JP2019176273A - Communication controller, client device, communication control method, and program - Google Patents
Communication controller, client device, communication control method, and program Download PDFInfo
- Publication number
- JP2019176273A JP2019176273A JP2018060765A JP2018060765A JP2019176273A JP 2019176273 A JP2019176273 A JP 2019176273A JP 2018060765 A JP2018060765 A JP 2018060765A JP 2018060765 A JP2018060765 A JP 2018060765A JP 2019176273 A JP2019176273 A JP 2019176273A
- Authority
- JP
- Japan
- Prior art keywords
- identification information
- communication
- communication flow
- unit
- communication control
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Images
Abstract
Description
本発明は、クライアント装置とサーバ装置との間の通信制御を行うための、通信制御装置、それに用いられるクライアント装置、及び通信制御方法に関し、更には、これらを実現するためのプログラムに関する。 The present invention relates to a communication control apparatus for performing communication control between a client apparatus and a server apparatus, a client apparatus used therefor, and a communication control method, and further relates to a program for realizing these.
近年、外部犯によるサイバー攻撃、マルウェアに感染した内部端末からの情報漏えい等のセキュリティ事故が多発している。セキュリティ事故多発の背景として、ＩＰヘッダの偽装、ヘッダ部を正常に見せながらのデータ部へのウイルスの埋め込み等、不正ユーザの攻撃手法が多様化しており、従来の通信フローフィルタリング型のファイアウォールでは、このような攻撃に対応しきれない現状がある。 In recent years, security incidents such as cyber attacks by external criminals and information leakage from internal terminals infected with malware have frequently occurred. As a background of frequent security accidents, there are a variety of attack methods for unauthorized users such as IP header spoofing, virus embedding in the data part while normally showing the header part, and with conventional communication flow filtering type firewalls, There is a current situation that cannot cope with such attacks.
上記の問題を解決する技術がいくつか提案されている（例えば、非特許文献１及び特許文献１参照）。代表的な技術としてＤＰＩ（Deep Packet Inspection）が挙げられる。ＤＰＩは、通信フローのヘッダ部分ではなくデータ部を解析する技術であり、ＤＰＩを利用して通信制御を行うことで、データ部分に埋め込まれたウイルス、及び許可されたアプリケーションの不正な通信を検出できる。 Several techniques for solving the above problems have been proposed (see, for example, Non-Patent Document 1 and Patent Document 1). A typical technique is DPI (Deep Packet Inspection). DPI is a technology that analyzes the data part, not the header part of the communication flow. By using DPI to control communication, it detects viruses embedded in the data part and unauthorized communication of permitted applications. it can.
非特許文献１は、ＳＳＬ（Secure Sockets Layer）により通信が暗号化されている場合においても、ＤＰＩを利用した通信制御を行うことができる装置を開示している。非特許文献１に開示された装置は、クライアントからサーバに対してＳＳＬ通信を行う際、ＳＳＬプロキシによってＳＳＬ通信を終端させ、通信フローの復号を行う。その後、当該装置は、復号された通信フローに対してＤＰＩを行い、解析結果に問題がなければ再び暗号化して本来の宛先との間で新たにＳＳＬ通信を行い、問題があれば遮断することで、暗号化通信の制御を実現している。なお、ＤＰＩは、ＳＳＬプロキシ上で行われても良いし、復号した通信フローの転送後に、ＵＴＭ（Unified Threat Management）アプライアンス等の別の機器の上で行われても良い。 Non-Patent Document 1 discloses a device capable of performing communication control using DPI even when communication is encrypted by SSL (Secure Sockets Layer). When performing SSL communication from a client to a server, the device disclosed in Non-Patent Document 1 terminates SSL communication by an SSL proxy and decodes a communication flow. After that, the device performs DPI on the decrypted communication flow, encrypts it again if there is no problem in the analysis result, performs new SSL communication with the original destination, and blocks if there is a problem. Thus, control of encrypted communication is realized. The DPI may be performed on an SSL proxy, or may be performed on another device such as a UTM (Unified Threat Management) appliance after the decrypted communication flow is transferred.
また、特許文献１は、ＤＰＩを行うことなく、通信を行うアプリケーションの情報を基に通信制御を行うシステムを開示している。特許文献１に開示されているシステムでは、エージェントが導入された仮想マシンが用いられる。エージェントは、アプリケーションが通信を行う際、ＯＳＩ参照モデルのトランスポート層にネットワークソケットイベント要求が行われると、その要求がトランスポート層に到達する前に、その要求をインターセプトする。その後、エージェントは、通信を行うアプリケーションの識別情報をセキュリティサーバに送信し、インターセプトしたネットワークソケットイベント要求の許可又は拒絶の判断を実行する。 Patent Document 1 discloses a system that performs communication control based on information of an application that performs communication without performing DPI. In the system disclosed in Patent Document 1, a virtual machine in which an agent is introduced is used. When an application performs communication and a network socket event request is made to the transport layer of the OSI reference model, the agent intercepts the request before the request reaches the transport layer. After that, the agent transmits the identification information of the application for communication to the security server, and executes a determination of permission or rejection of the intercepted network socket event request.
しかしながら、非特許文献１に開示されている通信制御装置、及び特許文献１に開示されているシステムには、それぞれ以下のような問題がある。 However, the communication control device disclosed in Non-Patent Document 1 and the system disclosed in Patent Document 1 have the following problems.
まず、非特許文献１に開示されている通信制御装置には、通信フローの送信元プロセスに基づく通信制御ができないという問題がある。例えば、内部ネットワークに機密情報が格納されているデータベースがあり、一部のクライアントにのみ、このデータベースへのレコードの更新／挿入／削除が許可されているとする。そして、この一部のクライアントのいずれかがマルウェアに感染し、マルウェアによって、データベースのレコードが、不正に更新、即ち、改ざんされようとしたとする。 First, the communication control device disclosed in Non-Patent Document 1 has a problem that communication control based on a transmission flow source process cannot be performed. For example, it is assumed that there is a database in which confidential information is stored in the internal network, and only some clients are permitted to update / insert / delete records in this database. Then, it is assumed that one of these some clients is infected with malware, and the record of the database is illegally updated, that is, altered by the malware.
このような場合、非特許文献１に開示されている通信制御装置では、どのクライアントからどのような通信フローが送られているのかについては識別できる。しかし、この通信制御装置では、どのプロセスから送られてきた通信フローであるかについては識別できないため、マルウェアのプロセスによるデータベースレコードの改ざんを防ぐことは困難である。 In such a case, the communication control device disclosed in Non-Patent Document 1 can identify what communication flow is sent from which client. However, since this communication control device cannot identify which process the communication flow is sent from, it is difficult to prevent alteration of the database record by the malware process.
これに対して、特許文献１に開示されているシステムでは、上記の非特許文献１に開示されている通信制御プログラムの問題を解決できると考えられる。具体的には、特許文献１に開示されているシステムは、通信フローの送信元のプロセスを識別できるため、予め許可されていないプロセス、即ち、マルウェア等の不正なプロセスからの通信フローを遮断できる。 On the other hand, it is considered that the system disclosed in Patent Document 1 can solve the problem of the communication control program disclosed in Non-Patent Document 1. Specifically, since the system disclosed in Patent Document 1 can identify a process that is a transmission source of a communication flow, it can block a communication flow from a process that is not permitted in advance, that is, an unauthorized process such as malware. .
しかしながら、特許文献１に開示されているシステムでは、ネットワークソケットイベント要求と要求元アプリケーションの識別情報のみで通信制御が行われ、通信フローのデータ部の検査は行われない。このため、当該システムには、どのような処理を行う通信フローなのかを判断できず、データ部の情報を含めた通信制御を行うことができないという問題が発生する。 However, in the system disclosed in Patent Document 1, communication control is performed only with the network socket event request and the identification information of the request source application, and the data portion of the communication flow is not inspected. For this reason, there is a problem in the system that it is impossible to determine what kind of processing the communication flow is to perform, and it is not possible to perform communication control including information on the data portion.
具体的には、特許文献１に開示されているシステムには、例えば、特定のユーザには、データベースのレコードの参照のみを許可し、更新／挿入／削除は許可しない、といった柔軟な通信制御ができないという問題がある。 Specifically, the system disclosed in Patent Document 1 has flexible communication control such that, for example, a specific user is permitted to refer to a record in a database, and is not permitted to update / insert / delete. There is a problem that you can not.
また、送信元及び送信先のＩＰアドレス、ポート番号等のトランスポート層以下の情報と、アプリケーション識別情報のみで通信制御が行われるとする。更に、セキュリティサーバで許可された、レコードの参照／更新／挿入／削除が可能な業務用アプリケーションを入れたクライアントが存在するとする。このような場合に、特許文献１に開示されたシステムでは、クライアントが不正ユーザにより乗っ取られると、レコードの参照のために入れたにも関わらず、レコードの削除が行われる可能性がある。 Further, it is assumed that communication control is performed using only information below the transport layer such as the IP address and port number of the transmission source and transmission destination, and application identification information. Further, it is assumed that there is a client in which a business application that can be referred to / updated / inserted / deleted by the security server is inserted. In such a case, in the system disclosed in Patent Document 1, when a client is hijacked by an unauthorized user, there is a possibility that the record is deleted even though it is entered for reference to the record.
［発明の目的］
本発明の目的の一例は、上記問題を解消し、通信フローの解析だけでは得られない情報を利用した柔軟な通信制御を可能にして、高度なセキュリティを確保し得る、通信制御装置、クライアント装置、通信制御方法、及びプログラムを提供することにある。
[Object of invention]
An example of an object of the present invention is to solve the above-described problems and enable flexible communication control using information that cannot be obtained only by analyzing a communication flow, thereby ensuring a high level of security. And a communication control method and a program.
上記目的を達成するため、本発明の一側面における通信制御装置は、クライアント装置とサーバ装置との間のデータ通信を制御するための装置であって、
前記クライアント装置で実行されるプロセスが前記サーバ装置に対する通信を要求し、それに合わせて、前記クライアント装置が、当該装置に対して、前記要求から抽出した識
別情報を送信してきた場合に、前記識別情報を受信する、識別情報受信部と、
前記クライアント装置から前記サーバ装置に向けて送信された通信フローを受信する、通信フロー受信部と、
受信された前記通信フローのヘッダ部分と前記識別情報とを照合し、両者が一致するかどうかを判定する、照合部と、
前記照合部による照合の結果、前記ヘッダ部分が前記識別情報と一致する通信フローが存在する場合に、当該通信フローに対して、設定ルールに基づいて、通信制御を行う、制御部と、
を備えている、
ことを特徴とする。
In order to achieve the above object, a communication control device according to one aspect of the present invention is a device for controlling data communication between a client device and a server device,
When the process executed on the client device requests communication with the server device, and the client device transmits the identification information extracted from the request to the device accordingly, the identification information Receiving the identification information receiving unit;
A communication flow receiving unit for receiving a communication flow transmitted from the client device toward the server device;
Collating the received header portion of the communication flow with the identification information and determining whether or not both match,
As a result of collation by the collation unit, when there is a communication flow in which the header part matches the identification information, a control unit that performs communication control on the communication flow based on a setting rule;
With
It is characterized by that.
