JP6737610B2

JP6737610B2 - 通信装置

Info

Publication number: JP6737610B2
Application number: JP2016060875A
Authority: JP
Inventors: 小林　浩; 浩小林; 博史八槇; 洋一郎上野; 佐々木　良一; 良一佐々木; 香佐野
Original assignee: 小林　浩; 浩小林
Priority date: 2016-03-24
Filing date: 2016-03-24
Publication date: 2020-08-12
Anticipated expiration: 2036-03-24
Also published as: JP2017175462A

Description

本発明の実施形態は、通信装置に関する。

従来、複数のノードを含んで構成されるネットワークにおける通信を、そのネットワークの管理者が定める通信規則に従って制御する集中制御型の通信制御装置が知られている。関連するＯｐｅｎＦｌｏｗ（登録商標）という技術がある。ＯｐｅｎＦｌｏｗでは、コントローラが各ノードのスイッチを一元管理する（特許文献１、非特許文献１参照）。
ところで、ネットワークに接続されるＩｏＴ機器が増加する傾向にある。ＩｏＴ機器において、セキュリティ面の不安を低減するための対策が必要とされている。

特表２０１４−５２６８１０号公報

"OpenFlow Switch Specification Version 1.3.1,"The Open Networking Foundation,(2013),［ｏｎｌｉｎｅ］、［平成２８（２０１６）年１月７日検索］、インターネット〈https://www.opennetworking.org/images/stories/downloads/sdn-resources/onf-specifications/openflow/openflow-spec-v1.3.1.pdf〉

しかしながら、パーソナルコンピュータなどの端末装置やサーバ装置などのネットワークに接続する装置では、これまでも様々なセキュリティ対策がとられてきたが、同様の手法のセキュリティ対策をとることができないＩｏＴ機器がある。

本発明が解決しようとする課題は、ＩｏＴ機器のセキュリティ対策を簡易な方法で実施する通信装置を提供することである。

上記目的を達成するため、本発明の一態様に係る通信装置は、通信相手を限定して通信する対象装置を収容し、前記対象装置の通信に関わるパケットの転送を制御するスイッチ部を備え、前記スイッチ部は、前記対象装置から送信されたパケットであることを識別するための第１識別情報を格納した第１テーブルと、前記第１テーブルにより前記対象装置から送信されたパケットであると判定した第１パケットについて、前記第１パケットの送信先が前記通信相手であることを識別するための第２識別情報を格納した第２テーブルと、前記対象装置宛に送信されたパケットの宛先アドレス情報を少なくとも用いて当該パケットを識別するための第３識別情報を格納した第３テーブルと、前記第３テーブルにより前記対象装置宛に送信されたパケットであると判定した第２パケットについて、前記第２パケットの送信元が前記通信相手であることを識別するための第４識別情報を格納した第４テーブルと、を備え、前記第１テーブルにより識別し、その後前記第２テーブルにより送信先が前記通信相手であると判定した前記第１パケットを前記通信相手に向けて転送し、前記第３テーブルにより識別し、その後前記第４テーブルにより送信元が前記通信相手であると判定した前記第２パケットを前記対象装置に向けて転送し、前記第２テーブルによる判定の結果、または前記第４テーブルによる判定の結果に基づいて、前記転送を許可しないと判定したパケットを廃棄する通信装置である。
本発明の一態様に係る通信装置は、前記第２識別情報と前記第４識別情報は、少なくともレイヤ２のアドレスと、レイヤ３のアドレスとの何れかを要素に含み、又は前記要素に更にレイヤ４のポート番号を含み、前記第１識別情報は、少なくともレイヤ１の識別子と、レイヤ２の送信元アドレスと、レイヤ３の送信元アドレスとの何れかを要素に含む。
本発明の一態様に係る通信装置は、少なくとも前記対象装置から自通信装置に向けたパケット又は前記対象装置から自通信装置に向けた通信において使用される通信プロトコルを監視した結果と、前記対象装置から前記通信相手に向けたパケット又は前記対象装置から前記通信相手に向けた通信で使用される通信プロトコルを監視した結果と、自通信装置の情報と前記対象装置の情報とを管理する管理装置より取得する情報との何れかに基づいて、前記第１識別情報、前記第２識別情報、前記第３識別情報、及び前記第４識別情報のうちの一部又は全部を取得して、前記スイッチ部による前記通信の制御に利用する識別情報取得部を備える。
本発明の一態様に係る通信装置における前記スイッチ部の各テーブルは、前記第１テーブル、前記第２テーブル、前記第３テーブル、及び前記第４テーブルの夫々が分割して構成され、又は、前記第１テーブル、前記第２テーブル、前記第３テーブル、及び前記第４テーブルのうち、少なくとも前記第２テーブル及び前記第４テーブルが統合して構成される。

本発明の一態様によれば、ＩｏＴ機器のセキュリティ対策を簡易な方法で実施する通信制御装置、通信制御方法、及びプログラムを提供することができる。

第１の実施形態に係る通信システムを示す構成図である。本実施形態に係る通信システムの構成例を示す図である。ＩｏＴ機器のセキュリティ対策を実施するための処理の手順を示すフローチャートである。ｅＭＬＢＲ１１を示す図である。廃棄テーブル１１２１の一例を示す図である。パケットタイプテーブル１１２２の一例を示す図である。ＳＣＯＰＥテーブル１１２３の一例を示す図である。ＭＬＢテーブル１１２４の一例を示す図である。ルーティングテーブル１１２５の一例を示す図である。ＱｏＳテーブル１１２６の一例を示す図である。ｅＭＬＢＲ１１におけるＩｏＴ機器のセキュリティ対策に係る処理の手順を示すフローチャートである。ｅＭＬＢＲ１１におけるＩｏＴ機器のセキュリティ対策に係る処理の手順を示すフローチャートである。各ノードで観測した累積パケット数の継時変化を示す図である。通信システム１におけるデータ端末１８のセキュリティ対策の手順を示す図である。ＭＡＣアドレスに含まれる製造者情報例の一部について示す図である。ＱｏＳの設定について説明するための図である。ＱｏＳの設定について説明するための図である。ＷＥＢサーバ５２の表示画面制御の状態遷移を示す図である。ＷＥＢサーバ５２の表示画面の例を示す図である。ＷＥＢサーバ５２の表示画面の例を示す図である。ＷＥＢサーバ５２の表示画面の例を示す図である。ＷＥＢサーバ５２の表示画面の例を示す図である。ＷＥＢサーバ５２の表示画面の例を示す図である。ＷＥＢサーバ５２の表示画面の例を示す図である。第４の実施形態におけるｅＭＬＢＲ１１を示す図である。本実施形態におけるＱｏＳの設定について説明するための図である。本実施形態におけるｅＭＬＢＲ１１におけるＩｏＴ機器のセキュリティ対策に係る処理の手順を示すフローチャートである。第５の実施形態におけるｅＭＬＢＲ１１を示す図である。本実施形態におけるＱｏＳの設定について説明するための図である。

以下、図面を参照し、本発明の通信制御装置、通信制御方法、及びプログラムの実施形態について説明する。

図１は、本実施形態の通信制御装置を含む通信システム１の構成を示す図である。
通信システム１は、ネットワークＮＷ１を形成する。ネットワークＮＷ１は、互いに通信を可能とする１又は複数の他のネットワークに接続されている。ネットワークＮＷ２とネットワークＮＷ３とネットワークＮＷ４は、他のネットワークの一例である。以下の説明において、ネットワークＮＷ１、ネットワークＮＷ２、ネットワークＮＷ３、ネットワークＮＷ４等を総称してネットワークＮＷということがある。例えば、各ネットワークＮＷは、異なるＩＳＰ（Internet Service Provider）等によって独立して管理されており、管理者が定める通信規則（ポリシー等）はそれぞれ異なるものとする。例えば、各ネットワークＮＷは、互いに接続されており、例えば、それぞれがインターネットの一部を構成する。

本実施形態の各通信システムにおいて、それぞれの通信規則を次の４つの規則に分けて規定する。
第１規則は、自通信システムにおいて通信することを許可しないものを、制限対象の通信として定める。例えば、通信システム１は、制限対象として定められた通信のパケットを、廃棄対象のパケットとして選択するための条件（「廃棄対象条件」）を、「廃棄対象情報」として管理する。通信システム１は、廃棄対象情報をリスト化したブラックリスト（「廃棄対象ブラックリスト」）又はテーブル化した「廃棄テーブル」を利用することにより、制限対象とする通信を規制する。通信システム１は、廃棄対象ブラックリスト、又は、廃棄テーブルを各装置の廃棄対象記憶部等にそれぞれ格納してもよい。制限対象には、各装置に共通するもの、装置毎に固有のものが含まれていてもよい。なお、上記及び以下の説明における「廃棄」には、当該パケットに付与されている宛先情報に基づく通信を制限する、又は宛先情報に基づく通信を許可しない、又は宛先情報に基づく通信を遮断する、又は宛先情報に基づく通信を遮断し特定のポートに出力するなどのケースも含まれるものとし、これらを纏めて単に「廃棄」という。

第２規則は、自通信システムにおいて通信することを許可する条件を定めるものである。例えば、通信システム１は、許可する通信によるパケットを選択する条件（「通信許可条件」）を、「通信許可情報」に纏めて管理する。通信システム１は、通信許可情報をリスト化したホワイトリスト（「通信許可ホワイトリスト」）又はテーブル化した「ＭＬＢテーブル」を利用することにより、許可する通信を抽出する。ＭＬＢテーブルの詳細については後述する。なお、「通信許可ホワイトリスト」はホワイトリストの一例である。

第３規則は、自通信システムにおける通信のパケットの転送先を決定する「ルーティング条件」を定めるものである。例えば、通信システム１は、ルーティング条件を、「ルーティング情報」として管理する。通信システム１は、「ルーティング情報」をテーブル化した「ルーティングテーブル」を利用して、通信を制御する。

第４規則は、自通信システムにおいて、通信相手として許可するものを限定する条件を定めるものである。例えば、通信システム１は、限定した通信相手からのパケットを選択する条件（「通信相手許可条件」）を、「通信相手許可情報」に纏めて管理する。通信システム１は、通信相手許可情報をリスト化したホワイトリスト（「通信相手許可ホワイトリスト」）又はテーブル化した「ＱｏＳテーブル」を利用することにより、限定した通信相手を抽出する。ＱｏＳテーブルの詳細については後述する。なお、「通信相手許可ホワイトリスト」はホワイトリストの一例である。

通信システム１は、上記の規則の一部又は全部を利用して、その通信を制御する。

なお、本実施形態の以下の説明において、第２規則の通信許可ホワイトリストと第４規則の通信相手許可ホワイトリストの双方を区別することなく説明する場合に、単に「ホワイトリスト」という。また、第２規則の通信許可情報と第３規則のルーティング情報と第４規則の通信相手許可情報の全部または一部を纏めて経路情報という。また、通信システム１において通信相手を限定して通信する特定の装置を対象装置と呼び、対象装置又は対象装置による通信の何れかを特定する情報を特定情報と呼ぶ。例えば、特定情報には、通信許可情報又は通信相手許可情報を生成するための情報が含まれる。

なお、特定の装置又は通信を識別するための情報を識別情報と呼ぶことがある。例えば、受信したパケットに付与された識別情報を取得する場合には、通信の階層のレイヤ１の識別子、レイヤ２（Ｌ２）アドレス、レイヤ３（Ｌ３）アドレス（ＩＰアドレス）、及び、レイヤ４（Ｌ４）プロトコルのポート番号の一部又は全部を含む情報が識別情報に含まれる。また、特定の通信相手を特定する場合の識別情報には、各装置のＩＰアドレス又はＵＲＬ（Uniform Resource Locator）などが含まれる。第３規則のルーティング情報は、上記の識別情報としての宛先ＩＰアドレスによって規定される場合がある。

