(57)【要約】【課題】監視対象機器で行われた操作に関するログを収集することなく、監視対象機器のインシデントを検知する。【解決手段】検知データ収集部４０１は、不正通信防止装置２０または不正接続防止装置３０で生成したサイバー検知データと、映像解析装置６０で生成したフィジカル検知データを収集し、統合分析部４０２は、収集したサイバー検知データとフィジカル検知データを用いて原因分析や推奨対策の立案を行い、対策実行部４０３は、統合分析部４０２の分析結果に基づき、不正通信防止装置２０や不正接続防止装置３０に対して機器やネットワーク切断の要求を行う。【選択図】図１
2019204259.tif 000002
【特許請求の範囲】
【請求項１】
監視対象機器から送信された通信情報と前記監視対象機器を撮影した画像情報の解析結果に基づいて、前記監視対象機器のインシデントを検知する監視装置。
【請求項２】
前記通信情報を基に攻撃を検知した結果である第１検知データと、前記画像情報を基に攻撃を検知した結果である第２検知データに基づいて、前記監視対象機器のインシデントを監視する請求項１に記載の監視装置。
【請求項３】
前記第１検知データと、前記第２検知データを取集する検知データ取集部と、
前記第１検知データと、前記第２検知データに基づいて、前記監視対象機器のインシデントを検知する統合分析部とを備える請求項２に記載の監視装置。
【請求項４】
前記画像情報を基に生成された前記監視対象機器のインタフェースに対するアクション情報を受信し、前記アクション情報に関する検知ルールに基づいて、前記インタフェースに対する不正接続または不正操作を検知した結果として前記第２検知データを生成する請求項２に記載の監視装置。
【請求項５】
前記監視対象機器のインシデントの検知結果に基づいて、前記監視対象機器のインシデントに対する対策の立案と、前記インシデントの重要度の算出を実行する請求項１に記載の監視装置。
【請求項６】
分析対象の検知データが、前記攻撃を試みたが実現しなかった処理である未遂の攻撃を示すか、前記攻撃を試みて成功した場合の処理である既遂の攻撃を示すかのどちらであるかを判定し、前記判定の結果に応じて推奨対策を切り替える請求項２に記載の監視装置。
【請求項７】
分析対象の検知データが、前記第２検知データか前記第１検知データのどちらであるかを判定し、前記判定の結果に応じて前記インシデントの重要度を決定する請求項２に記載の監視装置。
【請求項８】
前記インシデント分析結果として、前記インシデントの重要度と推奨対策および前記第２検知データの基となる画像を、前記監視対象機器を含むシステムの構成図とともに画面に表示し、前記インシデントに対する対策の選定を可能とする請求項５に記載の監視装置。
【請求項９】
前記検知ルールは、許可しないアクションのリストであるブラックリストおよび許可するアクションのリストであるホワイトリストのいずれか少なくとも一方のリストを備え、
前記アクション情報が、前記ブラックリストに登録されたアクションに該当するかまたは前記ホワイトリストに登録されたアクションに該当しない場合に、前記インタフェースに対する不正接続または不正操作を検知する請求項４に記載の監視装置
【請求項１０】
監視対象機器から送信された通信情報を基に攻撃を検知する不正通信防止装置と、
前記監視対象機器を撮影した画像情報を解析する映像解析装置と、
前記通信情報を基に攻撃を検知した結果である第１検知データと、前記画像情報を基に攻撃を検知した結果である第２検知データに基づいて、前記監視対象機器のインシデントを監視する監視装置とを備える監視システム。
【請求項１１】
前記監視対象機器の不正接続を検知し、前記不正接続の検知結果に基づいて前記第１検知データを生成する不正接続防止装置をさらに備える請求項１０に記載の監視システム。
【請求項１２】
前記監視装置は、前記不正通信防止装置から前記第１検知データを取集し、前記映像解析装置から前記第２検知データを取集する請求項１０に記載の監視システム。
【請求項１３】
前記監視装置は、前記画像情報を基に生成された前記監視対象機器のインタフェースに対するアクション情報を前記映像解析装置から受信し、前記アクション情報に関する検知ルールに基づいて、前記インタフェースに対する不正接続または不正操作を検知した結果である第２検知データを生成する請求項１０に記載の監視システム。
【請求項１４】
監視プログラムを実行するＣＰＵを備え、
前記ＣＰＵは、前記監視プログラムを実行することで、監視対象機器から送信された通信情報を基に攻撃を検知した結果である第１検知データと、前記監視対象機器を撮影した画像情報を基に攻撃を検知した結果である第２検知データに基づいて、前記監視対象機器のインシデントを監視する監視方法。
【請求項１５】
前記ＣＰＵは、前記監視プログラムを実行することで、前記監視対象機器のインシデントの検知結果に基づいて、前記監視対象機器のインシデントに対する対策の立案と、前記インシデントの重要度の算出を実行する請求項１４に記載の監視方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、フィジカルセキュリティを活用した監視装置、監視システムおよび監視方法に関する。
【背景技術】
【０００２】
