WO2017221373A1 - 侵入検知装置および侵入検知プログラム - Google Patents

侵入検知装置および侵入検知プログラム Download PDF

Info

Publication number
WO2017221373A1
WO2017221373A1 PCT/JP2016/068666 JP2016068666W WO2017221373A1 WO 2017221373 A1 WO2017221373 A1 WO 2017221373A1 JP 2016068666 W JP2016068666 W JP 2016068666W WO 2017221373 A1 WO2017221373 A1 WO 2017221373A1
Authority
WO
WIPO (PCT)
Prior art keywords
state
state transition
packet
transition
intrusion detection
Prior art date
Application number
PCT/JP2016/068666
Other languages
English (en)
French (fr)
Inventor
孝一 清水
晃由 山口
綱人 中井
信博 小林
Original Assignee
三菱電機株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 三菱電機株式会社 filed Critical 三菱電機株式会社
Priority to PCT/JP2016/068666 priority Critical patent/WO2017221373A1/ja
Priority to US16/095,623 priority patent/US20190141059A1/en
Priority to JP2018523229A priority patent/JP6400255B2/ja
Priority to CN201680086845.4A priority patent/CN109313686A/zh
Priority to EP16906290.8A priority patent/EP3460701A4/en
Priority to KR1020187036646A priority patent/KR101972295B1/ko
Priority to TW105126045A priority patent/TWI636374B/zh
Publication of WO2017221373A1 publication Critical patent/WO2017221373A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/06—Generation of reports
    • H04L43/067—Generation of reports using time frame reporting
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/18—Network architectures or network communication protocols for network security using different networks or channels, e.g. using out of band channels
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]