また、上記目的を達成するため、本発明の一側面におけるクライアント装置は、サーバ装置及び通信制御装置とデータ通信を行う装置であって、
当該装置で実行されるプロセスが前記サーバ装置に対する通信を要求した場合に、前記要求から、識別情報を抽出する、識別情報抽出部と、
抽出された前記識別情報を、前記通信制御装置に送信する、識別情報送信部と、
を備えている、
ことを特徴とする。
In order to achieve the above object, a client device according to one aspect of the present invention is a device that performs data communication with a server device and a communication control device.
An identification information extraction unit that extracts identification information from the request when a process executed by the device requests communication with the server device;
An identification information transmitting unit for transmitting the extracted identification information to the communication control device;
With
It is characterized by that.
また、上記目的を達成するため、本発明の一側面における通信制御方法は、クライアント装置とサーバ装置との間のデータ通信を制御するための方法であって、
（ａ）前記クライアント装置で実行されるプロセスが前記サーバ装置に対する通信を要求し、それに合わせて、前記クライアント装置が、前記要求から抽出した識別情報を送信してきた場合に、前記識別情報を受信する、ステップと、
（ｂ）前記クライアント装置から前記サーバ装置に向けて送信された通信フローを受信する、ステップと、
（ｃ）受信された前記通信フローのヘッダ部分と前記識別情報とを照合し、両者が一致するかどうかを判定する、ステップと、
（ｄ）前記（ｃ）のステップによる照合の結果、前記ヘッダ部分が前記識別情報と一致する通信フローが存在する場合に、当該通信フローに対して、設定ルールに基づいて、通信制御を行う、ステップと、
を有する、
ことを特徴とする。
In order to achieve the above object, a communication control method according to one aspect of the present invention is a method for controlling data communication between a client device and a server device,
(A) A process executed by the client device requests communication with the server device, and accordingly, the client device receives the identification information extracted from the request. , Step and
(B) receiving a communication flow transmitted from the client device toward the server device;
(C) collating the received header part of the communication flow with the identification information, and determining whether or not both match,
(D) As a result of collation in the step (c), when there is a communication flow in which the header portion matches the identification information, communication control is performed on the communication flow based on a setting rule. Steps,
Having
It is characterized by that.
更に、上記目的を達成するため、本発明の一側面における第１のプログラムは、コンピュータによって、クライアント装置とサーバ装置との間のデータ通信を制御するためのプログラムであって、
前記コンピュータに、
（ａ）前記クライアント装置で実行されるプロセスが前記サーバ装置に対する通信を要求し、それに合わせて、前記クライアント装置が、前記要求から抽出した識別情報を送信してきた場合に、前記識別情報を受信する、ステップと、
（ｂ）前記クライアント装置から前記サーバ装置に向けて送信された通信フローを受信する、ステップと、
（ｃ）受信された前記通信フローのヘッダ部分と前記識別情報とを照合し、両者が一致するかどうかを判定する、ステップと、
（ｄ）前記（ｃ）のステップによる照合の結果、前記ヘッダ部分が前記識別情報と一致する通信フローが存在する場合に、当該通信フローに対して、設定ルールに基づいて、通信制御を行う、ステップと、
を実行させる、
ことを特徴とする。
In order to achieve the above object, a first program in one aspect of the present invention is a program for controlling data communication between a client device and a server device by a computer,
In the computer,
(A) A process executed by the client device requests communication with the server device, and accordingly, the client device receives the identification information extracted from the request. , Step and
(B) receiving a communication flow transmitted from the client device toward the server device;
(C) collating the received header part of the communication flow with the identification information, and determining whether or not both match,
(D) As a result of collation in the step (c), when there is a communication flow in which the header portion matches the identification information, communication control is performed on the communication flow based on a setting rule. Steps,
To execute,
It is characterized by that.
加えて、上記目的を達成するため、本発明の一側面における第２のプログラムは、コンピュータによって、サーバ装置及び通信制御装置とデータ通信を行うためのプログラムであって、
前記コンピュータに、
（ａ）当該コンピュータで実行されるプロセスが前記サーバ装置に対する通信を要求した場合に、前記要求から、識別情報を抽出する、ステップと、
抽出された前記識別情報を、前記通信制御装置に送信する、ステップと、
実行させる、
ことを特徴とする。
In addition, in order to achieve the above object, a second program according to one aspect of the present invention is a program for performing data communication with a server device and a communication control device by a computer,
In the computer,
(A) when a process executed by the computer requests communication with the server device, extracting identification information from the request;
Transmitting the extracted identification information to the communication control device; and
To execute,
It is characterized by that.
以上のように、本発明によれば、通信フローの解析だけでは得られない情報を利用した柔軟な通信制御を可能にして、高度なセキュリティを確保することができる。 As described above, according to the present invention, it is possible to perform flexible communication control using information that cannot be obtained only by analyzing the communication flow, and to ensure high security.
（実施の形態）
以下、本発明の実施の形態における、通信制御装置、クライアント装置、通信制御方法、及びプログラムについて、図１〜図１４を参照しながら説明する。
(Embodiment)
Hereinafter, a communication control device, a client device, a communication control method, and a program according to an embodiment of the present invention will be described with reference to FIGS.
［装置構成］
最初に、図１を用いて、本実施の形態におけるクライアント装置及び通信制御装置の概略構成について説明する。図１は、本発明の実施の形態におけるクライアント装置及び通信制御装置の概略構成を示すブロック図である。
[Device configuration]
First, schematic configurations of the client device and the communication control device according to the present embodiment will be described with reference to FIG. FIG. 1 is a block diagram showing a schematic configuration of a client device and a communication control device according to an embodiment of the present invention.
図１に示すように、本実施の形態における通信制御装置２００は、本実施の形態におけるクライアント装置１００とサーバ装置３００との間のデータ通信を制御するための装置である。クライアント装置１００からサーバ装置３００に対して通信を行う際は、必ず通信制御装置２００を経由することとなる。また、通信制御装置２００は、クライアント装置１００、及びサーバ装置３００と共に、通信システムを構築している。
As shown in FIG. 1, the
クライアント装置１００は、そのＯＳ（Operating System）上で動作するプロセス１０１によって、通信制御装置２００を介して、サーバ装置３００に対して通信を行う端末である。例えば、クライアント装置１００は、業務用端末であり、サーバ装置３００は、業務用データを格納するデータベースサーバである。また、プロセス１０１は業務用データを扱う業務用アプリケーションのプロセスである。更に、クライアント装置１００のＯＳ上では、プロセス１０１だけでなく、複数のプロセスが動作しても良い。また、本実施の形態では、クライアント装置１００と同様の動作をする別のクライアント装置が複数台あってもよい。
The
図１に示すように、クライアント装置１００は、識別情報抽出部１０３と、識別情報送信部１０４とを備えている。
As illustrated in FIG. 1, the
識別情報抽出部１０３は、クライアント装置１００自身で実行されるプロセス１０１がサーバ装置３００に対する通信を要求した場合に、この要求から、識別情報を抽出する。識別情報送信部１０４は、抽出された識別情報を、通信制御装置２００に送信する。
When the
また、図１に示すように、通信制御装置２００は、識別情報受信部２０１と、通信フロー受信部２０２と、照合部２０７と、一次制御部２０８とを備えている。
As illustrated in FIG. 1, the
識別情報受信部２０１は、クライアント装置１００で実行されるプロセス１０１がサーバ装置３００に対する通信を要求し、それに合わせて、クライアント装置１００が、通信制御装置２００に対して、要求から抽出した識別情報を送信すると、この識別情報を受信する。
In the identification
通信フロー受信部２０２は、クライアント装置１００からサーバ装置３００に向けて送信された通信フローを受信する。照合部２０７は、受信された通信フローのヘッダ部分と、識別情報受信部２０１が受信した識別情報とを照合し、両者が一致するかどうかを判定する。一次制御部２０８は、照合部２０７による照合の結果、ヘッダ部分が識別情報と一致する通信フローが存在する場合に、この通信フローに対して、設定ルールに基づいて、通信制御を実行する。
The communication
このように、本実施の形態では、通信制御装置２００は、クライアント装置１００から、プロセスの要求から抽出された識別情報を取得し、この識別情報を用いて通信制御を行っている。つまり、本実施の形態によれば、通信制御装置２００は、通信フローの解析だけでは得られない情報を利用して、通信制御を行うことができ、結果、高度なセキュリティの確保が可能となる。
As described above, in the present embodiment, the
続いて、図２〜図４を用いて、本実施の形態におけるクライアント装置１００及び通信制御装置２００の構成についてより具体的に説明する。図２は、本発明の実施の形態にお
けるクライアント装置及び通信制御装置の構成を具体的に示すブロック図である。
Next, the configuration of the
［クライアント装置］
最初に、クライアント装置の構成について具体的に説明する。図２に示すように、本実施の形態では、クライアント装置１００は、通信フロー送信部１０２と、エージェント１０５と、を備えている。
[Client device]
First, the configuration of the client device will be specifically described. As shown in FIG. 2, in the present embodiment, the
通信フロー送信部１０２は、プロセス１０１から通信要求が届くと、この通信要求に応じたデータを、サーバ装置３００に送信する。通信要求は、例えば、ネットワークソケットイベント要求である。
When receiving a communication request from the
エージェント１０５は、上述した、識別情報抽出部１０３と、識別情報送信部１０４とを備えている。また、エージェント１０５は、クライアント装置１００にインストールされたプログラムによって構築されており、識別情報抽出部１０３と識別情報送信部１０４も、プログラムによって構築されている。
The
識別情報抽出部１０３は、本実施の形態では、通信要求がプロセス１０１から通信フロー送信部１０２に届く前に、この通信要求をインターセプトし、この通信要求から識別情報（後述）を抽出し、抽出した識別情報を識別情報送信部１０４に出力する。また、この時、識別情報抽出部１０３は、通信ログを監視し、通信ログに基づいて、識別情報を抽出しても良い。
In this embodiment, the identification
識別情報は、ヘッダ識別情報と、プロセス識別情報と、クライアント装置識別情報と、を含む。ヘッダ識別情報は、ＯＳＩ参照モデルのトランスポート層以下の情報である。ヘッダ識別情報としては、例えば、ＩＰヘッダに含まれるＩＰアドレス、及びＴＣＰ／ＵＤＰヘッダに含まれるポート番号が挙げられる。プロセス識別情報は、通信を行ったプロセスを識別ための情報である。プロセス識別情報としては、例えば、プロセス名、実行ユーザ名が挙げられる。クライアント識別情報は、クライアント装置１００を識別するための識別情報である。クライアント識別情報としては、例えば、コンピュータ名、ＯＳ名が挙げられる。
