JP2009130664A - 不正侵入検出システムおよび不正侵入検出方法 - Google Patents

Abstract

【課題】 不正侵入検出の信頼性向上を図るとともに、システムとしての柔軟性を改善する。
【解決手段】ネットワークを介して伝送されるトラフィックパケットを生成するトラフィック生成層と、前記ネットワークを介して伝送されるトラフィックパケットを収集するトラフィック収集層と、このトラフィック収集層で収集されたトラフィックパケットを解析して不正侵入を検出するトラフィック解析層とで構成され、前記トラフィック解析層は、不正侵入検出結果に基づき、前記トラフィック収集層におけるサンプリング収集とミラーリング収集を切り替えることを特徴とする。
【選択図】 図１

Description

本発明は、不正侵入検出システムおよび不正侵入検出方法に関し、詳しくは、システムの信頼性の向上に関するものである。

従来から、ＩＰ（Internet Protocol）ネットワークを利用した情報システムの構築にあたっては、情報システムを安全に動作させるために、不正アクセスやシステム侵入などを阻止する対策を講じておく必要があり、ネットワークを流れるトラフィックパケットを収集・分析して不正アクセスやシステム侵入を検出する不正侵入検出システムが提案されている。

従来の不正侵入検出システムに関連する先行技術文献には、次のようなものがある。

特開２００７−１８４７９９号公報

図５は従来の不正侵入検出システムのブロック図であり、トラフィック生成層１とトラフィック収集層２とトラフィック解析層３の三層で構成されている。

トラフィック生成層１は、たとえば通信デバイス１１〜１４で構成され、実際にトラフィックパケットを生成して他の通信デバイスと通信を行う。

トラフィック収集層２は、トラフィック転送部２１とトラフィック収集部２２とトラフィック保存データベース２３で構成されていて、トラフィック転送部２１とトラフィック収集部２２はネットワークスイッチ２４を構成している。トラフィック転送部２１には、ポート２１ａ〜２１ｅが設けられている。トラフィック収集部２２には、サンプリング収集部２２ａまたはミラーリング収集部２２ｂが設けられるものであり、図５ではサンプリング収集部２２ａが設けられている。

ネットワークスイッチ２４は、通信デバイス１１〜１４が生成するトラフィックパケットを収集してトラフィック保存データベース２３に保存する。具体的には、通信デバイス１１〜１４が生成するトラフィックパケットはポート２１ｂ〜２１ｅを介してサンプリング収集部２２ａに収集され、サンプリング収集部２２ａに収集されたトラフィックパケットはポート２１ａを介してトラフィック保存データベース２３に保存される。

トラフィック解析層３は、たとえばトラフィック解析サーバ３１で構成され、トラフィック保存データベース２３に保存されたトラフィックパケットを解析して不正侵入の有無を検出する。トラフィック解析サーバ３１は、あらかじめ設定された不正侵入検出ルール(たとえばトラフィック転送部２１が受信するパケットの閾値やパケットを受信する際の転送速度の閾値など)を記憶する不正侵入検出ルール記憶部３１ａと、この不正侵入検出ルール記憶部３１ａに記憶されている不正侵入検出ルールに基づきトラフィック保存データベース２３に保存されているトラフィックパケットを解析して不正侵入検出の有無を検出する不正侵入検出部３１ｂと、不正侵入を検出した場合に警報を出力する警報出力部３１ｃで構成されている。

図６は図５の動作を説明するフローチャートである。はじめに、通信デバイス１１〜１４は、トラフィックパケットを生成し、ネットワークスイッチ２４経由で通信相手に送信する（ステップＳＰ１）。

ネットワークスイッチ２４は、自分を通して流れるトラフィックパケットを、トラフィック転送部２１より転送するが、その際に、トラフィック収集部２２によりトラフィックパケットをキャプチャし、トラフィック保存データベース２３宛に送信する（ステップＳＰ２）。

トラフィック保存データベース２３は、自分宛に届いてきたパケットを保存する（ステップＳＰ３）。

トラフィック解析サーバ３１の不正侵入検出部３１ｂは、不正侵入検出ルール記憶部３１ａに記憶されている不正侵入検出ルールに従ってトラフィック保存データベース２３に保存されているトラフィックパケットを解析し、不正侵入の有無を検出する（ステップＳＰ４）。不正侵入が検出された場合は、警報出力部３１ｃを起動して警報を出力する（ステップＳＰ５）とともに、ステップＳＰ１に戻って不正侵入検出作業を繰り返して実行する。不正侵入が検出されなかった場合は、直ちにステップＳＰ１に戻って不正侵入検出作業を繰り返して実行する。

