JP7325695B1 - データ処理装置、データ処理方法及びデータ処理プログラム - Google Patents
データ処理装置、データ処理方法及びデータ処理プログラム Download PDFInfo
- Publication number
- JP7325695B1 JP7325695B1 JP2023529876A JP2023529876A JP7325695B1 JP 7325695 B1 JP7325695 B1 JP 7325695B1 JP 2023529876 A JP2023529876 A JP 2023529876A JP 2023529876 A JP2023529876 A JP 2023529876A JP 7325695 B1 JP7325695 B1 JP 7325695B1
- Authority
- JP
- Japan
- Prior art keywords
- phase
- learning
- attack detection
- communication data
- learning phase
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
- 238000003672 processing method Methods 0.000 title claims description 3
- PWPJGUXAGUPAHP-UHFFFAOYSA-N lufenuron Chemical compound C1=C(Cl)C(OC(F)(F)C(C(F)(F)F)F)=CC(Cl)=C1NC(=O)NC(=O)C1=C(F)C=CC=C1F PWPJGUXAGUPAHP-UHFFFAOYSA-N 0.000 title 1
- 238000001514 detection method Methods 0.000 claims abstract description 264
- 238000004891 communication Methods 0.000 claims abstract description 229
- 238000000034 method Methods 0.000 claims description 162
- 238000013499 data model Methods 0.000 claims 1
- 238000007405 data analysis Methods 0.000 description 29
- 239000000284 extract Substances 0.000 description 16
- 238000010586 diagram Methods 0.000 description 11
- 230000006870 function Effects 0.000 description 8
- 238000010801 machine learning Methods 0.000 description 6
- 238000013528 artificial neural network Methods 0.000 description 3
- 238000012706 support-vector machine Methods 0.000 description 3
- 230000002159 abnormal effect Effects 0.000 description 2
- 238000003491 array Methods 0.000 description 2
- 230000000694 effects Effects 0.000 description 2
- 230000005856 abnormality Effects 0.000 description 1
- 238000004458 analytical method Methods 0.000 description 1
- 238000005516 engineering process Methods 0.000 description 1
- 238000012423 maintenance Methods 0.000 description 1
- 230000003287 optical effect Effects 0.000 description 1
Images
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/55—Detecting local intrusion or implementing counter-measures
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Software Systems (AREA)
- Theoretical Computer Science (AREA)
- Computer Hardware Design (AREA)
- Physics & Mathematics (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
通信部（２０３）は、監視対象システムで通信される、監視対象システムの動作状態を推定可能なパラメータ値が含まれる通信データを、学習フェーズにおいて、学習フェーズ通信データとして取得する。状態入力部（２０４）は、学習フェーズにおいて、監視対象システムの動作状態である学習フェーズ動作状態を示す学習フェーズ動作状態値を取得する。学習部（２１０）は、学習フェーズにおいて、学習フェーズ通信データに含まれる学習フェーズパラメータ値と学習フェーズ動作状態値とを用いた学習を行い、攻撃検知フェーズにおいて監視対象システムで通信される通信データである攻撃検知フェーズ通信データに含まれる攻撃検知フェーズパラメータ値から監視対象システムの動作状態である攻撃検知フェーズ動作状態を推定するための学習モデル（２１５）を生成する。
Description
本開示は、監視対象システムへの攻撃を検知する技術に関する。
近年、情報システムがサイバー攻撃の標的になるケースが増加している。このようなサイバー攻撃を検知するための技術として、特許文献１の技術がある。
特許文献１の技術では、監視対象システムの動作状態を考慮して攻撃の検知が行われる。
特許文献１の技術では、監視対象システムの動作状態を考慮して攻撃の検知が行われる。
特許文献１の技術では、監視対象システムが現在いずれの動作状態であるかをユーザが入力する必要がある。
ユーザにとって監視対象システムがいずれの動作状態であるかを見極めることは困難である。このため、ユーザが監視対象システムの動作状態を誤って認識してしまうと、監視対象システムへの攻撃を正しく検知することができないという課題がある。
ユーザにとって監視対象システムがいずれの動作状態であるかを見極めることは困難である。このため、ユーザが監視対象システムの動作状態を誤って認識してしまうと、監視対象システムへの攻撃を正しく検知することができないという課題がある。
本開示は、上記のような課題を解決することを主な目的の一つとしている。より具体的には、本開示は、監視対象システムの動作状態を正しく推定できるようにして、監視対象システムへの攻撃を正しく検知できるようにすることを主な目的とする。
本開示に係るデータ処理装置は、
攻撃検知フェーズにおいて攻撃検知のために監視される監視対象システムで通信される、前記監視対象システムの動作状態を推定可能なパラメータ値が含まれる通信データを、前記攻撃検知フェーズに先立つ学習フェーズにおいて、学習フェーズ通信データとして取得する通信データ取得部と、
前記学習フェーズにおいて、前記学習フェーズ通信データの通信時の前記監視対象システムの動作状態である学習フェーズ動作状態を示す学習フェーズ動作状態値を取得する学習フェーズ動作状態値取得部と、
前記学習フェーズにおいて、前記学習フェーズ通信データに含まれるパラメータ値である学習フェーズパラメータ値と前記学習フェーズ動作状態値とを用いた学習を行い、前記攻撃検知フェーズにおいて前記監視対象システムで通信される通信データである攻撃検知フェーズ通信データに含まれるパラメータ値である攻撃検知フェーズパラメータ値から前記攻撃検知フェーズ通信データの通信時の前記監視対象システムの動作状態である攻撃検知フェーズ動作状態を推定するための状態推定モデルを生成するモデル生成部とを有する。
攻撃検知フェーズにおいて攻撃検知のために監視される監視対象システムで通信される、前記監視対象システムの動作状態を推定可能なパラメータ値が含まれる通信データを、前記攻撃検知フェーズに先立つ学習フェーズにおいて、学習フェーズ通信データとして取得する通信データ取得部と、
前記学習フェーズにおいて、前記学習フェーズ通信データの通信時の前記監視対象システムの動作状態である学習フェーズ動作状態を示す学習フェーズ動作状態値を取得する学習フェーズ動作状態値取得部と、
前記学習フェーズにおいて、前記学習フェーズ通信データに含まれるパラメータ値である学習フェーズパラメータ値と前記学習フェーズ動作状態値とを用いた学習を行い、前記攻撃検知フェーズにおいて前記監視対象システムで通信される通信データである攻撃検知フェーズ通信データに含まれるパラメータ値である攻撃検知フェーズパラメータ値から前記攻撃検知フェーズ通信データの通信時の前記監視対象システムの動作状態である攻撃検知フェーズ動作状態を推定するための状態推定モデルを生成するモデル生成部とを有する。
本開示によれば、監視対象システムの動作状態を正しく推定することができ、この結果、監視対象システムへの攻撃を正しく検知することができる。
以下、実施の形態を図を用いて説明する。以下の実施の形態の説明及び図面において、同一の符号を付したものは、同一の部分又は相当する部分を示す。
実施の形態１．
＊＊＊構成の説明＊＊＊
図１は、本実施の形態に係る全体構成を示す。
本実施の形態では、図１に示すように、侵入検知装置２００と被制御装置３００と制御装置４００とがネットワーク１００を介して接続されている。
＊＊＊構成の説明＊＊＊
図１は、本実施の形態に係る全体構成を示す。
本実施の形態では、図１に示すように、侵入検知装置２００と被制御装置３００と制御装置４００とがネットワーク１００を介して接続されている。
被制御装置３００と制御装置４００は、相互に通信データ（例えば、通信パケット）を通信する。
図１では、被制御装置３００と制御装置４００が１つずつ示されているが、被制御装置３００と制御装置４００がそれぞれ２つ以上存在してもよい。
被制御装置３００と制御装置４００は、侵入検知装置２００による監視の対象となる監視対象システム５００に相当する。被制御装置３００と制御装置４００とを区別する必要がない場合は被制御装置３００と制御装置４００とをまとめて監視対象システム５００と記す。
