JP7014456B2 - 不正判定システム、不正判定方法及びプログラム - Google Patents

Description

本発明は、不正判定システム、不正判定方法及びプログラムに関する。

特許文献１には、ネットワークを通過するパケットをｋ通りの分類ごとに検出し、当該分類に基づいてｋ次元ベクトルを生成して、当該ｋ次元ベクトルを正常領域に照らし合わせて、当該ネットワークの異常検出を行う技術が開示されている。

特開２００４－３１２０６４号公報

開発期間短縮と開発費低減のため、基本ソフトウェアを用いるシステムが知られている。しかし、基本ソフトウェアは脆弱性が一般に公開されやすく、容易に不正アクセスが行われる可能性がある。不正アクセスが行われた場合、基本ソフトウェアの制御が奪われるなどにより、不正アクセスの有無を判定するのが困難である。
本発明の目的は、上述した課題を解決する不正判定システム、不正判定方法及びプログラムを提供することにある。

本発明に係る不正判定システムは、基本ソフトウェアを実行する第１プロセッサと、第１プロセッサとは独立した部品で構成され、ＰＣＩバスを経由しないサイドバンド信号によって外部と接続する第２プロセッサ、前記第２プロセッサによって動作するファームウェアにより実現され、送信及び受信のそれぞれについて、外部との通信に係る数値が正常時の予測通信量よりも多い通信量であることを示すか否かに基づいて、基本ソフトウェアを利用して外部との通信を行わせる不正アクセスの有無を判定し、前記送信については、不正判定システムのセンサが収集したデータをサーバへ転送する通信量に基づいて予め設定された閾値よりも多い通信量であることを示すか否かに基づいて、前記基本ソフトウェアを利用して外部との通信を行わせる不正アクセスの有無を判定する判定手段を備える。

本発明に係る不正判定方法は、第１プロセッサにより基本ソフトウェアが実行される不正判定システムにおいて、第１プロセッサとは独立した部品で構成され、ＰＣＩバスを経由しないサイドバンド信号によって外部と接続する第２プロセッサ、前記第２プロセッサによって動作するファームウェアにより実現される判定手段により、送信及び受信のそれぞれについて、外部との通信に係る数値が正常時の予測通信量よりも多い通信量であることを示すか否かに基づいて、基本ソフトウェアを利用して外部との通信を行わせる不正アクセスの有無を判定し、前記送信については、不正判定システムのセンサが収集したデータをサーバへ転送する通信量に基づいて予め設定された閾値よりも多い通信量であることを示すか否かに基づいて、前記基本ソフトウェアを利用して外部との通信を行わせる不正アクセスの有無を判定することを含む。

本発明に係るプログラムは、第１プロセッサにより基本ソフトウェアが実行される不正判定システムのコンピュータに、第１プロセッサとは独立した部品で構成され、ＰＣＩバスを経由しないサイドバンド信号によって外部と接続する第２プロセッサ、前記第２プロセッサによって動作するファームウェアにより実現される判定手段により、送信及び受信のそれぞれについて、外部との通信に係る数値が正常時の予測通信量よりも多い通信量であることを示すか否かに基づいて、基本ソフトウェアを利用して外部との通信を行わせる不正アクセスの有無を判定し、前記送信については、不正判定システムのセンサが収集したデータをサーバへ転送する通信量に基づいて予め設定された閾値よりも多い通信量であることを示すか否かに基づいて、前記基本ソフトウェアを利用して外部との通信を行わせる不正アクセスの有無を判定することを実行させる。

上記態様のうち少なくとも１つの態様によれば、基本ソフトウェアを用いるシステムにおいて、不正アクセスの有無を判定することができる。

一実施形態に係る不正判定システムの構成を示す図である。 一実施形態に係る不正判定システムの動作を示すフローチャートである。 一実施形態に係る不正判定システムの構成を示す図である。 基本構成に係る不正判定システムの構成を示す図である。 少なくとも一実施形態に係るコンピュータの構成を示す概略ブロック図である。

〈第１の実施形態〉
《不正判定システムの構成》
以下、図面を参照しながら実施形態に係る不正判定システム１の構成ついて詳しく説明する。
不正判定システム１は複数のセンサ２００を制御するシステムである。

