(57)【特許請求の範囲】
【請求項１】
制御システムに異常が発生したときに該異常を通知するために発生した第１アラート及び第２アラートを入手可能な抽出装置であって、
前記第１アラートと前記第２アラートとを対応付けた対応情報を生成する分類部と、
前記分類部により生成された対応情報と、サイバー攻撃以外の要因で前記異常が発生したときの前記第１アラートの発生パターンと、を基に、サイバー攻撃以外の要因で前記異常が発生したときの前記第２アラートの発生パターンを学習する学習部と、
前記学習部により学習された前記第２アラートの発生パターンを基に、前記第２アラートのうち、サイバー攻撃が要因で発生した前記第２アラートを抽出し、抽出した前記第２アラートを出力する抽出部と、を備える、
抽出装置。
【請求項２】
前記分類部は、
同じ要因で発生した前記第１アラートと前記第２アラートとを推測し、
推測した前記第１アラートと前記第２アラートとを対応付けた前記対応情報を生成する、
請求項１に記載の抽出装置。
【請求項３】
前記分類部は、
前記第１アラート及び前記第２アラートに含まれる前記異常の発生時間の情報を基に、同じ要因で発生した前記第１アラートと前記第２アラートとを推測する、
請求項２に記載の抽出装置。
【請求項４】
前記分類部は、
前記第１アラート及び前記第２アラートに含まれる前記異常の発生箇所の情報を基に、同じ要因で発生した前記第１アラートと前記第２アラートとを推測する、
請求項２又は３に記載の抽出装置。
【請求項５】
前記分類部は、
前記第１アラート及び前記第２アラートに含まれる前記異常の種類の情報を基に、同じ要因で発生した前記第１アラートと前記第２アラートとを推測する、
請求項２から４のいずれか１項に記載の抽出装置。
【請求項６】
前記学習部は、
サイバー攻撃以外の要因で前記異常が発生したときの前記第１アラートの発生パターンにおける前記第１アラートを、前記対応情報を基に、前記第１アラートに対応付けされた前記第２アラートに置き換えることで、前記学習を行う、
請求項１から５のいずれか１項に記載の抽出装置。
【請求項７】
前記抽出部は、
前記第２アラートのうち、前記学習部により学習された前記第２アラートの発生パターンと一致する前記第２アラートを、サイバー攻撃以外の要因で発生した前記第２アラートと判断し、
前記第２アラートのうち、前記学習部により学習された前記第２アラートの発生パターンと一致しない前記第２アラートを、サイバー攻撃が要因で発生した前記第２アラートと判断する、
請求項１から６のいずれか１項に記載の抽出装置。
【請求項８】
前記抽出部は、
サイバー攻撃以外の要因で発生した前記第２アラートを破棄する、
請求項１から７のいずれか１項に記載の抽出装置。
【請求項９】
前記第１アラートは
前記制御システムに異常が発生したときに、前記制御システム自身が該異常を通知するために発生したアラートであり、
前記第２アラートは、
前記制御システムに異常が発生したときに、前記制御システム以外のシステムが該異常を通知するために発生したアラートである、
請求項１から８のいずれか１項に記載の抽出装置。
【請求項１０】
制御システムに異常が発生したときに該異常を通知するために発生した第１アラート及び第２アラートを入手可能な抽出装置による抽出方法であって、
前記第１アラートと前記第２アラートとを対応付けた対応情報を生成する分類ステップと、
前記分類ステップにより生成された対応情報と、サイバー攻撃以外の要因で前記異常が発生したときの前記第１アラートの発生パターンと、を基に、サイバー攻撃以外の要因で前記異常が発生したときの前記第２アラートの発生パターンを学習する学習ステップと、
前記学習ステップにより学習された前記第２アラートの発生パターンを基に、前記第２アラートのうち、サイバー攻撃が要因で発生した前記第２アラートを抽出し、抽出した前記第２アラートを出力する抽出ステップと、を含む、
抽出方法。
【請求項１１】
制御システムに異常が発生したときに該異常を通知するために発生した第１アラート及び第２アラートを入手可能なコンピュータに、
前記第１アラートと前記第２アラートとを対応付けた対応情報を生成する分類手順と、
前記分類手順により生成された対応情報と、サイバー攻撃以外の要因で前記異常が発生したときの前記第１アラートの発生パターンと、を基に、サイバー攻撃以外の要因で前記異常が発生したときの前記第２アラートの発生パターンを学習する学習手順と、
前記学習手順により学習された前記第２アラートの発生パターンを基に、前記第２アラートのうち、サイバー攻撃が要因で発生した前記第２アラートを抽出し、抽出した前記第２アラートを出力する抽出手順と、
