JP2018074465A - ログ解析システムおよびその方法 - Google Patents

ログ解析システムおよびその方法 Download PDF

Info

Publication number
JP2018074465A
JP2018074465A JP2016214265A JP2016214265A JP2018074465A JP 2018074465 A JP2018074465 A JP 2018074465A JP 2016214265 A JP2016214265 A JP 2016214265A JP 2016214265 A JP2016214265 A JP 2016214265A JP 2018074465 A JP2018074465 A JP 2018074465A
Authority
JP
Japan
Prior art keywords
communication
module
packet
pattern
communication packet
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2016214265A
Other languages
English (en)
Other versions
JP6793524B2 (ja
Inventor
宏樹 内山
Hiroki Uchiyama
宏樹 内山
晃史 矢戸
Akishi Yato
晃史 矢戸
訓 大久保
Satoshi Okubo
訓 大久保
耕平 山口
Kohei Yamaguchi
耕平 山口
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Hitachi Ltd
Original Assignee
Hitachi Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hitachi Ltd filed Critical Hitachi Ltd
Priority to JP2016214265A priority Critical patent/JP6793524B2/ja
Priority to US15/795,429 priority patent/US10523696B2/en
Priority to GB1717787.4A priority patent/GB2558380B/en
Priority to DE102017219455.3A priority patent/DE102017219455A1/de
Publication of JP2018074465A publication Critical patent/JP2018074465A/ja
Application granted granted Critical
Publication of JP6793524B2 publication Critical patent/JP6793524B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/3003—Monitoring arrangements specially adapted to the computing system or computing system component being monitored
    • G06F11/3006—Monitoring arrangements specially adapted to the computing system or computing system component being monitored where the computing system is distributed, e.g. networked systems, clusters, multiprocessor systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/34—Recording or statistical evaluation of computer activity, e.g. of down time, of input/output operation ; Recording or statistical evaluation of user activity, e.g. usability assessment
    • G06F11/3466—Performance evaluation by tracing or monitoring
    • G06F11/3476—Data logging
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F17/00—Digital computing or data processing equipment or methods, specially adapted for specific functions
    • G06F17/40—Data acquisition and logging
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/06—Management of faults, events, alarms or notifications
    • H04L41/069—Management of faults, events, alarms or notifications using logs of notifications; Post-processing of notifications
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/04—Processing captured monitoring data, e.g. for logfile generation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/04—Processing captured monitoring data, e.g. for logfile generation
    • H04L43/045—Processing captured monitoring data, e.g. for logfile generation for graphical visualisation of monitoring data
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/12—Network monitoring probes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/50—Testing arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B19/00—Programme-control systems
    • G05B19/02—Programme-control systems electric
    • G05B19/418—Total factory control, i.e. centrally controlling a plurality of machines, e.g. direct or distributed numerical control [DNC], flexible manufacturing systems [FMS], integrated manufacturing systems [IMS], computer integrated manufacturing [CIM]

Abstract

【課題】不正アクセスから制御システムをより効果的に防衛することできるログ解析システムおよびその方法を提供する。
【解決手段】制御装置１０の通信ログを解析するログ解析システムにおいて、通信ログに対応する通信パケットをネットワークから受信するネットワーク装置２０と、ネットワーク装置への通信を監視する監視装置３０と、を備える。監視装置３０は、通信パケットの通信パターンと不正アクセスのない状態の通信におけるパターンである定常パターンとの差分を求め、差分に基づいて通信パケットを復元し、復元された通信パケットを報知する。
【選択図】図１

