WO2019142264A1 - 攻撃検知装置、攻撃検知方法および攻撃検知プログラム - Google Patents

攻撃検知装置、攻撃検知方法および攻撃検知プログラム Download PDF

Info

Publication number
WO2019142264A1
WO2019142264A1 PCT/JP2018/001223 JP2018001223W WO2019142264A1 WO 2019142264 A1 WO2019142264 A1 WO 2019142264A1 JP 2018001223 W JP2018001223 W JP 2018001223W WO 2019142264 A1 WO2019142264 A1 WO 2019142264A1
Authority
WO
WIPO (PCT)
Prior art keywords
state
attack
communication information
rule
detection
Prior art date
Application number
PCT/JP2018/001223
Other languages
English (en)
French (fr)
Inventor
綱人 中井
幸宏 市川
Original Assignee
三菱電機株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 三菱電機株式会社 filed Critical 三菱電機株式会社
Priority to CN201880084979.1A priority Critical patent/CN111566643B/zh
Priority to US16/764,554 priority patent/US20200279174A1/en
Priority to PCT/JP2018/001223 priority patent/WO2019142264A1/ja
Priority to KR1020207019552A priority patent/KR102253213B1/ko
Priority to JP2019566030A priority patent/JP6749508B2/ja
Priority to EP18901608.2A priority patent/EP3731122B1/en
Publication of WO2019142264A1 publication Critical patent/WO2019142264A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N5/00—Computing arrangements using knowledge-based models
    • G06N5/02—Knowledge representation; Symbolic representation
    • G06N5/022—Knowledge engineering; Knowledge acquisition
    • G06N5/025—Extracting rules from data
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0263—Rule management
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection

Definitions

  • the present invention relates to a technology for detecting a cyber attack.
  • the conventional attack detection function defines the detection rule by using the fixed network communication of the control system.
  • the detection rule allows the combination of the destination address and the source address and the protocol, etc. Communication information is described. Further, as a countermeasure against an attack by combination of normal communication and an attack by an operator's illegal operation, a detection system focusing on the system state has been developed.
  • Patent Document 1 a status notification packet is transmitted from the server device and the controller to grasp the system status. Then, an intrusion and an attack are detected based on the communication pattern according to the system state. That is, it is necessary to incorporate the function of transmitting the status notification packet in the server device and the controller. Therefore, the introduction of the technology proposed in Patent Document 1 is difficult in that the addition or modification of functions is required in the entire system.
  • An object of the present invention is to enable detection of a cyber attack without receiving notification of a status.
  • the attack detection device of the present invention is A model generation unit that generates a state model indicating measurement values of each of the monitoring targets based on a plurality of measurement values obtained by measuring the monitoring targets; A rule generation unit that generates a detection rule indicating communication information according to the status of the monitoring target, based on a plurality of communication data communicated by the monitoring target during a time zone in which the plurality of measurement values are obtained; And an attack detection unit that determines whether new communication data is attack data using the state model and the detection rule.
  • a cyber attack can be detected without receiving notification of the state.
  • FIG. 1 is a configuration diagram of a monitoring control system 200 according to a first embodiment.
  • FIG. 1 shows a specific example of a monitoring control system 200 according to Embodiment 1.
  • FIG. 1 is a block diagram of a monitoring control apparatus 100 according to a first embodiment.
  • FIG. 2 shows a storage unit 121 according to the first embodiment.
  • 6 is a flowchart of a monitoring control method (input) according to Embodiment 1.
  • 6 is a flowchart of a monitoring control method (reception) in Embodiment 1.
  • 6 is a flowchart of an attack detection method according to Embodiment 1.
  • 6 is a flowchart of generation processing (S210) in the first embodiment.
  • FIG. 6 shows an example of a plot graph 141 in Embodiment 1.
  • FIG. 1 shows a specific example of a monitoring control system 200 according to Embodiment 1.
  • FIG. 1 is a block diagram of a monitoring control apparatus 100 according to a first embodiment.
  • FIG. 2 shows an example of a linear model 142 according to Embodiment 1.
  • FIG. 2 shows an example of a state model 134 in Embodiment 1.
  • FIG. 6 shows an example of a detection rule 135 according to the first embodiment.
  • FIG. 6 shows an example of a detection rule 135 according to the first embodiment.
  • FIG. 6 shows an example of a detection rule 135 according to the first embodiment.
  • FIG. 2 shows an example of a state model 134 in Embodiment 1.
  • 6 is a flowchart of attack detection processing (S230) according to the first embodiment.
  • 6 is a flowchart of an attack detection method according to Embodiment 2.
  • 10 is a flowchart of generation processing (S300) in the second embodiment.
  • FIG. 16 shows an example of a communication information list 136 in the second embodiment.
  • 10 is a flowchart of detection rule generation processing (S320) according to the second embodiment.
  • FIG. 1 is a hardware configuration diagram of a monitoring control apparatus 100 according
  • Embodiment 1 A mode of detecting a cyber attack will be described based on FIGS. 1 to 16.
  • the monitoring control system 200 is a system that monitors the monitoring target 202 and controls the monitoring target 202.
  • the monitoring control system 200 includes a monitoring control device 100 and a monitoring target 202.
  • the monitoring control apparatus 100 and the monitoring target 202 communicate with each other via the network 201.
  • the monitoring control apparatus 100 transmits a control value for controlling the monitoring target 202 to the monitoring target 202.
  • the monitoring target 202 operates according to the control value.
  • a plurality of sensors are attached to the monitoring target 202, and various measurements are performed by the plurality of sensors. Then, the monitoring target 202 transmits various measurement values obtained by various measurements to the monitoring control device 100.
  • a specific example of the monitoring target 202 is a plant 210.
  • the configuration of the monitoring control system 200 when the monitoring target 202 is the plant 210 will be described based on FIG.
  • the monitoring control system 200 includes a monitoring control device 100 and a plant 210.
  • the supervisory control device 100 is connected to the information system network 221 and the control system network 222, and the plant 210 is connected to the control system network 222.
  • the information system network 221 is a network used in an office.
  • the control system network 222 is a network through which control values and measurement values are communicated.
  • the plant 210 includes a controller 211, a field network 212 and a field device 213.
  • the field network 212 is a network for communicating control values and measurement values between the controller 211 and the field device 213.
  • the supervisory control device 100 has a function of detecting an attack on the supervisory control system 200. That is, the monitoring control device 100 further functions as an attack detection device. The monitoring control system 200 further functions as an attack detection system.
  • the configuration of the monitoring control apparatus 100 will be described based on FIG.
  • the monitoring control device 100 is a computer including hardware such as a processor 101, a memory 102, an auxiliary storage device 103, a communication device 104, and an input / output interface 105. These pieces of hardware are connected to each other via signal lines.
  • the processor 101 is an integrated circuit (IC) that performs arithmetic processing, and controls other hardware.
  • the processor 101 is a central processing unit (CPU), a digital signal processor (DSP), or a graphics processing unit (GPU).
  • the memory 102 is a volatile storage device.
  • the memory 102 is also referred to as main storage or main memory.
  • the memory 102 is a random access memory (RAM).
  • the data stored in the memory 102 is stored in the auxiliary storage device 103 as needed.
  • the auxiliary storage device 103 is a non-volatile storage device.
  • the auxiliary storage device 103 is a read only memory (ROM), a hard disk drive (HDD), or a flash memory.
  • the data stored in the auxiliary storage device 103 is loaded into the memory 102 as needed.
  • the communication device 104 is a receiver and a transmitter.
  • the communication device 104 is a communication chip or a NIC (Network Interface Card).
  • the input / output interface 105 is a port to which an input device and an output device are connected.
  • the input / output interface 105 is a USB terminal, the input device is a keyboard and a mouse, and the output device is a display.
  • USB is an abbreviation for Universal Serial Bus.
  • the monitoring control apparatus 100 includes elements such as a data management unit 111, a model generation unit 112, a rule generation unit 113, an integration unit 114, an attack detection unit 115, and a warning unit 116. These elements are realized by software.
  • the memory 102 functions as the storage unit 121. However, another storage device may function as the storage unit 121 instead of the memory 102 or together with the memory 102.
  • the communication device 104 functions as the communication unit 122.
  • the input / output interface 105 functions as the reception unit 123 and the display unit 124.
  • the storage unit 121, the communication unit 122, the reception unit 123, and the display unit 124 are controlled by a monitoring control program and an attack detection program. That is, each of the monitoring control program and the attack detection program causes the computer to function as the storage unit 121, the communication unit 122, the reception unit 123, and the display unit 124.
  • the supervisory control device 100 may include a plurality of processors that replace the processor 101.
  • a plurality of processors share the role of the processor 101.
  • the monitoring control program and the attack detection program can be recorded (stored) in a computer readable manner in a non-volatile recording medium such as an optical disk or a flash memory.
  • the monitoring control method (input) will be described based on FIG.
  • the monitoring control method (input) is a procedure when operation input data is input to the monitoring control apparatus 100.
  • the operation input data includes a control type and a control value.
  • the control type is the type of control for the monitoring target 202.
  • An example of a control type for plant 210 is pressure and valve opening and closing.
  • the control value is a target value of control for the monitoring target 202.
  • An example of the control value for the plant 210 is a target pressure value and a target valve opening degree.
  • step S101 the receiving unit 123 receives the operation input data input to the monitoring control apparatus 100.
  • step S102 the data management unit 111 generates the control data 131 based on the operation input data, and stores the generated control data 131 in the storage unit 121.
  • Control data 131 includes control type, control value, and time.
  • step S103 the data management unit 111 generates communication data 133 including the control value. Then, the communication unit 122 transmits the communication data 133 to the monitoring target 202. Further, the data management unit 111 stores the generated communication data 133 in the storage unit 121.
  • the monitoring control method (input) of FIG. 5 is executed each time operation input data is input to the monitoring control apparatus 100.
  • the monitoring control method (reception) will be described based on FIG.
  • the monitoring control method (reception) is a procedure when the communication data 133 reaches the monitoring control device 100 from the monitoring target 202.
  • Communication data 133 from the monitoring target 202 includes measurement types and measurement values.
  • the measurement type is the type of measurement on the monitoring target 202.
  • An example of a measurement type for plant 210 is pressure and valve opening and closing.
  • the measurement value is a value obtained by measuring the monitoring target 202.
  • An example of the measurement value in the plant 210 is pressure and valve opening degree.
  • step S111 the communication unit 122 receives the communication data 133 that has reached the monitoring control device 100.
  • step S112 the data management unit 111 stores the communication data 133 in the storage unit 121.
  • step S113 the data management unit 111 generates measurement data 132 based on the communication data 133, and stores the generated measurement data 132 in the storage unit 121.
  • the measurement data 132 includes the measurement type, the measurement value, and the time.
  • the monitoring control method (reception) of FIG. 6 is executed each time the communication data 133 reaches the monitoring control device 100 from the monitoring target 202.
  • the monitoring control method (display) will be described.
  • the data management unit 111 reads the control data 131 and the measurement data 132 from the storage unit 121, and inputs the control data 131 and the measurement data 132 to the display unit 124. Then, the display unit 124 displays the control data 131 and the measurement data 132 on the display.
  • step S210 the model generation unit 112 generates a state model 134 based on the plurality of control values and the plurality of measurement values.
  • the state model 134 shows value pairs for each state of the monitoring target 202.
  • the value pair is a pair of control value and measurement value.
  • the model generation unit 112 generates the state model 134 as follows.
  • the model generation unit 112 divides a plurality of value pairs obtained from a plurality of control values and a plurality of measurement values into groups, and defines a state for each group.
  • step S210 the rule generation unit 113 generates the detection rule 135 based on the plurality of communication data 133 communicated by the monitoring target 202 in the time zone in which the plurality of control values and the plurality of measurement values are obtained.
  • the detection rule 135 indicates communication information according to the status of the monitoring target 202. The communication information will be described later.
  • the rule generation unit 113 generates the detection rule 135 as follows. First, the rule generation unit 113 acquires the state from the state model 134 based on the value pair when each communication data 133 of the plurality of communication data 133 is obtained. Furthermore, the rule generation unit 113 acquires communication information from each communication data 133. Then, the rule generation unit 113 registers the acquired state and the acquired communication information in the detection rule 135 in association with each other.
  • step S211 the operator determines the type of focus and inputs the type of focus to the monitoring control apparatus 100. Then, the receiving unit 123 receives the type of interest input to the monitoring control apparatus 100.
  • the target type is a type that is referenced to generate the state model 134 and the detection rule 135.
  • Steps S212 to S218 are repeatedly performed.
  • step S ⁇ b> 212 the model generation unit 112 acquires the current value pair of the type of interest from the storage unit 121.
  • the model generation unit 112 acquires the current value pair of the type of interest as follows.
  • the model generation unit 112 selects control data 131 including the same control type as the type of interest, and selects the latest control data 131 from the selected control data 131. Then, the control data 131 acquires a control value from the selected latest control data 131.
  • the model generation unit 112 selects measurement data 132 including the same measurement type as the type of interest, and selects the latest measurement data 132 from the selected measurement data 132. Then, the measurement data 132 acquires a measurement value from the selected latest measurement data 132.
  • a set of the acquired control value and the acquired measurement value is a current value pair of the type of interest.
  • step S213 the model generation unit 112 updates the state model 134 based on the current value pair of the type of interest.
  • the model generation unit 112 updates the state model 134 as follows. First, the model generation unit 112 plots the current value pair of the type of interest on the plot graph 141.
  • the plot graph 141 is a graph in which one or more value pairs are plotted.
  • the horizontal axis indicates the control value, and the vertical axis indicates the measured value.
  • model generation unit 112 updates the linear model 142 based on the plot graph 141.
  • linear model 142 is one or more line graphs corresponding to the plot graph 141.
  • the model generation unit 112 updates the state model 134 based on the linear model 142. Specifically, the model generation unit 112 divides the range of value pairs included in the linear model 142 into a plurality of ranges, and defines a state for each range.
  • the state model 134 includes four states.
  • the range of the state (1) is a range in which the control value is smaller than ⁇ and the measured value is smaller than ⁇ .
  • the range of the state (2) is a range in which the control value is larger than ⁇ and the measured value is smaller than ⁇ .
  • the range of the state (3) is a range in which the control value is smaller than ⁇ and the measured value is larger than ⁇ .
  • the range of the state (4) is a range in which the control value is larger than ⁇ and the measured value is larger than ⁇ .
  • step S214 the rule generation unit 113 acquires the current state from the state model 134. Specifically, the rule generation unit 113 selects, from the state model 134, the range to which the current value pair of the type of interest belongs, and acquires from the state model 134 the state defined in the selected range. The acquired state is the current state.
  • step S215 the rule generation unit 113 determines whether there is new communication data 133.
  • the new communication data 133 in the first step S215 is communication data 133 including the time after the start of the generation process (S210).
  • New communication data 133 in the second and subsequent steps S215 is communication data 133 including the time after the previous step S215. If there is new communication data 133, the process proceeds to step S216. If there is no new communication data 133, the process proceeds to step S218.
  • step S216 the rule generation unit 113 acquires communication information from the new communication data 133.
  • the communication data 133 has a header in which communication information is set. Then, the rule generation unit 113 acquires communication information from the header of the communication data 133.
  • step S ⁇ b> 217 the rule generation unit 113 registers communication information in the detection rule 135 in association with the current state.
  • the detection rule 135 associates the state and the communication information with each other.
  • Communication information is information indicating the characteristics of communication.
  • the communication information includes the protocol type, the transmission source / transmission destination, the data length, the payload condition, and the periodic condition.
  • the protocol type identifies the communication protocol.
