JP6921776B2 - インシデント検知システムおよびその方法 - Google Patents

Description

本発明は、インシデント検知システムおよびその方法に関する。

電力、鉄道、水道、ガスといった社会インフラや自動車で利用される制御システムは、センサの情報をもとにバルブやアクチュエータといった装置を動作させ、あらかじめ設定されている圧力や温度を保つことが要求される。この動作を実現するためには、コントローラ等の組込み装置において、定期的にセンサからの情報を取得し、状態を確認し、他のコントローラやサーバ等に通知し、必要に応じて制御を行うことが必要となる。このため、制御システムでは周期的な通信が発生し、その通信データをもとに処理を行うことが通例である。

一方、制御システムはこれまで専用ＯＳ（Operating System）や専用プロトコルを利用しており、インターネット等の外部ネットワークからアクセスできない領域に孤立した状態で設置されているため、いわゆるコンピュータウィルスやＤｏＳ（Denial of Service）攻撃といったサイバー攻撃からは無縁であると考えられてきた。しかしながら、コスト削減のために汎用ＯＳや汎用プロトコルを利用するケースが増加しており、効率向上のために情報系システムとの接続も進んできている。

また、近年では、制御システムをターゲットとしたコンピュータウィルスが発見されており、制御システムにおいても情報システムと同様にマルウェア等の感染や外部からの不正アクセスといったセキュリティインシデントを検知する技術が必要となっている。システム内のセキュリティインシデントを正しく検知するためには、ネットワーク等を監視するセキュリティセンサ以外に、各機器のログ等を活用して網羅的な検知を行う必要がある。

このような課題に対し、ネットワーク等を監視するセキュリティセンサに加えて各制御機器が取り扱うデータも活用し、両者のデータの関係性を分析することでセキュリティインシデントを検知する技術が知られている（たとえば、特許文献１参照）。

特開２０１４−１７９０７４号公報

制御システムは、各機器のＣＰＵ（Central Processing Unit）負荷やネットワークの使用帯域が予めシステム構築時に定められており、その設定値から外れてしまうと制御システムの業務に影響がでてしまう可能性がある。しかしながら、従来技術では、機器側の動作ログを継続的に収集するため、ログの量が増大し、機器の負荷やネットワーク負荷が高まってしまい、制御システムの業務に影響が出てしまう可能性があった。

本発明の目的は、インシデントの発生時に複数の制御装置のうち特定の制御装置からログを収集し、収集したログを分析して管理することにある。

前記課題を解決するために、本発明は、ネットワークに接続されて、制御対象に関連するログを収集して管理する複数の制御装置と、前記ネットワークで発生したインシデントを検知して、インシデント情報を生成するインシデント検知装置と、前記ネットワークを監視して、前記複数の制御装置の各々及び前記インシデント検知装置と情報の送受信を行う監視装置と、を備え、前記監視装置は、前記インシデント検知装置から前記インシデント情報を受信した場合、受信した前記インシデント情報を基に前記ログに関する収集対象機器と収集項目を選択する選択部と、前記選択部で選択した前記収集対象機器となる特定の制御装置に対するコマンドであって、前記選択部で選択した前記収集項目を含む収集コマンドを前記ネットワークを介して前記特定の制御装置に送信し、前記特定の制御装置から、前記収集コマンドに従った指定のログを前記ネットワークを介して収集するログ収集部と、を含み、前記各制御装置は、前記監視装置から前記収集コマンドを受信した場合、受信した前記収集コマンドに従った前記指定のログを前記ネットワークを介して前記監視装置に送信するログ管理部を含み、前記監視装置は、少なくとも前記ログ収集部の収集による前記指定のログと異常判定基準とを比較して、前記指定のログの異常の有無を判定する異常判定部と、前記異常判定部の判定結果による情報を出力する出力部と、を更に含むことを特徴とする。

本発明によれば、インシデントの発生時に複数の制御装置のうち特定の制御装置からログを収集し、収集したログを分析して管理することができ、結果として、制御装置やネットワークへの影響を最小化しつつ、制御装置の状態を考慮したシステム全体でのセキュリティインシデントの検知を行うことが可能となる。

本発明の第一の実施形態が適用された制御システム向けインシデント検知システムの構成を例示する構成図である。 本発明の第一の実施形態における制御装置、監視装置、及びインシデント検知装置のハードウェア構成を例示する構成図である。 本発明の第一の実施形態が適用された制御システム向けインシデント検知システムにおいて、インシデント検知後に各機器からログを収集し、異常分析を行う処理フローを例示するフローチャートである。 本発明の第一の実施形態が適用された制御システム向けインシデント検知システムにおいて、監視装置で実施する収集対象機器や収集対象項目を選択する処理フローを例示するフローチャートである。 本発明の第一の実施形態が適用された制御システム向けインシデント検知システムにおいて、監視装置が出力する異常機器情報出力画面を例示する構成図である。 本発明の第一の実施形態が適用された制御システム向けインシデント検知システムにおいて、各制御装置のログ格納部に格納されるログの構成を例示する構成図である。 本発明の第一の実施形態が適用された制御システム向けインシデント検知システムにおいて、監視装置から各制御装置に送信する収集コマンドの構成を例示する構成図である。 本発明の第一の実施形態が適用された制御システム向けインシデント検知システムにおいて、監視装置のインシデント情報格納部に格納されるインシデント情報の構成を例示する構成図である。 本発明の第一の実施形態が適用された制御システム向けインシデント検知システムにおいて、監視装置の攻撃パターン格納部に格納される攻撃パターンの構成を例示する構成図である。 本発明の第一の実施形態が適用された制御システム向けインシデント検知システムにおいて、監視装置の機器一覧格納部に格納される機器一覧の構成を例示する構成図である。 本発明の第一の実施形態が適用された制御システム向けインシデント検知システムにおいて、監視装置の収集項目格納部に格納される収集項目の構成を例示する構成図である。 本発明の第一の実施形態が適用された制御システム向けインシデント検知システムにおいて、監視装置の異常判定基準格納部に格納される異常判定基準の構成を例示する構成図である。 本発明の第二の実施形態が適用された制御システム向けインシデント検知システムの構成を例示する構成図である。 本発明の第二の実施形態が適用された制御システム向けインシデント検知システムにおいて、各制御装置からログを収集する際の処理フローを例示するフローチャートである。 本発明の第二の実施形態が適用された制御システム向けインシデント検知システムにおいて、インシデント検知後にログ収集サーバからログを収集する処理フローを例示するフローチャートである。

