(57)【要約】【課題】システムにおける正常実行になりすました異常実行であっても精度良く検知し、該当システムにおけるセキュリティインシデントの検知を確実なものとする。【解決手段】セキュリティインシデント検知システム１００において、秘密処理の実行スケジュールを記憶装置１１５に備え、実行スケジュールが規定する各時刻の到来に応じて秘密処理を実行し、その秘密処理の情報を含む異常検知用パケットを生成して異常検知サーバ１２０に送信する情報処理装置１１０と、秘密処理の実行スケジュールを記憶装置１２４に備え、情報処理装置１１０から受信した異常検知用パケットが含む秘密処理の情報と実行スケジュールとを照合し、規定通りに秘密処理が実行されていない状況を特定して異常実行を検知する異常検知サーバ１２０を含む構成とする。【選択図】図１
2016139232.tif 000002
【特許請求の範囲】
【請求項１】
通常動作とは別に実行すべき秘密処理の実行スケジュールを記憶装置に備え、前記実行スケジュールが規定する各時刻の到来に応じ、該当時刻で実行すべき秘密処理を実行し、前記実行した秘密処理の情報を含む異常検知用パケットを生成して、異常検知サーバに送信する演算装置を備えた情報処理装置と、
監視対象の情報処理装置が通常動作とは別に実行すべき秘密処理の実行スケジュールを記憶装置に備え、前記情報処理装置から前記異常検知用パケットを受信して、前記受信した異常検知用パケットが含む前記秘密処理の情報を記憶装置に格納し、前記格納した秘密処理の情報と前記実行スケジュールとを照合して、前記実行スケジュールの規定通りに秘密処理が実行されていない状況を特定することで、前記情報処理装置における異常実行を検知する演算装置を備えた異常検知サーバと、
を含むことを特徴とするセキュリティインシデント検知システム。
【請求項２】
前記異常検知サーバの演算装置は、
記憶装置に保持する秘密処理のリストに基づき、各秘密処理の識別情報を所定の時間間隔の時刻情報ごとに割り当てることで前記実行スケジュールを生成し、前記生成した実行スケジュールの記憶装置への格納と、前記情報処理装置への配信とを更に実行するものであり、
前記情報処理装置の演算装置は、
前記異常検知サーバから配信された前記実行スケジュールを記憶装置に格納する処理を更に実行するものである、
ことを特徴とする請求項１に記載のセキュリティインシデント検知システム。
【請求項３】
前記情報処理装置において、
前記演算装置は、前記異常検知用パケットの送信に際し、前記実行した秘密処理の情報と、当該情報処理装置において実行中の業務フローの識別情報とを含む異常検知用パケットを生成して、異常検知サーバに送信するものであり、
前記異常検知サーバにおいて、
前記記憶装置は、前記秘密処理の実行スケジュールに対し、該当実行スケジュールの適用先である業務フローの識別情報を対応付けて格納しており、
前記演算装置は、
前記異常実行を検知するに際し、前記情報処理装置より受信した前記異常検知用パケットに含まれる前記業務フローの識別情報に基づき、該当業務フローの識別情報が対応付いている前記実行スケジュールを特定し、該当実行スケジュールと、前記異常検知用パケットが含む前記秘密処理の情報と照合して、前記業務フローに対応した前記実行スケジュールの規定通りに秘密処理が実行されていない状況を特定することで、前記情報処理装置における異常実行を検知するものである、
ことを特徴とする請求項１に記載のセキュリティインシデント検知システム。
【請求項４】
前記情報処理装置において、
前記演算装置は、
前記異常検知用パケットの送信に際し、前記秘密処理の実行結果を含む異常検知用パケットを生成して、異常検知サーバに送信するものであり、
前記異常検知サーバにおいて、
前記記憶装置は、各秘密処理と該当秘密処理の実行結果のデータフォーマットとを対応付けたリストを更に格納しており、
前記演算装置は、
前記異常実行を検知するに際し、前記情報処理装置より受信した前記異常検知用パケットに含まれる前記秘密処理の実行結果を記憶装置に格納し、前記格納した秘密処理の実行
結果を前記リストに照合して前記秘密処理の識別情報に変換し、前記変換した前記秘密処理の識別情報と前記実行スケジュールとを照合して、前記実行スケジュールの規定通りに秘密処理が実行されていない状況を特定することで、前記情報処理装置における異常実行を検知するものである、
ことを特徴とする請求項１に記載のセキュリティインシデント検知システム。
【請求項５】
各情報処理装置において通常動作とは別に実行すべき秘密処理の実行スケジュールを格納した記憶装置と、
前記記憶装置における前記実行スケジュールのうち自身の実行スケジュールが規定する各時刻の到来に応じ、該当時刻で実行すべき秘密処理を実行し、前記実行した秘密処理の情報を含む業務用パケットを生成して、ネットワーク上の他のいずれかの情報処理装置に送信し、ネットワーク上の他のいずれかの情報処理装置から業務用パケットを受信して、前記受信した業務用パケットが含む前記秘密処理の情報を記憶装置に格納し、前記格納した秘密処理の情報と、前記業務用パケットの送信元である情報処理装置に関する前記実行スケジュールとを照合して、該当実行スケジュールの規定通りに秘密処理が実行されていない状況を特定することで、前記業務用パケットの送信元である情報処理装置における異常実行を検知する演算装置と、
を備えた複数の情報処理装置を含むことを特徴とするセキュリティインシデント検知システム。
【請求項６】
前記情報処理装置の演算装置は、
記憶装置に保持する秘密処理のリストに基づき、各秘密処理の識別情報を所定の時間間隔の時刻情報ごとに割り当てることで前記実行スケジュールを生成し、前記生成した実行スケジュールの記憶装置への格納と、ネットワーク上の他の情報処理装置への配信とを更に実行し、
ネットワーク上の他の情報処理装置から配信された前記実行スケジュールを記憶装置に格納する処理を更に実行するものである、
ことを特徴とする請求項５に記載のセキュリティインシデント検知システム。
【請求項７】
前記情報処理装置において、
前記記憶装置は、
各秘密処理と該当秘密処理の実行結果のデータフォーマットとを対応付けたリストを更に格納しており、
前記演算装置は、
前記業務用パケットの送信に際し、前記秘密処理の実行結果を含む業務用パケットを生成して、ネットワーク上の他のいずれかの情報処理装置に送信し、
前記異常実行を検知するに際し、前記ネットワーク上の他のいずれかの情報処理装置より受信した前記業務用パケットに含まれる前記秘密処理の実行結果を記憶装置に格納し、前記格納した秘密処理の実行結果を前記リストに照合して前記秘密処理の識別情報に変換し、前記変換した前記秘密処理の識別情報と、前記業務用パケットの送信元である情報処理装置に関する前記実行スケジュールとを照合して、前記実行スケジュールの規定通りに秘密処理が実行されていない状況を特定することで、前記業務用パケットの送信元である情報処理装置における異常実行を検知するものである、
ことを特徴とする請求項５に記載のセキュリティインシデント検知システム。
【請求項８】
情報処理装置が、
通常動作とは別に実行すべき秘密処理の実行スケジュールを記憶装置に備え、前記実行スケジュールが規定する各時刻の到来に応じ、該当時刻で実行すべき秘密処理を実行し、前記実行した秘密処理の情報を含む異常検知用パケットを生成して、異常検知サーバに送信し、
異常検知サーバが、
監視対象の情報処理装置が通常動作とは別に実行すべき秘密処理の実行スケジュールを記憶装置に備え、前記情報処理装置から前記異常検知用パケットを受信して、前記受信した異常検知用パケットが含む前記秘密処理の情報を記憶装置に格納し、前記格納した秘密処理の情報と前記実行スケジュールとを照合して、前記実行スケジュールの規定通りに秘密処理が実行されていない状況を特定することで、前記情報処理装置における異常実行を検知する、
ことを特徴とするセキュリティインシデント検知方法。
【請求項９】
前記異常検知サーバが、
記憶装置に保持する秘密処理のリストに基づき、各秘密処理の識別情報を所定の時間間隔の時刻情報ごとに割り当てることで前記実行スケジュールを生成し、前記生成した実行スケジュールの記憶装置への格納と、前記情報処理装置への配信とを更に実行し、
前記情報処理装置が、
前記異常検知サーバから配信された前記実行スケジュールを記憶装置に格納する処理を更に実行する、
ことを特徴とする請求項８に記載のセキュリティインシデント検知方法。
【請求項１０】
前記情報処理装置が、
前記異常検知用パケットの送信に際し、前記実行した秘密処理の情報と、当該情報処理装置において実行中の業務フローの識別情報とを含む異常検知用パケットを生成して、異常検知サーバに送信し、
前記異常検知サーバが、
前記記憶装置において、前記秘密処理の実行スケジュールに対し、該当実行スケジュールの適用先である業務フローの識別情報を対応付けて格納しており、
前記異常実行を検知するに際し、前記情報処理装置より受信した前記異常検知用パケットに含まれる前記業務フローの識別情報に基づき、該当業務フローの識別情報が対応付いている前記実行スケジュールを特定し、該当実行スケジュールと、前記異常検知用パケットが含む前記秘密処理の情報と照合して、前記業務フローに対応した前記実行スケジュールの規定通りに秘密処理が実行されていない状況を特定することで、前記情報処理装置における異常実行を検知する、
ことを特徴とする請求項８に記載のセキュリティインシデント検知方法。
【請求項１１】
前記情報処理装置が、
前記異常検知用パケットの送信に際し、前記秘密処理の実行結果を含む異常検知用パケットを生成して、異常検知サーバに送信し、
前記異常検知サーバが、
前記記憶装置において、各秘密処理と該当秘密処理の実行結果のデータフォーマットとを対応付けたリストを更に格納しており、
