JP7462550B2 - 通信監視対処装置、通信監視対処方法、及び通信監視対処システム - Google Patents

Description

本発明は、通信監視対処装置、通信監視対処方法、及び通信監視対処システムに関する。

Ｓｏｃｉｅｔｙ５．０の社会では、産業分野においてもＩｏＴ機器と連携した構成を有するＩｏＴシステムの導入が促進される。これに伴い、産業分野へのサイバー攻撃は社会に対する影響の大きさ等から拡大していくと想定される。システム内のある装置に対するセキュリティ侵害が発生した場合、システムから当該装置をネットワークから隔離することなどが基本的な対応となる。

例えば、特許文献１（特開２０１７－１１１５３２号公報）には、統合生産システムが、ネットワークに接続された安全計装システムと、統合生産システムに対する内部及び外部の少なくとも一方からのサイバー攻撃を検知する検知装置と、安全計装システムの一部をなし、検知装置の検知結果に基づいて、自装置の少なくとも一部の機能を制限する対策を行う安全コントローラとを備えることが記載されている。

特開２０１７－１１１５３２号公報

しかし、特許文献１のようなシステムでは、サイバー攻撃を検知すると装置に関わる業務が停止してこれによる事業（業務）の継続に影響が生じるが、これに対処する構成を充分に備えていないために、事業（業務）の継続に支障が生じやすいという問題がある。

本発明は、上記事情に鑑みなされたものであり、その目的は、不正通信があったシステムに対して可用性及び安全性を確保した対応を行うことが可能な通信監視対処装置、通信監視対処方法、及び通信監視対処システムを提供することにある。

上記課題を解決するための本発明の一つは、プロセッサ及びメモリを有し、複数の装置が互いに通信可能に接続されているネットワークにおける不正な通信を検知し、検知した不正な通信に関わる装置を特定する不正通信検知部と、前記ネットワークの情報及び前記複数の装置が行う各処理の情報に基づき、前記特定した装置に代わる他の装置を検索すると共に前記特定した装置の処理に代わり行われる処理の情報である対処情報を生成する対処処理決定部と、前記対処情報が示す処理を前記他の装置に実行させる情報処理装置に、前記生成した対処情報を送信する対処情報送信部と、を備え、前記対処処理決定部は、前記他の装置を検索できたか否かを判定し、前記他の装置を検索できなかった場合には、前記対処情報として、前記特定した装置が処理を制限して実行する旨の情報を生成する通信監視対処装置、とする。

また、上記課題を解決するための本発明の他の一つは、情報処理装置が、複数の装置が互いに通信可能に接続されているネットワークにおける不正な通信を検知し、検知した不正な通信に関わる装置を特定する不正通信検知処理と、前記ネットワークの情報及び前記複数の装置が行う各処理の情報に基づき、前記特定した装置に代わる他の装置を検索すると共に前記特定した装置の処理に代わり行われる処理の情報である対処情報を生成する対処処理決定処理と、前記対処情報が示す処理を前記他の装置に実行させる情報処理装置に、前記生成した対処情報を送信する対処情報送信処理と、を実行し、前記対処処理決定処理においては、前記他の装置を検索できたか否かを判定し、前記他の装置を検索できなかった場合には、前記対処情報として、前記特定した装置が処理を制限して実行する旨の情報を生成する通信監視対処方法とする。

また、上記課題を解決するための本発明の他の一つは、プロセッサ及びメモリを有し、複数の装置が互いに通信可能に接続されているネットワークにおける不正な通信を検知し、検知した不正な通信に関わる装置を特定する不正通信検知部と、前記ネットワークの情報及び前記複数の装置が行う各処理の情報に基づき、前記特定した装置に代わる他の装置を検索すると共に前記特定した装置の処理に代わり行われる処理の情報である対処情報を生成する対処処理決定部と、前記対処情報が示す処理を前記他の装置に実行させる情報処理装置に、前記生成した対処情報を送信する対処情報送信部とを備え、前記対処処理決定部は、前記他の装置を検索できたか否かを判定し、前記他の装置を検索できなかった場合には、前記対処情報として、前記特定した装置が処理を制限して実行する旨の情報を生成する通信監視対処装置、及び、プロセッサ及びメモリを有し、前記対処情報を受信する対処情報受信部と、前記受信した対処情報に基づき、前記対処情報が示す処理を前記他の装置に実行させるための情報を前記他の装置に送信する制御コマンド送信部とを備える通信監視対処装置、を含んで構成される通信監視対処システム、とする。

本発明によれば、不正通信があったシステムに対して可用性及び安全性を確保した対応を行うことができる。

上記した以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。

本実施形態に係る通信監視対処システムの構成例を示す図である。 本実施形態に係る各情報処理装置のハードウェア構成例を示すブロック図である。 通信監視対処装置が備える機能の一例を説明するブロック図である。 対処実行装置が備える機能の一例を説明するブロック図である。 装置情報テーブルの一例を示す図である。 ホワイト通信テーブルの一例を示す図である。 業務情報テーブルの一例を示す図である。 制御情報テーブルの一例を示す図である。 通信監視対処処理の一例を説明するフローチャートである。 侵害度判定テーブルの一例を示す図である。 対処決定処理の一例を説明するフローチャートである。 装置探索処理の一例を説明するフローチャートである。

本発明は、ＮＥＤＯが推進する総合科学技術・イノベーション会議の戦略的イノベーション創造プログラム（ＳＩＰ）第2期「ＩｏＴ社会に対応したサイバー・フィジカル・セ
キュリティ」に関する。

以下、本発明に係る実施形態について図面を参照して説明する。なお、以下に説明する実施形態は特許請求の範囲に係る発明を限定するものではなく、また実施形態の中で説明されている諸要素およびその組み合わせの全てが発明の解決手段に必須であるとは限らない。