近年、電力、鉄道、水道およびガスなどの社会インフラ（インフラストラクチャー）や自動車等で利用される制御システムに対し、サイバー攻撃が増加傾向にあり、マルウェア等の感染や外部からの不正アクセスなどのセキュリティインシデントへの対応が必要となっている。このため、制御システムにセキュリティインシデントに対応するためのセキュリティ機器を導入することで、サイバー攻撃の検知、防御および検知した場合に感染した機器を切り離すなどの対処が実施されている。
【０００３】
セキュリティインシデントの対応では、早期に検知し、影響が広範囲に及ぶ前に適切な一次対処を行うことが重要なポイントとなる。サイバー攻撃は通常、侵入、探索、拡大および目的実行という段階を踏んで進むため、早期検知を実現するには早い段階である侵入フェーズの事象を検知することが重要となる。侵入フェーズの事象とは、機器への不正ログインや、ＵＳＢトークン等の不正デバイスの接続、不正端末のネットワーク接続等であり、これらを検知するには機器や端末に導入したセキュリティソフトや、機器のＯＳ（Ｏｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍ）の機能を活用するなどし、それらのログを収集してチェックすることで検知することが考えられる。
【０００４】
しかしながら、制御システムにおいては、情報システムと比較してリアルタイム処理が高く求められることから、機器や端末に対するソフトウェア導入や、ログ出力の設定変更が、既存業務へ影響を与えてしまう可能性がある。また、ログ収集においても、ネットワーク負荷を増大させるため、既存業務への影響を与えてしまう可能性がある。これらの理由から、制御システムでは各機器や端末からログを収集するのが困難な場合が多く存在する。
【０００５】
このため、機器や端末のログ以外からセキュリティインシデントを検知する必要があり、それには入退出管理や監視カメラ等のフィジカルセキュリティ装置を活用することが考えられる。特許文献１においては、入退出の状況を活用し、ユーザが操作し得ない状況において、ユーザの端末機器が不審な振る舞いをするという矛盾を検出することにより、端末機器がマルウェアに感染していることを検知する監視装置が述べられている。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２０１５−５５９６０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
上記特許文献１の技術では、入退出管理システムから取得する入退出の情報と、端末機器が送受信するネットワークの情報の、両方の情報を活用することで、マルウェア感染を検知することができる。すなわち、端末機器のログ情報は収集せずに、マルウェア感染の検知が可能となる。
【０００８】
しかしながら、制御システムでは、特定の装置に対して特定のユーザが割り当てられるわけではないため、特許文献１の技術をそのまま活用することはできない。また、特許文献１の技術では、マルウェア感染後の振る舞いを検知できるが、感染にいたるまでの段階（侵入フェーズ）での検知は困難である。このため、多数の操作員が装置を扱うような環境において、機器や端末のログは収集せずに、サイバー攻撃を早期に（侵入フェーズで）検知する必要がある。
【０００９】
本発明は、上記事情に鑑みなされたものであり、その目的は、監視対象機器で行われた操作に関するログを収集することなく、監視対象機器のインシデントを検知することにある。
【課題を解決するための手段】
【００１０】
上記目的を達成するため、第１の観点に係る監視装置は、監視対象機器から送信された通信情報と前記監視対象機器を撮影した画像情報の解析結果に基づいて、前記監視対象機器のインシデントを検知する。
【発明の効果】
【００１１】
本発明によれば、監視対象機器で行われた操作に関するログを収集することなく、監視対象機器のインシデントを検知することができる。
【図面の簡単な説明】
【００１２】
【図１】図１は、第１実施形態に係る監視システムの機能的な構成を示すブロック図である。
【図２】図２は、図１の監視装置のハードウェア構成を示すブロック図である。
【図３】図３は、図１の不正通信防止装置のハードウェア構成を示すブロック図である。
【図４】図４は、図１の監視システムにおけるフィジカル検知データの抽出の処理フローを示す図である。
【図５】図５は、図１の監視カメラで生成されるモニタリング情報の構成例を示す図である。
【図６】図６は、図４のフィジカル検知データの抽出に用いられる検知ルールを示す図である。
【図７】図７は、図１の監視システムにおけるセキュリティインシデントの検知および対処の処理フローを示す図である。
【図８】図８は、図１の不正通信防止装置および不正接続防止装置のそれぞれで生成されるサイバー検知データと、映像解析装置で生成されるフィジカル検知データの構成例を示す図である。
【図９】図９は、図１の監視装置の統合分析部の処理を示すフローチャートである。
【図１０】図１０は、図１の監視装置のインシデント状況確認画面の表示例を示す図である。
【図１１】図１１は、第２実施形態に係る監視システムにおけるフィジカル検知データの抽出の処理フローを示す図である。
【図１２】図１２は、第２実施形態に係る監視システムにおけるセキュリティインシデントの検知および対処の処理フローを示す図である。
【発明を実施するための形態】
