JP6310874B2 - インシデント検知システム - Google Patents

Description

本発明は、ネットワークで接続された制御システムで発生するサイバー攻撃等のインシデントを検知するシステムに関し、さらに詳しくは、制御システム内の通信パケットに経路情報を埋め込み，正当な経路情報を持たない通信パケットを不正な通信パケットとして検知するシステムに関する。

電力、鉄道、水道、ガスといった社会インフラや自動車で利用される制御システムは、センサの情報をもとにバルブやアクチュエータといった装置を動作させ、あらかじめ設定されている圧力や温度を保つことが要求される。この動作を実現するためには、定期的にセンサからの情報を取得し、状態を確認し、必要に応じて制御を行うということが必要となる。このため、制御システムでは周期的に処理を行うことが通例であり、システム内の各装置で実行される処理は１周期の中で完結することが要求される。また、常に１周期内で完結するために、各処理の処理時間が状況によって変化せずに一定であることも求められる。このような条件を満たすように構築されている現在の制御システムは、電力、鉄道、水道、自動車といった適用先によって周期や１周期内の空き時間が大きく異なっており、新たな処理を追加するためには、適用先毎に空き時間を見積もり、実装可能な処理内容を検討する必要がある。

一方、制御システムはこれまで専用ＯＳや専用プロトコルを利用しており、インターネット等の外部ネットワークからアクセスできない領域に孤立した状態で設置されているため、いわゆるコンピュータウィルスやＤｏＳ攻撃といったサイバー攻撃からは無縁であると考えられてきた。しかしながら、コスト削減のために汎用ＯＳや汎用プロトコルを利用するケースが増加しており、また、効率向上のために情報系システムとの接続も進んできている。さらに、近年では、制御システムをターゲットとしたコンピュータウィルスが発見されてきている。このように、制御システムにおいても情報システムと同様にマルウェア等の感染や外部からの不正アクセスを検知する技術が必要となってきている。

このような課題に対し、予め制御システム内で実施される通信のパターン（送信元、送信先、プロトコル等）やデータのフォーマットをリスト化し、そのパターンに合致しない通信を不正な通信として検知する技術が知られている（たとえば、特許文献１参照）。

また、通信パケットに認証データを付与し、正当な認証データを持たない通信パケットを不正な通信パケットとして識別する技術が知られている（たとえば、非特許文献１参照）。

特開２０１２−３４２７３号公報

S. Kent, K. Seo, "Security Architecture for the Internet Protocol(RFC4301)", [online], ２００５年１２月, IETF, [２０１４年１１月２５日検索］, インターネット＜URL: https://tools.ietf.org/html/rfc4301＞

制御システムを構成する制御装置は処理時間制約のため、暗号化や認証といった追加の処理が必要となるセキュリティ機能の導入は困難であった。また、定常的な通信パターンをリスト化し、不正な通信パケットを検知する技術では、予めあらゆる通信をリスト化しておく必要があり、緊急時にのみ実行する業務などで抜け漏れがあった場合には誤検知に繋がる可能性があった。また、制御システムのように頻繁に通信が行われる環境下では、検証対象となる通信パケットの数が膨大となり、それらのデータを検証するための負荷が非常に高くなってしまうという問題があった。

本発明は、上記事情に鑑みてなされたものであり、制御装置に処理負荷を掛けることなく、不正な通信を検知するシステムを提供することを目的とする。

上述した課題を解決し、目的を達成するために、本発明にかかるインシデント検知システムは、セキュリティインシデントを検知するインシデント検知システムであって、ゲートウェイ装置は、自ゲートウェイ装置の識別情報を生成するＩＤ生成部と、制御装置から送信された制御情報と、通信パケットに前記自ゲートウェイ装置の識別情報を付与した経路情報と、を含む検知パケットを生成する検知パケット生成部と、前記検知パケットを含むログ情報を生成するログ生成部と、前記ゲートウェイ装置にネットワークで接続された管理サーバに前記ログ情報を送信し、または前記制御情報に基づいて制御される制御装置に前記検知パケットを送信する装置通信部と、を備え、前記管理サーバは、前記ゲートウェイ装置から前記ログ情報を受信するサーバ通信部と、前記ログ情報から前記経路情報を抽出した想定経路情報をあらかじめ記憶部に記憶する通信経路抽出部と、前記記憶部に記憶されている前記想定経路情報と、前記ログ情報に含まれる前記経路情報とに基づいて、不正な通信パケットを検知するインシデント検知部と、を備えることを特徴とするインシデント検知システムとして構成される。

また、本発明にかかるインシデント検知システムは、セキュリティインシデントを検知するインシデント検知システムであって、第１のゲートウェイ装置は、自ゲートウェイ装置の識別情報を生成するＩＤ生成部と、制御装置から送信された制御情報と、通信パケットに前記自ゲートウェイ装置の識別情報を付与した経路情報と、を含む検知パケットを生成する検知パケット生成部と、前記第１のゲートウェイ装置にネットワークで接続された第２のゲートウェイ装置に前記検知パケットを送信する第１の装置通信部と、を備え、前記第２のゲートウェイ装置は、前記第１のゲートウェイ装置から前記検知パケットを受信し、または前記制御情報に基づいて制御される制御装置に前記検知パケットを送信する第２の装置通信部と、前記検知パケットをログ情報として記憶部に格納するログ生成部と、前記ログ情報から前記経路情報を抽出した想定経路情報をあらかじめ記憶部に記憶する通信経路抽出部と、前記記憶部に記憶されている前記想定経路情報と、前記ログ情報に含まれる前記経路情報とに基づいて、不正な通信パケットを検知するインシデント検知部と、を備えることを特徴とするインシデント検知システムとしても把握される。

