JP7266925B1 - 診断装置及び診断方法 - Google Patents

Abstract

【課題】ネットワークシステムの運用に用いる情報の意図しない変更を早期に検出することができる診断装置及び診断方法を提供する。【解決手段】診断装置１２は、通信制御機器２７に設定された構成情報５３を通信制御機器２７から定期的に読み出し、過去の構成情報を予め元の構成情報５２、５４として記憶しているネットワークシステム内の記憶先４２、５０から元の構成情報５２、５４を読み出し、通信制御機器２７から定期的に読み出した構成情報５３と、記憶先４２、５０から読み出した元の構成情報５２、５４とを定期的に比較し、通信制御機器２７から読み出した現在の構成情報５３が、元の構成情報５２、５４と不一致の場合には、管理者に対して不一致である旨を通報する。【選択図】図２

Description

本発明は、診断装置及び診断方法に関する。

一般に、ネットワーク内のセキュリティを確保するために、外部のネットワークとの接続部にファイアーウォール等の障壁となる通信制御機器が設けられている。ファイアーウォールについては、近年の情報通信技術の進化に伴って、高いセキュリティを確保するための種々の方法が検討されている。

例えば、特許文献１には、ネットワークの内部にあるサーバ装置に対して、ネットワーク外にある情報通信端末からサーバ名を特定したアクセス要求があった場合には、動的にサーバのアドレスを付与するとともに、サーバ装置及び情報通信端末のアドレスを記録するアクセスコントロールリストを動的に生成することで、セキュリティ性能を高める技術が開示されている。

特開２００９－２７２６５９号公報

近年、プラント、インフラ、及び、生産工場などにおいて、設備等のハードウェアの稼働状態を集約し運用や保守の効率化に役立てるため、従来は設備毎に設けられていた制御ネットワークを横断的に接続し、１つのより広域なネットワークを構成することが行われている。このようなネットワークは、設備の直接的な監視操作や制御に用いられるネットワークと区別するために、ＯＴ（Operational Technology）ネットワークと称される場合がある。

ＯＴネットワークは、制御ネットワークの外乱となったり、制御コンピュータの不正操作をされたりしないように、ネットワークの各所に障壁を設けることで、階層的かつ設備の重要度や機能ごとに分離するセキュリティ設計が行われている。このようなセキュリティの実現アプローチは、多層防御（Defense in depth）と称されている。

ネットワークの各所に設けられた障壁などの通信制御機器の内部にある設定情報（以下これを構成情報という）は、各ネットワークにおけるセキュリティを確保するためには重要であるため、意図しない変更がなされたことが検知できるように、通信制御機器自らが構成情報が変化した際に管理者に通知したり、変更の履歴を不揮発性メモリに保管するなどし、定期的な管理者の検査において、不必要な改ざんがないか確認することが一般的である。

このように通信制御機器は高いセキュリティが担保された状態で記録、運用される必要があるが、通信制御機器を改ざんすることができる悪意のある操作者やウイルスなどの不適切なプログラムにとっては、そのような通知機能や変更履歴の記録を停止したり、記録そのものを削除することは容易である。そのため、ネットワークシステムにおいては、機器そのものの機能や健全性に依存しない手段により、機器に用いられる情報の意図しない変更を検知する方法が求められている。

本発明は、このような課題を解決するためになされたものであり、ネットワークシステムの運用に用いる情報の意図しない変更を早期に検出することができる診断装置及び診断方法を提供することを目的とする。

本願発明の一態様の診断装置は、複数のサブネットワークが接続されて構成されたネットワークと、管理者が設定した構成情報に沿って動作して通信経路における通信を制御する通信制御機器と、を有したネットワークシステムに設けられ、通信制御機器に設定された構成情報の診断を行う。診断装置は、通信制御機器に設定された構成情報を通信制御機器から定期的に読み出し、過去の構成情報を予め元の構成情報として記憶しているネットワークシステム内の記憶先から元の構成情報を読み出し、通信制御機器から定期的に読み出した構成情報と、記憶先から読み出した元の構成情報とを定期的に比較し、通信制御機器から読み出した現在の構成情報が、元の構成情報と不一致の場合には、管理者に対して不一致である旨を通報する。

本願発明の一態様の診断装置は、複数のサブネットワークが接続されて構成されたネットワークと、管理者が設定した認証情報に基づいて、ネットワークに設けられた機器への管理者のログインを認証する認証機器と、を有したネットワークシステムに設けられ、認証機器に設定された認証情報の診断を行う。診断装置は、認証機器に設定された認証情報を認証機器から定期的に読み出し、過去の認証情報を予め元の認証情報として記憶しているネットワークシステム内の記憶先から元の認証情報を読み出し、認証機器から定期的に読み出した認証情報と、記憶先から読み出した元の認証情報とを定期的に比較し、認証機器から読み出した現在の認証情報が、元の認証情報と不一致の場合には、管理者に対して不一致である旨を通報する。

本願発明の一態様の診断方法は、複数のサブネットワークが接続されて構成されたネットワークと、管理者が設定した構成情報に沿って動作して通信経路における通信を制御する通信制御機器と、を有するネットワークシステムに設けられた診断装置によって、通信制御機器に設定された構成情報の診断を行う。この診断方法においては、診断装置によって、通信制御機器に設定された構成情報を通信制御機器から定期的に読み出し、過去の構成情報を予め元の構成情報として記憶しているネットワークシステム内の記憶先から元の構成情報を読み出し、通信制御機器から定期的に読み出した構成情報と、記憶先から読み出した元の構成情報とを定期的に比較し、通信制御機器から読み出した現在の構成情報が、元の構成情報と不一致の場合には、管理者に対して不一致である旨を通報する。

