JP2016058906A - 通信制御装置、通信制御方法、通信制御プログラム、及び、通信システム - Google Patents

Abstract

【課題】
副次的な感染のリスクを低減する通信制御装置等を提供する。
【解決手段】
通信制御装置１０１は、情報処理装置５０１が所定のセキュリティ条件を満たすか否かに関して推定された推定情報に基づき、通信する制御手順を表す制御情報を作成するコントローラ１０２と、制御情報に従い、情報処理装置５０１に関する信号が通る通信経路を制御するスイッチ１０３とを有する。
【選択図】 図１

Description

本発明は、たとえば、複数の情報処理装置間における通信を制御可能な通信制御装置等に関する。

企業や社会インフラストラクチャへのサイバー攻撃は、年々、増加しているとともに、その種類も多様化している。日々高度化するサイバー攻撃に関して侵入・感染の全容を直ちに検知することは、技術的に困難である一方、解決しなければならない課題である。以降、インフラストラクチャを「インフラ」と表す。したがって、悪意のあるソフトウェア（マルウェア）が、企業、または、社会インフラにおける通信ネットワークに、侵入・感染する、または、すでに、侵入・感染していることを前提として、悪意のあるソフトウェアに対する防衛策を講じる必要がある。

悪意のあるソフトウェアに対する防衛策の１つとして、特許文献１または特許文献２に開示されるように、あるセキュリティポリシに従い、クライアントを監視する検疫システムがある。

特許文献１は、セキュリティポリシに適合しないクライアントと、通信ネットワークとを隔離し、該クライアントに対してセキュリティポリシに対応することを促すネットワーク検疫クライアントを開示する。該ネットワーク検疫クライアントによれば、上述した催促を実行することにより、セキュリティレベルが向上する。

特許文献２は、通信ネットワークにおいて、セキュリティポリシが更新されてから、クライアントコンピュータに該更新が反映されるまでに要する時間を短く抑制可能な検疫管理装置を開示する。該検疫管理装置は、クライアントコンピュータとの通信接続を確立し、該通信接続を維持した状態にて、セキュリティポリシと、監視する命令とを該クライアントコンピュータに送信する。クライアントコンピュータは、該セキュリティポリシと、該監視する命令と受信し、受信したセキュリティポリシに基づいて、該監視する命令を実行する。

一方、通信ネットワークを構成する技術も変化しており、たとえば、特許文献３に示すような、ソフトウェアに従い、通信ネットワークの構成を変更可能なＳｏｆｔｗａｒｅ−Ｄｅｆｉｎｅｄ Ｎｅｔｗｏｒｋ （「ＳＤＮ」）もある。

特許文献３は、オープンフロー技術を利用するコンピュータシステムを開示する。該コンピュータシステムは、コントローラと、スイッチとを有する。スイッチは、パケットを受信し、受信したパケットがフローエントリーに適合するか否かを判定する。スイッチは、適合すると判定する場合に、該フローエントリーにて規定された中継手順（制御情報）に従い、該パケットを送信する。

また、該スイッチは、適合しないと判定する場合に、該パケットをコントローラに送信する。コントローラは、該パケットを受信し、受信したパケットに含まれる送信元に関するフローエントリーを作成し、新たに、作成したフローエントリーを制御情報に設定する。次に、コントローラは、受信したパケットをスイッチに送信する。スイッチは、該受信したパケットを受信し、適合するフローエントリー（すなわち、コントローラが新たに設定したフローエントリー）にて規定された中継手順に従い、受信したパケットを目的地に送信する。

特開２００５−３１８６１５号公報 特開２０１０−２１９８０３号公報 国際公開ＷＯ２０１２／１４１０８６号

通信ネットワークを構成する技術が変化するにつれ、あるいは、サイバー攻撃の種類が多様化するにつれ、悪意のあるソフトウェアに対する防衛策も変える必要がある。

たとえば、悪意のあるソフトウェアが副次的に感染することに対する防衛策に関しては、必ずしも、現状で十分な装置が提供されているとは限らない。副次的な感染は、悪意のあるソフトウェアが、該ソフトウェアに感染した情報処理装置（以降、「感染計算機」と表す）から、他の情報処理装置（以降、「計算機」と表す）に感染することを表す。

特許文献１または特許文献２に開示される検疫システムは、通信システムにおいて、各計算機が悪意のあるソフトウェアが感染するのを、あらかじめ、防止する効果を有するものの、副次的な感染を防止することはできない。これは、該通信システムにおいて、１つのセキュリティポリシに従う限り、感染源であるソフトウェアに対する防衛策とならないからである。

そこで、本発明の主たる目的は、副次的な感染のリスクを低減する通信制御装置等を提供することである。

前述の目的を達成するために、本発明の一態様において、通信制御装置は、以下の構成を備える。

すなわち、通信制御装置は、
情報処理装置が所定のセキュリティ条件を満たすか否かに関して推定された推定情報に基づき、通信する制御手順を表す制御情報を作成するコントローラと、
前記制御情報に従い、前記情報処理装置に関する信号が通る通信経路を制御するスイッチと
を備える。

