JP5879223B2 - ゲートウェイ装置、ゲートウェイシステムおよび計算機システム - Google Patents

Description

本発明は複数の情報処理端末が接続されたネットワークに供えられるゲートウェイ装置、ゲートウェイシステムおよび計算機システムに関する。

通信ネットワークと接続された情報処理装置に対する攻撃の一つに、ＤｏＳ攻撃（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ攻撃：サービス不能攻撃）がある。

ＤｏＳ攻撃とは、攻撃対象の情報処理装置やネットワークに対し、その情報処理装置の処理能力を上回る大量のパケットやリクエストを送信する攻撃である。これにより本来提供すべきサービス提供の阻害や、動作停止状態に陥れようとするものである。

また大量のパケットやリクエストを送りつける方法のみでなく、情報処理端末のソフトウェアやハードウェアがもつ欠陥や仕様漏れを悪用する方法もある。これは情報処理端末が意図しないパケットやリクエストを受信させ、意図的に不具合を発生させることで、情報処理装置のサービス提供を阻害する手法である。

一方、産業制御システムでは、システム内のコンピュータネットワークのオープン化が進んでおり、インターネット標準のＴＣＰ／ＩＰ（Ｔｒａｎｓｐｏｒｔ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ／Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）およびＩＥＥＥ８１３．３の利用や、汎用ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）の活用が進んでいる。

従来は、各ベンダ独自仕様のプロトコルや処理装置が利用され、そこで動作するソフトウェアも独自仕様であることが多かった。

産業制御システムのオープン技術導入は、機器の低コスト化、他ベンダのシステムやインターネットとの親和性、システム情報管理の容易化等、多くの利点がある。そのため、産業制御システムを低コストかつ効率よく構築、運用するため、ベンダ独自仕様の技術に代用されるようになった。

しかしオープン技術の導入は、不正アクセスされやすく、またＤｏＳ攻撃等の攻撃を受けやすい。

インターネットの発展やコンピュータシステムの複雑化に伴い、ネットワーク上のコンピュータを狙った不正アクセスや攻撃手法も多く知られるようになった。

中でもＤｏＳ攻撃は、高度な専門知識が無くても比較的簡単に実現でき、しかも大きな被害を与えることができる。そのため、インターネット上の情報システムや情報処理装置に対する主な攻撃手法の一つとなっている。

産業制御システムへのオープン技術の導入は、インターネットや情報システムで主に利用される汎用コンピュータから産業制御システムへのアクセスを可能にする。そのため、汎用コンピュータによる産業制御システムへの不正侵入を容易にする。また技術仕様が公開されており、産業制御システムの動きを解析されやすい。

加えて、オープン技術の導入された産業制御システムにおいては、システムアップデートが行われないまま、長期間連続稼動していることが普通である。そのため、産業制御システムは不正アクセスや攻撃の耐性が低く、ＤｏＳ攻撃を仕掛けられた場合、サービス遅延状態や停止状態に陥る可能性がある。併せて、サービス停止に伴う生産停止やサービス復旧に伴う高額な復旧費用など、金銭面でも大きな損害を受けるという課題がある。

以上を踏まえ、産業制御システムのサービスを遅延無く確実に提供することが強く求められている。

特許文献１では、パケット通信ネットワークにおいて、パケットを転送するパケット転送制御装置は、侵入を引き起こす可能性があるパケットを検知する手段を備える。その侵入検知結果を、当該パケットを中継する後続のパケット転送制御装置に転送する。

当該パケットの侵入検知結果は、当該パケット自身に埋め込まれ、通信ネットワークノード毎に配置された後続パケット転送制御装置によって、通信ネットワーク上に転送される。

またパケット転送制御装置が、不正アクセスから保護すべき被保護システムに障害が生じているか否かを監視し、障害の度合いに応じてパケットの通過、または廃棄等、トラフィック制御をする。

特開２００６−１４９７７８号公報

特許文献１では、ネットワークに流れる全パケットを検査する。つまりＤｏＳ攻撃時に、大量通信される攻撃パケット全てを検査するため、処理負荷が非常に大きい。

特許文献１では、パケット検査毎にネットワークや端末の情報を取得し、そこから異常度を算出し、付与情報を生成する。すなわち、パケット毎に情報取得や異常度算出するため、検査処理のオーバヘッドを要する。

したがって、発明が解決しようとする課題の第１点は、特許文献１の技術では、産業制御システムにとって充分な可用性を維持しつつＤｏＳ攻撃の対策ができないということである。

産業制御システムの製品寿命は一般に数十年と、情報システムの製品寿命と比べて長い。そのため、既存の産業制御システムに対するＤｏＳ攻撃対策も検討する必要がある。

特許文献１では、異常度情報を該当パケットに冗長データを付与する。そのため、ネットワーク回線の最大伝送単位（ＭＴＵ： Ｍａｘｉｍｕｍ Ｔｒａｎｓｍｉｓｓｉｏｎ Ｕｎｉｔ）に関し、不具合が起こる可能性がある。

特許文献１の発明を既存システムに適用した場合、既にフラグメンテーション化されたパケットに対して異常度情報を付与する。パケットのフラグメンテーションは、通常ネットワーク回線の最大伝送単位を最大限利用するように分割されるため、そのまま異常度情報を付与した場合、フレームあたりの容量が前記最大伝送単位を超え得る。そのため、特許文献１の発明を既存システムに適用する場合、システム全体の構成を変えなければならない。
しかし既存の産業制御システムにおいて、システム全体の構成を変更することは、制御パラメータなど制御情報に影響を与え得る。最悪の場合、システム構成変更後にシステムが動かなくなる場合もある。

したがって、発明が解決しようとする課題の第２点は、既存の産業制御システム全体の構成変更は避ける必要があり、特許文献１の技術では、既存の産業制御システムを容易に拡張できないということである。

特許文献１では、パケットのヘッダ情報や付与された異常度情報をもとにパケット通過可否を判定する。そのため、パケットのヘッダ情報や異常度が攻撃者によって改ざんされた場合、 そのパケットの正当性を確認できない。

したがって発明が解決しようとする課題の第３点は、特許文献１の技術では、なりすまし対策が不十分であり、なりすました攻撃者からの攻撃に十分な耐性を持たないということである。

本発明は、産業制御システムを狙ったＤｏＳ攻撃や、なりすましによる攻撃を、通常の制御処理に影響を与えない範囲で防ぐことができるゲートウェイ装置、ゲートウェイシステムおよび計算機システムを提供することを目的とする。加えて、既存の産業制御システムを容易に拡張することを目的とする。

以上のことから本発明のゲートウェイシステムは、
ネットワークに接続され、ネットワークにおける悪意の攻撃を検知して改変指令情報をネットワークに発信する改変モード制御装置と、
改変モード制御装置からの改変指令情報を得て、情報処理端末からネットワークへ送信されるデータを改変指令情報に応じて改変する代理改変処理装置と、
改変モード制御装置からの改変指令情報を得て、ネットワークから情報処理端末へ送られるデータについて改変指令情報を基に改変の有無を検査し、改変の有無に応じた処理を実行する代理復元処理装置を有することを特徴とする。

また以上のことから本発明のゲートウェイ装置は、
２組の端子を備える専用ドングルに収納されたゲートウェイ装置であって、
専用ドングル内に、ネットワークにおける悪意の攻撃を検知して改変指令情報をネットワークに発信する改変モード制御装置と、改変モード制御装置からの改変指令情報を得て、情報処理端末からネットワークへ送信されるデータを改変指令情報に応じて改変する代理改変処理装置と、改変モード制御装置からの改変指令情報を得て、ネットワークから情報処理端末へ送られるデータについて改変指令情報を基に改変の有無を検査し、改変の有無に応じた処理を実行する代理復元処理装置を備えるとともに、
２組の端子の一方を前記ネットワークに接続し、２組の端子の他方を情報処理端末に接続するように構成されたことを特徴とする。

また以上のことから本発明の計算機システムは、
通信を制御するマスタおよび複数のスレーブがリング状に接続されたリング型ネットワーク構成の計算機システムにおいて、
マスタとスレーブの前記リング型ネットワークに接続する端子とリング型ネットワークに接続しない端子にゲートウェイ装置を設け、
リング型ネットワークに接続しない端子に設けられたゲートウェイ装置が悪意の攻撃を検知して改変指令情報を発信し、
マスタの前記リング型ネットワークに接続する受信側端子に設けられたゲートウェイ装置が改変指令情報を受信し、
マスタの前記リング型ネットワークに接続する送信側端子に設けられたゲートウェイ装置がスレーブへ送信されるデータを改変指令情報に応じて改変し、
スレーブは、改変指令情報を得て、スレーブへ送られるデータについて改変指令情報を基に改変の有無を検査し、改変の有無に応じた処理を実行することを特徴とする。

本発明によれば、通常の制御処理に影響を与えない範囲で、システムを狙ったＤｏＳ攻撃や、なりすまし攻撃を防御できる。加えて、システムの全体構成を変更することなく、既存システムへ適用できる。

