WO2016143231A1 - インシデント検知システム - Google Patents

インシデント検知システム Download PDF

Info

Publication number
WO2016143231A1
WO2016143231A1 PCT/JP2015/086065 JP2015086065W WO2016143231A1 WO 2016143231 A1 WO2016143231 A1 WO 2016143231A1 JP 2015086065 W JP2015086065 W JP 2015086065W WO 2016143231 A1 WO2016143231 A1 WO 2016143231A1
Authority
WO
WIPO (PCT)
Prior art keywords
information
gateway device
unit
detection system
incident detection
Prior art date
Application number
PCT/JP2015/086065
Other languages
English (en)
French (fr)
Inventor
宏樹 内山
大和田　徹
信 萱島
雄介 藤原
訓 大久保
純 濱中
Original Assignee
株式会社日立製作所
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社日立製作所 filed Critical 株式会社日立製作所
Priority to US15/547,905 priority Critical patent/US10348746B2/en
Publication of WO2016143231A1 publication Critical patent/WO2016143231A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/06—Generation of reports
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection

Abstract

制御装置に処理負荷を掛けることなく、不正な通信を検知するシステムを提供する。セキュリティインシデントを検知するインシデント検知システムであって、ゲートウェイ装置は、自ゲートウェイ装置の識別情報を生成するＩＤ生成部と、制御装置から送信された制御情報と、通信パケットに自ゲートウェイ装置の識別情報を付与した経路情報と、を含む検知パケットを生成する検知パケット生成部と、検知パケットを含むログ情報を生成するログ生成部と、ゲートウェイ装置にネットワークで接続された管理サーバにログ情報を送信し、または制御情報に基づいて制御される制御装置に検知パケットを送信する装置通信部と、を備え、管理サーバは、ゲートウェイ装置からログ情報を受信するサーバ通信部と、ログ情報から経路情報を抽出した想定経路情報をあらかじめ記憶部に記憶する通信経路抽出部と、記憶部に記憶されている想定経路情報と、ログ情報に含まれる経路情報とに基づいて、不正な通信パケットを検知するインシデント検知部と、を備える。

