JP2016126638A - ログ収集システムおよびログ収集方法 - Google Patents

Abstract

【課題】制御装置およびネットワークにおける負荷増大を適宜に回避しつつ、セキュアなログ収集を可能とする。【解決手段】ログ収集システム１００において、所定規則に基づいて真正またはダミーのいずれのログを送信するか決定し、当該決定したログを含む通信パケットをログ管理サーバ１４０へ送信する処理を実行する情報処理装置１１０と、情報処理装置１１０から通信パケットを受信し、当該通信パケットの含むログが真正またはダミーのいずれのログであるか、情報処理装置１１０と共有する所定規則に基づいて検証し、真正ログについて収集する処理を実行するログ管理サーバ１４０を含む構成とする。【選択図】図１

Description

本発明は、ログ収集システムおよびログ収集方法に関するものであり、具体的には、制御装置およびネットワークにおける負荷増大を適宜に回避しつつ、セキュアなログ収集を可能とする技術に関する。

鉄道、電力、水道、ガスを含む社会インフラを支える制御システムは、センサの計測情報等に基づいてバルブ（ｖａｌｖｅ）やアクチュエータ（ａｃｔｕａｔｏｒ）等の所定機構を動作させ、予め設定されている圧力や温度の維持といった制御動作が要求される。これら一連の制御処理は、制御システムにおける制御コントローラを含む制御装置が実施する。

こうした制御システムは、閉じたネットワーク内に構築され、また、専用のＯＳおよびプロトコルが使用されてきたため、早期にオープン化、ネットワーク化が進展した情報システムとは異なり、ウィルスによる攻撃等のセキュリティ脅威にさらされることがない、または攻撃されても被害は発生しないと考えられてきた。

しかし近年では、制御システムをインターネット等の外部ネットワークに接続する構成が増加しており、更には、制御システムのネットワーク装置への汎用ＯＳ採用も開始され始めている。そうしたネットワーク化、オープン化の情勢に伴い、制御システムを攻撃対象としたウィルス（具体的にはスタクスネット）も出現している。

一方、制御システムに対するセキュリティ基準は、これまで米国ＮＩＳＴ（Ｎａｔｉｏｎａｌ Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｓｔａｎｄａｒｄｓ ａｎｄ Ｔｅｃｈｎｏｌｏｇｙ）、英国ＣＰＮＩ（Ｃｅｎｔｒｅ ｆｏｒ ｔｈｅ Ｐｒｏｔｅｃｔｉｏｎ ｏｆ Ｎａｔｉｏｎａｌ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）を含む各国の研究機関または業界団体が主体となり、各国の基準および業界標準を策定していた。また、全世界共通のセキュリティ基準の必要性から、２００９年にＩＥＣ（Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｅｌｅｃｔｒｏｔｅｃｈｎｉｃａｌ Ｃｏｍｍｉｓｓｉｏｎ）において制御システムのセキュリティに関する国際標準の策定が開始されている。

このような国際的なセキュリティ基準策定の流れを受け、各種脅威から制御システムを保護するべく、制御コントローラを含む制御装置においても、情報システムと同様のセキュリティ機能の導入およびセキュリティ対策運用が必要になっている。

例えば、制御装置に対する脅威として、制御装置の通信ドライバに対して、イーサネット（登録商標）に接続した他機器から故意に大量のパケットを送信し、通信周期、アプリケーションタスクの動作タイミングを狂わせるといった脅威が挙げられる。こうした脅威に対する対策として、制御コントローラの動作状態やセキュリティ状態等を監視し、この監視により得た各種のログを監査用のデータとしてユーザに提供する対策が挙げられる。この対策を実現するためには、制御装置において、動作状態やセキュリティ状態に関する事象の記録であるログを生成する必要がある。

一方、上述の制御装置は、短周期での制御処理を高頻度に実行する動作条件にて、計算リソース（ＣＰＵやメモリ）における制御業務の占有部が大きいという制約があり、本来業務以外の各種ログの生成と蓄積をあわせて実行することは困難であった。したがって、制御装置ではログの生成、送信のみを行い、このログをログ管理サーバが蓄積し分析する
ことが必要となるが、制御装置とログ管理サーバの間の通信路（制御ＬＡＮ等）においては、データの真正性を侵害する改ざん攻撃等のリスクがあり、セキュリティ技術を適用してログを保護する必要がある。

こうしたネットワークを介したログ収集に関する従来技術としては、例えば、ログ取得端末との間での共通鍵をハードウェアセキュリティモジュールに格納し、収集したログデータを上述の共通鍵を用いて暗号化ログデータとして暗号化して格納するログ収集端末と、上述の共通鍵をハードウェアセキュリティモジュールに格納し、ログ収集端末から暗号化ログデータを取得し、取得された暗号化ログデータを共通鍵を用いて復号化するログ取得端末とからなるログ取得システム（特許文献１参照）などが提案されている。この従来技術によれば、通信ログを暗号化して保護し、暗号鍵の不正入手によるログデータの漏洩防止することが可能となり、また、ログ情報の改ざん防止と正しいログ情報の参照も可能となる。

ＷＯ２００８／１１７５５６

しかしながら従来技術においては以下の問題点が存在する。

すなわち、制御システム運用時における制御装置でのログ生成処理に伴い、ログ保護のための暗号化処理を実行する必要があるため、制御装置における処理負荷が高まり、リアルタイム性が求められる制御業務に遅延等の悪影響が及ぶリスクがある。また、前述のログの暗号化処理に伴う処理負荷は、ログ生成量に応じて増大する性質があり、制御装置の動作周期等によっては上述の悪影響のリスクが更に高まる恐れがある。

更に、制御装置からログ管理サーバに送信される通信パケットについて、ログの格納形態と、通信時におけるネットワーク帯域圧迫とに関して考慮がなく、ログ用パケットの送信に伴う通信パケットの増加により、ネットワーク帯域が圧迫されるリスクがある。

そこで本発明の目的は、制御装置およびネットワークにおける負荷増大を適宜に回避しつつ、セキュアなログ収集を可能とする技術を提供することにある。

上記課題を解決する本発明のログ収集システムは、所定規則に基づいて真正またはダミーのいずれのログを送信するか決定し、当該決定したログを含む通信パケットをログ管理サーバへ送信する処理を実行する情報処理装置と、前記情報処理装置から通信パケットを受信し、当該通信パケットの含むログが真正またはダミーのいずれのログであるか、前記情報処理装置と共有する前記所定規則に基づいて検証し、真正ログについて収集する処理を実行するログ管理サーバとを含むことを特徴とする。

また、本発明のログ収集方法は、情報処理装置が、所定規則に基づいて真正またはダミーのいずれのログを送信するか決定し、当該決定したログを含む通信パケットをログ管理サーバへ送信する処理を実行し、ログ管理サーバが、前記情報処理装置から通信パケットを受信し、当該通信パケットの含むログが真正またはダミーのいずれのログであるか、前記情報処理装置と共有する前記所定規則に基づいて検証し、真正ログについて収集する処理を実行する、ことを特徴とする。

本発明によれば、制御装置およびネットワークにおける負荷増大を適宜に回避しつつ、セキュアなログ収集が可能となる。特に、通信パケットごとの暗号化処理等は不要であり、制御装置やネットワークに負荷がかかりにくいタイミングで事前準備したログ認証テーブルを用いることで低負荷かつセキュアな処理が可能となる。

