(57)【特許請求の範囲】
【請求項１】
中継装置と、該中継装置を介しネットワークに接続して使用する端末装置とを備えた検知システムにおける検知方法であって、
前記中継装置が、前記端末装置から動作ログを取得するステップと、
前記中継装置が、前記動作ログと、前記端末装置に関連する通信のパケットヘッダ情報とを用いて、前記端末装置に関連する通信に異常があるか否かを判定するステップと、
前記端末装置に関連する通信に異常があると判定した場合、前記中継装置が、前記端末装置と外部ネットワークとの間の送受信処理を停止するステップと、
を含み、
前記判定するステップは、
前記動作ログを取得してから所定時間が経過した後、前記中継装置が、前記端末装置を休止モードとして管理するステップと、
前記休止モードにおいて、前記パケットヘッダ情報を所定の回数以上取得した場合、前記中継装置が、前記端末装置に関連する通信に異常があると判定するステップとを含む検知方法。
【請求項２】
前記判定するステップは、
前記休止モードにおいて、前記中継装置が、さらに、前記端末装置に関連する通信のデータ総量が所定値を超えた場合、前記端末装置に関連する通信は異常であると判定するステップを含む請求項１に記載の検知方法。
【請求項３】
中継装置と、該中継装置を介しネットワークに接続して使用する端末装置とを備えた検知システムであって、
前記端末装置は、前記端末装置の動作を記録した動作ログを生成する動作監視部を有し、
前記中継装置は、
前記端末装置と外部ネットワークとの間の送受信処理を行うトラフィック処理部と、
前記動作ログと、前記端末装置に関連する通信のパケットヘッダ情報とを用いて、前記端末装置に関連する通信の異常を判定する異常検知部と、を有し、
前記異常検知部は、前記端末装置に関連する通信に異常があると判定した場合、前記トラフィック処理部に、前記端末装置と外部ネットワークとの間の送受信処理を停止させ、
前記異常検知部は、前記動作ログを取得してから所定時間が経過した後、前記端末装置を休止モードとして管理し、
前記異常検知部は、前記休止モードにおいて、前記パケットヘッダ情報を所定の回数以上取得した場合、前記端末装置に関連する通信に異常があると判定する、
ことを特徴とする検知システム。 
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、検知方法及び検知システムに関する。
【背景技術】
【０００２】
近年、ＩｏＴ（Internet Of Things）技術を用いて、ネットワークに接続して使用する機器（以下「ＩｏＴ機器」という）の利用が盛んである。しかしながら、その一方で、ファームウェアの更新を怠ること等により、攻撃者にマルウェア等によるＩｏＴ機器への侵入の機会を与えてしまっている。
【０００３】
一般的に、攻撃者は、（１）バッファオーバーフロー等の脆弱性を利用してＩｏＴ機器に侵入した後、（２）実攻撃に先立って、Ｃ＆Ｃサーバ（command and control server）との通信を行い、ルートキット（Rootkit）のインストール等によって、ＩｏＴ機器に攻撃環境を構築し、（３）実攻撃を実行する、という（１）〜（３）のステップを行っている。
【０００４】
ここで、（１）への対策として、シグネチャ解析等によるパターンマッチングを利用して、攻撃者のＩｏＴ機器への侵入を防ぐ方法が考えられる。また、（２）への対策として、Ｃ＆ＣサーバのＩＰアドレスのブラックリスト等を用いた通信トラフィックの解析を用いた手法が知られている（非特許文献１）。
【先行技術文献】
【非特許文献】
【０００５】
【非特許文献１】Jan Goebel、Thorsten Holz、“Rishi: Identify Bot Contaminated Hosts by IRC Nickname Evaluation”、USENIX 2007
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、（１）への対策において、上述のパターンマッチングを利用して攻撃者のＩｏＴ機器への侵入を防ぐ方法では、亜種によるゼロデイ攻撃を防止することができない。また、ＩｏＴ機器がＴＬＳ（Transport Layer Security）による暗号化通信を採用している場合は、パターンマッチングの手法を利用することができない。
【０００７】
また、（２）において、従来のＣ＆ＣサーバはＩＰアドレスが固定的であったが、近年では、ＩＰアドレスが変化するＣ＆Ｃサーバが出現してきている。そのため、非特許文献１のような、Ｃ＆ＣサーバのＩＰアドレスのブラックリストを用いた手法では、ＩＰアドレスが変化するＣ＆Ｃサーバへの対策が困難である。
【０００８】
本発明の目的は、上記の問題に鑑みてなされたものであり、攻撃サーバからＩｏＴ機器への侵入を防ぐことができる検知方法及び検知システムを提供することにある。
【課題を解決するための手段】
【０００９】
