JP6634009B2 - ハニーポートが有効なネットワークセキュリティ - Google Patents

Description

本明細書で開示される主題は、概してネットワークセキュリティならびにコンピュータネットワークに結合された制御システムおよび制御ネットワークのセキュリティに関する。

コンピュータネットワークおよびネットワーク技術は、以前は存在しなかった領域まで拡大している。例えば、風力タービン、ガスタービン、圧縮機、モータ、発電機および他のデバイス等の機械の動作を監視および制御する、監視および／または制御システム（例えば産業用制御システム）は、ますます相互接続されたものとなっている。この相互接続により、物理的に別個の機械と例えば単一の監視ステーションとの間の情報の共有が可能となる。しかしながら、従来のクローズ型（即ちネットワーク接続されていない）システムが相互接続されるにつれ、サイバー攻撃（例えばハッキング）による潜在的な脅威も増加してきた。

産業用制御システムのためのセキュリティの改善についていくつかの試みが行われてきた。例えば、パデューモデル（Ｐｕｒｄｕｅ ｍｏｄｅｌ）等の制御階層モデルが導入されてきた。これらのモデルは、産業用制御システム（「ＩＣＳ：ｉｎｄｕｓｔｒｉａｌ ｃｏｎｔｒｏｌ ｓｙｓｔｅｍｓ」）のオーナー、オペレータおよび提供者に、セキュリティ議論の枠組み作りに使用するための有益な共通言語を提供してきたが、静的データフロー、中央制御および周辺だけを対象にしたセキュリティの暗黙の想定が時代遅れであることを証明し得る。実際、ＩＣＳ技術（分布型制御、スマートデバイスおよび相互運用性）とますます洗練される脆弱性に対する開発との両方における進歩は、侵入検知のためのより堅牢なモデルおよび技術への需要をもたらし得る。更に、仮想化、協働化／社会化、およびクラウドベースのインフラストラクチャー／サービス等の新興の勢いは、周辺セキュリティ（即ち、主にシステムへの侵入の回避に焦点を当てたネットワークセキュリティ）のみに基づいて確立された防御態勢の妥当性に疑問を更に呈し得る。

加えて、ＩＣＳが例えば会社のネットワークに結合される場合、更なるセキュリティの問題が発生し得る。エンドポイントセキュリティは、会社のネットワークへの不正アクセスを回避するために利用されてきた１つの技術であり、この技術により企業は、会社のネットワークへのアクセスを許可する前に各デバイスまたはホストを認証およびスキャンする。しかしながら、生産性と増大するネットワークへのアクセスの需要を高める消費者製品の急増は、ネットワークエッジにおける保護が不十分であり得るモデルをもたらしてきた。したがって、エンドユーザの多数のデバイスおよび企業への持続的な接続性の強い要求に伴い、データは監視されず、潜在的に保護されずに、ネットワークの内外へと流れることも多い。加えて、個人的なクラウドストレージおよびソーシャルネットワーキングの使用に伴い、機密データの損失または操作に関するリスクは著しく高まることが証明できる。

ＩＣＳならびにＩＣＳが結合され得る会社のネットワークの両方に対する増加するサイバー攻撃の可能性を考慮すると、ＩＣＳならびに会社のネットワークの両方への不正侵入の検知に関連する増加するセキュリティへの需要が存在する。したがって、従来技術の困難を克服し、試みられたネットワークへの侵入の増加する検知を可能にするシステムおよび技術を導入することが望ましい。

米国特許出願公開第２０１２／０２９７４５２号明細書

本発明の１つまたは複数の特定の実施形態を以下で説明する。これらの実施形態の簡潔な説明を提供するために、実際の導入例の全ての特徴を本明細書では説明しないことがある。いずれのこのような実際の導入例の開発では、いずれのエンジニアリングまたは設計プロジェクトで行われるように、例えば１つの導入例と別の導入例との間で変化し得るシステム関連のおよびビジネス関連の制約を有するコンプライアンス等の開発者の特定の目標を達成するために、多数の導入例−仕様決定を実施しなければならないことを理解されたい。また、このような開発努力は複雑かつ時間のかかるものであり得るが、それにも関わらず本開示の利益を得る当業者にとっては、設計、製作および製造の慣例的な仕事であろうことを理解されたい。

一実施形態では、デバイスは、第１の通信プロトコルを用いて第１の信号を生成し、第２の通信プロトコルを用いて第２の信号を生成し、かつ第１の信号および第２の信号を送信するように構成されたプロセッサを備え、第１の信号はプロセッサにより受信されるデータに対応し、第２の信号はプロセッサにより生成されるねつ造されたデータからなる。

別の実施形態では、コンピュータが実行可能なコードが記憶された非一時的コンピュータ可読媒体は、データを受信し、第１の通信プロトコルを用いて第１の信号を生成し、第２の通信プロトコルを用いて第２の信号を生成し、かつ第１の信号および第２の信号を送信するための命令からなるコードを含み、第１の信号は受信されるデータに対応し、第２の信号はねつ造されたデータからなる。

更なる実施形態では、デバイスは、命令を記憶するように構成されたメモリと、記憶された命令を実行して機械の動作特性に対応するデータを受信し、機械に関連する第１の通信プロトコルを用いて第１の信号を生成し、機械に関連する第２の通信プロトコルを用いて第２の信号を生成し、かつ第１の信号および第２の信号を送信するように構成されたプロセッサとを備え、第１の信号はプロセッサにより受信されるデータに対応し、第２の信号はプロセッサにより生成されるねつ造されたデータからなる。

これらのおよび他の本発明の特徴、態様、ならびに利点は、添付の図面（図面中、図面を通して類似の符号は類似の部分を表す）を参照して以下の詳細な説明を読むとよりよく理解されるであろう。

一実施形態による、コンピュータネットワークおよび産業用制御システムを含む実施形態のブロック図である。 一実施形態による、図１の制御システムのブロック図である。 一実施形態による、図１のヒューマンマシンインターフェースのブロック図である。 一実施形態による、図１の産業用制御システムの動作に関連する方法の一実施形態を示すフローチャートである。 一実施形態による、図１の産業用制御システムの動作に関連する方法の第２の実施形態を示すフローチャートである。

本発明の１つまたは複数の特定の実施形態を以下に説明する。これらの実施形態の簡潔な説明を提供するために、実際の導入の全ての特徴を本明細書では説明しないことがある。いずれのこのような実際の導入例の開発では、いずれのエンジニアリングまたは設計プロジェクトで行われるように、例えば１つの導入例と別の導入例との間で変化し得るシステム関連のおよびビジネス関連の制約を有するコンプライアンス等の開発者の特定の目標を達成するために、多数の導入例−仕様決定を実施しなければならないことを理解されたい。また、このような開発努力は複雑かつ時間のかかるものであり得るが、それにも関わらず本開示の利益を得る当業者にとっては、設計、製作および製造の慣例的な仕事であろうことを理解されたい。

本発明の様々な実施形態の要素を紹介する際、冠詞「ａ」、「ａｎ」、「ｔｈｅ」、および「前記（ｓａｉｄ）」は、要素のうちの１つまたは複数が存在することを意味することを意図している。用語「〜からなる（ｃｏｍｐｒｉｓｉｎｇ）」、「〜を含む（ｉｎｃｌｕｄｉｎｇ）」および「〜を有する（ｈａｖｉｎｇ）」は、含有することと、列挙された要素の他に追加の要素が存在し得ることとを意味することを意図している。

産業用制御システム（「ＩＣＳ」）への侵入を検知するためのシステムおよび技術を以下に詳細に述べる。技術は、攻撃者には本物に見える偽のサービスの生成を可能とするハニーポートおよび／またはハニーポットの使用を含む。ハニーポートは、接続が行われることを監視して接続が確立された時に報告するダミーポートであってよい。ハニーポートは、ハッカーのポートスキャナをこれに接続するようにおびき寄せることができる偽のサービスを含んでよい。ハニーポートは、ネットワークへの攻撃者または侵入者に関する情報を集めるよう設定された部分的なまたは完全なシステム（例えば、おとりサーバまたはおとりシステム）であってよい。ハニーポートおよび／またはハニーポットの使用により、攻撃者がシステムにおいて追加で旋回し、より長く接続状態に留まるようにし、かつ攻撃者または動機を識別されやすくすることができる。したがってハニーポートは、正確に導入された場合、偽装のアクション（例えば、ネットワークへの偵察）をシステム管理者に警告する補助となり得る。偵察および訴訟対象となる脅威の情報に焦点を当てることにより、ゼロデイの脅威に比較的さらされたままになるのとは対照的に、ネットワークは攻撃者を直ぐに検知できるようになり、かつ迅速に調査および応答するための態勢をとることになる。

ＩＣＳにおけるハニーポートの成功している導入例は、ネットワークポートスキャンの種類に関係なく攻撃者を識別することを補助するために使用できる遠隔データを取り込む能力と、代表される動作環境において期待されるようなサービスの正確な表現の生成および提示とを含む。これは例えば、偽のまたは脆弱なアプリケーション／バージョンバナー情報および／もしくは事前スキャンされたもしくはランダム化された文字列のリプライを例えば完全なＴＣＰ接続セッションに対して表示することを含んでよい。加えて、ホワイトリスト（例えば、特定の特権、サービス、モビリティ、アクセスもしくは認識が与えられたエンティティのリストまたはレジスタ）に存在しない接続またはホワイトリストに列挙されている場合でも複数のハニーポートを周遊する接続に基づいてファイアウォールの動的アップデートが存在してよい。

上記を念頭に置いて、図１は産業用制御システム（「ＩＣＳ」）１０と会社のコンピュータネットワーク等のコンピュータネットワーク１２とのブロック図を示す。いくつかの実施形態では、ＩＣＳ１０は１つまたは複数のフィールドロケーション１４、制御システムネットワーク１６、およびこれらの間の通信インターフェース１８を含んでよい。フィールドロケーション１４は、制御システム２０ならびに監視対象の機械２２を含んでよい。いくつかの実施形態では、制御システム２０は機械２２の１つまたは複数の動作パラメータを監視することができる。特定の実施形態では、機械２２は以下：風力タービン、蒸気タービン、水力タービン、ガスタービン、航空機転用タービン、圧縮機、ギア、ターボエキスパンダ、遠心ポンプ、モータ、発電機、ファン、ブロワ、攪拌器、ミキサ、遠心分離器、パルプレファイナ、ボールミル、砕石機／粉砕機、押出成形機、ペレット製造機、冷却塔／熱交換ファン、および／または監視対象として好適な他のシステムのうちの１つまたは複数を代表するものであってよい。

機械２２の動作中、１つまたは複数のセンサは、機械２２の１つまたは複数の動作パラメータを測定して、測定した値を信号として制御システムへと送信することができる。センサは、例えばタービンの軸の回転速度、タービンの動作温度または他の同様の動作パラメータ等の、機械２２またはその内部の構成要素の様々なパラメータを測定するために使用できる、変換器または他の好適な測定デバイスであってよい。センサは、監視対象の機械２２の動作パラメータに関連する信号を制御システム２０へと送信することができる。

いくつかの実施形態では、制御システム２０は、例えばＧｅｎｅｒａｌ Ｅｌｅｃｔｒｉｃ（登録商標）（スケネクタディ、ニューヨーク）から入手可能なＳＰＥＥＤＴＲＯＮＩＣ（登録商標）Ｍａｒｋ ＶＩ タービン制御システムもしくは同様のシステムと同様の監視システムであってよく、またはこれら自体であってよい。一実施形態では、制御システム２０は、機械２２の測定された動作パラメータを示す信号を受信することができ、かつ、機械２２の測定された動作パラメータを示す信号を記録および／または分析して、例えば機械２２への入力値を調整するために（例えば機械２２の動作を制御するために）使用される制御信号を生成することができる。

いくつかの実施形態では、制御システム２０は機械２２の動作に関連する情報をインターフェース１８へと送信することができる。インターフェース１８は、通信信号を送信するルータまたは他のネットワークデバイスであってよい。加えてまたはあるいは、インターフェース１８は、フィールドロケーション１４と制御システムネットワーク１６との間で送信される信号を変更する（例えば、１つの通信プロトコルから別の通信プロトコルへと信号を変換する）通信インターフェースであってよい。インターフェース１８は、フィールドロケーション１４と制御システムネットワーク１６との間で受信された信号を、物理的接続または無線接続であり得る信号経路２４に沿って送信することができる。例えば信号経路２４は、イーサーネット接続等の有線接続であってよい。あるいは信号経路２４は、ローカルエリアネットワーク（ＬＡＮ）（例えばＷｉ−Ｆｉ）、ワイドエリアネットワーク（ＷＡＮ）（例えば３Ｇまたは４Ｇ）、Ｂｌｕｅｔｏｏｔｈ(登録商標）ネットワークおよび／または別の無線ネットワークの一部等の、無線通信経路であってよい。

図１に示すように、信号経路２４を、制御システムネットワーク１６内の１つまたは複数のサーバ２６ならびにヒューマンマシンインターフェース２８に結合することができる。サーバ２６としては例えば、フィールドロケーション１４のデータの記憶および／もしくは取り出しを可能にするデータ取得サーバ、他のコンピュータプログラムもしくはコンピュータにデータベースサービスを提供するデータベースサーバ、ならびに／または他の様々なサーバを挙げることができる。加えて、前述したように、制御システムネットワーク１６は、例えばワークステーションおよび／もしくはコンピュータを含むことができる１つまたは複数のヒューマンマシンインターフェース２８を含んでよい。このワークステーションまたはコンピュータを利用して、例えば、１つまたは複数のフィールドロケーション１４に関連するユーザに対して情報を表示して、フィールドロケーション１４のうちの１つもしくは複数に存在する要素の監視および／または制御を可能にできる。

いくつかの実施形態では、制御システムネットワーク１６を、信号経路３０に沿って、例えばコンピュータネットワーク１２に結合することができる。信号経路３０は、上述の信号経路２４と同様に、物理的な接続または無線接続であってよい。一実施形態では、信号経路３０は、制御システムネットワーク１６をコンピュータネットワーク１２内のファイアウォール３２に結合することができる。このファイアウォール３２は例えば、受信したデータパケットを分析して受信したパケットが承認されているかどうかを決定することにより、入ってくるおよび出ていくネットワークトラフィックを制御するソフトウェアまたはハードウェアベースのネットワークセキュリティシステムであってよい。つまり、ファイアウォール３２は、コンピュータネットワーク１２ならびにファイアウォール３２に結合された１つまたは複数のサーバ３６およびヒューマンマシンインターフェース３８の信号経路３４に対する不正アクセスを回避することができる。