Description

本発明は、ログ解析システムおよびその方法に関し、例えば、プラント設備の制御システムの通信ログを解析して不正アクセスによる通信ログを抽出するログ解析システムに関する。
プラント設備に限らず、自動車や家電など多くの分野で、コンピュータを利用した制御システムが汎用されている。そして、ＩＴ技術の進歩により、制御システムもネットワークを介して、情報の入出力が可能になっている。一方、これに合わせて、制御システムに対するコンピュータウィルスやＤｏＳ攻撃といった不正アクセスも目立つようになっている。そこで、制御システムを不正アクセスから守る技術が種々提案されている。
制御システムに対する大量の通信ログの１つ１つをチェックして、不正アクセスを検知することは容易ではない。そこで、特許文献１には、通信ログを処理すべきテンプレートを複数用意し、通信ログがどのテンプレートにマッチしたかによって、不正アクセス防止のために確認すべき通信ログ量を削減できる技術が開示されている。
特開２０１４−１５３７２１号公報
しかしながら、特許文献１に記載された発明では、制御システムの運用形態によって、制御システムの通信ログのパターンが大きく変化するため、そもそもテンプレートによって、不正アクセスから制御システムを防衛するには限界があった。ここでパターンとは、例えば周波数に着目した通信ログの特徴とする。また通信におけるパターンを通信パターンとする。
本発明は、不正アクセスから制御システムをより効果的に防衛することできるログ解析システムおよびその方法を提案しようとするものである。
かかる課題を解決するために本発明においては、制御装置の通信ログを解析するログ解析システムにおいて、通信ログに対応する通信パケットをネットワークから受信するネットワーク装置と、ネットワーク装置への通信を監視する監視装置と、を備え、監視装置は、通信パケットの通信パターンと不正アクセスのない状態の通信におけるパターンである定常パターンとの差分を求め、差分に基づいて通信パケットを復元し、復元された通信パケットを報知するようにした。
また本発明においては、制御装置の通信ログを解析するログ解析システムにおけるログ解析方法において、ログ解析システムは、通信ログに対応する通信パケットをネットワークから受信するネットワーク装置と、ネットワーク装置への通信を監視する監視装置と、備え、監視装置が、通信パケットの通信パターンと不正アクセスのない状態の通信におけるパターンである定常パターンとの差分を求める第１のステップと、監視装置が、差分に基づいて通信パケットを復元する第２のステップと、監視装置が、復元された通信パケットを報知する第３のステップと、を備えるようにした。
本発明によれば、不正アクセスから制御システムをより効果的に防衛することできるログ解析システムおよびその方法を実現できる。
第１の実施の形態によるログ解析システムの機能構成を示すブロック図である。 本実施の形態による制御装置のハードウェア構成を示すブロック図である。 本実施の形態によるネットワーク装置のハードウェア構成を示すブロック図である。 本実施の形態による監視装置のハードウェア構成を示すブロック図である。 第１の実施の形態によるログ解析システムの試運転時実施処理の流れを示すシーケンス図である。 パターン格納処理の処理手順を示すフローチャートである。 パターン抽出処理の処理手順を示すフローチャートである。 異常パケット格納処理の処理手順を示すフローチャートである。 異常パケット抽出処理の処理手順を示すフローチャートである。 監視画面の構成を略線的に示す略線図である。 異常監視画面の構成を略線的に示す略線図である。 通信パケットの構成を示す概念図である。 通信パターンの構成を示す概念図である。 通信パターンの周波数と強度の分布を示す概念図である。 第２の実施の形態によるログ解析システムの機能構成を示すブロック図である。 第２の実施の形態によるログ解析システムの運用時実施処理の流れを示すシーケンス図である。 第３の実施の形態によるログ解析システムの機能構成を示すブロック図である。 第３の実施の形態によるログ解析システムの試運転時実施処理の流れを示すシーケンス図である。
以下図面について、本発明の一実施の形態を詳述する。なお、これにより本発明が限定されるものではない。
（１）第１の実施の形態
（１−１）本実施の形態によるログ解析システムの構成
図１は、本実施の形態によるログ解析システムの機能構成を示す。このシステムは、ネットワーク装置２０と、制御装置１０の通信ログを監視する監視装置３０と、イントラネットなどのネットワーク４０とを備える。
制御装置１０は、プラント設備などの制御対象を制御する要素であって、１つに限られず、図１に示すように１０１〜１０ｎのように複数存在する。制御装置１０は、具体的には、コンピュータ、コントローラ（ＭＰＵ）などである。コンピュータには、サーバ計算機、クライアント計算機を含む。制御装置１０は、所定の制御処理を行う制御処理モジュール１０１（１０１１〜１０１ｎ）およびネットワーク４０やネットワーク装置２０と通信する通信モジュール１０２（１０２１〜１０２ｎ）を備える。
ネットワーク装置２０は、ログ解析システムのネットワーク制御を行うルータやレイヤ２スイッチなどの装置であり、パケット複製モジュール２０１、第１通信モジュール２０２、監視装置３０と通信を行う第２通信モジュール２０３および第３通信モジュール２０４を備える。モジュールは、制御機能を実現する単位であって、プログラム、および/または、ハードウェアによって実現される。
パケット複製モジュール２０１は、ネットワーク装置２０に入力される通信パケット１２００（図１２参照）を複製し、第１通信モジュール２０２は、ネットワーク４０と通信し、第２通信モジュールは監視装置３０と通信し、第３通信モジュール２０４は制御装置１０ｎと通信する。なお、ネットワーク装置２０は、４つ以上の通信モジュールを備えていてもよく、例えば第４通信モジュールは図示せぬ制御装置１０２と通信する。
監視装置３０は、プラント設備などの制御システムの通信ログを監視する装置であり、通信モジュール３０１、通信パケット取得モジュール３０２、パターン抽出モジュール３０３、異常パターン抽出モジュール３０４、異常パケット復元モジュール３０５、出力モジュール３０６、通信パケット格納モジュール３０７、定常パターン格納モジュール３０８、異常パケット格納モジュール３０９およびモード管理モジュール３１０を備える。
通信モジュール３０１はネットワーク装置２０と通信を行い、通信パケット取得モジュール３０２は監視装置３０に入力される通信パケット１２００を取得し、パターン抽出モジュール３０３は通信パケット取得モジュール３０２が取得した通信パケット１２００のパターンを抽出する。
異常パターン抽出モジュール３０４は通信パケット取得モジュール３０２が取得した通信パケット１２００に含まれる異常パターンを抽出し、異常パケット復元モジュール３０５は異常パターン抽出モジュール３０４が抽出した異常パターンに該当する通信パケット１２００を復元する。
パターンとは、複数の通信ログの組み合わせからなる、通信の態様であり、例えば、複数の通信ログをフーリエ変換することによって判別される。異常パターンとは、コンピュータウィルスやＤｏＳ攻撃など不正アクセスに伴う複数の通信ログに基づくパターンである。異常パターンは、制御システムに不正アクセスがないと想定できる環境におけるパターンと比較することによって抽出され得る。
このような環境とは、例えば、制御システムの試運転状態など制御システムの動作が通常運転状態よりも落ち着いている運転状態である。この運転状態を定常運転状態と称する。制御装置が通常運転状態（以下、運用状態としてもよい）では、制御装置の活動が活発であるから、種々の不正アクセスのおそれがあるが、制御装置が定常運転状態（以下、試運転状態としてもよい）では、通常運転状態に比較して、ほぼ不正アクセスのおそれはないか、不正アクセスのおそれは小さいと想定できる。
この状態の通信パターンを定常運転状態に関連させて定常パターンと称する。監視モジュールは、通信パターンを定常パターンと比較することによって、通信パターンの中から異常パターンを抽出することができる。
制御システムに不正アクセスがないと想定される状態は、例えば制御装置１０に必要最低限の制御コマンドが入力された状態とする（以下、制御システムの試運転時とする）。
通信パケット格納モジュール３０７は通信パケット取得モジュール３０２が取得した通信パケット１２００を格納し、定常パターン格納モジュール３０８はパターン抽出モジュール３０３が抽出した定常時の通信パターン１３００（図１３参照）を格納する。
異常パケット格納モジュール３０９は異常パケット復元モジュール３０５が復元した異常パケットを格納し、モード管理モジュール３１０は監視装置３０の動作モードを管理する。動作モードには、初期モードおよび運用モードの２種類のモードがある。初期モードは定常パターンを取得するための監視装置３０の動作モードであり、運用モードは異常パターンを取得するための監視装置３０の動作モードである。
監視装置３０の動作モードが、モード管理モジュール３１０によって初期モードに設定されると、監視装置３０およびログ解析システムは試運転状態となり、監視装置３０の動作モードがモード管理モジュール３１０によって運用モードに設定されると、監視装置３０およびログ解析システムは運用状態となる。