本発明によれば、制御装置に処理負荷を掛けずに、不正な通信を検知することが可能となる。

本発明の第一の実施形態が適用されたインシデント検知システムの構成を例示する図である。 図１に示す制御装置のハードウェア構成を例示する図である。 図１に示すゲートウェイ装置のハードウェア構成を例示する図である。 図１に示す管理サーバのハードウェア構成を例示する図である。 本発明の第一の実施形態が適用されたインシデント検知システムにおいて、試運転時や運転時にシステム内で実施する処理フローを例示する図である。 本発明の第一の実施形態が適用されたインシデント検知システムにおいて、試運転時に各ゲートウェイ装置に秘密情報を配布し、識別情報を収集する際の処理フローを例示する図である。 本発明の第一の実施形態が適用されたインシデント検知システムにおいて、試運転時に各ゲートウェイ装置から正当な通信パケットの経路情報を収集する際の処理フローを例示する図である。 本発明の第一の実施形態が適用されたインシデント検知システムにおいて、運転時に各ゲートウェイ装置から収集した通信パケットの経路情報から不正な通信パケットを検知する処理フローを例示する図である。 本発明の第一の実施形態が適用されたインシデント検知システムにおいて、運転時に管理サーバ内で行うインシデント検知の処理フローを例示する図である。 本発明の第一の実施形態が適用されたインシデント検知システムにおいて、運転後にゲートウェイ装置を新たに追加した場合の処理フローを例示する図である。 本発明の第一の実施形態が適用されたインシデント検知システムにおいて、運転後にゲートウェイ装置の状態を確認する処理フローを例示する図である。 本発明の第一の実施形態が適用されたインシデント検知システムにおいて、各ゲートウェイ装置が生成する検知パケットの構成を例示する図である。 本発明の第一の実施形態が適用されたインシデント検知システムにおいて、検知パケットに含まれる経路情報の構成を例示する図である。 本発明の第一の実施形態が適用されたインシデント検知システムにおいて、各ゲートウェイ装置が生成するログの構成を例示する図である。 本発明の第一の実施形態が適用されたインシデント検知システムにおいて、管理サーバに格納されている想定経路の構成を例示する図である。 本発明の第一の実施形態が適用されたインシデント検知システムにおいて、管理サーバに格納されているゲートウェイリストの構成を例示する図である。 本発明の第二の実施形態が適用されたインシデント検知システムの構成を例示する図である。 本発明の第二の実施形態が適用されたインシデント検知システムにおいて、試運転時や運転時にシステム内で実施する処理フローを例示する図である。 本発明の第二の実施形態が適用されたインシデント検知システムにおいて、試運転時に各ゲートウェイ装置が正当な通信パケットの経路情報を収集する際の処理フローを例示する図である。 本発明の第二の実施形態が適用されたインシデント検知システムにおいて、運転時に各ゲートウェイ装置が収集した通信パケットの経路情報から不正な通信パケットを検知する処理フローを例示する図である。

本発明の一実施形態について説明する。なお、これにより本発明が限定されるものではない。

図１は、本発明の第一の実施形態が適用されたインシデント検知システムの構成図である。本実施形態のインシデント検知システムは、図１に例示するように、制御装置１０_１〜１０_ｎと、ゲートウェイ装置２０_１〜２０_ｎと、管理サーバ３０と、ネットワーク４０と、から構成されている。

制御装置１０_１〜１０_ｎは、制御処理を行う制御処理部１０１_１〜１０１_ｎと、ゲートウェイ装置２０_１〜２０_ｎ等と通信を行う通信部１０２_１〜１０２_ｎと、を含む。

ゲートウェイ装置２０_１〜２０_ｎは、自ゲートウェイ装置の識別情報を生成するＩＤ生成部２０１_１〜２０１_ｎと、通過するパケットに対して自ゲートウェイ装置の識別情報を付与した検知パケットを生成する検知パケット生成部２０２_１〜２０２_ｎと、通過する通信パケットのログ情報を生成するログ生成部２０３_１〜２０３_ｎと、ゲートウェイ装置２０_１〜２０_ｎの動作モードを変更するモード変更部２０４_１〜２０４_ｎと、制御装置１０_１〜制御装置１０_ｎやネットワーク４０と通信を行う第一通信部２０５_１〜２０５_ｎと、自ゲートウェイ装置で生成したログを格納するログ格納部２０６_１〜２０６_ｎと、自ゲートウェイ装置の識別情報を生成する際に必要となる秘密情報を格納する秘密情報格納部２０７_１〜２０７_ｎと、制御装置１０_１〜制御装置１０_ｎやネットワーク４０と通信を行う第二通信部２０８_１〜２０８_ｎと、を含む。

管理サーバ３０は、管理サーバ３０の動作モードを変更するモード変更部３０１と、ゲートウェイ装置２０_１〜２０_ｎから収集したログ情報からインシデントを検知するインシデント検知部３０２と、ゲートウェイ装置２０_１〜２０_ｎに対して送付する秘密情報を生成する秘密情報生成部３０３と、ゲートウェイ装置２０_１〜２０_ｎからログ情報を収集するログ収集部３０４と、ネットワーク４０と通信を行う通信部３０５と、ゲートウェイ装置２０_１〜２０_ｎから収集したログ情報から想定経路を抽出する想定経路抽出部３０６と、抽出した想定経路を格納する想定経路格納部３０７と、ゲートウェイ装置２０_１〜２０_ｎから収集したログ情報を統合して格納する統合ログ格納部３０８と、生成した秘密情報を格納する秘密情報格納部３０９と、ゲートウェイ装置２０_１〜２０_ｎのリストを格納するゲートウェイリスト格納部３１０と、を含む。以下では、想定経路抽出部３０６は、ログ収集部３０４が収集したログ情報から想定経路を抽出しているが、想定経路抽出部３０６が直接ログ情報を収集してもよい。

図２は制御装置１０_１〜１０_ｎのハードウェア構成を例示する図である。制御装置１０_１〜１０_ｎは、通信装置１１と、入出力装置１２と、記憶装置１３と、ＣＰＵ１４と、メモリ１５と、がバスなどの内部通信線１６で連結され、構成されている。

図３はゲートウェイ装置２０_１〜２０_ｎのハードウェア構成を例示する図である。ゲートウェイ装置２０_１〜２０_ｎは、第一通信装置２１と、入出力装置２２と、記憶装置２３と、第二通信装置２４と、ＣＰＵ２５と、メモリ２６と、がバスなどの内部通信線２７で連結され、構成されている。

図４は管理サーバ３０のハードウェア構成を例示する図である。管理サーバ３０は、通信装置３１と、入出力装置３２と、記憶装置３３と、ＣＰＵ３４と、メモリ３５と、記憶媒体３７を読み込む読取装置３６と、がバスなどの内部通信線３８で連結され、構成されている。

本実施形態のインシデント検知システムにおける処理フローについて説明する。以下に述べる処理フローは、制御装置１０_１〜１０_ｎやゲートウェイ装置２０_１〜２０_ｎや管理サーバ３０の記憶装置に格納されたプログラムがメモリにロードされ、ＣＰＵにより実行されることにより、インシデント検知システムを構成する装置上に具現化される各処理部により実行されるものである。また、各プログラムは予め記憶装置に格納されても良いし、他の記憶媒体または通信媒体（ネットワークまたはネットワークを伝搬する搬送波）を介して、必要なときに導入されても良い。

図５は、本発明の第一の実施形態が適用されたインシデント検知システムにおいて、試運転や運転時にシステム内で実施する処理フローを示した図である。

はじめに、管理サーバ３０のモード変更部３０１は、試運転時に管理サーバの動作モードを、処理の事前準備をするモードである初期化モードに設定する（Ｓ５０１（Ｓ５０１と表現する。以下同様））。次に、通信部３０５は、初期化モードに設定したことを示す初期化モード通知（Ａ５０１）を各ゲートウェイ装置２０_１〜２０_ｎに送信する。

