JP7756066B2 - 異常通信判別装置、異常通信判別方法および異常通信対処システム - Google Patents

Description

本発明は、異常通信判別装置、異常通信判別方法および異常通信対処システムに係り、特に、業務に関する通信に異常が起こったときに、サイバー攻撃に起因するものか、装置の故障に起因するものかを判別するのに好適な異常通信判別装置、異常通信判別方法および異常通信対処システムに関する。

インターネットが爆発的に普及し、ＰＣやスマートフォンなどのハードウェアが急速に進化する状況において、企業や個人の社会生活にとって、通信はなくてはならないものになってきている。

このような状況において、サイバー攻撃が情報化社会の重要なリスクとして懸念されてきている。サイバー攻撃とは、インターネットなどのネットワークを通じて、サーバやＰＣ、スマートフォンなどのコンピュータに対して、保存されているデータの改ざんや破壊、窃取などを行う行為である。特に、近年のサイバー攻撃は、複雑化・巧妙化により、あらゆる企業が被害に合う可能性のある脅威であり、このようなサイバー攻撃に対処するためのサイバー攻撃対策（サイバーセキュリティ）は、情報システム部門などに限定して取り組むのみならず、経営課題、すなわち企業全体で取り組む必要のある重要な案件となる。

サイバー攻撃対策に関する技術としては、例えば、特許文献１に開示がある。特許文献１に記載された異常要因判定装置は、制御装置を含む制御システム内に設けられており、制御装置の動作状態を示す制御ステートを含む制御ステートデータ（図２、段落[００２１]）を保存し、その制御ステートデータに基づいて、制御システムで発生した異常の要因を、ネットワークを介した攻撃であるか、または機器の故障であるかを判別する（図３、段落[００２４]、[００２５]）。

特開２０１９－２０５１２５号公報

特許文献１に記載された技術は、制御装置の動作状態を示す制御ステートに基づいて、制御システムで発生した異常の要因を、ネットワークを介した攻撃であるか、または機器の故障であるかを判別する方法を開示している。

しかしながら、特許文献１に記載された通信異常の判定においては、制御装置の制御ステートを考慮した異常検知および要因判定を行うとしている（段落[００２４]）。例えば、制御装置が「停止中」の場合であっても、制御装置が通信の起点となる場合には、攻撃の要因は「成りすまし」であり、制御装置が「起動中」の場合であり、かつ、プログラムの書き換えを要求する通信を検知した場合には、不正操作であると判定する（段落 [００２５]）。

そのため、特許文献１に記載された通信異常の判定では、業務の実行において発生する制御通信やセンサ出力等の通信を悪用する攻撃、例えば、特定のターゲットに対して、ＤｏＳ攻撃／ＤＤｏＳ攻撃が行われる場合、異常通信が、サイバー攻撃によるものか、装置の故障によるものかを判定することはできない。

なお、特許文献１には、段落[００２６]には、「分析部１４２は、ネットワークデータに関して異常パターンとのマッチングや正常時との乖離度等を分析することで異常を検知し、異常を検知した場合、その要因が攻撃によるものか故障によるものかを判別してもよい」とあるが、これは通信が正常か異常かを分析するものであり、異常通信が、サイバー攻撃によるものか、装置の故障によるものかを判定するものではない。

本発明の目的は、業務に関する通信に異常が起こったときに、サイバー攻撃に起因するものか、装置の故障に起因するものかを簡易にかつ合理的に判別することができる異常通信判別装置、異常通信判別方法および異常通信対処システムを提供することにある。

本発明の異常通信判別装置の構成は、好ましくは、装置が動作する監視対象システムで検知された異常通信の要因を判別する異常通信判別装置であって、異常通信検知事象ごとに、異常通信がサイバー攻撃によるものか、監視対象システムの装置の故障によるものかを示す判別事象区分を記憶するレコードを格納する事象的特徴テーブルと、異常通信の統計量の成立する条件ごとに、異常通信がサイバー攻撃によるものか、監視対象システムの装置の故障によるものかを示す判別事象区分を記憶するレコードを格納する統計的特徴テーブルとを保持し、前記監視対象システムにおける異常通信検知情報を受信し、受信した異常通信検知情報に基づいて、前記事象的特徴テーブルの異常通信検知情報の該当するレコードの判別事象区分の値が、異常通信がサイバー攻撃によるものか、監視対象システムの装置の故障によるものかの各々の数から、事象的評価値を算出し、受信した異常通信検知情報から異常通信の統計量を算出し、算出した異常通信の統計量に基づいて、前記統計的特徴テーブルの異常通信の統計量の成立する条件があてはまるレコードの異常通信がサイバー攻撃によるものか、監視対象システムの装置の故障によるものかの各々の数から、統計的評価値を算出し、前記事象的評価値と前記統計的評価値とに基づいて、異常通信がサイバー攻撃によるものか、監視対象システムの装置の故障によるものかを示す判別結果評価値を算出し、前記判別結果評価値により異常通信がサイバー攻撃によるものか、監視対象システムの装置の故障によるものかの判別を行う。

本発明によれば、業務に関する通信に異常が起こったときに、サイバー攻撃に起因するものか、装置の故障に起因するものかを簡易にかつ合理的に判別することができる異常通信判別装置、異常通信判別方法および異常通信対処システムを提供することができる。

異常通信対処システムの構成図である。 通信監視装置の機能構成図である。 異常通信判別装置の機能構成図である。 管理者端末の機能構成図である。 異常通信対処装置の機能構成図である。 通信監視装置のハードウェア・ソフトウェア構成図である。 異常通信対処装置のハードウェア・ソフトウェア構成図である。 管理者端末のハードウェア・ソフトウェア構成図である。 異常通信判別装置のハードウェア・ソフトウェア構成図である。 装置情報テーブルの一例を示す図である。 ホワイト通信テーブルの一例を示す図である。 業務情報テーブルの一例を示す図である。 制御情報テーブルの一例を示す図である。 制御コマンドの一例を示す図である。 事象的特徴情報テーブルの一例を示す図である。 統計的特徴情報テーブルの一例を示す図である。 判別結果情報データの一例を示す図である。 異常通信対処情報テーブルの一例を示す図である。 異常通信対処システムの処理を示すシーケンス図である。 異常通信の事象区分判別処理の詳細を示すフローチャートである。 管理者端末が表示する異常通信対処画面の一例を示す図である。

本発明は、ＮＥＤＯが推進する総合科学技術・イノベーション会議の戦略的イノベーション創造プログラム（ＳＩＰ）第２期「ＩｏＴ社会に対応したサイバー・フィジカル・セキュリティ」に関する。

以下、本発明の一実施形態を、図１ないし図１８を用いて説明する。
先ず、図１ないし図６Ｄを用いて一実施形態に係る異常通信対処システムの構成について説明する。

本実施形態の異常通信対処システムは、サイバーフィジカルシステム（Cyber-Physical System）において検知された異常通信に関して、サイバー攻撃に起因する異常と、故障に起因する異常かのいずれかを判別するシステムである。

