JPWO2016194123A1

JPWO2016194123A1 - 中継装置、ネットワーク監視システム及びプログラム

Info

Publication number: JPWO2016194123A1
Application number: JP2017521382A
Authority: JP
Inventors: 仁川▲崎▼; 広泰田畠; 晃由山口; 信博小林
Original assignee: Mitsubishi Electric Corp; Mitsubishi Electric Building Techno Service Co Ltd
Current assignee: Mitsubishi Electric Corp; Mitsubishi Electric Building Techno Service Co Ltd
Priority date: 2015-06-02
Filing date: 2015-06-02
Publication date: 2017-07-20
Anticipated expiration: 2035-06-02
Also published as: US10826915B2; JP6258562B2; US20180183816A1; CN107735987A; EP3306868A1; EP3306868A4; WO2016194123A1; EP3306868B1

Abstract

ネットワークスイッチのミラーポートからの出力を有効利用して施設内に設置された機器への施設内外からの不正アクセスの検出を行う。ゲートウェイ装置１０は、監視対象の機器から出力されたパケットデータであってスイッチのミラーポートから出力されたパケットデータを監視用データとして監視用データ記憶部１９に保存する監視用データ取得部１５と、監視用データと判定ルールとの比較に基づき監視用データが異常かどうかを判定することで不正アクセスを検出する不正アクセス検出部１７と、外部通信部１２を介して外部ネットワークに接続された監視センタのサーバに不正が検出されたことを通知する不正アクセス通知部１８と、を有する。

Description

本発明は、中継装置、ネットワーク監視システム及びプログラム、特に中継装置と同じ施設内に設置された設備機器への不正アクセスの検出に関する。

制御システムのオープン化に伴い、悪意のある第三者が制御システムに不正にアクセスすることが発生している。そのため、ビル管理システムをはじめとする制御システムの分野では、ネットワークを監視してネットワークに接続された機器への不正アクセスを検知することが求められている。

従来では、侵入検知システム（ＩＤＳ：ＩｎｔｒｕｓｉｏｎＤｅｔｅｃｔｉｏｎＳｙｓｔｅｍ）を利用したり、ネットワーク監視に特化したネットワーク管理装置を設置したりしてネットワークを監視する方法が提案されている（例えば、特許文献１，２）。また、ホームゲートウェイに中継するパケットを解析する機能を搭載して外部ネットワークからの不正アクセスを検知する技術が提案されている（例えば、特許文献３）。

特開２００５−１５７６５０号公報特開２００７−２７４２６５号公報特開２００６−０６７２７９号公報

しかしながら、特許文献１，２のようにネットワークを監視するための装置を用いると不正アクセスの検出のために多大なコストが必要となってくる。また、装置の設置スペースも必要となってくる。また、特許文献３では、外部ネットワークからのユーザ端末への不正アクセスは検知できても内部ネットワークからのユーザ端末への不正アクセスを検知することができない。

ところで、従来から、回線やパケットの交換（スイッチング）機能が搭載された通信装置としてネットワークスイッチ（以下、単に「スイッチ」）がある。高性能のスイッチには、通常のポートを通過する全てのトラフィックデータをコピーして出力するためのミラーポートが設けられている機種が存在する。

本発明は、ネットワークスイッチのミラーポートからの出力を有効利用して施設内に設置された機器への施設内外からの不正アクセスの検出を行うことを目的とする。

本発明に係る中継装置は、施設外の外部ネットワークに接続されたサーバと施設内の内部ネットワークに直接又は間接的に接続された機器との間で通信されるデータを中継する中継装置において、前記内部ネットワークに接続されたネットワークスイッチのミラーポートから出力されるデータを取得するデータ取得手段と、前記データ取得手段により取得されたデータを解析することで前記機器に対する不正アクセスを検出する検出手段と、不正アクセスが検出されたときにその不正アクセスに関する検出情報を前記サーバへ送信する検出情報送信手段と、を有するものである。

また、前記中継装置にかかる負荷の状態を監視する負荷状態監視手段と、前記データ取得手段により取得されたデータを記憶するデータ記憶手段と、を有し、前記検出手段は、前記中継装置にかかる負荷が所定以下の場合にのみデータの解析を行うものである。

また、前記データ取得手段により取得されたデータと予め設定されているフィルタ情報とのマッチング処理により前記機器への不正アクセスを検出するマッチング処理手段を有し、前記検出手段は、前記マッチング処理手段によるマッチング処理により不正アクセスが検出されなかったデータを解析することで前記機器に対する不正アクセスを検出するものである。

