特許 6430356 検知方法及び検知システム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6430356

(24)【登録日】2018年11月9日

(45)【発行日】2018年11月28日

(54)【発明の名称】検知方法及び検知システム

(51)【国際特許分類】

   G06F 21/55 20130101AFI20181119BHJP

   H04L 12/66 20060101ALI20181119BHJP

   H04L 12/70 20130101ALI20181119BHJP

【ＦＩ】

   G06F21/55 320

   H04L12/66 B

   H04L12/70 100Z

【請求項の数】3

【全頁数】15

(21)【出願番号】特願2015-215054(P2015-215054)

(22)【出願日】2015年10月30日

(65)【公開番号】特開2017-84296(P2017-84296A)

(43)【公開日】2017年5月18日

【審査請求日】2017年12月13日

(73)【特許権者】

【識別番号】000004226

【氏名又は名称】日本電信電話株式会社

(74)【代理人】

【識別番号】100147485

【弁理士】

【氏名又は名称】杉村 憲司

(74)【代理人】

【識別番号】100153017

【弁理士】

【氏名又は名称】大倉 昭人

(72)【発明者】

【氏名】山越 公洋

(72)【発明者】

【氏名】田中 政志

【審査官】 上島 拓也

(56)【参考文献】

【文献】 特開２００９−１００３５９（ＪＰ，Ａ）

【文献】 特開２００８−１４１３５２（ＪＰ，Ａ）

【文献】 特開２０１５−２１５０５４（ＪＰ，Ａ）

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｇ０６Ｆ ２１／５５

Ｈ０４Ｌ １２／６６

Ｈ０４Ｌ １２／７０

(57)【特許請求の範囲】

【請求項1】

中継装置と、該中継装置を介しネットワークに接続して使用する端末装置とを備えた検知システムにおける検知方法であって、
前記中継装置が、前記端末装置から動作ログを取得するステップと、
前記中継装置が、前記動作ログと、前記端末装置に関連する通信のパケットヘッダ情報とを用いて、前記端末装置に関連する通信に異常があるか否かを判定するステップと、
前記端末装置に関連する通信に異常があると判定した場合、前記中継装置が、前記端末装置と外部ネットワークとの間の送受信処理を停止するステップと、
を含み、
前記判定するステップは、
前記動作ログを取得してから所定時間が経過した後、前記中継装置が、前記端末装置を休止モードとして管理するステップと、
前記休止モードにおいて、前記パケットヘッダ情報を所定の回数以上取得した場合、前記中継装置が、前記端末装置に関連する通信に異常があると判定するステップとを含む検知方法。

【請求項2】

前記判定するステップは、
前記休止モードにおいて、前記中継装置が、さらに、前記端末装置に関連する通信のデータ総量が所定値を超えた場合、前記端末装置に関連する通信は異常であると判定するステップを含む請求項１に記載の検知方法。

【請求項3】

中継装置と、該中継装置を介しネットワークに接続して使用する端末装置とを備えた検知システムであって、
前記端末装置は、前記端末装置の動作を記録した動作ログを生成する動作監視部を有し、
前記中継装置は、
前記端末装置と外部ネットワークとの間の送受信処理を行うトラフィック処理部と、
前記動作ログと、前記端末装置に関連する通信のパケットヘッダ情報とを用いて、前記端末装置に関連する通信の異常を判定する異常検知部と、を有し、
前記異常検知部は、前記端末装置に関連する通信に異常があると判定した場合、前記トラフィック処理部に、前記端末装置と外部ネットワークとの間の送受信処理を停止させ、
前記異常検知部は、前記動作ログを取得してから所定時間が経過した後、前記端末装置を休止モードとして管理し、
前記異常検知部は、前記休止モードにおいて、前記パケットヘッダ情報を所定の回数以上取得した場合、前記端末装置に関連する通信に異常があると判定する、
ことを特徴とする検知システム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、検知方法及び検知システムに関する。

【背景技術】

【0002】

近年、ＩｏＴ（Internet Of Things）技術を用いて、ネットワークに接続して使用する機器（以下「ＩｏＴ機器」という）の利用が盛んである。しかしながら、その一方で、ファームウェアの更新を怠ること等により、攻撃者にマルウェア等によるＩｏＴ機器への侵入の機会を与えてしまっている。

【0003】

一般的に、攻撃者は、（１）バッファオーバーフロー等の脆弱性を利用してＩｏＴ機器に侵入した後、（２）実攻撃に先立って、Ｃ＆Ｃサーバ（command and control server）との通信を行い、ルートキット（Rootkit）のインストール等によって、ＩｏＴ機器に攻撃環境を構築し、（３）実攻撃を実行する、という（１）〜（３）のステップを行っている。

【0004】

ここで、（１）への対策として、シグネチャ解析等によるパターンマッチングを利用して、攻撃者のＩｏＴ機器への侵入を防ぐ方法が考えられる。また、（２）への対策として、Ｃ＆ＣサーバのＩＰアドレスのブラックリスト等を用いた通信トラフィックの解析を用いた手法が知られている（非特許文献１）。

【先行技術文献】

【非特許文献】

【0005】

【非特許文献1】Jan Goebel、Thorsten Holz、“Rishi: Identify Bot Contaminated Hosts by IRC Nickname Evaluation”、USENIX 2007

【発明の概要】

【発明が解決しようとする課題】

【0006】

しかしながら、（１）への対策において、上述のパターンマッチングを利用して攻撃者のＩｏＴ機器への侵入を防ぐ方法では、亜種によるゼロデイ攻撃を防止することができない。また、ＩｏＴ機器がＴＬＳ（Transport Layer Security）による暗号化通信を採用している場合は、パターンマッチングの手法を利用することができない。

【0007】

また、（２）において、従来のＣ＆ＣサーバはＩＰアドレスが固定的であったが、近年では、ＩＰアドレスが変化するＣ＆Ｃサーバが出現してきている。そのため、非特許文献１のような、Ｃ＆ＣサーバのＩＰアドレスのブラックリストを用いた手法では、ＩＰアドレスが変化するＣ＆Ｃサーバへの対策が困難である。

【0008】

本発明の目的は、上記の問題に鑑みてなされたものであり、攻撃サーバからＩｏＴ機器への侵入を防ぐことができる検知方法及び検知システムを提供することにある。

【課題を解決するための手段】

【0009】

上記課題を解決するため、本発明に係る検知方法は、中継装置と、該中継装置を介しネットワークに接続して使用する端末装置とを備えた検知システムにおける検知方法であって、前記中継装置が、前記端末装置から動作ログを取得するステップと、前記中継装置が、前記動作ログと、前記端末装置に関連する通信のパケットヘッダ情報とを用いて、前記端末装置に関連する通信に異常があるか否かを判定するステップと、前記端末装置に関連する通信に異常があると判定した場合、前記中継装置が、前記端末装置と外部ネットワークとの間の送受信処理を停止するステップと、を含み、前記判定するステップは、前記動作ログを取得してから所定時間が経過した後、前記中継装置が、前記端末装置を休止モードとして管理するステップと、前記休止モードにおいて、前記パケットヘッダ情報を所定の回数以上取得した場合、前記中継装置が、前記端末装置に関連する通信に異常があると判定するステップとを含む。

【0010】

また、上記課題を解決するため、本発明に係る検知システムは、中継装置と、該中継装置を介しネットワークに接続して使用する端末装置とを備えた検知システムであって、前記端末装置は、前記端末装置の動作を記録した動作ログを生成する動作監視部を有し、前記中継装置は、前記端末装置と外部ネットワークとの間の送受信処理を行うトラフィック処理部と、前記動作ログと、前記端末装置に関連する通信のパケットヘッダ情報とを用いて、前記端末装置に関連する通信の異常を判定する異常検知部と、を有し、前記異常検知部は、前記端末装置に関連する通信に異常があると判定した場合、前記トラフィック処理部に、前記端末装置と外部ネットワークとの間の送受信処理を停止させ、前記異常検知部は、前記動作ログを取得してから所定時間が経過した後、前記端末装置を休止モードとして管理し、前記異常検知部は、前記休止モードにおいて、前記パケットヘッダ情報を所定の回数以上取得した場合、前記端末装置に関連する通信に異常があると判定する、ことを特徴とする。

【発明の効果】

【0011】

本発明に係る検知方法及び検知システムによれば、攻撃サーバからＩｏＴ機器への侵入を防ぐことができる。

【図面の簡単な説明】

【0012】

【図1】第１の実施形態に係る検知システムの構成の一例を示す図である。

【図2】第１の実施形態に係る検知システムの動作の一例を示すフローチャートである。

【図3】異常検知部によるセンサ端末の異常モードの検知の一例を示す図である。

【図4】第２の実施形態に係る検知システムの構成の一例を示す図である。

【図5】第２の実施形態に係る検知システムの動作の一例を示すフローチャートである。

【発明を実施するための形態】

【0013】

以下、本発明に係る実施形態について、図面を参照して説明する。まず、本発明の第１の実施形態について説明する。第１の実施形態におけるＩｏＴ機器は、センサ端末であるものとする。

【0014】

（第１の実施形態）
[システム構成]
図１は、第１の実施形態に係る検知システム１の構成の一例を示す図である。検知システム１は、センサ端末（特許請求の範囲における「端末装置」）１００，１０１，１０２と、ＧＷ（ゲートウェイ）装置（特許請求の範囲における「中継装置」）２００と、要求サーバ３００とを備える。図１の例では、３つのセンサ端末１００〜１０２が示されているが、検知システム１が備えるセンサ端末の数はこれに限定されない。センサ端末１００〜１０２及びＧＷ装置２００は、例えば無線通信によって、互いに接続されている。また、ＧＷ装置２００及び要求サーバ３００は、ネットワーク４００を介して互いに接続されている。