図１は、第１の実施形態に係る不正判定システム１の構成を示す図である。
不正判定システム１は、不正判定装置１００と、センサ２００を備える。不正判定システム１は、無線又は有線のネットワークを介してサーバ２と接続している。不正判定システム１は、使用用途に特化した組込みシステムである。
センサ２００は、サーバ２へ送信するデータを収集する。センサ２００の例としては、監視カメラと、温度センサが挙げられる。

《不正判定装置の構成》
以下、不正判定装置１００の構成について説明する。
不正判定装置１００は、第１プロセッサ１０１と、第２プロセッサ１０２と、記憶装置１０３と、ネットワークカード１０４と、制御部１０５を備える。

第１プロセッサ１０１は命令を処理するハードウェアである。第１プロセッサ１０１は基本ソフトウェアを実行する。基本ソフトウェアは、不正判定装置１００のオペレーティングシステムである。基本ソフトウェアの例としては、汎用オペレーティングシステムと、汎用オペレーティングシステムをベースとして変更が加えられたシステムが挙げられる。

第２プロセッサ１０２は命令を処理するハードウェアである。第２プロセッサ１０２は第１プロセッサ１０１とは独立した部品で構成される。第２プロセッサ１０２により固有ファームウェアが動作する。固有ファームウェアは、基本ソフトウェアとは異なり、汎用オペレーティングシステムや汎用オペレーティングシステムをベースとしたシステムではなく、その仕様が公開されていない。

記憶装置１０３は基本ソフトウェアと、閾値と、アプリケーションを記憶する装置である。記憶装置１０３の例としてはハードディスクが挙げられる。記憶装置１０３は記憶手段の一例である。
閾値とは、不正判定システム１と外部のネットワークとの予測通信量に基づいて予め設定された値である。不正判定システム１は組込みシステムであるため使用用途が特定される。そのため、不正判定システム１と外部のネットワークとの通信量は一定範囲の以内である。例えば、不正判定システム１のセンサ２００が収集したデータをサーバ２へ送信する通信量は一定範囲である。この一定範囲の予測通信量に基づいて、不正判定システム１のユーザが閾値を予め設定することができる。
アプリケーションは、基本ソフトウェアの上で動作し、不正判定システム１の機能を実現するためのソフトウェアである。例えば、アプリケーションが動作することにより、センサ２００が収集したデータが、編集、圧縮、暗号化されてサーバ２に送信される。

ネットワークカード１０４は、不正判定装置１００と外部との通信を仲介する装置である。ネットワークカード１０４は第２プロセッサ１０２と接続する。ネットワークカード１０４は、不正判定システム１が外部と通信したパケット数、データ量、エラーの発生回数などの累積を記憶する統計情報カウンタ（図示しない）を備える。上記のパケット数、データ量、エラーの発生回数などの累積は、通信に係る数値の一例である。パケット数の例としては、不正判定システム１から外部へ送信したパケット数と、不正判定システム１が外部から受信したパケット数が挙げられる。また、データ量の例としては、不正判定システム１から外部へ送信したデータ量と、不正判定システム１が外部から受信したデータ量が挙げられる。すなわち、統計情報カウンタは、不正判定システム１がネットワークカード１０４を介して外部と送信及び受信した通信に係る数値を記憶する。統計情報カウンタの一例としては、ネットワークカード１０４が備えるレジスタが挙げられる。

第２プロセッサ１０２、予め設定された一定時間ごとに、不正判定システム１と外部との通信に係る数値と閾値とに基づいて、基本ソフトウェアを利用した不正アクセスの有無を判定する判定手段を実現する。
以下、判定手段の動作について詳細に説明する。

不正判定システム１と接続するネットワークに、不正判定システム１に不正アクセスする攻撃者が存在するとする。この攻撃者は不正アクセスの後に攻撃対象にＤＯＳ（Ｄｅｎｉａｌ Ｏｆ Ｓｅｒｖｉｃｅ ａｔｔａｃｋ）攻撃をしようとする。すなわち、攻撃者は、不正アクセスにより不正判定システム１の基本ソフトウェア上に不正アプリケーションを実行させて大量のデータを攻撃対象に送信することにより、攻撃対象を過負荷状態としようとする。攻撃対象の例としては、不正判定システム１と接続するネットワークと、接続する装置などが挙げられる。

