(57)【特許請求の範囲】
【請求項１】
セキュリティインシデントを検知するインシデント検知システムであって、
ゲートウェイ装置は、
自ゲートウェイ装置の識別情報を生成するＩＤ生成部と、
制御装置から送信された制御情報と、通信パケットに前記自ゲートウェイ装置の識別情報を付与した経路情報と、を含む検知パケットを生成する検知パケット生成部と、
前記検知パケットを含むログ情報を生成するログ生成部と、
前記ゲートウェイ装置にネットワークで接続された管理サーバに前記ログ情報を送信し、または前記制御情報に基づいて制御される制御装置に前記検知パケットを送信する装置通信部と、を備え、
前記管理サーバは、
前記ゲートウェイ装置から前記ログ情報を受信するサーバ通信部と、
前記ログ情報から前記経路情報を抽出した想定経路情報をあらかじめ記憶部に記憶する通信経路抽出部と、
前記記憶部に記憶されている前記想定経路情報と、前記ログ情報に含まれる前記経路情報とに基づいて、不正な通信パケットを検知するインシデント検知部と、
を備えることを特徴とするインシデント検知システム。
【請求項２】
請求項１に記載のインシデント検知システムであって、
前記ゲートウェイ装置は、
さらに、秘密情報を格納する秘密情報格納部を備え、
前記ＩＤ生成部は、前記ゲートウェイ装置に固有の識別情報と前記秘密情報とに基づいて、前記自ゲートウェイ装置の識別情報を生成する、
ことを特徴とするインシデント検知システム。
【請求項３】
請求項２に記載のインシデント検知システムであって、
前記ゲートウェイ装置は、
さらに、前記ゲートウェイ装置の動作モードを、処理の事前準備をするモードである初期化モード、前記想定経路情報を収集するための経路収集モード、前記経路情報を検知するモードである検知モード、のいずれかのモードにする装置モード変更部を備え、
前記管理サーバは、
さらに、前記管理サーバの動作モードを、前記初期化モードと、前記経路収集モードと、前記検知モードと、のいずれかのモードにするサーバモード変更部と、前記秘密情報を生成する秘密情報生成部とを備え、
前記ＩＤ生成部は、前記管理サーバから受信した前記秘密情報を前記秘密情報格納部に格納し、
前記秘密情報生成部は、前記ゲートウェイ装置および前記管理サーバが前記初期化モードの場合に前記秘密情報を生成し、前記サーバ通信部は、生成された前記秘密情報を前記ゲートウェイ装置に送信し、
前記通信経路抽出部は、前記ゲートウェイ装置および前記管理サーバが前記経路収集モードの場合に前記想定経路情報を抽出し、
前記インシデント検知部は、前記ゲートウェイ装置および前記管理サーバが前記検知モードの場合に前記不正な通信パケットを検知する、
ことを特徴とするインシデント検知システム。
【請求項４】
請求項３に記載のインシデント検知システムであって、
前記管理サーバは、
さらに、前記ゲートウェイ装置のリストを格納するゲートウェイリスト格納部を備え、
前記秘密情報生成部は、新たなゲートウェイ装置が追加された場合に、前記新たなゲートウェイ装置に前記秘密情報を送信し、前記新たなゲートウェイ装置の識別情報を前記リストに追加する、
ことを特徴とするインシデント検知システム。
【請求項５】
請求項４に記載のインシデント検知システムであって、
前記秘密情報生成部は、前記ゲートウェイ装置の状態を確認するため状態確認コマンドに対する応答情報に基づいて、前記インシデント検知システムから取り外されたゲートウェイ装置を認識し、前記想定経路情報から前記取り外されたゲートウェイ装置の識別情報が含まれている想定経路情報を削除し、前記ゲートウェイリストから前記取り外されたゲートウェイ装置の識別情報を削除する、
ことを特徴とするインシデント検知システム。
【請求項６】
請求項１〜５のいずれか一に記載のインシデント検知システムであって、
前記検知パケットは、ヘッダ部とデータ部とを有し、
前記検知パケット生成部は、前記ヘッダ部に前記経路情報を含めて前記検知パケットを生成する、
ことを特徴とするインシデント検知システム。
【請求項７】
請求項１〜６のいずれか一に記載のインシデント検知システムであって、
前記検知パケット生成部は、前記通信パケットが通過する都度、前記ゲートウェイ装置の通過順に、前記自ゲートウェイ装置の識別情報を前記経路情報に付与する、
ことを特徴とするインシデント検知システム。
【請求項８】
請求項１〜７のいずれか一に記載のインシデント検知システムであって、
前記通信経路抽出部は、正当な通信パケットが経由するゲートウェイ装置の識別情報から前記想定経路情報を構成する、
ことを特徴とするインシデント検知システム。
【請求項９】
請求項１〜８のいずれか一に記載のインシデント検知システムであって、
前記通信経路抽出部は、前記インシデント検知システムの運用開始前に、前記想定経路情報を前記記憶部に記憶し、
前記インシデント検知部は、前記インシデント検知システムの運用開始後に、前記想定経路情報と、前記経路情報とに基づいて、不正な通信パケットを検知する、
ことを特徴とするインシデント検知システム。
【請求項１０】
セキュリティインシデントを検知するインシデント検知システムであって、
第１のゲートウェイ装置は、
自ゲートウェイ装置の識別情報を生成するＩＤ生成部と、
制御装置から送信された制御情報と、通信パケットに前記自ゲートウェイ装置の識別情報を付与した経路情報と、を含む検知パケットを生成する検知パケット生成部と、
前記第１のゲートウェイ装置にネットワークで接続された第２のゲートウェイ装置に前記検知パケットを送信する第１の装置通信部と、を備え、
前記第２のゲートウェイ装置は、
前記第１のゲートウェイ装置から前記検知パケットを受信し、または前記制御情報に基づいて制御される制御装置に前記検知パケットを送信する第２の装置通信部と、
前記検知パケットをログ情報として記憶部に格納するログ生成部と、
前記ログ情報から前記経路情報を抽出した想定経路情報をあらかじめ記憶部に記憶する通信経路抽出部と、
前記記憶部に記憶されている前記想定経路情報と、前記ログ情報に含まれる前記経路情報とに基づいて、不正な通信パケットを検知するインシデント検知部と、
を備えることを特徴とするインシデント検知システム。
【請求項１１】
請求項１０に記載のインシデント検知システムであって、
前記第１のゲートウェイ装置は、
さらに、秘密情報を格納する秘密情報格納部を備え、
前記ＩＤ生成部は、前記第１のゲートウェイ装置に固有の識別情報と前記秘密情報とに基づいて、前記自ゲートウェイ装置の識別情報を生成する、
ことを特徴とするインシデント検知システム。
【請求項１２】
請求項１１に記載のインシデント検知システムであって、
