JP7273759B2 - 通信装置、通信方法、情報処理システムおよびプログラム - Google Patents

Description

本発明の実施の形態は、通信装置、通信方法、情報処理システムおよびプログラムに関する。

進展するサイバー攻撃にさらされ、工場や発電所等のシステムを停止させられ、大きな損害を被る事象が発生している。サイバー攻撃による損害を最小限に抑えるためには、システム上を流れる不正な通信を検知するための通信監視システムの導入が重要になりつつある。

通信監視を行う際には、通信を捕捉（キャプチャ）するための通信装置を通信路上に設置する必要がある。巨大なシステムにおいては、多数の通信装置を設置することが考えられる。そのような場合、個々の通信装置の性能は高くないことが多く、通信の解析には適さない。

個々の通信装置は不正な通信を検知する処理を行わず、キャプチャした通信を外部の装置に転送し、外部の装置が解析を行う、といった構成が考えられる。

一方、システム上を流れる通信を暗号化して保護することで、不要な情報漏洩を防止することが行われている。通信内容が暗号化されている場合、解析を行う外部の装置は送信元の通信装置と協調して通信の復号処理を行ってから解析する必要がある。さらに、復号した通信の解析後、送信元の通信装置もしくは外部の装置は、本来の送信先の通信装置に対して通信を行うために再度暗号化通信機能を提供する必要がある。このため、従来では、複数の暗号化復号処理によって通信遅延が生じていた。

特開２０１７－１４３５８３号公報

本発明が解決しようとする課題は、暗号化通信処理による通信遅延を低減することができる、通信装置、通信方法、情報処理システムおよびプログラムを提供することである。

実施形態の通信装置は、記憶部、解析部、送信先決定部および生成部を備える。また、実施形態の通信装置は、制御装置と前記制御装置と接続される複数の通信装置とを含む通信ネットワークに属し、前記複数の通信装置のうちいずれかである送信先通信装置に通信パケットを送信する。前記記憶部は、通信パケットの正常性を判断する第１情報を記憶する。前記解析部は、受信した通信パケットと前記第１情報に基づき、前記通信パケットの正常性を判断する。前記送信先決定部は、前記解析部によって前記通信パケットが正常ではないと判断された場合、前記送信先通信装置と前記制御装置を前記通信パケットの送信先と決定する。前記生成部は、前記送信先決定部によって決定された前記送信先に送信する前記通信パケットを暗号化する。

第１の実施形態に係る情報処理システムの模式図。 第１の実施形態に係る情報処理システムの機能ブロック図。 第１の実施形態に係る通信装置（送信元）の処理手順を示すフローチャート。 第１の実施形態に係る通信装置（送信先）の処理手順を示すフローチャート。 第１の実施形態に係る制御装置の処理手順を示すフローチャート。 第１の実施形態に係る解析装置の処理手順を示すフローチャート。 第１の実施形態に係る表示装置の表示画面の一例を示す模式図。 第２の実施形態に係る情報処理システムの模式図。 第２の実施形態に係る情報処理システムの機能ブロック図。 第２の実施形態に係る通信装置（送信元）の処理手順を示すフローチャート。 解析ルールの変更手順を示すフローチャート。 第３の実施形態に係る情報処理システムの模式図。 第３の実施形態に係る通信装置の機能ブロック図。 第３の実施形態の実施形態の変形例に係る情報処理システムの模式図。 第３の実施形態の変形例に係る通信装置の機能ブロック図。 第４の実施形態に係る情報処理システムの模式図。 第４の実施形態に係る制御装置の機能ブロック図。 第１の実施形態に係る通信装置、制御装置および解析装置のハードウエア構成図。

以下、図面を参照して、発明を実施するための実施形態について説明する。

（第１の実施形態）
－－－第１の実施形態の概要の説明－－－
図１は、本実施の形態の情報処理システム１の構成の一例を示す模式図である。図１に示すように、情報処理システム１は、複数の通信装置２０（通信装置２０－１、通信装置２０－２、通信装置２０－３、通信装置２０－４）、制御装置３０、解析装置４０および表示装置５０を備える。各通信装置２０には、対応した機器１０（機器１０－１、機器１０－２、機器１０－３、機器１０－４）が接続されている。

本実施形態において、機器１０と通信装置２０、通信装置２０と通信装置２０、通信装置２０と制御装置３０、制御装置３０と解析装置４０、制御装置３０と表示装置５０のそれぞれは、有線回線または無線回線を介してデータや信号を互いに授受可能に接続されている。

なお、各回線において、リピータ、スイッチングハブ、ルータなどの通信機器を経由して接続されていてもよい。また、本実施形態では、制御装置３０と解析装置４０は、異なる装置としているが、同じハードウエア上で実行させてもよい。制御装置３０と表示装置５０についても、同じハードウエア上で実行させてもよい。

情報処理システム１において、機器１０から機器１０への暗号化通信を考える。ここで、送信元の機器１０を機器１０（送信元）、送信先の機器１０を機器１０（送信先）と称す。また、機器１０（送信元）に接続されている通信装置２０を通信装置２０（送信元）と称し、機器１０（送信先）に接続されている通信装置２０を通信装置２０（送信先）と称す。

情報システム１の機器１０（送信元）から機器１０（送信先）への通信において、通信装置２０（送信元）は、機器１０（送信元）から受信した通信パケットに対して簡易解析を行い、さらなる解析の必要があると判断すると、通信パケットを暗号化し、通信パケットを通信装置２０（送信先）と制御装置３０に対して送信する。

制御装置３０は、暗号化された通信パケットを復号し、通信パケットを解析装置４０に送信する。解析装置４０は、通信パケットを詳細に解析し、不正な通信の有無を判断する。解析装置４０は、制御装置３０に解析結果を送信する。制御装置３０は、受信した解析結果を表示装置５０に表示させることで、情報処理システム１を運用するオペレータに解析結果を通知する。

上述したように、情報処理システム１では、通信装置２０（送信元）が通信パケットのさらなる解析の必要があると判断した場合、本来の送信先である通信装置２０（送信先）と、解析装置４０に接続されている制御装置３０と、に対して通信パケットを送信する。

このため、情報処理システム１では、本来の送信先である通信装置２０（送信先）に対する暗号化通信を実現しながら、詳細な解析が必要な通信パケットについては、詳細な解析を行うことができる。

したがって、通信パケットの詳細な解析を行いながら、機器１０（送信元）から機器１０（送信先）への通信においては、一度の暗号化復号処理の実行で済むため、複数回の暗号化復号処理が必要であった従来の情報処理システムと比較して通信遅延を低減させることができる。

また、解析装置４０が機器１０（送信元）から機器１０（送信先）への通信を不正な通信と判断した場合、一例として、オペレータは、図示しない機器１０の制御サーバを操作することで、不正な通信を遮断することができる。

ここで、機器１０は、工場や発電所等の各システムの機能を実現するハードウエア及びソフトウエアである。機器１０は、例えば、ＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）、ワークステーション、プリンタ、アプリケーションサーバ、データサーバ、制御サーバ、データヒストリアン、ＨＭＩ（Ｈｕｍａｎ Ｍａｃｈｉｎｅ Ｉｎｔｅｒｆａｃｅ）、ＳＣＡＤＡ（Ｓｕｐｅｒｖｉｓоｒｙ Ｃｏｎｔｒｏｌ ａｎｄ Ｄａｔａ Ａｃｑｕｉｓｉｔｉｏｎ）、ＥＷＳ（Ｅｎｇｉｎｅｅｒｉｎｇ ＷｏｒｋＳｔａｔｉｏｎ）、ＰＬＣ（Ｐｒｏｇｒａｍｍａｂｌｅ Ｌｏｇｉｃ Ｃｏｎｔｒｏｌｌｅｒ）、ＩＥＤ（Ｉｎｔｅｌｌｉｇｅｎｔ Ｅｌｅｃｔｒｏｎｉｃ Ｄｅｖｉｃｅ）やＲＴＵ（Ｒｅｍｏｔｅ Ｔｅｒｍｉｎａｌ Ｕｎｉｔ）などが該当する。