＜通信監視対処システム＞
図１は、本実施形態に係る通信監視対処システムの構成例を示す図である。通信監視対処システム５は、監視対象システム１、通信監視対処装置２０、及び対処実行装置３０を含んで構成される。

通信監視対処システム５は所定の業務を行うものであると共に、監視対象システム１のセキュリティ侵害（不正通信）を検知した場合に、セキュリティ侵害を受けた監視対象システム１内の装置を他の装置に切り替えることにより、業務を継続し監視対象システム１の可用性と安全性を保つことができる。

監視対象システム１は、ＩｏＴ（Internet of Things）システムであり、管理装置１０、１又は複数のコントローラ１１（１１Ａ～１１Ｃ）、及び１又は複数のアクチュエータ１２（１２Ａ、１２Ｂ）を備えて構成されている（以下、これらの装置をあわせて単に「装置」という）。

管理装置１０と各コントローラ１１との間は、第１ネットワーク１１０により通信可能に接続され、各コントローラ１１と各アクチュエータ１２との間は、第２ネットワーク１２０により通信可能に接続されている。第１ネットワーク１１０は、監視対象システム１が産業向けＩｏＴシステムの場合、例えば制御ネットワークであり、第２ネットワーク１２０は、例えばフィールドネットワークである。

管理装置１０は、第１ネットワーク１１０を介して監視対象システム１全体の動作を監視する。管理装置１０は、例えば、システム監視サーバやコントローラ１１で動作する、制御プログラムのロジックの変更及び更新を行うエンジニアリングワークステーション（ＥＷＳ）等である。

コントローラ１１は、管理装置１０から第１ネットワーク１１０を介して受信した命令に従って、第２ネットワーク１２０を介して接続されている各アクチュエータ１２を動作させることで、所定の業務を行う。コントローラ１１は、例えば、制御サーバの命令にしたがってアクチュエータ１２にモータの回転数等、動作の設定値を設定したり、アクチュエータ１２が出力する情報を収集したりするプログラマブルロジックコントローラ（ＰＬＣ）等である。

アクチュエータ１２は、コントローラ１１からの命令に基づき、所定の業務を行う。アクチュエータ１２は、例えば、コントローラ１１からの命令に基づき設定された設定値に従って、バルブ、モータ、又は電動機等を実際に動かすアクチュエータ又は、温度、流量、もしくは圧力等を計測し計測値を出力するセンサである。

次に、通信監視対処装置２０は、ミラーポート１１１、１２１を介して監視対象システム１と通信可能に接続されている。なお、ミラーポート１１１、１２１は、監視対象システム１の第１ネットワーク１００及び第２ネットワーク１２０に流れる通信情報のコピーを通信監視対処装置２０に送信する装置である。

通信監視対処装置２０は、ミラーポート１１１、１２１を介して、監視対象システム１の第１ネットワーク１１０及び第２ネットワーク１２０における通信データ（パケット）を収集及び分析することで、第１ネットワーク１１０又は第２ネットワーク１２０において行われている不正通信を検知する。そして、通信監視対処装置２０は、検知した不正通信を分析することで、不正通信に関わっている装置（以下、対処必要装置という）に代わって処理を行う他の装置（以下、対処対象装置という）を決定し、決定した対処対象装置が担当している業務の優先度等に基づき、対処対象装置が行う処理（対処処理）を決定し、その対処の内容を示す情報（対処情報）を生成する。

対処実行装置３０は、対処ネットワーク１３０を介して、監視対象システム１及び通信監視対処装置２０と通信可能に接続されている。対処実行装置３０は、監視対象システム
１の各装置に対する処理権限を有している。対処実行装置３０は、通信監視対処装置２０から対処情報を受信し、受信した対処情報を、当該対処対象装置が実行又は処理可能な制御コマンド又は制御ロジックプログラムに変換し、変換した制御コマンド又は制御ロジックプログラムを当該対処対象装置に送信することで、当該対処対象装置に対処処理を実行させる。これにより、不正通信が起きた場合であっても監視対象システム１における業務を安全に継続させることができる。

なお、上記の第１ネットワーク１１０、第２ネットワーク１２０、及び対処ネットワーク１３０は、例えば、ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）、
インターネット、又は専用線等の有線若しくは無線の通信ネットワークとして構成することができる。

図２は、本実施形態に係る各情報処理装置（管理装置１０、通信監視対処装置２０、対処実行装置３０）のハードウェア構成例を示すブロック図である。各情報処理装置は、互いにバス等の内部通信線２１６で接続されたプロセッサ２１１、メモリ２１２、補助記憶装置２１３、複数のＩＦ２１４（２１４ａ、２１４ｂ、・・・２１４ｎ）（ＩＦ：インタフェース）、及び入出力装置２１５を備える。

プロセッサ２１１は、例えばＣＰＵ（Central Processing Unit）であり、メモリ２１
２にロードされた各種プログラムを実行し、各情報処理装置の各種機能を実現する。なお、メモリ２１２は、例えば、不揮発性の記憶素子であるＲＯＭ及び揮発性の記憶素子であるＲＡＭを含む。ＲＯＭは、不変のプログラム（例えば、ＢＩＯＳ）などを格納する。ＲＡＭは、例えばＤＲＡＭ（Dynamic Random Access Memory）のような高速かつ揮発性の記憶素子であり、プロセッサ２１１が実行するプログラム及びプログラムの実行時に使用されるデータを一時的に格納する。

補助記憶装置２１３は、例えば、磁気記憶装置（ＨＤＤ）、フラッシュメモリ（ＳＳＤ）等の不揮発性の記憶装置であり、プロセッサ２１１が実行するプログラムの実行時に使用されるデータを格納する。すなわち、補助記憶装置２１３から読み出されたプログラム２１７はメモリ２１２にロードされた後、プロセッサ２１１により実行される。なお、メモリ２１２に格納されているプログラム２１７又はテーブル２１８の一部又は全部は補助記憶装置２１３に格納されていてもよいし、補助記憶装置２１３に格納されているプログラム２１７又はテーブル２１８の一部又は全部がメモリ２１２に格納されていてもよい。