ところで、ネットワークスイッチ２４には、自分を流れるパケットをあらかじめ定められたサンプリングレート（たとえば１０μ秒ごと）でサンプリングして収集するサンプリング収集部２２ａまたはミラーポート（たとえばポート２１ａ）を利用して自分を流れる全てのパケットを収集するミラーリング収集部２２ｂが設けられるが、従来のシステムではいずれか一つしか実装されていない（図５ではサンプリング収集部２２ａ）ので、複雑なネットワーク通信に対応できない場合がある。

たとえばサンプリング収集部２２ａは、確率的にトラフィックを収集するので、重要なデータを取りこぼす可能性がある。

これに対し、ミラーリング収集部２２ｂは、全てのトラフィックを収集するので、取り扱うトラフィック量は莫大であり、不正侵入検出システムへの負荷が重すぎる。

しかし、従来のシステムでは、一旦トラフィック収集部の動作に関わる設定（たとえばサンプリングレートなどのパラメータの設定）が行われると自動チューニングができない構成であることから、柔軟性に欠けるという問題がある。

また、不正侵入を検出すると警報は出すものの、不正侵入検出の検証を行わないので誤報が多くなるという問題もある。

本発明は、これらの問題を解決するものであり、その目的は、不正侵入検出の信頼性向上を図るとともに、システムとしての柔軟性を改善することにある。

このような課題を達成するために、本発明のうち請求項１記載の発明は、
ネットワークを介して伝送されるトラフィックパケットを生成するトラフィック生成層と、前記ネットワークを介して伝送されるトラフィックパケットを収集するトラフィック収集層と、このトラフィック収集層で収集されたトラフィックパケットを解析して不正侵入を検出するトラフィック解析層とで構成され、
前記トラフィック解析層は、不正侵入検出結果に基づき、前記トラフィック収集層におけるサンプリング収集とミラーリング収集を切り替えることを特徴とする。

請求項２記載の発明は、
請求項１記載の不正侵入検出システムにおいて、
サンプリング収集したトラフィックパケットに基づき一次の不正侵入検出を行い、不正侵入を検出するとミラーリング収集に切り替え、前記ミラーリング収集したトラフィックパケットに基づき二次の不正侵入検出を行い、これら一次および二次検出の結果を比較し前記一次検出の精度が許容範囲外であれば許容範囲内に収束するように前記サンプリング収集のサンプリングパラメータを調整することを特徴とする。

請求項３記載の発明は、
請求項２記載の不正侵入検出システムにおいて、
前記トラフィック解析層は、前記一次検出で不正侵入を検出することにより警報情報を送信し、前記二次検出で不正侵入を検出することにより前記一次検出と前記二次検出の結果を比較し、前記二次検出で検出した不正侵入が前記一次検出で検出した不正侵入よりも警報レベルが高い場合は前記警報情報の警報レベルを調整することを特徴とする。

請求項４記載の発明は、
ネットワークを介して伝送されるトラフィックパケットを収集して不正侵入を検出する不正侵入検出方法であって、
サンプリング収集で得たトラフィックパケットに基づき不正侵入を検出する第１のステップと、ミラーリング収集で得たトラフィックパケットに基づき不正侵入を検出する第２のステップ、を含むことを特徴とする。

請求項５記載の発明は、
請求項４記載の不正侵入検出方法であって、
前記第１のステップによる不正侵入検出結果と前記第２のステップによる不正侵入検出結果を比較し、サンプリング収集による不正侵入検出の精度が許容範囲外であれば前記サンプリング収集のサンプリングパラメータを前記精度が前記許容範囲内に収束するように調整する第３のステップ、を含むことを特徴とする。

請求項６記載の発明は、
請求項４または請求項５記載の不正侵入検出方法であって、
前記第１のステップは、不正侵入を検出した場合は警報情報を送信し、前記第２のステップで不正侵入を検出した場合は前記第１のステップによる不正侵入検出結果と前記第２のステップによる不正侵入検出結果を比較して前記第２のステップで検出した不正侵入が前記第１のステップで検出した不正侵入よりも警報レベルが高い場合は前記警報情報の警報レベルを調整する第４のステップ、を含むことを特徴とする。