次に、各ゲートウェイ装置２０_１〜２０_ｎのモード変更部２０４_１〜２０４_ｎは、受信した初期化モード通知（Ａ５０１）をもとに初期化モードに設定する（Ｓ５０２）。

次に、各ゲートウェイ装置２０_１〜２０_ｎと管理サーバの間で、初期化処理を実施する（Ｓ５０３）。初期化処理の詳細については、以降の図６に記載する。

次に、初期化処理が終了後、各ゲートウェイ装置２０_１〜２０_ｎのモード変更部２０４_１〜２０４_ｎは、初期化モードを解除する（Ｓ５０４）。

次に、管理サーバ３０のモード変更部３０１は、管理サーバ３０の動作モードを、想定経路を収集するモードである経路収集モードに設定する（Ｓ５０５）。

次に、各ゲートウェイ装置２０_１〜２０_ｎと管理サーバの間で、経路収集処理を実施する（Ｓ５０６）。経路収集処理の詳細については、以降の図７に記載する。

次に、管理サーバ３０のモード変更部３０１は、経路収集処理が終了後、運転時に管理サーバ３０の動作モードを、通信パケットの経路を検知するモードである検知モードに設定する（Ｓ５０７）。

次に、各ゲートウェイ装置２０_１〜２０_ｎと管理サーバ３０間で、検知処理を実施する（Ｓ５０８）。検知処理の詳細については、以降の図８に記載する。

次に、システムに新規ゲートウェイ装置を追加する際に、各ゲートウェイ装置２０_１〜２０_ｎと管理サーバ３０間で、装置追加処理を実施する（Ｓ５０９）。装置追加処理の詳細については、以降の図１０に記載する。

次に、システムからゲートウェイ装置を削除した際、もしくは、定期的、もしくは、任意のタイミングで各ゲートウェイ装置２０_１〜２０_ｎと管理サーバ３０間で、状態確認処理を実施する（Ｓ５１０）。状態確認処理の詳細については、以降の図１１に記載する。

図６は、本発明の第一の実施形態が適用されたインシデント検知システムにおいて、試運転時に各ゲートウェイ装置に秘密情報を配布し、識別情報を収集する際の処理フローを示した図である。

はじめに、管理サーバ３０の秘密情報生成部３０３は、各ゲートウェイ装置に配付する秘密情報を生成する（Ｓ６０１）。ここで秘密情報は暗号化情報であり、暗号演算によって生成してもよいし、擬似乱数や真正乱数によって生成してもよいし、外部からの入力によって生成してもよい。次に、秘密情報生成部３０３は、生成した秘密情報を格納する（Ｓ６０２）。次に、通信部３０５は、生成した秘密情報（Ａ６０１）を各ゲートウェイ装置２０_１〜２０_ｎに送付する。

次に、秘密情報を受信したゲートウェイ装置２０_１〜２０_ｎのＩＤ生成部２０１_１〜２０１_ｎは、秘密情報を格納する（Ｓ６０３_１〜Ｓ６０３_ｎ）。次に、第二通信部２０８_１〜２０８_ｎは、秘密情報の格納結果を含むレスポンスと各ゲートウェイ装置の識別情報（Ａ６０２）を管理サーバ３０に送信する。

次に、管理サーバ３０の秘密情報生成部３０３は、受信したレスポンスを検証し（Ｓ６０４）、各ゲートウェイ装置に対して正しく送付できているか検証する。検証の結果、正しく送付できていないと判断された場合には、該当するゲートウェイ装置に対して、再送を行う。一方、正しく送付できていると判断された場合には、受信したゲートウェイ装置の識別情報をゲートウェイリストとして格納する（Ｓ６０５）。なお、レスポンスを検証するとは、例えば、ｐｉｎｇコマンドを実行した場合におけるリプライ応答の有無を検証することである。

図７は、本発明の第一の実施形態が適用されたインシデント検知システムにおいて、試運転時に各ゲートウェイ装置から正当な通信パケットの経路情報を収集する際の処理フローを示した図である。ここでは制御元となる制御装置１０_１から制御先となる制御装置１０_２に対して制御コマンドを送信するフローを例として示す。

はじめに、制御装置１０_１の制御処理部１０１_１は、制御コマンドを生成する（Ｓ７０１）。次に、通信部１０２_１は、生成された制御コマンド（Ａ７０１）を制御装置１０_２に送信する。

次に、制御装置１０_１の通信部１０２_１に接続されているゲートウェイ装置２０_１の第一通信部２０５_１は、制御装置１０_１から送信された制御コマンド（Ａ７０１）を受信する。次に、ゲートウェイ装置２０_１のＩＤ生成部２０１_１は、自ゲートウェイ装置であるゲートウェイ装置２０_１の識別情報を生成する（Ｓ７０２）。ここで、識別情報の生成は、予めゲートウェイ装置２０_１に与えられている固定の識別情報と秘密情報格納部２０７_１に格納されている秘密情報と時刻情報を組み合わせて、処理を実行する都度生成してもよいし、固定の識別情報と時刻情報を組み合わせて、処理を実行する都度生成してもよい。次に、検知パケット生成部２０２_１は、生成されたゲートウェイＩＤを受信した制御コマンドにその都度付与し、検知パケット（Ａ７０２）を生成する（Ｓ７０３）。次に、第二通信部２０８_１は、生成された検知パケット（Ａ７０２）を制御装置１０_２に送信する。検知パケットのフォーマットについては以降の図１２に記載する。

次に、制御装置１０_２の通信部１０２_２に接続されているゲートウェイ装置２０_２は、制御装置１０_２宛ての検知パケット（Ａ７０２）を受信する。次に、ゲートウェイ装置２０_２のＩＤ生成部２０１_２は、自ゲートウェイ装置であるゲートウェイ装置２０_２の識別情報を生成する（Ｓ７０４）。ここで、識別情報は、Ｓ７０２の場合と同様の方法により生成することができる。次に、検知パケット生成部２０２_２は、生成されたゲートウェイＩＤを受信した制御コマンドにその都度付与し、検知パケット（Ａ７０３）を生成する（Ｓ７０５）。次に、第一通信部２０５_２は、生成された検知パケット（Ａ７０３）を制御装置１０_２に送信する。ここで、検知パケットのフォーマットについては以降の図１２に記載する。次に、ログ生成部２０３_２は、生成された検知パケットをログ情報として格納し（Ｓ７０６）、第二通信部２０８_２は、ログ情報（Ａ７０４）を管理サーバ３０に送信する。ここで、ログ情報のフォーマットについては以降の図１４に記載する。

