JP7321130B2 - ホワイトリスト生成装置、ホワイトリスト生成方法及びコンピュータプログラム - Google Patents

Description

本発明は、ホワイトリスト生成装置、ホワイトリスト生成方法及びコンピュータプログラムに関する。

従来、ゲートウエイ等の通信制御装置がデバイスに対して許可する通信を示すホワイトリストを使用してデバイスの通信の許可又は不許可を判断することが行われている。そのホワイトリストの生成技術として、例えば特許文献１には、カメラや温湿度センサー等のＩｏＴ（Internet of Things）デバイスの情報とＩｏＴゲートウェイが保持する各ＩｏＴデバイスのホワイトリストとをＩｏＴゲートウェイから収集して暫定ホワイトリストを作成し、暫定ホワイトリストと各ＩｏＴゲートウェイが保持するホワイトリストとを結合して各ＩｏＴゲートウェイに適用するホワイトリストを作成する作成装置が記載されている。
また特許文献２には、入力されたモデルに基づいて、互いにデータを送受信する複数の装置からなるシステムにおける正常通信が正しくモデル化されているか否かを検証し、モデルに論理的な矛盾がないことが検証されたモデルをホワイトリストに変換するホワイトリスト生成器が記載されている。

特開２０１９－１５３８９０号公報 特表２０１８－５３７００９号公報

しかし、上述した特許文献１の技術では、ＩｏＴゲートウェイが保持する初期のホワイトリストの作成方法を開示しない。初期のホワイトリストが不十分な内容であると、許可すべき通信が誤って不許可にされてしまう等、ユーザの利便性を損なう問題が生じる可能性がある。

また、上述した特許文献２の技術では、ＩｏＴデバイスの通信がデバイスの設置環境やデバイスに対する人の操作等に応じて変わる場合、正常通信の状態の遷移を固定することができないので、ＩｏＴデバイスのホワイトリストの精度が劣化して正常通信の誤検知が多発する可能性がある。

本発明は、このような事情を考慮してなされたものであり、その目的は、ＩｏＴデバイス等のデバイスに対する初期のホワイトリストを適切に生成することを図ることにある。

（１）本発明の一態様は、一又は複数のデバイス通信拠点から各デバイスの通信フロー情報を収集するフロー情報収集部と、前記フロー情報収集部が収集したホワイトリスト生成対象デバイス種の通信フロー情報に基づいて、ホワイトリスト生成対象デバイス種に対して許可される通信を示すホワイトリストを生成するホワイトリスト管理部と、を備えるホワイトリスト生成装置であって、ホワイトリストにおいて一つの通信フロー情報のレコード当たりの使用可能なワイルドカードの最大数が任意に設定可能に構成された、ホワイトリスト生成装置である。
（２）本発明の一態様は、前記ホワイトリスト管理部は、ホワイトリスト生成対象デバイス種の通信フロー情報のレコードのうち、ホワイトリスト生成対象デバイス種のデバイス数の当該デバイス種のデバイス総数に対する割合と、ホワイトリスト生成対象デバイス種のデバイスのデバイス通信拠点数の当該デバイス種のデバイス通信拠点総数に対する割合とのうち少なくとも一方が各所定の閾値を超えるホワイトリスト生成対象デバイス種の通信フロー情報のレコードから、各デバイス通信拠点に適用するホワイトリスト生成対象デバイス種のホワイトリストを生成する、上記（１）のホワイトリスト生成装置である。
（３）本発明の一態様は、前記ホワイトリスト管理部は、ホワイトリスト生成対象デバイス種のホワイトリストを対象にして通信フロー情報の単位時間当たりレコード増加数を計算し、前記単位時間当たりレコード増加数が所定の閾値以下である場合に、ホワイトリスト生成対象デバイス種のホワイトリストを各デバイス通信拠点に適用する、上記（１）又は（２）のいずれかのホワイトリスト生成装置である。
（４）本発明の一態様は、前記単位時間当たりレコード増加数の所定の閾値は、デバイス種ごとに設けられる、上記（３）のホワイトリスト生成装置である。
（５）本発明の一態様は、前記ホワイトリスト管理部は、ホワイトリストにおいて、通信フロー情報のレコード数が所定数以上である場合にワイルドカードを使用する、上記（１）から（４）のいずれかのホワイトリスト生成装置である。
（６）本発明の一態様は、前記ホワイトリスト管理部は、ホワイトリストにおいて、通信フロー情報のレコードに含まれる複数の項目のうちユニークな情報が所定数以上である項目に対してワイルドカードを使用する、上記（１）から（５）のいずれかのホワイトリスト生成装置である。
（７）本発明の一態様は、前記フロー情報収集部が収集した通信フロー情報に対して異常の有無を検知する異常検知部をさらに備え、前記異常検知部が異常ありを検知した通信フロー情報をホワイトリストに含めない、上記（１）から（６）のいずれかのホワイトリスト生成装置である。
（８）本発明の一態様は、前記デバイスはＩｏＴデバイスである、上記（１）から（７）のいずれかのホワイトリスト生成装置である。