例えば、監視装置３０の動作モードは、必要最低限の特定の制御コマンドが制御装置１０に入力された際に、モード管理モジュール３１０によって初期モードに設定される。また、例えば、監視装置３０の動作モードは、初期モード以外の場合はモード管理モジュール３１０によって運用モードとされる。
なお、監視装置３０の動作モードの設定方法は、上記に限らず、例えば、監視装置３０の起動時に初期モードとする、または、監視装置３０がスイッチなどから受けることで初期モードとする。
また、異常パケット抽出処理ＳＰ３５（図９参照）中などは、監視装置３０の動作モードを初期モードに設定できないようにしてもよく、パターン抽出処理ＳＰ２５（図７参照）中などは、監視装置３０の動作モードを運用モードに設定できないようにしてもよい。
図２に制御装置１０のハードウェア構成を示す。制御装置１０は、通信装置１１、入出力装置１２、記憶装置１３、ＣＰＵ１４およびメモリ１５を備え、各装置間がバスなどの内部通信線１６で連結される。
通信装置１１はネットワークカードなどであり、通信モジュール１０２を備える。入出力装置１２はキーボード、マウスおよびディスプレイなどであり、入出力装置１２を使用してユーザは制御コマンドを作成する。また、入出力装置１２は、ＬＥＤおよびプッシュボタンなどでもよいものとする。
メモリ１５は制御処理モジュール１０１を備え、制御処理モジュール１０１をＣＰＵ１４が呼び出して制御処理を行う。制御処理を行う際および制御コマンドが作成される際には記憶装置１３に格納されている制御コマンドに関連する各種テーブルが使用される。
図３にネットワーク装置２０のハードウェア構成を示す。ネットワーク装置２０は、ネットワークカードなどの通信装置２１、記憶装置２２、入出力装置２３、ＣＰＵ２４およびメモリ２５を備え、各装置間がバスなどの内部通信線２６で連結される。
通信装置２１は、第１通信装置２１１、第２通信装置２１２、第３通信装置２１３などであり、第１通信装置２１１は第１通信モジュール２０２を備え、第２通信装置２１２は第２通信モジュール２０３を備え、第３通信装置２１３は第３通信モジュール２０４を備える。なお通信装置２１は３つに限定されず、ネットワーク装置２０は４つ以上の通信装置２１を備えてもよい。
例えば、第１通信装置２１１にはネットワーク４０を介して制御装置１０１が接続され、第２通信装置２１２には監視装置３０が接続され、第３通信装置２１３には制御装置１０ｎが接続されていてもよい。
メモリ２５はパケット複製モジュール２０１を備え、パケット複製モジュール２０１をＣＰＵ２４が呼び出して通信パケット１２００を複製するパケット複製処理を行う。記憶装置２２にはパケット複製処理に使用されるテーブルなどが格納される。
入出力装置２３は、キーボード、マウスおよびディスプレイなどであり、入出力装置２３を使用してユーザは複製する通信パケット１２００に付加情報を追加したり送信先の情報を変更したりしてもよい。また、入出力装置２３は、ＬＥＤおよびプッシュボタンなどでもよいものとする。
図４に監視装置３０のハードウェア構成を示す。監視装置３０は、通信装置３１、入出力装置３２、記憶装置３３、ＣＰＵ３４、メモリ３５および記憶媒体３７を読み込む読取装置３６を備え、各装置間がバスなどの内部通信線３８で連結される。
通信装置３１はネットワークカードなどであり、通信モジュール３０１を備える。入出力装置３２はキーボード、マウスおよびディスプレイなどであり、入出力装置３２を使用してユーザはマウスおよびキーボードで条件を指定しディスプレイに出力モジュール３０６が出力する監視結果を表示することでログ解析システムの監視を行う。また、入出力装置３２は、ＬＥＤやプッシュボタンなどでもよいものとする。
メモリ３５は通信パケット取得モジュール３０２、パターン抽出モジュール３０３、異常パターン抽出モジュール３０４、異常パケット復元モジュール３０５、出力モジュール３０６およびモード管理モジュール３１０を備える。記憶装置３３は、通信パケット格納モジュール３０７、定常パターン格納モジュール３０８および異常パケット格納モジュール３０９を備える。ＣＰＵ３４は、メモリ３５が備える各モジュールを呼び出して監視処理を行う。監視処理を行う際、記憶装置３３が備える各モジュールが使用される。
（１−２）ログ解析機能
本実施形態のログ解析システムにおけるログ解析機能について説明する。ログ解析機能は、例えば、監視装置３０の記憶装置３３に格納されたプログラムがメモリ３５にロードされ、ＣＰＵ３４により実行される。
また、各プログラムは予め記憶装置３３に格納されても良いし、他の記憶媒体または通信媒体（ネットワークまたはネットワークを伝搬する搬送波）を介して、必要なときに導入されても良い。
図５に、第１の実施の形態によるログ解析システムの試運転時の実施処理の流れを示すシーケンス図を示す。
監視装置３０のモード管理モジュール３１０は、監視装置３０の動作モードを初期モードに設定する。ここで、動作モードが初期モードに設定できない、または、以降の処理が初期モードに設定されないまま実行されようとする場合には、以降の処理を中止しても良い。
制御装置１０１は制御処理モジュール１０１１で制御コマンドを生成し、通信モジュール１０２１を介してネットワーク装置２０へ制御コマンドを送信する（ＳＰ１１）。ネットワーク装置２０のパケット複製モジュール２０１は、制御装置１０１からの制御コマンドを、第１通信モジュール２０２を介して取得し、通信パケット１２００として制御コマンドを複製する。
第２通信モジュール２０３は、パケット複製モジュール２０１が複製した制御コマンドを、監視装置３０へ送信する（ＳＰ１２）。また第３通信モジュール２０４は、パケット複製モジュール２０１が複製した制御コマンドを、制御装置１０ｎへ送信する（ＳＰ１３）。
監視装置３０の通信パケット取得モジュール３０２は、通信モジュール３０１を介して制御コマンドを取得すると、受信時刻および受信サイズを取得し、通信パケット格納モジュール３０７へ通信パケット１２００を格納する。
制御装置１０ｎの制御処理モジュール１０１ｎは、通信モジュール１０２ｎを介して制御コマンドを取得すると、制御コマンドに基づき処理を行い、制御コマンドに対する応答を、通信モジュール１０２ｎを介してネットワーク装置２０へ返送する（ＳＰ１４）。
ネットワーク装置２０のパケット複製モジュール２０１は、制御装置１０ｎからの制御コマンドに対する応答を、第３通信モジュール２０４を介して取得すると、制御コマンドに対する応答を複製する。
複製した制御コマンドに対する応答を、第２通信モジュール２０３を介して監視装置３０へ送信する（ＳＰ１５）。また複製した制御コマンドに対する応答を、第１通信モジュール２０２を介して制御装置１０１へ送信する（ＳＰ１６）。
監視装置３０の通信パケット取得モジュール３０２は、通信モジュール３０１を介して制御コマンドに対する応答を取得すると、受信時刻および受信サイズを取得し、通信パケット格納モジュール３０７へ通信パケット１２００を格納する。
監視装置３０の通信パケット取得モジュール３０２は、例えば、監視装置３０が外部から電気的な信号をスイッチなどから受けること、通信によって制御コマンドなどで指示を与えられること、または、予め送受信される通信パケット数が定まっていて、その通信パケット数が流れたことによって、試運転が終了したか否かを判断する。
図６に監視装置３０におけるパターン格納処理の処理手順を示すフローチャートを示す。通信パケット取得モジュール３０２は、通信モジュール３０１を介して制御コマンドや制御コマンドに対する応答を取得すると、受信時刻および受信サイズを取得し（ＳＰ２１およびＳＰ２２）、通信パケット格納モジュール３０７へ通信パケット１２００を格納する（ＳＰ２３）。
通信パケット格納モジュール３０７へ通信パケット１２００を格納すると、通信パケット取得モジュール３０２は、試運転が終了したか否かを判断する（ＳＰ２４）。通信パケット取得モジュール３０２は、この判断で否定結果を得るとステップＳＰ２１へ戻り、ステップＳＰ２４で肯定結果を得るまでステップＳＰ２１〜ステップＳＰ２３の処理を繰り返す。この繰り返し処理により、監視装置３０はログ解析システムの試運転時における通信パケット１２００を取得する。
通信パケット取得モジュール３０２が、試運転が終了したことによってステップＳＰ２４で肯定結果を得ると、パターン抽出モジュール３０３は図７に示す定常パターンを抽出するパターン抽出処理を行う（ＳＰ２５）。
パターン抽出モジュール３０３は、通信パケット格納モジュール３０７から通信パケット１２００を取得する（ＳＰ２５１）。この際にパターン抽出モジュール３０３が取得する通信パケット１２００は、通信パケット格納モジュール３０７に格納されている全ての通信パケット１２００でも良いし、あらかじめ定められたデータ量に該当する通信パケット１２００でも良い。
パターン抽出モジュール３０３は、取得した通信パケット１２００の送受信時刻とサイズが記載した、時系列に沿ったデータを生成する（ＳＰ２５２）。なお送受信時刻とともに記載する情報はサイズに限ったものではなく、当該時刻における通信パケット１２００の送受信回数や特定のデータサイズに該当する通信パケット１２００の量などでも良い。
パターン抽出モジュール３０３は、生成した時系列データを周波数変換し、周波数とその強度（影響度）分布の情報を生成する（ＳＰ２５３）。なお周波数変換には例えばＦＦＴ（高速フーリエ変換）などの手法が利用可能である。
