JP7086257B2

JP7086257B2 - Communication control system, master device, communication control method and communication control program

Info

Publication number: JP7086257B2
Application number: JP2021118367A
Authority: JP
Inventors: 直人森; 敏之木村
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2020-01-14
Filing date: 2021-07-19
Publication date: 2022-06-17
Anticipated expiration: 2040-01-14
Also published as: JP2021111905A; JP2021166414A; JP6917482B2

Description

本開示は、ホワイトリストに基づく通信制御技術に関する。 The present disclosure relates to a communication control technique based on a whitelist.

通信が許可された対象を示すホワイトリストに基づき、通信制御を行う技術がある。ホワイトリストに基づく通信制御は、安全性の観点において有効である。しかし、ホワイトリストに基づく通信制御では、通信が許可されるべき対象がホワイトリストに示されていないと、許可されるべき通信であっても許可されない。その結果、適切な処理が実行できないといった事態が発生し得る。そのため、ホワイトリストを適切に管理する必要がある。したがって、ホワイトリストに基づく通信制御は、ホワイトリストの管理という点において管理者に負担がかかる。 There is a technique for controlling communication based on a white list indicating targets for which communication is permitted. Communication control based on the whitelist is effective from the viewpoint of security. However, in the communication control based on the whitelist, even if the communication should be permitted, it is not permitted unless the target to be permitted is indicated in the whitelist. As a result, a situation may occur in which appropriate processing cannot be executed. Therefore, it is necessary to manage the whitelist appropriately. Therefore, the communication control based on the whitelist imposes a burden on the administrator in terms of managing the whitelist.

特許文献１には、ホワイトリストを自動的に生成する技術が記載されている。これにより、ホワイトリストの管理に係る負担を軽減している。特許文献１では、ホワイトリスト生成期間に行われた通信が許可されるように、ホワイトリストを生成している。 Patent Document 1 describes a technique for automatically generating a whitelist. This reduces the burden of managing the whitelist. In Patent Document 1, a whitelist is generated so that communication performed during the whitelist generation period is permitted.

特開２０１７－０４６１４９号公報Japanese Unexamined Patent Publication No. 2017-406149

特許文献１に記載された技術では、ホワイトリスト生成期間に不適切な通信が行われると、不適切な通信が許可されるようにホワイトリストが生成されてしまう。その結果、ホワイトリストに基づく通信制御が開始された後においても、不適切な通信が許可されてしまう。
本開示は、ホワイトリストの管理に係る負担の軽減を図りつつ、不適切な通信が許可されることを防止可能にすることを目的とする。 In the technique described in Patent Document 1, if inappropriate communication is performed during the whitelist generation period, a whitelist is generated so that inappropriate communication is permitted. As a result, inappropriate communication is permitted even after the communication control based on the whitelist is started.
The purpose of this disclosure is to reduce the burden of managing the whitelist and to prevent inappropriate communication from being permitted.

本開示に係る通信制御システムは、
複数のエッジ装置と、マスター装置とを備える通信制御システムであり、
前記複数のエッジ装置それぞれは、
前記複数のエッジ装置のうちいずれかのエッジ装置に接続された端末のアドレスを前記端末の端末情報に基づき複数のグループに分類したグループリストにおいて異なるグループに分類されたアドレス間の通信のログを取得するログ取得部
を備え、
前記マスター装置は、さらに、
前記ログ取得部によってログが取得された通信を許可するか否かの設定を受け付ける設定受付部と、
前記グループリストにおいて同じグループに分類されたアドレス間の通信と、前記設定受付部によって通信を許可するとの設定が受け付けされた通信とを許可するホワイトリストを生成するホワイトリスト生成部と
を備える。 The communication control system according to this disclosure is
It is a communication control system equipped with multiple edge devices and a master device.
Each of the plurality of edge devices
Acquire a communication log between addresses classified into different groups in a group list in which the addresses of terminals connected to any of the plurality of edge devices are classified into a plurality of groups based on the terminal information of the terminal. Equipped with a log acquisition unit
The master device further
A setting reception unit that accepts settings for whether or not to allow communication for which logs have been acquired by the log acquisition unit, and a setting reception unit.
It includes a whitelist generation unit that generates a whitelist that permits communication between addresses classified into the same group in the group list and communication for which communication is permitted by the setting reception unit.

本開示では、同じグループに分類されたアドレス間の通信と、異なるグループに分類されたアドレス間において行われた通信のうち通信を許可すると設定された通信とを許可するホワイトリストが生成される。これにより、ホワイトリストの管理に係る負担の軽減を図りつつ、不適切な通信が許可されることを防止可能である。 In the present disclosure, a whitelist is generated that permits communication between addresses classified into the same group and communication performed between addresses classified into different groups, which is set to allow communication. This makes it possible to reduce the burden of managing the whitelist and prevent inappropriate communication from being permitted.

実施の形態１に係る通信制御システム１の構成図。The block diagram of the communication control system 1 which concerns on Embodiment 1. FIG. 実施の形態１に係るマスター装置１０の構成図。The block diagram of the master apparatus 10 which concerns on Embodiment 1. FIG. 実施の形態１に係るエッジ装置２０の構成図。The block diagram of the edge apparatus 20 which concerns on Embodiment 1. FIG. 実施の形態１に係る通信制御システム１の動作を示すフローチャート。The flowchart which shows the operation of the communication control system 1 which concerns on Embodiment 1. 実施の形態１に係るアドレス４１の説明図。Explanatory drawing of address 41 which concerns on Embodiment 1. FIG. 実施の形態１に係るアドレス４１と端末情報４２の説明図。The explanatory view of the address 41 and the terminal information 42 which concerns on Embodiment 1. FIG. 実施の形態１に係る端末テーブル４３の説明図。The explanatory view of the terminal table 43 which concerns on Embodiment 1. FIG. 実施の形態１に係るグループ４４の説明図。Explanatory drawing of group 44 which concerns on Embodiment 1. FIG. 実施の形態１に係る検査用アクセスリスト４６の説明図。Explanatory drawing of access list 46 for inspection which concerns on Embodiment 1. FIG. 実施の形態１に係るログデータ４７の説明図。Explanatory drawing of log data 47 which concerns on Embodiment 1. FIG. 実施の形態１に係る異グループ間通信リスト４８の説明図。The explanatory view of the intergroup communication list 48 which concerns on Embodiment 1. FIG. 実施の形態１に係るホワイトリスト４９の説明図。The explanatory view of the white list 49 which concerns on Embodiment 1. FIG. 変形例１に係るマスター装置１０の構成図。The block diagram of the master apparatus 10 which concerns on modification 1. 変形例１に係る通信制御システム１の動作を示すフローチャート。The flowchart which shows the operation of the communication control system 1 which concerns on modification 1. 実施の形態２に係る通信制御システム１の動作を示すフローチャート。The flowchart which shows the operation of the communication control system 1 which concerns on Embodiment 2.

