(57)【要約】  情報管理システムは、機器およびセンサの各々と、これら機器およびセンサの構成情報を管理する第一管理サーバと、前記機器のプロファイル情報を管理する第二管理サーバとがネットワーク装置を介して接続される。第二管理サーバは、前記機器、前記センサおよび前記ネットワーク装置の各々から監視情報を取得し、第一管理サーバから前記構成情報を取得する。第二管理サーバは、当該取得した構成情報が変更されている場合、当該変更された構成情報、前記プロファイル情報および前記監視情報に基づいて前記分析テーブルを更新し、当該更新された分析テーブルに基づいて前記機器および前記センサを管理する。
2018134865.tif 000002
【特許請求の範囲】
【請求項１】
機器およびセンサの各々と、
これら機器およびセンサの構成情報を管理する第一管理サーバと、
前記機器のプロファイル情報を管理する第二管理サーバと
がネットワーク装置を介して接続され、
前記第二管理サーバは、
前記機器、前記センサおよび前記ネットワーク装置の各々から監視情報を取得し、
前記第一管理サーバから前記構成情報を取得し、当該取得した構成情報が変更されている場合、当該変更された構成情報、前記プロファイル情報および前記監視情報に基づいて前記分析テーブルを更新し、当該更新された分析テーブルに基づいて前記機器および前記センサを管理する情報管理システム。
【請求項２】
前記構成情報には、前記ネットワーク装置の構成情報が含まれる、
請求項１に記載の情報管理システム。
【請求項３】
前記プロファイル情報には、前記機器の種別毎の監視項目が含まれる、
請求項１又は２に記載の情報管理システム。
【請求項４】
前記プロファイル情報には、前記機器の種別毎の分析アルゴリズムが含まれる、
請求項１乃至３の何れか一項に記載の情報管理システム。
【請求項５】
前記第二管理サーバは、
前記機器および前記センサの何れかの異常を検知した場合、
前記第一管理サーバから前記構成情報を取得し、当該取得した構成情報に基づいて前記機器構成情報テーブルを更新し、
前記監視データに含まれる通信履歴に基づいて前記異常な機器およびセンサと通信した機器およびセンサのセキュリティ分析を実行する、
請求項１乃至４の何れか一項に記載の情報管理システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、システムの情報を管理する情報管理システムに関する。
【背景技術】
【０００２】
近年、例えば、工場内の生産ラインや組立ロボットまたは発電所内の制御機器や計測機器（以下、機器）と、それら機器を監視するセンサとは、ネットワークに接続される。それら機器およびセンサから得られるシステムログおよびセンシングデータの監視データを分析し、その分析結果に基づいて工場の生産活動を最適化することによって、工場の生産性向上および運用保全を行う取り組みがある。【０００３】
それら機器およびセンサがネットワークに接続されることに伴って、サイバー攻撃の脅威が増大することが指摘されている。そのような脅威に対応するため、機器から得られる監視データと、ネットワークに流れるトラフィックの監視データとを分析することによって、サイバー攻撃に対する検知および防御を行うサイバー攻撃対処技術が必要となる。【０００４】
工場の高度化に伴い、工場内の機器およびセンサの構成変更が、需要に応じて頻繁に発生することが想定される。この際、設備の構成変更に応じて、セキュリティの面で分析すべき監視データと、その監視データを分析する分析アルゴリズムとを変更する必要が生じる。このため、運用者による設定作業が煩雑となるだけでなく、その設定内容が正しいかどうかをセキュリティ専門家が確認する必要もある。【０００５】
上記のように、工場および発電所における機器およびセンサの構成変更が頻繁に発生した場合、柔軟に対応可能なセキュリティ管理システムは、従来に存在しない。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２０１６−０５３９７９
【特許文献２】特開２０１５−２３２９０４
【発明の概要】
【発明が解決しようとする課題】
【０００７】
特許文献１のローカルネットワークシステムでは、ソフトウェアの信頼性に応じて、ネットワーク・アクセスの阻止と、イベントログ記録とが実施される。このローカルネットワークシステムでは、機器およびセンサの構成変更に伴うセキュリティ管理項目（イベントログ記録の条件）の変更には対応できない。【０００８】
特許文献２の情報分析システムでは、イベントに共通情報を付与し、情報粒度を揃えている。この情報分析システムでは、機器およびセンサの構成変更に伴うセキュリティ管理項目の変更（共通情報の変更）には対応できない。【０００９】
