JP6869869B2 - 制御システムのための対策立案システムおよび監視装置 - Google Patents

Description

本発明は、制御システムのための対策立案システムおよび監視装置に関する。

電力、鉄道、水道、ガスといった社会インフラや自動車で利用される制御システムは、センサの情報をもとにバルブやアクチュエータといった装置を動作させ、予め設定されている圧力や温度を保つことが要求される。

この動作を実現するためには、コントローラ等の組込み装置において、定期的にセンサからの情報を取得し、状態を確認し、他のコントローラやサーバ等に通知し、必要に応じて制御を行うことが必要となる。このため、制御システムでは周期的な通信が発生し、その通信データをもとに処理を行うことが通例である。

一方、制御システムはこれまで専用ＯＳ（Operating System）や専用プロトコルを利用しており、インターネット等の外部ネットワークからアクセスできない領域に孤立した状態で設置されているため、いわゆるコンピュータウィルスやＤｏＳ攻撃（Denial of Service attack）といったサイバー攻撃からは無縁であると考えられてきた。

しかしながら、コスト削減のために汎用ＯＳや汎用プロトコルを利用するケースが増加しており、効率向上のために情報系システムとの接続も進んできている。また、近年では、制御システムをターゲットとしたコンピュータウィルスが発見されており、制御システムにおいても情報システムと同様にマルウェア等の感染や外部からの不正アクセスといったセキュリティインシデントを検知し、対策する技術が必要となっている。

このような課題に対し、セキュリティインシデントの種別毎に対策内容を予め定めておき、セキュリティインシデント検知時に発生した種別をもとに対策を抽出し、実行する技術が知られている（例えば、特許文献１参照）。

特開２０１２−２２６６８０号公報

特許文献１等で知られた技術を用いれば、予め定められた対策を選定して適用することは可能になる。しかしながら、制御システムにおいては、制御のアプリケーションによって、実行される業務の内容が変化し、ネットワークの通信経路等も変化する。このため、実行中の業務と関わりなく、予め定められた対策を選定し適用しては、選定された対策が実行中の業務に適合せず、業務に大きな影響を与える可能性がある。

本発明は、上記事情に鑑みてなされたものであり、制御システム内で実行されている業務への影響を加味して対策を提供することを目的とする。

本発明に係る代表的な対策立案システムは、制御システムのための対策立案システムであって、複数の制御装置間で通信されるパケットを受信して中継し、受信したパケットの通信ログを収集して送信し、受信したパケットの不正を検知してアラートを送信するネットワーク装置、および前記ネットワーク装置により送信された通信ログから、通信経路の情報を含む業務パターンを抽出する業務抽出部と、対策に関する機器の情報を含む対策パターンが格納される対策パターン格納部と、業務パターンに含まれる通信経路の情報と対策パターンに含まれる機器の情報に基づき影響業務を抽出し、影響業務を対策パターンに含める業務影響推定部と、前記ネットワーク装置により送信されたアラートと対策パターンに基づき対策候補を抽出する対策立案部と、影響業務を含めて対策候補を出力する入出力部と、を含む監視装置、を備えたことを特徴とする。

本発明によれば、制御システム内で実行されている業務への影響を加味して対策を提供することが可能となる。

対策立案システムの構成の例を示す図である。 制御装置、不正接続防止装置、および監視装置の構成の例を示す図である。 ネットワーク装置の構成の例を示す図である。 試運転時に通信ログを収集する処理フローの例を示す図である。 業務パターンを抽出する処理フローの例を示す図である。 業務影響を推定する処理フローの例を示す図である。 運用時の対策に関する処理フローの例を示す図である。 業務関連情報入力画面の例を示す図である。 対策選定画面の例を示す図である。 対策選定結果画面の例を示す図である。 アラートの情報の例を示す図である。 通信ログの情報の例を示す図である。 業務パターンの情報の例を示す図である。 対策パターンの情報の例を示す図である。

本発明の一実施形態について以下に説明する。なお、以下に説明する一実施形態に本発明は限定されるものではない。

図１は、対策立案システムの構成の例を示す図である。この対策立案システムは制御システム向けであり、図１に例示するように、制御装置１０−１〜１０−ｎ（ｎは２以上の整数、ｎが３以上の場合、制御装置１０−２〜１０−（ｎ−１）の図示を省略）と、ネットワーク装置２０と、不正接続防止装置３０と、監視装置４０と、ネットワーク５０と、から構成されている。

ここで、ネットワーク５０は複数存在しても良く、ネットワーク装置２０と不正接続防止装置３０はネットワーク５０毎に複数存在しても良い。不正接続防止装置３０は存在しなくても良い。ネットワーク装置２０と不正接続防止装置３０は一つの装置であっても良い。

制御装置１０−１〜１０−ｎのそれぞれは、制御処理を行う制御処理部１０１−１〜１０１−ｎのそれぞれと、ネットワーク５０やネットワーク装置２０等と通信を行う通信部１０２−１〜１０２−ｎのそれぞれと、を含む。

ネットワーク装置２０は、ネットワーク装置２０に入力される通信パケットをフィルタリングするフィルタリング部２０１と、フィルタリング部２０１で不正な通信を検知した際にアラートを生成するアラート生成部２０２と、ネットワーク装置２０に入力される通信パケットに関するログを収集する通信ログ収集部２０３と、フィルタリング部２０１で参照するフィルタリングポリシを更新するポリシ更新部２０４と、を含む。

