JP5792654B2 - セキュリティ監視システムおよびセキュリティ監視方法 - Google Patents

Description

本発明は、特に、プラント設備等の制御に用いられる制御システムに適用される、セキュリティ監視システムおよびセキュリティ監視方法に関する。

特に、プラント設備等の制御に用いられる制御システムでは、制御動作の実行に関する時間的制約や、制御システムを構成する制御装置の処理能力上の制約などから、アンチウイルスソフトなど一般的に用いられているセキュリティ対策を行うことが困難な場合がある。

一方、ネットワーク上において収集した通信パケットから、異常な通信動作を検知する方法として、特許文献１には、トラヒックデータの統計的な解析に基づきネットワークの異常を検知する方法が開示されている。また、特許文献２には、トラヒックルールに定義されている内容とは異なるトラフィックフローを検出することにより、ネットワークの異常を検知する方法が開示されている。

特開２００９−０４９４９０号公報 特開２００８−０８５８１９号公報

しかしながら、特許文献１に記載の統計的な解析による異常検知方法のみを制御システムのセキュリティ監視に適用した場合、異常として検知された通信が真に不正アクセスや不正プログラムの活動に起因するものか判別できない場合がある。例えば、保守点検作業等のために行われる一時的あるいは局所的な通信も異常として誤検知されてしまう可能性がある。仮に、誤検知に基づいて当該通信の遮断や制御システムの緊急停止等の対応をとった場合、制御システムの正常な稼動を妨げてしまう。
他方、ルール定義に基づく異常検知方法のみをセキュリティ監視に適用した場合、適用対象となる制御システムの規模が大きくなるに従い、定義すべきルールセットの量も増大することになるため、セキュリティ確立の負担が大きくなる。また、ソフトウェアの脆弱性を利用するタイプの不正アクセスや成りすましによる不正アクセスには、正規のプロトコルに則って行われるものもあり、ルールとの照合では検知できないものも存在する。

このような背景に鑑みて本発明がなされたのであり、本発明は、不正アクセスや不正プログラム等を検知した場合の迅速な対応を可能にしつつ、誤検知により制御システムの正常稼動を妨げることがない、セキュリティ監視システムおよびセキュリティ監視方法を提供することを課題とする。

前記した課題を解決するため、本発明に係るセキュリティ監視システムは、制御システムを構成するセグメント内の通信パケットを取得し、取得した通信パケットのうち、当該通信パケットに含まれる特徴値が通常とは異なる通信パケットを抽出して通信イベント情報を生成する。そして、セキュリティ監視システムは、その通信イベント情報を、不正アクセス等の特徴を示すイベントパターンと照合することにより、通信イベント情報として抽出された通信パケットの制御システムへの影響度を予測する。

本発明によれば、不正アクセスや不正プログラム等を検知した場合の迅速な対応を可能にしつつ、誤検知により制御システムの正常稼動を妨げることがない、セキュリティ監視システムおよびセキュリティ監視方法を提供することができる。

本発明の第１の実施形態に係るセキュリティ監視システムの全体構成を示す図である。 本発明の第１の実施形態に係るイベント抽出装置の構成例を示す機能ブロック図である。 本発明の第１の実施形態に係る通信イベント情報のデータ構成例を示す図である。 本発明の第１の実施形態に係る監視装置の構成例を示す機能ブロック図である。 本発明の第１の実施形態に係るイベントパターンの例を示す図である。 本発明の第１の実施形態に係る対応指令装置の構成例を示す機能ブロック図である。 本発明の第１の実施形態に係るイベント抽出装置が行う学習値情報生成処理の流れを示すフローチャートである。 本発明の第１の実施形態に係るイベント抽出装置が行う通信イベント情報生成処理の流れを示すフローチャートである。 本発明の第１の実施形態に係る監視装置が行う影響度レベル決定処理の流れを示すフローチャートである。 本発明の第２の実施形態に係るセキュリティ監視システムの全体構成を示す図である。 本発明の第２の実施形態に係るイベント抽出装置の構成例を示す機能ブロック図である。 本発明の第２の実施形態に係る通信頻度情報のデータ構成例を示す図である。 本発明の第２の実施形態に係る監視装置の構成例を示す機能ブロック図である。 本発明の第２の実施形態に係る通信頻度情報（全体）のデータ構成例を示す図である。 本発明の第２の実施形態に係る装置相関マップのデータ構成例を説明するための図である。 本発明の第２の実施形態に係る予測影響範囲情報生成部が行う予測影響範囲情報の生成処理を説明するための図である。 本発明の第２の実施形態に係る対応指令装置の構成例を示す機能ブロック図である。

次に、本発明を実施するための形態（以下、「実施形態」とよぶ）について、適宜図面を参照しながら詳細に説明する。

≪第１の実施形態≫
まず、本発明の第１の実施形態に係るセキュリティ監視システム１００について説明する。
本発明のセキュリティ監視システム１００は、監視対象となる制御システム１と接続され、制御システム１内で送受信される通信パケットを取得し、不正アクセスや不正プログラム等を検知した場合に、その不正アクセスや不正プログラムによる影響度に応じた対応指令を、制御システム１に送信する処理を行う。

＜システムの全体構成＞
図１は、本発明の第１の実施形態に係るセキュリティ監視システム１００の全体構成を示す図である。
図１に示すように、セキュリティ監視システム１００は、制御システム１を構成する各セグメント３それぞれと、相互に接続される。なお、ここでセグメント３とは、１台以上の制御装置２で構成される制御ネットワークを意味する。そして、このセグメント３は、１つ以上で構成され、必要に応じて各セグメント３同士が接続される。また、制御装置２は、例えば、コントローラやＰＬＣ（Programmable Logic Controller）など実際の制御動作を行う装置に加え、サーバや、操作端末、開発装置など制御システム１を構成する他の装置を含むものである。

セキュリティ監視システム１００は、図１に示すように、制御システム１のセグメント３（＃１〜＃ｎ）それぞれに対応して設けられた各イベント抽出装置１０（＃１〜＃ｎ）と、監視装置２０と、対応指令装置３０とを含んで構成される。
イベント抽出装置（イベント抽出手段）１０は、自身と接続された制御システム１のセグメント３から、通信パケットを受信し、通常送受信される通信パケットと異なる通信パケットを抽出し、通信イベント情報１５０として監視装置２０に送信する。監視装置（監視手段）２０は、受信した通信イベント情報１５０に基づき、その通信パケットによる不正アクセス等による制御システム１への影響度を予測し、予測影響度情報２５０として、対応指令装置３０に送信する。対応指令装置（対応指令手段）３０は、予測影響度情報２５０を受信すると、その影響度レベルに応じて制御システム１が行うべき対応（制御システム１の全停止や、セグメント３内の制御装置２の停止等）を対応指令情報３５０として、制御システム１に送信する。なお、各装置が行う処理や送受信する各情報の詳細については、後記する。
次に、セキュリティ監視システム１００における各装置の具体的な構成について説明する。

（イベント抽出装置）
図２は、本発明の第１の実施形態に係るイベント抽出装置（イベント抽出手段）１０の構成例を示す機能ブロック図である。イベント抽出装置１０は、通信回線を介して、制御システム１内の１つのセグメント３に接続される。また、イベント抽出装置１０は、セキュリティ監視システム１００内の監視装置２０に接続される。
このイベント抽出装置１０は、図２に示すように、制御部１１と、入出力部１２と、メモリ部１３と、記憶部１４とを含んで構成され、セグメント３から通信パケットを受信し、通常送受信される通信パケットと異なる通信パケットを抽出し、通信イベント情報１５０として監視装置２０に送信する。

制御部１１は、イベント抽出装置１０が行う処理の全般を司り、パケット受信部１１１と、学習値情報生成部１１２と、通信イベント抽出部１１３と、通信イベント情報生成部１１４と、出力処理部１１５とを含んで構成される。

