JP7147337B2 - 通信制御システム、通信制御方法およびプログラム - Google Patents

Description

本発明は、通信を制御するシステム、方法およびその制御をコンピュータに実行させるためのプログラムに関する。

PCやスマートフォン等の通信装置は、ネットワークに接続して様々な情報にアクセスすることができる。このアクセスにおいて、アクセス先の情報に悪意あるソフトウェアや悪質なコード（マルウェア）が含まれていると、通信装置がマルウェアに感染するおそれがある。通信装置がマルウェアに感染すると、通信装置と通信を行った他の通信装置にマルウェアの感染を拡大させ、その感染が広がっていく。

そこで、その感染の拡大を防止するべく、不正な通信を検出した後にその通信を行った通信装置の通信経路を動的に制御する技術が提案されている（例えば、特許文献１参照）。

しかしながら、上記の技術では、不正な通信を行った通信装置を隔離する等の事後対応するものであるため、同様の不正な通信を行う可能性がある他の通信装置に対して、不正な通信の実行を事前に阻止することができないという問題があった。

本発明は、上記の問題に鑑みなされたものであり、不正な通信を行う可能性がある他の通信装置に対して、不正な通信の実行を事前に阻止することを可能にするシステム、方法およびプログラムを提供することを目的とする。

上述した課題を解決し、目的を達成するために、本発明は、通信を制御するシステムであって、
複数の通信装置の通信を監視し、不正な通信を行った第１の通信装置を検出する検出手段と、
検出手段により検出された第１の通信装置の通信を制御するように指示する管理手段と、
管理手段からの指示を受けて、第１の通信装置の通信を制御する制御手段と
を含み、
管理手段は、各通信装置を分類するための分類情報を管理し、第１の通信装置と共通する分類情報を有する第２の通信装置の通信も制御するように制御手段に対して指示する、システムを提供する。

本発明によれば、不正な通信を行う可能性がある他の通信装置に対して、不正な通信の実行を事前に阻止することが可能となる。

通信制御システムの構成例を示した図。 通信制御システムを構成する管理装置のハードウェア構成の一例を示した図。 通信制御システムの機能構成の一例を示したブロック図。 通信制御システムにより実行される通信制御の流れを示したフローチャート。 １台目の不正な通信を検出したときの通信制御について説明する図。 ２台目の不正な通信を検出したときの通信制御について説明する図。 通信を中継する中継装置が管理する管理情報の一例を示した図。 管理装置が管理する管理情報の一例を示した図。

図１は、通信制御システムの構成例を示した図である。図１に示す通信制御システムは、ソフトウェアにより仮想的なネットワーク環境を作る技術であるSDN（Software Defined Network）が適用されるネットワークシステムに実装される。ネットワークシステムは、２以上の拠点（サイト）を含み、サイト間で通信を行う。ここでは、２つのサイト（サイトA、サイトB）として説明するが、サイトの数は、３以上であってもよい。

各サイトは、１台以上の通信装置を含む。図１に示す例では、サイトAは、３台の通信装置１０～１２を含み、サイトBも、３台の通信装置２０～２２を含む。通信装置１０～１２、２０～２２は、通信を行うことができる機器であればいかなる機器であってもよい。通信装置１０～１２、２０～２２としては、例えばスマートフォン、タブレット端末、PC、デジタルカメラ、電子黒板、プリンタ、コピー機、MFP（Multi Function Peripheral）、プロジェクタシステム（PJS）等を一例として挙げることができる。各通信装置１０～１２、２０～２２は、互いに通信を行うだけではなく、インターネット等のネットワークに接続され、ネットワーク上の他の機器と通信を行うこともできる。