前記異常実行を検知するに際し、前記情報処理装置より受信した前記異常検知用パケットに含まれる前記秘密処理の実行結果を記憶装置に格納し、前記格納した秘密処理の実行結果を前記リストに照合して前記秘密処理の識別情報に変換し、前記変換した前記秘密処理の識別情報と前記実行スケジュールとを照合して、前記実行スケジュールの規定通りに秘密処理が実行されていない状況を特定することで、前記情報処理装置における異常実行を検知する、
ことを特徴とする請求項８に記載のセキュリティインシデント検知方法。
【請求項１２】
複数の情報処理装置の各々が、
各情報処理装置において通常動作とは別に実行すべき秘密処理の実行スケジュールを格納した記憶装置を備えて、
前記記憶装置における前記実行スケジュールのうち自身の実行スケジュールが規定する各時刻の到来に応じ、該当時刻で実行すべき秘密処理を実行し、前記実行した秘密処理の情報を含む業務用パケットを生成して、ネットワーク上の他のいずれかの情報処理装置に送信し、ネットワーク上の他のいずれかの情報処理装置から業務用パケットを受信して、前記受信した業務用パケットが含む前記秘密処理の情報を記憶装置に格納し、前記格納した秘密処理の情報と、前記業務用パケットの送信元である情報処理装置に関する前記実行スケジュールとを照合して、該当実行スケジュールの規定通りに秘密処理が実行されていない状況を特定することで、前記業務用パケットの送信元である情報処理装置における異常実行を検知する、
ことを特徴とするセキュリティインシデント検知方法。
【請求項１３】
前記情報処理装置が、
記憶装置に保持する秘密処理のリストに基づき、各秘密処理の識別情報を所定の時間間隔の時刻情報ごとに割り当てることで前記実行スケジュールを生成し、前記生成した実行スケジュールの記憶装置への格納と、ネットワーク上の他の情報処理装置への配信とを更に実行し、
ネットワーク上の他の情報処理装置から配信された前記実行スケジュールを記憶装置に格納する処理を更に実行する、
ことを特徴とする請求項１２に記載のセキュリティインシデント検知方法。
【請求項１４】
前記情報処理装置が、
前記記憶装置において、各秘密処理と該当秘密処理の実行結果のデータフォーマットとを対応付けたリストを更に格納しており、
前記業務用パケットの送信に際し、前記秘密処理の実行結果を含む業務用パケットを生成して、ネットワーク上の他のいずれかの情報処理装置に送信し、
前記異常実行を検知するに際し、前記ネットワーク上の他のいずれかの情報処理装置より受信した前記業務用パケットに含まれる前記秘密処理の実行結果を記憶装置に格納し、前記格納した秘密処理の実行結果を前記リストに照合して前記秘密処理の識別情報に変換し、前記変換した前記秘密処理の識別情報と、前記業務用パケットの送信元である情報処理装置に関する前記実行スケジュールとを照合して、前記実行スケジュールの規定通りに秘密処理が実行されていない状況を特定することで、前記業務用パケットの送信元である情報処理装置における異常実行を検知する、
ことを特徴とする請求項１２に記載のセキュリティインシデント検知方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、セキュリティインシデント検知システムおよびセキュリティインシデント検知方法に関するものであり、具体的には、システムにおける正常実行になりすました異常実行であっても精度良く検知し、該当システムにおけるセキュリティインシデントの検知を確実なものとする技術に関する。
【背景技術】
【０００２】
例えば、企業内のみで運用される業務フローシステムやインフラ設備の制御装置など、従来であれば、閉じたネットワーク内にて特定のＯＳの制御下で稼働していた装置についても、オープン化やネットワーク化が図られる傾向が近年強まっている。従って、セキュリティ対策不要と考えられていた装置も含め、様々な情報処理装置がセキュリティ上の脅威にさらされる懸念が高まっている。
【０００３】
そこで、そうした脅威に対処する従来技術として、例えば、制御ネットワーク内で発生したイベント情報を、制御システムを含むリソースおよびプロセス間の依存関係を維持する構成管理データベースに照会し、該イベント情報に関わるリソースが属するグループを識別する識別部と、異常が疑われる状況を規定する条件と１以上のアクションとを対応付ける１以上のポリシを記憶するポリシ記憶部と、上述の１以上のポリシを適用する上で必要となるグループに関連する情報を取得し、イベント情報に付加する付加部と、１以上のポリシに対しイベント情報を適用し、合致する条件に対応付けられるアクションを実施するべきアクションとして決定する決定部を含む異常検知装置（特許文献１参照）などが提案されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１２−１６８６８６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
こうした従来技術によれば、予め定めた（正しい）リソースおよびプロセスの対応関係と、実際に発生したイベント内容との差異を特定することで、監視対象における異常検知につなげることが可能である。しかしながら、上述の対応関係の情報が攻撃者に不正閲覧される、或いは所謂ふるまい観察により特定されてしまうといった事態になれば、その対応関係に適合して正常実行になりすました攻撃動作等を異常として検知することは出来ない。
【０００６】
そこで本発明の目的は、システムにおける正常実行になりすました異常実行であっても精度良く検知し、該当システムにおけるセキュリティインシデントの検知を確実なものとする技術を提供することにある。
【課題を解決するための手段】
【０００７】
上記課題を解決する本発明のセキュリティインシデント検知システムは、通常動作とは別に実行すべき秘密処理の実行スケジュールを記憶装置に備え、前記実行スケジュールが規定する各時刻の到来に応じ、該当時刻で実行すべき秘密処理を実行し、前記実行した秘密処理の情報を含む異常検知用パケットを生成して、異常検知サーバに送信する演算装置を備えた情報処理装置と、監視対象の情報処理装置が通常動作とは別に実行すべき秘密処
理の実行スケジュールを記憶装置に備え、前記情報処理装置から前記異常検知用パケットを受信して、前記受信した異常検知用パケットが含む前記秘密処理の情報を記憶装置に格納し、前記格納した秘密処理の情報と前記実行スケジュールとを照合して、前記実行スケジュールの規定通りに秘密処理が実行されていない状況を特定することで、前記情報処理装置における異常実行を検知する演算装置を備えた異常検知サーバとを含むことを特徴とする。
【０００８】
また、本発明のセキュリティインシデント検知システムは、各情報処理装置において通常動作とは別に実行すべき秘密処理の実行スケジュールを格納した記憶装置と、前記記憶装置における前記実行スケジュールのうち自身の実行スケジュールが規定する各時刻の到来に応じ、該当時刻で実行すべき秘密処理を実行し、前記実行した秘密処理の情報を含む業務用パケットを生成して、ネットワーク上の他のいずれかの情報処理装置に送信し、ネットワーク上の他のいずれかの情報処理装置から業務用パケットを受信して、前記受信した業務用パケットが含む前記秘密処理の情報を記憶装置に格納し、前記格納した秘密処理の情報と、前記業務用パケットの送信元である情報処理装置に関する前記実行スケジュールとを照合して、該当実行スケジュールの規定通りに秘密処理が実行されていない状況を特定することで、前記業務用パケットの送信元である情報処理装置における異常実行を検知する演算装置と、を備えた複数の情報処理装置を含むことを特徴とする。
【０００９】
また、本発明のセキュリティインシデント検知方法は、情報処理装置が、通常動作とは別に実行すべき秘密処理の実行スケジュールを記憶装置に備え、前記実行スケジュールが規定する各時刻の到来に応じ、該当時刻で実行すべき秘密処理を実行し、前記実行した秘密処理の情報を含む異常検知用パケットを生成して、異常検知サーバに送信し、異常検知サーバが、監視対象の情報処理装置が通常動作とは別に実行すべき秘密処理の実行スケジュールを記憶装置に備え、前記情報処理装置から前記異常検知用パケットを受信して、前記受信した異常検知用パケットが含む前記秘密処理の情報を記憶装置に格納し、前記格納した秘密処理の情報と前記実行スケジュールとを照合して、前記実行スケジュールの規定通りに秘密処理が実行されていない状況を特定することで、前記情報処理装置における異常実行を検知することを特徴とする。
【００１０】
また、本発明のセキュリティインシデント検知方法は、複数の情報処理装置の各々が、各情報処理装置において通常動作とは別に実行すべき秘密処理の実行スケジュールを格納した記憶装置を備えて、前記記憶装置における前記実行スケジュールのうち自身の実行スケジュールが規定する各時刻の到来に応じ、該当時刻で実行すべき秘密処理を実行し、前記実行した秘密処理の情報を含む業務用パケットを生成して、ネットワーク上の他のいずれかの情報処理装置に送信し、ネットワーク上の他のいずれかの情報処理装置から業務用パケットを受信して、前記受信した業務用パケットが含む前記秘密処理の情報を記憶装置に格納し、前記格納した秘密処理の情報と、前記業務用パケットの送信元である情報処理装置に関する前記実行スケジュールとを照合して、該当実行スケジュールの規定通りに秘密処理が実行されていない状況を特定することで、前記業務用パケットの送信元である情報処理装置における異常実行を検知することを特徴とする。
【発明の効果】
【００１１】
本発明によれば、システムにおける正常実行になりすました異常実行であっても精度良く検知し、該当システムにおけるセキュリティインシデントの検知を確実なものとできる。
【図面の簡単な説明】