前記第１のゲートウェイ装置は、
さらに、前記第１のゲートウェイ装置の動作モードを、前記想定経路情報を収集するための経路収集モード、前記経路情報を検知するモードである検知モード、のいずれかのモードにする第１の装置モード変更部を備え、
前記第２のゲートウェイ装置は、
さらに、前記第１のゲートウェイ装置の動作モードを、前記経路収集モードと、前記検知モードと、のいずれかのモードにする第２の装置モード変更部とを備え、
前記通信経路抽出部は、前記第１のゲートウェイ装置と、前記第２のゲートウェイ装置と、前記第１のゲートウェイ装置と前記第２のゲートウェイ装置とにネットワークで接続された管理サーバとが前記経路収集モードの場合に前記想定経路情報を抽出し、
前記インシデント検知部は、前記第１のゲートウェイ装置と、前記第２のゲートウェイ装置と、前記管理サーバとが前記検知モードの場合に前記不正な通信パケットを検知する、
ことを特徴とするインシデント検知システム。
【請求項１３】
請求項１０〜１２のいずれか一に記載のインシデント検知システムであって、
前記インシデント検知部は、前記セキュリティインシデントを検知したか否かを判定し、前記セキュリティインシデントを検知したと判定した場合、前記検知パケットを破棄する、
ことを特徴とするインシデント検知システム。
【請求項１４】
請求項１０〜１３のいずれか一に記載のインシデント検知システムであって、
前記通信経路抽出部は、前記インシデント検知システムの運用開始前に、前記想定経路情報を前記記憶部に記憶し、
前記インシデント検知部は、前記インシデント検知システムの運用開始後に、前記想定経路情報と、前記経路情報とに基づいて、不正な通信パケットを検知する、
ことを特徴とするインシデント検知システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークで接続された制御システムで発生するサイバー攻撃等のインシデントを検知するシステムに関し、さらに詳しくは、制御システム内の通信パケットに経路情報を埋め込み，正当な経路情報を持たない通信パケットを不正な通信パケットとして検知するシステムに関する。
【背景技術】
【０００２】
電力、鉄道、水道、ガスといった社会インフラや自動車で利用される制御システムは、センサの情報をもとにバルブやアクチュエータといった装置を動作させ、あらかじめ設定されている圧力や温度を保つことが要求される。この動作を実現するためには、定期的にセンサからの情報を取得し、状態を確認し、必要に応じて制御を行うということが必要となる。このため、制御システムでは周期的に処理を行うことが通例であり、システム内の各装置で実行される処理は１周期の中で完結することが要求される。また、常に１周期内で完結するために、各処理の処理時間が状況によって変化せずに一定であることも求められる。このような条件を満たすように構築されている現在の制御システムは、電力、鉄道、水道、自動車といった適用先によって周期や１周期内の空き時間が大きく異なっており、新たな処理を追加するためには、適用先毎に空き時間を見積もり、実装可能な処理内容を検討する必要がある。
【０００３】
一方、制御システムはこれまで専用ＯＳや専用プロトコルを利用しており、インターネット等の外部ネットワークからアクセスできない領域に孤立した状態で設置されているため、いわゆるコンピュータウィルスやＤｏＳ攻撃といったサイバー攻撃からは無縁であると考えられてきた。しかしながら、コスト削減のために汎用ＯＳや汎用プロトコルを利用するケースが増加しており、また、効率向上のために情報系システムとの接続も進んできている。さらに、近年では、制御システムをターゲットとしたコンピュータウィルスが発見されてきている。このように、制御システムにおいても情報システムと同様にマルウェア等の感染や外部からの不正アクセスを検知する技術が必要となってきている。
【０００４】
このような課題に対し、予め制御システム内で実施される通信のパターン（送信元、送信先、プロトコル等）やデータのフォーマットをリスト化し、そのパターンに合致しない通信を不正な通信として検知する技術が知られている（たとえば、特許文献１参照）。
【０００５】
また、通信パケットに認証データを付与し、正当な認証データを持たない通信パケットを不正な通信パケットとして識別する技術が知られている（たとえば、非特許文献１参照）。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２０１２−３４２７３号公報
【非特許文献】
【０００７】
【非特許文献１】S. Kent, K. Seo, "Security Architecture for the Internet Protocol(RFC4301)", [online], ２００５年１２月, IETF, [２０１４年１１月２５日検索］, インターネット＜URL: https://tools.ietf.org/html/rfc4301＞
【発明の概要】
【発明が解決しようとする課題】
【０００８】
制御システムを構成する制御装置は処理時間制約のため、暗号化や認証といった追加の処理が必要となるセキュリティ機能の導入は困難であった。また、定常的な通信パターンをリスト化し、不正な通信パケットを検知する技術では、予めあらゆる通信をリスト化しておく必要があり、緊急時にのみ実行する業務などで抜け漏れがあった場合には誤検知に繋がる可能性があった。また、制御システムのように頻繁に通信が行われる環境下では、検証対象となる通信パケットの数が膨大となり、それらのデータを検証するための負荷が非常に高くなってしまうという問題があった。
【０００９】
本発明は、上記事情に鑑みてなされたものであり、制御装置に処理負荷を掛けることなく、不正な通信を検知するシステムを提供することを目的とする。
【課題を解決するための手段】
【００１０】
上述した課題を解決し、目的を達成するために、本発明にかかるインシデント検知システムは、セキュリティインシデントを検知するインシデント検知システムであって、ゲートウェイ装置は、自ゲートウェイ装置の識別情報を生成するＩＤ生成部と、制御装置から送信された制御情報と、通信パケットに前記自ゲートウェイ装置の識別情報を付与した経路情報と、を含む検知パケットを生成する検知パケット生成部と、前記検知パケットを含むログ情報を生成するログ生成部と、前記ゲートウェイ装置にネットワークで接続された管理サーバに前記ログ情報を送信し、または前記制御情報に基づいて制御される制御装置に前記検知パケットを送信する装置通信部と、を備え、前記管理サーバは、前記ゲートウェイ装置から前記ログ情報を受信するサーバ通信部と、前記ログ情報から前記経路情報を抽出した想定経路情報をあらかじめ記憶部に記憶する通信経路抽出部と、前記記憶部に記憶されている前記想定経路情報と、前記ログ情報に含まれる前記経路情報とに基づいて、不正な通信パケットを検知するインシデント検知部と、を備えることを特徴とするインシデント検知システムとして構成される。