を実行させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、アラートを抽出する抽出装置、抽出方法、コンピュータ可読媒体に関し、特に、制御システムに異常が発生したときにその異常を通知するために発生したアラートのうち、サイバー攻撃が要因で発生したアラートを抽出する抽出装置、抽出方法、コンピュータ可読媒体に関する。
【背景技術】
【０００２】
近年、制御システムに対するサイバー攻撃が増加している。制御システムは、例えば、センサやアクチュエータ等のデバイスと、制御サーバやクライアント端末等の機器と、を含んで構成され、独自ＯＳ（Operating System）を採用する等の特性を備える。【０００３】
しかし、制御システムは、上述のように独自ＯＳを採用し、また、スペックが貧弱である等の理由で、ＯＳにインストールして使用するセキュリティ製品を、制御システム上の機器に適用することができない場合がある。【０００４】
そのため、制御システムに対するサイバー攻撃のセキュリティ対策としては、制御システムを流れるトラフィック（パケット）の情報を収集し、収集したトラフィックの情報を基に、制御システムに発生した異常を検知するネットワーク異常検知技術（例えば、非特許文献１，２を参照）を採用することが有効と考えられる。
【０００５】
ネットワーク異常検知技術を利用したシステムとしては、例えば、ＩＤＳ（Intrusion Detection System）と呼ばれる、不正な侵入を検知するシステムが挙げられる。ＩＤＳ製品としては、例えば、SCADAShield（Cyberbit社製）、 Silent defense（Security Matters社製）、 OpShield（Wurldtech社製）等が挙げられる。
【先行技術文献】
【非特許文献】
【０００６】
【非特許文献１】B. Zhu and S. Sastry, “SCADA-specific Intrusion Detection/Prevention Systems: A Survey and Taxonomy”， Proc. of 1st Workshop on Secure Control Systems, Apr. 2010.
【非特許文献２】B. Genge, D.A. Rusu and P. Haller, “A Connection Pattern-based Approach to Detect Network Traffic Anomalies in Critical Infrastructures”， Proc. of 7th European Workshop on System security (EuroSec'14), 2014.
【発明の概要】
【発明が解決しようとする課題】
【０００７】
ところで、制御システムでは、サイバー攻撃が要因で異常が発生する他に、制御システム上の機器やデバイスの故障、オペレーションミス、設定ミス等のサイバー攻撃以外の要因でも異常が発生する。【０００８】
ここで、ネットワーク異常検知技術を利用したシステムでは、制御システムの上記の全ての異常を検知することができ、また、制御システムの異常を検知した場合、その異常を通知するためにアラートを発生する。しかし、ネットワーク異常検知技術を利用したシステムによって発生するアラートは、異常の発生時刻、発生場所等の情報を含んでいるものの、アラートを受け取った側では、そのアラートに含まれる情報だけでは、そのアラートの要因が何であるのかを判断することは困難である。【０００９】
例えば、ネットワーク異常検知技術を利用したシステムでは、ＤｏＳ（Denial of Service）攻撃対策のために、パケットの頻度（単位時間あたりのパケット数）の増加を検知するためのルールが定められている。そのため、例えば、制御システム上の機器の故障によりデバイスから頻繁にデータが送られてくると、上記のルールによって、制御システムの異常と判断されて、アラートが発生する可能性がある。この場合、アラートの要因は、サイバー攻撃ではなく、制御システム上の機器の故障である。しかし、アラートを受け取った側では、そのアラートに含まれる情報だけでは、そのアラートの要因が制御システム上の機器の故障であると判断することは困難である。【００１０】
