WO2018164036A1 - 通信制御方法、通信制御プログラムの記録媒体及び通信装置 - Google Patents

通信制御方法、通信制御プログラムの記録媒体及び通信装置 Download PDF

Info

Publication number
WO2018164036A1
WO2018164036A1 PCT/JP2018/008263 JP2018008263W WO2018164036A1 WO 2018164036 A1 WO2018164036 A1 WO 2018164036A1 JP 2018008263 W JP2018008263 W JP 2018008263W WO 2018164036 A1 WO2018164036 A1 WO 2018164036A1
Authority
WO
WIPO (PCT)
Prior art keywords
communication
combination
physical connection
application
connection unit
Prior art date
Application number
PCT/JP2018/008263
Other languages
English (en)
French (fr)
Inventor
岳 林
小林　宰
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to US16/491,962 priority Critical patent/US20210136034A1/en
Publication of WO2018164036A1 publication Critical patent/WO2018164036A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F13/00—Interconnection of, or transfer of information or other signals between, memories, input/output devices or central processing units
    • G06F13/10—Program control for peripheral devices
    • G06F13/12—Program control for peripheral devices using hardware independent of the central processor, e.g. channel or peripheral processor
    • G06F13/122—Program control for peripheral devices using hardware independent of the central processor, e.g. channel or peripheral processor where hardware performs an I/O function other than control of data transfer
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F13/00—Interconnection of, or transfer of information or other signals between, memories, input/output devices or central processing units
    • G06F13/38—Information transfer, e.g. on bus
    • G06F13/42—Bus transfer protocol, e.g. handshake; Synchronisation
    • G06F13/4282—Bus transfer protocol, e.g. handshake; Synchronisation on a serial bus, e.g. I2C bus, SPI bus
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/66—Arrangements for connecting between networks having differing types of switching systems, e.g. gateways
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2101/00—Indexing scheme associated with group H04L61/00
    • H04L2101/60—Types of network addresses
    • H04L2101/618—Details of network addresses
    • H04L2101/663—Transport layer addresses, e.g. aspects of transmission control protocol [TCP] or user datagram protocol [UDP] ports