上記課題を解決するため、本発明に係る検知方法は、中継装置と、該中継装置を介しネットワークに接続して使用する端末装置とを備えた検知システムにおける検知方法であって、前記中継装置が、前記端末装置から動作ログを取得するステップと、前記中継装置が、前記動作ログと、前記端末装置に関連する通信のパケットヘッダ情報とを用いて、前記端末装置に関連する通信に異常があるか否かを判定するステップと、前記端末装置に関連する通信に異常があると判定した場合、前記中継装置が、前記端末装置と外部ネットワークとの間の送受信処理を停止するステップと、を含み、前記判定するステップは、前記動作ログを取得してから所定時間が経過した後、前記中継装置が、前記端末装置を休止モードとして管理するステップと、前記休止モードにおいて、前記パケットヘッダ情報を所定の回数以上取得した場合、前記中継装置が、前記端末装置に関連する通信に異常があると判定するステップとを含む。 
【００１０】
また、上記課題を解決するため、本発明に係る検知システムは、中継装置と、該中継装置を介しネットワークに接続して使用する端末装置とを備えた検知システムであって、前記端末装置は、前記端末装置の動作を記録した動作ログを生成する動作監視部を有し、前記中継装置は、前記端末装置と外部ネットワークとの間の送受信処理を行うトラフィック処理部と、前記動作ログと、前記端末装置に関連する通信のパケットヘッダ情報とを用いて、前記端末装置に関連する通信の異常を判定する異常検知部と、を有し、前記異常検知部は、前記端末装置に関連する通信に異常があると判定した場合、前記トラフィック処理部に、前記端末装置と外部ネットワークとの間の送受信処理を停止させ、前記異常検知部は、前記動作ログを取得してから所定時間が経過した後、前記端末装置を休止モードとして管理し、前記異常検知部は、前記休止モードにおいて、前記パケットヘッダ情報を所定の回数以上取得した場合、前記端末装置に関連する通信に異常があると判定する、ことを特徴とする。
【発明の効果】
【００１１】
本発明に係る検知方法及び検知システムによれば、攻撃サーバからＩｏＴ機器への侵入を防ぐことができる。
【図面の簡単な説明】
【００１２】
【図１】第１の実施形態に係る検知システムの構成の一例を示す図である。
【図２】第１の実施形態に係る検知システムの動作の一例を示すフローチャートである。
【図３】異常検知部によるセンサ端末の異常モードの検知の一例を示す図である。
【図４】第２の実施形態に係る検知システムの構成の一例を示す図である。
【図５】第２の実施形態に係る検知システムの動作の一例を示すフローチャートである。
【発明を実施するための形態】
【００１３】
以下、本発明に係る実施形態について、図面を参照して説明する。まず、本発明の第１の実施形態について説明する。第１の実施形態におけるＩｏＴ機器は、センサ端末であるものとする。
【００１４】
（第１の実施形態）
[システム構成]
図１は、第１の実施形態に係る検知システム１の構成の一例を示す図である。検知システム１は、センサ端末（特許請求の範囲における「端末装置」）１００，１０１，１０２と、ＧＷ（ゲートウェイ）装置（特許請求の範囲における「中継装置」）２００と、要求サーバ３００とを備える。図１の例では、３つのセンサ端末１００〜１０２が示されているが、検知システム１が備えるセンサ端末の数はこれに限定されない。センサ端末１００〜１０２及びＧＷ装置２００は、例えば無線通信によって、互いに接続されている。また、ＧＷ装置２００及び要求サーバ３００は、ネットワーク４００を介して互いに接続されている。
【００１５】
センサ端末１００〜１０２は、それぞれ、用途に応じたデータ（例えば、温度等）をセンシングする。そして、センサ端末１００〜１０２は、それぞれ、センサデータや、センサ動作等を記録したセンサ動作ログをＧＷ装置２００に送信する。
【００１６】
ここで、センサ端末１００〜１０２は、データをセンシングすると、センサデータやセンサ動作ログを、リアルタイムでＧＷ装置２００に送信する。つまり、センサ端末１００〜１０２のセンサデータやセンサ動作ログは、それぞれ、センサ端末１００〜１０２のセンサ動作に関係して、ＧＷ装置２００に送信される。
【００１７】
ＧＷ装置２００は、センサ端末１００〜１０２とネットワーク４００との間で、通信の中継を行う中継装置である。ＧＷ装置２００は、センサ端末１００〜１０２の各々から受信したセンサデータ等について、プロトコル変換等の処理を行った後、ネットワーク４００を介して要求サーバ３００等に転送する。また、ＧＷ装置２００は、ネットワーク４００を介して要求サーバ３００等から受信したデータ等について、プロトコル変換等の処理を行った後、それぞれ、センサ端末１００〜１０２に転送する。
【００１８】
要求サーバ３００は、ＧＷ装置２００を介してセンサ端末１００〜１０２と通信を行う。また、ＧＷ装置２００を介し取得したセンサ端末１００〜１０２のセンサデータ等を解析及び処理する。