ＩＦ２１４は、所定のプロトコルに従って、他の装置との通信を制御するネットワークインタフェース装置であり、各ＩＦ２１４は、監視対象システム１の各ネットワークに対応している。これらのＩＦ２１４によって、複数のネットワークで構成されている監視対象システム１の通信パケットが収集される。

入出力装置２１５は、ユーザからの入力を受け付けると共に、プログラム２１７の実行結果をユーザが視認可能な形式で出力する装置であり、例えば、キーボード、マウス、及び／又はディスプレイなどである。なお、入出力装置２１５は、情報処理装置の外部に接続されていてもよい。

＜通信監視対処装置＞
図３は、通信監視対処装置２０が備える機能の一例を説明するブロック図である。通信監視対処装置２０は、監視対象システム１の通信データを収集及び分析して不正通信を検知する。また、通信監視対処装置２０は、検知した不正通信の内容、及び監視対象システム１の構成等から、対処必要装置に代わり処理を行う対処対象装置を決定する。この際、通信監視対処装置２０は、対処対象装置が担当する処理に係る業務の優先度、及び監視対
象システム１の運用状態等に基づき、監視対象システム１の業務を安全に継続するための具体的な対処を決定する。

すなわち、通信監視対処装置２０は、不正通信検知部２１、対処処理決定部２２、システム情報管理部２３、及び対処情報送信部２４の各機能部（プログラム）を記憶している。

また、通信監視対処装置２０は、装置情報テーブル２０１、ホワイト通信テーブル２０２、業務情報テーブル２０３、及び制御情報テーブル２０４を備えるシステム情報テーブル２００を保持する。

不正通信検知部２１は、ＩＦ２１４を介して、監視対象システム１の第１ネットワーク１１０及び第２ネットワーク１２０に流れる通信パケットを収集する。そして、不正通信検知部２１は、収集した通信パケットを分析し、（１）ヘッダ情報（データ送信元の装置及びデータ送信先の装置のＩＰアドレス、通信プロトコル、及びポート番号等）と、ペイロードに含まれる（２）制御コマンド及び（３）パラメータとを取得する。また、不正通信検知部２１は、制御コマンドに関し、通信数の変化等の（４）統計情報を生成する。

そして、不正通信検知部２１は、後述するシステム情報テーブル２００が示す監視対象システム１の仕様と、上記（１）～（４）の情報（以下、分析情報という）とを比較することで、監視対象システム１で不正通信が行われているか否かを判定し、不正通信が行われていると判定した場合には、その不正通信及びその検知事象の情報を含む不正通信情報を対処処理決定部２２に送信する。

対処処理決定部２２は、不正通信情報及び、監視対象システム１の各装置の情報に基づき、対処対象装置を決定する。そして、対処処理決定部２２は、対処対象装置が担当する業務（実行する処理）の優先度、及び監視対象システム１の各装置の要件又は稼動状態等に基づき、監視対象システム１の業務を安全に継続するための対処処理を決定する。

システム情報管理部２３は、後述するシステム情報テーブル２００を管理する。

対処情報送信部２４は、対処処理決定部２２が決定した対処処理に基づき対処情報を生成し、生成した対処情報を対処実行装置３０に送信する。

＜対処実行装置＞
図４は、対処実行装置３０が備える機能の一例を説明するブロック図である。対処実行装置３０は、通信監視対処装置２０から対処情報を受信し、受信した対処情報に基づき、対処実行装置３０が処理権限を有する対処対象装置に対して制御コマンド又は制御ロジックプログラムを送信する。なお、制御ロジックとは、所定の処理や演算を実行することで実現される、コントローラのシーケンスの制御構成である。

対処実行装置３０は、対処情報受信部３１、制御ロジック構成部３２、制御コマンド送信部３３、及び制御ロジック保持部３４の各機能部（プログラム）を記憶している。

対処情報受信部３１は、ＩＦ２１４を介して、通信監視対処装置２０が生成した対処情報を受信し、制御ロジック構成部３２に送信する。また、対処情報受信部３１は、対処情報に基づき処理を実行した対処対象装置のその処理の結果の情報を、通信監視対処装置２０に返信する。

制御ロジック構成部３２は、対処情報に対応した、対処対象装置に送信する制御コマン
ド又は制御ロジックプログラムを制御ロジック保持部３４から取得し、取得した制御コマンド又は制御ロジックプログラムを制御コマンド送信部３３に送信する。

なお、本実施形態では、対処対象装置には、各装置に対して予め割り当てられている、不正通信時に当該各装置に代わって処理を行う他の装置（以下、代理装置という）と、不正通信を検出した際に動的に割り当てられる、当該各装置に代わって処理を行う他の装置（以下、代替装置という）とがある。

制御コマンド送信部３３は、対処対象装置又は対処必要装置に、制御ロジック構成部３２が取得した制御コマンド及び制御ロジックプログラムを送信することで、制御処理を実行させる。その後、制御コマンド送信部３３は、当該対処対象装置又は対処必要装置から、当該制御処理の実行結果の情報を受信し、受信した情報を対処情報受信部３１に送信する。

制御ロジック保持部３４は、監視対象システム１内の各装置が対応している制御ロジックプログラム及び制御コマンドを記憶している。

ここで、システム情報テーブル２００を構成する装置情報テーブル２０１、ホワイト通信テーブル２０２、業務情報テーブル２０３、及び制御情報テーブル２０４について説明する。

＜装置情報テーブル＞
図５は、装置情報テーブル２０１の一例を示す図である。装置情報テーブル２０１は、監視対象システム１内の各装置を一意に識別する装置ＩＤ５０１、その装置の装置名５０２、その装置のＩＰアドレス５０３、その装置に異常があった場合にその装置を代替して処理を行うことで業務を継続する他の装置である代替装置５０４、装置ＩＤ５０１に係る装置の型式５０５、その装置の装置仕様５０６、その装置で動作する制御ロジックプログラム及び制御コマンドが要求する実行環境の要件５０７（１又は複数の項目を有する）、及び、その装置が現在担当している業務の業務ＩＤ５０８の各情報を含む。

＜ホワイト通信テーブル＞
図６は、ホワイト通信テーブル２０２の一例を示す図である。ホワイト通信テーブル２０２は、監視対象システム１内の通信の情報であり、通信を一意に識別するための通信ＩＤ６０１、その通信の通信プロトコル６０２、その通信に係るデータの送信元の装置のＩＰアドレスである送信元ＩＰアドレス６０３、その通信に係るデータの送信先の装置のＩＰアドレスである宛先ＩＰアドレス６０４、その通信に係るデータの送信元の装置のポート番号である送信元ポート番号６０５、及び、その通信に係るデータの送信先の装置のポート番号である宛先ポート番号６０６を含む。これらの情報は、特定の数値であってもよいし、一定の範囲を示す情報であってもよい。なお、本実施形態のホワイト通信テーブル２０２では、送信元ポート番号６０５及び宛先ポート番号６０６に値の指定がない場合に“＊”が設定される。

＜業務情報テーブル＞
図７は、業務情報テーブル２０３の一例を示す図である。業務情報テーブル２０３は、監視対象システム１内で行われる業務に関する情報であり、監視対象システム１内で行われる業務を一意に特定する業務ＩＤ７０１、その業務の業務名７０２、その業務が実行される時間帯を示す稼動時刻７０３、その業務の優先順位列７０４、及び、その業務を行うための通信のリスト（通信ＩＤのリスト）である業務通信７０５を含む。

なお、本実施形態の業務情報テーブル２０３では、業務の優先順位は、１が最も優先順
位が高く、値が大きくなるほど低い。

＜制御情報テーブル＞
図８は、制御情報テーブル２０４の一例を示す図である。制御情報テーブル２０４は、業務で使われる各通信の制御プロトコル及びパラメータ等を記憶したテーブルであり、各通信の通信ＩＤ８０１、その通信の制御プロトコル８０２、その通信の制御コマンド８０３、その通信におけるパラメータ８０４、その通信の通信周期８０５、及び、その通信の影響度８０６を含む。本実施形態では、通信周期８０５には、周期がない場合は“＊”が設定される。

影響度８０６は、不正通信が行われた場合、例えば通信における制御コマンドが停止もしくは急増し、又は制御コマンドに不正なパラメータ値が設定された場合に、監視対象システム１が影響を受ける業務の継続性や安全性の大きさ（不正の強さの程度）を表すパラメータである。本実施形態では、影響度８０６には、高、中、低の３段階が設定されるものとする。「高」は、業務が数日間停止したり人命が脅かされたりする可能性があるなど影響が大きいことを示し、「低」は、影響が軽微で限定的なことを示し、「中」はその中間であることを示す。

＜通信監視対処処理＞
次に、通信監視対処システム１で行われる処理について説明する。

図９は、監視対象システム１の不正通信を検知してこれに対する対処を行う通信監視対処処理の一例を説明するフローチャートである。通信監視対処処理は、例えば、所定のタイミングで（例えば、所定の時刻、又は所定の時間間隔）、又はユーザから所定の入力があった場合に実行される。

まず、通信監視対処装置２０は、監視対象システム１の不正通信を検知し、対処処理を決定すると共に対処情報を対処実行装置３０に送信する（ａ：Ｓ９０１～Ｓ９０５）。

すなわち、まず、不正通信検知部２１は、監視対象システム１のネットワークの情報を収集及び分析し（Ｓ９０１）、監視対象システム１に不正通信があるか否かを判定する（Ｓ９０２）。

具体的には、不正通信検知部２１は、監視対象システム１の第１ネットワーク１１０及び第２ネットワーク１２０のパケットを所定時間取得し、取得したパケット（以下、取得パケットという）に基づき生成した分析情報が、ホワイト通信テーブル２０２のレコードの内容（通信プロトコル６０２、送信元ＩＰアドレス６０３、宛先ＩＰアドレス６０４、送信元ポート番号６０５、及び宛先ポート番号６０６の内容）と一致するか否かを判定する。不正通信検知部２１は、一致するレコードがない場合は、想定外の通信が行われているとして、監視対象システム１に不正通信があると判定する。

他方、一致するレコードがある場合は、不正通信検知部２１は、業務情報テーブル２０３に基づき、取得パケットが正しいタイミングで送受信されているか否かを判定する。例えば、不正通信検知部２１は、前記で内容が一致したレコードの通信ＩＤ６０１の内容を取得し、取得した通信ＩＤ６０１が業務通信７０５に登録されている業務情報テーブル２０３のレコードの稼動時刻７０３を取得する。不正通信検知部２１は、現在時刻が前記取得した稼動時刻の示す時間帯に対応しているか否かを判定し、現在時刻が稼動時刻の示すに対応していない場合には、取得パケットに係る業務が本来の業務時間外の時間に行われているとして、監視対象システム１に不正通信があると判定する。

他方、現在時刻が稼動時刻に対応している場合には、不正通信検知部２１は、制御情報テーブル２０４に基づき、取得パケットの内容が適正範囲の情報であるか否かを判定する。例えば、不正通信検知部２１は、前記取得した通信ＩＤ６０１の内容が通信ＩＤ８０１に登録されている制御情報テーブル２０４のレコードの情報（制御プロトコル８０２、制御コマンド８０３、パラメータ８０４、通信周期８０５、及び影響度８０６）を取得する。不正通信検知部２１は、取得パケットの内容が、前記取得した情報に適合するか否かを判定し、取得パケットの内容が前記取得した情報に適合しない場合には、監視対象システム１に不正通信があると判定する。

このようにして、監視対象システム１に不正通信があると判定した場合は（Ｓ９０２：ＹＥＳ）、不正通信検知部２１は、取得パケットの内容に基づき不正通信に関わる装置（対処必要装置）を特定する。例えば、不正通信検知部２１は、取得パケットに含まれるデータの送信元又は送信先の装置のＩＰアドレスを特定する。そして、不正通信検知部２１は、後述するＳ９０３の処理を実行する。

他方、不正通信検知部２１が監視対象システム１に不正通信がないと判定した場合は（Ｓ９０２：ＮＯ）、通信監視対処処理は終了する。

Ｓ９０３において不正通信検知部２１は、Ｓ９０２で特定した不正通信が監視対象システム１に与える影響の大きさを示すパラメータとして、侵害度を算出する。

例えば、不正通信検知部２１は、不正通信に係る制御コマンドの種類及び不正通信の発生頻度に基づき、侵害度を算出する。具体的には、まず、不正通信検知部２１は、取得パケットに係る制御コマンドの影響度を、制御情報テーブル２０４の影響度８０６から取得する。また、不正通信検知部２１は、取得パケットにおける不正通信率（後述）を算出する。そして、不正通信検知部２１は、後述する侵害度判定テーブル２０５を参照することにより、前記取得した影響度及び前記算出した不正通信率に対応する侵害度を特定する。

なお、不正通信率は、本実施形態では、取得パケットにおける、単位時間あたりの不正通信の発生比率とし、５０％以上で「高」、１０％以上５０％未満で「中」、１０％未満で「低」とする。

ここで、図１０は、侵害度判定テーブル２０５の一例を示す図である。侵害度判定テーブル２０５は、不正通信率９０１（高、中、低）、影響度９０２（高、中、低）、及び侵害度９０３（高、中、低）の対応関係を記憶したテーブルである。

次に、図９のＳ９０４に示すように、対処処理決定部２２は、Ｓ９０３で算出した侵害度に基づき、対処処理を決定する対処決定処理を実行する。対処決定処理の詳細は後述する。

対処情報送信部２４は、対処決定処理により決定された対処処理に基づき対処情報を作成し、作成した対処情報を対処実行装置３０に送信する（Ｓ９０５）。なお、対処情報には、例えば、対処対象装置の装置ＩＤ及び対処処理の内容を含む。

その後、対処実行装置３０は、通信監視対処装置２０から受信した対処情報に基づき、対処対象装置に対処処理を実行させる（ｂ：Ｓ９１１～Ｓ９１４）。

すなわち、まず、対処情報受信部３１は、通信監視対処装置２０から対処情報を受信する（Ｓ９１１）。

制御ロジック構成部３２は、対処情報が示す各対処対象装置又は対処必要装置の制御コマンド及び制御ロジックプログラムを取得する（Ｓ９１２）。そして、制御コマンド送信部３３は、Ｓ９１２で取得された各制御コマンド及び各制御ロジックプログラムを、各対処対象装置又は対処必要装置に送信する（Ｓ９１３）。

その後、制御ロジック構成部３２は、各対処対象装置又は対処必要装置からの、制御コマンド及び制御ロジックプログラムの実行結果の情報の受信を待機する。制御ロジック構成部３２は、実行結果の情報を受信すると、受信した情報を通信監視対処装置２０に送信する（Ｓ９１４）。

次に、通信監視対処装置２０は、対処実行装置３０から受信した情報に基づき、対処処理及びその実行結果の情報を画面に表示する（ｃ：Ｓ９２１～Ｓ９２２）。

すなわち、対処情報送信部２４は、対処実行装置３０から当該情報を受信すると（Ｓ９２１）、受信した情報の内容を入出力装置２１５に表示し、ユーザに提示する（Ｓ９２２）。以上で通信監視対処処理は終了する。

次に、対処決定処理Ｓ９０４の詳細を説明する。

＜対処決定処理＞
図１１は、対処決定処理の一例を説明するフローチャートである。

通信監視対処装置２０の対処処理決定部２２は、Ｓ９０３で算出した侵害度が、対処処理が必要な程度に高いか否かを判定する（Ｓ１００１）。例えば、対処処理決定部２２は、Ｓ９０３で算出した侵害度が「中」以上であるか否かを判定する。これは、侵害度が小さい、すなわち監視対象システム１に対する影響が少ないセキュリティ侵害すべてに通信監視対処装置２０が対処してしまうと、監視対象システム１の可用性が著しく低下するからである。

侵害度が対処処理が必要な程度に高くない場合は（Ｓ１００１：ＮＯ）、対処決定処理は終了し、侵害度が対処処理が必要な程度に高い場合は（Ｓ１００１：ＹＥＳ）、対処処理決定部２２は、対処対象装置（代理装置又は代替装置）を探索する装置探索処理を実行する（Ｓ１００２）。装置探索処理の詳細は後述する。

装置探索処理の処理結果として、対処処理決定部２２は、後述するように、（１）対処必要装置を代替装置に切り替え、（２）対処必要装置を代理装置に切り替え、又は（３）切替候補なし（切り替えない）、の３パターンのいずれかの処理結果の情報を取得する。

対処処理決定部２２は、処理結果が（１）又は（２）である場合は（Ｓ１００３：ＹＥＳ）、後述するＳ１００４の処理を実行し、処理結果が（１）でも（２）でもない場合は（Ｓ１００３：ＮＯ）、後述するＳ１００５の処理を実行する。

