JP2017129894A

JP2017129894A - サイバー攻撃検知システム

Info

Publication number: JP2017129894A
Application number: JP2016006767A
Authority: JP
Inventors: 亮齊藤; Akira Saito; 隆太稲葉; Ryuta Inaba
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2016-01-18
Filing date: 2016-01-18
Publication date: 2017-07-27

Abstract

【課題】最新のサイバーアタックを検知できるサイバー攻撃検知システムを得る。
【解決手段】原子力デジタル計装制御システムから出力される、サイバーセキュリティの情報を含むセキュリティイベント１と、原子力発電所内の設備の正常または異常状態を示す設備状態２と、プラント内の設備の運転状態を示すプラントパラメータ３とを、相関管理機能５により統合管理するとともに通常運転時の相関関係が定義され、また、シナリオ管理機能６により、一般的なサイバーアタックのパターンであるアタックシナリオ４が定義され、これらの定義内容に基づき、サイバーアタック検知機能７が、セキュリティイベント１、設備状態２およびプラントパラメータ３を分析して、相関関係の異常またはアタックシナリオ４に該当するシナリオの発生時に、サイバーアタックとして検知する。
【選択図】図１

Description

この発明は、原子力発電所内の原子力デジタル計装制御システムに対するサイバーアタックを検知するサイバー攻撃検知システムに関するものである。

従来の計装設備に対するサイバーアタックによるセキュリティ侵害の検知方法は、ネットワークトラフィック、ファイルシステムアクセス、修正等のネットワークパラメータ等の単独事象を基に、通常または異常を検出している。（例えば、特許文献１、２参照）

特開２０１４−１７９０７４号公報（第６〜８頁、第１図）特開２０１２−１６８６８６号公報（第６〜１０頁、第１図）

従来のサイバーアタックの検出方法は、以上のように、ネットワークパラメータ、現場設備等の単独事象に基づいて、通常か異常かを検出している。
一方で、サイバーアタックは、複雑化され、巧妙化されており、単独事象による検出では、検出が難しいものがある。
そのため、従来のサイバーアタックの検出方法では、複合事象でしか検知できないような最新のサイバーアタックを検知することができないという問題があった。

この発明は、上述のような課題を解決するためになされたものであり、最新のサイバーアタックを検知できるサイバー攻撃検知システムを得ることを目的とする。

この発明に係わるサイバー攻撃検知システムにおいては、計装制御システムから出力される、サイバーセキュリティの情報を含むセキュリティ情報と、プラント内の設備の正常または異常状態を示す設備状態情報と、プラント内の設備の運転状態を示すプラントパラメータ情報とについて、通常運転時の相関関係が定義される相関定義手段、サイバーアタックのシナリオであるアタックシナリオが定義されるシナリオ定義手段、および相関定義手段により定義された相関関係およびシナリオ定義手段により定義されたアタックシナリオに基づき、計装制御システムによって出力されるセキュリティ情報、設備状態情報およびプラントパラメータ情報を分析し、相関関係の異常の発生およびアタックシナリオの発生を検知するサイバーアタック検知手段を備えたものである。

この発明によれば、計装制御システムから出力される、サイバーセキュリティの情報を含むセキュリティ情報と、プラント内の設備の正常または異常状態を示す設備状態情報と、プラント内の設備の運転状態を示すプラントパラメータ情報とについて、通常運転時の相関関係が定義される相関定義手段、サイバーアタックのシナリオであるアタックシナリオが定義されるシナリオ定義手段、および相関定義手段により定義された相関関係およびシナリオ定義手段により定義されたアタックシナリオに基づき、計装制御システムによって出力されるセキュリティ情報、設備状態情報およびプラントパラメータ情報を分析し、
相関関係の異常の発生およびアタックシナリオの発生を検知するサイバーアタック検知手段を備えたので、最新のサイバーアタックを検知することができる。

この発明の実施の形態１によるサイバー攻撃検知システムを示すシステム構成図である。この発明の実施の形態１によるサイバー攻撃検知システムのデータ間の相関関係からサイバーアタックを検知する動作を示すフローチャートである。この発明の実施の形態１によるサイバー攻撃検知システムのシナリオ発生からサイバーアタックを検知する動作を示すフローチャートである。この発明の実施の形態２によるサイバー攻撃検知システムを示すシステム構成図である。

実施の形態１．
以下、実施の形態１を図に基づいて説明する。
図１は、この発明の実施の形態１によるサイバー攻撃検知システムを示すシステム構成図である。
図１において、サイバー攻撃検知システム１０は、次のように構成されている。
セキュリティイベント１（セキュリティ情報）は、マルウェア等によるデータ改ざん・不正操作のログ等のサイバーセキュリティの情報、および入退管理情報、カメラ等の物理セキュリティの情報を有している。設備状態２（設備状態情報）は、原子力発電所内に設置されている弁、ポンプ、アクチュエータ等の正常、異常等の状態を示す情報を有している。プラントパラメータ３（プラントパラメータ情報）は、原子力発電所内に設置されている弁、ポンプ、アクチュエータの運転、停止等のデジタル情報および温度、流量等のアナログ情報等を有している。
セキュリティイベント１、設備状態２およびプラントパラメータ３は、別途作成された原子力発電所を監視制御する原子力デジタル計装制御システム（計装制御システム）から出力される。