【００１９】
攻撃サーバ５００は、例えばＣ＆Ｃサーバであり、センサ端末１００〜１０２への攻撃を企てる攻撃者のサーバである。図１に示すように、攻撃サーバ５００は、ネットワーク４００に接続されている。ここで、センサ端末１００〜１０２が攻撃サーバ５００に侵入された場合、センサ端末１００〜１０２のセンサ動作とは無関係に、センサ端末１００〜１０２とＧＷ装置２００を介した攻撃サーバ５００との通信が多発する。
【００２０】
以下、センサ端末１００〜１０２及びＧＷ装置２００の構成及び機能について、より詳細に説明する。なお、本発明に係るセンサ端末１００〜１０２及びＧＷ装置２００の各機能を説明するが、センサ端末１００〜１０２及びＧＷ装置２００が備える他の機能を排除することを意図したものではないことに留意する。
【００２１】
まず、センサ端末１００〜１０２について説明する。なお、センサ端末１００〜１０２は同様の構成を採用することができるため、以下では、センサ端末１００を例に用いて説明する。
【００２２】
センサ端末１００は、動作監視部１１０、制御部１２０、記憶部１３０、通信部１４０を有する。
【００２３】
動作監視部１１０は、センサ端末１００のセンサ動作を監視する。そして、動作監視部１１０は、センサ動作等を記録したセンサ動作ログを生成する。動作監視部１１０は、例えば、センサ端末１００のセンサ動作の開始を契機として、センサ動作ログを生成する。
【００２４】
制御部１２０は、センサ端末１００全体を管理及び制御するものである。制御部１２０は、センサ端末１００によってセンシングされたデータに、要求サーバ３００の宛先（例えば、ＩＰアドレス）をパケットヘッダとして付加した後、通信部１４０を介してＧＷ装置２００にリアルタイムで送信する。また、制御部１２０は、動作監視部１１０が生成したセンサ動作ログに、ＧＷ装置２００の宛先をパケットヘッダとして付加した後、通信部１４０を介してＧＷ装置２００にリアルタイムで送信する。つまり、制御部１２０によって、センサデータやセンサ動作ログは、センサ端末１００のセンサ動作に関係して、ＧＷ装置２００に送信される。
【００２５】
記憶部１３０は、センサ端末１００によってセンシングされたデータや、センサ端末１００の機能を実現する処理内容を記述したプログラム等を記憶している。
【００２６】
通信部１４０は、例えば無線通信によって、ＧＷ装置２００と通信を行う。
【００２７】
次に、ＧＷ装置２００について説明する。
【００２８】
ＧＷ装置２００は、トラフィック処理部２１０、制御部２２０、異常検知部２３０、記憶部２４０、通信部２５０を有する。
【００２９】
トラフィック処理部２１０は、センサ端末１００〜１０２の各々と外部ネットワーク４００との間のデータ等の送受信処理を行う。またこの際、トラフィック処理部２１０は、このデータ等に付加されたパケットヘッダ情報を異常検知部２３０に通知する。また、トラフィック処理部２１０は、パケットヘッダ情報に含まれるＩＰアドレスや送受信パケットサイズ等の情報を記憶部２４０に記憶させておいてもよい。さらに、トラフィック処理部２１０は、通信部２５０を介し、センサ端末１００〜１０２の各々から取得した、パケットヘッダに含まれる宛先がＧＷ装置２００となるセンサ動作ログを、異常検知部２３０に転送する。
【００３０】
また、トラフィック処理部２１０は、異常検知部２３０から、それぞれ、センサ端末１００〜１０２について異常モードの通知を受けると、センサ端末１００〜１０２と外部ネットワーク４００との間の送受信処理を停止する。
【００３１】
制御部２２０は、ＧＷ装置２００全体を管理及び制御するものである。制御部２２０は、トラフィック処理部２１０が取得したデータ等のプロトコル変換等の処理を行う。
【００３２】
異常検知部２３０は、トラフィック処理部２１０から、センサ端末１００〜１０２の各々のセンサ動作ログ及びセンサ端末１００〜１０２に関連する通信のパケットヘッダ情報を取得する。そして、異常検知部２３０は、センサ端末１００〜１０２のセンサ動作ログを取得してから所定時間Ｔｓ内は、それぞれ、センサ動作モードとしてセンサ端末１００〜１０２の状態管理を行う。また、異常検知部２３０は、センサ端末１００〜１０２のセンサ動作ログを取得してから所定時間Ｔｓが経過した後は、それぞれ、センサ休止モードとしてセンサ端末１００〜１０２の状態管理を行う。また、このセンサ休止モード中に、異常検知部２３０は、取得したパケットヘッダ情報を用いて、それぞれ、センサ端末１００〜１０２の異常モードを判定する。これらの処理の詳細については後述する。
【００３３】
記憶部２４０は、ＧＷ装置２００の制御に必要な情報や、ＧＷ装置２００の機能を実現する処理内容を記述したプログラム等を記憶している。
【００３４】
通信部２５０は、例えば無線通信によって、センサ端末１００〜１０２と通信を行う。また、通信部２５０は、ネットワーク４００を介し、要求サーバ３００等と通信を行う。
