JP7409501B2 - 通信管理装置、通信システム、通信管理方法および通信管理プログラム - Google Patents

Description

本開示は、通信管理装置、通信システム、通信管理方法およびコンピュータ可読媒体に関する。

ＩｏＴ（Internet of Things）機器で構成されるＩｏＴシステムにおいて、パケットによる通信を許可するか否かの判定に用いるリスト（ホワイトリスト）を生成する通信装置が知られている。たとえば特許文献１には、学習モードに設定された場合に、ゲートウェイがホワイトリストを生成することが開示されている。

特開２０１９－６８１１９号公報

しかし上述の特許文献１に記載の方法では、学習モードにおいて、ゲートウェイが、管理者が想定していない未知もしくは不正なパケットをデバイスから取得した場合、それらを含めたホワイトリストを生成してしまうという問題がある。

本開示の目的は、上述した課題に鑑み、未知または不正なパケットについてホワイトリストへの誤登録を回避することができる通信管理装置、通信システム、通信管理方法およびコンピュータ可読媒体を提供することにある。

本開示の一態様に係る通信管理装置は、通信システムが備える通信管理装置である。前記通信管理装置は、前記通信システムの設計情報に基づいて、予め定められた機器から供給されたデータを転送するためのパケットの識別情報を含むテンプレートを生成するテンプレート生成部と、前記通信システムが備える機器から供給されたデータをパケットにより転送する中継装置から、前記パケットによるデータの転送に関するログ情報を受信するログ受信部と、前記ログ情報が前記テンプレートに適合する場合、前記ログ情報に基づいて、前記中継装置によるデータの転送が許可されるパケットの条件が記述されたホワイトリストを生成するホワイトリスト生成部と、前記ログ情報が前記テンプレートに適合しない場合、前記ログ情報の登録可否情報に基づいて前記ログ情報にかかるパケットの識別情報をホワイトリストに登録するか否かを判定する判定支援部と、生成された前記ホワイトリストを、前記中継装置に送信する送信部とを有する。

本開示の一態様に係る通信システムは、複数の機器と、複数の中継装置と、通信管理装置とを備える。前記中継装置は、前記通信システムが備える前記機器から供給されたデータをパケットにより転送する。前記通信管理装置は、前記通信システムの設計情報に基づいて、予め定められた機器から供給されたデータを転送するためのパケットの識別情報を含むテンプレートを生成するテンプレート生成部と、前記中継装置から、前記パケットによるデータの転送に関するログ情報を受信するログ受信部と、前記ログ情報が前記テンプレートに適合する場合、前記ログ情報に基づいて、前記中継装置によるデータの転送が許可されるパケットの条件が記述されたホワイトリストを生成するホワイトリスト生成部と、前記ログ情報が前記テンプレートに適合しない場合、前記ログ情報の登録可否情報に基づいて前記ログ情報にかかるパケットの識別情報をホワイトリストに登録するか否かを判定する判定支援部と、生成された前記ホワイトリストを、前記中継装置に送信する送信部とを有する。

本開示の一態様に係る通信管理方法は、通信システムの設計情報に基づいて、予め定められた機器から供給されたデータを転送するためのパケットの識別情報を含むテンプレートを生成するテンプレート生成ステップと、前記通信システムが備える機器から供給されたデータをパケットにより転送する中継装置から、前記パケットによるデータの転送に関するログ情報を受信するログ受信ステップと、前記ログ情報が前記テンプレートに適合する場合、前記ログ情報に基づいて、前記中継装置によるデータの転送が許可されるパケットの条件が記述されたホワイトリストを生成するホワイトリスト生成ステップと、前記ログ情報が前記テンプレートに適合しない場合、前記ログ情報の登録可否情報に基づいて前記ログ情報にかかるパケットの識別情報をホワイトリストに登録するか否かを判定する判定支援ステップと、生成された前記ホワイトリストを、前記中継装置に送信する送信ステップとを備える。

本開示の一態様に係る非一時的なコンピュータ可読媒体は、通信管理プログラムが格納される。前記通信管理プログラムは、通信システムの設計情報に基づいて、予め定められた機器から供給されたデータを転送するためのパケットの識別情報を含むテンプレートを生成するテンプレート生成ステップと、前記機器から供給されたデータをパケットにより転送する中継装置から、前記パケットによるデータの転送に関するログ情報を受信するログ受信ステップと、前記ログ情報が前記テンプレートに適合する場合、前記ログ情報に基づいて、前記中継装置によるデータの転送が許可されるパケットの条件が記述されたホワイトリストを生成するホワイトリスト生成ステップと、前記ログ情報が前記テンプレートに適合しない場合、前記ログ情報の登録可否情報に基づいて前記ログ情報にかかるパケットの識別情報をホワイトリストに登録するか否かを判定する判定支援ステップと、生成された前記ホワイトリストを、前記中継装置に送信する送信ステップとをコンピュータに実行させる。

本開示により、未知または不正なパケットについてホワイトリストへの誤登録を回避することができる通信管理装置、通信システム、通信管理方法およびコンピュータ可読媒体を提供することができる。

実施形態１にかかる通信管理装置の構成を示すブロック図である。 実施形態２にかかる通信システムの一例を示す概略構成図である。 実施形態２にかかる通信管理装置の構成の一例を示すブロック図である。 実施形態２にかかるテンプレート生成部が生成するテンプレートのデータ構造の一例を示す図である。 実施形態２にかかるログ受信部が受信するログ情報のデータ構造の一例を示す図である。 実施形態２にかかる通信システムの動作の一例を示すシーケンス図である。 実施形態２にかかる通信システムの動作の一例を示すシーケンス図である。 実施形態２にかかるホワイトリスト生成部が生成するホワイトリストのデータ構造の一例を示す図である。 実施形態２にかかる通信管理装置による、ログ情報がテンプレートに適合しない場合の処理を説明するための図である。 実施形態２にかかる通信管理装置による、ログ情報がテンプレートに適合しない場合の処理を説明するための図である。 実施形態３にかかる通信管理装置の構成の一例を示すブロック図である。 実施形態３にかかる通信システムの動作の一例を示すシーケンス図である。 実施形態３にかかる通信管理装置のテンプレート追加処理を説明するための図である。

