WO2016114077A1 - データ判定装置、データ判定方法及びプログラム - Google Patents

データ判定装置、データ判定方法及びプログラム Download PDF

Info

Publication number
WO2016114077A1
WO2016114077A1 PCT/JP2015/085742 JP2015085742W WO2016114077A1 WO 2016114077 A1 WO2016114077 A1 WO 2016114077A1 JP 2015085742 W JP2015085742 W JP 2015085742W WO 2016114077 A1 WO2016114077 A1 WO 2016114077A1
Authority
WO
WIPO (PCT)
Prior art keywords
communication
data
determination
state
permission
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/JP2015/085742
Other languages
English (en)
French (fr)
Inventor
晃由 山口
孝一 清水
信博 小林
綱人 中井
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Mitsubishi Electric Corp
Original Assignee
Mitsubishi Electric Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Mitsubishi Electric Corp filed Critical Mitsubishi Electric Corp
Priority to JP2016557348A priority Critical patent/JP6054010B2/ja
Priority to US15/510,981 priority patent/US10171252B2/en
Priority to EP15878028.8A priority patent/EP3246841B1/en
Priority to CN201580072741.3A priority patent/CN107209829B/zh
Publication of WO2016114077A1 publication Critical patent/WO2016114077A1/ja
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/36—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols with means for detecting characters not meant for transmission
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/567—Computer malware detection or handling, e.g. anti-virus arrangements using dedicated hardware
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0263—Rule management
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms

Definitions

  • the present invention relates to a data determination device, a data determination method, and a program.
  • the present invention relates to a data determination device, a data determination method, and a program for detecting an attack intrusion into a network.
  • the permitted communication such as the destination address and source address pair and protocol is defined by utilizing the fixed network communication of the industrial control system. Then, the intrusion detection system takes a white list type countermeasure for detecting an intrusion even for an unknown attack by making an abnormality other than permitted communication (see Patent Documents 1 and 2).
  • Patent Document 2 a method for defining a communication sequence to be permitted and managing a communication state such as unconnected, in communication, and abnormal processing in each communication sequence has been proposed (see Patent Document 2). Furthermore, a method for detecting network intrusion due to execution of an unauthorized program by defining an application that permits communication has also been proposed (see Patent Document 3).
  • Stuxnet In recent years, advanced attacks represented by Stuxnet have been conducted targeting industrial control systems. Stuxnet hijacks a server that is permitted to communicate, and causes attack communication to be included in communication defined as normal. For this reason, the attack communication has a problem that it passes through the white list type countermeasures of Patent Documents 1 and 2.
  • Patent Document 3 communication is linked with an application program on a local host, and when communication occurs, it is determined whether or not the application program that performs communication is permitted to perform communication, and the communication is blocked. .
  • communication cannot be blocked if a vulnerability inherent in an application program that is permitted to communicate is exploited.
  • An object of the present invention is to provide a data determination device that can take over a server that is permitted to communicate and detect an intrusion even against an attack that causes attack communication to be included in communication defined as normal.
  • the data determination device is: A state transition model storage unit that stores a state transition model that represents a state transition between operation states of a plurality of operation states; Based on the state transition model, a state management unit that holds the operation state of the own device, A communication permission list storage unit that stores communication permission data permitting communication in each operation state of the plurality of operation states as a communication permission list; A communication unit for acquiring communication data as communication determination data; The communication determination data acquired by the communication unit is acquired, the operation state of the own device held by the state management unit is acquired as a current operation state, and the current operation state and the communication permission list are used. And a determination unit that determines whether the communication determination data is communication permission data that is permitted to be communicated in the current operation state.
  • communication permission data that permits communication for each operation state included in the state transition model is set as a communication permission list, and the determination unit determines the current operation state and the communication permission list. Is used to determine whether or not the communication determination data is communication permission data that is permitted to be communicated in the current operation state. An intrusion can be detected even against an attack that is confused.
  • FIG. 1 is a block configuration diagram of a data determination device according to Embodiment 1.
  • FIG. FIG. 2 is a block configuration diagram of a data determination apparatus that performs an operation different from that of the data determination apparatus in FIG. 1.
  • FIG. 3 is a diagram illustrating an example of a state transition model of the data determination device according to the first embodiment.
  • FIG. 3 is a configuration diagram of a communication permission list according to the first embodiment.
  • FIG. 2 is a hardware configuration diagram of the data determination device according to the first embodiment.
  • FIG. 3 is a flowchart showing a data determination method and data determination process of the data determination apparatus according to the first embodiment.
  • FIG. 3 is a flowchart showing determination processing by a determination unit according to Embodiment 1;
  • FIG. 5 is a block configuration diagram of a data determination device according to a second embodiment.
  • FIG. 5 is a block configuration diagram of a data determination device according to a third embodiment.
  • FIG. 6 is a block configuration diagram of a data determination device according to a fourth embodiment.
  • FIG. 10 is a diagram illustrating an example of a state transition model of the data determination device according to the fourth embodiment.
  • FIG. 9 is a flowchart showing a data determination method and data determination process of the data determination apparatus according to the fourth embodiment.
  • FIG. 9 is a flowchart showing determination processing by a determination unit according to Embodiment 4;
  • Embodiment 1 FIG. *** Explanation of configuration *** The block configuration of the data determination apparatus 101 according to the present embodiment will be described with reference to FIG.
  • a system including the data determination device 101, the monitoring control device 200, and the controller 300 is referred to as a data determination system 500.
  • the data determination device 101 is connected to the network 102 and mediates communication data communicated between the monitoring control device 200 and the controller 300 and determines the communication data.
  • the data determination device 101 is an intrusion detection device or intrusion detection system that detects an attack that enters the network 102.
  • the controller 300 is provided in an industrial control system, for example.
  • the controller 300 includes an application 310.
  • the application 310 transmits the transmission data 112 to the data determination apparatus 101. Further, the application 310 receives the reception data 111 from the monitoring control device 200.
  • the reception data 111 and the transmission data 112 that are determined while the data determination apparatus 101 communicates are also referred to as communication determination data 109.
  • the monitoring control device 200 is a server that monitors and controls an industrial control system, for example.
  • the data determination apparatus 101 mediates the reception data 111 received from the monitoring control apparatus 200 via the network 102 to the controller 300.
  • the data determination apparatus 101 mediates the transmission data 112 transmitted by the controller 300 to the monitoring control apparatus 200 via the network 102.
  • the data determination apparatus 101 performs data determination processing for detecting an intrusion of an attack in the process of mediating the reception data 111 and the transmission data 112.
  • the data determination apparatus 101 includes a state management unit 103, a timer 104, a communication permission list storage unit 105, a determination unit 106, a communication unit 107, an alarm unit 108, an operation unit 110, and a state transition model storage unit 130.
  • the state transition model storage unit 130 stores a state transition model 1031 that represents a state transition between operation states of a plurality of operation states.
  • the state transition model storage unit 130 stores a state transition model 1031 that transitions between operation states of a plurality of operation states in accordance with acquired information 1033 acquired by the own device.
  • the own device is the data determination device 101 itself.
  • the acquisition information 1033 is an element that changes the state of the data determination apparatus 101.
  • the acquisition information 1033 includes communication data acquired through communication, an operation signal 1101 indicating that an operation on the device itself has been received, and a timer signal 1041 output from the timer 104.
  • the state management unit 103 holds the operation state of the own device, that is, the data determination device 101.
  • the communication permission list storage unit 105 stores, as the communication permission list 114, communication permission data 119 that permits communication in each operation state of a plurality of operation states.
  • the communication unit 107 acquires communication data as communication determination data 109.
  • the determination unit 106 acquires the communication determination data 109 acquired by the communication unit 107 and acquires the operation state 1032 of the own apparatus held by the state management unit 103 as the current operation state 113.
  • the determination unit 106 determines whether or not the communication determination data 109 is communication permission data 119 permitted to communicate in the current operation state 113 using the current operation state 113 and the communication permission list 114.
  • the communication unit 107 connects to the monitoring control device 200 via the network 102.
  • the communication unit 107 receives the reception data 111 from the monitoring control device 200 via the network 102 and outputs the received reception data 111 to the determination unit 106.
  • the communication unit 107 transmits the input transmission data 112 to the monitoring control device 200 via the network 102.
  • the communication unit 107 is a network input / output unit.
  • the state management unit 103 manages the operation state of the data determination apparatus 101 with the state transition model 1031.
  • the state transition model 1031 is set in advance and stored in the storage area of the data determination apparatus 101.
  • the operation unit 110 is a button or a touch panel operated by a human.
  • the operation unit 110 outputs an operation signal 1101 indicating that an operation on the device itself has been accepted.
  • the timer 104 measures the time during which the operation state of the own device continues. That is, the timer 104 measures the time in the time constraint when there is a time constraint in communication.
  • the communication permission list storage unit 105 is a storage area for storing the communication permission list 114.
  • the determination unit 106 acquires the reception data 111 or the transmission data 112, the current operation state 113 output by the state management unit 103, and the communication permission list 114 stored by the communication permission list storage unit 105.
  • the determination unit 106 compares the acquired reception data 111 or transmission data 112 with the current operation state 113 and the communication permission list 114 to determine whether the reception data 111 or transmission data 112 is permitted, The determination result 115 is output. If the determination unit 106 determines that the communication determination data 109 is not the communication permission data 119, the determination unit 106 blocks communication. That is, the determination unit 106 blocks communication when the determination result 115 is abnormal.
  • the alarm unit 108 When the determination unit 106 determines that the communication determination data 109 is not the communication permission data 119, the alarm unit 108 outputs an alarm indicating that an abnormality has been detected. That is, the alarm unit 108 issues an alarm when the determination result 115 is abnormal.
  • the alarm issued by the alarm unit 108 may be visual such as a lamp, or may be issued to another server via a network.
  • the state management unit 103 transitions the operation state 1032 of the own apparatus based on the state transition model 1031. Further, when the determination unit 106 determines that the communication determination data 109 is not the communication permission data 119, the state management unit 103 shifts the operation state 1032 of the own apparatus to an abnormal state. Note that the state management unit 103 may only change the state when it is determined to be normal. As described above, the state management unit 103 holds the current operation state 113 of the data determination apparatus 101 that is the own apparatus.
  • a data determination apparatus 101a that performs an operation different from that of the data determination apparatus 101 in FIG. 1 will be described with reference to FIG.
  • the determination unit 106 communicates the reception data 111 or the transmission data 112 after determining the communication determination data 109.
  • the determination unit 106 when the determination result 115 is abnormal, the determination unit 106 cannot block communication.
  • states 301 to 307 are examples of a plurality of operation states 3001. Moreover, between each state is an example of between each operation state 3002 of a plurality of operation states.
  • the data determination apparatus 101 transitions to the NW construction state 301 when the power is turned on, and performs communication necessary for NW construction.
  • communication necessary for NW construction is communication data 1.
  • network construction is also referred to as NW construction.
  • the state transition model 1031 when the NW construction is completed and the communication data 2 is received, the state transition model 1031 shifts to the driving A state 302.
  • the operation state is further defined according to the prescribed communication order To do.
  • the state transition model 1031 of FIG. 3 when communication data 4 is communicated, a transition is made to operation B state 303, communication data 5 is transitioned to operation C state 304, and communication data 6 is communicated to transition to operation A state 302. Is defined as In this way, the transition conditions to the respective operation states may be assigned to the communication data 4, 5, 6.
  • the timer when there is communication data 7 with time restriction, the timer may be turned on, the process may be shifted to the waiting state 305, and the operation A state 302 may be restored when the timer is turned off.
  • the timer signal 1041 is a signal indicating on / off of the timer.
  • the operation may be shifted to the maintenance state 306 by a human operation 1 and communication necessary for maintenance, for example, communication data 8 and 9 may be performed.
  • the operation A state 302 is entered.
  • the transition when performing a state transition based on communication data, the transition may be performed only when the determination result of the determination unit 106 is normal. In each state, if the determination result of the determination unit 106 is abnormal, the state may be changed to an abnormal state 307.
  • FIG. 4 is an example of the communication permission list 114 permitted in each operation state held by the state management unit 103.
  • the communication permission list 114 in FIG. 4 is an example, and does not necessarily have to be as shown in FIG.
  • the communication permission list 114 includes items such as an operation state, a communication data number, a transmission source address, a command type, a data size upper limit, and a data setting range. These items are arbitrary, and other items may be used as long as they can specify communication data.
  • the data determination apparatus 101 is a computer.
  • the data determination apparatus 101 includes hardware such as a processor 901, an auxiliary storage device 902, a memory 903, a communication device 904, an input interface 905, and a display interface 906.
  • the processor 901 is connected to other hardware via the signal line 910, and controls these other hardware.
  • the input interface 905 is connected to the input device 907.
  • the display interface 906 is connected to the display 908.
  • the processor 901 is an IC (Integrated Circuit) that performs processing.
  • the processor 901 is, for example, a CPU (Central Processing Unit), a DSP (Digital Signal Processor), or a GPU (Graphics Processing Unit).
  • the auxiliary storage device 902 is, for example, a ROM (Read Only Memory), a flash memory, or an HDD (Hard Disk Drive).
  • the memory 903 is, for example, a RAM (Random Access Memory).
  • the communication device 904 includes a receiver 9041 that receives data and a transmitter 9042 that transmits data.
  • the communication device 904 is, for example, a communication chip or a NIC (Network Interface Card).
  • the input interface 905 is a port to which the cable 911 of the input device 907 is connected.
  • the input interface 905 is, for example, a USB (Universal Serial Bus) terminal.
  • the display interface 906 is a port to which the cable 912 of the display 908 is connected.
  • the display interface 906 is, for example, a USB terminal or an HDMI (registered trademark) (High Definition Multimedia Interface) terminal.
  • the input device 907 is, for example, a mouse, a keyboard, or a touch panel.
  • the display 908 is, for example, an LCD (Liquid Crystal Display).
  • auxiliary storage device 902 functions of the state management unit 103, the determination unit 106, and the alarm unit 108 (hereinafter, the state management unit 103, the determination unit 106, and the alarm unit 108 are collectively referred to as “part”) illustrated in FIG.
  • a program for realizing is stored.
  • the program that realizes the function of “unit” included in the data determination apparatus 101 is also referred to as a data determination program.
  • the program that realizes the function of “unit” may be a single program or a plurality of programs.
  • This program is loaded into the memory 903, read into the processor 901, and executed by the processor 901. Further, the auxiliary storage device 902 also stores an OS (Operating System).
  • OS Operating System
  • the processor 901 executes a program that realizes the function of “unit” while executing the OS.
  • the data determination apparatus 101 may include a plurality of processors 901.
  • a plurality of processors 901 may execute a program for realizing the function of “unit” in cooperation with each other.
  • information, data, signal values, and variable values indicating the results of the processing of “unit” are stored as files in the memory 903, the auxiliary storage device 902, or a register or cache memory in the processor 901.
  • circuitry may be provided as “circuitry”. Further, “part” may be read as “circuit”, “process”, “procedure”, or “processing”. Further, “processing” may be read as “circuit”, “process”, “procedure”, or “part”. “Circuit” and “Circuitry” include not only the processor 901 but also other types of processing circuits such as a logic IC or GA (Gate Array) or ASIC (Application Specific Integrated Circuit) or FPGA (Field-Programmable Gate Array). It is a concept to include.
  • GA Gate Array
  • ASIC Application Specific Integrated Circuit
  • FPGA Field-Programmable Gate Array
  • a program product is a storage medium, a storage device, or the like on which a program that realizes the function described as a “part” is recorded. It is what you are loading.
  • the data determination apparatus 101 includes the state transition model storage unit 130 that stores the state transition model 1031 and the communication permission list storage unit 105 that stores the communication permission data 119 as the communication permission list 114.
  • the state management unit 103 executes the state management process S101 that holds the operation state 1032 of the own apparatus based on the state transition model 1031.
  • the state management unit 103 transitions the operation state 1032 of the own device based on the state transition model 1031 and holds the latest operation state as the operation state 1032 of the own device.
  • the communication unit 107 executes communication processing S110 that acquires communication data as communication determination data 109.
  • the communication unit 107 acquires the reception data 111 or the transmission data 112 as communication determination data 109 that is a determination target.
  • the determination unit 106 acquires the communication determination data 109 acquired in the communication process S110 and acquires the operation state 1032 of the own apparatus held in the state management process S101 as the current operation state 113.
  • the determination unit 106 determines whether or not the communication determination data 109 is communication permission data 119 permitted to communicate in the current operation state 113 using the current operation state 113 and the communication permission list 114.
  • the determination unit 106 outputs a determination result 115. If the determination result 115 is normal in S130, that is, if the communication determination data 109 is the communication permission data 119, the process proceeds to a normal process S140. In S130, when the determination result 115 is abnormal, that is, when the communication determination data 109 is not the communication permission data 119, the process proceeds to the abnormality process S150.
  • the state management unit 103 changes the operation state 1032 of the own device based on the acquired communication determination data 109 and the state transition model 1031.
  • the state management unit 103 shifts the operation state 1032 of the own apparatus to an abnormal state. Further, the alarm unit 108 notifies an alarm.
  • the determination unit 106 acquires the communication determination data 109 and analyzes the acquired communication determination data 109.
  • the determination unit 106 acquires the reception data 111 or the transmission data 112 as the communication determination data 109.
  • the determination unit 106 analyzes the contents of the communication determination data 109 and extracts elements necessary for determination.
  • the extracted elements are items described in the communication permission list 114, such as a communication data number, a transmission source address, a transmission destination address, a command type, and a response type.
  • the determination unit 106 acquires the current operation state 113 from the state management unit 103. Further, the determination unit 106 acquires the communication permission list 114 from the communication permission list storage unit 105.
  • the determination unit 106 determines whether the communication determination data 109 is communication data permitted in the current operation state 113, that is, communication permission data 119, based on the current operation state 113 and the communication permission list 114. Determine whether. If the communication determination data 109 is the communication permission data 119, the process proceeds to S124. If the communication determination data 109 is not the communication permission data 119, that is, if the communication determination data 109 is not permitted, the process proceeds to S125.
  • the determination unit 106 outputs a normal determination result 115.
  • the determination unit 106 outputs an abnormality determination result 115 and blocks communication of the communication determination data 109. Or the determination part 106 does not need to interrupt
  • the data determination apparatus 101 has the following configuration.
  • a state management unit that manages an operation state in accordance with a state transition model that transitions according to one or more elements of communication data, external operation, and timer.
  • B A communication permission list storage unit that stores a communication permission list that defines communication data to be permitted for each operation state.
  • C Determining whether or not the communication data input to the data determination apparatus is normal using the current operation state output by the state management unit and the communication permission list stored in the communication permission list storage unit Department.
  • D An alarm unit that issues an alarm based on the determination result output by the determination unit.
  • the state management unit manages the operation state according to a state transition model that transitions according to the determination result output by the determination unit.
  • the determination unit blocks communication data determined to be abnormal.
  • the controller whose program has been rewritten by the Stuxnet induces a device failure by transmitting a command for changing the frequency at a high frequency to the frequency converter to be controlled.
  • the data determination apparatus it is possible to take measures to detect such a high frequency change command by a timer.
  • the transition to the maintenance state may be performed by communication data from a dedicated device that is guaranteed not to be taken over.
  • deviation from the correct communication order can also be detected.
  • Embodiment 2 FIG. In the present embodiment, differences from the first embodiment will be mainly described.
  • the same components as those described in Embodiment 1 are denoted by the same reference numerals, and the description thereof may be omitted.
  • the designer needs to set the state transition model 1031 and the communication permission list 114 in advance.
  • a method for generating the state transition model 1031 and the communication permission list 114 from the acquired information history 151 will be described.
  • attack data is not included in the acquired information history 151.
  • the data determination apparatus 101b according to the present embodiment includes a history storage unit 153 and a list generation unit 152 in addition to the configuration of the first embodiment.
  • the history storage unit 153 stores the history of acquired information as the acquired information history 151.
  • the acquired information history 151 is a file in which acquired information acquired by the data determination apparatus 101b is stored, and is stored in a storage area of the data determination apparatus 101b.
  • the acquired information history 151 is a history of acquired information acquired by the data determination apparatus 101b, and includes a communication history.
  • the list generation unit 152 generates the state transition model 1031 and the communication permission list 114 based on the acquired information history 151. Note that generation of the state transition model 1031 and the communication permission list 114 may be performed by human work, and the list generation unit 152 may not be provided in the case of performing human work.
  • FIG. 9 is a diagram illustrating a procedure for determining the operation state of the data determination apparatus 101b from the acquired information history 151 and generating the state transition model 1031.
  • the list generation unit 152 automatically executes the list generation processing.
  • FIG. 9 it is assumed that “A power on” to “T communication data 5” are obtained from the acquired information history 151.
  • the outline of the state transition model generation process by the list generation unit 152 will be described with reference to FIG.
  • the list generation unit 152 sets a waiting state if the elapsed time between successive communication data included in the acquired information history 151 is equal to or longer than the first time.
  • the list generation unit 152 sets the time when the acquisition information other than the communication data is acquired as the first change point 701, and sets the first operation state before and after the first change point 701.
  • the list generation unit 152 sets the second change point 702 as the second change point 702 when the transition communication data 703 determined to change the operation state in each first operation state is set as the second operation point 702.
  • a state transition model is generated as a state.
  • the list generation unit 152 extracts the transition communication data 703 using a clustering method.
  • the list generation unit 152 sets communication data communicated in each operation state included in the state transition model in the communication permission list as communication permission data.
  • the list generation unit 152 brings together the operation states in which the inclusion relationship is established in the communication permission data into one.
  • step S ⁇ b> 601 the list generation unit 152 defines a “waiting” state if the elapsed time between communication data is equal to or greater than a certain time. It is defined that the timer is turned on at the time of transition to the wait state, and transitions to the next operation state when the timer is off.
  • step S602 the list generation unit 152 sets the first change point 701 of the state when an input other than the communication data is generated, and sets a new first operation state between the first change points 701.
  • “state 1” is defined from “A power-on” to “I communication data 5: timer on”, and “state 2” and “state 3” are defined similarly.
  • the list generation unit 152 clusters the communication data between the first change points 701 determined in S602 in time series, and sets a new second operation state between the clusters.
  • a Ward method, a K-average method, machine learning, or the like may be used.
  • the second change point may be determined based on the specification.
  • each communication data may be defined as the second change point. As shown in FIG. 9, in S603, “state 1-1”, “state 1-2”, “state 3-1”, and “state 3-2” are defined as the second operation state.
  • FIG. 10 is a communication permission list generated from the state transition model
  • FIG. 11 is a communication permission list after compilation.
  • a method for generating a communication permission list from the state transition model generated by the method described in FIG. 9 will be described with reference to FIGS. 10 and 11.
  • the list generation unit 152 extracts permitted communication data in each state of the previously generated state transition model, and makes a table of a communication permission list. At this time, the transition condition and the state of the transition destination are also summarized in a table.
  • the list generation unit 152 summarizes a state in which an inclusion relationship is established in the communication data permitted in the communication permission list in FIG. 10.
  • the states defined as the transition destination are also summarized. For example, as shown in FIG. 11, since the inclusion relationship is established between the state 1-2, the state 2, and the state 3-2, these are collectively referred to as the state 1-2, and the corresponding transition destinations are also collected.
  • the data determination apparatus 101b includes a list generation unit that generates a state transition model and a communication permission list from the acquired information history.
  • the list generation unit uses the following processing for generating the state transition model and the communication permission list.