サーバ３６としては例えば、電子メッセージの記憶および／もしくは交換を可能にするｅメールサーバ、他のコンピュータプログラムもしくはコンピュータにデータベースサービスを提供するビジネスサーバ、ならびに／または他の様々なサーバを挙げることができる。加えて、制御システムネットワーク１６と同様に、コンピュータネットワーク１２は、例えばワークステーションおよび／もしくはコンピュータを含んでよい１つまたは複数のヒューマンマシンインターフェース３８を含んでよい。このワークステーションまたはコンピュータを利用して、例えば、１つまたは複数のユーザとサーバ３６との対話、ならびにコンピュータネットワーク１２の様々な部分への一般的なまたは所定のアクセスを可能にできる。

ヒューマンマシンインターフェース３８は、（例えばインターネット接続を介した）コンピュータネットワーク１２内の要素とインターフェースするだけでなくてよい。実際、ヒューマンマシンインターフェース３８（ならびに１つまたは複数のサーバ３６）は、コンピュータネットワーク１２の外部のエンティティとインターフェースしてもよい。これは、１つまたは複数のルータおよび／もしくは他の通信インフラストラクチャーであり得るインターフェース４０を通じたインターネット４４への接続を介して達成できる。いくつかの実施形態では、インターフェース４０は、バックアップ制御センタ４２から制御システムネットワーク１６への（具体的には信号経路２４の）信号の送信を可能にして、１つまたは複数のフィールドロケーション１４の要素の二次的な監視および／または制御を可能にしてもよい。いくつかの実施形態では、バックアップ制御センタ４２は、問題が制御システムネットワーク１６の一部に失敗を引き起こした時に動作することができ、これにより様々なフィールドロケーション１４の要素の監視および／または制御を低減するおよび／または排除する。

この様式では、コンピュータネットワーク１２の様々な要素と制御システムネットワーク１６とを、相互接続してよい。更にこの様式では、外部のユーザおよびネットワークへのアクセスを確立できる。しかしながら、外部アクセスを可能とするネットワークを有することは、これらのネットワークのセキュリティを強化するという要望も発生させ得る。コンピュータネットワーク１２および制御システムネットワーク１６の両方のセキュリティを強化するための１つの技術は、侵入検知システム（ＩＤＳ：ｉｎｔｒｕｓｉｏｎ ｄｅｔｅｃｔｉｏｎ ｓｙｓｔｅｍ）を導入することである。ＩＤＳは、ネットワークまたはシステムの行為を監視すること可能にするデバイスおよび／または（例えば、メモリまたはストレージ等のデバイス上に記憶された）ソフトウェアアプリケーションである。具体的には、ＩＤＳは悪意のある行為、ハッキングの試み、ポリシー侵害または他の疑わしいネットワーク挙動を探索し、アクションの指標（例えばインスタンスのログ）を（例えばサーバ２６および３６のうちの一方または両方に配置してよい）管理ステーションおよび／またはシステムへと送信することができる。

疑わしいおよび／または悪意のあるネットワーク使用の検知を補助するために、ＩＤＳはＩＤＳセンサ４６を含んでよい。これらのＩＤＳセンサ４６は、コンピュータネットワーク１２の様々なポイントに存在してよく、かつ例えばインターネット４４からの攻撃または望まない侵入を確認するように動作することができる。しかしながら、攻撃／悪意のある行為は、ＩＣＳ１０にも影響し得る。したがって、ＩＤＳセンサ４６を例えば様々なフィールドロケーション１４ならびに制御システムネットワーク１６に設けてもよい。例えばＩＤＳセンサ４６を制御システム２０内およびヒューマンマシンインターフェース２８内に配置してよい。これらのＩＤＳセンサ４６の導入および動作、ならびにＩＤＳ全体は、以下で説明される図面と併せて詳述される。

図２は図１の制御システム２０を示す。いくつかの実施形態では、制御システム２０は、制御モジュール４８と、例えばカードラックに配設された１つまたは複数の入力／出力（Ｉ／Ｏ）カード５０とを含んでよい。いくつかの実施形態では、制御モジュールは、プロセッサ５２および／または他のデータ処理回路（例えば、汎用中央処理装置（ＣＰＵ：ｃｅｎｔｒａｌ ｐｒｏｃｅｓｓｉｎｇ ｕｎｉｔｓ）、組み込みＣＰＵ、システムオンチップ（ＳＯＣ：ｓｙｓｔｅｍｓ ｏｎ ａ ｃｈｉｐ）、アプリケーション特定用途向けプロセッサ、アプリケーション特定用途向け集積回路（ＡＳＩＣ：ａｐｐｌｉｃａｔｉｏｎ ｓｐｅｃｉｆｉｃ ｉｎｔｅｇｒａｔｅｄ ｃｉｒｃｕｉｔｓ）、フィールドプログラム可能ゲートアレイ（ＦＰＧＡ：ｆｉｅｌｄ ｐｒｏｇｒａｍｍａｂｌｅ ｇａｔｅ ａｒｒａｙｓ）、およびこれらの組み合わせ）を備えてよく、これらは本開示の技術を実施するための命令を実行するためにメモリ５４に動作可能に結合することができる。これらの命令を、プロセッサ５２が実行できるプログラムに符号化することができる。命令を、上記の命令またはルーティンを少なくとも一括保存するメモリ５４等の少なくとも１つの有形のコンピュータ可読媒体を含む、製造業者のいずれの好適な物品に記憶してよい。

メモリ５４としては例えば、ランダムアクセスメモリ、読み取り専用メモリ、書き換え可能メモリ、フラッシュメモリ、および／または他の物理的な記憶デバイスを挙げることができる。制御モジュール４８は、入力／出力（Ｉ／Ｏ）インターフェース５６も含んでよい。このＩ／Ｏインターフェース５６は、制御システム２０を図１のインターフェース１８へと接続し、パーソナルエリアネットワーク（ＰＡＮ：ｐｅｒｓｏｎａｌ ａｒｅａ ｎｅｔｗｏｒｋ）（例えばＢｌｕｅｔｏｏｔｈ(登録商標））、ローカルエリアネットワーク（ＬＡＮ）（例えばＷｉ−Ｆｉ）、ワイドエリアネットワーク（ＷＡＮ）（例えば３ＧまたはＬＴＥ）、イーサーネット接続等を介した通信を可能にしてよい。したがって制御システム２０は、Ｉ／Ｏインターフェース５６を通して、例えば信号経路２４を用いて通信することができ、これにより、サーバ２６およびＨＭＩ２８等の他のネットワークデバイスを用いたクラウドストレージ、処理および／または通信を可能とする。