本発明の一実施形態について説明する。なお、これにより本発明が限定されるものではない。

本実施形態は、インシデント検知装置（セキュリティセンサ）においてネットワーク上でインシデント（セキュリティインシデント）を検知した際に、監視装置が、発生したインシデントの状態に応じてログを収集する機器（制御装置）を選択し、選択した機器からログを収集して分析し、分析結果を出力するインシデント検知システムを提供するものである。

具体的には、インシデントの状態が未遂（失敗）か既遂（成功）かによって、インシデントの影響を受ける機器の範囲を推定し、影響が想定される機器からのみインシデントの内容に応じたログを収集し、収集したログを基に機器が異常状態であるか判別し、判別結果として異常機器の情報を出力する。

より具体的には、監視装置において、インシデント検知システム内で発生したインシデント情報を収集して分析し、インシデントが未遂の場合には、当該発生領域（ゾーン）に含まれる機器からログを収集し、インシデントが既遂の場合には、その結果、将来的に侵入・感染等の悪影響を受ける領域（ゾーン）に含まれる機器からログを収集する。ログ収集時には発生したインシデントの種別（ログカテゴリ）に基づきログを収集する。その後、収集したログが異常判定基準に合致するか否か検証し、合致した場合にはインシデント検知システム内の異常機器の情報をその判定理由（根拠）と共に表示する。

図１は、本発明の第一の実施形態が適用された制御システム向けインシデント検知システムの構成図である。

本実施形態の制御システム向けインシデント検知システムは、図１に例示するように、制御装置１０_１〜１０_ｎと、監視装置２０と、インシデント検知装置３０と、ネットワーク４０と、から構成されている。

制御装置１０_１〜１０_ｎは、制御対象に関する制御処理を行う制御処理部１０１_１〜１０１_ｎと、制御装置内に格納されているログを抽出するログ抽出部１０２_１〜１０２_ｎと、制御装置で収集したログを格納するログ格納部１０３_１〜１０３_ｎと、ネットワーク４０と通信を行う通信部１０４_１〜１０４_ｎと、を含む。この際、制御装置１０_１〜１０_ｎは、ネットワーク４０に接続されて、制御対象に関連するログを収集して管理する。

監視装置２０は、他の装置、例えば、インシデント検知装置３０等からインシデント検知システム内で発生したインシデント情報を取得するインシデント情報取得部２０１と、ログを収集する機器（制御装置）を選択する機器選択部２０２と、選択した機器から収集するログの項目を選択する収集項目選択部２０３と、選択した機器からログを収集するログ収集部２０４と、収集したログから異常の有無を判定する異常判定部２０５と、ネットワーク４０と通信を行う通信部２０６と、入力装置（キーボード等）からの情報を入力すると共に、異常判定部２０５で生成した判定結果を出力する入出力部２０７と、インシデント情報取得部２０１で取得したインシデント情報を格納するインシデント情報格納部２０８と、機器選択部２０２の機器の選択時に利用されることが想定される攻撃のパターンを格納する攻撃パターン格納部２０９と、インシデント検知システム内に設置されている機器の一覧を格納する機器一覧格納部２１０と、収集項目選択部２０３で利用するインシデントの種類毎に収集すべきログの項目を格納する収集項目格納部２１１と、異常判定部２０５で利用される判定基準であって、収集したログの中の異常有無の判定基準を格納する異常判定基準格納部２１２と、を含む。

インシデント検知装置３０は、ネットワーク４０と通信を行う通信部３０１と、ネットワーク４０を監視し、ネットワーク４０でインシデントの発生を検知するインシデント検知部３０２と、インシデント検知部３０２で検知した結果をインシデント情報として格納するインシデント情報格納部３０３と、を含む。この際、インシデント検知部３０２は、例えば、ネットワーク４０で不正なパケットが流れたことを、インシデントの発生として検知するセキュリティセンサとして構成される。また、インシデント検知装置３０は、制御システム向けインシデント検知システム内に複数台配置されることがある。

図２は、制御装置１０_１〜１０_ｎ、監視装置２０、インシデント検知装置３０のハードウェア構成を例示する構成図である。制御装置１０_１〜１０_ｎ、監視装置２０、インシデント検知装置３０は、通信装置１１と、入出力装置１２と、記憶装置１３と、ＣＰＵ１４と、メモリ１５と、がバスなどの内部通信線１６で連結され、構成されている。

本実施形態の制御システム向けインシデント検知システムにおける処理フローについて説明する。以下に述べる処理フローは、制御装置１０_１〜１０_ｎや監視装置２０やインシデント検知装置３０の記憶装置１３に格納されたプログラムがメモリ１５にロードされ、ＣＰＵ１４により実行されることにより、制御システム向けインシデント検知システムを構成する装置上に具現化される各処理部により実行されるものである。また、各プログラムは予め記憶装置１３に格納されても良いし、他の記憶媒体または通信媒体（ネットワークまたはネットワークを伝搬する搬送波）を介して、必要なときに導入されても良い。

図３は、本発明の第一の実施形態が適用された制御システム向けインシデント検知システムにおいて、インシデント検知後に各機器からログを収集し、異常分析を行う処理フローを示した図である。

はじめに、監視装置２０は、インシデント検知装置３０からインシデント情報を収集し、収集したインシデント情報（図８のインシデント情報Ａ８０１）をインシデント情報格納部２０８に格納する（Ｓ３０１（Ｓ３０１と表現する。以下同様））。ここで、インシデント情報の収集方法は、ネットワーク４０経由で収集しても良いし、ＵＳＢ（Universal Serial Bus）メモリ等のリムーバブルデバイスで収集しても良い。

次に、監視装置２０は、収集したインシデント情報を用いて、収集対象を選択するに際して、ログの収集対象機器、ログの収集対象項目を選択する（Ｓ３０２）。なお、収集対象選択の詳細については以降の図４に記載する。