ネットワークに接続されたゲートウェイシステムの全体構成を示す図。 改変モード制御装置で実行する処理フローを示す図。 代理改変処理装置で実行する処理フローを示す図。 代理復元処理装置で実行する処理フローを示す図。 改変モード制御装置から送信される改変指令情報の構成例を示す図。 情報処理端末とネットワーク間にゲートウェイ装置を配置した図。 具体的な外付け１チップ化ゲートウェイ装置の構成を示す図。 複数の改変モード制御装置が同時にネットワーク異常を検知した場合を示す図。 代理改変処理装置と代理復元処理装置による同期化処理の流れを示すフロー図。 改変モード制御装置間による同期化処理の流れを示すフロー図。 優先度が低い改変モード制御装置のみが異常を検知した場合の処理フロー図。 優先度が最も高い改変モード制御装置の処理フロー図。 優先度が低い改変モード制御装置の処理フロー図。 一般的なリング型ネットワークの構成例を示す図。 リング型ネットワークにおけるＤｏＳ攻撃例を示す図。 リング型ネットワークにおけるＤｏＳ攻撃対策例を示す図。

以下、図面を用いて本発明の実施例を説明する。

図１にネットワークＮＷに接続されたゲートウェイシステムＧＴの全体構成を示している。図１のゲートウェイシステムＧＴは、代理改変処理装置１１、代理復元処理装置１２、および改変モード制御装置１３から構成されている。これらの装置（１１，１２，１３）は一方においてネットワークＮＷに接続され、またこのうち代理改変処理装置１１と代理復元処理装置１２は他方において情報処理端末ＣＰＵ１，ＣＰＵ２に接続されている。

図１のネットワークＮＷには、ＤｏＳ攻撃や、なりすましによる攻撃を行う悪意の攻撃源Ｘが接続される恐れがある。ゲートウェイシステムＧＴは、悪意の攻撃源Ｘにより例えば産業制御システムを構成する情報処理端末ＣＰＵ１，ＣＰＵ２が攻撃されることを阻止する。

図１では、情報処理端末ＣＰＵ１が情報処理端末ＣＰＵ２にデータ送信を実行する状態を表しており、情報を送る情報処理端末ＣＰＵ１とネットワークＮＷの間に代理改変処理装置１１が設置され、情報を受ける情報処理端末ＣＰＵ２とネットワークＮＷの間に代理復元処理装置１２が設置される。

逆に情報処理端末ＣＰＵ２が情報処理端末ＣＰＵ１にデータ送信を実行する状態を想定すると、ＣＰＵ２とＮＷの間に１１が設置され、ＣＰＵ１とＮＷの間に１２が設置されることになる。一般には情報処理端末ＣＰＵ間で相互にデータ送受信を実施するので、各情報処理端末ＣＰＵは、代理改変処理装置１１と代理復元処理装置１２を備えて適宜の送受信状態に応じて切り替え使用することになる。図１では説明の都合上、上記の状態を模式的に示したにすぎない。

これに対し、改変モード制御装置１３はネットワークＮＷに適宜設けられていればよい。これらゲートウェイシステムＧＴの各装置は、それぞれ以下のように作動する。この作動状態を通常時と外部攻撃時に分けて説明する。

まず通常時は、改変モード制御装置１３はネットワークＮＷの状態を振る舞い監視手段１３ａで監視している。しかし、外部攻撃を検知しないのでネットワークＮＷに何らの検知情報を送出しない。

代理改変処理装置１１の改変モード切り替え手段１１ａは、改変モード制御装置１３からネットワークＮＷを経由して外部攻撃検知情報を受信しない通常時には、情報処理端末ＣＰＵ１から受信したパケットを、改変処理部１１ｂを経由しないルートＲ１により、ネットワークＮＷに送り出す。この場合、情報処理端末ＣＰＵ１のパケットは、そのままネットワークＮＷに送られる。

代理復元処理装置１２の改変モード切り替え手段１２ａは、改変モード制御装置１３からネットワークＮＷを経由して外部攻撃検知情報を受信しない通常時には、ネットワークＮＷから受信したパケットを、改変復元手段１２ｄを経由しないルートＲ３により、情報処理端末ＣＰＵ２に送る。この場合、ネットワークＮＷからのパケットは、そのまま情報処理端末ＣＰＵ２に送られる。

このようにして、外部攻撃を検知しない通常時には、産業制御システムを構成する情報処理端末ＣＰＵ１，ＣＰＵ２、さらにはネットワークＮＷに接続された一般の情報処理端末ＣＰＵの間での自由な制限のない情報送受信が実現されている。

これに対し外部攻撃を受けた場合の動作を以下に説明する。

改変モード制御部１３は振舞い監視部１３ａおよび改変指令情報発信手段１３ｂから構成される。改変モード制御部１３の振る舞い監視手段１３ａは、ネットワークＮＷの状態を監視してネットワークＮＷの異常を確認した場合、改変指令情報発信手段１３ｂを駆動して改変指令情報ＳをネットワークＮＷに送信する。

これら各部の機能についてより詳細に述べると、振舞い監視部１３ａはネットワークＮＷを常時監視し、ネットワークＮＷの高負荷状態や侵入疑惑パケットなどの通常と異なる振舞い検知した場合、その検知結果を改変指令情報発信手段１３ｂへ通知する。

改変指令情報発信手段１３ｂは、振舞い監視部１３ａの通知結果に応じ、パケットの改変ルールを策定し、その改変ルール情報を含む改変指令情報Ｓを生成する。生成された改変指令情報Ｓは、ネットワークＮＷ内の全ての代理改変処理装置１１、全ての代理復元処理装置１２および他の全ての改変モード制御部１３へ通知される。

代理改変処理装置１１の改変モード切り替え手段１１ａは、改変モード制御部１３からの改変指令情報Ｓを解読して情報処理端末ＣＰＵ１がネットワークＮＷに送るパケット送信ルートを、改変処理部１１ｂを経由するルートＲ２に変更する。改変処理部１１ｂでは、情報処理端末ＣＰＵ１から発信されたパケットに所定の改変処理を施し、ネットワークＮＷへ送信する。なお、改変モード切替手段１１ａは、改変指令情報Ｓを解読し、改変処理の可否や、改変処理の内容を判定する。

代理復元処理装置１２の改変モード切り替え手段１２ａは、改変モード制御部１３からの改変指令情報Ｓを解読して、ネットワークＮＷから情報処理端末ＣＰＵ２に送られるパケット送信ルートを、改変復元部１２ｄを経由するルートＲ４に変更する。これにより、改変を加えられた情報処理端末ＣＰＵ１のパケットは、改変復元部１２ｄにおいて改変前の状態に戻されて情報処理端末ＣＰＵ２に転送される。なお、改変を加えられていないパケットは、破棄される。

代理復元処理装置１２についてより詳細に説明する。代理復元処理装置１２は、改変モード切替手段１２ａ、改変検知手段１２ｂ、フィルタリング部１２ｃおよび改変復元手段１２ｄを備えており、これらは以下のように機能する。

改変モード切替手段１２ａは、代理改変処理装置１１内の改変モード切替手段１１ａと同様、改変指令情報Ｓを解読し、改変処理の有無や、現在の改変処理内容を判定する。

改変検知手段１２ｂは、受信したパケットの改変有無を確認し、所定の改変処理がなされているかどうか検知する。

フィルタリング部１２ｃは、改変検知手段１２ｂによって得られた改変検知結果に応じ、改変有無によりパケットの通過、または棄却を判定する。

改変復元手段１２ｄでは、改変されたパケットを元の状態へ復元し、情報処理端末ＣＰＵ２へ転送する。

代理復元処理装置１２は情報処理端末１５へ送られる全パケット、またはフレームに対して前記一連の処理を実行する。

この結果、受信側の情報処理端末ＣＰＵ２には送信側で所定の改変処理を加えたパケットのみが伝送されることになる。外部攻撃時の悪意のパケットは、所定の改変処理を施されたものではないので、受信側の情報処理端末ＣＰＵ２には伝達されない。

つまり、本発明のゲートウェイシステムＧＴを、産業制御システムを構成する情報処理端末ＣＰＵのみに適用した場合、外部攻撃状態でのこれら産業制御システム内でのＣＰＵの間での自由な制限のない情報送受信を実現するが、産業制御システム外ＣＰＵからの一切の信号受信（この中には悪意の攻撃が含まれる）を途絶する。

以上、ゲートウェイシステムＧＴを構成する代理改変処理装置１１、代理復元処理装置１２、および改変モード制御装置１３の通常時及び外部攻撃を受けた時の動作について説明した。

次に悪意攻撃侵入時における、システム各部の処理手順について図面で説明する。図２は改変モード制御部１３、図３は代理改変処理装置１１、図４は代理復元処理装置１２、における処理フローの流れをそれぞれ表している。

まず、図２により改変モード制御部１３の処理フローから説明する。

改変モード制御部１３では、ステップＳ１３１においてネットワークＮＷの通信状況を監視し、その異常有無を判定する。異常を確認した場合（Ｙｅｓ）、ステップＳ１３２において改変モードのセッション（異常を検知し、システムが改変モードに切り替わってから、異常観測が終了し、システムが通常状態へ戻るまでの一連処理）を開始する。

