Deprecated: The each() function is deprecated. This message will be suppressed on further calls in /home/zhenxiangba/zhenxiangba.com/public_html/phproxy-improved-master/index.php on line 456
JP6835526B2 - Unauthorized access monitoring device and method - Google Patents
[go: Go Back, main page]

JP6835526B2 - Unauthorized access monitoring device and method - Google Patents

Unauthorized access monitoring device and method Download PDF

Info

Publication number
JP6835526B2
JP6835526B2 JP2016202292A JP2016202292A JP6835526B2 JP 6835526 B2 JP6835526 B2 JP 6835526B2 JP 2016202292 A JP2016202292 A JP 2016202292A JP 2016202292 A JP2016202292 A JP 2016202292A JP 6835526 B2 JP6835526 B2 JP 6835526B2
Authority
JP
Japan
Prior art keywords
command
monitoring
unauthorized access
unauthorized
equipment
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2016202292A
Other languages
Japanese (ja)
Other versions
JP2018063618A (en
Inventor
貴彦 太田
貴彦 太田
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Azbil Corp
Original Assignee
Azbil Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Azbil Corp filed Critical Azbil Corp
Priority to JP2016202292A priority Critical patent/JP6835526B2/en
Publication of JP2018063618A publication Critical patent/JP2018063618A/en
Application granted granted Critical
Publication of JP6835526B2 publication Critical patent/JP6835526B2/en
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Landscapes

  • Data Exchanges In Wide-Area Networks (AREA)
  • Small-Scale Networks (AREA)
  • Computer And Data Communications (AREA)

Description

本発明は、通信機器に対する不正機器からの不正アクセスを検知するための不正アクセス監視技術に関する。 The present invention relates to an unauthorized access monitoring technique for detecting unauthorized access from an unauthorized device to a communication device.

従来、ビル建物に設置されている各種設備を関する設備管理システムとして、ＢＡＣｎｅｔ（Building Automation and Control Networking protocol：登録商標）と呼ばれるインテリジェントビル用ネットワークのための通信プロトコル規格を利用した、いわゆるＢＡＣｎｅｔシステムが普及しつつある。 Conventionally, as a facility management system related to various facilities installed in a building, a so-called BACnet system using a communication protocol standard for an intelligent building network called BACnet (Building Automation and Control Networking protocol: registered trademark) has been used. It is becoming popular.

特開２００７−１９９７９８号公報JP-A-2007-199798

このようなＢＡＣｎｅｔシステムは、元々クローズドな環境に適用されていたため、これまであまり重要視されていなかったが、近年、ＩＯＴや他システムとの連携が進みつつあり、外部からアクセス可能なオープンな環境に変わりつつある。このため、悪意のある者が、不正アクセスしてＢＡＣｎｅｔシステムに接続できた場合、ＢＡＣｎｅｔシステム内の各種機器が様々に不正操作される可能性があるという問題点があった。 Since such a BACnet system was originally applied to a closed environment, it has not been given much importance until now, but in recent years, cooperation with IOT and other systems has been progressing, and an open environment accessible from the outside. Is changing to. Therefore, if a malicious person can illegally access and connect to the BACnet system, there is a problem that various devices in the BACnet system may be illegally operated.

本発明はこのような課題を解決するためのものであり、外部からの不正アクセスを的確に検知できる不正アクセス監視技術を提供することを目的としている。 The present invention is for solving such a problem, and an object of the present invention is to provide an unauthorized access monitoring technique capable of accurately detecting unauthorized access from the outside.

このような目的を達成するために、本発明にかかる不正アクセス監視装置は、通信回線に接続されている各設備機器に対する不正機器からの不正アクセスを検知する不正アクセス監視装置であって、前記設備機器は、前記設備機器のシステム接続情報を問い合わせるための問い合わせコマンドに対して、前記設備機器のシステム接続情報を含む応答コマンドを送信する機能を有し、前記通信回線を監視して、前記設備機器に対する前記問い合わせコマンドを検知するコマンド監視部と、前記問い合わせコマンドの検知に応じて、前記問い合わせコマンドの送信元である監視対象機器に対して、前記システム接続情報を問い合わせるための問い合わせコマンドを返信する不正アクセス判定部とを備え、前記不正アクセス判定部は、前記問い合わせコマンドの返信から一定の監視時間が経過するまでに前記監視対象機器から前記応答コマンドが返信された否か監視し、前記監視時間内に前記応答コマンドの返信がなかった場合、前記監視対象機器を不正機器として判定するようにしたものである。 In order to achieve such an object, the unauthorized access monitoring device according to the present invention is an unauthorized access monitoring device that detects unauthorized access from an unauthorized device to each facility device connected to a communication line, and is described above. equipment to the equipment inquiry command for inquiring the system connection information of the apparatus has a function to transmit a response command including the system connection information of the equipment, to monitor the communication line, said equipment a command monitoring unit for detecting the inquiry command for, in response to detection of the inquiry command, the monitoring target device that is the transmission source of the inquiry command, illegal to return the inquiry command for inquiring the system connection information and an access determination unit, the unauthorized access determination unit, said response command from the monitoring target device until the query command a certain monitoring time from reply has elapsed monitors whether sent back, within the monitoring time If the response command is not returned to the user, the monitored device is determined as an unauthorized device.