【００３５】
以下、センサ端末１００〜１０２における異常検知部２３０の処理の詳細を、センサ端末１００を例に説明する。
【００３６】
＜センサ動作モードにおける処理＞
異常検知部２３０は、トラフィック処理部２１０から、センサ端末１００のセンサ動作の開始を契機として生成されたセンサ動作ログを取得すると、センサ動作ログを取得してから所定時間Ｔｓ内は、センサ動作モードとして、センサ端末１００の状態管理を行う。所定時間Ｔｓは、例えば、センサ端末１００がセンサ動作を行う時間を考慮して設定される。
【００３７】
＜センサ休止モードにおける処理＞
異常検知部２３０は、センサ端末１００のセンサ動作ログを取得してから所定時間Ｔｓが経過すると、センサ休止モードとして、センサ端末１００の状態管理を行う。異常検知部２３０は、このセンサ休止モード中に、センサ端末１００の異常モードの判定を行う。以下の処理について説明する。
【００３８】
まず、異常検知部２３０は、トラフィック処理部２１０から、センサ端末１００に関連する通信のパケットヘッダ情報を取得したか否か判定する。そして、異常検知部２３０は、トラフィック処理部２１０から、センサ端末１００に関連する通信のパケットヘッダ情報を取得した場合、休止モード中におけるそのセンサ端末１００に関連する通信を、準異常トラフィックとして検知する。
【００３９】
次に、異常検知部２３０は、１回のセンサ休止モードにおいて、検知した準異常トラフィックの数が所定の回数Ｎ以上であるか否か判定する。そして、１回のセンサ休止モードにおいて、検知した準異常トラフィックの数が所定の回数Ｎ以上であると判定した場合、センサ端末１００は異常モードであると判定する。ここで、センサ端末１００が攻撃サーバ５００に侵入された場合、センサ端末１００と攻撃サーバ５００との間の通信は、センサ動作とは無関係に多発する。そのため、１回の休止モード中において、検知した準異常トラフィックの数が所定の回数Ｎ以上（つまり、連続してＮ回以上）となった場合、センサ端末１００は異常モードであると判定する。また、検知した準異常トラフィックの数が所定の回数Ｎ以上となった場合を異常モードと判定することで、センサ動作とは無関係に行われることがある、センサ端末１００のファームウェアの更新等による正常な通信を異常モードと誤判定する確率を低減させている。そして、センサ端末１００を異常モードであると判定した後は、異常検知部２３０は、後述の異常モードにおける処理を行う。
【００４０】
なお、異常検知部２３０は、トラフィック処理部２１０に通信の送受信パケットサイズを送信させ、１回の休止モードにおける通信のデータ総量が所定値を超えた場合、センサ端末１００は異常モードであると判定してもよい。また、異常検知部２３０は、一回のセンサ休止モードにおけるデータ総量と、一回のセンサ休止モードにおいて検知した準異常トラフィックの数とを併用して、センサ端末１００の異常モードを判定してもよい。
【００４１】
一方、異常検知部２３０は、センサ端末１００を異常モードであると判定しない場合に、トラフィック処理部２１０からセンサ端末１００のセンサ動作ログを取得すると、センサ端末１００はセンサ休止モードからセンサ動作モードに遷移したものと判定し、上述のセンサ動作モードにおける処理を行う。
【００４２】
＜異常モードにおける処理＞
異常検知部２３０は、上述の処理により、センサ端末１００の異常モードを判定すると、トラフィック処理部２１０や制御部２２０等に、センサ端末１００の異常モードの通知を行う。トラフィック処理部２１０は、センサ端末１００の異常モードの通知を受信した後は、センサ端末１００と外部ネットワーク４００との間の送受信処理を停止する。
【００４３】
次に、第１の実施形態に係る検知システム１のシステム動作について説明する。
【００４４】
[システム動作]
図２は、第１の実施形態に係る検知システム１の動作の一例を示すフローチャートである。ＧＷ装置２００は、センサ端末１００〜１０２の各々について異常モードの判定を行っているが、以下では、ＧＷ装置２００によるセンサ端末１００の異常モードの判定について説明する。
【００４５】
センサ端末１００がセンサ動作を開始する。すると、センサ端末１００の動作監視部１１０は、センサ端末１００のセンサ動作の開始を契機として、センサ動作ログを生成する。そして、このセンサ動作ログは、センサ端末１００の制御部１２０によって、センサ端末１００の通信部１４０を介し、ＧＷ装置２００に送信される。
【００４６】
すると、ＧＷ装置２００の異常検知部２３０は、ＧＷ装置２００のトラフィック処理部２１０等の処理を経て、センサ端末１００のセンサ動作ログを取得する（ステップＳ１０１）。そして、異常検知部２３０は、センサ動作ログを取得してから所定時間Ｔｓ内は、センサ動作モードとして、センサ端末１００の状態管理を行う（ステップＳ１０２）。
【００４７】
