(57)【要約】【課題】正規の機器になりすました不正機器を検知する。【解決手段】パケット送受信部１３が、複数の機器２のうち検知対象となる対象機器に対して予め設定されたリクエストパケットを送信し、当該リクエストパケットに対応する応答パケットを対象機器から受信し、応答時間計測部１４が、対象機器に対するリクエストパケットの送信から応答パケットの受信までに要する対象応答時間を計測し、不正機器検知部１５が、対象機器に関する正常応答時間と対象応答時間とを比較し、得られた比較結果に基づいて対象機器が不正機器４０であることを検知する。【選択図】  図１
2020065153.tif 000002
【特許請求の範囲】
【請求項１】
通信回線に接続された複数の機器間でパケットをやり取りするネットワークシステムで用いられて、前記複数の機器のうち１の機器になりすましてその他の機器に不正アクセスを行う不正機器を検知する不正機器検知装置であって、
前記不正アクセスのない正常状態に計測した前記複数の機器のそれぞれに関する、当該機器に対する予め設定されたリクエストパケットの送信から当該リクエストパケットに応じて当該機器から返送される応答パケットの受信までに要する正常応答時間を記憶するように構成された記憶部と、
前記複数の機器のうち検知対象となる対象機器に対して前記リクエストパケットを送信し、当該リクエストパケットに応じて当該対象機器から返送された前記応答パケットを受信するよう構成されたパケット送受信部と、
前記対象機器に対する前記リクエストパケットの送信から前記応答パケットの受信までに要する対象応答時間を計測するよう構成された応答時間計測部と、
前記対象機器に関する前記正常応答時間と前記対象応答時間とを比較し、得られた比較結果に基づいて前記対象機器が前記不正機器であることを検知するように構成された不正機器検知部と
を備えることを特徴とする不正機器検知装置。
【請求項２】
請求項１に記載の不正機器検知装置において、
前記パケット送受信部は、予め設定された間隔をあけて前記対象機器に前記リクエストパケットを繰り返し送信し、
前記不正機器検知部は、前記リクエストパケットごとに得られた前記対象応答時間を統計処理し、得られた前記対象応答時間に関する代表値と前記正常応答時間との比較結果に基づいて、前記対象機器が前記不正機器であることを検知することを特徴とする不正機器検知装置。
【請求項３】
請求項１に記載の不正機器検知装置において、
前記パケット送受信部は、予め設定された間隔をあけて前記対象機器に前記リクエストパケットを繰り返し送信し、
前記不正機器検知部は、前記リクエストパケットごとに得られた前記対象応答時間と前記正常応答時間との比較結果を統計処理し、得られた統計結果に基づいて、前記対象機器が前記不正機器であることを検知することを特徴とする不正機器検知装置。
【請求項４】
請求項１〜請求項３のいずれかに記載の不正機器検知装置において、
前記不正機器検知部は、前記対象応答時間と前記正常応答時間との時間差を計算し、前記時間差が予め設定されている正常範囲から外れた場合、前記対象機器が前記不正機器であることを検知することを特徴とする不正機器検知装置。
【請求項５】
請求項１〜請求項４のいずれかに記載の不正機器検知装置において、
前記パケット送受信部は、前記不正機器検知部からの再送要求に応じて、予め設定された間隔をあけて前記対象機器に前記リクエストパケットを再送し、
前記不正機器検知部は、前記対象応答時間と前記正常応答時間との時間差を計算し、前記時間差が予め設定されている正常範囲から外れた場合、前記パケット送受信部に対して前記再送要求を指示し、前記応答時間計測部で計測された、前記対象機器に対する前記リクエストパケットの再送から前記応答パケットの受信までに要する対象応答時間と前記正常応答時間との時間差を計算し、前記時間差が予め設定されている正常範囲から外れた場合、前記対象機器が前記不正機器であることを検知する
ことを特徴とする不正機器検知装置。
【請求項６】
請求項１〜請求項５のいずれかに記載の不正機器検知装置において、
前記記憶部は、異なる複数のリクエスト種別ごとに、前記複数の機器のそれぞれに関する正常応答時間を記憶し、
前記不正機器検知部は、前記正常応答時間と前記対象応答時間とを比較する際、前記リクエストパケットの前記リクエスト種別に対応する前記正常応答時間と前記対象応答時間とを比較することを特徴とする不正機器検知装置。
【請求項７】
請求項１に記載の不正機器検知装置において、
前記記憶部は、異なる複数のリクエスト種別ごとに、前記複数の機器のそれぞれに関する正常応答時間を記憶し、
前記不正機器検知部は、異なる複数のリクエスト種別ごとに得られた前記対象応答時間を統計処理し、得られた前記対象応答時間に関する代表値と前記正常応答時間との比較結果に基づいて、前記対象機器が前記不正機器であることを検知することを特徴とする不正機器検知装置。
【請求項８】
請求項１に記載の不正機器検知装置において、
前記記憶部は、異なる複数のリクエスト種別ごとに、前記複数の機器のそれぞれに関する正常応答時間を記憶し、
前記不正機器検知部は、異なる複数のリクエスト種別ごとに、前記対象応答時間と前記正常応答時間とを比較し、得られた比較結果に関する統計結果に基づいて、前記対象機器が前記不正機器であることを検知することを特徴とする不正機器検知装置。
【請求項９】