パケット受信部１１１は、入出力部１２を介して、セグメント３から通信パケットを受信する。

学習値情報生成部１１２は、パケット受信部１１１から通信パケットを取得し、取得した通信パケットに含まれる共通の情報である特徴値、例えば、宛先アドレス、発信元アドレス、データ長、プロトコル種別等を抽出し、通常時のサンプルデータを生成する。そして、学習値情報生成部１１２は、生成した通常時のサンプルデータを所定の学習アルゴリズムで処理し、その結果を学習値情報１１０として記憶部１４に記憶する。所定の学習アルゴリズムとしては、例えば、サポート・ベクタ・マシンやベクトル量子化クラスタリング等を利用する。
この学習値情報１１０の生成処理は、セキュリティ監視システム１００による、制御システム１の不正アクセスや不正プログラム等の監視を実行する前に、予め実行しておく。例えば、制御システム１の本格運用前の試験運用等において、正常運転時の通信傾向が取得できる段階で行われる。学習値情報生成部１１２は、この学習値情報１１０の生成処理により、制御システム１の正常な動作中における通信パケットの特徴値を学習しておく。なお、この学習値情報１１０の生成処理（学習値情報生成処理）の詳細は、後記する図７において説明する。

通信イベント抽出部１１３は、パケット受信部１１１から通信パケットを取得し、取得した通信パケットそれぞれに共通して付される情報である特徴値を抽出して、学習値情報１１０に基づき設定された特徴値判定情報１２０と比較することにより通常とは異なるか否かを判定する。そして、通信イベント抽出部１１３は、通常とは異なると判定された特徴値を含む通信パケットを抽出する。特徴値としては、例えば、宛先アドレス、発信元アドレス、データ長、プロトコル種別等を用いる。

この特徴値判定情報１２０には、学習値情報生成部１１２が生成した学習値情報１１０に基づき、セキュリティ監視システム１００の管理者等により、通常とは異なる通信パケットであると判定するための特徴値毎の設定条件が、予め（不正アクセス等の監視の実行前に）設定される。そして、学習値情報生成部１１２が、その特徴値判定情報１２０を、記憶部１４に記憶しておく。

そして、通信イベント抽出部１１３は、学習値情報１１０に基づき設定された特徴値判定情報１２０に含まれる特徴値毎の設定条件に基づき、通信パケットから抽出した各特徴値が通常とは異なるか否かの判定を行う。

例えば、通信イベント抽出部１１３は、特徴値が、宛先アドレスである場合、通常、同一セグメント３内で用いるアドレスは、予め範囲が設定されているため、特徴値判定情報１２０の設定条件として、宛先アドレスが「１９２．１６８．ｘｘ．ｙｙ」内に該当する場合（例えば、「１９２．１６８．１０．１」）は、通常の宛先アドレスと判定する。一方、取得した通信パケットにおいて、このアドレス範囲以外に設定された宛先アドレスである場合に、通信イベント抽出部１１３は、設定条件に基づき、特徴値（宛先アドレス）が通常とは異なると判定する。
なお、通信イベント抽出部１１３は、特徴値が発信元アドレスである場合についても、同様に、設定条件に基づき、アドレス範囲内に含まれるか否かで、特徴値（発信元アドレス）が通常とは異なるか否かを判定する。

また、通信イベント抽出部１１３は、特徴値がデータ長である場合、学習値情報１１０に基づき、予め通常の通信パケットのデータ長を把握しておき、特徴値判定情報１２０の設定条件として、所定の閾値を超える長さのデータ長の通信パケットや、所定の閾値より短いデータ長の通信パケットについて、通常とは異なる特徴値（データ長）であると判定する。

通信イベント抽出部１１３は、特徴値がプロトコル種別である場合、学習値情報１１０に基づき、通常使用する通信パケットのプロトコル種別（例えば、ＵＤＰ（User Datagram Protocol）、ＴＣＰ（Transmission Control Protocol））を特徴値判定情報１２０の設定条件とし、この設定条件で登録された通常使用する通信パケットのプロトコルとは異なるプロトコル（たとえば、ＦＴＰ（File Transfer Protocol）、ＴＥＬＮＥＴ）等の場合に、通常とは異なる特徴値（プロトコル種別）であると判定する。

通信イベント情報生成部１１４は、通信イベント抽出部１１３が抽出した通常とは異なる特徴値を含む通信パケットについての通信イベント情報１５０を生成する。そして、通信イベント情報生成部１１４は、出力処理部１１５を介して、監視装置２０に、生成した通信イベント情報１５０を送信する。

図３は、本発明の第１の実施形態に係る通信イベント情報１５０のデータ構成例を示す図である。
図３に示すように、通信イベント情報１５０は、ヘッダ１５１と、管理情報１５２と、特徴値１５３〜１５６とを含んで構成される。
ヘッダ１５１には、この情報が、通信イベント情報１５０であることを示す情報が記述される。
管理情報１５２には、イベントＩＤ（Identification）、生成元ＩＤ、生成時刻が、通信イベント情報生成部１１４により付される。ここで、イベントＩＤは、その通信イベントに固有なＩＤである。生成元ＩＤは、その通信イベント情報１５０を生成したイベント抽出装置１０に固有なＩＤである。生成時刻は、通信イベント情報生成部１１４により、その通信イベント情報１５０が生成された時刻を示す。
特徴値１５３〜１５６には、通信イベント抽出部１１３が通信パケットから抽出した各特徴値の情報として、例えば、特徴値「１」（宛先アドレス）１５３、特徴値「２」（発信元アドレス）１５４、特徴値「３」（データ長）１５５、特徴値「４」（プロトコル種別）１５６が記述される。
このように、通信イベント情報１５０には、通信イベント抽出部１１３が、抽出して判定を行った各特徴値の情報が付される。なお、通信イベント情報生成部１１４は、通常とは異なる特徴値を含む通信パケットについての通信イベント情報１５０を生成するので、各特徴値の中には、少なくとも１つ、通常とは異なると判定された特徴値が含まれるものとなる。

図２に戻り、出力処理部１１５は、通信イベント情報生成部１１４が生成した通信イベント情報１５０（図３参照）を、入出力部１２を介して、監視装置２０へ出力する処理を行う。

入出力部１２は、他の装置との間で情報の送受信を行うための通信インタフェースと、キーボード等の入力装置や、モニタ等の出力装置との間で情報の送受信を行うための入出力インタフェースとから構成される。

メモリ部１３は、ＲＡＭ（Random Access Memory）等の一次記憶装置からなり、制御部１１の処理に必要な情報を一時的に記憶する。

記憶部１４は、ＨＤＤ（Hard Dick Drive）、フラッシュメモリ等の記憶媒体で構成される。そして、この記憶部１４には、前記した学習値情報１１０や特徴値判定情報１２０が記憶される。この特徴値判定情報１２０には、前記したように、通信イベント抽出部１１３が特徴値毎に通常とは異なるか否かを判定するための設定条件が、学習値情報１１０に基づき管理者等により設定される。

なお、制御部１１は、このイベント抽出装置１０が備える不図示のＣＰＵ（Central Processing Unit）によるプログラム実行処理や、専用回路等により実現される。そして、この制御部１１の機能を、プログラム実行処理により実現する場合、記憶部１４には、ＣＰＵにより読み出され実行されるプログラムが格納される。

（監視装置）
図４は、本発明の第１の実施形態に係る監視装置（監視手段）２０の構成例を示す機能ブロック図である。監視装置２０は、通信回線を介して、各イベント抽出装置１０（＃１〜＃ｎ）、および、対応指令装置３０に接続される。
この監視装置２０は、図４に示すように、制御部２１と、入出力部２２と、メモリ部２３と、記憶部２４と、イベントバッファ２５とを含んで構成され、イベント抽出装置１０から受信した通信イベント情報１５０に基づき、その通信パケットの不正アクセス等による制御システム１への影響度を予測し、予測影響度情報２５０として、対応指令装置３０に送信する。

制御部２１は、監視装置２０が行う処理の全般を司り、通信イベント情報受信部２１１と、影響度予測処理部２１２と、出力処理部２１３とを含んで構成される。

通信イベント情報受信部２１１は、入出力部２２を介して、通信イベント情報１５０を取得し、イベントバッファ２５に保存する。
ここで、イベントバッファ２５は、通信イベント情報１５０を保存する記憶手段である。そしてこのイベントバッファ２５に入力された通信イベント情報１５０は、後記する影響度予測処理における利用を簡単にするため、例えば、その出力されたイベント抽出装置１０（＃１〜＃ｎ）毎に入力時刻順に格納され、入力履歴として保存される。
なお、通信イベント情報受信部２１１は、通信イベント情報１５０がイベントバッファ２５に保存されてから、所定の時間以内に、新たな通信イベント情報１５０が入力されない場合、保存した通信イベント情報１５０をイベントバッファから削除するようにしてもよい。

