JP7483174B2 - 攻撃検知装置、攻撃検知方法、及び攻撃検知プログラム - Google Patents

Description

本開示は、攻撃検知装置、攻撃検知方法、及び攻撃検知プログラムに関する。

近年、産業制御システムのオープン化又はネットワーク化等に伴い、産業制御システムに対するサイバー攻撃の脅威が増大している。ネットワークを通じて侵入するサイバー攻撃に対する対策の１つとして、ネットワーク通信を監視することによって攻撃活動を捉える攻撃検知システムがある。特に、産業制御システムでは、ネットワーク通信が固定的であることを利用した攻撃検知方法として、正常な通信パケットの宛先ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレス又はポート番号等を許可リストとして作成し、作成した許可リストに従わない通信パケットを攻撃として検知する方法と、より一般に正常な通信パケットの特徴を定義し、定義した特徴から外れている通信パケットを検知する方法とがある。
一方、正常な通信パケットを組み合わせることにより行われるサイバー攻撃が存在し、当該サイバー攻撃では前述の方法をすり抜けてサイバー攻撃を仕掛ける。そのようなより高度なサイバー攻撃を検知する方法として、システムの状態に応じて許可リストを更新する方法と、許可リストを、通信パケットの出現順序又は出現頻度等の複数の通信パケットにまたがる特徴を示すものとする方法と、許可リストを用いて正常と判定された通信パケットに対してさらに別の基準を用いて攻撃判定を行う方法等がある。
特許文献１は２段階で通信を判定する技術を開示している。ここで、１段階目において、許可リストを用いた攻撃検知を行い、許可リストに含まれているルールに従わない通信を攻撃と判定する。２段階目において、許可リストに含まれているルールに従う通信の異常度により通信が攻撃であるか否かを判定する。

国際公開２０１９／２４００２０号パンフレット

特許文献１が開示する技術によれば、１つの通信データに関する複数の要素に対応する特徴量を用いて当該１つの通信データを判定する場合において、当該複数の要素を用いて特徴量を算出する必要があるために処理負荷が比較的高くなるという課題がある。

本開示は、許可リストを用いて正常と判定された通信パケットに対してさらに別の基準を用いて攻撃判定を行う方法において、１つの通信データに関する複数の要素に対応する特徴量を用いて当該１つの通信データを判定する場合において、当該複数の要素を用いて特徴量を算出しないことを目的とする。

本開示に係る攻撃検知装置は、
複数の通信データの各々を対象データとし、前記対象データが、各々が固有の識別子を割り当てられている複数のルールを含む許可リストに含まれているルールのいずれかに従うか否かを判定する攻撃検知処理を実行する攻撃検知部と、
前記対象データが前記許可リストに含まれているルールのいずれかに従う場合に、前記複数の通信データの各々が従うルールに対応する識別子の出現パターンが正常であるか否かを判定するためのモデルを用いて、前記対象データが従うルールに対応する識別子が前記モデルから導出される識別子の出現パターンと整合するか否かを判定するパターン判定処理を実行するパターン判定部と、
前記パターン判定処理が実行された場合に、前記攻撃検知処理による判定結果と、前記パターン判定処理による判定結果とを用いて前記対象データが正常であるか否かを判定する最終判定部と
を備える。

本開示によれば、対象データが許可リストに含まれているルールのいずれかに従う場合に、対象データが従うルールに対応する識別子がモデルから導出される識別子の出現パターンと整合するか否かを判定する。ここで、当該モデルは、複数の通信データの各々が従うルールに対応する識別子の出現パターンが正常であるか否かを判定するためのものである。従って、本開示によれば、許可リストを用いて正常と判定された通信パケットに対してさらに別の基準を用いて攻撃判定を行う方法において、１つの通信データに関する複数の要素に対応する特徴量を用いて当該１つの通信データを判定する場合において、当該複数の要素を用いて特徴量を算出しない。

実施の形態１に係る攻撃検知装置１００の機能構成例を示す図。 実施の形態１に係る攻撃検知部１２０の機能構成例を説明する図であり、（ａ）は攻撃検知部１２０の機能構成例を示す図、（ｂ）は許可リスト１２２の具体例を示す図。 実施の形態１に係るパターン判定部１３０の機能構成例を示す図。 実施の形態１に係る最終判定部１４０の機能構成例を説明する図であり、（ａ）は最終判定部１４０の機能構成例を示す図、（ｂ）は判定総合部１４１の具体例を示す図。 実施の形態１に係るルール番号のパターンを説明する図であり、（ａ）は攻撃検知部１２０の処理を説明する図、（ｂ）はルール番号列を説明する図。 実施の形態１に係るルール番号のパターンを説明する図。 実施の形態１に係る判定部１３３の処理を説明する図。 実施の形態１に係る攻撃検知装置１００のハードウェア構成例を示す図。 実施の形態１に係る攻撃検知装置１００の動作を示すフローチャート。 実施の形態１の変形例に係る攻撃検知装置１００のハードウェア構成例を示す図。 実施の形態２に係るパターン判定部１３０の機能構成例を示す図。 実施の形態２に係るパターン分類情報１３６の具体例を示す図。 実施の形態２に係るパターン分類を説明する図。 実施の形態３に係る照合部１２１の処理を説明する図。 実施の形態３に係る照合部１２１の処理を説明する図。 実施の形態３に係る照合部１２１の処理を説明する図。 実施の形態３に係る通信データ２０２を説明する図。

実施の形態の説明及び図面において、同じ要素及び対応する要素には同じ符号を付している。同じ符号が付された要素の説明は、適宜に省略又は簡略化する。図中の矢印はデータの流れ又は処理の流れを主に示している。また、「部」を、「回路」、「工程」、「手順」、「処理」又は「サーキットリー」に適宜読み替えてもよい。