なお、図１では、機器１０が４台存在するが、２台以上であればよい。機器１０に接続される通信機器２０についても同様である。また、図１では、制御装置３０が１台であるが、２台以上であってもよい。また、解析装置４０が１台であるが、２台以上であってもよい。

また、情報処理システム１に含まれる通信装置２０は、同一のネットワーク上に存在してもよいし、通信を要する２台の機器１０の間で通信が行えるように通信路が確保されていればよい。

一例として、通信装置２０－１（２０）と通信装置２０－４（２０）の間の通信路が確保され、通信装置２０－２（２０）と通信装置２０－３（２０）の間の通信路が先の通信路とは別に確保され、先の２つの通信路上に制御装置３０との通信路が別々に確保されている構成でもよい。

次に、情報処理システム１の機能構成を説明する。図２は、情報処理システム１を構成する各装置の機能構成の一例を示す機能ブロック図である。以下では、図２を参照しながら情報処理システム１を構成する各装置の機能部の概要について説明を行う。

以下では、説明のため、機器１０－１（１０）が送信元で、機器１０－２（１０）が送信先である場合を考える。この場合、通信装置２０－１（２０）が送信元で、通信装置２０－２（２０）が送信先となる。

まず、通信装置２０の説明を行う。通信装置２０は、機器１０から送出される通信及び他の通信装置２０を介して受信する通信に対する制御を行うハードウエアおよびソフトウエアである。

通信装置２０は、他の通信装置２０との間で暗号化通信を行う機能を備える。さらに、通信装置２０は、機器１０から送出された通信パケットをキャプチャし、キャプチャした通信パケットの一部または全てを、暗号化通信を用いて制御装置３０に転送する機能を備える。

各通信装置２０は、送信処理と受信処理の両方を行うため、送信元としての機能と、送信先としての機能と、を併せ持つ。通信装置２０－１や通信装置２０－２なども同様である。図２では通信処理としての機能を強調するため、通信装置２０－１には送信元としての機能のみを、また通信装置２０－２には送信先としての機能のみを区別して記載している。機器１０についても同様である。

図２に示すように、通信装置２０－１（送信元）は、平文通信受信部２１１、簡易通信解析部２１２、送信先決定部２１３、暗号化通信生成部２１４、暗号化通信送信部２１５、グループ鍵共有部２１６、暗号化通信情報記憶部２１７、解析ルール記憶部２１９および送信先識別子記憶部２３１を備える。

平文通信受信部２１１は、機器１０（送信元）から通信パケットを受信し、簡易通信解析部２１２に通信パケットを出力する。

簡易通信解析部（解析部と称すこともある）２１２は、解析ルール記憶部２１９に記憶されている解析ルール情報を用いて、通信パケットの簡易通信解析を行い、さらなる詳細な解析が必要であるか否かを判断する。

第１の実施形態の解析ルール記憶部２１９には、解析ルールとしてホワイトリスト情報が記憶されている。

ホワイトリスト情報は、オペレータによって予め設定された通信パケットの正常性を判断するための情報である。ホワイトリスト情報は、例えば、送信元ＩＰアドレス、送信元ポート番号、送信先ＩＰアドレス、送信先ポート番号、送信先ポート番号（あるいは通信プロトコルの種別）などの組ごとに事前に設定された通信を許可する値のリストである。

解析ルール記憶部２１９は、例えば、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）などにより実現される。

簡易通信解析部２１２は、解析ルールを解析ルール記憶部２１８から取得する。簡易通信解析部２１２は、通信パケットとホワイトリスト情報とに基づき、通信パケットに含まれる情報が、ホワイトリスト情報の一つと一致する場合、その通信パケットは正常であるとして、さらなる解析は不要と判断する。簡易通信解析部２１２は、通信パケットと判断結果を送信先決定部２１３に出力する。

送信先決定部２１３は、簡易通信解析部２１２の判断結果に基づき、通信パケットの送信先（通信装置２０－２あるいは通信装置２０－２および制御装置３０）を決定する。送信先決定部２１３は、決定した送信先に対応する識別子（送信先識別子）を送信先識別子記憶部２３１が記憶する送信先識別子から取得し、通信パケットと送信先識別子を暗号化通信生成部２１４に出力する。

送信先識別子記憶部２３１は、送信先決定部２１３が使用する送信先識別子を記憶する。送信先識別子記憶部２３１は、例えば、ＨＤＤなどにより実現される。なお、通信パケットの送信先として、ブロードキャストアドレスやマルチキャストアドレスが用いられる場合があるが、送信先識別記憶部２３１は、複数の相手を送信先とする通信（同報通信）に対応しており、指定される可能性がある送信先（集合）を表す識別子を管理している。

暗号化通信生成部（生成部と称すこともある）２１４は、暗号化通信情報記憶部２１７が記憶する暗号化鍵（グループ鍵）を用いて、通信パケットを暗号化する。使用するグループ鍵は、送信先識別子に対応するものが用いられる。

暗号化通信送信部（送信部と称すこともある）２１５は、暗号化された通信パケットに通信ヘッダを付与して、送信先識別子に対応する送信先に送信する。

グループ鍵共有部２１６は、暗号化通信に必要となる情報を制御装置３０や通信装置２０－２（送信先）と共有し、暗号化通信情報記憶部２１７に保存する。

一例として、通信装置２０－１（送信元）が固有の鍵（デバイス鍵）を保持し、制御装置３０によって事前に生成されたグループ鍵の生成元となるデータをデバイス鍵で暗号化された通信パケットを、通信装置２０－１（送信元）が受信し、暗号化通信に必要となる情報を取得する。

グループ鍵共有部２１６のグループ鍵等を共有する方式としては、一例として、IEEE802.21（https://standards.ieee.org/standard/802_21-2017.html）のグループ操作コマンドを用いてもよい。IEEE802.21では、完全部分木（complete subtree）を用いて、グループ鍵等の共有に必要な通信量を削減している。

暗号化通信情報記憶部２１７は、暗号化通信に必要となる情報を記憶する。暗号化通信情報記憶部２１７が記憶する暗号化通信に必要となる情報としては、例えば、グループ鍵と、送信先識別子と、送信先マルチキャストアドレスなどである。暗号化通信情報記憶部２１７は、例えば、ＨＤＤなどにより実現される。

なお、暗号化通信情報記憶部２１７、解析ルール記憶部２１９および送信先識別子記憶部２３１を別々の記憶部として記載しているが１つの記憶部としてまとめて構成してもよい。

次に通信装置２０－２（送信先）の各機能部の概要の説明を行う。

通信装置２０－２（送信先）は、暗号化通信受信部２２１、平文通信生成部２２２、平文通信送信部２２３、グループ鍵共有部２２４および暗号化通信情報記憶部２２５を備える。

暗号化通信受信部２２１は、通信装置２０－１（送信元）から送信された暗号化された通信パケットを受信し、平文通信生成部２２２に出力する。

平文通信生成部２２２は、暗号化された通信パケットを復号し、平文の状態の通信パケットを生成し、通信パケットを平文通信送信部２２３に出力する。

平文通信送信部２２３は、通信パケットを機器１０（送信先）に送信する。

グループ鍵共有部２２４は、暗号化通信に必要となる情報を制御装置３０や通信装置２０－１（送信元）と共有し、暗号化通信情報記憶部２２５に保存する。

暗号化通信情報記憶部２２５は、暗号化通信に必要となる情報を記憶する。暗号化通信情報記憶部２２５が記憶する暗号化通信に必要となる情報としては、例えば、グループ鍵と、送信先識別子と、送信先マルチキャストアドレスなどである。暗号化通信情報記憶部２２５は、例えば、ＨＤＤなどにより実現される。

次に制御装置３０の各機能部の概要の説明を行う。

制御装置３０は、通信装置２０から転送された暗号化された通信パケットを復号し、復号した通信パケットを解析装置４０に転送する。

制御装置３０は、暗号化通信受信部３１、平文通信生成部３２、平文通信解析依頼部３３、解析結果通知部３４、グループ鍵共有部３５および暗号化通信情報記憶部３６を備える。

