JP2015513828A - フィールド・エリア・ネットワークにおけるパケット取得、解析及び侵入検出の方法及びシステム - Google Patents

Abstract

データがパケットによって送信されるフィールド・エリア・ネットワークにおける侵入検出のシステムは、パケットが侵入を示すルールの組に適合するか否かを確かめるためにパケットを解析するプロセッサと、パケットが組の中の少なくとも１つのルールに適合する場合、侵入を示す警告を格納するデータベースとを含む。ルールの組は、フィールド・ネットワークレイヤデータ、インターネット・プロトコル・トラフィック・データ及びフィールド・エリア・アプリケーション・トラフィック・データを対象にする。データがパケットによって送信されるフィールド・エリア・ネットワークにおいて侵入を検出する方法は、パケットがルールの組に適合するか否かを確かめるためにパケットを解析することと、パケットがルールの組の中の少なくとも１つのルールに適合する場合、侵入を指示する警告を格納することとを含む。

Description

本開示は、配電用のスマートグリッドに関連付けられたデータ及び制御ネットワークに関する。より詳しくは、本開示は、フィールド・エリア・ネットワーク（ＦＡＮ）のための侵入検出及びネットワーク監視を独立して提供するために、スマートメーター及び配電自動機器によって使用されるＦＡＮ通信を傍受、復号化、及び解析するシステムに関する。

電気の発生、伝送、及び分配のための従来のシステムは公知である。発電所、又はその他の発生源が電気を発生する。電圧は、高電圧送電線を介した分配のため昇圧される。送電線は変電所に接続され、変電所は、何らかの中間電圧レベルまで電圧を降圧する。この中間電圧レベルの電力が分配され、家庭及び会社に届けられる電圧までさらに降圧される。

スマートグリッドは、効率を改善し、再生可能な発生源を統合し、保守を促進し、電気の発生、伝送、分配、消費及び場合によっては蓄電をより良好に測定及び管理する国内の電気系統の近代化である。スマートグリッドにおける多くの新しい技術は配電網に重点を置いている。

スマートグリッド技術の成功要因は、複数のＦＡＮにおける高機能な組込みシステム及び通信である。高機能な組込みシステムは、センサ、制御及び監視能力を付加する電力コンポーネントに組み込まれた小型コンピュータシステムである。ＦＡＮは、複数の組込みシステムコントローラ、及び、電気系統が動作中のスマートグリッド・コンポーネントの測定及び制御のための複数のバックエンド・アプリケーション同士の間の通信を可能にする。

高度計量インフラストラクチャ（ＡＭＩ）は、スマートグリッドの最前線であると考えられている。ＡＭＩは、スマートグリッド技術の最初の大規模開発であり、複数のスマートメーター、及び、複数のバックエンド・アプリケーション同士の間の無線通信をサポートするために、あらゆる家庭及び通信アクセスノード又はアクセスポイントにスマートメーターを配備することを必要とする。スマートメーターは、本質的に、ネットワーク・インターフェース・カード付きのソリッド・ステート・コンピューティング及び検針装置である。スマートメーター・エネルギー・アプリケーションは、遠隔検針と、遠隔切断／接続と、停電管理と、時間帯別価格及び直接負荷制御のような需要応答と、ホーム・エリア・ネットワーク（ＨＡＮ）を介する顧客エンゲージメントとを含む。

さらに、スマートグリッドは、アセット状態及び状況、エネルギーフローを監視し、且つ、スイッチ、回路リクローザ、及びコンデンサバンクのような能動コンポーネントを遠隔制御するために、インテリジェント制御及びセンサを配電変圧器、配電フィーダ、及び配電変電所に追加する。スマートグリッドのこの部分は、配電自動化（ＤＡ）として知られている。

無線ネットワーキング技術は、スマートメーター及びＤＡ電気的アセットの分散性に起因するスマートグリッドＦＡＮ通信をサポートする一般的な手段である。スマートメーター及びＤＡ電気的アセットは、同じ物理的地域内に共存するので、これらは、ＦＡＮ通信のため同一の又は類似の無線ネットワーキング技術を使用することがある。

ＡＭＩ及びＤＡネットワークで使用される無線ＦＡＮのような無線ＦＡＮの管理及び安全化には、いくつかの課題が存在している。第１に、ＦＡＮは、多様な無線及び有線技術を組み合わせる広域的な、マルチベンダー型の、異種ネットワークである。第２に、ＦＡＮは、公益事業者が配備し、且つ、所有することがよくある最大のネットワークを構成する。ＡＭＩ ＦＡＮは、低帯域幅チャネルを介して管理されるべき数百万台のスマートメーターを格納することができる。第３に、ＦＡＮは非保護環境で動作する。高機能なエンドポイントは、容易には物理的に保護され得ず、多くの場合に物理的及びサイバー攻撃を受けやすい。第４に、かなりの多くのＡＭＩ及びＤＡ無線技術は、独占的な無線通信システムであり、この無線通信システムは、独占的及び標準ベースのネットワーキングプロトコルの混合をもたらし、これらのネットワーキングプロトコルの一部は、セキュリティの観点から未だ適切に精査されていない。第５に、フィールド機器ハードウェアの更新及び交換は非常に費用がかかり、且つ、ソフトウェア更新は、すべてのセキュリティ脆弱性を是正することができないので、ＦＡＮを運用する公益事業者は、個々に異なった脆弱性プロファイルをもつ複数の年式のハードウェアを監視しなければならいことがよくある。いくつかのセキュリティ脆弱性は、ハードウェア及び無線通信が本来備え持つものである。これらの脆弱性は除去される可能性がなく、これらの脆弱性の潜在的な利用を検出する手段が包括的なセキュリティプログラムの一部として必要とされる。第６に、特に、ＡＭＩのための多くの新しいＦＡＮは、従来のＩＰネットワークよりダイナミックであり、且つ、スマートメーター配備の場合のように大規模に理解されることが少ないアドホック型自己形成ネットワークである。さらに、ＦＡＮ無線技術は、依然として全く未完成であり、且つ、例えば、通信セキュリティ、ネットワーク性能、及びルーティングの改良が絶えず行われている。

すべてのこれらの課題を考えると、可視性、状況認識及びセキュリティ監視を提供するために、ＩＰエンタープライズネットワークにおいて広く採用されているネットワーク管理及びセキュリティツールに類似しているネットワーク管理及びセキュリティツールの多大な必要性がある。しかし、現在のところ、商用ソリューションは、無線ＦＡＮトラフィックを監視し、且つ、セキュリティ異常／侵入、ネットワーク性能問題又はソフトウェア・バグでさえ検出するために利用できない。その上、ＦＡＮコンポーネントにおけるサプライチェーン・サイバー・リスクを緩和するのに役立つ独立した監視能力が存在しない。ＦＡＮに関するすべての情報は、現在のところ、スマートグリッド・コンポーネント・ベンダーによって提供されたアプリケーション・マネージメント・ツールを通じて調達されるが、ベンダーのサプライチェーンが危険に晒された場合、信頼できないことになる。

多くのスマートグリッド技術は、未だ初期の段階にある。ＡＭＩ、ＤＡ及びＦＡＮシステムのプロバイダは、現在、それらの主張する機能を正常に働かせることによって消耗させられている。ネットワーク監視及び侵入検出システムを実施することに注意を払うことが殆どなかったか、又は、全くなかった。さらに、多くのＦＡＮは、独占的無線通信システム及びプロトコルを使用するので、ＩＰネットワークのため広く使用されているソリューションは全く正常に機能しないことがよくある。なおその上に、業界は、長年の経験からＩＰネットワークにおける脆弱性を理解しているが、業界は、広域ＦＡＮにおける脆弱性に関して依然として発見期間にある。

スマートグリッドＦＡＮ技術は新しく、且つ、先行のソリューションについて公衆利用可能な情報がない。アナロジーはＷｉ−Ｆｉネットワークにおけるネットワーク監視及び侵入検出を限られた範囲でなされ得る。しかし、Ｗｉ−Ｆｉネットワークにおける公知の商用ソリューション侵入検出は、無線通信経由キャプチャによって動作しない。Ｗｉ−Ｆｉネットワークの地理的な領域は、スマートメーター・ネットワークと比べると小規模であり、Ｗｉ−Ｆｉは、公開された公的基準に基づいて構築されている。

本開示の目的は、スマートグリッド・ベンダーの製品及びサプライチェーンとは独立した手段全体を通じて、ＦＡＮにおける通信と、ネットワークに関する抽象及び現在情報と、使用可能な形式の通信フローとを傍受し、復号化し、解析し、蓄積し、並びに、分散型侵入検出及びネットワーク監視能力を実施する方法及びシステムを提供することである。

本開示は、スマートグリッド・ベンダーの製品及びサプライチェーンとは独立した手段全体を通じて、ＦＡＮにおける無線通信経由及びヘッドエンド通信を傍受し、復号化し、解析し、蓄積し、並びに、分散型侵入検出能力を実施する交換可能なプローブに基づく方法及びシステムをさらに対象とする。

本開示は、多数のフィールド及びヘッドエンドプローブからのパケットストリームが検査され、ノードの挙動がモデル化されるフィールド・エリア・ネットワークにおける侵入検出及びネットワーク監視システムを対象とする。このシステムは、パケット及び通信フローが異常又は侵入の兆候を示すルール及び挙動の組に適合するか否かを確かめるために、パケット及び通信フローを解析する１つ以上の侵入検出機能と、パケット又はフローがルールの組のうちの少なくとも１つのルールに適合する場合、異常、侵入、又は予期しないノードを示す警告を格納するデータベース部とを含む。

侵入検出機能は、メッシュネットワークの構成及び保守をサポートする物理的な、媒体アクセス制御（ＭＡＣ）、並びに、プロトコルスタックのリンク部分とネットワーク部分との間のレイヤを解析するように構成され得る。侵入検出機能は、このコンテンツが第１のルールの組を満たすか否かを判断し、第１のルールの組のうちの少なくとも１つのルールを満たす物理レイヤ及び低レイヤデータを示す警告をデータベースに格納する。典型的に、物理レイヤ且つ低レイヤは、本質的に独占的であり、これらの物理レイヤ及び低レイヤのコンテンツを理解するためにリバースエンジニアリングを必要とする。

侵入検出機能は、インターネット・プロトコル・データがパケットに存在するか否か、及び、インターネット・プロトコル・データが第２のルールの組を満たすか否かを判断するためにパケットを解析し、第２のルールの組のうちの少なくとも１つのルールを満たすインターネット・プロトコル・データを示す警告をデータベースに格納するように構成され得る。インターネット・プロトコル・データは、ＩＰｖ４又はＩＰｖ６パケットとすることが可能である。

侵入検出機能は、フィールド・エリア・ネットワーク・アプリケーション・データがパケットに存在するか否か、及び、フィールド・エリア・ネットワーク・アプリケーション・データが第３のルールの組を満たすか否かを判断するためにパケットを解析し、第３のルールの組のうちの少なくとも１つのルールを満たすフィールド・エリア・ネットワーク・アプリケーション・データを示す警告をデータベースに格納するように構成され得る。

侵入検出機能は、分散又は集中させることができる。この機能は、ＦＡＮに組み込まれたフィールドプローブ、フィールド・エリア・ネットワークのヘッドエンドに配置されたプローブ、又はフィールド・エリア・ネットワークのデータ・ネットワーク運用センター若しくはセキュリティ運用センターの内部のコンピューティング・プラットフォームに置くことが可能であり、フィールド及びヘッドエンドプローブからのトラフィックが解析及び格納のためルーティングされる。

ＦＡＮ侵入検出及び監視システムは、回収、再生、事後解析及び後の犯罪捜査用に、プローブによって傍受されたトラフィックを格納するリポジトリをさらに含む。

ＦＡＮ侵入検出及び監視システムは、システムユーザが監視、解析、及び可視化アプリケーションのセットにアクセスする電子アクセス権を提供するクライアント・サービス・ポータルをさらに含む。これらのアプリケーションは、ユーザがシステム及びプローブの健全性及び運用状態を監視し、システムによって発生させられた侵入検出警告を閲覧し、リアルタイム及び格納されたパケットトレースを閲覧し、復号化し、解析し、フィルタ処理し、ＦＡＮトポロジー及び通信フローを解析し、可視化することを可能にする。システムは、リアルタイム警告を配信するために侵入検出システムからクライアントのセキュリティシステムに警告を電子フィードすることも可能である。

ルールは、ルールにアクセスする鍵の組を含むデータベースに安全に格納されている。鍵の組は、フィールド・エリア・ネットワークにおける送信側及び受信側ペアのＭＡＣアドレスとＩＰアドレスとのうちの少なくとも一方に基づいて取り出される。

本開示は、パケットがルール又は挙動の組に適合するか否かを確かめるためにパケットを解析することと、パケットが少なくとも１つのルール又は挙動に適合する場合、侵入を示す警告をデータベースに格納することとを含む、データがパケットを用いて送信されるフィールド・エリア・ネットワークにおいて侵入を検出する方法をさらに対象とする。

この方法は、第１のルールの組のうちのいずれかが満たされているか否かを判断するために、メッシュネットワークの構成及び保守をサポートする物理的な媒体アクセス制御（ＭＡＣ）、並びに、プロトコルスタックのリンク部分とネットワーク部分との間のレイヤを解析することと、第１のルールの組のうちの少なくとも１つのルールを満たす物理レイヤ及び低レイヤデータを示す警告をデータベースに格納することとをさらに含むことが可能である。

この方法は、インターネット・プロトコル・データがパケットに存在するか否か、及び、インターネット・プロトコル・データが第２のルールの組を満たすか否かを判断するためにパケットを解析することと、第２のルールの組を満たすインターネット・プロトコル・データを示す警告をデータベースに格納することとをさらに含むことが可能である。インターネット・プロトコル・データは、ＩＰｖ４又はＩＰｖ６パケットとすることが可能である。

この方法は、フィールド・エリア・ネットワーク・アプリケーション・データがパケットに存在するか否か、及び、フィールド・エリア・ネットワーク・アプリケーション・データが第３のルールの組を満たすか否かを判断するためにパケットを解析することと、第３のルールの組のうちの少なくとも１つのルールを満たすフィールド・エリア・ネットワーク・アプリケーション・データを示す警告をデータベースに格納することとをさらに含むことが可能である。

パケットは、ＦＡＮに配置されているプローブ又はフィールド・エリア・ネットワークのヘッドエンドにおけるプローブから受信され得る。ノードイベントのような侵入検出に適切なその他の情報は、配電システム又は管理システムに関連付けられたフィールド・エリア・ネットワークの運用センターから受信され得る。

本開示は、プローブによって傍受されたトラフィックトレースを格納し、取り出す方法をさらに対象とする。

本開示は、発明のホスト型又は管理型サービス実現をサポートするためにクライアント・サービス・ポータルを介してシステムユーザがアプリケーションの組にアクセスできるようにする方法をさらに対象とする。

本開示は、システム及びプローブの健全性及び運用状態を監視し、システムによって生成された侵入検出警告を閲覧し、リアルタイム及び格納されたパケットトレースを閲覧し、復号化し、解析し、フィルタ処理し、かつ、ネットワークトポロジー及び通信フローを解析し、可視化する方法をさらに対象とする。

本開示は、コンピュータシステムによって実行されたとき、データがパケットによって送信されるフィールド・エリア・ネットワークにおいて侵入を検出する方法のステップの実行をもたらすコンピュータプログラムの命令を格納するコンピュータ読み取り可能な一時的でない記憶媒体をさらに対象にする。これらのステップは、パケットが１つ以上のルールの組に適合するか否かを確認するためにパケットを解析することと、パケットが１つ以上のルールの組のうちの少なくとも１つのルールに適合する場合、侵入を示す警告をデータベースに格納することとを含む。

ＦＡＮ侵入検出及び監視システムアーキテクチャの高レベルブロック図である。 電柱上のＦＡＮプローブの設置例を示す。 図１ＣはＦＡＮ ＩＤＳシステムがどのようにして公益事業ネットワークインフラにオーバーレイすることができるかを示す。