セッション開始後、ステップＳ１３３では改変指令情報発信部１３２にて、パケット改変ルールを生成する。なおパケット改変ルールについて後述する。

前記パケット改変ルール生成後、ステップＳ１３４において生成した改変ルールを含む改変指令情報Ｓを生成する。

改変指令情報を生成した後、ステップＳ１３５ではネットワークＮＷ内の全送信処理装置１１及び全受信処理装置１２へ向け、改変指令情報Ｓを発信する。

改変指令情報Ｓを送信後、ステップＳ１３６では定期的にネットワークＮＷの異常継続状況を確認する。ステップＳ１３７において異常終了を確認できた場合、セッションを終了し異常監視を継続する。

以上述べたように、処理ステップＳ１３３ではパケット改変ルールを生成し、処理ステップＳ１３５では改変指令情報としてネットワークＮＷ内の全代理改変処理装置１１及び全代理復元処理装置１２へ送信する。この改変処理ルールに従い、以後の全送信処理装置１１及び全受信処理装置１２の動作が定まることになる。このため、改変ルールは、改変前後でパケットサイズが不変で、かつ改変を少ない処理量で検知できるルールであることが望ましい。

以下、好ましいパケット改変ルールのいくつかを説明する。改変例１は、例えば、ＩＰｖ４パケットのバージョン部（４ｂｉｔ）を利用するものである。

例えば、ＩＰｖ４パケットのバージョン部（４ｂｉｔ）は常に４（二進表記：０１００）を保持している。ここで改変ルールとして、例えばＩＰｖ４パケットのバージョン部をビット反転させる。このルールを適用した場合、バージョン部は１１（二進表記：１１１）になる。

ＩＰｖ４パケット処理において、バージョン部が１１という値を保持することは無い。そのため代理復元処理装置１２では、パケットのバージョン部を確認することで改変を検知できる。

当該手法では、改変指令情報Ｓによりバージョン部による改変を指示された代理改変処理装置１１はＩＰｖ４パケットのバージョン部をビット反転させて送信する。改変指令情報Ｓによりバージョン部による改変を受けた代理復元処理装置１２は、ビット反転されたバージョン部を受信してこれを確認することで改変を検知するとともに正規の信号と認識して、バージョン部を復元してパケット再現する。

改変例２は、例えばＩＰアドレスを改変して利用する手法である。

例えば、あるクラスＣに属するイントラネット（プライベートネットワークＮＷ）を流れるＩＰｖ４パケットにおいて、パケットの送信元アドレスが「ＧＴＸ．１６８．０．５」であるとする。また、改変ルールとしてアドレス上位８ｂｉｔと８ｂｉｔから１５ｂｉｔまでの８ｂｉｔの値を交換するルールを採用する。

このルールを適用した場合、改変後の送信元アドレスは「１５８．ＧＴＸ．０．５」となる。クラスＣのプライベートネットワークＮＷにおいて、ＩＰｖ４アドレスの上位８ｂｉｔ（０ｂｉｔから７ｂｉｔ）、および８ｂｉｔから１５ｂｉｔは必ずＧＴＸ、１６８であるため、送信元アドレスの上位８ｂｉｔを確認することで異常を検知できる。

改変例３は、アドレスと他のヘッダ情報を組み合わせて利用する手法である。

改変例２と同様に、あるクラスＣに属するイントラネットを流れるＩＰｖ４パケットにおいて、パケットの送信元アドレスが「ＧＴＸ．１６８．０．５」とした場合、改変ルールとして、ＩＰｖ４ヘッダのＴＯＳ（Ｔｙｐｅ ｏｆ Ｓｅｒｖｉｃｅ）部をビット反転したものとアドレス上位８ｂｉｔを交換する。

ＴＯＳ部の第８ｂｉｔは、ＭＢＺ（Ｍｕｓｔ Ｂｅ Ｚｅｒｏ）と呼ばれる常に値が０の予約値を持っている。従って、ＴＯＳ部をビット反転させた場合、第８ｂｉｔは常に１となるため、その値はＧＴＸ（二進表記：１１００００００）になることは無い。したがって、改変を検知できる。

改変例４は、ストリーム暗号を採用する手法である。

これは前記の改変手段の変わりにパケットサイズ不変のまま暗号可能なストリーム暗号を採用する方式である。

ストリーム暗号を採用した場合、改変ルールを解析される心配は低い。しかし暗号化や復号化による処理遅延等、通常の改変処理および復元処理と比べてオーバヘッドを要する。そのためストリーム暗号を採用する場合、ある程度処理遅延を許容できるシステムでなければならない。

以上、改変例をいくつか説明したが、この改変の組み合わせも利用可能である。改変ルールパターンが少ない場合、攻撃者に通信を盗聴され、改変ルールを解析される可能性がある。

そこで、改変ルールパターンを組み合わせて利用することで、改変ルールパターン数を多くできるだけでなく、改変ルールを複雑化することができ、解析される危険性を軽減できる。

さらには、改変情報の定期更新を行うことも有効である。この場合には、代理改変処理装置１１および代理復元処理装置１２の改変ルールは定期的に更新される。

改変ルールを長期間更新しない場合、攻撃者に盗聴され、改変ルールを解析される可能性がある。そのため、改変ルールを定期的に更新する必要がある。

改変ルール更新時は、改変モード制御部１３から新しい改変指令情報Ｓを発信し、それを受信した代理改変処理装置１１および代理復元処理装置１２は新しい改変モードへ切替る。

また改変情報更新時における代理復元処理装置１２での工夫として、代理復元処理装置１２は、改変モード更新直前に送信されたパケットの棄却を防ぐため、更新前の改変ルールを一定期間有効にする。改変モード更新前に送信されたパケットの受信処理がすべて完了するだけの十分な時間が経過した後、更新前の改変ルールを破棄する。

尚、改変ルールについての以上の説明ではＩＰｖ４パケットを用いて説明したが、ＩＰｖ４に限らず、他のプロトコル、例えばＩＰｖ６パケットや、ＩＥＥＥ８１３．３ 準拠フレーム、ＩＥＣ６１７８４準拠の各種産業用ネットワークＮＷフレームに対しても適用できる。

これらパケットやフレームに本発明を適用する場合もＩＰｖ４と同様、予約値やヘッダ情報を用いて改変ルールを生成する。

次に、図３により代理改変処理装置１１の処理フローを説明する。この代理改変処理装置１１の処理フローは、情報処理端末ＣＰＵ１からパケットを受け取り次第、処理を開始する。

パケット受信後、ステップＳ１１１において、改変モードであるかどうか判定する。改変モードの判定は、改変モード制御装置１３からの改変指令情報Ｓを解析することで判明する。

改変モードでなければ、当該パケットに改変処理を加えることなく、ステップＳ１１３においてルートＲ１を経由してそのままネットワークＮＷへ送信する。

一方、分岐ステップＳ１１１にて改変モードと判定された場合、ステップＳ１１２において当該パケットに所定の改変処理を施す。この改変処理は、改変モード制御部１３が決定した改変ルールに従った処理である。

ステップＳ１１３では、パケットを改変処理後、改変された当該パケットをネットワークＮＷへ転送する。

次に、図４により代理復元処理装置１２の処理フローを説明する。この代理復元処理装置１２は、ネットワークＮＷからパケットを受け取り次第、処理を開始する。

ステップＳ１２１ではパケット受信後、代理復元処理装置１２が改変モードであるか判定する。改変モードでなければ、ステップＳ１２４において当該パケットをそのまま情報処理端末ＣＰＵ２へ転送する。

一方、分岐ステップＳ１２１にて改変モードと判定された場合、ステップＳ１２２においてＩＥＥＥ８１３．３のエラー検出機能等を用いてビット検査をする。これは、ビットエラーにより改変条件を満足する恐れを防ぐためである。ビットエラー未検出の場合、ステップＳ１２３において当該パケットの改変有無を検査する。

分岐ステップＳ１２２にて、当該パケットの改変を検知した場合、ステップＳ１２４において当該パケットを通過許可し、当該パケットを改変前の状態に戻す。その後ステップＳ１２５で、当該パケットを情報処理端末１５へ転送する。

一方、分岐ステップＳ１２２にて当該パケットの改変を確認できない場合、ステップＳ１２６において当該パケットを通過不許可として破棄する。

次に、改変モード制御装置１３から送信される改変指令情報Ｓの構成例について説明する。改変指令情報Ｓの構成例を図５に示す。

本構成例では、ＩＥＥＥ８１３．３準拠フレームを取り上げている。ＩＥＥＥ８１３．３準拠フレームは、先頭からヘッダ部１４１、データ部１４２、エラー検出部１４３で構成されている。この例では、改変モードを制御する情報をデータ部１４２に埋め込んだものである。

本構成例では、改変モードを制御する情報として、データ部１４２内に制御情報部１４４、改変回数部１４５、照合情報部１４６、優先度情報部１４７および改変ルール情報部１４８を持つ。

このうち制御情報部１４４は、代理改変処理装置１１および代理復元処理装置１２の制御情報を持つ。ここで制御情報とは、パケット改変モードへの切り替えや、パケット改変モードを終了するためのコマンド情報である。その他、改変モード制御部１３を制御する情報を含む場合もある。

