JP2007074383A - 情報システム - Google Patents

Abstract

【課題】不正アクセスの検知及び対応を迅速且つ確実に行うことが可能な情報システムを提供する。
【解決手段】定常運用時におけるトラフィックの特徴を示した指標情報に基づいて、スイッチ１０から送信されたパケット情報に係るトラフィックが異常か否かを判別し、異常と判別したトラフィックに係るスイッチ１０の通信ポートの転送速度を制御する。
【選択図】図５

Description

本発明は、情報システムに関し、特に、ネットワーク上を流れるトラフィックの監視を行う情報システムに関する。

インターネット等のオープンな情報ネットワークの普及に伴い、悪意ある者による不正侵入やサービス不能攻撃（Dos Attack：Denial Of Service Attack）等の不正アクセスが、セキュリティ上の問題となっている。従来の情報ネットワークにおいては、上記したセキュリティ上の問題に対し、ファイアウォール（Firewall）等のアクセス制御を行うことが可能な装置をネットワーク経路上に設けることで、不正アクセスを防いでいる（例えば、特許文献１参照）。

以下、図１０〜図１２を参照して、従来の情報システム１００のネットワーク構成を説明する。
図１０に示すように、情報システム１００は、内部ネットワークＬＡＮにおいてネットワークセグメントを構成し、各端末２０から送信されるパケットを転送するスイッチ１０ａ、１０ｂ及び１０ｃと、内部ネットワークＬＡＮと外部ネットワークＷＡＮとの間におけるパケットの送受信を制御（アクセスコントロール）するファイアウォールＦＷ、内部ネットワークＬＡＮ、外部ネットワークＷＡＮ間のパケット転送を中継するルータ３０から構成されており、内部ネットワークＬＡＮ及び外部ネットワークＷＡＮは、ネットワークＮを介して相互に通信可能に接続されている。なお、スイッチ内に示された矩形は当該スイッチが有する物理的な通信ポートを意味しており、矩形内の数値は各ポートを識別するための識別番号を意味している。

図１１は、情報システム１００のファイアウォールＦＷにより不正アクセスの検知が行われる際の動作を示したフローチャートである。
ファイアウォールＦＷは、外部ネットワークＷＡＮから送信されたパケットを受信すると（ステップＳ６１）、内部ネットワークＬＡＮ−外部ネットワークＷＡＮ間におけるセキュリティポリシーが予め規定されたアクセスコントロールテーブル（例えば、送信元及び／又は送信先機器のＩＰアドレスやＴＣＰ／ＵＤＰポート番号等を対応付けたテーブル）を参照し（ステップＳ６２）、このパケットに係る一連のトラフィックが許可されたものか否かを判定する（ステップＳ６３）。ここで、許可されていない異常な通信と判定した場合には（ステップＳ１３；Ｎｏ）、このパケットを破棄し（ステップＳ６４）、本処理は終了する。一方、許可された正常なトラフィックと判定した場合には（ステップＳ６３；Ｙｅｓ）、このパケットを内部ネットワークに転送し（ステップＳ６５）、本処理は終了する。

また、情報システム１００に接続された各端末２０に不正アクセスを検知する不正検知ソフトウェアを導入することにより、ネットワークの末端において不正アクセスの検知を行うネットワークシステムが提案されている（例えば、特許文献２参照）。

図１２は、情報システム１００の各端末２０により不正アクセスの検知が行われる際の動作を示したフローチャートである。
端末２０は、スイッチ１０ａ、１０ｂ又は１０ｃからパケットを受信すると（ステップＳ７１）、このパケットに係るトラフィックに異常があるか否かを判定する（ステップＳ７２）。ここで、異常ありと判定した場合には（ステップＳ７２；Ｎｏ）、このパケットを破棄し（ステップＳ７３）、本処理は終了する。一方、異常なしと判定した場合には（ステップＳ７２；Ｙｅｓ）、このパケットに基づいて所定の処理を実行し（ステップＳ７４）、本処理は終了する。

一方、工場施設等のプラントの制御に係るプラント情報システムの分野においても、近年ＴＣＰ／ＩＰ技術を用いた情報の送受信が行われるようになってきており、上述した情報システム同様のセキュリティ上の問題が懸念されている。特に、プラント情報システムにおいては、生産停止等の経済的な損失が甚大となるため可用性の維持は必須事項となっている。
特開２００５−１２４０５５号公報 特開２００４−５４４７０号公報

しかしながら、従来のファイアウォールを用いたシステム構成では、内部ネットワークＬＡＮ−外部ネットワークＷＡＮ間を通過するトラフィックのみがアクセス制御対象となるため、内部ネットワークＬＡＮ内で発生する不正アクセスを検知することができず、不正アクセスに対応することができないため、システムの可用性を維持することが困難である。

また、端末にて不正アクセスの検知を行う構成では、各端末に不正アクセス検知ソフトウェアを導入する必要があるため、コストが増大するという問題がある。また、各端末の計算資源に制限があるため、不正アクセスを検知する機能を追加することが困難である場合がある。また、不正アクセスが検知された端末の物理的位置（どこのスイッチのどの通信ポートに接続されているか）を判定できず、その対応が遅れる可能性があるため、システムの可用性を維持することが困難である。

さらに、上述したファイアウォール等の従来技術は、単独或いは限られたセッションのみのパケットに基づいて不正アクセスか否かを判断するため、内部ネットワークＬＡＮに設けられた無線機器等のアクセスポイントや、スイッチの入り口（バックドア）を介してして不正アクセスが行われたことを検知することができず、内部ネットワーク内で行われる不正アクセスに対しては有効な手法とはなりえない。そのため、無線アクセスポイント等の内部ネットワーク内の入り口（バックドア）からの侵入トラフィックを含む各端末間のトラフィックを監視する必要があるが、不特定の端末から不定期に送受信が行われるような動的なトラフィック環境を有するオフィス等の一般の情報システムにおいては、その動的なトラフィック特性により、異常と判断する際の指標の確率が困難であるため、異常か否かの判断を有効に行うことができないという問題がある。

本発明の課題は、不正アクセスの検知及び対応を迅速且つ確実に行うことが可能な情報システムを提供することである。

上記課題を解決するために、請求項１に記載の発明は、
複数の通信ポートに夫々接続される一又は複数の端末から送信されたパケットを他の端末に転送するスイッチング手段と、前記送信されたパケットに関するパケット情報を生成するパケット情報生成手段と、前記生成されたパケット情報を送信するパケット情報送信手段とを備えたネットワーク機器と、前記ネットワーク機器から送信されたパケット情報を記憶するトラフィック収集サーバと、を有した情報システムであって、
前記収集サーバは、定常運用時におけるトラフィックの特徴を示した指標情報を記憶する指標情報記憶手段と、前記記憶された指標情報と前記受信されたパケット情報とに基づいて当該パケット情報に係るトラフィックが異常か否かを判別する異常判別手段と、前記異常判別手段により異常と判別されたトラフィックに係るネットワーク機器の通信ポートの転送速度を変更する指示情報を生成し、当該ネットワーク機器に送信する異常対応手段と、を備え、
前記転送手段は、前記異常対応手段からの指示情報に基づいて、当該指示情報で指示された前記通信ポートの転送速度を制御することを特徴としている。

更に、請求項２に記載の発明は、請求項１に記載の発明において、
前記収集サーバは、前記記憶された複数のパケット情報から前記指標情報を生成し、前記指標情報記憶手段に記憶させるトラフィック解析手段を備えたことを特徴としている。

更に、請求項３に記載の発明は、請求項１又は２に記載の発明において、
前記パケット情報は、当該パケット情報を生成したネットワーク機器の識別情報、当該ネットワーク機器においてパケットが送信及び／又は受信された通信ポートの識別情報、前記パケットの送信元端末及び受信先端末の識別情報、前記パケットのパケットサイズ、前記パケットのヘッダ部に含まれたヘッダ情報、前記パケット情報の生成日時を示すタイムスタンプ、前記パケットのプロトコル種別に関する情報を少なくとも含むことを特徴としている。

更に、請求項４に記載の発明は、請求項１に記載の発明において
前記指標情報は、前記ネットワーク機器における特定の通信ポートにおいて送信及び／又は受信されるパケット数の上限値及び／又は下限値、特定の通信ポートにおいてパケットが送信及び／又は受信される際の転送速度の上限値及び／又は下限値、特定の通信ポートに接続される前記端末の識別情報の何れか又は全てを含むことを特徴としている。

更に、請求項５に記載の発明は、請求項１又は４に記載の発明において
前記指標情報は、前記複数の端末のうち、特定の端末間で送信及び／又は受信されるパケット数の上限値及び／又は下限値、前記特定の端末間においてパケットが送信及び／又は受信される際の転送速度の上限値及び／又は下限値の何れか又は全てを含むことを特徴としている。

更に、請求項６に記載の発明は、請求項１、４又は５に記載の発明において、
前記指標情報は、前記複数の端末間のうち、特定の端末間において予め定められた前記パケットの送信及び／又は受信に関する設定を含むことを特徴としている。

更に、請求項７に記載の発明は、請求項１に記載の発明において、
前記ネットワーク機器は、前記端末から送信されたパケットから一のパケットを所定のタイミング毎に抽出するパケットサンプリング手段を備え、
前記パケット情報生成手段は、前記抽出されたパケットのパケット情報を生成することを特徴としている。

請求項１に記載の発明によれば、定常運用時におけるトラフィックの特徴を示した指標情報に基づいて、ネットワーク機器から送信されたパケット情報に係るトラフィックが異常か否かを判別し、異常と判別したトラフィックに係るネットワーク機器の通信ポートの転送速度を制御する。これにより、不正アクセスの検知及び対応を迅速且つ確実に行うことが可能であるため、システムの可用性を維持することができる。

請求項２に記載の発明によれば、指標情報を複数のパケット情報から生成する。これにより、本情報システムが適用されるネットワークのトラフィック環境に応じた指標情報を生成することができる。

請求項３に記載の発明によれば、パケット情報に、当該パケット情報を生成したネットワーク機器の識別情報、このネットワーク機器においてパケットが送信及び／又は受信された通信ポートの識別情報、パケットの送信元及び受信先端末の識別情報、前記パケットのパケットサイズ、前記パケットのヘッダ部に含まれたヘッダ情報、前記パケットの生成日時を示すタイムスタンプ、前記パケットのプロトコル種別に関する情報を少なくとも含めることができる。

請求項４に記載の発明によれば、前記ネットワーク機器における特定の通信ポートにおいて送信及び／又は受信されるパケット数の上限値及び／又は下限値、特定の通信ポートにおいてパケットが送信及び／又は受信される際の転送速度の上限値及び／又は下限値、特定の通信ポートに接続される前記端末の識別情報の何れか又は全てに基づいて，トラフィックが異常か否かを判断することができる。

請求項５に記載の発明によれば、特定の端末間で送信及び／又は受信されるパケット数の上限値及び／又は下限値、前記特定の端末間においてパケットが送信及び／又は受信される際の転送速度の上限値及び／又は下限値の何れか又は全てに基づいて、トラフィックが異常か否かを判断することができる。

請求項６に記載の発明によれば、複数の端末間において予め定められたパケットの送信及び／又は受信に関する設定に基づいて、トラフィックが異常か否かを判断することができる。

請求項７に記載の発明によれば、所定のタイミング毎に抽出した一のパケットに基づいて、パケット情報を生成することができるため、ネットワーク機器にかかる負荷を抑えることができる。

以下、図面を参照して本発明を実施するための最良の形態について詳細に説明する。ただし、発明の範囲は図示例に限定されないものとする。

＜第１の実施形態＞
まず、図１を参照して本実施形態における情報システム１００の構成を説明する。なお、本実施形態における情報システム１００は、プラントの稼働監視や、制御を行うプラント情報システムであるものとし、内部ネットワークＬＡＮ内のスイッチ１０ａ、１０ｂ又は１０ｃに接続される端末（ノード）２０は、プラント内に設置されたフィールド機器や、当該フィールド機器から出力される各種プラントデータの収集や稼働監視を行うＰＣ（Personal Computer）やサーバ等であるものとする。ここでフィールド機器とは、温度センサ、圧力センサ、流量センサ等の計測機器と、バルブ開閉器や火力調整器等の調整機器を含む意であって、当該フィールド機器により計測される計測量や、調整の度合いを示す調整量等のプロセス量がプロセスデータとして出力される。

