(57)【要約】【課題】ネットワーク機器におけるセキュリティの向上を実現する。【解決手段】コントローラ１は、通信相手のネットワーク機器のＩＰアドレスに対応するＭＡＣアドレスを得るアドレス解決部１４と、ＩＰアドレスとＭＡＣアドレスとを対応付けて記憶するＡＲＰテーブル１５と、ＡＲＰテーブル１５にＩＰアドレスおよびＭＡＣアドレスが登録されたネットワーク機器が正規の機器かどうかを定期的に検証する検証部１６と、検証部１６によってネットワーク機器が正規の機器でないと判断された場合に、このネットワーク機器のＩＰアドレスとＭＡＣアドレスの組をＡＲＰテーブル１５から削除するエントリ削除部２０とを備えている。【選択図】  図２
2019009670.tif 000002
【特許請求の範囲】
【請求項１】
通信相手のネットワーク機器の論理アドレスに対応する物理アドレスを求めるように構成されたアドレス解決部と、
前記論理アドレスと前記物理アドレスとを対応付けて記憶するように構成された管理テーブルと、
前記管理テーブルに論理アドレスと物理アドレスとが登録されたネットワーク機器が正規の機器かどうかを定期的に検証するように構成された検証部と、
前記検証部によってネットワーク機器が正規の機器でないと判断された場合に、このネットワーク機器の論理アドレスと物理アドレスの組を前記管理テーブルから削除するエントリ削除部とを備えることを特徴とするネットワーク機器。
【請求項２】
請求項１記載のネットワーク機器において、
他のネットワーク機器から検証パケットを受信したときに、規定の応答パケットを、前記検証パケットの送信元のネットワーク機器に対して返信するように構成された検証パケット応答部をさらに備え、
前記検証部は、前記管理テーブルに論理アドレスと物理アドレスとが登録されたネットワーク機器に対して規定の前記検証パケットを定期的に送信し、この検証パケットに対する応答パケットが正規のものである場合に、前記検証パケットの宛先のネットワーク機器が正規の機器であると判断し、前記検証パケットを送信してから所定の経過時間内に応答パケットを受信できなかった場合、あるいは受信した応答パケットが不正規なものであった場合に、前記検証パケットの宛先のネットワーク機器が不正規の機器であると判断することを特徴とするネットワーク機器。
【請求項３】
請求項１または２記載のネットワーク機器において、
前記検証部によってネットワーク機器が正規の機器でないと判断された場合に、前記エントリ削除部によって削除されたアドレスの情報をオペレータに通知する検証結果通知部をさらに備えることを特徴とするネットワーク機器。
【請求項４】
請求項１乃至３のいずれか１項に記載のネットワーク機器において、
他のネットワーク機器からアクセス要求パケットを受信したときに、このアクセス要求パケットの送信元のネットワーク機器のアドレスが前記管理テーブルに登録されていない場合に、前記アクセス要求パケットに対する応答を不許可とする応答拒絶部をさらに備えることを特徴とするネットワーク機器。
【請求項５】
請求項１乃至４のいずれか１項に記載のネットワーク機器において、
前記論理アドレスはＩＰアドレスであり、前記物理アドレスはＭＡＣアドレスであることを特徴とするネットワーク機器。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークに接続される例えばプロセスコントローラなどのネットワーク機器に関するものである。
【背景技術】
【０００２】
プロセス・ＦＡ（Factory Automation）業界においても、イーサネット（登録商標）は標準的な通信媒体として用いられている（特許文献１参照）。コントローラは、上位のヒューマン・マシン・インターフェイス（ＨＭＩ、ＤＥＯスーパーバイザリステーション（ＳＳ）など）とデータのやり取りを行うのにイーサネットを使用する。イーサネットでは、ネットワーク上の機器毎に、ユニークなＩＰ（Internet Protocol）アドレスを割り振るが、実際の通信にはＮＩＣ（Network Interface Controller）のＭＡＣ（Media Access Control）アドレスが使用される。コントローラ内部では、データの送信時に送信先機器のＩＰアドレスをＭＡＣアドレスへ変換して、ＭＡＣアドレスを通信データと一緒にＮＩＣへ渡して通信を実施する。
