JP7380868B2 - プロトコル識別装置、プロトコル識別方法、及びプログラム - Google Patents

Description

本発明は、産業用ネットワークにおける、特定のアプリケーションプロトコルによる通信を識別するための技術に関連するものである。

セキュリティアセスメントの観点では、意図しないアプリケーションが悪意をもって利用されていないか判断するために、ネットワーク上で利用されているアプリケーションプロトコルを把握することが重要である。

アプリケーションプロトコルの識別は一般的に宛先ポート番号の情報を利用して行われるが、産業用ネットワークでは多数の宛先ポート番号を利用するプロトコル（以降、複数宛先ポート利用プロトコルと記載）が存在することがあり、その結果、同一のプロトコルが多数の異なるプロトコルとして識別されてしまい、プロトコルの誤認や可読性低下を引き起こしてしまう。

アプリケーションプロトコルを識別する方法としては主に宛先ポート番号を利用する方法とペイロード内の情報を直接解析する方法がある。

宛先ポート番号を利用する方法として、プロトコル毎に個別に利用ポート番号表（対応表）を作成し、保持しておく方法がある。個別に対応表を保持しておけば、異なる多数の宛先ポート番号を利用するパケットに対しても、それが同一のプロトコルによるものであると識別可能である。

ペイロード内の情報を直接解析する方法としては、ペイロードのバイト列や文字列に関する辞書情報を保持し、その辞書情報を参照することで、あるプロトコルに固有のバイト列や文字列がパケット内に存在した場合にプロトコルを識別する方法がある。この方法はポート番号によらないプロトコル識別を可能とするため、辞書情報があれば複数宛先ポート利用プロトコルによるパケットを同一のプロトコルによるものと識別可能である（非特許文献１）。

S. Dharmapurikar ; P. Krishnamurthy ; T. Sproull ; J. Lockwood; Deep packet inspection using parallel Bloom filters, Proc. of 11th Symposium on High Performance Interconnects

しかし、複数宛先ポート利用プロトコルは産業用ネットワーク機器を製造するベンダ固有のプロトコルであり、仕様非公開なことが大半である。従って、宛先ポート番号やペイロード構造等の辞書情報を事前に入手することは困難である。そのため、上述したような事前情報を用いる従来の方法では、複数宛先ポート利用プロトコルのパケットを同一プロトコルのパケットとして識別することは困難である。

本発明は上記の点に鑑みてなされたものであり、事前情報を用いず、複数宛先ポート利用プロトコルのパケットを同一プロトコルのパケットとして識別することを可能とする技術を提供することを目的とする。

開示の技術によれば、ある送信元ＩＰアドレスからある宛先ＩＰアドレスへの通信に係る複数の通信データを取得する取得部と、
前記複数の通信データに基づいて、１つの送信元ポートから複数の宛先ポートへの通信を、複数宛先ポート利用プロトコルの通信の候補として抽出し、当該複数宛先ポート利用プロトコルの通信の候補から、単一宛先ポート利用プロトコルの通信を除外し、残った通信を複数宛先ポート利用プロトコルの通信として識別するプロトコル識別部と
を備えるプロトコル識別装置が提供される。

開示の技術によれば、事前情報を用いず、複数宛先ポート利用プロトコルのパケットを同一プロトコルのパケットとして識別することを可能とする技術が提供される。

本発明の実施の形態におけるシステムの全体構成図である。 プロトコルの定義を説明するための図である。 プロトコルの定義を説明するための図である。 プロトコル識別装置の処理の流れを説明するためのフローチャートである。 Ｓ１０４を説明するための図である。 Ｓ１０５を説明するための図である。 Ｓ１０６を説明するための図である。 Ｓ１０６を説明するための図である。 Ｓ１０７を説明するための図である。 Ｓ１０７を説明するための図である。 実施例１のプロトコル識別装置の構成図である。 本発明に係る技術を適用せずに可視化した場合の例を示す図である。 本発明に係る技術を適用して可視化した場合の例を示す図である。 実施例２のプロトコル識別装置の構成図である。 装置のハードウェア構成例を示す図である。

以下、図面を参照して本発明の実施の形態（本実施の形態）を説明する。以下で説明する実施の形態は一例に過ぎず、本発明が適用される実施の形態は、以下の実施の形態に限られるわけではない。

本実施の形態では、「ポート」を、ポート番号で識別される、通信データ（パケットと称してもよい）の入口（宛先の場合）又は出口（送信元の場合）の意味で使用する。また、ｓｒｃＰｏｒｔは送信元ポートであり、ｄｓｔＰｏｒｔは宛先ポートである。なお、ｓｒｃＰｏｒｔを送信元ポート番号、ｄｓｔＰｏｒｔを宛先ポート番号の意味で使用する場合もある。また、「アプリケーションプロトコル」を「プロトコル」と呼ぶ場合がある。

（実施の形態の概要）
本実施の形態では、プロトコル識別装置１００が、事前情報を用いず、複数宛先ポート利用プロトコルのパケットを同一プロトコルのパケットとして識別する。