また、本発明にかかる上記不正アクセス監視装置の一構成例は、前記不正アクセス判定部が、前記監視時間内に前記応答コマンドの返信があった場合、接続許可機器のシステム接続情報が予め登録されている接続許可リストを参照し、前記応答コマンドに含まれる前記監視対象機器のシステム接続情報が前記接続許可リストに登録されていない場合、前記監視対象機器を不正機器として判定するようにしたものである。 Further, in one configuration example of the unauthorized access monitoring device according to the present invention, when the unauthorized access determination unit receives a reply of the response command within the monitoring time, the system connection information of the connection permitted device is registered in advance. If the system connection information of the monitored device included in the response command is not registered in the connection permission list, the monitored device is determined as an unauthorized device. is there.

また、本発明にかかる上記不正アクセス監視装置の一構成例は、前記コマンド監視部が、一定の計数時間内に前記設備機器がやり取りする前記問い合わせコマンド、および／または前記応答コマンドに関するコマンド数を監視し、前記不正アクセス判定部は、前記監視時間内に前記応答コマンドの返信があった場合、前記コマンド数が規定のしきい値より増加している場合には、前記監視対象機器を不正機器として判定するようにしたものである。 Further, in one configuration example of the unauthorized access monitoring device according to the present invention, the command monitoring unit monitors the number of commands related to the inquiry command and / or the response command exchanged by the equipment within a certain counting time. Then, when the response command is returned within the monitoring time and the number of commands is increased from the specified threshold value, the unauthorized access determination unit regards the monitored device as an unauthorized device. It is designed to be judged.

また、本発明にかかる不正アクセス監視方法は、通信回線に接続されている各設備機器に対する不正機器からの不正アクセスを検知する不正アクセス監視装置において実行される不正アクセス監視方法であって、前記設備機器は、前記設備機器のシステム接続情報を問い合わせるための問い合わせコマンドに対して、前記設備機器のシステム接続情報を含む応答コマンドを送信する機能を有し、前記不正アクセス監視装置は、コマンド監視部と不正アクセス判定部とを備え、前記コマンド監視部が、前記通信回線を監視して、前記設備機器に対する前記問い合わせコマンドを検知するコマンド監視ステップと、前記不正アクセス判定部が、前記問い合わせコマンドの検知に応じて、前記問い合わせコマンドの送信元である監視対象機器に対して、前記システム接続情報を問い合わせるための問い合わせコマンドを返信する不正アクセス判定ステップとを備え、前記不正アクセス判定ステップは、前記問い合わせコマンドの返信から一定の監視時間が経過するまでに前記監視対象機器から前記応答コマンドが返信された否か監視し、前記監視時間内に前記応答コマンドの返信がなかった場合、前記監視対象機器を不正機器として判定するようにしたものである。 Further, the unauthorized access monitoring method according to the present invention is an unauthorized access monitoring method executed by an unauthorized access monitoring device that detects unauthorized access from an unauthorized device to each equipment connected to a communication line, and is the above-mentioned equipment. The device has a function of transmitting a response command including the system connection information of the equipment in response to an inquiry command for inquiring the system connection information of the equipment, and the unauthorized access monitoring device includes a command monitoring unit. and a fraudulent access determination unit, the command monitoring part monitors the communication line, a command monitoring step of detecting said inquiry command to said equipment, the unauthorized access determination unit, the detection of the inquiry command Correspondingly, the unauthorized access determination step for returning an inquiry command for inquiring the system connection information to the monitored device which is the transmission source of the inquiry command is provided, and the unauthorized access determination step is the inquiry command. If the response command from the monitoring target device until a predetermined monitoring time from the reply has elapsed monitors whether sent back, said there is no reply response command within the monitoring time, unauthorized apparatus the monitoring target device It is determined as.

また、本発明にかかる上記不正アクセス監視方法は、前記不正アクセス判定ステップが、前記監視時間内に前記応答コマンドの返信があった場合、接続許可機器のシステム接続情報が予め登録されている接続許可リストを参照し、前記応答コマンドに含まれる前記監視対象機器のシステム接続情報が前記接続許可リストに登録されていない場合、前記監視対象機器を不正機器として判定するようにしたものである。 Further, in the above-mentioned unauthorized access monitoring method according to the present invention, when the unauthorized access determination step receives a reply of the response command within the monitoring time, the connection permission in which the system connection information of the connection-permitted device is registered in advance. When the system connection information of the monitored device included in the response command is not registered in the connection permission list, the monitored device is determined as an unauthorized device by referring to the list.