Description

インシデント検知システム
　本発明は、ネットワークで接続された制御システムで発生するサイバー攻撃等のインシデントを検知するシステムに関し、さらに詳しくは、制御システム内の通信パケットに経路情報を埋め込み，正当な経路情報を持たない通信パケットを不正な通信パケットとして検知するシステムに関する。
　電力、鉄道、水道、ガスといった社会インフラや自動車で利用される制御システムは、センサの情報をもとにバルブやアクチュエータといった装置を動作させ、あらかじめ設定されている圧力や温度を保つことが要求される。この動作を実現するためには、定期的にセンサからの情報を取得し、状態を確認し、必要に応じて制御を行うということが必要となる。このため、制御システムでは周期的に処理を行うことが通例であり、システム内の各装置で実行される処理は１周期の中で完結することが要求される。また、常に１周期内で完結するために、各処理の処理時間が状況によって変化せずに一定であることも求められる。このような条件を満たすように構築されている現在の制御システムは、電力、鉄道、水道、自動車といった適用先によって周期や１周期内の空き時間が大きく異なっており、新たな処理を追加するためには、適用先毎に空き時間を見積もり、実装可能な処理内容を検討する必要がある。
　一方、制御システムはこれまで専用ＯＳや専用プロトコルを利用しており、インターネット等の外部ネットワークからアクセスできない領域に孤立した状態で設置されているため、いわゆるコンピュータウィルスやＤｏＳ攻撃といったサイバー攻撃からは無縁であると考えられてきた。しかしながら、コスト削減のために汎用ＯＳや汎用プロトコルを利用するケースが増加しており、また、効率向上のために情報系システムとの接続も進んできている。さらに、近年では、制御システムをターゲットとしたコンピュータウィルスが発見されてきている。このように、制御システムにおいても情報システムと同様にマルウェア等の感染や外部からの不正アクセスを検知する技術が必要となってきている。
　このような課題に対し、予め制御システム内で実施される通信のパターン（送信元、送信先、プロトコル等）やデータのフォーマットをリスト化し、そのパターンに合致しない通信を不正な通信として検知する技術が知られている（たとえば、特許文献１参照）。
　また、通信パケットに認証データを付与し、正当な認証データを持たない通信パケットを不正な通信パケットとして識別する技術が知られている（たとえば、非特許文献１参照）。
特開２０１２－３４２７３号公報
S. Kent, K. Seo, "Security Architecture for the Internet Protocol (RFC4301)", [online], ２００５年１２月, IETF, [２０１４年１１月２５日検索］, インターネット＜URL: https://tools.ietf.org/html/rfc4301＞
　制御システムを構成する制御装置は処理時間制約のため、暗号化や認証といった追加の処理が必要となるセキュリティ機能の導入は困難であった。また、定常的な通信パターンをリスト化し、不正な通信パケットを検知する技術では、予めあらゆる通信をリスト化しておく必要があり、緊急時にのみ実行する業務などで抜け漏れがあった場合には誤検知に繋がる可能性があった。また、制御システムのように頻繁に通信が行われる環境下では、検証対象となる通信パケットの数が膨大となり、それらのデータを検証するための負荷が非常に高くなってしまうという問題があった。
　本発明は、上記事情に鑑みてなされたものであり、制御装置に処理負荷を掛けることなく、不正な通信を検知するシステムを提供することを目的とする。
　上述した課題を解決し、目的を達成するために、本発明にかかるインシデント検知システムは、セキュリティインシデントを検知するインシデント検知システムであって、ゲートウェイ装置は、自ゲートウェイ装置の識別情報を生成するＩＤ生成部と、制御装置から送信された制御情報と、通信パケットに前記自ゲートウェイ装置の識別情報を付与した経路情報と、を含む検知パケットを生成する検知パケット生成部と、前記検知パケットを含むログ情報を生成するログ生成部と、前記ゲートウェイ装置にネットワークで接続された管理サーバに前記ログ情報を送信し、または前記制御情報に基づいて制御される制御装置に前記検知パケットを送信する装置通信部と、を備え、前記管理サーバは、前記ゲートウェイ装置から前記ログ情報を受信するサーバ通信部と、前記ログ情報から前記経路情報を抽出した想定経路情報をあらかじめ記憶部に記憶する通信経路抽出部と、前記記憶部に記憶されている前記想定経路情報と、前記ログ情報に含まれる前記経路情報とに基づいて、不正な通信パケットを検知するインシデント検知部と、を備えることを特徴とするインシデント検知システムとして構成される。
　また、本発明にかかるインシデント検知システムは、セキュリティインシデントを検知するインシデント検知システムであって、第１のゲートウェイ装置は、自ゲートウェイ装置の識別情報を生成するＩＤ生成部と、制御装置から送信された制御情報と、通信パケットに前記自ゲートウェイ装置の識別情報を付与した経路情報と、を含む検知パケットを生成する検知パケット生成部と、前記第１のゲートウェイ装置にネットワークで接続された第２のゲートウェイ装置に前記検知パケットを送信する第１の装置通信部と、を備え、前記第２のゲートウェイ装置は、前記第１のゲートウェイ装置から前記検知パケットを受信し、または前記制御情報に基づいて制御される制御装置に前記検知パケットを送信する第２の装置通信部と、前記検知パケットをログ情報として記憶部に格納するログ生成部と、前記ログ情報から前記経路情報を抽出した想定経路情報をあらかじめ記憶部に記憶する通信経路抽出部と、前記記憶部に記憶されている前記想定経路情報と、前記ログ情報に含まれる前記経路情報とに基づいて、不正な通信パケットを検知するインシデント検知部と、を備えることを特徴とするインシデント検知システムとしても把握される。
　本発明によれば、制御装置に処理負荷を掛けずに、不正な通信を検知することが可能となる。
本発明の第一の実施形態が適用されたインシデント検知システムの構成を例示する図である。 図１に示す制御装置のハードウェア構成を例示する図である。 図１に示すゲートウェイ装置のハードウェア構成を例示する図である。 図１に示す管理サーバのハードウェア構成を例示する図である。 本発明の第一の実施形態が適用されたインシデント検知システムにおいて、試運転時や運転時にシステム内で実施する処理フローを例示する図である。 本発明の第一の実施形態が適用されたインシデント検知システムにおいて、試運転時に各ゲートウェイ装置に秘密情報を配布し、識別情報を収集する際の処理フローを例示する図である。 本発明の第一の実施形態が適用されたインシデント検知システムにおいて、試運転時に各ゲートウェイ装置から正当な通信パケットの経路情報を収集する際の処理フローを例示する図である。 本発明の第一の実施形態が適用されたインシデント検知システムにおいて、運転時に各ゲートウェイ装置から収集した通信パケットの経路情報から不正な通信パケットを検知する処理フローを例示する図である。 本発明の第一の実施形態が適用されたインシデント検知システムにおいて、運転時に管理サーバ内で行うインシデント検知の処理フローを例示する図である。 本発明の第一の実施形態が適用されたインシデント検知システムにおいて、運転後にゲートウェイ装置を新たに追加した場合の処理フローを例示する図である。 本発明の第一の実施形態が適用されたインシデント検知システムにおいて、運転後にゲートウェイ装置の状態を確認する処理フローを例示する図である。 本発明の第一の実施形態が適用されたインシデント検知システムにおいて、各ゲートウェイ装置が生成する検知パケットの構成を例示する図である。 本発明の第一の実施形態が適用されたインシデント検知システムにおいて、検知パケットに含まれる経路情報の構成を例示する図である。 本発明の第一の実施形態が適用されたインシデント検知システムにおいて、各ゲートウェイ装置が生成するログの構成を例示する図である。 本発明の第一の実施形態が適用されたインシデント検知システムにおいて、管理サーバに格納されている想定経路の構成を例示する図である。 本発明の第一の実施形態が適用されたインシデント検知システムにおいて、管理サーバに格納されているゲートウェイリストの構成を例示する図である。 本発明の第二の実施形態が適用されたインシデント検知システムの構成を例示する図である。 本発明の第二の実施形態が適用されたインシデント検知システムにおいて、試運転時や運転時にシステム内で実施する処理フローを例示する図である。 本発明の第二の実施形態が適用されたインシデント検知システムにおいて、試運転時に各ゲートウェイ装置が正当な通信パケットの経路情報を収集する際の処理フローを例示する図である。 本発明の第二の実施形態が適用されたインシデント検知システムにおいて、運転時に各ゲートウェイ装置が収集した通信パケットの経路情報から不正な通信パケットを検知する処理フローを例示する図である。