【００１２】
【図１】第１実施形態のセキュリティインシデント検知システムの構成例を示す図である。
【図２】第１実施形態のセキュリティインシデント検知システムのハードウェア構成例を示す図である。
【図３】第１実施形態における秘密処理リストの例を示す図である。
【図４】第１実施形態における業務フローＩＤ表の例を示す図である。
【図５】第１実施形態における秘密処理指定表の例を示す図である。
【図６】第１実施形態における個別秘密処理指定表の例を示す図である。
【図７】第１実施形態の異常検知用パケットのフォーマット例を示す図である。
【図８】第１実施形態における実行ＩＤ表の例を示す図である。
【図９】第１実施形態のセキュリティインシデント検知方法の手順例１を示すフロー図である。
【図１０】第１実施形態のセキュリティインシデント検知方法の手順例２を示すフロー図である。
【図１１】第１実施形態のセキュリティインシデント検知方法の手順例３を示すフロー図である。
【図１２】第２実施形態のセキュリティインシデント検知システムの構成例を示す図である。
【図１３】第２実施形態の異常検知用パケットのフォーマット例を示す図である。
【図１４】第２実施形態における実行結果表の例を示す図である。
【図１５】第２実施形態のセキュリティインシデント検知方法の手順例を示すフロー図である。
【図１６】第３実施形態のセキュリティインシデント検知システムの構成例を示す図である。
【図１７】第３実施形態における業務用パケットのフォーマット例を示す図である。
【図１８】第３実施形態のセキュリティインシデント検知方法の手順例１を示すフロー図である。
【図１９】第３実施形態のセキュリティインシデント検知方法の手順例２を示すフロー図である。
【図２０】第３実施形態のセキュリティインシデント検知方法の手順例３を示すフロー図である。
【発明を実施するための形態】
【００１３】
＜第１実施形態＞
−−−システム構成の例−−−
【００１４】
以下に本発明の実施形態について図面を用いて詳細に説明する。図１は、第１実施形態におけるセキュリティインシデント検知システム１００の構成例を示す図である。図１に示すセキュリティインシデント検知システム１００は、システムにおける正常実行になりすました異常実行であっても精度良く検知し、該当システムにおけるセキュリティインシデントの検知を確実なものとするコンピュータシステムである。
【００１５】
この第１実施形態におけるセキュリティインシデント検知システム１００は、所定の業務フローにおける各処理を担当し互いに協働する複数の制御装置１１０１〜１１０ｎと、これら制御装置１１０１〜１１０ｎから送信されてくるパケットを取得、分析して業務フローにおける異常実行を検知する異常検知サーバ１２０を少なくとも含んで構成されている。図１の構成例では、異常検知サーバ１２０が上述の異常実行の検知結果を通知する装置として、監視サーバ１３０を更に含む構成としている。異常検知サーバ１２０自体が監視サーバ１３０の役割を担う場合、この監視サーバ１３０は構成に含まれずともよい。
【００１６】
また、異常実行の検知対象となる業務フローとしては、例えば制御装置１１０１が、制御装置１１０２から制御装置１１０３に特定のプログラムをインプットするという業務フ
ローを例に挙げて説明するものとする。つまり、当該第１実施形態では、制御装置１１０１、制御装置１１０２、および制御装置１１０３の３つの制御装置が構成に含まれる例を想定する。但し、説明の簡便化のため、複数の制御装置１１０１〜１１０３を、それぞれ区別する必要が無い場合は、まとめて制御装置１１０として説明する。
【００１７】
続いて各装置の機能等について説明する。まず、制御装置１１０は、ネットワーク１４０を介して外部装置との通信を行う通信部１１１と、業務フローに基づいた業務処理を実行する業務処理部１１２と、個別秘密処理指定表６００（秘密処理の実行スケジュール）が規定する各時刻の到来に応じ、該当時刻で実行すべき秘密処理を実行する秘密処理実行部１１３と、秘密処理実行部１１３が実行した秘密処理の情報（当該制御装置１１０において実行中の業務フローの識別情報を含むとしても好適である）を含む異常検知用パケット（図７参照）を作成し、異常検知サーバ１２０に送信する検知用パケット作成部１１４を備えている。なお、いずれの機能部も、例えば制御装置１１０が備える適宜なプログラムを該当制御装置が実行することで実装される機能である（以下同様）。
【００１８】
また、制御装置１１０は、ネットワーク１４０を介して異常検知サーバ１２０から配信される秘密処理リスト３００および個別秘密処理指定表６００を記憶装置１１５に格納する機能も備えている。
【００１９】
また、上述の制御装置１１０は、記憶装置１１５において、秘密処理リスト３００（図３参照）および個別秘密処理指定表６００（図６参照）を格納している。これら秘密処理リスト３００および個別秘密処理指定表６００の具体的な構成例については後述する。
【００２０】
一方、異常検知サーバ１２０は、ネットワーク１４０を介して外部装置との通信を行う通信部１２１と、秘密処理リスト３００（図３参照）および秘密処理指定表５００（秘密処理の実行スケジュール：図５参照）を作成する秘密情報作成部１２２と、業務フローにおける異常実行を検知する異常検知部１２３とを備えている。
【００２１】
このうち、秘密情報作成部１２２は、記憶装置１２４に保持する秘密処理リスト３００に基づき、各秘密処理の識別情報を所定の時間間隔の時刻情報ごとに割り当てることで秘密処理指定表５００を生成して、この秘密処理指定表５００を記憶装置１２４に格納し、また、制御装置１１０に配信することとなる。
【００２２】
また、上述の異常検知部１２３は、上述の制御装置１１０から異常検知用パケットを受信して、この異常検知用パケットが含む秘密処理の情報（該当制御装置１１０にて実行中であった業務フローの識別情報を含むとしても好適である）を記憶装置１２４の実行ＩＤ表８００に格納し、格納した秘密処理の情報と秘密処理指定表５００（該当業務フローに関し、該当制御装置１１０に対応付いたもの）とを照合して、秘密処理指定表５００が示す規定通りに秘密処理が実行されていない状況を特定することで、上述の制御装置１１０における業務フロー中の異常実行を検知することとなる。
【００２３】
また、上述の異常検知サーバ１２０は、記憶装置１２４において、秘密処理リスト３００（図３参照）、業務フローＩＤ表４００（図４参照）、秘密処理指定表５００（図５参照）、および実行ＩＤ表８００（図８参照）を格納している。これら秘密処理リスト３００、業務フローＩＤ表４００、秘密処理指定表５００、および実行ＩＤ表８００の具体的な構成例については後述する。
【００２４】
なお、上述の監視サーバ１３０は、ネットワーク１４０を介して結ばれた異常検知サーバ１２０と、通信を行う通信部１３１を少なくとも備えている。
−−−ハードウェア構成の例−−−
【００２５】
また、セキュリティインシデント検知システム１００を構成する各装置のハードウェア構成は以下の如くとなる。図２は第１実施形態のセキュリティインシデント検知システム１００を構成する、制御装置１１０、異常検知サーバ１２０、および監視サーバ１３０のハードウェア構成例を示す図である。ここでは説明の簡便化のため、制御装置１１０、異常検知サーバ１２０、および監視サーバ１３０を計算機として記載する。
【００２６】
セキュリティインシデント検知システム１００を構成する計算機は、ＣＰＵ２０１、メモリ２０２、記憶装置２０３、入力装置２０４、出力装置２０５、および通信装置２０６から構成される。
【００２７】
このうち、ＣＰＵ２０１は、記憶装置２０３に保持されるプログラム１０２をメモリ２０２に読み出すなどして実行し装置自体の統括制御を行なうとともに各種判定、演算及び制御処理を行なう演算装置である。また、メモリ２０３は、ＲＡＭなど揮発性記憶素子で構成される主記憶装置であり、記憶装置２０３は、ハードディスクドライブやＳＳＤ（Ｓｏｌｉｄ  Ｓｔａｔｅ  Ｄｒｉｖｅ）など適宜な不揮発性記憶素子で構成される補助記憶装置である。この記憶装置２０３において、秘密処理リスト３００、業務フローＩＤ表４００、個別秘密処理指定表５００、個別秘密処理指定表６００、および実行ＩＤ表８００、らが格納される。
【００２８】
また、入力装置２０４は、ユーザからのキー入力や音声入力を受け付ける装置であり、出力装置２０５は、処理データの表示を行うディスプレイ等の装置である。また、通信装置２０６は、ネットワーク１４０と接続し他装置との通信処理を担うネットワークインターフェイスカード等である。
−−−データ構造例−−−
【００２９】
次に、本実施形態のセキュリティインシデント検知システム１００を構成する装置らが用いるデータの構造例について説明する。図３は、第１実施形態における秘密処理リスト３００の構成例を示す図である。図３にて例示する秘密処理リスト３００は、ＩＤ３０１をキーとして、秘密処理３０２、および検知用情報のデータフォーマット３０３の各値を対応付けたレコードの集合体となっている。この秘密処理リスト３００は、制御装置１１０が通常の業務フローと並行して実行する複数の秘密処理について、ＩＤおよび該当秘密処理の実行結果（検知用情報：秘密処理の情報として異常検知用パケットに含める値）のフォーマットをリスト化したものとである。
【００３０】
第１実施形態では、上述の秘密処理リスト３００が異常検知サーバ１２０から制御装置１１０に配信され、異常検知サーバ１２０および制御装置１１０の各記憶装置にて保存されている。この秘密処理リスト３００は、実際に業務フローが実行されるに先だって異常検知サーバ１２０から制御装置１１０に配信され、制御装置１１０と異常検知サーバ１２０とで同じものを保持しているものとする。
【００３１】