Definitions

  • the present invention relates to a communication control method, a recording medium for a communication control program, and a communication device.
  • IoT Internet of Things
  • various devices such as sensors and actuators are connected to a network such as the Internet, and data acquired from the device can be monitored and analyzed, and the operation of the device can be controlled via the network.
  • Communication by a device is often controlled by an application executed on a communication device such as a gateway to which the device is connected.
  • a communication device such as a gateway to which the device is connected.
  • the device is not connected to a network, or connected to an isolated network such as a LAN (Local Area Network), so security concerns are small.
  • LAN Local Area Network
  • security concerns are small.
  • a device is connected to the Internet that is accessed by an unspecified user in IoT, a new security threat is generated. Therefore, it is required to improve the security of devices connected to the network.
  • Patent Document 1 describes a technique for restricting the execution of an application based on the reputation of the application determined by another user.
  • Patent Document 2 describes a technique for detecting that an unauthorized computer program (malware) is executed based on a communication protocol and a virtual port number used for communication.
  • the device includes an IP device that performs communication using a TCP / IP (Transmission Control Protocol / Internet Protocol) communication protocol that is standard on the Internet, and a non-IP device that performs communication using a communication protocol other than TCP / IP.
  • TCP / IP Transmission Control Protocol / Internet Protocol
  • Patent Document 2 Since the technology described in Patent Document 2 is based on an IP device that performs communication using a communication protocol that uses a virtual port, it cannot be applied to a non-IP device that does not use a virtual port.
  • the present invention has been made in view of the above-described problems, and is a communication control method, a communication control program recording medium, and a communication apparatus capable of performing fine communication control regardless of IP devices and non-IP devices.
  • the purpose is to provide.
  • a communication control method for executing a communication application for controlling communication and having a physical connection unit from a device connected to the physical connection unit. Obtaining a combination of the physical connection unit and the communication application for performing the communication to the outside of the communication device; the combination for performing the communication; and the physical connection unit and the communication application registered in advance. And determining whether to permit the communication based on the combination of.
  • a recording medium on which a communication control program is recorded the communication device being a computer that executes a communication application for controlling communication and has a physical connection unit. Acquiring a combination of the physical connection unit that performs the communication from the device connected to the connection unit to the outside of the communication device and the communication application, the combination that performs the communication, and the pre-registered Determining whether to permit the communication based on a combination of a physical connection unit and the communication application.
  • a communication device that executes a communication application for controlling communication and has a physical connection unit, from an apparatus connected to the physical connection unit to the outside of the communication device.
  • a communication information acquisition unit that acquires a combination of the physical connection unit that performs the communication with the communication application, and a combination of the physical connection unit and the communication application that are registered in advance and the combination that performs the communication
  • a communication determination unit that determines whether or not to permit the communication.
  • FIG. 1 is a schematic diagram of a communication method using the communication device 10 according to the present embodiment.
  • the communication device 10 is also called a gateway, and is a device that controls communication between the device 20 and the external device 30 via a network.
  • the communication apparatus 10 is provided with at least two physical ports 11 that are physical connection units, and a device 20 can be connected to the physical port 11.
  • the physical port 11 as a physical connection unit is an interface for physically connecting the device 20 via a connection member such as a cable or a connector, and is a virtual port used by a program to specify a data destination. Different from port.
  • a serial port such as RS-232C standard, RS-422 standard, or RS-485 standard
  • a parallel port conforming to IEEE 1284 standard a USB (Universal Serial Bus) port, or any other physical interface is used. It's okay.
  • the external device 30 is a device connected to the communication device 10 via a network.
  • the external device 30 is, for example, a computer or a cloud that is a set of computer resources.
  • the device 20 is a device that transmits a predetermined signal to the external device 30 or receives a signal from the external device 30 to perform a predetermined operation.
  • the device 20 is a sensor that measures temperature, pressure, sound, and the like.
  • the device 20 transmits a signal indicating the measurement result to the external device 30.
  • the device 20 is an actuator that performs a predetermined operation.
  • the device 20 operates according to a signal indicating the control content received from the external device 30.
  • the device 20 includes an IP device that performs communication using a TCP / IP communication protocol and a non-IP device that performs communication using a communication protocol other than TCP / IP.
  • the communication application 12 is a computer program that controls communication by the device 20.
  • the device 20 performs communication according to a communication protocol that differs depending on the type and manufacturer.
  • a communication protocol that the device 20 follows for example, there is a general protocol such as TCP / IP, or a unique protocol that varies depending on the type and manufacturer of the device 20.
  • the communication application 12 converts a signal transmitted and received between the device 20 and the external device 30 according to a communication protocol that the device 20 follows.
  • the communication application 12 is prepared in advance corresponding to the device 20 that may be connected to the communication apparatus 10.
  • the communication apparatus 10 executes the communication application 12 corresponding to the device 20 that is actually connected.
  • the communication apparatus 10 may record the communication application 12 corresponding to the device 20 in advance inside, or may acquire it from the outside when the device 20 is connected. That is, when the device 20 is connected, the communication apparatus 10 acquires and executes the communication application 12 used by the device 20 from the inside or the outside of the communication apparatus 10.
  • the communication control unit 100 controls communication using the communication application 12 of the device 20.
  • the communication control unit 100 permits or rejects communication based on the combination of the physical port 11 to which the device 20 is connected and the communication application 12 used by the device 20.
  • a detailed configuration of the communication control unit 100 will be described with reference to FIG.
  • FIG. 2 is a block diagram of the communication apparatus 10 according to the present embodiment.
  • arrows indicate main data flows, and there may be data flows other than those shown in FIG.
  • each block represents a functional unit configuration, not a hardware (device) unit configuration. Therefore, the blocks shown in FIG. 2 may be implemented in a single device, or may be separately implemented in a plurality of devices. Data exchange between the blocks may be performed via any means such as a data bus, a network, a portable storage medium, or the like.
  • the communication device 10 includes a communication control unit 100 that is a processing unit, and a storage unit 150.
  • the communication control unit 100 includes a registration information acquisition unit 110, a communication information acquisition unit 120, a communication determination unit 130, and a communication execution unit 140.
  • the storage unit 150 includes a combination table storage unit 151 and a system information storage unit 152.
  • the communication apparatus 10 includes a physical port 11 to which the device 20 is connected, and executes a communication application 12 that relays communication between the device 20 and the external device 30.
  • the combination table storage unit 151 includes a physical port 11 to which the device 20 is connected (specifically, a port number that is an identifier for identifying the physical port 11) and a communication application 12 (specifically, the device 20 used).
  • a combination table is recorded in advance in association with a combination with an ID that is an identifier for identifying the communication application 12. Since the communication apparatus 10 according to the present embodiment permits only communication based on the combinations registered in the combination table storage unit 151, the combinations registered in the combination table storage unit 151 function as a white list.
  • FIG. 3 is a schematic diagram of a combination table registered in the combination table storage unit 151 according to this exemplary embodiment.
  • the combination table includes at least one combination of the ID of the communication application 12 and the port number of the physical port 11.
  • the ID of the communication application 12 and the port number of the physical port 11 are respectively defined by an arbitrary expression method such as a character string, a numerical value, or a binary value.
  • One communication application 12 may be associated with a plurality of physical ports 11, and conversely, one physical port 11 may be associated with a plurality of communication applications 12.
  • the user registers, in the combination table, a combination of the communication application 12 and the physical port 11 for which communication is permitted, or deletes the combination for which communication is to be rejected from the combination table.
  • the combination table is represented as a character string table for visibility, but may be represented in any data format (file format), for example, binary data or text data.
  • the combination table may be recorded in the combination table storage unit 151 as a database table, or may be recorded in the combination table storage unit 151 as a binary file or a text file.
  • the registration information acquisition unit 110 acquires a combination of the physical port 11 and the communication application 12 from the combination table storage unit 151. Specifically, first, the registration information acquisition unit 110 acquires the ID of the communication application 12 that is about to communicate (that is, scheduled to communicate) when communication of a new session occurs.
  • the communication application 12 trying to communicate is executed by the system of the communication apparatus 10 according to the device 20 connected to the communication apparatus 10, and the ID of the communication application 12 is easily obtained from the system.
  • the communication application 12 in which a new session communication occurs and the communication application 12 trying to perform the communication is detected, for example, when the device 20 transmits / receives a SYN packet and an ACK packet via the communication application 12 (that is, a 3-way handshake).
  • the registration information acquisition unit 110 acquires the port number of the physical port 11 associated with the acquired ID of the communication application 12 from the combination table storage unit 151. As a result, the registration information acquisition unit 110 can acquire a combination of the communication application 12 and the physical port 11 registered in advance as permitting communication.
  • system information storage unit 152 information on a system (more specifically, an operating system) that operates the communication application 12 in the communication device 10 is recorded.
  • the system information includes information indicating the communication application 12 that is actually using each physical port 11.
  • the system information recorded in the system information storage unit 152 is updated as needed by the system.
  • the communication information acquisition unit 120 acquires information on the communication application 12 using the physical port 11 from the system information storage unit 152. Specifically, the communication information acquisition unit 120 first acquires the port number of the physical port 11 acquired from the combination table storage unit 151 by the registration information acquisition unit 110. Then, the communication information acquisition unit 120 acquires the ID of the communication application 12 that uses the acquired port number of the physical port 11 from the system information storage unit 152. Thereby, the communication information acquisition part 120 can acquire the combination of the communication application 12 and the physical port 11 which are actually going to communicate.
  • the communication determination unit 130 compares the combination acquired from the combination table storage unit 151 with the combination acquired from the system information storage unit 152, and determines whether or not they match.
  • the communication determination unit 130 acquires the ID of the communication application 12 acquired by the registration information acquisition unit 110 and also acquires the ID of the communication application 12 acquired by the communication information acquisition unit 120.
  • the ID of the communication application 12 acquired by the registration information acquisition unit 110 and the ID of the communication application 12 acquired by the communication information acquisition unit 120 correspond to the common physical port 11. Therefore, comparing the IDs of the communication application 12 is synonymous with comparing the combinations of the communication application 12 and the physical port 11. Therefore, the communication determination unit 130 determines whether or not the ID of the communication application 12 acquired by the registration information acquisition unit 110 matches the ID of the communication application 12 acquired by the communication information acquisition unit 120.
  • the communication execution unit 140 uses the communication application 12 according to the determination by the communication determination unit 130 as to whether or not the combination acquired from the combination table storage unit 151 matches the combination acquired from the system information storage unit 152. Allow or deny communication.
  • the communication execution unit 140 acquires the result of determination by the communication determination unit 130.
  • the communication execution unit 140 determines that the ID of the communication application 12 acquired by the registration information acquisition unit 110 matches the ID of the communication application 12 acquired by the communication information acquisition unit 120
  • the communication execution unit 140 Information indicating that the communication of the device 20 is permitted.
  • the communication execution unit 140 responds to the communication application 12. Information indicating that the communication of the device 20 is rejected.
  • the communication application 12 When the communication application 12 receives information permitting communication from the communication execution unit 140, the communication application 12 performs communication of the device 20. When the communication application 12 receives information rejecting communication from the communication execution unit 140, the communication application 12 Do not do.
  • the specific processing by the communication device 10 shown here is an example, based on the combination of the physical port 11 and the communication application 12 registered in advance and the combination of the physical port 11 and the communication application 12 that actually perform communication. If it is possible to determine whether or not to permit communication, the communication device 10 may perform arbitrary processing.
  • a method for permitting communication of a combination of the physical port 11 and the communication application 12 registered in advance that is, a white list method
  • a method of rejecting the combination of communication ie, black list method
  • the communication execution unit 140 may permit and deny communication.
  • FIG. 4 is a schematic configuration diagram illustrating an exemplary device configuration of the communication device 10 according to the present embodiment.
  • the communication device 10 includes a CPU (Central Processing Unit) 10a, a memory 10b, a storage device 10c, and an interface 10d.
  • the communication device 10 may be an independent device, or may be configured integrally with other devices.
  • the interface 10d is a communication unit that transmits and receives data, and is configured to be able to execute at least one communication method of wired communication and wireless communication.
  • the interface 10d includes a processor, an electric circuit, an antenna, a connection terminal, and the like necessary for the communication method.
  • the interface 10d performs communication using the communication method in accordance with a signal from the CPU 10a.
  • the interface 10d includes the physical port 11 shown in FIG.
  • the storage device 10c stores a program executed by the communication device 10, data of a processing result by the program, and the like.
  • the storage device 10c includes a read-only ROM (Read Only Memory), a readable / writable hard disk drive, a flash memory, or the like.
  • the storage device 10c may include a computer-readable portable storage medium such as a CD-ROM.
  • the memory 10b includes a RAM (Random Access Memory) that temporarily stores data being processed by the CPU 10a, a program read from the storage device 10c, and data.
  • the CPU 10a temporarily records temporary data used for processing in the memory 10b, reads a program recorded in the storage device 10c, and performs various operations, control, discrimination, etc. on the temporary data according to the program. It is a processor which performs the processing operation of. Further, the CPU 10a records the processing result data in the storage device 10c, and transmits the processing result data to the outside via the interface 10d.
  • the CPU 10a executes the program recorded in the storage device 10c, whereby the communication control unit 100 in FIG. 2, that is, the registration information acquisition unit 110, the communication information acquisition unit 120, the communication determination unit 130, and the communication execution unit. 140 and the communication application 12. Further, in the present embodiment, the storage device 10c functions as the storage unit 150 in FIG. 2, that is, the combination table storage unit 151 and the system information storage unit 152.