また、ネットワーク異常検知技術を利用したシステムでは、パケットのデータの改ざん対策のために、警戒の必要がないパケットの一覧をホワイトリストに掲載するルールが定められている。そのため、例えば、制御システム上のセンサの故障により異常なセンサ値のデータを含むパケットが制御サーバに送られてくると、上記のルールによって、制御システムの異常と判断されて、アラートが発生する可能性がある。この場合、アラートの要因は、サイバー攻撃ではなく、制御システム上のセンサの故障である。しかし、アラートを受け取った側では、そのアラートに含まれる情報だけでは、そのアラートの要因が制御システム上のセンサの故障であると判断することは困難である。【００１１】
サイバー攻撃を受けた場合、迅速に復旧を行う必要がある。しかし、ネットワーク異常検知技術を利用したシステムが、サイバー攻撃が要因でアラートを発生したとしても、アラートを受け取った側では、そのアラートに含まれる情報だけでは、そのアラートの要因がサイバー攻撃であると判断することができない。そのため、即座に復旧作業を開始することができず、迅速な復旧が困難となる。【００１２】
そのため、サイバー攻撃を受けた場合に迅速な復旧を実現するためには、ネットワーク異常検知技術を利用したシステムによって発生したアラートのうち、サイバー攻撃が要因で発生したアラートを抽出することが重要である。そのようなアラートを抽出できれば、アラートを受け取った側では、アラートを受け取ったことのみをもって、そのアラートの要因がサイバー攻撃であると判断できる。そのため、即座に復旧作業を開始することができるため、迅速な復旧が可能となる。【００１３】
本発明の目的は、上述した課題を鑑み、サイバー攻撃が要因で発生したアラートを抽出することができる抽出装置、抽出方法、コンピュータ可読媒体を提供することにある。
【課題を解決するための手段】
【００１４】
一態様において、抽出装置は、
制御システムに異常が発生したときに該異常を通知するために発生した第１アラート及び第２アラートを入手可能な抽出装置であって、
前記第１アラートと前記第２アラートとを対応付けた対応情報を生成する分類部と、
前記分類部により生成された対応情報と、サイバー攻撃以外の要因で前記異常が発生したときの前記第１アラートの発生パターンと、を基に、サイバー攻撃以外の要因で前記異常が発生したときの前記第２アラートの発生パターンを学習する学習部と、
前記学習部により学習された前記第２アラートの発生パターンを基に、前記第２アラートのうち、サイバー攻撃が要因で発生した前記第２アラートを抽出し、抽出した前記第２アラートを出力する抽出部と、を備える。【００１５】
一態様において、抽出方法は、
制御システムに異常が発生したときに該異常を通知するために発生した第１アラート及び第２アラートを入手可能な抽出装置による抽出方法であって、
前記第１アラートと前記第２アラートとを対応付けた対応情報を生成する分類ステップと、
前記分類ステップにより生成された対応情報と、サイバー攻撃以外の要因で前記異常が発生したときの前記第１アラートの発生パターンと、を基に、サイバー攻撃以外の要因で前記異常が発生したときの前記第２アラートの発生パターンを学習する学習ステップと、
前記学習ステップにより学習された前記第２アラートの発生パターンを基に、前記第２アラートのうち、サイバー攻撃が要因で発生した前記第２アラートを抽出し、抽出した前記第２アラートを出力する抽出ステップと、を含む。【００１６】
一態様において、コンピュータ可読媒体は、
制御システムに異常が発生したときに該異常を通知するために発生した第１アラート及び第２アラートを入手可能なコンピュータに、
前記第１アラートと前記第２アラートとを対応付けた対応情報を生成する分類手順と、
前記分類手順により生成された対応情報と、サイバー攻撃以外の要因で前記異常が発生したときの前記第１アラートの発生パターンと、を基に、サイバー攻撃以外の要因で前記異常が発生したときの前記第２アラートの発生パターンを学習する学習手順と、
前記学習手順により学習された前記第２アラートの発生パターンを基に、前記第２アラートのうち、サイバー攻撃が要因で発生した前記第２アラートを抽出し、抽出した前記第２アラートを出力する抽出手順と、
を実行させるためのプログラムを格納した非一時的なコンピュータ可読媒体である。
【発明の効果】
【００１７】
上述の態様によれば、サイバー攻撃が要因で発生した第２アラートを抽出することができるという効果が得られる。
【図面の簡単な説明】
【００１８】
【図１】本発明の実施の形態に係る抽出装置の構成の一例を示す図である。
【図２】図１に示したアラート分類部により生成された対応情報の一例を示す図である。
【図３】図１に示したアラート学習部に入力されるシステムアラート発生パターン情報の一例を示す図である。
