JP5531064B2 - 通信装置、通信システム、通信方法、および、通信プログラム - Google Patents

Description

本発明は、ネットワークを介した攻撃を防御する通信装置、通信システム、通信方法、および、通信プログラムに関する。

ネットワークには、様々な脅威が潜んでおり、ネットワーク管理においては、セキュリティ対策が必須となっている。例えば、特許文献１には、複数のネットワークが相互に接続されたシステムにおいて、各ネットワークの境界に設けられたファイアフォール等で、所定のアクセスルールに基づいて通信の許否制御を行うことが記載されている。また、特許文献２には、攻撃等の妨害アクセスを防止するために、有害パケットを除去する技術が記載されている。

特開2007-266849号公報 特開2007-259137号公報

外部からの攻撃が既知の攻撃手法の場合は、あらかじめネットワーク機器で通信をブロックすることができるが、新しい手法の攻撃の場合は、当該未知の攻撃を検知することができず、ネットワーク内のサーバ等が攻撃を受けてしまう。

また、攻撃されたサーバ等のログから解析を行い、攻撃パターンを特定することができればネットワーク機器に対して攻撃をブロックするよう指示できるが、攻撃対象がユーザ機器等である場合は、必要なログの入手ができず、十分な解析が行えないために攻撃パターンが特定できない場合もある。

本発明は上記事情に鑑みてなされたものであり、本発明の目的は、攻撃対象の機器がユーザ所有の機器であって、ログの入手が難しい場合であっても、未知の攻撃の疑いがある通信データを特定し、攻撃パターンの解析に必要な情報を取得可能な通信装置、通信システム、通信方法、および、通信プログラムを提供することにある。

上記目的を達成するため、本発明は、少なくとも１つの機器をネットワークに接続する通信装置であって、前記ネットワークを介して前記機器に送信される通信データのログ情報を記憶するログ情報記憶手段と、前記機器に対して状態確認を行うとともに、前記状態確認に対する応答がない機器について、当該機器を宛先とするログ情報のうち、応答がなくなる直前までの一定時間のログ情報を前記ログ情報記憶手段から抽出し、グレーリスト記憶手段に登録する異常検知手段と、前記ネットワークを介して前記機器に送信される通信データの一部が、前記グレーリスト記憶手段に記憶されたいずれかのログ情報の少なくとも１つのパラメータに一致する場合、当該通信データを、解析装置に送信する判別手段と、前記解析装置から解析結果を受信し、前記解析結果が正常な場合は、前記グレーリスト記憶手段から対応するログ情報を削除し、前記解析結果が正常でない場合は、前記グレーリスト記憶手段から対応するログ情報を削除するとともに、前記解析装置に送信した通信データに基づいて生成された攻撃パターンをブラックリスト記憶手段に登録する更新手段と、を備える。

本発明は、少なくとも１つの機器をネットワークに接続する通信装置と、解析装置とを備える通信システムであって、前記通信装置は、前記ネットワークを介して前記機器に送信される通信データのログ情報を記憶するログ情報記憶手段と、前記機器に対して状態確認を行うとともに、前記状態確認に対する応答がない機器について、当該機器を宛先とするログ情報のうち、応答がなくなる直前までの一定時間のログ情報を前記ログ情報記憶手段から抽出し、グレーリスト記憶手段に登録する異常検知手段と、前記ネットワークを介して前記機器に送信される通信データの一部が、前記グレーリスト記憶手段に記憶されたいずれかのログ情報の少なくとも１つのパラメータに一致する場合、当該通信データを、解析装置に送信する判別手段と、前記解析装置から解析結果を受信し、前記解析結果が正常な場合は、前記グレーリスト記憶手段から対応するログ情報を削除し、前記解析結果が正常でない場合は、前記グレーリスト記憶手段から対応するログ情報を削除するとともに、前記解析装置に送信した通信データに基づいて生成された攻撃パターンをブラックリスト記憶手段に登録する更新手段と、を備え、前記解析装置は、前記通信装置から送信された通信データを、前記機器と同じアプリケーションで実行し、デバッグモードでの実行結果のログ情報を取得する。