制御システム２０は、制御モジュール４８を例えばＩ／Ｏカード５０のそれぞれに結合する内部バス５８も含んでよく、これによりＩ／Ｏカード５０から制御モジュール４８へのデータの通信を可能とする。加えて、内部バス５８はＩ／Ｏカード５０間の内部カード通信を可能としてよい。加えて、図示するように、Ｉ／Ｏカード５０のそれぞれは、デジタル信号プロセッサ（ＤＳＰ：ｄｉｇｉｔａｌ ｓｉｇｎａｌ ｐｒｏｃｅｓｓｏｒ）６０、Ｉ／Ｏインターフェース６２、およびストレージ６４を含んでよい。ＤＳＰ６０は、機械２２の動作に関連するＩ／Ｏインターフェース６２から信号を受信することができる。具体的にはＤＳＰ６０は、Ｉ／Ｏインターフェース６２から受信したデータを電子的にフィルタリングするおよび／または処理するために併せて利用してよいプロセッサ６６およびメモリ６８を含む、回路基板上の回路または１つもしくは複数の回路であってよい。例えばプロセッサ６６は、メモリ６８（例えばランダムアクセスメモリ、読み取り専用メモリ、フラッシュメモリ、またはＤＳＰ６０の基板上に存在し得る他のタイプのメモリ）内に記憶されたソフトウェアプログラムを利用して、Ｉ／Ｏインターフェース６２から受信したデータを電子的にフィルタリングおよび／または処理することができる。この処理済みのデータを、例えば制御モジュール４８により取り出すために、続いてストレージ６４（ランダムアクセスメモリ、読み取り専用メモリ、書き換え可能メモリ、フラッシュメモリ、および／または他の物理的な記憶デバイス）へと送信することができる。また、ＤＳＰ６０が図示されているが、ＤＳＰ６０の代わりに、汎用ＣＰＵ、組み込みＣＰＵ、ＳＯＣ、アプリケーション特定用途向けプロセッサ、ＡＳＩＣ、ＦＰＧＡおよびこれらの組み合わせ等の他の種類の計算処理ユニットを、これらに関連するメモリデバイスと併せて利用してよいことを理解されたい。

前述したように、フィールドロケーション１４は、ＩＣＳ１０および／またはコンピュータネットワーク１２への悪意のある侵入用のアクセスポイントとして機能することができる。不正アクセスの検知を補助するために、ＩＤＳセンサ４６を利用してよい。これらのＩＤＳセンサ４６は、Ｉ／Ｏカード５０のそれぞれにおいておよび／または制御モジュール４８内に見出すことができる。例えばＩＣＳ１０は、機械２２と、制御システム２０と、制御ネットワーク１６との間で実際のＩＣＳデータを通信するための第１の通信プロトコル（例えばプロトコルＡ）を使用してよい。一実施形態では、第２の通信プロトコル（例えばプロトコルＢ）をダミープロトコルとして設定してよく、このダミープロトコルは、プロセッサ５２または６６により生成されるねつ造されたデータを含んでよい。これらの通信プロトコルＡおよびＢとしては例えば、ＤＭ３シリアル通信信号、Ｍｏｄｂｕｓ通信信号、産業用制御通信信号、自動通信信号、および／または他の通信プロトコルが挙げられる。

したがって、ＤＳＰ６０はプロトコルＢを用いてダミーの通信を生成してこれらのダミー通信をプロトコルＡの実際の通信送信と並行して送信できる。よって、プロトコルＡを用いて送信される信号は実際には機械２２の動作およびＩＣＳ１０の動作に対応してよいが、プロトコルＢを用いる信号はＩＣＳ１０のいずれの実際の動作と対応しない。代わりにプロトコルＢを用いる信号は、ＩＣＳ１０にアクセスする悪意のある試みが発生しているかどうかを決定するために利用できるねつ造されたデータを含む。

一実施形態では、ＤＳＰ６０の回路はプロトコルＢを用いたこれらの信号を生成することができる。例えば、メモリ６８に記憶されたソフトウェアプログラムを実行するプロセッサ６６は、プロトコルＢの信号を生成して、典型的には各Ｉ／Ｏカード５０から送信されることになる実際の信号を模倣したねつ造されたデータ信号を送信することができる。プロセッサ６６は、同時および／または連続的送信のために、プロトコルＡを用いた信号と併せて通信プロトコルＢを用いたこれらの信号を生成することができる。

加えてまたはあるいは、制御モジュール４８の回路は、プロトコルＢを用いたこれらの信号を生成することができる。例えば、メモリ５４に記憶されたソフトウェアプログラムを実行するプロセッサ５２は、プロトコルＢの信号を生成して、典型的には制御モジュール４８から送信されることになる実際の信号を模倣したねつ造されたデータ信号を送信することができる。プロセッサ５２は、同時および／または連続的送信のために、プロトコルＡを用いた信号と併せて通信プロトコルＢを用いたこれらの信号を生成することができる。

更に、ＤＳＰ６０および／または制御モジュール４８（具体的にはプロセッサ６６および５２）は、通信がプロトコルＢを利用して開始されたかどうかを検知することができる。即ち、悪意のあるまたは望まない外部の攻撃者が、プロトコルＢを含むまたはプロトコルＢの送信を反映する信号を用いて制御システム２０へのアクセスを試みる場合、プロトコルＢを利用した信号はダミー信号として生成されるので、侵入者を検知できる。この処理は、以下で説明される図５を参照してより詳細に概説される。この様式では、プロトコルＢを用いた偽（ｆａｌｓｅ）の信号がＩＣＳ１０への不正アクセスの検知を補助するハニーポートとして機能するので、ＩＤＳセンサ４６は制御モジュール２０内に存在する。

ＩＤＳセンサ４６は、ＩＣＳ１０の他の部分にも存在してよい。例えばＩＣＳ１０のヒューマンマシンインターフェース２８は、制御システム２０に関して上述したものと実質的に同様の様式でＩＤＳセンサを備えてよい。図３は、このＩＤＳセンサ４６を組み込んでよいヒューマンマシンインターフェース２８の詳細なブロック図である。

図３に示すように、ヒューマンマシンインターフェース２８は、本開示の技術を実施するための命令を実行するために、メモリ７２およびストレージ７４に動作可能に結合できるプロセッサ７０および／または他のデータ処理回路を含む。これらの命令を、プロセッサ７０および／または他のデータ処理回路（例えば、汎用ＣＰＵ、組み込みＣＰＵ、ＳＯＣ、アプリケーション特定用途向けプロセッサ、ＡＳＩＣ、ＦＰＧＡ、およびこれらの組み合わせ）が実行できるプログラムに符号化することができる。命令は、メモリ７２またはストレージ７４等の、上記の命令またはルーティンを少なくとも一括保存する少なくとも１つの有形のコンピュータ可読媒体を含む、製造業者のいずれの好適な物品に記憶してよい。メモリ７２およびストレージ７４としては例えば、ランダムアクセスメモリ、読み取り専用メモリ、書き換え可能メモリ、ハードドライブ、および／または光学ディスクが挙げられる。