影響度予測処理部２１２は、以下に説明する影響度予測処理を行い、その結果として生成した予測影響度情報２５０を、出力処理部２１３を介して、対応指令装置３０に送信する。
具体的に説明すると、影響度予測処理部２１２は、通信イベント情報受信部２１１が、通信イベント情報１５０をイベントバッファ２５に保存するのを監視している。そして、影響度予測処理部２１２は、通信イベント情報１５０のイベントバッファ２５への入力を検知すると、その入力された通信イベント情報１５０を含む入力履歴を取得する。なお、影響度予測処理部２１２は、入力された通信イベント情報１５０に管理情報１５２として付された生成元ＩＤを参照し、生成元ＩＤが同じイベント抽出装置１０、つまり、同じセグメント３からの通信パケットにより生成された通信イベント情報１５０の入力履歴を取得する。

次に、影響度予測処理部２１２は、取得した入力履歴と、記憶部２４内のイベントパターンＤＢ（DataBase）２４１に格納された各イベントパターン２００とを照合し、その類似度が所定の閾値を超えている場合に、類似するイベントパターン２００が検出されたと評価する。ここで、イベントパターン２００とは、一連の不正な通信パケットを送信して正常な処理を妨げる不正アクセス毎に、その一連の不正な通信パケットを構成するそれぞれの通信パケットを特徴付ける条件を、一連の通信パケットに対応させて組み合わせた情報を意味する。具体的には、以下の図５において説明する。

図５は、本発明の第１の実施形態に係るイベントパターン２００の例を示す図である。図５（ａ）は、複数の通信パケットによる処理手順を踏んで攻撃してくる形式の不正アクセスを示すイベントパターン２００（２００（Ａ））の例である。図５（ｂ）は、大量の無意味なデータを送りつけてサーバに負荷をかける、いわゆるＤｏＳ（Denial of Service）攻撃の形式の不正アクセスを示すイベントパターン２００（２００（Ｂ））の例である。

図５（ａ）のイベントパターン２００（Ａ）は、まず、１つ目の通信パケットとして、イベントパターン２００（Ａ）の１つ目に示した構成要素であるイベントパターン（Ａ−１）の特徴を持つ通信パケットを送り、２つ目の通信パケットとして、イベントパターン（Ａ−２）の特徴を持つ通信パケット送り、というように、一般に複数の通信パケットを送りつけることにより不正アクセス等を実現する。そこで、この不正アクセスのイベントパターン２００（Ａ）で送られる、各通信パケットの特徴値（例えば、宛先アドレス、発信元アドレス、データ長、プロトコル種別）を、その送信順に設定された条件と照合する。ここでは、特徴値の条件として、例えば、特徴値条件「１」（宛先アドレス）、特徴値条件「２」（発信元アドレス）、特徴値条件「３」（データ長）、特徴値条件「４」（プロトコル種別）が設定される。なお、イベントパターン２００には、特徴値条件以外にも、以下のような条件を設定することができる。例えば、この形式のイベントパターン２００（Ａ）には、同種の通信パケットを繰り返し送信する処理を含む場合があるため、それに対応し、リピート回数条件２０１を設定することもできる。また、２つ目以降の通信パケットについては、１つ目の通信パケットの送信からの時間（送信間隔）に特徴を有するものもあるため、それに対応し、タイムラグ条件２０２を設定するようにすることもできる。

なお、特徴値条件には、例えば、宛先アドレス、発信元アドレス、データ長、プロトコル種別について、そのイベントパターン２００に示される不正アクセス等の通信パケットで利用される各特徴値の範囲が所定の条件として設定される。
例えば、あるイベントパターン２００（Ａ）の１つ目の通信パケットに対応するイベントパターン（Ａ−１）において、不正アクセスや不正プログラムによる通信パケットであると判定するための条件を、特徴値条件「１」（宛先アドレス）として、通常利用される宛先アドレスである「１９２．１６８．ｘｘ．ｙｙ」の範囲外と設定する。また、特徴値条件「２」（送信元アドレス）についても、同様に、「１９２．１６８．ｘｘ．ｙｙ」の範囲外と設定する。特徴値条件「３」（データ長）については、その不正アクセス等の通信パケットの特徴に基づき、例えば、所定の閾値を超える長さのデータ長を設定する。特徴値条件「４」（プロトコル種別）については、その不正アクセス等で用いられるプロトコル種別（複数設定可）を設定する。

そして、影響度予測処理部２１２は、入力履歴に示される順に、新たに入力された通信イベント情報１５０を、イベントパターン２００の対応する構成要素（イベントパターン（Ａ−１）〜（Ａ−ｍ））と照合する。例えば、影響度予測処理部２１２は、１つ目に入力された通信イベント情報１５０を、イベントパターン（Ａ−１）と照合する。そして、２つ目に入力された通信イベント情報１５０を、イベントパターン（Ａ−２）と照合するようにする。なお、ここで影響度予測処理部２１２が行う照合は、イベントパターン（Ａ−１）〜（Ａ−ｍ）それぞれの中で設定されたすべての条件を満たした場合に、そのイベントパターン（Ａ−１）〜（Ａ−ｍ）各々について照合結果が一致したものと判定する。
そして、設定されているイベントパターン（Ａ−１）〜（Ａ−ｍ）の照合を終えると、影響度予測処理部２１２は、ｍ個のうち、一致したものがいくつあるかを示す類似度を算出する。例えば、照合したイベントパターン（Ａ−１）〜（Ａ−ｍ）において、通信イベント情報１５０との照合結果がすべて一致したと判定された場合に類似度を「１」とし、半分の通信イベント情報１５０の照合結果が一致したと判定された場合に、類似度が「０．５」となるようにしてもよい。そして、影響度予測処理部２１２は、算出した類似度が所定の閾値を超える場合に、そのイベントパターン２００（Ａ）による不正アクセスと評価する。
なお、所定の閾値を超えるイベントパターン２００が複数検出された場合に、影響度予測処理部２１２は、その検出されたイベントパターン２００の中で、最も類似度が高いイベントパターン２００を採用するようにしてもよい。

図５（ｂ）のイベントパターン２００（Ｂ）は、ＤｏＳ攻撃のような同種の通信パケットを対象に送りつける場合のイベントパターン２００の条件を示しており、特徴値条件の他、リピート回数条件２０１が設定される。
影響度予測処理部２１２は、イベントパターン２００（Ｂ）の各特長値条件に合致する通信イベント情報１５０がリピート回数条件２０１に設定される回数を超えると、イベントパターン２００（Ｂ）によるＤｏｓ攻撃と評価する。

続いて、影響度予測処理部２１２は、類似するイベントパターン２００が検出された場合に、記憶部２４に記憶された影響度レベル情報２４２を参照し、そのイベントパターン２００の影響度レベルを決定する。ここで、影響度レベルは、制御システム１に与える影響の度合を示すものであり、この影響度レベル情報２４２には、不正アクセスや不正プログラム等を示すイベントパターン２００に対応付けて、制御システム１に対する影響（危険度）が高い順に、例えば「４」〜「１」の４段階の影響度レベルが設定される。なお、影響度予測処理部２１２は、類似するイベントパターン２００が検出されなかった場合でも、最も影響度が低い影響度レベルとして決定するようにしてもよい。また、影響度予測処理部２１２は、影響度レベル情報２４２を参照して得た影響度レベルに、類似度を乗じたものを、そのイベントパターンの影響度レベルとして採用するようにしてもよい。
そして、影響度予測処理部２１２は、その影響度レベルの情報を含めた予測影響度情報２５０を生成し、出力処理部２１３を介して、対応指令装置３０に送信する。

出力処理部２１３は、影響度予測処理部２１２が生成した予測影響度情報２５０を、入出力部２２を介して、対応指令装置３０へ出力する処理を行う。

入出力部２２は、他の装置との間で情報の送受信を行うための通信インタフェースと、キーボード等の入力装置や、モニタ等の出力装置との間で情報の送受信を行うための入出力インタフェースとから構成される。

メモリ部２３は、ＲＡＭ等の一次記憶装置からなり、制御部２１の処理に必要な情報を一時的に記憶する。

記憶部２４は、ＨＤＤ、フラッシュメモリ等の記憶媒体で構成される。そして、この記憶部２４には、前記した各イベントパターン２００（図５参照）が格納されるイベントパターンＤＢ２４１と、各イベントパターン２００に対応する影響度レベルが設定された影響度レベル情報２４２とが記憶される。