Definitions

  • the present invention relates to whitelist type intrusion detection.
  • Whitelist type intrusion detection technology is known as a technology to prevent cyber attacks from the network.
  • allowed packets are defined in advance in a list called a white list, and packets not defined in the white list are detected as attacks.
  • the industrial control system has a fixed operation mode and fixed transmission / reception packets as compared with a general information system. Therefore, it is considered that the allowed packets can be defined in advance in the white list in the industrial control system, and expectations for the white list type intrusion detection technology as a countermeasure against cyber attacks are increasing.
  • the accuracy of intrusion detection in whitelist type intrusion detection depends on the definition of the whitelist, but in general, the definition of the whitelist is not easy. Therefore, there is a need for technology relating to whitelist definition. In particular, in an industrial control system, a technique for accurately detecting characteristic periodic packets is required.
  • Patent Document 1 discloses a technique for invalidating a search rule when a time-out period is exceeded from the previous reception of a periodic packet that matches the search rule. Thus, by determining the timeout of the periodic packet, it is possible to determine that the reception period of the periodic packet has ended.
  • Non-Patent Document 1 proposes a technique for detecting a complex attack by switching a white list depending on the operating state of a system. For example, it is considered that communication for writing a program to the controller is performed only during maintenance of the system and not during operation of the system. Therefore, by switching the whitelist so that program-written communication is permitted in the maintenance state but not in the operating state, there is a possibility that a packet to be permitted can be finely controlled and a complicated attack can be detected. By using this technique and changing the permitted periodic packet according to the operating state of the system, it is possible to determine the start and end of reception of the periodic packet.
  • the state transition pattern is also fixed, and it is considered that any state transition does not occur.
  • the state transition pattern consisting of a plurality of state transitions matches the state transition pattern that should occur during system operation. It is not determined whether or not it is done.
  • An object of the present invention is to enable detection of unauthorized state transitions.
  • Intrusion detection device of the present invention A state identification unit for identifying the state of the operation system; A state transition determination unit that determines the presence or absence of a state transition of the operation system based on the identified state; When there is a state transition of the operation system, a transition that determines whether the state transition of the operation system matches the transition pattern indicated in the state transition scenario using a state transition scenario indicating a transition pattern of the state transition A pattern determination unit.
  • FIG. 1 is a configuration diagram of an operation system 100 according to Embodiment 1.
  • FIG. 1 is a configuration diagram of an intrusion detection device 200 according to Embodiment 1.
  • FIG. 3 is a configuration diagram of a state management unit 210 in the first embodiment.
  • FIG. 3 is a configuration diagram of a storage unit 291 according to Embodiment 1.
  • FIG. 3 is a configuration diagram of a state transition scenario 320 in the first embodiment.
  • FIG. 330 is a state transition diagram 330 according to the first embodiment.
  • 3 is a flowchart of an intrusion detection method according to the first embodiment.
  • FIG. 5 is a diagram showing another configuration of the operation system 100 according to the first embodiment.
  • FIG. 6 is a configuration diagram of a state management unit 210 according to the second embodiment.
  • FIG. FIG. 6 is a configuration diagram of a storage unit 291 according to Embodiment 2.
  • FIG. 10 shows a white list 340 in the second embodiment.
  • FIG. 10 is a flowchart of an intrusion detection method according to the second embodiment.
  • FIG. 6 shows an example of periodic communication in Embodiment 2.
  • FIG. 5 is a configuration diagram of an operation system 100 according to Embodiment 3.
  • FIG. 6 is a configuration diagram of a control network 105 in a third embodiment.
  • FIG. 11 is a configuration diagram of a communication cycle of the control network 105 in the third embodiment.
  • FIG. 6 shows an example of periodic communication in Embodiment 3.
  • FIG. 6 is a configuration diagram of a state management unit 210 in a third embodiment.
  • FIG. 10 is a configuration diagram of a storage unit 291 according to Embodiment 3.
  • FIG. 10 is a configuration diagram of an alert condition table 370 in the third embodiment.
  • 10 is a flowchart of an intrusion detection method according to the third embodiment.
  • Embodiment 1 An embodiment for detecting an illegal state transition will be described with reference to FIGS.
  • the operation system 100 is a system that is a target of intrusion detection.
  • the operation system 100 is an industrial control system.
  • the industrial control system is a system whose operation is fixed.
  • the operation system 100 includes a monitoring control terminal 102, a plurality of controllers (103A, 103B), an intrusion detection device 200, and a maintenance network 104.
  • a plurality of controllers are collectively referred to as a controller 103.
  • the monitoring control terminal 102, the controller 103, and the intrusion detection device 200 are connected to the maintenance network 104.
  • the maintenance network 104 is a network to which the monitoring control terminal 102, the controller 103, and the intrusion detection apparatus 200 are connected.
  • the monitoring control terminal 102 is further connected to the information system network 101.
  • the information network 101 is a network to which the monitoring control terminal 102 and a server are connected.
  • the monitoring control terminal 102 is a computer that controls the operation system 100.
  • the controller 103 is a computer that controls the device.
  • the intrusion detection device 200 is a computer that detects unauthorized access to the operation system 100. Intrusion detection device 200 is retrofitted to maintenance network 104.
  • the monitoring control terminal 102 collects information from the controller 103, and transmits the collected information to the server via the information network 101.
  • the intrusion detection device 200 is a computer including hardware such as a processor 901, a memory 902, an auxiliary storage device 903, and a communication device 904. These hardwares are connected to each other via signal lines.
  • the processor 901 is an IC (Integrated Circuit) that performs processing, and controls other hardware.
  • the processor 901 is a CPU, DSP, or GPU.
  • CPU is an abbreviation for Central Processing Unit
  • DSP is an abbreviation for Digital Signal Processor
  • GPU is an abbreviation for Graphics Processing Unit.
  • the memory 902 is a volatile storage device.
  • the memory 902 is also called main memory or main memory.
  • the memory 902 is a RAM (Random Access Memory).
  • the auxiliary storage device 903 is a nonvolatile storage device.
  • the auxiliary storage device 903 is a ROM, HDD, or flash memory. ROM is an abbreviation for Read Only Memory, and HDD is an abbreviation for Hard Disk Drive.
  • Hardware in which the processor 901, the memory 902, and the auxiliary storage device 903 are collected is referred to as a “processing circuit”.
  • the communication device 904 is a device that performs communication, and includes a receiver and a transmitter. Specifically, the communication device 904 is a communication chip or a NIC (Network Interface Card).
  • NIC Network Interface Card
  • the intrusion detection apparatus 200 includes “units” such as a state management unit 210, a white list management unit 220, and an intrusion detection unit 230 as functional configuration elements.
  • the function of “part” is realized by software. The function of “part” will be described later.
  • the auxiliary storage device 903 stores a program that realizes the function of “unit”.
  • a program that realizes the function of “unit” is loaded into the memory 902 and executed by the processor 901.
  • the auxiliary storage device 903 stores an OS (Operating System). At least a part of the OS is loaded into the memory 902 and executed by the processor 901. That is, the processor 901 executes a program that realizes the function of “unit” while executing the OS.
  • Data obtained by executing a program that realizes the function of “unit” is stored in a storage device such as the memory 902, the auxiliary storage device 903, a register in the processor 901, or a cache memory in the processor 901.
  • the memory 902 functions as a storage unit 291 in which data used, generated, input, output, transmitted or received by the intrusion detection apparatus 200 is stored. However, other storage devices may function as the storage unit 291.
  • the communication device 904 functions as a communication unit that communicates data.
  • the receiver functions as a reception unit that receives data and a packet detection unit 292 described later
  • the transmitter functions as a transmission unit that transmits data and an alert output unit 293 described later.
  • the intrusion detection apparatus 200 may include a plurality of processors that replace the processor 901.
  • the plurality of processors share execution of a program that realizes the function of “unit”.
  • a program that realizes the function of “unit” can be stored in a computer-readable manner in a nonvolatile storage medium such as a magnetic disk, an optical disk, or a flash memory.
  • a non-volatile storage medium is a tangible medium that is not temporary. “Part” may be read as “processing” or “process”.
  • the function of “unit” may be realized by firmware.
  • the configuration of the state management unit 210 will be described with reference to FIG.
  • the state management unit 210 includes a state identification unit 211, a state transition determination unit 212, and a transition pattern determination unit 213 as functional configuration elements. The function of these elements will be described later.
  • the configuration of the storage unit 291 will be described based on FIG.
  • the storage unit 291 stores operation state data 310, a state transition scenario 320, a state transition diagram 330, a plurality of white lists 340, and the like.
  • the white list 340 is a generic name for the white list 1, the white list 2, the white list 3, and the like described below.
  • the operational status data 310 indicates the status of the operational system 100.
  • the state of the operation system 100 is referred to as an operation state.
  • the operation state data 310 includes a state number, a sequence number, and a pattern number.
  • the status number is a number that identifies the status of the operation system 100.
  • the order number is the order in which the operation system 100 is in a state identified by the state number in the state transition of the operation system 100.
  • the pattern number is a number for identifying a transition pattern that matches the state transition of the operation system 100.
  • the state transition scenario 320 shows a predetermined state transition pattern.
  • a state transition pattern is called a transition pattern.
  • Transition pattern 1 is a transition pattern in which the operation state transitions in the order of state 1, state 2, and state 1.
  • Transition pattern 2 is a transition pattern in which the operation state transitions in the order of state 1, state 3, state 1, and state 2.
  • Transition pattern 3 is a transition pattern in which the operation state transitions in the order of state 1, state 2, and state 3.
  • the initial value of the operation state data 310 of FIG. 4 is as follows.
  • the initial value of the state number is 1.
  • the initial value of the sequence number is 1.
  • the initial value of the pattern number is 1, 2, and 3.
  • the state transition diagram 330 is data indicating a predetermined state transition, and is data in which the operation state and the white list 340 are associated with each other.
  • the white list 340 is data indicating packets that are permitted to be communicated in the operation system 100.
  • a packet communicated in the operation system 100 is referred to as a communication packet.
  • a packet that is permitted to be communicated in the operation system 100 is called a permitted packet. Packets that are not allowed to be communicated by the operation system 100 are referred to as impossible packets.
  • the state transition diagram 330 shows a transition from the state 1 to the state 2 or the state 3, a transition from the state 2 to the state 1 or the state 3, and a transition from the state 3 to the state 1.
  • the white list 1 is associated with the state 1
  • the white list 2 is associated with the state 2
  • the white list 3 is associated with the state 3.
  • the operation of the intrusion detection device 200 corresponds to an intrusion detection method.
  • the procedure of the intrusion detection method corresponds to the procedure of the intrusion detection program.
  • step S101 to step S130 The intrusion detection method will be described based on FIG.
  • the processing from step S101 to step S130 is repeatedly executed while the intrusion detection function of the intrusion detection device 200 is operating.
  • Step S101 is a packet detection process.
  • the packet detection unit 292 detects a communication packet. Specifically, the packet detection unit 292 receives a communication packet that flows through the maintenance network 104.
  • Step S111 is a state specifying process.
  • the state specifying unit 211 specifies the state of the operation system 100. Specifically, the state specifying unit 211 analyzes the content of the communication packet detected in step S101. And the state specific
  • Step S112 is a state transition determination process.
  • the state transition determination unit 212 determines whether there is a state transition in the operation system 100 based on the state specified in step S111. Specifically, the state transition determination unit 212 compares the state number specified in step S111 with the state number indicated in the operation state data 310. When the state numbers are different, the state transition determination unit 212 determines that there has been a state transition of the operation system 100.
  • the state transition determination unit 212 updates the state number included in the operation state data 310 to the state number specified in step S111. Further, the state transition determination unit 212 adds 1 to the sequence number included in the operation state data 310. Thereafter, the process proceeds to step S113. If there is no state transition of the operation system 100, the process proceeds to step S130.
  • Step S113 is a transition pattern determination process.
  • the transition pattern determination unit 213 determines whether the state transition of the operation system 100 matches the transition pattern indicated in the state transition scenario 320.
  • the transition pattern determination unit 213 performs determination as follows.
  • the transition pattern determination unit 213 executes the following (1) to (4) for each pattern number included in the operation state data 310.
  • the transition pattern determination unit 213 selects a transition pattern identified by the pattern number from the state transition scenario 320.
  • the transition pattern determination unit 213 acquires a state number corresponding to the sequence number indicated in the operation state data 310 from the selected transition pattern.
  • the transition pattern determination unit 213 compares the acquired state number with the state number indicated in the operation state data 310. (4) If the state numbers do not match, the transition pattern determination unit 213 deletes the pattern number from the operation state data 310.
  • the transition pattern determination unit 213 determines that the state transition of the operational system 100 matches the transition pattern indicated in the state transition scenario 320.
  • step S120 If the state transition of the operation system 100 is not correct, the process proceeds to step S114.
  • Step S113 will be specifically described based on the state transition scenario 320 of FIG.
  • the first operation state is state 1.
  • the transition patterns whose operation state with the sequence number 1 is state 1 are transition pattern 1, transition pattern 2, and transition pattern 3. Therefore, pattern number 1, pattern number 2, and pattern number 3 are registered in the operation state data 310.
  • the operation state has transitioned to state 2.
  • the transition patterns 1 to 3 the transition patterns with the operation number of the sequence number 2 being the state 2 are the transition pattern 1 and the transition pattern 3. Transition pattern 2 is not applicable. Therefore, the pattern number 2 is deleted from the operation state data 310.
  • the pattern number of the transition pattern that does not match the state transition of the operation system 100 is deleted from the operation state data 310, and the transition pattern that matches the state transition of the operation system 100 is narrowed down. If there is no transition pattern that matches the state transition of the operation system 100 in a certain order, the state transition of the operation system 100 is illegal.
  • Step S114 is an alert output process.
  • the alert output unit 293 outputs an alert.
  • This alert is a message notifying that an illegal state transition has occurred.
  • the transition pattern determination unit 213 generates a notification packet including an alert, and the alert output unit 293 transmits the notification packet to the monitoring control terminal 102.
  • the process proceeds to step S101.
  • Step S120 is whitelist management processing.
  • the white list management unit 220 switches the white list 340 used in the intrusion detection process (S130) to the white list 340 corresponding to the state of the operation system 100.
  • the white list management unit 220 selects the white list 340 associated with the state of the operation system 100 from the plurality of white lists 340 using the state transition diagram 330.
  • the selected white list 340 is used in the subsequent intrusion detection process (S130).
  • the state transition diagram 330 of FIG. 6 when the state of the operation system 100 is state 2, the selected white list 340 is the white list 2.
  • Step S130 is an intrusion detection process.
  • the intrusion detection unit 230 performs whitelist type intrusion detection.
  • the intrusion detection unit 230 performs whitelist type intrusion detection as follows. First, the intrusion detection unit 230 acquires information such as a transmission source address and a destination address from the communication packet detected in step S101. Next, the intrusion detection unit 230 determines whether the communication packet detected in Step S101 is a permission packet indicated in the white list 340 based on the acquired information. If the communication packet is not a permission packet, the intrusion detection unit 230 generates a notification packet including an alert. This alert is a message notifying that an impossible packet has been detected. Then, the alert output unit 293 transmits a notification packet to the monitoring control terminal 102.
  • step S130 the process proceeds to step S101.
  • Embodiment 1 *** Effects of Embodiment 1 *** An illegal state transition can be detected. Specifically, in an operation system 100 that takes a fixed operation form such as an industrial control system, a communication pattern to be permitted by using a state transition scenario 320 in which a transition pattern permitted in the operation system 100 is registered. The effect that can be determined more accurately is obtained.
  • the state transition in which the state 1 and the state 2 are alternately repeated is a correct state transition.
  • the state transition in which the state 1 and the state 2 are alternately repeated is not defined in any transition pattern, and thus is an illegal state transition. That is, by detecting an illegal state transition using the state transition scenario 320, it is possible to detect an illegal state transition that cannot be detected using the state transition diagram 330.
  • Intrusion detection device 200 may be incorporated in a device connected to maintenance network 104. As shown in FIG. 8, the intrusion detection device 200 may be built in the controller 103.
  • the intrusion detection device 200 may include an input device that accepts an input and a display that displays an image or the like. Specific input devices are a keyboard and a mouse.
  • the transition pattern shown in the state transition scenario 320 may be one or more, and may be added, changed, or deleted.
  • the state specifying unit 211 may specify the state of the operation system 100 by a method other than analyzing the content of the communication packet. Specifically, the state specifying unit 211 may inquire the monitoring control terminal 102 about the state of the operation system 100.
  • the state transition diagram 330 may be replaced with data in another format as long as the operation state and the white list are associated with each other. Specifically, data in a table format in which the operation state and the white list are associated with each other may be used instead of the state transition diagram 330.
  • the alert may be output by a method other than transmitting a notification packet including the alert.
  • the alert may be displayed on a display or may be output by voice.
  • Embodiment 2 FIG. Regarding the mode for detecting unauthorized periodic communication, differences from the first embodiment will be mainly described with reference to FIGS. 9 to 17.
  • the intrusion detection device 200 includes a state management unit 210, a white list management unit 220, an intrusion detection unit 230, and a periodic communication determination unit 240 as functional components.
  • the state management unit 210 includes a state identification unit 211 and a state transition determination unit 212 as functional components.
  • the periodic communication determination unit 240 includes a permission / rejection specifying unit 241, a detection interval calculation unit 242, and an alert determination unit 243 as functional components.
  • the storage unit 291 stores operation state data 310, a state transition diagram 330, a plurality of white lists 340, periodic communication data 350, an alert condition table 360, and the like.
  • the operation state data 310 includes a state number and a transition time.
  • the state number is as described in the first embodiment.
  • the transition time is the time when the state of the operation system 100 transitions to the state identified by the state number.
  • State transition diagram 330 is as described in the first embodiment.
  • the white list 1 is a white list 340 associated with the state 1.
  • packet A and packet B are permitted packets, and packet C is an unacceptable packet.