上記の同一プロトコルとして識別される複数宛先ポート利用プロトコルの多くは、送信元ポートを固定して多数の宛先ポート宛にパケットを送信するという一般的なプロトコルにない挙動を示す。そこで、プロトコル識別装置１００は、２ホスト間の通信に関して、送信元ポート番号と宛先ポート番号の対応関係を全て洗い出した上で、同一の送信元ポートから複数の宛先ポートに向けて行われる通信を複数宛先ポート利用プロトコルによる通信として識別する。

その際、プロトコル識別装置１００は、複数宛先ポート利用プロトコルと一般的なプロトコルとの間、もしくは複数の複数宛先ポート利用プロトコルの間で、利用する宛先ポート番号が重複してまった場合でも、それぞれの通信を正しく区別可能とする例外対応処理も実施することとしている。

本実施の形態におけるプロトコル識別装置１００により、従来技術では複数の異なるアプリケーションプロトコルとして誤認識されてしまう複数宛先ポート利用プロトコルの識別が可能となる。これにより、セキュリティリスクをより正確に認識可能となる。

（システム構成）
図１に、本実施の形態におけるシステム構成図を示す。図１に示すように、本実施の形態におけるシステムは、プロトコル識別装置１００、通信元装置２００、通信先装置３００を有し、これらがネットワークを介してＳＷ（スイッチ）４００に接続されている。

通信元装置２００、通信先装置３００はそれぞれＩＰ通信を行う装置であり、通信元装置２００がパケットを送信し、通信先装置３００がパケットを受信する。通信元装置２００と通信先装置３００をそれぞれホストと称してもよい。また、図１には、通信元装置２００と通信先装置３００がそれぞれ１つずつ示されているが、複数の通信元装置２００と複数の通信先装置３００が存在してもよい。

通信元装置２００から通信先装置３００へ送信されるパケットは、ＳＷ４００により、プロトコル識別装置１００へも送信され、プロトコル識別装置１００が当該パケットを受信する。プロトコル識別装置１００は、受信したパケットを解析することで、プロトコルの識別を行う。

図１に示すとおり、プロトコル識別装置１００は、受信部１１０、ＵＤＰ通信抽出部１２０、通信データ分割部１３０、プロトコル識別部１４０を有する。プロトコル識別装置１００の詳細動作については後述する。

（プロトコルの定義及び前提条件）
本実施の形態におけるプロトコル識別装置１００の動作を説明するにあたり、まず、本実施の形態におけるプロトコルの定義及び前提条件を説明する。

＜プロトコルの定義＞
「複数宛先ポート利用プロトコル」は、図２に示すように、ある送信元ＩＰアドレス（ｓｒｃＩＰ）－宛先ＩＰアドレス（ｄｓｔＩＰ）間の通信であって、同一の送信元ポート（ｓｒｃＰｏｒｔ）から複数の宛先ポート（ｄｓｔＰｏｒｔ）宛に通信を行うプロトコルである。

「単一宛先ポート利用プロトコル」は、図３に示すように、ある送信元ＩＰアドレス（ｓｒｃＩＰ）－宛先ＩＰアドレス（ｄｓｔＩＰ）間の通信であって、同一のｄｓｔＰｏｒｔに対して、通信のセッション毎に異なるｓｒｃＰｏｒｔで通信を行うプロトコルである。

なお、図２、図３（及び以降の図も同様）に示される「〇」は、ポート番号で識別されるポートを示す。

＜本実施の形態におけるネットワークの前提条件＞
本実施の形態では、複数宛先ポート利用プロトコル（識別対象）と単一宛先ポート利用プロトコルによる通信が混在することを前提としている。また、複数宛先ポート利用プロトコルはＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ）での通信であることを前提としている。

（プロトコル識別装置の動作例）
次に、図４のフローチャートに示す手順に沿って、図１に示す構成を備えるプロトコル識別装置１００の動作例を説明する。

＜Ｓ１０１、Ｓ１０２、Ｓ１０３：前処理＞
プロトコル識別装置１００は、前処理として、下記のＳ１０１～Ｓ１０３を実行する。

Ｓ１０１において、受信部１１０が、通信データ（パケットと称してもよい）を受信する。Ｓ１０１においては、受信部１１０は、例えば、予め定めた期間における複数の通信データを受信する。受信部１１０により受信した通信データはＵＤＰ通信抽出部１２０に入力される。

Ｓ１０２において、ＵＤＰ通信抽出部１２０は、入力された通信データから、ＵＤＰ通信の通信データを抽出する。Ｓ１０３において、通信データ分割部１３０は、送信元と宛先のＩＰアドレスの組（ｓｒｃＩＰ，ｄｓｔＩＰ）毎に通信データを分割する。

例えば、（ｓｒｃＩＰ１，ｄｓｔＩＰ２）である１０個の通信データ、（ｓｒｃＩＰ１，ｄｓｔＩＰ３）である２０個の通信データ、（ｓｒｃＩＰ１，ｄｓｔＩＰ３）である１０個の通信データ、（ｓｒｃＩＰ２，ｄｓｔＩＰ１）である２０個の通信データ、のようにして、送信元と宛先のＩＰアドレスの組（ｓｒｃＩＰ，ｄｓｔＩＰ）毎に通信データが分割される。