図４は、第１実施形態における業務フローＩＤ表４００の構成例を示す図である。図４にて例示する業務フローＩＤ表４００は、ＩＤ４０１をキーとして、実行機器４０２の値を対応付けたレコードの集合体となっている。第１実施形態では、セキュリティインシデント検知システム１００において実行される業務フローのＩＤと、各業務フロー過程における部分的な処理を実行する制御装置１１０を処理順にまとめた業務フローＩＤ表を、制御装置１１０の記憶装置１１５および異常検知サーバ１２０の記憶装置１２４に保存する。なお、業務フローＩＤ表４００は、セキュリティインシデント検知システム１００の開発時にあらかじめ制御装置１１０の記憶装置１１５および異常検知サーバ１２０の記憶装置１２４に保存されるものとする。
【００３２】
図５は、第１実施形態における秘密処理指定表５００の構成例を示す図である。図５にて例示する秘密処理指定表５００は、業務フローＩＤ５０３が示す業務フロー毎に設けられるテーブルであり、実行時刻５０１をキーとして、該当時刻に対応して制御装置１１０が行うべき秘密処理のＩＤ５０２の値を対応付けたレコードの集合体となっている。
【００３３】
第１実施形態では、秘密処理リスト３００（図３参照）に記載の秘密処理について、時刻毎に実行すべき秘密処理のＩＤを制御装置１１０ごとに指定した、この秘密処理指定表５００を、異常検知サーバ１２０の秘密情報作成部１２２が作成し、その記憶装置１２４に保存する。また、秘密処理指定表５００における、制御装置１１０ごとの秘密処理のＩＤは、例えば現在時刻をシードとした乱数を用いてランダムに生成するとしてもよいし、予め管理者等によって指定するとしてもよい。
【００３４】
図６は、第１実施形態における個別秘密処理指定表６００の構成例を示す図である。図６にて例示する個別秘密処理指定表６００は、業務フローＩＤ６０３が示す業務フロー毎および制御装置１１０毎に設けられるテーブルであり、実行時刻６０１をキーとして、該当時刻に該当制御装置１１０が実行すべき秘密処理のＩＤ６０２の値を対応付けたレコードの集合体となっている。
【００３５】
第１実施形態では、秘密処理指定表５００（図５参照）を、秘密処理の実行場所となる制御装置ごとにまとめた個別秘密処理指定表６００を、異常検知サーバ１２０の秘密情報作成部１２２が作成して制御装置１１０に配信し、制御装置１１０の記憶装置１１５にて保存される。
【００３６】
ここで、個別秘密処理指定表６００は、上述の秘密情報作成部１２２が、秘密処理指定表５００（図５参照）の作成終了後、この秘密処理指定表５００（図５参照）において指定されている秘密処理ＩＤを、制御装置１１０毎に分離することにより作成する。
【００３７】
図７は、第１実施形態における異常検知用パケット７００のフォーマット例を示す図である。異常検知用パケット７００は、該当秘密処理の実行時刻６０１、実行機器７０２、秘密処理実行時に実行されている業務フローのＩＤ７０３、および検知用情報７０４から構成される。なお、第１実施形態における異常検知用パケット７０では、上述の検知用情報７０４は、制御装置１１０が実行した秘密処理のＩＤであるとする。
【００３８】
また、第１実施形態では、制御装置１１０が個別秘密処理指定表６００（図６参照）に基づいて実行した秘密処理について、その実行時刻、実行機器すなわち秘密処理を実行した制御装置、検知用情報をまとめ、異常検知用パケット７００として異常検知サーバ１２０に送信することとなる。
【００３９】
図８は、第１実施形態における実行ＩＤ表８００の構成例を示す図である。図８にて例示する実行ＩＤ表８００は、異常検知サーバ１２０が制御装置１１０から受信した異常検知用パケット７００を、業務フロー毎および制御装置毎にテーブル化してまとめたものであり、該当秘密処理の実行時刻８０１、実行した秘密処理のＩＤ８０２、実行機器８０４、および業務フローＩＤ８０３の各値から構成される。
【００４０】
第１実施形態において、異常検知サーバ１２０は、制御装置１１０から受信した異常検知用パケット７００（図７参照）に基づき、該当制御装置１１０にて実行された秘密処理のＩＤを、それぞれの実行時刻と発信機器すなわち実行場所となった制御装置を業務フローＩＤごとにまとめた実行ＩＤ表８００を、記憶装置１２４に保存する。なお、この実行ＩＤ表８００は、異常検知サーバ１２０が制御装置１１０１〜１１０３より受信した異常
検知用パケット７００から該当情報を抽出し、随時更新、作成するものとする。
−−−処理手順例１−−−
【００４１】
以下、本実施形態におけるセキュリティインシデント検知方法の実際手順について図に基づき説明する。以下で説明するセキュリティインシデント検知方法に対応する各種動作は、セキュリティインシデント検知システム１００を構成する各装置がそのメモリ２０２等に読み出して実行するプログラムによって実現される。そして、このプログラムは、以下に説明される各種の動作を行うためのコードから構成されている。
【００４２】
図９は、本実施形態におけるセキュリティインシデント検知方法の処理手順例１を示すフロー図である。ここではまず、異常検知サーバ１２０の秘密情報作成部１２２が、上述の秘密処理リスト３００に基づき、各秘密処理の識別情報を１分など所定の時間間隔の時刻情報ごとに割り当てることで、上述の秘密処理指定表５００を生成し、この秘密処理指定表５００から、各制御装置１１０１〜１１０３の各データを切り出して個別秘密処理指定表６００を生成し、これをそれぞれ対象となる制御装置１１０に向け送信する（Ｓ９０１）。このステップＳ９０１の処理は、秘密処理指定表５００に記載されている実行時刻５０１の範囲を経過する毎に実施するとすれば好適である。一方、異常検知サーバ１２０から上述の個別秘密処理指定表６００を受信した制御装置１１０１〜１１０３は、自身の記憶装置１１５１〜１１５３に保存する。
【００４３】
続いて、制御装置１１０のうち制御装置１１０１が、制御装置１１０２に向けてログイン認証要求を送信すると共に、記憶装置１１５１の個別秘密処理指定表６００を参照し、現在時刻と同一または最寄りの時刻に関して指定された秘密処理を特定して実行して、異常検知用パケット７００を作成し、これを異常検知サーバ１２０に送信する（Ｓ９０２）。ここで示したステップＳ９０２の詳細については、図１０において詳細に説明する。
【００４４】
次に、上述の制御装置１１０１よりログイン認証要求を受け取った制御装置１１０２の業務処理部１１２１が、制御装置１１０１に関する所定の認証処理を行い、この認証が成功した場合はログインを許可し、制御装置１１０１に許可通知を送信すると共に、ステップＳ９０２同様、現在時刻と同一または最寄りの時刻に関して指定された秘密処理を個別秘密処理指定表６００にて特定して実行して、異常検知用パケット７００を作成し、これを異常検知サーバ１２０に送信する（Ｓ９０３）。
【００４５】
次に、制御装置１１０１が制御装置１１０２にログインした上で、制御装置１１０３へのプログラムインプット要求およびプログラムを送信すると共に、ステップＳ９０２、Ｓ９０３同様、現在時刻と同一または最寄りの時刻に関して指定された秘密処理を個別秘密処理指定表６００にて特定して実行して、異常検知用パケット７００を作成し、これを異常検知サーバ１２０に送信する（Ｓ９０４）。
【００４６】
続いて、制御装置１１０２が制御装置１１０３へプログラムインプットのモード設定要求を送信すると共に、ステップＳ９０２、Ｓ９０３、Ｓ９０４同様、現在時刻と同一または最寄りの時刻に関して指定された秘密処理を個別秘密処理指定表６００にて特定して実行して、異常検知用パケット７００を作成し、これを異常検知サーバ１２０に送信する（Ｓ９０５）。
【００４７】
次に、制御装置１１０３は、プログラムインプットのモード設定を行い、この完了通知を制御装置１１０２へ送信すると共に、ステップＳ９０２、Ｓ９０３、Ｓ９０４、Ｓ９０５同様、現在時刻と同一または最寄りの時刻に関して指定された秘密処理を個別秘密処理指定表６００にて特定して実行して、異常検知用パケット７００を作成し、これを異常検知サーバ１２０に送信する（Ｓ９０６）。
【００４８】
続いて、制御装置１１０２は、インプットするプログラムを制御装置１１０３へ送信すると共に、ステップＳ９０２、Ｓ９０３、Ｓ９０４、Ｓ９０５、Ｓ９０６同様、現在時刻と同一または最寄りの時刻に関して指定された秘密処理を個別秘密処理指定表６００にて特定して実行して、異常検知用パケット７００を作成し、これを異常検知サーバ１２０に送信する（Ｓ９０７）。
【００４９】
次に、制御装置１１０３は、受信したプログラムをインプットし、この完了通知を制御装置１１０２へ送信すると共に、ステップＳ９０２、Ｓ９０３、Ｓ９０４、Ｓ９０５、Ｓ９０６、Ｓ９０７同様、現在時刻と同一または最寄りの時刻に関して指定された秘密処理を個別秘密処理指定表６００にて特定して実行して、異常検知用パケット７００を作成し、これを異常検知サーバ１２０に送信する（Ｓ９０８）。
【００５０】
続いて制御装置１１０２は、制御装置１１０３のプログラムインプット完了通知を制御装置１１０１へ送信すると共に、ステップＳ９０２、Ｓ９０３、Ｓ９０４、Ｓ９０５、Ｓ９０６、Ｓ９０７、Ｓ９０８同様、現在時刻と同一または最寄りの時刻に関して指定された秘密処理を個別秘密処理指定表６００にて特定して実行して、異常検知用パケット７００を作成し、これを異常検知サーバ１２０に送信する（Ｓ９０９）。
【００５１】
次に、制御装置１１０１は、ログアウト通知を制御装置１１０３へ送信すると共に、ステップＳ９０２、Ｓ９０３、Ｓ９０４、Ｓ９０５、Ｓ９０６、Ｓ９０７、Ｓ９０８、Ｓ９０９同様、現在時刻と同一または最寄りの時刻に関して指定された秘密処理を個別秘密処理指定表６００にて特定して実行して、異常検知用パケット７００を作成し、これを異常検知サーバ１２０に送信し、制御装置１１０２からログアウトする（Ｓ９１０）。