（９）本発明の一態様は、ホワイトリスト生成装置が、一又は複数のデバイス通信拠点から各デバイスの通信フロー情報を収集するフロー情報収集ステップと、前記ホワイトリスト生成装置が、前記フロー情報収集部が収集したホワイトリスト生成対象デバイス種の通信フロー情報に基づいて、ホワイトリスト生成対象デバイス種に対して許可される通信を示すホワイトリストを生成するホワイトリスト管理ステップと、を含むホワイトリスト生成方法であって、ホワイトリストにおいて一つの通信フロー情報のレコード当たりの使用可能なワイルドカードの最大数が任意に設定可能に構成された、ホワイトリスト生成方法である。

（１０）本発明の一態様は、コンピュータに、一又は複数のデバイス通信拠点から各デバイスの通信フロー情報を収集するフロー情報収集ステップと、前記フロー情報収集部が収集したホワイトリスト生成対象デバイス種の通信フロー情報に基づいて、ホワイトリスト生成対象デバイス種に対して許可される通信を示すホワイトリストを生成するホワイトリスト管理ステップと、を実行させるためのコンピュータプログラムであって、ホワイトリストにおいて一つの通信フロー情報のレコード当たりの使用可能なワイルドカードの最大数が任意に設定可能に構成された、コンピュータプログラムである。

本発明によれば、ＩｏＴデバイス等のデバイスに対する初期のホワイトリストを適切に生成することができるという効果が得られる。

一実施形態に係る通信システム及びホワイトリスト生成装置の構成例を示すブロック図である。 一実施形態に係るホワイトリストの構成例を示す図である。 一実施形態に係るホワイトリスト生成方法の手順の例を示すフローチャートである。 一実施形態に係るホワイトリストの完成判定方法を説明するためのグラフ図である。

以下、図面を参照し、本発明の実施形態について説明する。
図１は、一実施形態に係る通信システム及びホワイトリスト生成装置の構成例を示すブロック図である。図１に示す通信システム１において、ホワイトリスト生成装置１０は、インターネット等の通信ネットワークＮＷを介して、各ホーム（宅）３０－１，３０－２，３０－３，・・・のゲートウェイ（ＧＷ）３１と通信を行う。各ホーム３０－１，３０－２，３０－３，・・・には、ゲートウェイ３１とデバイスｄｅｖとが設けられている。以下、ホーム３０－１，３０－２，３０－３，・・・を特に区別しないときはホーム３０と称する。本実施形態に係るホーム３０は、デバイスｄｅｖが通信を行う拠点（デバイス通信拠点）の一例である。

デバイスｄｅｖは、ゲートウェイ３１を介して、例えばインターネットに接続されているサーバ等と通信を行う。デバイスｄｅｖは、例えばＩｏＴデバイスである。デバイスｄｅｖには複数の種類（デバイス種）が存在する。図１には、デバイス種として３つのデバイス種「Ａ種」，「Ｂ種」，「Ｃ種」が例示されている。例えば、デバイスｄｅｖ（Ａ種）は電力計等の計測センサーである。例えば、デバイスｄｅｖ（Ｂ種）はＷｅｂカメラである。例えば、デバイスｄｅｖ（Ｃ種）はエアコンやスマートスピーカー等の家電機器である。

ゲートウェイ３１は、ホワイトリストに基づいて各種のデバイスｄｅｖの通信の許可又は不許可を判断し、当該判断結果に応じて各種のデバイスｄｅｖの通信を制御する。ホワイトリストは、ホワイトリスト生成装置１０からゲートウェイ３１へ供給される。