実施の形態１．
以下、本実施の形態について、図面を参照しながら詳細に説明する。

＊＊＊構成の説明＊＊＊
図１は、攻撃検知装置１００の機能構成例を示すブロック図である。攻撃検知装置１００は、図１に示すように、通信データ取得部１１０と、攻撃検知部１２０と、パターン判定部１３０と、最終判定部１４０と、判定結果出力部１５０とを備える。攻撃検知部１２０は許可リスト型攻撃検知部とも呼ばれる。パターン判定部１３０はルール番号パターン判定部とも呼ばれる。

通信データ取得部１１０は、通信データ２０２を取得する。
通信データ２０２は、検知対象である通信データであり、攻撃検知部１２０への入力である通信データである。

攻撃検知部１２０は、通信データ２０２が許可リスト１２２によって許可されたものであるか否かを判定する。攻撃検知部１２０は、複数の通信データ２０２の各々を対象データとし、対象データが、許可リスト１２２に含まれているルールのいずれかに従うか否かを判定する攻撃検知処理を実行する。
許可リスト１２２は、ホワイトリストであり、許可される通信の特徴をルールとして定義したものであり、各ルールの識別子と、各ルールによって許可される通信の特徴を列挙したリストとを示すデータである。ルールの識別子は、具体例としてルール番号である。許可リスト１２２には複数のルールが通常含まれている。各ルールには固有の識別子が割り当てられている。

パターン判定部１３０は、許可リスト１２２によって許可されたものであると判定された通信データ２０２を、当該通信データ２０２に対応するルール番号２０６に基づいて判定する。パターン判定部１３０は、対象データが許可リスト１２２に含まれているルールのいずれかに従う場合に、識別子の出現パターンに関するモデルを用いて、対象データが従うルールに対応する識別子が当該モデルから導出される識別子の出現パターンと整合するか否かを判定するパターン判定処理を実行する。当該モデルは、複数の通信データ２０２の各々が従うルールに対応する識別子の出現パターンが正常であるか否かを判定するためのものである。対象データに対応する識別子が当該モデルから導出される識別子の出現パターンと整合する場合において、具体例として、対象データに対応する識別子として当該出現パターンから推定される識別子と、実際の対象データに対応する識別子とが一致する、又は、当該出現パターンが示す性質が、対象データを受信した時点において受信済みである全ての通信データ２０２の各々に対応する識別子の出現パターンが示す性質と矛盾しない。パターン判定部１３０は、正常と判定された複数の通信データ２０２と、正常と判定された複数の通信データ２０２の各々に対応する識別子の出現パターンとを用いて識別子の出現パターンに関するモデルを学習してもよい。
ルール番号２０６は、各ルールの識別子であり、通信データ２０２が許可された通信であると判定された場合において、許可リスト１２２に含まれているどのルールに通信データ２０２が従うのかを確認するために用いられる。

最終判定部１４０は、判定結果２０５と判定結果３０３とを総合することにより最終的な判定結果を決定する。最終判定部１４０は、パターン判定処理が実行された場合に、攻撃検知処理による判定結果と、パターン判定処理による判定結果とを用いて対象データが正常であるか否かを判定する。対象データが正常である場合において、具体例として、対象データは攻撃に関するデータではない。最終判定部１４０は、攻撃検知処理において対象データが許可リスト１２２に含まれているルールのいずれにも従わないと判定された場合に、対象データが正常ではないと判定する。最終判定部１４０は、攻撃検知処理において対象データが許可リスト１２２に含まれているルールのいずれかに従うと判定されたとき、パターン判定処理において対象データが従うルールに対応する識別子がモデルから導出される出現パターンと整合しないと判定された場合に、対象データが正常ではないと判定する。
判定結果２０５は、攻撃検知部１２０による判定の結果を示すデータであり、通信データ２０２が許可された通信であるか否かを表すデータである。
判定結果３０３は、パターン判定部１３０による判定の結果を示すデータである。

判定結果出力部１５０は、最終的な判定結果を出力する。

図２の（ａ）は、攻撃検知部１２０の機能構成例を示すブロック図である。攻撃検知部１２０は、図２の（ａ）に示すように、照合部１２１と、許可リスト１２２とを備える。
照合部１２１は、通信データ２０２を許可リスト１２２と照合することにより、通信データ２０２に係る通信が許可された通信であるか否かを判定する。照合部１２１は、判定結果２０５及びルール番号２０６を出力する。

図２の（ｂ）は、許可リスト１２２の具体例を示している。
本例に示すように、本実施の形態に係る許可リスト１２２では、各ルールに対して識別子であるルール番号が重複なく付与されており、ルール番号とルールとが１対１対応しているものとする。また、識別子は、整数、又は整数と１対１で対応付けられる値で表されるとする。即ち、識別子はコンピュータで整数として扱うことができるものとする。
一方、通信の特徴は、通常、攻撃検知の精度を比較的高くすることを目的として、複数の互いに異なる種類の項目を組み合わせた形式で表される。本例では、通信の特徴は、プロトコルと、送信元ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスと、送信元ポートと、宛先ＩＰアドレスと、宛先ポートと、データ長と、ペイロードとの７項目から成る。このように、本実施の形態に係る許可リスト１２２では、複数の項目から成る１個の通信の特徴に対して１個の識別子が割り当てられている。なお、コンピュータにおける処理効率の観点では、複数の互いに異なる種類の項目を組み合わせとして１個の通信の特徴を処理するよりも、１個の識別子を処理する方が効率的であることは明らかである。