また、本発明にかかる上記不正アクセス監視方法は、前記コマンド監視ステップが、一定の計数時間内に前記設備機器がやり取りする前記問い合わせコマンド、および／または前記応答コマンドに関するコマンド数を監視し、前記不正アクセス判定ステップは、前記監視時間内に前記応答コマンドの返信があった場合、前記コマンド数が規定のしきい値より増加している場合には、前記監視対象機器を不正機器として判定するようにしたものである。 Further, in the unauthorized access monitoring method according to the present invention, the command monitoring step monitors the number of commands related to the inquiry command and / or the response command exchanged by the equipment within a certain counting time, and the unauthorized access is performed. The access determination step determines the monitored device as an unauthorized device when the response command is returned within the monitoring time and the number of commands is larger than the specified threshold value. It was done.

本発明によれば、監視対象機器が不正機器であり、正当なシステム接続情報を持たない場合、不正アクセス判定部からの問い合わせコマンドに対する応答コマンドを、一定の監視時間が経過するまでの間に監視対象機器から返信されない。このため、このような監視対象機器は不正機器として判定されることになり、結果として、外部からの不正アクセスを的確に検知することが可能となる。 According to the present invention, when the monitored device is an unauthorized device and does not have valid system connection information, the response command to the inquiry command from the unauthorized access determination unit is monitored until a certain monitoring time elapses. No reply from the target device. Therefore, such a monitored device is determined as an unauthorized device, and as a result, unauthorized access from the outside can be accurately detected.

不正アクセス監視装置の構成を示すブロック図である。It is a block diagram which shows the structure of an unauthorized access monitoring device. 不正アクセス監視動作を示すシーケンス図である。It is a sequence diagram which shows the unauthorized access monitoring operation.

次に、本発明の実施の形態について図面を参照して説明する。
［第１の実施の形態］
まず、図１を参照して、本発明の第１の実施の形態にかかる不正アクセス監視装置１０について説明する。図１は、不正アクセス監視装置の構成を示すブロック図である。 Next, an embodiment of the present invention will be described with reference to the drawings.
[First Embodiment]
First, the unauthorized access monitoring device 10 according to the first embodiment of the present invention will be described with reference to FIG. FIG. 1 is a block diagram showing a configuration of an unauthorized access monitoring device.

この不正アクセス監視装置１０は、ＢＡＣｎｅｔシステムなどの設備管理システム１に接続されて、不正機器３０から設備管理システム１の各設備機器２０に対する不正アクセスを検知する機能を有している。
設備機器２０は、設備管理システム１を構成する中央監視装置（Ｂ−ＯＷＳ：BACnet Operator Workstation）、コントローラ、フィールド機器などの各種の機器装置からなる。フィールド機器の具体例としては、空調器、ファン、温度センサ、アクチュエータ、防犯カメラ、防犯センサ、セキュリティーロック、警報器、ブレーカー、電流計、電圧計、照明装置、防火シャッタ等がある。 The unauthorized access monitoring device 10 is connected to a facility management system 1 such as a BACnet system, and has a function of detecting unauthorized access from the unauthorized device 30 to each facility device 20 of the facility management system 1.
The equipment 20 is composed of various equipment such as a central monitoring device (B-OWS: BACnet Operator Workstation), a controller, and a field device that constitute the equipment management system 1. Specific examples of field equipment include air conditioners, fans, temperature sensors, actuators, security cameras, security sensors, security locks, alarms, breakers, ammeters, voltmeters, lighting devices, fire shutters, and the like.

不正アクセス監視装置１０には、主な機能部として、通信Ｉ／Ｆ部１１、接続許可リスト記憶部１２、コマンド監視部１３、および不正アクセス判定部１４が設けられている。 The unauthorized access monitoring device 10 is provided with a communication I / F unit 11, a connection permission list storage unit 12, a command monitoring unit 13, and an unauthorized access determination unit 14 as main functional units.

通信Ｉ／Ｆ部１１は、各設備機器２０が接続されている通信回線Ｌを介してこれら設備機器２０、不正機器３０、その他の外部装置（図示せず）との間で各種コマンドを送受信する機能を有している。
接続許可リスト記憶部１２は、半導体メモリなどの記憶装置からなり、通信回線Ｌに対して接続が許可されている設備機器２０やその他の外部装置などの接続許可機器に関する、ベンダー識別子、デバイスオブジェクト識別子、正規ＭＡＣアドレスなどのシステム接続情報が予め登録されている接続許可リストを記憶する機能を有している。 The communication I / F unit 11 transmits and receives various commands to and from the equipment 20, the unauthorized equipment 30, and other external devices (not shown) via the communication line L to which each equipment 20 is connected. It has a function.
The connection permission list storage unit 12 is composed of a storage device such as a semiconductor memory, and has a vendor identifier and a device object identifier related to the connection permission device such as the equipment device 20 and other external devices that are permitted to connect to the communication line L. It has a function to store a connection permission list in which system connection information such as a regular MAC address is registered in advance.

