JP6711710B2 - 監視装置、監視方法および監視プログラム - Google Patents

監視装置、監視方法および監視プログラム Download PDF

Info

Publication number
JP6711710B2
JP6711710B2 JP2016135304A JP2016135304A JP6711710B2 JP 6711710 B2 JP6711710 B2 JP 6711710B2 JP 2016135304 A JP2016135304 A JP 2016135304A JP 2016135304 A JP2016135304 A JP 2016135304A JP 6711710 B2 JP6711710 B2 JP 6711710B2
Authority
JP
Japan
Prior art keywords
network
communication
communication log
packet
log
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2016135304A
Other languages
English (en)
Other versions
JP2018007179A (ja
Inventor
将史 新夕
将史 新夕
近藤　力
力 近藤
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NTT Communications Corp
Original Assignee
NTT Communications Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by NTT Communications Corp filed Critical NTT Communications Corp
Priority to JP2016135304A priority Critical patent/JP6711710B2/ja
Publication of JP2018007179A publication Critical patent/JP2018007179A/ja
Application granted granted Critical
Publication of JP6711710B2 publication Critical patent/JP6711710B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Landscapes

  • Data Exchanges In Wide-Area Networks (AREA)

Description

本発明は、監視装置、監視方法および監視プログラムに関する。
近年、ＩＴ（Information Technology）ネットワークとＯＴ（Operational Technology）ネットワークとを融合させ、両ネットワーク間のデータを相互に活用することが考えられている。ここで、ＯＴネットワークの対象となる産業は、例えば、センサネットワーク等の定期的にセンシング情報をサーバにアップロードするようなケースを想定した工場内ネットワークや製造管理、環境センシング等といった産業である。
ＩＴネットワークおよびＯＴネットワークには、それぞれ異なる脅威があり、その異なる脅威に対して、それぞれのネットワークに向けてセキュリティアプライアンスが存在し、セキュリティソリューションが別々に存在する。
例えば、ＩＴネットワークの場合では、ＦＷ（FireWall）、ＩＰＳ（Intrusion Prevention System）、ＷＡＦ（Web Application Firewall）等のセキュリティアプライアンスによって、攻撃を検知して防御する手法が取られている。さらに、ＳＩＥＭ（Security Information and Event Management）エンジンのようにセキュリティアプライアンスからの膨大なログを分析することによってセキュリティアプライアンスでは検知できなかった潜在脅威を検知する手法も知られている。
また、例えば、ＯＴネットワークの場合では、各種産業プロトコル向けのセキュリティアプライアンス製品を導入して監視することが知られている。また、ＯＴネットワークにおける各デバイスのセンサ情報等を監視するマネジメントサーバが死活監視機能を有し、該死活監視機能によりａｖａｉｌａｂｉｌｉｔｙの可視化を補助することも考えられる。
"融合するＩＴとＯＴ"、［online］、エヌ・ティ・ティ・コムウェア株式会社、［平成28年6月30日検索］、インターネット＜https://www.nttcom.co.jp/comware_plus/special/special02_1.html＞
上記した従来の技術では、ＩＴネットワークおよびＯＴネットワークそれぞれの監視を容易に行うことができないという課題があった。つまり、従来の技術では、ＩＴネットワークにはＩＴネットワーク用のセキュリティアプライアンスを設け、ＯＴネットワークにはＯＴネットワーク用のセキュリティアプライアンスを設けていた。このように、それぞれに専用のセキュリティ対策設備が必要であったため、両ネットワークの監視を容易に行うことが難しいという問題があった。
上述した課題を解決し、目的を達成するために、本発明の監視装置は、ＩＴネットワークおよびＯＴネットワークの両方から各ネットワークで送受信されたパケットの通信ログを取得する取得手段と、前記取得手段によって取得された通信ログからパケットの宛先数、パケットサイズおよびダウンロードのデータサイズとアップロードのデータサイズとの比率のうち、いずれか一つまたは複数に基づいて、前記通信ログがＩＴネットワークの通信ログであるのかＯＴネットワークの通信ログであるのかを判定する判定手段と、を備えることを特徴とする。
また、本発明の監視方法は、監視装置によって実行される監視方法であって、ＩＴネットワークおよびＯＴネットワークの両方から各ネットワークで送受信されたパケットの通信ログを取得する取得工程と、前記取得工程によって取得された通信ログからパケットの宛先数、パケットサイズおよびダウンロードのデータサイズとアップロードのデータサイズとの比率のうち、いずれか一つまたは複数に基づいて、前記通信ログがＩＴネットワークの通信ログであるのかＯＴネットワークの通信ログであるのかを判定する判定工程と、を含んだことを特徴とする。
また、本発明の監視プログラムは、ＩＴネットワークおよびＯＴネットワークの両方から各ネットワークで送受信されたパケットの通信ログを取得する取得ステップと、前記取得ステップによって取得された通信ログからパケットの宛先数、パケットサイズおよびダウンロードのデータサイズとアップロードのデータサイズとの比率のうち、いずれか一つまたは複数に基づいて、前記通信ログがＩＴネットワークの通信ログであるのかＯＴネットワークの通信ログであるのかを判定する判定ステップと、をコンピュータに実行させることを特徴とする。
本発明によれば、ＩＴネットワークおよびＯＴネットワークそれぞれの監視を容易に行うことができるという効果を奏する。
図１は、第１の実施形態に係る通信システムの全体構成を示す概略図である。 図２は、第１の実施形態に係る監視装置の構成例を示すブロック図である。 図３は、スコア情報記憶部が記憶するテーブルの一例を示す図である。 図４は、スコア情報記憶部が記憶するテーブルの一例を示す図である。 図５は、スコア情報記憶部が記憶するテーブルの一例を示す図である。 図６は、スコア情報記憶部が記憶するテーブルの一例を示す図である。 図７は、学習データ記憶部が記憶する学習データの一例を示す図である。 図８は、ＯＴネットワークにおける障害部位を検出する処理を説明する図である。 図９は、第１の実施形態に係る監視装置の処理の概要を説明する図である。 図１０は、第１の実施形態に係る監視装置における学習処理の流れの一例を示すフローチャートである。 図１１は、第１の実施形態に係る監視装置における監視処理の流れの一例を示すフローチャートである。 図１２は、監視プログラムを実行するコンピュータを示す図である。
以下に、本願に係る監視装置、監視方法および監視プログラムの実施の形態を図面に基づいて詳細に説明する。なお、この実施の形態により本願に係る監視装置、監視方法および監視プログラムが限定されるものではない。
（第１の実施形態）
図１は、第１の実施形態に係る通信システムの構成の一例を示す図である。第１の実施形態に係る通信システムは、監視装置１０、ファイアウォール２０、複数のゲートウェイ３０Ａ〜３０Ｃ、ＩＴネットワーク４０および複数のＯＴネットワーク５０Ａ〜５０Ｃを有する。また、各ゲートウェイ３０Ａ〜３０Ｃは、ＩＰ（Internet Protocol）ネットワーク６０を介してファイアウォール２０と接続されている。また、監視装置１０は、インターネット７０を介してファイアウォール２０と接続されている。なお、図１に示す構成は一例にすぎず、具体的な構成や各装置の数は特に限定されない。また、複数のゲートウェイ３０Ａ〜３０Ｃ、複数のＯＴネットワーク５０Ａ〜５０Ｃについて、特に区別なく説明する場合には、適宜ゲートウェイ３０、ＯＴネットワーク５０と記載する。