次に、監視装置２０は、選択した機器（ログの収集対象機器）に対して、選択した収集項目（図７のログカテゴリＡ７０３、収集条件Ａ７０６を含む）が記載された収集コマンドＡ３０１を送信する。なお、ここでは、ログの収集対象機器として、例えば、制御装置１０_ｎが、収集コマンドＡ３０１で特定された特定の制御装置として選択されたと仮定する。なお、選択した機器が多数存在した場合には、攻撃を受ける可能性が高い機器として、重要な業務を行っている機器や最もＩＰ（Internet Protocol）アドレスが小さいものから収集するなどの優先順位付けを行っても良い。

次に、制御装置１０_ｎは、受信した収集コマンドＡ３０１を基に、ログ格納部１０３_ｎからログ（図６のログＡ６０１であって、収集コマンドＡ３０１で指定された指定のログ）を抽出する（Ｓ３０３）。次に、制御装置１０_ｎは、抽出したログＡ３０２を監視装置２０に送信する。

次に、監視装置２０は、制御装置１０_ｎから受信したログＡ３０２を用いて、異常判定を行う（Ｓ３０４）。ここで、異常判定は、Ｓ３０２で抽出した攻撃パターン（図４のＳ４０５で抽出した攻撃パターン）と受信したログＡ３０２（制御装置１０_ｎから受信したログであって、図６のログＡ６０１の情報が記録されたログ）と、異常判定基準格納部２１２に格納されている異常判定基準（図１２の異常判定基準Ａ１２０１）を用いて、ログＡ３０２の内容が異常判定基準に合致するかどうかで判定する。なお、異常判定基準の構成については以降の図１２に詳細に記載する。

次に、監視装置２０は、異常判定の結果から、異常有無があるかどうか検証する（Ｓ３０５）。その結果、異常が無いと判定された場合、監視装置２０は、処理を終了する（Ｓ３０６）。一方、異常があると判定された場合、監視装置２０は、異常判定基準格納部２１２に格納されている異常判定基準（図１２の異常判定基準Ａ１２０１）から、異常と判定された異常ＩＤ（Identification）を基に異常度を抽出する（Ｓ３０７）。次に、監視装置２０は、異常ＩＤを基に、異常条件に合致した項目（収集項目）を収集項目格納部２１１から抽出し、抽出した項目を基に判定理由（図５の判定理由Ａ５１０）を生成する（Ｓ３０８）。次に、監視装置２０は、異常機器に関する情報を画面に出力する（Ｓ３０９）。ここで、画面の出力の例については以降の図５に詳細に記載する。

なお、Ｓ３０２からＳ３０８のステップに関しては新たなインシデント情報が取得される度に実行されても良いし、ある一定間隔で実行されても良いし、インシデント検知システムの管理者等からのリクエストに応じて実行しても良い。また、Ｓ３０２で収集対象が選択されたとしても、インシデント検知システムの状態や業務の実行状況等に応じて、収集コマンドＡ３０１を送信するタイミングを変更しても良い。

図４は、本発明の第一の実施形態が適用された制御システム向けインシデント検知システムにおいて、監視装置２０で実施する収集対象機器（ログの収集対象機器）や収集対象項目（ログの収集対象項目）を選択する処理フローを示した図である。

はじめに、監視装置２０は、収集対象選択処理を開始する（Ｓ４０１）。次に、監視装置２０は、インシデント情報格納部２０８に格納されているインシデント情報（図８のインシデント情報Ａ８０１）を分析し、インシデント情報に含まれるインシデントの発生状況（攻撃内容が既に発生したものか、未遂（失敗）に終わったものかを識別する情報）を取得する（Ｓ４０２）。ここで、インシデント情報の構成については、以降の図８に詳細に記載する。次に、監視装置２０は、取得したインシデントの発生状況が、既遂（成功）か未遂（失敗）かを識別する（Ｓ４０３）。インシデントの発生状況が未遂（失敗）と識別された場合には、監視装置２０は、機器一覧格納部２１０に格納されている機器一覧を用いて、インシデントが発生した領域（発生領域）を推定する（Ｓ４０４）。ここで、機器一覧の構成については、以降の図１０に詳細に記載する。

一方、Ｓ４０３でインシデントの発生状況が既遂（成功）と識別された場合には、監視装置２０は、機器一覧格納部２１０に格納されている機器一覧および攻撃パターン格納部２０９に格納されている攻撃パターンから、発生しているインシデント情報に含まれる攻撃内容（攻撃情報）と合致する攻撃パターンを抽出し、今後、インシデントの影響が及ぶと考えられる領域（ゾーン）や機器（制御装置等）を示す領域（影響領域）を推定する（Ｓ４０５）。ここで、攻撃パターンの構成については以降の図９に詳細に記載する。

次に、監視装置２０は、Ｓ４０４およびＳ４０５で抽出した領域に関する情報を用いて、機器一覧格納部２１０に格納されている機器一覧から、該当する領域に含まれる機器を抽出する（Ｓ４０６）。次に、監視装置２０は、Ｓ４０２で分析したインシデント情報（図８のインシデント情報Ａ８０１）に含まれる攻撃内容（Ａ８０５）と、収集項目格納部２１１に格納されている収集項目（図１１の収集項目Ａ１１０１）を用いて、攻撃内容（Ａ８０５）に合致する収集対象ログ（ログカテゴリＡ１１０３）や収集条件（Ａ１１０４）を抽出する（Ｓ４０７）。ここで、収集項目の構成については、以降の図１１に詳細に記載する。

次に、監視装置２０は、Ｓ４０２で分析したインシデント情報に含まれる発生日時を基に収集日時を選択する（Ｓ４０８）。ここで、収集日時の選択は、インシデント発生日時の前後１日や前後１時間など予め定義された時間幅を選択する。次に、監視装置２０は、処理を終了する（Ｓ４０９）。