各サイトでは、ネットワークの動的な制御を実現するため、OpenFlowと呼ばれる技術が適用される。OpenFlowは、データ転送と経路制御という２つの機能を分離する技術で、通信経路の制御（経路制御）を行うSDNコントローラと、データ転送を行うSDNスイッチにより実現される。このため、通信制御システムは、SDNコントローラとSDNスイッチを含み、サイトA、Bのそれぞれに、SDNコントローラ１３、SDNスイッチ１４、SDNコントローラ２３、SDNスイッチ２４として設けられる。

サイトAでは、３台の通信装置１０～１２がSDNスイッチ１４に接続され、SDNスイッチ１４にSDNコントローラ１３が接続され、SDNコントローラ１３が各通信装置１０～１２の通信経路の変更等を指示し、SDNスイッチ１４が経路を切り替えてデータの転送を行う。SDNコントローラ１３は、経路の変更のほか、通信の遮断等も指示することができる。これは、サイトBも同様である。

通信制御システムは、各通信装置１０～１２、２０～２２が行う通信を監視し、不正な通信を行った通信装置を検出する検出装置を含み、サイトA、Bのそれぞれに、検出装置１５、検出装置２５として設けられる。不正な通信を行った通信装置は、例えばマルウェアに感染した装置である。以下、検出装置１５、２５は、マルウェアの一例として、コンピュータウィルス（ウィルス）に感染した装置を検出するものとして説明する。

サイトAとサイトBとの間の通信は、中継装置１６、２６を介して行われる。検出装置１５、２５は、中継装置１６、２６と接続され、中継装置１６、２６上の通信で通信装置のウィルスの感染を検出する。

通信制御システムは、サイトAとサイトBとの間の通信を管理する管理装置３０を含む。管理装置３０は、各通信装置１０～１２、２０～２２の情報を管理し、複数の通信装置１０～１２、２０～２２のうち、検出装置１５、２５により検出されたウィルスに感染した通信装置の通信を制御するように、SDNコントローラ１３、２３に対して指示する。この場合の通信の制御は、ウィルスに感染した通信装置の通信の遮断である。

この通信の遮断により、他の通信装置のウィルスへの感染を阻止することができる。

次に、図２を参照して、管理装置３０のハードウェア構成について説明する。なお、通信装置１０～１２、２０～２２、SDNコントローラ１３、２３、検出装置１５、２５、中継装置１６、２６は、管理装置３０と同様のハードウェア構成を採用することができる。このため、これらの装置のハードウェア構成についての説明は省略する。

管理装置３０は、ハードウェアとして、CPU(Central Processing Unit)３１、ROM(Read Only Memory)３２、RAM(Random Access Memory)３３、HDD(Hard Disk Drive)３４、通信I/F３５を含む。CPU３１とROM３２とRAM３３とHDD３４と通信I/F３５とは、バス３６を介して互いに接続されている。

CPU３１は、演算手段で、管理装置３０全体の動作を制御し、上記の検出装置１５、２５からの検出結果の通知を受けて、SDNコントローラ１３、２３に対して指示する処理を実行する。ROM３２は、読み出し専用の不揮発性記憶媒体で、ブートプログラムやハードウェアを制御するためのファームウェア等のプログラムを記憶する。

RAM３３は、情報の高速な読み書きが可能な揮発性記憶媒体で、CPU３１が情報を処理する際の作業領域として使用される。HDD３４は、情報の読み書きが可能な不揮発性記憶媒体で、OS(Operating System)や上記の処理を実行するためのプログラム等を格納する。通信I/F３５は、ネットワークに接続し、データの送受信等を制御する。通信I/F３５としては、Ethernet（登録商標）やUSB(Universal Serial Bus)インタフェース等を用いることができる。

管理装置３０は、その他のハードウェアとして、LCD（Liquid Crystal Display）等の表示装置や、キーボードやマウス等の入力装置、マイク等の音声入力装置、スピーカ等の音声出力装置、カメラ等の撮像装置等を備えていてもよい。

通信制御システムは、SDNコントローラ１３、２３、SDNスイッチ１４、２４、検出装置１５、２５、管理装置３０の各々に実装されるプログラムを実行することにより、通信を制御するための機能を実現する各機能部が構成される。なお、プログラムに限られるものではなく、一部または全部の機能が集積回路等のハードウェアで実現されてもよい。

図３は、通信制御システムの機能構成の一例を示したブロック図である。通信制御システムは、機能部として、検出部４０と、管理部４１と、制御部４２と、記憶部４３とを含む。なお、記憶部４３は、必要に応じて設けることができる。

検出部４０は、複数の通信装置の通信を監視し、通信装置のウィルスの感染を検出する。検出部４０は、例えばウィルスを検出するための複数のパターンを保持し、各パターンと通信において送受信されるデータ（ファイル）を比較することにより通信装置のウィルスの感染を検出する。なお、これは一例であるので、ウィルスの感染を検出することができれば、これまでに知られたいかなる方法でも採用することができる。

管理部４１は、検出部４０から通信装置のウィルスの感染を検出したことの通知を受けて、その通信装置の通信を制御、すなわち遮断するように制御部４２に対して指示する。

制御部４２は、管理部４１からの指示を受けて、検出部４０によりウィルスの感染が検出された通信装置の通信を遮断する。

管理部４１は、記憶部４３を使用し、複数の通信装置１０～１２、２０～２２の各々を分類するための分類情報を管理する。管理部４１は、記憶部４３に記憶された分類情報を参照し、検出部４０によりウィルスの感染が検出された通信装置と共通する分類情報を有する通信装置を検索する。ここで検索された通信装置は、ウィルスに未感染の通信装置である。管理部４１は、この未感染の通信装置の通信も制御、すなわち遮断するように制御部４２に対して指示する。これは、ウィルスに感染した通信装置の遮断の指示と同時に、またはその指示に続いて行われる。

制御部４２は、この指示も受けて、ウィルスに感染している通信装置の遮断と同時に、またはその遮断に続いて、判別された未感染の通信装置も通信を遮断する。

分類情報は、同様のウィルスに感染する可能性がある、同じ種類の機器を分類するため、少なくとも機器の種類の情報を含む。機器の種類は、PC、MFP、PJS等である。また、分類情報は、より細かく分類するため、機器の型式（モデル）や機器を制御するための基本ソフトウェアであるOSのバージョン等の情報を含むことができる。ここでは、分類情報として、機器の種類、モデル、バージョンの情報のみを例示したが、分類情報は、これらに限られるものではない。

管理部４１は、検出部４０がウィルスに感染した２台目の通信装置を検出した場合、その２台目の通信装置に加え、１台目と２台目に共通する分類情報を有する通信装置を検索し、その２台目の通信装置の通信と、１台目と２台目に共通する分類情報を有する通信装置の通信とを制御するように指示する。このようにして、３台目以降も同様に、n（nは３以上の整数）台目の通信装置の通信と、１台目、２台目、…、n台目に共通する分類情報を有する通信装置の通信とを制御するように指示することができる。これにより、より広く未感染の通信装置の通信を遮断し、それらの通信装置のウィルスへの感染を未然に防ぐことができる。

図４を参照して、通信制御システムにより実行される通信制御について詳細に説明する。通信制御システムは、構成する全ての装置の電源をONあるいは制御開始を指示する等して、ステップ４００から制御を開始し、ステップ４０１で、検出部４０が各通信装置の通信を監視し、通信装置のウィルス感染を検出したかどうかを確認する。ウィルス感染を検出しない場合は、ステップ４０１の処理を、通信装置のウィルス感染を検出するまで繰り返す。

ステップ４０２では、検出部４０がウィルス感染を検出したことを管理部４１に対して通知する。

ステップ４０３では、管理部４１が、検出された通信装置の情報を記憶する。記憶する通信装置の情報は、例えば装置IDである。記憶先は、記憶部４３とすることができるが、管理部４１が記憶領域を備える場合、その記憶領域であってもよい。

ステップ４０４では、管理部４１が、記憶部４３を参照し、これまでに検出された全ての通信装置の装置IDを取得し、装置IDを基に、それらの通信装置と共通する分類情報を有する未感染の通信装置を検索する。なお、共通する分類情報を有する未感染の通信装置が存在しない場合は、検索結果がなしとされる。

ステップ４０５で、管理部４１は、制御部４２に対し、ステップ４０１で検出された通信装置とステップ４０４で検索された未感染の通信装置の通信を遮断するように指示する。管理部４１は、検索された未感染の通信装置がない場合は、検出された通信装置のみを遮断するように指示する。検索された未感染の通信装置が複数存在する場合は、検出された通信装置と検索された複数の通信装置の全部を遮断するように指示する。

ステップ４０６では、制御部４２は、管理部４１からの指示を受けて、指示された通信装置の通信を遮断する。制御部４２は、指示された通信装置の通信が既に遮断されている場合、遮断されていない通信装置の通信のみを遮断する。

ステップ４０７では、制御を中止するかを判断する。制御は、制御中止の指示を受けて、あるいは通信制御システムを構成するいずれかの装置のエラーの発生や電源OFF等により中止することができる。中止しない場合、ステップ４０１へ戻り、中止する場合、ステップ４０８へ進み、通信制御を終了する。

なお、管理部４１は、通信を遮断するように指示した未感染の通信装置の情報を記憶部４３に記憶しておき、検索された未感染の通信装置の情報と比較し、まだ指示していない未感染の通信装置を判別し、判別した未感染の通信装置の通信を遮断するように指示することも可能である。

図５および図６を参照して、より具体的に通信制御を説明する。図５は、１台目の通信装置のウィルス感染を検出したときの制御について、図６は、２台目の通信装置のウィルス感染を検出したときの制御について説明する図である。

図５のサイトAは、通信装置１０～１２を含み、通信装置１０は、機器の種類がPJSで、通信装置１１は、機器の種類がMFP、モデルがAAA、バージョンが1.3とされ、通信装置１２は、機器の種類がMFP、モデルがAAA、バージョンが1.2とされている。サイトBは、通信装置２０～２２を含み、通信装置２０は、機器の種類がMFP、モデルがAAA、バージョンが1.4とされ、通信装置２１は、機器の種類がPJSとされ、通信装置２２は、機器の種類がMFP、モデルがAAA、バージョンが1.2とされている。

例えば、通信装置１２がウィルスに感染した場合（S1）、検出装置１５は、通信装置１２が送信したファイルから感染を検出し（S2）、管理装置３０に対して通信装置１２がウィルスに感染している旨を通知する（S3）。

検出装置１５は、中継装置１６と接続され、ファイルの送受信は、IPアドレスを使用し、中継装置１６を介して行われる。中継装置１６は、図７（ａ）に示す通信装置１０～１２を識別するための識別情報（装置ID）とアドレス情報（IPアドレス）とを対応付け、管理情報として保持している。

検出装置１５は、中継装置１６に対して検出した通信装置１２のIPアドレス「xxx.yyy.aaa13」を用いて問い合わせ、通信装置１２を識別するための識別情報（装置ID=A3）を取得し、取得した装置IDを通信装置１２の情報として通知する。なお、検出装置１５は、通信装置１２の情報としてIPアドレスを通知し、検出装置１５と管理装置３０との通信を中継する中継装置１６においてIPアドレスを装置IDに変換し、変換された装置IDを管理装置３０へ通知するように構成されていてもよい。