また、ネットワーク装置２０は、ネットワーク装置２０の動作モードを管理するモード管理部２０５と、ネットワーク５０と通信を行う第一通信部２０６と、フィルタリング部２０１で参照するフィルタリングポリシを格納するフィルタリングポリシ格納部２０７と、通信ログ収集部２０３で収集した通信ログを格納する通信ログ格納部２０８と、制御装置１０−ｎと通信を行う第二通信部２０９と、を含む。なお、ネットワーク装置２０は、３つ以上の通信部を保有しても良い。

不正接続防止装置３０は、ネットワーク５０上に不正な機器が接続されたことを検知する不正接続検知部３０１と、不正接続検知部３０１で不正接続を検知した際にアラートを生成するアラート生成部３０２と、不正接続検知部３０１で参照する正当機器リストを更新するリスト更新部３０３と、ネットワーク５０と通信を行う通信部３０４と、不正接続検知部３０１で参照する正当機器リストを格納する正当機器リスト格納部３０５と、を含む。

また、不正接続防止装置３０は、不正な接続と検知された機器をネットワーク５０から切り離す処理を行っても良い。この切り離しの処理は、ネットワーク５０が実際はネットワークスイッチ等で構成される場合、ネットワークスイッチのポートを遮断するための処理であっても良く、監視装置４０からのコマンドに応じて不正接続防止装置３０がネットワークスイッチ等を制御しても良い。

監視装置４０は、ネットワーク装置２０や不正接続防止装置３０で生成したアラートを収集するアラート収集部４０１と、収集したアラートを用いて原因を分析する原因分析部４０２と、原因分析部４０２の分析結果に基づき、対策を立案する対策立案部４０３と、ネットワーク装置２０で収集した通信ログを収集する通信ログ収集部４０４と、収集した通信ログを用いて制御システム内で実行されている業務のパターンを抽出する業務抽出部４０５と、を含む。

また、監視装置４０は、ネットワーク５０と通信を行う通信部４０６と、対策立案部４０３で立案する対策の制御システム内で実行されている業務への影響を推定する業務影響推定部４０７と、アラート収集部４０１で収集したアラートを格納するアラート格納部４０８と、通信ログ収集部４０４で収集した通信ログを格納する通信ログ格納部４０９と、を含む。

さらに、監視装置４０は、業務抽出部４０５で抽出した業務パターンを格納する業務パターン格納部４１０と、対策立案部４０３で対策を立案する際に参照する対策のリストを格納する対策パターン格納部４１１と、業務抽出部４０５で業務を抽出した際に業務情報を入力し、対策立案部４０３で対策を立案した結果を出力する入出力部４１２と、監視装置４０の動作モードを管理するモード管理部４１３を含む。

図２は、制御装置１０−１〜１０−ｎ、不正接続防止装置３０、および監視装置４０のハードウェア構成の例を示す図である。制御装置１０−１〜１０−ｎ、不正接続防止装置３０、および監視装置４０は、同じハードウェア構成であっても良く、通信装置１１と、入出力装置１２と、記憶装置１３と、ＣＰＵ１４と、メモリ１５と、がバス等の内部通信線１６で連結され、構成されている。

通信装置１１は、図１に例示した通信部１０２−１〜１０２−ｎ、通信部３０４、あるいは通信部４０６に含まれる。入出力装置１２は、図１に例示した入出力部４１２に含まれる。記憶装置１３は、図１に例示した正当機器リスト格納部３０５、アラート格納部４０８、通信ログ格納部４０９、業務パターン格納部４１０、あるいは対策パターン格納部４１１を含む。

ＣＰＵ１４は、プロセッサであり、メモリ１５に格納されたプログラムを読み出して実行することにより、メモリ１５あるいは記憶装置１３とデータを読み書きし、データを処理して、通信装置１１と入出力装置１２を制御する。これによりＣＰＵ１４は、図１に例示した制御装置１０−１〜１０−ｎ、不正接続防止装置３０、あるいは監視装置４０内の各部となっても良い。このため、各部を主語とする説明は、ＣＰＵ１４を主語とする説明に置き換えられても良い。

メモリ１５は、プログラムあるいはデータを格納する。メモリ１５に格納されるプログラムあるいはデータは、記憶装置１３との間でコピーされても良い。なお、制御装置１０−１〜１０−ｎ、不正接続防止装置３０、あるいは監視装置４０は、図２では図示されない回路を含んでも良いし、図２に例示する構成の一部を含まなくても良い。

図３はネットワーク装置２０のハードウェア構成の例を示す図である。ネットワーク装置２０は、第一通信装置２１−１と、第二通信装置２１−２と、入出力装置２２と、記憶装置２３と、ＣＰＵ２４と、メモリ２５と、がバス等の内部通信線２６で連結され、構成されている。

入出力装置２２からメモリ２５までは、図２を用いて説明した入出力装置１２からメモリ１５までのそれぞれと同じ説明であるので、説明を省略する。第一通信装置２１−１は第一通信部２０６に含まれ、第二通信装置２１−２は第二通信部２０９に含まれる。なお、ネットワーク装置２０は、３つ以上の通信装置を保有しても良い。

以下では、制御システム向け対策立案システムにおける処理フローについて説明する。以下で説明する処理フローは、制御装置１０−１〜１０−ｎ、ネットワーク装置２０、不正接続防止装置３０、および監視装置４０の記憶装置１３、２３に格納されたプログラムが、メモリ１５、２５にロードされ、ＣＰＵ１４、２４により実行されることで制御システム向け対策立案システムを構成する装置上に具現化された各処理部、により実行されるものである。