ホワイトリスト生成装置１０は、デバイス種ごとにホワイトリストを生成する。ホワイトリスト生成装置１０は、生成した各デバイス種のホワイトリストを各ホーム３０のゲートウェイ３１へ送信する。各ホーム３０のゲートウェイ３１は、ホワイトリスト生成装置１０から受信した各デバイス種のホワイトリストを使用して自己の配下の各デバイス種のデバイスｄｅｖの通信を制御する。

図１においてホワイトリスト生成装置１０は、フロー情報収集部１１と、デバイス識別部１２と、異常検知部１３と、ホワイトリスト管理部１４とを備える。

ホワイトリスト生成装置１０の各機能は、ホワイトリスト生成装置１０がＣＰＵ（Central Processing Unit：中央演算処理装置）及びメモリ等のコンピュータハードウェアを備え、ＣＰＵがメモリに格納されたコンピュータプログラムを実行することにより実現される。なお、ホワイトリスト生成装置１０として、汎用のコンピュータ装置を使用して構成してもよく、又は、専用のハードウェア装置として構成してもよい。例えば、ホワイトリスト生成装置１０は、インターネット等の通信ネットワークに接続されるサーバコンピュータを使用して構成されてもよい。また、ホワイトリスト生成装置１０の各機能はクラウドコンピューティングにより実現されてもよい。また、ホワイトリスト生成装置１０は、単独のコンピュータにより実現するものであってもよく、又はホワイトリスト生成装置１０の機能を複数のコンピュータに分散させて実現するものであってもよい。

各ホーム３０のゲートウェイ３１は、自己の配下の各デバイスｄｅｖの通信フロー情報をホワイトリスト生成装置１０へ送信する。各デバイスｄｅｖの通信フロー情報は、各デバイスｄｅｖの識別情報（デバイスＩＤ）を含む情報である。ゲートウェイ３１は、自己のホーム３０の識別情報（ホームＩＤ）を、ホワイトリスト生成装置１０へ送信する通信フロー情報に付加する。フロー情報収集部１１は、各ホーム３０のゲートウェイ３１から各デバイスｄｅｖの通信フロー情報を受信する。

通信フロー情報は、通信の流れを示す情報である。通信フロー情報は、例えば送信元ＭＡＣアドレスや送信先ＭＡＣアドレスや送信元ＩＰアドレスや送信先ＩＰアドレスや送信元ポート番号や送信先ポート番号や通信プロトコル等の情報である。

フロー情報収集部１１は、ゲートウェイ３１から受信した通信フロー情報をデバイス識別部１２へ送信する。

デバイス識別部１２は、フロー情報収集部１１から受信した通信フロー情報について、当該通信フロー情報に含まれるデバイスＩＤにデバイス種を示すデバイス種情報を付加してから、当該通信フロー情報を異常検知部１３へ送信する。デバイス識別部１２は、デバイスＩＤとデバイス種との対応関係を示すデバイス種判別情報を予め保持する。デバイス識別部１２は、デバイス種判別情報に基づいて、通信フロー情報に含まれるデバイスＩＤに対応するデバイス種を判別する。デバイス識別部１２は、当該判別結果のデバイス種を示すデバイス種情報を当該通信フロー情報の当該デバイスＩＤに付加する。デバイスＩＤは例えばＭＡＣアドレスである。

なお、デバイス識別部１２は、通信フロー情報に含まれる通信の振る舞いに関する情報に基づいて、当該通信フロー情報に含まれるデバイスＩＤに対応するデバイス種を判別してもよい。通信の振る舞いに関する情報は、例えば、特定機能を持つ通信相手との通信を示す情報である。特定機能を持つ通信相手は、例えばＮＴＰ（Network Time Protocol）サーバやＤＮＳ(Domain Name System)サーバ等である。この場合、デバイス識別部１２は、特定機能を持つ通信相手との通信とデバイス種との対応関係を示すデバイス種判別情報を予め保持する。

また、デバイス識別部１２は、デバイスＩＤからデバイス種を特定することができない場合、通信フロー情報からデバイス種を推定してもよい。

異常検知部１３は、デバイス識別部１２から受信した通信フロー情報に対して異常の有無を検知する。異常検知部１３は、異常通信に該当するＩＰアドレスの異常通信アドレスリストを予め保持する。例えばマルウェア等の既知の不適切な通信の情報が異常通信アドレスリストに登録される。異常検知部１３は、通信フロー情報に含まれる送信元ＩＰアドレス又は送信先ＩＰアドレスが異常通信アドレスリスト内のＩＰアドレスに一致した場合に当該通信フロー情報が異常であると判定し、そうではない場合に当該通信フロー情報が異常ではないと判定する。