本発明は、前述した問題を解決し、機器およびセンサの構成変更に柔軟に対応することを主な目的とする。
【課題を解決するための手段】
【００１０】
情報管理システムは、機器およびセンサの各々と、これら機器およびセンサの構成情報を管理する第一管理サーバと、前記機器のプロファイル情報を管理する第二管理サーバとがネットワーク装置を介して接続される。第二管理サーバは、前記機器、前記センサおよび前記ネットワーク装置の各々から監視情報を取得し、前記第一管理サーバから前記構成情報を取得する。前記第二管理サーバは、取得した構成情報が変更されている場合、当該変更された構成情報、前記プロファイル情報および前記監視情報に基づいて前記分析テーブルを更新し、当該更新された分析テーブルに基づいて前記機器および前記センサを管理する。
【発明の効果】
【００１１】
機器およびセンサの構成変更が発生した際、第二管理サーバが分析テーブルを更新するので、情報管理システムのシステム管理者による設定作業の負荷を低減する。
【図面の簡単な説明】
【００１２】
【図１】セキュリティ管理システムを示す構成図である。
【図２】セキュリティ管理サーバを示す構成図である。
【図３】機器プロファイルテーブルを示す構成図である。
【図４】機器情報テーブルを示す構成図である。
【図５】NW構成テーブルを示す構成図である。
【図６】監視項目テーブルを示す構成図である。
【図７】セキュリティ管理サーバによる監視項目テーブルの更新処理を示すフローチャートである。
【図８】セキュリティ管理サーバによる汚染範囲の特定処理を示すフローチャートである。
【発明を実施するための形態】
【００１３】
以後の説明では、「ａａａテーブル」等の表現にて情報を説明する。これら情報は、テーブル等のデータ構造以外で表現されていても良い。そのため、データ構造に依存しないことを示すために「ａａａテーブル」等の情報を「ａａａ情報」と呼ぶことができる。
【００１４】
以下、図面を参照しながら、実施例を説明する。
【００１５】
図１は、「情報管理システム」としてのセキュリティ管理システムの全体構成図である。
【００１６】
管理対象である設備１０３は、複数の機器１０６と、各機器１０６をモニタリングする複数のセンサ１０７とを有する。複数の機器１０６の各々は、各ネットワークスイッチ１０５を経由してネットワーク装置２５０（図２参照）に接続されている。また、複数のセンサ１０７の各々は、別の各ネットワークスイッチ１０８を経由してネットワーク装置２５０に接続されている。複数の機器１０６と、複数のセンサ１０７と、「第一管理サーバ」としての設備管理サーバ１０１と、「第二管理サーバ」としてのセキュリティ管理サーバ１０２と、複数のＳＩＥＭ（Security Information Management）１０４とは、ネットワーク装置２５０を介して接続されている。
【００１７】
設備管理サーバ１０１は、機器１０６およびセンサ１０７から取得した「構成情報」としての機器構成情報およびNW構成情報を管理する。ＳＩＥＭ１０４は、機器１０６およびセンサ１０７から取得した「監視情報」としての監視データを管理する。セキュリティ管理サーバ１０２は、設備管理サーバ１０１が管理する機器構成情報およびNW構成情報と、ＳＩＥＭ１０４が管理する監視データとを用いて、機器１０６およびセンサ１０７のセキュリティを管理する。
【００１８】
図２は、セキュリティ管理サーバ１０２の構成図である。
【００１９】
セキュリティ管理サーバ１０２は、制御データ記憶部２００と、制御処理部２１０と、データ転送部２２０と、データ記憶部２３０とを有する。
【００２０】
制御データ記憶部２００は、「プロファイル情報」としての機器プロファイルテーブル２０１と、機器構成テーブル２０２と、NW構成テーブル２０３と、「分析テーブル」としての監視項目テーブル２０４とを有する。
【００２１】
機器プロファイルテーブル２０１は、機器種別３０１（図３，４参照）毎のプロファイル情報を記録する。機器構成テーブル２０２は、機器１０６毎の構成情報を記録する。NW構成テーブル２０３は、ネットワーク装置２５０の構成情報を記録する。監視項目テーブル２０４は、機器種別３０１毎の監視項目３０２，３０３（図３参照）および「分析アルゴリズム」としての分析手法を記録する。
【００２２】
制御処理部２１０は、機器プロファイルテーブル管理部２１１と、機器構成テーブル管理部２１２と、NW構成テーブル管理部２１３と、監視項目テーブル管理部２１４とを有する。制御処理部２１０は、監視項目算出部２１５と、分析アルゴリズム処理部２１６と、イベント出力部２１７と、脅威範囲判定部２１８とを更に有する。
【００２３】