パターン抽出モジュール３０３は、周波数変換したデータに含まれる周波数とその強度（影響度）を定常パターンとして定常パターン格納モジュール３０８に格納する（ＳＰ２６）。モード管理モジュール３１０は、監視装置３０の動作モードを運用モードに設定し（ＳＰ２７）、監視装置３０は通信パターン格納処理を終了する。なお、動作モードを設定する際に通信パケット格納モジュール３０７に格納した通信パケット１２００を削除してもよい。
第１の実施の形態によるログ解析システムの運用時の実施処理の流れは、図５に示すシーケンス図と概要は同じであるため、差異がある箇所についてのみ説明する。
運用時には、モード管理モジュール３１０は設定を変更しない。また監視装置３０はパターン格納処理の代わりに、図８に示す異常パケット格納処理を行う。通信パケット取得モジュール３０２は、通信モジュール３０１を介して制御コマンドや制御コマンドに対する応答を取得すると、受信時刻および受信サイズを取得し（ＳＰ３１およびＳＰ３２）、通信パケット格納モジュール３０７へ通信パケット１２００を格納する（ＳＰ３３）。
通信パケット格納モジュール３０７へ通信パケット１２００を格納すると、通信パケット取得モジュール３０２は、運用状態に設定されてから一定時間が経過したか否かを判断する（ＳＰ３４）。なおステップＳＰ３４の判断の条件は一定時間の経過ではなくてもよく、例えば監視装置３０が外部から電気的な信号をスイッチなどから受けたか否か、通信によって制御コマンドなどで指示を与えられたか否か、または、予め送受信される通信パケット数が定まっていて、その通信パケット数が流れたか否か、によって判断してもよい。
通信パケット取得モジュール３０２は、この判断で否定結果を得るとステップＳＰ３１へ戻り、ステップＳＰ３４で肯定結果を得るまでステップＳＰ３１〜ステップＳＰ３３の処理を繰り返す。この繰り返し処理により、監視装置３０は運用時のログ解析システムにおける通信パケット１２００を取得する。
通信パケット取得モジュール３０２が、一定時間が経過したことによってステップＳＰ３４で肯定結果を得ると、異常パターン抽出モジュール３０４は図９に示す異常パケットを抽出する異常パケット抽出処理を行う（ＳＰ３５）。
異常パターン抽出モジュール３０４は、通信パケット格納モジュール３０７から通信パケット１２００を取得する（ＳＰ３５１）。この際にパターン抽出モジュール３０３が取得する通信パケット１２００は、通信パケット格納モジュール３０７に格納されている全ての通信パケット１２００でも良いし、あらかじめ定められた期間に該当する通信パケット１２００でも良いし、あらかじめ定められたデータ量に該当する通信パケット１２００でも良い。
異常パターン抽出モジュール３０４は、取得した通信パケット１２００の送受信時刻とサイズが記載した、時系列に沿ったデータを生成する（ＳＰ３５２）。なお送受信時刻とともに記載する情報はサイズに限ったものではなく、当該時刻における通信パケット１２００の送受信回数や特定のデータサイズに該当する通信パケット１２００の量などでも良い。
異常パターン抽出モジュール３０４は、生成した時系列データを周波数変換し、周波数とその強度（影響度）分布の情報を生成する（ＳＰ３５３）。なお周波数変換には例えばＦＦＴ（高速フーリエ変換）などの手法が利用可能である。
異常パターン抽出モジュール３０４は、定常パターン格納モジュール３０８に格納されている定常パターンを取得する（ＳＰ３５４）。異常パターン抽出モジュール３０４は、周波数変換した時系列データと取得した定常パターンとを比較し差分を抽出することで異常パターンを抽出する（ＳＰ３５５）。
異常パケット復元モジュール３０５は、異常パターン抽出モジュール３０４が抽出した異常パターンを基に異常パケットを復元する（ＳＰ３５６）。実際上、異常パケット復元モジュール３０５は、異常パターンを逆ＦＦＴ（逆高速フーリエ変換）などの逆周波数変換することで、時刻およびサイズの情報を取得する。
異常パケット復元モジュール３０５は、取得した時刻およびサイズの情報と、異常パターン抽出モジュール３０４が通信パケット格納モジュール３０７から取得した通信パケット１２００とを用いて異常パケットを復元する。
異常パケット復元モジュール３０５は、復元した異常パケットを異常パケット格納モジュールへ格納する（ＳＰ３６）。出力モジュール３０６は、異常パケット復元モジュール３０５が復元した異常パケットなどをディスプレイなどの画面に出力し（ＳＰ３７）、監視装置３０は異常パケット格納処理を終了する。
図１０に監視画面１０００の構成を略線的に示す略線図を示す。監視画面１０００は、出力モジュール３０６が出力する画面であり、通信状況１００１、通信データ詳細１００２、異常通信抽出結果１００３および遷移ボタン１００４を備える。
通信状況１００１は、通信パケット１２００の日時を横軸に、サイズ情報を縦軸にしたグラフとなっているが、これに限定されない。通信データ詳細１００２は、通信パケット１２００の日時情報、送受信先、サイズ情報を備えるが、これに限定されない。
異常通信抽出結果１００３は、通信パケット１２００のうち異常パケットと想定されるパケットの日時情報とサイズ情報が含まれるが、これに限定されるものではない。遷移ボタン１００４が押下されることにより、図１１に示す異常監視画面１１００へと画面表示が遷移する。
なお、監視画面１０００の構成要素は上記に限定されるものではなく、少なくとも上記の要素が含まれていればよい。また、監視画面１０００の構成要素の順序は上記に限定されるものではない。
異常監視画面１１００は、出力モジュール３０６が出力する画面であり、異常パケット概要１１０１、異常パケット詳細１１０２および遷移ボタン１１０３を備える。異常パケット概要１１０１は、日時情報を横軸に、単位時間あたりの異常パケット数を縦軸にしたグラフとなっているが、これに限定されるものではなく、例えば縦軸をサイズ情報としてもよい。
異常パケット詳細１１０２は、異常パケットの日時情報、送受信先、実際に送受信されたデータ情報が含まれるが、これに限定されるものではない。なお、異常監視画面１１００の構成要素は上記に限定されるものではなく、少なくとも上記の要素が含まれていればよい。また、異常監視画面１１００の構成要素の順序は上記に限定されるものではない。
なお上記では監視画面１０００と異常監視画面１１００は別の画面表示としたが、監視画面１０００の遷移ボタン１００４の代わりに、異常パケット概要１１０１、異常パケット詳細１１０２を表示してもよいものとする。
図１２に通信パケット１２００の構成を示す概念図を示す。通信パケット１２００は通信パケット格納モジュール３０７に格納され、複数であり、パケットを受信した受信日時１２０１、パケットのサイズ１２０２およびパケットのバイナリデータであるパケットデータ１２０３を備える。
通信パケット１２００の構成要素は上記に限定されるものではなく、少なくとも上記の要素が含まれていればよい。また、通信パケット１２００の構成要素の順序は上記に限定されるものではない。
図１３に通信パターン１３００の構成を示す概念図を示す。通信パターン１３００は、監視装置３０の定常パターン格納モジュール３０８に格納されている定常パターンや異常パターン抽出モジュール３０４によって抽出される異常パターンなどである。
通信パターン１３００は、通信の発生する周期１３０１とその周期１３０１を構成するデータの占める割合を示す強度である影響度１３０２から構成される。ここで、通信パターン１３００の構成要素は上記に限定されるものではなく、少なくとも上記の要素が含まれていればよい。また、通信パターン１３００の構成要素の順序は上記に限定されるものではない。
図１４に通信パターン１３００の周波数と強度の分布を示す概念図を示す。分布グラフ１４０１は通信パターン１３００を、縦軸を強度とし、横軸を周波数（Ｈｚ）としたグラフである。分布グラフ１４０２は定常パターンをグラフ化しており、分布グラフ１４０３は異常パターンをグラフ化している。
ここでは、通信パターン１３００として、１Ｈｚ（影響度が１５）、５Ｈｚ（影響度が１０）、１０Ｈｚ（影響度が５）および１５Ｈｚ（影響度が１０）を取得したとし、定常パターンが１Ｈｚ（影響度が１５）、５Ｈｚ（影響度が１０）および１５Ｈｚ（影響度が１０）の場合、１０Ｈｚ（影響度が５）を異常パターンとして抽出している。
（１−３）本実施の形態の効果
以上のように本実施の形態のログ解析システムでは、監視装置において、制御システムの試運転時などに収集した定常的な動作パターンに関連するログを除外したログデータを出力することにより、異常検知や対処に必要となる情報を効果的に抽出するようにした。
従って、本ログ解析システムでは、不正アクセスから制御システムをより効果的に防衛することできるログ解析システムおよびその方法を実現できる。
（２）第２の実施の形態
第１の実施の形態では、企業内ネットワークなどの安全性の高いネットワーク４０のみで接続されたログ解析システムについて説明したが、図１５に示すインターネットなどの外部ネットワーク７０を通して、制御システムの外のネットワークでログ解析を行ってもよい。第１の実施の形態との差分について説明する。
制御装置１０、ネットワーク装置２０およびネットワーク４０に関しては第１の実施の形態と同様であるため、説明を省略する。本実施の形態では、監視装置３０に相当する装置は、収集装置５０および監視センタ６０である。収集装置５０および監視センタ６０のハードウェア構成は監視装置３０と同様であるため、説明を省略する。
収集装置５０は、収集装置５０１〜５０ｎの複数個あり、レイヤ２スイッチやサーバなどの通信パケット１２００を収集する装置であり、通信モジュール５０１、通信パケット取得モジュール５０２、パターン抽出モジュール５０３、異常パターン抽出モジュール５０４、異常パケット復元モジュール５０５、外部通信モジュール５０６、通信パケット格納モジュール５０７、定常パターン格納モジュール５０８およびモード管理モジュール５０９を備える。