【００５２】
続いて制御装置１１０２は、制御装置１１０１からのログアウトを受け付け、制御装置１１０３へ処理の終了通知を送信すると共に、ステップＳ９０２、Ｓ９０３、Ｓ９０４、Ｓ９０５、Ｓ９０６、Ｓ９０７、Ｓ９０８、Ｓ９０９、Ｓ９１０同様、現在時刻と同一または最寄りの時刻に関して指定された秘密処理を個別秘密処理指定表６００にて特定して実行して、異常検知用パケット７００を作成し、これを異常検知サーバ１２０に送信する（Ｓ９１１）。
【００５３】
他方、異常検知サーバ１２０の異常検知部は、上述のステップＳ９０２、Ｓ９０３、Ｓ９０４、Ｓ９０５、Ｓ９０６、Ｓ９０７、Ｓ９０８、Ｓ９０９、およびＳ９１０に応じて、制御装置１１０１、１１０２、１１０３より受信した異常検知用パケット７００に基づき、該当制御装置１１０にて実行された秘密処理のＩＤを、それぞれの実行時刻と発信機器すなわち実行場所となった制御装置を業務フローＩＤごとにまとめて実行ＩＤ表８００を生成、更新し、記憶装置１２４に保存する（Ｓ９１２１〜Ｓ９１２９）。
【００５４】
その後、異常検知サーバ１２０は、上述のステップＳ９１２１〜Ｓ９１２９で生成、更新した実行ＩＤ表８００と、秘密処理指定表５００とを照合し、その差異を確認することにより、秘密処理指定表５００が示すスケジュールの規定通りに該当秘密処理が実行されていない状況を特定し、該当制御装置１１０における異常実行を検知する（Ｓ９１３）。
【００５５】
このステップＳ９１３により、該当業務フローにおける異常実行を検知した場合（Ｓ９１３：異常あり）、異常検知サーバ１２０の異常検知部１２３は、ネットワーク１４０を介して監視サーバ１３０に異常報告を行う（Ｓ９１３）。こうしたステップＳ９１２、Ｓ９１３の処理詳細は後述（図１１）する。他方、上述のステップＳ９１３により、該当業務フローにおける異常実行が検知出来なかった場合（Ｓ９１３：異常なし）、異常検知サーバ１２０の異常検知部１２３は当該フローを終了する。
【００５６】
なお、異常検知サーバ１２０の異常検知部は、上述のステップＳ９０２からＳ９１１において、各制御装置１１０１〜１１０３より受信した異常検知用パケット７００から検知用情報（第１実施形態では秘密処理のＩＤ）を抽出し、この検知用情報によって実行ＩＤ表８００を随時更新する（Ｓ９１２１〜Ｓ９１２９）。
−−−処理手順例２−−−
【００５７】
ここで上述の図９におけるフローのうちステップＳ９０２の処理について、その詳細を説明する。図１０は、第１実施形態のセキュリティインシデント検知方法の手順例２を示すフロー図であり、具体的には図９のフローにおけるＳ９０２のフローチャート詳細例を示す図である。なお、ここでは、ログイン認証要求時の制御装置１１０１のふるまいを例に、秘密処理に関連する制御装置１１０１〜１１０３が行う処理について説明する。
【００５８】
まず、制御装置１１０１における業務処理部１１２１が、認証要求メッセージを出力し、秘密処理実行部１１３１に送信する（Ｓ１００１）。一方、上述の認証要求メッセージを受けた秘密処理実行部１１３１は、例えば制御装置１１０１のＯＳ等から現在時刻の情報を取得する（Ｓ１００２）。
【００５９】
次に、制御装置１１０１の秘密処理実行部１１３１が、業務処理部１１２１からの受信内容（認証要求メッセージ）より、現在実行されている業務フローのＩＤを認識する（Ｓ１００３）。また、秘密処理実行部１１３１は、上述のステップＳ１００３で得た業務フローＩＤを元に、該当業務フローに対応した個別秘密処理指定表６００１を記憶装置１１５１にて参照し、個別秘密処理指定表６００にて指定されている秘密処理の情報を取得する（Ｓ１００４）。
【００６０】
続いてに、制御装置１１０１の秘密処理実行部１１３１は、個別秘密処理指定表６００にて指定された秘密処理のうち、現在時刻と同一または最寄りの時刻に対応する秘密処理を実行し、上述の業務処理部１１２１より受信した認証要求メッセージおよび現在時刻、業務フローＩＤ，検知用情報すなわち秘密処理ＩＤを、検知用パケット作成部１１４１に送信する（Ｓ１００５）。
【００６１】
次に、制御装置１１０１の検知用パケット作成部１１４１は、上述の秘密処理実行部１１３１より受信した、現在時刻、業務フローＩＤ，検知用情報すなわち秘密処理ＩＤおよび自身の機器情報（制御装置１０１１）を、図７にて例示したフォーマットにまとめ、異常検知用パケット７００を作成する（Ｓ１００６）。また、検知用パケット作成部１１４は、認証要求メッセージを通信部１１１１に送信する(Ｓ１００７)。
【００６２】
続いて、制御装置１１０１の通信部１１１１は、上述の検知用パケット作成部１１４から受けた認証要求を、制御装置１１０２に送信し（Ｓ１００８）、送信結果（送信した旨）を検知用パケット作成部１１４１に送信する(Ｓ１００９)。
【００６３】
他方、検知用パケット生成部１１４１は、上述の通信部１１０１から得た送信結果を確認し、上述のステップＳ１００７での送信に失敗したと判断した場合には、認証要求メッセージを通信部１１１１に再度送信する。一方、上述のステップＳ１００７での送信に成功したと判断した場合には、異常検知用パケット７００を通信部１１１１に送信する(Ｓ
１０１０)。
【００６４】
続いて、制御装置１１０１の通信部１１１１は、異常検知用パケット７００を、異常検知サーバ１２０に送信し（Ｓ１０１１）、当該フローを終了する。
−−−処理手順例３−−−
【００６５】
続いて、図９で例示したフローのうちステップＳ９１３、すなわち異常検知用パケット２０の異常検知部１２３の処理についてその詳細を説明する。図１１は第１実施形態のセキュリティインシデント検知方法の手順例３を示すフロー図であり、具体的には、図９のＳ９１３のフローチャート詳細例を示す図である。
【００６６】
この場合まず、異常検知サーバ１２０の異常検知部１２３は、記憶装置１２４より実行ＩＤ表８００を取得する（Ｓ１１０１）。次に、異常検知部１２３は、業務フローＩＤ表４００を記憶装置１２４から取得し、各業務フローで動作すべき制御装置１１０の一覧を取得する（Ｓ１１０２）。
【００６７】
続いて異常検知部１２３は、各業務フローの実行ＩＤ表８００にて制御装置が実行した秘密処理のＩＤが格納されているか検証し、実行ＩＤ表８００に全く秘密処理ＩＤが格納されていない場合（Ｓ１１０３：異常あり）、通信部１１１を経由して、監視サーバ１３０に異常報告を行う（Ｓ１１０３）。他方、実行ＩＤ表８００に何らかの秘密処理ＩＤが格納されていた場合（Ｓ１１０３：異常なし）、異常検知部１２３は処理をステップＳ１１０４に進める。
【００６８】
次に、異常検知部１２３は、実行ＩＤ表８００における実行時刻８０１（例：時分秒の形式）を、記憶装置１２４の秘密処理指定表５００における時刻形式（例：時分の形式）に変換した上で（Ｓ１１０４）、同じ時間帯に同じ制御装置１１０から異なる秘密処理ＩＤを受信している場合は、通信部１１１を経由して監視サーバ１３０に異常報告を行う（Ｓ１１０５）。
【００６９】
例えば、本実施形態における異常検知用パケット７００に記載される実行時刻は、秒単位で観測されるが、秘密処理指定表５００の実行時刻は分単位の記載としている。実行ＩＤ表８００は秒単位のまま異常検知用パケット７００の内容を収集するが、ステップＳ１１０４ではこれを秘密処理指定表５００に合わせ分単位に変換する。このとき、秘密処理指定表５００で規定する１つの時間帯にて実行される秘密処理は１種類であるため、その時間帯に関して所得される複数の異常検知用パケット７００は、同じ秘密処理ＩＤを含んでいることが正常となる。従って、実行ＩＤ表８００にて同じ時刻（分単位）で同じ制御装置１１０から送られた秘密処理ＩＤが異なっている場合は、該当業務フローにて異常実行があったとみなすのである。
【００７０】
次に、異常検知部１２３は、記憶装置１２４から秘密処理指定表５００を取得し（Ｓ１１０６）、この秘密処理指定表５００と実行ＩＤ表８００との差異を特定することにより該当業務フローにおける異常実行を検知する（Ｓ１１０７）。この処理により異常が見つかった場合（Ｓ１１０７：異常あり）、異常検知部１２３は、通信部１１１を経由して監視サーバ１３０に異常報告を行う。他方、上述の処理により異常が見つからなかった場合（Ｓ１１０７：異常なし）、異常検知部１２３は当該フローを終了する。
【００７１】
このステップＳ１１０７の処理は、例えば、図８に例示した実行ＩＤ表８００と、図５に例示した秘密処理指定表５００とを比較して、実際に制御装置１１０２が実行時刻「１０：４７」の時間帯に実行した秘密処理のＩＤは「３」であるが、秘密処理指定表５００にて該当時間帯「１０：４７」に規定されている秘密処理ＩＤは「１」である。つまり、「１０：４７」の時間帯に制御装置１１０２が秘密処理指定表５００に規定されていないふるまい、すなわち正常ではない振る舞いをしていることが特定出来る。よって異常検知部１２３は、この結果を該当業務フローにおける異常実行として監視サーバ１３０に報告する。
＜第２実施形態＞
−−−システム構成の例−−−
【００７２】
第２実施形態では、第１実施形態とは異なり、異常検知用パケットの検知用情報が秘密処理ＩＤではなく秘密処理の実行結果とした場合の構成および処理について示す。図１２は第２実施形態のセキュリティインシデント検知システム１２００の構成例を示す図である。第２実施形態におけるセキュリティインシデント検知システム１２００は、第１実施形態と同様に、制御装置１２１０、異常検知サーバ１２２０、および監視サーバ１３０、を含んで構成されている。なお、制御装置１２１０は複数あってもよいものとし、第２実施形態では、制御装置１２１０１〜１２１０３の３つの制御装置が備わるものとする。以降、第２実施形態での説明では、説明の簡便化のため制御装置１２１０１〜１２１０３を、特段の区別が必要な場合を除き、まとめて制御装置１２１０として説明する。