機器プロファイルテーブル管理部２１１は、機器プロファイルテーブル２０１を管理する。機器構成テーブル管理部２１２は、機器構成テーブル２０２を管理する。NW構成テーブル管理部２１３は、NW構成テーブル２０３を管理する。監視項目テーブル管理部２１４は、監視項目テーブル２０４を管理する。監視項目算出部２１５は、監視項目３０２，３０３（図３参照）と、「分析アルゴリズム」としての分析手法とを算出する。分析アルゴリズム処理部２１６は、分析アルゴリズムを実行する。イベント出力部２１７は、アラート等のイベントを出力する。脅威範囲判定部２１８は、脅威範囲を判定する。
【００２４】
データ転送部２２０は、ネットワーク装置２５０とのデータ送受信を行うデータ送受信部２２１を有する。
【００２５】
データ記憶部２３０は、ネットワーク装置２５０から受信したデータを格納するデータ格納部２３１を有する。
【００２６】
図３は、機器プロファイルテーブル２０１の構成図である。
【００２７】
機器プロファイルテーブル２０１には、機器１０６の種別を指定する機器種別３０１と、機器種別３０１毎の監視データを指定する監視項目３０２，３０３と、機器種別３０１毎の分析手法を指定する分析手法３０４とが記録されている。
【００２８】
図４は、機器構成テーブル２０２の構成図である。
【００２９】
機器構成テーブル２０２には、機器１０６毎のＩＤを指定する機器ＩＤ４０１と、機器１０６のＩＰアドレスを指定するＩＰアドレス４０２と、機器ＩＤ４０１に対する機器１０６の種別を指定する機器種別４０３とが記録されている。
【００３０】
図５は、NW構成テーブル２０３の構成図である。
【００３１】
NW構成テーブル２０３には、機器ＩＤを指定する機器ＩＤ５０１と、機器１０６のＩＰアドレスを指定するＩＰアドレス５０２と、機器１０６の監視データが管理されているＳＩＥＭを指定するＳＩＥＭ５０３とが記録されている。
【００３２】
図６は、監視項目テーブル２０４の構成図である。
【００３３】
監視項目テーブル２０４には、機器ＩＤ６０１と、監視項目６０２，６０３と、分析手法６０４と、ＳＩＥＭ６０５とが記録されている。機器ＩＤ６０１は、機器１０６毎に付与されたＩＤである。監視項目６０２，６０３は、機器１０６を監視する際に利用する監視データを指定する。分析手法６０４は、監視データの分析手法を指定する。ＳＩＥＭ６０５には、監視データが管理されている。
【００３４】
図７は、セキュリティ管理サーバ１０２による監視項目テーブル２０４の更新処理を示すフローチャートである。
【００３５】
セキュリティ管理サーバ１０２は、設備１０３の構成が変更され、例えば、機器１０６やセンサ１０７の追加、削除、移動が発生した場合、これら機器１０６およびセンサ１０７から機器構成情報およびNW構成情報の更新通知を受信する。ステップ７０１において、セキュリティ管理サーバ１０２は、設備管理サーバ１０１から設備１０３の構成変更に関する通知を受信し、機器構成情報やNW構成情報などの構成情報を取得する。機器構成テーブル管理部２１２は、機器構成情報を機器構成テーブル２０２に記録する。NW構成テーブル管理部２１３は、NW構成情報をNW構成テーブル２０３に記録する。
【００３６】
ステップ７０２において、セキュリティ管理サーバ１０２は、取得した構成情報と機器構成テーブル２０２とを参照し、取得した構成情報に含まれている機器（機器Ｘとする）の機器情報が更新されているかを確認する。ステップ７０３において、機器情報が更新されている場合は（７０３：ＹＥＳ）、ステップ７０４に進み、更新されていない場合は（７０３：ＮＯ）、ステップ７０５に進む。ステップ７０４において、セキュリティ管理サーバ１０２の監視項目算出部２１５は、更新された機器Ｘの機器情報と、機器プロファイルテーブル２０１とを参照し、これらの情報に基づいて監視項目テーブル２０４に機器Ｘの監視項目６０２，６０３と分析手法６０４とを記録する。
【００３７】
ステップ７０５において、セキュリティ管理サーバ１０２は、取得した構成情報とNW構成テーブル２０３とを参照し、機器ＸのNW構成情報が更新されているかを確認する。ステップ７０６において、NW構成情報が更新されている場合は（７０６：ＹＥＳ）、ステップ７０７に進む。更新されていない場合は（７０６：ＮＯ）、ステップ７０２に戻り、取得した構成情報が含まれている次の機器情報を参照し、全ての機器情報を確認するまで繰り返す。ステップ７０７において、セキュリティ管理サーバ１０２の監視項目算出部２１５は、更新された機器ＸのNW構成情報と、機器プロファイルテーブル２０１とを参照し、これらの情報に基づいて監視項目テーブル２０４に機器ＸのＳＩＥＭ６０５を記録する。
【００３８】
図８は、セキュリティ管理サーバ１０２による汚染範囲の特定処理を示すフローチャートである。
【００３９】