通信システム１は、ｅＭＬＢＲ（egress Multi Layer Binding Router）１１と、ｉＭＬＢＲ（ingress MLBR）１２と、ｂＭＬＢＲ（border MLBR）１３と、中継装置１４と、管理ホスト１５とを含む。以下の説明において、ｅＭＬＢＲ１１と、ｉＭＬＢＲ１２と、ｂＭＬＢＲ１３とを総称してＭＬＢＲ１０ということがある。各ＭＬＢＲ１０は、通信システム１の通信ノードとして機能する。通信システム１は、複数のＭＬＢＲ１０によってネットワークＮＷ１を構成する。ネットワークＮＷ１内の各ＭＬＢＲ１０間は、互いに直接的に接続されていてもよく、中継装置１４等を介して接続されていてもよい。

通信システム１には、ユーザが操作する端末装置１７、ＩｏＴ（Internet of Things）等と総称される各種データ端末１８などの端末が通信可能に接続される。例えば、端末装置１７とデータ端末１８は、ｅＭＬＢＲ１１等を介して、各端末からの要求等に起因する所望の通信を実施する。ＩｏＴ等と総称される各種データ端末１８は、対象装置の一例である。

管理ホスト１５は、通信システム１における基本設定を行うとともに、各ＭＬＢＲ１０の状態を監視させてもよい。さらに管理ホスト１５は、連携サーバとして機能し、端末装置１７などの認証と検疫を担うＨＲＳ（Home RADIUS Server）として機能させてもよい。また、管理ホスト１５は、ＩＤＳ（Intrusion Detection System）／ＩＰＳ（Intrusion Prevention System）等により検出した通信履歴を記憶するように構成してもよい。また、管理ホスト１５は、通信プロトコルを監視するプロトコルモニタとして機能してもよい。また、管理ホスト１５は、特定の装置に対してポートスキャンを実施するように構成してもよい。

通信システム１と同様に、通信システム２は、ネットワークＮＷ２を形成する。通信システム２は、ｅＭＬＢＲ２１と、ｉＭＬＢＲ２２と、ｂＭＬＢＲ２３と、管理装置２５とを含む。また、通信システム３は、ネットワークＮＷ３を形成する。通信システム３は、ｅＭＬＢＲ３１と、ｉＭＬＢＲ３２と、ｂＭＬＢＲ３３と、管理装置３５とを含む。通信システム２におけるｅＭＬＢＲ２１と、ｉＭＬＢＲ２２と、ｂＭＬＢＲ２３と、管理装置２５、及び、通信システム３におけるｅＭＬＢＲ３１と、ｉＭＬＢＲ３２と、ｂＭＬＢＲ３３と、管理装置３５は、通信システム１のｅＭＬＢＲ１１と、ｉＭＬＢＲ１２と、ｂＭＬＢＲ１３と、管理ホスト１５にそれぞれ対応する。

通信システム４は、ネットワークＮＷ４を形成する。通信システム４は、通信システム１とは異なり、ＭＬＢＲ１０を含まずに、ＭＬＢＲ１０とは異なるルータ等により構成される。

以下、通信システム１は、ＩｏＴ機器等のデータ端末１８を含み、データ端末１８による通信を中継する場合にその通信に対するセキュリティ対策を講じることにより、ＩｏＴ機器であるデータ端末１８による通信のセキュリティ面の不安を低減する方法の一例を例示する。なお、データ端末１８は、様々な形態の通信端末であってよい。

ＩｏＴ機器による通信におけるセキュリティ面の不安としては、例えば、下記のものが挙げられる。第１の不安として、ＩｏＴ機器を標的としたサイバー攻撃が増加しており、これによりＩｏＴ機器がマルウェアに感染するリスクが挙げられる。第２の不安として、マルウェアに感染したＩｏＴ機器が、Ｃ＆Ｃサーバなどに接続を試みるようになるリスクが挙げられる。第３の不安として、マルウェアに感染したＩｏＴ機器が、本来の機能を全うせずに異常な動作をするリスクが挙げられる。第４の不安として、マルウェアに感染したＩｏＴ機器が、他の機器を攻撃したり、不正なパケットを送信したりするリスクが挙げられる。

なお、上記の第１の不安として挙げたマルウェアの感染は、ＩｏＴ機器に対する探索パケット等によってマルウェアが埋め込まれる場合のように、ネットワークを介して感染することが想定される。また、その他に、例えば、ＩｏＴ機器の製造段階でマルウェアや遠隔操作などのためのバックドア（裏口、侵入口）が埋め込まれていたりする場合など様々なパターンが想定される。これまで、一般的な端末装置については、マルウェアなどの感染を予防する様々な処置がとられてきたが、ＩｏＴ機器では、それらの方法を必ずしも適用することができない場合がある。

例えば、パーソナルコンピュータなどの汎用の端末装置の多くのものは、OS等の機能によりIEEE802.1X認証を利用できることが知られている。IEEE802.1X認証を利用することで、許容する通信の範囲を制限することが可能になる。これに対し、ＩｏＴ機器については、IEEE802.1X認証を利用できないものがある。IEEE802.1X認証を利用できるＩｏＴ機器については、汎用の端末装置と同様にIEEE802.1X認証を適用できるが、IEEE802.1X認証を利用できないＩｏＴ機器については、汎用の端末装置と同様の手法を利用することができない。以下の説明で例示するＩｏＴ機器は、例えば、IEEE802.1X認証を利用できない通信端末装置の一例である。

そこで、通信システム１では、下記の点に着目してＩｏＴ機器のマルウェア感染に対する対策を実施する。
第１に、ＩｏＴ機器の多くは、特定の通信相手と通信する場合が多く、通信先が限定されていることが多い。
第２に、ＩｏＴ機器であることが、その機器が示す属性情報から判別可能である。
第３に、ＩｏＴ機器が通信相手を限定して通信するように容易にネットワークの設定を変更可能にする。
第４に、上記第１から第３までの結果をｅＭＬＢＲ１１に適切に反映させる。

なお、通信システム１では、上記の着目点の他、下記の点に留意して通信の完全性を確保する。

通信システム１は、端末装置１７とデータ端末１８などの端末について、真正性と健全性を検査して、その結果に応じて帯域制限や通信相手の限定等を課すサービス品質（ＱｏＳ）を決定する。

通信システム１は、ＭＬＢＲ１０が保持管理する物理ポート又は（セキュア）チャネルをキーにＭＡＣアドレスとＩＰアドレスとの対応関係を管理する。例えば、通信システム１は、上記の対応関係を満足しないパケットについて、通信を許可しないものであると判定して廃棄する。なお、以下の説明における「パケット」には、当該パケットにレイヤ２でＭＡＣヘッダとトレーラを付加した所謂ＭＡＣフレームなどフレームも含まれるものとし、これらを纏めて単に「パケット」という。

（ＭＬＢＲ１０）
通信システム１を構成するＭＬＢＲ１０には、複数のタイプがあり、互いに構成と用途が異なる。利用者ネットワーク側の出口（egress）に設置するｅＭＬＢＲ１１と、ネットワークＮＷ１の利用者側入口（ingress）端部（エッジ）に設置するｉＭＬＢＲ１２と、他のネットワークとの境界（border）に配置するｂＭＬＢＲ１３は、ＭＬＢＲ１０の一例である。ＭＬＢＲ１０の各タイプを上記のように配置することにより、例えば、外部のネットワークから大量の送信元ＩＰアドレスを詐称するパケットが送り付けられても、ｂＭＬＢＲ１３等が経路表の逆行経路から外れた当該攻撃パケットを遮断する。さらに、ｂＭＬＢＲ１３等は、その処理を実施するに当たり送信元ＩＰアドレス以外の情報を組み合わせて利用して、より正確に処理をする。例えば、送信元ＩＰアドレス以外の情報には、攻撃パケットの廃棄を要請した端末装置１７もしくは実際に攻撃された通信端末等のＩＰアドレス、ＴＣＰ等のレイヤ４（Ｌ４）のポート番号、制御フラグ等が含まれていてもよい。

図２を参照して、通信システム１における各ＭＬＢＲ１０について説明する。図２は、通信システム１の構成例を示す図である。通信システム１におけるＭＬＢＲ１０の詳細について順に説明する。

（ｅＭＬＢＲ１１）
ｅＭＬＢＲ１１（通信装置）は、コントローラ１１１（制御部）と、ＩＦ部１１３と、ＩＦ部１１４と、スイッチ部１１２（転送部）と、記憶部１１５とを含む。コントローラ１１１と記憶部１１５の組み合わせは通信制御装置の一例である。

ＩＦ部１１３は、端末装置１７又はデータ端末１８とのインタフェースである。例えば、端末装置１７又はデータ端末１８と有線で通信する場合、ＩＦ部１１３は、通信回線が接続される物理ポートに対応させて設けられ、物理ポートを介して通信回線から取得したパケットをスイッチ部１１２に出力し、スイッチ部１１２により転送されたパケットを、物理ポートに接続される通信回線に出力する。また、例えば、端末装置１７又はデータ端末１８と無線で通信する場合、ＩＦ部１１３は、無線通信の（セキュア）チャネルに対応させて設けられ、特定の（セキュア）チャネルから取得したパケットをスイッチ部１１２に出力し、スイッチ部１１２により転送されたパケットを、特定の（セキュア）チャネルまたは有線の物理ポートに出力する。以下、物理ポートと（セキュア）チャネルを接続ポートと総称する。

ＩＦ部１１４は、他のＭＬＢＲ１０等と通信する際のインタフェースである。例えば、ＩＦ部１１４は、通信回線が接続される物理ポートに対応させて設けられ、物理ポートを介して通信回線から取得したパケットをスイッチ部１１２に出力する。また、スイッチ部１１２から転送されたパケットを、物理ポートに接続される通信回線に出力する。

スイッチ部１１２は、コントローラ１１１により設定された条件に基づいて、ＩＦ部１１３とＩＦ部１１４とコントローラ１１１等の間でパケットを転送する。例えば、スイッチ部１１２は、プロトコルスタックのレイヤ２（Ｌ２）からレイヤ４（Ｌ４）までの各ヘッダ情報と物理ポートの識別情報などに基づいて、当該パケットの転送を制御する。パケットを転送する処理の詳細は後述する。

記憶部１１５は、ＲＯＭ（Read Only Memory）、ＥＥＰＲＯＭ（Electrically Erasable and Programmable Read Only Memory）、ＨＤＤ（Hard Disk Drive）等の不揮発性の記憶装置と、ＲＡＭ（Random Access Memory）レジスタ等の揮発性の記憶装置によって実現される。記憶部１１５は、ｅＭＬＢＲ１１を機能させるためのプログラム、スイッチ部１１２を制御するための複数のテーブル、通信履歴情報等を格納する。

例えば、第１記憶部１１５１と第２記憶部１１５２と第３記憶部１１５３と第４記憶部１１５４とは、上記の複数のテーブルの一例である。第１記憶部１１５１は、ｅＭＬＢＲ１１が受信した受信パケット（受信データ）の転送を制限する条件を定めた第１規則（廃棄対象ブラックリスト）を記憶する。受信パケットは、ヘッダ情報とデータ（受信データ）とを含んで構成される。第２記憶部１１５２は、受信パケットの転送を許可する条件を定めた第２規則（通信許可ホワイトリスト）を記憶する。第３記憶部１１５３は、パケットの転送先を決定するルーティング条件を定めた第３規則（ルーテイングテーブル、経路情報）を記憶する。第４記憶部１１５４は、限定した通信相手との通信のみを許可する条件を定めた第４規則（通信相手許可ホワイトリスト、経路情報）を記憶する。

コントローラ１１１は、例えば、ＣＰＵ（Central Processing Unit）等のプロセッサを有する。コントローラ１１１は、記憶部１１５に記憶されているプログラムにより、複数の物理ポートを有するスイッチ部１１２から得た情報と、記憶部１１５に記憶されている複数のテーブルの情報の少なくとも何れかの情報に基づいて、スイッチ部１１２を制御する。例えば、コントローラ１１１は、管理ホスト１５から取得した各種情報、端末装置１７又はデータ端末１８からの要請などに基づいて、第１記憶部１１５１や第２記憶部１１５２、第３記憶部１１５３、第４記憶部１１５４を必要に応じて更新し、スイッチ部１１２の転送処理を変更する。より具体的には、後述するように、第１記憶部１１５１に格納された第１規則はスイッチ部１１２内の廃棄テーブル１１２１に、第２記憶部１１５２に格納された第２規則はスイッチ部１１２内のＭＬＢテーブル１１２４に、第３記憶部１１５３に格納された第３規則はスイッチ部１１２内のルーティングテーブル１１２５に、第４規則はスイッチ部１１２内のＱｏＳテーブル１１２６に、登録され、パケットの転送を制御する。