次に、制御装置１０_２の制御処理部１０１_２は、受信した検知パケット（Ａ７０３）をもとに制御処理を実行する（Ｓ７０７）。

次に、管理サーバ３０の想定経路抽出部３０６は、受信したログ情報（Ａ７０４）から、正当な経路情報である想定経路を抽出する（Ｓ７０８）。次に、想定経路抽出部３０６は、抽出した想定経路に含まれる各ゲートウェイＩＤを、Ｓ６０５で格納したゲートウェイ装置の識別情報に変換し（Ｓ７０９）、その識別情報に変換した後の経路情報を格納する（Ｓ７１０）。Ｓ７０９における変換は、予め共有している秘密情報とログ情報内の日時情報とゲートウェイ装置の固定の識別情報を参照し、該当するゲートウェイ装置の固定の識別情報を算出すればよい。

図８は、本発明の第一の実施形態が適用されたインシデント検知システムにおいて、運転時に各ゲートウェイ装置から収集した通信パケットの経路情報から、セキュリティインシデントの例として、不正な通信パケットを検知する処理フローを示した図である。ここでは制御元となる制御装置１０_１から制御先となる制御装置１０_２に対して制御コマンドを送信するフローを例として示す。なお、Ｓ８０１〜Ｓ８０７までの各処理は、図７に示したＳ７０１〜Ｓ７０７までの処理に対して、処理を実行するタイミングが異なること以外は同様に実行される処理であるため、以下ではその説明を省略し、Ｓ８０８以降の各処理について説明する。
また、Ｓ８０６において、ログ情報は毎回送信する必要はなく、ある程度のログ情報が蓄積された後にまとめて管理サーバに送信してもよい。

Ｓ８０７において制御装置１０_２が、受信した検知パケット（Ａ８０３）をもとに制御処理を実行すると、次に、管理サーバ３０のログ情報収集部３０４は、受信したログ情報（Ａ８０４）に送信元のゲートウェイ装置の識別子を付与し、ログ情報を格納する（Ｓ８０８）。送信元のゲートウェイ装置の識別子とは、図８に示す例では、ゲートウェイ装置２０_２の識別子である。送信元のゲートウェイ装置の識別子を付与する理由は、ログ情報が送信されたゲートウェイ装置を把握するためである。次に、インシデント検知部３０２は、格納されたログ情報をもとにインシデント検知を行う（Ｓ８０９）。ここで、インシデント検知の処理フローについては以降の図９に詳細に記載する。また、インシデント検知は毎回実施する必要はなく、ある程度のログ情報が蓄積された後にまとめてインシデント検知を実施してもよい。

図９は、本発明の第一の実施形態が適用されたインシデント検知システムにおいて、運転時に管理サーバ内で行うインシデント検知の処理フローを示した図である。

はじめに、管理サーバ３０のインシデント検知部３０２は、インシデント検知処理を開始する（Ｓ９０１）。次に、インシデント検知部３０２は、管理サーバ３０のログ格納部３０８に蓄積されているログ情報を取得する（Ｓ９０２）。次に、インシデント検知部３０２は、管理サーバ３０の想定経路格納部３０７に格納されている想定経路を取得する（Ｓ９０３）。次に、インシデント検知部３０２は、図７に示したＳ７０９の場合と同様に、取得したログ情報内のゲートウェイ装置の識別情報を固定の識別情報に変換する（Ｓ９０４）。次に、インシデント検知部３０２は、ログ情報と想定経路との比較検証を行う（Ｓ９０５）。ここで、比較検証は、以降の図１６に示す想定経路とログ情報が完全に一致するか検証しても良いし、想定経路内の経路情報とログ情報内の経路情報のみが一致するか検証しても良い。検証の結果、全てのパケットの経路情報と想定経路が一致すると判断された場合には、その通信パケットは正当な通信パケットであると判断し、処理を終了する（Ｓ９０７）。一方、インシデント検知部３０２は、経路情報と想定経路が一致しないパケットが検知された場合には、その通信パケットは想定された通信経路以外の通信経路を経由した不正な通信パケットであると判断し、その旨を示すアラートを生成する（Ｓ９０６）。

図１０は、本発明の第一の実施形態が適用されたインシデント検知システムにおいて、運転後にゲートウェイ装置を新たに追加した場合の処理フローを示した図である。

はじめに、管理サーバ３０の秘密情報生成部３０３は、秘密情報格納部３０９に格納されている秘密情報を取得する（Ｓ１００１）。次に、通信部３０５は、取得された秘密情報（Ａ１００１）を新規ゲートウェイ装置２０_ｎに対して送信する。

次に、新規ゲートウェイ装置２０_ｎのＩＤ生成部２０１_ｎは、受信した秘密情報（Ａ１００１）を秘密情報格納部２０６_ｎに格納する（Ｓ１００２）。次に、第二通信部２０８_ｎは、秘密情報の格納結果を含むレスポンスと新規ゲートウェイ装置の識別情報（Ａ１００２）を管理サーバ３０に送信する。

次に、管理サーバ３０の秘密情報生成部３０３は、受信したレスポンスを検証し（Ｓ１００３）、新規ゲートウェイ装置２０_ｎに対して正しく送付できているか検証する。検証の結果、正しく送付できていないと判断された場合には、該当するゲートウェイ装置に対して、再送を行う。一方、正しく送付できていると判断された場合には、受信した新規ゲートウェイ装置２０_ｎの識別情報をゲートウェイリストに追加し、ゲートウェイリストを更新する（Ｓ１００４）。

図１１は、本発明の第一の実施形態が適用されたインシデント検知システムにおいて、運転後にゲートウェイ装置の状態を確認する処理フローを示した図である。ここでは、ゲートウェイ装置２０_２がシステムから除去された場合の例を示す。

はじめに、管理サーバ３０の秘密情報生成部３０３は、ゲートウェイリストを取得する（Ｓ１１０１）。次に、秘密情報生成部３０３は、ゲートウェイ装置の状態を確認するコマンド（状態確認コマンド）を生成する（Ｓ１１０２）。次に、通信部３０５は、生成した状態確認コマンド（Ａ１１０１）をシステム内の各ゲートウェイ装置２０_１〜２０_ｎに送信する。