【図４】図１に示したアラート学習部の学習動作の一例を示す図である。
【図５】図１に示した抽出装置における学習動作までの処理フローの一例を示すフロー図である。
【図６】図１に示した抽出装置における付加トラフィックアラートが発生したときの処理フローの一例を示すフロー図である。
【発明を実施するための形態】
【００１９】
以下、図面を参照して本発明の実施の形態について説明する。
本実施の形態では、制御システムに異常が発生したときに、その異常を通知するために発生したアラートとして、システムアラート（第１アラート。以下、図中では適宜「ＳＡ」と記す）及び付加トラフィックアラート（第２アラート。以下、図中では適宜「ＴＡ」と記す）という２種類のアラートが入手可能であることを前提としている。
【００２０】
システムアラートは、既存の制御システムに手を加えることなく標準で入手できるアラートである。言い換えれば、システムアラートは、制御システム自身が、制御システムに発生した異常を検知したときに、その異常を通知するために発生したアラートである。
【００２１】
一方、付加トラフィックアラートは、既存の制御システムに影響を与えることなく後からシステムを追加することで新たに入手できるアラートである。言い換えれば、付加トラフィックアラートは、制御システムに追加した、制御システム以外のシステムが、制御システムに発生した異常を検知したときに、その異常を通知するために発生したアラートである。例えば、付加トラフィックアラートは、制御システムに追加した、ネットワーク異常検知技術を利用したシステム（ＩＤＳ等）が制御システムに発生した異常を通知するために発生したアラートである。より具体的には、ＩＤＳ製品として上記で列挙した、SCADAShield（Cyberbit社製）、 Silent defense（Security Matters社製）、 OpShield（Wurldtech社製）等が制御システムに発生した異常を通知するために発生したアラートは、付加トラフィックアラートとなる。
【００２２】
図１は、本実施の形態に係る抽出装置１の構成の一例を示す図である。図１に示されるように、本実施の形態に係る抽出装置１は、アラート分類部１０と、アラート学習部２０と、アラート抽出部３０と、を備えている。本実施の形態に係る抽出装置１は、上述のように、システムアラート及び付加トラフィックアラートという２種類のアラートが入手可能である。
【００２３】
アラート分類部１０は、制御システムに発生した異常を通知するためにシステムアラート及び付加トラフィックアラートが発生すると、そのシステムアラート及び付加トラフィックアラートを入力する。システムアラートは、例えば、制御システムから入力される。付加トラフィックアラートは、例えば、ネットワーク異常検知技術を利用したシステム（ＩＤＳ等）から入力される。
【００２４】
アラート分類部１０は、システムアラートと付加トラフィックアラートとを対応付けた対応情報を生成する。
【００２５】
具体的には、アラート分類部１０は、同じ要因で発生したシステムアラートと付加トラフィックアラートとを推測し、推測したシステムアラートと付加トラフィックアラートとを対応付けた対応情報を生成する。そして、アラート分類部１０は、生成した対応情報をアラート学習部２０に出力する。例えば、アラート分類部１０は、以下の情報を基に、対応情報を生成する。
【００２６】
（ａ）異常の発生時間
システムアラート及び付加トラフィックアラートには、制御システムに発生した異常の発生時間の情報が含まれている。
【００２７】
そこで、アラート分類部１０は、システムアラート及び付加トラフィックアラートに含まれる異常の発生時間の情報を基に、同じ要因で発生したシステムアラートと付加トラフィックアラートとを推測する。
【００２８】
例えば、アラート分類部１０は、一定期間中に発生したシステムアラートと付加トラフィックアラートとは、同じ要因で発生したアラートであると推測し、両者を対応付けた対応情報を生成する。
【００２９】
（ｂ）異常の発生箇所
システムアラート及び付加トラフィックアラートには、制御システムに発生した異常の発生箇所の情報が含まれている。例えば、異常が発生したパケットの送信元（src）ＩＰアドレス及び宛先（dst）ＩＰ（Internet Protocol）アドレス、異常が発生した機器の機器ＩＤ（Identifier）等である。
【００３０】
そこで、アラート分類部１０は、システムアラート及び付加トラフィックアラートに含まれる異常の発生箇所の情報を基に、同じ要因で発生したシステムアラートと付加トラフィックアラートとを推測する。