【００７３】
第２実施形態における制御装置１２１０は、図１で示した第１実施形態の構成要素と同様の構成要素を有するが、検知用パケット作成部１２１４は、上述の異常検知用パケットの送信に際し、秘密処理の実行結果を検知用情報として含めて異常検知用パケットを生成し、これを異常検知サーバ１２２０に送信するものとなる。
【００７４】
一方、異常検知サーバ１２２０は、図１で示した第１実施形態の構成要素に加えて、秘密処理の実行結果と秘密処理ＩＤとの対応付けを行う情報変換部１２２３を有する。この情報変換部１２２３は、制御装置１２１０より受信した異常検知用パケットに含まれる秘密処理の実行結果（実行結果表１４００に格納されたもの）を秘密処理リスト３００に照合し、秘密処理の識別情報に変換し、ここで変換した秘密処理の識別情報と秘密処理指定表５００とを照合して、秘密処理指定表５００の規定通りに秘密処理が実行されていない状況を特定することで、該当制御装置１２１０における異常実行を検知するものとなる。
【００７５】
また、異常検知サーバ１２２０の記憶装置１２２５には、実行結果表１４００（図１４参照）が保存される。また、監視サーバ１３０は、図１で示した第１実施形態の構成要素と同様の構成要素を有する。
−−−データ構造例−−−
【００７６】
ここで第２実施形態における異常検知用パケットの構成例について説明する。図１３は第２実施形態における異常検知用パケット１３００のフォーマット例を示す図である。第２実施形態における異常検知用パケット１３０のフォーマットは、実行時刻１３０１、実行機器１３０２、業務フローＩＤ１３０３、および検知用情報１３０４から構成される。第２実施形態における検知用情報１３０４は、制御装置１２１０における秘密処理の実行結果とする。具体的にこの秘密処理の実行結果とは、秘密処理リスト３００(図３参照)の検知用情報のデータフォーマット３０３に従って出力されたデータである。
【００７７】
第２実施形態では、制御装置１２１０が個別秘密処理指定表６００（図６参照）に基づいて実行した秘密処理について、その実行時刻、実行機器すなわち秘密処理を実行した制御装置１２１０、および検知用情報たる秘密処理の実行結果をまとめ、異常検知用パケット１３００として制御装置１２１０が異常検知サーバ１２０に送信する。
【００７８】
図１４は第２実施形態における実行結果表１４００の構成例を示す図である。第２実施形態における実行結果表１４００は、第１実施形態における実行ＩＤ表８００と同様の構成と意義を備えるものであるが、異なる点は、制御装置にて実行された秘密処理のＩＤではなく実行結果が格納されている点である。こうした実行結果表１４００は、制御装置１２１０での秘密処理の実行時刻１５０１、秘密処理の実行結果１５０２、および業務フローＩＤから構成される。
【００７９】
第２実施形態における異常検知サーバ１２２０は、制御装置１２１０から受信した異常検知用パケット１３００（図１３参照）に基づき、該当制御装置１２１０で実行された秘密処理の実行結果を、実行時刻と実行機器すなわち秘密処理を実行した制御装置ごとにまとめて実行結果表１４００とし、記憶装置１２２５に保存する。なお、この実行結果表１４００は、異常検知サーバ１２２０が制御装置１１０１〜１１０３より受信した異常検知用パケット１３００から情報を抽出し、これに基づいて随時更新、作成するものとする。−−−処理手順の例−−−
【００８０】
第２実施形態における異常検知のフローチャートは、図９に例示した第１実施形態のものと同様である。ただし、制御装置１２１０から異常検知サーバ１２２０に送信される異常検知用パケット１３００には、図１３にて例示した通り、秘密処理リスト３００（図３参照）の検知用情報のデータフォーマット３０３に従った、秘密処理結果を検知用情報として設定されている。
【００８１】
そこで第１実施形態について示した図９のステップＳ９１３を、第２実施形態に対応させて詳細に説明する。図１５は第２実施形態のセキュリティインシデント検知方法の手順例を示すフロー図である。なお、図１１にて第１実施形態に関して示した処理と異なる点について説明するものとする。
【００８２】
この場合まず、異常検知サーバ１２２０の情報変換部１２２３は、記憶装置１２２５より実行結果表１４００を取得する（Ｓ１５０１）。また、異常検知サーバ１２２０の情報変換部１２２３が、記憶装置１２２５の秘密処理リスト３００を取得し、秘密処理リスト３００から秘密処理の実行結果のフォーマット３０３を取得する（Ｓ１５０２）。
【００８３】
次に、異常検知サーバ１２２０の情報変換部１２２３は、上述の実行結果表１４００に含まれる実行結果を、秘密処理実行結果のフォーマット３０３に照合し、該当するフォーマットに対応付けされた秘密処理ＩＤを特定し、実行結果表１４００から実行ＩＤ表８００を作成する（Ｓ１５０３）。例えば、実行結果が「２０１４／１０／５／１２：１０：５０」であった時、これを上述の秘密処理リスト３００における各フォーマット３０３に照合することで、該当するフォーマット「ＹＹＹＹ／ＭＭ／ＤＤ／ｔｔ：ｍｍ：ｓｓ」に対応付けされた秘密処理ＩＤ「１」を特定出来る。こうして得た秘密処理ＩＤで、実行結果表１４００の実行結果の値を置換することで、実行ＩＤ表８００が生成出来る。
【００８４】
続いて、情報変換部１２２３は、異常検知部１２２４へ実行ＩＤ表作成完了通知を送信する（Ｓ１５０４）。これ以降の処理は図１１で既に示したステップＳ１１０１〜Ｓ１１０７と同様である。
＜第３実施形態＞
−−−システム構成例−−−
【００８５】
図１６は第３実施形態のセキュリティインシデント検知システム１６００の構成例を示す図である。第３実施形態のセキュリティインシデント検知システム１６００では、第１および第２実施形態とは異なり、異常検知サーバが構成に含まれない。よって、異常検知サーバの役割を制御装置１６１０らが担うこととなる。第３実施形態における制御装置１６１０は、複数あってもよいものとし、一例として制御装置１６１０１〜１６１０３の３つの制御装置を想定する。以降、当該第３実施形態では、説明の簡便化のため、制御装置１６１０１〜１６１０３を、特段の区別が必要ない場合はまとめて制御装置１６１０と示すものとする。
【００８６】
第３実施形態における制御装置１６１０は、図１で示した第１実施形態の構成要素に加えて、秘密情報作成部１６１５および異常検知部１６１６を有する。また、検知用パケッ
ト作成部１１４に代わり業務用パケット処理部１６１４を有している。
【００８７】
このうち秘密情報作成部１６１５は、記憶装置１６１５に保持する秘密処理リスト３００に基づき、各秘密処理の識別情報を所定の時間間隔の時刻情報ごとに割り当てることで秘密処理指定表５００を生成し、これを記憶装置１６１５に格納する。
【００８８】
また、異常検知部１６１６は、ネットワーク１４０上の他のいずれかの制御装置から業務用パケットを受信して、ここで受信した業務用パケットが含む秘密処理の情報を記憶装置１６１５の実行ＩＤ表８００に格納し、この実行ＩＤ表８００と、秘密処理指定表５００のうち業務用パケットの送信元である制御装置に関するデータとを照合して、該当制御装置に関する規定通りに秘密処理が実行されていない状況を特定することで、業務用パケットの送信元である制御装置における異常実行を検知するものである。
【００８９】
また、検知用パケット作成部１１４に代わる業務用パケット処理部１６１４は、秘密処理指定表５００のうち当該制御装置１６１０に関して規定する各時刻の到来に応じ、該当時刻で実行すべき秘密処理を実行し、実行した秘密処理の情報を含む業務用パケットを生成し、ネットワーク１４０上の他のいずれかの制御装置に送信するものである。
【００９０】
なお、上述の業務用パケット作成部１６１４は、上述の業務用パケットに秘密処理の実行結果を含め、これをネットワーク１４０上の他のいずれかの制御装置に送信するとしてもよい。この業務用パケットを受信する制御装置１６１０は、受信した業務用パケットに含まれる秘密処理の実行結果を、秘密処理リスト３００における各データフォーマット３０３に照合し、該当する秘密処理のＩＤを特定することで秘密処理の識別情報に変換し、変換した秘密処理の識別情報と、秘密処理指定表５００のうち業務用パケットの送信元である制御装置に関するデータとを照合して、該当制御装置に関する規定通りに秘密処理が実行されていない状況を特定することで、業務用パケットの送信元である制御装置における異常実行を検知するとすれば好適である。
【００９１】
また、監視サーバ１３０は、図１で示した第１実施形態の構成要素と同様の構成要素を有する。
−−−データ構成の例−−−
【００９２】
図１７は第３実施形態における業務用パケット１７００のフォーマット例を示す図である。図１７にて例示する業務パケット１７００のフォーマットは、秘密処理および業務フロー中の通常処理を実行した実行機器１７１、該当業務フロー中の業務処理を示す業務用情報１７２、該当業務フローの識別情報たる業務フローＩＤ１７３、該当制御装置で実行した秘密処理の識別情報等である検知用情報１７４、および実行時刻１７５から構成される。なお、第３実施形態では、業務用パケット１７００における検知用情報１７４を、秘密処理ＩＤとする。この検知用情報１７４の値は、該当秘密処理の実行結果であってもよいが、その場合は制御装置１６１０の構成要素に図１２で示した秘密情報変換部１２２３が、そして記憶装置１６１５には実行結果表１４００が保存され、異常検知時に実行結果表１４００を実行ＩＤ表８００に変換する処理が追加されることとなる。こうした実行結果を取り扱う場合の各処理については第２実施例と同様である。
−−−処理手順の例１−−−
【００９３】