　本発明の一実施形態について説明する。なお、これにより本発明が限定されるものではない。
　図１は、本発明の第一の実施形態が適用されたインシデント検知システムの構成図である。本実施形態のインシデント検知システムは、図１に例示するように、制御装置１０１～１０ｎと、ゲートウェイ装置２０１～２０ｎと、管理サーバ３０と、ネットワーク４０と、から構成されている。
　制御装置１０１～１０ｎは、制御処理を行う制御処理部１０１１～１０１ｎと、ゲートウェイ装置２０１～２０ｎ等と通信を行う通信部１０２１～１０２ｎと、を含む。
　ゲートウェイ装置２０１～２０ｎは、自ゲートウェイ装置の識別情報を生成するＩＤ生成部２０１１～２０１ｎと、通過するパケットに対して自ゲートウェイ装置の識別情報を付与した検知パケットを生成する検知パケット生成部２０２１～２０２ｎと、通過する通信パケットのログ情報を生成するログ生成部２０３１～２０３ｎと、ゲートウェイ装置２０１～２０ｎの動作モードを変更するモード変更部２０４１～２０４ｎと、制御装置１０１～制御装置１０ｎやネットワーク４０と通信を行う第一通信部２０５１～２０５ｎと、自ゲートウェイ装置で生成したログを格納するログ格納部２０６１～２０６ｎと、自ゲートウェイ装置の識別情報を生成する際に必要となる秘密情報を格納する秘密情報格納部２０７１～２０７ｎと、制御装置１０１～制御装置１０ｎやネットワーク４０と通信を行う第二通信部２０８１～２０８ｎと、を含む。
　管理サーバ３０は、管理サーバ３０の動作モードを変更するモード変更部３０１と、ゲートウェイ装置２０１～２０ｎから収集したログ情報からインシデントを検知するインシデント検知部３０２と、ゲートウェイ装置２０１～２０ｎに対して送付する秘密情報を生成する秘密情報生成部３０３と、ゲートウェイ装置２０１～２０ｎからログ情報を収集するログ収集部３０４と、ネットワーク４０と通信を行う通信部３０５と、ゲートウェイ装置２０１～２０ｎから収集したログ情報から想定経路を抽出する想定経路抽出部３０６と、抽出した想定経路を格納する想定経路格納部３０７と、ゲートウェイ装置２０１～２０ｎから収集したログ情報を統合して格納する統合ログ格納部３０８と、生成した秘密情報を格納する秘密情報格納部３０９と、ゲートウェイ装置２０１～２０ｎのリストを格納するゲートウェイリスト格納部３１０と、を含む。以下では、想定経路抽出部３０６は、ログ収集部３０４が収集したログ情報から想定経路を抽出しているが、想定経路抽出部３０６が直接ログ情報を収集してもよい。
　図２は制御装置１０１～１０ｎのハードウェア構成を例示する図である。制御装置１０１～１０ｎは、通信装置１１と、入出力装置１２と、記憶装置１３と、ＣＰＵ１４と、メモリ１５と、がバスなどの内部通信線１６で連結され、構成されている。
　図３はゲートウェイ装置２０１～２０ｎのハードウェア構成を例示する図である。ゲートウェイ装置２０１～２０ｎは、第一通信装置２１と、入出力装置２２と、記憶装置２３と、第二通信装置２４と、ＣＰＵ２５と、メモリ２６と、がバスなどの内部通信線２７で連結され、構成されている。
　図４は管理サーバ３０のハードウェア構成を例示する図である。管理サーバ３０は、通信装置３１と、入出力装置３２と、記憶装置３３と、ＣＰＵ３４と、メモリ３５と、記憶媒体３７を読み込む読取装置３６と、がバスなどの内部通信線３８で連結され、構成されている。
　本実施形態のインシデント検知システムにおける処理フローについて説明する。以下に述べる処理フローは、制御装置１０１～１０ｎやゲートウェイ装置２０１～２０ｎや管理サーバ３０の記憶装置に格納されたプログラムがメモリにロードされ、ＣＰＵにより実行されることにより、インシデント検知システムを構成する装置上に具現化される各処理部により実行されるものである。また、各プログラムは予め記憶装置に格納されても良いし、他の記憶媒体または通信媒体（ネットワークまたはネットワークを伝搬する搬送波）を介して、必要なときに導入されても良い。
　図５は、本発明の第一の実施形態が適用されたインシデント検知システムにおいて、試運転や運転時にシステム内で実施する処理フローを示した図である。
　はじめに、管理サーバ３０のモード変更部３０１は、試運転時に管理サーバの動作モードを、処理の事前準備をするモードである初期化モードに設定する（Ｓ５０１（Ｓ５０１と表現する。以下同様））。次に、通信部３０５は、初期化モードに設定したことを示す初期化モード通知（Ａ５０１）を各ゲートウェイ装置２０１～２０ｎに送信する。
　次に、各ゲートウェイ装置２０１～２０ｎのモード変更部２０４１～２０４ｎは、受信した初期化モード通知（Ａ５０１）をもとに初期化モードに設定する（Ｓ５０２）。
　次に、各ゲートウェイ装置２０１～２０ｎと管理サーバの間で、初期化処理を実施する（Ｓ５０３）。初期化処理の詳細については、以降の図６に記載する。
　次に、初期化処理が終了後、各ゲートウェイ装置２０１～２０ｎのモード変更部２０４１～２０４ｎは、初期化モードを解除する（Ｓ５０４）。
　次に、管理サーバ３０のモード変更部３０１は、管理サーバ３０の動作モードを、想定経路を収集するモードである経路収集モードに設定する（Ｓ５０５）。
　次に、各ゲートウェイ装置２０１～２０ｎと管理サーバの間で、経路収集処理を実施する（Ｓ５０６）。経路収集処理の詳細については、以降の図７に記載する。
　次に、管理サーバ３０のモード変更部３０１は、経路収集処理が終了後、運転時に管理サーバ３０の動作モードを、通信パケットの経路を検知するモードである検知モードに設定する（Ｓ５０７）。
　次に、各ゲートウェイ装置２０１～２０ｎと管理サーバ３０間で、検知処理を実施する（Ｓ５０８）。検知処理の詳細については、以降の図８に記載する。
　次に、システムに新規ゲートウェイ装置を追加する際に、各ゲートウェイ装置２０１～２０ｎと管理サーバ３０間で、装置追加処理を実施する（Ｓ５０９）。装置追加処理の詳細については、以降の図１０に記載する。
　次に、システムからゲートウェイ装置を削除した際、もしくは、定期的、もしくは、任意のタイミングで各ゲートウェイ装置２０１～２０ｎと管理サーバ３０間で、状態確認処理を実施する（Ｓ５１０）。状態確認処理の詳細については、以降の図１１に記載する。
　図６は、本発明の第一の実施形態が適用されたインシデント検知システムにおいて、試運転時に各ゲートウェイ装置に秘密情報を配布し、識別情報を収集する際の処理フローを示した図である。
　はじめに、管理サーバ３０の秘密情報生成部３０３は、各ゲートウェイ装置に配付する秘密情報を生成する（Ｓ６０１）。ここで秘密情報は暗号化情報であり、暗号演算によって生成してもよいし、擬似乱数や真正乱数によって生成してもよいし、外部からの入力によって生成してもよい。次に、秘密情報生成部３０３は、生成した秘密情報を格納する（Ｓ６０２）。次に、通信部３０５は、生成した秘密情報（Ａ６０１）を各ゲートウェイ装置２０１～２０ｎに送付する。
　次に、秘密情報を受信したゲートウェイ装置２０１～２０ｎのＩＤ生成部２０１１～２０１ｎは、秘密情報を格納する（Ｓ６０３１～Ｓ６０３ｎ）。次に、第二通信部２０８１～２０８ｎは、秘密情報の格納結果を含むレスポンスと各ゲートウェイ装置の識別情報（Ａ６０２）を管理サーバ３０に送信する。