第１実施形態におけるログ収集システムの構成例を示す図である。 第１実施形態における各装置のハードウェア構成例を示す図である。 第１実施形態におけるログ収集方法の全体概要を示すシーケンス図である。 第１実施形態におけるログ収集方法の処理手順例１を示すフロー図である。 第１実施形態におけるログ解析結果のフォーマット例を示す図である。 第１実施形態におけるダミーログのフォーマット例を示す図である。 第１実施形態におけるログ認証テーブルの構成例を示す図である。 第１実施形態におけるログ収集方法の処理手順例２を示すフロー図である。 第１実施形態における通信パケットのフォーマット例を示す図である。 第１実施形態におけるログ収集方法の処理手順例３を示すフロー図である。 第２実施形態におけるログ収集方法の処理手順例１を示すフロー図である。 第２実施形態における通信パケットのフォーマット例を示す図である。 第２実施形態におけるログ収集方法の処理手順例２を示すフロー図である。 第３実施形態におけるログ収集システムの構成例を示す図である。 第３実施形態におけるログ収集方法の処理手順例１を示すフロー図である。 第３実施形態におけるログ収集方法の処理手順例２を示すフロー図である。

＜第１実施形態＞
−−−システム構成−−−

以下に本発明の実施形態について図面を用いて詳細に説明する。図１は、本実施形態におけるログ収集システム１００の構成例を示す図である。図１に示すログ収集システム１００は、制御装置およびネットワークにおける負荷増大を適宜に回避しつつ、セキュアなログ収集を可能とするコンピュータシステムである。

図１に例示するように、本実施形態のログ収集システム１００は、インフラ設備等においてログを含む通信パケットを生成、送信する制御装置１１０、１３０と、この制御装置１１０、１３０からログを含む通信パケットを受信してログ収集を行うログ管理サーバ１４０と、制御装置１１０、１３０とログ管理サーバ１４０との間を結ぶネットワーク１９０と、を含んで構成されている。なお、本実施形態では、二つの制御装置１１０、１３０がネットワーク１９０を介してログ管理サーバ１４０と通信可能な構成を例示するが、制御装置の数はこれに限定しない。図１の構成における制御装置数は一例である。また、特に区別する必要の無い場合、制御装置に関する以後の説明においては、制御装置１１０を代表させるものとする。

ログ収集システム１００のうち制御装置１１０は、インフラ設備等に設置されているセンサの計測情報等に基づいてバルブ（ｖａｌｖｅ）やアクチュエータ（ａｃｔｕａｔｏｒ
）等の所定機構を動作させ、予め設定されている圧力や温度の維持といった制御動作を実行する装置であり、通信部１１１、通信パケット生成部１１２、ログ生成部１１７、ログ送信制御部１１３、真正ログ記憶部１１５、およびログ認証テーブル記憶部１１６、を含んで構成されている。こうした構成は制御装置１３０でも同様である。また、上述の各部は、制御装置１１０が備えるプログラムを実行することで実装される機能と言える。この点はログ管理サーバ１４０でも同様である。

このうち上述の通信部１１１は、通信パケット生成部１１２が生成した通信パケットを、ネットワーク１９０を介してログ管理サーバ１４０に送信する。また、通信パケット生成部１１２は、真正またはダミーのログとログ認証テーブル９００に基づくインデックス（検証用データ）を選択的に含めた通信パケットを生成する。また、ログ送信制御部１１３は、ログ認証テーブル９００（所定規則）に基づいて真正またはダミーのいずれのログを含む通信パケットを送信するかを制御する。また、真正ログ記憶部１１５は、制御装置１１０が上述のセンサの計測情報等（例：所定部位の温度、圧力等々）に基づき生成するログ（真正）を格納する。また、ログ認証テーブル記憶部１１６は、ログ管理サーバ１４０から提供され、ログ管理サーバ１４０と共有するログ認証テーブル９００（図７に基づき後述）を格納する。

一方、ログ管理サーバ１４０は、上述したようにネットワーク１９０を介して制御装置１１０らと通信してログ認証テーブル９００の共有と、ログ収集処理を実行するサーバ装置であり、暗復号処理部１４１、ログ認証テーブル生成部１４２、通信パケット検証部１４３、ログ解析部１４８、ログ記憶部１４４、鍵情報記憶部１４５、ログ認証テーブル記憶部１４６、および通信部１４７、を含んで構成されている。

このうち上述の通信部１４７は、ネットワーク１９０を介して制御装置１１０等から上述の通信パケットを受信する。また、暗復号処理部１４１は、乱数発生用の関数による乱数の生成と秘密鍵等による復号処理といった暗号処理を行う。また、ログ認証テーブル生成部１４２は、ログ解析部１４８が出力するログ解析結果（例：ログ収集システムの試運転時などに制御装置１１０から得たログの解析結果）を用いてダミーログを生成するなどし、ログ認証テーブル９００の生成を行う。また、通信パケット検証部１４３は、制御装置１１０から受信した通信パケットの含むログが真正かダミーかをインデックスに基づいてログ認証テーブル９００にて検証する。また、ログ解析部１４８は、制御装置１１０から受信した通信パケットの含むログを解析する。また、ログ記憶部１４４は、制御装置１１０から受信した通信パケットの含むログを通信パケット検証部が検証し、真正ログと判断したログのデータを格納する。また、鍵情報記憶部１４５は、暗復号処理部１４１が入力として使用する鍵情報を格納する。また、ログ認証テーブル記憶部１４６は、通信パケット検証部１４３がログを検証するために入力として使用するログ認証テーブル９００を格納する。
−−ハードウェア構成−−−

続いて、上述したログ収集システム１００を構成する、ログ管理サーバ１４０、制御装置１１０のハードウェア構成の例について説明する。ここでは計算機として説明を行うこととする。図２にて例示する計算機は、記憶装置１１、ＣＰＵ１３、入出力装置１４、および通信装置１５を含んで構成される。

このうち記憶装置１１は、適宜な不揮発性記憶素子等で構成される記憶装置であり、ログ管理サーバ１４０または制御装置１１０として必要な機能を実装するためのプログラム１２と、ログ認証テーブル９００等の各種データとを保持している。

また、ＣＰＵ１３は、上述の記憶装置１１に保持されるプログラム１２を実行し計算機
自体の統括制御を行なうとともに各種判定、演算及び制御処理を行なう演算装置である。

また、入出力装置１４は、ログ管理サーバ１４０には備わらず、制御装置１１０に備わる構成を想定し、この場合、制御対象に設置されたセンサから送られてくる計測信号を通信装置１５を介して取得する処理と、同じく通信装置１５を介してアクチュエータ等の所定機構に信号を出力する処理を担う装置である。

また、通信装置１５は、他装置との通信処理を担う装置であり、ネットワークインターフェイスカードや無線通信ユニット等を想定出来る。ログ管理サーバ１４０における通信装置１５の場合、ネットワーク１９０と接続して制御装置１１０と通信する。また、制御装置１１０における通信装置１５の場合、上述のセンサまたはアクチュエータと所定の通信プロトコルにて通信し、また、ログ管理サーバ１４０と通信する。
−−−ログ収集方法の全体概要−−−

以下、本実施形態におけるログ収集方法の実際手順について図に基づき説明する。以下で説明するログ収集方法に対応する各種動作は、ログ収集システム１００を構成する上述の制御装置１１０、ログ管理サーバ１４０らが実行するプログラム１２によって実現される。そして、このプログラム１２は、以下に説明される各種の動作を行うためのコードから構成されている。

図３は、第１実施形態におけるログ収集方法の全体概要を示すシーケンス図である。ここでは、図３のシーケンス図を参照しつつ、制御装置１１０とログ管理サーバ１４０のログ収集処理の全体概要について説明する。なお、通信パケットに含めるログを真正ログまたはダミーログのいずれにするか決定するために、上述のログ認証テーブル９００を用いるものとする。詳細は後述（図７）するが、このログ認証テーブル９００は、ログを含む通信パケットの送信順序を指定するインデックスを格納しており、また、各インデックスに対応するデータとして、ダミーのログまたはそのインデックスで受信するログが真正ログであることを表す定数値のいずれかを格納している。