次に、各ゲートウェイ装置２０_１〜２０_ｎのＩＤ生成部２０１_１〜２０１_ｎ（ゲートウェイ装置２０_２を除く）は、受信した状態確認コマンド（Ａ１１０１）をもとに状態情報を生成する（Ｓ１１０３_１〜Ｓ１１０３_ｎ）。ここで、除去ゲートウェイ装置２０_２のＩＤ生成部２０１_２は、既にシステムに存在しないため、状態情報を生成しない。次に、各ゲートウェイ装置２０_１〜２０_ｎの第二通信部２０８_１〜２０８_ｎ（ゲートウェイ装置２０_２を除く）は、生成された状態情報（Ａ１１０２）を管理サーバ３０に送信する。なお、状態情報とは、各ゲートウェイ装置が通信可能な状態であるか否かを示す情報であり、例えば、ｐｉｎｇコマンドに対するリプライ応答を示す情報である。

次に、管理サーバ３０の秘密情報生成部３０３は、受信した状態情報（Ａ１１０２）と各ゲートウェイリストからレスポンスが一定時間内に取得できていない装置の有無を判断する（Ｓ１１０４）。その結果、一定時間内に全てのゲートウェイ装置からレスポンスが返ってきたと判断された場合には処理を終了する（Ｓ１１０５）。一方、一定時間内に全てのゲートウェイ装置からレスポンスが返っていないと判断された場合には、想定経路格納部３０７に格納されている経路情報からレスポンスを返さないゲートウェイ装置を含むすべての経路情報を削除し（Ｓ１１０６）、上記レスポンスを返さないゲートウェイ装置をゲートウェイリストから削除して、ゲートウェイリストをレスポンスが返ってきた装置群に更新する（Ｓ１１０７）。

図１２は、本発明の第一の実施形態が適用されたインシデント検知システムにおいて、各ゲートウェイ装置２０_１〜２０_ｎが生成する検知パケットの構成を例示する図である。

検知パケット（Ａ１２０１）は、ヘッダ（Ａ１２０２）と、データ（Ａ１２０３）から構成される。ここで、ヘッダは、送信元の識別情報（Ａ１２０４）と送信先の識別情報（Ａ１２０５）と通信プロトコル（Ａ１２０６）とポート番号（Ａ１２０７）とパケットの経路情報（Ａ１２０８）から構成される。ここで、経路情報（Ａ１２０８）の格納場所は固定でも良いし、パケット毎に変化させても良い。変化させる場合には、管理サーバ３０において当該日時において、格納される位置を予め共有しておくか、経路情報の開始点を示す識別情報を規定するなどして、管理サーバ３０で経路情報（Ａ１２０８）の格納位置を認識できるようにすればよい。また、経路情報（Ａ１２０８）の詳細な構成は以降の図１３に記載する。なお、検知パケット（Ａ１２０１）の構成要素は上記に限定されるものではなく、少なくとも上記の要素が含まれていればよい。また、検知パケット（Ａ１２０１）の構成要素の順序は上記に限定されるものではない。

図１３は、本発明の第一の実施形態が適用されたインシデント検知システムにおいて、検知パケット（Ａ１２０１）に含まれる経路情報の構成を例示する図である。

経路情報（Ａ１３０１）は、通信パケットが経由したゲートウェイ装置の識別情報（Ａ１３０２_１〜Ａ１３０２_ｎ）から構成される。構成順は通信パケットが経由した順を示す。なお、経路情報（Ａ１３０１）の構成要素は上記に限定されるものではなく、少なくとも上記の要素が含まれていればよい。

図１４は、本発明の第一の実施形態が適用されたインシデント検知システムにおいて、各ゲートウェイ装置２０_１〜２０_ｎが生成するログ情報の構成を例示する図である。

ログ情報（Ａ１４０１）は、ログ情報を生成したゲートウェイ装置の識別情報（Ａ１４０２）とログ情報を生成した日時（Ａ１４０３）と通信パケットのヘッダ（Ａ１４０４）から構成される。ここで、ヘッダ（Ａ１４０４）は、送信元の識別情報（Ａ１４０５）と送信先の識別情報（Ａ１４０６）と通信プロトコル（Ａ１４０７）とポート番号（Ａ１４０８）とパケットの経路情報（Ａ１４０９）から構成される。なお、ログ（Ａ１４０１）の構成要素は上記に限定されるものではなく、少なくとも上記の要素が含まれていればよい。また、ログ情報（Ａ１４０１）の構成要素の順序は上記に限定されるものではない。

図１５は、本発明の第一の実施形態が適用されたインシデント検知システムにおいて、管理サーバ３０に格納されている想定経路の構成を例示する図である。

想定経路（Ａ１５０１）は、ログ情報を生成したゲートウェイ装置の識別情報（Ａ１５０２）と正当な通信パケットの送信元の識別情報（Ａ１５０３）と送信先の識別情報（Ａ１５０４）と経由するゲートウェイ装置の数（Ａ１５０５）と経由ゲートウェイ装置の識別情報（Ａ１５０６）から構成される。ここで、経由ゲートウェイ装置の識別情報（Ａ１５０６）は、正当な通信パケットが経由したゲートウェイ装置の識別情報（Ａ１５０７_１〜Ａ１５０７_ｎ）が経由した順で構成される。なお、想定経路（Ａ１５０１）の構成要素は上記に限定されるものではなく、少なくとも上記の要素が含まれていればよい。また、想定経路（Ａ１５０１）の構成要素の順序は経由ゲートウェイ装置の識別情報を除いて上記に限定されるものではない。

図１６は、本発明の第一の実施形態が適用されたインシデント検知システムにおいて、管理サーバ３０に格納されているゲートウェイリストの構成を例示する図である。

ゲートウェイリスト（Ａ１６０１）は、ゲートウェイ装置の識別情報（Ａ１６０２）と、ＩＰアドレス（Ａ１６０３）から構成される。なお、ゲートウェイリスト（Ａ１６０１）の構成要素は上記に限定されるものではなく、少なくとも上記の要素が含まれていればよい。また、ゲートウェイリスト（Ａ１６０１）の構成要素の順序は上記に限定されるものではない。

図１７は、本発明の第二の実施形態が適用されたインシデント検知システムの構成図である。

本実施形態のインシデント検知システムは、図１７に例示するように、制御装置１０_１〜１０_ｎと、ゲートウェイ装置２０_１〜２０_ｎと、ネットワーク４０と、から構成されている。

制御装置１０_１〜１０_ｎの構成要素は図１と同様である。ゲートウェイ装置２０_１〜２０_ｎの構成要素は、図１で示した構成要素に加えて、収集したログ情報からインシデントを検知するインシデント検知部２０９_１〜２０９_ｎと、収集したログ情報から想定経路を抽出する想定経路抽出部２１０_１〜２１０_ｎと、抽出した想定経路を格納する想定経路格納部２１１_１〜２１１_ｎと、を含む。本実施形態において秘密情報を生成する場合には、第一の実施形態における秘密情報生成部と同様の機能をＩＤ生成部に含ませてもよい。 本実施形態のインシデント検知システムにおける処理フローについて説明する。以下に述べる処理フローは、制御装置１０_１〜１０_ｎやゲートウェイ装置２０_１〜２０_ｎの記憶装置に格納されたプログラムがメモリにロードされ、ＣＰＵにより実行されることにより、インシデント検知システムを構成する装置上に具現化される各処理部により実行されるものである。また、各プログラムは予め記憶装置に格納されても良いし、他の記憶媒体または通信媒体（ネットワークまたはネットワークを伝搬する搬送波）を介して、必要なときに導入されても良い。