The identification information includes header identification information, process identification information, and client device identification information. The header identification information is information below the transport layer of the OSI reference model. Examples of the header identification information include an IP address included in the IP header and a port number included in the TCP / UDP header. The process identification information is information for identifying a process that has performed communication. Examples of the process identification information include a process name and an execution user name. The client identification information is identification information for identifying the
識別情報送信部１０４は、識別情報抽出部１０３から受け取った識別情報を、通信制御装置２００に対して送信する。
The identification
このような構成により、エージェント１０５は、クライアント装置１００が外部と通信を行う際に、通信の要求元であるプロセス１０１の識別情報と、クライアント装置１００の識別情報と、通信フローのヘッダ識別情報と、を紐付け、これらを通信制御装置に送信する。
With such a configuration, when the
［通信制御装置］
次に、通信制御装置２００の構成について具体的に説明する。本実施の形態では、通信制御装置２００は、クライアント装置１００からサーバ装置３００に送信される通信フローを検査し、検査結果に応じて通信フローを中継するか否かを判定する。
[Communication control device]
Next, the configuration of the
図２に示すように、本実施の形態では、通信制御装置２００は、上述した構成に加え、通信フロー送信部２０３と、識別情報記憶部２０４と、通信フロー記憶部２０５と、制御情報記憶部２０６と、解析部２０９と、二次制御部２１０と、識別情報制御部２１１とを備える。
As shown in FIG. 2, in the present embodiment, in addition to the configuration described above, the
識別情報受信部２０１は、本実施の形態では、エージェント１０５がインストールされ
た複数のクライアント装置から、識別情報が送信されてくると、これを受信し、受信した識別情報と、受信時刻と、エントリ番号と、を識別情報記憶部２０４に格納する。エントリ番号は、識別情報記憶部２０４に格納する識別情報ごとに一意に割り当てられる番号である。
In this embodiment, the identification
識別情報記憶部２０４は、識別情報を格納する。識別情報記憶部２０４は、例えば、データベースである。図３は、本発明の実施の形態において識別情報記憶部に格納される識別情報の一例を示す図である。
The identification
通信フロー受信部２０２は、本実施の形態では、クライアント装置１００からサーバ装置３００宛に送信された通信フローを受信し、受信した通信フローと、通信フロー格納位置情報（後述）と、を通信フロー記憶部２０５に格納する。
In the present embodiment, the communication
通信フロー格納位置情報は、通信フロー記憶部２０５における通信フローが格納されている場所を特定するための情報である。通信フロー格納位置情報は、例えば、バッファＩＤである。
The communication flow storage position information is information for specifying the location where the communication flow is stored in the communication
通信フロー記憶部２０５は、通信フローを記憶する。通信フロー記憶部２０５は、例えば、メモリーの受信バッファである。
The communication
このような構成により、通信制御装置２００は、クライアント装置から送信された通信フローを中継する。また、通信制御装置２００は、本来の宛先であるサーバ装置３００への通信フローの送信を保留することができる。
With such a configuration, the
照合部２０７は、本実施の形態では、通信フロー記憶部２０５に格納されている通信フローのヘッダ部分と、識別情報記憶部２０４に格納されているエントリのヘッダ識別情報と、を照合する。照合部２０７は、照合処理でマッチする通信フローが見つかった場合、一次制御部２０８に、当該エントリのエントリ番号と、当該通信フローの通信フロー格納位置情報（後述）と、を出力する。一方、見つからなかった場合、照合部２０７は、処理を終了する。
In the present embodiment, the
なお、照合部２０７は、照合処理を、定期的に実行しても良いし、通信フロー受信部２０２による通信フロー記憶部２０５への通信フローの格納をトリガーとして、照合処理を実行しても良い。また、照合部２０７は、識別情報受信部２０１による識別情報記憶部２０４への識別情報の格納をトリガーとして、照合処理を実行しても良い。
Note that the
このような構成により、クライアント装置１００から送信された通信フローの送信元プロセス、プロセスの実行ユーザ等、通信フローのヘッダ情報から得られない情報と、通信フローとが紐付けられることになる。言い換えると、クライアント装置１００のエージェント１０５が抽出した情報と通信フローとが紐付けられる。
With such a configuration, information that cannot be obtained from the header information of the communication flow, such as a transmission source process of the communication flow transmitted from the
制御情報記憶部２０６は、制御情報（後述）を記憶する。制御情報記憶部２０６は、例えば、データベースである。
The control
制御情報は、一次制御部２０８と二次制御部２１０とによって通信フロー送信の許可又は破棄を判定するために使用される情報である。制御情報は、予め制御情報記憶部２０６に登録されている必要がある。
The control information is information used by the
図４は、本発明の実施の形態において制御情報記憶部に格納されている制御情報の一例を示す図である。図４に示すように、制御情報は、ヘッダ識別情報と、プロセス識別情報
と、クライアント識別情報と、データ識別情報と、一次制御情報と、二次制御情報と、を含む。
FIG. 4 is a diagram illustrating an example of the control information stored in the control information storage unit in the embodiment of the present invention. As shown in FIG. 4, the control information includes header identification information, process identification information, client identification information, data identification information, primary control information, and secondary control information.
データ識別情報は、後述する解析部２０９が、通信フローのデータ部から抽出する情報であり、通信フローに含まれるデータの内容を特定する。具体的には、データ識別情報は、データの内容として、例えば、データベースへのレコードの挿入（INSERT）、クレジットカード等の秘密情報の取り出し（SELECT）等を特定する。
The data identification information is information extracted from the data part of the communication flow by the
一次制御情報は、ヘッダ識別情報と、プロセス識別情報と、クライアント識別情報とが一致するエントリがある場合に、一次制御部２０８が、対象通信フローの通信制御の内容を決定する情報である。一次制御情報によって決定される通信制御としては、例えば、通信フローのデータ解析、送信の許可、及び破棄が挙げられる。一次制御情報は、一次制御部２０８による通信制御のルールを規定している。
The primary control information is information that the
二次制御情報は、ヘッダ識別情報と、プロセス識別情報と、クライアント装置識別情報と、データ識別情報と、が一致するエントリがある場合に、二次制御部２１０が、対象通信フローの通信制御の内容を決定する情報である。二次制御情報によって決定される通信制御としては、例えば、通信フローの送信の許可、及び破棄が挙げられる。二次制御情報も、二次制御部２１０による通信制御のルールを規定している。
When there is an entry in which the header identification information, the process identification information, the client device identification information, and the data identification information match, the secondary control information is used by the
一次制御部２０８は、本実施の形態では、ヘッダ識別情報と、プロセス識別情報と、クライアント識別情報と、一次制御情報とに基づいて、通信制御を行う。具体的には、一次制御部２０８は、照合部２０７から受け取ったエントリ番号を基に、識別情報記憶部２０４から当該エントリのヘッダ識別情報と、プロセス識別情報と、クライアント識別情報とを読み込む。そして、一次制御部２０８は、読み込んだ各情報それぞれが、制御情報記憶部２０６に格納されているエントリとマッチする場合に、当該エントリの一次制御情報に基づいて、通信フローの制御方法を決定する。
In the present embodiment,
例えば、一次制御情報が「通信フローのデータ解析」の場合、一次制御部２０８は、解析部２０９に通信フロー格納位置情報と、識別情報記憶部２０４のエントリ番号と、を出力する。また、一次制御情報が「許可」の場合、一次制御部２０８は、通信フロー送信部２０３に通信フロー格納位置情報を出力する。更に、一次制御情報が「破棄」の場合、一次制御部２０８は、通信フロー記憶部２０５の通信フローを破棄する。
For example, when the primary control information is “data analysis of communication flow”, the
このような構成により、通信制御装置２００によれば、通信フローのヘッダ情報、通信フローの送信元プロセス、クライアント装置１００の情報を組み合わせた柔軟な通信制御が可能となる。
With such a configuration, the
例えば、特定のクライアント−サーバ間の通信において、業務用アプリケーションのプロセス１０１からのデータベースへのアクセスは許可するが、それ以外のマルウェア等のプロセスからのデータベースへのアクセスは許可しない、という通信制御が可能となる。
For example, in communication between a specific client and server, communication control is permitted such that access to the database from the
また、通信を許可する場合に、通信フロー解析の有無を設定可能とすることで、信頼できるクライアント装置１００のアプリケーションプログラムから送られてきた通信フローは、通信フロー解析をせずに送信する、といった通信制御が可能となる。
In addition, when communication is permitted, the presence / absence of communication flow analysis can be set so that the communication flow sent from the application program of the
解析部２０９は、一次制御部２０８から通信フロー格納位置情報を受け取ると、受け取った通信フロー格納位置情報に基づいて、通信フロー記憶部２０５にある通信フローを特定する。また、解析部２０９は、特定した通信フローに対して、データ部の解析を行い、データ識別情報を抽出する。そして、解析部２０９は、通信フロー格納位置情報と、識別
情報記憶部２０４のエントリ番号と、解析結果から抽出したデータ識別情報と、を二次制御部２１０に出力する。なお、解析部２０９は、通信制御装置２００の内部に含む構成としているが、通信制御装置２００の外側から接続する構成としてもよい。
Upon receiving the communication flow storage location information from the
二次制御部２１０は、データの解析の結果に応じて、データの解析対象となった通信フローに対して、通信制御を行う。二次制御部２１０は、本実施の形態では、ヘッダ識別情報と、プロセス識別情報と、クライアント識別情報と、データ識別情報と、二次制御情報とに基づいて通信制御を行う。
The
具体的には、二次制御部２１０は、解析部２０９から受け取ったエントリ番号を基に、識別情報記憶部２０４から当該エントリのヘッダ識別情報と、プロセス識別情報と、クライアント識別情報とを読み込む。
Specifically, the
そして、読み込んだ識別情報とデータ識別情報とが、それぞれ、制御情報記憶部２０６に格納されているヘッダ識別情報、プロセス識別情報、クライアント識別情報、及びデータ識別情報とマッチするとする。この場合、二次制御部２１０は、マッチした制御情報に該当する通信制御で、解析部２０９から受け取った通信フロー格納位置情報によって特定した、通信フロー記憶部２０５にある通信フローを制御する。
Then, it is assumed that the read identification information and data identification information match the header identification information, process identification information, client identification information, and data identification information stored in the control
また、二次制御部２１０は、通信制御が「許可」である場合は、通信フロー送信部２０３に通信フロー格納位置情報を出力する。一方、二次制御部２１０は、通信制御が「破棄」である場合は、通信フロー記憶部２０５の通信フローを破棄する。
Further, when the communication control is “permitted”, the
このような構成により、通信制御装置２００によれば、通信フローのヘッダ情報と、データ部の解析結果と、通信フローの送信元プロセスの情報と、クライアント装置１００の情報と、を組み合わせた柔軟な通信制御が可能となる。
With such a configuration, according to the
例えば、特定のクライアント−データベースサーバ間の通信において、あるアプリケーションに対しては、データの参照(SELECT)のみ許可し、別のアプリケーションに対しては、参照(SELECT)、挿入(INSERT)、更新(UPDATE)、削除(DELETE)の全てを許可する、という通信制御が可能となる。 For example, in communication between a specific client and database server, only one data reference (SELECT) is allowed for one application, and another application (reference (SELECT), insert (INSERT), update ( UPDATE) and delete (DELETE) are permitted.