ヒューマンマシンインターフェース２８は、ヒューマンマシンインターフェース２８のグラフィカルユーザインターフェース（ＧＵＩ）を表示できるディスプレイ７６も含んでよい。ヒューマンマシンインターフェース２８は、電源、キーボード、マウス、トラックパッド、および／またはタッチスクリーンインターフェース等の様々な他の構成要素を含んでよいことも理解されたい。例として、ヒューマンマシンインターフェース２８は入力／出力（Ｉ／Ｏ）ポート７８ならびにネットワークインターフェース８０も含んでよい。ネットワークインターフェース８０は、パーソナルエリアネットワーク（ＰＡＮ）（例えばＢｌｕｅｔｏｏｔｈ(登録商標））、ローカルエリアネットワーク（ＬＡＮ）（例えばＷｉ−Ｆｉ）、ワイドエリアネットワーク（ＷＡＮ）（例えば３ＧまたはＬＴＥ）、イーサーネット等を介した通信を提供してよい。ヒューマンマシンインターフェース２８は、ネットワークインターフェース８０を通して、例えば信号経路２４を通じて通信することができ、これによりサーバ２６および／または制御システム２０等の他のネットワークデバイスを用いた処理および／または通信を可能とする。

前述したように、ヒューマンマシンインターフェース２８は、ＩＣＳ１０および／またはコンピュータネットワーク１２への悪意のある侵入用のアクセスポイントとして機能することができる。不正アクセスの検知を補助するために、ＩＤＳセンサ４６を利用してよい。これらのＩＤＳセンサ４６はヒューマンマシンインターフェース２８内に見出すことができる。例えばＩＣＳ１０は、機械２２と、制御システム２０と、制御ネットワーク１６との間で実際のＩＣＳデータを通信するための第１の通信プロトコル（例えばプロトコルＡ）を使用してよい。一実施形態では、第２の通信プロトコル（例えばプロトコルＢ）をダミープロトコルとして設定してよく、このダミープロトコルは、プロセッサ７０により生成されるねつ造されたデータを含んでよい。これらの通信プロトコルＡおよびＢとしては、ＤＭ３シリアル通信信号、Ｍｏｄｂｕｓ通信信号、産業用制御通信信号、自動通信信号、および／または他の通信プロトコルが挙げられる。

したがって、プロセッサ７０はプロトコルＢを用いてダミーの通信を生成してこれらのダミー通信をプロトコルＡの実際の通信送信と並行して送信できる。よって、プロトコルＡを用いて送信される信号は実際には機械２２の動作／制御およびＩＣＳ１０の動作に対応してよく、プロトコルＢを用いる信号はＩＣＳ１０のいずれの実際の動作と対応しない。代わりにプロトコルＢを用いる信号は、ＩＣＳ１０にアクセスする悪意のある試みが発生しているかどうかを決定するために利用される。

一実施形態では、例えば、メモリ７２に記憶されたソフトウェアプログラムを実行するプロセッサ７０は、プロトコルＢの信号を生成して、典型的には各ヒューマンマシンインターフェース２８から送信されることになる実際の信号を模倣したダミー信号を送信することができる。プロセッサ７０は、同時および／または連続的送信のために、プロトコルＡを用いた信号と併せて通信プロトコルＢを用いたこれらの信号を生成することができる。

加えて、プロセッサ７０は通信がプロトコルＢを利用して開始されたかどうかを検知することができる。即ち、悪意のあるまたは望まない外部の攻撃者が、プロトコルＢの送信を用いた信号を用いてヒューマンマシンインターフェース２８へのアクセスを試みる場合、プロトコルＢを利用した信号はダミー信号として生成され、侵入者を検知できる。この処理は、以下で説明される図５を参照してより詳細に概説される。この様式では、プロトコルＢを用いた偽（ｆａｌｓｅ）の信号がＩＣＳ１０への不正アクセスの検知を補助するハニーポートとして機能するので、ＩＤＳセンサ４６はヒューマンマシンインターフェース２８内に存在する。

なお、ＩＤＳセンサ４６を導入するこの技術は、例えば制御システムネットワーク１６上の侵入済みの／マルウェアに感染した内部／信頼のデバイスを検知するためにも適用され得ることに留意されたい。例えば、ホストコンピュータ（例えばヒューマンマシンインターフェース２８）は、承認されたユーザの誰かが外部ストレージデバイス（例えばＵＳＢストレージデバイス）をヒューマンマシンインターフェース２８へと接続した時に感染状態となってよい。外部ストレージデバイスがその内部に存在するウィルスを有していた場合、ウィルスは、制御システムネットワーク１６および／またはコンピュータネットワーク１２上の他のデバイスを精査し得る（例えば典型的にはヒューマンマシンインターフェース２８はセキュリティ枠の内側に存在するので、ファイアウォールおよび／または侵入回避システムは典型的には役に立たない）。このウィルスによる精査は、悪意のあるペイロードの拡散および／または送達のために特定のオープンポート／脆弱性を探索するために動作し得る。しかしながら、（ヒューマンマシンインターフェース２８と併せて利用されるハニーポートを通して）この行為を検知することにより、ブロードキャスト／マルチキャストメッセージを例えば、制御システムネットワーク１６および／またはコンピュータネットワーク１２へと送信し、これにより特定のイベントが発生するまで（例えばオペレータがイベントをクリアできるまで）全てのデバイスをブラックリストに挙げてよい（例えば影響を受けたデバイスからの命令の書き込みを許可しない）。

図４は、ハニーポートを実行する（即ちＩＤＳセンサ４６を含む）ヒューマンマシンインターフェース２８の動作を説明するフローチャート８２を示す。一実施形態では、フローチャート８２のステップを、ヒューマンマシンインターフェース２８により（例えば、メモリ７２および／またはストレージ７４等の有形の機械可読媒体上に記憶されたソフトウェアプログラム、即ちコードを実行するプロセッサ７０により）部分的にまたは全体的に実行してよい。

ステップ８４では、プロセッサ７０はプロトコルＢを利用した信号（即ち、ＩＣＳ１０の実際の動作にはリンクされないダミー信号）を生成し、その送信を開始することができる。ステップ８６では、プロセッサ７０は、信号がプロトコルＢの送信を利用して受信されたかどうかを検知するように動作するサーバソケットリスナを生成することができる。前述したように、プロトコルＢを用いた信号は、実際にはＩＣＳ１０の動作を示さないが、代わりに悪意のあるユーザが確認を期待する代替のプロトコルを模倣するので、プロセッサ７０により受信／検知された送信は、ＩＣＳ１０および／またはコンピュータネットワーク１２への不正アクセスを示唆することができる。

サーバソケットリスナがステップ８６で生成されると、ＩＣＳ１０（例えばヒューマンマシンインターフェース２８）は、プロトコルＢを用いた信号（検知）用の「リスニング」の定常状態へと入ってよい。その後、いくつかの時点で、ステップ８８においてソケット接続が発生する。ステップ８８は、プロセッサ７０がプロトコルＢを用いた送信を検知したことを示す。

その後、ステップ９０では、プロセッサ７０は接続が完全接続かどうかを決定することができる。即ちプロセッサ７０は接続が半開である（例えば、完全送信制御プロトコル接続が発生していない）と考えられるかどうかを決定することができる。接続が半開であると考えられる場合、プロセッサ７０はステップ９２においてイベントをログ記録することができる。ステップ９２におけるイベントのログ記録は、例えばストレージ７４内および／またはサーバ２６（例えばネットワークセキュリティサーバ）内にイベントの指標を記憶することを含んでよい。