Ｓ１００４において対処処理決定部２２は、対処対象装置を代理装置又は代替装置に切り替えることを示す対処情報を生成し、対処決定処理は終了する。

Ｓ１００５において対処処理決定部２２は、Ｓ９０３で算出した侵害度が、対処必要装置を停止するべき程度に高いか否かを確認する。具体的には、対処処理決定部２２は、Ｓ９０３で算出した侵害度が「高」であるか又は「中」であるかを確認する。

侵害度が、対処必要装置を停止するべき程度に高い場合は（Ｓ１００５：高）、対処処
理決定部２２は、後述するＳ１００７の処理を実行し、侵害度が、対処必要装置を停止するべき程度に高くない場合は（Ｓ１００５：中）、対処処理決定部２２は、次述するＳ１００６の処理を実行する。

Ｓ１００６において対処処理決定部２２は、対処対象装置の機能を一部制限して運転する縮退運転を行うことを示す対処情報を生成する。その後、対処決定処理は終了する。なお、制限する機能は予め指定されていてもよいし、侵害度又はその他の情報に基づき増減するようにしてもよい。

Ｓ１００７において対処処理決定部２２は、対処対象装置の機能を全て制限すなわち全機能を停止して安全に停止状態に制御する安全停止を行うことを示す対処情報を生成する。これは、不正通信の影響によりシステムや人命への影響が大きくなることが想定されるためである。以上で、対処決定処理は終了する。

次に、装置探索処理Ｓ１００２の詳細を説明する。

＜装置探索処理＞
図１２は、装置探索処理の一例を説明するフローチャートである。

通信監視対処装置２０の対処処理決定部２２は、対処対象装置として代替装置（ＡＤ）があるか否かを確認する（Ｓ１１０１、Ｓ１１０２）。具体的には、対処処理決定部２２は、対処対象装置の装置ＩＤが装置ＩＤ５０１に設定されている装置情報テーブル２０１のレコードの代替装置５０４のデーア有無を確認する。

対処対象装置として代替装置（ＡＤ）がある場合は（Ｓ１１０２：ＹＥＳ）、対処処理決定部２２は、次述するＳ１１０３の処理を実行し、対処対象装置として代替装置（ＡＤ）がない場合は（Ｓ１１０２：ＮＯ）、対処処理決定部２２は、後述するＳ１１０４の処理を実行する。

Ｓ１１０３において対処処理決定部２２は、ＡＤを対処対象装置として選択し、さらに、対処処理として、「対処：代替装置に切替、代替装置：＜装置ＩＤ＞」を設定する（（１）対処必要装置を代替装置に切替）。なお、＜装置ＩＤ＞は装置情報テーブル２０１から取得したＡＤの装置ＩＤである。

なお、代替装置が複数ある場合は、対処処理決定部２２は、例えば、装置情報テーブル２０１に基づき最も装置仕様５０６が示す性能が最も高い装置を選択してもよいし、複数の代替装置に並列的に対処処理を行わせるようにしてもよいし、ユーザに代替装置を一つ選択させてもよい。以上で装置探索処理は終了する。

Ｓ１１０４において対処処理決定部２２は、代理装置として要求される、制御ロジックプログラム及び制御コマンドの実行環境の要件を取得する。具体的には、対処処理決定部２２は、対処対象装置の装置ＩＤが装置ＩＤ５０１に設定されている装置情報テーブル２０１の要件５０７を取得する。

対処処理決定部２２は、Ｓ１１０４で取得した装置要件を満たす装置を全て特定する（Ｓ１１０５）。例えば、対処処理決定部２２は、各装置の要件の各項目と、Ｓ１１０４で取得した装置要件の各項目とを比較することで、装置要件の全項目を満たす装置を全て特定し、その装置リストを生成する。

ここで、対処処理決定部２２は、各装置情報テーブル２０１に基づき、装置リストのう
ち、現在、処理（業務）を行っていない装置（ＳＤｍ）があるか否かを確認する（Ｓ１１０６）。具体的には、対処処理決定部２２は、装置情報テーブル２０１において業務ＩＤ５０８に「なし」が設定されているレコードの装置ＩＤ５０１を取得し、この装置が装置リストに含まれているか否かを確認する。

ＳＤｍがある場合は（Ｓ１１０６：ＹＥＳ）、対処処理決定部２２は、後述するＳ１１０７の処理を実行し、ＳＤｍがない場合は（Ｓ１１０６：ＮＯ）、対処処理決定部２２は、後述するＳ１１０９の処理を実行する。

Ｓ１１０７において対処処理決定部２２は、ＳＤｍを代理装置として選択し、さらに、対処処理として、「対処：代理装置に切替、代理装置：＜装置ＩＤ＞」（（２）対処必要装置を代理装置に切替）を設定する（Ｓ１１０８）。なお、＜装置ＩＤ＞は装置情報テーブル２０１から取得したＳＤｍの装置ＩＤである。

なお、ＳＤｍが複数ある場合は、対処処理決定部２２は、例えば、装置情報テーブル２０１に基づき最も装置仕様５０６が示す性能が最も高いＳＤｍを選択してもよいし、複数のＳＤｍに並列的に対処処理を行わせるようにしてもよいし、ユーザにＳＤｍを一つ選択させてもよい。以上で、装置探索処理は終了する。

Ｓ１１０９において対処処理決定部２２は、（装置リストの装置全てに業務が割り当てられている場合は）、対処必要装置が担当している業務よりも優先順位が低い業務（処理）を行っている装置（ＳＤｐ）があるか否かを判定する。

具体的には、対処処理決定部２２は、業務情報テーブル２０３の各レコードの優先順位列７０４を参照することで、ＳＤｐがあるか否かを判定する。

ＳＤｐがない場合は（Ｓ１１０９：ＮＯ）、対処処理決定部２２は、対処処理として、「対処：切替候補なし」（（３）切替候補なし）を設定する（Ｓ１１１２）。以上で装置探索処理は終了する。

ＳＤｐがある場合は（Ｓ１１０９：ＮＯ）、対処処理決定部２２は、そのＳＤｐを代理装置として選択し（Ｓ１１１０）、さらに、対処処理として、「対処：代理装置に切り替え、代理装置：＜装置ＩＤ＞」を設定する（Ｓ１１１１）。なお、＜装置ＩＤ＞は装置情報テーブル２０１から取得したＳＤｐの装置ＩＤである。

なお、ＳＤｐが複数ある場合は、対処処理決定部２２は、例えば、装置情報テーブル２０１に基づき最も装置仕様５０６が示す性能が最も高いＳＤｐを選択してもよいし、複数のＳＤｐに並列的に対処処理を行わせるようにしてもよいし、ユーザにＳＤｐを一つ選択させてもよい。以上で、装置探索処理は終了する。

以上のように、通信監視対処装置２０は、不正通信（セキュリティ侵害）のあった対処必要装置を代替装置に切り替えることで、監視対象システム１の可用性と安全性を考慮した対処を行うことができる。

また、通信監視対処装置２０は、代替装置がない場合には、監視対象システム１内で代用できる代理装置を探索し、その代理装置に切り替えることで代替装置に切り替える場合と同等の効果を得ることができる。この場合、通信監視対処装置２０は、代理装置の候補が業務に使用されている場合には、セキュリティ侵害のあった対処必要装置が担当する業務の優先度と候補の装置が担う業務の優先度を比較し、候補の業務の優先度が低い場合は、その候補の装置に係る業務（処理）を停止して、対処必要装置の代理装置とする。これ
により、監視対象システム１において必要性の高い業務を優先的に継続することができる。

すなわち、本実施形態の通信監視対処システム１は、監視対象システム１における不正な通信、すなわち複数の装置（管理装置１０、コントローラ１１、及びアクチュエータ１２）と通信可能に接続されている第１ネットワーク１１０及び第２ネットワーク１２０における不正な通信に関わる対処必要装置を特定し、ネットワークの情報及び各装置の各処理の情報に基づき、対処必要装置に代わる対処対象装置を検索すると共に対処情報を生成し、生成した対処情報を対処実行装置３０に送信する。これにより、不正通信があった監視対象システム１に対して可用性及び安全性を確保した対応を行うことができる。

本発明は前記した実施形態に限定されるものではなく、様々な変形例が含まれる。上記した実施形態は本発明のより良い理解のために詳細に説明したものであり、必ずしも説明の全ての構成を備えるものに限定されるものではない。

例えば、本実施形態において通信監視対処装置２０が使用する情報は、データ構造に依存せず、どのようなデータ構造で表現されてもよい。本実施形態ではテーブル形式で情報が格納されている例を説明したが、例えば、リスト、データベース又はキューから適切に選択したデータ構造体で情報を格納してもよい。

また、通信監視対処装置２０及び対処実行装置３０が備える各機能部は、さらに複数の機能部に分割してもよいし、各機能の一部を統合してもよい。

また、本実施形態の通信監視対処システム５は、管理装置１０、コントローラ１１、及びアクチュエータ１２の各装置の不正通信の開始及びこれに対する対処を行うものとしたが、これらのうち選択された装置のみに対する不正通信の監視及びこれに対する対処を行うものとしてもよい。

また、本実施形態では、通信監視対処装置２０は、ＩＰアドレス及びポート番号等に基づいて不正通信を検出したが、それ以外のパケット情報や各装置の通信状態の情報を用いて不正通信を検出してもよい。

また、本実施形態では、通信監視対処装置２０は、不正通信が監視対象システム１に与える影響の大きさを示すパラメータとして、影響度及び不正通信率に基づく侵害度を採用したが、侵害度の算出方法は本実施形態に示したものに限られず、また、侵害度以外のパラメータを用いてもよい。

また、本実施形態では、通信監視対処装置２０は、対処必要装置に代わる処理を行う対処対象装置として代替装置及び代理装置を用いる場合を説明したが、いずれか一方のみを用いてよい。

また、本実施形態では、通信監視対処装置２０は、対処対象装置が検索できない場合に、侵害度に応じた処理、すなわち、侵害度が「高」の場合に対処必要装置に縮退運転を行わせ、侵害度が「中」の場合に対処必要装置を運転停止させる処理を行う場合を説明したが、その他の態様であってもよい。例えば、通信監視対処装置２０は、侵害度の大きさに応じて段階的に縮退運転を進めてもよい。

以上の本明細書の記載により、少なくとも以下の事項が明らかにされる。すなわち、本実施形態において、通信監視対処装置２０の前記対処処理決定部は、前記他の装置を検索できたか否かを判定し、前記他の装置を検索できなかった場合には、前記対処情報として
、前記特定した装置が処理を限縮して実行する旨の情報を生成する、としてもよい。

このように、対処対象装置を検索できなかった場合には、対処必要装置が処理を限縮して実行する旨の対処情報を生成することで、適切な代替装置がない場合であっても監視対象システム１への影響を最小限に抑えることができる。

また、本実施形態において、通信監視対処装置２０の前記対処処理決定部は、前記他の装置を検索できたか否かを判定し、前記他の装置を検索できなかった場合には、前記検知した不正な通信の強さを算出し、前記対処情報として、前記特定した装置が行う処理を前記算出した強さに応じて制限して実行する旨の情報を生成する、としてもよい。なお、ここでいう「制限」とは、一部制限の場合と全制限（全機能停止）の場合を含む。

このように、対処対象装置を検索できなかった場合に、対処必要装置が行う処理を、不正通信の不正の強さに応じて制限して実行する旨の対処情報を生成することで、セキュリティ侵害の態様に即した必要充分な対処を行うことができる。