ここで、サイバーフィジカルシステムとは、現実であるフィジカル世界の情報をサイバー世界であるコンピューターシステム上で収集し、分析したのちにフィジカル世界へ分析結果をフィードバックして活用していくシステムである。本実施形態では、サイバーフィジカルシステムの一例としてセンサから収集した情報を分析して生産を制御する工場ＩｏＴシステムを例に撮り説明する。なお、ＩｏＴ（Internet of Things）とは、様々な「モノ（Things）」がインターネットに接続され、情報交換することにより相互に制御する仕組みをいう。

異常通信対処システム１は、図１に示されるように、監視対象システム５、通信監視装置２０、異常通信対処装置３０、ネットワークスイッチ４０、管理者端末６０、異常通信判別装置１００を含んで構成される。

異常通信対処システム１は、監視対象システム５において通信監視装置２０が検知した異常通信を評価し、評価結果に基づきその異常通信がサイバー攻撃によるものなのか監視対象システム５を構成する装置の故障によるものなのかを判別する機能を有する。なお、異常通信を評価するロジックについては後に詳説する。

監視対象システム５は、ＩｏＴシステムであり、単数あるいは複数のコントローラ６１、単数あるいは複数のアクチュエータ７１、単数あるいは複数のセンサ７２、制御サーバ５０を含む構成である。

監視対象システム５に含まれる装置は、通信ネットワークを介した双方向通信が可能な情報処理装置として機能する。

制御サーバ５０と各コントローラ６１との間は、第１ネットワークＮ１により接続されて各々が通信できるようになっている。また、各コントローラ６１と各アクチュエータ７１、各センサ７２との間は、第２ネットワークＮ２により接続されて各々が通信できるようになっている。第１ネットワークＮ１は、監視対象システム５が産業向けＩｏＴシステムの場合、例えば、通信プロトコルがＭｏｄｂｕｓのような制御ネットワークであり、第２ネットワークＮ２は、例えば、通信プロトコルがＭＱＴＴ（Message Queuing Telemetry Transport）のようなフィールドネットワークである。なお、フィールドネットワークとは、ＦＡ（Factory Automation）業界において、稼働状況などを集約した上位のパソコン/サーバから、装置を制御しているＰＬＣ(Programmable Logic Controller)などのコントローラ、状態を監視するセンサや測定器、位置決めなどに使用するサーボモータなどの駆動機器を接続するネットワークをいう。

制御サーバ５０は、第１ネットワークＮ１を介して監視対象システム５全体の動作を監視する機能を有するサーバ装置である。制御サーバ５０は、サーバ上やコントローラ６１で動作する制御プログラムのロジックの変更・更新を行う機能を含んでもよい。

コントローラ６１は、制御サーバ５０から第１ネットワークＮ１を介して受信した指令コマンドに従って、第２ネットワークＮ２を介して接続されている各アクチュエータ７１、および、各センサ７２を動作させる制御を行う。コントローラ６１は、例えば、制御サーバの命令にしたがってアクチュエータ７１にモータの回転数等、動作の設定値を設定したり、センサ７２が出力する情報を収集したりするＰＬＣ等である。

アクチュエータ７１は、コントローラ６１からの命令に基づき、能動的に物理的運動を行う機械要素である。アクチュエータ７１は、例えば、コントローラ６１からの命令に基づき設定された設定値に従って、バルブ、モータ、または電動機等を実際に動かす機器である。

センサ７２は、温度、流量、もしくは圧力等を計測し、その計測値を出力する装置である。

図１に示されるように、通信監視装置２０、異常通信対処装置３０、管理者端末６０、異常通信判別装置１００は、いずれも管理系ネットワークＮ３を介して、各アクチュエータ７１および各センサ７２と双方向通信が可能な状態で接続している。

第１のネットワークＮ１と第２のネットワークＮ２は、ネットワークスイッチ４０のモニタポート４１ａ、モニタポート４２ａに接続されており、通信監視装置２０は、ネットワークスイッチ４０のミラーポート４１ｂ、ミラーポート４２ｂに接続されていて、ネットワークスイッチ４０は、モニタポート４１ａで受信された第１のネットワークＮ１のパケットをコピー（ミラーリング）し、ミラーポート４１ｂから通信監視装置２０に送信し、モニタポート４２ａで受信された第２のネットワークＮ２の通信パケットをコピーし、ミラーポート４２ｂから通信監視装置２０に送信する。

通信監視装置２０は、ミラーポート４１ｂ、４２ｂを介して、監視対象システム５の第１ネットワークＮ１および第２ネットワークＮ２における通信パケットを収集し、分析することにより、第１ネットワークＮ１と第２ネットワークＮ２における異常通信を検知する。

異常通信対処装置３０は、管理系ネットワークＮ３を介して、監視対象システム５および異常通信判別装置１００と接続され、両者と通信する。異常通信対処装置３０は、監視対象システム５の各装置に対する処理権限を有しており、管理者端末６０から対処命令を受信し、受信した対処命令を、当該対処対象装置が実行または処理可能な制御コマンドまたは制御ロジックプログラムに変換し、変換した制御コマンドまたは制御ロジックプログラムを監視対象システム５の装置（コントローラ６１、アクチュエータ７１、センサ７２）に送信することにより、当該装置に異常通信に対処する処理を実行させる。

異常通信判別装置１００は、通信監視装置２０から受信した異常通信検知情報に対して、異常通信を事象的観点と統計的観点の二つの観点で評価し、その評価結果に基づき、異常通信がサイバー攻撃によるものか装置の故障によるものかを判別して、判別結果を含む判別結果情報を生成して、管理者端末６０に送信する。

管理者端末６０は、管理系ネットワークＮ３を介して、異常通信判別装置１００および異常通信対処装置３０と接続され、両者と通信する。管理者端末６０は、異常通信判別装置１００から受信した異常通信の判別結果に基づき、異常通信の要因に適した対処策と判別結果を管理者２に表示して提示する端末である。また、提示内容に対する運用者の対処策の選択に従い、異常通信に対処情報を異常通信対処装置３０に送信する。

なお、上記の第１ネットワークＮ１、第２ネットワークＮ２、管理系ネットワークＮ３は、例えば、ＬＡＮ（Local Area Network）、インターネットのようなＷＡＮ（Wide Area Network）、または専用線等の有線または無線の通信ネットワークとして構成することができる。

次に、図２ないし図５を用いて異常通信対処システムの各装置の機能構成を説明する。

通信監視装置２０は、監視対象システム５の通信パケットを収集し、分析して異常通信を検知し、異常通信検知情報を異常通信判別装置１００に送信する装置である。

通信監視装置２０は、図２に示されるように、機能構成として、異常通信検知部２１、システム情報管理部２２、異常通信検知情報送信部２３、記憶部２４からなる。

異常通信検知部２１は、ネットワークスイッチ４０のミラーポート４１ｂ、４２ｂをそれぞれから、監視対象システム５の第１ネットワークＮ１および第２ネットワークＮ２に流れる通信パケットを各々収集する。そして、異常通信検知部２１は、収集した通信パケットを分析し、（１）ヘッダ情報（データ送信元の装置およびデータ送信先の装置のＩＰアドレス、通信プロトコル、およびポート番号等）と、ペイロードに含まれる（２）制御コマンドおよび（３）パラメータとを取得する。また、異常通信検知部２１は、制御コマンドに関し、通信数の変化等の（４）統計情報を生成する。