【０００３】
コントローラが接続されている制御ネットワークに、悪意のあるユーザの機器が接続され、その機器からコントローラに対してＨＭＩ（Human-Machine Interface）のＩＰアドレスを偽装した通信データ（ＡＲＰ（Address Resolution Protocol）パケット）が送信されると、コントローラはこの機器をＨＭＩとして認識してしまう。これにより、ＨＭＩ宛ての通信データがコントローラから機器へ送信されてしまうことになり、ＨＭＩ側から見るとコントローラとの通信データが届かない状態になってしまうという問題点があった。このような問題は、コントローラに限らず、他のネットワーク機器においても同様に発生する。
【０００４】
ネットワーク機器にファイヤーウォール機能を用意するなどの方法が従来から提案されているものの、ＰＣ（Personal Computer）のような頻繁なアップデートが困難な状況にあるネットワーク機器に関しては十分なセキュリティの効果が得られるとは言えない。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２０１０−２８５０５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
本発明は、上記課題を解決するためになされたもので、ネットワーク機器におけるセキュリティの向上を実現することを目的とする。
【課題を解決するための手段】
【０００７】
本発明のネットワーク機器は、通信相手のネットワーク機器の論理アドレスに対応する物理アドレスを求めるように構成されたアドレス解決部と、前記論理アドレスと前記物理アドレスとを対応付けて記憶するように構成された管理テーブルと、前記管理テーブルに論理アドレスと物理アドレスとが登録されたネットワーク機器が正規の機器かどうかを定期的に検証するように構成された検証部と、前記検証部によってネットワーク機器が正規の機器でないと判断された場合に、このネットワーク機器の論理アドレスと物理アドレスの組を前記管理テーブルから削除するエントリ削除部とを備えることを特徴とするものである。
また、本発明のネットワーク機器の１構成例は、他のネットワーク機器から検証パケットを受信したときに、規定の応答パケットを、前記検証パケットの送信元のネットワーク機器に対して返信するように構成された検証パケット応答部をさらに備え、前記検証部は、前記管理テーブルに論理アドレスと物理アドレスとが登録されたネットワーク機器に対して規定の前記検証パケットを定期的に送信し、この検証パケットに対する応答パケットが正規のものである場合に、前記検証パケットの宛先のネットワーク機器が正規の機器であると判断し、前記検証パケットを送信してから所定の経過時間内に応答パケットを受信できなかった場合、あるいは受信した応答パケットが不正規なものであった場合に、前記検証パケットの宛先のネットワーク機器が不正規の機器であると判断することを特徴とするものである。
【０００８】
また、本発明のネットワーク機器の１構成例は、前記検証部によってネットワーク機器が正規の機器でないと判断された場合に、前記エントリ削除部によって削除されたアドレスの情報をオペレータに通知する検証結果通知部をさらに備えることを特徴とするものである。
また、本発明のネットワーク機器の１構成例は、他のネットワーク機器からアクセス要求パケットを受信したときに、このアクセス要求パケットの送信元のネットワーク機器のアドレスが前記管理テーブルに登録されていない場合に、前記アクセス要求パケットに対する応答を不許可とする応答拒絶部をさらに備えることを特徴とするものである。