図５は、本発明の第一の実施形態が適用された制御システム向けインシデント検知システムにおいて、監視装置２０が出力する異常機器情報出力画面を示した図である。

異常機器情報出力画面Ａ５０１は、入出力部２０７の出力画面であって、システム構成Ａ５０２と、異常機器一覧Ａ５０３から構成される。ここで、システム構成Ａ５０２は、インシデント検知システムに含まれる機器（制御装置Ａ〜Ｄ）の一覧をネットワーク４０との接続状況を含めて記載したものであり、異常が発生している機器（制御装置Ａ、Ｃ）は異常度の度合いによって、表示を切り替え手も良い。例えば、異常度大機器（制御装置Ａ）Ａ５０４と異常度小機器（制御装置Ｃ）Ａ５０５の表示色を、異常度の度合いによって変化させる。また、異常機器一覧Ａ５０３は、インシデントＩＤＡ５０６と、日時Ａ５０７と、機器Ａ５０８と、異常度Ａ５０９と、判定理由Ａ５１０から構成される。ここで、異常機器一覧Ａ５０３に含まれる各インシデント情報は、システム構成Ａ５０２と対応して、異常度の度合いによって、表示を切り替えても良い。例えば、インシデントＩＤ「００１」に属するインシデント情報の表示領域Ａ５１１と、インシデントＩＤ「００２」に属するインシデント情報の表示領域Ａ５１２の表示色を、異常度の度合いによって変化させる。なお、異常機器情報出力画面Ａ５０１の構成要素は上記に限定されるものではなく、少なくとも上記の要素が含まれていればよい。また、異常機器情報出力画面Ａ５０１の構成要素の順序は上記に限定されるものではない。

また、インシデントＩＤ「００１」と「００２」に属するインシデント情報は、日時Ａ５０７、機器Ａ５０８、異常度Ａ５０９、判定理由Ａ５１０を含む。インシデントＩＤ「００１」の日時Ａ５０７には、「２０１７/１２/１５ １２：００：００」が記録され、機器Ａ５０８には、「制御機器Ａ」が記録され、異常度Ａ５０９には、「大」が記録され、判定理由Ａ５１０には、「プロセス起動頻度異常（ログ）」が記録され、インシデントＩＤ「００２」の日時Ａ５０７には、「２０１７/１２/２０ ２０：００：００」が記録され、機器Ａ５０８には、「制御機器Ｃ」が記録され、異常度Ａ５０９には、「小」が記録され、判定理由Ａ５１０には、「プロセス起動タイミング異常（ログ）」が記録される。なお、判定理由Ａ５１０における「プロセス起動頻度異常（ログ）」又は「プロセス起動タイミング異常（ログ）」の「（ログ）」をクリックすることで、図６のログＡ６０１の情報が拡大して表示される。

図６は、本発明の第一の実施形態が適用された制御システム向けインシデント検知システムにおいて、各制御装置１０_１〜１０_ｎのログ格納部１０３_１〜１０３_ｎに格納されるログの構成を例示する構成図である。

ログＡ６０１は、ログの生成日時Ａ６０２と、ログの種類を示すログカテゴリＡ６０３と、ログ内容Ａ６０４から構成される。ここで、ログカテゴリとは、例えば、プロセス起動や外部通信といった各制御装置（制御機器）が動作した内容を識別するものであり、その内容によって、出力先が変化するものである。例えば、ログカテゴリＡ６０３に「プロセス起動」が記録された場合、ログ内容Ａ６０４には、「プロセス名」や「プロセス起動の成功または失敗」の情報が記録される。また、ログ内容Ａ６０４には、インシデントの発生状況が、成功（既遂）か或いは失敗（未遂）かを識別する情報が記録される。なお、ログＡ６０１の構成要素は、上記に限定されるものではなく、少なくとも上記の要素が含まれていればよい。また、ログＡ６０１の構成要素の順序は上記に限定されるものではない。

図７は、本発明の第一の実施形態が適用された制御システム向けインシデント検知システムにおいて、監視装置２０から各制御装置１０_１〜１０_ｎに送信する収集コマンドの構成を例示する構成図である。

収集コマンドＡ７０１は、図４のＳ４０６で抽出した機器のアドレスを示す収集対象機器アドレスＡ７０２と、図４のＳ４０７で抽出した収集項目に属するログカテゴリＡ７０３と、図４のＳ４０８で選択した収集日時に属する収集開始日時Ａ７０４および収集終了日時Ａ７０５と、図４のＳ４０７で抽出した収集項目に属する収集条件Ａ７０６から構成される。収集開始日時Ａ７０４と収集終了日時Ａ７０５に記録された情報は、特定した機器のログを収集する期間を示す。収集条件Ａ７０６は、特定した機器のログの中で収集対象となる条件を示す。ここで、収集条件とは、ログに含まれる特定のキーワードを示し、認証失敗、プロセス起動成功、通信タイムアウトのような情報を示す。なお、収集コマンドＡ７０１の構成要素は、上記に限定されるものではなく、少なくとも上記の要素が含まれていればよい。また、収集コマンドＡ７０１の構成要素の順序は上記に限定されるものではない。

図８は、本発明の第一の実施形態が適用された制御システム向けインシデント検知システムにおいて、監視装置２０のインシデント情報格納部２０８に格納されるインシデント情報の構成を例示する構成図である。

インシデント情報Ａ８０１は、インシデントを識別するインシデントＩＤＡ８０２と、発生日時Ａ８０３と、発生機器Ａ８０４と、攻撃内容Ａ８０５と、発生状況Ａ８０６から構成される。発生日時Ａ８０３には、インシデントが発生した日時に関する情報が記録される。発生機器Ａ８０４には、インシデントの発生を検知された機器の名称（例えば、インシデント検知装置３０の名称）等の情報が記録される。攻撃内容Ａ８０５には、インシデントの内容、例えば、不正のパケットが存在することを示す情報が記録される。発生状況Ａ８０６には、攻撃内容が既に発生したものか、未遂に終わったものかを識別する情報が記録される。例えば、機器に対する不正ログインが発生した場合には「既遂」或いは「成功」の情報が記録され、不正ログインの試行があったものの、失敗した場合には「未遂」或いは「失敗」の情報が記録される。なお、インシデント情報Ａ８０１の構成要素は、上記に限定されるものではなく、少なくとも上記の要素が含まれていればよい。また、インシデント情報Ａ８０１の構成要素の順序は上記に限定されるものではない。