以下、実施形態を通じて本開示を説明するが、請求の範囲にかかる開示を以下の実施形態に限定するものではない。また、実施形態で説明する構成の全てが課題を解決するための手段として必須であるとは限らない。各図面において、同一の要素には同一の符号が付されており、必要に応じて重複説明は省略されている。

＜実施形態１＞
図１は、実施形態１にかかる通信管理装置４０の構成を示すブロック図である。通信管理装置４０は、通信システムに備えられ、テンプレート生成部４３と、ログ受信部４５と、ホワイトリスト生成部４７と、判定支援部４８と、送信部４９とを備える。

テンプレート生成部４３は、通信システムの設計情報に基づいて、予め定められた機器から供給されたデータを転送するためのパケットの識別情報を含むテンプレートを生成する。
ログ受信部４５は、中継装置からパケットによるデータ転送に関するログ情報を受信する。中継装置は、通信システムが備える機器から供給されたデータをパケットにより転送する装置である。
ホワイトリスト生成部４７は、ログ情報がテンプレートに適合する場合、ログ情報に基づいて、ホワイトリストを生成する。ホワイトリストは、中継装置によるデータの転送が許可されるパケットの条件が記述されたリストである。
判定支援部４８は、ログ情報がテンプレートに適合しない場合、ログ情報の登録可否情報に基づいてログ情報にかかるパケットの識別情報をホワイトリストに登録するか否かを判定する。
送信部４９は、生成されたホワイトリストを、中継装置に送信する。

このように実施形態１によれば、通信管理装置４０は、データの転送にかかるパケットに関するログ情報が予め想定して用意されたテンプレートに適合しない場合、ログ情報の登録可否情報に基づいて、ログ情報をホワイトリストに登録するか否かを判定する。したがって、通信管理装置４０は、予め想定されていない未知または不正なパケットを、ホワイトリストに誤って登録してしまうことを回避し、必要と判定された場合のみホワイトリストに登録することができる。

＜実施形態２＞
次に図２～１０を用いて、本開示の実施形態２について説明する。図２は、実施形態２にかかる通信管理装置４０ａが適用されることができる通信システム１の一例を示す概略構成図である。

通信システム１は、ネットワークを介して、センサまたはカメラ等と、アプリケーションサーバとの間のデータを授受するシステムであり、一例としてＩｏＴシステムである。通信システム１は、機器１０と、ゲートウェイ２０－１，２０－２，…，２０－ｎと、アプリケーションサーバ３０と、通信管理装置４０ａと、システム管理装置５０とを備える。以下では、ゲートウェイ２０－１，２０－２，…，２０－ｎを区別しない場合、単にゲートウェイ２０と呼ぶことがある。本図では、ゲートウェイ２０の数を３以上としているが、本開示はこれに限定されるものではなく、１または２であってもよい。
なおゲートウェイ２０、アプリケーションサーバ３０、通信管理装置４０ａ、およびシステム管理装置５０は、有線または無線によりネットワーク４に接続されている。

ネットワーク４は、インターネット、あるいはインターネットと広域ネットワーク（ＷＡＮ）またはローカルエリアネットワーク（ＬＡＮ）等の各種ネットワークとの組み合わせで構成される。

機器１０は、監視対象の状態に関する情報を取得するセンサまたはカメラ等の機器である。機器１０は、取得した情報を、センシングデータまたは画像データ等のデータとして出力し、ゲートウェイ２０に供給する。

機器１０は、一例として、ＵＳＢ機器１１およびＩＰ機器１２のうち少なくとも１つを含む。
ＵＳＢ機器１１は、ＵＳＢ（Universal Serial Bus）インターフェース（ＵＳＢ ＩＦ）を介してゲートウェイ２０に着脱可能に接続され、ＵＳＢ ＩＦを介してゲートウェイ２０にデータを出力する。
ＩＰ機器１２は、ＩＰ（Internet Protocol）アドレスを有する機器である。ＩＰ機器１２は、無線ＬＡＮの通信インターフェース（無線ＬＡＮ ＩＦ）を介して、ゲートウェイ２０に通信可能に接続され、無線ＬＡＮ ＩＦを介してゲートウェイ２０にデータを送信する。

なお以下では、機器１０とゲートウェイ２０との間でデータを授受できる状態を指す場合、機器１０がゲートウェイ２０に「デバイス接続」されていると呼び、機器１０とゲートウェイ２０との間のインターフェースを「デバイス接続ＩＦ」と呼ぶ。
本図では、一例として、ゲートウェイ２０－１は、ＵＳＢ機器１１－１およびＩＰ機器１２－１にデバイス接続される。また、ゲートウェイ２０－２は、ＵＳＢ機器１１－２およびＩＰ機器１２－２にデバイス接続される。また、ゲートウェイ２０－ｎは、ＩＰ機器１２－ｋにデバイス接続される。

なお機器１０は、ＵＳＢ機器１１およびＩＰ機器１２に限定されない。機器１０は、ＢＬＥ（Bluetooth（登録商標）Low Energy）インターフェース等を介してゲートウェイ２０にデバイス接続される近距離無線通信対応の機器またはその他の任意のデバイス接続ＩＦを介してゲートウェイ２０にデバイス接続される機器を含んでもよい。

ゲートウェイ２０は、機器１０から供給されたデータを、アプリケーションサーバ３０に対して、パケットにより転送する中継装置として機能するコンピュータである。ゲートウェイ２０はまた、アプリケーションサーバ３０から受信したパケットを、機器１０に転送する。以下「パケットの転送」は、機器１０またはアプリケーションサーバ３０から受信したパケットを宛先に転送することに加え、機器１０から供給されたデータを所定のプロトコルおよびフォーマットのパケットに変換し、宛先に送信することを含む場合がある。プロトコルおよびフォーマットは、ゲートウェイ２０内部の、デバイス接続先の機器１０に対応するアプリケーション（プロセス）ごとに定義される。すなわち、ゲートウェイ２０は、機器１０とアプリケーションサーバ３０との通信を中継してもよく、またゲートウェイ２０内部のプロセスが、対応するアプリケーションサーバ３０と通信してもよい。

