(57)【要約】  攻撃に関する情報をクライアント装置から取得することができる通信制御装置を提供する。  実施形態によれば、装置とネットワークとの間に接続される通信制御装置であって、第１の通信部と、第２の通信部と、制御部と、を備える。第１の通信部は、前記装置とデータを送受信する。第２の通信部は、前記ネットワークとデータを送受信する。制御部は、前記第１の通信部を通じて前記装置からデータを受信し、前記データに基づいて、前記装置が攻撃されているかを判定し、前記装置が攻撃されていると判定すると、前記ネットワークとの通信を遮断し、前記第１の通信部を通じて前記装置から前記装置への攻撃に関する攻撃情報を取得する。
2020054818.tif 000002
【特許請求の範囲】
【請求項１】
装置とネットワークとの間に接続される通信制御装置であって、
前記装置とデータを送受信する第１の通信部と、
前記ネットワークとデータを送受信する第２の通信部と、
前記第１の通信部を通じて前記装置からデータを受信し、
前記データに基づいて、前記装置が攻撃されているかを判定し、
前記装置が攻撃されていると判定すると、前記ネットワークとの通信を遮断し、前記第１の通信部を通じて前記装置から前記装置への攻撃に関する攻撃情報を取得する、
制御部と、
を備える通信制御装置。
【請求項２】
前記制御部は、前記第１の通信部を通じて情報取得コマンドを送信することで前記攻撃情報を取得する、
前記請求項１に記載の通信制御装置。
【請求項３】
前記制御部は、前記情報取得コマンドを送信することで前記装置に接続する機器を示す情報を含む前記攻撃情報を取得する、
前記請求項２に記載の通信制御装置。
【請求項４】
前記制御部は、前記攻撃情報を取得するためのセキュリティ上のハニーポットを構築する、
前記請求項１乃至３の何れか１項に記載の通信制御装置。
【請求項５】
前記制御部は、ハニーポットを通じてダミーデータを前記装置に送信する、
前記請求項４に記載の通信制御装置。
【請求項６】
前記制御部は、前記攻撃情報及び攻撃リストに基づいて、前記装置への攻撃を特定する、
前記請求項１乃至５の何れか１項に記載の通信制御装置。
【請求項７】
前記制御部は、前記装置への攻撃を特定できない場合、前記攻撃情報に基づく辞書情報を前記攻撃リストへ登録する、
前記請求項６に記載の通信制御装置。
【請求項８】
前記制御部は、前記攻撃情報を取得した後に前記装置を停止させる、
前記請求項１乃至７の何れか１項に記載の通信制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明の実施形態は、通信制御装置に関する。
【背景技術】
【０００２】
通信制御装置には、ＩｏＴ機器などのクライアント装置とインターネットなどのネットワークとの間の通信を中継するものがある。そのような通信制御装置には、クライアント装置がウイルス感染などの攻撃を受けたことを検知した場合、ネットワークとの通信を遮断する。【０００３】
従来、通信制御装置は、攻撃に関する情報をクライアント装置から取得することができないという課題がある。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】日本国特開２０１４−１０３５０３号公報
【発明の概要】
【０００５】
上記の課題を解決するため、攻撃に関する情報をクライアント装置から取得することができる通信制御装置を提供する。
【０００６】
実施形態によれば、装置とネットワークとの間に接続される通信制御装置であって、第１の通信部と、第２の通信部と、制御部と、を備える。第１の通信部は、前記装置とデータを送受信する。第２の通信部は、前記ネットワークとデータを送受信する。制御部は、前記第１の通信部を通じて前記装置からデータを受信し、前記データに基づいて、前記装置が攻撃されているかを判定し、前記装置が攻撃されていると判定すると、前記ネットワークとの通信を遮断し、前記第１の通信部を通じて前記装置から前記装置への攻撃に関する攻撃情報を取得する。
【図面の簡単な説明】
【０００７】
【図１】図１は、実施形態に係る通信制御システムの構成例を示すブロック図である。