【００１１】
また、本発明にかかるインシデント検知システムは、セキュリティインシデントを検知するインシデント検知システムであって、第１のゲートウェイ装置は、自ゲートウェイ装置の識別情報を生成するＩＤ生成部と、制御装置から送信された制御情報と、通信パケットに前記自ゲートウェイ装置の識別情報を付与した経路情報と、を含む検知パケットを生成する検知パケット生成部と、前記第１のゲートウェイ装置にネットワークで接続された第２のゲートウェイ装置に前記検知パケットを送信する第１の装置通信部と、を備え、前記第２のゲートウェイ装置は、前記第１のゲートウェイ装置から前記検知パケットを受信し、または前記制御情報に基づいて制御される制御装置に前記検知パケットを送信する第２の装置通信部と、前記検知パケットをログ情報として記憶部に格納するログ生成部と、前記ログ情報から前記経路情報を抽出した想定経路情報をあらかじめ記憶部に記憶する通信経路抽出部と、前記記憶部に記憶されている前記想定経路情報と、前記ログ情報に含まれる前記経路情報とに基づいて、不正な通信パケットを検知するインシデント検知部と、を備えることを特徴とするインシデント検知システムとしても把握される。
【発明の効果】
【００１２】
本発明によれば、制御装置に処理負荷を掛けずに、不正な通信を検知することが可能となる。
【図面の簡単な説明】
【００１３】
【図１】本発明の第一の実施形態が適用されたインシデント検知システムの構成を例示する図である。
【図２】図１に示す制御装置のハードウェア構成を例示する図である。
【図３】図１に示すゲートウェイ装置のハードウェア構成を例示する図である。
【図４】図１に示す管理サーバのハードウェア構成を例示する図である。
【図５】本発明の第一の実施形態が適用されたインシデント検知システムにおいて、試運転時や運転時にシステム内で実施する処理フローを例示する図である。
【図６】本発明の第一の実施形態が適用されたインシデント検知システムにおいて、試運転時に各ゲートウェイ装置に秘密情報を配布し、識別情報を収集する際の処理フローを例示する図である。
【図７】本発明の第一の実施形態が適用されたインシデント検知システムにおいて、試運転時に各ゲートウェイ装置から正当な通信パケットの経路情報を収集する際の処理フローを例示する図である。
【図８】本発明の第一の実施形態が適用されたインシデント検知システムにおいて、運転時に各ゲートウェイ装置から収集した通信パケットの経路情報から不正な通信パケットを検知する処理フローを例示する図である。
【図９】本発明の第一の実施形態が適用されたインシデント検知システムにおいて、運転時に管理サーバ内で行うインシデント検知の処理フローを例示する図である。
【図１０】本発明の第一の実施形態が適用されたインシデント検知システムにおいて、運転後にゲートウェイ装置を新たに追加した場合の処理フローを例示する図である。
【図１１】本発明の第一の実施形態が適用されたインシデント検知システムにおいて、運転後にゲートウェイ装置の状態を確認する処理フローを例示する図である。
【図１２】本発明の第一の実施形態が適用されたインシデント検知システムにおいて、各ゲートウェイ装置が生成する検知パケットの構成を例示する図である。
【図１３】本発明の第一の実施形態が適用されたインシデント検知システムにおいて、検知パケットに含まれる経路情報の構成を例示する図である。
【図１４】本発明の第一の実施形態が適用されたインシデント検知システムにおいて、各ゲートウェイ装置が生成するログの構成を例示する図である。
【図１５】本発明の第一の実施形態が適用されたインシデント検知システムにおいて、管理サーバに格納されている想定経路の構成を例示する図である。
【図１６】本発明の第一の実施形態が適用されたインシデント検知システムにおいて、管理サーバに格納されているゲートウェイリストの構成を例示する図である。
【図１７】本発明の第二の実施形態が適用されたインシデント検知システムの構成を例示する図である。
【図１８】本発明の第二の実施形態が適用されたインシデント検知システムにおいて、試運転時や運転時にシステム内で実施する処理フローを例示する図である。
【図１９】本発明の第二の実施形態が適用されたインシデント検知システムにおいて、試運転時に各ゲートウェイ装置が正当な通信パケットの経路情報を収集する際の処理フローを例示する図である。
【図２０】本発明の第二の実施形態が適用されたインシデント検知システムにおいて、運転時に各ゲートウェイ装置が収集した通信パケットの経路情報から不正な通信パケットを検知する処理フローを例示する図である。
【発明を実施するための形態】
【００１４】
本発明の一実施形態について説明する。なお、これにより本発明が限定されるものではない。
【００１５】
図１は、本発明の第一の実施形態が適用されたインシデント検知システムの構成図である。本実施形態のインシデント検知システムは、図１に例示するように、制御装置１０１〜１０ｎと、ゲートウェイ装置２０１〜２０ｎと、管理サーバ３０と、ネットワーク４０と、から構成されている。
【００１６】
制御装置１０１〜１０ｎは、制御処理を行う制御処理部１０１１〜１０１ｎと、ゲートウェイ装置２０１〜２０ｎ等と通信を行う通信部１０２１〜１０２ｎと、を含む。
【００１７】
ゲートウェイ装置２０１〜２０ｎは、自ゲートウェイ装置の識別情報を生成するＩＤ生成部２０１１〜２０１ｎと、通過するパケットに対して自ゲートウェイ装置の識別情報を付与した検知パケットを生成する検知パケット生成部２０２１〜２０２ｎと、通過する通信パケットのログ情報を生成するログ生成部２０３１〜２０３ｎと、ゲートウェイ装置２０１〜２０ｎの動作モードを変更するモード変更部２０４１〜２０４ｎと、制御装置１０１〜制御装置１０ｎやネットワーク４０と通信を行う第一通信部２０５１〜２０５ｎと、自ゲートウェイ装置で生成したログを格納するログ格納部２０６１〜２０６ｎと、自ゲートウェイ装置の識別情報を生成する際に必要となる秘密情報を格納する秘密情報格納部２０７１〜２０７ｎと、制御装置１０１〜制御装置１０ｎやネットワーク４０と通信を行う第二通信部２０８１〜２０８ｎと、を含む。
【００１８】