攻撃者による不正アクセスが無い場合、不正判定システム１と外部との通信に係る数値は予測通信量の範囲内である。
しかし、攻撃者による不正アクセスがある場合、不正判定システム１と外部との通信に係る数値は閾値を超えることになる。攻撃者が不正判定システム１を制御して、攻撃対象に大量のデータを送信するためである。例えば、センサ２００が監視カメラである場合、不正判定システム１からサーバ２へ送信されるデータ量は１Ｍｂｐｓ～３０Ｍｂｐｓ程度である。他方、不正アクセスの後に攻撃対象へ送信されるデータ量の一例としては、ネットワークカード１０４が最大転送可能なデータ量が挙げられる。
他方、ネットワークカード１０４と第２プロセッサ１０２との間は、通常のＰＣＩ（Ｐｅｒｉｐｈｅｒａｌ Ｃｏｍｐｏｎｅｎｔ Ｉｎｔｅｒｃｏｎｎｅｃｔ）バス接続ではなく、サイドバンド信号により接続する。すなわち、攻撃者がネットワークカード１０４を介して第２プロセッサ１０２に接続するためには、ＰＣＩデバイスへのアクセス手順とは異なる手順が必要である。これにより、攻撃者はネットワークカード１０４を介して第２プロセッサ１０２に不正アクセスすることは困難である。第２プロセッサ１０２は、不正アクセスがある場合でも、第１プロセッサ１０１から独立した部品で構成され、攻撃者による不正アクセスも困難であるため、判定手段は不正アクセスの有無を正しく判定することができる。

第２プロセッサ１０２は、統計情報カウンタから、パケット数、データ量、エラーの発生数の累計数値を読み出す。その後、第２プロセッサ１０２は、読み出した累計数値から、当該累計数値を読み出す直前に統計情報カウンタから読み出した累計数値を減算することにより、一定時間ごとの外部との通信に係る数値を算出する。
第２プロセッサ１０２は、算出された数値を、閾値に照らし合わせて、当該数値が閾値を超える場合、不正アクセスがあると判定する。他方、第２プロセッサ１０２は、算出された数値を閾値に照らし合わせて、当該数値が閾値を超えない場合、不正アクセスが無いと判定する。

第２プロセッサ１０２は、通信記憶装置が記憶するパケット数、データ量、エラーの発生数のうち、複数の数値の演算することにより得られる値を、閾値に照らし合わせて不正アクセスの有無を判定しても良い。

制御部１０５は、判定手段により不正アクセスがあると判定された場合、不正判定システム１が外部と通信できないように当該不正判定システム１を制御する。制御部１０５は制御手段の一例である。
例えば、制御部１０５は、ネットワークカード１０４の動作を無効化することにより、不正判定システム１が外部と通信できないように制御する。また、制御部１０５は、不正判定システム１の電源を遮断することにより、不正判定システム１が外部と通信できないように制御する。

《不正判定システムの動作》
以下、不正判定システム１の動作について説明する。
図２は、不正判定システム１の動作を示すフローチャートである。

第２プロセッサ１０２は、予め設定された一定時間ごとに、ネットワークカード１０４の統計情報カウンタから、外部との通信に係る数値を読み出す（ステップＳ１）。
第２プロセッサ１０２は、読み出した累計数値から、当該累計数値を読み出す直前に統計情報カウンタから読み出した累計数値を減算することにより、一定時間ごとの外部との通信に係る数値を算出する（ステップＳ２）。

第２プロセッサ１０２は、ステップＳ２で算出された数値を、記憶装置１０３が記憶している閾値に照らし合わせる（ステップＳ３）。

ステップＳ２で算出された数値が閾値を超える場合（ステップＳ４：ＹＥＳ）、制御部１０５は、不正判定システム１が外部との通信ができないように制御する（ステップＳ５）。
他方、ステップＳ２で算出された数値が閾値を超えない場合（ステップＳ４：ＮＯ）、制御部１０５は動作しない。すなわち、ネットワークカード１０４は、不正判定システム１と外部との通信の仲介を継続する。

上記の動作により、不正判定システム１は不正アクセスの有無を判定することができる。加えて、不正判定システム１は、不正アクセスがある場合、不正判定システム１と外部との通信ができないようにするため、不正アクセス後の通信によるセキュリティ被害を防止することができる。

《作用・効果》
本発明に係る不正判定システム１は、基本ソフトウェアを実行する第１プロセッサ１０１と、第１プロセッサ１０１とは独立した部品で構成された第２プロセッサ１０２、前記第２プロセッサ１０２を動作させるファームウェアにより実現され、外部との通信に係る数値に基づいて、基本ソフトウェアを利用した不正アクセスの有無を判定する判定手段を備える。

上記の動作により、不正判定システム１は不正アクセスの有無を判定することができる。これにより、不正判定システム１は、不正アクセスの後に伴うセキュリティ被害を防止することができる。

また、不正判定システム１は、通信を行うネットワークカード１０４をさらに備え、第２プロセッサ１０２は、ネットワークカード１０４と接続されている。

不正判定システム１は、ネットワークカード１０４を介して外部と通信を行う。これにより、ネットワークカード１０４と接続する第２プロセッサ１０２により実現される判定手段は、ネットワークカード１０４からのデータに基づいて判定することができる。そのため、不正判定システム１はネットワークカード１０４の数値に基づいて、不正アクセスの有無を判定することができる。

また、不正判定システム１は、判定手段により不正アクセスがあると判定された場合、不正判定システム１が外部と通信できないように当該不正判定システム１を制御する制御手段をさらに備える。

不正判定システム１は、不正アクセスがある場合、不正判定システム１と外部との通信ができないようにするため、不正アクセス後の通信によるセキュリティ被害を防止することができる。

また、不正判定システム１は、不正判定システム１と外部のネットワークとの予測通信量に基づいて予め設定された閾値を記憶する記憶手段をさらに備え、判定手段は、通信に係る数値と閾値とに基づき、不正アクセスの有無を判定する。

不正判定システム１は、予測通信量に基づいて設定された閾値を用いて、不正アクセスの有無を判定することができる。これにより、不正判定システム１は、不正アクセスの後に伴うセキュリティ被害を防止することができる。

本発明に係る不正判定方法は、第１プロセッサ１０１により基本ソフトウェアが実行される不正判定システム１において、第１プロセッサ１０１とは独立した部品で構成された第２プロセッサ１０２、前記第２プロセッサ１０２を動作させるファームウェアにより実現される判定手段により、外部との通信に係る数値に基づいて、基本ソフトウェアを利用した不正アクセスの有無を判定することを含む。

不正判定方法を用いると、不正判定方法のユーザは不正アクセスの有無を判定することができる。これにより、不正判定方法のユーザは、不正アクセスの後に伴うセキュリティ被害を防止することができる。

本発明に係るプログラムは、第１プロセッサ１０１により基本ソフトウェアが実行される不正判定システム１のコンピュータに、第１プロセッサ１０１とは独立した部品で構成された第２プロセッサ１０２、前記第２プロセッサ１０２を動作させるファームウェアにより実現される判定手段により、外部との通信に係る数値に基づいて、基本ソフトウェアを利用した不正アクセスの有無を判定することを実行させる。

プログラムを実行させると、プログラムのユーザは不正アクセスの有無を判定することができる。これにより、プログラムのユーザは、不正アクセスの後に伴うセキュリティ被害を防止することができる。

〈第２の実施形態〉
以下、第２の実施形態に係る不正判定システム１について説明する。
第２の実施形態に係る不正判定装置１００の構成は、第１の実施形態に係る不正判定装置１００の構成から第２プロセッサ１０２を備えない構成である。
図３は、第２の実施形態に係る不正判定システム１の構成を示す図である。

第２の実施形態に係る第１プロセッサ１０１により固有ファームウェアが動作する。固有ファームウェアは、基本ソフトウェアとは異なり、汎用オペレーティングシステムや汎用オペレーティングシステムをベースとしたシステムではなく、その仕様が公開されていない。ファームウェアの一例としては、ＢＩＯＳ（Ｂａｓｉｃ Ｉｎｐｕｔ Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ）が挙げられる。

ファームウェアは、第１プロセッサ１０１による動作に対して所定の周期で割り込み処理を発生させ、割り込み処理の間に不正アクセスの有無を判定する。すなわち、ファームウェアは実行する他の処理があっても、一定時間ごとに不正アクセスの有無を判定する。
ファームウェアは固有ファームウェアであるため、攻撃者がネットワークカード１０４を介して第１プロセッサ１０１に不正アクセスするためには特別な手段を必要とする。そのため、不正アクセスがある場合であっても、判定手段は不正アクセスの有無を正しく判定することができる。

《作用・効果》
不正判定システム１のファームウェアは、第１プロセッサ１０１による動作に対して所定の周期で割り込み処理を発生させ、割り込み処理の間に不正アクセスの有無を判定する。

これにより、不正判定システム１は、一定時間ごとに、不正アクセスの有無を判定することができる。これにより、不正判定システム１は、不正アクセスの後に伴うセキュリティ被害を防止することができる。

《基本構成》
以下、基本構成に係る不正判定システム１について説明する。
図４は、基本構成に係る不正判定システム１の構成を示す図である。
すなわち、基本構成に係る不正判定装置１００は、第１プロセッサ１０１と、第２プロセッサ１０２と、記憶装置１０３を備える。

基本構成に係る不正判定システム１は、基本ソフトウェアを実行する第１プロセッサ１０１と、第１プロセッサ１０１とは独立した部品で構成された第２プロセッサ１０２、前記第２プロセッサ１０２を動作させるファームウェアにより実現され、外部との通信に係る数値に基づいて、基本ソフトウェアを利用した不正アクセスの有無を判定する判定手段を備える。

上記の動作により、不正判定システム１は不正アクセスの有無を判定することができる。これにより、不正判定システム１は、不正アクセスの後に伴うセキュリティ被害を防止することができる。

〈コンピュータ構成〉
図５は、少なくとも１つの実施形態に係るコンピュータの構成を示す概略ブロック図である。
コンピュータ１１００は、プロセッサ１１１０、メインメモリ１１２０、ストレージ１１３０、インタフェース１１４０を備える。
上述の不正判定装置１００は、コンピュータ１１００に実装される。そして、上述した各処理部の動作は、プログラムの形式でストレージ１１３０に記憶されている。プロセッサ１１１０は、プログラムをストレージ１１３０から読み出してメインメモリ１１２０に展開し、当該プログラムに従って上記処理を実行する。また、プロセッサ１１１０は、プログラムに従って、上述した各記憶部に対応する記憶領域をメインメモリ１１２０に確保する。

プログラムは、コンピュータ１１００に発揮させる機能の一部を実現するためのものであってもよい。例えば、プログラムは、ストレージ１１３０に既に記憶されている他のプログラムとの組み合わせ、または他の装置に実装された他のプログラムとの組み合わせによって機能を発揮させるものであってもよい。なお、他の実施形態においては、コンピュータ１１００は、上記構成に加えて、または上記構成に代えてＰＬＤ（Ｐｒｏｇｒａｍｍａｂｌｅ Ｌｏｇｉｃ Ｄｅｖｉｃｅ）などのカスタムＬＳＩ（Ｌａｒｇｅ Ｓｃａｌｅ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）を備えてもよい。ＰＬＤの例としては、ＰＡＬ(Ｐｒｏｇｒａｍｍａｂｌｅ Ａｒｒａｙ Ｌｏｇｉｃ)、ＧＡＬ(Ｇｅｎｅｒｉｃ Ａｒｒａｙ Ｌｏｇｉｃ)、ＣＰＬＤ(Ｃｏｍｐｌｅｘ Ｐｒｏｇｒａｍｍａｂｌｅ Ｌｏｇｉｃ Ｄｅｖｉｃｅ)、ＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）が挙げられる。この場合、プロセッサ１１１０によって実現される機能の一部または全部が当該集積回路によって実現されてよい。