コマンド監視部１３は、通信回線Ｌから通信Ｉ／Ｆ部１１で受信した各種コマンドを監視して、ＢＡＣｎｅｔシステムにおけるＷｈｏ−ＩｓサービスやＷｈｏ−Ｈａｓサービスなど、設備管理システム１で用いるシステム接続情報を相手機器に問い合わせるための問い合わせコマンドを検知する機能と、一定の計数時間内に各設備機器２０がやり取りする問い合わせコマンド、および／または応答コマンドに関するコマンド数を監視する機能とを有している。 The command monitoring unit 13 monitors various commands received by the communication I / F unit 11 from the communication line L, and obtains system connection information used in the equipment management system 1 such as the Who-Is service and the Who-Has service in the BACnet system. It has a function of detecting an inquiry command for inquiring to the other device, a function of monitoring the number of commands related to the inquiry command and / or the response command exchanged by each equipment 20 within a fixed counting time.

不正アクセス判定部１４は、コマンド監視部１３による問い合わせコマンドの検知に応じて、当該問い合わせコマンドの送信元となる監視対象機器に対して問い合わせコマンドを返信する機能と、当該問い合わせコマンドに対する、例えばＢＡＣｎｅｔシステムにおけるＩ−ａｍコマンドなどの応答コマンドが、当該問い合わせコマンドの返信から一定の監視時間が経過するまでに監視対象機器から返信された否か監視する機能と、監視時間内に返信がなかった場合には監視対象機器を不正機器として判定する機能とを有している。 The unauthorized access determination unit 14 has a function of returning an inquiry command to the monitored device that is the source of the inquiry command in response to the detection of the inquiry command by the command monitoring unit 13, and a BACnet system for the inquiry command, for example. The function to monitor whether the response command such as the I-am command in the above is returned from the monitored device before a certain monitoring time elapses from the reply of the inquiry command, and when there is no reply within the monitoring time. Has a function to judge the monitored device as an unauthorized device.

また、不正アクセス判定部１４は、監視時間内に返信があった場合には接続許可リスト記憶部１２の接続許可リストを参照し、監視対象機器からの応答コマンドで通知されたシステム接続情報に基づいて、監視対象機器が接続許可機器であるか不正機器であるかを判定する機能と、監視時間内に応答コマンドの返信があった場合、コマンド数が規定のしきい値より増加している場合には、監視対象機器を不正機器として判定する機能と、得られた判定結果を、通信Ｉ／Ｆ部１１から通信回線Ｌを介して外部装置へ通知し、あるいは／および、自装置のモニタ画面に表示する機能とを有している。 Further, the unauthorized access determination unit 14 refers to the connection permission list of the connection permission list storage unit 12 when a reply is received within the monitoring time, and is based on the system connection information notified by the response command from the monitored device. The function to determine whether the monitored device is a connection-permitted device or an unauthorized device, and when a response command is returned within the monitoring time, or when the number of commands has increased from the specified threshold value. The function of determining the monitored device as an unauthorized device and the obtained determination result are notified from the communication I / F unit 11 to the external device via the communication line L, or / and the monitor screen of the own device. It has a function to display on.

［第１の実施の形態の動作］
次に、図２を参照して、本実施の形態にかかる不正アクセス監視装置１０の動作について説明する。図２は、不正アクセス監視動作を示すシーケンス図である。 [Operation of the first embodiment]
Next, the operation of the unauthorized access monitoring device 10 according to the present embodiment will be described with reference to FIG. FIG. 2 is a sequence diagram showing an unauthorized access monitoring operation.

通信回線Ｌに接続された不正機器３０は、各設備機器２０に対して不正アクセスする際、これら設備機器２０に対してブロードキャストで問い合わせコマンドを送信する（ステップ１００）。これは、問い合わせコマンドに対する各設備機器２０からの応答コマンドにより、各設備機器２０への不正アクセスに必要となる設備機器２０のシステム接続情報を収集するためである。 When the unauthorized device 30 connected to the communication line L illegally accesses each equipment device 20, it transmits an inquiry command to these equipment devices 20 by broadcasting (step 100). This is to collect the system connection information of the equipment 20 necessary for unauthorized access to each equipment 20 by the response command from each equipment 20 to the inquiry command.

不正アクセス監視装置１０は、コマンド監視部１３により、不正機器３０からの問い合わせコマンドが検知された場合、問い合わせコマンドの送信元である不正機器３０を監視対象機器とし、問い合わせコマンドに対する応答コマンドに代えて、不正アクセス判定部１４から問い合わせコマンドが返信される（ステップ１０１）。 When the command monitoring unit 13 detects an inquiry command from the unauthorized device 30, the unauthorized access monitoring device 10 sets the unauthorized device 30 that is the source of the inquiry command as the monitored device, and replaces the response command to the inquiry command. , An inquiry command is returned from the unauthorized access determination unit 14 (step 101).