管理サーバ３０は、管理サーバ３０の動作モードを変更するモード変更部３０１と、ゲートウェイ装置２０１〜２０ｎから収集したログ情報からインシデントを検知するインシデント検知部３０２と、ゲートウェイ装置２０１〜２０ｎに対して送付する秘密情報を生成する秘密情報生成部３０３と、ゲートウェイ装置２０１〜２０ｎからログ情報を収集するログ収集部３０４と、ネットワーク４０と通信を行う通信部３０５と、ゲートウェイ装置２０１〜２０ｎから収集したログ情報から想定経路を抽出する想定経路抽出部３０６と、抽出した想定経路を格納する想定経路格納部３０７と、ゲートウェイ装置２０１〜２０ｎから収集したログ情報を統合して格納する統合ログ格納部３０８と、生成した秘密情報を格納する秘密情報格納部３０９と、ゲートウェイ装置２０１〜２０ｎのリストを格納するゲートウェイリスト格納部３１０と、を含む。以下では、想定経路抽出部３０６は、ログ収集部３０４が収集したログ情報から想定経路を抽出しているが、想定経路抽出部３０６が直接ログ情報を収集してもよい。
【００１９】
図２は制御装置１０１〜１０ｎのハードウェア構成を例示する図である。制御装置１０１〜１０ｎは、通信装置１１と、入出力装置１２と、記憶装置１３と、ＣＰＵ１４と、メモリ１５と、がバスなどの内部通信線１６で連結され、構成されている。
【００２０】
図３はゲートウェイ装置２０１〜２０ｎのハードウェア構成を例示する図である。ゲートウェイ装置２０１〜２０ｎは、第一通信装置２１と、入出力装置２２と、記憶装置２３と、第二通信装置２４と、ＣＰＵ２５と、メモリ２６と、がバスなどの内部通信線２７で連結され、構成されている。
【００２１】
図４は管理サーバ３０のハードウェア構成を例示する図である。管理サーバ３０は、通信装置３１と、入出力装置３２と、記憶装置３３と、ＣＰＵ３４と、メモリ３５と、記憶媒体３７を読み込む読取装置３６と、がバスなどの内部通信線３８で連結され、構成されている。
【００２２】
本実施形態のインシデント検知システムにおける処理フローについて説明する。以下に述べる処理フローは、制御装置１０１〜１０ｎやゲートウェイ装置２０１〜２０ｎや管理サーバ３０の記憶装置に格納されたプログラムがメモリにロードされ、ＣＰＵにより実行されることにより、インシデント検知システムを構成する装置上に具現化される各処理部により実行されるものである。また、各プログラムは予め記憶装置に格納されても良いし、他の記憶媒体または通信媒体（ネットワークまたはネットワークを伝搬する搬送波）を介して、必要なときに導入されても良い。
【００２３】
図５は、本発明の第一の実施形態が適用されたインシデント検知システムにおいて、試運転や運転時にシステム内で実施する処理フローを示した図である。
【００２４】
はじめに、管理サーバ３０のモード変更部３０１は、試運転時に管理サーバの動作モードを、処理の事前準備をするモードである初期化モードに設定する（Ｓ５０１（Ｓ５０１と表現する。以下同様））。次に、通信部３０５は、初期化モードに設定したことを示す初期化モード通知（Ａ５０１）を各ゲートウェイ装置２０１〜２０ｎに送信する。
【００２５】
次に、各ゲートウェイ装置２０１〜２０ｎのモード変更部２０４１〜２０４ｎは、受信した初期化モード通知（Ａ５０１）をもとに初期化モードに設定する（Ｓ５０２）。
【００２６】
次に、各ゲートウェイ装置２０１〜２０ｎと管理サーバの間で、初期化処理を実施する（Ｓ５０３）。初期化処理の詳細については、以降の図６に記載する。
【００２７】
次に、初期化処理が終了後、各ゲートウェイ装置２０１〜２０ｎのモード変更部２０４１〜２０４ｎは、初期化モードを解除する（Ｓ５０４）。
【００２８】
次に、管理サーバ３０のモード変更部３０１は、管理サーバ３０の動作モードを、想定経路を収集するモードである経路収集モードに設定する（Ｓ５０５）。
【００２９】
次に、各ゲートウェイ装置２０１〜２０ｎと管理サーバの間で、経路収集処理を実施する（Ｓ５０６）。経路収集処理の詳細については、以降の図７に記載する。
【００３０】
次に、管理サーバ３０のモード変更部３０１は、経路収集処理が終了後、運転時に管理サーバ３０の動作モードを、通信パケットの経路を検知するモードである検知モードに設定する（Ｓ５０７）。
【００３１】
次に、各ゲートウェイ装置２０１〜２０ｎと管理サーバ３０間で、検知処理を実施する（Ｓ５０８）。検知処理の詳細については、以降の図８に記載する。
【００３２】
次に、システムに新規ゲートウェイ装置を追加する際に、各ゲートウェイ装置２０１〜２０ｎと管理サーバ３０間で、装置追加処理を実施する（Ｓ５０９）。装置追加処理の詳細については、以降の図１０に記載する。
【００３３】
次に、システムからゲートウェイ装置を削除した際、もしくは、定期的、もしくは、任意のタイミングで各ゲートウェイ装置２０１〜２０ｎと管理サーバ３０間で、状態確認処理を実施する（Ｓ５１０）。状態確認処理の詳細については、以降の図１１に記載する。
【００３４】
図６は、本発明の第一の実施形態が適用されたインシデント検知システムにおいて、試運転時に各ゲートウェイ装置に秘密情報を配布し、識別情報を収集する際の処理フローを示した図である。
【００３５】
はじめに、管理サーバ３０の秘密情報生成部３０３は、各ゲートウェイ装置に配付する秘密情報を生成する（Ｓ６０１）。ここで秘密情報は暗号化情報であり、暗号演算によって生成してもよいし、擬似乱数や真正乱数によって生成してもよいし、外部からの入力によって生成してもよい。次に、秘密情報生成部３０３は、生成した秘密情報を格納する（Ｓ６０２）。次に、通信部３０５は、生成した秘密情報（Ａ６０１）を各ゲートウェイ装置２０１〜２０ｎに送付する。
【００３６】
次に、秘密情報を受信したゲートウェイ装置２０１〜２０ｎのＩＤ生成部２０１１〜２０１ｎは、秘密情報を格納する（Ｓ６０３１〜Ｓ６０３ｎ）。次に、第二通信部２０８１〜２０８ｎは、秘密情報の格納結果を含むレスポンスと各ゲートウェイ装置の識別情報（Ａ６０２）を管理サーバ３０に送信する。
【００３７】
次に、管理サーバ３０の秘密情報生成部３０３は、受信したレスポンスを検証し（Ｓ６０４）、各ゲートウェイ装置に対して正しく送付できているか検証する。検証の結果、正しく送付できていないと判断された場合には、該当するゲートウェイ装置に対して、再送を行う。一方、正しく送付できていると判断された場合には、受信したゲートウェイ装置の識別情報をゲートウェイリストとして格納する（Ｓ６０５）。なお、レスポンスを検証するとは、例えば、ｐｉｎｇコマンドを実行した場合におけるリプライ応答の有無を検証することである。
【００３８】