暗号化通信受信部３１は、暗号化通信送信部２１５から送信された暗号化された通信パケットを受信し、平文通信生成部３２に出力する。

平文通信生成部３２は、暗号化された通信パケットを復号し、平文の状態の通信パケットを生成し、通信パケットを平文通信解析依頼部３３に出力する。

平文通信解析依頼部３３は、通信パケットを解析装置４０の平文通信受信部４１に送信する。

解析結果通知部３４は、解析装置４０から通信パケットの解析結果を受信する。さらに、解析結果通知部３４は、表示装置５０に解析結果を出力する。

ここで、表示装置５０について説明を行う。

表示装置５０は、通信パケットの解析結果を表示することで、情報処理システム１の運用を行うオペレータに解析結果を通知する。

グループ鍵共有部３５は、暗号化通信に必要となる情報を通信装置２０－１（送信元）や通信装置２０－２（送信先）と共有し、暗号化通信情報記憶部３６に保存する。

暗号化通信情報記憶部３６は、暗号化通信に必要となる情報を記憶する。暗号化通信に必要な情報は、例えば、グループ鍵、送信先識別子、送信先マルチキャストアドレスなどである。暗号化通信情報記憶部３６は、例えば、ＨＤＤなどにより実現される。

次に解析装置４０の各機能部の概要の説明を行う。解析装置４０は、制御装置３０から復号された通信パケットを受信し、さらに解析することで、不正な通信の有無について判断する。

ここで、不正な通信とは、例えば、機器１０のポートの開放状態を検査する通信（ポートスキャン）、不正なソフトウエア（マルウエア）によって他の機器１０や外部の不正サイトとの接続を試みる通信、異常に多い頻度での通信、などである。

解析装置４０は、平文通信受信部４１、平文通信解析部４２および解析結果送信部４３を備える。

平文通信受信部４１は、制御装置３０の平文通信解析依頼部３３から平文の状態の通信パケットを受信する。

平文通信解析部４２は、平文の状態の通信パケットを解析し、不正な通信の有無を判断し、解析結果を解析結果送信部４３に出力する。

解析結果送信部４３は、解析結果を制御装置３０の解析結果通知部３４に送信する。

－－－第１の実施形態に係る情報処理システムの処理手順の説明－－－
次に、本実施形態に係る情報処理システム１の各装置の処理手順について説明する。通信装置２０－１（送信元）、通信装置２０－２（送信先）、制御装置３０、解析装置４０の順で説明を行う。

図３は、通信装置２０－１（送信元）の処理手順の一例を示すフローチャートである。

まず、平文通信受信部２１１は、機器１０（送信元）から通信パケットを受信し、簡易通信解析部２１２に通信パケットを出力する（ステップＳ１０１）。平文通信受信部２１１が受信する通信パケットには、送信元ＩＰアドレスや送信元ポート番号などといった送信元通信情報、送信先ＩＰアドレスや送信先ポート番号などといった送信先通信情報、通信データの本体であるペイロードなどが含まれる。

簡易通信解析部２１２は、解析ルール記憶部２１９が記憶する解析ルール情報を取得した後に通信パケットを解析する（ステップＳ１０２）。

第１の実施形態では、解析ルール情報は、ホワイトリスト情報である。簡易通信解析部２１２は、通信パケットとホワイトリスト情報とに基づき、通信パケットの情報がホワイトリストに含まれるか否かの判断を行う（ステップＳ１０３）。

一例として、通信パケットの送信先ＩＰアドレスが解析ルール記憶部２１９から取得したホワイトリスト情報に含まれていない送信先ＩＰアドレスである場合、簡易通信解析部２１２は、通信パケットがホワイトリスト情報に含まれていないと判断する。

ステップＳ１０３において、簡易通信解析部２１２が通信パケットと、ホワイトリスト情報とに基づき、通信パケットがホワイトリストに含まれると判断した場合（ステップＳ１０３：Ｙｅｓ）、簡易通信解析部２１２は、通信パケットと判断結果「通信パケットがホワイトリストに含まれる（さらなる解析は不要）」を送信先決定部２１３に出力する。さらに送信先決定部２１３は、通信装置２０－２（送信先）を送信先として決定する（ステップＳ１０４）。

同じくステップＳ１０３において、通信パケットがホワイトリストに含まれないと判断した場合（ステップＳ１０３：Ｎｏ）、簡易通信解析部２１２は、通信パケットと判断結果「通信パケットがホワイトリストに含まれない（さらなる解析が必要）」を送信先決定部２１３に出力する。さらに送信先決定部２１３は、制御装置３０と、通信装置２０－２（送信先）を送信先として決定する（ステップＳ１０５）。

送信先決定部２１３は、決定した送信先に対応する識別子（送信先識別子）を送信先識別子記憶部２３１に要求して送信先識別子を取得し、取得した送信先識別子と通信パケットを暗号化通信生成部２１４に出力する（ステップＳ１０６）。

暗号化通信生成部２１４は、暗号化通信情報記憶部２１７が管理する暗号化鍵（グループ鍵）を取得する（ステップＳ１０７）。

暗号化通信生成部２１４は、取得したグループ鍵を用いて通信パケットを暗号化する（ステップＳ１０８）。暗号化通信生成部が使用するグループ鍵は、送信先識別子に対応するものが用いられる。

暗号化通信生成部２１４は、一例として、送信先識別子が制御装置３０と通信装置２０－２（送信先）を表す場合、通信装置２０－１（送信元）と、制御装置３０と、通信装置２０－２（送信先）と、が共有するグループ鍵を用いる。

暗号化通信生成部２１４によるグループ鍵を用いた通信パケットを暗号化する方式としては、一例として、IEEE802.21（https://standards.ieee.org/standard/802_21-2017.html）の通信パケットの保護方式を用いてもよい。IEEE802.21では、送信元識別子や送信先識別子を含む通信ヘッダの付与、AES-CCM方式を用いた暗号化、ECDSA-256方式を用いたデジタル署名の付与、シーケンス番号の付与によるリプレイ攻撃の防止、などが規格化されている。

なお、暗号化された通信パケットには、送信元識別子や送信先識別子を含む通信ヘッダを付与してもよい。IEEE802.21の通信パケットの保護方式を用いた場合、ＡＥＳ－ＣＣＭ方式を用いた認証付き暗号化方式を適用することで、付与した通信ヘッダの改ざんについても保護が行われる。

暗号化通信送信部２１５は、暗号化された通信パケットに通信ヘッダを付与する（ステップＳ１０９）。一例として、暗号化通信送信部２１５は、送信先識別子に対応する送信先マルチキャストアドレスを選択する。なお、マルチキャストアドレスは、ＨＤＤなどの記憶装置に記憶されている。

暗号化通信送信部２１５は、送信先識別子に対応する送信先に送信する（ステップＳ１１０）。一例として、暗号化通信送信部２１５は、送信先マルチキャストアドレスを含むヘッダを付与した、暗号化された通信パケットを通信路上に送出する。そして、通信装置２０－１（送信元）は、処理を終了する。

次に、通信装置２０－２（送信先）の処理の説明を行う。図４は、通信装置２０－２（送信先）の処理手順の一例を示すフローチャートである。

暗号化通信受信部２２１は、通信装置２０－１（送信元）から送信された暗号化された通信パケットを受信し、平文通信生成部２２２に出力する（ステップＳ２０１）。

平文通信生成部２２２は、暗号化通信情報記憶部２２５が管理する暗号化鍵（グループ鍵）を取得する（ステップＳ２０２）。なお、本実施形態では、共通鍵暗号方式を使用して暗号化通信を行っているため、暗号化鍵は、復号鍵でもある。平文通信生成部２２２は、一例として、暗号化された通信パケットに付与された送信先識別子に基づき、暗号化通信情報記憶部２２５に記憶されているグループ鍵を取得する。

平文通信生成部２２２は、取得したグループ鍵を用いて暗号化された通信パケットを復号することで平文の状態の通信パケットを生成し、通信パケットを平文通信送信部２２３に出力する（ステップＳ２０３）。

なお、ステップＳ２０３において、平文通信生成部２２２が復号処理に失敗した場合、不正な鍵で暗号化されている可能性があるため、一例として、平文通信生成部２２２は、暗号化された通信パケットを破棄してもよい。