  • the communication device 10 is not limited to the specific configuration shown in FIG.
  • the communication device 10 is not limited to a single device, and may be configured by connecting two or more physically separated devices in a wired or wireless manner.
  • Each unit included in the communication device 10 may be realized by an electric circuit configuration.
  • the electric circuit configuration is a term that conceptually includes a single device, a plurality of devices, a chipset, or a cloud.
  • At least a part of the communication device 10 may be provided in SaaS (Software as a Service) format. That is, at least a part of functions for realizing the communication device 10 may be executed by software executed via a network.
  • SaaS Software as a Service
  • FIG. 5 is a diagram illustrating a flowchart of a communication control method using the communication device 10 according to the present embodiment.
  • the flowchart of FIG. 5 is started in response to the occurrence of a new session communication in the communication device 10, for example.
  • the registration information acquisition unit 110 detects the occurrence of a new session communication (step S101), and sets the ID of the communication application 12 that intends to perform the communication (that is, the communication scheduled) to the system of the communication device 10. (Step S102).
  • the communication application 12 in which a new session communication occurs and the communication application 12 trying to perform the communication is detected, for example, when the device 20 transmits / receives a SYN packet and an ACK packet via the communication application 12 (that is, a 3-way handshake).
  • step S103 If the ID of the communication application 12 trying to communicate cannot be acquired (NO in step S103), the process ends.
  • the registration information acquisition unit 110, the physical port 11 associated with the ID of the communication application 12 acquired in step S102. are obtained from the combination table storage unit 151 (step S104). That is, the ID of the communication application 12 acquired in step S102 and the port number of the physical port 11 acquired in step S104 are combinations registered in advance in the combination table storage unit 151.
  • the communication execution unit 140 rejects the communication of the device 20 by the communication application 12 (step S110), and ends the process.
  • the communication information acquisition unit 120 uses the port number of the physical port 11 acquired in step S104.
  • the ID of the communication application 12 is acquired from the system information storage unit 152 (step S106). In other words, the ID of the communication application 12 acquired in step S106 and the port number of the physical port 11 acquired in step S104 are a combination for actual communication.
  • step S106 When the ID of the communication application 12 using the port number of the physical port 11 is not acquired from the system information storage unit 152 in step S106 (for example, when there is no communication application 12 using the port number of the physical port 11). (NO in step S107), the communication execution unit 140 rejects communication of the device 20 by the communication application 12 (step S110) and ends the process.
  • the communication determination unit 130 is acquired in step S102. It is determined whether or not the ID of the communication application 12 matches the ID of the communication application 12 acquired in step S106 (step S108). Since the ID of the communication application 12 acquired in step S102 and the ID of the communication application 12 acquired in step S106 both correspond to the port number of the common physical port 11, this determination is made in the combination table storage unit 151. This is based on a combination of the communication application 12 and the physical port 11 registered in advance and a combination of the communication application 12 and the physical port 11 that are actually performing communication.
  • step S108 If it is determined in step S108 that the IDs of the communication applications 12 do not match (NO in step S109), the communication execution unit 140 rejects communication of the device 20 by the communication application 12 (step S110) and ends the process. .
  • step S108 If it is determined in step S108 that the IDs of the communication applications 12 match (YES in step S109), the communication execution unit 140 permits the communication 20 to communicate with the device 20 (step S111), and ends the process.
  • the CPU 10a of the communication device 10 is the main body of each step (process) included in the communication control method shown in FIG. That is, the CPU 10a reads a program for executing the communication control method shown in FIG. 5 from the memory 10b or the storage device 10c, executes the program, and controls each part of the communication device 10 to control the communication control shown in FIG. Execute the method.
  • IoT various devices can be connected to a network regardless of IP devices or non-IP devices. If it is determined whether or not communication is possible only by a communication application as in the technique described in Patent Document 1, it is not possible to finely control communication for each connected device. Also, conventional security measures are often premised on IP devices as in the technique described in Patent Document 2, and such security measures cannot be applied to non-IP devices.
  • the communication apparatus 10 determines whether communication is possible based on the combination of the physical port 11 to which the device 20 is connected and the communication application 12 used by the device 20, the TCP / IP information Communication control can be performed not only for IP devices but also for non-IP devices. Further, even if the communication application 12 is the same, the determination as to whether or not communication is possible can be changed for each physical port 11 to which the device 20 is connected, so fine control can be performed.
  • the setting information of the system related to communication is associated and recorded in advance as a combination table. Is done.
  • the system setting information related to communication is setting information that is referred to in the system of the communication apparatus 10 when the device 20 connected to the physical port 11 performs communication using the communication application 12.
  • the communication determination unit 130 and the communication execution unit 140 determine whether or not communication is possible based on the setting information of the system related to communication in addition to the information of the physical port 11 and the communication application 12. Therefore, even when an unauthorized device 20 is accidentally connected to the correct physical port 11, communication can be rejected as long as the system setting information does not match.
  • an I / O address and a baud rate are used as system setting information related to communication.
  • the I / O address (also referred to as I / O port address) is an identifier for identifying a virtual window used by the system of the communication device 10 (particularly the CPU 10a) to input / output data.
  • Each physical port 11 is assigned a different I / O address.
  • the baud rate is a speed (unit) for transmitting data particularly in serial transmission.
  • the baud rate is set to a desired value by the user from among values that can be used according to the type of the physical port 11 (here, the serial port). Either the I / O address or the baud rate may be used to determine whether communication is possible. It is not restricted to what was shown here, You may use the other information used by communication as system setting information.
  • the system information recorded in the system information storage unit 152 includes system setting information related to communication (here, I / I) in addition to information indicating the communication application 12 that actually uses each physical port 11. O address and baud rate).
  • the system information recorded in the system information storage unit 152 is updated as needed by the system.
  • FIG. 6 is a schematic diagram of a combination table registered in the combination table storage unit 151 according to this exemplary embodiment.
  • the combination table includes at least one combination of the ID of the communication application 12, the port number of the physical port 11, the I / O address of the physical port 11, and the baud rate of the physical port 11.
  • the user registers the combination of the communication application 12, physical port 11, I / O address, and baud rate that he / she wants to permit communication in the combination table, or deletes the combination he / she wants to refuse communication from the combination table.
  • the combination table is represented as a character string table for visibility, but may be represented in an arbitrary data format (file format), for example, binary data or text data.
  • the combination table may be recorded in the combination table storage unit 151 as a database table, or may be recorded in the combination table storage unit 151 as a binary file or a text file.
  • FIG. 7 is a diagram showing a flowchart of a communication control method using the communication apparatus 10 according to the present embodiment.
  • the flowchart of FIG. 7 is started in response to the occurrence of a new session communication in the communication device 10, for example.
  • the user manually sets the I / O address and baud rate setting information in the system and registers the same setting information in the combination table storage unit 151 (FIG. 7). (Not shown). If the system automatically sets (that is, the default) I / O address and baud rate, the probability that the setting information will match unintentionally increases. Therefore, a value different from the I / O address and baud rate automatically set by the system is set. It is desirable to use it as setting information.
  • the communication device 10 performs steps S101 to S109 similar to those in the flowchart of FIG.
  • the registration information acquisition unit 110 sets the system setting information (I / I) associated with the ID of the communication application 12 acquired in step S102. O address and baud rate) are acquired from the combination table storage unit 151 (step S201).
  • the communication information acquisition unit 120 acquires system setting information (I / O address and baud rate) associated with the ID of the communication application 12 acquired in step S102 from the system information storage unit 152 (step S202).
  • the communication determination unit 130 determines whether or not the system setting information acquired in step S201 matches the system setting information acquired in step S202 (step S203).
  • step S203 If it is determined in step S203 that the system setting information does not match (NO in step S204), the communication execution unit 140 rejects communication of the device 20 by the communication application 12 (step S110), and ends the process.
  • step S203 If it is determined in step S203 that the system setting information matches (YES in step S204), the communication execution unit 140 permits the communication application 12 to communicate with the device 20 (step S111), and ends the process.
  • the CPU 10a of the communication device 10 becomes the main body of each step (process) included in the communication control method shown in FIG. That is, the CPU 10a reads a program for executing the communication control method shown in FIG. 7 from the memory 10b or the storage device 10c, executes the program, and controls each part of the communication device 10 to control the communication control shown in FIG. Execute the method.
  • fine communication control can be performed regardless of IP devices / non-IP devices.
  • communication control is performed based on system setting information related to communication. Therefore, even if an unauthorized device 20 is accidentally connected to the correct physical port 11, communication is rejected unless the system setting information matches, so that security can be further improved.
  • the first embodiment executes the communication control method in response to the occurrence of a new session communication in the communication device 10, whereas the present embodiment periodically executes the communication control method by timer management or the like. .
  • This embodiment uses the same configuration as that of the first embodiment shown in FIGS.
  • FIG. 8 is a diagram showing a flowchart of a communication control method using the communication device 10 according to the present embodiment. The flowchart of FIG. 8 is started when the communication device 10 is activated, for example.
  • the communication device 10 waits for a predetermined time (step S301).
  • the standby time corresponds to a time interval for monitoring communication by the device 20, and is set in advance to an arbitrary value by the user.
  • the standby time may be automatically set and changed by the communication device 10.
  • the communication apparatus 10 performs steps S102 to S111 similar to the flowchart of FIG.
  • the communication device 10 ends the process. If the predetermined end condition is not satisfied (NO in step S302), the communication device 10 returns to step S301 and repeats the process.
  • the termination condition is, for example, that the user performs an operation for terminating the processing on the communication device 10.
  • the CPU 10a of the communication device 10 becomes a main body of each step (process) included in the communication control method shown in FIG. That is, the CPU 10a reads a program for executing the communication control method shown in FIG. 8 from the memory 10b or the storage device 10c, executes the program, and controls each part of the communication device 10 to control the communication control shown in FIG. Execute the method.
  • fine communication control can be performed regardless of IP devices / non-IP devices. Furthermore, since this embodiment periodically monitors communication by the device 20, it is possible to determine whether to permit or reject communication by the device 20 even at a timing other than when a new session starts.
  • FIG. 9 is a schematic configuration diagram of the communication device 10 according to each of the above-described embodiments.
  • FIG. 9 illustrates a configuration example for the communication apparatus 10 to function as an apparatus that performs communication control based on a combination of a physical port to which a device is connected and a communication application.
  • the communication device 10 executes a communication application for controlling communication and has a physical connection unit, and performs communication from the device connected to the physical connection unit to the outside of the communication device.
  • a communication information acquisition unit 120 that acquires a combination of a simple connection unit and the communication application, and the communication is permitted based on the combination of the communication and the combination of the physical connection unit and the communication application registered in advance.
  • a communication determination unit 130 that determines whether or not to do so.
  • a program for operating the configuration of the embodiment so as to realize the functions of the above-described embodiment (more specifically, a communication control program for causing a computer to execute the processes shown in FIGS. 5, 7, and 8) is recorded on a recording medium.
  • the processing method of reading the program recorded on the recording medium as a code and executing it on a computer is also included in the category of each embodiment. That is, a computer-readable recording medium is also included in the scope of each embodiment.
  • the program itself is included in each embodiment.
  • the recording medium for example, a floppy (registered trademark) disk, a hard disk, an optical disk, a magneto-optical disk, a CD-ROM, a magnetic tape, a nonvolatile memory card, and a ROM can be used.
  • the embodiment is not limited to the processing executed by a single program recorded in the recording medium, and the embodiments that execute processing by operating on the OS in cooperation with other software and the function of the expansion board are also described in each embodiment. Included in the category.
  • Appendix 1 In a communication device that executes a communication application for controlling communication and has a physical connection unit, the physical connection for performing the communication from a device connected to the physical connection unit to the outside of the communication device Obtaining a combination of a communication part and the communication application; Determining whether to permit the communication based on the combination of the communication and the combination of the physical connection unit and the communication application registered in advance; A communication control method.
  • Appendix 3 The communication control method according to appendix 1 or 2, wherein the device performs the communication by a method other than TCP / IP.
  • Appendix 4 The communication control method according to any one of appendices 1 to 3, wherein the physical connection unit is a serial port.
  • the determining step determines whether to permit the communication based on setting information set for the physical connection unit in addition to the physical connection unit and the communication application.
  • the communication control method according to any one of appendices 1 to 4, wherein:
  • Appendix 6 The communication control method according to appendix 5, wherein the setting information indicates at least one of a baud rate and an I / O address set for the physical connection unit.
  • Appendix 8 The communication control method according to any one of appendices 1 to 6, wherein the communication control method is executed at predetermined time intervals.
  • a communication device that is a computer that executes a communication application for controlling communication and has a physical connection unit, Obtaining a combination of the physical connection unit and the communication application for performing the communication from a device connected to the physical connection unit to the outside of the communication device; Determining whether to permit the communication based on the combination of the communication and the combination of the physical connection unit and the communication application registered in advance; A recording medium on which a communication control program for executing is recorded.
  • a communication device that executes a communication application for controlling communication and has a physical connection, A communication information acquisition unit that acquires a combination of the physical connection unit that performs the communication from the device connected to the physical connection unit to the outside of the communication device and the communication application; A communication determination unit that determines whether to permit the communication based on the combination of the communication and the combination of the physical connection unit and the communication application registered in advance;
  • a communication device comprising:

Abstract

本発明の一実施形態に係る通信装置は、通信を制御する通信アプリケーションを実行するとともに物理的な接続部を有し、物理的な接続部に接続されている機器から外部への通信を行う物理的な接続部及び通信アプリケーションの組み合わせを取得する通信情報取得部と、通信を行う組み合わせ及び予め登録された物理的な接続部及び通信アプリケーションの組み合わせに基づいて、通信を許可するか否かを判定する通信判定部と、を備える。

Description

通信制御方法、通信制御プログラムの記録媒体及び通信装置
　本発明は、通信制御方法、通信制御プログラムの記録媒体及び通信装置に関する。
　近年、ＩｏＴ（Internet　of　Things）が注目されている。ＩｏＴでは、センサ、アクチュエータ等の様々なデバイスをインターネット等のネットワークに接続し、デバイスから取得されるデータの監視及び分析やデバイスの動作の制御をネットワーク経由で行うことができる。
　デバイスによる通信は、該デバイスが接続されるゲートウェイ等の通信装置上で実行されるアプリケーションによって制御されることが多い。従来、デバイスはネットワークに接続されない、あるいはＬＡＮ（Local　Area　Network）のように隔離されたネットワークに接続されていたため、セキュリティ上の懸念は小さかった。しかしながら、ＩｏＴにおいて特に不特定のユーザがアクセスするインターネットにデバイスを接続する場合には、セキュリティ上の新たな脅威が発生する。そのため、ネットワークに接続されるデバイスのセキュリティを向上させることが求められている。
　特許文献１には、他のユーザによって判断されたアプリケーションの評判に基づいて、アプリケーションの実行を制限する技術が記載されている。
　特許文献２には、通信プロトコル及び通信に利用される仮想的なポート番号に基づいて、不正なコンピュータプログラム（マルウェア）が実行されていることを検知する技術が記載されている。
特開２０１０－０７９９０１号公報 特開２０１３－０１１９４８号公報
　様々な種類のデバイスが接続され得るゲートウェイ等の通信装置では、制御対象のデバイスに応じて様々な種類のアプリケーションが実行される。デバイスには、インターネットで標準的に用いられるＴＣＰ／ＩＰ（Transmission　Control　Protocol/Internet　Protocol）の通信プロトコルによって通信を行うＩＰデバイス、及びＴＣＰ／ＩＰ以外の通信プロトコルによって通信を行う非ＩＰデバイスがある。
　特許文献１に記載の技術では、アプリケーション単位で実行の制限を行うため、アプリケーションが制御するデバイスごとに細かく制限を行うことはできない。例えば１つのアプリケーションが複数の種類のデバイスの通信を制御可能である場合であっても、全ての種類のデバイスに対して通信を許可及び拒否のどちらか一方のみを行うことになる。
　特許文献２に記載の技術は、仮想的なポートを用いる通信プロトコルによって通信を行うＩＰデバイスを前提としているため、仮想的なポートを用いない非ＩＰデバイスには適用できない。
　本発明は、上述の問題に鑑みて行われたものであって、ＩＰデバイス及び非ＩＰデバイスを問わず細かい通信の制御を行うことが可能な通信制御方法、通信制御プログラムの記録媒体及び通信装置を提供することを目的とする。
　本発明の第１の態様は、通信制御方法であって、通信を制御する通信アプリケーションを実行するとともに物理的な接続部を有する通信装置において、前記物理的な接続部に接続されている機器から前記通信装置の外部への前記通信を行う前記物理的な接続部及び前記通信アプリケーションの組み合わせを取得するステップと、前記通信を行う前記組み合わせ及び予め登録された前記物理的な接続部及び前記通信アプリケーションの組み合わせに基づいて、前記通信を許可するか否かを判定するステップと、を有する。
　本発明の第２の態様は、通信制御プログラムが記録された記録媒体であって、通信を制御する通信アプリケーションを実行するとともに物理的な接続部を有するコンピュータである通信装置に、前記物理的な接続部に接続されている機器から前記通信装置の外部への前記通信を行う前記物理的な接続部及び前記通信アプリケーションの組み合わせを取得するステップと、前記通信を行う前記組み合わせ及び予め登録された前記物理的な接続部及び前記通信アプリケーションの組み合わせに基づいて、前記通信を許可するか否かを判定するステップと、を実行させる。
　本発明の第３の態様は、通信を制御する通信アプリケーションを実行するとともに物理的な接続部を有する通信装置であって、前記物理的な接続部に接続されている機器から前記通信装置の外部への前記通信を行う前記物理的な接続部及び前記通信アプリケーションの組み合わせを取得する通信情報取得部と、前記通信を行う前記組み合わせ及び予め登録された前記物理的な接続部及び前記通信アプリケーションの組み合わせに基づいて、前記通信を許可するか否かを判定する通信判定部と、を備える。
　本発明によれば、デバイスが接続される物理的な接続部およびデバイスが利用する通信アプリケーションの組み合わせに基づいて通信制御を行うため、ＩＰデバイス及び非ＩＰデバイスを問わず細かい制御を行うことができる。
第１の実施形態に係る通信装置を用いる通信方法の模式図である。 第１の実施形態に係る通信装置のブロック図である。 第１の実施形態に係る組み合わせテーブル記憶部に登録されている組み合わせテーブルの模式図である。 第１の実施形態に係る通信装置の機器構成を示す概略構成図である。 第１の実施形態に係る通信制御方法のフローチャートを示す図である。 第２の実施形態に係る組み合わせテーブル記憶部に登録されている組み合わせテーブルの模式図である。 第２の実施形態に係る通信制御方法のフローチャートを示す図である。 第３の実施形態に係る通信制御方法のフローチャートを示す図である。 各実施形態に係る通信装置の概略構成図である。
　以下、図面を参照して、本発明の実施形態を説明するが、本発明は本実施形態に限定されるものではない。なお、以下で説明する図面で、同機能を有するものは同一符号を付け、その繰り返しの説明は省略することもある。
（第１の実施形態）
　図１は、本実施形態に係る通信装置１０を用いる通信方法の模式図である。通信装置１０は、ゲートウェイとも呼ばれ、デバイス２０と外部機器３０との間のネットワークを介した通信を制御する装置である。通信装置１０には、物理的な接続部である少なくとも２つの物理ポート１１が設けられ、物理ポート１１にはデバイス２０が接続され得る。物理的な接続部としての物理ポート１１は、ケーブル、コネクタ等の接続部材を介してデバイス２０を物理的に接続するためのインターフェースであり、プログラムがデータの宛先を指定するために用いる仮想的なポートとは異なる。物理ポート１１として、例えばＲＳ－２３２Ｃ規格、ＲＳ－４２２規格、ＲＳ－４８５規格等のシリアルポート（ＣＯＭポート）、ＩＥＥＥ１２８４規格のパラレルポート、ＵＳＢ（Universal　Serial　Bus）ポート、その他任意の物理インターフェースを用いてよい。
　外部機器３０は、通信装置１０にネットワークを介して接続される機器である。外部機器３０は、例えばコンピュータ、又はコンピュータ資源の集合であるクラウドである。
　デバイス２０は、外部機器３０に所定の信号を送信し、あるいは外部機器３０からの信号を受けて所定の動作を行う機器である。例えばデバイス２０は温度、圧力、音等を測定するセンサであり、この場合にはデバイス２０は測定結果を示す信号を外部機器３０に送信する。例えばデバイス２０は所定の動作を行うアクチュエータであり、この場合にはデバイス２０は外部機器３０から受信した制御内容を示す信号に従って動作する。デバイス２０としては、ＴＣＰ／ＩＰの通信プロトコルによって通信を行うＩＰデバイス、及びＴＣＰ／ＩＰ以外の通信プロトコルによって通信を行う非ＩＰデバイスがある。
　通信アプリケーション１２は、デバイス２０による通信を制御するコンピュータプログラムである。デバイス２０は、その種類や製造者ごとに異なる通信プロトコルに従って通信を行う。デバイス２０が従う通信プロトコルとしては、例えばＴＣＰ／ＩＰ等の一般的なプロトコル、あるいはデバイス２０の種類や製造者によって異なる独自のプロトコルがある。通信アプリケーション１２は、デバイス２０と外部機器３０との間で送受信される信号を、デバイス２０が従う通信プロトコルに応じて変換する。
　通信アプリケーション１２は、通信装置１０に接続される可能性のあるデバイス２０に対応して予め用意される。通信装置１０は、実際に接続されているデバイス２０に対応する通信アプリケーション１２を実行する。通信装置１０は、デバイス２０に対応する通信アプリケーション１２を予め内部に記録してよく、あるいはそのデバイス２０が接続される時に外部から取得してよい。すなわち通信装置１０は、デバイス２０が接続されると、そのデバイス２０が利用する通信アプリケーション１２を、通信装置１０の内部又は外部から取得して実行する。
　通信制御部１００は、デバイス２０の通信アプリケーション１２を利用する通信を制御する。該制御において、通信制御部１００は、デバイス２０が接続されている物理ポート１１と、デバイス２０が利用する通信アプリケーション１２との組み合わせに基づいて、通信を許可又は拒否する。通信制御部１００の詳細な構成について図２を用いて説明する。
　図２は、本実施形態に係る通信装置１０のブロック図である。図２において、矢印は主なデータの流れを示しており、図２に示したもの以外のデータの流れがあってよい。図２において、各ブロックはハードウェア（装置）単位の構成ではなく、機能単位の構成を示している。そのため、図２に示すブロックは単一の装置内に実装されてよく、あるいは複数の装置内に別れて実装されてよい。ブロック間のデータの授受は、データバス、ネットワーク、可搬記憶媒体等、任意の手段を介して行われてよい。
　通信装置１０は、処理部である通信制御部１００、及び記憶部１５０を備える。通信制御部１００は、登録情報取得部１１０、通信情報取得部１２０、通信判定部１３０及び通信実行部１４０を含む。記憶部１５０は、組み合わせテーブル記憶部１５１及びシステム情報記憶部１５２を含む。また、通信装置１０は、デバイス２０が接続される物理ポート１１を備え、またデバイス２０と外部機器３０との間の通信を中継する通信アプリケーション１２を実行する。
　組み合わせテーブル記憶部１５１には、デバイス２０が接続される物理ポート１１（具体的には物理ポート１１を識別する識別子であるポート番号）と、デバイス２０に利用される通信アプリケーション１２（具体的には通信アプリケーション１２を識別する識別子であるＩＤ）との組み合わせを関連付けて、組み合わせテーブルとして予め記録されている。本実施形態に係る通信装置１０は組み合わせテーブル記憶部１５１に登録されている組み合わせによる通信のみを許可するため、組み合わせテーブル記憶部１５１に登録されている組み合わせはホワイトリストとして機能する。
　図３は、例示的な本実施形態に係る組み合わせテーブル記憶部１５１に登録されている組み合わせテーブルの模式図である。図３に示すように、組み合わせテーブルは通信アプリケーション１２のＩＤ及び物理ポート１１のポート番号の少なくとも１つの組み合わせを含む。通信アプリケーション１２のＩＤ及び物理ポート１１のポート番号は、それぞれ文字列、数値、バイナリ値等、任意の表現方法で定義される。１つの通信アプリケーション１２は複数の物理ポート１１に関連付けられてよく、逆に１つの物理ポート１１は複数の通信アプリケーション１２に関連付けられてよい。利用者は、通信を許可したい通信アプリケーション１２及び物理ポート１１の組み合わせを組み合わせテーブルに登録し、あるいは通信を拒否したい該組み合わせを組み合わせテーブルから削除する。
　図３において、組み合わせテーブルは視認性のために文字列の表で表されているが、任意のデータ形式（ファイル形式）で表されてよく、例えばバイナリデータ又はテキストデータでよい。また、組み合わせテーブルはデータベースのテーブルとして組み合わせテーブル記憶部１５１に記録されてよく、あるいはバイナリファイル又はテキストファイルとして組み合わせテーブル記憶部１５１に記録されてよい。
　登録情報取得部１１０は、組み合わせテーブル記憶部１５１から、物理ポート１１及び通信アプリケーション１２の組み合わせを取得する。具体的には、まず登録情報取得部１１０は、新たなセッションの通信が発生する際に、通信を行おうとしている（すなわち通信予定の）通信アプリケーション１２のＩＤを取得する。通信を行おうとしている通信アプリケーション１２は通信装置１０に接続されているデバイス２０に応じて通信装置１０のシステムによって実行され、通信アプリケーション１２のＩＤはシステムから容易に取得される。新たなセッションの通信が発生すること及び該通信を行おうとしている通信アプリケーション１２は、例えばデバイス２０が通信アプリケーション１２を介してＳＹＮパケット及びＡＣＫパケットを送受信すること（すなわち３ｗａｙハンドシェイク）によって検知される。そして、登録情報取得部１１０は、取得した通信アプリケーション１２のＩＤに関連付けられた物理ポート１１のポート番号を、組み合わせテーブル記憶部１５１から取得する。これにより、登録情報取得部１１０は、通信を許可できるものとして予め登録された通信アプリケーション１２及び物理ポート１１の組み合わせを取得できる。
　システム情報記憶部１５２には、通信装置１０において通信アプリケーション１２を動作させるシステム（より具体的にはオペレーティングシステム）の情報が記録されている。システムの情報は、実際に各物理ポート１１を使用している通信アプリケーション１２を示す情報を含む。システム情報記憶部１５２に記録されるシステムの情報は、システムによって随時更新される。
　通信情報取得部１２０は、システム情報記憶部１５２から、物理ポート１１を使用している通信アプリケーション１２の情報を取得する。具体的には、まず通信情報取得部１２０は、登録情報取得部１１０によって組み合わせテーブル記憶部１５１から取得された物理ポート１１のポート番号を取得する。そして、通信情報取得部１２０は、取得した物理ポート１１のポート番号を使用している通信アプリケーション１２のＩＤを、システム情報記憶部１５２から取得する。これにより、通信情報取得部１２０は、実際に通信を行おうとしている通信アプリケーション１２及び物理ポート１１の組み合わせを取得できる。
　通信判定部１３０は、組み合わせテーブル記憶部１５１から取得された組み合わせと、システム情報記憶部１５２から取得された組み合わせとを比較し、それらが一致するか否かを判定する。
　具体的には、まず通信判定部１３０は、登録情報取得部１１０によって取得された通信アプリケーション１２のＩＤを取得するとともに、通信情報取得部１２０によって取得された通信アプリケーション１２のＩＤを取得する。登録情報取得部１１０によって取得された通信アプリケーション１２のＩＤ及び通信情報取得部１２０によって取得された通信アプリケーション１２のＩＤは共通の物理ポート１１に対応している。そのため、通信アプリケーション１２のＩＤ同士を比較することは、通信アプリケーション１２及び物理ポート１１の組み合わせ同士を比較することと同義である。したがって、通信判定部１３０は、登録情報取得部１１０によって取得された通信アプリケーション１２のＩＤ及び通信情報取得部１２０によって取得された通信アプリケーション１２のＩＤが一致しているか否かを判定する。
　通信実行部１４０は、組み合わせテーブル記憶部１５１から取得された組み合わせ及びシステム情報記憶部１５２から取得された組み合わせが一致するか否かの通信判定部１３０による判定に従って、通信アプリケーション１２を利用したデバイス２０の通信を許可又は拒否する。
　具体的には、通信実行部１４０は、通信判定部１３０による判定の結果を取得する。そして通信実行部１４０は、登録情報取得部１１０によって取得された通信アプリケーション１２のＩＤ及び通信情報取得部１２０によって取得された通信アプリケーション１２のＩＤが一致すると判定された場合に、通信アプリケーション１２に対してデバイス２０の通信を許可することを示す情報を渡す。通信実行部１４０は、登録情報取得部１１０によって取得された通信アプリケーション１２のＩＤ及び通信情報取得部１２０によって取得された通信アプリケーション１２のＩＤが一致しないと判定された場合に、通信アプリケーション１２に対してデバイス２０の通信を拒否することを示す情報を渡す。
　通信アプリケーション１２は、通信実行部１４０から通信を許可する情報を受け取った場合には、デバイス２０の通信を行い、通信実行部１４０から通信を拒否する情報を受け取った場合には、デバイス２０の通信を行わない。
　ここで示した通信装置１０による具体的な処理は一例であり、予め登録された物理ポート１１及び通信アプリケーション１２の組み合わせと、実際に通信を行う物理ポート１１及び通信アプリケーション１２の組み合わせとに基づいて、通信を許可するか否か判定できれば、通信装置１０は任意の処理を行ってよい。
　本実施形態は予め登録された物理ポート１１及び通信アプリケーション１２の組み合わせの通信を許可する方法（すなわちホワイトリスト方式）を用いたが、これに限られず、予め登録された物理ポート１１及び通信アプリケーション１２の組み合わせの通信を拒否する方法（すなわちブラックリスト方式）を用いてもよい。ブラックリスト方式の場合には、通信実行部１４０による通信の許可及び拒否を逆に行えばよい。
　図４は、本実施形態に係る通信装置１０の例示的な機器構成を示す概略構成図である。通信装置１０は、ＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）１０ａと、メモリ１０ｂと、記憶装置１０ｃと、インターフェース１０ｄとを備える。通信装置１０は独立した装置でよく、あるいは他の装置と一体に構成されてよい。
　インターフェース１０ｄは、データの送受信を行う通信部であり、有線通信及び無線通信の少なくとも一方の通信方式を実行可能に構成される。インターフェース１０ｄは、該通信方式に必要なプロセッサ、電気回路、アンテナ、接続端子等を含む。インターフェース１０ｄは、ＣＰＵ１０ａからの信号に従って、該通信方式を用いて通信を行う。インターフェース１０ｄは、図１に示す物理ポート１１を含む。
　記憶装置１０ｃは、通信装置１０が実行するプログラムや、プログラムによる処理結果のデータ等を記憶する。記憶装置１０ｃは、読み取り専用のＲＯＭ（Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）や、読み書き可能のハードディスクドライブ又はフラッシュメモリ等を含む。また、記憶装置１０ｃは、ＣＤ－ＲＯＭ等のコンピュータ読取可能な可搬記憶媒体を含んでもよい。メモリ１０ｂは、ＣＰＵ１０ａが処理中のデータや記憶装置１０ｃから読み出されたプログラム及びデータを一時的に記憶するＲＡＭ（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）等を含む。
　ＣＰＵ１０ａは、処理に用いる一時的なデータをメモリ１０ｂに一時的に記録し、記憶装置１０ｃに記録されたプログラムを読み出し、該プログラムに従って該一時的なデータに対して種々の演算、制御、判別などの処理動作を実行するプロセッサである。また、ＣＰＵ１０ａは、記憶装置１０ｃに処理結果のデータを記録し、またインターフェース１０ｄを介して処理結果のデータを外部に送信する。
　本実施形態においてＣＰＵ１０ａは、記憶装置１０ｃに記録されたプログラムを実行することによって、図２の通信制御部１００、すなわち登録情報取得部１１０、通信情報取得部１２０、通信判定部１３０、通信実行部１４０、及び通信アプリケーション１２として機能する。また、本実施形態において記憶装置１０ｃは、図２の記憶部１５０、すなわち組み合わせテーブル記憶部１５１及びシステム情報記憶部１５２として機能する。
　通信装置１０は、図４に示す具体的な構成に限定されない。通信装置１０は、１つの装置に限られず、２つ以上の物理的に分離した装置が有線又は無線で接続されることにより構成されていてもよい。通信装置１０に含まれる各部は、それぞれ電気回路構成により実現されていてもよい。ここで、電気回路構成とは、単一のデバイス、複数のデバイス、チップセット又はクラウドを概念的に含む文言である。
　また、通信装置１０の少なくとも一部がＳａａＳ（Ｓｏｆｔｗａｒｅ　ａｓ　ａ　Ｓｅｒｖｉｃｅ）形式で提供されてよい。すなわち、通信装置１０を実現するための機能の少なくとも一部が、ネットワーク経由で実行されるソフトウェアによって実行されてよい。
　図５は、本実施形態に係る通信装置１０を用いる通信制御方法のフローチャートを示す図である。図５のフローチャートは、例えば通信装置１０において新たなセッションの通信が発生することに応じて開始される。
　まず、登録情報取得部１１０は、新たなセッションの通信が発生することを検知し（ステップＳ１０１）、該通信を行おうとしている（すなわち通信予定の）通信アプリケーション１２のＩＤを通信装置１０のシステムから取得する（ステップＳ１０２）。新たなセッションの通信が発生すること及び該通信を行おうとしている通信アプリケーション１２は、例えばデバイス２０が通信アプリケーション１２を介してＳＹＮパケット及びＡＣＫパケットを送受信すること（すなわち３ｗａｙハンドシェイク）によって検知される。
　通信を行おうとしている通信アプリケーション１２のＩＤを取得できない場合には（ステップＳ１０３のＮＯ）、処理を終了する。
　通信を行おうとしている通信アプリケーション１２のＩＤを取得できた場合には（ステップＳ１０３のＹＥＳ）、登録情報取得部１１０は、ステップＳ１０２で取得された通信アプリケーション１２のＩＤに関連付けられた物理ポート１１のポート番号を、組み合わせテーブル記憶部１５１から取得する（ステップＳ１０４）。すなわち、ステップＳ１０２で取得された通信アプリケーション１２のＩＤ及びステップＳ１０４で取得された物理ポート１１のポート番号は、組み合わせテーブル記憶部１５１に予め登録された組み合わせである。
　ステップＳ１０４において物理ポート１１のポート番号が組み合わせテーブル記憶部１５１から取得されない場合（例えば、組み合わせテーブル記憶部１５１に通信アプリケーション１２のＩＤを含む組み合わせが登録されていない場合）には（ステップＳ１０５のＮＯ）、通信実行部１４０は通信アプリケーション１２によるデバイス２０の通信を拒否し（ステップＳ１１０）、処理を終了する。
　ステップＳ１０４において物理ポート１１のポート番号が組み合わせテーブル記憶部１５１から取得された場合には（ステップＳ１０５のＹＥＳ）、通信情報取得部１２０は、ステップＳ１０４で取得された物理ポート１１のポート番号を使用している通信アプリケーション１２のＩＤを、システム情報記憶部１５２から取得する（ステップＳ１０６）。すなわち、ステップＳ１０６で取得された通信アプリケーション１２のＩＤ及びステップＳ１０４で取得された物理ポート１１のポート番号は、実際に通信を行おうとしている組み合わせである。
　ステップＳ１０６において物理ポート１１のポート番号を使用している通信アプリケーション１２のＩＤがシステム情報記憶部１５２から取得されない場合（例えば、物理ポート１１のポート番号を使用している通信アプリケーション１２が無い場合）には（ステップＳ１０７のＮＯ）、通信実行部１４０は通信アプリケーション１２によるデバイス２０の通信を拒否し（ステップＳ１１０）、処理を終了する。
　ステップＳ１０６において物理ポート１１のポート番号を使用している通信アプリケーション１２のＩＤがシステム情報記憶部１５２から取得された場合には（ステップＳ１０７のＹＥＳ）、通信判定部１３０は、ステップＳ１０２で取得された通信アプリケーション１２のＩＤ及びステップＳ１０６で取得された通信アプリケーション１２のＩＤが一致しているか否かを判定する（ステップＳ１０８）。ステップＳ１０２で取得された通信アプリケーション１２のＩＤ及びステップＳ１０６で取得された通信アプリケーション１２のＩＤはともに共通の物理ポート１１のポート番号に対応しているため、この判定は、組み合わせテーブル記憶部１５１に予め登録された通信アプリケーション１２及び物理ポート１１の組み合わせと、実際に通信を行おうとしている通信アプリケーション１２及び物理ポート１１の組み合わせとに基づくものである。
　ステップＳ１０８において通信アプリケーション１２のＩＤが一致しないと判定された場合には（ステップＳ１０９のＮＯ）、通信実行部１４０は通信アプリケーション１２によるデバイス２０の通信を拒否し（ステップＳ１１０）、処理を終了する。
　ステップＳ１０８において通信アプリケーション１２のＩＤが一致すると判定された場合には（ステップＳ１０９のＹＥＳ）、通信実行部１４０は通信アプリケーション１２によるデバイス２０の通信を許可し（ステップＳ１１１）、処理を終了する。
　通信装置１０のＣＰＵ１０ａは、図５に示す通信制御方法に含まれる各ステップ（工程）の主体となる。すなわち、ＣＰＵ１０ａは、図５に示す通信制御方法を実行するためのプログラムをメモリ１０ｂ又は記憶装置１０ｃから読み出し、該プログラムを実行して通信装置１０の各部を制御することによって図５に示す通信制御方法を実行する。
　ＩｏＴにおいては、ＩＰデバイス、非ＩＰデバイスを問わず様々なデバイスがネットワークに接続され得る。特許文献１に記載の技術のように通信アプリケーションのみによって通信の可否を判定してしまうと、接続されるデバイスごとに細かく通信を制御することはできない。また、従来のセキュリティ対策は特許文献２に記載の技術のようにＩＰデバイスであることを前提としていることが多く、そのようなセキュリティ対策を非ＩＰデバイスに適用することはできない。
　それに対して、本実施形態に係る通信装置１０は、デバイス２０が接続される物理ポート１１及びデバイス２０が利用する通信アプリケーション１２の組み合わせに基づいて通信可否の判定を行うため、ＴＣＰ／ＩＰの情報を用いる必要がなく、ＩＰデバイスだけでなく非ＩＰデバイスに対しても通信制御を行うことができる。また、同じ通信アプリケーション１２であってもデバイス２０が接続される物理ポート１１ごとに通信可否の判定を変更できるため、細かい制御を行うことができる。
（第２の実施形態）
　第１の実施形態は通信の可否の判定のために物理ポート１１及び通信アプリケーション１２の組み合わせを用いるのに対して、本実施形態はさらにシステムの設定情報を用いる。本実施形態は、図２、４に示す第１の実施形態と同様の構成を用いる。
　本実施形態に係る組み合わせテーブル記憶部１５１には、第１の実施形態と同様の物理ポート１１及び通信アプリケーション１２の情報に加えて、通信に係るシステムの設定情報を関連付けて、組み合わせテーブルとして予め記録される。通信に係るシステムの設定情報は、物理ポート１１に接続されたデバイス２０が通信アプリケーション１２を利用して通信を行う際に、通信装置１０のシステム内部で参照される設定情報である。
　本実施形態に係る通信判定部１３０及び通信実行部１４０は、物理ポート１１及び通信アプリケーション１２の情報に加えて、通信に係るシステムの設定情報に基づいて通信の可否を判定する。そのため、不正なデバイス２０が正しい物理ポート１１に偶然接続された場合であっても、システムの設定情報が一致しない限り通信を拒否することができる。
　通信に係るシステムの設定情報として、本実施形態ではＩ／Ｏアドレス及びボーレートを用いる。Ｉ／Ｏアドレス（Ｉ／Ｏポートアドレスともいう）は、通信装置１０のシステム（特にＣＰＵ１０ａ）がデータを入出力するために用いる仮想的な窓口を識別するための識別子である。各物理ポート１１には異なるＩ／Ｏアドレスが割り振られる。ボーレートは、特にシリアル伝送においてデータを送信する速度（単位）である。ボーレートは、物理ポート１１（ここではシリアルポート）の種類に応じて利用可能な値の中から、利用者によって所望の値が設定される。通信の可否の判定のために、Ｉ／Ｏアドレス及びボーレートの両方でなく、どちらか一方を用いてよい。ここに示したものに限られず、システムの設定情報として通信で用いられるその他の情報を用いてよい。
　また、システム情報記憶部１５２に記録されているシステムの情報は、実際に各物理ポート１１を使用している通信アプリケーション１２を示す情報に加えて、通信に係るシステムの設定情報（ここではＩ／Ｏアドレス及びボーレート）を含む。システム情報記憶部１５２に記録されるシステムの情報は、システムによって随時更新される。
　図６は、例示的な本実施形態に係る組み合わせテーブル記憶部１５１に登録されている組み合わせテーブルの模式図である。図６に示すように、組み合わせテーブルは通信アプリケーション１２のＩＤ、物理ポート１１のポート番号、物理ポート１１のＩ／Ｏアドレス、物理ポート１１のボーレートの少なくとも１つの組み合わせを含む。利用者は、通信を許可したい通信アプリケーション１２、物理ポート１１、Ｉ／Ｏアドレス及びボーレートの組み合わせを組み合わせテーブルに登録し、あるいは通信を拒否したい該組み合わせを組み合わせテーブルから削除する。
　図６において、組み合わせテーブルは視認性のために文字列の表で表されているが、任意のデータ形式（ファイル形式）で表されてよく、例えばバイナリデータ又はテキストデータでよい。また、組み合わせテーブルはデータベースのテーブルとして組み合わせテーブル記憶部１５１に記録されてよく、あるいはバイナリファイル又はテキストファイルとして組み合わせテーブル記憶部１５１に記録されてよい。
　図７は、本実施形態に係る通信装置１０を用いる通信制御方法のフローチャートを示す図である。図７のフローチャートは、例えば通信装置１０において新たなセッションの通信が発生することに応じて開始される。
　図７のフローチャートが開始されるよりも前に、利用者は、Ｉ／Ｏアドレス及びボーレートの設定情報を手動でシステムに設定するとともに、同じ設定情報を組み合わせテーブル記憶部１５１に登録する（図７には不図示）。システムが自動で設定する（すなわちデフォルトの）Ｉ／Ｏアドレス及びボーレートを用いると設定情報が意図せず一致する確率が高まるため、システムが自動で設定するＩ／Ｏアドレス及びボーレートとは異なる値を設定情報として用いることが望ましい。
　まず、通信装置１０は、図５のフローチャートと同様のステップＳ１０１～Ｓ１０９を行う。
　通信アプリケーション１２のＩＤが一致すると判定された場合には（ステップＳ１０９のＹＥＳ）、登録情報取得部１１０は、ステップＳ１０２で取得された通信アプリケーション１２のＩＤに関連付けられたシステムの設定情報（Ｉ／Ｏアドレス及びボーレート）を、組み合わせテーブル記憶部１５１から取得する（ステップＳ２０１）。
　通信情報取得部１２０は、ステップＳ１０２で取得された通信アプリケーション１２のＩＤに関連付けられたシステムの設定情報（Ｉ／Ｏアドレス及びボーレート）を、システム情報記憶部１５２から取得する（ステップＳ２０２）。
　通信判定部１３０は、ステップＳ２０１で取得されたシステムの設定情報及びステップＳ２０２で取得されたシステムの設定情報が一致しているか否かを判定する（ステップＳ２０３）。
　ステップＳ２０３においてシステムの設定情報が一致しないと判定された場合には（ステップＳ２０４のＮＯ）、通信実行部１４０は通信アプリケーション１２によるデバイス２０の通信を拒否し（ステップＳ１１０）、処理を終了する。
　ステップＳ２０３においてシステムの設定情報が一致すると判定された場合には（ステップＳ２０４のＹＥＳ）、通信実行部１４０は通信アプリケーション１２によるデバイス２０の通信を許可し（ステップＳ１１１）、処理を終了する。
　通信装置１０のＣＰＵ１０ａは、図７に示す通信制御方法に含まれる各ステップ（工程）の主体となる。すなわち、ＣＰＵ１０ａは、図７に示す通信制御方法を実行するためのプログラムをメモリ１０ｂ又は記憶装置１０ｃから読み出し、該プログラムを実行して通信装置１０の各部を制御することによって図７に示す通信制御方法を実行する。
　本実施形態においても、第１の実施形態と同様に、ＩＰデバイス／非ＩＰデバイス問わず細かい通信の制御を行うことができる。さらに、本実施形態は、物理ポート１１及び通信アプリケーション１２の組み合わせに加えて、通信に係るシステムの設定情報に基づいて通信の制御を行う。そのため、不正なデバイス２０が正しい物理ポート１１に偶然接続された場合であっても、システムの設定情報が一致しない限り通信を拒否するため、よりセキュリティを向上させることができる。
（第３の実施形態）
　第１の実施形態は通信装置１０において新たなセッションの通信が発生することに応じて通信制御方法を実行するのに対して、本実施形態はタイマ管理等によって定期的に通信制御方法を実行する。本実施形態は、図２、４に示す第１の実施形態と同様の構成を用いる。
　図８は、本実施形態に係る通信装置１０を用いる通信制御方法のフローチャートを示す図である。図８のフローチャートは、例えば通信装置１０が起動された際に開始される。
　通信装置１０は、所定の時間待機する（ステップＳ３０１）。待機の時間は、デバイス２０による通信の監視を行う時間間隔に対応しており、利用者によって任意の値に予め設定される。また、待機の時間は通信装置１０によって自動的に設定及び変更されてもよい。
　次に、通信装置１０は、図５のフローチャートと同様のステップＳ１０２～Ｓ１１１を行う。
　所定の終了条件が満たされた場合には（ステップＳ３０２のＹＥＳ）、通信装置１０は処理を終了する。所定の終了条件が満たされていない場合には（ステップＳ３０２のＮＯ）、通信装置１０はステップＳ３０１に戻って処理を繰り返す。終了条件は、例えば利用者が通信装置１０に対して処理を終了するための操作を行うことである。
　通信装置１０のＣＰＵ１０ａは、図８に示す通信制御方法に含まれる各ステップ（工程）の主体となる。すなわち、ＣＰＵ１０ａは、図８に示す通信制御方法を実行するためのプログラムをメモリ１０ｂ又は記憶装置１０ｃから読み出し、該プログラムを実行して通信装置１０の各部を制御することによって図８に示す通信制御方法を実行する。
　本実施形態においても、第１の実施形態と同様に、ＩＰデバイス／非ＩＰデバイス問わず細かい通信の制御を行うことができる。さらに、本実施形態は、定期的にデバイス２０による通信の監視を行うため、新たなセッション開始時以外のタイミングでもデバイス２０による通信の許可又は拒否を判定することができる。
（その他の実施形態）
　図９は、上述の各実施形態に係る通信装置１０の概略構成図である。図９には、通信装置１０がデバイスの接続される物理ポート及び通信アプリケーションの組み合わせに基づいて通信制御を行う装置として機能するための構成例が示されている。通信装置１０は、通信を制御する通信アプリケーションを実行するとともに物理的な接続部を有し、前記物理的な接続部に接続されている機器から前記通信装置の外部への通信を行う前記物理的な接続部及び前記通信アプリケーションの組み合わせを取得する通信情報取得部１２０と、前記通信を行う前記組み合わせ及び予め登録された前記物理的な接続部及び前記通信アプリケーションの組み合わせに基づいて、前記通信を許可するか否かを判定する通信判定部１３０と、を備える。
　本発明は、上述の実施形態に限定されることなく、本発明の趣旨を逸脱しない範囲において適宜変更可能である。
　上述の実施形態の機能を実現するように該実施形態の構成を動作させるプログラム（より具体的には、図５、７、８に示す処理をコンピュータに実行させる通信制御プログラム）を記録媒体に記録させ、該記録媒体に記録されたプログラムをコードとして読み出し、コンピュータにおいて実行する処理方法も各実施形態の範疇に含まれる。すなわち、コンピュータ読取可能な記録媒体も各実施形態の範囲に含まれる。また、上述のプログラムが記録された記録媒体はもちろん、そのプログラム自体も各実施形態に含まれる。
　該記録媒体としては例えばフロッピー（登録商標）ディスク、ハードディスク、光ディスク、光磁気ディスク、ＣＤ－ＲＯＭ、磁気テープ、不揮発性メモリカード、ＲＯＭを用いることができる。また該記録媒体に記録されたプログラム単体で処理を実行しているものに限らず、他のソフトウェア、拡張ボードの機能と共同して、ＯＳ上で動作して処理を実行するものも各実施形態の範疇に含まれる。
　上述の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
（付記１）
　通信を制御する通信アプリケーションを実行するとともに物理的な接続部を有する通信装置において、前記物理的な接続部に接続されている機器から前記通信装置の外部への前記通信を行う前記物理的な接続部及び前記通信アプリケーションの組み合わせを取得するステップと、
　前記通信を行う前記組み合わせ及び予め登録された前記物理的な接続部及び前記通信アプリケーションの組み合わせに基づいて、前記通信を許可するか否かを判定するステップと、
　を有する通信制御方法。
（付記２）
　前記判定するステップは、前記通信を行う前記組み合わせ及び予め登録された前記組み合わせが一致する場合に前記通信を許可し、一致しない場合に前記通信を拒否することを特徴とする、付記１に記載の通信制御方法。
（付記３）
　前記機器は、ＴＣＰ／ＩＰ以外の方法で前記通信を行うことを特徴とする、付記１又は２に記載の通信制御方法。
（付記４）
　前記物理的な接続部は、シリアルポートであることを特徴とする、付記１～３のいずれか一項に記載の通信制御方法。
（付記５）
　前記判定するステップは、前記物理的な接続部及び前記通信アプリケーションに加えて、前記物理的な接続部に対して設定された設定情報に基づいて、前記通信を許可するか否かを判定することを特徴とする、付記１～４のいずれか一項に記載の通信制御方法。
（付記６）
　前記設定情報は、前記物理的な接続部に対して設定されたボーレート及びＩ／Ｏアドレスの少なくとも一方を示すことを特徴とする、付記５に記載の通信制御方法。
（付記７）
　前記通信制御方法は、前記通信が開始される時に実行されることを特徴とする、付記１～６のいずれか一項に記載の通信制御方法。
（付記８）
　前記通信制御方法は、所定の時間間隔で実行されることを特徴とする、付記１～６のいずれか一項に記載の通信制御方法。
（付記９）
　通信を制御する通信アプリケーションを実行するとともに物理的な接続部を有するコンピュータである通信装置に、
　前記物理的な接続部に接続されている機器から前記通信装置の外部への前記通信を行う前記物理的な接続部及び前記通信アプリケーションの組み合わせを取得するステップと、
　前記通信を行う前記組み合わせ及び予め登録された前記物理的な接続部及び前記通信アプリケーションの組み合わせに基づいて、前記通信を許可するか否かを判定するステップと、
　を実行させる通信制御プログラムを記録した記録媒体。
（付記１０）
　通信を制御する通信アプリケーションを実行するとともに物理的な接続部を有する通信装置であって、
　前記物理的な接続部に接続されている機器から前記通信装置の外部への前記通信を行う前記物理的な接続部及び前記通信アプリケーションの組み合わせを取得する通信情報取得部と、
　前記通信を行う前記組み合わせ及び予め登録された前記物理的な接続部及び前記通信アプリケーションの組み合わせに基づいて、前記通信を許可するか否かを判定する通信判定部と、
　を備える通信装置。
　この出願は、２０１７年３月６日に出願された日本出願特願２０１７－０４１３４７を基礎とする優先権を主張し、その開示のすべてをここに取り込む。

Claims (10)

  1. 　通信を制御する通信アプリケーションを実行するとともに物理的な接続部を有する通信装置において、前記物理的な接続部に接続されている機器から前記通信装置の外部への前記通信を行う前記物理的な接続部及び前記通信アプリケーションの組み合わせを取得するステップと、
    　前記通信を行う前記組み合わせ及び予め登録された前記物理的な接続部及び前記通信アプリケーションの組み合わせに基づいて、前記通信を許可するか否かを判定するステップと、
    　を有する通信制御方法。
  2. 　前記判定するステップは、前記通信を行う前記組み合わせ及び予め登録された前記組み合わせが一致する場合に前記通信を許可し、一致しない場合に前記通信を拒否することを特徴とする、請求項１に記載の通信制御方法。
  3. 　前記機器は、ＴＣＰ／ＩＰ以外の方法で前記通信を行うことを特徴とする、請求項１又は２に記載の通信制御方法。
  4. 　前記物理的な接続部は、シリアルポートであることを特徴とする、請求項１～３のいずれか一項に記載の通信制御方法。
  5. 　前記判定するステップは、前記物理的な接続部及び前記通信アプリケーションに加えて、前記物理的な接続部に対して設定された設定情報に基づいて、前記通信を許可するか否かを判定することを特徴とする、請求項１～４のいずれか一項に記載の通信制御方法。
  6. 　前記設定情報は、前記物理的な接続部に対して設定されたボーレート及びＩ／Ｏアドレスの少なくとも一方を示すことを特徴とする、請求項５に記載の通信制御方法。
  7. 　前記通信制御方法は、前記通信が開始される時に実行されることを特徴とする、請求項１～６のいずれか一項に記載の通信制御方法。
  8. 　前記通信制御方法は、所定の時間間隔で実行されることを特徴とする、請求項１～６のいずれか一項に記載の通信制御方法。
  9. 　通信を制御する通信アプリケーションを実行するとともに物理的な接続部を有するコンピュータである通信装置に、
    　前記物理的な接続部に接続されている機器から前記通信装置の外部への前記通信を行う前記物理的な接続部及び前記通信アプリケーションの組み合わせを取得するステップと、
    　前記通信を行う前記組み合わせ及び予め登録された前記物理的な接続部及び前記通信アプリケーションの組み合わせに基づいて、前記通信を許可するか否かを判定するステップと、
    　を実行させる通信制御プログラムを記録した記録媒体。
  10. 　通信を制御する通信アプリケーションを実行するとともに物理的な接続部を有する通信装置であって、
    　前記物理的な接続部に接続されている機器から前記通信装置の外部への前記通信を行う前記物理的な接続部及び前記通信アプリケーションの組み合わせを取得する通信情報取得部と、
    　前記通信を行う前記組み合わせ及び予め登録された前記物理的な接続部及び前記通信アプリケーションの組み合わせに基づいて、前記通信を許可するか否かを判定する通信判定部と、
    　を備える通信装置。
PCT/JP2018/008263 2017-03-06 2018-03-05 通信制御方法、通信制御プログラムの記録媒体及び通信装置 WO2018164036A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US16/491,962 US20210136034A1 (en) 2017-03-06 2018-03-05 Communication control method, storage medium for communication control program, and communication apparatus

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2017-041347 2017-03-06
JP2017041347A JP6541009B2 (ja) 2017-03-06 2017-03-06 通信制御方法、通信制御プログラム及び通信装置

Publications (1)

Publication Number Publication Date
WO2018164036A1 true WO2018164036A1 (ja) 2018-09-13

Family

ID=63448236

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2018/008263 WO2018164036A1 (ja) 2017-03-06 2018-03-05 通信制御方法、通信制御プログラムの記録媒体及び通信装置

Country Status (3)

Country Link
US (1) US20210136034A1 (ja)
JP (1) JP6541009B2 (ja)
WO (1) WO2018164036A1 (ja)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7028025B2 (ja) * 2018-03-30 2022-03-02 日本電気株式会社 情報処理システム、エッジ装置、および情報処理方法
JP2022116663A (ja) * 2021-01-29 2022-08-10 日本電産サンキョー株式会社 Ｕｓｂ仮想ｃｏｍデバイスを接続する接続方法及びプログラム

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2015050767A (ja) * 2013-09-03 2015-03-16 韓國電子通信研究院Ｅｌｅｃｔｒｏｎｉｃｓ ａｎｄ Ｔｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎｓ Ｒｅｓｅａｒｃｈ Ｉｎｓｔｉｔｕｔｅ ホワイトリスト基盤のネットワークスイッチ

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7478152B2 (en) * 2004-06-29 2009-01-13 Avocent Fremont Corp. System and method for consolidating, securing and automating out-of-band access to nodes in a data network
JP2008103999A (ja) * 2006-10-19 2008-05-01 Yamaha Corp ネットワーク機器、ネットワーク機器の画像生成プログラム、ネットワーク機器管理プログラム、および、ファイアウォールプログラム
JP6627024B2 (ja) * 2015-07-21 2020-01-08 株式会社プライムネット 物のインターネット用開発用及び教育用機器

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2015050767A (ja) * 2013-09-03 2015-03-16 韓國電子通信研究院Ｅｌｅｃｔｒｏｎｉｃｓ ａｎｄ Ｔｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎｓ Ｒｅｓｅａｒｃｈ Ｉｎｓｔｉｔｕｔｅ ホワイトリスト基盤のネットワークスイッチ

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
NEC: "Collect and process data from equipment not connected to network", SMARTGRID NEWSLETTER EDITORIAL DEPARTMENT, IMPRESS SMARTGRID FORUM, 31 October 2016 (2016-10-31) *

Also Published As

Publication number Publication date
JP6541009B2 (ja) 2019-07-10
US20210136034A1 (en) 2021-05-06
JP2018148385A (ja) 2018-09-20

Similar Documents

Publication Publication Date Title
US20180131720A1 (en) Dynamic flow system
EP2973160B1 (en) System and method for secure application communication between networked processors
JP5519718B2 (ja) システムオンチップ基盤のパケットフィルタリングを提供できるデバイス及びパケットフィルタリング方法
CN111869189A (zh) 网络探针和处理消息的方法
US10484416B2 (en) System and method for repairing vulnerabilities of objects connected to a data network
WO2018164036A1 (ja) 通信制御方法、通信制御プログラムの記録媒体及び通信装置
US11728990B2 (en) Control apparatus
US20160381494A1 (en) Relay apparatus, communication control method, and communication control system
CN107579993B (zh) 一种网络数据流的安全处理方法及装置
US8239930B2 (en) Method for controlling access to a network in a communication system
KR101216581B1 (ko) 듀얼 ｏｓ를 이용한 보안 시스템 및 그 방법
JP6591504B2 (ja) パケットフィルタリング装置
JP5955811B2 (ja) 管理装置、管理システム、管理方法及び管理プログラム
JP4418211B2 (ja) ネットワークセキュリティ維持方法，接続許可サーバおよび接続許可サーバ用プログラム
CN107204969B (zh) 消除数据网络上的漏洞的方法和系统
EP3220595B1 (en) Method and system of eliminating vulnerabilities of smart devices
JP2006303808A (ja) 無線ネットワークデバイス
US9767286B2 (en) Electronic module for making a message accessible to a targeted operating system
JP6721542B2 (ja) トラヒック制御装置、方法、およびプログラム
KR101490227B1 (ko) 트래픽 제어 방법 및 장치
JP6781109B2 (ja) トラヒック制御装置および方法
KR101623066B1 (ko) 공유기내 단말기 인식을 위한 통신 시스템 및 방법
JP2007150617A (ja) ネットワーク装置
EP3220596B1 (en) Method and system of eliminating vulnerabilities of a router
JP6604244B2 (ja) 内線電話システム及び内線電話システムにおける端末接続許可方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18764406

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 18764406

Country of ref document: EP

Kind code of ref document: A1