本発明は、少なくとも１つの機器をネットワークに接続する通信装置が行う通信方法であって、前記通信装置は、前記ネットワークを介して前記機器に送信される通信データのログ情報を記憶するログ情報記憶部を備え、前記機器に対して状態確認を行うとともに、前記状態確認に対する応答がない機器について、当該機器を宛先とするログ情報のうち、応答がなくなる直前までの一定時間のログ情報を前記ログ情報記憶部から抽出し、グレーリスト記憶部に登録する異常検知ステップと、前記ネットワークを介して前記機器に送信される通信データの一部が、前記グレーリスト記憶部に記憶されたいずれかのログ情報の少なくとも１つのパラメータに一致する場合、当該通信データを、解析装置に送信する判別ステップと、前記解析装置から解析結果を受信し、前記解析結果が正常な場合は、前記グレーリスト記憶部から対応するログ情報を削除し、前記解析結果が正常でない場合は、前記グレーリスト記憶部から対応するログ情報を削除するとともに、前記解析装置に送信した通信データに基づいて生成された攻撃パターンをブラックリスト記憶部に登録する更新ステップと、を行う。

本発明は、通信装置が実行する通信プログラムであって、前記通信装置は、前記ネットワークを介して前記機器に送信される通信データのログ情報を記憶するログ情報記憶部を備え、前記通信装置に、前記機器に対して状態確認を行うとともに、前記状態確認に対する応答がない機器について、当該機器を宛先とするログ情報のうち、応答がなくなる直前までの一定時間のログ情報を前記ログ情報記憶部から抽出し、グレーリスト記憶部に登録する異常検知ステップと、前記ネットワークを介して前記機器に送信される通信データの一部が、前記グレーリスト記憶部に記憶されたいずれかのログ情報の少なくとも１つのパラメータに一致する場合、当該通信データを、解析装置に送信する判別ステップと、前記解析装置から解析結果を受信し、前記解析結果が正常な場合は、前記グレーリスト記憶部から対応するログ情報を削除し、前記解析結果が正常でない場合は、前記グレーリスト記憶部から対応するログ情報を削除するとともに、前記解析装置に送信した通信データに基づいて生成された攻撃パターンをブラックリスト記憶部に登録する更新ステップと、を実行させる。

本発明によれば、攻撃対象の機器がユーザ所有の機器であって、ログの入手が難しい場合であっても、未知の攻撃の疑いがある通信データを特定し、攻撃パターンの解析に必要な情報を取得可能な通信装置、通信システム、通信方法、および、通信プログラムを提供することができる。

本発明の実施形態に係る通信システムを示す構成図である。 ネットワーク機器および解析サーバの構成を示すブロック図である。 ログ情報記憶部の一例を示す図である。 ヘルスチェックの処理を示すフローチャートである。 グレーリストの一例を示す図である。 ネットワーク機器が通信パケットを受け付けたときの処理を示すフローチャートである。

以下、本発明の実施形態について説明する。

図１は、本発明の実施形態に係る通信システムの全体構成を示す構成図である。本実施形態の通信システムは、ネットワークを介した外部からの攻撃を段階的に防御するものである。本実施形態の通信システムは、ネットワーク機器（通信装置）１と、当該ネットワーク機器１に接続された解析サーバ２（解析装置）と、を備える。

ネットワーク機器１には、少なくとも１つのサービス提供サーバ３（機器）が接続されるとともに、インターネットなどのネットワークに接続される。ネットワーク機器１は、サービス提供サーバ３をネットワークと接続するための機器であって、例えば、ルータ、ロードバランサなどを用いることができる。解析サーバ２は、ネットワーク機器１から送信された通信パケット（通信データ）を解析するサーバである。

サービス提供サーバ３は、ネットワークに接続された各端末４（ＰＣ、スマートフォンなど）に、所定のサービスを提供するサーバであって、例えば、Ｗｅｂサーバ、メールサーバなどを用いることができる。端末４は、ネットワークおよびネットワーク機器１を介して所望のサービス提供サーバ３にアクセスし、サービス提供サーバ３が提供するサービスを利用する。