図１では、被制御装置３００と制御装置４００が１つずつ示されているが、被制御装置３００と制御装置４００がそれぞれ２つ以上存在してもよい。
被制御装置３００と制御装置４００は、侵入検知装置２００による監視の対象となる監視対象システム５００に相当する。被制御装置３００と制御装置４００とを区別する必要がない場合は被制御装置３００と制御装置４００とをまとめて監視対象システム５００と記す。
侵入検知装置２００は、攻撃検知のために監視対象システム５００を監視する。また、侵入検知装置２００は、監視対象システム５００の動作状態を推定するための機械学習（以下、単に学習ともいう）を行う。
侵入検知装置２００は、学習のため及び攻撃検知のために、被制御装置３００と制御装置４００との間で通信される通信データを取得する。
侵入検知装置２００は、例えば、ネットワーク１００上のスイッチングハブ（図示せず）のミラーポートに接続されている。
被制御装置３００と制御装置４００との間で通信される通信データには監視対象システム５００の動作状態を推定可能なパラメータ値が含まれる。
侵入検知装置２００は、データ処理装置に相当する。また、侵入検知装置２００の動作手順は、データ処理方法に相当する。また、侵入検知装置２００の動作を実現するプログラムは、データ処理プログラムに相当する。
侵入検知装置２００は、学習のため及び攻撃検知のために、被制御装置３００と制御装置４００との間で通信される通信データを取得する。
侵入検知装置２００は、例えば、ネットワーク１００上のスイッチングハブ（図示せず）のミラーポートに接続されている。
被制御装置３００と制御装置４００との間で通信される通信データには監視対象システム５００の動作状態を推定可能なパラメータ値が含まれる。
侵入検知装置２００は、データ処理装置に相当する。また、侵入検知装置２００の動作手順は、データ処理方法に相当する。また、侵入検知装置２００の動作を実現するプログラムは、データ処理プログラムに相当する。
侵入検知装置２００の構成例の詳細を説明する前に、侵入検知装置２００の動作の概要を説明する。
侵入検知装置２００の動作フェーズは、学習フェーズと攻撃検知フェーズとに大別される。
学習フェーズは、攻撃検知フェーズに先立って実施される。学習フェーズでは機械学習が行われる。攻撃検知フェーズでは機械学習の結果を用いて監視対象システム５００への攻撃の検知が行われる。
以下、学習フェーズと攻撃検知フェーズとにおける侵入検知装置２００の動作の概要を説明する。
侵入検知装置２００の動作フェーズは、学習フェーズと攻撃検知フェーズとに大別される。
学習フェーズは、攻撃検知フェーズに先立って実施される。学習フェーズでは機械学習が行われる。攻撃検知フェーズでは機械学習の結果を用いて監視対象システム５００への攻撃の検知が行われる。
以下、学習フェーズと攻撃検知フェーズとにおける侵入検知装置２００の動作の概要を説明する。
学習フェーズでは、侵入検知装置２００は、学習のために、被制御装置３００と制御装置４００との間で通信される通信データを取得する。なお、学習フェーズで侵入検知装置２００が取得する通信データは学習フェーズ通信データという。
また、侵入検知装置２００は、学習フェーズ通信データの通信時の監視対象システム５００の動作状態を示す値を侵入検知装置２００のユーザから取得する。学習フェーズ通信データの通信時の監視対象システム５００の動作状態は学習フェーズ動作状態という。また、学習フェーズ動作状態を示す値を学習フェーズ動作状態値という。
侵入検知装置２００は、学習フェーズ動作状態値として、例えば、停止、立ち上げ、運転、立ち下げ、保守等のうちのいずれかを示す値をユーザの入力により取得する。
また、侵入検知装置２００は、学習フェーズ通信データの通信時の監視対象システム５００の動作状態を示す値を侵入検知装置２００のユーザから取得する。学習フェーズ通信データの通信時の監視対象システム５００の動作状態は学習フェーズ動作状態という。また、学習フェーズ動作状態を示す値を学習フェーズ動作状態値という。
侵入検知装置２００は、学習フェーズ動作状態値として、例えば、停止、立ち上げ、運転、立ち下げ、保守等のうちのいずれかを示す値をユーザの入力により取得する。
また、侵入検知装置２００は、学習フェーズパラメータ値と学習フェーズ動作状態値とを用いた機械学習を行う。学習フェーズパラメータ値は学習フェーズ通信データに含まれるパラメータ値である。
そして、機械学習により、侵入検知装置２００は状態推定モデルである学習モデルを生成する。
学習モデルは、攻撃検知フェーズパラメータ値から攻撃検知フェーズ通信データの通信時の監視対象システム５００の動作状態を推定するためのモデルである。攻撃検知フェーズ通信データは攻撃検知フェーズにおいて監視対象システム５００で通信される通信データである。攻撃検知フェーズパラメータ値は攻撃検知フェーズ通信データに含まれるパラメータ値である。
なお、攻撃検知フェーズ通信データの通信時の監視対象システム５００の動作状態を攻撃検知フェーズ動作状態という。
そして、機械学習により、侵入検知装置２００は状態推定モデルである学習モデルを生成する。
学習モデルは、攻撃検知フェーズパラメータ値から攻撃検知フェーズ通信データの通信時の監視対象システム５００の動作状態を推定するためのモデルである。攻撃検知フェーズ通信データは攻撃検知フェーズにおいて監視対象システム５００で通信される通信データである。攻撃検知フェーズパラメータ値は攻撃検知フェーズ通信データに含まれるパラメータ値である。
なお、攻撃検知フェーズ通信データの通信時の監視対象システム５００の動作状態を攻撃検知フェーズ動作状態という。
また、学習フェーズでは、侵入検知装置２００は、攻撃検知フェーズにおいて監視対象システム５００への攻撃を検知するための検知ルールを生成する。
攻撃検知フェーズでは、侵入検知装置２００は、監視対象システム５００で通信される通信データ（攻撃検知フェーズ通信データ）を取得する。
また、侵入検知装置２００は、攻撃検知フェーズパラメータ値と学習モデルとを用いて攻撃検知フェーズ動作状態を推定する。
更に、侵入検知装置２００は、検知ルールと通信データ（攻撃検知フェーズ通信データ）とを用いて、監視対象システム５００への攻撃を検知する。
また、侵入検知装置２００は、攻撃検知フェーズパラメータ値と学習モデルとを用いて攻撃検知フェーズ動作状態を推定する。
更に、侵入検知装置２００は、検知ルールと通信データ（攻撃検知フェーズ通信データ）とを用いて、監視対象システム５００への攻撃を検知する。
次に、侵入検知装置２００の構成例を説明する。
図２は、侵入検知装置２００のハードウェア構成例を示す。図３は、侵入検知装置２００の機能構成例を示す。
先ず、図２を参照して、侵入検知装置２００のハードウェア構成例を説明する。
図２は、侵入検知装置２００のハードウェア構成例を示す。図３は、侵入検知装置２００の機能構成例を示す。
先ず、図２を参照して、侵入検知装置２００のハードウェア構成例を説明する。
侵入検知装置２００は、コンピュータである。
侵入検知装置２００は、ハードウェアとして、プロセッサ９０１、主記憶装置９０２、補助記憶装置９０３、通信装置９０４及び入出力装置９０５を備える。
また、侵入検知装置２００は、機能構成として、図３に示すように処理部２０１、記憶部２０２、通信部２０３、状態入力部２０４及び結果出力部２０５を備える。処理部２０１、通信部２０３、状態入力部２０４及び結果出力部２０５の機能は、例えば、プログラムにより実現される。
補助記憶装置９０３には、処理部２０１、通信部２０３、状態入力部２０４及び結果出力部２０５の機能を実現するプログラムが記憶されている。
これらプログラムは、補助記憶装置９０３から主記憶装置９０２にロードされる。そして、プロセッサ９０１がこれらプログラムを実行して、後述する処理部２０１、通信部２０３、状態入力部２０４及び結果出力部２０５の動作を行う。
図２は、プロセッサ９０１が処理部２０１、通信部２０３、状態入力部２０４及び結果出力部２０５の機能を実現するプログラムを実行している状態を模式的に表している。
図３に示す記憶部２０２は、例えば、主記憶装置９０２及び／又は補助記憶装置９０３により実現される。
入出力装置９０５は、マウス、キーボード、カメラ、ディスプレイ、スピーカ等である。
侵入検知装置２００は、ハードウェアとして、プロセッサ９０１、主記憶装置９０２、補助記憶装置９０３、通信装置９０４及び入出力装置９０５を備える。
また、侵入検知装置２００は、機能構成として、図３に示すように処理部２０１、記憶部２０２、通信部２０３、状態入力部２０４及び結果出力部２０５を備える。処理部２０１、通信部２０３、状態入力部２０４及び結果出力部２０５の機能は、例えば、プログラムにより実現される。
補助記憶装置９０３には、処理部２０１、通信部２０３、状態入力部２０４及び結果出力部２０５の機能を実現するプログラムが記憶されている。
これらプログラムは、補助記憶装置９０３から主記憶装置９０２にロードされる。そして、プロセッサ９０１がこれらプログラムを実行して、後述する処理部２０１、通信部２０３、状態入力部２０４及び結果出力部２０５の動作を行う。
図２は、プロセッサ９０１が処理部２０１、通信部２０３、状態入力部２０４及び結果出力部２０５の機能を実現するプログラムを実行している状態を模式的に表している。
図３に示す記憶部２０２は、例えば、主記憶装置９０２及び／又は補助記憶装置９０３により実現される。
入出力装置９０５は、マウス、キーボード、カメラ、ディスプレイ、スピーカ等である。
図３において、処理部２０１は、通信データ解析部２０７、プロセス値テーブル更新部２０８、通信データ検知部２０９、学習部２１０、検知ルール生成部２１１、状態推定部２１２及び攻撃検知部２１３で構成される。
通信データ解析部２０７、プロセス値テーブル更新部２０８、通信データ検知部２０９、学習部２１０、検知ルール生成部２１１、状態推定部２１２及び攻撃検知部２１３の各々の詳細は後述する。
通信データ解析部２０７、プロセス値テーブル更新部２０８、通信データ検知部２０９、学習部２１０、検知ルール生成部２１１、状態推定部２１２及び攻撃検知部２１３の各々の詳細は後述する。
記憶部２０２は、プロセス値テーブル２１４、学習モデル２１５及び検知ルール２１６を記憶する。
プロセス値テーブル２１４は、プロセス値を管理するためのテーブルである。プロセス値は、通信データに含まれるパラメータ値である。プロセス値は、監視対象システム５００の動作状態を推定可能なパラメータ値である。
プロセス値テーブル２１４では、学習フェーズ及び攻撃検知フェーズの各々でプロセス値が管理される。学習フェーズにおいてプロセス値テーブル２１４で管理されるプロセス値は学習フェーズパラメータ値に相当する。一方、攻撃検知フェーズにおいてプロセス値テーブル２１４で管理されるプロセス値は攻撃検知フェーズパラメータ値に相当する。