【００１３】
実施形態について、図面を参照して説明する。なお、以下に説明する実施形態は特許請求の範囲に係る発明を限定するものではなく、また、実施形態の中で説明されている諸要素及びその組み合わせの全てが発明の解決手段に必須であるとは限らない。
【００１４】
図１は、第１実施形態に係る監視システムの機能的な構成を示すブロック図である。
図１において、監視システムは、制御装置１０１〜１０ｎ（ｎは正の整数）と、不正通信防止装置２０と、不正接続防止装置３０と、監視装置４０と、監視カメラ５０と、映像解析装置６０とを備える。制御装置１０１と、不正通信防止装置２０と、不正接続防止装置３０と、監視装置４０と、監視カメラ５０と、映像解析装置６０は、ネットワーク７０を介して接続されている。制御装置１０ｎは、不正通信防止装置２０に接続されている。
【００１５】
ここで、不正通信防止装置２０や不正接続防止装置３０はネットワーク毎に複数存在してもよい。また、監視カメラ５０や映像解析装置６０は複数存在してもよい。監視カメラ５０は、監視対象機器ごとに設けるようにしてもよい。監視対象機器は、セキュリティインシデントの検知対象となる機器や端末等である。
【００１６】
各制御装置１０１〜１０ｎは、電力、鉄道、水道およびガスなどの社会インフラや自動車等で利用される制御システムにおいて、制御装置１０１〜１０ｎ間で通信しながら制御システムを制御する。各制御装置１０１〜１０ｎは、制御処理を行う制御処理部１０１１〜１０１ｎと、ネットワーク７０や不正通信防止装置２０等と通信を行う通信部１０２１〜１０２ｎとを備える。
【００１７】
不正通信防止装置２０は、監視対象機器から送信された通信情報を基に攻撃を検知する。攻撃には、侵入、探索、拡大および目的実行という段階を含むことができる。不正通信防止装置２０は、不正通信防止装置２０に入力される通信パケットをフィルタリングするフィルタリング部２０１と、フィルタリング部２０１で不正な通信を検知した際にサイバー検知データ（アラート）を生成する検知データ生成部２０２と、フィルタリング部２０１で参照するフィルタリングポリシを更新するポリシ更新部２０３と、ネットワーク７０と通信を行う第一通信部２０４と、フィルタリング部２０１で参照するフィルタリングポリシを格納するフィルタリングポリシ格納部２０５と、制御装置１０ｎと通信を行う第ニ通信部２０６とを備える。フィルタリングポリシは、フィルタリング対象となる通信内容を定義することができる。サイバー検知データは、監視対象機器から送信された通信情報を基に攻撃を検知した結果である。なお、不正通信防止装置２０は、３つ以上の通信部を保有してもよい。
【００１８】
不正接続防止装置３０は、監視対象機器の不正接続を検知し、不正接続の検知結果に基づいてサイバー検知データを生成する。不正接続防止装置３０は、ネットワーク７０上に不正な機器が接続されたことを検知する不正接続検知部３０１と、不正接続検知部３０１で不正接続を検知した際にサイバー検知データ（アラート）を生成する検知データ生成部３０２と、不正通信検知部３０１で参照する正当機器リストを更新するリスト更新部３０３と、ネットワーク７０と通信を行う通信部３０４と、不正接続検知部３０１で参照する正当機器リストを格納する正当機器リスト格納部３０５とを備える。正当機器リストには、例えば、ネットワーク７０への接続が許可されるＭＡＣアドレスを登録することができる。
【００１９】
監視カメラ５０は、監視対象機器の監視画像を生成する。監視カメラ５０による監視対象機器の監視箇所は、例えば、監視対象機器の表示画面、コネクタおよびポートなどの入出力インタフェース部分とすることができる。監視カメラ５０は、監視対象の撮影処理を行う撮影部５０１と、ネットワーク７０と通信を行う通信部５０２とを備える。
【００２０】
映像解析装置６０は、監視対象機器を撮影した画像情報を解析する。この時、映像解析装置６０は、監視対象機器の画像情報を基にフィジカル検知データを生成することができる。フィジカル検知データは、監視対象機器の画像情報を基に攻撃を検知した結果である。映像解析装置６０は、監視カメラ５０が撮影した映像データを収集する映像収集部６０１と、収集した映像データから不正接続や不正操作を検知する検知データ生成部６０２と、映像収集部６０１が収集した映像データを格納する映像格納部６０３と、検検知データ生成部６０２が参照する検知ルールを格納する検知ルール格納部６０４と、監視カメラ５０や監視装置４０と通信を行う通信部６０５とを備える。
【００２１】
監視装置４０は、監視対象機器から送信された通信情報と監視対象機器を撮影した画像情報の解析結果に基づいて、監視対象機器のインシデントを検知する。この時、監視装置４０は、第１検知データであるサイバー検知データと、第２検知データであるフィジカル検知データに基づいて、監視対象機器のインシデントを監視することができる。ここで、監視装置４０は、サイバー検知データとフィジカル検知データを外部から収集するようにしてもよいし、監視対象機器を撮影した画像情報に基づいてフィジカル検知データを生成するようにしてもよい。例えば、監視装置４０は、画像情報を基に生成された監視対象機器のインタフェースに対するアクション情報を受信し、アクション情報に関する検知ルールに基づいて、そのインタフェースに対する不正接続または不正操作を検知した結果としてフィジカル検知データを生成するようにしてもよい。このアクション情報は、監視対象機器のインタフェースの操作に関する情報である。