通信フロー送信部２０３は、一次制御部２０８又は二次制御部２１０から通信フロー格納位置情報を受け取ると、受け取った通信フロー格納位置情報を基に特定した通信フロー記憶部２０５の通信フローを、サーバ装置３００に対して送信する。
When the communication
識別情報制御部２１１は、識別情報記憶部２０４を監視し、受信してから一定時間が経過した識別情報を削除する。具体的には、識別情報制御部２１１は、識別情報記憶部２０４に格納されたエントリの受信時刻を参照し、現在時刻から当該時刻を引いた時間が、予め設定された時間を超えている場合に、当該エントリを削除する。なお、識別情報制御部２１１は、前記削除処理を、定期的に実行してもよいし、通信制御装置２００で発生するイベントをトリガーとして実行してもよい。
The identification
このような構成により、通信制御装置２００は、受信してから一定時間が経過した識別情報を削除することで、不要に読み込まれるエントリ数を減らし、照合部における照合処理の速度を向上させることができる。
With such a configuration, the
［装置動作］
次に、本実施の形態におけるクライアント装置１００及び通信制御装置２００の動作について図５〜図１３を用いて説明する。また、以下の説明においては、適宜図１〜図４を
参照する。また、本実施の形態１では、クライアント装置１００と通信制御装置２００とを動作させることによって、通信制御方法が実施される。よって、本実施の形態における通信制御方法の説明は、以下のクライアント装置１００及び通信制御装置２００の動作説明に代える。
[Device operation]
Next, operations of the
最初に、図５を用いて、本実施の形態におけるクライアント装置１００の動作について説明する。図５は、本発明の実施の形態におけるクライアント装置の動作を示すフロー図である。具体的には、図５は、エージェント１０５の検出処理及び識別情報送信処理を示している。
First, the operation of the
図５に示すように、まず、クライアント装置１００において、識別情報抽出部１０３は、クライアント装置１００上で動作するプロセス１０１がサーバ装置３００に対して通信要求を出すと、この通信要求が通信フロー送信部１０２に到達する前に、これをインターセプトする（ステップＳ０１０１）。
As shown in FIG. 5, first, in the
次に、識別情報抽出部１０３は、インターセプトした通信要求から識別情報を抽出する（ステップＳ０１０２）。
Next, the identification
次に、識別情報抽出部１０３は、通信フロー送信部１０２を介して、サーバ装置３００に、インターセプトした通信要求を送信する（ステップＳ０１０３）。次に、識別情報抽出部１０３は、抽出した識別情報を識別情報送信部１０４に出力する（ステップＳ０１０４）。
Next, the identification
その後、識別情報送信部１０４は、識別情報抽出部１０３から出力されてきた識別情報を、通信制御装置２００に対して送信する（ステップＳ０１０５）。
Thereafter, the identification
続いて、図６〜図１３を用いて、本実施の形態における通信制御装置２００動作について説明する。図６〜図１３までには、通信制御装置２００の動作のフローが示されている。
Subsequently, the operation of the
図６は、本発明の実施の形態における通信制御装置の通信フロー受信部における通信フロー受信処理を示すフロー図である。 FIG. 6 is a flowchart showing communication flow reception processing in the communication flow reception unit of the communication control apparatus according to the embodiment of the present invention.
図６に示すように、最初に、通信フロー受信部２０２は、クライアント装置１００の通信フロー送信部１０２からサーバ装置３００宛に送信された通信フローを受信する（ステップＳ０２０１）。次に、通信フロー受信部２０２は、ステップＳ０２０１で受信した通信フローを、通信フロー記憶部２０５に格納する（ステップＳ０２０２）。
As shown in FIG. 6, first, the communication
図７は、本発明の実施の形態における通信制御装置の識別情報受信部における識別情報受信処理を示すフロー図である。 FIG. 7 is a flowchart showing identification information reception processing in the identification information receiving unit of the communication control apparatus according to the embodiment of the present invention.
図７に示すように、最初に、識別情報受信部２０１は、クライアント装置１００の識別情報送信部１０４から送信された識別情報を受信する（ステップＳ０３０１）。次に、識別情報受信部２０１は、受信した識別情報と、受信時刻と、エントリ番号と、を識別情報記憶部２０４に格納する（ステップＳ０３０２）。
As shown in FIG. 7, first, the identification
図８は、本発明の実施の形態における通信制御装置の照合部における照合処理を示すフロー図である。 FIG. 8 is a flowchart showing collation processing in the collation unit of the communication control apparatus in the embodiment of the present invention.
図８に示すように、最初に、照合部２０７は、ステップＳ０２０２又はステップＳ０３
０２を契機として、ステップＳ０４０１に進む。ステップＳ０４０１では、照合部２０７は、識別情報記憶部２０４に格納されているエントリを読み込み、ステップＳ０４０２に進む。
As shown in FIG. 8, first, the
With 02 as an opportunity, the process proceeds to step S0401. In step S0401, the
ステップＳ０４０２で、照合部２０７は、通信フロー記憶部２０５に格納されている通信フローのヘッダ部を解析する。その後、照合部２０７は、ヘッダ識別情報が一致するヘッダをもつ通信フローが存在するかどうかを判定する（ステップＳ０４０３）。
In step S0402, the
ステップＳ０４０３の判定の結果、ヘッダ識別情報が一致するヘッダをもつ通信フローが存在しない場合は、照合部２０７は、処理を終了する。一方、ステップＳ０４０３の判定の結果、ヘッダ識別情報が一致するヘッダをもつ通信フローが存在する場合は、照合部２０７は、一次制御部２０８に、当該エントリのエントリ番号と、当該通信フローの通信フロー格納位置情報とを出力する（ステップＳ０４０４）。
If the result of determination in step S0403 is that there is no communication flow having a header with matching header identification information, the
図９は、本発明の実施の形態における通信制御装置の一次制御部における一次制御処理を示すフロー図である。 FIG. 9 is a flowchart showing primary control processing in the primary control unit of the communication control apparatus in the embodiment of the present invention.
図９に示すように、最初に、一次制御部２０８は、照合部２０７から識別情報記憶部２０４のエントリ番号と通信フロー格納位置情報とを受け取る（ステップＳ０５０１）。
As shown in FIG. 9, first, the
次に、一次制御部２０８は、エントリ番号を基に、識別情報記憶部２０４の当該エントリを読み込む（ステップＳ０５０２）。次に、一次制御部２０８は、制御情報記憶部２０６のエントリを読み込む（ステップＳ０５０３）。
Next, the
次に、一次制御部２０８は、識別情報記憶部２０４のエントリのヘッダ識別情報と、プロセス識別情報と、クライアント識別情報と、が一致するエントリが制御情報記憶部２０６に存在するかどうかを判定する（ステップＳ０５０４）。
Next, the
ステップＳ０５０４の判定の結果、一致するエントリが存在しない場合は、一次制御部２０８は、ステップＳ０５０５を実行する。一方、ステップＳ０５０４の判定の結果、一致するエントリが存在する場合は、一次制御部２０８は、ステップＳ０５０６を実行する（ステップＳ０５０４）。
If the result of determination in step S0504 is that there is no matching entry, the
ステップＳ０５０５では、一次制御部２０８は、通信フロー格納位置情報を基に特定した通信フロー記憶部２０５の通信フローを破棄する。
In step S0505, the
ステップＳ０５０６では、一次制御部２０８は、当該エントリの一次制御情報が「破棄」であるかどうかを判定する。ステップＳ５０６の判定の結果、当該エントリの一次制御情報が「破棄」である場合は、一次制御部２０８は、ステップＳ０５０５に進む。一方、ステップＳ５０６の判定の結果、当該エントリの一次制御情報が「破棄」でない場合は、一次制御部２０８は、ステップＳ０５０７に進む。
In step S0506, the
ステップＳ０５０７では、一次制御部２０８は、当該エントリの一次制御情報が「許可」であるかどうかを判定する。ステップＳ０５０７の判定の結果、当該エントリの一次制御情報が「許可」である場合は、一次制御部２０８は、ステップＳ０５０８に進む。一方、ステップＳ０５０７の判定の結果、当該エントリの一次制御情報が「許可」でない場合は、一次制御部２０８は、ステップＳ０５０９に進む。
In step S0507, the
ステップＳ０５０８では、一次制御部２０８は、通信フロー格納位置情報を通信フロー送信部２０３に出力する。
In step S0508, the
ステップＳ０５０９では、一次制御部２０８は、通信フロー格納位置情報を解析部２０９に出力する。
In step S0509, the
図１０は、本発明の実施の形態における通信制御装置の解析部における解析処理を示すフロー図である。 FIG. 10 is a flowchart showing an analysis process in the analysis unit of the communication control apparatus in the embodiment of the present invention.
図１０に示すように、最初に、解析部２０９は、一次制御部２０８から、通信フロー格納位置情報と、識別情報記憶部２０４のエントリ番号と、を受け取る（ステップＳ０６０１）。
As shown in FIG. 10, first, the
次に、解析部２０９は、通信フロー格納位置情報を基に特定した通信フロー記憶部２０５の通信フローを読み込む（ステップＳ０６０２）。
Next, the
次に、解析部２０９は、読み込んだ通信フローのデータ部を解析する（ステップＳ０６０３）。
Next, the
その後、解析部２０９は、通信フロー格納位置情報と、識別情報記憶部のエントリ番号と、解析結果を基に抽出したデータ識別情報と、を二次制御部２１０に出力する（ステップＳ０６０４）。
Thereafter, the
図１１は、本発明の実施の形態における通信制御装置の二次制御部における二次制御処理を示すフロー図である。 FIG. 11 is a flowchart showing a secondary control process in the secondary control unit of the communication control apparatus according to the embodiment of the present invention.