通信回線に接続された複数の機器間でパケットをやり取りするネットワークシステムの不正機器検知装置で用いられて、前記複数の機器のうち１の機器になりすましてその他の機器に不正アクセスを行う不正機器を検知するための不正機器検知方法であって、
記憶部が、前記不正アクセスのない正常状態に計測した前記複数の機器のそれぞれに関する、当該機器に対する予め設定されたリクエストパケットの送信から当該リクエストパケットに応じて当該機器から返送される応答パケットの受信までに要する正常応答時間を記憶する記憶ステップと、
パケット送受信部が、前記複数の機器のうち検知対象となる対象機器に対して前記リクエストパケットを送信し、当該リクエストパケットに応じて当該対象機器から返送された前記応答パケットを受信するパケット送受信ステップと、
応答時間計測部が、前記対象機器に対する前記リクエストパケットの送信から前記応答パケットの受信までに要する対象応答時間を計測する応答時間計測ステップと、
不正機器検知部が、前記対象機器に関する前記正常応答時間と前記対象応答時間とを比較し、得られた比較結果に基づいて前記対象機器が前記不正機器であることを検知する不正機器検知ステップと
を備えることを特徴とする不正機器検知方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、機器に対する不正アクセスを行う不正機器を検知する不正機器検知技術に関する。
【背景技術】
【０００２】
ビル、プラント、工場などの大規模施設では、施設に設置されている各種設備を、通信回線に接続された複数の機器を用いて管理する、ビルシステムやプラント管理システムが導入されつつある。
近年、このようなビルシステムやプラント管理システムなどのネットワークシステムを対象とした、いわゆるクラッキングと呼ばれる不正アクセスが、年々増加している。このような不正アクセスによりネットワークシステムが、システム破壊、情報窃取、Ｗｅｂページ改ざんなどのサイバー攻撃を受けると、その影響が施設全体に広がり、甚大な被害を被ってしまうことが予想される。
【０００３】
従来、このようなネットワークシステムにおける不正機器検知に関する従来技術として、各機器が送信する、ＩＰアドレスからＭＡＣアドレスを得るためのＡＲＰ（Address Resolution Protocol）パケットを監視し、ネットワークシステムの正規の機器ではない不正機器からのＡＲＰパケットが検出された場合、その不正機器に対して不正妨害加工を施したＡＲＰパケットを送信して、不正アクセスを妨害する技術が提案されている（例えば、特許文献１など参照）。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００８−２２７６００号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
前述した従来技術では、不正機器を識別する方法としては、ブラックリスト方式やホワイトリスト方式などの不正機器検知技術が用いられる。ブラックリスト方式は、不正機器に関するＩＰアドレスやＭＡＣアドレスなどの不正識別情報をリストに登録しておき、通信回線を流れるパケットからリストに登録されている不正識別情報が検出された場合、不正アクセスとして判定するものである。また、ホワイトリスト方式は、正規機器に関するＩＰアドレスやＭＡＣアドレスなどの正規識別情報をリストに登録しておき、通信回線を流れるパケットからリストに登録されていない不正識別情報が検出された場合、不正アクセスとして判定するものである。
【０００６】
したがって、このような不正機器検知技術では、クラッキングによりネットワークシステムの正規機器になりすまして不正アクセスを行う不正機器については検知困難であるという問題点があった。これは、不正機器が正規機器と同じＩＰアドレスやＭＡＣアドレスを持つかのように偽装しているため、前述したブラックリスト方式やホワイトリスト方式では、その機器を不正機器として判定することは困難であるからである。
【０００７】
本発明はこのような課題を解決するためのものであり、正規の機器になりすました不正機器を検知できる不正機器検知技術を提供することを目的としている。
【課題を解決するための手段】
【０００８】
このような目的を達成するために、本発明にかかる不正機器検知装置は、通信回線に接続された複数の機器間でパケットをやり取りするネットワークシステムで用いられて、前記複数の機器のうち１の機器になりすましてその他の機器に不正アクセスを行う不正機器を検知する不正機器検知装置であって、前記不正アクセスのない正常状態に計測した前記複数の機器のそれぞれに関する、当該機器に対する予め設定されたリクエストパケットの送信から当該リクエストパケットに応じて当該機器から返送される応答パケットの受信までに要する正常応答時間を記憶するように構成された記憶部と、前記複数の機器のうち検知対象となる対象機器に対して前記リクエストパケットを送信し、当該リクエストパケットに応じて当該対象機器から返送された前記応答パケットを受信するよう構成されたパケット送受信部と、前記対象機器に対する前記リクエストパケットの送信から前記応答パケットの受信までに要する対象応答時間を計測するよう構成された応答時間計測部と、前記対象機器に関する前記正常応答時間と前記対象応答時間とを比較し、得られた比較結果に基づいて前記対象機器が前記不正機器であることを検知するように構成された不正機器検知部とを備えている。