図７は、本発明の第一の実施形態が適用されたインシデント検知システムにおいて、試運転時に各ゲートウェイ装置から正当な通信パケットの経路情報を収集する際の処理フローを示した図である。ここでは制御元となる制御装置１０１から制御先となる制御装置１０２に対して制御コマンドを送信するフローを例として示す。
【００３９】
はじめに、制御装置１０１の制御処理部１０１１は、制御コマンドを生成する（Ｓ７０１）。次に、通信部１０２１は、生成された制御コマンド（Ａ７０１）を制御装置１０２に送信する。
【００４０】
次に、制御装置１０１の通信部１０２１に接続されているゲートウェイ装置２０１の第一通信部２０５１は、制御装置１０１から送信された制御コマンド（Ａ７０１）を受信する。次に、ゲートウェイ装置２０１のＩＤ生成部２０１１は、自ゲートウェイ装置であるゲートウェイ装置２０１の識別情報を生成する（Ｓ７０２）。ここで、識別情報の生成は、予めゲートウェイ装置２０１に与えられている固定の識別情報と秘密情報格納部２０７１に格納されている秘密情報と時刻情報を組み合わせて、処理を実行する都度生成してもよいし、固定の識別情報と時刻情報を組み合わせて、処理を実行する都度生成してもよい。次に、検知パケット生成部２０２１は、生成されたゲートウェイＩＤを受信した制御コマンドにその都度付与し、検知パケット（Ａ７０２）を生成する（Ｓ７０３）。次に、第二通信部２０８１は、生成された検知パケット（Ａ７０２）を制御装置１０２に送信する。検知パケットのフォーマットについては以降の図１２に記載する。
【００４１】
次に、制御装置１０２の通信部１０２２に接続されているゲートウェイ装置２０２は、制御装置１０２宛ての検知パケット（Ａ７０２）を受信する。次に、ゲートウェイ装置２０２のＩＤ生成部２０１２は、自ゲートウェイ装置であるゲートウェイ装置２０２の識別情報を生成する（Ｓ７０４）。ここで、識別情報は、Ｓ７０２の場合と同様の方法により生成することができる。次に、検知パケット生成部２０２２は、生成されたゲートウェイＩＤを受信した制御コマンドにその都度付与し、検知パケット（Ａ７０３）を生成する（Ｓ７０５）。次に、第一通信部２０５２は、生成された検知パケット（Ａ７０３）を制御装置１０２に送信する。ここで、検知パケットのフォーマットについては以降の図１２に記載する。次に、ログ生成部２０３２は、生成された検知パケットをログ情報として格納し（Ｓ７０６）、第二通信部２０８２は、ログ情報（Ａ７０４）を管理サーバ３０に送信する。ここで、ログ情報のフォーマットについては以降の図１４に記載する。
【００４２】
次に、制御装置１０２の制御処理部１０１２は、受信した検知パケット（Ａ７０３）をもとに制御処理を実行する（Ｓ７０７）。
【００４３】
次に、管理サーバ３０の想定経路抽出部３０６は、受信したログ情報（Ａ７０４）から、正当な経路情報である想定経路を抽出する（Ｓ７０８）。次に、想定経路抽出部３０６は、抽出した想定経路に含まれる各ゲートウェイＩＤを、Ｓ６０５で格納したゲートウェイ装置の識別情報に変換し（Ｓ７０９）、その識別情報に変換した後の経路情報を格納する（Ｓ７１０）。Ｓ７０９における変換は、予め共有している秘密情報とログ情報内の日時情報とゲートウェイ装置の固定の識別情報を参照し、該当するゲートウェイ装置の固定の識別情報を算出すればよい。
【００４４】
図８は、本発明の第一の実施形態が適用されたインシデント検知システムにおいて、運転時に各ゲートウェイ装置から収集した通信パケットの経路情報から、セキュリティインシデントの例として、不正な通信パケットを検知する処理フローを示した図である。ここでは制御元となる制御装置１０１から制御先となる制御装置１０２に対して制御コマンドを送信するフローを例として示す。なお、Ｓ８０１〜Ｓ８０７までの各処理は、図７に示したＳ７０１〜Ｓ７０７までの処理に対して、処理を実行するタイミングが異なること以外は同様に実行される処理であるため、以下ではその説明を省略し、Ｓ８０８以降の各処理について説明する。
また、Ｓ８０６において、ログ情報は毎回送信する必要はなく、ある程度のログ情報が蓄積された後にまとめて管理サーバに送信してもよい。
【００４５】
Ｓ８０７において制御装置１０２が、受信した検知パケット（Ａ８０３）をもとに制御処理を実行すると、次に、管理サーバ３０のログ情報収集部３０４は、受信したログ情報（Ａ８０４）に送信元のゲートウェイ装置の識別子を付与し、ログ情報を格納する（Ｓ８０８）。送信元のゲートウェイ装置の識別子とは、図８に示す例では、ゲートウェイ装置２０２の識別子である。送信元のゲートウェイ装置の識別子を付与する理由は、ログ情報が送信されたゲートウェイ装置を把握するためである。次に、インシデント検知部３０２は、格納されたログ情報をもとにインシデント検知を行う（Ｓ８０９）。ここで、インシデント検知の処理フローについては以降の図９に詳細に記載する。また、インシデント検知は毎回実施する必要はなく、ある程度のログ情報が蓄積された後にまとめてインシデント検知を実施してもよい。
【００４６】
図９は、本発明の第一の実施形態が適用されたインシデント検知システムにおいて、運転時に管理サーバ内で行うインシデント検知の処理フローを示した図である。
【００４７】
はじめに、管理サーバ３０のインシデント検知部３０２は、インシデント検知処理を開始する（Ｓ９０１）。次に、インシデント検知部３０２は、管理サーバ３０のログ格納部３０８に蓄積されているログ情報を取得する（Ｓ９０２）。次に、インシデント検知部３０２は、管理サーバ３０の想定経路格納部３０７に格納されている想定経路を取得する（Ｓ９０３）。次に、インシデント検知部３０２は、図７に示したＳ７０９の場合と同様に、取得したログ情報内のゲートウェイ装置の識別情報を固定の識別情報に変換する（Ｓ９０４）。次に、インシデント検知部３０２は、ログ情報と想定経路との比較検証を行う（Ｓ９０５）。ここで、比較検証は、以降の図１６に示す想定経路とログ情報が完全に一致するか検証しても良いし、想定経路内の経路情報とログ情報内の経路情報のみが一致するか検証しても良い。検証の結果、全てのパケットの経路情報と想定経路が一致すると判断された場合には、その通信パケットは正当な通信パケットであると判断し、処理を終了する（Ｓ９０７）。一方、インシデント検知部３０２は、経路情報と想定経路が一致しないパケットが検知された場合には、その通信パケットは想定された通信経路以外の通信経路を経由した不正な通信パケットであると判断し、その旨を示すアラートを生成する（Ｓ９０６）。
【００４８】
図１０は、本発明の第一の実施形態が適用されたインシデント検知システムにおいて、運転後にゲートウェイ装置を新たに追加した場合の処理フローを示した図である。