そして、異常通信検知部２１は、後述するシステム情報管理部２２を介してアクセスするシステム情報テーブル類２２０が示す監視対象システム５の仕様と、上記（１）～（４）の分析情報とを比較することにより、監視対象システム５での通信が異常通信であるか否かを判定し、異常通信であると判定した場合には、その異常通信に関する情報を含む異常通信情報を異常通信検知情報送信部２３に送信する。

異常通信は、例えば、特定の回線や装置から通信パケットの送信が異常に多い、装置の動作パラメータが正常の範囲から逸脱しているなどの事象により判定される。

異常通信に関する情報とは、通信の一般的情報、異常通信を検知したという情報と、システムが検知した検知事象の情報である。

異常通信検知情報送信部２３は、受け取った異常通信情報を管理ネットワークＮ３により異常通信判別装置１００に送信する。

記憶部２４は、システム情報テーブル類２２０を保持する機能部である。システム情報テーブル類２２０は、装置情報テーブル２２１、ホワイト通信テーブル２２２、業務情報テーブル２２３、制御情報テーブル２２４がある。なお、システム情報テーブル類２２０の各々の詳細は、後に説明する。

システム情報管理部２２は、記憶部２４に保持されたシステム情報テーブル類２２０のアクセスを行う機能部である。

異常通信判別装置１００は、通信監視装置２０から受信した異常通信情報に基づいて、システムで検知した異常通信を事象的観点と統計的観点の二つの観点で評価し、その評価結果に基づきサイバー攻撃によるものであるかシステムの装置の故障によるものかを判別して、判別結果を含む判別結果情報を生成して管理者端末６０に送信する。

異常通信判別装置１００は、図３に示されるように、機能構成として、異常通信検知情報受信部１２０、事象的評価部１３０、統計的評価部１４０、異常通信区分判別部１５０、対管理者端末通信部１６０、特徴情報管理部１１０、記憶部１７０からなる。

異常通信検知情報受信部１２０は、通信監視装置２０が検知した異常通信検知情報を、管理ネットワークＮ３を介して受信する。

事象的評価部１３０は、特徴情報管理部１１０の機能により事象的特徴情報テーブル１１１を参照し、検知事象に紐付くサイバー攻撃における事象的特徴、および、故障における事象的特徴との一致数から、異常通信がサイバー攻撃によるものかとシステムの装置の故障によるものかを評価する（詳細なロジックは、後述）。

統計的評価部１４０は、特徴情報管理部１１０の機能により統計的特徴情報テーブル１１２を参照し、検知事象に紐付くサイバー攻撃における統計的特徴、および、故障における統計的特徴との一致数から異常通信かサイバー攻撃によるものかとシステムの装置の故障によるものかを評価する（詳細なロジックは、後述）。

異常通信区分判別部１５０は、事象的評価部１３０と統計的評価部１４０の評価結果に基づき異常通信の要因について、異常通信がサイバー攻撃によるものかとシステムの装置の故障によるものかを判別する（詳細なロジックは、後述）。

対管理者端末通信部１６０は、異常通信区分判別部１５０の判別結果と異常通信検知事象情報を含む判別結果情報を生成し、管理者端末６０に送信する。

記憶部１７０は、事象的特徴情報テーブル１１１、統計的特徴情報テーブル１１２を保持する機能部である。

特徴情報管理部１１０は、記憶部１７０に保持された事象的特徴情報テーブル１１１と統計的特徴情報テーブル１１２にアクセスするための機能部である。

管理者端末６０は、異常通信に関する情報を受信して、管理者２に提示し、それに対処するための方策を選択させる端末である。管理者端末６０は、図４に示されように、機能部として、判別結果受信部６８、異常通信対処処理部６２、異常通信対処情報提示部６３、異常通信対処命令生成部６４、異常通信対処命令送信部６５、異常通信対処情報管理部６６、記憶部６７からなる。

判別結果受信部６８は、異常通信判別装置１００から異常通信の判別結果を、管理ネットワークＮ３を介して受信する。

異常通信対処処理部６２は、異常通信対処情報テーブル４００により異常通信対処情報を取り出し、異常通信対処情報提示部６３に送信し、管理者２の選択した異常通信の対処の方策に関する情報を、異常通信対処命令生成部６４に送信する。

異常通信対処情報提示部６３は、異常通信対処情報を管理者２に提示し、管理者２より選定された異常通信の対処の方策に関する情報を対処命令生成部６４に送信する。なお、管理者端末が、異常通信対処情報を管理者２に提示し、管理者２に異常通信の対処の方策を選択させるユーザインタフェースについては、後に説明する。

異常通信対処命令生成部６４は、異常通信対処処理部６２から送られた異常通信の対処の方策に関する情報に基づき、異常通信対処命令を生成し、異常通信対処命令送信部６５に送信する。

異常通信対処命令送信部６５は、異常通信対処命令生成部６４から送られた異常通信対処命令を異常通信対処装置３０に、管理ネットワークＮ３を介して送信する。

記憶部６７は、異常通信対処情報テーブル４００を保持する機能部である。

異常通信対処情報管理部６６は、記憶部６７に保持された異常通信対処情報テーブル４００にアクセスする機能部である。

異常通信対処装置３０は、管理者端末６０から管理ネットワークＮ３により、異常通信の対処に関する情報を受信し、受信した異常通信の対処に関する情報に基づき、異常通信対処装置３０が処理権限を有する監視対象システム５の装置（コントローラ６１、アクチュエータ７１、センサ７２）に対して、制御コマンドまたは制御ロジックプログラムを送信する。なお、制御ロジックプログラムとは、例えば、所定の処理や演算を実行することで実現されるコントローラのシーケンスの制御処理ソフトウェアである。

異常通信対処装置３０は、図５に示されるように、機能構成として、異常通信対処情報受信部３１、制御ロジック構成部３２、制御情報送信部３３、制御ロジック管理部３４、記憶部３５を有する。

異常通信対処情報受信部３１は、管理者端末６０から管理ネットワークＮ３により、異常通信の対処に関する情報を受信し、制御ロジック構成部３２に送信する。

制御ロジック構成部３２は、制御ロジック管理部３４によりコマンドデータ３０１、パラメータデータ３０２、ロジックデータ３０３を参照して、異常通信の対処に関する情報に対応した監視対象システム５の装置に送信する制御コマンドまたは制御ロジックプログラムなどの制御情報を生成し、生成した制御情報を制御情報送信部３３に送信する。ロジックデータ３０３は、制御コマンドの発行順など制御のためのアルゴリズムを記述したデータである。

制御情報送信部３３は、監視対象システム５の装置に対して、制御ロジック構成部３２が構成した制御コマンドまたは制御ロジックプログラムなどの制御情報を送信することにより、制御処理を実行させる。