図３は、パターン判定部１３０の機能構成例を示すブロック図である。パターン判定部１３０は、図３に示すように、モデル学習部１３１と、モデル記憶部１３２と、判定部１３３と、モデル取得部１３４とを備える。
判定部１３３は、ルール番号２０６が正常であるか否かを判定し、判定した結果を判定結果３０３として出力する。ルール番号２０６が正常であるか否かの判定において、判定部１３３は、ルール番号２０６をルール番号モデルと照合する。ルール番号モデルは、正常なルール番号の出現パターンをモデル化したものである。
モデル学習部１３１は、正常な通信データ２０２に対応するルール３０２を入力として、ルール番号モデルを学習する。
モデル取得部１３４は、ルール番号モデルを外部入力により取得する。
モデル記憶部１３２は、モデル学習部１３１によって学習されたルール番号モデル、又は、モデル取得部１３４によって外部から取得されたルール番号モデルを記憶する。

図４の（ａ）は、最終判定部１４０の機能構成例を示すブロック図である。最終判定部１４０は、図４に示すように判定総合部１４１を備える。
本実施の形態では、通信データ２０２に対して、攻撃検知部１２０による判定結果２０５と、パターン判定部１３０による判定結果３０３との２種類の判定結果が得られる。判定総合部１４１は、それら２種類の判定結果を総合することにより最終的な判定結果を決定し、決定した判定結果を出力する。

図４の（ｂ）は、判定総合部１４１の処理の具体例を示している。判定総合部１４１は、具体例として、判定結果の総合方法として２個の入力の論理和を算出する方法を採用する。即ち、ある通信データ２０２が攻撃検知部１２０とパターン判定部１３０との少なくとも一方において攻撃と判定された場合、当該ある通信データ２０２は最終的に攻撃と判定される。これにより、ある通信データ２０２が攻撃検知部１２０において攻撃と判定されれば最終判定部１４０において当該ある通信データ２０２は攻撃と判定され、また、ある通信データ２０２が攻撃検知部１２０において正常と判定されても、当該ある通信データ２０２がパターン判定部１３０において攻撃と判定されれば最終判定部１４０において当該ある通信データ２０２は攻撃と判定される。なお、通信データ２０２を攻撃と判定することには、通信データ２０２に対応する通信を攻撃と判定することが含まれる。

図５を用いて、ルール番号のパターンについて説明する。攻撃検知部１２０に正常なパケットを次々に入力すると、各パケットに対応するルール番号が次々に攻撃検知部１２０から出力される。各パケットに対応するルール番号は、各パケットが従っているルールを示すルール番号である。
図５の（ａ）は、パケット列５０１を入力すると、入力されたパケット列５０１の各パケットに対応するルール番号から成るルール番号列５０２が攻撃検知部１２０から出力される様子を表している。ここで、パケット列５０１は正常なパケットから成るものとする。
図５の（ｂ）は数列５０３の具体例を示している。数列５０３は正常なパケット列５０１に対応するルール番号列５０２の一例である。図５の（ｂ）は、正常なパケット受信した順に攻撃検知部１２０に正常なパケットが入力されると、入力された各パケットに対応するルール番号が０，１，０，２，１，３，４，１，５，…の順に出力される様子を表している。また、グラフ５０４は、横軸を時刻とし、縦軸をルール番号としてルール番号列５０２の各要素をプロットしたグラフである。横軸は、ルール番号列５０２の各要素に対応するパケットを受信した時刻を示す。ここで、グラフ５０４において、ルール番号列５０２の規則性が幾何学的なパターンとして現れている。このように、本実施の形態では、許可リスト１２２に含まれている各ルールにルール番号を付与し、各ルール及び各ルール番号を対応付けることによって、正常なパケットに対応するルールの規則性が、ルール番号の規則性として明らかになる。

図６は、ルール番号のパターンについて別の具体例を示している。図６は、計１００個の正常な通信データ２０２が与えられたとき、許可リスト１２２の各ルール番号に対応する通信データ２０２の数を表しているヒストグラムである。このヒストグラムから、正常な通信データ２０２の大部分（約４０パーセント）がルール番号１に対応することと、正常な通信データ２０２のごく一部（約４パーセント）がルール番号８に対応すること等が分かる。
モデル学習部１３１は、以上のようなルール番号のパターンを学習する。なお、モデル学習部１３１が学習に用いる手法は任意であるが、具体例としてグラフ５０４のような時系列データに対してはＬＳＴＭ（Ｌｏｎｇ Ｓｈｏｒｔ Ｔｅｒｍ Ｍｅｍｏｒｙ）と呼ばれる手法が適していることが知られている。また、図６に示すようなヒストグラムは、各ルール番号に対応する通信データ２０２の数をカウントすることにより生成することができる。
そして、前述したように、１個の整数で表されるルール番号の特徴量を算出することは、複数の互いに異なる種類の項目から成る通信の特徴量を算出することよりもコンピュータによる処理効率が高い。そのため、ルール番号のパターンを学習することにより学習コストを減らすことができる。

図７は、判定部１３３の動作例を示している。ここで、正常な通信データ２０２に対応するルール番号の順序として０，１，０，２，１，３，４，１，５，…がルール番号モデルとして学習されているものとする。判定部１３３は、当該ルール番号モデルを用いて、次に受信する正常な通信データ２０２が対応すべきルール番号を予測し、予測したルール番号に基づいて、攻撃検知中に実際に受信した通信データ２０２に対応するルール番号が正しいか否かを判断する。
ここで、攻撃検知中に受信した通信データ２０２に対応するルール番号が通信データ２０２を受信した順に０，１，０，２，１，２であったものとする。このとき、最後に受信した通信データ２０２に対応するルール番号である「２」は、当該通信データ２０２が対応すべきルール番号である「３」ではない。そのため、判定部１３３は当該通信データ２０２を攻撃であると判定する。なお、本例ではルール番号が厳密に一致しない場合に攻撃と判定されるが、ルール番号が厳密に一致しない場合であっても攻撃と判定されなくてもよい。具体例として、ルール番号モデルは、ルール番号のパターンの確率的な性質又は統計的な性質を示すモデルであってもよく、判定部１３３は、当該モデルが示す確率的な性質又は統計的な性質と、ルール番号のパターンとが矛盾する場合に攻撃と判定してもよい。