平文通信送信部２２３は、通信パケットを機器１０（送信先）に送信する（ステップＳ２０４）。そして、通信装置２０－２（送信先）は、処理を終了する。

次に、制御装置３０の処理の説明を行う。図５は、制御装置３０の処理手順の一例を示すフローチャートである。

暗号化通信受信部３１は、暗号化通信送信部２１５から送信された暗号化された通信パケットを受信し、平文通信生成部３２に出力する（ステップＳ３０１）。

平文通信生成部３２は、暗号化通信情報記憶部３６が記憶する暗号化鍵（グループ鍵）を取得する（ステップＳ３０２）。平文通信生成部３２は、一例として、暗号化された通信パケットに付与された送信先識別子に基づき、暗号化通信情報記憶部３６に記憶されているグループ鍵を取得する。

平文通信生成部３２は、取得したグループ鍵を用いて暗号化された通信パケットを復号することで平文の状態の通信パケットを生成し、通信パケットを平文通信解析依頼部３３に出力する（ステップＳ３０３）。

なお、ステップＳ３０３において、平文通信生成部３２が復号処理に失敗した場合、不正な鍵で暗号化されている可能性があるため、一例として、平文通信生成部３２は、暗号化された通信パケットを破棄してもよい。

平文通信解析依頼部３３は、平文の通信パケットを解析装置４０に送信する（ステップＳ３０４）。なお、平文通信解析依頼部３３は、さらに通信パケットの解析に使用する情報を解析装置４０に送信してもよい。通信パケットの解析に使用する情報は、例えば、通信パケットを受信した時刻、通信装置２０－１（送信元）が管理するホワイトリスト、以前に受信した他の通信パケット、などである。

ステップＳ３０４の後に解析装置４０による通信パケットの解析が行われる。解析装置４０による通信パケットの解析が行われた後に、制御装置３０は、再び処理を行う。解析結果通知部３４は、解析装置４０から通信パケットの解析結果を受信する（ステップＳ３０５）。解析結果通知部３４は、表示装置５０に解析結果を表示する（ステップＳ３０６）。

オペレータは、表示装置５０の表示を閲覧することで、解析結果を認識することができる。オペレータは、解析結果に応じて各種の設定を変更してもよい。

一例としてオペレータが、図示しない機器１０（送信元）の制御サーバの設定を変更し、機器１０（送信元）からの不正な通信を遮断してもよい。また、オペレータが図示しない機器１０（送信先）の制御サーバの設定を変更し、機器１０（送信先）の不正な通信の受信を遮断してもよい。

次に解析装置４０の処理の説明を行う。図６は、解析装置４０の処理手順の一例を示すフローチャートである。

平文通信受信部４１は、平文通信解析依頼部３３から通信パケットを受信し、平文通信解析部４２に出力する（ステップＳ４０１）。なお、平文通信解析依頼部３３が、通信パケットの解析に使用する情報についても送信していた場合は、平文通信受信部４１は、この情報も受信する。

平文通信解析部４２は、通信パケットを解析することで不正な通信であるか否かを判断し、解析結果を解析結果送信部４３に出力する（ステップＳ４０２）。

平文通信解析部４２は、一例として、ペイロードに含まれるバイト文字列の中に、不正通信において特徴的であるバイト文字列が含まれているか否かを検査し、含まれていれば不正通信であると判断する。また、平文通信解析部４２は、別の一例として、ペイロードに含まれる制御情報が、通常の通信で発生すると考えられる範囲内にあるか否かを検査し、範囲外であれば不正通信であると判断する。

平文通信解析部４２により不正通信の存在が確認された場合、平文通信解析部４２は、さらに不正通信を破棄するための条件を与えるために必要となる情報を生成し、先述した解析結果に加えてこの情報についても解析結果送信部４３に出力してもよい。

不正通信を破棄するための条件を与えるために必要になる情報とは、例えば、送信元ＭＡＣアドレス、送信元ＩＰアドレス、送信元ポート番号、送信先ＭＡＣアドレス、送信先ＩＰアドレス、送信先ポート番号、送信元や送信先に関する情報（機器に付された識別子など）、ペイロードに含まれる特徴的なバイト文字列、通信頻度、などである。

解析結果送信部４３は、解析結果を解析結果通知部３４に送信する（ステップＳ４０３）。

なお、平文通信解析部４２が不正通信を破棄するための条件についても出力していた場合は、解析結果送信部４３は、この情報についても、解析結果通知部３４に送信する。また、解析結果送信部４３は、解析対象であった通信パケットとの関係が分かる情報についても解析結果通知部に送信してもよい。ここで、解析対象であった通信パケットとの関係が分かる情報とは、例えば、通信パケットの制御装置３０における受信時刻、通信パケットのハッシュ値、などである。

図７は、表示装置５０の表示画面の一例を示す図である。例えば、機器１０－１（送信元）から機器１０－２（送信先）への通信に対し、解析装置４０が不正であると判断し、制御装置３０が表示装置５０にこの結果を表示させた場合を考える。

オペレータは、図７に示される表示装置５０の表示を閲覧することで、機器１０－１（送信元）から機器１０－２（送信先）への通信が不正であることを認識することができる。

－－－第１の実施形態の効果－－－
本実施形態の情報処理システム１の通信装置２０－１（送信元）は、簡易通信解析部２１２の判断により、さらなる解析の必要がある通信パケットを、暗号化通信生成部２１４でグループ鍵を用いて暗号化し、暗号化通信送信部２１５で制御装置３０と、本来の送信先である通信装置２０－２（送信先）と、の２つの送信先に送信する。

制御装置３０は、解析の必要性が高い通信パケットの解析を解析装置４０に依頼し、解析装置４０が通信パケットの解析を行う。

通信装置２０－２（送信先）は、通信装置２０－１（送信元）が暗号化した通信パケットを受信して、さらに、暗号化された通信パケットをグループ鍵で復号し平文の状態の通信パケットを機器１０－２（送信先）に送信する。そのため、機器１０－１（送信元）から機器１０－２（送信先）が通信パケットを受信するまでに暗号化処理が１回、復号処理が１回行われる。

従来のシステムにおいては、送信元の機器に接続された通信装置が暗号化処理を行い、解析を行う外部の装置が復号処理を行ってから解析する。さらに、復号した通信パケットの解析後、送信元の通信装置もしくは解析を行う外部の装置が、本来の送信先の機器に接続された通信装置に対して通信を行うために再度通信パケットの暗号化処理を行う。その後、送信元の通信装置もしくは解析を行う外部の装置が本来の送信先の機器に接続された通信装置に通信パケットを送信し、本来の送信先の機器に接続された通信装置において通信パケットの復号処理が行われた後に本来の送信先の機器が通信パケットを受信する。このため、従来のシステムでは、複数の暗号化処理が２回、復号化処理が２回行われることによって通信遅延が生じていた。

本実施形態の情報処理システム１では、通信装置２０－２（送信先）は、解析装置４０による解析のための制御装置３０が行う復号処理と解析装置４０による解析を待たずに通信装置２０－１（送信元）から暗号化された通信パケットを取得することができる。

このため、情報処理システム１では、本来の送信先である通信装置２０（送信先）に対する暗号化通信を実現しながら、詳細な解析が必要な通信パケットについては、詳細な解析を行うことができる。

すなわち、本実施形態の情報処理システム１は、解析装置４０による通信パケットの詳細な解析を行いながら、機器１０（送信元）から機器１０（送信先）への通信においては、1回の暗号化処理と１回の復号処理の実行で済むため、暗号化処理２回、復号処理２回が必要であった従来の情報処理システムと比較して通信遅延を低減させることができる。

したがって、本実施形態の通信装置２０は、暗号化通信処理による通信遅延を低減した、通信パケット送信機能を実現することができる。

また、解析装置４０による不正な通信の有無の判断結果（通信パケットの解析結果）を制御装置３０が受信して表示装置５０に表示させることで、情報処理システム１を運用するオペレータに不正な通信の有無を通知することができる。

不正な通信を認識したオペレータは、図示しない機器１０（送信元）の制御サーバを操作することで、不正な通信の送信を遮断することができる。また、オペレータは、機器１０（送信先）の制御サーバを操作することで、不正な通信の受信を遮断することができる。

なお、本発明は第１の実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、実施形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。

