WO2019003300A1 - 侵入検知装置および侵入検知方法 - Google Patents

侵入検知装置および侵入検知方法 Download PDF

Info

Publication number
WO2019003300A1
WO2019003300A1 PCT/JP2017/023573 JP2017023573W WO2019003300A1 WO 2019003300 A1 WO2019003300 A1 WO 2019003300A1 JP 2017023573 W JP2017023573 W JP 2017023573W WO 2019003300 A1 WO2019003300 A1 WO 2019003300A1
Authority
WO
WIPO (PCT)
Prior art keywords
communication
rule
list
communication permission
intrusion detection
Prior art date
Application number
PCT/JP2017/023573
Other languages
English (en)
French (fr)
Inventor
義統 中島
剛久 三輪
真樹 樋口
晃由 山口
綱人 中井
仁 川▲崎▼
Original Assignee
三菱電機ビルテクノサービス株式会社
三菱電機株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 三菱電機ビルテクノサービス株式会社, 三菱電機株式会社 filed Critical 三菱電機ビルテクノサービス株式会社
Priority to PCT/JP2017/023573 priority Critical patent/WO2019003300A1/ja
Priority to PCT/JP2018/023933 priority patent/WO2019004101A1/ja
Priority to EP18824636.7A priority patent/EP3605966B1/en
Priority to CN201880040979.1A priority patent/CN110771101B/zh
Priority to ES18824636T priority patent/ES2870077T3/es
Priority to JP2019526874A priority patent/JP6584733B2/ja
Publication of WO2019003300A1 publication Critical patent/WO2019003300A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/2803—Home automation networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic

Definitions

  • the present invention relates to an intrusion detection device and an intrusion detection method for detecting an intrusion into a network.
  • the communication permission list uses what learned and analyzed the communication data collected from the network, and was made into the list.
  • the communication permission list uses what learned and analyzed the communication data collected from the network, and was made into the list.
  • an object of the present invention is to provide an intrusion detection device capable of easily creating a communication permission list.
  • An intrusion detection apparatus is an intrusion detection apparatus for detecting an intrusion into a network connecting a controller for controlling a building facility and the monitor control terminal for monitoring the building facility in communication with the controller,
  • a communication acquisition unit for acquiring communication data regarding the building equipment flowing through the network as communication determination data;
  • a communication permission list generation unit for generating a communication permission rule for permitting communication in the network and storing the communication permission list as the communication permission list;
  • An intrusion detection unit for detecting intrusion into the network when the communication determination data acquired by the communication acquisition unit does not fall under any of the communication permission rules in the communication permission list; and the communication permission list
  • the generation unit is based on engineering information including attribute information of the object of the building facility. And generating the communication permission rule.
  • the intrusion detection device includes an attribute information analysis unit that analyzes the engineering information to extract information necessary for generating the communication permission rule, forms the communication specification format of the network, and outputs it as intermediate data.
  • the communication permission list generation unit may generate the communication permission rule by combining the intermediate data with management information including configuration information of the network and input / output information of the object.
  • the engineering information may be externally input to the attribute information analysis unit, and the management information may be externally input to the communication permission list generation unit.
  • the communication rule list is generated by learning the communication determination data acquired by the communication acquisition unit, generating communication rules from communication data regarding the building equipment flowing through the network, and outputting as a communication rule list.
  • the communication permission list storage unit for storing the corrected communication permission list, and one of the communication rules in the communication rule list is different from the communication permission list in any one of the communication permission rules.
  • the communication permission rule is corrected according to the communication permission rule, and the communication permission list is output as the corrected communication permission list as the corrected communication permission list, and all the communication rules in the communication rule list are the communication permission list.
  • the communication rule list is used as the modified communication permission list if any of the communication permission rules in A communication rule list verification unit that outputs the communication permission list storage unit as the communication permission list storage unit, and the intrusion detection unit is configured to correct the communication determination data acquired by the communication acquisition unit stored in the communication permission list storage unit An intrusion into the network may be detected if none of the communication permission rules in the communication permission list are met.
  • the communication rule list verification unit determines that the communication is performed when one communication rule in the communication rule list is different from any one of the communication permission rules in the communication permission list.
  • the one communication rule may be deleted from the communication rule list and output as the corrected communication permission list to the communication permission list storage unit.
  • the communication rule list verification unit does not include the communication rule regarding the object in the communication rule list among the communication permission rules regarding the object included in the communication permission list. If there is one, the communication permission rule may be added to the communication rule list and output as the corrected communication permission list to the communication permission list storage unit.
  • the intrusion detection device of the present invention may further include an alarm unit that outputs an alarm indicating that an intrusion has been detected to the network when the intrusion detection unit detects an intrusion into the network.
  • the intrusion detection method is an intrusion detection method for detecting an intrusion into a network connecting a controller that controls a building facility and the controller to monitor the building facility by communicating with the controller, A determination data acquisition step of acquiring communication data regarding the building equipment flowing through the network as communication judgment data, and a communication permission rule for permitting communication in the network based on engineering information including attribute information of the object of the building equipment Communication permission list generation step of outputting as a communication permission list, and intrusion detecting the intrusion into the network when the acquired communication determination data does not correspond to any of the communication permission rules in the communication permission list And a detection step.
  • the intrusion detection method further includes an attribute information analysis step of analyzing the engineering information to extract information necessary for generating the communication permission rule, forming the communication specification format of the network, and outputting it as intermediate data.
  • the communication permission list generation step may generate the communication permission rule by combining the intermediate data with management information including configuration information of the network and input / output information of the object.
  • a list verification step, and the intrusion detection step determines that the communication determination data is the corrected communication permission. To any of the communication permission rule in the list may detect intrusions into the network if not applicable.
  • the communication rule list verification step when one communication rule in the communication rule list is different from any of the communication permission rules in the communication permission list, the communication permission If the one communication rule can not be corrected according to the rule, the one communication rule may be deleted from the communication rule list to be the corrected communication permission list.
  • the communication rule list does not include the communication rule regarding the object among the communication permission rules regarding the object included in the communication permission list. If there is one, the communication permission rule may be added to the communication rule list to make the corrected communication permission list.
  • the present invention can provide an intrusion detection device capable of easily creating a communication permission list.
  • movement of the intrusion detection apparatus shown in FIG. It is a functional block diagram which shows the structure of the intrusion detection apparatus of other embodiment. It is a functional block diagram which shows the structure of the intrusion detection apparatus of other embodiment. It is a figure which shows the structure of the communication rule list
  • the building management system 100 includes an air conditioner 56 which is a building facility, controllers 51 and 52 to which lighting devices 57 are connected, a monitoring control terminal 40, and a network 30 connecting the controllers 51 and 52 and the monitoring control terminal 40; An intrusion detection device 10 connected to a network 30 is provided.
  • the monitoring control terminal 40 monitors and controls the controllers 51 and 52 via the network 30 by communication, and is an apparatus used when an operator sends an instruction to the controllers 51 and 52, for example.
  • the controllers 51 and 52 control the air-conditioning equipment 56 and the lighting equipment 57 which are building facilities based on the control command from the monitoring control terminal 40.
  • the air conditioner 56 and the lighting device 57 perform predetermined operations based on commands from the controllers 51 and 52.
  • the BACnet Building Automation and Control netwoking protocol
  • the intrusion detection device 10 performs intrusion detection by cyber attack in communication of the network 30.
  • the intrusion detection device 10 includes a communication acquisition unit 11, an intrusion detection unit 12, an alarm unit 13, a communication permission list generation unit 14, and an attribute information analysis unit 15.
  • the communication acquisition unit 11 acquires, as communication determination data, communication data regarding the air conditioner 56 and the lighting device 57 between the monitoring control terminal 40 and the controllers 51 and 52 flowing through the network 30 and outputs the communication determination data to the intrusion detection unit 12.
  • the intrusion detection unit 12 detects intrusion into the network 30 by comparing the communication determination data acquired by the communication acquisition unit 11 with the communication permission list 73 stored in the communication permission list generation unit 14. When an intrusion into the network 30 is detected, an intrusion detection signal is output to the alarm unit 13.
  • the communication permission list 73 is a data set including a rule number, communication status, protocol type, source / destination information, data length, payload condition, and periodic condition items. On the list.
  • the alarm unit 13 When the intrusion detection signal is input from the intrusion detection unit 12, the alarm unit 13 outputs an alarm indicating that the intrusion is detected to the network 30.
  • the attribute information analysis unit 15 reads out engineering data 71 including attribute information of objects such as temperature sensors of the air conditioner 56 and the lighting device 57 from the engineering information file 16, analyzes the engineering data 71, and generates a communication permission rule. Extract the necessary information.
  • the engineering data 71 is engineering information in which a data set including items of an internal identifier number, an object name, a type, an object identifier, a unit, a maximum value, and a minimum value is listed.
  • the attribute information analysis unit 15 forms information necessary for generating the extracted communication permission rule in the communication specification format of the network 30 and outputs the information as intermediate data 72 to the communication permission list generation unit 14.
  • the intermediate data 72 is a data set having a storage area similar to the communication specification format of the network 30.
  • the intermediate data 72 is a data set having storage areas of rule number, communication state, protocol type, transmission source / destination information, data length, payload condition, periodic condition, as in the communication permission list 73.
  • the column of the state and data length is blank.
  • the communication permission list generation unit 14 manages the intermediate data 72 input from the attribute information analysis unit 15 including configuration information of the network 30 and input / output information of objects such as the temperature sensor of the air conditioner 56 and the lighting device 57. Information is combined with the information to generate a communication permission rule, which is stored as the communication permission list 73.
  • the management information is internally stored as a default setting.
  • the communication acquisition unit 11, the intrusion detection unit 12, the alarm unit 13, the communication permission list generation unit 14, and the attribute information analysis unit 15 of the intrusion detection device 10 described above are realized by the computer 60 shown in FIG. Ru.
  • the computer 60 includes a CPU 61, an auxiliary storage device 62, a memory 63, a communication device 64, an input interface 65, an output interface 67, and a data bus 69 connecting them.
  • the CPU 61 performs information processing and controls other hardware connected via the data bus 69.
  • the auxiliary storage device 62 configures, for example, a ROM, a flash memory, a hard disk, and the like.
  • the memory 63 is, for example, a RAM.
  • the communication device 64 includes a receiver 64 a that receives data from the network 30 and a transmitter 64 b that outputs the data to the network 30.
  • the communication device 64 is configured by, for example, a communication chip or the like.
  • An input device 66 such as a keyboard, a mouse, and a touch panel is connected to the input interface 65.
  • a display 68 is connected to the output interface 67.
  • the auxiliary storage device 62 stores programs for realizing the functions of the communication acquisition unit 11, the intrusion detection unit 12, the alarm unit 13, the communication permission list generation unit 14, and the attribute information analysis unit 15.
  • the program is executed by the CPU 61.
  • the communication acquisition unit 11, which is a functional block of the intrusion detection device 10, the intrusion detection unit 12, the alarm unit 13, the communication permission list generation unit 14, and the attribute information analysis unit 15, are each of the computer 60 shown in FIG. It is realized by cooperative operation of hardware and a program executed by the CPU 61.
  • FIGS. 7 and 8. 7 and 8 also show an intrusion detection method.
  • the intrusion detection device 10 repeatedly executes the operations of steps S101 to S104 of FIG. 7 at predetermined intervals.
  • the communication acquisition unit 11 acquires, as communication determination data, communication data regarding the air conditioner 56 and the lighting device 57 between the monitoring control terminal 40 and the controllers 51 and 52 flowing in the network 30. (Determination data acquisition step).
  • the communication acquisition unit 11 outputs the acquired communication determination data to the intrusion detection unit 12.
  • the communication determination data is a data set including the items of number, communication status, protocol type, transmission source / destination information, data length, payload condition, periodic condition, as in the communication rule in the communication permission list 73 shown in FIG. It is.
  • the intrusion detection unit 12 compares the communication determination data input from the communication acquisition unit 11 with the communication rules of the communication permission list 73 illustrated in FIG. 6. For comparison, for example, communication status of communication determination data, protocol type, transmission source / destination information, data length, payload condition, each item of periodic condition, communication status of communication rule of rule number 1 of communication permission list 73, protocol type , Source / destination information, data length, payload condition, and periodic condition are compared with each item. Then, when all the items match, the intrusion detection unit 12 determines that the communication determination data corresponds to the communication rule of the rule number 1 in the communication permission list 73.