この場合、制御装置１１０とログ管理サーバ１４０は、ログ認証テーブル秘匿共有処理フェーズと、ログ収集フェーズとに分けて、それぞれのフェーズに応じた処理を行う。始めに、「試運転時」において、ログ管理サーバ１４０と制御装置１１０との間で、ログ認証テーブル秘匿共有処理（Ｓ２０１）を実行し、ログ認証テーブル９００の事前秘匿共有を行う。試運転時とは、制御装置１１０の通常動作（本発明のログ収集動作と無関係の動作）を行っていないか、本番環境ではない状況などであり、本実施形態のログ収集システム１００を試験的に動作させて、ログ認証テーブル９００の生成、共有等を図るためのタイミングとなる。換言すると、制御装置１１０への影響が最低限になるタイミングである。

上述のログ認証テーブル秘匿共有処理（Ｓ２０１）において、制御装置１１０は、ログを含む通信パケットを生成し、これをログ管理サーバ１４０に送信する（Ｓ３１３）。

一方、ログ管理サーバ１４０は、制御装置１１０から上述の通信パケットを受信し（Ｓ４１１）、この通信パケットが含むログに基づきダミーログを生成する（Ｓ４１３）。次にログ管理サーバ１４０は、乱数生成処理（Ｓ４１４）を行い、これに伴いインデックスを含むログ認証テーブル９００を生成し、制御装置１１０に送信する（Ｓ４１６）。

他方、制御装置１１０は、ログ管理サーバ１４０から上述のログ認証テーブル９００を受信し（Ｓ３１４）、ログ認証テーブル記憶部１１６に格納する。以上のログ認証テーブル秘匿共有処理の詳細については図４に基づき後述する。

上述のログ認証テーブル秘匿共有処理の実行後、通常運転時において、制御装置１１０が、ログ認証テーブル９００を参照し（Ｓ５０２）、ログ送信制御処理（Ｓ３１８）によって、真正またはダミーのログのいずれを通信パケットに含めるか判定した上で、ログ送信処理（Ｓ２０２）を実行する。

一方、ログ管理サーバ１４０は、ログ認証テーブル９００を参照し（Ｓ６０３）、上述の制御装置１１０から受信した通信パケットが含むインデックスに基づいて、該当ログが真正またはダミーのいずれであるか検証するログ検証処理（Ｓ３１８）を実行し、真正ログについてログ記憶部１４４に格納するログ収集処理（Ｓ２０３）を実行する。こうしたログ送信処理（Ｓ２０２）とログ収集処理（Ｓ２０３）の詳細については、図８、６に基づき後述する。

−−−ログ認証テーブル秘匿共有処理−−−

図４は第１実施形態におけるログ収集方法の処理手順例１を示すフロー図であり、具体的には、試運転時にログ収集システム内で実施するログ認証テーブル秘匿共有処理（図３：Ｓ２０１）の詳細フローである。

この場合、制御装置１１０のログ生成部１１７は、予め備わる既存機能（例：ＯＳにおけるシステム監視機能など）にて得た、制御装置自身の動作状態やセキュリティ状態等に関する値からログを生成し、これを真正ログ記憶部１１５に格納する（Ｓ３１１）。

次に、制御装置１１０の通信パケット生成部１１２は、制御装置自身の上で動作する制御アプリケーション（例：制御装置としての本来動作であるインフラ設備等の制御を行うためのアプリケーション）から取得するデータ（例：制御結果等のデータ）と、上述のログ生成部１１７が生成した真正ログと、真正ログの送信に応じてログ送信制御部１１３が出力する「真正」に対応する情報を、ネットワーク１９０の通信プロトコルに応じた所定パケットに設定し、通信パケットを生成する（Ｓ３１２）。

通信部１１１は、上述の通信パケット生成部１１２が生成した通信パケットを、ネットワーク１９０を介してログ管理サーバ１４０へ送信する（Ｓ３１３）。

一方、ログ管理サーバ１４０の通信部１４７は、上述の通信パケットを制御装置１１０から受信し、該当通信パケットから真正ログを取得して、これをログ記憶部１４４に格納する（Ｓ４１１）。

続いてログ管理サーバ１４０のログ解析部１４８は、ログ記憶部１４４に格納された上述の真正ログを所定アルゴリズムで解析することによりログ解析結果を作成する（Ｓ４１２）。このログ解析結果の詳細を図５に示す。

図５に例示するログ解析結果７００は、例えば複数の真正ログがそれぞれ含んでいた機器の状態Ａ、機器の状態Ｂ、セキュリティの状態Ｃ、およびセキュリティの状態Ｄ、の各値の分布範囲を「取りうる値」として、ログ解析部１４８が特定した結果である。なお、図５のログ解析結果の例では、ログ項目が上述の４種の場合を示しているがこれに限らない。

ログ解析結果７００のうち、機器の状態Ａ７００−１と機器の状態Ｂ７００−２は、制御装置１１０が設置された機器の動作状態等を示す情報である。こうした機器の状態は、温度と圧力など一般に複数の観点で監視される。ここでは状態Ａと状態Ｂがある場合を想
定している。また、セキュリティの状態Ｃ７００−３と、セキュリティの状態Ｄ７００−４は、制御装置１１０が設置された機器のセキュリティの状態を示す情報である。機器のセキュリティ状態は、一般に複数の観点で監視される。ここではセキュリティ状態Ｃとセキュリティ状態Ｄがある場合を想定している。

図５におけるログ解析結果７００の例では、機器の状態Ａ７００−１というログ項目に関しては０から１０の値を取りうることを、また、機器の状態Ｂ７００−２というログ項目に関しては５０から７０の値を取りうることを、また、セキュリティ状態Ｃ７００−３というログ項目に関しては１０から３０の値を取りうることを、また、セキュリティ状態Ｄ７００−４というログ項目に関しては８０から９０の値を取りうることを、それぞれ示している。

ここで図４のフローの説明に戻る。次にログ管理サーバ１４０の暗復号処理部１４１は、鍵情報記憶部１４５に格納された鍵情報を所定関数の入力とした所定の暗号処理を行い、乱数列を生成する（Ｓ４１４）。

また、ログ管理サーバ１４０のログ認証テーブル生成部１４２は、インデックスの生成と、これに伴うログ認証テーブル９００の生成を行い、このログ認証テーブル９００をログ認証テーブル記憶部１４６に格納する（Ｓ４１５）。より具体的には、ログ認証テーブル生成部１４２は、例えば１からｎ（ｎは、０＜ｎの整数）までの数列たるインデックス群を生成し、このインデックス群のうち、上述のステップＳ４１４で得た乱数列の所定桁の値に応じたインデックスについては、真正ログに対応したインデックスと決定し、その他のインデックスについてはダミーログに対応したインデックスと決定する。また、ログ認証テーブル生成部１４２は、上述のステップＳ４１２で得ているログ解析結果が示す各ログ項目について、該当ログ項目が取り得る範囲に収まるダミー値（例：乱数の発生関数を利用して得た乱数値のうち該当範囲にあるものを選定した値）を設定してダミーログを生成し、これを、上述のインデックスのうちダミーログに対応したインデックスに対応付けてレコードを生成し、ログ認証テーブル９００に格納する。他方、真正ログに対応したインデックスに対しては、例えば上述の各ログ項目の値を「０」と設定してレコードを生成し、ログ認証テーブル９００に格納する。こうしてログ認証テーブル９００が生成される。

上述のダミーログの具体例を図６に、また、ログ認証テーブル９００の具体的な例を図７にて示す。図６に例示するダミーログ列８００は、ダミーログ８０１、ダミーログ８０２、およびダミーログ８０３をそれぞれ示すものであり、各ダミーログは、上述の機器の状態Ａ７００−１、機器の状態Ｂ７００−２、セキュリティの状態Ｃ７００−３、およびセキュリティの状態Ｄ７００−４の、それぞれ取りうる値の範囲からランダムに選ばれた値が設定されたものである。例えば、機器の状態Ａ７００−１の取りうる値の範囲は、ログ解析結果７００より「０から１０」の値であることから、ダミーログ８０１、ダミーログ８０２、ダミーログ８０３のそれぞれにおける機器の状態Ａ７００−１に対応するフィールドは、それぞれ、「５」、「８」、「２」である。他のログ項目についても同様である。