  • the white list 2 is a white list 340 associated with the state 2.
  • the packet B and the packet C are permitted packets, and the packet A is an unacceptable packet. That is, when the state of the operation system 100 transitions from the state 1 to the state 2, the packet A that was a permitted packet becomes a disabled packet, and the packet C that was a disabled packet becomes a permitted packet.
  • Periodic communication data 350 indicates the communication status of periodic packets.
  • a periodic packet is a communication packet that is periodically communicated. The periodic packet is communicated every communication period. When the communication cycle is 1 minute, the periodic packet is communicated every minute.
  • the periodic communication data 350 includes a communication period and a previous time for each type of periodic packet. The previous time is the time when the periodic packet was detected last time. The initial value of the previous time is a value indicating non-detection.
  • the alert condition table 360 includes alert condition records (361A to 361G). Alert condition record 361A to alert condition record 361G are collectively referred to as alert condition record 361.
  • alert condition record 361 permission / prohibition before the state transition, permission / prohibition after the state transition, communication interval, and necessity of alert are associated with each other.
  • a hyphen means that there is no communication interval condition.
  • step S201 to step S250 is repeatedly executed while the intrusion detection function of the intrusion detection device 200 is operating.
  • Steps S201 to S212 are the same as steps S101 to S112 of FIG. 7 in the first embodiment.
  • the state transition determination unit 212 updates the state number included in the operation state data 310 to the state number specified in step S211. Furthermore, the state transition determination unit 212 updates the transition time included in the operation state data 310. Specifically, the state transition determination unit 212 updates the transition time to the current time or the time when the communication packet is detected in step S201. Thereafter, the process proceeds to step S220. If there is no state transition of the operation system 100, the process proceeds to step S250.
  • Step S220 is the same as step S120 of FIG. 7 in the first embodiment. After step S220, the process proceeds to step S230.
  • step S230 the periodic communication determination unit 240 determines whether the communication packet detected in step S201 is a periodic packet. Specifically, a periodic flag indicating that it is a periodic packet is set in the periodic packet. When the periodic flag is set in the communication packet detected in step S201, the periodic communication determination unit 240 determines that the communication packet detected in step S201 is a periodic packet. If the communication packet detected in step S201 is a periodic packet, the process proceeds to step S240. If the communication packet detected in step S201 is not a periodic packet, the process proceeds to step S250.
  • Step S240 is a periodic communication determination process.
  • the periodic communication determination unit 240 performs a periodic communication determination process.
  • the periodic communication determination process (S240) will be described later. After step S240, the process proceeds to step S201.
  • Step S250 is the same as step S130 of FIG. 7 in the first embodiment. After step S250, the process proceeds to step S201.
  • Step S241-1 the permission / refusal specifying unit 241 uses the white list 340 associated with the state before the state transition to specify whether the periodic packet before the state transition is permitted.
  • the state before the state transition is the previous state of the operation system 100.
  • the white list 340 associated with the state before the state transition is the white list 340 before switching in step S220. This white list 340 is referred to as a white list 340 before state transition.
  • the permission / refusal of the periodic packet before the state transition is the permission / refusal of the periodic packet specified using the white list 340 before the state transition.
  • the permission / rejection specifying unit 241 specifies permission / rejection of the periodic packet as follows. First, the permission specifying unit 241 acquires information such as a transmission source address and a destination address from the periodic packet detected in step S201. The permission / rejection specifying unit 241 determines whether the periodic packet detected in step S201 is a permission packet indicated in the white list 340 based on the acquired information.
  • the periodic packet before the state transition is a permission packet.
  • the periodic packet before the state transition is an unacceptable packet.
  • step S241-2 the permission / rejection specifying unit 241 uses the white list 340 associated with the state after the state transition to specify whether the periodic packet after the state transition is permitted.
  • the state after the state transition is the current state of the operation system 100.
  • the white list 340 associated with the state after the state transition is the white list 340 after being switched in step S220. This white list 340 is referred to as a white list 340 after state transition.
  • the permission or rejection of the periodic packet after the state transition is the permission or rejection of the periodic packet specified using the white list 340 after the state transition.
  • the method for specifying whether or not a periodic packet is permitted is the same as that in step S241-1.
  • the periodic packet after the state transition is an unacceptable packet.
  • the periodic packet after the state transition is a permission packet.
  • Step S242 is detection interval calculation processing.
  • the detection interval calculation unit 242 calculates the detection interval at which the periodic packet is detected.
  • the detection interval is the time from the time when a periodic packet of the same type as the periodic packet detected this time is detected to the time when the periodic packet is detected this time.
  • the detection interval calculation unit 242 calculates, as the detection interval, the time that has elapsed since the time when the state of the operation system 100 became the state when the periodic packet was detected.
  • the periodic communication determination unit 240 calculates the detection interval as follows. First, the periodic communication determination unit 240 acquires information such as a transmission source address and a destination address from the periodic packet, and specifies the type of the periodic packet based on the acquired information. Next, the periodic communication determination unit 240 acquires the specified type of previous time from the periodic communication data 350. If the acquired previous time is not a value indicating no detection, the periodic communication determination unit 240 calculates the time from the acquired previous time to the current time. The calculated time is the detection interval. Specifically, the current time is the current time or the time when the periodic packet is detected in step S201. When the acquired previous time is a value indicating non-detection, the periodic communication determination unit 240 acquires the transition time from the operation state data 310 and calculates the time from the acquired transition time to the current time. The calculated time is the detection interval.
  • Step S243 is alert determination processing.
  • the alert determination unit 243 determines whether the alert is necessary based on the alert condition table 360, whether the periodic packet before the state transition is permitted, whether the periodic packet is permitted after the state transition, and the periodic packet detection interval. Determine.
  • the alert determination unit 243 determines whether or not an alert is necessary as follows. First, the alert determination unit 243 displays an alert condition record 361 corresponding to the permission / non-permission specified at step S241-1, the permission / non-permission specified at step S241-2, and the detection interval calculated at step S242. Select from 360. Then, the alert determination unit 243 refers to the necessity of the alert included in the selected alert condition record 361.
  • the alert condition record 361A is selected from the alert condition table 360 of FIG. In this case, no alert is required.
  • the communication period compared with the detection interval is a communication period corresponding to the type of periodic packet among the communication periods included in the periodic communication data 350.
  • the alert condition table in FIG. From 360 an alert condition record 361E is selected. In this case, no alert is required. If the permission / prohibition specified in step S241-1 is not possible, the permission / prohibition specified in step S241-2 is permission, and the detection interval calculated in step S242 is longer than the standby time, the alert condition table 360 in FIG. From this, the alert condition record 361F is selected. In this case, an alert is required.
  • the waiting time is a predetermined time. The standby time is shorter than the communication cycle.
  • the alert condition record 361G is selected from the alert condition table 360 of FIG. In this case, an alert is required.
  • step S244 If an alert is required, the process proceeds to step S244. If no alert is required, the process ends.
  • Step S244 is alert output processing.
  • the alert output unit 293 outputs an alert.
  • This alert is a message notifying that periodic communication is not correctly performed.
  • the alert determination unit 243 generates a notification packet including an alert, and the alert output unit 293 transmits the notification packet to the monitoring control terminal 102.
  • the process ends.
  • the intrusion detection method will be specifically described based on FIG.
  • the first type periodic packet is referred to as a packet A111
  • the second type periodic packet is referred to as a packet B112
  • the third type periodic packet is referred to as a packet C113.
  • the communication period of the periodic packet is the same.
  • the communication periods divided for each communication cycle of the packet A111, the packet B112, and the packet C113 are referred to as period 1, period 2, period 3, and period 4.
  • the operation state transitions from state 1 to state 2 between period 2 and period 3. Accordingly, the white list 340 is switched from the white list 1 in FIG. 13 to the white list 2 in FIG. As a result, the packet A111 permitted in the period 1 and the period 2 is not permitted after the period 3. On the other hand, the packet C113 that is not permitted in the period 1 and the period 2 is permitted in the period 3 and later.
  • the packet A111 is not permitted.
  • the packet A111 is a periodic packet that should not be permitted. Such a case is predefined in the alert condition table 360 of FIG.
  • the records corresponding to the packet A111 are the alert condition record 361B to the alert condition record 361D.
  • an alert is output when the packet A111 is detected at a communication interval shorter than the communication cycle. That is, packet A111 is not permitted.
  • the alert condition record 361C when the packet A111 is detected according to the communication cycle, no alert is output. That is, packet A111 is permitted.
  • the alert condition record 361D when the packet A111 is detected at a communication interval longer than the communication cycle, no alert is output. That is, packet A111 is permitted.
  • the records corresponding to the packet C113 are the alert condition record 361E and the alert condition record 361F.
  • the alert condition record 361E when the packet C113 is detected within the waiting time, no alert is output. That is, the communication of the packet C113C is correctly started.
  • the alert condition record 361F if the packet C113 is not detected within the waiting time, an alert is output. That is, the communication of the packet C113 is not correctly started.
  • Embodiment 2 *** Effects of Embodiment 2 *** It becomes possible to detect unauthorized periodic communication. Specifically, a more detailed determination than usual is performed for a periodic packet in which communication starts or ends at the boundary of state transition. Therefore, in the operation system 100 that takes a fixed operation form such as an industrial control system, an effect of more accurately determining a communication pattern to be permitted can be obtained.
  • the alert condition table 360 in the second embodiment is not limited to the alert condition table 360 in FIG.
  • Embodiment 3 Regarding the form in which the state transition packet is used, differences from the first and second embodiments will be mainly described with reference to FIGS.
  • the operation system 100 includes a control network 105.
  • the control network 105 is a high-speed and high-reliability network that guarantees the real-time property necessary for controlling the operation system 100.
  • the monitoring control terminal 102 and the controller 103 are also connected to the control network 105.
  • the configuration of the control network 105 will be described based on FIG. 19, FIG. 20, and FIG.
  • the control network 105 has a control communication band and a normal communication band.
  • the control communication band is a communication band for control packets.
  • the control packet is a communication packet communicated to control the operation system 100.
  • the control packet includes a periodic packet. Real-time performance is guaranteed in the control communication band.
  • the normal communication band is a communication band for other packets. Other packets are communication packets other than control packets. In the normal communication band, normal data communication using TCP / IP or the like is performed.
  • TCP is an abbreviation for Transmission Control Protocol
  • IP is an abbreviation for Internet Protocol.
  • the control network 105 has a communication cycle including a control communication time and a normal communication time.
  • the control communication time is a communication time for periodic packets. In the control communication time, communication with little jitter and high real-time characteristics is performed.
  • the normal communication time is a communication time for other packets. During normal communication time, normal data communication using TCP / IP or the like is performed. Specifically, when the communication cycle of the control network 105 is 1 millisecond, the control communication time is 0.5 milliseconds in the first half, and the normal communication time is 0.5 milliseconds in the second half.
  • a state transition packet is communicated.
  • the state transition packet is a packet communicated when the state of the operation system 100 changes.
  • the state transition packet includes a state number indicating the state of the operation system 100 after the state transition.
  • the state transition packet is communicated during the communication time for the communication packet in the communication period including the time at which the state of the operation system 100 transitions in the communication period divided for each communication cycle.
  • the state transition packet 114 is communicated during the normal communication time of period 2.
  • the configuration of the intrusion detection device 200 is the same as that in FIG. 9 of the second embodiment.
  • the state management unit 210 includes a state identification unit 211 and a state transition determination unit 212 as functional components.
  • the storage unit 291 stores operation state data 310, a state transition diagram 330, a plurality of white lists 340, periodic communication data 350, an alert condition table 370, and the like.
  • the configuration of the alert condition table 370 will be described based on FIG.
  • the alert condition table 370 includes alert condition records (371A to 371E).
  • the alert condition record 371A to the alert condition record 371E are collectively referred to as an alert condition record 371.
  • permission / prohibition before state transition, permission / prohibition after state transition, communication interval, and necessity of alert are associated with each other.
  • a hyphen means that there is no communication interval condition.
  • step S301 to step S320 is repeatedly executed while the intrusion detection function of the intrusion detection device 200 is operating.
  • Step S301 is the same as step S101 of FIG. 7 in the first embodiment.
  • Step S302 is a state transition determination process.
  • the state transition determination unit 212 determines whether the communication packet detected in step S301 is a state transition packet. Specifically, a state transition flag indicating that it is a state transition packet is set in the state transition packet. When the state transition flag is set in the communication packet detected in step S301, the state transition determination unit 212 determines that the communication packet detected in step S301 is a state transition packet.
  • the state specifying unit 211 specifies the state of the operation system 100 after the state transition. Specifically, the state specifying unit 211 acquires a state number from the state transition packet. The state identified by the acquired state number is the state of the operation system 100 after the state transition. Thereafter, the process proceeds to step S310. If the communication packet detected in step S301 is not a state transition packet, the process proceeds to step S330.
  • Step S310 is the same as step S120 of FIG. 7 in the first embodiment.
  • Step S320 is the same as step S240 of FIG. 15 in the second embodiment.
  • Step S330 is the same as step S130 of FIG. 7 in the first embodiment.
  • Packets A111, B112, and C113 which are periodic packets, are communicated during the control communication time.
  • the state transition packet 114 is communicated during the normal communication time of period 2. Since it is guaranteed that the state transition packet 114 is communicated during the normal communication time of the period 2, it is possible to change the permission of the periodic packet strictly at the boundary between the period 2 and the period 3.
  • the operation state transitions from state 1 to state 2 between period 2 and period 3. Accordingly, the white list 340 is switched from the white list 1 in FIG. 13 to the white list 2 in FIG. As a result, the packet A111 permitted in the period 1 and the period 2 is not permitted after the period 3. On the other hand, the packet C113 that is not permitted in the period 1 and the period 2 is permitted in the period 3 and later.
  • the record corresponding to the packet A111 is an alert condition record 371B. As shown in the alert condition record 371B, when the packet A111 is detected after the operation state transitions to the state 2, an alert is output. That is, packet A111 is not permitted.
  • the records corresponding to the packet C113 are the alert condition record 371C and the alert condition record 371D.
  • the alert condition record 371C if the packet C113 is detected within the waiting time, no alert is output. That is, the communication of the packet C113C is correctly started.
  • the alert condition record 371D if the packet C113 is not detected within the waiting time, an alert is output. That is, the communication of the packet C113 is not correctly started.
  • Embodiment 3 *** Effects of Embodiment 3 *** It becomes possible to detect unauthorized periodic communication. Specifically, a state transition packet serving as a state transition signal is communicated using highly reliable cyclic communication. Therefore, it is possible to perform state transition at an accurate timing at which periodic communication starts or ends. And in the operation system 100 which takes a fixed operation form like an industrial control system, the effect which can determine more correctly the communication pattern which should be permitted is acquired.
  • the intrusion detection device 200 may be provided independently from the controller 103 as in FIG. 1 of the first embodiment. In that case, the intrusion detection apparatus 200 is connected to the control network 105 in the operation system 100 of FIG.
  • the periodic communication determination process (S320) may be omitted. In that case, the periodic communication determination unit 240, the operation state data 310, the periodic communication data 350, and the alert condition table 370 are unnecessary.
  • the function of the intrusion detection device 200 may be realized by hardware.
  • FIG. 26 shows a configuration when the function of the intrusion detection apparatus 200 is realized by hardware.
  • the intrusion detection apparatus 200 includes a processing circuit 990.
  • the processing circuit 990 is also called a processing circuit.
  • the processing circuit 990 is a dedicated electronic circuit that realizes the functions of “units” such as the state management unit 210, the white list management unit 220, the intrusion detection unit 230, and the periodic communication determination unit 240.
  • the processing circuit 990 is a single circuit, a composite circuit, a programmed processor, a parallel programmed processor, a logic IC, a GA, an ASIC, an FPGA, or a combination thereof.
  • GA is an abbreviation for Gate Array
  • ASIC is an abbreviation for Application Specific Integrated Circuit
  • FPGA is an abbreviation for Field Programmable Gate Array.
  • the intrusion detection device 200 may include a plurality of processing circuits that replace the processing circuit 990.
  • the plurality of processing circuits share the function of “unit”.
  • the function of the intrusion detection device 200 may be realized by a combination of software and hardware. That is, a part of the function of “unit” may be realized by software, and the rest of the function of “unit” may be realized by hardware.
  • the embodiment is an example of a preferred embodiment and is not intended to limit the technical scope of the present invention.
  • the embodiment may be implemented partially or in combination with other embodiments.
  • the procedure described using the flowchart and the like may be changed as appropriate.
  • 100 operation system 101 information system network, 102 monitoring control terminal, 103 controller, 104 maintenance network, 105 control network, 111 packet A, 112 packet B, 113 packet C, 114 state transition packet, 200 intrusion detection device, 210 state management , 211 state identification unit, 212 state transition determination unit, 213 transition pattern determination unit, 220 whitelist management unit, 230 intrusion detection unit, 240 periodic communication determination unit, 241 permission / rejection identification unit, 242 detection interval calculation unit, 243 alert determination Section, 291 storage section, 292 packet detection section, 293 alert output section, 310 operation state data, 320 state transition scenario, 330 state transition diagram, 340 white list, 350 periodic communication data Motor, 360 an alert condition table 361 alert condition record 370 alert condition table 371 alert condition record, 901 a processor, 902 a memory, 903 an auxiliary storage device, 904 communication device, 990 processing circuits.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