このため、各装置を主語とする説明は、ＣＰＵ１４、２４を主語とする説明に置き換えられても良い。また、ロードされて実行される各プログラムは、予め記憶装置１３、２３に格納されても良いし、他の記憶媒体または通信媒体（ネットワークまたはネットワークを伝搬する搬送波）を介して、実行のため必要なときに導入されても良い。

図４は、制御システム向け対策立案システムにおいて、制御システムの試運転時等に実行される処理フローの例を示す図である。制御システムの試運転時では、ネットワーク装置２０と監視装置４０の動作モードが初期モードに設定され、制御システムの運用時はこれらの動作モードが運用モードに設定される。

このため、はじめに、ネットワーク装置２０は、ネットワーク装置２０の動作モードを初期モードに設定する（ステップＳ４０１）。ここで、動作モードが初期モードに設定できない、もしくは、以降の処理が初期モードに設定されないまま実行されようとする場合には、以降の処理を中止しても良い。

また、監視装置４０は、監視装置４０の動作モードを初期モードに設定する（ステップＳ４０２）。ここで、動作モードが初期モードに設定できない、もしくは、以降の処理が初期モードに設定されないまま実行されようとする場合には、以降の処理を中止しても良い。なお、ステップＳ４０１、Ｓ４０２は、ネットワーク５０経由で受信した信号をトリガに実行されても良いし、ユーザの操作により実行されても良い。

次に、制御装置１０−１は、制御コマンドを生成し（ステップＳ４０３）、生成した制御コマンドを制御装置１０−ｎに向けて送信する。ここで、制御装置１０−１と制御装置１０−ｎの間にはネットワーク装置２０が存在するため、ネットワーク装置２０が制御コマンドを受信する。

ネットワーク装置２０は、制御装置１０−１から受信した制御コマンドに関する通信ログを格納し（ステップＳ４０４）、受信した制御コマンドを制御装置１０−ｎに送信する。なお、通信ログの構成については、図１２を用いて後で説明する。

制御装置１０−ｎは、ネットワーク装置２０から制御コマンドを受信すると、受信した制御コマンドにしたがって制御システムとしての制御業務を実行し（ステップＳ４０５）、実行した結果を示すレスポンスを制御装置１０−１に向けて送信する。

ネットワーク装置２０は、受信したレスポンスに関する通信ログを格納し（ステップＳ４０６）、受信したレスポンスを制御装置１０−１に送信する。そして、試運転が終了したかを判定する（ステップＳ４０７）。この試運転の終了の判定は、ネットワーク装置２０に終了の信号や指示が与えられたことを判定しても良いし、予め送受信される通信パケットの数が定められていて、その数のパケットが通過したかを判定しても良い。

その結果、試運転が終了していないと判定された場合、ネットワーク装置２０は次の制御コマンドの来るのを待機する（ステップＳ４０８）。一方、試運転が終了していると判定された場合、ネットワーク装置２０は通信ログ格納部２０８に格納されている通信ログ群を取得する（ステップＳ４０９）。

そして、ネットワーク装置２０は、取得した通信ログ群を監視装置４０に送信し、ネットワーク装置２０の動作モードを運用モードに設定する（ステップＳ４１０）。これに対し、監視装置４０は、ネットワーク装置２０から通信ログ群を受信すると、受信した通信ログ群を通信ログ格納部４０９に格納する（ステップＳ４１１）。

監視装置４０は、通信ログ格納部４０９に格納されている通信ログを用いて、業務パターンを抽出し（ステップＳ４１２）、業務影響を推定し（ステップＳ４１３）、監視装置４０の動作モードを運用モードに設定する（ステップＳ４１４）。業務パターンの抽出処理と業務影響の推定処理については、図５、６を用いて後で説明する。

図５は、監視装置４０で実行する試運転時に収集した通信ログから業務パターンを抽出する処理フローの例を示す図である。この処理フローは、図４に示したステップＳ４１２の処理に相当し、監視装置４０の中では、業務抽出部４０５により実行されても良い。

はじめに、監視装置４０は、業務パターン抽出処理を開始し（ステップＳ５０１）、通信ログ格納部４０９から通信ログを取得する（Ｓ５０２）。ここで、取得する通信ログは、通信ログ格納部２０８に格納されている通信ログのデータ量を検出し、検出したデータ量の通信ログであっても良いし、予め定められたデータ量の通信ログであっても良い。

次に、監視装置４０は、取得した通信ログに含まれる送信元と送信先の情報を用いて、通信経路分析を行なう（ステップＳ５０３）。通信経路分析は、複数の通信に分かれた１本の通信経路を特定する分析であり、ある通信ログの送信先と、それ以降の通信ログの送信元と、が一致する通信ログを抽出し、送信元の一致で抽出した通信ログの送信先と、それ以降の通信ログの送信元と、が一致する通信ログを抽出すること、を繰り返す。

例えば、送信元が制御装置１０−ａであり送信先が制御装置１０−ｂである通信ログＡに対して、送信元が制御装置１０−ｂであり送信先が制御装置１０−ｃである通信ログＢが抽出され、この抽出された通信ログＢに対して、送信元が制御装置１０−ｃであり送信先が制御装置１０−ｄである通信ログＣが抽出された場合、制御装置１０−ａから制御装置１０−ｄまでが分析された通信経路であり、通信ログＡと通信ログＢと通信ログＣが一連の通信ログである。