  • the transmission source / transmission destination is a combination of a transmission source address and a transmission destination address.
  • the data length is the size of the payload.
  • the payload condition indicates the type of command or the range of setting values.
  • the cycle condition indicates a cycle in which communication data 133 of the same type is generated.
  • step S2108 the model generation unit 112 determines whether to end the generation process (S210). For example, the model generation unit 112 ends the generation process (S210) based on the elapse of a predetermined processing time, the input of a generation end instruction to the monitoring control apparatus 100, the end of the operation time of the monitoring target 202, or the like. judge. If the generation process (S210) is not completed, the process proceeds to step S212.
  • step S220 is continued.
  • the integration unit 114 optimizes the state model 134 and the detection rule 135.
  • the integration unit 114 integrates the plurality of states into one state in each of the state model 134 and the detection rule 135.
  • the integration unit 114 determines whether the detection rule 135 has a plurality of states in which the communication information matches each other.
  • a plurality of states in which the communication information matches each other are referred to as a plurality of corresponding states. If a plurality of corresponding states exist in the detection rule 135, the integration unit 114 selects a plurality of corresponding states from the state model 134, and integrates the selected plurality of states into one state. Furthermore, the integration unit 114 selects a plurality of corresponding states from the detection rule 135, and integrates the selected plurality of states into one state.
  • the communication information of the state (1) is one, and the communication information of the state (2) is two. That is, the numbers of communication information do not match each other between the state (1) and the state (2). Therefore, the integration unit 114 does not integrate the state (1) and the state (2) into one state.
  • FIG. 13 An example of the detection rule 135 is shown in FIG.
  • the communication information of the state (1) is one
  • the communication information of the state (2) is one. That is, the numbers of communication information in the state (1) and the state (2) match each other. Further, the contents of the communication information coincide with each other in the state (1) and the state (2). Therefore, the integration unit 114 integrates the state (1) and the state (2) into one state.
  • FIG. 14 shows a detection rule 135 obtained by optimizing the detection rule 135 of FIG.
  • the state (U1) means a state in which the state (1) and the state (2) are integrated.
  • the communication information of the state (1) and the communication information of the state (2) are integrated into the communication information of the state (U1).
  • FIG. 15 shows a state model 134 obtained by optimizing the state model 134 of FIG.
  • the range of the state (1) and the range of the state (2) are integrated into the range of the state (U1).
  • the range of the state (U1) is a range in which the measured value is smaller than ⁇ .
  • step S230 the attack detection unit 115 detects attack data using the state model 134 and the detection rule 135. That is, the attack detection unit 115 determines, using the state model 134 and the detection rule 135, whether the new communication data 133 is attack data.
  • the new communication data 133 in step S230 is the communication data 133 communicated during execution of step S230.
  • the attack detection unit 115 detects communication data 133 of an attack as follows. First, the attack detection unit 115 selects, from the state model 134, a state corresponding to the measurement value measured in the time zone in which the new communication data 133 is communicated. Next, the attack detection unit 115 selects communication information corresponding to the selected state from the detection rule 135. Next, the attack detection unit 115 compares the selected communication information with the communication information of the new communication data 133. If the communication information of the new communication data 133 does not match the selected communication information, the attack detection unit 115 determines that the new communication data 133 is attack data.
  • the procedure of the attack detection process (S230) will be described based on FIG.
  • the attack detection process (S230) is repeatedly performed.
  • step S231 the attack detection unit 115 acquires the current state from the state model 134.
  • the attack detection unit 115 acquires the current state as follows. First, the attack detection unit 115 acquires the current value pair of the type of interest from the storage unit 121. This type of focus is the same as the type of focus in the generation process (S210) of FIG. That is, this type of focus is the type of focus used to generate the state model 134. Further, the method of acquiring the current value pair of the type of interest is the same as the method in step S212 (see FIG. 3). Then, the attack detection unit 115 acquires the current state from the state model 134 based on the current value pair of the type of interest. The method of acquiring the current state is the same as the method in step S214 (see FIG. 3).
  • step S232 the attack detection unit 115 acquires communication information from the detection rule 135. Specifically, the attack detection unit 115 acquires communication information corresponding to the same state as the current state from the detection rule 135.
  • the communication information acquired in step S232 is called communication information of the detection rule 135.
  • step S233 the attack detection unit 115 determines whether there is new communication data 133.
  • the new communication data 133 in step S233 is communication data 133 including the time after the start of the attack detection process (S230). If there is new communication data 133, the process proceeds to step S234. If there is no new communication data 133, the attack detection process (S230) ends. Thereafter, attack detection processing (S230) is newly executed.
  • step S235 the attack detection unit 115 compares the communication information of the new communication data 133 with the communication information of the detection rule 135. If the communication information of the new communication data 133 matches the communication information of the detection rule 135, the attack detection process (S230) ends. Thereafter, attack detection processing (S230) is newly executed. If the communication information of the new communication data 133 does not match the communication information of the detection rule 135, the process proceeds to step S236.
  • the warning unit 116 outputs a warning. Specifically, the warning unit 116 displays a warning message on the display via the display unit 124. That is, the warning unit 116 inputs a warning message to the display unit 124. Then, the display unit 124 displays a warning message on the display. However, the warning unit 116 may output a warning by a method such as outputting a warning sound from a speaker or lighting a warning lamp.
  • step S236 After step S236, the attack detection process (S230) ends. Thereafter, attack detection processing (S230) is newly executed.
  • Embodiment 1 *** Effect of Embodiment 1 *** It is possible to detect cyber attacks without receiving notification of status.
  • the supervisory control device 100 automatically defines the state of the plant 210 based on the control value and the measurement value. Also, the monitoring control apparatus 100 automatically generates the detection rule 135 in accordance with the definition of the state. Therefore, if the monitoring control apparatus 100 is introduced into the system, it is possible to detect a cyber attack without adding or modifying a function.
  • the supervisory control device 100 can define the behavior of the plant 210, which changes according to the control, as a state based on the control value and the measurement value. Therefore, high-precision detection is possible not by the state based on operation information such as human or human operation or elapsed time of communication but by the detailed state according to the actual state of control.
  • the operator In order to generate the state model 134 and the detection rule 135, the operator only needs to select and select the type of interest. In other words, attacks can be detected without the need for complicated settings by the operator.
  • the supervisory control device 100 defines the state by the state model 134. As a result, not only an attack using the communication data 133 but also an abnormality in a control value or a measured value can be detected based on the state model 134.
  • the monitoring control apparatus 100 determines the state, and applies a detection rule corresponding to the state to the communication data 133. Therefore, even if an attack involving communication according to a communication sequence is performed from a computer hijacked by an attacker, the attack can be detected.
  • the monitoring control apparatus 100 can detect an attack via the network even if the attack is from various terminals other than the remote terminal.
  • the monitoring control apparatus 100 does not use the state notification packet, and defines the state based on the relationship between the control value and the measurement value. Therefore, the first embodiment is a countermeasure against an attack that falsifies the status notification packet.
  • a device other than the monitoring control device 100 may function as an attack detection device.
  • the rule generation unit 113 may generate the detection rule 135 based on one of the control data 131 and the measurement data 132. Specifically, the rule generation unit 113 generates the detection rule 135 based on the plurality of communication data 133 communicated by the monitoring target 202 in the time zone in which the plurality of measurement values are obtained. In this case, the rule generation unit 113 acquires the state from the state model 134 based on the measurement value when each piece of communication data 133 of the plurality of communication data 133 is obtained. Furthermore, the rule generation unit 113 acquires communication information from each communication data 133. Then, the rule generation unit 113 registers the acquired state and the acquired communication information in the detection rule 135 in association with each other.
  • the rule generation unit 113 generates the detection rule 135 based on the plurality of communication data 133 communicated by the monitoring target 202 in the time zone in which the plurality of control values are obtained. In this case, the rule generation unit 113 acquires the state from the state model 134 based on the control value when each communication data 133 of the plurality of communication data 133 is obtained. Furthermore, the rule generation unit 113 acquires communication information from each communication data 133. Then, the rule generation unit 113 registers the acquired state and the acquired communication information in the detection rule 135 in association with each other.
  • the monitoring control method is the same as the method in Embodiment 1 (see FIGS. 5 and 6).
  • step S300 the model generation unit 112 generates the state model 134 by the same method as that in the first embodiment. Also, the rule generation unit 113 generates the detection rule 135 by a method different from the method in the first embodiment.
  • the rule generation unit 113 generates the detection rule 135 as follows.
  • the rule generation unit 113 determines whether the communication information list 136 has the same communication information as the communication information acquired from each communication data 133.
  • the communication information list 136 will be described later.
  • the rule generation unit 113 registers the acquired state and the acquired communication information in the detection rule 135 in association with each other.
  • Steps S220 and S230 are as described in Embodiment 1 (see FIG. 7).
  • step S301 the operator generates the communication information list 136 and inputs the generated communication information list 136 into the monitoring control apparatus 100.
  • the reception unit 123 receives the communication information list 136, and the data management unit 111 stores the communication information list 136 in the storage unit 121.
  • the communication information list 136 is a list of communication information of the valid communication data 133. That is, the communication information list 136 is a list of valid communication information.
  • the communication information list 136 corresponds to data obtained by deleting the state column from the detection rule 135 (see FIG. 12).
  • step S311 the receiving unit 123 receives the type of interest input to the monitoring control apparatus 100.
  • Step S311 is the same as step S211 in the first embodiment (see FIG. 8).
  • step S ⁇ b> 312 the model generation unit 112 acquires the current value pair of the type of interest from the storage unit 121.
  • Step S312 is the same as step S212 in the first embodiment (see FIG. 8).
  • step S313 the model generation unit 112 updates the state model 134 based on the current value pair of the type of interest.
  • Step S313 is the same as step S313 in the first embodiment (see FIG. 8).
  • step S314 the rule generation unit 113 acquires the current state from the state model 134.
  • Step S314 is the same as step S214 in the first embodiment (see FIG. 8).
  • step S315 the rule generation unit 113 determines whether there is new communication data 133.
  • Step S315 is the same as step S215 in the first embodiment (see FIG. 8). If there is new communication data 133, the process proceeds to step S320. If there is no new communication data 133, the process proceeds to step S316.
  • step S320 the rule generation unit 113 updates the detection rule 135 based on the new communication data 133 and the communication information list 136.
  • the procedure of step S320 will be described later.
  • step S 322 the rule generation unit 113 searches the communication information list 136 to determine whether the communication information list 136 has the same communication information as the communication information of the new communication data 133. If communication information identical to the communication information of the new communication data 133 is present in the communication information list 136, the process proceeds to step S323. If the communication information list 136 does not contain the same communication information as the communication information of the new communication data 133, the process proceeds to step S324.
  • step S323 the rule generation unit 113 registers the communication information of the new communication data 133 in the detection rule 135 in association with the current state.
  • step S324 the warning unit 116 outputs a warning.
  • Step S324 is the same as step S236 in the first embodiment (see FIG. 16).
  • the monitoring control apparatus 100 automatically generates a detection rule according to the state based on the valid communication information. Thereby, highly accurate detection is realized. Furthermore, the monitoring control device 100 can also detect an attack when generating a detection rule.
  • the monitoring control device 100 includes a processing circuit 109.
  • the processing circuit 109 is hardware that implements the data management unit 111, the model generation unit 112, the rule generation unit 113, the integration unit 114, the attack detection unit 115, the warning unit 116, and the storage unit 121.
  • the processing circuit 109 may be dedicated hardware, or may be the processor 101 that executes a program stored in the memory 102.
  • the processing circuit 109 is dedicated hardware, the processing circuit 109 is, for example, a single circuit, a complex circuit, a programmed processor, a parallel programmed processor, an ASIC, an FPGA, or a combination thereof.
  • ASIC is an abbreviation for Application Specific Integrated Circuit
  • FPGA is an abbreviation for Field Programmable Gate Array.
  • the monitoring control device 100 may include a plurality of processing circuits that replace the processing circuit 109. The plurality of processing circuits share the role of the processing circuit 109.
  • supervisory control device 100 some functions may be realized by dedicated hardware, and the remaining functions may be realized by software or firmware.
  • the processing circuit 109 can be realized in hardware, software, firmware or a combination thereof.
  • the embodiments are exemplifications of preferred embodiments, and are not intended to limit the technical scope of the present invention.
  • the embodiment may be partially implemented or may be implemented in combination with other embodiments.
  • the procedure described using the flowchart and the like may be changed as appropriate.
  • Reference Signs List 100 supervisory control device, 101 processor, 102 memory, 103 auxiliary storage device, 104 communication device, 105 input / output interface, 109 processing circuit, 111 data management unit, 112 model generation unit, 113 rule generation unit, 114 integration unit, 115 attack Detection unit, 116 warning unit, 121 storage unit, 122 communication unit, 123 reception unit, 124 display unit, 131 control data, 132 measurement data, 133 communication data, 134 state model, 135 detection rule, 136 communication information list, 141 plot Graph, 142 linear models, 200 supervisory control systems, 201 networks, 202 monitored targets, 210 plants, 211 controllers, 212 field networks, 213 field devices, 2 1 information system network, 222 a control system network.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Computer Hardware Design (AREA)
  • General Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Physics & Mathematics (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Mathematical Physics (AREA)
  • Evolutionary Computation (AREA)
  • Data Mining & Analysis (AREA)
  • Computational Linguistics (AREA)
  • Artificial Intelligence (AREA)
  • Business, Economics & Management (AREA)
  • General Business, Economics & Management (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