このような第１の実施形態に係る通信システムは、例えば、企業システムを中心に形成されてきたＩＴネットワーク４０と、産業分野におけるデバイスのモニタリングや運用を制御するＯＴネットワーク５０とが連携するシステムである。例えば、かかるＩＴネットワーク４０においては、会社における従業員等が使用するＰＣ（Personal Computer）等の端末が設けられ、ＩＴネットワーク４０内の端末同士の通信やインターネット７０上のサーバとの通信が行われる。また、ＯＴネットワーク５０においては、例えば、ビルや工場において設けられたビルの設備や工場の機械がＩＰネットワーク６０上のサーバ（図示略）で管理されるとともに、設備や機械に設置されたセンサのセンサ情報をインターネット７０上のサーバに通知することで、社会インフラシステムの効率化やファクトリーオートメーションを実現している。
ＩＴネットワーク４０は、例えば、ＩＰによってデータの送受信を行う通信ネットワークであって、ＩＰＳ、ＷＡＦ、Ｓａｎｄｂｏｘ等のセキュリティアプライアンスが設けられている。また、ＩＴネットワーク４０では、例えば、ＩＴネットワーク４０内の各端末がＷｅｂサイトにアクセスする等の際に、ファイアウォール２０を介してインターネット７０のサーバ等との間でパケットを送受信する。
ＯＴネットワーク５０Ａ〜５０Ｃは、例えば、ＩｏＴ（Internet of Things）デバイスが接続された、ＩｏＴデバイスのためのネットワークである。ここで、ＯＴネットワーク５０の対象となる産業は、例えば、センサネットワーク等の定期的にセンシング情報をサーバにアップロードするようなケースを想定した工場内ネットワークや製造物管理、環境センシング等といった産業である。ＯＴネットワーク５０Ａ〜５０Ｃは、それぞれゲートウェイ３０Ａ〜３０Ｃを有し、ＩＰネットワーク６０上のサーバ（図示略）で管理されている。また、ＯＴネットワーク５０では、例えば、ＯＴネットワーク５０内のセンサから収集したセンサ情報等を通知する等の際に、ファイアウォール２０を介してインターネット７０のサーバ等との間でパケットを送受信する。
ＯＴネットワーク５０Ａは、例えば、ビルおよび工場のオートメーション、ホームコントロール、電気やガスのモニタリング等の設備制御のオートメーションシステムとして、ＬｏｎＷｏｒｋｓが適用されているネットワークである。また、ＯＴネットワーク５０Ｂは、例えば、ビルディングオートメーションと制御ネットワークのための通信プロトコルとして、Ｂａｃｎｅｔ（Building Automation and Control Networking protocol）が適用されているネットワークである。また、ＯＴネットワーク５０Ｃは、例えば、電力会社や水道施設などの工業分野でよく利用されるＳＣＡＤＡ（Supervisory Control And Data Acquisition）の通信プロトコルとして、ＤＮＰ（Distributed Network Protocol）が適用されているネットワークである。
ファイアウォール２０は、ＩＴネットワーク４０およびＯＴネットワーク５０に接続されており、ＩＴネットワーク４０およびＯＴネットワーク５０それぞれにおいて送受信されたパケットの通信ログを監視装置１０に送信する。なお、図１の例では、ＩＴネットワーク４０およびＯＴネットワーク５０が同一のファイアウォール２０に接続されているが、これに限定されるものではなく、ＩＴネットワーク４０およびＯＴネットワーク５０がそれぞれ異なるファイアウォール２０に接続されていてもよい。ゲートウェイ３０Ａ〜３０Ｃは、各ＯＴネットワーク５０Ａ〜５０Ｃにおいて、ＩＰネットワーク６０との境界に配置される中継装置である。
監視装置１０は、例えば、ＳＩＥＭエンジンが適用されたサーバ装置である。監視装置１０は、例えば、ＳＩＥＭエンジンにより通信ログを分析して攻撃の痕跡を発見する等のＳＩＥＭサービスを提供する。
また、監視装置１０は、ＩＴネットワーク４０およびＯＴネットワーク５０の両方から各ネットワークで送受信されたパケットの通信ログをファイアウォール２０から取得する。そして、監視装置１０は、取得された通信ログからパケットの宛先数、パケットのデータサイズであるパケットサイズおよびダウンロードのデータサイズとアップロードのデータサイズとの比率のうち、いずれか一つまたは複数に基づいて、通信ログがＩＴネットワーク４０の通信ログであるのかＯＴネットワーク５０の通信ログであるのかを判定する。
また、監視装置１０は、ＯＴネットワーク５０の通信ログのうち、送信元、送信先および通信プロトコルが同一のパケットごとに、パケットサイズとパケットの通信頻度とパケット間の通信間隔とを学習し、学習データを生成する。そして、監視装置１０は、ＯＴネットワーク５０における異常の有無を検知するための検知対象の通信ログを取得し、該検知対象の通信ログにおけるパケットと、該パケットと送信元、送信先および通信プロトコルが同一の学習データとを比較し、該比較結果に応じて、検知対象の通信ログの異常を検知する。
また、監視装置１０は、ＯＴネットワーク５０における各デバイスの経路情報を受信する。そして、監視装置１０は、経路情報に基づいて、ＯＴネットワーク５０におけるデバイス間の接続関係を示すトポロジ情報を定期的に生成し、定期的に生成されたトポロジ情報から該トポロジ情報の変動を検出する。そして、監視装置１０は、監視されたトポロジの変動に基づいて、ＯＴネットワーク５０において障害が発生したデバイスを検出する。
なお、ＯＴネットワーク５０のセキュリティについては、ＡＩＣ（availability、integrity、confidentiality）の順でセキュリティ脅威を重視しており、機器正常性、人為ミスによる障害、成りすましによる内部犯行等の脅威を含むＡＩＣの順序での脅威に注視することが一般的である。また、ＩＴネットワーク４０のセキュリティについては、ＣＩＡ（confidentiality、integrity、availability）の順でセキュリティ脅威を重視しており、いわゆる標的型攻撃等に対する一般的なサイバーセキュリティを想定したＳＩＥＭ分析等によりセキュリティの対策が一般的に行われている。
［監視装置の構成］
次に、図２を用いて、図１に示した監視装置１０の構成を説明する。図２は、第１の実施形態に係る監視装置の構成例を示すブロック図である。図２に示すように、この監視装置１０は、通信処理部１１、入力部１２、出力部１３、制御部１４および記憶部１５を有する。
また、監視装置１０は、ファイアウォール２０における通信ログがＩＴネットワーク４０の通信ログであるかＯＴネットワーク５０の通信ログであるかを判別することができる。また、監視装置１０は、通常利用時におけるＯＴネットワーク５０の通信ログを学習して学習データを生成し、ＯＴネットワーク５０の通信ログと学習データを用いて、ＯＴネットワークにおける異常検知を行うことができる。さらに、監視装置１０は、ＯＴネットワーク５０における経路情報等からトポロジ情報を生成し、該トポロジ情報の変動から障害部位を検出することができる。以下に監視装置１０が有する各部の処理を説明する。
通信処理部１１は、接続されるファイアウォール２０やゲートウェイ３０との間でやり取りする各種情報に関する通信を制御する。例えば、通信処理部１１は、ファイアウォール２０からＩＴネットワーク４０およびＯＴネットワーク５０の両方から各ネットワークで送受信されたパケットの通信ログを受信する。また、例えば、通信処理部１１は、ゲートウェイ３０からＯＴネットワーク５０におけるデバイス間の接続関係を示すトポロジ情報を受信する。
入力部１２は、キーボードやマウスなどの入力デバイスであり、管理者から各種情報の入力操作を受付ける。出力部１３は、ディスプレイなどの出力デバイスであり、各種情報を出力する。
また、記憶部１５は、制御部１４による各種処理に必要なデータおよびプログラムを格納するが、特に本発明に密接に関連するものとしては、スコア情報記憶部１５ａと、学習データ記憶部１５ｂと、ＯＴ／ＩＴリスト記憶部１５ｃとを有する。例えば、記憶部１５は、ＲＡＭ（Random Access Memory）、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置などである。
スコア情報記憶部１５ａは、後述する判定部１４ｂによってＯＴネットワーク５０の通信ログの特徴の度合いを示すスコアが計算される際に参照されるテーブルを記憶する。ここで、以下に説明する各テーブルは、通信ログがＯＴネットワーク５０の通信ログであるかＩＴネットワーク４０の通信ログであるかを判別するためのものである。ここで、ＩＴネットワーク４０の通信ログとＯＴネットワーク５０の通信ログとでは、概ね以下のように異なる特徴を有しているため、本発明者はＩＴネットワーク４０の通信ログとＯＴネットワーク５０の通信ログとを区別できるという知見を得た。例えば、ＩＴネットワーク４０において送受信されるパケットは、データサイズは様々であるが、数キロバイトから数メガバイトの範囲が多く、一方ＯＴネットワーク５０において送受信されるパケットは数バイトであることが多い。
