JP6835526B2 - 不正アクセス監視装置および方法 - Google Patents

Description

本発明は、通信機器に対する不正機器からの不正アクセスを検知するための不正アクセス監視技術に関する。

従来、ビル建物に設置されている各種設備を関する設備管理システムとして、ＢＡＣｎｅｔ（Building Automation and Control Networking protocol：登録商標）と呼ばれるインテリジェントビル用ネットワークのための通信プロトコル規格を利用した、いわゆるＢＡＣｎｅｔシステムが普及しつつある。

特開２００７−１９９７９８号公報

このようなＢＡＣｎｅｔシステムは、元々クローズドな環境に適用されていたため、これまであまり重要視されていなかったが、近年、ＩＯＴや他システムとの連携が進みつつあり、外部からアクセス可能なオープンな環境に変わりつつある。このため、悪意のある者が、不正アクセスしてＢＡＣｎｅｔシステムに接続できた場合、ＢＡＣｎｅｔシステム内の各種機器が様々に不正操作される可能性があるという問題点があった。

本発明はこのような課題を解決するためのものであり、外部からの不正アクセスを的確に検知できる不正アクセス監視技術を提供することを目的としている。

このような目的を達成するために、本発明にかかる不正アクセス監視装置は、通信回線に接続されている各設備機器に対する不正機器からの不正アクセスを検知する不正アクセス監視装置であって、前記設備機器は、前記設備機器のシステム接続情報を問い合わせるための問い合わせコマンドに対して、前記設備機器のシステム接続情報を含む応答コマンドを送信する機能を有し、前記通信回線を監視して、前記設備機器に対する前記問い合わせコマンドを検知するコマンド監視部と、前記問い合わせコマンドの検知に応じて、前記問い合わせコマンドの送信元である監視対象機器に対して、前記システム接続情報を問い合わせるための問い合わせコマンドを返信する不正アクセス判定部とを備え、前記不正アクセス判定部は、前記問い合わせコマンドの返信から一定の監視時間が経過するまでに前記監視対象機器から前記応答コマンドが返信された否か監視し、前記監視時間内に前記応答コマンドの返信がなかった場合、前記監視対象機器を不正機器として判定するようにしたものである。

また、本発明にかかる上記不正アクセス監視装置の一構成例は、前記不正アクセス判定部が、前記監視時間内に前記応答コマンドの返信があった場合、接続許可機器のシステム接続情報が予め登録されている接続許可リストを参照し、前記応答コマンドに含まれる前記監視対象機器のシステム接続情報が前記接続許可リストに登録されていない場合、前記監視対象機器を不正機器として判定するようにしたものである。

また、本発明にかかる上記不正アクセス監視装置の一構成例は、前記コマンド監視部が、一定の計数時間内に前記設備機器がやり取りする前記問い合わせコマンド、および／または前記応答コマンドに関するコマンド数を監視し、前記不正アクセス判定部は、前記監視時間内に前記応答コマンドの返信があった場合、前記コマンド数が規定のしきい値より増加している場合には、前記監視対象機器を不正機器として判定するようにしたものである。

また、本発明にかかる不正アクセス監視方法は、通信回線に接続されている各設備機器に対する不正機器からの不正アクセスを検知する不正アクセス監視装置において実行される不正アクセス監視方法であって、前記設備機器は、前記設備機器のシステム接続情報を問い合わせるための問い合わせコマンドに対して、前記設備機器のシステム接続情報を含む応答コマンドを送信する機能を有し、前記不正アクセス監視装置は、コマンド監視部と不正アクセス判定部とを備え、前記コマンド監視部が、前記通信回線を監視して、前記設備機器に対する前記問い合わせコマンドを検知するコマンド監視ステップと、前記不正アクセス判定部が、前記問い合わせコマンドの検知に応じて、前記問い合わせコマンドの送信元である監視対象機器に対して、前記システム接続情報を問い合わせるための問い合わせコマンドを返信する不正アクセス判定ステップとを備え、前記不正アクセス判定ステップは、前記問い合わせコマンドの返信から一定の監視時間が経過するまでに前記監視対象機器から前記応答コマンドが返信された否か監視し、前記監視時間内に前記応答コマンドの返信がなかった場合、前記監視対象機器を不正機器として判定するようにしたものである。

また、本発明にかかる上記不正アクセス監視方法は、前記不正アクセス判定ステップが、前記監視時間内に前記応答コマンドの返信があった場合、接続許可機器のシステム接続情報が予め登録されている接続許可リストを参照し、前記応答コマンドに含まれる前記監視対象機器のシステム接続情報が前記接続許可リストに登録されていない場合、前記監視対象機器を不正機器として判定するようにしたものである。

