023-01-04 株式会社日立ハイテクソリューションズ security system

Also Published As

Publication number Publication date
JP6079218B2 (en) 2017-02-15

Similar Documents

Publication Publication Date Title
US9906557B2 (en) Dynamically generating a packet inspection policy for a policy enforcement point in a centralized management environment
JP5904514B1 (en) Method of automatically applying an update to a snapshot of a virtual machine, and its computer system and computer system program
CA3006003C (en) Dual memory introspection for securing multiple network endpoints
US10915374B2 (en) Method of facilitating live migration of virtual machines
WO2016013200A1 (en) Information processing system and network resource management method
JP5920668B2 (en) Security policy enforcement system and security policy enforcement method
US9654513B1 (en) Automated network security policy deployment in a dynamic environment
CA3021285C (en) Methods and systems for network security
JP6489239B2 (en) Communication apparatus, system, method, and program
US11240205B1 (en) Implementing rules in firewalls
US10956561B2 (en) Automatic whitelisting using provisioning information
JP6079218B2 (en) Communication control system, communication control method, and communication control program
KR102331221B1 (en) Method for setting tag identifying virtual local area network
WO2019063028A1 (en) Information processing method and related device
JP5736346B2 (en) Virtualization device, virtualization control method, virtualization device control program
US11526373B2 (en) Agentless personal network firewall in virtualized datacenters
JP2017034427A (en) Network setting method for communication system and communication system
JP7147337B2 (en) Communication control system, communication control method and program
JP2017175421A (en) Communication processing system, communication processing method, communication processing device, communication management device, control method of those, and control program
JP2017097590A (en) Communication device and management device
KR102136923B1 (en) System and method for providing security service of road traffic network using software defined networking and network function virtualization
TWI509456B (en) Computer devices and security management device communicationally-connected to the same
JP2012203421A (en) Information processing method, management server and management program
JP2015228264A (en) Security setting system, security setting method and program
Keeriyattil et al. NSX Service Composer and Third-Party Integration

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20151117

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20161018

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20161025

A521 Written amendment

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20161205

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20161220

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20170102

R150 Certificate of patent or registration of utility model

Ref document number: 6079218

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150