【００２２】
監視装置４０は、不正通信防止装置２０または不正接続防止装置３０で生成したサイバー検知データと、映像解析装置６０で生成したフィジカル検知データを収集する検知データ収集部４０１と、収集したサイバー検知データとフィジカル検知データを用いて監視対象機器のインシデントを検知し、そのインシデントの原因分析や推奨対策の立案を行う統合分析部４０２と、統合分析部４０２の分析結果に基づき、不正通信防止装置２０や不正接続防止装置３０に対して機器やネットワーク切断の要求を行う対策実行部４０３と、ネットワーク７０と通信を行う通信部４０４と、検知データ収集部４０１で収集したサイバー検知データとフィジカル検知データを格納する検知データ格納部４０５と、統合分析部４０２で推奨対策を立案する際に参照する対策のリストを格納する対策パターン格納部４０６と、統合分析部４０２で分析した結果出力されるインシデントに対する推奨対策及びインシデントの重要度を格納する分析結果格納部４０７と、統合分析部４０２の分析結果を表示したり、推奨対策を実施するか否かをユーザが判断した結果を入力する入出力部４０８とを備える。なお、重要度は、推奨対策を実施する優先度であってもよい。
【００２３】
ここで、監視装置４０は、サイバー検知データとフィジカル検知データに基づいて、監視対象機器のインシデントを監視することにより、監視対象機器で行われた操作に関するログを収集することなく、監視対象機器のセキュリティインシデントを検知することができる。また、制御装置１０１〜１０ｎが設けられた既存の制御システムにおいて、制御システムで行われている既存業務に影響を与えることなく、不正通信防止装置２０と、不正接続防止装置３０と、監視装置４０と、監視カメラ５０と、映像解析装置６０を導入することができる。このため、電力、鉄道、水道およびガスなどの社会インフラや自動車等で利用される制御システムにおいて、セキュリティインシデントを早期に検知し、影響が広範囲に及ぶ前に適切な一次対処を行うことが可能となり、これらの制御システムのセキュリティを向上させることができる。なお、セキュリティインシデントは、マルウェア等の感染や外部からの不正アクセスなどの監視対象機器のセキュリティに関するインシデントである。
【００２４】
図２は、図１の監視装置のハードウェア構成を示すブロック図である。
図２において、監視装置４０は、通信装置１１と、入出力装置１２と、記憶装置１３と、ＣＰＵ１４と、メモリ１５とを備える。通信装置１１と、入出力装置１２と、記憶装置１３と、ＣＰＵ１４と、メモリ１５は、バスなどの内部通信線１６を介して接続されている。
【００２５】
ＣＰＵ１４は、監視装置４０全体の動作制御を司るハードウェアである。メモリ１５は、例えば、ＳＲＡＭまたはＤＲＡＭなどの半導体メモリから構成することができる。メモリ１５には、ＣＰＵ１４が実行中のプログラムを格納したり、ＣＰＵ１４がプログラムを実行するためのワークエリアを設けたりすることができる。
【００２６】
記憶装置１３は、大容量の記憶容量を有する記憶デバイスであり、例えば、ハードディスク装置やＳＳＤ（Ｓｏｌｉｄ  Ｓｔａｔｅ  Ｄｒｉｖｅ）である。記憶装置１３は、各種プログラムの実行ファイルやプログラムの実行に用いられるデータを保持することができる。記憶装置１３には、監視プログラム１３Ａを格納することができる。監視プログラム１３Ａは、監視装置４０にインストール可能なソフトウェアであってもよいし、監視装置４０にファームウェアとして組み込まれていてもよい。監視プログラム１３Ａは、他の記憶媒体または通信媒体（ネットワークまたはネットワークを伝搬する搬送波）を介して、必要なときに導入されてもよい。
【００２７】
通信装置１１は、外部との通信を制御する機能を有するハードウェアである。通信装置１１は、ネットワーク７０に接続される。ネットワーク７０は、インターネットなどのＷＡＮ（Ｗｉｄｅ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）であってもよいし、ＷｉＦｉなどのＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）であってもよいし、ＷＡＮとＬＡＮが混在していてもよい。
【００２８】
入出力装置１２は、ユーザからの操作を受け付けたり、ユーザに処理経過や処理結果等の各種情報を提供するユーザインターフェースである。入出力装置１２は、例えば、キーボード、マウス、タッチパネル、カードリーダ、音声入力装置、画面表示装置（液晶モニタ、有機ＥＬディスプレイ、グラフィックカード等）、音声出力装置（スピーカ等）、印字装置等である。
【００２９】
ＣＰＵ１４が監視プログラム１３Ａをメモリ１５に読み出し、監視プログラム１３Ａを実行することにより、サイバー検知データとフィジカル検知データに基づいて、監視対象機器のインシデントを検知し、そのインシデントに対する対策の立案と、そのインシデントの重要度の算出を実行することができる。
【００３０】