【０００９】
また、本発明にかかる上記不正機器検知装置の一構成例は、前記パケット送受信部が、予め設定された間隔をあけて前記対象機器に前記リクエストパケットを繰り返し送信し、前記不正機器検知部は、前記リクエストパケットごとに得られた前記対象応答時間を統計処理し、得られた前記対象応答時間に関する代表値と前記正常応答時間との比較結果に基づいて、前記対象機器が前記不正機器であることを検知するようにしたものである。
【００１０】
また、本発明にかかる上記不正機器検知装置の一構成例は、前記パケット送受信部が、予め設定された間隔をあけて前記対象機器に前記リクエストパケットを繰り返し送信し、前記不正機器検知部は、前記リクエストパケットごとに得られた前記対象応答時間と前記正常応答時間との比較結果を統計処理し、得られた統計結果に基づいて、前記対象機器が前記不正機器であることを検知するようにしたものである。
【００１１】
また、本発明にかかる上記不正機器検知装置の一構成例は、前記不正機器検知部が、前記対象応答時間と前記正常応答時間との時間差を計算し、前記時間差が予め設定されている正常範囲から外れた場合、前記対象機器が前記不正機器であることを検知するようにしたものである。
【００１２】
また、本発明にかかる上記不正機器検知装置の一構成例は、前記パケット送受信部が、前記不正機器検知部からの再送要求に応じて、予め設定された間隔をあけて前記対象機器に前記リクエストパケットを再送し、前記不正機器検知部は、前記対象応答時間と前記正常応答時間との時間差を計算し、前記時間差が予め設定されている正常範囲から外れた場合、前記パケット送受信部に対して前記再送要求を指示し、前記応答時間計測部で計測された、前記対象機器に対する前記リクエストパケットの再送から前記応答パケットの受信までに要する対象応答時間と前記正常応答時間との時間差を計算し、前記時間差が予め設定されている正常範囲から外れた場合、前記対象機器が前記不正機器であることを検知するようにしたものである。
【００１３】
また、本発明にかかる上記不正機器検知装置の一構成例は、前記記憶部が、異なる複数のリクエスト種別ごとに、前記複数の機器のそれぞれに関する正常応答時間を記憶し、前記不正機器検知部は、前記正常応答時間と前記対象応答時間とを比較する際、前記リクエストパケットの前記リクエスト種別に対応する前記正常応答時間と前記対象応答時間とを比較するようにしたものである。
【００１４】
また、本発明にかかる上記不正機器検知装置の一構成例は、前記記憶部が、異なる複数のリクエスト種別ごとに、前記複数の機器のそれぞれに関する正常応答時間を記憶し、前記不正機器検知部は、異なる複数のリクエスト種別ごとに得られた前記対象応答時間を統計処理し、得られた前記対象応答時間に関する代表値と前記正常応答時間との比較結果に基づいて、前記対象機器が前記不正機器であることを検知するようにしたものである。
【００１５】
また、本発明にかかる上記不正機器検知装置の一構成例は、前記記憶部が、異なる複数のリクエスト種別ごとに、前記複数の機器のそれぞれに関する正常応答時間を記憶し、前記不正機器検知部は、異なる複数のリクエスト種別ごとに、前記対象応答時間と前記正常応答時間とを比較し、得られた比較結果に関する統計結果に基づいて、前記対象機器が前記不正機器であることを検知するようにしたものである。
【００１６】
また、本発明にかかる不正機器検知方法は、通信回線に接続された複数の機器間でパケットをやり取りするネットワークシステムの不正機器検知装置で用いられて、前記複数の機器のうち１の機器になりすましてその他の機器に不正アクセスを行う不正機器を検知するための不正機器検知方法であって、記憶部が、前記不正アクセスのない正常状態に計測した前記複数の機器のそれぞれに関する、当該機器に対する予め設定されたリクエストパケットの送信から当該リクエストパケットに応じて当該機器から返送される応答パケットの受信までに要する正常応答時間を記憶する記憶ステップと、パケット送受信部が、前記複数の機器のうち検知対象となる対象機器に対して前記リクエストパケットを送信し、当該リクエストパケットに応じて当該対象機器から返送された前記応答パケットを受信するパケット送受信ステップと、応答時間計測部が、前記対象機器に対する前記リクエストパケットの送信から前記応答パケットの受信までに要する対象応答時間を計測する応答時間計測ステップと、不正機器検知部が、前記対象機器に関する前記正常応答時間と前記対象応答時間とを比較し、得られた比較結果に基づいて前記対象機器が前記不正機器であることを検知する不正機器検知ステップとを備えている。
【発明の効果】
【００１７】
本発明によれば、対象機器によるリクエスト応答動作に要する応答時間が実測されて、対象機器の正常応答時間と比較されることにより、対象機器が不正機器であることが検知されることになる。このため、不正機器が機器になりすましている場合でも、不正機器を検知することが可能となる。
【図面の簡単な説明】
【００１８】
【図１】不正機器検知装置の構成を示すブロック図である。
【図２】正常応答時間の構成例である。
【図３】不正機器検知処理を示すフローチャート図である。
【図４】不正機器検知装置の動作例（正常応答時間登録動作）を示すシーケンス図である。