また、ＩＴネットワーク４０において送受信されるパケットは、ダウンロードパケットのデータサイズがアップロードパケットのデータサイズよりも大きく、一方ＯＴネットワーク５０において送受信されるパケットは、ダウンロードパケットのデータサイズがアップロードパケットのデータサイズよりも小さいことが多い。これは、ＯＴネットワーク５０におけるダウンロードパケットはサーバからの生死監視や設定データが多いため、データサイズが極めて小さくなる一方、アップロードパケットはサーバへのセンサデータが多いためであり、センサデータ（監視カメラデータ等の例外を除く）はＩＴネットワーク４０におけるダウンロードパケット（例えば、Ｗｅｂコンテンツ等）よりは一般的に小さいが、生死監視や設定データよりは大きいためである。また、ＩＴネットワーク４０において送受信されるパケットは、様々な宛先に送信されるが、一方、ＯＴネットワーク５０において送受信されるパケットは、特定の宛先に送信されることが多い。
これらの特徴が表れるのは、ＯＴネットワーク５０がインターネット７０にパケットを送信する際は、特定のサーバにセンサ情報を定期的に送信する場面が多いため、ＩＴネットワーク４０の端末がインターネット７０上のサーバ等にアクセスする場合と比較して、データサイズが小さく、サーバへのアップロードが多く、宛先も特定のものに限られるからである。
このような特徴をもとに、スコア情報記憶部１５ａに記憶されたテーブルはスコアが設定されている。以下では、図３〜図６の例を用いて、スコア情報記憶部１５ａが記憶するテーブルの一例を用いて説明する。図３〜図６は、スコア情報記憶部が記憶するテーブルの一例を示す図である。
例えば、スコア情報記憶部１５ａは、図３および図４に例示するように、通信プロトコルを示す「プロトコル」と、パケットのデータサイズを示す「サイズ」と、加算するスコアを示す「スコア」とが対応付けられたテーブルを記憶する。ここで、「プロトコル」および「サイズ」が条件であり、条件に該当する場合には、該条件に対応するスコアが加算されることを意味する。
図３の例を挙げて具体的に説明すると、例えば、通信プロトコルが「ＵＤＰ」であり、パケットのデータサイズが「５０−２００」バイトの範囲内である場合には、スコアとして「９０」が加算される。また、図４の例を挙げて説明すると、例えば、通信プロトコルが「ＴＣＰ」であり、パケットのデータサイズが「６０−１１０」バイトの範囲内である場合には、スコアとして「９０」が加算される。
また、例えば、スコア情報記憶部１５ａは、図５に例示するように、ダウンロードパケットのデータサイズをアップロードパケットのデータサイズで除算した値を示す「サイズ比率」と、加算するスコアを示す「スコア」とが対応付けられたテーブルを記憶する。ここで、「サイズ比率」が条件であり、条件に該当する場合には、該条件に対応するスコアが加算されることを意味する。
図５の例を挙げて説明すると、例えば、ダウンロードパケットのデータサイズの１０倍のアップロードパケットのデータサイズのトラヒックが流れている場合には、ダウンロードパケットのデータサイズをアップロードパケットのデータサイズで除算した値が「０．１」となる。この場合には、サイズ比率「０．１」に対応するスコア「９０」が加算される。
また、例えば、スコア情報記憶部１５ａは、図６に例示するように、送信先アドレス数を送信元アドレス数で除算した値を示す「宛先数」と、加算するスコアを示す「スコア」とが対応付けられたテーブルを記憶する。ここで、「宛先数」が条件であり、条件に該当する場合には、該条件に対応するスコアが加算されることを意味する。
図６の例を挙げて説明すると、例えば、宛先が常に１か所である場合には、送信先アドレス数を送信元アドレス数で除算した値が「１」となる。この場合には、宛先数「１」に対応するスコア「９５」が加算される。
学習データ記憶部１５ｂは、後述する学習部１４ｃによって生成された学習データを記憶する。学習データは、通常利用時における一定期間のＯＴネットワーク５０の通信ログのうち、送信元、送信先および通信プロトコルが同一のパケットごとに、パケットサイズとパケットの通信頻度とパケット間の通信間隔とを学習したデータである。以下では、図７の例を用いて、学習データ記憶部１５ｂが記憶する学習データについて説明する。図７は、学習データ記憶部が記憶する学習データの一例を示す図である。
図７に例示するように、学習データ記憶部１５ｂは、パケットの送信元である「送信元」と、パケットの送信先である「送信先」と、通信プロトコルを示す「プロトコル」と、各パケットのデータサイズの範囲を示す「パケットサイズ」と、単位時間（例えば、３０分等）当たりのパケット数を示す「頻度」と、パケット間の通信間隔を示す「インターバル」とを対応付けて記憶する。また、「頻度」と「インターバル」には、通常の通信の範囲内として許容される設定値としてマージンも記憶されている。
図７の例を挙げて説明すると、例えば、学習データ記憶部１５ｂは、送信元が「ＩＰＧＷ１」、送信先が「Ｓｅｒｖｅｒ１」、通信プロトコルが「ＴＣＰ」であるパケットについては、学習データとして、パケットのデータサイズが「４３０−５００」バイトの範囲内であって、通信頻度が「４７１０４８１４６１６８４１４９７１９」であって、通信頻度のマージンが「±３２３２」であって、インターバルが「３０」秒であって、インターバルのマージンが「±１」である旨を記憶する。
これは、送信元が「ＩＰＧＷ１」、送信先が「Ｓｅｒｖｅｒ１」、通信プロトコルが「ＴＣＰ」であるパケットについて、データサイズが「４３０−５００」の範囲内であって、通信頻度が「４７１０４８１４６１６８４１４９７１９±３２３２」の範囲内であって、インターバルが「３０±１」の範囲内で通信が行われている場合には、正常な通信が行われていると判定されることを意味する。
ＯＴ／ＩＴリスト記憶部１５ｃは、ＯＴネットワーク５０におけるデバイスのアドレスと、ＩＴネットワーク４０におけるデバイスのアドレスとが列挙されたリストを記憶する。ＯＴ／ＩＴリスト記憶部１５ｃは、後述する判定部１４ｂによる通信ログの判定処理の結果、ＯＴネットワーク５０またはＩＴネットワーク４０のいずれに設置されたデバイスであるか判明したデバイスのアドレスを記憶する。
制御部１４は、各種の処理手順などを規定したプログラムおよび所要データを格納するための内部メモリを有し、これらによって種々の処理を実行するが、特に本発明に密接に関連するものとしては、取得部１４ａ、判定部１４ｂ、学習部１４ｃ、検知部１４ｄ、受信部１４ｅ、生成部１４ｆ、検出部１４ｇおよびアラート発出部１４ｈを有する。ここで、制御部１４は、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）などの電子回路やＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）などの集積回路である。
取得部１４ａは、ＩＴネットワーク４０およびＯＴネットワーク５０の両方から各ネットワークで送受信されたパケットの通信ログを取得する。例えば、取得部１４ａは、ＩＴネットワーク４０およびＯＴネットワーク５０に接続されたファイアウォール２０から通信ログを取得する。なお、取得部１４ａは、通信ログの取得タイミングとして、所定の時間間隔で通信ログを取得してもよいし、所定のイベント等をトリガとして取得してもよいし、ユーザの指示に従って取得するようにしてもよい。
また、取得部１４ａに取得される通信ログとしては、後述する学習部１４ｃにより学習データを生成されるために取得される異常が発生していない通常時の通信ログと、後述する検知部１４ｄや検出部１４ｇにより通信ログの異常の検知やＯＴネットワーク５０における障害デバイスの検出のために取得される異常検知の対象の通信ログとがある。
判定部１４ｂは、取得部１４ａによって取得された通信ログからパケットの宛先数、パケットサイズおよびダウンロードのデータサイズとアップロードのデータサイズとの比率のうち、いずれか一つまたは複数に基づいて、通信ログがＩＴネットワーク４０の通信ログであるのかＯＴネットワーク５０の通信ログであるのかを判定する。
例えば、判定部１４ｂは、送信元が同一の通信ログごとに、パケットの宛先数、パケットサイズおよびダウンロードのデータサイズとアップロードのデータサイズとの比率をそれぞれ算出する。なお、以下では、パケットの宛先数、パケットサイズおよびダウンロードのデータサイズとアップロードのデータサイズとの比率の３つのパラメータ全てを用いて、通信ログであるのかＯＴネットワーク５０の通信ログであるのかを判定する処理を説明するが、３つのパラメータのうち、いずれか１つもしくは２つを用いて、通信ログであるのかＯＴネットワーク５０の通信ログであるのかを判定する処理を行ってもよい。
判定部１４ｂは、算出処理の一例として、例えば、送信先アドレス数を送信元アドレス数で除算し、除算した値をパケットの宛先数とする。また、判定部１４ｂは、例えば、パケットのデータサイズの平均値を算出し、算出した平均値をパケットサイズとする。また、判定部１４ｂは、例えば、ダウンロードパケットのデータサイズをアップロードパケットのデータサイズで除算し、除算した値をダウンロードのデータサイズとアップロードのデータサイズとの比率とする。