モデル生成部（１１２）は、監視対象を計測して得られた複数の計測値に基づいて、監視対象の状態別の計測値を示す状態モデルを生成する。統合部（１１４）は、複数の計測値が得られた時間帯に監視対象によって通信された複数の通信データに基づいて、監視対象の状態別の通信情報を示す検知ルールを生成する。攻撃検知部（１１５）は、状態モデルと検知ルールとを用いて、新たな通信データが攻撃データであるか判定する。

Description

攻撃検知装置、攻撃検知方法および攻撃検知プログラム
　本発明は、サイバー攻撃を検知する技術に関するものである。
　近年、制御システムがネットワークに接続されるケースが増大している。そして、制御システムがサイバー攻撃の標的になるケースが増加している。
　そこで、サイバー攻撃による攻撃を検知するために、監視制御装置などの装置に攻撃検知機能を搭載することが検討されている。
　従来の攻撃検知機能は、制御システムのネットワーク通信が固定的であることを利用して検知ルールが定義される、検知ルールには、送信先アドレスと送信元アドレスとの組およびプロトコル等、許可される通信の情報が記載される。
　また、正常な通信の組み合わせによる攻撃および運転員の不正操作による攻撃の対策として、システム状態に着目した検知システムが開発されている。
　特許文献１では、システム状態を通知するパケットによってシステム状態に対応した正常な通信パターンを確認することが提案されている。
国際公開２０１４／１５５６５０号
　特許文献１の提案では、サーバ装置およびコントローラから状態通知パケットが送信され、システム状態が把握される。そして、システム状態に応じた通信パターンに基づいて侵入および攻撃が検知される。
　つまり、状態通知パケットを送信する機能をサーバ装置およびコントローラに組み込む要がある。
　そのため、特許文献１で提案されている技術の導入は、システム全体で機能の追加または改修が必要であるという点で困難である。
　本発明は、状態の通知を受けなくてもサイバー攻撃を検知できるようにすることを目的とする。
　本発明の攻撃検知装置は、
　監視対象を計測して得られた複数の計測値に基づいて、前記監視対象の状態別の計測値を示す状態モデルを生成するモデル生成部と、
　前記複数の計測値が得られた時間帯に前記監視対象によって通信された複数の通信データに基づいて、前記監視対象の状態別の通信情報を示す検知ルールを生成するルール生成部と、
　前記状態モデルと前記検知ルールとを用いて、新たな通信データが攻撃データであるか判定する攻撃検知部とを備える。
　本発明によれば、状態モデルが生成されるため、状態の通知を受けなくてもサイバー攻撃を検知することができる。
実施の形態１における監視制御システム２００の構成図。 実施の形態１における監視制御システム２００の具体例を示す図。 実施の形態１における監視制御装置１００の構成図。 実施の形態１における記憶部１２１を示す図。 実施の形態１における監視制御方法（入力）のフローチャート。 実施の形態１における監視制御方法（受信）のフローチャート。 実施の形態１における攻撃検知方法のフローチャート。 実施の形態１における生成処理（Ｓ２１０）のフローチャート。 実施の形態１におけるプロットグラフ１４１の一例を示す図。 実施の形態１における線形モデル１４２の一例を示す図。 実施の形態１における状態モデル１３４の一例を示す図。 実施の形態１における検知ルール１３５の一例を示す図。 実施の形態１における検知ルール１３５の一例を示す図。 実施の形態１における検知ルール１３５の一例を示す図。 実施の形態１における状態モデル１３４の一例を示す図。 実施の形態１における攻撃検知処理（Ｓ２３０）のフローチャート。 実施の形態２における攻撃検知方法のフローチャート。 実施の形態２における生成処理（Ｓ３００）のフローチャート。 実施の形態２における通信情報リスト１３６の一例を示す図。 実施の形態２における検知ルール生成処理（Ｓ３２０）のフローチャート。 実施の形態における監視制御装置１００のハードウェア構成図。
　実施の形態および図面において、同じ要素および対応する要素には同じ符号を付している。同じ符号が付された要素の説明は適宜に省略または簡略化する。図中の矢印はデータの流れ又は処理の流れを主に示している。
　実施の形態１．
　サイバー攻撃を検知する形態について、図１から図１６に基づいて説明する。
＊＊＊構成の説明＊＊＊
　図１に基づいて、監視制御システム２００の構成を説明する。
　監視制御システム２００は、監視対象２０２の監視および監視対象２０２の制御を行うシステムである。
　監視制御システム２００は、監視制御装置１００と監視対象２０２とを備える。
　監視制御装置１００と監視対象２０２とはネットワーク２０１を介して互いに通信を行う。
　具体的には、監視制御装置１００は、監視対象２０２を制御するための制御値を監視対象２０２へ送信する。監視対象２０２は制御値に従って動作する。監視対象２０２には複数のセンサが取り付けられ、複数のセンサによって各種の計測が行われる。そして、監視対象２０２は、各種の計測によって得られた各種の計測値を監視制御装置１００へ送信する。
　監視対象２０２の具体例はプラント２１０である。
　図２に基づいて、監視対象２０２がプラント２１０である場合の監視制御システム２００の構成を説明する。
　図２において、監視制御システム２００は、監視制御装置１００とプラント２１０とを備える。
　監視制御装置１００は情報系ネットワーク２２１と制御系ネットワーク２２２とに接続され、プラント２１０は制御系ネットワーク２２２に接続される。
　情報系ネットワーク２２１は、オフィス内で利用されるネットワークである。
　制御系ネットワーク２２２は、制御値および計測値が通信されるネットワークである。
　プラント２１０は、コントローラ２１１とフィールドネットワーク２１２とフィールドデバイス２１３とを備える。
　フィールドネットワーク２１２は、コントローラ２１１とフィールドデバイス２１３との間で制御値および計測値を通信するためのネットワークである。
　図１に戻り、監視制御システム２００の説明を続ける。
　監視制御装置１００は、監視制御システム２００に対する攻撃を検知する機能を有する。つまり、監視制御装置１００は、さらに、攻撃検知装置として機能する。そして、監視制御システム２００は、さらに、攻撃検知システムとして機能する。
　図３に基づいて、監視制御装置１００の構成を説明する。
　監視制御装置１００は、プロセッサ１０１とメモリ１０２と補助記憶装置１０３と通信装置１０４と入出力インタフェース１０５といったハードウェアを備えるコンピュータである。これらのハードウェアは、信号線を介して互いに接続されている。
　プロセッサ１０１は、演算処理を行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）であり、他のハードウェアを制御する。例えば、プロセッサ１０１は、ＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ　Ｓｉｇｎａｌ　Ｐｒｏｃｅｓｓｏｒ）、またはＧＰＵ（Ｇｒａｐｈｉｃｓ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）である。
　メモリ１０２は揮発性の記憶装置である。メモリ１０２は、主記憶装置またはメインメモリとも呼ばれる。例えば、メモリ１０２はＲＡＭ（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）である。メモリ１０２に記憶されたデータは必要に応じて補助記憶装置１０３に保存される。
　補助記憶装置１０３は不揮発性の記憶装置である。例えば、補助記憶装置１０３は、ＲＯＭ（Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）、ＨＤＤ（Ｈａｒｄ　Ｄｉｓｋ　Ｄｒｉｖｅ）、またはフラッシュメモリである。補助記憶装置１０３に記憶されたデータは必要に応じてメモリ１０２にロードされる。
　通信装置１０４はレシーバ及びトランスミッタである。例えば、通信装置１０４は通信チップまたはＮＩＣ（Ｎｅｔｗｏｒｋ　Ｉｎｔｅｒｆａｃｅ　Ｃａｒｄ）である。
　入出力インタフェース１０５は入力装置および出力装置が接続されるポートである。例えば、入出力インタフェース１０５はＵＳＢ端子であり、入力装置はキーボードおよびマウスであり、出力装置はディスプレイである。ＵＳＢはＵｎｉｖｅｒｓａｌ　Ｓｅｒｉａｌ　Ｂｕｓの略称である。
　監視制御装置１００は、データ管理部１１１とモデル生成部１１２とルール生成部１１３と統合部１１４と攻撃検知部１１５と警告部１１６といった要素を備える。これらの要素はソフトウェアで実現される。
　補助記憶装置１０３には、データ管理部１１１としてコンピュータを機能させるための監視制御プログラムが記憶されている。
　さらに、補助記憶装置１０３には、モデル生成部１１２とルール生成部１１３と統合部１１４と攻撃検知部１１５と警告部１１６としてコンピュータを機能させるための攻撃検知プログラムが記憶されている。
　監視制御プログラムおよび攻撃検知プログラムは、メモリ１０２にロードされて、プロセッサ１０１によって実行される。
　さらに、補助記憶装置１０３にはＯＳ（Ｏｐｅｒａｔｉｎｇ　Ｓｙｓｔｅｍ）が記憶されている。ＯＳの少なくとも一部は、メモリ１０２にロードされて、プロセッサ１０１によって実行される。
　つまり、プロセッサ１０１は、ＯＳを実行しながら、監視制御プログラムと攻撃検知プログラムとを実行する。
　監視制御プログラムまたは攻撃検知プログラムを実行して得られるデータは、メモリ１０２、補助記憶装置１０３、プロセッサ１０１内のレジスタまたはプロセッサ１０１内のキャッシュメモリといった記憶装置に記憶される。
　メモリ１０２は記憶部１２１として機能する。但し、他の記憶装置が、メモリ１０２の代わりに、又は、メモリ１０２と共に、記憶部１２１として機能してもよい。
　通信装置１０４は通信部１２２として機能する。
　入出力インタフェース１０５は受付部１２３と表示部１２４として機能する。
　記憶部１２１、通信部１２２、受付部１２３および表示部１２４は、監視制御プログラムおよび攻撃検知プログラムによって制御される。つまり、監視制御プログラムと攻撃検知プログラムとのそれぞれは、さらに、記憶部１２１と通信部１２２と受付部１２３と表示部１２４としてコンピュータを機能させる。
　監視制御装置１００は、プロセッサ１０１を代替する複数のプロセッサを備えてもよい。複数のプロセッサは、プロセッサ１０１の役割を分担する。
　監視制御プログラムおよび攻撃検知プログラムは、光ディスクまたはフラッシュメモリ等の不揮発性の記録媒体にコンピュータで読み取り可能に記録（格納）することができる。
　図４に基づいて、記憶部１２１に記憶される主なデータを説明する。
　記憶部１２１には、主に、制御データ１３１と計測データ１３２と通信データ１３３と状態モデル１３４と検知ルール１３５とが記憶される。
　制御データ１３１は、制御値を含んだデータである。
　計測データ１３２は、計測値を含んだデータである。
　通信データ１３３は、監視対象２０２によって通信されたデータである。
　状態モデル１３４および検知ルール１３５は、攻撃データを検知するために用いられる。攻撃データは、監視制御システム２００を攻撃するための通信データ１３３である。
＊＊＊動作の説明＊＊＊
　監視制御装置１００の動作は監視制御方法と攻撃検知方法とに相当する。また、監視制御方法の手順は監視制御プログラムの手順に相当し、攻撃検知方法の手順は攻撃検知プログラムの手順に相当する。
　図５に基づいて、監視制御方法（入力）を説明する。
　監視制御方法（入力）は、監視制御装置１００に操作入力データが入力された場合の手順である。
　操作入力データは、制御種類と制御値とを含む。
　制御種類は、監視対象２０２に対する制御の種類である。プラント２１０に対する制御種類の一例は、圧力およびバルブ開閉である。
　制御値は、監視対象２０２に対する制御の目標値である。プラント２１０に対する制御値の一例は、圧力の目標値およびバルブ開度の目標値である。
　ステップＳ１０１において、受付部１２３は、監視制御装置１００に入力された操作入力データを受け付ける。
　ステップＳ１０２において、データ管理部１１１は、操作入力データに基づいて制御データ１３１を生成し、生成した制御データ１３１を記憶部１２１に記憶する。
　制御データ１３１は、制御種類と制御値と時刻とを含む。
　ステップＳ１０３において、データ管理部１１１は、制御値を含んだ通信データ１３３を生成する。そして、通信部１２２は、通信データ１３３を監視対象２０２へ送信する。
　また、データ管理部１１１は、生成した通信データ１３３を記憶部１２１に記憶する。
　図５の監視制御方法（入力）は、監視制御装置１００に操作入力データが入力される毎に実行される。
　図６に基づいて、監視制御方法（受信）を説明する。
　監視制御方法（受信）は、監視対象２０２から監視制御装置１００に通信データ１３３が到達した場合の手順である。