【００３１】
例えば、アラート分類部１０は、同じ箇所で発生したシステムアラートと付加トラフィックアラートとは、同じ要因で発生したアラートであると推測し、両者を対応付けた対応情報を生成する。
【００３２】
（ｃ）異常の種類
システムアラート及び付加トラフィックアラートには、制御システムに発生した異常の種類の情報が含まれている。例えば、システムアラートに含まれる異常の種類としては、データ値が異常（グラフが異常）、プロセスの規則性が異常、メッセージが遅延、制御コマンドがホワイトリストに非該当、制御コマンドがブラックリストに該当等が挙げられる。また、付加トラフィックアラートに含まれる異常の種類としては、データ値の外れ値を検出、制御コマンドや通信の規則性の異常を検出、トラフィックがホワイトリストに非該当、トラフィックがブラックリストに該当等が挙げられる。
【００３３】
そこで、アラート分類部１０は、システムアラート及び付加トラフィックアラートに含まれる異常の種類の情報を基に、同じ要因で発生したシステムアラートと付加トラフィックアラートとを推測する。
【００３４】
例えば、アラート分類部１０は、データ値が許容値を超えるという異常の種類の情報を含むシステムアラートと、データ値の外れ値を検出するという異常の種類の情報を含む付加トラフィックアラートと、は、同じ要因（例えば、制御システム上のセンサの故障）で発生したと推測し、両者を対応付けた対応情報を生成する。
【００３５】
また、アラート分類部１０は、受信メッセージの遅延という異常の種類の情報を含むシステムアラートと、通信の規則性の異常という異常の種類の情報を含む付加トラフィックアラートと、は、同じ要因（例えば、制御システム上の機器の故障）で発生したと推測し、両者を対応付けた対応情報を生成する。
【００３６】
なお、アラート分類部１０は、上述の（ａ）異常の発生時間、（ｂ）異常の発生箇所、（ｃ）異常の種類の３つの情報のいずれか１つを用いて、対応情報を生成しても良いし、これら３つの情報のうちの任意の２つ以上の情報を用いて、対応情報を生成しても良い。
【００３７】
図２は、アラート分類部１０により生成された対応情報の一例を示す図である。図２の例では、システムアラートＳＡ１と付加トラフィックアラートＴＡ１とが、同じ要因で発生したと推測されたため、両者が対応付けられている。同様に、システムアラートＳＡ２と付加トラフィックアラートＴＡ２，ＴＡ３とが、同じ要因で発生したと推測されたため、両者が対応付けられている。また、システムアラートＳＡ３と付加トラフィックアラートＴＡ４とが、同じ要因で発生したと推測されたため、両者が対応付けられている。
【００３８】
アラート学習部２０は、アラート分類部１０により生成された対応情報と、制御システムにサイバー攻撃以外の要因で異常が発生したときのシステムアラートの特徴的な発生パターンを示すシステムアラート発生パターン情報と、が入力される。システムアラート発生パターン情報は、システムアラートを分析するシステムアラート分析部（不図示）から入力しても良いし、ユーザが手入力で入力しても良い。
【００３９】
図３は、アラート学習部２０に入力されるシステムアラート発生パターン情報の一例を示す図である。図３は、制御システム上の機器の故障が発生したときのシステムアラートの特徴的な発生パターンを示している。図３の例では、機器Ａが故障したときには、システムアラートＳＡ１が発生している。また、機器Ｂが故障したときには、システムアラートＳＡ２が発生し、これに続いてシステムアラートＳＡ３が発生している。また、機器Ｃが故障したときには、システムアラートＳＡ４，ＳＡ５が同時に発生している。
【００４０】
アラート学習部２０は、アラート分類部１０により生成された対応情報と、システムアラート発生パターン情報と、を基に、制御システムにサイバー攻撃以外の要因で異常が発生したときの付加トラフィックアラートの発生パターンを学習する。
【００４１】
具体的には、アラート学習部２０は、システムアラート発生パターン情報が示すシステムアラートの特徴的な発生パターンにおけるシステムアラートを、対応情報を基に、そのシステムアラートに対応付けされた付加トラフィックアラートに置き換える。このようにして、アラート学習部２０は、上記の学習を行う。そして、アラート学習部２０は、上記の学習結果を示す付加トラフィックアラート発生パターン情報を生成し、生成した付加トラフィックアラート発生パターン情報をアラート抽出部３０に出力する。
【００４２】