図８は、攻撃検知装置１００のハードウェア構成例であり、攻撃検知装置１００を実現するコンピュータの一例を示している。本例は、一般的なコンピュータに見られるように、プロセッサ９０２と、主記憶装置９０３と、補助記憶装置９０４と、入力インターフェース９０６と、表示インターフェース９０７と、ネットワークインターフェース９０８とがデータバス９０５で接続されている構成を示している。攻撃検知装置１００は複数のコンピュータから成ってもよい。

プロセッサ９０２は、演算処理を行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）であり、かつ、コンピュータが備えるハードウェアを制御する。プロセッサ９０２は、具体例として、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）、又はＧＰＵ（Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。
プロセッサ９０２を代替する複数のプロセッサを備えてもよい。複数のプロセッサはプロセッサ９０２の役割を分担する。

主記憶装置９０３は、典型的には揮発性の記憶装置であり、具体例としてＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）である。主記憶装置９０３はメインメモリとも呼ばれる。主記憶装置９０３に記憶されたデータは、必要に応じて補助記憶装置９０４に保存される。

補助記憶装置９０４は、典型的には不揮発性の記憶装置であり、具体例として、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）、又はフラッシュメモリである。補助記憶装置９０４に記憶されたデータは、必要に応じて主記憶装置９０３にロードされる。

入力インターフェース９０６は、入力装置が接続されるポートであり、具体例としてＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）端子である。入力装置は、具体例として、キーボード及びマウスである。

表示インターフェース９０７は、表示装置が接続されるポートであり、具体例としてＨＤＭＩ（登録商標、Ｈｉｇｈ－Ｄｅｆｉｎｉｔｉｏｎ Ｍｕｌｔｉｍｅｄｉａ Ｉｎｔｅｒｆａｃｅ）端子である。表示装置は、具体例としてディスプレイである。

ネットワークインターフェース９０８は、レシーバ及びトランスミッタである。ネットワークインターフェース９０８は、具体例として、通信チップ又はＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）である。

攻撃検知部１２０及びパターン判定部１３０等の処理はソフトウェアのプログラムである攻撃検知プログラムとして実装され、通常、攻撃検知プログラムは補助記憶装置９０４に保持されている。攻撃検知プログラムは、プロセッサ９０２によってより高速な主記憶装置９０３に読み込まれて実行される。
攻撃検知プログラムは、コンピュータが読み取り可能な不揮発性の記録媒体に記録されていてもよい。不揮発性の記録媒体は、具体例として、光ディスク又はフラッシュメモリである。攻撃検知プログラムは、プログラムプロダクトとして提供されてもよい。

攻撃検知プログラムを実行する際に用いられるデータと、攻撃検知プログラムを実行することによって得られるデータ等は、記憶装置に適宜記憶される。攻撃検知装置１００の各部は記憶装置を適宜利用する。記憶装置は、具体例として、主記憶装置９０３と、補助記憶装置９０４と、プロセッサ９０２内のレジスタと、プロセッサ９０２内のキャッシュメモリとの少なくとも１つから成る。なお、データと情報とは同等の意味を有することもある。記憶装置は、コンピュータと独立したものであってもよい。

通信データ取得部１１０の取得対象である通信データ２０２は、攻撃検知がリアルタイムで行われる場合、ネットワークインターフェース９０８から取得される。一方、過去に取得済みの通信データ２０２に対して攻撃検知を行う場合、補助記憶装置９０４に保持されている通信データ２０２を取得することも考えられる。攻撃検知の結果は、表示インターフェース９０７によって視覚的に表示されたり、ネットワークインターフェース９０８を介して遠隔のオペレータに通知されたりする。また、攻撃検知装置１００の設定等の目的で、入力インターフェース９０６を用いてもよい。攻撃検知装置１００の設定としては、具体例として、許可リスト１２２及びルール番号モデルの編集等が考えられる。

なお、攻撃検知装置１００が具体例としてルータのような形態で実現される場合には、攻撃検知装置１００は入力インターフェース９０６及び表示インターフェース９０７等を持たない場合もある。また、攻撃検知処理の一部もしくは全部がソフトウェアではなくハードウェアとして実装される場合も考えられる。この場合において、攻撃検知装置１００は、ＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）等の論理回路を備えた装置であることも考えられる。

＊＊＊動作の説明＊＊＊
攻撃検知装置１００の動作手順は攻撃検知方法に相当する。また、攻撃検知装置１００の動作を実現するプログラムは攻撃検知プログラムに相当する。

図９は、攻撃検知装置１００の動作全体の一例を表すフローチャートである。図９を参照して攻撃検知装置１００の動作を説明する。

（ステップＳ８０１）
通信データ取得部１１０は、攻撃検知対象である通信データ２０２を取得する。

（ステップＳ８０２）
照合部１２１は、取得された通信データ２０２を許可リスト１２２と照合する。

（ステップＳ８０３）
取得された通信データ２０２が許可リスト１２２に含まれているいずれかのルールに従う場合、攻撃検知装置１００はステップＳ８０６に進む。それ以外の場合、攻撃検知装置１００はステップＳ８０４に進む。

（ステップＳ８０４）
照合部１２１は、取得された通信データ２０２が攻撃であると判定する。

（ステップＳ８０５）
判定総合部１４１は、照合部１２１による判定結果と、判定部１３３による判定結果とを総合することにより最終的な判定を行う。なお、判定部１３３による判定結果がない場合、判定総合部１４１は判定部１３３による判定結果を用いずに最終的な判定を行う。
判定総合部１４１は、最終的な判定を行った結果を示すデータを出力する。

（ステップＳ８０６）
ステップＳ８０６は、ステップＳ８０７からステップＳ８１２から成る。判定部１３３によるステップＳ８０６の処理が終了した後、攻撃検知装置１００はステップＳ８０５に進む。

（ステップＳ８０７）
判定部１３３は、取得された通信データ２０２に対応するルール番号を取得する。

（ステップＳ８０８）
判定部１３３は、モデル記憶部１３２からルール番号モデルを読み出し、取得したルール番号が読み出したルール番号モデルに適合するか否かを判定する。

（ステップＳ８０９）
モデル学習部１３１は、ステップＳ８０８の処理に並行して、ステップＳ８０７において取得したルール番号を学習することによりルール番号モデルを更新する。

（ステップＳ８１０）
ステップＳ８０８において、取得したルール番号が読み出したルール番号モデルに適合しないと判定された場合、判定部１３３はステップＳ８１１に進む。それ以外の場合、判定部１３３はステップＳ８１２に進む。

（ステップＳ８１１）
判定部１３３は、取得された通信データ２０２を攻撃と判定する。

（ステップＳ８１２）
判定部１３３は、取得された通信データ２０２を攻撃ではないと判定する。

＊＊＊実施の形態１の効果の説明＊＊＊
以上のように、本実施の形態によれば、許可リスト１２２に含まれている各ルールに一意な識別子を付与することによって、通常は複数の互いに異なる種類の項目で表される通信データ２０２の特徴量を１個の識別子に代表させ、代表させた識別子を学習対象とする。そのため、正常な通信のシーケンス又は統計的な特徴等を学習するコストを減らすことができる。
また、本実施の形態によれば、許可リスト型攻撃検知において、通信データ２０２が従うルールに対応する識別子を取得する処理によって、学習対象である特徴量を抽出する処理が実現されている。そのため、本実施の形態によれば、学習に必要な特徴量を抽出するコストを減らすことができる。
従って、本実施の形態によれば、許可リスト型攻撃検知と、学習による攻撃検知とを組み合わせた攻撃検知において、精度が比較的高い攻撃検知を比較的少ない計算リソースで実現することができる。

＊＊＊他の構成＊＊＊
＜変形例１＞
図１０は、本変形例に係る攻撃検知装置１００のハードウェア構成例を示している。
攻撃検知装置１００は、プロセッサ９０２、プロセッサ９０２と主記憶装置９０３、プロセッサ９０２と補助記憶装置９０４、あるいはプロセッサ９０２と主記憶装置９０３と補助記憶装置９０４とに代えて、処理回路９０９を備える。
処理回路９０９は、攻撃検知装置１００が備える各部の少なくとも一部を実現するハードウェアである。
処理回路９０９は、専用のハードウェアであってもよく、また、主記憶装置９０３に格納されるプログラムを実行するプロセッサであってもよい。

処理回路９０９が専用のハードウェアである場合、処理回路９０９は、具体例として、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）又はこれらの組み合わせである。
攻撃検知装置１００は、処理回路９０９を代替する複数の処理回路を備えてもよい。複数の処理回路は、処理回路９０９の役割を分担する。

攻撃検知装置１００において、一部の機能が専用のハードウェアによって実現されて、残りの機能がソフトウェア又はファームウェアによって実現されてもよい。

処理回路９０９は、具体例として、ハードウェア、ソフトウェア、ファームウェア、又はこれらの組み合わせにより実現される。
プロセッサ９０２と主記憶装置９０３と補助記憶装置９０４と処理回路９０９とを、総称して「プロセッシングサーキットリー」という。つまり、攻撃検知装置１００の各機能構成要素の機能は、プロセッシングサーキットリーにより実現される。
他の実施の形態に係る攻撃検知装置１００についても、本変形例と同様の構成であってもよい。

実施の形態２．
以下、主に前述した実施の形態と異なる点について、図面を参照しながら説明する。

＊＊＊構成の説明＊＊＊
実施の形態１では、正常な通信データ２０２に対応する識別子のパターンを学習することにより、正常な通信データ２０２のパターンを比較的効率良く学習する。しかしながら、実施の形態１によれば、正常な通信データ２０２が取り得る多様なパターンのそれぞれが与えられたとき、どのようにして適切な学習手法を選択するかは明らかではない。ここで、対象システムの仕様に関する情報が手に入る場合、各ルールの意味と、識別子が取り得るパターン等を当該情報から事前に知ることができる。そのため、この場合において、ルール番号のパターン毎に適した学習手法を選択すること、また、学習手法を用いずにルール番号モデルを直接的に生成すること等が可能である。本実施の形態は対象システムの仕様に関する情報を活用することを目的とする。

図１１は、本実施の形態に係るパターン判定部１３０の機能構成例を示すブロック図である。パターン判定部１３０は、図１１に示すように、学習手法選択部１３５と、パターン分類情報１３６とをさらに備える。パターン判定部１３０は、正常と判定された複数の通信データ２０２の各々に対応する識別子の出現パターンの分類に応じて識別子の出現パターンに関するモデルを学習する方法を選択する。
パターン分類情報１３６は、仕様情報１３７に基づいて生成される情報であり、パターン分類を示す情報である。
仕様情報１３７は、あらかじめ手に入る情報であり、対象システムの仕様等を示す情報である。
学習手法選択部１３５は、パターン分類情報１３６を利用してルール番号のパターンに適した学習手法を選択する。
モデル学習部１３１は、学習手法選択部１３５によって選択された学習手法を用いてルール番号モデルを学習する。
なお、仕様情報１３７に基づいてあらかじめルール番号モデルを作成しておくこともできる。あらかじめルール番号モデルが作成された場合において、モデル取得部１３４は作成されたルール番号モデルを取得してもよい。

図１２は、パターン分類情報１３６の具体例を示している。それぞれのパターン分類の意味については図１３を用いて説明する。

図１３は、パターン分類の具体例を示している。図１３において、パターン分類の具体例として、サイクリック伝送２１と、コマンド・レスポンス２２と、回数制限２３と、トランジェント伝送２４と、データの規則性２５と、稀な通信２６との各パターンが示されている。また、図１３において各パターンにおける具体例が示されている。

具体例として、制御システムでは、周期的に発生する通信をサイクリック伝送と呼び、任意に発生する通信をトランジェント伝送と呼ぶことにより両者を区別することがある。
サイクリック伝送２１では、ルール番号３に対応する通信データ２０２が１分間隔で現れることを示している。このようなパターンの通信に対しては、具体例として、周期性のあるデータ、又は時系列データに適した学習手法が選択される。ここで、図５のグラフ５０４が示すパターンもサイクリック伝送とみなすことができる。グラフ５０４では複数のルール番号が全体として周期的なパターンを示している。そのため、モデル学習部１３１は、グラフ５０４を学習データとして用いる場合、複数のルール番号全体を対象としてパターンを学習してもよい。一方、モデル学習部１３１は、この場合において、周期性を有するルール番号を複数個重ね合わせたものとみなして個々のルール番号を別個に学習してもよい。

サイクリック伝送とは異なり、トランジェント伝送では、トランジェント伝送２４に示すように出現するルール番号及び時間間隔が不規則になることが通常である。そのため、通信がトランジェント伝送である場合において、通信がサイクリック伝送である場合における学習手法と同じ学習手法は適さない可能性が高い。
トランジェント伝送２４では、具体例として、人手の操作によって通信データ２０２が発生することを想定し、ルール番号の出現間隔が一定せず、当該出現間隔が大きくばらつく様子を学習することが考えられる。

コマンド・レスポンス２２は、コマンド・レスポンス型の通信に対応するルール番号のパターンを表している。コマンド・レスポンス型の通信において、具体例として、制御装置から機器に対してＲｅａｄコマンドが送信されると、Ｒｅａｄコマンドに対する応答として当該機器から当該制御装置にセンサの値が送信される。
コマンド・レスポンス２２は、ルール番号１に対応する通信データ２０２と、ルール番号２に対応する通信データ２０２とが１往復する単純なコマンド・レスポンスを表している。
より一般に、通信プロトコルとして所定の規則に従って通信データ２０２が現れる場合には、規則を状態遷移図として学習する手法を選択すればよい。また、仕様情報１３７として、あらかじめ通信プロトコルが状態遷移図として定義されている場合も考えらる。この場合において、モデル取得部１３４は、定義されている状態遷移図を取得すればよい。

回数制限２３は、ルール番号４に対応する通信が一定期間に許可される回数に制限のあるパターンを表している。回数制限２３では、パスワード認証要求の通信は１時間に３回までしか許可されないという動作、つまり、１時間以内に３回パスワード認証を失敗するとパスワード認証を一定時間実行することができなくなるという動作が実現される。なお、パスワード認証に関するこのような回数制限は本来、認証システムとして実現されるべきものであるが、ここでは具体例として当該回数制限を示している。

データの規則性２５は、ルール番号２００が温度データを送信する通信を表している。データの規則性２５では、温度データが示す温度が０→９０→５０と乱高下していることを表している。ここで、同一のセンサによって短期間に取得された温度が短期間に乱高下することは正常な挙動ではない。そのため、通信データ２０２が示す値が乱高下する場合に判定部１３３は通信データ２０２を攻撃と判定することができる。このような場合において、学習手法選択部１３５は、通信データ２０２を利用して監視及び制御されているシステムに関するモデル、具体例として、温度変化に関するモデルを学習する手法を選択することができる。データの規則性２５において、通信に関する値が不自然に全く変化しない場合に当該通信が攻撃と判定されてもよい。

稀な通信２６は、ルール番号１０００に対応する通信データ２０２を稀に受信する通信を表している。このような通信については、図６で示したような統計的なモデルの学習が考えられる。これによって稀に出現するルール番号の出現頻度の正しさを判定してもよく、稀な通信データ２０２を受信することに対する警戒を促す目的で、稀な通信データ２０２が正常な通信に対応する場合であっても当該稀な通信データ２０２を攻撃として判定してもよい。

なお、各パターンが独立しているものとして説明したが、いくつかのパターンの組み合わせもあり得る。具体例として、ある通信はコマンド・レスポンスのパターンを基本としつつ、当該ある通信においてやり取りされる通信データ２０２に規則性が現れることは十分に考えられる。
以上で示したパターン分類はあくまで一例であり、このように、対象システムにおける正常な通信データ２０２が取り得るパターンは多様である。多様なパターンに従う通信データ２０２を一括して１個の学習手法により学習する場合よりも、各パターンに適した手法により別個に学習する場合の方が精度が高いモデルを学習することができる。具体例として、サイクリック伝送の通信データ２０２と、トランジェント伝送の通信データ２０２という性質が互いに全く異なる通信データ２０２を混ぜて学習データを生成する場合よりも、２種類の通信データ２０２を混ぜずに２つの学習データを生成する場合の方が合理的である。より精度が高いモデルを学習する目的のため、仕様情報１３７に基づいてあらかじめパターン分類情報１３６を生成し、生成したパターン分類情報１３６に基づいてルール番号毎に適切な学習手法を選択することができるようにすることが本実施の形態のポイントである。

＊＊＊実施の形態２の効果の説明＊＊＊
以上のように、対象システムの仕様情報１３７があらかじめ手に入る場合には、対象システムにおいて発生し得る通信パターンをあらかじめ分類してパターン分類情報１３６を生成することができる。そこで、本実施の形態では、パターン分類情報１３６を用いて学習手法を選択する学習手法選択部１３５が設けられている。これにより、パケットに対応する通信パターンに応じて適切な学習手法を選択することができるため、学習による攻撃検知の精度を高めることができる。
また、本実施の形態によれば、パケットのパターン毎に学習手法を分けることができる。そのため、コンピュータでの実装において、各パターンに対応する処理を別々のスレッド又はＣＰＵ等に割り当てることにより比較的効率的に処理を実行することが容易になる。

