(57)【要約】【課題】セキュリティポリシを満たさない仮想マシンのみに通信制御を行ない、その仮想マシンが不正なプログラムに感染して動作を制御されても、他の仮想マシンに影響を及ぼすことなく、通信制御を行なう通信制御システムを提供する。【解決手段】異常検知装置３によって仮想環境１０の内部に異常のある仮想マシン１１が検出された際に、通信制御装置作成・削除部２２は、仮想環境１０の内部に通信制御装置１５を作成することをハイパーバイザ５に指示し、ハイパーバイザ５は、通信制御装置作成・削除部２２の指示に応じて仮想環境１０の内部に通信制御装置１５を作成し、通信制御装置１５は、異常のある仮想マシン１１の通信を制御する通信制御システムとする。【選択図】      図１
2014126963.tif 000002
【特許請求の範囲】
【請求項１】
ハイパーバイザによって管理される仮想環境において、前記仮想環境に含まれる仮想マシンに異常が検知されると、前記仮想マシンの通信を制御する通信制御装置が前記仮想環境の内部に生成され、前記通信制御装置によって前記仮想マシンの通信を制御することを特徴とする通信制御システム。
【請求項２】
前記仮想環境を有するサーバと、
前記仮想環境に含まれる前記仮想マシンがセキュリティポリシを満たすか否かによって異常の有無を判定する異常検知装置と、
異常の検知された前記仮想マシンの通信を制御する前記通信制御装置を前記仮想環境に作成・削除することを前記ハイパーバイザに指示する通信制御装置作成・削除部を有する通信制御装置管理サーバと、を備え、
前記異常検知装置によって前記仮想環境の内部に異常のある前記仮想マシンが検出された際に、
前記通信制御装置作成・削除部は、前記仮想環境の内部に前記通信制御装置を作成することを前記ハイパーバイザに指示し、
前記ハイパーバイザは、前記通信制御装置作成・削除部の指示に応じて前記仮想環境の内部に前記通信制御装置を作成し、
前記通信制御装置は、前記異常のある仮想マシンの通信を制御することを特徴とする請求項１に記載の通信制御システム。
【請求項３】
前記異常のある仮想マシンが前記異常検出装置によって正常な状態に復帰したと判定された場合、
前記ハイパーバイザは、前記通信制御装置作成・削除部の指示に応じて前記通信制御装置を削除することを特徴とする請求項２に記載の通信制御システム。
【請求項４】
前記ハイパーバイザは、前記仮想環境の内部で仮想ネットワークを構成するブリッジとなる仮想スイッチを生成し、
前記仮想スイッチは、前記仮想ネットワークを通じて前記仮想マシンに接続され、前記仮想マシンと外部ネットワークとの接続を切替えることを特徴とする請求項１乃至３のいずれか一項に記載の通信制御システム。
【請求項５】
さらに、前記通信制御装置管理サーバは、
前記異常のある仮想マシンを特定する仮想マシン特定部と、
前記通信制御装置及び前記異常のある仮想マシンの接続先となる前記仮想スイッチを変更する指示を出す仮想マシン接続先変更部と、を有し、
前記異常検知装置は、
前記仮想マシンに異常を検出すると、前記異常のある仮想マシンのＩＰアドレスを前記仮想マシン特定部に通知し、
前記仮想マシン特定部は、
前記仮想環境の内部にある前記仮想マシンの仮想マシンＩＤの一覧を前記ハイパーバイザから取得し、
取得した前記仮想マシンＩＤの一覧を基に前記異常のある仮想マシンの前記仮想マシンＩＤを特定し、
特定した前記仮想マシンＩＤを基に前記異常のある仮想マシンの接続先となる前記仮想スイッチの仮想スイッチＩＤを前記ハイパーバイザから取得し、
前記異常のある仮想マシンの前記仮想マシンＩＤ及び前記ＩＰアドレスと前記異常のある仮想マシンが接続する前記仮想スイッチの前記仮想スイッチＩＤとを前記通信制御装置作成・削除部に通知するとともに、前記通信制御装置を作成する指示を前記ハイパーバイザに出すことを特徴とする請求項４に記載の通信制御システム。
【請求項６】
前記通信制御装置作成・削除部は、前記仮想マシン特定部の指示に応じて前記通信制御装置及び前記仮想スイッチを作成する指示を前記ハイパーバイザに指示し、
前記ハイパーバイザは、前記通信制御装置作成・削除部の指示に応じて前記通信制御装置及び前記仮想スイッチを作成し、
前記通信制御装置作成・削除部は、前記異常のある仮想マシンの仮想マシンＩＤと、前記通信制御装置の仮想マシンＩＤと、前記作成された仮想スイッチの仮想スイッチＩＤとを前記仮想マシン接続先変更部に送信し、
前記仮想マシン接続先変更部は、前記通信制御装置の仮想マシンＩＤと前記作成された仮想スイッチの仮想スイッチＩＤとを基に前記通信制御装置を前記作成された仮想スイッチに接続する指示を前記ハイパーバイザに出し、
前記ハイパーバイザは、前記通信制御装置と前記作成された仮想スイッチとを接続し、
前記仮想マシン接続先変更部は、前記異常のある仮想マシンの接続先を前記作成された仮想スイッチに変更する指示を前記ハイパーバイザに出し、
前記ハイパーバイザは、前記異常のある仮想マシンと前記作成された仮想スイッチとを接続し、
前記通信制御装置は、前記仮想ネットワーク内部の正常な前記仮想マシンと前記異常のある仮想マシンとの通信を制御することを特徴とする請求項５に記載の通信制御システム。
【請求項７】
前記通信制御装置管理サーバは、