そして、判定部１４ｂは、スコア情報記憶部１５ａに記憶されたテーブルを参照し、同一送信元の通信ログごとに、ＯＴネットワーク５０の通信ログの特徴の度合いを示すスコアを計算する。続いて、判定部１４ｂは、計算したスコアが所定の閾値を超えている場合には、ＯＴネットワーク５０の通信ログであると判定し、計算したスコアが所定の閾値以下である場合には、ＩＴネットワーク４０の通信ログであると判定する。
具体的な例を挙げて説明すると、例えば、判定部１４ｂは、パケットの宛先数、パケットサイズおよびダウンロードのデータサイズとアップロードのデータサイズとの比率をそれぞれ算出した結果、通信プロトコルが「ＴＣＰ」である通信ログについて、パケットサイズが「７０」、ダウンロードのデータサイズとアップロードのデータサイズとの比率が「０．１」、パケットの宛先数が「１」であった場合に、図３〜図６に例示したテーブルを参照する。まず、通信プロトコルが「ＴＣＰ」である場合には、図４のテーブルが参照され、パケットサイズが「７０」である場合には、サイズ「６０−１１０」に対応するスコア「９０」が加算される。
また、判定部１４ｂは、図５のテーブルを参照し、ダウンロードのデータサイズとアップロードのデータサイズとの比率が「０．１」である場合には、サイズ比率「０．１ｔｉｍｅｓ」に対応するスコア「９０」がさらに加算される。また、判定部１４ｂは、図６のテーブルを参照し、パケットの宛先数が「１」である場合には、宛先数「１」に対応するスコア「９５」がさらに加算される。
このようにスコアを加算する処理として、判定部１４ｂは、各スコア「９０」、「９０」および「９５」の合計として、スコア「２７５」を計算する。そして、判定部１４ｂは、スコア「２７５」が予め設定された閾値「２５０」を超えているか否かを判定する。この場合には、判定部１４ｂは、計算したスコア「２７５」が閾値「２５０」を超えているので、ＯＴネットワーク５０の通信ログであると判定する。
このように、判定部１４ｂは、通信ログがＩＴネットワーク４０の通信ログであるかＯＴネットワーク５０の通信ログであるか判定した後、該通信ログの送信元アドレスを判定結果とともにＯＴ／ＩＴリスト記憶部１５ｃに格納する。そして、判定部１４ｂは、ＯＴ／ＩＴリスト記憶部１５ｃに格納された送信元アドレスの通信ログを今後取得した場合には、該通信ログについて、上記の判定処理を省略して、ＯＴ／ＩＴリスト記憶部１５ｃに記憶された情報を参照して、通信ログがＩＴネットワーク４０の通信ログであるかＯＴネットワーク５０の通信ログであるか判定するようにしてもよい。
判定部１４ｂは、判定処理を行った結果、ＩＴネットワーク４０であると判定したログについては、既存のＳＩＥＭエンジン等を介して、ＩＰネットワークを前提としたサイバー攻撃の検知ロジックにかける。
学習部１４ｃは、ＯＴネットワーク５０の通信ログのうち、送信元、送信先および通信プロトコルが同一のパケットごとに、パケットサイズとパケットの通信頻度とパケット間の通信間隔（インターバル）とを学習し、学習データを生成する。例えば、学習部１４ｃは、判定部１４ｂによってＯＴネットワーク５０の通信ログであると判定された一定期間の通信ログを、送信元、送信先および通信プロトコルが同一の通信ログごとにそれぞれ分類する。
そして、学習部１４ｃは、送信元、送信先および通信プロトコルが同一の通信ログごとに、パケットサイズとパケットの通信頻度とパケット間の通信間隔の平均値と、統計的に取りうるマージンを学習して学習データを生成し、学習データ記憶部１５ｂに格納する。なお、学習部１４ｃは、学習アルゴリズムとして、例えば、ＳＶＭ（Support Vector Machine）やその他の機械学習法を用いて、学習データを生成することができる。
検知部１４ｄは、検知対象の通信ログを取得し、該検知対象の通信ログにおけるパケットと、該パケットと送信元、送信先および通信プロトコルが同一の学習データとを比較し、該比較結果に応じて、検知対象の通信ログの異常を検知する。例えば、検知部１４ｄは、取得部１４ａから検知対象の通信ログを取得し、該通信ログを、送信元、送信先および通信プロトコルが同一の通信ログごとにそれぞれ分類し、各通信ログのデータサイズ、通信頻度およびインターバルを解析する。
そして、検知部１４ｄは、検知対象の通信ログのデータサイズ、通信頻度およびインターバルと、送信元、送信先および通信プロトコルが同一の学習データのデータサイズ、通信頻度およびインターバルとをそれぞれ比較し、学習データとの差分がマージンの範囲外である場合には、該通信ログの異常を検知する。そして、検知部１４ｄは、通信ログの異常を検知した場合には、アラート発出部１４ｈに通信ログの異常を通知する。
具体的な例を挙げて説明すると、例えば、検知部１４ｄは、送信元が「ＩＰＧＷ１」、送信先が「Ｓｅｒｖｅｒ１」、通信プロトコルが「ＴＣＰ」である検知対象の通信ログについて、各パケットのデータサイズが「４００−４２０」バイト、単位時間あたりの通信頻度が「４７１０４８１４６１６８４１０００００」、インターバルが「４０」秒であると解析する。そして、検知部１４ｄは、送信先が「Ｓｅｒｖｅｒ１」、通信プロトコルが「ＴＣＰ」である学習データを学習データ記憶部１５ｂから取得し、図７に例示するように、データサイズが「４３０−５００」の範囲内であって、通信頻度が「４７１０４８１４６１６８４１４９７１９±３２３２」の範囲内であって、インターバルが「３０±１」の範囲内であるか比較する。
この場合、検知対象の通信ログのデータサイズが「４００−４２０」バイトであるため、学習データの「４３０−５００」よりもデータサイズが小さく、検知対象の通信ログの通信頻度が「４７１０４８１４６１６８４１０００００」であるため、学習データの通信頻度「４７１０４８１４６１６８４１４９７１９±３２３２」の範囲よりも少なく、検知対象の通信ログのインターバルが「４０」秒であるため、学習データのインターバルが「３０±１」の範囲よりも長い。
このように、検知部１４ｄは、例えば、学習データよりもデータサイズが小さく、通信頻度が少なく、且つ、通信間隔が長いと判定した場合には、ＯＴネットワーク５０において障害部位が存在する可能性があるものと判定して、通信ログに異常を検知する。また、検知部１４ｄは、例えば、学習データよりもデータサイズが大きく、通信頻度が多く、且つ、インターバルが短いと判定した場合には、ＯＴネットワーク５０において成りすましやマルウェア等の感染後の活動の可能性があるものと判定して、通信ログの異常を検知する。
例えば、ＯＴネットワーク５０において産業用プロトコルや特殊プロトコル、独自プロトコル等を利用したＰＡＮ（Personal Area Network）があった場合でも、そのＰＡＮの配下で発生している脅威のリスクを監視装置１０が検知することができる。なお、通信ログの以上の判定基準は、適宜変更することができるものであって、例えば、予め定義してスコアリングしてもよいし、一般的な機械学習ロジックや統計手法を用いて通常と異なると判断させてもよい。
受信部１４ｅは、ＯＴネットワーク５０における各デバイスの経路情報を受信する。なお、受信部１４ｅは、経路情報の受信タイミングとして、所定の時間間隔で通信ログを取得してもよいし、所定のイベント等をトリガとして取得してもよいし、ユーザの指示に従って取得するようにしてもよい。
例えば、受信部１４ｅは、検知部１４ｄによりＯＴネットワーク５０の通信ログに異常が検知され、ＯＴネットワーク５０において障害部位を特定する旨の指示を管理者の操作により受け付けた場合には、指定されたＯＴネットワーク５０に接続されたゲートウェイ３０から各デバイスの経路情報として、「宛先情報」と「隣接装置」が規定された経路情報と、隣接ノード情報として、デバイス間の受信信号強度を示すＲＳＳＩ（Received Signal Strength Indicator）を定期的に受信する。
例えば、ＯＴネットワーク５０がＺｉｇＢｅｅ（登録商標）の通信規格を適用して、デバイス間の近距離無線通信を行っている場合には、受信部１４ｅは、経路情報および隣接ノード情報をＺｉｇＢｅｅコーディネータから定期的に受信する。
生成部１４ｆは、経路情報に基づいて、ＯＴネットワーク５０におけるデバイス間の接続関係を示すトポロジ情報を定期的に生成する。例えば、生成部１４ｆは、経路情報に規定された「宛先情報」と「隣接装置」から、ネットワークトポロジを生成する。なお、後述する図８ではＯＴネットワーク５０で典型的に見られるツリー状のトポロジを例示しているが、ツリー状のトポロジに限られるものではない。
検出部１４ｇは、生成部１４ｆによって定期的に生成されたトポロジ情報から該トポロジ情報の変動を監視し、トポロジの変動に基づいて、ＯＴネットワーク５０において障害が発生したデバイスを検出する。例えば、検出部１４ｇは、生成部１４ｆによって定期的に生成されたトポロジ情報を比較することで、該トポロジ情報の変動を監視し、ＯＴネットワーク５０から離脱したデバイスや切り替わり頻度が高い不安定状態のデバイスが存在する場合には、該デバイスをＯＴネットワーク５０において障害が発生したデバイスとして検出する。
また、検出部１４ｇは、トポロジ情報の変動に基づいて、ＯＴネットワーク５０において障害が発生したデバイスを検出するとともに、隣接ノード情報からデバイス間の電波強度を監視し、デバイス間の電波強度の品質の悪いデバイスが存在する場合には、該デバイスをＯＴネットワーク５０において障害が発生したデバイスとして検出する。