  • (1) A process of setting a waiting state if the elapsed time between communication data is equal to or greater than a certain value, turning on a timer when transitioning to the waiting state, and transitioning to the next state when the timer is off.
  • (2) A process of setting an operation state change point when an input other than communication data is generated and setting a new operation state before and after the change point.
  • (3) A process in which specific communication data is used as a change point in the operation state defined in (2), and before and after that, a new operation state is set.
  • (4) In each operation state, a process of listing data communicated within the operation state as permitted communication data.
  • (5) In (3), a process using a predetermined clustering method when obtaining the specific communication data.
  • (6) A process for bringing together the operation states in which an inclusion relationship is established in the permitted communication data.
  • the signatures attached to the state transition model and the communication permission list are verified and falsified. It has processing to detect.
  • Embodiment 3 FIG. In the present embodiment, differences from Embodiments 1 and 2 will be mainly described. The same components as those described in the first and second embodiments are denoted by the same reference numerals, and the description thereof may be omitted.
  • the data determination apparatus 101 is connected between the network 102 and the controller 300.
  • the configuration of the data determination device 101c that can be installed between the server and the controller will be described.
  • the block configuration of the data determination apparatus 101c according to the present embodiment will be described with reference to FIG.
  • the data determination device 101c is connected to the monitoring control device 200 as a server via the network 102, and is connected to the controller 300 via the network 102a.
  • the data determination apparatus 101c corresponds to each of the network 102 and the network 102a, and includes a communication unit 107 and a communication unit 107a.
  • a block configuration of the data determination apparatus 101d that performs an operation different from that of the data determination apparatus 101c in FIG. 12 will be described with reference to FIG.
  • the data determination device 101 d may be configured such that the determination unit 106 captures communication between the monitoring control device 200 and the controller 300.
  • the monitoring control apparatus 200 and the controller 300 are connected to one network 102.
  • the data determination apparatus 101c determines communication from the monitoring control apparatus 200 to the controller 300 and communication from the controller 300 to the monitoring control apparatus 200, as described in the first and second embodiments.
  • the determination operation of the data determination apparatus 101c is the same as that of the first embodiment.
  • the operation of the data determination apparatus 101d is the same as that of the data determination apparatus 101a of the first embodiment.
  • a transmission destination address may be defined in addition to a transmission source address, a command type, a data size upper limit, a data setting range, and the like.
  • the state determination unit, determination unit, and alarm unit constitute the data determination device as independent function blocks.
  • the data determination apparatus may not be configured as described above, and the configuration of the data determination apparatus is arbitrary. You may implement
  • the data determination device may be a data determination system including a plurality of devices instead of a single device.
  • the function block of the data determination device is arbitrary as long as the function described in the embodiment can be realized, and the data determination device may be configured by any combination of these function blocks.
  • Embodiments 1 to 3 have been described, a plurality of these three embodiments may be combined. Alternatively, one of these three embodiments may be partially implemented. Alternatively, a plurality of these three embodiments may be partially combined. In addition, these three embodiments may be implemented in any combination as a whole or in part. In addition, said embodiment is an essentially preferable illustration, Comprising: It does not intend restrict
  • Embodiment 4 FIG. In the present embodiment, differences from the first embodiment will be mainly described.
  • the basic operation of the data determination apparatus 101e according to the present embodiment is the same as that of the data determination apparatus 101 described in the first embodiment, but the configuration of the communication permission list 114e, the configuration of the state transition model 1031e, and the determination process S120e. This operation differs from the first embodiment.
  • the same components as those in the first embodiment are denoted by the same reference numerals, and the description thereof may be omitted.
  • the block configuration of the data determination apparatus 101e according to the present embodiment will be described with reference to FIG. FIG. 14 corresponds to FIG. 1 described in the first embodiment.
  • the data determination apparatus 101e according to the present embodiment includes a flag management unit 177 in addition to the configuration of the data determination apparatus 101 described in the first embodiment.
  • the timer 104, the state management unit 103, and the determination unit 106 described in the first embodiment are different from the first embodiment, in this embodiment, the timer 104e, the state management unit 103e, and the determination unit 106e To do. Therefore, in the data determination apparatus 101e according to the present embodiment, the functions of the flag management unit 177, the timer 104e, the state management unit 103e, and the determination unit 106e are added to the function of the “unit” described in the first embodiment.
  • the flag management unit 177 manages flags.
  • the flag management unit 177 inputs the flag value 15 that is the current value of the flag to the state management unit 103e and the determination unit 106e. Further, the flag set value 16 is input from the determination unit 106e.
  • the timer 104e measures time. Specifically, the timer 104e subtracts the set value at a constant period, specifically 1 ms, and ends the subtraction when the value becomes 0.
  • the timer 104e inputs the timer value 17, which is the current value, to the state management unit 103e and the determination unit 106e. Further, the timer set value 18 is input from the determination unit 106e.
  • the timer 104e is an example of a timer unit 144 that measures time. Note that description of the timer signal 1041 described in Embodiment 1 is omitted.
  • the state transition model storage unit 130 stores a state transition model 1031e having a configuration different from that of the state transition model 1031 described in the first embodiment.
  • the communication permission list storage unit 105 stores a communication permission list 114e having a configuration different from that of the communication permission list 114 described in the first embodiment.
  • communication permission list 114e as shown in FIG. 16, communication permission data 119e that permits communication in each operation state of a plurality of operation states, a permission condition 192 that permits communication of the communication permission data 119e, and a communication permission A communication permission rule 14 including a permission process 193 when data communication is permitted is stored.
  • the determination unit 106e acquires the reception data 111 from the communication unit 107 and the transmission data 112 from the application 310, and determines the operation state of the own device held by the state management unit 103e. Obtained as the current operation state 113. Further, the determination unit 106e acquires the timer value 17 from the timer 104e and the flag value 15 from the flag management unit 177. The determination unit 106e uses the current operation state 113, the timer value 17, the flag value 15, and the communication permission list 114e so that the communication determination data 109 corresponds to the communication permission rule 14 that is permitted to communicate in the current operation state 113. It is determined whether or not.
  • the determination unit 106e will be further described.
  • the determination unit 106e manages the reception data 111 or the transmission data 112, the current operation state 113 output from the state management unit 103e, the communication permission list 114e stored in the communication permission list storage unit 105, and the flag management unit 177.
  • the flag value 15 and the timer value 17 managed by the timer 104e are acquired.
  • the determination unit 106e compares the acquired reception data 111 or transmission data 112 with the current operation state 113, the communication permission list 114e, the flag value 15, and the timer value 17, and the reception data 111 or transmission data 112 is permitted. It is determined whether or not it has been performed, and a determination result 115 is output.
  • the determination unit 106e determines that the communication determination data 109 corresponds to the communication permission rule 14 included in the communication permission list 114e, the determination unit 106e permits communication and performs the action described in the corresponding communication permission rule 14, that is, the permission process 193. Execute. Specifically, the flag permission value described in the communication permission rule 14 is set as the flag setting value 16 for the flag management unit 177, or the timer permission value described in the communication permission rule 14 is set for the timer 104e. Or set as a timer set value 18. If the determination unit 106e determines that the communication determination data 109 does not correspond to the communication permission rule 14, the determination unit 106e blocks communication. That is, the determination unit 106e blocks communication when the determination result 115 is abnormal.
  • the alarm unit 108 outputs an alarm indicating that an abnormality has been detected when the determination unit 106e determines that the communication determination data 109 does not correspond to the communication permission rule 14. That is, the alarm unit 108 issues an alarm when the determination result 115 is abnormal, as in the first embodiment.
  • the state management unit 103e changes the operation state of the own device based on the state transition model 1031e. If the determination unit 106e determines that the communication determination data 109 does not correspond to the communication permission rule 14, the state management unit 103e changes the operation state of the own device to an abnormal state. Note that the state management unit 103e may only change the state when it is determined to be normal, as in the first embodiment. As described above, the state management unit 103e holds the current operation state 113 of the data determination apparatus 101e that is its own apparatus.
  • FIG. 15 corresponds to FIG. 2 described in the first embodiment. Similar to FIG. 2 described in the first embodiment, the determination unit 106e may capture the communication between the monitoring control device 200 and the application 310 like the data determination device 101ea shown in FIG. In the data determination apparatus 101ea of FIG. 15, when the determination result 115 is abnormal, the determination unit 106e cannot block communication. However, it is possible to cope with the attack by the warning issued by the warning unit 108.
  • FIG. 16 is an example of the communication permission list 114e permitted in each operation state held by the state management unit 103e.
  • the communication permission list 114e in FIG. 16 is an example, and does not necessarily have to be as illustrated in FIG.
  • the communication permission list 114e includes items such as an operation state, a rule number, a reception data condition, and an action.
  • the reception data conditions include communication permission data 119e and permission conditions 192.
  • information such as a transmission source address, a command type, a data size upper limit, and a data setting range is set in the communication permission data 119e.
  • the permission condition 192 includes a timer permission value 1921 that is a range of values of the timer unit 144 that permits communication of the communication permission data 119e, and a flag permission value 1922 that is a flag value that permits communication of the communication permission data 119e.
  • the action is a permission process 193 when communication of the communication permission data 119e is permitted.
  • the action has a timer setting value 18 that is set in the timer unit 144 when communication of the communication permission data 119e is permitted, and a flag setting value 16 that is set as a flag when communication of the communication permission data 119e is permitted.
  • these items are arbitrary, and items other than those described above may be used as long as they can specify communication data that permits communication.
  • the operation state when the operation state is NW construction, it means that only rules 1 and 2 are permitted and other rules are not permitted. Further, when the operation state is operation A, it means that only rules 3a, 3b, 3c, 7, and 4 are permitted, and other rules are not permitted. In addition, if the operation state is abnormal, it means that all communication is not permitted.
  • the communication permission rule 14 is each row of the communication permission list 114e in which permission / denial of communication in the operation state is set. In FIG. 16, rules 1 to 10 are set as the communication permission rule 14. If the operation status is abnormal, it means that all communication is not permitted.
  • the state transition model 1031e of the data determination device 101e will be described with reference to FIG. FIG. 17 is an example, and the state transition model 1031e does not necessarily have to be as shown in FIG.
  • the states 301 to 306 are examples of a plurality of operation states. Each state is an example between operation states of a plurality of operation states.
  • the data determination apparatus 101e transitions to the NW construction state 301 when the power is turned on, and performs communication necessary for NW construction.
  • a rule applied to communication necessary for NW construction in the data determination apparatus 101e is referred to as rule 1.
  • network construction is also referred to as NW construction.
  • the state transition model 1031e when the NW construction is completed and the rule 2 is applied, the state transition model 1031e shifts to the driving A state 302.
  • the state transition model 1031e further defines the operation state in accordance with the prescribed communication order when there is communication with the prescribed communication data order.
  • the specified communication there is a communication specified to be received in the order of “parameter file transmission”, “parameter file setting”, and “verify”.
  • the state transition model 1031e when the rule 4 for determining “parameter file transmission” in the driving A state 302 is applied, the state transitions to the driving B state 303, and when the rule 5 is applied, the state transitions to the driving C state 304.
  • 6 it is defined to transition to the driving A state 302.
  • the transition conditions to the respective operation states may be assigned to the rules 4, 5, and 6.
  • the timer value 17 is T1
  • the flag value 15 is F1.
  • T1 100.
  • a transition to the maintenance state 305 may be made by a human operation 1, and communication necessary for maintenance, specifically, program update or verification may be performed.
  • the operation A state 302 is entered.
  • the transition may be performed only when the determination result of the determination unit 106e is normal. In each state, if the determination result of the determination unit 106e is abnormal, the state may be changed to the abnormal state 306.
  • the data determination method and data determination process S100e of the data determination apparatus 101e according to the present embodiment will be described with reference to FIG.
  • the data determination process S100e is different from the data determination process S100 of the first embodiment in a determination process S120e. Since processes other than the determination process S120e are the same as those in the first embodiment, they will be briefly described.
  • the data determination apparatus 101e includes the state transition model storage unit 130 that stores the state transition model 1031e, and the communication permission list storage unit 105 that stores the communication permission rule 14 as the communication permission list 114e.
  • the state management unit 103e executes the state management process S101 that holds the operation state of the own device based on the state transition model 1031e.
  • the state management unit 103e changes the operation state of the own device based on the state transition model 1031e, and holds the latest operation state.
  • the communication process S110 is the same as that described in the first embodiment.
  • the determination unit 106e acquires the communication determination data 109 acquired in the communication process S110 and acquires the operation state of the own apparatus held in the state management process S101 as the current operation state 113. Further, the determination unit 106e acquires the timer value 17 from the timer 104e and the flag value 15 from the flag management unit 177. The determination unit 106e determines whether the communication determination data 109 corresponds to the communication permission rule 14 in the current operation state 113 using the current operation state 113, the timer value 17, the flag value 15, and the communication permission list 114e. To do.
  • the determination unit 106e determines whether or not the communication determination data 109 corresponds to the communication permission rule 14 using the determination result of whether or not the timer value 17 is within the range of the timer permission value 1921. To do. Further, the determination unit 106e uses the determination result as to whether or not the timer value 17 is within the range of the timer permission value 1921 and whether or not the flag value 15 is the flag permission value 1922. It may be determined whether or not the permission rule 14 is satisfied. That is, as illustrated in FIG. 16, when the determination unit 106e determines that the communication determination data 109 is the communication permission data 119e, the communication determination data 109 is determined based on the determination result as to whether or not the permission condition 192 is satisfied. A determination result 115 indicating whether or not corresponds to the communication permission rule 14 is output.
  • the process proceeds to a normal process S140.
  • the determination result 115 is abnormal, that is, when the communication determination data 109 does not correspond to the communication permission rule 14, the process proceeds to the abnormality process S150.
  • the state management unit 103e changes the operation state of the own apparatus based on the acquired communication determination data 109 and the state transition model 1031e.
  • the state management unit 103e changes the operation state of the own device to an abnormal state.
  • determination process S120e performed by the determination unit 106e will be described with reference to FIG.
  • the difference between the determination process S120e and the determination process S120 of the first embodiment is S123e and S124e. Since the processes other than S123e and S124e are the same as those in the first embodiment, they will be briefly described.
  • the determination unit 106e acquires the reception data 111 or the transmission data 112 as the communication determination data 109.
  • the determination unit 106e analyzes the contents of the communication determination data 109 and extracts elements necessary for determination.
  • the extracted elements are items described in the communication permission list 114e, and are information such as a transmission source address and a command type.
  • the determination unit 106e acquires the current operation state 113 from the state management unit 103e. Also, the determination unit 106e acquires the communication permission list 114e from the communication permission list storage unit 105.
  • the determination unit 106e determines whether the communication determination data 109 corresponds to the communication data permitted in the current operation state 113, that is, the communication permission rule 14, based on the current operation state 113 and the communication permission list 114e. Determine whether or not. If it is determined that the communication determination data 109 corresponds to the communication permission rule 14, the process proceeds to S124e. If it is determined that the communication determination data 109 does not correspond to any communication permission rule 14, the process proceeds to S125. In S125, the determination unit 106e outputs the abnormality determination result 115 and blocks communication of the communication determination data 109. Or the determination part 106e does not need to interrupt
  • the determination unit 106e permits the communication and, if there is an action corresponding to the communication permission rule 14 to which the communication determination data 109 corresponds, executes the action. That is, the determination unit 106e outputs a normal determination result 115, permits communication, and executes the action if there is an action corresponding to the communication permission rule 14 to which the communication determination data 109 corresponds. Specifically, the determination unit 106e sets the flag setting value 16 in the flag management unit 177, or sets the timer setting value 18 in the timer 104e.
  • determination process S120e is demonstrated using a specific example.
  • the data determination apparatus 101e receives the communication determination data 109 corresponding to the rules 4, 5, and 6 will be described.
  • the data determination apparatus 101e receives the communication determination data 109 in the driving A state 302, and the communication determination data 109 is “parameter file transmission” of rule 4 from the transmission source address, command type, and data size of the communication determination data 109. Is determined.
  • the data determination device 101e permits communication and changes the operation state to the operation B state 303.
  • the data determination apparatus 101e receives the communication determination data 109 in the operation B state 303, and the communication determination data 109 is “parameter file setting” of rule 5 from the transmission source address, the command type, and the data size of the communication determination data 109.
  • the data determination device 101e permits communication and changes the operation state to the operation C state 304.
  • the data determination device 101e receives the communication determination data 109 in the operation C state 304, and determines that the communication determination data 109 is “verify” of the rule 6 from the transmission source address, the command type, and the data size of the communication determination data 109.
  • the data determination device 101e permits communication and changes the operation state to the operation A state 302.
  • the data determination device 101e receives the communication determination data 109 in the driving A state 302, and determines the communication determination from the transmission source address, command type, data size, data setting range, timer value 17, and flag value 15 of the communication determination data 109. Assume that it is determined that the data 109 is “operation data setting” of rule 7.
  • the data determination apparatus 101e permits communication and sets the timer set value to 100 ms. By performing the determination process S120e in this way, it is possible to determine whether or not the communication that needs to wait for a certain time after receiving the command is normal.
  • the rules 3a, 3b, and 3c are communications that need to receive commands at intervals of about b seconds in the driving A state 302. In this communication, an error of ⁇ d seconds is allowed for b seconds.
  • the data determination device 101e receives the communication determination data 109 in the driving A state 302, and the communication determination data 109 is determined from the transmission source address, command type, data size, timer value 17 and flag value 15 of the communication determination data 109. Suppose that it is determined that “status data acquisition” of 3a.
  • the data determination apparatus 101e permits communication, sets b + d to T1 that is the value of the timer 104e, and sets F1 that is the flag value to 1.
  • the data determination device 101e receives the communication determination data 109 in the driving A state 302, and the communication determination data 109 is determined from the transmission source address, command type, data size, timer value 17 and flag value 15 of the communication determination data 109. Assume that it is determined that the status data acquisition is 3b.
  • the data determination device 101e permits communication and sets b + T1 to T1.
  • the data determination device 101e receives the communication determination data 109 in the driving A state 302, and the communication determination data 109 is determined from the transmission source address, command type, data size, timer value 17 and flag value 15 of the communication determination data 109.
  • the data determination apparatus 101e permits communication and initializes T1 and F1 to 0. By performing the determination process S120e in this way, it is possible to determine whether or not communication that needs to receive commands at regular intervals is normal.
  • the data determination apparatus 101e receives the communication determination data 109 in the maintenance state 305, and determines that the communication determination data 109 is “program update” of rule 8 from the transmission source address, command type, and data size of the communication determination data 109. Suppose that The data determination apparatus 101e permits communication.
  • the data determination apparatus 101e receives the communication determination data 109 in the maintenance state 305, and determines that the communication determination data 109 is “verify” of rule 9 from the transmission source address, command type, and data size of the communication determination data 109. And The data determination apparatus 101e permits communication. The data determination apparatus 101e receives the communication determination data 109 in the maintenance state 305, and determines that the communication determination data 109 is “maintenance complete” of rule 9 from the transmission source address, command type, and data size of the communication determination data 109. Suppose that The data determination device 101e permits communication and changes the operation state to the operation A state 302.
  • the data determination device has the following configuration.
  • a state management unit that manages an operation state according to a state transition model that transitions by at least one element of communication data, an external operation, and a timer.
  • B A communication permission list storage unit that stores a communication permission list that defines communication data to be permitted for each operation state.
  • the communication data input to the data determination device is obtained by using the current operation state output by the state management unit, the communication permission list stored in the communication permission list storage unit, the timer value, and the flag value.
  • a determination unit for determining whether or not normal.
  • An alarm unit that issues an alarm based on the determination result output by the determination unit.
  • the state management unit manages the operation state according to a state transition model that transitions according to the determination result output by the determination unit.
  • the determination unit blocks communication data determined to be abnormal. Furthermore, the determination unit executes an action described in the communication permission rule when it is determined to be normal. That is, when the determination unit determines that it is normal, it sets at least one of the timer and the flag to a predetermined value.
  • the hijacked server rewrites the program to the controller. Since the program rewriting itself is normal communication, and the hijacked server is also defined as normal, it cannot be prevented by the white list type countermeasure.
  • the data determination apparatus defines not only communication data but also a transition of an operation state by a human operation or a timer. Therefore, the above-described attack can be detected by taking a countermeasure so that the program rewrite is accepted only in the maintenance state and the transition to the maintenance state is performed only by a human operation.
  • the controller whose program has been rewritten by the Stuxnet induces a device failure by transmitting a command for changing the frequency at a high frequency to the frequency converter to be controlled.
  • a high frequency change command can be detected by a timer.
  • deviation from the correct communication order can be detected.
  • the data determination device since it is possible to detect whether the reception interval is constant, it is also possible to detect an event such as disconnection or a stop of the monitoring control device due to an attack. At this time, even when managing the reception intervals of a plurality of communications, it is possible to simplify the description of the state transition diagram and to suppress resources related to detection. If the control of the reception interval is performed only by the state transition, the number of states n 2 for the communication number n to be processed must be managed. However, the data determination device according to the present embodiment can be managed in one state.
  • the monitoring and control device that has been attacked also detects command issuance that should not be issued or data acquisition from a monitoring and control device that does not acquire data in operation. it can.
  • the fourth embodiment has been described in addition to the first to third embodiments, a combination of a plurality of these four embodiments may be performed. Alternatively, one of the four embodiments may be partially implemented. Alternatively, a plurality of these four embodiments may be partially combined. In addition, these four embodiments may be implemented in any combination, in whole or in part. In addition, said embodiment is an essentially preferable illustration, Comprising: It does not intend restrict