本発明によれば、不正侵入検出の信頼性向上を図るとともに、システムとしての柔軟性を改善できる。

図１は、本発明に係る不正侵入検出システムの一実施例を示すブロック図であり、トラフィック生成層４とトラフィック収集層５とトラフィック解析層６の三層で構成されている。

トラフィック生成層４は、たとえば通信デバイス４１〜４４で構成され、実際にトラフィックパケットを生成して他の通信デバイスと通信を行う。

トラフィック収集層５は、トラフィック転送部５１とトラフィック収集部５２とサンプリングトラフィック保存データベース５３とミラーリングトラフィック保存データベース５４で構成されていて、トラフィック転送部５１とトラフィック収集部５２はネットワークスイッチ５５を構成している。トラフィック転送部５１には、ポート５１ａ〜５１ｇが設けられている。トラフィック収集部５２には、サンプリング収集部５２ａとミラーリング収集部５２ｂが設けられている。

ネットワークスイッチ５５は、通信デバイス４１〜４４が生成するトラフィックパケットを収集して、サンプリングトラフィック保存データベース５３またはミラーリングトラフィック保存データベース５４に保存する。具体的には、通信デバイス４１〜４４が生成するトラフィックパケットはポート４１ｂ〜４１ｅを介してサンプリング収集部５２ａまたはミラーリング収集部５２ｂに収集される。サンプリング収集部５２ａに収集されたトラフィックパケットはポート２１ａを介してトラフィック保存データベース２３に保存され、ミラーリング収集部５２ｂに収集されたトラフィックパケットはポート２１ｆを介してミラーリングトラフィック保存データベース５４に保存される。なおネットワークスイッチ５５は、トラフィックパケットの収集および各機器からの情報を伝送することが可能であればどのような中継機器であってもよい。

トラフィック解析層６は、たとえばトラフィック解析サーバ６１で構成され、実際に不正侵入を検出する。

また、トラフィック解析サーバ６１において、不正侵入検出ルール記憶部６１ａは、あらかじめ設定された不正侵入検出ルール(たとえばポート５１ａ〜５１ｆが受信するパケットの閾値やポート５１ａ〜５１ｆがパケットを受信する際の転送速度の閾値など)を記憶する。不正侵入検出部６１ｂは、不正侵入検出ルール記憶部６１ａに記憶されている不正侵入検出ルールに基づき、サンプリングトラフィック保存データベース５３とミラーリングトラフィック保存データベース５４に保存されているトラフィックパケットを解析して不正侵入検出の有無を検出する。警報出力部６１ｃは、不正侵入検出部６１ｂが不正侵入を検出した場合に警報を出力する。

収集機能切り替え部６１ｄは、不正侵入検出部６１ｂの検出結果に基づき、ネットワークスイッチ５５のトラフィックの収集方法を、ポート５１ｇを介してサンプリング収集部５２ａによる収集とミラーリング収集部５２ｂによる収集に切り替える。サンプリングパラメータ調整部６１ｅは、ポート５１ｇを介してサンプリング収集部５２ａのパラメータ（たとえばサンプリングレート）を変更する。警報レベル調整部６１ｆは、不正侵入検出部６１ｂの検出結果に基づいて緊急度などの警報レベルを変更する。不正検出結果記憶部６１ｇは、不正侵入検出部６１ｂの検出結果を記憶する。

なおネットワークスイッチ５５、通信デバイス４１〜４４、サンプリングトラフィック保存データベース５３、ミラーリングトラフィック保存データベース５４、トラフィック解析サーバ６１は、ＯＳ（Operating System）や各機器として動作するためのプログラムやアプリケーション、各種情報などを格納する記憶部、各部の動作を制御する演算制御部（たとえばＣＰＵ）、各機器間で通信を行う通信部などのハードウェアから構成される。

また、ネットワークスイッチ５５、通信デバイス４１〜４４、サンプリングトラフィック保存データベース５３、ミラーリングトラフィック保存データベース５４、トラフィック解析サーバ６１の演算制御部は、記憶部に格納されているＯＳなどを起動し、このＯＳ上で格納されたプログラムを読み出し実行することにより、各機器全体を制御し、各機器固有の動作を行う。なお、各機器の演算制御部が記憶部に格納されたプログラムを読み出し実行して各部を制御する動作については、以下省略する。