改変回数部１４５は、改変ルールの組み合わせパターン数を持つ。例えば、任意の改変ルールを５種類組み合わせて利用する場合、改変回数部の値は５となる。

照合情報部１４６は、改変検知のためのビット照合場所や判定情報を持つ。例えば、ＩＰｖ４パケットのバージョン部の改変を検知したい場合、照合情報部１４６は、ＩＰｖ４パケットのバージョン部の場所情報や、改変時の情報を持つ。この情報をもとに、改変検知手段１２ｂは該当パケットの改変有無を検知し、パケットの通過または棄却を判断する。

優先度情報部１４７は、改変モード制御部１３がネットワークＮＷ内に複数存在する場合、改変指令情報を発信した改変モード制御部１３の優先度情報を持つ。例えば優先度番号や、異常を検知した時刻情報など、優先度を判断するための情報が格納される。

改変ルール情報部１４８は、改変ルールを決定するパラメータを持つ。パラメータの例として、パケット改変パターン情報などがある。代理改変処理装置１１および代理復元処理装置１２は、改変パターン情報部１４８に含まれる情報を基に、改変処理や復元処理を実行する。

図５の改変指令情報Ｓの構成を採用した場合、代理復元処理装置１２内のフィルタリング部１２Ｃは、以下のように機能する。代理復元処理装置１２が改変モードとして動作する場合、フィルタリング部１２Ｃは、改変ルールに応じた照合情報を持つ。この照合情報は、図５に示す改変指令情報Ｓ内の照合情報部１４６から抽出される。

この照合情報部１４６の内容は、改変モード制御部１３内の改変指令情報発信手段１３ｂにて決定されるパケット改変ルールから計算される。他の構成として、照合情報部１４６は情報を持たず、改変ルール情報部１４８の情報から、代理復元処理装置１２にて照合情報を算出する構成も採用できる。この構成の場合、検証パケットのビット照合場所が限定されており、パケット全体を検証する必要はない。したがって、高速なフィルタリングが可能である。

最後に、外部攻撃を検知する働きをする改変モード制御部１３内の振舞い監視部１３ａに求められる機能について説明する。振舞い監視部１３ａには、ＩＤＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔ Ｓｙｓｔｅｍ）の機能と同等の機能が実装される。これによりネットワークトラフィック量による検知や、通常稼働で確認されない異常パケットやフレームの検知等、通常と異なる振舞いを監視する。

ＩＤＳの性能傾向として、柔軟かつ誤検知率が低いほど複雑な処理を必要とする。そのため、異常検知処理方法は、対象システムのリソースを十分考慮して選択する。

以上詳細に説明した本発明の実施例１によれば、以下の効果を奏することができる。

本構成によると、正常端末から送信されたパケットのみ改変処理を施し、不審端末からのパケットは何も処理しない。また本発明による改変処理は、特許文献１の手法と比べ、複雑な処理を必要としない。そのため、処理負荷を低くすることができる。加えてフィルタリング処理も、部分的な改変有無の確認処理のみである。

少ない処理量で通信遅延を大きく抑えることができるため、産業制御システムネットワークにおいて非常に効果的である。

そのため従来の技術と比べ、通信遅延をより押さえつつ、ＤｏＳ攻撃を防止できることができ、発明が解決しようとする課題の第１点を解決している。

同時に、改変処理によってパケットサイズは変わらない。本発明の適用対象システムがサポートする従来の通信技術を利用するため、システム全体構成を変更することなく拡張可能である。

前記通り、産業制御システムはシステム全体の構成を変更した場合、システム最適化のため、一定期間操業を停止しなければならない。場合によっては、最適化できずシステムが立ち上がらない可能性もある。

したがって本発明は、製品リプレース頻度が少ない産業制御システムに対して非常に効果的であるという発明が解決しようとする課題の第２点を解決している。

また本構成では、予め本ゲートウェイ装置を配置した正規な端末のみが改変パケットを送信できるため、不正にネットワークへ接続された端末の通信を防ぎ、なりすましの脅威を抑えられる。

特に産業制御システム内部のネットワークのような、接続可能な端末が限定される場所に対して非常に効果的であるという発明が解決しようとする課題の第３点を解決している。

図１を用いて実施例１の説明を行ったが、この場合にゲートウェイシステムＧＴは、代理改変処理装置１１、代理復元処理装置１２、および改変モード制御装置１３から構成されていると説明した。

また、一般には情報処理端末ＣＰＵ間で相互にデータ送受信を実施するので、各情報処理端末ＣＰＵは、代理改変処理装置１１と代理復元処理装置１２を備えて適宜の送受信状態に応じて切り替え使用することになると説明した。

これらのことから実施例２では、代理改変処理装置１１、代理復元処理装置１２、および改変モード制御装置１３の機能を一体に組み込んだゲートウェイ装置ＧＴを１チップ化し、情報処理端末ＣＰＵとネットワークＮＷ間に標準的に配置するものである。

図６は、複数の情報処理端末ＣＰＵと所内ネットワークＮＷで構成される産業制御システム１０００であって、各情報処理端末ＣＰＵと所内ネットワークＮＷの間に１チップ化ゲートウェイ装置ＧＴを配置したものである。１チップ化ゲートウェイ装置ＧＴは、代理改変処理装置１１と代理復元処理装置１２と改変モード制御装置１３の機能を一体に組み込んだものである。

この１チップ化ゲートウェイ装置ＧＴは、例えば専用ドングル（ｄｏｎｇｌｅ）として構成し、代理改変処理装置１１と代理復元処理装置１２と改変モード制御装置１３の機能をワンチップマイコンに収納する。専用ドングルとすることにより、各情報処理端末ＣＰＵと所内ネットワークＮＷの間の接続がより簡便に行えるし、標準化できる。

専用ドングルによるゲートウェイ装置ＧＴは、２組の端子を備える専用ドングルに収納されたゲートウェイ装置であって、専用ドングル内に、ネットワークにおける悪意の攻撃を検知して改変指令情報をネットワークに発信する改変モード制御装置と、改変モード制御装置からの前記改変指令情報を得て、情報処理端末からネットワークへ送信されるデータを改変指令情報に応じて改変する代理改変処理装置と、改変モード制御装置からの改変指令情報を得て、ネットワークから情報処理端末へ送られるデータについて改変指令情報を基に改変の有無を検査し、改変の有無に応じた処理を実行する代理復元処理装置を備えるとともに、２組の端子の一方をネットワークに接続し、２組の端子の他方を情報処理端末に接続するように構成されたものである。

一般に産業制御システムで使用される情報処理端末ＣＰＵは、その型式やＯＳや機能が多様であることが多いが、実施例２の本発明では外付けの１チップ化ゲートウェイ装置ＧＴの部分で対応できるので情報処理端末ＣＰＵにおける各種の事情を考慮せずとも好い。本発明を構成する各装置の機能を一つの装置としてまとめた構成とすることにより、実施例１のゲートウェイシステムを容易に拡張可能とする。

なお、産業制御システムで使用される情報処理端末ＣＰＵとしては、プログラマブルコントローラ、制御サーバ、遠方監視制御装置ＳＣＡＤＡ、エンジニアリングワークステーションＥＷＳ、プロセスコンピュータ、ユーザインターフェイスＨＭＩなど種々のものがあるので、ネットワークとの接続がドングル化されたゲートウェイ装置ＧＴで実現できることによる標準化のメリットは大きいものがある。

図７は、具体的な外付けの１チップ化ゲートウェイ装置ＧＴの構成を示している。図７のゲートウェイ装置ＧＴの構成は、図１のゲートウェイ装置ＧＴの構成と基本的に同じなので、装置構成についての詳細な説明は省略する。

但し、この場合に取り扱う信号の処理手法としては、変更改良を要する部分が生じてくる。これは、改変モード制御部１３が複数存在することに伴う同期の必要性である。以下この課題の解決策について詳述する。

なお、図７の事例では改変モード制御部１３も含めた一体化を前提としているので、改変モード制御部１３が複数存在することに伴う同期の必要性が発生してくる。従って、１チップ化ゲートウェイ装置ＧＴとしては代理改変処理装置と代理復元処理装置のみを標準的に備え、改変モード制御部１３の機能をネットワーク上に別個に１台設置する構成とするなら、同期の問題を生じないので以下の対策が不要である。１チップ化ゲートウェイ装置ＧＴをドングル化するに際しては、係る構成も可能である。

実施例２の１チップ化ゲートウェイ装置ＧＴの構成を適用したシステムの場合、同じネットワーク内に、実施例１記載の改変モード制御装置１３と同等の処理を担保する改変モード制御部１３が複数存在することとなる。

改変モード制御部１３が同一ネットワークＮＷに複数存在する場合、ネットワークＮＷに分散する複数の代理改変処理部１１および代理復元処理部１２の改変モード整合性が合わなくなる場合もある。