しかしながら、ステップ９０において接続が完全接続である（例えば完全送信制御プロトコル接続が発生した）とプロセッサ７０が決定すると、続いて処理はステップ９４へと進行してよい。ステップ９４では、プロセッサ７０は例えば、いずれの遠隔クライアント接続、ソースＩＰアドレス、または通信に存在する他の情報に関連する情報を取り込むことができる。プロセッサ７０は、所定のバッファサイズ（例えば、最初の３２バイト、６４バイト、１２８バイト、２５６バイト、５１２バイト、１０２４バイト、２０５６バイトまたは受信された送信に存在する他の量のデータ）の受信されたデータも取り込むことができ、これにより、送信のアイデンティティまたはソースを指標付けするのに役立ち得る可能な属性日付、ブラウザエージェントまたは他の情報の識別を補助する。

ステップ９６では、プロセッサ７０は、取り込まれた情報のうちのいずれかが、ＩＣＳ１０および／またはコンピュータネットワーク１２のホワイトリスト上の情報フィールドと一致するアドレスを含むかどうかを決定することができる。この情報フィールドは例えば、ソースアドレス、ソースポート、宛先アドレス、宛先ポート、プロトコル層（例えば有線／無線、ＩＰｖ４、ＩＰｖ６等）、媒体アクセス制御（ＭＡＣ：ｍｅｄｉａ ａｃｃｅｓｓ ｃｏｎｔｒｏｌ）アドレス、ＭＡＣソースアドレス、ＭＡＣ宛先アドレス、署名、チェックサム、鍵付きハッシュメッセージ承認コード（ＨＭＡＣ：ｈａｓｈ ｍｅｓｓａｇｅ ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｃｏｄｅ）、暗号化ハッシュ、フラグメントオプション、ホップ数、またはこれらのうちのある組み合わせを含んでよい。加えて、ホワイトリストの作成がヘッダ／パケットメタデータに基づきおよび／またはホワイトリストの作成がＤＰＩ（ディープパケットインスペクション）に基づくことができるように、パケットペイロードデータ自体を確認することができる。

よって、プロセッサ７０は、送信識別情報（例えばフィールド）が、コンピュータネットワーク１２および／または制御システムネットワーク１６上に存在することを承認されているエンティティのリストまたはレジスタと一致するかどうかを確認することができる。ステップ９６においてプロセッサ７０が送信の識別情報がホワイトリスト上に存在することを決定した場合、プロセッサ７０は、例えば承認された宛名が（侵入を示唆してよい）不規則なアクセスを行ったかどうかを決定するのに使用するためにステップ９２においてイベントのログを記録することになる。

しかしながら、ステップ９６においてプロセッサ７０が送信の識別情報がホワイトリスト上に存在しないことを決定すると、プロセッサ７０は（ステップ９８において）、検知されたソケット接続の送信者へと偽のデータを送信することにより、不正ユーザの拘束を試みることになる。この偽のデータは例えば（いくつかの実施形態ではｎｕｌｌであり得る）バナー、ランダムデータ返答、およびランダム長返答を含んでよい。ステップ９８におけるこの偽のデータ送信は、ヒューマンマシンインターフェース２８の正しい動作を模倣する試みであってよく、不正ユーザがＩＣＳ１０に留まる時間を増加させるように動作することができる。侵入者が接続されている（かつＩＣＳ１０および／またはコンピュータネットワーク１２の一部にアクセスしようと試みる）時間を増加させることにより、不正ユーザのアイデンティティの決定を補助するために不正ユーザから追加のデータを拾ってよい。加えて、ステップ９８の一部として、タールピッティング応答を実施してよく、これにより非ホワイトリストポートに遅延が追加される。即ち、不正アクセスが発生している時間を延長するために接続を意図的に遅延させてよい。更に、ステップ９８において追加の種類の遅延を追加してもよい。例えばいくつかの動的再構成が望まれる決定を関与させてよい。したがって、応答を送信する前に、決定を下す第三者に情報を送信し、続いてこの決定をシステムに戻し、トラフィックを遅延させる。

ステップ９８において偽のデータを送信した後、偽のデータの送信の前におよび／またはこれに続いて受信されたいずれの情報を、ステップ９２においてログ記録することができる。加えて、プロセッサ７０は、ＩＣＳ１０および／またはコンピュータネットワーク１２の追加要素に侵入者の検知を警告する信号を送信することができ、これによりステップ１００において、ホストベースのファイアウォールおよび／またはルートを更新する等の防御手段を実施して、ＩＣＳ１０および／またはコンピュータネットワーク１２を保護してよい。

加えて、ステップ１０２では、セキュリティイベントマネージャ（ＳＥＩＭ：ｓｅｃｕｒｉｔｙ ｅｖｅｎｔ ｍａｎａｇｅｒ）エンジンが、ログ記録されたデータにアクセスしていずれのログ記録されたデータを受信することができ、かつ、例えばＩＣＳ１０および／またはコンピュータネットワーク１２に関するスクリプトを再構成するか、または検知された承認されていないユーザからのアクセスを回避するための他の防御手段を講じることができる。いくつかの実施形態では、ＳＥＩＭエンジンは例えば、サーバ２６または３６（例えばネットワークセキュリティサーバ）上に存在してよい。いくつかの実施形態では、ＳＥＩＭをログ記録されたデータと併せて利用してよい。例えば、収集された属性データを用いてＩＤＳ／侵入回避システム（ＩＰＳ）署名を生成することができ、（例えばＩＰＳはＩＤＳ機能性の上位集合なので）これによりネットワークベースのＩＤＳ／ＩＰＳを更新することができる。加えておよび／またはあるいは、ログ記録されたデータを用いて、（例えばヒューマンマシンインターフェースと併せてインストールする場合）例えばホストベースのＩＤＳへと更新できる。更にいくつかの実施形態では、例えば制御システム２０（例えば制御モジュール４８および／またはＩ／Ｏカード５０）内のファイアウォールの規定ルールを更新することができる。

上述のように、図４は、ダミー送信の利用を通して、ヒューマンマシンインターフェース２８がＩＤＳセンサ４６をどのように含むことができるか、およびＩＣＳ１０への不正アクセスの検知を補助するハニーポートとしてどのように動作できるかを示す。しかしながら、ＩＣＳ１０の追加要素はＩＤＳセンサ４６も含んでよい。例えば以下でより詳細に述べるように、図５を参照すると、制御システム２０は１つまたは複数のＩＤＳセンサ４６も導入してよい。

図５は、ハニーポートを実行する（即ちＩＤＳセンサ４６を含む）制御システム２０の動作を説明するフローチャート１０４を示す。一実施形態では、フローチャート１０４のステップを、制御システム２０により（例えばメモリ５４等の有形の機械可読媒体上に記憶されたソフトウェアプログラム、即ちコードを実行するプロセッサ５２によりおよび／またはメモリ６８等の有形の機械可読媒体上に記憶されたソフトウェアプログラム、即ちコードを実行するプロセッサ６６により）部分的にまたは全体的に実行してよい。しかしながら、記述の目的のみのために、フローチャート１０４のステップを制御システム２０のＤＳＰ６０の動作と併せて説明する（これらのステップを例えば制御システム２０の制御モジュール４８により実行してもよいことを理解されたい）。