図１８は、本発明の第二の実施形態が適用されたインシデント検知システムにおいて、試運転や運転時にシステム内で実施する処理フローを示した図である。

はじめに、試運転時に各ゲートウェイ装置２０_１〜２０_ｎのモード変更部２０４_１〜２０４_ｎは、動作モードを経路収集モードに設定する（Ｓ１８０１_１〜Ｓ１８０１_ｎ）。

次に、ゲートウェイ装置２０_１〜２０_ｎ間で、想定経路抽出部２１０_１〜２１０_ｎは、経路収集処理を実施する（Ｓ１８０２）。経路収集処理の詳細については、以降の図１９に記載する。

次に、経路収集処理が終了後、運転時に各ゲートウェイ装置２０_１〜２０_ｎのモード変更部２０４_１〜２０４_ｎは、動作モードを検知モードに設定する（Ｓ１８０３_１〜Ｓ１８０３_ｎ）。

次に、ゲートウェイ装置２０_１〜２０_ｎ間で、インシデント検知部２０９_１〜２０９_ｎは、検知処理を実施する（Ｓ１８０４）。検知処理の詳細については、以降の図２０に記載する。

図１９は、本発明の第二の実施形態が適用されたインシデント検知システムにおいて、試運転時に各ゲートウェイ装置において正当な通信パケットの経路情報を収集する際の処理フローを示した図である。ここでは制御元となる制御装置１０_１から制御先となる制御装置１０_２に対して制御コマンドを送信するフローを例として示す。

はじめに、制御装置１０_１の制御処理部１０１_１は、制御コマンドを生成する（Ｓ１９０１）。次に、通信部１０２_１は、生成された制御コマンド（Ａ１９０１）をゲートウェイ装置２０_１に送信する。

次に、制御装置１０_１の通信部１０２_１に接続されているゲートウェイ装置２０_１の第一通信部２０５_１は、制御装置１０_１から送信された制御コマンド（Ａ１９０１）を受信する。次に、ゲートウェイ装置２０_１のＩＤ生成部２０１_１は、自ゲートウェイ装置であるゲートウェイ装置２０_１の識別情報を生成する（Ｓ１９０２）。ここで、識別情報の生成は、Ｓ７０２の場合と同様の方法により生成することができる。次に、検知パケット生成部２０２_２は、生成されたゲートウェイＩＤを受信した制御コマンドにその都度付与し、図１２に示した検知パケット（Ａ１９０２）を生成する（Ｓ１９０３）。次に、第二通信部２０８_１は、生成された検知パケット（Ａ１９０２）をゲートウェイ装置２０_２に送信する。

次に、制御装置１０_２の通信部１０２_２に接続されているゲートウェイ装置２０_２の第二通信部２０８_２は、制御装置１０_２宛ての検知パケット（Ａ１９０２）を受信する。次に、ゲートウェイ装置２０_２のＩＤ生成部２０１_２は、自ゲートウェイ装置であるゲートウェイ装置２０２の識別情報を生成する（Ｓ１９０４）。ここで、識別情報は、Ｓ７０２の場合と同様の方法により生成することができる。次に、検知パケット生成部２０２_２は、生成されたゲートウェイＩＤを受信した制御コマンドにその都度付与し、図１２に示した検知パケット（Ａ１９０３）を生成する（Ｓ１９０５）。次に、第一通信部２０５_２は、生成した検知パケット（Ａ１９０３）を制御装置１０_２に送信する。次に、ログ生成部２０３_２は、生成された検知パケットをログ情報として格納する（Ｓ１９０６）。次に、想定経路抽出部２１０_２は、ログ情報から、正当な経路情報である想定経路を抽出する（Ｓ１９０７）。次に、抽出した想定経路を格納する（Ｓ１９０８）。

次に、制御装置１０_２の制御処理部１０１_２は、受信した検知パケット（Ａ１９０３）をもとに制御処理を実行する（Ｓ１９０９）。

図２０は、本発明の第二の実施形態が適用されたインシデント検知システムにおいて、運転時に各ゲートウェイ装置において、セキュリティインシデントの例として、不正な通信パケットを検知する処理フローを示した図である。ここでは制御元となる制御装置１０_１から制御先となる制御装置１０_２に対して制御コマンドを送信するフローを例として示す。なお、Ｓ２００１〜Ｓ２００５までの各処理は、図１９に示したＳ１９０１〜Ｓ１９０５までの処理に対して、処理を実行するタイミングが異なること以外は同様に実行される処理であるため、以下ではその説明を省略し、Ｓ２００５以降の各処理について説明する。

Ｓ２００５において、生成されたゲートウェイＩＤを受信した制御コマンドにその都度付与され、図１２に示した検知パケット（Ａ２００３）が生成されると、次に、ログ生成部２０３_２は、その検知パケットをログ情報として格納する（Ｓ２００６）。次に、インシデント検知部２０９_２は、格納されたログ情報をもとに図９で示したインシデント検知を行い、インシデントの検知によりアラートが生成されている場合にはそのアラートを、ゲートウェイ装置２０_２に接続されたディスプレイ等の表示装置に出力し、アラートが生成されていない場合は検知パケット（Ａ２００３）を制御装置１０_２に送信する（Ｓ２００７）。このとき、アラートが生成されている場合には、不正な通信による本システムへの影響を考慮し、検知パケットを破棄して処理を終了させてもよい。

次に、制御装置１０_２の制御処理部１０１_２は、受信した検知パケット（Ａ２００３）をもとに制御処理を実行する（Ｓ２００８）。

これらの構成、手順およびデータ構造を実現することにより、制御装置に処理負荷を掛けずに、不正な通信を検知することが可能となる。すなわち、システム内に通過するパケットに対して通信経路情報を付与するゲートウェイを設置し、正当な経路情報と通信パケットの経路情報を比較することにより不正な通信パケットを検知することができる。具体的には、システム内のゲートウェイ装置において、通過する通信パケットに、通過したゲートウェイの識別情報を順次追加し、各ゲートウェイ装置にログ情報として蓄積し、蓄積したログ情報は管理サーバあるいはゲートウェイ装置に集約し、予め試運転時に収集していた正当なパケットの経路情報と蓄積したログ情報内の経路情報を比較することにより、不正な通信経路のパケットを検知することができる。