イベントバッファ２５は、ＲＡＭ等の記憶媒体で構成され、前記した通信イベント情報１５０が、イベント抽出装置１０毎に入力履歴として保存される。

なお、制御部２１は、この監視装置２０が備える不図示のＣＰＵによるプログラム実行処理や、専用回路等により実現される。そして、制御部２１の機能を、プログラム実行処理により実現する場合、記憶部２４には、ＣＰＵにより読み出され実行されるプログラムが格納される。

（対応指令装置）
図６は、本発明の第１の実施形態に係る対応指令装置（対応指令手段）３０の構成例を示す機能ブロック図である。対応指令装置３０は、通信回線を介して、監視装置２０、および、制御システム１内の各制御装置２に接続される。

この対応指令装置３０は、図６に示すように、制御部３１と、入出力部３２と、メモリ部３３と、記憶部３４とを含んで構成され、監視装置２０から受信した予測影響度情報２５０に付された影響度レベルに応じて、制御システム１の各制御装置２が行うべき対応を対応指令情報３５０として、制御システム１に送信する。

制御部３１は、対応指令装置３０が行う処理の全般を司り、予測影響度情報受信部３１１と、対応指令情報生成部３１２と、出力処理部３１３とを含んで構成される。

予測影響度情報受信部３１１は、入出力部３３を介して、監視装置２０から予測影響度情報２５０を受信する。

対応指令情報生成部３１２は、予測影響度情報受信部３１１から予測影響度情報２５０を取得する。そして、対応指令情報生成部３１２は、その予測影響度情報２５０に付された影響度レベルに基づき、記憶部３４内の影響度レベル・対応指令変換情報３００を参照し、対応指令を決定する。

ここで、影響度レベル・対応指令変換情報３００には、図６に示すように、影響度レベルに対応して、その対応指令が予め管理者等により設定される。
例えば、影響度レベル「４」の場合は、非常に危険性が高い不正アクセス等として、制御システム１の全停止が指令される。影響度レベル「３」の場合は、該当セグメント３の停止（該当セグメント３内のすべての制御装置２の停止）が指令される。影響度レベル「２」の場合は、該当制御装置２の停止が指令される。そして、影響度レベル「１」の場合は、制御システム１に対し、警報情報を送信する指令がされる。
対応指令情報生成部３１２は、この影響度レベル・対応指令変換情報３００を参照して、該当するセグメント３や制御装置２を決定し、その対応指令に基づく対応指令情報３５０を生成する。

出力処理部３１３は、対応指令情報生成部３１２が生成した対応指令情報３５０を、入出力部３２を介して、制御システム１内の該当する制御装置２へ出力する処理を行う。このとき、出力処理部３１３は、対応指令情報３５０を、制御システム１のすべての制御装置２に対してブロードキャストすることもできるし、そのセグメント３内の制御装置２全部や、セグメント３内の一部の制御装置２に対して、その不正アクセスや不正プログラムが制御システム１内に及ぼす影響として、例えば、種別や機能、その他の属性を考慮し、対応指令の内容をカスタマイズした上で、出力するようにしてもよい。その場合、監視装置２０が送信する予測影響度情報２５０にイベントパターン２００に固有なＩＤを付して送信させ、対応指令装置３０の出力処理部３１３が、そのイベントパターン２００に示される不正アクセス等の特性に基づき、対応指令情報３５０の送信先や内容をカスタマイズするようにしてもよい。
また、出力処理部３１３は、あるセグメント３内の制御装置２に対して、通信制限（受信のみで送信不可）をするような対応指令の対応指令情報３５０を送信するようにしてもよい。

入出力部３２は、他の装置との間で情報の送受信を行うための通信インタフェースと、キーボード等の入力装置や、モニタ等の出力装置との間で情報の送受信を行うための入出力インタフェースとから構成される。

メモリ部３３は、ＲＡＭ等の一次記憶装置からなり、制御部３１の処理に必要な情報を一時的に記憶する。

記憶部３４は、ＨＤＤ、フラッシュメモリ等の記憶媒体で構成される。そして、この記憶部２４には、前記した影響度レベル・対応指令変換情報３００が記憶される。

なお、制御部３１は、この対応指令装置３０が備える不図示のＣＰＵによるプログラム実行処理や、専用回路等により実現される。そして、制御部３１の機能を、プログラム実行処理により実現する場合、記憶部３４には、ＣＰＵにより読み出され実行されるプログラムが格納される。

＜処理の方法＞
次に、本発明の第１の実施形態に係るセキュリティ監視システム１００が行う処理の流れについて、具体的に説明する。
まず、セキュリティ監視システム１００の全体の処理の流れを説明し、その後に、セキュリティ監視システム１００を構成するイベント抽出装置１０が行う学習値情報生成処理および通信イベント情報生成処理、監視装置２０が行う影響度レベル決定処理について、具体的に説明する。

（全体の処理の流れ）
全体の処理の流れを主に図１を参照して説明する。セキュリティ監視システム１００の各イベント抽出装置１０は、図１に示すように、制御システム１の対応するセグメント３から通信パケットを受信する。そして、イベント抽出装置１０は、予め生成しておいた学習値情報１１０（図２参照）を用いて設定された特徴値判定情報１２０に基づき、受信した通信パケットの特徴値が通常とは異なる通信パケットを抽出し、通信イベント情報１５０（図３参照）を生成（通信イベント情報生成処理）して、監視装置２０に送信する（図１，図２参照）。
次に、監視装置２０は、受信した通信イベント情報１５０を含む入力履歴について、イベントパターンＤＢ２４１（図４参照）に記憶された各イベントパターン２００（図５参照）と照合する。そして、監視装置２０は、類似するイベントパターンが検出されると、そのイベントパターン２００の制御システム１への影響度を、影響度レベル情報（図４参照）を参照して決定し（影響度レベル決定処理）、その影響度レベルの情報を付した予測影響度情報２５０を生成して、対応指令装置３０に送信する（図１，図４参照）。
次に、対応指令装置３０は、予測影響度情報２５０を受信すると、影響度レベル・対応指令変換情報３００（図６参照）を参照し、その影響度レベルに応じて制御システム１内において行うべき対応（制御装置２の停止等）を対応指令情報３５０として、制御システム１へ送信する（図１，図６参照）。

（イベント抽出装置の学習値情報生成処理）
次に、イベント抽出装置１０の学習値情報生成部１１２（図２参照）が行う学習値情報生成処理について、図７を参照して説明する。図７は、本発明の第１の実施形態に係るイベント抽出装置１０が行う学習値情報生成処理の流れを示すフローチャートである。
なお、学習値情報生成部１１２は、セキュリティ監視システム１００が制御システム１の不正アクセス等の監視を実行する前に、この学習値情報生成処理を予め実行しておくことにより、学習値情報１１０を生成しておく。そして、この生成された学習値情報１１０に基づき、管理者等が、特徴値判定情報１２０を設定するものである。

図７に示すように、まず、イベント抽出装置１０の学習値情報生成部１１２は、セグメント３上の通信パケットを受信したパケット受信部１１１を介して、その通信パケットを取得したか否かを判定する（ステップＳ１０）。ここで、学習値情報生成部１１２は、通信パケットを取得していなければ（ステップＳ１０→Ｎｏ）、取得するまで待つ。一方、学習値情報生成部１１２は、通信パケットを取得した場合には（ステップＳ１０→Ｙｅｓ）、次のステップＳ１１に進む。なお、この通信パケットの取得は、例えば、制御システム１の本格運用前等において行われ、通常運転時を模擬した通信を行うことにより、正常な動作が行われている状態での通信パケットを収集する。

次に、学習値情報生成部１１２は、取得した通信パケットに含まれる特徴値を抽出する（ステップＳ１１）。この特徴値は、例えば、宛先アドレス、発信元アドレス、データ長、プロトコル種別等の情報である。

続いて、学習値情報生成部１１２は、抽出した各特徴値の情報を所定の学習アルゴリズムで処理し、学習値情報１１０を生成し（ステップＳ１２）、記憶部１４に記憶する。学習アルゴリズムとしては、例えば、サポート・ベクタ・マシンやベクトル量子化クラスタリング等を用いる。