図９は、本発明の第一の実施形態が適用された制御システム向けインシデント検知システムにおいて、監視装置２０の攻撃パターン格納部２０９に格納される攻撃パターンの構成を例示する構成図である。

攻撃パターンＡ９０１は、攻撃パターンを識別する攻撃パターンＩＤＡ９０２と、攻撃パターン情報Ａ９０３から構成される。ここで、攻撃パターン情報Ａ９０３は、攻撃順序Ａ９０４_１〜Ａ９０４_ｎと、インシデント検知システム内の領域を識別する領域ＩＤＡ９０５_１〜Ａ９０５_ｎと、攻撃内容Ａ９０６_１〜Ａ９０６_ｎから構成される。攻撃パターン情報Ａ９０３は、一つの攻撃パターンＩＤに対して一つあれば良いが、複数あっても良い。一つの攻撃パターンＩＤに対して、攻撃パターン情報Ａ９０３が複数存在する場合には、攻撃順序Ａ９０４、領域ＩＤＡ９０５、攻撃内容Ａ９０６が１から順に時系列に従ってｎまで増加し、どの領域（領域ＩＤで特定される領域）でどのような攻撃（攻撃の内容）が順に発生するのか、定義することが可能である。なお、攻撃パターンＡ９０１の構成要素は、上記に限定されるものではなく、少なくとも上記の要素が含まれていればよい。また、攻撃パターンＡ９０１の構成要素の順序は上記に限定されるものではない。

図１０は、本発明の第一の実施形態が適用された制御システム向けインシデント検知システムにおいて、監視装置２０の機器一覧格納部２１０に格納される機器一覧の構成を例示する構成図である。

機器一覧Ａ１００１は、インシデント検知システム内の領域を識別する領域ＩＤＡ１００２と、各機器（各制御装置）を識別する機器ＩＤＡ１００３と、各機器（各制御装置）が保有するＩＰアドレスＡ１００４から構成される。領域ＩＤＡ１００２には、インシデント検知システム内の領域として、例えば、ネットワーク４０を識別する情報が記録される。機器ＩＤＡ１００３には、例えば、各機器（各制御装置）を識別する製造番号に関する情報が記録される。ここで、機器ＩＤＡ１００２として、ＩＰアドレスＡ１００４と同じ情報を利用して良い。なお、機器一覧Ａ１００１の構成要素は、上記に限定されるものではなく、少なくとも上記の要素が含まれていればよい。また、機器一覧Ａ１００１の構成要素の順序は上記に限定されるものではない。

図１１は、本発明の第一の実施形態が適用された制御システム向けインシデント検知システムにおいて、監視装置２０の収集項目格納部２１１に格納される収集項目の構成を例示する構成図である。

収集項目Ａ１１０１は、攻撃パターンを識別する攻撃パターンＩＤＡ１１０２と、ログの種類を示すログカテゴリＡ１１０３と、ログに含まれる特定のキーワード等を示す収集条件Ａ１１０４から構成される。ログカテゴリＡ１１０３の内容は、図７の収集コマンドＡ７０１に属するログカテゴリＡ７０３と同様である。収集条件Ａ１１０４の内容は、図７の収集コマンドＡ７０１に属する収集条件Ａ７０６と同様である。なお、収集項目Ａ１１０１の構成要素は、上記に限定されるものではなく、少なくとも上記の要素が含まれていればよい。また、収集項目Ａ１１０１の構成要素の順序は上記に限定されるものではない。

図１２は、本発明の第一の実施形態が適用された制御システム向けインシデント検知システムにおいて、監視装置２０の異常判定基準格納部２１２に格納される異常判定基準の構成を例示する構成図である。

異常判定基準Ａ１２０１は、異常を識別する異常ＩＤＡ１２０２と、攻撃パターンを識別する攻撃パターンＩＤＡ１２０３と、ログのカテゴリを示すログカテゴリＡ１２０４と、異常の大きさを示す異常度Ａ１２０５と、ログのエントリの数を示すログの数Ａ１２０６と、ログの生成頻度を示すログ頻度Ａ１２０７と、ログの生成タイミングを示すログタイミングＡ１２０８から構成される。なお、異常判定基準Ａ１２０１の構成要素は、上記に限定されるものではなく、少なくとも上記の要素が含まれていればよい。また、異常判定基準Ａ１２０１の構成要素の順序は上記に限定されるものではない。

本実施形態によれば、インシデントの発生時に複数の制御装置のうち特定の制御装置からログを収集し、収集したログを分析して管理することができる。このため、ログの収集時に、特定の制御装置以外の制御装置（機器）やネットワークに掛かる負荷を抑制することができる。また、特定の制御装置においても、収集コマンドで指定された指定のログを送信すればよいので、特定の制御装置に対する負荷も軽減することができる。結果として、制御装置やネットワークへの影響を最小化しつつ、制御装置の状態を考慮したシステム全体でのセキュリティインシデントの検知を行うことが可能となる。

図１３は、本発明の第二の実施形態が適用された制御システム向けインシデント検知システムの構成図である。

本実施形態の制御システム向けインシデント検知システムは、図１３に例示するように、制御装置１０_１〜１０_ｎと、監視装置２０と、インシデント検知装置３０と、ネットワーク４０と、ログ収集サーバ５０から構成されている。

制御装置１０_１〜１０_ｎは、制御対象の制御処理を行う制御処理部１０１_１〜１０１_ｎと、制御装置で収集したログを格納するログ格納部１０３_１〜１０３_ｎと、ネットワーク４０と通信を行う通信部１０４_１〜１０４_ｎと、を含む。なお、ログ抽出部１０２は、構成要素から除外されている。

監視装置２０およびインシデント検知装置３０の構成要素は、図１と同様である。

ログ収集サーバ５０は、ネットワーク４０と通信を行う通信部５０１と、制御装置１０_１〜１０_ｎからログを収集するログ収集部５０２と、監視装置２０からの要求に応じてログを抽出するログ抽出部５０３と、制御装置１０_１〜１０_ｎから収集したログを格納する統合ログ格納部５０４と、を含む。

ここで、ログ収集サーバ５０のハードウェア構成は図２と同様である。
本実施形態の制御システム向けインシデント検知システムにおける処理フローについて説明する。以下に述べる処理フローは、制御装置１０_１〜１０_ｎや監視装置２０やインシデント検知装置３０やログ収集サーバ５０の記憶装置１３に格納されたプログラムがメモリ１５にロードされ、ＣＰＵ１４により実行されることにより、制御システム向けインシデント検知システムを構成する装置上に具現化される各処理部により実行されるものである。また、各プログラムは予め記憶装置１３に格納されても良いし、他の記憶媒体または通信媒体（ネットワークまたはネットワークを伝搬する搬送波）を介して、必要なときに導入されても良い。

図１４は、本発明の第二の実施形態が適用された制御システム向けインシデント検知システムにおいて、各制御装置からログを収集する際の処理フローを示したフローチャートである。

はじめに、制御装置１０_１〜１０_ｎは、通常時の処理として、ログを生成する（Ｓ１４０１_１〜Ｓ１４０１_ｎ）。次に、制御装置１０_１〜１０_ｎは、生成したログＡ１４０１_１〜Ａ１４０１_ｎをログ収集サーバ５０に送信する。

次に、ログ収集サーバ５０は、受信したログを統合ログ格納部５０４に格納する（Ｓ１４０２_１〜Ｓ１４０２_ｎ）。次に、ログ収集サーバ５０は、ログの格納結果を示すレスポンスＡ１４０２_１〜Ａ１４０２_ｎを制御装置１０_１〜１０_ｎに送信する。

図１５は、本発明の第二の実施形態が適用された制御システム向けインシデント検知システムにおいて、インシデント検知後にログ収集サーバからログを収集する処理フローを示したフローチャートである。

はじめに、監視装置２０は、インシデント検知装置３０からインシデント情報を収集し、インシデント情報格納部２０８に格納する（Ｓ１５０１）。ここで、インシデント情報の収集方法は、ネットワーク経由で収集しても良いし、ＵＳＢメモリ等のリムーバブルデバイスで収集しても良い。次に、監視装置２０は、収集したインシデント情報を用いて、収集対象の選択として、ログの収集対象機器、ログの収集対象項目を選択する（Ｓ１５０２）。なお、収集対象選択の詳細については図４に記載した通りである。

次に、監視装置２０は、ログ収集サーバ５０に対して、ログの収集対象機器とログの収集項目が記載された収集コマンドＡ１５０１（収集コマンドＡ３０１と同様の構成の収集コマンド）を送信する。

次に、ログ収集サーバ５０は、受信した収集コマンドＡ１５０１を基に、統合ログ格納部５０４からログを抽出する（Ｓ１５０３）。次に、ログ収集サーバ５０は、抽出したログＡ１５０２（ログＡ３０２と同様の構成のログ）を監視装置２０に送信する。

次に、監視装置２０は、ログ収集サーバ５０から受信したログＡ１５０２を用いて、異常判定を行う（Ｓ１５０４）。ここで、異常判定は、Ｓ１５０２の処理の過程で抽出された攻撃パターン（インシデント情報に含まれる攻撃内容と合致する攻撃パターン）とログ収集サーバ５０から受信したログと、異常判定基準格納部２１２に格納されている異常判定基準（図１２の異常判定基準Ａ１２０１）を用いて、異常判定基準に合致するかどうかで判定する。なお、異常判定基準の構成については図１２に記載したとおりである。

次に、監視装置２０は、異常判定の結果、異常有無があるかどうか検証する（Ｓ１５０５）。その結果、異常が無いと判定された場合、監視装置２０は、処理を終了する（Ｓ１５０６）。一方、異常があると判定された場合、監視装置２０は、異常判定基準格納部２１２に格納されている異常判定基準から、異常と判定された異常ＩＤを基に異常度を抽出する（Ｓ１５０７）。

次に、監視装置２０は、異常ＩＤを基に、異常条件に合致した項目を抽出し、抽出した項目を基に判定理由を生成する（Ｓ１５０８）。次に、監視装置２０は、異常機器に関する情報を画面に出力する（Ｓ１５０９）。ここで、画面の出力の例については図５に記載した通りである。

本実施例形態によれば、第一実施形態と同様の効果を奏することができると共に、通常時に、ログ収集サーバが各制御装置からログを収集し、インシデント発生時には、監視装置がログ収集サーバからログを収集しているので、インシデント発生時に各制御装置に対する負荷をより低減することができる。

なお、本発明は、上記の実施形態に限定されるものではなく、その要旨の範囲内で様々な変形が可能である。

例えば、監視装置内にインシデント検知装置３０の機能が含まれている場合や、ログ収集サーバ５０の機能が含まれている場合や、制御装置１０や監視装置２０やインシデント検知装置３０やログ収集サーバ５０にネットワーク４０との通信機能が含まれておらず、別の装置を経由してネットワーク４０と通信を行う場合などである。該実施形態の場合においてもシステム全体において行う処理に本質的な変化はない。

また、機器選択部２０２と収集項目選択部２０３を一体化した選択部を構成することができる。この際、選択部は、インシデント検知装置３０からインシデント情報を受信した場合、受信したインシデント情報を基にログに関する収集対象機器と収集項目を選択する。この場合、選択部は、受信したインシデント情報に、インシデント状況を示す情報として、攻撃の成功有無の情報が付加されている場合、攻撃の成功有無の情報を基に収集対象機器に属する機器を変更する。これにより、攻撃の成功有無の情報に応じて、ログ収集の対象となる機器を変更することができる。

具体的には、選択部は、受信したインシデント情報に、攻撃の成功を示す情報が付加されている場合、攻撃パターン格納部２０９に格納された攻撃パターンを基に今後インシデントの影響が及ぼされることが想定される領域を予測し、予測した領域に属する機器を収集対象機器に属する機器として選択する。また、選択部は、受信したインシデント情報に、攻撃の失敗を示す情報が付加されている場合、インシデントが発生した機器の周囲の機器又はインシデントが発生したネットワーク４０に属する機器を収集対象機器に属する機器として選択する。また、この場合、ログ収集部２０４は、選択部で選択した収集対象機器となる特定の制御装置に対するコマンドであって、選択部で選択した収集項目を含む収集コマンドＡ３０１をネットワーク４０を介して特定の制御装置に送信し、特定の制御装置から、収集コマンドＡ３０１に従った指定のログをネットワーク４０を介して収集する。