ステップ１０６では、プロセッサ６６はプロトコルＢを利用した信号（即ち、ＩＣＳ１０の実際の動作にはリンクされないダミー信号）を生成し、その送信を開始することができる。ステップ１０８では、プロセッサ６６は、信号がプロトコルＢの送信を利用して受信されたかどうかを検知するように動作するサーバソケットリスナを生成することができる。前述したように、プロトコルＢを用いた信号は、実際にはＩＣＳ１０の動作を示さないが、代わりに悪意のあるユーザが確認を期待する代替のプロトコルを模倣するので、プロセッサ６６により受信／検知された送信は、ＩＣＳ１０および／またはコンピュータネットワーク１２への不正アクセスを示してよい。サーバソケットリスナが生成されると、ＩＣＳ１０（例えば制御システム２０）は、プロトコルＢを用いた信号（検知）用の「リスニング」の定常状態へと入ってよい。

ステップ１１０ではソケット接続が発生する。このステップ１１０は、プロセッサ６６がプロトコルＢを用いた送信を検知したことを示す。ステップ１１２では、プロセッサ６６は接続が完全接続かどうかを決定することができる。即ちプロセッサ６６は接続が半開である（例えば、完全送信制御プロトコル接続が発生していない）と考えられるかどうかを決定することができる。接続が半開であると考えられる場合、プロセッサ６６はステップ１１４においてイベントをログ記録することができる。ステップ１１４におけるイベントのログ記録は、例えばストレージ６４内および／またはサーバ２６（例えばネットワークセキュリティサーバ）内にイベントの指標を記憶することを含んでよい。

しかしながら、ステップ１１２において接続が完全接続である（例えば完全送信制御プロトコル接続が発生した）ことをプロセッサ６６が決定すると、続いて処理はステップ１１６へと進行できる。ステップ１１６では、プロセッサ６６は例えば、いずれの遠隔クライアント接続、ソースＩＰアドレス、または通信に存在する他の情報に関連する情報を取り込むことができる。プロセッサ６６は、所定のバッファサイズ（例えば、最初の３２バイト、６４バイト、１２８バイト、２５６バイト、５１２バイト、１０２４バイト、２０５６バイトまたは受信された送信に存在する他の量のデータ）の受信されたデータも取り込むことができ、これにより、送信のアイデンティティまたはソースを指標付けするのに役立ち得る可能な属性日付、ブラウザエージェントまたは他の情報の識別を補助する。

ステップ１１８では、プロセッサ６６は、取り込まれた情報のうちのいずれかが、ＩＣＳ１０および／またはコンピュータネットワーク１２のホワイトリスト上のアドレスと一致するアドレスを含むかどうかを決定することができる。即ち、プロセッサ６６は、送信識別情報が、コンピュータネットワーク１２および／または制御システムネットワーク１６上に存在することを承認されているエンティティのリストまたはレジスタと一致するかどうかを確認することができる。ステップ１１８においてプロセッサ６６が送信の識別情報がホワイトリスト上に存在することを決定した場合、プロセッサ６６は、例えば承認された宛名が（侵入を示唆してよい）不規則なアクセスを行ったかどうかを決定するのに使用するためにステップ１１４においてイベントのログを記録することになる。

しかしながら、ステップ１１８においてプロセッサ６６が送信の識別情報がホワイトリスト上に存在しないことを決定した場合、プロセッサ６６は（ステップ１２０において）、高度なセキュリティモードへと入り、このモードにより、機械２２の制御を遠隔で取って代わることができないように制御システムは特定の種類の送信のみを許可することができる。加えておよび／またはあるいは、高度なセキュリティモードは、検知された侵入者による制御システムへのアクセスを回避するために、例えば制御システムにおいて局所的に物理的なリセットが開始されるまで、制御システム２０をロックダウンするステップを含んでよい。加えて、ステップ１２０の一部として、プロセッサ６４は、ステップ１１４において取り込まれた情報をログ記録し、および／またはステップ１２６においてログ記録されたデータを確認するためにＳＥＩＭエンジンへとメッセージを送信することができる。プロセッサ６６は加えてまたはあるいは、ＩＣＳ１０および／またはコンピュータネットワーク１２を保護するために、ＩＣＳ１０および／またはコンピュータネットワーク１２を動的に更新して、攻撃者を知らせることができる。

加えておよび／またはあるいは、ステップ１２０に関して上述したプロセッサ６６の動作に加えて、制御システム２０は、識別情報がステップ１１８のホワイトリスト上に存在しないことを決定するプロセッサ６６に関してステップ１２２のアクションも実施してよい。ステップ１２０では、プロセッサ６６は、例えば攻撃者と、侵入者からの追加情報を取り込むよう設計されたハニーポットを実行するネットワークセキュリティサーバ（例えばサーバ２６または３６）との対話を進行させてよい。

したがって、ステップ１２４では、サーバ２６および／または３６は、攻撃者を混乱させるためにならびにサーバ２６および／または３６により法廷用のデータおよび属性データを収集しながら、侵入者を拘束するために、ランダム化された応答または回避的／虚偽の応答を生成することができる。加えて、プロセッサ６６ならびにサーバ２６および／または３６のうちの一方または両方は、ステップ１１４において収集された情報をログ記録することを介しておよびＳＥＩＭエンジンへとメッセージを送信することにより、例えばＳＥＩＭエンジンへと情報を送信して、ステップ１２６においてログ記録されたデータを確認することができる。プロセッサ６６ならびに／またはサーバ２６および／もしくは３６は加えてまたはあるいは、ＩＣＳ１０および／またはコンピュータネットワーク１２を保護するために、ＩＣＳ１０および／またはコンピュータネットワーク１２を動的に更新して、攻撃者を知らせることができる。

この様式では、ＩＣＳ１０は、ＩＤＳセンサ４６を組み込むことができる別個の要素を含んでよい。これらのセンサ４６ならびにセンサ４６を利用した技術は、ＩＣＳ１０へのアクセスを試みる不正ユーザの検知を補助してよい。よって、実際のＩＣＳ１０送信を反映してよいおとりの即ち偽の送信を送信するように動作するハニーポートの使用を通して、攻撃者をより簡単に識別でき、攻撃者のアイデンティティに関連する情報を取り込むことができ、同時に加えて、ＩＣＳ１０および／またはコンピュータネットワーク１２を検知された侵入から保護するためにネットワークセキュリティの更新を可能にする。

この記載された説明は、上述の説明を開示するために最良の形態を含めて、例を用いており、いずれのデバイスまたはシステムを作製および使用すること、ならびにいずれの組み込まれた方法を実行することを含む本開示をいずれの当業者が実施できるようにする。本開示の特許性のある範囲は請求項により定義され、当業者に想起される他の例を含んでよい。このような他の例は、請求項の文字上の言葉と異ならない構造的要素を有する場合、または請求項の文字上の言葉とわずかな違いしかない均等の構造的要素を含む場合、請求項の範囲内に入るものとする。