そして、学習値情報生成部１１２は、学習終了か否かを判定する（ステップＳ１３）。この学習終了か否かの判定は、制御システム１における所定の運転モードについてデータを得るのに充分な通信パケットを処理したか否かで判定する。例えば、学習値情報生成部１１２は、処理した通信パケットの数が、所定の閾値を超えた場合に、ある運転モードに関連する通信パケットのデータを充分処理したと判定してもよいし、ある運転モードの一連の処理の開始から終了までの通信パケットを処理することにより充分処理したと判定してもよいし、一連の処理を決められた回数繰り返したときに、所定の通信パケットを充分処理したと判定してもよく、その制御システム１の運転モードに関して、通常時に送受信される通信パケットの情報を充分に収集したと認められるだけの判定条件を管理者が設定しておく。
そして、学習値情報生成部１１２は、学習終了でないと判定した場合には（ステップＳ１３→Ｎｏ）、ステップＳ１０に戻り、処理を続ける。一方、学習値情報生成部１１２は、学習終了と判定した場合には（ステップＳ１３→Ｙｅｓ）、学習値情報生成処理を終える。

（イベント抽出装置の通信イベント情報生成処理）
次に、イベント抽出装置１０の通信イベント抽出部１１３および通信イベント情報生成部１１４（図２参照）が行う通信イベント情報生成処理について、図８を参照して説明する。図８は、本発明の第１の実施形態に係るイベント抽出装置１０が行う通信イベント情報生成処理の流れを示すフローチャートである。
なお、この通信イベント情報生成処理は、制御システム１の稼動中（本格運転時における不正アクセス等の監視中）に行われる処理である。

図８に示すようにまず、イベント抽出装置１０の通信イベント抽出部１１３は、セグメント３上の通信パケットを受信したパケット受信部１１１を介して、その通信パケットを取得したか否かを判定する（ステップＳ２０）。ここで、通信イベント抽出部１１３は、通信パケットを取得していなければ（ステップＳ２０→Ｎｏ）、取得するまで待つ。一方、通信イベント抽出部１１３は、通信パケットを取得した場合には（ステップＳ２０→Ｙｅｓ）、次のステップＳ２１に進む。

次に、通信イベント抽出部１１３は、取得した通信パケットに含まれる特徴値を抽出する（ステップＳ２１）。この特徴値は、学習値情報生成部１１２が学習値情報生成処理において通信パケットから抽出した特徴値と同様の、例えば、宛先アドレス、発信元アドレス、データ長、プロトコル種別等の情報である。

続いて、通信イベント抽出部１１３は、抽出した特徴値それぞれについて、その特徴値が、通常とは異なるか否かを、記憶部１４内の特徴値判定情報１２０に記憶された各特徴値についての設定条件を満たすか否かにより判定する（ステップＳ２２）。この設定条件は、前記したように、特徴値が宛先アドレスや発信元アドレスである場合は、予め設定された通常使用するアドレス範囲内であれば、通常使用するアドレスと判定し、そのアドレス範囲内でなければ、通常とは異なるアドレスと判定する。また、特徴値が、データ長の場合は、データ長の長さが所定の閾値を超える、または、所定の閾値より短いかで、通常とは異なるかを判定する。また、特徴値が、プロトコル種別である場合は、設定された通常使用するプロトコルと異なるプロトコルが使用されていた場合に、通常とは異なるプロトコルと判定する。

そして、通信イベント抽出部１１３は、判定した特徴値のすべてが通常の範囲と判定された否かを判断する（ステップＳ２３）。そして、すべての特徴値が通常の範囲と判定された場合には（ステップＳ２３→Ｙｅｓ）、通信イベント情報生成処理を終了する。
一方、通信イベント抽出部１１３は、判定した特徴値のうち、少なくとも１つが通常とは異なると判定した場合には（ステップＳ２３→Ｎｏ）、その通信パケットの各特徴値の情報を、通信イベント情報生成部１１４に出力し、次のステップＳ２４へ進む。

ステップＳ２４において、通信イベント情報生成部１１４は、通信イベント抽出部１１３から取得した通信パケットの各特徴値を含む通信イベント情報１５０（図３）を生成する。そして、通信イベント情報生成部１１４は、その生成した通信イベント情報１５０を、出力処理部１１５を介して、監視装置２０に送信し、通信イベント情報生成処理を終了する。

このようにすることで、イベント抽出装置１０は、セグメント３から受信した通信パケットについて、通常とは異なる特徴値を少なくとも１つ含む通信パケットについて、通信イベント情報１５０を生成し、監視装置２０に送信することができる。

（監視装置の影響度レベル決定処理）
次に、監視装置２０の影響度予測処理部２１２（図４参照）が行う影響度レベル決定処理について、図９を参照して説明する。図９は、本発明の第１の実施形態に係る監視装置２０が行う影響度レベル決定処理の流れを示すフローチャートである。

図９に示すように、まず、監視装置２０の影響度予測処理部２１２は、通信イベント情報受信部２１１（図４参照）が、通信イベント情報１５０をイベントバッファ２５に保存する処理を監視することにより、通信イベント情報１５０を受信したか否かを判定する（ステップＳ３０）。
ここで、影響度予測処理部２１２は、通信イベント情報受信部２１１が、通信イベント情報１５０を受信していない場合には（ステップＳ３０→Ｎｏ）、通信イベント情報１５０が受信されるまで待つ。
一方、影響度予測処理部２１２は、通信イベント情報受信部２１１が、通信イベント情報１５０を受信した場合には（ステップＳ３０→Ｙｅｓ）、次のステップＳ３１へ進む。

ステップＳ３１において、影響度予測処理部２１２は、ステップＳ３０において、通信イベント情報受信部２１１が受信した通信イベント情報１５０を含む入力履歴を、イベントバッファ２５から取得する。そして、影響度予測処理部２１２は、取得した通信イベント情報１５０の入力履歴と、記憶部２４内のイベントパターンＤＢ２４１に格納された各イベントパターン２００とを照合する。

そして、影響度予測処理部２１２は、入力履歴と類似するイベントパターン２００が存在するか否かを判定する（ステップＳ３２）。影響度予測処理部２１２は、図５に示したようなイベントパターン２００それぞれについて、１つの通信イベント情報１５０が入力する度に、セグメント３毎の入力履歴と、対応するイベントパターン２００の構成要素（例えば、図５のイベントパターン（Ａ−１）〜（Ａ−ｍ））のうちの１つについて、その特徴値条件や、リピート回数条件、タイムラグ条件等の条件がすべて一致するかを判定する。そして、イベントパターン２００の構成要素と照合したｍ個の通信イベント情報１５０の中で、いくつ通信イベント情報１５０との照合が一致したかの類似度を算出し、この類似度が、所定の閾値以上の場合に、その入力履歴はそのイベントパターン２００に類似すると判定する。

ここで、影響度予測処理部２１２は、その入力履歴に類似するイベントパターン２００が存在した場合にはステップＳ３３に進み、存在しなかった場合には、ステップＳ３４に進む。

ステップＳ３３において、影響度予測処理部２１２は、類似すると判定されたイベントパターン２００の制御システム１への影響度レベル（例えば、影響度レベル「４」〜「２」のうちの１つ）を、影響度レベル情報２４２（図４）を参照して決定する。なお、影響度予測処理部２１２は、ステップＳ３２において、類似すると判定されたイベントパターン２００が複数存在する場合には、その類似度が高い方のイベントパターン２００を、入力履歴に類似するイベントパターン２００として選択し、その影響度レベルを決定する。そして、次のステップＳ３５へ進む。

一方、ステップＳ３２において、類似すると判定されたイベントパターン２００が存在しなかった場合（ステップＳ３２→Ｎｏ）、影響度予測処理部２１２は、影響度レベルとして最も低い早期警戒レベル（例えば、影響度レベル「１」）に決定する（ステップＳ３４）。そして、次のステップＳ３５に進む。

次に、影響度予測処理部２１２は、現時点から過去の所定の時間内に、他のイベント抽出装置１０から別の通信イベント情報１５０を受信していないかを判定する（ステップＳ３５）。
そして、影響度予測処理部２１２は、他のイベント抽出装置１０からの通信イベント情報１５０を受信していた場合には（ステップＳ３５→Ｙｅｓ）、他のセグメント３でも通常運転時の通信傾向とは異なる通信パケットが検知されたことを意味するため、不正アクセス等による被害が拡大中であると判定し、ステップＳ３３およびＳ３４で決定した影響度レベルを１つ上方修正する（ステップＳ３６）。そして、次のステップＳ３７に進む。
一方、ステップＳ３５において、所定の時間内に、他のイベント抽出装置１０からの通信イベント情報１５０を受信していない場合（ステップＳ３５→Ｎｏ）は、次のステップＳ３７に進む。

