JP7209792B1 - マスター装置、通信制御方法、通信制御プログラム及び通信制御システム - Google Patents

Abstract

【課題】ネットワークにおける通信制御の設定に係る作業負担を軽減可能にする。【解決手段】マスター装置１０は、ネットワークに接続された端末３０のアドレスを受信する。マスター装置１０は、受信されたアドレスのうち、ネットワークに接続された端末３０を分類したグループであって、通信の制御を行うためのグループを示すグループリストに存在しないアドレスが示す端末を未分類端末として抽出する。マスター装置１０は、抽出された未分類端末に関する情報を表示して、未分類端末が属するグループを指定させる。【選択図】図１

Description

本開示は、端末間の通信を制御する技術に関する。

ネットワークセキュリティ機器により、ネットワークセキュリティ機器に接続された端末の通信の制御がされる。この制御は、データの送信元の端末のＩＰ（Ｉｎｔｅｒｎｅｔ
Ｐｒｏｔｏｃｏｌ）アドレスと、データの送信先の端末のＩＰアドレスとの組合せに対して、通信を許可するか否かを事前に設定しておくことにより、実現されている。

特許文献１には、ネットワーク内に複数のグループを定義し、グループの識別子を用いてグループ間の通信を制御することが記載されている。

特開平１１－１１２５５９号公報

ＩＰアドレスの組合せ毎に通信を許可するか否かを設定する作業は、煩雑で時間がかかる。特許文献１には、グループ間の通信を制御することは記載されている。しかし、端末のグループ分けを行う方法については記載されていない。端末をグループ分けする作業は時間がかかり、適切にグループ分けがされないと適切な通信制御を実現することができない。
本開示は、設定に係る作業負担を軽減可能にすることを目的とする。

本開示に係るマスター装置は、
ネットワークに接続された端末のアドレスを受信するアドレス受信部と、
前記アドレス受信部によって受信されたアドレスのうち、前記ネットワークに接続された端末を分類したグループであって、通信の制御を行うためのグループを示すグループリストに存在しないアドレスが示す端末を未分類端末として抽出する端末抽出部と、
前記端末抽出部によって抽出された前記未分類端末に関する情報を表示して、前記未分類端末が属するグループを指定させる端末分類部と
を備える。

本開示では、グループリストに存在しないアドレスが示す端末を未分類端末として抽出し、未分類端末に関する情報を表示して、前記未分類端末が属するグループを指定させる。これにより、容易かつ適切に端末のグループ分けを行うことが可能である。

実施の形態１に係る通信制御システム１の構成図。 実施の形態１に係るマスター装置１０の構成図。 実施の形態１に係るエッジ装置２０の構成図。 実施の形態１に係る通信制御システム１の全体的な動作を示すフローチャート。 実施の形態１に係るアドレス４１及び端末情報４２の説明図。 実施の形態１に係るポリシー４５の説明図。 実施の形態１に係る分類処理（図４のステップＳ１２）のフローチャート。 実施の形態１に係るアドレス受信処理（図７のステップＳ２１）の説明図。 実施の形態１に係る端末抽出処理（図７のステップＳ２２）の説明図。 実施の形態１に係る一覧表示処理（図７のステップＳ２３）の説明図。 実施の形態１に係るポリシー設定処理（図４のステップＳ１３）のフローチャート。 実施の形態１に係る一覧表示処理（図１１のステップＳ３１）の説明図。 実施の形態１に係るポリシー設定処理（図１１のステップＳ３２）の説明図。 実施の形態２に係る通信制御システム１の全体的な動作を示すフローチャート。 実施の形態２に係るポリシー設定処理（図１４のステップＳ４３）の説明図。 実施の形態２に係る分類変更処理（図１４のステップＳ４６）の説明図。 実施の形態２に係る分類変更処理（図１４のステップＳ４６）の説明図。

実施の形態１．
＊＊＊構成の説明＊＊＊
図１を参照して、実施の形態１に係る通信制御システム１の構成を説明する。
通信制御システム１は、マスター装置１０と、複数のエッジ装置２０とを備える。マスター装置１０と、各エッジ装置２０とはネットワーク機器９０を介して接続されている。
マスター装置１０は、管理センター等に設置され、通信制御システム１を管理するためのコンピュータである。各エッジ装置２０は、工場及びオフィスといった現場に設置され、１つ以上の端末３０が接続されるコンピュータである。端末３０としては、ＩＴ（Ｉｎｆｏｒｍａｔｉｏｎ Ｔｅｃｈｎｏｌｏｇｙ）系の端末３０と、ＯＴ（Ｏｐｅｒａｔｉｏｎａｌ Ｔｅｃｈｎｏｌｏｇｙ）系の端末３０とのように、複数の種別の端末３０が存在する。