図１１に示すように、最初に、二次制御部２１０は、解析部２０９から、通信フロー格納位置情報と、識別情報記憶部２０４のエントリ番号と、データ識別情報と、を受け取る（ステップＳ０７０１）。
As shown in FIG. 11, first, the
次に、二次制御部２１０は、エントリ番号に基付いて、識別情報記憶部２０４の当該エントリを読み込む（ステップＳ０７０２）。
Next, the
次に、二次制御部２１０は、制御情報記憶部２０６のエントリを読み込み（ステップＳ０７０３）。
Next, the
次に、二次制御部２１０は、識別情報記憶部２０４のエントリのヘッダ識別情報と、プロセス識別情報と、クライアント装置識別情報と、受け取ったデータ識別情報とが一致するエントリが、制御情報記憶部２０６に存在するかどうかを判定する（ステップＳ０７０４）。
Next, the
ステップＳ０７０４の判定の結果、一致するエントリが制御情報記憶部２０６に存在しない場合は、二次制御部２１０は、ステップＳ０７０５に進む。一方、ステップＳ０７０４の判定の結果、一致するエントリが制御情報記憶部２０６に存在する場合は、二次制御部２１０は、ステップＳ０７０６に進む（ステップＳ０７０４）。
As a result of the determination in step S0704, when there is no matching entry in the control
ステップＳ０７０５では、二次制御部２１０は、通信フロー格納位置情報を基に特定した通信フロー記憶部２０５の通信フローを破棄する。
In step S0705, the
ステップＳ０７０６では、二次制御部２１０は、当該エントリの二次制御情報が「破棄」であるかどうかを判定する。
In step S0706, the
ステップＳ０７０６の判定の結果、当該エントリの二次制御情報が「破棄」である場合は、二次制御部２１０は、ステップＳ０７０５に進む。一方、ステップＳ０７０６の判定の結果、当該エントリの二次制御情報が「破棄」でない場合は、二次制御部２１０は、ステップＳ０７０７に進む。
As a result of the determination in step S0706, if the secondary control information of the entry is “discard”, the
ステップＳ０７０７では、二次制御部２１０は、通信フロー格納位置情報を通信フロー送信部２０３に出力する。
In step S0707, the
図１２は、本発明の実施の形態における通信制御装置の通信フロー送信部における通信フロー送信処理を示すフロー図である。 FIG. 12 is a flowchart showing communication flow transmission processing in the communication flow transmission unit of the communication control apparatus according to the embodiment of the present invention.
図１２に示すように、最初に、通信フロー送信部２０３は、一次制御部２０８、又は二次制御部２１０から、通信フロー格納位置情報を受け取る（ステップＳ０８０１）。
As shown in FIG. 12, first, the communication
次に、通信フロー送信部２０３は、通信フロー格納位置情報を基に特定した通信フロー記憶部２０５の通信フローを読み込む（ステップＳ０８０２）。
Next, the communication
その後、通信フロー送信部２０３は、ステップＳ０８０２で読み込んだ通信フローをサーバ装置３００宛に送信する（ステップＳ０８０３）。
Thereafter, the communication
図１３は、本発明の実施の形態における通信制御装置の識別情報制御部における識別情報制御処理を示すフロー図である。 FIG. 13 is a flowchart showing identification information control processing in the identification information control unit of the communication control apparatus according to the embodiment of the present invention.
図１３に示すように、最初に、識別情報制御部２１１は、一定時間が経過したこと、又は通信制御装置２００で発生するイベントを契機として、ステップＳ０９０１に進む。ステップＳ０９０１では、識別情報制御部２１１は、識別情報記憶部２０４に格納されているエントリを読み込む。
As illustrated in FIG. 13, first, the identification
次に、識別情報制御部２１１は、読み込んだエントリの受信時刻を、現在時刻から引いた時間が、予め設定した時間を超えているかどうかを判定する（ステップＳ０９０２）。
Next, the identification
ステップＳ０９０２の判定の結果、予め設定した時間を超えている場合は、識別情報制御部２１１は、ステップＳ０９０１で読み込んだエントリを削除する（ステップＳ０９０３）。
If it is determined in step S0902 that the preset time has been exceeded, the identification
一方、ステップＳ０９０２の判定の結果、予め設定した時間を超えていない場合、識別情報制御部２１１は、処理を終了する。
On the other hand, as a result of the determination in step S0902, if the preset time has not been exceeded, the identification
［発明の効果］
以上のように、本実施の形態によれば、通信フローの送信元プロセスの情報、クライアント装置１００の情報等、通信フローの解析だけでは得られない情報を利用した柔軟な通信制御が可能となる。そして、この結果、本実施の形態によれば、高度なセキュリティの確保が可能となる。
[The invention's effect]
As described above, according to the present embodiment, it is possible to perform flexible communication control using information that cannot be obtained only by analyzing the communication flow, such as information about a communication flow source process and information about the
また、上述の例では、通信フローが暗号化されていないことを前提にして、構成及び動作の説明が行われているが、本実施の形態は、この例に限定されるものではない。本実施の形態では、非特許文献１に開示された技術を用いることで、通信フローが暗号化されている場合でも、通信フローを復号した上で、解析部２０９による通信フローのデータ解析が行われる態様とすることができる。
In the above example, the configuration and the operation are described on the assumption that the communication flow is not encrypted. However, the present embodiment is not limited to this example. In the present embodiment, even when the communication flow is encrypted by using the technique disclosed in Non-Patent Document 1, the
［プログラム］
本実施の形態における第１のプログラムは、コンピュータに、図６に示すステップＳ０２０１〜Ｓ０２０２、図７に示すステップＳ０３０１〜Ｓ０３０２、図８に示すステップＳ０４０１〜Ｓ０４０４、図９に示すステップＳ０５０１〜Ｓ０５０９、図１０に示すステップＳ０６０１〜Ｓ０６０４、図１１に示すＳ０７０１〜Ｓ０７０７、図１２に示すステップＳ０８０１〜Ｓ０８０３、図１３に示すステップＳ０９０１〜Ｓ０９０３を実行させるプログラムであれば良い。このプログラムをコンピュータにインストールし、実行することによって、本実施の形態における通信制御装置２００を実現することができる。この場合、コンピュータのプロセッサは、識別情報受信部２０１、通信フロー受信部２０２、通信フロー送信部２０３、照合部２０７、一次制御部２０８、解析部２０９、二次制御部２１０、及び識別情報制御部２１１として機能し、処理を行なう。
[program]
The first program in the present embodiment is stored in the computer in steps S0201 to S0202 shown in FIG. 6, steps S0301 to S0302 shown in FIG. 7, steps S0401 to S0404 shown in FIG. 8, and steps S0501 to S0509 shown in FIG. Any program that executes steps S0601 to S0604 shown in FIG. 10, S0701 to S0707 shown in FIG. 11, steps S0801 to S0803 shown in FIG. 12, and steps S0901 to S0903 shown in FIG. 13 may be used. By installing this program in a computer and executing it, the
また、本実施の形態における第１のプログラムは、複数のコンピュータによって構築されたコンピュータシステムによって実行されても良い。この場合は、例えば、各コンピュータが、それぞれ、識別情報受信部２０１、通信フロー受信部２０２、通信フロー送信部２０３、照合部２０７、一次制御部２０８、解析部２０９、二次制御部２１０、及び識別情報制御部２１１のいずれかとして機能しても良い。
In addition, the first program in the present embodiment may be executed by a computer system constructed by a plurality of computers. In this case, for example, each computer includes an identification
また、本実施の形態における第２のプログラムは、コンピュータに、図５に示すステップＳ０１０１〜Ｓ０１０５を実行させるプログラムであれば良い。このプログラムをコンピュータにインストールし、実行することによって、本実施の形態におけるクライアント装置１００（エージェント１０５）を実現することができる。この場合、コンピュータのプロセッサは、識別情報抽出部１０３、識別情報送信部１０４として機能し、処理を行なう。
Further, the second program in the present embodiment may be a program that causes a computer to execute steps S0101 to S0105 shown in FIG. By installing and executing this program on a computer, the client device 100 (agent 105) in the present embodiment can be realized. In this case, the processor of the computer functions as the identification
［物理構成］
ここで、本実施の形態における第１のプログラムを実行することによって、通信制御装置２００を実現するコンピュータと、本実施の形態における第２のプログラムを実行することによってクライアント装置１００を実現するコンピュータについて図１４を用いて説明する。図１４は、本発明の実施の形態におけるクライアント装置及び通信制御装置を実現するコンピュータの一例を示すブロック図である。
[Physical configuration]
Here, a computer that implements the
図１４に示すように、コンピュータ１０は、ＣＰＵ（Central Processing Unit）１１と、メインメモリ１２と、記憶装置１３と、入力インターフェイス１４と、表示コントローラ１５と、データリーダ／ライタ１６と、通信インターフェイス１７とを備える。これらの各部は、バス２１を介して、互いにデータ通信可能に接続される。なお、コンピュータ１０は、ＣＰＵ１１１に加えて、又はＣＰＵ１１１に代えて、ＧＰＵ（Graphics Processing Unit）、又はＦＰＧＡ（Field-Programmable Gate Array）を備えていても良い。
As shown in FIG. 14, the
ＣＰＵ１１は、記憶装置１３に格納された、本実施の形態におけるプログラム（コード）をメインメモリ１２に展開し、これらを所定順序で実行することにより、各種の演算を実施する。メインメモリ１２は、典型的には、ＤＲＡＭ（Dynamic Random Access Memory）等の揮発性の記憶装置である。また、本実施の形態における第１のプログラム及び第２のプログラムは、共に、コンピュータ読み取り可能な記録媒体２０に格納された状態で提供される。また、本実施の形態における第１のプログラム及び第２のプログラムは、通信インターフェイス１７を介して接続されたインターネット上で流通するものであっても良い。
The
また、記憶装置１３の具体例としては、ハードディスクドライブの他、フラッシュメモリ等の半導体記憶装置が挙げられる。入力インターフェイス１４は、ＣＰＵ１１と、キー
ボード及びマウスといった入力機器１８との間のデータ伝送を仲介する。表示コントローラ１５は、ディスプレイ装置１９と接続され、ディスプレイ装置１９での表示を制御する。
Specific examples of the
データリーダ／ライタ１６は、ＣＰＵ１１と記録媒体２０との間のデータ伝送を仲介し、記録媒体２０からのプログラムの読み出し、及びコンピュータ１０における処理結果の記録媒体２０への書き込みを実行する。通信インターフェイス１７は、ＣＰＵ１１と、他のコンピュータとの間のデータ伝送を仲介する。
The data reader /
また、記録媒体２０の具体例としては、ＣＦ（Compact Flash（登録商標））及びＳＤ（Secure Digital）等の汎用的な半導体記憶デバイス、フレキシブルディスク（Flexible
Disk）等の磁気記録媒体、又はＣＤ−ＲＯＭ（Compact Disk Read Only Memory）などの光学記録媒体が挙げられる。
Specific examples of the
And a magnetic recording medium such as a CD-ROM (Compact Disk Read Only Memory).