　次に、管理サーバ３０の秘密情報生成部３０３は、受信したレスポンスを検証し（Ｓ６０４）、各ゲートウェイ装置に対して正しく送付できているか検証する。検証の結果、正しく送付できていないと判断された場合には、該当するゲートウェイ装置に対して、再送を行う。一方、正しく送付できていると判断された場合には、受信したゲートウェイ装置の識別情報をゲートウェイリストとして格納する（Ｓ６０５）。なお、レスポンスを検証するとは、例えば、ｐｉｎｇコマンドを実行した場合におけるリプライ応答の有無を検証することである。
　図７は、本発明の第一の実施形態が適用されたインシデント検知システムにおいて、試運転時に各ゲートウェイ装置から正当な通信パケットの経路情報を収集する際の処理フローを示した図である。ここでは制御元となる制御装置１０１から制御先となる制御装置１０２に対して制御コマンドを送信するフローを例として示す。
　はじめに、制御装置１０１の制御処理部１０１１は、制御コマンドを生成する（Ｓ７０１）。次に、通信部１０２１は、生成された制御コマンド（Ａ７０１）を制御装置１０２に送信する。
　次に、制御装置１０１の通信部１０２１に接続されているゲートウェイ装置２０１の第一通信部２０５１は、制御装置１０１から送信された制御コマンド（Ａ７０１）を受信する。次に、ゲートウェイ装置２０１のＩＤ生成部２０１１は、自ゲートウェイ装置であるゲートウェイ装置２０１の識別情報を生成する（Ｓ７０２）。ここで、識別情報の生成は、予めゲートウェイ装置２０１に与えられている固定の識別情報と秘密情報格納部２０７１に格納されている秘密情報と時刻情報を組み合わせて、処理を実行する都度生成してもよいし、固定の識別情報と時刻情報を組み合わせて、処理を実行する都度生成してもよい。次に、検知パケット生成部２０２１は、生成されたゲートウェイＩＤを受信した制御コマンドにその都度付与し、検知パケット（Ａ７０２）を生成する（Ｓ７０３）。次に、第二通信部２０８１は、生成された検知パケット（Ａ７０２）を制御装置１０２に送信する。検知パケットのフォーマットについては以降の図１２に記載する。
　次に、制御装置１０２の通信部１０２２に接続されているゲートウェイ装置２０２は、制御装置１０２宛ての検知パケット（Ａ７０２）を受信する。次に、ゲートウェイ装置２０２のＩＤ生成部２０１２は、自ゲートウェイ装置であるゲートウェイ装置２０２の識別情報を生成する（Ｓ７０４）。ここで、識別情報は、Ｓ７０２の場合と同様の方法により生成することができる。次に、検知パケット生成部２０２２は、生成されたゲートウェイＩＤを受信した制御コマンドにその都度付与し、検知パケット（Ａ７０３）を生成する（Ｓ７０５）。次に、第一通信部２０５２は、生成された検知パケット（Ａ７０３）を制御装置１０２に送信する。ここで、検知パケットのフォーマットについては以降の図１２に記載する。次に、ログ生成部２０３２は、生成された検知パケットをログ情報として格納し（Ｓ７０６）、第二通信部２０８２は、ログ情報（Ａ７０４）を管理サーバ３０に送信する。ここで、ログ情報のフォーマットについては以降の図１４に記載する。
　次に、制御装置１０２の制御処理部１０１２は、受信した検知パケット（Ａ７０３）をもとに制御処理を実行する（Ｓ７０７）。
　次に、管理サーバ３０の想定経路抽出部３０６は、受信したログ情報（Ａ７０４）から、正当な経路情報である想定経路を抽出する（Ｓ７０８）。次に、想定経路抽出部３０６は、抽出した想定経路に含まれる各ゲートウェイＩＤを、Ｓ６０５で格納したゲートウェイ装置の識別情報に変換し（Ｓ７０９）、その識別情報に変換した後の経路情報を格納する（Ｓ７１０）。Ｓ７０９における変換は、予め共有している秘密情報とログ情報内の日時情報とゲートウェイ装置の固定の識別情報を参照し、該当するゲートウェイ装置の固定の識別情報を算出すればよい。
　図８は、本発明の第一の実施形態が適用されたインシデント検知システムにおいて、運転時に各ゲートウェイ装置から収集した通信パケットの経路情報から、セキュリティインシデントの例として、不正な通信パケットを検知する処理フローを示した図である。ここでは制御元となる制御装置１０１から制御先となる制御装置１０２に対して制御コマンドを送信するフローを例として示す。なお、Ｓ８０１～Ｓ８０７までの各処理は、図７に示したＳ７０１～Ｓ７０７までの処理に対して、処理を実行するタイミングが異なること以外は同様に実行される処理であるため、以下ではその説明を省略し、Ｓ８０８以降の各処理について説明する。
また、Ｓ８０６において、ログ情報は毎回送信する必要はなく、ある程度のログ情報が蓄積された後にまとめて管理サーバに送信してもよい。
　Ｓ８０７において制御装置１０２が、受信した検知パケット（Ａ８０３）をもとに制御処理を実行すると、次に、管理サーバ３０のログ情報収集部３０４は、受信したログ情報（Ａ８０４）に送信元のゲートウェイ装置の識別子を付与し、ログ情報を格納する（Ｓ８０８）。送信元のゲートウェイ装置の識別子とは、図８に示す例では、ゲートウェイ装置２０２の識別子である。送信元のゲートウェイ装置の識別子を付与する理由は、ログ情報が送信されたゲートウェイ装置を把握するためである。次に、インシデント検知部３０２は、格納されたログ情報をもとにインシデント検知を行う（Ｓ８０９）。ここで、インシデント検知の処理フローについては以降の図９に詳細に記載する。また、インシデント検知は毎回実施する必要はなく、ある程度のログ情報が蓄積された後にまとめてインシデント検知を実施してもよい。
　図９は、本発明の第一の実施形態が適用されたインシデント検知システムにおいて、運転時に管理サーバ内で行うインシデント検知の処理フローを示した図である。
　はじめに、管理サーバ３０のインシデント検知部３０２は、インシデント検知処理を開始する（Ｓ９０１）。次に、インシデント検知部３０２は、管理サーバ３０のログ格納部３０８に蓄積されているログ情報を取得する（Ｓ９０２）。次に、インシデント検知部３０２は、管理サーバ３０の想定経路格納部３０７に格納されている想定経路を取得する（Ｓ９０３）。次に、インシデント検知部３０２は、図７に示したＳ７０９の場合と同様に、取得したログ情報内のゲートウェイ装置の識別情報を固定の識別情報に変換する（Ｓ９０４）。次に、インシデント検知部３０２は、ログ情報と想定経路との比較検証を行う（Ｓ９０５）。ここで、比較検証は、以降の図１６に示す想定経路とログ情報が完全に一致するか検証しても良いし、想定経路内の経路情報とログ情報内の経路情報のみが一致するか検証しても良い。検証の結果、全てのパケットの経路情報と想定経路が一致すると判断された場合には、その通信パケットは正当な通信パケットであると判断し、処理を終了する（Ｓ９０７）。一方、インシデント検知部３０２は、経路情報と想定経路が一致しないパケットが検知された場合には、その通信パケットは想定された通信経路以外の通信経路を経由した不正な通信パケットであると判断し、その旨を示すアラートを生成する（Ｓ９０６）。
　図１０は、本発明の第一の実施形態が適用されたインシデント検知システムにおいて、運転後にゲートウェイ装置を新たに追加した場合の処理フローを示した図である。
　はじめに、管理サーバ３０の秘密情報生成部３０３は、秘密情報格納部３０９に格納されている秘密情報を取得する（Ｓ１００１）。次に、通信部３０５は、取得された秘密情報（Ａ１００１）を新規ゲートウェイ装置２０ｎに対して送信する。
　次に、新規ゲートウェイ装置２０ｎのＩＤ生成部２０１ｎは、受信した秘密情報（Ａ１００１）を秘密情報格納部２０６ｎに格納する（Ｓ１００２）。次に、第二通信部２０８ｎは、秘密情報の格納結果を含むレスポンスと新規ゲートウェイ装置の識別情報（Ａ１００２）を管理サーバ３０に送信する。
　次に、管理サーバ３０の秘密情報生成部３０３は、受信したレスポンスを検証し（Ｓ１００３）、新規ゲートウェイ装置２０ｎに対して正しく送付できているか検証する。検証の結果、正しく送付できていないと判断された場合には、該当するゲートウェイ装置に対して、再送を行う。一方、正しく送付できていると判断された場合には、受信した新規ゲートウェイ装置２０ｎの識別情報をゲートウェイリストに追加し、ゲートウェイリストを更新する（Ｓ１００４）。
　図１１は、本発明の第一の実施形態が適用されたインシデント検知システムにおいて、運転後にゲートウェイ装置の状態を確認する処理フローを示した図である。ここでは、ゲートウェイ装置２０２がシステムから除去された場合の例を示す。