この時、監視プログラム１３Ａは、図１の検知データ収集部４０１と、統合分析部４０２と、対策実行部４０３の機能を実現することができる。なお、監視プログラム１３Ａの実行は、複数のプロセッサやコンピュータに分担させてもよい。あるいは、ＣＰＵ１４は、ネットワーク７０を介してクラウドコンピュータなどに監視プログラム１３Ａの全部または一部の実行を指示し、その実行結果を受け取るようにしてもよい。
【００３１】
なお、図１の制御装置１０１〜１０ｎ、不正接続防止装置３０、監視装置４０、監視カメラ５０および映像解析装置６０も、図２と同様のハードウェアを備えることができる。ただし、各制御装置１０１〜１０ｎのＣＰＵは制御プログラムを実行することにより、制御システムの制御処理を実現することができる。不正接続防止装置３０のＣＰＵは不正接続防止プログラムを実行することにより、監視対象機器の不正接続を検知し、不正接続の検知結果に基づいてサイバー検知データを生成することができる。監視カメラ５０のＣＰＵは撮影プログラムを実行することにより、監視対象機器の監視画像を生成することができる。映像解析装置６０のＣＰＵは映像解析プログラムを実行することにより、監視対象機器を撮影した画像情報を解析することができる。
【００３２】
図３は、図１の不正通信防止装置のハードウェア構成を示すブロック図である。
図３において、不正通信防止装置２０は、第一通信装置２１１と、第二通信装置２１２と、記憶装置２２と、入出力装置２３と、ＣＰＵ２４と、メモリ２５とを備える。第一通信装置２１１と、第二通信装置２１２と、記憶装置２２と、入出力装置２３と、ＣＰＵ２４と、メモリ２５は、バスなどの内部通信線２６を介して接続されている。記憶装置２２には、不正通信防止プログラム２２Ａを格納することができる。第一通信装置２１１は、ネットワーク７０に接続され、第二通信装置２１２は、制御装置１０ｎに接続されている。不正通信防止装置２０は、３つ以上の通信装置を保有してもよい。
【００３３】
ＣＰＵ１４が不正通信防止プログラム２２Ａをメモリ１５に読み出し、不正通信防止プログラム２２Ａを実行することにより、監視対象機器から送信された通信情報を基に攻撃を検知することができる。
【００３４】
この時、不正通信防止プログラム２２Ａは、図１のフィルタリング部２０１と、検知データ生成部２０２と、ポリシ更新部２０３の機能を実現することができる。なお、不正通信防止プログラム２２Ａの実行は、複数のプロセッサやコンピュータに分担させてもよい。あるいは、ＣＰＵ２４は、ネットワーク７０を介してクラウドコンピュータなどに不正通信防止プログラム２２Ａの全部または一部の実行を指示し、その実行結果を受け取るようにしてもよい。
【００３５】
以下、本実施形態の制御システム向け攻撃検知システムにおける処理フローについて説明する。以下に述べる処理フローは、制御装置１０１〜１０ｎ、不正通信防止装置２０、不正接続防止装置３０、監視装置４０、監視カメラ５０および映像解析装置６０の各記憶装置に格納されたプログラムがメモリにロードされ、それぞれのＣＰＵにより実行されることにより、制御システム向け攻撃検知システムを構成する装置上に具現化される各処理部により実行される。
【００３６】
図４は、図１の監視システムにおけるフィジカル検知データの抽出の処理フローを示す図である。
図４において、監視カメラ５０は、監視対象機器である制御機器１０１〜１０ｎ等のインタフェース部分をモニタリング（撮影）する（Ｓ４０１）。インタフェースとしては、例えば、各機器のＵＳＢ等の各種デバイス用のコネクタ部分や、ネットワーク接続のためのＬＡＮコネクタ部分、操作結果を表示するモニタ画面などがある。
【００３７】
次に、監視カメラ５０は、監視対象機器を撮影した画像を含むモニタリング情報Ａ９０１を生成し、映像解析装置６０へ送付する（Ｓ４０２）。
【００３８】
図５は、図１の監視カメラで生成されるモニタリング情報の構成例を示す図である。
図５において、モニタリング情報Ａ９０１は、監視カメラ５０で撮影した日時Ａ９０２と、撮影対象の位置情報Ａ９０３と、映像情報Ａ９０４とを含む。
【００３９】
次に、図４において、映像解析装置６０は、監視カメラ５０からモニタリング情報Ａ９０１を受信すると、監視対象機器の映像の解析を行い、インタフェースに対するアクション情報を抽出する（Ｓ４０３）。
【００４０】
そして、映像解析装置６０は、モニタリング情報Ａ９０１から抽出したアクション情報が、検知ルール格納部６０４に保持された検知ルールにマッチするか否かを判定する（Ｓ４０４）。アクション情報が検知ルールにマッチした場合（Ｓ４０４でＹＥＳ）、そのアクション情報を基にフィジカル検知データＡ１０１１を生成し、監視装置４０へ送信する（Ｓ４０５）。監視装置４０は、映像解析装置６０からフィジカル検知データＡ１０１１が送信されると、フィジカル検知データＡ１０１１を受信する（Ｓ４０６）。一方、アクション情報が検知ルールにマッチしない場合（Ｓ４０４でＮＯ）、映像解析装置６０は、次の映像解析処理を実行する。
【００４１】
図６は、図４のフィジカル検知データの抽出に用いられる検知ルールを示す図である。
図６において、映像解析装置６０は、図４のＳ４０４で検知ルールを参照する。検知ルールは、ブラックリスト５０１とホワイトリスト５１１の２種類のルールを備える。ブラックリスト５０１には、許可しないアクションのリストを記述し、ホワイトリスト５１１には許可するアクションのリストを記述する。ブラックリスト５０１は、大分類５０２、小分類５０３、端末情報５０４および判定ルール５０５を含む。ホワイトリスト５１１は、大分類５１２、小分類５１３、端末情報５１４および判定ルール５１５を含む。
【００４２】
大分類５０２、５１２は、監視対象機器へのアクションが接続か操作かを記述することができる。小分類５０３、５１３は、監視対象機器への接続先や監視対象機器のエラー内容を記述することができる。端末情報５０４、５１４は、アクションが実行された部位（位置情報）を記述することができる。
【００４３】
判定ルール５０５は、許可しないアクションの具体的な内容を記述することができる。例えば、監視対象機器のインタフェースの不正接続の例として、ＵＳＢメモリがＵＳＢコネクタに差し込まれた場合を挙げることができる。監視対象機器のインタフェースの不正操作の例として、ログイン時の認証エラー画面が３回連続で表示された場合を挙げることができる。
【００４４】
判定ルール５１５は、許可するアクションの具体的な内容を記述することができる。例えば、監視対象機器のインタフェースの不正接続でない例として、承認済みシールがついたデバイスが差し込まれた場合を挙げることができる。
【００４５】
図７は、図１の監視システムにおけるセキュリティインシデントの検知および対処の処理フローを示す図である。
図７において、映像解析装置６０は、図４に示したフローに従い異常を検知した場合（Ｓ６０１）、フィジカル検知データＡ１０１１を監視装置４０へ送信する（Ｓ６０２）。
【００４６】
不正接続防止装置３０は、監視対象機器である制御機器１０１〜１０ｎ等から送信された通信情報に基づいて異常を検知した場合（Ｓ６０３）、検知した異常内容をサイバー検知データＡ１０１２として監査装置４０へ送信する（Ｓ６０４）。この時、不正接続防止装置３０は、監視対象機器である制御機器１０１〜１０ｎ等から送信されたＭＡＣアドレスを受信する。そして、監視対象機器である制御機器１０１〜１０ｎ等から受信したＭＡＣアドレスが、ネットワーク７０への接続が許可されるＭＡＣアドレスと一致しない場合、その監視対象機器の不正接続を認識することができる。
【００４７】
不正通信防止装置２０は、監視対象機器である制御機器１０１〜１０ｎ等から送信された通信情報に基づいて異常を検知した場合（Ｓ６０５）、検知した異常内容をサイバー検知データＡ１０１３として監査装置４０へ送信する（Ｓ６０６）。この時、不正通信防止装置２０は、監視対象機器である制御機器１０１〜１０ｎ等から送信された通信情報を受信する。そして、監視対象機器である制御機器１０１〜１０ｎ等から受信した通信情報がフィルタリングポリシに一致する場合、その監視対象機器の不正操作を認識することができる。
【００４８】
図８は、図１の不正通信防止装置および不正接続防止装置のそれぞれで生成されるサイバー検知データと、映像解析装置で生成されるフィジカル検知データの構成例を示す図である。
図８において、検知データＡ１００１は、アラート発生日時Ａ１００２と、アラート項目Ａ１００３と、アラート関連情報Ａ１００４とを含む。アラート項目Ａ１００３には、検知データＡ１００１の種別を記述することができる。検知データＡ１００１の種別は、例えば、未遂か既遂か、検知データＡ１００１がフィジカル検知データかサイバー検知データかを示すことができる。アラート関連情報Ａ１００４には、不正接続や不正操作の箇所および内容等を記述することができる。
【００４９】
図７において、監視装置４０は、フィジカル検知データＡ１０１１およびサイバー検知データＡ１０１２、Ａ１０１３のいずれかのデータを受信すると、それら情報を統合的に解析する（Ｓ６０７）。そして、監視装置４０は、それら情報を分析した結果として検知した攻撃の重要度や、推奨する対策方法等を監視員へ提示する（Ｓ６０８）。
【００５０】
監視員は、監視装置４０から提示された提示内容を基に推奨対策を実行するか否かを判断する（Ｓ６０９）。推奨対策を実行する旨を監視員が入力した場合には、監視装置４０は、推奨対策を実現する機器（不正通信防止装置２０や不正接続防止装置３０）へ対処コマンドを送付し（Ｓ６１０）。その対処コマンドを受け付けた機器において機器切断やネットワーク遮断などの対処を実行する。例えば、不正接続防止装置３０が監視装置４０から対処コマンドを受け付けると、監視対象機器を切断する（Ｓ６１１）。
【００５１】
図９は、図１の監視装置の統合分析部の処理を示すフローチャートである。
図９において、統合分析部４０２が統合分析処理を開始すると（Ｓ７０１）、検知データ格納部４０５から検知データを取得し（Ｓ７０２）、当該検知データが未遂の攻撃に関するものか、既遂の攻撃に関するものかの種別を判定する（Ｓ７０３）。
【００５２】
未遂の攻撃とは、攻撃者が制御システムに対して侵入や攻撃を試みたが、各装置のセキュリティ機能等により実現しなかった処理と定義する。例えば、各端末へのログイン時の認証失敗に関する情報や、不正通信防止装置２０において不正な通信と判断されて通信内容が送信対象まで届けられなかったことを示す情報（アラート）や、不正接続防止装置３０において不正な端末と判断されてネットワークに接続されなかったことを示す情報（アラート）等が、未遂の攻撃に関する検知データとなる。
【００５３】
また、既遂の攻撃とは、攻撃者が制御システムに対して侵入や攻撃を実行し、それが成功した場合の処理と定義する。例えば、機器に対して不正なＵＳＢトークンが接続されたことを示す情報や、不正なコマンドが（エラーなく）実行されたことを示す情報等が、既遂の攻撃に関する検知データとなる。
【００５４】
分析対象の検知データが「既遂」の場合（Ｓ７０３で「既遂」）、すでに侵入や感染がなされており、影響が拡大するリスクが高い。このため、当該検知データに関する機器の切り離し対策を推奨対策として、対策パターン格納部４０６から選定する（Ｓ７０４）。例えば、当該検知データに関する機器をネットワーク７０から切り離したり、当該検知データに関する機器に関する通信を遮断する対策を推奨対策とする。
【００５５】
次に、分析対象の検知データについて、フィジカル検知データかサイバー検知データのどちらの種別なのかを判定する（Ｓ７０５）。当該検知データがフィジカル検知データの場合（Ｓ７０５で「フィジカル」）、制御システムの現場に不正者が居ることを意味し、攻撃がセキュリティ装置や機能で防げた場合にも、すぐさま他の方法で攻撃をなされるリスクがある。このため、インシデントの重要度を「高」に設定する（Ｓ７０６）。
【００５６】
分析対象の検知データがサイバー検知データの場合（Ｓ７０５で「サイバー」）、リモートから攻撃がされている可能性が高く、攻撃がセキュリティ装置やセキュリティ機能で防げた場合には、別の手段での攻撃をするまでにはある程度の時間を要することが想定できる。このため、インシデントの重要度を「中」に設定する（Ｓ７０７）。
【００５７】
一方、当該分析対象の検知データが「未遂」の場合（Ｓ７０３で「未遂」）、攻撃は発生しているが侵入や感染にはいたっていないことを示す。このため、当該検知データに関する機器について、監視を強化する対策を推奨対策として、対策パターン格納部４０６から選定する（Ｓ７０８）。例えば、各機器から収集する検知データだけでなく、より詳細なログを収集したり、現場の機器の画面にて、サイバー攻撃に関するログが出力されていないかをチェックしたりする対策を推奨対策とする。
【００５８】
次に、分析対象の検知データについて、フィジカル検知データかサイバー検知データのどちらの種別なのかを判定する（Ｓ７０９）。当該検知データがフィジカル検知データの場合（Ｓ７０９で「フィジカル」）、制御システムの現場に不正者が居ることを意味し、現状は未遂の攻撃であっても、すぐさま他の方法で攻撃をなされるリスクがある。このため、インシデントの重要度を「中」に設定する（Ｓ７１０）。
【００５９】
分析対象の検知データがサイバー検知データの場合（Ｓ７０９で「サイバー」）、リモートから攻撃がなされている可能性が高く、攻撃がセキュリティ装置やセキュリティ機能で防げた場合には、別の手段での攻撃をするまでにはある程度の時間を要することが想定できる。このため、インシデントの重要度を「低」に設定する（Ｓ７１１）。
【００６０】
次に、Ｓ７０４またはＳ７０８で取得した推奨対策情報と、Ｓ７０６、Ｓ７０７、Ｓ７１０、Ｓ７１１で決定した重要度の情報を、分析結果格納部４０７へ格納し（Ｓ５０９）、統合分析処理を終了する（Ｓ５１０）。
【００６１】
図１０は、図１の監視装置のインシデント状況確認画面の表示例を示す図である。
図１０において、インシデント状況確認画面Ａ８０１は、システム構成画面Ａ８０２と、インシデント分析結果画面Ａ８０３と、フィジカル検知データ詳細画面Ａ８０４を備える。システム構成画面Ａ８０２には、監視対象の制御システムの構成が示される。システム構成画面Ａ８０２の制御装置Ａ〜Ｄは、図１の制御装置１０１〜１０ｎである。ここで、監視装置４０は、制御装置Ａ、Ｂについてインシデントを検知した場合、制御装置Ａ、Ｂを強調表示することができる。インシデント分析結果画面Ａ８０３は、インシデントを識別するためのインシデントＩＤＡ８０５と、当該インシデントＩＤＡ８０５で示されるインシデントの重要度を示す重要度Ａ８０６と、当該インシデントの影響を最小限に抑えるための一次対処として推奨される対策を示す推奨対策Ａ８０７と、当該インシデントで感染が疑われる箇所を示す感染箇所Ａ８０８と、当該感染箇所に関する詳細情報を示す詳細Ａ８０９と、更なる詳細情報を示す参考情報Ａ８１０を表示する。
【００６２】
フィジカル検知データ詳細Ａ８０４は、フィジカル検知データが含まれる場合に、参考情報Ａ８１０としてフィジカル検知データの根拠となった画像を表示する。本画像は、参考情報Ａ８１０の項目内のリンクをクリックした際に、その日時や位置情報を基に映像解析装置６０へ問い合わせて取得する。
【００６３】
なお、インシデント状況確認画面Ａ８０１の表示内容は上記に限定されるものではなく、少なくとも上記の要素が含まれていればよい。また、インシデント状況確認画面Ａ８０１の構成要素の表示順序は上記に限定されるものではない。
【００６４】
上述した第１実施形態では、映像解析装置６０が、モニタリング情報Ａ９０１からインタフェースに対するアクション情報を抽出し、そのアクション情報を基にフィジカル検知データＡ１０１１を生成し、監視装置４０へ送信する方法について説明した。これに対し、映像解析装置６０が、モニタリング情報Ａ９０１から抽出したアクション情報を監視装置４０へ送信し、監視装置４０が、そのアクション情報を基にフィジカル検知データＡ１０１１を生成するようにしてもよい。
【００６５】