図１に示すとおり、情報システム１００は、内部ネットワークＬＡＮにおいてネットワークセグメントを構成し、各端末２０において送信されたパケットを他の端末２０に転送するとともに、当該パケットに係る統計情報を生成し送信するスイッチ１０ａ、１０ｂ及び１０ｃ（以下、スイッチ１０ａ、１０ｂ及び１０ｃを総じてスイッチ１０という）と、内部ネットワークＬＡＮ、外部ネットワークＷＡＮ間のパケット転送を中継するルータ３０と、スイッチ１０から送信された統計情報を受信し、管理するトラフィック収集サーバ４０等から構成される。内部ネットワークＬＡＮと外部ネットワークＷＡＮとは、ネットワークＮを介して相互に通信可能に接続されている。なお、情報システム１００上での通信は、ＴＣＰ／ＩＰ技術に準拠した形式で行われるものとし、その形式はＩＰｖ４、ＩＰｖ６の何れかであってもよいものとする。また、ＩＰＳｅｃ（Security Architecture for Internet Protocol）等の暗号化通信がなされることとしてもよい。

ここで、情報システム１００内に含まれる各機器には、夫々固有のＩＰアドレスが付与されており、各機器間はＴＣＰ／ＩＰ技術に基づいて情報の送受信が可能となっている。なお、各スイッチ１０内に示された矩形は当該スイッチが有する物理的な通信ポートを意味しており、矩形内の数値は各通信ポートを識別するための識別番号を意味している。

図２は、スイッチ１０の内部構成を示した図である。
同図に示すとおり、スイッチ１０は、パケットサンプリング手段１１、パケット情報生成手段１２、パケット情報送信手段１３、スイッチング手段１４等を有して構成される。

パケットサンプリング手段１１は、端末２０から送信される複数のパケットから、一のパケットを所定のタイミング（例えば、５００パケットに１パケット）で抽出（サンプリング）し、パケット情報生成手段１２に出力する。なお、パケットサンプリング手段１１にて抽出されなかった他のパケットに関しては、当該パケットサンプリング手段１１を介してスイッチング手段１４に出力されるようになっている。

パケット情報生成手段１２は、パケットサンプリング手段１１から入力されたパケットに関するパケット情報を生成しパケット情報送信手段１３に出力するとともに、パケットサンプリング手段１１から入力されたパケットをパケット情報送信手段１３に出力する。

ここで、パケット情報はパケットのヘッダ部に含まれた情報等に基づいて生成される情報であって、当該パケット情報を生成したスイッチ１０のＩＰ（Internet Protocol）アドレス、このスイッチ１０においてパケットを送信及び／又は受信した通信ポートの通信ポート識別番号、このパケットの送信元及び受信先端末のＩＰアドレス及びＭＡＣ（Media Access Control）アドレス、前記パケットのパケットサイズ、前記パケットのヘッダ部に含まれたＩＰヘッダ情報、前記パケットの生成日時を示すタイムスタンプ、前記パケットのプロトコル種別（ＴＣＰ／ＵＤＰポート番号）に関する情報等を含むものとする。また、パケット情報は、スイッチ１０（各通信ポート）の稼働状態を示した統計情報を含むこととしてもよい。ここで統計情報とは、ＳＮＭＰ（Simple Network Management Protocol）等のトラフィック監視技術に準拠したＭＩＢ（Management Information Base）等の管理情報データベースに基づいて生成される情報であって、本実施の形態では、パケット情報生成手段１２により生成されるものとする。

パケット情報送信手段１３は、パケット情報生成手段１２で生成されたパケット情報をトラフィック収集サーバ４０に送信するとともに、パケット情報生成手段１２から入力されたパケットをスイッチング手段１４に出力する。なお、上記したパケット情報の送信（収集）に係る一連の仕組みとしては、ｓＦｌｏｗ（ＲＦＣ３１７６）やＮｅｔＦｌｏｗ（登録商標）等の規約に準拠した技術を用いることができる。

スイッチング手段１４は、パケットサンプリング手段１１及びパケット情報送信手段１３から入力されたパケットのヘッダ部（イーサネット（登録商標）ヘッダ、ＩＰヘッダ及びＴＣＰヘッダ）に含まれる各種情報に基づいて、受信先端末へと転送する。この際に、受信先端末又は当該受信先端末に転送可能な他のスイッチに接続された通信ポートを介して転送が行われるものとする。

また、スイッチング手段１４は、後述するトラフィック監視処理において、トラフィック収集サーバ４０の異常対応手段４７から送信される指示情報に基づいて、当該指示情報で指示された通信ポートの転送速度を制御する。

次に、図３を参照してトラフィック収集サーバ４０について説明する。
図３は、トラフィック収集サーバ４０の内部構成を示した図である。
同図に示すとおり、トラフィック収集サーバ４０は、制御手段４１、表示手段４２、操作手段４３、記憶手段４４、トラフィック解析手段４５、異常判別手段４６、異常対応手段４７、通信手段４８等を有して構成されており、各部は制御バス４９を介して接続されている。

制御手段４１は、不図示のＣＰＵ（Central Processing Unit）、ＲＡＭ（Random Access Memory）等から構成され、記憶手段４４に記憶された各種制御プログラムを読み出してＲＡＭ内に形成されたワークメモリに展開し、該制御プログラムに従って、各部の動作を集中制御する。また、制御手段４１は、ＲＡＭに展開した制御プログラムとの協働により、後述するトラフィック監視処理を実行する。

表示手段４２は、ＬＣＤ（Liquid Crystal Display）やＥＬＤ（Electro Luminescence Display）パネル等により構成され、制御手段４１から入力される表示データに基づいて画面表示を行う。

操作手段４３は、文字入力キー，数字入力キーその他各種機能に対応付けられたキーを備えたキーボード、マウス等を含み、ユーザによる操作に応じた操作信号を制御手段４１に出力する。