－－－（第１の実施形態の変形例）－－－
第１の実施形態において、通信装置２０－２（送信先）の平文通信生成部２２２が通信パケットの復号に失敗した場合、その通信パケットを破棄するとする。

機器１０－１（送信元）から機器１０－２（送信先）への通信において、不正な通信が発見された場合、オペレータの判断により、通信装置２０（送信元）と、通信装置２０（送信先）とで共有するグループ鍵を更新してもよい。これにより、通信装置２０－１（送信元）から通信装置２０－２（送信先）への通信パケットを通信装置２０－２（送信先）の平文通信生成部２２２が復号できなくなる。したがって、平文通信生成部２２２は、通信パケットの復号に失敗した場合、通信を破棄するように設定されているため、通信装置２０（送信元）から通信装置２０（送信先）への通信を遮断することができる。

これにより、通信装置２０（送信先）に新たな機能を追加することなく、鍵更新処理を実行することにより、不正な通信を遮断することができる。

（第２の実施形態）
－－－（第２の実施形態の概要と構成の説明）－－－
図８は、第２の実施形態に係る情報処理システム１Ｂの構成の一例を示す模式図である。第２の実施形態では、第１の実施形態と同様の構成要素には、第１の実施形態と同一の符号を付して詳細な説明を省略する。

図８に示すように、第２の実施形態に係る情報処理システム１Ｂでは、第１の実施形態の制御装置３０に代えて、制御装置３０１を備えることと、第１の実施形態の複数の通信装置２０に代えて複数の通信装置２１（通信装置２１－１、通信装置２１－２、通信装置２１－３、通信装置２１－４）を備えることが第１の実施形態と異なる。

各通信装置２１には、対応した機器１０（機器１０－１、機器１０－２、機器１０－３、機器１０－４）が接続されている。

以下では、説明のため、機器１０－１（１０）が送信元で、機器１０－２（１０）が送信先である場合を考える。この場合、通信装置２１－１（２１）が送信元の通信装置２１となり、通信装置２１－２（２１）が送信先の通信装置となる。

図９は、第２の実施形態に係る情報処理システム１Ｂの機能ブロック図である。

通信装置２１－１（送信元）は、第１の実施形態に係る通信装置２０－１（送信元）の簡易通信解析部２１２に代えて簡易通信解析部２１２ｂを備えることと、簡易解析ルール記憶部２１９に代えて、解析ルール記憶部２１９ｂを備えることと、新たに解析ルール受信部２１８を備えることが第１の実施形態に係る通信装置２０－１（送信元）とは異なる。

解析ルール受信部２１８は、後述する制御装置３０１の設定部３７から解析ルールを受信し、受信した解析ルールを解析ルール記憶部２１９ｂに出力する。このプロセスにより、解析ルール記憶部２１９ｂが記憶する解析ルールの更新が可能となる。

解析ルール記憶部２１９ｂが記憶する解析ルールは、ホワイトリスト情報と、不正通信パケット情報と、を含む。その他の点については、解析ルール記憶部２１９と同様である。

ここで、不正通信パケット情報とは、通信パケットの不正が疑われることを判断するための情報である。不正通信パケット情報は、例えば、以前に解析装置４０により不正な通信と判断された通信パケットに含まれる情報である。例えば、以前に解析装置４０により不正な通信と判断された通信パケットのペイロードに含まれるバイナリ列である。

簡易通信解析部２１２ｂは、解析ルール記憶部２１９ｂから解析ルールを取得し、簡易通信解析対象の通信パケットに含まれる情報が、ホワイトリスト情報の一つに含まれるか否かを判断する。

簡易通信解析部２１２ｂは、通信パケットに含まれる情報がホワイトリスト情報に含まれないと判断した場合、通信パケットを破棄する。

通信パケットに含まれる情報が、ホワイトリスト情報の一つに含まれる場合、簡易通信解析部２１２ｂは、さらに通信パケットに含まれる情報が不正通信パケット情報に含まれる情報の一つであるか否かの判断を行う。

通信パケットに含まれる情報が不正通信パケット情報に含まれる情報の一つである場合、簡易通信解析部２１２ｂは、通信パケットに含まれる情報は不正通信パケット情報に含まれると判断する。すなわち、通信パケットは不正である疑いがある。

また、通信パケットに含まれる情報が不正通信パケット情報に含まれない場合、簡易通信解析部２１２ｂは、通信パケットに含まれる情報は、不正通信パケット情報に含まれないと判断する。すなわち、通信パケットは不正である疑いがない。

簡易通信解析部２１２ｂは、通信パケットと判断結果を送信先決定部２１３に出力する。

送信先決定部２１３は、判断結果「不正通信パケット情報に含まれる（不正である疑いがある）」を取得した場合、制御装置３０１と通信装置２１－２（送信先）を通信パケットの送信先と決定し、対応する識別子を選択する。

また、送信先決定部２１３は、判断結果「不正通信パケット情報に含まれない（不正である疑いがない）」を取得した場合、通信装置２１－２（送信先）を通信パケットの送信先と決定し、対応する識別子を選択する。

制御装置３０１は、新たに設定部３７を備えることが第１の実施形態に係る制御装置３０とは異なる。設定部３７は、外部からのオペレータの入力により解析ルールの入力を受付け、さらに解析ルール受信部２１８に解析ルールを送信する。このプロセスにより、解析ルール記憶部２１９ｂが記憶する解析ルールを変更することができる。

－－－第２の実施形態に係る情報処理システムの処理手順の説明－－－
次に、第２の実施形態に係る情報処理システムの処理手順の説明を行う。
図１０は、第２の実施形態に係る通信装置２１－１（送信元）が実行する処理の一例を示すフローチャートである。ステップＳ１０１乃至ステップＳ１０３とステップＳ１０６乃至ステップＳ１１０については、第１の実施形態と同様であるので、詳細な説明を省略する。

簡易通信解析部２１２ｂは、ステップＳ１０３において、対象の通信パケットに含まれる情報が、ホワイトリスト情報の一つに含まれるか否かを判断する。

通信パケットに含まれる情報がホワイトリスト情報に含まれない場合（ステップＳ１０３：Ｎｏ）、簡易通信解析部２１２ｂは、通信パケットを破棄する（ステップＳ５０４）。そして処理を終了する。

ステップＳ１０３において、通信パケットに含まれる情報が、ホワイトリスト情報の一つに含まれる場合、ステップＳ５０１に移行する。ステップＳ５０１では、通信パケットに含まれる情報が不正通信パケット情報に含まれる情報の一つであるか否かの判断を行う。

通信パケットに含まれる情報が不正通信パケット情報の一つと一致する場合、簡易通信解析部２１２ｂは通信パケットに含まれる情報が不正通信パケット情報に含まれる（不正な通信パケットの疑いがある）と判断し、送信先決定部２１３に通信パケットと判断結果「不正通信パケット情報に含まれる（さらなる解析が必要）」を送信する。そして、ステップＳ５０２に移行する。

ステップＳ５０２では、送信先決定部２１３が制御装置３０１と通信装置２１－２（送信先）を送信先として決定する。

ステップＳ５０１で、通信パケットに含まれる情報が不正通信パケット情報と一致しない場合、通信パケットに含まれる情報が不正通信パケット情報に含まれない（不正な通信パケットの疑いがない）と判断し、送信先決定部２１３に通信パケットと判断結果「不正通信パケット情報に含まれない（さらなる解析は不要）」を送信する。

そして、ステップＳ５０３に移行する。ステップＳ５０３では、送信先決定部２１３が通信装置２１－２（送信先）を送信先として決定する。

ステップＳ１０６乃至ステップＳ１１０については、第１の実施形態に係る通信装置２０－１と同様である。

次に解析ルール記憶部２１９ｂが記憶する解析ルールの変更手順について説明する。

図１１は、オペレータによる解析ルール記憶部２１９ｂが記憶する解析ルールの変更手順を示すフローチャートである。

オペレータは、解析ルールを設定部３７に入力する（ステップＳ６０１）。解析ルールのうち、ホワイトリスト情報としては、不正な通信と判断された通信装置２１－１（送信元）と通信装置２１－２（送信先）のＩＰアドレスなどである。解析ルールのうち、不正通信パケット情報としては、不正な通信と判断した際の、解析対象の通信パケットのペイロードに含まれるバイナリ列などである。