ＦＡＮ侵入検出及び監視システムアーキテクチャ１の高レベルブロック図である。

独立型のプローブに基づく侵入検出及び監視システムアーキテクチャの高レベルブロック図である。

ＩＤＳパケット・フロー・アーキテクチャを示す。

ヘッドエンドに基づくＦＡＮアナライザ／ＩＤＳアーキテクチャを示す。

プローブサブシステムのブロック図である。

図６のＲＦデータ収集装置のＦＡＮデータ収集プロセスのフローチャートである。

図６のプローブ・コントローラ・ボードのデータキャッシング及び送信プロセスのフローチャートである。

図６のウォッチドッグ・タイマのプローブ・ウォッチドッグ・タイマ・プロセスのフローチャートである。

正常運用中の図６のコントローラボードのウォッチドッグ・タイマ利用プロセスのフローチャートである。

電力サイクルの起動中の図６のコントローラボードのウォッチドッグ・タイマ利用プロセスのフローチャートである。

電力サイクルが始動される方法のフローチャートである。

プローブ管理サブシステムのコンポーネントのブロック図である。

図１２のプローブ管理サブシステムのプローブプロセスの遠隔管理のコンポーネントのフローチャートである。

プローブ管理システムによって生成されたプローブ管理ダッシュボードＧＵＩである。

データ・プロセッサ・サブシステムのコンポーネントのブロック図である。

図１４のコレクタ／ディセミネータのフロープロセスのフローチャートである。

図１４のデータプロセッサによって実行される侵入検出システムプロセスのフローチャートである。

図１４のユーザ・ポータル・サブシステムのコンポーネントのブロック図である。

ＦＡＮアナライザ２１８のコンポーネントの動作の高レベルブロック図である。

ＭｅｓｈＶｉｅｗアプリケーション・データ処理フローのハードウェア及びソフトウェアコンポーネントの組の略図である。

ＭｅｓｈＶｉｅｗアプリケーション・データ処理フローのためのネットワーク・コンフィギュレーション・データを作成する処理の略図である。

ＭｅｓｈＶｉｅｗアプリケーションにおけるパーサフィルタの組のグラフィック表現である。

プローブトラフィックに基づくＭｅｓｈＶｉｅｗアプリケーションにおけるノード及びノードルートの相互接続のプロット図である。

地形画像上のＭｅｓｈＶｉｅｗアプリケーションから生成されたノードの一部分とノードルートの重ね合わせである。

プローブトラフィックの解析からＭｅｓｈＶｉｅｗアプリケーションによって生成されたコネクティビティ・マップのスクリーンショット例である。

ＭｅｓｈＶｉｅｗアプリケーションにおけるフィルタ処理の結果に基づいたパケットフィルタ及び通信統計データを表すスクリーンショット例である。

ＭｅｓｈＶｉｅｗアプリケーションに時間的に現れた通りにパケット及び通信を表すタイムライン図を示す。

ＭｅｓｈＶｉｅｗアプリケーションのためのコンポーネントの論理ブロック図である。

２つ以上の図面に共通するコンポーネント又は特徴は、個々の図面において同じ符号で示される。符号は、一般に、コンポーネント又は特徴が最初に記載された図の図番から始まる。

図１Ａは、ＦＡＮ侵入検出及び監視システムアーキテクチャの高レベルブロック図を示す。ＦＡＮ侵入検出及び監視システムは、２つの主要なサブシステム、すなわち、フィールド及びヘッドエンドプローブと、全体的に４２として示されたＦＡＮバックエンド監視サブシステムとで構成されている。ＦＡＮ侵入検出及び監視システムは、公益事業者のようなＦＡＮ所有者によって配置され、運用されること、又は、別の当事者によって管理型セキュリティサービスのようなホスト型サービスとして提供されることが可能である。好ましい実施では、ＦＡＮ侵入検出及び監視システムは、複数のＦＡＮをサポートするホスト型管理型セキュリティサービスとして運用される。

多数のプローブ１１２がＦＡＮバックエンド監視サブシステム４２によるバックホール及び解析のためＦＡＮトラフィックを傍受するためにＦＡＮ１１０に挿入される。固定外部プローブ１１２は、支柱、タワー、変電所及び建物のようないずれかの公益事業者アセット、又は、所有権者の許可が与えられた商業及び個人住宅構造物に位置することも可能である。固定プローブからのトラフィックは、商用無線ネットワーク（例えば、３Ｇ（登録商標）又はＬＴＥ（登録商標））又は既存の公益事業者ティア１及び２レイヤネットワーク設備を通じてバックホールされる。

固定プローブ１１２は、同じ場所に置かれること、或いは、住宅用若しくは商業用メーター、又は、スマートグリッド・ホーム・エリア・ネットワークの内部のＨＡＮ使用可能若しくは負荷制御装置のサブセットに内蔵されることも可能である。ＨＡＮ使用可能装置は、典型的に、エネルギー使用量、使用時間料又は需要反応行動を公共料金納付者に通知する。メーター及びＨＡＮ装置プローブは、利便性に優れた電力へのアクセス、及び、あまり過酷ではない物理的環境という優位性を提供する。さらに、商業用メーターは、典型的に、プローブによって使用され得るデータコネクティビティを有している。住宅用スマートメーターは、ＡＭＩデータコネクティビティを有しているが、サプライチェーン完全性のためＡＭＩ通信からのプローブ通信の独立性を維持するために、且つ、過負荷帯域幅制限ＡＭＩネットワークを回避するためにプローブ通信のため別個のネットワークを使用することが好ましい。メーター及びＨＡＮに基づくプローブは、一般に、顧客が自分の固定ブロードバンド接続の使用を許可しない限り、トラフィックバックホールのため商用無線サービスを使用するものである。

モバイルプローブは、公益事業者の業務用車両４４、又は、モバイルプローブのホストになることを承諾するいずれかの車両に配置される。自治体が自らの電気インフラを保有し、運用する町村では、プローブ１１２は、ゴミ収集車、警察車両、街路掃除及び道路整備車両を含む自治体車両に置かれることがある。モバイルプローブは、タクシー及び配達用トラックのような商用車両に置かれることもある。主要な要件は、ＦＡＮ１００が配置されている公益事業者サービス地域内で車両が移動することである。公益事業者及びサービストラックを使用する利益は、これらのトラックが通常では無線データコネクティビティ及び全地球測位システム追跡装置を既に装備し、モバイルプローブによって使用され得ることである。

モバイルプローブは、商用無線ネットワークを介してトラフィックをバックホールするか、又は、車両がこの車両の収納ポイントに帰還した時点での後のアップロードのためトラフィックを記憶し、この時点で、このモバイルプローブのトラフィックは、ローカルＷｉ−Ｆｉサービスを介して、又は、ＵＳＢメモリスティック転送を使用して手動でアップロードされることがあり、それによって、ワイド・エリア・ネットワークコネクティビティの必要性をなくす。

ヘッドエンドプローブ１１２は、アクセスポイント（後述される）とヘッドエンド管理システムとの間のすべてのトラフィックを傍受するためにＦＡＮヘッドエンド区画の中に置かれる。ヘッドエンド・プローブ・トラフィックは、十分な帯域幅を持ついずれかの利便性に優れたネットワーク、典型的に有線のＩＰネットワーク、を介して送信される。

フィールドプローブ１１２は、メーターからトラフィックを受信し、且つ、ＤＡ／ＳＡトラフィックを受信する。プローブ１１２からのリアルタイムＡＭＩトラフィックがコレクタ／ディセミネータ２１４へのバックホールネットワーク１２０を介してＦＡＮバックエンド監視サブシステム４２に送信される。コレクタ／ディセミネータ２１４からのデータは、侵入検出システムＩＤＳ２１６と、ＦＡＮアナライザ２１８と、概ね３ヶ月の期間に亘りトラフィックを格納するトラフィック・トレース・リポジトリ２１７（図１４）とに広められる。プローブ管理システム２２０は、コレクタ／ディセミネータ２１４と通信する。ＩＤＳ２１６は、５０に警告及びイベントを記録する。このような警告及びイベントは、クライアント・サービス・ポータル又はユーザポータル６１からも受信され、５２に示された脅威を解析し、ＦＡＮアナライザ２１８への入力を提供する専用サイバー脅威解析チームに転送される。サイバー脅威解析チーム５２から、及び、クライアント・サービス・ポータル又はユーザポータル６１からの入力もまた後述されるＭｅｓｈＶｉｅｗアプリケーション５３に転送されると共に、セキュリティ、エンジニアリング及び運用機能を含む公益事業者５８の内部のセキュリティ情報及びイベント管理（ＳＩＥＭ）アプリケーション５６のメーターイベント部５４にも転送され、これらのコンポーネント、及びこれらの機能は、後述される。

図１Ｂは、配電電圧のためのワイヤ６４と、顧客に供給される典型的な１２０ボルトのためのワイヤとを支える電柱に搭載されているトラフィックを送信するアンテナ６０を有するプローブの典型的な配置を示す。ワイヤ６６に接続された、ワイヤ６８は、プローブ１１２の動作のための電力を供給する。

図１Ｃは、プローブ及びＦＡＮバックエンド監視システムがどのようして典型的なレイヤ状ユーティリティ・ネットワーク・インフラにオーバーレイするかを示す。最低レベルで、住宅又は建物用のホーム・エリア・ネットワーク（ＨＡＮ）１０２は、少なくとも１台のプログラマブル通信サーモスタット（ＰＣＴ）１０５、少なくとも１台の住宅用負荷制御装置１０６及びインハウスのような１台以上の高性能型メーター又はスマートメーター１０４及びＨＡＮ使用可能装置に関連付けられている。スマートメーター及びＤＡ装置は、メーター１０４と、アクセスポイント１１６と、中継器１１７と、センサ及び配電自動制御装置１１４との間で低帯域幅ＲＦ通信を用いてメーター、ＨＡＮ及び配電自動トラフィックを運ぶＦＡＮ１１０を介して通信する。アクセスポイント１１６は、ＦＡＮトラフィックを公益事業者アプリケーションのためのヘッドエンドシステムへのバックホール用のワイド・エリア・ネットワーク（ＷＡＮ）トラフィックに遷移させるゲートウェイとしての役割を果たす。ＷＡＮは、アクセスポイントを公益事業者バックエンドインフラ、又は、ファイバ又はマイクロ波システムからなるコア第１層ネットワーク１３０を介して公益事業者バックエンドにつながる変電所にある第２層ローカルネットワーク１２０の組み合わせに接続する商用無線ネットワークで構成されることがある。

ＦＡＮ１１０からのデータは、概ね中間帯域幅ＲＦ通信によってバックホールネットワーク１２０に通信される。バックホールネットワーク１２０は、光ファイバ又はマイクロ波通信を使用することがあるコアネットワーク１３０にデータを移動することを容易にするために一連のルータ１２２を含むことができる。ルータ１３２は、データを監視制御及びデータ収集（ＳＣＡＤＡ）機器１３４にルーティングする。トラフィックは、次に、エンジニアリング１４３、セキュリティ１４５及びネットワーク運用１４７を含むＦＡＮスマートメーター／ＤＡ運用センター１４２に送信される。プローブデータは、ヘッドエンド管理システム１４８及びヘッドエンド・プローブ・インターフェース１４９を含むＦＡＮバックエンド監視サブシステム４２に送信される。データは、モデル駆動型監視システム（ＭＤＭＳ）データバス１５２で利用可能である。

前述の通り、プローブは、ＦＡＮ、ＨＡＮ、及びヘッドエンドシステム区画の内部の様々な場所に挿入される。プローブトラフィックは、商用無線ネットワーク、第２及び１層ユーティリティネットワークと潜在的な顧客ブロードバンドアクセスとを介して、ＦＡＮバックエンド監視サブシステムにバックホールされる。ＦＡＮバックエンド監視サブシステムは、ホスト型ソリューションの場合のように、ヘッドエンド管理区画の中若しくは近くに、又は、別の当事者のサイトに存在する公益事業者データ、ネットワーク運用又はセキュリティ運用センターに位置することが可能である。

固定プローブは、多様な配備戦略を使用してＦＡＮに挿入される。１つの戦略は、メーター高密集の地域にプローブを配備することである。第２の戦略は、犯罪率が高い地域又はエネルギー窃盗及び機器不正操作が過去に行われた地域にプローブを配備することである。第３の戦略は、被害を受けやすい機器の近くで無線通信経由ＤＡ及びＡＭＩ通信を監視することを可能にするために配電自動機器が存在する地域にプローブを配備することである。第４の戦略は、工業中心地、重要なインフラ、政府事務所及び軍事基地のような被害を受けやすい商業及び政府設備の近くにプローブを配備することである。第５の戦略は、十分な照準範囲をもつ単一のプローブを用いて３つ又は４つのアクセスポイントに対するトラフィックを対象とするように複数のアクセスポイント・カバレッジ・ゾーンの交差点にプローブを配備することである。プローブは、アクセスポイントより優れているＲＦフロントエンドを用いて設計され、より長い距離に到達することができる。最後に、第６の戦略は、１台があらゆるアクセスポイントと同じ場所に配置されるようにプローブを配備することである。

固定プローブは、ＦＡＮの完全な地理的カバレッジを行うために配備される必要がない。モバイルプローブは、プローブを配置することを承諾した自治体車両、タクシー又は配達用トラックのような公益事業者又は別の当事者によって所有される業務用車両を利用して、サービス地域全体からトラフィックをサンプリングする手段として使用される。

図２は、プローブがより詳しくされたシステムアーキテクチャを示す。多数のプローブ１１２が公益事業者の分散ネットワークに配備される。コントローラ又は組込みホスト２０６は、シリアル又はバスインターフェースを介して商用無線モデム２１０を制御し、セキュアセッションを確立し、パケットをストリーム化し、及び／又は、イベントを送信する。代替的には、カスタムドライバ開発を回避するために、好ましくは、組込みＬｉｎｕｘ（登録商標）システムである組込みホスト２０６は、３Ｇ（登録商標）又はＬＴＥ（登録商標）コネクティビティを提供する標準Ｗｉ−Ｆｉ接続を介して無線モデム又はＭｉ−Ｆｉ装置２１０に通信する。

図２は、インターネット又はプライベートネットワーク２１２を介する無線モデム又はＭｉ−Ｆｉ装置２１０からコレクタ／ディセミネータ２１４へのデータの通信を含むその他のコンポーネントを示す。データは、コレクタ／ディセミネータ２１４からＩＤＳ２１６、ネットワーク・アナライザ２１８及び後述されるその他のバックエンドシステムに通信される。プローブ管理システム２２０は、インターネット又はプライベートネットワーク２１２及び無線モデム又はＭｉ−Ｆｉ装置２１０を介してプローブへの制御情報を組込みホスト２０６に送信する。

プローブ１１２のその他のコンポーネントは、ローカルストレージ２０８及び任意選択的なローカル侵入検出機能２０４を含む。クライアント・アクセス・サブシステムは、２２２に表されている。２２４に表されるようなその他のプローブコンポーネントは、図６においてより詳細に説明される。

プローブは、ＦＡＮにおいて送信されている無線通信信号にアクセスするために無線通信フロントエンド技術２０２を実施する。典型的に、これらの信号は、ＡＭＩネットワーク用の９００ＭＨｚ ＩＳＭバンドに多数のチャネルを介する周波数ホッピングスペクトル拡散技術を用いて送信される。米国特許第５，０７９，７６８号は、周波数変化の疑似ランダムパターンを使用する周波数ホッピング通信ネットワークの動作と、エポックに配置された通信スロットの使用と、受信機のチャネル及びノードが後のスロットを送信すべきか又は待ち受けるべきかを判断する方法とについて記載する。

プローブは、複数のチャネルを格納する広帯域のキャプチャと各チャネルのリアルタイム復調とを可能にする独立したＲＦフロントエンド、チャネルスキャン技術、及び／又はデジタル信号処理技術の組み合わせを通じて複数チャネルキャプチャをサポートする。好ましい実施では、プローブは、選択されたパーセンテージのトラフィックがキャプチャされるように監視するためにいくつかの周波数を選択することによりＦＡＮトラフィックをサンプリングすることがよくある。例えば、ＦＡＮトラフィックが８０チャネルすべての間で均等に分散させられている８０チャネルシステムでは、８チャネルの選択は、プローブが１組のチャネルで静止している技術を使用してＦＡＮトラフィックの１０％サンプルをもたらすということになる。代替的には、プローブ内の個々のＲＦフロントエンド２０２は、個々のフロントエンド２０２が全帯域幅の一部分を対象とする状態で、選択されたチャネルの組を通じてスキャンし、次に、個々のメッセージ送信に先行するプリアンブルシーケンスの一部分が検出されたとき、チャネルにロックすることが可能である。さらに別の実施では、８０チャネル全体が全スペクトルプローブを使用して傍受される。典型的なプローブでは、複数のＲＦフロントエンド２０２が存在することになり、一部は固定のチャネルの組に設定されることが可能であり、その他は、チャネルをスキャンするように構成され得る。より洗練されたプローブ実施では、ＩＳＭバンド全体がキャプチャされ、デジタル信号処理技術が完全なトラフィックキャプチャのため殆どの又はすべてのチャネルを同時に復調するために使用される。さらに別の可能性のある動作のモードは、プローブがあるアクセスポイント１１６又は特定のメーター１０４のような特定のＡＭＩ装置に関連付けられたすべての送信をターゲットにすることである。これは、対応する周波数ホッピングアルゴリズムの実施を必要とするものであり、このことを達成するため適切なタイミングを導くためにライブ・トラフィックからの入力を必要とすることがある。典型的な条件下では、トラフィックサンプリングは、攻撃者がどのチャネルが監視されているかを知らないことがよくあるので、侵入の兆候を監視するには十分である。攻撃者は、複数のチャネル上で同時に送信しようとすること、又は、特定のノードを危険に晒そうとしているとき、単一のチャネルに固定されたままであることがある。いずれの場合も、攻撃者の挙動は、異常な活動として検出可能である。

