JP6917482B2 - 通信制御システム、マスター装置、通信制御方法及び通信制御プログラム - Google Patents

Description

本開示は、ホワイトリストに基づく通信制御技術に関する。

通信が許可された対象を示すホワイトリストに基づき、通信制御を行う技術がある。ホワイトリストに基づく通信制御は、安全性の観点において有効である。しかし、ホワイトリストに基づく通信制御では、通信が許可されるべき対象がホワイトリストに示されていないと、許可されるべき通信であっても許可されない。その結果、適切な処理が実行できないといった事態が発生し得る。そのため、ホワイトリストを適切に管理する必要がある。したがって、ホワイトリストに基づく通信制御は、ホワイトリストの管理という点において管理者に負担がかかる。

特許文献１には、ホワイトリストを自動的に生成する技術が記載されている。これにより、ホワイトリストの管理に係る負担を軽減している。特許文献１では、ホワイトリスト生成期間に行われた通信が許可されるように、ホワイトリストを生成している。

特開２０１７−０４６１４９号公報

特許文献１に記載された技術では、ホワイトリスト生成期間に不適切な通信が行われると、不適切な通信が許可されるようにホワイトリストが生成されてしまう。その結果、ホワイトリストに基づく通信制御が開始された後においても、不適切な通信が許可されてしまう。
本開示は、ホワイトリストの管理に係る負担の軽減を図りつつ、不適切な通信が許可されることを防止可能にすることを目的とする。

本開示に係る通信制御システムは、
複数のエッジ装置と、マスター装置とを備える通信制御システムであり、
前記マスター装置は、
前記複数のエッジ装置それぞれから、そのエッジ装置に接続された端末のアドレスを取得するアドレス取得部と、
前記アドレス取得部によって取得された前記端末の前記アドレスを、前記端末の端末情報に基づき複数のグループに分類する分類部と
を備え、
前記複数のエッジ装置それぞれは、
前記分類部によって異なるグループに分類されたアドレス間の通信のログを取得するログ取得部
を備え、
前記マスター装置は、さらに、
前記ログ取得部によってログが取得されたアドレス間の通信を許可するか否かの設定を受け付ける設定受付部と、
前記分類部によって同じグループに分類されたアドレス間の通信と、前記設定受付部によって通信を許可すると設定されたアドレス間の通信とを許可するホワイトリストを生成するホワイトリスト生成部と
を備える。

本開示では、同じグループに分類されたアドレス間の通信と、異なるグループに分類されたアドレス間において行われた通信のうち通信を許可すると設定されたアドレス間の通信とを許可するホワイトリストが生成される。これにより、ホワイトリストの管理に係る負担の軽減を図りつつ、不適切な通信が許可されることを防止可能である。

実施の形態１に係る通信制御システム１の構成図。 実施の形態１に係るマスター装置１０の構成図。 実施の形態１に係るエッジ装置２０の構成図。 実施の形態１に係る通信制御システム１の動作を示すフローチャート。 実施の形態１に係るアドレス４１の説明図。 実施の形態１に係るアドレス４１と端末情報４２の説明図。 実施の形態１に係る端末テーブル４３の説明図。 実施の形態１に係るグループ４４の説明図。 実施の形態１に係る検査用アクセスリスト４６の説明図。 実施の形態１に係るログデータ４７の説明図。 実施の形態１に係る異グループ間通信リスト４８の説明図。 実施の形態１に係るホワイトリスト４９の説明図。 変形例１に係るマスター装置１０の構成図。 変形例１に係る通信制御システム１の動作を示すフローチャート。 実施の形態２に係る通信制御システム１の動作を示すフローチャート。

実施の形態１．
＊＊＊構成の説明＊＊＊
図１を参照して、実施の形態１に係る通信制御システム１の構成を説明する。
通信制御システム１は、マスター装置１０と、複数のエッジ装置２０とを備える。マスター装置１０と、各エッジ装置２０とはネットワーク機器９０を介して接続されている。
マスター装置１０は、管理センター等に設置され、通信制御システム１を管理するためのコンピュータである。各エッジ装置２０は、工場及びオフィスといった現場に設置され、１つ以上の端末３０が接続されるコンピュータである。端末３０としては、ＩＴ（Ｉｎｆｏｒｍａｔｉｏｎ Ｔｅｃｈｎｏｌｏｇｙ）系の端末３０と、ＯＴ（Ｏｐｅｒａｔｉｏｎａｌ Ｔｅｃｈｎｏｌｏｇｙ）系の端末３０とのように、複数の種別の端末３０が存在する。

図２を参照して、実施の形態１に係るマスター装置１０の構成を説明する。
マスター装置１０は、プロセッサ１１と、メモリ１２と、ストレージ１３と、通信インタフェース１４とのハードウェアを備える。プロセッサ１１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。

マスター装置１０は、機能構成要素として、アドレス受信部１１１と、分類部１１２と、検査リスト生成部１１３と、検査リスト送信部１１４と、ログ受信部１１５と、設定受付部１１６と、ホワイトリスト生成部１１７と、ホワイトリスト送信部１１８とを備える。マスター装置１０の各機能構成要素の機能はソフトウェアにより実現される。
ストレージ１３には、マスター装置１０の各機能構成要素の機能を実現するプログラムが格納されている。このプログラムは、プロセッサ１１によりメモリ１２に読み込まれ、プロセッサ１１によって実行される。これにより、マスター装置１０の各機能構成要素の機能が実現される。

図３を参照して、実施の形態１に係るエッジ装置２０の構成を説明する。
エッジ装置２０は、プロセッサ２１と、メモリ２２と、ストレージ２３と、通信インタフェース２４とのハードウェアを備える。プロセッサ２１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。

エッジ装置２０は、機能構成要素として、アドレス取得部２１１と、端末情報受付部２１２と、アドレス送信部２１３と、リスト受信部２１４と、ログ取得部２１５と、ログ送信部２１６と、通信制御部２１７とを備える。エッジ装置２０の各機能構成要素の機能はソフトウェアにより実現される。
ストレージ２３には、エッジ装置２０の各機能構成要素の機能を実現するプログラムが格納されている。このプログラムは、プロセッサ２１によりメモリ２２に読み込まれ、プロセッサ２１によって実行される。これにより、エッジ装置２０の各機能構成要素の機能が実現される。

プロセッサ１１，２１は、プロセッシングを行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）である。プロセッサ１１，２１は、具体例としては、ＣＰＵ（Ｃｅｎｔｒａｌ
Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）、ＧＰＵ（Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。

メモリ１２，２２は、データを一時的に記憶する記憶装置である。メモリ１２，２２は、具体例としては、ＳＲＡＭ（Ｓｔａｔｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）である。

ストレージ１３，２３は、データを保管する記憶装置である。ストレージ１３，２３は、具体例としては、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）である。また、ストレージ１３，２３は、ＳＤ（登録商標，Ｓｅｃｕｒｅ Ｄｉｇｉｔａｌ）メモリカード、ＣＦ（ＣｏｍｐａｃｔＦｌａｓｈ，登録商標）、ＮＡＮＤフラッシュ、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ）といった可搬記録媒体であってもよい。

通信インタフェース１４，２４は、外部の装置と通信するためのインタフェースである。通信インタフェース１４，２４は、具体例としては、Ｅｔｈｅｒｎｅｔ（登録商標）、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）、ＨＤＭＩ（登録商標，Ｈｉｇｈ−Ｄｅｆｉｎｉｔｉｏｎ Ｍｕｌｔｉｍｅｄｉａ Ｉｎｔｅｒｆａｃｅ）のポートである。

＊＊＊動作の説明＊＊＊
図４から図１２を参照して、実施の形態１に係る通信制御システム１の動作を説明する。
実施の形態１に係る通信制御システム１の動作手順は、実施の形態１に係る通信制御方法に相当する。また、実施の形態１に係る通信制御システム１の動作を実現するプログラムは、実施の形態１に係る通信制御プログラムに相当する。

通信制御システム１は、マスター装置１０及びエッジ装置２０が設置され、運用が開始されると、図４に示す処理を実行する。

（図４のステップＳ１１：アドレス取得処理）
各エッジ装置２０のアドレス取得部２１１は、自身に接続された端末３０のアドレス４１を取得する。この際、アドレス取得部２１１は、ポート毎に、接続された端末３０のアドレス４１を取得してもよい。
ここでは、図５に示すように、アドレス取得部２１１は、端末３０のアドレス４１として、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレス及びＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスを取得する。

（図４のステップＳ１２：端末情報受付処理）
各エッジ装置２０の端末情報受付部２１２は、ステップＳ１１で取得された各アドレス４１が示す端末３０についての端末情報４２の入力を受け付ける。
具体的には、エッジ装置２０に入力装置が接続され、エッジ装置２０の設置を担当した担当者等によって端末情報４２が入力される。そして、端末情報受付部２１２は、入力された端末情報４２を受け付ける。
ここでは、図６に示すように、端末情報受付部２１２は、端末情報４２として、グループ名と、端末名とを受け付け、ＩＰアドレス及びＭＡＣアドレスとの関連付けを行う。グループ名は、端末３０が属するグループを識別可能な名称である。例えば、ＩＴ系とＯＴ系とで端末３０をグループ分けする場合には、グループ名はＩＴ系又はＯＴ系になる。端末名は、端末３０を識別可能な名称である。例えば、端末名は、端末３０が設置された場所と、端末３０の役割等とに基づき、予め定められたルールに従って割り当てられる。

（図４のステップＳ１３：アドレス送信処理）
各エッジ装置２０のアドレス送信部２１３は、ステップＳ２１２で受け付けた端末情報４２を付加したアドレス４１をマスター装置１０に送信する。
すると、マスター装置１０のアドレス受信部１１１は、各エッジ装置２０から送信された端末情報４２が付加されたアドレス４１を受信する。つまり、アドレス受信部１１１は、複数のエッジ装置２０それぞれから、そのエッジ装置２０に接続された端末３０のアドレス４１及び端末情報４２を受信する。そして、図７に示すように、アドレス受信部１１１は、受信されたアドレス４１及び端末情報４２を集約し、エッジ装置２０を判別するエッジ装置ＩＤと関連付けて端末テーブル４３を生成する。

（図４のステップＳ１４：分類処理）
マスター装置１０の分類部１１２は、ステップＳ１３で受信された端末３０のアドレス４１を、端末３０の端末情報４２に基づき複数のグループ４４に分類する。
具体的には、分類部１１２は、端末テーブル４３から順にレコードを読み出し、読み出されたレコードの端末情報４２に基づき、そのレコードのグループ４４を特定する。実施の形態１では、分類部１１２は、端末情報４２に含まれるグループ名毎にレコードのグループを特定する。したがって、図７に示す端末テーブル４３の場合には、図８に示すように各レコードがＩＴ系のグループ４４とＯＴ系のグループ４４とに分類される。分類部１１２は、グループ４４に基づきグループリストを生成する。
グループリストについては、図示しないが、図８に示すグループ４４に基づき、グループ毎のＩＰアドレスを特定するリストとなる。例えば、ＩＴ系グループには、ＩＰ Ａ１、ＩＰ Ａ２、ＩＰ Ａｍ、ＩＰ Ａｎ・・・が含まれ、ＯＴ系グループには、ＩＰ Ｂ１、ＩＰ Ｂ２、ＩＰ Ｂｉ、ＩＰ Ｂｊ・・・が含まれることを示すリストである。

（図４のステップＳ１５：検査用アクセスリスト生成処理）
検査リスト生成部１１３は、実施の形態１では、図９に示すように、全てのグループ４４間の通信を許可することと、異なるグループ４４間の通信のログを取得することを示す検査用アクセスリスト４６を生成する。ここで、全てのグループ４４間の通信を許可するとは、同じグループ４４におけるアドレス間での通信を許可するとともに、異なるグループ４４におけるアドレス間での通信を許可することを意味する。検査用アクセスリスト４６は、全てのグループ４４間の通信を許可した上で、異なるグループ４４間の通信のログを取得するルールに基づく暫定的なホワイトリストになる。
そして、検査リスト生成部１１３は、検査用アクセスリスト４６と端末テーブル４３との組を検査リスト４５として扱う。なお検査リスト４５に含まれる、端末テーブル４３は、具体的には前述したグループリストのような構成となる。

そして、検査リスト送信部１１４は、検査リスト４５を各エッジ装置２０に送信する。すなわち、検査リスト送信部１１４は、検査用アクセスリスト４６とグループリストを各エッジ装置２０に送信する。すると、各エッジ装置２０のリスト受信部２１４は、検査リスト４５を受信する。

（図４のステップＳ１６：ログ取得処理）
各エッジ装置２０のログ取得部２１５は、検査リスト４５を受信してから観測期間の間、検査リスト４５に従い、異なるグループに分類されたアドレス間の通信のログを取得する。実施の形態１では、通信制御部２１７は、検査リスト４５として受信した検査用アクセスリスト４６に従い、全てのグループ４４間の通信を許可する。そして、ログ取得部２１５は、検査用アクセスリスト４６に従い、実際に行われた通信のうち、異なるグループ４４間の通信のログを取得する。観測期間は、通信制御システム１を適用する対象のシステムにおいて、一通りの通信が行われるような期間等が設定される。
通信のログには、データの送信元のＩＰアドレスと、データ宛先のＩＰアドレスとが含まれる。図１０に示すように、通信制御部２１７は、端末テーブル４３を参照して、データの送信元及びデータの宛先について、ＭＡＣアドレスとグループ名と端末名とを補って、ログデータ４７を生成する。

観測期間が終了すると、ログ送信部２１６は、ログデータ４７をマスター装置１０に送信する。すると、マスター装置１０のログ受信部１１５は、ログデータ４７を受信する。

（図４のステップＳ１７：設定受付処理）
マスター装置１０の設定受付部１１６は、ログが取得されたアドレス間の通信を許可するか否かの設定を受け付ける。
具体的には、図１１に示すように、設定受付部１１６は、各エッジ装置２０から受信したログデータ４７について、重複を排除した異グループ間通信リスト４８を生成する。そして、設定受付部１１６は、異グループ間通信リスト４８が示す各アドレス間の通信について、許可するか否かの設定を受け付ける。

（図４のステップＳ１８：ホワイトリスト生成処理）
図１２に示すように、マスター装置１０のホワイトリスト生成部１１７は、ステップＳ１４で同じグループに分類されたアドレス間の通信と、ステップＳ１７で通信を許可すると設定されたアドレス間の通信とを許可するホワイトリスト４９を生成する。図１２に示すホワイトリスト４９では、ＩＴ系間及びＯＴ系間の通信と、ステップＳ１７で通信を許可すると設定されたＩＰアドレスがＩＰ Ａ１とＩＰ Ｂ１との間の通信とが許可されている。図１２に示すホワイトリスト４９では、ＩＰアドレスがＩＰ Ａ１とＩＰ Ｂ１との間の通信以外の異なるグループ４４に分類されたアドレス間の通信は遮断するように設定されている。
そして、ホワイトリスト送信部１１８は、ホワイトリスト４９を各エッジ装置２０に送信する。すると、各エッジ装置２０のリスト受信部２１４は、ホワイトリスト４９を受信する。

（図４のステップＳ１９：通信制御処理）
各エッジ装置２０の通信制御部２１７は、ステップＳ１８で受信したホワイトリスト４９に従い、通信を制御する。つまり、通信制御部２１７は、ホワイトリスト４９で許可すると設定されている通信のみを許可し、その他の通信については遮断する。

＊＊＊実施の形態１の効果＊＊＊
以上のように、実施の形態１に係る通信制御システム１では、各エッジ装置２０に接続された端末３０がグループ４４に分類され、異なるグループ４４に分類されたアドレス間の通信のログが観測期間の間に取得される。そして、ログが取得されたアドレス間の通信を許可するか否かの設定が受け付けられ、同じグループ４４に分類されたアドレス間の通信と、許可すると設定されたアドレス間の通信とを許可するホワイトリスト４９が生成される。つまり暫定的に作成した検査用アクセスリスト４６に基づき、観測期間の通信を許可し、そのログに基づきホワイトリスト４９を生成する。
これにより、同じグループ４４間の通信については逐一ホワイトリスト４９に設定する必要がないため、ホワイトリスト４９の管理の負担を軽減することが可能である。一方、異なるグループ４４間の通信については、観測期間に行われた通信のログに基づき、許可するか否かが判断された上でホワイトリスト４９に設定される。そのため、不正な通信が許可されることを防止可能である。

例えば、ＩＴ系の端末３０とＯＴ系の端末３０との間の通信は、安全性の観点から原則として禁止することが望ましい。しかし、ＯＴ系の端末３０のデータをＩＴ系の端末３０で分析するといった処理を行う場合も考えられる。この場合の通信については、例外的にＩＴ系の端末３０とＯＴ系の端末３０との間の通信であっても許可する必要がある。このような場合に、実施の形態１に係る通信制御システム１では、観測期間に行われたＩＴ系の端末３０とＯＴ系の端末３０との間の通信について、個別に許可するか否かを設定するだけで、適切なホワイトリスト４９を生成可能である。

＊＊＊他の構成＊＊＊
＜変形例１＞
実施の形態１では、各エッジ装置２０が端末情報４２の入力を受け付けた。これは、エッジ装置２０の設置を担当した担当者等であれば、エッジ装置２０に接続された端末３０についての端末情報４２を容易に知り得ると考えられるためである。
しかし、マスター装置１０が端末情報４２の入力を受け付けてもよい。例えば、各エッジ装置２０に接続される端末３０を通信制御システム１の管理者が把握しているような場合には、マスター装置１０が端末情報４２の入力を受け付けることが妥当である。さらにマスター装置１０がエッジ装置２０から端末３０のＩＰアドレスとＭＡＣアドレスを収集したタイミングで、外部組織のデータベース、またはマスター装置１０が設置された組織内のデータベースと照合し、グループ名と端末名とを取得するように構成してもよい。その場合、マスター装置１０が自動的にアドレス４１と対応する端末情報４２を生成する。

図１３を参照して、変形例１に係るマスター装置１０の構成を説明する。
マスター装置１０は、機能構成要素として、端末情報受付部１１９を備える点が、図２に示すマスター装置１０と異なる。

図１４を参照して、変形例１に係る通信制御システム１の動作を説明する。
ステップＳ２１の処理は、図４のステップＳ１１の処理と同じである。また、ステップＳ２４からステップＳ２９の処理は、図４のステップＳ１４からステップＳ１９の処理と同じである。
ステップＳ２２では、各エッジ装置２０のアドレス送信部２１３は、ステップＳ２１で取得されたアドレス４１をマスター装置１０に送信する。つまり、アドレス送信部２１３は、端末情報４２が付加されていない状態でアドレス４１をマスター装置１０に送信する。ステップＳ２３では、マスター装置１０の端末情報受付部１１９は、各エッジ装置２０から送信された各アドレス４１が示す端末３０についての端末情報４２の入力を受け付ける。

なお、一部のアドレス４１についての端末情報４２はエッジ装置２０が受け付け、残りのアドレス４１についての端末情報４２はマスター装置１０が受け付けるといった構成でもよい。

＜変形例２＞
実施の形態１では、ホワイトリスト４９は、同じグループに分類されたアドレス間の通信と、許可すると設定されたアドレス間の通信とを許可し、残りの通信については遮断するように設定された。ホワイトリスト４９は、残りの通信については遮断しつつ、ログを取得するように設定されてもよい。
この場合には、図４のステップＳ１９では、各エッジ装置２０の通信制御部２１７は、ホワイトリスト４９に従い遮断するように設定されている通信については遮断する。この際、ログ取得部２１５は、遮断された通信のログを取得する。定期的にあるいは任意のタイミングに、通信制御部２１７は、ログからログデータ４７を生成してマスター装置１０に送信する。ログデータ４７が送信された場合に、設定受付部１１６は、ログが取得されたアドレス間の通信を許可するか否かの設定を受け付ける。そして、ホワイトリスト生成部１１７は、通信を許可するという設定を受け付けた場合に、ホワイトリスト４９に設定を追加する。
これにより、観測期間に行われなかった異なるグループ４４の端末３０間の通信に、許可されるべき通信が含まれる場合に、観測期間の後にホワイトリスト４９に追加することが可能になる。

＜変形例３＞
実施の形態１では、各機能構成要素がソフトウェアで実現された。しかし、変形例３として、各機能構成要素はハードウェアで実現されてもよい。この変形例３について、実施の形態１と異なる点を説明する。

各機能構成要素がハードウェアで実現される場合には、マスター装置１０は、プロセッサ１１とメモリ１２とストレージ１３とに代えて、電子回路を備える。電子回路は、各機能構成要素と、メモリ１２と、ストレージ１３との機能とを実現する専用の回路である。
同様に、各機能構成要素がハードウェアで実現される場合には、エッジ装置２０は、プロセッサ２１とメモリ２２とストレージ２３とに代えて、電子回路を備える。電子回路は、各機能構成要素と、メモリ２２と、ストレージ２３との機能とを実現する専用の回路である。

電子回路としては、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ロジックＩＣ、ＧＡ（Ｇａｔｅ Ａｒｒａｙ）、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）が想定される。
各機能構成要素を１つの電子回路で実現してもよいし、各機能構成要素を複数の電子回路に分散させて実現してもよい。

＜変形例４＞
変形例４として、一部の各機能構成要素がハードウェアで実現され、他の各機能構成要素がソフトウェアで実現されてもよい。

プロセッサ１１，２１とメモリ１２，２２とストレージ１３，２３と電子回路とを処理回路という。つまり、各機能構成要素の機能は、処理回路により実現される。

実施の形態２．
実施の形態２では、通信制御システム１の運用開始後に、エッジ装置２０に新たな端末３０が接続された場合について説明する。実施の形態２では、実施の形態１と同一の点については説明を省略する。

＊＊＊動作の説明＊＊＊
図１５を参照して、実施の形態２に係る通信制御システム１の動作を説明する。
（図１５のステップＳ３１：設定追加処理）
マスター装置１０の設定受付部１１６は、通信制御システム１の運用開始後に、エッジ装置２０に新たな端末３０が接続されると、追加された端末３０についてのアドレス４１及び端末情報４２を端末テーブル４３に追加する。具体的には、通信制御システム１の管理者によって、追加された端末３０についてのアドレス４１及び端末情報４２が入力される。そして、設定受付部１１６は、入力されたアドレス４１及び端末情報４２を端末テーブル４３に追加する。

また、設定受付部１１６は、追加された端末３０について、異なるグループ４４の端末３０と通信が必要な場合には、設定をホワイトリスト４９に追加する。具体的には、通信制御システム１の管理者によって、許可する通信の設定が入力される。設定受付部１１６は、入力された設定をホワイトリスト４９に追加する。

（図１５のステップＳ３２：再送付処理）
マスター装置１０のホワイトリスト生成部１１７は、ステップＳ３１でアドレス４１及び端末情報４２が追加された端末テーブル４３と、設定が追加されたホワイトリスト４９とを各エッジ装置２０に送信する。すると、各エッジ装置２０のリスト受信部２１４は、端末テーブル４３及びホワイトリスト４９を受信する。

（図１５のステップＳ３３：通信制御処理）
各エッジ装置２０の通信制御部２１７は、ステップＳ３２で受信したホワイトリスト４９に従い、通信を制御する。

＊＊＊実施の形態２の効果＊＊＊
以上のように、実施の形態２に係る通信制御システム１では、運用開始後にエッジ装置２０に新たな端末３０が接続された場合には、新たな端末３０についての設定がホワイトリスト４９に追加される。つまり、新たな端末３０が接続されても、再び観測期間を設けてログを取得する必要がない。そのため、新たな端末３０が接続された場合にすぐに適切なホワイトリスト４９で運用を開始することが可能である。

なお、新たな端末３０は、必要になったために追加されるので、役割は明確であると想定される。したがって、通信制御システム１の管理者は、新たな端末３０については、アドレス４１及び端末情報４２と、異なるグループ４４の端末３０と通信が必要か否かといったことは把握されていると認められる。

以上、本開示の実施の形態及び変形例について説明した。これらの実施の形態及び変形例のうち、いくつかを組み合わせて実施してもよい。また、いずれか１つ又はいくつかを部分的に実施してもよい。なお、本開示は、以上の実施の形態及び変形例に限定されるものではなく、必要に応じて種々の変更が可能である。

１ 通信制御システム、１０ マスター装置、１１ プロセッサ、１２ メモリ、１３ ストレージ、１４ 通信インタフェース、１１１ アドレス受信部、１１２ 分類部、１１３ 検査リスト生成部、１１４ 検査リスト送信部、１１５ ログ受信部、１１６ 設定受付部、１１７ ホワイトリスト生成部、１１８ ホワイトリスト送信部、１１９ 端末情報受付部、２０ エッジ装置、２１ プロセッサ、２２ メモリ、２３ ストレージ、２４ 通信インタフェース、２１１ アドレス取得部、２１２ 端末情報受付部、２１３ アドレス送信部、２１４ リスト受信部、２１５ ログ取得部、２１６ ログ送信部、２１７ 通信制御部、３０ 端末、４１ アドレス、４２ 端末情報、４３ 端末テーブル、４４ グループ、４５ 検査リスト、４６ 検査用アクセスリスト、４７ ログデータ、４８ 異グループ間通信リスト、４９ ホワイトリスト、９０ ネットワーク機器。

Claims (8)

1. 複数のエッジ装置と、マスター装置とを備える通信制御システムであり、
   前記マスター装置は、
   前記複数のエッジ装置それぞれから、そのエッジ装置に接続された端末のアドレスを受信するアドレス受信部と、
   前記アドレス受信部によって受信された前記端末の前記アドレスを、前記端末の端末情報に基づき複数のグループに分類する分類部と
   を備え、
   前記複数のエッジ装置それぞれは、
   前記分類部によって異なるグループに分類されたアドレス間の通信のログを取得するログ取得部
   を備え、
   前記マスター装置は、さらに、
   前記ログ取得部によってログが取得されたアドレス間の通信を許可するか否かの設定を受け付ける設定受付部と、
   前記分類部によって同じグループに分類されたアドレス間の通信と、前記設定受付部によって通信を許可すると設定されたアドレス間の通信とを許可するホワイトリストを生成するホワイトリスト生成部と
   を備える通信制御システム。
2. 前記マスター装置は、さらに、
   前記ホワイトリスト生成部によって生成された前記ホワイトリストを、前記複数のエッジ装置それぞれに送信するホワイトリスト送信部
   を備え、
   前記複数のエッジ装置それぞれは、さらに、
   前記ホワイトリスト送信部によって送信された前記ホワイトリストに従い、通信を制御する通信制御部
   を備える請求項１に記載の通信制御システム。
3. 前記ログ取得部は、観測期間の間、前記ログを取得し、
   前記複数のエッジ装置それぞれは、さらに、
   前記観測期間が終わると、前記ログ取得部によって取得された前記ログを前記マスター装置に送信するログ送信部
   を備える請求項１又は２に記載の通信制御システム。
4. 前記マスター装置は、さらに、
   前記分類部によって異なるグループに分類されたアドレス間を指定する検査リストを前記複数のエッジ装置それぞれに送信する検査リスト送信部
   を備え、
   前記ログ取得部は、前記検査リスト送信部によって送信された前記検査リストによって指定されたアドレス間の通信のログを取得する
   請求項１から３までのいずれか１項に記載の通信制御システム。
5. 前記ホワイトリスト生成部は、前記複数のエッジ装置のうちのいずれかのエッジ装置に新たな端末が接続され、かつ、前記新たな端末が異なるグループの端末と通信することを許可する場合に、前記ホワイトリストを更新する
   請求項１から４までのいずれか１項に記載の通信制御システム。
6. 複数のエッジ装置それぞれから、そのエッジ装置に接続された端末のアドレスを受信するアドレス受信部と、
   前記アドレス受信部によって受信された前記端末の前記アドレスを、前記端末の端末情報に基づき複数のグループに分類する分類部と、
   前記分類部によって異なるグループに分類されたアドレス間の通信のログを前記複数のエッジ装置それぞれから受信するログ受信部と、
   前記ログ受信部によってログが受信されたアドレス間の通信を許可するか否かの設定を受け付ける設定受付部と、
   前記分類部によって同じグループに分類されたアドレス間の通信と、前記設定受付部によって通信を許可すると設定されたアドレス間の通信とを許可するホワイトリストを生成するホワイトリスト生成部と
   を備えるマスター装置。
7. マスター装置が、複数のエッジ装置それぞれから、そのエッジ装置に接続された端末のアドレスを受信し、
   前記マスター装置が、前記端末の前記アドレスを、前記端末の端末情報に基づき複数のグループに分類し、
   前記複数のエッジ装置それぞれが、異なるグループに分類されたアドレス間の通信のログを取得し、
   前記マスター装置が、前記ログが取得されたアドレス間の通信を許可するか否かの設定を受け付け、
   前記マスター装置が、同じグループに分類されたアドレス間の通信と、通信を許可すると設定されたアドレス間の通信とを許可するホワイトリストを生成する通信制御方法。
8. 複数のエッジ装置それぞれから、そのエッジ装置に接続された端末のアドレスを受信するアドレス受信処理と、
   前記アドレス受信処理によって受信された前記端末の前記アドレスを、前記端末の端末情報に基づき複数のグループに分類する分類処理と、
   前記分類処理によって異なるグループに分類されたアドレス間の通信のログを取得するログ取得処理と、
   前記ログ取得処理によってログが取得されたアドレス間の通信を許可するか否かの設定を受け付ける設定受付処理と、
   前記分類処理によって同じグループに分類されたアドレス間の通信と、前記設定受付処理によって通信を許可すると設定されたアドレス間の通信とを許可するホワイトリストを生成するホワイトリスト生成処理と
   を行う通信制御システムとしてコンピュータを機能させる通信制御プログラム。

Images