センサ端末１００のセンサ動作ログを取得してから所定時間Ｔｓが経過すると、異常検知部２３０は、まず、準異常トラフィック数を格納する変数ｉを初期化する（ステップＳ１０３）。
【００４８】
次に、異常検知部２３０は、トラフィック処理部２１０から、センサ休止モード中においてセンサ端末１００に関連する通信のパケットヘッダ情報を取得したか否か判定する（ステップＳ１０４）。異常検知部２３０は、トラフィック処理部２１０から、センサ端末１００に関連する通信のパケットヘッダ情報を取得したと判定した場合（ステップＳ１０４：Ｙｅｓ）、ステップＳ１０５の処理に進む。一方、異常検知部２３０は、トラフィック処理部２１０から、センサ端末１００に関連する通信のパケットヘッダ情報を取得しないと判定した場合（ステップＳ１０４：Ｎｏ）、ステップＳ１０８の処理に進む。
【００４９】
ステップＳ１０５の処理では、異常検知部２３０は、センサ端末１００に関連する通信を準異常トラフィックとして検知し、変数ｉに１を加算する（ステップＳ１０６）。その後、異常検知部２３０は、変数ｉが所定の回数Ｎ以上であるか否か判定する（ステップＳ１０７）。異常検知部２３０は、変数ｉが所定の回数Ｎ以上と判定した場合（ステップＳ１０７：Ｙｅｓ）、ステップＳ１０９の処理に進む。一方、異常検知部２３０は、変数ｉが所定の回数Ｎより小さいと判定した場合（ステップＳ１０７：Ｎｏ）、ステップＳ１０８の処理に進む。
【００５０】
ステップＳ１０８の処理では、異常検知部２３０は、トラフィック処理部２１０から、センサ端末１００のセンサ動作ログを取得したか否か判定する。異常検知部２３０は、トラフィック処理部２１０からセンサ端末１００のセンサ動作ログを取得したと判定した場合（ステップＳ１０８：Ｙｅｓ）、ステップＳ１０２からの処理を繰り返し行う。一方、異常検知部２３０は、トラフィック処理部２１０からセンサ端末１００のセンサ動作ログを取得しないと判定した場合（ステップＳ１０８：Ｎｏ）、ステップＳ１０４からの処理を繰り返し行う。
【００５１】
ステップＳ１０９の処理では、異常検知部２３０は、検知した準異常トラフィックの数（ｉ）が所定の回数Ｎ以上となるため、センサ端末１００が異常モードであると判定する。
【００５２】
このようにステップＳ１０４〜Ｓ１０７，Ｓ１０９の処理を行い、一回のセンサ休止モードにおいて、検知した準異常トラフィックの数（ｉ）が所定の回数Ｎ以上となった場合を、センサ端末１００は異常モードであると判定する。これにより、センサ休止モード中に行われることがある、センサ端末１００のファームウェアの更新等に関連する正常な通信を異常モードと誤判定する確率を低減することができる。
【００５３】
その後、異常検知部２３０は、センサ端末１００を異常モードと判定すると、トラフィック処理部２１０や制御部２２０等に、センサ端末１００の異常モードの通知を行う（ステップＳ１１０）。トラフィック処理部２１０は、センサ端末１００の異常モードの通知を受信した後は、センサ端末１００と外部ネットワーク４００との間の送受信処理を停止する。これにより、攻撃サーバ５００からセンサ端末１００への侵入を防ぐことができる。
【００５４】
図３に、異常検知部２３０によるセンサ端末１００の異常モードの判定の一例を示す。図３の例では、所定の回数Ｎは３である。図３に示すように、センサ休止モード２における準異常トラフィックの数は１であり、所定の回数３以下であるため、センサ端末１００が異常モードであるとは判定されない。一方、センサ休止モード４おける準異常トラフィックの数は３であり、所定の回数３以上となるため、センサ端末１００の異常モード５が判定される。
【００５５】
なお、ステップＳ１０１，Ｓ１０８の処理において、センサ端末１００に、一定のビット長の通し番号付きのＭＡＣ（Message Authentication Code）値を付加したセンサ動作ログを生成させ、ＧＷ装置２００に送信するようにしてもよい。これにより、センサ端末１００に攻撃サーバ５００が侵入し、攻撃サーバ５００の不正なプログラムによって疑似的なセンサ動作ログが生成された場合であっても、正規のセンサ動作ログと疑似的なセンサ動作ログとを判定することが可能になる。
【００５６】
また、ステップＳ１０４〜Ｓ１０７の処理において、異常検知部２３０は、トラフィック処理部２１０に通信の送受信パケットサイズを送信させ、１回の休止モードにおける通信のデータ総量が所定値を超えた場合、センサ端末１００は異常モードであると判定してもよい。また、異常検知部２３０は、一回のセンサ休止モードにおけるデータ総量と、一回のセンサ休止モードにおいて検知した準異常トラフィックの数とを併用して、センサ端末１００の異常モードを判定してもよい。
【００５７】
以上のように、検知システム１では、センサ端末１００がセンサ休止モード中に、異常検知部２３０によって、準異常トラフィックの検知を行い、さらに、１回のセンサ休止モードにおいて、検知した準異常トラフィックの数が所定の回数Ｎ以上となったときを異常モードとして判定する。そして、異常モードと判定すると、異常検知部２３０は、トラフィック処理部２１０等に、異常モードの通知を行い、センサ端末１００と外部ネットワーク４００との間の送受信処理を停止させる。これにより、検知システム１では、攻撃サーバ５００からセンサ端末１００への侵入を防ぐことができる。
【００５８】
さらに、検知システム１では、検知した準異常トラフィックの数が所定の回数Ｎ以上となったときを異常モードとして判定している。これにより、センサ休止モード中に行われることがある、センサ端末１００のファームウェアの更新等に関連する正常な通信を異常モードと誤判定する確率を低減することができる。
【００５９】
また、検知システム１では、センサ動作ログを取得してから所定時間Ｔｓを経過した後のセンサ休止モードにおけるパケットヘッダ情報の取得の有無、つまり、センサ休止モードにおける通信の有無から、センサ端末１００の異常モードを判定している。これにより、攻撃サーバ５００のＩＰアドレスが動的に変化する場合であっても、センサ端末１００の異常モードを判定することができるため、攻撃サーバ５００からセンサ端末１００への侵入を防ぐことができる。また、センサ端末１００に関連する通信が暗号化されている場合であっても、センサ端末１００の異常モードの判定が可能になる。
【００６０】
（第２の実施形態）
次に、本発明の第２の実施形態について説明する。第２の実施形態におけるＩｏＴ機器は、カメラ（Ｗｅｂカメラ）であるものとする。
【００６１】
［システム構成］
図４は、第２の実施形態に係る検知システム１ａの構成の一例を示す図である。なお、図４に示す構成要素で、図１に示す構成要素と同様のものは同一符号を付し、その説明を省略する。
【００６２】
検知システム１ａは、カメラ（特許請求の範囲における「端末装置」）１００ａと、ＧＷ装置２００と、要求サーバ３００と、管理サーバ３０１とを備える。カメラ１００ａ及びＧＷ装置２００は、例えば無線通信によって、互いに接続されている。また、ＧＷ装置２００、要求サーバ３００及び管理サーバ３０１は、ネットワーク４００を介して互いに接続されている。
【００６３】
カメラ１００ａは、例えば、Ｗｅｂカメラであり、用途に応じて写真を撮影する。そして、カメラ１００ａは、撮影した写真データや、撮影動作等を記録した撮影動作ログをＧＷ装置２００に送信する。また、カメラ１００ａには、ネットワーク４０を介し管理サーバ３０１によって、カメラ１００ａの設定変更等を行うために、例えばＥＷＳ（Embedded Web Server）等のＷｅｂサーバが組み込まれている。
【００６４】
ここで、カメラ１００ａは、写真を撮影すると、その写真データや撮影動作ログを、リアルタイムでＧＷ装置２００に送信する。つまり、カメラ１００ａの写真データや撮影動作ログは、カメラ１００ａの撮影動作に関係して、ＧＷ装置２００に送信される。
【００６５】
要求サーバ３００は、ＧＷ装置２００を介し、カメラ１００ａとの通信を行う。要求サーバ３００は、カメラ１００ａにより撮影された写真を利用する。
【００６６】
管理サーバ３０１は、カメラ１００ａを管理する。カメラ１００ａの管理者は、管理サーバ３０１を介し、ＩＤ及びパスワードを用いてカメラ１００ａのＷｅｂサーバにログインし、カメラ１００ａの設定変更等を行う。
【００６７】
なお、カメラ１００ａが攻撃サーバ５００に侵入された場合、カメラ１００ａの撮影動作とは無関係に、カメラ１００ａとＧＷ装置２００を介した攻撃サーバ５００との通信が多発する。
【００６８】
以下、カメラ１００ａ及びＧＷ装置２００の構成及び機能について、より詳細に説明する。なお、本発明に係るカメラ１００ａ及びＧＷ装置２００の各機能を説明するが、カメラ１００ａ及びＧＷ装置２００が備える他の機能を排除することを意図したものではないことに留意する。
【００６９】
まず、カメラ１００ａについて説明する。
【００７０】
カメラ１００ａは、動作監視部１１０ａ、制御部１２０ａ、記憶部１３０、通信部１４０を有する。
【００７１】
動作監視部１１０ａは、カメラ１００ａの撮影動作を監視する。そして、動作監視部１１０ａは、撮影動作等を記録した撮影動作ログを生成する。動作監視部１１０ａは、例えば、カメラ１００ａの写真撮影の開始を契機として、撮影動作ログを生成する。
【００７２】
制御部１２０ａは、カメラ１００ａ全体を管理及び制御するものである。制御部１２０ａは、カメラ１００ａによって撮影された写真データに、要求サーバ３００の宛先をパケットヘッダとして付加した後、通信部１４０を介してＧＷ装置２００にリアルタイムで送信する。また、制御部１２０ａは、動作監視部１１０ａが生成した撮影動作ログに、ＧＷ装置２００の宛先をパケットヘッダとして付加した後、通信部１４０を介してＧＷ装置２００にリアルタイムで送信する。つまり、制御部１２０ａによって、写真データや撮影動作ログは、カメラ１００ａの撮影動作に関係して、ＧＷ装置２００に送信される。