ストレージ１１３０の例としては、磁気ディスク、光磁気ディスク、半導体メモリ等が挙げられる。ストレージ１１３０は、コンピュータ１１００のバスに直接接続された内部メディアであってもよいし、インタフェース１１４０または通信回線を介してコンピュータに接続される外部メディアであってもよい。また、このプログラムが通信回線によってコンピュータ１１００に配信される場合、配信を受けたコンピュータ１１００が当該プログラムをメインメモリ１１２０に展開し、上記処理を実行してもよい。少なくとも１つの実施形態において、ストレージ１１３０は、一時的でない有形の記憶媒体である。

また、当該プログラムは、前述した機能の一部を実現するためのものであってもよい。さらに、当該プログラムは、前述した機能をストレージ１１３０に既に記憶されている他のプログラムとの組み合わせで実現するもの、いわゆる差分ファイル（差分プログラム）であっても良い。

１ 不正判定システム
２ サーバ
１００ 不正判定装置
１０１ 第１プロセッサ
１０２ 第２プロセッサ
１０３ 記憶装置
１０４ ネットワークカード
１０５ 制御部
２００ センサ
１１００ コンピュータ
１１１０ プロセッサ
１１２０ メインメモリ
１１３０ ストレージ
１１４０ インタフェース

Claims (5)

1. 基本ソフトウェアを実行する第１プロセッサと、
   前記第１プロセッサとは独立した部品で構成され、ＰＣＩバスを経由しないサイドバンド信号によって外部と接続する第２プロセッサ、前記第２プロセッサによって動作するファームウェアにより実現され、送信及び受信のそれぞれについて、外部との通信に係る数値が正常時の予測通信量よりも多い通信量であることを示すか否かに基づいて、前記基本ソフトウェアを利用して外部との通信を行わせる不正アクセスの有無を判定し、前記送信については、不正判定システムのセンサが収集したデータをサーバへ転送する通信量に基づいて予め設定された閾値よりも多い通信量であることを示すか否かに基づいて、前記基本ソフトウェアを利用して外部との通信を行わせる不正アクセスの有無を判定する判定手段と、
   を備える不正判定システム。
2. 前記通信を行うネットワークカードをさらに備え、
   前記第２プロセッサは、前記ネットワークカードと接続されている、
   請求項１に記載の不正判定システム。
3. 前記判定手段により前記不正アクセスがあると判定された場合、前記不正判定システムが外部と通信できないように当該不正判定システムを制御する制御手段をさらに備える、
   請求項１または請求項２に記載の不正判定システム。
4. 第１プロセッサにより基本ソフトウェアが実行される不正判定システムにおいて、
   前記第１プロセッサとは独立した部品で構成され、ＰＣＩバスを経由しないサイドバンド信号によって外部と接続する第２プロセッサ、前記第２プロセッサによって動作するファームウェアにより実現される判定手段により、送信及び受信のそれぞれについて、外部との通信に係る数値が正常時の予測通信量よりも多い通信量であることを示すか否かに基づいて、前記基本ソフトウェアを利用して外部との通信を行わせる不正アクセスの有無を判定し、前記送信については、不正判定システムのセンサが収集したデータをサーバへ転送する通信量に基づいて予め設定された閾値よりも多い通信量であることを示すか否かに基づいて、前記基本ソフトウェアを利用して外部との通信を行わせる不正アクセスの有無を判定すること、
   を含む不正判定方法。
5. 第１プロセッサにより基本ソフトウェアが実行される不正判定システムのコンピュータに、
   前記第１プロセッサとは独立した部品で構成され、ＰＣＩバスを経由しないサイドバンド信号によって外部と接続する第２プロセッサ、前記第２プロセッサによって動作するファームウェアにより実現される判定手段により、送信及び受信のそれぞれについて、外部との通信に係る数値が正常時の予測通信量よりも多い通信量であることを示すか否かに基づいて、前記基本ソフトウェアを利用して外部との通信を行わせる不正アクセスの有無を判定し、前記送信については、不正判定システムのセンサが収集したデータをサーバへ転送する通信量に基づいて予め設定された閾値よりも多い通信量であることを示すか否かに基づいて、前記基本ソフトウェアを利用して外部との通信を行わせる不正アクセスの有無を判定すること、
   を実行させるプログラム。

Images