図２を参照して、実施の形態１に係るマスター装置１０の構成を説明する。
マスター装置１０は、プロセッサ１１と、メモリ１２と、ストレージ１３と、通信インタフェース１４とのハードウェアを備える。プロセッサ１１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。

マスター装置１０は、機能構成要素として、アドレス受信部１１１と、端末抽出部１１２と、端末分類部１１３と、ポリシー設定部１１４と、設定送信部１１５とを備える。マスター装置１０の各機能構成要素の機能はソフトウェアにより実現される。
ストレージ１３には、マスター装置１０の各機能構成要素の機能を実現するプログラムが格納されている。このプログラムは、プロセッサ１１によりメモリ１２に読み込まれ、プロセッサ１１によって実行される。これにより、マスター装置１０の各機能構成要素の機能が実現される。

図３を参照して、実施の形態１に係るエッジ装置２０の構成を説明する。
エッジ装置２０は、プロセッサ２１と、メモリ２２と、ストレージ２３と、通信インタフェース２４とのハードウェアを備える。プロセッサ２１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。

エッジ装置２０は、機能構成要素として、アドレス取得部２１１と、アドレス送信部２１２と、設定受信部２１３と、通信制御部２１４と、ログ取得部２１５とを備える。エッジ装置２０の各機能構成要素の機能はソフトウェアにより実現される。
ストレージ２３には、エッジ装置２０の各機能構成要素の機能を実現するプログラムが格納されている。このプログラムは、プロセッサ２１によりメモリ２２に読み込まれ、プロセッサ２１によって実行される。これにより、エッジ装置２０の各機能構成要素の機能が実現される。

プロセッサ１１，２１は、プロセッシングを行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）である。プロセッサ１１，２１は、具体例としては、ＣＰＵ（Ｃｅｎｔｒａｌ
Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）、ＧＰＵ（Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。

メモリ１２，２２は、データを一時的に記憶する記憶装置である。メモリ１２，２２は、具体例としては、ＳＲＡＭ（Ｓｔａｔｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）である。

ストレージ１３，２３は、データを保管する記憶装置である。ストレージ１３，２３は、具体例としては、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）である。また、ストレージ１３，２３は、ＳＤ（登録商標，Ｓｅｃｕｒｅ Ｄｉｇｉｔａｌ）メモリカード、ＣＦ（ＣｏｍｐａｃｔＦｌａｓｈ，登録商標）、ＮＡＮＤフラッシュ、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ）といった可搬記録媒体であってもよい。

通信インタフェース１４，２４は、外部の装置と通信するためのインタフェースである。通信インタフェース１４，２４は、具体例としては、Ｅｔｈｅｒｎｅｔ（登録商標）、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）、ＨＤＭＩ（登録商標，Ｈｉｇｈ－Ｄｅｆｉｎｉｔｉｏｎ Ｍｕｌｔｉｍｅｄｉａ Ｉｎｔｅｒｆａｃｅ）のポートである。

＊＊＊動作の説明＊＊＊
図４から図１３を参照して、実施の形態１に係る通信制御システム１の動作を説明する。
実施の形態１に係る通信制御システム１の動作手順は、実施の形態１に係る通信制御方法に相当する。また、実施の形態１に係る通信制御システム１の動作を実現するプログラムは、実施の形態１に係る通信制御プログラムに相当する。

図４を参照して、実施の形態１に係る通信制御システム１の全体的な動作を説明する。
（ステップＳ１１：アドレス取得処理）
各エッジ装置２０のアドレス取得部２１１は、エッジ装置２０と同じネットワーク内に接続された端末３０のアドレス４１を取得する。同じネットワークとは、同じネットワークアドレスを持つネットワークを指す。この際、アドレス取得部２１１は、ポート毎に、接続された端末３０のアドレス４１を取得してもよい。
ここでは、アドレス取得部２１１は、図５に示すように、端末３０のアドレス４１として、ＩＰアドレス及びＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスを取得する。