図４は、アラート学習部２０の学習動作の一例を示す図である。ここでは、アラート学習部２０には、図２に示される対応情報と、図３に示されるシステムアラート発生パターン情報と、が入力されるものとする。
【００４３】
図４の例では、システムアラート発生パターン情報は、制御システム上の機器Ａが故障したときには、システムアラートＳＡ１が発生していることを示している。また、対応情報は、システムアラートＳＡ１と付加トラフィックアラートＴＡ１とが対応付けられていることを示している。そこで、アラート学習部２０は、システムアラート発生パターン情報におけるシステムアラートＳＡ１を付加トラフィックアラートＴＡ１に置き換え、制御システム上の機器Ａが故障したときには、付加トラフィックアラートＴＡ１が発生すると学習する。
【００４４】
また、図４の例では、システムアラート発生パターン情報は、制御システム上の機器Ｂが故障したときには、システムアラートＳＡ２が発生し、これに続いてシステムアラートＳＡ３が発生していることを示している。また、対応情報は、システムアラートＳＡ２と付加トラフィックアラートＴＡ２，ＴＡ３とが対応付けられ、システムアラートＳＡ３と付加トラフィックアラートＴＡ４とが対応付けられていることを示している。そこで、アラート学習部２０は、システムアラート発生パターン情報におけるシステムアラートＳＡ２を付加トラフィックアラートＴＡ２，ＴＡ３に置き換えると共に、システムアラートＳＡ３を付加トラフィックアラートＴＡ４に置き換え、制御システム上の機器Ｂが故障したときには、付加トラフィックアラートＴＡ２，ＴＡ３が同時に発生し、これに続いて付加トラフィックアラートＴＡ４が発生すると学習する。
【００４５】
アラート抽出部３０は、制御システムに発生した異常を通知するために付加トラフィックアラートが発生すると、その付加トラフィックアラートを入力する。付加トラフィックアラートは、例えば、ネットワーク異常検知技術を利用したシステム（ＩＤＳ等）から入力される。また、アラート抽出部３０は、アラート学習部２０により生成された付加トラフィックアラート発生パターン情報を入力する。
【００４６】
アラート抽出部３０は、付加トラフィックアラート発生パターン情報に示される付加トラフィックアラートの発生パターンを基に、発生した付加トラフィックアラートから、サイバー攻撃が要因で発生した付加トラフィックアラートを抽出する。
【００４７】
具体的には、アラート抽出部３０は、発生した付加トラフィックアラートが、付加トラフィックアラート発生パターン情報に示される付加トラフィックアラートの発生パターンと一致するか否かを判断する。アラート抽出部３０は、発生した付加トラフィックアラートのうち、付加トラフィックアラート発生パターン情報に示される付加トラフィックアラートの発生パターンと一致するものは、サイバー攻撃以外の要因で発生した付加トラフィックアラートであると判断し、一致しないものは、サイバー攻撃が要因で発生した付加トラフィックアラートであると判断する。
【００４８】
例えば、付加トラフィックアラート発生パターン情報が、図４の下側の付加トラフィックアラートの発生パターンを示しているとする。この場合に、付加トラフィックアラートＴＡ１が発生すると、アラート抽出部３０は、発生した付加トラフィックアラートＴＡ１は、サイバー攻撃以外の要因（この場合は、制御システム上の機器Ａの故障）で発生した付加トラフィックアラートであると判断する。また、付加トラフィックアラートＴＡ２，ＴＡ３が同時に発生し、これに続いて付加トラフィックアラートＴＡ４が発生すると、アラート抽出部３０は、発生した付加トラフィックアラートＴＡ２，ＴＡ３，ＴＡ４は、サイバー攻撃以外の要因（この場合は、制御システム上の機器Ｂの故障）で発生した付加トラフィックアラートであると判断する。一方、その他の付加トラフィックアラートが発生すると、アラート抽出部３０は、その他の付加トラフィックアラートは、サイバー攻撃が要因で発生した付加トラフィックアラートであると判断する。例えば、付加トラフィックアラートＴＡ２，ＴＡ３が同時ではなく、それぞれ単独で発生した場合は、アラート抽出部３０は、発生した付加トラフィックアラートＴＡ２，ＴＡ３は、サイバー攻撃が要因で発生した付加トラフィックアラートであると判断する。また、付加トラフィックアラートＴＡ４が発生しても、その前に付加トラフィックアラートＴＡ２，ＴＡ３が同時に発生していない場合は、アラート抽出部３０は、発生した付加トラフィックアラートＴＡ４は、サイバー攻撃が要因で発生した付加トラフィックアラートであると判断する。