プローブ１１２は、様々な無線技術、ＲＦ周波数範囲、及び性能要件を適応できる交換可能、且つ、構成可能な装置であることが意図されている。ＲＦフロントエンドの数及びタイプのようなプローブの一部の特徴はハードウェアに依存するので、製造の時点で決定される。限定されることはないが、監視すべきチャネル、トラフィックサンプリング方法、（特に、ＤＳＰに基づくプローブにおける）復調方法、ローカル侵入検出ロジックのタイプ、バックホーリング・トラフィックのモード（例えば、連続ストリーミング又はトリガーに基づく）、及びパケット復号化ロジックのようなプローブのその他の特徴は、プローブ管理システム２２０によって遠隔的に構成され得る。

一部のプローブ１１２は、ローカル侵入検出機能２０４をさらに含むことがあり、それゆえに、プローブは、傍受されたパケットの全部又は一部分を復号化し、且つ、任意選択的にデスクランブルし、異常及び侵入の兆候を検出するために組込みホスト２０６の処理能力の範囲内にあるセキュリティルール、ポリシー及びヒューリスティックスを適用する。ローカルＩＤＳ機能性は、プローブ管理システム２２０の制御下で、プローブの範囲内の１つ以上の受信されたチャネルに適用され得る。

プローブ構成及び処理容量の考慮は別として、ローカルＩＤＳ機能性を組み入れる決定は、プローブの位置及び物理的セキュリティによる影響を受けるかもしれない。バックエンド内のすべてのＩＤＳ処理をそのままにしておく理由は、傍受されたトラフィックをどのようにデスクランブル及び復号化するかについての情報を保護することである。この処理がプローブの内部で実行される場合、この情報は、攻撃者がプローブを盗み取り、うまくリバースエンジニアリングすることができるならば、脆弱であるかもしれない。デスクランブル及び復号化プロセスがＦＡＮバックエンド監視サブシステムにある場合、プローブは、公衆の、無線通信経由トラフィックのコレクタとしての役割を果たすだけであり、監視されている機器に既に存在するセキュリティリスクを越える付加的なセキュリティリスクをもたらすことは一般にないであろう。タワー及び支柱の高い頂上に搭載された安全な変電所及びプローブのような物理的に安全な位置では、ローカルＩＤＳ機能性は、攻撃の危険性の低い場所に配備されることがある。プローブが物理的に保護され得ない位置では、復号化及び侵入検出機能性が低い基本的なトラフィック・コレクタ・プローブが望ましいかもしれない。

プローブ１１２は、受信及び送信の両方のモードで動作することが可能である。通常、プローブ１１２は、トラフィックを監視するために、受動的な、無差別な、受信モードで動作する。しかし、プローブ１１２は、バックエンド管理アプリケーション又はプローブ管理サブシステムによって、特定のチャネルで特定の宛先に特定のメッセージを送信することを指令されることもあり得る。この能力は、試験及び診断目的のため、又は、攻撃者にとっての成功を遅延、妨害、又は否定するために識別された攻撃への応答の一部として使用されることがあり得る。

プローブ１１２は、処理なしで受信されたあらゆるトラフィックのストリームを戻すように、又は、環状バッファ内のトラフィックのタイムスライスを局所的にキャプチャするように構成され得る。ストリーミングモードでは、すべてのトラフィックが処理及び格納のためバックエンド・アプリケーションに渡される。好ましい実施では、タイムスタンプ、シーケンス番号、プローブ識別情報、及び全地球測位システム座標が、各パケットの受け取りの後にプローブによって適用される。代替的には、タイプスタンプは、バックエンドで適用され得る。トリガーモードでは、プローブは、トラフィックのタイムスライスをローカルストレージ２０８に連続的に一時記憶し、トリガー条件が満たされると、プローブは、プローブ管理システムへ戻るイベントを生成し、トラフィックのタイムスライスをバックエンド監視サブシステムに格納するか、又は、直ちにアップロードする。タイムスライスは、持続時間に関して予め構成され、トリガーイベントを生成したトラフィックを含む。イベントを受信した後に、プローブ管理サブシステムは、未だアップロードされていない場合、評価のため格納されたタイムスライスを取り出し、ストリーミング又はトリガーモードでの付加的なキャプチャのためプローブ１１２を再構成することができる。トリガーモードは、バックホールトランスポートが計量されるとき、バックホール・トラフィック・ボリューム及びトランスポートのコストを削減するために有利である。

様々なトリガー及びフィルタがイベントを惹起するために、且つ、プローブによって収集又はストリームされたトラフィックをフィルタ処理するために使用され得る。これらのトリガーの一部は、
・送信元及び／又は宛先アドレス
・先頭ワード
・チャネルＩＤ
・日時
・トラフィックのタイプ（例えば、ユニキャスト、ブロードキャスト、コマンド、応答、同期、又はネットワーク保守）
・仮想ネットワークＩＤ
を含む。

一方のモードでは、プローブ１１２は、スマートメーター１０４又はアクセスポイントのような特定のターゲットノードを追跡することを指令され得る。このモードは、アクセスポイントがＦＡＮと公益事業者バックエンドシステムとの間の通過ポイントを表現するので、アクセスポイントのような攻撃者にとって価値の高いターゲットを監視するため特に有用である。ＦＡＮからバックエンドシステムに侵入しようとする攻撃者は、アクセスポイントをターゲットにすることがよくあると思われる。アクセスポイントへ送信されたすべてのトラフィックを監視することは、ヘッドエンドシステムに侵入することを目的とされた攻撃の検出に役立ち得る。

ノードを追跡することは、周波数及び時間の両方で周波数ホッピングシステムにおけるターゲットノードによって選択された疑似ランダム・ホッピング・シーケンスと同期しているホッピングを意味する。多くのＡＭＩ及びＤＡシステムでは、例えば、個々のノードは、典型的にそのＭＡＣアドレスに基づく異なった疑似ランダム・ホッピング・シーケンスを使用する。追跡モードにあるプローブは、ターゲットノードからの同期ブロードキャストパケットを傍受する。同期ブロードキャストは、パケットが受信された時間を基準とするターゲットノードのホッピングシーケンスの中でこのターゲットノードが現時点で存在する場所に関するタイミング情報（例えば、フラクショナル・エポック・チック）を収容する。グローバル・チャネル・アレイと、追跡されるべきノードのＭＡＣアドレスと、周波数ホッピング・スロット・タイムと、時間的な基準ポイントにおけるターゲットノードのホッピングシーケンスの中でのこのターゲットノードの位置との情報を用いると、プローブは、ノードが将来の時点で傍受されることになる次のチャネルを計算し、ターゲットノードのチャネル周波数に合うようにこのチャネルのチャネル周波数を変更することが可能である。例示的な疑似ランダム・ホッピング・シーケンスは、米国特許出願第２００９／０１６８８４６号に記載され、この出願は、参照することによって本明細書にその全体が組み込まれる。ターゲットノードとのホッピング同期を維持するために、クロックドリフトとターゲットノードがホッピングシーケンスを再開する状況とを仮定すると、プローブは、プローブがターゲットノードから受信する同期ブロードキャストパケット毎にこのターゲットノードのタイミング情報を更新する。同期ブロードキャストパケットの受信を改善するために、特に、同期が失われた場合、プローブは、計算されたチャネル上でターゲットノードを追跡する１つのＲＦフロントエンド２０２と、ターゲットノードの同期ブロードキャストのためのシステム内のその他のチャネルを傍受又はスキャンする１つ以上のその他のＲＦフロントエンド２０２とを用いて構成され得る。

プローブトラフィックは、有線及び無線を問わず多様なワイド・エリア・ネットワークを通じてバックホールされ得る。好ましい実施では、プローブトラフィックは、３Ｇ（登録商標）又はＬＴＥ（登録商標）商用無線ネットワークを介してバックホールされる。個々のハードウェアフロントエンド又は（デジタル信号処理（ＤＳＰ）プローブ実施の場合に）論理ＲＦチャネルを介して受信されたトラフィックは、組込みコントローラによって集められる。タイムスタンプ、シーケンス番号、全地球測位システム座標及びキャプチャに関連したその他の情報は、個々のキャプチャされたパケットの上に階層化される。組込みコントローラは、キャプチャされたトラフィックを安全に運ぶバックエンド・アプリケーション及び管理制御を用いて１つ以上のセキュア通信チャネルを維持する。これらのチャネルを安全にする好ましい方法は、ＩＰに基づくトランスポートレイヤセキュリティ（ＴＬＳ）／ＳＳＬ、ＩＰｓｅｃ ＶＰＮ、ＩＰｓｅｃ若しくはポイント・ツー・ポイント・トンネリングを用いるレイヤ２・トンネリング・プロトコル、及びセキュア・シェル・トンネリングである。標準的な圧縮アルゴリズムは、バックホール帯域幅を低減するためにパケットストリームに適用され得る。バックエンドコレクタ／ディセミネータは、ＩＤＳ及びその他のバックエンドシステムコンポーネントで利用できるようにパケットストリームを解凍し、暗号解読する。

図２では、複数のフィールド及びバックエンドプローブからのＦＡＮトラフィックが、１つ以上のタイプのバックホールネットワーク、典型的に、ＩＰネットワークを介してデータプロセッサ又はコレクタ／ディセミネータ２１４に送信される。個々のプローブ・トラフィック・ストリームは、トンネルを通じてＴＣＰ／ＩＰ又はＵＤＰによってコレクタ／ディセミネータの異なるＩＰポートに送信される。コレクタ／ディセミネータ２１４は、個々のプローブとセキュリティ的に関連してエンドポイントとしての役割を果たし、バックホールネットワークを介する送信中にプローブトラフィックを保護するセキュリティトンネルを終端する。コレクタ・ディセミネータは、個々のプローブ・トラフィック・ストリームを暗号解読し、解凍する。プローブ１１２によって未だ実行されていない場合、コレクタ／ディセミネータは、ビットをデスクランブルするためにプローブ・パケット・ストリームを処理する。ビット・デスクランブル・アルゴリズムは、システムに依存する。ＦＡＮに対するビット・スクランブル／デスクランブル方法の一例は、米国特許出願第２００９／０３０３９７２号に記載され、この出願は、参照することによって本明細書にその全体が組み込まれる。コレクタ／ディセミネータ２１４は、モバイル・プローブ・ルート・ファイルを作成するためにパケットプローブからＧＰＳデータを抽出し、プローブ・トラフィック・ストリームに関するシステムメタデータを追加し、ＰＣＡＰフォーマットでパケット・トレース・ファイルを作成する。コレクタ／ディセミネータ２１４は、出版及び購読モードで動作し、特定のストリームを購読するバックエンド内のすべてのアプリケーションがトラフィックストリームを利用できるようにする。コレクタ／ディセミネータは、処理されたライブ・トラフィック・フィードを、例えば、ＩＤＳ、ネットワーク・アナライザ、トラフィックリポジトリ及び後述のＭｅｓｈＶｉｅｗアプリケーションに公開する。

処理されたライブ・トラフィック・フィードは、リアルタイム解析のためＩＤＳシステムに送信される。好ましい実施では、ＩＤＳは、Ｓｎｏｒｔの修正版、インターネット・プロトコル（ＩＰ）ネットワーク上でリアルタイムトラフィック解析及びパケットロギングを実行する能力を持つオープン・ソース・ネットワークに基づく侵入検出システム（ＮＩＤＳ）である。ＩＤＳは、着信パケットストリーム上で常に動作する。ＳｎｏｒｔのようなＩＤＳは、本質的にＩＰｖ４／ＩＰｖ６トラフィックを処理するが、スマートグリッドＦＡＮで広く使用される独占的プロトコルとは連動しない。したがって、特殊なプリプロセッサが物理的なフレーム、媒体アクセス制御、リンクレイヤ、リンクレイヤとネットワークレイヤとの間のカスタムレイヤ、並びにアプリケーションレイヤプロトコル及びＦＡＮパケット内のデータの複数の組込みレベルを観測するために構築される。ＦＡＮデータパケットに組み込まれるＩＰｖ４／ＩＰｖ６プロトコル・データ・ユニットは、カスタムルールを使用して抽出されると、ＩＤＳ ＩＰｖ４／ＩＰｖ６能力によって解析される。さらに、プリプロセッサが独占的ルーティングプロトコル、ブロードキャスト、ノード同期／保守、セキュア・アソシエーション、及びトランザクション・ハンドシェイク・メッセージのようなＦＡＮにおいて排他的に使用されるその他の独占的プロトコルを解析するために使用される。アプリケーションプロトコルは、典型的に、Ｃ１２．２２及び独占的プロトコルのような標準ベースのプロトコルの混合で構成される。米国特許出願公開第２００８／００５１０３６号は、ＡＭＩ、すなわち、メッシュネットワーク動作のため不可欠であるリンクレイヤとネットワークレイヤとの間のレイヤで使用されるメッシュレイヤプロトコルの一例を提供する。

ＩＤＳに対するエンド・ツー・エンド・パケット・フローが図４に示される。ストリーミング中のプローブ・パケット・トラフィックは、コレクタ／ディセミネータによって受信され、処理され、ＴＡＰライタモジュールを使用するネットワークＴＡＰインターフェースを通じてＩＤＳに送り込まれる。ＴＡＰインターフェースは、第１のルール及び挙動解析の組が適用されるＩＤＳプリプロセッサに送り込む。ＩＰｖ４／ＩＰｖ６及びアプリケーションレイヤは、次に、第２のルール及び挙動解析の組を使用する本来のＩＤＳ能力によって処理される。アプリケーションレイヤプロトコルは、次に、第３のルール及び挙動解析の組によって解析される。

個々のプローブストリームは、プローブ送信元に対する具体的なルールを使ってカスタム化された別個のＩＤＳインスタンスによって処理される。例えば、個々の固定プローブからの傍受されたトラフィックに収容された送信元及び宛先アドレスは、個々のプローブに対する別個のホワイトリストを対照して処理される。スマートメーター及びＤＡ機器は、固定した地理的位置を有し、これらのトラフィックは、１つ以上のプローブに現れるべきであるが、その他には現れるべきではない。アドレス・ホワイトリストは、プローブ毎に正当な送信元を識別するために構築される。ホワイトリストに掲載されない装置は、プローブ毎にＩＤＳインスタンスによって識別され、警告を生成し、さらなる精査の対象になる。さらに、グローバルＩＤＳは、ＦＡＮシステムによって用いられる許可されたネットワークＩＤについての監視のようなプローブとは無関係にグローバルに適用される異常を検出するためにすべてのプローブトラフィックの複合物で動かされることがある。

ＩＤＳは、着信プローブトラフィックの連続的なストリームを常に処理する。警告は、異常及び挙動がルールセット及び挙動解析を満たすとき、生成される。警告は、警告／イベントデータベースに記録される。警告／イベントは、クライアント・サービス・ポータルを通じて電子インターフェースを介して公益事業者によって運用されるセキュリティインシデント及びイベント管理システムにリアルタイムで電子的に送信されることもある。

クライアント・サービス・ポータルは、プローブ・モニタ（ＦＡＮ侵入検出及び監視システムによって使用されるプローブ・マネージャ能力のサブセット）、ネットワーク・アナライザ、トラフィックリポジトリ、及びＭｅｓｈＶｉｅｗアプリケーションへの安全なアクセスを公益事業者に提供する。クライアント・サービス・ポータルは、トランスポートレイヤセキュリティ及び仮想プライベートネットワーク接続を使用するウェブアプリケーションで構成される。クライアント・サービス・ポータルを通じてアクセスされるすべてのアプリケーションは、ホスト型であり、ＦＡＮバックエンド監視サブシステムと共にプラットフォームで動かされる。

ＩＤＳによって生成された警告／イベントは、一般的に、ＦＡＮの運用と、ノードの挙動パターン及びトラフィックプロファイルと、ＦＡＮ技術及びこのプロトコルにおけるセキュリティ弱点及び脆弱性とに精通する個人のチームであるサイバー脅威解析機能によって処理される。サイバー脅威解析チームは、警告を生成したトレースリポジトリからトラフィックトレースを取り出すことにより個々の警告を詳細に再調査する。サイバー脅威解析チームは、警告の時点での通信及び対象となるノードを取り出すためにＭｅｓｈＶｉｅｗ内に適切なフィルタをさらに設定する。サイバー脅威解析チームは、イベントの前、最中及び後にトラフィックパターン及びノード挙動を解析し、挙動を既知の基準と比較する。チームが警告／イベントを侵入者行動又はネットワーク故障の兆候として確認する場合、チームは、公益事業者顧客にイベントを通知すると共に、さらに調査を続ける。この調査は、モバイルプローブが該当エリアに送信されること、及び、固定プローブがノード又は対象となるトラフィックに重点を置くように構成されることを必要とすることがある。