　はじめに、管理サーバ３０の秘密情報生成部３０３は、ゲートウェイリストを取得する（Ｓ１１０１）。次に、秘密情報生成部３０３は、ゲートウェイ装置の状態を確認するコマンド（状態確認コマンド）を生成する（Ｓ１１０２）。次に、通信部３０５は、生成した状態確認コマンド（Ａ１１０１）をシステム内の各ゲートウェイ装置２０１～２０ｎに送信する。
　次に、各ゲートウェイ装置２０１～２０ｎのＩＤ生成部２０１１～２０１ｎ（ゲートウェイ装置２０２を除く）は、受信した状態確認コマンド（Ａ１１０１）をもとに状態情報を生成する（Ｓ１１０３１～Ｓ１１０３ｎ）。ここで、除去ゲートウェイ装置２０２のＩＤ生成部２０１２は、既にシステムに存在しないため、状態情報を生成しない。次に、各ゲートウェイ装置２０１～２０ｎの第二通信部２０８１～２０８ｎ（ゲートウェイ装置２０２を除く）は、生成された状態情報（Ａ１１０２）を管理サーバ３０に送信する。なお、状態情報とは、各ゲートウェイ装置が通信可能な状態であるか否かを示す情報であり、例えば、ｐｉｎｇコマンドに対するリプライ応答を示す情報である。
　次に、管理サーバ３０の秘密情報生成部３０３は、受信した状態情報（Ａ１１０２）と各ゲートウェイリストからレスポンスが一定時間内に取得できていない装置の有無を判断する（Ｓ１１０４）。その結果、一定時間内に全てのゲートウェイ装置からレスポンスが返ってきたと判断された場合には処理を終了する（Ｓ１１０５）。一方、一定時間内に全てのゲートウェイ装置からレスポンスが返っていないと判断された場合には、想定経路格納部３０７に格納されている経路情報からレスポンスを返さないゲートウェイ装置を含むすべての経路情報を削除し（Ｓ１１０６）、上記レスポンスを返さないゲートウェイ装置をゲートウェイリストから削除して、ゲートウェイリストをレスポンスが返ってきた装置群に更新する（Ｓ１１０７）。
　図１２は、本発明の第一の実施形態が適用されたインシデント検知システムにおいて、各ゲートウェイ装置２０１～２０ｎが生成する検知パケットの構成を例示する図である。
　検知パケット（Ａ１２０１）は、ヘッダ（Ａ１２０２）と、データ（Ａ１２０３）から構成される。ここで、ヘッダは、送信元の識別情報（Ａ１２０４）と送信先の識別情報（Ａ１２０５）と通信プロトコル（Ａ１２０６）とポート番号（Ａ１２０７）とパケットの経路情報（Ａ１２０８）から構成される。ここで、経路情報（Ａ１２０８）の格納場所は固定でも良いし、パケット毎に変化させても良い。変化させる場合には、管理サーバ３０において当該日時において、格納される位置を予め共有しておくか、経路情報の開始点を示す識別情報を規定するなどして、管理サーバ３０で経路情報（Ａ１２０８）の格納位置を認識できるようにすればよい。また、経路情報（Ａ１２０８）の詳細な構成は以降の図１３に記載する。なお、検知パケット（Ａ１２０１）の構成要素は上記に限定されるものではなく、少なくとも上記の要素が含まれていればよい。また、検知パケット（Ａ１２０１）の構成要素の順序は上記に限定されるものではない。
　図１３は、本発明の第一の実施形態が適用されたインシデント検知システムにおいて、検知パケット（Ａ１２０１）に含まれる経路情報の構成を例示する図である。
　経路情報（Ａ１３０１）は、通信パケットが経由したゲートウェイ装置の識別情報（Ａ１３０２１～Ａ１３０２ｎ）から構成される。構成順は通信パケットが経由した順を示す。なお、経路情報（Ａ１３０１）の構成要素は上記に限定されるものではなく、少なくとも上記の要素が含まれていればよい。
　図１４は、本発明の第一の実施形態が適用されたインシデント検知システムにおいて、各ゲートウェイ装置２０１～２０ｎが生成するログ情報の構成を例示する図である。
　ログ情報（Ａ１４０１）は、ログ情報を生成したゲートウェイ装置の識別情報（Ａ１４０２）とログ情報を生成した日時（Ａ１４０３）と通信パケットのヘッダ（Ａ１４０４）から構成される。ここで、ヘッダ（Ａ１４０４）は、送信元の識別情報（Ａ１４０５）と送信先の識別情報（Ａ１４０６）と通信プロトコル（Ａ１４０７）とポート番号（Ａ１４０８）とパケットの経路情報（Ａ１４０９）から構成される。なお、ログ（Ａ１４０１）の構成要素は上記に限定されるものではなく、少なくとも上記の要素が含まれていればよい。また、ログ情報（Ａ１４０１）の構成要素の順序は上記に限定されるものではない。
　図１５は、本発明の第一の実施形態が適用されたインシデント検知システムにおいて、管理サーバ３０に格納されている想定経路の構成を例示する図である。
　想定経路（Ａ１５０１）は、ログ情報を生成したゲートウェイ装置の識別情報（Ａ１５０２）と正当な通信パケットの送信元の識別情報（Ａ１５０３）と送信先の識別情報（Ａ１５０４）と経由するゲートウェイ装置の数（Ａ１５０５）と経由ゲートウェイ装置の識別情報（Ａ１５０６）から構成される。ここで、経由ゲートウェイ装置の識別情報（Ａ１５０６）は、正当な通信パケットが経由したゲートウェイ装置の識別情報（Ａ１５０７１～Ａ１５０７ｎ）が経由した順で構成される。なお、想定経路（Ａ１５０１）の構成要素は上記に限定されるものではなく、少なくとも上記の要素が含まれていればよい。また、想定経路（Ａ１５０１）の構成要素の順序は経由ゲートウェイ装置の識別情報を除いて上記に限定されるものではない。
　図１６は、本発明の第一の実施形態が適用されたインシデント検知システムにおいて、管理サーバ３０に格納されているゲートウェイリストの構成を例示する図である。
　ゲートウェイリスト（Ａ１６０１）は、ゲートウェイ装置の識別情報（Ａ１６０２）と、ＩＰアドレス（Ａ１６０３）から構成される。なお、ゲートウェイリスト（Ａ１６０１）の構成要素は上記に限定されるものではなく、少なくとも上記の要素が含まれていればよい。また、ゲートウェイリスト（Ａ１６０１）の構成要素の順序は上記に限定されるものではない。
　図１７は、本発明の第二の実施形態が適用されたインシデント検知システムの構成図である。
　本実施形態のインシデント検知システムは、図１７に例示するように、制御装置１０１～１０ｎと、ゲートウェイ装置２０１～２０ｎと、ネットワーク４０と、から構成されている。
　制御装置１０１～１０ｎの構成要素は図１と同様である。ゲートウェイ装置２０１～２０ｎの構成要素は、図１で示した構成要素に加えて、収集したログ情報からインシデントを検知するインシデント検知部２０９１～２０９ｎと、収集したログ情報から想定経路を抽出する想定経路抽出部２１０１～２１０ｎと、抽出した想定経路を格納する想定経路格納部２１１１～２１１ｎと、を含む。本実施形態において秘密情報を生成する場合には、第一の実施形態における秘密情報生成部と同様の機能をＩＤ生成部に含ませてもよい。　本実施形態のインシデント検知システムにおける処理フローについて説明する。以下に述べる処理フローは、制御装置１０１～１０ｎやゲートウェイ装置２０１～２０ｎの記憶装置に格納されたプログラムがメモリにロードされ、ＣＰＵにより実行されることにより、インシデント検知システムを構成する装置上に具現化される各処理部により実行されるものである。また、各プログラムは予め記憶装置に格納されても良いし、他の記憶媒体または通信媒体（ネットワークまたはネットワークを伝搬する搬送波）を介して、必要なときに導入されても良い。
　図１８は、本発明の第二の実施形態が適用されたインシデント検知システムにおいて、試運転や運転時にシステム内で実施する処理フローを示した図である。
　はじめに、試運転時に各ゲートウェイ装置２０１～２０ｎのモード変更部２０４１～２０４ｎは、動作モードを経路収集モードに設定する（Ｓ１８０１１～Ｓ１８０１ｎ）。
　次に、ゲートウェイ装置２０１～２０ｎ間で、想定経路抽出部２１０１～２１０ｎは、経路収集処理を実施する（Ｓ１８０２）。経路収集処理の詳細については、以降の図１９に記載する。
　次に、経路収集処理が終了後、運転時に各ゲートウェイ装置２０１～２０ｎのモード変更部２０４１～２０４ｎは、動作モードを検知モードに設定する（Ｓ１８０３１～Ｓ１８０３ｎ）。
　次に、ゲートウェイ装置２０１～２０ｎ間で、インシデント検知部２０９１～２０９ｎは、検知処理を実施する（Ｓ１８０４）。検知処理の詳細については、以降の図２０に記載する。