なおゲートウェイ２０は、Ethernet（登録商標）の通信インターフェース（ＩＦ）と、無線ＬＡＮ ＩＦ、ＵＳＢ ＩＦおよびその他の任意のデバイス接続ＩＦのうち少なくとも１種類のデバイス接続ＩＦとが設けられてよい。

ここで、ゲートウェイ２０は、運用モードまたは学習モードに設定される。
ゲートウェイ２０は、運用モードに設定された場合、データの転送が許可されるパケットの条件が記述されたリストであるホワイトリストを用いて、転送対象のデータにかかるパケットがホワイトリストに適合するか否かを判定する。そしてゲートウェイ２０は、ホワイトリストに適合するパケットのみを転送し、それ以外のパケットを破棄する。

ゲートウェイ２０は、学習モードに設定された場合、転送対象のデータにかかるパケットを宛先のアプリケーションサーバ３０または機器１０に転送する。そしてゲートウェイ２０は、そのゲートウェイ２０用のホワイトリストを生成（学習）するための情報を通信管理装置４０ａに送信する。ホワイトリストを学習するための情報とは、本実施形態２では、パケットによるデータの転送に関するログ情報、すなわちデータを転送するためにゲートウェイ２０が送信したパケットのログ情報である。

アプリケーションサーバ３０は、機器１０からゲートウェイ２０を介して取得したデータを処理するサーバ・コンピュータ等のコンピュータである。アプリケーションサーバ３０は、機器１０の種別に対応して設けられてよい。

通信管理装置４０ａは、ゲートウェイ２０のホワイトリストを生成するサーバ・コンピュータ等のコンピュータである。通信管理装置４０ａは、学習モードに設定されたゲートウェイ２０から受信した情報に基づいて、そのゲートウェイ２０に対応するホワイトリストを生成し、生成したホワイトリストをそのゲートウェイ２０に配布する。

また通信管理装置４０ａは、所定の条件下で、システム管理装置５０から受信した登録可否情報に基づいて、ホワイトリストを生成する。登録可否情報は、転送対象のデータにかかるパケットに基づくレコードをホワイトリストに登録してよいか否かを示す情報である。

システム管理装置５０は、通信システム１を管理するシステム管理者が使用するコンピュータである。システム管理装置５０は、システム管理者が設定した登録可否情報を通信管理装置４０ａに送信する。なお、システム管理装置５０は、通信管理装置４０に組み込まれていてもよい。
ここで通信システム１は、ＩｏＴシステム等の、事前にシステム設計が行われるシステムを対象としている。このようなシステムは、システムで使用する通信およびデバイス接続方式が一定のパターンに収まるように設計されている。したがって通信システム１で使用され得る機器１０、アプリケーションサーバ３０およびゲートウェイ２０の間の通信およびその機器１０のデバイス接続に関する情報を含む設計情報が予め作成されている。なお、ＩＴシステムにおいては、例えばユーザのコンピュータ上のウェブブラウザからインターネットに向けた多種多様な通信が発生するため、事前の設計および通信の把握は困難である。

次に図３を用いて、図４～５を参照しながら、実施形態２にかかる通信管理装置４０ａの構成について説明する。図３は、実施形態２にかかる通信管理装置４０ａの構成の一例を示すブロック図である。通信管理装置４０ａは、設計情報取得部４２と、テンプレート生成部４３と、記憶部４４と、ログ受信部４５と、適合判定部４６と、ホワイトリスト生成部４７と、判定支援部４８と、送信部４９とを備える。

設計情報取得部４２は、機器１０の種別ごとに、通信システム１におけるその機器１０に関連する設計情報を取得する。ここで設計情報は、通信システム１で使用され得る機器１０、アプリケーションサーバ３０およびゲートウェイ２０の間の通信およびその機器１０のデバイス接続に関する情報を含む。そして設計情報取得部４２は、取得した設計情報をテンプレート生成部４３に供給する。

テンプレート生成部４３は、通信システム１で使用され得る機器１０として予め定められた機器１０の種別ごとに、その機器１０に関連する設計情報に基づくテンプレートを生成する。テンプレートは、その機器１０から供給されたデータを転送するためのパケットの識別情報を含む。ここで識別情報は、パケットのヘッダ情報、送信元プロセス情報、およびゲートウェイ２０と機器１０との間のデバイス接続情報のうち、少なくとも１つを含む。

図４は、実施形態２にかかるテンプレート生成部４３が生成するテンプレートのデータ構造の一例を示す図である。テンプレートは、通信に関する識別情報にかかるテンプレートＴＰＬ（１）と、デバイス接続に関する識別情報にかかるテンプレートＴＰＬ（２）とを有する。

本図に示す例では、テンプレートＴＰＬ（１）は、通信に関する識別情報として、送信元ＩＰアドレス、送信元ポート番号、送信元プロセス名、宛先ＩＰアドレスおよび宛先ポート番号の項目を含んでいる。なお通信に関する識別情報は、上記項目に限定されず、宛先ドメイン名、送信元プロセスのユーザ名、宛先ＭＡＣ（Media Access Control）アドレスに対応する項目が含まれていてもよい。ここで、送信元プロセス名は、プロセス名を含むプロセスパスであるが、これに代えて単にプロセス名であってもよい。送信元プロセス名、ドメイン名および送信元プロセスのユーザ名は、ヘッダ情報に含まれるＩＰアドレスを用いて特定される。