その後、制御情報送信部３３は、当該監視対象システム５の装置から、当該制御処理の実行結果のリターン情報を受信し、受信したリターン情報を異常通信対処情報受信部３１に送信する。

制御ロジック管理部３４は、記憶部３５に保持されたコマンドデータ３０１、パラメータデータ３０２、ロジックデータ３０３にアクセスする機能部である。

記憶部３５は、監視対象システム５内の各装置が対応している制御ロジックプログラムおよび制御コマンドを構成するためのコマンドデータ３０１、パラメータデータ３０２、ロジックデータ３０３を保持している。

なお、監視対象システム５の装置に送信される制御コマンドの具体例は、後に説明する。

次に、図６Ａないし図６Ｄを用いて異常通信対処システムを構成する装置の各コンポーネントのハードウェア・ソフトウェア構成について説明する。

通信監視装置２０は、ハードウェア構成として、図６Ａに示されるように、プロセッサ２０１、メインメモリ２０２、ネットワークＩ／Ｆ２０３、補助記憶Ｉ／Ｆ２０４、補助記憶装置２１０が互いにバス等の内部通信線で接続された形態である。

プロセッサ２０１は、例えば、ＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro Processing Unit）と呼ばれる半導体デバイスであり、補助記憶装置２１０からメインメモリ２０２にロードされた各種プログラムを実行し、装置の各種機能を実現して、装置全体を制御する。メインメモリ２０２は、プログラムとワークデータを記憶する半導体デバイスであり、例えば、不揮発性の記憶素子であるＲＯＭおよび揮発性の記憶素子であるＲＡＭである。ここで、ＲＯＭは、不変のプログラム（例えば、ＢＩＯＳ、Ｆｉｒｍｗａｒｅ）などを格納し、ＲＡＭは、例えばＤＲＡＭ（Dynamic Random Access Memory）のような高速かつ揮発性の記憶素子であり、プロセッサ２０１が実行するプログラムおよびプログラムの実行時に使用されるデータを一時的に格納する。

ネットワークＩ／Ｆ２０３は、ネットワークと接続するインタフェース回路であり、所定のプロトコルに従って、ネットワークスイッチ４０からの第１のネットワークＮ１と第２のネットワークＮ２に接続された監視対象システム５の装置の通信パケットを収集し、管理ネットワークＮ３に接続された各装置と通信パケットの送受信を行う。

補助記憶装置２１０は、プロセッサ２０１が実行するプログラムや実行時に使用されるデータを格納する装置であり、例えば、磁気記憶装置（ＨＤＤ：Hard Disk Drive）、フラッシュメモリ（ＳＳＤ:Solid State Drive）等の不揮発性の記憶装置である。

補助記憶装置２１０には、異常通信検知プログラム２１１、システム情報管理プログラム２１２、異常通信検知情報送信プログラム２１３がインストールされている。

異常通信検知プログラム２１１、システム情報管理プログラム２１２、異常通信検知情報送信プログラム２１３は、それぞれ異常通信検知部２１、システム情報管理部２２、異常通信検知情報送信部２３の機能を実現するプログラムである。

また、補助記憶装置２１０には、システム情報テーブル類２２０が記憶されている。

上記の説明では、通信監視装置２０は、汎用の情報処理装置が各機能をソフトウェアで実現する例を説明したがＦＰＧＡ（Field-Programmable Gate Array）、ＡＳＩＣ（Application Specific Integrated Circuit）で実現される専用装置であってもよい。

異常通信対処装置３０のハードウェア構成も、図６Ｂに示されるように、上記の通信監視装置２０と同様である。異常通信対処装置３０も汎用の情報処理装置が各機能をソフトウェアで実現してもよいし、専用装置で実現するものであってもよい。

異常通信対処装置３０の補助記憶装置３１０には、異常通信対処情報受信プログラム３１１、制御ロジック構成プログラム３１２、制御情報送信プログラム３１３、制御ロジック管理プログラム３１４がインストールされている。

異常通信対処情報受信プログラム３１１、制御ロジック構成プログラム３１２、制御情報送信プログラム３１３、制御ロジック管理プログラム３１４は、それぞれ異常通信対処情報受信部３１、制御ロジック構成部３２、制御情報送信部３３、制御ロジック管理部３４の機能を実現するプログラムである。

また、異常通信対処装置３０の補助記憶装置３１０には、コマンドデータ３０１、パラメータデータ３０２、ロジックデータ３０３が記憶されている。

異常通信判別装置１００のハードウェア構成も、図６Ｃに示されように、上記の通信監視装置２０と同様である。異常通信判別装置１００も汎用の情報処理装置が各機能をソフトウェアで実現してもよいし、専用装置で実現するものであってもよい。

異常通信判別装置１００の補助記憶装置１０１０には、特徴情報管理プログラム１０１１、異常通信情報受信プログラム１０１２、事象的評価プログラム１０１３、統計的評価プログラム１０１４、異常通信区分判別プログラム１０１５、対管理者端末通信プログラム１０１６がインストールされている。

特徴情報管理プログラム１０１１、異常通信情報受信プログラム１０１２、事象的評価プログラム１０１３、統計的評価プログラム１０１４、異常通信区分判別プログラム１０１５、対管理者端末通信プログラム１０１６は、それぞれ特徴情報管理部１１０、異常通信検知情報受信部１２０、事象的評価部１３０、統計的評価部１４０、異常通信区分判別部１５０、対管理者端末通信部１６０の機能を実現するプログラムである。

また、異常通信判別装置１００の補助記憶装置１０１０には、事象的特徴情報テーブル１１１、統計的特徴情報テーブル１１２が記憶されている。

管理者端末６０のハードウェア構成としては、図６Ｄに示されように、一般のＰＣやワークステーション、タブレットなどの上記の通信監視装置２０の構成と同じもので実現することができる。

管理者端末６０の補助記憶装置６１０には、判別結果受信プログラム６１１、異常通信対処処理プログラム６１２、異常通信対処情報提示プログラム６１３、異常通信対処命令生成プログラム６１４、異常通信対処命令送信プログラム６１５、異常通信対処情報管理プログラム６１６がインストールされている。

判別結果受信プログラム６１１、異常通信対処処理プログラム６１２、異常通信対処情報提示プログラム６１３、異常通信対処命令生成プログラム６１４、異常通信対処命令送信プログラム６１５、異常通信対処情報管理プログラム６１６は、それぞれ判別結果受信部６８、異常通信対処処理部６２、異常通信対処情報提示部６３、異常通信対処命令生成部６４、異常通信対処命令送信部６５、異常通信対処情報管理部６６の機能を実現するプログラムである。

また、管理者端末６０の補助記憶装置６１０には、異常通信対処情報テーブル４００が記憶されている。

また、管理者端末６０は、表示Ｉ／Ｆ６０６と入出力Ｉ／Ｆ６０７を有している。

表示Ｉ／Ｆ６０６は、ＬＣＤ（Liquid Crystal Display）などの表示装置６２０を接続するためのインタフェースである。

入出力Ｉ／Ｆ６０７は、入出力装置を接続するためのインタフェースである。入出力Ｉ／Ｆ６０７には、例えば、キーボード６３０とポインティングデバイスのマウス６３２などが接続されている。