本願発明の一態様の診断方法は、複数のサブネットワークが接続されて構成されたネットワークと、管理者が設定した認証情報に基づいて、ネットワークに設けられた機器への管理者のログインを認証する認証機器と、を有するネットワークシステムに設けられた診断装置によって、認証機器に設定された認証情報の診断を行う。この診断方法においては、診断装置によって、認証機器に設定された認証情報を認証機器から定期的に読み出し、過去の認証情報を予め元の認証情報として記憶しているネットワークシステム内の記憶先から元の認証情報を読み出し、認証機器から定期的に読み出した認証情報と、記憶先から読み出した元の認証情報とを定期的に比較し、認証機器から読み出した現在の認証情報が、元の認証情報と不一致の場合には、管理者に対して不一致である旨を通報する。

本願発明の一態様の診断装置及び診断方法によれば、通信制御機器に設定されている現在の構成情報と、記憶先の元の構成情報とを読み出し、両者を比較して、両者が不一致の場合には、通信制御機器の管理者に対してその不一致を通報する。そのため、通信制御機器そのものの機能や健全性に依存せずに、構成情報に改ざん等の意図しない変更があっても、その構成情報の意図しない変更を早期に検出することが可能になる。

本願発明の一態様の診断装置及び診断方法によれば、認証機器に設定されている現在の認証情報と、記憶先の元の認証情報とを読み出し、両者を比較して、両者が不一致の場合には、管理者に対してその不一致を通報する。そのため、認証機器そのものの機能や健全性に依存せずに、認証情報に改ざん等の意図しない変更があっても、その認証情報の意図しない変更を早期に検出することが可能になる。

第１実施形態におけるネットワークシステムの概略構成図である。 診断装置に関する動作の説明図である。 診断装置及びファイアーウォールの動作のフローチャートである。 第２実施形態におけるネットワークシステムの概略構成図である。 変形例におけるネットワークシステムの概略構成図である。 第３実施形態におけるネットワークシステムの概略構成図である。

以下、図面を参照して、本発明の実施形態について説明する。

（第１実施形態）
図１は、本発明の第１実施形態におけるネットワークシステムの概略構成図である。

ネットワークシステム１は、通信装置群１１を介して接続された複数のネットワーク、すなわち、ＯＴ（Operational Technology）ネットワーク２、管理ネットワーク３、及び、専用線ネットワーク４を備える。ＯＴネットワーク２、管理ネットワーク３、及び、専用線ネットワーク４に含まれる機器は、自身の所属するネットワークを超えて通信装置群１１を介して相互に通信可能に構成されている。

また、通信装置群１１は、１つ以上の通信装置により構成されてもよい。また、診断装置１２は、通信装置群１１とＬＡＮ（Local Area Network）またはコンソールにより接続されており、通信装置群１１を介して、ＯＴネットワーク２、管理ネットワーク３、及び、専用線ネットワーク４内のファイアーウォール２７～２９、３５、３６、４３と通信可能に構成されている。診断装置１２は、自身が備えるプログラム処理を実行しており、所定の周期でファイアーウォール２７～２９、３５、３６、４３の構成情報の診断を行う。診断装置１２による診断処理の詳細な説明は、図２、３を用いて後述する。

ＯＴネットワーク２は、任意の数の機械設備を有しており、本実施形態においては、３つの機械設備２１～２３を備える。機械設備２１～２３は、例えば、工場のライン等であって、それぞれ複数の機器（不図示）を備える。機械設備２１～２３は、さらに、それらの機器を制御する設備制御装置２４～２６を備える。そして、機械設備２１～２３の機器及び設備制御装置２４～２６を接続するサブネットワークであるＬＡＮ１～ＬＡＮ３が構成されている。

ＬＡＮ１～ＬＡＮ３は、それぞれ、ファイアーウォール２７～２９を介して、機械設備２１～２３と通信装置群１１とを接続させている。それぞれの機械設備２１～２３内の機器の数は任意である。また、３つの機械設備２１～２３は、同じ工場の敷地内に設けられてもよいし、個々に遠隔に配置されてもよい。ファイアーウォール２７～２９は、通信制御機器の一例である。

なお、この図の例においては、ＯＴネットワーク２は、３つの機械設備２１～２３を備えているが、１、２または、４以上の任意の数の機械設備を備えてもよい。それぞれの機械設備２１～２３は、それらの含まれる機器と設備制御装置２４～２６を含む任意の数のネットワークを構成し、ファイアーウォールを介して通信装置群１１と接続されてもよい。

管理ネットワーク３は、中央操作室３１と計算機室３２とを備える。中央操作室３１には管理者がネットワークシステム１の全体を監視するために用いる監視端末３３が設けられる。計算機室３２にはネットワークシステム１の全体における動作ログを蓄積可能な蓄積処理装置３４が設けられる。中央操作室３１内の監視端末３３を外部と接続可能なように構成されるネットワークとしてＬＡＮ４が構成される。計算機室３２内の蓄積処理装置３４を外部と接続可能なように構成されるネットワークとしてＬＡＮ５が構成される。なお、ＬＡＮ４及びＬＡＮ５においては、それぞれ、監視端末３３及び蓄積処理装置３４以外の他の機器が設けられて接続されてもよい。

より詳細には、中央操作室３１においては、管理者が監視端末３３を操作することにより、通信装置群１１を介してＯＴネットワーク２内の設備制御装置２４～２６を制御し、その結果、機械設備２１～２３の機器の制御及び監視を行う。計算機室３２においては、蓄積処理装置３４は、通信装置群１１を介してＯＴネットワーク２内の設備制御装置２４～２６の制御ログや、機械設備２１～２３の機器の動作ログなどを受信し、蓄積処理装置３４に記録する。なお、管理ネットワーク３内の機器については、その用途等に応じて任意に構成できる。

専用線ネットワーク４は、ＷＡＮのような広域ネットワークを介して、一般的なクラウドサービス４１等と接続可能に構成されている。さらに、専用線ネットワーク４は、ネットワークシステム１内の種々の機器の構成情報を記録するマスターデータベース４２を備える。専用線ネットワーク４は、便宜上、ＬＡＮ６として示されており、ファイアーウォール４３を介して通信装置群１１と接続されている。ファイアーウォール４３は、構成情報に沿って動作して、ネットワークシステム１内での通信経路を介した通信を制御する。

ここで、ＬＡＮ１～ＬＡＮ６のそれぞれにおいて通信装置群１１との間にファイアーウォール２７～２９、３５、３６、４３が設けられている。これらの構成のうちファイアーウォール２７について説明すれば、ファイアーウォール２７には、構成情報として通過するデータの疎通ルールが定義されている。この疎通ルールによれば、ファイアーウォール２７は、宛先として機械設備２１のデータに限定してデータを通過させるだけでなく、機械設備２１にデータを送信できる送信元を例えば監視端末３３のみに限定してデータを通過させてもよい。また、ファイアーウォール２７は、送信先及び送信元に応じて、特定のアプリケーションのデータの通過を許可するようにポートを限定してデータを通過させてもよい。さらに、ファイアーウォール２７に設定される構成情報には、これらの疎通ルールだけでなく、自身の起動時に実行されるサービス、アクセスする管理者のＩＤ及びパスワード、クラスマップの設定や、接続先の機械設備２１の通信能力に応じた通信に関する設定も記憶されている。これらの構成情報は、予め管理者の入力等によってマスターデータベース４２に記憶されており、ファイアーウォール２７の初期設定時や設定変更時に、マスターデータベース４２から取得される。

図２は、診断装置１２に関する動作の説明図である。図２に示すように、ネットワークシステム１には、診断装置１２、ファイアーウォール２７、及び、マスターデータベース４２が設けられている。なお、ファイアーウォール２８、２９、３５、３６、４３は、ファイアーウォール２７と同等の動作をするため、ここでは説明を簡単にするためにその記載は省略し、ファイアーウォール２７に着目して以下説明する。

ファイアーウォール２７は、演算装置やプログラム等を記憶する記憶領域を備える装置であって、所定のプログラムを実行する。記憶領域としては、電源オフによって消去されない不揮発メモリ５０、及び、プログラムの実行中に一時記憶領域として利用される作業用メモリ５１（例えば、ＲＡＭ）を備えている。また、後述のように、マスターデータベース４２には、ファイアーウォール２７の最初の起動前に管理者によりマスター構成情報５４が記録されている。そして、不揮発メモリ５０には、ファイアーウォール２７の最初の起動時において取得されるマスター構成情報５４が、初期構成情報５２（StartupConfig）として記憶されている。

詳細には、マスターデータベース４２には、ファイアーウォール２７の最初の起動前に、管理者によってファイアーウォール２７の構成情報が、マスター構成情報５４として記録されている。すなわち、マスターデータベース４２には、元の構成情報としてマスター構成情報５４が長期保管されている。マスターデータベース４２は暗号化されていてもよい。

ファイアーウォール２７は、最初の起動時において、管理者による初期設定により、マスターデータベース４２に記憶されているファイアーウォール２７のマスター構成情報５４を取得し、不揮発メモリ５０に初期構成情報５２として記録する。

ファイアーウォール２７は、毎回の起動時に、不揮発メモリ５０から初期構成情報５２を読み込み、作業用メモリ５１に稼働中構成情報５３（RunningConfig）として記録する。稼働中構成情報５３は、ファイアーウォール２７内で実行されるプログラムにより参照される。

なお、マスター構成情報５４の更新は、管理者の操作によって任意のタイミングで実行することができる。同様に、管理者の操作によって、ファイアーウォール２７は、任意のタイミングで、マスター構成情報５４をマスターデータベース４２から取得して、初期構成情報５２として不揮発メモリ５０に上書きして記録できる。そして、管理者の操作によって、ファイアーウォール２７は、任意のタイミングで、不揮発メモリ５０から初期構成情報５２を読み出して、作業用メモリ５１に稼働中構成情報５３として記録できる。さらに、管理者の操作によって、不揮発メモリ５０の初期構成情報５２、及び、作業用メモリ５１の稼働中構成情報５３は、ファイアーウォール２７の稼働中に、その一部を変更できる。

診断装置１２は、不揮発メモリ５５及び作業用メモリ５６を備える。診断装置１２は、予めマスターデータベース４２に記憶されたマスター構成情報５４を、ＬＡＮ６や通信装置群１１などを介して取得し、不揮発メモリ５５にマスター構成情報５７として一時保管する。そして、診断装置１２は、ファイアーウォール２７から、記憶先となる不揮発メモリ５０に記憶された初期構成情報５２、及び、作業用メモリ５１に展開されている現在の稼働中構成情報５３を、ＬＡＮ１や通信装置群１１を介して定期的に取得し、それぞれ、作業用メモリ５６において初期構成情報５８及び稼働中構成情報５９として記録する。

診断装置１２は、作業用メモリ５６に記録されている初期構成情報５８と稼働中構成情報５９と、不揮発メモリ５５に記録されているマスター構成情報５７と、の３種類の構成情報の相互の比較を行い、一致するか否かを判定する。そして、診断装置１２は、これらの値が一致しない場合には、中央操作室３１の監視端末３３に対してメールやPush配信等によって、不一致である旨の表示等を通じて管理者に通報する。なお、構成情報の取得及び比較は、所定の間隔で繰り返し行われる。また、その他、診断装置１２は、初期構成情報５８や稼働中構成情報５９について、過去に取得した値と比較し、不一致の場合には同様に不一致の旨を管理者に通報してもよい。