実施の形態１．
＊＊＊構成の説明＊＊＊
図１を参照して、実施の形態１に係る通信制御システム１の構成を説明する。
通信制御システム１は、マスター装置１０と、複数のエッジ装置２０とを備える。マスター装置１０と、各エッジ装置２０とはネットワーク機器９０を介して接続されている。
マスター装置１０は、管理センター等に設置され、通信制御システム１を管理するためのコンピュータである。各エッジ装置２０は、工場及びオフィスといった現場に設置され、１つ以上の端末３０が接続されるコンピュータである。端末３０としては、ＩＴ（ＩｎｆｏｒｍａｔｉｏｎＴｅｃｈｎｏｌｏｇｙ）系の端末３０と、ＯＴ（ＯｐｅｒａｔｉｏｎａｌＴｅｃｈｎｏｌｏｇｙ）系の端末３０とのように、複数の種別の端末３０が存在する。 Embodiment 1.
*** Explanation of configuration ***
The configuration of the communication control system 1 according to the first embodiment will be described with reference to FIG.
The communication control system 1 includes a master device 10 and a plurality of edge devices 20. The master device 10 and each edge device 20 are connected via a network device 90.
The master device 10 is a computer installed in a management center or the like and for managing the communication control system 1. Each edge device 20 is a computer installed in a field such as a factory or an office and to which one or more terminals 30 are connected. As the terminal 30, there are a plurality of types of terminals 30, such as an IT (Information Technology) -based terminal 30 and an OT (Operational Technology) -based terminal 30.

図２を参照して、実施の形態１に係るマスター装置１０の構成を説明する。
マスター装置１０は、プロセッサ１１と、メモリ１２と、ストレージ１３と、通信インタフェース１４とのハードウェアを備える。プロセッサ１１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。 The configuration of the master device 10 according to the first embodiment will be described with reference to FIG.
The master device 10 includes hardware for a processor 11, a memory 12, a storage 13, and a communication interface 14. The processor 11 is connected to other hardware via a signal line and controls these other hardware.

マスター装置１０は、機能構成要素として、アドレス受信部１１１と、分類部１１２と、検査リスト生成部１１３と、検査リスト送信部１１４と、ログ受信部１１５と、設定受付部１１６と、ホワイトリスト生成部１１７と、ホワイトリスト送信部１１８とを備える。マスター装置１０の各機能構成要素の機能はソフトウェアにより実現される。
ストレージ１３には、マスター装置１０の各機能構成要素の機能を実現するプログラムが格納されている。このプログラムは、プロセッサ１１によりメモリ１２に読み込まれ、
プロセッサ１１によって実行される。これにより、マスター装置１０の各機能構成要素の機能が実現される。 The master device 10 has, as functional components, an address receiving unit 111, a classification unit 112, an inspection list generation unit 113, an inspection list transmission unit 114, a log reception unit 115, a setting reception unit 116, and a whitelist generation unit. A unit 117 and a whitelist transmission unit 118 are provided. The functions of each functional component of the master device 10 are realized by software.
The storage 13 stores a program that realizes the functions of each functional component of the master device 10. This program is read into the memory 12 by the processor 11 and is read by the processor 11.
It is executed by the processor 11. As a result, the functions of each functional component of the master device 10 are realized.

図３を参照して、実施の形態１に係るエッジ装置２０の構成を説明する。
エッジ装置２０は、プロセッサ２１と、メモリ２２と、ストレージ２３と、通信インタフェース２４とのハードウェアを備える。プロセッサ２１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。 The configuration of the edge device 20 according to the first embodiment will be described with reference to FIG.
The edge device 20 includes hardware for a processor 21, a memory 22, a storage 23, and a communication interface 24. The processor 21 is connected to other hardware via a signal line and controls these other hardware.

エッジ装置２０は、機能構成要素として、アドレス取得部２１１と、端末情報受付部２１２と、アドレス送信部２１３と、リスト受信部２１４と、ログ取得部２１５と、ログ送信部２１６と、通信制御部２１７とを備える。エッジ装置２０の各機能構成要素の機能はソフトウェアにより実現される。
ストレージ２３には、エッジ装置２０の各機能構成要素の機能を実現するプログラムが格納されている。このプログラムは、プロセッサ２１によりメモリ２２に読み込まれ、プロセッサ２１によって実行される。これにより、エッジ装置２０の各機能構成要素の機能が実現される。 The edge device 20 has an address acquisition unit 211, a terminal information reception unit 212, an address transmission unit 213, a list reception unit 214, a log acquisition unit 215, a log transmission unit 216, and a communication control unit as functional components. It is equipped with 217. The functions of each functional component of the edge device 20 are realized by software.
The storage 23 stores a program that realizes the functions of each functional component of the edge device 20. This program is read into the memory 22 by the processor 21 and executed by the processor 21. As a result, the functions of each functional component of the edge device 20 are realized.

プロセッサ１１，２１は、プロセッシングを行うＩＣ（ＩｎｔｅｇｒａｔｅｄＣｉｒｃｕｉｔ）である。プロセッサ１１，２１は、具体例としては、ＣＰＵ（Ｃｅｎｔｒａｌ
ＰｒｏｃｅｓｓｉｎｇＵｎｉｔ）、ＤＳＰ（ＤｉｇｉｔａｌＳｉｇｎａｌＰｒｏｃｅｓｓｏｒ）、ＧＰＵ（ＧｒａｐｈｉｃｓＰｒｏｃｅｓｓｉｎｇＵｎｉｔ）である。 Processors 11 and 21 are ICs (Integrated Circuits) that perform processing. As a specific example, the processors 11 and 21 are CPUs (Central).
Processing Unit), DSP (Digital Signal Processor), GPU (Graphics Processing Unit).

メモリ１２，２２は、データを一時的に記憶する記憶装置である。メモリ１２，２２は、具体例としては、ＳＲＡＭ（ＳｔａｔｉｃＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ）、ＤＲＡＭ（ＤｙｎａｍｉｃＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ）である。 The memories 12 and 22 are storage devices for temporarily storing data. Specific examples of the memories 12 and 22 are SRAM (Static Random Access Memory) and DRAM (Dynamic Random Access Memory).

ストレージ１３，２３は、データを保管する記憶装置である。ストレージ１３，２３は、具体例としては、ＨＤＤ（ＨａｒｄＤｉｓｋＤｒｉｖｅ）である。また、ストレージ１３，２３は、ＳＤ（登録商標，ＳｅｃｕｒｅＤｉｇｉｔａｌ）メモリカード、ＣＦ（ＣｏｍｐａｃｔＦｌａｓｈ，登録商標）、ＮＡＮＤフラッシュ、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤ（ＤｉｇｉｔａｌＶｅｒｓａｔｉｌｅＤｉｓｋ）といった可搬記録媒体であってもよい。 The storages 13 and 23 are storage devices for storing data. The storages 13 and 23 are, as a specific example, an HDD (Hard Disk Drive). The storages 13 and 23 include SD (registered trademark, Secure Digital) memory card, CF (CompactFlash, registered trademark), NAND flash, flexible disk, optical disk, compact disk, Blu-ray (registered trademark) disk, and DVD (Digital Versaille Disk). ) May be a portable recording medium.

通信インタフェース１４，２４は、外部の装置と通信するためのインタフェースである。通信インタフェース１４，２４は、具体例としては、Ｅｔｈｅｒｎｅｔ（登録商標）、ＵＳＢ（ＵｎｉｖｅｒｓａｌＳｅｒｉａｌＢｕｓ）、ＨＤＭＩ（登録商標，Ｈｉｇｈ－ＤｅｆｉｎｉｔｉｏｎＭｕｌｔｉｍｅｄｉａＩｎｔｅｒｆａｃｅ）のポートである。 The communication interfaces 14 and 24 are interfaces for communicating with an external device. Specific examples of the communication interfaces 14 and 24 are Ethernet (registered trademark), USB (Universal Serial Bus), and HDMI (registered trademark, High-Definition Multimedia Interface) ports.