次に、図７ないし図１５を用いて異常通信対処システムで用いられるデータ構造について説明する。

システム情報テーブル類２２０は、通信監視装置２０が保持するテーブルのグループであり、通信に異常があるかないかを判定するために用いられる。システム情報テーブル類２２０は、装置情報テーブル２２１、ホワイト通信テーブル２２２、業務情報テーブル２２３、制御情報テーブル２２４がある。

装置情報テーブル２２１は、監視対象システム５内の装置に関する情報を保持するテーブルであり、図７に示されるように、装置ＩＤ２２１ａ、装置名２２１ｂ、ＩＰアドレス２２１ｃ、代替装置ＩＤ２２１ｄ、型式情報２２１ｅ、装置仕様情報２２１ｆ、実行環境要件情報２２１ｇ、業務ＩＤ２２１ｈの各フィールドを有する。

装置ＩＤ２２１ａには、装置を一意に識別するための識別子が格納される。装置名２２１ｂには、装置名称が格納される。ＩＰアドレス２２１ｃには、装置に付与されたＩＰアドレスが格納される。代替装置ＩＤ２２１ｄには、装置に異常があった場合にその装置を代替し業務を継続する代替装置の識別子が格納される。型式情報２２１ｅには、製造企業が付与した装置の型式（モデルＮＯ）が格納される。装置仕様情報２２１ｆには、装置の仕様に関する情報（例えば、コントローラ６１ならメモリ容量、動作クロック、アクチュエータ７１なら動作速度、センサ７２なら計測範囲、計測能など）が格納される。実行環境要件情報２２１ｇには、装置が使用される環境に関する情報（例えば、動作電圧、正常動作のための温度など）が格納される。業務ＩＤ２２１ｈには、装置が担う業務の業務識別子が格納される。

ホワイト通信テーブル２２２は、監視対象システム５内の通信に関して、ホワイトリスト通信を行うための通信情報を格納するためのテーブルであり、図８に示されるように、ホワイト通信ＩＤ２２２ａ、通信プロトコル２２２ｂ、送信元ＩＰアドレス２２２ｃ、宛先ＩＰアドレス２２２ｄ、送信元ポート番号２２２ｅ、宛先ポート番号２２２ｆの各フィールドを有する。ここで、ホワイトリスト通信とは、許可された通信のみ通信することを許可する、または、通信に関する異常判定を緩和するようにした通信の仕方をいう。

ホワイト通信ＩＤ２２２ａには、ホワイト通信を一意に表すＩＤが格納される。通信プロトコル２２２ｂには、通信のプロトコルを表す識別子または名称（「ＴＣＰ／ＩＰ」など）が格納される。送信元ＩＰアドレス２２２ｃ、宛先ＩＰアドレス２２２ｄには、通信パケットの送信元と宛先のそれぞれのＩＰアドレスが格納される。送信元ポート番号２２２ｅと宛先ポート番号２２２ｆには、通信パケットの送信元と宛先のそれぞれのポート番号が格納される。

業務情報テーブル２２３は、監視対象システム５内で行われる業務に関する情報を格納するテーブルであり、図９に示されるように、業務ＩＤ２２３ａ、業務名２２３ｂ、稼働時刻２２３ｃ、優先順位２２３ｄ、通信ＩＤリスト２２３ｅの各フィールドを有する。

業務ＩＤ２２３ａには、業務を一意に識別する識別子が格納される。業務名２２３ｂには、その業務の名称が格納される。稼働時刻２２３ｃには、その業務が実行される時間帯を示す稼働時刻の情報が格納される。優先順位２２３ｄには、業務の優先順位を表す情報が番号などで格納される。通信ＩＤリスト２２３ｅには、その業務を担う通信ＩＤのリストが格納される。

制御情報テーブル２２４は、業務で使われる装置の制御情報を格納するテーブルであり、図１０に示されるように、通信ＩＤ２２４ａ、制御プロトコル２２４ｂ、制御コマンド２２４ｃ、制御パラメータ２２４ｄ、通信周期２２４ｅの各フィールドを有する。

通信ＩＤ２２４ａには、装置との通信を一意に表すＩＤが格納される。制御プロトコル２２４ｂには、制御のための通信に関するプロトコルを表す識別子または名称が格納される。制御コマンド２２４ｃには、監視対象システム５の装置に与える制御コマンドに関する情報（コマンド名、コマンド識別子など）が格納される。制御パラメータ２２４ｄには、制御コマンドのパラメータの情報が格納される。通信周期２２４ｅには、制御の通信パケットが送受信される周期が格納される。

制御コマンド８０は、監視対象システム５の装置を制御するためのコマンドであり、本実施形態では、異常通信に対処するために、異常通信対処装置３０から監視対象システム５の装置に与えられ、通信パケットのペイロードに格納される情報である。

制御コマンド８０は、図１１に示されるように、例えば、制御プロトコル８０ａ、制御コマンド８０ｂ、制御パラメータ８０ｃのフィールドからなる。

図１１の例のプロトコル８０ａが「Ｍｏｄｂｕｓ／ＴＣＰ」の例は、ＰＬＣなどのコントローラ６１を制御するためのコマンドであり、プロトコル８０ａが「ＭＱＴＴ」の例は、ＰＬＣなどのアクチュエータ７１、センサ７２を制御するためのコマンドを意図している。

事象的特徴情報テーブル１１１は、異常通信判別装置１００が異常通信を事象的特徴から評価する（詳細は後述）ときに用いられる情報を格納するテーブルであり、図１２に示されるように、異常通信検知事象ＩＤ１１１ａ、異常通信検知事象１１１ｂ、判別事象１１１ｃ、判別事象区分１１１ｄの各フィールドからなる。

異常通信検知事象ＩＤ１１１ａには、異常通信検知事象を一意に識別するための識別子が格納される。異常通信検知事象１１１ｂには、異常通信検知事象を説明するテキストが格納される。判別事象１１１ｃには、監視対象システムで発生している可能性の高い攻撃や故障等の事象を説明するテキストが格納される。判別事象区分１１１ｄには、異常通信がサイバー攻撃によるものか装置の故障であるものかを示すフラグが格納される。

異常通信検知事象１１１ｂ、判別事象１１１ｃのテキストは、管理者２に示す管理者端末６０の異常通信対処画面（詳細は後述）の内容として表示するために用いることができる。

統計的特徴情報テーブル１１２は、異常通信判別装置１００が異常通信を統計量の特徴から評価する（詳細は後述）ときに用いられる情報を格納するテーブルであり、図１３に示されるように、統計的特徴ＩＤ１１２ａ、統計的特徴１１２ｂ、判別条件１１２ｃ、条件式１１２ｄ、判別事象区分１１２ｅの各フィールドからなる。