不正機器３０は、不正アクセス監視装置１０からの問い合わせコマンドを受信した場合、自己が不正機器３０であるため正当なシステム接続情報を返信できない。
したがって、不正アクセス監視装置１０では、不正アクセス判定部１４により、当該問い合わせコマンドの返信から一定の監視時間が経過するまでに監視対象機器から応答コマンドが返信されたか否かを監視し（ステップ１０２）、監視時間内に返信がなかった場合には（ステップ１０２：ＮＯ）、監視対象機器を不正機器３０として判定する（ステップ１０３）。 When the unauthorized device 30 receives the inquiry command from the unauthorized access monitoring device 10, the unauthorized device 30 cannot return the legitimate system connection information because it is the unauthorized device 30.
Therefore, in the unauthorized access monitoring device 10, the unauthorized access determination unit 14 monitors whether or not a response command is returned from the monitored device before a certain monitoring time elapses from the reply of the inquiry command (step 102). If there is no reply within the monitoring time (step 102: NO), the monitored device is determined as an unauthorized device 30 (step 103).

また、監視時間内に何らかの応答コマンドが監視対象機器から返信された場合（ステップ１１０）、不正アクセス監視装置１０では、不正アクセス判定部１４により、接続許可リスト記憶部１２の接続許可リストを参照し、監視対象機器からの応答コマンドに含まれるシステム接続情報が接続許可リストに登録されているか否か確認する（ステップ１１１）。
ここで、監視対象機器のシステム接続情報が接続許可リストに登録されていない場合（ステップ１１１：ＮＯ）、不正アクセス判定部１４は、監視対象機器が接続許可機器であるか不正機器３０であると判定する（ステップ１１２）。 Further, when some response command is returned from the monitored device within the monitoring time (step 110), the unauthorized access monitoring device 10 refers to the connection permission list of the connection permission list storage unit 12 by the unauthorized access determination unit 14. , Check whether the system connection information included in the response command from the monitored device is registered in the connection permission list (step 111).
Here, when the system connection information of the monitored device is not registered in the connection permission list (step 111: NO), the unauthorized access determination unit 14 determines that the monitored device is a connection permitted device or an unauthorized device 30. Determine (step 112).

［第１の実施の形態の効果］
このように、本実施の形態は、コマンド監視部１３が、通信回線Ｌを監視して、設備機器２０に対する問い合わせコマンドを検知し、不正アクセス判定部１４が、問い合わせコマンドの検知に応じて、問い合わせコマンドの送信元である監視対象機器に対して、問い合わせコマンドを返信し、問い合わせコマンドの返信から一定の監視時間が経過するまでに監視対象機器から応答コマンドが返信された否か監視し、監視時間内に応答コマンドの返信がなかった場合、監視対象機器を不正機器３０として判定するようにしたものである。 [Effect of the first embodiment]
As described above, in the present embodiment, the command monitoring unit 13 monitors the communication line L, detects an inquiry command for the equipment 20, and the unauthorized access determination unit 14 makes an inquiry in response to the detection of the inquiry command. The inquiry command is returned to the monitored device that is the source of the command, and it is monitored whether or not the response command is returned from the monitored device until a certain monitoring time elapses after the reply of the inquiry command. If there is no response command reply within, the monitored device is determined as an unauthorized device 30.

これにより、監視対象機器が不正機器３０であり、正当なシステム接続情報を持たない場合、不正アクセス判定部１４からの問い合わせコマンドに対する応答コマンドを、一定の監視時間が経過するまでの間に監視対象機器から返信されない。このため、このような監視対象機器は不正機器３０として判定されることになり、結果として、外部からの不正アクセスを的確に検知することが可能となる。 As a result, when the monitored device is an unauthorized device 30 and does not have valid system connection information, the response command to the inquiry command from the unauthorized access determination unit 14 is monitored until a certain monitoring time elapses. No reply from the device. Therefore, such a monitored device is determined as an unauthorized device 30, and as a result, unauthorized access from the outside can be accurately detected.

また、本実施の形態において、不正アクセス判定部１４が、監視時間内に応答コマンドの返信があった場合、接続許可機器のシステム接続情報が予め登録されている接続許可リスト記憶部１２の接続許可リストを参照し、応答コマンドに含まれる監視対象機器のシステム接続情報が接続許可リストに登録されていない場合、監視対象機器を不正機器３０として判定するようにしてもよい。 Further, in the present embodiment, when the unauthorized access determination unit 14 replies the response command within the monitoring time, the connection permission of the connection permission list storage unit 12 in which the system connection information of the connection permission device is registered in advance. If the system connection information of the monitored device included in the response command is not registered in the connection permission list by referring to the list, the monitored device may be determined as an unauthorized device 30.

これにより、監視対象機器が不正アクセス判定部１４からの問い合わせコマンドに対して何らかの応答コマンドを監視時間内に返信しても、その応答コマンドに含まれるシステム接続情報は、接続許可機器のシステム接続情報とは異なるものとなる。このため、このような監視対象機器は不正機器３０として判定されることになり、結果として、外部からの不正アクセスを的確に検知することが可能となる。 As a result, even if the monitored device returns some response command to the inquiry command from the unauthorized access determination unit 14 within the monitoring time, the system connection information included in the response command is the system connection information of the connection permitted device. Will be different from. Therefore, such a monitored device is determined as an unauthorized device 30, and as a result, unauthorized access from the outside can be accurately detected.