図１８は第３実施形態のセキュリティインシデント検知方法の手順例１を示すフロー図である。ここでは、制御装置１６１０１、制御装置１６１０２、および制御装置１６１０３の間で送受信されるパケットを業務用パケットと呼ぶ。
【００９４】
最初に、制御装置１６１０１、制御装置１６１０２、および制御装置１６１０３の各秘
密情報作成部１６１５１、１６１５２、１６１５３が、秘密処理指定表５００を作成し、これを各々の記憶装置１６２０１、記憶装置１６２０２、記憶装置１６２０３に保存する（Ｓ１８００）。本処理は、秘密処理指定表５００に記載されている実行時刻の範囲を経過する毎に実施されるものである。秘密処理指定表５００における、制御装置ごとの秘密処理のＩＤは、例えば現在時刻をシードとした乱数を用いてランダムに生成してもよいし、予め管理者等によって指定してもよい。
【００９５】
ここで作成される秘密処理指定表５００は、制御装置１６１０１、制御装置１６１０２、制御装置１６１０３で同一のものとする。例えば、予め制御装置１６１０１、制御装置１６１０２、制御装置１６１０３で時刻同期を行ったうえ、特定の時刻情報をシードとした乱数を用いると、等しい秘密処理指定表５００が作成できる。但し、この方法に秘密処理指定表５００の作成手法は限定されない。
【００９６】
次に、制御装置１６１０１が、制御装置１６１０２に向けてログイン認証要求を含む業務パケットを送信する（Ｓ１８０１）。ここでの処理の詳細は図１９で説明する。
【００９７】
続いて、制御装置１６１０２が、上述の制御装置１６１０１より受信した業務用パケットの異常を検証し、異常があれば（Ｓ１８０３１：異常あり）、監視サーバ１６３０に異常を報告し（Ｓ１８０２１）、処理を終了する。ここでの処理の詳細は図２０で説明する。
【００９８】
異常検知については、業務用パケットの検知用情報を用い図１１で説明した通りの処理を行う。以降、制御装置１６１０１、制御装置１６１０２、制御装置１６１０３は業務用パケットの受信毎に同様の処理を行うものとする（Ｓ１８０３２、Ｓ１８０２２、Ｓ１８０３３、Ｓ１８０２３、Ｓ１８０３４、Ｓ１８０２４、Ｓ１８０３５、Ｓ１８０２５、Ｓ１８０３６、Ｓ１８０２６）。
【００９９】
次に、制御装置１６１０２が、制御装置１６１０１の認証を行い、認証が成功した場合はログインを許可して制御装置１６１０１に許可通知を送信する（Ｓ１８０４）。続いて制御装置１６１０１が、制御装置１６１０２から、制御装置１６１０３へのプログラムインプット要求およびプログラムを送信する（Ｓ１８０５）。
【０１００】
他方、制御装置１６１０２は、インプットするプログラムを制御装置１６１０３へ送信する（Ｓ１８０６）。次に、制御装置１６１０３は、受信したプログラムをインプットし、この完了通知を制御装置１６１０３へ送信する（Ｓ１８０７）。
【０１０１】
続いて、制御装置１６１０２は、制御装置１６１０３のプログラムインプット完了通知を制御装置１６１０１に送信する（Ｓ１８０８）。
【０１０２】
第１および第２実施形態では、制御装置と異常検知サーバとの間で異常検知用パケットがやりとりされ、異常検知の処理がなされていたが、上述したように、第３実施形態では、制御装置同士で業務パケットをやり取りして、受信した業務パケットの送信元の制御装置における異常実行を検知することとなる。
−−−処理手順の例２−−−
【０１０３】
図１９は第３実施形態のセキュリティインシデント検知方法の手順例２を示すフロー図であり、図１８のフローにおけるステップＳ１８０１の詳細例を示すフロー図である。ここでは、ログイン認証要求時の制御装置１６１０１のふるまいを例に、秘密処理に関連する制御装置１６１０１、制御装置１６１０２、制御装置１６１０３が行う処理について説明する。ここで、フローにおけるステップＳ１００１〜Ｓ１００５は、図１０で説明した
処理内容と同様であり説明は省略する。なお、ステップＳ１００１は業務処理部１６１２１が実行し、ステップＳ１００２〜Ｓ１００５は、秘密処理実行部１６１３１が実行するものとする。
【０１０４】
次に、制御装置１６１０１の業務用パケット処理部１６１４１は、秘密処理実行部１６１３１より受信した認証要求メッセージ、現在時刻、業務フローＩＤ，検知用情報すなわち秘密処理ＩＤおよび自身の機器情報（制御装置１６１０１）を、図１７に示すフォーマットにまとめ、業務用パケットを作成する（Ｓ１９００）。
【０１０５】
続いて業務用パケット処理部１６１４１は、上述のように生成した業務用パケットを通信部１６１１１に送信する（Ｓ１９０１）。一方、通信部１６１１１は、認証要求を制御装置１６１０２に送信する（Ｓ１９０２）。
−−−処理手順の例３−−−
【０１０６】
図２０は第３実施形態のセキュリティインシデント検知方法の手順例３を示すフロー図であり、図１８のステップＳ１８０３の異常検証時のフローチャート詳細例を示す図である。この場合まず、制御装置１６１０２の通信部１６１１２は、制御装置１６１０１から受信した業務用パケットを、業務用パケット処理部１６１４２に送信する（Ｓ２００１）。
【０１０７】
次に、業務用パケット処理部１６１４２が、上述の業務用パケットを異常検知用の情報である実行時刻および実行機器および検知用情報と、業務用情報の２つに分離する（Ｓ２００２）。
【０１０８】
次に、業務用パケット処理部１６１４２が、異常検知部１６１６２に対し、異常検知用の情報である実行時刻および実行機器および検知用情報を送信する（Ｓ２００３）。一方、異常検知部１６１６２は、上述の業務用パケット処理部１６１４２より受信した情報を用いて異常検知を行う（Ｓ２００４）。このステップＳ２００５の詳細は図１１においてステップＳ１１０６〜Ｓ１１０７に関して説明したものと同様である。
【０１０９】
なお、業務用パケットが含む検知用情報１７５が秘密処理の実行結果である場合、第２実施形態と同様に、秘密処理リスト３００を用いた秘密処理ＩＤへの変換と、実行ＩＤ表８００の生成を実行した上で、異常検知を実行するものとする。
【０１１０】
こうした異常検知の結果、異常がない場合（Ｓ２００４：異常なし）、異常検知部１６１６２は、業務用パケット処理部１６１４２へ処理続行の通知を送信し、業務用パケット処理部１６１４２はこれを確認の上、業務用情報を業務処理部１６１２２へ送信する（Ｓ２００５）。
【０１１１】
一方、異常検知の結果、異常があった場合（Ｓ２００４：異常あり）、異常検知部１６１６２は、通信部１６１１２に対し、異常報告を通知し、この通信部１６１１２から監視サーバ１６３０に対する異常報告が実行される（図１８のＳ１８０４以降）。
【０１１２】
以上、本発明を実施するための最良の形態などについて具体的に説明したが、本発明はこれに限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能である。なお、上述の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上述の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（So lid State Drive）等の記録装置、または、Ｉ
Ｃカード、ＳＤカード、ＤＶＤ等の記録媒体に置くことができる。
【０１１３】
また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。
【０１１４】
こうした本実施形態によれば、正常状態のシステムが満たす条件が業務フローの実行毎に変化するため、攻撃者が攻撃時に満たすべきシステムの正常条件を事前に入手することができない。従ってそうした攻撃者が攻撃すなわち異常実行を該当システムにさせるとしても、的確に検知されることとなる。すなわち、システムにおける正常実行になりすました異常実行であっても精度良く検知し、該当システムにおけるセキュリティインシデントの検知が確実なものとなる。
【０１１５】
本明細書の記載により、少なくとも次のことが明らかにされる。すなわち、本実施形態のセキュリティインシデント検知システムにおいて、前記異常検知サーバの演算装置は、記憶装置に保持する秘密処理のリストに基づき、各秘密処理の識別情報を所定の時間間隔の時刻情報ごとに割り当てることで前記実行スケジュールを生成し、前記生成した実行スケジュールの記憶装置への格納と、前記情報処理装置への配信とを更に実行するものであり、前記情報処理装置の演算装置は、前記異常検知サーバから配信された前記実行スケジュールを記憶装置に格納する処理を更に実行するものである、としてもよい。
【０１１６】
これによれば、秘密処理の実行スケジュールの生成、配信が柔軟に実行できるため、例えば、一定時間ごとの実行スケジュールの更新、再配信等も可能となり、正常実行になりすました異常実行の検知を更に精度良く行えることとなる。
【０１１７】
また、本実施形態のセキュリティインシデント検知システムの、前記情報処理装置において、前記演算装置は、前記異常検知用パケットの送信に際し、前記実行した秘密処理の情報と、当該情報処理装置において実行中の業務フローの識別情報とを含む異常検知用パケットを生成して、異常検知サーバに送信するものであり、前記異常検知サーバにおいて、前記記憶装置は、前記秘密処理の実行スケジュールに対し、該当実行スケジュールの適用先である業務フローの識別情報を対応付けて格納しており、前記演算装置は、前記異常実行を検知するに際し、前記情報処理装置より受信した前記異常検知用パケットに含まれる前記業務フローの識別情報に基づき、該当業務フローの識別情報が対応付いている前記実行スケジュールを特定し、該当実行スケジュールと、前記異常検知用パケットが含む前記秘密処理の情報と照合して、前記業務フローに対応した前記実行スケジュールの規定通りに秘密処理が実行されていない状況を特定することで、前記情報処理装置における異常実行を検知するものである、としてもよい。