前記異常のある仮想マシンのＩＰアドレス及び仮想マシンＩＤと、通信制御前に前記異常のある仮想マシンが接続されていた前記仮想スイッチの前記仮想スイッチＩＤと、通信制御装置の仮想マシンＩＤと、通信制御後に前記異常のある仮想マシンを接続する前記仮想スイッチの前記仮想スイッチＩＤと、を含む異常マシンリストを備え、
前記通信制御装置作成・削除部は、
前記通信制御装置を作成した際には前記異常マシンリストの内容を更新し、前記通信制御装置を削除した際には前記異常マシンリストから前記削除された通信制御装置に関する内容を削除することを特徴とする請求項６に記載の通信制御システム。
【請求項８】
前記通信制御装置管理サーバは、
前記通信制御装置によって制御される前記仮想マシンの通信を指定するとともに前記通信に対応する動作を規定する通信制御装置設定を備え、
前記通信制御装置設定は、
前記通信を指定する条件として、前記通信における送信元ＩＰアドレスと、送信元ポート番号と、宛先ＩＰアドレスと、宛先ポート番号と、を含み、
前記通信に対応する動作として、前記通信の許可もしくは破棄のいずれかの設定内容を含むことを特徴とする請求項２乃至７のいずれか一項に記載の通信制御システム。
【請求項９】
ハイパーバイザによって管理される仮想環境を有するサーバと、
前記仮想環境に含まれる仮想マシンがセキュリティポリシを満たすか否かによって異常の有無を判定する異常検知装置と、
異常の検知された前記仮想マシンの通信を制御する通信制御装置を前記仮想環境に作成・削除することを前記ハイパーバイザに指示する通信制御装置作成・削除部を有する通信制御装置管理サーバと、を備え、
前記異常検知装置によって前記仮想環境の内部に異常のある前記仮想マシンが検出された際に、
前記通信制御装置作成・削除部によって前記仮想環境の内部に前記通信制御装置を作成することを前記ハイパーバイザに指示し、
前記ハイパーバイザによって前記通信制御装置作成・削除部の指示に応じて前記仮想環境の内部に前記通信制御装置を作成し、
前記通信制御装置によって前記異常のある仮想マシンの通信を制御することを特徴とする通信制御方法。
【請求項１０】
ハイパーバイザによって管理される仮想環境を有するサーバと、
前記仮想環境に含まれる仮想マシンがセキュリティポリシを満たすか否かによって異常の有無を判定する異常検知装置と、
異常の検知された前記仮想マシンの通信を制御する通信制御装置を前記仮想環境に作成・削除することを前記ハイパーバイザに指示する通信制御装置作成・削除部を有する通信制御装置管理サーバと、を備え、
前記異常検知装置によって前記仮想環境の内部に異常のある前記仮想マシンが検出された際に、
前記通信制御装置作成・削除部によって前記仮想環境の内部に前記通信制御装置を作成することを前記ハイパーバイザに指示する処理と、
前記ハイパーバイザによって前記通信制御装置作成・削除部の指示に応じて前記仮想環境の内部に前記通信制御装置を作成する処理と、
前記通信制御装置によって前記異常のある仮想マシンの通信を制御する処理と、をコンピュータに実行させることを特徴とする通信制御プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、仮想環境の通信制御システム、通信制御方法および通信制御プログラムに関する。特に、コンピュータなどの端末を含むクラウド環境やデータセンタにおいて利用可能である通信制御技術に関する。
【背景技術】
【０００２】
一般的なコンピュータ端末の検疫システムでは、あらかじめ端末にエージェントをインストールし、端末がセキュリティポリシを満たさない場合は、検疫ネットワークにのみ接続可能とさせることで、ネットワークのセキュリティを確保していた。
【０００３】
また、図１０に示した特許文献１の検疫システムにおいては、ネットワーク遮断装置１１０をネットワークセグメントの前に設置することによってネットワークのセキュリティを確保している。
【０００４】
特許文献１のネットワーク遮断装置１１０は、検知手段１１１と、隔離ポリシ１１２と、隔離管理手段１１３と、通信遮断手段１１４と、通信手段１１５と、を備えている。検知手段１１１は、管理対象のネットワークセグメントＡ１２１及びＢ１２２を監視する。検知手段１１１は、ネットワークセグメントとの通信において、所定の条件を満たした通信を検知すると検知通知を生成し、その検知通知を隔離管理手段１１３に引き渡す。隔離管理手段１１３は、自装置の検知手段１１１が生成した検知通知、または他のネットワーク遮断装置１３１、１３２が生成した検知通知１６０を上位ネットワーク１５０経由で取得すると、隔離ポリシ１１２に格納されている隔離ポリシに基づき、遮断操作依頼を生成して通信遮断手段１１４に送る。通信遮断手段１１４は、遮断操作依頼に基づいて遮断対象を規定する遮断データを設定し、ネットワークセグメントＡ１２１及びＢ１２２を入出力する通信パケットの通過を遮断するか、そのまま通過させるかを制御する。
【０００５】
特許文献１の検疫システムでは、管理対象のネットワークセグメントＡ１２１、Ｂ１２２内でワームを検知した場合に、当該ネットワークセグメントＡ１２１、Ｂ１２２を遮断することによって、他のネットワークセグメント１４１、１４２へワームが感染拡大しないようにしている。また、ワームを検出したネットワーク遮断装置は、他のセグメントを管理している遮断装置に検知通知１６０を送信する。検知通知１６０を取得したネットワーク遮断装置１１０は、自身が管理しているネットワークセグメントＡ１２１、Ｂ１２２内でワームの被害が出る前にネットワーク遮断装置１１０を有効にすることによって感染を予防できる。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００７−０１１７４８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