また、本発明にかかる上記不正アクセス監視方法は、前記コマンド監視ステップが、一定の計数時間内に前記設備機器がやり取りする前記問い合わせコマンド、および／または前記応答コマンドに関するコマンド数を監視し、前記不正アクセス判定ステップは、前記監視時間内に前記応答コマンドの返信があった場合、前記コマンド数が規定のしきい値より増加している場合には、前記監視対象機器を不正機器として判定するようにしたものである。

本発明によれば、監視対象機器が不正機器であり、正当なシステム接続情報を持たない場合、不正アクセス判定部からの問い合わせコマンドに対する応答コマンドを、一定の監視時間が経過するまでの間に監視対象機器から返信されない。このため、このような監視対象機器は不正機器として判定されることになり、結果として、外部からの不正アクセスを的確に検知することが可能となる。

不正アクセス監視装置の構成を示すブロック図である。 不正アクセス監視動作を示すシーケンス図である。

次に、本発明の実施の形態について図面を参照して説明する。
［第１の実施の形態］
まず、図１を参照して、本発明の第１の実施の形態にかかる不正アクセス監視装置１０について説明する。図１は、不正アクセス監視装置の構成を示すブロック図である。

この不正アクセス監視装置１０は、ＢＡＣｎｅｔシステムなどの設備管理システム１に接続されて、不正機器３０から設備管理システム１の各設備機器２０に対する不正アクセスを検知する機能を有している。
設備機器２０は、設備管理システム１を構成する中央監視装置（Ｂ−ＯＷＳ：BACnet Operator Workstation）、コントローラ、フィールド機器などの各種の機器装置からなる。フィールド機器の具体例としては、空調器、ファン、温度センサ、アクチュエータ、防犯カメラ、防犯センサ、セキュリティーロック、警報器、ブレーカー、電流計、電圧計、照明装置、防火シャッタ等がある。

不正アクセス監視装置１０には、主な機能部として、通信Ｉ／Ｆ部１１、接続許可リスト記憶部１２、コマンド監視部１３、および不正アクセス判定部１４が設けられている。

通信Ｉ／Ｆ部１１は、各設備機器２０が接続されている通信回線Ｌを介してこれら設備機器２０、不正機器３０、その他の外部装置（図示せず）との間で各種コマンドを送受信する機能を有している。
接続許可リスト記憶部１２は、半導体メモリなどの記憶装置からなり、通信回線Ｌに対して接続が許可されている設備機器２０やその他の外部装置などの接続許可機器に関する、ベンダー識別子、デバイスオブジェクト識別子、正規ＭＡＣアドレスなどのシステム接続情報が予め登録されている接続許可リストを記憶する機能を有している。

コマンド監視部１３は、通信回線Ｌから通信Ｉ／Ｆ部１１で受信した各種コマンドを監視して、ＢＡＣｎｅｔシステムにおけるＷｈｏ−ＩｓサービスやＷｈｏ−Ｈａｓサービスなど、設備管理システム１で用いるシステム接続情報を相手機器に問い合わせるための問い合わせコマンドを検知する機能と、一定の計数時間内に各設備機器２０がやり取りする問い合わせコマンド、および／または応答コマンドに関するコマンド数を監視する機能とを有している。

不正アクセス判定部１４は、コマンド監視部１３による問い合わせコマンドの検知に応じて、当該問い合わせコマンドの送信元となる監視対象機器に対して問い合わせコマンドを返信する機能と、当該問い合わせコマンドに対する、例えばＢＡＣｎｅｔシステムにおけるＩ−ａｍコマンドなどの応答コマンドが、当該問い合わせコマンドの返信から一定の監視時間が経過するまでに監視対象機器から返信された否か監視する機能と、監視時間内に返信がなかった場合には監視対象機器を不正機器として判定する機能とを有している。

また、不正アクセス判定部１４は、監視時間内に返信があった場合には接続許可リスト記憶部１２の接続許可リストを参照し、監視対象機器からの応答コマンドで通知されたシステム接続情報に基づいて、監視対象機器が接続許可機器であるか不正機器であるかを判定する機能と、監視時間内に応答コマンドの返信があった場合、コマンド数が規定のしきい値より増加している場合には、監視対象機器を不正機器として判定する機能と、得られた判定結果を、通信Ｉ／Ｆ部１１から通信回線Ｌを介して外部装置へ通知し、あるいは／および、自装置のモニタ画面に表示する機能とを有している。

［第１の実施の形態の動作］
次に、図２を参照して、本実施の形態にかかる不正アクセス監視装置１０の動作について説明する。図２は、不正アクセス監視動作を示すシーケンス図である。

通信回線Ｌに接続された不正機器３０は、各設備機器２０に対して不正アクセスする際、これら設備機器２０に対してブロードキャストで問い合わせコマンドを送信する（ステップ１００）。これは、問い合わせコマンドに対する各設備機器２０からの応答コマンドにより、各設備機器２０への不正アクセスに必要となる設備機器２０のシステム接続情報を収集するためである。