各エッジ装置２０のアドレス送信部２１２は、端末情報４２を付加したアドレス４１をマスター装置１０に送信する。
ここでは、アドレス送信部２１２は、図５に示すように、端末情報４２として、グループ名と、端末名称と、エッジ装置名と、備考とを付加する。グループ名は、端末３０が属するグループの識別名称であり、ここでは未分類と設定される。端末名称は、端末３０を特定し易くするための名称であり、ここではＭＡＣアドレスが設定される。エッジ装置名は、端末３０が接続されたネットワークに接続されているエッジ装置２０の識別名称であり、ここではアドレス送信部２１２を備えるエッジ装置２０の名称が設定される。備考は、端末３０を特定し易くするための情報であり、ここではメーカ情報が設定される。メーカ情報は、ＭＡＣアドレスの企業コードから特定される製造メーカのメーカ名といったメーカを識別可能な情報である。

（ステップＳ１２：分類処理）
マスター装置１０のアドレス受信部１１１は、ステップＳ１１で送信された、端末情報４２が付加されたアドレス４１を受信する。複数のエッジ装置２０から同じ端末３０のアドレス４１が送信される場合がある。この場合には、アドレス受信部１１１は、重複がなくなるように同じ端末３０のアドレス４１を１つだけ残し、残りは削除する。
すると、マスター装置１０の端末抽出部１１２は、受信されたアドレス４１のうち、各グループ４３に属するアドレス４１を示すグループリスト４４に存在しないアドレスが示す端末３０を未分類端末３１として抽出する。そして、マスター装置１０の端末分類部１１３は、未分類端末３１に関する情報を表示して、未分類端末３１が属するグループ４３を指定させる。
これにより、未分類端末３１がいずれかのグループに分類され、グループリスト４４が更新される。

（ステップＳ１３：ポリシー設定処理）
マスター装置１０のポリシー設定部１１４は、図６に示すように、グループ間の通信を制御するためのポリシー４５を設定する。この際、ポリシー設定部１１４は、同一のグループ間の通信については自動的に許可し、異なるグループ間の通信については許可するか否かの指定を受け付けてポリシー４５を設定する。また、ポリシー設定部１１４は、異なるグループ間の通信についてはログを取得するか否かの指定を受け付けてポリシー４５を設定する。
マスター装置１０の設定送信部１１５は、ポリシー４５を複数のエッジ装置２０それぞれに送信する。

（ステップＳ１４：通信制御処理）
各エッジ装置２０の設定受信部２１３は、ステップＳ１３で送信されたポリシー４５を受信する。各エッジ装置２０の通信制御部２１４は、ポリシー４５に基づき、端末３０間の通信を制御する。また、ログ取得部２１５は、ポリシー４５でログを取得することが設定されている場合には、通信のログを取得する。

例えば、図６に示すポリシー４５が設定されているとする。そして、エッジ装置２０が、送信元のＩＰアドレスがＩＴグループに属するものであり、送信先のＩＰアドレスがＤＭＺグループに属するものであり、通信プロトコルがＸＸＸであるデータを受信したとする。この場合には、設定受信部２１３は、ポリシー１に合致すると判定して、通信を許可する。また、ログ取得部２１５は、通信のログを取得する。

通信制御システム１を導入する際には、ステップＳ１１からステップＳ１４までの処理が順に実行される。
その後は、ステップＳ１４の処理が継続して実行され、端末３０間の通信が制御される。また、ステップＳ１４の処理が実行されている際にも、ステップＳ１１の処理は定期的に実行される。そして、ステップＳ１１でアドレス４１が送信される度、あるいは、一定時間毎にステップＳ１２の処理が実行される。ステップＳ１３の処理は、必要に応じて実行される。

図７を参照して、実施の形態１に係る分類処理（図４のステップＳ１２）を説明する。 （ステップＳ２１：アドレス受信処理）
アドレス受信部１１１は、ステップＳ１１で各エッジ装置２０から送信された、端末情報４２が付加されたアドレス４１を受信する。図８に示すように、各エッジ装置２０で収集されたアドレス４１及び端末情報４２がマスター装置１０に集約される。

（ステップＳ２２：端末抽出処理）
端末抽出部１１２は、ステップＳ２１で受信されたアドレス４１のうち、グループリスト４４に存在しないアドレス４１が示す端末３０を未分類端末３１として抽出する。グループリスト４４は、複数のエッジ装置２０のうちのいずれかのエッジ装置２０に接続された端末３０を分類したグループ４３であって、通信の制御を行うためのグループ４３を示す。この際、端末抽出部１１２は、過去に受信したアドレス４１に分類がされていないアドレス４１がある場合には、このアドレス４１が示す端末３０についても未分類端末３１として抽出する。