一般的な検疫システムでは、端末がウィルスに感染した場合、エージェントが正常に動作することを保証できないため、ウィルスに感染した端末を検疫ネットワークのみに接続させる機構が働かない可能性があるという課題があった。
【０００８】
さらに、端末が利用できるＯＳ（Ｏｐｅｒａｔｉｏｎ  Ｓｙｓｔｅｍ）は、エージェントが対応しているＯＳに制限されるという課題があった。
【０００９】
特許文献１に記載の検疫システムでは、ワームの感染拡大を防ぐために、感染のあった端末の属するネットワークと他のネットワークとの通信を遮断し、他のネットワークに存在する端末にワームが感染することを防いでいる。しかしながら、ワームに感染した端末が属するネットワークの中でワームに感染していない端末が、他のネットワークの端末と通信できなくなるという課題があった。
【００１０】
本発明の目的は、セキュリティポリシを満たさない仮想マシンのみに通信制御を行ない、その仮想マシンが不正なプログラムに感染して動作を制御されても、他の仮想マシンに影響を及ぼすことなく、通信制御を行なう通信制御システムを提供することである。
【課題を解決するための手段】
【００１１】
本発明の通信制御システムは、ハイパーバイザによって管理される仮想環境において、仮想環境に含まれる仮想マシンに異常が検知されると、仮想マシンの通信を制御する通信制御装置が仮想環境の内部に生成され、通信制御装置によって仮想マシンの通信を制御する。
【００１２】
また、本発明の通信制御システムは、ハイパーバイザによって管理される仮想環境を有するサーバと、仮想環境に含まれる仮想マシンがセキュリティポリシを満たすか否かによって異常の有無を判定する異常検知装置と、異常の検知された仮想マシンの通信を制御する通信制御装置を仮想環境に作成・削除することをハイパーバイザに指示する通信制御装置作成・削除部を有する通信制御装置管理サーバと、を備え、異常検知装置によって仮想環境の内部に異常のある仮想マシンが検出された際に、通信制御装置作成・削除部は、仮想環境の内部に通信制御装置を作成することをハイパーバイザに指示し、ハイパーバイザは、通信制御装置作成・削除部の指示に応じて仮想環境の内部に通信制御装置を作成し、通信制御装置は、異常のある仮想マシンの通信を制御する。
【００１３】
本発明の通信制御方法においては、ハイパーバイザによって管理される仮想環境を有するサーバと、仮想環境に含まれる仮想マシンがセキュリティポリシを満たすか否かによって異常の有無を判定する異常検知装置と、異常の検知された仮想マシンの通信を制御する通信制御装置を仮想環境に作成・削除することをハイパーバイザに指示する通信制御装置作成・削除部を有する通信制御装置管理サーバと、を備え、異常検知装置によって仮想環境の内部に異常のある仮想マシンが検出された際に、通信制御装置作成・削除部によって仮想環境の内部に通信制御装置を作成することをハイパーバイザに指示し、ハイパーバイザによって通信制御装置作成・削除部の指示に応じて仮想環境の内部に通信制御装置を作成し、通信制御装置によって異常のある仮想マシンの通信を制御する。
【００１４】
本発明の通信制御プログラムは、ハイパーバイザによって管理される仮想環境を有するサーバと、仮想環境に含まれる仮想マシンがセキュリティポリシを満たすか否かによって異常の有無を判定する異常検知装置と、異常の検知された仮想マシンの通信を制御する通信制御装置を仮想環境に作成・削除することをハイパーバイザに指示する通信制御装置作成・削除部を有する通信制御装置管理サーバと、を備え、異常検知装置によって仮想環境の内部に異常のある仮想マシンが検出された際に、通信制御装置作成・削除部によって仮想環境の内部に通信制御装置を作成することをハイパーバイザに指示する処理と、ハイパーバイザによって通信制御装置作成・削除部の指示に応じて仮想環境の内部に通信制御装置を作成する処理と、通信制御装置によって異常のある仮想マシンの通信を制御する処理と、をコンピュータに実行させる。
【発明の効果】
【００１５】
本発明の通信制御システムによれば、セキュリティポリシを満たさない仮想マシンのみに通信制御を行なうため、その仮想マシンが不正なプログラムに感染して動作を制御されても、他の仮想マシンに影響を及ぼすことなく、通信制御を行なうことができる。
【図面の簡単な説明】
【００１６】
【図１】本発明の実施形態に係る通信制御システムの構成図である。
【図２】本発明の実施形態に係る異常マシンリストの一例である。
【図３】本発明の実施形態に係る通信制御装置設定テーブルの一例である。
【図４】本発明の実施形態に係る通信制御装置設置前の仮想環境を説明するための図である。
【図５】本発明の実施形態に係る異常状態となった仮想マシンの情報を取得するシーケンス図である。
【図６】本発明の実施形態に係る通信制御装置作成シーケンス図である。
【図７】本発明の実施形態に係る通信制御装置作成直後の仮想環境を説明するための図である。
【図８】本発明の実施形態に係る異常検知時の接続先仮想スイッチを変更するシーケンス図である。
【図９】本発明の実施形態に係る仮想マシン正常化時のシーケンス図である。