また、図７に例示するログ認証テーブル９００は、上述の暗復号処理部１４１がステップＳ４１４で生成した乱数列、「２」、「５」、「１１」を値に持つインデックスを、真正ログに対応したインデックスとし、その他のインデックス「１」、「３」、「４」、「６」〜「１０」をダミーログに対応したインデックスとし、このうちダミーログに対応したインデックスには、ダミーログ生成部１４９が生成したダミーログ８０１、ダミーログ８０２、ダミーログ８０３のデータが「値」として設定されている。他方、真正ログに対応したインデックスには、定数値（０、０、０、０）等が設定された構成となっている。

ログ認証テーブルのログを使い切った場合には、ログ認証テーブルを再生成してもよい。なお、暗号学的乱数の安全性の観点から、システムで求められる安全性から導かれる暗号学的乱数の周期より、生成した全てのログ認証テーブルのインデックスの個数の和が大きくなるように、ログ認証テーブルの生成回数を定めてもよい。たとえば、乱数の周期がｐで、各インデックスの個数がＤ個のログ認証テーブルをｓ回生成するとすると、ｓは、ｐ＜Ｄ×ｓを満たす数である。

ここで再び図４のフローの説明に戻る。次にログ管理サーバ１４０の通信部１４７は、ログ認証テーブル記憶部１４６に格納されたログ認証テーブル９００を、ネットワーク１９０を介して制御装置１１０に送信する（Ｓ４１６）。

一方、制御装置１１０の通信部１１１は、上述のログ管理サーバ１４０が送信してきたログ認証テーブル９００を受信し、これをログ認証テーブル記憶部１１６に格納し（Ｓ３１４）、当該フローを終了する。ここまでの処理により、ログ認証テーブル９００がログ管理サーバ１４０と制御装置１１０との間で共有されたことになる。
−−−制御装置のログ送信−−−

図８は第１実施形態におけるログ収集方法の処理手順例２を示すフロー図であり、具体的には、制御装置１１０におけるログ送信処理（Ｓ２０２）を示すフローである。ここでは、図３のシーケンスにて示した通常運転時における制御装置１１０が、真正またはダミーのログを含む通信パケットを生成し、これをログ管理サーバ１４０に送信する一連の処理について説明する。

この場合、制御装置１１０のログ送信制御部１１３は、例えば記憶装置１１に確保した記憶領域で保持する変数ｋ（初期値は１）の値を参照し、このｋの値を、今次生成、送信する通信パケットに設定するインデックスとして取得する（Ｓ５０１）。なお、ログ送信制御部１１３は、このインデックスの取得処理の後、変数ｋの値をインクリメントする。

次にログ送信制御部１１３は、ログ認証テーブル記憶部１１６に格納されたログ認証テーブル９００を参照し、上述のステップＳ５０１で得たインデックスに対応するデータを取得する（Ｓ５０２）。ここで取得したデータは、ログ認証テーブル９００における「値」、および「ログ種別」となる。

ログ送信制御部１１３は、ステップＳ５０２で得た「ログ種別」の値が「真正」、すなわち該当インデックスが真正ログに対応するものであるか判断する（Ｓ５０３）。この判定の結果、該当インデックスが真性ログに対応するものであった場合（Ｓ５０３：ＹＥＳ）、ログ送信制御部１１３は、真正ログ記憶部１１５から真正ログを取得する（Ｓ５０４）。他方、上述の判定の結果、該当インデックスが真性ログに対応するものでなかった場合（Ｓ５０３：ＮＯ）、ログ送信制御部１１３は、上述のステップＳ５０２で得ている「値」すなわちダミーログを取得する（Ｓ５０５）。

続いて制御装置１１０の通信パケット生成部１１２は、制御装置自身の上で動作する制御アプリケーションから取得するデータ（図４に関して説明済み）に対し、上述のステップＳ５０４またはＳ５０５でログ送信制御部１１３が取得したデータ（真正ログまたはダミーログ）と、該当インデックス（ステップＳ５０１で得たもの）を付加して、通信パケットを生成する（Ｓ５０６）。

通信パケット生成部１１２が生成した通信パケットの具体例について図９に示す。図９に例示する通信パケット１０００は、ヘッダ（例：パケットの送信元、送信先の各ＩＰア
ドレス、プロトコルタイプなどの情報の格納先）、制御データ格納領域（制御アプリケーションから得るデータの格納先）、インデックス（上述のステップＳ５０１で得たインデックスの値）、およびログ格納領域（上述のステップＳ５０４またはＳ５０５で得た、真正またはダミーのログ）から構成されている。

こうした通信パケット１０００のうち通信パケット１００１は、上述のステップＳ５０１で得たインデックスが「２」すなわち真正ログを含む通信パケットであり、上述のステップＳ５０４で真正ログ記憶部１１５から得た真正ログ「７、６０、２０、９０」がログ格納領域に設定された通信パケットである。

一方、通信パケット１０００のうち通信パケット１００２は、上述のステップＳ５０１で得たインデックスが「３」すなわちダミーログを含む通信パケットであり、上述のステップＳ５０５でログ認証テーブル９００から得た、例えばダミーログ８０２（図６参照）「８、５２、１５、９０」がログ格納領域に設定された通信パケットである。

なお、通信パケットの構成要素とサイズは、図９の例に限定されるものではない。また、通信パケットの構成要素の順序も、図９の例に限定されるものではない。

ここで図８のフローの説明に戻る。次に制御装置１１０の通信部１１１は、上述のステップＳ５０６で通信パケット生成部１１２が生成した通信パケットを、ネットワーク１９０を介してログ管理サーバ１４０へ送信し（Ｓ５０７）、当該フローを終了する。

−−−ログ管理サーバが実施するログ収集−−−

続いて、ログ管理サーバ１４０が実行するログ収集処理（図３：Ｓ２０３）の詳細について図１０に基づき説明する。この場合、ログ管理サーバ１４０の通信部１４７は、制御装置１１０が送信した通信パケットを、ネットワーク１９０を介して受信し（Ｓ６０１）、この通信パケットが含むログを取得する（Ｓ６１０）。また、通信部１４７は、ステップＳ６０１で受信した通信パケットからインデックスを取得する（Ｓ６０２）。

続いてログ管理サーバ１４０の通信パケット検証部１４３は、上述のステップＳ６０２で得ているインデックスをキーに、ログ認証テーブル記憶部１４６に格納されたログ認証テーブル９００を参照し（Ｓ６０３）、該当インデックスに対応するレコードでの「ログ種別」の値が、「ダミー」か「真正」によって、上述のステップＳ６１０で得ているログが真正ログかダミーログなのかを検証する（Ｓ６０４）。

このステップＳ６０４による検証の結果、該当ログが真正ログであることが判明した場合（Ｓ６０５：ＹＥＳ）、通信パケット検証部１４３は、ステップＳ６１０で取得したログを真正ログとしてログ記憶部１４４に格納する（Ｓ６０７）。

他方、上述のステップＳ６０４による検証の結果、該当ログが真正ログでない、すなわちダミーログであることが判明した場合（Ｓ６０５：ＮＯ）、通信パケット検証部１４３は、ステップＳ６１０で取得したログを破棄し（Ｓ６０８）、処理をステップＳ６０１に戻す。このフローが示す一連の処理は、ログ管理サーバ１４０が稼働する間は継続することとなる。
＜第２実施形態＞