なお、本実施の形態におけるクライアント装置１００及び通信制御装置２００は、プログラムがインストールされたコンピュータではなく、各部に対応したハードウェアを用いることによっても実現可能である。更に、クライアント装置１００及び通信制御装置２００は、一部がプログラムで実現され、残りの部分がハードウェアで実現されていてもよい。
Note that the
上述した実施の形態の一部又は全部は、以下に記載する（付記１）〜（付記１４）によって表現することができるが、以下の記載に限定されるものではない。 Part or all of the above-described embodiments can be expressed by (Appendix 1) to (Appendix 14) described below, but is not limited to the following description.
（付記１）
クライアント装置とサーバ装置との間のデータ通信を制御するための装置であって、
前記クライアント装置で実行されるプロセスが前記サーバ装置に対する通信を要求し、それに合わせて、前記クライアント装置が、当該装置に対して、前記要求から抽出した識別情報を送信してきた場合に、前記識別情報を受信する、識別情報受信部と、
前記クライアント装置から前記サーバ装置に向けて送信された通信フローを受信する、通信フロー受信部と、
受信された前記通信フローのヘッダ部分と前記識別情報とを照合し、両者が一致するかどうかを判定する、照合部と、
前記照合部による照合の結果、前記ヘッダ部分が前記識別情報と一致する通信フローが存在する場合に、当該通信フローに対して、設定ルールに基づいて、通信制御を行う、制御部と、
を備えている、
ことを特徴とする通信制御装置。
(Appendix 1)
A device for controlling data communication between a client device and a server device,
When the process executed on the client device requests communication with the server device, and the client device transmits the identification information extracted from the request to the device accordingly, the identification information Receiving the identification information receiving unit;
A communication flow receiving unit for receiving a communication flow transmitted from the client device toward the server device;
Collating the received header portion of the communication flow with the identification information and determining whether or not both match,
As a result of collation by the collation unit, when there is a communication flow in which the header part matches the identification information, a control unit that performs communication control on the communication flow based on a setting rule;
With
A communication control device.
（付記２）
付記１に記載の通信制御装置であって、
前記制御部による前記通信制御の内容に応じて、受信された前記通信フローに含まれるデータの解析を行う、解析部と、
前記データの解析の結果に応じて、前記データの解析対象となった前記通信フローに対して、通信制御を行う、第２の制御部と、
を備えている、
ことを特徴とする通信制御装置。
(Appendix 2)
The communication control device according to attachment 1, wherein
Analyzing the data included in the received communication flow according to the content of the communication control by the control unit;
A second control unit that performs communication control on the communication flow that is the analysis target of the data according to a result of the analysis of the data;
With
A communication control device.
（付記３）
付記２に記載の通信制御装置であって、
前記制御部が、前記設定ルールに基づいて、前記通信制御として、当該通信フローに対
する、データ解析、送信の許可、及び廃棄のうちのいずれかを選択し、送信の許可又は廃棄を選択した場合は選択した処理を実行し、
前記制御部が、前記通信制御として、前記データ解析を選択した場合に、前記解析部が、受信された前記通信フローに含まれるデータの解析を行い、
前記第２の制御部が、前記データの解析の結果に応じて、前記通信制御として、前記データの解析対象となった前記通信フローに対する、送信の許可又は廃棄を実行する、
ことを特徴とする通信制御装置。
(Appendix 3)
The communication control device according to attachment 2, wherein
When the control unit selects one of data analysis, transmission permission, and discard for the communication flow as the communication control based on the setting rule, and selects transmission permission or discard Execute the selected process,
When the control unit selects the data analysis as the communication control, the analysis unit analyzes the data included in the received communication flow,
The second control unit executes permission or discard of transmission with respect to the communication flow that is the analysis target of the data as the communication control according to a result of the analysis of the data.
A communication control device.
（付記４）
付記２又は３に記載の通信制御装置であって、
前記識別情報が、ヘッダ識別情報、前記プロセスを識別するためのプロセス識別情報、及び前記クライアント装置を識別するためのクライアント識別情報を含み、
前記照合部が、受信された前記通信フローのヘッダ部分と、前記識別情報に含まれる前記ヘッダ識別情報とを照合し、
前記制御部が、ヘッダ識別情報、プロセス識別情報、及びクライアント識別情報それぞれの内容に応じて通信制御の内容を決定するルールに基づいて、通信制御を行い、
前記解析部が、前記データの解析によって、受信された前記通信フローから、それに含まれるデータの内容を特定するデータ識別情報を抽出し、
前記第２の制御部が、ヘッダ識別情報、プロセス識別情報、クライアント識別情報、及びデータ識別情報それぞれの内容に応じて通信制御の内容を決定するルールに基づいて、通信制御を行う、
ことを特徴とする通信制御装置。
(Appendix 4)
The communication control device according to appendix 2 or 3,
The identification information includes header identification information, process identification information for identifying the process, and client identification information for identifying the client device;
The collation unit collates the header part of the received communication flow with the header identification information included in the identification information;
The control unit performs communication control based on a rule that determines the content of communication control according to the content of each of header identification information, process identification information, and client identification information,
The analysis unit extracts data identification information that specifies the content of data included in the received communication flow by analyzing the data,
The second control unit performs communication control based on a rule that determines the content of communication control according to the content of each of header identification information, process identification information, client identification information, and data identification information.
A communication control device.
（付記５）
サーバ装置及び通信制御装置とデータ通信を行う装置であって、
当該装置で実行されるプロセスが前記サーバ装置に対する通信を要求した場合に、前記要求から、識別情報を抽出する、識別情報抽出部と、
抽出された前記識別情報を、前記通信制御装置に送信する、識別情報送信部と、
を備えている、
ことを特徴とするクライアント装置。
(Appendix 5)
A device that performs data communication with a server device and a communication control device,
An identification information extraction unit that extracts identification information from the request when a process executed by the device requests communication with the server device;
An identification information transmitting unit for transmitting the extracted identification information to the communication control device;
With
A client device.
（付記６）
クライアント装置とサーバ装置との間のデータ通信を制御するための方法であって、
（ａ）前記クライアント装置で実行されるプロセスが前記サーバ装置に対する通信を要求し、それに合わせて、前記クライアント装置が、前記要求から抽出した識別情報を送信してきた場合に、前記識別情報を受信する、ステップと、
（ｂ）前記クライアント装置から前記サーバ装置に向けて送信された通信フローを受信する、ステップと、
（ｃ）受信された前記通信フローのヘッダ部分と前記識別情報とを照合し、両者が一致するかどうかを判定する、ステップと、
（ｄ）前記（ｃ）のステップによる照合の結果、前記ヘッダ部分が前記識別情報と一致する通信フローが存在する場合に、当該通信フローに対して、設定ルールに基づいて、通信制御を行う、ステップと、
を有する、
ことを特徴とする通信制御方法。
(Appendix 6)
A method for controlling data communication between a client device and a server device, comprising:
(A) A process executed by the client device requests communication with the server device, and accordingly, the client device receives the identification information extracted from the request. , Step and
(B) receiving a communication flow transmitted from the client device toward the server device;
(C) collating the received header part of the communication flow with the identification information, and determining whether or not both match,
(D) As a result of collation in the step (c), when there is a communication flow in which the header portion matches the identification information, communication control is performed on the communication flow based on a setting rule. Steps,
Having
A communication control method characterized by the above.
（付記７）
付記６に記載の通信制御方法であって、
（ｅ）前記（ｄ）のステップによる前記通信制御の内容に応じて、受信された前記通信フローに含まれるデータの解析を行う、ステップと、
（ｆ）前記（ｅ）のステップにおける前記データの解析の結果に応じて、前記データの解析対象となった前記通信フローに対して、通信制御を行う、ステップと、
を更に有する、
ことを特徴とする通信制御方法。
(Appendix 7)
The communication control method according to appendix 6,
(E) analyzing the data included in the received communication flow according to the content of the communication control in the step (d);
(F) performing communication control on the communication flow that is the analysis target of the data according to a result of the analysis of the data in the step of (e);
Further having
A communication control method characterized by the above.
（付記８）
付記７に記載の通信制御方法であって、
前記（ｄ）のステップにおいて、前記設定ルールに基づいて、前記通信制御として、当該通信フローに対する、データ解析、送信の許可、及び廃棄のうちのいずれかを選択し、送信の許可又は廃棄を選択した場合は選択した処理を実行し、
前記（ｄ）のステップにおいて、前記通信制御として、前記データ解析を選択した場合に、前記（ｅ）のステップにおいて、受信された前記通信フローに含まれるデータの解析を行い、
前記（ｆ）のステップにおいて、前記データの解析の結果に応じて、前記通信制御として、前記データの解析対象となった前記通信フローに対する、送信の許可又は廃棄を実行する、
ことを特徴とする通信制御方法。
(Appendix 8)
The communication control method according to appendix 7,
In the step (d), based on the setting rule, as the communication control, one of data analysis, transmission permission, and discard is selected for the communication flow, and transmission permission or discard is selected. If you do, execute the selected process,
In the step (d), when the data analysis is selected as the communication control, in the step (e), the data included in the received communication flow is analyzed,
In the step (f), according to the result of the analysis of the data, as the communication control, permission or discard of transmission is performed on the communication flow that is the analysis target of the data.
A communication control method characterized by the above.
（付記９）
付記７又は８に記載の通信制御方法であって、
前記識別情報が、ヘッダ識別情報、前記プロセスを識別するためのプロセス識別情報、及び前記クライアント装置を識別するためのクライアント識別情報を含み、
前記（ｃ）のステップにおいて、受信された前記通信フローのヘッダ部分と、前記識別情報に含まれる前記ヘッダ識別情報とを照合し、
前記（ｄ）のステップにおいて、ヘッダ識別情報、プロセス識別情報、及びクライアント識別情報それぞれの内容に応じて通信制御の内容を決定するルールに基づいて、通信制御を行い、
前記（ｅ）のステップにおいて、前記データの解析によって、受信された前記通信フローから、それに含まれるデータの内容を特定するデータ識別情報を抽出し、
前記（ｆ）のステップにおいて、ヘッダ識別情報、プロセス識別情報、クライアント識別情報、及びデータ識別情報それぞれの内容に応じて通信制御の内容を決定するルールに基づいて、通信制御を行う、
ことを特徴とする通信制御方法。
(Appendix 9)
The communication control method according to appendix 7 or 8,
The identification information includes header identification information, process identification information for identifying the process, and client identification information for identifying the client device;
In the step (c), the header part of the received communication flow is collated with the header identification information included in the identification information;
In the step (d), communication control is performed based on a rule that determines the content of communication control according to the content of each of header identification information, process identification information, and client identification information.
In the step (e), by analyzing the data, data identification information for specifying the content of data included in the communication flow is extracted,
In the step (f), communication control is performed based on a rule that determines the content of communication control according to the content of each of header identification information, process identification information, client identification information, and data identification information.
A communication control method characterized by the above.