　監視対象２０２からの通信データ１３３は計測種類と計測値とを含む。
　計測種類は、監視対象２０２に対する計測の種類である。プラント２１０に対する計測種類の一例は、圧力およびバルブ開閉である。
　計測値は、監視対象２０２を計測して得られた値である。プラント２１０における計測値の一例は、圧力およびバルブ開度である。
　ステップＳ１１１において、通信部１２２は、監視制御装置１００に到達した通信データ１３３を受信する。
　ステップＳ１１２において、データ管理部１１１は、通信データ１３３を記憶部１２１に記憶する。
　ステップＳ１１３において、データ管理部１１１は、通信データ１３３に基づいて計測データ１３２を生成し、生成した計測データ１３２を記憶部１２１に記憶する。
　計測データ１３２は、計測種類と計測値と時刻とを含む。
　図６の監視制御方法（受信）は、監視対象２０２から監視制御装置１００に通信データ１３３が到達する毎に実行される。
　監視制御方法（表示）を説明する。
　監視制御方法（表示）において、データ管理部１１１は、制御データ１３１と計測データ１３２とを記憶部１２１から読み出し、制御データ１３１と計測データ１３２とを表示部１２４に入力する。そして、表示部１２４は、制御データ１３１と計測データ１３２とをディスプレイに表示する。
　図７に基づいて、攻撃検知方法を説明する。
　ステップＳ２１０において、モデル生成部１１２は、複数の制御値と複数の計測値とに基づいて、状態モデル１３４を生成する。
　状態モデル１３４は、監視対象２０２の状態別の値ペアを示す。
　値ペアは、制御値と計測値との組である。
　具体的には、モデル生成部１１２は状態モデル１３４を以下のように生成する。
　モデル生成部１１２は、複数の制御値と複数の計測値とから得られる複数の値ペアをグループ分けしてグループ毎に状態を定義する。
　ステップＳ２１０において、ルール生成部１１３は、複数の制御値と複数の計測値とが得られた時間帯に監視対象２０２によって通信された複数の通信データ１３３に基づいて、検知ルール１３５を生成する。
　検知ルール１３５は、監視対象２０２の状態別の通信情報を示す。通信情報については後述する。
　具体的には、ルール生成部１１３は検知ルール１３５を以下のように生成する。
　まず、ルール生成部１１３は、複数の通信データ１３３の各通信データ１３３が得られたときの値ペアに基づいて状態モデル１３４から状態を取得する。
　さらに、ルール生成部１１３は、各通信データ１３３から通信情報を取得する。
　そして、ルール生成部１１３は、取得した状態と取得した通信情報とを互いに対応付けて検知ルール１３５に登録する。
　図８に基づいて、生成処理（Ｓ２１０）の手順を説明する。
　ステップＳ２１１において、オペレータは、着目種類を決定し、着目種類を監視制御装置１００に入力する。
　そして、受付部１２３は、監視制御装置１００に入力された着目種類を受け付ける。
　着目種類は、状態モデル１３４と検知ルール１３５とを生成するために参照される種類である。
　ステップＳ２１２からステップＳ２１８は繰り返し実行される。
　ステップＳ２１２において、モデル生成部１１２は、着目種類の現在の値ペアを記憶部１２１から取得する。
　具体的には、モデル生成部１１２は着目種類の現在の値ペアを以下のように取得する。
　モデル生成部１１２は、着目種類と同じ制御種類を含んだ制御データ１３１を選択し、選択した制御データ１３１から最新の制御データ１３１を選択する。そして、制御データ１３１は、選択した最新の制御データ１３１から制御値を取得する。
　さらに、モデル生成部１１２は、着目種類と同じ計測種類を含んだ計測データ１３２を選択し、選択した計測データ１３２から最新の計測データ１３２を選択する。そして、計測データ１３２は、選択した最新の計測データ１３２から計測値を取得する。
　取得された制御値と取得された計測値との組が着目種類の現在の値ペアである。
　ステップＳ２１３において、モデル生成部１１２は、着目種類の現在の値ペアに基づいて、状態モデル１３４を更新する。
　具体的には、モデル生成部１１２は状態モデル１３４を以下のように更新する。
　まず、モデル生成部１１２は、着目種類の現在の値ペアをプロットグラフ１４１にプロットする。
　図９に、プロットグラフ１４１の一例を示す。
　プロットグラフ１４１は、１つ以上の値ペアがプロットされたグラフである。横軸が制御値を示し、縦軸が計測値を示す。
　次に、モデル生成部１１２は、プロットグラフ１４１に基づいて線形モデル１４２を更新する。
　図１０に、線形モデル１４２の一例を示す。
　線形モデル１４２は、プロットグラフ１４１に対応する１つ以上の線グラフである。
　図１０において、線形モデル１４２は２つの線グラフを含んでいる。各線グラフは式で定義される。例えば、第１の線グラフは「ｙ＝ａｘ＋ｂ」という式で定義され、第２の線グラフは「ｙ＝ｃｘ＋ｄ」という式で定義される。
　そして、モデル生成部１１２は、線形モデル１４２に基づいて状態モデル１３４を更新する。
　具体的には、モデル生成部１１２は、線形モデル１４２に含まれる値ペアの範囲を複数の範囲に分割し、範囲ごとに状態を定義する。
　図１１に、状態モデル１３４の一例を示す。
　図１１において、状態モデル１３４は４つの状態を含んでいる。
　状態（１）の範囲は、制御値がαより小さく計測値がβより小さい範囲である。
　状態（２）の範囲は、制御値がαより大きく計測値がβより小さい範囲である。
　状態（３）の範囲は、制御値がαより小さく計測値がβより大きい範囲である。
　状態（４）の範囲は、制御値がαより大きく計測値がβより大きい範囲である。
　図８に戻り、ステップＳ２１４から説明を続ける。
　ステップＳ２１４において、ルール生成部１１３は、状態モデル１３４から現在の状態を取得する。
　具体的には、ルール生成部１１３は、着目種類の現在の値ペアが属する範囲を状態モデル１３４から選択し、選択した範囲に定義された状態を状態モデル１３４から取得する。取得される状態が現在の状態である。
　ステップＳ２１５において、ルール生成部１１３は、新たな通信データ１３３が有るか判定する。
　１回目のステップＳ２１５における新たな通信データ１３３は、生成処理（Ｓ２１０）の開始後の時刻を含んだ通信データ１３３である。
　２回目以降のステップＳ２１５における新たな通信データ１３３は、前回のステップＳ２１５後の時刻を含んだ通信データ１３３である。
　新たな通信データ１３３が有る場合、処理はステップＳ２１６に進む。
　新たな通信データ１３３が無い場合、処理はステップＳ２１８に進む。
　ステップＳ２１６において、ルール生成部１１３は、新たな通信データ１３３から通信情報を取得する。
　具体的には、通信データ１３３は、通信情報が設定されたヘッダを有する。そして、ルール生成部１１３は、通信データ１３３のヘッダから通信情報を取得する。
　ステップＳ２１７において、ルール生成部１１３は、現在の状態に対応付けて通信情報を検知ルール１３５に登録する。
　図１２に、検知ルール１３５の一例を示す。
　検知ルール１３５は、状態と通信情報とを互いに対応付ける。
　通信情報は、通信の特徴を示す情報である。
　図１２において、通信情報は、プロトコル種別と送信元／送信先とデータ長とペイロード条件と周期条件とを含んでいる。
　プロトコル種別は、通信プロトコルを識別する。
　送信元／送信先は、送信元アドレスと送信先アドレスとの組である。
　データ長は、ペイロードのサイズである。
　ペイロード条件は、コマンドの種類または設定値の範囲などを示す。
　周期条件は、同じ種類の通信データ１３３が発生する周期を示す。
　図８に戻り、ステップＳ２１８から説明を続ける。
　ステップＳ２１８において、モデル生成部１１２は、生成処理（Ｓ２１０）を終了するか判定する。
　例えば、モデル生成部１１２は、予め決められた処理時間の経過、監視制御装置１００への生成終了命令の入力または監視対象２０２の運用時間の終了などに基づいて、生成処理（Ｓ２１０）の終了を判定する。
　生成処理（Ｓ２１０）を終了しない場合、処理はステップＳ２１２に進む。
　図７に戻り、ステップＳ２２０を続ける。
　ステップＳ２２０において、統合部１１４は、状態モデル１３４と検知ルール１３５とを最適化する。
　具体的には、統合部１１４は、通信情報が互いに一致する複数の状態が検知ルール１３５に存在する場合に状態モデル１３４と検知ルール１３５とのそれぞれにおいて複数の状態を１つの状態に統合する。
　統合処理（Ｓ２２０）の手順を説明する。
　まず、統合部１１４は、通信情報が互いに一致する複数の状態が検知ルール１３５に存在するか判定する。ここで、通信情報が互いに一致する複数の状態を、該当する複数の状態と呼ぶ。
　該当する複数の状態が検知ルール１３５に存在する場合、統合部１１４は、該当する複数の状態を状態モデル１３４から選択し、選択した複数の状態を１つの状態に統合する。さらに、統合部１１４は、該当する複数の状態を検知ルール１３５から選択し、選択した複数の状態を１つの状態に統合する。
　図１２において、状態（１）の通信情報は１つであり、状態（２）の通信情報は２つである。つまり、状態（１）と状態（２）とは通信情報の数が互いに一致しない。
　したがって、統合部１１４は、状態（１）と状態（２）とを１つの状態に統合しない。
　図１３に、検知ルール１３５の一例を示す。
　図１３において、状態（１）の通信情報は１つであり、状態（２）の通信情報は１つである。つまり、状態（１）と状態（２）とは通信情報の数が互いに一致する。
　さらに、状態（１）と状態（２）とは通信情報の内容が互いに一致する。
　したがって、統合部１１４は、状態（１）と状態（２）とを１つの状態に統合する。
　図１４に、図１３の検知ルール１３５を最適化して得られる検知ルール１３５を示す。
　状態（Ｕ１）は、状態（１）と状態（２）とが統合された状態を意味する。
　状態（１）の通信情報と状態（２）の通信情報とは、状態（Ｕ１）の通信情報に統合されている。
　図１５に、図１１の状態モデル１３４を最適化して得られる状態モデル１３４を示す。
　状態（１）の範囲と状態（２）の範囲とは、状態（Ｕ１）の範囲に統合されている。
　状態（Ｕ１）の範囲は、計測値がβより小さい範囲である。
　図７に戻り、ステップＳ２３０を説明する。
　ステップＳ２３０において、攻撃検知部１１５は、状態モデル１３４と検知ルール１３５とを用いて、攻撃データを検知する。
　つまり、攻撃検知部１１５は、状態モデル１３４と検知ルール１３５とを用いて、新たな通信データ１３３が攻撃データであるか判定する。
　ステップＳ２３０における新たな通信データ１３３は、ステップＳ２３０の実行中に通信された通信データ１３３である。
　具体的には、攻撃検知部１１５は、攻撃の通信データ１３３を以下のように検知する。
　まず、攻撃検知部１１５は、新たな通信データ１３３が通信された時間帯に計測された計測値に対応する状態を状態モデル１３４から選択する。
　次に、攻撃検知部１１５は、選択した状態に対応する通信情報を検知ルール１３５から選択する。
　次に、攻撃検知部１１５は、選択した通信情報と新たな通信データ１３３の通信情報を比較する。
　そして、新たな通信データ１３３の通信情報が選択した通信情報と一致しない場合に、攻撃検知部１１５は、新たな通信データ１３３が攻撃データであると判定する。
　図１６に基づいて、攻撃検知処理（Ｓ２３０）の手順を説明する。
　攻撃検知処理（Ｓ２３０）は繰り返し実行される。
　ステップＳ２３１において、攻撃検知部１１５は、状態モデル１３４から現在の状態を取得する。
　具体的には、攻撃検知部１１５は、現在の状態を以下のように取得する。
　まず、攻撃検知部１１５は、着目種類の現在の値ペアを記憶部１２１から取得する。この着目種類は、図３の生成処理（Ｓ２１０）における着目種類と同じである。つまり、この着目種類は、状態モデル１３４の生成に用いられた着目種類である。また、着目種類の現在の値ペアを取得する方法は、ステップＳ２１２（図３参照）における方法と同じである。
　そして、攻撃検知部１１５は、着目種類の現在の値ペアに基づいて、状態モデル１３４から現在の状態を取得する。現在の状態を取得する方法は、ステップＳ２１４（図３参照）における方法と同じである。
　ステップＳ２３２において、攻撃検知部１１５は、検知ルール１３５から通信情報を取得する。
　具体的には、攻撃検知部１１５は、現在の状態と同じ状態に対応する通信情報を検知ルール１３５から取得する。
　ステップＳ２３２で取得される通信情報を検知ルール１３５の通信情報と呼ぶ。
　ステップＳ２３３において、攻撃検知部１１５は、新たな通信データ１３３が有るか判定する。
　ステップＳ２３３における新たな通信データ１３３は、攻撃検知処理（Ｓ２３０）の開始後の時刻を含んだ通信データ１３３である。
　新たな通信データ１３３が有る場合、処理はステップＳ２３４に進む。
　新たな通信データ１３３が無い場合、攻撃検知処理（Ｓ２３０）は終了する。その後、攻撃検知処理（Ｓ２３０）は新たに実行される。
　ステップＳ２３４において、攻撃検知部１１５は、新たな通信データ１３３から通信情報を取得する。
　ステップＳ２３４で取得される通信情報を新たな通信データ１３３の通信情報と呼ぶ。