プロセス値テーブル２１４では、学習フェーズ及び攻撃検知フェーズの各々でプロセス値が管理される。学習フェーズにおいてプロセス値テーブル２１４で管理されるプロセス値は学習フェーズパラメータ値に相当する。一方、攻撃検知フェーズにおいてプロセス値テーブル２１４で管理されるプロセス値は攻撃検知フェーズパラメータ値に相当する。
学習モデル２１５は、攻撃検知フェーズにおいて監視対象システム５００の動作状態を推定するための状態推定モデルである。
検知ルール２１６は、攻撃検知フェーズにおいて監視対象システム５００への攻撃を検知するためのルールである。
図４は、学習フェーズでの通信部２０３、状態入力部２０４、通信データ解析部２０７、プロセス値テーブル更新部２０８，通信データ検知部２０９、学習部２１０及び検知ルール生成部２１１の動作の概要を示す。
通信部２０３は、通信装置９０４を用いて、ネットワーク１００から監視対象システム５００で通信される通信データ２１９（学習フェーズ通信データ）を取得する。通信部２０３は、通信データ２１９を繰り返し取得する。そして、通信部２０３は、通信データ２１９を取得する度に、取得した通信データ２１９を通信データ解析部２０７、通信データ検知部２０９及び検知ルール生成部２１１に出力する。
通信部２０３は、本開示に係る通信データ取得部に相当する。また、通信部２０３により行われる処理は、本開示に係る通信データ取得処理に相当する。
通信部２０３は、本開示に係る通信データ取得部に相当する。また、通信部２０３により行われる処理は、本開示に係る通信データ取得処理に相当する。
状態入力部２０４は、通信部２０３が通信データを取得した際に、入出力装置９０５を介して、侵入検知装置２００のユーザから学習フェーズ動作状態値２２１を取得する。
状態入力部２０４は、本開示に係る学習フェーズ動作状態値取得部に相当する。また、状態入力部２０４により行われる処理は、本開示に係る学習フェーズ動作状態値取得処理に相当する。
状態入力部２０４は、本開示に係る学習フェーズ動作状態値取得部に相当する。また、状態入力部２０４により行われる処理は、本開示に係る学習フェーズ動作状態値取得処理に相当する。
通信データ解析部２０７は、通信データ２１９を解析する。そして、通信データ解析部２０７は、通信データ２１９からプロセス値２２０を抽出する。
つまり、通信データ解析部２０７は、通信データ２１９から学習フェーズパラメータ値としてプロセス値２２０を抽出する。
つまり、通信データ解析部２０７は、通信データ２１９から学習フェーズパラメータ値としてプロセス値２２０を抽出する。
プロセス値テーブル更新部２０８は、プロセス値テーブル２１４を更新する。
つまり、プロセス値テーブル更新部２０８は、通信データ解析部２０７によりプロセス値２２０が抽出される度に、抽出されたプロセス値２２０でプロセス値テーブル２１４を更新する。
つまり、プロセス値テーブル更新部２０８は、通信データ解析部２０７によりプロセス値２２０が抽出される度に、抽出されたプロセス値２２０でプロセス値テーブル２１４を更新する。
通信データ検知部２０９は、通信部２０３により通信データ２１９（学習フェーズ通信データ）が取得されたことを検知する。そして、通信データ検知部２０９は、学習部２１０にプロセス値テーブル２１４を出力し、学習部２１０に学習の実施を指示する。
学習部２１０は、プロセス値テーブル２１４に含まれるプロセス値２２０と学習フェーズ動作状態値２２１とを用いた学習を行う。プロセス値テーブル２１４に含まれるプロセス値２２０は学習フェーズパラメータ値である。
そして、学習により、学習部２１０は、学習モデル２１５を生成する。
学習部２１０は、例えば、サポートベクタマシン、ニューラルネットワークといった学習手法を用いる。
学習部２１０は、本開示に係るモデル生成部に相当する。また、学習部２１０により行われる処理は、本開示に係るモデル生成処理に相当する。
そして、学習により、学習部２１０は、学習モデル２１５を生成する。
学習部２１０は、例えば、サポートベクタマシン、ニューラルネットワークといった学習手法を用いる。
学習部２１０は、本開示に係るモデル生成部に相当する。また、学習部２１０により行われる処理は、本開示に係るモデル生成処理に相当する。
検知ルール生成部２１１は、通信データ２１９と学習フェーズ動作状態値２２１とを用いて、検知ルール２１６を生成する。
図５は、攻撃検知フェーズでの通信部２０３、結果出力部２０５、通信データ解析部２０７、プロセス値テーブル更新部２０８、通信データ検知部２０９、状態推定部２１２及び攻撃検知部２１３の動作の概要を示す。
通信部２０３は、ネットワーク１００から監視対象システム５００で通信される通信データ２１９（攻撃検知フェーズ通信データ）を取得する。
通信データ解析部２０７は、通信データ２１９を解析する。そして、通信データ解析部２０７は、通信データ２１９からプロセス値２２０を抽出する。
つまり、通信データ解析部２０７は、通信データ２１９から攻撃検知フェーズパラメータ値としてプロセス値２２０を抽出する。
つまり、通信データ解析部２０７は、通信データ２１９から攻撃検知フェーズパラメータ値としてプロセス値２２０を抽出する。
プロセス値テーブル更新部２０８は、プロセス値テーブル２１４を更新する。
つまり、プロセス値テーブル更新部２０８は、通信データ解析部２０７によりプロセス値２２０が抽出される度に、抽出されたプロセス値２２０でプロセス値テーブル２１４を更新する。
つまり、プロセス値テーブル更新部２０８は、通信データ解析部２０７によりプロセス値２２０が抽出される度に、抽出されたプロセス値２２０でプロセス値テーブル２１４を更新する。
通信データ検知部２０９は、通信部２０３により通信データ２１９（攻撃検知フェーズ通信データ）が取得されたことを検知する。そして、通信データ検知部２０９は、状態推定部２１２にプロセス値テーブル２１４を出力し、状態推定部２１２に状態推定の実施を指示する。
状態推定部２１２は、プロセス値テーブル２１４に含まれるプロセス値２２０と学習モデル２１５とを用いて、監視対象システム５００の現在の動作状態（攻撃検知フェーズ動作状態）を推定する。プロセス値テーブル２１４に含まれるプロセス値２２０は攻撃検知フェーズパラメータ値である。
そして、状態推定部２１２は、推定した動作状態を、攻撃検知フェーズ動作状態２２２として攻撃検知部２１３に出力する。
そして、状態推定部２１２は、推定した動作状態を、攻撃検知フェーズ動作状態２２２として攻撃検知部２１３に出力する。
攻撃検知部２１３は、攻撃検知フェーズ動作状態２２２と検知ルール２１６と通信データ２１９（攻撃検知フェーズ通信データ）とを用いて、監視対象システム５００への攻撃を検知する。
結果出力部２０５は、入出力装置９０５を介して、侵入検知装置２００のユーザに検知結果２１７を出力する。
検知結果２１７は、攻撃検知部２１３による監視対象システム５００への攻撃の有無の判定結果である。
攻撃検知部２１３により監視対象システム５００への攻撃が発生していると判定された場合は、検知結果２１７により攻撃の検知がユーザに通知される。攻撃検知部２１３により監視対象システム５００への攻撃がないと判定された場合は、検知結果２１７により攻撃がない旨が通知される。
検知結果２１７は、攻撃検知部２１３による監視対象システム５００への攻撃の有無の判定結果である。
攻撃検知部２１３により監視対象システム５００への攻撃が発生していると判定された場合は、検知結果２１７により攻撃の検知がユーザに通知される。攻撃検知部２１３により監視対象システム５００への攻撃がないと判定された場合は、検知結果２１７により攻撃がない旨が通知される。
＊＊＊動作の説明＊＊＊
次に、本実施の形態に係る侵入検知装置２００の動作の詳細を説明する。
次に、本実施の形態に係る侵入検知装置２００の動作の詳細を説明する。
図６は、学習フェーズでの通信データ解析部２０７の動作例を示す。
通信部２０３が通信データ２１９を受信すると、通信データ解析部２０７は、通信部２０３から通信データ２１９を取得する。そして、通信データ解析部２０７は、通信データ２１９を解析する（ステップＳ２１１）。
解析の結果、通信データ２１９にプロセス値２２０が含まれている場合（ステップＳ２１２でＹＥＳ）に、通信データ解析部２０７は、通信データ２１９からプロセス値２２０を抽出する（ステップＳ２１３）。
通信データ解析部２０７は、抽出したプロセス値２２０をプロセス値テーブル更新部２０８に出力する。
解析の結果、通信データ２１９にプロセス値２２０が含まれている場合（ステップＳ２１２でＹＥＳ）に、通信データ解析部２０７は、通信データ２１９からプロセス値２２０を抽出する（ステップＳ２１３）。
通信データ解析部２０７は、抽出したプロセス値２２０をプロセス値テーブル更新部２０８に出力する。
図７は、通信データ解析部２０７により抽出されるプロセス値２２０の例を示す。
図７では、メモリアドレス「０Ｘ００００１」、データ属性「Ａｎａｌｏｇ」、データ値「１００」、曜日「Ｄａｙ：Ｍｏｎ」、時間「Ｈｏｕｒ：１０」及び分「Ｍｉｎ：１５」がプロセス値２２０として抽出されている。
メモリアドレスは、データ値の書き込み又は読み出しの対象のメモリアドレスである。データ属性は、Ａｎａｌｏｇ及びＤｉｇｉｔａｌのいずれかである。データ属性「Ａｎａｌｏｇ」はデータ値がアナログ値であることを示す。データ属性「Ｄｉｇｉｔａｌ」はデータ値がデジタル値であることを示す。データ値は、メモリアドレスに書き込まれる又はメモリアドレスから読み出される値である。曜日、時間及び分は、通信データ２１９が送信された曜日、時間及び分を示す。通信データ解析部２０７は、曜日、時間及び分をプロセス値２２０として抽出しなくてもよい。
図７に例示するプロセス値２２０は、学習フェーズパラメータ値に相当する。なお、通信データ解析部２０７が学習フェーズパラメータ値として抽出するプロセス値２２０は、図７のものに限らない。学習フェーズパラメータ値は攻撃検知フェーズにおいて監視対象システム５００の動作状態を推定できるパラメータ値であればよい。このため、通信データ解析部２０７は、図７に示す以外のパラメータ値をプロセス値２２０（学習フェーズパラメータ値）として抽出することができる。
図７では、メモリアドレス「０Ｘ００００１」、データ属性「Ａｎａｌｏｇ」、データ値「１００」、曜日「Ｄａｙ：Ｍｏｎ」、時間「Ｈｏｕｒ：１０」及び分「Ｍｉｎ：１５」がプロセス値２２０として抽出されている。
メモリアドレスは、データ値の書き込み又は読み出しの対象のメモリアドレスである。データ属性は、Ａｎａｌｏｇ及びＤｉｇｉｔａｌのいずれかである。データ属性「Ａｎａｌｏｇ」はデータ値がアナログ値であることを示す。データ属性「Ｄｉｇｉｔａｌ」はデータ値がデジタル値であることを示す。データ値は、メモリアドレスに書き込まれる又はメモリアドレスから読み出される値である。曜日、時間及び分は、通信データ２１９が送信された曜日、時間及び分を示す。通信データ解析部２０７は、曜日、時間及び分をプロセス値２２０として抽出しなくてもよい。