【００４９】
はじめに、管理サーバ３０の秘密情報生成部３０３は、秘密情報格納部３０９に格納されている秘密情報を取得する（Ｓ１００１）。次に、通信部３０５は、取得された秘密情報（Ａ１００１）を新規ゲートウェイ装置２０ｎに対して送信する。
【００５０】
次に、新規ゲートウェイ装置２０ｎのＩＤ生成部２０１ｎは、受信した秘密情報（Ａ１００１）を秘密情報格納部２０６ｎに格納する（Ｓ１００２）。次に、第二通信部２０８ｎは、秘密情報の格納結果を含むレスポンスと新規ゲートウェイ装置の識別情報（Ａ１００２）を管理サーバ３０に送信する。
【００５１】
次に、管理サーバ３０の秘密情報生成部３０３は、受信したレスポンスを検証し（Ｓ１００３）、新規ゲートウェイ装置２０ｎに対して正しく送付できているか検証する。検証の結果、正しく送付できていないと判断された場合には、該当するゲートウェイ装置に対して、再送を行う。一方、正しく送付できていると判断された場合には、受信した新規ゲートウェイ装置２０ｎの識別情報をゲートウェイリストに追加し、ゲートウェイリストを更新する（Ｓ１００４）。
【００５２】
図１１は、本発明の第一の実施形態が適用されたインシデント検知システムにおいて、運転後にゲートウェイ装置の状態を確認する処理フローを示した図である。ここでは、ゲートウェイ装置２０２がシステムから除去された場合の例を示す。
【００５３】
はじめに、管理サーバ３０の秘密情報生成部３０３は、ゲートウェイリストを取得する（Ｓ１１０１）。次に、秘密情報生成部３０３は、ゲートウェイ装置の状態を確認するコマンド（状態確認コマンド）を生成する（Ｓ１１０２）。次に、通信部３０５は、生成した状態確認コマンド（Ａ１１０１）をシステム内の各ゲートウェイ装置２０１〜２０ｎに送信する。
【００５４】
次に、各ゲートウェイ装置２０１〜２０ｎのＩＤ生成部２０１１〜２０１ｎ（ゲートウェイ装置２０２を除く）は、受信した状態確認コマンド（Ａ１１０１）をもとに状態情報を生成する（Ｓ１１０３１〜Ｓ１１０３ｎ）。ここで、除去ゲートウェイ装置２０２のＩＤ生成部２０１２は、既にシステムに存在しないため、状態情報を生成しない。次に、各ゲートウェイ装置２０１〜２０ｎの第二通信部２０８１〜２０８ｎ（ゲートウェイ装置２０２を除く）は、生成された状態情報（Ａ１１０２）を管理サーバ３０に送信する。なお、状態情報とは、各ゲートウェイ装置が通信可能な状態であるか否かを示す情報であり、例えば、ｐｉｎｇコマンドに対するリプライ応答を示す情報である。
【００５５】
次に、管理サーバ３０の秘密情報生成部３０３は、受信した状態情報（Ａ１１０２）と各ゲートウェイリストからレスポンスが一定時間内に取得できていない装置の有無を判断する（Ｓ１１０４）。その結果、一定時間内に全てのゲートウェイ装置からレスポンスが返ってきたと判断された場合には処理を終了する（Ｓ１１０５）。一方、一定時間内に全てのゲートウェイ装置からレスポンスが返っていないと判断された場合には、想定経路格納部３０７に格納されている経路情報からレスポンスを返さないゲートウェイ装置を含むすべての経路情報を削除し（Ｓ１１０６）、上記レスポンスを返さないゲートウェイ装置をゲートウェイリストから削除して、ゲートウェイリストをレスポンスが返ってきた装置群に更新する（Ｓ１１０７）。
【００５６】
図１２は、本発明の第一の実施形態が適用されたインシデント検知システムにおいて、各ゲートウェイ装置２０１〜２０ｎが生成する検知パケットの構成を例示する図である。
【００５７】
検知パケット（Ａ１２０１）は、ヘッダ（Ａ１２０２）と、データ（Ａ１２０３）から構成される。ここで、ヘッダは、送信元の識別情報（Ａ１２０４）と送信先の識別情報（Ａ１２０５）と通信プロトコル（Ａ１２０６）とポート番号（Ａ１２０７）とパケットの経路情報（Ａ１２０８）から構成される。ここで、経路情報（Ａ１２０８）の格納場所は固定でも良いし、パケット毎に変化させても良い。変化させる場合には、管理サーバ３０において当該日時において、格納される位置を予め共有しておくか、経路情報の開始点を示す識別情報を規定するなどして、管理サーバ３０で経路情報（Ａ１２０８）の格納位置を認識できるようにすればよい。また、経路情報（Ａ１２０８）の詳細な構成は以降の図１３に記載する。なお、検知パケット（Ａ１２０１）の構成要素は上記に限定されるものではなく、少なくとも上記の要素が含まれていればよい。また、検知パケット（Ａ１２０１）の構成要素の順序は上記に限定されるものではない。
【００５８】
図１３は、本発明の第一の実施形態が適用されたインシデント検知システムにおいて、検知パケット（Ａ１２０１）に含まれる経路情報の構成を例示する図である。
【００５９】
経路情報（Ａ１３０１）は、通信パケットが経由したゲートウェイ装置の識別情報（Ａ１３０２１〜Ａ１３０２ｎ）から構成される。構成順は通信パケットが経由した順を示す。なお、経路情報（Ａ１３０１）の構成要素は上記に限定されるものではなく、少なくとも上記の要素が含まれていればよい。
【００６０】
図１４は、本発明の第一の実施形態が適用されたインシデント検知システムにおいて、各ゲートウェイ装置２０１〜２０ｎが生成するログ情報の構成を例示する図である。
【００６１】
ログ情報（Ａ１４０１）は、ログ情報を生成したゲートウェイ装置の識別情報（Ａ１４０２）とログ情報を生成した日時（Ａ１４０３）と通信パケットのヘッダ（Ａ１４０４）から構成される。ここで、ヘッダ（Ａ１４０４）は、送信元の識別情報（Ａ１４０５）と送信先の識別情報（Ａ１４０６）と通信プロトコル（Ａ１４０７）とポート番号（Ａ１４０８）とパケットの経路情報（Ａ１４０９）から構成される。なお、ログ（Ａ１４０１）の構成要素は上記に限定されるものではなく、少なくとも上記の要素が含まれていればよい。また、ログ情報（Ａ１４０１）の構成要素の順序は上記に限定されるものではない。
【００６２】
図１５は、本発明の第一の実施形態が適用されたインシデント検知システムにおいて、管理サーバ３０に格納されている想定経路の構成を例示する図である。
【００６３】
想定経路（Ａ１５０１）は、ログ情報を生成したゲートウェイ装置の識別情報（Ａ１５０２）と正当な通信パケットの送信元の識別情報（Ａ１５０３）と送信先の識別情報（Ａ１５０４）と経由するゲートウェイ装置の数（Ａ１５０５）と経由ゲートウェイ装置の識別情報（Ａ１５０６）から構成される。ここで、経由ゲートウェイ装置の識別情報（Ａ１５０６）は、正当な通信パケットが経由したゲートウェイ装置の識別情報（Ａ１５０７１〜Ａ１５０７ｎ）が経由した順で構成される。なお、想定経路（Ａ１５０１）の構成要素は上記に限定されるものではなく、少なくとも上記の要素が含まれていればよい。また、想定経路（Ａ１５０１）の構成要素の順序は経由ゲートウェイ装置の識別情報を除いて上記に限定されるものではない。