例えば図８の構成では、同一ネットワークＮＷ上の改変モード制御装置１３Ａおよび改変モード制御装置１３Ｂがほぼ同時にネットワーク異常を検知した場合を想定する。

この場合、改変モード制御装置１３Ａおよび改変モード制御装置１３Ｂは、それぞれ改変ルールが異なる改変指令情報ＳＡ，ＳＢを発信する。

これら複数の改変モード制御装置１３がそれぞれ発した改変指令情報Ｓの受信タイミングによって、代理改変処理装置１１および代理復元処理装置１２がそれぞれ異なる改変ルールを採用する場合がある。この場合、その改変ルールは代理復元処理装置１２と異なるため、代理改変処理装置１１から送信されたパケットはフィルタリングされてしまい、受信できないことが想定される。

以上の問題を解決するため、複数の改変モード制御装置１３が同一ネットワークに存在する場合、それらの改変ルールを統一する必要がある。以下、改変モード制御装置１３の間の同期を実現する具体事例を説明する。

改変ルールを統一するため、ネットワーク内の全代理改変処理装置１１、全代理復元処理装置１２および全改変モード制御装置１３を同期することで解決できる。

以下、ネットワーク異常検知時刻を用いた同期例を説明する。

図８の構成において、改変モード制御装置１３Ａおよび改変モード制御装置１３Ｂがほぼ同時にネットワーク異常を検知した場合を想定する。ここで、改変モード制御装置１３Ａが異常を検知した時刻をｔ１、改変モード制御装置１３Ｂが異常を検知した時刻をｔ２とする。

第１の対応事例は、改変処理装置１１、代理復元処理装置１２での処理例である。代理改変処理装置１１及び代理復元処理装置１２の同期化処理の流れを図９に示す。

ここでは、代理改変処理装置１１または代理復元処理装置１２が、改変モード制御装置１３Ａが発行した改変指令情報ＳＡを受信した時、代理改変処理装置１１または代理復元処理装置１２は、改変モード制御装置１３Ａの異常検知時刻（ｔ１）を取得する。

また同様に、代理改変処理装置１１または代理復元処理装置１２が、改変モード制御装置１３Ｂが発行した改変指令情報ＳＢを受信した時、代理改変処理装置１１または代理復元処理装置１２は、改変モード制御装置１３Ｂの異常検知時刻（ｔ２）を取得する。

図９のステップＳ３１では、改変モード制御装置１３Ａの異常検知時刻（ｔ１）取得後、事前に受信した改変モード制御装置１３Ｂの改変指令情報ＳＢから再現した改変モード制御装置１３Ｂが異常を検知した時刻（ｔ２）と比較する。

ｔ１＜ｔ２の場合（Ｙｅｓ）、ステップＳ３２に移り、改変モード制御装置１３Ｂが発行した改変指令情報を破棄し、改変モード制御装置１３Ａが発行した改変モードを引き続き採用する。

一方ｔ１＞ｔ２の場合（Ｎｏ）、ステップＳ３３に移り、受信した改変モード制御装置１３Ａの切替メッセージを棄却し、改変モード制御装置１３Ｂが生成した改変ルールを引き続き採用する。

この手法は、早く異常検知した側の改変モード制御装置１３が生成した改変ルールを引き続き採用するようにしたものである。但し、これは逆に遅く異常検知した側の改変モード制御装置１３が生成した改変ルールを引き続き採用するようにしてもよい。要するに、代理改変処理装置１１と代理復元処理装置１２が、同じ改変モード制御装置１３が生成した改変ルールを選択するように、検知時刻の情報を利用して同一の改編ルールを選択するようにこれらの間で取り決めておけばよい。

第２の対応事例は、改変モード制御装置間の同期を図ったものである。この時の処理フローを図１０に示す。ここでは、改変モード制御装置１３Ｂが、改変モード制御装置１３Ａが生成した改変指令情報を受信する場合を考える。

改変モード制御装置１３Ｂは、ステップＳ４１において自己がネットワークの異常を検知した時、その異常を検知した時刻（ｔ２）を取得する。取得後、ステップＳ４２で改変指令情報ＳＢを生成し、それを送信する。

送信後、改変モード制御装置１３Ａが生成した改変指令情報ＳＡを受信する。ステップＳ４３では、改変指令情報ＳＡから改変モード制御装置１３Ａが異常を取得した時刻（ｔ１）を取得し、ｔ１とｔ２を比較する。

ステップＳ４３の判断がｔ１＜ｔ２である場合、ステップＳ４４に移り改変モード制御装置１３Ａが生成した改変モードＳ１を採用し、ステップＳ４５で優先度が高い改変モード制御装置１３Ａのアドレスを保存する。こうすることで、優先度がより大きな改変モード制御装置１３を把握する。

一方ステップＳ４３の判断が、ｔ１＞ｔ２である場合は、ステップＳ４６に移り受信した改変指令情報ＳＡを棄却する。

この処理を繰り返すことで、ネットワーク全体は最も優先度が高い（異常検知時刻が最も早い）改変モード制御装置１３が生成した改変モードを採用することとなる。こうすることで、改変モード制御装置間の同期ができる。

第３の対応事例は、定期更新による対処であり、例えば改変パターンの定期更新は、優先度が最も高い改変モード制御装置１３により実行される。

すなわち図８の構成例であれば、異常検知時の時刻が早い改変モード制御装置１３Ａが定期的に改変指令情報Ｓを発信することでゲートウェイシステム全体の改変モードを制御する。

一方、改変モード制御装置１３Ｂはネットワーク異常監視のみを行い、改変指令情報Ｓは発信しない。

第４の対応事例は、優先度番号による同期方法である。この手法は、事前に改変モード制御装置１３の優先度を決定し、それに応じて同期を実現する方法である。

第５の対応事例は、優先度番号によるモードの制御である。本手法の特徴は、改変モード制御装置の優先度を事前に決めておくことである。この場合の基本的な処理フローは、ネットワーク異常検知時刻を用いた同期手法と同じであるが、より簡便な番号を用いて管理する。

この例では、改変モード制御装置１３Ａ、代理改変処理装置１１または代理復元処理装置１２が、改変モード制御装置１３Ａにて発信された改変指令情報ＳＡを受信した時、本手法は事前に決められた優先度に従い、改変モード変更処理を実行する。

例えば、改変モード制御装置１３Ａの優先度番号が１、改変モード制御装置１３Ｂの優先度が２である場合、上記例であれば、改変モード制御装置１３Ｂより改変モード制御装置１３Ａの方が優先度は高い。

この時改変モード制御装置１３Ｂは、より優先度の高い改変モード制御装置１３Ａの改変モードを採用し、自身が持つ改変モード情報を破棄する。

図１１に、図８のシステム構成において、優先度が低い改変モード制御装置１３Ｂが異常を検知し、かつ優先度が高い改変モード制御装置１３Ａが異常を検知していない場合の処理の流れを示す。

この優先度が高い改変モード制御装置１３Ａ（優先度：Ｘ）が、優先度が低い改変モード制御装置１３Ｂ（優先度：Ｙ）の改変指令情報ＳＢを受信した状態での処理では、まずステップＳ５１において、受信した改変指令情報を発信した改変モード制御装置１３Ｂの優先度を確認する。そしてステップＳ５２で自身の優先度と比較する。

自身の優先度Ｘが改変モード制御装置１３Ｂの優先度Ｙより高いことを確認した場合、ステップＳ５３に移り受信した改変指令情報を破棄し、ステップＳ５４において自身（改変モード制御装置１３Ａ）で新規に改変指令情報ＳＡを生成し、それを一斉発信する。

逆に自身（改変モード制御装置１３Ａ）の優先度が改変モード制御装置１３Ｂより低い場合、ステップＳ５５に移り受信した改変指令情報ＳＢの内容を採用し、ステップＳ５６において優先度が高い改変モード制御装置１３Ｂのアドレスを保存する。

こうすることで、ゲートウェイシステム全体の改変モードは、優先度が高い改変モード制御装置１３Ａが規定した改変モードを採用し、同期が完了する。

このシステム構成の場合には、さらに異常終了時の処理を工夫する必要がある。ネットワークにおける異常状態の終了を確認するためには、ネットワーク内に配置された全ての改変モード制御装置１３がネットワークの異常終了を確認しなければならない。

図８のシステム構成例の場合に、ネットワーク全体の異常終了を確認する処理の流れを図１２と図１３に示す。図１２は、この場合の優先度が最も高い改変モード制御装置１３Ａのフローチャート、図１３は、この場合の優先度が低い改変モード制御装置１３Ｂのフローチャートを示している。この処理では改変モード制御装置１３Ａと１３Ｂによる連係動作を行うので、図１２と図１３の処理を交互に説明することになる。

まず図１２の改変モード制御装置１３Ａのフローにおいて、自己（優先度が最も高い改変モード制御装置）１３Ａが異常終了確認した状態で、ステップＳ６１において優先度が低い改変モード制御装置１３Ｂの異常観測状況を確認するメッセージを発信する。

メッセージ発信後は、ステップＳ６４で定めた一定時間内は、ステップＳ６２で確認メッセージが返信されてくることを確認している。

このメッセージは改変モード制御装置１３Ｂに伝達され、図１３のフローにおいて異常監視状況確認信号を受け取った改変モード制御装置１３Ｂの動作が開始する。ここでは最初にステップＳ７１においてネットワークの異常を観測し、異常終了を確認済みの場合は何も処理をしない。