また、検出部１４ｇは、異常が疑われる被疑部位の妥当性を評価するために、パケットロス情報と照合するようにしてもよい。ここで、図８の例を用いて、ＯＴネットワーク５０における障害部位を検出する処理を説明する。図８は、ＯＴネットワークにおける障害部位を検出する処理を説明する図である。
図８に例示するように、例えば、検出部１４ｇは、前述の検知部１４ｄの検知対象の通信ログにおけるパケットのデータサイズおよび通信頻度と、学習データにおけるパケットのデータサイズおよび通信頻度とを比較することで、通常時の通信時に比べてパケットをどのくらいロスしているかを特定することができる。
例えば、ゲートウェイ３０の配下にデバイスが１５０個存在し、通常時の通信パケット数と比べて１０％のパケットがロスしている場合には、デバイス１５個分のトラヒックが欠如していると推定することができる。また、例えば、検出部１４ｇは、トポロジ情報および隣接ノード情報の監視により７デバイスがトポロジの変動があり電波強度も弱いことを検出し、８デバイスがあるタイミングから接続されなくなったことを検出する。
このような場合には、検出部１４ｇは、パケットロス情報により異常が疑われるデバイス数「１５」と、トポロジ情報および隣接ノード情報の監視により異常が疑われるデバイス数「１５」とを照会し、異常が疑われるデバイスの数が同じであることを検出する。そして、検出部１４ｇは、障害があるデバイスとして１５デバイスの特定まで行い、特定した障害がある１５デバイスの識別情報等を後述するアラート発出部１４ｈに通知する。なお、障害がある１５デバイスを特定する基準の閾値は予め設定しておいてもよいし、数値の合致率をスコアリングする等して、被疑１５デバイスの障害の可能性を数値化し、該数値をアラート発出部１４ｈに通知してアラートを発出させてもよい。
また、検出部１４ｇは、障害の可能性があるデバイスのうち、多くの端末が接続されている不安定な上位デバイスを特定するようにしてもよい。具体的には、検出部１４ｇは、ＯＴネットワーク５０において障害が発生したデバイスを定期的に検出し、障害が発生した各デバイスについて、所定期間において障害発生した際の他のデバイスとの接続数を計数し、所定期間における該接続数の合計が所定の閾値を超えたデバイスを、接続状態が不安定な状態にある上位デバイスとして特定する。このように接続状態が不安定な状態にある上位デバイスとして、例えば、１か月等の一定期間のデータから、多くの端末が接続されている不安定状態にある上位デバイスを特定し、アラート発出部１４ｈにアラートを発出させることで、当該箇所を重点的に調査・改善させる等のコンサルティングとしてのアクションにつなげることも可能である。
その場合、一定期間におけるデバイス切り替え回数と下位ノード数を記録し、例えば、ネットワーク切り替え毎の下位ノード数を足し合わせてある閾値以上の値になったノードを特定して当該ノードの置局設計や収容設計の見直しを促すといったことも可能となる。例えば、月に３回、下位ノードがそれぞれ１０個、１２個、１３個つながった状態で切り替わったので、合計を計算し（「１０＋１２＋１３＝３５」）、合計「３５」が閾値「３０」以上にになったノードを接続状態が不安定な状態にある上位デバイスであると特定して当該ノードの置局設計や収容設計の見直しを促すと言ったことも可能となる。
また、検出部１４ｇは、幾度も発生障害が発生するポイントを特定するようにしてもよい。具体的には、検出部１４ｇは、ＯＴネットワーク５０において障害が発生したデバイスを定期的に検出し、障害が発生した各デバイスについて、所定期間内において各デバイスの障害が発生した回数をカウントし、該回数が所定の閾値を超えたデバイスを特定する。このように、幾度も発生障害が発生するポイントを特定することで、中長期的にネットワークデザインの修正をレコメンデーションする等の用途に活用することも可能である。例えば、一定期間内にネットワーク離脱と判定するときの回数をカウントしておき、一定回数（例えば、月３回）を超えたノードに対して、当該ノードの置局設計や収容設計の見直しを促すと言ったことも可能である。
アラート発出部１４ｈは、検知部１４ｄによって通信ログの異常が検知された場合に、アラートを発出する。また、アラート発出部１４ｈは、検出部１４ｇにより障害があると特定されたデバイスについて、アラートを発出する。また、アラート発出部１４ｈは、障害の可能性があるデバイスのうち、多くの端末が接続されている不安定な上位デバイスについて、アラートを発出するとともに、当該上位デバイスの調査や改善させるアクションを促すアラートを発出する。なお、アラート発出部１４ｈは、アラートを発出する方法として、出力部１３にアラート画面を表示するようにしてよいし、外部の装置にアラートに関する情報を通知するようにしてもよい。
ここで、図９を用いて、第１の実施形態に係る監視装置の処理の概要を説明する。図９に示すように、監視装置１０の取得部１４ａは、ＩＴネットワーク４０およびＯＴネットワーク５０の両方から各ネットワークで送受信されたパケットの通信ログをファイアウォール２０から取得する。
そして、判定部１４ｂは、取得した通信ログの送信元アドレス（Ｓｒｃアドレス）がＯＴ／ＩＴリスト記憶部１５ｃに登録済みであるか判定し、登録済みである場合には、該送信元の通信ログについては、ＯＴ／ＩＴリスト記憶部１５ｃに記憶されたリストを基に、ＩＴネットワーク４０の通信ログであるかＯＴネットワーク５０の通信ログであるか判定する。また、判定部１４ｂは、送信元アドレス（Ｓｒｃアドレス）がＯＴ／ＩＴリスト記憶部１５ｃに登録済みでない通信ログについては、スコア情報記憶部１５ａに記憶されたテーブルを参照し、同一送信元の通信ログごとに、ＯＴネットワーク５０の通信ログの特徴の度合いを示すスコアを計算する。
そして、判定部１４ｂは、判定処理を行った結果、ＩＴネットワーク４０であると判定したログについては、既存のＳＩＥＭエンジン等を介して、ＩＰネットワークを前提としたサイバー攻撃の検知ロジックにかける。なお、ＳＩＥＭエンジンによりサイバー攻撃が検知された場合には、アラート発出部１４ｈに通知し、アラート発出部１４ｈにアラートを発出させる。また、判定部１４ｂは、ＯＴネットワーク５０であると判定したログについては検知部１４ｄに通知する。
検知部１４ｄは、検知対象の通信ログを取得し、該検知対象の通信ログにおけるパケットと、該パケットと送信元、送信先および通信プロトコルが同一の学習データとを比較し、該比較結果に応じて、検知対象の通信ログの異常を検知する。そして、検知部１４ｄは、通信ログの異常を検知した場合には、アラート発出部１４ｈに通信ログの異常を通知する。そして、アラート発出部１４ｈは、通信ログの異常について、アラートを発出する。
また、受信部１４ｅは、ＯＴネットワーク５０において障害部位を特定する旨の指示とＯＴネットワーク５０の指定を管理者の操作により受け付けた場合には、指定されたＯＴネットワーク５０に接続されたゲートウェイ３０から各デバイスの経路情報として、「宛先情報」と「隣接装置」が規定された経路情報と、隣接ノード情報として、デバイス間の受信信号強度を示すＲＳＳＩ（Received Signal Strength Indicator）を定期的に受信する。
そして、生成部１４ｆは、経路情報に基づいて、ＯＴネットワーク５０におけるデバイス間の接続関係を示すトポロジ情報を定期的に生成する。例えば、生成部１４ｆは、経路情報に規定された「宛先情報」と「隣接装置」から、ツリー状のトポロジを生成する。
続いて、検出部１４ｇは、生成部１４ｆによって定期的に生成されたトポロジ情報から該トポロジ情報の変動を監視し、トポロジの変動に基づいて、ＯＴネットワーク５０において障害が発生したデバイスを検出する。また、検出部１４ｇは、検知部１４ｄによって検知対象の通信ログにおけるパケットのデータサイズおよび通信頻度と学習データにおけるパケットのデータサイズおよび通信頻度とを比較することで、通常時の通信時に比べてパケットをどのくらいロスしているかを特定する。そして、検出部１４ｇは、障害があるデバイスの数の特定まで行い、特定した障害があるデバイスの識別情報等をアラート発出部１４ｈに通知する。アラート発出部１４ｈは、検出部１４ｇにより障害があると特定されたデバイスについて、アラートを発出する。
［監視装置の処理手順］
次に、図１０および図１１を用いて、第１の実施形態に係る監視装置１０による処理手順の例を説明する。図１０は、第１の実施形態に係る監視装置における学習処理の流れの一例を示すフローチャートである。図１１は、第１の実施形態に係る監視装置における監視処理の流れの一例を示すフローチャートである。
まず、図１０を用いて、監視装置１０における学習処理の流れを説明する。図１０に示すように、監視装置１０の取得部１４ａは、例えば、学習データ生成指示を受け付けると（ステップＳ１０１肯定）、学習データ生成用の通信ログをＩＴネットワーク４０およびＯＴネットワーク５０に接続されたファイアウォール２０から取得する（ステップＳ１０２）。
そして、判定部１４ｂは、各通信ログをＩＴネットワーク４０の通信ログとＯＴネットワーク５０の通信ログとに判定する（ステップＳ１０３）。具体的には、判定部１４ｂは、取得部１４ａによって取得された通信ログからパケットの宛先数、パケットサイズおよびダウンロードのデータサイズとアップロードのデータサイズとの比率のうち、いずれか一つまたは複数に基づいて、通信ログがＩＴネットワーク４０の通信ログであるのかＯＴネットワーク５０の通信ログであるのかを判定する。
