(57)【要約】  【課題】異なるセキュリティポリシーが規定されている複数の通信ネットワークについてそれらのセキュリティーポリシーを統括して効率的に管理する。  【解決手段】  コンピュータネットワークの異常を検知するためのセキュリティポリシー情報の管理方法。複数の前記コンピュータネットワークの構成を模擬してなる試験ネットワークからその動作状態に関する特徴量を収集し、収集した特徴量から各前記コンピュータネットワークに適用されることとなる前記セキュリティポリシー情報を作成して保持し、前記特徴量について、保持している前記セキュリティポリシー情報で規定される判断基準を逸脱する異常が検出された場合、保持されている前記セキュリティポリシー情報について、前記検出された異常が該当すると判定した場合、当該異常に対応して更新した前記セキュリティーポリシー情報をその適用先であるコンピュータネットワークの管理エンティティに送信する。【選択図】  図１
2019022099.tif 000002
【特許請求の範囲】
【請求項１】
複数の互いに異なるコンピュータネットワークの異常を検知するための判断基準を表す情報であるセキュリティポリシー情報を管理するための方法であって、
プロセッサ及びメモリを備えているコンピュータが、
監視対象である複数の前記コンピュータネットワークの構成を模擬してなる試験ネットワークから当該試験ネットワークの動作状態に関する特徴量を収集し、
収集した前記特徴量から各前記コンピュータネットワークに適用されることとなる前記セキュリティポリシー情報を作成して保持し、
前記試験ネットワークにおいて収集した前記特徴量について、保持している前記セキュリティポリシー情報で規定される判断基準を逸脱する異常が検出された場合、保持されている前記セキュリティポリシー情報について、前記検出された異常が該当するか判定し、該当すると判定した場合、前記検出された異常に対応して当該セキュリティポリシー情報を更新し、更新後の前記セキュリティーポリシー情報を当該セキュリティポリシー情報の適用先であるコンピュータネットワークの管理エンティティに送信する、
セキュリティーポリシー情報管理方法。
【請求項２】
請求項１に記載のセキュリティーポリシー情報管理方法であって、
前記セキュリティーポリシー情報は、前記試験ネットワークにおいて所定の特徴量の正常範囲を規定するホワイトリストとして構成される、
セキュリティーポリシー管理方法。
【請求項３】
請求項１に記載のセキュリティーポリシー情報管理方法であって、
前記試験ネットワークは当該試験ネットワークの通信状態を示す所定の特徴量データを収集してセキュリティポリシー情報を生成する動作モードである学習モードと、前記セキュリティポリシー情報に基づいて当該試験ネットワークの動作状態に異常がないか監視する監視モードとで動作可能に構成されている、
セキュリティーポリシー情報管理方法。
【請求項４】
請求項１に記載のセキュリティーポリシー情報管理方法であって、
前記特徴量として、前記試験ネットワークを構成するノードに付与されているＩＰアドレス、ＭＡＣアドレス、前記試験ネットワークにおける通信データ量、及び前記各ノードが通信に用いるポート番号の少なくともいずれかを含む、
セキュリティーポリシー情報管理方法。
【請求項５】
複数の互いに異なるコンピュータネットワークの異常を検知するための判断基準であるセキュリティポリシー情報を管理するためのシステムであって、
監視対象である複数のコンピュータネットワークの構成を模擬してなる試験ネットワークから当該試験ネットワークの動作状態に関する特徴量を収集する処理部と、
収集した前記特徴量から各前記コンピュータネットワークに適用されることとなる前記セキュリティポリシー情報を作成して保持する処理部と、
前記試験ネットワークにおいて収集した前記特徴量について、保持している前記セキュリティポリシーで規定される判断基準を逸脱する異常が検出された場合、保持されている前記セキュリティポリシーについて、前記検出された異常が該当するか判定し、該当すると判定した場合、前記検出された異常に対応して当該セキュリティポリシー情報を更新し、更新後の前記セキュリティーポリシー情報を当該セキュリティポリシー情報の適用先であるコンピュータネットワークの管理エンティティに送信する処理部と、
を備えているセキュリティーポリシー情報管理システム。
【請求項６】
請求項５に記載のセキュリティーポリシー情報管理システムであって、
前記セキュリティーポリシー情報は、前記試験ネットワークにおいて所定の特徴量の正常範囲を規定するホワイトリストとして構成される、
セキュリティーポリシー情報管理システム。
【請求項７】
請求項５に記載のセキュリティーポリシー情報管理システムであって、
前記試験ネットワークは当該試験ネットワークの通信状態を示す所定の特徴量データを収集してセキュリティポリシーを生成する動作モードである学習モードと、前記セキュリティポリシーに基づいて当該試験ネットワークの動作状態に異常がないか監視する監視モードとで動作可能に構成されている、