一方、メッセージを受け取った改変モード制御装置１３Ｂが異常を継続して観測している場合、ステップＳ７２に移り、優先度が最も高い改変モード制御装置１３Ａへ応答メッセージを送信する。

図１２に戻り、優先度が最も高い改変モード制御装置１３Ａは、ステップＳ６２において一定期間メッセージの返答が無いことを確認した場合、ステップＳ６３においてネットワークの異常が終了したと見なす。そして、ネットワーク内の代理改変処理装置１１及び代理復元処理装置１２に改変指令情報ＳＡを送信し、改変モードを終了させる。

なお応答メッセージを受信した場合、ステップＳ６４において一定時間待機後、確認メッセージを再送する。こうすることで、ネットワーク全体の異常継続有無を確認できる。

実施例２の構成によると、同一ネットワーク内に複数の改変モード制御装置１３が存在する場合でも、ユーザが意識することなく、ネットワーク全体の改変モードを自動的に同期できる。

また、改変モード制御装置１３をネットワーク上のあらゆる位置へ配置できるため、異常の検知度を高くすることが出来る。

次に実施例３として、いわゆるＩＥＣ６１７８４−２（ＥｔｈｅｒＣＡＴ：登録商標）に適用することについて説明する。本発明は、係るリング型ネットワークを利用した産業制御システムのＤｏＳ攻撃対策としても効果的である。

一般的なリング型ネットワークの構成例を図１４に示す。本構成によると、通信を制御するマスタ１７および各端末を表す複数のスレーブ１８がリング状に接続される。

マスタ１７は各スレーブ１８に転送するデータを一つのフレームに埋め込み、各スレーブ１８を中継するようにデータを転送する。転送されたフレームは全スレーブ１８を通過した後、再びマスタ１７へ受信される。

スレーブ１８は、マスタ１７から送られたフレームから自身が必要なデータの読み出しや、送信したいデータをフレームへ書き出す。

係るＩＥＣ６１７８４−２（ＥｔｈｅｒＣＡＴ）ネットワークにおけるＤｏＳ攻撃例として、図１５に示すようにスレーブ１８の空きポートに、攻撃端末１９を不正に接続されて攻撃される場合がある。このように不正に接続された攻撃端末１９が、マスタ１７から転送するフレームを偽装して大量に送信することでＤｏＳ攻撃が成立する恐れがある。

本発明の実施例３におけるＩＥＣ６１７８４−２（ＥｔｈｅｒＣＡＴ）ネットワークに対するＤｏＳ攻撃対策手法として、本発明を適用した例を図１６に示す。この例では、マスタ１７および各スレーブ１８のリング状伝送路を構成する各端子間に、本発明におけるゲートウェイ装置ＧＴを接続した構成である。この際、各スレーブ１８の空き端子に対しても本発明のゲートウェイ装置ＧＴＸを適用する。

つまり、リング型ネットワークを構成する端子に本発明のゲートウェイ装置ＧＴを適用するとともに、リング型ネットワークを構成しない空き端子にも本発明のゲートウェイ装置ＧＴＸを適用しておく。

本発明を適用したリング型ネットワークにおいて、不正にスレーブ端末１８の空き端子に攻撃端末１９を接続した攻撃者が、フレームを偽装してＤｏＳ攻撃した時の対処フローを説明する。

まず、スレーブ１８の攻撃者が接続したポート（空き端子）の受信側に設置されたゲートウェイ装置ＧＴＸの改変モード制御部１３は異常を検知する。異常検知後、リング型ネットワーク上のマスタ受信部のゲートウェイ装置ＧＴＲに向けて異常を検知したことを示すフラグ情報を転送する。

フラグ情報を受け取ったマスタ受信部のゲートウェイ装置ＧＴＲは、マスタ送信部のゲートウェイ装置ＧＴＳ内の改変モード制御部１３に向けて改変モード切替要求を生成するよう通知を出す。

通知を受けたマスタ送信部のゲートウェイ装置ＧＴＳは、適用する改変ルールを決定し、改変指令情報Ｓを生成し、ネットワーク内の各スレーブへ向けて送信する。各スレーブのリング型ネットワーク上の端子に接続されたゲートウェイ装置ＧＴは、ゲートウェイ装置ＧＴＳが受信した改変指令情報受信し、改変モードへ切り替わる。

改変指令情報Ｓは、上記リング型ネットワークにおけるフレーム転送処理と同様、マスタ送信部ＧＴＳから各スレーブ１８を介し、マスタ受信部ＧＴＲへ転送される。

ゲートウェイ装置ＧＴが改変モードへ切り替わった場合、各ゲートウェイ装置ＧＴは改変されていないフレームを破棄する。従って、攻撃者から送信されるフレームは未改変であるため、スレーブ１８の受信側ポートに接続されたゲートウェイ装置ＧＴＸの代理復元処理部１２によって棄却される。

上記のマスタ／スレーブ型通信における改変モード制御部１３の取り扱いについて説明する。上記リング型ネットワークに代表されるマスタ／スレーブ型の通信ネットワークにおいて、各スレーブは異常検知情報をマスタに向けて送信する。マスタ側のゲートウェイ装置は改変指令情報を送信する。特にマスタ／スレーブ型のネットワークでは、上記リング型ネットワークにおける例で示すように、その通信の特徴を利用したゲートウェイ装置間の同期が可能である。

実施例３による効果について説明する。

まず、本構成によると、システムがリング型ネットワークを使用している場合であっても、ＤｏＳ攻撃に対する耐性を備える事ができる。

また正規端末の不正操作対策を行うことができる。

ポートやパケットパターン、フレームタイプ等に応じて、改変可能なパケットやフレーム数を制限できる。

代理改変処理装置１１、またはゲートウェイ装置ＧＴが繋がれた情報処理端末が不正に操作された場合、その端末が攻撃源となる可能性がある。しかし、代理改変処理装置１１、またはゲートウェイ装置ＧＴにおける代理改変処理部１１に改変可能なパケット数やフレーム数の上限を設けた場合、想定しないパケットなど、通常の制御処理に使用しない通信を除外できる。

特に、同じパターンのパケットを大量に送りつける攻撃であるＤｏＳ攻撃に対して、非常に効果的である。

その他攻撃パケットの特徴パターンを定義し、そのパターンに合致したパケットは改変を加えないように設定することも可能である。

なお、以上の実施例の説明では既設の多様な情報処理端末に簡便に設置して試用することを想定しているが、計算機システム自体を新設する場合を想定するのであれば、代理改変処理装置１１、代理復元処理装置１２、改変モード制御装置１３を予め情報処理端末内に構成しておくことも可能であることはうまでもない。この場合に、情報処理端末の同一筺体内、あるいは同一基板上にこの装置を配置することが可能である。また、ハード、ソフトいずれで構成してもよい。

なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施例は本発明を分かりやすく説明するために詳細に説明しているものであり、必ずしも説明したすべての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることが可能であり、またある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の一部について、他の構成の追加、削除、置換をすることが可能である。

また、上記の各構成、機能、処理部、処理手段などは、それらの一部または全部を、例えば集積回路で設計するなどによりハードウェアで実現してもよい。また、上記の各構成、機能などは、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイルなどの情報は、メモリやハードディスク、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）などの記録装置、またはＩＣカード、ＳＤカード、ＤＶＤなどの記録媒体に置くことができる。

また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしもすべての制御線や情報線を示しているとは限らない。実際にはほとんどすべての構成が相互に接続されていると考えてもよい。

１１：代理改変処理装置
１１ａ：改変モード切り替え手段
１１ｂ：改変処理部
１２：代理復元処理装置
１２ａ：改変モード切り替え手段
１２ｂ：改変検知手段
１２ｃ：フィルタリング部
１２ｄ：改変復元手段
１３：改変モード制御装置
１３ａ：振る舞い監視手段
１３ｂ：改変指令情報発信手段
ＣＰＵ：情報処理端末
ＧＴ：ゲートウェイシステム
ＮＷ：ネットワーク
Ｓ：改変指令情報
Ｘ：悪意の攻撃源

Claims (40)