テンプレートＴＰＬ（２）は、デバイス接続に関する識別情報として、機器１０がＵＳＢ機器１１の場合、ＶＩＤ（Vendor ID）、ＰＩＤ（Product ID）およびシリアル番号の項目を、機器１０がＩＰ機器１２の場合、ＭＡＣアドレスおよびＩＰアドレスの項目を含んでいる。

テンプレートＴＰＬは、機器１０の種別ごとに生成される。本例においては、通信システム１で使用され得る機器１０は、温湿度センサと、監視カメラと、設備稼働監視情報収集機器とを有する。たとえばテンプレートＴＰＬの１番目のレコードＴＰＬ＿Ａは、温湿度センサに関連するテンプレートである。ＴＰＬ＿Ａに示すように、温湿度センサは、ＶＩＤが”0×0001”かつＰＩＤが”0×0230”のＵＳＢ機器１１である。温湿度センサに関連するデータは、ゲートウェイ２０内でプロセス”usr/bin/app1”により処理され、宛先ポート番号”443/tcp”又は”10000/tcp”、宛先ＩＰアドレス”172.16.10.10”に転送されるように設計されている。ＴＰＬ＿Ａの送信元アドレス、送信元ポート番号およびシリアル番号の項目は、”Any”に設定され、任意であることを示す。
またテンプレートＴＰＬの２番目のレコードＴＰＬ＿Ｂは、監視カメラに関連するレコードである。ＴＰＬ＿Ｂに示すように、監視カメラは、ＭＡＣアドレスが”XX:XX:XX:XX:00:01”かつＩＰアドレスが”192.168.1.5”のＩＰ機器１２であり、監視カメラに関連するデータは、２種類の方式で転送されるように設計されている。第１の方式は、送信元ＩＰアドレス”172.16.20.20”から受信したパケットを宛先ＩＰアドレス”192.168.0.5”に転送する方式である。また第２の方式は、監視カメラから取得したデータをゲートウェイ２０内でプロセス”usr/bin/camera”により処理し、宛先ポート番号”80tcp”、宛先ＩＰアドレス” 172.16.10.20”に転送する方式である。

記憶部４４は、テンプレート生成部４３が生成したテンプレートを記憶する記憶媒体である。

ログ受信部４５は、複数のゲートウェイ２０の各々から、パケットの転送に関するログ情報を受信する。ここで図５は、実施形態２にかかるログ受信部４５が受信するログ情報のデータ構造の一例を示す図である。本図には、ゲートウェイ２０－１のログ情報Ｌ１が示される。一例として、ログ情報Ｌ１は、５つのログＬ１－１～Ｌ１－５を含む。ログＬ１－１～Ｌ１－４はそれぞれ、転送したパケット１～４の識別情報を含み、具体的には、送信元ＩＰアドレス、送信元ポート番号、宛先ＩＰアドレス、宛先ポート番号および送信元プロセス名を含んでいる。ログＬ１－５は、デバイス接続に関する識別情報を含み、具体的には、機器１０がＵＳＢ機器１１であればＶＩＤ、ＰＩＤおよびシリアル番号を含んでおり、機器１０がＩＰ機器１２であればＭＡＣアドレスおよびＩＰアドレスを含んでいる。
本例では、機器１０は、ＶＩＤ”0×0001”、ＰＩＤ”0×0200”のＵＳＢ機器１１であり、データの転送にかかるパケットの宛先ポート番号は”443/tcp”又は”10000/tcp”であり、送信元プロセスは、”usr/bin/app1”である。したがって機器１０は、図４に示すＴＰＬ＿Ａで規定される温湿度センサである。なお、ログＬ１－１～Ｌ１－４に記載される送信元ＩＰアドレス”172.16.10.101”は、ゲートウェイ２０－１のＩＰアドレスである。
ログ受信部４５は、受信したログ情報を適合判定部４６に供給する。

適合判定部４６は、受信したログ情報がテンプレートＴＰＬに適合するか否かを判定する。すなわち適合判定部４６は、ゲートウェイ２０が転送したパケットが、記憶部４４に格納されるいずれかのテンプレートＴＰＬに適合するか否かを判定する。適合判定部４６は、判定結果をホワイトリスト生成部４７または判定支援部４８に供給する。

なおテンプレートＴＰＬに適合しない場合とは、転送したパケットが、故障時のエラーを通知するパケットなど、正常運用時には発生しない通信に関するパケットである場合が含まれる。また転送したパケットが、事前にマルウェアに感染し、情報を搾取するための通信にかかるパケット等、意図しない通信にかかるパケットである場合も含まれる。また転送したパケットが、バージョンアップされたソフトウェアや他社製のソフトウェアを利用する通信といった、事前に設計情報を入手できずテンプレート化できなかった通信にかかるパケットである場合も含まれる。

ホワイトリスト生成部４７は、複数のゲートウェイ２０の各々について、そのゲートウェイ２０から受信したログ情報がテンプレートＴＰＬに適合する場合、そのログ情報にかかるパケットの識別情報をホワイトリストに登録する。これにより、ホワイトリスト生成部４７は、複数のゲートウェイ２０の各々について、ホワイトリストを生成する。ホワイトリスト生成部４７は、生成したホワイトリストを、送信部４９に供給する。

判定支援部４８は、複数のゲートウェイ２０の各々について、そのゲートウェイ２０から受信したログ情報がテンプレートに適合しない場合、そのログ情報の登録可否情報を取得する。そして判定支援部４８は、ログ情報の登録可否情報に基づいてログ情報にかかるパケットの識別情報をホワイトリストに登録するか否かを判定する。判定支援部４８は、判定結果をホワイトリスト生成部４７に供給する。そしてホワイトリスト生成部４７は、登録可と判定されたログ情報にかかるパケットの識別情報を、ホワイトリストに登録する。

送信部４９は、複数のゲートウェイ２０の各々に対して、複数のゲートウェイ２０の各々に対応するホワイトリストを送信する。

図６～７は、実施形態２にかかる通信システム１の動作の一例を示すシーケンス図である。本図では、説明の便宜上、機器１０からアプリケーションサーバ３０へのデータ通信に関する動作を示し、アプリケーションサーバ３０から機器１０へのデータ通信に関する動作については省略される。