異常検知部１３は、異常であると判定した通信フロー情報を破棄する。異常検知部１３は、異常ではないと判定した通信フロー情報をホワイトリスト管理部１４へ送信する。

ホワイトリスト管理部１４は、異常検知部１３から受信した通信フロー情報に基づいて、デバイス種ごとにホワイトリストを生成する。より具体的には、ホワイトリスト管理部１４は、ホワイトリスト生成対象デバイス種の通信フロー情報に基づいて、ホワイトリスト生成対象デバイス種に対して許可される通信を示すホワイトリストを生成する。ホワイトリスト管理部１４は、生成した各デバイス種のホワイトリストを各ホーム３０に適用する。

図２は、本実施形態に係るホワイトリストの構成例を示す図である。図２には、ある１つのデバイス種についてのホワイトリストの例が示されている。ここでは、説明の便宜上、デバイス種「Ａ種」のホワイトリストであるとする。図２において、ホワイトリストには、５個の通信フロー情報のレコード「Ｎｏ．１」，「Ｎｏ．２」，「Ｎｏ．３」，「Ｎｏ．４」，「Ｎｏ．５」が登録されている。但し、レコード中のカウントデバイスは、当該レコードの通信フロー情報が収集されたデバイスｄｅｖ（Ａ種）の個数である。また、レコード中のカウントホームは、当該レコードの通信フロー情報が収集されたホーム３０の個数である。

図２のホワイトリスト中の送信元ＭＡＣアドレス及び送信先ＭＡＣアドレスの各欄において、「devMACaddr」はデバイスｄｅｖのＭＡＣアドレスの総称であり、「gwMACaddr」はゲートウェイ３１のＭＡＣアドレスの総称である。デバイスｄｅｖやゲートウェイ３１のＭＡＣアドレスは個個に異なっているので、ホワイトリスト生成過程では総称を使用することにより簡略化している。ホワイトリストをゲートウェイ３１に適用する際には、ゲートウェイ３１がＭＡＣアドレスの総称を適切なＭＡＣアドレスに置換する。

図２のホワイトリスト中の送信元ＩＰアドレス及び送信先ＩＰアドレスの各欄において、ＩＰアドレスの代わりにドメイン名を記載してもよい。これは、同一ドメインであってもＩＰアドレスが異なる場合があるので好ましい。

図２のホワイトリストにおいて、記号「＊」はワイルドカードである。したがって、記号「＊」が記載された欄に対しては、全ての値に対して許可することを示す。なお、一つの通信フロー情報のレコード当たりの使用可能な記号「＊」の最大数（ワイルドカード上限数）が任意に設定されてもよい。ワイルドカード上限数を任意に設定可能に構成することにより、ホワイトリストの表現力を変化させることができる。ワイルドカード上限数を少なくするほどより厳しいホワイトリストにすることができる。一方、ワイルドカード上限数を多くするほどより緩いホワイトリストにすることができる。

また、ホワイトリスト管理部１４が、ホワイトリストにおいて、通信フロー情報のレコード数が所定数以上である場合にワイルドカードを使用するようにしてもよい。

また、ホワイトリスト管理部１４が、ホワイトリストにおいて、通信フロー情報のレコードに含まれる複数の項目のうちユニークな情報が所定数以上である項目に対してワイルドカードを使用するようにしてもよい。この場合、ワイルドカード上限数が設定されているときには、ホワイトリスト管理部１４は、ユニークな情報が所定数以上であってユニークな情報が多い項目から順番にワイルドカードを使用する。

次に図３を参照して本実施形態に係るホワイトリスト生成装置１０の動作を説明する。図３は、本実施形態に係るホワイトリスト生成方法の手順の例を示すフローチャートである。

（ステップＳ１） フロー情報収集部１１は、各ホーム３０から各デバイスｄｅｖの通信フロー情報を収集する。以下、説明を簡単にするために、一つのデバイスｄｅｖについての通信フロー情報を対象にして説明する。

（ステップＳ２） デバイス識別部１２は、フロー情報収集部１１が収集した通信フロー情報について、当該通信フロー情報に含まれるデバイスＩＤにデバイス種情報を付加してから、当該通信フロー情報を異常検知部１３へ送信する。