図３は、診断装置１２及びファイアーウォール２７の動作を示すフローチャートである。診断装置１２とファイアーウォール２７とは互いに関連して動作しており、図左側には診断装置１２の処理であるステップＳ６１～Ｓ７２までが示されており、図右側には、ファイアーウォール２７の処理であるステップＳ７３～Ｓ７６の処理が示されている。図示されるように、診断装置１２のステップＳ６１～Ｓ６４の処理と、ファイアーウォール２７のステップＳ７３～Ｓ７５の処理は相互に関連している。

診断装置１２は、所定の周期で図３に示される処理を実行しており、ユーザからの入力を受け付けることなく図示された処理を開始する。診断装置１２は動作を開始すると、ステップＳ６１において、まず、マスターデータベース４２にアクセスして、マスター構成情報５４を取得し、不揮発メモリ５５にマスター構成情報５７として一時保管する。マスターデータベース４２は、例えば暗号化鍵等を用いた比較的堅牢性の高い状態でマスター構成情報５４を保管しており、診断装置１２は、マスターデータベース４２から、復号処理等を行ってマスター構成情報５４を取得する。

ステップＳ６２において、診断装置１２は、診断装置１２内部のソフトウェア処理によってファイアーウォール２７に対してログインを行う。パスワード認証の場合には、診断装置１２には、ファイアーウォール２７のログイン情報としてＩＤとパスワードとが予め登録されており、診断装置１２は、これらのログイン情報が含まれたログインと稼働中構成情報５３及び初期構成情報５２の情報取得との要求をファイアーウォール２７に送信する。

ステップＳ７３では、診断装置（１２）からファイアーウォール２７に対してログインが行われる。ファイアーウォール２７は、診断装置１２からログイン情報を含むログイン・情報取得要求を受信すると、まず、受信したログイン情報を予め記憶されている認証情報と比較して、ＩＤとパスワードが一致する場合には、ログインを許可する。ファイアーウォール２７は、このようなログイン処理を通常の動作中に受け付けることができ、通常動作の実行中にログイン要求を受信すると、ログインを許可する。

ステップＳ７４において、ファイアーウォール２７は、診断装置１２からのログイン要求に応じて、作業用メモリ５１に記録されている稼働中構成情報５３を診断装置１２に送信する。ファイアーウォール２７においては、一般的に稼働中構成情報５３を出力するコマンドが用意されており、当該コマンドを実行することで出力された稼働中構成情報５３を、診断装置１２に送信する。

ステップＳ７５において、ファイアーウォール２７は、不揮発メモリ５０に記憶されている初期構成情報５２を診断装置１２に送信する。ファイアーウォール２７においては、不揮発メモリ５０に記憶されている初期構成情報５２を読み出して出力するコマンドが用意されており、当該コマンドを実行することで出力された初期構成情報５２を、診断装置１２に送信する。

ステップＳ７６において、ファイアーウォール２７は、初期構成情報５２及び稼働中構成情報５３の送信を終えると、ログアウト処理を実行し、通常の動作を継続する。

再び、診断装置１２の処理に戻って説明する。診断装置１２は、ステップＳ６３において、ステップＳ７４でファイアーウォール２７から送信された稼働中構成情報５３を取得するとともに、ステップＳ６４において、ステップＳ７５でファイアーウォール２７から送信された初期構成情報５２を取得する。診断装置１２は、取得した初期構成情報５２及び稼働中構成情報５３を、それぞれ、作業用メモリ５６に、初期構成情報５８及び稼働中構成情報５９としてタイムスタンプとともに記憶する。

ステップＳ６５において、診断装置１２は、取得して作業用メモリ５６に記憶されている現在の稼働中構成情報５９と初期構成情報５８とを比較する。

ステップＳ６６において、診断装置１２は、現在の稼働中構成情報５９と初期構成情報５８とが一致すると判断した場合には（Ｓ６６：Ｙｅｓ）、次にステップＳ６７の処理を行い、両者が一致しない場合には（Ｓ６６：Ｎｏ）、次にステップＳ７２の処理を行う。

ステップＳ６６において稼働中構成情報５９と初期構成情報５８が一致していないとの判定結果が得られると（Ｓ６６：Ｎｏ）、ステップＳ７２において、診断装置１２は、取得した現在の稼働中構成情報５３と、不揮発メモリ５５に記憶されている初期構成情報５２とが不一致である旨を中央操作室３１の監視端末３３に送信して、例えば監視端末３３の表示部に不一致である旨を表示させるなどして管理者に通報する。

一方、ステップＳ６６において稼働中構成情報５９と初期構成情報５８が一致しているとの判定結果が得られると（Ｓ６６：Ｙｅｓ）、ステップＳ６７において、診断装置１２は、例えば不揮発メモリ５５に両者が一致していたことを示す比較結果を記録する。この記録には、比較対象となった初期構成情報５２及び稼働中構成情報５３の取得時刻（タイムスタンプ）もあわせて記録される。

ステップＳ６７の後には、ステップＳ６８において、診断装置１２は、取得した現在の稼働中構成情報５３と、不揮発メモリ５５に記憶されているマスター構成情報５４とを比較する。

ステップＳ６９において、診断装置１２は、取得して作業用メモリ５６に記憶されている現在の稼働中構成情報５９と、ステップＳ６１で取得して不揮発メモリ５５に記憶されているマスター構成情報５７とが一致するか否かを判定する。両者が一致する場合には（Ｓ６９：Ｙｅｓ）、診断装置１２は、次にステップＳ７０の処理を行い、両者が一致しない場合には（Ｓ６９：Ｎｏ）、診断装置１２は、次にステップＳ７２の処理を行う。

ステップＳ６９において両者が一致していないとの判定結果が得られると（Ｓ６９：Ｎｏ）、診断装置１２は、ステップＳ７２において、取得した現在の稼働中構成情報５３と、不揮発メモリ５５に記憶されているマスター構成情報５４とが不一致である旨を中央操作室３１の監視端末３３に送信して、例えば監視端末３３の表示部に不一致である旨を表示させるなどして管理者に通報する。

一方、ステップＳ６９において両者が一致しているとの判定結果が得られると（Ｓ６９：Ｙｅｓ）ステップＳ７０において、診断装置１２は、例えば不揮発メモリ５５に両者が一致していたことを示す比較結果を記録する。

ステップＳ７０の処理の後には、ステップＳ７１において、診断装置１２は、次回の診断時間になるまで待機する。診断装置１２は、診断時間まで待機した後、ステップＳ６２の処理を再度実行する。次回の診断時間までの待機時間は診断の間隔を示しており、１～数時間が好ましいが、任意の時間が設定可能である。このようにして、診断装置１２は、現在の稼働中構成情報５３と初期構成情報５２とが一致しているか否かの判断と、現在の稼働中構成情報５３とマスター構成情報５４とが一致しているか否かの判断とを、定期的に行う。

なお、本実施形態においては、稼働中構成情報５３と初期構成情報５２との比較、及び、稼働中構成情報５３とマスター構成情報５４との比較をしたが、これに限らない。稼働中構成情報５３、初期構成情報５２、及び、マスター構成情報５４の３つを同時に比較してもよい。また、初期構成情報５２、稼働中構成情報５３、及び、マスター構成情報５４の少なくとも１つの構成情報について、タイムスタンプ付きで記録された過去のこれらの構成情報と比較してもよい。

また、稼働中構成情報５３、初期構成情報５２、及び、マスター構成情報５４について、それらの構成情報の正当性の確認（バリデーション）を行ってもよい。このような処理を含めることで、より確実に、構成情報の意図しない変更を検出できる。

このような第１実施形態の診断装置１２によれば、ファイアーウォール２７における稼働中構成情報５３と、その元の構成情報である初期構成情報５２を読み出して記録し、読みだした初期構成情報５２と稼働中構成情報５３とを比較して、両者が不一致の場合には、ファイアーウォール２７の管理者に対してその不一致を通報する。

ファイアーウォール２７はソフトウェアで動作するコンピュータの一種であるため、製造者が意図しない機能上の不備（脆弱性とも称される）もあり得る。悪意のある第三者は、このような脆弱性を利用して構成情報を書き換えてしまう。ファイアーウォール２７は意図しない変更の検出やログ機能を備えているが、対象の機器が正常に動作していることが前提となっており、例えば、一時的なログの停止等をされてしまうと変更の検出に時間を要する。

本実施形態においては稼働中構成情報５３と元の構成情報である初期構成情報５２とを定期的に比較する。初期構成情報５２、及び、稼働中構成情報５３の両者に対して意図しない変更が短時間で生じる可能性は低い。そのため、悪意のある第三者により改ざん等の意図しない変更が稼働中構成情報５３にされても、診断装置１２は、初期構成情報５２と稼働中構成情報５３とを比較することで、その意図しない変更を検出することが可能になる。そして、本実施形態の診断装置１２は、このような比較処理を定期的に行うため、初期構成情報５２及び稼働中構成情報５３の一方の変更の早期の検出が可能となる。

また、診断装置１２は、複数の通信制御機器であるファイアーウォール２７～２９、３５、３６、４３に対しても、同様に初期構成情報５２、及び、稼働中構成情報５３の変更を早期に診断することが可能であるため、診断対象となるファイアーウォールの数を容易に変更できる。

さらに第１実施形態の診断装置１２によれば、ファイアーウォール２７における初期構成情報５２、及び、稼働中構成情報５３を周期的に読み出して、タイムスタンプを付して記録する。そして、診断装置１２は、読み出した初期構成情報５２及び稼働中構成情報５３を、過去の初期構成情報５２及び稼働中構成情報５３と比較して、いずれかが不一致の場合には管理者に対してその不一致を通報する。このようにすることで、初期構成情報５２、及び、稼働中構成情報５３の両者に意図しない変更があった場合でも、その変更を検出できる。

第１実施形態のネットワークシステム１では、マスターデータベース４２等の外部記憶媒体にマスター構成情報５４が記憶されており、ファイアーウォール２７は、初期設定時などに、例えばマスターデータベース４２からマスター構成情報５４を取得して、初期構成情報５２を設定する。診断装置１２は、ファイアーウォール２７から読み出して作業用メモリ５６に記録した初期構成情報５８、及び、稼働中構成情報５９と、不揮発メモリ５５に一時保管したマスター構成情報５４とを比較し、両者が不一致の場合には管理者に対して不一致である旨を通報する。このような比較をさらに行うことで、さらに確実に意図しない構成情報の変更を検出できる。

（第２実施形態）
第１実施形態においては、ネットワークシステム１において、ＬＡＮ１～ＬＡＮ６のそれぞれと対応して通信制御装置であるファイアーウォール２７～２９、３５、３６、４３が設けられ、これらのＬＡＮ１～ＬＡＮ６が通信装置群１１を介して接続されたがこれに限らない。第２実施形態においては、他の通信制御装置の配置方法について説明する。

図４は、第２実施形態におけるネットワークシステム１Ａの概略構成図である。図４に示すネットワークシステム１Ａは、図１に示した第１実施形態のネットワークシステム１と比較すると、ファイアーウォール２７～２９、３５、３６、４３が設けられておらず、Ｌ３スイッチである通信装置８１と、通信装置８１に接続されたファイアーウォール８２とが設けられている。

ＯＴネットワーク２内では、３つの機械設備２１～２３の設備制御装置２４～２６と通信装置８１とを接続するＬＡＮ１～ＬＡＮ３は、仮想的なセグメントが設けられたＶＬＡＮ（Virtual Local Area Network）として機能してもよい。同様に、管理ネットワーク３内では、中央操作室３１と監視端末３３、及び、計算機室３２と蓄積処理装置３４と通信装置８１に接続するＬＡＮ４～ＬＡＮ５がＶＬＡＮとして機能してもよい。専用線ネットワーク４のＬＡＮ６は、同様にＶＬＡＮとして機能してもよい。なお、ＬＡＮ１～ＬＡＮ６はＶＬＡＮとして機能しなくてもよく、ＶＬＡＮではないＬＡＮ１～ＬＡＮ６がＬ３スイッチの通信装置８１により接続されてもよい。

Ｌ３スイッチである通信装置８１は、これらのＶＬＡＮを相互に接続しており、ＶＬＡＮに関するデータの疎通ルールがファイアーウォール８２の構成情報に記載されている。データの疎通ルールは、第１実施形態のファイアーウォール２７～２９、３５、３６、４３と同様に、どのようなデータの通過を許可するかを示す。また、構成情報には、疎通ルール以外にも、起動時に実行されるサービス等の種々の設定情報が含まれ得る。

診断装置１２は、通信装置８１を介してファイアーウォール８２にアクセス可能に構成されている。診断装置１２は、図３に示された第１実施形態と同様の処理により、ファイアーウォール８２内の不揮発メモリ５０に記憶された初期構成情報５２、作業用メモリ５１に記憶された稼働中構成情報５３、及び、マスターデータベース４２に記憶されたマスター構成情報５４をそれぞれ読み出して比較する。そして、上述した第１実施形態と同様に、診断装置１２は、現在の稼働中構成情報５３と初期構成情報５２とを比較し、両者が一致しているか否かの判断と、現在の稼働中構成情報５３とマスター構成情報５４とを比較し、両者が一致しているか否かの判断とを、定期的に行う。これらの比較結果が不一致の場合には管理者に通報する。

このような第２実施形態の診断装置１２によれば、ＬＡＮ１～ＬＡＮ６がＬ３スイッチの通信装置８１により接続されているネットワークシステム１Ａでも、診断装置１２の構成を大きく変更することなく、上述した第１実施形態と同様に、初期構成情報５２、及び、稼働中構成情報５３に改ざん等の意図しない変更があっても、その意図しない変更を早期に検出することが可能になる。

（変形例）
第２実施形態においては、Ｌ３スイッチである通信装置８１がファイアーウォール８２と別体として設けられたが、これに限らない。図５に示すように、ネットワークシステム１Ｂに、構成情報を記憶する構成情報記憶部８３を記憶先として設け、通信装置８１、構成情報記憶部８３及び診断装置１２が一体となったファイアーウォール８２Ｂを設けてもよい。このようにすることで、既存の通信装置群やファイアーウォールからの置き換えを容易に行うことができる。

（第３実施形態）
第１及び第２実施形態においては、ネットワークシステムに用いる情報の正当性を確かめるための診断として、診断装置１２によって、ファイアーウォール２７～２９、３５、３６、４３、８２に設定された構成情報の正当性を確かめるための診断について説明したが、本発明はこれに限らない。第３実施形態においては、ネットワークシステムに用いる他の情報の正当性の診断を行う技術について説明する。

図６は、第３実施形態のネットワークシステム１Ｃを示す概略構成図である。図６に示すように、第３実施形態のネットワークシステム１Ｃは、図４に示した第２実施形態のネットワークシステム１Ｂと比較すると、さらに、通信装置８１に認証機器８４が接続されている。

ＯＴネットワーク２を含む場合に限らず、ネットワークシステム１Ｃのように、接続される機器や、当該機器を使用する人物を特定し、ネットワーク接続に許可を与える認証機器８４が含まれることがある。一例としては、パソコンなどの機器に電子証明書を導入することで、電子証明書に基づくネットワーク接続認証を行うことができる。詳細には、ＲＡＤＩＵＳ（Remote Authentication Dial In User Service）サーバなどが使用され得る。また接続する人物を特定するためには、ＡＤ（Active Directory）サーバのようにパスワードや二要素認証を行う認証機器８４が用いられることもある。これらの具体例に限らず、認証機器８４は、接続許可を与える機器や人物、または接続許可を与えてない機器や人物の識別子及び対応する認証情報が保存されている。

例えば、認証機器８４は通信装置８１及び診断装置１２と接続されている。認証機器８４は、ユーザである管理者が中央操作室３１の監視端末３３を介して通信装置８１にログインする際の管理者の認証処理を行う。管理者により監視端末３３から入力された認証情報は、ＬＡＮ４及び通信装置８１を介して認証機器８４に送信される。認証機器８４は、受信した認証情報と予め記憶されている認証情報とが一致する場合には、監視端末３３から設定された認証情報を正しい情報であるとして記憶し、通信装置８１に対して監視端末３３からのアクセスを許可させる。

このように認証機器８４に設定される認証情報は、認証機器８４及びマスターデータベース４２に記憶される。すなわち、マスターデータベース４２には、認証機器８４の最初の起動の前に、管理者の設定によってマスター認証情報が記録される。そして、認証機器８４は、初回起動時に、ＬＡＮ４及び通信装置８１を介して取得した認証情報を初期認証情報として、認証機器８４が有する不揮発メモリに記録する。認証機器８４は、毎回の起動時に、当該不揮発メモリから初期認証情報を読み込み、認証機器８４が有する作業用メモリに稼働中認証成情報として記録する。

そして、診断装置１２は、接続された認証機器８４との間で、図３に示した処理と同様の処理を行う。すなわち、診断装置１２は、マスターデータベース４２からマスター認証情報を取得すると、不揮発メモリ５５に記録する。さらに、診断装置１２は、認証機器８４から初期認証情報及び稼働中認証情報を取得すると、作業用メモリ５６に記録する。そして、作業用メモリ５６の稼働中認証情報と初期認証情報との比較、及び、作業用メモリ５６の稼働中認証情報と不揮発メモリ５５のマスター認証情報とを比較し、それぞれの比較結果のいずれかにおいて両者が一致しない場合には、管理者にその不一致を通報する。

以上のように、第３実施形態に係る診断装置１２は、認証機器８４に設定された認証情報を当該認証機器８４から定期的に読み出し、過去の認証情報を予め元の認証情報（初期認証情報及びマスター認証情報）として記憶している、ネットワークシステム１Ｃ内の記憶先となる認証機器８４の不揮発メモリやマスターデータベース４２から、元の認証情報を読み出す。そして、診断装置１２は、認証機器８４から定期的に読み出した認証情報と、当該記憶先から読み出した元の認証情報とを定期的に比較し、認証機器８４から読み出した現在の認証情報が、元の認証情報と不一致の場合には、認証機器８４の管理者に対して不一致である旨を通報する。

このような第３実施形態の診断装置１２によれば、第１及び第２実施形態において示した診断装置１２の構成を大きく変更することなく、当該診断装置１２を用いて、認証機器８４の認証処理に用いる認証情報の意図しない変更を早期に検出できる。さらに、診断装置１２によって第１実施形態や第２実施形態で説明した処理を実行させることにより、ファイアーウォール２７の構成情報についての正当性の診断と併用させることもでき、かくして、ファイアーウォール２７の構成情報と認証機器８４の認証情報を包括的に診断することができる。

（変形例）
第３実施形態においては、認証機器８４を通信装置８１に併設させたネットワークシステム１Ｃについて説明したが、本発明はこれに限らない。例えば、他のネットワークシステムとして、ＯＴネットワーク２の各設備制御装置２４～２６、管理ネットワーク３の監視端末３３、蓄積処理装置３４、及び、専用線ネットワーク４のマスターデータベース４２にも、認証機器８４をそれぞれ個別に設けたネットワークシステムとしてもよい。また、ＯＴネットワーク２の機械設備２１～２３に含まれる機器の個々にも、認証機器８４を設けた構成としてもよい。このように、ネットワークシステムを構成する各機器に、適宜、認証機器８４を設けた場合でも、上述した第３実施形態の診断装置１２を用いることで、それぞれの認証機器８４に設定した認証情報について正当性を診断することができる。なお、診断装置１２については、各認証機器８４に個別に設けるようにしてもよく、サブネットワーク単位で設けるようにしてもよく、またＯＴネットワーク２や管理ネットワーク３単位等で設けるようにしてもよい。

生産現場やインフラなどのＯＴネットワーク２において、末端の装置や機器の認証処理をクラウドなど遠隔に依存すると、ＯＴネットワーク２での稼働や保守が困難となることや、応答性能が劣ることがある。これに対して、本変形例においては、ＯＴネットワーク２、管理ネットワーク３、及び、専用線ネットワーク４における認証処理はローカルで行われるとともに、これらの他の認証機器の認証情報の検証についても定期的に行うことができるようになるため、通信状態に依存せずに、他の認証機器の認証情報の意図しない変更を早期に検出することができる。

本発明は、本発明の広義の精神と範囲を逸脱することなく、様々な実施形態及び変形が可能とされるものである。また、上述した実施形態は、本発明を説明するためのものであり、本発明の範囲を限定するものではない。すなわち、本発明の範囲は、実施形態ではなく、特許請求の範囲によって示される。そして、特許請求の範囲内及びそれと同等の発明の意義の範囲内で施される様々な変形が、本発明の範囲内とみなされる。

１、１Ａ、１Ｂ、１Ｃ ネットワークシステム
２ ＯＴネットワーク（ネットワーク）
１１ 通信装置群
１２ 診断装置
２７～２９、３５、３６、４３、８２、８２Ｂ ファイアーウォール（通信制御機器）
４２ マスターデータベース（記憶先）
５０、５５ 不揮発メモリ（記憶先）
５２、５８ 初期構成情報（元の構成情報）
５３、５９ 稼働中構成情報
５４、５７ マスター構成情報（元の構成情報）
８１ 通信装置
８４ 認証機器
ＬＡＮ１～ＬＡＮ６（サブネットワーク）

Claims (9)

1. 複数のサブネットワークが接続されて構成されたネットワークと、管理者が設定した構成情報に沿って動作して通信経路における通信を制御する通信制御機器と、を有したネットワークシステムに設けられ、前記通信制御機器に設定された前記構成情報の診断を行う、診断装置であって、
   前記通信制御機器に設定された前記構成情報を前記通信制御機器から定期的に読み出し、過去の前記構成情報を予め元の構成情報として記憶している前記ネットワークシステム内の記憶先から前記元の構成情報を読み出し、
   前記通信制御機器から定期的に読み出した前記構成情報と、前記記憶先から読み出した前記元の構成情報とを定期的に比較し、
   前記通信制御機器から読み出した現在の前記構成情報が、前記元の構成情報と不一致の場合には、前記管理者に対して前記不一致である旨を通報し、
   前記記憶先が前記通信制御機器の不揮発メモリであり、前記不揮発メモリに前記元の構成情報として記憶されている初期構成情報を読み出し、
   前記通信制御機器の起動時に前記初期構成情報が前記通信制御機器の作業用メモリに稼働中構成情報として読み出されて、前記稼働中構成情報に沿って動作する前記通信制御機器から前記稼働中構成情報を定期的に読み出し、
   前記通信制御機器から読み出した前記初期構成情報と現在の前記稼働中構成情報とを定期的に比較し、
   現在の前記稼働中構成情報が前記初期構成情報と不一致の場合には、前記管理者に対して前記不一致である旨を通報する、診断装置。
2. 前記通信制御機器から読み出した前記初期構成情報及び前記稼働中構成情報を記録しておき、
   前記通信制御機器から読み出した前記初期構成情報及び前記稼働中構成情報と、前記記録された過去の前記初期構成情報及び前記稼働中構成情報とを、それぞれ定期的に比較し、
   前記通信制御機器から読み出した前記初期構成情報及び前記稼働中構成情報と、前記記録された過去の前記初期構成情報及び前記稼働中構成情報とのうち、少なくとも一方が不一致の場合には、前記管理者に対して前記不一致である旨を通報する、請求項１に記載の診断装置。
3. 前記記憶先が前記ネットワークシステムに設けられた外部記憶媒体であり、前記外部記憶媒体に前記元の構成情報として記憶されているマスター構成情報を前記外部記憶媒体から読み出し、前記通信制御機器から現在の前記構成情報を読み出し、
   前記通信制御機器から読み出した前記構成情報と、前記外部記憶媒体から読み出した前記マスター構成情報とを定期的に比較し、
   前記通信制御機器から読み出した現在の前記構成情報が、前記マスター構成情報と不一致の場合には、前記管理者に対して前記不一致である旨を通報する、請求項１に記載の診断装置。
4. 前記構成情報は、前記通信制御機器を通るデータの、送信元、送信先、及び、前記データのサービスのうちのいずれかを示す識別子を含む、請求項１に記載の診断装置。
5. 前記通信制御機器は、前記サブネットワークの通信経路のそれぞれに設けられるファイアーウォールである、請求項１に記載の診断装置。
6. 前記通信制御機器は、前記サブネットワークを接続するＬ３スイッチである、請求項１に記載の診断装置。
7. 複数のサブネットワークが接続されて構成されたネットワークと、管理者が設定した認証情報に基づいて、前記ネットワークに設けられた機器への前記管理者のログインを認証する認証機器と、を有したネットワークシステムに設けられ、前記認証機器に設定された前記認証情報の診断を行う、診断装置であって、
   前記認証機器に設定された前記認証情報を前記認証機器から定期的に読み出し、過去の前記認証情報を予め元の認証情報として記憶している前記ネットワークシステム内の記憶先から前記元の認証情報を読み出し、
   前記認証機器から定期的に読み出した前記認証情報と、前記記憶先から読み出した前記元の認証情報とを定期的に比較し、
   前記認証機器から読み出した現在の前記認証情報が、前記元の認証情報と不一致の場合には、前記管理者に対して前記不一致である旨を通報する、診断装置。
8. 複数のサブネットワークが接続されて構成されたネットワークと、管理者が設定した構成情報に沿って動作して通信経路における通信を制御する通信制御機器と、を有するネットワークシステムに設けられた診断装置によって、前記通信制御機器に設定された前記構成情報の診断を行う、診断方法であって、
   前記診断装置によって、
   前記通信制御機器に設定された前記構成情報を前記通信制御機器から定期的に読み出し、過去の前記構成情報を予め元の構成情報として記憶している前記ネットワークシステム内の記憶先から前記元の構成情報を読み出し、
   前記通信制御機器から定期的に読み出した前記構成情報と、前記記憶先から読み出した前記元の構成情報とを定期的に比較し、
   前記通信制御機器から読み出した現在の前記構成情報が、前記元の構成情報と不一致の場合には、前記管理者に対して前記不一致である旨を通報し、
   前記記憶先が前記通信制御機器の不揮発メモリであり、前記不揮発メモリに前記元の構成情報として記憶されている初期構成情報を読み出し、
   前記通信制御機器の起動時に前記初期構成情報が前記通信制御機器の作業用メモリに稼働中構成情報として読み出されて、前記稼働中構成情報に沿って動作する前記通信制御機器から前記稼働中構成情報を定期的に読み出し、
   前記通信制御機器から読み出した前記初期構成情報と現在の前記稼働中構成情報とを定期的に比較し、
   現在の前記稼働中構成情報が前記初期構成情報と不一致の場合には、前記管理者に対して前記不一致である旨を通報する、診断方法。
9. 複数のサブネットワークが接続されて構成されたネットワークと、管理者が設定した認証情報に基づいて、前記ネットワークに設けられた機器への前記管理者のログインを認証する認証機器と、を有するネットワークシステムに設けられた診断装置によって、前記認証機器に設定された前記認証情報の診断を行う、診断方法であって、
   前記診断装置によって、
   前記認証機器に設定された前記認証情報を前記認証機器から定期的に読み出し、過去の前記認証情報を予め元の認証情報として記憶している前記ネットワークシステム内の記憶先から前記元の認証情報を読み出し、
   前記認証機器から定期的に読み出した前記認証情報と、前記記憶先から読み出した前記元の認証情報とを定期的に比較し、
   前記認証機器から読み出した現在の前記認証情報が、前記元の認証情報と不一致の場合には、前記管理者に対して前記不一致である旨を通報する、診断方法。

Images