状態管理部（２１０）は、運用システムの状態を特定し、特定された状態に基づいて運用システムの状態遷移の有無を判定する。運用システムの状態遷移が有った場合、状態管理部は、状態遷移の遷移パターンを示す状態遷移シナリオを用いて、運用システムの状態遷移が状態遷移シナリオに示される遷移パターンに合致するか判定する。運用システムの状態遷移が遷移パターンに合致しない場合、アラート出力部（２９３）は、アラートを出力する。運用システムの状態遷移が遷移パターンに合致する場合、ホワイトリスト管理部（２２０）は、ホワイトリストを切り替え、侵入検知部（２３０）は、ホワイトリスト型侵入検知を行う。

Description

侵入検知装置および侵入検知プログラム
　本発明は、ホワイトリスト型侵入検知に関するものである。
　近年、産業制御システムに対するサイバー攻撃が増加しており、対策が求められている。ネットワークからのサイバー攻撃を防ぐ技術として、ホワイトリスト型侵入検知技術が知られている。この技術は、許可するパケットをあらかじめホワイトリストと呼ばれるリストに定義し、ホワイトリストに定義されていないパケットを攻撃として検知する技術である。
　産業制御システムは、一般的な情報システムと比較して、運用形態が固定的であり、送受信されるパケットが固定的である。そのため、産業制御システムにおいて、許可するパケットをあらかじめホワイトリストに定義する事が可能であると考えられており、サイバー攻撃対策としてホワイトリスト型侵入検知技術に対する期待が高まっている。
　ホワイトリスト型侵入検知における進入検知の精度はホワイトリストの定義に依存するが、一般的にホワイトリストの定義は容易ではない。
　したがって、ホワイトリストの定義に関する技術が求められる。特に、産業制御システムにおいて、特徴的な周期パケットに対する検知を正確に行うための技術が求められる。
　特許文献１には、検索ルールに一致する周期パケットの前回の受信時からタイムアウト時間を超えた場合に、その検索ルールを無効化する技術が開示されている。このように、周期パケットのタイムアウトを判定する事によって、周期パケットの受信期間が終了した事を判定する事が可能となる。
　非特許文献１では、システムの運用状態によってホワイトリストを切り替える事によって、複雑な攻撃を検知する技術が提案されている。
　たとえば、プログラムをコントローラに書き込むための通信は、システムの保守時にのみ行われ、システムの稼働中は行われない、と考えられる。したがって、プログラム書き込みの通信が保守の状態では許可されて稼働中の状態では許可されないようにホワイトリストを切り替える事で、許可すべきパケットを細かく制御し、複雑な攻撃を検知できる可能性がある。
　この技術を利用して、許可する周期パケットをシステムの運用状態によって変更することで、周期パケットの受信の開始および終了を判定する事が可能となる。
　産業制御システムのように運用が固定的なシステムでは、受信したパケットを許可するかどうかを判定するとともに、受信すべきパケットを確かに受信している事を確認する必要がある。
　しかし、特許文献１に記載の技術では、パケットを継続的に受信している事は判定できるが、パケットの受信がいつ開始されていつ終了されるかといった詳細な判定はできない。また、パケットの受信の開始時または終了時の前後の時間帯において厳密な判定ができない。
　産業制御システムのように運用が固定的なシステムでは、状態遷移パターンも固定的であり、任意の状態遷移が発生しないと考えられる。
　しかし、非特許文献１に記載の技術では、状態遷移図で定められた任意の状態遷移が許されるため、複数回の状態遷移から成る状態遷移パターンがシステムの運用で起こるべき状態遷移パターンに合致しているかどうかは判定されない。
国際公開ＷＯ２０１１／０９６１２７号
山口晃由　他、「産業制御システムにおける侵入検知手法の調査と検討」、ＳＣＩＳ　２０１５、２Ａ４－３、２０１５年
　本発明は、不正な状態遷移を検知できるようにすることを目的とする。
　本発明の侵入検知装置は、
　運用システムの状態を特定する状態特定部と、
　特定された状態に基づいて前記運用システムの状態遷移の有無を判定する状態遷移判定部と、
　前記運用システムの状態遷移が有った場合に、状態遷移の遷移パターンを示す状態遷移シナリオを用いて、前記運用システムの状態遷移が前記状態遷移シナリオに示される遷移パターンに合致するか判定する遷移パターン判定部とを備える。
　本発明によれば、不正な状態遷移を検知することが可能となる。
実施の形態１における運用システム１００の構成図。 実施の形態１における侵入検知装置２００の構成図。 実施の形態１における状態管理部２１０の構成図。 実施の形態１における記憶部２９１の構成図。 実施の形態１における状態遷移シナリオ３２０の構成図。 実施の形態１における状態遷移図３３０。 実施の形態１における侵入検知方法のフローチャート。 実施の形態１における運用システム１００の別の構成を示す図。 実施の形態２における侵入検知装置２００の構成図。 実施の形態２における状態管理部２１０の構成図。 実施の形態２における周期通信判定部２４０の構成図。 実施の形態２における記憶部２９１の構成図。 実施の形態２におけるホワイトリスト３４０を示す図。 実施の形態２におけるアラート条件テーブル３６０の構成図。 実施の形態２における侵入検知方法のフローチャート。 実施の形態２における周期通信判定処理（Ｓ２４０）のフローチャート。 実施の形態２における周期通信の例を示す図。 実施の形態３における運用システム１００の構成図。 実施の形態３における制御ネットワーク１０５の構成図。 実施の形態３における制御ネットワーク１０５の通信周期の構成図。 実施の形態３における周期通信の例を示す図。 実施の形態３における状態管理部２１０の構成図。 実施の形態３における記憶部２９１の構成図。 実施の形態３におけるアラート条件テーブル３７０の構成図。 実施の形態３における侵入検知方法のフローチャート。 実施の形態における侵入検知装置２００のハードウェア構成図。
　実施の形態および図面において、同じ要素または互いに相当する要素には同じ符号を付している。同じ符号が付された要素の説明は適宜に省略または簡略する。
　実施の形態１．
　不正な状態遷移を検出する形態について、図１から図８に基づいて説明する。
＊＊＊構成の説明＊＊＊
　図１に基づいて、運用システム１００の構成を説明する。
　運用システム１００は、侵入検知の対象となるシステムである。具体的には、運用システム１００は、産業制御システムである。産業制御システムは、運用が固定的なシステムである。
　運用システム１００は、監視制御端末１０２と、複数のコントローラ（１０３Ａ、１０３Ｂ）と、侵入検知装置２００と、保守ネットワーク１０４とを備える。複数のコントローラを総称してコントローラ１０３という。
　監視制御端末１０２、コントローラ１０３および侵入検知装置２００は、保守ネットワーク１０４に接続されている。保守ネットワーク１０４は、監視制御端末１０２、コントローラ１０３および侵入検知装置２００が接続するネットワークである。
　監視制御端末１０２は、さらに、情報系ネットワーク１０１に接続されている。情報系ネットワーク１０１は、監視制御端末１０２およびサーバ等が接続するネットワークである。
　監視制御端末１０２は、運用システム１００を制御するコンピュータである。
　コントローラ１０３は、機器を制御するコンピュータである。
　侵入検知装置２００は、運用システム１００への不正なアクセスを検知するコンピュータである。侵入検知装置２００は、保守ネットワーク１０４に後付けされる。
　監視制御端末１０２は、コントローラ１０３から情報を収集し、収集された情報を情報系ネットワーク１０１を介してサーバに送信する。
　図２に基づいて、侵入検知装置２００の構成を説明する。
　侵入検知装置２００は、プロセッサ９０１とメモリ９０２と補助記憶装置９０３と通信装置９０４といったハードウェアを備えるコンピュータである。これらのハードウェアは、信号線を介して互いに接続されている。
　プロセッサ９０１は、プロセッシングを行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）であり、他のハードウェアを制御する。具体的には、プロセッサ９０１は、ＣＰＵ、ＤＳＰまたはＧＰＵである。ＣＰＵはＣｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔの略称であり、ＤＳＰはＤｉｇｉｔａｌ　Ｓｉｇｎａｌ　Ｐｒｏｃｅｓｓｏｒの略称であり、ＧＰＵはＧｒａｐｈｉｃｓ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔの略称である。
　メモリ９０２は揮発性の記憶装置である。メモリ９０２は、主記憶装置またはメインメモリとも呼ばれる。具体的には、メモリ９０２はＲＡＭ（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）である。
　補助記憶装置９０３は不揮発性の記憶装置である。具体的には、補助記憶装置９０３は、ＲＯＭ、ＨＤＤまたはフラッシュメモリである。ＲＯＭはＲｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙの略称であり、ＨＤＤはＨａｒｄ　Ｄｉｓｋ　Ｄｒｉｖｅの略称である。
　プロセッサ９０１とメモリ９０２と補助記憶装置９０３とをまとめたハードウェアを「プロセッシングサーキットリ」という。
　通信装置９０４は、通信を行う装置であり、レシーバとトランスミッタとを備える。具体的には、通信装置９０４は通信チップまたはＮＩＣ（Ｎｅｔｗｏｒｋ　Ｉｎｔｅｒｆａｃｅ　Ｃａｒｄ）である。
　侵入検知装置２００は、状態管理部２１０とホワイトリスト管理部２２０と侵入検知部２３０といった「部」を機能構成の要素として備える。「部」の機能はソフトウェアで実現される。「部」の機能については後述する。
　補助記憶装置９０３には、「部」の機能を実現するプログラムが記憶されている。「部」の機能を実現するプログラムは、メモリ９０２にロードされて、プロセッサ９０１によって実行される。
　さらに、補助記憶装置９０３にはＯＳ（Ｏｐｅｒａｔｉｎｇ　Ｓｙｓｔｅｍ）が記憶されている。ＯＳの少なくとも一部は、メモリ９０２にロードされて、プロセッサ９０１によって実行される。
　つまり、プロセッサ９０１は、ＯＳを実行しながら、「部」の機能を実現するプログラムを実行する。
　「部」の機能を実現するプログラムを実行して得られるデータは、メモリ９０２、補助記憶装置９０３、プロセッサ９０１内のレジスタまたはプロセッサ９０１内のキャッシュメモリといった記憶装置に記憶される。
　メモリ９０２は、侵入検知装置２００で使用、生成、入力、出力、送信または受信されるデータが記憶される記憶部２９１として機能する。但し、他の記憶装置が記憶部２９１として機能してもよい。
　通信装置９０４はデータを通信する通信部として機能する。通信装置９０４において、レシーバはデータを受信する受信部および後述するパケット検出部２９２として機能し、トランスミッタはデータを送信する送信部および後述するアラート出力部２９３として機能する。
　侵入検知装置２００は、プロセッサ９０１を代替する複数のプロセッサを備えてもよい。複数のプロセッサは、「部」の機能を実現するプログラムの実行を分担する。
　「部」の機能を実現するプログラムは、磁気ディスク、光ディスクまたはフラッシュメモリ等の不揮発性の記憶媒体にコンピュータ読み取り可能に記憶することができる。不揮発性の記憶媒体は、一時的でない有形の媒体である。
　「部」は「処理」または「工程」に読み替えてもよい。「部」の機能はファームウェアで実現してもよい。
　図３に基づいて、状態管理部２１０の構成を説明する。
　状態管理部２１０は、状態特定部２１１と状態遷移判定部２１２と遷移パターン判定部２１３とを機能構成の要素として備える。これら要素の機能については後述する。
　図４に基づいて、記憶部２９１の構成を説明する。
　記憶部２９１は、運用状態データ３１０、状態遷移シナリオ３２０、状態遷移図３３０および複数のホワイトリスト３４０等を記憶する。
　ホワイトリスト３４０は、以降に記載されるホワイトリスト１、ホワイトリスト２またはホワイトリスト３などの総称である。
　運用状態データ３１０は、運用システム１００の状態を示す。運用システム１００の状態を運用状態という。
　具体的には、運用状態データ３１０は、状態番号と、順序番号と、パターン番号とを含む。
　状態番号は、運用システム１００の状態を識別する番号である。
　順序番号は、運用システム１００の状態遷移において運用システム１００が状態番号で識別される状態になった順番である。
　パターン番号は、運用システム１００の状態遷移に合致する遷移パターンを識別する番号である。
　状態遷移シナリオ３２０は、予め決められた状態遷移のパターンを示す。状態遷移のパターンを遷移パターンという。
　図５に基づいて、状態遷移シナリオ３２０の構成を説明する。
　行の番号はパターン番号であり、列の番号は順序番号である。
　遷移パターン１は、状態１、状態２、状態１の順番で運用状態が遷移する遷移パターンである。
　遷移パターン２は、状態１、状態３、状態１、状態２の順番で運用状態が遷移する遷移パターンである。
　遷移パターン３は、状態１、状態２、状態３の順番で運用状態が遷移する遷移パターンである。
　図５の状態遷移シナリオ３２０が用いられる場合、図４の運用状態データ３１０の初期値は以下の通りである。
　状態番号の初期値は１である。
　順序番号の初期値は１である。
　パターン番号の初期値は１、２および３である。
　図４に戻り、状態遷移図３３０およびホワイトリスト３４０を説明する。
　状態遷移図３３０は、予め決められた状態遷移を示すデータであり、且つ、運用状態とホワイトリスト３４０とが互いに対応付けられたデータである。
　ホワイトリスト３４０は、運用システム１００で通信されることが許可されるパケットを示すデータである。
　運用システム１００で通信されるパケットを通信パケットという。
　運用システム１００で通信されることが許可されるパケットを許可パケットという。
　運用システム１００で通信されることが許可されないパケットを不可パケットという。
　図６に基づいて、状態遷移図３３０の構成を説明する。
　状態遷移図３３０は、状態１から状態２または状態３への遷移と、状態２から状態１または状態３への遷移と、状態３から状態１への遷移とを示している。
　状態遷移図３３０において、ホワイトリスト１が状態１に対応付けられ、ホワイトリスト２が状態２に対応付けられ、ホワイトリスト３が状態３に対応付けられている。
＊＊＊動作の説明＊＊＊
　侵入検知装置２００の動作は侵入検知方法に相当する。また、侵入検知方法の手順は侵入検知プログラムの手順に相当する。
　図７に基づいて、侵入検知方法を説明する。
　ステップＳ１０１からステップＳ１３０までの処理は、侵入検知装置２００の侵入検知機能が動作している間、繰り返し実行される。
　ステップＳ１０１はパケット検出処理である。
　ステップＳ１０１において、パケット検出部２９２は、通信パケットを検出する。
　具体的には、パケット検出部２９２は、保守ネットワーク１０４に流れる通信パケットを受信する。
　ステップＳ１１１は状態特定処理である。
　ステップＳ１１１において、状態特定部２１１は、運用システム１００の状態を特定する。
　具体的には、状態特定部２１１は、ステップＳ１０１で検出された通信パケットの内容を解析する。そして、状態特定部２１１は、解析結果に基づいて、運用システム１００の状態を識別する状態番号を特定する。
　ステップＳ１１２は状態遷移判定処理である。
　ステップＳ１１２において、状態遷移判定部２１２は、ステップＳ１１１で特定された状態に基づいて、運用システム１００の状態遷移の有無を判定する。
　具体的には、状態遷移判定部２１２は、ステップＳ１１１で特定された状態番号を、運用状態データ３１０に示される状態番号と比較する。そして、状態番号が異なる場合に、状態遷移判定部２１２は、運用システム１００の状態遷移が有ったと判定する。
　運用システム１００の状態遷移が有った場合、状態遷移判定部２１２は、運用状態データ３１０に含まれる状態番号を、ステップＳ１１１で特定された状態番号に更新する。さらに、状態遷移判定部２１２は、運用状態データ３１０に含まれる順序番号に１を加算する。その後、処理はステップＳ１１３に進む。
　運用システム１００の状態遷移が無かった場合、処理はステップＳ１３０に進む。
　ステップＳ１１３は遷移パターン判定処理である。
　ステップＳ１１３において、遷移パターン判定部２１３は、運用システム１００の状態遷移が状態遷移シナリオ３２０に示される遷移パターンに合致するか判定する。