［第２の実施の形態］
次に、本発明の第２の実施の形態にかかる不正アクセス監視装置１０について説明する。本実施の形態では、通信回線Ｌでやり取りされるコマンド数の変化に基づき不正機器３０かどうか判定する場合について説明する。 [Second Embodiment]
Next, the unauthorized access monitoring device 10 according to the second embodiment of the present invention will be described. In the present embodiment, a case of determining whether or not the device is an unauthorized device 30 based on a change in the number of commands exchanged on the communication line L will be described.

本実施の形態において、コマンド監視部１３は、一定の計数時間内に設備機器がやり取りする問い合わせコマンド、および／または応答コマンドに関するコマンド数を監視する機能を有している。
また、不正アクセス判定部１４は、コマンド数が規定のしきい値より増加している場合には、監視対象機器を不正機器３０と判定する機能を有している。 In the present embodiment, the command monitoring unit 13 has a function of monitoring the number of commands related to inquiry commands and / or response commands exchanged by equipment within a fixed counting time.
Further, the unauthorized access determination unit 14 has a function of determining the monitored device as the unauthorized device 30 when the number of commands is larger than the specified threshold value.

通常、問い合わせコマンドや応答コマンドは、設備機器２０間で周期的にやり取りされている。したがって、一定の計数期間内にやり取りされるコマンド数は、規定のしきい値以下となる。一方、不正機器３０が通信回線Ｌに接続されて設備機器２０に対して問い合わせコマンドを送信した場合、設備機器２０から応答コマンドが返信されて、コマンド数が一時的に上昇して規定のしきい値を超えることになる。このため、このようなコマンド数を監視しておけば、不正機器３０が接続されて不正アクセスが開始されたかどうか判定することができる。 Normally, inquiry commands and response commands are periodically exchanged between the equipment 20. Therefore, the number of commands exchanged within a certain counting period is equal to or less than the specified threshold value. On the other hand, when the unauthorized device 30 is connected to the communication line L and sends an inquiry command to the equipment device 20, a response command is returned from the equipment device 20, and the number of commands temporarily increases to the specified threshold. It will exceed the value. Therefore, by monitoring the number of such commands, it is possible to determine whether or not the unauthorized device 30 is connected and unauthorized access is started.

第１の実施の形態では、不正アクセス監視装置１０から返信した問い合わせコマンドに対する応答コマンドが、監視時間内に監視対象機器から返信された場合、接続許可リストにより不正機器３０かどうか判定する場合を例として説明した。この際、監視時間内に監視対象機器から返信された場合には、本実施の形態を適用して、通信回線Ｌ上のコマンド数の変化に基づき監視対象機器が不正機器３０かどうか判定するようにしてもよい。これにより、接続許可リストを省くことができる。 In the first embodiment, when the response command to the inquiry command returned from the unauthorized access monitoring device 10 is returned from the monitored device within the monitoring time, it is determined by the connection permission list whether or not the unauthorized device 30 is used. Explained as. At this time, if a reply is received from the monitored device within the monitoring time, the present embodiment is applied to determine whether the monitored device is an unauthorized device 30 based on the change in the number of commands on the communication line L. It may be. As a result, the connection permission list can be omitted.

［実施の形態の拡張］
以上、実施形態を参照して本発明を説明したが、本発明は上記実施形態に限定されるものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解しうる様々な変更をすることができる。また、各実施形態については、矛盾しない範囲で任意に組み合わせて実施することができる。 [Extension of Embodiment]
Although the present invention has been described above with reference to the embodiments, the present invention is not limited to the above embodiments. Various changes that can be understood by those skilled in the art can be made to the structure and details of the present invention within the scope of the present invention. In addition, each embodiment can be implemented in any combination within a consistent range.

１…設備管理システム、１０…不正アクセス監視装置、１１…通信Ｉ／Ｆ部、１２…接続許可リスト記憶部、１３…コマンド監視部、１４…不正アクセス判定部、Ｌ…通信回線。 1 ... Equipment management system, 10 ... Unauthorized access monitoring device, 11 ... Communication I / F unit, 12 ... Connection permission list storage unit, 13 ... Command monitoring unit, 14 ... Unauthorized access determination unit, L ... Communication line.