設定部３７は、解析ルールを解析ルール受信部２１８に送信する（ステップＳ６０２）。

通信装置２１－１（送信元）の解析ルール受信部２１８は、設定部３７から解析ルールを受信し、解析ルール記憶部２１９ｂに出力する（ステップＳ６０３）。

解析ルール記憶部２１９ｂは、解析ルール受信部２１８から取得した解析ルールを記憶する（ステップＳ６０４）。そして、処理は終了となる。この処理により、解析ルール記憶部２１９ｂは、新たな解析ルールを記憶することになる。

解析ルールの変更後、図１０のステップＳ１０３の判断において、簡易通信解析部２１２ｂは、新たなホワイトリスト情報を用いる。例えば、以前通信装置２１－２（送信先）への通信が不正であると解析装置４０が判断していた場合、オペレータにより、通信装置２１－２（送信先）のＩＰアドレスなどがホワイトリスト情報から削除されているとする。

この場合、解析ルール変更後のステップＳ１０３において、通信パケットの送信先が通信装置２１－２（送信先）であった場合に、通信装置２１－２（送信先）がホワイトリストに含まれないため通信パケットが破棄される。これにより、不正な通信を遮断することができる。

また、図１０のステップＳ５０１における簡易通信解析部２１２ｂによる判断において、簡易通信解析部２１２ｂは、新たな不正通信パケット情報を用いるため、解析装置４０で不正な通信と判断された通信パケットと同一のバイナリ列をペイロード中に含む通信パケットについては不正な通信パケットの疑いがあることになり、通信装置２１－２（送信先）と制御装置３０１に送信される。

したがって、通信パケットに不正の疑いがある場合、制御装置３０１に対しても通信パケットを送信することで通信パケットの詳細な解析を行うことができる。

－－－第２の実施形態の効果－－－
第２の実施形態に係る通信装置２１－１（送信元）は、オペレータの入力した解析ルールを、制御装置３０１を介して解析ルール記憶部２１９ｂに記憶する。簡易通信解析部２１２ｂは、通信パケットに含まれる情報がホワイトリスト情報に含まれない場合、通信を破棄する。このため、以前不正と判断された通信パケットの通信ヘッダ情報などをホワイトリスト情報から削除することで、不正な通信を遮断することができる。

また、通信装置２１－１（送信元）は、不正通信パケット情報を用いた簡易通信解析部２１２の判断により、不正な疑いのある通信パケットを、暗号化通信生成部２１４でグループ鍵を用いて暗号化し、暗号化通信送信部２１５で制御装置３０１と通信装置２１－２（送信先）の２つの送信先に送信する。

このため、通信装置２１－２（送信先）は、第１の実施形態の通信装置２０－２（送信先）と同様に、解析装置４０による解析のための制御装置３０１が行う復号処理と解析装置４０による解析を待たずに通信装置２１－１（送信元）から暗号化された通信パケットを取得することができると共に制御装置３０１は、解析の必要性が高い通信パケットの解析を解析装置４０に依頼することができる。

したがって、本実施形態の通信装置２１は、暗号化通信処理による通信遅延を低減した、通信パケット送信機能を実現することができる。

－－－（第２の実施形態の変形例）－－－
第２の実施形態において、制御装置３０１は、通信装置２１について、接続されている機器１０の種類に応じて、予めグループ化しておく。例えば、機器１０－１と機器１０－３が共にＰＣである場合、機器１０－１と機器１０－３は、同種であるとして、機器１０－１と機器１０－３と接続されている通信装置２１－１と通信装置２１－３をグループ１としてグループ化しておく。

機器１０－１（送信元）から機器１０－２（送信先）への通信を考えた場合、機器１０－１が例えば、マルウエアＡに感染することで、機器１０－１（送信元）から不正な通信が行われていると仮定する。この場合、機器１０－３は、機器１０－１と同種類のため、機器１０－１が感染したマルウエアＡに感染する可能性がある。

オペレータは、機器１０－１（送信元）から機器１０－２（送信先）への通信において、不正な通信を表示装置５０の表示により認識すると、通信装置２１－１（送信元）のホワイトリストを変更するだけでなく、通信装置２１－３のホワイトリストの設定についても変更しておく。これにより、機器１０－１と同種類のためマルウエアＡに感染する可能性がある機器１０－３からの通信も予め遮断することができ、他の機器１０へのマルウエア感染を防止することができる。

（第３の実施形態）
図１２は、第３の実施形態に係る情報処理システム１Ｃである。第３の実施形態では、第１の実施形態と同様の構成要素には、同一の符号を付して詳細な説明を省略する。

図１２に示すように、情報処理システム１Ｃは、複数の通信装置２２（通信装置２２－１、通信装置２２－２、通信装置２２－３、通信装置２２－４）、複数の制御装置３０（制御装置３０－１、制御装置３０－２）、複数の解析装置４０（解析装置４０－１、解析装置４０－２）および表示装置５０を備える。

各通信装置２２には、対応した機器１０（機器１０－１、機器１０－２、機器１０－３、機器１０－４）が接続されている。

情報処理システム１Ｃは、第１の実施形態に係る情報処理システム１とは、通信装置２２と、複数の制御装置３０－１、３０－２を備える点と、複数の解析装置４０－１、４０－２を備える点が異なる。制御装置３０と解析装置４０の組は、２つ以上であればよい。

以下では、通信装置２２－１（送信元）から通信装置２２－２（送信先）への通信を考える。

図１３は、第３の実施形態に係る通信装置２２－１（送信元）の機能ブロック図である。図１３に示すように、通信装置２２－１（送信元）は、通信装置２０－１（送信元）とは、送信先決定部２１３に代えて２１３ｃを備えている点が異なる。

送信先決定部２１３ｃは、通信パケットの解析が必要である場合に、複数の制御装置３０－１、３０－２の中からいずれか一方を送信先として決定する。

一例として、通信装置２２（送信元）の送信先決定部２１３ｃは、複数の制御装置３０のそれぞれ（制御装置３０－１、３０－２）に異なる番号を振り、通信パケットの到着順に沿って、小さい番号のものから順に送信先と決定（ラウンドロビン方式）してもよい。

また、別の一例として、送信先決定部２１３ｃは、複数の制御装置３０－１、３０－２に対して異なる番号を振り、通信パケットのハッシュ値の制御装置の台数での剰余値に基づき、制御装置３０－１、３０－２のいずれかに送信することを決定してもよい。

通信パケットを受信した制御装置３０－１、３０－２のうち一方は、自装置に接続されている解析装置４０－１、４０－２のうち一方に通信パケットの解析（不正な通信の有無の判断）を依頼する。一例として、制御装置３０－１が通信パケットを受信した場合、制御装置３０－１が解析装置４０－１に解析を依頼する。

第３の実施形態の情報処理システム１Ｃによれば、複数の解析装置４０－１、４０－２に対し、分散させて処理を実行させることができる。制御装置３０－１、３０－２は、効率的に通信パケットの解析結果（不正な通信の有無の判断結果）を取得し、表示装置５０を介してオペレータに解析結果を通知することができる。

－－－（第３の実施形態の変形例）－－－
図１４は、第３の実施形態の変形例に係る情報処理システム１Ｄの模式図である。情報処理システム１Ｄは、複数の制御装置３０－１、３０－２、複数の解析装置４１１、４１２、複数の通信装置２３（通信装置２３－１、通信装置２３－２、通信装置２３－３、通信装置２３－４）、を備える。図１４に示すように、制御装置３０－１には、解析装置４１１が接続されており、制御装置３０－２には、解析装置４１２が接続されている。

解析装置４１１は、ＨＴＴＰ（ＨｙｐｅｒＴｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）やＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ）といった情報系のプロトコルの解析に適している。また、解析装置４１２は、Ｍｏｄｂｕｓといった制御系のプロトコルの解析に適している。

解析装置４１１、４１２は、情報系のプロトコルの通信パケットに適しているか、制御系のプロトコルの通信パケットの解析に適しているかの違いがある。また、解析装置４１１、４１２の各機能部については、第１の実施形態で説明した解析装置４０と同様であり、解析装置４０の機能を備えている。