また、前記検出手段は、前記ネットワークスイッチの通常ポートから出力される前記機器からのデータを解析することで前記機器に対する不正アクセスを検出するものである。

また、前記中継装置における負荷状態を監視する負荷状態監視手段と、

前記データ取得手段により取得されたデータを記憶するデータ記憶手段と、前記中継装置にかかる負荷の状態に応じて前記データ記憶手段に記憶されたデータを前記サーバに送信し、前記検出手段で行う不正アクセスの検出処理の実行を前記サーバに要求する検出処理要求手段と、を有するものである。

本発明に係るネットワーク監視システムは、施設外の外部ネットワークに接続されたサーバと、施設内の内部ネットワークに直接又は間接的に接続された機器と、前記サーバと前記機器との間で通信されるデータを中継する中継装置と、前記内部ネットワークに接続され、通常ポートから入力されたデータをミラーポートから前記中継装置へ送信するネットワークスイッチと、を有し、前記中継装置は、前記ネットワークスイッチのミラーポートから出力されるデータを取得するデータ取得手段と、前記データ取得手段により取得されたデータを解析することで前記機器に対する不正アクセスを検出する検出手段と、不正アクセスが検出されたときにその不正アクセスに関する検出情報を前記サーバへ送信する検出情報送信手段と、を有するものである。

本発明に係るプログラムは、施設外の外部ネットワークに接続されたサーバと施設内の内部ネットワークに直接又は間接的に接続された機器との間で通信されるデータを中継する中継装置に搭載されたコンピュータを、前記内部ネットワークに接続されたネットワークスイッチのミラーポートから出力されるデータを取得するデータ取得手段、前記データ取得手段により取得されたデータを解析することで前記機器に対する不正アクセスを検出する検出手段、不正アクセスが検出されたときにその不正アクセスに関する検出情報を前記サーバへ送信する検出情報送信手段、として機能させるためのものである。

本発明によれば、ネットワークスイッチのミラーポートからの出力を有効利用して施設内に設置された機器への施設内外からの不正アクセスの検出を行うことができる。

また、負荷がかかっている状態においては不正アクセスの検出処理の実行を制限することで中継装置にかかる負荷の増大を回避することができる。

また、相対的に低速な検出手段による不正アクセスの検出に先行して、相対的に高速なフィルタ情報とのマッチング処理による不正アクセスの検出を行うことで、不正アクセスの検出処理の高速化を図ると共に中継装置にかかる処理負荷の低減を図ることができる。

また、ネットワークスイッチの通信ポートから受信した機器からのデータに基づき機器への施設内からの不正アクセスの検出を行うことができる。

また、負荷がかかっている状態においては不正アクセスの検出処理の実行をサーバに依頼して中継装置にかかる負荷の増大を回避することができる。

実施の形態１におけるゲートウェイ装置を含むネットワーク監視システムの全体構成の一例を示した図である。実施の形態１におけるゲートウェイ装置のハードウェア構成図である。実施の形態１におけるゲートウェイ装置のブロック構成図である。実施の形態１におけるゲートウェイ装置が実施する不正アクセス検出処理を示したフローチャートである。実施の形態２におけるゲートウェイ装置のブロック構成図である。実施の形態３におけるゲートウェイ装置のブロック構成図である。実施の形態４におけるゲートウェイ装置のブロック構成図である。実施の形態５におけるゲートウェイ装置のブロック構成図である。

以下、図面に基づいて、本発明の好適な実施の形態について説明する。

実施の形態１．
図１は、本発明に係るネットワーク監視システムの一実施の形態を示した全体構成図である。図１には、監視センタ１に設置されたサーバ２と顧客のビル３に設置されたゲートウェイ装置１０とがインターネット等の外部ネットワーク４にて接続された構成が示されている。また、ビル３の内部には、ゲートウェイ装置１０の他に、スイッチ５、管理装置６、コントローラ７及び電気設備等の機器８が設置され、このうちスイッチ５及びコントローラ７は、ＬＡＮ等の内部ネットワーク９に接続されている。そして、スイッチ５には、ゲートウェイ装置１０及び管理装置６が接続されている。

スイッチ５は、回線やパケットの交換（スイッチング）機能が搭載された通信装置である。本実施の形態におけるスイッチ５は、通常のポートを通過する全てのトラフィックデータをコピーして出力するためのミラーポート５１を有している。ミラーポート５１は、ゲートウェイ装置１０の監視ポート３６１と接続されている。スイッチ５の通常ポートは、ゲートウェイ装置１０の通常ポート、管理装置６及び内部ネットワーク９に接続されている。ゲートウェイ装置１０は、サーバ２と機器８との間でやり取りされるデータを中継する。管理装置６は、機器８をはじめ内部ネットワーク９に直接又は間接的に接続されている各種機器の監視、管理を行う。コントローラ７は、接続された機器８の動作の制御及び機器８が発信するデータの収集等を行う。ビル３に設置するコントローラ７及び各コントローラ７に接続する機器８の台数は、ビル３の規模に応じて決められている。