まず、通信管理装置４０ａは、機器１０の種別ごとにテンプレートＴＰＬを予め生成しておく。具体的には、通信管理装置４０ａの設計情報取得部４２は、通信システム１に使用され得る機器１０の設計情報を取得する（図６のステップＳ１００）。そして設計情報取得部４２は、通信管理装置４０ａのテンプレート生成部４３に設計情報を供給する。

次に、テンプレート生成部４３は、機器１０の設計情報に基づいて、通信に関する識別情報およびデバイス接続に関する識別情報を含むテンプレートＴＰＬを生成する（ステップＳ１０１）。

次に、テンプレート生成部４３は、テンプレートＴＰＬを通信管理装置４０ａの記憶部４４に格納する（ステップＳ１０２）。

ここで、ゲートウェイ２０が学習モードに設定された場合の通信システム１の動作について説明する。ゲートウェイ２０が学習モードに設定されたことに応じて、ゲートウェイ２０は、通信管理装置４０ａに、学習モードの開始について通知する（ステップＳ１０３）。これにより、通信管理装置４０ａは、ホワイトリストの生成処理を開始する。

そしてゲートウェイ２０にデバイス接続される機器１０は、保持しているデータをゲートウェイ２０に供給する（ステップＳ１０４）。ここで、機器１０がＵＳＢ機器１１である場合、ＵＳＢ ＩＦを介して、保持しているデータをゲートウェイ２０に出力する。このときゲートウェイ２０の内部のプロセスが出力されたデータを取得する。なおゲートウェイ２０のプロセスは、ＵＳＢ機器１１がＵＳＢ ＩＦに差し込まれたことに応じて、ＵＳＢ機器１１のデバイス接続情報を取得する。また機器１０がＩＰ機器１２である場合、無線ＬＡＮ ＩＦを介して、保持しているデータをパケットとしてゲートウェイ２０に送信する。送信されるパケットは、機器１０とアプリケーションサーバ３０の接続を確立するための３ウェイハンドシェイク処理のＳＹＮパケットおよびＡＣＫパケットを含んでもよい。ゲートウェイ２０は、パケットのヘッダ情報から、送信元ＩＰアドレス、宛先ＩＰアドレス、送信元ポート番号および宛先ポート番号を取得する。そしてゲートウェイ２０は、ヘッダ情報に含まれる宛先ＩＰアドレス、宛先ポート番号およびプロトコルから送信元プロセス名を取得する。

ゲートウェイ２０は、機器１０から取得したデータを、宛先のアプリケーションサーバ３０に転送する（ステップＳ１０５）。具体的には、ゲートウェイ２０は、ＵＳＢ機器１１から取得したデータまたはＩＰ機器１２から受信したパケットにかかるデータを、内部のプロセスにより所定のプロトコルおよびフォーマットのパケットに変換し、宛先のアプリケーションサーバ３０に送信する。あるいは、ゲートウェイ２０は、ＩＰ機器１２から受信したパケットを、宛先のアプリケーションサーバ３０に転送する。

ゲートウェイ２０は、ステップＳ１０５におけるパケットの転送で発生したログ情報を、通信管理装置４０ａのログ受信部４５に送信する（ステップＳ１０６）。ログ受信部４５は、受信したログ情報を適合判定部４６に供給する。

通信管理装置４０ａの適合判定部４６は、受信したログ情報が、記憶部４４に格納されるいずれかのテンプレートＴＰＬに適合するか否かを判定する（ステップＳ１０６）。たとえば図４～５に示す例では、適合判定部４６は、ゲートウェイ２０－１から受信したログ情報が温湿度センサに関連するテンプレートＴＰＬ＿Ａに適合すると判定する。適合判定部４６は、適合するテンプレートＴＰＬがある場合は（ステップＳ１０６でＹｅｓ）、その旨およびゲートウェイ２０を識別するエッジゲートウェイ番号をホワイトリスト生成部４７に通知する。そして、ホワイトリスト生成部４７は、受信したログ情報に含まれるパケットの識別情報およびデバイス接続に関する識別情報を、ホワイトリストに新規登録する（ステップＳ１０９）。これによりホワイトリスト生成部４７は、ホワイトリストを生成する。なお、すでに同様の識別情報がホワイトリストに登録されている場合は、新規登録を省略してよい。

ここで、ホワイトリスト生成部４７が生成するホワイトリストについて説明する。図８は、実施形態２にかかるホワイトリスト生成部４７が生成するホワイトリストのデータ構造の一例を示す図である。本図には、ゲートウェイ２０－１によるデータの転送が許可される条件として、通信に関する条件を規定するホワイトリストＷＬ（１）と、デバイス接続に関する条件を規定するホワイトリストＷＬ（２）が示されている。なお、本図に示すホワイトリストＷＬ（１），（２）は、図４に示す温湿度センサに関連するテンプレートＴＰＬ＿Ａ（１），（２）と同一の情報を有する。

図６に戻り、判定支援部４８は、受信したログ情報に適合するテンプレートＴＰＬがない場合は（ステップＳ１０６でＮｏ）、適合しないことを示す差分情報を、システム管理装置５０に通知する（ステップＳ１０７）。

ここで、図９～１０を用いて、判定支援部４８が通知する差分情報について説明する。図９～１０は、実施形態２にかかる通信管理装置４０ａによる、ログ情報がテンプレートに適合しない場合の処理を説明するための図である。図９には、ゲートウェイ２０－１から受信したログ情報Ｌ２が示される。また図１０には、ログ情報Ｌ２に基づいて生成された差分情報Ｄ（１），Ｄ（２）を含むテンプレートＴＰＬ＿Ａ（１）／Ｄ（１）およびＴＰＬ＿Ａ（２）／Ｄ（２）が示される。