相関管理機能５（相関定義手段）は、セキュリティイベント１、設備状態２およびプラントパラメータ３を統合管理するとともに、通常運転時のこれらのデータ間の相関関係を監視者が定義するための機能である。
シナリオ管理機能６（シナリオ定義手段）は、サイバーアタックのパターンであるアタックシナリオ４を監視者が定義するための機能である。
サイバーアタック検知機能７（サイバーアタック検知手段）は、相関管理機能５によって定義された相関関係の情報とシナリオ管理機能６によって定義されたアタックシナリオ４に基づき、原子力デジタル計装制御システムから出力されるセキュリティイベント１、設備状態２およびプラントパラメータ３を取得し、分析して、相関関係の異常またはアタックシナリオ４に該当するシナリオの発生時に、サイバーアタックとして検知し、管理者に通報する。

次に、動作について説明する。
まず、図２を用いて、原子力デジタル計装制御システムより出力されたセキュリティイベント１、設備状態２およびプラントパラメータ３の相関関係からサイバーアタックを検知する動作について説明する。
ステップＳ１１で、原子力デジタル計装制御システムより、セキュリティイベント１、設備状態２およびプラントパラメータ３を取得する。ステップＳ１２で、相関管理機能５により、セキュリティイベント１、設備状態２およびプラントパラメータ３の相関関係を監視者が定義する。
次いで、ステップＳ１３で、サイバーアタック検知機能７により、ステップＳ１２で定義された相関関係に基づき、ステップＳ１１で取得したセキュリティイベント１、設備状態２およびプラントパラメータ３の情報を分析し、定義された相関関係を逸脱するかどうかにより、相関異常（相関関係の異常）の有無を判定して、相関異常が生じた場合のみ、ステップＳ１４により管理者に通報する。

なお、ステップＳ１２の説明では、サイバーアタック検知機能７による分析のつど、相関関係を定義するものとして説明したが、ステップＳ１２で、予め定義された相関関係を読み出して、使用してもよい。

次に、図３を用いて、一般的なサイバーアタックのアタックシナリオ４からサイバーアタックを検知する動作について説明する。
ステップＳ２１で、シナリオ管理機能６により、サイバーアタックのパターンであるアタックシナリオ４を監視者が定義する。このアタックシナリオ４は複数定義することができる。
次いで、ステップＳ２２で、ステップＳ２１により定義されたアタックシナリオ４を基にして、サイバーアタック検知機能７により、原子力デジタル計装制御システムより取得したセキュリティイベント１、設備状態２およびプラントパラメータ３の各データを分析し、アタックシナリオ４に該当する事象が発生した場合、すなわちシナリオ発生が生じた場合は、ステップＳ２３により管理者に通報する。

なお、ステップＳ２１の説明では、サイバーアタック検知機能７による分析のつど、アタックシナリオ４を定義するものとして説明したが、ステップＳ２１で、予め定義したアタックシナリオ４を読み出して、使用してもよい。

実施の形態１によれば、原子力デジタル計装制御システムより取得するセキュリティイベント、設備状態、プラントパラメータのデータ間の相関関係から、およびサイバーアタックのシナリオから、サイバーアタックを検知できる構成としたので、サイバーアタックを検知するためのルールセット等に記載されていないような最新のサイバーアタックを検知することができる。
また、データ間の相関関係の分析からサイバーアタックを検知するので、未知のサイバーアタックを検知することができる。

実施の形態２．
図４は、この発明の実施の形態２によるサイバー攻撃検知システムを示すシステム構成図である。
図４において、符号１〜７、１０は図１におけるものと同一のものである。図４では、相関管理機能５およびシナリオ管理機能６と、サイバーアタック検知機能７とがネットワーク８により接続されている。

実施の形態１では、相関管理機能５、シナリオ管理機能６およびサイバーアタック検知機能７がオールインワンの場合について述べたが、実施の形態２は、図４に示すように、ネットワーク８を設け、相関管理機能５およびシナリオ管理機能６と、サイバーアタック検知機能７とを分散配置することで、各機能の負荷分散をしつつ、実施の形態１と同様にサイバーアタックを検知し、通報することができるようにした。
なお、相関管理機能５およびシナリオ管理機能６を、ネットワーク８を介して接続してもよい。

実施の形態２によれば、相関管理機能、シナリオ管理機能およびサイバーアタック検知機能を分散配置することで、負荷を分散させつつ、サイバーアタックを検知し、通報する
ことができる。

なお、本発明は、その発明の範囲内において、各実施の形態を自由に組み合わせたり、各実施の形態を適宜、変形、省略することが可能である。

１セキュリティイベント、２設備状態、３プラントパラメータ、
４アタックシナリオ、５相関管理機能、６シナリオ管理機能、
７サイバーアタック検知機能、８ネットワーク、１０サイバー攻撃検知システム

Claims

計装制御システムから出力される、サイバーセキュリティの情報を含むセキュリティ情報と、プラント内の設備の正常または異常状態を示す設備状態情報と、プラント内の設備の運転状態を示すプラントパラメータ情報とについて、通常運転時の相関関係が定義される相関定義手段、
サイバーアタックのシナリオであるアタックシナリオが定義されるシナリオ定義手段、
および上記相関定義手段により定義された相関関係および上記シナリオ定義手段により定義されたアタックシナリオに基づき、上記計装制御システムによって出力される上記セキュリティ情報、上記設備状態情報および上記プラントパラメータ情報を分析し、相関関係の異常の発生および上記アタックシナリオの発生を検知するサイバーアタック検知手段を備えたことを特徴とするサイバー攻撃検知システム。
上記相関定義手段および上記シナリオ定義手段と、上記サイバーアタック検知手段とは、ネットワークを介して接続されていることを特徴とする請求項１記載のサイバー攻撃検知システム。