図２は図１の動作を説明するフローチャートである。はじめに、通信デバイス４１〜４４は、トラフィックパケットを生成し、ネットワークスイッチ５５経由で通信相手に送信する（ステップＳＰ１）。

ネットワークスイッチ５５は、自分を通して流れるトラフィックパケットを、トラフィック転送部５１により転送するが、その際に、トラフィック収集部５２のサンプリング収集部５２ａによりトラフィックパケットをキャプチャし、サンプリングトラフィック保存データベース５３宛に送信する（ステップＳＰ２）。

サンプリングトラフィック保存データベース５３は、ネットワークスイッチ５５からポート５１ａを介して自分宛に届いてきたパケットを保存する（ステップＳＰ３）。

トラフィック解析サーバ６１の不正侵入検出部６１ｂは、不正侵入検出ルール記憶部６１ａに記憶されている不正侵入検出ルールに従ってサンプリングトラフィック保存データベース５３に保存されているトラフィックパケットを解析し、不正侵入の有無を検出（以下一次検出という）する（ステップＳＰ４）。このとき不正検出結果記憶部６１ｇは一次検出の判定結果を記憶する。

不正侵入が検出されると、トラフィック解析サーバ６１は警報出力部６１ｃを起動してあらかじめ定められた警報レベル（たとえば警報レベル「低」）で警報（以下一次警報という）を出力するとともに（ステップＳＰ５）、収集機能切り替え部６１ｄを起動してネットワークスイッチ５５におけるトラフィック収集方法をサンプリング収集部５２ａによる収集からミラーリング収集部５２ｂによる収集へ切り替える（ステップＳＰ６）。

不正侵入が検出されなかった場合（ステップＳＰ４）は、直ちにステップＳＰ２に戻り不正侵入検出作業を繰り返して実行する。

具体的には、収集機能切り替え部６１ｄはネットワークスイッチ５５のポート５１ｇを介してトラフィック収集方法の切り替えパケットを送信し、ネットワークスイッチ５５は切り替えパケットに基づいてトラフィック収集をサンプリング収集部５２ａによる収集からミラーリング収集部５２ｂによる収集へと切り替える（ステップＳＰ６）。

ネットワークスイッチ５５のトラフィック収集部５２は、ミラーリング収集部５２ｂを起動して自機を通して流れるトラフィックパケットをキャプチャし、ミラーリングトラフィック保存データベース５４宛に送信する（ステップＳＰ７）。

たとえば、ミラーリング収集部５２ｂは、ポート５１ｆを制御してミラーポートとし、ネットワークスイッチ５５を通して流れる全てのトラフィックパケットを収集する。このとき、トラフィック収集部５２は、各ポートのポート識別番号を取得し、この通信ポートが受信したパケット数およびパケットを受信した際の転送速度に関する情報を取得する。

ミラーリングトラフィック保存データベース５４は、ネットワークスイッチ５５からポート５１ｆを介して自分宛に届いてきたパケットを保存する（ステップＳＰ８）。

不正侵入検出部６１ｂは、不正侵入検出ルール記憶部６１ａに記憶されている不正侵入検出ルールに従ってミラーリングトラフィック保存データベース５４に保存されているトラフィックパケットを解析し、不正侵入の有無を検出（以下二次検出という）する（ステップＳＰ９）。このとき不正検出結果記憶部６１ｇは一次検出の判定結果を記憶する。

ステップＳＰ９において不正侵入が検出されると、不正侵入検出部６１ｂは不正検出結果記憶部６１ｇに記憶されている一次検出の結果と二次検出の結果とを比較し、一次検出の精度が許容できる範囲内であるか否かを判定するとともに（ステップＳＰ１０）、警報レベル調整部６１ｆを起動して、警報の警報レベルを調整する必要があるか否かを判定する（ステップＳＰ１２）。

これは一次検出結果と二次検出結果の比較結果に基づき、一次検出結果と二次検出結果の値が異なる場合は警報レベルの調整が必要であるからである。たとえば、二次検出で検出した不正侵入が一次検出で検出した不正侵入よりもシステム全体に与える影響が高い場合などは、警報レベルを高くしてその旨を周知すべきである。

一次検出の精度が許容できる範囲であると判断した場合は（ステップＳＰ１０）、収集機能切り替え部６１ｄを起動してネットワークスイッチ５５におけるトラフィックの収集方法をミラーリング収集部５２ｂによる収集からサンプリング収集部５２ａによる収集へと切り替える（ステップＳＰ１５）。その後ステップＳＰ２に戻り、サンプリング収集による不正侵入検出作業を繰り返して実行する。