また、本実施形態において、通信監視対処装置２０は、前記ネットワークにおける装置と、当該装置に代替可能な代替装置との対応関係を記憶するシステム情報管理部を備え、前記対処処理決定部は、前記特定した装置に対応づけられた代替装置があるか否かを前記対応関係に基づき判定し、前記代替装置がある場合には当該代替装置を前記他の装置として特定し、前記代替装置がない場合には、前記ネットワークの情報及び前記複数の装置が行う各処理の情報に基づき、前記他の装置を検索する、としてもよい。

このように、対処必要装置に対応した代替装置がある場合にはその代替装置を対処対象装置として特定し、代替装置がない場合には、システム情報テーブル２００におけるネットワークの情報及び各装置の各処理の情報に基づき、対処対象装置を検索することで、現在のネットワークや装置の状況に基づく最適な装置（可用性及び案脆性を確保できる装置）を検索することができる。

また、本実施形態において、通信監視対処装置２０の前記システム情報管理部はさらに、前記各装置が行う処理の優先度の情報を記憶し、前記対処処理決定部は、前記代替装置がない場合、前記特定した装置以外で前記特定した装置に係る優先度より低い優先度を有する他の装置を前記情報から検索し、前記他の装置を検索できた場合には、前記特定した装置の代わりに前記他の検索した装置を実行させる旨の情報を生成する、としてもよい。

このように、代替装置がない場合、対処必要装置以外の装置であって対処必要装置の優先度より低い優先度を有する他の装置（代理装置）を検索できた場合には、対処必要装置の代わりにその代理装置を実行させる対処情報を生成することで、現在行われている業務に対する支障をなるべく少なくすることができる。

５ 通信監視対処システム、１ 監視対象システム、１０ 管理装置、２０ 通信監視対処装置、３０ 対処実行装置

Claims (6)

1. プロセッサ及びメモリを有し、
   複数の装置が互いに通信可能に接続されているネットワークにおける不正な通信を検知し、検知した不正な通信に関わる装置を特定する不正通信検知部と、
   前記ネットワークの情報及び前記複数の装置が行う各処理の情報に基づき、前記特定した装置に代わる他の装置を検索すると共に前記特定した装置の処理に代わり行われる処理の情報である対処情報を生成する対処処理決定部と、
   前記対処情報が示す処理を前記他の装置に実行させる情報処理装置に、前記生成した対処情報を送信する対処情報送信部と、
   を備え、
   前記対処処理決定部は、前記他の装置を検索できたか否かを判定し、前記他の装置を検索できなかった場合には、前記対処情報として、前記特定した装置が処理を制限して実行する旨の情報を生成する
   通信監視対処装置。
2. 前記対処処理決定部は、前記他の装置を検索できたか否かを判定し、前記他の装置を検索できなかった場合には、前記検知した不正な通信の不正の強さを算出し、前記対処情報として、前記特定した装置が行う処理を前記算出した不正の強さに応じて制限して実行する旨の情報を生成する、請求項１に記載の通信監視対処装置。
3. 前記ネットワークにおける装置と、当該装置に代替可能な代替装置との対応関係を記憶するシステム情報管理部を備え、
   前記対処処理決定部は、前記特定した装置に対応づけられた代替装置があるか否かを前記対応関係に基づき判定し、前記代替装置がある場合には当該代替装置を前記他の装置として特定し、前記代替装置がない場合には、前記ネットワークの情報及び前記複数の装置が行う各処理の情報に基づき、前記他の装置を検索する、
   請求項１に記載の通信監視対処装置。
4. 前記システム情報管理部はさらに、前記各装置が行う処理の優先度の情報を記憶し、
   前記対処処理決定部は、前記代替装置がない場合、前記特定した装置以外で前記特定した装置に係る優先度より低い優先度を有する他の装置を前記情報から検索し、前記他の装置を検索できた場合には、前記特定した装置の代わりに前記他の検索した装置に処理を実行させる旨の情報を生成する、
   請求項３に記載の通信監視対処装置。
5. 情報処理装置が、
   複数の装置が互いに通信可能に接続されているネットワークにおける不正な通信を検知し、検知した不正な通信に関わる装置を特定する不正通信検知処理と、
   前記ネットワークの情報及び前記複数の装置が行う各処理の情報に基づき、前記特定した装置に代わる他の装置を検索すると共に前記特定した装置の処理に代わり行われる処理の情報である対処情報を生成する対処処理決定処理と、
   前記対処情報が示す処理を前記他の装置に実行させる情報処理装置に、前記生成した対処情報を送信する対処情報送信処理と、
   を実行し、
   前記対処処理決定処理においては、前記他の装置を検索できたか否かを判定し、前記他の装置を検索できなかった場合には、前記対処情報として、前記特定した装置が処理を制限して実行する旨の情報を生成する
   通信監視対処方法。
6. プロセッサ及びメモリを有し、
   複数の装置が互いに通信可能に接続されているネットワークにおける不正な通信を検知し、検知した不正な通信に関わる装置を特定する不正通信検知部と、
   前記ネットワークの情報及び前記複数の装置が行う各処理の情報に基づき、前記特定し
   た装置に代わる他の装置を検索すると共に前記特定した装置の処理に代わり行われる処理の情報である対処情報を生成する対処処理決定部と、
   前記対処情報が示す処理を前記他の装置に実行させる情報処理装置に、前記生成した対処情報を送信する対処情報送信部とを備え、
   前記対処処理決定部は、前記他の装置を検索できたか否かを判定し、前記他の装置を検索できなかった場合には、前記対処情報として、前記特定した装置が処理を制限して実行する旨の情報を生成する通信監視対処装置、及び、
   プロセッサ及びメモリを有し、
   前記対処情報を受信する対処情報受信部と、
   前記受信した対処情報に基づき、前記対処情報が示す処理を前記他の装置に実行させるための情報を前記他の装置に送信する制御コマンド送信部とを備える通信監視対処装置、
   を含んで構成される通信監視対処システム。

Images