【００７３】
次に、ＧＷ装置２００について説明する。ＧＷ装置２００は、トラフィック処理部２１０、制御部２２０、異常検知部２３０、記憶部２４０、通信部２５０を有する。
【００７４】
トラフィック処理部２１０は、カメラ１００ａと外部ネットワーク４００との間のデータ等の送受信処理を行う。またこの際、トラフィック処理部２１０は、このデータ等に付加されたパケットヘッダ情報を異常検知部２３０に通知する。また、トラフィック処理部２１０は、パケットヘッダ情報に含まれるＩＰアドレスや送受信パケットサイズ等の情報を記憶部２４０に記憶させておいてもよい。さらに、トラフィック処理部２１０は、通信部２５０を介し、カメラ１００ａから取得した、パケットヘッダに含まれる宛先がＧＷ装置２００となる撮影動作ログを、異常検知部２３０に転送する。
【００７５】
また、トラフィック処理部２１０は、異常検知部２３０から、カメラ１００ａの異常モードの通知を受けると、カメラ１００ａと外部ネットワーク４００との間の送受信処理を停止する。
【００７６】
異常検知部２３０は、トラフィック処理部２１０から、カメラ１００ａの撮影動作ログ及びカメラ１００ａに関連する通信のパケットヘッダ情報を取得する。そして、異常検知部２３０は、カメラ１００ａの撮影動作ログを取得してから所定時間Ｔｓ１内は、撮影動作モードとしてカメラ１００ａの状態管理を行う。また、異常検知部２３０は、カメラ１００ａの撮影動作ログを取得してから所定時間Ｔｓ１が経過した後は、撮影休止モードとしてカメラ１００ａの状態管理を行う。また、この撮影休止モード中に、異常検知部２３０は、取得したパケットヘッダ情報を用いて、カメラ１００ａの異常モードを判定する。以下、これらの処理の詳細について説明する。
【００７７】
＜撮影動作モードにおける処理＞
異常検知部２３０は、トラフィック処理部２１０から、カメラ１００ａの撮影動作の開始を契機として生成された撮影動作ログを取得すると、撮影動作ログを取得してから所定時間Ｔｓ１内は、撮影動作モードとして、カメラ１００ａの状態管理を行う。所定時間Ｔｓ１は、例えば、カメラ１００ａが撮影動作を行う時間を考慮して設定される。
【００７８】
＜撮影休止モードにおける処理＞
異常検知部２３０が、カメラ１００ａの撮影動作ログを取得してから所定時間Ｔｓ１が経過すると、撮影休止モードとして、カメラ１００ａの状態管理を行う。異常検知部２３０は、この撮影休止モード中に、カメラ１００ａの異常モードの判定を行う。以下の処理について説明する。
【００７９】
まず、異常検知部２３０は、トラフィック処理部２１０から、カメラ１００ａに関連する通信のパケットヘッダ情報を取得したか否か判定する。そして、異常検知部２３０は、トラフィック処理部２１０から、カメラ１００ａに関連する通信のパケットヘッダ情報を取得した場合、撮影休止モードにおけるそのカメラ１００ａに関連する通信を、準異常トラフィックとして検知する。
【００８０】
次に、異常検知部２３０は、一回の撮影休止モードにおいて、検知した準異常トラフィックの数が所定の回数Ｎ以上であるか否か判定する。そして、一回の撮影休止モードにおいて、検知した準異常トラフィックの数が所定の回数Ｎ以上であると判定した場合、カメラ１００ａは異常モードであると判定する。ここで、カメラ１００ａが攻撃サーバ５００に侵入された場合、カメラ１００ａと攻撃サーバ５００との間の通信は、撮影動作とは無関係に多発する。そのため、１回の休止モード中において、検知した準異常トラフィックの数が所定の回数Ｎ以上（つまり、連続してＮ回以上）となった場合、カメラ１００ａは異常モードであると判定する。また、検知した準異常トラフィックの数が所定の回数Ｎ以上となった場合を異常モードと判定することで、撮影動作とは無関係に行われることがある、カメラ１００ａのファームウェアの更新やカメラ１００ａの設定変更等による正常な通信を異常モードと誤判定する確率を低減させている。そして、異常検知部２３０は、カメラ１００ａを異常モードであると判定した後は、後述の異常モードにおける処理を行う。
【００８１】
なお、異常検知部２３０は、トラフィック処理部２１０に通信の送受信パケットサイズを送信させ、１回の休止モードにおける通信のデータ総量が所定値を超えた場合、カメラ１００ａは異常モードであると判定してもよい。また、異常検知部２３０は、一回の撮影休止モードにおけるデータ総量と、一回の撮影休止モードにおいて検知した準異常トラフィックの数とを併用して、カメラ１００ａの異常モードを判定してもよい。
【００８２】
一方、異常検知部２３０は、カメラ１００ａを異常モードであると判定しない場合に、トラフィック処理部２１０からカメラ１００ａの撮影動作ログを取得すると、カメラ１００ａは、撮影休止モードから撮影動作モードに遷移したものと判定し、上述の撮影動作モードにおける処理を行う。
【００８３】
＜異常モードにおける処理＞