不正アクセス監視装置１０は、コマンド監視部１３により、不正機器３０からの問い合わせコマンドが検知された場合、問い合わせコマンドの送信元である不正機器３０を監視対象機器とし、問い合わせコマンドに対する応答コマンドに代えて、不正アクセス判定部１４から問い合わせコマンドが返信される（ステップ１０１）。

不正機器３０は、不正アクセス監視装置１０からの問い合わせコマンドを受信した場合、自己が不正機器３０であるため正当なシステム接続情報を返信できない。
したがって、不正アクセス監視装置１０では、不正アクセス判定部１４により、当該問い合わせコマンドの返信から一定の監視時間が経過するまでに監視対象機器から応答コマンドが返信されたか否かを監視し（ステップ１０２）、監視時間内に返信がなかった場合には（ステップ１０２：ＮＯ）、監視対象機器を不正機器３０として判定する（ステップ１０３）。

また、監視時間内に何らかの応答コマンドが監視対象機器から返信された場合（ステップ１１０）、不正アクセス監視装置１０では、不正アクセス判定部１４により、接続許可リスト記憶部１２の接続許可リストを参照し、監視対象機器からの応答コマンドに含まれるシステム接続情報が接続許可リストに登録されているか否か確認する（ステップ１１１）。
ここで、監視対象機器のシステム接続情報が接続許可リストに登録されていない場合（ステップ１１１：ＮＯ）、不正アクセス判定部１４は、監視対象機器が接続許可機器であるか不正機器３０であると判定する（ステップ１１２）。

［第１の実施の形態の効果］
このように、本実施の形態は、コマンド監視部１３が、通信回線Ｌを監視して、設備機器２０に対する問い合わせコマンドを検知し、不正アクセス判定部１４が、問い合わせコマンドの検知に応じて、問い合わせコマンドの送信元である監視対象機器に対して、問い合わせコマンドを返信し、問い合わせコマンドの返信から一定の監視時間が経過するまでに監視対象機器から応答コマンドが返信された否か監視し、監視時間内に応答コマンドの返信がなかった場合、監視対象機器を不正機器３０として判定するようにしたものである。

これにより、監視対象機器が不正機器３０であり、正当なシステム接続情報を持たない場合、不正アクセス判定部１４からの問い合わせコマンドに対する応答コマンドを、一定の監視時間が経過するまでの間に監視対象機器から返信されない。このため、このような監視対象機器は不正機器３０として判定されることになり、結果として、外部からの不正アクセスを的確に検知することが可能となる。

また、本実施の形態において、不正アクセス判定部１４が、監視時間内に応答コマンドの返信があった場合、接続許可機器のシステム接続情報が予め登録されている接続許可リスト記憶部１２の接続許可リストを参照し、応答コマンドに含まれる監視対象機器のシステム接続情報が接続許可リストに登録されていない場合、監視対象機器を不正機器３０として判定するようにしてもよい。

これにより、監視対象機器が不正アクセス判定部１４からの問い合わせコマンドに対して何らかの応答コマンドを監視時間内に返信しても、その応答コマンドに含まれるシステム接続情報は、接続許可機器のシステム接続情報とは異なるものとなる。このため、このような監視対象機器は不正機器３０として判定されることになり、結果として、外部からの不正アクセスを的確に検知することが可能となる。

［第２の実施の形態］
次に、本発明の第２の実施の形態にかかる不正アクセス監視装置１０について説明する。本実施の形態では、通信回線Ｌでやり取りされるコマンド数の変化に基づき不正機器３０かどうか判定する場合について説明する。

本実施の形態において、コマンド監視部１３は、一定の計数時間内に設備機器がやり取りする問い合わせコマンド、および／または応答コマンドに関するコマンド数を監視する機能を有している。
また、不正アクセス判定部１４は、コマンド数が規定のしきい値より増加している場合には、監視対象機器を不正機器３０と判定する機能を有している。

通常、問い合わせコマンドや応答コマンドは、設備機器２０間で周期的にやり取りされている。したがって、一定の計数期間内にやり取りされるコマンド数は、規定のしきい値以下となる。一方、不正機器３０が通信回線Ｌに接続されて設備機器２０に対して問い合わせコマンドを送信した場合、設備機器２０から応答コマンドが返信されて、コマンド数が一時的に上昇して規定のしきい値を超えることになる。このため、このようなコマンド数を監視しておけば、不正機器３０が接続されて不正アクセスが開始されたかどうか判定することができる。

第１の実施の形態では、不正アクセス監視装置１０から返信した問い合わせコマンドに対する応答コマンドが、監視時間内に監視対象機器から返信された場合、接続許可リストにより不正機器３０かどうか判定する場合を例として説明した。この際、監視時間内に監視対象機器から返信された場合には、本実施の形態を適用して、通信回線Ｌ上のコマンド数の変化に基づき監視対象機器が不正機器３０かどうか判定するようにしてもよい。これにより、接続許可リストを省くことができる。

［実施の形態の拡張］
以上、実施形態を参照して本発明を説明したが、本発明は上記実施形態に限定されるものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解しうる様々な変更をすることができる。また、各実施形態については、矛盾しない範囲で任意に組み合わせて実施することができる。

１…設備管理システム、１０…不正アクセス監視装置、１１…通信Ｉ／Ｆ部、１２…接続許可リスト記憶部、１３…コマンド監視部、１４…不正アクセス判定部、Ｌ…通信回線。

Claims (6)

1. 通信回線に接続されている各設備機器に対する不正機器からの不正アクセスを検知する不正アクセス監視装置であって、
   前記設備機器は、前記設備機器のシステム接続情報を問い合わせるための問い合わせコマンドに対して、前記設備機器のシステム接続情報を含む応答コマンドを送信する機能を有し、
   前記通信回線を監視して、前記設備機器に対する前記問い合わせコマンドを検知するコマンド監視部と、
   前記問い合わせコマンドの検知に応じて、前記問い合わせコマンドの送信元である監視対象機器に対して、前記システム接続情報を問い合わせるための問い合わせコマンドを返信する不正アクセス判定部とを備え、
   前記不正アクセス判定部は、前記問い合わせコマンドの返信から一定の監視時間が経過するまでに前記監視対象機器から前記応答コマンドが返信された否か監視し、前記監視時間内に前記応答コマンドの返信がなかった場合、前記監視対象機器を不正機器として判定する
   ことを特徴とする不正アクセス監視装置。
2. 請求項１に記載の不正アクセス監視装置において、
   前記不正アクセス判定部は、前記監視時間内に前記応答コマンドの返信があった場合、接続許可機器のシステム接続情報が予め登録されている接続許可リストを参照し、前記応答コマンドに含まれる前記監視対象機器のシステム接続情報が前記接続許可リストに登録されていない場合、前記監視対象機器を不正機器として判定することを特徴とする不正アクセス監視装置。
3. 請求項１に記載の不正アクセス監視装置において、
   前記コマンド監視部は、一定の計数時間内に前記設備機器がやり取りする前記問い合わせコマンド、および／または前記応答コマンドに関するコマンド数を監視し、
   前記不正アクセス判定部は、前記監視時間内に前記応答コマンドの返信があった場合、前記コマンド数が規定のしきい値より増加している場合には、前記監視対象機器を不正機器として判定することを特徴とする不正アクセス監視装置。
4. 通信回線に接続されている各設備機器に対する不正機器からの不正アクセスを検知する不正アクセス監視装置において実行される不正アクセス監視方法であって、
   前記不正アクセス監視装置は、コマンド監視部と不正アクセス判定部とを備え、
   前記設備機器は、前記設備機器のシステム接続情報を問い合わせるための問い合わせコマンドに対して、前記設備機器のシステム接続情報を含む応答コマンドを送信する機能を有し、
   前記コマンド監視部が、前記通信回線を監視して、前記設備機器に対する前記問い合わせコマンドを検知するコマンド監視ステップと、
   前記不正アクセス判定部が、前記問い合わせコマンドの検知に応じて、前記問い合わせコマンドの送信元である監視対象機器に対して、前記システム接続情報を問い合わせるための問い合わせコマンドを返信する不正アクセス判定ステップとを備え、
   前記不正アクセス判定ステップは、前記問い合わせコマンドの返信から一定の監視時間が経過するまでに前記監視対象機器から前記応答コマンドが返信された否か監視し、前記監視時間内に前記応答コマンドの返信がなかった場合、前記監視対象機器を不正機器として判定する
   ことを特徴とする不正アクセス監視方法。
5. 請求項４に記載の不正アクセス監視方法において、
   前記不正アクセス判定ステップは、前記監視時間内に前記応答コマンドの返信があった場合、接続許可機器のシステム接続情報が予め登録されている接続許可リストを参照し、前記応答コマンドに含まれる前記監視対象機器のシステム接続情報が前記接続許可リストに登録されていない場合、前記監視対象機器を不正機器として判定することを特徴とする不正アクセス監視方法。
6. 請求項４に記載の不正アクセス監視方法において、
   前記コマンド監視ステップは、一定の計数時間内に前記設備機器がやり取りする前記問い合わせコマンド、および／または前記応答コマンドに関するコマンド数を監視し、
   前記不正アクセス判定ステップは、前記監視時間内に前記応答コマンドの返信があった場合、前記コマンド数が規定のしきい値より増加している場合には、前記監視対象機器を不正機器として判定することを特徴とする不正アクセス監視方法。

Images