【０１１８】
これによれば、業務フローに紐付いた秘密処理について、実行スケジュールとマッチしているか判定することが可能となり、正常実行になりすました異常実行の検知を更に精度良く行えることとなる。
【０１１９】
また、本実施形態のセキュリティインシデント検知システムの、前記情報処理装置において、前記演算装置は、前記異常検知用パケットの送信に際し、前記秘密処理の実行結果を含む異常検知用パケットを生成して、異常検知サーバに送信するものであり、前記異常検知サーバにおいて、前記記憶装置は、各秘密処理と該当秘密処理の実行結果のデータフォーマットとを対応付けたリストを更に格納しており、前記演算装置は、前記異常実行を検知するに際し、前記情報処理装置より受信した前記異常検知用パケットに含まれる前記秘密処理の実行結果を記憶装置に格納し、前記格納した秘密処理の実行結果を前記リストに照合して前記秘密処理の識別情報に変換し、前記変換した前記秘密処理の識別情報と前
記実行スケジュールとを照合して、前記実行スケジュールの規定通りに秘密処理が実行されていない状況を特定することで、前記情報処理装置における異常実行を検知するものである、としてもよい。
【０１２０】
これによれば、所謂ふるまい観察や悪意のパケットキャプチャ等により、異常検知用パケットが含む秘密処理の情報を窃取される事態となっても、これにより窃取される情報は、業務処理上の一般的な情報（例：現在時刻等）であり、攻撃者に秘密処理の存在自体を感知される可能性が低くなる。
【０１２１】
また、本実施形態のセキュリティインシデント検知システムにおいて、前記情報処理装置の演算装置は、記憶装置に保持する秘密処理のリストに基づき、各秘密処理の識別情報を所定の時間間隔の時刻情報ごとに割り当てることで前記実行スケジュールを生成し、前記生成した実行スケジュールの記憶装置への格納と、ネットワーク上の他の情報処理装置への配信とを更に実行し、ネットワーク上の他の情報処理装置から配信された前記実行スケジュールを記憶装置に格納する処理を更に実行するものである、としてもよい。
【０１２２】
これによれば、異常検知サーバを含まないセキュリティインシデント検知システムにおいても、インフラ設備等の制御装置といった各種情報処理装置同士でセキュリティインシデント検知を実現可能となる。
【０１２３】
また、本実施形態のセキュリティインシデント検知システムの、前記情報処理装置において、前記記憶装置は、各秘密処理と該当秘密処理の実行結果のデータフォーマットとを対応付けたリストを更に格納しており、前記演算装置は、前記業務用パケットの送信に際し、前記秘密処理の実行結果を含む業務用パケットを生成して、ネットワーク上の他のいずれかの情報処理装置に送信し、前記異常実行を検知するに際し、前記ネットワーク上の他のいずれかの情報処理装置より受信した前記業務用パケットに含まれる前記秘密処理の実行結果を記憶装置に格納し、前記格納した秘密処理の実行結果を前記リストに照合して前記秘密処理の識別情報に変換し、前記変換した前記秘密処理の識別情報と、前記業務用パケットの送信元である情報処理装置に関する前記実行スケジュールとを照合して、前記実行スケジュールの規定通りに秘密処理が実行されていない状況を特定することで、前記業務用パケットの送信元である情報処理装置における異常実行を検知するものである、としてもよい。
【０１２４】
これによれば、情報処理装置のみで構成されるセキュリティインシデント検知システムにおいても、所謂ふるまい観察や悪意のパケットキャプチャ等により、異常検知用パケットが含む秘密処理の情報を窃取される事態となっても、これにより窃取される情報は、業務処理上の一般的な情報（例：現在時刻等）であり、攻撃者に秘密処理の存在自体を感知される可能性が低くなる。
【０１２５】
また、本実施形態のセキュリティインシデント検知方法において、前記異常検知サーバが、記憶装置に保持する秘密処理のリストに基づき、各秘密処理の識別情報を所定の時間間隔の時刻情報ごとに割り当てることで前記実行スケジュールを生成し、前記生成した実行スケジュールの記憶装置への格納と、前記情報処理装置への配信とを更に実行し、前記情報処理装置が、前記異常検知サーバから配信された前記実行スケジュールを記憶装置に格納する処理を更に実行する、としてもよい。
【０１２６】
また、本実施形態のセキュリティインシデント検知方法において、前記情報処理装置が、前記異常検知用パケットの送信に際し、前記実行した秘密処理の情報と、当該情報処理装置において実行中の業務フローの識別情報とを含む異常検知用パケットを生成して、異常検知サーバに送信し、前記異常検知サーバが、前記記憶装置において、前記秘密処理の
実行スケジュールに対し、該当実行スケジュールの適用先である業務フローの識別情報を対応付けて格納しており、前記異常実行を検知するに際し、前記情報処理装置より受信した前記異常検知用パケットに含まれる前記業務フローの識別情報に基づき、該当業務フローの識別情報が対応付いている前記実行スケジュールを特定し、該当実行スケジュールと、前記異常検知用パケットが含む前記秘密処理の情報と照合して、前記業務フローに対応した前記実行スケジュールの規定通りに秘密処理が実行されていない状況を特定することで、前記情報処理装置における異常実行を検知する、としてもよい。
【０１２７】
また、本実施形態のセキュリティインシデント検知方法において、前記情報処理装置が、前記異常検知用パケットの送信に際し、前記秘密処理の実行結果を含む異常検知用パケットを生成して、異常検知サーバに送信し、前記異常検知サーバが、前記記憶装置において、各秘密処理と該当秘密処理の実行結果のデータフォーマットとを対応付けたリストを更に格納しており、前記異常実行を検知するに際し、前記情報処理装置より受信した前記異常検知用パケットに含まれる前記秘密処理の実行結果を記憶装置に格納し、前記格納した秘密処理の実行結果を前記リストに照合して前記秘密処理の識別情報に変換し、前記変換した前記秘密処理の識別情報と前記実行スケジュールとを照合して、前記実行スケジュールの規定通りに秘密処理が実行されていない状況を特定することで、前記情報処理装置における異常実行を検知する、としてもよい。
【０１２８】
また、本実施形態のセキュリティインシデント検知方法において、前記情報処理装置が、記憶装置に保持する秘密処理のリストに基づき、各秘密処理の識別情報を所定の時間間隔の時刻情報ごとに割り当てることで前記実行スケジュールを生成し、前記生成した実行スケジュールの記憶装置への格納と、ネットワーク上の他の情報処理装置への配信とを更に実行し、ネットワーク上の他の情報処理装置から配信された前記実行スケジュールを記憶装置に格納する処理を更に実行する、としてもよい。
【０１２９】
また、本実施形態のセキュリティインシデント検知方法において、前記情報処理装置が、前記記憶装置において、各秘密処理と該当秘密処理の実行結果のデータフォーマットとを対応付けたリストを更に格納しており、前記業務用パケットの送信に際し、前記秘密処理の実行結果を含む業務用パケットを生成して、ネットワーク上の他のいずれかの情報処理装置に送信し、前記異常実行を検知するに際し、前記ネットワーク上の他のいずれかの情報処理装置より受信した前記業務用パケットに含まれる前記秘密処理の実行結果を記憶装置に格納し、前記格納した秘密処理の実行結果を前記リストに照合して前記秘密処理の識別情報に変換し、前記変換した前記秘密処理の識別情報と、前記業務用パケットの送信元である情報処理装置に関する前記実行スケジュールとを照合して、前記実行スケジュールの規定通りに秘密処理が実行されていない状況を特定することで、前記業務用パケットの送信元である情報処理装置における異常実行を検知する、としてもよい。
【符号の説明】
【０１３０】
１００  セキュリティインシデント検知システム
１１０  制御装置
１１１  通信部
１１２  業務処理部
１１３  秘密処理実行部
１１４  検知用パケット作成部
１１５  記憶装置
１２０  異常検知サーバ
１２１  通信部
１２２  秘密情報作成部
１２３  異常検知部
１２４  記憶装置
１３０  監視サーバ
１３１  通信部
１４０  ネットワーク
２０１  ＣＰＵ（演算装置）
２０２  メモリ
２０３  ＨＤＤ（記憶装置）
２０４  入力装置
２０５  出力装置
２０６  通信装置
３００  秘密処理リスト
４００  業務フローＩＤ表
５００  秘密処理指定表
６００  個別秘密処理指定表
７００  異常検知用パケット
８００  実行ＩＤ表
【図１】
2016139232.tif 000003
【図２】
2016139232.tif 000004
【図９】
2016139232.tif 000005
【図１０】
2016139232.tif 000006
【図１１】
2016139232.tif 000007
【図１２】
2016139232.tif 000008
【図１５】
2016139232.tif 000009
【図１６】
2016139232.tif 000010
【図１８】
2016139232.tif 000011
【図１９】
2016139232.tif 000012
【図２０】
2016139232.tif 000013
【図３】
2016139232.tif 000014
【図４】
2016139232.tif 000015
【図５】
2016139232.tif 000016
【図６】
2016139232.tif 000017
【図７】
2016139232.tif 000018
【図８】
2016139232.tif 000019
【図１３】
2016139232.tif 000020
【図１４】
2016139232.tif 000021
【図１７】
2016139232.tif 000022