実施の形態３．
以下、主に前述した実施の形態と異なる点について、図面を参照しながら説明する。

＊＊＊構成の説明＊＊＊
実施の形態１及び２では、許可リスト１２２のデータ構造として、正常とみなす通信データ２０２の特徴を定義するルールが１個１個列挙され、各ルールに一意な識別子が付与されていることを想定していたが、ルールが列挙されている順序については特定の決まりはない。そのため、検知対象である通信データ２０２に対応するルールを検索する方法として、先頭のルールから順番に１個１個ルールを確認する方法が考えられる。この方法では処理時間がルールの数に比例して増加するため、許可リスト１２２に含まれているルールの数が多い場合等においてこの方法は適さない。そこで、ルールの数の影響を受けない許可リスト１２２のデータ構造及び検索方法として、ハッシュテーブルを利用することが考えられる。本実施の形態では、許可リスト１２２においてハッシュテーブルを活用する。

図１４は、ハッシュテーブルを利用した許可リスト１２２の照合方法の一例を説明するための図である。
本実施の形態に係る攻撃検知部１２０は、対象データと許可リスト１２２に含まれている各ルールとを照合する際に、対象データに対応するハッシュ値と、許可リスト１２２に含まれている各ルールに対応する値とを照合する。
ハッシュ関数３１は、入力された値に対する計算によって、１以上Ｎ（Ｎは正の整数）以下である値を出力するように設計されており、また、その計算は高速であるように設計されている。
また、ハッシュテーブル３４は、１以上Ｎ以下である添え字を用いてアクセスすることができるように設計されている。特に、許可された通信データ２０２に対応するハッシュ値３３を添え字としてアクセスした位置には、当該通信データ２０２に対応するルールが格納されている。
図１４において、通信データ２０２が与えられたとき、ハッシュ関数３１によりハッシュ値３３として１が算出され、アクセスすべき添え字が１であることが分かる。ここで、添え字１に対応するルールとしてルール３５がハッシュテーブル３４に格納されている。そのため、当該通信データ２０２は許可リスト１２２によって許可されている通信であることが分かる。
一方、通信データ２０２に対応するハッシュ値３３が２である場合において、ハッシュテーブル３４において添え字２に対応するデータが無い。そのため、この場合において当該通信データ２０２は許可されていない通信であることが分かる。なお、ハッシュ関数３１の計算は高速であるとの前提から、ハッシュテーブル３４を用いた照合処理を高速に行うことができる。
ただし、ハッシュテーブル３４を用いたデータの検索では、互いに異なる入力に対するハッシュ値３３が一致する可能性を考慮しなければならない。ここで、図１４に示すハッシュテーブル３４では、添え字３に対応するルールであるルール３６が２個ある。これは、これら２個のルール３６の各々に対応する通信データ２０２に対応するハッシュ値３３が一致することを意味している。

また、図１５は、互いに異なる入力に対するハッシュ値３３が一致する別の具体例を示している。本例では、許可された通信データ２０２のハッシュ値３３と、許可されていない通信データ２０２のハッシュ値３３とが共に１であり一致している。ここで、許可されていない通信データ２０２は攻撃と判定されるべきであるが、ハッシュテーブル３４に添え字１に対応するルールが存在することを確認するだけでは、当該通信データ２０２を許可された通信であると誤って判定する。
従って、通信データ２０２を許可リスト１２２と照合する際には、まず通信データ２０２に対応するハッシュ値３３を添え字としてハッシュテーブル３４にルールが存在することを確認し、次に確認したルールが当該通信データ２０２に実際に対応していることを確認する必要がある。これにより、照合部１２１は、具体例として、添え字１に対応するルール４３と、許可されていない通信データ２０２とを照合し、一致していないことを確認することにより、最終的に通信データ２０２が攻撃であると判定することができる。

以上で説明したハッシュテーブル３４においては、各ルールにアクセスする添え字は一意ではないため、添え字をルール番号として学習することはできない。そこで、ハッシュテーブル３４に格納するデータとして、ルールに加えて一意なルール番号を含めることとする。
具体例として、図１６に示すハッシュテーブル３４では、添え字１に対して、ルール５１と、ルール５１に対応するルール番号５２が格納されている。また、添え字３に対して、ルール５３と、ルール５３に対応するルール番号５４が格納されている。添え字３に対応するルールは２個あり、各ルールに対して一意なルール番号が付与されている。ルール番号の決定方法は様々であるが、図１６に示す例では、ルール番号として、ハッシュテーブル３４にアクセスする添え字Ｋを１０の位とする整数が割り当ててられている。これにより、対応する添え字が一致するルールが１０個以下であれば、各ルールに対して一意なルール番号を割り当てることができる。

図１７は、温度データの応答によって発生するパケットの具体例を示している。本例では、ペイロード部分に温度データが表されている。本例のようにペイロード部分にアプリケーションデータ等が表されている場合、ペイロード部分はアプリケーションデータ等に応じて変化するが、ペイロード部分以外は同じであることが多い。このような通信データ２０２を許可するルールをハッシュテーブル３４に格納する場合に、通信データ２０２が取り得る値ごとにルールを用意するとハッシュテーブル３４のデータが膨大になるために効率が落ちる。そこで、ペイロード部分でアプリケーションデータ等を表し、ペイロード部分以外は変化しないような通信データ２０２を扱う場合、ペイロード部分以外をルールとし、各ルールに対して一意なルール番号を付与し、一意なルール番号を付与した各ルールをハッシュテーブル３４で管理する。また、ペイロード部分の値の妥当性については、ハッシュテーブル３４を用いる方法とは別の方法で検証する。当該別の方法は、図１３のデータの規則性２５に示す方法と同様である。

＊＊＊実施の形態３の効果の説明＊＊＊
以上のように、本実施の形態によれば、許可リスト１２２のデータ構造及び検索方法としてハッシュテーブル３４を用いる場合であっても、各ルールに対して一意なルール番号を付与する。また、本実施の形態によれば、ペイロード部分でアプリケーションデータ等を表すような通信データ２０２に対してはペイロード部分以外についてのルールを生成する。そのため、実施の形態１及び２で説明した学習と同様の学習を本実施の形態に対して適用することができる。

＊＊＊他の実施の形態＊＊＊
前述した各実施の形態の自由な組み合わせ、あるいは各実施の形態の任意の構成要素の変形、もしくは各実施の形態において任意の構成要素の省略が可能である。
また、実施の形態は、実施の形態１から３で示したものに限定されるものではなく、必要に応じて種々の変更が可能である。フローチャート等を用いて説明した手順は適宜変更されてもよい。

１００ 攻撃検知装置、１１０ 通信データ取得部、１２０ 攻撃検知部、１２１ 照合部、１２２ 許可リスト、１３０ パターン判定部、１３１ モデル学習部、１３２ モデル記憶部、１３３ 判定部、１３４ モデル取得部、１３５ 学習手法選択部、１３６ パターン分類情報、１３７ 仕様情報、１４０ 最終判定部、１４１ 判定総合部、１５０ 判定結果出力部、２１ サイクリック伝送、２２ コマンド・レスポンス、２３ 回数制限、２４ トランジェント伝送、２５ データの規則性、２６ 稀な通信、２０２ 通信データ、２０５ 判定結果、２０６ ルール番号、３１ ハッシュ関数、３３ ハッシュ値、３４ ハッシュテーブル、３５，３６，４３ ルール、３０２ ルール、３０３ 判定結果、５１，５３ ルール、５２，５４ ルール番号、５０１ パケット列、５０２ ルール番号列、５０３ 数列、５０４ グラフ、９０２ プロセッサ、９０３ 主記憶装置、９０４ 補助記憶装置、９０５ データバス、９０６ 入力インターフェース、９０７ 表示インターフェース、９０８ ネットワークインターフェース、９０９ 処理回路。

Claims (7)

1. 複数の通信データの各々を対象データとし、前記対象データが、各々が固有の識別子を割り当てられている複数のルールを含む許可リストに含まれているルールのいずれかに従うか否かを判定する攻撃検知処理を実行する攻撃検知部と、
   前記対象データが前記許可リストに含まれているルールのいずれかに従う場合に、前記複数の通信データの各々が従うルールに対応する識別子の出現パターンが正常であるか否かを判定するためのモデルを用いて、前記対象データが従うルールに対応する識別子が前記モデルから導出される識別子の出現パターンと整合するか否かを判定するパターン判定処理を実行するパターン判定部と、
   前記パターン判定処理が実行された場合に、前記攻撃検知処理による判定結果と、前記パターン判定処理による判定結果とを用いて前記対象データが正常であるか否かを判定する最終判定部と
   を備える攻撃検知装置。
2. 前記最終判定部は、前記攻撃検知処理において前記対象データが前記許可リストに含まれているルールのいずれにも従わないと判定された場合に、前記対象データが正常ではないと判定し、
   前記最終判定部は、前記攻撃検知処理において前記対象データが前記許可リストに含まれているルールのいずれかに従うと判定されたとき、前記パターン判定処理において前記対象データが従うルールに対応する識別子が前記モデルから導出される出現パターンと整合しないと判定された場合に、前記対象データが正常ではないと判定する請求項１に記載の攻撃検知装置。
3. 前記パターン判定部は、正常と判定された複数の通信データと、前記正常と判定された複数の通信データの各々に対応する識別子の出現パターンとを用いて前記モデルを学習する請求項１又は２に記載の攻撃検知装置。
4. 前記パターン判定部は、前記正常と判定された複数の通信データの各々に対応する識別子の出現パターンの分類に応じて前記モデルを学習する方法を選択する請求項３に記載の攻撃検知装置。
5. 前記攻撃検知部は、前記対象データと前記許可リストに含まれている各ルールとを照合する際に、前記対象データに対応するハッシュ値と、前記許可リストに含まれている各ルールに対応する値とを照合する請求項１又は２に記載の攻撃検知装置。
6. コンピュータが、複数の通信データの各々を対象データとし、前記対象データが、各々が固有の識別子を割り当てられている複数のルールを含む許可リストに含まれているルールのいずれかに従うか否かを判定する攻撃検知処理を実行し、
   前記コンピュータが、前記対象データが前記許可リストに含まれているルールのいずれかに従う場合に、前記複数の通信データの各々が従うルールに対応する識別子の出現パターンが正常であるか否かを判定するためのモデルを用いて、前記対象データが従うルールに対応する識別子が前記モデルから導出される識別子の出現パターンと整合するか否かを判定するパターン判定処理を実行し、
   前記コンピュータが、前記パターン判定処理が実行された場合に、前記攻撃検知処理による判定結果と、前記パターン判定処理による判定結果とを用いて前記対象データが正常であるか否かを判定する攻撃検知方法。
7. 複数の通信データの各々を対象データとし、前記対象データが、各々が固有の識別子を割り当てられている複数のルールを含む許可リストに含まれているルールのいずれかに従うか否かを判定する攻撃検知処理と、
   前記対象データが前記許可リストに含まれているルールのいずれかに従う場合に、前記複数の通信データの各々が従うルールに対応する識別子の出現パターンが正常であるか否かを判定するためのモデルを用いて、前記対象データが従うルールに対応する識別子が前記モデルから導出される識別子の出現パターンと整合するか否かを判定するパターン判定処理と、
   前記パターン判定処理が実行された場合に、前記攻撃検知処理による判定結果と、前記パターン判定処理による判定結果とを用いて前記対象データが正常であるか否かを判定する最終判定処理と
   をコンピュータである攻撃検知装置に実行させる攻撃検知プログラム。

Images