(57)【要約】【課題】サイバー攻撃を検知した際に、サイバー攻撃者の居場所の特定を支援するサイバーフィジカルセキュリティシステムを得る。【解決手段】監視対象のコンピュータから出力されるセキュリティログ６を取得し、この取得したセキュリティログを基にして、サイバー攻撃判定モジュール７により、コンピュータへのサイバー攻撃を判定し、攻撃元コンピュータ情報８を出力するとともに、サイバー攻撃者追尾モジュール１０が、攻撃元コンピュータ情報８に基づき、攻撃元コンピュータの設置された場所のカメラ映像に含まれるサイバー攻撃者について、カメラ映像に基づき、居場所を追尾するようにした。【選択図】図１
2018133639.tif 000002
【特許請求の範囲】
【請求項１】
監視対象のコンピュータから出力されるセキュリティログを取得し、この取得したセキュリティログを基にして、上記コンピュータへのサイバー攻撃を判定し、攻撃元コンピュータ情報を出力するサイバー攻撃判定部、
およびこのサイバー攻撃判定部により上記攻撃元コンピュータ情報が出力された場合に、当該攻撃元コンピュータの設置された場所のカメラ映像に含まれるサイバー攻撃者について、カメラ映像に基づき、居場所を追尾するサイバー攻撃者追尾部を備えたことを特徴とするサイバーフィジカルセキュリティシステム。
【請求項２】
予め人物の属性情報を登録した人物情報データベースを備え、
上記サイバー攻撃者追尾部は、上記人物情報データベースを参照して、上記サイバー攻撃者の属性情報を表示することを特徴とする請求項１記載のサイバーフィジカルセキュリティシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、原子力発電プラントにおいて、デジタル計装システムが出力するセキュリティログからサイバー攻撃を認識し、攻撃元のコンピュータを特定するサイバーフィジカルセキュリティシステムに関するものである。
【背景技術】
【０００２】
従来のセキュリティシステムにおいては、予め登録されたコンピュータの操作の監視からサイバー攻撃を検知して、コンピュータ設置場所のカメラ映像を記録していた。（例えば特許文献１参照）
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００９−２５１８１９号公報（第５〜７頁、第１図）
【発明の概要】
【発明が解決しようとする課題】
【０００４】
従来のセキュリティシステムは、サイバー攻撃を検知し、検知元のコンピュータ設置場所のカメラ映像を記録することは可能であったが、サイバー攻撃者がコンピュータ設置場所から離れて移動した際にカメラで追跡することはできないという問題があった。
【０００５】
この発明は、上述のような課題を解決するためになされたものであり、サイバー攻撃を検知した際に、サイバー攻撃者の居場所の特定を支援するサイバーフィジカルセキュリティシステムを得ることを目的とする。
【課題を解決するための手段】
【０００６】
この発明に係わるサイバーフィジカルセキュリティシステムにおいては、監視対象のコンピュータから出力されるセキュリティログを取得し、この取得したセキュリティログを基にして、コンピュータへのサイバー攻撃を判定し、攻撃元コンピュータ情報を出力するサイバー攻撃判定部、およびこのサイバー攻撃判定部により攻撃元コンピュータ情報が出力された場合に、当該攻撃元コンピュータの設置された場所のカメラ映像に含まれるサイバー攻撃者について、カメラ映像に基づき、居場所を追尾するサイバー攻撃者追尾部を備えたものである。
【発明の効果】
【０００７】
この発明によれば、監視対象のコンピュータから出力されるセキュリティログを取得し、この取得したセキュリティログを基にして、コンピュータへのサイバー攻撃を判定し、攻撃元コンピュータ情報を出力するサイバー攻撃判定部、およびこのサイバー攻撃判定部により攻撃元コンピュータ情報が出力された場合に、当該攻撃元コンピュータの設置された場所のカメラ映像に含まれるサイバー攻撃者について、カメラ映像に基づき、居場所を追尾するサイバー攻撃者追尾部を備えたので、サイバー攻撃を検知し、サイバー攻撃者の居場所を追尾することができる。
【図面の簡単な説明】
【０００８】
