(57)【要約】【課題】ネットワークへの攻撃者に対して能動的に対応して攻撃者をコントロールする【解決手段】ＩＣＳネットワーク４に仮想ホストＡ、Ｂ、Ｃ、Ｄを生成するホストエミュレーション部１１と、仮想ホストＡ、Ｂ、Ｃ、Ｄのうち１つの仮想ホストＡト宛に通信があったことに基づいて、仮想ホストＡをＩＣＳネットワーク４から消滅させるよう、ホストエミュレーション部を制御するホスト制御部１２、１３と、を備える。【選択図】図１
2018073397.tif 000002
【特許請求の範囲】
【請求項１】
第１のネットワーク（４、４Ｂ）に１個以上の基本仮想ホスト（Ａ、Ｂ、Ｃ、Ｄ、Ｐ、Ｑ、Ｒ、Ｓ、Ｔ）を生成するホストエミュレーション部（１１）と、
前記１個以上の基本仮想ホストのうち第１基本仮想ホスト宛に前記第１のネットワークから通信があったことに基づいて、前記第１基本仮想ホストを前記第１のネットワークから消滅させるよう、前記ホストエミュレーション部を制御するホスト制御部（１２、１３）と、を備えた通信端末。
【請求項２】
前記ホスト制御部は、前記第１基本仮想ホストが、前記第１のネットワークから前記第１基本仮想ホスト宛の通信に対して応答した後に、前記第１基本仮想ホストを前記第１のネットワークから消滅させるよう、前記ホストエミュレーション部を制御することを特徴とする請求項１に記載の通信端末。
【請求項３】
前記ホスト制御部は、ホスト再構成部（１３）を備え、
前記ホスト再構成部は、前記第１基本仮想ホストを前記第１のネットワークから消滅させた後、前記第１基本仮想ホストのアドレスとは異なるアドレスが付与された追加仮想ホスト（Ｐ、Ｑ、Ｒ、Ｓ、Ｔ）を生成するよう、前記ホストエミュレーション部を制御する請求項１または２に記載の通信端末。
【請求項４】
前記１個以上の基本仮想ホストは、複数個の基本仮想ホストであり、
前記第１基本仮想ホストは、前記複数個の基本仮想ホストのうち前記第１のネットワークを介して通信があった基本仮想ホストであり、
前記ホスト制御部は、マルウェアを捕獲する機能を有する捕獲用通信部（２）を制御するホスト切替部（１２）を備え、
前記ホスト切替部は、前記第１基本仮想ホストが前記第１のネットワークからの通信に対して応答した後、前記第１基本仮想ホストへの通信に前記マルウェアの送信の兆候がある場合に、前記第１基本仮想ホストを前記第１のネットワークから消滅させるよう、前記ホストエミュレーション部を制御すると共に、前記捕獲用通信部を前記第１基本仮想ホストと同じアドレスで前記第１のネットワークに接続させることを特徴とする請求項１ないし３のいずれか１つに記載の通信端末。
【請求項５】
前記ホスト切替部は、前記第１のネットワークとは異なる第２のネットワーク（５）を介して前記捕獲用通信部に前記第１基本仮想ホストのアドレスを送信し、
前記捕獲用通信部は、前記第２のネットワークを介して前記第１基本仮想ホストのアドレスを受信したことに基づいて、前記第１基本仮想ホストと同じアドレスで前記第１のネットワークに接続して前記マルウェアを捕獲することを特徴とする請求項４に記載の通信端末。
【請求項６】
第１のネットワーク（４、４Ｂ）に仮想ホスト（Ａ、Ｂ、Ｃ、Ｄ、Ｐ、Ｑ、Ｒ、Ｓ、Ｔ）を生成するホストエミュレーション部（１１）と、
前記仮想ホスト宛の通信が前記第１のネットワークからあったことに基づいて、前記仮想ホスト宛の通信のログを前記第１のネットワークの外部にある遠隔通信システム（６）に送信し始める外部通信部（１４）と、を備えた通信端末。
【請求項７】
前記外部通信部は、前記ログを前記第１のネットワークを介さずに前記遠隔通信システム（６）に送信することを特徴とする請求項６に記載の通信端末。
【請求項８】
パケットを転送する判断部（９）を備え、
前記１個以上の基本仮想ホストが属する前記第１のネットワークとは異なる保護ネットワーク（４）に、保護対象の機器（４１〜４４）が属し、
前記判断部は、前記パケットの内容に基づいて、前記パケットの転送先を前記第１のネットワークと前記保護ネットワークの間で切り替えることを特徴とする請求項１ないし７のいずれか１つに記載の通信端末。
【請求項９】
前記判断部は、前記パケットが正常であるか否かを判定し、前記パケットが正常である場合、前記パケットを前記保護ネットワークに転送し、前記パケットが異常である場合、前記パケットを前記第１のネットワークに転送することを特徴とする請求項８に記載の通信端末。
【請求項１０】
前記判断部は、前記パケットが異常であり、かつ、前記パケットの宛先が前記保護対象の機器である場合、前記パケットに含まれる前記パケットの宛先を、前記第１のネットワーク上の所定のホスト（２）に書き換え、書き換えられた前記パケットを前記第１のネットワークに転送し、その後、前記所定のホストから応答パケットを受信した場合、前記応答パケットに含まれる前記パケットの送信元を、前記保護対象の機器に書き換え、書き換えられた前記応答パケットを外部のネットワーク（４Ｘ）に送信することを特徴とする請求項９に記載の通信端末。
【請求項１１】
前記判断部は、前記パケットの宛先が前記１個以上の基本仮想ホストである場合、前記パケットを前記第１のネットワークに転送することを特徴とする請求項８ないし１０に記載の通信端末。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信装置に関するものである。
【背景技術】
【０００２】
ＩＣＳ（産業系制御システム）等のためのネットワークにおけるサイバーセキュリティの必要性が増している。従来は、このようなセキュリティを確保する技術として、ネットワークにハニーポットを接続させる技術が、特許文献１に記載されている。ハニーポットは、攻撃者の侵入を敢えて受け、その攻撃の内容を自機に記録する装置である。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特表２００８−５３７２６７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかし、上記のようなハニーポットは、攻撃を待って、攻撃があったら自機に記録するだけの受動的な装置に過ぎない。したがって、従来のハニーポットは、攻撃者をコントロールすることはできない。
【０００５】
本発明は上記点に鑑み、ネットワークへの攻撃者に対して能動的に対応して攻撃者をコントロールすることを第１の目的とする。また、攻撃に対する更なる対策を迅速に講じることができるようにすることを第２の目的とする。
【課題を解決するための手段】
【０００６】
上記第１の目的を達成するため、通信端末は、第１のネットワーク（４）に１個以上の基本仮想ホスト（Ａ、Ｂ、Ｃ、Ｄ、Ｐ、Ｑ、Ｒ、Ｓ、Ｔ）を生成するホストエミュレーション部（１１）と、前記１個以上の基本仮想ホストのうち第１基本仮想ホスト宛に前記第１のネットワークから通信があったことに基づいて、前記第１基本仮想ホストを前記第１のネットワークから消滅させるよう、前記ホストエミュレーション部を制御するホスト制御部（１２、１３）と、を備える。
【０００７】
このように、攻撃者には在ると認識されている第１基本仮想ホストを第１のネットワークから消滅させることで、攻撃者を能動的に欺瞞することができる。この欺瞞により、攻撃者をコントロールし、攻撃者に対して有利な立場で対応をすることが可能になる。
【０００８】
上記第２の目的を達成するため、通信端末は、第１のネットワーク（４）に仮想ホスト（Ａ、Ｂ、Ｃ、Ｄ、Ｐ、Ｑ、Ｒ、Ｓ、Ｔ）を生成するホストエミュレーション部（１１）と、前記仮想ホスト宛の通信が前記第１のネットワークからあったことに基づいて、前記仮想ホスト宛の通信のログを前記第１のネットワークの外部にある遠隔通信システム（６）に送信し始める外部通信部（１４）と、を備える。
【０００９】
このようにすることで、当該通信端末内にログを保存する場合に比べ、第１のネットワークに関わる者だけでなく、外部の者も、第１のネットワークへの攻撃を監視することができる。したがって、攻撃に対する更なる対策を迅速に講じることができる。
【００１０】
なお、上記および特許請求の範囲における括弧内の符号は、特許請求の範囲に記載された用語と後述の実施形態に記載されて当該用語の例となる具体物等との対応関係を示すものである。
【図面の簡単な説明】
【００１１】
【図１】第１実施形態に係る早期警戒システムの構成を示すブロック図である。
【図２】早期警戒システムの作動の手順を示すシーケンス図である。
【図３】早期警戒システムの作動の手順を示すシーケンス図である。
【図４】仮想ホストが生成された状態を示す図である。
【図５】仮想ホストにリクエストが送信された状態を示す図である。
【図６】ログがクラウドに送信される状態を示す図である。
【図７】仮想ホストが消滅した状態を示す図である。
【図８】仮想ホストが再構成された状態を示す図である。
【図９】仮想ホストにマルウェア送信のための通信があった状態を示す図である。
【図１０】仮想ホストと第２端末が入れ替わる状態を示す図である。
【図１１】マルウェアが捕獲される状態を示す図である。
【図１２】第２実施形態に係る早期警戒システムのハードウェア構成を示す図である。
【図１３】早期警戒システムの機能構成を示す図である。
【図１４】判断部が実行する下り転送処理のフローチャートである。
【図１５】判断部が実行する上り転送処理のフローチャートである。
【発明を実施するための形態】
【００１２】
（第１実施形態）
以下、第１実施形態について説明する。本実施形態に係る通信システムは、第１端末１、第２端末２、通信モジュール３、ＩＣＳネットワーク４、プライベートネットワーク５、クラウド６等を有する早期警戒システムである。
【００１３】
ＩＣＳネットワーク４は、産業系制御システムに属する複数の制御機器および複数の制御対象機器等が通信のために接続するＴＣＰ／ＩＰネットワークであり、例えば、工場に設置される。ＩＣＳネットワーク４は、単一のローカルエリアネットワークであってもよいし、複数のローカーエリアネットワークの集合体であってもよい。ＩＣＳネットワーク４は、第１のネットワークに対応する。
【００１４】
プライベートネットワーク５は、第１端末１と第２端末２を繋ぐローカルエリアネットワークである。プライベートネットワーク５はＩＣＳネットワーク４とは異なるネットワークであり、ＩＣＳネットワーク４とは独立に設けられている。プライベートネットワーク５は、第２のネットワークに対応する。
【００１５】
第１端末１は、ＩＣＳネットワーク４に接続されてＩＣＳネットワーク４を介した通信が可能となっている。第１端末１は、いずれも不図示のＣＰＵ、ＲＡＭ、ＲＯＭ、フラッシュメモリ、通信インターフェース等を備えたコンピュータである。フラッシュメモリの一部は、ＩＣＳネットワーク４に対する攻撃者の攻撃記録を保存するためのログメモリ１０である。
【００１６】
第１端末１のＣＰＵは、ＲＯＭ、フラッシュメモリ等に記録された種々のプログラムを実行し、その実行の際にＲＡＭを作業領域として用いる。具体的には、第１端末１のＣＰＵが所定のプログラムを実行することで、第１端末１がホストエミュレーション部１１、ホスト切替部１２、ホスト再構成部１３、および外部通信部１４として機能する。以下、ホストエミュレーション部１１をＨＥ部１１という。ホスト切替部１２、ホスト再構成部１３は、それぞれが、ホスト制御部に対応する。
【００１７】
ＨＥ部１１は、偽の複数個の仮想ホストを生成し、生成した複数個の仮想ホストの各々において、既知のサービスの一部機能をエミュレートする。既知のサービスとしては、Ｔｅｌｎｅｔサービス、ＦＴＰサービス、ＨＴＴＰサービス、ＳＳＨサービス、ＳＭＢサービス等がある。
【００１８】
仮想ホストは、特定のオペレーティングシステムやサービスを実現する通信装置を仮想的に、すなわちソフトウェア的に、エミュレートする。エミュレートの範囲は、本物の現実の通信装置のオペレーティングシステムおよびサービスの機能の一部である。例えば、仮想ホストは、固有のＩＰアドレス、当該アドレスにおける複数のポートをエミュレートする。そして仮想ホストは、これら複数のポートに割り当てられたサービスの一部をエミュレートする。サービスのうちエミュレート対象となる部分は、例えば、通信開始時点およびその後の所定回数（例えば５回）のパケットのやりとりのみに限定される。つまり、仮想ホストは、サービスのうち、攻撃者がポートスキャン等の調査を行ったときに実際に通信装置が存在すると勘違いする程度の機能を、エミュレートする。
【００１９】
ＨＥ部１１は、あらかじめフラッシュメモリ等に記録されたコンフィグレーションに規定された内容で、上記複数個の仮想ホストを生成する。コンフィグレーションには、仮想ホスト毎に、当該仮想ホストに割り当てるＩＰアドレス、当該仮想ホストが偽装するオペレーティングシステムの種類、当該仮想ホストが偽装するオペレーティングシステムのバージョン、当該仮想ホストのポート番号リストが含まれている。
【００２０】
各仮想ホストのポート番号リストは、当該仮想ホスト中の複数のポートのそれぞれについて、オープンの状態にあるかクローズの状態にあるかの情報を含む。この情報は、ポート構成の情報である。
【００２１】
オープンの状態とは、リクエストに対して確認応答する状態をいう。クローズの状態とは、リクエストに対して拒否する状態をいう。また、各仮想ホストのポート番号リストは、当該仮想ホスト中の複数のポートのそれぞれについて、部分的にエミュレートするサービスの挙動の情報を含む。
【００２２】
また、各仮想ホストのポート番号リストは、当該仮想ホスト中の複数のポートのそれぞれについて、当該ポートにリクエスト等の通信があったときに実行すべきスクリプトが指定可能となっている。第１端末１のＣＰＵがスクリプトを実行することで、例えば、ホスト切替部１２およびホスト再構成部１３が起動する。
【００２３】
また、ＨＥ部１１は、上述の複数個の仮想ホストに対してＩＣＳネットワーク４から通信があった場合に、その通信の内容のログをログメモリ１０に記録する。
【００２４】
ホスト切替部１２は、上述のＨＥ部１１用のスクリプトを書き換えてＨＥ部１１を再起動させると共に、プライベートネットワーク５を介して、後述する攻撃情報を第２端末２に通知することで、第２端末２を制御する。
【００２５】
ホスト再構成部１３は、上述のＨＥ部１１用のスクリプトを書き換えてＨＥ部１１を再起動させる。
【００２６】
外部通信部１４は、ログメモリ１０に記録された上述のログを読み出し、読み出したログを通信モジュール３を介してクラウド６に送信する。
【００２７】
第２端末２は、通信線を介してＩＣＳネットワーク４と電気的に繋がっているが、ＩＣＳネットワーク４を介した通信の可能、不可能が変化するようになっている。第２端末２は、いずれも不図示のＣＰＵ、ＲＡＭ、ＲＯＭ、フラッシュメモリ、通信インターフェース等を備えたコンピュータである。
【００２８】
第２端末２のＣＰＵは、ＲＯＭ、フラッシュメモリ等に記録された種々のプログラムを実行し、その実行の際にＲＡＭを作業領域として用いる。具体的には、第２端末２のＣＰＵが所定のプログラムを実行することで、第２端末２が接続制御部２１、捕獲部２２として機能する。第２端末２は、捕獲用通信部に対応する。
【００２９】
接続制御部２１は、第２端末２によるＩＣＳネットワーク４を介した通信の可能、不可能を切り替える。また、接続制御部２１は、プライベートネットワーク５を介して第１端末１と通信する。また、接続制御部２１は、捕獲部２２を起動する。捕獲部２２は、ＩＣＳネットワーク４を介して送られたマルウェアを捕獲して第２端末２のフラッシュメモリに記録する。
【００３０】
通信モジュール３は、無線通信を行うためのモジュールである。通信モジュール３は、従来のＥｔｈｅｒｎｅｔなどの有線規格を用いるのではなく、モバイル通信回線を用いたＰＰＰ（Point to Point Protocol）通信を実現する。このモバイル通信回線は、ＩＣＳネットワーク４とは異なってＩＣＳネットワーク４とは独立した通信回線である。上述の通り、外部通信部１４は、ＩＣＳネットワーク４を介さずに、通信モジュール３を介して、クラウド６にログを送信する。
【００３１】
クラウド６は、１台のコンピュータまたは相互に接続された複数のコンピュータから構成される。クラウド６は、遠隔通信システムである。
【００３２】
第１端末１および図１に記載されていない他のネットワーク上の装置から、攻撃者の攻撃内容のログを受信し、保存する。これにより、複数のネットワークへの攻撃のログをクラウド６に集約することができる。また、クラウド６は、これら保存したログを可視化する。そして、可視化した情報をＷｅｂサービス等によって外部の装置に提供する。
【００３３】
以下、このような構成の早期警戒システムの作動について説明する。図２、図３は、本実施形態における早期警戒システムの作動を示すシーケンス図である。まず、この早期警戒システムにおいて、第１端末１および第２端末２が起動される。すると、第１端末１においては、ＨＥ部１１およびホスト再構成部１３が起動する。ホスト再構成部１３は、起動後、ステップ４１０で、ログメモリ１０にデータが書き込まれるのを待ち受ける。
【００３４】
ＨＥ部１１は、起動後、まずステップ１０５で、上述のコンフィグレーションに従って、図４に示すように、複数の仮想ホストＡ、Ｂ、Ｃ、Ｄを生成する。図４では仮想ホストの数は４つであるが、生成する仮想ホストの数は２個でも、３個でも、５個以上でもよい。これら複数の仮想ホストＡ、Ｂ、Ｃ、Ｄの各々が、基本仮想ホストに対応する。
【００３５】
仮想ホストＡ、Ｂ、Ｃ、Ｄは、ソフトウェア的に実現する擬似的な端末である。これら仮想ホストＡ、Ｂ、Ｃ、Ｄには、ＩＣＳネットワーク４上で使用されていないＩＰアドレスが１つずつ付与される。仮想ホストＡ、Ｂ、Ｃ、ＤのＩＰアドレスはそれぞれ異なる。なお、仮想ホストＡのＩＰアドレスはＡＡである。これらのような仮想ホストＡ、Ｂ、Ｃ、Ｄは、ＨＥ部１１の一部として機能する。
【００３６】
各仮想ホストは、ＩＣＳネットワーク４から自ホストのＩＰアドレスのオープン状態のポートにリクエスト（例えば、ＳＹＮパケット）等の通信があると、送信元に応答（例えば、ＳＹＮ＋ＡＣＫパケット）を送信する。各仮想ホストは、ＩＣＳネットワーク４から自ホストのＩＰアドレスのクローズ状態のポートにリクエスト（例えば、ＳＹＮパケット）等の通信があると、送信元に応答（例えば、ＲＳＴ＋ＡＣＫパケット）を送信する。
【００３７】
その他、各仮想ホストは、ＩＣＳネットワーク４から自ホストのＩＰアドレスのポートに周知のポートスキャン等の調査のためのパケットが送信されると、当該パケットに対する所定のプロトコルに従った応答を、送信元に送信する。
【００３８】
このようになっていることで、攻撃者がポートスキャン等の調査を行うと、これら仮想ホストの存在およびポート構成の情報が、ＩＣＳネットワーク４上の他の端末についての同様の情報と共に、攻撃者に伝わる。ＨＥ部１１は、ステップ１０５で複数の仮想ホストを生成した後、ステップ１１０で、これら仮想ホスト宛の通信を待ち受ける。
【００３９】
なお、仮想ホストＡ、Ｂ、Ｃ、Ｄのそれぞれが有する複数のポートは、図４に示すように、第１種のポートＰ１と第２種のポートＰ２に分かれる。どのポートを第１種のポートＰ１としどのポートを第２種のポートＰ２とするかは、あらかじめ第１端末１において定められている。例えば、捕獲部２２が捕獲可能なマルウェアが送り込まれる可能性が高いポートを第２種のポートとし、それ以外のポートを第１種のポートとすることができる。
【００４０】
ここで、図５に示すように、攻撃者が、ＩＣＳネットワーク４に侵入して、ポートスキャンのため、仮想ホストＡの特定の第１種のポートＰ１または第２種のポートＰ２にリクエストＰＳ（例えばＳＹＮパケット）等の通信を送信したとする。この場合、仮想ホストＡが第１基本仮想ホストに対応する。
【００４１】
このとき、ＨＥ部１１は、ステップ１１０からステップ１１５に進み、上述の通り、当該通信に対する応答（例えば、ＳＹＮ＋ＡＣＫパケット）を送信元に送信する。
【００４２】
続いてＨＥ部１１は、ステップ１２０で、図５に示すように、仮想ホストＡが受けた通信のログをログメモリ１０に記録する。通信のログとしては、例えば、受信したパケットそのものおよび受信時刻を記録してもよいし、受信したパケットの特徴を記録しても良い。受信したパケットの特徴としては、送信元ＩＰアドレス、宛先ＩＰアドレス、パケットの種別、受信時刻等がある。
【００４３】
ログがログメモリ１０に記録されると、外部通信部１４が、ログメモリ１０へのログの書き込みを検知して、ステップ４１０から４２０に進む。そして外部通信部１４は、ステップ４２０で、図６に示すように、ログメモリ１０に記録されたログを読み込み、クラウド６への送信用として適切なフォーマットにログを整形し、整形された後のログをクラウド６に送信する。この後、外部通信部１４は、ログメモリ１０に新たに記録された攻撃者の通信のログを、通信モジュール３を用いて、繰り返し定期的に（例えば５秒間隔、１分間隔で）クラウド６に送信する。
【００４４】
外部通信部１４が攻撃者の通信のログをクラウド６に繰り返し送信し始めるタイミングは、仮想ホストのいずれか宛にＩＣＳネットワーク４を介した通信があったタイミングである。外部通信部１４による当該ログのクラウド６への繰り返し送信が終了するタイミングは、どの仮想ホスト宛にも第２端末２宛にもＩＣＳネットワーク４を介した通信が所定期間（例えば、３０分）連続して来なかったタイミングである。
【００４５】
このように、攻撃者の通信ログが、ＩＣＳネットワーク４を介さずにモバイル通信回線を介してクラウド６にリアルタイムで送信される。したがって、第１端末１からクラウド６への通信経路が携帯会社保有の基地局を介した通信経路となるので、攻撃者等がログメモリ１０にアクセスするリスクを低減する事が可能である。したがって、攻撃者の通信ログの送信をセキュアに行うことができる。
【００４６】
クラウド６は、ステップ６１０で、上記のように外部通信部１４から送信されたログを受信して、自システムの記憶媒体に記録する。続いてクラウド６は、ステップ６２０で、直前に受信したログと、それよりも前に第２端末２または他の装置から受信しているログに基づいて、攻撃者に関する特徴を容易に視認可能な形式の攻撃データ（例えば、グラフを含むｈｔｍｌデータ）を作成する。これにより、作成された攻撃データは、クラウド６によって実行されているＷｅｂサービス等の情報提供サービスを介して、外部から閲覧可能となる。そしてクラウド６は、外部の通信装置から攻撃データを閲覧する要求を受信すると、ステップ６３０で、上記のように作成した攻撃データを、当該閲覧要求元の通信装置に、Ｗｅｂサービスを利用して送信する。あるいは、クラウド６は、ログを可視化したタイミングで、メール、アラート等を利用してリアルタイムで外部の装置に提供してもよい。
【００４７】
このようにすることで、第１端末１内にログを保存する場合に比べ、ＩＣＳネットワーク４への攻撃の情報を、ＩＣＳネットワーク４に関わる人のみ監視できるだけでなく、他のプラントや工場に関わる人も監視が可能となる。したがって、攻撃に対する更なる対策を迅速に広範囲に講じることができる。
【００４８】
一方、ＨＥ部１１は、ステップ１２０でログを記録した後、ステップ１２５に進む。そしてＨＥ部１１は、ステップ１２５で、直前に受けた仮想ホストＡへの通信は、第１種のポートＰ１への通信だったか否かを判定する。そしてＨＥ部１１は、第１種のポートＰ１への通信だった場合は、ステップ１３０に進み、第１種ポートでなく第２種のポートＰ２への通信だった場合は、ステップ１４０に進む。
【００４９】
ステップ１３０では、ホスト再構成部１３を起動する。これにより、ホスト再構成部１３が起動し、まずステップ３１０で、仮想ホストのコンフィグレーションを変更する。この変更は、あらかじめ定められた規則で行ってもよいし、ランダムに行ってもよい。
【００５０】
例えば、現在の複数の仮想ホストがすべて消去され、現在の複数の仮想ホストのＩＰアドレス群とは異なるＩＰアドレス群が付与された新たな複数の仮想ホストが含まれるように、コンフィギュレーションを変更してもよい。新たな複数の仮想ホストの数は、現在の複数の仮想ホストの数と同じであってもよいし異なっていてもよい。新たな複数の仮想ホストのオペレーティングシステムの構成およびポート構成は、現在の複数の仮想ホストと全く異なっていてもよいし、部分的に一致していてもよい。変更後のコンフィグレーションには、現在の複数の仮想ホストの一部が残っていてもよい。
【００５１】
しかし、変更後のコンフィグレーションからは、直前のステップ１１０で通信を受信した仮想ホストＡは必ず除外する。ただし、変更後のコンフィグレーションには、直前のステップ１１０で通信を受信した仮想ホストＡと同じＩＰアドレスでオペレーティングシステムの構成が異なっている新たな仮想ホストが含められていてもよい。また、変更後のコンフィグレーションには、直前のステップ１１０で通信を受信した仮想ホストＡと同じＩＰアドレスでポート構成が異なっている新たな仮想ホストが含められていてもよい。
【００５２】
続いてホスト再構成部１３は、ステップ３２０で、ＨＥ部１１を再起動させる。するとＨＥ部１１は、ステップ１３５で再起動する。これにより、図７に示すように、現在の複数の仮想ホストがＩＣＳネットワーク４から一旦消滅する。
【００５３】
そしてその後、ＨＥ部１１が再起動することにより、図８に示すように、変更後のコンフィグレーションに含まれる新たな仮想ホストＰ、Ｑ、Ｒ、Ｓ、ＴがＩＣＳネットワーク４上に生成される。すなわち、仮想ホストが更新される。これら複数の仮想ホストＰ、Ｑ、Ｒ、Ｓ、Ｔの各々が、追加仮想ホストに対応する。
【００５４】
図８の例では、再起動後も、再起動の直前まで存在していた仮想ホストＡ、Ｂ、Ｃ、ＤがＩＣＳネットワーク４から消滅している。そして、仮想ホストＡと同じＩＰアドレスを有する新たな別の仮想ホストは生成されていない。したがって、仮想ホストＰ、Ｑ、Ｒ、Ｓ、ＴのＩＰアドレスは、仮想ホストＡのＩＰアドレスとは異なる。
【００５５】
このようになっていることで、攻撃者側が調査のための通信を仮想ホストＡに行った場合、応答を受けることで、仮想ホストＡの存在を確認し、応答の内容によっては脆弱性の可能性も確認する。そのような状況で当該仮想ホストＡをＩＣＳネットワーク４から消滅させることで、攻撃者を能動的に欺瞞することができる。この欺瞞により、攻撃者をコントロールし、攻撃者に対して有利な立場で対応をすることが可能になる。
【００５６】
具体的には、ポートスキャン等の調査で存在が確認された仮想ホストＡが応答しなくなり、しかも、仮想ホストＡのＩＰアドレスとは別のＩＰアドレスに別の仮想ホストＰ、Ｑ、Ｒ、Ｓが現れる。したがって、攻撃者が混乱する。例えば、攻撃者が再度ポートスキャン等の調査をしなければいけなくなる。その結果、攻撃者の攻撃が遅延する。この遅延により、攻撃者に先んじて攻撃に対する対策を実施することが可能になる。
【００５７】
再起動して新たな仮想ホストを生成したＨＥ部１１は、ステップ１１０に戻り、新たな仮想ホスト宛のリクエスト等の通信を待ち受ける。攻撃者が再度ポートスキャン等の調査を行う場合は、ＨＥ部１１は、ステップ１１０、１１５、１２０、１２５、１３０、１３５を実行することで、再度仮想ホストを更新する。このようにすれば、攻撃者から見れば、ポートスキャン等の調査をする度にＩＣＳネットワーク４のネットワーク構成が異なるように見えるので、攻撃者が混乱し、攻撃が遅延する。
【００５８】
ここで、ＨＥ部１１がステップ１１０で待ち受けをしているときに、何らかの方法で攻撃者がマルウェアを送り込む先の攻撃対象の仮想ホストおよびポートを定めたとする。そして攻撃者が、図９に示すように、当該ポートを標的としてマルウェアＭＷを送り込むための通信を行ったとする。そして、このポートが所定の第２種のポートＰ２であったとする。
【００５９】
このとき生成されている仮想ホストは、ホストＡ、Ｂ、Ｃ、Ｄでもよいし、図９のようにホストＰ、Ｑ、Ｒ、Ｓ、Ｔでもよいし、他の仮想ホストでもよい。このとき生成されている複数の仮想ホストが、複数の基本仮想ホストである。図９の例では、攻撃対象が仮想ホストＲとなっている。この場合は、仮想ホストＲが第１基本仮想ホストである。
【００６０】
この場合、ＨＥ部１１は、ステップ１１５、１２０を上述の様に行った後、ステップ１２５で直前に受けた仮想ホストＡへの通信は、第１種のポートＰ１への通信でなかったと判定し、ステップ１４０に進む。ＨＥ部１１は、ステップ１４０で、当該第２種のポートＰ２への通信に、マルウェア送信の兆候があるか否かを判定する。
【００６１】
マルウェアを送り込むために攻撃者が採用する通信の方法としては、既知の方法が種々ある。例えば、ＳＭＢサービスのポートに対して所定の攻撃パケットを送信した後にマルウェアを送信することで、当該ポートを有するコンピュータにマルウェアを保存させるという手法がある。この場合は、当該所定の攻撃パケットが送信されたことが、マルウェア送信の兆候である。また例えば、複数回（例えば５回）連続して同じ第２種のポートＰ２にパケットが送信されたことを、マルウェア送信の兆候であるとしてもよい。
【００６２】
マルウェア送信の兆候がない場合、ＨＥ部１１はステップ１１０に戻る。マルウェア送信の兆候がある場合、ＨＥ部１１はステップ１４５に進み、ホスト切替部１２を起動する。なお、マルウェア送信の兆候がある場合、ＨＥ部１１は、送信元に応答を返す場合も返さない場合もある。
【００６３】
起動したホスト切替部１２は、ステップ２１０で、プライベートネットワーク５を介して、攻撃情報を第２端末２の接続制御部２１に送信する。攻撃情報は、当該マルウェア送信の兆候に関する情報である。攻撃情報は、攻撃対象の仮想ホスト（図９の例では仮想ホストＲ）のＩＰアドレスＡＲ、攻撃対象のポート番号、攻撃時に攻撃対象が受けたパケットの種類、当該パケットの内容、攻撃対象の仮想ホストのポート構成、攻撃対象の仮想ホストのオペレーティングシステム等を含む。
【００６４】
このように、既に攻撃者が侵入しているＩＣＳネットワーク４とは異なるプライベートネットワーク５を介して第１基本仮想ホストのアドレスが送信される。したがって、マルウェア捕獲のための手順を攻撃者に知られる可能性を低くすることができる。つまり、マルウェア捕獲をセキュアに行うことができる。
【００６５】
続いてホスト切替部１２は、ステップ２２０で、現在の仮想ホストのコンフィグレーションから、攻撃対象の仮想ホスト（図９では仮想ホストＲ）の情報を削除する。続いてホスト切替部１２は、ステップ２３０で、ＨＥ部１１を再起動する。するとＨＥ部１１は、ステップ１５０で再起動する。これにより、現在の複数の仮想ホストがＩＣＳネットワーク４から一旦消滅した後、図１０に示すように、攻撃対象の仮想ホストのみがＩＣＳネットワーク４から消去された状態のまま、それまでの複数の仮想ホストＰ、Ｑ、Ｓ、Ｔが再度生成される。
【００６６】
このように、攻撃者にはあると認識されている攻撃対象の仮想ホストをＩＣＳネットワーク４から消滅させることで、攻撃者を能動的に欺瞞することができる。この欺瞞により、攻撃者をコントロールし、攻撃者に対して有利な立場で対応をすることが可能になる。
【００６７】
一方、第２端末２の接続制御部２１は、第１端末１のホスト切替部１２から攻撃情報を受信したことに基づいて、ステップ５１０に進む。ステップ５１０では、受信した攻撃情報に基づいて、第２端末２をＩＣＳネットワーク４を介して通信可能な状態にする。
【００６８】
このとき、接続制御部２１は、第２端末２のＩＰアドレスとして、当該攻撃情報に含まれる攻撃対象のＩＰアドレスＡＲ（図１０の例では仮想ホストＲのＩＰアドレス）を採用する。これにより、ＩＣＳネットワーク４から消滅した仮想ホストＲと同じＩＰアドレスで、第２端末２がＩＣＳネットワーク４に接続される。
【００６９】
続いて接続制御部２１は、ステップ５２０で、当該攻撃情報に応じて、捕獲部２２のコンフィグレーションを作成する。具体的には、捕獲部２２が攻撃対象の仮想ホストと同じポート構成およびオペレーティングシステムをエミュレートするように、捕獲部２２のコンフィグレーションを作成する。また、捕獲部２２が攻撃パケットを攻撃対象のポート番号にて受けたと仮定した状態、すなわち、マルウェアの侵入を受け入れ可能な状態をエミュレートするように、捕獲部２２のコンフィグレーションを作成する。
【００７０】
続いて接続制御部２１は、ステップ５３０で、捕獲部２２を起動する。これにより、捕獲部２２は、作成されたコンフィグレーションに従った構成で起動する。この状態で起動した捕獲部２２は、上述の通り、攻撃対象のポートでマルウェアを受け入れ可能な状態にある。しかも、攻撃者は、攻撃対象の仮想ホストが第２端末２に置き換わったことに気付かないまま、捕獲部２２にマルウェアを送信する。
【００７１】
したがって、図１１に示すように、捕獲部２２は、ステップ７１０で、マルウェアを受信して第２端末２のフラッシュメモリに記録する。これにより、捕獲部２２内にマルウェアが捕獲される。
【００７２】
このように、複数の仮想ホストのいずれかにマルウェア送信の兆候となる通信があった場合に、その通信のあった仮想ホストがＩＣＳネットワーク４から消滅する。そして、同じアドレスで第２端末２が第１のネットワークに接続される。
【００７３】
これにより、複数の仮想ホストでマルウェアをおびきよせて、おびきよせた仮想ホストを第２端末２に置き換えることで、より高い確率でマルウェアを捕獲できる。また、攻撃者には、マルウェアを送り込むのに成功したと誤解させることができる。
【００７４】
また、捕獲部２２は、マルウェアを捕獲すると、続いてステップ７２０で、捕獲したことを接続制御部２１に通知する。接続制御部２１は、この通知を受けると、ステップ５４０で、第２端末２をＩＣＳネットワーク４を介して通信不可能な状態にする。接続制御部２１は続いてステップ５５０で、第２端末２がマルウェアを捕獲した旨を、プライベートネットワーク５を介して、第１端末１のホスト切替部１２に通知する。
【００７５】
この通知を受信したホスト切替部１２は、ステップ２４０で、現在の仮想ホストのコンフィグレーションに対し、ステップ２２０で削除した攻撃対象の仮想ホストの情報を追加する。続いてホスト切替部１２は、ステップ２５０で、ＨＥ部１１を再起動する。するとＨＥ部１１は、ステップ１６０で再起動する。
【００７６】
これにより、現在の複数の仮想ホストがＩＣＳネットワーク４から一旦消滅した後、攻撃対象の仮想ホストＲがＩＣＳネットワーク４上に復活した状態で、それまでの複数の仮想ホストＰ、Ｑ、Ｓ、Ｔが再度生成される。その結果、仮想ホストの構成が、図９の状態に戻る。
【００７７】
このように、第２端末２についてはマルウェアを捕獲したタイミングでＩＣＳネットワーク４から消去し、攻撃対象の仮想ホストを復活させることで、捕獲部２２の存在を攻撃者に知られる可能性を低減することができる。したがって、より確実に攻撃者を欺瞞した状態で攻撃者をコントロールすることができる。
【００７８】
（第２実施形態）
次に、第２実施形態について説明する。本実施形態に係る通信システムは、図１２に示すように、ルータ７、フロントエンドネットワーク４Ａ、攻撃対応装置８、ＩＣＳネットワーク４、通信モジュール３、クラウド６を有する早期警戒システムである。攻撃対応装置８は、通信端末に対応する。通信モジュール３、クラウド６は、第１実施形態と同等の機能を有する。
【００７９】
ルータ７は、外部のネットワーク４Ｘとフロントエンドネットワーク４Ａとの間でデータを中継するゲートウェイとして機能する。外部のネットワーク４Ｘは、例えば、社内ＬＡＮであってもよいし、インターネット等の広域ネットワークであってもよい。
【００８０】
フロントエンドネットワーク４Ａは、ルータ７と攻撃対応装置８が属するＴＣＰ／ＩＰネットワークである。
【００８１】
攻撃対応装置８は、第１実施形態における第１端末１、第２端末２の機能等を実現することで、ＩＣＳネットワーク４への攻撃に対応するための装置であり、フロントエンドネットワーク４ＡおよびＩＣＳネットワーク４に属している。
【００８２】
ＩＣＳネットワーク４は、第１実施形態と同様、産業系制御システムに属する複数の保護対象の機器４１〜４４が通信のために接続するＴＣＰ／ＩＰネットワークであり、例えば、工場に設置される。
【００８３】
保護対象の複数の機器としては、制御機器、監視装置等がある。制御機器は、工場内の産業ロボット等を制御する装置である。監視装置は、工場内の産業ロボット等の状態を取得して外部ネットワーク４Ｘに送信する装置である。例えば、制御機器としては、ＰＬＣ（Programmable Logic Controller）、ＤＣＳ（Distributed Control System）が用いられてもよい。監視装置としては、ＲＴＵ（Remote Terminal Unit）が用いられてもよい。以下では、これらの機器４１〜４４を保護対象機器という。
【００８４】
本実施形態では、ＩＣＳネットワーク４は、第１のネットワークに該当せず、保護ネットワークに該当する。また、本実施形態では、第１端末１、第２端末２は、単体のハードウェアとして存在せず、ＩＣＳネットワーク４に属さない。
【００８５】
ここで、攻撃対応装置８の構成について説明する。図１２に示すように、攻撃対応装置８は、ネットワークインターフェース８１、メモリ８２、ＣＰＵ８３を備えている。ネットワークインターフェース８１、メモリ８２、ＣＰＵ８３は、いずれも実体のあるハードウェアである。
【００８６】
ネットワークインターフェース８１は、フロントエンドネットワーク４ＡおよびＩＣＳネットワーク４に直接接続する。ネットワークインターフェース８１は、フロントエンドネットワーク４ＡおよびＩＣＳネットワーク４を介してデータの送信および受信を行う。メモリ８２は、ＲＡＭ、ＲＯＭ、フラッシュメモリ等の記憶媒体である。ＣＰＵ８３は、メモリ８２に記録されたプログラムを実行することで、種々の機能を実行する。
【００８７】
図１３に、攻撃対応装置８の機能構成を示す。ＣＰＵ８３は、図１３に示すように、第１端末１、第２端末２、判断部９、シャドウネットワーク４Ｂの機能をソフトウェアで仮想的に実現する。ハードウェアをソフトウェアで仮想的に実現する技術は周知であるので、ここでは説明を省略する。以下では、第１端末１、第２端末２、判断部９、シャドウネットワーク４Ｂを、それぞれ単体のハードウェアとして説明する。しかし、既に説明したとおり、これらは、ＣＰＵ８３によってソフトウェアで仮想的にそれらハードウェアが実現される。
【００８８】
シャドウネットワーク４Ｂは、ＴＣＰ／ＩＰネットワークである。ＩＣＳネットワーク４は、フロントエンドネットワーク４ＡともＩＣＳネットワーク４とも別に設けられている。
【００８９】
第１端末１および第２端末２は、シャドウネットワーク４Ｂに属するがフロントエンドネットワーク４Ａ、ＩＣＳネットワーク４には属さない。判断部９は、フロントエンドネットワーク４Ａとシャドウネットワーク４ＢとＩＣＳネットワーク４に属する。シャドウネットワーク４Ｂは、第１のネットワークに該当する。
【００９０】
ローカルエリアネットワークとしてのシャドウネットワーク４Ｂのネットワークアドレスは、ＩＣＳネットワーク４のネットワークアドレスと同じである。すなわち、シャドウネットワーク４Ｂに属する第１端末１、第２端末２のＩＰアドレスのネットワーク部の値と、ＩＣＳネットワーク４に属する保護対象機器４１〜４４のＩＰアドレスのネットワーク部の値は、同じである。
【００９１】
また、判断部９のシャドウネットワーク４Ｂ側のＩＰアドレスのネットワーク部の値も、第１端末１、第２端末２のＩＰアドレスのネットワーク部の値と同じである。また、判断部９のＩＣＳネットワーク４側のＩＰアドレスのネットワーク部の値も、第１端末１、第２端末２のＩＰアドレスのネットワーク部の値と同じである。
【００９２】
また、第１端末１のＩＰアドレス、第２端末２のＩＰアドレス、判断部９のシャドウネットワーク４Ｂ側のＩＰアドレス、判断部９のＩＣＳネットワーク４側のＩＰアドレス、ＩＣＳネットワーク４に属する判断部９以外のすべての装置のＩＰアドレスは、すべて互いに異なる。いうまでもないが、図１３に表れるすべての通信装置のＭＡＣアドレスは、互いに異なる。
【００９３】
第１端末１は、第１実施形態と同様、ログメモリ１０、ＨＥ部１１、ホスト再構成部１３、外部通信部１４を有するが、ホスト切替部１２を有さない。ログメモリ１０、ＨＥ部１１、ホスト再構成部１３、外部通信部１４の機能は、第１実施形態と同じである。
【００９４】
第２端末２は、第１実施形態と同じ機能の捕獲部２２を有するが、接続制御部２１を有さない。第２端末２が所定のホストに該当する。第１実施形態において第１端末１と第２端末２とを繋いでいたプライベートネットワーク５は、本実施形態では廃されている。また、第２端末２のＩＰアドレスは固定である。
【００９５】
判断部９は、ネットワークインターフェース、マイコン等のハードウェアを有する。ルータ７から送られたパケットをシャドウネットワーク４ＢおよびＩＣＳネットワーク４のうちどちらかへ転送する。また、判断部９は、シャドウネットワーク４ＢおよびＩＣＳネットワーク４から送られたパケットをフロントエンドネットワーク４Ａに転送する。これら転送の際、判断部９は、必要に応じて、パケットの内容を書き換える。なお、本実施形態では、パケットはイーサネットフレームである。
【００９６】
通常、どのパケットにも、宛先ＭＡＣアドレス、送信元ＭＡＣアドレス、宛先ＩＰアドレス、送信元ＩＰアドレス、プロトコル、送信元ポート番号、および宛先ポート番号が含まれている。宛先ＭＡＣアドレスおよび送信元ＭＡＣアドレスは、イーサネットフレームのヘッダ部に含まれる。宛先ＩＰアドレス、送信元ＩＰアドレス、プロトコルは、ＩＰデータグラムのヘッダ部に含まれる。送信元ポート番号および宛先ポート番号は、ＵＤＰユーザデータグラムのヘッダ部またはＴＣＰセグメントのヘッダ部に含まれる。
【００９７】
判断部９は、このような転送を実現するために、ホワイトリスト９１をメモリに記憶している。このホワイトリスト９１は、ＩＣＳネットワーク４状の保護対象機器４１〜４４との通信を許可する条件（以下、通信許可条件という）が記述されたデータである。
【００９８】
より具体的には、ホワイトリスト９１は、送信元ＩＰアドレス、宛先ＩＰアドレス、送信元ポート番号、宛先ポート番号、プロトコルのうち１つまたは複数のパラメータから成るレコードが、複数個記録されている。
【００９９】
複数のレコードのうちいずれか１つのレコードに含まれる全パラメータの値と、あるパケット中の当該パラメータの値とが、一致する場合、当該パケットは、通信許可条件を満たすパケットである。すべてのレコードの各々について、当該レコードに含まれる全パラメータの値と、あるパケット中の当該パラメータの値とが、完全には一致しない場合、当該パケットは、通信許可条件を満たさないパケットである。
【０１００】
例えば、あるレコードには、送信元ＩＰアドレスとして特定のＯＰＣサーバまたは特定のＳＣＡＤＡ（Ｓｕｐｅｒｖｉｓｏｒｙ  Ｃｏｎｔｒｏｌ  Ａｎｄ  Ｄａｔａ  Ａｃｑｕｉｓｉｔｉｏｎ）のＩＰアドレスのみが含まれている場合がある。そのような場合、当該ＯＰＣサーバまたはＳＣＡＤＡから送信されたパケットは、すべて通信許可条件を満たす。ここで、当該ＳＣＡＤＡおよび当該ＯＰＣサーバは、本実施形態に係る通信システムと同じ会社によって所有される装置であってもよいし、そうでなくてもよい。
【０１０１】
当該ＳＣＡＤＡおよび当該ＯＰＣサーバは、いずれも、保護対象機器４１〜４４と通信することで、保護対象機器４１〜４４の作動状態の情報の取得および表示、保護対象機器４１〜４４の制御等を行う装置である。
【０１０２】
また例えば、あるレコードには、送信元ＩＰアドレスとして特定のＯＰＣサーバのＩＰアドレスと、宛先ＩＰアドレスとして保護対象機器４１〜４４のうち特定の１つの保護対象機器のＩＰアドレスのみが含まれている場合がある。そのような場合、当該ＯＰＣサーバから送信された当該１つの保護対象機器宛のパケットは、すべて通信許可条件を満たす。
【０１０３】
また例えば、あるレコードには、送信元ＩＰアドレスとして特定のＯＰＣサーバのＩＰアドレスと、宛先ＩＰアドレスとして当該１つの保護対象機器のＩＰアドレスと、プロトコルとしてＴＣＰのみが含まれている場合がある。そのような場合、当該ＯＰＣサーバから送信された当該１つの保護対象機器宛のパケットのうち、ＴＣＰのプロトコルに従うパケットは、すべて通信許可条件を満たす。
【０１０４】
以下、このような構成の通信システムの作動について説明する。まず、判断部９によるパケットの配送の作動について説明する。判断部９は、ホワイトリスト９１に基づいてパケットの配送を行う。
【０１０５】
図１４に、判断部９が実行する下り転送処理のフローチャートを示す。判断部９は、この下り転送処理を常に実行している。そして、判断部９は、まずステップ８０５で、ルータ７からフロントエンドネットワーク４Ａに送信されたパケットを受信するまで待機する。
【０１０６】
なお、判断部９は、ステップ８０５では、ルータ７からフロントエンドネットワーク４Ａに送信されたすべてのパケットを受信する。したがって、判断部９は、ルータ７からフロントエンドネットワーク４Ａに送信されたパケットの宛先ＭＡＣアドレスが、どのような値であっても、当該パケットを受信する。
【０１０７】
フロントエンドネットワーク４Ａに送信された１つのパケットを受信すると、判断部９は、ステップ８０５でそのパケットを受信した後、ステップ８１０に進み、受信したパケットの内容とホワイトリスト９１とを比較する。続いて判断部９は、ステップ８１５で、ステップ８１０の比較結果に基づいて、当該パケットが異常なパケットであるか否か判定する。
【０１０８】
ホワイトリスト９１に記述された通信許可条件を当該パケットが満たす場合、判断部９は当該パケットが異常なパケットでないと判定する。また、ホワイトリスト９１に記述された通信許可条件を当該パケットが満たさない場合、判断部９は当該パケットが異常なパケットであると判定する。
【０１０９】
通信許可条件を満たすパケットは、ＩＣＳネットワーク４に属する保護対象機器４１〜４４を宛先とするパケットである。通信許可条件を満たす正規なパケットは、保護対象機器４１〜４４を制御したり、保護対象機器４１〜４４から情報を取得したりする目的で生成されるからである。
【０１１０】
したがって、判断部９は、受信したパケットが異常なパケットでないとステップ８１５で判定した場合は、ステップ８２０に進み、当該パケットの内容を変えずそのままＩＣＳネットワーク４に転送すると共に、当該パケットをシャドウネットワーク４Ｂに転送しない。ステップ８２０の後、判断部９はステップ８０５に戻る。
【０１１１】
このようにしてＩＣＳネットワーク４に転送されたパケットは、当該パケット中の宛先ＭＡＣアドレスと同じＭＡＣアドレスを有する保護対象機器で受信される。このようにして受信されたパケットを以下では受信パケットという。
【０１１２】
当該保護対象機器は、受信パケットを受信したことに基づいて、返送用パケットを作成する。この返送用パケットには、宛先ＩＰアドレスとして、当該受信パケットの送信元ＩＰアドレス（例えば、ＯＰＣサーバのＩＰアドレス）が含まれる。またこの返送用パケットには、送信元ＩＰアドレスとして、当該保護対象機器のＩＰアドレスが含まれる。またこの返送用パケットには、宛先ＭＡＣアドレスとして、ルータ７のＭＡＣアドレスが含まれる。またこの返送用パケットには、送信元ＭＡＣアドレスとして、当該保護対象機器のＭＡＣアドレスが含まれる。また当該保護対象機器は、上述のように作成した返送用パケットを、ＩＣＳネットワーク４に送信する。
【０１１３】
判断部９は、下り転送処理と同時並行で、図１５に示す上り転送処理を常時実行している。判断部９は、上り転送処理において、まずステップ９１０で、ＩＣＳネットワーク４からパケットを受信したか否かを判定する。
【０１１４】
判断部９は、ＩＣＳネットワーク４に送信されたパケットのうち、宛先ＭＡＣアドレスがルータ７のＭＡＣアドレスを対象としているすべてのパケットを、受信し、それ以外は受信しない。
【０１１５】
なお、宛先ＭＡＣアドレスがルータ７のＭＡＣアドレスと同じパケットは、宛先ＭＡＣアドレスがルータ７のＭＡＣアドレスを対象としているパケットである。宛先ＭＡＣアドレスがルータ７のＭＡＣアドレスを含むマルチキャストアドレスであるパケットも、宛先ＭＡＣアドレスがルータ７のＭＡＣアドレスを対象としているパケットである。宛先ＭＡＣアドレスがブロードキャストアドレスであるパケットも、宛先ＭＡＣアドレスがルータ７のＭＡＣアドレスを対象としているパケットである。
【０１１６】
判断部９は、ステップ９１０でＩＣＳネットワーク４からパケットを受信していないと判定した場合、ステップ９２０に進み、シャドウネットワーク４Ｂからパケットを受信したか否かを判定する。
【０１１７】
判断部９は、シャドウネットワーク４Ｂに送信されたパケットのうち、宛先ＭＡＣアドレスがルータ７のＭＡＣアドレスを対象としているすべてのパケットを、受信し、それ以外は受信しない。
【０１１８】
判断部９は、ステップ９２０でシャドウネットワーク４Ｂからパケットを受信していないと判定した場合、ステップ９１０に戻る。このように、判断部９は、ＩＣＳネットワーク４からパケットを受信するか、シャドウネットワーク４Ｂからパケットを受信するまで、ステップ９１０、９２０の判定を繰り返す。
【０１１９】
そして判断部９は、ステップ９１０、９２０の繰り返しの間に、上述のように、ＩＣＳネットワーク４の保護対象機器からルータ７宛に送信された返送用パケットを受信したとする。すると判断部９は、ステップ９１０で、ＩＣＳネットワーク４から返送用パケットを受信したと判定し、ステップ９３０に進む。
【０１２０】
判断部９は、ステップ９３０では、受信した上記返送用パケットの内容を変えずそのままフロントエンドネットワーク４Ａを介してルータ７に転送する。これにより、当該パケットは、ルータ７から上記受信パケットの送信元（例えばＯＰＣサーバ）に送信される。判断部９は、ステップ９３０の後、ステップ９１０に戻る。
【０１２１】
また、図１４の下り転送処理のステップ８１５において、判断部９は、当該パケットが異常なパケットであると判定すると、ステップ８２５に進む。このようにステップ３２５に進む場合は、ホワイトリスト９１に記述された通信許可条件を当該パケットが満たさない場合である。
【０１２２】
通信許可条件を満たさないパケットは、ポートスキャン、マルウェア送信等のための、すなわち、ＩＣＳネットワーク４内の保護対象機器４１〜４４を攻撃するための、パケットである可能性が高い。
【０１２３】
このようなパケットについては、ＩＣＳネットワーク４に転送することは危険である。したがって、第１端末１のＨＥ部１１が攻撃者を欺瞞するために複数の仮想ホストを生成しているシャドウネットワーク４Ｂに、当該パケットを転送することが好ましい。
【０１２４】
ステップ８２５では、当該パケットの宛先がＩＣＳネットワーク４内であるか否かを判定する。ＩＣＳネットワーク４に属する保護対象機器４１〜４４のうちどれか１つのＩＰアドレスに、当該パケットに含まれる宛先ＩＰアドレスが一致していれば、当該パケットの宛先はＩＣＳネットワーク４内である。当該パケットに含まれる宛先ＩＰアドレスが、ＩＣＳネットワーク４に属する保護対象機器４１〜４４のうちどの保護対象機器のＩＰアドレスにも、一致していなければ、当該パケットの宛先はＩＣＳネットワーク４内でない。
【０１２５】
なお、ＩＣＳネットワーク４に属する保護対象機器４１〜４４が自機のＩＰアドレスとして使用するＩＰアドレス範囲と、シャドウネットワーク４Ｂに属するホスト（すなわち、第１端末１、第２端末２、仮想ホスト）が自機のＩＰアドレスとして使用するＩＰアドレス範囲とは、重なっていない。つまりＩＣＳネットワーク４中のどの保護対象機器４１〜４４のＩＰアドレスも、シャドウネットワーク４Ｂ中のすべてのホストのＩＰアドレスと異なる。また、判断部９は、ＩＣＳネットワーク４に属するすべての保護対象機器４１〜４４のＩＰアドレスの情報をあらかじめ記憶している。
【０１２６】
当該パケットの宛先がＩＣＳネットワーク４内でない場合、当該パケットを送信した攻撃者側の通信装置は、攻撃対象を選定している段階か、あるいは攻撃対象を誤っている。前者なら、当該パケットはポートスキャンのためのパケットである可能性が高い。後者なら、当該パケットはマルウェアを送るためのパケットである可能性が高い。
【０１２７】
このような場合は、判断部９は、ステップ８３０に進み、当該パケットの内容を変えずそのままシャドウネットワーク４Ｂに転送する。これにより、当該パケット中の宛先ＩＰアドレスを有する仮想ホストがシャドウネットワーク４Ｂ中にあれば、当該パケットを当該仮想ホストが受信する。また、当該パケット中の宛先ＩＰアドレスを有するホストがシャドウネットワーク４Ｂ中になければ、当該パケットはどのホストにも受信されない。
【０１２８】
当該パケットを仮想ホストが受信すると、第１端末１は、第１実施形態の図２のステップ１０５、１１０、１１５、１２０、１２５、１３０、１３５、１４０、３１０、３２０、４１０、４２０に示した作動を行う。この際、第１端末１のＨＥ部１１は、図２のステップ１１５にて、当該パケット（以下、受信パケットという）に対する応答（例えば、ＳＹＮ＋ＡＣＫパケット）のためのパケット（以下、応答パケットという）をシャドウネットワーク４Ｂに送信する。
【０１２９】
この応答パケットには、宛先ＩＰアドレスとして、受信パケット中の送信元ＩＰアドレスが含まれる。また、この応答パケットには、送信元ＩＰアドレスとして、当該仮想ホストのＩＰアドレスが含まれる。また、この応答パケットには、宛先ＭＡＣアドレスとして、ルータ７のＭＡＣアドレスが含まれる。また、この応答パケットには、送信元ＭＡＣアドレスとして、当該仮想ホストのＭＡＣアドレスが含まれる。
【０１３０】
判断部９は、上り転送処理のステップ９１０、９２０の繰り返し中に、この応答パケットがシャドウネットワーク４Ｂに送信されると、当該応答パケットを受信し、ステップ９２０で、シャドウネットワーク４Ｂからパケットを受信したと判定し、ステップ９４０に進む。
【０１３１】
判断部９は、ステップ９４０で、受信した応答パケットの送信元が第２端末２であるか否かを判定する。具体的には、受信した応答パケットの送信元ＩＰアドレスが第２端末２のＩＰアドレスであるか否かを判定する。あるいは、受信した応答パケットの送信元ＭＡＣアドレスが第２端末２のＭＡＣアドレスであるか否かを判定してもよい。判断部９は、第２端末２のＩＰアドレスの情報および第２端末２のＭＡＣアドレスの情報をあらかじめ記憶している。
【０１３２】
この応答パケットの送信元は、上述の通り仮想ホストであるので、第２端末２でない。したがって、判断部９は、受信した応答パケットの送信元が第２端末２でないと判定してステップ９５０に進む。
【０１３３】
ステップ９５０では、判断部９は、受信した上記応答パケットの内容を変えずそのままフロントエンドネットワーク４Ａを介してルータ７に転送する。これにより、当該パケットは、ルータ７から上記受信パケットの送信元に、すなわち、攻撃者側の通信装置に、送信される。判断部９は、ステップ９５０の後、ステップ９１０に戻る。
【０１３４】
このように、攻撃対象を選定している段階にあるか、あるいは攻撃対象を誤っている攻撃者の通信装置から、ＩＣＳネットワーク４内でない宛先のパケットを受信した場合に、判断部９は、当該パケットをシャドウネットワーク４Ｂに送信する。これにより、第１実施形態と同様に、仮想ホストの再構成により、攻撃者を欺瞞できる。
【０１３５】
また、判断部９は、ステップ８２５で、当該パケットの宛先がＩＣＳネットワーク４内であると判定した場合、ステップ８３５に進む。攻撃者の通信装置からのパケットの宛先がＩＣＳネットワーク４内の機器である場合、当該パケットを当該機器に受信させることは危険である。
【０１３６】
判断部９は、ステップ８３５で、当該パケットの宛先ＩＰアドレスの内容を、ＩＣＳネットワーク４内の当該機器のＩＰアドレスから、第２端末２のＩＰアドレスに、書き換える。
【０１３７】
続いて判断部９は、ステップ８４０で、当該パケットの宛先ＭＡＣアドレスの内容を、ＩＣＳネットワーク４内の当該機器のＭＡＣアドレスから、第２端末２のＭＡＣアドレスに、書き換える。
【０１３８】
続いてステップ８４５では、ステップ８３５、８４０で書き換えられた当該パケットをシャドウネットワーク４Ｂに転送する。このようにしてシャドウネットワーク４Ｂに転送された当該パケットは、第２端末２によって受信される。当該パケットの宛先ＭＡＣアドレスが第２端末２のＭＡＣアドレスだからである。なお、ステップ８３５で宛先ＩＰアドレスを第２端末２のＩＰアドレスに変更するのは、第２端末２が実行する処理において、当該パケット中の宛先ＩＰアドレスに基づいて、当該パケットが自機宛か否か判定される場合があるからである。
【０１３９】
判断部９は、ステップ８４５に続いて、ステップ８５０で、書き換えられる前の宛先ＩＰアドレスと書き換えられる前の宛先ＭＡＣアドレスとの組を、元宛先情報として記憶する。書き換えられる前の宛先ＩＰアドレスは、当該パケットが書き換えられる前における当該パケットの宛先ＩＰアドレス、すなわち、当該パケットを判断部９が受信した時点の当該パケットの宛先ＩＰアドレスである。書き換えられる前の宛先ＭＡＣアドレスは、当該パケットが書き換えられる前における当該パケットの宛先ＭＡＣアドレス、すなわち、当該パケットを判断部９が受信した時点の当該パケットの宛先ＭＡＣアドレスである。したがって、判断部９は、当該パケットが当初宛先となっていたＩＣＳネットワーク４内の機器のＩＰアドレスとＭＡＣアドレスの組を、元宛先情報として記憶する。
【０１４０】
第２端末２の捕獲部２２は、このようにして受信した当該パケットに基づいて、第１実施形態の図３のステップ７１０、７２０に示した処理を行うことで、マルウェアの捕獲を試みる。これにより、当該パケットがマルウェアを送信するためのものである場合、第２端末２がマルウェアを捕獲できる。また、第２端末２は、ステップ７１０において、マルウェア捕獲のために、当該パケット（以下、受信パケットという）に応答するパケット（以下、応答パケットという）をシャドウネットワーク４Ｂに送信する場合がある。
【０１４１】
この応答パケットは、宛先ＩＰアドレスとして、受信パケット中の送信元ＩＰアドレスが含まれる。また、この応答パケットには、送信元ＩＰアドレスとして、第２端末２のＩＰアドレスが含まれる。また、この応答パケットには、宛先ＭＡＣアドレスとして、ルータ７のＭＡＣアドレスが含まれる。また、この応答パケットには、送信元ＭＡＣアドレスとして、第２端末２のＭＡＣアドレスが含まれる。
【０１４２】
判断部９は、上り転送処理のステップ９１０、９２０の繰り返し中に、この応答パケットがシャドウネットワーク４Ｂに送信されると、当該応答パケットを受信し、ステップ９２０で、シャドウネットワーク４Ｂからパケットを受信したと判定し、ステップ９４０に進む。
【０１４３】
判断部９は、ステップ９４０で、受信した応答パケットの送信元が第２端末２であるか否かを判定する。この応答パケットの送信元は、上述の通り第２端末２である。したがって、判断部９は、受信した応答パケットの送信元が第２端末２であると判定してステップ９６０に進む。
【０１４４】
判断部９は、ステップ９６０で、当該応答パケットの送信元ＩＰアドレスを書き換える。具体的には、ステップ８５０で元宛先情報として記録されたＩＰアドレスを、当該応答パケットの送信元ＩＰアドレスに上書きする。
【０１４５】
続いて判断部９は、ステップ９７０で、当該応答パケットの送信元ＭＡＣアドレスを書き換える。具体的には、ステップ８５０で元宛先情報として記録されたＭＡＣアドレスを、当該応答パケットの送信元ＭＡＣアドレスに上書きする。
【０１４６】
これにより、当該応答パケットは、当初の攻撃者の標的となっていたＩＣＳネットワーク４中の機器から送信されたものであるように偽装され、かつ、第２端末２から送信されたものであることを示す情報が除去される。
【０１４７】
続いて判断部９は、ステップ９８０で、ステップ９６０、９７０にて書き換えられた当該パケットを、ルータ７に転送する。これにより、当該パケットは、ルータ７から上記受信パケットの送信元に、すなわち、攻撃者側の通信装置に、送信される。これにより、攻撃者側の通信装置は、第２端末２にマルウェアを捕獲されているにもかかわらず、ＩＣＳネットワーク４内のホストを攻撃していると騙される。判断部９は、ステップ９８０の後、ステップ９１０に戻る。
【０１４８】
以上説明した通り、本実施形態では、１つ以上の仮想ホストが属するシャドウネットワーク４Ｂとは異なるＩＣＳネットワーク４に、保護対象の機器４１〜４４が属する。そして、判断部９は、パケットの内容に基づいて、パケットの転送先をシャドウネットワーク４ＢとＩＣＳネットワーク４の間で切り替える。したがって、保護すべき機器４１〜４４が属するＩＣＳネットワーク４に攻撃のためのパケットが流れにくくなる。その結果、保護すべき機器４１〜４４の安全性が向上する。
【０１４９】
また、判断部９は、パケットが正常であるか否かを判定し、パケットが正常である場合、パケットをＩＣＳネットワーク４に転送し、パケットが異常である場合、パケットをシャドウネットワーク４Ｂに転送する。これにより、ＩＣＳネットワーク４内の保護対象の機器４１〜４４が攻撃される可能性が低下する。
【０１５０】
また、判断部９は、パケットが異常であり、かつ、パケットの宛先が保護対象の機器４１〜４４である場合、パケットに含まれるパケットの宛先を、第１のネットワーク上の所定の第２端末２に書き換え、書き換えられたパケットをシャドウネットワーク４Ｂに転送する。その後判断部９は、第２端末２から応答パケットを受信した場合、応答パケットに含まれるパケットの送信元を、保護対象の機器に書き換え、書き換えられた応答パケットを外部のネットワーク４Ｘに送信する。これにより、攻撃者側の通信装置は、目的の攻撃先の機器にパケットが届いていないにもかかわらず、当該機器を攻撃していると騙される。
【０１５１】
また、判断部９は、パケットの宛先が基本仮想ホストである場合、パケットをシャドウネットワーク４Ｂに転送する。これにより、攻撃相手の欺瞞が第１実施形態と同様に可能になる。
【０１５２】
なお、ルータ７は、ＩＣＳネットワーク４内のすべての機器４１〜４４のＩＰアドレスおよびＭＡＣアドレス、第１端末１のＩＰアドレスおよびＭＡＣアドレス、第２端末２のＩＰアドレスおよびＭＡＣアドレスの情報を、あらかじめ記憶していてもよい。
【０１５３】
あるいは、ルータ７は、ＩＣＳネットワーク４内のすべての機器４１〜４４のＩＰアドレスおよびＭＡＣアドレスの情報を、それら機器４１〜４４から送信されるパケット（例えば、ＡＲＰリクエスト、ＡＲＰリプライ）によって、取得しても良い。
【０１５４】
また、ルータ７は、第１端末１のＨＥ部１１によって生成されるすべての仮想ホストのＩＰアドレスおよびＭＡＣアドレスの情報を、それら仮想ホストから送信されるパケット（例えば、ＡＲＰリクエスト、ＡＲＰリプライ）によって、取得しても良い。
【０１５５】
（他の実施形態）
なお、本発明は上記した実施形態に限定されるものではなく、適宜変更が可能である。例えば、以下の変形例のうち明らかに矛盾する組み合わせを除く任意の組み合わせを、上記実施形態に適用することができる。
【０１５６】
（変形例１）
上記実施形態において、ＨＥ部１１は、ステップ１０５を実行する前に、ＩＣＳネットワーク４のポートスキャンを行うことで、ＩＣＳネットワーク４上に接続された第１端末１以外のすべての通信端末のポート構成を検出してもよい。ポート構成が検出される通信端末は、例えば、上述の制御機器および制御対象機器である。ポート構成が検出される通信端末は、１つでもよいし、複数でもよい。
【０１５７】
この場合、ＨＥ部１１は、ステップ１０５において、ポート構成を検出した通信端末毎に、当該通信端末のポート構成と同じポート構成を有すると共に当該通信端と異なるＩＰアドレスを有する仮想ホストを生成してもよい。ステップ１３５でも同様である。
【０１５８】
このように、既にＩＣＳネットワーク４上にある１個以上の通信端末と同じポート構成で１個以上の仮想ホストを生成することで、攻撃者を１個以上の仮想ホストに誘導し易くすることができる。また、このようにすることで、第１のネットワーク上にある端末数が仮想的に約２倍になるので、攻撃者が攻撃対象を絞り難くすることができる。
【０１５９】
（変形例２）
上記実施形態においては、ＨＥ部１１は、第２種のポートＰ２にリクエストがあった場合にのみ、当該第２種のポートＰ２への通信がマルウェア送信の兆候であれば、ホスト切替部１２を起動している。
【０１６０】
しかし、必ずしもこのようになっておらずともよい。例えば、ＨＥ部１１は、第１種のポートＰ１にリクエストがあった場合でも、当該第１種のポートＰ１への通信がマルウェア送信の兆候であれば、ホスト再構成部１３を起動することなくホスト切替部１２を起動してもよい。
【０１６１】
（変形例３）
上記実施形態において、クラウド６は、ＨＥ部１１、ホスト切替部１２、ホスト再構成部１３、接続制御部２１、捕獲部２２の作動を制御するようになっていてもよい。
【０１６２】
（変形例４）
上記実施形態においては、ＨＥ部１１によって生成される仮想ホストの数は複数個である。しかし、ＨＥ部１１によって生成される仮想ホストが１個だけであってもよい。
【０１６３】
（変形例５）
上記早期警戒システムの適用対象は、ＩＣＳネットワーク４に限らず、他のネットワークであってもよい。
【０１６４】
（変形例６）
上記第２実施形態において、第１端末１、第２端末２、判断部９、シャドウネットワーク４Ｂのうち任意の１つまたは任意の複数の組み合わせは、仮想的ではなく実際のハードウェアとして実現されていてもよい。
【０１６５】
例えば、判断部９と第１端末１とが互いに別のハードウェアとして実現され得る。この場合、第１端末１と判断部９が、通信端末を構成する。
【０１６６】
また、第１端末１、第２端末２、判断部９が互いに別のハードウェアとして実現され得る。この場合、第１端末１および第２端末２は、シャドウネットワーク４ＢではなくＩＣＳネットワーク４に属してもよい。
【０１６７】
（変形例７）
上記第２実施形態における通信システムに対してルータ７を廃し、判断部９がルータ７の機能を具有していてもよい。この場合、判断部９のルータを実現する部分は、シャドウネットワーク４ＢにＡＲＰリクエストを送信してＡＲＰリプライを受信することで、シャドウネットワーク４Ｂ内の仮想ホストのＭＡＣアドレスの情報を取得することができる。
【符号の説明】
【０１６８】
Ａ、Ｂ、Ｃ、Ｄ、Ｐ、Ｑ、Ｒ、Ｓ、Ｔ    仮想ホスト
４                                    ＩＣＳネットワーク
４Ｂ                                  シャドウネットワーク
６                                    クラウド
１１                                  ホストエミュレーション部
１２                                  ホスト切替部
１３                                  ホスト再構成部
１４                                  外部通信部
２２                                  捕獲部
４１〜４４                            保護対象機器
【図１】
2018073397.tif 000003
【図２】
2018073397.tif 000004
【図３】
2018073397.tif 000005
【図４】
2018073397.tif 000006
【図５】
2018073397.tif 000007
【図６】
2018073397.tif 000008
【図７】
2018073397.tif 000009
【図８】
2018073397.tif 000010
【図９】
2018073397.tif 000011
【図１０】
2018073397.tif 000012
【図１１】
2018073397.tif 000013
【図１２】
2018073397.tif 000014
【図１３】
2018073397.tif 000015
【図１４】
2018073397.tif 000016
【図１５】
2018073397.tif 000017