（ステップＳ３） 異常検知部１３は、デバイス識別部１２から受信した通信フロー情報に対して異常の有無を検知する。

（ステップＳ４） ステップＳ３の検知の結果、通信フロー情報に異常なしの場合にはステップＳ５へ進む。一方、通信フロー情報に異常ありの場合には図２の処理を終了する。これにより、異常ありの通信フロー情報はホワイトリストに含められない。

（ステップＳ５） ホワイトリスト管理部１４は、異常検知部１３が異常なしと判定した通信フロー情報を、当該通信フロー情報のデバイス種情報のデバイス種のホワイトリストへ登録する。この登録においては、登録先のホワイトリストにおいて、当該通信フロー情報に対応する通信フロー情報のレコードが存在しない場合には、当該通信フロー情報のレコードを追加する。一方、登録先のホワイトリストにおいて、当該通信フロー情報に対応する通信フロー情報のレコードが既に存在する場合には、当該レコード中のカウントデバイス及びカウントホームにそれぞれ１加算して当該レコードを更新する。

（ステップＳ６） ホワイトリスト管理部１４は、ホワイトリストの完成判定を行う。

ここでホワイトリストの完成判定方法を説明する。ホワイトリスト管理部１４は、ホワイトリスト生成対象デバイス種のホワイトリストを対象にして通信フロー情報の単位時間当たりレコード増加数を計算する。ホワイトリスト管理部１４は、当該計算結果の単位時間当たりレコード増加数が所定の閾値Ｙ以下である場合に、ホワイトリスト生成対象デバイス種のホワイトリストが完成であると判定する。完成であると判定されたホワイトリストは、各ホーム３０に適用される。

図４は、本実施形態に係るホワイトリストの完成判定方法を説明するためのグラフ図である。図４において、横軸はホワイトリストの生成開始時点から経過する時間Ｔであり、縦軸は通信フロー情報の単位時間当たりレコード増加数である。一つのホワイトリストに登録される通信フロー情報についての単位時間当たりレコード増加数は、図４のグラフ１００に例示されるように、ホワイトリストの生成開始時点から時間Ｔの経過とともに減少する。このため、ホワイトリスト生成対象デバイス種のホワイトリストについて、単位時間当たりレコード増加数が所定の閾値Ｙ以下である場合に、ホワイトリスト生成対象デバイス種のホワイトリストが完成であると判定する。

ホワイトリストの完成を判定するための閾値Ｙは、デバイス種ごとに設けられてもよい。この理由は、デバイス種ごとにデバイスｄｅｖの通信パターンが異なるからである。

例えば、デバイスｄｅｖ（Ａ種）である電力計等の計測センサーは、特定の通信相手（例えば計測管理サーバ）との固定的な通信を行うものであって通信パターンが限定されることが想定される。このため、デバイス種「Ａ種」の単位時間当たりレコード増加数は、比較的短期間で０になると考えられる。このことから、デバイス種「Ａ種」の閾値Ｙは０に設定する。この場合、デバイス種「Ａ種」のホワイトリストの完成判定条件を、「時間Ｔ＞一定期間」且つ「単位時間当たりレコード増加数＝０」としてもよい。当該時間Ｔの判定のための一定期間は、例えば１時間以上１週間以内を目安に決定される。

一方、デバイスｄｅｖ（Ｂ種）であるＷｅｂカメラや、デバイスｄｅｖ（Ｃ種）であるエアコンやスマートスピーカー等の家電機器は、人の操作によって、通信相手が変わったり通信内容が変わったりする可変的な通信を行うものであって多様な通信パターンが存在することが想定される。このため、デバイス種「Ｂ種」や「Ｃ種」の単位時間当たりレコード増加数は、デバイス種「Ａ種」に比して、０になるまで長時間かかると考えられる。このことから、デバイス種「Ｂ種」や「Ｃ種」の閾値Ｙについては、単位時間当たりレコード増加数について単調減少の曲線近似を行って、単位時間当たりレコード増加数が０になるまでのホワイトリストのレコード総数を推計し、このホワイトリストのレコード総数の推計値とホワイトリストに許容されるレコード数の上限値とに基づいて、ホワイトリストのレコード数が当該上限値以下の所望の範囲になる閾値Ｙを決定する。