【図１】この発明の実施の形態１によるサイバーフィジカルセキュリティシステムを示す構成図である。
【図２】この発明の実施の形態１によるサイバーフィジカルセキュリティシステムを示すハードウェア構成図である。
【図３】この発明の実施の形態１によるサイバーフィジカルセキュリティシステムのサイバー攻撃判定の処理を示すフローチャートである。
【図４】この発明の実施の形態１によるサイバーフィジカルセキュリティシステムのサイバー攻撃者監視の処理を示すフローチャートである。
【図５】この発明の実施の形態２によるサイバーフィジカルセキュリティシステムを示す構成図である。
【図６】この発明の実施の形態２によるサイバーフィジカルセキュリティシステムのサイバー攻撃者監視の処理を示すフローチャートである。
【発明を実施するための形態】
【０００９】
実施の形態１．
以下、この発明の実施の形態１を図に基づいて説明する。
図１は、この発明の実施の形態１によるサイバーフィジカルセキュリティシステムを示す構成図であり、原子力発電プラントの計装システムを示している。
図１において、プラントの制御を行うプラント制御装置１は、プラントネットワーク２を経由して、データ処理装置３にプラント運転に関するプラントデータを送信する。操作端末５は、ネットワーク４を介してデータ処理装置３と接続され、データ処理装置３から受信したプラントデータを演算・加工し、原子力発電プラントの運転に使用するデータを表示する。
プラント制御装置１およびデータ処理装置３は、それぞれコンピュータにより形成され、定期的にセキュリティ情報を記録したセキュリティログ６をサイバーフィジカルセキュリティシステム１４に出力する。
【００１０】
サイバーフィジカルセキュリティシステム１４は、サイバー攻撃判定モジュール７（サイバー攻撃判定部）およびサイバー攻撃者追尾モジュール１０（サイバー攻撃者追尾部）を有する。
サイバー攻撃判定モジュール７は、セキュリティログ６の中にセキュリティ異常が発生しているかどうかを判定する。異常と判断した場合、攻撃元コンピュータ情報８をサイバー攻撃者追尾モジュール１０に通知する。
この通知を受けとったサイバー攻撃者追尾モジュール１０は、攻撃元コンピュータ情報８に基づき、攻撃元コンピュータの設置された部屋のカメラ映像９を監視モニタ１３に表示する。そして、サイバー攻撃者の移動後も、記録したカメラ映像９と、定期的にスキャンされた他のカメラ映像を比較し、サイバー攻撃者の居場所を特定して、この居場所情報１１を監視モニタ１３に表示する。これにより、サイバー攻撃者を監視することを支援する。
このため、サイバー攻撃者の移動先でもカメラ映像が得られるように監視カメラが配置されているものとする。
【００１１】
図２は、この発明の実施の形態１によるサイバーフィジカルセキュリティシステムを示すハードウェア構成図である。
図２において、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）２１は、ＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）２３を演算処理の一時記憶に使用し、ＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）２２に格納されたプログラムを実行することにより、サイバー攻撃判定モジュール７のサイバー攻撃判定処理およびサイバー攻撃者追尾モジュール１０のサイバー攻撃者追尾処理を行なう。
表示装置２４は、監視モニタ１３を構成し、サイバー攻撃判定処理およびサイバー攻撃者追尾処理の処理結果が表示される。記憶装置２５は、例えばＨＤＤ（Ｈａｒｄ  Ｄｉｓｋ  Ｄｒｉｖｅ）などで構成され、セキュリティログ６、攻撃元コンピュータ情報８、居場所情報１１などが格納される。
【００１２】
次に、動作について説明する。
まず、セキュリティログ６を用いたサイバー攻撃判定モジュール７のサイバー攻撃判定の処理について、図３に基づき、説明する。
プラント制御装置１およびデータ処理装置３がセキュリティログ６を出力し、サイバーフィジカルセキュリティシステム１４がこれらを受信すると、ログ取得処理（ステップＳ１）がスタートし、セキュリティログ６を取得する。