セキュリティーポリシー情報管理システム。
【請求項８】
請求項５に記載のセキュリティーポリシー情報管理システムであって、
前記特徴量として、前記試験ネットワークを構成するノードに付与されているＩＰアドレス、ＭＡＣアドレス、前記試験ネットワークにおける通信データ量、及び前記各ノードが通信に用いるポート番号の少なくともいずれかを含む、
セキュリティーポリシー情報管理システム。
【請求項９】
複数の互いに異なるコンピュータネットワークの異常を検知するための判断基準であるセキュリティポリシー情報を管理するために、
プロセッサ及びメモリを備えているコンピュータに、
監視対象である複数の前記コンピュータネットワークの構成を模擬してなる試験ネットワークから当該試験ネットワークの動作状態に関する特徴量を収集する処理と、
収集した前記特徴量から各前記コンピュータネットワークに適用されることとなる前記セキュリティポリシー情報を作成して保持する処理と、
前記試験ネットワークにおいて収集した前記特徴量について、保持している前記セキュリティポリシー情報で規定される判断基準を逸脱する異常が検出された場合、保持されている前記セキュリティポリシー情報について、前記検出された異常が該当するか判定し、該当すると判定した場合、前記検出された異常に対応して当該セキュリティポリシー情報を更新し、更新後の前記セキュリティーポリシー情報を当該セキュリティポリシー情報の適用先であるコンピュータネットワークの管理エンティティに送信する処理と、
を実行させるコンピュータプログラム。
【請求項１０】
請求項９に記載のコンピュータプログラムであって、
前記セキュリティーポリシー情報は、前記試験ネットワークにおいて所定の特徴量の正常範囲を規定するホワイトリストとして構成される、
コンピュータプログラム。
【請求項１１】
請求項９に記載のコンピュータプログラムであって、
前記試験ネットワークは当該試験ネットワークの通信状態を示す所定の特徴量データを収集してセキュリティポリシー情報を生成する動作モードである学習モードと、前記セキュリティポリシーに基づいて当該試験ネットワークの動作状態に異常がないか監視する監視モードとで動作可能に構成されている、
コンピュータプログラム。
【請求項１２】
請求項９に記載のコンピュータプログラムであって、
前記特徴量として、前記試験ネットワークを構成するノードに付与されているＩＰアドレス、ＭＡＣアドレス、前記試験ネットワークにおける通信データ量、及び前記各ノードが通信に用いるポート番号の少なくともいずれかを含む、
コンピュータプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、セキュリティポリシー情報管理システム、セキュリティポリシー情報管理方法、及びプログラムに関する。
【背景技術】
【０００２】
近年、生産設備での生産プロセスを管理する等の用途で各種制御システムが実用されている。このような制御システムは多数の生産設備等を通信ネットワークで接続してなると共に、企業内イントラネット、インターネット等の通信ネットワークに接続されているのが通常であり、サイバー攻撃に対する高度なセキュリティ対策が求められている。このセキュリティ対策は一般に、制御システムを構成している通信ネットワークについて規定したセキュリティポリシーに従って実行される。所定のセキュリティレベルを維持するために、セキュリティーポリシーはタイムリーにアップデートする必要がある。
【０００３】
この点、例えば特許文献１には、設備を制御する制御装置にポリシファイルを配布するポリシ配布装置が開示されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１３−２３２１３６号
【発明の概要】
【発明が解決しようとする課題】
【０００５】
一方、生産設備等を管理する制御システムは、稼働率を低下させないように、システムメンテナンス等の理由でサービス停止する時間を最小限とすることが求められる。従って、セキュリティポリシーのアップデートのためであっても、極力サービス停止を避ける必要がある。また制御システムに複数の異なる通信ネットワークが含まれている場合、各通信ネットワークについて規定されているセキュリティーポリシーが異なることがあるため、各通信ネットワークについてセキュリティーポリシー管理を個別に実施する必要があるという問題もある。特許文献１に提案されているポリシ配布装置は、このような問題について対応するものではない。
【０００６】
本発明は、上記の及び他の課題を解決するためになされたもので、その一つの目的は、異なるセキュリティポリシーが規定されている複数の通信ネットワークについてそれらのセキュリティーポリシーを統括して効率的に管理することができるポリシー管理システム、ポリシー管理方法、及びプログラムを提供することである。
【課題を解決するための手段】
【０００７】
上記の、及び他の目的を達成するための本発明の一態様は、複数の互いに異なるコンピュータネットワークの異常を検知するための判断基準を表す情報であるセキュリティポリシー情報を管理するための方法であって、プロセッサ及びメモリを備えているコンピュータが、監視対象である複数の前記コンピュータネットワークの構成を模擬してなる試験ネットワークから当該試験ネットワークの動作状態に関する特徴量を収集し、収集した前記特徴量から各前記コンピュータネットワークに適用されることとなる前記セキュリティポリシー情報を作成して保持し、前記試験ネットワークにおいて収集した前記特徴量について、保持している前記セキュリティポリシー情報で規定される判断基準を逸脱する異常が検出された場合、保持されている前記セキュリティポリシー情報について、前記検出された
異常が該当するか判定し、該当すると判定した場合、前記検出された異常に対応して当該セキュリティポリシー情報を更新し、更新後の前記セキュリティーポリシー情報を当該セキュリティポリシー情報の適用先であるコンピュータネットワークの管理エンティティに送信するセキュリティーポリシー情報管理方法である。
【発明の効果】
【０００８】
前記した本発明の一態様によれば、異なるセキュリティポリシーが規定されている複数の通信ネットワークについてそれらのセキュリティーポリシーを統括して効率的に管理することができる。
【図面の簡単な説明】
【０００９】
【図１】図１は、本発明の一実施形態によるポリシー管理システム１の構成例を示す図である。
【図２】図２は、コンピュータ１０の構成例を示す図である。
【図３】図３は、ポリシー管理の考え方を例示する模式図である。
【図４】図４は、ポリシー情報の構成例を示す図である。
【図５】図６は、監視装置１３０の構成例を示す図である。
【図６】図６は、ポリシー管理装置３００の構成例を示す図である。
【図７】図７は、監視装置１３０のデータ取得及び抽出処理を例示するフローチャートである。
【図８】図８は、監視装置３００の検知処理を例示するフローチャートである。
【図９】図９は、ポリシー管理装置３００によるデータ処理を例示するフローチャートである。
【図１０】図１０は、ポリシー管理システム１で実行されるデータ処理シーケンスの一例を示す図である。
【発明を実施するための形態】
【００１０】
以下、本発明について、その一実施形態に即して添付図面を参照しつつ説明する。
【００１１】
図１に、本発明の一実施形態に係るポリシー管理システム１の構成例を示している。ポリシー管理システム１は、商用環境Ｃにおいて運用されている制御システムのセキュリティポリシー管理を実現するために構成されており、タイムリーにポリシーをアップデートするために設けられたラボ環境Ｌを備えている。ラボ環境Ｌは、商用環境Ｃにおいて稼働している制御システム全体、あるいは一部の構成を外部通信ネットワークから隔離された実験室的環境で模擬するシステムである。商用環境Ｃにおいて実用に供されている制御システムは基本的に稼働を停止させることができないので、ラボ環境Ｌで様々なサイバー攻撃を模擬してセキュリティポリシーをアップデートし、そのアップデートされたポリシーをタイムリーに商用環境Ｃの制御システムに反映させるように構成されている。なお、以下、セキュリティポリシーを単にポリシーと略称し、セキュリティポリシーの内容を表す情報をポリシー情報と称する。
【００１２】
ラボ環境Ｌには、セキュリティーポリシー管理対象である商用環境Ｃの制御システムの一部を模擬した制御システムが構築されている。この制御システムは、指令装置１００、操作装置１１０、記録装置１２０を備えている。指令装置１００、操作装置１１０、記録装置１２０は、相互に通信ネットワーク１４０によって通信可能に接続されている。指令装置１００は、制御システムに対して各種の操作指令等を入力するためのコンピュータである。操作装置１１０は、指令装置１００からの入力に基づいて制御システムに含まれる各種の設備に対して指令信号を送信する機能を有するコンピュータである。記録装置１２０は、指令装置１００による指令信号、操作装置１１０による操作信号等のログを記録するためのコンピュータである。なお、ラボ環境Ｌに設定される制御システムの構成は、管
理対象である商用環境Ｃの制御システムの構成に対応して変更することができる。
【００１３】
図２に、指令装置１００、操作装置１１０、記録装置１２０として用いることができるコンピュータ１０のハードウェア構成例を示している。図２に示すように、コンピュータ１０は、ＣＰＵ（Central Processing Unit）などのプロセッサ１１と、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）等の記憶デバイスで構成される主記憶装
置１２と、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）等の補助記憶装置１３と、キーボード、マウス、タッチパネルなどからなる入力装置１４と、ディスプレイ、プリンタ、スピーカなどからなる出力装置１５と、外部の通信ネットワークを介して他のコンピュータと通信を行うための通信装置１６とを備える。指令装置１００、操作装置１１０、記録装置１２０は、例えば図２の構成を有するコンピュータ１０に、それぞれの機能を実現するためのソフトウェアを実装することにより構成することができる。具体的にどのようなソフトウェアを実装するかは制御システムの使用に従って適宜決定されるので、ここでは説明を省略する。
【００１４】
指令装置１００、操作装置１１０、記録装置１２０を接続している通信ネットワーク１４０には、監視装置１３０が接続されている。監視装置１３０はラボ環境Ｌの通信ネットワーク１４０を流れる通信パケットを監視している。監視装置１３０にはポリシー情報１３１があらかじめ格納されており、このポリシー情報１３１に基づいて通信ネットワーク１４０に異常が生じていないかを判定する。監視装置１３０及びポリシー情報１３１については後述する。本実施形態の通信ネットワーク１４０としては、インターネットプロトコル（ＩＰ）が採用されているが、他の適宜の仕様の通信プロトコルの採用を妨げるものではない。
【００１５】
商用環境Ｃでは、前記のようにラボ環境Ｌの制御システムによって模擬されている制御システムが実用に供されている。この制御システムは、指令装置２１０、操作装置２２０、記録装置２３０、制御装置２４０を含み、指令装置２１０、操作装置２２０、記録装置２３０は通信ネットワーク２５０によって通信可能に接続されている。また操作装置２２０、記録装置２３０、制御装置２４０は、通信ネットワーク２５０とは別の通信ネットワーク２６０によって通信可能に接続されている。指令装置２１０、操作装置２２０、記録装置２３０の構成例及び機能はラボ環境Ｌに関して説明したのと同様であるから説明を省略する。制御装置２４０は、操作装置２２０、記録装置２３０の動作を制御する、図２に例示する構成を有するコンピュータである。制御装置２４０には、その必要とされる制御機能を実現するためのソフトウェアが制御システムの仕様に従って実装される。
【００１６】
通信ネットワーク２５０、２６０には、それぞれ監視装置２００Ａ，２００Ｂが接続されている。互いに別個の通信ネットワーク２５０，２６０は、監視装置２００Ａ，２００Ｂにそれぞれ格納されているポリシー情報２０１Ａ，２０１Ｂに基づいて監視されている。ポリシー情報２０１Ａ，２０１Ｂは、それぞれ別個の通信ネットワーク２５０，２６０について特化して設定されている。したがって、ポリシー情報２０１Ａ，２０１Ｂは、それぞれ別個にタイムリーなアップデートを実行することが求められる。
【００１７】
次に、監視装置１３０，２００Ａ，２００Ｂについて説明する。これらの装置は、例えば図２に例示したコンピュータ１０に監視装置の機能を実現するために必要なソフトウェアを実装することによって構成される。ラボ環境Ｌに設置されている監視装置１３０は、通信ネットワーク１４０に接続されており、通信ネットワーク１４０を流れる通信パケットを取得して通信ネットワーク１４０の挙動に異常がないかを検知する機能を備える。また監視装置１３０は、あらたな脅威について商用環境Ｃに必要な対応をさせるために必要な学習する機能も有する。監視装置１３０は、通信ネットワーク１４０におけるサイバー攻撃等による挙動変化を検出するための判定基準であるポリシー情報１３１を格納してい
る。監視装置１３０があらたに取得したポリシーに関する情報は、後述するポリシー管理装置３００を通じて商用環境Ｃで稼働している監視装置２００Ａ，２００Ｂに配布されてポリシー情報２０１Ａ．２０１Ｂの更新に使用される。
【００１８】
監視装置２００Ａ，２００Ｂは、それそれ通信ネットワーク２５０，２６０に接続されている。監視装置２００Ａ，２００Ｂは、それぞれに格納されているポリシー情報２０１Ａ，２０１Ｂを判定基準として、通信ネットワーク２５０，２６０の挙動に異常がないかを監視する機能を有する。ポリシー情報２０１Ａ，２０１Ｂは、それぞれポリシー管理装置３００によってタイムリーに更新される。
【００１９】
ポリシー管理装置３００は、セキュアな通信ネットワークＮを介してラボ環境Ｌの監視装置１３０、及び商用環境Ｃの監視装置２００Ａ，２００Ｂに接続されている。ポリシー管理装置３００は、ポリシー情報３１０を格納している。図１の例では、ポリシー管理装置３００に格納されているポリシー情報３１０には、ラボ環境Ｌの監視装置１３０で使用されているポリシー情報１３１、及び商用環境Ｃの監視装置２００Ａ，２００Ｂで使用されているポリシー情報２０１Ａ，２０１Ｂが含まれる。ポリシー管理装置３００の機能、具体的なデータ処理については後述する。
【００２０】
次に、本実施形態における通信ネットワークの挙動監視の考え方、及びそれに使用するポリシー情報の例について説明する。図３は、本実施形態のポリシー管理の考え方を例示する模式図、図４は、ポリシー情報の構成例を示す図である。
【００２１】
図３は、ノードＡ〜ノードＤの４つのコンピュータが接続されている通信ネットワークＮＷの挙動を、通信ネットワークＮＷに接続されている監視装置によって監視している構成を示す模式図である。監視装置は通信ネットワークＮＷを通じた通信における特徴量を継続的に監視することにより通信ネットワークＮＷの挙動に異常がないか判定する。監視装置は適時に通信ネットワークＮＷを流れる通信パケットを取得する処理であるパケットキャプチャを実行して通信パケットのサンプリングを行い、不正な通信パケットが通信ネットワークＮＷ上を流通していないか判定する。また監視装置は、通信ネットワークＮＷ上を流れる通信パケットの量を通信データ量として同じく継続的に監視している。監視装置による監視の対象となる特徴量としては、例えばノードＡ〜ノードＤに付与されているＩＰアドレス、ノードＡ〜ノードＤに実装されている通信インタフェース（ＮＩＣ等）に付与されているＭＡＣアドレス、ノードＡ〜Ｄが通信に使用するポートのポート番号、通信ネットワークＮＷ上の通信量が挙げられる。ただし、特徴量については他の指標を採用することに制約はない。
【００２２】
図４に例示するポリシー情報は、図３の監視装置で使用されるポリシー情報の構成例を示している。図４のポリシー情報は、通信ネットワークＮＷに関するホワイトリストとして構成されている。図４に例示するポリシー情報の内容は本実施形態の理解に資するためだけに設定されており、その情報自体に格別の意味はない。図４の例では、ＩＰアドレスとして図３の各ノードに付与されている10.1.1.1等のデータが、ＭＡＣアドレスとして11:11:11:11等のデータが記録されている。また通信ネットワークＮＷの通信量に関して、
毎秒５０パケット未満であれば正常と判定されることが記録されている。監視装置は、図４のポリシー情報に含まれるＩＰアドレス、ＭＡＣアドレスが含まれる通信パケットについては正常なものであると判定する。また通信ネットワークＮＷの通信量が毎秒５０パケットを超えなければ通信ネットワークＮＷの挙動は正常であると判定する。なお、あらかじめ通信ネットワークの脅威となる特徴量が判明している場合には、上記ホワイトリストとして構成されているポリシー情報に脅威である特徴量を登録しておくブラックリストとしても構成を併用することもできる。
【００２３】
ポリシー情報は通信ネットワークごとに設定されるので、ある特徴量について、ある通信ネットワークのポリシー情報に照らすと異常であるが、他の通信ネットワークのポリシー情報としては異常でない、という状況が起こりうる。例えば、ある通信ネットワークのＩＰアドレスとして10.1.1.1というデータが異常であると判定されたとしても、図４のポリシー情報で管理される通信ネットワークについては正常である。したがって、後述するように、本実施形態のポリシー管理システム１では、ラボ環境Ｌで特徴量の異常が検知された場合、ポリシー管理装置３００によって管理されているポリシー情報それぞれについて比較判定を行い、更新が必要と認められたポリシー情報のみについて更新処理が実行される。
【００２４】
ラボ環境Ｌに設置されている監視装置１３０は、図３，図４について説明したように、ポリシー情報１３１にあらかじめ格納されている所定の特徴量について通信ネットワーク１４０の挙動を監視している。通信ネットワーク１４０にあらたな脅威としての新種のコンピュータウイルス等を流し、通信ネットワーク１４０がどのような挙動を示すか監視装置１３０によって監視する。例えばコンピュータウイルスを与える前に通信ネットワーク１４０における通信量が最大２０パケット毎秒であったと仮定し、それがコンピュータウイルス付与後は最大４０パケット毎秒程度に増加したとする。この場合、図４のポリシー情報に通信量の判定基準として「毎秒５０パケット未満」と規定してあるため、監視装置１３０は通信量に関する異常を検知することができない。そのため、監視装置１３０は、通信量の判定値として例えば毎秒３５パケットと設定変更することをポリシー管理装置３００に要求する。
【００２５】
以下、図１のポリシー管理システム１に含まれている監視装置１３０、ポリシー管理装置３００の具体的な構成例と動作について説明する。
【００２６】
図５に、ラボ環境Ｌに設置される監視装置１３０の機能構成例を示している。前記のように、図５に例示する機能は、図２のコンピュータ１０に必要なソフトウェアを実装することで実現することができる。監視装置１３０は、データ取得部２０１、データ抽出部２０２、ポリシー作成部２０３、異常検知部２０４、ポリシー送受信部２０５を有する。また監視装置１３０は、特徴量データ２０６、ポリシー情報２０７を格納している。
【００２７】
データ取得部２０１は、通信ネットワーク１４０上で流通している通信パケットを取得するパケットキャプチャ処理を実行する。データ抽出部２０２は、データ取得部２０１が取得した通信パケットから所定の特徴量を抽出する。抽出された特徴量は、特徴量データ２０６として監視装置１３０内の記憶領域（図２の主記憶装置１２等）に格納される。
【００２８】
ポリシー作成部２０３は、取得された特徴量データ２０６に基づいてポリシー情報２０７を作成し、所定の記憶領域に格納する。
【００２９】
異常検知部２０４は、ポリシー情報２０７に基づいて特徴量データ２０６を継続的に監視し、ポリシー情報２０７と対比して正常でない通信パケット、あるいは通信状態が生じていないか判定する。ポリシー送受信部２０５は、ポリシー作成部２０３が作成したポリシー情報２０７を通信ネットワークＮを介してポリシー管理装置３００へ送信する。またポリシー送受信部２０５は、ポリシー管理装置３００から後述するように更新されたポリシー情報２０７を受信して格納する機能も有する。監視装置１３０での具体的なデータ処理例については後述する。
【００３０】
なお、商用環境Ｃにある監視装置２００Ａ，２００Ｂもまた、図５に例示したラボ環境Ｌの監視装置１３０と同等の構成を有する。ただし、ポリシー作成部２０３が省略可能であり、ポリシー情報２０７が、接続されている通信ネットワーク２５０，２６０に対応し
て作成されていることが異なっている。
【００３１】
次に、ポリシー管理装置３００の構成例と動作について説明する。図６に、本実施形態におけるポリシー管理装置３００の機能構成例を示している。図６に例示する機能は、図２のコンピュータ１０に必要なソフトウェアを実装することで実現することができる。ポリシー管理装置３００は、ポリシー受信部３０１、ポリシー差分確認部３０２、ポリシー更新部３０３、ポリシー取得部３０４、及びポリシー配信部３０５を備え、差分ポリシー情報３０６、及びポリシー情報３０７を格納している。ポリシー情報３０７は、ポリシー管理装置３００の管理対象である通信ネットワークごとに保持されている。
【００３２】
ポリシー受信部３０１は、ラボ環境Ｌにある監視装置１３０から定期的にポリシー情報（図５の符号２０７）を受信する。ポリシー差分確認部３０２は、受信したポリシー情報の内容が、該当する通信ネットワークについてすでに格納されているポリシー情報３０７と一致しているか確認し、一致していなければ、その差分情報を差分ポリシー情報３０６として所定の記憶領域に格納する。ポリシー更新部３０３は、差分ポリシー情報３０６が生成された場合、該当するポリシー情報３０７に対して差分ポリシー情報３０６によって規定される差分情報を適用し、該当ポリシー情報３０７を更新する。ポリシー取得部３０４は更新されたポリシー情報３０７を取得してポリシー配信部３０５に引き渡す。ポリシー配信部３０５は更新されたポリシー情報３０７を該当する監視装置２００Ａ，２００Ｂに通信ネットワークＮを通じて配信する。
【００３３】
次に、本実施形態の監視装置１３０によって実行されるデータ処理例について処理フロー例を参照して説明する。まず、監視装置１３０が実行するデータ取得処理、データ抽出処理について説明する。図７に、データ取得処理、データ抽出処理の処理フロー例を示している。図７の処理は、商用環境Ｃの監視装置２００Ａ，２００Ｂについても共通である。
【００３４】
監視装置１３０の電源投入等によって図７の処理フローが開始されると（Ｓ７０１）、データ取得部２０１は接続されている通信ネットワーク１４０を流通している通信パケットを取得するとともに通信ネットワーク１４０上での所定時間にわたる平均通信データ量を測定する（Ｓ７０２，Ｓ７０３）。次に、データ抽出部２０２が取得した通信パケットからあらかじめ規定されている特徴量について特徴量データとして抽出し、抽出した特徴量データを所定の記憶領域に格納して処理を終了する（Ｓ７０４，Ｓ７０５）。本実施形態では、図４のポリシー情報に関して説明したように、特徴量はＩＰアドレス、ＭＡＣアドレス、ポート番号、及び通信量としているが、これらに代えてあるいはこれらに加えて他のパラメータを特徴量として採用することは差し支えない。図７のデータ取得及び抽出処理は、通信ネットワーク１４０が稼働している期間中、所定の時間間隔で実行させることができる。このようなデータ取得、データ抽出処理によれば、監視装置１３０の監視対象である通信ネットワーク１４０の挙動を、特徴量データの抽出により継続的に実行することができる。
【００３５】
次に、監視装置１３０による学習及び検知処理について説明する。図８に、監視装置１３０が実行する学習及び検知処理の処理フロー例を示している。学習及び検知処理とは、監視装置１３０が通信ネットワーク１４０の挙動に異常があるか判定するために用いるポリシー情報を作成する学習処理と、作成したポリシー情報を利用して通信ネットワーク１４０の挙動に異常があるか継続的に監視する検知処理とからなる。
【００３６】
監視装置１３０の電源投入等により図８の処理フローが開始されると（Ｓ８０１）、監視装置１３０は入力装置（例えば図２の符号１４）からの操作入力を受信して（Ｓ８０２）、当該操作入力が「学習モード」の実行を指示するものか、「検知モード」の実行を指
示するものか判定する（Ｓ８０３）。監視装置１３０が「学習モード」が指示されたと判定した場合、ポリシー作成部２０３が所定の記憶領域に格納されている特徴量データを読み出して（Ｓ８０４）、ポリシー情報２０７を作成する（Ｓ８０５）。作成されたポリシー情報２０７は所定の記憶領域に格納されるととも、ポリシー送受信部２０５によってポリシー管理装置へ送信される（Ｓ８０６）。以上で学習モードが終了する（Ｓ８０７）。監視装置１３０によって学習モードが最初に実行されると、それにより監視対象の通信ネットワーク１４０についてのポリシー情報２０７初期値が設定される。
【００３７】
一方、監視装置１３０がＳ８０３で「検知モード」が指示されていると判定した場合、異常検知部２０４が所定の記憶領域から特徴量データを読み出して（Ｓ８０８）、格納されているポリシー情報２０７と比較する（Ｓ８０９）。特徴量データがポリシー情報２０７に規定されているデータの範囲内にあり異常データがないと判定した場合（Ｓ８１０，Ｎｏ）、異常検知部２０４はＳ８０８に戻って特徴量データの読み出しを行い、Ｓ８０９以降の処理を反復実行する。
【００３８】
異常検知部２０４が、Ｓ８１０で分析した特徴量データに異常データがあると判定した場合（Ｓ８１０，Ｙｅｓ）、異常検知部２０４は検知した異常データに基づいて格納されているポリシー情報２０７を更新し（Ｓ８１１）、ポリシー送受信部２０５は更新されたポリシー情報２０７をポリシー管理装置３００へ送信する（Ｓ８１２）。この後、異常検知部２０４は再度特徴量読み出しのＳ８０８の処理へ戻り通信ネットワーク１４０の監視を継続する。
【００３９】
以上のように、ラボ環境Ｌにおいて、監視装置１３０によって所定のポリシー情報２０７に基づき、通信ネットワーク１４０の挙動を継続して監視することができる。また監視装置１３０によりラボ環境Ｌで作成されたポリシー情報２０７は、ポリシー管理装置３００へ転送されて、後述するように商用環境Ｃにおけるポリシー情報更新処理のために利用することができる。
【００４０】
なお、ラボ環境Ｌでの異常検知処理は、Ｓ８０８〜Ｓ８１１の処理ステップにより継続して実施させることができるが、図２の入力装置１４等を通じた指令入力により適宜のタイミングで終了させてもよい。
【００４１】
次に、ポリシー管理装置３００が実行するデータ処理について説明する。図９に、ポリシー管理装置３００によって実行されるデータ処理の処理フロー例を示している。図１に例示する本実施形態のポリシー管理装置３００は、商用環境Ｃにある通信ネットワーク２５０，２６０の挙動を監視している２つの監視装置２００Ａ，２００Ｂについて、それらが使用するポリシー情報２０７を管理している。
【００４２】
ポリシー管理装置３００は、電源投入等によって処理を開始すると（Ｓ９０１）、ポリシー受信部３０１において監視装置１３０からポリシー情報２０７を受信する（Ｓ９０２）。ポリシー差分確認部３０２は、受信したポリシー情報２０７を自身が保持している監視装置２００Ａ，２００Ｂ用のポリシー情報３０７のそれぞれと比較して両者の間に差分情報があるか判定する（Ｓ９０３，Ｓ９０４）。ポリシー差分確認部３０２が差分情報がないと判定した場合（Ｓ９０４，Ｎｏ）、処理はＳ９０２に戻され、ポリシー受信部３０１がポリシー情報２０７を受信して以降の処理を反復して実行する。
【００４３】
ポリシー差分確認部３０２が、受信したポリシー情報２０７と自身が保持しているポリシー情報３０７との間に差分情報があると判定した場合（Ｓ９０４，Ｙｅｓ）、当該差分情報に基づいて差分ポリシー情報３０６を生成して所定の記憶領域に格納する（Ｓ９０５）。次いでポリシー更新部３０３が生成された差分ポリシー情報３０６に基づいて当該差
分ポリシー情報３０６に対応するポリシー情報３０７を更新する（Ｓ９０６）。その後、ポリシー取得部３０４が更新されたポリシー情報３０６を取得し、ポリシー配信部３０５が、取得されたポリシー情報３０７を対応する監視装置２００Ａ又は２００Ｂあるいはそれら両方に配信して処理を終了する（Ｓ９０７，Ｓ９０８）。
【００４４】
以上説明したポリシー管理装置３００のデータ処理により、ラボ環境Ｌで検出された通信ネットワーク１４０における特徴量の異常が反映されたポリシー情報２０７に基づいてポリシー管理装置３００に保持されているポリシー情報３０７が更新され、対応する監視装置２００Ａ，２００Ｂに配信されるので、監視装置２００Ａ，２００Ｂでは通信ネットワーク２５０，２６０の異常な挙動を検知するために用いるポリシー情報２０７をタイムリーに更新しておくことができる。このため、通信ネットワーク２５０，２６０をサイバー攻撃等の脅威から効果的に防御することが可能である。またあらたな脅威の検出とそれに基づくポリシー情報の更新処理は、商用環境Ｃの一部又は全部を模擬するラボ環境Ｌにおいて実行されるので、ポリシー情報更新のために商用環境Ｃの通信ネットワーク２５０，２６０を停止させる必要がなく、商用環境Ｃにある制御システムの可用性を損なうことがない。
【００４５】
以上の監視装置１３０，２００Ａ，２００Ｂ、及びポリシー管理装置３００の説明を踏まえ、図１に例示した本実施形態のポリシ−管理システム１におけるデータ処理シーケンスについて説明する。図１０には、そのデータ処理シーケンスの一例を示している。
【００４６】
まず、ラボ環境Ｌにおいて、監視装置１３０は、通信ネットワーク１４０を流通する通信パケットを取得して所定の特徴量を抽出し、特徴量データとして所定の記憶領域に格納する処理を繰り返し実行する（Ｓ１００１，Ｓ１００２）。そして、監視装置１３０は取得した特徴量データからポリシー情報を作成して所定の記憶領域に格納するとともに、作成したポリシー情報をポリシー管理装置３００へ送信する処理を繰り返し実行する（Ｓ１００３，Ｓ１００４，Ｓ１００５）。一方、ポリシー管理装置３００は、監視装置１３０からポリシー情報を受信して所定の記憶領域に格納する（Ｓ１００６）。ここまでの処理を通じて、ポリシー管理装置３００には、商用環境Ｃで稼働する通信ネットワーク２５０，２６０に対して使用することができるポリシー情報が保持されている。
【００４７】
一方、ポリシー管理装置３００では、監視装置１３０から受信したポリシー情報を自身が保持しているポリシー情報と比較して差分ポリシー情報があるか判定し（Ｓ１００７）、差分ポリシー情報があると判定した場合、保持していたポリシー情報を更新して所定の記憶領域に格納する（Ｓ１００８）。次いでポリシー管理装置３００は、更新されたポリシー情報を取得して商用環境Ｃの監視装置２００Ａ，２００Ｂに配信する（Ｓ１００９，Ｓ１０１０，Ｓ１０１１）。
【００４８】
以上説明したように、本発明の実施形態に係るポリシー管理装置３００によれば、商用環境Ｃを模擬してラボ環境Ｌで稼働している通信ネットワーク１４０から取得する所定の特徴量データに基づいて商用環境Ｃの通信ネットワーク２５０，２６０の監視に使用するためのポリシー情報２０７を作成して通信ネットワーク２５０，２６０に接続された監視装置２００Ａ．２００Ｂに配布することができる。また、通信ネットワーク１４０の挙動を監視している監視装置１３０が特徴量の異常を検知した場合、その異常を反映したポリシー情報を作成してポリシー管理装置３００に転送する。そしてポリシー管理装置３００は取得したあらたなポリシー情報に基づいて自身が保持しているポリシー情報のうち更新が必要なポリシー情報のみを更新し、更新されたポリシー情報を監視装置２００Ａ，２００Ｂに配布することができる。これにより、商用環境Ｃで稼働している通信ネットワーク２５０，２６０を停止させることなく、当該通信ネットワーク２５０，２６０を監視する監視装置２００Ａ，２００Ｂで用いるポリシー情報をタイムリーに更新することができる
。これにより、商用環境Ｃの通信ネットワーク２５０，２６０は、サイバー攻撃等の脅威から効果的に保護することができる。
【００４９】
なお、本発明の技術的範囲は上記の実施形態に限定されることはなく、他の変形例、応用例等も、特許請求の範囲に記載した事項の範囲内に含まれるものである。
【符号の説明】
【００５０】
１  ポリシー管理システム
１００，２１０  指令装置
１１０，２２０  操作装置
１２０，２３０  記録装置
１３０，２００Ａ，２００Ｂ  監視装置
１３１，２０１Ａ，２０１Ｂ，２０７，３０７  ポリシー情報
１４０，２５０，２６０，Ｎ，ＮＷ  通信ネットワーク
２０１  データ取得部
２０２  データ抽出部
２０３  ポリシー作成部
２０４  異常検知部
２０５  ポリシー送受信部
２０６  特徴量データ
３００  ポリシー管理装置
３０１  ポリシー受信部
３０２  ポリシー差分確認部
３０３  ポリシー更新部
３０４  ポリシー取得部
３０５  ポリシー配信部
３０６  差分ポリシー情報
【図１】
2019022099.tif 000003
【図２】
2019022099.tif 000004
【図３】
2019022099.tif 000005
【図４】
2019022099.tif 000006
【図５】
2019022099.tif 000007
【図６】
2019022099.tif 000008
【図７】
2019022099.tif 000009
【図８】
2019022099.tif 000010
【図９】
2019022099.tif 000011
【図１０】
2019022099.tif 000012