【００６４】
図１６は、本発明の第一の実施形態が適用されたインシデント検知システムにおいて、管理サーバ３０に格納されているゲートウェイリストの構成を例示する図である。
【００６５】
ゲートウェイリスト（Ａ１６０１）は、ゲートウェイ装置の識別情報（Ａ１６０２）と、ＩＰアドレス（Ａ１６０３）から構成される。なお、ゲートウェイリスト（Ａ１６０１）の構成要素は上記に限定されるものではなく、少なくとも上記の要素が含まれていればよい。また、ゲートウェイリスト（Ａ１６０１）の構成要素の順序は上記に限定されるものではない。
【００６６】
図１７は、本発明の第二の実施形態が適用されたインシデント検知システムの構成図である。
【００６７】
本実施形態のインシデント検知システムは、図１７に例示するように、制御装置１０１〜１０ｎと、ゲートウェイ装置２０１〜２０ｎと、ネットワーク４０と、から構成されている。
【００６８】
制御装置１０１〜１０ｎの構成要素は図１と同様である。ゲートウェイ装置２０１〜２０ｎの構成要素は、図１で示した構成要素に加えて、収集したログ情報からインシデントを検知するインシデント検知部２０９１〜２０９ｎと、収集したログ情報から想定経路を抽出する想定経路抽出部２１０１〜２１０ｎと、抽出した想定経路を格納する想定経路格納部２１１１〜２１１ｎと、を含む。本実施形態において秘密情報を生成する場合には、第一の実施形態における秘密情報生成部と同様の機能をＩＤ生成部に含ませてもよい。  本実施形態のインシデント検知システムにおける処理フローについて説明する。以下に述べる処理フローは、制御装置１０１〜１０ｎやゲートウェイ装置２０１〜２０ｎの記憶装置に格納されたプログラムがメモリにロードされ、ＣＰＵにより実行されることにより、インシデント検知システムを構成する装置上に具現化される各処理部により実行されるものである。また、各プログラムは予め記憶装置に格納されても良いし、他の記憶媒体または通信媒体（ネットワークまたはネットワークを伝搬する搬送波）を介して、必要なときに導入されても良い。
【００６９】
図１８は、本発明の第二の実施形態が適用されたインシデント検知システムにおいて、試運転や運転時にシステム内で実施する処理フローを示した図である。
【００７０】
はじめに、試運転時に各ゲートウェイ装置２０１〜２０ｎのモード変更部２０４１〜２０４ｎは、動作モードを経路収集モードに設定する（Ｓ１８０１１〜Ｓ１８０１ｎ）。
【００７１】
次に、ゲートウェイ装置２０１〜２０ｎ間で、想定経路抽出部２１０１〜２１０ｎは、経路収集処理を実施する（Ｓ１８０２）。経路収集処理の詳細については、以降の図１９に記載する。
【００７２】
次に、経路収集処理が終了後、運転時に各ゲートウェイ装置２０１〜２０ｎのモード変更部２０４１〜２０４ｎは、動作モードを検知モードに設定する（Ｓ１８０３１〜Ｓ１８０３ｎ）。
【００７３】
次に、ゲートウェイ装置２０１〜２０ｎ間で、インシデント検知部２０９１〜２０９ｎは、検知処理を実施する（Ｓ１８０４）。検知処理の詳細については、以降の図２０に記載する。
【００７４】
図１９は、本発明の第二の実施形態が適用されたインシデント検知システムにおいて、試運転時に各ゲートウェイ装置において正当な通信パケットの経路情報を収集する際の処理フローを示した図である。ここでは制御元となる制御装置１０１から制御先となる制御装置１０２に対して制御コマンドを送信するフローを例として示す。
【００７５】
はじめに、制御装置１０１の制御処理部１０１１は、制御コマンドを生成する（Ｓ１９０１）。次に、通信部１０２１は、生成された制御コマンド（Ａ１９０１）をゲートウェイ装置２０１に送信する。
【００７６】
次に、制御装置１０１の通信部１０２１に接続されているゲートウェイ装置２０１の第一通信部２０５１は、制御装置１０１から送信された制御コマンド（Ａ１９０１）を受信する。次に、ゲートウェイ装置２０１のＩＤ生成部２０１１は、自ゲートウェイ装置であるゲートウェイ装置２０１の識別情報を生成する（Ｓ１９０２）。ここで、識別情報の生成は、Ｓ７０２の場合と同様の方法により生成することができる。次に、検知パケット生成部２０２２は、生成されたゲートウェイＩＤを受信した制御コマンドにその都度付与し、図１２に示した検知パケット（Ａ１９０２）を生成する（Ｓ１９０３）。次に、第二通信部２０８１は、生成された検知パケット（Ａ１９０２）をゲートウェイ装置２０２に送信する。
【００７７】
次に、制御装置１０２の通信部１０２２に接続されているゲートウェイ装置２０２の第二通信部２０８２は、制御装置１０２宛ての検知パケット（Ａ１９０２）を受信する。次に、ゲートウェイ装置２０２のＩＤ生成部２０１２は、自ゲートウェイ装置であるゲートウェイ装置２０２の識別情報を生成する（Ｓ１９０４）。ここで、識別情報は、Ｓ７０２の場合と同様の方法により生成することができる。次に、検知パケット生成部２０２２は、生成されたゲートウェイＩＤを受信した制御コマンドにその都度付与し、図１２に示した検知パケット（Ａ１９０３）を生成する（Ｓ１９０５）。次に、第一通信部２０５２は、生成した検知パケット（Ａ１９０３）を制御装置１０２に送信する。次に、ログ生成部２０３２は、生成された検知パケットをログ情報として格納する（Ｓ１９０６）。次に、想定経路抽出部２１０２は、ログ情報から、正当な経路情報である想定経路を抽出する（Ｓ１９０７）。次に、抽出した想定経路を格納する（Ｓ１９０８）。
【００７８】
次に、制御装置１０２の制御処理部１０１２は、受信した検知パケット（Ａ１９０３）をもとに制御処理を実行する（Ｓ１９０９）。
【００７９】
図２０は、本発明の第二の実施形態が適用されたインシデント検知システムにおいて、運転時に各ゲートウェイ装置において、セキュリティインシデントの例として、不正な通信パケットを検知する処理フローを示した図である。ここでは制御元となる制御装置１０１から制御先となる制御装置１０２に対して制御コマンドを送信するフローを例として示す。なお、Ｓ２００１〜Ｓ２００５までの各処理は、図１９に示したＳ１９０１〜Ｓ１９０５までの処理に対して、処理を実行するタイミングが異なること以外は同様に実行される処理であるため、以下ではその説明を省略し、Ｓ２００５以降の各処理について説明する。
【００８０】