図７に例示するプロセス値２２０は、学習フェーズパラメータ値に相当する。なお、通信データ解析部２０７が学習フェーズパラメータ値として抽出するプロセス値２２０は、図７のものに限らない。学習フェーズパラメータ値は攻撃検知フェーズにおいて監視対象システム５００の動作状態を推定できるパラメータ値であればよい。このため、通信データ解析部２０７は、図７に示す以外のパラメータ値をプロセス値２２０（学習フェーズパラメータ値）として抽出することができる。
図８は、学習フェーズでのプロセス値テーブル更新部２０８の動作例を示す。
プロセス値テーブル更新部２０８は、プロセス値テーブル２１４に書き込もうとしているプロセス値２２０がメモリアドレスとデータ値との組であるか否かを判定する（ステップＳ２２１）。
プロセス値テーブル２１４に書き込もうとしているプロセス値２２０がメモリアドレスとデータ値との組である場合（ステップＳ２２１でＹＥＳ）は、処理がステップＳ２２２に進む。一方、プロセス値テーブル２１４に書き込もうとしているプロセス値２２０がメモリアドレスとデータ値との組でない場合（ステップＳ２２１でＮＯ）は、処理がステップＳ２２４に進む。
図７の例では、プロセス値テーブル更新部２０８が「０ｘ００００１」と「１００」との組をプロセス値テーブル２１４に書き込もうとしている場合は、ステップＳ２２１において「ＹＥＳ」と判定される。一方、プロセス値テーブル更新部２０８が「Ｍｏｎ」、「１０」及び「１５」のいずれかをプロセス値テーブル２１４に書き込もうとしている場合は、ステップＳ２２１において「ＮＯ」と判定される。
プロセス値テーブル２１４に書き込もうとしているプロセス値２２０がメモリアドレスとデータ値との組である場合（ステップＳ２２１でＹＥＳ）は、処理がステップＳ２２２に進む。一方、プロセス値テーブル２１４に書き込もうとしているプロセス値２２０がメモリアドレスとデータ値との組でない場合（ステップＳ２２１でＮＯ）は、処理がステップＳ２２４に進む。
図７の例では、プロセス値テーブル更新部２０８が「０ｘ００００１」と「１００」との組をプロセス値テーブル２１４に書き込もうとしている場合は、ステップＳ２２１において「ＹＥＳ」と判定される。一方、プロセス値テーブル更新部２０８が「Ｍｏｎ」、「１０」及び「１５」のいずれかをプロセス値テーブル２１４に書き込もうとしている場合は、ステップＳ２２１において「ＮＯ」と判定される。
ステップＳ２２２では、プロセス値テーブル更新部２０８は書き込み対象のデータ値のデータ属性を判定する。
データ属性が「Ａｎａｌｏｇ」であれば、処理がステップＳ２２４に進む。一方、データ属性が「Ｄｉｇｉｔａｌ」であれば、処理がステップＳ２２３に進む。
図７の例ではデータ値「１００」のデータ属性は「Ａｎａｌｏｇ」であるため、処理がステップＳ２２４に進む。
データ属性が「Ａｎａｌｏｇ」であれば、処理がステップＳ２２４に進む。一方、データ属性が「Ｄｉｇｉｔａｌ」であれば、処理がステップＳ２２３に進む。
図７の例ではデータ値「１００」のデータ属性は「Ａｎａｌｏｇ」であるため、処理がステップＳ２２４に進む。
ステップＳ２２３では、学習部２１０が機械学習しやすいように、プロセス値テーブル更新部２０８は、データ属性が「Ｄｉｇｉｔａｌ」であるデータ値をエンコードする。例えば、プロセス値テーブル更新部２０８は、ワンホットエンコードによりデータ値をエンコードする。
ステップＳ２２４では、プロセス値テーブル更新部２０８は、プロセス値２２０をプロセス値テーブル２１４に書き込む。
プロセス値テーブル更新部２０８は、データ属性が「Ｄｉｇｉｔａｌ」であるデータ値については、ステップＳ２２３でのエンコード後のデータ値を、メモリアドレスと対応付けてプロセス値テーブル２１４に書き込む。
プロセス値テーブル更新部２０８は、データ属性が「Ａｎａｌｏｇ」であるデータ値については、通信データ解析部２０７から取得したデータ値を、メモリアドレスと対応付けてプロセス値テーブル２１４に書き込む。
なお、プロセス値テーブル２１４において同じメモリアドレスに対応付けて既にデータ値が書き込まれている場合は、プロセス値テーブル更新部２０８は新たなデータ値を上書きする。例えば、メモリアドレス「０Ｘ００００１」に対応付けてデータ値「８０」がプロセス値テーブル２１４に書き込まれているとする。この場合に、図７に示すプロセス値２２０が通信部２０３により取得されたものとする。プロセス値テーブル更新部２０８は、プロセス値テーブル２１４のメモリアドレス「０Ｘ００００１」に対するデータ値を「８０」から「１００」に書き換える。
また、プロセス値テーブル更新部２０８は、曜日（Ｄａｙ）、時間（Ｈｏｕｒ）及び秒（Ｍｉｎ）もプロセス値テーブル２１４に書き込む。
曜日（Ｄａｙ）、時間（Ｈｏｕｒ）及び秒（Ｍｉｎ）が既にプロセス値テーブル２１４に書き込まれている場合も、プロセス値テーブル更新部２０８は、新たな値に上書きする。
プロセス値テーブル更新部２０８は、データ属性が「Ｄｉｇｉｔａｌ」であるデータ値については、ステップＳ２２３でのエンコード後のデータ値を、メモリアドレスと対応付けてプロセス値テーブル２１４に書き込む。
プロセス値テーブル更新部２０８は、データ属性が「Ａｎａｌｏｇ」であるデータ値については、通信データ解析部２０７から取得したデータ値を、メモリアドレスと対応付けてプロセス値テーブル２１４に書き込む。
なお、プロセス値テーブル２１４において同じメモリアドレスに対応付けて既にデータ値が書き込まれている場合は、プロセス値テーブル更新部２０８は新たなデータ値を上書きする。例えば、メモリアドレス「０Ｘ００００１」に対応付けてデータ値「８０」がプロセス値テーブル２１４に書き込まれているとする。この場合に、図７に示すプロセス値２２０が通信部２０３により取得されたものとする。プロセス値テーブル更新部２０８は、プロセス値テーブル２１４のメモリアドレス「０Ｘ００００１」に対するデータ値を「８０」から「１００」に書き換える。
また、プロセス値テーブル更新部２０８は、曜日（Ｄａｙ）、時間（Ｈｏｕｒ）及び秒（Ｍｉｎ）もプロセス値テーブル２１４に書き込む。
曜日（Ｄａｙ）、時間（Ｈｏｕｒ）及び秒（Ｍｉｎ）が既にプロセス値テーブル２１４に書き込まれている場合も、プロセス値テーブル更新部２０８は、新たな値に上書きする。
図９は、プロセス値テーブル２１４の例を示す。
図９において、「Ａ００００１」のように「Ａ」で始まる項目はアナログ値のメモリアドレスを意味する。つまり、「Ａ００００１」は図７の「０Ｘ００００１」に相当する。「Ｄ００００１＿ＯＦＦ」のように「Ｄ」で始まる項目はデジタル値のメモリアドレスを意味する。「Ｔｄａｙ」のように「Ｔ」で始まる項目は時間の単位を意味する。つまり、「Ｔｄａｙ」は図７の「Ｄａｙ」に相当する。「Ｔｈｏｕｒ」は図７の「Ｈｏｕｒ」に相当する。「Ｔｍｉｎｕｔｅ」は図７の「Ｍｉｎ」に相当する。
図９において、「Ａ００００１」のように「Ａ」で始まる項目はアナログ値のメモリアドレスを意味する。つまり、「Ａ００００１」は図７の「０Ｘ００００１」に相当する。「Ｄ００００１＿ＯＦＦ」のように「Ｄ」で始まる項目はデジタル値のメモリアドレスを意味する。「Ｔｄａｙ」のように「Ｔ」で始まる項目は時間の単位を意味する。つまり、「Ｔｄａｙ」は図７の「Ｄａｙ」に相当する。「Ｔｈｏｕｒ」は図７の「Ｈｏｕｒ」に相当する。「Ｔｍｉｎｕｔｅ」は図７の「Ｍｉｎ」に相当する。
図１０は、学習部２１０の動作例を示す。
先ず、学習部２１０は、通信データ検知部２０９から学習の実施を指示されたか否かを判定する（ステップＳ２３１）。学習部２１０は、通信データ検知部２０９からプロセス値テーブル２１４を取得した場合に通信データ検知部２０９から学習の実施を指示されたと判定する。
通信データ検知部２０９から学習の実施を指示されている場合は処理がステップＳ２３２に進む。
通信データ検知部２０９から学習の実施を指示されている場合は処理がステップＳ２３２に進む。
ステップＳ２３２では、学習部２１０は学習を実施して学習モデル２１５を生成する。
より具体的には、学習部２１０は、状態入力部２０４から学習フェーズ動作状態値２２１を取得する。そして、学習部２１０は、通信データ検知部２０９から取得したプロセス値テーブル２１４に含まれるプロセス値２２０と学習フェーズ動作状態値２２１とを用いた学習を行う。
より具体的には、学習部２１０は、状態入力部２０４から学習フェーズ動作状態値２２１を取得する。そして、学習部２１０は、通信データ検知部２０９から取得したプロセス値テーブル２１４に含まれるプロセス値２２０と学習フェーズ動作状態値２２１とを用いた学習を行う。
図１１は、学習部２１０で行われる学習手順の概要を示す。
学習部２１０は、プロセス値テーブル２１４の各プロセス値２２０を入力ノードとして用いる。そして、学習部２１０は、状態入力部２０４から取得した学習フェーズ動作状態値２２１を教師として用いて、状態推定のための学習モデル２１５を生成する。
図１１は、ニューラルネットワークに基づく学習の例を示す。学習部２１０は、他の学習手法（サポートベクタマシン等）によって学習を行ってもよい。
学習部２１０は、プロセス値テーブル２１４の各プロセス値２２０を入力ノードとして用いる。そして、学習部２１０は、状態入力部２０４から取得した学習フェーズ動作状態値２２１を教師として用いて、状態推定のための学習モデル２１５を生成する。
図１１は、ニューラルネットワークに基づく学習の例を示す。学習部２１０は、他の学習手法（サポートベクタマシン等）によって学習を行ってもよい。
図１２は、検知ルール生成部２１１の動作例を示す。
先ず、検知ルール生成部２１１は、通信部２０３から通信データ２１９を取得し、取得した通信データ２１９を解析する（ステップＳ２４１）。
検知ルール生成部２１１は、通信データ２１９の解析により、通信データ２１９から検知ルール２１６の生成に用いるパラメータ値を抽出する。より具体的には、検知ルール生成部２１１は、検知ルール２１６の生成に用いるパラメータ値として、プロセス値２２０とプロセス値２２０以外の特定のパラメータ値を抽出する。例えば、検知ルール生成部２１１は、通信データ２１９の送信元アドレスを抽出する。また、例えば、検知ルール生成部２１１は、通信データ２１９の送信先アドレスを抽出する。また、例えば、検知ルール生成部２１１は、通信データ２１９で通知されている制御コマンドを抽出する。
これらの検知ルール生成部２１１が抽出するプロセス値２２０以外の特定のパラメータ値は学習フェーズ追加パラメータ値に相当する。
検知ルール生成部２１１は、通信データ２１９の解析により、通信データ２１９から検知ルール２１６の生成に用いるパラメータ値を抽出する。より具体的には、検知ルール生成部２１１は、検知ルール２１６の生成に用いるパラメータ値として、プロセス値２２０とプロセス値２２０以外の特定のパラメータ値を抽出する。例えば、検知ルール生成部２１１は、通信データ２１９の送信元アドレスを抽出する。また、例えば、検知ルール生成部２１１は、通信データ２１９の送信先アドレスを抽出する。また、例えば、検知ルール生成部２１１は、通信データ２１９で通知されている制御コマンドを抽出する。