記憶手段４４は、プログラムやデータ等が予め記憶された記録媒体（不図示）を有し、この記録媒体は磁気的、光学的記録媒体、若しくは半導体等の不揮発性メモリで構成されている。記録媒体は、記憶手段４４に固定的に設けたもの、若しくは着脱自在に装着するものであり、記録媒体にはトラフィック収集サーバ４０に対応するシステムプログラム、該システムプログラム上で実行可能な各種処理プログラム、これらのプログラムで処理されたデータ等を記憶する。これらの各処理プログラムは、読み取り可能なプログラムコードの形態で格納され、制御手段４１は、当該プログラムコードに従った動作を逐次実行する。

また、記憶手段４４の記憶媒体には、スイッチ１０から送信されたパケット情報を、記憶・管理するためのデータベース４４１が構築されており、当該データベース４４１にパケット情報に含まれる各種情報が記憶（格納）される。なお、本実施の形態では、データベース４４１をトラフィック収集サーバ４０内に備えた態様としたが、これに限らず、トラフィック収集サーバ４０が接続可能な外部記憶手段にデータベース４４１を構築することとしてもよい。さらに、記憶手段４４は、その記憶媒体に、トラフィック解析手段４５により生成される指標情報４４２を記憶する。

トラフィック解析手段４５は、データベース４４１に記憶された複数のパケット情報を、統計的手法を用いて解析することにより、定常運用時におけるトラフィック（通信）の特徴を導出する。ここで、定常運用時とは、情報システム１００内において、各装置により予め定められた動作（通信）が正常に行われた時を意味する。

具体的に、トラフィック解析手段４５は、パケット情報に含まれた各種情報に基づいて、特定の通信ポートにおいて送信及び／又は受信されるパケット数の上限値及び／又は下限値、特定の通信ポートにおいてパケットが送信及び／又は受信される際の転送速度の上限値及び／又は下限値、特定の通信ポートに接続される端末２０のＭＡＣアドレス及び／又はＩＰアドレス等の、定常運用時におけるスイッチ１０の通信ポートに関する情報を定常運用時におけるトラフィックの特徴として導出する。

また、トラフィック解析手段４５は、パケット情報に含まれた各種情報に基づいて、特定の端末を示すＭＡＣアドレス又はＩＰアドレス間で送信及び／又は受信されるパケット数の上限値及び／又は下限値、特定の端末を示すＭＡＣアドレス又はＩＰアドレス間においてパケットが送信及び／又は受信される際の転送速度の上限値及び／又は下限値等の、定常運用時における通信フローに関する情報を定常運用時におけるトラフィックの特徴として導出する。

さらに、トラフィック解析手段４５は、導出された定常運用時におけるトラフィック特徴を含んだ指標情報４４２を生成し、この指標情報４４２を記憶手段４４の記憶媒体に記憶させる。ここで指標情報４４２には、導出された種々の特徴が、当該特徴の諸条件（例えば、スイッチ１０のＩＰアドレス、通信ポート識別番号、端末２０のＩＰアドレス、ＭＡＣアドレス等）と対応づけて記憶されているものとする。

また、内部ネットワークＬＡＮにおいて、特定の端末２０間で所定のトラフィックが発生することが予定されているような場合には、このパケットの送信及び／又は受信に関する設定を指標情報４４２に含めることとしてもよい。例えば、特定の端末２０間において、所定の間隔（例えば、１分間に１回）で通信が必ず行われることが予定されているような場合、この特定の端末を示すＭＡＣアドレス又はＩＰアドレス間での通信を許可する旨の設定、当該端末間で送信及び／又は受信されるパケット数の上限値及び／又は下限値、当該端末間でパケットが送信及び／又は受信される際の転送速度の上限値及び／又は下限値等を指標情報４４２に含めることができる。

なお、上記した指標情報４４２に含まれる各種情報の閾値（上限値及び／又は下限値）は、内部ネットワークＬＡＮの可用性の維持に影響を与えると想定される値が設定されることが好ましい。

異常判別手段４６は、記憶手段４４の記録媒体に記憶された指標情報４４２と、後述する通信手段４８を介して受信されたパケット情報と、を比較することにより当該パケット情報に係るトラフィックが異常か否かを判別する。なお、本実施の形態では、異常判別手段４６の機能を、制御手段４１と記憶手段４４の記録媒体に予め記憶された所定のプログラムとの協働により実現させることとするが、ＡＳＩＣ（Application Specific Integrated Circuit）等の専用回路により実現させる態様としてもよい。

異常対応手段４７は、異常判別手段４６により異常と判別されたトラフィックに係るスイッチ１０の通信ポートの転送速度を変更する指示情報を生成し、当該スイッチ１０に送信する。ここで、スイッチ１０の転送速度を変更する手段としては、ｄｉｆｆｓｅｒｖ、ＩＥＥＥ８０２．ｌｑ、ＩＰフィルタ等を用いることができる。なお、本実施の形態では、異常対応手段４７の機能を、制御手段４１と記憶手段４４の記録媒体に予め記憶された所定のプログラムとの協働により実現させることとするが、ＡＳＩＣ等の専用回路により実現させる態様としてもよい。

通信手段４８は、ルータやＴＡ（Terminal Adapter）、ＬＡＮアダプタ等によって構成され、スイッチ１０との間で授受される各種情報の通信制御を行う。

次に、図４のフローチャートを参照して、スイッチ１０で行われるパケット転送処理について説明する。
まず、一又は複数の端末２０からパケットが夫々送信され、このパケットが通信ポートを介して受信されると（ステップＳ１１）、パケットサンプリング手段１１により、複数のパケットから一のパケットが所定のタイミング毎に抽出される（ステップＳ１２）。

ここで、パケットサンプリング手段１１によりパケットの抽出が行われた場合には（ステップＳ１３；Ｙｅｓ）、パケット情報生成手段１２により当該パケットに関するパケット情報が生成された後（ステップＳ１４）、このパケット情報がパケット情報送信手段１３によりトラフィック収集サーバ４０に送信される（ステップＳ１５）。そして、パケットのヘッダ部に含まれた各種情報に基づいて、このパケットがスイッチング手段１４により受信先端末へと転送され（ステップＳ１６）、本処理は終了する。

一方、パケットサンプリング手段１１によりパケットが抽出されなかった場合には（ステップＳ１３；Ｎｏ）、当該パケットのヘッダ部に含まれた各種情報に基づいて、このパケットがスイッチング手段１４により受信先端末へと転送され（ステップＳ１６）、本処理は終了する。

次に、図５を参照して、トラフィック収集サーバ４０で行われるトラフィック監視処理について説明する。本実施形態のトラフィック監視処理は、指標情報４４２に含まれた特定の通信ポートにおいて受信されるパケット数の上限値（ｔｈｒｅｓｈ＿ｐ（ＰＰＳ：Packet Per Second））及び特定の通信ポートにおいてパケットが受信される際の転送速度の上限値（ｔｈｒｅｓｈ＿ｂ（ＢＰＳ：Bits Per Second））に基づいて行われる。なお、本トラフィック監視処理の各処理は、制御手段４１と、不図示のＲＡＭに展開された所定のプログラムとの協働により実行される処理を示している。

まず、スイッチ１０から送信されたパケット情報が通信手段４８を介して受信されると（ステップＳ２１）、このパケット情報から、当該パケット情報が生成されたスイッチ１０のＩＰアドレス、このパケット情報に係るパケットが受信された通信ポートの通信ポート識別番号が取得されるとともに（ステップＳ２２）、この通信ポートが受信したパケット数（Ｐｋｔｓ＿ＩＮ（ＰＰＳ））及びパケットを受信した際の転送速度（Ｂｙｔｅｓ＿ＩＮ（ＢＰＳ））に関する情報が取得される（ステップＳ２３）。

次いで、ステップＳ２２で取得されたスイッチ１０のＩＰアドレス通信ポートの通信ポート識別番号に対応するパケット数の上限値（ｔｈｒｅｓｈ＿ｐ）及び転送速度の上限値（ｔｈｒｅｓｈ＿ｂ）が指標情報４４２から読み出されて（ステップＳ２４）、パケット数（Ｐｋｔｓ＿ＩＮ）とパケット数の上限値（ｔｈｒｅｓｈ＿ｐ）、転送速度（Ｂｙｔｅｓ＿ＩＮ）と転送速度の上限値（ｔｈｒｅｓｈ＿ｂ）が夫々比較される（ステップＳ２５）。

ここで、パケット数情報（Ｐｋｔｓ＿ＩＮ）がパケット数の上限値（ｔｈｒｅｓｈ＿ｐ）以下で、且つ、転送速度情報（Ｂｙｔｅｓ＿ＩＮ）が転送速度の上限値（ｔｈｒｅｓｈ＿ｂ）以下と判定された場合には（ステップＳ２５；Ｙｅｓ）、本処理は終了する。

一方、ステップＳ２５において、パケット数（Ｐｋｔｓ＿ＩＮ）がパケット数の上限値（ｔｈｒｅｓｈ＿ｐ）を上回る、或いは転送速度（Ｂｙｔｅｓ＿ＩＮ）が転送速度の上限値（ｔｈｒｅｓｈ＿ｂ）を上回ると判定された場合には（ステップＳ２５；Ｎｏ）、このパケット情報に係るトラフィックが異常と判別される（ステップＳ２６）。そして、この異常と判別されたトラフィックに係る通信ポートを備えたスイッチ１０に対して、この通信ポートの転送速度（転送帯域）を抑制或いは停止させる指示情報がスイッチ１０に送信されるとともに（ステップＳ２７）、このスイッチ１０の通信ポートに接続された端末２０から不正なアクセスが行われた旨を報知する画面が表示手段４２に表示されて（ステップＳ２８）、本処理は終了する。

このように、スイッチ１０の通信ポートに関する情報に基づいてパケット情報に係るトラフィックの異常判別を行うため、特定の端末２０から定常運用時の上限値を上回るパケット数が送信された場合や、定常運用時の上限値を上回る転送速度が確認された場合に、この通信に係るトラフィックを異常と判別できるため、不正アクセスの検知を迅速且つ確実に行うことができる。

以上のように、本実施形態によれば、定常運用時におけるトラフィックの特徴を示した指標情報４４２に基づいて、スイッチ１０から送信されたパケット情報に係るトラフィックが異常か否かを判別し、異常と判別したトラフィックに係るスイッチ１０の通信ポートの転送速度を制御する。これにより、不正アクセスの検知及び対応を迅速且つ確実に行うことが可能であるため、システムの可用性を維持することができる。

＜第２の実施形態＞
次に、情報システム１００の第２の実施形態について説明する。なお、説明の簡略化のため、上述した第１の実施形態と同一要素については同符号を付し、その詳細な説明は適宜省略する。

図６は、本実施形態のトラフィック収集サーバ４０で行われるトラフィック監視処理の手順を示した図である。本実施形態のトラフィック監視処理は、指標情報４４２に含まれた特定の通信ポートに接続される端末２０のＭＡＣアドレス（ＭＡＣ＿ＲｅｆＡｄｄｒ）及びＩＰアドレス（ＩＰ＿ＲｅｆＡｄｄｒ）、特定の通信ポートにおいて受信されるパケット数の下限値（ｔｈｒｅｓｈ＿ｍｉｎ＿ｐ（ＰＰＳ）、特定の通信ポートにおいてパケットが受信される際の転送速度の下限値（ｔｈｒｅｓｈ＿ｍｉｎ＿ｂ（ＢＰＳ））に基づいて行われる。なお、本トラフィック監視処理の各処理は、制御手段４１と、不図示のＲＡＭに展開された所定のプログラムとの協働により実行される処理を示している。

まず、スイッチ１０から送信されたパケット情報が通信手段４８を介して受信されると（ステップＳ３１）、このパケット情報から、当該パケット情報が生成されたスイッチ１０のＩＰアドレス、当該パケット情報に係るパケットが受信された通信ポートの通信ポート識別番号が取得されるとともに（ステップＳ３２）、この通信ポートに接続された端末のＭＡＣアドレス（ＭＡＣ＿Ａｄｄｒ）、ＩＰアドレス（ＩＰ＿Ａｄｄｒ）及び当該通信ポートにおいて受信されたパケット数（Ｐｋｔｓ＿ＩＮ）及び転送速度（Ｂｙｔｅｓ＿ＩＮ）に関する情報が取得される（ステップＳ３３）。

次いで、ステップＳ３２で取得されたスイッチ１０のＩＰアドレス及び通信ポートの通信ポート識別番号に対応する規定のＭＡＣアドレス（ＭＡＣ＿ＲｅｆＡｄｄｒ）、規定のＩＰアドレス（ＩＰ＿ＲｅｆＡｄｄｒ）、パケット数の下限値（ｔｈｒｅｓｈ＿ｍｉｎ＿ｐ）、転送速度の下限値（ｔｈｒｅｓｈ＿ｍｉｎ＿ｂ）が、指標情報４４２から読み出される（ステップＳ３４）。

続いて、両ＭＡＣアドレス（ＭＡＣ＿Ａｄｄｒ）と（ＭＡＣ＿ＲｅｆＡｄｄｒ）との値が一致するか否かが判定され、一致しないと判定された場合には（ステップＳ３５；Ｎｏ）、ステップＳ３９へと移行する。

一方、ステップＳ３５において両ＭＡＣアドレスが一致すると判定された場合には（ステップＳ３５；Ｙｅｓ）、ステップＳ３６へと移行し、両ＩＰアドレス（ＩＰ＿Ａｄｄｒ）と（ＩＰ＿ＲｅｆＡｄｄｒ）との値が一致するか否かが判定され、一致しないと判定された場合には（ステップＳ３６；Ｎｏ）、ステップＳ３９へと移行する。

一方、ステップＳ３６において、両ＩＰアドレスが一致すると判定された場合には）ステップＳ３６；Ｙｅｓ）、ステップＳ３７へと移行し、パケット数（Ｐｋｔｓ＿ＩＮ）とパケット数の下限値（ｔｈｒｅｓｈ＿ｍｉｎ＿ｐ）、転送速度（Ｂｙｔｅｓ＿ＩＮ）と転送速度の下限値（ｔｈｒｅｓｈ＿ｍｉｎ＿ｂ）が夫々比較される（ステップＳ３７）。ここで、パケット数（Ｐｋｔｓ＿ＩＮ）がパケット数の下限値（ｔｈｒｅｓｈ＿ｍｉｎ＿ｐ）以上で、且つ、転送速度（Ｂｙｔｅｓ＿ＩＮ）が転送速度の下限値（ｔｈｒｅｓｈ＿ＭＩＮ＿ｂ）以上と判定された場合には（ステップＳ３７；Ｙｅｓ）、本処理は終了する。

また、ステップＳ３７において、パケット数（Ｐｋｔｓ＿ＩＮ）がパケット数の下限値（ｔｈｒｅｓｈ＿ｍｉｎ＿ｐ）を下回る、或いは転送速度（Ｂｙｔｅｓ＿ＩＮ）が転送速度の下限値（ｔｈｒｅｓｈ＿ｍｉｎ＿ｂ）を下回ると判定された場合には（ステップＳ３７；Ｎｏ）、ステップＳ３８へと移行する。

ステップＳ３８では、ステップＳ３５、ステップＳ３６又はステップＳ３７で判定されたパケット情報に係るトラフィックが異常と判別される（ステップＳ３８）。そして、この異常と判別されたトラフィックに係る通信ポートを備えたスイッチ１０に対して、この通信ポートの転送速度（転送帯域）を抑制或いは停止させる指示情報がスイッチ１０に送信されるとともに（ステップＳ３９）、このスイッチ１０の通信ポートに接続された端末２０から不正なアクセスが行われた旨を報知する画面が表示手段４２に表示されて（ステップＳ４０）、本処理は終了する。

このように、スイッチ１０の通信ポートに関する情報に基づいてパケット情報に係るトラフィックの異常判別を行うため、特定の端末２０から定常運用時の上限値を上回るパケット数が送信された場合や、定常運用時の上限値を上回る転送速度が確認された場合に、この通信に係るトラフィックを異常と判別できるため、不正アクセスの検知及び対応を迅速且つ確実に行うことができる。

なお、上記したトラフィック監視処理において統計情報が取得されるスイッチ１０（スイッチ１０ａ、１０ｂ及び１０ｃ）は、所定の順序で順次取得される態様としてもよいし、全てのスイッチ１０に対して同時に取得が行われる態様としてもよい。また、統計情報の取得が行われるタイミングは任意の設定可能であるものとする。

以上のように、本実施形態によれば、定常運用時におけるトラフィックの特徴を示した指標情報４４２に基づいて、スイッチ１０から送信されたパケット情報に係るトラフィックが異常か否かを判別し、異常と判別したトラフィックに係るスイッチ１０の通信ポートの転送速度を制御する。これにより、不正アクセスの検知及び対応を迅速且つ確実に行うことが可能であるため、システムの可用性を維持することができる。
なお、ステップＳ３５、ステップＳ３６、ステップＳ３７の判定処理の順序は、上記例に限らないものとし、任意の順序で行うことが可能であるものとする。

＜第３の実施形態＞
次に、情報システム１００の第３の実施形態について説明する。なお、説明の簡略化のため、上述した第１の実施形態と同一要素については同符号を付し、その詳細な説明は適宜省略する。

図７は、本実施形態のトラフィック収集サーバ４０で行われるトラフィック監視処理の手順を示した図である。本実施形態のトラフィック監視処理は、指標情報４４２に含まれた特定の端末（ＩＰアドレス；ＩＰ＿ＲｅｆＡｄｄｒ）間で送信及び／又は受信されるパケット数の下限値と上限値との間の範囲を示す閾値（ｔｈｒｅｓｈ＿ｐ＿ｆｌｏｗ（ＰＰＳ））、特定の端末間においてパケットが受信される際の転送速度の下限値と上限値との間の範囲を示す閾値（ｔｈｒｅｓｈ＿ｂ＿Ｆｌｏｗ（ＢＰＳ））に基づいて行われる。なお、本トラフィック監視処理の各処理は、制御手段４１と、不図示のＲＡＭに展開された所定のプログラムとの協働により実行される処理を示している。

まず、スイッチ１０から送信されたパケット情報が通信手段４８を介して受信されると（ステップＳ５１）、このパケット情報から、当該パケット情報が生成されたスイッチ１０のＩＰアドレス、当該パケット情報に係るパケットが受信された通信ポートの通信ポート識別番号が取得されるとともに（ステップＳ５２）、このパケット情報に係るパケットの送信元端末及び／又は受信先端末のＩＰアドレス（ＩＰ＿Ａｄｄｒ）、パケット数（Ｐｋｔｓ＿Ｆｌｏｗ（ＰＰＳ））、転送速度（Ｂｙｔｅｓ＿Ｆｌｏｗ（ＢＰＳ））に関する情報が取得される（ステップＳ５３）。

次いで、ステップＳ５２で取得されたＩＰアドレス（ＩＰ＿Ａｄｄｒ）の端末によるパケットの送信及び／又は受信が許可されているか否かが指標情報４４２に基づいて判定され、許可されていないと判定された場合には（ステップＳ５４；Ｎｏ）、ステップＳ５７へと移行する。

一方、ステップＳ５４において、許可されていると判定された場合には（ステップＳ５４；Ｙｅｓ）、このＩＰアドレス（ＩＰ＿Ａｄｄｒ）の端末間において送受信されるパケット数の閾値（ｔｈｒｅｓｈ＿ｐ＿ｆｌｏｗ）、転送速度の閾値（ｔｈｒｅｓｈ＿ｂ＿Ｆｌｏｗ）が指標情報４４２から読み出され（ステップＳ５５）、パケット数（Ｐｋｔｓ＿Ｆｌｏｗ）とパケット数の閾値（ｔｈｒｅｓｈ＿ｆｌｏｗ）、転送速度（Ｂｙｔｅｓ＿Ｆｌｏｗ）と転送速度の閾値（ｔｈｒｅｓｈ＿ｂ＿Ｆｌｏｗ）が夫々比較される（ステップＳ５６）。ここで、パケット数（Ｐｋｔｓ＿Ｆｌｏｗ）がパケット数の閾値（ｔｈｒｅｓｈ＿ｐ＿ｆｌｏｗ）の範囲内に適合し、且つ、転送速度（Ｂｙｔｅｓ＿Ｆｌｏｗ）が転送速度の閾値（ｔｈｒｅｓｈ＿ｂ＿Ｆｌｏｗ）の範囲内に適合すると判定された場合には（ステップＳ５６；Ｙｅｓ）、本処理は終了する

また、ステップＳ５６において、パケット数（Ｐｋｔｓ＿Ｆｌｏｗ）がパケット数の閾値（ｔｈｒｅｓｈ＿ｐ＿ｆｌｏｗ）の範囲内に適合しない、或いは転送速度（Ｂｙｔｅｓ＿Ｆｌｏｗ）が転送速度の閾値（ｔｈｒｅｓｈ＿ｂ＿Ｆｌｏｗ）の範囲内に適合しないと判定された場合には（ステップＳ５６；Ｎｏ）、ステップＳ５７へと移行する。

ステップＳ５７では、ステップＳ５４又はステップＳ５６で判定されたパケット情報に係るトラフィックが異常と判別される（ステップＳ５７）。そして、この異常と判別されたトラフィックに係る通信ポートを備えたスイッチ１０に対して、この通信ポートの転送速度（転送帯域）を抑制或いは停止させる指示情報がスイッチ１０に送信されるとともに（ステップＳ５８）、このスイッチ１０の通信ポートに接続された端末２０から不正なアクセスが行われた旨を報知する画面が表示手段４２に表示されて（ステップＳ５９）、本処理は終了する。

このように、内部ネットワークＬＡＮ内において予め定められた各端末２０のトラフィック特性に基づいてトラフィックの異常判別を行うため、所定の端末２０間以外でパケットの送受信が行われた場合や、所定の端末２０間において定常運用時の閾値を超えるパケット数が送信された場合、所定の端末２０間において定常運用時の閾値を超える転送速度が確認された場合に、この通信に係るトラフィックを異常と判別できるため、不正アクセスの検知及び対応を迅速且つ確実に行うことができる。

以上のように、本実施形態によれば、定常運用時におけるトラフィックの特徴を示した指標情報４４２に基づいて、スイッチ１０から送信されたパケット情報に係るトラフィックが異常か否かを判別し、異常と判別したトラフィックに係るスイッチ１０の通信ポートの転送速度を制御する。これにより、不正アクセスの検知及び対応を迅速且つ確実に行うことが可能であるため、システムの可用性を維持することができる。

なお、上述した第１の実施形態〜第３の実施形態のトラフィック監視処理は、送受信されるパケット数、転送速度がある程度一様であり、また特定の端末間においてのみパケットが送受信されるような静的なトラフィック環境を有するプラント情報システムにおいて特に好適である。なお、第１の実施形態〜第３の実施形態のトラフィック監視処理の全てがトラフィック収集サーバ４０で実行されることとしてもよい。また、トラフィック監視処理におけるトラフィックの異常判別方法に関しては、情報システム１００のシステム構成に適合する任意の条件を適宜追加、変更することが可能であるものとする。

本発明の適用は、上述した例に限らず、本発明の趣旨を逸脱しない範囲で適宜変更可能である。

例えば、上記実施形態では、トラフィック収集サーバ４０がトラフィック解析手段４５、異常判別手段４６及び異常対応手段４７を備えた態様を説明したが、これに限らず、トラフィック収集サーバ４０のデータベース４４１に接続可能な他の装置が、トラフィック解析手段４５、異常判別手段４６、異常対応手段４７の何れか又は全てを備える態様としてもよい。
例えば、図８に示すように、複数の内部ネットワークＬＡＮ１〜３の夫々に、トラフィック解析手段４５及び異常判別手段４６を備えたトラフィック収集サーバ４０を設置し、各トラフィック収集サーバ４０の異常判別手段４６から送信されるトラフィックの異常を示す異常判別情報を外部ネットワークＷＡＮの遠隔監視装置５０が送信可能な構成としてもよい。この場合、遠隔監視装置５０に異常対応手段４７を備えることで、異常判別手段４６から送信された異常判別情報に応じて内部ネットワークＬＡＮ１〜３に接続されたスイッチ１０（不図示）の転送速度を遠隔的に変更することが可能となる。

これにより、上記実施の形態と同様の効果を奏するのはもちろんのこと、複数の内部ネットワークＬＡＮサイトを外部ネットワークＷＡＮから同時に監視することができるため、トラフィック監視に係るコストを削減することが可能となる。特に、プラント制御に係るプラント情報システムにおいては、ＩＰネットワーク技術に関する専門家も少なく、また、プラント運営にとっても非競争領域であることから専門家を育てることのインセンティブが働きにくいという実情がある。そのため、遠隔的に異常監視が行うことができれば、トラフィック監視業務のアウトソーシングが可能となるため、プラント運営側にとってはコストの削減、トラフィック監視業務側にとっては新たなサービス業務の提携が可能になるという効果を奏する。

また、上記実施の形態では、スイッチ１０のみが統計情報を生成し送信する態様としたが、これに限らず、ルータ３０等の他のネットワーク機器が、パケットサンプリング手段１１、パケット情報生成手段１２及びパケット情報送信手段１３を備えることで、他のネットワーク機器が統計情報の生成、送信を行う態様としてもよい。例えば、図９に示すように、無線通信により内部ネットワークＬＡＮ内に接続された各機器との通信を可能にせしめる無線基地局６０が内部ネットワークＬＡＮに接続されているような場合には、この無線基地局６０に、当該無線基地局６０と無線通信可能な端末との間で授受される通信の統計情報を生成可能な機能を備えることが好ましい。

また、ＩＰＳｅｃ等の暗号化通信でパケットの送受信が行われる場合、通信ポート識別番号は暗号化されてしまうが、ＩＰｖ４ヘッダのＴＯＳ（Type Of Service）フィールドや、ＩＰｖ６ヘッダのＴｒａｆｆｉｃ Ｃｌａｓｓフィールドを利用し、このフィールドに通信ポート識別番号を格納してパケットを送信することで、トラフィック収集サーバ４０にて通信ポート識別番号を識別することが可能となる。

情報システムの構成を示した図である。 スイッチの内部構成を示した図である。 トラフィック収集サーバの内部構成を示した図である。 パケット転送処理の手順を示したフローチャートである。 第１の実施形態におけるトラフィック監視処理の手順を示したフローチャートである。 第２の実施形態におけるトラフィック監視処理の手順を示したフローチャートである。 第３の実施形態におけるトラフィック監視処理の手順を示したフローチャートである。 情報システムの他の態様における構成を示した図である。 情報システムの他の態様における構成を示した図である。 従来の情報システムの構成を示した図である。 従来の情報システムにおいて、ファイアウォールにより不正アクセスの検知が行われる際の手順を示したフローチャートである。 従来の情報システムにおいて、各端末により不正アクセスの検知が行われる際の手順を示したフローチャートである。

符号の説明

１００ 情報システム
１０ スイッチ
１１ パケットサンプリング手段
１２ パケット情報生成手段
１３ パケット情報送信手段
１４ スイッチング手段
２０ 端末
３０ ルータ
４０ トラフィック収集サーバ
４１ 制御手段
４２ 表示手段
４３ 操作手段
４４ 記憶手段
４４１ データベース
４４２ 指標情報
４５ トラフィック解析手段
４６ 異常判別手段
４７ 異常対応手段
４８ 通信手段
４９ 制御バス
５０ 遠隔監視装置
６０ 無線基地局
ＦＷ ファイアウォール
ＬＡＮ、ＬＡＮ１、ＬＡＮ２、ＬＡＮ３ 内部ネットワーク
ＷＡＮ 外部ネットワーク

Claims (7)

1. 複数の通信ポートに夫々接続される一又は複数の端末から送信されたパケットを他の端末に転送するスイッチング手段と、前記送信されたパケットに関するパケット情報を生成するパケット情報生成手段と、前記生成されたパケット情報を送信するパケット情報送信手段とを備えたネットワーク機器と、前記ネットワーク機器から送信されたパケット情報を記憶するトラフィック収集サーバと、を有した情報システムであって、
   前記収集サーバは、定常運用時におけるトラフィックの特徴を示した指標情報を記憶する指標情報記憶手段と、前記記憶された指標情報と前記受信されたパケット情報とに基づいて当該パケット情報に係るトラフィックが異常か否かを判別する異常判別手段と、前記異常判別手段により異常と判別されたトラフィックに係るネットワーク機器の通信ポートの転送速度を変更する指示情報を生成し、当該ネットワーク機器に送信する異常対応手段と、を備え、
   前記転送手段は、前記異常対応手段からの指示情報に基づいて、当該指示情報で指示された前記通信ポートの転送速度を制御することを特徴とする情報システム。
2. 前記収集サーバは、前記記憶された複数のパケット情報から前記指標情報を生成し、前記指標情報記憶手段に記憶させるトラフィック解析手段を備えたことを特徴とする請求項１に記載の情報システム。
3. 前記パケット情報は、当該パケット情報を生成したネットワーク機器の識別情報、当該ネットワーク機器においてパケットが送信及び／又は受信された通信ポートの識別情報、前記パケットの送信元端末及び受信先端末の識別情報、前記パケットのパケットサイズ、前記パケットのヘッダ部に含まれたヘッダ情報、前記パケット情報の生成日時を示すタイムスタンプ、前記パケットのプロトコル種別に関する情報を少なくとも含むことを特徴とする請求項１又は２に記載の情報システム。
4. 前記指標情報は、前記ネットワーク機器における特定の通信ポートにおいて送信及び／又は受信されるパケット数の上限値及び／又は下限値、特定の通信ポートにおいてパケットが送信及び／又は受信される際の転送速度の上限値及び／又は下限値、特定の通信ポートに接続される前記端末の識別情報の何れか又は全てを含むことを特徴とする請求項１に記載の情報システム。
5. 前記指標情報は、前記複数の端末のうち、特定の端末間で送信及び／又は受信されるパケット数の上限値及び／又は下限値、前記特定の端末間においてパケットが送信及び／又は受信される際の転送速度の上限値及び／又は下限値の何れか又は全てを含むことを特徴とする請求項１又は４に記載の情報システム。
6. 前記指標情報は、前記複数の端末間のうち、特定の端末間において予め定められた前記パケットの送信及び／又は受信に関する設定を含むことを特徴とする請求項１、４又は５に記載の情報システム。
7. 前記ネットワーク機器は、前記端末から送信されたパケットから一のパケットを所定のタイミング毎に抽出するパケットサンプリング手段を備え、
   前記パケット情報生成手段は、前記抽出されたパケットのパケット情報を生成することを特徴とする請求項１に記載の情報システム。

Images