【図１０】特許文献１のネットワーク遮断装置を備えた検疫システムの概念図である。
【発明を実施するための形態】
【００１７】
以下に、本発明を実施するための形態について図面を用いて説明する。但し、以下に述べる実施形態には、本発明を実施するために技術的に好ましい限定がされているが、発明の範囲を以下に限定するものではない。
【００１８】
（構成）
図１は、本発明の実施形態に係る通信制御システムの全体構成を示す図である。
【００１９】
本実施形態に係る通信制御システムは、サーバ１と、通信制御装置管理サーバ２と、異常検知装置３と、を備えており、それぞれの構成要素が互いにネットワーク４によって接続されている。
【００２０】
サーバ１は、仮想環境１０を構成するためのサーバである。通信制御装置管理サーバ２は、サーバ１の仮想環境１０に構築する通信制御装置１５を管理するサーバである。異常検知装置３は、サーバ１の仮想環境１０の仮想マシン１１、１２がセキュリティポリシに適合するかどうかを判断する装置である。なお、図１に示した本実施形態において、サーバ１は１台のみとしているが、サーバ１を複数台のサーバで構成してもよい。
【００２１】
図１を用いて、各構成要素の特徴的な機能について説明する。
【００２２】
（サーバ）
サーバ１は、仮想環境１０と、仮想環境１０を管理するハイパーバイザ５から構成される。仮想環境１０は、仮想マシン１１、１２、仮想スイッチ１３、１４、通信制御装置１５を含む。仮想マシン１１は仮想スイッチ１３に接続され、仮想マシン１２は仮想スイッチ１４に接続されている。通信制御装置１５は、２つの仮想スイッチ１３、１４に接続されている。図１においては、仮想スイッチ１４がネットワーク４に接続されている。なお、本実施形態においては仮想マシンが二つある例について説明しているが、仮想マシンの数の上限について制限はなく、三つ以上あってもよい。
【００２３】
ハイパーバイザ５は、仮想環境１０を管理し、仮想環境１０の仮想マシン１１、１２、仮想スイッチ１３、１４、通信制御装置１５の作成・設定変更・実行などを行う。
【００２４】
仮想マシン１１は、異常検知装置３によって異常を検知された仮想マシンであり、通信制御装置１５によって通信制御される。仮想マシン１１の仮想マシンＩＤは、ＶＭ１に設定されている（ＩＤ：Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ）。ここで、仮想マシンＩＤとは、仮想環境１０内で仮想マシンを一意に特定するための識別子である。
【００２５】
仮想マシン１２は、異常検知装置３によって異常を検知されていない仮想マシンであり、通信制御がされていない状態である。仮想マシン１２の仮想マシンＩＤは、ＶＭ２に設定されている。
【００２６】
仮想スイッチ１３、１４は、仮想環境１０内で仮想ネットワークを構成するブリッジである。仮想環境１０内で仮想スイッチを一意に特定するための仮想スイッチＩＤとしては、仮想スイッチ１３、１４に対して、それぞれｖＳＷ１、ＶＭ１＿ｖＳＷが設定されている。仮想スイッチ１３は、通信制御装置管理サーバ２の指示によって、ハイパーバイザ５が作成する。
【００２７】
通信制御装置１５は、通信制御装置管理サーバ２によって管理され、異常検知装置３によって異常が検知された仮想マシン１１の通信を制御するファイアウォール機能をもったブリッジである。通信制御装置１５は、仮想環境１０で仮想マシンとして動作する。仮想環境１０内で仮想マシンを一意に特定する仮想マシンＩＤとしては、ＶＭ１＿ＦＷが設定されている。通信制御装置１５は、２つの仮想ネットワークインタフェースをもち、仮想スイッチ１３、１４に接続されている。
【００２８】
（通信制御装置管理サーバ）
通信制御装置管理サーバ２は、仮想マシン特定部２１と、通信制御装置作成・削除部２２と、仮想マシン接続先変更部２３と、異常マシンリスト２４と、通信制御装置設定２５と、を備えている。
【００２９】
仮想マシン特定部２１は、異常検知装置３から異常のある仮想マシン１１のＩＰアドレスを受け取り、仮想マシンＩＤを特定する（ＩＰ：Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）。通信制御装置作成・削除部２２は、通信制御装置１５の作成指示・削除指示・設定を行う。仮想マシン接続先変更部２３は、通信制御装置１５と異常のある仮想マシン１１の接続先仮想スイッチの変更を指示する。異常マシンリスト２４は、異常検知装置３が異常と判断した仮想マシンの情報を格納する。通信制御装置設定２５は、通信制御装置１５に設定する情報をあらかじめ格納しておく。
【００３０】
仮想マシン特定部２１は、異常検知装置３から仮想マシンが異常状態になったことを通知された場合、異常状態になった仮想マシンの仮想マシンＩＤと、接続先仮想スイッチの仮想スイッチＩＤを調べ、通信制御作成・削除部２２に通信制御装置作成指示を通知する。また、異常検知装置３から仮想マシンが正常状態になったことを通知された場合、異常マシンリスト２４から当該仮想マシンの仮想マシンＩＤと、通信制御装置１５の仮想マシンＩＤと、通信制御前に接続していた仮想スイッチＩＤと、通信制御後に接続している仮想スイッチＩＤを取得し、仮想マシン接続先変更部２３に通知のあった仮想マシンの接続先仮想スイッチ変更指示を通知する。
【００３１】