続いて、学習部１４ｃは、ＯＴネットワーク５０の通信ログを用いて、学習データを生成する（ステップＳ１０４）。具体的には、学習部１４ｃは、ＯＴネットワーク５０の通信ログのうち、送信元、送信先および通信プロトコルが同一のパケットごとに、パケットサイズとパケットの通信頻度とパケット間の通信間隔とを学習し、学習データを生成する。
次に、図１１を用いて、監視装置１０における監視処理の流れを説明する。図１１に示すように監視装置１０の取得部１４ａは、所定期間が経過すると（ステップＳ２０１肯定）、検知対象の通信ログを取得する（ステップＳ２０２）。
そして、判定部１４ｂは、通信ログがＩＴネットワーク４０の通信ログであるかＯＴネットワーク５０の通信ログであるかを判定する（ステップＳ２０３）。この判定の結果、通信ログがＯＴネットワーク５０の通信ログでないと判定された場合（ステップＳ２０４否定）、すなわち通信ログがＩＴネットワーク４０の通信ログであると判定された場合には、既存のＳＩＥＭエンジンによるＳＩＥＭ分析を行う（ステップＳ２０６）。
一方、通信ログがＯＴネットワーク５０の通信ログであると判定された場合には（ステップＳ２０４肯定）、検知部１４ｄは、検知対象の通信ログと学習データとを比較して異常を検知する（ステップＳ２０５）。この結果、通信ログから異常が検知されなかった場合には（ステップＳ２０７否定）、そのまま本フローの処理を終了する。
また、通信ログから異常が検知された場合には（ステップＳ２０７肯定）、受信部１４ｅは、経路情報と隣接ノード情報を受信する（ステップＳ２０８）。そして、生成部１４ｆは、経路情報に基づいて、ＯＴネットワーク５０におけるデバイス間の接続関係を示すトポロジ情報を定期的に生成する（ステップＳ２０９）。
そして、検出部１４ｇは、生成部１４ｆによって定期的に生成されたトポロジ情報を比較することで、該トポロジ情報の変動を監視する（ステップＳ２１０）。この結果、トポロジ情報に変動がない場合には（ステップＳ２１１否定）、そのまま本フローの処理を終了する。
また、トポロジ情報に変動がある場合には（ステップＳ２１１肯定）、検出部１４ｇは、障害部位を検出または特定する（ステップＳ２１２）。例えば、検出部１４ｇは、生成部１４ｆによって定期的に生成されたトポロジ情報を比較することで、該トポロジ情報の変動を監視し、ＯＴネットワーク５０から離脱したデバイスや切り替わり頻度が高い不安定状態のデバイスを検出する。また、検出部１４ｇは、ＯＴネットワーク５０から離脱したデバイスや切り替わり頻度が高い不安定状態のデバイスが存在する場合には、該デバイスをＯＴネットワーク５０において障害が発生したデバイスとして特定する。
（第１の実施形態の効果）
第１の実施形態に係る監視装置１０は、ＩＴネットワーク４０およびＯＴネットワーク５０の両方から各ネットワークで送受信されたパケットの通信ログをファイアウォール２０から取得する。そして、監視装置１０は、取得された通信ログからパケットの宛先数、パケットのデータサイズであるパケットサイズおよびダウンロードのデータサイズとアップロードのデータサイズとの比率のうち、いずれか一つまたは複数に基づいて、通信ログがＩＴネットワーク４０の通信ログであるのかＯＴネットワーク５０の通信ログであるのかを判定する。このため、ＩＴネットワーク４０およびＯＴネットワーク５０それぞれの監視を容易に行うことが可能である。つまり、ＩＴネットワーク４０およびＯＴネットワーク５０とでは、それぞれ重視しているセキュリティ脅威が異なるが、ファイアウォール２０の通信ログを取得するのみで、ＩＴネットワーク４０の通信ログと、ＯＴネットワーク５０の通信ログとに判別し、それぞれの通信ログに適した解析処理等を行うことができるので、専用のセキュリティ対策設備を設けることなく、両ネットワークの監視を容易に行うことが可能である。また、ＩＴネットワーク４０およびＯＴネットワーク５０の資産情報等を事前に登録することなく、通信ログを自動で判定するので、ユーザの手間がかからないという効果を奏する。
また、監視装置１０は、ＯＴネットワーク５０の通信ログのうち、送信元、送信先および通信プロトコルが同一のパケットごとに、パケットサイズとパケットの通信頻度とパケット間の通信間隔とを学習し、学習データを生成する。そして、監視装置１０は、検知対象の通信ログを取得し、該検知対象の通信ログにおけるパケットと、該パケットと送信元、送信先および通信プロトコルが同一の学習データとを比較し、該比較結果に応じて、検知対象の通信ログの異常を検知する。このため、ＯＴネットワーク５０に対して専用プロトコルのセキュリティアプライアンス無しに、ＯＴのセキュリティ脅威をモニタリングすることが可能である。
また、監視装置１０は、ＯＴネットワーク５０における各デバイスの経路情報を受信する。そして、監視装置１０は、経路情報に基づいて、ＯＴネットワーク５０におけるデバイス間の接続関係を示すトポロジ情報を定期的に生成し、定期的に生成されたトポロジ情報から該トポロジ情報の変動を検出する。そして、監視装置１０は、監視されたトポロジの変動に基づいて、ＯＴネットワーク５０において障害が発生したデバイスを検出する。このため、ファイアウォール２０というＩＴ系の機器から通信ログを得るだけで、自動的にＯＴネットワーク５０における障害発生個所を特定することが可能である。
（システム構成等）
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
また、本実施の形態において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
（プログラム）
また、上記実施形態において説明した監視装置が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。例えば、実施形態に係る監視装置１０が実行する処理をコンピュータが実行可能な言語で記述した監視プログラムを作成することもできる。この場合、コンピュータが監視プログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、かかる監視プログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録された監視プログラムをコンピュータに読み込ませて実行することにより上記実施形態と同様の処理を実現してもよい。
図１２は、監視プログラムを実行するコンピュータ１０００を示す図である。図１２に例示するように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有し、これらの各部はバス１０８０によって接続される。
メモリ１０１０は、図１２に例示するように、ＲＯＭ（Read Only Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、図１２に例示するように、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、図１２に例示するように、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、図１２に例示するように、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、図１２に例示するように、例えばディスプレイ１１３０に接続される。
ここで、図１２に例示するように、ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、上記の監視プログラムは、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、例えばハードディスクドライブ１０９０に記憶される。
また、上記実施形態で説明した各種データは、プログラムデータとして、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出し、各種処理手順を実行する。
なお、監視プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、監視プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
上記の実施形態やその変形は、本願が開示する技術に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。
１０ 監視装置
１１ 通信処理部
１２ 入力部
１３ 出力部
１４ 制御部
１４ａ 取得部
１４ｂ 判定部
１４ｃ 学習部
１４ｄ 検知部
１４ｅ 受信部
１４ｆ 生成部
１４ｇ 検出部
１４ｈ アラート発出部
１５ 記憶部
１５ａ スコア情報記憶部
１５ｂ 学習データ記憶部
１５ｃ ＯＴ／ＩＴリスト記憶部
２０ ファイアウォール
３０、３０Ａ〜３０Ｃ ゲートウェイ
４０ ＩＴネットワーク
５０、５０Ａ〜５０Ｃ ＯＴネットワーク
６０ ＩＰネットワーク
７０ インターネット