（付記１０）
コンピュータによって、クライアント装置とサーバ装置との間のデータ通信を制御するためのプログラムであって、
前記コンピュータに、
（ａ）前記クライアント装置で実行されるプロセスが前記サーバ装置に対する通信を要求し、それに合わせて、前記クライアント装置が、前記要求から抽出した識別情報を送信してきた場合に、前記識別情報を受信する、ステップと、
（ｂ）前記クライアント装置から前記サーバ装置に向けて送信された通信フローを受信する、ステップと、
（ｃ）受信された前記通信フローのヘッダ部分と前記識別情報とを照合し、両者が一致するかどうかを判定する、ステップと、
（ｄ）前記（ｃ）のステップによる照合の結果、前記ヘッダ部分が前記識別情報と一致する通信フローが存在する場合に、当該通信フローに対して、設定ルールに基づいて、通信制御を行う、ステップと、
を実行させる、
ことを特徴とするプログラム。
(Appendix 10)
A program for controlling data communication between a client device and a server device by a computer,
In the computer,
(A) A process executed by the client device requests communication with the server device, and accordingly, the client device receives the identification information extracted from the request. , Step and
(B) receiving a communication flow transmitted from the client device toward the server device;
(C) collating the received header part of the communication flow with the identification information, and determining whether or not both match,
(D) As a result of collation in the step (c), when there is a communication flow in which the header portion matches the identification information, communication control is performed on the communication flow based on a setting rule. Steps,
To execute,
A program characterized by that.
（付記１１）
付記１０に記載のプログラムであって、
前記コンピュータに、
（ｅ）前記（ｄ）のステップによる前記通信制御の内容に応じて、受信された前記通信フローに含まれるデータの解析を行う、ステップと、
（ｆ）前記（ｅ）のステップにおける前記データの解析の結果に応じて、前記データの解析対象となった前記通信フローに対して、通信制御を行う、ステップと、
を更に実行させる、
ことを特徴とするプログラム。
(Appendix 11)
The program according to
In the computer,
(E) analyzing the data included in the received communication flow according to the content of the communication control in the step (d);
(F) performing communication control on the communication flow that is the analysis target of the data according to a result of the analysis of the data in the step of (e);
To execute further,
A program characterized by that.
（付記１２）
付記１１に記載のプログラムであって、
前記（ｄ）のステップにおいて、前記設定ルールに基づいて、前記通信制御として、当該通信フローに対する、データ解析、送信の許可、及び廃棄のうちのいずれかを選択し、送信の許可又は廃棄を選択した場合は選択した処理を実行し、
前記（ｄ）のステップにおいて、前記通信制御として、前記データ解析を選択した場合に、前記（ｅ）のステップにおいて、受信された前記通信フローに含まれるデータの解析を行い、
前記（ｆ）のステップにおいて、前記データの解析の結果に応じて、前記通信制御として、前記データの解析対象となった前記通信フローに対する、送信の許可又は廃棄を実行する、
ことを特徴とするプログラム。
(Appendix 12)
The program according to
In the step (d), based on the setting rule, as the communication control, one of data analysis, transmission permission, and discard is selected for the communication flow, and transmission permission or discard is selected. If you do, execute the selected process,
In the step (d), when the data analysis is selected as the communication control, in the step (e), the data included in the received communication flow is analyzed,
In the step (f), according to the result of the analysis of the data, as the communication control, permission or discard of transmission is performed on the communication flow that is the analysis target of the data.
A program characterized by that.
（付記１３）
付記１１又は１２に記載のプログラムであって、
前記識別情報が、ヘッダ識別情報、前記プロセスを識別するためのプロセス識別情報、及び前記クライアント装置を識別するためのクライアント識別情報を含み、
前記（ｃ）のステップにおいて、受信された前記通信フローのヘッダ部分と、前記識別情報に含まれる前記ヘッダ識別情報とを照合し、
前記（ｄ）のステップにおいて、ヘッダ識別情報、プロセス識別情報、及びクライアント識別情報それぞれの内容に応じて通信制御の内容を決定するルールに基づいて、通信制御を行い、
前記（ｅ）のステップにおいて、前記データの解析によって、受信された前記通信フローから、それに含まれるデータの内容を特定するデータ識別情報を抽出し、
前記（ｆ）のステップにおいて、ヘッダ識別情報、プロセス識別情報、クライアント識別情報、及びデータ識別情報それぞれの内容に応じて通信制御の内容を決定するルールに基づいて、通信制御を行う、
ことを特徴とするプログラム。
(Appendix 13)
The program according to
The identification information includes header identification information, process identification information for identifying the process, and client identification information for identifying the client device;
In the step (c), the header part of the received communication flow is collated with the header identification information included in the identification information;
In the step (d), communication control is performed based on a rule that determines the content of communication control according to the content of each of header identification information, process identification information, and client identification information.
In the step (e), by analyzing the data, data identification information for specifying the content of data included in the communication flow is extracted,
In the step (f), communication control is performed based on a rule that determines the content of communication control according to the content of each of header identification information, process identification information, client identification information, and data identification information.
A program characterized by that.
（付記１４）
コンピュータによって、サーバ装置及び通信制御装置とデータ通信を行うためのプログラムであって、
前記コンピュータに、
（ａ）当該コンピュータで実行されるプロセスが前記サーバ装置に対する通信を要求した場合に、前記要求から、識別情報を抽出する、ステップと、
抽出された前記識別情報を、前記通信制御装置に送信する、ステップと、
実行させる、
ことを特徴とするプログラム。
(Appendix 14)
A program for performing data communication with a server device and a communication control device by a computer,
In the computer,
(A) when a process executed by the computer requests communication with the server device, extracting identification information from the request;
Transmitting the extracted identification information to the communication control device; and
To execute,
A program characterized by that.
以上のように、本発明によれば、通信フローの解析だけでは得られない情報を利用した柔軟な通信制御を可能にして、高度なセキュリティを確保することができる。本発明は、クライアント装置及びサーバ装置を備える各種コンピュータシステムに有用である。 As described above, according to the present invention, it is possible to perform flexible communication control using information that cannot be obtained only by analyzing the communication flow, and to ensure high security. The present invention is useful for various computer systems including a client device and a server device.
１０ コンピュータ
１１ ＣＰＵ
１２ メインメモリ
１３ 記憶装置
１４ 入力インターフェイス
１５ 表示コントローラ
１６ データリーダ／ライタ
１７ 通信インターフェイス
１８ 入力機器
１９ ディスプレイ装置
２０ 記録媒体
２１ バス
１００ クライアント装置
１０１ プロセス
１０２ 通信フロー送信部
１０３ 識別情報抽出部
１０４ 識別情報送信部
１０５ エージェント
２００ 通信制御装置
２０１ 識別情報受信部
２０２ 通信フロー受信部
２０３ 通信フロー送信部
２０４ 識別情報記憶部
２０５ 通信フロー記憶部
２０６ 制御情報記憶部
２０７ 照合部
２０８ 一次制御部
２０９ 解析部
２１０ 二次制御部
２１１ 識別情報制御部
３００ サーバ装置
10
12
Claims (8)
前記クライアント装置で実行されるプロセスが前記サーバ装置に対する通信を要求し、それに合わせて、前記クライアント装置が、当該装置に対して、前記要求から抽出した識別情報を送信してきた場合に、前記識別情報を受信する、識別情報受信部と、
前記クライアント装置から前記サーバ装置に向けて送信された通信フローを受信する、通信フロー受信部と、
受信された前記通信フローのヘッダ部分と前記識別情報とを照合し、両者が一致するかどうかを判定する、照合部と、
前記照合部による照合の結果、前記ヘッダ部分が前記識別情報と一致する通信フローが存在する場合に、当該通信フローに対して、設定ルールに基づいて、通信制御を行う、制御部と、
を備えている、
ことを特徴とする通信制御装置。 A device for controlling data communication between a client device and a server device,
When the process executed on the client device requests communication with the server device, and the client device transmits the identification information extracted from the request to the device accordingly, the identification information Receiving the identification information receiving unit;
A communication flow receiving unit for receiving a communication flow transmitted from the client device toward the server device;
Collating the received header portion of the communication flow with the identification information and determining whether or not both match,
As a result of collation by the collation unit, when there is a communication flow in which the header part matches the identification information, a control unit that performs communication control on the communication flow based on a setting rule;
With
A communication control device.
前記制御部による前記通信制御の内容に応じて、受信された前記通信フローに含まれるデータの解析を行う、解析部と、
前記データの解析の結果に応じて、前記データの解析対象となった前記通信フローに対して、通信制御を行う、第２の制御部と、
を備えている、
ことを特徴とする通信制御装置。 The communication control device according to claim 1,
Analyzing the data included in the received communication flow according to the content of the communication control by the control unit;
A second control unit that performs communication control on the communication flow that is the analysis target of the data according to a result of the analysis of the data;
With
A communication control device.
前記制御部が、前記設定ルールに基づいて、前記通信制御として、当該通信フローに対する、データ解析、送信の許可、及び廃棄のうちのいずれかを選択し、送信の許可又は廃棄を選択した場合は選択した処理を実行し、
前記制御部が、前記通信制御として、前記データ解析を選択した場合に、前記解析部が、受信された前記通信フローに含まれるデータの解析を行い、
前記第２の制御部が、前記データの解析の結果に応じて、前記通信制御として、前記データの解析対象となった前記通信フローに対する、送信の許可又は廃棄を実行する、
ことを特徴とする通信制御装置。 The communication control device according to claim 2,
When the control unit selects one of data analysis, transmission permission, and discard for the communication flow as the communication control based on the setting rule, and selects transmission permission or discard Execute the selected process,
When the control unit selects the data analysis as the communication control, the analysis unit analyzes the data included in the received communication flow,
The second control unit executes permission or discard of transmission with respect to the communication flow that is the analysis target of the data as the communication control according to a result of the analysis of the data.
A communication control device.
前記識別情報が、ヘッダ識別情報、前記プロセスを識別するためのプロセス識別情報、及び前記クライアント装置を識別するためのクライアント識別情報を含み、
前記照合部が、受信された前記通信フローのヘッダ部分と、前記識別情報に含まれる前記ヘッダ識別情報とを照合し、
前記制御部が、ヘッダ識別情報、プロセス識別情報、及びクライアント識別情報それぞれの内容に応じて通信制御の内容を決定するルールに基づいて、通信制御を行い、
前記解析部が、前記データの解析によって、受信された前記通信フローから、それに含まれるデータの内容を特定するデータ識別情報を抽出し、
前記第２の制御部が、ヘッダ識別情報、プロセス識別情報、クライアント識別情報、及びデータ識別情報それぞれの内容に応じて通信制御の内容を決定するルールに基づいて、通信制御を行う、
ことを特徴とする通信制御装置。 The communication control device according to claim 2 or 3,
The identification information includes header identification information, process identification information for identifying the process, and client identification information for identifying the client device;
The collation unit collates the header part of the received communication flow with the header identification information included in the identification information;
The control unit performs communication control based on a rule that determines the content of communication control according to the content of each of header identification information, process identification information, and client identification information,
The analysis unit extracts data identification information that specifies the content of data included in the received communication flow by analyzing the data,
The second control unit performs communication control based on a rule that determines the content of communication control according to the content of each of header identification information, process identification information, client identification information, and data identification information.