　図１９は、本発明の第二の実施形態が適用されたインシデント検知システムにおいて、試運転時に各ゲートウェイ装置において正当な通信パケットの経路情報を収集する際の処理フローを示した図である。ここでは制御元となる制御装置１０１から制御先となる制御装置１０２に対して制御コマンドを送信するフローを例として示す。
　はじめに、制御装置１０１の制御処理部１０１１は、制御コマンドを生成する（Ｓ１９０１）。次に、通信部１０２１は、生成された制御コマンド（Ａ１９０１）をゲートウェイ装置２０１に送信する。
　次に、制御装置１０１の通信部１０２１に接続されているゲートウェイ装置２０１の第一通信部２０５１は、制御装置１０１から送信された制御コマンド（Ａ１９０１）を受信する。次に、ゲートウェイ装置２０１のＩＤ生成部２０１１は、自ゲートウェイ装置であるゲートウェイ装置２０１の識別情報を生成する（Ｓ１９０２）。ここで、識別情報の生成は、Ｓ７０２の場合と同様の方法により生成することができる。次に、検知パケット生成部２０２２は、生成されたゲートウェイＩＤを受信した制御コマンドにその都度付与し、図１２に示した検知パケット（Ａ１９０２）を生成する（Ｓ１９０３）。次に、第二通信部２０８１は、生成された検知パケット（Ａ１９０２）をゲートウェイ装置２０２に送信する。
　次に、制御装置１０２の通信部１０２２に接続されているゲートウェイ装置２０２の第二通信部２０８２は、制御装置１０２宛ての検知パケット（Ａ１９０２）を受信する。次に、ゲートウェイ装置２０２のＩＤ生成部２０１２は、自ゲートウェイ装置であるゲートウェイ装置２０２の識別情報を生成する（Ｓ１９０４）。ここで、識別情報は、Ｓ７０２の場合と同様の方法により生成することができる。次に、検知パケット生成部２０２２は、生成されたゲートウェイＩＤを受信した制御コマンドにその都度付与し、図１２に示した検知パケット（Ａ１９０３）を生成する（Ｓ１９０５）。次に、第一通信部２０５２は、生成した検知パケット（Ａ１９０３）を制御装置１０２に送信する。次に、ログ生成部２０３２は、生成された検知パケットをログ情報として格納する（Ｓ１９０６）。次に、想定経路抽出部２１０２は、ログ情報から、正当な経路情報である想定経路を抽出する（Ｓ１９０７）。次に、抽出した想定経路を格納する（Ｓ１９０８）。
　次に、制御装置１０２の制御処理部１０１２は、受信した検知パケット（Ａ１９０３）をもとに制御処理を実行する（Ｓ１９０９）。
　図２０は、本発明の第二の実施形態が適用されたインシデント検知システムにおいて、運転時に各ゲートウェイ装置において、セキュリティインシデントの例として、不正な通信パケットを検知する処理フローを示した図である。ここでは制御元となる制御装置１０１から制御先となる制御装置１０２に対して制御コマンドを送信するフローを例として示す。なお、Ｓ２００１～Ｓ２００５までの各処理は、図１９に示したＳ１９０１～Ｓ１９０５までの処理に対して、処理を実行するタイミングが異なること以外は同様に実行される処理であるため、以下ではその説明を省略し、Ｓ２００５以降の各処理について説明する。
　Ｓ２００５において、生成されたゲートウェイＩＤを受信した制御コマンドにその都度付与され、図１２に示した検知パケット（Ａ２００３）が生成されると、次に、ログ生成部２０３２は、その検知パケットをログ情報として格納する（Ｓ２００６）。次に、インシデント検知部２０９２は、格納されたログ情報をもとに図９で示したインシデント検知を行い、インシデントの検知によりアラートが生成されている場合にはそのアラートを、ゲートウェイ装置２０２に接続されたディスプレイ等の表示装置に出力し、アラートが生成されていない場合は検知パケット（Ａ２００３）を制御装置１０２に送信する（Ｓ２００７）。このとき、アラートが生成されている場合には、不正な通信による本システムへの影響を考慮し、検知パケットを破棄して処理を終了させてもよい。
　次に、制御装置１０２の制御処理部１０１２は、受信した検知パケット（Ａ２００３）をもとに制御処理を実行する（Ｓ２００８）。
　これらの構成、手順およびデータ構造を実現することにより、制御装置に処理負荷を掛けずに、不正な通信を検知することが可能となる。すなわち、システム内に通過するパケットに対して通信経路情報を付与するゲートウェイを設置し、正当な経路情報と通信パケットの経路情報を比較することにより不正な通信パケットを検知することができる。具体的には、システム内のゲートウェイ装置において、通過する通信パケットに、通過したゲートウェイの識別情報を順次追加し、各ゲートウェイ装置にログ情報として蓄積し、蓄積したログ情報は管理サーバあるいはゲートウェイ装置に集約し、予め試運転時に収集していた正当なパケットの経路情報と蓄積したログ情報内の経路情報を比較することにより、不正な通信経路のパケットを検知することができる。
　なお、本発明は、上記の実施形態に限定されるものではなく、その要旨の範囲内で様々な変形が可能である。
　たとえば、制御装置内にゲートウェイ装置の機能が含まれている場合や、制御装置やゲートウェイ装置にネットワークとの通信機能が含まれておらず、別の装置を経由してネットワークと通信を行うことも可能である。該実施形態の場合においてもシステム全体において行う処理においても同様の機能を実現することができる。例えば、第二の実施形態において、１つのゲートウェイ装置をマスタ装置として第一の実施形態における管理サーバ３０と同様に機能させ、図６に示した初期化処理を実行した上で経路収集処理や検知処理を実行してもよい。
　１０１～１０ｎ：制御装置、１１：通信装置、１２：入出力装置、１３：記憶装置、１４：ＣＰＵ、１５：メモリ、１６：内部信号線、１０１１～１０１ｎ：制御処理部、１０２１～１０２ｎ：通信部、２０１～２０ｎ：ゲートウェイ装置、２１：第一通信装置、２２：入出力装置、２３：記憶装置、２４：第二通信装置、２５：ＣＰＵ、２６：メモリ、２７：内部信号線、２０１１～２０１ｎ：ＩＤ生成部、２０２１～２０２ｎ：検知パケット生成部、２０３１～２０３ｎ：ログ生成部、２０４１～２０４ｎ：モード変更部、２０５１～２０５ｎ：第一通信部、２０６１～２０６ｎ：ログ格納部、２０７１～２０７ｎ：秘密情報格納部、２０８１～２０８ｎ：第二通信部、２０９１～２０９ｎ：インシデント検知部、２１０１～２１０ｎ：想定経路抽出部、２１１１～２１１ｎ：想定経路格納部、３０：管理サーバ、３１：通信装置、３２：入出力装置、３３：記憶装置、３４：ＣＰＵ、３５：メモリ、３６：読取装置、３７：記憶媒体、３８：内部信号線、３０１：モード変更部、３０２：インシデント検知部、３０３：秘密情報生成部、３０４：ログ収集部、３０５：通信部、３０６：想定経路抽出部、３０７：想定経路格納部、３０８：統合ログ格納部、３０９：秘密情報格納部、３１０：ゲートウェイリスト格納部、４０：ネットワーク、Ａ５０１：初期化モード通知、Ａ６０１：秘密情報、Ａ６０２：レスポンス、ゲートウェイ装置ＩＤ、Ａ７０１：制御コマンド、Ａ７０２：検知パケット、Ａ７０３：検知パケット、Ａ７０４：ログ情報、Ａ８０１：制御コマンド、Ａ８０２：検知パケット、Ａ８０３：検知パケット、Ａ８０４：ログ情報、Ａ１００１：秘密情報、Ａ１００２：レスポンス、ゲートウェイ装置ＩＤ、Ａ１１０１：状態確認コマンド、Ａ１１０２：状態、Ａ１２０１：検知パケット、Ａ１２０２：ヘッダ、Ａ１２０３：データ、Ａ１２０４：送信元、Ａ１２０５：送信先、Ａ１２０６：プロトコル、Ａ１２０７：ポート番号、Ａ１２０８：経路情報、Ａ１３０１：経路情報、Ａ１３０２１～Ａ１３０２ｎ：ゲートウェイＩＤ、Ａ１４０１：ログ、Ａ１４０２：日時、Ａ１４０３：ヘッダ、Ａ１４０４：送信元、Ａ１４０５：送信先、Ａ１４０６：プロトコル、Ａ１４０７：ポート番号、Ａ１４０８：経路情報、Ａ１５０１：統合ログ、Ａ１５０２：ゲートウェイＩＤ、Ａ１５０３：日時、Ａ１５０４：ヘッダ、Ａ１５０５：送信元、Ａ１５０６：送信先、Ａ１５０７：プロトコル、Ａ１５０８：ポート番号、Ａ１５０９：経路情報、Ａ１６０１：想定経路、Ａ１６０２：送信元、Ａ１６０３：送信先、Ａ１６０４：経由ゲートウェイ数、Ａ１６０５：経由ゲートウェイＩＤ、Ａ１６０６１～Ａ１６０６ｎ：ゲートウェイＩＤ、Ａ１７０１：ゲートウェイリスト、Ａ１７０２：ゲートウェイＩＤ、Ａ１７０３：ＩＰアドレス、Ａ２００１：制御コマンド、Ａ２００２：検知パケット、Ａ２００３：検知パケット、Ａ２１０１：制御コマンド、Ａ２１０２：検知パケット、Ａ２１０３：検知パケット。