Claims (6)

通信回線に接続されている各設備機器に対する不正機器からの不正アクセスを検知する不正アクセス監視装置であって、
前記設備機器は、前記設備機器のシステム接続情報を問い合わせるための問い合わせコマンドに対して、前記設備機器のシステム接続情報を含む応答コマンドを送信する機能を有し、
前記通信回線を監視して、前記設備機器に対する前記問い合わせコマンドを検知するコマンド監視部と、
前記問い合わせコマンドの検知に応じて、前記問い合わせコマンドの送信元である監視対象機器に対して、前記システム接続情報を問い合わせるための問い合わせコマンドを返信する不正アクセス判定部とを備え、
前記不正アクセス判定部は、前記問い合わせコマンドの返信から一定の監視時間が経過するまでに前記監視対象機器から前記応答コマンドが返信された否か監視し、前記監視時間内に前記応答コマンドの返信がなかった場合、前記監視対象機器を不正機器として判定する
ことを特徴とする不正アクセス監視装置。 An unauthorized access monitoring device that detects unauthorized access from unauthorized equipment to each equipment connected to a communication line.
The equipment has a function of transmitting a response command including the system connection information of the equipment in response to an inquiry command for inquiring the system connection information of the equipment.
Monitoring said communication line, and a command monitoring unit for detecting the inquiry command for the equipment,
It is provided with an unauthorized access determination unit that returns an inquiry command for inquiring the system connection information to the monitored device that is the source of the inquiry command in response to the detection of the inquiry command.
The unauthorized access determination unit, the inquiry command the response command from the monitoring target device until a predetermined monitoring time from the reply has passed the monitors whether sent back, replies the response command within the monitoring time If not, the unauthorized access monitoring device is characterized by determining the monitored device as an unauthorized device. 請求項１に記載の不正アクセス監視装置において、
前記不正アクセス判定部は、前記監視時間内に前記応答コマンドの返信があった場合、接続許可機器のシステム接続情報が予め登録されている接続許可リストを参照し、前記応答コマンドに含まれる前記監視対象機器のシステム接続情報が前記接続許可リストに登録されていない場合、前記監視対象機器を不正機器として判定することを特徴とする不正アクセス監視装置。 In the unauthorized access monitoring device according to claim 1,
When the response command is returned within the monitoring time, the unauthorized access determination unit refers to the connection permission list in which the system connection information of the connection permission device is registered in advance, and the monitoring included in the response command. An unauthorized access monitoring device, characterized in that, when the system connection information of the target device is not registered in the connection permission list, the monitored device is determined as an unauthorized device. 請求項１に記載の不正アクセス監視装置において、
前記コマンド監視部は、一定の計数時間内に前記設備機器がやり取りする前記問い合わせコマンド、および／または前記応答コマンドに関するコマンド数を監視し、
前記不正アクセス判定部は、前記監視時間内に前記応答コマンドの返信があった場合、前記コマンド数が規定のしきい値より増加している場合には、前記監視対象機器を不正機器として判定することを特徴とする不正アクセス監視装置。 In the unauthorized access monitoring device according to claim 1,
The command monitoring unit monitors the number of commands related to the inquiry command and / or the response command exchanged by the equipment within a fixed counting time.
The unauthorized access determination unit determines the monitored device as an unauthorized device when the response command is returned within the monitoring time and the number of commands is larger than the specified threshold value. An unauthorized access monitoring device characterized by this. 通信回線に接続されている各設備機器に対する不正機器からの不正アクセスを検知する不正アクセス監視装置において実行される不正アクセス監視方法であって、
前記不正アクセス監視装置は、コマンド監視部と不正アクセス判定部とを備え、
前記設備機器は、前記設備機器のシステム接続情報を問い合わせるための問い合わせコマンドに対して、前記設備機器のシステム接続情報を含む応答コマンドを送信する機能を有し、
前記コマンド監視部が、前記通信回線を監視して、前記設備機器に対する前記問い合わせコマンドを検知するコマンド監視ステップと、
前記不正アクセス判定部が、前記問い合わせコマンドの検知に応じて、前記問い合わせコマンドの送信元である監視対象機器に対して、前記システム接続情報を問い合わせるための問い合わせコマンドを返信する不正アクセス判定ステップとを備え、
前記不正アクセス判定ステップは、前記問い合わせコマンドの返信から一定の監視時間が経過するまでに前記監視対象機器から前記応答コマンドが返信された否か監視し、前記監視時間内に前記応答コマンドの返信がなかった場合、前記監視対象機器を不正機器として判定する
ことを特徴とする不正アクセス監視方法。 This is an unauthorized access monitoring method executed by an unauthorized access monitoring device that detects unauthorized access from unauthorized equipment to each equipment connected to a communication line.
The unauthorized access monitoring device includes a command monitoring unit and an unauthorized access determination unit.
The equipment has a function of transmitting a response command including the system connection information of the equipment in response to an inquiry command for inquiring the system connection information of the equipment.
Said command monitoring unit monitors the communication line, a command monitoring step of detecting said inquiry command to said equipment,
In response to the detection of the inquiry command , the unauthorized access determination unit returns an inquiry command for inquiring the system connection information to the monitored device that is the source of the inquiry command. Prepare,
The illegal access determining step, the query command the response command from the monitoring target device until a predetermined monitoring time from the reply has passed the monitors whether sent back, replies the response command within the monitoring time An unauthorized access monitoring method, characterized in that, if not, the monitored device is determined as an unauthorized device. 請求項４に記載の不正アクセス監視方法において、
前記不正アクセス判定ステップは、前記監視時間内に前記応答コマンドの返信があった場合、接続許可機器のシステム接続情報が予め登録されている接続許可リストを参照し、前記応答コマンドに含まれる前記監視対象機器のシステム接続情報が前記接続許可リストに登録されていない場合、前記監視対象機器を不正機器として判定することを特徴とする不正アクセス監視方法。 In the unauthorized access monitoring method according to claim 4,
When the response command is returned within the monitoring time, the unauthorized access determination step refers to the connection permission list in which the system connection information of the connection permission device is registered in advance, and the monitoring included in the response command. An unauthorized access monitoring method comprising determining the monitored device as an unauthorized device when the system connection information of the target device is not registered in the connection permission list. 請求項４に記載の不正アクセス監視方法において、
前記コマンド監視ステップは、一定の計数時間内に前記設備機器がやり取りする前記問い合わせコマンド、および／または前記応答コマンドに関するコマンド数を監視し、
前記不正アクセス判定ステップは、前記監視時間内に前記応答コマンドの返信があった場合、前記コマンド数が規定のしきい値より増加している場合には、前記監視対象機器を不正機器として判定することを特徴とする不正アクセス監視方法。 In the unauthorized access monitoring method according to claim 4,
The command monitoring step monitors the number of commands related to the inquiry command and / or the response command exchanged by the equipment within a fixed counting time.
The unauthorized access determination step determines the monitored device as an unauthorized device when the response command is returned within the monitoring time and the number of commands is larger than the specified threshold value. An unauthorized access monitoring method characterized by this.
JP2016202292A 2016-10-14 2016-10-14 Unauthorized access monitoring device and method Active JP6835526B2 (en)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2016202292A JP6835526B2 (en) 2016-10-14 2016-10-14 Unauthorized access monitoring device and method

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2016202292A JP6835526B2 (en) 2016-10-14 2016-10-14 Unauthorized access monitoring device and method

Publications (2)

Publication Number Publication Date
JP2018063618A JP2018063618A (en) 2018-04-19
JP6835526B2 true JP6835526B2 (en) 2021-02-24

Family

ID=61966947

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2016202292A Active JP6835526B2 (en) 2016-10-14 2016-10-14 Unauthorized access monitoring device and method

Country Status (1)

Country Link
JP (1) JP6835526B2 (en)

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003218873A (en) * 2002-01-24 2003-07-31 Fujitsu Ltd Communication monitoring device and monitoring method
JP4670670B2 (en) * 2005-03-23 2011-04-13 パナソニック株式会社 Private branch exchange system
JP5269619B2 (en) * 2009-01-06 2013-08-21 株式会社東芝 Device, method and program for monitoring external device
US20120297457A1 (en) * 2010-11-15 2012-11-22 Brian Schulte Interactive Malware Detector
JP5651615B2 (en) * 2012-02-16 2015-01-14 日立オートモティブシステムズ株式会社 In-vehicle network system
JP2016010089A (en) * 2014-06-26 2016-01-18 株式会社日立製作所 Traffic monitoring system

Also Published As

Publication number Publication date
JP2018063618A (en) 2018-04-19

Similar Documents

Publication Publication Date Title
US10826684B1 (en) System and method of validating Internet of Things (IOT) devices
KR101369727B1 (en) Apparatus and method for controlling traffic based on captcha
KR101885720B1 (en) IOT base remote control system for building equipment available for control air quality of each indoor space
JP2009017562A (en) Method and apparatus for early warning of network equipment
JP6117050B2 (en) Network controller
CN112765679B (en) Sensor data management method, device, system and storage medium
JP6835526B2 (en) Unauthorized access monitoring device and method
US9124581B2 (en) Industrial automation system and method for safeguarding the system
EP3029649B1 (en) System and method for take-over protection for a security system
JP7125317B2 (en) UNAUTHORIZED ACCESS MONITORING DEVICE AND METHOD
US12028708B2 (en) Method and system for authorizing the communication of a network node
US20210037381A1 (en) Method and System for Authorizing the Communication of a Network Node
KR101429178B1 (en) System and method of wireless network security
KR101432039B1 (en) Method for remote monitoring using IP camera
Hattori et al. Function estimation of multiple IoT devices by communication traffic analysis
JP7840951B2 (en) Malware detection method, malware detection device, and program
WO2023282193A1 (en) Malware detection method, malware detection device, and program
US11303677B2 (en) Method and system for managing the operation of a group of several connected objects
JP2018128758A (en) Unauthorized access obstruction device and method
JP2018116451A (en) Equipment management system, equipment apparatus, unauthorized access monitoring device and method
KR101896527B1 (en) Remote housing management system and controlling method threrof
KR102196970B1 (en) Apparatus for inspecting security vulnerability through console connection and method for the same
KR102947989B1 (en) System for automatically performing port-to-device mapping using state changes of power-controllable ports
CN105142231A (en) Wireless network and method
CN112866172A (en) Safety protection method and device, smart home system and computer readable medium

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20190917

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20200716

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20200804

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20200831

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20210126

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20210204

R150 Certificate of patent or registration of utility model

Ref document number: 6835526

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250