ライブ処理されたトラフィックフィードもまたネットワーク・アナライザの１つ以上のインスタンスに送信され、このネットワーク・アナライザが着信パケットの中の情報フィールドを復号化し、ユーザが各プローブによって傍受されたリアルタイムＦＡＮトラフィック行動を観測することができる実行中のパケットのリストを提示する。例えば、ＰＣＡＰ処理ツールのようなネットワークトラフィックをキャプチャする（ＰＣＡＰ）、アプリケーション・プログラミング・インターフェースのような周知のネットワーク・アナライザと同様に、ＦＡＮアナライザは、ユーザが復号化のためのパケットを選択することを許可する。フィルタ処理可能な項目に個々の情報フィールドを使用する強力なパケットフィルタは、フィルタ規準に合致するトラフィックのサブセットを提示するために適用されることも可能である。

ライブ処理されたトラフィックフィードは、トラフィックリポジトリにも送信される。あらゆるプローブ・トラフィック・フィードがキャプチャされ、最低３ヶ月に亘ってトラフィックリポジトリに格納される。好ましい実施では、パケットキャプチャは、ファイルに分割され、日時によって個々のプローブからのトラフィックの迅速な識別を可能にするファイル命名法及びディレクトリ構造を使用して１時間単位で格納される。トラフィックファイルは、ネットワーク・アナライザ、又は、診断若しくは調査をサポートするために再処理を行うその他のいずれかのアプリケーションよって後で呼び出され得る。トラフィックファイルは、新しいルール、解析又は復号化能力が追加されたとき、再処理されることも可能である。トラフィック呼び出しは、診断及びフォレンジクス作業をサポートすることを必要とするために重要である。

ライブ処理されたトラフィックフィードは、通信フロー及び上位レベル・ネットワーク・ルーティングとコネクティビティ・マップとがパケットキャプチャにおける観測から構築されるネットワーク解析及び可視化ツール（ＭｅｓｈＶｉｅｗ）にも送信される。処理されたトラフィックフィードは、トポロジー情報を抽出するためにＭｅｓｈＶｉｅｗによってさらに処理され、ＭｅｓｈＶｉｅｗアプリケーション・データベースに取り込まれる。トラフィック統計及びトラフィック・ベース・ライニングが日時及び月日によってプローブ毎にトラフィックのプロファイルを作り上げるためにＭｅｓｈＶｉｅｗによって実行される。

図２に提示された侵入検出及び監視アーキテクチャは、市販ネットワーク・アナライザがラップトップコンピュータ上のＷｉ−Ｆｉネットワークカードで動作するのと同様に、単一のラップトップ及び単一又は少数のプローブを用いる独立型運用のために簡略化され得る。このような構成は、実験室アプリケーションのため、且つ、アナライザ及びＩＤＳ能力を現場技術者のための診断ツールに組み込むときに役立つことがある。

図３は、ラップトップ・コンピューティング・システム３０２上で１台又は少数台のプローブ１１２のためのパケットキャプチャと、ストレージと、ネットワーク・アナライザと、ＩＤＳ機能と、ネットワーク解析及び可視化とのコア機能を実施する小規模実験室又は現場技術者独立型診断ツールを示す。無線モデムでトラフィックをＦＡＮバックエンド監視サブシステムにバックホールするのではなく、ＵＳＢ若しくはシリアルコネクション３０４が（複数の）プローブ１１２とラップトップ・コンピューティング・サブシステム３０２との間で傍受されたトラフィックを運ぶ。ネットワーク・アナライザと、ＩＤＳと、ＭｅｓｈＶｉｅｗ５３のネットワーク解析及び可視化能力とは、アプリケーションの組として実施される。コレクタ／ディセミネータの簡略化版がパケットストリームをマルチキャストするために使用される。トレースは、コンピューティングシステム３０２のラップトップ・ハード・ディスク３０２に局所的に格納される。別の実施では、制御センターは、例えば、ブラウザのようなシンクライアントだけを有することを必要とするコンピューティングシステム３０２によってアクセスされる。データ操作及び処理は、制御センターで実行される。

図４は、ＩＤＳ２１６へのパケット・フローを示す。プローブ１１２からのストリーミング中のパケットトラフィックは、ワイド・エリア・ネットワークすなわちＷＡＮ４０２によって搬送され、ＷＡＮ４０２からコレクタ／プリプロセッサ４０４に送り込まれる。ＴＡＰライタインターフェース４０６は、次に、データを解析プリプロセッサ４０８に供給し、解析プリプロセッサは、順に、データをＳｎｏｒｔモジュール４１０に供給する。

プローブによって放出されたデータパケットは、キャプチャされた送信情報を運搬する。キャプチャされたパケットに関連付けられたメタデータを含むその他の情報は、プローブによって送信されることがある。キャプチャされた送信情報と共に、又は、おそらく別個に送信されたこのような情報は、
１．パケットがキャプチャされたときを識別するタイムスタンプ
２．受信信号強度表示（ＲＳＳＩ）
３．パケットをキャプチャした具体的な無線通信ヘッドエンド装置の識別情報
４．無線通信ヘッドエンドが同調させられ、結果的に、パケットがキャプチャされた周波数（これは、キャプチャされたパケットに存在するいずれかのチャネル識別子によって識別された周波数とは潜在的に異なることがあり得る）
５．パケットを報告するプローブのシステム全体で一意の識別情報
６．増幅率、帯域幅、変調パラメータなどのような、パケットがキャプチャされたとき、プローブ又は具体的な無線通信ヘッドエンドを構成するのに用いられたパラメータ
７．無線通信ヘッドエンド、プローブで動くソフトウェアバージョンの識別情報
８．プローブとバックエンドとの間のプロトコルのインターフェース仕様のバージョンの識別情報
９．運搬されているパケット又はプローブ若しくは無線通信ヘッドエンドに存在する条件に関するエラーシナリオ、又はエラーの不足を識別する情報
１０．プローブの地理的位置（これは、プローブが静止していないシナリオで有用であるか、又は、バックエンドシステム内でプローブの位置を構成する必要性を軽減するために利用されることがある）
１１．プローブの内部状態条件（これは、供給電圧のような電気的パラメータ、構成設定及びペグカウントのようなソフトウェアパラメータ、又は内部及び外部温度のような環境パラメータを含む可能性がある）
を含む。

ＩＤＳ２１６は、プローブ位置に基づいてパケットストリームをパースし、グローバル及び領域固有の両方のルールを各ストリームに適用する。ルール、ポリシー及びステートフルモデリングがカスタム・プロトコル・スタックの各レイヤで実行され、ＩＰｖ４／ＩＰｖ６処理は、Ｓｎｏｒｔの本来備わっている能力を使用して行われ、すべてのその他の処理は、カスタムプリプロセッサによって行われる。あるチャネルの供給源によって送信された要求は、典型的に別のチャネルで送信された応答と相関させる必要があるので、ＩＤＳ２１６は、トランザクションに対し状態を一様に維持する。ＩＤＳによって実施される主要なルール、ポリシー、及びステートフル動作の中には、
Ａ．セキュアトランザクション
Ｂ．平文メーター読みのようなインセキュアトランザクション
Ｃ．フィールド・サービス・ツール及び現場技術者機器によって発生したトランザクション
Ｄ．未認識ネットワーク識別子又は標準設定ネットワーク識別子
Ｅ．過剰ノードチャットネス
Ｆ．ノードを対照するポートスキャン
Ｇ．再生されたメッセージ
Ｈ．無効な署名又はセキュリティ証明書付きのメッセージ
Ｉ．取り消されたセキュリティ証明書付きのメッセージ
Ｊ．偽造又は無償ＤＮＳ及びタイムサーバ応答
Ｋ．偽造ファームウェア更新メッセージ
Ｌ．メーター接続／切断及びメーターテーブル書き込みのようなセンシティブな動作
Ｍ．ノードからのラスト・ガスプ・メッセージの反復
Ｎ．無効又は未認識ＭＡＣアドレス
Ｏ．無効又は未認識ＩＰアドレス
Ｐ．バックエンドシステムのＩＰアドレスによってバックエンドシステムをアドレス指定する試み
Ｑ．レイヤ２の中間者攻撃
がある。

領域固有ルールの一例は、プローブの無線通信カバレッジエリアに対するＭＡＣアドレスの公知のホワイトリストを対照して、プローブストリーム中のすべての受信されたパケットのＭＡＣアドレスをチェックすることである。ＦＡＮトラフィックがアプリケーションレイヤで暗号化されている場合、ＩＤＳルール及びポリシーがすべての下位レイヤで依然として適用されることが可能であり、ペイロードのコンテンツが判読できない場合であっても、トランザクションのステートフルモデルが依然として適用され得る。代替的な実施では、ＩＤＳは、ＦＡＮ／ＡＭＩシステムのため使用される鍵格納場所にアクセスし、個々のペイロードを暗号解読するため必要とされる鍵材料を取り出すことができる。鍵材料は、送信側及び受信側ペアのＭＡＣアドレス又はＩＰアドレスに基づいて取り出され得る。同様に、下位レイヤで使用される暗号は、ＩＤＳが鍵サーバにアクセスできることを仮定すると、解析のため暗号解読され得る。

大規模ＦＡＮにおけるスケーラビリティのため、ＦＡＮは、コレクタ、ＩＤＳ、及びアナライザの複数の組に分割されることが可能であり、ＩＤＳイベントは、中央イベント管理システムに報告されることが可能である。ＩＤＳイベントは、ＦＡＮの外側のシステム及びインテリジェンスフィードを含む複数の供給源からイベントフィードを取得し、外観上無関係のイベント及び条件が実際に組織的な攻撃の一部であるか否かを評価するために相関解析を実行するセキュリティインシデント及びイベント管理（ＳＩＥＭ）システムにさらに報告されることが可能である。別の実施では、仮想コレクタ及びＩＤＳは、プローブ毎にコンピューティング・プラットフォーム上に設けられ、それによって、所定のホワイトリストを対照してエリア内のＭＡＣアドレスをチェックするようなカスタムルール及びポリシーをプローブ位置毎に実現し易くする。

ＦＡＮアナライザとも呼ばれるネットワーク・アナライザは、ＦＡＮパケットを情報要素に分解する独立型アプリケーションである。好ましい実施では、ＦＡＮアナライザは、オープンソース・パケット・アナライザであるＰＣＡＰ処理ツールに基づき、このＰＣＡＰ処理ツールは、キャプチャされたパケットを提示するためにグラフィカル・ユーザ・インターフェース（ＧＵＩ）を提供し、公益事業者通信で使用されるその他の標準的なプロトコルをサポートすることに加えて、本来備わっているＩＰｖ４／ＩＰｖ６能力を有している。ＦＡＮトラフィックは、個々のベンダーに固有である独占的プロトコルを使用するので、カスタムディセクタは、ＰＣＡＰ処理ツールに書き込まれ、且つ、組み入れられる。ディセクタは、受信されたパケットの各バイトをパースし、ＰＣＡＰ処理ツールＧＵＩにおける提示のための構造を画定する。同様に、ディセクタは、パケット内の各フィールドが対象となるパケットを強調するために検索又はフィルタ処理で使用されることがあるように、ＰＣＡＰ処理ツール構成を利用する。好ましい実施では、ディセクタは、物理フレームレイヤ、リンクレイヤ、リンクレイヤとネットワークレイヤとの間のカスタムレイヤ、ルーティングプロトコル、時間同期プロトコル、ノード同期／保守・プロトコル、セキュアアプリケーションレイヤ、インセキュアアプリケーションレイヤ、Ｃ１２．１９テーブル、及び一般メーター・インターフェース・プロトコルのため書き込まれる。ディセクタは、物理フレーム上でチェックサムを実行するためにＣＲＣ−３２ライブラリを巧く利用する。さらに、ＺＬＩＢライブラリのような圧縮ライブラリは、アプリケーションレイヤメッセージを解凍するために使用される。さらに、パケット内に収容されているメタデータを詳細に分析し、フィルタ処理する能力は、時間、地理的位置、及び周波数又はその他のパラメータを含む多次元フィルタリングを実現し易くする。

ＦＡＮアナライザ２１８は、コレクタ／ディセミネータ２１４からストリームされるか、又は、トラフィックリポジトリから呼び出されたパケット・トラフィック・ファイル上で動くように設計されている。トラフィックキャプチャは、ＰＣＡＰファイルの形式でデータリポジトリに格納される。典型的に、ファイルは、ＩＤＳ２１６によって送られたイベントの調査後にアクセスされることがよくある。代替的には、ユーザは、閲覧するために対象となるプローブ・パケット・ストリームを選択することができ、コレクタ／ディセミネータ２１４は、ライブビューイングのためＦＡＮネットワーク・アナライザ２１８に別のトラフィックストリームを集め、送出する。複数のＦＡＮネットワーク・アナライザ２１８が公益事業者の範囲内でセキュリティ、運用及びエンジニアリングのような異なったグループによる活動をサポートするために異なった位置から同時に動かされ得る。アクセスルール及び特権は、アクセスのタイプを予め割り当てられた権限によるトラフィックに限定するためにクライアント・サービス・ポータル上の各アカウントに適用され得る。

プローブ管理システム２２０は、遠隔からプローブ１１２の構成を管理する。各プローブ１１２と通信するために別個のセキュア論理チャネルを使用して、プローブ管理システム２２０は、各プローブ１１２に局所的に格納される分散型ＩＤＳルールセット、パケットトリガー、フィルタ、ＲＦフロントエンド及びサンプリングパラメータと、同様に、その他のシステム構成パラメータとを構成する。プローブ管理システム２２０は、プローブ１１２のアクティブポーリング、同様に、プローブ状態、これらのコンポーネント及び健全性と、動作環境とに関する情報を収集するためにプローブによって送信された情報と、同様に、関連するバックエンド・サーバ・プロセスの状態、リソース、及び条件を利用する。データベースは、プローブの状態に関する情報を格納するために使用され、履歴データの表示及び解析のためのアーカイブ情報を提供する。プローブ管理システム２２０は、各プローブの現在及び履歴状態を解析し、各プローブの状態を特徴付け、アラームの生成、技術サポートスタッフの通知の実行、又はトラブル条件に対する救済若しくは予防行為の実行のような機能を実行することができる。ウェブベースのグラフィカル・インターフェースは、地理的可視化のような、設けられる複数のインターフェース及びオーバーレイの間にある。技術的ユーザのためのユーザ・インターフェースは、動作パラメータ、及び状態情報を表示し、収集され、且つ、導出されたデータにアクセス可能であり、システム構成データのユーザ入力を提供する１つの可能なアプローチである。プローブ管理システム２２０は、試験、診断、及びインシデント応答目的のための具体的なパケットを送信することをプローブ１１２にさらに指令できる。プローブ管理システムは、プローブの１つずつへのコード更新をさらに管理する。

パケットがエラーを有していると考えられ、よって廃棄されるべきであるか、又はキャプチャされ送信されるべきであるかによる条件の組は、プローブ管理システムによって同様に構成され得る。例えば、パケットが実際に受信された周波数とは異なる周波数での送信を示すパケットは、典型的に、エラーを有していると考えられる。しかし、何らかの状況下で、このことは、異常挙動、又は潜在的に公益事業者インフラに対する攻撃を表すことがあり得る。

図５を参照すると、何らかの状況では、フィールドプローブ１１２の配備は不都合であり、又は、公益事業者は、ヘッドエンド区画５０２に侵入するトラフィック及び脱出するトラフィックを監視することに非常に興味を示し、ホスト型ネットワーク管理サービス又はＦＡＮバックエンド・アプリケーションの公益事業者の固有ユーザを監査する。代替的なアーキテクチャでは、プローブは、ヘッドエンド管理システムとアクセスポイントとの間でトラフィックを監視するためにＦＡＮヘッドエンド５１２に位置決めされ得る。ウェブベースのインターフェース上で使用するヘッドエンド管理システムアプリケーション５１４は、ＦＡＮヘッドエンド５１２でさらに監視されることがある。本アーキテクチャでは、ヘッドエンドプローブは、ヘッドエンド管理システムとアクセスポイントとの間を流れるトラフィックの一部分だけにアクセスでき、この部分は一般にプロトコルスタックの上位レイヤにある。物理的、媒体アクセス制御、リンクレイヤ、リンクレイヤとネットワークレイヤとの間のカスタムレイヤは、この観点からプローブには見えない。好ましい実施では、１台以上のヘッドエンドプローブは、ヘッドエンド管理システム区画内のＩＰｖ４／ＩＰｖ６レイヤでトラフィックを傍受するために位置決めされ、フィールドプローブは、個々のアクセスポイント５１８でトラフィックを傍受する。前述の通り、鍵サーバへのアクセスは、ＦＡＮバックエンド監視アプリケーションが暗号化されたトラフィックを暗号解読することを可能にする。ヘッドエンドプローブの利点は、バックエンド・アプリケーションからＦＡＮに発せられたコマンド及びメッセージのトラフィック統計量及び計数が、関連する権限又はログが存在しないコマンド又はトラフィックを識別するためにヘッドエンド・アプリケーション・ログ及び作業権限と比較され得ることである。

図６を参照すると、プローブサブシステム６００の一次機能は、ＦＡＮトラフィックをキャプチャし、このトラフィックを処理するためのＦＡＮバックエンド監視サブシステムに送信することである。プローブサブシステム６００は、二重殻を用いて設計された全天候型ハウジング６０１に収容されている。外殻は、直射日光から機器を保護する日光遮蔽体と、支柱、建物、又は車両に取り付けられるようにするユニバーサルストラットのための取り付け点とを提供する。内殻は、電子コンポーネントを空気が抜かれるか、又は、乾燥した、不活性気体で置き換えられている全天候型エンクロージャに収容する。乾燥剤が残留湿気を吸収するために内側ハウジングの内部に置かれる。両方のエンクロージャは、外部環境の物理的応力に耐えるように設計される。プローブサブシステム６００は、以下を含む数個の機能的区画を備える。

コントローラボード６０２は、プローブ１１２の動作中に処理及びＩ／Ｏタスクを実行する。重要な機能は、以下の、
・制御ロジックの実施
・ＲＦデータ取得ボード６０４からのＦＡＮトラフィックの受信
・タイムスタンプ及びフォーマットデータ、追加メタデータ（例えば、ＲＦチャネル、受信信号強度表示など）
・送信用のキャッシュデータ
・プローブ管理システム２２０への無線モデム６０６を介するセキュア送信チャネルの開始及び管理
・プローブ管理システム２２０へのデータ送信
・分散ＩＤＳ処理の実施
・局所的処理及びシステムの管理
・遠隔管理コマンドの処理
・ＲＦ及びチャネルパラメータの動的設定
・ＧＰＳ情報の取得
を含む。

好ましい実施では、コントローラボード６０２は、拡張された温度範囲及び環境ストレスで評価されている産業用コントローラボード又は同等物である。好ましくは、このコントローラボードは、Ｌｉｎｕｘ（登録商標）ベースのオペレーティングシステムを使用する。プローブ１１２のソフトウェア及びハードウェアのための重要な設計上の検討事項は、プローブ１１２が紛失又は窃盗された場合にセキュリティリスクを制限することである。プローブ１１２は、このプローブが監視しようとしているフィールド機器に既に存在するものより高いセキュリティリスクを導入しないように設計される。ＳＳＨトンネリングの使用は、例えば、複数の無線通信経由チャネルからキャプチャされた集中型トラフィックを収容するバックホール送信チャネルを保護する。同様に、トラフィックのデスクランブルは、好ましい実施ではプローブ１１２で実行されない。その代わり、デスクランブルは、攻撃者が復号化ロジックを抽出するためハードウェア及びソフトウェアをリバースエンジニアリングすることを防止するためにＦＡＮバックエンド監視サブシステムで実行される。

パケット及び侵入解析の大部分はＦＡＮバックエンド監視サブシステムで実施されるが、このアーキテクチャは、分散型侵入検出処理をさらにサポートする。この場合、プローブコントローラの処理能力は、侵入解析を実行し、且つ、イベント後に、警告をバックエンド管理システムに直ちに提供するために利用される。トラフィックが付加的なセキュリティリスクを示すことなく復号化され得る状況では、過度にリソース集約的ではないカスタム、且つ、場合によっては限定されたポリシーセットと共にバックエンドで使用されるＩＤＳシステムの軽量版（すなわち、Ｓｎｏｒｔ版）は、強度のパケット検査及び挙動解析を実行するために個々のプローブ１１２にインストールされ得る。パケット復号化が、例えば、セキュリティ上の理由でプローブ１１２によって実行され得ない場合、分散型ＩＤＳ処理は、チャネル使用量の特性とパケットの送信元及び宛先とが符号化又は暗号化されていない場合、このような情報を解析するようなトラフィック解析の形式で依然として適用され得る。

コントローラボード６０２は、取得モードに依存して、ＲＦデータ取得カード６０４のＲＦ及びチャネルパラメータを動的に設定する。マルチ・チャネル・システムを用いる固定されたサンプリングモードでは、システム内のチャネルの総数Ｎより少ないチャネルの個数ｎが監視される。このモードで監視すべきチャネルの選定は、静的である。動的な、サンプルドモードでは、監視されたチャネルは、ポリシーに依存して、キャプチャ中に変更される。統一ポリシーを用いて、すべてのチャネルが順次又はランダムな順序で同じ期間に亘って監視される。追跡ポリシーを用いて、データ取得カード６０４は、装置が周波数ホッピングシステム内でこの装置のチャネルのエポックを進むのにつれて、この監視される装置と同期してホップする。このポリシーは、プローブ１１２が監視されたノードへ進むすべてのパケットを傍受することを可能にする。監視されたノードと同期した状態を維持するために、コントローラは、監視されたノードがいずれかの時点で存在することがよくある周波数を計算することが必要である。これは、パケットが受信された時間を記録し、パケットが受信されたチャネルに注意し、次に、（前述された米国特許出願第２００９／０１６８８４６号の場合と同様に）ＭＡＣアドレスに基づいて周波数ホッピングパターンを計算し、次に、最新のタイムスロット及び周波数を識別するために時間を前方に進めることにより達成され得る。チャネル占有検知モードでは、プローブ１１２は、複数のチャネルを傍受又はスキャンし、チャネル占有信号（典型的に、１及び０の繰り返しパターン）を傍受した後、コントローラは、データ取得カードをこのチャネルに合わせる。チャネル占有信号の長さ及び使用されたエネルギー検出器に依存して、複数のカードは、物理フレームの開始前にアクティブチャネルを識別するためにチャネルアクティビティを走査するように指定されることがある。最後に、全スペクトルプローブでは、システム内のすべてのチャネルＮが同時に監視される。

ストレージ６０８は、ローカル不揮発性記憶を行う。機能は、ＦＡＮデータのローカルキャッシュを含む。これは、一連のデータが収集され、無線コネクティビティが中断されるか、又は、そうではない場合に利用できなくなる間隔においてＦＡＮバックエンド監視サブシステムに最終的にバックホールされることを可能にする。ストレージ６０８は、オペレーティングシステムによって要求されるメモリをさらに備える。好ましい実施では、ストレージは、ソリッド・ステート・ドライブ又はディスク・オン・モジュールを使用して実施される。しかし、どのようなタイプの不揮発性ストレージが使用されてもよい。

セキュアストレージ６０８は、公開鍵インフラ（ＰＫＩ）秘密鍵及び証明書と、パスワードと、共有秘密鍵と、その他の暗号鍵のようなセキュリティ証明書のための保護された不揮発性メモリを備える。スマートカード、携帯電話のＳＩＭ、又は信頼されているコンピューティングコンポーネント（セキュアフラッシュ）に類似したセキュアストレージは、リバースエンジニアリング、スヌーピング、及びこれが保持するセキュリティ証明書を曝露するかもしれない物理的攻撃に対抗するために設計される。最悪の場合、セキュアストレージは、情報を攻撃者に漏らすのではなく情報を不正に変更した後に、情報を破壊する。セキュアストレージ６０８は、未だバックエンドに送信されていない、キャプチャされたトラフィックトレースを保持するためにさらに使用され得る。しかし、好ましい実施では、トラフィックトレースは、暗号化され、それを普通のメモリに格納され、暗号鍵だけがセキュアストレージ６０８に格納される。

無線モデム６０６は、３Ｇ（登録商標）又はＬＴＥ（登録商標）のような無線技術によるコネクティビティをもたらす。８０２．１１のようなその他の技術が利用可能性に依存して使用されることもあり得る。有線イーサネット（登録商標）、ケーブルなどのようなその他の通信手段も利用可能性及び選好に依存して同様に採用され得る。何らかの状況下で、プライベートネットワークの使用は、プローブ管理システム２２０を除くすべてのエンティティからのプローブ１１２の隔離を含む付加的なセキュリティをもたらすために採用され得る。機能は、
・データバックホール及びプローブ管理のためプローブ１１２とプローブ管理システム２２０との間にコネクティビティを提供すること
・無線データサービスによるＩＰコネクティビティが利用できないとき、例えば、プローブサブシステム６００の状態に関する情報がこれらの装置を管理する責任を負うチームに伝達され得るとき、限定された通信を実現し易くするＳＭＳ能力を提供すること、及び
・場合によっては、ＧＰＳ受信機機能性をもたらすこと
を含む。
好ましい実施では、無線モデムは、４Ｇ ＬＴＥ無線技術を使用して実施される。

ＲＦデータ取得セクションは、アンテナ６１０、ＲＦ増幅器６１２及びＲＦスプリッタ６１４を備える。アンテナ６１０は、対象となる電磁スペクトルから電気信号を作成し、信号増幅器６１２に供給する。アンテナ６１０は、９０２〜９２８ＭＨｚ、２．４ＧＨｚのようなＦＡＮトラフィックがキャプチャされる周波数帯域のため構築され、配備されたカバレッジエリア及びＦＡＮ装置の位置に適合するパターン及び増幅率が監視される。増幅器６１２は、ＲＦスプリッタ６１４によって導入される損失を補償し、選択されたアンテナによる必要に応じた付加的な増幅率を提供し、プローブのレンジ及び監視されているＦＡＮ装置の信号強度を改善する。ＲＦスプリッタ６１４は、アンテナによってキャプチャされ、ＲＦ増幅器によって増幅されたＲＦ信号をＲＦデータ取得装置６０４の１つずつに提供する。ＲＦデータ取得装置６０４は、ＦＡＮトラフィックを復調し、データをコントローラボード６０２に提供する。ＲＦデータ取得装置６０４のその他の機能は、
・対象となるＦＡＮトラフィックが動作する周波数、例えば、９０２〜９２８ＭＨｚ、２．４ＧＨｚレンジに合わす能力があり、且つ、（例えば、２ＦＳＫのような）対応する変調技術を使用して受信されたＦＡＮトラフィックを抽出する能力があるＲＦ受信機
・限定されることなく、受信周波数、増幅率、ＡＦＣ、ＡＧＣ、データレート及び先頭ワードのようなコントローラボード６０２からＲＦ構成パラメータを受け入れること
・送信されたパケットの先頭を検出することと、ビット及びバイトアライメントを実行することと、受信されたバイトからパケット長及びその他のパラメータを判断すること
・受信されたパケットの受信信号強度を測定すること
・選択された受信されたパラメータの解釈に基づいてパケットを適格とすることと、不適格とされたパケットの処理を中止すること
・受信されたパケットをコントローラボード６０２に送信すること
・コントローラボード６０２からファームウェア更新を受け入れること
・物理的な危険性に直面することが起こる場合、常駐ファームウェアの保護を備えること、例えば、ファームウェアが読み出されることを阻止すること
・送信のための周波数の範囲をスキャンし、送信の検出の表示をもたらすこと
・具体的に目標とされた送信情報を受信するために、指定されたホッピングシーケンスに応じて受信周波数を合わせること
を含む。

一実施では、個々のデータ取得装置は、単一の周波数で受信する。別の実施では、ＲＦ受信機のうちの１台以上が送信の開始を見つけるため長時間に亘ってこの周波数を変えることによりスペクトルをスキャンする。複数の装置は、複数の同時送信のキャプチャを可能にするために採用される。好ましくは、このような実施は、潜在的に別個のマイクロコントローラと併せて、市販されているＲＦ送受信機集積回路を利用する。

別の実施では、単一の装置は、複数のチャネルをデジタル的に処理し、復調するためにデジタル信号処理技術を利用して、対象となる広い周波数帯域全体で送信情報を取得する。このような実施は、ソフトウェア無線技術を利用する。

ＲＦデータ取得装置６０４とコントローラボード６０２間の通信は、標準的な非同期シリアル通信プロトコル及びＵＡＲＴ／ＵＳＡＲＴ装置、又はＵＳＢ接続を使用して実施され得る。

ウォッチドッグ・タイマ６１６は、コントローラボードが無反応又は「ハングアップ」になる場合のシステム復旧、正常なシャットダウンの開始、及び電力サイクルを含む複数の機能（図４、５、６）を備える。

ウォッチドッグ・タイマ６１６は、アナログ回路を使用して実施された別個のハードウェアユニットとすることができる。これは、正常な状況下では、コントローラボード６０２から周期的間隔でパルスを受信するように設計されるか、又は、コントローラボード６０２の正常なシャットダウンの後に、ウォッチドッグ・タイマ６１６自体を除くプローブ１１２全体の電力サイクルが始まる。コントローラボードは、一部のコンポーネントが電力サイクルだけによって初期化され得るか、又は、悪い状態から回復され得るので、電力サイクルを引き起こすために予想されるパルスの中止によって、これを意図的に開始するようにプログラムされ得る。

電源６１８は、電力をプローブ１１２に供給する。プローブ１１２コンポーネントへの電力の印加は、ウォッチドッグ・タイマによって制御される。外部電源は、電柱で利用可能な電力線から、又は、車両によって供給されるＡＣ若しくはＤＣ電力からのＡＣ電力を含むことがある。

バッテリバックアップ６１２は、商用電力が固定施設に対して失われた場合にプローブ１１２を動作可能状態に保つために設けられることがある。業務用トラックのような移動可能施設では、バッテリバックアップ６２０は、車両エンジンが車両バッテリを放電する危険性のない、走行していない間にプローブ１１２が動作可能状態を保つことを可能にする。車両キースイッチ又は類似した安全装置は、車両が走行していないとき、プローブを車両バッテリから遮断する。さらに、モバイルプローブは、車両のオルタネータ又は正常運転条件で起こる車両ブレーキ灯の断続的な使用によって作られる充電電圧を監視することによりエンジンの動作を検知できる。

いくつかの配備では、プローブ１１２は、ＧＰＳ受信機６２２を装備し、一例では、車両上の配備を含むことがある。ＧＰＳ受信機６２２は、別個のユニットでもよく、又は、この機能は、無線モデム６０６のような別の既存コンポーネントによって設けられることがある。ＧＰＳデータは、受信されたＦＡＮトラフィックがＧＰＳ位置データと相関させられ得るようにタイムスタンプと共にＦＡＮバックエンド監視システムに送信される。ＧＰＳ受信機６２２は、装置が窃盗又は失われた場合、ロケータとして固定プローブ１１２と共に使用されることもある。

プローブ１１２は、組み込まれたプログラム又はプローブ管理システム２２０からの遠隔コマンドによるオンデマンドのいずれかを通じて、コントローラによって読まれる一連のセンサ６２４を収容する。温度センサ（図示せず）は、コンポーネント及びエンクロージャ内部の空気の温度を測定する。タンパースイッチ（図示せず）は、ハウジング６０１が物理的に開かれた場合に報告する。湿度センサ（図示せず）は、エンクロージャの風雨密シールの中の漏れを報告する。

プローブ１１２は、コントローラボード６０２が中継器を制御し、信号をアセンブリ内の様々なボードに送信することを可能にする汎用ＵＳＢベースのＩ／Ｏカードのようなデジタル入力／出力能力６２６を収容する。デジタルＩ／Ｏ能力の２つの主要な用途は、プロセッサ健全性を示すためにウォッチドッグ・タイマ６１６を周期的にストローブすること、及び、データ取得装置６０４のファームウェア更新をサポートすることである。

図７を参照すると、プローブパケット取得プロセスは、ＲＦデータ取得装置６０４のためのＲＦパラメータ（例えば、周波数、開始ワード、変調パラメータ及び増幅率）の構成を含む７００で初期化される。７０２でデータ取得装置６０４は、開始ワードが受信されるまで待機する。７０４で、データ取得装置６０４は、受信されるべきデータバイトを待つ。７０６で、バイトが受信されたとき、バイトは、コントローラボード６０２への送信のためキューに入れられる。例えば、パケット長のようなパラメータが利用できる場合、これらのパラメータが記憶される。７０８で、例えば、図１６に関して後述されるように、ある特定のルールが満たされない場合、又は、データ完全性が１つ以上のパケットから復元されるべき有意義なデータのため不十分である場合などに、パケットが不適格とされるべきか否かに関する判断が行われる。７１０で、パケットの最後が処理されたか否かに関する判断が行われる。７１２で、ＲＦチャネル指定及び受信信号強度表示（ＲＳＳＩ）のようなメタデータがパケットにプリペンドされる。

図８を参照すると、データキャッシュ及びコントローラボード６０２への送信が示される。８００で、データがデータ取得装置６０４から受信される。８０２で、パケットは、タイムスタンプを付され、フォーマット化され、何らかの付加的なメタデータが付加される。８０４で、データが送信のためキューに入れられる。８０６で、通信チャネルが利用可能であるか否かに関する判断が行われる。通信チャネルが利用可能ではない場合、データは、８０８でローカルストレージにキャッシュされる。通信チャネルが利用可能になるとき、８０６で判断されたように、データはＦＡＮバックエンド監視システムに送信される。