　ステップＳ２３５において、攻撃検知部１１５は、新たな通信データ１３３の通信情報を検知ルール１３５の通信情報と比較する。
　新たな通信データ１３３の通信情報が検知ルール１３５の通信情報と一致する場合、攻撃検知処理（Ｓ２３０）は終了する。その後、攻撃検知処理（Ｓ２３０）は新たに実行される。
　新たな通信データ１３３の通信情報が検知ルール１３５の通信情報と一致しない場合、処理はステップＳ２３６に進む。
　ステップＳ２３６において、警告部１１６は警告を出力する。
　具体的には、警告部１１６は、表示部１２４を介して、警告用のメッセージをディスプレイに表示する。つまり、警告部１１６は、警告用のメッセージを表示部１２４に入力する。そして、表示部１２４は、警告用のメッセージをディスプレイに表示する。但し、警告部１１６は、警告用の音声をスピーカから出力させる、または、警告用のランプを点灯させる等の方法によって、警告を出力してもよい。
　ステップＳ２３６の後、攻撃検知処理（Ｓ２３０）は終了する。その後、攻撃検知処理（Ｓ２３０）は新たに実行される。
＊＊＊実施の形態１の効果＊＊＊
　状態の通知を受けなくてもサイバー攻撃を検知することができる。
　監視制御装置１００は、制御値と計測値とを元に、プラント２１０の状態を自動で定義する。また、監視制御装置１００は、状態の定義に合わせて検知ルール１３５を自動で生成する。
　そのため、監視制御装置１００をシステムに導入すれば、機能追加および改修を行わなくても、サイバー攻撃を検知することができる。
　監視制御装置１００は、制御に応じて変化するプラント２１０の挙動を制御値と計測値とに基づいて状態として定義することができる。
　そのため、人間、人間の操作または通信経過時間といった運用面の情報に基づく状態ではなく、制御の実態に合った細かな状態によって、高精度な検知が可能である。
　状態モデル１３４と検知ルール１３５とを生成するために、オペレータは着目種類を選択知ればよい。
　つまり、オペレータによる複雑な設定を必要とせずに、攻撃を検知することができる。
　監視制御装置１００は、必要最小限の検知ルールに基づいて、攻撃を検知する。
　そのため、監視制御装置１００は、高性能な計算リソースと膨大な検知ルールとを必要としない。
　監視制御装置１００は、状態モデル１３４によって状態を定義する。
　これにより、通信データ１３３を用いた攻撃だけでなく、制御値または計測値の異常を状態モデル１３４に基づいて検知することも可能である。
　監視制御装置１００は、状態を判定し、状態に対応する検知ルールを通信データ１３３に適用する。
　そのため、攻撃者に乗っ取られたコンピュータから、通信シーケンスに従った通信を伴う攻撃が行われた場合でも、その攻撃を検知することができる。
　監視制御装置１００は、リモート端末以外の各種の端末からの攻撃であっても、ネットワークを介する攻撃を検知することができる。
　監視制御装置１００は、状態通知パケットを使用せず、制御値と計測値との関係性を元に状態を定義する。
　そのため、実施の形態１は状態通知パケットを改ざんするような攻撃の対策となる。
＊＊＊他の構成＊＊＊
　監視制御装置１００以外の装置が攻撃検知装置として機能してもよい。
　モデル生成部１１２は、制御データ１３１と計測データ１３２とのいずれか一方に基づいて、状態モデル１３４を生成してもよい。
　具体的には、モデル生成部１１２は、複数の計測値に基づいて状態モデル１３４を生成する。この場合、モデル生成部１１２は、複数の計測値をグループ分けしてグループ毎に状態を定義する。
　具体的には、モデル生成部１１２は、複数の制御値に基づいて状態モデル１３４を生成する。この場合、モデル生成部１１２は、複数の制御値をグループ分けしてグループ毎に状態を定義する。
　例えば、モデル生成部１１２は、複数の計測値または複数の制御値を時間帯毎にグループ分けする。
　ルール生成部１１３は、制御データ１３１と計測データ１３２とのいずれか一方に基づいて、検知ルール１３５を生成してもよい。
　具体的には、ルール生成部１１３は、複数の計測値が得られた時間帯に監視対象２０２によって通信された複数の通信データ１３３に基づいて検知ルール１３５を生成する。この場合、ルール生成部１１３は、複数の通信データ１３３の各通信データ１３３が得られたときの計測値に基づいて状態モデル１３４から状態を取得する。さらに、ルール生成部１１３は、各通信データ１３３から通信情報を取得する。そして、ルール生成部１１３は、取得した状態と取得した通信情報とを互いに対応付けて検知ルール１３５に登録する。
　具体的には、ルール生成部１１３は、複数の制御値が得られた時間帯に監視対象２０２によって通信された複数の通信データ１３３に基づいて検知ルール１３５を生成する。この場合、ルール生成部１１３は、複数の通信データ１３３の各通信データ１３３が得られたときの制御値に基づいて状態モデル１３４から状態を取得する。さらに、ルール生成部１１３は、各通信データ１３３から通信情報を取得する。そして、ルール生成部１１３は、取得した状態と取得した通信情報とを互いに対応付けて検知ルール１３５に登録する。
　実施の形態２．
　実施の形態１における方法とは異なる方法で検知ルール１３５を生成する形態について、主に実施の形態１と異なる点を図１７から図２０に基づいて説明する。
＊＊＊構成の説明＊＊＊
　監視制御システム２００の構成は、実施の形態１における構成と同じである（図１および図２参照）。
　監視制御装置１００の構成は、実施の形態１における構成と同じである（図３参照）。
＊＊＊動作の説明＊＊＊
　監視制御方法は、実施の形態１における方法と同じである（図５および図６参照）。
　図１７に基づいて、攻撃検知方法を説明する。
　ステップＳ３００において、モデル生成部１１２は、実施の形態１における方法と同じ方法で状態モデル１３４を生成する。
　また、ルール生成部１１３は、実施の形態１における方法とは異なる方法で検知ルール１３５を生成する。
　具体的には、ルール生成部１１３は、検知ルール１３５を以下のように生成する。
　ルール生成部１１３は、各通信データ１３３から取得した通信情報と同じ通信情報が通信情報リスト１３６に有るか判定する。通信情報リスト１３６については後述する。
　各通信データ１３３から取得した通信情報と同じ通信情報が通信情報リスト１３６に有る場合に、ルール生成部１１３は、取得した状態と取得した通信情報とを互いに対応付けて検知ルール１３５に登録する。
　ステップＳ２２０およびステップＳ２３０は、実施の形態１で説明した通りである（図７参照）。
　図１８に基づいて、生成処理（Ｓ３００）を説明する。
　ステップＳ３０１において、オペレータは、通信情報リスト１３６を生成し、生成した通信情報リスト１３６を監視制御装置１００に入力する。
　受付部１２３は通信情報リスト１３６を受け付け、データ管理部１１１は通信情報リスト１３６を記憶部１２１に記憶する。
　図１９に、通信情報リスト１３６の一例を示す。
　通信情報リスト１３６は、正当な通信データ１３３の通信情報のリストである。つまり、通信情報リスト１３６は、正当な通信情報のリストである。
　通信情報リスト１３６は、検知ルール１３５（図１２参照）から状態の欄を削除して得られるデータに相当する。
　ステップＳ３１１において、受付部１２３は、監視制御装置１００に入力された着目種類を受け付ける。
　ステップＳ３１１は、実施の形態１におけるステップＳ２１１と同じである（図８参照）。
　ステップＳ３１２において、モデル生成部１１２は、着目種類の現在の値ペアを記憶部１２１から取得する。
　ステップＳ３１２は、実施の形態１におけるステップＳ２１２と同じである（図８参照）。
　ステップＳ３１３において、モデル生成部１１２は、着目種類の現在の値ペアに基づいて、状態モデル１３４を更新する。
　ステップＳ３１３は、実施の形態１におけるステップＳ３１３と同じである（図８参照）。
　ステップＳ３１４において、ルール生成部１１３は、状態モデル１３４から現在の状態を取得する。
　ステップＳ３１４は、実施の形態１におけるステップＳ２１４と同じである（図８参照）。
　ステップＳ３１５において、ルール生成部１１３は、新たな通信データ１３３が有るか判定する。
　ステップＳ３１５は、実施の形態１におけるステップＳ２１５と同じである（図８参照）。
　新たな通信データ１３３が有る場合、処理はステップＳ３２０に進む。
　新たな通信データ１３３が無い場合、処理はステップＳ３１６に進む。
　ステップＳ３２０において、ルール生成部１１３は、新たな通信データ１３３と通信情報リスト１３６とに基づいて、検知ルール１３５を更新する。
　ステップＳ３２０の手順について後述する。
　ステップＳ３１６において、モデル生成部１１２は、生成処理（Ｓ３００）を終了するか判定する。
　ステップＳ３１６は、実施の形態１におけるステップＳ２１８と同じである（図８参照）。
　図２０に基づいて、検知ルール生成処理（Ｓ３２０）の手順を説明する。
　ステップＳ３２１において、ルール生成部１１３は、新たな通信データ１３３から通信情報を取得する。
　具体的には、通信データ１３３は、通信情報が設定されたヘッダを有する。そして、ルール生成部１１３は、通信データ１３３のヘッダから通信情報を取得する。
　ステップＳ３２１で取得される通信情報を新たな通信データ１３３の通信情報と呼ぶ。
　ステップＳ３２２において、ルール生成部１１３は、通信情報リスト１３６を検索することによって、新たな通信データ１３３の通信情報と同じ通信情報が通信情報リスト１３６に有るか判定する。
　新たな通信データ１３３の通信情報と同じ通信情報が通信情報リスト１３６に有る場合、処理はステップＳ３２３に進む。
　新たな通信データ１３３の通信情報と同じ通信情報が通信情報リスト１３６に無い場合、処理はステップＳ３２４に進む。
　ステップＳ３２３において、ルール生成部１１３は、現在の状態に対応付けて新たな通信データ１３３の通信情報を検知ルール１３５に登録する。
　ステップＳ３２４において、警告部１１６は警告を出力する。
　ステップＳ３２４は、実施の形態１におけるステップＳ２３６と同じである（図１６参照）。
＊＊＊実施の形態２の効果＊＊＊
　監視制御装置１００は、正当な通信情報に基づいて、状態に応じた検知ルールを自動で生成する。これにより、高精度な検知が実現される。
　さらに、監視制御装置１００は、検知ルールの生成時にも攻撃を検知できる。
＊＊＊実施の形態の補足＊＊＊
　図２１に基づいて、監視制御装置１００のハードウェア構成を説明する。
　監視制御装置１００は処理回路１０９を備える。
　処理回路１０９は、データ管理部１１１とモデル生成部１１２とルール生成部１１３と統合部１１４と攻撃検知部１１５と警告部１１６と記憶部１２１とを実現するハードウェアである。
　処理回路１０９は、専用のハードウェアであってもよいし、メモリ１０２に格納されるプログラムを実行するプロセッサ１０１であってもよい。
　処理回路１０９が専用のハードウェアである場合、処理回路１０９は、例えば、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ、ＦＰＧＡまたはこれらの組み合わせである。
　ＡＳＩＣはＡｐｐｌｉｃａｔｉｏｎ　Ｓｐｅｃｉｆｉｃ　Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔの略称であり、ＦＰＧＡはＦｉｅｌｄ　Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙの略称である。
　監視制御装置１００は、処理回路１０９を代替する複数の処理回路を備えてもよい。複数の処理回路は、処理回路１０９の役割を分担する。
　監視制御装置１００において、一部の機能が専用のハードウェアで実現されて、残りの機能がソフトウェアまたはファームウェアで実現されてもよい。
　このように、処理回路１０９はハードウェア、ソフトウェア、ファームウェアまたはこれらの組み合わせで実現することができる。
　実施の形態は、好ましい形態の例示であり、本発明の技術的範囲を制限することを意図するものではない。実施の形態は、部分的に実施してもよいし、他の形態と組み合わせて実施してもよい。フローチャート等を用いて説明した手順は、適宜に変更してもよい。
　１００　監視制御装置、１０１　プロセッサ、１０２　メモリ、１０３　補助記憶装置、１０４　通信装置、１０５　入出力インタフェース、１０９　処理回路、１１１　データ管理部、１１２　モデル生成部、１１３　ルール生成部、１１４　統合部、１１５　攻撃検知部、１１６　警告部、１２１　記憶部、１２２　通信部、１２３　受付部、１２４　表示部、１３１　制御データ、１３２　計測データ、１３３　通信データ、１３４　状態モデル、１３５　検知ルール、１３６　通信情報リスト、１４１　プロットグラフ、１４２　線形モデル、２００　監視制御システム、２０１　ネットワーク、２０２　監視対象、２１０　プラント、２１１　コントローラ、２１２　フィールドネットワーク、２１３　フィールドデバイス、２２１　情報系ネットワーク、２２２　制御系ネットワーク。

Claims (10)

  1. 　監視対象を計測して得られた複数の計測値に基づいて、前記監視対象の状態別の計測値を示す状態モデルを生成するモデル生成部と、
    　前記複数の計測値が得られた時間帯に前記監視対象によって通信された複数の通信データに基づいて、前記監視対象の状態別の通信情報を示す検知ルールを生成するルール生成部と、
    　前記状態モデルと前記検知ルールとを用いて、新たな通信データが攻撃データであるか判定する攻撃検知部と
    を備える攻撃検知装置。
  2. 　前記モデル生成部は、前記複数の計測値をグループ分けしてグループ毎に状態を定義することによって前記状態モデルを生成する
    請求項１に記載の攻撃検知装置。
  3. 　前記モデル生成部は、前記複数の計測値と前記監視対象に対する複数の制御値とに基づいて、前記状態モデルを生成する
    　前記ルール生成部は、前記複数の制御値と前記複数の計測値とが得られた時間帯に前記監視対象によって通信された複数の通信データに基づいて、前記検知ルールを生成する
    請求項１に記載の攻撃検知装置。
  4. 　前記モデル生成部は、前記複数の制御値と前記複数の計測値とから得られる複数の値ペアをグループ分けしてグループ毎に状態を定義することによって前記状態モデルを生成する
    請求項３に記載の攻撃検知装置。
  5. 　前記ルール生成部は、前記複数の通信データの各通信データが得られたときの計測値に基づいて前記状態モデルから状態を取得し、各通信データから通信情報を取得し、取得した状態と取得した通信情報とを互いに対応付けて前記検知ルールに登録する
    請求項１から請求項４のいずれか１項に記載の攻撃検知装置。
  6. 　前記ルール生成部は、取得した通信情報と同じ通信情報が通信情報リストに有る場合に、取得した状態と取得した通信情報とを互いに対応付けて前記検知ルールに登録する
    請求項５に記載の攻撃検知装置。
  7. 　前記攻撃検知部は、前記新たな通信データが通信された時間帯に計測された計測値に対応する状態を前記状態モデルから選択し、選択した状態に対応する通信情報を前記検知ルールから選択し、選択した通信情報と前記新たな通信データの通信情報を比較し、前記新たな通信データの通信情報が前記選択した通信情報と一致しない場合に前記新たな通信データが前記攻撃データであると判定する
    請求項１から請求項６のいずれか１項に記載の攻撃検知装置。
  8. 　前記攻撃検知装置は、通信情報が互いに一致する複数の状態が前記検知ルールに存在する場合に前記状態モデルと前記検知ルールとのそれぞれにおいて前記複数の状態を１つの状態に統合する統合部を備え、
    　前記攻撃検知部は、前記複数の状態が前記１つの状態に統合された場合に、統合後の状態モデルと統合後の検知ルールとを用いて、前記攻撃の通信データを検知する
    請求項１から請求項７のいずれか１項に記載の攻撃検知装置。
  9. 　モデル生成部が、監視対象を計測して得られた複数の計測値に基づいて、前記監視対象の状態別の計測値を示す状態モデルを生成し、
    　ルール生成部が、前記複数の計測値が得られた時間帯に前記監視対象によって通信された複数の通信データに基づいて、前記監視対象の状態別の通信情報を示す検知ルールを生成し、
    　攻撃検知部が、前記状態モデルと前記検知ルールとを用いて、新たな通信データが攻撃データであるか判定する
    攻撃検知方法。
  10. 　監視対象を計測して得られた複数の計測値に基づいて、前記監視対象の状態別の計測値を示す状態モデルを生成するモデル生成処理と、
    　前記複数の計測値が得られた時間帯に前記監視対象によって通信された複数の通信データに基づいて、前記監視対象の状態別の通信情報を示す検知ルールを生成するルール生成処理と、
    　前記状態モデルと前記検知ルールとを用いて、新たな通信データが攻撃データであるか判定する攻撃検知処理と
    をコンピュータに実行させるための攻撃検知プログラム。
PCT/JP2018/001223 2018-01-17 2018-01-17 攻撃検知装置、攻撃検知方法および攻撃検知プログラム WO2019142264A1 (ja)

Priority Applications (6)

Application Number Priority Date Filing Date Title
CN201880084979.1A CN111566643B (zh) 2018-01-17 2018-01-17 攻击检测装置、攻击检测方法和计算机能读取的记录介质
US16/764,554 US20200279174A1 (en) 2018-01-17 2018-01-17 Attack detection apparatus, attack detection method, and computer readable medium
PCT/JP2018/001223 WO2019142264A1 (ja) 2018-01-17 2018-01-17 攻撃検知装置、攻撃検知方法および攻撃検知プログラム
KR1020207019552A KR102253213B1 (ko) 2018-01-17 2018-01-17 공격 검지 장치
JP2019566030A JP6749508B2 (ja) 2018-01-17 2018-01-17 攻撃検知装置
EP18901608.2A EP3731122B1 (en) 2018-01-17 2018-01-17 Attack detection apparatus, attack detection method, and attack detection program

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2018/001223 WO2019142264A1 (ja) 2018-01-17 2018-01-17 攻撃検知装置、攻撃検知方法および攻撃検知プログラム

Publications (1)

Publication Number Publication Date
WO2019142264A1 true WO2019142264A1 (ja) 2019-07-25

Family

ID=67301068

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2018/001223 WO2019142264A1 (ja) 2018-01-17 2018-01-17 攻撃検知装置、攻撃検知方法および攻撃検知プログラム

Country Status (6)

Country Link
US (1) US20200279174A1 (ja)
EP (1) EP3731122B1 (ja)
JP (1) JP6749508B2 (ja)
KR (1) KR102253213B1 (ja)
CN (1) CN111566643B (ja)
WO (1) WO2019142264A1 (ja)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2010191556A (ja) * 2009-02-17 2010-09-02 Hitachi Ltd 異常検知方法及び異常検知システム
WO2014155650A1 (ja) 2013-03-29 2014-10-02 株式会社日立製作所 情報制御装置、情報制御システム、及び情報制御方法
JP2015103218A (ja) * 2013-11-28 2015-06-04 株式会社日立製作所 プラントの診断装置及び診断方法

Family Cites Families (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4826831B2 (ja) * 2008-03-06 2011-11-30 日本電気株式会社 障害検知装置、障害検知方法及びそのプログラム
US9258217B2 (en) * 2008-12-16 2016-02-09 At&T Intellectual Property I, L.P. Systems and methods for rule-based anomaly detection on IP network flow
JP5331774B2 (ja) * 2010-10-22 2013-10-30 株式会社日立パワーソリューションズ 設備状態監視方法およびその装置並びに設備状態監視用プログラム
FR2967273B1 (fr) * 2010-11-10 2013-06-28 Commissariat Energie Atomique Dispositif de detection a capteur, procede de detection et programme d'ordinateur correspondants
WO2013123385A1 (en) * 2012-02-15 2013-08-22 Rolls-Royce Corporation Gas turbine engine performance seeking control
JP6026313B2 (ja) 2013-02-18 2016-11-16 京楽産業．株式会社 遊技機
JP5715288B1 (ja) * 2014-08-26 2015-05-07 株式会社日立パワーソリューションズ 動態監視装置及び動態監視方法
US9660994B2 (en) * 2014-09-30 2017-05-23 Schneider Electric USA, Inc. SCADA intrusion detection systems
US20170167287A1 (en) * 2015-12-09 2017-06-15 General Electric Company Calibrated Turbine Engine Shaft Torque Sensing
US10027699B2 (en) * 2016-03-10 2018-07-17 Siemens Aktiengesellschaft Production process knowledge-based intrusion detection for industrial control systems
CN106405492A (zh) * 2016-08-31 2017-02-15 广西科技大学 基于声波和无线定位的移动目标检测方法
CN106358286A (zh) * 2016-08-31 2017-01-25 广西科技大学 基于声波和无线定位的移动目标检测方法
WO2018193571A1 (ja) * 2017-04-20 2018-10-25 日本電気株式会社 機器管理システム、モデル学習方法およびモデル学習プログラム
US10805317B2 (en) * 2017-06-15 2020-10-13 Microsoft Technology Licensing, Llc Implementing network security measures in response to a detected cyber attack

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2010191556A (ja) * 2009-02-17 2010-09-02 Hitachi Ltd 異常検知方法及び異常検知システム
WO2014155650A1 (ja) 2013-03-29 2014-10-02 株式会社日立製作所 情報制御装置、情報制御システム、及び情報制御方法
JP2015103218A (ja) * 2013-11-28 2015-06-04 株式会社日立製作所 プラントの診断装置及び診断方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP3731122A4

Also Published As

Publication number Publication date
CN111566643A (zh) 2020-08-21
CN111566643B (zh) 2023-08-08
KR20200088492A (ko) 2020-07-22
EP3731122B1 (en) 2021-09-01
JP6749508B2 (ja) 2020-09-02
EP3731122A1 (en) 2020-10-28
EP3731122A4 (en) 2020-12-09
US20200279174A1 (en) 2020-09-03
JPWO2019142264A1 (ja) 2020-05-28
KR102253213B1 (ko) 2021-05-17

Similar Documents

Publication Publication Date Title
WO2016209537A1 (en) Peer-to-peer group vigilance
JP6968145B2 (ja) システム呼び出しのシーケンスを用いた異常検出
JP2018005818A (ja) 異常検知システム及び異常検知方法
US9817676B2 (en) Cognitive protection of critical industrial solutions using IoT sensor fusion
CN111143165A (zh) 一种监控方法及装置
EP3206367A1 (en) Techniques for detecting attacks in a publish-subscribe network
CN114615005A (zh) 网络中针对网络实体的信任评分
WO2017092459A1 (zh) 片上系统soc的监控方法、装置和计算机存储介质
WO2019142264A1 (ja) 攻撃検知装置、攻撃検知方法および攻撃検知プログラム
CN111181897A (zh) 攻击检测模型训练方法、攻击检测方法及系统
JP2020102671A (ja) 検知装置、検知方法、および、検知プログラム
US10051004B2 (en) Evaluation system
US11095651B2 (en) Communication apparatus and non-transitory computer readable storage medium
US11677582B2 (en) Detecting anomalies on a controller area network bus
JP2019022099A (ja) セキュリティポリシー情報管理システム、セキュリティポリシー情報管理方法、及びプログラム
JP6819610B2 (ja) 診断装置、診断方法、及び、診断プログラム
CN113157543A (zh) 一种可信度量方法及装置、服务器、计算机可读存储介质
JP6863290B2 (ja) 診断装置、診断方法、及び、診断プログラム
WO2022153410A1 (ja) 改竄検知装置、改竄検知方法および改竄検知プログラム
CN115982703B (zh) 用户行为数据处理方法、装置、电子设备和计算机可读介质
JP7176630B2 (ja) 検知装置、検知方法および検知プログラム
KR102006232B1 (ko) 복수개의 디바이스 정보 종합 분석을 통한 디바이스 이상 징후 탐지 방법 및 그 장치
JP2018156561A (ja) ソフトウェア評価プログラム、ソフトウェア評価方法、及び情報処理装置
JP7311402B2 (ja) 閾値出力装置、閾値出力方法および閾値出力プログラム
JP7229533B2 (ja) 情報処理装置、ネットワーク機器、情報処理方法および情報処理プログラム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18901608

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2019566030

Country of ref document: JP

Kind code of ref document: A

ENP Entry into the national phase

Ref document number: 20207019552

Country of ref document: KR

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2018901608

Country of ref document: EP

Effective date: 20200720