図１５は、第３の実施形態の変形例に係る通信装置２３－１（送信元）の機能ブロック図である。図１５に示すように、通信装置２３－１（送信元）は、図２の簡易通信解析部２１２に代えて簡易通信解析部２１２ｄを備える点と図１３の送信先決定部２１３ｃに代えて送信先決定部２１３ｄを備える点が通信装置２２－１（送信元）と異なる。その他の機能については、通信装置２２－１（送信元）と同様である。

簡易通信解析部２１２ｄは、簡易通信解析部２１２ｃの機能に加え、通信パケットが使用している通信プロトコルの種別を解析し、通信パケットが情報系のプロトコルであるか制御系のプロトコルであるかを判定する。

送信先決定部２１３ｄは、通信プロトコルの種別に応じて送信する制御装置３０－１、３０－２のいずれかに決定する。

一例として、簡易通信解析部２１２ｄにて、通信パケットの送信先ポート番号を元に、解析装置４１１、解析装置４１２それぞれについて、事前に作成されたリスト（送信先ポート番号とプロトコルの種別の組のリスト）を用いて、通信パケットが解析装置４１１の解析に適している（情報系のプロトコルである）か、解析装置４１２の解析に適している（制御系のプロトコルである）か、を判定し、送信先決定部２１３ｃにて、情報系のプロトコルであれば、制御装置３０－１を送信先として含め、制御系のプロトコルであれば、制御装置３０－２を送信先として含める、という決定を行う。

第３の実施形態の変形例の情報処理システム１Ｄは、第３の実施形態の情報処理システム１Ｃの効果に加え、情報系のプロトコルの解析に適した解析装置４１１と接続されている制御装置３０－１または、制御系のプロトコルの解析に適した解析装置４１２と接続されている制御装置３０－２のどちらか一方を送信先として決定する。

すなわち、通信パケットが使用している通信プロトコルが情報系のプロトコルである場合、情報系のプロトコルの通信パケットの解析に長けている解析装置４１１が解析を行うことができる。また、同様に、通信パケットが使用している通信プロトコルが制御系のプロトコルである場合、制御系のプロトコルの通信パケットの解析に長けている解析装置４１２が解析を行うことができる。

したがって、情報処理システム１Ｄは、第３の実施形態に係る情報処理システム１Ｃの効果に加え、通信パケットの使用している通信プロトコルごとに適した解析装置で通信パケットの解析を行うことができるため、高精度に通信パケットの解析を行うことができる。

（第４の実施形態）
図１６は、第４の実施形態に係る情報処理システム１Ｅの模式図である。第４の実施形態では、第１の実施形態と同様の構成要素には同一の符号を付して詳細な説明を省略する。

図１６に示すように、第４の実施形態に係る情報処理システム１Ｅは、複数の通信装置２０（通信装置２０－１、通信装置２０－２、通信装置２０－３、通信装置２０－４）、制御装置３０５、複数の解析装置４０（解析装置４０－１、解析装置４０－２）および表示装置５０を備える。

第４の実施形態では、制御装置３０５に対して、解析装置４０－１（４０）と解析装置４０－２（４０）の２つの解析装置４０が接続されている。

なお、図１６では、解析装置４０の個数は２つであるが、２つ以上であればよい。以下では、通信装置２０－１（送信元）から通信装置２０－２（送信先）への通信を考える。

図１７は、第４の実施形態に係る制御装置３０５の機能ブロック図である。図１７に示すように、制御装置３０５は、第１の実施形態の制御装置３０とは、平文通信解析依頼部３３に代えて平文通信解析依頼部３３ｅを備えている点が異なる。

同一の解析処理を行う解析装置４０が複数ある場合、平文通信解析依頼部３３ｅは、通信パケットの送信対象である解析装置４０を管理する。平文通信解析依頼部３３ｅは、一例として、解析装置４０－１と解析装置４０－２とに異なる番号を振り、通信パケットの到着順に沿って、小さい番号のものから順に送信（ラウンドロビン方式）してもよい。

また、別の一例として、平文通信解析依頼部３３ｅは、解析装置４０－１と解析装置４０－２とに異なる番号を振り、通信パケットのハッシュ値の解析装置４０の台数（この例の場合２）での剰余値を元に、送信する解析装置４０を決定してもよい。

第４の実施形態に係る情報処理システム１Ｅは、第３の実施形態に係る情報処理システム１Ｃと同様に、複数の解析装置４０に対し、分散させて解析処理を実行させることで、制御装置３０１は、効率的に通信パケットの解析結果（不正な通信の有無の判断結果）を取得することができる。

また、第３の実施形態では、複数の制御装置３０が必要であったが、第４の実施形態では、少なくとも一台の制御装置３０５を備えていれば、解析装置４０の解析処理の分散を行うことができる。

－－－（ハードウエア構成の説明）－－－
図１８は、第１の実施形態における通信装置２０制御装置３０および解析装置４０のハードウエア構成の一例を示す図である。なお、第２～第４の実施形態における通信装置、制御装置、解析装置についても同様の構成であり、詳細な説明を省略する。

図１８に示すように、通信装置２０、制御装置３０、解析装置４０のそれぞれは、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）７１と、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）７２や、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）７３や、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）７５などの記憶装置と、各種機器との通信を行う通信Ｉ／Ｆ部７４と、各部を接続するバス７９と、を備えており通常のコンピュータを利用したハードウエア構成となっている。

上記実施形態および変形例の通信装置２０、制御装置３０、解析装置４０は、ＣＰＵ７１がＲＯＭ７２からプログラムをＲＡＭ７３上に読みだして実行することにより、上述した各機能がコンピュータ上で実現される。

なお、上記各処理を実行するためのプログラムは、ＨＤＤ７５に記憶されてもよい。また、上記各処理を実行するためのプログラムは、ＲＯＭ７２に予め組み込まれていてもよい。また、上記各処理を実行するためのプログラムは、インストール可能な形式または実行可能な形式のファイルでＣＤ－ＲＯＭ（Ｃｏｍｐａｃｔ Ｄｉｓｋ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＣＤ－Ｒ（Ｃｏｍｐａｃｔ Ｄｉｓｋ Ｒｅｃｏｒｄａｂｌｅ）、メモリーカード、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ）、フレキシブルディスクなどのコンピュータで読み取り可能な記憶媒体に記憶されてコンピュータプログラムプロダクトとして提供されるようにしてもよい。

また、上記各処理を実行するためのプログラムをインターネットなどのネットワークに接続されたコンピュータ上に格納し、ネットワーク経由でダウンロードすることにより提供するようにしてもよい。また、上記各処理を実行するためのプログラムをインターネットなどのネットワーク経由で提供または配布するようにしてもよい。

なお、第２の実施形態に係る制御装置３０１は、上記のハードウエア構成に加え、オペレータから解析ルールの入力を受けつけるための、キーボードやマウスなどの入力部や、入力画面を表示するためのディスプレイなどの表示部を備えていてもよい。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

１・・・第１の実施形態に係る情報処理システム
１Ｂ・・・第２の実施形態に係る情報処理システム
１Ｃ・・・第３の実施形態に係る情報処理システム
１Ｄ・・・第３の実施形態の変形例に係る情報処理システム
１Ｅ・・・第４の実施形態に係る情報処理システム
１０・・・機器
２０・・・第１の実施形態に係る通信装置
２１・・・第２の実施形態に係る通信装置
２２・・・第３の実施形態に係る通信装置
２３・・・第３の実施形態の変形例に係る通信装置
３０・・・第１の実施形態に係る制御装置
３１・・・暗号化通信受信部
３２・・・平文通信生成部
３３・・・第１の実施形態に係る平文通信解析依頼部
３３ｅ・・・第４の実施形態に係る平文通信解析依頼部
３４・・・解析結果通知部
３５・・・グループ鍵共有部
３６・・・暗号化通信情報記憶部
３７・・・設定部
４０・・・解析装置
４１・・・平文通信受信部
４２・・・平文通信解析部
４３・・・解析結果送信部
５０・・・表示装置
７１・・・ＣＰＵ
７２・・・ＲＯＭ
７３・・・ＲＡＭ
７４・・・通信Ｉ／Ｆ部
７５・・・ＨＤＤ
７９・・・バス
２１１・・・平文通信受信部
２１２・・・簡易通信解析部
２１２ｂ・・・第２の実施形態に係る簡易通信解析部
２１２ｄ・・・第３の実施形態の変形例に係る簡易通信解析部
２１３・・・送信先決定部
２１３ｃ・・・第３の実施形態に係る送信先決定部
２１３ｄ・・・第３の実施形態の変形例に係る送信先決定部
２１４・・・暗号化通信生成部
２１５・・・暗号化通信送信部
２１６・・・グループ鍵共有部
２１７・・・暗号化通信情報記憶部
２１８・・・解析ルール受信部
２１９・・・解析ルール記憶部
２１９ｂ・・・第２の実施形態に係る解析ルール記憶部
２２１・・・暗号化通信受信部
２２２・・・平文通信生成部
２２３・・・平文通信送信部
２２４・・・グループ鍵共有部
２２５・・・暗号化通信情報記憶部
２３１・・・送信先識別子記憶部
３０１・・・第２の実施形態に係る制御装置
３０５・・・第４の実施形態に係る制御装置
４１１・・・第３の実施形態の変形例に係る解析装置
４１２・・・第３の実施形態の変形例に係る解析装置