１０ 産業用制御システム
１２ コンピュータネットワーク
１４ フィールドロケーション
１６ 制御システムネットワーク
１８ 通信インターフェース
２０ 制御システム
２２ 機械
２４、３０、３４ 信号経路
２６、３６ サーバ
２８、３８ ヒューマンマシンインターフェース
３２ ファイアウォール
４０ インターフェース
４２ バックアップ制御センタ
４４ インターネット
４６ ＩＤＳセンサ
４８ 制御モジュール
５０ 入力／出力（Ｉ／Ｏ）カード
５２、６６、７０ プロセッサ
５４、６８、７２ メモリ
５６ 入力／出力（Ｉ／Ｏ）インターフェース
５８ 内部バス
６０ デジタル信号プロセッサ
６２ Ｉ／Ｏインターフェース
６４、７４ ストレージ
７６ ディスプレイ
７８ 入力／出力（Ｉ／Ｏ）ポート
８０ ネットワークインターフェース

Claims (20)

1. 第１の通信プロトコルを用いて第１の信号を生成し、
   第２の通信プロトコルを用いて第２の信号を生成し、かつ
   前記第１の信号および前記第２の信号を送信する
   ように構成されたプロセッサを備え、
   前記第１の信号は、前記第１の通信プロトコルを使用する前記プロセッサに送信されるデータに対応し、
   前記第１の通信プロトコルは、前記プロセッサと、ネットワークで前記プロセッサに結合された少なくとも１つのノードとの間の通信で利用される共通のプロトコルであり、
   前記第２の信号は、前記プロセッサにより生成されるおとりのデータを含み、
   前記第２の信号は、前記プロセッサに送信される前記データとは無関係に生成され、
   前記第１の信号は前記ノードによって受け取られるための実際の信号として送信され、前記第２の信号はおとりの信号として前記第１の信号と並行して送信される、
   デバイス。
2. 前記プロセッサは、前記第１の信号および前記第２の信号を同時に送信するように構成される、請求項１に記載のデバイス。
3. 前記プロセッサは、前記第１の信号および前記第２の信号を連続的に送信するように構成される、請求項１に記載のデバイス。
4. 前記プロセッサは、前記第２の信号を用いた送信を検知するように構成される、請求項１から３のいずれかに記載のデバイス。
5. 前記プロセッサは、前記送信に存在するデータを取り込むように構成される、請求項４に記載のデバイス。
6. 前記プロセッサは、前記取り込まれたデータを分析して、前記取り込まれたデータの一部が承認されたデータの集合の一部と一致するかどうかを決定するように構成される、請求項５に記載のデバイス。
7. 前記プロセッサは、前記取り込まれたデータの一部が、前記承認されたデータの集合の一部と一致しない時に、前記第２の通信プロトコルを用いて第３の信号を前記おとりのデータとして生成および送信するように構成され、
   前記第３の信号は、バナー、ランダムデータ返答、またはランダム長返答を含み、
   前記第３の信号は、ヒューマンマシンインターフェースの正しい動作の模倣である、
   請求項６に記載のデバイス。
8. 前記プロセッサは、前記取り込まれたデータの一部が、前記承認されたデータの集合の一部と一致しない時に、不正ネットワークアクセスの指標を生成および送信するように構成される、請求項６または７に記載のデバイス。
9. 前記プロセッサは、前記取り込まれたデータをログ記録するために前記取り込まれたデータをストレージに送信するように構成される、請求項５から８のいずれかに記載のデバイス。
10. 前記プロセッサは、前記取り込まれたデータとしてデータの少なくとも３２バイトを取り込むように構成される、請求項５から９のいずれかに記載のデバイス。
11. コンピュータが実行可能なコードを記憶した、非一時的コンピュータ可読媒体であって、前記コードは、
    データを受信し、
    第１の通信プロトコルを用いて第１の信号を生成し、
    第２の通信プロトコルを用いて第２の信号を生成し、かつ
    前記第１の信号および前記第２の信号を送信する
    ための命令からなり、
    前記第１の信号は、前記第１の通信プロトコルを使用するプロセッサに送信されるデータに対応し、
    前記第１の通信プロトコルは、前記プロセッサと、ネットワークで前記プロセッサに結合された少なくとも１つのノードとの間の通信で利用される共通のプロトコルであり、
    前記第２の信号は、前記プロセッサにより生成されるおとりのデータを含み、
    前記第２の信号は、前記プロセッサに送信される前記データとは無関係に生成され、
    前記第１の信号は前記ノードによって受け取られるための実際の信号として送信され、前記第２の信号はおとりの信号として前記第１の信号と並行して送信される、
    非一時的コンピュータ可読媒体。
12. 前記コードは、前記第２の通信プロトコルを用いた送信を検知するための命令を含む、請求項１１に記載の非一時的コンピュータ可読媒体。
13. 前記コードは、前記送信に存在するデータを取り込むための命令を含む、請求項１２に記載の非一時的コンピュータ可読媒体。
14. 前記コードは、前記取り込まれたデータを分析して、前記取り込まれたデータの一部が承認されたデータの集合の一部と一致するかどうかを決定するための命令を含む、請求項１３に記載の非一時的コンピュータ可読媒体。
15. 前記コードは、前記取り込まれたデータの一部が、前記承認されたデータの集合の一部と一致しない時に、前記第２の通信プロトコルを用いて第３の信号を生成および送信するための命令を含み、
    前記第３の信号は、バナー、ランダムデータ返答、またはランダム長返答を含み、
    前記第３の信号は、ヒューマンマシンインターフェースの正しい動作の模倣である、
    請求項１４に記載の非一時的コンピュータ可読媒体。
16. 前記コードは、前記取り込まれたデータの一部が、前記承認されたデータの集合の一部と一致しない時に、不正ネットワークアクセスの指標を生成および送信するための命令を含む、請求項１４または１５に記載の非一時的コンピュータ可読媒体。
17. 前記コードは、前記取り込まれたデータをログ記録するために前記取り込まれたデータをストレージに送信するための命令を含む、請求項１３から１６のいずれかに記載の非一時的コンピュータ可読媒体。
18. 命令を記憶するように構成されたメモリと、
    機械の動作特性に対応したデータを受信し、
    機械に関連する第１の通信プロトコルを用いて第１の信号を生成し、
    機械に関連する第２の通信プロトコルを用いて第２の信号を生成し、かつ
    前記第１の信号および前記第２の信号を送信する
    ための前記記憶された命令を実行するように構成されたプロセッサと、
    を備え、
    前記第１の信号は、前記第１の通信プロトコルを使用する前記プロセッサに送信されるデータに対応し、
    前記第１の通信プロトコルは、前記プロセッサと、ネットワークで前記プロセッサに結合された少なくとも１つのノードとの間の通信で利用される共通のプロトコルであり、
    前記第２の信号は、前記プロセッサにより生成されるおとりのデータを含み、
    前記第２の信号は、前記プロセッサに送信される前記データとは無関係に生成され、
    前記第１の信号は前記ノードによって受け取られるための実際の信号として送信され、前記第２の信号はおとりの信号として前記第１の信号と並行して送信される、
    デバイス。
19. 前記プロセッサは、前記第２の通信プロトコルを用いた遠隔ユーザからの送信を検知するように構成される、請求項１８に記載のデバイス。
20. 前記プロセッサは、前記遠隔ユーザとサーバとの対話を進行させるように構成される、請求項１９に記載のデバイス。