分割により得られた通信データは、プロトコル識別装置１００におけるメモリやハードディスク等の記憶媒体（記憶部と呼んでもよい）に格納され、プロトコル識別部１４０により読み出されて、後述するプロトコル識別処理が実行される。

なお、受信部１１０、ＵＤＰ通信抽出部１２０、及び通信データ分割部１３０により、ある送信元ＩＰアドレスからある宛先ＩＰアドレスへの通信に係る複数の通信データが取得されることから、「受信部＋ＵＤＰ通信抽出部＋通信データ分割部」を「取得部」と呼んでもよい。

続いて、Ｓ１０４～Ｓ１０７において、プロトコル識別装置１００のプロトコル識別部１４０は、Ｓ１０３で得られた通信データを分析することで、複数宛先ポート利用プロトコルを識別する処理を行う。以下、Ｓ１０４～Ｓ１０７の各ステップを、図面を参照しながら詳細に説明する。

Ｓ１０４～Ｓ１０７は、送信元と宛先のＩＰアドレスの組毎に実行される。以下では、処理対象の送信元と宛先のＩＰアドレスの組として、特定の（ｓｒｃＩＰ，ｄｓｔＩＰ）の組を対象とした処理について説明する。

また、Ｓ１０４～Ｓ１０７の説明において、（送信元ＩＰアドレス，送信元ポート番号，宛先ＩＰアドレス，宛先ポート番号）の組で識別されるものを「通信」と呼ぶ。Ｓ１０４～Ｓ１０７では、特定の（ｓｒｃＩＰ，ｄｓｔＩＰ）の組を対象としているので、（送信元ポート番号，宛先ポート番号）の組で識別されるものを「通信」と呼んでよい。

また、例えば、複数の通信データから、送信元ポートＡ（ポート番号＝Ａ）から宛先ポートＢ（ポート番号＝Ｂ）への通信を抽出するとは、当該複数の通信データから、（ｓｒｃＰｏｒｔ＝Ａ，ｄｓｔＰｏｒｔ＝Ｂ）にマッチする通信データを抽出することに相当する。

＜Ｓ１０４：複数宛先ポート利用プロトコル通信候補の抽出＞
Ｓ１０４において、プロトコル識別部１４０は、対象の通信データの中から、複数のｄｓｔＰｏｒｔ宛の通信の送信元となるｓｒｃＰｏｒｔを、複数宛先ポート利用プロトコル通信候補のｓｒｃＰｏｒｔとして特定し、特定したｓｒｃＰｏｒｔから当該複数のｄｓｔＰｏｒｔへのそれぞれの通信を複数宛先ポート利用プロトコル通信候補として抽出する。

図５に抽出の一例を示す。図５の例では、プロトコル識別部１４０は、（ｓｒｃＩＰ，ｄｓｔＩＰ）の組の複数の通信データに基づいて、ｓｒｃＰｏｒｔ－Ａを送信元とする複数のｄｓｔＰｏｒｔ－Ｂ、Ｃ、Ｄ、Ｅ、Ｆ宛の通信を検出したので、ｓｒｃＰｏｒｔ－Ａを複数宛先ポート利用プロトコル通信候補のｓｒｃＰｏｒｔとして特定し、特定したｓｒｃＰｏｒｔ‐Ａから当該複数のｄｓｔＰｏｒｔ－Ｂ、Ｃ、Ｄ、Ｅ、Ｆへのそれぞれの通信を複数宛先ポート利用プロトコル通信候補として抽出する。

同様にして、プロトコル識別部１４０は、ｓｒｃＰｏｒｔ‐ＨからｄｓｔＰｏｒｔ－Ｌ、Ｍへのそれぞれの通信を複数宛先ポート利用プロトコル通信候補として抽出し、ｓｒｃＰｏｒｔ‐ＩからｄｓｔＰｏｒｔ－Ｌ、Ｍへのそれぞれの通信を複数宛先ポート利用プロトコル通信候補として抽出する。

なお、図５には、Ｓ１０５の処理により識別されることになる単一宛先ポート利用プロトコル１、２も示されている。

＜Ｓ１０５：単一宛先ポート利用プロトコル通信の除外＞
Ｓ１０５において、プロトコル識別部１４０は、Ｓ１０４において抽出した複数宛先ポート利用プロトコル通信の候補から、単一宛先ポート利用プロトコル通信の除外を行う。具体的には下記のとおりである。

プロトコル識別部１４０は、対象の通信データの中から、複数のｓｒｃＰｏｒｔを送信元とする通信の宛先のｄｓｔＰｏｒｔと、そのｄｓｔＰｏｒｔ宛の通信の送信元の各ｓｒｃＰｏｒｔを識別し、当該各ｓｒｃＰｏｒｔから宛先のｄｓｔＰｏｒｔへの通信を単一宛先ポート利用プロトコルの通信であると判定し、単一宛先ポート利用プロトコルの通信を、Ｓ１０４において抽出した複数宛先ポート利用プロトコル通信の候補から除外する。