図９に示すように、ログ情報Ｌ２は、図５に示すログ情報Ｌ１に含まれるログＬ１－１，Ｌ１－３，Ｌ１－５に加えて、ログＬ２－３を含む。ログＬ１－１、Ｌ１－３およびＬ１－５に含まれる各種識別情報は、テンプレートＴＰＬ＿Ａに適合するが、ログＬ２－３に含まれるパケットの識別情報は、いずれのテンプレートＴＰＬにも適合しない。したがって判定支援部４８は、図１０に示すように、適合したテンプレートＴＰＬ＿Ａに、いずれのテンプレートＴＰＬにも適合しないログＬ２－３に含まれるパケットの識別情報を差分情報として追加した情報を生成する。そして判定支援部４８は、生成した情報をシステム管理装置５０に送信する。これにより、システム管理者に判断を促してよい。
なおシステム管理装置５０が、通信管理装置４０に組み込まれている場合は、判定支援部４８は、生成した情報を管理用のウェブ画面に表示させることで、システム管理者に通知してよい。

再び図６に戻り、システム管理装置５０は、取得した差分情報に基づいて、ログ情報に含まれる識別情報をホワイトリストに登録するか否かを判定し、判定結果を示す登録可否情報を、通信管理装置４０ａの判定支援部４８に送信する（ステップＳ１０８）。登録可否情報は、システム管理者の知識に基づいてシステム管理者により判断され、かつシステム管理者により入力された情報であってよく、あるいは予め定められた判定基準に基づいて判定された情報であってもよい。そして判定支援部４８は、システム管理装置５０から登録可否情報を取得したことに応じて、ログ情報にかかるパケットの識別情報をホワイトリストに登録するか否かを判定する。そして、判定支援部４８は、登録可であった場合のみ、ホワイトリスト生成部４７にその旨および差分情報を通知し、処理を上述のステップＳ１０９に進める。

次に、ゲートウェイ２０が運用モードに設定された場合の通信システム１の動作について説明する。ゲートウェイ２０の学習モードが解除され、運用モードが設定されたことに応じて、ゲートウェイ２０は、通信管理装置４０ａに学習モードの終了について通知する（図７のステップＳ１１０）。そして、通信管理装置４０ａの送信部４９は、生成したホワイトリストを、エッジゲートウェイ番号に対応するゲートウェイ２０に送信する（ステップＳ１１１）。

そして機器１０は、ステップＳ１０４に示す処理と同様に、保持しているデータをゲートウェイ２０に供給する（ステップＳ１１２）。

ゲートウェイ２０は、機器１０から取得したデータにかかるパケットが、通信管理装置４０ａから取得したホワイトリストのいずれかのレコードに適合するか否かを判定する（ステップＳ１１３）。このときゲートウェイ２０は、ＵＳＢ機器１１またはＩＰ機器１２から取得したデータを、内部のプロセスにより所定のプロトコルおよびフォーマットのパケットに変換したもの、またはＩＰ機器１２から受信したパケットを、判定対象としてよい。

ゲートウェイ２０は、パケットがホワイトリストのいずれかのレコードに適合すると判定した場合（ステップＳ１１３でＹｅｓ）、機器１０から取得したデータにかかるパケットを、宛先のアプリケーションサーバ３０に転送する（ステップＳ１１５）。そして、ゲートウェイ２０は、ステップＳ１１５におけるパケットの転送で発生したログ情報を、通信管理装置４０ａに送信する（ステップＳ１１６）。

一方、ゲートウェイ２０は、パケットがホワイトリストのいずれのレコードにも適合しないと判定した場合（ステップＳ１１３でＮｏ）、パケットを破棄する（ステップＳ１１４）。

このように実施形態２によれば、通信管理装置４０ａは、転送にかかるパケットに関するログ情報が予め想定して用意されたテンプレートに適合しない場合、ログ情報の登録可否情報に基づいてホワイトリストに登録するか否かを判定する。したがって、通信管理装置４０ａは、予め想定されていない未知または不正なパケットを、ホワイトリストに誤って登録してしまうことを回避し、必要と判定された場合のみホワイトリストに登録することができる。

また通信管理装置４０ａは、転送にかかるパケットに関するログ情報がテンプレートに適合しない場合、適合しないことを示す情報をシステム管理装置５０に通知する。したがって、システム管理者は、未知または不正なパケットの存在に容易に気づくことができ、通信管理装置４０ａは、システム管理者からの指示をオンデマンドで受け、反映させることができる。

また通信管理装置４０ａは、複数のゲートウェイ２０について、上述のホワイトリストの生成処理を実行するため、通信システム１上のホワイトリストの一元管理が容易となる。

なお実施形態２では、通信管理装置４０ａは、ゲートウェイ２０が学習モードに設定されている期間に、ホワイトリストの生成処理を行うとしたが、学習モードが解除された後に、ログ情報に基づいてホワイトリストの追加生成処理を行ってよい。なぜなら、学習モードに設定された期間で許可される通信の全てが発生しない可能性があり、その場合は、発生しなかった通信がホワイトリストに反映されないためである。

具体的には、図７のステップＳ１１６において、運用モードに設定されているゲートウェイ２０は、パケットの転送で発生したログ情報を、通信管理装置４０ａのログ受信部４５に送信する。通信管理装置４０ａは、受信したログ情報に対して、図６のステップＳ１０６～１０９に示す処理を行い、テンプレートとの差分が発生した場合に、システム管理装置５０の指示に基づいてホワイトリストに追加するか否かを判定する。これにより、学習モードに設定された期間で発生しなかった通信について、ホワイトリストに追加登録することができる。

＜実施形態３＞
次に図１１～１３を用いて、本開示の実施形態３について説明する。図１１は、実施形態３にかかる通信管理装置４０ｂの構成の一例を示すブロック図である。実施形態３にかかる通信管理装置４０ｂは、実施形態２にかかる通信管理装置４０ａと基本的に同様の構成および機能を有する。ただし通信管理装置４０ｂは、判定支援部４８に代えて、判定支援部４８ｂを有する点で通信管理装置４０ａと相違する。

判定支援部４８ｂは、判定支援部４８の機能に加えて、ログ情報がテンプレートに適合しない場合、システム管理装置５０から取得したテンプレート可否情報に基づいて、ログ情報に基づくテンプレートを生成するか否かを判定する。そして判定支援部４８ｂは、判定結果をテンプレート生成部４３に供給する。そしてテンプレート生成部４３は、生成可と判定されたログ情報にかかるパケットの識別情報から、テンプレートを生成する。

図１２は、実施形態３にかかる通信システム１の動作の一例を示すシーケンス図である。図１２に示す処理は、図６に示す処理のステップＳ１０８に代えて、ステップＳ２００～２０１を有する。なお図６と同様のステップについては、同一の記号を付して説明を省略する。

システム管理装置５０は、差分情報を取得したことに応じて（ステップＳ１０７）、ログ情報に含まれる識別情報をテンプレート化するか否かを判定する。そしてシステム管理装置５０は、登録可否情報に加えて、テンプレートを生成するか否かの判定結果を示すテンプレート可否情報を通信管理装置４０ｂの判定支援部４８に送信する（ステップＳ２００）。テンプレート可否情報は、システム管理者の知識に基づいてシステム管理者により判断され、かつシステム管理者により入力された情報であってよく、あるいは予め定められた判定基準に基づいて判定された情報であってもよい。

そして、通信管理装置４０ｂの判定支援部４８は、テンプレート可否情報を取得したことに応じて、ログ情報に基づくテンプレートを生成するか否かを判定する。そして、判定支援部４８は、生成可であった場合のみ、テンプレート生成部４３にその旨および差分情報を通知する。
そしてテンプレート生成部４３は、差分情報に基づいてテンプレートを生成し、既存のテンプレートに追加する（ステップＳ２０１）。

図１３は、実施形態３にかかる通信管理装置４０ｂのテンプレート追加処理を説明するための図である。本図には、テンプレートＴＰＬ＿Ａ（１）’および（２）’が示される。テンプレートＴＰＬ＿Ａ（１）’および（２）’は、図４に示すＴＰＬ＿Ａ（１）および（２）の３番目のレコードに、図１０に示す差分情報が追加されたものである。

なお通信管理装置４０ｂは、学習モードが解除された後にホワイトリストの追加生成処理を行う場合は、運用モードに設定されているゲートウェイ２０からログ情報を受信し、図１２のステップＳ１０６～１０９，２００および２０１に示す処理を行ってよい。これにより、学習モードに設定された期間で発生しなかった通信について、テンプレートに追加することができる。

このように、実施形態３によれば、通信管理装置４０ｂは、未知または不正なパケットにかかる情報を、システム管理者からの指示を受けて、恒久的にホワイトリストに登録されるようにテンプレート化することができる。また、生成されたテンプレートは、他のゲートウェイ２０についても適用させることができる。したがってシステム管理者は、同様のパケットについてホワイトリストへの登録可否情報を通信管理装置４０ｂに送信する手間が省略される。

上述の実施形態ではコンピュータは、パーソナルコンピュータやワードプロセッサ等を含むコンピュータシステムで構成される。しかしこれに限らず、コンピュータは、ＬＡＮ（ローカル・エリア・ネットワーク）のサーバ、コンピュータ（パソコン）通信のホスト、インターネット上に接続されたコンピュータシステム等によって構成されることも可能である。また、ネットワーク上の各機器に機能分散させ、ネットワーク全体でコンピュータを構成することも可能である。

また、上述の実施形態では、本開示をハードウェアの構成として説明したが、本開示は、これに限定されるものではない。本発明は、任意の処理を、プロセッサにコンピュータプログラムを実行させることにより実現することも可能である。

上述の例において、プロセッサは、ＣＰＵ（Central Processing Unit）、ＧＰＵ（Graphics Processing Unit）、ＦＰＧＡ（field-programmable gate array）、ＤＳＰ（digital signal processor）およびＡＳＩＣ（application specific integrated circuit）等が用いられてよい。

上述の例において、プログラムは、様々なタイプの非一時的なコンピュータ可読媒体（non-transitory computer readable medium）を用いて格納され、コンピュータに供給することができる。非一時的なコンピュータ可読媒体は、様々なタイプの実体のある記録媒体（tangible storage medium）を含む。非一時的なコンピュータ可読媒体の例は、磁気記録媒体（例えばフレキシブルディスク、磁気テープ、ハードディスクドライブ）、光磁気記録媒体（例えば光磁気ディスク）、ＣＤ－ＲＯＭ（Read Only Memory）、ＣＤ－Ｒ、ＣＤ－Ｒ／Ｗ、ＤＶＤ（Digital Versatile Disc）、ＢＤ（Blu-ray（登録商標） Disc）、半導体メモリ（例えば、マスクＲＯＭ、ＰＲＯＭ（Programmable ROM）、ＥＰＲＯＭ（Erasable PROM）、フラッシュＲＯＭ、ＲＡＭ（Random Access Memory））を含む。また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体（transitory computer readable medium）によってコンピュータに供給されてもよい。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバ等の有線通信路、又は無線通信路を介して、プログラムをコンピュータに供給できる。

請求の範囲、明細書、および図面中において示したシステムおよび方法における各処理の実行順序は、特段「より前に」、「先立って」等と明示しておらず、また、前の処理の出力を後の処理で用いるのではない限り、任意の順序で実現しうる。請求の範囲、明細書および図面中の動作フローに関して、便宜上「まず、」、「次に、」等を用いて説明したとしても、この順序で実施することが必須であることを意味するものではない。

以上、実施の形態を参照して本開示を説明したが、本開示は上記によって限定されるものではない。本開示の構成や詳細には、発明のスコープ内で当業者が理解し得る様々な変更をすることができる。