これらの検知ルール生成部２１１が抽出するプロセス値２２０以外の特定のパラメータ値は学習フェーズ追加パラメータ値に相当する。
次に、検知ルール生成部２１１は検知ルール２１６を生成する。
より具体的には、検知ルール生成部２１１は、状態入力部２０４から学習フェーズ動作状態値２２１を取得する。そして、検知ルール生成部２１１は、ステップＳ２４１で抽出したパラメータ値と学習フェーズ動作状態値２２１とを用いて、検知ルール２１６を生成する。
より具体的には、検知ルール生成部２１１は、状態入力部２０４から学習フェーズ動作状態値２２１を取得する。そして、検知ルール生成部２１１は、ステップＳ２４１で抽出したパラメータ値と学習フェーズ動作状態値２２１とを用いて、検知ルール２１６を生成する。
図１３は、検知ルール生成部２１１が生成する検知ルール２１６の例を示す。
図１３において、「ルールＮｏ．」には、ルールごとの識別番号が示される。
「動作状態」には、学習フェーズ動作状態が示される。検知ルール生成部２１１は、学習フェーズ動作状態値２２１から学習フェーズ動作状態を判別する。
「送信元アドレス」には、ステップＳ２４１で抽出された送信元アドレスが示される。
「送信先アドレス」には、ステップＳ２４１で抽出された送信先アドレスが示される。
「制御コマンド」には、ステップＳ２４１で抽出された制御コマンドが示される。
「アドレス」には、ステップＳ２４１で抽出されたメモリアドレスが示される。
「データ設定範囲」には、これまで通信データ２１９から抽出されたデータ値の最小値から最大値の範囲が示される。
図１３において、「ルールＮｏ．」には、ルールごとの識別番号が示される。
「動作状態」には、学習フェーズ動作状態が示される。検知ルール生成部２１１は、学習フェーズ動作状態値２２１から学習フェーズ動作状態を判別する。
「送信元アドレス」には、ステップＳ２４１で抽出された送信元アドレスが示される。
「送信先アドレス」には、ステップＳ２４１で抽出された送信先アドレスが示される。
「制御コマンド」には、ステップＳ２４１で抽出された制御コマンドが示される。
「アドレス」には、ステップＳ２４１で抽出されたメモリアドレスが示される。
「データ設定範囲」には、これまで通信データ２１９から抽出されたデータ値の最小値から最大値の範囲が示される。
例えば、図７に示すプロセス値２２０が含まれる通信データ２１９（以下、最新通信データ２１９という）に「送信元アドレス」として「１９２．１６８．０．１０」が記載されているものとする。また、最新通信データ２１９に「送信先アドレス」として「１９２．１６８．０．２０」が記載されているものとする。また、最新通信データ２１９に「制御コマンド」として「アナログ書き込み」が記載されているものとする。更に、最新通信データ２１９の受信前の検知ルール２１６（図１３）の「ルールＮｏ．１」の「データ設定範囲」として「０－８０」が記載されているものとする。
最新通信データ２１９が通信部２０３により受信されると、監視対象システム５００の動作状態として状態入力部２０４により「停止」に相当する学習フェーズ動作状態値２２１が取得されたものとする。
この場合に、検知ルール生成部２１１は、「ルールＮｏ．１」の「データ設定範囲」を、最新通信データ２１９のデータ値が含まれるように、「０－８０」から「０－１００」に変更する。
最新通信データ２１９が通信部２０３により受信されると、監視対象システム５００の動作状態として状態入力部２０４により「停止」に相当する学習フェーズ動作状態値２２１が取得されたものとする。
この場合に、検知ルール生成部２１１は、「ルールＮｏ．１」の「データ設定範囲」を、最新通信データ２１９のデータ値が含まれるように、「０－８０」から「０－１００」に変更する。
図１３に示す値以外の値が検知ルール２１６に含まれていてもよい。例えば、図７に示す曜日（Ｄａｙ）、時間（Ｈｏｕｒ）及び分（Ｍｉｎ）が検知ルール２１６に含まれていてもよい。
次に、攻撃検知フェーズでの侵入検知装置２００の動作例を説明する。
通信データ解析部２０７は攻撃検知フェーズでも図６に示す動作を行う。
また、プロセス値テーブル更新部２０８も攻撃検知フェーズでも図８に示す動作を行う。
攻撃検知フェーズでは、通信データ解析部２０７とプロセス値テーブル更新部２０８は、学習フェーズ通信データではなく攻撃フェーズ通信データを扱う。
通信データ解析部２０７は攻撃検知フェーズでも図６に示す動作を行う。
また、プロセス値テーブル更新部２０８も攻撃検知フェーズでも図８に示す動作を行う。
攻撃検知フェーズでは、通信データ解析部２０７とプロセス値テーブル更新部２０８は、学習フェーズ通信データではなく攻撃フェーズ通信データを扱う。
図１４は、状態推定部２１２の動作例を示す。
先ず、状態推定部２１２は、通信データ検知部２０９から状態推定の実施を指示されたか否かを判定する（ステップＳ２５１）。状態推定部２１２は、通信データ検知部２０９からプロセス値テーブル２１４を取得した場合に通信データ検知部２０９から状態推定の実施を指示されたと判定する。
通信データ検知部２０９から状態推定の実施を指示されている場合は処理がステップＳ２５２に進む。
通信データ検知部２０９から状態推定の実施を指示されている場合は処理がステップＳ２５２に進む。
ステップＳ２５２では、状態推定部２１２は監視対象システム５００の現在の監視対象システム５００の状態（攻撃検知フェーズ動作状態２２２）を推定する。
より具体的には、状態推定部２１２は、記憶部２０２から学習モデル２１５を取得する。そして、状態推定部２１２は、通信データ検知部２０９から取得したプロセス値テーブル２１４に含まれるプロセス値２２０と学習モデル２１５とを用いて監視対象システム５００の現在の状態を推定する。
より具体的には、状態推定部２１２は、記憶部２０２から学習モデル２１５を取得する。そして、状態推定部２１２は、通信データ検知部２０９から取得したプロセス値テーブル２１４に含まれるプロセス値２２０と学習モデル２１５とを用いて監視対象システム５００の現在の状態を推定する。
図１５は、状態推定部２１２で行われる状態推定手順の概要を示す。
状態推定部２１２は、プロセス値テーブル２１４の各プロセス値２２０を入力ノードとして用いる。そして、状態推定部２１２は、学習モデル２１５を用いて、攻撃検知フェーズ動作状態２２２を推定する。
図１５は、ニューラルネットワークに基づく状態推定の例を示す。状態推定部２１２は、他の状態推定手法（サポートベクタマシン等）によって状態推定を行ってもよい。
状態推定部２１２は、プロセス値テーブル２１４の各プロセス値２２０を入力ノードとして用いる。そして、状態推定部２１２は、学習モデル２１５を用いて、攻撃検知フェーズ動作状態２２２を推定する。
図１５は、ニューラルネットワークに基づく状態推定の例を示す。状態推定部２１２は、他の状態推定手法（サポートベクタマシン等）によって状態推定を行ってもよい。
図１６は、攻撃検知部２１３の動作例を示す。
先ず、攻撃検知部２１３は、通信部２０３から通信データ２１９（攻撃フェーズ通信データ）を取得し、取得した通信データ２１９を解析する（ステップＳ２６１）。
攻撃検知部２１３は、通信データ２１９の解析により、通信データ２１９から検知ルール２１６との比較に用いるパラメータ値を抽出する。より具体的には、攻撃検知部２１３は、検知ルール２１６に記載されているパラメータ値を抽出する。つまり、攻撃検知部２１３は、通信データ２１９の送信元アドレスを抽出する。また、攻撃検知部２１３は、通信データ２１９の送信先アドレスを抽出する。また、攻撃検知部２１３は、通信データ２１９で通知されている制御コマンドを抽出する。更に、攻撃検知部２１３は、通信データ２１９に示されるメモリアドレスとデータ値を抽出する。
なお、攻撃検知部２１３が抽出する送信元アドレス、送信先アドレス及び制御コマンドは攻撃検知フェーズ追加パラメータ値に相当する。
攻撃検知部２１３は、通信データ２１９の解析により、通信データ２１９から検知ルール２１６との比較に用いるパラメータ値を抽出する。より具体的には、攻撃検知部２１３は、検知ルール２１６に記載されているパラメータ値を抽出する。つまり、攻撃検知部２１３は、通信データ２１９の送信元アドレスを抽出する。また、攻撃検知部２１３は、通信データ２１９の送信先アドレスを抽出する。また、攻撃検知部２１３は、通信データ２１９で通知されている制御コマンドを抽出する。更に、攻撃検知部２１３は、通信データ２１９に示されるメモリアドレスとデータ値を抽出する。
なお、攻撃検知部２１３が抽出する送信元アドレス、送信先アドレス及び制御コマンドは攻撃検知フェーズ追加パラメータ値に相当する。
次に、攻撃検知部２１３は、ステップ２６１で抽出したパラメータ値と攻撃検知フェーズ動作状態２２２との組と検知ルール２１６のパラメータ値と動作状態との組とを比較する。つまり、攻撃検知部２１３は、攻撃検知フェーズ動作状態２２２と一致する動作状態が記載され、ステップ２６１で抽出したパラメータ値に一致するパラメータ値が記載されているルールがあるか否かを判定する。
そして、該当するルールがある場合（ステップＳ２６３でＹＥＳ）に、攻撃検知部２１３は、「検知結果（正常）」を結果出力部２０５を介して出力する（ステップＳ２６５）。
一方、該当するルールがない場合（ステップＳ２６３でＮＯ、ステップＳ２６４でＹＥＳ）に、攻撃検知部２１３は、「検知結果（異常）」を結果出力部２０５を介して出力する（ステップＳ２６６）。
「検知結果（正常）」は監視対象システム５００に攻撃が発生していないことを通知する検知結果である。一方、「検知結果（異常）」は監視対象システム５００に攻撃が発生していることを通知する検知結果である。
一方、該当するルールがない場合（ステップＳ２６３でＮＯ、ステップＳ２６４でＹＥＳ）に、攻撃検知部２１３は、「検知結果（異常）」を結果出力部２０５を介して出力する（ステップＳ２６６）。
「検知結果（正常）」は監視対象システム５００に攻撃が発生していないことを通知する検知結果である。一方、「検知結果（異常）」は監視対象システム５００に攻撃が発生していることを通知する検知結果である。
ユーザは、「検知結果（異常）」の出力により攻撃への対策をとることができる。
＊＊＊実施の形態の効果の説明＊＊＊
本実施の形態によれば、ユーザが監視対象システムの動作状態を見極める必要がない。
また、本実施の形態によれば、監視対象システムの動作状態が変化する度にユーザが監視対象システムの動作状態を入力する必要がない。
更に、本実施の形態によれば、監視対象システムの動作状態を正しく推定することができ、この結果、監視対象システムへの攻撃を正しく検知することができる。
本実施の形態によれば、ユーザが監視対象システムの動作状態を見極める必要がない。
また、本実施の形態によれば、監視対象システムの動作状態が変化する度にユーザが監視対象システムの動作状態を入力する必要がない。
更に、本実施の形態によれば、監視対象システムの動作状態を正しく推定することができ、この結果、監視対象システムへの攻撃を正しく検知することができる。
実施の形態２．
本実施の形態では、主に実施の形態１との差異を説明する。
なお、以下で説明していない事項は、実施の形態１と同様である。
本実施の形態では、主に実施の形態１との差異を説明する。
なお、以下で説明していない事項は、実施の形態１と同様である。
＊＊＊構成の説明＊＊＊
図１７は、本実施の形態に係る侵入検知装置２００の機能構成例を示す。
図１７では、図３に示された通信データ検知部２０９の代わりに、学習判定部２２３が存在する。
学習判定部２２３以外の機能要素は図１に示されたものと同じである。
なお、本実施の形態では、図１８に示すように、通信部２０３は、通信データ２１９を取得する度に、取得した通信データ２１９を通信データ解析部２０７、学習判定部２２３及び検知ルール生成部２１１に出力する。
また、通信データ解析部２０７は、通信部２０３により通信データ２１９が取得される度に、実施の形態１と同様に、取得された通信データ２１９からプロセス値２２０を抽出する。そして、通信データ解析部２０７は、抽出したプロセス値２２０を用いてプロセス値テーブル２１４を変更する。本実施の形態では、通信データ解析部２０７は、変更前のプロセス値テーブル２１４を変更後のプロセス値テーブル２１４で上書きしない。つまり、本実施の形態では、一時的に、変更前のプロセス値テーブル２１４と変更後のプロセス値テーブル２１４とが併存する。
図１７は、本実施の形態に係る侵入検知装置２００の機能構成例を示す。
図１７では、図３に示された通信データ検知部２０９の代わりに、学習判定部２２３が存在する。
学習判定部２２３以外の機能要素は図１に示されたものと同じである。
なお、本実施の形態では、図１８に示すように、通信部２０３は、通信データ２１９を取得する度に、取得した通信データ２１９を通信データ解析部２０７、学習判定部２２３及び検知ルール生成部２１１に出力する。
また、通信データ解析部２０７は、通信部２０３により通信データ２１９が取得される度に、実施の形態１と同様に、取得された通信データ２１９からプロセス値２２０を抽出する。そして、通信データ解析部２０７は、抽出したプロセス値２２０を用いてプロセス値テーブル２１４を変更する。本実施の形態では、通信データ解析部２０７は、変更前のプロセス値テーブル２１４を変更後のプロセス値テーブル２１４で上書きしない。つまり、本実施の形態では、一時的に、変更前のプロセス値テーブル２１４と変更後のプロセス値テーブル２１４とが併存する。
学習判定部２２３は、通信部２０３により新たな通信データ２１９が取得された際に、新たな通信データ２１９に含まれるプロセス値２２０（新たなプロセス値２２０という）を用いた学習が学習部２１０により行われた場合に、学習部２１０により以前に生成された学習モデル２１５と異なる新たな学習モデル２１５が生成されるか否かを判定する。そして、学習判定部２２３は、新たな学習モデル２１５が生成されると判定した場合にのみ、学習部２１０に新たなプロセス値２２０を用いた学習を実施させる。つまり、学習判定部２２３は、新たな学習モデル２１５が生成されると判定した場合にのみ、学習部２１０に新たなプロセス値２２０を用いた学習の実施を指示する。学習判定部２２３は、学習部２１０に学習の実施を指示する場合には、学習部２１０に変更後のプロセス値テーブル２１４を出力する。
より具体的には、学習判定部２２３は、変更前のプロセス値テーブル２１４と変更後のプロセス値テーブル２１４とを比較する。そして、変更前のプロセス値テーブル２１４と変更後のプロセス値テーブル２１４に差分がある場合には、学習判定部２２３は新たな学習モデル２１５が生成されると判定する。一方、変更前のプロセス値テーブル２１４と変更後のプロセス値テーブル２１４に差異がない場合には、学習判定部２２３は新たな学習モデル２１５が生成されないと判定する。
学習判定部２２３の機能は、通信部２０３等と同様にプログラムにより実現される。そして、学習判定部２２３の機能を実現するプログラムがプロセッサ９１１により実行される。
より具体的には、学習判定部２２３は、変更前のプロセス値テーブル２１４と変更後のプロセス値テーブル２１４とを比較する。そして、変更前のプロセス値テーブル２１４と変更後のプロセス値テーブル２１４に差分がある場合には、学習判定部２２３は新たな学習モデル２１５が生成されると判定する。一方、変更前のプロセス値テーブル２１４と変更後のプロセス値テーブル２１４に差異がない場合には、学習判定部２２３は新たな学習モデル２１５が生成されないと判定する。
学習判定部２２３の機能は、通信部２０３等と同様にプログラムにより実現される。そして、学習判定部２２３の機能を実現するプログラムがプロセッサ９１１により実行される。
＊＊＊動作の説明＊＊＊
図１９は、学習判定部２２３の動作例を示す。
図１９は、学習判定部２２３の動作例を示す。
先ず、学習判定部２２３は、変更前のプロセス値テーブル２１４と変更後のプロセス値テーブル２１４とを比較する（ステップＳ２７１）。
そして、変更前のプロセス値テーブル２１４と変更後のプロセス値テーブル２１４との間に差分がある場合（ステップＳ２７２でＹＥＳ）に、学習判定部２２３は、変更前のプロセス値テーブル２１４を変更後のプロセス値テーブル２１４で更新する。つまり、変更前のプロセス値テーブル２１４を記憶部２０２から消去し、変更後のプロセス値テーブル２１４のみを記憶部２０２に残す。
そして、学習判定部２２３は、変更後のプロセス値テーブル２１４を学習部２１０に出力して、学習部２１０に学習の実施を指示する（ステップＳ２７４）。つまり、学習判定部２２３は、新たなプロセス値２２０を用いた学習の実施を学習部２１０に指示する。
そして、学習判定部２２３は、変更後のプロセス値テーブル２１４を学習部２１０に出力して、学習部２１０に学習の実施を指示する（ステップＳ２７４）。つまり、学習判定部２２３は、新たなプロセス値２２０を用いた学習の実施を学習部２１０に指示する。
一方、変更前のプロセス値テーブル２１４と変更後のプロセス値テーブル２１４との間に差分がない場合（ステップＳ２７２でＮＯ）は、変更後のプロセス値テーブル２１４を記憶部２０２から消去する（ステップＳ２７５）。つまり、学習判定部２２３は、新たなプロセス値２２０を用いた学習の実施を学習部２１０に指示しない。
＊＊＊実施の形態の効果の説明＊＊＊
本実施の形態によれば、新たな学習結果が得られない場合には学習を実施しないことで、無駄な学習を排除することができる。
本実施の形態によれば、新たな学習結果が得られない場合には学習を実施しないことで、無駄な学習を排除することができる。
以上、実施の形態１及び２を説明したが、これら２つの実施の形態を組み合わせて実施しても構わない。
あるいは、これら２つの実施の形態のうち、１つを部分的に実施しても構わない。
あるいは、これら２つの実施の形態を部分的に組み合わせて実施しても構わない。
また、これら２つの実施の形態に記載された構成及び手順を必要に応じて変更してもよい。
あるいは、これら２つの実施の形態のうち、１つを部分的に実施しても構わない。
あるいは、これら２つの実施の形態を部分的に組み合わせて実施しても構わない。
また、これら２つの実施の形態に記載された構成及び手順を必要に応じて変更してもよい。
＊＊＊ハードウェア構成の補足説明＊＊＊
最後に、侵入検知装置２００のハードウェア構成の補足説明を行う。
図２に示すプロセッサ９０１は、プロセッシングを行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）である。
プロセッサ９０１は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）等である。
図２に示す主記憶装置９０２は、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）である。
図２に示す補助記憶装置９０３は、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、フラッシュメモリ、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）等である。
図２に示す通信装置９０４は、データの通信処理を実行する電子回路である。
通信装置９０４は、例えば、通信チップ又はＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）である。
最後に、侵入検知装置２００のハードウェア構成の補足説明を行う。
図２に示すプロセッサ９０１は、プロセッシングを行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）である。
プロセッサ９０１は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）等である。
図２に示す主記憶装置９０２は、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）である。
図２に示す補助記憶装置９０３は、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、フラッシュメモリ、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）等である。
図２に示す通信装置９０４は、データの通信処理を実行する電子回路である。
通信装置９０４は、例えば、通信チップ又はＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）である。
また、補助記憶装置９０３には、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）も記憶されている。
そして、ＯＳの少なくとも一部がプロセッサ９０１により実行される。
プロセッサ９０１はＯＳの少なくとも一部を実行しながら、処理部２０１、記憶部２０２、通信部２０３、状態入力部２０４及び結果出力部２０５の機能を実現するプログラムを実行する。
プロセッサ９０１がＯＳを実行することで、タスク管理、メモリ管理、ファイル管理、通信制御等が行われる。
また、処理部２０１、記憶部２０２、通信部２０３、状態入力部２０４及び結果出力部２０５の処理の結果を示す情報、データ、信号値及び変数値の少なくともいずれかが、主記憶装置９０２、補助記憶装置９０３、プロセッサ９０１内のレジスタ及びキャッシュメモリの少なくともいずれかに記憶される。