監視センタ１は、サーバ２を用いて、ビル３に設置された各機器８の保守管理等のために機器８へ制御データ等を送信したり、機器８から運用実績値等のデータを取得したりする。なお、監視センタ１は、１又は複数のビル３に設置された機器８を監視するが、監視内容は各ビル３とも同様なので便宜的に１つのビル３のみ図示した。

図２は、本実施の形態におけるゲートウェイ装置１０のハードウェア構成図である。本実施の形態におけるゲートウェイ装置１０は、コンピュータを搭載し、従前から存在する汎用的なハードウェア構成で実現できる。すなわち、ゲートウェイ装置１０は、図２に示したようにＣＰＵ３１、ＲＯＭ３２、ＲＡＭ３３、ハードディスクドライブ（ＨＤＤ）３４、通信手段として設けられ、外部ネットワーク４を接続するための外部ネットワークインタフェース（ＩＦ）３５及び内部ネットワーク９を接続するための内部ネットワークインタフェース（ＩＦ）３６を内部バス３７に接続して構成される。内部ネットワークインタフェース３６は、スイッチ５の通常ポートからの出力を受ける通常ポート（図示せず）とは別に、スイッチ５のミラーポート５１からの出力を受ける監視ポート３６１を搭載する。なお、図示していないが、ゲートウェイ装置１０の環境設定等のためにコンピュータを接続可能なインタフェースを設けてもよい。

図３は、本実施の形態におけるゲートウェイ装置１０のブロック構成図である。なお、本実施の形態において説明に用いない構成要素に関しては図から省略している。本実施の形態におけるゲートウェイ装置１０は、内部通信部１１、外部通信部１２、プロトコル変換部１３、監視用通信部１４、監視用データ取得部１５、負荷状態監視部１６、不正アクセス検出部１７、不正アクセス通知部１８、監視用データ記憶部１９及び判定ルール記憶部２０を有している。内部通信部１１は、内部ネットワーク９を介して機器８等のビル３に設置されたネットワーク機器との通信機能を提供する。外部通信部１２は、外部ネットワーク４を介したサーバ２等の外部装置との通信機能を提供する。プロトコル変換部１３は、サーバ２と機器８のプロトコルを相互に変換する機能を提供する。監視用通信部１４は、監視ポート３６１から入力されてくるパケットデータを受信することで取得する。パケットデータには、やり取りされるデータ及びそのデータの送信元、送信先、データ信号の種類等が含まれているので、監視用データ取得部１５は、監視用通信部１４により受信されたパケットデータを解析して、受信されたパケットデータのうち不正アクセスの検出に用いるパケットデータを監視用データとして監視用データ記憶部１９に格納する。負荷状態監視部１６は、ゲートウェイ装置１０にかかる負荷の状態を監視する。不正アクセス検出部１７は、検出手段として設けられ、判定ルール記憶部２０に予め設定されている判定ルールに基づき、監視用データ取得部１５により取得され監視用データ記憶部１９に格納された監視用データを解析することで機器８に対する不正アクセスを検出する。不正アクセス通知部１８は、検出情報送信手段として設けられ、不正アクセスが検出されたときにその不正アクセスに関する検出情報を、外部通信部１２を介してサーバ２へ送信する。

判定ルール記憶部２０には、機器８から送出される信号データの種類に応じて、その信号データが正常であると判定するための閾値、範囲等により表される判定ルールが予め設定されている。閾値や正常と判定する範囲等は、運用実績から明らかになっている。

ゲートウェイ装置１０における各構成要素１１〜１８は、ゲートウェイ装置１０に搭載されたコンピュータと、コンピュータに搭載されたＣＰＵ３１で動作するプログラムとの協調動作により実現される。また、各記憶部１９〜２０は、ゲートウェイ装置１０に搭載されたＨＤＤ３４にて実現される。あるいは、ＲＡＭ３３又は外部にある記憶手段をネットワーク経由で利用してもよい。

また、本実施の形態で用いるプログラムは、通信手段により提供することはもちろん、ＣＤ−ＲＯＭやＵＳＢメモリ等のコンピュータ読み取り可能な記録媒体に格納して提供することも可能である。通信手段や記録媒体から提供されたプログラムはコンピュータにインストールされ、コンピュータのＣＰＵ３１がプログラムを順次実行することで各種処理が実現される。

本実施の形態におけるネットワーク監視システムは、アプリケーションにより実現されるゲートウェイ装置１０の機能に特徴を有し、それ以外は従前からある各装置のハードウェア及び機能を利用することができる。