Ｓ２００５において、生成されたゲートウェイＩＤを受信した制御コマンドにその都度付与され、図１２に示した検知パケット（Ａ２００３）が生成されると、次に、ログ生成部２０３２は、その検知パケットをログ情報として格納する（Ｓ２００６）。次に、インシデント検知部２０９２は、格納されたログ情報をもとに図９で示したインシデント検知を行い、インシデントの検知によりアラートが生成されている場合にはそのアラートを、ゲートウェイ装置２０２に接続されたディスプレイ等の表示装置に出力し、アラートが生成されていない場合は検知パケット（Ａ２００３）を制御装置１０２に送信する（Ｓ２００７）。このとき、アラートが生成されている場合には、不正な通信による本システムへの影響を考慮し、検知パケットを破棄して処理を終了させてもよい。
【００８１】
次に、制御装置１０２の制御処理部１０１２は、受信した検知パケット（Ａ２００３）をもとに制御処理を実行する（Ｓ２００８）。
【００８２】
これらの構成、手順およびデータ構造を実現することにより、制御装置に処理負荷を掛けずに、不正な通信を検知することが可能となる。すなわち、システム内に通過するパケットに対して通信経路情報を付与するゲートウェイを設置し、正当な経路情報と通信パケットの経路情報を比較することにより不正な通信パケットを検知することができる。具体的には、システム内のゲートウェイ装置において、通過する通信パケットに、通過したゲートウェイの識別情報を順次追加し、各ゲートウェイ装置にログ情報として蓄積し、蓄積したログ情報は管理サーバあるいはゲートウェイ装置に集約し、予め試運転時に収集していた正当なパケットの経路情報と蓄積したログ情報内の経路情報を比較することにより、不正な通信経路のパケットを検知することができる。
【００８３】
なお、本発明は、上記の実施形態に限定されるものではなく、その要旨の範囲内で様々な変形が可能である。
【００８４】
たとえば、制御装置内にゲートウェイ装置の機能が含まれている場合や、制御装置やゲートウェイ装置にネットワークとの通信機能が含まれておらず、別の装置を経由してネットワークと通信を行うことも可能である。該実施形態の場合においてもシステム全体において行う処理においても同様の機能を実現することができる。例えば、第二の実施形態において、１つのゲートウェイ装置をマスタ装置として第一の実施形態における管理サーバ３０と同様に機能させ、図６に示した初期化処理を実行した上で経路収集処理や検知処理を実行してもよい。
【符号の説明】
【００８５】
１０１〜１０ｎ：制御装置、１１：通信装置、１２：入出力装置、１３：記憶装置、１４：ＣＰＵ、１５：メモリ、１６：内部信号線、１０１１〜１０１ｎ：制御処理部、１０２１〜１０２ｎ：通信部、２０１〜２０ｎ：ゲートウェイ装置、２１：第一通信装置、２２：入出力装置、２３：記憶装置、２４：第二通信装置、２５：ＣＰＵ、２６：メモリ、２７：内部信号線、２０１１〜２０１ｎ：ＩＤ生成部、２０２１〜２０２ｎ：検知パケット生成部、２０３１〜２０３ｎ：ログ生成部、２０４１〜２０４ｎ：モード変更部、２０５１〜２０５ｎ：第一通信部、２０６１〜２０６ｎ：ログ格納部、２０７１〜２０７ｎ：秘密情報格納部、２０８１〜２０８ｎ：第二通信部、２０９１〜２０９ｎ：インシデント検知部、２１０１〜２１０ｎ：想定経路抽出部、２１１１〜２１１ｎ：想定経路格納部、３０：管理サーバ、３１：通信装置、３２：入出力装置、３３：記憶装置、３４：ＣＰＵ、３５：メモリ、３６：読取装置、３７：記憶媒体、３８：内部信号線、３０１：モード変更部、３０２：インシデント検知部、３０３：秘密情報生成部、３０４：ログ収集部、３０５：通信部、３０６：想定経路抽出部、３０７：想定経路格納部、３０８：統合ログ格納部、３０９：秘密情報格納部、３１０：ゲートウェイリスト格納部、４０：ネットワーク、Ａ５０１：初期化モード通知、Ａ６０１：秘密情報、Ａ６０２：レスポンス、ゲートウェイ装置ＩＤ、Ａ７０１：制御コマンド、Ａ７０２：検知パケット、Ａ７０３：検知パケット、Ａ７０４：ログ情報、Ａ８０１：制御コマンド、Ａ８０２：検知パケット、Ａ８０３：検知パケット、Ａ８０４：ログ情報、Ａ１００１：秘密情報、Ａ１００２：レスポンス、ゲートウェイ装置ＩＤ、Ａ１１０１：状態確認コマンド、Ａ１１０２：状態、Ａ１２０１：検知パケット、Ａ１２０２：ヘッダ、Ａ１２０３：データ、Ａ１２０４：送信元、Ａ１２０５：送信先、Ａ１２０６：プロトコル、Ａ１２０７：ポート番号、Ａ１２０８：経路情報、Ａ１３０１：経路情報、Ａ１３０２１〜Ａ１３０２ｎ：ゲートウェイＩＤ、Ａ１４０１：ログ、Ａ１４０２：日時、Ａ１４０３：ヘッダ、Ａ１４０４：送信元、Ａ１４０５：送信先、Ａ１４０６：プロトコル、Ａ１４０７：ポート番号、Ａ１４０８：経路情報、Ａ１５０１：統合ログ、Ａ１５０２：ゲートウェイＩＤ、Ａ１５０３：日時、Ａ１５０４：ヘッダ、Ａ１５０５：送信元、Ａ１５０６：送信先、Ａ１５０７：プロトコル、Ａ１５０８：ポート番号、Ａ１５０９：経路情報、Ａ１６０１：想定経路、Ａ１６０２：送信元、Ａ１６０３：送信先、Ａ１６０４：経由ゲートウェイ数、Ａ１６０５：経由ゲートウェイＩＤ、Ａ１６０６１〜Ａ１６０６ｎ：ゲートウェイＩＤ、Ａ１７０１：ゲートウェイリスト、Ａ１７０２：ゲートウェイＩＤ、Ａ１７０３：ＩＰアドレス、Ａ２００１：制御コマンド、Ａ２００２：検知パケット、Ａ２００３：検知パケット、Ａ２１０１：制御コマンド、Ａ２１０２：検知パケット、Ａ２１０３：検知パケット。
【図１】
0006310874.tif 000002
【図２】
0006310874.tif 000003
【図３】
0006310874.tif 000004
【図４】
0006310874.tif 000005
【図５】
0006310874.tif 000006
【図６】
0006310874.tif 000007
【図７】
0006310874.tif 000008
【図８】
0006310874.tif 000009
【図９】
0006310874.tif 000010
【図１０】
0006310874.tif 000011
【図１１】
0006310874.tif 000012
【図１２】
0006310874.tif 000013
【図１３】
0006310874.tif 000014
【図１４】
0006310874.tif 000015
【図１５】
0006310874.tif 000016
【図１６】
0006310874.tif 000017
【図１７】
0006310874.tif 000018
【図１８】
0006310874.tif 000019
【図１９】
0006310874.tif 000020
【図２０】
0006310874.tif 000021