図１１は、第２実施形態に係る監視システムにおけるフィジカル検知データの抽出の処理フローを示す図である。なお、監視装置４０には、Ｓ１１０６で参照する検知ルールを格納する検知ルール格納部を設けることができる。この検知ルールは、図６の内容と同様に構成することができる。
図１１において、監視カメラ５０は、監視対象機器である制御機器１０１〜１０ｎ等のインタフェース部分をモニタリング（撮影）する（Ｓ１１０１）。次に、監視カメラ５０は、監視対象機器を撮影した画像を含むモニタリング情報Ａ９０１を生成し、映像解析装置６０へ送付する（Ｓ１１０２）。
【００６６】
次に、映像解析装置６０は、監視カメラ５０からモニタリング情報Ａ９０１を受信すると、監視対象機器の映像の解析を行い、インタフェースに対するアクション情報を抽出する（Ｓ１１０３）。そして、映像解析装置６０は、そのアクション情報を監視装置４０へ送信する（Ｓ１１０４）。
【００６７】
次に、監視装置４０は、インタフェースに対するアクション情報を受信すると（Ｓ１１０５）、モニタリング情報Ａ９０１から抽出したアクション情報が、検知ルール格納部に保持された検知ルールにマッチするか否かを判定する（Ｓ１１０６）。アクション情報が検知ルールにマッチした場合（Ｓ１１０６でＹＥＳ）、そのアクション情報を基にフィジカル検知データＡ１０１１を生成する（Ｓ１１０７）。一方、アクション情報が検知ルールにマッチしない場合（Ｓ１１０７でＮＯ）、監視装置４０は、次のアクション情報解析処理を実行する。
【００６８】
ここで、監視装置４０側でアクション情報解析処理を実行することにより、映像解析装置６０側でアクション情報解析処理を実行する必要がなくなり、映像解析装置６０の負荷を低減することができる。
【００６９】
図１２は、第２実施形態に係る監視システムにおけるセキュリティインシデントの検知および対処の処理フローを示す図である。
図１２において、映像解析装置６０は、インタフェースに対するアクション情報を検知すると（Ｓ１２０１）、監視装置４０へアクション情報を送信する（Ｓ１２０２）。監視装置４０は、アクション情報に対して検知ルールとのマッチングを行うことで異常を検知した場合、フィジカル検知データを生成する（Ｓ１２０３）。これ以降のＳ１２０４〜Ｓ１２１２の処理内容は、図７のＳ６０３〜Ｓ６１１と同様である。
【００７０】
以上説明したように、上述した実施形態によれば、多数の操作員が制御装置１０１〜１０ｎを扱うような制御システムにおいて、機器や端末のログは収集せずに、それらの機器や端末への攻撃を侵入フェーズで早期に検知可能となる。
【００７１】
なお、本発明は、上記の実施形態に限定されるものではなく、その要旨の範囲内で様々な変形が可能である。例えば、監視カメラ５０以外のフィジカルセキュリティ装置でアクション情報及びフィジカル検知データを生成する場合や、不正通信防止装置２０や不正接続防止装置３０以外の検知装置が接続されている場合や、監視装置４０内に不正通信防止装置２０や不正接続防止装置３０の機能が含まれている場合や、制御装置１０１〜１０ｎや監視装置４０や不正通信防止装置２０や不正接続防止装置３０にネットワーク７０との通信機能が含まれておらず、別の装置を経由してネットワーク７０と通信を行う場合などである。当該実施形態の場合においても、システム全体において行う処理に本質的な変化はない。
【符号の説明】
【００７２】
１０１〜１０ｎ…制御装置、１１…通信装置、１２…入出力装置、１３…記憶装置、１４…ＣＰＵ、１５…メモリ、１６…内部信号線、１０１１〜１０１ｎ…制御処理部、１０２１〜１０２ｎ…通信部、２０…不正通信防止装置、２１１…第一通信装置、２１２…第二通信装置、２２…記憶装置、２２…記憶装置、２３…入出力装置、２４…ＣＰＵ、２５…メモリ、２６…内部信号線、２０１…フィルタリング部、２０２…検知データ生成部、２０３…通信ログ収集部、２０４…ポリシ更新部、２０５…モード管理部、２０６…第一通信部、２０７…フィルタリングポリシ格納部、２０８…通信ログ格納部、２０９…第二通信部、３０…不正接続防止装置、３０１…不正接続検知部、３０２…検知データ生成部、３０３…リスト更新部、３０４…通信部、３０５…正当機器リスト格納部、４０…監視装置、４０１…検知データ収集部、４０２…統合分析部、４０３…対策実行部、４０４…通信部、４０５…検知データ格納部、４０６…対策パターン格納部、４０７…分析結果格納部、４０８…入出力部、５０…監視カメラ、５０１…撮影部、５０２…通信部、６０…映像解析装置、６０１…映像収集部、６０２…検知データ生成部、６０３…映像格納部、６０４…検知ルール格納部、６０５…通信部、７０…ネットワーク
【図１】
2019204259.tif 000003
【図２】
2019204259.tif 000004
【図３】
2019204259.tif 000005
【図４】
2019204259.tif 000006
【図５】
2019204259.tif 000007
【図６】
2019204259.tif 000008
【図７】
2019204259.tif 000009
【図８】
2019204259.tif 000010
【図９】
2019204259.tif 000011
【図１０】
2019204259.tif 000012
【図１１】
2019204259.tif 000013
【図１２】
2019204259.tif 000014