その後、異常判断処理（ステップＳ２）がスタートして、取得したセキュリティログ６を用いて、セキュリティ異常が発生しているかどうかを判断し、セキュリティ異常が発生していると判断した場合は、ステップＳ３に進み、サイバー攻撃元の情報を特定し、攻撃元コンピュータ情報８を出力する。
【００１３】
次に、図３の処理で出力されたサイバー攻撃元の情報を用いた、サイバー攻撃者追尾モジュール１０のサイバー攻撃者監視の処理について、図４に基づき、説明する。
サイバーフィジカルセキュリティシステム１４内で、サイバー攻撃判定モジュール７により攻撃元コンピュータ情報８が出力されると、サイバー攻撃元情報取得処理（ステップＳ１１）がスタートし、この情報の取得処理を行ない、攻撃元コンピュータの設置された部屋のカメラ映像９を監視モニタ１３に表示し、記録する。
次に、カメラ映像を走査するカメラ映像走査処理（ステップＳ１２）に進み、記録したカメラ映像９と、定期的にスキャンされた他のカメラ映像を比較して、サイバー攻撃者が移動したことを検出し（ステップＳ１３）、サイバー攻撃者の居場所を特定して、移動後の監視カメラ映像を監視モニタ１３に表示（ステップＳ１４）する。
【００１４】
実施の形態１によれば、セキュリティ異常を検知した場合に、サイバー攻撃者が移動してもその所在を把握することができる。
【００１５】
実施の形態２．
図５は、この発明の実施の形態２によるサイバーフィジカルセキュリティシステムを示す構成図である。
図５において、符号１〜５、８〜１１、１３、１４は図１におけるものと同一のものである。図５では、サイバーフィジカルセキュリティシステム１４に、予め人物情報を登録した人物情報データベース１２を設けている。
【００１６】
実施の形態１では、サイバー攻撃者追尾モジュール１０にてカメラの映像を比較し、サイバー攻撃者の監視を支援する場合について述べたが、実施の形態２は、図５に示すように、サイバーフィジカルセキュリティシステム１４に、予め人物情報を登録した人物情報データベース１２を設け、カメラ映像と照合し、サイバー攻撃者の属性情報（会社、氏名等）を表示するようにした。
【００１７】
次に、図３の処理で特定したサイバー攻撃元の情報を用いた、実施の形態２のサイバー攻撃者追尾モジュール１０のサイバー攻撃者監視の処理について、図６に基づき、説明する。
サイバーフィジカルセキュリティシステム１４内で、サイバー攻撃判定モジュール７により攻撃元コンピュータ情報８が出力されると、サイバー攻撃元情報取得処理（ステップＳ２１）がスタートし、この攻撃元コンピュータ情報８を取得する。
その後、予め登録された人物情報データベース１２と照合し、サイバー攻撃者の属性情報を得る人物情報照合・表示処理（ステップＳ２２）を行ない、得られたサイバー攻撃者の属性情報を監視モニタ１３に表示する。
次に、カメラ映像を走査するカメラ映像走査処理（ステップＳ２３）に進み、サイバー攻撃者が移動したことをカメラ映像から検出し（ステップＳ２４）、移動後の監視カメラ映像を監視モニタ１３に表示（ステップＳ２５）する。
【００１８】
実施の形態２によれば、サイバー攻撃者の属性情報を表示し、サイバー攻撃者の継続的な監視を支援することができる。
【００１９】
なお、本発明は、その発明の範囲内において、各実施の形態を自由に組み合わせたり、各実施の形態を適宜、変形、省略することが可能である。
【符号の説明】
【００２０】
１  プラント制御装置、２  プラントネットワーク、３  データ処理装置、
４  ネットワーク、５  操作端末、６  セキュリティログ、
７  サイバー攻撃判定モジュール、８  攻撃元コンピュータ情報、９  カメラ映像、
１０  サイバー攻撃者追尾モジュール、１１  居場所情報、１２  人物情報データベース、１３  監視モニタ、１４  サイバーフィジカルセキュリティシステム、２１  ＣＰＵ、２２  ＲＯＭ、２３  ＲＡＭ、２４  表示装置、２５  記憶装置
【図１】
2018133639.tif 000003
【図２】
2018133639.tif 000004
【図３】
2018133639.tif 000005
【図４】
2018133639.tif 000006
【図５】
2018133639.tif 000007
【図６】
2018133639.tif 000008