【図２】図２は、実施携帯に係るサーバ装置及びクライアント装置の構成例を示すブロック図である。
【図３】図３は、実施形態に係る通信制御装置の構成例を示すブロック図である。
【図４】図４は、実施形態に係る通信制御装置の動作例を示すフローチャートである。
【発明を実施するための形態】
【０００８】
以下、実施形態に係る通信制御システムについて図面を参照して説明する。
【０００９】
図１は、実施形態の通信制御システム１の構成例を示す図である。通信制御システム１は、クライアント装置１０（１０−１〜１０−Ｎ）と、サーバ装置２０と、クライアント側通信制御装置３０（３０−１〜３０−Ｎ）と、サーバ側通信制御装置４０と、通信制御管理装置５０と、ネットワーク６０と、ゲートウェイ７０と、を備える。
【００１０】
なお、通信制御システム１は、図１が示すような構成の他に必要に応じた構成を具備したり、通信制御システム１から特定の構成が除外されたりしてもよい。
【００１１】
以下の説明においては、ネットワーク６０と、ネットワーク６０とクライアント装置１０等とを接続するゲートウェイ７０と、をまとめて「ネットワークＮＷ」とも称する。
【００１２】
クライアント装置１０は、クライアント側通信制御装置３０を介してネットワークＮＷと接続する。クライアント装置１０は、ネットワークＮＷを介してサーバ装置２０などとデータを送受信する。クライアント装置１０については後述する。
【００１３】
サーバ装置２０は、サーバ側通信制御装置４０を介してネットワークＮＷと接続する。
サーバ装置２０は、クライアント装置１０を管理する。たとえば、サーバ装置２０は、クライアント装置１０へ種々のコマンドを送信する。また、サーバ装置２０は、クライアント装置１０から種々のデータを受信する。サーバ装置２０については後述する。
【００１４】
クライアント側通信制御装置３０は、クライアント装置１０とネットワークＮＷとの間に接続され、クライアント装置１０とサーバ装置２０との間の通信を仲介する。クライアント側通信制御装置３０は、クライアント装置１０によりサーバ装置２０に対して送信されるデータを取得し、取得したデータをサーバ装置２０に対して出力する。なお、クライアント側通信制御装置３０は、サーバ装置２０に対してデータを送信する際に、クライアント装置１０から取得したデータを暗号化し、暗号化したデータをサーバ装置２０に対して送信してもよい。
【００１５】
また、クライアント側通信制御装置３０は、サーバ装置２０によりクライアント装置１０に対して送信されるデータを取得し、取得したデータをクライアント装置１０に対して出力する。たとえば、クライアント側通信制御装置３０が取得するデータは、暗号化されたデータであってもよい。この場合、クライアント側通信制御装置３０は、クライアント装置１０にデータを出力する際に、サーバ装置２０からサーバ側通信制御装置４０を介して取得したデータを復号し、復号したデータをクライアント装置１０に出力する。
【００１６】
サーバ側通信制御装置４０は、サーバ装置２０とネットワークＮＷとの間に接続され、クライアント装置１０とサーバ装置２０との間の通信を仲介する。サーバ側通信制御装置４０は、サーバ装置２０によりクライアント装置１０に対して送信されるデータを取得し、取得したデータをクライアント装置１０に対して送信する。なお、サーバ側通信制御装置４０は、クライアント装置１０に対してデータを送信する際に、サーバ装置２０から取得したデータを暗号化し、暗号化したデータをクライアント装置１０に対して送信してもよい。
【００１７】
また、サーバ側通信制御装置４０は、クライアント装置１０によりサーバ装置２０に対して送信されるデータを取得し、取得したデータをサーバ装置２０に対して出力する。たとえば、サーバ側通信制御装置４０が取得するデータは、暗号化されたデータであってもよい。この場合、サーバ側通信制御装置４０は、サーバ装置２０にデータを出力する際に、クライアント装置１０からクライアント側通信制御装置３０を介して取得したデータを復号し、復号したデータをサーバ装置２０に出力する。
【００１８】