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Health & Medical Sciences (AREA)
  • Business, Economics & Management (AREA)
  • General Business, Economics & Management (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

　状態遷移を表す状態遷移モデル（１０３１）を記憶する状態遷移モデル記憶部（１３０）と、状態遷移モデルに基づいて自装置の運用状態を保有する状態管理部（１０３）と、各運用状態において通信を許可する通信許可データを通信許可リスト（１１４）として格納する通信許可リスト格納部（１０５）と、通信判定データ（１０９）を取得する通信部（１０７）と、現在の運用状態（１１３）と通信許可リスト（１１４）とを用いて、通信判定データ（１０９）が現在の運用状態（１１３）において通信を許可された通信許可データであるか否かを判定する判定部（１０６）とを備える。

Description

データ判定装置、データ判定方法及びプログラム
　本発明は、データ判定装置、データ判定方法及びプログラムに関する。特に、ネットワークへの攻撃の侵入を検知するデータ判定装置、データ判定方法及びプログラムに関する。
　近年、産業制御システムにおいて、システムがネットワークに接続されるケースが増大し、システムがサイバー攻撃の標的になるケースが増加している。産業制御システムにおいては、サイバー攻撃によるネットワークへの侵入を検知するために、以下のような方式が取られている。
　従来の侵入検知システムでは、産業制御システムのネットワーク通信が固定的であることを利用して、送信先アドレスと送信元アドレスのペアやプロトコル等の許可された通信を定義する。そして、侵入検知システムは、許可された通信以外を異常とすることによって、未知の攻撃に対しても侵入を検知するホワイトリスト型の対策を取る（特許文献１，２参照）。
　また、許可する通信シーケンスを定義して、各々の通信シーケンスにおいて、未接続、通信中、異常処理等の通信の状態を管理する方式も提案されている（特許文献２参照）。
　さらに、通信を許可するアプリケーションを定義することによって、不正なプログラムの実行によるネットワーク侵入を検知する方法も提案されている（特許文献３参照）。
特許第４６８８４２０号公報 特開２００１－０３４５５３号公報 特表２０１３－５３２８６９号公報
　近年、産業制御システムをターゲットにＳｔｕｘｎｅｔに代表される高度な攻撃が行われるようになった。Ｓｔｕｘｎｅｔは、通信を許可されたサーバを乗っ取り、正常と定義した通信の中に攻撃通信を紛れ込ませる。このため、攻撃通信は、特許文献１，２のホワイトリスト型対策をすり抜けてしまうという課題がある。
　特許文献２の技術では、送信元及び送信先の通信状態を監視し、あらかじめ規定された通信シーケンスに従った通信状態であるかを判定し、判定結果に従ってアクセス制御を行う。しかし、この場合、乗っ取ったサーバから通信シーケンスに従った通信を行うことで、不正なプログラム書き換え等の攻撃データも通信可能となるという課題がある。
　特許文献３の技術では、ローカルホストでアプリケーションプログラムと通信を紐づけ、通信が発生した際に、この通信を行うアプリケーションプログラムが通信を許可されたものかどうかを判定して、この通信を遮断する。しかし、この特許文献３の技術では、通信許可されたアプリケーションプログラムに内在する脆弱性を突かれた場合、通信を遮断できない。
　本発明は、通信を許可されたサーバを乗っ取り、正常と定義した通信の中に攻撃通信を紛れ込ませる攻撃に対しても侵入を検知できるデータ判定装置を提供することを目的とする。
　本発明に係るデータ判定装置は、
　複数の運用状態の各運用状態間の状態遷移を表す状態遷移モデルを記憶する状態遷移モデル記憶部と、
　前記状態遷移モデルに基づいて、自装置の運用状態を保有する状態管理部と、
　前記複数の運用状態の各運用状態において通信を許可する通信許可データを通信許可リストとして格納する通信許可リスト格納部と、
　通信データを通信判定データとして取得する通信部と、
　前記通信部により取得された通信判定データを取得すると共に前記状態管理部により保有される前記自装置の運用状態を現在の運用状態として取得し、前記現在の運用状態と前記通信許可リストとを用いて、前記通信判定データが前記現在の運用状態において通信を許可された通信許可データであるか否かを判定する判定部とを備える。
　本発明に係るデータ判定装置によれば、状態遷移モデルに含まれる運用状態毎に通信を許可する通信許可データを通信許可リストとして設定し、判定部が、現在の運用状態と通信許可リストとを用いて、通信判定データが現在の運用状態において通信を許可された通信許可データであるか否かを判定するので、通信を許可されたサーバを乗っ取り、正常と定義した通信の中に攻撃通信を紛れ込ませる攻撃に対しても侵入を検知することができる。
実施の形態１に係るデータ判定装置のブロック構成図。 図１のデータ判定装置とは異なる動作を行うデータ判定装置のブロック構成図。 実施の形態１に係るデータ判定装置の状態遷移モデルの一例を示す図。 実施の形態１に係る通信許可リストの構成図。 実施の形態１に係るデータ判定装置のハードウェア構成図。 実施の形態１に係るデータ判定装置のデータ判定方法、データ判定処理を示すフロー図。 実施の形態１に係る判定部による判定処理を示すフロー図。 実施の形態２に係るデータ判定装置のブロック構成図。 取得情報履歴から運用状態を決定するための手順を示す図。 状態遷移モデルより生成された通信許可リストを示す図。 まとめ後の通信許可リストを示す図。 実施の形態３に係るデータ判定装置のブロック構成図。 図１２のデータ判定装置とは異なる動作を行うデータ判定装置のブロック構成図。 実施の形態４に係るデータ判定装置のブロック構成図。 図１４のデータ判定装置とは異なる動作を行うデータ判定装置のブロック構成図。 実施の形態４に係る通信許可リストの構成図。 実施の形態４に係るデータ判定装置の状態遷移モデルの一例を示す図。 実施の形態４に係るデータ判定装置のデータ判定方法、データ判定処理を示すフロー図。 実施の形態４に係る判定部による判定処理を示すフロー図。
　実施の形態１．
＊＊＊構成の説明＊＊＊
　図１を用いて、本実施の形態に係るデータ判定装置１０１のブロック構成について説明する。ここで、図１に示すように、データ判定装置１０１、監視制御装置２００、コントローラ３００を備えるシステムをデータ判定システム５００と称する。
　データ判定装置１０１は、ネットワーク１０２に接続され、監視制御装置２００とコントローラ３００との間で通信される通信データを仲介すると共に通信データの判定を行う。データ判定装置１０１は、ネットワーク１０２に侵入する攻撃を検知する侵入検知装置、侵入検知システムである。
　コントローラ３００は、例えば産業制御システム等に備えられる。コントローラ３００は、アプリケーション３１０を備える。アプリケーション３１０は、送信データ１１２をデータ判定装置１０１に送信する。また、アプリケーション３１０は、受信データ１１１を監視制御装置２００から受信する。ここで、データ判定装置１０１が通信するとともに判定する受信データ１１１、送信データ１１２を通信判定データ１０９とも呼ぶ。
　監視制御装置２００は、例えば産業制御システム等を監視制御するサーバである。
　データ判定装置１０１は、監視制御装置２００からネットワーク１０２を介して受信した受信データ１１１をコントローラ３００に仲介する。また、データ判定装置１０１は、コントローラ３００が送信した送信データ１１２をネットワーク１０２を介して監視制御装置２００に仲介する。
　データ判定装置１０１は、受信データ１１１及び送信データ１１２を仲介する過程において、攻撃の侵入を検知するデータ判定処理を行う。
　データ判定装置１０１は、状態管理部１０３、タイマー１０４、通信許可リスト格納部１０５、判定部１０６、通信部１０７、警報部１０８、操作部１１０、状態遷移モデル記憶部１３０を備える。
　状態遷移モデル記憶部１３０は、複数の運用状態の各運用状態間の状態遷移を表す状態遷移モデル１０３１を記憶する。状態遷移モデル記憶部１３０は、自装置が取得した取得情報１０３３に応じて複数の運用状態の各運用状態間を遷移する状態遷移モデル１０３１を記憶する。自装置とは、データ判定装置１０１自身である。
　取得情報１０３３とは、データ判定装置１０１の状態を遷移させる要素である。取得情報１０３３には、通信により取得される通信データと自装置に対する操作を受け付けたことを示す操作信号１１０１とタイマー１０４から出力されるタイマー信号１０４１とを含む。
　状態管理部１０３は、状態遷移モデル１０３１に基づいて、自装置、すなわちデータ判定装置１０１の運用状態を保有する。
　通信許可リスト格納部１０５は、複数の運用状態の各運用状態において通信を許可する通信許可データ１１９を通信許可リスト１１４として格納する。
　通信部１０７は、通信データを通信判定データ１０９として取得する。
　判定部１０６は、通信部１０７により取得された通信判定データ１０９を取得すると共に状態管理部１０３により保有される自装置の運用状態１０３２を現在の運用状態１１３として取得する。判定部１０６は、現在の運用状態１１３と通信許可リスト１１４とを用いて、通信判定データ１０９が現在の運用状態１１３において通信を許可された通信許可データ１１９であるか否かを判定する。
　通信部１０７は、ネットワーク１０２を介して監視制御装置２００との接続を行う。通信部１０７は、監視制御装置２００からネットワーク１０２を介して受信データ１１１を受信し、受信した受信データ１１１を判定部１０６に出力する。通信部１０７は、入力した送信データ１１２を、ネットワーク１０２を介して監視制御装置２００に送信する。通信部１０７は、ネットワーク入出力部である。
　状態管理部１０３は、データ判定装置１０１の運用状態を状態遷移モデル１０３１で管理する。状態遷移モデル１０３１は、予め設定され、データ判定装置１０１の記憶領域に記憶される。
　操作部１１０は、人間が操作するボタン、タッチパネルなどである。操作部１１０は、自装置に対する操作を受け付けたことを示す操作信号１１０１を出力する。
　タイマー１０４は、自装置の運用状態が継続する時間を計測する。すなわち、タイマー１０４は、通信に時間制約がある場合に、時間制約における時間を計測する。
　通信許可リスト格納部１０５は、通信許可リスト１１４を格納する記憶領域である。
　判定部１０６は、受信データ１１１または送信データ１１２と、状態管理部１０３が出力する現在の運用状態１１３と、通信許可リスト格納部１０５が格納する通信許可リスト１１４とを取得する。判定部１０６は、取得した受信データ１１１または送信データ１１２と現在の運用状態１１３と通信許可リスト１１４とを比較し、受信データ１１１または送信データ１１２が許可されているものか否かを判定し、判定結果１１５を出力する。
　判定部１０６は、通信判定データ１０９が通信許可データ１１９でないと判定した場合、通信を遮断する。つまり、判定部１０６は、判定結果１１５が異常の場合、通信を遮断する。
　警報部１０８は、判定部１０６により通信判定データ１０９が通信許可データ１１９でないと判定された場合、異常を検知したことを示す警報を出力する。つまり、警報部１０８は、判定結果１１５が異常の場合に警報を発する。警報部１０８が発する警報は、ランプのような視覚によるものでもよいし、ネットワークを経由して別のサーバに発報してもよい。
　状態管理部１０３は、判定部１０６により通信判定データ１０９が通信許可データ１１９であると判定された場合、状態遷移モデル１０３１に基づいて自装置の運用状態１０３２を遷移させる。
　また、状態管理部１０３は、判定部１０６により通信判定データ１０９が通信許可データ１１９でないと判定された場合、自装置の運用状態１０３２を異常状態に遷移させる。
　なお、状態管理部１０３は、正常と判定された場合に状態を遷移するのみでもよい。
　以上のように、状態管理部１０３は、自装置であるデータ判定装置１０１の現在の運用状態１１３を保有する。
　図２を用いて、図１のデータ判定装置１０１とは異なる動作を行うデータ判定装置１０１ａについて説明する。
　図１に示すデータ判定装置１０１では、判定部１０６が通信判定データ１０９を判定した後に受信データ１１１あるいは送信データ１１２を通信する構成を示した。しかし、図２に示すデータ判定装置１０１ａのように監視制御装置２００とアプリケーション３１０との通信を判定部１０６がキャプチャする構成でもよい。図２のデータ判定装置１０１ａでは、判定結果１１５が異常の場合、判定部１０６が通信を遮断することができない。しかし、警報部１０８により発せられた警報により、攻撃に対する対処を行うことができる。
　図３を用いて、本実施の形態に係る状態管理部１０３が管理するデータ判定装置１０１の状態遷移モデル１０３１の一例について説明する。図３は一例であり、状態遷移モデル１０３１は必ずしも図３の通りでなくてもよい。
　図３において、各状態３０１～３０７は、複数の運用状態３００１の例である。また、各状態間は、複数の運用状態の各運用状態間３００２の例である。
　図３では、データ判定装置１０１は、電源投入時にＮＷ構築状態３０１に遷移し、ＮＷ構築に必要な通信を行う。データ判定装置１０１において、ＮＷ構築に必要な通信を通信データ１とする。なお、以下の説明においてもネットワーク構築をＮＷ構築と記載する。状態遷移モデル１０３１では、ＮＷ構築が完了し、通信データ２を受信したら運転Ａ状態３０２に移行する。
　状態遷移モデル１０３１では、通信データの順番に規定がある通信、例えば通信データ４，５，６の順番で受信するという規定がある通信が存在する場合、規定された通信順に従って運転状態をさらに定義する。図３の状態遷移モデル１０３１では、通信データ４を通信すると運転Ｂ状態３０３に遷移し、通信データ５を通信すると運転Ｃ状態３０４に遷移し、通信データ６を通信すると運転Ａ状態３０２に遷移するように定義されている。このように、それぞれの運転状態への遷移条件を通信データ４，５，６に割り当てるようにしてもよい。
　また、運転Ａ状態３０２において、時間制約のある通信データ７が存在する場合、タイマーをオンにし、待ち状態３０５に移行し、タイマーがオフになったら運転Ａ状態３０２に復帰するようにしてもよい。タイマー信号１０４１は、タイマーのオンオフを示す信号である。
　さらに、人の操作１により保守状態３０６に移行し、保守に必要な通信、例えば通信データ８，９を行うようにしてもよい。保守が完了し、通信データ１０を受信したら運転Ａ状態３０２に移行する。さらに、通信データによる状態遷移を行う際は、判定部１０６の判定結果が正常であった場合のみ遷移するようにしてもよい。各状態において、判定部１０６の判定結果が異常であったら、異常状態３０７に遷移してもよい。
　図４を用いて、本実施の形態に係る通信許可リスト１１４の構成について説明する。
　図４は、状態管理部１０３の保持するそれぞれの運用状態において許可された通信許可リスト１１４の例である。図４の通信許可リスト１１４は一例であり、必ずしも図４の通りでなくてもよい。
　図４に示すように、通信許可リスト１１４は、運用状態、通信データ番号、送信元アドレス、コマンド種別、データサイズ上限、データ設定範囲などの項目を有する。これらの項目は任意であり、通信データを特定することができる項目であれば、その他の項目でも構わない。
　図４に示すように、ＮＷ構築時は、通信データ１，２のみ許可し、それ以外の通信を許可しない。また、待ち状態ではすべての通信を許可しない。
　図５を用いて、本実施の形態に係るデータ判定装置１０１のハードウェア構成の一例について説明する。
　データ判定装置１０１はコンピュータである。
　データ判定装置１０１は、プロセッサ９０１、補助記憶装置９０２、メモリ９０３、通信装置９０４、入力インタフェース９０５、ディスプレイインタフェース９０６といったハードウェアを備える。
　プロセッサ９０１は、信号線９１０を介して他のハードウェアと接続され、これら他のハードウェアを制御する。
　入力インタフェース９０５は、入力装置９０７に接続されている。
　ディスプレイインタフェース９０６は、ディスプレイ９０８に接続されている。
　プロセッサ９０１は、プロセッシングを行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）である。
　プロセッサ９０１は、例えば、ＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ　Ｓｉｇｎａｌ　Ｐｒｏｃｅｓｓｏｒ）、ＧＰＵ（Ｇｒａｐｈｉｃｓ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）である。
　補助記憶装置９０２は、例えば、ＲＯＭ（Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）、フラッシュメモリ、ＨＤＤ（Ｈａｒｄ　Ｄｉｓｋ　Ｄｒｉｖｅ）である。
　メモリ９０３は、例えば、ＲＡＭ（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）である。
　通信装置９０４は、データを受信するレシーバー９０４１及びデータを送信するトランスミッター９０４２を含む。
　通信装置９０４は、例えば、通信チップ又はＮＩＣ（Ｎｅｔｗｏｒｋ　Ｉｎｔｅｒｆａｃｅ　Ｃａｒｄ）である。
　入力インタフェース９０５は、入力装置９０７のケーブル９１１が接続されるポートである。
　入力インタフェース９０５は、例えば、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ　Ｓｅｒｉａｌ　Ｂｕｓ）端子である。
　ディスプレイインタフェース９０６は、ディスプレイ９０８のケーブル９１２が接続されるポートである。
　ディスプレイインタフェース９０６は、例えば、ＵＳＢ端子又はＨＤＭＩ（登録商標）（Ｈｉｇｈ　Ｄｅｆｉｎｉｔｉｏｎ　Ｍｕｌｔｉｍｅｄｉａ　Ｉｎｔｅｒｆａｃｅ）端子である。
　入力装置９０７は、例えば、マウス、キーボード又はタッチパネルである。
　ディスプレイ９０８は、例えば、ＬＣＤ（Ｌｉｑｕｉｄ　Ｃｒｙｓｔａｌ　Ｄｉｓｐｌａｙ）である。
　補助記憶装置９０２には、図１に示す状態管理部１０３、判定部１０６、警報部１０８（以下、状態管理部１０３、判定部１０６、警報部１０８をまとめて「部」と表記する）の機能を実現するプログラムが記憶されている。上述したデータ判定装置１０１が備える「部」の機能を実現するプログラムは、データ判定プログラムとも称される。「部」の機能を実現するプログラムは、１つのプログラムであってもよいし、複数のプログラムから構成されていてもよい。
　このプログラムは、メモリ９０３にロードされ、プロセッサ９０１に読み込まれ、プロセッサ９０１によって実行される。
　更に、補助記憶装置９０２には、ＯＳ（Ｏｐｅｒａｔｉｎｇ　Ｓｙｓｔｅｍ）も記憶されている。
　そして、ＯＳの少なくとも一部がメモリ９０３にロードされ、プロセッサ９０１はＯＳを実行しながら、「部」の機能を実現するプログラムを実行する。
　図５では、１つのプロセッサ９０１が図示されているが、データ判定装置１０１が複数のプロセッサ９０１を備えていてもよい。
　そして、複数のプロセッサ９０１が「部」の機能を実現するプログラムを連携して実行してもよい。
　また、「部」の処理の結果を示す情報やデータや信号値や変数値が、メモリ９０３、補助記憶装置９０２、又は、プロセッサ９０１内のレジスタ又はキャッシュメモリにファイルとして記憶される。
　「部」を「サーキットリー」で提供してもよい。
　また、「部」を「回路」又は「工程」又は「手順」又は「処理」に読み替えてもよい。また、「処理」を「回路」又は「工程」又は「手順」又は「部」に読み替えてもよい。
　「回路」及び「サーキットリー」は、プロセッサ９０１だけでなく、ロジックＩＣ又はＧＡ（Ｇａｔｅ　Ａｒｒａｙ）又はＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ　Ｓｐｅｃｉｆｉｃ　Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）又はＦＰＧＡ（Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙ）といった他の種類の処理回路をも包含する概念である。
　なお、プログラムプロダクトと称されるものは、「部」として説明している機能を実現するプログラムが記録された記憶媒体、記憶装置などであり、見た目の形式に関わらず、コンピュータ読み取り可能なプログラムをロードしているものである。
＊＊＊動作の説明＊＊＊
　図６を用いて、本実施の形態に係るデータ判定装置１０１のデータ判定方法、データ判定処理Ｓ１００について説明する。
　上述したように、データ判定装置１０１は、状態遷移モデル１０３１を記憶する状態遷移モデル記憶部１３０と、通信許可データ１１９を通信許可リスト１１４として格納する通信許可リスト格納部１０５とを備える。
　状態管理処理Ｓ１０１において、状態管理部１０３は、状態遷移モデル１０３１に基づいて、自装置の運用状態１０３２を保有する状態管理処理Ｓ１０１を実行する。状態管理部１０３は、状態遷移モデル１０３１に基づいて自装置の運用状態１０３２を遷移させ、最新の運用状態を自装置の運用状態１０３２として保有する。