ステップＳ３７において、影響度予測処理部２１２は、決定した影響度レベルを含む予測影響度情報２５０を生成し、出力処理部２１３を介して、対応指令装置３０に送信する。

このようにすることで、監視装置２０は、各イベント抽出装置１０から受信した通信イベント情報１５０を含む入力履歴が、不正アクセス等のイベントパターン２００に類似するか否かを判定し、その影響度レベルを決定することができる。

≪第２の実施形態≫
次に、本発明の第２の実施形態に係るセキュリティ監視システム１００ｂについて説明する。
第２の実施形態に係るセキュリティ監視システム１００ｂは、セグメント３において送受信される通信パケットを収集し、制御装置２間の通信履歴に基づき生成した装置相関マップ２１０（後記する図１５）を参照することにより、イベント抽出装置１０が生成した通信イベント情報１５０の波及経路を予測する。ここで、波及経路とは、通信イベント情報１５０として抽出された通信パケットが、不正アクセス等であった場合に、その通信パケットを受信した制御装置２が次の処理として生成する通信パケットにおいて、影響を受ける可能性が高いと予測される通信パケットの経路を意味し、具体的には、一連の制御に関連する処理として送受信される通信パケットの経路上の制御装置２群で示される。第２の実施形態に係るセキュリティ監視システム１００ｂにおいては、正常時の制御装置２間の通信パケットの送受信の通信履歴に基づき装置相関マップ２１０（図１５）を作成しておき、装置間の相関が所定の値よりも強い場合に、不正アクセス等の影響を受ける可能性が高いと判定する。
そして、第２の実施形態に係るセキュリティ監視システム１００ｂは、波及経路上に存在する制御装置２に対して、優先的に対応指令情報３５０を送信することを特徴とする。

＜システムの全体構成＞
図１０は、本発明の第２の実施形態に係るセキュリティ監視システム１００ｂの全体構成を示す図である。セキュリティ監視システム１００ｂは、制御システム１のセグメント３に対応して設けられた複数のイベント抽出装置１０ｂ（＃１〜＃ｎ）と、監視装置２０ｂと、対応指令装置３０ｂとを備える。
図１に示した、本発明の第１の実施形態に係るセキュリティ監視システム１００との違いは、イベント抽出装置１０ｂが、通信イベント情報１５０に加え、セグメント３内の制御装置２間の通信パケットの送受信の回数（頻度）を示す通信頻度情報１６０（後記する図１２）を生成し、監視装置２０ｂに送信することである。また、監視装置２０ｂは、各イベント抽出装置１０ｂから受信した通信頻度情報１６０に基づき、装置相関マップ２１０（図１５）を生成し、不正アクセス等のイベントパターン２００に類似すると判定された通信パケットの波及経路を決定し、その波及経路上の制御装置２を示す情報を、予測影響範囲情報２６０として対応指令装置３０ｂに送信する。対応指令装置３０は、予測影響範囲情報２６０に示される波及経路上の制御装置２に対して、優先的に対応指令情報３５０を送信する。
次に、セキュリティ監視システム１００ｂにおける各装置の具体的な構成について説明する。

（イベント抽出装置）
図１１は、本発明の第２の実施形態に係るイベント抽出装置１０ｂの構成例を示す機能ブロック図である。本発明の第１の実施形態に係るイベント抽出装置１０（図２）との違いは、イベント抽出装置１０の各構成に加え、通信頻度情報生成部１１６を備えていることである。通信頻度情報生成部１１６は、セグメント３から受信した各通信パケットを集計して、通信頻度情報１６０（図１２）を生成し、監視装置２０ｂに送信する。その他の構成は、図２に示したイベント抽出装置１０と同様であるので、説明を省略する。

通信頻度情報生成部１１６は、学習値情報生成部１１２が、学習値情報１１０を生成する際に取得する各通信パケットと同様の通信パケットを、パケット受信部１１１を介して取得し、通信頻度情報１６０を生成する。

図１２は、本発明の第２の実施形態に係る通信頻度情報１６０のデータ構成例を示す図である。
図１２に示すように、通信頻度情報１６０は、セグメント３から受信した各通信パケットの情報に基づき、送信元アドレスと宛先アドレスとのすべての組み合わせに対して、各々該当する通信パケットの数がカウントされるマトリクスで構成される。
図１２（ａ）に示す例は、例えば、セグメント３（＃１）（図１０参照）が接続されているイベント抽出装置１０ｂ（＃１）の通信頻度情報生成部１１６が生成した通信頻度情報１６０を示している。図１２（ａ）においては、例えば、送信元アドレス「192.168.10.1」の制御装置２から、宛先アドレス「192.168.10.2」の制御装置２へ送信された通信パケットが1200個、同じく送信元アドレス「192.168.10.1」の制御装置２から、宛先アドレス「192.168.10.3」の制御装置２へ送信された通信パケットが250個検出されたことを示している。
また、図１２（ｂ）に示す例は、例えば、セグメント３（＃２）（図１０参照）が接続されているイベント抽出装置１０ｂ（＃２）の通信頻度情報生成部１１６が生成した通信頻度情報１６０を示す。
なお、同一アドレス間の通信は、集計対象外であり、図１２においては、「―」と示している。

イベント抽出装置１０ｂの通信頻度情報生成部１１６は、セグメント３から受信した通信パケットの情報に基づき、図１２に示すような通信頻度情報１６０を生成し、監視装置２０ｂに送信する。
なお、イベント抽出装置１０ｂによる、通信頻度情報１６０の監視装置２０ｂへの送信は、セキュリティ監視システム１００ｂが制御システム１の不正アクセス等の監視を実行する前（制御システム１の本格運用前）に行っておく。

（監視装置）
図１３は、本発明の第２の実施形態に係る監視装置２０ｂの構成例を示す機能ブロック図である。本発明の第１の実施形態に係る監視装置２０（図４）との違いは、監視装置２０の各構成に加え、通信頻度情報受信部２１４、装置相関マップ生成部２１５および予測影響範囲情報生成部２１６を備えていることである。その他の構成は、図４に示した監視装置２０と同様であるので、説明を省略する。

通信頻度情報受信部２１４は、入出力部２２を介して、各イベント抽出装置１０ｂから通信頻度情報１６０（図１２）を取得し、装置相関マップ生成部２１５に引き渡す。

装置相関マップ生成部２１５は、各イベント抽出装置１０ｂが生成した、通信頻度情報１６０を結合して、制御システム１全体の通信頻度を表す通信頻度情報１６０（以下、「通信頻度情報（全体）１６０」と記載する）を生成する。

図１４は、本発明の第２の実施形態に係る通信頻度情報（全体）１６０のデータ構成例を示す図である。
図１４においては、通信頻度情報（全体）１６０として、図１２（ａ）に示した通信頻度情報１６０と図１２（ｂ）に示した通信頻度情報１６０とを結合した例を表している。

通信頻度情報（全体）１６０を生成した装置相関マップ生成部２１５は、その通信頻度情報（全体）１６０を正規化することにより、装置相関マップ２１０を生成する。ここで、正規化とは、マトリクスの各成分を扱いやすい一定の範囲の数値に変換するために施す処理を指し、例えば、スケーリングや量子化が用いられる。

図１５は、本発明の第２の実施形態に係る装置相関マップ２１０のデータ構成例を説明するための図である。
図１５においては、図１５（ｂ）に示す対数的なスケールを用いて、図１４の通信頻度情報（全体）１６０を正規化した例を、図１５（ａ）の装置相関マップ２１０として示している。図１５（ａ）の装置相関マップ２１０では、図１４で示された通信パケットの数（パケット数）に対応して、４段階（装置間の相関を評価しないパケット数「０」を除く）の相関値（「１」〜「４」：図１５（ｂ）参照）が、装置相関マップ生成部２１５により算出される。なお、ここでは、相関値を、通信パケットの数が多いほど、相関が強い（相関値の値が高い）ものとして設定する。
図１５（ａ）に示す装置相関マップ２１０は、制御システム１内の各制御装置２の間で、どの程度密接に情報の送受信を行っているかを相関値で示している。
なお、この装置相関マップ２１０の生成処理は、セキュリティ監視システム１００ｂによる不正アクセス等の監視の運用前に、各イベント抽出装置１０ｂ（図１１）から監視装置２０ｂが通信頻度情報１６０を受信して、予め装置相関マップ生成部２１５が実行し、メモリ部２３等に装置相関マップ２１０を記憶しておくものである。