　具体的には、遷移パターン判定部２１３は、以下のように判定を行う。
　遷移パターン判定部２１３は、運用状態データ３１０に含まれるパターン番号毎に、以下の（１）から（４）を実行する。
（１）遷移パターン判定部２１３は、パターン番号で識別される遷移パターンを状態遷移シナリオ３２０から選択する。
（２）遷移パターン判定部２１３は、選択された遷移パターンから、運用状態データ３１０に示される順序番号に対応する状態番号を取得する。
（３）遷移パターン判定部２１３は、取得された状態番号を、運用状態データ３１０に示される状態番号と比較する。
（４）状態番号が一致しない場合、遷移パターン判定部２１３は、パターン番号を運用状態データ３１０から削除する。
　運用状態データ３１０に少なくともいずれかのパターン番号が残った場合、遷移パターン判定部２１３は、運用システム１００の状態遷移が状態遷移シナリオ３２０に示される遷移パターンに合致すると判定する。
　運用システム１００の状態遷移が状態遷移シナリオ３２０に示される遷移パターンに合致する場合、運用システム１００の状態遷移は正しい。
　運用システム１００の状態遷移が正しい場合、処理はステップＳ１２０に進む。
　運用システム１００の状態遷移が正しくない場合、処理はステップＳ１１４に進む。
　図５の状態遷移シナリオ３２０に基づいて、ステップＳ１１３を具体的に説明する。
　まず、最初の運用状態が状態１であるとする。状態遷移シナリオ３２０において、順序番号１の運用状態が状態１である遷移パターンは、遷移パターン１、遷移パターン２および遷移パターン３である。そのため、運用状態データ３１０にはパターン番号１、パターン番号２およびパターン番号３が登録される。
　次に、運用状態が状態２に遷移したものとする。遷移パターン１～３のうち、順序番号２の運用状態が状態２である遷移パターンは、遷移パターン１および遷移パターン３である。遷移パターン２は該当しない。そのため、運用状態データ３１０からパターン番号２が削除される。
　このように、運用システム１００の状態遷移に合致しない遷移パターンのパターン番号が運用状態データ３１０から削除され、運用システム１００の状態遷移に合致する遷移パターンが絞り込まれる。
　ある順序において、運用システム１００の状態遷移に合致する遷移パターンが無くなった場合、運用システム１００の状態遷移は不正である。
　図７に戻り、ステップＳ１１４から説明を続ける。
　ステップＳ１１４はアラート出力処理である。
　ステップＳ１１４において、アラート出力部２９３は、アラートを出力する。このアラートは、不正な状態遷移が発生したことを知らせるメッセージである。
　具体的には、遷移パターン判定部２１３がアラートを含んだ通報パケットを生成し、アラート出力部２９３が通報パケットを監視制御端末１０２に送信する。
　ステップＳ１１４の後、処理はステップＳ１０１に進む。
　ステップＳ１２０はホワイトリスト管理処理である。
　ステップＳ１２０において、ホワイトリスト管理部２２０は、侵入検知処理（Ｓ１３０）で使用するホワイトリスト３４０を、運用システム１００の状態に対応するホワイトリスト３４０に切り替える。
　具体的には、ホワイトリスト管理部２２０は、状態遷移図３３０を用いて、複数のホワイトリスト３４０から、運用システム１００の状態に対応付けられたホワイトリスト３４０を選択する。選択されたホワイトリスト３４０は、以後の侵入検知処理（Ｓ１３０）で使用される。
　図６の状態遷移図３３０において、運用システム１００の状態が状態２である場合、選択されるホワイトリスト３４０はホワイトリスト２である。
　ステップＳ１３０は侵入検知処理である。
　ステップＳ１３０において、侵入検知部２３０は、ホワイトリスト型侵入検知を行う。
　具体的には、侵入検知部２３０は、以下のようにホワイトリスト型侵入検知を行う。
　まず、侵入検知部２３０は、ステップＳ１０１で検出された通信パケットから送信元アドレスおよび宛先アドレスなどの情報を取得する。
　次に、侵入検知部２３０は、取得された情報に基づいて、ステップＳ１０１で検出された通信パケットが、ホワイトリスト３４０に示される許可パケットであるか判定する。
　通信パケットが許可パケットでない場合、侵入検知部２３０は、アラートを含んだ通報パケットを生成する。このアラートは、不可パケットが検出されたことを知らせるメッセージである。そして、アラート出力部２９３は、通報パケットを監視制御端末１０２に送信する。
　ステップＳ１３０の後、処理はステップＳ１０１に進む。
＊＊＊実施の形態１の効果＊＊＊
　不正な状態遷移を検出することが可能となる。
　具体的には、産業制御システムのように固定的な運用形態をとる運用システム１００において、運用システム１００で許可される遷移パターンが登録された状態遷移シナリオ３２０を用いることにより、許可すべき通信パターンをより正確に判定できる効果が得られる。
　図６の状態遷移図３３０では、状態１と状態２とが交互に繰り返される状態遷移は、正しい状態遷移である。
　一方、図５の状態遷移シナリオ３２０では、状態１と状態２とが交互に繰り返される状態遷移は、いずれの遷移パターンにも定義されていないため、不正な状態遷移である。
　つまり、状態遷移シナリオ３２０を用いて不正な状態遷移を検知することにより、状態遷移図３３０を用いて検知することができない不正な状態遷移を検知することが可能となる。
＊＊＊他の構成＊＊＊
　侵入検知装置２００は、保守ネットワーク１０４に接続される機器に内蔵されてもよい。
　図８に示すように、侵入検知装置２００は、コントローラ１０３に内蔵されてもよい。
　侵入検知装置２００は、入力を受け付ける入力装置および画像等を表示するディスプレイを備えてもよい。具体的な入力装置は、キーボードおよびマウスである。
　状態遷移シナリオ３２０に示される遷移パターンは、１つでも複数でもよく、追加、変更または削除されてもよい。
　状態特定部２１１は、通信パケットの内容を解析する以外の方法で、運用システム１００の状態を特定してもよい。
　具体的には、状態特定部２１１は、運用システム１００の状態を監視制御端末１０２に問い合わせてもよい。
　状態遷移図３３０は、運用状態とホワイトリストとが互いに対応付けられたデータであれば、他の形式のデータに置き換えてもよい。
　具体的には、運用状態とホワイトリストとが互いに対応付けられたテーブル形式のデータが、状態遷移図３３０の代わりに用いられてもよい。
　アラートは、アラートを含んだ通報パケットを送信する以外の方法で出力されてもよい。
　具体的には、アラートは、ディスプレイに表示されてもよいし、音声で出力されてもよい。
　実施の形態２．
　不正な周期通信を検知する形態について、主に実施の形態１と異なる点を、図９から図１７に基づいて説明する。
＊＊＊構成の説明＊＊＊
　運用システム１００の構成は、実施の形態１と同じである。
　図９に基づいて、侵入検知装置２００の構成を説明する。
　侵入検知装置２００は、状態管理部２１０とホワイトリスト管理部２２０と侵入検知部２３０と周期通信判定部２４０とを機能構成の要素として備える。
　図１０に基づいて、状態管理部２１０の構成を説明する。
　状態管理部２１０は、状態特定部２１１と状態遷移判定部２１２とを機能構成の要素として備える。
　図１１に基づいて、周期通信判定部２４０の構成を説明する。
　周期通信判定部２４０は、許否特定部２４１と検出間隔算出部２４２とアラート判定部２４３とを機能構成の要素として備える。
　図１２に基づいて、記憶部２９１の構成を説明する。
　記憶部２９１は、運用状態データ３１０、状態遷移図３３０、複数のホワイトリスト３４０、周期通信データ３５０およびアラート条件テーブル３６０等を記憶する。
　運用状態データ３１０は、状態番号と、遷移時刻とを含む。
　状態番号は、実施の形態１で説明した通りである。
　遷移時刻は、運用システム１００の状態が状態番号で識別される状態に遷移した時刻である。
　状態遷移図３３０は、実施の形態１で説明した通りである。
　図１３に基づいて、ホワイトリスト１およびホワイトリスト２の具体例を説明する。
　ホワイトリスト１は、状態１に対応付けられたホワイトリスト３４０である。
　ホワイトリスト１において、パケットＡおよびパケットＢは許可パケットであり、パケットＣは不可パケットである。
　ホワイトリスト２は、状態２に対応付けられたホワイトリスト３４０である。
　ホワイトリスト２において、パケットＢおよびパケットＣは許可パケットであり、パケットＡは不可パケットである。
　つまり、運用システム１００の状態が状態１から状態２に遷移した場合、許可パケットであったパケットＡは不可パケットになり、不可パケットであったパケットＣは許可パケットになる。
　図１２に戻り、周期通信データ３５０を説明する。
　周期通信データ３５０は、周期パケットの通信状況を示す。
　周期パケットは、定期的に通信される通信パケットである。周期パケットは通信周期毎に通信される。通信周期が１分である場合、周期パケットは１分毎に通信される。
　具体的には、周期通信データ３５０は、周期パケットの種類毎に通信周期と前回時刻とを含む。前回時刻は、周期パケットが前回検出された時刻である。前回時刻の初期値は、未検出を示す値である。
　図１４に基づいて、アラート条件テーブル３６０の構成を説明する。
　アラート条件テーブル３６０は、アラート条件レコード（３６１Ａ～３６１Ｇ）を含んでいる。アラート条件レコード３６１Ａからアラート条件レコード３６１Ｇを総称してアラート条件レコード３６１という。
　アラート条件レコード３６１には、状態遷移前の許否と、状態遷移後の許否と、通信間隔と、アラートの要否とが互いに対応付けられる。
　通信間隔の欄において、ハイフンは通信間隔の条件が無いことを意味する。
＊＊＊動作の説明＊＊＊
　図１５に基づいて、侵入検知方法を説明する。
　ステップＳ２０１からステップＳ２５０までの処理は、侵入検知装置２００の侵入検知機能が動作している間、繰り返し実行される。
　ステップＳ２０１からステップＳ２１２は、実施の形態１における図７のステップＳ１０１からステップＳ１１２と同じである。
　運用システム１００の状態遷移が有った場合、状態遷移判定部２１２は、運用状態データ３１０に含まれる状態番号を、ステップＳ２１１で特定された状態番号に更新する。さらに、状態遷移判定部２１２は、運用状態データ３１０に含まれる遷移時刻を更新する。具体的には、状態遷移判定部２１２は、現在時刻またはステップＳ２０１で通信パケットが検出された時刻に遷移時刻を更新する。その後、処理はステップＳ２２０に進む。
　運用システム１００の状態遷移が無かった場合、処理はステップＳ２５０に進む。
　ステップＳ２２０は、実施の形態１における図７のステップＳ１２０と同じである。
　ステップＳ２２０の後、処理はステップＳ２３０に進む。
　ステップＳ２３０において、周期通信判定部２４０は、ステップＳ２０１で検出された通信パケットが周期パケットであるか判定する。
　具体的には、周期パケットには、周期パケットであることを示す周期フラグが設定される。ステップＳ２０１で検出された通信パケットに周期フラグが設定されている場合、周期通信判定部２４０は、ステップＳ２０１で検出された通信パケットが周期パケットであると判定する。
　ステップＳ２０１で検出された通信パケットが周期パケットである場合、処理はステップＳ２４０に進む。
　ステップＳ２０１で検出された通信パケットが周期パケットでない場合、処理はステップＳ２５０に進む。
　ステップＳ２４０は周期通信判定処理である。
　ステップＳ２４０において、周期通信判定部２４０は、周期通信判定処理を行う。
　周期通信判定処理（Ｓ２４０）については後述する。
　ステップＳ２４０の後、処理はステップＳ２０１に進む。
　ステップＳ２５０は、実施の形態１における図７のステップＳ１３０と同じである。
　ステップＳ２５０の後、処理はステップＳ２０１に進む。
　図１６に基づいて、周期通信判定処理（Ｓ２４０）を説明する。
　ステップＳ２４１－１およびステップＳ２４１－２は許否特定処理である。
　ステップＳ２４１－１において、許否特定部２４１は、状態遷移前の状態に対応付けられたホワイトリスト３４０を用いて、状態遷移前の周期パケットの許否を特定する。
　状態遷移前の状態とは、運用システム１００の前回の状態である。
　状態遷移前の状態に対応付けられたホワイトリスト３４０とは、ステップＳ２２０で切り替えられる前のホワイトリスト３４０である。このホワイトリスト３４０を状態遷移前のホワイトリスト３４０という。
　状態遷移前の周期パケットの許否とは、状態遷移前のホワイトリスト３４０を用いて特定される周期パケットの許否である。
　具体的には、許否特定部２４１は、以下のように周期パケットの許否を特定する。
　まず、許否特定部２４１は、ステップＳ２０１で検出された周期パケットから送信元アドレスおよび宛先アドレスなどの情報を取得する。
　そして、許否特定部２４１は、取得された情報に基づいて、ステップＳ２０１で検出された周期パケットが、ホワイトリスト３４０に示される許可パケットであるか判定する。
　図１３において、状態遷移前のホワイトリスト３４０がホワイトリスト１であり、検出された周期パケットがパケットＡである場合、状態遷移前の周期パケットは、許可パケットである。
　図１３において、状態遷移前のホワイトリスト３４０がホワイトリスト１であり、検出された周期パケットがパケットＣである場合、状態遷移前の周期パケットは、不可パケットである。
　図１６に戻り、ステップＳ２４１－２を説明する。
　ステップＳ２４１－２において、許否特定部２４１は、状態遷移後の状態に対応付けられたホワイトリスト３４０を用いて、状態遷移後の周期パケットの許否を特定する。
　状態遷移後の状態とは、運用システム１００の現在の状態である。
　状態遷移後の状態に対応付けられたホワイトリスト３４０とは、ステップＳ２２０で切り替えられた後のホワイトリスト３４０である。このホワイトリスト３４０を状態遷移後のホワイトリスト３４０という。
　状態遷移後の周期パケットの許否とは、状態遷移後のホワイトリスト３４０を用いて特定される周期パケットの許否である。
　周期パケットの許否を特定する方法は、ステップＳ２４１－１と同じである。
　図１３において、状態遷移後のホワイトリスト３４０がホワイトリスト２であり、検出された周期パケットがパケットＡである場合、状態遷移後の周期パケットは、不可パケットである。
　図１３において、状態遷移後のホワイトリスト３４０がホワイトリスト２であり、検出された周期パケットがパケットＣである場合、状態遷移後の周期パケットは、許可パケットである。
　図１６に戻り、ステップＳ２４２から説明を続ける。
　ステップＳ２４２は検出間隔算出処理である。
　ステップＳ２４２において、検出間隔算出部２４２は、周期パケットが検出された検出間隔を算出する。
　検出間隔は、今回検出された周期パケットと同じ種類の周期パケットが前回検出された時刻から、周期パケットが今回検出された時刻までの時間である。
　但し、周期パケットが初めて検出された場合、検出間隔算出部２４２は、運用システム１００の状態が周期パケットが検出されたときの状態になった時刻から経過した時間を、検出間隔として算出する。
　具体的には、周期通信判定部２４０は、以下のように検出間隔を算出する。
　まず、周期通信判定部２４０は、周期パケットから送信元アドレスおよび宛先アドレスなどの情報を取得し、取得された情報に基づいて周期パケットの種類を特定する。
　次に、周期通信判定部２４０は、周期通信データ３５０から、特定された種類の前回時刻を取得する。
　取得された前回時刻が未検出を示す値でない場合、周期通信判定部２４０は、取得された前回時刻から今回時刻までの時間を算出する。算出される時間が検出間隔である。具体的には、今回時刻は、現在時刻またはステップＳ２０１で周期パケットが検出された時刻である。
　取得された前回時刻が未検出を示す値である場合、周期通信判定部２４０は、運用状態データ３１０から遷移時刻を取得し、取得された遷移時刻から今回時刻までの時間を算出する。算出される時間が検出間隔である。
　ステップＳ２４３はアラート判定処理である。
　ステップＳ２４３において、アラート判定部２４３は、アラート条件テーブル３６０と、状態遷移前の周期パケットの許否と、状態遷移後の周期パケットの許否と、周期パケットの検出間隔とに基づいて、アラートの要否を判定する。
　具体的には、アラート判定部２４３は、以下のようにアラートの要否を判定する。
　まず、アラート判定部２４３は、ステップＳ２４１－１で特定された許否と、ステップＳ２４１－２で特定された許否と、ステップＳ２４２で算出された検出間隔とに対応するアラート条件レコード３６１をアラート条件テーブル３６０から選択する。