また、本発明の他の見地として、
通信制御方法は、通信を制御可能なスイッチを用いて、情報処理装置が所定のセキュリティ条件を満たすか否かに関して推定された推定情報に基づき、通信する制御手順を表す制御情報を作成し、前記制御情報に従い、前記情報処理装置に関する信号が通る通信経路を制御する。

さらに、同目的は、係る通信制御プログラム、および、そのプログラムを記録するコンピュータ読み取り可能な記録媒体によっても実現される。

本発明に係る通信制御装置システム等によれば、副次的な感染のリスクを低減することができる。

本発明の第１の実施形態に係る通信制御装置が有する構成を示すブロック図である。 第１の実施形態に係る通信制御装置における処理の流れを示すフローチャートである。 通信制御装置を含む処理の流れを示すシーケンス図である。 第１の実施形態に係る通信システムが有する構成を示すブロック図である。 認証情報の一例を概念的に表す図である。 トポロジ情報の一例を概念的に表す図である。 アドレス情報の一例を概念的に表す図である。 制御情報の一例を概念的に表す図である。 制御情報の一例を概念的に表す図である。 本発明の第２の実施形態に係る通信制御装置が有する構成を示すブロック図である。 第２の実施形態に係る通信制御装置における処理の流れを示すフローチャートである。 通信制御装置を含む処理の流れを示すシーケンス図である。 本発明の第３の実施形態に係る通信システムが有する構成を示すブロック図である。 第３の実施形態に係る通信システムにおける処理の流れを示すフローチャートである。 通信システムを含む通信ネットワーク構成を示すブロック図である。 本発明の各実施形態に係る通信制御装置または通信システムを実現可能な計算処理装置のハードウェア構成を、概略的に示すブロック図である。

次に、本発明を実施する実施形態について図面を参照しながら詳細に説明する。

＜第１の実施形態＞
本発明の第１の実施形態に係る通信制御装置１０１が有する構成と、通信制御装置１０１が行う処理とについて、図１乃至図３を参照しながら詳細に説明する。図１は、本発明の第１の実施形態に係る通信制御装置１０１が有する構成を示すブロック図である。図２は、第１の実施形態に係る通信制御装置１０１における処理の流れを示すフローチャートである。図３は、通信制御装置１０１を含む処理の流れを示すシーケンス図である。

第１の実施形態に係る通信制御装置１０１は、コントローラ１０２と、スイッチ１０３とを有する。通信制御装置１０１は、複数の情報処理装置５０１が、相互に情報を通信する場合に、通信に関する制御を実行する。

通信制御装置１０１は、さらに、推定情報作成部１０４を有してもよい。尚、推定情報作成部１０４は、必ずしも、通信制御装置１０１に含まれる必要はなく、推定情報作成部１０４が作成する情報を送受信可能であればよい。

尚、通信制御装置１０１が推定情報作成部１０４を含まない場合に、図４に例示するように、通信システム１０５は、通信制御装置１０１と、推定情報作成部１０４とを有してもよい。図４は、第１の実施形態に係る通信システム１０５が有する構成を示すブロック図である。

以降の説明においては、説明の便宜上、通信制御装置１０１は、推定情報作成部１０４を有するとする。

通信制御装置１０１は、通信ネットワークにおいて、複数の情報処理装置５０１が相互に通信する場合のフローを制御する。たとえば、通信制御装置１０１は、オープンフロー（ＯｐｅｎＦｌｏｗ）コントローラ（以降、「コントローラ」と表す）等を用いて実現することができる。コントローラ１０２は、スイッチ１０３に関する制御手順を表す制御情報を作成することにより、スイッチ１０３を制御し、この結果として、複数の情報処理装置５０１が相互に通信する場合における通信フロー（以降、単に、「フロー」と表す）を制御する。

ここで、ＯｐｅｎＦｌｏｗは、通信ネットワークにおいて経由する通信経路（以降、「経路」と表す）に関する設定等に関して、通信ネットワークを構成するスイッチ１０３等の装置を、フローと呼ばれる単位にて制御する制御装置を有する。ＯｐｅｎＦｌｏｗは、通信を実行するたびにフローを変更することが可能である。

スイッチ１０３は、コントローラ１０２が作成する制御情報に従い、通信ネットワークにおけるパケットの内容、及び、経路を制御する。

スイッチ１０３は、たとえば、オープンフロースイッチである。この場合に、オープンフロースイッチは、オープンフローコントローラが作成する制御情報（フロー）に従い処理を実行する。

説明の便宜上、情報処理装置１（以降、「端末１」と表す）は、複数の情報処理装置５０１のうち、情報処理装置２（以降、「端末２」と表す）に情報（たとえば、パケット、以降、パケットを用いて説明する）を送信するとする。端末２は、端末１と同じネットワークセグメントに属するとする。情報処理装置３（以降、「端末３」と表す）は、端末１と異なるネットワークセグメントに属する情報処理装置であるとする。また、各情報処理装置は、インターネットプロトコル（ＩＰ）アドレスと、ＭＡＣ（Ｍｅｄｉａ＿Ａｃｃｅｓｓ＿Ｃｏｎｔｒｏｌ）アドレスとを用いて一意に識別可能であるとする。尚、上述した情報は、たとえば、図７に例示するアドレス情報に格納される。図７は、アドレス情報の一例を概念的に表す図である。

また、以降の説明においては、情報処理装置を、端末と表すが、ファイルサーバ、メールサーバ等のサーバ装置であってもよい。すなわち、端末は、サーバ装置を含む。

アドレス情報は、情報処理装置と、該情報処理装置に関するＩＰアドレスと、該情報処理装置に関するＭＡＣアドレスと、該情報処理装置が属するネットワークセグメントとを関連付ける。尚、アドレス情報は、必ずしも、上述したすべての項目を含む必要はなく、また、上述した項目以外の情報を含んでもよい。

たとえば、アドレス情報は、情報処理装置ＣＬ１と、ＩＰ１と、ＭＡＣ１と、ＩＤ１とを関連付ける。これは、ＣＬ１に関するＩＰアドレスがＩＰ１であり、ＣＬ１に関するＭＡＣアドレスがＭＡＣ１であり、ＣＬ１がＩＤ１なるネットワークセグメントに属することを表す。たとえば、アドレス情報は、ＣＬ３と、ＩＰ３と、ＭＡＣ３と、ＩＤ２とを関連付ける。これは、情報処理装置ＣＬ３に関するＩＰアドレスがＩＰ３であり、ＣＬ３に関するＭＡＣアドレスがＭＡＣ３であり、ＣＬ３がＩＤ２なるネットワークセグメントに属することを表す。

尚、ネットワークセグメントを一意に識別可能な識別子（ＩＤ）は、ＩＰアドレス等に基づき算出してもよいし、管理者が設定してもよい。

まず、端末１は、パケットを端末２に送信する（ステップＳ２０１）。

尚、通信ネットワークにおいて、情報処理装置、及び、スイッチ１０３等のポートが通信接続（以降、単に、「接続」とも表す）する状況は、たとえば、図６に例示するトポロジ情報として表すことができる。図６は、トポロジ情報の一例を概念的に表す図である。すなわち、トポロジ情報は、通信ネットワークにおいて、情報処理装置、及び、スイッチ１０３等が通信接続する状況を表す情報である。トポロジ情報は、スイッチを表す識別子と、ポート番号と、該ポート番号に通信接続する情報処理装置を表す識別子とを関連付ける情報である。

尚、トポロジ情報は、上述した項目以外の項目を含んでもよい。

たとえば、トポロジ情報は、ＳＷ１と、ｐ１と、ＣＬ１とを関連付ける。これは、スイッチＳＷ１におけるポートｐ１と、情報処理装置ＣＬ１とが通信接続することを表す。また、トポロジ情報は、ＳＷ１と、ｐ３と、ＣＬ３とを関連付ける。これは、スイッチＳＷ１におけるポートｐ３と、情報処理装置ＣＬ３とが通信接続することを表す。

スイッチ１０３は、端末１に通信接続するポートを経由して、該パケットを受信する（ステップＳ２０２）。次に、スイッチ１０３は、図８または図９に例示する制御情報を参照する（ステップＳ２０３）。図８及び図９は、制御情報の一例を概念的に表す図である。尚、制御情報は、フローテーブルとも呼ばれる。

図８、または、図９を参照すると、制御情報は、たとえば、ある通信を識別可能な特定情報（Ｍａｔｃｈ）と、該通信に係る処理情報（Ａｃｔｉｏｎ）とを関連付ける。制御情報は、さらに、該通信と、該通信処理に係る制限時間（タイムアウト）とを関連づけてもよい。たとえば、タイムアウトは、該通信処理を適用するのを中止するまでに要する時間を表す。また、制御情報は、さらに、通信に関するパラメタ等を含んでもよい。

特定情報は、たとえば、以下の情報が関連付けされた情報である。すなわち、
対象情報を受信する場合に経由するポート、
該対象情報を送信するＩＰアドレス、
該対象情報を送信するＭＡＣアドレス、
該対象情報を受信するＩＰアドレス、
該対象情報を受信するＭＡＣアドレス。

処理情報は、たとえば、以下の情報が関連付けされた情報である。すなわち、
該対象情報を送信する場合に経由するポート、
該対象情報を送信する（Ｆｏｒｗａｒｄ）か、否（Ｄｒｏｐ）か。

尚、特定情報、及び、処理情報は、上述した項目以外の項目を含んでもよい。特定情報は、通信を特定可能な情報であればよいので、上述した例に限定されない。処理情報は、通信する処理に係る情報であればよいので、上述した例に限定されない。

たとえば、図９の１行目は、ｐ１、ＩＰ１、ＭＡＣ１、ＩＰ２、ＭＡＣ２、及び、Ｄｒｏｐが関連付けされている。これは、ＩＰ１及びＭＡＣ１が表す情報処理装置が、ｐ１を経由して、ＩＰ２及びＭＡＣ２が表す情報処理装置に、対象情報を送信することを表す。該特定情報は、Ｄｒｏｐと関連付けされているので、ＩＰ２及びＭＡＣ２が表す情報処理装置に送信されないことを表す。

また、図９の４行目は、ｐ３、ＩＰ３、ＭＡＣ３、ＩＰ２、ＭＡＣ２、ｐ２、及び、Ｆｏｒｗａｒｄが関連付けされている。これは、ＩＰ３及びＭＡＣ３が表す情報処理装置が、ｐ３を経由して、ＩＰ２及びＭＡＣ２が表す情報処理装置に、対象情報を送信することを表す。該特定情報は、Ｆｏｒｗａｒｄと関連付けされているので、ｐ２を経由して、ＩＰ２及びＭＡＣ２が表す情報処理装置に送信されることを表す。

スイッチ１０３は、図６に例示するトポロジ情報、及び、図７に例示するアドレス情報等に基づき、端末１に関するＩＰアドレスがＩＰ１であり、端末１に関するＭＡＣアドレスがＭＡＣ１であることを特定する。同様に、スイッチ１０３は、トポロジ情報及びアドレス情報等に基づき、端末２に関するＩＰアドレスがＩＰ２であり、端末２に関するＭＡＣアドレスがＭＡＣ２であることを特定する。また、スイッチ１０３は、端末１に通信接続するポートがｐ１であることを特定する。

次に、スイッチ１０３は、参照した制御情報に、受信したパケットに関する情報が含まれるか否かを判定する（ステップＳ２０４）。たとえば、スイッチ１０３は、上述したように特定した特定情報（すなわち、ｐ１、ＩＰ１、ＭＡＣ１、ＩＰ２、ＭＡＣ２）が、制御情報に含まれるか否かを判定する（ステップＳ２０４）。図８に例示する制御情報が上述した特定情報を含む（ステップＳ２０４にてＹＥＳと判定）ので、スイッチ１０３は、該パケットを、該特定情報に関連付けされた処理情報に従い送信する（ステップＳ２１０）。この例において、スイッチ１０３は、ｐ２を介して、端末２に該パケットを送信（すなわち、Ｆｏｒｗａｒｄ）する。

次に、端末２は、該パケットを受信する（ステップＳ２１１）。

参照した制御情報に、受信したパケットに関する情報が含まれないと、スイッチ１０３が判定する場合（ステップＳ２０４にてＮＯと判定）における処理について説明する。

推定情報作成部１０４は、端末１からスイッチ１０３を経由して送信されるパケット等の情報に基づき、端末１が正規の情報処理装置であるか否かを表す推定情報を作成する（ステップＳ２０５、ステップＳ１０１）。

たとえば、推定情報作成部１０４は、正規の情報処理装置であるか否かを表す認証情報（図５）に基づき、推定情報を作成する。図５は、認証情報の一例を概念的に表す図である。認証情報は、通信ネットワークを経由する通信において用いられるアプリケーションに関して、該アプリケーションのプロセス名と、該アプリケーションのバージョン情報と、該アプリケーションに関する更新日時等とが関連付けされた情報である。認証情報は、さらに、該アプリケーション（アプリケーションプログラム）に関する実行ファイルのハッシュ値、該実行ファイルが参照するライブラリのハッシュ値等のパラメタ等と関連付けされていてもよい。

認証情報には、たとえば、悪意のあるソフトウェア（マルウェア）ではないと推定されるアプリケーションに関する情報（いわゆる、「ホワイトリスト」）が格納される。たとえば、通信ネットワークに関する運用を開始する場合に、あるいは、運用の開始以降に定期的に該認証情報を作成してもよい。

推定情報作成部１０４は、たとえば、端末１において実行された各アプリケーションに関して、認証情報に含まれるアプリケーションであるか否かを判定する。次に、端末１が認証情報に含まれないアプリケーションを実行する場合に、推定情報作成部１０４は、該端末１が正規の情報処理装置でないと推定する。すなわち、この場合に、推定情報作成部１０４は、認証情報に基づき、端末１が正規の情報処理装置でないことを表す推定情報を作成する。

アプリケーション等、情報処理装置に関する情報は、たとえば、情報処理装置５０１が、該情報を収集及び送受信するエージェントを有することにより可能である。たとえば、推定情報作成部１０４は、該情報を収集するリクエストをエージェントに送信し、該リクエストに呼応して送信される情報に基づき、上述したような情報を取得する。

情報処理装置に関する情報を取得する方法は、上述した方法に限定されない。たとえば、通信ネットワークに係るドメインに関して、読み取り、及び、書き込み等の権限を付与することにより、該ドメインコントローラ等と連携しながら、情報処理装置に関する情報を取得する方法であってもよい。

コントローラ１０２は、推定情報作成部１０４が作成する推定情報に基づき、スイッチ１０３に関する制御情報（フローエントリー）を作成する（ステップＳ２０８、ステップＳ１０２）。

コントローラ１０２は、該端末１が正規の情報処理装置であることを該推定情報が表す場合に、たとえば、図８の１行目に示す制御情報を作成する。この例では、すなわち、コントローラ１０２は、該通信に関して、ｐ１、ＩＰ１、ＭＡＣ１、ＩＰ２、ＭＡＣ２、ｐ２、及び、Ｆｏｒｗａｒｄ等が関連付けされた制御情報を作成する。

スイッチ１０３は、コントローラ１０２が作成したフローエントリーを、制御情報に格納（更新）する（ステップＳ２０９）。次に、スイッチ１０３は、該制御情報に従い、受信したパケットを端末２に送信する（ステップＳ２１０）。すなわち、スイッチ１０３は、制御情報に従い、通信経路（経路）を制御する（ステップＳ１０３）。

一方、コントローラ１０２は、該端末１が正規の情報処理装置でないことを該推定情報が表す場合に、後述のように制御情報を更新することにより、端末１に関する通信を制限する。

この場合に、コントローラ１０２は、たとえば、図９に例示する制御情報を作成する。

たとえば、図９の第１行は、端末１から端末２へパケットを送信する処理を実行しないことを表す。図９の第２行は、端末１から端末３へパケットを送信する処理を実行しないことを表す。図９の第５行は、端末２から端末１へパケットを送信する処理を実行しないことを表す。図９の第６行は、端末３から端末１へパケットを送信する処理を実行しないことを表す。

また、図９の第３行は、端末２から端末３へパケットを送信する処理を実行することを表す。図９の第４行は、端末３から端末２へパケットを送信する処理を実行することを表す。

すなわち、この結果、制御情報は、ネットワークセグメントを、２つのネットワークセグメント（ＣＬ１のみ、及び、ＣＬ２とＣＬ３）に分けることを表す
尚、コントローラ１０２は、制御情報を更新するのに応じて、更新後の制御情報に基づきアドレス情報、及び、トポロジ情報を更新してもよい。または、コントローラ１０２は、アドレス情報、及び、トポロジ情報を更新せずに、制御情報を更新するのに応じて、更新部分に関して、別途、アドレス情報、及び、トポロジ情報を作成してもよい。

また、コントローラ１０２は、上述した更新を契機とするのではなく、特定のタイミングにてアドレス情報、及び、トポロジ情報を作成してもよい。

次に、第１の実施形態に係る通信制御装置１０１に関する効果について説明する。

通信制御装置１０１によれば、副次的な感染のリスクを低減することができる。

この理由は、情報処理装置５０１が、たとえば、マルウェアに感染していると推定される場合に、コントローラ１０２が、通信ネットワークにおいて通信可能な情報処理装置５０１を制限する等、通信経路を制御するからである。

この場合に、たとえば、マルウェアに感染していると推定される情報処理装置（以降、「疑装置」と表す）は、通信ネットワークを介して、他の情報処理装置と通信することができない。したがって、疑装置は、実際にマルウェアに感染しているとしても、通信ネットワークを介して、他の情報処理装置を攻撃することができない。したがって、本実施形態に係る通信制御装置１０１によれば、通信ネットワークにおける脅威から受ける被害のリスクを低減することができる。

尚、情報処理装置５０１がマルウェアに感染している例等を用いて、本実施形態に係る通信制御装置１０１について説明したが、必ずしも、マルウェアに感染しているか否かに限定されない。すなわち、通信制御装置１０１は、情報処理装置５０１が所定のセキュリティ条件を満たすか否かに関して推定された推定情報に基づき、処理を行ってもよい。

＜第２の実施形態＞
次に、上述した第１の実施形態を基本とする本発明の第２の実施形態について説明する。

以降の説明においては、本実施形態に係る特徴的な部分を中心に説明すると共に、上述した第１の実施形態と同様な構成については、同一の参照番号を付すことにより、重複する説明を省略する。

図１０乃至図１２を参照しながら、第２の実施形態に係る通信制御装置１１１が有する構成と、通信制御装置１１１が行う処理とについて説明する。図１０は、本発明の第２の実施形態に係る通信制御装置１１１が有する構成を示すブロック図である。図１１は、第２の実施形態に係る通信制御装置１１１における処理の流れを示すフローチャートである。図１２は、通信制御装置１１１を含む処理の流れを示すシーケンス図である。

第２の実施形態に係る通信制御装置１１１は、コントローラ１１２と、スイッチ１０３とを有する。通信制御装置１１１は、複数の情報処理装置５０１が、相互に情報を通信する場合に、通信に関する制御を実行する。

通信制御装置１１１は、さらに、推定情報作成部１０４を有してもよい。尚、推定情報作成部１０４は、必ずしも、通信制御装置１１１に含まれる必要はなく、推定情報作成部１０４が作成する情報を送受信可能であればよい。

推定情報作成部１０４は、推定情報を作成する（ステップＳ２０５）。

コントローラ１１２は、端末１が正規の情報処理装置でないことを該推定情報が表す場合に、第１の実施形態に示したように制御情報を更新することにより、端末１に関する通信を制限する（ステップＳ２０８）。それとともに、コントローラ１１２は、端末１が通信可能であることを表す情報を、該端末１に送信する（ステップＳ２０６、ステップＳ１１１）。すなわち、コントローラ１１２は、端末１が属するネットワークセグメントに、他の情報処理装置が存在するという情報を端末１に送信する（ステップＳ２０６）。コントローラ１１２は、たとえば、トポロジ情報、及び、アドレス情報等に基づき、ＩＰアドレス及びＭＡＣアドレス等に関して該情報を作成する。

たとえば、コントローラ１１２は、端末１が属するネットワークセグメントに、仮想的な端末４、及び、仮想的な端末５等が属するという情報を作成する。

端末１は、該情報を受信する（ステップＳ２０７）。

コントローラ１１２は、端末１に関する通信を制限している状況において、端末１から端末４へ通信が発生する場合、あるいは、端末１から端末５へ通信が発生する場合に、該通信を、不正な通信として検知してもよい。

該処理によれば、端末１が不正な情報処理装置であるか否かを、さらに、正確に判定することができる。これは、上述したホワイトリストに基づく推定の他に、実際に、端末１から通信が生じるという事象に基づき推定するからである。

また、端末１が特定のサーバ（不図示）に通信する場合に、コントローラ１１２は、該端末１とサーバとの通信のみを許可する制御情報を作成してもよい。

該処理によれば、推定情報作成部１０４が誤った推定情報を作成する場合であっても、端末１に係る処理を妨げる可能性を低くすることができる。これは、たとえば、端末１が正規の情報処理装置である場合に、上述した処理により、端末１とサーバとの通信が可能になり、処理を妨げることがないからである。

あるいは、該処理によれば、悪意のあるソフトウェアを検知しやすくなる。これは、悪意のあるソフトウェアが、端末１とサーバとの通信接続が制限されたことを検知する場合に、該ソフトウェアが、通信制御装置１１１における処理を検知しにくくなるからである。したがって、悪意のあるソフトウェアが、端末１から他の情報処理装置へ通信を実行しようとするので、通信制御装置１１１によれば、悪意のあるソフトウェアを検知しやすくなる。

さらに、コントローラ１１２は、設定した制御情報におけるフローエントリーを、格納後から、所定の時間を過ぎる場合に削除してもよい。また、コントローラ１１２は、制御情報が更新されるのに応じて、アドレス情報、及び、トポロジ情報を更新してもよい。

まとめると、コントローラ１１２は、主に、以下の制御を実行する。すなわち、
・コントローラ１１２が管理する通信ネットワークにおける通信に関する転送、
・ネットワークセグメントの分割、及び、復元。すなわち、正規でないと推定される情報処理装置に関する通信を制限する。あるいは、該制限を解除する、
・制限されたネットワークセグメントに対して、通信が可能であるという情報（すなわち、見せかけの情報）に関する処理。

次に、第２の実施形態に係る通信制御装置１１１に関する効果について説明する。

本実施形態に係る通信制御装置１１１によれば、副次的な感染のリスクを低減することができる。さらに、本実施形態に係る通信制御装置１１１によれば、疑装置が、通信ネットワークに関する構成に基づき処理を変える機能を有するとしても、実際にマルウェアに感染しているか否かをより正確に判定することができる。

この理由は、理由１及び理由２である。すなわち、
（理由１）第２の実施形態に係る通信制御装置１１１が有する構成は、第１の実施形態に係る通信制御装置１０１が有する構成を含むからである、
（理由２）通信制御装置１１１が、他の情報処理装置と通信可能であるという見せかけの情報を疑装置に送信するからである。

この場合に、疑装置は、該見せかけの情報を受信し、受信した情報に基づき、通信ネットワークを介して他の情報処理装置と通信可能であると判定する。この場合に、疑装置は、通信ネットワークに関する構成に基づき処理を変える機能を有するとしても、他の情報処理装置と通信可能と判定するので、攻撃する等の機能を停止しない。この結果、通信制御装置１１１によれば、該疑装置が実行する攻撃等に基づき、より正確に、疑装置が実際にマルウェアに感染しているか否かを、より正確に判定することができる。

＜第３の実施形態＞
次に、上述した第１の実施形態を基本とする本発明の第３の実施形態について説明する。

以降の説明においては、本実施形態に係る特徴的な部分を中心に説明すると共に、上述した第１の実施形態と同様な構成については、同一の参照番号を付すことにより、重複する説明を省略する。

図１３と図１４とを参照しながら、第３の実施形態に係る通信システム１２１が有する構成と、通信システム１２１が行う処理とについて説明する。図１３は、本発明の第３の実施形態に係る通信システム１２１が有する構成を示すブロック図である。図１４は、第３の実施形態に係る通信システム１２１における処理の流れを示すフローチャートである。

第３の実施形態に係る通信システム１２１は、通信制御装置１２２と、推定情報作成部１０４と、第２情報処理装置１２５とを有する。通信制御装置１２２は、コントローラ１２３と、スイッチ１２４とを有する。

通信システム１２１は、図１５に示すような通信ネットワークに設置される。図１５は、通信システムを含む通信ネットワーク構成を示すブロック図である。

情報処理装置５０２は、たとえば、通信ネットワークにおいて、１つのネットワークセグメントに属するクライアント端末である。情報処理装置５０３は、上述したような、見せかけ情報に関する端末を概念的に表す。

第２情報処理装置１２５は、たとえば、上述した、ファイルサーバ、メールサーバ等のサーバセグメントに属するサーバ装置である。また、図１５における、ｐ１乃至p７は、ポート番号を表す。たとえば、スイッチ１２４は、ポート番号ｐ１を経由して１つの情報処理装置５０２と通信することができる。ポート番号ｐ１乃至ポート番号ｐ７に関しても、同様である。

通信制御装置１２２は、複数の情報処理装置５０１が、相互に情報を通信する場合に、通信に関する制御を実行する。

推定情報作成部１０４は、推定情報作成部１０４と同様の処理を実行することにより、推定情報を作成する（ステップＳ１０１）。

コントローラ１２３は、端末１が正規の情報処理装置でないことを該推定情報が表す場合に、第１の実施形態に示したように制御情報を更新することにより、端末１に関する通信を制限する（ステップＳ１２３、ステップＳ２０８に相当する）。それとともに、コントローラ１１２は、端末１が端末２と通信可能であることを表す情報を、該端末１に送信する。さらに、コントローラ１１２は、該端末１が第２情報処理装置１２５と通信可能であるという制御情報を作成する（ステップＳ１２２）。

したがって、端末１が端末２との通信を試行するのに応じて、通信制御装置１２２は、端末１と第２情報処理装置１２５とを通信接続する。

この場合に、第２情報処理装置１２５は、端末１と通信接続する間に、端末１に関する情報を取得してもよい。この場合に、第２情報処理装置１２５は、いわゆる、「おとりサーバ」である。

次に、第３の実施形態に係る通信システム１２１に関する効果について説明する。

本実施形態に係る通信システム１２１によれば、副次的な感染のリスクを低減することができる。さらに、本実施形態に係る通信システム１２１によれば、より強固に通信ネットワークにおける脅威から受ける被害のリスクを低減することができる。

この理由は、理由１及び理由２である。すなわち、
（理由１）第３の実施形態に係る通信システム１２１が有する構成は、第１の実施形態に係る通信制御装置１０１が有する構成を含むからである、
（理由２）疑装置が、第２情報処理装置１２５のみと通信可能であるからである。

すなわち、疑装置は、第２情報処理装置１２５と異なる情報処理装置に通信することができない。したがって、本実施形態に係る通信システム１２１によれば、より強固に通信ネットワークにおける脅威（悪意のあるソフトウェア）から受ける被害のリスクを低減することができる。

さらに、第２情報処理装置１２５は、通信先の情報処理装置に関する情報を取得する機能を有する（いわゆる、おとりサーバ）場合に、該疑装置に関する情報を、さらに多く取得することができる。本実施形態に係る通信システム１２１によれば、この場合に、疑装置が、実際にマルウェアに感染しているのか否かを該取得した情報に基づき、より正確に判定することができる。

（ハードウェア構成例）
上述した本発明の各実施形態における通信制御装置または通信システムを、１つの計算処理装置（情報処理装置、コンピュータ）を用いて実現するハードウェア資源の構成例について説明する。但し、係る通信制御装置または通信システムは、物理的または機能的に少なくとも２つの計算処理装置を用いて実現してもよい。また、係る通信制御装置または通信システムは、専用の装置として実現してもよい。

図１６は、第１及び２の実施形態に係る通信制御装置、または、第３の実施形態に係る通信システムを実現可能な計算処理装置のハードウェア構成を概略的に示す図である。計算処理装置２０は、中央処理演算装置（Ｃｅｎｔｒａｌ＿Ｐｒｏｃｅｓｓｉｎｇ＿Ｕｎｉｔ、以降「ＣＰＵ」と表す）２１、メモリ２２、ディスク２３、及び、不揮発性記録媒体２４を有する。計算処理装置２０は、さらに、入力装置２５、出力装置２６、及び、通信インターフェース（以降、「通信ＩＦ」と表す。）２７を有する。計算処理装置２０は、通信ＩＦ２７を介して、他の計算処理装置、及び、通信制御装置と情報を送受信することができる。

不揮発性記録媒体２４は、コンピュータが読み取り可能な、たとえば、コンパクトディスク（Ｃｏｍｐａｃｔ Ｄｉｓｃ）、デジタルバーサタイルディスク（Ｄｉｇｉｔａｌ＿Ｖｅｒｓａｔｉｌｅ＿Ｄｉｓｃ）であってもよい。また、不揮発性記録媒体２４は、ブルーレイディスク（Ｂｌｕ−ｒａｙ Ｄｉｓｃ。登録商標）、ユニバーサルシリアルバスメモリ（ＵＳＢメモリ）、ソリッドステートドライブ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等であってもよい。不揮発性記録媒体２４は、電源を供給しなくても係るプログラムを保持し、持ち運びを可能にする。不揮発性記録媒体２４は、上述した媒体に限定されない。また、不揮発性記録媒体２４の代わりに、通信ＩＦ２７を介して、通信ネットワークを介して係るプログラムを持ち運びしてもよい。

すなわち、ＣＰＵ２１は、ディスク２３が記憶するソフトウェア・プログラム（コンピュータ・プログラム：以下、単に「プログラム」と称する）を、実行する際にメモリ２２にコピーし、演算処理を実行する。ＣＰＵ２１は、プログラム実行に必要なデータをメモリ２２から読み取る。表示が必要な場合には、ＣＰＵ２１は、出力装置２６に出力結果を表示する。外部からプログラムを入力する場合、ＣＰＵ２１は、入力装置２５からプログラムを読み取る。ＣＰＵ２１は、上述した図１、図１０、または、図１３に示す各部が表す機能（処理）に対応するところのメモリ２２にある通信制御プログラム（図２、図１１、図１４、または、図３（図１２）におけるスイッチの処理とコントローラの処理）を解釈し実行する。ＣＰＵ２１は、上述した本発明の各実施形態において説明した処理を順次行う。

すなわち、このような場合、本発明は、係る通信制御プログラムによっても成し得ると捉えることができる。更に、係る通信制御プログラムが記録されたコンピュータ読み取り可能な不揮発性の記録媒体によっても、本発明は成し得ると捉えることができる。

１０１ 通信制御装置
１０２ コントローラ
１０３ スイッチ
１０４ 推定情報作成部
５０１ 情報処理装置
１０５ 通信システム
１１１ 通信制御装置
１１２ コントローラ
１２１ 通信システム
１２２ 通信制御装置
１２３ コントローラ
１２４ スイッチ
１２５ 第２情報処理装置
ｐ１ ポート番号
ｐ２ ポート番号
ｐ３ ポート番号
ｐ４ ポート番号
ｐ５ ポート番号
ｐ６ ポート番号
ｐ７ ポート番号
５０２ 情報処理装置
５０３ 情報処理装置
２０ 計算処理装置
２１ ＣＰＵ
２２ メモリ
２３ ディスク
２４ 不揮発性記録媒体
２５ 入力装置
２６ 出力装置
２７ 通信ＩＦ

Claims (10)

1. 情報処理装置が所定のセキュリティ条件を満たすか否かに関して推定された推定情報に基づき、通信する制御手順を表す制御情報を作成するコントローラと、
   前記制御情報に従い、前記情報処理装置に関する信号が通る通信経路を制御するスイッチと
   を備えることを特徴とする通信制御装置。
2. 前記コントローラは、前記推定情報において前記情報処理装置が前記所定のセキュリティ条件を満たすと推定される場合に、前記情報処理装置に関する通信を制限する前記制御情報を作成し、
   前記スイッチは、前記制御情報に従い、前記通信経路において前記情報処理装置に関する通信を制限する
   ことを特徴とする請求項１に記載の通信制御装置。
3. 前記コントローラは、前記推定情報が前記所定のセキュリティ条件を満たすと推定される場合に、前記所定のセキュリティ条件を満たすと推定される前記情報処理装置に、通信可能であることを表す情報処理装置に関する情報を送信する
   ことを特徴とする請求項１または請求項２に記載の通信制御装置。
4. 前記情報処理装置が特定の情報処理装置と通信し、さらに、前記情報処理装置が前記所定のセキュリティ条件を満たすと推定される場合に、
   前記コントローラは、前記推定情報において前記情報処理装置が前記所定のセキュリティ条件を満たすと推定される場合に、前記情報処理装置と前記特定の情報処理装置との通信を可能にするとともに、前記特定の情報処理装置と異なる前記情報処理装置との通信を不可能にする前記制御情報を作成し、
   前記スイッチは、前記制御情報に従い、前記通信経路において前記情報処理装置に関する通信を制限する
   ことを特徴とする請求項１に記載の通信制御装置。
5. 前記情報処理装置が特定の情報処理装置と通信すると推定され、さらに、前記情報処理装置が所定のセキュリティ条件を満たすと推定される場合に、
   前記コントローラは、前記所定のセキュリティ条件を満たすと推定される情報処理装置と、前記特定の情報処理装置とは異なる情報処理装置を表す第２情報処理装置との通信を可能にするとともに、前記第２情報処理装置と異なる前記情報処理装置との通信を不可能にする前記制御情報を作成し、さらに、前記所定のセキュリティ条件を満たすと推定される前記情報処理装置に、前記特定の情報処理装置と通信可能であることを表す情報を送信し、
   前記スイッチは、前記制御情報に従い、前記所定のセキュリティ条件を満たすと推定される情報処理装置が前記特定の情報処理装置との通信を試行する場合に、前記第２情報処理装置と通信する前記通信経路を選択する
   ことを特徴とする請求項１に記載の通信制御装置。
6. 前記コントローラは、オープンフローコントローラであり、
   前記スイッチは、オープンフロースイッチであり、
   前記制御情報は、前記オープンフローコントローラが作成する前記オープンフロースイッチに対するフローである、
   ことを特徴とする請求項１から請求項６のいずれかに記載の通信制御装置。
7. 請求項１乃至請求項６のいずれかに記載の通信制御装置と、
   前記情報処理装置が前記所定のセキュリティ条件を満たすか否かを推定する推定手段と
   を備え、
   前記通信制御装置は、前記推定手段が推定する結果に基づき、前記通信経路を制御する
   ことを特徴とする通信システム。
8. 請求項５に記載の通信制御装置と、
   前記情報処理装置が前記所定のセキュリティ条件を満たすか否かを推定する推定手段と、
   前記第２情報処理装置と
   を備え、
   前記通信制御装置は、前記推定手段が推定する結果に基づき、前記通信経路を制御し、
   前記第２情報処理装置は、前記情報処理装置と通信するのに応じて、前記情報処理装置に関する情報を取得する
   ことを特徴とする通信システム。
9. 通信を制御可能なスイッチを用いて、情報処理装置が所定のセキュリティ条件を満たすか否かに関して推定された推定情報に基づき、通信する制御手順を表す制御情報を作成し、前記制御情報に従い、前記情報処理装置に関する信号が通る通信経路を制御することを特徴とする通信制御方法。
10. 情報処理装置が所定のセキュリティ条件を満たすか否かに関して推定された推定情報に基づき、通信する制御手順を表す制御情報を作成するコントローラ機能と、
    前記制御情報に従い、前記情報処理装置に関する信号が通る通信経路を制御するスイッチ機能と
    コンピュータに実現させることを特徴とする通信制御プログラム。

Images