これはサンプリング収集部５２ａによって得られたトラフィックパケットによる不正侵入検出（一次検出）の精度で十分に正確であるので、サンプリング収集に戻してシステム全体の負荷を低減するためである。

一次検出の精度が許容できる範囲ではない判断すると（ステップＳＰ１０）、トラフィック解析サーバ６１はサンプリングパラメータ調整部６１ｅを起動して一次検出の精度があらかじめ定められた許容できる範囲内に収束するようにネットワークスイッチ５５のサンプリング収集部５２ａにおけるサンプリングのパラメータを設定する（ステップＳＰ１１）。その後ステップＳＰ７に戻り、ミラーリング収集による不正侵入検出作業を繰り返して実行する。

一方、警報レベルを調整する必要があると判断すると（ステップＳＰ１２）、警報レベル調整部６１ｆは警報レベルを高いレベル（たとえば警報レベル「高」）に設定し（ステップＳＰ１３）、警報出力部６１ｃを起動して調整された警報レベルで警報（以下二次警報という）を図示しない上位システムなどに出力する（ステップＳＰ１４）。

そして、図示しない上位システムは警報出力部６１ｃから出力される警報に基づいて不正侵入に対する対応を実行する。

他方、二次検出において不正侵入が検出されなかった場合は（ステップＳＰ９）、警報出力部６１ｃを起動して警報（一次警報）を停止し（ステップＳＰ１６）、収集機能切り替え部６１ｄを起動してネットワークスイッチ５５におけるトラフィックの収集方法をミラーリング収集部５２ｂによる収集からサンプリング収集部５２ａによる収集に切り替える（ステップＳＰ１７）。その後ステップＳＰ２に戻り、不正侵入検出作業を繰り返して実行する。

このように、一次検出結果と二次検出結果に基づいてサンプリング収集とミラーリング収集を切り替え、一次検出結果と二次検出結果を比較してサンプリングパラメータを調整することで、不正侵入検出の信頼性が向上し、システムとしての柔軟性が改善できる。

なお、本発明の不正侵入検出システムをインダストリアルオートメーションなどにおけるフィールド制御システムに導入するものであっても構わない。ここでフィールド制御システムは、フィードバック制御ループを構成する流量計や温度計などのセンサ、アクチュエータ、コントローラを含むフィールドデバイスがネットワークを介して接続し、プラントの運転を支援するものである。

図３は不正侵入検出システムをフィールド制御システムに導入した場合の構成ブロック図であり、図１と共通する部分には同一の符号を付けている。図３と図１の違いは、トラフィック生成層４に通信デバイス４１〜４４の代わりにフィールド機器４５〜４８が設置され、トラフィック解析層６にフィールド機器保全サーバ６２が設置されていることである。

フィールド機器保全サーバ６２は、フィールド機器４５〜４８の動作設定を行うものであり、フィールド機器４５〜４８の論理的な名前である機器タグや機能ブロックタグなどの構成情報やフィールド制御システムの動作を保持するために重要なフィールド機器の動作をランク付けした重要度情報、その他情報を記憶する構成情報管理部６１ａとフィールド機器４５〜４８の構成を設定するフィールド機器設定部６１ｂから構成される。なお、フィールド機器保全サーバ６２はネットワークスイッチ５５およびトラフィック解析サーバ６１に相互に接続される。

フィールド機器４５〜４８は、プロセス制御システムに使われるセンサ、コントローラ、アクチュエータなどの制御機器であり、ＡＩ（アナログ信号入力）、ＡＯ（アナログ信号入出力）、ＰＩＤ演算（比例、積分、微分演算）などのフィールド機器固有の機能ブロックを実行する機能、ネットワークスイッチ５５を介してデータ通信を行う通信機能を有する。

図４は図３の不正侵入検出システムの動作説明図である。トラフィックの収集やサンプリングパラメータの調整、警報レベルの調整などの動作は図２とほぼ同等であるので省略し、フィールド機器保全サーバ６２がトラフィック解析サーバ６１の不正侵入検出結果に基づいてフィールド機器４５〜４８を制御する動作について説明する。