予測影響範囲情報生成部２１６は、制御システム１の通常運用時に、各イベント抽出装置１０ｂから、通信イベント情報１５０を通信イベント情報受信部２１１が受信した場合、その通信イベント情報１５０に含まれる宛先アドレスを用いて、波及経路上の制御装置２を抽出する。
具体的には、予測影響範囲情報生成部２１６は、通信イベント情報１５０に含まれる宛先アドレスを用いて、装置相関マップ２１０を参照し、その宛先アドレスに示される制御装置２と関連の深い制御装置２を抽出する。すなわち、予測影響範囲情報生成部２１６は、装置相関マップ２１０において、通信イベント情報１５０に含まれた宛先アドレスを、送信元アドレスに設定し、そのレコードにおいて、所定の閾値以上の相関値を持つ宛先アドレスを抽出することにより、波及経路上の制御装置２を抽出する。以下、図１６を参照して、具体例を説明する。

図１６は、本発明の第２の実施形態に係る予測影響範囲情報生成部２１６が行う予測影響範囲情報２６０の生成処理を説明するための図である。
図１６に示すように、予測影響範囲情報生成部２１６は、まず、通信イベント情報１５０を取得すると、その宛先アドレス（「192.168.10.1」）を抽出する。そして、予測影響範囲情報生成部２１６は、抽出した宛先アドレスを、装置相関マップ２１０の送信元アドレスに設定し、そのレコードにおいて、所定の相関値の閾値（ここでは、「３」とする）以上の宛先アドレス（ここでは、「192.168.10.2」「192.168.20.1」）を抽出する。

このようにすることで、予測影響範囲情報生成部２１６は、通信イベント情報１５０の宛先アドレスを用いて、通信イベント情報１５０として抽出された通信パケットによる不正アクセス等の影響を受ける可能性の高い制御装置２（ここでは、アドレスが「192.168.10.2」「192.168.20.1」の制御装置２）を抽出し、このアドレスを含む予測影響範囲情報２６０を生成して、出力処理部２１３を介し、対応指令装置３０ｂに送信する。

なお、予測影響範囲情報生成部２１６は、この抽出したアドレスをさらに、装置相関マップ２１０の送信元アドレスに設定し、そのレコードにおいて、所定の閾値以上の相関値を持つ宛先アドレスを抽出する。予測影響範囲情報生成部２１６は、この処理を、所定の閾値以上の相関値を持つ宛先アドレスが抽出されなくなるまで繰り返し、波及経路を予測するようにしてもよい。
図１６の例では、予測影響範囲情報生成部２１６は、抽出した宛先アドレス「192.168.10.2」と「192.168.20.1」とを、装置相関マップ２１０の送信元アドレスにそれぞれ設定し、送信元アドレス「192.168.10.2」のレコードにおいて、所定の相関値の閾値（「３」）以上の宛先アドレス（ここでは、「192.168.10.3」）を抽出しさらに処理を続ける。一方、予測影響範囲情報生成部２１６は、送信元アドレス「192.168.20.1」のレコードについては、所定の相関値の閾値（「３」）以上の宛先アドレスがないため、波及経路の予測を終える。そして、予測影響範囲情報生成部２１６は、波及経路上の各制御装置２のアドレスを含む予測影響範囲情報２６０を生成し、対応指令装置３０ｂに送信する。

（対応指令装置）
図１７は、本発明の第２の実施形態に係る対応指令装置３０ｂの構成例を示す機能ブロック図である。本発明の第１の実施形態に係る対応指令装置３０（図６）との違いは、対応指令装置３０の各構成に加え、予測影響範囲情報受信部３１４、優先度指令部３１５および出力バッファ３５を備えていることである。その他の構成は、図６に示した対応指令装置３０と同様であるので、説明を省略する。
この対応指令装置３０ｂは、受信した予測影響度情報２５０に基づき、対応指令情報生成部３１２が生成した対応指令情報３５０を出力バッファに３５を格納する。そして、対応指令装置３０ｂは、優先度指令部３１５が予測影響範囲情報２６０に基づき、装置間の相関が強いと予測した制御装置２に対して、優先的に、対応指令情報３５０を送信させるように、出力バッファ３５に格納された対応指令情報３５０の出力順を制御する。

出力バッファ３５は、ＲＡＭ等の記憶手段からなり、対応指令情報生成部３１２が生成した対応指令情報３５０を、出力処理部３１３が制御システム１の各制御装置２に送信する順に格納する。

予測影響範囲情報受信部３１４は、入出力部３２を介して、監視装置２０ｂからの予測影響範囲情報２６０を取得し、優先度指令部３１５に引き渡す。

優先度指令部３１５は、予測影響範囲情報２６０に付された、装置間の相関が強いと予測される制御装置２に対する対応指令情報３５０が、優先的に送信されるように、出力バッファ３５を制御する。具体的には、優先度指令部３１５は、装置間の相関が強いと予測される制御装置２への対応指令情報３５０が、出力バッファ３５の先頭に配置されるように並び替えを行ったり、出力バッファ３５を通常系と優先系の２つの分け、優先系のバッファに、装置間の相関が強いと予測される制御装置２への対応指令情報３５０を格納したりする。

このようにすることで、対応指令装置３０ｂは、通信イベント情報１５０として抽出された通信パケットによる不正アクセス等の影響を受ける可能性の高いと予測される制御装置２に対して、優先的に対応指令情報３５０を送信することができ、迅速な対応が可能となる。

≪変形例≫
次に、本実施形態に係るセキュリティ監視システム１００（１００ｂ）の変形例について説明する。

本発明の第１の実施形態に係るセキュリティ監視システム１００および第２の実施形態に係るセキュリティ監視システム１００ｂにおいて、イベント抽出装置１０（１０ｂ）（＃１〜＃ｎ）それぞれは、制御システム１内の各セグメント３（＃１〜＃ｎ）に対応して設けられる複数の装置とした（図１，図１０参照）。しかし、本発明はこの実施形態に限定されず、イベント抽出装置１０（１０ｂ）を、各セグメント３（＃１〜＃ｎ）と接続された１つの装置として構成するようにしてもよい。
また、イベント抽出装置１０（１０ｂ）と、監視装置２０（２０ｂ）と、対応指令装置３０（３０ｂ）とを、それぞれ任意に組み合わせて構成してもよく、各装置の機能を備えた１つの装置として構成するようにしてもよい。

本発明の第１の実施形態に係るイベント抽出装置１０（図２参照）において、通信イベント情報生成部１１４が生成する通信イベント情報１５０（図３）のデータ構成を、ヘッダ１５１と、管理情報１５２と、特徴値１５３〜１５６とを含むものとした。しかし、本発明はこの実施形態に限定されず、この通信イベント情報１５０に、各特徴値１５３〜１５６が通常とは異なるか否かを判定した特徴値判定情報１２０の各設定条件を含めて、監視装置２０に送信するようにしてもよい。
このようにすることで、監視装置２０に接続されたモニタ等の出力装置に、各特徴値１５３〜１５６と、特徴値判定情報１２０の各設定条件とを併せて通信イベント情報１５０として表示させることができる。

１ 制御システム
２ 制御装置
３ セグメント
１０，１０ｂ イベント抽出装置（イベント抽出手段）
１１，２１，３１ 制御部
１２，２２，３２ 入出力部
１３，２３，３３ メモリ部
１４，２４，３４ 記憶部
２０，２０ｂ 監視装置（監視手段）
２５ イベントバッファ
３０，３０ｂ 対応指令装置（対応指令手段）
３５ 出力バッファ
１００，１００ｂ セキュリティ監視システム
１１０ 学習値情報
１１１ パケット受信部
１１２ 学習値情報生成部
１１３ 通信イベント抽出部
１１４ 通信イベント情報生成部
１１５，２１３，３１３ 出力処理部
１１６ 通信頻度情報生成部
１２０ 特徴値判定情報
１５０ 通信イベント情報
１６０ 通信頻度情報
２００ イベントパターン
２１０ 装置相関マップ
２１１ 通信イベント情報受信部
２１２ 影響度予測処理部
２１４ 通信頻度情報受信部
２１５ 装置相関マップ生成部
２１６ 予測影響範囲情報生成部
２４１ イベントパターンＤＢ
２４２ 影響度レベル情報
２５０ 予測影響度情報
２６０ 予測影響範囲情報
３００ 影響度レベル・対応指令変換情報
３１１ 予測影響度情報受信部
３１２ 対応指令情報生成部
３１４ 予測影響範囲情報受信部
３１５ 優先度指令部
３５０ 対応指令情報