次に、本実施の形態におけるゲートウェイ装置１０の動作について説明する。

ゲートウェイ装置１０において、外部通信部１２が外部ネットワーク４を介して送信されてくるサーバ２からの機器８宛のデータを受信すると、プロトコル変換部１３は、そのデータを機器８が採用しているプロトコルに合致した形式に変換する。内部通信部１１は、その変換後のデータを機器８宛に送信する。なお、前述した通常動作時における処理とは別に、スイッチ５は、ゲートウェイ装置１０から送信されてきたデータをミラーポート５１から出力する。また、内部通信部１１が内部ネットワーク９を介して送信されてくる機器８からのサーバ２宛のデータを受信すると、プロトコル変換部１３は、そのデータをサーバ２が採用しているプロトコルに合致した形式に変換する。外部通信部１２は、その変換後のデータをサーバ２宛に送信する。なお、前述した通常動作時における処理とは別に、スイッチ５は、機器８から送信されてきたデータをミラーポート５１から出力する。

このように、ゲートウェイ装置１０は、通常の機能処理としてサーバ２と機器８との間でやり取りされるデータの中継を行うが、この通常の機能処理と並行して以下に説明する不正アクセスの検出処理を行う。以下、本実施の形態におけるゲートウェイ装置１０が実施する不正アクセスの検出処理について図４に示したフローチャートを用いて説明する。なお、ゲートウェイ装置１０では、不正アクセス検出用のアプリケーションをＲＡＭ３３に常駐させ、不正アクセスの検出処理を常時実行しているが、図４では便宜的に不正アクセスを検出したときにサーバ２に通知すると終了するよう図示した。また、フローチャートにおけるステップ１１０，１２０は、ステップ１３０以降の処理とは非同期に独立して実施されるが、フローチャートでは、便宜的に一連の処理として図示した。

スイッチ５は、前述したように外部ネットワーク４側及び内部ネットワーク９側から送られてきたデータをミラーポート５１から出力するが、監視用通信部１４は、このミラーポート５１から出力されたデータを受信する（ステップ１１０）。そして、監視用データ取得部１５は、受信したデータのうち予め決められた規則に従い不正アクセスの検出に用いるデータを抽出し、その抽出したデータを監視用データとして監視用データ記憶部１９に書き込み保存する（ステップ１２０）。

本アプリケーション起動後、負荷状態監視部１６は、ゲートウェイ装置１０における負荷状態を一定時間間隔で監視している。この監視のタイミングにおいてゲートウェイ装置１０にかかっている負荷が予め設定された閾値を超えている場合（ステップ１３０でＹ）、不正アクセス検出部１７による不正アクセス検出処理を実行することによってゲートウェイ装置１０にかかる負荷が増大し、これによりゲートウェイ装置１０本来の中継機能の実行に支障を来すおそれがあると判断し、不正アクセス検出部１７による不正アクセスの検出処理の実行を見合わせる。

一方、ゲートウェイ装置１０にかかっている負荷が予め設定された閾値以下の場合（ステップ１３０でＮ）、不正アクセス検出部１７は、負荷状態監視部１６からの通知に応じて不正アクセスの有無の確認を行う。すなわち、不正アクセス検出部１７は、監視用データ記憶部１９に保存されている監視用データを、判定ルール記憶部２０に登録されている判定ルールと比較などして監視用データの異常の有無を検証する（ステップ１４０）。検証の結果、異常有りと判定した場合（ステップ１５０でＹ）、この監視用データの異常を不正アクセスとみなして異常有りと判定したデータ及びそのデータの送信元、送信先、送信日時等不正アクセスの解析に必要と考えられる情報を含む検出情報を生成する（ステップ１６０）。そして、不正アクセス通知部１８は、その生成された検出情報を外部通信部１２にサーバ２宛に送信させることで、不正アクセスを検出したことをサーバ２に通知する（ステップ１７０）。

本実施の形態によれば、監視ポート３６１から取得した監視用データに基づく異常判定を、ゲートウェイ装置１０にかかる負荷が一定以下の場合のみ行うようにしたので、ゲートウェイ装置１０にかかる負荷が過大となることを回避し、中継装置として通常行うべき中継機能の実行に支障を来さないようにすることができる。

なお、本実施の形態では、図４に示した処理手順に従うと、ゲートウェイ装置１０にかかる負荷が所定の閾値以下にならないとステップ１３０を繰り返すばかりで不正アクセスの検出を実施しないことになる。そこで、所定の閾値以下にならなくても、ゲートウェイ装置１０にかかる負荷が所定時間を超えている状態が予め設定した時間以上続いた場合、すなわちタイムアウトの発生によりステップ１４０以降に処理を移行するようにしてもよい。