　通信処理Ｓ１１０において、通信部１０７は、通信データを通信判定データ１０９として取得する通信処理Ｓ１１０を実行する。通信部１０７は、受信データ１１１あるいは送信データ１１２を、判定の対象である通信判定データ１０９として取得する。
　判定処理Ｓ１２０において、判定部１０６は、通信処理Ｓ１１０により取得された通信判定データ１０９を取得すると共に状態管理処理Ｓ１０１により保有される自装置の運用状態１０３２を現在の運用状態１１３として取得する。判定部１０６は、現在の運用状態１１３と通信許可リスト１１４とを用いて、通信判定データ１０９が現在の運用状態１１３において通信を許可された通信許可データ１１９であるか否かを判定する。判定部１０６は、判定結果１１５を出力する。
　Ｓ１３０において、判定結果１１５が正常、すなわち通信判定データ１０９が通信許可データ１１９である場合、正常処理Ｓ１４０に進む。
　Ｓ１３０において、判定結果１１５が異常、すなわち通信判定データ１０９が通信許可データ１１９でない場合、異常処理Ｓ１５０に進む。
　正常処理Ｓ１４０において、状態管理部１０３は、取得した通信判定データ１０９と状態遷移モデル１０３１とに基づいて、自装置の運用状態１０３２を遷移させる。
　異常処理Ｓ１５０において、状態管理部１０３は、自装置の運用状態１０３２を異常状態に遷移させる。また、警報部１０８は、警報を通知する。
　次に、図７を用いて、判定部１０６による判定処理Ｓ１２０について説明する。
　Ｓ１２１において、判定部１０６は、通信判定データ１０９を取得し、取得した通信判定データ１０９を解析する。判定部１０６は、受信データ１１１あるいは送信データ１１２を通信判定データ１０９として取得する。判定部１０６は、通信判定データ１０９の中身を解析し、判定に必要な要素を抽出する。抽出される要素は、通信許可リスト１１４に記載されている項目であり、通信データ番号、送信元アドレス、送信先アドレス、コマンド種別、応答種別等である。
　Ｓ１２２において、判定部１０６は、状態管理部１０３から現在の運用状態１１３を取得する。また、判定部１０６は、通信許可リスト格納部１０５から通信許可リスト１１４を取得する。
　Ｓ１２３において、判定部１０６は、現在の運用状態１１３と通信許可リスト１１４とに基づいて、通信判定データ１０９が現在の運用状態１１３において許可されている通信データ、すなわち通信許可データ１１９であるか否かを判定する。
　通信判定データ１０９が通信許可データ１１９であればＳ１２４に進む。
　通信判定データ１０９が通信許可データ１１９でない、すなわち通信判定データ１０９が許可されていない通信であれば、Ｓ１２５に進む。
　Ｓ１２４において、判定部１０６は、正常の判定結果１１５を出力する。
　Ｓ１２５において、判定部１０６は、異常の判定結果１１５を出力し、通信判定データ１０９の通信を遮断する。あるいは、判定部１０６は、異常の判定結果１１５を出力するだけで、通信判定データ１０９の通信を遮断しなくてもよい。
　以上で、本実施の形態に係るデータ判定装置１０１のデータ判定方法、データ判定処理Ｓ１００についての説明を終わる。
　以上のように、本実施の形態に係るデータ判定装置１０１は、以下の構成を有する。
（Ａ）通信データと外部操作とタイマーのいずれか１つ以上の要素によって遷移する状態遷移モデルに従い、運用状態を管理する状態管理部。
（Ｂ）運用状態ごとに許可する通信データを定めた通信許可リストを格納する通信許可リスト格納部。
（Ｃ）状態管理部が出力する現在の運用状態と通信許可リスト格納部が格納している通信許可リストとを用いて、データ判定装置に入力された通信データが正常か否かを判定する判定部。
（Ｄ）判定部が出力する判定結果をもとに警報を発する警報部。
　また、状態管理部は、判定部が出力する判定結果によって遷移する状態遷移モデルに従い、運用状態を管理する。判定部は、異常と判断した通信データを遮断する。
＊＊＊本実施の形態の効果の説明＊＊＊
　比較のために先に述べたＳｔｕｘｎｅｔのような攻撃では、乗っ取られたサーバがコントローラに対しプログラム書き換えを行っている。プログラム書き換え自体は正常通信であり、乗っ取られたサーバも正常と定義されたサーバであるため、ホワイトリスト型対策ではＳｔｕｘｎｅｔのような攻撃を防ぐことができない。
　一方、本実施の形態に係るデータ判定装置では、通信データだけでなく人の操作やタイマーによる運用状態の遷移を行うようにしている。よって、保守状態の時のみプログラム書き換えを受け付けるようにし、保守状態への遷移は人の操作によってのみ行われるように対策をすることで、上記のような攻撃を検知することができる。
　また、Ｓｔｕｘｎｅｔによってプログラムを書き換えられたコントローラは、制御対象の周波数コンバータに対し高頻度で周波数を変更するコマンドを送信することで機器の故障を誘発する。本実施の形態に係るデータ判定装置では、タイマーによってそのような高頻度の周波数変更コマンドを検出する対策をとることができる。
　なお、上記対策は一例であり、例えば保守状態への移行を、乗っ取りの危険のないことが保障されている専用の装置からの通信データによって行ってもよい。
　また、本実施の形態に係るデータ判定装置によれば、正しい通信順からの逸脱も検知することができる。
　実施の形態２．
　本実施の形態では、主に、実施の形態１と異なる点について説明する。
　実施の形態１で説明した構成と同様の構成については同一の符号を付し、その説明を省略する場合がある。
　上述した実施の形態１では、状態遷移モデル１０３１と通信許可リスト１１４とをあらかじめ設計者が設定する必要があった。しかし、本実施の形態では、状態遷移モデル１０３１と通信許可リスト１１４とを取得情報履歴１５１から生成する方式について説明する。本実施の形態では取得情報履歴１５１に攻撃データが含まれていないことを仮定する。
＊＊＊構成の説明＊＊＊
　図８を用いて、本実施の形態に係るデータ判定装置１０１ｂのブロック構成について説明する。
　図８に示すように、本実施の形態に係るデータ判定装置１０１ｂは、実施の形態１の構成に加え、履歴記憶部１５３、リスト生成部１５２を備える。
　履歴記憶部１５３は、取得情報の履歴を取得情報履歴１５１として記憶する。取得情報履歴１５１は、データ判定装置１０１ｂが取得した取得情報を蓄積したファイルであり、データ判定装置１０１ｂの記憶領域に記憶される。取得情報履歴１５１は、データ判定装置１０１ｂが取得した取得情報の履歴であり、通信履歴を含むものである。
　リスト生成部１５２は、取得情報履歴１５１に基づいて、状態遷移モデル１０３１と通信許可リスト１１４とを生成する。
　なお、状態遷移モデル１０３１と通信許可リスト１１４との生成は人的作業により行ってもよく、人的作業により行う場合にはリスト生成部１５２は無くてもよい。
＊＊＊動作の説明＊＊＊
　図９は、取得情報履歴１５１からデータ判定装置１０１ｂの運用状態を決定し、状態遷移モデル１０３１を生成するための手順を示す図である。ここでは、リスト生成部１５２が自動的にリスト生成処理を実行するものとして説明する。
　図９では、「Ａ電源投入」から「Ｔ通信データ５」までが取得情報履歴１５１により得られたものとする。
　図９を用いて、リスト生成部１５２による状態遷移モデル生成処理の概要について説明する。
　リスト生成部１５２は、取得情報履歴１５１に含まれる連続する通信データ間の経過時間が第１時間以上であれば待ち状態を設定する。
　次に、リスト生成部１５２は、通信データ以外の取得情報を取得した時点を第１変化点７０１とし、第１変化点７０１の前後を第１運用状態とする。
　次に、リスト生成部１５２は、各第１運用状態において運用状態が遷移すると判定された遷移通信データ７０３を取得した時点を第２変化点７０２として、第２変化点７０２の前後を第２運用状態として状態遷移モデルを生成する。ここで、リスト生成部１５２は、クラスタリング手法を用いて遷移通信データ７０３を抽出する。
　図１０，１１を用いて、リスト生成部１５２によるリスト生成処理の概要について説明する。
　リスト生成部１５２は、状態遷移モデルに含まれる各運用状態において通信された通信データを通信許可データとして通信許可リストに設定する。リスト生成部１５２は、通信許可データに包含関係が成り立つ運用状態同士を１つにまとめる。
　図９～１１を用いて、リスト生成部１５２による状態遷移モデル生成処理、リスト生成処理の詳細について説明する。
　Ｓ６０１において、リスト生成部１５２は、通信データ間の経過時間が一定以上であれば、「待ち」状態を定義する。待ち状態への遷移の際はタイマーをオンにし、タイマーオフで次の運用状態に遷移するものと定義する。
　次に、Ｓ６０２において、リスト生成部１５２は、通信データ以外の入力が発生したら状態の第１変化点７０１とし、第１変化点７０１の間を新たな第１運用状態とする。図９に示すように、「Ａ電源投入」から「Ｉ通信データ５：タイマーオン」までを「状態１」と定義し、同様に、「状態２」、「状態３」を定義する。
　最後に、Ｓ６０３において、リスト生成部１５２は、Ｓ６０２で定めた第１変化点７０１間の通信データを時系列でクラスタリングし、クラスタの間を新たな第２運用状態とする。クラスタリングにはウォード法やＫ平均法、機械学習などを使用してもよい。通信データによる状態変化が仕様から明らかな場合は、仕様に基づいて第２変化点を定めてもよい。同様に通信データに順序が規定されている場合は、各々の通信データを第２変化点と定めてもよい。
　図９に示すように、Ｓ６０３では、第２運用状態として「状態１－１」、「状態１－２」、「状態３－１」、「状態３－２」が定義される。
　図１０は状態遷移モデルより生成された通信許可リストであり、図１１はまとめ後の通信許可リストである。
　図１０及び図１１を用いて、図９で説明した方法により生成された状態遷移モデルから通信許可リストを生成する方法について述べる。
　まず、図１０に示すように、リスト生成部１５２は、先に生成した状態遷移モデルの各状態において、許可された通信データを抽出し、通信許可リストの表にする。このとき、遷移条件と遷移先の状態も表にまとめる。
　次に、図１１に示すように、リスト生成部１５２は、図１０の通信許可リストにおいて許可された通信データに包含関係が成り立つ状態をまとめる。このとき、遷移先に規定されている状態もまとめる。例えば、図１１に示すように、状態１－２と状態２と状態３－２は包含関係が成り立つため、これらをまとめて状態１－２とし、対応する遷移先もまとめる。
　上述に記載の手法またはその他の手法によって、データ判定装置の外部で生成した状態遷移モデルや通信許可リストをデータ判定装置にインストールする際は、電子署名を加えてインポートし、データ判定装置で署名を検証するようにしてもよい。このような処理により、状態遷移モデルや通信許可リストの改ざんを検知することができる。電子署名としては例えばＲＳＡ署名やＥＣＤＳＡ署名を用いてもよい。
　以上のように、本実施の形態に係るデータ判定装置１０１ｂは、取得情報履歴から状態遷移モデルと通信許可リストとを生成するリスト生成部を有する。
　また、リスト生成部は、状態遷移モデルと通信許可リストとの生成に以下の処理を用いる。
（１）通信データ間の経過時間が一定以上であれば待ち状態とし、待ち状態に遷移する際にタイマーをオンにし、タイマーオフにより次の状態に遷移させる処理。
（２）通信データ以外の入力が発生したらところを運用状態の変化点とし、変化点の前後を新たな運用状態とする処理。
（３）（２）で定めた運用状態において特定の通信データを変化点として、その前後を新たな運用状態とする処理。
（４）前記各運用状態において、運用状態内で通信されたデータを許可された通信データとしてリストにする処理。
（５）（３）において、前記特定の通信データを求める際に、所定のクラスタリング手法を用いる処理。
（６）前記許可された通信データに包含関係が成り立つ運用状態を１つにまとめる処理。
　また、本実施の形態は、外部で生成した状態遷移モデルと通信許可リストとをデータ判定装置１０１ｂにインストールする際に、状態遷移モデルと通信許可リストとに付与されている署名を検証して改ざんを検知する処理を有する。
＊＊＊本実施の形態の効果の説明＊＊＊
　本実施の形態に係るデータ判定装置１０１ｂによれば、実施の形態１の効果に加え、取得情報履歴から状態遷移モデルと通信許可リストとを自動生成できる。よって、設計者の負担を削減することができる。
　実施の形態３．
　本実施の形態では、主に、実施の形態１，２と異なる点について説明する。
　実施の形態１，２で説明した構成と同様の構成については同一の符号を付し、その説明を省略する場合がある。
　実施の形態１，２では、データ判定装置１０１はネットワーク１０２とコントローラ３００との間に接続するものであった。しかし、本実施の形態では、サーバとコントローラとの間に設置可能なデータ判定装置１０１ｃの構成について説明する。
＊＊＊構成の説明＊＊＊
　図１２を用いて、本実施の形態に係るデータ判定装置１０１ｃのブロック構成について説明する。
　データ判定装置１０１ｃは、サーバである監視制御装置２００とはネットワーク１０２を介して接続され、コントローラ３００とはネットワーク１０２ａを介して接続される。データ判定装置１０１ｃは、ネットワーク１０２、ネットワーク１０２ａの各々に対応し、通信部１０７、通信部１０７ａを有する。
　図１３を用いて、図１２のデータ判定装置１０１ｃとは異なる動作を行うデータ判定装置１０１ｄのブロック構成について説明する。図１３に示すようにデータ判定装置１０１ｄは、監視制御装置２００とコントローラ３００との通信を判定部１０６がキャプチャする構成でもよい。図１３に示すデータ判定装置１０１ｄでは、１つのネットワーク１０２に監視制御装置２００とコントローラ３００とが接続されている。
＊＊＊動作の説明＊＊＊
　データ判定装置１０１ｃは、実施の形態１，２で説明したものと同様に、監視制御装置２００からコントローラ３００への通信およびコントローラ３００から監視制御装置２００への通信を判定する。データ判定装置１０１ｃの判定動作は実施の形態１と同じである。
　また、データ判定装置１０１ｄの動作については実施の形態１のデータ判定装置１０１ａと同様である。ただし、通信許可リストの項目について、送信元アドレスやコマンド種別、データサイズ上限やデータ設定範囲などの他に送信先アドレスも規定するようにしてもよい。
＊＊＊本実施の形態の効果の説明＊＊＊
　実施の形態１，２では、データ判定装置１０１を各コントローラ３００に設置するため、コントローラ３００が増えるとコストが増大する。本実施の形態では、ネットワークに１つ設置すればよいためコストを削減することができる。
　上記の実施の形態では、状態管理部、判定部、警報部がそれぞれ独立した機能ブロックとしてデータ判定装置を構成している。しかし、データ判定装置は上記のような構成でなくてもよく、データ判定装置の構成は任意である。状態管理部、判定部、警報部をひとつの機能ブロックで実現してもよい。また、状態管理部、判定部を１つの機能ブロックで実現してもよいし、判定部、警報部を１つの機能ブロックで実現してもよい。
　また、データ判定装置は、１つの装置でなく、複数の装置から構成されたデータ判定システムでもよい。データ判定装置の機能ブロックは、実施の形態に記載した機能を実現することができれば、任意であり、これらの機能ブロックを、他のどのような組み合わせでデータ判定装置を構成しても構わない。
　また、実施の形態１～３について説明したが、これらの３つの実施の形態のうち、複数を組み合わせて実施しても構わない。あるいは、これらの３つの実施の形態のうち、１つの実施の形態を部分的に実施しても構わない。あるいは、これらの３つの実施の形態のうち、複数を部分的に組み合わせて実施しても構わない。その他、これらの３つの実施の形態を、全体としてあるいは部分的に、どのように組み合わせて実施しても構わない。
　なお、上記の実施の形態は、本質的に好ましい例示であって、本発明、その適用物や用途の範囲を制限することを意図するものではなく、必要に応じて種々の変更が可能である。
　実施の形態４．
　本実施の形態では、主に、実施の形態１と異なる点について説明する。
　本実施の形態に係るデータ判定装置１０１ｅの基本的な動作は実施の形態１で説明したデータ判定装置１０１と同様であるが、通信許可リスト１１４ｅの構成、状態遷移モデル１０３１ｅの構成及び判定処理Ｓ１２０ｅの動作に実施の形態１と異なる点がある。
　本実施の形態では、実施の形態１と同様の構成には同一の符号を付し、その説明を省略する場合がある。
＊＊＊構成の説明＊＊＊
　図１４を用いて、本実施の形態に係るデータ判定装置１０１ｅのブロック構成について説明する。図１４は、実施の形態１で説明した図１に相当する。
　本実施の形態に係るデータ判定装置１０１ｅは、実施の形態１で説明したデータ判定装置１０１の構成に加え、フラグ管理部１７７を備える。また、実施の形態１で説明したタイマー１０４、状態管理部１０３、判定部１０６は、実施の形態１と異なる点を有するため、本実施の形態ではタイマー１０４ｅ、状態管理部１０３ｅ、判定部１０６ｅとする。
　したがって、本実施の形態に係るデータ判定装置１０１ｅでは、実施の形態１で説明した「部」の機能にフラグ管理部１７７、タイマー１０４ｅ、状態管理部１０３ｅ、判定部１０６ｅの機能が加わる。
　フラグ管理部１７７は、フラグを管理する。フラグ管理部１７７は、フラグの現在の値であるフラグ値１５を状態管理部１０３ｅと判定部１０６ｅとに入力する。また、判定部１０６ｅからフラグ設定値１６が入力される。
　タイマー１０４ｅは、時間を計測する。タイマー１０４ｅは、具体的には、設定された値を一定周期、具体的には１ｍｓで減算し、値が０になった場合に減算を終了する。また、タイマー１０４ｅは、現在の値であるタイマー値１７を状態管理部１０３ｅと判定部１０６ｅとに入力する。また、判定部１０６ｅからタイマー設定値１８が入力される。本実施の形態では、タイマー１０４ｅは時間を計測する計時部１４４の一例である。なお、実施の形態１で説明したタイマー信号１０４１については記載を省略する。
　状態遷移モデル記憶部１３０には、実施の形態１で説明した状態遷移モデル１０３１とは異なる構成の状態遷移モデル１０３１ｅが格納される。
　また、通信許可リスト格納部１０５には、実施の形態１で説明した通信許可リスト１１４とは異なる構成の通信許可リスト１１４ｅが格納される。通信許可リスト１１４ｅには、図１６に示すように、複数の運用状態の各運用状態において通信を許可する通信許可データ１１９ｅと、通信許可データ１１９ｅの通信が許可される許可条件１９２と、通信許可データの通信が許可された場合の許可処理１９３とを含む通信許可ルール１４が格納される。
　判定部１０６ｅは、実施の形態１で説明したように、受信データ１１１を通信部１０７から、送信データ１１２をアプリケーション３１０から取得すると共に、状態管理部１０３ｅにより保有される自装置の運用状態を、現在の運用状態１１３として取得する。また、判定部１０６ｅは、タイマー１０４ｅからタイマー値１７を、フラグ管理部１７７からフラグ値１５を取得する。判定部１０６ｅは、現在の運用状態１１３、タイマー値１７、フラグ値１５、通信許可リスト１１４ｅを用いて、通信判定データ１０９が現在の運用状態１１３において通信を許可された通信許可ルール１４に該当するか否かを判定する。
　判定部１０６ｅについてさらに説明する。
　判定部１０６ｅは、受信データ１１１または送信データ１１２と、状態管理部１０３ｅが出力する現在の運用状態１１３と、通信許可リスト格納部１０５が格納する通信許可リスト１１４ｅと、フラグ管理部１７７か管理するフラグ値１５と、タイマー１０４ｅが管理するタイマー値１７とを取得する。判定部１０６ｅは、取得した受信データ１１１または送信データ１１２と、現在の運用状態１１３と、通信許可リスト１１４ｅとフラグ値１５と、タイマー値１７とを比較し、受信データ１１１または送信データ１１２が許可されているものか否かを判定し、判定結果１１５を出力する。
　判定部１０６ｅは、通信判定データ１０９が通信許可リスト１１４ｅに含まれる通信許可ルール１４に該当すると判定した場合、通信を許可し、該当した通信許可ルール１４に記載されたアクション、すなわち許可処理１９３を実行する。具体的には、フラグ管理部１７７に対して通信許可ルール１４に記載されたフラグ許可値をフラグ設定値１６として設定したり、タイマー１０４ｅに対して通信許可ルール１４に記載されたタイマー許可値をタイマー設定値１８として設定したりする。
　判定部１０６ｅは、通信判定データ１０９が通信許可ルール１４に該当しないと判定した場合、通信を遮断する。つまり、判定部１０６ｅは、判定結果１１５が異常の場合、通信を遮断する。
　警報部１０８は、判定部１０６ｅにより通信判定データ１０９が通信許可ルール１４に該当しないと判定された場合、異常を検知したことを示す警報を出力する。つまり、警報部１０８は、実施の形態１と同様に、判定結果１１５が異常の場合に警報を発する。
　状態管理部１０３ｅは、判定部１０６ｅにより通信判定データ１０９が通信許可ルール１４に該当すると判定された場合、状態遷移モデル１０３１ｅに基づいて自装置の運用状態を遷移させる。
　また、状態管理部１０３ｅは、判定部１０６ｅにより通信判定データ１０９が通信許可ルール１４に該当しないと判定された場合、自装置の運用状態を異常状態に遷移させる。
　なお、状態管理部１０３ｅは、実施の形態１と同様に、正常と判定された場合に状態を遷移するのみでもよい。
　以上のように、状態管理部１０３ｅは、自装置であるデータ判定装置１０１ｅの現在の運用状態１１３を保有する。
　図１５を用いて、図１４のデータ判定装置１０１ｅとは異なる動作を行うデータ判定装置１０１ｅａのブロック構成について説明する。図１５は、実施の形態１で説明した図２に相当する。