監視装置４０は、通信ログの日時情報を用いて、ステップＳ５０３で抽出した一連の通信ログの間隔評価を行う（ステップＳ５０４）。このために、一連の通信ログの中で、送信先と送信元で通信が連続する任意の２つの通信ログの受信日時の差分を算出する。すなわち、通信ログＡの受信日時と通信ログＢの受信日時の差分を算出し、通信ログＢの受信日時と通信ログＣの受信日時の差分を算出する。

監視装置４０は、算出した一連の通信ログの受信日時の差分から、業務パターンを抽出する（ステップＳ５０５）。業務パターンの抽出は、例えば一連の通信ログの中で２つ受信日時の差分が１秒以内等の予め定められた一定時間以内である通信ログを同一の業務に関する通信ログと見なし、一定時間以上である通信ログを異なる業務に関する通信ログと見なして、同一の業務に関する通信ログを業務パターンとする。

また、ステップＳ５０３で分析された通信経路が、完全に同一通信経路となる複数の業務パターンがあると判定した場合、監視装置４０は、それらの業務パターン間の実行周期を抽出する。この実行周期は、各業務パターンに関わる通信ログの最初の受信日時同士の周期であっても良い。

監視装置４０は、業務パターン格納部４１０に既に何らかの業務パターンが格納されているか判定する（ステップＳ５０６）。その結果、格納されていないと判定された場合には、以降のステップＳ５０９を実行する。

ステップＳ５０６で格納されていると判定された場合、監視装置４０は、業務パターン格納部４１０から業務パターンを取得し（Ｓ５０７）、取得した業務パターンとステップＳ５０５で抽出した業務パターンの差分を抽出する（Ｓ５０８）。

ステップＳ５０５で抽出した業務パターンには、業務パターン格納部４１０に既に格納済みの業務パターンが含まれる可能性もあるため、ステップＳ５０８で抽出した差分の業務パターンは、これまでに無い新たな業務パターンである。ここでの業務パターンについては、図１３を用いて後で説明する。

ステップＳ５０９において監視装置４０は、ステップＳ５０５で抽出した業務パターンあるいはステップＳ５０８で抽出した差分の業務パターンに対して、業務の名称や業務の重要度といった関連情報の入力を受け付け、抽出した業務毎にＩＤを割り振り、送信元、送信先、中継経路といった通信経路情報、周期情報とともに業務パターン格納部４１０に格納する。

業務関連情報の入力画面の例については、図８を用いて後で説明する。業務の重要度は例えば高、中、低や１０段階の数値等での入力を受け付け、業務の継続が要求されるものほど高くなることが好ましい。そして、監視装置４０は、処理を終了する（ステップＳ５１０）。

なお、業務パターンの抽出に関しては試運転時の通信ログを使用する処理以外に、ユーザから直接に業務パターンの設定を受け付けても良いし、システム設計書等のドキュメントに記載された情報から抽出しても良いが、これらの処理に限定されるものではない。

また、図５に例示した処理フローは、試運転時に限らず、予め設定された一定間隔で実行されても良いし、新たな業務を追加された場合等に、何らかの処理によりその追加等を検出して実行されても良い。

図６は、監視装置４０で業務パターン抽出後に実施する対策の業務への影響を推定する処理フローの例を示す図である。この処理フローは、図４に示したステップＳ４１３の処理に相当し、監視装置４０の中では、業務影響推定部４０７により実行されても良い。

はじめに、監視装置４０は、業務影響推定処理を開始し（ステップＳ６０１）、対策パターン格納部４１１から対策パターンを取得し（ステップＳ６０２）、業務パターン格納部４１０に格納されている業務パターンを取得する（ステップＳ６０３）。ここでの対策パターンについては、図１４を用いて後で説明する。

次に、監視装置４０は、ステップＳ６０２で取得した対策パターンとステップＳ６０３で取得した業務パターンを用いて影響を受ける業務を推定する（Ｓ６０４）。影響業務推定は、対策パターン毎に規定されているネットワーク遮断や機器切断といった対策内容と、各業務パターンの通信経路との突合せを行い、各対策パターンを実行した場合に影響を受ける業務とその影響内容（停止や部分停止）を抽出する。ここで、停止や部分停止の判断として、例えば、各業務パターンにおける通信が全て停止してしまうケースを停止とし、一部分の通信が停止するケースを部分停止にするなどが考えられるが、これに限定されるものではない。

抽出した影響を受ける業務とその影響内容から、監視装置４０は影響度を算出する（ステップＳ６０５）。影響度算出は、例えば影響を受ける業務の重要度を定量化（高の場合は３、中の場合は２、低の場合は１と数値化）し、影響内容を定量化（停止の場合は１、部分停止の場合は０．５と数値化）し、乗算して算出する。

また、一つの対策が実行されると複数の業務が影響を受ける場合、業務毎に影響度が算出され、算出された中で最も大きい影響度を最終的な影響度としても良いし、算出された複数の影響度の和を最終的な影響度としても良いが、これらの処理に限定されるものではない。

監視装置４０は、ステップＳ６０４で影響を受ける業務があると抽出された各対策パターンであって、対策パターン格納部４１１の各対策パターンに、影響を受ける業務と影響内容と影響度を格納する（ステップＳ６０６）。そして、監視装置４０は、処理を終了する（ステップＳ６０７）。

図７は、制御システム向け対策立案システムにおいて、制御システムの運用時に実行される処理フローの例を示す図である。制御システムの運用時であるので、制御装置１０−１〜制御装置１０−ｎの中の複数の制御装置間で通信をしているが、この通信そのものが、どのような制御のための通信であるかは、以下の説明とは関係ないため、図示と説明を省略する。