異常検知部２３０は、上述の処理により、カメラ１００ａの異常モードを判定すると、トラフィック処理部２１０や制御部２２０等に、カメラ１００ａの異常モードの通知を行う。トラフィック処理部２１０は、カメラ１００ａの異常モードの通知を受信した後は、カメラ１００ａと外部ネットワーク４００との間の送受信処理を停止する。
【００８４】
次に、第２の実施形態に係る検知システム１ａのシステム動作について説明する。
【００８５】
[システム動作]
図５は、第２の実施形態に係る検知システム１ａの動作の一例を示すフローチャートである。
【００８６】
カメラ１００ａが撮影動作を開始する。すると、カメラ１００ａの動作監視部１１０ａは、カメラ１００ａの撮影動作の開始を契機として、撮影動作ログを生成し、カメラ１００ａの制御部１２０ａに送信する。そして、この撮影動作ログは、カメラ１００ａの制御部１２０ａによって、カメラ１００ａの通信部１４０を介し、ＧＷ装置２００に送信される。
【００８７】
すると、ＧＷ装置２００の異常検知部２３０は、図２に示すステップＳ１０１，１０２の処理と同様にして、ステップＳ２０１，２０２の処理を行い、撮影動作ログを取得してから所定時間Ｔｓ１内は、撮影動作モードとして、カメラ１００ａの状態管理を行う。
【００８８】
カメラ１００ａの撮影動作ログを取得してから所定時間Ｔｓ１が経過すると、異常検知部２３０は、まず、準異常トラフィック数を格納する変数ｉを初期化する（ステップＳ１０３）。
【００８９】
次に、異常検知部２３０は、図２に示すステップＳ１０４〜Ｓ１０７の処理と同様にして、ステップＳ２０４〜Ｓ２０７の処理を行う。
【００９０】
ステップＳ２０８の処理では、異常検知部２３０は、トラフィック処理部２１０から、カメラ１００ａの撮影動作ログを取得したか否か判定する。異常検知部２３０は、トラフィック処理部２１０からカメラ１００ａの撮影動作ログを取得したと判定した場合（ステップＳ２０８：Ｙｅｓ）、ステップＳ２０２からの処理を繰り返し行う。一方、異常検知部２３０は、トラフィック処理部２１０からカメラ１００ａの撮影動作ログを取得しないと判定した場合（ステップＳ２０８：Ｎｏ）、ステップＳ２０４からの処理を繰り返し行う。
【００９１】
ステップＳ２０９の処理では、異常検知部２３０は、検知した準異常トラフィックの数（ｉ）が所定の回数Ｎ以上となるため、カメラ１００ａは、異常モードであると判定する。
【００９２】
このようにステップＳ２０４〜Ｓ２０７，Ｓ２０９の処理を行い、検知した準異常トラフィックの数（ｉ）が所定の回数Ｎ以上となった場合を、カメラ１００ａは異常モードであると判定する。これにより、撮影休止モード中に行われることがある、カメラ１００ａのファームウェアの更新や設定変更等に関連する正常な通信を異常と誤判定する確率を低減することができる。
【００９３】
その後、異常検知部２３０は、カメラ１００ａの異常モードを判定すると、トラフィック処理部２１０や制御部２２０等に、カメラ１００ａの異常モードの通知を行う（ステップＳ２１０）。トラフィック処理部２１０は、カメラ１００ａの異常モードの通知を受信した後は、カメラ１００ａと外部ネットワーク４００との間の送受信処理を停止する。これにより、攻撃サーバ５００からカメラ１００ａへの侵入を防ぐことができる。
【００９４】
以上のように説明した第２の実施形態でも、第１の実施形態と同様の効果を得ることができる。
【００９５】
本発明を諸図面や実施例に基づき説明してきたが、当業者であれば本開示に基づき種々の変形や修正を行うことが容易であることに注意されたい。従って、これらの変形や修正は本発明の範囲に含まれることに留意されたい。例えば、各構成部、各ステップ等に含まれる機能等は論理的に矛盾しないように再配置可能であり、複数の構成部やステップ等を１つに組み合わせたり、或いは分割したりすることが可能である。また、本発明について装置を中心に説明してきたが、本発明は装置が備えるプロセッサにより実行される方法、プログラム、又はプログラムを記録した記憶媒体としても実現し得るものであり、本発明の範囲にはこれらも包含されるものと理解されたい。
【符号の説明】
【００９６】
１，１ａ  検知システム
１００，１０１，１０２  センサ端末
１００ａ  カメラ
１１０，１１０ａ  動作監視部
１２０，１２０ａ  制御部
１３０  記憶部
１４０  通信部
２００  ＧＷ装置
２１０  トラフィック処理部
２２０  制御部
２３０  異常検知部
２４０  記憶部
２５０  通信部
３００  要求サーバ
３０１  管理サーバ
４００  ネットワーク
５００  攻撃サーバ
【図１】
0006430356.tif 000002
【図２】
0006430356.tif 000003
【図３】
0006430356.tif 000004
【図４】
0006430356.tif 000005
【図５】
0006430356.tif 000006