図２は、ネットワーク機器１および解析サーバ２の構成を示すブロック図である。図示するネットワーク機器１は、転送部１１（判別手段）と、異常検知部１２と、リスト更新部１３と、ログ情報記憶部１４と、グレーリスト１５と、ブラックリスト１６とを備える。転送部１１は、端末４とサービス提供サーバ３との間で送受信される通信パケットを受け付け、当該通信パケットで指定された宛先のサービス提供サーバ３または端末４に通信パケットを転送する。

また、本実施形態の転送部１１は、ネットワークを介してサービス提供サーバ３に送信される通信パケットの一部が、グレーリスト１５に記憶されたいずれかの通信ログの少なくとも１つのパラメータに一致する場合、当該通信パケットを解析サーバ２に送信する。また、転送部１１は、通信パケットがブラックリスト１６に記憶されたいずれかの攻撃パターンに一致する場合、当該通信パケットを指定された宛先のサービス提供サーバ３に転送しない。また、転送部１１は、ネットワークを介してサービス提供サーバ３に送信される通信パケットの所定のパラメータを、ログ情報としてログ情報記憶部１４に記憶する。なお、ログ情報は、サービス提供サーバ３と端末４との間の通信ログである。

図３は、ログ情報記憶部１４に記憶されるログ情報の一例を示すものである。本実施形態では、通信パケットのプロトコル毎に、ログ情報をログ情報記憶部１４に格納するものとする。図３（ａ）は、宛先となるサービス提供サーバ３がＷｅｂサーバの場合のＨＴＴＰプロトコルの通信パケットのログ情報の一例を示すものである。図３（ａ）に示すログ情報テーブルは、通信パケットを受け付けた時刻、送信先ＩＰアドレス、送信元ＩＰアドレス、受信インタフェース、送信インタフェース、送信先ポート、送信元ポート、ＨＴＴＰメソッド、引数などを、通信パケットの所定のパラメータとして記憶する。

図３（ｂ）は、宛先となるサービス提供サーバ３がメールサーバの場合のＳＭＴＰプロトコルの通信パケットのログ情報の一例を示すものである。図３（ｂ）に示すログ情報テーブルは、通信パケットを受け付けた時刻、送信先ＩＰアドレス、送信元ＩＰアドレス、受信インタフェース、送信インタフェース、送信先ポート、送信元ポート、コマンド、引数などを、通信パケットの所定のパラメータとして記憶する。

異常検知部１２は、各サービス提供サーバ３に対して、所定のタイミングで定期的に状態確認を行い、状態確認に対する応答がないサービス提供サーバ３については、サービス提供サーバ３がダウン（異常が発生）していると検知する。そして、応答がないサービス提供サーバ３に対して、ダウンする直前に送信された通信パケットが新たな攻撃パターンの疑いのある通信パケットであるとみなし、当該サービス提供サーバ３を宛先とするログ情報のうち、応答がなくなる直前までの一定時間のログ情報をログ情報記憶部１４から抽出し、疑わしい通信パケットのログ情報であるとして、グレーリスト１５に登録する。

本実施形態では、異常検知部１２は、状態確認として、ヘルスチェックを行うものとし、各レイヤでの稼動状態をチェックするものとする。例えば、各レイヤに応じて、pingコマンド、TCPコネクションのリクエスト、HEADメソッドのリクエストなどを用いるものとする。なお、異常検知部１２は、所定のレイヤ（例えば、アプリケーションレイヤ）のみのヘルスチェックを行うこととしてもよい。

リスト更新部１３は、解析サーバ２から解析結果を受信し、解析結果が正常な場合は、グレーリスト１５から対応するログ情報を削除し、解析結果が正常でない場合は、グレーリスト１５から対応するログ情報を削除するとともに、解析サーバ２に送信した通信パケットを、新たな攻撃であるとみなしてブラックリスト１６に登録する。グレーリスト１５には、新たな攻撃の疑いがある通信パケットのログ情報が登録される。ブラックリスト１６には、攻撃パターンが登録される。