また、各制御装置におけるログ抽出部１０２と、ログ格納部１０３および通信部１０４を一体化してログ管理部として構成することができる。この際、ログ管理部は、監視装置２０から収集コマンドＡ３０１を受信した場合、受信した収集コマンドＡ３０１に従った指定のログをネットワーク４０を介して監視装置２０に送信する。

また、ある実施例の構成の一部を他の実施例の構成に置き換えることが可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加・削除・置換をすることが可能である。

１０_１〜１０_ｎ：制御装置、１１：通信装置、１２：入出力装置、１３：記憶装置、１４：ＣＰＵ、１５：メモリ、１６：内部信号線、１０１_１〜１０１_ｎ：制御処理部、１０２_１〜１０２_ｎ：ログ抽出部、１０３_１〜１０３_ｎ：ログ格納部、１０４_１〜１０４_ｎ：通信部、２０：監視装置、２０１：インシデント情報取得部、２０２：機器選択部、２０３：収集項目選択部、２０４：ログ収集部、２０５：異常判定部、２０６：通信部、２０７：入出力部、２０８：インシデント情報格納部、２０９：攻撃パターン格納部、２１０：機器一覧格納部、２１１：収集項目格納部、２１２：異常判定基準格納部、３０：インシデント検知装置、３０１：通信部、３０２：インシデント検知部、３０３：インシデント情報格納部、４０：ネットワーク、５０：ログ収集サーバ、５０１：通信部、５０２：ログ収集部、５０３：ログ抽出部、５０４：統合ログ格納部、Ａ３０１：収集コマンド、Ａ３０２：ログ、Ａ５０１：異常機器情報出力画面、Ａ５０２：システム構成、Ａ５０３：異常機器一覧、Ａ５０４：異常度大機器、Ａ５０５：異常度小機器、Ａ５０６：インシデントＩＤ、Ａ５０７：日時、Ａ５０８：機器、Ａ５０９：異常度、Ａ５１０：判定理由、Ａ５１１：表示領域、Ａ５１２：表示領域、Ａ６０１：ログ、Ａ６０２：ログ生成日時、Ａ６０３：ログカテゴリ、Ａ６０４：ログ内容、Ａ７０１：収集コマンド、Ａ７０２：収集対象機器アドレス、Ａ７０３：ログカテゴリ、Ａ７０４：収集開始日時、Ａ７０５：収集終了日時、Ａ７０６：収集条件、Ａ８０１：インシデント情報、Ａ８０２：インシデントＩＤ、Ａ８０３：発生日時、Ａ８０４：発生機器、Ａ８０５：攻撃内容、Ａ８０６：発生状況、Ａ９０１：攻撃パターン、Ａ９０２：攻撃パターンＩＤ、Ａ９０３：攻撃パターン情報、Ａ９０４_１〜Ａ９０４_ｎ：攻撃順序、Ａ９０５_１〜Ａ９０５_ｎ：領域ＩＤ、Ａ９０６_１〜Ａ９０６_ｎ：攻撃内容、Ａ１００１：機器一覧、Ａ１００２：領域ＩＤ、Ａ１００３：機器ＩＤ、Ａ１００４：ＩＰアドレス、Ａ１１０１：収集項目、Ａ１１０２：攻撃パターンＩＤ、Ａ１１０３：ログカテゴリ、Ａ１１０４：収集条件、Ａ１２０１：異常判定基準、Ａ１２０２：異常ＩＤ、Ａ１２０３：攻撃パターンＩＤ、Ａ１２０４：ログカテゴリ、Ａ１２０５：異常度、Ａ１２０６：ログの数、Ａ１２０７：ログの頻度、Ａ１２０８：ログのタイミング、Ａ１４０１_１〜Ａ１４０１_ｎ：ログ、Ａ１４０２_１〜Ａ１４０２_ｎ：レスポンス、Ａ１５０１：収集コマンド、Ａ１５０２：ログ

Claims (10)