実施形態において、たとえば、クライアント側通信制御装置３０及びサーバ側通信制御装置４０は、ＳＳＬ（Secure Socket Layer）／ＴＬＳ（Transport Layer Security）のプロトコルによってデータを暗号化する。たとえば、クライアント側通信制御装置３０及びサーバ側通信制御装置４０は、ＳＳＬ／ＴＬＳプロトコルを、ＨＴＴＰと組み合わせることで、ＨＴＴＰに含まれるデータを暗号化し、安全性を向上させたＨＴＴＰＳ（HTTP Secure）として送信する。
【００１９】
なお、クライアント側通信制御装置３０及びサーバ側通信制御装置４０が行うデータの暗号化は、ＨＴＴＰをＨＴＴＰＳとすることに限定されない。クライアント側通信制御装置３０及びサーバ側通信制御装置４０は、ＳＳＬ／ＴＬＳプロトコルを種々の通信プロトコルと組み合わせることにより、安全性を向上させたセキュアな通信プロトコルに置き換えてもよい。例えば、クライアント側通信制御装置３０及びサーバ側通信制御装置４０は、ＦＴＰ（File Transfer Protocol）をＦＴＰＳ（FTP Secure）に置き換えてもよい。
【００２０】
通信制御管理装置５０は、クライアント側通信制御装置３０及びサーバ側通信制御装置４０などを管理する。たとえば、通信制御管理装置５０は、クライアント側通信制御装置３０に対し、クライアント証明書及び秘密鍵などを発行する。また、通信制御管理装置５０は、サーバ側通信制御装置４０に対し、サーバ証明書及び秘密鍵などを発行する。
【００２１】
次に、クライアント装置１０及びサーバ装置２０の構成について説明する。たとえば、クライアント装置１０とサーバ装置２０とは、社会インフラシステムを構築する構成要素（コンポーネント）である。社会インフラとは、例えば、道路交通網、発電設備、配送電設備、水処理設備、又はガス配給設備等、社会基盤を整えるために必要な設備である。社会インフラシステムとは、例えば、社会インフラを監視し、状況の変化を把握し、その変化に対応することにより、社会インフラを安定的に動作させる仕組みである。以下においては、クライアント装置１０とサーバ装置２０とは、道路や公共設備などを監視する監視システムのコンポーネントである場合を例に説明する。この場合、クライアント装置１０は、道路の状況等が撮像された撮像データを、ネットワークＮＷを介して送信する装置（ネットワーク監視カメラ）である。サーバ装置２０は、クライアント装置１０により送信された撮像データを、ネットワークＮＷを介して受信する装置である。
【００２２】
なお、クライアント装置１０とサーバ装置２０とは、監視システムのコンポーネントに限定されることはない。例えば、クライアント装置１０とサーバ装置２０とは、発電設備又は配送電設備における電力状況をモニタリングするシステムのコンポーネントであってもよい。また、クライアント装置１０とサーバ装置２０とは、物流センタにおける配送状況を取得するシステム、又は、工場若しくは研究機関における設備の稼働状況を取得するシステム等のコンポーネントであってもよい。
【００２３】
クライアント装置１０とサーバ装置２０とが用いられるシステム又はクライアント装置１０とサーバ装置２０との機能は、特定の構成に限定されるものではない。
【００２４】
次に、クライアント装置１０及びサーバ装置２０について説明する。  
図２は、クライアント装置１０及びサーバ装置２０の構成例を示すブロック図である。
【００２５】
図２が示すように、クライアント装置１０は、ネットワーク通信部１１と、クライアント制御部１２と、撮像部１３とを備える。クライアント制御部１２と、ネットワーク通信部１１及び撮像部１３とは、互いに通信可能に接続する。なお、クライアント装置１０は、図２が示すような構成の他に必要に応じた構成を具備したり、クライアント装置１０から特定の構成が除外されたりしてもよい。
【００２６】
ネットワーク通信部１１は、クライアント側通信制御装置３０とデータを送受信するためのインターフェースである。ネットワーク通信部１１は、クライアント側通信制御装置３０に接続される。ネットワーク通信部１１は、クライアント制御部１２からサーバ装置２０に対して送信されるデータをクライアント側通信制御装置３０に出力する。また、ネットワーク通信部１１は、クライアント側通信制御装置３０からのデータをクライアント制御部１２へ出力する。たとえば、ネットワーク通信部１１は、ＬＡＮ接続をサポートする。
【００２７】
クライアント制御部１２は、クライアント装置１０を統括的に制御する。たとえば、クライアント制御部１２は、サーバ装置２０からの制御に従い、撮像部１３に撮像を開始又は停止させたり、撮像部１３に対し撮像するカメラの方向又は撮像する際の倍率等の撮像条件を設定したりする。
【００２８】
クライアント制御部１２は、プロセッサなどから構成される。たとえば、クライアント制御部１２は、プロセッサ及びメモリなどから構成されてもよい。また、クライアント制御部１２は、ＡＳＩＣ（application specific integrated circuit）又はＦＰＧＡ（field-programmable gate array）などから構成されてもよい。
【００２９】
撮像部１３は、クライアント制御部１２の指示に従い、所定箇所を撮像する。撮像部１３は、撮像したデータ（撮像データ）を、クライアント制御部１２に出力する。たとえば、撮像部１３は、ＣＣＤ（Charge Coupled Device）などから構成されるカメラを備える。
【００３０】
なお、クライアント装置１０は、撮像部１３以外の機器を備えるものであってもよい。
たとえば、クライアント装置１０は、種々のセンサ、照明、空調、スピーカ又はマイクなどを備えるものであってもよい。
【００３１】
また、クライアント装置１０は、ディスクトップＰＣ、ノートＰＣ、タブレットＰＣ、スマートフォン又はウェアラブル端末などであってもよい。  
クライアント装置１０の構成は、特定の構成に限定されるものではない。
【００３２】
図２が示すように、サーバ装置２０は、ネットワーク通信部２１と、サーバ制御部２２と、撮像データ記憶部２３とを備える。サーバ制御部２２と、ネットワーク通信部２１及び撮像データ記憶部２３とは、互いに通信可能に接続する。なお、サーバ装置２０は、図２が示すような構成の他に必要に応じた構成を具備したり、サーバ装置２０から特定の構成が除外されたりしてもよい。
【００３３】
ネットワーク通信部２１は、サーバ側通信制御装置４０とデータを送受信するためのインターフェースである。ネットワーク通信部２１は、サーバ側通信制御装置４０に接続される。ネットワーク通信部２１は、サーバ装置２０からクライアント装置１０に対して送信されるデータをサーバ側通信制御装置４０に出力する。また、ネットワーク通信部２１は、サーバ側通信制御装置４０からのデータをサーバ制御部２２へ出力する。たとえば、ネットワーク通信部２１は、ＬＡＮ接続をサポートする。
【００３４】
サーバ制御部２２は、サーバ装置２０を統括的に制御する。たとえば、サーバ制御部２２は、クライアント装置１０により撮像された撮像データを、撮像データ記憶部２３に記憶させる。サーバ制御部２２は、プロセッサなどから構成される。たとえば、サーバ制御部２２は、プロセッサ及びメモリなどから構成されてもよい。
【００３５】
撮像データ記憶部２３は、サーバ制御部２２の指示に従い、撮像データを記憶する。撮像データ記憶部２３は、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）、又はフラッシュメモリなどから構成される。
【００３６】
次に、クライアント側通信制御装置３０について説明する。  
図３は、クライアント側通信制御装置３０の構成例を示すブロック図である。
【００３７】
図３に示すように、クライアント側通信制御装置３０は、ネットワーク通信部３１（第２の通信部）と、プロセッサ３２と、装置通信部３３（第１の通信部）と、メモリ３４とを備える。プロセッサ３２と、ネットワーク通信部３１及び装置通信部３３とは、互いに通信可能に接続する。なお、クライアント側通信制御装置３０は、図３が示すような構成の他に必要に応じた構成を具備したり、クライアント側通信制御装置３０から特定の構成が除外されたりしてもよい。
【００３８】
ネットワーク通信部３１は、ネットワークＮＷとデータを送受信するためのインターフェースである。ネットワーク通信部３１は、ネットワークＮＷに接続される。ネットワーク通信部３１は、ネットワークＮＷを介して、他のクライアント側通信制御装置３０及びサーバ側通信制御装置４０と通信を行う。即ち、ネットワーク通信部３１は、プロセッサ３２からサーバ装置２０に対して送信されるデータをネットワークＮＷに出力する。また、ネットワーク通信部３１は、ネットワークＮＷからのデータをプロセッサ３２へ出力する。たとえば、ネットワーク通信部３１は、ＬＡＮ接続をサポートする。
【００３９】
プロセッサ３２は、クライアント側通信制御装置３０を統括的に制御する。プロセッサ３２は、ネットワーク通信部３１及び装置通信部３３を用いて、クライアント装置１０とネットワークＮＷとの間の通信を仲介する。即ち、プロセッサ３２は、装置通信部３３を通じてクライアント装置１０から受信したデータを、ネットワーク通信部３１を通じてネットワークＮＷへ送信する。また、プロセッサ３２は、ネットワーク通信部３１を通じて受信したデータを、装置通信部３３を通じてクライアント装置１０へ送信する。
【００４０】
たとえば、プロセッサ３２は、メモリ３４などに格納される制御プログラムを実行する。また、プロセッサ３２は、ＡＳＩＣ（application specific integrated circuit）又はＦＰＧＡ（field-programmable gate array）などから構成されてもよい。
【００４１】
装置通信部３３は、クライアント装置１０とデータを送受信するためのインターフェースである。装置通信部３３は、クライアント装置１０に接続され、クライアント装置１０と通信を行う。即ち、装置通信部３３は、プロセッサ３２からのデータをクライアント装置１０に出力する。また、装置通信部３３は、クライアント装置１０からのデータをプロセッサ３２へ出力する。たとえば、装置通信部３３は、ＬＡＮ接続をサポートする。
【００４２】
メモリ３４は、種々のデータを格納する。たとえば、メモリ３４は、ＲＯＭ、ＲＡＭ及びＮＶＭとして機能する。  
たとえば、メモリ３４は、制御プログラム及び制御データなどを記憶する。制御プログラム及び制御データは、クライアント側通信制御装置３０の仕様に応じて予め組み込まれる。たとえば、制御プログラムは、クライアント側通信制御装置３０で実現する機能をサポートするプログラムなどである。
【００４３】
また、メモリ３４は、プロセッサ３２の処理中のデータなどを一時的に格納する。また、メモリ３４は、アプリケーションプログラムの実行に必要なデータ及びアプリケーションプログラムの実行結果などを格納してもよい。
【００４４】
メモリ３４は、ネットワークＮＷへデータを転送することが許可される通信を示すホワイトリストを予め格納する。たとえば、ホワイトリストは、宛先、宛先のポート、送信元のポート、プロトコル又はそれらの組合せなどから構成される。また、ホワイトリストは、通信が許可される期間などを示すものであってもよい。
【００４５】
また、メモリ３４は、攻撃を特定するための攻撃毎の辞書情報を含む攻撃リストを格納する。たとえば、通信制御管理装置５０は、攻撃リストをクライアント側通信制御装置３０へ送信する。ネットワーク通信部３１は、通信制御管理装置５０等から送信される攻撃リストを受信する。プロセッサ３２は、通信制御管理装置５０等から送信される攻撃リストをメモリ３４に格納する。たとえば、攻撃リストに含まれる辞書情報は、攻撃（攻撃手法又はウイルスなど）の特徴などを示す情報である。また、辞書情報は、学習によって構築されたＡＩモデルなどであってもよい。
【００４６】
次に、クライアント側通信制御装置３０が実現する機能について説明する。クライアント側通信制御装置３０が実現する機能は、プロセッサ３２によって実現される。
【００４７】
まず、プロセッサ３２は、クライアント装置１０からのデータに基づいてクライアント装置１０が攻撃されているかを判定する機能を有する。
【００４８】
クライアント装置１０は、攻撃者からの攻撃によって不正な動作を行うことがある。たとえば、クライアント装置１０は、攻撃者の所持する装置（パソコン又はメモリなど）を接続され、装置から不正なコマンド又はウイルスなどを入力される。クライアント装置１０は、不正なコマンド又はウイルス感染などによって不正な動作を行う。また、クライアント装置１０は、ネットワークＮＷからのデータによってウイルスなどに感染することもある。
【００４９】
プロセッサ３２は、クライアント装置１０からのデータをネットワークＮＷに中継する際に、クライアント装置１０からのデータに基づいてクライアント装置１０が攻撃されているかを判定する。
【００５０】
プロセッサ３２は、クライアント装置１０からのデータを受信すると、メモリ３４が格納するホワイトリストを参照してクライアント装置１０が攻撃されているかを判定する。
即ち、プロセッサ３２は、クライアント装置１０からのデータが、ホワイトリストが示す通信以外の通信によって送信される場合、クライアント装置１０が攻撃されていると判定する。
【００５１】
なお、プロセッサ３２は、人工知能によって攻撃されているかを判定してもよい。たとえば、プロセッサ３２は、判定用のＡＩモデルを予め格納し、クライアント装置１０からのデータとモデルとをマッチングさせて攻撃されているかを判定してもよい。
【００５２】
クライアント装置１０が攻撃されているかを判定する方法は、特定の方法に限定されるものではない。
【００５３】
また、プロセッサ３２は、クライアント装置１０が攻撃されていると判定すると、ネットワークＮＷとの通信を遮断する機能を有する。
【００５４】
即ち、プロセッサ３２は、クライアント装置１０からのデータをネットワークＮＷへ転送しない。また、プロセッサ３２は、ネットワークＮＷからのデータをクライアント装置１０へ転送しない。
【００５５】
また、プロセッサ３２は、クライアント装置１０とデータを送受信することで、クライアント装置１０への攻撃に関する情報（攻撃情報）を取得する機能を有する。  
攻撃情報は、攻撃に用いられる攻撃機器固有情報又は通信日時情報などを含む。
【００５６】
プロセッサ３２は、ネットワークＮＷへの通信を遮断した後も、クライアント装置１０との通信を維持する。プロセッサ３２は、クライアント装置１０との通信によって種々のデータをクライアント装置１０から取得する。
【００５７】
たとえば、プロセッサ３２は、所定の情報を取得するためのコマンド（情報取得コマンド）を送信する。情報取得コマンドは、クライアント装置１０の状態などを取得する。たとえば、情報取得コマンドは、クライアント装置１０の型番又はバージョンなど、クライアント装置１０自体に関する情報を取得する。また、情報取得コマンドは、クライアント装置１０で動作しているアプリケーション、プロセッサなどの使用率若しくは温度、又は、メモリの使用率など、クライアント装置１０の動作に関する情報を取得してもよい。また、情報取得コマンドは、クライアント装置１０に接続する機器を示す情報（攻撃機器固有情報）を取得するものであってもよい。たとえば、情報取得コマンドは、攻撃者がクライアント装置１０に接続した情報処理装置を示す情報を取得する。
なお、情報取得コマンドが取得する情報は、特定の構成に限定されるものではない。
【００５８】
プロセッサ３２は、情報取得コマンドによって得られた情報を攻撃情報として取得する。なお、プロセッサ３２は、複数の情報取得コマンドをクライアント装置１０に送信してもよい。
【００５９】
また、プロセッサ３２は、攻撃情報を取得するためのセキュリティ上のハニーポットを構築する。たとえば、プロセッサ３２は、ハニーポットとして、仮想のプラットフォーム上にシステムを構築する。つまり、ハニーポットは、脆弱性が判明しているＯＳやアプリケーションをそのまま使用したり、それらのＯＳをエミュレートした構成を具現化したプログラムを実行して構築することができる。なお、これらのいわゆる高対話型、低対話型に限らず、製品化する時点で知られている様々なタイプのハニーポットを用いることができる。
【００６０】
プロセッサ３２は、ハニーポットを通じてクライアント装置１０に対してダミーデータを送信する。たとえば、プロセッサ３２は、ネットワークＮＷとの通信が継続しているかのように偽装するダミーデータをクライアント装置１０に送信する。
【００６１】
プロセッサ３２は、予め設定されたダミーデータをクライアント装置１０に送信してもよい。また、プロセッサ３２は、人工知能を用いてダミーデータを送信してもよい。たとえば、プロセッサ３２は、所定のＡＩモデルを用いてダミーデータの内容及び順序などを決定してもよい。
【００６２】
プロセッサ３２は、クライアント装置１０にデータを送信した後に、クライアント装置１０の挙動（たとえば、クライアント装置１０から送信されるデータなど）を取得する。
プロセッサ３２は、クライアント装置１０の挙動を示す情報を攻撃情報として取得する。
たとえば、プロセッサ３２は、クライアント装置１０からのデータの内容又は通信日時などを攻撃情報として取得する。
【００６３】
なお、プロセッサ３２は、クライアント装置１０の挙動によってＡＩモデルを更新してもよい。
【００６４】
プロセッサ３２は、情報取得コマンド及びハニーポットの両者を用いて攻撃情報を取得してもよいし、一方を用いて攻撃情報を取得してもよい。また、プロセッサ３２は、他の手法を用いて攻撃情報を取得してもよい。プロセッサ３２が攻撃情報を取得する方法は、特定の構成に限定されるものではない。
【００６５】
また、プロセッサ３２は、攻撃情報に基づいて攻撃を特定する機能を有する。即ち、プロセッサ３２は、攻撃情報に基づいて、クライアント装置１０に対する攻撃の攻撃手法又はクライアント装置１０に感染しているウイルスなどを特定する。
【００６６】
プロセッサ３２は、攻撃情報とメモリ３４が格納する攻撃リストに含まれる各辞書情報とをマッチングさせる。プロセッサ３２は、マッチングの結果に基づいて、攻撃を特定する。プロセッサ３２は、特定された攻撃を示す情報を外部装置に送信してもよい。また、プロセッサ３２は、特定された攻撃を示す情報をメモリ３４などに格納してもよい。
【００６７】
なお、プロセッサ３２は、攻撃を特定できなかった場合には、当該攻撃を特定するための新たな辞書情報を攻撃リストへ格納してもよい。即ち、プロセッサ３２は、攻撃が特定されなかった攻撃情報に基づいて、クライアント装置１０に対する攻撃の新たな辞書情報を生成し、新たな辞書情報を攻撃リストへ登録する。また、プロセッサ３２は、攻撃を特定できた場合でも、攻撃が特定された攻撃情報に基づいて、新たな辞書情報を生成し、新たな辞書情報を攻撃リストへ登録するようにしてもよい。このようにして、プロセッサ３２は、攻撃情報の取得に応じて、通信制御管理装置５０から送信された攻撃リストへ辞書情報を追加登録し、攻撃リストを更新する。ネットワーク通信部３１は、更新される攻撃リストを通信制御管理装置５０へ送信する。通信制御管理装置５０は、各クライアント側通信制御装置３０へ新たな攻撃リストを配信することができる。
【００６８】
また、プロセッサ３２は、攻撃を特定できなかった場合には、当該攻撃に関する攻撃情報を通信制御管理装置５０に送信してもよい。通信制御管理装置５０は、攻撃情報に含まれる攻撃機器固有情報及び通信日時情報等から攻撃の傾向等を分析することができる。
【００６９】
また、プロセッサ３２は、攻撃を受けたクライアント装置１０を停止させる機能を有する。  
たとえば、プロセッサ３２は、クライアント装置１０に対してシャットダウンさせるコマンドを送信する。
【００７０】
また、プロセッサ３２は、クライアント装置１０に対する電力供給を停止させてもよい。たとえば、クライアント側通信制御装置３０がＰｏＥ（Power of Ethernet（登録商標））でクライアント装置１０へ電力を供給している場合、プロセッサ３２は、ＰｏＥでの電力供給を停止させる。
【００７１】
また、プロセッサ３２は、クライアント装置１０へ電力を供給している電源部などに対してクライアント装置１０への電力供給を停止させるコマンドを送信してもよい。
【００７２】
プロセッサ３２がクライアント装置１０を停止させる方法は、特定の方法に限定されるものではない。
【００７３】
次に、クライアント側通信制御装置３０の動作例について説明する。図４は、クライアント側通信制御装置３０の動作例について説明するためのフローチャートである。
【００７４】
まず、クライアント側通信制御装置３０のプロセッサ３２は、クライアント装置１０からデータを受信する（Ｓ１１）。データを受信すると、プロセッサ３２は、データに基づいて、クライアント装置１０が攻撃されているかを判定する（Ｓ１２）。
【００７５】
クライアント装置１０が攻撃されていると判定すると（Ｓ１２、ＹＥＳ）、プロセッサ３２は、ネットワークＮＷとの通信を遮断する（Ｓ１３）。ネットワークＮＷとの通信を遮断すると、プロセッサ３２は、クライアント装置１０から攻撃情報を取得する（Ｓ１４）。
【００７６】
攻撃情報の取得に成功すると（Ｓ１５、ＹＥＳ）、プロセッサ３２は、攻撃情報と攻撃リストに含まれる辞書情報とをマッチングする（Ｓ１６）。攻撃情報と辞書情報とをマッチングすると、プロセッサ３２は、攻撃を特定できたか判定する（Ｓ１７）。
【００７７】
攻撃を特定できないと判定すると（Ｓ１７、ＮＯ）、プロセッサ３２は、攻撃情報に基づいて、新たに辞書情報を生成し、新たな辞書情報を攻撃リストへ登録する（Ｓ１８）。
攻撃を特定できたと判定した場合（Ｓ１７、ＹＥＳ）、又は、新たな辞書情報を攻撃リストへ登録した場合（Ｓ１８）、プロセッサ３２は、クライアント装置１０を停止させる（Ｓ１９）。
【００７８】
クライアント装置１０が攻撃されていないと判定すると（Ｓ１２、ＮＯ）、プロセッサ３２は、通常の動作を行う（Ｓ２０）。即ち、プロセッサ３２は、クライアント装置１０からのデータをネットワークＮＷへ転送する。
【００７９】
クライアント装置１０を停止させた場合（Ｓ１９）、又は、通常の動作を行った場合（Ｓ２０）、プロセッサ３２は、動作を終了する。
【００８０】
なお、プロセッサ３２は、攻撃情報を取得した後にクライアント装置１０を停止させてもよい。
【００８１】
また、通信制御システム１は、各クライアント側通信制御装置３０で更新された攻撃リストを共有することにより対攻撃性能の向上を図ることができる。上記したように、通信制御管理装置５０は、各クライアント側通信制御装置３０から送信される攻撃リストを分析して新たな攻撃リストを生成し、新たな攻撃リストを各クライアント側通信制御装置３０へ配信する。クライアント側通信制御装置３０は、他のクライアント側通信制御装置３０が受けた攻撃の分析結果を利用して生成された新たな攻撃リストを参照し、攻撃を特定しクライアント装置１０を停止させるなどの対応を取ることができる。
【００８２】
また、サーバ側通信制御装置４０は、クライアント側通信制御装置３０の機能を有するものであってもよい。この場合、サーバ側通信制御装置４０は、サーバ装置２０に対してクライアント側通信制御装置３０の動作と同様の動作を行う。
【００８３】
また、クライアント側通信制御装置３０は、複数のクライアント装置１０とネットワークＮＷとの間の通信を仲介してもよい。この場合、クライアント側通信制御装置３０は、各クライアント装置１０に対して同様の動作を行う。
【００８４】
以上のように構成されたクライアント側通信制御装置は、クライアント装置が攻撃されていると判定すると、ネットワークとの通信を遮断する。その結果、クライアント側通信制御装置は、クライアント装置が不正にデータを外部に送信することを防止することができる。
【００８５】
また、クライアント側通信制御装置は、ネットワークとの通信を遮断するが、クライアント装置との通信を維持する。クライアント側通信制御装置は、維持している通信を用いてクライアント装置から種々のデータを取得する。その結果、クライアント側通信制御装置は、不正なデータ通信を遮断しつつ、攻撃に関する攻撃情報を取得することができる。
【００８６】
本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。
【図１】
2020054818.tif 000003
【図２】
2020054818.tif 000004
【図３】
2020054818.tif 000005
【図４】
2020054818.tif 000006
【国際調査報告】
2020054818.tif 000007
2020054818.tif 000008
2020054818.tif 000009
2020054818.tif 000010