管理装置３０は、その通知を受けて、自身が管理する複数の通信装置の情報を参照し、通信装置１２と共通する分類情報を有する通信装置を検索する。

管理装置３０は、図８に示すような各サイトの通信装置の装置IDと、分類情報としての機器の種類、モデル、バージョンの情報を対応付けて管理情報として保持する。管理装置３０は、管理情報を参照し、通信装置１２と共通する機器の種類、モデル、バージョンの情報を有する通信装置を検索する。すなわち、管理装置３０は、通信装置１２の装置ID「A2」に対応付けられた種類「MFP」、モデル「AAA」、バージョン「1.2」に一致する通信装置を検索する。この例では、装置ID「B3」の通信装置２２が検索される。

管理装置３０は、通知された情報および検索結果に基づき、通信装置１２の通信を制御するSDNコントローラ１３に対して通信装置１２の通信を遮断するように指示し、通信装置２２の通信を制御するSDNコントローラ２３に対して通信装置２２の通信を遮断するように指示する（S4）。

このとき、管理装置３０は、中継装置１６、２６に装置ID「A3」、「B3」を送信して問い合わせ、遮断する通信装置１２、２２のIPアドレス「xxx.yyy.aaa13」、「xxx.yyy.bbb13」を取得し、取得したIPアドレスをSDNコントローラ１３、２３に通知して通信の遮断を指示する。中継装置２６も、図７（ｂ）に示すように中継装置１６と同様の管理情報を保持しているからである。

この場合も、管理装置３０は、装置IDを通知するが、管理装置３０とSDNコントローラ１３、２３との通信を中継する中継装置１６、２６においてIPアドレスに変換し、変換されたIPアドレスをSDNコントローラ１３、２３へ通知するように構成されていてもよい。

SDNコントローラ１３、２３は、IPアドレスの通知を受けて、そのIPアドレスからの通信やそのIPアドレス宛の通信を遮断するようにSDNスイッチ１４、２４に対して指示し（S5）、SDNスイッチ１４、２４は、そのIPアドレスを有する装置に繋がるスイッチを切り、通信装置１２、２２の通信を遮断する（S6）。通信装置２２は、ウィルスに未感染であるが、このようにして事前に通信を遮断することで、ウィルスへの感染を未然に防ぐことができる。

次に図６を参照すると、図６に示す例では、２台目として通信装置１１がウィルスに感染している（S1）。また、１台目の通信装置１２と通信装置２２の通信が既に遮断されている。

検出装置１５は、通信装置１１が送信したファイルから感染を検出し（S2）、管理装置３０に対して通信装置１１がウィルスに感染している旨を通知する（S3）。

管理装置３０は、その通知を受けて、自身が管理する管理情報を参照し、通信装置１１と通信装置１２に共通する分類情報を有する通信装置を検索する。通信装置１１と通信装置１２は、機器の種類、モデルのみが共通しているため、同じ種類「MFP」、モデル「AAA」を有する通信装置が検索される。

管理装置３０は、共通する分類情報を有する装置として通信装置１２、２０、２２を検索し、通信装置１１、１２の通信を制御するSDNコントローラ１３に対して通信装置１１、１２の通信を遮断するように指示し、通信装置２０、２２の通信を制御するSDNコントローラ２３に対して通信装置２０、２２の通信を遮断するように指示する。なお、管理装置３０は、通信装置１２、２２については、既に通信の遮断を指示しているので、通信装置１１、２０についてのみ遮断を指示してもよい。

SDNコントローラ１３、２３は、管理装置３０から通信装置１１、１２、２０、２２のIPアドレスの通知を受けて、そのIPアドレスからの通信やそのIPアドレス宛の通信を遮断するようにSDNスイッチ１４、２４に対して指示し、SDNスイッチ１４、２４は、そのIPアドレスを有する装置に繋がるスイッチを切り、通信装置１１、１２、２０、２２の通信を遮断する。通信装置１２、２２については既に通信を遮断しているので、ここでは通信装置１１、２０の通信のみを遮断する。この場合も、通信装置２０は、ウィルスに未感染であるが、事前に遮断することで、ウィルスへの感染を未然に防ぐことができる。