Claims (4)

1. １つ以上の制御装置でネットワークを構成するセグメントを１つ以上備える制御システムの異常を検知するセキュリティ監視システムであって、
   前記セキュリティ監視システムは、イベント抽出手段と、監視手段と、対応指令手段とを含んで構成され、
   前記イベント抽出手段は、
   前記セグメント内で送受信される通信パケットを取得するパケット受信部と、
   前記取得した通信パケットのうち、前記通信パケットに共通して付される情報である特徴値が、通常とは異なる通信パケットを抽出する通信イベント抽出部と、
   前記抽出された通信パケットの特徴値を付した通信イベント情報を生成し、前記監視手段に送信する通信イベント情報生成部と、を備え、
   前記監視手段は、
   一連の不正な通信パケットを送信して前記制御システムの正常な処理を妨げる不正アクセスの種類毎に、前記一連の不正な通信パケットを構成するそれぞれの通信パケットを特徴づける条件が設定され、前記設定された通信パケット毎の条件の組み合わせで前記不正アクセスの種類に応じた一連の不正な通信パケットのパターンを規定するイベントパターンが１つ以上記憶されるとともに、前記イベントパターンにより規定される不正アクセスそれぞれに対応付けて、前記制御システムに与える影響の度合を示す影響度レベルが格納される影響度レベル情報が記憶される記憶部と、
   受信した前記通信イベント情報それぞれに付される前記通信パケット毎の特徴値と、前記イベントパターンそれぞれに設定された通信パケット毎の条件とを照合し、類似する前記イベントパターンを検出し、前記検出したイベントパターンの前記影響度レベルを、前記影響度レベル情報を参照して決定し、前記決定した影響度レベルを付した予測影響度情報を生成し、前記対応指令手段に送信する影響度予測処理部と、を備え、
   前記対応指令手段は、
   前記影響度レベルに対応付けて、前記制御システムが行うべき前記不正アクセスに対する処理が対応指令として格納される影響度レベル・対応指令変換情報が記憶される記憶部と、
   受信した前記予測影響度情報に示される前記影響度レベルに基づき、前記影響度レベル・対応指令変換情報を参照して、前記不正アクセスに対する前記対応指令を決定し、前記決定した対応指令を付した対応指令情報を生成する対応指令情報生成部と、
   前記生成された対応指令情報を前記制御システムに送信する出力処理部と、を備えること
   を特徴とするセキュリティ監視システム。
2. 前記イベント抽出手段は、
   前記制御システムの異常を検知するための監視を開始する前に、正常時の前記制御システムにおける通信パケットを、前記パケット受信部を介して受信し、前記セグメント内の前記制御装置が送信元および宛先となる前記通信パケットの数を、前記通信パケットの前記送信元の制御装置と前記宛先の制御装置との組毎に検出した通信頻度情報を生成し、前記生成した通信頻度情報を、前記監視手段に送信する通信頻度情報生成部を、さらに備え、
   前記監視手段は、
   受信した前記通信頻度情報に示される前記通信パケットの数に基づき、前記送信元および宛先とした制御装置間の前記通信パケットの数が多いほど、相関が強いと評価する相関値を、前記通信パケットの前記送信元の制御装置と前記宛先の制御装置との組毎に算出した装置相関マップを生成する装置相関マップ生成部と、
   前記受信した通信イベント情報に含まれる宛先アドレスに示される前記制御装置を取得し、前記取得した制御装置を、前記装置相関マップで示される前記送信元の制御装置とした場合に、前記相関値が所定値以上の前記宛先の制御装置を抽出し、前記抽出した宛先の制御装置のアドレスを含む予測影響範囲情報を生成し、前記対応指令手段に送信する予測影響範囲情報生成部と、をさらに備え、
   前記対応指令手段は、
   前記対応指令情報生成部が生成した前記対応指令情報を格納しておく出力バッファと、
   受信した前記予測影響範囲情報に含まれる前記アドレスに示される前記制御装置に向けての前記対応指令情報が、優先的に送信されるように、前記出力バッファの前記対応指令情報の送信順を制御する優先度指令部と、をさらに備えること
   を特徴とする請求項１に記載のセキュリティ監視システム。
3. １つ以上の制御装置でネットワークを構成するセグメントを１つ以上備える制御システムの異常を検知するセキュリティ監視システムのセキュリティ監視方法であって、
   前記セキュリティ監視システムは、イベント抽出手段と、監視手段と、対応指令手段とを含んで構成され、
   前記イベント抽出手段は、
   前記セグメント内で送受信される通信パケットを取得するステップと、
   前記取得した通信パケットのうち、前記通信パケットに共通して付される情報である特徴値が、通常とは異なる通信パケットを抽出するステップと、
   前記抽出された通信パケットの特徴値を付した通信イベント情報を生成し、前記監視手段に送信するステップと、を実行し、
   前記監視手段は、
   一連の不正な通信パケットを送信して前記制御システムの正常な処理を妨げる不正アクセスの種類毎に、前記一連の不正な通信パケットを構成するそれぞれの通信パケットを特徴づける条件が設定され、前記設定された通信パケット毎の条件の組み合わせで前記不正アクセスの種類に応じた一連の不正な通信パケットのパターンを規定するイベントパターンが１つ以上記憶されるとともに、前記イベントパターンにより規定される不正アクセスそれぞれに対応付けて、前記制御システムに与える影響の度合を示す影響度レベルが格納される影響度レベル情報が記憶される記憶部を備えており、
   受信した前記通信イベント情報それぞれに付される前記通信パケット毎の特徴値と、前記イベントパターンそれぞれに設定された通信パケット毎の条件とを照合し、類似する前記イベントパターンを検出し、前記検出したイベントパターンの前記影響度レベルを、前記影響度レベル情報を参照して決定し、前記決定した影響度レベルを付した予測影響度情報を生成し、前記対応指令手段に送信するステップを実行し、
   前記対応指令手段は、
   前記影響度レベルに対応付けて、前記制御システムが行うべき前記不正アクセスに対する処理が対応指令として格納される影響度レベル・対応指令変換情報が記憶される記憶部を備えており、
   受信した前記予測影響度情報に示される前記影響度レベルに基づき、前記影響度レベル・対応指令変換情報を参照して、前記不正アクセスに対する前記対応指令を決定し、前記決定した対応指令を付した対応指令情報を生成するステップと、
   前記生成された対応指令情報を前記制御システムに送信するステップと、を実行すること
   を特徴とするセキュリティ監視方法。
4. 前記イベント抽出手段は、
   前記制御システムの異常を検知するための監視を開始する前に、正常時の前記制御システムにおける通信パケットを受信し、前記セグメント内の前記制御装置が送信元および宛先となる前記通信パケットの数を、前記通信パケットの前記送信元の制御装置と前記宛先の制御装置との組毎に検出した通信頻度情報を生成し、前記生成した通信頻度情報を、前記監視手段に送信するステップを、さらに実行し、
   前記監視手段は、
   受信した前記通信頻度情報に示される前記通信パケットの数に基づき、前記送信元および宛先とした制御装置間の前記通信パケットの数が多いほど、相関が強いと評価する相関値を、前記通信パケットの前記送信元の制御装置と前記宛先の制御装置との組毎に算出した装置相関マップを生成するステップと、
   前記受信した通信イベント情報に含まれる宛先アドレスに示される前記制御装置を取得し、前記取得した制御装置を、前記装置相関マップで示される前記送信元の制御装置とした場合に、前記相関値が所定値以上の前記宛先の制御装置を抽出し、前記抽出した宛先の制御装置のアドレスを含む予測影響範囲情報を生成し、前記対応指令手段に送信するステップと、をさらに実行し、
   前記対応指令手段は、
   前記生成された前記対応指令情報を格納しておく出力バッファを、さらに備えており、
   受信した前記予測影響範囲情報に含まれる前記アドレスに示される前記制御装置に向けての前記対応指令情報が、優先的に送信されるように、前記出力バッファの前記対応指令情報の送信順を制御するステップを、さらに実行すること
   を特徴とする請求項３に記載のセキュリティ監視方法。

Images