統計的特徴１１２ａには、統計的な特徴を一意に識別するため識別子が格納される。統計的特徴１１２ｂには、統計的な特徴を説明するテキストが格納される。判別条件１１２ｃには、受信した検知情報を統計的に分析し、異常通信の示す統計量から異常通信がどの統計的特徴に一致するか判別するため判別条件が格納される。条件式１１２ｄには、判別条件１１２ｃに示される条件により組み立てられた判別式が格納される。判別事象区分１１２ｅには、異常通信がサイバー攻撃によるものか装置の故障であるものかを示すフラグが格納される。

ここで、統計的特徴ＩＤ１１２ａが「ＳＰ１」のレコードでは、単位時間当たりの同種異常通信の発生元の数が所定の閾値の範囲にあり、単位時間当たりの同種異常通信の発生数が所定の閾値より小さいため、サイバー攻撃ではなく、異常通信が、装置の故障によるものであると判別している。

判別結果情報データ５００は、異常通信判別装置１００から管理者端末６０に送信されるデータであり、図１４に示されるように、異常通信検知事象情報５００ａ、判別情報５００ｂからなる。

異常通信検知事象情報５００ａには、図１４に示されるような異常通信検知事象の情報、異常通信の情報、装置情報を含み、判別情報５００ｂには、事象的特徴評価結果、統計特徴評価結果、判別結果情報を含む。

異常通信対処情報テーブル４００は、異常通信検知事象と異常通信判別装置が判別した異常通信の事象区分に基づいた対処策の情報を格納するテーブルであり、図１５に示されるように、対処情報ＩＤ４００ａ、異常通信検知事象４００ｂ、事象区分４００ｃ、対処策４００ｄの各フィールドからなる。

対処情報ＩＤ４００ａには、異常通信対処情報を一意に識別するための識別子が格納される。異常通信検知事象４００ｂには、異常通信検知事象を説明するテキストが格納される。事象区分４００ｃには、異常通信判別装置が判別した異常通信がサイバー攻撃によるものか装置の故障であるものかを示すフラグが格納される。対処策４００ｄには、異常通信検知事象４００ｂと事象区分４００ｃに対応した管理システムとしてとるべき対処策を示すテキストが格納される。

次に、既に述べた図１２、図１３と、図１６、図１７を用いて異常通信対処システムの処理について説明する。

先ず、通信監視装置２０は、第１のネットワークＮ１、第２のネットワークＮ２の通信パケットをネットワークスイッチ４０から受信し、異常通信を監視する（Ａ０１、Ｓ１０１）。そして、異常通信を検知すると（Ｓ１０２）、その異常通信検知情報データを異常通信判別装置１００に送信する（Ａ０２）。

次に、異常通信判別装置１００は、受信した異常通信検知情報データに基づき、異常通信の事象区分判別処理を行い（Ｓ１１１）、異常通信検知情報と事象区分判別結果情報を含む判別結果情報データ（詳細は後述）を管理者端末６０に送信する（Ａ０３）。

なお、異常通信の事象区分判別処理の詳細は、後に説明する。

次に、管理者端末６０は、異常通信判別装置１００から受信した判別結果情報データおよび異常通信対処情報テーブル４００に基づき、異常通信検知情報と事象区分判別結果情報のデータを編集して、異常通信対処画面（具体例は後述）を表示装置６２０に表示し（Ｓ１２１）、管理者２に提示する。

管理者２が異常通信対処画面に表示される異常通信の対処策を選択すると（Ａ０４）、管理者端末６０は、異常通信の対処策の情報を取得し（Ｓ１２２）、それに従った異常通信対処情報データを生成し（Ｓ１２３）、異常通信検知情報と対処策を含む異常通信対処情報データを異常通信対処装置３０に送信する（Ａ０５）。

異常通信対処装置３０は、送信された異常通信対処情報データに基づき、監視対象システム５の該当する装置を特定し（Ｓ１３１）、送信する制御コマンドを生成し（Ｓ１３２）、監視対象システム５の該当する装置に送信する（Ａ０６）。

次に、図１７を用いて異常通信の事象区分判別処理の詳細を説明する。

先ず、異常通信判別装置１００の事象的評価部１３０は、事象的特徴情報テーブル１１１を参照し、受信した異常情報検知情報の内容が合致する異常通信検知事象１１１ｂの事象的特徴情報テーブル１１１のレコードを取り出し、そのレコードの判別事象区分１１１ｄの値を取得し、その値が「サイバー攻撃」であるか、「故障」であるかの各々の数をカウントする（Ｓ２０１）。

そして、以下の（式１）により、異常通信の事象的評価値ＥｖｅｎｔＥｖａｌを算出する（Ｓ２０２）。
ＥｖｅｎｔＥｖａｌ＝ｅ_ｃ×ＥＣ＋ｅ_ｆ×ＥＦ …（式１）
ここで、ＥＣは、取得したレコードの判別事象区分１１１ｄの値が「サイバー攻撃」であるものの数、ＥＦは、取得したレコードの判別事象区分１１１ｄの値が「故障」であるものの数、ｅ_ｃ、ｅ_ｆは、評価のための最適化係数である。

評価のための最適化係数は、ｅ_ｃ＞ｅ_ｆになるように取っておく（例えば、ｅ_ｃ＝１、ｅ_ｆ＝－１）。この評価のための最適化係数は、システムエンジニアのノウハウやシステムの装置における状況などで重み付けする方策が考えられる。例えば、特定の日付にサイバー攻撃が多くなるときには、ｅ_ｃを大きくする、装置の使用年数が所定期間の耐用年数を超えたときに、ｅ_ｆを大きくするなどである。

ｅ_ｃ＝１、ｅ_ｆ＝－１ととった場合には、事象的評価値ＥｖｅｎｔＥｖａｌが正の値ならサイバー攻撃の可能性が大きいことを示し、値が大きい程、サイバー攻撃の可能性が高いことを意味する。また、逆に、ｅ_ｃ＝１、ｅ_ｆ＝－１ととった場合には、事象的評価値ＥｖｅｎｔＥｖａｌが負の値なら故障の可能性が大きいことを示し、値が小さい程、故障の可能性が高いことを意味する。ｅ_ｃ＝１、ｅ_ｆ＝－１ととった場合に、事象的評価値ＥｖｅｎｔＥｖａｌが負の値は、異常通信がサイバー攻撃によるものか装置の故障によるものかを判別しがたいことを意味する。

次に、異常通信判別装置１００の統計的評価部１４０は、受信した異常通信検知情報より、通信に関する統計情報を取得する（Ｓ２０３）。通信に関する統計情報とは、具体的には、各種の異常通信の統計量、すなわち、単位時間当たりの異常通信の増加量、特定通信の単位時間当たりの異常通信の増加量、単位時間当たりの同種異常通信の発生元の数、単位時間当たりの同種異常通信の発生数等である。

次に、異常通信判別装置１００の統計的評価部１４０は、Ｓ２０３で算出した統計情報が統計的特徴情報テーブル１１２に格納されている判別条件１１２ｃと条件式１１２ｄの内容を満たすレコードを取得し、そのレコードの判別事象区分１１２ｅの値を取得し、その値が「サイバー攻撃」であるか、「故障」であるかの各々の数をカウントする（Ｓ２０４）。

そして、以下の（式２）により、異常通信の統計的評価値ＳｔａｔＥｖａｌを算出する（Ｓ２０５）。
ＳｔａｔＥｖａｌ＝ｓ_ｃ×ＳＣ＋ｓ_ｆ×ＳＦ …（式２）
ここで、ＳＣは、取得したレコードの判別事象区分１１２ｅの値が「サイバー攻撃」であるものの数、ＳＦは、取得したレコードの判別事象区分１１２ｅの値が「故障」であるものの数、ｓ_ｃ、ｓ_ｆは、評価のための最適化係数である。

評価のための最適化係数は、ｓ_ｃ＞ｓ_ｆになるように取っておく（例えば、ｓ_ｃ＝１、ｓ_ｆ＝－１）。この評価のための最適化係数においても、同様に、システムエンジニアのノウハウやシステムの装置における状況などで重み付けする方策が考えられる。

評価のための最適化係数とサイバー攻撃の可能性、装置の故障の可能性については、事象的評価値で説明したことと同様である。

次に、異常通信判別装置１００の異常通信区分判別部１５０は、Ｓ２０２で算出した事象的評価値ＥｖｅｎｔＥｖａｌと、Ｓ２０５で算出した統計的評価値ＳｔａｔＥｖａｌに基づき、以下の（式３）により、判別結果評価値Ｅｖａｌを算出する（Ｓ２０６）。
Ｅｖａｌ＝ｋ_Ｅ×ＥｖｅｎｔＥｖａｌ＋ｋ_Ｓ×ＳｔａｔＥｖａｌ …（式３）
ここで、ｋ_Ｅ、ｋ_Ｓは、それぞれ事象的評価と統計的評価との評価付けに対する重み係数である。

評価のための重み係数ｋ_Ｅ、ｋ_Ｓの値は、事象的評価と統計的評価のいずれかを重視するかを示す係数である。同等の場合は、ｋ_Ｅ＝１、 ｋ_Ｓ＝１とする。また、管理者２が事象的評価と統計的評価のいずれかを重視するかにより定めることができる。

また、事象的評価のための最適化係数ｅ_ｃ、ｅ_ｆ、統計的評価のための最適化係数ｓ_ｃ、ｓ_ｆ、最終的な判別結果の重み係数ｋ_Ｅ、ｋ_Ｓについては、学習データによる学習により定めてもよい。

次に、異常通信判別装置１００の異常通信区分判別部１５０は、Ｓ２０６で算出した判別結果評価値Ｅｖａｌに基づき、以下の説明のように、（式４）により、判別結果評価Ｒｅｓｕｌｔを算出する。判別結果評価は、判別結果評価値Ｅｖａｌに基づいて、異常通信に対する評価を、テキストで表したものである。

判別結果評価値Ｅｖａｌは、事象的評価値ＥｖｅｎｔＥｖａｌにおける最適係数ｅ_ｃ、ｅ_ｆ、統計的評価値ＳｔａｔＥｖａｌにおける最適化係数ｓ_ｃ、ｓ_ｆ、判別結果評価値Ｅｖａｌの重み係数ｋ_Ｅ、ｋ_Ｓ、の取り方により、判別結果評価値Ｅｖａｌの値が大きいほど、異常通信がサイバー攻撃によるものであり、装置の故障によるものでないことになる。

したがって、五段階で評価するときには、四つの閾値（Ｔｈ_１，Ｔｈ_２，Ｔｈ_３，Ｔｈ_４）を、Ｔｈ_１＞Ｔｈ_２＞Ｔｈ_３＞Ｔｈ_４になるようにとり、
Ｅｖａｌ≧Ｔｈ_１のとき、Ｒｅｓｕｌｔ＝”サイバー攻撃”
Ｔｈ_２≧Ｅｖａｌ＞Ｔｈ_１のとき、Ｒｅｓｕｌｔ＝”サイバー攻撃の可能性あり”
Ｔｈ_３≧Ｅｖａｌ＞Ｔｈ_２のとき、Ｒｅｓｕｌｔ＝”サイバー攻撃／故障”
Ｔｈ_４≧Ｅｖａｌ＞Ｔｈ_３のとき、Ｒｅｓｕｌｔ＝”故障の可能性あり”
Ｅｖａｌ＞Ｔｈ_４のとき、Ｒｅｓｕｌｔ＝”故障”
…（式４）

次に、図１８を用いて管理者端末が表示する異常通信対処画面について説明する。
図１８は、管理者端末が表示する異常通信対処画面の一例を示す図である。

異常通信対処画面９００は、通信監視装置２０が検知した異常通信検知情報と異常通信判別装置１００が異常通信に対してサイバー攻撃によるものか装置の故障によるものかを判別した結果に基づいて、異常通信に対処を選択させるために、管理者端末６０が表示する画面である。

異常通信対処画面９００は、図１８に示されるように、検知異常通信情報表示欄９１０、対処策選択欄９２０には、異常通信対処情報テーブル４００の対処策４００ｄの内容を編集し、単数または複数の対策が、「[対処策１] コントローラ１ 」を代替装置「コントローラ２」へ切替」のように表示される。対処策選択欄９２０には、各々の対策を選択するための実施するボタン９２１、実施しないボタン９２２を有している。実施するボタン９２１、実施しないボタン９２２は、排他的なトグルボタンになっている。

管理者２が、その対策を選択するときには、実施するボタン９２１をクリックして選択し、その対策を選択しないときには、実施しないボタン９２２をクリックして選択し、最後にＯＫボタン９３０をクリックする。また、入力内容をキャンセルするときには、キャンセルボタン９３１をクリックする。

以上、説明した様に本実施形態に係る異常通信対処システムでは、システムの装置上で検知された異常通信について、事象的な特徴に基づく評価と統計的な特徴に基づいてサイバー攻撃の特徴と故障特徴との一致数から要因の評価を行う。さらにこれらの二つの評価値に基づきサイバー攻撃と故障とを判別する判別結果値を求める。これにより、監視対象システムで検知された異常通信についてサイバー攻撃によるものかと、装置の故障によるものかを判別することができる異常通信判別装置を提供することができる。

このように、異常通信が発生したときに、サイバー攻撃と、故障とを判別することができるため事象に適した対処策を提案することが可能で、管理者は適切な対処を選択し、システムが迅速に異常通信に対応した対処策を行うことができるため、サイバー攻撃や故障による被害を少なく抑える効果も期待できる。

１…異常通信対処システム、５…監視対象システム、２０…通信監視装置、３０…異常通信対処装置、４０…ネットワークスイッチ、６０…管理者端末、１００…異常通信判別装置、
２２０…システム情報テーブル類、２２１…装置情報テーブル、２２２…ホワイト通信テーブル、２２３…業務情報テーブル、２２４…制御情報テーブル、８０… …制御コマンド、１１１…事象的特徴情報テーブル、１１２…統計的特徴情報テーブル、５００…判別結果情報データ、４００…異常通信対処情報テーブル

Claims (6)