通信制御装置作成・削除部２２は、仮想マシン特定部２１から通信制御装置作成指示を受けて、まず、ハイパーバイザ５に対して通信制御装置１５及び仮想スイッチ１３の作成を指示する。次に、通信制御装置設定２５から設定を読み込んで、作成した通信制御装置１５に設定を反映する。その後、異常状態になった仮想マシンのＩＰアドレス、仮想マシンＩＤ、接続先仮想スイッチの仮想スイッチＩＤ、通信制御装置１５の仮想マシンＩＤ及び仮想スイッチ１３の仮想スイッチＩＤを異常マシンリスト２４に記録する。最後に、仮想マシン接続先変更部２３に対して、仮想マシン１１と通信制御装置１５の接続先仮想スイッチ変更指示を通知する。また、仮想マシン接続先変更部２３から通信制御装置削除指示を受けて、ハイパーバイザ５に通信制御装置１５の削除を指示し、異常マシンリスト２４から情報を削除する。
【００３２】
仮想マシン接続先変更部２３は、通信制御装置作成・削除部２２から接続先仮想スイッチ変更指示を受けて、仮想マシン１１及び通信制御装置１５の接続先仮想スイッチを変更するようハイパーバイザ５に指示する。また、仮想マシン特定部２１から接続先仮想スイッチ変更指示を受けて、仮想マシン１１の接続先仮想スイッチを変更するようハイパーバイザ５に指示する。
【００３３】
異常マシンリスト２４は、図２のように、仮想マシンのＩＰアドレスと、異常仮想マシンの仮想マシンＩＤと、通信制御前の仮想スイッチＩＤと、通信制御装置の仮想マシンＩＤと、通信制御後の仮想スイッチＩＤと、を保持している。
【００３４】
図２の異常マシンリスト２４の各項目について説明する。仮想マシンのＩＰアドレスは、異常検知装置３によって異常を検知された仮想マシン１１のＩＰアドレスである。異常仮想マシンの仮想マシンＩＤは、異常を検知された仮想マシン１１の仮想マシンＩＤである。通信制御前の仮想スイッチＩＤは、通信制御装置１５に通信制御される前に仮想マシン１１が接続していた仮想スイッチ１４の仮想スイッチＩＤである。通信制御装置の仮想マシンＩＤは、通信制御装置１５がもつ仮想マシンＩＤである。通信制御後の仮想スイッチＩＤは、通信制御装置１５に通信制御された後に仮想マシン１１が接続している仮想スイッチ１３の仮想スイッチＩＤである。
【００３５】
通信制御装置設定２５は、通信制御装置１５に設定する設定内容を保持している。図３に、通信制御装置１５に設定する設定内容の例である通信制御装置設定テーブル３０を示す。通信制御装置設定２５は、ファイアウォールのルールのように、制御対象の通信を指定し、その通信に対しての動作を規定している。図３に示した通信制御装置設定テーブル３０には、通信を指定する条件として通信の送信元ＩＰアドレス、送信元ポート番号、宛先ＩＰアドレス、宛先ポート番号が記載されている。指定した通信に対する通信制御装置１５の動作として、許可・破棄が記載されている。なお、その他の条件として、アプリケーションファイアウォールのように、特定のアプリケーションを条件として指定し、指定したアプリケーションが行う通信のみを制御の対象として指定してもよく、条件は図３の形式には限定しない。
【００３６】
図３の通信制御装置設定テーブル３０で特徴的なのは、送信元ＩＰアドレスや宛先ＩＰアドレスを具体的に指定するかわりに、「異常仮想マシン」を指定することである。「異常仮想マシン」を指定すると、ポリシが適用される際に、異常検知装置３によって異常を検知された仮想マシン１１のＩＰアドレスで置き換えられる。
【００３７】
（異常検知装置）
異常検知装置３は、異常でない仮想マシン１２がセキュリティポリシを満たすかどうかを判断し、満たさない場合に当該仮想マシン１２を異常であると判断し、通信制御装置管理サーバ２に仮想マシン１２のＩＰアドレスと異常であることを通知する。また、セキュリティポリシを満たさない仮想マシン１１がセキュリティポリシを満たす状態になった場合、異常検知装置３は仮想マシン１１が正常であると判断し、通信制御装置管理サーバ２に仮想マシン１１のＩＰアドレスと正常であることを通知する。
【００３８】
セキュリティポリシの例としては、「１秒以内に１０種のＩＰアドレスに対してｐｉｎｇを送信している」や、「最新のＯＳパッチが適用されていない」、などが挙げられる。セキュリティポリシを満たすかどうかを判断する手法には一般的な手法を用いることができ、本実施形態においては、セキュリティポリシにあわせた適切な判断手法が選択されるものとする。
【００３９】
異常検知装置３は、仮想マシンがセキュリティポリシを満たさなくなったとき、もしくは満たすようになったときに、通信制御装置管理サーバ２に対して当該仮想マシンのＩＰアドレスと、異常であるか正常であるかの情報を通知可能であればよく、設置場所は図１に記載の場所に限定されない。例えば、異常検知装置３は、アンチウィルスソフトウェアという形で各仮想マシンにインストールされていてもよい。
【００４０】
（動作）
本発明の実施形態通信制御システムの動作について、図面（図４〜９）を参照しながら説明する。
【００４１】
図４は、初期状態における仮想環境１０の仮想ネットワークの構成を示す図である。
【００４２】
図４を参照すると、仮想マシン１１、１２が仮想スイッチ１４に接続されている。仮想マシンＩＤはそれぞれＶＭ１、ＶＭ２とし、仮想スイッチ１４の仮想スイッチＩＤはｖＳＷ１とする。ＩＰアドレスは、仮想マシン１１には「１９２．１６８．１．１」、仮想マシン１２には「１９２．１６８．１．２」、ハイパーバイザ５には「１９２．１６８．１．２００」、通信制御装置管理サーバ２には「１９２．１６８．１．２５３」、異常検知装置３には「１９２．１６８．１．２５４」を設定する。