解析サーバ２は、ネットワーク機器１から送信された疑わしい通信パケットを解析するサーバである。本実施形態の解析サーバ２は、アプリケーション実行部２１と、解析部２２と、通知部２３と、デバッグログ記憶部２４とを備える。アプリケーション実行部２１は、ネットワーク機器１から送信された通信パケットを受け付けて、サービス提供サーバ３と同じアプリケーションをデバッグモードで実行し、デバッグログをデバッグログ記憶部２４に出力する。解析部２２は、デバッグログ記憶部２４に出力されたデバッグログを解析し、当該通信パケットが新たな攻撃パターンか否かを解析する。通知部２３は、解析部２２が解析した解析結果をネットワーク機器１に送信する。

上記説明したネットワーク機器１および解析サーバ２は、例えば、少なくともＣＰＵと、メモリと、ＨＤＤなどの記憶装置とを備えたコンピュータシステムを用いることができる。このコンピュータシステムにおいて、ＣＰＵがメモリ上にロードされた所定のプログラムを実行することにより、各システムの各機能が実現される。例えば、ネットワーク機器１用のプログラムの場合はネットワーク機器１のＣＰＵが、そして、解析サーバ２用のプログラムの場合は解析サーバ２のＣＰＵが実行することにより実現される。また、ネットワーク機器１用のプログラム、および解析サーバ２用のプログラムは、ハードディスク、フレキシブルディスク、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤ−ＲＯＭなどのコンピュータ読取り可能な記録媒体に記憶することも、ネットワークを介して配信することもできる。なお、ネットワーク機器１と解析サーバ２は、１つのコンピュータシステムで実現されるものであってもよい。

次に、本実施形態の処理について説明する。

図４は、本実施形態におけるヘルスチェックの処理を示すフローチャートである。ネットワーク機器１の異常検知部１２は、当該ネットワーク機器１に接続された配下の全てのサービス提供サーバ３に対して、アプリケーション（サービス）の稼動状況をチェックするためのヘルスチェック要求を、各サービス提供サーバ３に送信する（Ｓ１１）。なお、異常検知部１２は、アプリケーションレイヤでのヘルスチェックについては、例えば、Ｗｅｂサーバのサービス提供サーバ３には、HEADメソッドのリクエストを送信し、メールサーバのサービス提供サーバ３には、HELOコマンドを送信することなどが考えられる。

そして、異常検知部１２は、Ｓ１１で送信したヘルスチェック要求に対する正常な応答を受信した場合（Ｓ１２：ＹＥＳ）、当該応答を送信したサービス提供サーバ３のアプリケーションは正常に動作し、端末４にサービスを提供していると判別する。

一方、Ｓ１１で送信したヘルスチェック要求に対する正常な応答がない場合（Ｓ１２：ＮＯ）、当該応答がないサービス提供サーバ３は、アプリケーションに異常が発生し、サービスの提供が行われていない（サーバダウン）と判別し、ログ情報記憶部１４から所定のログ情報を抽出する（Ｓ１３）。ここでは、異常検知部１２は、ログ情報記憶部１４の対応するプロトコルのログ情報テーブルから、応答のないサービス提供サーバ３を宛先（送信先）とするログ情報のうち、応答がなくなる直前までの一定時間のログ情報を抽出し、グレーリスト１５に登録する。なお、応答のないサービス提供サーバ３を宛先とするログ情報か否かについては、例えば、ログ情報に含まれる送信先ＩＰアドレス、送信インタフェース、送信先ポート番号などのパラメータを用いて判別する（図３参照）。また、ログ情報の時刻を用いて、応答がなくなる直前までの一定時間のログ情報を抽出する。すなわち、異常検知部１２により応答がないと判別した現時点から所定の時間さかのぼった時点までの間の、直近のログ情報を抽出する。

そして、異常検知部１２は、Ｓ１３で抽出したログ情報を、メモリなどの記憶装置に記憶されたグレーリスト１５に登録する（Ｓ１４）。このようにグレーリスト１５には、サービス提供サーバ３のダウンに関連する新たな攻撃の疑いがある通信パケットのログ情報が登録される。その際に、異常検知部１２は、抽出した各ログ情報に、グループＩＤのパラメータを付加してグレーリスト１５に登録する。グループＩＤは、同じタイミングでグレーリスト１５に登録されたログ情報をグループ化し、同じタイミングで登録されたログ情報を特定するための識別情報である。異常検知部１２は、Ｓ１４で抽出した全てのログ情報に、同一のグループＩＤを設定してグレーリスト１５に登録する。図５は、グレーリスト１５の一例を示す図であって、図３に示すログ情報にグループＩＤが付加されている。

異常検知部１２は、図４に示すヘルスチェック処理を、サービス提供サーバ３毎に所定のタイミングで定期的に繰り返し行うことで、各サービス提供サーバ３に発生したアプリケーションレベルでの異常を検知する。

図６は、ネットワーク機器１が通信パケットを受け付けたときの処理を示すフローチャートである。

ネットワーク機器１の転送部１１は、ネットワークを介して端末４からいずれかのサービス提供サーバ３宛の通信パケットを受け付けると（Ｓ２１）、受け付けた通信パケットが、ブラックリスト１６に登録されたいずれかの攻撃パターンに一致するか否かを判別し（Ｓ２２）、一致する場合は（Ｓ２２：ＹＥＳ）、当該通信パケットを破棄するなどして、当該通信パケットを宛先とするサービス提供サーバ３に接続（転送）しない（Ｓ２３）。

通信パケットがブラックリスト１６のいずれの攻撃パターンにも一致しない場合（Ｓ２２：ＮＯ）、転送部１１は、グレーリスト１５に登録されたいずれかのログ情報の少なくとも１つのパラメータに一致するか否かを判別する（Ｓ２４）。グレーリスト１５のいずれかのログ情報の少なくとも１つのパラメータに一致しない場合（Ｓ２４：ＮＯ）、転送部１１は、当該通信パケットは、新しい手法の攻撃パターンに一致しない安全な通信パケットであると判別する。そして、転送部１１は、当該通信パケットを指定された宛先のサービス提供サーバ３に転送し（Ｓ２５）、当該通信パケットのログ情報をログ情報記憶部１４に記憶する（Ｓ２６）。

一方、通信パケットがグレーリスト１５のいずれかのログ情報の少なくとも１つのパラメータに一致する場合（Ｓ２４：ＹＥＳ）、転送部１１は、当該通信パケットは、新しい手法の攻撃パターンの可能性のある疑わしい通信パケットであると判別し、当該通信パケットを解析サーバ２に送信する（Ｓ２７）。なお、転送部１１は、通信パケットの宛先を解析サーバ２に変更することで、当該通信パケットを解析サーバ２に送信してもよく、あるいは、ミラーリングにより宛先として指定されたサービス提供サーバ３に通信パケットを送信するとともに、解析サーバ２にも当該通信パケットを送信することとしてもよい。そして、転送部１１は、当該通信パケットのログ情報をログ情報記憶部１４に記憶する（Ｓ２８）。

次に、ネットワーク機器１から通信パケットが送信された解析サーバ２の処理について説明する。解析サーバ２のアプリケーション実行部２１は、ネットワーク機器１から送信された通信パケット受け付けると、サービス提供サーバ３と同じアプリケーションを実行する。このとき、アプリケーション実行部２１は、デバッグモードでアプリケーションを実行することで、詳細な実行ログであるデバッグログをデバッグログ記憶部２４に出力する。

解析部２２は、デバッグログ記憶部２４に出力されたデバッグログを用いて、当該通信パケットが新たな攻撃パターンの通信パケットであるか、あるいは、攻撃とは関係のない安全な通信パケットであるかを判別する。例えば、解析部２２は、アプリケーションが異常終了した場合は、新たな攻撃パターンの通信パケットであると判別し、正常終了した場合は安全な通信パケットであると判別する。

そして、解析部２２は、当該通信パケットが新たな攻撃パターンであると判別した場合、当該通信パケットに基づいてネットワーク機器１のブラックリスト１６に登録する攻撃パターンを生成する。ブラックリスト１６に登録する攻撃パターンとしては、例えば、以下のものなどが挙げられる。

・攻撃パターン1：送信元IPアドレス＝198.51.100.2
・攻撃パターン2：送信元IPアドレス＝2001:DB8::2かつ送信先ポート=587かつコマンド=RSET
そして、通知部２３は、解析部２２が解析した解析結果（正常または異常）と、解析結果が異常の場合はブラックリスト１６に登録する攻撃パターンとを、ネットワーク機器１に送信する。

ネットワーク機器１のリスト更新部１３は、解析サーバ２から解析結果を受信すると、グレーリスト１５およびブラックリスト１６を更新する。すなわち、リスト更新部１３は、正常の解析結果を受信した場合、グレーリスト１５から対応するログ情報を削除する。例えば、リスト更新部１３は、図６のＳ２７で解析サーバ２に送信した通信パケットと、少なくとも１つのパラメータが一致したログ情報をグレーリスト１５から削除する。

また、リスト更新部１３は、異常の解析結果を受信した場合、グレーリスト１５から対応するログ情報を削除するとともに、解析サーバ２から受信した攻撃パターンをブラックリスト１６に登録する。例えば、リスト更新部１３は、図６のＳ２７で解析サーバ２に送信した通信パケットと、少なくとも１つのパラメータが一致したログ情報については、ブラックリスト１６に登録するためグレーリスト１５から削除するとともに、当該削除したログ情報と同一グループＩＤを有する残りのログ情報については安全な通信パケットのログ情報であるとみなし、グレーリスト１５から削除する。そして、リスト更新部１３は、解析サーバ２から受信した攻撃パターンをブラックリスト１６に登録する。

以上説明した本実施形態では、サービス提供サーバ３のダウン（ヘルスチェックに対する無応答）を契機に、ダウン直前までの通信パケットのログ情報を、攻撃の疑いのある通信としてみなし、グレーリスト１５に登録し、グレーリスト１５に記憶されたいずれかのログ情報の少なくとも１つのパラメータに一致する通信パケットを受信した場合は、当該通信パケットを、解析サーバ２にも送信する。これにより、本実施形態では、攻撃対象の機器がユーザ所有の機器であって、ログの入手が難しい場合であっても、未知の攻撃の疑いがある通信パケットを特定し、攻撃パターンの解析に必要な情報を取得することができる。

また、本実施形態では、解析サーバ２での解析結果により、新たな攻撃であると特定された通信パケットについては、ブラックリスト１６に登録することで、次回以降の同様の攻撃を確実に防御することができる。

また、本実施形態では、アプリケーションレイヤでのヘルスチェックを行うことで、サービス提供サーバ３におけるアプリケーションの稼動状態を的確に把握することができる。

また、本実施形態の解析サーバ２は、サービス提供サーバ３と同じアプリケーションをデバッグモードで実行することで詳細なログ情報であるデバッグログを取得し、攻撃パターンの解析に用いることができる。

なお、本発明は上記実施形態に限定されるものではなく、その要旨の範囲内で数々の変形が可能である。

１ ：ネットワーク機器
１１：転送部
１２：異常検知部
１３：リスト更新部
１４：ログ情報記憶部
１５：グレーリスト
１６：ブラックリスト
２ ：解析サーバ
２１：アプリケーション実行部
２２：解析部
２３：通知部
３ ：サービス提供サーバ
４ ：端末

Claims (5)

1. 少なくとも１つの機器をネットワークに接続する通信装置であって、
   前記ネットワークを介して前記機器に送信される通信データのログ情報を記憶するログ情報記憶手段と、
   前記機器に対して状態確認を行うとともに、前記状態確認に対する応答がない機器について、当該機器を宛先とするログ情報のうち、応答がなくなる直前までの一定時間のログ情報を前記ログ情報記憶手段から抽出し、グレーリスト記憶手段に登録する異常検知手段と、
   前記ネットワークを介して前記機器に送信される通信データの一部が、前記グレーリスト記憶手段に記憶されたいずれかのログ情報の少なくとも１つのパラメータに一致する場合、当該通信データを、解析装置に送信する判別手段と、
   前記解析装置から解析結果を受信し、前記解析結果が正常な場合は、前記グレーリスト記憶手段から対応するログ情報を削除し、前記解析結果が正常でない場合は、前記グレーリスト記憶手段から対応するログ情報を削除するとともに、前記解析装置に送信した通信データに基づいて生成された攻撃パターンをブラックリスト記憶手段に登録する更新手段と、を備えること
   を特徴とする通信装置。
2. 請求項１に記載の通信装置であって、
   前記異常検出手段は、アプリケーションレイヤでの状態確認を行うこと
   を特徴とする通信装置。
3. 少なくとも１つの機器をネットワークに接続する通信装置と、解析装置とを備える通信システムであって、
   前記通信装置は、
   前記ネットワークを介して前記機器に送信される通信データのログ情報を記憶するログ情報記憶手段と、
   前記機器に対して状態確認を行うとともに、前記状態確認に対する応答がない機器について、当該機器を宛先とするログ情報のうち、応答がなくなる直前までの一定時間のログ情報を前記ログ情報記憶手段から抽出し、グレーリスト記憶手段に登録する異常検知手段と、
   前記ネットワークを介して前記機器に送信される通信データの一部が、前記グレーリスト記憶手段に記憶されたいずれかのログ情報の少なくとも１つのパラメータに一致する場合、当該通信データを、解析装置に送信する判別手段と、
   前記解析装置から解析結果を受信し、前記解析結果が正常な場合は、前記グレーリスト記憶手段から対応するログ情報を削除し、前記解析結果が正常でない場合は、前記グレーリスト記憶手段から対応するログ情報を削除するとともに、前記解析装置に送信した通信データに基づいて生成された攻撃パターンをブラックリスト記憶手段に登録する更新手段と、を備え、
   前記解析装置は、
   前記通信装置から送信された通信データを、前記機器と同じアプリケーションで実行し、デバッグモードでの実行結果のログ情報を取得すること
   を特徴とする通信システム。
4. 少なくとも１つの機器をネットワークに接続する通信装置が行う通信方法であって、
   前記通信装置は、
   前記ネットワークを介して前記機器に送信される通信データのログ情報を記憶するログ情報記憶部を備え、
   前記機器に対して状態確認を行うとともに、前記状態確認に対する応答がない機器について、当該機器を宛先とするログ情報のうち、応答がなくなる直前までの一定時間のログ情報を前記ログ情報記憶部から抽出し、グレーリスト記憶部に登録する異常検知ステップと、
   前記ネットワークを介して前記機器に送信される通信データの一部が、前記グレーリスト記憶部に記憶されたいずれかのログ情報の少なくとも１つのパラメータに一致する場合、当該通信データを、解析装置に送信する判別ステップと、
   前記解析装置から解析結果を受信し、前記解析結果が正常な場合は、前記グレーリスト記憶部から対応するログ情報を削除し、前記解析結果が正常でない場合は、前記グレーリスト記憶部から対応するログ情報を削除するとともに、前記解析装置に送信した通信データに基づいて生成された攻撃パターンをブラックリスト記憶部に登録する更新ステップと、を行うこと
   を特徴とする通信方法。
5. 通信装置が実行する通信プログラムであって、
   前記通信装置は、前記ネットワークを介して前記機器に送信される通信データのログ情報を記憶するログ情報記憶部を備え、
   前記通信装置に、
   前記機器に対して状態確認を行うとともに、前記状態確認に対する応答がない機器について、当該機器を宛先とするログ情報のうち、応答がなくなる直前までの一定時間のログ情報を前記ログ情報記憶部から抽出し、グレーリスト記憶部に登録する異常検知ステップと、
   前記ネットワークを介して前記機器に送信される通信データの一部が、前記グレーリスト記憶部に記憶されたいずれかのログ情報の少なくとも１つのパラメータに一致する場合、当該通信データを、解析装置に送信する判別ステップと、
   前記解析装置から解析結果を受信し、前記解析結果が正常な場合は、前記グレーリスト記憶部から対応するログ情報を削除し、前記解析結果が正常でない場合は、前記グレーリスト記憶部から対応するログ情報を削除するとともに、前記解析装置に送信した通信データに基づいて生成された攻撃パターンをブラックリスト記憶部に登録する更新ステップと、
   を実行させるための通信プログラム。

Images