通信モジュール５０１、通信パケット取得モジュール５０２、パターン抽出モジュール５０３、異常パターン抽出モジュール５０４および異常パケット復元モジュール５０５は通信モジュール３０１、通信パケット取得モジュール３０２、パターン抽出モジュール３０３、異常パターン抽出モジュール３０４および異常パケット復元モジュール３０５と同等であるため、説明を省略する。
通信パケット格納モジュール５０７、定常パターン格納モジュール５０８およびモード管理モジュール５０９は通信パケット格納モジュール３０７、定常パターン格納モジュール３０８およびモード管理モジュール３１０と同等であるため、説明を省略する。外部通信モジュール５０６は外部ネットワーク７０を介して他の収集装置５０の外部通信モジュール５０６および監視センタと通信を行う。
なおそれぞれの収集装置５０が通信モジュール５０１ｎ、通信パケット取得モジュール５０２ｎ、パターン抽出モジュール５０３ｎ、異常パターン抽出モジュール５０４ｎ、異常パケット復元モジュール５０５ｎ、外部通信モジュール５０６ｎ、通信パケット格納モジュール５０７ｎ、定常パターン格納モジュール５０８ｎおよびモード管理モジュール５０９ｎといった各モジュールを備える。通信モジュール５０１ｎは例えばネットワーク装置２０の第４通信モジュールと通信する。
監視センタ６０は、出力モジュール６０１、集約異常パケット格納モジュール６０２および通信モジュール６０３を備える。通信モジュール６０３は外部ネットワーク７０を介して、収集装置５０から異常パケットを取得する。集約異常パケット格納モジュール６０２は、それぞれの収集装置５０から取得した異常パケットを格納する。出力モジュール６０１は、それぞれの収集装置５０から取得した異常パケットを出力する。
出力モジュール６０１がディスプレイなどに出力する出力画面については第１の実施の形態で説明した通りであるが、複数の収集装置の結果を示すため、収集装置毎に監視画面があってもよいし、収集装置の識別情報を付加して表示してもよい。
本実施の形態によるログ解析システムの試運転時の実施処理の流れは、図５に示すシーケンス図の流れと同じであるため、説明を省略する。なお、監視装置３０のモード管理モジュール３１０の代わりに、収集装置５０のモード管理モジュール５０９が動作モードを初期モードに設定する。
第２の実施の形態によるログ解析システムの運用時の実施処理の流れは、第２の実施の形態によるログ解析システムの運用時の実施処理の流れと概要は同じであるため、差異がある箇所についてのみ図１６を用いて説明する。
ステップＳＰ４１〜ステップＳＰ４６は、監視装置３０を収集装置５０に置き換えるとステップＳＰ１１〜ステップＳＰ１６と同様である。収集装置５０の外部通信モジュール５０６は異常パケット復元モジュール５０５が復元した異常パケットを監視センタ６０へ送信する（ＳＰ４７）。
本実施の形態においては、処理を収集装置５０および監視センタ６０で分けるため処理負荷が分散し高速な処理が実現できる。
（３）第３の実施の形態
第２の実施の形態では、収集装置５０から異常パケットを監視センタ６０へ送信したが、本実施の形態においては、図１７に示すように、収集装置５０は通信パケット１２００を監視センタ６０へ送信し、監視センタ６０で異常パターンの抽出および異常パケットの復元を行う。
制御装置１０、ネットワーク装置２０およびネットワーク４０に関しては第１の実施の形態と同様であるため、説明を省略する。収集装置５０および監視センタ６０のハードウェア構成は第２の実施の形態と同様であるため、説明を省略する。
収集装置５０は、収集装置５０１〜５０ｎであり、レイヤ２スイッチやサーバなどの通信パケット１２００を収集する装置であり、通信モジュール５０１、通信パケット取得モジュール５０２、外部通信モジュール５０６、通信パケット格納モジュール５０７、およびモード管理モジュール５０９を備える。
通信モジュール５０１、通信パケット取得モジュール５０２、外部通信モジュール５０６、通信パケット格納モジュール５０７およびモード管理モジュール５０９は第２の実施の形態と同等であるため、説明を省略する。
監視センタ６０は、レイヤ２スイッチやサーバなどのログ解析システムを監視する装置であり、出力モジュール６０１、集約異常パケット格納モジュール６０２、通信モジュール６０３、パターン抽出モジュール６０４、異常パターン抽出モジュール６０５、異常パケット復元モジュール６０６、および定常パターン格納モジュール６０７を備える。
ログ解析システムの試運転時には、パターン抽出モジュール６０４は、通信モジュール６０３および外部ネットワーク７０を介して、収集装置５０から通信パケット１２００を取得する。運用時には、異常パターン抽出モジュール６０５は、通信モジュール６０３および外部ネットワーク７０を介して、収集装置５０から通信パケット１２００を取得する。
出力モジュール６０１がディスプレイなどに出力する出力画面については第２の実施の形態で説明した通りである。
本実施の形態によるログ解析システムの試運転時の実施処理の流れは、図１６に示すシーケンス図の流れと概要は同じであるため、差異がある箇所についてのみ図１８を用いて説明する。
最初に収集装置５０のモード管理モジュール５０９は、収集装置５０の動作モードを初期モードに設定する。ここで、動作モードが初期モードに設定できない、または、以降の処理が初期モードに設定されないまま実行されようとする場合には、以降の処理を中止しても良い。
次に監視センタ６０のモード管理モジュール６０８は、監視センタ６０の動作モードを初期モードに設定する。ここで、動作モードが初期モードに設定できない、または、以降の処理が初期モードに設定されないまま実行されようとする場合には、以降の処理を中止しても良い。
ステップＳＰ５１〜ステップＳＰ５７はステップＳＰ４１〜ステップＳＰ４７と同様である。収集装置５０の外部通信モジュール５０６から通信パケット１２００が監視センタ６０の通信モジュール６０３に送信される（ＳＰ５７）。
監視センタ６０の通信モジュール６０３が通信パケット１２００を受信すると、監視センタは各処理を行ったのち、モード管理モジュール６０８は、監視センタ６０の動作モードを運用モードに設定し、監視センタ６０の通信モジュール６０３は収集装置５０の外部通信モジュール５０６へ応答を返送する（ＳＰ５８）。
収集装置５０の外部通信モジュール５０６が応答を受信すると、モード管理モジュール５０９は収集装置５０の動作モードを運用モードに設定する。
本実施の形態によるログ解析システムの運用時の実施処理の流れは、第２の実施の形態によるログ解析システムの運用時の実施処理の流れと同じであるため、説明を省略する。
本実施の形態においては、処理を収集装置５０および監視センタ６０で分けるため処理が分散し高速な処理が実現できる。
（４）その他の実施の形態
なお上述の第１、第２および第３の実施の形態においては、監視装置３０、収集装置５０およびネットワーク装置２０が別装置である場合について述べたが、本発明はこれに限らず、例えば監視装置３０や収集装置５０内にネットワーク装置２０の機能が含まれている場合や、制御装置１０や監視装置３０や収集装置５０にネットワーク４０との通信機能が含まれておらず、別の装置を経由してネットワーク４０と通信を行うようにしてもよい。
また上述の第１、第２および第３の実施の形態においては、ネットワーク４０や外部ネットワーク７０にフィルタをかけていない場合について述べたが、本発明はこれに限らず、ネットワーク４０や外部ネットワーク７０にフィルタをかけてもよい。
１０：制御装置、１１：通信装置、１２：入出力装置、１３：記憶装置、１４：ＣＰＵ、１５：メモリ、１６：内部通信線、１０１：制御処理モジュール、１０２：通信モジュール、２０：ネットワーク装置、２１：通信装置、２１１：第１通信装置、２１２：第２通信装置、２１３：第３通信装置、２２：記憶装置、２３：入出力装置、２４：ＣＰＵ、２５：メモリ、２６：内部通信線、２０１：パケット複製モジュール、２０２：第１通信モジュール、２０３：第２通信モジュール、２０４：第３通信モジュール、３０：監視装置、３１：通信装置、３２：入出力装置、３３：記憶装置、３４：ＣＰＵ、３５：メモリ、３６：読取装置、３７：記憶媒体、３８：内部通信線、３０１：通信モジュール、３０２：通信パケット取得モジュール、３０３：パターン抽出モジュール、３０４：異常パターン抽出モジュール、３０５：異常パケット復元モジュール、３０６：出力モジュール、３０７：通信パケット格納モジュール、３０８：定常パターン格納モジュール、３０９：異常パケット格納モジュール、３１０：モード管理モジュール、５０：収集装置、５０１：通信モジュール、５０２：通信パケット取得モジュール、５０３：パターン抽出モジュール、５０４：異常パターン抽出モジュール、５０５：異常パケット復元モジュール、５０６：外部通信モジュール、５０７：通信パケット格納モジュール、５０８：定常パターン格納モジュール、５０９：モード管理モジュール、６０：監視センタ、６０１：出力モジュール、６０２、集約異常パケット格納モジュール、６０３：通信モジュール、６０４：パターン抽出モジュール、６０５：異常パターン抽出モジュール、６０６：異常パケット復元モジュール、６０７：定常パターン格納モジュール、６０８：モード管理モジュール、７０：外部ネットワーク。

