JP7028025B2 - 情報処理システム、エッジ装置、および情報処理方法 - Google Patents

Description

本発明は、情報処理システム、エッジ装置、および情報処理方法に関する。

近年、あらゆるモノがネットワークに接続されるＩｏＴ（Internet of things）が提唱されている。ＩｏＴの世界では、身近な家電から工場機器まであらゆる機器がネットワークに接続され、クラウドから遠隔管理される。たとえば、農業関連では、土中の温湿度や耕作地域の気象情報をセンサから取得し、クラウド上で取得したデータを統計分析することで最適な肥料や水分量を決定する農業支援サービスがある。農場以外でも工場の生産性拡大や自然災害の予測といった様々なシーンにおいてＩｏＴの活用が検討されている。

ＩｏＴシステムは、一般的には、クラウド、エッジ装置、およびデバイス等のいくつかのＩｏＴ機器で構成される。通常、クラウドからデバイスへいくにつれて、ＣＰＵ（Central Processing Unit）やメモリといったコンピュータリソースは、段階的に弱くなっていくとされている。従って、ＩｏＴ機器には、種類に応じて処理できる能力が制限される。また、それぞれのＩｏＴ機器は、ＩｏＴのユースケースに応じて、有線または無線のネットワークに接続され、ＩｏＴ機器間で通信が行われる。このように、ＩｏＴでは、管理しなければならないＩｏＴ機器（エッジ装置やデバイス）数が数十億～数百億にもなるとも言われている。

そこで、膨大なＩｏＴ機器を管理するために、ＩＣＴ（Information and communication technology）技術をベースとして、クラウドによりＩｏＴシステムに接続される機器を遠隔管理する技術や、機器がＩｏＴシステムに接続されたことをリアルタイムに検知し、機器の初期設定を自動的に実施する技術が必要とされている。

また、セキュリティに関してもＩｏＴではこれまでのＩＣＴとは状況が異なり、膨大な数の機器をクラウドで運用管理できることに加え、機器毎に異なるセキュリティポリシーを設定できる技術が必要とされている。

そこで、たとえば、特許文献１には、ネットワークスイッチ等のネットワーク機器が、送受信する通信内容（たとえば、ヘッダ情報）を覚えておき、ホワイトリスト等のセキュリティポリシーを自動的に生成する技術が示されている。

この技術をＩｏＴに応用した場合、エッジ装置で通信内容を覚える期間中に、つまり、学習期間中に発生した通信のみを許可するホワイトリストを自動的に生成し、クラウド－デバイス間の通信制御をすることが可能となる。

また、学習時とは異なり、運用時にホワイトリストと一致しない通信が発生した場合は攻撃者による攻撃やＩｏＴ機器の操作ミスによる通信とみなし、通信遮断することで、ＩｏＴシステムのセキュリティを担保することが可能となる。

また、利用者観点に立ってみても、利用者が学習開始と学習終了の設定をすれば、ホワイトリストの記述ルールといった機器固有のルールを知る必要はなく、自動的にホワイトリストを生成できることにより、管理を容易にすることが可能となる。

特許文献２には、パケット転送装置が受信したパケットの宛先へのネクストホップが、転送テーブルが示すＩＰアドレス及びＭＡＣアドレスと一致しない場合、受信したパケットを破棄する技術が記載されている。ＩＰはInternet Protocolの略であり、ＭＡＣはMedia Access Controlの略である。

特許文献３には、ルール再設計部は、既に「データ内容」の項目のパラメータ値が削除済でない場合、抽出したルールから「データ内容」の項目のパラメータ値を削除して（“any”に置き換え）ホワイトリスト案を書き換える技術が記載されている。

特許文献４には、システム更新時の作業の改善およびウィルス混入時の対応の軽減化を図るために、ウィルスチェックにより安全と認定されたファイルに関する情報をあらかじめ登録するマスタファイルリストを、ホワイトリストとは別に設ける技術が記載されている。

特開２０１７－００５４０２号公報 特開２０１７－１３０９６３号公報 特開２０１６－１７１４４９号公報 特開２０１４－１３７６６１号公報

しかしながら、特許文献１の技術をＩｏＴに応用してセキュリティポリシーを自動生成する方法には、学習がいつ完了したか分からないという課題がある。実際にセキュリティポリシーの自動生成を動作させる場合、生成されたセキュリティポリシーが生成途中なのか、完成したのかが明確に判断できなければならない。また、完成したと明確に判断するためには、ＩｏＴシステムを構成する膨大な数の機器情報や通信情報に対する深い知識が必要となる。さらに、自動生成期間中はすべての通信が許可されるため、自動生成状態をいたずらに継続してしまうと、セキュリティレベルが低い状態が継続し、意図しない通信が許可されてしまう虞がある。

本発明は、上記課題を解決するためになされたものであり、セキュリティレベルを維持しつつ、人手を介すことなく、ホワイトリストの自動生成を確実に終了させることができる技術を提供することを目的とする。