Claims (8)

  1. ＩＴネットワークおよびＯＴネットワークの両方から各ネットワークで送受信されたパケットの通信ログを取得する取得手段と、
    前記取得手段によって取得された通信ログからパケットの宛先数、パケットサイズおよびダウンロードのデータサイズとアップロードのデータサイズとの比率のうち、いずれか一つまたは複数に基づいて、前記通信ログがＩＴネットワークの通信ログであるのかＯＴネットワークの通信ログであるのかを判定する判定手段と、
    前記ＯＴネットワークの通信ログのうち、送信元、送信先および通信プロトコルが同一のパケットごとに、パケットサイズとパケットの通信頻度とパケット間の通信間隔とを学習し、学習データを生成する学習手段と、
    検知対象の通信ログを取得し、該検知対象の通信ログにおけるパケットと、該パケットと送信元、送信先および通信プロトコルが同一の学習データとを比較し、該比較結果に応じて、前記検知対象の通信ログの異常を検知する検知手段と、
    を備え、
    前記検知手段は、前記検知対象の通信ログと前記学習データとを比較した結果、前記検知対象の通信ログが前記学習データよりもパケットサイズが小さく、通信頻度が少なく、且つ、通信間隔が長いと判定した場合には、前記ＯＴネットワークにおいて障害部位が存在する可能性があるものと判定して、前記検知対象の通信ログの異常を検知し、前記検知対象の通信ログが学習データよりもデータサイズが大きく、通信頻度が多く、且つ、通信間隔が短いと判定した場合には、前記ＯＴネットワークにおいて成りすましやマルウェアの感染後の活動の可能性があるものと判定して、前記通信ログの異常を検知することを特徴とする監視装置。
  2. 前記判定手段は、送信元が同一の通信ログごとに、前記宛先数、前記パケットサイズおよび前記比率をそれぞれ算出し、算出した前記宛先数、前記パケットサイズおよび前記比率に応じて、ＯＴネットワークの通信ログの特徴の度合いを示すスコアを計算し、該スコアが所定の閾値超えている場合には、前記通信ログがＯＴネットワークの通信ログであると判定し、前記スコアが所定の閾値以下である場合には、前記通信ログがＩＴネットワークの通信ログであると判定することを特徴とする請求項１に記載の監視装置。
  3. 前記ＯＴネットワークにおける各デバイスの経路情報を受信する受信手段と、
    前記経路情報に基づいて、前記ＯＴネットワークにおけるデバイス間の接続関係を示すトポロジ情報を生成する生成手段と、
    前記生成手段によって生成されたトポロジ情報から該トポロジ情報の変動を監視し、前記トポロジ情報の変動に基づいて、前記ＯＴネットワークにおいて障害が発生したデバイスを検出する検出手段と、
    をさらに備えることを特徴とする請求項１に記載の監視装置。
  4. 前記受信手段は、前記経路情報とともに、デバイス間の電波強度を示す隣接ノード情報を受信し、
    前記検出手段は、前記トポロジ情報の変動に基づいて、前記ＯＴネットワークにおいて障害が発生したデバイスを検出するとともに、前記隣接ノード情報からデバイス間の電波強度を監視し、デバイス間の電波強度の品質の悪いデバイスを前記ＯＴネットワークにおいて障害が発生したデバイスとして検出することを特徴とする請求項３に記載の監視装置。
  5. 前記検出手段は、前記ＯＴネットワークにおいて障害が発生したデバイスを検出し、障害が発生した各デバイスについて、所定期間において障害発生した際の他のデバイスとの接続数を計数し、前記所定期間における該接続数の合計が所定の閾値を超えたデバイスを、接続状態が不安定な状態にあるデバイスとして特定することを特徴とする請求項３に記載の監視装置。
  6. 前記検出手段は、前記ＯＴネットワークにおいて障害が発生したデバイスを検出し、障害が発生した各デバイスについて、所定期間内において各デバイスの障害が発生した回数をカウントし、該回数が所定の閾値を超えたデバイスを特定することを特徴とする請求項３に記載の監視装置。
  7. 監視装置によって実行される監視方法であって、
    ＩＴネットワークおよびＯＴネットワークの両方から各ネットワークで送受信されたパケットの通信ログを取得する取得工程と、
    前記取得工程によって取得された通信ログからパケットの宛先数、パケットサイズおよびダウンロードのデータサイズとアップロードのデータサイズとの比率のうち、いずれか一つまたは複数に基づいて、前記通信ログがＩＴネットワークの通信ログであるのかＯＴネットワークの通信ログであるのかを判定する判定工程と、
    前記ＯＴネットワークの通信ログのうち、送信元、送信先および通信プロトコルが同一のパケットごとに、パケットサイズとパケットの通信頻度とパケット間の通信間隔とを学習し、学習データを生成する学習工程と、
    検知対象の通信ログを取得し、該検知対象の通信ログにおけるパケットと、該パケットと送信元、送信先および通信プロトコルが同一の学習データとを比較し、該比較結果に応じて、前記検知対象の通信ログの異常を検知する検知工程と、
    を含み、
    前記検知工程は、前記検知対象の通信ログと前記学習データとを比較した結果、前記検知対象の通信ログが前記学習データよりもパケットサイズが小さく、通信頻度が少なく、且つ、通信間隔が長いと判定した場合には、前記ＯＴネットワークにおいて障害部位が存在する可能性があるものと判定して、前記検知対象の通信ログの異常を検知し、前記検知対象の通信ログが学習データよりもデータサイズが大きく、通信頻度が多く、且つ、通信間隔が短いと判定した場合には、前記ＯＴネットワークにおいて成りすましやマルウェアの感染後の活動の可能性があるものと判定して、前記通信ログの異常を検知することを特徴とする監視方法。
  8. ＩＴネットワークおよびＯＴネットワークの両方から各ネットワークで送受信されたパケットの通信ログを取得する取得ステップと、
    前記取得ステップによって取得された通信ログからパケットの宛先数、パケットサイズおよびダウンロードのデータサイズとアップロードのデータサイズとの比率のうち、いずれか一つまたは複数に基づいて、前記通信ログがＩＴネットワークの通信ログであるのかＯＴネットワークの通信ログであるのかを判定する判定ステップと、
    前記ＯＴネットワークの通信ログのうち、送信元、送信先および通信プロトコルが同一のパケットごとに、パケットサイズとパケットの通信頻度とパケット間の通信間隔とを学習し、学習データを生成する学習ステップと、
    検知対象の通信ログを取得し、該検知対象の通信ログにおけるパケットと、該パケットと送信元、送信先および通信プロトコルが同一の学習データとを比較し、該比較結果に応じて、前記検知対象の通信ログの異常を検知する検知ステップと、
    をコンピュータに実行させ、
    前記検知ステップは、前記検知対象の通信ログと前記学習データとを比較した結果、前記検知対象の通信ログが前記学習データよりもパケットサイズが小さく、通信頻度が少なく、且つ、通信間隔が長いと判定した場合には、前記ＯＴネットワークにおいて障害部位が存在する可能性があるものと判定して、前記検知対象の通信ログの異常を検知し、前記検知対象の通信ログが学習データよりもデータサイズが大きく、通信頻度が多く、且つ、通信間隔が短いと判定した場合には、前記ＯＴネットワークにおいて成りすましやマルウェアの感染後の活動の可能性があるものと判定して、前記通信ログの異常を検知することを特徴とする監視プログラム。
JP2016135304A 2016-07-07 2016-07-07 監視装置、監視方法および監視プログラム Active JP6711710B2 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2016135304A JP6711710B2 (ja) 2016-07-07 2016-07-07 監視装置、監視方法および監視プログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2016135304A JP6711710B2 (ja) 2016-07-07 2016-07-07 監視装置、監視方法および監視プログラム