Claims (9)

  1. 制御装置の通信ログを解析するログ解析システムであって、
    前記通信ログに対応する通信パケットをネットワークから受信するネットワーク装置と、
    前記ネットワーク装置への通信を監視する監視装置と、
    を備え、
    前記監視装置は、前記通信パケットの通信パターンと不正アクセスのない状態の通信におけるパターンである定常パターンとの差分を求め、前記差分に基づいて前記通信パケットを復元し、復元された前記通信パケットを報知する
    ログ解析システム。
  2. 前記ネットワーク装置は、前記通信パケットを複製して前記監視装置に送信する
    請求項１記載のログ解析システム。
  3. 前記監視装置は、複数の前記通信パケットそれぞれの送受信周期と送受信サイズの変動に基づいて、前記通信パターンを複数の前記通信パケットから抽出する
    請求項１に記載のログ解析システム。
  4. 収集装置は前記ネットワーク装置から前記通信パケットを収集し、
    前記監視装置は、前記収集装置によって収集された前記通信パケットに基づいて前記通信パケットを復元する
    請求項１に記載のログ解析システム。
  5. 前記監視装置は、
    複数の前記収集装置のそれぞれで収集された前記通信パケットに基づいて前記通信パケットを復元する
    請求項４に記載のログ解析システム。
  6. 前記監視装置は、前記通信パケットを収集し、前記通信パケットの前記通信パターンと前記通信の前記定常パターンとの前記差分を求め、前記差分に基づいて前記通信パケットを復元する収集装置を備え、復元された前記通信パケットを報知する
    請求項１に記載のログ解析システム。
  7. 前記監視装置は、
    前記通信パケットを時系列で表示し、前記定常パターンの前記通信パケットと前記差分に基づいた前記通信パケットとを識別可能な形で表示する
    請求項１に記載のログ解析システム。
  8. 前記監視装置は、前記制御装置の運転状態に応じた設定がなされ、
    前記運転状態は、前記監視装置が前記通信の前記定常パターンを取得するための試運転状態と、試運転状態以外の運用状態であり、
    前記監視装置は、前記設定により実行可能な処理が制限される
    請求項１に記載のログ解析システム。
  9. 制御装置の通信ログを解析するログ解析システムにおけるログ解析方法であって、
    前記ログ解析システムは、
    前記通信ログに対応する通信パケットをネットワークから受信するネットワーク装置と、
    前記ネットワーク装置への通信を監視する監視装置と、
    備え、
    前記監視装置が、前記通信パケットの通信パターンと不正アクセスのない状態の通信におけるパターンである定常パターンとの差分を求める第１のステップと、
    前記監視装置が、前記差分に基づいて前記通信パケットを復元する第２のステップと、
    前記監視装置が、復元された前記通信パケットを報知する第３のステップと、
    を備えるログ解析方法。
JP2016214265A 2016-11-01 2016-11-01 ログ解析システムおよびその方法 Active JP6793524B2 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
JP2016214265A JP6793524B2 (ja) 2016-11-01 2016-11-01 ログ解析システムおよびその方法
US15/795,429 US10523696B2 (en) 2016-11-01 2017-10-27 Log analyzing system and method
GB1717787.4A GB2558380B (en) 2016-11-01 2017-10-30 Log analyzing system and method
DE102017219455.3A DE102017219455A1 (de) 2016-11-01 2017-10-30 Log-Analysesystem und -verfahren