　実施の形態１で説明した図２と同様に、図１５に示すデータ判定装置１０１ｅａのように監視制御装置２００とアプリケーション３１０との通信を判定部１０６ｅがキャプチャする構成でもよい。図１５のデータ判定装置１０１ｅａでは、判定結果１１５が異常の場合、判定部１０６ｅが通信を遮断することができない。しかし、警報部１０８により発せられた警報により、攻撃に対する対処を行うことができる。
　図１６を用いて、本実施の形態に係る通信許可リスト１１４ｅの構成について説明する。
　図１６は、状態管理部１０３ｅの保持するそれぞれの運用状態において許可された通信許可リスト１１４ｅの例である。図１６の通信許可リスト１１４ｅは一例であり、必ずしも図１６の通りでなくてもよい。
　図１６に示すように、通信許可リスト１１４ｅは、運用状態、ルール番号、受信データ条件、アクションといった項目を有する。受信データ条件は、通信許可データ１１９ｅと許可条件１９２とを有する。
　通信許可データ１１９ｅには、実施の形態１と同様に、送信元アドレス、コマンド種別、データサイズ上限、データ設定範囲といった情報が設定される。
　許可条件１９２は、通信許可データ１１９ｅの通信を許可する計時部１４４の値の範囲であるタイマー許可値１９２１と、通信許可データ１１９ｅの通信を許可するフラグの値であるフラグ許可値１９２２とを有する。
　また、アクションは、通信許可データ１１９ｅの通信が許可された場合の許可処理１９３である。アクションは、通信許可データ１１９ｅの通信が許可された場合に計時部１４４に設定するタイマー設定値１８と、通信許可データ１１９ｅの通信が許可された場合にフラグに設定するフラグ設定値１６とを有する。
　なお、これらの項目は任意であり、通信を許可する通信データを特定することができる項目であれば、上記以外の項目でも構わない。
　図１６では、具体的には、運用状態がＮＷ構築の場合、ルール１，２のみ許可し、それ以外のルールを許可しないことを意味する。また、運用状態が運転Ａの場合、ルール３ａ，３ｂ，３ｃ，７，４のみ許可し、それ以外のルールを許可しないことを意味する。また、また、運用状態が異常の場合はすべての通信を許可しないことを意味している。
　また、通信許可ルール１４とは、運用状態における通信の許否が設定された通信許可リスト１１４ｅの各行のことである。図１６では、通信許可ルール１４としてルール１からルール１０までが設定されている。運用状態が異常の場合はすべての通信を許可しないことを意味している。
　図１７を用いて、本実施の形態に係るデータ判定装置１０１ｅの状態遷移モデル１０３１ｅの一例について説明する。図１７は一例であり、状態遷移モデル１０３１ｅは必ずしも図１７の通りでなくてもよい。
　図１７において、実施の形態１と同様に、各状態３０１から３０６は、複数の運用状態の例である。また、各状態間は、複数の運用状態の各運用状態間の例である。
　図１７では、データ判定装置１０１ｅは、電源投入時にＮＷ構築状態３０１に遷移し、ＮＷ構築に必要な通信を行う。データ判定装置１０１ｅにおいて、ＮＷ構築に必要な通信に適用されるルールをルール１とする。なお、以下の説明においてもネットワーク構築をＮＷ構築と記載する。状態遷移モデル１０３１ｅでは、ＮＷ構築が完了し、ルール２が適用されたら運転Ａ状態３０２に移行する。
　状態遷移モデル１０３１ｅは、通信データの順番が規定された通信が存在する場合、規定された通信の順番に従って運転状態をさらに定義する。規定された通信の具体例としては、「パラメータファイル送信」、「パラメータファイル設定」、「ベリファイ」の順番で受信すると規定された通信がある。状態遷移モデル１０３１ｅでは、運転Ａ状態３０２で「パラメータファイル送信」を判定するルール４が適用されると運転Ｂ状態３０３に遷移し、ルール５が適用されると運転Ｃ状態３０４に遷移し、ルール６が適用されると運転Ａ状態３０２に遷移するように定義されている。このように、それぞれの運転状態への遷移条件をルール４，５，６に割り当てるようにしてもよい。
　以下において、タイマー値１７をＴ１とし、フラグ値１５をＦ１として説明する。
　運転Ａ状態３０２において、コマンド受信後に一定時間を空ける必要のある通信が存在する場合がある。具体的には図１６におけるルール７の「運転データ設定」である。ルール７では、許可条件１９２のようにＴ１がタイマー許可値１９２１に設定された０であること、すなわちＴ１＝０を条件に「運転データ設定」を受け入れ、許可処理１９３のようにＴ１に所定の値を設定する。具体的には、１ｍｓごとに減算するタイマーで１００ｍｓの間隔をあける場合は、Ｔ１にタイマー設定値１８である１００を設定する。すなわち、Ｔ１＝１００とする。
　また、運転Ａ状態３０２において、ｂ秒間隔（誤差±ｄ秒）でコマンドを受信する必要がある通信、具体的には図１６におけるルール３ａ，３ｂの「状態データ取得」である。ルール３ａ，３ｂでは、Ｔ１及びＦ１の各々が許可条件１９２に設定されている許可値に合致した場合に通信を許可し、Ｔ１及びＦ１の各々に許可処理１９３に設定されている設定値を設定する。また、状態データ取得を終了する際は、ルール３ｃのように状態データ取得終了コマンドを発行し、この状態データ取得終了コマンドを受信した際に、Ｔ１及びＦ１をクリアする。すなわち、Ｔ１及びＦ１の各々に許可処理１９３に設定されている設定値である０を設定する。さらに、図１７に示すように、運転Ａ状態３０２において、Ｆ１が１でかつＴ１が０になった場合に異常状態３０６に遷移してもよい。
　また、運転Ａ状態３０２において、人の操作１により保守状態３０５に移行し、保守に必要な通信、具体的にはプログラム更新やベリファイを行うようにしてもよい。保守状態３０５において、保守が完了し、ルール１０が適用されたら運転Ａ状態３０２に移行する。さらに、通信データによる状態遷移を行う際は、判定部１０６ｅの判定結果が正常であった場合のみ遷移するようにしてもよい。各状態において、判定部１０６ｅの判定結果が異常であったら、異常状態３０６に遷移してもよい。
＊＊＊動作の説明＊＊＊
　図１８を用いて、本実施の形態に係るデータ判定装置１０１ｅのデータ判定方法、データ判定処理Ｓ１００ｅについて説明する。データ判定処理Ｓ１００ｅにおいて、実施の形態１のデータ判定処理Ｓ１００と異なる点は判定処理Ｓ１２０ｅである。判定処理Ｓ１２０ｅ以外の処理は実施の形態１と同様であるため、簡潔に説明する。
　上述したように、データ判定装置１０１ｅは、状態遷移モデル１０３１ｅを記憶する状態遷移モデル記憶部１３０と、通信許可ルール１４を通信許可リスト１１４ｅとして格納する通信許可リスト格納部１０５とを備える。
　状態管理処理Ｓ１０１において、状態管理部１０３ｅは、状態遷移モデル１０３１ｅに基づいて、自装置の運用状態を保有する状態管理処理Ｓ１０１を実行する。状態管理部１０３ｅは、状態遷移モデル１０３１ｅに基づいて自装置の運用状態を遷移させ、最新の運用状態を保有する。
　通信処理Ｓ１１０は、実施の形態１で説明したものと同様である。
　判定処理Ｓ１２０ｅにおいて、判定部１０６ｅは、通信処理Ｓ１１０により取得された通信判定データ１０９を取得すると共に状態管理処理Ｓ１０１により保有される自装置の運用状態を現在の運用状態１１３として取得する。また、判定部１０６ｅは、タイマー１０４ｅよりタイマー値１７を、フラグ管理部１７７よりフラグ値１５を取得する。判定部１０６ｅは、現在の運用状態１１３、タイマー値１７、フラグ値１５、通信許可リスト１１４ｅを用いて、通信判定データ１０９が現在の運用状態１１３において通信許可ルール１４に該当するか否かを判定する。
　具体的には、判定部１０６ｅは、タイマー値１７がタイマー許可値１９２１の範囲内であるか否かの判定結果を用いて、通信判定データ１０９が通信許可ルール１４に該当するか否かを判定する。また、判定部１０６ｅは、タイマー値１７がタイマー許可値１９２１の範囲内であるか否か、フラグ値１５がフラグ許可値１９２２であるか否かの判定結果を用いて、通信判定データ１０９が通信許可ルール１４に該当するか否かを判定してもよい。すなわち、図１６に示すように、判定部１０６ｅは、通信判定データ１０９が通信許可データ１１９ｅであると判定した場合、許可条件１９２を満たしているか否かの判定結果に基づいて、通信判定データ１０９が通信許可ルール１４に該当するか否かを示す判定結果１１５を出力する。
　Ｓ１３０において、判定結果１１５が正常、すなわち通信判定データ１０９が通信許可ルール１４に該当する場合、正常処理Ｓ１４０に進む。
　Ｓ１３０において、判定結果１１５が異常、すなわち通信判定データ１０９が通信許可ルール１４に該当しない場合、異常処理Ｓ１５０に進む。
　正常処理Ｓ１４０において、状態管理部１０３ｅは、取得した通信判定データ１０９と状態遷移モデル１０３１ｅとに基づいて、自装置の運用状態を遷移させる。
　異常処理Ｓ１５０において、状態管理部１０３ｅは、自装置の運用状態を異常状態に遷移させる。
　次に、図１９を用いて、判定部１０６ｅによる判定処理Ｓ１２０ｅについて説明する。判定処理Ｓ１２０ｅにおいて、実施の形態１の判定処理Ｓ１２０と異なる点はＳ１２３ｅ，Ｓ１２４ｅである。Ｓ１２３ｅ，Ｓ１２４ｅ以外の処理は実施の形態１と同様であるため、簡潔に説明する。
　Ｓ１２１において、判定部１０６ｅは、受信データ１１１あるいは送信データ１１２を通信判定データ１０９として取得する。判定部１０６ｅは、通信判定データ１０９の中身を解析し、判定に必要な要素を抽出する。抽出される要素は、通信許可リスト１１４ｅに記載されている項目であり、送信元アドレス、コマンド種別といった情報である。
　Ｓ１２２において、判定部１０６ｅは、状態管理部１０３ｅから現在の運用状態１１３を取得する。また、判定部１０６ｅは、通信許可リスト格納部１０５から通信許可リスト１１４ｅを取得する。
　Ｓ１２３ｅにおいて、判定部１０６ｅは、現在の運用状態１１３と通信許可リスト１１４ｅとに基づいて、通信判定データ１０９が現在の運用状態１１３において許可されている通信データ、すなわち通信許可ルール１４に該当するか否かを判定する。
　通信判定データ１０９が通信許可ルール１４に該当すると判定されると、Ｓ１２４ｅに進む。
　通信判定データ１０９がいずれの通信許可ルール１４にも該当しないと判定されると、Ｓ１２５に進む。
　Ｓ１２５において、判定部１０６ｅは、異常の判定結果１１５を出力し、通信判定データ１０９の通信を遮断する。あるいは、判定部１０６ｅは、異常の判定結果１１５を出力するだけで、通信判定データ１０９の通信を遮断しなくてもよい。この処理は実施の形態１で説明したものと同様である。
　Ｓ１２４ｅにおいて、判定部１０６ｅは、通信を許可すると共に、通信判定データ１０９が該当した通信許可ルール１４に対応するアクションがあれば、そのアクションを実行する。すなわち、判定部１０６ｅは、正常の判定結果１１５を出力し、通信を許可すると共に、通信判定データ１０９が該当した通信許可ルール１４に対応するアクションがあれば、そのアクションを実行する。具体的には、判定部１０６ｅは、フラグ管理部１７７にフラグ設定値１６をセットしたり、タイマー１０４ｅにタイマー設定値１８をセットしたりする。
　以下に、判定処理Ｓ１２０ｅについて具体例を用いて説明する。
　データ判定装置１０１ｅが、ルール４，５，６に該当する通信判定データ１０９を受信した場合について説明する。
　データ判定装置１０１ｅが、運転Ａ状態３０２において通信判定データ１０９を受信し、通信判定データ１０９の送信元アドレスとコマンド種別とデータサイズとから通信判定データ１０９がルール４の「パラメータファイル送信」であると判定したとする。データ判定装置１０１ｅは、通信を許可すると共に、運転状態を運転Ｂ状態３０３に遷移する。
　データ判定装置１０１ｅが、運転Ｂ状態３０３において通信判定データ１０９を受信し、通信判定データ１０９の送信元アドレスとコマンド種別とデータサイズとから通信判定データ１０９がルール５の「パラメータファイル設定」であると判定したとする。データ判定装置１０１ｅは、通信を許可すると共に、運転状態を運転Ｃ状態３０４に遷移する。
　データ判定装置１０１ｅが、運転Ｃ状態３０４において通信判定データ１０９を受信し、通信判定データ１０９の送信元アドレスとコマンド種別とデータサイズとから通信判定データ１０９がルール６の「ベリファイ」であると判定したとする。データ判定装置１０１ｅは、通信を許可すると共に、運転状態を運転Ａ状態３０２に遷移する。
　次に、データ判定装置１０１ｅが、ルール７に該当する通信判定データ１０９を受信した場合について説明する。
　データ判定装置１０１ｅが、運転Ａ状態３０２において通信判定データ１０９を受信し、通信判定データ１０９の送信元アドレスとコマンド種別とデータサイズとデータ設定範囲とタイマー値１７とフラグ値１５とから、通信判定データ１０９がルール７の「運転データ設定」であると判定したとする。データ判定装置１０１ｅは、通信を許可すると共に、タイマー設定値を１００ｍｓとする。
　このように判定処理Ｓ１２０ｅを行うことにより、コマンド受信後に一定時間を空ける必要のある通信についても正常かどうかの判定をすることができる。
　次に、データ判定装置１０１ｅが、ルール３ａ，３ｂ，３ｃに該当する通信判定データ１０９を受信した場合について説明する。ルール３ａ，３ｂ，３ｃは、運転Ａ状態３０２において、約ｂ秒間隔でコマンドを受信する必要がある通信である。この通信では、ｂ秒に±ｄ秒の誤差を許容するものとする。
　データ判定装置１０１ｅが、運転Ａ状態３０２において通信判定データ１０９を受信し、通信判定データ１０９の送信元アドレスとコマンド種別とデータサイズと、タイマー値１７及びフラグ値１５とから通信判定データ１０９がルール３ａの「状態データ取得」であると判定したとする。データ判定装置１０１ｅは、通信を許可すると共に、タイマー１０４ｅの値であるＴ１にｂ＋ｄを設定し、フラグの値であるＦ１を１とする。
　データ判定装置１０１ｅが、運転Ａ状態３０２において通信判定データ１０９を受信し、通信判定データ１０９の送信元アドレスとコマンド種別とデータサイズと、タイマー値１７及びフラグ値１５とから通信判定データ１０９がルール３ｂの「状態データ取得」であると判定したとする。データ判定装置１０１ｅは、通信を許可すると共に、Ｔ１にｂ＋Ｔ１を設定する。
　データ判定装置１０１ｅが、運転Ａ状態３０２において通信判定データ１０９を受信し、通信判定データ１０９の送信元アドレスとコマンド種別とデータサイズと、タイマー値１７及びフラグ値１５とから通信判定データ１０９がルール３ｃの「状態データ取得終了」であると判定したとする。データ判定装置１０１ｅは、通信を許可すると共に、Ｔ１とＦ１とを０に初期化する。
　このように判定処理Ｓ１２０ｅを行うことにより、一定間隔でコマンドを受信する必要がある通信についても正常かどうかの判定をすることができる。
　次に、データ判定装置１０１ｅが、人の操作により保守状態に移行し、ルール８，９，１０に該当する通信判定データ１０９を受信した場合について説明する。ルール８，９，１０は、保守状態３０５において、保守に必要な通信である。
　データ判定装置１０１ｅが、保守状態３０５において通信判定データ１０９を受信し、通信判定データ１０９の送信元アドレスとコマンド種別とデータサイズとから通信判定データ１０９がルール８の「プログラム更新」であると判定したとする。データ判定装置１０１ｅは、通信を許可する。
　データ判定装置１０１ｅが、保守状態３０５において通信判定データ１０９を受信し、通信判定データ１０９の送信元アドレスとコマンド種別とデータサイズとから通信判定データ１０９がルール９の「ベリファイ」であると判定したとする。データ判定装置１０１ｅは、通信を許可する。
　データ判定装置１０１ｅが、保守状態３０５において通信判定データ１０９を受信し、通信判定データ１０９の送信元アドレスとコマンド種別とデータサイズとから通信判定データ１０９がルール９の「保守完了」であると判定したとする。データ判定装置１０１ｅは、通信を許可すると共に、運転状態を運転Ａ状態３０２に遷移する。
　以上で、本実施の形態に係るデータ判定装置１０１ｅのデータ判定方法、データ判定処理Ｓ１００ｅについての説明を終わる。
　以上のように、本実施の形態に係るデータ判定装置は、以下の構成を有する。
（Ａ）通信データと外部操作とタイマーとの少なくともいずれか１つの要素によって遷移する状態遷移モデルに従い、運用状態を管理する状態管理部。
（Ｂ）運用状態ごとに許可する通信データを定めた通信許可リストを格納する通信許可リスト格納部。
（Ｃ）状態管理部が出力する現在の運用状態と通信許可リスト格納部が格納している通信許可リストとタイマーの値とフラグの値とを用いて、データ判定装置に入力された通信データが正常か否かを判定する判定部。
（Ｄ）判定部が出力する判定結果をもとに警報を発する警報部。
　また、状態管理部は、判定部が出力する判定結果によって遷移する状態遷移モデルに従い、運用状態を管理する。判定部は、異常と判断した通信データを遮断する。さらに判定部は、正常と判断した際に通信許可ルールに記載されたアクションを実行する。すなわち、判定部は、正常と判断した際に、タイマーおよびフラグの少なくともいずれかを所定の値に設定する。
＊＊＊本実施の形態の効果の説明＊＊＊
　比較のために先に述べたＳｔｕｘｎｅｔのような攻撃では、乗っ取られたサーバがコントローラに対しプログラム書き換えを行っている。プログラム書き換え自体は正常通信であり、乗っ取られたサーバも正常と定義されたサーバであるため、ホワイトリスト型対策では防ぐことができない。
　一方、本実施の形態に係るデータ判定装置では、通信データだけでなく人の操作やタイマーによる運用状態の遷移をも定義している。よって、保守状態の時のみプログラム書き換えを受け付けるようにし、保守状態への遷移は人の操作によってのみ行われるように対策をすることで、上記のような攻撃を検知することができる。
　また、Ｓｔｕｘｎｅｔによってプログラムを書き換えられたコントローラは、制御対象の周波数コンバータに対し高頻度で周波数を変更するコマンドを送信することで機器の故障を誘発する。本実施の形態に係るデータ判定装置では、タイマーによってそのような高頻度の周波数変更コマンドを検知することができる。
　また、本実施の形態に係るデータ判定装置によれば、正しい通信順からの逸脱を検知することができる。
　本実施の形態に係るデータ判定装置によれば、受信間隔が一定か否かを検知できるので、断線や攻撃による監視制御装置の停止といった事象も検知できる。その際、複数の通信の受信間隔を管理する場合においても、状態遷移図の記述を単純化でき、検知に係るリソースを抑えることができる。受信間隔の制御を状態遷移だけで行おうとすると、対象となる通信数ｎに対しての状態数ｎ２を管理しなければならない。しかし、本実施の形態に係るデータ判定装置によれば、１つの状態で管理できる。
　さらに、本実施の形態に係るデータ判定装置によれば、攻撃を受けた監視制御装置が、本来発行しないはずのコマンド発行や、運用上、データ取得を行わない監視制御装置からのデータ取得も検知できる。
　なお、実施の形態１～３に加えて、実施の形態４について説明したが、これらの４つの実施の形態のうち、複数を組み合わせて実施しても構わない。あるいは、これらの４つの実施の形態のうち、１つの実施の形態を部分的に実施しても構わない。あるいは、これらの４つの実施の形態のうち、複数を部分的に組み合わせて実施しても構わない。その他、これらの４つの実施の形態を、全体としてあるいは部分的に、どのように組み合わせて実施しても構わない。
　なお、上記の実施の形態は、本質的に好ましい例示であって、本発明、その適用物や用途の範囲を制限することを意図するものではなく、必要に応じて種々の変更が可能である。
　１０１，１０１ａ，１０１ｂ，１０１ｃ，１０１ｄ，１０１ｅ，１０１ｅａ　データ判定装置、１０２，１０２ａ　ネットワーク、１０３，１０３ｅ　状態管理部、１０４，１０４ｅ　タイマー、１０５　通信許可リスト格納部、１０６，１０６ｅ　判定部、１０７，１０７ａ　通信部、１０８　警報部、１０９　通信判定データ、１１０　操作部、１１１　受信データ、１１２　送信データ、１１３　現在の運用状態、１１４，１１４ｅ　通信許可リスト、１１５　判定結果、１１９，１１９ｅ　通信許可データ、１３０　状態遷移モデル記憶部、１５１　取得情報履歴、１５２　リスト生成部、１５３　履歴記憶部、２００　監視制御装置、３００　コントローラ、３０１，３０２，３０３，３０４，３０５，３０６，３０７　状態、３１０　アプリケーション、５００　データ判定システム、７０１　第１変化点、７０２　第２変化点、７０３　遷移通信データ、９０１　プロセッサ、９０２　補助記憶装置、９０３　メモリ、９０４　通信装置、９０５　入力インタフェース、９０６　ディスプレイインタフェース、９０７　入力装置、９０８　ディスプレイ、９１０　信号線、９１１，９１２　ケーブル、９０４１　レシーバー、９０４２　トランスミッター、１０３１，１０３１ｅ　状態遷移モデル、１０３２　自装置の運用状態、１０３３　取得情報、１０４１　タイマー信号、１１０１　操作信号、３００１　複数の運用状態、３００２　複数の運用状態の各運用状態間、Ｓ１０１　状態管理処理、Ｓ１００，Ｓ１００ｅ　データ判定処理、Ｓ１１０　通信処理、Ｓ１２０，Ｓ１２０ｅ　判定処理、Ｓ１４０　正常処理、Ｓ１５０　異常処理、１４４　計時部、１４　通信許可ルール、１５　フラグ値、１６　フラグ設定値、１７　タイマー値、１８　タイマー設定値、１７７　フラグ管理部、１９２　許可条件、１９３　許可処理、１９２１　タイマー許可値、１９２２　フラグ許可値。