Publications (2)

Publication Number Publication Date
JP2018007179A JP2018007179A (ja) 2018-01-11
JP6711710B2 true JP6711710B2 (ja) 2020-06-17

Family

ID=60949504

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2016135304A Active JP6711710B2 (ja) 2016-07-07 2016-07-07 監視装置、監視方法および監視プログラム

Country Status (1)

Country Link
JP (1) JP6711710B2 (ja)

Families Citing this family (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2019125914A (ja) 2018-01-16 2019-07-25 アラクサラネットワークス株式会社 通信装置及びプログラム
JP6937251B2 (ja) * 2018-01-24 2021-09-22 株式会社東芝 異常要因判定装置、制御システム、および異常要因判定方法
JP7109391B2 (ja) 2019-02-26 2022-07-29 株式会社日立製作所 不正通信検知装置および不正通信検知プログラム
JP7339542B2 (ja) * 2020-01-29 2023-09-06 富士通株式会社 管理装置、管理システムおよび管理方法
WO2021192191A1 (ja) 2020-03-27 2021-09-30 日本電気株式会社 異常アクセス予測システム、異常アクセス予測方法およびプログラム記録媒体
JP7420247B2 (ja) 2020-05-29 2024-01-23 日本電気株式会社 計量学習装置、計量学習方法、計量学習プログラム、及び検索装置
JP2023144705A (ja) * 2022-03-28 2023-10-11 エヌ・ティ・ティ・コミュニケーションズ株式会社 処理装置、処理方法及び処理プログラム

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4228772B2 (ja) * 2003-05-12 2009-02-25 富士通株式会社 ネットワーク監視方法およびネットワーク監視装置
JP5655191B2 (ja) * 2011-06-28 2015-01-21 日本電信電話株式会社 特徴情報抽出装置、特徴情報抽出方法および特徴情報抽出プログラム
JP5812282B2 (ja) * 2011-12-16 2015-11-11 公立大学法人大阪市立大学 トラヒック監視装置
JP2014232923A (ja) * 2013-05-28 2014-12-11 日本電気株式会社 通信装置、サイバー攻撃検出方法、及びプログラム
JP2015043522A (ja) * 2013-08-26 2015-03-05 株式会社日立製作所 ゲートウェイ装置、パケット振り分け制御方法および無線通信システム
GB2519341A (en) * 2013-10-18 2015-04-22 Nec Corp Data transmission from mobile radio communications device
JP2016046669A (ja) * 2014-08-22 2016-04-04 沖電気工業株式会社 パケット処理装置、プログラム及び方法

Also Published As

Publication number Publication date
JP2018007179A (ja) 2018-01-11

Similar Documents

Publication Publication Date Title
JP6711710B2 (ja) 監視装置、監視方法および監視プログラム
US10560280B2 (en) Network security analysis for smart appliances
US10681079B2 (en) Method for mitigation of cyber attacks on industrial control systems
EP3635914B1 (en) Anomaly detection in computer networks
US9860278B2 (en) Log analyzing device, information processing method, and program
US10097572B1 (en) Security for network computing environment based on power consumption of network devices
US20160330225A1 (en) Systems, Methods, and Devices for Detecting Anomalies in an Industrial Control System
US20230156471A1 (en) Adaptive scanning
JP6258562B2 (ja) 中継装置、ネットワーク監視システム及びプログラム
US20210099473A1 (en) Anomaly detection including property changes
CA2844225A1 (en) Intelligent cyberphysical intrusion detection and prevention systems and methods for industrial control systems
JP2015171052A (ja) 識別装置、識別プログラム、及び識別方法
KR101585342B1 (ko) 이상행위 탐지 장치 및 방법
GB2532630A (en) Network intrusion alarm method and system for nuclear power station
KR101281456B1 (ko) 자기 유사성을 이용한 ｓｃａｄａ 네트워크의 이상증후를 탐지하는 장치 및 방법
EP3286650B1 (en) Network security analysis for smart appliances
CN109743339B (zh) 电力厂站的网络安全监测方法和装置、计算机设备
Lara et al. Smart home anomaly-based IDS: Architecture proposal and case study
JP6470201B2 (ja) 攻撃検知装置、攻撃検知システムおよび攻撃検知方法
CN114172702A (zh) 一种电网工控系统网络安全监测方法及系统
Cole et al. Distance Measures for Competitive Learning-based Anomaly Detection in Industrial Control Systems.
Lara Romero et al. Smart home anomaly-based IDS: architecture proposal and case study
Han et al. Design of Multi-Protocol Industrial Ethernet Security Monitor
KR20160074695A (ko) 사물인터넷 환경에서 비정상적 정보 유출 행위 탐지를 위한 비정형 정보 및 디지털 패킷 유출 분석 시스템
CN116318934A (zh) 基于物联网设备行为建模的安全预警方法及系统

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20190125

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20191021

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20191112

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20191226

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20200212

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20200408

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20200428

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20200528

R150 Certificate of patent or registration of utility model

Ref document number: 6711710

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

S111 Request for change of ownership or part of ownership

Free format text: JAPANESE INTERMEDIATE CODE: R313113

R350 Written notification of registration of transfer

Free format text: JAPANESE INTERMEDIATE CODE: R350

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250