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2016214265A JP6793524B2 (ja) 2016-11-01 2016-11-01 ログ解析システムおよびその方法

Publications (2)

Publication Number Publication Date
JP2018074465A true JP2018074465A (ja) 2018-05-10
JP6793524B2 JP6793524B2 (ja) 2020-12-02

Family

ID=60580144

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2016214265A Active JP6793524B2 (ja) 2016-11-01 2016-11-01 ログ解析システムおよびその方法

Country Status (4)

Country Link
US (1) US10523696B2 (ja)
JP (1) JP6793524B2 (ja)
DE (1) DE102017219455A1 (ja)
GB (1) GB2558380B (ja)

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11270001B2 (en) * 2016-10-03 2022-03-08 Nippon Telegraph And Telephone Corporation Classification apparatus, classification method, and classification program
US10567264B2 (en) * 2017-04-06 2020-02-18 Rohde & Schwarz Gmbh & Co. Kg Protocol test device and method for operating a protocol test device
JP2019165301A (ja) * 2018-03-19 2019-09-26 富士通株式会社 パケット検出プログラム、パケット検出装置及びパケット検出方法
JP2022050219A (ja) * 2020-09-17 2022-03-30 富士フイルムビジネスイノベーション株式会社 情報処理装置及び情報処理プログラム

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20040037229A1 (en) * 2002-08-21 2004-02-26 D'souza Scott Detection of denial-of-service attacks using frequency domain analysis
JP2005223870A (ja) * 2004-02-05 2005-08-18 Fujio Morita 通信パケットのログから不正通信を発見する方法とそのシステム
JP2007243338A (ja) * 2006-03-06 2007-09-20 Kddi R & D Laboratories Inc ログ分析装置、ログ分析プログラム、および記録媒体
JP2010283668A (ja) * 2009-06-05 2010-12-16 Nippon Telegr & Teleph Corp <Ntt> トラヒック分類システムと方法およびプログラムならびに異常トラヒック検知システムと方法
JP2013168763A (ja) * 2012-02-15 2013-08-29 Hitachi Ltd セキュリティ監視システムおよびセキュリティ監視方法
JP2016163352A (ja) * 2015-03-04 2016-09-05 フィッシャー−ローズマウント システムズ，インコーポレイテッド 産業用通信ネットワークにおける異常検出、異常検出システム、及び異常検出を行う方法