ステップ８０１において、セキュリティ管理サーバ１０２の分析アルゴリズム処理部２１６は、監視項目テーブル２０４を参照し、監視項目６０２，６０３および分析手法６０４に基づいて異常挙動を行っている端末（以下、異常挙動端末Ａ）を特定する。イベント出力部２１７は、異常挙動端末Aを検知した旨のアラートを出力する。ステップ８０２において、セキュリティ管理サーバ１０２が設備管理サーバ１０１から機器構成情報やNW構成情報など最新の構成情報を取得する。機器構成テーブル管理部２１２は、取得した最新の機器構成情報を機器構成テーブル２０２に記録する。NW構成テーブル管理部２１３は、取得した最新のNW構成情報をNW構成テーブル２０３に記録する。ステップ８０３において、脅威範囲判定部２１８は、監視項目テーブル２０４の機器ＩＤ６０１およびＳＩＥＭ６０５を参照して、異常挙動端末Ａの通信履歴を記録しているＳＩＥＭ１０４を特定し、該当するＳＩＥＭ１０４から通信履歴を取得する。
【００４０】
ステップ８０４において、脅威範囲判定部２１８は、取得した異常挙動端末Ａの通信履歴を分析する。ステップ８０５において、異常挙動端末Aから当該異常挙動端末Aに隣接する端末Ｂに対する通信履歴がある場合（８０５：ＹＥＳ）は、ステップ８０６に進む。ステップ８０６において、監視項目テーブル２０４から端末Ｂの監視項目６０２，６０３および分析手法６０４を取得し、端末Ｂのセキュリティ分析を行う。ステップ８０７において、端末Bに異常挙動が検知された場合（８０７：ＹＥＳ）、ステップ８０８に進み、端末Bを異常挙動と判定し、イベント出力部２１７が異常挙動端末Aを検知した旨のアラートを出力する。ステップ８０５で異常挙動端末Ａから当該異常挙動端末Ａに隣接する端末Ｂに対する通信履歴がない場合（８０５：ＮＯ）、およびステップ８０７で端末Ｂに異常挙動が検知されなかった場合（８０７：ＮＯ）、ステップ８０９に戻る。全ての異常挙動端末に対して、ステップ８０３からステップ８０９を繰り返す。
【００４１】
本実施例によれば、機器１０６およびセンサ１０７の各々と、設備管理サーバ１０１と、セキュリティ管理サーバ１０２とがネットワーク装置２５０を介して接続される。セキュリティ管理サーバ１０２は、機器１０６、センサ１０７およびネットワーク装置２５０の各々から監視データを取得する。セキュリティ管理サーバ１０２は、設備管理サーバ１０１から構成情報を取得し、当該取得した構成情報が変更されている場合、当該変更された構成情報、プロファイル情報および監視データに基づいて監視項目テーブル２０４を更新する。セキュリティ管理サーバ１０２は、更新された監視項目テーブル２０４に基づいて機器１０６およびセンサ１０７を管理するので、機器１０６およびセンサ１０７の構成変更に柔軟に対応するが可能となる。
【００４２】
さらに、構成情報には、ネットワーク装置２５０のNW構成情報が含まれるので、ネットワーク装置２５０の構成変更に柔軟に対応することができる。
【００４３】
さらに、機器プロファイルテーブル２０１には、機器種別３０１毎の監視項目３０２，３０３が含まれるので、機器１０６の構成変更に柔軟に対応することができる。
【００４４】
さらに、機器プロファイルテーブル２０１には、機器種別３０１毎の分析手法３０４が含まれるので、機器１０６の構成変更を容易に検知することができる。
【００４５】
セキュリティ管理サーバ１０２は、機器１０６およびセンサ１０７の何れかに異常を検知した場合、設備管理サーバ１０１から機器構成情報およびNW構成情報などの構成情報を取得し、取得した構成情報に基づいて監視項目テーブル２０４を更新する。セキュリティ管理サーバ１０２は、監視データに含まれる通信履歴に基づいて更新された監視項目テーブル２０４および監視データに基づいて機器１０６およびセンサ１０７を管理するので、機器１０６およびセンサ１０７が構成変更された場合でも、最新の構成情報に基づいて汚染範囲を推定することができる。
【符号の説明】
【００４６】
１０１…設備管理サーバ、１０２…セキュリティ管理サーバ、１０６…機器、１０７…センサ、２０１…機器プロファイルテーブル、２０２…機器構成テーブル、２０３…NW構成テーブル、２０４…監視項目テーブル、２５０…ネットワーク装置、３０２，３０３…監視項目、３０４…分析手法
【図１】
2018134865.tif 000003
【図２】
2018134865.tif 000004
【図３】
2018134865.tif 000005
【図４】
2018134865.tif 000006
【図５】
2018134865.tif 000007
【図６】
2018134865.tif 000008
【図７】
2018134865.tif 000009
【図８】
2018134865.tif 000010
【国際調査報告】
2018134865.tif 000011
2018134865.tif 000012
2018134865.tif 000013
2018134865.tif 000014