ここでは、図９の（Ａ）に示すアドレス４１が受信されたとする。また、図９の（Ｂ）に示すグループリスト４４がストレージ１３に記憶されているとする。すると、図９の（Ｃ）のように未分類端末３１が抽出される。
つまり、グループリスト４４に存在しない、又は、分類がされていない２つの端末３０が未分類端末３１として抽出される。

（ステップＳ２３：一覧表示処理）
図１０に示すように、端末分類部１１３は、未分類端末３１に関する情報を一覧表示する。ここでは、未分類端末３１に関する情報は、アドレス４１と、端末情報４２のうちの端末名称とエッジ装置名と備考とである。つまり、未分類端末３１に関する情報として、未分類端末３１のアドレス４１の受信元のエッジ装置２０の識別情報であるエッジ装置名が表示される。また、未分類端末３１に関する情報として、ＭＡＣアドレスから特定される未分類端末３１の製造メーカを示すメーカ情報が表示される。
なお、アドレス４１と端末名称とエッジ装置名と備考とのうち、一部の情報だけを一覧表示しておき、カーソルが合わせられるといった操作がされた場合に、残りの情報を表示するようにしてもよい。

（ステップＳ２４：端末分類処理）
端末分類部１１３は、未分類端末３１が属するグループ４３をユーザに指定させる。ユーザは、例えば通信制御システム１の管理者等である。具体的には、図１０に示すグループ４３の指定欄でラジオボタンを選択させることにより、未分類端末３１が属するグループ４３を指定させる。指定欄による選択はユーザによって行われる。つまり、端末分類部１１３は、指定可能な前記グループを表示して選択的に指定させる。これにより、端末分類部１１３は、グループリスト４４を更新する。
この際、端末分類部１１３は、グループ４３の指定だけでなく、未分類端末３１の端末名称と、未分類端末３１に関連する関連情報が登録される備考との少なくともいずれかの情報の変更を受け付けてもよい。未分類端末３１の端末名称及び備考は、未分類端末３１を識別するために利用される。ここで適切な情報が入力されることにより、後日グループ４３の分類を見直す際等に、作業を容易に行うことが可能になる。

図１１を参照して、実施の形態１に係るポリシー設定処理（図４のステップＳ１３）を説明する。
（ステップＳ３１：一覧表示処理）
図１２に示すように、ポリシー設定部１１４は、異なるグループ間の通信について設定済のポリシー４５を一覧表示する。

（ステップＳ３２：ポリシー設定処理）
ポリシー設定部１１４は、異なるグループ間のポリシー４５の追加、変更、削除等の入力を受け付ける。ポリシー４５の追加、変更、削除等の入力はユーザによって行われる。具体的には、ポリシー設定部１１４は、図１２の追加ボタン又は変更ボタンが押下されると、ポリシー４５を追加するための入力画面を表示する。図１３に示すように、この入力画面では、データの送信元のグループ及びデータの送信先のグループと、通信プロトコル及び送信先のポート番号と、通信を許可するか否かと、ログを取得するか否かとの指定ができるようになっている。通信を許可するか否かは、アクションの欄で許可又は拒否を選択することにより指定される。また、この入力画面では、ポリシー４５を有効にするか否かの指定ができるようになっている。図１２の追加ボタンが押下された場合には、図１３に示す入力画面が、デフォルト値が示された状態で表示される。図１２の変更ボタンが押下された場合には、図１３に示す入力画面が、変更前のポリシー４５の設定が示された状態で表示される。
ポリシー設定部１１４は、入力画面に入力された情報に従い、ポリシー４５を設定する。入力画面では通信プロトコルの指定が可能になっているため、異なるグループ間の通信について、通信プロトコルに応じて通信を許可するか否かを指定してポリシー４５が設定可能である。通信プロトコルとは、ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ
Ｐｒｏｔｏｃｏｌ）、ＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ）等である。また、入力画面では通信プロトコルが指定されたときに、ポート単位に通信を許可するか否かの指定が可能になっているため、異なるグループ間の通信について、ポートに応じて通信を許可するか否かを指定してポリシー４５が設定可能である。また、入力画面ではログを取得するか否かの指定が可能になっているため、通信の制御とは別に、異なるグループ間の通信について、通信のログを取得するか否かの指定を受け付けてポリシー４５が設定可能である。

なお、ポリシー設定部１１４は、ポリシー４５について設定した設定データを読み込んで、ポリシー４５の設定をしてもよい。設定データを読み込んでポリシー４５の設定をした上で、ポリシー設定部１１４は、ポリシー４５の追加、変更、削除等の入力を受け付けてもよい。

（ステップＳ３３：ポリシー送信処理）
設定送信部１１５は、ステップＳ３２で設定されたポリシー４５を、各エッジ装置２０に送信する。

＊＊＊実施の形態１の効果＊＊＊
以上のように、実施の形態１に係る通信制御システム１は、グループリスト４４に存在しないアドレス４１が示す端末３０を未分類端末３１として抽出する。これにより、通信制御システム１のユーザが、多くの端末３０の中から、グループ４３への分類が必要な端末３０を探す手間が省け、簡便に端末３０のグループ４３への分類を行うことが可能である。

また、実施の形態１に係る通信制御システム１は、グループ４３への分類を指定させる際、必要な情報を１つの画面にまとめて表示する。これにより、様々な画面を表示させて分類を検討する必要がなくなり、グループの分類を指定する際の操作ミス及び指定ミスを防止することができる。

また、実施の形態１に係る通信制御システム１は、グループ４３への分類を指定させる際、未分類端末３１のアドレス４１の受信元のエッジ装置２０の識別情報であるエッジ装置名を表示する。これにより、接続予定でない端末３０が接続されたこと等の特定が容易になり、不正な端末３０を早期発見することが可能である。

また、実施の形態１に係る通信制御システム１は、グループ４３への分類を指定させる際、ＭＡＣアドレスから特定されるメーカ情報を表示する。これにより、未分類端末３１がどの端末３０であるかを特定し易くなり、グループ４３への分類を行いやすくなる。

また、実施の形態１に係る通信制御システム１は、同一のグループ間の通信についてはマスター装置１０側で自動的に許可し、異なるグループ間の通信については許可するか否かの指定を受け付けてポリシー４５を設定する。これにより、異なるグループ間の通信についてだけ許可するか否かを設定すればよく、設定に係る作業負担を軽減可能である。運用前にグループ間の通信制御のポリシー４５を作成することにより、通信制御の設定に時間を割くことなく運用開始できる。また、ポリシー４５が複雑化しないため、管理が容易になり、セキュアなネットワークを構築し易くなる。

また、実施の形態１に係る通信制御システム１は、通信プロトコルに応じて通信を許可するか否かの指定を受け付けてポリシーを設定する。また、実施の形態１に係る通信制御システム１は、通信プロトコルが指定されたときに、ポートに応じて通信を許可するか否かの指定を受け付けてポリシーを設定する。これにより、通信の適切な制御を実現可能である。

また、実施の形態１に係る通信制御システム１は、異なるグループ間の通信のログを取得するか否かの指定を受け付けてポリシー４５を設定する。これにより、一部のグループ間については、通信を許可しつつ、ログを取得しておき、通信内容を監視するといった対応を取ることも可能である。

また、実施の形態１に係る通信制御システム１は、ポリシー４５を一覧表示する。そして、必要に応じて一覧表示した画面の変更ボタンを押下することにより、ポリシー４５の変更が可能である。これにより、ポリシー４５を変更した際の変更ミスを減らすことが可能である。また、ポリシー４５の管理が容易になる。

＊＊＊他の構成＊＊＊
＜変形例１＞
実施の形態１では、マスター装置１０とエッジ装置２０とを異なる機能を有する装置として説明した。しかし、マスター装置１０の機能とエッジ装置２０の機能との両方を備える装置を複数用意しておき、いずれか１つをマスター装置１０とし、残りをエッジ装置２０として通信制御システム１を構成してもよい。
また、マスター装置１０がエッジ装置２０の機能を有していてもよい。マスター装置１０がエッジ装置２０の機能を有する場合には、マスター装置１０が同じネットワークに接続された端末３０のアドレス４１を取得する。マスター装置１０がアドレス４１を取得した場合には、エッジ装置名としてマスター装置１０の装置名が付加される。また、マスター装置１０がエッジ装置２０の機能を有する場合には、マスター装置１０は、エッジ装置２０と同様に、ポリシー４５に基づき、端末３０間の通信を制御する。

＜変形例２＞
実施の形態１では、各機能構成要素がソフトウェアで実現された。しかし、変形例２として、各機能構成要素はハードウェアで実現されてもよい。この変形例２について、実施の形態１と異なる点を説明する。

各機能構成要素がハードウェアで実現される場合には、マスター装置１０は、プロセッサ１１とメモリ１２とストレージ１３とに代えて、電子回路を備える。電子回路は、各機能構成要素と、メモリ１２と、ストレージ１３との機能とを実現する専用の回路である。
同様に、各機能構成要素がハードウェアで実現される場合には、エッジ装置２０は、プロセッサ２１とメモリ２２とストレージ２３とに代えて、電子回路を備える。電子回路は、各機能構成要素と、メモリ２２と、ストレージ２３との機能とを実現する専用の回路である。

電子回路１５としては、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ロジックＩＣ、ＧＡ（Ｇａｔｅ Ａｒｒａｙ）、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）が想定される。
各機能構成要素を１つの電子回路１５で実現してもよいし、各機能構成要素を複数の電子回路１５に分散させて実現してもよい。

＜変形例３＞
変形例３として、一部の各機能構成要素がハードウェアで実現され、他の各機能構成要素がソフトウェアで実現されてもよい。

プロセッサ１１とメモリ１２とストレージ１３と電子回路１５とを処理回路という。つまり、各機能構成要素の機能は、処理回路により実現される。

実施の形態２．
実施の形態２は、検査用ポリシー４６を設定する点が実施の形態１と異なる。実施の形態２では、この異なる点を説明し、同一の点については説明を省略する。

＊＊＊動作の説明＊＊＊
図１４から図１７を参照して、実施の形態２に係る通信制御システム１の動作を説明する。
実施の形態２に係る通信制御システム１の動作手順は、実施の形態２に係る通信制御方法に相当する。また、実施の形態２に係る通信制御システム１の動作を実現するプログラムは、実施の形態２に係る通信制御プログラムに相当する。

図１４を参照して、実施の形態２に係る通信制御システム１の全体的な動作を説明する。
ステップＳ４１からステップＳ４２の処理は、図４のステップＳ１１からステップＳ１２の処理と同じである。

（ステップＳ４３：ポリシー設定処理）
マスター装置１０のポリシー設定部１１４は、図１５に示すように、グループ間の通信を制御するためのポリシー４５を設定する。ここでは、検査用ポリシー４６を含むポリシー４５が設定される点が図４のステップＳ１３の処理と異なる。検査用ポリシー４６は、異なるグループ間について、通信を全て許可するとともに、ログを取得するように設定されたポリシー４５である。

（ステップＳ４４：検査処理）
ステップＳ４４の処理は、図４のステップＳ１４の処理と同様である。但し、検査用ポリシー４６が設定された状態において実行される点が異なる。ステップＳ４４の処理が実行されることにより、異なるグループ間の通信のログが取得される。ステップＳ４４の処理が実行される期間を検査期間と呼ぶ。検査期間は、事前に設定される、又は、指示がされるまで継続する。
図１５のようにポリシー４５が設定されているとする。なお、ポリシー４５は優先度の高い順に設定されている。ポリシー４５の優先度はユーザが変更できる。この場合には、上のポリシー４５から順に通信が対応しているか否かが判定される。つまり、送信元のグループと、送信先のグループと、通信プロトコルとによって、上のポリシー４５から順にポリシーに当てはまる通信かが判定される。例えば、ポリシー２に対応する通信の場合には、ポリシー２が適用され、通信が許可されるとともにログが取得されない。また、ポリシー３に対応する通信の場合には、ポリシー３が適用され、通信が拒否されるとともにログが取得される。有効になっているポリシー１からポリシー３に対応していない場合には、検査用ポリシー４６が適用され、通信が許可されるとともにログが取得される。
つまり、検査用ポリシー４６よりも上に設定されたポリシー４５が適用される場合には、検査用ポリシー４６は適用されない。

（ステップＳ４５：ログ収集処理）
各エッジ装置２０のログ取得部２１５は、ステップＳ４４で取得されたログをマスター装置１０に送信する。マスター装置１０の端末分類部１１３は、ログを受信する。

（ステップＳ４６：分類変更処理）
図１６に示すように、マスター装置１０の端末分類部１１３は、ステップＳ４５で収集されたログを一覧表示する。
ログには、アクションと、送信元名称と、送信元ＩＰアドレスと、送信先名称と、送信先ＩＰアドレスと、通信プロトコルといった情報が含まれる。アクションは、通信が許可されたか否かを示す。送信元名称は、送信元の端末３０の端末名称である。送信元ＩＰアドレスは、送信元の端末３０のＩＰアドレスである。送信先名称は、送信先の端末３０の端末名称である。送信先ＩＰアドレスは、送信先の端末３０のＩＰアドレスである。通信プロトコルは、使用された通信プロトコルである。なお、ログには、他の情報が含まれてもよい。

そして、端末分類部１１３は、ログが示す通信におけるデータの送信元の端末３０と送信先の端末３０との少なくともいずれかの端末３０が属するグループ４３を変更させる。具体的には、端末分類部１１３は、図１６に示す対象のログについての通信制御ボタンが押下されると、図１７に示すように、対象のログが示す通信における送信元と送信先との少なくともいずれかの端末３０が属するグループ４３を変更させる変更画面を表示する。そして、送信元と送信先との少なくともいずれかの端末３０が属するグループ４３の指定を受け付ける。

（ステップＳ４７：ポリシー変更処理）
検査期間が終了すると、ユーザによって検査用ポリシー４６が無効に設定される。

ステップＳ４８の処理は、図４のステップＳ１４の処理と同じである。

検査期間が終了し、検査用ポリシー４６が無効に設定された後は、図４のステップＳ１１からステップＳ１４までの処理が順に実行される。そして、図１３のような入力画面でポリシー４５の設定がされる。
その後は、ステップＳ１４の処理が継続して実行され、端末３０間の通信が制御される。また、ステップＳ１４の処理が実行されている際にも、ステップＳ１１の処理は定期的に実行される。そして、ステップＳ１１でアドレス４１が送信される度、あるいは、一定時間毎にステップＳ１２の処理が実行される。ステップＳ１３の処理は、必要に応じて実行される。

＊＊＊実施の形態２の効果＊＊＊
以上のように、実施の形態２に係る通信制御システム１は、検査用ポリシー４６を設定して、一時的に他のポリシー４５に該当しない全てのグループ４３間の通信を許可して、ログを収集する。そして、ログに基づき端末３０が属するグループ４３を変更させる。
これにより、既に稼働しているネットワークに対して、通信制御システム１の技術を適用する場合にも、既存の処理の動作が阻害されることを抑制可能である。

既に稼働しているネットワークに対して、通信制御システム１の技術を適用するとする。この場合には、既に端末３０間で通信が行われており、通信制御システム１の技術を適用して通信が制限されることで、既存の処理が正しく動作しなくなる恐れがある。そこで、検査用ポリシー４６を設定して、一時的に全ての通信を許可する等して、既存の処理が正しく動作する状態にする。そして、この間に検査用ポリシー４６が適用されて許可された通信についてログを収集しておく。その後、ログを参照して、端末３０が属するグループを変更することにより、検査用ポリシー４６を無効にしても、既存の処理が正しく動作するようにできる。

上述した通り、検査用ポリシー４６よりも上に設定されたポリシー４５が適用される場合には、検査用ポリシー４６は適用されない。そのため、既存の処理の動作が阻害されることがないポリシー４５が分かっている場合には、検査用ポリシー４６とともに他のポリシー４５も設定可能である。例えば、既存の処理の動作が阻害されることがなく、許可すべきでない通信については、拒否するポリシー４５を、検査用ポリシー４６とともに設定することが考えられる。これにより、明らかに拒否すべき通信については拒否しつつ、検討すべき通信についてのログを収集することが可能である。

未稼働のネットワークに対して通信制御システム１の技術を適用する。この場合、検査用ポリシー４６のみが適用される状態でネットワークを稼働させることにより、ネットワーク内で発生する全ての通信のログを収集することが可能である。また、ログを参照して端末３０が属するグループ４３を変更することで通信の制御を設定できるので、作業負担を軽減できる。

なお、以上の説明における「部」を、「回路」、「工程」、「手順」、「処理」又は「処理回路」に読み替えてもよい。

以上、本開示の実施の形態及び変形例について説明した。これらの実施の形態及び変形例のうち、いくつかを組み合わせて実施してもよい。また、いずれか１つ又はいくつかを部分的に実施してもよい。なお、本開示は、以上の実施の形態及び変形例に限定されるものではなく、必要に応じて種々の変更が可能である。

１ 通信制御システム、１０ マスター装置、１１ プロセッサ、１２ メモリ、１３ ストレージ、１４ 通信インタフェース、１５ 電子回路、１１１ アドレス受信部、１１２ 端末抽出部、１１３ 端末分類部、１１４ ポリシー設定部、１１５ 設定送信部、２０ エッジ装置、２１ プロセッサ、２２ メモリ、２３ ストレージ、２４ 通信インタフェース、２５ 電子回路、２１１ アドレス取得部、２１２ アドレス送信部、２１３ 設定受信部、２１４ 通信制御部、２１５ ログ取得部、３０ 端末、３１ 未分類端末、４１ アドレス、４２ 端末情報、４３ グループ、４４ グループリスト、４５ ポリシー、４６ 検査用ポリシー。

Claims (9)

1. ネットワークに接続された端末のアドレスを受信するアドレス受信部と、
   前記アドレス受信部によって受信されたアドレスのうち、前記ネットワークに接続された端末を分類したグループであって、通信の制御を行うためのグループを示すグループリストに存在しないアドレスが示す端末を未分類端末として抽出する端末抽出部と、
   前記端末抽出部によって抽出された前記未分類端末に関する情報として、前記アドレス受信部によって受信された前記未分類端末のアドレスを表示して、前記未分類端末が属するグループを指定させる端末分類部と
   を備えるマスター装置。
2. 前記アドレス受信部は、前記アドレスとともに、前記アドレスの受信元の識別情報を受信し、
   前記端末分類部は、前記未分類端末に関する情報として、前記未分類端末のアドレスの受信元の識別情報を表示する
   請求項１に記載のマスター装置。
3. 前記アドレスは、ＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスを含み、
   前記端末分類部は、前記未分類端末に関する情報として、前記ＭＡＣアドレスから特定される前記未分類端末の製造メーカを示すメーカ情報を表示する
   請求項１又は２に記載のマスター装置。
4. 前記端末分類部は、指定可能な前記グループを表示して選択的に指定させる
   請求項１から３までのいずれか１項に記載のマスター装置。
5. 前記アドレス受信部は、前記端末の名称と前記端末を特定し易くするための情報とを受信し、
   前記端末分類部は、前記未分類端末が属するグループを指定させるとともに、前記未分類端末の名称と前記端末を特定し易くするための情報の少なくともいずれかを変更させる請求項１から４までのいずれか１項に記載のマスター装置。
6. 前記マスター装置は、さらに、
   前記グループ間の通信を制御するためのポリシーを設定するポリシー設定部であって、同一のグループ間の通信については許可し、異なるグループ間の通信については許可するか否かの指定を受け付けて前記ポリシーを設定するポリシー設定部
   を備える請求項１から５までのいずれか１項に記載のマスター装置。
7. コンピュータが、ネットワークに接続された端末のアドレスを受信し、
   コンピュータが、受信されたアドレスのうち、前記ネットワークに接続された端末を分類したグループであって、通信の制御を行うためのグループを示すグループリストに存在しないアドレスが示す端末を未分類端末として抽出し、
   コンピュータが、前記未分類端末に関する情報として、受信された前記未分類端末のアドレスを表示して、前記未分類端末が属するグループを指定させる通信制御方法。
8. ネットワークに接続された端末のアドレスを受信するアドレス受信処理と、
   前記アドレス受信処理によって受信されたアドレスのうち、前記ネットワークに接続された端末を分類したグループであって、通信の制御を行うためのグループを示すグループリストに存在しないアドレスが示す端末を未分類端末として抽出する端末抽出処理と、
   前記端末抽出処理によって抽出された前記未分類端末に関する情報として、前記アドレス受信処理によって受信された前記未分類端末のアドレスを表示して、前記未分類端末が属するグループを指定させる端末分類処理と
   を行うマスター装置としてコンピュータを機能させる通信制御プログラム。
9. 複数のエッジ装置と、マスター装置とを備える通信制御システムであり、
   前記マスター装置は、
   ネットワークに接続された端末のアドレスを受信するアドレス受信部と、
   前記アドレス受信部によって受信されたアドレスのうち、前記ネットワークに接続された端末を分類したグループを示すグループリストに存在しないアドレスが示す端末を未分類端末として抽出する端末抽出部と、
   前記端末抽出部によって抽出された前記未分類端末に関する情報として、前記アドレス受信部によって受信された前記未分類端末のアドレスを表示して、前記未分類端末が属するグループを指定させる端末分類部と、
   前記グループ間の通信を制御するためのポリシーを設定するポリシー設定部と、
   前記ポリシー設定部によって設定された前記ポリシーを前記複数のエッジ装置それぞれに送信する設定送信部と
   を備え、
   前記複数のエッジ装置それぞれは、
   前記設定送信部によって送信された前記ポリシーに基づき、端末間の通信を制御する通信制御部
   を備える通信制御システム。

Images