Family Cites Families (34)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2000148276A (ja) * 1998-11-05 2000-05-26 Fujitsu Ltd セキュリティ監視装置，セキュリティ監視方法およびセキュリティ監視用プログラム記録媒体
US9444785B2 (en) * 2000-06-23 2016-09-13 Cloudshield Technologies, Inc. Transparent provisioning of network access to an application
US6813244B1 (en) * 2000-11-20 2004-11-02 Fujitsu Limited Available bandwidth measurement with variable speed probing and zoom-in/zoom-out technique
US20050232227A1 (en) * 2004-02-06 2005-10-20 Loki Jorgenson Method and apparatus for characterizing an end-to-end path of a packet-based network
GB0402739D0 (en) * 2004-02-09 2004-03-10 Saviso Group Ltd Methods and apparatus for routing in a network
US7904956B2 (en) * 2004-10-01 2011-03-08 Microsoft Corporation Access authorization with anomaly detection
KR100609710B1 (ko) * 2004-11-25 2006-08-08 한국전자통신연구원 이상 트래픽 분석을 위한 네트워크 시뮬레이션 장치 및 그방법
KR100639969B1 (ko) * 2004-12-02 2006-11-01 한국전자통신연구원 이상 트래픽 제어 장치 및 그 제어 방법
US7684390B2 (en) * 2004-12-30 2010-03-23 Intel Corporation Integrated circuit capable of transmitting probe packets across a stack of switches
JP4594869B2 (ja) * 2006-01-24 2010-12-08 富士通株式会社 状態監視装置
WO2008052291A2 (en) * 2006-11-03 2008-05-08 Intelliguard I.T. Pty Ltd System and process for detecting anomalous network traffic
JP4667437B2 (ja) * 2007-10-02 2011-04-13 日本電信電話株式会社 異常トラフィック検知装置、異常トラフィック検知方法および異常トラフィック検知プログラム
JP2009171431A (ja) * 2008-01-18 2009-07-30 Oki Electric Ind Co Ltd トラフィック分析装置、トラフィック分析方法及びトラフィック分析システム
US8059547B2 (en) * 2008-12-08 2011-11-15 Advantest Corporation Test apparatus and test method
US8085681B2 (en) * 2008-10-21 2011-12-27 At&T Intellectual Property I, Lp Centralized analysis and management of network packets
JP2010165242A (ja) * 2009-01-16 2010-07-29 Hitachi Cable Ltd 稼動体の異常検出方法及び異常検出システム
US8613085B2 (en) * 2009-07-22 2013-12-17 Broadcom Corporation Method and system for traffic management via virtual machine migration
JP5488379B2 (ja) * 2010-09-29 2014-05-14 富士通株式会社 メール監視システム、メール監視プログラム、メール監視装置及びメール監視方法
US8151341B1 (en) * 2011-05-23 2012-04-03 Kaspersky Lab Zao System and method for reducing false positives during detection of network attacks
KR101640476B1 (ko) * 2011-09-16 2016-07-25 한국전자통신연구원 네트워크의 테스트 분석시스템 및 그 분석방법
US8891392B2 (en) * 2012-06-21 2014-11-18 Breakingpoint Systems, Inc. Dynamic latency analysis system
US9203723B2 (en) * 2013-01-30 2015-12-01 Broadcom Corporation Network tracing for data centers
JP5913145B2 (ja) 2013-02-04 2016-04-27 日本電信電話株式会社 ログ可視化装置及び方法及びプログラム
US20150038164A1 (en) * 2013-08-01 2015-02-05 Deutsche Telekom Ag System for analyzing mobile telephone users locations and classifications, while maintaining users privacy constraints
GB2533529A (en) * 2013-09-18 2016-06-22 Jolata Inc Highly probable identification of related messages using sparse hash function sets
US9432295B2 (en) * 2013-09-27 2016-08-30 Telefonaktiebolaget Lm Ericsson (Publ) Systems and methods for high throughput traffic pattern generation
EP3053046B1 (en) * 2013-10-04 2021-11-03 Webroot Inc. Network intrusion detection
US9806960B2 (en) * 2013-11-25 2017-10-31 Google Inc. Method and system for adjusting heavy traffic loads between personal electronic devices and external services
US10164847B2 (en) * 2014-03-18 2018-12-25 Hitachi, Ltd. Data transfer monitor system, data transfer monitor method and base system
JP5640167B1 (ja) * 2014-03-31 2014-12-10 株式会社ラック ログ分析システム
KR20160002058A (ko) 2014-06-30 2016-01-07 한국전자통신연구원 모드버스 통신 패턴 학습에 기반한 비정상 트래픽 탐지 장치 및 방법
KR102112587B1 (ko) * 2015-03-20 2020-05-19 한국전자통신연구원 패킷 감시 장치 및 통신 패킷에 대한 패킷 감시 방법
US10122740B1 (en) * 2015-05-05 2018-11-06 F5 Networks, Inc. Methods for establishing anomaly detection configurations and identifying anomalous network traffic and devices thereof
US9699205B2 (en) * 2015-08-31 2017-07-04 Splunk Inc. Network security system

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20040037229A1 (en) * 2002-08-21 2004-02-26 D'souza Scott Detection of denial-of-service attacks using frequency domain analysis
JP2005223870A (ja) * 2004-02-05 2005-08-18 Fujio Morita 通信パケットのログから不正通信を発見する方法とそのシステム
JP2007243338A (ja) * 2006-03-06 2007-09-20 Kddi R & D Laboratories Inc ログ分析装置、ログ分析プログラム、および記録媒体
JP2010283668A (ja) * 2009-06-05 2010-12-16 Nippon Telegr & Teleph Corp <Ntt> トラヒック分類システムと方法およびプログラムならびに異常トラヒック検知システムと方法
JP2013168763A (ja) * 2012-02-15 2013-08-29 Hitachi Ltd セキュリティ監視システムおよびセキュリティ監視方法
JP2016163352A (ja) * 2015-03-04 2016-09-05 フィッシャー−ローズマウント システムズ，インコーポレイテッド 産業用通信ネットワークにおける異常検出、異常検出システム、及び異常検出を行う方法

Also Published As

Publication number Publication date
GB2558380A (en) 2018-07-11
GB2558380B (en) 2021-01-13
JP6793524B2 (ja) 2020-12-02
US20180124083A1 (en) 2018-05-03
GB201717787D0 (en) 2017-12-13
DE102017219455A1 (de) 2018-05-03
US10523696B2 (en) 2019-12-31

Similar Documents

Publication Publication Date Title
Chen et al. A cloud computing based network monitoring and threat detection system for critical infrastructures
JP2018074465A (ja) ログ解析システムおよびその方法
US10652274B2 (en) Identifying and responding to security incidents based on preemptive forensics
CN111049705A (zh) 一种监控分布式存储系统的方法及装置
US10579797B2 (en) Program integrity monitoring and contingency management system and method
CN103946809A (zh) 为测试服务器产生产品服务器负载活动
JP2017126283A (ja) 検知プログラム、検知方法および検知装置
US8959051B2 (en) Offloading collection of application monitoring data
CN107168844B (zh) 一种性能监控的方法及装置
CN111949531A (zh) 区块链网络的测试方法、装置、介质及电子设备
CN109919142A (zh) 人员监控方法、装置、服务器和存储介质
CN112131571A (zh) 威胁溯源方法及相关设备
KR20120086926A (ko) 포렌식 감사 데이터 시각화 시스템
EP3163449B1 (en) Analysis device, analysis method, and storage medium in which analysis program is recorded
CN111832018A (zh) 病毒检测方法、装置、计算机装置及存储介质
CN109067587B (zh) 关键信息基础设施的确定方法及装置
CN113726779A (zh) 规则误报测试方法、装置、电子设备及计算机存储介质
WO2015024716A1 (de) Verfahren und schaltungsanordnung zur absicherung gegen scannen eines adressraums
JP2020201682A (ja) コンピュータ保有データ取出し装置
KR101650445B1 (ko) 커널 기반의 파일이벤트감사 기능을 이용한 실시간 웹셀 탐지 장치 및 방법
CN117040927B (zh) 一种密码服务监控系统及方法
CN112989349B (zh) 病毒检测方法、装置、设备及存储介质
JP2013197601A (ja) 障害検知装置、障害検知方法、及びプログラム
JP2018180862A (ja) フィルタ定義情報装置、プログラム及び方法
JP2013156730A (ja) 障害情報処理装置、障害情報処理方法、および障害情報処理プログラム

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20190904

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20200713

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20200811

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20200930

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20201104

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20201110

R150 Certificate of patent or registration of utility model

Ref document number: 6793524

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150