ここで不正検出ルール記憶部６１ａは、フィールド機器保全サーバ６２の構成情報管理部６１ａの構成情報をベースに設定された不正侵入検出ルールを記憶する。たとえば不正侵入検出ルールは、あらかじめ定められたフィールド機器４５〜４８間で行われる機能ブロック間通信やその他のデータ通信などの通信量の閾値や各フィールド機器における通信の振る舞いのパターンに基づいて不正侵入を検出するものである。

不正侵入検出部６１ｂが二次不正侵入を検出した場合、トラフィック解析サーバ６１の警報出力部６１ｃは、各フィールド機器４５〜４８の不正侵入対策を指示するためにフィールド機器保全サーバ６２に警報情報を送信する。

フィールド機器保全サーバ６２は、トラフィック解析サーバ６１からの警報情報を受信するとフィールド機器保全サーバ６２の構成情報管理部６１ａの構成情報およびフィールド機器４５〜４８の重要度などに基づいて、フィールド機器設定部６１ｂを制御してフィールド機器の構成を設定し不正侵入対策を行う。

たとえば、トラフィック解析サーバ６１はフィールド機器４５からフィールド機器４６への不正な通信を検出して警報情報をフィールド機器保全サーバ６２に送信する場合、フィールド機器保全サーバ６２は構成情報管理部６１ａの構成情報およびフィールド機器の重要度に基づいて、ネットワークスイッチ５５を介してフィールド機器４５の不正・不要なサービスを停止するなど不正侵入対策のための設定を行う。

このように、本発明の不正侵入検出システムが各フィールド機器の構成情報を踏まえた不正侵入ルールに基づいて不正検出を行い、フィールド機器保全サーバがトラフィック解析サーバからの警報に基づき各フィールド機器に応じた不正侵入対策を講ずることができるためシステムの信頼性は向上する。

また、上記実施例では図２のステップＳＰ１０において、不正侵入検出部６１ｂは一次検出の精度が許容できる範囲内であるか否かを判定するとしているが、不正侵入検出部６１ｂは一次検出結果と二次検出結果の比率が、あらかじめ定められた許容範囲を表す許容定数「γ⁰〜γ¹」の範囲内であるか否かを判定するものであってもよい。

たとえば信頼性点数が０のときは不正侵入（Ｐ_i）は絶対に発生しないことを意味し、信頼性点数が１のときは不正侵入（Ｐ_i）は必ず発生することを意味している。また信頼性点数は大きければ大きいほど不正侵入（Ｐ_i）が発生する可能性が高いことを意味している。

λ_i＝／・・・（１）

たとえば警報レベル調整部６１ｆは、あらかじめ定められた複数の不正侵入のパターン（Ｐ_i）ごとに、ある不正侵入パターンによる被害の大きさを表す指標である「危険性の重み係数α_i」と、ある不正侵入パターンがどの程度の被害を与えるかを示す指標である「致死性の重み係数β_i」と、ある不正侵入パターンに対して現状のシステムがどの程度の防衛対策をとれているかを表す指標である「対策値ω」とを有しているものとする。信頼性点数「α_i」、「β_i」、「ω」は０以上１以下の数値である。

たとえば、不正侵入パターンとしてPortScanやHostScanを設定する場合では、PortScanやHostScanは広範囲に渡るネットワーク機器に実行できるものの実際にネットワーク機器に与えられる被害の程度は低いため、「α_i」は「β_i」よりも大きい値に設定されることになる。

＝０．５×（α_i＋β_i）×―ω・・・（２）

このように、不正侵入検出システムは、一次検出結果と二次検出結果とに基づいてサンプリング収集とミラーリング収集を切り替え、一次検出結果と二次検出結果とを比較してサンプリングパラメータを調整することにより、不正侵入検出の信頼性が向上し、システムとしての柔軟性が改善する。

また、上記実施例では図２のステップＳＰ１０において、不正侵入検出部６１ｂは、一次検出の精度が許容できる範囲内であるか否かを判定するとしているが、サンプリングパラメータの調整により一次検出精度は許容範囲に収束できるか否かを判定するものであってもよい。このとき、サンプリングパラメータの調整により許容精度範囲に収束させることができると判断する場合はサンプリングモードのパラメータ調整を行い（ＳＰ１１）、既に精度範囲内であって調整の必要がない場合は収集機能の切り替えを行うものであってもよい（ＳＰ１５）。またサンプリングパラメータの調整により許容精度範囲に収束させることができないと判断する場合は、いくらサンプリングパラメータを調整しも許容精度範囲に収束しないのでミラーリング収集を行うステップＳＰ７に移行するものであってもよい。