【００４９】
そして、アラート抽出部３０は、サイバー攻撃以外の要因で発生した付加トラフィックアラートは破棄する。一方、アラート抽出部３０は、サイバー攻撃が要因で発生した付加トラフィックアラートは抽出し、抽出した付加トラフィックアラートを抽出装置１の外部に出力する。付加トラフィックアラートの出力先は、例えば、サイバー攻撃を受けたときに復旧のための対処を行うＩＣＳ（Industrial Control System）やＳＯＣ（Security Operation Center）である。
【００５０】
このように、アラート抽出部３０は、サイバー攻撃が要因で発生した付加トラフィックアラートを抽出して出力する。そのため、付加トラフィックアラートを受け取った側（例えば、ＩＣＳやＳＯＣ）では、付加トラフィックアラートを受け取ったことのみをもって、その付加トラフィックアラートの要因がサイバー攻撃であると判断できる。そのため、即座に復旧作業を開始することができるため、迅速な復旧が可能となる。
【００５１】
以下、本実施の形態に係る抽出装置１の処理フローについて説明する。
図５は、本実施の形態に係る抽出装置１における学習動作までの処理フローの一例を示すフロー図である。
【００５２】
図５に示されるように、まず、アラート分類部１０は、システムアラートと付加トラフィックアラートとを対応付けた対応情報を生成する（ステップＳ１１）。具体的には、アラート分類部１０は、同じ要因で発生したシステムアラートと付加トラフィックアラートとを推測し、推測したシステムアラートと付加トラフィックアラートとを対応付けた対応情報を生成する。
【００５３】
続いて、アラート学習部２０は、アラート分類部１０により生成された対応情報と、制御システムにサイバー攻撃以外の要因で異常が発生したときのシステムアラートの特徴的な発生パターンと、を基に、制御システムにサイバー攻撃以外の要因で異常が発生したときの付加トラフィックアラートの発生パターンを学習する（ステップＳ１２）。具体的には、アラート学習部２０は、システムアラートの特徴的な発生パターンにおけるシステムアラートを、対応情報を基に、そのシステムアラートに対応付けされた付加トラフィックアラートに置き換える。このようにして、アラート学習部２０は、上記の学習を行う。
【００５４】
なお、図５の処理フローは、システムアラート及び付加トラフィックアラートの少なくとも１つが発生したときに行っても良いし、周期的に行っても良い。
【００５５】
図６は、本実施の形態に係る抽出装置１における付加トラフィックアラートが発生したときの処理フローの一例を示すフロー図である。
図６に示されるように、アラート抽出部３０は、付加トラフィックアラートが発生したか否かを判断する（ステップＳ２１）。
【００５６】
ステップＳ２１において、付加トラフィックアラートが発生した場合（ステップＳ２１のＹｅｓ）、アラート抽出部３０は、発生した付加トラフィックアラートが、サイバー攻撃が要因で発生した付加トラフィックアラートであるか否かを判断する（ステップＳ２２）。具体的には、アラート抽出部３０は、発生した付加トラフィックアラートが、アラート学習部２０により学習された付加トラフィックアラートの発生パターンと一致するか否かを判断する。アラート抽出部３０は、発生した付加トラフィックアラートのうち、付加トラフィックアラートの発生パターンと一致するものは、サイバー攻撃以外の要因で発生した付加トラフィックアラートであると判断し、一致しないものは、サイバー攻撃が要因で発生した付加トラフィックアラートであると判断する。
【００５７】
ステップＳ２２において、発生した付加トラフィックアラートが、サイバー攻撃が要因で発生した付加トラフィックアラートである場合（ステップＳ２２のＹｅｓ）、アラート抽出部３０は、発生した付加トラフィックアラートを抽出して出力する（ステップＳ２３）。その後、ステップＳ２１に戻る。
【００５８】
一方、ステップＳ２２において、発生した付加トラフィックアラートが、サイバー攻撃が要因で発生した付加トラフィックアラートでない場合（ステップＳ２２のＮｏ）、アラート抽出部３０は、発生した付加トラフィックアラートを破棄する（ステップＳ２４）。その後、ステップＳ２１に戻る。
【００５９】