　そして、アラート判定部２４３は、選択されたアラート条件レコード３６１に含まれるアラートの要否を参照する。
　ステップＳ２４１－１で特定された許否が許可であり、ステップＳ２４１－２で特定された許否が許可である場合、図１４のアラート条件テーブル３６０から、アラート条件レコード３６１Ａが選択される。この場合、アラートが不要である。
　ステップＳ２４１－１で特定された許否が許可であり、ステップＳ２４１－２で特定された許否が不可であり、ステップＳ２４２で算出された検出間隔が通信周期より短い場合、図１４のアラート条件テーブル３６０から、アラート条件レコード３６１Ｂが選択される。この場合、アラートが必要である。
　ステップＳ２４１－１で特定された許否が許可であり、ステップＳ２４１－２で特定された許否が不可であり、ステップＳ２４２で算出された検出間隔が通信周期以上である場合、図１４のアラート条件テーブル３６０から、アラート条件レコード３６１Ｃまたはアラート条件レコード３６１Ｄが選択される。この場合、アラートが不要である。
　検出間隔と比較される通信周期は、周期通信データ３５０に含まれる通信周期のうち、周期パケットの種類に対応する通信周期である。
　ステップＳ２４１－１で特定された許否が不可であり、ステップＳ２４１－２で特定された許否が許可であり、ステップＳ２４２で算出された検出間隔が待機時間以下である場合、図１４のアラート条件テーブル３６０から、アラート条件レコード３６１Ｅが選択される。この場合、アラートが不要である。
　ステップＳ２４１－１で特定された許否が不可であり、ステップＳ２４１－２で特定された許否が許可であり、ステップＳ２４２で算出された検出間隔が待機時間より長い場合、図１４のアラート条件テーブル３６０から、アラート条件レコード３６１Ｆが選択される。この場合、アラートが必要である。
　待機時間は、予め決められた時間である。待機時間は、通信周期より短い。
　ステップＳ２４１－１で特定された許否が不可であり、ステップＳ２４１－２で特定された許否が不可である場合、図１４のアラート条件テーブル３６０から、アラート条件レコード３６１Ｇが選択される。この場合、アラートが必要である。
　アラートが必要である場合、処理はステップＳ２４４に進む。
　アラートが不要である場合、処理は終了する。
　ステップＳ２４４はアラート出力処理である。
　ステップＳ２４４において、アラート出力部２９３は、アラートを出力する。このアラートは、正しく周期通信が行われていないことを知らせるメッセージである。
　具体的には、アラート判定部２４３がアラートを含んだ通報パケットを生成し、アラート出力部２９３が通報パケットを監視制御端末１０２に送信する。
　ステップＳ２４４の後、処理は終了する。
　図１７に基づいて、侵入検知方法を具体的に説明する。
　第１種類の周期パケットをパケットＡ１１１といい、第２種類の周期パケットをパケットＢ１１２といい、第３種類の周期パケットをパケットＣ１１３という。周期パケットの通信周期は同じである。
　パケットＡ１１１、パケットＢ１１２およびパケットＣ１１３の通信周期毎に区切られた通信期間を期間１、期間２、期間３および期間４という。
　運用状態は期間２と期間３との間で状態１から状態２に遷移する。
　これに伴い、ホワイトリスト３４０は、図１３のホワイトリスト１から図１３のホワイトリスト２に切り替えられる。
　その結果、期間１および期間２で許可されていたパケットＡ１１１は期間３以降で許可されなくなる。一方、期間１および期間２で許可されなかったパケットＣ１１３は期間３以降で許可される。
　運用状態が状態２に遷移した結果、パケットＡ１１１が許可されなくなるが、状態遷移の直後においては、パケットＡ１１１が本当に許可すべきでない周期パケットであるか曖昧な場合がある。
　そのような場合について、図１４のアラート条件テーブル３６０に予め定義される。
　図１４のアラート条件テーブル３６０において、パケットＡ１１１に該当するレコードは、アラート条件レコード３６１Ｂからアラート条件レコード３６１Ｄである。
　アラート条件レコード３６１Ｂに示すように、パケットＡ１１１が通信周期より短い通信間隔で検出された場合、アラートが出力される。つまり、パケットＡ１１１は許可されない。
　アラート条件レコード３６１Ｃに示すように、パケットＡ１１１が通信周期通りに検出された場合、アラートは出力されない。つまり、パケットＡ１１１は許可される。
　アラート条件レコード３６１Ｄに示すように、パケットＡ１１１が通信周期より長い通信間隔で検出された場合、アラートは出力されない。つまり、パケットＡ１１１は許可される。
　一方、状態遷移後に許可されるパケットＣ１１３に関しては、状態遷移後に通信が開始される必要がある。
　図１４のアラート条件テーブル３６０において、パケットＣ１１３に該当するレコードは、アラート条件レコード３６１Ｅおよびアラート条件レコード３６１Ｆである。
　アラート条件レコード３６１Ｅに示すように、パケットＣ１１３が待機時間以内に検出された場合、アラートは出力されない。つまり、パケットＣ１１３Ｃの通信は正しく開始されている。
　アラート条件レコード３６１Ｆに示すように、パケットＣ１１３が待機時間以内に検出されなかった場合、アラートが出力される。つまり、パケットＣ１１３の通信は正しく開始されていない。
　図１７において、パケットＣ１１３は期間３に検出されなかったため、パケットＣ１１３の通信は正しく開始されておらず、アラートが出力される。
＊＊＊実施の形態２の効果＊＊＊
　不正な周期通信を検知することが可能となる。
　具体的には、状態遷移の境界で通信が開始もしくは終了される周期パケットに関しては、通常よりも詳細な判定が行われる。そのため、産業制御システムのように固定的な運用形態をとる運用システム１００において、許可すべき通信パターンをより正確に判定できる効果が得られる。
＊＊＊他の構成＊＊＊
　実施の形態２におけるアラート条件テーブル３６０は、図１４のアラート条件テーブル３６０に限られるものではない。
　実施の形態３．
　状態遷移パケットが用いられる形態について、主に実施の形態１および実施の形態２と異なる点を、図１８から図２５に基づいて説明する。
＊＊＊構成の説明＊＊＊
　図１８に基づいて、運用システム１００の構成を説明する。
　運用システム１００は、制御ネットワーク１０５を備える。
　制御ネットワーク１０５は、運用システム１００の制御に必要なリアルタイム性が保証された高速且つ高信頼なネットワークである。
　監視制御端末１０２およびコントローラ１０３は、制御ネットワーク１０５にも接続される。
　図１９、図２０および図２１に基づいて、制御ネットワーク１０５の構成を説明する。
　図１９において、制御ネットワーク１０５は、制御通信帯域と通常通信帯域とを有する。
　制御通信帯域は、制御パケット用の通信帯域である。制御パケットは、運用システム１００を制御するために通信される通信パケットである。制御パケットには、周期パケットが含まれる。制御通信帯域では、リアルタイム性が保証されている。
　通常通信帯域は、他のパケット用の通信帯域である。他のパケットは、制御パケット以外の通信パケットである。通常通信帯域では、ＴＣＰ／ＩＰ等を用いた通常のデータ通信が行われる。ＴＣＰはＴｒａｎｓｍｉｓｓｉｏｎ　Ｃｏｎｔｒｏｌ　Ｐｒｏｔｏｃｏｌの略称であり、ＩＰはＩｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌの略称である。
　図２０において、制御ネットワーク１０５は、制御通信時間と通常通信時間とを含んだ通信周期を有する。
　制御通信時間は、周期パケット用の通信時間である。制御通信時間には、ジッタが少なくリアルタイム性が高い通信が行われる。
　通常通信時間は、他のパケット用の通信時間である。通常通信時間には、ＴＣＰ／ＩＰ等を用いた通常のデータ通信が行われる。
　具体的には、制御ネットワーク１０５の通信周期が１ミリ秒である場合、制御通信時間は前半の０．５ミリ秒であり、通常通信時間は後半の０．５ミリ秒である。
　制御ネットワーク１０５において、状態遷移パケットが通信される。
　状態遷移パケットは、運用システム１００の状態が遷移するときに通信されるパケットである。
　状態遷移パケットには、状態遷移後の運用システム１００の状態を示す状態番号が含まれる。
　状態遷移パケットは、通信周期毎に区切られた通信期間のうちの運用システム１００の状態が遷移する時刻を含んだ通信期間において、通信パケット用の通信時間に通信される。
　図２１において、状態遷移パケット１１４は、期間２の通常通信時間に通信されている。
　侵入検知装置２００の構成は、実施の形態２の図９と同じである。
　図２２に基づいて、状態管理部２１０の構成を説明する。
　状態管理部２１０は、状態特定部２１１と状態遷移判定部２１２とを機能構成の要素として備える。
　図２３に基づいて、記憶部２９１の構成を説明する。
　記憶部２９１は、運用状態データ３１０、状態遷移図３３０、複数のホワイトリスト３４０、周期通信データ３５０およびアラート条件テーブル３７０等を記憶する。
　図２４に基づいて、アラート条件テーブル３７０の構成を説明する。
　アラート条件テーブル３７０は、アラート条件レコード（３７１Ａ～３７１Ｅ）を含んでいる。アラート条件レコード３７１Ａからアラート条件レコード３７１Ｅを総称してアラート条件レコード３７１という。
　アラート条件レコード３７１には、状態遷移前の許否と、状態遷移後の許否と、通信間隔と、アラートの要否とが互いに対応付けられる。
　通信間隔の欄において、ハイフンは通信間隔の条件が無いことを意味する。
＊＊＊動作の説明＊＊＊
　図２５に基づいて、侵入検知方法を説明する。
　ステップＳ３０１からステップＳ３２０までの処理は、侵入検知装置２００の侵入検知機能が動作している間、繰り返し実行される。
　ステップＳ３０１は、実施の形態１における図７のステップＳ１０１と同じである。
　ステップＳ３０２は状態遷移判定処理である。
　ステップＳ３０２において、状態遷移判定部２１２は、ステップＳ３０１で検出された通信パケットが状態遷移パケットであるか判定する。
　具体的には、状態遷移パケットには、状態遷移パケットであることを示す状態遷移フラグが設定される。ステップＳ３０１で検出された通信パケットに状態遷移フラグが設定されている場合、状態遷移判定部２１２は、ステップＳ３０１で検出された通信パケットが状態遷移パケットであると判定する。
　ステップＳ３０１で検出された通信パケットが状態遷移パケットである場合、状態特定部２１１は、状態遷移後の運用システム１００の状態を特定する。具体的には、状態特定部２１１は、状態遷移パケットから状態番号を取得する。取得される状態番号で識別される状態が状態遷移後の運用システム１００の状態である。その後、処理はステップＳ３１０に進む。
　ステップＳ３０１で検出された通信パケットが状態遷移パケットでない場合、処理はステップＳ３３０に進む。
　ステップＳ３１０は、実施の形態１における図７のステップＳ１２０と同じである。
　ステップＳ３２０は、実施の形態２における図１５のステップＳ２４０と同じである。
　ステップＳ３３０は、実施の形態１における図７のステップＳ１３０と同じである。
　図２１に基づいて、侵入検知方法を具体的に説明する。
　周期パケットであるパケットＡ１１１、パケットＢ１１２およびパケットＣ１１３は、制御通信時間に通信される。
　状態遷移パケット１１４は、期間２の通常通信時間に通信される。
　状態遷移パケット１１４が期間２の通常通信時間に通信されることが保証されるため、期間２と期間３との境界で厳密に周期パケットの許否を変更することができる。
　運用状態は期間２と期間３との間で状態１から状態２に遷移する。
　これに伴い、ホワイトリスト３４０は、図１３のホワイトリスト１から図１３のホワイトリスト２に切り替えられる。
　その結果、期間１および期間２で許可されていたパケットＡ１１１は期間３以降で許可されなくなる。一方、期間１および期間２で許可されなかったパケットＣ１１３は期間３以降で許可される。
　図２４のアラート条件テーブル３７０において、パケットＡ１１１に該当するレコードは、アラート条件レコード３７１Ｂである。
　アラート条件レコード３７１Ｂに示すように、運用状態が状態２に遷移した後にパケットＡ１１１が検出された場合、アラートが出力される。つまり、パケットＡ１１１は許可されない。
　図２４のアラート条件テーブル３７０において、パケットＣ１１３に該当するレコードは、アラート条件レコード３７１Ｃおよびアラート条件レコード３７１Ｄである。
　アラート条件レコード３７１Ｃに示すように、パケットＣ１１３が待機時間以内に検出された場合、アラートは出力されない。つまり、パケットＣ１１３Ｃの通信は正しく開始されている。
　アラート条件レコード３７１Ｄに示すように、パケットＣ１１３が待機時間以内に検出されなかった場合、アラートが出力される。つまり、パケットＣ１１３の通信は正しく開始されていない。
＊＊＊実施の形態３の効果＊＊＊
　不正な周期通信を検知することが可能となる。
　具体的には、高信頼のサイクリック通信を利用して状態遷移の合図となる状態遷移パケットが通信される。そのため、周期通信が開始もしくは終了する正確なタイミングで状態遷移を行うことが可能となる。そして、産業制御システムのように固定的な運用形態をとる運用システム１００において、許可すべき通信パターンをより正確に判定できる効果が得られる。
＊＊＊他の構成＊＊＊
　図１８の運用システム１００において、侵入検知装置２００は、実施の形態１の図１と同じく、コントローラ１０３から独立して設けられてもよい。その場合、侵入検知装置２００は、図１８の運用システム１００において、制御ネットワーク１０５に接続される。
　図２５の侵入検知方法において、周期通信判定処理（Ｓ３２０）を省略してもよい。その場合、周期通信判定部２４０、運用状態データ３１０、周期通信データ３５０およびアラート条件テーブル３７０は、不要である。
＊＊＊実施の形態の補足＊＊＊
　実施の形態において、侵入検知装置２００の機能はハードウェアで実現してもよい。
　図２６に、侵入検知装置２００の機能がハードウェアで実現される場合の構成を示す。
　侵入検知装置２００は処理回路９９０を備える。処理回路９９０はプロセッシングサーキットリともいう。
　処理回路９９０は、状態管理部２１０とホワイトリスト管理部２２０と侵入検知部２３０と周期通信判定部２４０といった「部」の機能を実現する専用の電子回路である。
　具体的には、処理回路９９０は、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ロジックＩＣ、ＧＡ、ＡＳＩＣ、ＦＰＧＡまたはこれらの組み合わせである。ＧＡはＧａｔｅ　Ａｒｒａｙの略称であり、ＡＳＩＣはＡｐｐｌｉｃａｔｉｏｎ　Ｓｐｅｃｉｆｉｃ　Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔの略称であり、ＦＰＧＡはＦｉｅｌｄ　Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙの略称である。
　侵入検知装置２００は、処理回路９９０を代替する複数の処理回路を備えてもよい。複数の処理回路は、「部」の機能を分担する。
　侵入検知装置２００の機能は、ソフトウェアとハードウェアとの組み合わせで実現してもよい。つまり、「部」の機能の一部をソフトウェアで実現し、「部」の機能の残りをハードウェアで実現してもよい。
　実施の形態は、好ましい形態の例示であり、本発明の技術的範囲を制限することを意図するものではない。実施の形態は、部分的に実施してもよいし、他の形態と組み合わせて実施してもよい。フローチャート等を用いて説明した手順は、適宜に変更してもよい。
　１００　運用システム、１０１　情報系ネットワーク、１０２　監視制御端末、１０３　コントローラ、１０４　保守ネットワーク、１０５　制御ネットワーク、１１１　パケットＡ、１１２　パケットＢ、１１３　パケットＣ、１１４　状態遷移パケット、２００　侵入検知装置、２１０　状態管理部、２１１　状態特定部、２１２　状態遷移判定部、２１３　遷移パターン判定部、２２０　ホワイトリスト管理部、２３０　侵入検知部、２４０　周期通信判定部、２４１　許否特定部、２４２　検出間隔算出部、２４３　アラート判定部、２９１　記憶部、２９２　パケット検出部、２９３　アラート出力部、３１０　運用状態データ、３２０　状態遷移シナリオ、３３０　状態遷移図、３４０　ホワイトリスト、３５０　周期通信データ、３６０　アラート条件テーブル、３６１　アラート条件レコード、３７０　アラート条件テーブル、３７１　アラート条件レコード、９０１　プロセッサ、９０２　メモリ、９０３　補助記憶装置、９０４　通信装置、９９０　処理回路。

Claims (14)

  1. 　運用システムの状態を特定する状態特定部と、
    　特定された状態に基づいて前記運用システムの状態遷移の有無を判定する状態遷移判定部と、
    　前記運用システムの状態遷移が有った場合に、状態遷移の遷移パターンを示す状態遷移シナリオを用いて、前記運用システムの状態遷移が前記状態遷移シナリオに示される遷移パターンに合致するか判定する遷移パターン判定部と
    を備える侵入検知装置。
  2. 　前記運用システムの状態遷移が前記遷移パターンに合致しない場合にアラートを出力するアラート出力部を備える
    請求項１に記載の侵入検知装置。
  3. 　前記運用システムの状態遷移が前記遷移パターンに合致する場合にホワイトリスト型侵入検知を行う侵入検知部を備える
    請求項１または請求項２に記載の侵入検知装置。
  4. 　前記侵入検知装置は、前記運用システムの状態遷移が前記遷移パターンに合致する場合に、運用状態に対応付けられた複数のホワイトリストから、前記運用システムの状態に対応付けられたホワイトリストを選択するホワイトリスト管理部を備え、
    　前記侵入検知部は、選択されたホワイトリストを用いて、ホワイトリスト型侵入検知を行う
    請求項３に記載の侵入検知装置。
  5. 　運用システムの状態を特定する状態特定処理と、
    　特定された状態に基づいて前記運用システムの状態遷移の有無を判定する状態遷移判定処理と、
    　前記運用システムの状態遷移が有った場合に、状態遷移の遷移パターンを示す状態遷移シナリオを用いて、前記運用システムの状態遷移が前記状態遷移シナリオに示される遷移パターンに合致するか判定する遷移パターン判定処理と
    をコンピュータに実行させるための侵入検知プログラム。
  6. 　運用システムで通信される周期パケットを検出するパケット検出部と、
    　前記周期パケットが検出された検出間隔を算出する検出間隔算出部と、
    　前記運用システムの状態を特定する状態特定部と、
    　特定された状態に基づいて前記運用システムの状態遷移の有無を判定する状態遷移判定部と、
    　運用状態に対応付けられた複数のホワイトリストから、前記運用システムの状態に対応付けられたホワイトリストを選択するホワイトリスト管理部と、
    　前記運用システムの状態遷移が有った場合に、状態遷移前の状態に対応付けられたホワイトリストと状態遷移後の状態に対応付けられたホワイトリストとを用いて、状態遷移前の前記周期パケットの許否と状態遷移後の前記周期パケットの許否とを特定する許否特定部と、
    　状態遷移前の許否と状態遷移後の許否と通信間隔とアラートの要否とが互いに対応付けられたアラート条件テーブルと、状態遷移前の前記周期パケットの許否と、状態遷移後の前記周期パケットの許否と、前記周期パケットの前記検出間隔とに基づいて、アラートの要否を判定するアラート判定部と
    を備える侵入検知装置。
  7. 　前記検出間隔算出部は、前記周期パケットが初めて検出された場合、前記運用システムの状態が前記周期パケットが検出されたときの状態になった時刻から経過した時間を前記検出間隔として算出する
    請求項６に記載の侵入検知装置。
  8. 　前記運用システムの状態遷移が無かった場合に、前記運用システムの状態に対応付けられたホワイトリストを用いて、ホワイトリスト型侵入検知を行う侵入検知部を備える
    請求項６または請求項７に記載の侵入検知装置。
  9. 　運用システムで通信される周期パケットを検出するパケット検出処理と、
    　前記周期パケットが検出された検出間隔を算出する検出間隔算出処理と、
    　前記運用システムの状態を特定する状態特定処理と、
    　特定された状態に基づいて前記運用システムの状態遷移の有無を判定する状態遷移判定処理と、
    　運用状態に対応付けられた複数のホワイトリストから、前記運用システムの状態に対応付けられたホワイトリストを選択するホワイトリスト管理処理と、
    　前記運用システムの状態遷移が有った場合に、状態遷移前の状態に対応付けられたホワイトリストと状態遷移後の状態に対応付けられたホワイトリストとを用いて、状態遷移前の前記周期パケットの許否と状態遷移後の前記周期パケットの許否とを特定する許否特定処理と、
    　状態遷移前の許否と状態遷移後の許否と通信間隔とアラートの要否とが互いに対応付けられたアラート条件テーブルと、状態遷移前の前記周期パケットの許否と、状態遷移後の前記周期パケットの許否と、前記周期パケットの前記検出間隔とに基づいて、アラートの要否を判定するアラート判定処理と
    をコンピュータに実行させるための侵入検知プログラム。
  10. 　運用システムの状態が遷移するときに通信される状態遷移パケットを検出するパケット検出部と、
    　前記状態遷移パケットが検出された場合に、運用状態に対応付けられた複数のホワイトリストから、状態遷移後の状態に対応付けられたホワイトリストを選択するホワイトリスト管理部と
    を備える侵入検知装置。
  11. 　前記運用システムは、周期パケット用の通信時間と他のパケット用の通信時間とを含んだ通信周期を有するネットワークを備え、
    　前記状態遷移パケットは、前記通信周期毎に区切られた通信期間のうちの前記運用システムの状態が遷移する時刻を含んだ通信期間において他のパケット用の通信時間に通信される
    請求項１０に記載の侵入検知装置。
  12. 　前記ネットワークは、周期パケット用の通信帯域と他のパケット用の通信帯域とを有する
    請求項１１に記載の侵入検知装置。
  13. 　前記パケット検出部は、前記運用システムで通信される周期パケットを検出し、
    　前記侵入検知装置は、
    　前記周期パケットが検出された検出間隔を算出する検出間隔算出部と、
    　前記状態遷移パケットが検出された場合に、状態遷移前の状態に対応付けられたホワイトリストと状態遷移後の状態に対応付けられたホワイトリストとを用いて、状態遷移前の前記周期パケットの許否と状態遷移後の前記周期パケットの許否とを特定する許否特定部と、
    　状態遷移前の許否と状態遷移後の許否と通信間隔とアラートの要否とが互いに対応付けられたアラート条件テーブルと、状態遷移前の前記周期パケットの許否と、状態遷移後の前記周期パケットの許否と、前記周期パケットの前記検出間隔とに基づいて、アラートの要否を判定するアラート判定部とを備える
    請求項１０から請求項１２のいずれか１項に記載の侵入検知装置。
  14. 　運用システムの状態が遷移するときに通信される状態遷移パケットを検出するパケット検出処理と、
    　前記状態遷移パケットが検出された場合に、運用状態に対応付けられた複数のホワイトリストから、状態遷移後の状態に対応付けられたホワイトリストを選択するホワイトリスト管理処理と
    をコンピュータに実行させるための侵入検知プログラム。
PCT/JP2016/068666 2016-06-23 2016-06-23 侵入検知装置および侵入検知プログラム WO2017221373A1 (ja)

Priority Applications (7)

Application Number Priority Date Filing Date Title
PCT/JP2016/068666 WO2017221373A1 (ja) 2016-06-23 2016-06-23 侵入検知装置および侵入検知プログラム
US16/095,623 US20190141059A1 (en) 2016-06-23 2016-06-23 Intrusion detection apparatus and computer readable medium
JP2018523229A JP6400255B2 (ja) 2016-06-23 2016-06-23 侵入検知装置および侵入検知プログラム
CN201680086845.4A CN109313686A (zh) 2016-06-23 2016-06-23 入侵检测装置和入侵检测程序
EP16906290.8A EP3460701A4 (en) 2016-06-23 2016-06-23 IMPACT DETECTOR AND IMPACT DETECTION PROGRAM
KR1020187036646A KR101972295B1 (ko) 2016-06-23 2016-06-23 침입 검지 장치 및 기억 매체에 저장된 침입 검지 프로그램
TW105126045A TWI636374B (zh) 2016-06-23 2016-08-16 Intrusion detection device and intrusion detection program product

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2016/068666 WO2017221373A1 (ja) 2016-06-23 2016-06-23 侵入検知装置および侵入検知プログラム

Publications (1)

Publication Number Publication Date
WO2017221373A1 true WO2017221373A1 (ja) 2017-12-28

Family

ID=60784447

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2016/068666 WO2017221373A1 (ja) 2016-06-23 2016-06-23 侵入検知装置および侵入検知プログラム

Country Status (7)

Country Link
US (1) US20190141059A1 (ja)
EP (1) EP3460701A4 (ja)
JP (1) JP6400255B2 (ja)
KR (1) KR101972295B1 (ja)
CN (1) CN109313686A (ja)
TW (1) TWI636374B (ja)
WO (1) WO2017221373A1 (ja)

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2019213061A1 (en) * 2018-04-30 2019-11-07 Dover Microsystems, Inc. Systems and methods for checking safety properties
WO2021024728A1 (ja) * 2019-08-08 2021-02-11 株式会社Ｇｓユアサ 蓄電装置
WO2023058212A1 (ja) * 2021-10-08 2023-04-13 三菱電機株式会社 制御装置
JP7325695B1 (ja) * 2023-01-23 2023-08-14 三菱電機株式会社 データ処理装置、データ処理方法及びデータ処理プログラム
US11748457B2 (en) 2018-02-02 2023-09-05 Dover Microsystems, Inc. Systems and methods for policy linking and/or loading for secure initialization
US11841956B2 (en) 2018-12-18 2023-12-12 Dover Microsystems, Inc. Systems and methods for data lifecycle protection
US11875180B2 (en) 2018-11-06 2024-01-16 Dover Microsystems, Inc. Systems and methods for stalling host processor

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008129714A (ja) * 2006-11-17 2008-06-05 Univ Of Tsukuba 異常検知方法、異常検知装置及び異常検知用プログラム並びに学習モデル生成方法
JP2010015513A (ja) * 2008-07-07 2010-01-21 Nippon Telegr & Teleph Corp <Ntt> マルウェア検知システム、マルウェア検知方法及びマルウェア検知プログラム
WO2012104978A1 (ja) * 2011-01-31 2012-08-09 富士通株式会社 通信方法、ノード、およびネットワークシステム
JP2013121080A (ja) * 2011-12-07 2013-06-17 Kyocera Corp 無線通信システムおよび基地局
JP2015015547A (ja) * 2013-07-03 2015-01-22 富士通株式会社 無線通信システム、無線基地局、及び、無線端末

Family Cites Families (26)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7308715B2 (en) * 2001-06-13 2007-12-11 Mcafee, Inc. Protocol-parsing state machine and method of using same
JP3697249B2 (ja) * 2003-04-30 2005-09-21 株式会社エヌ・ティ・ティ・データ ネットワーク状態監視システム及びプログラム
US20060253908A1 (en) * 2005-05-03 2006-11-09 Tzu-Jian Yang Stateful stack inspection anti-virus and anti-intrusion firewall system
US20060294588A1 (en) * 2005-06-24 2006-12-28 International Business Machines Corporation System, method and program for identifying and preventing malicious intrusions
JP2008090436A (ja) * 2006-09-29 2008-04-17 Toshiba Corp 情報処理装置およびシステム状態制御方法。
US8881276B2 (en) * 2007-01-09 2014-11-04 Cisco Technology, Inc. Dynamically generated whitelist for high throughput intrusion prevention system (IPS) functionality
TWI331868B (en) * 2007-06-11 2010-10-11 Univ Nat Pingtung Sci & Tech Detecting method of network invasion
US9178898B2 (en) * 2007-09-12 2015-11-03 Avaya Inc. Distributed stateful intrusion detection for voice over IP
US8683033B2 (en) * 2007-09-17 2014-03-25 International Business Machines Corporation Apparatus, system, and method for server failover to standby server during broadcast storm or denial-of-service attack
TWI346492B (en) * 2007-11-28 2011-08-01 Inventec Corp System for intrusion protection system
US8793786B2 (en) * 2008-02-08 2014-07-29 Microsoft Corporation User indicator signifying a secure mode
JP5389193B2 (ja) 2010-02-04 2014-01-15 日本電信電話株式会社 パケット転送処理装置、方法及びプログラム
US9262624B2 (en) * 2011-09-16 2016-02-16 Mcafee, Inc. Device-tailored whitelists
US8793806B1 (en) * 2012-07-13 2014-07-29 Google Inc. Systems and methods to selectively limit access only to a subset of content, identified in a whitelist, of a library of content
US9063721B2 (en) * 2012-09-14 2015-06-23 The Research Foundation For The State University Of New York Continuous run-time validation of program execution: a practical approach
US9405900B2 (en) * 2013-03-13 2016-08-02 General Electric Company Intelligent cyberphysical intrusion detection and prevention systems and methods for industrial control systems
US9313223B2 (en) * 2013-03-15 2016-04-12 Prevoty, Inc. Systems and methods for tokenizing user-generated content to enable the prevention of attacks
CN103150518B (zh) * 2013-03-22 2016-02-17 腾讯科技（深圳）有限公司 一种文件实时防护的方法和装置
US9124626B2 (en) * 2013-05-20 2015-09-01 International Business Machines Corporation Firewall based botnet detection
US8938612B1 (en) * 2013-07-31 2015-01-20 Google Inc. Limited-access state for inadvertent inputs
CN105683987B (zh) * 2013-10-24 2018-11-16 三菱电机株式会社 信息处理装置和信息处理方法
CN103716203B (zh) * 2013-12-21 2017-02-08 华中科技大学 基于本体模型的网络化控制系统入侵检测方法及系统
US9565204B2 (en) * 2014-07-18 2017-02-07 Empow Cyber Security Ltd. Cyber-security system and methods thereof
JP6351426B2 (ja) * 2014-08-01 2018-07-04 株式会社野村総合研究所 作業支援システムおよび作業支援方法
US9660994B2 (en) * 2014-09-30 2017-05-23 Schneider Electric USA, Inc. SCADA intrusion detection systems
CN104899513B (zh) * 2015-06-01 2018-06-19 上海云物信息技术有限公司 一种工业控制系统恶意数据攻击的数据图检测方法

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008129714A (ja) * 2006-11-17 2008-06-05 Univ Of Tsukuba 異常検知方法、異常検知装置及び異常検知用プログラム並びに学習モデル生成方法
JP2010015513A (ja) * 2008-07-07 2010-01-21 Nippon Telegr & Teleph Corp <Ntt> マルウェア検知システム、マルウェア検知方法及びマルウェア検知プログラム
WO2012104978A1 (ja) * 2011-01-31 2012-08-09 富士通株式会社 通信方法、ノード、およびネットワークシステム
JP2013121080A (ja) * 2011-12-07 2013-06-17 Kyocera Corp 無線通信システムおよび基地局
JP2015015547A (ja) * 2013-07-03 2015-01-22 富士通株式会社 無線通信システム、無線基地局、及び、無線端末

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
See also references of EP3460701A4 *
TERUYOSHI YAMAGUCHI: "Sangyo Seigyo System ni Okeru Shinnyu Kenchi Shuho no Chosa to Kento", 2015 NEN SYMPOSIUM ON CRYPTOGRAPHY AND INFORMATION SECURITY GAIYOSHU, 2015 NEN SYMPOSIUM ON CRYPTOGRAPHY AND INFORMATION SECURITY JIKKO IINKAI, 20 January 2015 (2015-01-20), pages 1 - 7, XP009500439 *

Cited By (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11748457B2 (en) 2018-02-02 2023-09-05 Dover Microsystems, Inc. Systems and methods for policy linking and/or loading for secure initialization
US11977613B2 (en) 2018-02-02 2024-05-07 Dover Microsystems, Inc. System and method for translating mapping policy into code
WO2019213061A1 (en) * 2018-04-30 2019-11-07 Dover Microsystems, Inc. Systems and methods for checking safety properties
US11797398B2 (en) 2018-04-30 2023-10-24 Dover Microsystems, Inc. Systems and methods for checking safety properties
US11875180B2 (en) 2018-11-06 2024-01-16 Dover Microsystems, Inc. Systems and methods for stalling host processor
US11841956B2 (en) 2018-12-18 2023-12-12 Dover Microsystems, Inc. Systems and methods for data lifecycle protection
WO2021024728A1 (ja) * 2019-08-08 2021-02-11 株式会社Ｇｓユアサ 蓄電装置
WO2023058212A1 (ja) * 2021-10-08 2023-04-13 三菱電機株式会社 制御装置
JP7471532B2 (ja) 2021-10-08 2024-04-19 三菱電機株式会社 制御装置
JP7325695B1 (ja) * 2023-01-23 2023-08-14 三菱電機株式会社 データ処理装置、データ処理方法及びデータ処理プログラム

Also Published As

Publication number Publication date
CN109313686A (zh) 2019-02-05
US20190141059A1 (en) 2019-05-09
EP3460701A4 (en) 2019-05-22
KR101972295B1 (ko) 2019-04-24
KR20190002712A (ko) 2019-01-08
JP6400255B2 (ja) 2018-10-03
TW201800972A (zh) 2018-01-01
TWI636374B (zh) 2018-09-21
JPWO2017221373A1 (ja) 2018-11-08
EP3460701A1 (en) 2019-03-27

Similar Documents

Publication Publication Date Title
JP6400255B2 (ja) 侵入検知装置および侵入検知プログラム
CN110121876B (zh) 用于通过使用行为分析检测恶意设备的系统和方法
Studnia et al. A language-based intrusion detection approach for automotive embedded networks
US20180307832A1 (en) Information processing device, information processing method, and computer readable medium
US10291630B2 (en) Monitoring apparatus and method
WO2016006520A1 (ja) 検知装置、検知方法及び検知プログラム
Qi et al. An intensive security architecture with multi-controller for SDN
JP6509462B2 (ja) 攻撃検知装置、攻撃検知方法および攻撃検知プログラム
JP2009110270A (ja) マルウエア検出装置、監視装置、マルウエア検出プログラム、およびマルウエア検出方法
WO2020004315A1 (ja) 異常検知装置、および、異常検知方法
KR20130085570A (ko) 단말 중심 사이버 공격 방지 방법 및 그에 따른 단말 장치
WO2018146757A1 (ja) 情報処理装置、情報処理方法及び情報処理プログラム
JP6391891B2 (ja) 侵入検知装置、侵入検知方法及び侵入検知プログラム
JP2006237892A (ja) ＤｏＳ攻撃検出方法、ＤｏＳ攻撃検出システム、およびＤｏＳ攻撃検出プログラム
US20170213043A1 (en) Security hardened controller area network transceiver
JP6913869B2 (ja) 監視装置、監視システムおよびコンピュータプログラム
US20170185772A1 (en) Information processing system, information processing method, and program
JP2019022099A (ja) セキュリティポリシー情報管理システム、セキュリティポリシー情報管理方法、及びプログラム
CN115698992A (zh) 用于安全分析框架的仲裁器系统
KR101781971B1 (ko) 데이터 보안을 위한 토글키 차단 방법 및 이를 이용한 장치
WO2023233711A1 (ja) 情報処理方法、異常判定方法、および、情報処理装置
WO2018220749A1 (ja) 通信装置、通信方法及び通信プログラム
JP7175858B2 (ja) 情報処理装置および正規通信判定方法
US20230351251A1 (en) Determination device, determination method, and determination program
JP2011182011A (ja) 中継装置及び通信システム及び異常検出方法及びプログラム

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 2018523229

Country of ref document: JP

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 16906290

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 20187036646

Country of ref document: KR

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2016906290

Country of ref document: EP

Effective date: 20181220