Claims (12)

1. 制御装置および送信先通信装置に接続可能な通信装置であって、
   通信パケットの正常性を判断するための第１情報を記憶する記憶部と、
   受信した通信パケットと前記第１情報に基づき、前記通信パケットの正常性を判断する解析部と、
   前記解析部によって前記通信パケットが正常ではないと判断された場合、前記送信先通信装置と前記制御装置を前記通信パケットの送信先と決定する送信先決定部と、
   前記送信先決定部によって決定された前記送信先に送信する前記通信パケットを暗号化する生成部と、
   を備える通信装置。
2. 前記第１情報は、通信を許可する通信パケットのパケット情報である、
   請求項１に記載の通信装置。
3. 前記解析部は、前記通信パケットのパケット情報と前記第１情報のパケット情報と比較して一致しない場合は、前記通信パケットは正常でないと判断する、
   請求項２に記載の通信装置。
4. 前記記憶部は、さらに、前記制御装置と、前記送信先通信装置と、の間で共有するグループ鍵を記憶し、
   前記生成部は、前記グループ鍵を用いて暗号化を行う、
   請求項１乃至３のいずれか一項に記載の通信装置。
5. 前記通信装置は、前記制御装置を含む複数の制御装置と接続可能であり、さらに前記複数の制御装置のそれぞれは解析装置と接続可能であって、
   前記送信先決定部は、前記複数の制御装置の中からいずれかの制御装置を前記通信パケットの送信先として決定する、
   請求項１乃至４のいずれか一項に記載の通信装置。
6. 前記送信先決定部は、通信プロトコルの種別が制御系プロトコルである場合、前記制御系プロトコルの解析に適した解析装置と接続されている制御装置を送信先として決定し、前記通信プロトコルの種別が情報系プロトコルである場合、前記情報系プロトコルの解析に適した解析装置と接続されている制御装置を送信先として決定する、
   請求項５に記載の通信装置。
7. 制御装置および送信先通信装置に接続可能な通信装置であって、
   通信パケットの正常性を判断するための第１情報を記憶する記憶部と、
   受信した前記通信パケットと前記第１情報に基づき、前記通信パケットの正常性を判断し、前記通信パケットが正常でないと判断した場合、前記通信パケットを破棄する解析部と、
   を備え、
   前記記憶部は、通信パケットの不正の疑いを判断するための第２情報をさらに記憶し、
   前記解析部は、前記通信パケットが正常であると判断した場合、前記通信パケットと前記第２情報に基づき、前記通信パケットに不正の疑いがあるか否かを判断し、
   前記解析部によって前記通信パケットに不正の疑いがあると判断された場合、前記送信先通信装置と前記制御装置を前記通信パケットの送信先と決定する送信先決定部と、
   前記送信先決定部によって決定された前記送信先に送信する前記通信パケットを暗号化する生成部と、
   さらに備える通信装置。
8. 制御装置および送信先通信装置に接続可能な通信装置の通信方法であって、
   通信パケットの正常性を判断するための第１情報を記憶する記憶ステップと、
   受信した通信パケットと前記第１情報に基づき、前記通信パケットの正常性を判断する解析ステップと、
   前記解析ステップによって前記通信パケットが正常ではないと判断された場合、前記送信先通信装置と前記制御装置を前記通信パケットの送信先と決定する送信先決定ステップと、
   前記送信先決定ステップによって決定された前記送信先に送信する前記通信パケットを暗号化する生成ステップと、
   を含む通信方法。
9. 制御装置と通信装置を備える情報処理システムであり、前記通信装置は、前記制御装置と送信先通信装置とに接続可能であって、
   前記通信装置は、
   通信パケットの正常性を判断する第１情報を記憶する記憶部と、
   受信した通信パケットと前記第１情報に基づき、前記通信パケットの正常性を判断する解析部と、
   前記解析部によって前記通信パケットが正常ではないと判断された場合、前記送信先通信装置と前記制御装置を前記通信パケットの送信先と決定する送信先決定部と、
   前記送信先決定部によって決定された前記送信先に送信する前記通信パケットを暗号化する生成部と、
   前記生成部によって暗号化された前記通信パケットを前記送信先に送信する送信部と、
   を有し、
   前記制御装置は、
   前記送信部によって送信された前記通信パケットを受信する暗号化通信受信部と、
   前記暗号化通信受信部によって受信した前記通信パケットを復号する平文通信生成部と、
   を有する、
   情報処理システム。
10. 制御装置および送信先通信装置に接続可能な通信装置のコンピュータを、
    通信パケットの正常性を判断するための第１情報を記憶する記憶手段と、
    受信した通信パケットと前記第１情報に基づき、前記通信パケットの正常性を判断する解析手段と、
    前記解析手段によって前記通信パケットが正常ではないと判断された場合、前記送信先通信装置と前記制御装置を前記通信パケットの送信先と決定する送信先決定手段と、
    前記送信先決定手段によって決定された前記送信先に送信する前記通信パケットを暗号化する生成手段と、
    して機能させるためのプログラム。
11. 制御装置および送信先通信装置に接続可能な通信装置のコンピュータを、
    通信パケットの正常性を判断するための第１情報を記憶する記憶手段と、
    受信した前記通信パケットと前記第１情報に基づき、前記通信パケットの正常性を判断し、前記通信パケットが正常でないと判断した場合、前記通信パケットを破棄する解析手段と、
    して機能させ、
    前記記憶手段は、通信パケットの不正の疑いを判断するための第２情報をさらに記憶し、
    前記解析手段は、前記通信パケットが正常であると判断した場合、前記通信パケットと前記第２情報に基づき、前記通信パケットに不正の疑いがあるか否かを判断し、
    前記解析手段によって前記通信パケットに不正の疑いがあると判断された場合、前記送信先通信装置と前記制御装置を前記通信パケットの送信先と決定する送信先決定手段と、
    前記送信先決定手段によって決定された前記送信先に送信する前記通信パケットを暗号化する生成手段と、
    してさらに機能させるためのプログラム。
12. 制御装置および送信先通信装置に接続可能な通信装置の通信方法であって、
    通信パケットの正常性を判断するための第１情報を記憶する記憶ステップと、
    受信した前記通信パケットと前記第１情報に基づき、前記通信パケットの正常性を判断し、前記通信パケットが正常でないと判断した場合、前記通信パケットを破棄する解析ステップと、
    を含み、
    前記記憶ステップは、通信パケットの不正の疑いを判断するための第２情報をさらに記憶し、
    前記解析ステップは、前記通信パケットが正常であると判断した場合、前記通信パケットと前記第２情報に基づき、前記通信パケットに不正の疑いがあるか否かを判断し、
    前記解析ステップによって前記通信パケットに不正の疑いがあると判断された場合、前記送信先通信装置と前記制御装置を前記通信パケットの送信先と決定する送信先決定ステップと、
    前記送信先決定ステップによって決定された前記送信先に送信する前記通信パケットを暗号化する生成ステップと、
    をさらに含む通信方法。

Images