なお、アラート学習部２０により学習された付加トラフィックアラートの発生パターンが、図４の下側の発生パターンであるものとする。この場合には、ステップＳ２２においては、例えば、付加トラフィックアラートＴＡ２，ＴＡ３が同時に発生しても、付加トラフィックアラートＴＡ２，ＴＡ３についての判断を即座には行わず、その後に付加トラフィックアラートＴＡ４が発生するまで待機する。そして、一定時間内に付加トラフィックアラートＴＡ４が発生した場合は、付加トラフィックアラートＴＡ２，ＴＡ３，ＴＡ４は、サイバー攻撃以外の要因で発生した付加トラフィックアラートであると判断する。一方、一定時間内に付加トラフィックアラートＴＡ４が発生しない場合は、付加トラフィックアラートＴＡ２，ＴＡ３は、サイバー攻撃が要因で発生した付加トラフィックアラートであると判断する。
【００６０】
上述したように、本実施の形態に係る抽出装置１によれば、アラート分類部１０は、システムアラートと付加トラフィックアラートとを対応付けた対応情報を生成する。アラート学習部２０は、アラート分類部１０により生成された対応情報と、制御システムにサイバー攻撃以外の要因で異常が発生したときのシステムアラートの発生パターンと、を基に、制御システムにサイバー攻撃以外の要因で異常が発生したときの付加トラフィックアラートの発生パターンを学習する。アラート抽出部３０は、アラート学習部２０により学習された付加トラフィックアラートの発生パターンを基に、発生した付加トラフィックアラートのうち、サイバー攻撃が要因で発生した付加トラフィックアラートを抽出して出力する。
【００６１】
そのため、付加トラフィックアラートを受け取った側（例えば、ＩＣＳやＳＯＣ）では、付加トラフィックアラートを受け取ったことのみをもって、その付加トラフィックアラートの要因がサイバー攻撃であると判断できる。そのため、即座に復旧作業を開始することができるため、迅速な復旧が可能となる。
【００６２】
以上、実施の形態を参照して本願発明における様々な観点を説明したが、本願発明は上記によって限定されるものではない。本願発明の各観点における構成や詳細には、発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
【００６３】
例えば、上記の実施の形態における各構成は、ハードウェア又はソフトウェア、もしくはその両方によって構成され、１つのハードウェア又はソフトウェアから構成しても良いし、複数のハードウェア又はソフトウェアから構成しても良い。各装置の機能（処理）を、ＣＰＵ（Central Processing Unit）やメモリ等を有するコンピュータにより実現しても良い。例えば、記憶装置に実施の形態における抽出方法を行うためのプログラムを格納し、各機能を、記憶装置に格納されたプログラムをＣＰＵで実行することにより実現しても良い。
【００６４】
また、上記のプログラムは、様々なタイプの非一時的なコンピュータ可読媒体（non-transitory computer readable medium）を用いて格納され、コンピュータに供給することができる。非一時的なコンピュータ可読媒体は、様々なタイプの実体のある記録媒体（tangible storage medium）を含む。非一時的なコンピュータ可読媒体の例は、磁気記録媒体（例えば、フレキシブルディスク、磁気テープ、ハードディスクドライブ）、光磁気記録媒体（例えば、光磁気ディスク）、ＣＤ−ＲＯＭ（compact disc read only memory）、ＣＤ−Ｒ（compact disc recordable）、ＣＤ−Ｒ／Ｗ（compact disc rewritable）、半導体メモリ（例えば、マスクＲＯＭ、ＰＲＯＭ（programmable ROM）、ＥＰＲＯＭ（erasable PROM）、フラッシュＲＯＭ、ＲＡＭ（random access memory））を含む。また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体（transitory computer readable medium）によってコンピュータに供給されても良い。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバ等の有線通信路、又は無線通信路を介して、プログラムをコンピュータに供給できる。
【符号の説明】
【００６５】
１  抽出装置
１０  アラート分類部
２０  アラート学習部
３０  アラート抽出部
【図１】
0006711452.tif 000002
【図２】
0006711452.tif 000003
【図３】
0006711452.tif 000004
【図４】
0006711452.tif 000005
【図５】
0006711452.tif 000006
【図６】
0006711452.tif 000007