＊＊＊動作の説明＊＊＊
図４から図１２を参照して、実施の形態１に係る通信制御システム１の動作を説明する。
実施の形態１に係る通信制御システム１の動作手順は、実施の形態１に係る通信制御方法に相当する。また、実施の形態１に係る通信制御システム１の動作を実現するプログラムは、実施の形態１に係る通信制御プログラムに相当する。 *** Explanation of operation ***
The operation of the communication control system 1 according to the first embodiment will be described with reference to FIGS. 4 to 12.
The operation procedure of the communication control system 1 according to the first embodiment corresponds to the communication control method according to the first embodiment. Further, the program that realizes the operation of the communication control system 1 according to the first embodiment corresponds to the communication control program according to the first embodiment.

通信制御システム１は、マスター装置１０及びエッジ装置２０が設置され、運用が開始されると、図４に示す処理を実行する。 When the master device 10 and the edge device 20 are installed and the operation is started, the communication control system 1 executes the process shown in FIG.

（図４のステップＳ１１：アドレス取得処理）
各エッジ装置２０のアドレス取得部２１１は、自身に接続された端末３０のアドレス４１を取得する。この際、アドレス取得部２１１は、ポート毎に、接続された端末３０のアドレス４１を取得してもよい。
ここでは、図５に示すように、アドレス取得部２１１は、端末３０のアドレス４１として、ＩＰ（ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌ）アドレス及びＭＡＣ（ＭｅｄｉａＡｃｃｅｓｓＣｏｎｔｒｏｌ）アドレスを取得する。 (Step S11 in FIG. 4: Address acquisition process)
The address acquisition unit 211 of each edge device 20 acquires the address 41 of the terminal 30 connected to itself. At this time, the address acquisition unit 211 may acquire the address 41 of the connected terminal 30 for each port.
Here, as shown in FIG. 5, the address acquisition unit 211 acquires an IP (Internet Protocol) address and a MAC (Media Access Control) address as the address 41 of the terminal 30.

（図４のステップＳ１２：端末情報受付処理）
各エッジ装置２０の端末情報受付部２１２は、ステップＳ１１で取得された各アドレス４１が示す端末３０についての端末情報４２の入力を受け付ける。
具体的には、エッジ装置２０に入力装置が接続され、エッジ装置２０の設置を担当した担当者等によって端末情報４２が入力される。そして、端末情報受付部２１２は、入力された端末情報４２を受け付ける。
ここでは、図６に示すように、端末情報受付部２１２は、端末情報４２として、グループ名と、端末名とを受け付け、ＩＰアドレス及びＭＡＣアドレスとの関連付けを行う。グループ名は、端末３０が属するグループを識別可能な名称である。例えば、ＩＴ系とＯＴ系とで端末３０をグループ分けする場合には、グループ名はＩＴ系又はＯＴ系になる。端末名は、端末３０を識別可能な名称である。例えば、端末名は、端末３０が設置された場所と、端末３０の役割等とに基づき、予め定められたルールに従って割り当てられる。 (Step S12 in FIG. 4: Terminal information reception process)
The terminal information receiving unit 212 of each edge device 20 receives the input of the terminal information 42 for the terminal 30 indicated by each address 41 acquired in step S11.
Specifically, an input device is connected to the edge device 20, and terminal information 42 is input by a person in charge of installing the edge device 20 or the like. Then, the terminal information receiving unit 212 receives the input terminal information 42.
Here, as shown in FIG. 6, the terminal information receiving unit 212 accepts the group name and the terminal name as the terminal information 42, and associates the IP address and the MAC address. The group name is a name that can identify the group to which the terminal 30 belongs. For example, when the terminal 30 is grouped by the IT system and the OT system, the group name is the IT system or the OT system. The terminal name is a name that can identify the terminal 30. For example, the terminal name is assigned according to a predetermined rule based on the place where the terminal 30 is installed, the role of the terminal 30, and the like.

（図４のステップＳ１３：アドレス送信処理）
各エッジ装置２０のアドレス送信部２１３は、ステップＳ２１２で受け付けた端末情報４２を付加したアドレス４１をマスター装置１０に送信する。
すると、マスター装置１０のアドレス受信部１１１は、各エッジ装置２０から送信された端末情報４２が付加されたアドレス４１を受信する。つまり、アドレス受信部１１１は、複数のエッジ装置２０それぞれから、そのエッジ装置２０に接続された端末３０のアドレス４１及び端末情報４２を受信する。そして、図７に示すように、アドレス受信部１１１は、受信されたアドレス４１及び端末情報４２を集約し、エッジ装置２０を判別するエッジ装置ＩＤと関連付けて端末テーブル４３を生成する。 (Step S13 in FIG. 4: Address transmission process)
The address transmission unit 213 of each edge device 20 transmits the address 41 to which the terminal information 42 received in step S212 is added to the master device 10.
Then, the address receiving unit 111 of the master device 10 receives the address 41 to which the terminal information 42 transmitted from each edge device 20 is added. That is, the address receiving unit 111 receives the address 41 and the terminal information 42 of the terminal 30 connected to the edge device 20 from each of the plurality of edge devices 20. Then, as shown in FIG. 7, the address receiving unit 111 aggregates the received address 41 and the terminal information 42, and generates the terminal table 43 in association with the edge device ID that determines the edge device 20.

（図４のステップＳ１４：分類処理）
マスター装置１０の分類部１１２は、ステップＳ１３で受信された端末３０のアドレス４１を、端末３０の端末情報４２に基づき複数のグループ４４に分類する。
具体的には、分類部１１２は、端末テーブル４３から順にレコードを読み出し、読み出されたレコードの端末情報４２に基づき、そのレコードのグループ４４を特定する。実施の形態１では、分類部１１２は、端末情報４２に含まれるグループ名毎にレコードのグループを特定する。したがって、図７に示す端末テーブル４３の場合には、図８に示すように各レコードがＩＴ系のグループ４４とＯＴ系のグループ４４とに分類される。分類部１１２は、グループ４４に基づきグループリストを生成する。
グループリストについては、図示しないが、図８に示すグループ４４に基づき、グループ毎のＩＰアドレスを特定するリストとなる。例えば、ＩＴ系グループには、ＩＰＡ１、ＩＰＡ２、ＩＰＡｍ、ＩＰＡｎ・・・が含まれ、ＯＴ系グループには、ＩＰＢ１、ＩＰＢ２、ＩＰＢｉ、ＩＰＢｊ・・・が含まれることを示すリストである。 (Step S14 in FIG. 4: Classification process)
The classification unit 112 of the master device 10 classifies the address 41 of the terminal 30 received in step S13 into a plurality of groups 44 based on the terminal information 42 of the terminal 30.
Specifically, the classification unit 112 reads records in order from the terminal table 43, and identifies the group 44 of the records based on the terminal information 42 of the read records. In the first embodiment, the classification unit 112 specifies a group of records for each group name included in the terminal information 42. Therefore, in the case of the terminal table 43 shown in FIG. 7, each record is classified into an IT system group 44 and an OT system group 44 as shown in FIG. The classification unit 112 generates a group list based on the group 44.
Although not shown, the group list is a list that specifies the IP address for each group based on the group 44 shown in FIG. For example, the IT group includes IP A1, IP A2, IP Am, IP An ..., And the OT group includes IP B1, IP B2, IP Bi, IP Bj ... It is a list showing.