上述の第１実施形態では、ログ認証テーブル９００のインデックスを通信パケットに含めることで、制御装置１１０とログ管理サーバ１４０との間で、通信パケットの送信順序を同期させ、真正ログまたはダミーログに対応するものか検証可能としていた。一方、こ
の第２実施形態では、通信パケットにインデックスを設定しない構成とし、制御装置１１０とログ管理サーバ１４０とで共有する情報、例えば時刻情報等を用いて通信パケットの送信順序を同期させ、真正ログまたはダミーログに対応するものか検証する例について説明する。

なお、この第２実施形態においては、ログ収集システム１００の構成（ログ管理サーバ１４０と制御装置１１０）、計算機のハードウェア構成、全体概要、ログ認証テーブル秘匿共有処理について第１実施形態と同様である。従って、第２実施形態では、第１実施形態との差分となる処理について説明するものとする。
−−−制御装置のログ送信−−−

ここで、第２実施形態の制御装置１１０におけるログ送信処理について図１１に基づき説明する。この場合、制御装置１１０のログ送信制御部１１３は、今次送信する通信パケットの時刻情報として、例えば当該制御装置１１０のＯＳが備えるクロック機能から現在時刻の値を取得する（Ｓ１５０１）。

次にログ送信制御部１１３は、上述のステップＳ１５０１で取得した時刻情報を、例えば時刻情報ｔの関数ｆ（ｔ）に入力し、この関数ｆ（ｔ）の出力値をインデックスとして取得する（Ｓ１５０２）。この関数ｆ（ｔ）は、ログ認証テーブル９００と同様、制御装置１１０とログ管理サーバ１４０との間で予め共有されているものであり、或る時刻ｔ１〜ｔ２の時間帯に含まれる時刻を入力すると、インデックス「１」を出力し、或る時刻ｔ３〜ｔ４の時間帯に含まれる時刻を入力すると、インデックス「２」を出力する、といった特性を備えている。

続いてログ送信制御部１１３は、上述のステップＳ１５０２で計算したインデックスの値をキーに、ログ認証テーブル記憶部１１６に格納されたログ認証テーブルを参照し、該当インデックスに対応するデータ（値とログ種別）を取得する（Ｓ１５０３）。ログ送信制御部１１３は、ここで得たデータの「ログ種別」が「真正」か「ダミー」によって、該当インデックスが真正ログに対応するか否か判定する（Ｓ１５０４）。

上述の判定の結果、ステップＳ１５０２で算定したインデックスが、真性ログに対応するものであった場合（Ｓ１５０４：ＹＥＳ）、ログ送信制御部１１３は、真正ログ記憶部１１５から真正ログを取得する（Ｓ１５０５）。他方、上述の判定の結果、該当インデックスが真性ログに対応するものでなかった場合（Ｓ１５０４：ＮＯ）、ログ送信制御部１１３は、上述のステップＳ１５０３で得ている「値」すなわちダミーログを取得する（Ｓ１５０６）。

続いて制御装置１１０の通信パケット生成部１１２は、制御装置自身の上で動作する制御アプリケーションから取得するデータ（図４に関して説明済み）に対し、上述のステップＳ１５０５またはＳ１５０６でログ送信制御部１１３が取得したデータ（真正ログまたはダミーログ）を付加して、通信パケットを生成する（Ｓ１５０７）。

通信パケット生成部１１２が生成した通信パケットの具体例について図１２に示す。図１２に例示する通信パケット２０００は、ヘッダ（例：パケットの送信元、送信先の各ＩＰアドレス、プロトコルタイプなどの情報の格納先）、制御データ格納領域（制御アプリケーションから得るデータの格納先）、およびログ格納領域（上述のステップＳ１５０５またはＳ１５０６で得た、真正またはダミーのログ）から構成されている。

こうした通信パケット２０００のうち通信パケット２００１は、真正ログを含む通信パケットであり、上述のステップＳ１５０５で真正ログ記憶部１１５から得た真正ログ「７
、６０、２０、９０」がログ格納領域に設定された通信パケットである。一方、通信パケット２０００のうち通信パケット２００２は、ダミーログを含む通信パケットであり、上述のステップＳ１５０６でログ認証テーブル９００から得た、例えばダミーログ８０２（図６参照）「８、５２、１５、９０」がログ格納領域に設定された通信パケットである。

ここで図１１のフローの説明に戻る。次に制御装置１１０の通信部１１１は、上述のステップＳ１５０７で通信パケット生成部１１２が生成した通信パケットを、ネットワーク１９０を介してログ管理サーバ１４０へ送信し（Ｓ１５０８）、当該フローを終了する。

−−−ログ管理サーバにおけるログ収集処理−−−

次に、第２実施形態におけるログ管理サーバ１４０が実行するログ収集処理について、図１３に基づき説明する。この場合、ログ管理サーバ１４０の通信部１４７は、制御装置１１０が送信してきた通信パケットを、ネットワーク１９０を介して受信する（Ｓ１６０１）。

続いてログ管理サーバ１４０の通信パケット検証部１４３は、上述のステップＳ１６０１で受信した通信パケットから送信時刻の値を取得するか、或いは、当該ログ管理サーバ１４０のＯＳが備えるクロック機能から現在時刻の値を取得する（Ｓ１６０２）。また、通信パケット検証部１４３は、受信した通信パケットからログを取得する（Ｓ１６０３）。

次に通信パケット検証部１４３は、上述のステップＳ１６０２で取得した時刻情報を、上述の関数ｆ（ｔ）に入力し、この関数ｆ（ｔ）の出力値をインデックスとして取得する（Ｓ１６０４）。

また、通信パケット検証部１４３は、上述のステップＳ１６０４で算定したインデックスをキーとして、ログ認証テーブル記憶部１４６に格納されたログ認証テーブルを参照し（Ｓ１６０５）、該当インデックスに対応するレコードでの「ログ種別」の値が、「ダミー」か「真正」によって、上述のステップＳ１６０３で得ているログが真正ログかダミーログなのかを検証する（Ｓ１６０７）。

このステップＳ１６０７による検証の結果、該当ログが真正ログであることが判明した場合（Ｓ１６０７：ＹＥＳ）、通信パケット検証部１４３は、ステップＳ１６０３で取得したログを真正ログとしてログ記憶部１４４に格納する（Ｓ１６１０）。

他方、上述のステップＳ１６０７による検証の結果、該当ログが真正ログでない、すなわちダミーログであることが判明した場合（Ｓ１６０７：ＮＯ）、通信パケット検証部１４３は、ステップＳ１６０３で取得したログを破棄し（Ｓ１６０９）、処理をステップＳ１６０１に戻す。このフローが示す一連の処理は、ログ管理サーバ１４０が稼働する間は継続することとなる。
＜第３実施形態＞

続いて、第１および第２実施形態とは異なり、通信パケットに対する暗号処理が要求されるログ収集システムについて説明する。図１４は第３実施形態におけるログ収集システム１００の構成例を示す図である。図１４に例示するログ収集システム１００は、図１におけるシステム構成と比較して、ログ管理サーバ１４０の構成に相違は無く、制御装置１１０、１３０に関して相違がある。

以下、制御装置１１０の場合を記載する。第３実施形態における制御装置１１０は、第
１実施形態のものと異なり、暗号処理部２１１８と鍵情報記憶部２１１４を更に備えている。こうした構成における通信パケット生成部１１２は、鍵情報記憶部２１１４に格納された暗号鍵情報や初期ベクトルなどの暗号アルゴリズムの入力パラメータや、後述するマスクを用いた暗号化処理を、通信パケットのペイロードまたはヘッダにおける、一部または全部に対して行う。ここで、通信パケットにおいて暗号処理を行う領域を指定するデータをマスクと名付け、マスクは鍵情報記憶部２１１４に格納してあるものとする。

また、通信パケットにおける上述の暗号処理を行う領域としては、例えば、インデックスの格納領域であり、通信パケットのインデックスを秘匿する目的で暗号処理が適用されることとなる。