  • the intrusion detection unit 12 determines that the communication determination data does not correspond to the communication rule of the rule number 1 in the communication permission list 73, The rule number 2 is compared with the communication determination data. Then, if the communication determination data does not match any of the communication rules, it is determined that the communication determination data does not correspond to any of the communication rules in the communication permission list 73, and the process proceeds to step S103 in FIG. An intrusion detection signal is output to the alarm unit 13 (intrusion detection step).
  • the alarm unit 13 outputs an alarm to the network 30 in step S104 in FIG. 7 when an intrusion detection signal is input from the intrusion detection unit 12.
  • the outputted alarm is inputted to the supervisory control terminal 40 via the network 30, and displayed on the display 68 of the supervisory control terminal 40.
  • the intrusion detection unit 12 ends the routine without outputting the intrusion detection signal, and starts the next routine.
  • Steps S201 to S206 in FIG. 8 constitute a communication permission list generation step. Further, steps S201 to S204 in FIG. 8 constitute an attribute information analysis step.
  • the attribute information analysis unit 15 acquires engineering data 71 as shown in FIG. 4 from the external engineering information file 16.
  • the engineering data 71 is a list of attribute information data of objects such as the air conditioner 56 and the temperature sensor of the lighting device 57.
  • the engineering information file 16 is used when constructing the building management system 100 using BACnet communication, and is, for example, a CSV format file in which attribute information of objects such as temperature sensors based on BACnet specifications are separated by commas. It may be.
  • step S202 of FIG. 8 the attribute information analysis unit 15 analyzes the acquired engineering data 71 and extracts information necessary for generating a communication permission rule. Then, the attribute information analysis unit 15 forms the extracted information in the communication specification format of the network 30 in step S203 of FIG.
  • the intermediate data 72 has a storage area similar to the communication specification format of the network 30, as in the communication permission list 73, as shown in FIG.
  • the attribute information analysis unit 15 analyzes the engineering data 71, the object name of “sensor temperature 1” in the engineering data 71 corresponds to the object identification 1, and the data is analog input data, and the maximum value is 80, the minimum Extract that the value is -20. Then, the attribute information analysis unit 15 stores the “sensor temperature 1” which is the object name in the transmission source / destination information column of the line of the rule number 1 of the intermediate data 72, and in the payload condition column, “object identifier 1, Stores analog input, -20 to 80 "data.
  • the object name of "sensor temperature 2" in the engineering data 71 corresponds to the object identification 2, and the data is analog input data, and the maximum value is 100 and the minimum value is 0. Extract a certain thing. Then, the attribute information analysis unit 15 stores the “sensor temperature 2” which is the object name in the transmission source / destination information column of the row of the rule number 2 of the intermediate data 72, and in the payload condition column, “object identifier 2, Stores analog input, 0 to 100 "data. Further, since BACnet is used for communication of the network 30, BACnet is stored in each of the protocol types.
  • the attribute information analysis unit 15 extracts information necessary for generating a communication permission rule for all objects included in the engineering data 71, and inputs the information to each item of the intermediate data 72 to generate intermediate data 72. As described above, the attribute information analysis unit 15 analyzes the engineering data 71 to extract information necessary for generating the communication permission rule, and each item of the intermediate data 72 having a storage area similar to the communication specification format of the network 30 The intermediate data 72 is formed by inputting to.
  • the attribute information analysis unit 15 After forming the intermediate data 72 in step S203 of FIG. 8, the attribute information analysis unit 15 outputs the intermediate data 72 formed as shown in step S204 of FIG. 8 to the communication permission list generation unit 14.
  • the communication permission list generation unit 14 reads out default management information stored therein as shown in step S205 of FIG.
  • the management information includes the configuration information of the network 30 and the input / output information of objects such as the air conditioner 56 and the temperature sensor of the lighting device 57.
  • the configuration conditions of the network 30 are, for example, a transmission source / destination address, a data length, and the like.
  • the input / output information of an object is, for example, a command condition such as reading or writing of an object identifier.
  • Communication permission list generation unit 14 transmits “sensor temperature 1” of the object name stored in the transmission source / destination information of intermediate data 72 as the transmission source / destination based on the read management information in step S206 of FIG. 8. Convert to address In addition, “object identifier 1” stored in the payload condition is converted into “read property” which is input / output information of sensor temperature 1. Then, “82” is added to the data length, “Operation” is added to the state, and “1 second or more” is added to the cycle condition. As described above, the communication permission list generation unit 14 combines the intermediate data 72 with the management information to generate the communication permission list 73 as shown in FIG. The communication permission list generation unit 14 stores the generated communication permission list 73 in the memory 63 in step S206 of FIG. 8.
  • the intrusion detection device 10 allows the communication permission list 73 to be based on the engineering data 71 in the engineering information file 16 used when building the building management system 100 using BACnet communication. Can be generated more easily than based on learning or the like.
  • the intrusion detection device 10 shown in FIG. 9 enables external input of management information by inputting the management information file 17 from the outside.
  • the management information file 17 includes an object name-transmission source destination information conversion table 18 and an object identifier-command condition conversion table 19.
  • the intrusion detection device 10 since the intrusion detection device 10 according to the present embodiment takes in the management information from an external file, the communication permission list 73 can be easily regenerated even if there is a change in the management information.
  • an intrusion detection device 20 according to another embodiment will be described with reference to FIGS. 10 to 12. Parts similar to the intrusion detection device 10 described above with reference to FIGS. 1 to 8 will be briefly described.
  • the intrusion detection device 20 shown in FIG. 10 includes a communication acquisition unit 21, an intrusion detection unit 22, an alarm unit 23, a communication rule list generation unit 27, a communication permission list generation unit 24, and an attribute information analysis unit 25.
  • a communication rule list verification unit 28 and a communication permission list storage unit 29 are provided.
  • the communication acquisition unit 21, the alarm unit 23, and the attribute information analysis unit 25 are similar to the communication acquisition unit 11, the alarm unit 13, and the attribute information analysis unit 15 of the intrusion detection device 10 described above.
  • the communication rule list generation unit 27 learns the communication determination data acquired by the communication acquisition unit 21 to generate a communication rule list 74 as shown in FIG. 11 and outputs the communication rule list 74 to the communication rule list verification unit 28.
  • the communication permission list generation unit 24 generates the communication permission list 73 by the same operation as the communication permission list generation unit 14 described above, and outputs the generated communication permission list 73 to the communication rule list verification unit 28.
  • the communication rule list verification unit 28 compares the communication rule list 74 with the communication permission list 73, corrects the communication rule list 74, and stores it in the communication permission list storage unit 29 as a corrected communication permission list.
  • the intrusion detection unit 22 performs intrusion detection by comparing the communication determination data input from the communication acquisition unit 21 with the corrected communication permission list stored in the communication permission list storage unit 29.
  • FIGS. 12 and 13 show an intrusion detection method.
  • the communication permission list generating unit 24 forms and outputs the intermediate data 72 in steps S201 to S204 of FIG. 12, reads the management information in step 205 of FIG. 12, and performs step S226 of FIG. Then, the communication permission list 73 is generated by the same method as the communication permission list generation unit 14, and the generated communication permission list 73 is output to the communication rule list verification unit 28.
  • Steps S201 to S226 in FIG. 12 constitute a communication permission list generation step.
  • Steps S201 to S204 in FIG. 12 constitute an attribute information analysis step.
  • the communication rule list generation unit 27 acquires communication determination data from the communication acquisition unit 21, learns the communication determination data, and generates the communication rule list 74 shown in FIG.
  • the communication determination data is, like the communication rules in the communication permission list 73 shown in FIG. 6, the number, communication state, protocol type, source / destination information, data length, payload condition, cycle condition It is a data set including each item of.
  • the communication rule list generation unit 27 extracts the above data set included in the communication determination data, and inputs the communication rule list 74 by inputting each item in the communication rule list 74 having the storage area of the communication specification format of the network 30. I will generate.
  • the same communication rule is integrated into one communication rule by learning, and a communication rule list 74 as shown in FIG. 11 is generated. Then, the communication rule list generation unit 27 outputs the generated communication rule list 74 to the communication rule list verification unit 28 in step S212 of FIG. 12.
  • the generation of the communication rule list may be performed, for example, at the time of operation test at the time of installation of the monitoring control terminal 40. Steps S210 to S212 in FIG. 12 constitute a communication rule list generation step.
  • the communication rule of the rule number 1 of the communication rule shown in FIG. 11 differs from the communication rule of the rule number 1 of the communication permission list 73 shown in FIG. 6 only in the data length and the other items, and the other items coincide.
  • the communication rule of rule No. 2 of the communication rule list 74 is different from the communication rule of rule No. 2 of communication permit list 73 shown in FIG. 6 in the state, source / destination information, data length and payload condition. Since such a communication rule deviates from the engineering information and is determined to have been generated by the intrusion, the communication rule list verification unit 28 determines the communication rule list 74 as follows in step S213 of FIG. Compare, correct and generate a corrected communication permit list.
  • step S213 of FIG. 12 the communication rule list verification unit 28 compares the communication rule list 74 with the communication permission list 73 to determine whether the communication rule list 74 needs to be corrected.
  • step S213 of FIG. 12 when the communication rule list verification unit 28 differs in one communication rule in the communication rule list 74 from any one of the communication permission rules in the communication permission list 73, It is determined that the communication rule list 74 needs to be corrected, and the process proceeds to step S214 in FIG.
  • the communication rule list verification unit 28 corrects one communication rule in accordance with the communication permission list 73 and outputs the corrected communication permission list to the communication permission list storage unit 29 in step S214 of FIG.
  • step S213 of FIG. 12 the communication rule list verification unit 28 determines that one communication rule in the communication rule list 74 is different from any of the communication permission rules in the communication permission list 73, and the communication permission rule If it is determined that one communication rule can not be corrected in accordance with the above, it is determined that the communication rule list 74 needs to be corrected, and the process proceeds to step S214 in FIG. Then, in step S214 of FIG. 12, the one communication rule is deleted from the communication rule list 74, and is output to the communication permission list storage unit 29 as a corrected communication permission list.
  • step S213 of FIG. 12 among the communication permission rules for the objects included in the communication permission list 73, the communication rule list verification unit 28 does not include the communication rules for the object in the communication rule list 74. Also in the case where it is determined that the communication rule list 74 needs to be corrected, the process proceeds to step S214 in FIG. Then, in step S214 of FIG. 12, the communication permission rule is added to the communication rule list 74 and is output to the communication permission list storage unit 29 as a corrected communication permission list. For example, when there is transmission source / destination information included in the communication permission list 73 but not included in the communication rule list 74, a communication permission rule including the transmission source / destination information storage is added to the communication rule list 74 as a communication rule. The communication permission list storage unit 29 outputs the result as a corrected communication permission list.
  • step S213 of FIG. 12 the communication rule list verification unit 28 outputs the communication rule list 74 as a corrected communication permission list to the communication permission list storage unit 29 in step S215 of FIG. 12. Steps S213 to S215 in FIG. 12 constitute a communication rule list verification step.
  • the communication rule list verification unit 28 corrects the data length according to the communication permission list 73, and outputs the communication rule list 74 including the corrected communication rule to the communication permission list storage unit 29 as a corrected communication permission list. If the communication permission rule of rule number 2 of communication permission list 73 shown in FIG.
  • the intrusion detection unit 22 acquires communication determination data from the communication acquisition unit 21 in step S101 of FIG. 13 (determination data acquisition step), and the correction in which the communication determination data is stored in the communication permission list storage unit 29 in step S110 of FIG. If it is determined that none of the communication permission rules in the communication permission list are met, the process proceeds to step S103 in FIG. 13 to perform intrusion detection and output an intrusion detection signal to the alarm unit 23.
  • the alarm unit 23 outputs an alarm to the network 30 (intrusion detection step).
  • the intrusion detection device 20 uses the communication permission list 73 generated based on the engineering data 71.
  • the list 74 By modifying the list 74, communication rules that deviate from the engineering information can be eliminated. Thereby, the accuracy of the communication permission list 73 can be secured by a simple method.
  • the communication permission list 73 is used to add communication rules regarding objects not included in the communication rule list 74, the coverage of the communication rules can be improved.