1. 装置が動作する監視対象システムで検知された異常通信の要因を判別する異常通信判別装置であって、
   異常通信検知事象ごとに、異常通信がサイバー攻撃によるものか、監視対象システムの装置の故障によるものかを示す判別事象区分を記憶するレコードを格納する事象的特徴テーブルと、
   異常通信の統計量の成立する条件ごとに、異常通信がサイバー攻撃によるものか、監視対象システムの装置の故障によるものかを示す判別事象区分を記憶するレコードを格納する統計的特徴テーブルとを保持し、
   前記監視対象システムにおける異常通信検知情報を受信し、
   受信した異常通信検知情報に基づいて、前記事象的特徴テーブルの異常通信検知情報の該当するレコードの判別事象区分の値が、異常通信がサイバー攻撃によるものか、監視対象システムの装置の故障によるものかの各々の数から、事象的評価値を算出し、
   受信した異常通信検知情報から異常通信の統計量を算出し、
   算出した異常通信の統計量に基づいて、前記統計的特徴テーブルの異常通信の統計量の成立する条件があてはまるレコードの異常通信がサイバー攻撃によるものか、監視対象システムの装置の故障によるものかの各々の数から、統計的評価値を算出し、
   前記事象的評価値と前記統計的評価値とに基づいて、異常通信がサイバー攻撃によるものか、監視対象システムの装置の故障によるものかを示す判別結果評価値を算出し、前記判別結果評価値により異常通信がサイバー攻撃によるものか、監視対象システムの装置の故障によるものかの判別を行うことを特徴とする異常通信判別装置。
2. 前記事象的評価値は、異常通信がサイバー攻撃によるものか、監視対象システムの装置の故障によるものかの各々のレコードの数の重み付け線形和により算出されることを特徴とする請求項１記載の異常通信判別装置。
3. 前記統計的評価値は、異常通信がサイバー攻撃によるものか、監視対象システムの装置の故障によるものかの各々のレコードの数の重み付け線形和により算出されることを特徴とする請求項１記載の異常通信判別装置。
4. 前記判別結果評価値は、前記事象的評価値と前記統計的評価値の重み付け線形和により算出されることを特徴とする請求項１記載の異常通信判別装置。
5. 装置が動作する監視対象システムで検知された異常通信の要因を判別する異常通信判別装置による異常通信判別方法であって、
   前記異常通信判別装置は、異常通信検知事象ごとに、異常通信がサイバー攻撃によるものか、監視対象システムの装置の故障によるものかを示す判別事象区分を記憶するレコードを格納する事象的特徴テーブルと、
   異常通信の統計量の成立する条件ごとに、異常通信がサイバー攻撃によるものか、監視対象システムの装置の故障によるものかを示す判別事象区分を記憶するレコードを格納する統計的特徴テーブルとを保持し、
   前記異常通信判別装置が、前記監視対象システムにおける異常通信検知情報を受信するステップと、
   前記異常通信判別装置が、受信した異常通信検知情報に基づいて、前記事象的特徴テーブルの異常通信検知情報の該当するレコードの判別事象区分の値が、異常通信がサイバー攻撃によるものか、監視対象システムの装置の故障によるものかの各々の数から、事象的評価値を算出するステップと、
   前記異常通信判別装置が、受信した異常通信検知情報から異常通信の統計量を算出するステップと、
   前記異常通信判別装置が、算出した異常通信の統計量に基づいて、前記統計的特徴テーブルの異常通信の統計量の成立する条件があてはまるレコードの異常通信がサイバー攻撃によるものか、監視対象システムの装置の故障によるものかの各々の数から、統計的評価値を算出するステップと、
   前記異常通信判別装置が、前記事象的評価値と前記統計的評価値とに基づいて、異常通信がサイバー攻撃によるものか、監視対象システムの装置の故障によるものかを示す判別結果評価値を算出し、前記判別結果評価値により異常通信がサイバー攻撃によるものか、監視対象システムの装置の故障によるものかの判別を行うステップとを有することを特徴とする異常通信判別方法。
6. 装置が動作する監視対象システムで検知された異常通信の要因を判別する異常通信対処システムであって、
   前記監視対象システムの異常通信を監視する通信監視装置と、
   前記監視対象システムの装置に対して制御情報を送信する異常通信対処装置と、
   前記監視対象システムのネットワーク情報を表示し、管理者から指令を受け付ける管理者端末と、
   異常通信検知情報を評価し、評価結果に基づき、異常通信がサイバー攻撃によるものか装置の故障によるものかを判別する異常通信判別装置とを備え、
   前記通信監視装置は、異常通信検知情報を前記異常通信判別装置に送信し、
   前記異常通信判別装置は、
   異常通信検知事象ごとに、異常通信がサイバー攻撃によるものか、監視対象システムの装置の故障によるものかを示す判別事象区分を記憶するレコードを格納する事象的特徴テーブルと、異常通信の統計量の成立する条件ごとに、異常通信がサイバー攻撃によるものか、監視対象システムの装置の故障によるものかを示す判別事象区分を記憶するレコードを格納する統計的特徴テーブルとを保持し、
   前記異常通信判別装置は、受信した異常通信検知情報に基づいて、前記事象的特徴テーブルの異常通信検知情報の該当するレコードの判別事象区分の値が、異常通信がサイバー攻撃によるものか、監視対象システムの装置の故障によるものかの各々の数から、事象的評価値を算出し、
   前記異常通信判別装置は、受信した異常通信検知情報から異常通信の統計量を算出し、
   前記異常通信判別装置は、算出した異常通信の統計量に基づいて、前記統計的特徴テーブルの異常通信の統計量の成立する条件があてはまるレコードの異常通信がサイバー攻撃によるものか、監視対象システムの装置の故障によるものかの各々の数から、統計的評価値を算出し、
   前記異常通信判別装置は、前記事象的評価値と前記統計的評価値とに基づいて、異常通信がサイバー攻撃によるものか、監視対象システムの装置の故障によるものかを示す判別結果評価値を算出し、前記判別結果評価値により異常通信がサイバー攻撃によるものか、監視対象システムの装置の故障によるものかを評価するテキストの判別結果評価を生成し、
   前記異常通信判別装置は、異常通信検知情報と前記判別結果評価とを含む判別結果情報を前記管理者端末に送信し、
   前記管理者端末は、前記異常通信検知情報と、異常通信がサイバー攻撃によるものか、監視対象システムの装置の故障によるものかのごとに、異常通信の対策案を記憶するレコードを格納する異常通信対処情報テーブルを保持し
   前記管理者端末は、受信した判別結果情報に基づいて、異常通信検知情報と前記判別結果評価と、異常通信の対策案を表示する異常通信対処画面を表示し、
   前記管理者端末は、管理者からの異常通信の対策案を選択を受付け、対策案の選択に基づいて、異常通信対処情報を生成して、その異常通信対処情報を前記異常通信対処装置に送信し、
   異常通信対処装置は、受信した異常通信対処情報に基づいて、前記監視対象システムの装置に対して制御情報を送信することを特徴とする異常通信対処システム。