（ステップＳ７） ステップＳ６の判定の結果、完成である場合にはステップＳ８へ進む。一方、完成ではない場合には図２の処理を終了する。

（ステップＳ８） ホワイトリスト管理部１４は、完成であるホワイトリストの適用を行う。ホワイトリスト管理部１４は、ホワイトリスト生成対象デバイス種の通信フロー情報の全レコードから、各ホーム３０に適用するホワイトリスト生成対象デバイス種のホワイトリストを生成してもよく、又はホワイトリスト生成対象デバイス種の通信フロー情報の一部のレコードから、各ホーム３０に適用するホワイトリスト生成対象デバイス種のホワイトリストを生成してもよい。ホワイトリスト管理部１４は、生成したホワイトリストを各ホーム３０のゲートウェイ３１へ送信する。当該ホワイトリストは各ホーム３０のゲートウェイ３１により適用される。

ここで、各ホーム３０に適用するホワイトリスト生成対象デバイス種のホワイトリストを生成する方法の例を説明する。ホワイトリスト管理部１４は、ホワイトリスト生成対象デバイス種の通信フロー情報の全レコードのうち、次の２つの判定式（１），（２）のうち少なくとも１つの判定式を満たすレコードから、各ホーム３０に適用するホワイトリスト生成対象デバイス種のホワイトリストを生成する。

「カウントデバイス÷デバイス総数」＞閾値Ｘ１ ・・・（１）
「カウントホーム÷ホーム総数」＞閾値Ｘ２ ・・・（２）
但し、デバイス総数はホワイトリスト生成対象デバイス種のデバイスｄｅｖの総数である。閾値Ｘ１，Ｘ２は予め設定される所定値である。

上記した判定式（１），（２）を用いることにより、少数派の通信パターンを示す通信フロー情報のレコードをホワイトリストに含めないようにすることができる。少数派の通信パターンは、例えばマルウェア等の不適切な通信による通信パターンである可能性が大きい。このため、上記した判定式（１），（２）を用いて生成されたホワイトリストによれば、マルウェア等の不適切な通信が許可されず、デバイスｄｅｖの安全な通信に寄与することができる。

なお、デバイス総数が所定数未満である場合には、判定式（１）と判定式（２）の両方を満たすレコードから、各ホーム３０に適用するホワイトリスト生成対象デバイス種のホワイトリストを生成してもよい。一方、デバイス総数が所定数以上である場合には、判定式（１）又は判定式（２）を満たすレコードから、各ホーム３０に適用するホワイトリスト生成対象デバイス種のホワイトリストを生成してもよい。

上述した実施形態によれば、各ホーム３０から各デバイスｄｅｖの通信フロー情報を収集し、ホワイトリスト生成対象デバイス種の通信フロー情報に基づいて、ホワイトリスト生成対象デバイス種に対して許可される通信を示すホワイトリストを生成することにより、各デバイス種の通信パターンに適する初期のホワイトリストを生成することができる。

また、複数のホーム３０やデバイスｄｅｖから収集された通信フロー情報に基づいてホワイトリストを生成することにより、高精度のホワイトリストを短期間で生成することができる。これは、例えばＩｏＴデバイスのように、人の操作により振る舞いが変わるデバイスに対して特に効果が得られる。同じデバイスであっても振る舞いが異なれば、通信パターンも異なる可能性がある。このことから、同じデバイス種に関して、複数のホーム３０やデバイスｄｅｖから通信フロー情報を収集して総合的に処理することにより、ホワイトリストの精度向上や効率的なホワイトリストの生成を図る効果が得られる。

また、上述した実施形態によれば、マルウェア等の不適切な通信が許可されないホワイトリストを生成することができる。これにより、例えばゲートウェイ３１に新規に接続されるデバイスｄｅｖがその接続前に既にマルウェアに感染していたとしても、当該マルウェアの不適切な通信が許可されないホワイトリストを生成することが可能になる。

なお、上述した実施形態では、デバイス通信拠点としてホームを例に挙げたが、これに限定されない。デバイス通信拠点は、例えば会社のオフィスやイベント会場や店舗などであってもよい。

以上、本発明の実施形態について図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。

また、上述した各装置の機能を実現するためのコンピュータプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行するようにしてもよい。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものであってもよい。
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、フラッシュメモリ等の書き込み可能な不揮発性メモリ、ＤＶＤ（Digital Versatile Disc）等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。

さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（例えばＤＲＡＭ（Dynamic Random Access Memory））のように、一定時間プログラムを保持しているものも含むものとする。
また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
また、上記プログラムは、前述した機能の一部を実現するためのものであってもよい。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であってもよい。