Claims (14)

  1. 　セキュリティインシデントを検知するインシデント検知システムであって、
    　ゲートウェイ装置は、
    　自ゲートウェイ装置の識別情報を生成するＩＤ生成部と、
    　制御装置から送信された制御情報と、通信パケットに前記自ゲートウェイ装置の識別情報を付与した経路情報と、を含む検知パケットを生成する検知パケット生成部と、
    　前記検知パケットを含むログ情報を生成するログ生成部と、
    　前記ゲートウェイ装置にネットワークで接続された管理サーバに前記ログ情報を送信し、または前記制御情報に基づいて制御される制御装置に前記検知パケットを送信する装置通信部と、を備え、
    　前記管理サーバは、
    　前記ゲートウェイ装置から前記ログ情報を受信するサーバ通信部と、
    　前記ログ情報から前記経路情報を抽出した想定経路情報をあらかじめ記憶部に記憶する通信経路抽出部と、
    　前記記憶部に記憶されている前記想定経路情報と、前記ログ情報に含まれる前記経路情報とに基づいて、不正な通信パケットを検知するインシデント検知部と、
    　を備えることを特徴とするインシデント検知システム。
  2. 　請求項１に記載のインシデント検知システムであって、
    　前記ゲートウェイ装置は、
    　さらに、秘密情報を格納する秘密情報格納部を備え、
    　前記ＩＤ生成部は、前記ゲートウェイ装置に固有の識別情報と前記秘密情報とに基づいて、前記自ゲートウェイ装置の識別情報を生成する、
    　ことを特徴とするインシデント検知システム。
  3. 　請求項２に記載のインシデント検知システムであって、
    　前記ゲートウェイ装置は、
    　さらに、前記ゲートウェイ装置の動作モードを、処理の事前準備をするモードである初期化モード、前記想定経路情報を収集するための経路収集モード、前記経路情報を検知するモードである検知モード、のいずれかのモードにする装置モード変更部を備え、
    　前記管理サーバは、
    　さらに、前記管理サーバの動作モードを、前記初期化モードと、前記経路収集モードと、前記検知モードと、のいずれかのモードにするサーバモード変更部と、前記秘密情報を生成する秘密情報生成部とを備え、
    　前記ＩＤ生成部は、前記管理サーバから受信した前記秘密情報を前記秘密情報格納部に格納し、
    　前記秘密情報生成部は、前記ゲートウェイ装置および前記管理サーバが前記初期化モードの場合に前記秘密情報を生成し、前記サーバ通信部は、生成された前記秘密情報を前記ゲートウェイ装置に送信し、
    　前記通信経路抽出部は、前記ゲートウェイ装置および前記管理サーバが前記経路収集モードの場合に前記想定経路情報を抽出し、
    　前記インシデント検知部は、前記ゲートウェイ装置および前記管理サーバが前記検知モードの場合に前記不正な通信パケットを検知する、
    　ことを特徴とするインシデント検知システム。
  4. 　請求項２に記載のインシデント検知システムであって、
    　前記管理サーバは、
    　さらに、前記ゲートウェイ装置のリストを格納するゲートウェイリスト格納部を備え、
    　前記秘密情報生成部は、新たなゲートウェイ装置が追加された場合に、前記新たなゲートウェイ装置に前記秘密情報を送信し、前記新たなゲートウェイ装置の識別情報を前記リストに追加する、
    　ことを特徴とするインシデント検知システム。
  5. 　請求項３に記載のインシデント検知システムであって、
    　前記秘密情報生成部は、前記ゲートウェイ装置の状態を確認するため状態確認コマンドに対する応答情報に基づいて、前記インシデント検知システムから取り外されたゲートウェイ装置を認識し、前記想定経路情報から前記取り外されたゲートウェイ装置の識別情報が含まれている想定経路情報を削除し、前記ゲートウェイリストから前記取り外されたゲートウェイ装置の識別情報を削除する、
    　ことを特徴とするインシデント検知システム。
  6. 　請求項１に記載のインシデント検知システムであって、
    　前記検知パケットは、ヘッダ部とデータ部とを有し、
    　前記検知パケット生成部は、前記ヘッダ部に前記経路情報を含めて前記検知パケットを生成する、
    　ことを特徴とするインシデント検知システム。
  7. 　請求項１に記載のインシデント検知システムであって、
    　前記検知パケット生成部は、前記通信パケットが通過する都度、前記ゲートウェイ装置の通過順に、前記自ゲートウェイ装置の識別情報を前記経路情報に付与する、
    　ことを特徴とするインシデント検知システム。
  8. 　請求項１に記載のインシデント検知システムであって、
    　前記通信経路抽出部は、前記正当な通信パケットが経由するゲートウェイ装置の識別情報から前記想定経路情報を構成する、
    　ことを特徴とするインシデント検知システム。
  9. 　請求項１に記載のインシデント検知システムであって、
    　前記通信経路抽出部は、前記インシデント検知システムの運用開始前に、前記想定経路情報を前記記憶部に記憶し、
    　前記インシデント検知部は、前記インシデント検知システムの運用開始後に、前記想定経路情報と、前記経路情報とに基づいて、不正な通信パケットを検知する、
    　ことを特徴とするインシデント検知システム。
  10. 　セキュリティインシデントを検知するインシデント検知システムであって、
    　第１のゲートウェイ装置は、
    　自ゲートウェイ装置の識別情報を生成するＩＤ生成部と、
    　制御装置から送信された制御情報と、通信パケットに前記自ゲートウェイ装置の識別情報を付与した経路情報と、を含む検知パケットを生成する検知パケット生成部と、
    　前記第１のゲートウェイ装置にネットワークで接続された第２のゲートウェイ装置に前記検知パケットを送信する第１の装置通信部と、を備え、
    　前記第２のゲートウェイ装置は、
    　前記第１のゲートウェイ装置から前記検知パケットを受信し、または前記制御情報に基づいて制御される制御装置に前記検知パケットを送信する第２の装置通信部と、
    　前記検知パケットをログ情報として記憶部に格納するログ生成部と、
    　前記ログ情報から前記経路情報を抽出した想定経路情報をあらかじめ記憶部に記憶する通信経路抽出部と、
    　前記記憶部に記憶されている前記想定経路情報と、前記ログ情報に含まれる前記経路情報とに基づいて、不正な通信パケットを検知するインシデント検知部と、
    　を備えることを特徴とするインシデント検知システム。
  11. 　請求項１０に記載のインシデント検知システムであって、
    　前記第１のゲートウェイ装置は、
    　さらに、秘密情報を格納する秘密情報格納部を備え、
    　前記ＩＤ生成部は、前記第１のゲートウェイ装置に固有の識別情報と前記秘密情報とに基づいて、前記自ゲートウェイ装置の識別情報を生成する、
    　ことを特徴とするインシデント検知システム。
  12. 　請求項１１に記載のインシデント検知システムであって、
    　前記第１のゲートウェイ装置は、
    　さらに、前記第１のゲートウェイ装置の動作モードを、前記想定経路情報を収集するための経路収集モード、前記経路情報を検知するモードである検知モード、のいずれかのモードにする第１の装置モード変更部を備え、
    　前記第２のゲートウェイ装置は、
    　さらに、前記第１のゲートウェイ装置の動作モードを、前記経路収集モードと、前記検知モードと、のいずれかのモードにする第２の装置モード変更部とを備え、
    　前記通信経路抽出部は、前記ゲートウェイ装置および前記管理サーバが前記経路収集モードの場合に前記想定経路情報を抽出し、
    　前記インシデント検知部は、前記ゲートウェイ装置および前記管理サーバが前記検知モードの場合に前記不正な通信パケットを検知する、
    　ことを特徴とするインシデント検知システム。
  13. 　請求項１０に記載のインシデント検知システムであって、
    　前記インシデント検知部は、前記セキュリティインシデントを検知したか否かを判定し、前記セキュリティインシデントを検知したと判定した場合、前記検知パケットを破棄する、
    　ことを特徴とするインシデント検知システム。
  14. 　請求項１０に記載のインシデント検知システムであって、
    　前記通信経路抽出部は、前記インシデント検知システムの運用開始前に、前記想定経路情報を前記記憶部に記憶し、
    　前記インシデント検知部は、前記インシデント検知システムの運用開始後に、前記想定経路情報と、前記経路情報とに基づいて、不正な通信パケットを検知する、
    　ことを特徴とするインシデント検知システム。
PCT/JP2015/086065 2015-03-12 2015-12-24 インシデント検知システム WO2016143231A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US15/547,905 US10348746B2 (en) 2015-03-12 2015-12-24 Incident detection system including gateway device and server