1. ネットワークに接続されて、制御対象に関連するログを収集して管理する複数の制御装置と、
   前記ネットワークで発生したインシデントを検知して、インシデント情報を生成するインシデント検知装置と、
   前記ネットワークを監視して、前記複数の制御装置の各々及び前記インシデント検知装置と情報の送受信を行う監視装置と、を備え、
   前記監視装置は、
   前記インシデント検知装置から前記インシデント情報を受信した場合、受信した前記インシデント情報を基に前記ログに関する収集対象機器と収集項目を選択する選択部と、
   前記選択部で選択した前記収集対象機器となる特定の制御装置に対するコマンドであって、前記選択部で選択した前記収集項目を含む収集コマンドを前記ネットワークを介して前記特定の制御装置に送信し、前記特定の制御装置から、前記収集コマンドに従った指定のログを前記ネットワークを介して収集するログ収集部と、を含み、
   前記各制御装置は、
   前記監視装置から前記収集コマンドを受信した場合、受信した前記収集コマンドに従った前記指定のログを前記ネットワークを介して前記監視装置に送信するログ管理部を含み、
   前記監視装置は、
   少なくとも前記ログ収集部の収集による前記指定のログと異常判定基準とを比較して、前記指定のログの異常の有無を判定する異常判定部と、
   前記異常判定部の判定結果による情報を出力する出力部と、を更に含み、
   前記選択部は、
   前記受信した前記インシデント情報に、インシデント状況を示す情報として、攻撃の成功有無の情報が付加されている場合、前記攻撃の成功有無の情報を基に前記収集対象機器に属する機器を変更する
   ことを、特徴とするインシデント検知システム。
2. 請求項１に記載のインシデント検知システムであって、
   前記監視装置は、
   攻撃順序と攻撃の発生した領域及び攻撃内容を含む攻撃パターンが時系列で記録された攻撃パターン格納部を更に備え、
   前記選択部は、
   前記受信した前記インシデント情報に、前記攻撃の成功を示す情報が付加されている場合、前記攻撃パターンを基に今後前記インシデントの影響が及ぼされることが想定される領域を予測し、予測した前記領域に属する機器を前記収集対象機器に属する機器として選択する
   ことを、特徴とするインシデント検知システム。
3. 請求項１に記載のインシデント検知システムであって、
   前記選択部は、
   前記受信した前記インシデント情報に、前記攻撃の失敗を示す情報が付加されている場合、前記インシデントが発生した機器の周囲の機器又は前記インシデントが発生した前記ネットワークに属する機器を前記収集対象機器に属する機器として選択する
   ことを、特徴とするインシデント検知システム。
4. 請求項１〜３のうちいずれか１項に記載のインシデント検知システムであって、
   前記出力部は、
   前記異常判定部の判定結果による情報を出力する場合、前記異常判定部で異常と判定した機器を特定する機器情報と、前記異常判定部で異常と判定した異常の度合いを示す異常度の情報と、前記異常判定部で異常と判定した判定理由を示す判定理由の情報と、前記判定理由に関連するログに関する情報を合わせて出力する
   ことを、特徴とするインシデント検知システム。
5. 請求項１〜４のうちいずれか１項に記載のインシデント検知システムであって、
   前記監視装置と情報の送受信を行うと共に前記複数の制御装置から前記ログを収集するログ収集サーバを更に備え、
   前記ログ収集部は、
   前記収集コマンドを、前記特定の制御装置の代わりに、前記ネットワークを介して前記ログ収集サーバに送信し、
   前記ログ収集サーバは、
   前記収集コマンドを受信した場合、受信した前記収集コマンドに従った前記指定のログを前記複数の制御装置から収集した前記ログの中から抽出し、抽出した前記指定のログを前記ネットワークを介して前記監視装置に送信し、
   前記ログ収集部は、
   更に、前記ネットワークを介して前記ログ収集サーバから前記指定のログを収集した場合、収集した前記指定のログを前記異常判定部に出力する、
   ことを、特徴とするインシデント検知システム。
6. ネットワークに接続されて、制御対象に関連するログを収集して管理する複数の制御装置と、
   前記ネットワークで発生したインシデントを検知して、インシデント情報を生成するインシデント検知装置と、
   前記ネットワークを監視して、前記複数の制御装置の各々及び前記インシデント検知装置と情報の送受信を行う監視装置と、を備えたシステムにおけるインシデント検知方法であって、
   前記監視装置が、前記インシデント検知装置から前記インシデント情報を受信した場合、受信した前記インシデント情報を基に前記ログに関する収集対象機器と収集項目を選択する選択ステップと、
   前記監視装置が、前記選択ステップで選択した前記収集対象機器となる特定の制御装置に対するコマンドであって、前記選択ステップで選択した前記収集項目を含む収集コマンドを前記ネットワークを介して前記特定の制御装置に送信し、前記特定の制御装置から、前記収集コマンドに従った指定のログを前記ネットワークを介して収集するログ収集ステップと、
   前記各制御装置が、前記監視装置から前記収集コマンドを受信した場合、受信した前記収集コマンドに従った前記指定のログを前記ネットワークを介して前記監視装置に送信するログ管理ステップと、
   前記監視装置が、少なくとも前記ログ収集ステップでの収集による前記指定のログと異常判定基準とを比較して、前記指定のログの異常の有無を判定する異常判定ステップと、
   前記監視装置が、前記異常判定ステップでの判定結果による情報を出力する出力ステップと、を含み、
   前記選択ステップでは、
   前記受信した前記インシデント情報に、インシデント状況を示す情報として、攻撃の成功有無の情報が付加されている場合、前記攻撃の成功有無の情報を基に前記収集対象機器に属する機器を変更する
   ことを、特徴とするインシデント検知方法。
7. 請求項６に記載のインシデント検知方法であって、
   前記監視装置が、攻撃順序と攻撃の発生した領域及び攻撃内容を含む攻撃パターンを時系列で記録する攻撃パターン格納ステップを、さらに備え、
   前記選択ステップでは、
   前記受信した前記インシデント情報に、前記攻撃の成功を示す情報が付加されている場合、前記攻撃パターン格納ステップで記録された前記攻撃パターンを基に今後前記インシデントの影響が及ぼされることが想定される領域を予測し、予測した前記領域に属する機器を前記収集対象機器に属する機器として選択する
   ことを、特徴とするインシデント検知方法。
8. 請求項６に記載のインシデント検知方法であって、
   前記選択ステップでは、
   前記受信した前記インシデント情報に、前記攻撃の失敗を示す情報が付加されている場合、前記インシデントが発生した機器の周囲の機器又は前記インシデントが発生した前記ネットワークに属する機器を前記収集対象機器に属する機器として選択する
   ことを、特徴とするインシデント検知方法。
9. 請求項６〜８のうちいずれか１項に記載のインシデント検知方法であって、
   前記出力ステップでは、
   前記異常判定ステップでの判定結果による情報を出力する場合、前記異常判定ステップで異常と判定した機器を特定する機器情報と、前記異常判定ステップで異常と判定した異常の度合いを示す異常度の情報と、前記異常判定ステップで異常と判定した判定理由を示す判定理由の情報と、前記判定理由に関連するログに関する情報を合わせて出力する
   ことを、特徴とするインシデント検知方法。
10. 請求項６〜９のうちいずれか１項に記載のインシデント検知方法であって、
    前記監視装置と情報の送受信を行うと共に前記複数の制御装置から前記ログを収集するログ収集サーバを更に備える場合、
    前記ログ収集サーバが、前記収集コマンドを受信した場合、受信した前記収集コマンドに従った前記指定のログを前記複数の制御装置から収集した前記ログの中から抽出し、抽出した前記指定のログを前記ネットワークを介して前記監視装置に送信する送信ステップを更に備え、
    前記ログ収集ステップでは、
    前記監視装置が、前記収集コマンドを、前記特定の制御装置の代わりに、前記ネットワークを介して前記ログ収集サーバに送信し、更に、前記ネットワークを介して前記ログ収集サーバから前記指定のログを収集し、
    前記異常判定ステップでは、
    前記ログ収集ステップで前記ログ収集サーバから収集した前記指定のログと前記異常判定基準とを比較して、前記指定のログの異常の有無を判定する、
    ことを、特徴とするインシデント検知方法。

Images