Claims (21)

  1. 　複数の運用状態の各運用状態間の状態遷移を表す状態遷移モデルを記憶する状態遷移モデル記憶部と、
    　前記状態遷移モデルに基づいて、自装置の運用状態を保有する状態管理部と、
    　前記複数の運用状態の各運用状態において通信を許可する通信許可データを通信許可リストとして格納する通信許可リスト格納部と、
    　通信データを通信判定データとして取得する通信部と、
    　前記通信部により取得された通信判定データを取得すると共に前記状態管理部により保有される前記自装置の運用状態を現在の運用状態として取得し、前記現在の運用状態と前記通信許可リストとを用いて、前記通信判定データが前記現在の運用状態において通信を許可された通信許可データであるか否かを判定する判定部と
    を備えるデータ判定装置。
  2. 　前記データ判定装置は、
    　前記判定部により前記通信判定データが前記通信許可データでないと判定された場合、異常を検知したことを示す警報を出力する警報部を備える請求項１に記載のデータ判定装置。
  3. 　前記判定部は、
    　前記通信判定データが前記通信許可データでないと判定した場合、通信を遮断する請求項１または２に記載のデータ判定装置。
  4. 　前記状態管理部は、
    　前記判定部により前記通信判定データが前記通信許可データであると判定された場合、前記状態遷移モデルに基づいて前記自装置の運用状態を遷移させる請求項１から３のいずれか１項に記載のデータ判定装置。
  5. 　前記状態管理部は、
    　前記判定部により前記通信判定データが前記通信許可データでないと判定された場合、前記自装置の運用状態を異常状態に遷移させる請求項１から４のいずれか１項に記載のデータ判定装置。
  6. 　前記データ判定装置は、
    　前記自装置の運用状態が継続する時間を計測するタイマーを備え、
    　前記状態遷移モデル記憶部は、
    　自装置が取得した取得情報に応じて前記複数の運用状態の各運用状態間を遷移する前記状態遷移モデルを記憶し、
    　前記取得情報は、通信により取得される通信データと自装置に対する操作を受け付けたことを示す操作信号と前記タイマーから出力されるタイマー信号とを含む請求項１から５のいずれか１項に記載のデータ判定装置。
  7. 　前記データ判定装置は、
    　前記取得情報の履歴を取得情報履歴として記憶する履歴記憶部と、
    　前記取得情報履歴に基づいて、前記状態遷移モデルと前記通信許可リストとを生成するリスト生成部とを備える請求項６に記載のデータ判定装置。
  8. 　前記リスト生成部は、
    　前記取得情報履歴に含まれる連続する通信データ間の経過時間が第１時間以上であれば待ち状態を設定し、通信データ以外の取得情報を取得した時点を第１変化点とし、前記第１変化点の前後を第１運用状態とし、各第１運用状態において運用状態が遷移すると判定された遷移通信データを取得した時点を第２変化点として、前記第２変化点の前後を第２運用状態として前記状態遷移モデルを生成する請求項７に記載のデータ判定装置。
  9. 　前記リスト生成部は、
    　前記状態遷移モデルに含まれる各運用状態において通信された通信データを前記通信許可データとして前記通信許可リストに設定する請求項８に記載のデータ判定装置。
  10. 　前記リスト生成部は、
    　クラスタリング手法を用いて前記遷移通信データを抽出する請求項８または９に記載のデータ判定装置。
  11. 　複数の運用状態の各運用状態間の状態遷移を表す状態遷移モデルを記憶する状態遷移モデル記憶部と、前記複数の運用状態の各運用状態において通信を許可する通信許可データを通信許可リストとして格納する通信許可リスト格納部とを備えるデータ判定装置のデータ判定方法において、
    　状態管理部が、前記状態遷移モデルに基づいて、自装置の運用状態を保有し、
    　通信部が、通信データを通信判定データとして取得し、
    　判定部が、前記通信部により取得された通信判定データを取得すると共に前記状態管理部により保有される前記自装置の運用状態を現在の運用状態として取得し、前記現在の運用状態と前記通信許可リストとを用いて、前記通信判定データが前記現在の運用状態において通信を許可された通信許可データであるか否かを判定するデータ判定方法。
  12. 　複数の運用状態の各運用状態間の状態遷移を表す状態遷移モデルを記憶する状態遷移モデル記憶部と、前記複数の運用状態の各運用状態において通信を許可する通信許可データを通信許可リストとして格納する通信許可リスト格納部とを備えるデータ判定装置のプログラムにおいて、
    　前記状態遷移モデルに基づいて、自装置の運用状態を保有する状態管理処理と、
    　通信データを通信判定データとして取得する通信処理と、
    　前記通信処理により取得された通信判定データを取得すると共に前記状態管理処理により保有される前記自装置の運用状態を現在の運用状態として取得し、前記現在の運用状態と前記通信許可リストとを用いて、前記通信判定データが前記現在の運用状態において通信を許可された通信許可データであるか否かを判定する判定処理と
    をコンピュータに実行させるプログラム。
  13. 　複数の運用状態の各運用状態間の状態遷移を表す状態遷移モデルを記憶する状態遷移モデル記憶部と、
    　前記状態遷移モデルに基づいて、自装置の運用状態を保有する状態管理部と、
    　前記複数の運用状態の各運用状態において通信を許可する通信許可データと、前記通信許可データの通信が許可される許可条件と、前記通信許可データの通信が許可された場合の許可処理とを含む通信許可ルールを通信許可リストとして格納する通信許可リスト格納部と、
    　時間を計測する計時部と、
    　通信データを通信判定データとして取得する通信部と、
    　前記通信部により取得された通信判定データと、前記状態管理部により保有される前記自装置の運用状態である現在の運用状態と、前記計時部の現在の値であるタイマー値とを取得し、前記現在の運用状態と前記通信許可リストと前記タイマー値とを用いて、前記通信判定データが前記現在の運用状態において通信を許可された通信許可ルールに該当するか否かを判定する判定部と
    を備えるデータ判定装置。
  14. 　前記通信許可リスト格納部は、
    　前記許可条件として、前記通信許可データの通信を許可する前記計時部の値の範囲であるタイマー許可値を格納し、前記許可処理として、前記通信許可データの通信が許可された場合に前記計時部に設定するタイマー設定値を格納し、
    　前記判定部は、
    　前記タイマー値が前記タイマー許可値の範囲内であるか否かの判定結果を用いて、前記通信判定データが前記通信許可ルールに該当するか否かを判定する請求項１３に記載のデータ判定装置。
  15. 　前記データ判定装置は、さらに、
    　フラグを管理するフラグ管理部を備え、
    　前記判定部は、
    　前記現在の運用状態と前記通信許可リストと前記タイマー値と前記フラグの現在の値であるフラグ値とを取得し、前記現在の運用状態と前記通信許可リストと前記タイマー値と前記フラグ値とを用いて、前記通信判定データが前記現在の運用状態において通信を許可された通信許可ルールに該当するか否かを判定する請求項１３または１４に記載のデータ判定装置。
  16. 　前記通信許可リスト格納部は、
    　前記許可条件として、さらに、前記通信許可データの通信を許可する前記フラグの値であるフラグ許可値を格納し、前記許可処理として、さらに、前記通信許可データの通信が許可された場合に前記フラグに設定するフラグ設定値を格納し、
    　前記判定部は、
    　前記フラグ値が前記フラグ許可値であるか否かの判定結果を用いて、前記通信判定データが前記通信許可ルールに該当するか否かを判定する請求項１５に記載のデータ判定装置。
  17. 　前記データ判定装置は、
    　前記判定部により前記通信判定データが前記通信許可ルールに該当しないと判定された場合、異常を検知したことを示す警報を出力する警報部を備える請求項１３から１６のいずれか１項に記載のデータ判定装置。
  18. 　前記判定部は、
    　前記通信判定データが前記通信許可ルールに該当しないと判定した場合、通信を遮断する請求項１３から１７のいずれか１項に記載のデータ判定装置。
  19. 　前記状態管理部は、
    　前記判定部により前記通信判定データが前記通信許可ルールに該当すると判定された場合、前記状態遷移モデルに基づいて前記自装置の運用状態を遷移させる請求項１３から１８のいずれか１項に記載のデータ判定装置。
  20. 　複数の運用状態の各運用状態間の状態遷移を表す状態遷移モデルを記憶する状態遷移モデル記憶部と、前記複数の運用状態の各運用状態において通信を許可する通信許可データと、前記通信許可データの通信が許可される許可条件と、前記通信許可データの通信が許可された場合の許可処理とを含む通信許可ルールを通信許可リストとして格納する通信許可リスト格納部とを備えるデータ判定装置のデータ判定方法において、
    　状態管理部が、前記状態遷移モデルに基づいて、自装置の運用状態を保有し、
    　通信部が、通信データを通信判定データとして取得し、
    　判定部が、前記通信部により取得された通信判定データと、前記状態管理部により保有される前記自装置の運用状態である現在の運用状態と、時間を計測する計時部の現在の値であるタイマー値とを取得し、前記現在の運用状態と前記通信許可リストと前記タイマー値とを用いて、前記通信判定データが前記現在の運用状態において通信を許可された通信許可ルールに該当するか否かを判定するデータ判定方法。
  21. 　複数の運用状態の各運用状態間の状態遷移を表す状態遷移モデルを記憶する状態遷移モデル記憶部と、前記複数の運用状態の各運用状態において通信を許可する通信許可データと、前記通信許可データの通信が許可される許可条件と、前記通信許可データの通信が許可された場合の許可処理とを含む通信許可ルールを通信許可リストとして格納する通信許可リスト格納部とを備えるデータ判定装置のプログラムにおいて、
    　前記状態遷移モデルに基づいて、自装置の運用状態を保有する状態管理処理と、
    　通信データを通信判定データとして取得する通信処理と、
    　前記通信処理により取得された通信判定データと、前記状態管理処理により保有される前記自装置の運用状態である現在の運用状態と、時間を計測する計時部の現在の値であるタイマー値とを取得し、前記現在の運用状態と前記通信許可リストと前記タイマー値とを用いて、前記通信判定データが前記現在の運用状態において通信を許可された通信許可ルールに該当するか否かを判定する判定処理と
    をコンピュータに実行させるプログラム。
PCT/JP2015/085742 2015-01-16 2015-12-22 データ判定装置、データ判定方法及びプログラム Ceased WO2016114077A1 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
JP2016557348A JP6054010B2 (ja) 2015-01-16 2015-12-22 データ判定装置、データ判定方法及びプログラム
US15/510,981 US10171252B2 (en) 2015-01-16 2015-12-22 Data determination apparatus, data determination method, and computer readable medium
EP15878028.8A EP3246841B1 (en) 2015-01-16 2015-12-22 Data assessment device, data assessment method, and program
CN201580072741.3A CN107209829B (zh) 2015-01-16 2015-12-22 数据判定装置及数据判定方法

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
PCT/JP2015/051108 WO2016113911A1 (ja) 2015-01-16 2015-01-16 データ判定装置、データ判定方法及びプログラム
JPPCT/JP2015/051108 2015-01-16

Publications (1)

Publication Number Publication Date
WO2016114077A1 true WO2016114077A1 (ja) 2016-07-21

Family

ID=56405471

Family Applications (2)

Application Number Title Priority Date Filing Date
PCT/JP2015/051108 Ceased WO2016113911A1 (ja) 2015-01-16 2015-01-16 データ判定装置、データ判定方法及びプログラム
PCT/JP2015/085742 Ceased WO2016114077A1 (ja) 2015-01-16 2015-12-22 データ判定装置、データ判定方法及びプログラム

Family Applications Before (1)

Application Number Title Priority Date Filing Date
PCT/JP2015/051108 Ceased WO2016113911A1 (ja) 2015-01-16 2015-01-16 データ判定装置、データ判定方法及びプログラム

Country Status (5)

Country Link
US (1) US10171252B2 (ja)
EP (1) EP3246841B1 (ja)
JP (1) JP6054010B2 (ja)
CN (1) CN107209829B (ja)
WO (2) WO2016113911A1 (ja)

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2018134981A1 (ja) * 2017-01-20 2018-07-26 三菱電機株式会社 データ判定装置、データ判定方法、および、データ判定プログラム
WO2018134939A1 (ja) * 2017-01-19 2018-07-26 三菱電機株式会社 攻撃検知装置、攻撃検知方法および攻撃検知プログラム
JP2018537009A (ja) * 2017-01-23 2018-12-13 三菱電機株式会社 ホワイトリスト生成器、ホワイトリスト評価器およびホワイトリスト生成・評価器、並びにホワイトリスト生成方法、ホワイトリスト評価方法およびホワイトリスト生成・評価方法
WO2022059328A1 (ja) 2020-09-17 2022-03-24 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 検知システム、検知方法、および、プログラム
JP2023035535A (ja) * 2021-09-01 2023-03-13 富士フイルムビジネスイノベーション株式会社 情報処理装置、情報処理システム、及び情報処理プログラム
US20230087540A1 (en) * 2020-07-17 2023-03-23 Mitsubishi Electric Corporation Communication permission list generation device, communication permission list generation method, and non-transitory computer readable-medium
JPWO2023223445A1 (ja) * 2022-05-18 2023-11-23

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6391891B2 (ja) 2016-04-26 2018-09-19 三菱電機株式会社 侵入検知装置、侵入検知方法及び侵入検知プログラム
JP6577442B2 (ja) * 2016-11-01 2019-09-18 日本電信電話株式会社 不正侵入防止装置、不正侵入防止方法および不正侵入防止プログラム
US10581686B2 (en) * 2017-03-02 2020-03-03 Schweitzer Engineering Laboratories, Inc. Automatic configuration in a distributed network
DE102020206412A1 (de) * 2020-05-22 2021-11-25 Robert Bosch Gesellschaft mit beschränkter Haftung Teilnehmerstation für ein serielles Bussystem und Verfahren zur Kommunikation in einem seriellen Bussystem
FR3136292B1 (fr) * 2022-06-01 2024-10-11 Electricite De France Dispositif de communication réseau comprenant un automate fini

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2012034273A (ja) * 2010-08-02 2012-02-16 Yokogawa Electric Corp 不正通信検出システム
JP2012168686A (ja) * 2011-02-14 2012-09-06 Internatl Business Mach Corp <Ibm> 異常検知装置、監視制御システム、異常検知方法、プログラムおよび記録媒体

Family Cites Families (65)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6687222B1 (en) * 1999-07-02 2004-02-03 Cisco Technology, Inc. Backup service managers for providing reliable network services in a distributed environment
JP2001034553A (ja) 1999-07-26 2001-02-09 Hitachi Ltd ネットワークアクセス制御方法及びその装置
US20110238855A1 (en) * 2000-09-25 2011-09-29 Yevgeny Korsunsky Processing data flows with a data flow processor
US9525696B2 (en) * 2000-09-25 2016-12-20 Blue Coat Systems, Inc. Systems and methods for processing data flows
WO2002066933A1 (en) * 2001-02-23 2002-08-29 Arkray, Inc. Monitoring apparatus and monitoring object apparatus
US8132250B2 (en) 2002-03-08 2012-03-06 Mcafee, Inc. Message profiling systems and methods
US7693947B2 (en) 2002-03-08 2010-04-06 Mcafee, Inc. Systems and methods for graphically displaying messaging traffic
US8561167B2 (en) 2002-03-08 2013-10-15 Mcafee, Inc. Web reputation scoring
US7694128B2 (en) 2002-03-08 2010-04-06 Mcafee, Inc. Systems and methods for secure communication delivery
US8578480B2 (en) 2002-03-08 2013-11-05 Mcafee, Inc. Systems and methods for identifying potentially malicious messages
US7903549B2 (en) 2002-03-08 2011-03-08 Secure Computing Corporation Content-based policy compliance systems and methods
US7458098B2 (en) 2002-03-08 2008-11-25 Secure Computing Corporation Systems and methods for enhancing electronic communication security
US20060015942A1 (en) 2002-03-08 2006-01-19 Ciphertrust, Inc. Systems and methods for classification of messaging entities
US7124438B2 (en) 2002-03-08 2006-10-17 Ciphertrust, Inc. Systems and methods for anomaly detection in patterns of monitored communications
US7096498B2 (en) 2002-03-08 2006-08-22 Cipher Trust, Inc. Systems and methods for message threat management
US6941467B2 (en) 2002-03-08 2005-09-06 Ciphertrust, Inc. Systems and methods for adaptive message interrogation through multiple queues
US7870203B2 (en) 2002-03-08 2011-01-11 Mcafee, Inc. Methods and systems for exposing messaging reputation to an end user
JP3697249B2 (ja) * 2003-04-30 2005-09-21 株式会社エヌ・ティ・ティ・データ ネットワーク状態監視システム及びプログラム
US7801857B2 (en) * 2003-12-19 2010-09-21 Solace Systems, Inc. Implicit routing in content based networks
JP2005275988A (ja) 2004-03-25 2005-10-06 Nec Software Chubu Ltd セキュリティ維持装置
US8074277B2 (en) * 2004-06-07 2011-12-06 Check Point Software Technologies, Inc. System and methodology for intrusion detection and prevention
JP3800229B2 (ja) * 2004-09-08 2006-07-26 オムロン株式会社 検知装置、異常監視システム、検知装置の制御プログラム、検知装置の制御プログラムを記録した記録媒体
US8635690B2 (en) 2004-11-05 2014-01-21 Mcafee, Inc. Reputation based message processing
US7937480B2 (en) 2005-06-02 2011-05-03 Mcafee, Inc. Aggregation of reputation data
US8079083B1 (en) * 2005-09-02 2011-12-13 Symantec Corporation Method and system for recording network traffic and predicting potential security events
JP4754348B2 (ja) 2005-12-27 2011-08-24 富士通エフ・アイ・ピー株式会社 情報通信システム及び不正サイト検出方法
US8179798B2 (en) 2007-01-24 2012-05-15 Mcafee, Inc. Reputation based connection throttling
US7779156B2 (en) 2007-01-24 2010-08-17 Mcafee, Inc. Reputation based load balancing
CN101094234A (zh) * 2007-07-20 2007-12-26 北京启明星辰信息技术有限公司 一种基于行为特征的p2p协议精确识别方法及系统
JP2009122923A (ja) 2007-11-14 2009-06-04 Panasonic Corp 著作権保護システム、再生装置、及び再生方法
CN101442519B (zh) 2007-11-22 2012-06-20 北京启明星辰信息技术股份有限公司 一种p2p软件监测方法及系统
US8577817B1 (en) * 2011-03-02 2013-11-05 Narus, Inc. System and method for using network application signatures based on term transition state machine
JP5116577B2 (ja) 2008-06-25 2013-01-09 株式会社Ｋｄｄｉ研究所 情報処理装置、情報処理システム、プログラム、および記録媒体
JP5116578B2 (ja) 2008-06-25 2013-01-09 株式会社Ｋｄｄｉ研究所 情報処理装置、情報処理システム、プログラム、および記録媒体
US8813221B1 (en) * 2008-09-25 2014-08-19 Sonicwall, Inc. Reassembly-free deep packet inspection on multi-core hardware
US8555089B2 (en) 2009-01-08 2013-10-08 Panasonic Corporation Program execution apparatus, control method, control program, and integrated circuit
US20100229234A1 (en) * 2009-03-03 2010-09-09 Tandberg Television Inc. Systems and methods for detecting and preventing denial of service attacks in an iptv system
JP5297272B2 (ja) * 2009-06-11 2013-09-25 株式会社日立製作所 装置異常監視方法及びシステム
CN102474796A (zh) 2009-07-02 2012-05-23 三菱电机株式会社 访问权限变更方法、核心网络装置、基站以及终端
KR101010248B1 (ko) * 2009-07-02 2011-01-21 충남대학교산학협력단 패킷검사장치의 부하조절방법 및 장치
JP5431235B2 (ja) * 2009-08-28 2014-03-05 株式会社日立製作所 設備状態監視方法およびその装置
JP2011053893A (ja) * 2009-09-01 2011-03-17 Hitachi Ltd 不正プロセス検知方法および不正プロセス検知システム
US8363549B1 (en) * 2009-09-02 2013-01-29 Juniper Networks, Inc. Adaptively maintaining sequence numbers on high availability peers
JP5463112B2 (ja) 2009-09-24 2014-04-09 Ｎｅｃパーソナルコンピュータ株式会社 情報処理装置、ファイルアクセス制御方法、プログラム及びコンピュータ読取可能な記録媒体
US8504510B2 (en) * 2010-01-07 2013-08-06 Interdisciplinary Center Herzliya State machine compression for scalable pattern matching
US8291258B2 (en) * 2010-01-08 2012-10-16 Juniper Networks, Inc. High availability for network security devices
JP4959818B2 (ja) * 2010-02-04 2012-06-27 三菱電機株式会社 電子制御装置
JP5557623B2 (ja) 2010-06-30 2014-07-23 三菱電機株式会社 感染検査システム及び感染検査方法及び記録媒体及びプログラム
JP5605237B2 (ja) 2010-06-30 2014-10-15 沖電気工業株式会社 通信制御装置及びプログラム、並びに、通信システム
US8938800B2 (en) 2010-07-28 2015-01-20 Mcafee, Inc. System and method for network level protection against malicious software
US8925101B2 (en) 2010-07-28 2014-12-30 Mcafee, Inc. System and method for local protection against malicious software
JP5598217B2 (ja) * 2010-09-29 2014-10-01 富士通株式会社 無線通信装置、無線端末装置、無線基地局装置及び異常復旧方法
US8572680B2 (en) 2011-08-11 2013-10-29 Verisign, Inc. White listing DNS top-talkers
AU2012211489A1 (en) 2011-08-11 2013-02-28 Verisign, Inc. White listing DNS top-talkers
US8896455B2 (en) * 2011-08-18 2014-11-25 Microsoft Corporation Intrusion detection and communication
EP2815282A4 (en) * 2012-02-17 2015-08-19 Vencore Labs Inc METHOD AND SYSTEM FOR PACKAGE DETECTION, ANALYSIS AND IMPACT DETECTION AT FIELD BUSES
US9503463B2 (en) * 2012-05-14 2016-11-22 Zimperium, Inc. Detection of threats to networks, based on geographic location
US8891528B2 (en) * 2012-06-21 2014-11-18 Breakingpoint Systems, Inc. Managing the capture of packets in a computing system
US20130340977A1 (en) * 2012-06-21 2013-12-26 Gregory L. Singleton Heat sink for use in an electronics system
JP5928263B2 (ja) * 2012-09-05 2016-06-01 富士通株式会社 基地局、無線通信システム及び無線通信方法
US9124621B2 (en) * 2012-09-27 2015-09-01 Hewlett-Packard Development Company, L.P. Security alert prioritization
EP2779591A3 (en) 2013-03-14 2016-10-05 Verisign, Inc. Method and apparatus for creating a list of trustworthy DNS clients
JP5844944B2 (ja) * 2013-03-29 2016-01-20 株式会社日立製作所 情報制御装置、情報制御システム、及び情報制御方法
CN103476033B (zh) * 2013-09-25 2016-04-06 南京大学 一种基于模型检验的无线传感器网络安全协议验证方法
US9686181B2 (en) * 2014-10-07 2017-06-20 Cisco Technology, Inc. Selective service bypass in service function chaining

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2012034273A (ja) * 2010-08-02 2012-02-16 Yokogawa Electric Corp 不正通信検出システム
JP2012168686A (ja) * 2011-02-14 2012-09-06 Internatl Business Mach Corp <Ibm> 異常検知装置、監視制御システム、異常検知方法、プログラムおよび記録媒体

Non-Patent Citations (4)

* Cited by examiner, † Cited by third party
Title
FOVINO, I.N. ET AL.: "Modbus/DNP3 State-Based Intrusion Detection System", 2010 24TH IEEE INTERNATIONAL CONFERENCE ON ADVANCED INFORMATIONNETWORKING AND APPLICATIONS, 2010, pages 729 - 736, XP031682596 *
See also references of EP3246841A4 *
TERUYOSHI YAMAGUCHI ET AL.: "Sangyo Seigyo System ni Okeru Shinnyu Kenchi Shuho", 2015 NEN SYMPOSIUM ON CRYPTOGRAPHY AND INFORMATION SECURITY KOEN RONBUNSHU, 20 January 2015 (2015-01-20), XP009500439 *
YANG, Y. ET AL.: "Multiattribute SCADA-Specific Intrusion Detection Systemfor Power Networks", IEEE TRANSACTIONS ON POWER DELIVERY, June 2014 (2014-06-01), pages 1092 - 1102, XP011548844, DOI: doi:10.1109/TPWRD.2014.2300099 *

Cited By (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPWO2018134939A1 (ja) * 2017-01-19 2019-06-27 三菱電機株式会社 攻撃検知装置、攻撃検知方法および攻撃検知プログラム
WO2018134939A1 (ja) * 2017-01-19 2018-07-26 三菱電機株式会社 攻撃検知装置、攻撃検知方法および攻撃検知プログラム
US11070577B2 (en) 2017-01-20 2021-07-20 Mitsubishi Electric Corporation Data determination device, data determination method, and data determination program
JPWO2018134981A1 (ja) * 2017-01-20 2019-06-27 三菱電機株式会社 データ判定装置、データ判定方法、および、データ判定プログラム
EP3564842A4 (en) * 2017-01-20 2020-01-15 Mitsubishi Electric Corporation DATA DETERMINATION DEVICE, DATA DETERMINATION METHOD AND DATA DETERMINATION PROGRAM
WO2018134981A1 (ja) * 2017-01-20 2018-07-26 三菱電機株式会社 データ判定装置、データ判定方法、および、データ判定プログラム
JP2018537009A (ja) * 2017-01-23 2018-12-13 三菱電機株式会社 ホワイトリスト生成器、ホワイトリスト評価器およびホワイトリスト生成・評価器、並びにホワイトリスト生成方法、ホワイトリスト評価方法およびホワイトリスト生成・評価方法
US20230087540A1 (en) * 2020-07-17 2023-03-23 Mitsubishi Electric Corporation Communication permission list generation device, communication permission list generation method, and non-transitory computer readable-medium
US12141222B2 (en) * 2020-07-17 2024-11-12 Mitsubishi Electric Corporation Communication permission list generation device, communication permission list generation method, and non-transitory computer readable-medium
WO2022059328A1 (ja) 2020-09-17 2022-03-24 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 検知システム、検知方法、および、プログラム
US12563062B2 (en) 2020-09-17 2026-02-24 Panasonic Intellectual Property Corporation Of America Detection system, detection method, and recording medium
JP2023035535A (ja) * 2021-09-01 2023-03-13 富士フイルムビジネスイノベーション株式会社 情報処理装置、情報処理システム、及び情報処理プログラム
JPWO2023223445A1 (ja) * 2022-05-18 2023-11-23
WO2023223445A1 (ja) * 2022-05-18 2023-11-23 三菱電機株式会社 攻撃検知装置、攻撃検知方法、及び攻撃検知プログラム
JP7483174B2 (ja) 2022-05-18 2024-05-14 三菱電機株式会社 攻撃検知装置、攻撃検知方法、及び攻撃検知プログラム

Also Published As

Publication number Publication date
JPWO2016114077A1 (ja) 2017-04-27
CN107209829A (zh) 2017-09-26
EP3246841A1 (en) 2017-11-22
US20170279622A1 (en) 2017-09-28
CN107209829B (zh) 2019-09-06
WO2016113911A1 (ja) 2016-07-21
EP3246841A4 (en) 2017-12-06
JP6054010B2 (ja) 2016-12-27
US10171252B2 (en) 2019-01-01
EP3246841B1 (en) 2019-06-26

Similar Documents

Publication Publication Date Title
JP6054010B2 (ja) データ判定装置、データ判定方法及びプログラム
EP3474179B1 (en) Information processing apparatus, method for controlling same, and computer program
EP3547190B1 (en) Attack detection device, attack detection method, and attack detection program
US10761955B2 (en) Rogue hardware detection through power monitoring
CN110178137B (zh) 数据判定装置、数据判定方法以及计算机能读取的存储介质
US11922297B2 (en) Edge AI accelerator service
EP4020283B1 (en) Threat prevention by selective feature deprivation
JP5951162B1 (ja) 制御装置、複合ユニット装置、更新判定プログラム及びプログラム更新方法
JP6187508B2 (ja) 制御装置、バス回路、方法、及び、プログラム
US11764771B2 (en) Event detection control device and method for circuit system controlled by pulse wave modulation signal
JP2014191513A (ja) 管理装置、管理方法及び管理プログラム
JP5955165B2 (ja) 管理装置、管理方法及び管理プログラム
EP3661149A1 (en) Test system and method for data analytics
JPWO2017099062A1 (ja) 診断装置、診断方法、及び、診断プログラム
JP2016091397A (ja) コンピュータ装置、および、その管理方法
JP7229533B2 (ja) 情報処理装置、ネットワーク機器、情報処理方法および情報処理プログラム
WO2017099066A1 (ja) 診断装置、診断方法、及び、診断プログラムが記録された記録媒体
JP2024002339A (ja) ソフトウェア信頼度管理装置、及び、ソフトウェア信頼度管理方法
CN116522321A (zh) 反射dll检测方法、装置、设备及介质
CN103902902A (zh) 一种基于嵌入式系统的Rootkit检测方法及系统
JP2021018446A (ja) セキュリティ運用支援システムおよびその方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 15878028

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2016557348

Country of ref document: JP

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: 15510981

Country of ref document: US

REEP Request for entry into the european phase

Ref document number: 2015878028

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE