(57)【要約】  本発明では、情報制御システムで求められるリアルタイム性を確保させながら、異常パケットをフィルタリングさせる異常パケットフィルタリング装置を提供することを目的とする。この課題を解決するために、通信パケットの通信ログを収集して、送信元アドレスごと、又は、送信先アドレスごとの通信回数であるサマリログをカウントし、前記サマリログの値から、前記異常パケット定義情報の条件を満たす異常パケットの有無を判断し、前記異常パケットを検出した場合には、当該異常パケットの送信元アドレス、又は、送信先アドレスに基づいて遮断する通信パケットのフィルタリングルールを更新する。
2016170664.tif 000002
【特許請求の範囲】
【請求項１】
遮断する通信パケットのフィルタリングルールを記憶する記憶部と、前記フィルタリングルールに従って前記通信パケットのフィルタリングを行う処理部と、を備えた異常パケットフィルタリング装置であって、
前記記憶部には、異常パケットの有無を判断する異常パケット定義情報が記憶され、
前記処理部は、
前記通信パケットの通信ログを収集して、送信元アドレスごと、又は、送信先アドレスごとの通信回数であるサマリログをカウントし、
前記サマリログの値から、前記異常パケット定義情報の条件を満たす異常パケットの有無を判断し、
前記異常パケットを検出した場合には、当該異常パケットの送信元アドレス、又は、送信先アドレスに基づいて前記フィルタリングルールを更新する処理部と、
を備える異常パケットフィルタリング装置。
【請求項２】
請求項１において、
前記処理部は、前記異常パケットを検出した場合には、ネットワークを介して接続される監視装置へその旨を通知することを特徴とする異常パケットフィルタリング装置。
【請求項３】
請求項２において、
前記処理部は、ユーザが前記監視装置を介して入力した情報に従って前記フィルタリングルールを更新することを特徴とする異常パケットフィルタリング装置。
【請求項４】
請求項１において、
前記処理部は、複数の前記異常パケット定義情報の条件に従って前記異常パケットの有無を判断するものであり、
前記異常パケットが検出された前記異常パケット定義情報の条件の組合せに基づき前記フィルタリングルールを更新することを特徴とする異常パケットフィルタリング装置。
【請求項５】
請求項４において、
前記処理部は、前記異常パケットが検出された前記異常パケット定義情報の条件の組合せによって重要度を設定し、当該重要度に基づいて前記フィルタリングルールを更新することを特徴とする異常パケットフィルタリング装置。
【請求項６】
請求項４において、
前記処理部が、特定の装置から受信した総パケット数が閾値より小さいという条件で記異常パケットを検出し、かつ、前記特定の装置からの遮断パケット数が閾値より大きいという条件で前記異常パケットを検出した場合には、前記特定の装置からの通信を遮断するよう前記フィルタリングルールを更新することを特徴とする異常パケットフィルタリング装置。
【請求項７】
通信パケットの通信ログを収集して、送信元アドレスごと、又は、送信先アドレスごとの通信回数であるサマリログをカウントし、
前記サマリログの値から、前記異常パケット定義情報の条件を満たす異常パケットの有無を判断し、
前記異常パケットを検出した場合には、当該異常パケットの送信元アドレス、又は、送信先アドレスに基づいて遮断する通信パケットのフィルタリングルールを更新する
異常パケットフィルタリング方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報制御システムにおける異常パケットフィルタリング装置等に関する。
【背景技術】
【０００２】
通信システムにおいて、異常なパケットをフィルタリングする方式としては、例えば特許文献１，２のような方法がある。【０００３】
特許文献１では、「特定の端末が大量の通信要求メッセージを発することにより他の端末の通信が阻害されることを防ぐ」ために、「端末（１）が発する通信要求メッセージ数を監視し、端末が一定時間内に閾値を越える通信要求メッセージ数を発信した場合、コール制御サーバ（７）は、収容端末データを検索し、該当する端末が収容されているゲートウェイ装置（５）を特定し、ゲートウェイ装置（５）へ、端末（１）が発するパケットおよび宛てのパケットを破棄する規制指示情報を送信する。」ことが記載されている（要約参照）。【０００４】
また、特許文献２では、「通信がワームによりなされたものか否かを容易にかつ効率的に判定する」ことを目的とし、「通信パケットの通信量および通信パケットの通信アドレスに係る情報を取得し、ワーム判定部２４０ｂが、通信情報取得部２４０ａにより取得された情報および通信がワームによりなされた通信か否かを規定する、設定データ２３０ａに記憶された判定基準に係る情報に基づいて、通信がワームによりなされた通信か否かを判定する。」ことが記載されている（要約参照）。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００７−０８２２４１
【特許文献２】特開２００７−２４３４０６
【発明の概要】
【発明が解決しようとする課題】
【０００６】
近年、汎用ＯＳ（Ｏｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍ）、ネットワーク技術の採用、業務システム連携による高効率化の実現により、情報制御システムがセキュリティ脅威にさらされるようになってきている。情報制御システムは、種々の設備と、設備から取得したその設備の状態に関する情報に基づいて制御信号を送信する制御装置と、制御装置から設備の状態に関する情報を取得して表示する監視装置と、制御装置と監視装置を接続するネットワークと、によって構成されている。【０００７】
例えば、鉄道分野の制御システムは、設備は信号機や転てつ機器等であり、制御装置は列車の進行情報に基づいて設備を制御するための制御信号を送信し、監視装置は列車の現在の進行情報や設備の現在の状態を画面表示する。【０００８】
一般的な情報システムに関わる代表的なセキュリティ脅威は、Ｄｏｓ（Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ  ａｔｔａｃｋ）に代表される情報システムが接続されているネットワーク外部からの攻撃と、情報システムを構成するネットワーク上を流れる通信データの漏洩・改ざんと、情報システムに接続される各装置のウィルスの感染がある。攻撃者の立場では、一般的な情報システムでは、ネットワーク上を流れる、もしくは装置個々で管理している情報の盗聴が目的なのに対し、情報制御システムでは、ネットワークを経由して情報制御システムを停止させることが目的である（前記の鉄道分野の制御システムの例では、列車を停止させる）。セキュリティ対策は、対象とするシステムに対し、発生し得る脅威と発生頻度、対応にかかるコストなどを考慮し、対応するのが一般的である。情報制御システムに対しても、情報制御システムを構成する個々の要素に対し、対策が取れれば、理論上は十分なセキュリティ対策が取れる。しかしながら、情報制御システムは、長期保守の過程において、新旧装置が共存する傾向にあり、全ての装置に対してセキュリティ対策を講じることは困難である。【０００９】
個々の装置のセキュリティ対策が困難な場合、同じセキュリティレベルの装置群として対策を講じる対策方針として、ゾーニングがある。情報制御システムに対し、ゾーニングによる対策を講じる場合には、情報制御システムと他システムとの結合点にファイアウォールを設置して、情報制御システムに対する不正パケットをフィルタリングするのが一般的である。ファイアウォール装置は、予め決められた情報（ＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）アドレス、ポート番号、プロトコル名称等）と通信パケットをチェックすることで、不正パケットをフィルタリングする。そのため、ファイアウォールは、この決められた情報に合致していれば、異常パケット（例えなりすましされたパケット、ウィルス感染した装置から送信された大量パケットなど）、正しいパケットとして通過させてしまう。【００１０】
予め通過可能なパケット数により、この異常パケットをフィルタリングすることも可能ではあるが、通すべきパケットも遮断してしまう可能性があり、多種多様な装置どうしが多様なタイミングでデータのやり取りをしている情報制御システムでは、一様な定義をすることは難しい。【００１１】
また、異常パケットによる攻撃は、連続かつ高速に実行されるケースが多く、特許文献１、特許文献２で示す通信ログを毎回解析して遮断する方法では、リアルタイム性が求められる情報制御システムへの利用が困難である。【００１２】
そこで、本発明では、情報制御システムで求められるリアルタイム性を確保させながら、異常パケットをフィルタリングさせる異常パケットフィルタリング装置を提供することを目的とする。
【課題を解決するための手段】
【００１３】
上記課題を解決するために、代表的な本発明の異常パケットフィルタリング装置の１つは、遮断する通信パケットのフィルタリングルールを記憶する記憶部と、前記フィルタリングルールに従って前記通信パケットのフィルタリングを行う処理部と、を備えた異常パケットフィルタリング装置であって、前記記憶部には、異常パケットの有無を判断する異常パケット定義情報が記憶され、前記処理部は、前記通信パケットの通信ログを収集して、送信元アドレスごと、又は、送信先アドレスごとの通信回数であるサマリログをカウントし、前記サマリログの値から、前記異常パケット定義情報の条件を満たす異常パケットの有無を判断し、前記異常パケットを検出した場合には、当該異常パケットの送信元アドレス、又は、送信先アドレスに基づいて前記フィルタリングルールを更新する処理部と、を備える。
【発明の効果】
【００１４】
本発明によれば、リアルタイム性を確保した異常パケットのフィルタリングが実現可能である。
【図面の簡単な説明】
【００１５】
【図１】本発明の実施形態の異常パケットフィルタリングシステムの構成を示すブロック図である。
【図２】本発明の実施形態の異常パケットフィルタリングシステムのフィルタリング装置の構成を示すブロック図である。
【図３】本発明の実施形態の異常パケットフィルタリングシステムにおいて、フィルタリングのステップを示すフローチャートである。
【図４】本発明の実施形態の異常パケットフィルタリングシステムにおいて、サマリログ生成のステップを示すフローチャートである。
【図５】本発明の実施形態の異常パケットフィルタリングシステムにおいて、異常パケット判定のステップを示すフローチャートである。
【図６】本発明の実施形態の異常パケットフィルタリングシステムにおいて、システム管理者がセキュリティ状態を確認するステップを示すフローチャートである。
【図７】実施形態の異常パケットフィルタリングシステムにおいて、フィルタリングルール情報のデータ構成である。
【発明を実施するための形態】
【００１６】
以下，本発明の実施形態を，図面を参照しながら詳細に説明する。
【００１７】
図１は、本発明の実施形態の異常パケットフィルタリングシステムの構成を示すブロック図である。
【００１８】
異常パケットフィルタリングシステムは、業務システム１０と情報制御システム２０とが、業務ネットワーク（２）４０、フィルタリング装置５０、業務ネットワーク（１）３０を介して接続され、前記フィルタリング装置５０は、セキュリティ監視装置７０とネットワーク（１）６０で接続される。
【００１９】
情報制御システム２０は、プラント等の現場設備である複数の設備２４と、制御ネットワーク２３を介して複数の設備２４を監視する監視装置２１、及び、制御ネットワーク２３を介して複数の設備２４を制御する制御装置２２を有する。
【００２０】
監視装置２１は、ＣＰＵ、メモリ等のハードウェア２１１を有し、このハードウェア上で動作するＯＳ２１２、及び、ＯＳ２１２上で動作するプログラムであり、設備２４の監視プログラム２１４を有する。さらに、業務ネットワーク（１）３０との通信機能を有するデータ通信部２１３、制御ネットワーク２３との通信機能を有するデータ通信部２１５を有する。
【００２１】
制御装置２２も同様に、ＣＰＵ、メモリ等のハードウェア２２１を有し、このハードウェア上で動作するＯＳ２２２、及び、ＯＳ２２２上で動作するプログラムであり、設備２４の制御プログラム２２４を有する。さらに、業務ネットワーク（１）３０との通信機能を有するデータ通信部２２３、制御ネットワーク２３との通信機能を有するデータ通信部２２５を有する。
【００２２】
前記業務システム１０は、前記情報制御システム２０内の監視装置２１あるいは制御装置２２と業務ネットワーク（１）３０、前記フィルタリング装置５０、業務ネットワーク（２）４０を介して監視・制御データのデータ通信を行い、監視・制御業務を行う情報端末１１を含む。情報端末１２も情報端末１１と同様の構成とする。さらに、前記情報制御システム２０は、設備２４に対し、制御ネットワーク２３を介して監視を行う監視装置２１と同様に制御ネットワーク２３を介して制御を行う制御装置を含む。
【００２３】
情報端末１１、１２は、ＣＰＵ、メモリ等のハードウェア１１１、１２１を有し、このハードウェア上で動作するＯＳ１１２、１２２、及び、ＯＳ１１２、１２２上で動作する監視制御プログラム１１３、１２３を有する。監視制御プログラム１１３、１２３は上述のように、監視装置２１あるいは制御装置２２と監視・制御データのデータ通信を行い、監視・制御業務を行う。
【００２４】
フィルタリング装置５０は、業務システム１０と情報制御システム２０との間でやりとりされる通信パケットをフィルタリングする装置であり、セキュリティ監視装置７０からの設定に基づいて異常パケットの判断を行う。詳細は後述する。
【００２５】
図２は、本発明の実施形態の異常パケットフィルタリングシステムのフィルタリング装置の構成を示すブロック図である。
【００２６】
フィルタリング装置５０は、処理部５１、記憶部５２、通信部５３から構成される。まず、前記処理部５１は、フィルタリングルール５２１に従って通信パケットのフィルタリングを行うフィルタリング処理部５１１、通信パケットの通信ログを収集して、送信元アドレスごと、または、送信先アドレスごと等の通信回数に振り分けてサマリログ５２５をカウントするサマリログ生成部５１２、サマリログ５２５の内容から異常パケットの有無を判断する異常パケット処理部５１３、異常パケットの検出内容に応じてフィルタリングルール情報５２１を更新するフィルタリングルール更新部５１４と、異常パケットを検出した際に、外部のセキュリティ監視装置へ通信部５３を介してその旨を通知する異常パケット通知部５１５から構成される。
【００２７】
次に、前記記憶部５２は、遮断する通信パケットのルールであるフィルタリングルール情報５２１、情報端末１１または監視装置２１から受信した受信データ５２２、受信データ５２２の中からフィルタリング処理部５１１によってフィルタリングされたデータであって、情報端末１１または監視装置２１へ送信する送信データ５２３、通信パケットの通信ログであるアクセスログ５２４、収集されたアクセスログ５２４から、送信元アドレスごと、または、送信先アドレスごと等の通信回数に振り分けられたサマリログ５２５異常パケットの定義が定められた異常パケット定義情報５２５から構成される。なお、前記フィルタリング装置５０は、図１で示したようにネットワークの間に設置しても、個々の装置の手前に設置しても良い。
【００２８】
図３は、本発明の実施形態の異常パケットフィルタリングシステムにおいて、フィルタリングのステップを示すフローチャートである。
【００２９】
フィルタリングのステップを示すための例として、前記情報端末１１から前記監視装置２１へデータ取得要求をして，その結果を前記情報端末１１で表示することを想定する。
【００３０】
まず、前記情報端末１１の利用ユーザが、前記情報端末１１の前記監視・制御プログラム１１３を利用して、前記監視装置２１へデータ取得要求を出す（Ｓ３０１）。
【００３１】
次に、フィルタリング装置５０では、前記記憶部５２の前記受信データ５２２に前記データ取得要求が格納される（Ｓ３０２）。次に、前記フィルタリング処理部５１１において、前記フィルタリング情報５２１から予め定義されたフィルタリングルールと前記受信データ５２２を読み込む（Ｓ３０３）。
【００３２】
前記フィルタリング処理部５１１において読み出した前記フィルタリングルールと前記受信データ５２２を比較して、通過させても良いデータか否かを判定する（Ｓ３０４）。
【００３３】
この判定の結果、通過させても良いデータであれば前記監視装置へデータを送信し（Ｓ３０５）、通さないデータであれば、不正データとして破棄する（Ｓ３０６）。
【００３４】
最後に、それらの結果を前記アクセスログ５２４に格納する（Ｓ３０７）。
【００３５】
前記監視装置２１から前記情報端末１１への応答も同様に実施し、前記情報端末１１に結果を表示する。
【００３６】
図７は、本発明の実施形態の異常パケットフィルタリングシステムにおいて、フィルタリングルール情報のデータ構成である。フィルタリングルール情報５２１は、送信元ＩＰアドレス５２１１、送信先ＩＰアドレス５２１２、プロトコル名５２１３、ポート番号５２１４を含む。
【００３７】
図４は、本発明の実施形態の異常パケットフィルタリングシステムにおいて、サマリログ生成のステップを示すフローチャートである。
【００３８】
まず、前記フィルタリング装置５０のサマリログ生成部５１２において、時間毎サマリログの編集時刻かをチェックし（Ｓ４０１）、編集時刻であれば、アクセスログ５２４を読み込み、送信元と送信先の組合せ毎に総通信パケット数、許可パケット数、遮断パケット数をカウントする（Ｓ４０２）。これを繰り返して、前記時間毎サマリログの生成時刻になったとき（Ｓ４０３）、前記総通信パケット数、前記許可パケット数、前記遮断パケット数を１時間分加算して、前記時間毎サマリログを生成する（Ｓ４０４）。例えば、前記情報端末１１と監視装置２１間の通信で、
１１：００〜１１：５９までの前記総通信パケット数、前記許可パケット数、前記遮断パケット数が、
１１：１５のデータが、１０個、１０個、０個
１１：３０のデータが、２０個、１８個、２個
１１：４５のデータが、１５個、１５個、０個
１２：００のデータが、３個、２個、１個
だとすると、前記時間毎サマリログは、これらの集計で、４８個、４５個、３個となる。
【００３９】
さらに、日ごとサマリログの編集時刻になったとき（Ｓ４０５）、前記サマリログ生成部５１２において、前記時間毎サマリログにより、日ごとの集計結果を編集し、日ごとサマリログを生成する（Ｓ４０６）。
【００４０】
図５は、本発明の実施形態の異常パケットフィルタリングシステムにおいて、異常パケット判定のステップを示すフローチャートである。
【００４１】
まず、前記フィルタリング装置５０の異常パケット処理部５１３において、定周期で前記時間毎サマリログ５２５と異常パケット定義情報５２６を読み込み、比較する（Ｓ５０１）。
ここで、前記異常パケット定義情報５２６には、
「（Ａ）同一時刻の受信した総パケット数がしきい値より大きい」
「（Ｂ）同一時刻のある特定の装置からの受信した総パケット数がしきい値より大きい」
「（Ｃ）同一時刻のある特定の装置からの遮断パケット数がしきい値より大きい」
「（Ｄ）同一時刻のある特定の装置からの受信した総パケット数が少なすぎる（しきい値よりも少ない）」
などが定義されている。
【００４２】
例えば、前記サマリログ５２５を解析した結果、上記（Ａ）〜（Ｄ）のケースでは、異常パケットあり（Ｓ５０２）と判定する。
【００４３】
（解析結果１）（Ｂ）かつ（Ｃ）であれば、特定の装置がウィルス感染し暴走しているか、もしくはプログラムの不具合により異常が発生していると予想され、
（解析結果２）（Ｄ）であれば、特定の装置が故障していることが予想され、
（解析結果３）（Ａ）であれば、受信側の装置の仕様見直し、もしくはプログラムの見直しが必要のような判定が可能である。
【００４４】
（解析結果１）では、情報制御システム２０の稼動を妨げる可能性が大であり、重要度レベル高と定義する。
（解析結果２）では、情報制御システム２０の稼動を妨げる可能性は中であり、重要度レベル中と定義する。
（解析結果３）では、情報制御システム２０の稼動を妨げる可能性は小であり、重要度レベル小と定義する。
【００４５】
（解析結果１）のケースでは、重要度レベル高と判定する（Ｓ５０４）。この場合、フィルタリングルール更新部５１４において、フィルタリング情報５２１を更新し、前記装置からの通信を遮断する。
【００４６】
（解析結果２）、（解析結果３）のケースでは、重要度レベル中もしくは小と判定する（Ｓ５０４）。この場合、前記異常パケット通知部５１３において、前記セキュリティ監視装置７０にその旨を通知し（Ｓ５０４）、セキュリティ監視装置７０において、当該装置のセキュリティ重要度レベル中もしくは小で表示更新し、システム管理者に注意喚起する（Ｓ５０５）。
【００４７】
図６は、本発明の実施形態の異常パケットフィルタリングシステムにおいて、システム
管理者がセキュリティ状態を確認するステップを示すフローチャートである。
【００４８】
まず、システム管理者は、セキュリティ管理装置７０において、日ごとサマリログ５２５、異常パケット定義情報５２６を読込み、解析する（Ｓ６０１）。ここで、前記異常パケット定義情報５２６には、
「（Ａ）同一時間帯の受信した総パケット数がしきい値より大きい」
「（Ｂ）同一時間帯のある特定の装置からの受信した総パケット数がしきい値より大きい」
「（Ｃ）同一時間帯のある特定の装置からの遮断パケット数がしきい値より大きい」
「（Ｄ）同一時間帯のある特定の装置からの受信した総パケット数が少なすぎる（しきい値よりも少ない）」
などが定義されている。
【００４９】
例えば、前記サマリログ５２５を解析した結果、上記（Ａ）〜（Ｄ）のケースでは、異常パケットあり（Ｓ６０２）と判定する。
（解析結果１）（Ｂ）かつ（Ｃ）であれば、特定の装置がウィルス感染し暴走しているか、もしくはプログラムの不具合により異常が発生していると予想され、
（解析結果２）（Ｄ）であれば、特定の装置が故障していることが予想され、
（解析結果３）（Ａ）であれば、受信側の装置の仕様見直し、もしくはプログラムの見直しが必要のような判定が可能である。
【００５０】
（解析結果１）では、情報制御システム２０の稼動を妨げる可能性が大であり、重要度レベル高と定義する。
（解析結果２）では、情報制御システム２０の稼動を妨げる可能性は中であり、重要度レベル中と定義する。
（解析結果３）では、情報制御システム２０の稼動を妨げる可能性は小であり、重要度レベル小と定義する。
【００５１】
（解析結果１）のケースでは、重要度レベル高と判定する（Ｓ６０３）。
この場合、フィルタリングルール更新部５１４において、フィルタリング情報５２１を更新し、前記装置からの通信を遮断する。
（解析結果２）、（解析結果３）のケースでは、重要度レベル中もしくは小と判定する（Ｓ５０４）。
【００５２】
解析の結果、前記異常パケットを含む場合（Ｓ６０２）、さらに、前記重要度レベル高の場合（Ｓ６０３）、システム管理者がフィルタリングルール更新部５１４により、フィルタリング情報５２１を更新する。
【００５３】
解析の結果、前記異常パケットを含む場合（Ｓ６０２）、さらに、前記重要度レベル中・低の場合（Ｓ６０３）、前記セキュリティ監視装置７０において、システム管理者がレポート出力を行う（Ｓ６０５）。
【００５４】
以上のとおり本実施例では、以下の課題を解決することができる。
【００５５】
すなわち、従来のファイアウォールに代表される方式では、一旦決めた正しい装置からの通信は全て許可してしまうため、情報制御システムの運用開始後に発生する可能性のある、ウィルス感染や装置乗っ取り等の脅威には対応困難となり、一方で通信ログを利用してこれらの脅威に対応する方法では、情報制御システムに必要なリアルタイム性が確保できず、利用が困難であるという課題である。
【００５６】
上記の課題を解決するために本実施例では、フィルタリングルールを以下のように更新することで、リアルタイム性を確保した異常パケットのフィルタリングを可能とする。
【００５７】
まず、全ての通信ログから定周期で時間毎と日にち毎のサマリログを生成する。次に、このサマリログと予め定義したしきい値とにより、異常パケットと重要度レベルを判定する。最後に、この異常パケットと重要度レベルにより、フィルタリングルールを更新することで、ここで定義した異常パケットは破棄するようなフィルタリングを行う。
【００５８】
これによって、フィルタリングルールを適切に更新しつつシステムを運用することができるため、リアルタイム性を確保した異常パケットのフィルタリングが可能となる。  なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ  Ｓｔａｔｅ  Ｄｒｉｖｅ）等の記録装置、または、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置くことができる。  
【符号の説明】
【００５９】
１０            業務システム
２０            情報制御システム
３０            業務ネットワーク１
４０            業務ネットワーク２
５０            フィルタリング装置
６０            ネットワーク１
７０            セキュリティ監視装置
１１            情報端末
１１１            ハードウェア
１１２            ＯＳ
１１３            監視・制御プログラム
１１            情報端末
１１１            ハードウェア
１１２            ＯＳ
１１３            監視・制御プログラム
１２            情報端末
１２１            ハードウェア
１２２            ＯＳ
１２３            監視・制御プログラム
２１            監視装置  
２１１            ハードウェア
２１２            ＯＳ
２１３            データ通信部
２１４            監視プログラム
２１５            データ通信部
２２            制御装置  
２２１            ハードウェア
２２２            ＯＳ
２２３            データ通信部
２２４            監視プログラム
２２５            データ通信部
２３            制御ネットワーク
２４            設備
５１            処理部
５１１            フィルタリング処理部
５１２            サマリログ生成部
５１３            異常パケット処理部
５１４            フィルタリングルール更新部
５１５            異常パケット通知部
５２            記憶部
５２１            フィルタリングルール情報
５２２            受信データ
５２３            送信データ
５２４            アクセスログ
５２５            サマリログ
５２６            異常パケット定義情報
５３            通信部
【図１】
2016170664.tif 000003
【図２】
2016170664.tif 000004
【図３】
2016170664.tif 000005
【図４】
2016170664.tif 000006
【図５】
2016170664.tif 000007
【図６】
2016170664.tif 000008
【図７】
2016170664.tif 000009
【国際調査報告】
2016170664.tif 000010
2016170664.tif 000011