これまで本発明を、通信制御システム、通信制御方法およびプログラムとして上述した実施の形態をもって説明してきたが、本発明は上述した実施の形態に限定されるものではない。したがって、他の実施の形態、追加、変更、削除など、当業者が想到することができる範囲内で変更することができ、いずれの態様においても本発明の作用・効果を奏する限り、本発明の範囲に含まれるものである。よって、本発明では、上記のプログラムが記録された記録媒体、そのプログラムを、ネットワークを介して提供するサーバ装置等も提供することができるものである。

１０～１２、２０～２２…通信装置
１３、２３…SDNコントローラ
１４、２４…SDNスイッチ
１５、２５…検出装置
１６、２６…中継装置
３０…管理装置
３１…CPU
３２…ROM
３３…RAM
３４…HDD
３５…通信I/F
４０…検出部
４１…管理部
４２…制御部
４３…記憶部

特開２０１７－１４７５７５号公報

Claims (7)

1. 通信を制御するシステムであって、
   複数の通信装置の通信を監視し、不正な通信を行った第１の通信装置を検出する検出手段と、
   前記検出手段により検出された前記第１の通信装置の通信を制御するように指示する管理手段と、
   前記管理手段からの指示を受けて、前記第１の通信装置の通信を制御する制御手段とを含み、
   前記管理手段は、各通信装置を分類するための分類情報を管理し、前記第１の通信装置と共通する分類情報を有する第２の通信装置の通信も制御するように前記制御手段に対して指示し、
   前記制御手段は、前記管理手段からの指示を受けて、前記第１の通信装置および前記第２の通信装置の通信経路の制御を指示する指示手段と、前記指示手段からの指示を受けて、前記通信経路を切り替える切替手段とを含み、
   前記検出手段が、前記第１の通信装置とは異なる第３の通信装置を検出した場合、前記管理手段は、前記第３の通信装置の通信と、前記第１の通信装置と前記第３の通信装置に共通する分類情報を有する第４の通信装置の通信とを制御するように指示する、システム。
2. 前記管理手段は、前記分類情報として、少なくとも各通信装置の種類の情報を管理する、請求項１に記載のシステム。
3. 前記管理手段は、前記分類情報として、各通信装置の型式の情報と各通信装置を制御するための基本ソフトウェアのバージョンの情報の一方またはその両方をさらに管理する、請求項２に記載のシステム。
4. 前記切替手段は、前記第１の通信装置と前記第２の通信装置の通信経路を遮断する、請求項１～３のいずれか１項に記載のシステム。
5. 通信を制御する方法であって、
   複数の通信装置の通信を監視し、不正な通信を行った第１の通信装置を検出するステップと、
   検出された前記第１の通信装置の通信を制御するように指示するステップと、
   指示を受けて、前記第１の通信装置の通信を制御するステップと
   含み、
   前記指示するステップでは、前記第１の通信装置と共通する、各通信装置を分類するための分類情報を有する第２の通信装置の通信も制御するように指示し、
   前記制御するステップは、前記指示を受けて、前記第１の通信装置および前記第２の通信装置の通信経路の制御を指示するステップと、前記通信経路の制御の指示を受けて、前記通信経路を切り替えるステップとを含み、
   前記方法は、
   複数の通信装置の通信を監視し、不正な通信を行った、前記第１の通信装置とは異なる第３の通信装置を検出するステップと、
   検出された前記第３の通信装置の通信と、前記第１の通信装置と前記第３の通信装置に共通する分類情報を有する第４の通信装置の通信とを制御するように指示するステップと
   を含む、方法。
6. 前記第３の通信装置と前記第４の通信装置の通信の制御の指示を受けて、前記第３の通信装置と前記第４の通信装置の通信を制御するステップを含む、請求項５に記載の方法。
7. 請求項５または６に記載の方法に含まれる各ステップをコンピュータに実行させるためのプログラム。
   

Images