本発明の情報処理システムは、分散処理を行うエッジ装置と前記エッジ装置を管理する統合管理装置とを備える情報処理システムであって、前記統合管理装置は、前記エッジ装置におけるセキュリティポリシーの自動生成に先だって、仮の前記セキュリティポリシーである仮セキュリティポリシーを生成し、前記エッジ装置は、前記仮セキュリティポリシーを前記統合管理装置から受信し、前記自動生成の期間中、前記仮セキュリティポリシーのエントリと、前記エッジ装置がネットワークまたはデバイスから受信する受信パケットとを比較し、前記受信パケットに含まれる情報を含む前記エントリが存在する場合には当該エントリを前記セキュリティポリシーに登録し、前記情報を含む前記エントリが存在しない場合には当該受信パケットを含む通信を遮断し、前記仮セキュリティポリシーのすべての前記エントリについて前記比較が終了した場合に前記自動生成を停止する。

本発明のエッジ装置は、分散処理を行うエッジ装置であって、前記エッジ装置におけるセキュリティポリシーの自動生成に先だって、仮の前記セキュリティポリシーである仮セキュリティポリシーを取得し、前記仮セキュリティポリシーを前記統合管理装置から受信し、前記自動生成の期間中、前記仮セキュリティポリシーのエントリと、前記エッジ装置がネットワークまたはデバイスから受信する受信パケットとを比較し、前記受信パケットに含まれる情報を含む前記エントリが存在する場合には当該エントリを前記セキュリティポリシーに登録し、前記情報を含む前記エントリが存在しない場合には当該受信パケットを含む通信を遮断し、前記仮セキュリティポリシーのすべての前記エントリについて前記比較が終了した場合に前記自動生成を停止する。

本発明の情報処理方法は、分散処理を行うエッジ装置と前記エッジ装置を管理する統合管理装置とを備える情報処理システムの情報処理方法であって、前記統合管理装置は、前記エッジ装置におけるセキュリティポリシーの自動生成に先だって、仮の前記セキュリティポリシーである仮セキュリティポリシーを生成し、前記エッジ装置は、前記仮セキュリティポリシーを前記統合管理装置から受信し、前記自動生成の期間中、前記仮セキュリティポリシーのエントリと、前記エッジ装置がネットワークまたはデバイスから受信する受信パケットとを比較し、前記受信パケットに含まれる情報を含む前記エントリが存在する場合には当該エントリを前記セキュリティポリシーに登録し、前記情報を含む前記エントリが存在しない場合には当該受信パケットを含む通信を遮断し、前記仮セキュリティポリシーのすべての前記エントリについて前記比較が終了した場合に前記自動生成を停止することを特徴とする。

本発明によれば、セキュリティレベルを維持しつつ、人手を介すことなく、ホワイトリストの自動生成を確実に終了させることができる。

本発明の第１の実施形態に係る情報処理システムの構成例を示すブロック図である。 図１に示される情報処理システムの動作例（情報処理方法）を説明するためのフローチャートである。 本発明の第２の実施形態に係る情報処理システムの構成例を示すブロック図である。 図３に示す情報処理システムで用いられる、ホワイトリストおよび仮ホワイトリストの基本構成例を示すデータ構成図である。 図４に示すホワイトリストエントリの基本構成例を示すデータ構成図である。 図３に示す情報処理システムの第１動作例（統合管理装置からのアプリケーション配信）を説明するためのフローチャートである。 図５に示す情報処理システムの第２動作例（統合管理装置上での仮ホワイトリストの生成）を説明するためのフローチャートである。 配信されるアプリケーションのネットワーク情報の内容例を示すデータ内容図である。 エッジ装置のネットワーク情報の内容例を示すデータ内容図である。 仮ホワイトリストに含まれるホワイトリストエントリの構成例を示すデータ構成図である。 図３に示す情報処理システムの第３動作例（エッジ装置上でのホワイトリストの自動生成処理）を説明するためのフローチャートである。 自動生成された最終的なホワイトリストに含まれるワイトリストエントリの構成例を示すデータ構成図である。 本発明の第３の実施形態に係るエッジ装置の構成例を示すブロック図である。 管理する内容をアプリケーション名やＦＱＤＮにする場合にホワイトリストに含まれるワイトリストエントリの構成例を示すデータ構成図である。

［第１の実施形態］
（構成の説明）
図１は、本発明の第１の実施形態の情報処理システム１０の構成例を示すブロック図である。情報処理システム１０は、分散処理を行うエッジ装置１２とエッジ装置１２を管理する統合管理装置１４とを備える。

統合管理装置１４は、エッジ装置１２におけるセキュリティポリシーの自動生成に先だって、仮のセキュリティポリシーである仮セキュリティポリシーを生成する。作成された仮セキュリティポリシーは、エッジ装置１２に送信される。

エッジ装置１２は、仮セキュリティポリシーを統合管理装置１４から受信する。エッジ装置１２は、セキュリティポリシーの自動生成を開始する。エッジ装置１２は、自動生成の期間中、仮セキュリティポリシーのエントリと受信パケットとを比較する。エッジ装置１２は、受信パケットに含まれる情報を含むエントリが存在する場合には当該エントリをセキュリティポリシーに登録し、上記情報を含むエントリが存在しない場合には当該受信パケットを含む通信を遮断する。エッジ装置１２は、仮セキュリティポリシーのすべてのエントリに対して、上記比較処理が終了したか否かを判定し、終了した場合に自動生成を停止する。
（動作の説明）
図２は、図１に示す情報処理システム１０の動作例（情報処理方法）を説明するためのフローチャートである。

統合管理装置１４は、エッジ装置１２におけるセキュリティポリシーの自動生成に先だって、仮セキュリティポリシーを生成する（ステップＳ１）。統合管理装置１４は、作成した仮セキュリティポリシーをエッジ装置１２に送信する（ステップＳ２）。

エッジ装置１２は、仮セキュリティポリシーを統合管理装置１４から受信する（ステップＳ３）。エッジ装置１２は、セキュリティポリシーの自動生成を開始する。

エッジ装置１２は、自動生成の期間中、他の装置（たとえば、ネットワークやデバイス）から、パケットを受信する。エッジ装置１２は、仮セキュリティポリシーのエントリと受信パケットとを比較する。エッジ装置１２は、受信パケットに含まれる情報を含むエントリが存在する場合には当該エントリをセキュリティポリシーに登録し、上記情報を含むエントリが存在しない場合には当該受信パケットを含む通信を遮断する（ステップＳ４）。

次いで、エッジ装置１２は、仮セキュリティポリシーのすべてのエントリについて上記比較処理（ステップＳ４の処理）が終了したか否かを判定する（ステップＳ５）。エッジ装置１２は、終了していない場合（ステップＳ５においてＮｏ）にはステップＳ４の処理を再度実行し、終了している場合（ステップＳ５においてＹｅｓ）には自動生成を停止する（ステップＳ６）。

なお、第１の実施形態の情報処理システムの構成および動作については以下で示す第２の実施形態にて詳細に説明する。
（効果の説明）
以上説明した第１の実施形態では、セキュリティポリシーの自動生成期間中であっても、仮セキュリティポリシーに基づく通信の正当性判定（ホワイトリストエントリと受信パケットとの比較）が実施される。さらに、仮セキュリティポリシーのすべてのエントリがいずれかの受信パケットに含まれる情報を含む場合に自動生成は停止される。しかも、これらの処理は、情報処理システム１０内で自動的に実行される。

従って、第１の実施形態によれば、セキュリティレベルを維持しつつ、人手を介すことなく、セキュリティポリシーの自動生成を確実に終了させることができる。
［第２の実施形態］
（構成の説明）
図３は、本発明の第２の実施形態に係る情報処理システム１００の構成例を示すブロック図である。情報処理システム１００は、図１に示す情報処理システム１０を基本とする構成を含む。情報処理システム１００は、たとえば、ＩｏＴシステムである。また、第２の実施形態では、セキュリティポリシーが、ホワイトリストである場合を例に挙げて説明する。

情報処理システム１００は、統合管理装置２００と、エッジ装置３００と、複数のデバイス４００と、を含む。なお、図３では、デバイス４００が３つの場合が例示されているが、デバイス４００の数は、２以下であってもよく、あるいは４以上であってもよい。

統合管理装置２００は、物理サーバや仮想マシン等のコンピュータリソースである。統合管理装置２００の物理的な設置場所は、データセンタのように集中管理されている場所でもよいし、工場などの現場であってもよい。

統合管理装置２００は、運用管理アプリケーション２１０と、仮ホワイトリスト生成部２２０とを備える。運用管理アプリケーション２１０および仮ホワイトリスト生成部２２０は、例えば、ソフトウェアアプリケーションであり、同一サーバ上または同一仮想マシン上で動作してもよいし、別サーバ上または別仮想マシン上で動作してもよい。

同一サーバ上または同一仮想マシン上で動作する場合、運用管理アプリケーション２１０と仮ホワイトリスト生成部２２０とは、ＴＣＰ／ＩＰ（Transmission Control Protocol/Internet Protocol）のような通信プロトコルまたは専用プロトコルにより互いにメッセージの送受信を行う。

また、別サーバ上または別仮想マシン上で動作する場合、運用管理アプリケーション２１０および仮ホワイトリスト生成部２２０のそれぞれが動作するサーバ間はＬＡＮ（Local Area Network）ケーブルや無線ＬＡＮ等で接続されている。そして、運用管理アプリケーション２１０と仮ホワイトリスト生成部２２０とは、ＴＣＰ／ＩＰのような通信プロトコルまたは専用プロトコルにより互いにメッセージの送受信を行う。

運用管理アプリケーション２１０は、エッジ装置３００上で動作させるアプリケーションの管理を行う。具体的には、運用管理アプリケーション２１０は、ネットワーク５００を通して、アプリケーションの配信、更新、起動、停止、再起動を行う。アプリケーションの管理を行うために、運用管理アプリケーション２１０は、それぞれのエッジ装置３００にどのアプリケーションを配信するか、および、どのエッジ装置３００に接続するかの情報も管理する。たとえば、エッジ装置３００に自社のクラウド（データセンタ上）のサービスに接続するアプリケーションを配信するために、運用管理アプリケーション２１０は、エッジ装置３００に対して、アプリケーションとともに、接続先ＩＰアドレスやＦＱＤＮといった接続先情報も同時に配信する。このように接続先情報をアプリケーションとは別にする理由としては、接続先情報をアプリケーションに埋め込んでしまうと、接続先が変更になった場合にアプリケーションの再開発コストがかかってしまうためである。なお、上記において、ＩＰはInternet Protocolの略であり、ＦＱＤＮは、Fully Qualified Domain Nameの略である。

仮ホワイトリスト生成部２２０は、連携部２２２と、生成部２２４と、通信部２２６と、を備える。

連携部２２２は、運用管理アプリケーション２１０からエッジ装置３００に配信されたアプリケーションのネットワーク情報（例えば、接続先のＩＰアドレスやＦＱＤＮについての情報）を、運用管理アプリケーション２１０から取得して記録する。

生成部２２４は、連携部２２２が記録するネットワーク情報等から、アプリケーションが配布されたエッジ装置３００についての「仮ホワイトリスト」を生成する。

通信部２２６は、生成部２２４によって生成された仮ホワイトリストをネットワーク５００経由で対象のエッジ装置３００へ配信する。

ネットワーク５００は、統合管理装置２００とエッジ装置３００とが互いに通信をするためのネットワーク網であり、例えば、広域ネットワークである。また、ネットワーク５００は、ＬＡＮやＬＰＷＡ（Low Power Wide Area）のように有線ネットワークであってもよく、あるいいは、無線ＬＡＮのように無線ネットワークであってもよい。

エッジ装置３００は、物理サーバや仮想マシン等のコンピュータリソースである。エッジ装置３００は、典型的には、マイクロサーバやコンパクトサーバといった比較的小型のＩｏＴゲートウェイである。従って、通常、エッジ装置３００のリソーススペックは、統合管理装置２００のリソーススペックよりも低い。また、エッジ装置３００の物理的な設置場所は、データセンタのように集中管理されている場所でもよいし、工場などの現場であってもよい。エッジ装置３００は、ＬＡＮ、無線ＬＡＮ、またはＺｉｇＢｅｅ（登録商標）といったネットワークインタフェースを備え、ネットワーク５００を介して、統合管理装置２００との間で、ＴＣＰ／ＩＰのような通信プロトコルまたは専用プロトコルによりメッセージの送受信を行う。

エッジ装置３００は、ホワイトリスト制御部３１０を備える。ホワイトリスト制御部３１０は、ホワイトリスト管理部３１２と、仮ホワイトリスト管理部３１４と、パケット処理部３１６と、通信部３１８と、を備える。

ホワイトリスト管理部３１２は、ホワイトリストを管理・記録する。エッジ装置３００が仮ホワイトリストからホワイトリストを自動生成する期間ではない期間（すなわち、通常の運用期間）において、ホワイトリストは、エッジ装置３００がパケットを受信した際に通信を制御するために利用される。

具体的には、ホワイトリストは、自動生成期間ではない期間にエッジ装置３００がネットワーク５００またはネットワーク５５０からパケットを受信した際に、パケット処理部３１６によって参照される。ホワイトリスト内にパケットのヘッダ情報を含むホワイトリストエントリが存在する場合、パケット処理部３１６は、ルーティングテーブルといったネットワーク設定に従ってパケットを処理する。一方、ホワイトリスト内にパケットのヘッダ情報を含むホワイトリストエントリが存在しない場合、パケット処理部３１６は、当該パケットを破棄する。

仮ホワイトリスト管理部３１４は、通信部３１８を介して統合管理装置２００から受信した仮ホワイトリストを記録する。仮ホワイトリスト管理部３１４は、ホワイトリストの自動生成時に動作する。

ホワイトリスト自動生成期間においてエッジ装置３００がパケットを受信した場合、エッジ装置３００は、次のように動作する。すなわち、仮ホワイトリスト管理部３１４は、パケット処理部３１６から当該パケットを受信する。仮ホワイトリスト管理部３１４は、仮ホワイトリストを参照する。仮ホワイトリスト内に、受信したパケットのヘッダ情報と一致する情報があれば、仮ホワイトリストから、一致する情報に対応するホワイトリストエントリ（後述）をホワイトリスト管理部３１２へ送信するとともに、仮ホワイトリストから対応するホワイトリストエントリを削除する。なお、上記において、受信したパケットのヘッダ情報と一致する情報は、たとえば、ＩＰアドレスやＭＡＣアドレスである。

また、仮ホワイトリストに、後述のリストタイムアウト値（第１タイムアウト値の一例）が設定されている場合、仮ホワイトリスト管理部３１４は、自動生成が開始されてからの経過時間がリストタイムアウト値に到達した場合、当該リストタイムアウト値を含む仮ホワイトリストを削除する。

また、仮ホワイトリスト内のホワイトリストエントリに、後述するエントリタイムアウト値（第２タイムアウト値の一例）が設定されている場合、仮ホワイトリスト管理部３１４は、自動生成が開始されてからの経過時間がエントリタイムアウト値に到達した場合、当該エントリタイムアウト値を含むホワイトリストエントリを削除する。

パケット処理部３１６は、エッジ装置３００がネットワーク５００を経由して統合管理装置２００からパケットを受信する場合、または、ネットワーク５５０を経由してデバイス４００からパケットを受信する場合、受信したパケットを処理する。具体的には、ホワイトリストの自動生成期間において、パケット処理部３１６は、受信したパケットを仮ホワイトリスト管理部３１４へ送信する。一方、ホワイトリストの自動生成期間以外では、パケット処理部３１６は、ホワイトリストを参照して受信したパケットのヘッダ情報との一致判定を行った後、エッジ装置３００内のネットワーク設定（例えば、ルーティングテーブル）に従って受信したパケットを処理する。

通信部３１８は、統合管理装置２００の通信部２２６との間で情報をやり取りする。通信部３１８は、統合管理装置２００からネットワーク５００経由で仮ホワイトリストを受信し、仮ホワイトリスト管理部３１４へ出力する。

ネットワーク５５０は、エッジ装置３００とデバイス４００とが互いに通信するためのネットワーク網である。ネットワーク５５０は、例えば、ＬＡＮ、ＵＳＢ、またはシリアル通信等の有線ネットワークでもよく、あるいは、Ｂｌｕｅｔｏｏｔｈ（登録商標）、９２０ＭＨｚ帯の独自プロトコル無線等の無線ネットワークでもよい。上記において、ＵＳＢは、universal serial busの略である。

デバイス４００は、たとえば、センサやアクチュエータである。デバイス４００は、ＬＡＮケーブルや無線ＬＡＮといったネットワークインタフェースを備えており、ＴＣＰ／ＩＰのような通信プロトコル、または専用プロトコルによりメッセージの送受信を行う。デバイス４００がセンサである場合、デバイス４００は、取得したデータをネットワーク５５０経由でエッジ装置３００へ送信する。デバイス４００がアクチュエータである場合、デバイス４００は、ネットワーク５５０を経由してエッジ装置３００から受信したデータの内容に従って動作する。

図４は、情報処理システム１００で用いられる、ホワイトリストおよび仮ホワイトリストの基本構成例を示すデータ構成図である。ホワイトリストおよび仮ホワイトリストは、ホワイトリストエントリを含む。ホワイトリストエントリの数は状況に応じて変化する。例えば、ホワイトリストを自動生成している間、ホワイトリスト内のホワイトリストエントリの数は徐々に増加し、反対に、仮ホワイトリスト内のホワイトリストエントリの数は徐々に減少する。また、ホワイトリストの自動生成が完了した後、ホワイトリスト内のホワイトリストエントリの数は一定となり、一方、仮ホワイトリスト内のホワイトリストエントリの数はゼロとなる。

仮ホワイトリストは、さらに、前述したリストタイムアウト値（図４において破線で表示）を含む場合がある。

図５は、ホワイトリストおよび仮ホワイトリストに含まれるホワイトリストエントリの基本構成例を示すデータ構成図である。なお、各データフィールド、例えば、ＳＲＣ（Source：送信元）やＭＡＣの数および項目は図５の記載に限定されない。たとえば、ＵＳＢデバイスを管理するホワイトリストの場合、データフィールドに、ベンダーＩＤやプロダクトＩＤ等が追加されてもよい。また、アプリケーションを管理するホワイトリストの場合、データフィールドに、アプリケーション名や、宛先ＩＰに代えて宛先ＦＱＤＮ等が追加されてもよい。

ホワイトリストエントリが仮ホワイトリストに含まれる場合、ホワイトリストエントリは、さらに、エントリタイムアウト値（図５において破線で表示）を含む場合がある。
（動作の説明）
図６は、図３に示す情報処理システム１００の第１動作例（統合管理装置２００からのアプリケーション配信）を説明するためのフローチャートである。

運用管理アプリケーション２１０は、エッジ装置３００で動作させるアプリケーションをエッジ装置３００へ配信する（ステップＳ１０）。さらに、運用管理アプリケーション２１０は、エッジ装置３００で動作させるアプリケーションに対応するネットワーク情報をエッジ装置３００へ配信する（ステップＳ１１）。運用管理アプリケーション２１０は、アプリケーションＡをエッジ装置３００上で起動させる（ステップＳ１２）。

起動後、エッジ装置３００上のアプリケーションは、ネットワーク情報に従って通信を行うことができるようになる。ただし、この時点において、ホワイトリストにはアプリケーションが通信可能となるホワイトリストエントリが存在しない。従って、この段階での通信は失敗に終わる。以降で説明する手順により、ホワイトリストが生成（すなわち、１以上のホワイトリストエントリの登録）されたのちに通信ができるようになる。

図７は、図３に示す情報処理システム１００の第２動作例（統合管理装置２００上での仮ホワイトリストの生成）を説明するためのフローチャートである。

連携部２２２は、運用管理アプリケーション２１０から、配信されたアプリケーションのネットワーク情報（図８参照）とエッジ装置３００のネットワーク情報（図９参照）とを取得する（ステップＳ２０）。

生成部２２４は、連携部２２２が取得した各ネットワーク情報から仮ホワイトリストを生成する（ステップＳ２１）。具体的には、ホワイトリストエントリ（図１０参照）の宛先ＩＰアドレス（DST IP）は、配信されたアプリケーションのネットワーク情報（図８参照）に基づいて「X.X.X.X」に決定される。また、宛先ポート番号（DST TCP/UDP）は、ネットワーク情報も基づいて「WW」と決定される。仮ホワイトリストは、上記のようにして生成されたホワイトリストエントリを含む。

さらに、生成部２２４は、エッジ装置３００のネットワーク情報（図９参照）に基づいて、送信インターフェース（OUT I/F）を「インターフェース１」とする情報を、上記ホワイトリストエントリに加える。。

生成部２２４は、生成した仮ホワイトリストを、通信部２２６を経由してホワイトリスト制御部３１０へ送信する（ステップＳ２２）。

図１１は、図３に示す情報処理システム１００の第３動作例（エッジ装置３００上でのホワイトリストの自動生成処理）を説明するためのフローチャートである。

仮ホワイトリスト管理部３１４は、通信部３１８等を介して、仮ホワイトリスト生成部２２０から仮ホワイトリストを受信する（ステップＳ３０）。

仮ホワイトリスト管理部３１４は、ホワイトリストの自動生成を開始する（ステップＳ３１）。仮ホワイトリスト管理部３１４は、自動生成の開始と同時にタイマ（図３において不図示）の計時を開始する。なお、自動生成の開始トリガは、手動トリガであっても自動トリガであってもよい。手動トリガは、例えば、作業員等の直接操作を契機とするものである。一方、自動トリガは、例えば、仮ホワイトリストの受信を契機とするものである。また、開始トリガは、エッジ装置３００以外の装置、例えば、統合管理装置２００からの遠隔指示であってもよい。

ホワイトリストの自動生成期間にパケットを受信した場合、パケット処理部３１６は、パケット受信処理を実行する（ステップＳ３２）。具体的には、パケット処理部３１６は、受信したパケットを仮ホワイトリスト管理部３１４へ送信する。

仮ホワイトリスト管理部３１４は、受信したパケットのヘッダ情報と仮ホワイトリストのホワイトリストエントリとを比較する（ステップＳ３３）。

パケットのヘッダ情報を含むホワイトリストエントリが存在する場合（ステップＳ３４のＹｅｓ）、仮ホワイトリスト管理部３１４は、当該ホワイトリストエントリを、ホワイトリストに登録するべく（ステップＳ３５）、ホワイトリスト管理部３１２へ送信する。この時、仮ホワイトリスト管理部３１４は、当該ホワイトリストエントリに欠落している情報があり、且つその情報がパケットのヘッダ情報に存在する場合、当該情報を収集して当該ホワイトリストエントリに反映させる。さらに、仮ホワイトリスト管理部３１４は、当該ホワイトリストエントリを仮ホワイトリストから削除する（ステップＳ３５）。この後、仮ホワイトリスト管理部３１４は、ステップＳ３７の処理を実行する。

一方、パケットのヘッダ情報を含むホワイトリストエントリが存在しない場合（ステップＳ３４のＮｏ）、仮ホワイトリスト管理部３１４は、受信したパケットを破棄することにより、当該パケットを含む通信を遮断する（ステップＳ３６）。この後、仮ホワイトリスト管理部３１４は、ステップＳ３２の処理を再度実行する。

仮ホワイトリスト管理部３１４は、タイムアウトが成立したか否かを判定する（ステップＳ３７）。具体的には、仮ホワイトリスト管理部３１４は、タイマの計時結果（自動生成が開始されてからの経過時間）を取得する。仮ホワイトリスト管理部３１４は、計時結果が、仮ホワイトリストに設定されているリストタイムアウト値（図４参照）の時間、もしくは、仮ホワイトリストに含まれるホワイトリストエントリに設定されているエントリタイムアウト値（図５参照）に設定された時間に到達しているかを判定する。

タイムアウトが成立していない場合（ステップＳ３７のＮｏ）、仮ホワイトリスト管理部３１４は、ステップＳ３９の処理を実行する。

一方、タイムアウトが成立した場合（ステップＳ３７のＹｅｓ）、仮ホワイトリスト管理部３１４は、タイムアウト処理を実行する（ステップＳ３８）。タイムアウト処理は、具体的には、計時結果がリストタイムアウト値の時間に到達した場合には当該リストタイムアウト値を含む仮ホワイトリストを削除し、計時結果がエントリタイムアウト値の時間に到達した場合には当該エントリタイムアウト値を含むホワイトリストエントリを削除する処理である。

リストタイムアウト値とエントリタイムアウト値の設定方法は任意である。例えば、いずれか一方のタイムアウト値のみが設定されてもよいし、両方のタイムアウト値が設定されてもよい。両方のタイムアウト値を設定する場合、たとえば、リストタイムアウト値をエントリタイムアウト値よりも長くすることにより制御を簡素化させることができる。

仮ホワイトリスト管理部３１４は、仮ホワイトリストのホワイトリストエントリの数がゼロであるか（仮ホワイトリストのすべてのホワイトリストエントリの、ホワイトリスト管理部３１２への送信完了）、タイムアウトにより仮ホワイトリストが削除されたかを判定する（ステップＳ３９）。

数がゼロであるか、仮ホワイトリストが削除された場合（ステップＳ３９のＹｅｓ）、仮ホワイトリスト管理部３１４は、自動生成を終了させる（ステップＳ４０）。一方、仮ホワイトリストが削除されておらず、且つ内包されるホワイトリストエントリの数がゼロでない場合（ステップＳ３９のＮｏ）、仮ホワイトリスト管理部３１４は、ステップＳ３２の処理を再度実行する。

図１２は、自動生成が完了した時点でのホワイトリストの構成例を示すデータ構成図である。自動生成が完了したホワイトリストは、実際に発生したパケットの内容に基づいた、より詳細な情報を含んでいる。このことは、自動生成が完了したホワイトリストのホワイトリストエントリ（図１２）と仮ホワイトリストのホワイトリストエントリ（図１０）とを比較すれば一目瞭然である。自動生成後は、このホワイトリストが用いられるので、情報処理システム１００のセキュリティレベルは、高度に維持される。
（効果の説明）
以上説明した第２の実施形態では、ホワイトリストの自動生成期間であっても、仮ホワイトリストに基づく通信の正当性判定（ホワイトリストエントリと受信パケットとの比較）が実施される。さらに、仮セキュリティポリシーのすべてのエントリがいずれかの受信パケットに含まれる情報を含む場合に自動生成は停止される。しかも、これらの処理は、情報処理システム１００内で自動的に実行される。

従って、第２の実施形態によれば、セキュリティレベルを維持しつつ、人手を介すことなく、ホワイトリストの自動生成を確実に終了させることができる。

さらに、第２の実施形態において、仮ホワイトリスト、または、仮ホワイトリストに内包されるホワイトリストエントリにタイムアウト値が設定される。そして、自動生成が開始されてからの経過時間がこれらのタイムアウト値に到達した場合、仮ホワイトリストまたはホワイトリストエントリは削除される。従って、ホワイトリストの自動生成をより確実に終了させることができる。
［第３の実施形態］
図１３は、本発明の第３の実施形態のエッジ装置６００の構成例を示すブロック図である。エッジ装置６００は、ＩｏＴシステム等において、分散処理を行う装置である。

エッジ装置６００は、セキュリティポリシー制御部６０２を備える。セキュリティポリシー制御部６０２は、エッジ装置６００におけるセキュリティポリシーの自動生成に先だって、仮のセキュリティポリシーである仮セキュリティポリシーを取得する。セキュリティポリシー制御部６０２は、自動生成の期間中、仮セキュリティポリシーのエントリと、エッジ装置６００がネットワークまたはデバイスから受信する受信パケットとを比較する。セキュリティポリシー制御部６０２は、受信パケットに含まれる情報を含むエントリが存在する場合には当該エントリをセキュリティポリシーに登録し、情報を含むエントリが存在しない場合には当該受信パケットを含む通信を遮断する。セキュリティポリシー制御部６０２は、仮セキュリティポリシーのすべてのエントリがいずれかの受信パケットに含まれる情報を含むか否かを判定し、含んでいる場合に自動生成を停止する。

以上説明した第３の実施形態によれば、第１の実施形態と同様の効果を得ることができる。
（変形例）
図１４に示すように、ホワイトリストで管理する内容をアプリケーション名（アプリケーションホワイトリスト）やＦＱＤＮにする場合、ネットワーク情報に記載する内容は、アプリケーションの名前やＦＱＤＮとすればよい。また、ホワイトリストで管理する内容およびネットワーク情報に記載する内容は、ＵＳＢや非ＩＰといった管理項目であってもよい。

また、第２の実施形態では、ホワイトリストの自動生成期間において、仮ホワイトリストに一致しないパケットは破棄すると説明したが、破棄したパケット情報を統合管理装置２００へ通知し、自動生成終了後に手動でホワイトリストを作成することも可能である。

また、運用中にホワイトリストの追加や削除、あるいは更新をしたい場合には、以前と同様に、たとえば、ローカルまたは遠隔からエッジ装置３００に対してコマンドを送信すればよく、この点は、本実施形態の採用前と何ら変わりはない。

以上説明した第１および第２の実施形態は、ＩｏＴシステムに限定されず、ＩｏＴシステム以外の情報処理システムにも広く適用することができる。

以上、各実施形態を用いて本発明を説明したが、本発明の技術的範囲は、上記各実施形態の記載に限定されない。上記各実施形態に多様な変更又は改良を加えることが可能であることは当業者にとって自明である。従って、そのような変更又は改良を加えた形態もまた本発明の技術的範囲に含まれることは説明するまでもない。また、以上説明した各実施形態において使用される、数値や各構成の名称等は例示的なものであり適宜変更可能である。

１０ 情報処理システム
１２ エッジ装置
１４ 統合管理装置
１００ 情報処理システム
２００ 統合管理装置
２１０ 運用管理アプリケーション
２２０ 仮ホワイトリスト生成部
２２２ 連携部
２２４ 生成部
２２６ 通信部
３００ エッジ装置
３１０ ホワイトリスト制御部
３１２ ホワイトリスト管理部
３１４ 仮ホワイトリスト管理部
３１６ パケット処理部
３１８ 通信部
４００ デバイス
５００ ネットワーク
５５０ ネットワーク
６００ エッジ装置
６０２ セキュリティポリシー制御部

Claims (10)

1. 分散処理を行うエッジ装置と前記エッジ装置を管理する統合管理装置とを備える情報処理システムであって、
   前記統合管理装置は、前記エッジ装置におけるセキュリティポリシーの自動生成に先だって、仮の前記セキュリティポリシーである仮セキュリティポリシーを生成し、
   前記エッジ装置は、前記仮セキュリティポリシーを前記統合管理装置から受信し、前記自動生成の期間中、前記仮セキュリティポリシーのエントリと、前記エッジ装置がネットワークまたはデバイスから受信する受信パケットとを比較し、前記受信パケットに含まれる情報を含む前記エントリが存在する場合には当該エントリを前記セキュリティポリシーに登録し、前記情報を含む前記エントリが存在しない場合には当該受信パケットを含む通信を遮断し、前記仮セキュリティポリシーのすべての前記エントリについて前記比較が終了した場合に前記自動生成を停止する
   ことを特徴とする情報処理システム。
2. 前記仮セキュリティポリシーに第１タイムアウト値が設定され、前記エッジ装置は、前記自動生成が開始されてからの経過時間が前記第１タイムアウト値に到達した場合、前記第１タイムアウト値を含む前記仮セキュリティポリシーを削除することを特徴とする請求項１記載の情報処理システム。
3. 前記エントリに第２タイムアウト値が設定され、前記エッジ装置は、前記自動生成が開始されてからの経過時間が前記第２タイムアウト値に到達した場合、前記第２タイムアウト値を含む前記エントリを削除することを特徴とする請求項１または２記載の情報処理システム。
4. 前記統合管理装置は、前記統合管理装置から前記エッジ装置に配信されたアプリケーションのネットワーク情報に基づいて、前記仮セキュリティポリシーを生成することを特徴とする請求項１から３のいずれか１項に記載の情報処理システム。
5. 前記統合管理装置は、前記エッジ装置のネットワーク情報に基づいた情報を、生成した前記仮セキュリティポリシーに含まれる前記エントリに加えることを特徴とする請求項４記載の情報処理システム。
6. 前記受信パケットに含まれる情報を前記エントリが含む場合、前記エッジ装置は、当該エントリに欠落している情報があり、且つその欠落している情報が前記受信パケットに存在する場合、当該情報を収集して当該エントリに反映させることを特徴とする請求項１から５のいずれか１項に記載の情報処理システム。
7. 前記セキュリティポリシーは、ホワイトリストであることを特徴とする請求項１から６のいずれか１項に記載の情報処理システム。
8. 分散処理を行うエッジ装置であって、
   前記エッジ装置におけるセキュリティポリシーの自動生成に先だって、仮の前記セキュリティポリシーである仮セキュリティポリシーを取得し、前記自動生成の期間中、前記仮セキュリティポリシーのエントリと、前記エッジ装置がネットワークまたはデバイスから受信する受信パケットとを比較し、前記受信パケットに含まれる情報を含む前記エントリが存在する場合には当該エントリを前記セキュリティポリシーに登録し、前記情報を含む前記エントリが存在しない場合には当該受信パケットを含む通信を遮断し、前記仮セキュリティポリシーのすべての前記エントリについて前記比較が終了した場合に前記自動生成を停止する
   ことを特徴とするエッジ装置。
9. 分散処理を行うエッジ装置と前記エッジ装置を管理する統合管理装置とを備える情報処理システムの情報処理方法であって、
   前記統合管理装置は、前記エッジ装置におけるセキュリティポリシーの自動生成に先だって、仮の前記セキュリティポリシーである仮セキュリティポリシーを生成し、
   前記エッジ装置は、前記仮セキュリティポリシーを前記統合管理装置から受信し、前記自動生成の期間中、前記仮セキュリティポリシーのエントリと、前記エッジ装置がネットワークまたはデバイスから受信する受信パケットとを比較し、前記受信パケットに含まれる情報を含む前記エントリが存在する場合には当該エントリを前記セキュリティポリシーに登録し、前記情報を含む前記エントリが存在しない場合には当該受信パケットを含む通信を遮断し、前記仮セキュリティポリシーのすべての前記エントリについて前記比較が終了した場合に前記自動生成を停止する
   ことを特徴とする情報処理方法。
10. 前記セキュリティポリシーは、ホワイトリストであることを特徴とする請求項９項に記載の情報処理方法。

Images