1. ネットワークに接続され、ネットワークにおける悪意の攻撃を検知して改変指令情報をネットワークに発信する改変モード制御装置と、
   該改変モード制御装置からの前記改変指令情報を得て、情報処理端末からネットワークへ送信されるデータを前記改変指令情報に応じて改変する代理改変処理装置と、
   前記改変モード制御装置からの前記改変指令情報を得て、ネットワークから情報処理端末へ送られるデータについて前記改変指令情報を基に改変の有無を検査し、改変の有無に応じた処理を実行する代理復元処理装置を有し、
   前記改変モード制御装置がネットワークに送出する前記改変指令情報は、前記データを改変するときの改変ルールを複数供えており、選択した改変ルールを前記代理改変処理装置と前記代理復元処理装置に送出し、
   前記代理改変処理装置は前記改変指令情報に含まれる前記改変ルールに従ってデータの改変を実行し、
   前記代理復元処理装置は前記改変ルールに従って改変されたデータを改変前の状態に復元することを特徴とするゲートウェイシステム。
2. ネットワークに接続され、ネットワークにおける悪意の攻撃を検知して改変指令情報をネットワークに発信する改変モード制御装置と、
   該改変モード制御装置からの前記改変指令情報を得て、情報処理端末からネットワークへ送信されるデータを前記改変指令情報に応じて改変する代理改変処理装置と、
   前記改変モード制御装置からの前記改変指令情報を得て、ネットワークから情報処理端末へ送られるデータについて前記改変指令情報を基に改変の有無を検査し、改変の有無に応じた処理を実行する代理復元処理装置を有し、
   前記改変モード制御装置がネットワークに送出する前記改変指令情報は、前記データを改変するときの改変ルールを含んでおり、
   前記代理改変処理装置は前記改変指令情報に含まれる前記改変ルールに従ってデータの改変を実行し、
   前記代理復元処理装置は前記改変ルールに従って改変されたデータを改変前の状態に復元するとともに、
   前記改変ルールとして、ネットワーク上で送受信される通信パケットのＩＰｖ４パケットのバージョン部をビット反転させる手法、ＩＰアドレスを改変する手法、アドレスと他のヘッダ情報を組み合わせて利用する手法、ストリーム暗号を採用する手法のうちの少なくとも１つ以上の手法を用いていることを特徴とするゲートウェイシステム。
3. 請求項１または請求項２に記載のゲートウェイシステムにおいて、
   前記代理改変処理装置は、前記ネットワークが正常である場合、前記情報処理端末から送信されるデータを、改変処理を行わず前記ネットワークへ転送する改変モード切替手段を有することを特徴とするゲートウェイシステム。
4. 請求項１から請求項３のいずれか１項に記載のゲートウェイシステムにおいて、
   前記代理改変処理装置は、前記改変指令情報が複数の改変処理を組み合わせることで生成した改変処理手法をもって、前記情報処理端末から送信されるデータに改変を加える改変処理部を有することを特徴とするゲートウェイシステム。
5. 請求項１から請求項４のいずれか１項に記載のゲートウェイシステムにおいて、
   前記代理復元処理装置は、検査すべきデータの位置情報を前記改変指令情報から抽出し、前記情報処理端末へ送られるデータを検査する改変検知手段を有することを特徴とするゲートウェイシステム。
6. 請求項１から請求項５のいずれか１項に記載のゲートウェイシステムにおいて、
   前記代理復元処理装置は、前記情報処理端末へ送られるデータに対し、前記改変指令情報にて指定された改変を検知した場合、前記データを通過し、前記改変指令情報で指定された改変を確認できない場合、前記データを破棄するフィルタリング部と、
   前記フィルタリング部を前記データが通過した場合、前記改変指令情報にて指定された改変処理を適用する前の状態へ、前記データを復元する改変復元手段を有することを特徴とするゲートウェイシステム。
7. 請求項１から請求項６のいずれか１項に記載のゲートウェイシステムにおいて、
   前記代理復元処理装置は、前記ネットワークが正常である場合、前記改変指令情報にて指定された改変の検知処理を実行することなく、前記データを前記情報処理端末へ転送する改変モード切替手段を有することを特徴とするゲートウェイシステム。
8. 請求項１から請求項７のいずれか１項に記載のゲートウェイシステムにおいて、
   前記改変モード制御装置は、前記ネットワークの振舞いを監視し、通常と異なる通信挙動を検知した場合、警告を生成する振舞い監視手段と、
   前記振舞い監視手段の警告を検知した場合に、前記改変指令情報を生成し、前記改変指令情報を、一つまたは複数の前記代理改変処理装置および前記代理復元処理装置へ発信する改変指令情報発信手段を有することを特徴とするゲートウェイシステム。
9. 請求項８記載のゲートウェイシステムおいて、
   前記改変指令情報発信手段は、改変処理手法の情報を複数含む改変指令情報を生成する手段を有することを特徴とするゲートウェイシステム。
10. 請求項８記載のゲートウェイシステムにおいて、
    前記改変指令情報発信手段は、前記改変指令情報を所定の間隔で更新する手段と、
    更新された前記改変指令情報を発信することで、一つ以上の前記代理改変処理装置および一つ以上の前記代理復元処理装置が採用する改変処理の内容を更新する手段を有することを特徴とするゲートウェイシステム。
11. 請求項１０記載のゲートウェイシステムにおいて、
    一つ以上の前記代理改変処理装置および一つ以上の前記代理復元処理装置が採用する改変処理の内容を更新する時、更新する直前の改変処理内容を所定期間有効にする手段を有することを特徴とするゲートウェイシステム。
12. 請求項１から請求項１１のいずれか１項に記載のゲートウェイシステムにおいて、
    複数の前記改変モード制御装置が、前記ネットワーク内の一つ以上の前記代理改変処理装置および一つ以上の前記代理復元処理装置が採用する改変処理内容を統一する改変処理同期手段を有することを特徴とするゲートウェイシステム。
13. 請求項１２記載のゲートウェイシステムにおいて、
    複数の前記改変モード制御装置がそれぞれ発信する前記改変指令情報に、それぞれの前記改変モード制御装置の優先度情報を付加する手段と、
    前記優先度情報を用い、前記改変処理同期手段を統一する手段を有することを特徴とするゲートウェイシステム。
14. 請求項１２記載のゲートウェイシステムにおいて、
    複数の前記改変モード制御装置のうち、最も優先度が高い改変モード制御装置が前記ネットワーク内の一つ以上の前記代理改変処理装置および一つ以上の前記代理復元処理装置が採用する改変処理の内容を決定する手段を有することを特徴とするゲートウェイシステム。
15. 請求項１３または請求項１４記載のゲートウェイシステムにおいて、
    複数の前記改変モード制御装置のうち、最も優先度が高い前記改変モード制御装置は、他の前記改変モード制御装置に対し、前記ネットワークの振舞いを監視する指令を送る手段と、
    前記指令を受けた前記改変モード制御装置は、前記ネットワークの振舞いを監視し、正常と異なる挙動を観測した場合、その情報を最も優先度が高い前記改変モード制御装置へ通知する手段を有することを特徴とするゲートウェイシステム。
16. 請求項１から請求項１５のいずれか１項に記載のゲートウェイシステムにおいて、
    前記代理改変処理装置は、前記情報処理端末から送信されるデータの属性値を基に、前記属性値ごとに改変処理を実行するデータ数を制限する手段を有することを特徴とするゲートウェイシステム。
17. 請求項１６に記載のゲートウェイシステムにおいて、
    前記属性値は、前記情報処理端末から送信されるデータの送信先アドレスと、受信アドレスと、ポート番号と、フレーム番号と、データパターンとのいずれか、もしくはそれら複数の組み合わせであることを特徴とするゲートウェイシステム。
18. ネットワークで接続された複数の情報処理端末により構成された産業制御用の計算機システムであって、
    前記複数の情報処理端末は、請求項１から請求項１７のいずれか１項に記載のゲートウェイシステムのうち、代理改変処理装置と代理復元処理装置を介して前記ネットワークに接続されており、ネットワーク上にすくなくとも１つの改変モード制御装置が接続されていることを特徴とする計算機システム。
19. ２組の端子を備える専用ドングルに収納されたゲートウェイ装置であって、
    前記専用ドングル内に、ネットワークにおける悪意の攻撃を検知して改変指令情報をネットワークに発信する改変モード制御装置と、該改変モード制御装置からの前記改変指令情報を得て、情報処理端末からネットワークへ送信されるデータを前記改変指令情報に応じて改変する代理改変処理装置と、前記改変モード制御装置からの前記改変指令情報を得て、ネットワークから情報処理端末へ送られるデータについて前記改変指令情報を基に改変の有無を検査し、改変の有無に応じた処理を実行する代理復元処理装置を備え、
    前記２組の端子の一方を前記ネットワークに接続し、前記２組の端子の他方を前記情報処理端末に接続するように構成されているとともに、
    前記改変モード制御装置がネットワークに送出する前記改変指令情報は、前記データを改変するときの改変ルールを複数供えており、選択した改変ルールをネットワークに送出し、
    前記代理改変処理装置は前記改変指令情報に含まれる前記改変ルールに従ってデータの改変を実行し、
    前記代理復元処理装置は前記改変ルールに従って改変されたデータを改変前の状態に復元することを特徴とするゲートウェイ装置。
20. ネットワークで接続された複数の情報処理端末により構成された産業制御用の計算機システムであって、
    前記複数の情報処理端末は、請求項１９に記載の専用ドングルに収納されたゲートウェイ装置により前記ネットワークに接続されていることを特徴とする計算機システム。