また、本発明のネットワーク機器の１構成例において、前記論理アドレスはＩＰアドレスであり、前記物理アドレスはＭＡＣアドレスである。
【発明の効果】
【０００９】
本発明によれば、ＩＰアドレスを偽装するＩＰスプーフィングにより、本来通信すべきノードが本発明のネットワーク機器と通信不能になることを防止でき、また本発明のネットワーク機器のデータが不正規のネットワーク機器へ漏洩する可能性を低減することができる。また、本発明では、悪意のあるユーザのネットワーク機器による固有プロトコルの大量送信により、ネットワーク機器がサービス停止に陥ることを防止することができる。
【図面の簡単な説明】
【００１０】
【図１】図１は、本発明の実施例に係る制御システムの構成を示すブロック図である。
【図２】図２は、本発明の実施例に係る制御システムのコントローラの構成を示すブロック図である。
【図３】図３は、本発明の実施例に係る制御システムのＨＭＩの構成を示すブロック図である。
【図４】図４は、本発明の実施例に係る制御システムのコントローラの動作を説明するフローチャートである。
【図５】図５は、本発明の実施例に係る制御システムのＨＭＩの動作を説明するフローチャートである。
【図６】図６は、本発明の実施例において不正規のネットワーク機器が接続されたときの動作を説明する図である。
【発明を実施するための形態】
【００１１】
以下、本発明の実施例について図面を参照して説明する。図１は本発明の実施例に係る制御システムの構成を示すブロック図である。制御システムは、例えば流量や圧力、温度等のプロセス変数を制御すると共に、流量や圧力、温度等の計測データをイーサネット等の制御ネットワーク２に送信するネットワーク機器であるコントローラ１と、コントローラ１による制御を監視したり制御装置１に指示を与えたりする機能を備えた上位のネットワーク機器であるＨＭＩ３，４とから構成される。
【００１２】
図２はコントローラ１の構成を示すブロック図である。コントローラ１は、例えば流量計や圧力計、温度センサ等のセンサ（不図示）から計測データを収集するデータ収集部１０と、バルブやヒータ等を制御する制御部１１と、制御ネットワーク２に対してパケットを送信する送信部１２と、制御ネットワーク２からのパケットを受信する受信部１３と、通信相手のネットワーク機器のＩＰアドレス（論理アドレス）に対応するＭＡＣアドレス（物理アドレス）を得るアドレス解決部１４と、ＩＰアドレスとＭＡＣアドレスとを対応付けて記憶するＡＲＰテーブル（管理テーブル）１５と、ＡＲＰテーブル１５にＩＰアドレスおよびＭＡＣアドレスが登録された機器が正規の機器かどうかを定期的に検証する検証部１６と、他のネットワーク機器から検証パケットを受信したときに規定の応答パケットを返信する検証パケット応答部１７と、検証部１６によってネットワーク機器が正規の機器でないと判断された場合に、このネットワーク機器のアドレスの情報をオペレータに通知する検証結果通知部１８と、他のネットワーク機器からアクセス要求パケットを受信したときに、このアクセス要求パケットの送信元のネットワーク機器のアドレスがＡＲＰテーブル１５に登録されていない場合に、アクセス要求パケットに対する応答を不許可とする応答拒絶部１９と、検証部１６によってネットワーク機器が正規の機器でないと判断された場合に、このネットワーク機器のＩＰアドレスとＭＡＣアドレスの組をＡＲＰテーブル１５から削除するエントリ削除部２０とを備えている。
【００１３】
図３はＨＭＩ３の構成を示すブロック図である。ＨＭＩ３は、制御ネットワーク２に対してパケットを送信する送信部３０と、制御ネットワーク２からのパケットを受信する受信部３１と、制御ネットワーク２を介してコントローラ１による制御を監視したり制御装置１に指示を与えたりするための監視機能部３２と、アドレス解決部３３と、ＡＲＰテーブル（管理テーブル）３４と、検証部３５と、検証パケット応答部３６と、検証結果通知部３７と、応答拒絶部３８と、エントリ削除部３９とを備えている。ＨＭＩ４の構成も、ＨＭＩ３と同様である。
【００１４】
本発明は、ネットワークを介した通信を対象とするものなので、制御方法やプロセス変数の種類によらず適用が可能である。したがって、図１、図２では、計測データを取得するセンサや、制御装置１によって制御されるバルブやヒータ等については記載を省略している。コントローラ１のデータ収集部１０や制御部１１、およびＨＭＩ３，４の監視機能部３２は従来より周知の構成であるので、これらについては説明を省略する。
【００１５】
また、コントローラ１の送信部１２と受信部１３とアドレス解決部１４とＡＲＰテーブル１５とは、従来のＮＩＣで実現されている手段である。ＨＭＩ３，４の送信部３０と受信部３１とアドレス解決部３３とＡＲＰテーブル３４についても同様である。
【００１６】
次に、本実施例の制御システムにおけるネットワーク機器間の通信動作について説明する。例えばＨＭＩ３またはＨＭＩ４からコントローラ１に対してパケットを送る際に、コントローラ１のＭＡＣアドレスが不明な場合、ＨＭＩ３またはＨＭＩ４のアドレス解決部３３は、コントローラ１のＩＰアドレスに対応するＭＡＣアドレスを問い合わせるＡＲＰ要求パケットを、ブロードキャストで送信する。
ＡＲＰ要求パケットに含まれる宛先ＩＰアドレスを持っていないネットワーク機器は、ＡＲＰ要求パケットに応答しない。
【００１７】
一方、ＡＲＰ要求パケットに含まれる宛先ＩＰアドレスを有するコントローラ１のアドレス解決部１４は、制御ネットワーク２および受信部１３を介してＡＲＰ要求パケットを受信すると、コントローラ１のＭＡＣアドレスを通知するＡＲＰ応答パケットをＡＲＰ要求パケットの送信元に返信する。
【００１８】
コントローラ１からのＡＲＰ応答パケットを受信したＨＭＩ３またはＨＭＩ４のアドレス解決部３３は、コントローラ１のＩＰアドレスとＡＲＰ応答パケットによって通知されたコントローラ１のＭＡＣアドレスとを対応付けてＡＲＰテーブル３４に保存する。
【００１９】
一方、ＡＲＰ要求パケットを受信したコントローラ１のアドレス解決部１４は、ＡＲＰ要求パケットに含まれる送信元ＩＰアドレスとＡＲＰ要求パケットに含まれる送信元ＭＡＣアドレスとを対応付けてＡＲＰテーブル１３に保存する。
以降の動作では、ＡＲＰテーブル１５，３４の登録内容を利用して通信が行われるが、このようなＡＲＰテーブル１５，３４を利用した通信はＮＩＣにおいて周知の技術である。
【００２０】
次に、本実施例の特徴的な動作について説明する。図４はコントローラ１の動作を説明するフローチャート、図５はＨＭＩ３の動作を説明するフローチャートである。
コントローラ１の検証部１６は、ＡＲＰテーブル１５にＩＰアドレスおよびＭＡＣアドレスが登録されたネットワーク機器が正規の機器かどうかを定期的に検証する。具体的には、検証部１６は、検証タイミングになったときに（図４ステップＳ１００においてＹＥＳ）、検証部１６内に予め登録されている規定の検証パケットを、ＡＲＰテーブル１５にＩＰアドレスおよびＭＡＣアドレスが登録されたネットワーク機器に対して送信する（図４ステップＳ１０１）。この検証パケットは、コントローラ１の送信部１２を介して制御ネットワーク２に送出される。
【００２１】
ＨＭＩ３の検証パケット応答部３６は、制御ネットワーク２および受信部３１を介して検証パケットを受信すると（図５ステップＳ２００においてＹＥＳ）、検証パケット応答部３６内に予め登録されている、規定の応答パケットを、検証パケットの送信元のＨＭＩ３に対して返信する（図５ステップＳ２０１）。この応答パケットは、ＨＭＩ３の送信部３０を介して制御ネットワーク２に送出される。
【００２２】
コントローラ１の検証部１６は、制御ネットワーク２および受信部１３を介して応答パケットを受信すると（図４ステップＳ１０２においてＹＥＳ）、この応答パケットが正規のものかどうかを確認する（図４ステップＳ１０３）。検証部１６は、例えば応答パケットのペイロードに含まれるデータが、検証部１６に予め登録されている検証用のデータと一致する場合、応答パケットが正規のものと判断し、検証用のデータと一致しない場合、応答パケットが不正規なものと判断する。なお、応答パケットの確認は別の方法で行ってもよい。
【００２３】
検証部１６は、受信した応答パケットが正規のものである場合、検証パケットの宛先のネットワーク機器が正規の機器であると判断し、このネットワーク機器のＩＰアドレスとＭＡＣアドレスの組（ＡＲＰエントリ）を、ＡＲＰテーブル１５に登録されたままの状態とする（図４ステップＳ１０４）。
【００２４】
また、検証部１６は、検証パケットを送信してから所定の経過時間内に応答パケットを受信できなかった場合（図４ステップＳ１０５においてＹＥＳ）、あるいは受信した応答パケットが不正規なものであった場合（ステップＳ１０３においてＮＯ）、検証パケットの宛先のネットワーク機器が不正規の機器であると判断する。エントリ削除部２０は、検証部１６によってネットワーク機器が不正規の機器であると判断された場合に、このネットワーク機器のＩＰアドレスとＭＡＣアドレスの組（ＡＲＰエントリ）を、ＡＲＰテーブル１５から削除する（図４ステップＳ１０６）。
【００２５】
コントローラ１の検証結果通知部１８は、検証部１６によって不正規のネットワーク機器が検出されたときに、ＡＲＰテーブル１５から削除されたＩＰアドレスとＭＡＣアドレスの組を、イベント通知（ブロードキャスト送信）でオペレータへ通知する（図４ステップＳ１０７）。
【００２６】
オペレータは、制御ネットワーク２に接続されたネットワーク機器（例えばＨＭＩ３やＨＭＩ４）で、コントローラ１から通知されたアドレス情報を確認することができ、不正規のネットワーク機器の存在を認識することができる。
【００２７】
コントローラ１は、ＡＲＰテーブル１５に登録されている全てのＡＲＰエントリについて検証を終えるまで（図４ステップＳ１０８においてＹＥＳ）、ステップＳ１０１〜Ｓ１０７の処理を、ＡＲＰエントリ毎に行う。
【００２８】
次に、コントローラ１の制御部１１は、外部のネットワーク機器から、例えばコントローラ１に設定されているパラメータを求めるアクセス要求パケットや計測データを求めるアクセス要求パケットなどを受信したときに、この要求に応える。
【００２９】
ただし、コントローラ１の応答拒絶部１９は、外部のネットワーク機器からのアクセス要求パケットを受信したときに（図４ステップＳ１０９においてＹＥＳ）、このアクセス要求パケットの送信元のネットワーク機器のＩＰアドレスがＡＲＰテーブル１５に登録されているかどうかを確認する（図４ステップＳ１１０）。
【００３０】
応答拒絶部１９は、アクセス要求パケットの送信元のネットワーク機器のＩＰアドレス（すなわちＡＲＰエントリ）がＡＲＰテーブル１５に登録されている場合（ステップＳ１１０においてＹＥＳ）、アクセス要求パケットに対する応答を許可し（図４ステップＳ１１１）、対応するＡＲＰエントリが登録されていない場合には、アクセス要求パケットに対する応答を不許可とする（図４ステップＳ１１２）。なお、上記のＡＲＰ要求パケットは、ステップＳ１０９〜Ｓ１１２の対象外である。
【００３１】
コントローラ１は、図４のステップＳ１００〜Ｓ１１２の処理を制御システムの動作が終了するまで（図４ステップＳ１１３においてＹＥＳ）、繰り返し行う。
また、ＨＭＩ３は、図５のステップＳ２００，Ｓ２０１の処理を制御システムの動作が終了するまで（図５ステップＳ２０２においてＹＥＳ）、繰り返し行う。図５では、ＨＭＩ３の例を挙げて説明しているが、ＨＭＩ４の動作もＨＭＩ３と同様である。
【００３２】
以上のように、本実施例では、ＡＲＰテーブルにＩＰアドレスとＭＡＣアドレスとが登録されたネットワーク機器が正規の機器かどうかを定期的に検証し、ネットワーク機器が正規の機器でないと判断した場合に、このネットワーク機器のＩＰアドレスとＭＡＣアドレスの組をＡＲＰテーブルから削除するようにしている。
【００３３】
上記の動作により、図６に示すように、ＨＭＩ３からはＡＲＰ要求パケットＰ３がコントローラ１に対して送信され、コントローラ１のＩＰアドレスとＭＡＣアドレスの組がＨＭＩ３のＡＲＰテーブル３４に登録される共に、ＨＭＩ３のＩＰアドレスとＭＡＣアドレスの組がコントローラ１のＡＲＰテーブル１５に登録される。
【００３４】
一方、悪意のあるユーザのネットワーク機器５が制御ネットワーク２に接続され、このネットワーク機器５がＨＭＩ４のＩＰアドレスを偽装して、ＨＭＩ４の代わりにＡＲＰ要求パケットＰ４をコントローラ１に送信すると、コントローラ１のＩＰアドレスとＭＡＣアドレスの組がネットワーク機器５のＡＲＰテーブルに登録されると共に、ネットワーク機器５のＩＰアドレスとＭＡＣアドレスの組がコントローラ１のＡＲＰテーブル１５に登録される。
【００３５】
したがって、悪意のあるユーザが使用するネットワーク機器５へコントローラ１のデータが漏洩してしまう虞があるが、本実施例では、コントローラ１のＡＲＰテーブル１５にＩＰアドレスとＭＡＣアドレスとが登録されたＨＭＩ３にコントローラ１から検証パケットＶＰ３を送信し、同様にネットワーク機器５に検証パケットＶＰ４を送信する。検証パケットＶＰ３に対して、ＨＭＩ３からは正規の応答パケットＲＰ３がコントローラ１に対して送信される。一方、不正規のネットワーク機器５は、検証パケットＶＰ４に応答することができず、可能であったとしても、ネットワーク機器５から送信される応答パケットＲＰ４はコントローラ１で不正規のものと判定される。
【００３６】
したがって、本実施例では、ネットワーク機器５のＩＰアドレスとＭＡＣアドレスの組をコントローラ１のＡＲＰテーブル１５から削除することができる。近年は制御システムにおいてもセキュリティ強化が求められるようになってきているが、本実施例では、ＩＰアドレスを偽装するＩＰスプーフィングにより、本来通信すべきノード（図６の例ではＨＭＩ４）がコントローラ１と通信不能になることを防止でき、またコントローラ１のデータがネットワーク機器５へ漏洩する可能性を低減することができる。また、本実施例では、悪意のあるユーザのネットワーク機器５による固有プロトコルの大量送信（ＤｏＳ攻撃）により、コントローラ１がサービス停止に陥ることを防止することができる。
【００３７】
なお、コントローラ１だけでなく、ＨＭＩ３，４等の上位のネットワーク機器に本発明を適用してもよい。すなわち、コントローラ１とＨＭＩ３，４の動作を入れ替えてもよい。この場合は、図４で説明した処理をＨＭＩ３，４のＡＲＰテーブル３４、検証部３５、検証結果通知部３７、応答拒絶部３８およびエントリ削除部３９が行い、図５で説明した処理をコントローラ１の検証パケット応答部１７が行うようにすればよい。また、コントローラやＨＭＩ以外のネットワーク機器に本発明を適用することも可能である。
【００３８】
本実施例のコントローラ１とＨＭＩ３，４の各々は、ＣＰＵ（Central Processing Unit）、記憶装置および外部とのインタフェースを備えたコンピュータと、これらのハードウェア資源を制御するプログラムによって実現することができる。各装置のＣＰＵは、記憶装置に格納されたプログラムに従って本実施例で説明した処理を実行する。
【産業上の利用可能性】
【００３９】
本発明は、ネットワーク機器に適用することができる。
【符号の説明】
【００４０】
１…コントローラ、２…制御ネットワーク、３，４…ＨＭＩ、５…ネットワーク機器、１０…データ収集部、１１…制御部、１２，３０…送信部、１３，３１…受信部、１４，３３…アドレス解決部、１５，３４…ＡＲＰテーブル、１６，３５…検証部、１７，３６…検証パケット応答部、１８，３７…検証結果通知部、１９，３８…応答拒絶部、２０，３９…エントリ削除部、３２…監視機能部。
【図１】
2019009670.tif 000003
【図２】
2019009670.tif 000004
【図３】
2019009670.tif 000005
【図４】
2019009670.tif 000006
【図５】
2019009670.tif 000007
【図６】
2019009670.tif 000008