また、処理部２０１、記憶部２０２、通信部２０３、状態入力部２０４及び結果出力部２０５の機能を実現するプログラムは、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤ等の可搬記録媒体に格納されていてもよい。そして、処理部２０１、記憶部２０２、通信部２０３、状態入力部２０４及び結果出力部２０５の機能を実現するプログラムが格納された可搬記録媒体を流通させてもよい。
そして、ＯＳの少なくとも一部がプロセッサ９０１により実行される。
プロセッサ９０１はＯＳの少なくとも一部を実行しながら、処理部２０１、記憶部２０２、通信部２０３、状態入力部２０４及び結果出力部２０５の機能を実現するプログラムを実行する。
プロセッサ９０１がＯＳを実行することで、タスク管理、メモリ管理、ファイル管理、通信制御等が行われる。
また、処理部２０１、記憶部２０２、通信部２０３、状態入力部２０４及び結果出力部２０５の処理の結果を示す情報、データ、信号値及び変数値の少なくともいずれかが、主記憶装置９０２、補助記憶装置９０３、プロセッサ９０１内のレジスタ及びキャッシュメモリの少なくともいずれかに記憶される。
また、処理部２０１、記憶部２０２、通信部２０３、状態入力部２０４及び結果出力部２０５の機能を実現するプログラムは、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤ等の可搬記録媒体に格納されていてもよい。そして、処理部２０１、記憶部２０２、通信部２０３、状態入力部２０４及び結果出力部２０５の機能を実現するプログラムが格納された可搬記録媒体を流通させてもよい。
また、処理部２０１、記憶部２０２、通信部２０３、状態入力部２０４及び結果出力部２０５の少なくともいずれかの「部」を、「回路」又は「工程」又は「手順」又は「処理」又は「サーキットリー」に読み替えてもよい。
また、侵入検知装置２００は、処理回路により実現されてもよい。処理回路は、例えば、ロジックＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＧＡ（Ｇａｔｅ Ａｒｒａｙ）、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）である。
処理部２０１、記憶部２０２、通信部２０３、状態入力部２０４及び結果出力部２０５は、それぞれ処理回路の一部として実現される。
なお、本明細書では、プロセッサと処理回路との上位概念を、「プロセッシングサーキットリー」という。
つまり、プロセッサと処理回路とは、それぞれ「プロセッシングサーキットリー」の具体例である。
また、侵入検知装置２００は、処理回路により実現されてもよい。処理回路は、例えば、ロジックＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＧＡ（Ｇａｔｅ Ａｒｒａｙ）、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）である。
処理部２０１、記憶部２０２、通信部２０３、状態入力部２０４及び結果出力部２０５は、それぞれ処理回路の一部として実現される。
なお、本明細書では、プロセッサと処理回路との上位概念を、「プロセッシングサーキットリー」という。
つまり、プロセッサと処理回路とは、それぞれ「プロセッシングサーキットリー」の具体例である。
１００ ネットワーク、２００ 侵入検知装置、２０１ 処理部、２０２ 記憶部、２０３ 通信部、２０４ 状態入力部、２０５ 結果出力部、２０７ 通信データ解析部、２０８ プロセス値テーブル更新部、２０９ 通信データ検知部、２１０ 学習部、２１１ 検知ルール生成部、２１２ 状態推定部、２１３ 攻撃検知部、２１４ プロセス値テーブル、２１５ 学習モデル、２１６ 検知ルール、２１７ 検知結果、２１９ 通信データ、２２０ プロセス値、２２１ 学習フェーズ動作状態値、２２２ 攻撃検知フェーズ動作状態、２２３ 学習判定部、３００ 被制御装置、４００ 制御装置、５００ 監視対象システム、９０１ プロセッサ、９０２ 主記憶装置、９０３ 補助記憶装置、９０４ 通信装置、９０５ 入出力装置。
Claims (6)
- 攻撃検知フェーズにおいて攻撃検知のために監視される監視対象システムで通信される、前記監視対象システムの動作状態を推定可能なパラメータ値が含まれる通信データを、前記攻撃検知フェーズに先立つ学習フェーズにおいて、学習フェーズ通信データとして取得する通信データ取得部と、
前記学習フェーズにおいて、前記学習フェーズ通信データの通信時の前記監視対象システムの動作状態である学習フェーズ動作状態を示す学習フェーズ動作状態値を取得する学習フェーズ動作状態値取得部と、
前記学習フェーズにおいて、前記学習フェーズ通信データに含まれるパラメータ値である学習フェーズパラメータ値と前記学習フェーズ動作状態値とを用いた学習を行い、前記攻撃検知フェーズにおいて前記監視対象システムで通信される通信データである攻撃検知フェーズ通信データに含まれるパラメータ値である攻撃検知フェーズパラメータ値から前記攻撃検知フェーズ通信データの通信時の前記監視対象システムの動作状態である攻撃検知フェーズ動作状態を推定するための状態推定モデルを生成するモデル生成部と、
前記学習フェーズパラメータ値と前記学習フェーズ動作状態値とを含み、前記学習フェーズパラメータ値と前記攻撃検知フェーズパラメータ値との比較と、前記学習フェーズ動作状態値に示される前記学習フェーズ動作状態と前記攻撃検知フェーズ動作状態との比較とにより前記攻撃検知フェーズにおいて前記監視対象システムへの攻撃を検知するための検知ルールを、前記学習フェーズにおいて生成する検知ルール生成部とを有するデータ処理装置。 - 前記学習フェーズ通信データには、前記学習フェーズパラメータ値以外のパラメータ値が学習フェーズ追加パラメータ値として含まれ、
前記攻撃検知フェーズ通信データには、前記学習フェーズ追加パラメータ値に対応するパラメータ値が攻撃検知フェーズ追加パラメータ値として含まれており、
前記検知ルール生成部は、
前記学習フェーズ追加パラメータ値を含み、前記学習フェーズ追加パラメータ値と前記攻撃検知フェーズ追加パラメータ値との比較により前記攻撃検知フェーズにおいて前記監視対象システムへの攻撃を検知するための検知ルールを生成する請求項１に記載のデータ処理装置。 - 前記通信データ取得部は、
前記攻撃検知フェーズにおいて、前記攻撃検知フェーズ通信データを取得し、
前記データ処理装置は、更に、
前記攻撃検知フェーズにおいて、前記攻撃検知フェーズパラメータ値と前記状態推定モデルとを用いて前記攻撃検知フェーズ動作状態を推定する状態推定部と、
前記攻撃検知フェーズにおいて、前記検知ルールに含まれる前記学習フェーズパラメータ値と前記攻撃検知フェーズパラメータ値とを比較し、前記検知ルールに含まれる前記学習フェーズ動作状態値に示される前記学習フェーズ動作状態と前記状態推定部により推定された前記攻撃検知フェーズ動作状態とを比較して、前記監視対象システムへの攻撃を検知する攻撃検知部とを有する請求項１に記載のデータ処理装置。 - 前記学習フェーズ通信データには、前記学習フェーズパラメータ値以外のパラメータ値が学習フェーズ追加パラメータ値として含まれ、
前記攻撃検知フェーズ通信データには、前記学習フェーズ追加パラメータ値に対応するパラメータ値が攻撃検知フェーズ追加パラメータ値として含まれ、
前記検知ルールには、前記学習フェーズ追加パラメータ値が含まれており、
前記攻撃検知部は、
前記攻撃検知フェーズにおいて、前記検知ルールに含まれる前記学習フェーズ追加パラメータ値と前記攻撃検知フェーズ追加パラメータ値とを比較して、前記監視対象システムへの攻撃を検知する請求項３に記載のデータ処理装置。 - 攻撃検知フェーズにおいて攻撃検知のために監視される監視対象システムで通信される、前記監視対象システムの動作状態を推定可能なパラメータ値が含まれる通信データを、前記攻撃検知フェーズに先立つ学習フェーズにおいて、コンピュータが、学習フェーズ通信データとして取得し、
前記コンピュータが、前記学習フェーズにおいて、前記学習フェーズ通信データの通信時の前記監視対象システムの動作状態である学習フェーズ動作状態を示す学習フェーズ動作状態値を取得し、
前記コンピュータが、前記学習フェーズにおいて、前記学習フェーズ通信データに含まれるパラメータ値である学習フェーズパラメータ値と前記学習フェーズ動作状態値とを用いた学習を行い、前記攻撃検知フェーズにおいて前記監視対象システムで通信される通信データである攻撃検知フェーズ通信データに含まれるパラメータ値である攻撃検知フェーズパラメータ値から前記攻撃検知フェーズ通信データの通信時の前記監視対象システムの動作状態である攻撃検知フェーズ動作状態を推定するための状態推定モデルを生成し、
前記コンピュータが、前記学習フェーズパラメータ値と前記学習フェーズ動作状態値とを含み、前記学習フェーズパラメータ値と前記攻撃検知フェーズパラメータ値との比較と、前記学習フェーズ動作状態値に示される前記学習フェーズ動作状態と前記攻撃検知フェーズ動作状態との比較とにより前記攻撃検知フェーズにおいて前記監視対象システムへの攻撃を検知するための検知ルールを、前記学習フェーズにおいて生成するデータ処理方法。 - 攻撃検知フェーズにおいて攻撃検知のために監視される監視対象システムで通信される、前記監視対象システムの動作状態を推定可能なパラメータ値が含まれる通信データを、前記攻撃検知フェーズに先立つ学習フェーズにおいて、学習フェーズ通信データとして取得する通信データ取得処理と、
前記学習フェーズにおいて、前記学習フェーズ通信データの通信時の前記監視対象システムの動作状態である学習フェーズ動作状態を示す学習フェーズ動作状態値を取得する学習フェーズ動作状態値取得処理と、
前記学習フェーズにおいて、前記学習フェーズ通信データに含まれるパラメータ値である学習フェーズパラメータ値と前記学習フェーズ動作状態値とを用いた学習を行い、前記攻撃検知フェーズにおいて前記監視対象システムで通信される通信データである攻撃検知フェーズ通信データに含まれるパラメータ値である攻撃検知フェーズパラメータ値から前記攻撃検知フェーズ通信データの通信時の前記監視対象システムの動作状態である攻撃検知フェーズ動作状態を推定するための状態推定モデルを生成するモデル生成処理と、
前記学習フェーズパラメータ値と前記学習フェーズ動作状態値とを含み、前記学習フェーズパラメータ値と前記攻撃検知フェーズパラメータ値との比較と、前記学習フェーズ動作状態値に示される前記学習フェーズ動作状態と前記攻撃検知フェーズ動作状態との比較とにより前記攻撃検知フェーズにおいて前記監視対象システムへの攻撃を検知するための検知ルールを、前記学習フェーズにおいて生成する検知ルール生成処理とをコンピュータに実行させるデータ処理プログラム。
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| PCT/JP2023/001858 WO2024157310A1 (ja) | 2023-01-23 | 2023-01-23 | データ処理装置、データ処理方法及びデータ処理プログラム |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JP7325695B1 true JP7325695B1 (ja) | 2023-08-14 |
Family
ID=87563138
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2023529876A Active JP7325695B1 (ja) | 2023-01-23 | 2023-01-23 | データ処理装置、データ処理方法及びデータ処理プログラム |
Country Status (2)
| Country | Link |
|---|---|
| JP (1) | JP7325695B1 (ja) |
| WO (1) | WO2024157310A1 (ja) |
Citations (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPH07234988A (ja) * | 1994-02-23 | 1995-09-05 | Mitsubishi Heavy Ind Ltd | 異常診断装置 |
| WO2017221373A1 (ja) * | 2016-06-23 | 2017-12-28 | 三菱電機株式会社 | 侵入検知装置および侵入検知プログラム |
| WO2018083913A1 (ja) * | 2016-11-01 | 2018-05-11 | 日本電信電話株式会社 | 不正侵入防止装置、不正侵入防止方法および不正侵入防止プログラム |
| WO2018134939A1 (ja) * | 2017-01-19 | 2018-07-26 | 三菱電機株式会社 | 攻撃検知装置、攻撃検知方法および攻撃検知プログラム |
| WO2020261875A1 (ja) * | 2019-06-28 | 2020-12-30 | 住友重機械工業株式会社 | 予測システム |
| JP7170945B2 (ja) * | 2020-07-17 | 2022-11-14 | 三菱電機株式会社 | 通信許可リスト生成装置、通信許可リスト生成方法、及び、プログラム |
-
2023
- 2023-01-23 WO PCT/JP2023/001858 patent/WO2024157310A1/ja unknown
- 2023-01-23 JP JP2023529876A patent/JP7325695B1/ja active Active
Patent Citations (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPH07234988A (ja) * | 1994-02-23 | 1995-09-05 | Mitsubishi Heavy Ind Ltd | 異常診断装置 |
| WO2017221373A1 (ja) * | 2016-06-23 | 2017-12-28 | 三菱電機株式会社 | 侵入検知装置および侵入検知プログラム |
| WO2018083913A1 (ja) * | 2016-11-01 | 2018-05-11 | 日本電信電話株式会社 | 不正侵入防止装置、不正侵入防止方法および不正侵入防止プログラム |
| WO2018134939A1 (ja) * | 2017-01-19 | 2018-07-26 | 三菱電機株式会社 | 攻撃検知装置、攻撃検知方法および攻撃検知プログラム |
| WO2020261875A1 (ja) * | 2019-06-28 | 2020-12-30 | 住友重機械工業株式会社 | 予測システム |
| JP7170945B2 (ja) * | 2020-07-17 | 2022-11-14 | 三菱電機株式会社 | 通信許可リスト生成装置、通信許可リスト生成方法、及び、プログラム |
Also Published As
| Publication number | Publication date |
|---|---|
| WO2024157310A1 (ja) | 2024-08-02 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| AU2019200046B2 (en) | Utilizing artificial intelligence to test cloud applications | |
| US8494996B2 (en) | Creation and revision of network object graph topology for a network performance management system | |
| US11263266B2 (en) | Traffic anomaly sensing device, traffic anomaly sensing method, and traffic anomaly sensing program | |
| US9092586B1 (en) | Version management mechanism for fluid guard ring PCells | |
| US20230362182A1 (en) | Abnormality sensing device and abnormality sensing method | |
| US20070073907A1 (en) | Device, method and computer program product readable medium for determining the identity of a component | |
| CN109726066B (zh) | 用于标识存储系统中的问题部件的方法和设备 | |
| US20110292834A1 (en) | Maintaining Time Series Models for Information Technology System Parameters | |
| CN115967618A (zh) | 一种多项目的bmc传感器配置管理方法及装置 | |
| JP7325695B1 (ja) | データ処理装置、データ処理方法及びデータ処理プログラム | |
| US20240127083A1 (en) | Systems and methods for knowledge-based reasoning of an autonomous system | |
| WO2016066081A1 (zh) | 写入数据的方法和装置技术领域 | |
| JP2023553220A (ja) | マルチインスタンスプロセスのためのプロセスマイニング | |
| US9471713B2 (en) | Handling complex regex patterns storage-efficiently using the local result processor | |
| WO2023147744A1 (zh) | 密钥状态检测方法、装置、设备及介质 | |
| WO2023275763A1 (en) | Systems and methods for knowledge-based reasoning of an autonomous system | |
| US20220075963A1 (en) | System and method for image localization in knowledge base content | |
| JP7259436B2 (ja) | 情報処理装置、情報処理方法、情報処理プログラム、及び情報処理システム | |
| WO2022113355A1 (ja) | システム監視装置、システム監視方法、及びコンピュータ読み取り可能な記録媒体 | |
| JP4615010B2 (ja) | 文書管理プログラムおよび文書管理方法 | |
| WO2023188092A1 (ja) | 情報処理装置、情報処理方法、及びコンピュータ読み取り可能な記録媒体 | |
| US20240232412A1 (en) | Information processing apparatus, information processing method, and computer readable recording medium | |
| US11797707B2 (en) | Non-transitory computer-readable recording medium having stored therein information processing program, information processing method, and information processing apparatus | |
| US20210224408A1 (en) | Non-transitory computer-readable recording medium having stored therein screen displaying program, method for screen displaying, and screen displaying apparatus | |
| CN116823477A (zh) | 一种交易处理控制方法及相关装置 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20230516 |
|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20230516 |
|
| A871 | Explanation of circumstances concerning accelerated examination |
Free format text: JAPANESE INTERMEDIATE CODE: A871 Effective date: 20230516 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20230704 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20230801 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 7325695 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |