(57)【要約】【課題】ＩＴネットワークおよびＯＴネットワークそれぞれの監視を容易に行うこと。【解決手段】監視装置１０は、ＩＴネットワーク４０およびＯＴネットワーク５０の両方から各ネットワークで送受信されたパケットの通信ログをファイアウォール２０から取得する。そして、監視装置１０は、取得された通信ログからパケットの宛先数、パケットのデータサイズであるパケットサイズおよびダウンロードのデータサイズとアップロードのデータサイズとの比率のうち、いずれか一つまたは複数に基づいて、通信ログがＩＴネットワーク４０の通信ログであるのかＯＴネットワーク５０の通信ログであるのかを判定する。【選択図】図１
2018007179.tif 000002
【特許請求の範囲】
【請求項１】
ＩＴネットワークおよびＯＴネットワークの両方から各ネットワークで送受信されたパケットの通信ログを取得する取得手段と、
前記取得手段によって取得された通信ログからパケットの宛先数、パケットサイズおよびダウンロードのデータサイズとアップロードのデータサイズとの比率のうち、いずれか一つまたは複数に基づいて、前記通信ログがＩＴネットワークの通信ログであるのかＯＴネットワークの通信ログであるのかを判定する判定手段と、
を備えることを特徴とする監視装置。
【請求項２】
前記判定手段は、送信元が同一の通信ログごとに、前記宛先数、前記パケットサイズおよび前記比率をそれぞれ算出し、算出した前記宛先数、前記パケットサイズおよび前記比率に応じて、ＯＴネットワークの通信ログの特徴の度合いを示すスコアを計算し、該スコアが所定の閾値超えている場合には、前記通信ログがＯＴネットワークの通信ログであると判定し、前記スコアが所定の閾値以下である場合には、前記通信ログがＩＴネットワークの通信ログであると判定することを特徴とする請求項１に記載の監視装置。
【請求項３】
ＯＴネットワークの通信ログのうち、送信元、送信先および通信プロトコルが同一のパケットごとに、パケットサイズとパケットの通信頻度とパケット間の通信間隔とを学習し、学習データを生成する学習手段と、
検知対象の通信ログを取得し、該検知対象の通信ログにおけるパケットと、該パケットと送信元、送信先および通信プロトコルが同一の学習データとを比較し、該比較結果に応じて、前記検知対象の通信ログの異常を検知する検知手段と、
を備えることを特徴とする監視装置。
【請求項４】
前記検知手段は、前記検知対象の通信ログと前記学習データとを比較した結果、前記検知対象の通信ログが前記学習データよりもパケットサイズが小さく、通信頻度が少なく、且つ、通信頻度が長いと判定した場合には、前記ＯＴネットワークにおいて障害部位が存在する可能性があるものと判定して、前記検知対象の通信ログの異常を検知し、前記検知対象の通信ログが学習データよりもデータサイズが大きく、通信頻度が多く、且つ、インターバルが短いと判定した場合には、前記ＯＴネットワークにおいて成りすましやマルウェアの感染後の活動の可能性があるものと判定して、前記通信ログの異常を検知することを特徴とする請求項３に記載の監視装置。
【請求項５】
ＯＴネットワークにおける各デバイスの経路情報を受信する受信手段と、
前記経路情報に基づいて、前記ＯＴネットワークにおけるデバイス間の接続関係を示すトポロジ情報を生成する生成手段と、
前記生成手段によって生成されたトポロジ情報から該トポロジ情報の変動を監視し、前記トポロジ情報の変動に基づいて、前記ＯＴネットワークにおいて障害が発生したデバイスを検出する検出手段と、
を備えることを特徴とする監視装置。
【請求項６】
前記受信手段は、前記経路情報とともに、デバイス間の電波強度を示す隣接ノード情報を受信し、
前記検出手段は、前記トポロジ情報の変動に基づいて、前記ＯＴネットワークにおいて障害が発生したデバイスを検出するとともに、前記隣接ノード情報からデバイス間の電波強度を監視し、デバイス間の電波強度の品質の悪いデバイスを前記ＯＴネットワークにおいて障害が発生したデバイスを検出することを特徴とする請求項５に記載の監視装置。
【請求項７】
前記検出手段は、前記ＯＴネットワークにおいて障害が発生したデバイスを検出し、障害が発生した各デバイスについて、所定期間において障害発生した際の他のデバイスとの接続数を計数し、前記所定期間における該接続数の合計が所定の閾値を超えたデバイスを、接続状態が不安定な状態にある上位デバイスとして特定することを特徴とする請求項５に記載の監視装置。
【請求項８】
前記検出手段は、前記ＯＴネットワークにおいて障害が発生したデバイスを検出し、障害が発生した各デバイスについて、所定期間内において各デバイスの障害が発生した回数をカウントし、該回数が所定の閾値を超えたデバイスを特定することを特徴とする請求項５に記載の監視装置。
【請求項９】
監視装置によって実行される監視方法であって、
ＩＴネットワークおよびＯＴネットワークの両方から各ネットワークで送受信されたパケットの通信ログを取得する取得工程と、
前記取得工程によって取得された通信ログからパケットの宛先数、パケットサイズおよびダウンロードのデータサイズとアップロードのデータサイズとの比率のうち、いずれか一つまたは複数に基づいて、前記通信ログがＩＴネットワークの通信ログであるのかＯＴネットワークの通信ログであるのかを判定する判定工程と、
を含んだことを特徴とする監視方法。
【請求項１０】
監視装置によって実行される監視方法であって、
ＯＴネットワークの通信ログのうち、送信元、送信先および通信プロトコルが同一のパケットごとに、パケットサイズとパケットの通信頻度とパケット間の通信間隔とを学習し、学習データを生成する学習工程と、
検知対象の通信ログを取得し、該検知対象の通信ログにおけるパケットと、該パケットと送信元、送信先および通信プロトコルが同一の学習データとを比較し、該比較結果に応じて、前記検知対象の通信ログの異常を検知する検知工程と、
を含んだことを特徴とする監視方法。
【請求項１１】
監視装置によって実行される監視方法であって、
ＯＴネットワークにおける各デバイスの経路情報を受信する受信工程と、
前記経路情報に基づいて、前記ＯＴネットワークにおけるデバイス間の接続関係を示すトポロジ情報を生成する生成工程と、
前記生成工程によって生成されたトポロジ情報から該トポロジ情報の変動を監視し、前記トポロジ情報の変動に基づいて、前記ＯＴネットワークにおいて障害が発生したデバイスを検出する検出工程と、
を含んだことを特徴とする監視方法。
【請求項１２】
ＩＴネットワークおよびＯＴネットワークの両方から各ネットワークで送受信されたパケットの通信ログを取得する取得ステップと、
前記取得ステップによって取得された通信ログからパケットの宛先数、パケットサイズおよびダウンロードのデータサイズとアップロードのデータサイズとの比率のうち、いずれか一つまたは複数に基づいて、前記通信ログがＩＴネットワークの通信ログであるのかＯＴネットワークの通信ログであるのかを判定する判定ステップと、
をコンピュータに実行させることを特徴とする監視プログラム。
【請求項１３】
ＯＴネットワークの通信ログのうち、送信元、送信先および通信プロトコルが同一のパケットごとに、パケットサイズとパケットの通信頻度とパケット間の通信間隔とを学習し、学習データを生成する学習ステップと、
検知対象の通信ログを取得し、該検知対象の通信ログにおけるパケットと、該パケットと送信元、送信先および通信プロトコルが同一の学習データとを比較し、該比較結果に応じて、前記検知対象の通信ログの異常を検知する検知ステップと、
をコンピュータに実行させることを特徴とする監視プログラム。
【請求項１４】
ＯＴネットワークにおける各デバイスの経路情報を受信する受信ステップと、
前記経路情報に基づいて、前記ＯＴネットワークにおけるデバイス間の接続関係を示すトポロジ情報を生成する生成ステップと、
前記生成ステップによって生成されたトポロジ情報から該トポロジ情報の変動を監視し、前記トポロジ情報の変動に基づいて、前記ＯＴネットワークにおいて障害が発生したデバイスを検出する検出ステップと、
をコンピュータに実行させることを特徴とする監視プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、監視装置、監視方法および監視プログラムに関する。
【背景技術】
【０００２】
近年、ＩＴ（Information  Technology）ネットワークとＯＴ（Operational  Technology）ネットワークとを融合させ、両ネットワーク間のデータを相互に活用することが考えられている。ここで、ＯＴネットワークの対象となる産業は、例えば、センサネットワーク等の定期的にセンシング情報をサーバにアップロードするようなケースを想定した工場内ネットワークや製造管理、環境センシング等といった産業である。
【０００３】
ＩＴネットワークおよびＯＴネットワークには、それぞれ異なる脅威があり、その異なる脅威に対して、それぞれのネットワークに向けてセキュリティアプライアンスが存在し、セキュリティソリューションが別々に存在する。
【０００４】
例えば、ＩＴネットワークの場合では、ＦＷ（FireWall）、ＩＰＳ（Intrusion  Prevention  System）、ＷＡＦ（Web  Application  Firewall）等のセキュリティアプライアンスによって、攻撃を検知して防御する手法が取られている。さらに、ＳＩＥＭ（Security  Information  and  Event  Management）エンジンのようにセキュリティアプライアンスからの膨大なログを分析することによってセキュリティアプライアンスでは検知できなかった潜在脅威を検知する手法も知られている。
【０００５】
また、例えば、ＯＴネットワークの場合では、各種産業プロトコル向けのセキュリティアプライアンス製品を導入して監視することが知られている。また、ＯＴネットワークにおける各デバイスのセンサ情報等を監視するマネジメントサーバが死活監視機能を有し、該死活監視機能によりａｖａｉｌａｂｉｌｉｔｙの可視化を補助することも考えられる。
【先行技術文献】
【非特許文献】
【０００６】
【非特許文献１】“融合するＩＴとＯＴ”、［online］、エヌ・ティ・ティ・コムウェア株式会社、［平成28年6月30日検索］、インターネット＜https://www.nttcom.co.jp/comware_plus/special/special02_1.html＞
【発明の概要】
【発明が解決しようとする課題】
【０００７】
上記した従来の技術では、ＩＴネットワークおよびＯＴネットワークそれぞれの監視を容易に行うことができないという課題があった。つまり、従来の技術では、ＩＴネットワークにはＩＴネットワーク用のセキュリティアプライアンスを設け、ＯＴネットワークにはＯＴネットワーク用のセキュリティアプライアンスを設けていた。このように、それぞれに専用のセキュリティ対策設備が必要であったため、両ネットワークの監視を容易に行うことが難しいという問題があった。
【課題を解決するための手段】
【０００８】
上述した課題を解決し、目的を達成するために、本発明の監視装置は、ＩＴネットワークおよびＯＴネットワークの両方から各ネットワークで送受信されたパケットの通信ログを取得する取得手段と、前記取得手段によって取得された通信ログからパケットの宛先数、パケットサイズおよびダウンロードのデータサイズとアップロードのデータサイズとの比率のうち、いずれか一つまたは複数に基づいて、前記通信ログがＩＴネットワークの通信ログであるのかＯＴネットワークの通信ログであるのかを判定する判定手段と、を備えることを特徴とする。
【０００９】
また、本発明の監視方法は、監視装置によって実行される監視方法であって、ＩＴネットワークおよびＯＴネットワークの両方から各ネットワークで送受信されたパケットの通信ログを取得する取得工程と、前記取得工程によって取得された通信ログからパケットの宛先数、パケットサイズおよびダウンロードのデータサイズとアップロードのデータサイズとの比率のうち、いずれか一つまたは複数に基づいて、前記通信ログがＩＴネットワークの通信ログであるのかＯＴネットワークの通信ログであるのかを判定する判定工程と、を含んだことを特徴とする。
【００１０】
また、本発明の監視プログラムは、ＩＴネットワークおよびＯＴネットワークの両方から各ネットワークで送受信されたパケットの通信ログを取得する取得ステップと、前記取得ステップによって取得された通信ログからパケットの宛先数、パケットサイズおよびダウンロードのデータサイズとアップロードのデータサイズとの比率のうち、いずれか一つまたは複数に基づいて、前記通信ログがＩＴネットワークの通信ログであるのかＯＴネットワークの通信ログであるのかを判定する判定ステップと、をコンピュータに実行させることを特徴とする。
【発明の効果】
【００１１】
本発明によれば、ＩＴネットワークおよびＯＴネットワークそれぞれの監視を容易に行うことができるという効果を奏する。
【図面の簡単な説明】
【００１２】
【図１】図１は、第１の実施形態に係る通信システムの全体構成を示す概略図である。
【図２】図２は、第１の実施形態に係る監視装置の構成例を示すブロック図である。
【図３】図３は、スコア情報記憶部が記憶するテーブルの一例を示す図である。
【図４】図４は、スコア情報記憶部が記憶するテーブルの一例を示す図である。
【図５】図５は、スコア情報記憶部が記憶するテーブルの一例を示す図である。
【図６】図６は、スコア情報記憶部が記憶するテーブルの一例を示す図である。
【図７】図７は、学習データ記憶部が記憶する学習データの一例を示す図である。
【図８】図８は、ＯＴネットワークにおける障害部位を検出する処理を説明する図である。
【図９】図９は、第１の実施形態に係る監視装置の処理の概要を説明する図である。
【図１０】図１０は、第１の実施形態に係る監視装置における学習処理の流れの一例を示すフローチャートである。
【図１１】図１１は、第１の実施形態に係る監視装置における監視処理の流れの一例を示すフローチャートである。
【図１２】図１２は、監視プログラムを実行するコンピュータを示す図である。
【発明を実施するための形態】
【００１３】
以下に、本願に係る監視装置、監視方法および監視プログラムの実施の形態を図面に基づいて詳細に説明する。なお、この実施の形態により本願に係る監視装置、監視方法および監視プログラムが限定されるものではない。
【００１４】
（第１の実施形態）
図１は、第１の実施形態に係る通信システムの構成の一例を示す図である。第１の実施形態に係る通信システムは、監視装置１０、ファイアウォール２０、複数のゲートウェイ３０Ａ〜３０Ｃ、ＩＴネットワーク４０および複数のＯＴネットワーク５０Ａ〜５０Ｃを有する。また、各ゲートウェイ３０Ａ〜３０Ｃは、ＩＰ（Internet  Protocol）ネットワーク６０を介してファイアウォール２０と接続されている。また、監視装置１０は、インターネット７０を介してファイアウォール２０と接続されている。なお、図１に示す構成は一例にすぎず、具体的な構成や各装置の数は特に限定されない。また、複数のゲートウェイ３０Ａ〜３０Ｃ、複数のＯＴネットワーク５０Ａ〜５０Ｃについて、特に区別なく説明する場合には、適宜ゲートウェイ３０、ＯＴネットワーク５０と記載する。
【００１５】
このような第１の実施形態に係る通信システムは、例えば、企業システムを中心に形成されてきたＩＴネットワーク４０と、産業分野におけるデバイスのモニタリングや運用を制御するＯＴネットワーク５０とが連携するシステムである。例えば、かかるＩＴネットワーク４０においては、会社における従業員等が使用するＰＣ（Personal  Computer）等の端末が設けられ、ＩＴネットワーク４０内の端末同士の通信やインターネット７０上のサーバとの通信が行われる。また、ＯＴネットワーク５０においては、例えば、ビルや工場において設けられたビルの設備や工場の機械がＩＰネットワーク６０上のサーバ（図示略）で管理されるとともに、設備や機械に設置されたセンサのセンサ情報をインターネット７０上のサーバに通知することで、社会インフラシステムの効率化やファクトリーオートメーションを実現している。
【００１６】
ＩＴネットワーク４０は、例えば、ＩＰによってデータの送受信を行う通信ネットワークであって、ＩＰＳ、ＷＡＦ、Ｓａｎｄｂｏｘ等のセキュリティアプライアンスが設けられている。また、ＩＴネットワーク４０では、例えば、ＩＴネットワーク４０内の各端末がＷｅｂサイトにアクセスする等の際に、ファイアウォール２０を介してインターネット７０のサーバ等との間でパケットを送受信する。
【００１７】
ＯＴネットワーク５０Ａ〜５０Ｃは、例えば、ＩｏＴ（Internet  of  Things）デバイスが接続された、ＩｏＴデバイスのためのネットワークである。ここで、ＯＴネットワーク５０の対象となる産業は、例えば、センサネットワーク等の定期的にセンシング情報をサーバにアップロードするようなケースを想定した工場内ネットワークや製造物管理、環境センシング等といった産業である。ＯＴネットワーク５０Ａ〜５０Ｃは、それぞれゲートウェイ３０Ａ〜３０Ｃを有し、ＩＰネットワーク６０上のサーバ（図示略）で管理されている。また、ＯＴネットワーク５０では、例えば、ＯＴネットワーク５０内のセンサから収集したセンサ情報等を通知する等の際に、ファイアウォール２０を介してインターネット７０のサーバ等との間でパケットを送受信する。
【００１８】
ＯＴネットワーク５０Ａは、例えば、ビルおよび工場のオートメーション、ホームコントロール、電気やガスのモニタリング等の設備制御のオートメーションシステムとして、ＬｏｎＷｏｒｋｓが適用されているネットワークである。また、ＯＴネットワーク５０Ｂは、例えば、ビルディングオートメーションと制御ネットワークのための通信プロトコルとして、Ｂａｃｎｅｔ（Building  Automation  and  Control  Networking  protocol）が適用されているネットワークである。また、ＯＴネットワーク５０Ｃは、例えば、電力会社や水道施設などの工業分野でよく利用されるＳＣＡＤＡ（Supervisory  Control  And  Data  Acquisition）の通信プロトコルとして、ＤＮＰ（Distributed  Network  Protocol）が適用されているネットワークである。
【００１９】
ファイアウォール２０は、ＩＴネットワーク４０およびＯＴネットワーク５０に接続されており、ＩＴネットワーク４０およびＯＴネットワーク５０それぞれにおいて送受信されたパケットの通信ログを監視装置１０に送信する。なお、図１の例では、ＩＴネットワーク４０およびＯＴネットワーク５０が同一のファイアウォール２０に接続されているが、これに限定されるものではなく、ＩＴネットワーク４０およびＯＴネットワーク５０がそれぞれ異なるファイアウォール２０に接続されていてもよい。ゲートウェイ３０Ａ〜３０Ｃは、各ＯＴネットワーク５０Ａ〜５０Ｃにおいて、ＩＰネットワーク６０との境界に配置される中継装置である。
【００２０】
監視装置１０は、例えば、ＳＩＥＭエンジンが適用されたサーバ装置である。監視装置１０は、例えば、ＳＩＥＭエンジンにより通信ログを分析して攻撃の痕跡を発見する等のＳＩＥＭサービスを提供する。
【００２１】
また、監視装置１０は、ＩＴネットワーク４０およびＯＴネットワーク５０の両方から各ネットワークで送受信されたパケットの通信ログをファイアウォール２０から取得する。そして、監視装置１０は、取得された通信ログからパケットの宛先数、パケットのデータサイズであるパケットサイズおよびダウンロードのデータサイズとアップロードのデータサイズとの比率のうち、いずれか一つまたは複数に基づいて、通信ログがＩＴネットワーク４０の通信ログであるのかＯＴネットワーク５０の通信ログであるのかを判定する。
【００２２】
また、監視装置１０は、ＯＴネットワーク５０の通信ログのうち、送信元、送信先および通信プロトコルが同一のパケットごとに、パケットサイズとパケットの通信頻度とパケット間の通信間隔とを学習し、学習データを生成する。そして、監視装置１０は、ＯＴネットワーク５０における異常の有無を検知するための検知対象の通信ログを取得し、該検知対象の通信ログにおけるパケットと、該パケットと送信元、送信先および通信プロトコルが同一の学習データとを比較し、該比較結果に応じて、検知対象の通信ログの異常を検知する。
【００２３】
また、監視装置１０は、ＯＴネットワーク５０における各デバイスの経路情報を受信する。そして、監視装置１０は、経路情報に基づいて、ＯＴネットワーク５０におけるデバイス間の接続関係を示すトポロジ情報を定期的に生成し、定期的に生成されたトポロジ情報から該トポロジ情報の変動を検出する。そして、監視装置１０は、監視されたトポロジの変動に基づいて、ＯＴネットワーク５０において障害が発生したデバイスを検出する。
【００２４】
なお、ＯＴネットワーク５０のセキュリティについては、ＡＩＣ（availability、integrity、confidentiality）の順でセキュリティ脅威を重視しており、機器正常性、人為ミスによる障害、成りすましによる内部犯行等の脅威を含むＡＩＣの順序での脅威に注視することが一般的である。また、ＩＴネットワーク４０のセキュリティについては、ＣＩＡ（confidentiality、integrity、availability）の順でセキュリティ脅威を重視しており、いわゆる標的型攻撃等に対する一般的なサイバーセキュリティを想定したＳＩＥＭ分析等によりセキュリティの対策が一般的に行われている。
【００２５】
［監視装置の構成］
次に、図２を用いて、図１に示した監視装置１０の構成を説明する。図２は、第１の実施形態に係る監視装置の構成例を示すブロック図である。図２に示すように、この監視装置１０は、通信処理部１１、入力部１２、出力部１３、制御部１４および記憶部１５を有する。
【００２６】
また、監視装置１０は、ファイアウォール２０における通信ログがＩＴネットワーク４０の通信ログであるかＯＴネットワーク５０の通信ログであるかを判別することができる。また、監視装置１０は、通常利用時におけるＯＴネットワーク５０の通信ログを学習して学習データを生成し、ＯＴネットワーク５０の通信ログと学習データを用いて、ＯＴネットワークにおける異常検知を行うことができる。さらに、監視装置１０は、ＯＴネットワーク５０における経路情報等からトポロジ情報を生成し、該トポロジ情報の変動から障害部位を検出することができる。以下に監視装置１０が有する各部の処理を説明する。
【００２７】
通信処理部１１は、接続されるファイアウォール２０やゲートウェイ３０との間でやり取りする各種情報に関する通信を制御する。例えば、通信処理部１１は、ファイアウォール２０からＩＴネットワーク４０およびＯＴネットワーク５０の両方から各ネットワークで送受信されたパケットの通信ログを受信する。また、例えば、通信処理部１１は、ゲートウェイ３０からＯＴネットワーク５０におけるデバイス間の接続関係を示すトポロジ情報を受信する。
【００２８】
入力部１２は、キーボードやマウスなどの入力デバイスであり、管理者から各種情報の入力操作を受付ける。出力部１３は、ディスプレイなどの出力デバイスであり、各種情報を出力する。
【００２９】
また、記憶部１５は、制御部１４による各種処理に必要なデータおよびプログラムを格納するが、特に本発明に密接に関連するものとしては、スコア情報記憶部１５ａと、学習データ記憶部１５ｂと、ＯＴ／ＩＴリスト記憶部１５ｃとを有する。例えば、記憶部１５は、ＲＡＭ（Random  Access  Memory）、フラッシュメモリ（Flash  Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置などである。
【００３０】
スコア情報記憶部１５ａは、後述する判定部１４ｂによってＯＴネットワーク５０の通信ログの特徴の度合いを示すスコアが計算される際に参照されるテーブルを記憶する。ここで、以下に説明する各テーブルは、通信ログがＯＴネットワーク５０の通信ログであるかＩＴネットワーク４０の通信ログであるかを判別するためのものである。ここで、ＩＴネットワーク４０の通信ログとＯＴネットワーク５０の通信ログとでは、概ね以下のように異なる特徴を有しているため、本発明者はＩＴネットワーク４０の通信ログとＯＴネットワーク５０の通信ログとを区別できるという知見を得た。例えば、ＩＴネットワーク４０において送受信されるパケットは、データサイズは様々であるが、数キロバイトから数メガバイトの範囲が多く、一方ＯＴネットワーク５０において送受信されるパケットは数バイトであることが多い。
【００３１】
また、ＩＴネットワーク４０において送受信されるパケットは、ダウンロードパケットのデータサイズがアップロードパケットのデータサイズよりも大きく、一方ＯＴネットワーク５０において送受信されるパケットは、ダウンロードパケットのデータサイズがアップロードパケットのデータサイズよりも小さいことが多い。これは、ＯＴネットワーク５０におけるダウンロードパケットはサーバからの生死監視や設定データが多いため、データサイズが極めて小さくなる一方、アップロードパケットはサーバへのセンサデータが多いためであり、センサデータ（監視カメラデータ等の例外を除く）はＩＴネットワーク４０におけるダウンロードパケット（例えば、Ｗｅｂコンテンツ等）よりは一般的に小さいが、生死監視や設定データよりは大きいためである。また、ＩＴネットワーク４０において送受信されるパケットは、様々な宛先に送信されるが、一方、ＯＴネットワーク５０において送受信されるパケットは、特定の宛先に送信されることが多い。
【００３２】
これらの特徴が表れるのは、ＯＴネットワーク５０がインターネット７０にパケットを送信する際は、特定のサーバにセンサ情報を定期的に送信する場面が多いため、ＩＴネットワーク４０の端末がインターネット７０上のサーバ等にアクセスする場合と比較して、データサイズが小さく、サーバへのアップロードが多く、宛先も特定のものに限られるからである。
【００３３】
このような特徴をもとに、スコア情報記憶部１５ａに記憶されたテーブルはスコアが設定されている。以下では、図３〜図６の例を用いて、スコア情報記憶部１５ａが記憶するテーブルの一例を用いて説明する。図３〜図６は、スコア情報記憶部が記憶するテーブルの一例を示す図である。
【００３４】
例えば、スコア情報記憶部１５ａは、図３および図４に例示するように、通信プロトコルを示す「プロトコル」と、パケットのデータサイズを示す「サイズ」と、加算するスコアを示す「スコア」とが対応付けられたテーブルを記憶する。ここで、「プロトコル」および「サイズ」が条件であり、条件に該当する場合には、該条件に対応するスコアが加算されることを意味する。
【００３５】
図３の例を挙げて具体的に説明すると、例えば、通信プロトコルが「ＵＤＰ」であり、パケットのデータサイズが「５０−２００」バイトの範囲内である場合には、スコアとして「９０」が加算される。また、図４の例を挙げて説明すると、例えば、通信プロトコルが「ＴＣＰ」であり、パケットのデータサイズが「６０−１１０」バイトの範囲内である場合には、スコアとして「９０」が加算される。
【００３６】
また、例えば、スコア情報記憶部１５ａは、図５に例示するように、ダウンロードパケットのデータサイズをアップロードパケットのデータサイズで除算した値を示す「サイズ比率」と、加算するスコアを示す「スコア」とが対応付けられたテーブルを記憶する。ここで、「サイズ比率」が条件であり、条件に該当する場合には、該条件に対応するスコアが加算されることを意味する。
【００３７】
図５の例を挙げて説明すると、例えば、ダウンロードパケットのデータサイズの１０倍のアップロードパケットのデータサイズのトラヒックが流れている場合には、ダウンロードパケットのデータサイズをアップロードパケットのデータサイズで除算した値が「０．１」となる。この場合には、サイズ比率「０．１」に対応するスコア「９０」が加算される。
【００３８】
また、例えば、スコア情報記憶部１５ａは、図６に例示するように、送信先アドレス数を送信元アドレス数で除算した値を示す「宛先数」と、加算するスコアを示す「スコア」とが対応付けられたテーブルを記憶する。ここで、「宛先数」が条件であり、条件に該当する場合には、該条件に対応するスコアが加算されることを意味する。
【００３９】
図６の例を挙げて説明すると、例えば、宛先が常に１か所である場合には、送信先アドレス数を送信元アドレス数で除算した値が「１」となる。この場合には、宛先数「１」に対応するスコア「９５」が加算される。
【００４０】
学習データ記憶部１５ｂは、後述する学習部１４ｃによって生成された学習データを記憶する。学習データは、通常利用時における一定期間のＯＴネットワーク５０の通信ログのうち、送信元、送信先および通信プロトコルが同一のパケットごとに、パケットサイズとパケットの通信頻度とパケット間の通信間隔とを学習したデータである。以下では、図７の例を用いて、学習データ記憶部１５ｂが記憶する学習データについて説明する。図７は、学習データ記憶部が記憶する学習データの一例を示す図である。
【００４１】
図７に例示するように、学習データ記憶部１５ｂは、パケットの送信元である「送信元」と、パケットの送信先である「送信先」と、通信プロトコルを示す「プロトコル」と、各パケットのデータサイズの範囲を示す「パケットサイズ」と、単位時間（例えば、３０分等）当たりのパケット数を示す「頻度」と、パケット間の通信間隔を示す「インターバル」とを対応付けて記憶する。また、「頻度」と「インターバル」には、通常の通信の範囲内として許容される設定値としてマージンも記憶されている。
【００４２】
図７の例を挙げて説明すると、例えば、学習データ記憶部１５ｂは、送信元が「ＩＰＧＷ１」、送信先が「Ｓｅｒｖｅｒ１」、通信プロトコルが「ＴＣＰ」であるパケットについては、学習データとして、パケットのデータサイズが「４３０−５００」バイトの範囲内であって、通信頻度が「４７１０４８１４６１６８４１４９７１９」であって、通信頻度のマージンが「±３２３２」であって、インターバルが「３０」秒であって、インターバルのマージンが「±１」である旨を記憶する。
【００４３】
これは、送信元が「ＩＰＧＷ１」、送信先が「Ｓｅｒｖｅｒ１」、通信プロトコルが「ＴＣＰ」であるパケットについて、データサイズが「４３０−５００」の範囲内であって、通信頻度が「４７１０４８１４６１６８４１４９７１９±３２３２」の範囲内であって、インターバルが「３０±１」の範囲内で通信が行われている場合には、正常な通信が行われていると判定されることを意味する。
【００４４】
ＯＴ／ＩＴリスト記憶部１５ｃは、ＯＴネットワーク５０におけるデバイスのアドレスと、ＩＴネットワーク４０におけるデバイスのアドレスとが列挙されたリストを記憶する。ＯＴ／ＩＴリスト記憶部１５ｃは、後述する判定部１４ｂによる通信ログの判定処理の結果、ＯＴネットワーク５０またはＩＴネットワーク４０のいずれに設置されたデバイスであるか判明したデバイスのアドレスを記憶する。
【００４５】
制御部１４は、各種の処理手順などを規定したプログラムおよび所要データを格納するための内部メモリを有し、これらによって種々の処理を実行するが、特に本発明に密接に関連するものとしては、取得部１４ａ、判定部１４ｂ、学習部１４ｃ、検知部１４ｄ、受信部１４ｅ、生成部１４ｆ、検出部１４ｇおよびアラート発出部１４ｈを有する。ここで、制御部１４は、ＣＰＵ（Central  Processing  Unit）やＭＰＵ（Micro  Processing  Unit）などの電子回路やＡＳＩＣ（Application  Specific  Integrated  Circuit）やＦＰＧＡ（Field  Programmable  Gate  Array）などの集積回路である。
【００４６】
取得部１４ａは、ＩＴネットワーク４０およびＯＴネットワーク５０の両方から各ネットワークで送受信されたパケットの通信ログを取得する。例えば、取得部１４ａは、ＩＴネットワーク４０およびＯＴネットワーク５０に接続されたファイアウォール２０から通信ログを取得する。なお、取得部１４ａは、通信ログの取得タイミングとして、所定の時間間隔で通信ログを取得してもよいし、所定のイベント等をトリガとして取得してもよいし、ユーザの指示に従って取得するようにしてもよい。
【００４７】
また、取得部１４ａに取得される通信ログとしては、後述する学習部１４ｃにより学習データを生成されるために取得される異常が発生していない通常時の通信ログと、後述する検知部１４ｄや検出部１４ｇにより通信ログの異常の検知やＯＴネットワーク５０における障害デバイスの検出のために取得される異常検知の対象の通信ログとがある。
【００４８】
判定部１４ｂは、取得部１４ａによって取得された通信ログからパケットの宛先数、パケットサイズおよびダウンロードのデータサイズとアップロードのデータサイズとの比率のうち、いずれか一つまたは複数に基づいて、通信ログがＩＴネットワーク４０の通信ログであるのかＯＴネットワーク５０の通信ログであるのかを判定する。
【００４９】
例えば、判定部１４ｂは、送信元が同一の通信ログごとに、パケットの宛先数、パケットサイズおよびダウンロードのデータサイズとアップロードのデータサイズとの比率をそれぞれ算出する。なお、以下では、パケットの宛先数、パケットサイズおよびダウンロードのデータサイズとアップロードのデータサイズとの比率の３つのパラメータ全てを用いて、通信ログであるのかＯＴネットワーク５０の通信ログであるのかを判定する処理を説明するが、３つのパラメータのうち、いずれか１つもしくは２つを用いて、通信ログであるのかＯＴネットワーク５０の通信ログであるのかを判定する処理を行ってもよい。
【００５０】
判定部１４ｂは、算出処理の一例として、例えば、送信先アドレス数を送信元アドレス数で除算し、除算した値をパケットの宛先数とする。また、判定部１４ｂは、例えば、パケットのデータサイズの平均値を算出し、算出した平均値をパケットサイズとする。また、判定部１４ｂは、例えば、ダウンロードパケットのデータサイズをアップロードパケットのデータサイズで除算し、除算した値をダウンロードのデータサイズとアップロードのデータサイズとの比率とする。
【００５１】
そして、判定部１４ｂは、スコア情報記憶部１５ａに記憶されたテーブルを参照し、同一送信元の通信ログごとに、ＯＴネットワーク５０の通信ログの特徴の度合いを示すスコアを計算する。続いて、判定部１４ｂは、計算したスコアが所定の閾値を超えている場合には、ＯＴネットワーク５０の通信ログであると判定し、計算したスコアが所定の閾値以下である場合には、ＩＴネットワーク４０の通信ログであると判定する。
【００５２】
具体的な例を挙げて説明すると、例えば、判定部１４ｂは、パケットの宛先数、パケットサイズおよびダウンロードのデータサイズとアップロードのデータサイズとの比率をそれぞれ算出した結果、通信プロトコルが「ＴＣＰ」である通信ログについて、パケットサイズが「７０」、ダウンロードのデータサイズとアップロードのデータサイズとの比率が「０．１」、パケットの宛先数が「１」であった場合に、図３〜図６に例示したテーブルを参照する。まず、通信プロトコルが「ＴＣＰ」である場合には、図４のテーブルが参照され、パケットサイズが「７０」である場合には、サイズ「６０−１１０」に対応するスコア「９０」が加算される。
【００５３】
また、判定部１４ｂは、図５のテーブルを参照し、ダウンロードのデータサイズとアップロードのデータサイズとの比率が「０．１」である場合には、サイズ比率「０．１ｔｉｍｅｓ」に対応するスコア「９０」がさらに加算される。また、判定部１４ｂは、図６のテーブルを参照し、パケットの宛先数が「１」である場合には、宛先数「１」に対応するスコア「９５」がさらに加算される。
【００５４】
このようにスコアを加算する処理として、判定部１４ｂは、各スコア「９０」、「９０」および「９５」の合計として、スコア「２７５」を計算する。そして、判定部１４ｂは、スコア「２７５」が予め設定された閾値「２５０」を超えているか否かを判定する。この場合には、判定部１４ｂは、計算したスコア「２７５」が閾値「２５０」を超えているので、ＯＴネットワーク５０の通信ログであると判定する。
【００５５】
このように、判定部１４ｂは、通信ログがＩＴネットワーク４０の通信ログであるかＯＴネットワーク５０の通信ログであるか判定した後、該通信ログの送信元アドレスを判定結果とともにＯＴ／ＩＴリスト記憶部１５ｃに格納する。そして、判定部１４ｂは、ＯＴ／ＩＴリスト記憶部１５ｃに格納された送信元アドレスの通信ログを今後取得した場合には、該通信ログについて、上記の判定処理を省略して、ＯＴ／ＩＴリスト記憶部１５ｃに記憶された情報を参照して、通信ログがＩＴネットワーク４０の通信ログであるかＯＴネットワーク５０の通信ログであるか判定するようにしてもよい。
【００５６】
判定部１４ｂは、判定処理を行った結果、ＩＴネットワーク４０であると判定したログについては、既存のＳＩＥＭエンジン等を介して、ＩＰネットワークを前提としたサイバー攻撃の検知ロジックにかける。
【００５７】
学習部１４ｃは、ＯＴネットワーク５０の通信ログのうち、送信元、送信先および通信プロトコルが同一のパケットごとに、パケットサイズとパケットの通信頻度とパケット間の通信間隔（インターバル）とを学習し、学習データを生成する。例えば、学習部１４ｃは、判定部１４ｂによってＯＴネットワーク５０の通信ログであると判定された一定期間の通信ログを、送信元、送信先および通信プロトコルが同一の通信ログごとにそれぞれ分類する。
【００５８】
そして、学習部１４ｃは、送信元、送信先および通信プロトコルが同一の通信ログごとに、パケットサイズとパケットの通信頻度とパケット間の通信間隔の平均値と、統計的に取りうるマージンを学習して学習データを生成し、学習データ記憶部１５ｂに格納する。なお、学習部１４ｃは、学習アルゴリズムとして、例えば、ＳＶＭ（Support  Vector  Machine）やその他の機械学習法を用いて、学習データを生成することができる。
【００５９】
検知部１４ｄは、検知対象の通信ログを取得し、該検知対象の通信ログにおけるパケットと、該パケットと送信元、送信先および通信プロトコルが同一の学習データとを比較し、該比較結果に応じて、検知対象の通信ログの異常を検知する。例えば、検知部１４ｄは、取得部１４ａから検知対象の通信ログを取得し、該通信ログを、送信元、送信先および通信プロトコルが同一の通信ログごとにそれぞれ分類し、各通信ログのデータサイズ、通信頻度およびインターバルを解析する。
【００６０】
そして、検知部１４ｄは、検知対象の通信ログのデータサイズ、通信頻度およびインターバルと、送信元、送信先および通信プロトコルが同一の学習データのデータサイズ、通信頻度およびインターバルとをそれぞれ比較し、学習データとの差分がマージンの範囲外である場合には、該通信ログの異常を検知する。そして、検知部１４ｄは、通信ログの異常を検知した場合には、アラート発出部１４ｈに通信ログの異常を通知する。
【００６１】
具体的な例を挙げて説明すると、例えば、検知部１４ｄは、送信元が「ＩＰＧＷ１」、送信先が「Ｓｅｒｖｅｒ１」、通信プロトコルが「ＴＣＰ」である検知対象の通信ログについて、各パケットのデータサイズが「４００−４２０」バイト、単位時間あたりの通信頻度が「４７１０４８１４６１６８４１０００００」、インターバルが「４０」秒であると解析する。そして、検知部１４ｄは、送信先が「Ｓｅｒｖｅｒ１」、通信プロトコルが「ＴＣＰ」である学習データを学習データ記憶部１５ｂから取得し、図７に例示するように、データサイズが「４３０−５００」の範囲内であって、通信頻度が「４７１０４８１４６１６８４１４９７１９±３２３２」の範囲内であって、インターバルが「３０±１」の範囲内であるか比較する。
【００６２】
この場合、検知対象の通信ログのデータサイズが「４００−４２０」バイトであるため、学習データの「４３０−５００」よりもデータサイズが小さく、検知対象の通信ログの通信頻度が「４７１０４８１４６１６８４１０００００」であるため、学習データの通信頻度「４７１０４８１４６１６８４１４９７１９±３２３２」の範囲よりも少なく、検知対象の通信ログのインターバルが「４０」秒であるため、学習データのインターバルが「３０±１」の範囲よりも長い。
【００６３】
このように、検知部１４ｄは、例えば、学習データよりもデータサイズが小さく、通信頻度が少なく、且つ、インターバルが長いと判定した場合には、ＯＴネットワーク５０において障害部位が存在する可能性があるものと判定して、通信ログに異常を検知する。また、検知部１４ｄは、例えば、学習データよりもデータサイズが大きく、通信頻度が多く、且つ、インターバルが短いと判定した場合には、ＯＴネットワーク５０において成りすましやマルウェア等の感染後の活動の可能性があるものと判定して、通信ログの異常を検知する。
【００６４】
例えば、ＯＴネットワーク５０において産業用プロトコルや特殊プロトコル、独自プロトコル等を利用したＰＡＮ（Personal  Area  Network）があった場合でも、そのＰＡＮの配下で発生している脅威のリスクを監視装置１０が検知することができる。なお、通信ログの以上の判定基準は、適宜変更することができるものであって、例えば、予め定義してスコアリングしてもよいし、一般的な機械学習ロジックや統計手法を用いて通常と異なると判断させてもよい。
【００６５】
受信部１４ｅは、ＯＴネットワーク５０における各デバイスの経路情報を受信する。なお、受信部１４ｅは、経路情報の受信タイミングとして、所定の時間間隔で通信ログを取得してもよいし、所定のイベント等をトリガとして取得してもよいし、ユーザの指示に従って取得するようにしてもよい。
【００６６】
例えば、受信部１４ｅは、検知部１４ｄによりＯＴネットワーク５０の通信ログに異常が検知され、ＯＴネットワーク５０において障害部位を特定する旨の指示を管理者の操作により受け付けた場合には、指定されたＯＴネットワーク５０に接続されたゲートウェイ３０から各デバイスの経路情報として、「宛先情報」と「隣接装置」が規定された経路情報と、隣接ノード情報として、デバイス間の受信信号強度を示すＲＳＳＩ（Received  Signal  Strength  Indicator）を定期的に受信する。
【００６７】
例えば、ＯＴネットワーク５０がＺｉｇＢｅｅ（登録商標）の通信規格を適用して、デバイス間の近距離無線通信を行っている場合には、受信部１４ｅは、経路情報および隣接ノード情報をＺｉｇＢｅｅコーディネータから定期的に受信する。
【００６８】
生成部１４ｆは、経路情報に基づいて、ＯＴネットワーク５０におけるデバイス間の接続関係を示すトポロジ情報を定期的に生成する。例えば、生成部１４ｆは、経路情報に規定された「宛先情報」と「隣接装置」から、ネットワークトポロジを生成する。なお、後述する図８ではＯＴネットワーク５０で典型的に見られるツリー状のトポロジを例示しているが、ツリー状のトポロジに限られるものではない。
【００６９】
検出部１４ｇは、生成部１４ｆによって定期的に生成されたトポロジ情報から該トポロジ情報の変動を監視し、トポロジの変動に基づいて、ＯＴネットワーク５０において障害が発生したデバイスを検出する。例えば、検出部１４ｇは、生成部１４ｆによって定期的に生成されたトポロジ情報を比較することで、該トポロジ情報の変動を監視し、ＯＴネットワーク５０から離脱したデバイスや切り替わり頻度が高い不安定状態のデバイスが存在する場合には、該デバイスをＯＴネットワーク５０において障害が発生したデバイスとして検出する。
【００７０】
また、検出部１４ｇは、トポロジ情報の変動に基づいて、ＯＴネットワーク５０において障害が発生したデバイスを検出するとともに、隣接ノード情報からデバイス間の電波強度を監視し、デバイス間の電波強度の品質の悪いデバイスが存在する場合には、該デバイスをＯＴネットワーク５０において障害が発生したデバイスとして検出する。
【００７１】
また、検出部１４ｇは、異常が疑われる被疑部位の妥当性を評価するために、パケットロス情報と照合するようにしてもよい。ここで、図８の例を用いて、ＯＴネットワーク５０における障害部位を検出する処理を説明する。図８は、ＯＴネットワークにおける障害部位を検出する処理を説明する図である。
【００７２】
図８に例示するように、例えば、検出部１４ｇは、前述の検知部１４ｄの検知対象の通信ログにおけるパケットのデータサイズおよび通信頻度と、学習データにおけるパケットのデータサイズおよび通信頻度とを比較することで、通常時の通信時に比べてパケットをどのくらいロスしているかを特定することができる。
【００７３】
例えば、ゲートウェイ３０の配下にデバイスが１５０個存在し、通常時の通信パケット数と比べて１０％のパケットがロスしている場合には、デバイス１５個分のトラヒックが欠如していると推定することができる。また、例えば、検出部１４ｇは、トポロジ情報および隣接ノード情報の監視により７デバイスがトポロジの変動があり電波強度も弱いことを検出し、８デバイスがあるタイミングから接続されなくなったことを検出する。
【００７４】
このような場合には、検出部１４ｇは、パケットロス情報により異常が疑われるデバイス数「１５」と、トポロジ情報および隣接ノード情報の監視により異常が疑われるデバイス数「１５」とを照会し、異常が疑われるデバイスの数が同じであることを検出する。そして、検出部１４ｇは、障害があるデバイスとして１５デバイスの特定まで行い、特定した障害がある１５デバイスの識別情報等を後述するアラート発出部１４ｈに通知する。なお、障害がある１５デバイスを特定する基準の閾値は予め設定しておいてもよいし、数値の合致率をスコアリングする等して、被疑１５デバイスの障害の可能性を数値化し、該数値をアラート発出部１４ｈに通知してアラートを発出させてもよい。
【００７５】
また、検出部１４ｇは、障害の可能性があるデバイスのうち、多くの端末が接続されている不安定な上位デバイスを特定するようにしてもよい。具体的には、検出部１４ｇは、ＯＴネットワーク５０において障害が発生したデバイスを定期的に検出し、障害が発生した各デバイスについて、所定期間において障害発生した際の他のデバイスとの接続数を計数し、所定期間における該接続数の合計が所定の閾値を超えたデバイスを、接続状態が不安定な状態にある上位デバイスとして特定する。このように接続状態が不安定な状態にある上位デバイスとして、例えば、１か月等の一定期間のデータから、多くの端末が接続されている不安定状態にある上位デバイスを特定し、アラート発出部１４ｈにアラートを発出させることで、当該箇所を重点的に調査・改善させる等のコンサルティングとしてのアクションにつなげることも可能である。
【００７６】
その場合、一定期間におけるデバイス切り替え回数と下位ノード数を記録し、例えば、ネットワーク切り替え毎の下位ノード数を足し合わせてある閾値以上の値になったノードを特定して当該ノードの置局設計や収容設計の見直しを促すといったことも可能となる。例えば、月に３回、下位ノードがそれぞれ１０個、１２個、１３個つながった状態で切り替わったので、合計を計算し（「１０＋１２＋１３＝３５」）、合計「３５」が閾値「３０」以上にになったノードを接続状態が不安定な状態にある上位デバイスであると特定して当該ノードの置局設計や収容設計の見直しを促すと言ったことも可能となる。
【００７７】
また、検出部１４ｇは、幾度も発生障害が発生するポイントを特定するようにしてもよい。具体的には、検出部１４ｇは、ＯＴネットワーク５０において障害が発生したデバイスを定期的に検出し、障害が発生した各デバイスについて、所定期間内において各デバイスの障害が発生した回数をカウントし、該回数が所定の閾値を超えたデバイスを特定する。このように、幾度も発生障害が発生するポイントを特定することで、中長期的にネットワークデザインの修正をレコメンデーションする等の用途に活用することも可能である。例えば、一定期間内にネットワーク離脱と判定するときの回数をカウントしておき、一定回数（例えば、月３回）を超えたノードに対して、当該ノードの置局設計や収容設計の見直しを促すと言ったことも可能である。
【００７８】
アラート発出部１４ｈは、検知部１４ｄによって通信ログの異常が検知された場合に、アラートを発出する。また、アラート発出部１４ｈは、検出部１４ｇにより障害があると特定されたデバイスについて、アラートを発出する。また、アラート発出部１４ｈは、障害の可能性があるデバイスのうち、多くの端末が接続されている不安定な上位デバイスについて、アラートを発出するとともに、当該上位デバイスの調査や改善させるアクションを促すアラートを発出する。なお、アラート発出部１４ｈは、アラートを発出する方法として、出力部１３にアラート画面を表示するようにしてよいし、外部の装置にアラートに関する情報を通知するようにしてもよい。
【００７９】
ここで、図９を用いて、第１の実施形態に係る監視装置の処理の概要を説明する。図９に示すように、監視装置１０の取得部１４ａは、ＩＴネットワーク４０およびＯＴネットワーク５０の両方から各ネットワークで送受信されたパケットの通信ログをファイアウォール２０から取得する。
【００８０】
そして、判定部１４ｂは、取得した通信ログの送信元アドレス（Ｓｒｃアドレス）がＯＴ／ＩＴリスト記憶部１５ｃに登録済みであるか判定し、登録済みである場合には、該送信元の通信ログについては、ＯＴ／ＩＴリスト記憶部１５ｃに記憶されたリストを基に、ＩＴネットワーク４０の通信ログであるかＯＴネットワーク５０の通信ログであるか判定する。また、判定部１４ｂは、送信元アドレス（Ｓｒｃアドレス）がＯＴ／ＩＴリスト記憶部１５ｃに登録済みでない通信ログについては、スコア情報記憶部１５ａに記憶されたテーブルを参照し、同一送信元の通信ログごとに、ＯＴネットワーク５０の通信ログの特徴の度合いを示すスコアを計算する。
【００８１】
そして、判定部１４ｂは、判定処理を行った結果、ＩＴネットワーク４０であると判定したログについては、既存のＳＩＥＭエンジン等を介して、ＩＰネットワークを前提としたサイバー攻撃の検知ロジックにかける。なお、ＳＩＥＭエンジンによりサイバー攻撃が検知された場合には、アラート発出部１４ｈに通知し、アラート発出部１４ｈにアラートを発出させる。また、判定部１４ｂは、ＯＴネットワーク５０であると判定したログについては検知部１４ｄに通知する。
【００８２】
検知部１４ｄは、検知対象の通信ログを取得し、該検知対象の通信ログにおけるパケットと、該パケットと送信元、送信先および通信プロトコルが同一の学習データとを比較し、該比較結果に応じて、検知対象の通信ログの異常を検知する。そして、検知部１４ｄは、通信ログの異常を検知した場合には、アラート発出部１４ｈに通信ログの異常を通知する。そして、アラート発出部１４ｈは、通信ログの異常について、アラートを発出する。
【００８３】
また、受信部１４ｅは、ＯＴネットワーク５０において障害部位を特定する旨の指示とＯＴネットワーク５０の指定を管理者の操作により受け付けた場合には、指定されたＯＴネットワーク５０に接続されたゲートウェイ３０から各デバイスの経路情報として、「宛先情報」と「隣接装置」が規定された経路情報と、隣接ノード情報として、デバイス間の受信信号強度を示すＲＳＳＩ（Received  Signal  Strength  Indicator）を定期的に受信する。
【００８４】
そして、生成部１４ｆは、経路情報に基づいて、ＯＴネットワーク５０におけるデバイス間の接続関係を示すトポロジ情報を定期的に生成する。例えば、生成部１４ｆは、経路情報に規定された「宛先情報」と「隣接装置」から、ツリー状のトポロジを生成する。
【００８５】
続いて、検出部１４ｇは、生成部１４ｆによって定期的に生成されたトポロジ情報から該トポロジ情報の変動を監視し、トポロジの変動に基づいて、ＯＴネットワーク５０において障害が発生したデバイスを検出する。また、検出部１４ｇは、検知部１４ｄによって検知対象の通信ログにおけるパケットのデータサイズおよび通信頻度と学習データにおけるパケットのデータサイズおよび通信頻度とを比較することで、通常時の通信時に比べてパケットをどのくらいロスしているかを特定する。そして、検出部１４ｇは、障害があるデバイスの数の特定まで行い、特定した障害があるデバイスの識別情報等をアラート発出部１４ｈに通知する。アラート発出部１４ｈは、検出部１４ｇにより障害があると特定されたデバイスについて、アラートを発出する。
【００８６】
［監視装置の処理手順］
次に、図１０および図１１を用いて、第１の実施形態に係る監視装置１０による処理手順の例を説明する。図１０は、第１の実施形態に係る監視装置における学習処理の流れの一例を示すフローチャートである。図１１は、第１の実施形態に係る監視装置における監視処理の流れの一例を示すフローチャートである。
【００８７】
まず、図１０を用いて、監視装置１０における学習処理の流れを説明する。図１０に示すように、監視装置１０の取得部１４ａは、例えば、学習データ生成指示を受け付けると（ステップＳ１０１肯定）、学習データ生成用の通信ログをＩＴネットワーク４０およびＯＴネットワーク５０に接続されたファイアウォール２０から取得する（ステップＳ１０２）。
【００８８】
そして、判定部１４ｂは、各通信ログをＩＴネットワーク４０の通信ログとＯＴネットワーク５０の通信ログとに判定する（ステップＳ１０３）。具体的には、判定部１４ｂは、取得部１４ａによって取得された通信ログからパケットの宛先数、パケットサイズおよびダウンロードのデータサイズとアップロードのデータサイズとの比率のうち、いずれか一つまたは複数に基づいて、通信ログがＩＴネットワーク４０の通信ログであるのかＯＴネットワーク５０の通信ログであるのかを判定する。
【００８９】
続いて、学習部１４ｃは、ＯＴネットワーク５０の通信ログを用いて、学習データを生成する（ステップＳ１０４）。具体的には、学習部１４ｃは、ＯＴネットワーク５０の通信ログのうち、送信元、送信先および通信プロトコルが同一のパケットごとに、パケットサイズとパケットの通信頻度とパケット間の通信間隔とを学習し、学習データを生成する。
【００９０】
次に、図１１を用いて、監視装置１０における監視処理の流れを説明する。図１１に示すように監視装置１０の取得部１４ａは、所定期間が経過すると（ステップＳ２０１肯定）、検知対象の通信ログを取得する（ステップＳ２０２）。
【００９１】
そして、判定部１４ｂは、通信ログがＩＴネットワーク４０の通信ログであるかＯＴネットワーク５０の通信ログであるかを判定する（ステップＳ２０３）。この判定の結果、通信ログがＯＴネットワーク５０の通信ログでないと判定された場合（ステップＳ２０４否定）、すなわち通信ログがＩＴネットワーク４０の通信ログであると判定された場合には、既存のＳＩＥＭエンジンによるＳＩＥＭ分析を行う（ステップＳ２０６）。
【００９２】
一方、通信ログがＯＴネットワーク５０の通信ログであると判定された場合には（ステップＳ２０４肯定）、検知部１４ｄは、検知対象の通信ログと学習データとを比較して異常を検知する（ステップＳ２０５）。この結果、通信ログから異常が検知されなかった場合には（ステップＳ２０７否定）、そのまま本フローの処理を終了する。
【００９３】
また、通信ログから異常が検知された場合には（ステップＳ２０７肯定）、受信部１４ｅは、経路情報と隣接ノード情報を受信する（ステップＳ２０８）。そして、生成部１４ｆは、経路情報に基づいて、ＯＴネットワーク５０におけるデバイス間の接続関係を示すトポロジ情報を定期的に生成する（ステップＳ２０９）。
【００９４】
そして、検出部１４ｇは、生成部１４ｆによって定期的に生成されたトポロジ情報を比較することで、該トポロジ情報の変動を監視する（ステップＳ２１０）。この結果、トポロジ情報に変動がない場合には（ステップＳ２１１否定）、そのまま本フローの処理を終了する。
【００９５】
また、トポロジ情報に変動がある場合には（ステップＳ２１１肯定）、検出部１４ｇは、障害部位を検出または特定する（ステップＳ２１２）。例えば、検出部１４ｇは、生成部１４ｆによって定期的に生成されたトポロジ情報を比較することで、該トポロジ情報の変動を監視し、ＯＴネットワーク５０から離脱したデバイスや切り替わり頻度が高い不安定状態のデバイスを検出する。また、検出部１４ｇは、ＯＴネットワーク５０から離脱したデバイスや切り替わり頻度が高い不安定状態のデバイスが存在する場合には、該デバイスをＯＴネットワーク５０において障害が発生したデバイスとして特定する。