またこの場合の通信部１１１は、暗号化処理が施された通信パケットを、ネットワーク１９０を介してログ管理サーバ１４０へ送信する。
−−−制御装置のログ送信−−−

第３実施形態における制御装置１１０は、第１実施形態におけるログ送信処理（Ｓ２０２）と一部異なるログ送信処理を実行する。このログ送信処理について図１５に基づき説明する。なお、第１実施形態にて説明したステップＳ５０１〜Ｓ５０３の各処理は第３実施形態でも同様であり、説明は省略する。

この場合、ステップＳ５０４、Ｓ５０５で真正ログまたはダミーログを取得した後、上述の暗号処理部２１１８は、通信パケットを構成するヘッダ、制御データ格納領域、インデックス、およびログ格納領域のうち、少なくともインデックスに対して鍵情報記憶部２１１４の暗号鍵等に基づく暗号化処理またはＭＡＣ生成処理等の暗号処理を実行する（Ｓ２５０６）。

以後、通信パケット生成部１１２は、制御装置自身の上で動作する制御アプリケーションから取得するデータ（図４に関して説明済み）に対し、上述のステップＳ５０４またはＳ５０５でログ送信制御部１１３が取得したデータ（真正ログまたはダミーログ）と、上述のステップＳ２５０６で暗号化した少なくともインデックスを付加して、通信パケットを生成する（Ｓ５０６）。また、通信部１１１は、上述のステップＳ５０６で通信パケット生成部１１２が生成した通信パケットを、ネットワーク１９０を介してログ管理サーバ１４０へ送信し（Ｓ５０７）、当該フローを終了する。

−−−ログ管理サーバが実施するログ収集−−−

第３実施形態におけるログ管理サーバ１４０は、第１実施形態におけるログ収集処理（Ｓ２０３）と一部異なるログ収集処理を実行する。このログ収集処理について図１６に基づき説明する。この場合、ログ管理サーバ１４０の通信部１４７が、制御装置１１０が送信した通信パケットを、ネットワーク１９０を介して受信し（Ｓ６０１）、これを受けた暗復号処理部１４１が、該当通信パケットのうち、上述のステップＳ２５０６で暗号化された領域の値（インデックス）に対し、鍵情報記憶部１１４に格納された復号鍵等を用いて復号処理またはＭＡＣ検証処理等を実行する（Ｓ２６１０）。ここで復号する対象は、通信パケットを構成するヘッダ、制御データ格納領域、インデックス、ログ格納領域の全部または一部であるが、少なくともインデックスは含まれている必要がある。

上述のごとく少なくともインデックスの復号を行った以降、図１０のステップＳ６０２〜Ｓ６１０と同様の処理を実行し、真正ログをログ記憶部１４４に格納することとなる。

以上、本発明を実施するための最良の形態などについて具体的に説明したが、本発明は
これに限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能である。

第一、第二、第三の各々の実施形態によれば、システム設計時にログを含めた通信パケットの構成を設計することと、ログデータの認証処理に備えた事前処理と、認証用データの生成と設定により、システム運用時における通信パケットの増加によるネットワーク帯域の圧迫を防ぎ、各制御装置が低リソースで暗号技術によるログ通信パケットの保護処理を行う一方、ログ管理サーバが収集したログについてその真正性を効率的に検証することにより、通信路の改ざん攻撃に対して安全なログの生成・収集方法を提供することができる。ログ収集の本来の目的は、コントローラがログを管理サーバに送信することにより、コントローラが自身の正常状態または異常状態をサーバに知らせることである。本発明によれば、サーバとコントローラ間に改ざん攻撃が存在する状況下においても、この目的を達成することが可能となる。

より具体的には、ネットワーク帯域への負荷に関し、通信パケットの空き領域にログを格納するパケット構成とすることで、ログ収集用の通信パケットを別途処理する必要が無く、通信パケット量増大に伴うネットワーク帯域圧迫といった事態は回避出来る。また、通信パケットが含むログが真正ログまたはダミーログかを検証する際に用いるログ認証テーブルは、例えばシステム試運転時など制御装置の本来動作に負荷を与えないタイミングに生成、配信することとし、更には、通信パケット生成や送受信に際して、従来のごとき暗号化／復号化の処理ではなく、ログ認証テーブルのインデックスに基づいた効率的な処理を実行することとしており、システム試運転時および通常運転時の各処理負荷も適宜に抑制出来る。また、制御装置とログ管理サーバとの間の通信路における改ざん攻撃耐性に関しては、制御装置とログ管理サーバとで共有するログ認証テーブルのインデックスに基づいて、真正ログまたはダミーログを含む通信パケットを送受信する構成としており、ログ認証テーブルを有しない攻撃者においては真正ログとダミーログの識別は困難で、良好な改ざん攻撃耐性が達成できる。

すなわち制御装置およびネットワークにおける負荷増大を適宜に回避しつつ、セキュアなログ収集が可能となる。

本明細書の記載により、少なくとも次のことが明らかにされる。すなわち、本実施形態のログ収集システムにおいて、前記情報処理装置は、前記通信パケットをログ管理サーバに送信する処理に際し、前記所定規則に基づいた、前記ログの真正性を検証するための検証用データを、前記通信パケットに更に含めて送信するものであり、前記ログ管理サーバは、前記通信パケットの含むログが真正またはダミーのいずれのログであるか検証する処理に際し、前記情報処理装置から受信した通信パケットの含む前記検証用データを、該当情報処理装置に関して共有している前記所定規則に基づいて検証し、前記通信パケットに含まれるログが真正ログかダミーログかを検証するものであるとしてもよい。

これによれば、通信パケットのログが真正またはダミーであるかの検証を、上述の検証用データによって実行可能で、処理の効率化が図られる。

また、本実施形態のログ収集システムにおいて、前記情報処理装置は、前記所定規則として、真正またはダミーの各ログに対応した複数のインデックスを少なくとも含むログ認証テーブルを記憶装置にて保持し、前記通信パケットをログ管理サーバに送信する処理に際し、前記ログ認証テーブルにおけるインデックスを所定アルゴリズムで選択し、当該選択インデックスに基づいて真正またはダミーのいずれのログを送信するか決定し、前記決定したログと、前記検証用データである前記選択インデックスとを含む通信パケットをログ管理サーバへ送信するものであり、前記ログ管理サーバは、前記ログ認証テーブルを記憶装置にて保持し、前記通信パケットの含むログが真正またはダミーのいずれのログであ
るか検証する処理に際し、前記情報処理装置から受信した通信パケットの含む前記選択インデックスを、該当情報処理装置に関して共有している前記ログ認証テーブルに照合し、前記選択インデックスが真正またはダミーのいずれのログに対応したものか判定して、前記通信パケットの含むログが真正またはダミーのいずれのログであるか検証するものであるとしてもよい。

これによれば、今次送信する通信パケットのログを真正またはダミーとするかの決定と、そうした通信パケットのログに関する真正／ダミーの検証を、ログ認証テーブルを用いて行うことが可能となり、セキュアなログ収集における更なる処理効率化が図られる。

また、本実施形態のログ収集システムにおいて、前記ログ管理サーバは、前記ログ認証テーブルを所定のアルゴリズムにて生成して記憶装置に保持し、当該ログ認証テーブルを前記情報処理装置に送信する処理を更に実行するものであり、前記情報処理装置は、前記ログ認証テーブルを前記ログ管理サーバから受信して記憶装置にて保持するものであるとしてもよい。

これによれば、ログ管理サーバでのログ認証テーブルの生成と、情報処理装置およびログ管理サーバでのログ認証テーブルの共有が可能となる。

また、本実施形態のログ収集システムにおいて、前記ログ管理サーバは、前記ログ認証テーブルの生成に際し、真正またはダミーのいずれかのログに対応するインデックスを乱数に基づいて生成し、前記インデックスのうちダミーログに対応したインデックスに対して、所定アルゴリズムで生成したダミーログを対応付けて格納し前記ログ認証テーブルを生成するものであるとしてもよい。