A communication control device.
当該装置で実行されるプロセスが前記サーバ装置に対する通信を要求した場合に、前記
要求から、識別情報を抽出する、識別情報抽出部と、
抽出された前記識別情報を、前記通信制御装置に送信する、識別情報送信部と、
を備えている、
ことを特徴とするクライアント装置。 A device that performs data communication with a server device and a communication control device,
An identification information extraction unit that extracts identification information from the request when a process executed by the device requests communication with the server device;
An identification information transmitting unit for transmitting the extracted identification information to the communication control device;
With
A client device.
（ａ）前記クライアント装置で実行されるプロセスが前記サーバ装置に対する通信を要求し、それに合わせて、前記クライアント装置が、前記要求から抽出した識別情報を送信してきた場合に、前記識別情報を受信する、ステップと、
（ｂ）前記クライアント装置から前記サーバ装置に向けて送信された通信フローを受信する、ステップと、
（ｃ）受信された前記通信フローのヘッダ部分と前記識別情報とを照合し、両者が一致するかどうかを判定する、ステップと、
（ｄ）前記（ｃ）のステップによる照合の結果、前記ヘッダ部分が前記識別情報と一致する通信フローが存在する場合に、当該通信フローに対して、設定ルールに基づいて、通信制御を行う、ステップと、
を有する、
ことを特徴とする通信制御方法。 A method for controlling data communication between a client device and a server device, comprising:
(A) A process executed by the client device requests communication with the server device, and accordingly, the client device receives the identification information extracted from the request. , Step and
(B) receiving a communication flow transmitted from the client device toward the server device;
(C) collating the received header part of the communication flow with the identification information, and determining whether or not both match,
(D) As a result of collation in the step (c), when there is a communication flow in which the header portion matches the identification information, communication control is performed on the communication flow based on a setting rule. Steps,
Having
A communication control method characterized by the above.
前記コンピュータに、
（ａ）前記クライアント装置で実行されるプロセスが前記サーバ装置に対する通信を要求し、それに合わせて、前記クライアント装置が、前記要求から抽出した識別情報を送信してきた場合に、前記識別情報を受信する、ステップと、
（ｂ）前記クライアント装置から前記サーバ装置に向けて送信された通信フローを受信する、ステップと、
（ｃ）受信された前記通信フローのヘッダ部分と前記識別情報とを照合し、両者が一致するかどうかを判定する、ステップと、
（ｄ）前記（ｃ）のステップによる照合の結果、前記ヘッダ部分が前記識別情報と一致する通信フローが存在する場合に、当該通信フローに対して、設定ルールに基づいて、通信制御を行う、ステップと、
を実行させる、
ことを特徴とするプログラム。 A program for controlling data communication between a client device and a server device by a computer,
In the computer,
(A) A process executed by the client device requests communication with the server device, and accordingly, the client device receives the identification information extracted from the request. , Steps and
(B) receiving a communication flow transmitted from the client device toward the server device;
(C) collating the received header part of the communication flow with the identification information, and determining whether or not both match,
(D) As a result of collation in the step (c), when there is a communication flow in which the header portion matches the identification information, communication control is performed on the communication flow based on a setting rule. Steps,
To execute,
A program characterized by that.
前記コンピュータに、
（ａ）当該コンピュータで実行されるプロセスが前記サーバ装置に対する通信を要求した場合に、前記要求から、識別情報を抽出する、ステップと、
抽出された前記識別情報を、前記通信制御装置に送信する、ステップと、
実行させる、
ことを特徴とするプログラム。 A program for performing data communication with a server device and a communication control device by a computer,
In the computer,
(A) when a process executed by the computer requests communication with the server device, extracting identification information from the request;
Transmitting the extracted identification information to the communication control device; and
To execute,
A program characterized by that.
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2018060765A JP7067187B2 (en) | 2018-03-27 | 2018-03-27 | Communication control device, communication control method, and program |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2018060765A JP7067187B2 (en) | 2018-03-27 | 2018-03-27 | Communication control device, communication control method, and program |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2019176273A true JP2019176273A (en) | 2019-10-10 |
| JP7067187B2 JP7067187B2 (en) | 2022-05-16 |
Family
ID=68167353
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2018060765A Active JP7067187B2 (en) | 2018-03-27 | 2018-03-27 | Communication control device, communication control method, and program |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP7067187B2 (en) |
Citations (11)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2005303530A (en) * | 2004-04-08 | 2005-10-27 | Mitsubishi Electric Corp | Access relay apparatus |
| JP2006332825A (en) * | 2005-05-24 | 2006-12-07 | Fujitsu Ltd | Program, method, and device for dispersing load |
| US20090307753A1 (en) * | 2008-06-10 | 2009-12-10 | Bradford Networks, Inc. | Network access control system and method for devices connecting to network using remote access control methods |
| JP2011008484A (en) * | 2009-06-25 | 2011-01-13 | Fujitsu Ltd | Data processing device, data processing program, and data processing method |
| JP2011029900A (en) * | 2009-07-24 | 2011-02-10 | Nomura Research Institute Ltd | Network management system and communication management server |
| WO2013080659A1 (en) * | 2011-12-01 | 2013-06-06 | Ｎｅｃシステムテクノロジー株式会社 | Sensitive information leakage prevention system, sensitive information leakage prevention method, and computer-readable recording medium |
| US20130219469A1 (en) * | 2012-02-16 | 2013-08-22 | Christopher Peterson | Mobile device identify factor for access control policies |
| JP2014036408A (en) * | 2012-08-10 | 2014-02-24 | Ntt Communications Corp | Communication apparatus, communication system, communication method, and communication program |
| JP2015142227A (en) * | 2014-01-28 | 2015-08-03 | 富士通株式会社 | Communication control device, communication control method, and communication control program |
| JP2016514295A (en) * | 2013-02-14 | 2016-05-19 | ヴイエムウェア インコーポレイテッドＶＭｗａｒｅ，Ｉｎｃ． | Method and apparatus for application awareness in a network |
| CN106790313A (en) * | 2017-03-31 | 2017-05-31 | 杭州迪普科技股份有限公司 | Intrusion prevention method and device |
-
2018
- 2018-03-27 JP JP2018060765A patent/JP7067187B2/en active Active
Patent Citations (11)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2005303530A (en) * | 2004-04-08 | 2005-10-27 | Mitsubishi Electric Corp | Access relay apparatus |
| JP2006332825A (en) * | 2005-05-24 | 2006-12-07 | Fujitsu Ltd | Program, method, and device for dispersing load |
| US20090307753A1 (en) * | 2008-06-10 | 2009-12-10 | Bradford Networks, Inc. | Network access control system and method for devices connecting to network using remote access control methods |
| JP2011008484A (en) * | 2009-06-25 | 2011-01-13 | Fujitsu Ltd | Data processing device, data processing program, and data processing method |
| JP2011029900A (en) * | 2009-07-24 | 2011-02-10 | Nomura Research Institute Ltd | Network management system and communication management server |
| WO2013080659A1 (en) * | 2011-12-01 | 2013-06-06 | Ｎｅｃシステムテクノロジー株式会社 | Sensitive information leakage prevention system, sensitive information leakage prevention method, and computer-readable recording medium |
| US20130219469A1 (en) * | 2012-02-16 | 2013-08-22 | Christopher Peterson | Mobile device identify factor for access control policies |
| JP2014036408A (en) * | 2012-08-10 | 2014-02-24 | Ntt Communications Corp | Communication apparatus, communication system, communication method, and communication program |
| JP2016514295A (en) * | 2013-02-14 | 2016-05-19 | ヴイエムウェア インコーポレイテッドＶＭｗａｒｅ，Ｉｎｃ． | Method and apparatus for application awareness in a network |
| JP2015142227A (en) * | 2014-01-28 | 2015-08-03 | 富士通株式会社 | Communication control device, communication control method, and communication control program |
| CN106790313A (en) * | 2017-03-31 | 2017-05-31 | 杭州迪普科技股份有限公司 | Intrusion prevention method and device |
Also Published As
| Publication number | Publication date |
|---|---|
| JP7067187B2 (en) | 2022-05-16 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| EP3365828B1 (en) | Methods for data loss prevention from malicious applications and targeted persistent threats | |
| US10375086B2 (en) | System and method for detection of malicious data encryption programs | |
| EP3665573B1 (en) | Real-time prevention of malicious content via dynamic analysis | |
| JP6188832B2 (en) | Method, computer program product, data processing system, and database system for processing database client requests | |
| US9443075B2 (en) | Interception and policy application for malicious communications | |
| US10270792B1 (en) | Methods for detecting malicious smart bots to improve network security and devices thereof | |
| US10757135B2 (en) | Bot characteristic detection method and apparatus | |
| KR20180120157A (en) | Data set extraction based pattern matching | |
| JP2004304752A (en) | System and method of defending attack | |
| JP7388613B2 (en) | Packet processing method and apparatus, device, and computer readable storage medium | |
| KR101534566B1 (en) | Apparatus and method for security control of cloud virtual desktop | |
| JP6092759B2 (en) | COMMUNICATION CONTROL DEVICE, COMMUNICATION CONTROL METHOD, AND COMMUNICATION CONTROL PROGRAM | |
| US10536261B2 (en) | Analysis system, analysis method, and storage medium | |
| JP7206980B2 (en) | COMMUNICATION CONTROL DEVICE, COMMUNICATION CONTROL METHOD AND COMMUNICATION CONTROL PROGRAM | |
| JP7067187B2 (en) | Communication control device, communication control method, and program | |
| JP5743822B2 (en) | Information leakage prevention device and restriction information generation device | |
| JP6635029B2 (en) | Information processing apparatus, information processing system, and communication history analysis method | |
| US10819614B2 (en) | Network monitoring apparatus and network monitoring method | |
| WO2020255185A1 (en) | Attack graph processing device, method, and program | |
| EP3151147A1 (en) | System and method for detection of malicious data encryption programs | |
| CN114072798A (en) | Inline malware detection | |
| JP2016021621A (en) | Communication system and communication method | |
| KR101511474B1 (en) | Method for blocking internet access using agent program | |
| KR102156600B1 (en) | System and method for creating association between packets collected in network and processes in endpoint computing device | |
| JP7444596B2 (en) | information processing system |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20210204 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20211008 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20211207 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20220107 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20220329 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20220411 |
|
| R151 | Written notification of patent or utility model registration |
Ref document number: 7067187 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R151 |