１ 通信システム
４ ネットワーク
１０ 機器
１１ ＵＳＢ機器
１２ ＩＰ機器
２０ 中継装置（ゲートウェイ）
３０ アプリケーションサーバ
４０，４０ａ，４０ｂ 通信管理装置
４２ 設計情報取得部
４３ テンプレート生成部
４４ 記憶部
４５ ログ受信部
４６ 適合判定部
４７ ホワイトリスト生成部
４８，４８ｂ 判定支援部
４９ 送信部
５０ システム管理装置

Claims (9)

1. 通信システムが備える通信管理装置であって、
   前記通信システムの設計情報に基づいて、予め定められた機器から供給されたデータを転送するためのパケットの識別情報を含むテンプレートを生成するテンプレート生成部と、
   前記通信システムが備える機器から供給されたデータをパケットにより転送する中継装置から、前記パケットによるデータの転送に関するログ情報を受信するログ受信部と、
   前記ログ情報が前記テンプレートに適合する場合、前記ログ情報に基づいて、前記中継装置によるデータの転送が許可されるパケットの条件が記述された許可リストを生成する許可リスト生成部と、
   前記ログ情報が前記テンプレートに適合しない場合、前記ログ情報の登録可否情報に基づいて前記ログ情報にかかるパケットの識別情報を許可リストに登録するか否かを判定する判定支援部と、
   生成された前記許可リストを、前記中継装置に送信する送信部と
   を有する通信管理装置。
2. 前記判定支援部は、前記ログ情報が前記テンプレートに適合しない場合、適合しないことを示す情報をシステム管理装置に通知し、前記システム管理装置から前記登録可否情報を取得したことに応じて、前記ログ情報にかかるパケットの識別情報を許可リストに登録するか否かを判定する
   請求項１に記載の通信管理装置。
3. 前記判定支援部は、前記ログ情報が前記テンプレートに適合しない場合、システム管理装置から取得したテンプレート可否情報に基づいて、前記ログ情報に基づくテンプレートを生成するか否かを判定する
   請求項１または２に記載の通信管理装置。
4. 前記パケットの識別情報は、前記パケットのヘッダ情報、送信元プロセス情報、および前記中継装置と前記機器との間のデバイス接続情報のうち、少なくとも１つを含む
   請求項１から３のいずれか一項に記載の通信管理装置。
5. 前記ログ受信部は、複数の中継装置の各々からログ情報を受信し、
   前記許可リスト生成部は、前記複数の中継装置の各々について、受信した前記ログ情報が前記テンプレートに適合する場合に許可リストを生成し、
   前記判定支援部は、前記複数の中継装置の各々について、前記ログ情報が前記テンプレートに適合しない場合、前記ログ情報の登録可否情報に基づいて、前記ログ情報にかかるパケットの識別情報を許可リストに登録するか否かを判定し、
   前記送信部は、前記複数の中継装置の各々に対して、前記複数の中継装置の各々に対応する許可リストを送信する
   請求項１から４のいずれか一項に記載の通信管理装置。
6. 複数の機器と、
   複数の中継装置と、
   通信管理装置と、
   を備える通信システムであって、
   前記中継装置は、前記通信システムが備える前記機器から供給されたデータをパケットにより転送し、
   前記通信管理装置は、
   前記通信システムの設計情報に基づいて、予め定められた機器から供給されたデータを転送するためのパケットの識別情報を含むテンプレートを生成するテンプレート生成部と、
   前記中継装置から、前記パケットによるデータの転送に関するログ情報を受信するログ受信部と、
   前記ログ情報が前記テンプレートに適合する場合、前記ログ情報に基づいて、前記中継装置によるデータの転送が許可されるパケットの条件が記述された許可リストを生成する許可リスト生成部と、
   前記ログ情報が前記テンプレートに適合しない場合、前記ログ情報の登録可否情報に基づいて前記ログ情報にかかるパケットの識別情報を許可リストに登録するか否かを判定する判定支援部と、
   生成された前記許可リストを、前記中継装置に送信する送信部と
   を有する
   通信システム。
7. システム管理装置をさらに備え、
   前記判定支援部は、前記ログ情報が前記テンプレートに適合しない場合、適合しないことを示す情報を前記システム管理装置に通知し、前記システム管理装置から前記登録可否情報を取得したことに応じて、前記ログ情報にかかるパケットの識別情報を許可リストに登録するか否かを判定する
   請求項６に記載の通信システム。
8. コンピュータが、
   通信システムの設計情報に基づいて、予め定められた機器から供給されたデータを転送するためのパケットの識別情報を含むテンプレートを生成し、
   前記通信システムが備える機器から供給されたデータをパケットにより転送する中継装置から、前記パケットによるデータの転送に関するログ情報を受信し、
   前記ログ情報が前記テンプレートに適合する場合、前記ログ情報に基づいて、前記中継装置によるデータの転送が許可されるパケットの条件が記述された許可リストを生成し、
   前記ログ情報が前記テンプレートに適合しない場合、前記ログ情報の登録可否情報に基づいて前記ログ情報にかかるパケットの識別情報を許可リストに登録するか否かを判定し、
   生成された前記許可リストを、前記中継装置に送信する、
   通信管理方法。
9. 通信システムの設計情報に基づいて、予め定められた機器から供給されたデータを転送するためのパケットの識別情報を含むテンプレートを生成するテンプレート生成ステップと、
   前記機器から供給されたデータをパケットにより転送する中継装置から、前記パケットによるデータの転送に関するログ情報を受信するログ受信ステップと、
   前記ログ情報が前記テンプレートに適合する場合、前記ログ情報に基づいて、前記中継装置によるデータの転送が許可されるパケットの条件が記述された許可リストを生成する許可リスト生成ステップと、
   前記ログ情報が前記テンプレートに適合しない場合、前記ログ情報の登録可否情報に基づいて前記ログ情報にかかるパケットの識別情報を許可リストに登録するか否かを判定する判定支援ステップと、
   生成された前記許可リストを、前記中継装置に送信する送信ステップと
   をコンピュータに実行させる通信管理プログラム。

Images