【図５】不正機器検知装置の動作例（不正機器検知動作）を示すシーケンス図である。
【発明を実施するための形態】
【００１９】
［発明の原理］
まず、本発明の原理について説明する。
一般に、ビル施設を管理するビルシステムや、プラント施設を管理するプラント管理システムなどのネットワークシステムでは、不正機器がクラッキングにより、通信回線に接続されているハブやスイッチなどのネットワーク装置の設定情報を改ざんして、さらに、不正機器が正規機器と同じＩＰアドレスやＭＡＣアドレスになりすして不正を行う場合がある。
このため、ある送信元機器から正規機器に対してリクエストパケットを送信した場合、そのリクエストパケットは、設定情報が改ざんされた改ざんネットワーク装置により、正規機器ではなく、その正規機器になりすましている不正機器に転送される。
【００２０】
これにより、不正機器は、送信元機器から正規機器に対して送信されたリクエストパケットを、改ざんネットワーク装置経由で受信することができる。また、不正機器は、リクエストパケットに対する応答パケットを作成し、改ざんネットワーク装置を介して送信元機器へ返送して、正規の機器と同等のリクエスト応答動作を行うことにより、なりすまし行為を行い、不正アクセスの発覚を隠蔽する。
【００２１】
この際、正規機器による正規のリクエスト応答動作と、不正機器による代替のリクエスト応答動作とを比較した場合、リクエスト応答動作に要する両者の処理時間に違いが生じる。これは、両者それぞれに関するリクエスト応答動作を実行する構成、例えばソフトウェアやハードウェアの構成が、全く同じではないからである。特に、ソフトウェアでなりすましを行う不正機器の場合、その処理時間は正規機器と比べて大きな時間差が生じる。
また、正規機器による正規のリクエスト応答動作と、不正機器による代替のリクエスト応答動作とを比較した場合、リクエスト応答動作に要する両者のパケット転送時間に違いが生じる。これは、正規機器が繋がっているハブなどのネットワーク装置とは異なるネットワーク装置に、不正機器が接続されているため、ミリ秒単位あるいはマイクロ秒単位の時間差が生じる。
【００２２】
本発明は、このような正規機器と不正機器との機器構成の違いやパケット転送経路の違いが、リクエスト応答動作に要する時間すなわち応答時間に現れることに着目し、正規機器によるリクエスト応答動作に要する応答時間を予め正常応答時間として計測しておき、検知対象となる対象機器から計測した対象応答時間を正常応答時間と比較することにより、対象機器が不正機器であることを検知するようにしたものである。
【００２３】
次に、本発明の実施の形態について図面を参照して説明する。
［第１の実施の形態］
まず、図１を参照して、本実施の形態にかかる不正機器検知装置１０について説明する。図１は、不正機器検知装置の構成を示すブロック図である。
【００２４】
この不正機器検知装置１０は、全体としてサーバ装置や産業用コントローラなどの情報処理装置からなり、通信回線Ｌに接続されたｎ（ｎは２以上の整数）個の機器２（２１，２２，…，２ｎ）間でパケットをやり取りするネットワークシステム１で用いられて、検知対象となる機器２に関する対象応答時間を計測して正常応答時間と比較することにより、これら機器２のうち、１の機器２になりすましてその他の機器２に不正アクセスを行う不正機器４０を検知する機能を有している。
【００２５】
ネットワークシステム１の具体例としては、ビルシステムなど、各種設備を通信回線に接続された複数の機器を用いて管理する施設管理システムがある。
ネットワークシステム１には、ｍ（ｍは２以上の整数）個のネットワーク装置３（３１，３２，…，３ｍ）が設けられている。ネットワーク装置３は、ハブやスイッチなどの一般的なネットワーク装置からなり、それぞれ収容する機器２を通信回線Ｌに中継接続する機能を有している。
【００２６】
なお、機器２および不正機器検知装置１０とネットワーク装置３との接続関係は、図１の例に限定されるものではなく、機器２および不正機器検知装置１０とネットワーク装置３とを任意の組み合わせで接続してもよい。また、図１には、不正機器４０がネットワーク装置３１に接続されている場合が例として示されているが、これに限定されるものではなく、他のネットワーク装置３２，…，３ｍに不正機器４０が接続されている場合も、以下と同様にして不正機器４０を検知できる。
【００２７】
図１に示すように、不正機器検知装置１０は、主な機能部として、通信Ｉ／Ｆ部１１、記憶部１２、パケット送受信部１３、応答時間計測部１４、および不正機器検知部１５を備えており、内部バスＢを介してデータやり取り可能に接続されている。これら機能部のうち、パケット送受信部１３、応答時間計測部１４、および不正機器検知部１５は、ＣＰＵとプログラムとが協働することにより実現されている。
【００２８】
通信Ｉ／Ｆ部１１は、ネットワーク装置３１および通信回線Ｌを介して機器２や不正機器４０との間でパケットを送受信する機能を有している。
【００２９】
記憶部１２は、ハードディスクや半導体メモリなどの記憶装置からなり、不正機器検知処理に用いる各種データやプログラムを記憶する機能を有している。記憶部１２で記憶する主な処理データとして、正常応答時間がある。
図２は、正常応答時間の構成例である。正常応答時間は、不正機器４０がネットワークシステム１に接続されておらず、不正機器４０が機器２になりすましていない正常状態において、機器２ごとに計測した応答時間である。応答時間は、不正機器検知装置１０から所定のリクエストパケットを機器２に送信した時点から、これに応じて機器２から返送された応答パケットを受信した時点までの所要時間である。
【００３０】
応答時間は、機器２の種類によって変化する。また、不正機器検知装置１０との接続関係、例えば機器２と不正機器検知装置１０との間に接続されているネットワーク装置３の台数や種類によって変化する。さらには、リクエストパケットのリクエスト種別に応じて、機器２で行われるリクエスト応答動作に必要となる処理時間異なるため、これに応じて応答時間も変化する。したがって、このような応答時間の変化に対応するため、図２に示すように、機器２を識別する機器ＩＤとリクエストパケットのリクエスト処理内容に関する種別を示すリクエスト種別とに対応して、正常応答時間が登録されている。
【００３１】
パケット送受信部１３は、複数の機器２のうち検知対象となる対象機器に対して予め設定されたリクエストパケットを、通信Ｉ／Ｆ部１１からネットワーク装置３２さらには通信回線Ｌを介して送信する機能と、当該リクエストパケットに応じて対象機器から返送された応答パケットを、ネットワーク装置３２さらには通信回線Ｌおよび通信Ｉ／Ｆ部１１を介して受信する機能とを有している。
【００３２】
応答時間計測部１４は、ネットワークシステム１が正常状態にある際に、各機器２に対するリクエストパケットの送信から応答パケットの受信までに要する正常応答時間を計測して記憶部１２に登録する機能と、不正機器検知時に、対象機器に対するリクエストパケットの送信から応答パケットの受信までに要する対象応答時間を計測する機能とを有している。なお、正常状態については、保守者による確認作業でネットワークシステム１が正常状態にあることを確認すればよい。また、応答時間については、ネットワークシステム１や機器２の構成によって、ミリ秒やマイクロ秒のレベルで異なる場合もあるため、適応する構成に合った計測精度で計測すればよい。
【００３３】
不正機器検知部１５は、不正機器検知時に、対象機器に関する正常応答時間と対象応答時間とを比較し、得られた比較結果に基づいて対象機器が不正機器４０であることを検知する機能を有している。
具体的には、本実施の形態において、不正機器検知部１５は、対象応答時間と正常応答時間との時間差を計算し、時間差が予め設定されている正常範囲から外れた場合、対象機器が不正機器４０であることを検知する機能と、正常応答時間と対象応答時間とを比較する際、リクエストパケットのリクエスト種別に対応する正常応答時間を対象応答時間と比較する機能とを有している。
【００３４】
なお、不正機器検知時、正常応答時間と対象応答時間とを直接比較してもよい。一般的に、正規の機器２は高性能であり応答処理に特化された構成を有している場合がある。このような場合、不正機器４０より正規の機器２のほうがリクエスト応答動作が高速であり応答時間も短くなる。このため、対象応答時間に関する正常範囲を、ある閾値以下として規定することができ、この閾値を正常応答時間として用いてもよい。これにより、不正機器検知時に、不正機器検知部１５で、時間差を計算することなく対象応答時間と正常応答時間すなわち正常閾値とを直接比較することができる。
【００３５】
［第１の実施の形態の動作］
次に、図３を参照して、本実施の形態にかかる不正機器検知装置１０の動作について説明する。図３は、不正機器検知処理を示すフローチャート図である。
不正機器検知装置１０は、予め設定されている検知タイミングの到来に応じて、図３の不正機器検知処理を実行する。以下では、予め記憶部１２に設定されている不正検知スケジュールに従って、不正機器４０の検知を行うものとする。なお、不正機器検知処理の実行時には、記憶部１２に正常応答時間が登録されているものとする。
【００３６】
まず、パケット送受信部１３は、不正検知スケジュールから検知対象となる対象機器の機器ＩＤおよびリクエスト種別を取得し（ステップＳ１００）、リクエスト種別に応じて生成したリクエストパケットを、通信Ｉ／Ｆ部１１から機器ＩＤと対応する機器２１へ送信する（ステップＳ１０１）。
応答時間計測部１４は、リクエストパケットの送信に応じて対象応答時間の計測を開始する（ステップＳ１０２）。
【００３７】
続いて、パケット送受信部１３は、送信したリクエストパケットに応じて機器２１でリクエスト応答動作が実行されて、機器２１からの応答パケットが受信されるまで待機し（ステップＳ１０３）、応答パケットの受信に応じて、応答時間計測部１４は、対象応答時間の計測を終了する（ステップＳ１０４）。
【００３８】
この後、不正機器検知部１５は、対象機器の機器ＩＤおよびリクエスト種別に対応する正常応答時間を記憶部１２から取得して、応答時間計測部１４で計測した対象応答時間との時間差を計算し（ステップＳ１０５）、予め設定されている正常範囲と比較する（ステップＳ１０６）。
【００３９】
ここで、時間差が正常範囲外である場合（ステップＳ１０６：ＹＥＳ）、不正機器検知部１５は、対象機器を不正機器４０として検知し（ステップＳ１０７）、一連の不正機器検知処理を終了する。
一方、時間差が正常範囲内である場合（ステップＳ１０６：ＮＯ）、不正機器検知部１５は、対象機器を正常な機器として検知し（ステップＳ１０８）、一連の不正機器検知処理を終了する。
【００４０】
［動作例］
次に、図４および図５を参照して、本実施の形態にかかる不正機器検知装置１０の動作例について説明する。図４は、不正機器検知装置の動作例（正常応答時間登録動作）を示すシーケンス図である。図５は、不正機器検知装置の動作例（不正機器検知動作）を示すシーケンス図である。
【００４１】
不正機器検知装置１０は、定期の保守作業時や、機器２の追加・取り外しなどによりネットワーク構成が変更された場合に、図４に示すような、正常応答時間登録動作を実行する。なお、正常応答時間登録動作時には、不正機器４０がネットワークシステム１に接続されていない正常状態であるものとする。
【００４２】
不正機器検知装置１０は、機器２１に関する正常応答時間登録処理Ｓ２１において、まず、未処理のリクエスト種別ｋ（ｋ＝１〜Ｋの整数：Ｋは２以上の整数）を選択し（ステップＳ２００）、当該リクエスト種別ｋのリクエストパケットを機器２１へ送信し（ステップＳ２０１）、これに応じて機器２１でリクエスト応答動作が実行されて機器２１から送信された応答パケットを受信する（ステップＳ２０２）。
次に、不正機器検知装置１０は、リクエストパケットの送信から応答パケットの受信までの応答時間ｔｓ１ｋを計測し（ステップＳ２０３）、得られたｔｓ１ｋを機器２１に関する当該リクエスト種別ｋの正常応答時間として記憶部１２へ登録する（ステップＳ２０４）。
【００４３】
続いて、不正機器検知装置１０は、全リクエスト種別の選択が完了したか確認し（ステップＳ２０５）、完了していない場合は（ステップＳ２０５：ＮＯ）、ステップＳ２００に戻る。一方、全リクエスト種別の選択が完了し場合は（ステップＳ２０５：ＹＥＳ）、機器２１に関する正常応答時間登録処理Ｓ２１を終了する。
【００４４】
この後、不正機器検知装置１０は、上記と同様にして、機器２２，…，２ｎごとに正常応答時間登録処理Ｓ２２，…，Ｓ２ｎを実行し、得られたリクエスト種別ｋごとの応答時間ｔｓ２１〜ｔｓ２Ｋ，…，ｔｓｎ１〜ｔｓｎＫを機器２２，…，２ｎの正常応答時間としてそれぞれ記憶部１２へ登録する。
これにより、ネットワークシステム１を構成する各機器２に関するリクエスト種別ごとの正常応答時間が記憶部１２に登録されることになる。なお、応答時間にはばらつきを含む場合も考えられるため、複数回リクエストパケットを送信した得られた応答時間を統計処理し、得られた代表値を正常応答時間として登録するようにしてもよい。
【００４５】
一方、不正機器検知装置１０は、予め設定されている検知タイミングの到来に応じて、図５に示す不正機器検知動作を実行する。以下では、予め記憶部１２に設定されている不正検知スケジュールに従って、機器２１を対象とした不正機器４０の検知を行うものとする。なお、不正機器検知動作の実行時、不正機器４０がネットワーク装置３１に接続されており、機器２１になりすまして不正行為を行っているものとする。
【００４６】
まず、不正機器検知装置１０は、機器２１を対象機器として選択し（ステップＳ３００）、指定されたリクエスト種別ｋのリクエストパケットを機器２１へ送信する（ステップＳ３０１）。この際、不正機器４０が機器２１になりすましており、各ネットワーク装置３の設定情報が改ざんされているため、リクエストパケットは、不正機器検知装置１０からネットワーク装置３２およびネットワーク装置３１を介して不正機器４０に転送される。
【００４７】
不正機器４０は、不正機器検知装置１０からのリクエストパケットの受信に応じて、当該リクエストパケットで要求されたリクエスト応答動作を実行し（ステップＳ３０２）、得られた応答パケットを不正機器検知装置１０へ返送する（ステップＳ３０３）。
【００４８】
不正機器検知装置１０は、応答パケットの受信に応じて、リクエストパケットの送信から受信までの時間を機器２１に関する対象応答時間ｔｘ１ｋとして計測する（ステップＳ３０４）。
この後、不正機器検知装置１０は、機器２１に関する指定されたリクエスト種別ｋの正常応答時間ｔｓ１ｋとの時間差Δｔを計算し（ステップＳ３０５）、時間差Δｔと予め設定されている正常範囲ｔｅと比較する（ステップＳ３０６）。
【００４９】
この際、機器２１による正規のリクエスト応答動作と、不正機器４０による代替のリクエスト応答動作とを比較した場合、リクエスト応答動作に要する両者の処理時間に違いが生じる。これは、両者それぞれに関するリクエスト応答動作を実行する構成、例えばソフトウェアやハードウェアの構成が、全く同じではないからである。
【００５０】
また、機器２１による正規のリクエスト応答動作と、不正機器４０による代替のリクエスト応答動作とを比較した場合、リクエスト応答動作に要する両者のパケット転送時間に違いが生じる。これは、ネットワーク装置３の改ざんに起因して、両者それぞれに関するリクエストパケットや応答パケットの転送経路が異なるからである。例えば、機器２の場合、不正機器検知装置１０と機器２との間には、ネットワーク装置３２のみが存在しているが、不正機器検知装置１０と不正機器４０との間には、ネットワーク装置３２，３１の２つ存在しており、両者の転送経路が異なる。
【００５１】
したがって、このようなリクエスト応答動作の処理時間やパケット転送時間に起因して、時間差Δｔが正常範囲ｔｅの範囲外であった場合（ステップＳ３０６：ＹＥＳ）、不正機器検知装置１０は、機器２１が不正機器４０であると検知することになる（ステップＳ３０７）。一方、時間差Δｔが正常範囲ｔｅの範囲内であった場合（ステップＳ３０６：ＮＯ）、不正機器検知装置１０は、機器２１が正常な機器２であると検知することになる（ステップＳ３０８）。
【００５２】
［第１の実施の形態の効果］
このように、本実施の形態は、パケット送受信部１３が、複数の機器２のうち検知対象となる対象機器に対して予め設定されたリクエストパケットを送信し、当該リクエストパケットに応じて当該対象機器から返送された応答パケットを受信し、応答時間計測部１４が、対象機器に対するリクエストパケットの送信から応答パケットの受信までに要する対象応答時間を計測し、不正機器検知部１５が、対象機器に関する正常応答時間と対象応答時間とを比較し、得られた比較結果に基づいて対象機器が不正機器４０であることを検知するようにしたものである。
【００５３】
これにより、対象機器によるリクエスト応答動作に要する応答時間が実測されて、対象機器の正常応答時間と比較されることにより、対象機器が不正機器であることが検知されることになる。このため、不正機器４０が機器２になりすましている場合でも、不正機器４０を検知することが可能となる。
【００５４】
また、本実施の形態において、不正機器検知部１５が、対象応答時間と正常応答時間との時間差を計算し、時間差が予め設定されている正常範囲から外れた場合、対象機器が不正機器４０であることを検知するようにしてもよい。
これにより、リクエスト応答動作の処理時間やパケット転送時間に起因して変化する対象応答時間を、正常応答時間と精度よく比較することが可能となる。
【００５５】
また、本実施の形態において、記憶部１２が、異なる複数のリクエスト種別ごとに、各機器２のそれぞれに関する正常応答時間を記憶し、不正機器検知部１５が、正常応答時間と対象応答時間とを比較する際、リクエストパケットのリクエスト種別に対応する正常応答時間を対象応答時間と比較するようにしてもよい。
これにより、異なるリクエスト種別のリクエストパケットを用いた場合でも、正常応答時間を対象応答時間とを正確に比較することができ、検知精度を高めることができる。
【００５６】
［第２の実施の形態］
次に、本発明の第２の実施の形態にかかる不正機器検知装置１０について説明する。
機器２の動作状況は常に一定ではなく、時間とともに変化する。したがって、機器２の負荷が大きいタイミングでリクエストパケットを送信した場合、これに応じた機器２でのリクエスト応答動作に時間がかかり、応答パケットの返送が遅れてしまう場合が考えられる。このため、機器２が正規の機器であっても、計測された応答時間が正常範囲外となり、不正機器４０として誤検知されてしまう。
【００５７】
本実施の形態は、このような機器２の負荷変動に起因する誤検知に対応するため、リクエストパケットを間隔をあけて複数回送信し、これらリクエストパケットごとに得られた応答時間を統計的に比較処理するようにしたものである。
【００５８】
すなわち、本実施の形態において、パケット送受信部１３は、予め設定された間隔をあけて対象機器にリクエストパケットを繰り返し送信する機能を有している。
不正機器検知部１５は、リクエストパケットごとに得られた複数の対象応答時間を正常応答時間と統計的に比較処理し、得られた比較結果に基づいて対象機器が不正機器４０であることを検知する機能を有している。
本実施の形態にかかる他の構成については、第１の実施の形態と同様であり、ここでの詳細な説明は省略する。
【００５９】
これにより、リクエストパケットが不正機器検知装置１０から対象機器に対して間隔をあけて複数回送信されるため、対象機器の負荷が一時的に高くなっても、元の負荷状態での対象応答時間も計測することができる。したがって、統計的な比較処理により、負荷が一時的に高くなった際の対象応答時間の重みを小さくし、あるいは削除することにより、不正機器４０を正確に検知できる。この際、リクエストバケツとを送信する間隔は、適用するネットワークシステム１における機器２の負荷変動の長さや周期に基づいて経験的に決定すればよい。
【００６０】
不正機器検知部１５における統計的な比較処理の具体例としては、２つの手法が考えられる。まず、１つ目の手法は、得られた複数の対象応答時間を統計処理し、得られたこれら対象応答時間に関する代表値と正常応答時間との比較結果に基づいて、不正機器４０を検知する手法がある。この際、代表値としては、平均値や中央値など一般的な統計処理により得られる統計値を用いればよい。
次に、２つ目の手法は、得られた複数の対象応答時間と正常応答時間との比較結果を統計処理し、得られた統計結果に基づいて、不正機器４０を検知する手法である。この際、得られる比較結果は２種類であるため、統計処理としては多数決や閾値処理などの二者択一処理を用いればよい。
【００６１】
なお、常に複数回リクエストパケットを送信するのではなく、通常の検査では１回だけリクエストパケットを送信し、対象機器の負荷が高い可能性があると予想される場合にのみ、複数回リクエストパケットを送信してもよい。例えば、最初に送信したリクエストパケットで計測した対象応答時間により不正機器４０と検知された場合、対象機器の負荷が高い可能性があると予想されるため、このような場合にもう一度リクエストパケットを送信し、得られた対象応答時間により不正機器４０の検知を行うようにしてもよい。