【００４３】
（異常検知時における動作）
図５を用いて、仮想マシン１１がセキュリティポリシを満たさなくなり、異常検知装置３が仮想マシン１１を異常と判断したときの動作を説明する。
【００４４】
図５のステップ５０１において、異常検知装置３が異常を検知すると、異常を検知した仮想マシン１１のＩＰアドレス（１９２．１６８．１．１）を仮想マシン特定部２１に送信する。
【００４５】
仮想マシン特定部２１は、以下のステップ５０２〜５０５において、異常が発生した仮想マシン１１の仮想マシンＩＤを特定する。仮想マシンＩＤを特定する理由は、仮想マシン１１の接続先スイッチの情報取得、または接続先スイッチを変更するために、仮想マシンＩＤを指定してハイパーバイザ５に指示を出す必要があるためである。
【００４６】
まず、ステップ５０２において、仮想マシン特定部２１は、ハイパーバイザ５が管理している仮想マシンの仮想マシンＩＤ一覧を要求する。
【００４７】
ステップ５０３において、ハイパーバイザ５は、自身が管理している仮想マシンの仮想マシンＩＤ（ＶＭ１、ＶＭ２）を仮想マシン特定部２１に送信する。
【００４８】
ステップ５０４及びステップ５０５は、各仮想マシンに対して設定されているＩＰアドレスを問い合わせるループ処理である。
【００４９】
ステップ５０４において、仮想マシン特定部２１は、受信した仮想マシンＩＤのうち１つを指定し、指定した仮想マシンＩＤを持つ仮想マシンに設定されているＩＰアドレスをハイパーバイザ５に問い合わせる。
【００５０】
ステップ５０５において、ハイパーバイザ５は、問い合わせがあった仮想マシンのＩＰアドレスを送信する。
【００５１】
ここで、ステップ５０５において仮想マシン特定部２１が受信したＩＰアドレスが、ステップ５０１で受信した仮想マシンのＩＰアドレスと同じ場合、異常状態の仮想マシンの仮想マシンＩＤをステップ５０４で問い合わせた仮想マシンＩＤと特定し、ステップ５０６に進む。
【００５２】
また、ステップ５０５において仮想マシン特定部２１が受信したＩＰアドレスが、ステップ５０１で受信した仮想マシンのＩＰアドレスと異なる場合、別の仮想マシンＩＤについてステップ５０４、５０５を実行する。
【００５３】
このようにして、本実施形態においては、異常状態の仮想マシン１１の仮想マシンＩＤがＶＭ１であると特定される。
【００５４】
ステップ５０６において、仮想マシン特定部２１は、前ステップまでに特定した異常状態の仮想マシンＩＤ（ＶＭ１）を用いて、仮想マシン１１が接続されている仮想スイッチのＩＤをハイパーバイザ５に問い合わせる。
【００５５】
ステップ５０７において、ハイパーバイザ５は、接続先仮想スイッチＩＤ（ｖＳＷ１）を仮想マシン特定部２１に送信する。
【００５６】
ステップ５０８において、仮想マシン特定部２１は、仮想マシン１１のＩＰアドレス（１９２．１６８．１．１）・仮想マシンＩＤ（ＶＭ１）・仮想スイッチＩＤ（ｖＳＷ）とともに、通信制御装置作成指示を通信制御装置作成・削除部２２に通知する。
【００５７】
（通信制御装置作成における動作）
続いて、図６を用いて、通信制御装置作成指示を受け取った後の通信制御装置作成・削除部２２の動作について説明する。
【００５８】
図６のステップ６０１において、通信制御装置作成・削除部２２は、ハイパーバイザ５に対して、仮想マシンＩＤをＶＭ１＿ＦＷとし、接続先仮想スイッチをｖＳＷ１とし、通信制御装置１５の作成を行なう指示を出す。なお、通信制御装置１５の仮想マシンＩＤは、既存のものと重複しなければどのような名前でもよい。ここでは異常状態である仮想マシン１１の仮想マシンＩＤ（ＶＭ１）に「＿ＦＷ」を追加したものとする。「＿ＦＷ」を追加した仮想マシンＩＤが既に存在する場合は、重複しなくなるまで「＿ＦＷ」を追加すればよい。
【００５９】
ステップ６０２において、ハイパーバイザ５は、通信制御装置１５を作成する。ハイパーバイザ５は、２つある仮想ネットワークインタフェースのうち、１つを仮想スイッチ１４（ｖＳＷ１）と接続する。ここで、仮想スイッチ１４と接続する仮想ネットワークインタフェースには、あらかじめネットワーク４で用いないＩＰアドレスを１つ割り当てておくものとする。ここでは「１９２．１６８．１．１００」を割り当てておいたものとする。このＩＰアドレスは、通信制御装置１５の設定を行うために用いられ、後述するステップ６０８で削除される。
【００６０】
次に、ステップ６０３において、通信制御装置作成・削除部２２は、仮想スイッチＩＤをＶＭ１＿ｖＳＷとする仮想スイッチ１３の作成をハイパーバイザ５に指示する。
【００６１】
ステップ６０４において、ハイパーバイザ５は、仮想スイッチＩＤをＶＭ１＿ｖＳＷとする仮想スイッチ１３を作成する。なお、仮想スイッチＩＤについても、仮想マシンＩＤと同様に既存のものと重複しなければどのような名前でもよい。ここでは、異常状態である仮想マシン１１の仮想マシンＩＤ（ＶＭ１）に「＿ｖＳＷ」を追加したものとする。「＿ｖＳＷ」を追加した仮想スイッチＩＤが既に存在する場合は、重複しなくなるまで「＿ｖＳＷ」を追加すればよい。
【００６２】
ステップ６０５において、通信制御装置作成・削除部２２は、通信制御装置設定２５に設定を要求する。
【００６３】