本発明に係る不正侵入検出システムの一実施例を示すブロック図である。 図２は図１の動作を説明するフローチャートである。 不正侵入検出システムをフィールド制御ネットワークに導入した場合の構成ブロック図である。 図３の不正侵入検出システムの動作説明図である。 従来の不正侵入検出システムの機能ブロック例図である。 図５の動作を説明するフローチャートである。

符号の説明

１、４ トラフィック生成層
２、５ トラフィック収集層
３、６ トラフィック解析層
１０、１１、１２、１３、４１、４２、４３、４４ 通信デバイス
２１、５１ トラフィック転送部
２１ａ、２１ｂ、２１ｃ、２１ｄ、２１ｅ、５１ａ、５１ｂ、５１ｃ、５１ｄ、５１ｅ、５１ｆ、５１ｇ、５１ｈ ポート
２２、５２ トラフィック収集部
２２ａ、５２ａ サンプリング収集部
２２ｂ、５２ｂ ミラーリング収集部
２３ トラフィック保存データベース
３１、６１ トラフィック解析サーバ
３１ａ、６１ａ 不正検出ルール記憶部
３１ｂ、６１ｂ 不正侵入検出部
３１ｃ、６１ｃ 警報出力部
５３ サンプリングトラフィック保存データベース
５４ ミラーリングトラフィック保存データベース
６１ｄ 収集機能切り替え部
６１ｅ サンプリングパラメータ調整部
６１ｆ 警報レベル調整部
６１ｇ 不正検出結果記憶部
６２ フィールド機器保全サーバ
６２ａ 構成情報管理部
６２ｂ フィールド機器設定部

Claims (6)

1. ネットワークを介して伝送されるトラフィックパケットを生成するトラフィック生成層と、前記ネットワークを介して伝送されるトラフィックパケットを収集するトラフィック収集層と、このトラフィック収集層で収集されたトラフィックパケットを解析して不正侵入を検出するトラフィック解析層とで構成され、
   前記トラフィック解析層は、不正侵入検出結果に基づき、前記トラフィック収集層におけるサンプリング収集とミラーリング収集を切り替えることを特徴とする不正侵入検出システム。
2. 前記トラフィック解析層は、
   サンプリング収集したトラフィックパケットに対して一次の不正侵入検出を行い、不正侵入を検出するとミラーリング収集に切り替え、前記ミラーリング収集したトラフィックパケットに対して二次の不正侵入検出を行い、これら一次および二次検出の結果を比較し前記一次検出の精度が許容範囲外であれば許容範囲内に収束するように前記サンプリング収集のサンプリングパラメータを調整することを特徴とする
   請求項１記載の不正侵入検出システム。
3. 前記トラフィック解析層は、
   前記一次検出で不正侵入を検出することにより警報情報を送信し、前記二次検出で不正侵入を検出することにより前記一次検出と前記二次検出の結果を比較し、前記二次検出で検出した不正侵入が前記一次検出で検出した不正侵入よりも警報レベルが高い場合は前記警報情報の警報レベルを調整することを特徴とする
   請求項２記載の不正侵入検出システム。
4. ネットワークを介して伝送されるトラフィックパケットを収集して不正侵入を検出する不正侵入検出方法であって、
   サンプリング収集で得たトラフィックパケットに基づき不正侵入を検出する第１のステップと、
   ミラーリング収集で得たトラフィックパケットに基づき不正侵入を検出する第２のステップ、
   を含むことを特徴とする不正侵入検出方法。
5. 前記第１のステップによる不正侵入検出結果と前記第２のステップによる不正侵入検出結果を比較し、サンプリング収集による不正侵入検出の精度が許容範囲外であれば前記サンプリング収集のサンプリングパラメータを前記精度が前記許容範囲内に収束するように調整する第３のステップ、を含むことを特徴とする
   請求項４記載の不正侵入検出方法。
6. 不正侵入を検出した場合は警報情報を送信する前記第１のステップと、
   前記第２のステップで不正侵入を検出した場合は前記第１のステップによる不正侵入検出結果と前記第２のステップによる不正侵入検出結果を比較して前記第２のステップで検出した不正侵入が前記第１のステップで検出した不正侵入よりも警報レベルが高い場合は前記警報情報の警報レベルを調整する第４のステップ、を含むことを特徴とする
   請求項４または請求項５記載の不正侵入検出方法。

Images