なお、本発明は、上記の実施形態に限定されるものではなく、その要旨の範囲内で様々な変形が可能である。

たとえば、制御装置内にゲートウェイ装置の機能が含まれている場合や、制御装置やゲートウェイ装置にネットワークとの通信機能が含まれておらず、別の装置を経由してネットワークと通信を行うことも可能である。該実施形態の場合においてもシステム全体において行う処理においても同様の機能を実現することができる。例えば、第二の実施形態において、１つのゲートウェイ装置をマスタ装置として第一の実施形態における管理サーバ３０と同様に機能させ、図６に示した初期化処理を実行した上で経路収集処理や検知処理を実行してもよい。

１０_１〜１０_ｎ：制御装置、１１：通信装置、１２：入出力装置、１３：記憶装置、１４：ＣＰＵ、１５：メモリ、１６：内部信号線、１０１_１〜１０１_ｎ：制御処理部、１０２_１〜１０２_ｎ：通信部、２０_１〜２０_ｎ：ゲートウェイ装置、２１：第一通信装置、２２：入出力装置、２３：記憶装置、２４：第二通信装置、２５：ＣＰＵ、２６：メモリ、２７：内部信号線、２０１_１〜２０１_ｎ：ＩＤ生成部、２０２_１〜２０２_ｎ：検知パケット生成部、２０３_１〜２０３_ｎ：ログ生成部、２０４_１〜２０４_ｎ：モード変更部、２０５_１〜２０５_ｎ：第一通信部、２０６_１〜２０６_ｎ：ログ格納部、２０７_１〜２０７_ｎ：秘密情報格納部、２０８_１〜２０８_ｎ：第二通信部、２０９_１〜２０９_ｎ：インシデント検知部、２１０_１〜２１０_ｎ：想定経路抽出部、２１１_１〜２１１_ｎ：想定経路格納部、３０：管理サーバ、３１：通信装置、３２：入出力装置、３３：記憶装置、３４：ＣＰＵ、３５：メモリ、３６：読取装置、３７：記憶媒体、３８：内部信号線、３０１：モード変更部、３０２：インシデント検知部、３０３：秘密情報生成部、３０４：ログ収集部、３０５：通信部、３０６：想定経路抽出部、３０７：想定経路格納部、３０８：統合ログ格納部、３０９：秘密情報格納部、３１０：ゲートウェイリスト格納部、４０：ネットワーク、Ａ５０１：初期化モード通知、Ａ６０１：秘密情報、Ａ６０２：レスポンス、ゲートウェイ装置ＩＤ、Ａ７０１：制御コマンド、Ａ７０２：検知パケット、Ａ７０３：検知パケット、Ａ７０４：ログ情報、Ａ８０１：制御コマンド、Ａ８０２：検知パケット、Ａ８０３：検知パケット、Ａ８０４：ログ情報、Ａ１００１：秘密情報、Ａ１００２：レスポンス、ゲートウェイ装置ＩＤ、Ａ１１０１：状態確認コマンド、Ａ１１０２：状態、Ａ１２０１：検知パケット、Ａ１２０２：ヘッダ、Ａ１２０３：データ、Ａ１２０４：送信元、Ａ１２０５：送信先、Ａ１２０６：プロトコル、Ａ１２０７：ポート番号、Ａ１２０８：経路情報、Ａ１３０１：経路情報、Ａ１３０２_１〜Ａ１３０２_ｎ：ゲートウェイＩＤ、Ａ１４０１：ログ、Ａ１４０２：日時、Ａ１４０３：ヘッダ、Ａ１４０４：送信元、Ａ１４０５：送信先、Ａ１４０６：プロトコル、Ａ１４０７：ポート番号、Ａ１４０８：経路情報、Ａ１５０１：統合ログ、Ａ１５０２：ゲートウェイＩＤ、Ａ１５０３：日時、Ａ１５０４：ヘッダ、Ａ１５０５：送信元、Ａ１５０６：送信先、Ａ１５０７：プロトコル、Ａ１５０８：ポート番号、Ａ１５０９：経路情報、Ａ１６０１：想定経路、Ａ１６０２：送信元、Ａ１６０３：送信先、Ａ１６０４：経由ゲートウェイ数、Ａ１６０５：経由ゲートウェイＩＤ、Ａ１６０６_１〜Ａ１６０６_ｎ：ゲートウェイＩＤ、Ａ１７０１：ゲートウェイリスト、Ａ１７０２：ゲートウェイＩＤ、Ａ１７０３：ＩＰアドレス、Ａ２００１：制御コマンド、Ａ２００２：検知パケット、Ａ２００３：検知パケット、Ａ２１０１：制御コマンド、Ａ２１０２：検知パケット、Ａ２１０３：検知パケット。

Claims (14)