１…通信システム、１０…ホワイトリスト生成装置、１１…フロー情報収集部、１２…デバイス識別部、１３…異常検知部、１４…ホワイトリスト管理部、３０…ホーム、３１…ゲートウェイ、ｄｅｖ…デバイス、ＮＷ…通信ネットワーク

Claims (10)

1. 一又は複数のデバイス通信拠点から各デバイスの通信フロー情報を収集するフロー情報収集部と、
   前記フロー情報収集部が収集したホワイトリスト生成対象デバイス種の通信フロー情報に基づいて、ホワイトリスト生成対象デバイス種に対して許可される通信を示すホワイトリストを生成するホワイトリスト管理部と、
   を備えるホワイトリスト生成装置であって、
   ホワイトリストにおいて一つの通信フロー情報のレコード当たりの使用可能なワイルドカードの最大数が任意に設定可能に構成された、
   ホワイトリスト生成装置。
2. 前記ホワイトリスト管理部は、ホワイトリスト生成対象デバイス種の通信フロー情報のレコードのうち、ホワイトリスト生成対象デバイス種のデバイス数の当該デバイス種のデバイス総数に対する割合と、ホワイトリスト生成対象デバイス種のデバイスのデバイス通信拠点数の当該デバイス種のデバイス通信拠点総数に対する割合とのうち少なくとも一方が各所定の閾値を超えるホワイトリスト生成対象デバイス種の通信フロー情報のレコードから、各デバイス通信拠点に適用するホワイトリスト生成対象デバイス種のホワイトリストを生成する、
   請求項１に記載のホワイトリスト生成装置。
3. 前記ホワイトリスト管理部は、ホワイトリスト生成対象デバイス種のホワイトリストを対象にして通信フロー情報の単位時間当たりレコード増加数を計算し、前記単位時間当たりレコード増加数が所定の閾値以下である場合に、ホワイトリスト生成対象デバイス種のホワイトリストを各デバイス通信拠点に適用する、
   請求項１又は２のいずれか１項に記載のホワイトリスト生成装置。
4. 前記単位時間当たりレコード増加数の所定の閾値は、デバイス種ごとに設けられる、
   請求項３に記載のホワイトリスト生成装置。
5. 前記ホワイトリスト管理部は、ホワイトリストにおいて、通信フロー情報のレコード数が所定数以上である場合にワイルドカードを使用する、
   請求項１から４のいずれか１項に記載のホワイトリスト生成装置。
6. 前記ホワイトリスト管理部は、ホワイトリストにおいて、通信フロー情報のレコードに含まれる複数の項目のうちユニークな情報が所定数以上である項目に対してワイルドカードを使用する、
   請求項１から５のいずれか１項に記載のホワイトリスト生成装置。
7. 前記フロー情報収集部が収集した通信フロー情報に対して異常の有無を検知する異常検知部をさらに備え、
   前記異常検知部が異常ありを検知した通信フロー情報をホワイトリストに含めない、
   請求項１から６のいずれか１項に記載のホワイトリスト生成装置。
8. 前記デバイスはＩｏＴデバイスである、
   請求項１から７のいずれか１項に記載のホワイトリスト生成装置。
9. ホワイトリスト生成装置が、一又は複数のデバイス通信拠点から各デバイスの通信フロー情報を収集するフロー情報収集ステップと、
   前記ホワイトリスト生成装置が、前記フロー情報収集ステップで収集したホワイトリスト生成対象デバイス種の通信フロー情報に基づいて、ホワイトリスト生成対象デバイス種に対して許可される通信を示すホワイトリストを生成するホワイトリスト管理ステップと、
   を含むホワイトリスト生成方法であって、
   ホワイトリストにおいて一つの通信フロー情報のレコード当たりの使用可能なワイルドカードの最大数が任意に設定可能に構成された、
   ホワイトリスト生成方法。
10. コンピュータに、
    一又は複数のデバイス通信拠点から各デバイスの通信フロー情報を収集するフロー情報収集ステップと、
    前記フロー情報収集ステップで収集したホワイトリスト生成対象デバイス種の通信フロー情報に基づいて、ホワイトリスト生成対象デバイス種に対して許可される通信を示すホワイトリストを生成するホワイトリスト管理ステップと、
    を実行させるためのコンピュータプログラムであって、
    ホワイトリストにおいて一つの通信フロー情報のレコード当たりの使用可能なワイルドカードの最大数が任意に設定可能に構成された、
    コンピュータプログラム。

Images