図９は、ウォッチドッグ・タイマ６１６の動作を示す。９００で、ウォッチドッグ・タイマ６１６は、コントローラボード６０２からのパルスを待つ。ウォッチドッグ・タイマ６１６がタイムアウトする前にパルスが受信された場合、ウォッチドッグ・タイマ６１６はリセットされ、別のパルスを待ち続ける。ウォッチドッグ・タイマ６１６がタイムアウトした場合、９０２で、接点閉接がコントローラボード６０２上の電源スイッチにもたらされる。９０４で、一般に固定持続時間からなる待機期間が存在し、この待機期間は、コントローラボード６０２の正常なシャットダウンが開始されるまで観測される。９０６で、電力がコントローラボード６０２及びプローブサブシステム６００のその他のプローブコンポーネントから取り除かれる。９０８で、同様に、一般に固定持続時間からなる別の待機間隔が存在する。９１０で、電力がコントローラボード６０２及びプローブサブシステム９１０のその他のコンポーネントに取り戻される。制御が９００に戻される。

図１０は、コントローラボード６０２の観点から正常なウォッチドッグ・タイマ動作を示す。１０００に、コントローラボード６０２上のウォッチドッグパルス発生器の周期的なウェイクアップがある。１００２で、パルスがコントローラボード６０２からウォッチドッグ・タイマ６１６に送られる。

図１１は、図１０のウォッチドッグ・タイマ手順を使用する電力サイクル動作を実施するためのチェックフラグの使用を示す。電力サイクルが１１００で必要であるとの判断がある場合、プローブのアプリケーションが１１０２でフラグを書き込む。ウォッチドッグパルス発生器プロセスの周期的なウェイクアップが１０００で行われる。１１０４で、１１０２でセットされたフラグがウォッチドッグパルス発生器プロセスによって読み取られる。電力サイクルが要求されることをフラグが示す場合、パルスは、ウォッチドッグパルス発生器によって送られることがなく、制御が１０００に進む。パルスがウォッチドッグ・タイマ６１６に送信されるべきことをフラグが示す場合、次に制御が１００２に移り、パルスが送られる。

図１２を参照すると、健全性及び制御情報は、ＳＳＨプロトコルを使用してプローブとＦＡＮバックエンド監視サブシステム内のプローブ管理サブシステム２２０との間でプライベート論理ネットワーク１２００を介して受信され、送信される。プローブ管理サブシステム２２０は、プローブの健全性を監視し、遠隔位置からプローブ１１２の構成に変更を加える。プローブ管理サブシステム２２０は、いくつかの機能コンポーネント及び特徴を備える。これらは、問い合わせプローブ１１２によってデータを収集し、ファイルシステム１２０４からのサーバ常駐プローブデータ及びその他のプローブデータを収集するために周期的に動くスクリプト１２０２を含む。１２０６で、プローブ状態は、現行のイベント及びデータに基づいて変化し、データベース１２０８からのイベント及びデータが処理される。１２１０で、データは、オブジェクト関係データベース技術の使用によることを含み、後述されるように処理される。処理されたデータは、次に、１２１２に表されるように、且つ、図１６に関して後述されるように、ＩＤＳ警告と共に、データベース１２０８に格納される。１２１４で、構成データ記憶装置１２１６内の選択された構成に基づいて、（電子メール１２１８、ＳＭＳ１２２０又はＶｏＩＰ１２２２の形式の）警告及び通知が生成される。警告及び通知は、システム・ログ・データベース１２２４に格納される。

図１３は、遠隔プローブ管理のためのプロセスを示す。１３００で、管理アクションが開始される。例えば、動作パラメータが修正され、ファームウェアがシステムアドミニストレータによって更新される。これは、典型的には、ウェブインターフェース又はシェルを経由してプローブ管理サブシステム２２０によって行われる。１３０２で、例えば、ＳＳＨを介するセキュア通信チャネルがプローブ管理サブシステム２２０によるターゲットプローブで確立される。１３０４で、コマンドがコントローラボード６０２のオペレーティングシステムで実行される。１３０６で、相互作用がデータ取得装置６０４、及び無線モデム６０６のようなその他のプローブコンポーネントで行われる。１３０８で、様々なパラメータの戻り値が１台又は複数台のプローブ１１２への送信の成功又は失敗と、これらのプローブの構成の更新成功の検証のため検査される。１３１０でセキュア通信チャネルは、安全性を強化するために閉鎖されるか、又は「解体される」。

図１４を参照すると、ここではデータ・プロセッサ・サブシステムと称されるコレクタ／ディセミネータ２１４の全体的な機能は、バックホールネットワーク１２０を介して送信されるようなプローブ１１２からのデータを含むネットワークトラフィックのライブビューを提供するために着信データストリームを処理すること、並びに、ＩＤＳ及びバックエンドにおけるその他の解析能力のためのフィードを作成することである。データ・プロセッサ・サブシステムは、いくつかの機能コンポーネントを備える。これらは、プローブから受信されたデータを処理するＦＡＮデータプロセッサ１４００を含み、これらの機能は、以下の事項、
・セキュアＳＳＨトンネルのバックエンド部を実施すること
・１つのＴＣＰセッションに収容される複数のプローブ送信情報を複数の別個のプローブフィードに逆多重化すること
・タイムスタンプ、及びＲＦチャネル識別情報を抽出することを含み、メタデータを処理すること
・データメッセージをデスクランブルすること
・ライブフィードをユーザポータル１４０２上のネットワーク・アナライザに提供すること
・データストリームをＩＤＳ１４０４に送信すること
・ネットワークキャプチャの履歴をデータ・キャプチャ・リポジトリ１４０６に格納すること
・プローブメトリックをシステム・ログ・データ・ストアに記録すること
を含む。

侵入検出サブシステム１４０４は、疑わしい挙動についてネットワークトラフィックを検査し、警告を生成し、図１６に関してさらに後述されるような機能が、以下の事項、
・ＦＡＮネットワークレイヤを収容するパケットを検出すること
・（存在するならば）ＣＲＣチェックサム、ＭＡＣアドレス及びＦＡＮネットワークＩＤのようなフィールドを検出するためにプリプロセッサを用いてＦＡＮネットワークレイヤを解析すること
・ＦＡＮネットワークレイヤ、ＩＰｖ６レイヤ、及びアプリケーション・トラフィックレイヤで観測された数種類のデータを対照してルールを実行することと
・ルールが疑わしい行動を検出したとき、警告をデータベース１４１０に記録し、前述されたように電子メール、ＳＭＳ、ＶｏＩＰを用いて、警告をアドミニストレータに送信すること
・その他の既知のセキュリティデータとの相関のため顧客セキュリティインシデント及びイベント管理システム（ＳＩＥＭ）１４１２に警告を電子的に供給すること
を含む。

ＩＤＳルールセット１４１６は、いくつかのネットワークレイヤでのプローブ配備毎に構成可能なポリシーのセットを提供する。
・リンクレイヤとネットワークレイヤとの間の物理レイヤ、媒体アクセス制御レイヤ、リンクレイヤ及びカスタムレイヤは、集合的にＦＡＮネットワークレイヤと呼ばれ、
（ａ）ＣＲＣエラー−計算されたチェックサムに対照してパケット内のＣＲＣを比較することによる
（ｂ）未知装置−既知ホワイトリストに対照してＭＡＣアドレスを比較することによる
（ｃ）無許可メーター移動−既知ホワイトリストに対照してＭＡＣアドレスを比較することによる
（ｄ）無許可装置−未知ＦＡＮネットワークＩＤを検出することによる
などの問題点を検出する
・ＩＰｖ４／ｖ６レイヤは、
（ａ）ポートスキャン−トラフィック周波数を観測することによる
（ｂ）インセキュア通信−着信ポート使用量を観測することによる
などの問題点を検出する
・ＦＡＮアプリケーションレイヤは、
（ａ）センシティブ／制限的なコマンド（遠隔切断、構成修正、ファームウェアアップロードなど）の使用−コマンドコードを観測することによる
（ｂ）過剰ノードチャットネス−ノード当たりのトラフィック周波数を観測することによる
（ｃ）ルーティング攻撃（すなわち、バックホール、リダイレクション）−疑わしいルーティングメッセージを観測することによる
（ｄ）無効署名−署名データを観測することによる
（ｅ）再生試行−繰り返されたメッセージを観測することによる
などの問題点を検出する。
データ・キャプチャ・リポジトリ１４０６は、ユーザポータル１４０２上でＦＡＮアナライザによって閲覧され得るネットワークキャプチャの履歴セットを提供する。ライブ・トラフィック・フィード１４１８は、各プローブによって取得されたネットワークデータのほぼリアルタイムのフィードを提供する。フィードのクライアントは、より詳細に後述されるようにＦＡＮアナライザ及びネットワーク可視化ツールを含む。

図１５は、コレクタ／ディセミネータのデータプロセスを示す。１５００で、データは、コントローラボード６０２から受信される。メトリックがデータに存在すると１５０２で判断された場合、１５０４で、メトリックがシステムログに格納される。メトリックがデータに存在しない場合、データは１５０６でデスクランブルされる。１５０８で、デスクランブルされたデータがＰＣＡＰファイルフォーマットに変換され、データ・キャプチャ・リポジトリ１４０６に格納される。１５１０で、データはＩＤＳ１４０４に送信される。１５１２で、ライブ・データ・ストリームがデータのほぼリアルタイムの監視のため提供される。

図１６は、ＩＤＳプロセスの中心となる。１６００で、パケットは、コレクタ／ディセミネータ２１４（データプロセッサ１４００と称されることもある）から受信される。１６０２で、プリプロセッサは、ＦＡＮネットワークレイヤを解析するために使用される。１６０４で、トラフィックが第１のルールセットにおける侵入を示すいずれかのルールに適合するか否かに関する判断が行われる。１６０６で、いずれかのルール又はルール群に対する適合がある場合、警告が記録される。１６０４でいずれのルール群に対する適合もない場合、論理フローは、ＩＰｖ４／ＩＰｖ６トラフィックが存在するか否かに関する判断が行われる１６０８に進む。このようなトラフィックが存在しない場合、論理フローは１６００に戻る。ＩＰｖ４／ＩＰｖ６トラフィックが存在する場合、次に１６１０で、トラフィックが第２のルールの組に基づいて侵入を示すいずれかのＩＰｖ４／ｖ６ルールに適合するか否かに関する判断が行われる。１６１２で、いずれかのこのようなルールへの適合がある場合、警告が警告データベースに記録される。侵入を示すＩＰｖ４／ｖ６トラフィックに関するいずれかのルールとの適合が存在しない場合、次に論理フローは、１６１０から１６１４へ向かう。１６１４で、ＦＡＮアプリケーション・トラフィックが存在するか否かに関する判断が行われる。ＦＡＮアプリケーション・トラフィックが存在しない場合、論理フローは１６００に戻る。ＦＡＮアプリケーション・トラフィックが存在する場合、１６１６で第３のルールセットを使用してトラフィックがＦＡＮアプリケーション・トラフィック侵入を示すいずれかのルールに適合するか否かに関する判断が行われる。ＦＡＮアプリケーション・トラフィック侵入を示すルールが適合しない場合、論理フローは１６００に戻る。ＦＡＮアプリケーション・トラフィック侵入を示すルールが存在する場合、１６１８で警告が警告データベースに記録される。論理フローは１６００に戻る。

図１７は、ユーザ・ポータル・サブシステム（クライアント・サービス・ポータル）１７００のコンポーネントを示し、このユーザ・ポータル・システムは、プローブの状態及び健全性を観測し、プローブトラフィックをリアルタイムで観測し、ネットワークを解析及びプローブトラフィックを可視化し、ＩＤＳ警告を閲覧し、履歴ネットワークキャプチャを閲覧する能力をシステムユーザに提供する全体的な機能を有している。遠隔ユーザ１７０２は、ユーザポータルに安全にアクセスできる仮想プライベートネットワーク（ＶＰＮ）サーバ１７０４にアクセスする。プローブ・マネージャの一部分であるシステム健全性ウェブブラウザ１７０６は、プローブの状態及び健全性にアクセスできる。ウェブブラウザ１７０６は、ウェブサーバ１７０８にアクセスする。ウェブサーバ１７０８は、モデル１７１０のためのデータを提示し、１７１２でビューを選択させ、又は１７１４でコントローラをインターフェース接続させることを可能にする。ウェブサーバ１７０８上のプローブ状態及び健全性情報は、オブジェクト関係データベース１７１６に格納される。遠隔ユーザ１７０２は、ＶＰＮサーバ１７０４を使用して、ＩＤＳ１７２０によって生成された１７１８におけるＩＤＳレポートを含むツールの組にさらにアクセスすることができる。遠隔ユーザ１７０２は、後述されるようにＶＰＮサーバ１７０４を介してＦＡＮアナライザにさらにアクセスすることができ、このＦＡＮアナライザは、ＳＭＢ／ＣＩＦＳネットワーキングプロトコル（ＳＡＭＢＡ）の実施によってデータ・キャプチャ・リポジトリ１７２４、及び、プリプローブ・ライブ・フィード１７２６からデータを供給する。遠隔ユーザは、ＭｅｓｈＶｉｅｗネットワーク解析及び可視化ツールにさらにアクセスすることができる。

図１８を参照すると、ＦＡＮアナライザ１８００は、パケットを構成するビットを解釈し、ビットを人による解析のためにより利便性の高い情報のフィールドへ変換するソフトウェアツールである。ＦＡＮアナライザは、ＦＡＮ侵入検出及び監視システムにおける複数の目的のため使用される。第１に、ＦＡＮアナライザは、プローブ１１２がパケットデータを適切に傍受し、バックエンドに送信していることを保証するため、バックエンドシステムの管理部において着信トラフィックを監視するために使用される。第２に、ＦＡＮアナライザは、セキュリティ、動作及びエンジニアリングの問題点を解決するために顧客が傍受されたトラフィックを解析することを可能にする顧客ポータルにおけるアプリケーションとして使用される。第３に、ＦＡＮアナライザにおいてパケットを復号化するために使用されるロジックは、ルール及び挙動解析が適用され得るように着信パケットをパースするためにＦＡＮ ＩＤＳで使用される。

図１８は、着信パケットを処理及び復号化するために使用される高レベルプロセスのフローチャートを示す。パケットを復号化するために要求される知識は、タグ−長さ−値構造体の検索と、既知の刺激から生じるパケットの記録及び解析と、情報解釈に関する仮説の定式化及び解釈を評価するための試験シナリオの実行などのような技術を使用して、理解できる標準ベースのプロトコルとリバースエンジニアリング独占的プロトコルとの組み合わせから導き出される。

パケットは、外側エッジから内向きに分解され、いずれの場合にも情報の包囲レイヤを除去する。最も外側のレイヤで、物理フレームプロセッサ１８０２は、最下位レベルの情報で動作する。物理フレーム処理は、パケットの開始と、チャネルＩＤ又はシード値と、フレーム長さとを示唆する同期ワードを抽出する。パケットのペイロードがスクランブルをかけられている場合、物理フレーム処理は、リンクレイヤ処理に備えてペイロードをデスクランブルすることもある。

媒体アクセス制御及びリンクレイヤプロセッサ１８０４は、典型的に、一方のノードから別のノードに通過するパケットに関連付けられたリンク通信態様を記述するタグ−長さ−値としてフォーマットされた一連の情報フィールドを抽出する。リンクレイヤで抽出される典型的な情報は、パケットの送信元及び宛先ＭＡＣアドレスと、特に周波数ホッピングシステムにおいてノードが互いに同期化することを可能にするために要求されるタイミング情報と、通信ウィンドウに関するタイマ及び優先度情報と、パケットシーケンス情報と、リンクレイヤフラグと、リンクレイヤでのパケットの断片に関連した情報とを含む。さらに、ノードの発見、情報のブロードキャスティング、リンク品質の試験、及びノードコネクティビティテーブルの維持に関連付けられた低レベルメッセージは、リンクレイヤプロセッサによって解釈及び復号化される。

メッシュレイヤプロセッサ１８０６は、非ＩＰメッシュネットワークにおいてメッセージをルーティングするために使用されるリンクレイヤとネットワークレイヤとの間のカスタムレイヤから情報を抽出する。これは、通信エンドポイントの送信元及び宛先ＭＡＣアドレスを含む。これらのアドレスは、リンク送信元及び宛先、すなわち、メッシュネットワークにおける１ホップだけを識別する物理フレームＭＡＣアドレスとは異なる。メッシュレイヤＭＡＣアドレスは、互いに複数ホップ離れていることがあるノードを指定する。一部の場合、パケットが選ぶべき正確なパスがソースルートとして明示的に挙げられる。

メッシュレイヤ処理の上に、いくつかの異なるメッセージ転送ユニットが存在する。ルートプロセッサ１８０８は、ネットワーク内部にルートを確立し、ネットワークノードを構成するためにノード間で転送された情報に関連付けられたパケットを復号化する。これは、ゲートウェイによって直接的に送信され、且つ、ノードによって間接的に報告されたネットワークゲートウェイのアドバタイズメントと、隣接ノードに関する情報と、ＩＰプレフィックスのような構成情報と、バックエンドサーバ（例えば、ＤＮＳ及びトラップサーバ）のアドレスと、構成可能なノードパラメータ（例えば、ネットワークＩＤ及びタイマ）を含む。

時間同期プロセッサ１８１０は、ノードの１つずつに関する正確な日時を構成するために要求及び応答に関連したパケットを復号化する。カプセル型ネットワークプロセッサ１８１２は、異なる技術から作られたネットワークを通してルーティング及び送信するために設計されたペイロードからメッセージ全体を抽出する。典型的に、ＩＰｖ４／ＩＰｖ６パケットは、カプセル型パケットとして完全に埋め込まれ、一方のネットワーク技術のため設計されたパケットを別のネットワーク技術を用いて運搬する手段を提供する。カプセル型ネットワークプロセッサ１８１２は、カプセル型パケットの挿入及び回収を管理するために付加されたヘッダ情報をさらに抽出する。

ＩＰｖ４／ＩＰｖ６プロセッサ１８１４は、ＩＰネットワークを越えて広く使用されるＩＥＴＦにより規定された標準ベースのプロトコルを復号化する。プロセッサ１８１４は、ユーザ・データグラム・プロトコル（ＵＤＰ）コネクションレス及びトランスミッション・コントロール・プロトコル（ＴＣＰ）コネクション指向型パケットストリームを取り扱う。ＩＰｖ４／ＩＰｖ６パケットは、セッション及びトランザクションを管理する通信プロトコル、並びに、例えば、ＩＥＥＥ Ｚｉｇｂｅｅ（登録商標）プロトコル標準のようなＨＡＮプロトコルのように上位レイヤプロトコルのための輸送手段である。

通信プロトコルプロセッサ１８１６は、要求／応答及びアプリケーション・セッション指向型トランザクションをサポートするメッセージを解釈する。このレイヤで復号化されるプロコルの例は、メーター管理のためのＣ１２．２２と、監視制御及びデータ取得（ＳＣＡＤＡ）機器の監視及び制御のためのＤＮＰ３とを含む。基礎となるネットワーク技術を用いてより効率的に動作するように設計されたカスタム通信プロトコルも同様に使用される。これは、今日では殆どの独占的クローズドシステムであるＡＭＩネットワークにおいて共通である。通信プロトコルプロセッサ１８１６は、ＰＫＩ署名及び証明書のようなセキュリティ制御を用いてラップされたコンテンツをさらに暗号解読する。

ＨＡＮプロセッサ１８１８は、住宅内でバックエンドシステムと電気製品との間で渡されるメッセージを解釈する。パケットは、組み込まれたＩＰパケットで搬送され、スマートメーターによって抽出され、さらに別のネットワーク技術を用いてスマート家電製品、サーモスタット、及び負荷制御スイッチに送信される。

アプリケーションプロセッサ１８２０は、装置上のソフトウェアアプリケーションによって生成された最高レベルの情報コンテンツを暗号解読する。アプリケーションレイヤプロセッサ１８２０は、メーター・レジスタ・データ、イベント情報、及び電力切断／再接続のような遠隔動作のためのコマンドといった情報を収容するペイロード・データ・ユニットを復号化する。

ＦＡＮアナライザ１８００は、ネットワークスタック内の異なるレイヤで断片化されることがあるパケットを再アセンブルするためのロジックをさらに含む。断片化は、典型的に、リンクレイヤ、ＩＰｖ４／ＩＰｖ６レイヤ、及びアプリケーションレイヤで行われ得る。各レイヤでヘッダ内の情報を使用して、ＦＡＮアナライザは、ＩＤ値を使用して互いに関係している断片化されたパケットを識別し、これらの断片化されたパケットを順序付け、そして、上位レイヤが抽出されたメッセージユニットを処理できるようにこれらのペイロードを再アセンブルする。これは、図１８において断片を意味する用語「フラグ」によって表現される。

図１９を参照すると、図１７において参照されたツールのうちの１つは、ＭｅｓｈＶｉｅｗ（商標）アプリケーションであり、これは、アトミックな通信及びパケット傍受システムによってキャプチャされた低レベルパケット詳細からネットワークトポロジー及びＦＡＮにおけるエンド・ツー・エンド通信フローに関する情報を抽象化するネットワーク解析及び可視化ツールである。ＭｅｓｈＶｉｅｗアプリケーションの主要な特徴は、トラフィック観測に基づいて論理及びＧＩＳベースのコネクティビティとＦＡＮサブネットのルーティングマップとを構築することであり、トラフィック観測は、フル・バンド・キャプチャを必要とせず、すなわち、周波数ホッピングシステムにおける長時間に亘るチャネルのサンプリングがネットワークトポロジーと、ルーティング及びコネクティビティ図とを描くために使用され得る。ＭｅｓｈＶｉｅｗアプリケーションの別の主要な特徴は、解析及び可視化において対象となる具体的なトラフィックを引き出すために強力なフィルタをトラフィック観測に適用する能力である。さらにＭｅｓｈＶｉｅｗアプリケーションの別の特徴は、パケットタイムスタンプに基づいてパケット送信のタイムラインを示し、且つ、通信の時間系列を観測するためにパケットを再生する能力である。再生機能性は、どのようにしてＡＰサブネットルートが論理及びＧＩＳベースのマップビューの両方で長時間に亘って構成、変化、及び劣化するかを観測するためにルーティングマップに適用される。さらにＭｅｓｈＶｉｅｗアプリケーションの別の特徴は、正常な動作を確立するためにプローブ毎にベースライントラフィック統計量を作成することである。ＭｅｓｈＶｉｅｗアプリケーションは、ユーザがＧＩＳベースのマップ上でモバイルプローブによってもたらされたルートを閲覧することを可能にする能力をさらに有する。ＭｅｓｈＶｉｅｗアプリケーションは、ユーザがエリア内で受信され、送信され又は傍受されたパケットだけに基づいて結果を生成するためフィルタとして地理的エリアを選択することを可能にするためにフィルタをさらに提供する。

ＭｅｓｈＶｉｅｗアプリケーションは、物理的フレーム、リンクレイヤ、メッシュルーティングレイヤ（多くの場合にカスタムレイヤであるレイヤ２．５プロトコル）、ＩＰｖ４又はＩＰｖ６パケットがメッシュパケットにカプセル化されるパケットカプセル化レイヤ、及びアプリケーションレイヤからネットワーク特性を判断するために情報を抽出する。物理的フレームは、周波数チャネル、及び仮想ネットワークＩＤのような属性を提供する。リンクレイヤは、数ある情報の中で、直接的なノード・ツー・ノード通信の送信元及び宛先と、パケットのタイプと、ノードがホップすることがよくある将来の時点に関するタイミング情報とを提供する。時間及び周波数でリンクされるハンドシェイクパケットは、パケット内に存在しないとき、送信元及び宛先アドレスを推測するために使用される。レイヤ２．５は、ソース・ルーティング・パケット及びメッシュ内部の宛先に到達するための１つ以上のノードを通じてパケットを中継することに関する情報を提供する。レイヤ２．５は、ノードの選択された次のホップに関する情報をさらに提供する。カプセル化レイヤ内のＩＰアドレスは、典型的に、アクセス・ポイント・ゲートウェイを越えてバックエンドネットワーク内のメッシュの間を横断するか、又は、異なるアクセスポイントを有するノードを横断する通信フローに関する情報を提供する。アプリケーションレイヤは、ノード構成、主要なネットワーク・サーバ・アドレス、及びイベントに関する情報を提供する。

図１９は、パケットトレースがＭｅｓｈＶｉｅｗによって解析された情報に変換され、アプリケーションユーザに提示されるプロセスの高レベル図を示す。トラフィックトレースは、１９００で収集され、ＰＣＡＰファイルにフォーマットされる。各パケットの範囲内のすべての情報要素を露出するテキストファイルは、１９０２でネットワーク・アナライザから作成される。テキストファイルは、１９０６でパーサによって処理され、このパーサは、好ましい実施ではＰｙｔｈｏｎで記述される。パーサの結果は、ＭｅｓｈＶｉｅｗデータベースに取り込まれるコネクティビティ及びルーティング情報ファイルであり、このＭｅｓｈＶｉｅｗデータベースに基づいてネットワーク情報の様々な図が作成され、Ｊａｖａ（登録商標） ＧＵＩ１９０８及びウェブベースのＧＵＩ１９１０を通じてユーザに表示される。

図２１では、ＭｅｓｈＶｉｅｗアプリケーションは、Ｊａｖａ（登録商標）パーサ２１０２又はＰｙｔｈｏｎパーサ２１０４のいずれかを使用することによりネットワーク構成ファイル２１００をパースする。データは、ＭｙＳＱＬデータベース２１０６又はＰＳＱＬデータベース２１０８にそれぞれ格納される。データは、Ｊａｖａ（登録商標） ＧＵＩ２１１０又はＪａｖａ（登録商標）ｓｃｒｉｐｔ２１１２を使用するＤｊａｎｇｏサーバのようなウェブＧＵＩにそれぞれ送信される。

図２２では、パケットの正当性を確認し、エラーを含むパケットの正常な出現を除去するためにトラフィックキャプチャをパースするルールの一部が示される。パケット内のＣＲＣが計算されたＣＲＣと一致する場合、巡回冗長検査値をもつパケットだけが受け入れられる。ＣＲＣが一致しないパケットは、エラーを有し、信頼できる情報源であると見なすことができない。さらに、チャネルＩＤの範囲が０からシステムのある所定の数までに入らなければならない有効な物理チャネルＩＤ２２０２をもつパケットだけが、２２０２において受け入れられる。予想範囲外のチャネルＩＤは、ＣＲＣが正しいとしても、エラーをもつパケットの兆候である。最後に、ＭＡＣアドレス内の１６進数の最上位桁が予想値に一致する有効なＭＡＣアドレスをもつパケットだけが２２０４において受け入れられる。予想外の値をもつＭＡＣアドレスは、パケットエラー又は起こり得る攻撃の標識である。

ＭｅｓｈＶｉｅｗアプリケーションは、論理及びＧＩＳベースの両方のコネクティビティ及びルーティングマップを構築する。ＭｅｓｈＶｉｅｗアプリケーションは、ノードのソース・ルーティング情報（ＳＲＴ）及びネクストホップ（ＮＨ）情報を収容するパケットを調べることにより予測ＡＰルーティングマップを構築する。ＭｅｓｈＶｉｅｗアプリケーションは、明示的なルート及び時間シーケンス中のネクストホップの変化を収集し追跡し、ここでは、ネクストホップの変化を含む新しいソースルートは、この新しいソースルートがいずれかの前に現れたルートに影響を与えるか否かを判断するために解析を必要とする。ネクストホップの変化が生じるとき、ＭｅｓｈＶｉｅｗアプリケーションの予測要素は、（ネクストホップ変化を伴うノードの後にある）影響を受けるノードを判断し、関わっているノードのルートを更新する。予測ＡＰルーティングマップは、図２３に示されるように論理形式でＡＰまでのノードルートの最良推定を描く。

図２４は、図２３に示された予測ＡＰルーティングマップの一部を示し、予測ＡＰルーティングマップの地上図を提供するためにＭｅｓｈＶｉｅｗアプリケーションによってプロットされ、Ｇｏｏｇｌｅ Ｅａｒｔｈ（登録商標）マップ上に重ね合わされた各ノード及びノードの交点の地理座標が追加されている。

図２５は、コネクティビティ・マップのスクリーンショットであり、複数の可視化オプションが付いている。コネクティビティ・マップは、ユーザが対象となるノードを選択し、フィルタ規準を満たすノードに対するすべての通信フローを表示することを可能にする。

ＡＰルーティングメッセージだけが選択される場合、コネクティビティ・マップは、ＡＰルートだけに基づく論理メッシュを示す。すべてのメッセージが含まれる場合、メッシュは、特定のノードに出入りするすべての通信と、対象となるノードが通信を通じて拘束したノード毎に結果として得られるファンアウトとを示す。

特に大規模メッシュマップと一体となった使いやすさを改善する付加的な特徴は、ユーザが表示すべきホップの数（すなわち、行数）と、メッシュに与える影響を観測するために特定のノードを削除する能力（すなわち、対象となるノードへのパスがないノードの数）とを制御することを可能にする深さ制御を含む。

高性能フィルタリング及び時間再生機能は、公益事業者がセキュリティ解析、フォレンジクス、ネットワーク運用、ネットワークエンジニアリング、及びフィールド診断のため対象となるデータと再生ノードアクティビティとに素早く重点を置くことを可能にする。フィルタは、タイムスタンプ付きのキャプチャされたパケットから抽出された情報に適用される。主要なフィルタは、図２６に示されるようにタイムスパン、送信元ノード、宛先、ノードタイプ、ホップカウント、プローブソース、顧客、及びパケットタイプを含む。

図２６では、フィルタの結果として生じる通信及びパケットに関する統計量は、右手側に現れる。統計量は、選択中のパケットの数と、送信元の数と、宛先数と、ホップカウント最小、最大及び平均とを含む。さらにチャネル統計量（図示せず）が使用された周波数チャネルと、これらの利用率と、チャネル使用量の均一性の度合いとを示すためにカイ２乗統計量を使用して抽出される。

ＭｅｓｈＶｉｅｗアプリケーションは、ユーザがこれらのフィルタから結果として生じる通信を再生することを可能にさせる時間経過又はフリップブック機能を提供する。１つのモードでは、ユーザは、対象となるノードを選択し、送信元、宛先又は中継としてこの対象となるノードを使用する各パケットを目通しするムービーを観測する。ユーザは、同時に１フレームずつムービーをシングルステップすることができる。重要な特徴は、ノードがスクリーン上で静止したままであり、且つ、フレーム更新毎に位置を変更しないように、再生に関わるノードが予め決定され、予め位置決めされていることである。これは、通信パスの変化を強調するために役立つ。残光は、スクリーン上に前の通信を残し、長時間に亘って緩やかにこれらの通信を少しずつ消すために使用され得る。

ＭｅｓｈＶｉｅｗアプリケーションは、データの具体的なスライスへの頻繁なアクセスを実現し易くするためにフィルタ選択物が記憶され、後で呼び出されることも可能にする。

図２７は、通信のクラスタリングを簡単に識別するためにパケット及び通信が時間的に現れる通りにパケット及び通信を表すタイムライン図を示す。

ＭａｓｈＶｉｅｗウェブシステムは、ハードウェア及びソフトウェアコンポーネントで構成されている。ハードウェアコンポーネントは、ソリッド・ステート・ハード・ドライブ及び実質的なメモリを備える汎用サーバ級のコンピューティング装置である。ソフトウェアは、オープンソースフレームワークスと、システムの具体的な機能性を実行するカスタムソフトウェアとの組み合わせである。

図２８では、メッシュ・ビュー・システム２８００のコンポーネントの論理ブロック図が示される。データ・インポート・ロジック２８０２は、ネットワーク構成ファイル２１００からデータベース２８０４にネットワークデータを取り込むために使用される。フィルタリングロジック２８０６は、ユーザ・アクセス・ロジック２８０８によって構成されたフィルタに従ってデータをフィルタ処理する。解析ロジック２８１０は、データをソートし、解析するために使用される。プレゼンテーションロジック２８１２は、ユーザ２８１４が、ユーザロジック２８０８の設定をはじめとして、システムと相互作用することができるＧＵＩを提供する。

オープン・ソース・コンポーネントは以下の、
−Ｐｙｔｈｏｎプログラミング言語
−Ｄｊａｎｇｏウェブフレームワーク
−ＰｏｓｔＧＩＳ拡張付きＰｏｓｔｇｒｅｓデータベース
−Ｄｊａｎｇｏ−ｔａｂｌｅｓ２ディスプレイコンポーネント
−ロスアラモス国立研究所からのｎｅｔｗｏｒｋＸグラフ化解析パッケージ
−ｔｈｅｊｉｔ．ｏｒｇからのグラフィカル・ジャバスクリプト・ライブラリ
−ｇｕｎｉｃｏｒｎワーカープロセス付きのｎｇｉｎｘウェブサーバ
−ａｓｙｎｃ．ｊｓ及びｒｅａｄｙ．ｊｓのようなその他のジャバスクリプトライブラリ
−Ｓｃｉｐｙ統計解析パッケージ
−Ｇｏｏｇｌｅ Ｅａｒｔｈ（登録商標）ウェブプラグイン及びフレームワーク
を含む。

カスタムソフトウェアは、
・プローブデータをデータベースに取り込み、正規化する方法
・選択された装置、パケットタイプ、プローブ、時間フレーム、及びその他の特性に基づいて、データ解析をパケットのサブセットに制限するフィルタを作成、カスタマイズ、保存、及び管理する方法
・フィルタ処理されたデータに関連したほぼリアルタイムの統計量の更新
・抽象ドメイン及び地域空間ドメインの両方での時間ベースの再生を使用する静的及び動的可視化を含む装置間のトラフィック及び通信の作成及び可視化
・送信周波数の不均一な使用、異常なグラフ特性曲線、及び異常な装置又はネットワーク挙動のその他の標識の検出を含む通信ネットワークの統計解析
・個々のシステムユーザを権限を与えられたデータの組に関連付ける方法
・システムの性能を最適化するロジック
を含む。