21. 情報処理端末とネットワークの間にそれぞれ接続されるゲートウェイ装置であって、
    各ゲートウェイ装置は、
    前記ネットワークにおける悪意の攻撃を検知して、改変指令情報を代理改変処理部および代理復元処理部へ通知する改変モード制御部と、
    前記情報処理端末から前記ネットワークへ送信されるデータを、前記改変指令情報に応じて改変する代理改変処理部と、
    前記ネットワークから前記情報処理端末へ送られるデータを、前記改変指令情報を基に改変の有無を検査し、改変の有無に応じた処理を実行する代理復元処理部を有し、
    前記改変モード制御部がネットワークに送出する前記改変指令情報は、前記データを改変するときの改変ルールを複数供えており、選択した改変ルールを前記代理改変処理部と前記代理復元処理部に送出し、
    前記代理改変処理部は前記改変指令情報に含まれる前記改変ルールに従ってデータの改変を実行し、
    前記代理復元処理部は前記改変ルールに従って改変されたデータを改変前の状態に復元することを特徴とするゲートウェイ装置。
22. 請求項２１記載のゲートウェイ装置において、
    前記改変モード制御部は、前記ネットワークに接続された他の前記ゲートウェイ装置へ前記改変指令情報を通知する手段と、
    他の前記ゲートウェイ装置から通知された前記改変指令情報を受信する手段を有することを特徴とするゲートウェイ装置。
23. 請求項２１または請求項２２に記載のゲートウェイ装置において、
    前記代理改変処理部は、前記ネットワークが正常である場合、前記情報処理端末から送信されるデータを、改変処理を行わず前記ネットワークへ転送する改変モード切替手段を有することを特徴とするゲートウェイ装置。
24. 請求項２１から請求項２３のいずれか１項に記載のゲートウェイ装置において、
    前記代理改変処理部は、前記改変指令情報が複数の改変処理手を組み合わせることで生成した改変処理手法をもって、前記情報処理端末から送信されるデータに改変を加える改変処理部を有することを特徴とするゲートウェイ装置。
25. 請求項２１から請求項２３のいずれか１項に記載のゲートウェイ装置において、
    前記代理復元処理部は、検査すべきデータの位置情報を前記改変指令情報から抽出し、前記情報処理端末へ送られるデータを検査する改変検知手段を有することを特徴とするゲートウェイ装置。
26. 請求項２１から請求項２５のいずれか１項に記載のゲートウェイ装置において、
    前記代理復元処理部は、前記情報処理端末へ送られるデータに対し、前記改変指令情報にて指定された改変を検知した場合、前記データを通過し、前記改変指令情報で指定された改変を確認できない場合、前記データを破棄するフィルタリング部と、
    前記フィルタリング部を前記データが通過した場合、前記改変指令情報にて指定された改変処理を適用する前の状態へ、前記データを復元する改変復元手段を有することを特徴とするゲートウェイ装置。
27. 請求項２１から請求項２５のいずれか１項に記載のゲートウェイ装置において、
    前記代理復元処理部は、前記ネットワークが正常である場合、前記改変指令情報にて指定された改変の検知処理を実行することなく、前記データを前記情報処理端末へ転送する改変モード切替手段を有することを特徴とするゲートウェイ装置。
28. 請求項２１から請求項２７のいずれか１項に記載のゲートウェイ装置において、
    前記改変モード制御部は、前記ネットワークの振舞いを監視し、通常と異なる通信挙動を検知した場合、警告を生成する振舞い監視手段と、
    前記振舞い監視手段の警告を検知した場合に、前記改変指令情報を生成し、前記改変指令情報を、一つまたは複数の前記代理改変処理部および前記代理復元処理部へ発信する改変指令情報発信手段を有することを特徴とするゲートウェイ装置。
29. 請求項２８に記載のゲートウェイ装置において、
    前記改変指令情報発信手段は、改変処理手法の情報を複数含む改変指令情報を生成する手段を有することを有することを特徴とするゲートウェイ装置。
30. 請求項２９に記載のゲートウェイ装置において、
    前記改変指令情報発信手段は、前記改変指令情報を所定の間隔で更新する手段と、
    更新された前記改変指令情報を発信することで、一つ以上の前記代理改変処理部および一つ以上の前記代理復元処理部が採用する改変処理の内容を更新する手段を有することを特徴とするゲートウェイ装置。
31. 請求項３０に記載のゲートウェイ装置において、
    一つ以上の前記代理改変処理部および一つ以上の前記代理復元処理部が採用する改変処理の内容を更新する時、更新する直前の改変処理内容を所定期間有効にする手段を有することを特徴とするゲートウェイ装置。
32. 請求項２１から請求項３１のいずれか１項に記載のゲートウェイ装置において、
    複数の前記改変モード制御部が、前記ネットワーク内の一つ以上の前記代理改変処理部および一つ以上の前記代理復元処理部が採用する改変処理内容を統一する改変処理同期手段を有することを特徴とするゲートウェイ装置。
33. 請求項３２に記載のゲートウェイ装置において、
    複数の前記改変モード制御部がそれぞれ発信する前記改変指令情報に、それぞれの前記改変モード制御部の優先度情報を付加する手段と、
    前記優先度情報を用い、前記改変処理同期手段を統一する手段を有することを特徴とするゲートウェイ装置。
34. 請求項３３に記載のゲートウェイ装置において、
    複数の前記改変モード制御部のうち、最も優先度が高い改変モード制御部が前記ネットワーク内の一つ以上の前記代理改変処理部および一つ以上の前記代理復元処理部が採用する改変処理の内容を決定する手段を有することを特徴とするゲートウェイ装置。
35. 請求項３３または請求項３４に記載のゲートウェイ装置において、
    複数の前記改変モード制御部のうち、最も優先度が高い前記改変モード制御部は、他の前記改変モード制御部に対し、前記ネットワークの振舞いを監視する指令を送る手段と、
    前記指令を受けた前記改変モード制御部は、前記ネットワークの振舞いを監視し、正常と異なる挙動を観測した場合、その情報を最も優先度が高い前記改変モード制御部へ通知する手段とを有することを特徴とするゲートウェイ装置。
36. 請求項２１から請求項３５のいずれか１項に記載のゲートウェイ装置において、
    前記代理改変処理部は、前記情報処理端末から送信されるデータの属性値を基に、前記属性値ごとに改変処理を実行するデータ数を制限する手段を有することを特徴とするゲートウェイ装置。
37. 請求項３６に記載のゲートウェイ装置において、
    前記属性値は、前記情報処理端末から送信されるデータの送信先アドレスと、受信アドレスと、ポート番号と、フレーム番号と、データパターンとのいずれか、もしくはそれら複数の組み合わせであることを特徴とするゲートウェイ装置。
38. ２組の端子を備える専用ドングルに収納されたゲートウェイ装置であって、
    前記専用ドングル内に、ネットワークに設けられ悪意の攻撃を検知して改変指令情報を発信する改変モード制御装置からの前記改変指令情報を得て、情報処理端末からネットワークへ送信されるデータを前記改変指令情報に応じて改変する代理改変処理装置と、前記改変モード制御装置からの前記改変指令情報を得て、ネットワークから情報処理端末へ送られるデータについて前記改変指令情報を基に改変の有無を検査し、改変の有無に応じた処理を実行する代理復元処理装置を備え、
    前記２組の端子の一方を前記ネットワークに接続し、前記２組の端子の他方を前記情報処理端末に接続するように構成されているとともに、
    前記改変モード制御装置がネットワークに送出する前記改変指令情報は、前記データを改変するときの改変ルールを複数供えており、選択した改変ルールがネットワークに送出されており、
    前記代理改変処理装置は前記改変指令情報に含まれる前記改変ルールに従ってデータの改変を実行し、
    前記代理復元処理装置は前記改変ルールに従って改変されたデータを改変前の状態に復元することを特徴とするゲートウェイ装置。
39. ネットワークで接続された複数の情報処理端末により構成された産業制御用の計算機システムであって、
    前記複数の情報処理端末は、請求項３８に記載の専用ドングルに収納されたゲートウェイ装置により前記ネットワークに接続されていることを特徴とする計算機システム。
40. 通信を制御するマスタおよび複数のスレーブがリング状に接続されたリング型ネットワーク構成の計算機システムにおいて、
    前記マスタとスレーブの前記リング型ネットワークに接続する端子と前記リング型ネットワークに接続しない端子にゲートウェイ装置を設け、
    前記リング型ネットワークに接続しない端子に設けられたゲートウェイ装置が悪意の攻撃を検知して改変指令情報を発信し、
    前記マスタの前記リング型ネットワークに接続する受信側端子に設けられたゲートウェイ装置が前記改変指令情報を受信し、
    前記マスタの前記リング型ネットワークに接続する送信側端子に設けられたゲートウェイ装置がスレーブへ送信されるデータを前記改変指令情報に応じて改変し、
    前記スレーブは、前記改変指令情報を得て、前記スレーブへ送られるデータについて前記改変指令情報を基に改変の有無を検査し、改変の有無に応じた処理を実行するとともに、
    前記リング型ネットワークに接続しない端子に設けられたゲートウェイ装置がネットワークに送出する前記改変指令情報は、前記データを改変するときの改変ルールを複数供えており、選択した改変ルールをネットワークに送出し、
    前記マスタの前記リング型ネットワークに接続する送信側端子に設けられたゲートウェイ装置が前記改変指令情報に含まれる前記改変ルールに従ってデータの改変を実行し、
    前記スレーブは前記改変ルールに従って改変されたデータを改変前の状態に復元することを特徴とする計算機システム。

Images