1. セキュリティインシデントを検知するインシデント検知システムであって、
   ゲートウェイ装置は、
   自ゲートウェイ装置の識別情報を生成するＩＤ生成部と、
   制御装置から送信された制御情報と、通信パケットに前記自ゲートウェイ装置の識別情報を付与した経路情報と、を含む検知パケットを生成する検知パケット生成部と、
   前記検知パケットを含むログ情報を生成するログ生成部と、
   前記ゲートウェイ装置にネットワークで接続された管理サーバに前記ログ情報を送信し、または前記制御情報に基づいて制御される制御装置に前記検知パケットを送信する装置通信部と、を備え、
   前記管理サーバは、
   前記ゲートウェイ装置から前記ログ情報を受信するサーバ通信部と、
   前記ログ情報から前記経路情報を抽出した想定経路情報をあらかじめ記憶部に記憶する通信経路抽出部と、
   前記記憶部に記憶されている前記想定経路情報と、前記ログ情報に含まれる前記経路情報とに基づいて、不正な通信パケットを検知するインシデント検知部と、
   を備えることを特徴とするインシデント検知システム。
2. 請求項１に記載のインシデント検知システムであって、
   前記ゲートウェイ装置は、
   さらに、秘密情報を格納する秘密情報格納部を備え、
   前記ＩＤ生成部は、前記ゲートウェイ装置に固有の識別情報と前記秘密情報とに基づいて、前記自ゲートウェイ装置の識別情報を生成する、
   ことを特徴とするインシデント検知システム。
3. 請求項２に記載のインシデント検知システムであって、
   前記ゲートウェイ装置は、
   さらに、前記ゲートウェイ装置の動作モードを、処理の事前準備をするモードである初期化モード、前記想定経路情報を収集するための経路収集モード、前記経路情報を検知するモードである検知モード、のいずれかのモードにする装置モード変更部を備え、
   前記管理サーバは、
   さらに、前記管理サーバの動作モードを、前記初期化モードと、前記経路収集モードと、前記検知モードと、のいずれかのモードにするサーバモード変更部と、前記秘密情報を生成する秘密情報生成部とを備え、
   前記ＩＤ生成部は、前記管理サーバから受信した前記秘密情報を前記秘密情報格納部に格納し、
   前記秘密情報生成部は、前記ゲートウェイ装置および前記管理サーバが前記初期化モードの場合に前記秘密情報を生成し、前記サーバ通信部は、生成された前記秘密情報を前記ゲートウェイ装置に送信し、
   前記通信経路抽出部は、前記ゲートウェイ装置および前記管理サーバが前記経路収集モードの場合に前記想定経路情報を抽出し、
   前記インシデント検知部は、前記ゲートウェイ装置および前記管理サーバが前記検知モードの場合に前記不正な通信パケットを検知する、
   ことを特徴とするインシデント検知システム。
4. 請求項３に記載のインシデント検知システムであって、
   前記管理サーバは、
   さらに、前記ゲートウェイ装置のリストを格納するゲートウェイリスト格納部を備え、
   前記秘密情報生成部は、新たなゲートウェイ装置が追加された場合に、前記新たなゲートウェイ装置に前記秘密情報を送信し、前記新たなゲートウェイ装置の識別情報を前記リストに追加する、
   ことを特徴とするインシデント検知システム。
5. 請求項４に記載のインシデント検知システムであって、
   前記秘密情報生成部は、前記ゲートウェイ装置の状態を確認するため状態確認コマンドに対する応答情報に基づいて、前記インシデント検知システムから取り外されたゲートウェイ装置を認識し、前記想定経路情報から前記取り外されたゲートウェイ装置の識別情報が含まれている想定経路情報を削除し、前記ゲートウェイリストから前記取り外されたゲートウェイ装置の識別情報を削除する、
   ことを特徴とするインシデント検知システム。
6. 請求項１〜５のいずれか一に記載のインシデント検知システムであって、
   前記検知パケットは、ヘッダ部とデータ部とを有し、
   前記検知パケット生成部は、前記ヘッダ部に前記経路情報を含めて前記検知パケットを生成する、
   ことを特徴とするインシデント検知システム。
7. 請求項１〜６のいずれか一に記載のインシデント検知システムであって、
   前記検知パケット生成部は、前記通信パケットが通過する都度、前記ゲートウェイ装置の通過順に、前記自ゲートウェイ装置の識別情報を前記経路情報に付与する、
   ことを特徴とするインシデント検知システム。
8. 請求項１〜７のいずれか一に記載のインシデント検知システムであって、
   前記通信経路抽出部は、正当な通信パケットが経由するゲートウェイ装置の識別情報から前記想定経路情報を構成する、
   ことを特徴とするインシデント検知システム。
9. 請求項１〜８のいずれか一に記載のインシデント検知システムであって、
   前記通信経路抽出部は、前記インシデント検知システムの運用開始前に、前記想定経路情報を前記記憶部に記憶し、
   前記インシデント検知部は、前記インシデント検知システムの運用開始後に、前記想定経路情報と、前記経路情報とに基づいて、不正な通信パケットを検知する、
   ことを特徴とするインシデント検知システム。
10. セキュリティインシデントを検知するインシデント検知システムであって、
    第１のゲートウェイ装置は、
    自ゲートウェイ装置の識別情報を生成するＩＤ生成部と、
    制御装置から送信された制御情報と、通信パケットに前記自ゲートウェイ装置の識別情報を付与した経路情報と、を含む検知パケットを生成する検知パケット生成部と、
    前記第１のゲートウェイ装置にネットワークで接続された第２のゲートウェイ装置に前記検知パケットを送信する第１の装置通信部と、を備え、
    前記第２のゲートウェイ装置は、
    前記第１のゲートウェイ装置から前記検知パケットを受信し、または前記制御情報に基づいて制御される制御装置に前記検知パケットを送信する第２の装置通信部と、
    前記検知パケットをログ情報として記憶部に格納するログ生成部と、
    前記ログ情報から前記経路情報を抽出した想定経路情報をあらかじめ記憶部に記憶する通信経路抽出部と、
    前記記憶部に記憶されている前記想定経路情報と、前記ログ情報に含まれる前記経路情報とに基づいて、不正な通信パケットを検知するインシデント検知部と、
    を備えることを特徴とするインシデント検知システム。
11. 請求項１０に記載のインシデント検知システムであって、
    前記第１のゲートウェイ装置は、
    さらに、秘密情報を格納する秘密情報格納部を備え、
    前記ＩＤ生成部は、前記第１のゲートウェイ装置に固有の識別情報と前記秘密情報とに基づいて、前記自ゲートウェイ装置の識別情報を生成する、
    ことを特徴とするインシデント検知システム。
12. 請求項１１に記載のインシデント検知システムであって、
    前記第１のゲートウェイ装置は、
    さらに、前記第１のゲートウェイ装置の動作モードを、前記想定経路情報を収集するための経路収集モード、前記経路情報を検知するモードである検知モード、のいずれかのモードにする第１の装置モード変更部を備え、
    前記第２のゲートウェイ装置は、
    さらに、前記第１のゲートウェイ装置の動作モードを、前記経路収集モードと、前記検知モードと、のいずれかのモードにする第２の装置モード変更部とを備え、
    前記通信経路抽出部は、前記第１のゲートウェイ装置と、前記第２のゲートウェイ装置と、前記第１のゲートウェイ装置と前記第２のゲートウェイ装置とにネットワークで接続された管理サーバとが前記経路収集モードの場合に前記想定経路情報を抽出し、
    前記インシデント検知部は、前記第１のゲートウェイ装置と、前記第２のゲートウェイ装置と、前記管理サーバとが前記検知モードの場合に前記不正な通信パケットを検知する、
    ことを特徴とするインシデント検知システム。
13. 請求項１０〜１２のいずれか一に記載のインシデント検知システムであって、
    前記インシデント検知部は、前記セキュリティインシデントを検知したか否かを判定し、前記セキュリティインシデントを検知したと判定した場合、前記検知パケットを破棄する、
    ことを特徴とするインシデント検知システム。
14. 請求項１０〜１３のいずれか一に記載のインシデント検知システムであって、
    前記通信経路抽出部は、前記インシデント検知システムの運用開始前に、前記想定経路情報を前記記憶部に記憶し、
    前記インシデント検知部は、前記インシデント検知システムの運用開始後に、前記想定経路情報と、前記経路情報とに基づいて、不正な通信パケットを検知する、
    ことを特徴とするインシデント検知システム。

Images