（図４のステップＳ１５：検査用アクセスリスト生成処理）
検査リスト生成部１１３は、実施の形態１では、図９に示すように、全てのグループ４４間の通信を許可することと、異なるグループ４４間の通信のログを取得することを示す検査用アクセスリスト４６を生成する。ここで、全てのグループ４４間の通信を許可する
とは、同じグループ４４におけるアドレス間での通信を許可するとともに、異なるグループ４４におけるアドレス間での通信を許可することを意味する。検査用アクセスリスト４６は、全てのグループ４４間の通信を許可した上で、異なるグループ４４間の通信のログを取得するルールに基づく暫定的なホワイトリストになる。
そして、検査リスト生成部１１３は、検査用アクセスリスト４６と端末テーブル４３との組を検査リスト４５として扱う。なお検査リスト４５に含まれる、端末テーブル４３は、具体的には前述したグループリストのような構成となる。 (Step S15 in FIG. 4: Inspection access list generation process)
As shown in FIG. 9, the inspection list generation unit 113 permits inspection access indicating that communication between all groups 44 is permitted and communication logs between different groups 44 are acquired, as shown in FIG. Generate Listing 46. Here, permitting communication between all groups 44 means permitting communication between addresses in the same group 44 and permitting communication between addresses in different groups 44. The inspection access list 46 is a provisional whitelist based on a rule for permitting communication between all groups 44 and then acquiring logs of communication between different groups 44.
Then, the inspection list generation unit 113 treats the pair of the inspection access list 46 and the terminal table 43 as the inspection list 45. The terminal table 43 included in the inspection list 45 is specifically configured like the group list described above.

そして、検査リスト送信部１１４は、検査リスト４５を各エッジ装置２０に送信する。すなわち、検査リスト送信部１１４は、検査用アクセスリスト４６とグループリストを各エッジ装置２０に送信する。すると、各エッジ装置２０のリスト受信部２１４は、検査リスト４５を受信する。 Then, the inspection list transmission unit 114 transmits the inspection list 45 to each edge device 20. That is, the inspection list transmission unit 114 transmits the inspection access list 46 and the group list to each edge device 20. Then, the list receiving unit 214 of each edge device 20 receives the inspection list 45.

（図４のステップＳ１６：ログ取得処理）
各エッジ装置２０のログ取得部２１５は、検査リスト４５を受信してから観測期間の間、検査リスト４５に従い、異なるグループに分類されたアドレス間の通信のログを取得する。実施の形態１では、通信制御部２１７は、検査リスト４５として受信した検査用アクセスリスト４６に従い、全てのグループ４４間の通信を許可する。そして、ログ取得部２１５は、検査用アクセスリスト４６に従い、実際に行われた通信のうち、異なるグループ４４間の通信のログを取得する。観測期間は、通信制御システム１を適用する対象のシステムにおいて、一通りの通信が行われるような期間等が設定される。
通信のログには、データの送信元のＩＰアドレスと、データ宛先のＩＰアドレスとが含まれる。図１０に示すように、通信制御部２１７は、端末テーブル４３を参照して、データの送信元及びデータの宛先について、ＭＡＣアドレスとグループ名と端末名とを補って、ログデータ４７を生成する。 (Step S16 in FIG. 4: Log acquisition process)
The log acquisition unit 215 of each edge device 20 acquires a log of communication between addresses classified into different groups according to the inspection list 45 during the observation period after receiving the inspection list 45. In the first embodiment, the communication control unit 217 permits communication between all the groups 44 according to the inspection access list 46 received as the inspection list 45. Then, the log acquisition unit 215 acquires a log of communication between different groups 44 among the communication actually performed according to the inspection access list 46. The observation period is set to a period during which communication is performed in the target system to which the communication control system 1 is applied.
The communication log contains the IP address of the data source and the IP address of the data destination. As shown in FIG. 10, the communication control unit 217 refers to the terminal table 43 and supplements the MAC address, the group name, and the terminal name with respect to the data transmission source and the data destination to generate the log data 47. ..

観測期間が終了すると、ログ送信部２１６は、ログデータ４７をマスター装置１０に送信する。すると、マスター装置１０のログ受信部１１５は、ログデータ４７を受信する。 When the observation period ends, the log transmission unit 216 transmits the log data 47 to the master device 10. Then, the log receiving unit 115 of the master device 10 receives the log data 47.

（図４のステップＳ１７：設定受付処理）
マスター装置１０の設定受付部１１６は、ログが取得されたアドレス間の通信を許可するか否かの設定を受け付ける。
具体的には、図１１に示すように、設定受付部１１６は、各エッジ装置２０から受信したログデータ４７について、重複を排除した異グループ間通信リスト４８を生成する。そして、設定受付部１１６は、異グループ間通信リスト４８が示す各アドレス間の通信について、許可するか否かの設定を受け付ける。 (Step S17 in FIG. 4: Setting acceptance processing)
The setting reception unit 116 of the master device 10 accepts the setting of whether or not to allow communication between the addresses from which the logs have been acquired.
Specifically, as shown in FIG. 11, the setting receiving unit 116 generates an intergroup communication list 48 from which duplication is eliminated for the log data 47 received from each edge device 20. Then, the setting reception unit 116 accepts the setting of whether or not to permit the communication between the addresses shown in the communication list 48 between different groups.

（図４のステップＳ１８：ホワイトリスト生成処理）
図１２に示すように、マスター装置１０のホワイトリスト生成部１１７は、ステップＳ１４で同じグループに分類されたアドレス間の通信と、ステップＳ１７で通信を許可すると設定されたアドレス間の通信とを許可するホワイトリスト４９を生成する。図１２に示すホワイトリスト４９では、ＩＴ系間及びＯＴ系間の通信と、ステップＳ１７で通信を許可すると設定されたＩＰアドレスがＩＰＡ１とＩＰＢ１との間の通信とが許可されている。図１２に示すホワイトリスト４９では、ＩＰアドレスがＩＰＡ１とＩＰＢ１との間の通信以外の異なるグループ４４に分類されたアドレス間の通信は遮断するように設定されている。
そして、ホワイトリスト送信部１１８は、ホワイトリスト４９を各エッジ装置２０に送信する。すると、各エッジ装置２０のリスト受信部２１４は、ホワイトリスト４９を受信する。 (Step S18 in FIG. 4: Whitelist generation process)
As shown in FIG. 12, the whitelist generation unit 117 of the master device 10 permits communication between addresses classified into the same group in step S14 and communication between addresses set to allow communication in step S17. Whitelist 49 is generated. In the whitelist 49 shown in FIG. 12, communication between IT systems and OT systems and communication between IP A1 and IP B1 whose IP address is set to allow communication in step S17 are permitted. In the whitelist 49 shown in FIG. 12, communication between addresses whose IP addresses are classified into different groups 44 other than communication between IP A1 and IP B1 is set to be blocked.
Then, the whitelist transmission unit 118 transmits the whitelist 49 to each edge device 20. Then, the list receiving unit 214 of each edge device 20 receives the whitelist 49.

（図４のステップＳ１９：通信制御処理）
各エッジ装置２０の通信制御部２１７は、ステップＳ１８で受信したホワイトリスト４９に従い、通信を制御する。つまり、通信制御部２１７は、ホワイトリスト４９で許可すると設定されている通信のみを許可し、その他の通信については遮断する。 (Step S19 in FIG. 4: Communication control process)
The communication control unit 217 of each edge device 20 controls communication according to the whitelist 49 received in step S18. That is, the communication control unit 217 permits only the communication set to be permitted in the whitelist 49, and blocks other communication.