制御システムの運用の中で、ネットワーク装置２０は、フィルタリングポリシ格納部２０７に格納されているフィルタリングポリシを用いて、不正な通信の発生といったセキュリティインシデントの発生を検知し、アラートを生成し（ステップＳ７０１）、生成したアラートを監視装置４０に送信する。

また、不正接続防止装置３０も、制御システムの運用の中で、正当機器リスト格納部３０５に格納されている正当機器リストを用いて、不正な機器接続といったセキュリティインシデントの発生を検知し、アラートを生成し（ステップＳ７０２）、生成したアラートを監視装置４０に送信する。

このようにアラートが監視装置４０に送信されると、監視装置４０は、アラートを受信し、受信したアラートをアラート格納部４０８に格納する（Ｓ７０３）。ここでのアラートについては、図１１を用いて後で説明する。次に、監視装置４０は、格納したアラートを用いて、セキュリティインシデントの原因となった装置やネットワークを特定する（ステップＳ７０４）。すなわち原因分析部４０２が原因を分析する。

監視装置４０は、ステップＳ７０４で特定された原因となった装置やネットワークの種類やインシデントの種別を示す原因内容に基づき、適用可能な対策候補を対策パターン格納部４１１から抽出する（ステップＳ７０５）。すなわち対策立案部４０３が対策を立案する。この抽出した対策候補を監視装置４０は出力する（ステップＳ７０６）。

対策候補の画面への出力の例については、図９を用いて後で説明する。この出力の内容は、過去に選定された対策の履歴あるいは実績の情報が含まれても良い。このような情報が含まれることにより、次のステップのユーザによる対策の選定に役立つ。

出力した対策候補の中からのユーザによる対策の選定入力を、監視装置は受け付ける（ステップＳ７０７）。対策の選定結果画面の例については、図１０を用いて後で説明する。なお、図１０では、単一の対策が選定される例を示しているが、単一に限らず、複数の対策が選定されても良い。また、選択に関する情報が、対策の履歴として記録されても良い。

そして、監視装置４０は、選定された対策を実行する（ステップＳ７０８）。このために、監視装置４０は対策コマンドを対象機器に送信する。図７では、監視装置４０がネットワーク装置２０に対して送信する例を示している。以上のステップＳ７０５〜Ｓ７０８は、対策立案部４０３により実行されても良い。

なお、図７の例では、対策候補を出力する、すなわち監視員等のユーザに対して画面を表示し、業務への影響を可視化した上で、ユーザにより対策が選定される流れを示しているが、対策の影響度が低の場合等は、その場合を判定してステップＳ７０６をスキップし、画面を表示させず、ステップＳ７０７において監視装置４０が影響度の低の対策を選定しても良い。

監視装置４０から送信された対策コマンドを受信したネットワーク装置２０は、受信した対策コマンドをもとにフィルタリングポリシ格納部２０７に格納されているフィルタリングポリシを更新する（ステップＳ７０８）。

図８は、監視装置４０が出力する業務関連情報入力画面の例を示す図である。業務関連情報入力画面８０１は、図５に示したステップＳ５０９で表示される画面であり、入出力部４１２で表示されても良く、システム構成８０２と業務一覧８０３から構成される。

業務一覧８０３は、業務ＩＤ８０４と、通信経路８０５と、周期８０６と、業務名８０７と、重要度８０８の情報から構成され、テーブルとして表示される。業務ＩＤ８０４は、ステップＳ５０９で業務毎に割り振られたＩＤが表示され、通信経路８０５は、ステップＳ５０３で分析された通信経路が表示され、周期８０６は、ステップＳ５０５で抽出された周期が表示される。

また、業務名８０７と重要度８０８の入力欄８０９は、ユーザによる入力を促すものであり、入力される情報の内容は、図５を用いて説明したとおりである。入力欄８０９への入力は、図示を省略したキーボードが用いられても良いし、入力欄８０９が高、中、低や数値のプルダウンメニューとなっており、プルダウンメニューの中から選択されても良い。

システム構成８０２は、制御システムの構成と、業務ＩＤ８０４および通信経路８０５の情報に対応した各業務の通信経路が表示される。この表示をユーザが確認することにより、業務名８０７や重要度８０８の入力欄８０９への入力ミスを低減することが可能となる。

なお、業務関連情報入力画面８０１に表示される内容は、図８の例に限定されるものではなく、図８に示した例の内容が含まれていれば良く、表示の位置と順序も図８の例に限定されるものではない。

ステップＳ５０３〜Ｓ５０５において、業務の抽出が漏れる場合もあるため、業務関連情報入力画面８０１において、業務ＩＤ８０４、通信経路８０５、および周期８０６も入力可能とし、新たな業務情報（業務ＩＤ８０４、通信経路８０５、周期８０６、業務名８０７、重要度８０８）を業務一覧８０３に追加可能としても良い。

図９は、監視装置４０が出力する対策選定画面の例を示す図である。対策選定画面９０１は、図７に示したステップＳ７０６で選定対象の候補が表示される画面であり、入出力部４１２で表示されても良く、システム構成９０２と対策候補一覧９０３から構成される。

システム構成９０２は、制御システムの構成が表示される。また、対策候補一覧９０３は、対策ＩＤ９０４と、影響業務名９０５と、通信経路９０６と、重要度９０７と、影響内容９０８と、影響度９０９と、選定回数９１０から構成され、テーブルとして表示される。

対策ＩＤ９０４は、ステップＳ７０５で抽出された対策候補のＩＤであり、対策パターン格納部４１１に格納された情報である。影響業務名９０５、通信経路９０６、および重要度９０７は、対策パターン格納部４１１の情報において対策ＩＤ９０４のＩＤに対応する影響業務ＩＤが得られ、得られた影響業務ＩＤを基に業務パターン格納部４１０から得られる情報である。

影響内容９０８、影響度９０９、および選定回数９１０は、対策パターン格納部４１１の情報において対策ＩＤ９０４のＩＤに対応する情報である。なお、対策選定画面９０１に表示される内容は、図９の例に限定されるものではなく、図９に示した例の内容が含まれていれば良く、表示の位置と順序も図９の例に限定されるものではない。

図１０は、監視装置４０が出力する対策選定結果画面の例を示す図である。対策選定結果画面１００１は、図７に示したステップＳ７０７で表示される画面であり、入出力部４１２で表示されても良く、業務影響表示１００２と対策候補一覧１００３から構成される。

対策候補一覧１００３は、対策ＩＤ１００４と、影響業務名１００５と、通信経路１００６と、重要度１００７と、影響内容１００８と、影響度１００９と、選定回数１０１０から構成され、テーブルとして表示されるが、その内容は、対策候補一覧９０３と同じである。

対策候補一覧１００３の中の選定された対策１０１１は、ユーザのカーソル操作等により選定された対策であり、選定された対策１０１１内に含まれる表示は、例えば表示色が変わる等しても良い。

図１０の例では、対策ＩＤ１００４の「００１」が選定され、選択された対策は、通信経路１００６の「制御装置Ａ」と「制御装置Ｂ」の通信、「制御装置Ａ」と「制御装置Ｃ」の通信、および「制御装置Ａ」と「制御装置Ｄ」の通信が、影響内容１００８の「停止」となる対策である。

業務影響表示１００２は、図８に示したシステム構成８０２と同じであるが、選定された対策を実行した場合の影響をユーザにわかりやすく表示するため、対策ＩＤ１００４の「００１」の対策に対応する通信経路１００６の通信において影響内容１００８の「停止」を示すバツ印が表示される。

なお、対策選定結果画面１００１に表示される内容は、図１０の例に限定されるものではなく、図１０に示した例の内容が含まれていれば良く、表示の位置と順序も図１０の例に限定されるものではない。

図１１は、監視装置４０のアラート格納部４０８に格納されるアラートの情報の例を示す図である。図７を用いて説明したネットワーク装置２０と不正接続防止装置３０により生成されるアラートおよび送信されるアラートが、図１１に示すアラートと同じ情報を含んでも良い。

アラートは、アラートの発生日時１１０１と、アラートの種別を示すアラート項目１１０２と、アラート項目に関連して出力されるアラート関連情報１１０３から構成される。アラート関連情報１１０３は、セキュリティインシデントの種別あるいはセキュリティインシデントの原因となった装置やネットワークの情報を含んでも良い。

なお、アラートに含まれる情報は、図１１の例に限定されるものではなく、図１１に示した例の情報が含まれていれば良く、情報の順序も図１１の例に限定されるものではない。

図１２は、ネットワーク装置２０の通信ログ格納部２０８と監視装置４０の通信ログ格納部４０９に格納される通信ログの情報の例を示す図である。図４を用いて説明したネットワーク装置２０により送信される通信ログ群が、図１２に示す通信ログと同じ情報を含んでも良い。

通信ログは、ネットワーク装置２０が通信パケットを受信した受信日時１２０１と、受信した通信パケットのヘッダ１２０２から構成される。そして、ヘッダ１２０２は、送信元１２０３、送信先１２０４、プロトコル１２０５、ポート１２０６から構成される。

通信パケットの通信経路が、制御装置１０−ａから制御装置１０−ｂに送信し、制御装置１０−ｂから制御装置１０−ｃへ送信するという経路の場合、最初に送信（受信）された通信パケットの送信元１２０３は制御装置１０−ａ、送信先１２０４は制御装置１０−ｂとなり、次に送信（受信）された通信パケットの送信元１２０３は制御装置１０−ｂ、送信先１２０４は制御装置１０−ｃとなる。

ポート１２０６は、送信先のポートであるが、送信元のポートであっても良い。なお、通信ログに含まれる情報は、図１２の例に限定されるものではなく、図１２に示した例の情報が含まれていれば良く、情報の順序も図１２の例に限定されるものではない。

図１３は、監視装置４０の業務パターン格納部４１０に格納される業務パターンの情報の例を示す図である。業務パターンは、業務ＩＤ１３０１と、送信元１３０２と、送信先１３０３と、中継経路１３０４と、周期１３０５と、業務名１３０６と、重要度１３０７と、から構成される。これらの情報は、図５に示したステップＳ５０９にて設定される。

業務ＩＤ１３０１は、業務毎に割り振られたＩＤである。通信パケットの通信経路が、制御装置１０−ａから制御装置１０−ｂに送信し、制御装置１０−ｂから制御装置１０−ｃへ送信するという経路の場合、送信元１３０２は制御装置１０−ａとなり、送信先１３０３は制御装置１０−ｃとなり、中継経路１３０４は制御装置１０−ｂとなる。

通信パケットの通信経路が、さらに多くの制御装置を含む場合、中継経路１３０４に含まれる制御装置の情報が増える。周期１３０５は、ステップＳ５０５にて抽出された業務パターン間の実行周期である。業務名１３０６と重要度１３０７は、図８に示した入力欄８０９にそれぞれ入力された情報である。

なお、業務パターンに含まれる情報は、図１３の例に限定されるものではなく、図１３に示した例の情報が含まれていれば良く、情報の順序も図１３の例に限定されるものではない。

図１４は、監視装置４０の対策パターン格納部４１１に格納される対策パターンの情報の例を示す図である。対策パターンは、原因内容１４０１、対策ＩＤ１４０２、対策機器１４０３、対策内容１４０４、影響業務ＩＤ１４０５、影響内容１４０６、影響度１４０７、および履歴１４０８から構成される。これらの中で影響業務ＩＤ１４０５、影響内容１４０６、影響度１４０７と履歴１４０８以外は、予め設定されていることが好ましい。

原因内容１４０１は、セキュリティインシデントの種別あるいはセキュリティインシデントの原因となった装置やネットワークの情報であり、アラートの情報と比較できる情報であることが好ましい。対策ＩＤ１４０２は、対策を識別するＩＤである。対策機器１４０３は、原因内容１４０１の原因への対策を実施する機器を識別する情報である。

対策内容１４０４は、対策機器１４０３で識別される機器に対して送信するコマンドや設定変更値の情報である。この情報には、対策により遮断される通信や機器および対策により動作の停止される機器等の情報が含まれていることが好ましい。

影響業務ＩＤ１４０５は、対策ＩＤ１４０３のＩＤの対策を実行した際に影響を受ける業務を識別するＩＤである。影響内容１４０６は、影響業務ＩＤ１４０５の業務ＩＤそれぞれの業務が停止する、あるいは部分停止するといった影響の情報である。

影響度１４０７は、図６に示したステップＳ６０５にて算出される値であり、影響を受ける業務の重要度や影響内容を基に算出される値である。履歴１４０８は、図７に示したステップＳ７０７にて選定された回数を、対策ＩＤ１４０２のＩＤ毎に計数するための情報である。

このため、履歴１４０８に含まれる回数は、ステップＳ７０７にて選定されるたびに値の１が加算されても良く、入出力部４１２を介した入力に応じて値の０にリセットされても良い。履歴１４０８は、選定された回数以外に、業務ＩＤと対策ＩＤの組合せに関する過去の対策の他の情報が含まれても良い。

なお、影響業務ＩＤ１４０５は、図６に示したステップＳ６０４にて推定されても良い。この場合、影響内容１４０６は、対策機器１４０３と対策内容１４０４に応じて推定されていても良い。一方、影響業務ＩＤ１４０５や影響内容１４０６を予め設定しても良い。この場合、ステップＳ６０４はスキップされても良い。

また、対策パターンに含まれる情報は、図１４の例に限定されるものではなく、図１４に示した例の情報が含まれていれば良く、情報の順序も図１４の例に限定されるものではない。

以上で説明したように、制御システム向け対策立案システムは、通信ログに基づき実際の通信から通信経路を抽出し、業務パターンを抽出できる。そして、抽出された業務パターンに対して、業務の重要度の入力を受け付け、業務パターンの情報に含めることができる。これにより、予め設定された対策パターンと、抽出された業務パターンとの間で対策の影響度を算出することが可能となる。

また、セキュリティインシデントの発生を検出すると、対策候補を影響度とともに提供できる。これにより、業務への影響を加味した対策の選定が可能となる。この影響は、業務の通信経路とともに可視化することも可能となる。

なお、本発明は、以上の実施形態に限定されるものではなく、その要旨の範囲内で様々な変形が可能である。例えば、ネットワーク装置や不正接続防止装置以外の検知装置が接続されている場合や、監視装置内にネットワーク装置や不正接続防止装置の機能が含まれている場合や、制御装置や監視装置やネットワーク装置や不正接続防止装置にネットワークとの通信機能が含まれておらず、別の装置を経由してネットワークと通信を行う場合等である。これらの実施形態の場合においてもシステム全体において行う処理に本質的な変更の必要はない。

２０：ネットワーク装置、３０：不正接続防止装置、４０：監視装置、４０２：原因分析部、４０３：対策立案部、４０５：業務抽出部、４０７：業務影響推定部、５０：ネットワーク

Claims (15)

1. 制御システムのための対策立案システムであって、
   複数の制御装置間で通信されるパケットを受信して中継し、受信したパケットの通信ログを収集して送信し、受信したパケットの不正を検知してアラートを送信するネットワーク装置、および
   前記ネットワーク装置により送信された通信ログから、通信経路の情報を含む業務パターンを抽出する業務抽出部と、対策に関する機器の情報を含む対策パターンが格納される対策パターン格納部と、業務パターンに含まれる通信経路の情報と対策パターンに含まれる機器の情報に基づき影響業務を抽出し、影響業務を対策パターンに含める業務影響推定部と、前記ネットワーク装置により送信されたアラートと対策パターンに基づき対策候補を抽出する対策立案部と、影響業務を含めて対策候補を出力する入出力部と、を含む監視装置、を備えたこと
   を特徴とする対策立案システム。
2. 請求項１に記載の対策立案システムであって、
   前記ネットワーク装置は、
   送信元と送信先の情報と前記ネットワーク装置が受信した日時を含む通信ログを収集して送信し、
   前記業務抽出部は、
   前記ネットワーク装置により送信された通信ログの中で、第１の通信ログに含まれる送信先と第２の通信ログに含まれる送信元が一致する場合、前記第１の通信ログの送信元および送信先と前記第２の通信ログの送信先を通信経路として分析し、前記第１の通信ログに含まれる受信日時と前記第２の通信ログに含まれる受信日時の差分が予め設定された時間以内である場合、分析された通信経路の情報を含む業務パターンを抽出すること
   を特徴とする対策立案システム。
3. 請求項２に記載の対策立案システムであって、
   前記業務抽出部は、
   分析された通信経路が一致する複数の業務パターンに関わる受信日時の周期を抽出すること
   を特徴とする対策立案システム。
4. 請求項３に記載の対策立案システムであって、
   前記業務抽出部は、
   分析された通信経路と抽出された周期を出力し、業務名と重要度を入力するように前記入出力部を制御し、分析された通信経路、抽出された周期、入力された業務名、および入力された重要度を、業務パターンに含めること
   を特徴とする対策立案システム。
5. 請求項４に記載の対策立案システムであって、
   前記業務影響推定部は、
   抽出された影響業務の影響度を、入力された重要度を用いて影響度を算出し、影響度を対策パターンに含めること
   を特徴とする対策立案システム。
6. 請求項５に記載の対策立案システムであって、
   前記対策パターン格納部は、
   原因内容をさらに含む対策パターンが格納され、
   前記対策立案部は、
   前記ネットワーク装置により送信されたアラートに含まれる情報が、原因内容に該当する対策パターンを前記対策パターン格納部から抽出し、抽出された対策パターンに含まれる影響度を出力するように前記入出力部を制御し、抽出された対策パターンに含まれる影響業務の業務パターンに含まれる通信経路と業務名と重要度を出力するように前記入出力部を制御すること
   を特徴とする対策立案システム。
7. 請求項６に記載の対策立案システムであって、
   前記対策パターン格納部は、
   対策させる機器の情報と対策の内容をさらに含む対策パターンが格納され、
   前記対策立案部は、
   複数の対策パターンの出力に応じて、対策パターンの選定のための入力を受け付けるように前記入出力部を制御し、選定された対策パターンに含まれる対策させる機器の情報にしたがって対策の内容を送信するように制御すること
   を特徴とする対策立案システム。
8. 請求項７に記載の対策立案システムであって、
   前記対策パターン格納部は、
   履歴をさらに含む対策パターンが格納され、
   前記対策立案部は、
   前記ネットワーク装置により送信されたアラートに含まれる情報が、原因内容に該当する対策パターンを前記対策パターン格納部から抽出し、抽出された対策パターンに含まれる履歴を出力するように前記入出力部を制御し、選定された対策パターンに含まれる履歴を更新すること
   を特徴とする対策立案システム。
9. 請求項８に記載の対策立案システムであって、
   前記ネットワーク装置は、
   フィルタリングポリシに基づいて中継するパケットをフィルタリングし、
   前記対策パターン格納部は、
   対策させる機器として前記ネットワーク装置の情報を含み、対策内容としてフィルタリングポリシを含む対策パターンが格納され、
   前記対策立案部は、選定された対策パターンに含まれる前記ネットワーク装置の情報にしたがって、前記ネットワーク装置へフィルタリングポリシを送信するように制御すること
   を特徴とする対策立案システム。
10. 請求項５に記載の対策立案システムであって、
    前記対策パターン格納部は、
    原因内容、対策させる機器、および対策の内容をさらに含む対策パターンが格納され、
    前記対策立案部は、
    前記ネットワーク装置により送信されたアラートに含まれる情報が、原因内容に該当する対策パターンを前記対策パターン格納部から抽出し、抽出された対策パターンに含まれる影響度に応じて、対策パターンに含まれる対策させる機器へ対策の内容を送信するように制御すること
    を特徴とする対策立案システム。
11. 制御システムのための監視装置であって、
    受信した通信ログから、通信経路の情報を含む業務パターンを抽出する業務抽出部と、
    対策に関する機器の情報を含む対策パターンが格納される対策パターン格納部と、
    業務パターンに含まれる通信経路の情報と対策パターンに含まれる機器の情報に基づき影響業務を抽出し、影響業務を対策パターンに含める業務影響推定部と、
    受信したアラートと対策パターンに基づき対策候補を抽出する対策立案部と、
    影響業務を含めて対策候補を出力する入出力部と、を備えたこと
    を特徴とする監視装置。
12. 請求項１１に記載の監視装置であって、
    前記業務抽出部は、
    送信元と送信先の情報と日時を含む通信ログを受信し、受信した通信ログの中で、第１の通信ログに含まれる送信先と第２の通信ログに含まれる送信元が一致する場合、前記第１の通信ログの送信元および送信先と前記第２の通信ログの送信先を通信経路として分析し、前記第１の通信ログに含まれる日時と前記第２の通信ログに含まれる日時の差分が予め設定された時間以内である場合、分析された通信経路の情報を含む業務パターンを抽出すること
    を特徴とする監視装置。
13. 請求項１２に記載の監視装置であって、
    前記業務抽出部は、
    分析された通信経路が一致する複数の業務パターンに関わる日時の周期を抽出すること
    を特徴とする監視装置。
14. 請求項１３に記載の監視装置であって、
    前記業務抽出部は、
    分析された通信経路と抽出された周期を出力し、業務名と重要度を入力するように前記入出力部を制御し、分析された通信経路、抽出された周期、入力された業務名、および入力された重要度を、業務パターンに含めること
    を特徴とする監視装置。
15. 請求項１４に記載の監視装置であって、
    前記業務影響推定部は、
    抽出された影響業務の影響度を、入力された重要度を用いて影響度を算出し、影響度を対策パターンに含めること
    を特徴とする監視装置。

Images