Landscapes

  • Engineering & Computer Science (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computing Systems (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Automation & Control Theory (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Medical Informatics (AREA)
  • Alarm Systems (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Small-Scale Networks (AREA)
  • Selective Calling Equipment (AREA)

Abstract

空調機器（５６）を制御するコントローラ（５１）と空調機器（５６）を監視する監視制御端末（４０）との間を接続するネットワーク（３０）への侵入を検知する侵入検知装置（１０）であって、ネットワーク（３０）を流れる空調機器（５６）に関する通信データを通信判定データとして取得する通信取得部（１１）と、ネットワーク（３０）における通信を許可する通信許可ルールを生成して通信許可リストとして格納する通信許可リスト生成部（１４）と、通信取得部（１１）が取得した通信判定データが通信許可リストの中のいずれの通信許可ルールにも該当しない場合にネットワーク（３０）への侵入を検知する侵入検知部（１２）と、を備え、通信許可リスト生成部（１４）は、空調機器（５６）のオブジェクトの属性情報を含むエンジニアリング情報に基づいて通信許可ルールを生成する。

Description

侵入検知装置および侵入検知方法
　本発明は、ネットワークへの侵入を検知する侵入検知装置および侵入検知方法に関する。
　近年、ビル設備の制御システム等の産業制御システムにおいて、システムがサイバー攻撃の標的になるケースが増加している。これに対して、産業制御システムのネットワーク通信が固定的であることを利用し、送信先アドレスと送信元アドレスのペアやプロトコル等の許可された通信を定義し、許可された通信を通信許可リストとし、通信許可リストにない通信を検知することによって侵入を検知する方法が用いられている（例えば、特許文献１、２参照）。
特開２０１６－１６３３５２号公報 特許第６０５４０１０号公報
　ところで、特許文献１、２に記載された従来技術では、通信許可リストは、ネットワークから収集した通信データを学習、解析してリストにしたものを用いている。しかし、このような学習方式によってリストを作成する場合には、学習に時間がかかる上、学習が十分でリストが正確なものであるかどうかを確認することが難しいという問題があった。
　そこで、本発明は、簡便に通信許可リストの作成が可能な侵入検知装置を提供することを目的とする。
　本発明の侵入検知装置は、ビル設備を制御するコントローラと前記コントローラと通信して前記ビル設備を監視する監視制御端末との間を接続するネットワークへの侵入を検知する侵入検知装置であって、前記ネットワークを流れる前記ビル設備に関する通信データを通信判定データとして取得する通信取得部と、前記ネットワークにおける通信を許可する通信許可ルールを生成して通信許可リストとして格納する通信許可リスト生成部と、前記通信取得部が取得した前記通信判定データが前記通信許可リストの中のいずれの前記通信許可ルールにも該当しない場合に前記ネットワークへの侵入を検知する侵入検知部と、を備え、前記通信許可リスト生成部は、前記ビル設備のオブジェクトの属性情報を含むエンジニアリング情報に基づいて前記通信許可ルールを生成することを特徴とする。
　本発明の侵入検知装置において、前記エンジニアリング情報を解析して前記通信許可ルールの生成に必要な情報を抽出し、前記ネットワークの通信仕様フォーマットに形成して中間データとして出力する属性情報解析部を備え、前記通信許可リスト生成部は、前記中間データに前記ネットワークの構成情報と前記オブジェクトの入出力情報とを含む管理情報を合わせて前記通信許可ルールを生成してもよい。
　本発明の侵入検知装置において、前記エンジニアリング情報は、外部から前記属性情報解析部に入力され、前記管理情報は、外部から前記通信許可リスト生成部に入力されてもよい。
　本発明の侵入検知装置において、前記通信取得部が取得した前記通信判定データを学習して前記ネットワークを流れる前記ビル設備に関する通信データから通信ルールを生成し、通信ルールリストとして出力する通信ルールリスト生成部と、修正通信許可リストを格納する通信許可リスト格納部と、前記通信ルールリストの中の一の通信ルールが前記通信許可リストの中のいずれかの前記通信許可ルールと一部のみが異なる場合には前記通信許可ルールに合わせて前記一の通信ルールを修正して前記修正通信許可リストとして前記通信許可リスト格納部に出力し、前記通信ルールリストの中の全ての通信ルールが前記通信許可リストの中のいずれかの前記通信許可ルールと一致する場合には、前記通信ルールリストを前記修正通信許可リストとして前記通信許可リスト格納部に出力する通信ルールリスト検証部と、を含み、前記侵入検知部は、前記通信取得部が取得した前記通信判定データが前記通信許可リスト格納部に格納された前記修正通信許可リストの中のいずれの前記通信許可ルールにも該当しない場合に前記ネットワークへの侵入を検知してもよい。
　本発明の侵入検知装置において、前記通信ルールリスト検証部は、前記通信ルールリストの中の一の通信ルールが前記通信許可リスト中のいずれかの前記通信許可ルールと異なる場合で、且つ、前記通信許可ルールに合わせて前記一の通信ルールを修正できない場合には、前記通信ルールリストから前記一の通信ルールを削除して前記修正通信許可リストとして前記通信許可リスト格納部に出力してもよい。
　本発明の侵入検知装置において、前記通信ルールリスト検証部は、前記通信許可リストに含まれる前記オブジェクトに関する前記通信許可ルールの中で、前記通信ルールリストに前記オブジェクトに関する前記通信ルールが含まれていないものがある場合には、その前記通信許可ルールを前記通信ルールリストに追加して前記修正通信許可リストとして前記通信許可リスト格納部に出力してもよい。
　本発明の侵入検知装置において、前記侵入検知部が前記ネットワークへの侵入を検知した場合に、侵入を検知したことを示す警報を前記ネットワークに出力する警報部を備えてもよい。
　本発明の侵入検知方法は、ビル設備を制御するコントローラと前記コントローラと通信して前記ビル設備を監視する監視制御端末との間を接続するネットワークへの侵入を検知する侵入検知方法であって、前記ネットワークを流れる前記ビル設備に関する通信データを通信判定データとして取得する判定データ取得ステップと、前記ビル設備のオブジェクトの属性情報を含むエンジニアリング情報に基づいて前記ネットワークにおける通信を許可する通信許可ルールを生成して通信許可リストとして出力する通信許可リスト生成ステップと、取得した前記通信判定データが前記通信許可リストの中のいずれの前記通信許可ルールにも該当しない場合に前記ネットワークへの侵入を検知する侵入検知ステップと、を備えることを特徴とする。
　本発明の侵入検知方法において、前記エンジニアリング情報を解析して前記通信許可ルールの生成に必要な情報を抽出し、前記ネットワークの通信仕様フォーマットに形成して中間データとして出力する属性情報解析ステップを備え、前記通信許可リスト生成ステップは、前記中間データに前記ネットワークの構成情報と前記オブジェクトの入出力情報とを含む管理情報を合わせて前記通信許可ルールを生成してもよい。
　本発明の侵入検知方法において、前記通信判定データを学習して前記ネットワークを流れる前記ビル設備に関する通信データから通信ルールを生成して通信ルールリストとして出力する通信ルールリスト生成ステップと、前記通信ルールリストの中の一の通信ルールが前記通信許可リストの中のいずれかの前記通信許可ルールと一部のみが異なる場合には前記通信許可ルールに合わせて前記一の通信ルールを修正して修正通信許可リストとし、前記通信ルールリストの中の全ての通信ルールが前記通信許可リストの中のいずれかの前記通信許可ルールと一致する場合には、前記通信ルールリストを前記修正通信許可リストとする通信ルールリスト検証ステップと、を含み、前記侵入検知ステップは、前記通信判定データが前記修正通信許可リストの中のいずれの前記通信許可ルールにも該当しない場合に前記ネットワークへの侵入を検知してもよい。
　本発明の侵入検知方法において、前記通信ルールリスト検証ステップは、前記通信ルールリストの中の一の通信ルールが前記通信許可リスト中のいずれの前記通信許可ルールとも異なる場合で、且つ、前記通信許可ルールに合わせて前記一の通信ルールを修正できない場合には、前記通信ルールリストから前記一の通信ルールを削除して前記修正通信許可リストとしてもよい。
　本発明の侵入検知方法において、前記通信ルールリスト検証ステップは、前記通信許可リストに含まれる前記オブジェクトに関する前記通信許可ルールの中で、前記通信ルールリストに前記オブジェクトに関する前記通信ルールが含まれていないものがある場合には、その前記通信許可ルールを前記通信ルールリストに追加して前記修正通信許可リストとしてもよい。
　本発明は、簡便に通信許可リストの作成が可能な侵入検知装置を提供することができる。
実施形態の侵入検知装置が適用されたビル管理システムの構成を示す系統図である。 実施形態の侵入検知装置の構成を示す機能ブロック図である。 図２に示す侵入検知装置を形成するコンピュータのハードウェア構成図である。 図２に示すエンジニアリング情報ファイルに格納されているエンジニアリングデータの構成を示す図である。 図２に示す属性情報解析部が出力する中間データの構成を示す図である。 図２に示す通信許可リスト生成部が出力する通信許可リストの構成を示す図である。 図２に示す侵入検知装置の基本動作を示すフローチャートである。 図２に示す侵入検知装置の通信許可リスト生成動作を示すフローチャートである。 他の実施形態の侵入検知装置の構成を示す機能ブロック図である。 他の実施形態の侵入検知装置の構成を示す機能ブロック図である。 図１０に示す通信ルールリスト生成部が生成する通信ルールリストの構成を示す図である。 図１０に示す侵入検知装置の修正通信許可リスト生成動作を示すフローチャートである。 図１０に示す侵入検知装置の基本動作を示すフローチャートである。
　以下、図面を参照しながら本実施形態の侵入検知装置１０について説明する。最初に図１を参照しながら本実施形態の侵入検知装置１０が適用されたビル管理システム１００の構成について説明する。ビル管理システム１００は、ビル設備である空調機器５６、照明機器５７が接続されたコントローラ５１、５２と、監視制御端末４０と、コントローラ５１、５２と監視制御端末４０とを接続するネットワーク３０と、ネットワーク３０に接続された侵入検知装置１０とを備えている。
　監視制御端末４０は、通信によりネットワーク３０を介してコントローラ５１、５２の監視・制御を行うもので、例えば、操作員がコントローラ５１、５２への指令を送る際に用いる機器である。コントローラ５１、５２は、監視制御端末４０からの制御指令に基づいてビル設備である空調機器５６、照明機器５７の制御を行う。空調機器５６、照明機器５７は、コントローラ５１、５２の指令に基づいて所定の動作を行う。ネットワーク３０で接続された監視制御端末４０とコントローラ５１、５２との間の通信には、ＢＡＣｎｅｔ（Ｂｕｉｌｄｉｎｇ　Ａｕｔｏｍａｔｉｏｎ　ａｎｄ　Ｃｏｎｔｒｏｌ　ｎｅｔｗｏｋｉｎｇ　ｐｒｏｔｏｃｏｌ）が用いられる。侵入検知装置１０は、ネットワーク３０の通信におけるサイバー攻撃による侵入検知を行うものである。
　図２に示すように、侵入検知装置１０は、通信取得部１１と、侵入検知部１２と、警報部１３と、通信許可リスト生成部１４と、属性情報解析部１５とを備える。
　通信取得部１１は、ネットワーク３０に流れる監視制御端末４０とコントローラ５１、５２との間の空調機器５６、照明機器５７に関する通信データを通信判定データとして取得して侵入検知部１２に出力する。
　侵入検知部１２は、通信取得部１１が取得した通信判定データと、通信許可リスト生成部１４に格納されている通信許可リスト７３とを比較してネットワーク３０への侵入の検知を行う。そして、ネットワーク３０への侵入を検知したら侵入検知信号を警報部１３に出力する。ここで、通信許可リスト７３は、図６に示す様に、ルール番号、通信状態、プロトコル種別、送信元／先情報、データ長、ペイロード条件、周期条件の各項目を含むデータセットである通信ルールをリストにしたものである。
　警報部１３は、侵入検知部１２から侵入検知信号が入力された場合に、侵入を検知したことを示す警報をネットワーク３０に出力する。
　属性情報解析部１５は、エンジニアリング情報ファイル１６から、空調機器５６、照明機器５７の温度センサ等のオブジェクトの属性情報を含むエンジニアリングデータ７１を読み出し、エンジニアリングデータ７１を解析して通信許可ルールの生成に必要な情報を抽出する。ここで、エンジニアリングデータ７１は、図４に示すように、内部識別子番号、オブジェクト名、型、オブジェクト識別子、単位、最大値、最小値の各項目を含むデータセットをリストにしたエンジニアリング情報である。
　属性情報解析部１５は、抽出した通信許可ルールの生成に必要な情報をネットワーク３０の通信仕様フォーマットに形成して中間データ７２として通信許可リスト生成部１４に出力する。ここで、中間データ７２は、ネットワーク３０の通信仕様フォーマットと同様の格納領域を有するデータセットである。図５に示す様に、中間データ７２は、通信許可リスト７３と同様、ルール番号、通信状態、プロトコル種別、送信元／先情報、データ長、ペイロード条件、周期条件の各格納領域を有するデータセットで、状態、データ長の欄が空欄になっているものである。
　通信許可リスト生成部１４は、属性情報解析部１５から入力された中間データ７２に、ネットワーク３０の構成情報と、空調機器５６、照明機器５７の温度センサ等のオブジェクトの入出力情報とを含む管理情報と、を合わせて通信許可ルールを生成し、通信許可リスト７３として格納する。なお、本実施形態の侵入検知装置１０では、管理情報は、デフォルト設定として内部に格納されている。
　以上説明した、侵入検知装置１０の通信取得部１１と、侵入検知部１２と、警報部１３と、通信許可リスト生成部１４と、属性情報解析部１５は、図３に示すコンピュータ６０によって実現される。
　コンピュータ６０は、ＣＰＵ６１と、補助記憶装置６２と、メモリ６３と、通信装置６４と、入力インターフェース６５と、出力インターフェース６７と、これらを接続するデータバス６９と、を備えている。ＣＰＵ６１は、情報処理を行うと共に、データバス６９を介して接続されている他のハードウェアを制御する。
　補助記憶装置６２は、例えば、ＲＯＭ、フラッシュメモリ、ハードディスク等を構成される。メモリ６３は、例えば、ＲＡＭである。通信装置６４はネットワーク３０からデータを受信するレシーバ６４ａとデータをネットワーク３０に出力するトランスミッタ６４ｂを含んでいる。通信装置６４は、例えば、通信チップ等で構成される。入力インターフェース６５には、キーボード、マウス、タッチパネル等の入力装置６６が接続されている。出力インターフェース６７には、ディスプレイ６８が接続されている。
　補助記憶装置６２には、通信取得部１１と、侵入検知部１２と、警報部１３と、通信許可リスト生成部１４と、属性情報解析部１５の機能を実現するプログラムが記憶されている。プログラムは、ＣＰＵ６１で実行される。
　侵入検知装置１０の機能ブロックである通信取得部１１と、侵入検知部１２と、警報部１３と、通信許可リスト生成部１４と、属性情報解析部１５とは、図３に示すコンピュータ６０の各ハードウェアとＣＰＵ６１で実行されるプログラムとの協働動作により実現される。
　次に、図７、図８を参照しながら本実施形態の侵入検知装置１０の動作について説明する。なお、図７、図８は、侵入検知方法を示すものでもある。最初に図７を参照しながら、侵入検知装置１０の基本動作について説明する。侵入検知装置１０は、図７のステップＳ１０１からＳ１０４の動作を所定の間隔で繰り返して実行する。
　図７のステップＳ１０１に示すように、通信取得部１１は、ネットワーク３０に流れる監視制御端末４０とコントローラ５１、５２との間の空調機器５６、照明機器５７に関する通信データを通信判定データとして取得する（判定データ取得ステップ）。通信取得部１１は取得した通信判定データを侵入検知部１２に出力する。通信判定データは、図６に示す通信許可リスト７３の中の通信ルールと同様、番号、通信状態、プロトコル種別、送信元／先情報、データ長、ペイロード条件、周期条件の各項目を含むデータセットである。
　図７のステップＳ１０２に示すように、侵入検知部１２は、通信取得部１１から入力された通信判定データと図６に示す通信許可リスト７３の通信ルールとを比較する。比較は、例えば、通信判定データの通信状態、プロトコル種別、送信元／先情報、データ長、ペイロード条件、周期条件の各項目と通信許可リスト７３のルール番号１の通信ルールの通信状態、プロトコル種別、送信元／先情報、データ長、ペイロード条件、周期条件の各項目とを比較する。そして、全ての項目が一致する場合には、侵入検知部１２は、通信判定データは、通信許可リスト７３の中のルール番号１の通信ルールに該当すると判断する。
　一方、各項目の内、１項目でも相違する項目があった場合には、侵入検知部１２は、通信判定データは通信許可リスト７３の中のルール番号１の通信ルールに該当しないと判断し、ルール番号２と通信判定データとを比較する。そして、通信判定データがいずれの通信ルールとも一致しない場合には、通信判定データは、通信許可リスト７３の中のいずれの通信ルールにも該当しないと判断して、図７のステップＳ１０３に進み、警報部１３に侵入検知信号を出力する（侵入検知ステップ）。
　警報部１３は、侵入検知部１２から侵入検知信号が入力された場合、図７のステップＳ１０４において、ネットワーク３０に警報を出力する。出力された警報は、ネットワーク３０を介して監視制御端末４０に入力され、監視制御端末４０のディスプレイ６８に表示される。
　侵入検知部１２は、図７のステップＳ１０２において、通信判定データがいずれかの通信ルールと一致した場合には、侵入検知信号を出力せずにルーチンを終了し、次のルーチンを開始する。
　次に図８を参照しながら、侵入検知装置１０における通信許可リスト７３の生成について説明する。図８のステップＳ２０１からステップＳ２０６は通信許可リスト生成ステップを構成する。また、図８のステップＳ２０１からステップＳ２０４は、属性情報解析ステップを構成する。
　図８のステップＳ２０１に示すように、属性情報解析部１５は、外部のエンジニアリング情報ファイル１６から図４に示すようなエンジニアリングデータ７１を取得する。先に説明したように、エンジニアリングデータ７１は、空調機器５６、照明機器５７の温度センサ等のオブジェクトの属性情報データをリストにしたもので、図４に示すように、内部識別子、温度センサ１のようなオブジェクトの名称、型、オブジェクト識別子、単位、最大値、最小値の各項目を含むデータセットをリストにしたものである。エンジニアリング情報ファイル１６は、ＢＡＣｎｅｔの通信を用いたビル管理システム１００を構築する際に用いられるもので、例えば、ＢＡＣｎｅｔ仕様に基づいた温度センサ等のオブジェクトの属性情報をカンマ区切りにしたＣＳＶフォーマットファイルであってもよい。
　図８のステップＳ２０２において、属性情報解析部１５は、取得したエンジニアリングデータ７１を解析して通信許可ルールの生成に必要な情報を抽出する。そして、属性情報解析部１５は、図８のステップＳ２０３において、抽出した情報をネットワーク３０の通信仕様フォーマットに形成して中間データ７２として出力する。
　先に説明したように、中間データ７２は、図５に示す様に、通信許可リスト７３と同様、ネットワーク３０の通信仕様フォーマットと同様の格納領域を有している。属性情報解析部１５は、エンジニアリングデータ７１を解析し、エンジニアリングデータ７１の中の「センサ温度１」のオブジェクト名がオブジェクト識別１に該当し、そのデータはアナログ入力データで、最大値が８０、最小値が－２０であることを抽出する。そして、属性情報解析部１５は、中間データ７２のルール番号１の行の送信元／先情報の欄にオブジェクト名である「センサ温度１」を格納し、ペイロード条件の欄に「オブジェクト識別子１、Ａｎａｌｏｇ　ｉｎｐｕｔ、－２０～８０」のデータを格納する。同様に、属性情報解析部１５は、エンジニアリングデータ７１の中の「センサ温度２」のオブジェクト名がオブジェクト識別２に該当し、そのデータはアナログ入力データで、最大値が１００、最小値が０であることを抽出する。そして、属性情報解析部１５は、中間データ７２のルール番号２の行の送信元／先情報の欄にオブジェクト名である「センサ温度２」を格納し、ペイロード条件の欄に「オブジェクト識別子２、Ａｎａｌｏｇ　ｉｎｐｕｔ、０～１００」のデータを格納する。また、ネットワーク３０の通信にはＢＡＣｎｅｔを用いるので、プロトコル種別にはそれぞれＢＡＣｎｅｔを格納する。
　属性情報解析部１５は、エンジニアリングデータ７１に含まれる全てのオブジェクトについて通信許可ルールの生成に必要な情報を抽出して中間データ７２の各項目に入力して中間データ７２を生成する。このように、属性情報解析部１５は、エンジニアリングデータ７１を解析して通信許可ルールの生成に必要な情報を抽出し、ネットワーク３０の通信仕様フォーマットと同様の格納領域を有する中間データ７２の各項目に入力することにより中間データ７２を形成する。
　属性情報解析部１５は、図８のステップＳ２０３で中間データ７２を形成したら、図８のステップＳ２０４に示すように形成した中間データ７２を通信許可リスト生成部１４に出力する。
　通信許可リスト生成部１４は、図８のステップＳ２０５に示すように、内部に格納されているデフォルトの管理情報を読み出す。ここで、管理情報とは、ネットワーク３０の構成情報と、空調機器５６、照明機器５７の温度センサ等のオブジェクトの入出力情報とを含むものである。ネットワーク３０の構成条件とは、例えば、送信元／先アドレス、データ長等である。オブジェクトの入出力情報とは、例えば、オブジェクト識別子の読み、書き等のコマンド条件である。
　通信許可リスト生成部１４は、図８のステップＳ２０６において、読み出した管理情報に基づいて、中間データ７２の送信元／先情報に格納されているオブジェクト名の「センサ温度１」を送信元／先アドレスに変換する。また、ペイロード条件に格納されている「オブジェクト識別子１」をセンサ温度１の入出力情報である「ｒｅａｄ　ｐｒｏｐｅｒｔｙ」に変換する。そして、データ長に「８２」、状態に「運転」、周期条件に「１秒以上」を追加する。このように、通信許可リスト生成部１４は、中間データ７２に管理情報を合わせて図６に示すような通信許可リスト７３を生成する。通信許可リスト生成部１４は、図８のステップＳ２０６において、生成した通信許可リスト７３をメモリ６３に格納する。
　以上説明したように、本実施形態の侵入検知装置１０は、ＢＡＣｎｅｔの通信を用いたビル管理システム１００を構築する際に用いられるエンジニアリング情報ファイル１６の中のエンジニアリングデータ７１に基づいて通信許可リスト７３を生成するので、学習等に基づくよりも簡便に通信許可リスト７３を生成することができる。
　次に図９を参照しながら、他の実施形態の侵入検知装置１０について説明する。図９に示す侵入検知装置１０は、管理情報ファイル１７を外部から入力することによって外部から管理情報を入力可能としたものである。図９に示すように、管理情報ファイル１７は、オブジェクト名－送信元先情報変換テーブル１８、オブジェクト識別子－コマンド条件変換テーブル１９を含んでいる。
　本実施形態の侵入検知装置１０は、管理情報を外部のファイルから取り込むようにしたので、管理情報に変更があった場合でも簡便に通信許可リスト７３を再生成することができる。
　次に図１０から図１２を参照しながら他の実施形態の侵入検知装置２０について説明する。先に図１から図８を参照して説明した侵入検知装置１０と同様の部分については簡略に説明する。
　図１０に示す侵入検知装置２０は、通信取得部２１と、侵入検知部２２と、警報部２３と、通信ルールリスト生成部２７と、通信許可リスト生成部２４と、属性情報解析部２５と、通信ルールリスト検証部２８と、通信許可リスト格納部２９とを備えている。通信取得部２１、警報部２３、属性情報解析部２５、は、先に説明した侵入検知装置１０の通信取得部１１、警報部１３、属性情報解析部１５と同様である。
　通信ルールリスト生成部２７は、通信取得部２１が取得した通信判定データを学習して図１１に示すような通信ルールリスト７４を生成し、通信ルールリスト検証部２８に出力する。通信許可リスト生成部２４は、先に説明した通信許可リスト生成部１４と同様の動作で通信許可リスト７３を生成し、生成した通信許可リスト７３を通信ルールリスト検証部２８に出力する。通信ルールリスト検証部２８は、通信ルールリスト７４と通信許可リスト７３とを比較して通信ルールリスト７４を修正して修正通信許可リストとして通信許可リスト格納部２９に格納する。侵入検知部２２は、通信取得部２１から入力された通信判定データと通信許可リスト格納部２９に格納した修正通信許可リストとを比較して侵入検知を行う。
　図１２、図１３を参照しながら本実施形態の侵入検知装置２０の動作について説明する。図７、図８を参照して説明した侵入検知装置１０の動作と同様のステップについては同様の符号を付して説明は省略する。なお、図１２、図１３は、侵入検知方法を示すものでもある。
　通信許可リスト生成部２４は、通信許可リスト生成部１４と同様、図１２のステップＳ２０１からＳ２０４において中間データ７２を形成、出力し、図１２のステップ２０５において管理情報を読み出し、図１２のステップＳ２２６で通信許可リスト生成部１４と同様の方法で通信許可リスト７３を生成し、生成した通信許可リスト７３を通信ルールリスト検証部２８に出力する。図１２のステップＳ２０１からステップＳ２２６は通信許可リスト生成ステップを構成する。また、図１２のステップＳ２０１からステップＳ２０４は、属性情報解析ステップを構成する。
　通信ルールリスト生成部２７は、図１２のステップＳ２１０に示すように、通信取得部２１から通信判定データを取得し、この通信判定データを学習して図１１に示す通信ルールリスト７４を生成する。先に説明したように、通信判定データは、図６に示す通信許可リスト７３の中の通信ルールと同様、番号、通信状態、プロトコル種別、送信元／先情報、データ長、ペイロード条件、周期条件の各項目を含むデータセットである。通信ルールリスト生成部２７は、通信判定データに含まれる上記のデータセットを抽出してネットワーク３０の通信仕様フォーマットの格納領域を有する通信ルールリスト７４の各項目に入力することによって通信ルールリスト７４を生成していく。学習によって同一の通信ルールを１つの通信ルールに纏めて図１１に示すような通信ルールリスト７４を生成する。そして、通信ルールリスト生成部２７は、図１２のステップＳ２１２において、生成した通信ルールリスト７４を通信ルールリスト検証部２８に出力する。通信ルールリストの生成は、例えば、監視制御端末４０の据え付け時の動作試験の際に行ってもよい。図１２のステップＳ２１０からステップＳ２１２は通信ルールリスト生成ステップを構成する。
　図１１に示す通信ルールのルール番号１の通信ルールは、図６に示す通信許可リスト７３のルール番号１の通信ルールとデータ長のみが異なり、他の項目は一致している。また、通信ルールリスト７４のルール番号２の通信ルールは、図６に示す通信許可リスト７３のルール番号２の通信ルールと状態、送信元／先情報、データ長、ペイロード条件が異なっている。このような通信ルールは、エンジニアリング情報から逸脱しており、侵入によって生成されたものと判断されるため、通信ルールリスト検証部２８は、図１２のステップＳ２１３において、以下のように通信ルールリスト７４を比較、修正して修正通信許可リストを生成する。
　通信ルールリスト検証部２８は、図１２のステップＳ２１３において、通信ルールリスト７４と通信許可リスト７３とを比較して通信ルールリスト７４の修正が必要かどうか判定する。図１２のステップＳ２１３において、通信ルールリスト検証部２８は、通信ルールリスト７４の中の一の通信ルールが通信許可リスト７３の中のいずれかの通信許可ルールと一部のみが異なる場合には、通信ルールリスト７４の修正が必要と判断して図１２のステップＳ２１４に進む。通信ルールリスト検証部２８は、図１２のステップＳ２１４において、通信許可リスト７３に合わせて一の通信ルールを修正して修正通信許可リストとして通信許可リスト格納部２９に出力する。
　また、通信ルールリスト検証部２８は、図１２のステップＳ２１３において、通信ルールリスト７４の中の一の通信ルールが通信許可リスト７３中のいずれの通信許可ルールとも異なる場合で、且つ、通信許可ルールに合わせて一の通信ルールを修正できない場合にも通信ルールリスト７４の修正が必要と判断して図１２のステップＳ２１４に進む。そして、図１２のステップＳ２１４において、通信ルールリスト７４から当該一の通信ルールを削除して修正通信許可リストとして通信許可リスト格納部２９に出力する。
　また、通信ルールリスト検証部２８は、図１２のステップＳ２１３において、通信許可リスト７３に含まれるオブジェクトに関する通信許可ルールの中で、通信ルールリスト７４にそのオブジェクトに関する通信ルールが含まれていないものがある場合にも通信ルールリスト７４の修正が必要と判断して図１２のステップＳ２１４に進む。そして、図１２のステップＳ２１４において、その通信許可ルールを通信ルールリスト７４に追加して修正通信許可リストとして通信許可リスト格納部２９に出力する。例えば、通信許可リスト７３に含まれるが通信ルールリスト７４に含まれない送信元／先情報が有る場合、その送信元／先情報保含む通信許可ルールを通信ルールとして通信ルールリスト７４に追加して修正通信許可リストとして通信許可リスト格納部２９に出力する。
　一方、通信ルールリスト検証部２８は、図１２のステップＳ２１３において、通信ルールリスト７４の中の全ての通信ルールが通信許可リスト７３の中のいずれかの通信許可ルールと一致する場合で、通信許可リスト７３に含まれるオブジェクトに関する通信許可ルールの全てが通信ルールリスト７４の中に通信ルールとして含まれている場合には、通信ルールリスト７４の修正は必要ないと判断して図１２のステップＳ２１５に進む。通信ルールリスト検証部２８は、図１２のステップＳ２１５において、通信ルールリスト７４を修正通信許可リストとして通信許可リスト格納部２９に出力する。図１２のステップＳ２１３からステップＳ２１５は、通信ルールリスト検証ステップを構成する。
　例えば、通信ルールのルール番号１の通信ルールは、図６に示す通信許可リスト７３のルール番号１の通信許可ルールとデータ長のみが異なり、他の項目は一致している。この場合、通信ルールリスト検証部２８は、データ長を通信許可リスト７３に合わせて修正し、修正した通信ルールを含む通信ルールリスト７４を修正通信許可リストとして通信許可リスト格納部２９に出力する。また、通信ルールリスト７４のルール番号２の通信ルールのように図６に示す通信許可リスト７３のルール番号２の通信許可ルールと多数の項目において一致していない場合、通信ルールリスト検証部２８は、この通信ルールを通信許可リスト７３に合わせて修正することは困難と判断し、ルール番２の通信ルールを削除して修正通信許可リストとして通信許可リスト格納部２９に出力する。
　侵入検知部２２は、図１３のステップＳ１０１において通信取得部２１から通信判定データを取得し（判定データ取得ステップ）、図１３のステップＳ１１０において通信判定データが通信許可リスト格納部２９に格納した修正通信許可リストの中のいずれの通信許可ルールにも該当しないと判断した場合には、図１３のステップＳ１０３に進んで侵入検知を行い、侵入検知信号を警報部２３に出力する。警報部２３は、警報をネットワーク３０に出力する（侵入検知ステップ）。
　以上、説明したように、本実施形態の侵入検知装置２０は、通信データを学習して通信ルールリスト７４を作成する場合に、エンジニアリングデータ７１に基づいて生成した通信許可リスト７３を用いて通信ルールリスト７４を修正するので、エンジニアリング情報から逸脱する通信ルールを排除することができる。これにより、簡便な方法で通信許可リスト７３の正確性を確保することができる。また、通信許可リスト７３を用いて通信ルールリスト７４に含まれていないオブジェクトに関する通信ルールを追加するので、通信ルールの網羅度を向上させることができる。
　なお、本発明は以上説明した実施形態に限定されるものではなく、請求の範囲により規定されている本発明の技術的範囲ないし本質から逸脱することない全ての変更および修正を包含するものである。
　１０，２０　侵入検知装置、１１，２１　通信取得部、１２，２２　侵入検知部、１３，２３　警報部、１４，２４　通信許可リスト生成部、１５，２５　属性情報解析部、１６　エンジニアリング情報ファイル、１７　管理情報ファイル、１８　送信元先情報変換テーブル、１９　コマンド条件変換テーブル、２７　通信ルールリスト生成部、２８　通信ルールリスト検証部、２９　通信許可リスト格納部、３０　ネットワーク、４０　監視制御端末、５１，５２　コントローラ、５６　空調機器、５７　照明機器、６０　コンピュータ、６１　ＣＰＵ、６２　補助記憶装置、６３　メモリ、６４　通信装置、６４ａ　レシーバ、６４ｂ　トランスミッタ、６５　入力インターフェース、６６　入力装置、６７　出力インターフェース、６８　ディスプレイ、６９　データバス、７１　エンジニアリングデータ、７２　中間データ、７３　通信許可リスト、７４　通信ルールリスト、１００　ビル管理システム。
 

Claims (12)

  1. 　ビル設備を制御するコントローラと前記コントローラと通信して前記ビル設備を監視する監視制御端末との間を接続するネットワークへの侵入を検知する侵入検知装置であって、
    　前記ネットワークを流れる前記ビル設備に関する通信データを通信判定データとして取得する通信取得部と、
    　前記ネットワークにおける通信を許可する通信許可ルールを生成して通信許可リストとして格納する通信許可リスト生成部と、
    　前記通信取得部が取得した前記通信判定データが前記通信許可リストの中のいずれの前記通信許可ルールにも該当しない場合に前記ネットワークへの侵入を検知する侵入検知部と、を備え、
    　前記通信許可リスト生成部は、
    　前記ビル設備のオブジェクトの属性情報を含むエンジニアリング情報に基づいて前記通信許可ルールを生成する侵入検知装置。
  2. 　請求項１に記載の侵入検知装置であって、
    　前記エンジニアリング情報を解析して前記通信許可ルールの生成に必要な情報を抽出し、前記ネットワークの通信仕様フォーマットに形成して中間データとして出力する属性情報解析部を備え、
    　前記通信許可リスト生成部は、
    　前記中間データに前記ネットワークの構成情報と前記オブジェクトの入出力情報とを含む管理情報を合わせて前記通信許可ルールを生成する侵入検知装置。
  3. 　請求項２に記載の侵入検知装置であって、
    　前記エンジニアリング情報は、外部から前記属性情報解析部に入力され、
    　前記管理情報は、外部から前記通信許可リスト生成部に入力される侵入検知装置。
  4. 　請求項１から３のいずれか１項に記載の侵入検知装置であって、
    　前記通信取得部が取得した前記通信判定データを学習して前記ネットワークを流れる前記ビル設備に関する通信データから通信ルールを生成し、通信ルールリストとして出力する通信ルールリスト生成部と、
    　修正通信許可リストを格納する通信許可リスト格納部と、
    　前記通信ルールリストの中の一の通信ルールが前記通信許可リストの中のいずれかの前記通信許可ルールと一部のみが異なる場合には前記通信許可ルールに合わせて前記一の通信ルールを修正して前記修正通信許可リストとして前記通信許可リスト格納部に出力し、前記通信ルールリストの中の全ての通信ルールが前記通信許可リストの中のいずれかの前記通信許可ルールと一致する場合には、前記通信ルールリストを前記修正通信許可リストとして前記通信許可リスト格納部に出力する通信ルールリスト検証部と、を含み、
    　前記侵入検知部は、前記通信取得部が取得した前記通信判定データが前記通信許可リスト格納部に格納された前記修正通信許可リストの中のいずれの前記通信許可ルールにも該当しない場合に前記ネットワークへの侵入を検知する侵入検知装置。
  5. 　請求項４に記載の侵入検知装置であって、
    　前記通信ルールリスト検証部は、
    　前記通信ルールリストの中の一の通信ルールが前記通信許可リスト中のいずれの前記通信許可ルールとも異なる場合で、且つ、前記通信許可ルールに合わせて前記一の通信ルールを修正できない場合には、前記通信ルールリストから前記一の通信ルールを削除して前記修正通信許可リストとして前記通信許可リスト格納部に出力する侵入検知装置。
  6. 　請求項４または５に記載の侵入検知装置であって、
    　前記通信ルールリスト検証部は、
    　前記通信許可リストに含まれる前記オブジェクトに関する前記通信許可ルールの中で、前記通信ルールリストに前記オブジェクトに関する前記通信ルールが含まれていないものがある場合には、その前記通信許可ルールを前記通信ルールリストに追加して前記修正通信許可リストとして前記通信許可リスト格納部に出力する侵入検知装置。
  7. 　請求項１から６のいずれか１項に記載に侵入検知装置であって、
    　前記侵入検知部が前記ネットワークへの侵入を検知した場合に、侵入を検知したことを示す警報を前記ネットワークに出力する警報部を備える侵入検知装置。
  8. 　ビル設備を制御するコントローラと前記コントローラと通信して前記ビル設備を監視する監視制御端末との間を接続するネットワークへの侵入を検知する侵入検知方法であって、
    　前記ネットワークを流れる前記ビル設備に関する通信データを通信判定データとして取得する判定データ取得ステップと、
    　前記ビル設備のオブジェクトの属性情報を含むエンジニアリング情報に基づいて前記ネットワークにおける通信を許可する通信許可ルールを生成して通信許可リストとして出力する通信許可リスト生成ステップと、
    　取得した前記通信判定データが前記通信許可リストの中のいずれの前記通信許可ルールにも該当しない場合に前記ネットワークへの侵入を検知する侵入検知ステップと、
    　を備える侵入検知方法。
  9. 　請求項８に記載の侵入検知方法であって、
    　前記エンジニアリング情報を解析して前記通信許可ルールの生成に必要な情報を抽出し、前記ネットワークの通信仕様フォーマットに形成して中間データとして出力する属性情報解析ステップを備え、
    　前記通信許可リスト生成ステップは、
    　前記中間データに前記ネットワークの構成情報と前記オブジェクトの入出力情報とを含む管理情報を合わせて前記通信許可ルールを生成する侵入検知方法。
  10. 　請求項８または９に記載の侵入検知方法であって、
    　前記通信判定データを学習して前記ネットワークを流れる前記ビル設備に関する通信データから通信ルールを生成して通信ルールリストとして出力する通信ルールリスト生成ステップと、
    　前記通信ルールリストの中の一の通信ルールが前記通信許可リストの中のいずれかの前記通信許可ルールと一部のみが異なる場合には前記通信許可ルールに合わせて前記一の通信ルールを修正して修正通信許可リストとし、前記通信ルールリストの中の全ての通信ルールが前記通信許可リストの中のいずれかの前記通信許可ルールと一致する場合には、前記通信ルールリストを前記修正通信許可リストとする通信ルールリスト検証ステップと、を含み、
    　前記侵入検知ステップは、前記通信判定データが前記修正通信許可リストの中のいずれの前記通信許可ルールにも該当しない場合に前記ネットワークへの侵入を検知する侵入検知方法。
  11. 　請求項１０に記載の侵入検知方法であって、
    　前記通信ルールリスト検証ステップは、
    　前記通信ルールリストの中の一の通信ルールが前記通信許可リスト中のいずれの前記通信許可ルールとも異なる場合で、且つ、前記通信許可ルールに合わせて前記一の通信ルールを修正できない場合には、前記通信ルールリストから前記一の通信ルールを削除して前記修正通信許可リストとする侵入検知方法。
  12. 　請求項１０または１１に記載の侵入検知方法であって、
    　前記通信ルールリスト検証ステップは、
    　前記通信許可リストに含まれる前記オブジェクトに関する前記通信許可ルールの中で、前記通信ルールリストに前記オブジェクトに関する前記通信ルールが含まれていないものがある場合には、その前記通信許可ルールを前記通信ルールリストに追加して前記修正通信許可リストとする侵入検知方法。
     
PCT/JP2017/023573 2017-06-27 2017-06-27 侵入検知装置および侵入検知方法 WO2019003300A1 (ja)

Priority Applications (6)

Application Number Priority Date Filing Date Title
PCT/JP2017/023573 WO2019003300A1 (ja) 2017-06-27 2017-06-27 侵入検知装置および侵入検知方法
PCT/JP2018/023933 WO2019004101A1 (ja) 2017-06-27 2018-06-25 侵入検知装置および侵入検知方法ならびに侵入検知システム
EP18824636.7A EP3605966B1 (en) 2017-06-27 2018-06-25 Intrusion detection device, intrusion detection method, and intrusion detection system
CN201880040979.1A CN110771101B (zh) 2017-06-27 2018-06-25 入侵检测装置、入侵检测方法以及入侵检测系统
ES18824636T ES2870077T3 (es) 2017-06-27 2018-06-25 Dispositivo de detección de intrusión, método de detección de intrusión y sistema de detección de intrusión
JP2019526874A JP6584733B2 (ja) 2017-06-27 2018-06-25 侵入検知装置および侵入検知方法ならびに侵入検知システム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2017/023573 WO2019003300A1 (ja) 2017-06-27 2017-06-27 侵入検知装置および侵入検知方法

Publications (1)

Publication Number Publication Date
WO2019003300A1 true WO2019003300A1 (ja) 2019-01-03

Family

ID=64741508

Family Applications (2)

Application Number Title Priority Date Filing Date
PCT/JP2017/023573 WO2019003300A1 (ja) 2017-06-27 2017-06-27 侵入検知装置および侵入検知方法
PCT/JP2018/023933 WO2019004101A1 (ja) 2017-06-27 2018-06-25 侵入検知装置および侵入検知方法ならびに侵入検知システム

Family Applications After (1)

Application Number Title Priority Date Filing Date
PCT/JP2018/023933 WO2019004101A1 (ja) 2017-06-27 2018-06-25 侵入検知装置および侵入検知方法ならびに侵入検知システム

Country Status (5)

Country Link
EP (1) EP3605966B1 (ja)
JP (1) JP6584733B2 (ja)
CN (1) CN110771101B (ja)
ES (1) ES2870077T3 (ja)
WO (2) WO2019003300A1 (ja)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE112020007204T5 (de) * 2020-07-17 2023-03-09 Mitsubishi Electric Corporation Vorrichtung zur Erzeugung einer Kommunikationserlaubnisliste, Verfahren zur Erzeugung einer Kommunikationserlaubnisliste und Programm

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007164313A (ja) * 2005-12-12 2007-06-28 Mitsubishi Electric Corp 不正アクセス検知装置
US20090271504A1 (en) * 2003-06-09 2009-10-29 Andrew Francis Ginter Techniques for agent configuration
JP2012034273A (ja) * 2010-08-02 2012-02-16 Yokogawa Electric Corp 不正通信検出システム
WO2014155650A1 (ja) * 2013-03-29 2014-10-02 株式会社日立製作所 情報制御装置、情報制御システム、及び情報制御方法
WO2016194123A1 (ja) * 2015-06-02 2016-12-08 三菱電機ビルテクノサービス株式会社 中継装置、ネットワーク監視システム及びプログラム

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPS6054010B2 (ja) 1978-02-14 1985-11-28 豊年製油株式会社 鉄板焼き用油の製造法
JP3794491B2 (ja) * 2002-08-20 2006-07-05 日本電気株式会社 攻撃防御システムおよび攻撃防御方法
US8248946B2 (en) * 2006-06-06 2012-08-21 Polytechnic Institute of New York Unversity Providing a high-speed defense against distributed denial of service (DDoS) attacks
CN105204487A (zh) * 2014-12-26 2015-12-30 北京邮电大学 基于通信模型的工业控制系统的入侵检测方法及系统
US10291506B2 (en) 2015-03-04 2019-05-14 Fisher-Rosemount Systems, Inc. Anomaly detection in industrial communications networks
CN106571965B (zh) * 2016-11-07 2020-01-17 成都科曦科技有限公司 一种用于酒店设备故障自检、互检反馈的监测展示系统及方法

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20090271504A1 (en) * 2003-06-09 2009-10-29 Andrew Francis Ginter Techniques for agent configuration
JP2007164313A (ja) * 2005-12-12 2007-06-28 Mitsubishi Electric Corp 不正アクセス検知装置
JP2012034273A (ja) * 2010-08-02 2012-02-16 Yokogawa Electric Corp 不正通信検出システム
WO2014155650A1 (ja) * 2013-03-29 2014-10-02 株式会社日立製作所 情報制御装置、情報制御システム、及び情報制御方法
WO2016194123A1 (ja) * 2015-06-02 2016-12-08 三菱電機ビルテクノサービス株式会社 中継装置、ネットワーク監視システム及びプログラム

Also Published As

Publication number Publication date
ES2870077T3 (es) 2021-10-26
EP3605966B1 (en) 2021-01-27
CN110771101B (zh) 2021-07-13
JPWO2019004101A1 (ja) 2019-12-19
WO2019004101A1 (ja) 2019-01-03
EP3605966A4 (en) 2020-04-22
CN110771101A (zh) 2020-02-07
EP3605966A1 (en) 2020-02-05
JP6584733B2 (ja) 2019-10-02

Similar Documents

Publication Publication Date Title
US8626916B2 (en) Handheld field maintenance tool with process communication tunnel
US9829865B2 (en) Adaptive maintenance support and control of a process control system via device specification and actual condition information
US10534354B2 (en) Device maintenance apparatus, device maintenance system, device maintenance method, device maintenance program, and storage medium
JP7188979B2 (ja) 異常検知装置、異常検知方法および異常検知プログラム
JP6453504B1 (ja) 異常監視装置、異常監視方法および異常監視プログラム
GB2568577A (en) Smart function block for integration of PLCS into a control system and methods for the same
US10317866B2 (en) State change management system for manufacturing cell in cell control system
CN103186129A (zh) 控制系统冗余的方法及系统
US20200019902A1 (en) Engineering assistant system, engineering assistant method, server apparatus, storage medium, client apparatus, and client program
WO2019003300A1 (ja) 侵入検知装置および侵入検知方法
JP6273835B2 (ja) 状態判定装置、状態判定方法および状態判定プログラム
WO2020184087A1 (ja) 解析装置、解析方法、及び解析プログラム
US10218722B2 (en) Method and system for developing an anomaly detector for detecting an anomaly parameter on network terminals in a distributed network
US20170373875A1 (en) Point-to-point checkout automation
JP6290777B2 (ja) データ関連情報処理装置及びプログラム
US10880151B2 (en) Notification control device, notification control system, notification control method, and storage medium
US20220207289A1 (en) Device selection apparatus, data set selection apparatus, method for selecting device, and program
KR20170048843A (ko) 센서 데이터를 이용한 이상 감지 장치 및 방법
JP2020149303A (ja) 解析装置、解析方法、及び解析プログラム
JP7414704B2 (ja) 異常検出装置、異常検出方法、およびプログラム
US20220244695A1 (en) Support device, non-transitory computer-readable recording medium recording support program, and setting method
JP2019197449A (ja) 機器管理装置およびタグ名検証方法
JP6389947B1 (ja) 情報処理システム、情報処理装置、及びプログラム
US20140143793A1 (en) Event processing method and apparatus performing the same
US20150113507A1 (en) Method for automatic grouping of interlinked graphical configuration elements and computer program product

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 17916009

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 17916009

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: JP