プローブデータをデータベースに取り込み、正規化するために、カスタムコードは、具体的なフォーマットでネットワーク通信に関するデータを受信し、このデータの完全性を保証する。カスタムコードは、次に、データを正規化し、選択フィールドについて解析を実行し、これらをデータベースに書き込む。

選択された装置、パケットタイプ、プローブ、時間フレーム、及びその他の特性に基づいて、データ解析をパケットのサブセットに制限するフィルタを作成、カスタマイズ、保存及び管理するため、ユーザ入力は、一連のウェブベースの形式によって受信され、パケット特性のユーザ選択を表現するフィルタを構築する。フィルタは、次に、システムによるさらなる解析のためのデータセットを制限するために使用される。ユーザは、フィルタを保存、修正、追加、ロード、又は除去する選択肢を持つ。フィルタは、ユーザアカウントに固有のものとすることができる。

システムは、フィルタ処理されたデータに関係する統計量についての動的な、ほぼリアルタイムの更新を提供することができる。これらの統計量は、選択中の装置の台数と、パケットの個数と、データのタイプと、無線周波数チャネル統計量及び均一性の評価のような選択されたデータから導出されたその他のデータとを含む。

フィルタ処理されたネットワークデータは、ネットワーク・メッシュ・フォーメーションでの出現の時間ベースの再生を使用する予測時間ベースの可視化を含む、通信フロー、トラフィック及び特性の静的及び動的なグラフィカル可視化を作成するために使用される。これらの可視化は、（従来のグラフ及びメッシュレイアウトを使用する）抽象的かつ地域空間的のいずれでもあり、適切な場合、例えば、図２４に関して前述されたようにＧｏｏｇｌｅ Ｅａｒｔｈ（登録商標）のような地域空間的ソフトウェアへの正確なオーバーレイを伴う。

通信ネットワークにおけるフィルタ処理されたデータの統計解析は、ネットワーク通信の対象となる、又は、異常な特性を検出するために使用される。このような解析の一例は、具体的な通信チャネルの非ランダム使用を検出する無線周波数通信チャネルの分布解析である。これは、運用上又はセキュリティ上の問題の兆候である。さらなる例は、送信周波数の不均一な使用、異常なグラフ特性曲線、及び異常な装置又はネットワーク挙動のその他の兆候の検出を含む。

本明細書に記載された全体的なシステムは、多数の利点がある。システムは、堅牢なユーザ認証及び複数のソースから継承された許可の組に基づいてデータを制限するデータアクセスモデルを実施することができる。これは、ユーザが、自分の組織又は雇用者がアクセス権を有するデータだけにアクセス権を有することと、アクセス権が明示的に与えられていることとを保証する。

システムは、解析の速度及び使いやすさを高める方法を使用する最適化のロジックを含むことができる。使用されるデータモデルは、通信及びデータ入力に関係する統計データの迅速な取得及び解析を実現し易くするために設計される。

システムアーキテクチャは、２つの部分に記載されている。低レベルパケット処理部分は、パケットの選択から主要な情報を抽出し、ノード及びノード関連情報のリストを追跡し、上位レイヤ解析及び可視化に渡される出力ファイルを作成する。低レベルパケット処理部分は、添付図面にさらに記載されている。上位レイヤ解析及び可視化アーキテクチャも同様に示されている。

本明細書に開示されたシステム設計及びアプローチの利点は、
・機能性及びプレゼンテーションに一貫したアプローチを提供し、開発、保守、及びサポートに役立つ標準ベースのアーキテクチャ
・データベースが効率性と解析される具体的なコンテンツのタイプ（測位情報付きのネットワークトラフィック）に合された速度を最適化されること
・可視化が記述するために大量のページ数のテキストを必要とした筈の解析結果を明瞭で、理解し易くすること
・時間ベースの再生がデータの履歴ビューを将来のシステム挙動の予測ビューと共に提供すること
・ウェブベースのシステムが保守機能の集中化を維持すると共にスケーラビリティ、セキュリティ、及びクライアントベースへの分散をもたらすこと
・詳細な統計解析がデータの特性に関連した確率を判断するために確認された技術を使用して既存のソリューションを遙かに凌ぐ異常検出を可能にさせること
を含む。

本明細書に開示されたシステムの重要な特徴は、プローブが監視するＡＭＩ及びＤＡシステムとは別個であり、且つ、識別可能であるプローブの使用である。本明細書に開示されたようなプローブ、コレクタ及び管理ツールのシステムは、非ＩＰ ＡＭＩ及びＤＡ ＦＡＮと協働するようにカスタムビルドされ、これらのうちの多くは、メッシュネットワーキング及び周波数ホッピング技術を使用する。さらに、本システムは、カスタムプロトコルについての解析を実施し、このカスタムプロトコルについての知識は、リバースエンジニアリングの実行を通じて取得され得る。さらなる違いは、侵入検出のためＷｉ−Ｆｉネットワークを監視するとき、商用的実施は、本開示のように無線通信経由のトラフィックではなく、ルータのバックエンドを監視する。さらに別の違いは、プローブによって使用されるノード追跡能力とチャネルスキャニング及びサンプリング技術とである。

本明細書に開示されたシステム及び方法は、ソリューション開発用、すなわち、公益事業者のためのカスタムソリューションを開発且つ統合するサービスとして、企業が公益事業者の代わりにシステムを配備し管理する管理型サービスとして商業化される可能性があり、又は、公益事業者に販売され得る製品として、若しくは、ホワイトレーベル製品としてＦＡＮ／ＡＭＩネットワークプロバイダとの提携を通じて生産される可能性がある。

開示内容は、コンピュータシステムによって実行されたとき、本明細書に記載された方法のステップの実行という結果になるコンピュータプログラムの命令を格納するコンピュータ読み取り可能な一時的でない記憶媒体において具体化されてもよいことが理解されるであろう。このような記憶媒体は、前述の記載で指摘されたいずれの記憶媒体を含んでいてもよい。

本明細書に記載された技術は、例示的であり、本開示内容への何らかの特定の限定を含意するものと解釈されるべきではない。様々な代替、組み合わせ及び変更が当業者によって考え出されることもあり得ることが理解されるべきである。例えば、本明細書に記載されたプロセスに関連付けられたステップは、特に特定されない限り又はステップ自体によって規定されない限り、どのような順序でも実行され得る。本開示は、請求項の範囲に入るすべてのこのような代替、変更及び変形を包含することが意図されている。

用語「ｃｏｍｐｒｉｓｅｓ（備える）」又は「ｃｏｍｐｒｉｓｉｎｇ（備える）」は、記載された特徴、整数、ステップ若しくはコンポーネントの存在を指定するものとして、しかし、１つ以上の他の特徴、整数、ステップ若しくはコンポーネント又はこれらの群の存在を除外するものではないものとして解釈されるべきである。

Claims (38)

1. パケットがプローブによって傍受されるフィールド・エリア・ネットワークのための侵入検出及び監視システムであって、
   前記パケットが、侵入を示す第１のルールの組に適合するか否かを確かめるために前記パケットを解析するサブシステムと、
   前記パケットが、前記第１のルールの組のうちの少なくとも１つのルールに適合する場合、侵入を示す警告を格納するデータベース部と、
   を備えるシステム。
2. 前記第１のルールの組は、前記フィールド・エリア・ネットワークのフィールド・エリア・ネットワークレイヤ内のパケットを対象にしている、請求項１に記載のシステム。
3. 前記サブシステムは、
   インターネット・プロトコル・データが前記パケットに存在するか否か、及び、前記インターネット・プロトコル・データが第２のルールの組を満たすか否かを判定するために前記パケットを解析し、
   前記第２のルールの組のうちの少なくとも１つのルールを満たす前記インターネット・プロトコル・データを示す警告を前記データベースに格納するように構成されている、請求項１に記載のシステム。
4. 前記インターネット・プロトコル・データは、ＩＰｖ４又はＩＰｖ６トラフィックである、請求項３に記載のシステム。
5. 前記サブシステムは、
   フィールド・エリア・ネットワーク・アプリケーション・トラフィックが前記パケットに存在するか否か、及び、前記フィールド・エリア・ネットワーク・アプリケーション・トラフィック・データが第３のルールの組を満たすか否かを判断するために前記パケットを解析し、
   前記第３のルールの組のうちの少なくとも１つのルールを満たす前記フィールド・エリア・ネットワーク・アプリケーション・トラフィック・データを示す警告を前記データベースに格納するように構成されている、請求項３に記載のシステム。
6. 前記侵入検出システムは、前記フィールド・エリア・ネットワークに関連付けられた配電系統内のデータを検出するプローブに配置されている、請求項１に記載のシステム。
7. 前記侵入検出システムは、配電系統に関連付けられたフィールド・エリア・ネットワークのヘッドエンドに配置されている、請求項１に記載のシステム。
8. 前記侵入検出システムは、配電系統に関連付けられたフィールド・エリア・ネットワークの運用センターに配置されている、請求項１に記載のシステム。
9. 前記第１のルールの組は、安全に格納され、前記ルールにアクセスする鍵の組を含むデータベース部をさらに備える、請求項１に記載のシステム。
10. 前記鍵の組は、前記フィールド・エリア・ネットワーク内の送信側・受信側ペアのＭＡＣアドレスとＩＰアドレスとのうちの少なくとも一方に基づいて取り出される、請求項９に記載のシステム。
11. データがパケットによって送信されるフィールド・エリア・ネットワークにおいて侵入を検出する方法であって、
    前記パケットが第１のルールの組に適合するか否かを確かめるために前記パケットを解析することと、
    前記パケットが前記第１のルールの組のうちの少なくとも１つのルールに適合する場合、侵入を示す警告をデータベースに格納することと、
    を含む方法。
12. インターネット・プロトコル・データが前記パケットに存在するか否か、及び、前記インターネット・プロトコル・データが第２のルールの組を満たすか否かを判断するために前記パケットを解析することと、
    前記第２のルールの組を満たさない前記インターネット・プロトコル・データを示す警告を前記データベースに格納することと、
    をさらに備える請求項１１に記載の方法。
13. 前記第１のルールの組は、前記フィールド・エリア・ネットワークのフィールド・エリア・ネットワークレイヤ内のパケットを対象にしている、請求項１１に記載の方法。
14. 前記インターネット・プロトコル・データはＩＰｖ６トラフィックである、請求項１３に記載の方法。
15. フィールド・エリア・ネットワーク・アプリケーション・トラフィックが前記パケットに存在するか否か、及び、前記フィールド・エリア・ネットワーク・アプリケーション・トラフィック・データが第３のルールの組を満たすか否かを判断するために前記パケットを解析することと、
    前記第３のルールの組のうちの少なくとも１つのルールを満たす前記フィールド・エリア・ネットワーク・アプリケーション・トラフィック・データを示す警告を前記データベースに格納することと、
    をさらに含む、請求項１３に記載の方法。
16. 前記フィールド・エリア・ネットワークに関連付けられた配電系統内のデータを検出するプローブからパケットを受信することをさらに含む、請求項１１に記載の方法。
17. 配電系統に関連付けられたフィールド・エリア・ネットワークのヘッドエンドからパケットを受信することをさらに含む、請求項１１に記載の方法。
18. 配電系統に関連付けられたフィールド・エリア・ネットワークの運用センターからパケットを受信することをさらに含む、請求項１１に記載の方法。
19. 前記第１のルールの組を安全に格納することをさらに含む、請求項１１に記載の方法。
20. 前記第１のルールの組にアクセスする鍵の組をデータベース部に格納することをさらに含む、請求項１９に記載の方法。
21. 前記フィールド・エリア・ネットワーク内の送信側・受信側ペアのＭＡＣアドレスとＩＰアドレスとのうちの少なくとも一方を使用することにより前記鍵の組を取り出すことをさらに含む、請求項２０に記載の方法。
22. コンピュータシステムによって実行されたとき、データがパケットによって送信されるフィールド・エリア・ネットワークにおいて侵入を検出する方法のステップの実行をもたらすコンピュータプログラムの命令を格納するコンピュータ読み取り可能な一時的でない記憶媒体であって、前記ステップは、
    前記パケットが第１のルールの組に適合するか否かを確認するために前記パケットを解析することと、
    前記パケットが前記第１のルールの組のうちの少なくとも１つのルールに適合する場合、侵入を示す警告をデータベースに格納することと、
    を含む、コンピュータ読み取り可能な一時的でない記憶媒体。
23. フィールド・エリア・ネットワーク上でトラフィックをサンプリングする方法であって、
    複数の受信機で、少なくとも１台の受信機にトラフィックを送信する少なくとも１台のプローブからトラフィックを受信することと、
    前記トラフィックを受信するために、各受信機で広い周波数帯域を受信することと、少なくとも１台の受信機で前記少なくとも１台のプローブを周波数追跡することと、前記少なくとも１台のプローブの周波数及び前記少なくとも１台のプローブを受信する受信機の受信周波数に所定の方法でトラフィックの送信の周波数を周期的に変更させることとのうちの少なくとも１つによって、少なくとも１台の受信機で前記少なくとも１台のプローブを追跡することと、
    を含む方法。
24. フィールド・エリア・ネットワークを可視化するシステムであって、
    複数のプローブから前記ネットワーク上のネットワークトラフィックを受信することと、
    前記ネットワークトラフィックを示す情報をメモリに格納することと、
    前記プローブ及び前記プローブの間の相互接続の論理表現を形成するための前記情報を処理することと、
    前記論理表現を表示するグラフィカル・ユーザ・インターフェースを生成することと、
    を含むステップを実行するプログラムされたプロセッサを備えるシステム。
25. 前記プロセッサは、前記プローブ及び前記相互接続の位置のマップを形成するための前記情報をさらに処理する、請求項２４に記載のシステム。
26. 前記プロセッサは、さらに
    前記ネットワークが配置されている地形の地形画像を取得し、
    前記画像マップを前記マップに重ね合わせる、
    請求項２５に記載のシステム。
27. 前記プロセッサは、
    前記ネットワークトラフィック内のイベントを前記イベントが発生した順序で再生するために時間的に順次に前記メモリに格納された前記情報にアクセスすることを含むさらなるステップを実行する、
    請求項２４に記載のシステム。
28. フィールド・エリア・ネットワークにおいてネットワークトラフィックを解析するシステムであって、
    パケット及びネットワークトラフィックを表すデータを受信することと、
    ネットワークトラフィックを表す前記データに、メトリックが存在するか否かを判断することと、
    ネットワークトラフィックを表す前記データに、メトリックが存在する場合、前記メトリックをデータストアに格納することと、
    前記パケットをデスクランブルすることと、
    ネットワークトラフィックを表す前記デスクランブルされたデータをデータリポジトリに格納することと、
    を含むステップを実行するようにプログラムされているプロセッサを備えるシステム。
29. 前記プロセッサは、さらに、
    ネットワークトラフィックを表す前記データを侵入検出システムに送信することと、
    前記侵入検出システムによるリアルタイム監視のためデータのストリームを提供することと、
    を含むステップを実行する、請求項２８に記載のシステム。
30. 前記侵入検出システムは、前記侵入検出システムが侵入を検出した場合、リアルタイム警告を送信するように構成されている、請求項２９に記載のシステム。
31. 前記システムの監視、解析及び保守のうちの少なくとも１つのために前記システムに接続するクライアント・サービス・ポータルをさらに備える、請求項２８に記載のシステム。
32. 独立型ネットワーク解析システムのためのコネクションと、
    前記コネクションを介した前記システムへのコネクションのためのコンピュータと、
    をさらに備える、請求項２８に記載のシステム。
33. 前記コンピュータは、前記コンピュータ上のネットワークブラウザを介して前記システムにアクセスするように構成されている、請求項３２に記載のシステム。
34. 前記コンピュータは、ネットワーク・ビジュアライザ、侵入検出システム及びネットワーク・アナライザからなる群より選択された少なくとも１つを含む複数のツールを用いて構成されている、請求項３２に記載のシステム。
35. 前記ネットワークトラフィックはネットワークプローブから受信され、前記ネットワークプローブは携帯プローブ、ヘッドエンドプローブ、及び固定位置プローブからなる群より選択された少なくとも１つである、請求項２８に記載のシステム。
36. 前記パケットは、前記フィールド・エリア・ネットワークを介して通信するプローブから発生し、
    前記プローブの動作を管理するために、前記フィールド・エリア・ネットワークを使用して前記プローブと通信するプローブ・マネージャをさらに備える、
    請求項２８に記載のシステム。
37. 前記プローブ・マネージャは、前記プローブを構成するために前記プローブとさらに通信する、請求項３６に記載のシステム。
38. 前記プローブ・マネージャは、前記プローブからネットワークトラフィックを収集するために、前記プローブがネットワークトラフィックを送信するよう、周期的に前記プローブに問い合わせる、請求項３６に記載のシステム。

Images