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2015049851A JP6310874B2 (ja) 2015-03-12 2015-03-12 インシデント検知システム
JP2015-049851 2015-03-12

Publications (1)

Publication Number Publication Date
WO2016143231A1 true WO2016143231A1 (ja) 2016-09-15

Family

ID=56879315

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2015/086065 WO2016143231A1 (ja) 2015-03-12 2015-12-24 インシデント検知システム

Country Status (3)

Country Link
US (1) US10348746B2 (ja)
JP (1) JP6310874B2 (ja)
WO (1) WO2016143231A1 (ja)

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6769270B2 (ja) * 2016-12-02 2020-10-14 株式会社デンソー 車載電子制御装置、車載電子制御システム、中継装置
JP6869869B2 (ja) * 2017-10-26 2021-05-12 株式会社日立製作所 制御システムのための対策立案システムおよび監視装置
CA3100337A1 (en) * 2018-01-17 2019-07-25 Byos Inc. Device and method for securing a network connection
US20190363925A1 (en) * 2018-05-22 2019-11-28 Critical Start, Inc. Cybersecurity Alert Management System

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH04235652A (ja) * 1991-01-11 1992-08-24 Nippon Telegr & Teleph Corp <Ntt> 電子計算機アクセス方法
JP2003229913A (ja) * 2002-02-04 2003-08-15 Hitachi Ltd ネットワーク接続システム、ネットワーク接続方法、および、それらに用いられるネットワーク接続装置
JP2006100874A (ja) * 2004-09-28 2006-04-13 Nippon Telegr & Teleph Corp <Ntt> アプリケーション型サービス不能攻撃に対する防御方法およびエッジ・ルータ
JP2007131029A (ja) * 2005-11-08 2007-05-31 Yokohama Rubber Co Ltd:The 車両監視システム
JP2008099156A (ja) * 2006-10-16 2008-04-24 Hitachi Ltd 情報漏洩防止システム
JP2012034129A (ja) * 2010-07-29 2012-02-16 Pfu Ltd 管理サーバ、通信遮断装置、情報処理システム、方法およびプログラム
JP2012034273A (ja) * 2010-08-02 2012-02-16 Yokogawa Electric Corp 不正通信検出システム

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8307422B2 (en) * 2008-08-14 2012-11-06 Juniper Networks, Inc. Routing device having integrated MPLS-aware firewall

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH04235652A (ja) * 1991-01-11 1992-08-24 Nippon Telegr & Teleph Corp <Ntt> 電子計算機アクセス方法
JP2003229913A (ja) * 2002-02-04 2003-08-15 Hitachi Ltd ネットワーク接続システム、ネットワーク接続方法、および、それらに用いられるネットワーク接続装置
JP2006100874A (ja) * 2004-09-28 2006-04-13 Nippon Telegr & Teleph Corp <Ntt> アプリケーション型サービス不能攻撃に対する防御方法およびエッジ・ルータ
JP2007131029A (ja) * 2005-11-08 2007-05-31 Yokohama Rubber Co Ltd:The 車両監視システム
JP2008099156A (ja) * 2006-10-16 2008-04-24 Hitachi Ltd 情報漏洩防止システム
JP2012034129A (ja) * 2010-07-29 2012-02-16 Pfu Ltd 管理サーバ、通信遮断装置、情報処理システム、方法およびプログラム
JP2012034273A (ja) * 2010-08-02 2012-02-16 Yokogawa Electric Corp 不正通信検出システム

Also Published As

Publication number Publication date
US20180026998A1 (en) 2018-01-25
JP6310874B2 (ja) 2018-04-11
JP2016171453A (ja) 2016-09-23
US10348746B2 (en) 2019-07-09

Similar Documents

Publication Publication Date Title
CN108347331B (zh) 车联网系统中T_Box设备与ECU设备进行安全通信的方法与设备
CN108965215B (zh) 一种多融合联动响应的动态安全方法与系统
Larson et al. An approach to specification-based attack detection for in-vehicle networks
WO2016143231A1 (ja) インシデント検知システム
CN105917629B (zh) 通过鉴权的时间测量的安全的网络接入保护
CN107710676B (zh) 网关装置及其控制方法
EP3506553A1 (en) Vehicle information collection system, vehicle-mounted computer, vehicle information collection device, vehicle information collection method, and computer program
CN104025506A (zh) 通信系统中的消息认证方法及通信系统
CN109413201A (zh) Ssl通信方法、装置及存储介质
CN105323302A (zh) 为车辆诊断数据建立安全的通信
CN109359464B (zh) 一种基于区块链技术的无线安全认证方法
WO2018017566A1 (en) Hash-chain based sender identification scheme
JP5398404B2 (ja) 通信遮断装置、サーバ装置、方法およびプログラム
US8798063B2 (en) Information processing apparatus and information processing method
US10726161B2 (en) Information processing device and malicious message detection method
CN101637004A (zh) 用于通信系统中的前缀可达性的方法
CN104994085A (zh) 一种无线传感器网络中身份认证方法及系统
JP2016134834A (ja) 車載ゲートウェイ装置及び車載ネットワークシステム
Oberti et al. Taurum p2t: Advanced secure can-fd architecture for road vehicle
JP5772674B2 (ja) 個人認証機能を有する無線中継システム
JP6890073B2 (ja) 情報収集装置、情報収集システム
Murvay et al. A brief look at the security of DeviceNet communication in industrial control systems
JP6396831B2 (ja) 暗号通信システム、暗号通信方法、暗号通信装置及び暗号通信装置登録サーバ
JP6247060B2 (ja) セッション管理システムおよび方法
GB2570292A (en) Data protection

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 15884715

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 15547905

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 15884715

Country of ref document: EP

Kind code of ref document: A1