これによれば、ログ認証テーブルにおけるダミーログの生成、格納が可能となり、情報処理装置にてダミーログを含む通信パケットの生成が効率的なものとなる。

また、本実施形態のログ収集システムにおいて、前記ログ管理サーバは、前記ダミーログの生成に際し、前記情報処理装置から得ているログを解析した解析結果データを所定アルゴリズムに適用して前記ダミーログを生成するものであるとしてもよい。

これによれば、例えば真正ログのデータ構成と同様の構成にてダミーログを生成することが可能となり、ダミーログと真正ログの判別を更に困難なものとし、ログ収集が更にセキュアなものとなる。

また、本実施形態のログ収集システムにおいて、前記ログ管理サーバは、前記ログ認証テーブルの生成を、前記情報処理装置における通常動作への影響が所定レベル以下の所定タイミングに実行するものであり、システムで求められる安全性から導かれる暗号学的乱数の周期より、生成した全てのログ認証テーブルのインデックスの個数の和が大きくなるように、ログ認証テーブルの生成回数を定めるものである、としてもよい。

これによれば、ログ認証テーブルの生成、共有にかかる負荷を最低限に抑制して、ログ収集に伴う処理負荷の適宜な低減を更に図ることが出来る。

また、本実施形態のログ収集システムにおいて、前記情報処理装置は、前記通信パケットをログ管理サーバに送信する処理に際し、前記選択インデックスが真正ログに対応するものである場合、記憶装置に保持する真正ログと、当該情報処理装置の本来目的に応じて稼働する制御アプリケーションから取得した所定データと、該当インデックスとを含む通信パケットを生成し、前記選択インデックスがダミーログに対応するものである場合、前
記選択インデックスに関して前記ログ認証テーブルにて保持するダミーログと、前記制御アプリケーションから取得した所定データと、該当インデックスとを含む通信パケットを生成するものであるとしてもよい。

これによれば、情報処理装置における通信パケットの生成、送信の処理を、ログ認証テーブルにおけるインデックスに基づいて効率的に実行することが可能となる。

本実施形態のログ収集方法において、前記情報処理装置が、前記通信パケットをログ管理サーバに送信する処理に際し、前記所定規則に基づいた、前記ログの真正性を検証するための検証用データを、前記通信パケットに更に含めて送信し、前記ログ管理サーバが、前記通信パケットの含むログが真正またはダミーのいずれのログであるか検証する処理に際し、前記情報処理装置から受信した通信パケットの含む前記検証用データを、該当情報処理装置に関して共有している前記所定規則に基づいて検証し、前記通信パケットに含まれるログが真正ログかダミーログかを検証する、としてもよい。

また、本実施形態のログ収集方法において、前記情報処理装置が、前記所定規則として、真正またはダミーの各ログに対応した複数のインデックスを少なくとも含むログ認証テーブルを記憶装置にて保持し、前記通信パケットをログ管理サーバに送信する処理に際し、前記ログ認証テーブルにおけるインデックスを所定アルゴリズムで選択し、当該選択インデックスに基づいて真正またはダミーのいずれのログを送信するか決定し、前記決定したログと、前記検証用データである前記選択インデックスとを含む通信パケットをログ管理サーバへ送信し、前記ログ管理サーバが、前記ログ認証テーブルを記憶装置にて保持し、

前記通信パケットの含むログが真正またはダミーのいずれのログであるか検証する処理に際し、前記情報処理装置から受信した通信パケットの含む前記選択インデックスを、該当情報処理装置に関して共有している前記ログ認証テーブルに照合し、前記選択インデックスが真正またはダミーのいずれのログに対応したものか判定して、前記通信パケットの含むログが真正またはダミーのいずれのログであるか検証する、としてもよい。

また、本実施形態のログ収集方法において、前記ログ管理サーバが、前記ログ認証テーブルを所定のアルゴリズムにて生成して記憶装置に保持し、当該ログ認証テーブルを前記情報処理装置に送信する処理を更に実行し、前記情報処理装置が、前記ログ認証テーブルを前記ログ管理サーバから受信して記憶装置にて保持するとしてもよい。

また、本実施形態のログ収集方法において、前記ログ管理サーバが、前記ログ認証テーブルの生成に際し、真正またはダミーのいずれかのログに対応するインデックスを乱数に基づいて生成し、前記インデックスのうちダミーログに対応したインデックスに対して、所定アルゴリズムで生成したダミーログを対応付けて格納し前記ログ認証テーブルを生成するとしてもよい。

また、本実施形態のログ収集方法において、前記ログ管理サーバが、前記ダミーログの生成に際し、前記情報処理装置から得ているログを解析した解析結果データを所定アルゴリズムに適用して前記ダミーログを生成するとしてもよい。

また、本実施形態のログ収集方法において、前記ログ管理サーバが、前記ログ認証テーブルの生成を、前記情報処理装置における通常動作への影響が所定レベル以下の所定タイミングに実行し、システムで求められる安全性から導かれる暗号学的乱数の周期より、生成した全てのログ認証テーブルのインデックスの個数の和が大きくなるように、ログ認証テーブルの生成回数を定める、としてもよい。

また、本実施形態のログ収集方法において、前記情報処理装置が、前記通信パケットをログ管理サーバに送信する処理に際し、前記選択インデックスが真正ログに対応するものである場合、記憶装置に保持する真正ログと、当該情報処理装置の本来目的に応じて稼働する制御アプリケーションから取得した所定データと、該当インデックスとを含む通信パケットを生成し、前記選択インデックスがダミーログに対応するものである場合、前記選択インデックスに関して前記ログ認証テーブルにて保持するダミーログと、前記制御アプリケーションから取得した所定データと、該当インデックスとを含む通信パケットを生成するとしてもよい。

１１ 記憶装置
１２ プログラム
１３ ＣＰＵ
１４ 入出力装置
１５ 通信装置
１００ ログ収集システム
１１０ 制御装置
１１１ 通信部
１１２ 通信パケット生成部
１１３ ログ送信制御部
１１５ 真正ログ記憶部
１１６ ログ認証テーブル記憶部
１１７ ログ生成部
１３０ 制御装置
１３１ 通信部
１３２ 通信パケット生成部
１３３ ログ送信制御部
１３５ 真正ログ記憶部
１３６ ログ認証テーブル記憶部
１３７ ログ生成部
１４０ ログ管理サーバ
１４１ 暗復号処理部
１４２ ログ認証テーブル生成部
１４３ 通信パケット検証部
１４４ ログ記憶部
１４５ 鍵情報記憶部
１４６ ログ認証テーブル記憶部
１４７ 通信部
１４８ ログ解析部
１４９ ダミーログ生成部

Claims (16)

1. 所定規則に基づいて真正またはダミーのいずれのログを送信するか決定し、当該決定したログを含む通信パケットをログ管理サーバへ送信する処理を実行する情報処理装置と、
   前記情報処理装置から通信パケットを受信し、当該通信パケットの含むログが真正またはダミーのいずれのログであるか、前記情報処理装置と共有する前記所定規則に基づいて検証し、真正ログについて収集する処理を実行するログ管理サーバと、
   を含むことを特徴とするログ収集システム。
2. 前記情報処理装置は、前記通信パケットをログ管理サーバに送信する処理に際し、前記所定規則に基づいた、前記ログの真正性を検証するための検証用データを、前記通信パケットに更に含めて送信するものであり、
   前記ログ管理サーバは、前記通信パケットの含むログが真正またはダミーのいずれのログであるか検証する処理に際し、前記情報処理装置から受信した通信パケットの含む前記検証用データを、該当情報処理装置に関して共有している前記所定規則に基づいて検証し、前記通信パケットに含まれるログが真正ログかダミーログかを検証するものである、
   ことを特徴とする請求項１に記載のログ収集システム。
3. 前記情報処理装置は、
   前記所定規則として、真正またはダミーの各ログに対応した複数のインデックスを少なくとも含むログ認証テーブルを記憶装置にて保持し、
   前記通信パケットをログ管理サーバに送信する処理に際し、前記ログ認証テーブルにおけるインデックスを所定アルゴリズムで選択し、当該選択インデックスに基づいて真正またはダミーのいずれのログを送信するか決定し、前記決定したログと、前記検証用データである前記選択インデックスとを含む通信パケットをログ管理サーバへ送信するものであり、
   前記ログ管理サーバは、
   前記ログ認証テーブルを記憶装置にて保持し、
   前記通信パケットの含むログが真正またはダミーのいずれのログであるか検証する処理に際し、前記情報処理装置から受信した通信パケットの含む前記選択インデックスを、該当情報処理装置に関して共有している前記ログ認証テーブルに照合し、前記選択インデックスが真正またはダミーのいずれのログに対応したものか判定して、前記通信パケットの含むログが真正またはダミーのいずれのログであるか検証するものである、
   ことを特徴とする請求項２に記載のログ収集システム。
4. 前記ログ管理サーバは、
   前記ログ認証テーブルを所定のアルゴリズムにて生成して記憶装置に保持し、当該ログ認証テーブルを前記情報処理装置に送信する処理を更に実行するものであり、
   前記情報処理装置は、
   前記ログ認証テーブルを前記ログ管理サーバから受信して記憶装置にて保持するものである、
   ことを特徴とする請求項３に記載のログ収集システム。
5. 前記ログ管理サーバは、
   前記ログ認証テーブルの生成に際し、真正またはダミーのいずれかのログに対応するインデックスを乱数に基づいて生成し、前記インデックスのうちダミーログに対応したインデックスに対して、所定アルゴリズムで生成したダミーログを対応付けて格納し前記ログ認証テーブルを生成するものである、
   ことを特徴とする請求項４に記載のログ収集システム。
6. 前記ログ管理サーバは、
   前記ダミーログの生成に際し、前記情報処理装置から得ているログを解析した解析結果データを所定アルゴリズムに適用して前記ダミーログを生成するものである、
   ことを特徴とする請求項５に記載のログ収集システム。
7. 前記ログ管理サーバは、
   前記ログ認証テーブルの生成を、前記情報処理装置における通常動作への影響が所定レベル以下の所定タイミングに実行するものであり、システムで求められる安全性から導かれる暗号学的乱数の周期より、生成した全てのログ認証テーブルのインデックスの個数の和が大きくなるように、ログ認証テーブルの生成回数を定めるものである、
   ことを特徴とする請求項４に記載のログ収集システム。
8. 前記情報処理装置は、
   前記通信パケットをログ管理サーバに送信する処理に際し、
   前記選択インデックスが真正ログに対応するものである場合、記憶装置に保持する真正ログと、当該情報処理装置の本来目的に応じて稼働する制御アプリケーションから取得した所定データと、該当インデックスとを含む通信パケットを生成し、
   前記選択インデックスがダミーログに対応するものである場合、前記選択インデックスに関して前記ログ認証テーブルにて保持するダミーログと、前記制御アプリケーションから取得した所定データと、該当インデックスとを含む通信パケットを生成するものである、
   ことを特徴とする請求項５に記載のログ収集システム。
9. 情報処理装置が、
   所定規則に基づいて真正またはダミーのいずれのログを送信するか決定し、当該決定したログを含む通信パケットをログ管理サーバへ送信する処理を実行し、
   ログ管理サーバが、
   前記情報処理装置から通信パケットを受信し、当該通信パケットの含むログが真正またはダミーのいずれのログであるか、前記情報処理装置と共有する前記所定規則に基づいて検証し、真正ログについて収集する処理を実行する、
   ことを特徴とするログ収集方法。
10. 前記情報処理装置が、前記通信パケットをログ管理サーバに送信する処理に際し、前記所定規則に基づいた、前記ログの真正性を検証するための検証用データを、前記通信パケットに更に含めて送信し、
    前記ログ管理サーバが、前記通信パケットの含むログが真正またはダミーのいずれのログであるか検証する処理に際し、前記情報処理装置から受信した通信パケットの含む前記検証用データを、該当情報処理装置に関して共有している前記所定規則に基づいて検証し、前記通信パケットに含まれるログが真正ログかダミーログかを検証する、
    ことを特徴とする請求項９に記載のログ収集方法。
11. 前記情報処理装置が、
    前記所定規則として、真正またはダミーの各ログに対応した複数のインデックスを少なくとも含むログ認証テーブルを記憶装置にて保持し、
    前記通信パケットをログ管理サーバに送信する処理に際し、前記ログ認証テーブルにおけるインデックスを所定アルゴリズムで選択し、当該選択インデックスに基づいて真正またはダミーのいずれのログを送信するか決定し、前記決定したログと、前記検証用データである前記選択インデックスとを含む通信パケットをログ管理サーバへ送信し、
    前記ログ管理サーバが、
    前記ログ認証テーブルを記憶装置にて保持し、
    前記通信パケットの含むログが真正またはダミーのいずれのログであるか検証する処理に際し、前記情報処理装置から受信した通信パケットの含む前記選択インデックスを、該当情報処理装置に関して共有している前記ログ認証テーブルに照合し、前記選択インデックスが真正またはダミーのいずれのログに対応したものか判定して、前記通信パケットの含むログが真正またはダミーのいずれのログであるか検証する、
    ことを特徴とする請求項１０に記載のログ収集方法。
12. 前記ログ管理サーバが、
    前記ログ認証テーブルを所定のアルゴリズムにて生成して記憶装置に保持し、当該ログ認証テーブルを前記情報処理装置に送信する処理を更に実行し、
    前記情報処理装置が、
    前記ログ認証テーブルを前記ログ管理サーバから受信して記憶装置にて保持する、
    ことを特徴とする請求項１１に記載のログ収集方法。
13. 前記ログ管理サーバが、
    前記ログ認証テーブルの生成に際し、真正またはダミーのいずれかのログに対応するインデックスを乱数に基づいて生成し、前記インデックスのうちダミーログに対応したインデックスに対して、所定アルゴリズムで生成したダミーログを対応付けて格納し前記ログ認証テーブルを生成する、
    ことを特徴とする請求項１２に記載のログ収集方法。
14. 前記ログ管理サーバが、
    前記ダミーログの生成に際し、前記情報処理装置から得ているログを解析した解析結果データを所定アルゴリズムに適用して前記ダミーログを生成する、
    ことを特徴とする請求項１３に記載のログ収集方法。
15. 前記ログ管理サーバが、
    前記ログ認証テーブルの生成を、前記情報処理装置における通常動作への影響が所定レベル以下の所定タイミングに実行し、システムで求められる安全性から導かれる暗号学的乱数の周期より、生成した全てのログ認証テーブルのインデックスの個数の和が大きくなるように、ログ認証テーブルの生成回数を定める、
    ことを特徴とする請求項１２に記載のログ収集方法。
16. 前記情報処理装置が、
    前記通信パケットをログ管理サーバに送信する処理に際し、
    前記選択インデックスが真正ログに対応するものである場合、記憶装置に保持する真正ログと、当該情報処理装置の本来目的に応じて稼働する制御アプリケーションから取得した所定データと、該当インデックスとを含む通信パケットを生成し、
    前記選択インデックスがダミーログに対応するものである場合、前記選択インデックスに関して前記ログ認証テーブルにて保持するダミーログと、前記制御アプリケーションから取得した所定データと、該当インデックスとを含む通信パケットを生成する、
    ことを特徴とする請求項１３に記載のログ収集方法。

Images