【００９６】
（第１の実施形態の効果）
第１の実施形態に係る監視装置１０は、ＩＴネットワーク４０およびＯＴネットワーク５０の両方から各ネットワークで送受信されたパケットの通信ログをファイアウォール２０から取得する。そして、監視装置１０は、取得された通信ログからパケットの宛先数、パケットのデータサイズであるパケットサイズおよびダウンロードのデータサイズとアップロードのデータサイズとの比率のうち、いずれか一つまたは複数に基づいて、通信ログがＩＴネットワーク４０の通信ログであるのかＯＴネットワーク５０の通信ログであるのかを判定する。このため、ＩＴネットワーク４０およびＯＴネットワーク５０それぞれの監視を容易に行うことが可能である。つまり、ＩＴネットワーク４０およびＯＴネットワーク５０とでは、それぞれ重視しているセキュリティ脅威が異なるが、ファイアウォール２０の通信ログを取得するのみで、ＩＴネットワーク４０の通信ログと、ＯＴネットワーク５０の通信ログとに判別し、それぞれの通信ログに適した解析処理等を行うことができるので、専用のセキュリティ対策設備を設けることなく、両ネットワークの監視を容易に行うことが可能である。また、ＩＴネットワーク４０およびＯＴネットワーク５０の資産情報等を事前に登録することなく、通信ログを自動で判定するので、ユーザの手間がかからないという効果を奏する。
【００９７】
また、監視装置１０は、ＯＴネットワーク５０の通信ログのうち、送信元、送信先および通信プロトコルが同一のパケットごとに、パケットサイズとパケットの通信頻度とパケット間の通信間隔とを学習し、学習データを生成する。そして、監視装置１０は、検知対象の通信ログを取得し、該検知対象の通信ログにおけるパケットと、該パケットと送信元、送信先および通信プロトコルが同一の学習データとを比較し、該比較結果に応じて、検知対象の通信ログの異常を検知する。このため、ＯＴネットワーク５０に対して専用プロトコルのセキュリティアプライアンス無しに、ＯＴのセキュリティ脅威をモニタリングすることが可能である。
【００９８】
また、監視装置１０は、ＯＴネットワーク５０における各デバイスの経路情報を受信する。そして、監視装置１０は、経路情報に基づいて、ＯＴネットワーク５０におけるデバイス間の接続関係を示すトポロジ情報を定期的に生成し、定期的に生成されたトポロジ情報から該トポロジ情報の変動を検出する。そして、監視装置１０は、監視されたトポロジの変動に基づいて、ＯＴネットワーク５０において障害が発生したデバイスを検出する。このため、ファイアウォール２０というＩＴ系の機器から通信ログを得るだけで、自動的にＯＴネットワーク５０における障害発生個所を特定することが可能である。
【００９９】
（システム構成等）
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
【０１００】
また、本実施の形態において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
【０１０１】
（プログラム）
また、上記実施形態において説明した監視装置が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。例えば、実施形態に係る監視装置１０が実行する処理をコンピュータが実行可能な言語で記述した監視プログラムを作成することもできる。この場合、コンピュータが監視プログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、かかる監視プログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録された監視プログラムをコンピュータに読み込ませて実行することにより上記実施形態と同様の処理を実現してもよい。
【０１０２】
図１２は、監視プログラムを実行するコンピュータ１０００を示す図である。図１２に例示するように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有し、これらの各部はバス１０８０によって接続される。
【０１０３】
メモリ１０１０は、図１２に例示するように、ＲＯＭ（Read  Only  Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic  Input  Output  System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、図１２に例示するように、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、図１２に例示するように、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、図１２に例示するように、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、図１２に例示するように、例えばディスプレイ１１３０に接続される。
【０１０４】
ここで、図１２に例示するように、ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、上記の監視プログラムは、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、例えばハードディスクドライブ１０９０に記憶される。
【０１０５】
また、上記実施形態で説明した各種データは、プログラムデータとして、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出し、各種処理手順を実行する。
【０１０６】
なお、監視プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、監視プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local  Area  Network）、ＷＡＮ（Wide  Area  Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
【０１０７】
上記の実施形態やその変形は、本願が開示する技術に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。
【符号の説明】
【０１０８】
１０  監視装置
１１  通信処理部
１２  入力部
１３  出力部
１４  制御部
１４ａ  取得部
１４ｂ  判定部
１４ｃ  学習部
１４ｄ  検知部
１４ｅ  受信部
１４ｆ  生成部
１４ｇ  検出部
１４ｈ  アラート発出部
１５  記憶部
１５ａ  スコア情報記憶部
１５ｂ  学習データ記憶部
１５ｃ  ＯＴ／ＩＴリスト記憶部
２０  ファイアウォール
３０、３０Ａ〜３０Ｃ  ゲートウェイ
４０  ＩＴネットワーク
５０、５０Ａ〜５０Ｃ  ＯＴネットワーク
６０  ＩＰネットワーク
７０  インターネット
【図１】
2018007179.tif 000003
【図２】
2018007179.tif 000004
【図３】
2018007179.tif 000005
【図４】
2018007179.tif 000006
【図５】
2018007179.tif 000007
【図６】
2018007179.tif 000008
【図７】
2018007179.tif 000009
【図８】
2018007179.tif 000010
【図９】
2018007179.tif 000011
【図１０】
2018007179.tif 000012
【図１１】
2018007179.tif 000013
【図１２】
2018007179.tif 000014