ステップ６０６において、通信制御装置設定２５は、設定を通信制御装置作成・削除部２２に送信する。ここでは、通信制御装置作成・削除部２２に対して、図３の通信制御装置設定テーブル３０に示した設定が送信されたものとする。
【００６４】
ステップ６０７において、通信制御装置作成・削除部２２は、受信した設定（図３）中の「異常仮想マシン」の部分を、異常状態の仮想マシン１１のＩＰアドレス（１９２．１６８．１．１）で置き換える。
【００６５】
ステップ６０８において、通信制御装置作成・削除部２２は、通信制御装置１５にあらかじめ設定されているＩＰアドレス（１９２．１６８．１．１００）を用いて、ステップ６０７で作成した設定を通信制御装置１５に反映させるとともに、通信制御装置１５のＩＰアドレス（１９２．１６８．１．１００）を削除する。通信制御装置１５のＩＰアドレスを削除する理由は、異常検知装置３が別の仮想マシンの異常を検知し、通信制御装置作成・削除部２２が通信制御装置１５を作成したときに、同一仮想ネットワーク内に同じＩＰアドレスをもつ通信制御装置１５が存在するのを防ぐためである。
【００６６】
ステップ６０９において、通信制御装置作成・削除部２２は、ステップ５０８で受信した仮想マシン１１のＩＰアドレス・仮想マシンＩＤ（ＶＭ１）・接続先仮想スイッチＩＤを異常マシンリスト２４に保存する。同時に、通信制御装置作成・削除部２２は、自身が作成を指示した通信制御装置１５の仮想マシンＩＤ（ＶＭ１＿ＦＷ）及び仮想スイッチＩＤ（ＶＭ１＿ｖＳＷ）を異常マシンリスト２４に保存し、異常マシンリスト２４を更新する。なお、ステップ６０４で作成した仮想スイッチＩＤ（ＶＭ１＿ｖＳＷ）は、図２の異常マシンリストテーブル２０における通信制御後の仮想スイッチＩＤとする。
【００６７】
ステップ６１０において、通信制御装置作成・削除部２２は、仮想マシン接続先変更部２３に対して、仮想マシン１１の仮想マシンＩＤ（ＶＭ１）・通信制御装置１５の仮想マシンＩＤ（ＶＭ１＿ＦＷ）・仮想スイッチＩＤ（ｖＳＷ１、ＶＭ１＿ｖＳＷ）を送信し、接続先仮想スイッチ変更指示を通知する。
【００６８】
図７は、図６のステップ６１０終了時における仮想環境１０の状態である。図７においては、通信制御装置１５が仮想マシン（ＶＭ１＿ＦＷ）として仮想スイッチ１４（ｖＳＷ１）に接続されている。
【００６９】
（仮想マシン接続先変更における動作）
次に、図８を用いて、ステップ６１０において仮想マシン接続先変更指示を受け取った後の仮想マシン接続先変更部２３の動作を説明する。
【００７０】
ステップ８０１において、仮想マシン接続先変更部２３は、通信制御装置作成・削除部２２から受け取った通信制御装置１５の仮想マシンＩＤ（ＶＭ１＿ＦＷ）及び仮想スイッチＩＤ（ＶＭ１＿ｖＳＷ）を基に、通信制御装置１５を仮想スイッチ１３と接続するようハイパーバイザ５に指示を出す。なお、通信制御装置１５と仮想スイッチ１３の接続に用いる仮想ネットワークインタフェースは、図６のステップ６０２において仮想スイッチ１４と接続した方ではない仮想ネットワークインタフェースとする。
【００７１】
ステップ８０２において、ハイパーバイザ５は、通信制御装置１５と仮想スイッチ１３を接続する。
【００７２】
同様に、ステップ８０３において、仮想マシン接続先変更部２３は、仮想マシン１１の接続先仮想スイッチを仮想スイッチ１３に変更するようハイパーバイザ５に指示を出す。
【００７３】
ステップ８０４において、ハイパーバイザ５は、仮想マシン１１の接続先仮想スイッチを仮想スイッチ１３に変更する。
【００７４】
以上で、異常検知装置３によって仮想マシン１１が異常であると判断されたときの一連の動作は完了する。
【００７５】
（通信制御装置削除における動作）
次に、図９を用いて、仮想マシン１１がセキュリティポリシを満たし、異常検知装置３によって仮想マシン１１が異常状態から正常状態に戻ったと判断されたときの動作を説明する。
【００７６】
図９のステップ９０１において、異常検知装置３は、仮想マシン特定部２１に対して、仮想マシン１１が正常状態に復帰したことを通知する情報と、仮想マシン１１のＩＰアドレスとを送信する。
【００７７】
ステップ９０２において、仮想マシン特定部２１は、ステップ９０１で受信した仮想マシンのＩＰアドレスを基に、当該仮想マシンの仮想マシンＩＤ（ＶＭ１）・通信制御前の接続先仮想スイッチの仮想スイッチＩＤ（ｖＳＷ１）・通信制御装置１５の仮想マシンＩＤ（ＶＭ１＿ＦＷ）・通信制御後の接続先仮想スイッチの仮想スイッチＩＤ（ＶＭ１＿ｖＳＷ）を異常マシンリスト２４に要求する。
【００７８】
ステップ９０３において、異常マシンリスト２４は、仮想マシン特定部２１に対して要求された情報を送信する。
【００７９】
ステップ９０４において、仮想マシン特定部２１は、ステップ９０３で受け取った情報とともに仮想マシン接続先変更指示を仮想マシン接続先変更部２３に通知する。
【００８０】
ステップ９０５において、仮想マシン接続先変更部２３は、ステップ９０４で受信した仮想マシン１１の仮想マシンＩＤ（ＶＭ１）と、通信制御前の接続先仮想スイッチ１４の仮想スイッチＩＤ（ｖＳＷ１）を基に、正常状態に復帰した仮想マシン１１の接続先仮想スイッチを通信制御前の接続先の仮想スイッチ１４に変更するようハイパーバイザ５に指示する。
【００８１】
ステップ９０６において、ハイパーバイザ５は、仮想マシン１１の接続先の仮想スイッチを仮想スイッチ１４に変更する。
【００８２】
ステップ９０７において、仮想マシン接続先変更部２３は、通信制御装置１５の仮想マシンＩＤ（ＶＭ１＿ＦＷ）と仮想スイッチ１３の仮想スイッチＩＤ（ＶＭ１＿ｖＳＷ）を通信制御装置作成・削除部２２に送信し、それらの削除を指示する。
【００８３】
ステップ９０８において、通信制御装置作成・削除部２２は、ハイパーバイザ５に対して、ステップ９０７で受信した通信制御装置１５の仮想マシンＩＤ（ＶＭ１＿ＦＷ）と仮想スイッチ１３の仮想スイッチＩＤ（ＶＭ１＿ｖＳＷ）の削除を指示する。
【００８４】
ステップ９０９において、ハイパーバイザ５は、通信制御装置１５と仮想スイッチ１３を削除する。
【００８５】
最後に、ステップ９１０において、通信制御装置作成・削除部２２は、異常マシンリスト２４から仮想マシン１１の情報を削除する。
【００８６】
以上が通信制御装置削除に関する動作である。
【００８７】
本発明の実施形態についてまとめると、以下のようになる。
【００８８】
まず、異常検知装置３が仮想マシン１１の異常を検知し、通信制御装置管理サーバ２に通知する。通信制御装置管理サーバ２は、仮想マシン特定部２１によって異常状態の仮想マシン１１の仮想マシンＩＤを特定する。仮想マシン特定部２１によって特定された仮想マシンＩＤを基に、通信制御装置作成・削除部２２が通信制御装置１５を作成し、仮想マシン１１に適した設定を行う。異常状態の仮想マシン１１と通信制御装置１５のそれぞれの仮想マシンＩＤを用いて、仮想マシン接続先変更部２３は、接続先仮想スイッチを変更すると、仮想マシン１１の通信経路上に通信制御装置１５が配置される。
【００８９】
本発明の実施形態に係る通信制御システムは、通信制御装置をあらかじめネットワーク内に設置しておくのではなく、仮想マシンの異常を検知してから動的に設置することに特徴がある。
【００９０】
また、本発明の実施形態に係る通信制御システムは、通信制御装置が行う通信制御がセグメント単位での通信制御ではなく、仮想マシン単位での通信制御であることに特徴がある。
【００９１】
さらに、本発明の実施形態に係る通信制御システムは、仮想マシンが異常状態から正常状態に復帰したときに、通信制御装置をネットワークから取り除くことに特徴がある。
【００９２】
（効果）
本発明の効果をまとめると以下のようになる。
【００９３】
第１の効果は、セキュリティポリシを満たさない仮想マシンに限って通信制御を行うことによって、他の仮想マシンの業務に影響を与えない点にある。その理由は、通信制御を行う前の仮想スイッチと仮想マシンの間に通信制御装置を導入するためである。
【００９４】
第２の効果は、仮想マシンが不正なプログラムに感染し、仮想マシンの動作を制御されても、通信制御を行うことができる点にある。その理由は、通信制御を行うために仮想マシンの動作を制御するのではなく、別の仮想マシンとして通信制御装置を作り、仮想マシンとして作成した通信制御装置によって通信制御を行うためである。
【００９５】
第３の効果は、仮想マシンがセキュリティポリシを満たしているときは、サーバのリソースを消費しない点にある。その理由は、仮想マシンが異常状態になったときに初めて通信制御装置が作成され、仮想マシンが正常状態になったときには削除されるためである。
【００９６】
本発明の実施形態に係る通信制御システムは、クラウド事業者が運営するクラウドシステムや、データセンタなどにおけるサーバシステムにおいて適用することができる。また、一般的なインターネットにおいて運営される公共ネットワーク環境においても適用可能である。さらに、企業や公共施設内の個別ネットワーク環境においても適用可能である。
【００９７】
以上、実施形態を参照して本願発明を説明してきたが、本願発明は上記実施形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
【符号の説明】
【００９８】
１    サーバ
２    通信制御装置管理サーバ
３    異常検知装置
４    ネットワーク
５    ハイパーバイザ
１０    仮想環境
１１    仮想マシン
１２    仮想マシン
１３    仮想スイッチ
１４    仮想スイッチ
１５    通信制御装置
２０    異常マシンリストテーブル
２１    仮想マシン特定部
２２    通信制御装置作成・削除部
２３    仮想マシン接続先変更部
２４    異常マシンリスト
２５    通信制御装置設定
３０    通信制御装置設定テーブル
１１０    ネットワーク遮断装置
１１１    検知手段
１１２    隔離ポリシ
１１３    隔離管理手段
１１４    通信遮断手段
１１５    通信手段
１３１、１３２    ネットワーク遮断装置
１５０    上位ネットワーク
１６０    検知通知
【図１】
2014126963.tif 000003
【図２】
2014126963.tif 000004
【図３】
2014126963.tif 000005
【図４】
2014126963.tif 000006
【図５】
2014126963.tif 000007
【図６】
2014126963.tif 000008
【図７】
2014126963.tif 000009
【図８】
2014126963.tif 000010
【図９】
2014126963.tif 000011
【図１０】
2014126963.tif 000012