また、本実施の形態におけるネットワーク監視システムは、図１に示したようにゲートウェイ装置１０を外部ネットワーク４に接続し、スイッチ５を内部ネットワーク９に接続し、そして、ゲートウェイ装置１０の監視ポート３６１とスイッチ５のミラーポート５１とを接続するよう構成する必要はあるが、図１に例示したシステム構成に限定されるものではない。例えば、ゲートウェイ装置１０とスイッチ５との間に管理装置６を設けてもよい。後述する各実施の形態においても同様である。

実施の形態２．
図５は、本実施の形態におけるゲートウェイ装置１０のブロック構成図である。なお、実施の形態１と同じ構成要素には同じ符号を付け説明を省略する。本実施の形態におけるゲートウェイ装置１０は、実施の形態１と同じく内部通信部１１、外部通信部１２、プロトコル変換部１３、監視用通信部１４、不正アクセス検出部１７、不正アクセス通知部１８、監視用データ記憶部１９及び判定ルール記憶部２０を有し、更にマッチング処理部２１及びフィルタ情報記憶部２２を有している。フィルタ情報記憶部２２には、マッチング処理部２１によるマッチング処理に用いられるフィルタ情報が予め設定されている。本実施の形態では、機器８とデータのやり取りを行う通信相手として信頼できる装置の識別情報が登録されたホワイトリストがフィルタ情報としてフィルタ情報記憶部２２に登録されている。マッチング処理部２１は、監視用通信部１４により受信されたデータの送受信者をホワイトリストと照合するマッチング処理を行うことで機器８への不正アクセスを検出する。

マッチング処理部２１は、ゲートウェイ装置１０に搭載されたコンピュータと、コンピュータに搭載されたＣＰＵ３１で動作するプログラムとの協調動作により実現される。また、フィルタ情報記憶部２２は、ゲートウェイ装置１０に搭載されたＨＤＤ３４にて実現される。あるいは、ＲＡＭ３３又は外部にある記憶手段をネットワーク経由で利用してもよい。また、ゲートウェイ装置１０のハードウェア構成及びネットワーク監視システムに含まれるその他の装置構成は実施の形態１と同じでよい。

次に、本実施の形態における不正アクセス検出処理について説明する。なお、通常の中継処理機能については実施の形態１と同じなので説明を省略する。後述する実施の形態においても同様とする。

本実施の形態における不正アクセス検出処理は、基本的には実施の形態１と同じである。ただ、負荷状態監視部１６がないため負荷の状態を確認しない点と、本実施の形態の特徴的な処理が異なる。すなわち、監視用通信部１４がデータを受信すると、マッチング処理部２１は、１段階目の不正アクセス検出として、その受信されたデータの機器８との通信相手をホワイトリストと照合する。そして、通信相手がホワイトリストに登録されていなければ、当該データに対応するアクセスを不正と判断する。

ところで、機器８との通信相手がホワイトリストに登録されていた場合でも真に信頼できる通信相手かどうか、不正アクセスでないかどうかの保証はない。そこで、機器８との通信相手がホワイトリストに登録されていた場合でも、マッチング処理部２１は、そのデータを監視用データとして監視用データ記憶部１９に登録する。そして、登録された監視用データの検証のために、不正アクセス検出部１７は、２段階目の不正アクセス検出として、マッチング処理部２１では不正アクセスと判定されなかった監視用データの異常の有無を検証する不正アクセス検出部１７により実施される２段階目の不正アクセス検出は、実施の形態１と同様の処理内容でよい。

以上のようにして、マッチング処理部２１又は不正アクセス検出部１７において不正アクセスが検出された場合、不正アクセス通知部は、実施の形態１と同様に不正アクセスの検出に伴い生成された検出情報を外部通信部１２に送信させることで、不正アクセスを検出したことをサーバ２に通知する

本実施の形態によれば、マッチング処理部２１を設けることによって、判定ルールとの比較、照合による相対的に低速な不正アクセス検出部１７による不正アクセス検出に先行して、相対的に高速なフィルタ情報とのマッチング処理を行うようにしたので、不正アクセスの検出処理の高速化を図ると共にゲートウェイ装置１０にかかる処理負荷の低減を図ることができる。

なお、本実施の形態では、マッチング処理の際に用いるフィルタ情報として、信頼できる通信相手の装置ＩＤが登録されたホワイトリストを用いたが、これに限らず他の情報、例えば不正な装置の識別情報が登録されたブラックリスト等を用いてもよい。

実施の形態３．
図６は、本実施の形態におけるゲートウェイ装置１０のブロック構成図である。なお、実施の形態１と同じ構成要素には同じ符号を付け説明を省略する。本実施の形態におけるゲートウェイ装置１０は、実施の形態１と同じく内部通信部１１、外部通信部１２、プロトコル変換部１３、監視用通信部１４、監視用データ取得部１５、不正アクセス検出部１７、不正アクセス通知部１８、監視用データ記憶部１９及び判定ルール記憶部２０を有し、更に通信状態取得部２３及び通信状態記憶部２４を有している。通信状態取得部２３は、内部通信部１１が受信したスイッチ５の通常ポートからの出力データを取得し、通信状態記憶部２４に格納する。

通信状態取得部２３は、ゲートウェイ装置１０に搭載されたコンピュータと、コンピュータに搭載されたＣＰＵ３１で動作するプログラムとの協調動作により実現される。また、通信状態記憶部２４は、ゲートウェイ装置１０に搭載されたＨＤＤ３４にて実現される。あるいは、ＲＡＭ３３又は外部にある記憶手段をネットワーク経由で利用してもよい。また、ゲートウェイ装置１０のハードウェア構成及びネットワーク監視システムに含まれるその他の装置構成は実施の形態１と同じでよい。

ところで、ビル３の内外の１又は複数の装置がパケットを１台の機器８に対し集中して送信することで、当該機器の動作に悪影響を与える不正行為がある。例えば、ＤＤｏｓ（ＤｉｓｔｒｉｂｕｔｅｄＤｅｎｉａｌｏｆＳｅｒｖｉｃａｔｔａｃｋ）攻撃はこの不正行為に該当するが、ＤＤｏｓ攻撃による機器８の負荷の増加も不正アクセスの一形態と考えられる。外部ネットワーク４を介さずにビル３内に設置された第三者の機器からの機器８への攻撃だと、ゲートウェイ装置１０は、その第三者の機器から発信されたパケットを中継しないので、その攻撃を検出できない。

そこで、本実施の形態における不正アクセス検出部１７は、上記各実施の形態において説明した監視用通信部１４による監視ポート３６１から入力されるデータに基づく不正アクセスの検出とは別個に、内部通信部１１による通常ポートから入力される通常のデータに基づき不正アクセスを検出できるようにした。

すなわち、通信状態取得部２３は、内部通信部１１が受信したスイッチ５の通常ポートからの出力データを取得して通信状態記憶部２４に格納する。不正アクセス検出部１７は、サーバ２から機器８へのデータ送信要求等の問合せに対し、当該機器８が応答するまでに多大な時間を要した場合、あるいは応答の内容が異常だと、その理由としてＤＤｏｓ攻撃等の不正アクセスを受けていると推測する。ここで、当該機器８が応答するまでに多大な時間を要したかどうかは、応答に要した時間と予め設定された閾値（タイムリミット）とを比較すればよい。また、応答の内容が異常かどうかは、通常データの値と当該通常データの種類に応じて予め設定された正常範囲とを比較すればよい。

本実施の形態によれば、内部通信部１１により受信された通常のデータをも解析対象とすることで、監視用データから検出できない不正アクセスを検出できるようになる。

なお、本実施の形態では、サーバ２からの問合せに対する応答データを解析するようにしたが、ゲートウェイ装置１０が不正アクセスの検出のために機器８に対し、応答を要する問合せ要求を送信するようにしてもよい。

また、本実施の形態では、内部からのＤＤｏｓ攻撃を例にして説明したが、不正アクセス検出部１７は、その他の不正アクセスに対しても同様に適切な閾値（上下限）、正常範囲、値の変化度合いや変化率等の判定ルールを設定して対処できるようにする。

実施の形態４．
図７は、本実施の形態におけるゲートウェイ装置１０のブロック構成図である。なお、実施の形態１と同じ構成要素には同じ符号を付け説明を省略する。本実施の形態におけるゲートウェイ装置１０は、実施の形態１に示した構成に、検出処理要求部２５を追加した構成を有している。検出処理要求部２５は、ゲートウェイ装置１０にかかる負荷の状態に応じて監視用データ記憶部１９に記憶された監視用データをサーバ２に送信し、不正アクセス検出部１７で行う不正アクセスの検出処理の実行をサーバ２に要求する。検出処理要求部２５は、ゲートウェイ装置１０に搭載されたコンピュータと、コンピュータに搭載されたＣＰＵ３１で動作するプログラムとの協調動作により実現される。

前述したように、不正アクセス検出部１７が不正アクセス検出処理を実行することによってゲートウェイ装置１０にかかる負荷が増大し、これによりゲートウェイ装置１０本来の中継機能の実行に支障を来す可能性が生じうる。

そこで、本実施の形態における検出処理要求部２５は、ゲートウェイ装置１０にかかる負荷が大きく不正アクセス検出部１７に処理を実行させない方がよい場合、あるいは不正アクセス検出部１７では処理が実行できない場合、監視用データ記憶部１９に記憶された監視用データを外部通信部１２にサーバ２へ送信させ、また、サーバ２に不正アクセスの検出処理の実行を要求するようにした。

ここで、不正アクセス検出部１７に処理を実行させない方がよい場合というのは、例えば膨大な通信量のデータを中継していることからゲートウェイ装置１０に多大な負荷がかかっている場合である。ゲートウェイ装置１０が過負荷の状態であるときに不正アクセス検出部１７に処理を実行させると、ゲートウェイ装置１０本来の中継機能の実行に支障を来す可能性が生じうる。また、不正アクセス検出部１７では処理が実行できない場合というのは、例えば、不正アクセスを検出するに監視用データの変化の遷移を解析する必要があるけれどもゲートウェイ装置１０における記憶容量から大容量の監視用データを保持できないような場合である。

このように、負荷状態監視部１６により検出されたゲートウェイ装置１０にかかる負荷の状態を解析することで、ゲートウェイ装置１０に所定の閾値以上の負荷がゲートウェイ装置１０にかかっている、あるいは監視用データ記憶部１９の記憶容量が不足すると判断した場合、検出処理要求部２５は、不正アクセスの検出処理の実行をサーバ２に要求する。

本実施の形態によれば、不正アクセスの検出処理の実行をサーバ２に依頼するようにしたので、ゲートウェイ装置１０に過負荷がかからないようにすることができる。また、ゲートウェイ装置１０より高性能なサーバ２に不正アクセスの検出処理を依頼することで、より高度な検出処理の実行が可能になる。

なお、ゲートウェイ装置１０は、負荷の高い状態において更に監視用データをサーバ２へ送信することになるが、検出処理要求部２５は、監視用データの通信量を考慮して不正アクセスの検出処理を不正アクセス検出部１７に実行させるか、あるいはサーバ２に依頼するかを判断することになる。

実施の形態５．
図８は、本実施の形態におけるゲートウェイ装置１０のブロック構成図である。なお、実施の形態１と同じ構成要素には同じ符号を付け説明を省略する。本実施の形態におけるゲートウェイ装置１０は、実施の形態１と同じく内部通信部１１、外部通信部１２、プロトコル変換部１３、監視用通信部１４、監視用データ取得部１５、不正アクセス検出部１７、不正アクセス通知部１８、監視用データ記憶部１９及び判定ルール記憶部２０を有し、更に連携処理部２６を有している。連携処理部２６は、他のゲートウェイ装置１０と連携する機能を提供する。連携処理部２６は、ゲートウェイ装置１０に搭載されたコンピュータと、コンピュータに搭載されたＣＰＵ３１で動作するプログラムとの協調動作により実現される。

本実施の形態では、例えば、所定の地域内にある近隣のビル３、あるいは同一管理者が所有するビル３、という条件に従いゲートウェイ装置１０のグループを形成する。そして、ネットワーク監視システムでは、当該グループを代表するゲートウェイ装置１０を予め決めておく。

そして、ゲートウェイ装置１０が検出した不正アクセスをサーバ２に通知する際、本実施の形態では、各ゲートウェイ装置１０が個々にサーバ２に通知するのではなく、各グループを代表するゲートウェイ装置１０が同一グループ内において検出された不正アクセスの検出情報をとりまとめてサーバ２に通知する。

すなわち、代表でないゲートウェイ装置１０において不正アクセスが検出された場合、そのゲートウェイ装置１０における連携処理部２６は、同一グループ内において代表となるゲートウェイ装置１０に検出情報を送信する。そして、代表となるゲートウェイ装置１０における連携処理部２６は、同一グループ内におけるゲートウェイ装置１０から送信されてきた検出情報をまとめてサーバ２へ送信する。各ゲートウェイ装置１０がどのグループに所属するか、また自装置が代表かどうかは、連携処理部２６に予め設定していてもよいし、図示しない記憶手段に設定登録しておいてもよい。

なお、サーバ２へ送信するタイミングは、検出情報を受信したら即時に送信してもよいし、所定期間内に受信した検出情報をまとめて送信するようにしてもよい。

サーバ２からしてみると、検出情報が複数のゲートウェイ装置１０から個々に送信されてくるのではなくグループ毎にまとめて送信されてくるので受信回数が少なくて済む。

上記各実施の形態においては、ゲートウェイ装置１０がスイッチ５のミラーポート５１からの出力データに基づき機器８を監視し、機器８に発生する異常、すなわち機器８への不正アクセスを検出するための不正アクセス検出処理について説明した。実施の形態３では、スイッチ５の通常ポートからの出力データをも解析対象として機器８を監視するようにした。上記各実施の形態において説明した構成及び処理内容は、別個に実施せずに適宜組み合わせて実施してもよい。また、本実施の形態では、中継装置としてゲートウェイ装置１０を例にして説明したが、外部ネットワーク４とビル３の内部ネットワーク９とを接続してサーバ２と機器８との間のデータ通信を中継する中継機能を有する通信装置であればゲートウェイ装置１０に限定する必要はない。

１監視センタ、２サーバ、３ビル、４外部ネットワーク、５スイッチ、６管理装置、７コントローラ、８機器、９内部ネットワーク、１０ゲートウェイ装置、１１内部通信部、１２外部通信部、１３プロトコル変換部、１４監視用通信部、１５監視用データ取得部、１６負荷状態監視部、１７不正アクセス検出部、１８不正アクセス通知部、１９監視用データ記憶部、２０判定ルール記憶部、２１マッチング処理部、２２フィルタ情報記憶部、２３通信状態取得部、２４通信状態記憶部、２５検出処理要求部、２６連携処理部、３１ＣＰＵ、３２ＲＯＭ、３３ＲＡＭ、３４ハードディスクドライブ（ＨＤＤ）、３５外部ネットワークインタフェース（ＩＦ）、３６内部ネットワークインタフェース（ＩＦ）、３７内部バス、５１ミラーポート、３６１監視ポート。

Claims

施設外の外部ネットワークに接続されたサーバと施設内の内部ネットワークに直接又は間接的に接続された機器との間で通信されるデータを中継する中継装置において、
前記内部ネットワークに接続されたネットワークスイッチのミラーポートから出力されるデータを取得するデータ取得手段と、
前記データ取得手段により取得されたデータを解析することで前記機器に対する不正アクセスを検出する検出手段と、
不正アクセスが検出されたときにその不正アクセスに関する検出情報を前記サーバへ送信する検出情報送信手段と、
を有することを特徴とする中継装置。
前記中継装置にかかる負荷の状態を監視する負荷状態監視手段と、
前記データ取得手段により取得されたデータを記憶するデータ記憶手段と、
を有し、
前記検出手段は、前記中継装置にかかる負荷が所定以下の場合にのみデータの解析を行うことを特徴とする請求項１に記載の中継装置。
前記データ取得手段により取得されたデータと予め設定されているフィルタ情報とのマッチング処理により前記機器への不正アクセスを検出するマッチング処理手段を有し、
前記検出手段は、前記マッチング処理手段によるマッチング処理により不正アクセスが検出されなかったデータを解析することで前記機器に対する不正アクセスを検出することを特徴とする請求項１に記載の中継装置。
前記検出手段は、前記ネットワークスイッチの通常ポートから出力される前記機器からのデータを解析することで前記機器に対する不正アクセスを検出することを特徴とする請求項１に記載の中継装置。
前記中継装置における負荷状態を監視する負荷状態監視手段と、
前記データ取得手段により取得されたデータを記憶するデータ記憶手段と、
前記中継装置にかかる負荷の状態に応じて前記データ記憶手段に記憶されたデータを前記サーバに送信し、前記検出手段で行う不正アクセスの検出処理の実行を前記サーバに要求する検出処理要求手段と、
を有することを特徴とする請求項１に記載の中継装置。
施設外の外部ネットワークに接続されたサーバと、
施設内の内部ネットワークに直接又は間接的に接続された機器と、
前記サーバと前記機器との間で通信されるデータを中継する中継装置と、
前記内部ネットワークに接続され、通常ポートから入力されたデータをミラーポートから前記中継装置へ送信するネットワークスイッチと、
を有し、
前記中継装置は、
前記ネットワークスイッチのミラーポートから出力されるデータを取得するデータ取得手段と、
前記データ取得手段により取得されたデータを解析することで前記機器に対する不正アクセスを検出する検出手段と、
不正アクセスが検出されたときにその不正アクセスに関する検出情報を前記サーバへ送信する検出情報送信手段と、
を有することを特徴とするネットワーク監視システム。
施設外の外部ネットワークに接続されたサーバと施設内の内部ネットワークに直接又は間接的に接続された機器との間で通信されるデータを中継する中継装置に搭載されたコンピュータを、
前記内部ネットワークに接続されたネットワークスイッチのミラーポートから出力されるデータを取得するデータ取得手段、
前記データ取得手段により取得されたデータを解析することで前記機器に対する不正アクセスを検出する検出手段、
不正アクセスが検出されたときにその不正アクセスに関する検出情報を前記サーバへ送信する検出情報送信手段、
として機能させるためのプログラム。