【００６２】
具体的には、パケット送受信部１３に、不正機器検知部１５からの再送要求に応じて、予め設定された間隔をあけて対象機器にリクエストパケットを再送する機能を設け、不正機器検知部１５が、最初に送信したリクエストパケットの対象応答時間と正常応答時間との時間差を計算し、時間差が予め設定されている正常範囲から外れた場合、パケット送受信部に対して再送要求を指示する。
【００６３】
この後、応答時間計測部１２が、対象機器に対するリクエストパケットの再送から、この再送リクエストパケットに応じた対象機器からの応答パケットの受信までに要する、新たな対象応答時間を計測し、不正機器検知部１５が、新たな対象応答時間と正常応答時間との新たな時間差を計算し、新たな間差が予め設定されている正常範囲から外れた場合、対象機器が不正機器であることを検知するようにすればよい。これにより、対象機器の負荷が変動する場合ようなでも、より正確に不正機器４０を検知できる。
【００６４】
［第２の実施の形態の効果］
このように、本実施の形態は、パケット送受信部１３が、予め設定された間隔をあけて対象機器にリクエストパケットを繰り返し送信し、不正機器検知部１５は、リクエストパケットごとに得られた複数の対象応答時間を正常応答時間と統計的に比較処理し、得られた比較結果に基づいて対象機器が不正機器４０であることを検知するようにしたものである。
これにより、機器２の負荷が変動して応答時間が変化するような場合でも、不正機器４０を正確に検知することができる。
【００６５】
［第３の実施の形態］
次に、本発明の第３実施の形態にかかる不正機器検知装置１０について説明する。
不正機器４０によっては、特定のリクエスト種別に関するリクエスト応答動作が、正規の機器２とほぼ同じ場合も考えられる。本実施の形態は、第２の実施の形態により、複数回リクエストパケットを送信する場合、異なるリクエスト種別のリクエストパケットを送信するようにしたものである。
【００６６】
すなわち、本実施の形態において、記憶部１２は、異なる複数のリクエスト種別のリクエストパケットごとに、複数の機器２のそれぞれに関する正常応答時間を記憶する機能を有している。
不正機器検知部１５は、異なる複数のリクエスト種別のリクエストパケットごとに得られた複数の対象応答時間を、リクエストパケットのリクエスト種別に対応する正常応答時間と統計的に比較処理し、得られた複数の比較結果に基づいて対象機器が不正機器４０であることを検知するようにしたものである。
【００６７】
統計的な比較処理については、第２の実施の形態で説明した２つの手法のいずれかを用いればよい。具体的には、異なる複数のリクエスト種別ごとに得られた対象応答時間を統計処理し、得られた対象応答時間に関する代表値と正常応答時間との比較結果に基づいて、対象機器が不正機器４０であることを検知する手法と、異なる複数のリクエスト種別ごとに、対象応答時間と正常応答時間とを比較し、得られた比較結果に関する統計結果に基づいて、対象機器が不正機器４０であることを検知する手法がある。
【００６８】
これにより、異なる複数のリクエスト種別のリクエストパケットが不正機器検知装置１０から対象機器に対して送信されるため、それぞれのリクエストパケットに対応するリクエスト応答処理が異なり、それぞれのリクエスト種別に応じた対象応答時間が計測されて、対応する正常応答時間と比較されることになる。したがって、不正機器４０に関する特定のリクエスト種別の対象応答時間が正常な機器２とほぼ同じ場合であっても、他のリクエスト種別の対象応答時間で不正機器４０を検知することができる。
【００６９】
［第３の実施の形態の効果］
このように、本実施の形態は、記憶部１２が、異なる複数のリクエスト種別のリクエストパケットごとに、複数の機器のそれぞれに関する正常応答時間を記憶し、不正機器検知部１５は、異なる複数のリクエスト種別のリクエストパケットごとに得られた複数の対象応答時間を、リクエストパケットのリクエスト種別に対応する正常応答時間と統計的に比較処理し、得られた複数の比較結果に基づいて対象機器が不正機器４０であることを検知するようにしたものである。
これにより、不正機器４０に関する特定のリクエスト種別の対象応答時間が正常な機器２とほぼ同じ場合であっても、他のリクエスト種別の対象応答時間で不正機器４０を検知することができる。
【００７０】
［実施の形態の拡張］
以上、実施形態を参照して本発明を説明したが、本発明は上記実施形態に限定されるものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解しうる様々な変更をすることができる。また、各実施形態については、矛盾しない範囲で任意に組み合わせて実施することができる。
【符号の説明】
【００７１】
１…ネットワークシステム、１０…不正機器検知装置、１１…通信Ｉ／Ｆ部、１２…記憶部、１３…パケット送受信部、１４…応答時間計測部、１５…不正機器検知部、２，２１，２２，〜，２ｎ…機器、３，３１，３２，〜，３ｍ…ネットワーク装置、４０…不正機器、Ｌ…通信回線。
【図１】
2020065153.tif 000003
【図２】
2020065153.tif 000004
【図３】
2020065153.tif 000005
【図４】
2020065153.tif 000006
【図５】
2020065153.tif 000007