通信システム１における通信メッセージは、フレーム又はパケットとして通信される。フレーム又はパケットのヘッダ情報には、通信メッセージを含むフレーム又はパケットを識別する識別情報が付与される。

特定情報取得部１１１１は、スイッチ部１１２を介する通信において、通信相手を限定して通信するデータ端末１８などの対象装置を特定する特定情報又はデータ端末１８などの対象装置による通信を特定する特定情報の少なくとも何れかを取得する。特定情報の詳細は後述する。

識別情報取得部１１１２は、特定情報に基づいて特定される通信を識別する識別情報を取得する。識別情報取得部１１１２は、データ端末１８からの通信要求に起因する認証処理、検疫処理、レイヤ３アドレスの割り当て処理の一部又は全部の処理の結果から、識別情報を取得してもよい。識別情報を取得する方法の詳細は後述する。

ＷＬ管理部１１１３は、通信を許可する条件を抽出し、ホワイトリストを生成して、その条件を管理する。このホワイトリストには、第２規則の通信許可ホワイトリストと第４規則の通信相手許可ホワイトリストの何れか一方又は両方が含まれる。

出力制御部１１１４は、複数の出力ポートを有するスイッチ部１１２の出力ポートを選択するためのルーティング情報を生成する。ＷＬ管理部１１１３と出力制御部１１１４についての詳細は後述する。

（ｉＭＬＢＲ１２）
ｉＭＬＢＲ１２は、コントローラ１２１と、ＩＦ部１２３と、ＩＦ部１２４と、スイッチ部１２２と、記憶部１２５とを含む。

（ｂＭＬＢＲ１３）
ｂＭＬＢＲ１３は、コントローラ１３１と、ＩＦ部１３３と、ＩＦ部１３４と、スイッチ部１３２と、記憶部１３５とを含む。

上記のとおり、各ＭＬＢＲ１０は、それぞれコントローラとスイッチ部とを含む。ＭＬＢＲ１０のコントローラは、他のＭＬＢＲ１０のコントローラから取得した情報等に基づいて、自装置のコントローラ及びスイッチ部をそれぞれ制御する。

（端末装置１７）
端末装置１７は、ＣＰＵと、ＲＯＭ、ＥＥＰＲＯＭ、ＨＤＤ、ＲＡＭ、レジスタ等の記憶装置と、を含むコンピュータであり、実行するプログラムにより端末或いはサーバとして機能する。例えば、端末装置１７は、パーソナルコンピュータ、タブレット等の汎用端末である。端末装置１７のＣＰＵは、プログラムの実行により、端末装置１７を、ＩＤＳ／ＩＰＳとして機能させてもよい。この場合、端末装置１７は、端末装置１７に実装したもしくは端末装置１７が接続しているローカルエリアネットワークに接続されたＩＤＳ／ＩＰＳにより、所定の通信量又は頻度を超えて到来するパケットや、その振る舞いの異常さもしくは既知の攻撃パターン（シグネチャ）や既知の攻撃パターンから予測される未知の攻撃パターン、もしくは既知のマルウェアや既知のマルウェア等から予想されるマルウェア、既知のエクスプロイトコード（プログラムのセキュリティ上の脆弱性（セキュリティホール）を攻撃するために作成されたプログラムの総称）もしくは既知のエクスプロイトコードから予測される未知のエクスプロイトコードなどから攻撃パケットとして検出する。なお、上記の検出に当たり、ハニーポットを設置してもよい。ハニーポットとは、不正アクセスを行う攻撃パケットをおびき寄せ、攻撃をそらすためのおとりであり、ウイルスやワームの検体の入手、記録された操作ログ・通信ログなどから不正アクセスの手法や傾向の調査などに用いられるものである。例えば、端末装置１７は、攻撃パケットを検出した場合に、ネットワークＮＷ１への接続を遮断する。
ｅＭＬＢＲ１１は、ネットワークＮＷ１における攻撃パケットの転送を中断させることを要求するメッセージをｉＭＬＢＲ１２に対して送信してもよい。例えば、ｉＭＬＢＲ１２は、攻撃パケットの転送を中断させることを要求するメッセージを、攻撃パケットを廃棄することを要求する廃棄要請メッセージとして受け付けて、攻撃パケットを廃棄してもよい。以下の説明では、攻撃パケットの転送を中断させることを要求するメッセージをＤＲＭ（Dropping Request Message）と呼ぶ。例えば、端末装置１７は、自装置の正当性と完全性を示す検証用データもしくは認証コードをＤＲＭに付加してｅＭＬＢＲ１１へ送信する。さらに、ＤＲＭは、攻撃パケットの送信元アドレスに接近するようＭＬＢＲ１０間でバケツリレーされ、ＤＲＭを受信した各ＭＬＢＲ１０では、前述の第１規則として第１記憶部に登録する。

（データ端末１８）
データ端末１８は、ＣＰＵと、ＲＯＭ、ＥＥＰＲＯＭ、ＨＤＤ、ＲＡＭ、レジスタ等の記憶装置と、を含むコンピュータであり、実行するプログラムにより端末或いはサーバとして機能するいわゆるＩｏＴ機器である。以下の説明に例示するデータ端末１８は、パケットのタイプとしてＩＰｖ４のパケットを利用して通信するものとし、IEEE802.1X認証を利用できないものとする。例えば、データ端末１８は、ネットワークに接続される各種センサ、スマートメータ、コネクテッドカー（自動車）、プリンター、テレビ、冷蔵庫、スマート家電、Ｍ２Ｍ（Machine to Machine）デバイス、ネットワークカメラ、自動販売機など多種多様な端末を総称する。これらの端末の通信相手は、特定のアドレス又はＵＲＬに限定される場合が多い。

（スイッチ部を制御してＩｏＴ機器のセキュリティ対策を実施するための処理）
図３を参照して、ＩｏＴ機器のセキュリティ対策を実施するための処理について説明する。図３は、ＩｏＴ機器のセキュリティ対策を実施するための処理の手順を示すフローチャートである。

通信システム１は、ＩｏＴ機器を、通信システム１において双方向通信を実施する端末として登録する（Ｓ１０）。
通信システム１において、例えば、上記の処理（Ｓ１０）は、下記する複数の処理の組み合わせとして実現される。
まず、通信システム１は、通信相手を限定する対象のＩｏＴ機器を特定する（Ｓ１１）。
次に、通信システム１は、上記で特定された対象を識別可能な識別情報（第１識別情報）を取得する（Ｓ１２）。
次に、通信システム１は、上記で特定された対象の通信相手を識別可能な識別情報（第２識別情報）を取得する（Ｓ１３）。
次に、通信システム１は、限定する対象として特定された対象から送信されたパケットの通信相手を、上記で取得した識別情報（第１識別情報と第２識別情報）に基づいて限定するための通信相手許可ホワイトリストの要素（第１要素）を生成する（Ｓ１４）。
次に、通信システム１は、限定する対象として特定された対象宛に送信されたパケットの通信相手を、上記で取得した識別情報（第１識別情報と第２識別情報）に基づいて限定するための通信相手許可ホワイトリストの要素（第２要素）を生成する（Ｓ１５）。
次に、通信システム１は、通信相手許可ホワイトリストに上記の第１要素と第２要素とを追加する（Ｓ１６）。
通信システム１は、通信相手許可ホワイトリストに登録後に、第１要素と第２要素とに基づいて実際の通信を保護するための処理（Ｓ２０）を実施する。
これにより、通信システム１は、ＩｏＴ機器のセキュリティ対策を実施する。

［より具体的な一実施例］
以下の説明では、ＯｐｅｎＦｌｏｗ（登録商標）の技術を適用してＭＬＢＲ１０を構成する場合を例示する。

（分散型のコントローラ）
ＯｐｅｎＦｌｏｗの各ノードは、ＯｐｅｎＦｌｏｗコントローラにより制御されるＯｐｅｎＦｌｏｗスイッチ部を備える。一般的なＯｐｅｎＦｌｏｗの技術では、１つのＯｐｅｎＦｌｏｗコントローラが複数のＯｐｅｎＦｌｏｗスイッチを一元管理する。
これに代えて、本実施形態のＭＬＢＲ１０は、コントローラ１１１とスイッチ部１１２とを備えており、ＭＬＢＲ１０毎に設けられたコントローラ１１１がスイッチ部１１２を管理する。コントローラ１１１は、他のＭＬＢＲ１０のコントローラと独立に機能してもよく、連系して機能してもよい。この点が一般的なＯｐｅｎＦｌｏｗの構成と異なる。以下、上記の相違点を中心に説明する。

例えばコントローラ１１１は、特定情報取得部１１１１、識別情報取得部１１１２、ＷＬ管理部１１１３、出力制御部１１１４、管理部１１１５、パケットイン（Packet-In）１１１６、パケットアウト（Packet-Out）１１１７、及び、フロー変更出力部（Flow-Mod）１１１８を備える。
パケットイン１１１６は、スイッチ部１１２からの情報を受信する。パケットアウト１１７は、パケットとその宛先情報とを、スイッチ部１１２宛に出力する。フロー変更出力部（Flow-Mod）１１１８は、スイッチ部１１２の設定を変更するための情報をスイッチ部宛に出力する。スイッチ部１１２における他の構成の詳細については、後述する。

ＭＬＢＲ１０のコントローラは、少なくとも自装置のスイッチ部を制御して、その通信のセキュリティ性を確保する。なお、ＭＬＢＲ１０のコントローラは、互いに通信することにより、分散型のコントローラとして機能してもよく、その場合に、例えばＤＲＭを順に転送する。上記のとおり、ＤＲＭは、各ＭＬＢＲ１０における転送を制限するための情報である。ＭＬＢＲ１０は、ＤＲＭが通知されるまでに構成されていた転送情報を変更することなく、転送を制限する制限条件を追加し、また、制限条件を単位にして個々に削除する。これにより、通信システム１は、ネットワークＮＷ内の転送規則を維持したまま、転送を制限する制限条件のみを変更する。

(スイッチ部の一例)
図４から図１０を参照して、スイッチ部のより具体的な一例について説明する。図４は、ｅＭＬＢＲ１１を示す図である。スイッチ部１１２は、各段のフローテーブルとして、廃棄テーブル１１２１、パケットタイプテーブル１１２２、ＳＣＯＰＥテーブル１１２３、ＭＬＢテーブル１１２４、ルーティングテーブル１１２５、及びＱｏＳテーブル１１２６を備える。図５から図１０のそれぞれは、廃棄テーブル１１２１、パケットタイプテーブル１１２２、ＳＣＯＰＥテーブル１１２３、ＭＬＢテーブル１１２４、ルーティングテーブル１１２５、及びＱｏＳテーブル１１２６の一例を示す図である。

（スイッチ部における各種テーブルの一例）
スイッチ部１１２において、廃棄テーブル１１２１には、廃棄するパケットのフローエントリが必要数格納される。廃棄するパケットのフローエントリは、前述のパケットの転送を制限する条件である第１規則（ブラックリスト）に対応する。例えば図５に示すように、廃棄テーブル１１２１は、格納されたフローエントリにマッチしたパケットを廃棄（ｄｒｏｐ）する。格納されたフローエントリにマッチしなかったパケットは、パケットタイプテーブル１１２２による選択処理の対象にする。フローエントリに規定する制限情報は、１つのＩＰアドレスであってもよく、或いは、複数のＩＰアドレスを含むネットワークアドレスであってもよい。さらに、宛先ＩＰアドレスや宛先ポート番号、送信元ポート番号、パケット長、パケットタイプ、ＴＣＰ制御フラグ等を適宜組み合わせて規定することによって、攻撃パケットと同じ宛先IPアドレスに送信しようとしている他の一般ユーザの通信を妨げることを抑制することができる。例えば、廃棄テーブル１１２１のフローエントリとして、転送を制限する領域に対応するネットワークアドレスをマッチ条件として規定する。廃棄テーブル１１２１は、そのネットワークアドレスが示すアドレス空間に含まれた送信元ＩＰアドレスが付与されているパケットの転送を制限する。図５に示す「129.168.3.0/24」は、ＩＰｖ４で記述した場合のネットワークアドレスの一例である。

パケットタイプテーブル１１２２は、廃棄テーブル１１２１により廃棄されなかったパケットと、コントローラから取得したパケットを処理対象のパケットとし、パケットのタイプ毎のフローエントリを格納する。例えば図６に示すように、パケットタイプテーブル１１２２に格納するフローエントリには、ＩＰｖ４のパケットであることを特定するものと、ＩＰｖ６のパケットであることを特定するものと、コントローラ宛に送信するパケットであることを特定するものが含まれる。例えば、パケットタイプテーブル１１２２として、各パケットのタイプに対応するアクションを下記のように定義する。パケットタイプテーブル１１２２は、自ＭＬＢＲ１０宛のＩＣＭＰｖ６（Internet Control Message Protocol for IPv6）、又はＡＲＰ（Address Resolution Protocol）、ＩＣＭＰ（Internet Control Message Protocol）、ＤＨＣＰ（Dynamic Host Configuration Protocol）、ＤＲＰ（Dropping Request Message Protocol）、ＲＩＰ（Routing Information Protocol）、ＯＳＰＦ（Open Shortest Path First）、ＢＧＰ（Border Gateway Protocol）、ＵＰｎＰ（Universal Plug and Play）、ＤＮＳ（Domain Name System）、ＳＩＰ（Session Initiation Protocol）などの通信制御パケットをコントローラ１１１宛のパケット（Ｐａｃｋｅｔ−Ｉｎ）とし、上記を除くＩＰｖ４のパケットをＭＬＢテーブル１１２４による処理の対象にし、上記を除くＩＰｖ６のパケットをＳＣＯＰＥテーブル１１２３による処理の対象にする。上記のＤＲＰは、ＤＲＭに検証データもしくは認証コードを付加した規格である。ＤＲＰの詳細については後述する。パケットタイプテーブル１１２２は、コントローラ１１１宛のパケットのうち、コントローラ１１１による判定結果に基づいて、必要であればＦｌｏｗ−Ｍｏｄにて各テーブルを更新するとともに、他のＭＬＢＲに転送が必要なパケットは、スイッチ部１１２に戻す（Ｐａｃｋｅｔ−Ｏｕｔ）。

ＳＣＯＰＥテーブル１１２３は、パケットタイプテーブル１１２２によりＩＰｖ６のパケットであると特定されたパケットに対し、スコープ（SCOPE）の逸脱有無を判定して当該パケットのルーティングを許可するか否かを特定する。例えば図７に示すように、当該パケットの送信元IPアドレスと宛先IPアドレスが同じスコープ（グローバルアドレス、ユニークローカルアドレス、リンクローカルアドレスなど）に属し、ルーティングを許可すると判定した場合には、ＳＣＯＰＥテーブル１１２３は、当該パケットをＭＬＢテーブル１１２４による処理の対象にする。一方、当該パケットのスコープに逸脱がありルーティングを許可しないと判定した場合には、ＳＣＯＰＥテーブル１１２３は、対象のパケットを廃棄する。

ＭＬＢテーブル１１２４は、パケットタイプテーブル１１２２によりＩＰｖ４のパケットであると特定されたパケット、又は、ＳＣＯＰＥテーブル１１２３によりルーティングを許可するＩＰｖ６のパケットであると特定されたパケットに対し、当該パケットが転送を許可すべきパケットであるか否かを特定する条件である第２規則（通信許可ホワイトリスト）に対応する。ＭＬＢテーブル１１２４は、ＩｏＴ装置やホスト等のＭＡＣアドレスとＩＰアドレス及びｅＭＬＢＲ１１の接続ポートの識別情報を組み合わせて、当該パケットが偽装パケットでないかをチェックする通信許可ホワイトリストとして機能するが、ＩｏＴ装置から送信されたパケットであるか否かを判別することもできる。例えば図８に示すように、マッチ条件には、スイッチ部１１２の入力ポート番号（IN_Port）、ＩｏＴ装置に割り付けられているＭＡＣアドレスとＩＰアドレスなどが設定される。例えば、当該パケットが、ＩｏＴ装置から送信されたパケットであると判別すると（図８上段）、ＱｏＳテーブル１１２６（図１０）に遷移し、通信相手として許可された宛先アドレスであるかをＱｏＳテーブル１１２６によって判定し、該当する通信相手許可ホワイトリストがＱｏＳテーブル１１２６に存在した場合、ＱｏＳテーブル１１２６は、当該パケットをルーティングテーブル１１２５による転送処理の対象（図１０上段）にする。

図９に示すように、ルーティングテーブル１１２５は、ＭＬＢテーブル１１２４（図８）により当該パケットが偽装されたパケットでないと判定された場合、当該パケットをルーティングテーブル１１２５により規定される物理ポートに出力するのが基本であるが、ルーティングテーブル１１２５によりＩｏＴ装置宛のパケットであることが判明した場合（図9上段）は、ＱｏＳテーブル１１２６（図１０）に遷移し、送信元が該ＩｏＴ装置の通信相手であるか否かを判定し、該当する通信相手許可ホワイトリストが存在した場合に、転送処理の対象にする（図１０中段）。ルーティングテーブル１１２５は、当該パケットが転送すべきパケットでないと特定された場合（図９下段）、当該パケットをルーティングテーブル１１２５の第３規則に従って、廃棄処理の対象にしてもよい。

ＱｏＳテーブル１１２６は、ＭＬＢテーブル１１２４により当該パケットが、ＩｏＴ装置から送信されたパケット、又は、ＩｏＴ装置宛に送信されたパケットであると判定されたパケットに対し、所望のＱｏＳを設定する。ＱｏＳとして設定する条件は、第４規則（通信相手許可ホワイトリスト）に対応する。例えば図１０に示すように、ＱｏＳテーブル１１２６における所望のＱｏＳには、送信元アドレスと宛先アドレスがマッチ条件に一致する場合に、パケットの転送を許可することで、許可される範囲を超えた宛先への転送を制限する（図１０下段）ことが含まれる。その詳細は後述する。

（ＩｏＴ機器のセキュリティ対策に係る処理）
図１１Ａと図１１Ｂは、ｅＭＬＢＲ１１におけるＩｏＴ機器のセキュリティ対策に係る処理の手順を示すフローチャートである。

まず、ｅＭＬＢＲ１１においてコントローラ１１１は、パケットイン１１１６を介してスイッチ部１１２からのパケットを取得する（Ｓ１０５)。

次に、特定情報取得部１１１１は、スイッチ部１１２から取得したパケットが、通信相手を限定する対象装置等の特定情報を含むものであるか否かを判定する（Ｓ１１１）。Ｓ１１１の判定により通信相手を限定する対象装置等の特定情報を含むものであるであると判定された場合、特定情報取得部１１１１は、通信相手を限定する対象装置等の特定情報を取得する（Ｓ１１２）。

次に、ＷＬ管理部１１１３は、通信許可ホワイトリストに追加する通信許可情報（要素）を生成する条件を満たすか否かを判定する（Ｓ１１３）。

Ｓ１１３の判定により、通信許可ホワイトリストに追加する通信許可情報を生成する条件を満たすと判定された場合、ＷＬ管理部１１１３は、通信許可情報を生成する（Ｓ１１４）。なお、通信許可情報を生成する処理の詳細については後述する。

次に、ＷＬ管理部１１１３は、生成した通信許可情報が、第２記憶部１１５２に第２規則として登録されているか否かを判定する（Ｓ１１５）。生成した通信許可情報が第２記憶部１１５２に登録されていないと判定した場合、ＷＬ管理部１１１３は、生成した通信許可情報を第２記憶部１１５２に書き込み、第２規則として追加して更新する（Ｓ１１６）。上記通り、通信許可情報の追加に伴う第２規則の変更が実施される毎に、ＷＬ管理部１１１３は、フロー変更出力部１１１８を介して、新たな第２規則の情報をスイッチ部１１２に送信する。

一方、Ｓ１１３の判定により通信許可ホワイトリストに追加する通信許可情報を生成する条件を満たしていないと判定された場合、Ｓ１１５の判定により生成した通信許可情報が第２記憶部１１５２に登録されていると判定した場合、又はＳ１１６の処理を終えた場合、ＷＬ管理部１１１３は、所定期間が経過した通信許可情報が有るか否かを判定する（Ｓ１１７）。例えば、ＷＬ管理部１１１３は、第２記憶部１１５２に登録されている通信許可情報のうち、通信許可情報に対応する通信が所定期間発生しなかった場合、つまり、上記通信のパケットが到来しない状態になった後、或いは、到来しなくなって所定期間が経過した後、第２記憶部１１５２に格納されている第２規則のうちから、上記場合の通信許可情報を削除する（Ｓ１１８）。上記通り、通信許可情報の削除に伴う第２規則の変更が実施される毎に、ＷＬ管理部１１１３は、フロー変更出力部１１１８を介して、新たな第２規則の情報をスイッチ部１１２に送信する。

ｅＭＬＢＲ１１のスイッチ部１１２は、更新された第２記憶部１１５２を用いて転送処理を実施する。

一方、Ｓ１１１の判定により通信相手を限定する対象装置等の特定情報を含むものではないと判定された場合、識別情報取得部１１１２は、スイッチ部１１２から取得したパケットが、特定された対象の通信相手の識別情報を含むものであるか否かを判定する（Ｓ１２１）。Ｓ１２１の判定により特定された対象の通信相手の識別情報を含むものであると判定された場合、特定された対象装置等の識別情報を取得する（Ｓ１２２）。

Ｓ１２２の処理を終えた後、又は、Ｓ１２１の判定により特定された対象の通信相手の識別情報を含むものではないと判定された場合、識別情報取得部１１１２は、スイッチ部１１２から取得したパケットが、特定された対象の通信相手の識別情報を含むものであるか否かを判定する（Ｓ１３１）。Ｓ１３１の判定により特定された対象の通信相手の識別情報を含むものであると判定された場合、識別情報取得部１１１２は、特定された対象装置等の識別情報を取得する（Ｓ１３２）。

Ｓ１３２の処理を終えた後、又は、Ｓ１３１の判定により特定された対象の通信相手の識別情報を含むものではないと判定された場合、ＷＬ管理部１１１３は、通信相手許可ホワイトリストに追加する通信相手許可情報（要素）を生成する条件を満たすか否かを判定する（Ｓ１４１）。

Ｓ１４１の判定により、通信相手許可ホワイトリストに追加する通信相手許可情報を生成する条件を満たすと判定された場合、ＷＬ管理部１１１３は、通信相手許可情報を生成する。例えば、ＷＬ管理部１１１３は、Ｓ１２２とＳ１３２において識別情報がそれぞれ生成された段階で、通信相手許可情報を生成する条件を満たすと判定する。なお、通信相手許可情報を生成する処理の詳細については後述する。

次に、ＷＬ管理部１１１３は、生成した通信許可情報が、第４記憶部１１５４に第４規則として登録されているか否かを判定する（Ｓ１６１）。生成した通信相手許可情報が第４記憶部１１５４に登録されていないと判定した場合、ＷＬ管理部１１１３は、生成した通信相手許可情報を第４記憶部１１５４に書き込み、第４規則として追加して更新する（Ｓ１６２）。上記通り、通信相手許可情報の追加に伴う第４規則の変更が実施される毎に、ＷＬ管理部１１１３は、フロー変更出力部１１１８を介して、新たな第４規則の情報をスイッチ部１１２に送信する。

一方、Ｓ１４１の判定により通信相手許可ホワイトリストに追加する通信相手許可情報を生成する条件を満たしていないと判定された場合、Ｓ１６１の判定により生成した通信相手許可情報が第４記憶部１１５４に登録されていると判定した場合、又はＳ１６２の処理を終えた場合、ＷＬ管理部１１１３は、所定期間が経過した通信相手許可情報が有るか否かを判定する（Ｓ１７１）。例えば、ＷＬ管理部１１１３は、第４記憶部１１５４に登録されている通信相手許可情報のうち、通信相手許可情報に対応する通信が所定期間発生しなかった場合、つまり、上記通信のパケットが到来しない状態になった後、或いは、到来しなくなって所定期間が経過した後、第４記憶部１１５４に格納されている第４規則のうちから、上記場合の通信相手許可情報を削除する（Ｓ１７２）。上記通り、通信相手許可情報の削除に伴う第４規則の変更が実施される毎に、ＷＬ管理部１１１３は、フロー変更出力部１１１８を介して、新たな第４規則の情報をスイッチ部１１２に送信する。

ｅＭＬＢＲ１１のスイッチ部１１２は、更新された第４記憶部１１５４を用いて転送処理を実施する。

コントローラ１１１は、ＩｏＴ機器のセキュリティ対策に係る処理を、上記の手順に従い実施する。

（ＩｏＴ機器のセキュリティ対策に係る処理の詳細）
上記のとおり、ＩｏＴ機器のセキュリティ対策に係る処理は、特定情報を取得する処理と、識別情報を取得する処理と、通信許可情報を生成する処理と、出力制御処理とに大別される。

（機能検証に用いた構成例）
機能検証に用いた構成例を示して、通信許可情報を生成する処理について説明する。図１２は、本実施形態の通信システムの機能検証モデルの一例を示す図である。

同図に示すように、ｅＭＬＢＲ１１のポート３には、Ｌ２スイッチ装置４１を介してデータ端末１８と管理ホスト１５と、擬似ＨＲＳ５１とが接続され、ポート４には、Ｌ２スイッチ装置４２を介してメールサーバ５３が接続され、ポート５には、ＷＥＢサーバ５２が接続され、ポート６には、管理ホスト６１が接続されている。
なお、コントローラ１１１は、スイッチ部１１２に対して接続されるほかに、Ｌ２スイッチ装置４２を介してメールサーバ５３が接続されている。

上記のように構成した通信システム１における各装置は、下記のように機能する。
まず、擬似ＨＲＳ５１は、データ端末１８の認証サーバであり、Ｎｍａｐ（Network Mapper）などを実行可能とする。

（特定情報を取得する処理）
図１３は、通信システム１におけるデータ端末１８のセキュリティ対策の一手順を示す図である。
擬似ＨＲＳ５１は、Ｎｍａｐなどによりデータ端末１８に対してポートスキャンを実施して（Ｓ２０２）、その結果をｅＭＬＢＲ１１に通知する（Ｓ２０４）。ポートスキャンの結果には、データ端末１８の属性情報として、例えば、データ端末１８のＬ２スイッチ装置４１に接続されているポートのＭＡＣアドレス、開放しているＬ４ポートアドレス、データ端末１８のＯＳや実行中のアプリケーションプログラム等が含まれる。例えば、擬似ＨＲＳ５１は、属性情報を示すテキストデータをＩＣＭＰパケットのペイロード部に含めて、ｅＭＬＢＲ１１への通知を、ＩＣＭＰ requestとして送信して、ｅＭＬＢＲ１１において判定させる。

ｅＭＬＢＲ１１のコントローラ１１１は、スイッチ部１１２を介して、擬似ＨＲＳ５１から通知されたデータ端末１８の属性情報を受信する。コントローラ１１１の特定情報取得部１１１１は、データ端末１８の候補とされる候補データ端末１８Ａ（候補対象装置）に対するポートスキャンを実施した結果、すなわちデータ端末１８の属性情報から、その特定情報を抽出する（Ｓ２０６）。特定情報取得部１１１１は、例えば、データ端末１８の候補とされるＩｏＴ機器の製造者情報を予め保持しており、この製造者情報と、抽出した特定情報とを対比してデータ端末１８の属性情報を判定する（Ｓ２０８）。

なお、データ端末１８の候補とされるＩｏＴ機器の製造者情報は、特定情報取得部１１１１に代えて、擬似ＨＲＳ５１が保持するように構成してもよい。この場合、擬似ＨＲＳ５１は、この製造者情報に基づいてデータ端末１８の属性情報を判定し、判定の結果とＩｏＴ機器による通信の特定情報とをコントローラ１１１に送信する。コントローラ１１１の特定情報取得部１１１１は、判定の結果とＩｏＴ機器による通信の特定情報とを取得する。

なお、データ端末１８の候補とされるＩｏＴ機器の製造者情報は、特定情報取得部１１１１に代えて、製造者または通信事業者などが管理する外部のサーバが保持するように構成してもよい。この場合、擬似ＨＲＳ５１は、外部のサーバが保持する製造者情報に基づいてデータ端末１８の属性情報を判定し、判定の結果とＩｏＴ機器による通信の特定情報とをコントローラ１１１に送信する。コントローラ１１１の特定情報取得部１１１１は、判定の結果とＩｏＴ機器による通信の特定情報とを取得する。

（ＭＡＣアドレスに含まれる製造者情報を取得する処理の詳細）
図１４は、ＭＡＣアドレスに含まれる製造者情報例の一部について示す図である。同図に示されるように、ＭＡＣアドレスの上位２４ｂｉｔは、製造者を識別可能な固有の情報（ベンダーコード）として割り当てられている。特定情報取得部１１１１は、データ端末１８の属性情報から抽出したＭＡＣアドレスの一部と、保持しているＩｏＴ機器の製造者情報としてのＭＡＣアドレスの一部を比較する。比較の結果一致しない場合は、特定情報取得部１１１１は、その候補データ端末１８Ａがデータ端末１８として適格でないものであると判定する。特定情報取得部１１１１は、製造者情報が一致する候補データ端末１８Ａについてのみ、データ端末１８の属性情報から特定情報を抽出して取得する。
なお、属性情報から抽出した製造者情報がベンダーコード表に存在しない場合には、特定情報取得部１１１１は、接続された機器は不明なホストであると判定する。

上記のように、特定情報取得部１１１１が製造者情報に基づいて判定することで、本来の製造者の製造者情報と異なる製造者情報を示す端末を、偽装された端末として判定することができる。

（識別情報を取得する処理）
次に、識別情報取得部１１１２は、特定情報取得部１１１１によって特定情報が取得された後に、メールサーバ５３宛にメールの送信要求を送信する（Ｓ２１０）。メールサーバ５３宛のメールの送信要求は、データ端末１８の通信相手の識別情報を取得するためのメールを管理ホスト１５宛に送付することを要求するものである。メールサーバ５３は、管理ホスト１５宛に、データ端末１８の通信相手の識別情報を取得するためのメールを送付する（Ｓ２１２）。さらに、メールサーバ５３は、管理者のメールアドレス宛に、データ端末１８が検出されたことを通知するためのメールを送付してもよい（Ｓ２１４）。なお、管理者のメールアドレス宛のメールの送付に代えて、メールサーバ５３は、データ端末１８が検出されたことの通知を、管理者の携帯型端末宛にショートメッセージサービスを利用して送付してもよい。或いは、識別情報取得部１１１２は、管理者の携帯型端末宛に通知を、ショートメッセージサービスを利用して送付してもよい。

管理ホスト１５は、メールサーバ５３からのメールを取得して（Ｓ２１６）、そのメールに記載されているＷＥＢサーバ５２のＵＲＬ又はアドレス宛に、通信の接続を試みる（Ｓ２１８）。ＷＥＢサーバ５２は、その通信の開始要求を受け付けて、上記のＵＲＬ又はアドレスに基づいて定まる情報を、管理ホスト１５宛に送信し、管理ホスト１５から所定の情報を取得する（Ｓ２２０）。

次に、ＷＥＢサーバ５２は、管理ホスト１５から受け付けたＩＰアドレス又はネットワークアドレスを含む情報を、ｅＭＬＢＲ１１のコントローラ１１１宛に送信する（Ｓ２３０）。コントローラ１１１は、ＷＥＢサーバ５２からの情報を、データ端末１８の通信相手の識別情報として取得する（Ｓ２３４）。

コントローラ１１１は、上記のように、特定情報（通信許可ホワイトリスト）を取得する処理と通信相手の識別情報（通信相手許可ホワイトリスト）を取得する処理とを、データ端末１８毎に実施した後に、そのデータ端末１８に対する通信許可情報を生成する（Ｓ２３６）。

（ホワイトリストの管理）
次に、ホワイトリストの管理について説明する。ＷＬ管理部１１１３は、特定情報に基づいて特定されるデータ端末１８からの通信の通信許可情報を、通信許可ホワイトリストに纏めて管理する。例えば、ＷＬ管理部１１１３は、通信許可情報は、マッチ条件とアクションの項目を含む。通信許可情報は、次の組を含む。第１のマッチ条件として、特定された対象の「ＩＰアドレス又はネットワークアドレス」、「ＭＡＣアドレス」、「スイッチ部１１２の物理ポート番号又は(セキュア)チャネル番号」、「Ｌ４ポート番号」の一部又は全部を含む。第２のマッチ条件として、特定された対象の通信相手の「ＩＰアドレス又はネットワークアドレス」、「ＭＡＣアドレス」、「スイッチ部１１２の物理ポート番号又は(セキュア)チャネル番号」、「Ｌ４ポート番号」の一部又は全部を含む。上記の組のマッチ条件には、ｅＭＬＢＲ１１を介した通信の送信元情報が含まれる。

ＷＬ管理部１１１３は、取得した識別情報に基づいた通信許可情報を通信許可ホワイトリストの要素として追加する。例えば、ＷＬ管理部１１１３は、スイッチ部１１２が備える判定部に、受信したパケットが特定情報に基づいて特定された通信のデータ端末１８から送られたもの( fromＩｏＴ)であることを、識別情報と通信許可ホワイトリストの情報に基づいて判定させるように、通信許可ホワイトリストを生成する（Ｓ２４２）。例えば、前述したＭＬＢテーブル１１２４、ルーティングテーブル１１２５、及びＱｏＳテーブル１１２６の組み合わせは、上記の判定部の一例である。

さらに、ＷＬ管理部１１１３は、特定情報に基づいて特定される通信の通信相手をデータ端末１８宛に限定するための通信許可情報であって、取得した識別情報に基づいた通信相手許可情報を通信相手許可ホワイトリストの要素として追加する。

また、ＷＬ管理部１１１３は、スイッチ部１１２が備える判定部に、受信したパケットが特定情報に基づいて特定された通信のデータ端末１８宛に送られたもの(toＩｏＴ)であることを、ルーティングテーブルに基づいて判定させ、さらに当該パケットが通信相手として許可されたものかを判定するように、通信相手許可ホワイトリストを生成する（Ｓ２４４）。

（出力制御の処理）
出力制御部１１１４は、判定部による判定の結果から、特定情報に基づいて特定された通信のデータ端末１８から送られたもので、かつ通信相手として許可された通信相手宛であると判定した場合に、通信相手宛に向けて送信するように決定した出力先に、受信したパケットを出力させるように、スイッチ部１１２の出力部を制御する。

例えば、出力制御部１１１４は、次のとおりＩｏＴ装置からの通信であると判定した場合には、スイッチ部１１２を下記のように制御する。ＭＬＢテーブル１１２４により、送信元ＩＰアドレス、送信元ＭＡＣアドレス等から当該パケットがＩｏＴ装置から送信されたパケットであると判定された場合には、当該パケットを、ＱｏＳテーブル１１２６に基づいたＱｏＳ制御の対象にする。

図１５は、ＩｏＴから送信されたパケットのＱｏＳの設定について説明するための図である。例えば、図１５に示すように、ＱｏＳテーブル１１２６は、ＭＬＢテーブル１１２４により当該パケットがＩｏＴ装置から送信されたパケットであると判定されたパケットに対し、所望のＱｏＳを設定して当該パケットをルーティングテーブル１１２５による転送処理の対象にする。この場合、ルーティングテーブル１１２５は、ＱｏＳテーブル１１２６により設定された適正な通信相手と判定されれば、当該パケットを所望の出力ポートに出力する。一方、ＱｏＳテーブル１１２６は、ＭＬＢテーブル１１２４により当該パケットがＩｏＴ装置から送信されたパケットであると判定されたパケットに対し、当該パケットが転送すべきパケットでないと特定した場合、当該パケットをＱｏＳテーブル１１２６の第４規則に従って、廃棄してもよい。

さらに、出力制御部１１１４は、判定部による判定の結果から、特定情報に基づいて特定された通信のデータ端末１８から送られたもので、かつ許可された通信相手宛であると判定した場合に、当該通信相手宛に向けて送信するように決定した出力先に、受信したパケットに所定の送信元ＭＡＣアドレスと宛先ＭＡＣアドレスを付加して出力させるように、パケット出力１１３を制御する。

例えば、出力制御部１１１４は、次のとおりＩｏＴ装置への通信であると判定した場合には、スイッチ部１１２を下記のように制御する。
ルーティングテーブル１１２５により、宛先ＩＰアドレスから当該パケットがＩｏＴ装置宛に送信するパケットであると判定された場合には、当該パケットを、ＱｏＳテーブル１１２６に基づいたＱｏＳ制御の対象にする。

図１６は、ＩｏＴ宛に送られてきたパケットのＱｏＳの設定について説明するための図である。例えば図１６に示すように、ルーティングテーブル１１２５は、ＭＬＢテーブル１１２４により当該パケットが偽装されたパケットでないと判定されたパケットに対し、所望のＱｏＳを設定して当該パケットをＱｏＳテーブル１１２６による通信相手の適切性の判定の対象にする。この場合、ＱｏＳテーブル１１２６は、ＱｏＳテーブル１１２６により許可された通信相手からのパケットと判定された場合に、当該パケットを、宛先のＩｏＴ装置に対応する所望の出力ポートに出力する機能も兼ねる。なお、ＱｏＳテーブル１１２６は、当該パケットが転送すべきパケットでないと判定した場合、当該パケットをＱｏＳテーブル１１２６に従って、廃棄してもよい。

上記のように、出力制御部１１１４は、セキュリティ性が確保できる範囲にデータ端末１８の通信相手が存在する状態にスイッチ部１１２を制御する（Ｓ２５０）。
この場合、識別情報取得部１１１２は、セキュリティ性が確保できる範囲にデータ端末１８の通信相手が存在する状態で通信を許可することとし、通信相手許可ホワイトリストに格納する通信相手許可情報を生成するための識別情報を取得するものとする。

出力制御部１１１４は、受信したパケットに付与された識別情報から抽出した送信元情報と宛先情報との組が、通信相手許可ホワイトリストに格納された通信相手許可情報の送信元情報と宛先情報との組の何れかに一致しない不一致状態が生じた場合に、受信したパケットを所定の宛先に中継しないように、受信したパケットの出力先を決定する。これにより、データ端末１８は、限定範囲内に存在する管理ホスト６１との通信は可能であるが、限定範囲外に存在するホストＢとの通信を行うことができなくなる。これにより、データ端末１８がマルウェアに感染して、Ｃ＆Ｃサーバへのアクセスを試みようと作用しても、その通信は、ｅＭＬＢＲ１１によって遮断される。

なお、出力制御部１１１４は、不一致状態の発生が所定の条件を満たした場合に、不一致状態の発生を報知するようにしてもよい。

図１７は、ＷＥＢサーバ５２の表示画面制御の状態遷移を示す図である。図１８から図２３は、ＷＥＢサーバ５２の表示画面の例を示す図である。ＷＥＢサーバ５２は、例えば、データ端末１８の通信相手を限定するための所定の情報として、２通りの指定方法を提供する。ＷＥＢサーバ５２は、データ端末１８の通信相手を限定するためのアドレス情報を指定する方法の選択ページ（図１８又は図２１）を、管理ホスト１５の表示部に表示させる。

アドレス情報を指定する方法が選択された場合、ＷＥＢサーバ５２は、管理ホスト１５から指定の方法を選択した結果を受け、限定する通信相手のＩＰアドレスを入力させるページ（図１９）を、管理ホスト１５に表示させる。
次に、ＷＥＢサーバ５２は、管理ホスト１５からＩＰアドレスを受け付けて、その後、限定する通信相手のＩＰアドレスの入力結果（図２０）を管理ホスト１５に表示させる。

一方、ネットワークアドレスを指定する方法が選択された場合、限定する通信相手のネットワークアドレスを入力させるページ（図２２）を、管理ホスト１５に表示させる。
次に、ＷＥＢサーバ５２は、管理ホスト１５からネットワークアドレスの何れかを受け付けて、その後、限定する通信相手のネットワークアドレスの入力結果（図２３）を管理ホスト１５に表示させる。

本実施形態によれば、コントローラ１１１は、複数の物理ポートを有するスイッチ部１１２から得た情報に基づいてスイッチ部１１２を制御する制御情報を生成する。特定情報取得部１１１１は、スイッチ部１１２を介する通信において、通信相手を限定して通信するデータ端末１８又はデータ端末１８による通信の少なくとも何れかを特定する特定情報（通信許可情報）を取得する。識別情報取得部１１１２は、特定情報に基づいて特定される通信相手を識別する識別情報（通信相手許可情報）を取得する。出力制御部１１１４は、スイッチ部１１２が受信したパケットについてのスイッチ部１１２からの出力先を決定する経路情報を生成して、経路情報を上述の制御情報に含める。その際、出力制御部１１１４は、スイッチ部１１２が受信したパケットに付与されている送信元情報と宛先情報との組が、識別情報（通信相手許可情報）に基づいて決定される送信元情報と宛先情報との組に含まれる通信は許可するものとして転送するように、経路情報及び通信相手許可情報を生成する。
これにより、コントローラ１１１は、ＩｏＴ機器であるデータ端末１８のセキュリティ対策を簡易な方法で実施することができる。

また、出力制御部１１１４は、スイッチ部１１２が受信したパケットに付与されている送信元情報と宛先情報との組が、識別情報（通信相手許可情報）に基づいて決定される送信元情報と宛先情報との組に含まれていない通信のパケットの転送を、前記スイッチ部により制限させるように、経路情報及び通信相手許可情報を生成してもよい。

また、ＷＬ管理部１１１３は、データ端末１８と通信相手との間で許可する通信であることを示す通信許可情報（通信相手許可情報）を、データ端末１８から通信相手宛の通信と、通信相手からデータ端末１８宛の通信とに分けて、識別情報に基づいてそれぞれ生成してもよい。
また、ＷＬ管理部１１１３は、通信相手として許可することを示す通信相手許可ホワイトリストを生成し、通信相手許可ホワイトリストを制御情報に含ませてもよい。

さらに、ＷＬ管理部１１１３は、データ端末１８の通信相手として許可することを示す通信相手許可情報を、データ端末１８からデータ端末１８の通信相手宛の通信と、データ端末１８の通信相手からデータ端末１８宛の通信とに分けて、識別情報に基づいてそれぞれ生成してもよい。
また、ＷＬ管理部１１１３は、その通信相手許可情報を通信相手許可ホワイトリストの要素にして、通信相手許可ホワイトリストを制御情報に含ませてもよい。

出力制御部１１１４は、通信相手許可情報に基づいて、データ端末１８の通信相手からデータ端末１８宛の通信に対応する出力先を決定する経路情報を生成してもよい。

また、出力制御部１１１４は、受信したパケットに付与された識別情報から抽出したレイヤ３の送信元情報と宛先情報との組が、通信相手許可ホワイトリストに格納された通信相手許可情報のレイヤ３の送信元情報と宛先情報との組の少なくとも何れかに一致し、かつ、パケットを受信したポートの識別情報又はパケットが送信されたポートの論理識別情報を含む下位レイヤの識別情報が通信許可ホワイトリストに格納された通信許可情報の下位レイヤの識別情報に一致する場合に受信したパケットを所望の宛先に中継するように、受信したパケットの出力先を決定する。

これにより、ＩｏＴ機器のセキュリティ対策を簡易な方法で実施することができる。

（第１の実施形態の変形例）
第１の実施形態の変形例について説明する。第１の実施形態では、データ端末１８毎に、１つの通信相手のＩＰアドレス又はネットワークアドレスを設定することとして説明したが、本変形例では、これに代えて、複数のデータ端末１８に対する通信相手のＩＰアドレス又はネットワークアドレスを設定可能にする方法を例示する。

対応関係は下記の場合が想定される。
（１）複数のデータ端末１８から、これらに共通するホストに対して通信するように限定する場合。
（２）複数のデータ端末１８から、互いに異なるホストに対して通信するように限定する場合。

上記のこれらの場合においても、コントローラ１１１は、前述したホワイトリストと同様のホワイトリストを作成することにより、ＩｏＴ装置の通信のセキュリティ性を確保することができる。なお、複数のＩＰアドレス、又は、複数のネットワークアドレスを、コントローラ１１１に登録する際には、上記を纏めて取り込むことで、特に大規模のシステムにおいて、ネットワーク管理に付帯する業務を簡素化することができる。

例えば、識別情報取得部１１１２は、データ端末１８の識別情報の検出結果を管理ホスト６１に通知する。管理ホスト６１は、その通知を受けて、データ端末１８の識別情報の検出結果に、通信相手を特定するＩＰアドレス情報又はネットワークアドレスを対応付ける。管理ホスト６１は、データ端末１８の識別情報の検出結果に対応付けた通信相手を特定するＩＰアドレス情報又はネットワークアドレスをコントローラ１１１宛に送信する。コントローラ１１１の識別情報取得部１１１２は、管理ホスト６１から取得した指令に基づいて、特定された通信の識別情報として決定するとよい。

これにより、第１の実施形態の変形例の通信システム１によれば、第１の実施形態と同様の効果を奏するものであるとともに、複数のデータ端末１８に対する識別情報の付与業務を簡素化することができる。

（第２の実施形態）
第２の実施形態について説明する。前述の第１の実施形態は、候補データ端末１８Ａのレイヤ２アドレスから抽出される製造者情報、又は、候補データ端末１８Ａに対するポートスキャンを実施した結果に基づいた特定情報を取得する場合を例示した。本実施形態では、これに代えて、候補データ端末１８Ａが送信するパケット、又は、使用する通信プロトコルの何れかを監視した結果に基づいて決定された特定情報を取得する場合を例示する。この点が前述の第１の実施形態と異なる。以下、この点を中心に説明する。

（特定情報を取得する処理）
特定情報取得部１１１１は、候補データ端末１８Ａが送信するパケット、又は、使用する通信プロトコルを監視した結果に基づいて通信相手を限定すべき対象を特定して、特定した対象の情報を取得する。
例えば、特定情報取得部１１１１は、ＵＰｎＰ、ＳＩＰなど通信プロトコルを監視して、その結果に基づいて対象を特定する。例えば、特定情報取得部１１１１は、ＵＰｎＰを監視する手法として、ＵＰｎＰ snoopingとして知られている手法を適用してもよい。特定情報取得部１１１１は、ＳＩＰを監視する手法として、ＳＩＰ snoopingとして知られている手法を適用して、ＳＩＰによる通信開始要求（ＩＮＶＩＴＥ）を検出するようにしてもよい。
ＵＰｎＰ又はＳＩＰを利用する場合には、通信開始の接続要求に通信相手を先示す情報が含まれている。特定情報取得部１１１１は、通信開始の接続要求に含まれる情報から、検出対象、通信プロトコルの種別、通信相手のＵＲＬ（アドレス）などを取得するとよい。

また、特定情報取得部１１１１は、候補データ端末１８Ａ宛に送信されるパケット、又は、候補データ端末１８Ａによる通信で使用される通信プロトコルの監視結果に基づいて通信相手を限定すべき対象を特定して、特定した対象の情報を取得する。

なお、パケット、又は、通信プロトコルの監視は、擬似ＨＲＳ５１が実施してもよい。この場合、擬似ＨＲＳ５１は、ネットワークにおける所定の位置で、その点を通過するパケットを監視する。この場合、擬似ＨＲＳ５１は、検出したパケットのうちから、候補データ端末１８Ａが送信する通信メッセージを送るパケット、又は、候補データ端末１８Ａ宛に送信される通信メッセージを送るパケットを検出する。

（識別情報を取得する処理）
識別情報取得部１１１２は、データ端末１８又はエンティティから送信されるパケット、又は、データ端末１８又はエンティティによる通信で使用される通信プロトコルを監視して、識別情報を取得する。

例えば、識別情報取得部１１１２は、ＤＨＣＰ、ＡＲＰ、ＵＰｎＰ、ＳＩＰなど通信プロトコルを監視して、その結果に基づいて対象を特定する。例えば、識別情報取得部１１１２は、ＤＨＣＰを監視する手法として、ＤＨＣＰsnoopingとして知られている手法を適用してもよい。ＡＲＰを監視する手法として、ＡＲＰsnoopingとして知られている手法を適用してもよい。ＵＰｎＰを監視する手法として、ＵＰｎＰ snoopingとして知られている手法を適用してもよい。識別情報取得部１１１２は、ＳＩＰを監視する手法として、ＳＩＰ snoopingとして知られている手法を適用して、ＳＩＰによる通信開始要求（ＩＮＶＩＴＥ）を検出するようにしてもよい。

また、識別情報取得部１１１２は、ＤＮＳ、ＵＰｎＰ、ＳＩＰなど通信プロトコルを監視して、その結果に基づいて対象の通信相手を特定する。例えば、識別情報取得部１１１２は、ＤＮＳを監視する手法として、ＤＮＳsnoopingとして知られている手法を適用してもよい。ＵＰｎＰを監視する手法として、ＵＰｎＰ snoopingとして知られている手法を適用してもよい。識別情報取得部１１１２は、ＳＩＰを監視する手法として、ＳＩＰ snoopingとして知られている手法を適用してもよい。

例えば、識別情報取得部１１１２は、候補データ端末１８Ａが送信するパケット、又は、その通信で使用される通信プロトコルを監視した結果に基づいて決定された識別情報を取得する。

上記の識別情報は、データ端末１８（ノード）、データ端末１８における通信のエンティティ、及び、データ端末１８の通信サービスのうちの一部又は全部に基づいて決定されるものである。識別情報取得部１１１２は、上記の情報のうち少なくとも何れかの情報を特定情報として取得する。

上記のとおり、第２の実施形態によれば、特定情報取得部１１１１は、データ端末１８の候補とされる候補データ端末１８Ａから送信されるパケット、又は、候補データ端末１８Ａによる通信で使用される通信プロトコルの監視結果に基づいて特定情報が決定され、決定された特定情報を取得する。また、データ端末１８又はエンティティから送信されるパケット、又は、候補データ端末１８Ａ又はエンティティによる通信で使用される通信プロトコルを監視して、識別情報を取得する。
これにより、パケット、又は、候補データ端末１８Ａによる通信で使用される通信プロトコルの監視結果に基づいて特定情報と識別情報とが決定され、ＩｏＴ機器のセキュリティ対策を簡易な方法で実施する。

（第３の実施形態）
第３の実施形態について説明する。前述の第１の実施形態は、候補データ端末１８Ａのレイヤ２アドレスから抽出される製造者情報、又は、候補データ端末１８Ａに対するポートスキャンを実施した結果に基づいた特定情報を取得する場合を例示した。本実施形態では、これに代えて、ディレクトリサービスとルールベースシステムを利用して、特定情報を取得する場合を例示する。この点が前述の第１の実施形態と異なる。以下、この点を中心に説明する。

（特定情報を取得する処理）
（ディレクトリサービスとルールベースシステムを利用する形態）
以下、ディレクトリサービスとルールベースシステムを利用する形態について説明する。
本実施形態のコントローラ１１１（特定情報取得部１１１１）は、データ端末１８の候補とされる候補データ端末１８Ａの通信要求に基づいたディレクトリサービスとルールベースの検索結果に基づいて通信相手を限定すべき対象を特定する。

（ディレクトリサービス）
ネットワークに接続された通信機器、アプリケーションプログラムなどの資源を統一的に管理するための方法として、ディレクトリサービスが知られている。ディレクトリサービスを利用することで、個々の資源の名前と、ネットワーク上の位置（アドレス）やアクセス権限等の属性を対応付けた管理情報（ディレクトリ情報）を使って、ユーザやアプリケーションプログラムから各資源へのアクションを制御する。
これにより、各資源が何れの機器に配置されているかという物理的な情報を意識して、各資源を利用する必要がなくなる。

ディレクトリサービスを提供するサーバは、ユーザ情報やリソース情報を管理するデータベースを持つ。例えば、コントローラ１１１は、ＬＤＡＰ（Lightweight Directory Access Protocol）を利用してディレクトリサービスサーバをアクセスしてもよい。

（ルールベースシステム）
予め定められた条件を満たす事象が発生したら、所定のアクションをとるように機能させる方法として、ルールベースシステムが知られている。ルールベースシステムでは、予め定められた条件をルールとし、推論エンジンが所定のアクションを実施する。

例えば、ｅＭＬＢＲ１１のコントローラ１１１は、ディレクトリサービスのサーバとルールベースシステムの推論エンジンの機能を利用するように構成してもよい。

例えば、データ端末１８が通信リソースの割り付けを、ｅＭＬＢＲ１１に対して要求する。ｅＭＬＢＲ１１のコントローラ１１１は、ディレクトリサービスを提供するサーバにアクセスして、その要求を検出する。
データ端末１８が上記の要求を送る手順を、ＩｏＴ装置がネットワークに接続された際に実行するアクションとし、そのアクションを検出するための条件を、ルールベースシステムのルールとしてコントローラ１１１に記憶させておく。コントローラ１１１は、ルールベースシステムのコントローラとして機能して、予め定められたルールを満たす事象を検出したら、その要求を発したデータ端末１８の特徴情報を取得する。

コントローラ１１１は、取得した特徴情報に基づいて、データ端末１８が要求する通信を可能とするように、スイッチ部１１２を制御する。この制御の方法は、必要とされる各テーブルに情報を追加する第１の実施形態と同様の方法によってもよい。

（ｅＭＬＢＲ１１におけるデータ端末１８等から送信されたパケットの転送処理）
認証・検疫に成功したデータ端末１８は、ＭＬＢテーブル１１２４に登録・管理される。
ｅＭＬＢＲ１１は、パケットを受信すると、受信したパケットのフローエントリがＭＬＢテーブル１１２４に存在するか調べ、存在する場合には、受信したパケットのアドレスがプライベートＩＰアドレスであればグローバルＩＰアドレス等に変換してからＡＨを付加し、さらにＭＡＣアドレスを書き替えて、指定されたＱｏＳでｉＭＬＢＲ１２へ転送する。指定されたＱｏＳには、例えば、帯域制限なし、ＡＨを付加しての転送、帯域制限などの項目を含めてもよい。

一方、存在しない場合には、ｅＭＬＢＲ１１は、偽装パケットと見なして受信したパケットを廃棄する。ｅＭＬＢＲ１１は、接続ポートを介して、データ端末１８等の実在確認を適宜行い、ＭＬＢテーブル１１２４に登録された経路情報の有効期間を延長する。

以上に説明した、実施形態によれば、複数の物理ポートを有するスイッチ部から得た情報に基づいて前記スイッチ部を制御する通信制御装置であって、前記スイッチ部を介する通信において、通信相手を限定して通信する対象装置又は前記対象装置による通信を特定する特定情報を取得する特定情報取得部と、前記特定情報に基づいて特定される通信を識別する識別情報を取得する識別情報取得部と、対象装置と通信相手との間で許可する通信であることを示す通信許可情報を、前記対象装置から前記通信相手宛の通信と、前記前記通信相手から前記対象装置宛の通信とに分けてそれぞれ生成し、通信許可情報を格納するホワイトリストの要素として前記生成した通信許可情報をそれぞれ追加するＷＬ管理部と、前記スイッチ部が受信したパケットの前記スイッチ部からの出力先を、前記ホワイトリストに格納された通信許可情報に、前記特定情報に基づいて対応付ける出力制御部とを備え、前記受信したパケットに付与された識別情報と前記通信許可情報は、当該通信の送信元情報と宛先情報との組をそれぞれ含み、前記出力制御部は、前記受信したパケットに付与された識別情報から抽出した送信元情報と宛先情報との組が、前記ホワイトリストに格納された通信許可情報の送信元情報と宛先情報との組の少なくとも何れかに一致する場合に前記受信したパケットを前記スイッチ部の所望の物理ポートから出力するように前記出力先を決定する。
以上に説明した、実施形態の変形例によれば、データ端末１８の候補とされる候補データ端末１８Ａの通信要求に基づいたディレクトリサービスとルールベースとの結果に基づいて決定された識別情報を取得することができる。

（第４の実施形態）
第４の実施形態について説明する。前述の第１の実施形態は、第２規則を第２記憶部１１５２に、第３規則を第３記憶部１１５３に、第４規則を第４記憶部１１５４に分割して記憶させるとともに、それに対応させて、ＭＬＢテーブル１１２４とＱｏＳテーブル１１２６とルーティングテーブル１１２５とによる処理を実施する場合を例示した。本実施形態では、これに代えて、第３規則と第４規則を統合してＱｏＳテーブル兼用のルーティングテーブル１１２５として構成することで、第４記憶部１１５４とＱｏＳテーブル１１２６を不要としたｅＭＬＢＲ１１を図２４に例示する。図２４は、本実施形態のｅＭＬＢＲ１１を示す図である。図２５は、前述の図１５と図１６に代えて、本実施形態におけるＱｏＳの設定について説明するための図である。

比較例とする一般的なルータのルーティングテーブルでは、宛先ネットワークアドレスまたは宛先ＩＰアドレスのみを記述する。

これに対し、本実施形態の通信システム１は、ＯｐｅｎＦｌｏｗなどのＳＤＮ技術を用いることにより、経路情報を示すルーティングテーブルに送信元ＩＰアドレスなどの送信元の情報をマッチ条件として規定できる。すなわち、前述の実施形態の説明では、ＱｏＳテーブル１１２６とルーティングテーブル１１２５とを分けていたが、本実施形態の通信システム１では、両者を合体してＱｏＳテーブル兼用のルーティングテーブル１１２５として構成する実施例について説明する。

図２５に示すように、パケットタイプテーブル１１２２にてＩＰｖ４パケットと判定されると（図２５下段）、ＭＬＢテーブル１１２４に遷移し、アドレスが詐称された偽装パケットではないかが判定され、偽装パケットでないと判定されると、ＱｏＳテーブル兼用のルーティングテーブル１１２５に遷移する。同テーブルでは上から順にマッチ条件の照合が実施され、ＩｏＴ機器からの送信パケット(Ipv4_src 192.168.3.250)（図２５上段）であり、その宛先アドレスが所定の通信相手(Ipv4_dst 192.168.6.10)であるならば、ActionにてＴＴＬ（Time To Live）を１減算した上で、ＭＡＣフレームが生成され、スイッチ部１１２のポート６から出力される。ＩｏＴ機器から送信されたパケットの宛先アドレスが上記以外の宛先アドレスを示すパケットは廃棄される（図２５上から２段目）。

一方、ＩｏＴ機器宛(Ipv4_dst 192.168.3.250)のパケット（図２５上から３段目）は、その送信元アドレスが所定の通信相手(Ipv4_src 192.168.6.10)であれば、同様にＭＡＣフレームが生成されスイッチ部１１２のポート３から出力される。ＩｏＴ機器宛に送られたパケットの送信元アドレスが上記以外の送信元アドレスのパケットは廃棄される（図２５上から４段目）。他のパケットについては、各々の宛先アドレスに基づいて、所定の各ポートから出力される（図２５下段）。

（ＩｏＴ機器のセキュリティ対策に係る処理）
図２６は、本実施形態のｅＭＬＢＲ１１におけるＩｏＴ機器のセキュリティ対策に係る処理の手順を示すフローチャートである。図２６は、前述の図１１Ｂに代わるものであり、前述の図１１Ｂと同じ処理には同じ符号を附す。

図１１Ａに示すＳ１０５とＳ１１１の処理が行われ、Ｓ１１１の判定により通信相手を限定する対象装置等の特定情報を含むものではないと判定された場合、図２６に示すようにＳ１２１からＳ１３２の処理が実施される。

Ｓ１３２の処理を終えた後、又は、Ｓ１３１の判定により特定された対象の通信相手の識別情報を含むものではないと判定された場合、ＷＬ管理部１１１３は、ルーティングテーブルに追加する経路情報（要素）を生成する条件を満たすか否かを判定する（Ｓ１４１Ａ）。

Ｓ１４１Ａの判定により、ルーティングテーブルに追加する経路情報（要素）を生成する条件を満たすと判定された場合、出力制御部１１１４は、ＷＬ管理部１１１３によって通信相手許可条件を満たすと判定された通信の経路を指定する経路情報を生成する。例えば、ＷＬ管理部１１１３は、Ｓ１２２とＳ１３２において識別情報がそれぞれ生成された段階で、経路情報を生成する条件を満たすと判定する。

次に、出力制御部１１１４は、生成した経路情報が、第３記憶部１１５３に第３規則として登録されているか否かを判定する（Ｓ１６１Ａ）。生成した経路情報が第３記憶部１１５３に登録されていないと判定した場合、出力制御部１１１４は、生成した経路情報を第３記憶部１１５３に書き込み、第３規則として追加して更新する（Ｓ１６２Ａ）。上記通り、経路情報の追加に伴う第３規則の変更が実施される毎に、出力制御部１１１４は、フロー変更出力部１１１８を介して、新たな第３規則の情報をスイッチ部１１２に送信する。

一方、Ｓ１４１の判定によりルーティングテーブルに追加する経路情報（要素）を生成する条件を満たしていないと判定された場合、Ｓ１６１Ａの判定により生成した経路情報が第３記憶部１１５３に登録されていると判定した場合、又はＳ１６２Ａの処理を終えた場合、出力制御部１１１４は、所定期間が経過した経路情報が有るか否かを判定する（Ｓ１７１Ａ）。例えば、出力制御部１１１４は、第３記憶部１１５３に登録されている経路情報のうち、経路情報に対応する通信が所定期間発生しなかった場合、つまり、上記通信のパケットが到来しない状態になった後、或いは、到来しなくなって所定期間が経過した後、第３記憶部１１５３に格納されている第３規則のうちから、上記場合の経路情報を削除する（Ｓ１７２Ａ）。上記通り、経路情報の削除に伴う第３規則の変更が実施される毎に、出力制御部１１１４は、フロー変更出力部１１１８を介して、新たな第３規則の情報をスイッチ部１１２に送信する。

ｅＭＬＢＲ１１のスイッチ部１１２は、更新された第３記憶部１１５３を用いて転送処理を実施する。

以上に説明した実施形態によれば、上記の第１の実施形態と同様の効果を奏するものに加え、出力制御部１１１４は、ＷＬ管理部１１１３により生成された通信許可情報（通信許可条件）に基づいて、データ端末１８からホストＡなどの通信相手宛の通信と、ホストＡなどの通信相手からデータ端末１８宛の通信とに分けて、スイッチ部からの出力先を決定する経路情報を生成し、ルーティングテーブル１１２５の要素に含めることにより、第３規則と第４規則とを統合して、ＱｏＳテーブル兼用のルーティングテーブル１１２５として構成することができる。

（第５の実施形態）
第５の実施形態について説明する。前述の第１の実施形態は、第２規則を第２記憶部１１５２に、第３規則を第３記憶部１１５３に、第４規則を第４記憶部１１５４に分割して記憶させるとともに、それに対応させて、ＭＬＢテーブル１１２４とＱｏＳテーブル１１２６とルーティングテーブル１１２５とによる処理を実施する場合を例示した。本実施形態では、これに代えて、第３規則と第４規則を統合してＱｏＳテーブル兼用のルーティングテーブル１１２５として構成することで、第４記憶部１１５４とＱｏＳテーブル１１２６を不要とし、さらに、ＭＬＢテーブル１１２４を不要としたｅＭＬＢＲ１１を図２６に例示する。

図２７は、本実施形態のｅＭＬＢＲ１１を示す図である。図２８は、前述の図１５と図１６に代えて、本実施形態におけるＱｏＳの設定について説明するための図である。

なお、本実施形態の場合、前述の図１１Ａに示す処理からＳ１１１からＳ１１８の処理を削除し、図１１Ｂに代えて、図２６に示す処理の手順を参照する。

以上に説明した、実施形態によれば、ＭＬＢテーブルがないため偽装パケットを防ぐことはできないが、前述の実施形態と同様にＩｏＴ機器であるデータ端末１８の通信相手を限定することができる。
なお、図２８のＱｏＳテーブル兼用のルーティングテーブル１１２５の上段（from IoT）のマッチ条件として、端末１８の接続ポート識別子やＭＡＣアドレスを付加してもよい。この場合は、ＱｏＳテーブル兼用のルーティングテーブルに、さらにＭＬＢテーブル兼用を付加したＭＬＢテーブル及びＱｏＳテーブル兼用のルーティングテーブル１１２５を構成することになり、ＩｏＴ機器を偽装したパケットを遮断することができる。

例えば、マルウェアに感染したＩｏＴ機器が、他のＩｏＴ機器を探し出そうとする所謂探索パケットを総当たりで送信して新たな感染先を増やそうとする場合であっても、探索パケットを受信することによる自ＩｏＴ機器へのマルウェアの感染を防止できる。また、例えマルウェアがＩｏＴ機器の製造工程などで埋め込まれていて、Ｃ＆Ｃサーバへのアクセスを試みようと作用しても、ｅＭＬＢＲ１１は、ＩｏＴ機器からＣ＆Ｃサーバへの通信を遮断できる。通信システム１は、このように作用するため、通信システム１に接続されたＩｏＴ機器のサイバー攻撃への加担を防止できる、あるいは通信システム１内への攻撃を防止できるなど、ルーティングテーブル１１２５をＱｏＳテーブル１１２６と、あるいはＭＬＢテーブルとに分けて構成した場合と同じ効果を得ることができる。

以上説明した少なくともひとつの実施形態によれば、通信制御装置は、複数の物理ポートを有するスイッチ部から得た情報に基づいてスイッチ部を制御する制御情報を生成する通信制御装置であって、スイッチ部を介する通信において、通信相手を限定して通信する対象装置又は対象装置による通信の少なくとも何れかを特定する特定情報を取得する特定情報取得部と、特定情報に基づいて特定される通信を識別する識別情報を取得する識別情報取得部と、前記スイッチ部が受信したパケットに付与されている送信元情報と宛先情報との組が、前記識別情報に基づいて決定される送信元情報と宛先情報との組に含まれる通信は許可するものとして転送するように、前記スイッチ部が受信したパケットについての前記スイッチ部からの出力先を決定する経路情報を生成して、前記経路情報を前記制御情報に含める出力制御部と、を備えることにより、ＩｏＴ機器のセキュリティ対策を簡易な方法で実施することができる。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。

例えば、上記の実施形態の説明では、ＭＬＢＲ１０等のスイッチ部が攻撃パケットを“廃棄する”こととして説明したが、ＭＬＢＲ１０等は、当該パケットを、各スイッチ部内で廃棄せずに、特定のポートから外部記憶装置に出力して格納させてもよい。

また、上記の実施形態の説明では、ＩＰｖ４プライベートアドレスを用いたが、本発明は、これに限定するものではなく、ＩＰｖ４のプライベートＩＰアドレスとグローバルＩＰアドレスとで通信許可情報を構成してもよく、あるいはＩＰｖ４のグローバルＩＰアドレスで通信許可情報を構成してもよく、あるいはＩＰｖ６アドレスで通信許可情報を構成してもよく、さらにレイヤ２アドレス（ＭＡＣアドレス）で通信許可情報を構成してもよい。
さらに、ＭＬＢテーブルもしくはＱｏＳテーブル、ＱｏＳ兼用のルーティングテーブルなどに、通信相手との間で使用するレイヤ４のポート番号を付加してもよい。これにより、例えＩｏＴ機器の製造段階などでＩｏＴ機器にバックドアが埋め込まれていても、バックドアからの不正侵入を防ぐことができ、さらにＩｏＴ機器のセキュリティ性を高められる。

なお、上記の実施形態の説明では、端末装置１７がＩＤＳ／ＩＰＳを備えるものとして説明したが、ｅＭＬＢＲ１１又はｉＭＬＢＲ１２がＩＤＳ／ＩＰＳを備えるように構成してもよい。この場合、ｅＭＬＢＲ１１又はｉＭＬＢＲ１２は、端末装置１７のＩＤＳ／ＩＰＳに代えて、ｅＭＬＢＲ１１又はｉＭＬＢＲ１２が備えるＩＤＳ／ＩＰＳの検出結果を取得するように構成する。

１、２、３、４…通信システム、１０…ＭＬＢＲ、１１…ｅＭＬＢＲ、１２…ｉＭＬＢＲ、１３…ｂＭＬＢＲ、１４…中継装置、１５…管理ホスト、１７…端末装置、１８…データ端末、１１１…コントローラ（制御部）、１１２…スイッチ部、１１３、１１４…ＩＦ部、１１５…記憶部、ＮＷ、ＮＷ１、ＮＷ３、ＮＷ４…ネットワーク

Claims

通信相手を限定して通信する対象装置を収容し、前記対象装置の通信に関わるパケットの転送を制御するスイッチ部
を備え、
前記スイッチ部は、
前記対象装置から送信されたパケットであることを識別するための第１識別情報を格納した第１テーブルと、
前記第１テーブルにより前記対象装置から送信されたパケットであると判定した第１パケットについて、前記第１パケットの送信先が前記通信相手であることを識別するための第２識別情報を格納した第２テーブルと、
前記対象装置宛に送信されたパケットの宛先アドレス情報を少なくとも用いて当該パケットを識別するための第３識別情報を格納した第３テーブルと、
前記第３テーブルにより前記対象装置宛に送信されたパケットであると判定した第２パケットについて、前記第２パケットの送信元が前記通信相手であることを識別するための第４識別情報を格納した第４テーブルと、
を備え、
前記第１テーブルにより識別し、その後前記第２テーブルにより送信先が前記通信相手であると判定した前記第１パケットを前記通信相手に向けて転送し、
前記第３テーブルにより識別し、その後前記第４テーブルにより送信元が前記通信相手であると判定した前記第２パケットを前記対象装置に向けて転送し、
前記第２テーブルによる判定の結果、または前記第４テーブルによる判定の結果に基づいて、前記転送を許可しないと判定したパケットを廃棄する、
通信装置。
前記第２識別情報と前記第４識別情報は、少なくともレイヤ２のアドレスと、レイヤ３のアドレスとの何れかを要素に含み、又は前記要素に更にレイヤ４のポート番号を含み、
前記第１識別情報は、少なくともレイヤ１の識別子と、レイヤ２の送信元アドレスと、レイヤ３の送信元アドレスとの何れかを含む、
請求項１に記載の通信装置。
少なくとも前記対象装置から自通信装置に向けたパケット又は前記対象装置から自通信装置に向けた通信において使用される通信プロトコルを監視した結果と、前記対象装置から前記通信相手に向けたパケット又は前記対象装置から前記通信相手に向けた通信で使用される通信プロトコルを監視した結果と、自通信装置の情報と前記対象装置の情報とを管理する管理装置より取得する情報との何れかに基づいて、前記第１識別情報、前記第２識別情報、前記第３識別情報、及び前記第４識別情報のうちの一部又は全部を取得して、前記スイッチ部による前記通信の制御に利用する識別情報取得部
を備える請求項２記載の通信装置。
前記スイッチ部の各テーブルは、
前記第１テーブル、前記第２テーブル、前記第３テーブル、及び前記第４テーブルの夫々が分割して構成され、又は、
前記第１テーブル、前記第２テーブル、前記第３テーブル、及び前記第４テーブルのうち、少なくとも前記第２テーブル及び前記第４テーブルが統合して構成される、
請求項１から請求項３の何れか１項に記載の通信装置。