プロトコル識別部１４０は、単一宛先ポート利用プロトコルの通信を除外することにより残った通信を複数宛先ポート利用プロトコルの通信として識別し、その通信のｓｒｃＰｏｒｔを複数宛先ポート利用プロトコル通信の識別子として抽出する。

図６の具体例では、プロトコル識別部１４０は、（ｓｒｃＩＰ，ｄｓｔＩＰ）の組の複数の通信データに基づいて、ｓｒｃＰｏｒｔ‐ＧからｄｓｔＰｏｒｔ‐Ｌへの通信、ｓｒｃＰｏｒｔ‐ＨからｄｓｔＰｏｒｔ‐Ｌへの通信、及びｓｒｃＰｏｒｔ‐ＩからｄｓｔＰｏｒｔ‐Ｌへの通信を単一宛先ポート利用プロトコル１の通信として抽出する。また、プロトコル識別部１４０は、ｓｒｃＰｏｒｔ‐ＧからｄｓｔＰｏｒｔ‐Ｊへの通信、ｓｒｃＰｏｒｔ‐ＨからｄｓｔＰｏｒｔ‐Ｊへの通信、及びｓｒｃＰｏｒｔ‐ＩからｄｓｔＰｏｒｔ‐Ｊへの通信を単一宛先ポート利用プロトコル１の通信として抽出する。

また、プロトコル識別部１４０は、ｓｒｃＰｏｒｔ‐ＨからｄｓｔＰｏｒｔ‐Ｍへの通信、ｓｒｃＰｏｒｔ‐ＩからｄｓｔＰｏｒｔ‐Ｍへの通信、ｓｒｃＰｏｒｔ‐ＪからｄｓｔＰｏｒｔ‐Ｍへの通信、及びｓｒｃＰｏｒｔ‐ＫからｄｓｔＰｏｒｔ‐Ｍへの通信を単一宛先ポート利用プロトコル２の通信として抽出する。

上記の単一宛先ポート利用プロトコル１、２の通信のうち、ｓｒｃＰｏｒｔ‐ＨからｄｓｔＰｏｒｔ‐Ｌへの通信と、ｓｒｃＰｏｒｔ‐ＨからｄｓｔＰｏｒｔ‐Ｍへの通信は、ｓｒｃＰｏｒｔ‐ＨをｓｒｃＰｏｒｔとする複数宛先ポート利用プロトコル通信であり、ｓｒｃＰｏｒｔ‐ＩからｄｓｔＰｏｒｔ‐Ｌへの通信とｓｒｃＰｏｒｔ‐ＩからｄｓｔＰｏｒｔ‐Ｍへの通信は、ｓｒｃＰｏｒｔ‐ＩをｓｒｃＰｏｒｔとする複数宛先ポート利用プロトコル通信である。

これらの複数宛先ポート利用プロトコル通信は、Ｓ１０４において、複数宛先ポート利用プロトコル通信の候補として抽出されていたものである。Ｓ１０５では、これらの通信が、Ｓ１０４において複数宛先ポート利用プロトコル通信の候補として抽出された通信から除外される。

＜Ｓ１０６：複数宛先ポート利用プロトコル間のｄｓｔＰｏｒｔ重複対応処理＞
まず、Ｓ１０６の必要性を説明する。複数の複数宛先ポート利用プロトコル間で利用ｄｓｔＰｏｒｔが重複した場合、重複したｄｓｔＰｏｒｔに紐づく通信がＳ１０５により単一宛先ポート利用プロトコルの通信と判定され除外されてしまう。

このことについて、図７を参照して説明する。図７は、Ｓ１０４において、複数宛先ポート利用プロトコル１の通信（ｓｒｃＰｏｒｔ－ＡからｄｓｔＰｏｒｔ‐Ｂ、Ｃ、Ｄ、Ｅ、Ｆへの通信）と、複数宛先ポート利用プロトコル２の通信（ｓｒｃＰｏｒｔ－ＧからｄｓｔＰｏｒｔ‐Ｅ、Ｆ、Ｈ、Ｉ、Ｊへの通信）の２つの複数宛先ポート利用プロトコルの通信が抽出された場合の例を示している。

これら２つの複数宛先ポート利用プロトコルの通信の間で、ｄｓｔＰｏｒｔ‐Ｅ、Ｆが重複している。

この場合、Ｓ１０５において、ｓｒｃＰｏｒｔ－Ａ、ＧからｄｓｔＰｏｒｔ－Ｅへの単一宛先ポート利用プロトコル通信と、ｓｒｃＰｏｒｔ－Ａ、ＧからｄｓｔＰｏｒｔ－Ｆへの単一宛先ポート利用プロトコル通信とが除外される。しかし、これらの通信はいずれも、複数宛先ポート利用プロトコルの通信の中の一部の通信であるため、除外されるべきではない。そのため、例外的に複数宛先ポート利用プロトコルの通信として判定し直す必要がある。

そこで、Ｓ１０６において、プロトコル識別部１４０は、Ｓ１０５で除外された通信であっても、それが複数宛先ポート利用プロトコルのｓｒｃＰｏｒｔからのみ発信される通信であれば、当該通信を複数宛先ポート利用プロトコルの通信として識別し直す。つまり、複数宛先ポート利用プロトコルのｓｒｃＰｏｒｔのみをｓｒｃＰｏｒｔとして有する単一宛先ポート利用プロトコルの通信を複数宛先ポート利用プロトコルの通信として再識別する。

図７に示した具体例では、Ｓ１０５で除外されたｓｒｃＰｏｒｔ－Ａ、ＧからｄｓｔＰｏｒｔ－Ｅへの通信と、ｓｒｃＰｏｒｔ－Ａ、ＧからｄｓｔＰｏｒｔ－Ｆへの通信はいずれも、ｓｒｃＰｏｒｔ－Ａ、ＧをｓｒｃＰｏｒｔとしており、ｓｒｃＰｏｒｔ－Ａ、Ｇは、複数宛先ポート利用プロトコルのｓｒｃＰｏｒｔのみを有する。

従って、図８に示すように、プロトコル識別部１４０は、ｓｒｃＰｏｒｔ－Ａ、ＧからｄｓｔＰｏｒｔ－Ｅへの通信、及びｓｒｃＰｏｒｔ－Ａ、ＧからｄｓｔＰｏｒｔ－Ｆへの通信のうち、ｓｒｃＰｏｒｔ－ＡからｄｓｔＰｏｒｔ－Ｅ、Ｆへの通信を複数宛先ポート利用プロトコル１の通信として再識別し、ｓｒｃＰｏｒｔ－ＧからｄｓｔＰｏｒｔ－Ｅ、Ｆへの通信を複数宛先ポート利用プロトコル２の通信として再識別する。

＜Ｓ１０７：複数宛先ポート利用-単一宛先ポート利用プロトコル間のｄｓｔＰｏｒｔ重複対応処理＞
まず、Ｓ１０７の必要性を説明する。複数宛先ポート利用プロトコルの通信と単一宛先ポート利用プロトコルの通信との間で利用ｄｓｔＰｏｒｔが重複した場合、重複したｄｓｔＰｏｒｔに紐づく通信がＳ１０５により単一宛先ポート利用プロトコルの通信と判定され除外されてしまう。

このことについて、図９を参照して説明する。図９の例では、Ｓ１０４において、ｓｒｃＰｏｒｔ－ＡからｄｓｔＰｏｒｔ‐Ｂ、Ｃ、Ｄ、Ｅへの通信である複数宛先ポート利用プロトコルの通信が抽出される。また、Ｓ１０５において、ｓｒｃＰｏｒｔ－Ａ、Ｆ、Ｇ、Ｈ、ＩからｄｓｔＰｏｒｔ‐Ｅへの通信である単一宛先ポート利用プロトコルの通信が抽出され、ｓｒｃＰｏｒｔ－ＡからｄｓｔＰｏｒｔ‐Ｅへの通信が、複数宛先ポート利用プロトコルの通信から除外される。

しかし、ｓｒｃＰｏｒｔ－ＡからｄｓｔＰｏｒｔ‐Ｅへの通信は、複数宛先ポート利用プロトコルの通信の中の一部の通信であるため、除外されるべきではない。そのため、複数宛先ポート利用プロトコルの通信として判定し直す必要がある。

そこで、Ｓ１０７において、プロトコル識別部１４０は、Ｓ１０５で除外された通信であっても、それが複数宛先ポート利用プロトコルのｓｒｃＰｏｒｔからのみ発信される通信であれば、当該通信を複数宛先ポート利用プロトコルの通信として識別し直す。

すなわち、プロトコル識別部１４０は、Ｓ１０５において候補から除外された単一宛先ポート利用プロトコルの通信のうち、当該候補に係る複数宛先ポート利用プロトコルの宛先ポートを宛先ポートとする単一宛先ポート利用プロトコルにおける、当該候補に係る複数宛先ポート利用プロトコルの送信元ポートからの通信を複数宛先ポート利用プロトコルの通信として再識別する。

図９で説明した具体例では、Ｓ１０５で除外されたｓｒｃＰｏｒｔ－ＡからｄｓｔＰｏｒｔ－Ｅへの通信は、複数宛先ポート利用プロトコルのｄｓｔＰｏｒｔ－Ｅを宛先ポートとする単一宛先ポート利用プロトコルにおける、複数宛先ポート利用プロトコルのｓｒｃＰｏｒｔ－Ａからの通信である。

よって、図１０に示すように、ｒｃＰｏｒｔ－ＡからｄｓｔＰｏｒｔ－Ｅへの通信を複数宛先ポート利用プロトコルの通信として再識別する。

以下、これまでに説明したプロトコル識別技術を用いた実施例として、実施例１、２を説明する。なお、実施例１と実施例２は組み合わせて実施してもよい。

（実施例１）
実施例１では、産業用制御システムネットワークにおいて、プロトコル識別装置１００が、各ホストが利用するアプリケーションの特定を行う。

図１１に、実施例１におけるプロトコル識別装置１００を有するシステムの構成例を示す。図１１に示すように、実施例１のプロトコル識別装置１００は、受信部１１０、ＵＤＰ通信抽出部１２０、通信データ分割部１３０、プロトコル識別部１４０、可視化部１５０を有する。受信部１１０、ＵＤＰ通信抽出部１２０、通信データ分割部１３０、プロトコル識別部１４０は、既に説明したとおりである。

可視化部１５０は、プロトコル識別部１４０により識別されたアプリケーションプロトコル名を表示する。プロトコル識別部１４０によりアプリケーションプロトコルが識別できなかった場合、可視化部１５０は、（ポート番号／Ｌ４プロトコル名）の組をアプリケーション名として表示する
実施例１では、送信元ポート番号１３０００番を利用して１００００個以上の宛先ポート番号のポートに通信する仕様非公開のアプリケーションプロトコルが存在することをネットワーク環境条件としている。

図１２は、本発明に係る技術を適用せずに、宛先ポート番号に基づいてアプリケーションプロトコルを識別して可視化した表示例を示している。図１２には、送信元のＩＰアドレス及びＭＡＣアドレスと、識別されたアプリケーションプロトコルが示されている。

図１２に示すように、本発明に係る技術を適用しない場合、１００００個以上存在するポート番号毎にアプリケーションプロトコルが動作しているように見えてしまう。そのため、本来存在するアプリケーションの数を正確に把握することができず、また可視化結果の可読性も大きく低下させる。

図１３は、実施例１のプロトコル識別装置１００により可視化した表示例を示す。図１３には、送信元のＩＰアドレス及びＭＡＣアドレスと、識別されたサービスが示されている。

図１３に示すように、同一の送信元ポート（ポート番号１３０００番）から複数の宛先ポートを利用する通信を、送信元ポート番号を識別キーとして一つアプリケーション（サービス）として識別し、表示する。これにより、アプリケーション数を正しく把握でき、可読性も向上する。

（実施例２）
実施例２では、プロトコル識別装置１００が、産業用制御システムネットワークにおけるホワイトリストエントリの自動生成を行う。

図１４に、実施例２におけるプロトコル識別装置１００を有するシステムの構成例を示す。図１４に示すように、実施例２のプロトコル識別装置１００は、受信部１１０、ＵＤＰ通信抽出部１２０、通信データ分割部１３０、プロトコル識別部１４０、ホワイトリスト生成部１６０を有する。受信部１１０、ＵＤＰ通信抽出部１２０、通信データ分割部１３０、プロトコル識別部１４０は、既に説明したとおりである。ホワイトリスト生成部１６０は、後述する方法でホワイトリストのエントリを生成する。

実施例２でも、送信元ポート番号１３０００番を利用して１００００個以上の宛先ポート番号のポートに通信する仕様非公開のアプリケーションプロトコルが存在することをネットワーク環境条件としている。

実施例２では、まず、プロトコル識別部１４０が、取得した通信データ（パケットと称してもよい）に対して本発明に係る技術を適用し、複数宛先ポート利用プロトコルのｓｒｃＰｏｒｔを抽出する。説明の便宜上、この抽出されたｓｒｃＰｏｒｔをｓｒｃＰｏｒｔ－Ａとする。抽出されたｓｒｃＰｏｒｔが複数である場合は、各ｓｒｃＰｏｒｔに対して以下の処理を行う。

ホワイトリスト生成部１６０は、（１）複数宛先ポート利用プロトコル通信に関する処理、及び（２）単一宛先ポート利用プロトコル通信に関する処理を実行する。以下、（１）、（２）それぞれの処理を説明する。

（１）複数宛先ポート利用プロトコル通信に関する処理
ホワイトリスト生成部１６０は、ｓｒｃＰｏｒｔ―Ａにより識別される複数宛先ポート利用プロトコルの当該ｓｒｃＰｏｒｔ‐Ａを送信元ポート番号とする各通信データの宛先ポート番号（ｄｓｔＰｏｒｔ）を抽出し、抽出したｄｓｔＰｏｒｔの最小値と最大値を計算する。

続いて、ホワイトリスト生成部１６０は、当該複数宛先ポート利用プロトコルのｓｒｃＰｏｒｔ‐Ａを送信元ポート番号とする通信データの（ｓｒｃＩＰ，ｄｓｔＩＰ，ｓｒｃＰｏｒｔ，ｄｓｔＰｏｒｔ，ｕｄｐ／ｔｃｐ）をエントリ情報として設定する。なお、ｄｓｔＰｏｒｔのみ範囲指定とし、範囲は事前に抽出した最小値から最大値までとする。範囲指定が不可能な場合はワイルドカードとする。

以上の処理により、複数宛先ポート利用プロトコル通信に関するホワイトリストが生成される。

（２）単一宛先ポート利用プロトコル通信に関する処理
ホワイトリスト生成部１６０は、ｓｒｃＰｏｒｔ‐Ａにより識別される複数宛先ポート利用プロトコルの当該ｓｒｃＰｏｒｔ－Ａを送信元ポート番号としない通信データについて、通信データ内の（ｓｒｃＩＰ，ｄｓｔＩＰ，ｄｓｔＰｏｒｔ，ｕｄｐ／ｔｃｐ）をエントリ情報として設定し、ｓｒｃＰｏｒｔはワイルドカードとする。

以上の処理により、単一宛先ポート利用プロトコル通信に関するホワイトリストが生成される。

＜実施例２の期待される効果＞
実施例２により、機器リソース及び運用管理コストの削減が可能である。すなわち、実施例２により、１００００個以上利用されることがある複数宛先ポート利用プロトコルのｄｓｔＰｏｒｔを別エントリとして登録せず、範囲指定の１エントリに圧縮することでホワイトリストエントリ数を大幅に削減し、ＩＤＳ（Intrusion Detection System）等の機器リソース及びＩＤＳ運用者のホワイトリスト運用管理コストを削減することが可能となる。

（ハードウェア構成例）
図１、図１１、図１４を参照して説明した本実施の形態におけるプロトコル識別装置１００は、例えば、コンピュータに、本実施の形態で説明する処理内容を記述したプログラムを実行させることにより実現することができる。

上記プログラムは、コンピュータが読み取り可能な記録媒体（可搬メモリ等）に記録して、保存したり、配布したりすることが可能である。また、上記プログラムをインターネットや電子メール等、ネットワークを通して提供することも可能である。

図１５は、上記コンピュータのハードウェア構成例を示す図である。図１５のコンピュータは、それぞれバスＢＳで相互に接続されているドライブ装置１０００、補助記憶装置１００２、メモリ装置１００３、ＣＰＵ１００４、インタフェース装置１００５、表示装置１００６、入力装置１００７、出力装置１００８等を有する。

当該コンピュータでの処理を実現するプログラムは、例えば、ＣＤ－ＲＯＭ又はメモリカード等の記録媒体１００１によって提供される。プログラムを記憶した記録媒体１００１がドライブ装置１０００にセットされると、プログラムが記録媒体１００１からドライブ装置１０００を介して補助記憶装置１００２にインストールされる。但し、プログラムのインストールは必ずしも記録媒体１００１より行う必要はなく、ネットワークを介して他のコンピュータよりダウンロードするようにしてもよい。補助記憶装置１００２は、インストールされたプログラムを格納すると共に、必要なファイルやデータ等を格納する。

メモリ装置１００３は、プログラムの起動指示があった場合に、補助記憶装置１００２からプログラムを読み出して格納する。ＣＰＵ１００４は、メモリ装置１００３に格納されたプログラムに従って、プロトコル識別装置１００に係る機能を実現する。インタフェース装置１００５は、ネットワークに接続するためのインタフェースとして用いられる。表示装置１００６はプログラムによるＧＵＩ（Ｇｒａｐｈｉｃａｌ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ）等を表示する。入力装置１００７はキーボード及びマウス、ボタン、又はタッチパネル等で構成され、様々な操作指示を入力させるために用いられる。出力装置１００８は演算結果を出力する。

（実施の形態の効果）
本実施の形態に係る技術により、従来技術では複数の異なるアプリケーションプロトコルとして誤認識されてしまう複数宛先ポート利用プロトコルの識別を行うことが可能となり、セキュリティリスクをより正確に認識可能となる。

（実施の形態のまとめ）
本明細書には、少なくとも下記の各項に記載したプロトコル識別装置、プロトコル識別方法、及びプログラムが記載されている。
（第１項）
ある送信元ＩＰアドレスからある宛先ＩＰアドレスへの通信に係る複数の通信データを取得する取得部と、
前記複数の通信データに基づいて、１つの送信元ポートから複数の宛先ポートへの通信を、複数宛先ポート利用プロトコルの通信の候補として抽出し、当該複数宛先ポート利用プロトコルの通信の候補から、単一宛先ポート利用プロトコルの通信を除外し、残った通信を複数宛先ポート利用プロトコルの通信として識別するプロトコル識別部と
を備えるプロトコル識別装置。
（第２項）
前記プロトコル識別部は、前記候補から除外された単一宛先ポート利用プロトコルの通信のうち、複数宛先ポート利用プロトコルの送信元ポートのみを複数の送信元ポートとして有する単一宛先ポート利用プロトコルの通信を複数宛先ポート利用プロトコルの通信として再識別する
第１項に記載のプロトコル識別装置。
（第３項）
前記プロトコル識別部は、前記候補から除外された単一宛先ポート利用プロトコルの通信のうち、前記候補に係る複数宛先ポート利用プロトコルの宛先ポートを宛先ポートとする単一宛先ポート利用プロトコルにおける、前記候補に係る複数宛先ポート利用プロトコルの送信元ポートからの通信を複数宛先ポート利用プロトコルの通信として再識別する
第１項又は第２項に記載のプロトコル識別装置。
（第４項）
前記プロトコル識別部は、複数宛先ポート利用プロトコルの通信として識別された通信の送信元ポートを、当該複数宛先ポート利用プロトコルの識別子として抽出し、前記プロトコル識別装置は、前記識別子を表示する可視化部を備える
第１項ないし第３項のうちいずれか１項に記載のプロトコル識別装置。
（第５項）
前記プロトコル識別部により抽出された複数宛先ポート利用プロトコルの通信の送信元ポート番号と、当該複数宛先ポート利用プロトコルの通信の宛先ポート番号の最小値と最大値による範囲指定とを有するホワイトリストを生成するホワイトリスト生成部
を備える第１項ないし第４項のうちいずれか１項に記載のプロトコル識別装置。
（第６項）
プロトコル識別装置が実行するプロトコル識別方法であって、
ある送信元ＩＰアドレスからある宛先ＩＰアドレスへの通信に係る複数の通信データを取得するステップと、
前記複数の通信データに基づいて、１つの送信元ポートから複数の宛先ポートへの通信を、複数宛先ポート利用プロトコルの通信の候補として抽出し、当該複数宛先ポート利用プロトコルの通信の候補から、単一宛先ポート利用プロトコルの通信を除外し、残った通信を複数宛先ポート利用プロトコルの通信として識別するステップと
を備えるプロトコル識別方法。
（第７項）
コンピュータを、第１項ないし第５項のうちいずれか１項に記載のプロトコル識別装置における各部として機能させるためのプログラム。

以上、本実施の形態について説明したが、本発明はかかる特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。

１００ プロトコル識別装置
１１０ 受信部
１２０ ＵＤＰ通信抽出部
１３０ 通信データ分割部
１４０ プロトコル識別部
１５０ 可視化部
１６０ ホワイトリスト生成部
２００ 通信元装置
３００ 通信先装置
４００ ＳＷ
１０００ ドライブ装置
１００１ 記録媒体
１００２ 補助記憶装置
１００３ メモリ装置
１００４ ＣＰＵ
１００５ インタフェース装置
１００６ 表示装置
１００７ 入力装置
１００８ 出力装置

Claims (7)

1. ある送信元ＩＰアドレスからある宛先ＩＰアドレスへの通信に係る複数の通信データを取得する取得部と、
   前記複数の通信データに基づいて、１つの送信元ポートから複数の宛先ポートへの通信を、複数宛先ポート利用プロトコルの通信の候補として抽出し、当該複数宛先ポート利用プロトコルの通信の候補から、単一宛先ポート利用プロトコルの通信を除外し、残った通信を複数宛先ポート利用プロトコルの通信として識別するプロトコル識別部と
   を備えるプロトコル識別装置。
2. 前記プロトコル識別部は、前記候補から除外された単一宛先ポート利用プロトコルの通信のうち、複数宛先ポート利用プロトコルの送信元ポートのみを複数の送信元ポートとして有する単一宛先ポート利用プロトコルの通信を複数宛先ポート利用プロトコルの通信として再識別する
   請求項１に記載のプロトコル識別装置。
3. 前記プロトコル識別部は、前記候補から除外された単一宛先ポート利用プロトコルの通信のうち、前記候補に係る複数宛先ポート利用プロトコルの宛先ポートを宛先ポートとする単一宛先ポート利用プロトコルにおける、前記候補に係る複数宛先ポート利用プロトコルの送信元ポートからの通信を複数宛先ポート利用プロトコルの通信として再識別する
   請求項１又は２に記載のプロトコル識別装置。
4. 前記プロトコル識別部は、複数宛先ポート利用プロトコルの通信として識別された通信の送信元ポートを、当該複数宛先ポート利用プロトコルの識別子として抽出し、前記プロトコル識別装置は、前記識別子を表示する可視化部を備える
   請求項１ないし３のうちいずれか１項に記載のプロトコル識別装置。
5. 前記プロトコル識別部により抽出された複数宛先ポート利用プロトコルの通信の送信元ポート番号と、当該複数宛先ポート利用プロトコルの通信の宛先ポート番号の最小値と最大値による範囲指定とを有するホワイトリストを生成するホワイトリスト生成部
   を備える請求項１ないし４のうちいずれか１項に記載のプロトコル識別装置。
6. プロトコル識別装置が実行するプロトコル識別方法であって、
   ある送信元ＩＰアドレスからある宛先ＩＰアドレスへの通信に係る複数の通信データを取得するステップと、
   前記複数の通信データに基づいて、１つの送信元ポートから複数の宛先ポートへの通信を、複数宛先ポート利用プロトコルの通信の候補として抽出し、当該複数宛先ポート利用プロトコルの通信の候補から、単一宛先ポート利用プロトコルの通信を除外し、残った通信を複数宛先ポート利用プロトコルの通信として識別するステップと
   を備えるプロトコル識別方法。
7. コンピュータを、請求項１ないし５のうちいずれか１項に記載のプロトコル識別装置における各部として機能させるためのプログラム。

Images