＊＊＊実施の形態１の効果＊＊＊
以上のように、実施の形態１に係る通信制御システム１では、各エッジ装置２０に接続された端末３０がグループ４４に分類され、異なるグループ４４に分類されたアドレス間の通信のログが観測期間の間に取得される。そして、ログが取得されたアドレス間の通信を許可するか否かの設定が受け付けられ、同じグループ４４に分類されたアドレス間の通信と、許可すると設定されたアドレス間の通信とを許可するホワイトリスト４９が生成される。つまり暫定的に作成した検査用アクセスリスト４６に基づき、観測期間の通信を許可し、そのログに基づきホワイトリスト４９を生成する。
これにより、同じグループ４４間の通信については逐一ホワイトリスト４９に設定する必要がないため、ホワイトリスト４９の管理の負担を軽減することが可能である。一方、異なるグループ４４間の通信については、観測期間に行われた通信のログに基づき、許可するか否かが判断された上でホワイトリスト４９に設定される。そのため、不正な通信が許可されることを防止可能である。 *** Effect of Embodiment 1 ***
As described above, in the communication control system 1 according to the first embodiment, the terminals 30 connected to each edge device 20 are classified into the group 44, and the log of the communication between the addresses classified into the different groups 44 is observed during the observation period. Obtained during. Then, the setting of whether or not to allow the communication between the addresses for which the log is acquired is accepted, and the white that permits the communication between the addresses classified in the same group 44 and the communication between the addresses set to be permitted is allowed. Listing 49 is generated. That is, based on the provisionally created inspection access list 46, communication during the observation period is permitted, and a whitelist 49 is generated based on the log.
As a result, it is not necessary to set the whitelist 49 for communication between the same groups 44 one by one, so that it is possible to reduce the burden of managing the whitelist 49. On the other hand, the communication between different groups 44 is set in the whitelist 49 after it is determined whether or not to allow it based on the log of the communication performed during the observation period. Therefore, it is possible to prevent unauthorized communication from being permitted.

例えば、ＩＴ系の端末３０とＯＴ系の端末３０との間の通信は、安全性の観点から原則として禁止することが望ましい。しかし、ＯＴ系の端末３０のデータをＩＴ系の端末３０で分析するといった処理を行う場合も考えられる。この場合の通信については、例外的にＩＴ系の端末３０とＯＴ系の端末３０との間の通信であっても許可する必要がある。このような場合に、実施の形態１に係る通信制御システム１では、観測期間に行われたＩＴ系の端末３０とＯＴ系の端末３０との間の通信について、個別に許可するか否かを設定するだけで、適切なホワイトリスト４９を生成可能である。 For example, it is desirable to prohibit communication between the IT terminal 30 and the OT terminal 30 in principle from the viewpoint of safety. However, there may be a case where the data of the OT terminal 30 is analyzed by the IT terminal 30. As for the communication in this case, it is exceptionally necessary to allow the communication between the IT terminal 30 and the OT terminal 30. In such a case, in the communication control system 1 according to the first embodiment, it is determined whether or not the communication between the IT system terminal 30 and the OT system terminal 30 performed during the observation period is individually permitted. It is possible to generate an appropriate whitelist 49 just by setting it.

＊＊＊他の構成＊＊＊
＜変形例１＞
実施の形態１では、各エッジ装置２０が端末情報４２の入力を受け付けた。これは、エッジ装置２０の設置を担当した担当者等であれば、エッジ装置２０に接続された端末３０についての端末情報４２を容易に知り得ると考えられるためである。
しかし、マスター装置１０が端末情報４２の入力を受け付けてもよい。例えば、各エッジ装置２０に接続される端末３０を通信制御システム１の管理者が把握しているような場合には、マスター装置１０が端末情報４２の入力を受け付けることが妥当である。さらにマスター装置１０がエッジ装置２０から端末３０のＩＰアドレスとＭＡＣアドレスを収集したタイミングで、外部組織のデータベース、またはマスター装置１０が設置された組織内のデータベースと照合し、グループ名と端末名とを取得するように構成してもよい。その場合、マスター装置１０が自動的にアドレス４１と対応する端末情報４２を生成する。 *** Other configurations ***
<Modification 1>
In the first embodiment, each edge device 20 accepts the input of the terminal information 42. This is because it is considered that a person in charge of installing the edge device 20 can easily know the terminal information 42 about the terminal 30 connected to the edge device 20.
However, the master device 10 may accept the input of the terminal information 42. For example, when the administrator of the communication control system 1 knows the terminal 30 connected to each edge device 20, it is appropriate that the master device 10 accepts the input of the terminal information 42. Further, at the timing when the master device 10 collects the IP address and MAC address of the terminal 30 from the edge device 20, it collates with the database of the external organization or the database in the organization in which the master device 10 is installed, and the group name and the terminal name are obtained. May be configured to obtain. In that case, the master device 10 automatically generates the terminal information 42 corresponding to the address 41.

図１３を参照して、変形例１に係るマスター装置１０の構成を説明する。
マスター装置１０は、機能構成要素として、端末情報受付部１１９を備える点が、図２に示すマスター装置１０と異なる。 The configuration of the master device 10 according to the first modification will be described with reference to FIG.
The master device 10 is different from the master device 10 shown in FIG. 2 in that it includes a terminal information receiving unit 119 as a functional component.

図１４を参照して、変形例１に係る通信制御システム１の動作を説明する。
ステップＳ２１の処理は、図４のステップＳ１１の処理と同じである。また、ステップＳ２４からステップＳ２９の処理は、図４のステップＳ１４からステップＳ１９の処理と同じである。
ステップＳ２２では、各エッジ装置２０のアドレス送信部２１３は、ステップＳ２１で取得されたアドレス４１をマスター装置１０に送信する。つまり、アドレス送信部２１３
は、端末情報４２が付加されていない状態でアドレス４１をマスター装置１０に送信する。ステップＳ２３では、マスター装置１０の端末情報受付部１１９は、各エッジ装置２０から送信された各アドレス４１が示す端末３０についての端末情報４２の入力を受け付ける。 The operation of the communication control system 1 according to the first modification will be described with reference to FIG.
The process of step S21 is the same as the process of step S11 of FIG. Further, the processing from step S24 to step S29 is the same as the processing from step S14 to step S19 in FIG.
In step S22, the address transmission unit 213 of each edge device 20 transmits the address 41 acquired in step S21 to the master device 10. That is, the address transmitter 213
Sends the address 41 to the master device 10 in a state where the terminal information 42 is not added. In step S23, the terminal information receiving unit 119 of the master device 10 receives the input of the terminal information 42 for the terminal 30 indicated by each address 41 transmitted from each edge device 20.

なお、一部のアドレス４１についての端末情報４２はエッジ装置２０が受け付け、残りのアドレス４１についての端末情報４２はマスター装置１０が受け付けるといった構成でもよい。 The terminal information 42 for a part of the addresses 41 may be received by the edge device 20, and the terminal information 42 for the remaining addresses 41 may be received by the master device 10.

＜変形例２＞
実施の形態１では、ホワイトリスト４９は、同じグループに分類されたアドレス間の通信と、許可すると設定されたアドレス間の通信とを許可し、残りの通信については遮断するように設定された。ホワイトリスト４９は、残りの通信については遮断しつつ、ログを取得するように設定されてもよい。
この場合には、図４のステップＳ１９では、各エッジ装置２０の通信制御部２１７は、ホワイトリスト４９に従い遮断するように設定されている通信については遮断する。この際、ログ取得部２１５は、遮断された通信のログを取得する。定期的にあるいは任意のタイミングに、通信制御部２１７は、ログからログデータ４７を生成してマスター装置１０に送信する。ログデータ４７が送信された場合に、設定受付部１１６は、ログが取得されたアドレス間の通信を許可するか否かの設定を受け付ける。そして、ホワイトリスト生成部１１７は、通信を許可するという設定を受け付けた場合に、ホワイトリスト４９に設定を追加する。
これにより、観測期間に行われなかった異なるグループ４４の端末３０間の通信に、許可されるべき通信が含まれる場合に、観測期間の後にホワイトリスト４９に追加することが可能になる。 <Modification 2>
In the first embodiment, the whitelist 49 is set to allow communication between addresses classified in the same group and communication between addresses set to be permitted, and to block the remaining communication. The whitelist 49 may be set to acquire logs while blocking the rest of the communication.
In this case, in step S19 of FIG. 4, the communication control unit 217 of each edge device 20 blocks the communication set to be blocked according to the whitelist 49. At this time, the log acquisition unit 215 acquires the log of the blocked communication. Periodically or at an arbitrary timing, the communication control unit 217 generates log data 47 from the log and transmits it to the master device 10. When the log data 47 is transmitted, the setting reception unit 116 accepts the setting of whether or not to allow communication between the addresses from which the logs have been acquired. Then, when the whitelist generation unit 117 accepts the setting to allow communication, the whitelist generation unit 117 adds the setting to the whitelist 49.
This makes it possible to add to the whitelist 49 after the observation period if the communication between the terminals 30 of different groups 44 that was not performed during the observation period includes the communication to be permitted.

＜変形例３＞
実施の形態１では、各機能構成要素がソフトウェアで実現された。しかし、変形例３として、各機能構成要素はハードウェアで実現されてもよい。この変形例３について、実施の形態１と異なる点を説明する。 <Modification 3>
In the first embodiment, each functional component is realized by software. However, as a modification 3, each functional component may be realized by hardware. The difference between the third modification and the first embodiment will be described.

各機能構成要素がハードウェアで実現される場合には、マスター装置１０は、プロセッサ１１とメモリ１２とストレージ１３とに代えて、電子回路を備える。電子回路は、各機能構成要素と、メモリ１２と、ストレージ１３との機能とを実現する専用の回路である。
同様に、各機能構成要素がハードウェアで実現される場合には、エッジ装置２０は、プロセッサ２１とメモリ２２とストレージ２３とに代えて、電子回路を備える。電子回路は、各機能構成要素と、メモリ２２と、ストレージ２３との機能とを実現する専用の回路である。 When each functional component is realized by hardware, the master device 10 includes an electronic circuit instead of the processor 11, the memory 12, and the storage 13. The electronic circuit is a dedicated circuit that realizes the functions of each functional component, the memory 12, and the storage 13.
Similarly, when each functional component is implemented in hardware, the edge device 20 comprises an electronic circuit in place of the processor 21, memory 22, and storage 23. The electronic circuit is a dedicated circuit that realizes the functions of each functional component, the memory 22, and the storage 23.

電子回路としては、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ロジックＩＣ、ＧＡ（ＧａｔｅＡｒｒａｙ）、ＡＳＩＣ（ＡｐｐｌｉｃａｔｉｏｎＳｐｅｃｉｆｉｃＩｎｔｅｇｒａｔｅｄＣｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ－ＰｒｏｇｒａｍｍａｂｌｅＧａｔｅＡｒｒａｙ）が想定される。
各機能構成要素を１つの電子回路で実現してもよいし、各機能構成要素を複数の電子回路に分散させて実現してもよい。 As the electronic circuit, a single circuit, a composite circuit, a programmed processor, a parallel programmed processor, a logic IC, a GA (Gate Array), an ASIC (Application Specific Integrated Circuit), and an FPGA (Field-Programmable Gate Array) are assumed. Will be done.
Each functional component may be realized by one electronic circuit, or each functional component may be distributed and realized by a plurality of electronic circuits.

＜変形例４＞
変形例４として、一部の各機能構成要素がハードウェアで実現され、他の各機能構成要素がソフトウェアで実現されてもよい。 <Modification example 4>
As a modification 4, some functional components may be realized by hardware, and other functional components may be realized by software.

プロセッサ１１，２１とメモリ１２，２２とストレージ１３，２３と電子回路とを処理回路という。つまり、各機能構成要素の機能は、処理回路により実現される。 A processor 11, 21, a memory 12, 22, a storage 13, 23, and an electronic circuit are called a processing circuit. That is, the function of each functional component is realized by the processing circuit.

実施の形態２．
実施の形態２では、通信制御システム１の運用開始後に、エッジ装置２０に新たな端末３０が接続された場合について説明する。実施の形態２では、実施の形態１と同一の点については説明を省略する。 Embodiment 2.
In the second embodiment, a case where a new terminal 30 is connected to the edge device 20 after the operation of the communication control system 1 is started will be described. In the second embodiment, the same points as those in the first embodiment will be omitted.

＊＊＊動作の説明＊＊＊
図１５を参照して、実施の形態２に係る通信制御システム１の動作を説明する。
（図１５のステップＳ３１：設定追加処理）
マスター装置１０の設定受付部１１６は、通信制御システム１の運用開始後に、エッジ装置２０に新たな端末３０が接続されると、追加された端末３０についてのアドレス４１及び端末情報４２を端末テーブル４３に追加する。具体的には、通信制御システム１の管理者によって、追加された端末３０についてのアドレス４１及び端末情報４２が入力される。そして、設定受付部１１６は、入力されたアドレス４１及び端末情報４２を端末テーブル４３に追加する。 *** Explanation of operation ***
The operation of the communication control system 1 according to the second embodiment will be described with reference to FIG.
(Step S31 in FIG. 15: Setting addition process)
When a new terminal 30 is connected to the edge device 20 after the operation of the communication control system 1 is started, the setting receiving unit 116 of the master device 10 displays the address 41 and the terminal information 42 of the added terminal 30 in the terminal table 43. Add to. Specifically, the administrator of the communication control system 1 inputs the address 41 and the terminal information 42 for the added terminal 30. Then, the setting reception unit 116 adds the input address 41 and the terminal information 42 to the terminal table 43.

また、設定受付部１１６は、追加された端末３０について、異なるグループ４４の端末３０と通信が必要な場合には、設定をホワイトリスト４９に追加する。具体的には、通信制御システム１の管理者によって、許可する通信の設定が入力される。設定受付部１１６は、入力された設定をホワイトリスト４９に追加する。 Further, the setting receiving unit 116 adds the setting to the whitelist 49 when the added terminal 30 needs to communicate with the terminal 30 of a different group 44. Specifically, the administrator of the communication control system 1 inputs the setting of the permitted communication. The setting reception unit 116 adds the input setting to the whitelist 49.

（図１５のステップＳ３２：再送付処理）
マスター装置１０のホワイトリスト生成部１１７は、ステップＳ３１でアドレス４１及び端末情報４２が追加された端末テーブル４３と、設定が追加されたホワイトリスト４９とを各エッジ装置２０に送信する。すると、各エッジ装置２０のリスト受信部２１４は、端末テーブル４３及びホワイトリスト４９を受信する。 (Step S32 in FIG. 15: Resending process)
The whitelist generation unit 117 of the master device 10 transmits the terminal table 43 to which the address 41 and the terminal information 42 are added in step S31 and the whitelist 49 to which the settings are added to each edge device 20. Then, the list receiving unit 214 of each edge device 20 receives the terminal table 43 and the white list 49.

（図１５のステップＳ３３：通信制御処理）
各エッジ装置２０の通信制御部２１７は、ステップＳ３２で受信したホワイトリスト４９に従い、通信を制御する。 (Step S33 in FIG. 15: Communication control process)
The communication control unit 217 of each edge device 20 controls communication according to the whitelist 49 received in step S32.

＊＊＊実施の形態２の効果＊＊＊
以上のように、実施の形態２に係る通信制御システム１では、運用開始後にエッジ装置２０に新たな端末３０が接続された場合には、新たな端末３０についての設定がホワイトリスト４９に追加される。つまり、新たな端末３０が接続されても、再び観測期間を設けてログを取得する必要がない。そのため、新たな端末３０が接続された場合にすぐに適切なホワイトリスト４９で運用を開始することが可能である。 *** Effect of Embodiment 2 ***
As described above, in the communication control system 1 according to the second embodiment, when a new terminal 30 is connected to the edge device 20 after the start of operation, the setting for the new terminal 30 is added to the whitelist 49. To. That is, even if a new terminal 30 is connected, it is not necessary to set an observation period again and acquire the log. Therefore, when a new terminal 30 is connected, it is possible to immediately start operation with an appropriate whitelist 49.

なお、新たな端末３０は、必要になったために追加されるので、役割は明確であると想定される。したがって、通信制御システム１の管理者は、新たな端末３０については、アドレス４１及び端末情報４２と、異なるグループ４４の端末３０と通信が必要か否かといったことは把握されていると認められる。 Since the new terminal 30 is added because it is needed, it is assumed that the role is clear. Therefore, it is recognized that the administrator of the communication control system 1 is aware of the address 41 and the terminal information 42 and whether or not communication with the terminal 30 of a different group 44 is necessary for the new terminal 30.

以上をまとめると、以下のようになる。
本開示に係る通信制御システムは、複数のエッジ装置と、マスター装置とを備える通信制御システムであり、
前記マスター装置は、
前記複数のエッジ装置それぞれから、そのエッジ装置に接続された端末のアドレスを受信するアドレス受信部と、
前記アドレス受信部によって受信された前記端末の前記アドレスを、前記端末の端末情報に基づき複数のグループに分類する分類部と
を備え、
前記複数のエッジ装置それぞれは、
前記分類部によって異なるグループに分類されたアドレス間の通信のログを取得するログ取得部
を備え、
前記マスター装置は、さらに、
前記ログ取得部によってログが取得されたアドレス間の通信を許可するか否かの設定を受け付ける設定受付部と、
前記分類部によって同じグループに分類されたアドレス間の通信と、前記設定受付部によって通信を許可すると設定されたアドレス間の通信とを許可するホワイトリストを生成するホワイトリスト生成部と
を備える。 The above can be summarized as follows.
The communication control system according to the present disclosure is a communication control system including a plurality of edge devices and a master device.
The master device is
An address receiving unit that receives the address of the terminal connected to the edge device from each of the plurality of edge devices.
The address receiving unit includes a classification unit that classifies the address of the terminal received by the address receiving unit into a plurality of groups based on the terminal information of the terminal.
Each of the plurality of edge devices
It is provided with a log acquisition unit that acquires a log of communication between addresses classified into different groups by the classification unit.
The master device further
A setting reception unit that accepts settings for whether or not to allow communication between addresses for which logs have been acquired by the log acquisition unit, and a setting reception unit.
It includes a whitelist generation unit that generates a whitelist that permits communication between addresses classified into the same group by the classification unit and communication between addresses set when communication is permitted by the setting reception unit.

前記マスター装置は、さらに、
前記ホワイトリスト生成部によって生成された前記ホワイトリストを、前記複数のエッジ装置それぞれに送信するホワイトリスト送信部
を備え、
前記複数のエッジ装置それぞれは、さらに、
前記ホワイトリスト送信部によって送信された前記ホワイトリストに従い、通信を制御する通信制御部
を備える。 The master device further
A whitelist transmission unit for transmitting the whitelist generated by the whitelist generation unit to each of the plurality of edge devices is provided.
Each of the plurality of edge devices further
A communication control unit that controls communication according to the whitelist transmitted by the whitelist transmission unit is provided.

前記ログ取得部は、観測期間の間、前記ログを取得し、
前記複数のエッジ装置それぞれは、さらに、
前記観測期間が終わると、前記ログ取得部によって取得された前記ログを前記マスター装置に送信するログ送信部
を備える。 The log acquisition unit acquires the log during the observation period.
Each of the plurality of edge devices further
When the observation period ends, the log transmission unit includes a log transmission unit that transmits the log acquired by the log acquisition unit to the master device.

前記マスター装置は、さらに、
前記分類部によって異なるグループに分類されたアドレス間を指定する検査リストを前記複数のエッジ装置それぞれに送信する検査リスト送信部
を備え、
前記ログ取得部は、前記検査リスト送信部によって送信された前記検査リストによって指定されたアドレス間の通信のログを取得する。 The master device further
It is provided with an inspection list transmission unit that transmits an inspection list designating between addresses classified into different groups by the classification unit to each of the plurality of edge devices.
The log acquisition unit acquires a log of communication between addresses specified by the inspection list transmitted by the inspection list transmission unit.

前記ホワイトリスト生成部は、前記複数のエッジ装置のうちのいずれかのエッジ装置に新たな端末が接続され、かつ、前記新たな端末が異なるグループの端末と通信することを許可する場合に、前記ホワイトリストを更新する。 The whitelist generator is the case where a new terminal is connected to any of the plurality of edge devices and the new terminal is allowed to communicate with a terminal of a different group. Update the whitelist.

本開示に係るマスター装置は、
前記複数のエッジ装置それぞれから、そのエッジ装置に接続された端末のアドレスを受
信するアドレス受信部と、
前記アドレス受信部によって受信された前記端末の前記アドレスを、前記端末の端末情報に基づき複数のグループに分類する分類部と、
前記分類部によって異なるグループに分類されたアドレス間の通信のログを前記複数のエッジ装置それぞれから受信するログ受信部と、
前記ログ受信部によってログが受信されたアドレス間の通信を許可するか否かの設定を受け付ける設定受付部と、
前記分類部によって同じグループに分類されたアドレス間の通信と、前記設定受付部によって通信を許可すると設定されたアドレス間の通信とを許可するホワイトリストを生成するホワイトリスト生成部と
を備える。 The master device according to the present disclosure is
An address receiving unit that receives the address of the terminal connected to the edge device from each of the plurality of edge devices.
A classification unit that classifies the address of the terminal received by the address receiving unit into a plurality of groups based on the terminal information of the terminal, and a classification unit.
A log receiving unit that receives communication logs between addresses classified into different groups by the classification unit from each of the plurality of edge devices, and a log receiving unit.
A setting receiving unit that accepts a setting of whether or not to allow communication between addresses for which logs are received by the log receiving unit, and a setting receiving unit.
It includes a whitelist generation unit that generates a whitelist that permits communication between addresses classified into the same group by the classification unit and communication between addresses set when communication is permitted by the setting reception unit.

本開示に係る通信制御方法は、
マスター装置が、複数のエッジ装置それぞれから、そのエッジ装置に接続された端末のアドレスを受信し、
前記マスター装置が、前記端末の前記アドレスを、前記端末の端末情報に基づき複数のグループに分類し、
前記複数のエッジ装置それぞれが、異なるグループに分類されたアドレス間の通信のログを取得し、
前記マスター装置が、前記ログが取得されたアドレス間の通信を許可するか否かの設定を受け付け、
前記マスター装置が、同じグループに分類されたアドレス間の通信と、通信を許可すると設定されたアドレス間の通信とを許可するホワイトリストを生成する。 The communication control method according to the present disclosure is
The master device receives the address of the terminal connected to the edge device from each of the plurality of edge devices, and receives the address of the terminal connected to the edge device.
The master device classifies the address of the terminal into a plurality of groups based on the terminal information of the terminal.
Each of the plurality of edge devices acquires a log of communication between addresses classified into different groups, and obtains a log of communication.
The master device accepts the setting of whether or not to allow communication between the addresses from which the logs have been acquired.
The master device generates a whitelist that allows communication between addresses classified in the same group and communication between addresses that are set to allow communication.

本開示に係る通信制御プログラムは、
前記複数のエッジ装置それぞれから、そのエッジ装置に接続された端末のアドレスを受信するアドレス受信処理と、
前記アドレス受信処理によって受信された前記端末の前記アドレスを、前記端末の端末情報に基づき複数のグループに分類する分類処理と、
前記分類処理によって異なるグループに分類されたアドレス間の通信のログを取得するログ取得処理と、
前記ログ取得処理によってログが取得されたアドレス間の通信を許可するか否かの設定を受け付ける設定受付処理と、
前記分類処理によって同じグループに分類されたアドレス間の通信と、前記設定受付処理によって通信を許可すると設定されたアドレス間の通信とを許可するホワイトリストを生成するホワイトリスト生成処理と
を行う通信制御システムとしてコンピュータを機能させる。 The communication control program related to this disclosure is
Address reception processing for receiving the address of the terminal connected to the edge device from each of the plurality of edge devices, and
A classification process for classifying the address of the terminal received by the address reception process into a plurality of groups based on the terminal information of the terminal, and a classification process.
A log acquisition process for acquiring a log of communication between addresses classified into different groups by the classification process, and a log acquisition process.
The setting acceptance process that accepts the setting of whether to allow communication between the addresses for which logs have been acquired by the log acquisition process, and the setting acceptance process.
Communication control that performs a whitelist generation process that generates a whitelist that permits communication between addresses classified into the same group by the classification process and communication between addresses set to allow communication by the setting acceptance process. Make your computer function as a system.

以上、本開示の実施の形態及び変形例について説明した。これらの実施の形態及び変形例のうち、いくつかを組み合わせて実施してもよい。また、いずれか１つ又はいくつかを部分的に実施してもよい。なお、本開示は、以上の実施の形態及び変形例に限定されるものではなく、必要に応じて種々の変更が可能である。 The embodiments and modifications of the present disclosure have been described above. Some of these embodiments and modifications may be combined and carried out. In addition, any one or several may be partially carried out. The present disclosure is not limited to the above embodiments and modifications, and various modifications can be made as necessary.

１通信制御システム、１０マスター装置、１１プロセッサ、１２メモリ、１３ストレージ、１４通信インタフェース、１１１アドレス受信部、１１２分類部、１１３検査リスト生成部、１１４検査リスト送信部、１１５ログ受信部、１１６設定受付部、１１７ホワイトリスト生成部、１１８ホワイトリスト送信部、１１９端末情報受付部、２０エッジ装置、２１プロセッサ、２２メモリ、２３ストレージ、２４通信インタフェース、２１１アドレス取得部、２１２端末情報受付部、２１３アドレス送信部、２１４リスト受信部、２１５ログ取得部、２１６ログ送信部、２１７通信制御部、３０端末、４１アドレス、４２端末情報、４３端末テーブル、４４グループ、４５検査リスト、４６検査用アクセスリスト、４７ログデータ、４８異グループ間通信リスト、４９ホワイトリスト、９０ネットワーク機器。 1 communication control system, 10 master device, 11 processor, 12 memory, 13 storage, 14 communication interface, 111 address receiver, 112 classification unit, 113 inspection list generator, 114 inspection list transmitter, 115 log receiver, 116 settings Reception unit, 117 whitelist generation unit, 118 whitelist transmission unit, 119 terminal information reception unit, 20 edge device, 21 processor, 22 memory, 23 storage, 24 communication interface, 211 address acquisition unit, 212 terminal information reception unit, 213 Address transmitter, 214 list receiver, 215 log acquisition unit, 216 log transmitter, 217 communication control unit, 30 terminals, 41 address, 42 terminal information, 43 terminal table, 44 groups, 45 inspection list, 46 inspection access list , 47 log data, 48 intergroup communication list, 49 whitelist, 90 network equipment.

Claims

It is a communication control system equipped with multiple edge devices and a master device.
Each of the plurality of edge devices
Acquire a communication log between addresses classified into different groups in a group list in which the addresses of terminals connected to any of the plurality of edge devices are classified into a plurality of groups based on the terminal information of the terminal. Equipped with a log acquisition unit
The master device further
A setting reception unit that accepts settings for whether or not to allow communication for which logs have been acquired by the log acquisition unit, and a setting reception unit.
Communication control including a whitelist generation unit that generates a whitelist that permits communication between addresses classified into the same group in the group list and communication for which communication is permitted by the setting reception unit. system.

Each of the plurality of edge devices further
A communication control unit that controls communication according to the whitelist, and includes a communication control unit that blocks communication that is not permitted by the whitelist.
The log acquisition unit acquires a log of communication blocked by the communication control unit.
The setting reception unit accepts a setting of whether or not to allow blocked communication, which is communication for which a log has been acquired by the log acquisition unit.
The communication control system according to claim 1, wherein the whitelist generation unit is added to the whitelist as communication that permits communication set to allow communication by the setting reception unit.

The master device further
A whitelist transmission unit for transmitting the whitelist generated by the whitelist generation unit to each of the plurality of edge devices is provided.
Each of the plurality of edge devices further
The communication control system according to claim 1 or 2, further comprising a communication control unit that controls communication according to the whitelist transmitted by the whitelist transmission unit.

The log acquisition unit acquires the log during the observation period.
Each of the plurality of edge devices further
The communication control system according to any one of claims 1 to 3, further comprising a log transmission unit that transmits the log acquired by the log acquisition unit to the master device when the observation period ends.

The master device further
It is provided with an inspection list transmission unit that transmits an inspection list designating between addresses classified into different groups in the group list to each of the plurality of edge devices.
The communication control system according to any one of claims 1 to 4, wherein the log acquisition unit acquires a log of communication between addresses designated by the inspection list transmitted by the inspection list transmission unit.

The whitelist generator is the case where a new terminal is connected to any of the plurality of edge devices and the new terminal is allowed to communicate with a terminal of a different group. The communication control system according to any one of claims 1 to 5, which updates the whitelist.

In the group list in which the addresses of terminals connected to one of a plurality of edge devices are classified into a plurality of groups based on the terminal information of the terminal, the log of communication between the addresses classified into different groups is recorded. Log receivers received from each of the edge devices of
A setting receiving unit that accepts a setting of whether or not to allow communication for which a log has been received by the log receiving unit, and a setting receiving unit.
A master device including a whitelist generation unit that generates a whitelist that permits communication between addresses classified into the same group by the group list and communication that is accepted by the setting reception unit for allowing communication. ..

Each of the plurality of edge devices is an address classified into a different group in a group list in which the address of a terminal connected to one of the plurality of edge devices is classified into a plurality of groups based on the terminal information of the terminal. Get the log of communication between
The master device accepts the setting of whether to allow communication between the addresses from which the log was acquired, and accepts the setting.
A communication control method in which the master device generates a white list that permits communication between addresses classified into the same group in the group list and communication for which a setting to allow communication is accepted.

Acquire a communication log between addresses classified into different groups in a group list in which the addresses of terminals connected to any of the edge devices are classified into a plurality of groups based on the terminal information of the terminal. Log acquisition process and
The setting acceptance process that accepts the setting of whether to allow communication between the addresses for which logs have been acquired by the log acquisition process, and the setting acceptance process.
Communication control that performs a whitelist generation process that generates a whitelist that permits communication between addresses classified into the same group in the group list and communication for which communication is permitted by the setting acceptance process. A communication control program that makes a computer function as a system.