【0015】

センサ端末１００〜１０２は、それぞれ、用途に応じたデータ（例えば、温度等）をセンシングする。そして、センサ端末１００〜１０２は、それぞれ、センサデータや、センサ動作等を記録したセンサ動作ログをＧＷ装置２００に送信する。

【0016】

ここで、センサ端末１００〜１０２は、データをセンシングすると、センサデータやセンサ動作ログを、リアルタイムでＧＷ装置２００に送信する。つまり、センサ端末１００〜１０２のセンサデータやセンサ動作ログは、それぞれ、センサ端末１００〜１０２のセンサ動作に関係して、ＧＷ装置２００に送信される。

【0017】

ＧＷ装置２００は、センサ端末１００〜１０２とネットワーク４００との間で、通信の中継を行う中継装置である。ＧＷ装置２００は、センサ端末１００〜１０２の各々から受信したセンサデータ等について、プロトコル変換等の処理を行った後、ネットワーク４００を介して要求サーバ３００等に転送する。また、ＧＷ装置２００は、ネットワーク４００を介して要求サーバ３００等から受信したデータ等について、プロトコル変換等の処理を行った後、それぞれ、センサ端末１００〜１０２に転送する。

【0018】

要求サーバ３００は、ＧＷ装置２００を介してセンサ端末１００〜１０２と通信を行う。また、ＧＷ装置２００を介し取得したセンサ端末１００〜１０２のセンサデータ等を解析及び処理する。

【0019】

攻撃サーバ５００は、例えばＣ＆Ｃサーバであり、センサ端末１００〜１０２への攻撃を企てる攻撃者のサーバである。図１に示すように、攻撃サーバ５００は、ネットワーク４００に接続されている。ここで、センサ端末１００〜１０２が攻撃サーバ５００に侵入された場合、センサ端末１００〜１０２のセンサ動作とは無関係に、センサ端末１００〜１０２とＧＷ装置２００を介した攻撃サーバ５００との通信が多発する。

【0020】

以下、センサ端末１００〜１０２及びＧＷ装置２００の構成及び機能について、より詳細に説明する。なお、本発明に係るセンサ端末１００〜１０２及びＧＷ装置２００の各機能を説明するが、センサ端末１００〜１０２及びＧＷ装置２００が備える他の機能を排除することを意図したものではないことに留意する。

【0021】

まず、センサ端末１００〜１０２について説明する。なお、センサ端末１００〜１０２は同様の構成を採用することができるため、以下では、センサ端末１００を例に用いて説明する。

【0022】

センサ端末１００は、動作監視部１１０、制御部１２０、記憶部１３０、通信部１４０を有する。

【0023】

動作監視部１１０は、センサ端末１００のセンサ動作を監視する。そして、動作監視部１１０は、センサ動作等を記録したセンサ動作ログを生成する。動作監視部１１０は、例えば、センサ端末１００のセンサ動作の開始を契機として、センサ動作ログを生成する。

【0024】

制御部１２０は、センサ端末１００全体を管理及び制御するものである。制御部１２０は、センサ端末１００によってセンシングされたデータに、要求サーバ３００の宛先（例えば、ＩＰアドレス）をパケットヘッダとして付加した後、通信部１４０を介してＧＷ装置２００にリアルタイムで送信する。また、制御部１２０は、動作監視部１１０が生成したセンサ動作ログに、ＧＷ装置２００の宛先をパケットヘッダとして付加した後、通信部１４０を介してＧＷ装置２００にリアルタイムで送信する。つまり、制御部１２０によって、センサデータやセンサ動作ログは、センサ端末１００のセンサ動作に関係して、ＧＷ装置２００に送信される。

【0025】

記憶部１３０は、センサ端末１００によってセンシングされたデータや、センサ端末１００の機能を実現する処理内容を記述したプログラム等を記憶している。

【0026】

通信部１４０は、例えば無線通信によって、ＧＷ装置２００と通信を行う。

【0027】

次に、ＧＷ装置２００について説明する。

【0028】

ＧＷ装置２００は、トラフィック処理部２１０、制御部２２０、異常検知部２３０、記憶部２４０、通信部２５０を有する。

【0029】

トラフィック処理部２１０は、センサ端末１００〜１０２の各々と外部ネットワーク４００との間のデータ等の送受信処理を行う。またこの際、トラフィック処理部２１０は、このデータ等に付加されたパケットヘッダ情報を異常検知部２３０に通知する。また、トラフィック処理部２１０は、パケットヘッダ情報に含まれるＩＰアドレスや送受信パケットサイズ等の情報を記憶部２４０に記憶させておいてもよい。さらに、トラフィック処理部２１０は、通信部２５０を介し、センサ端末１００〜１０２の各々から取得した、パケットヘッダに含まれる宛先がＧＷ装置２００となるセンサ動作ログを、異常検知部２３０に転送する。

【0030】

また、トラフィック処理部２１０は、異常検知部２３０から、それぞれ、センサ端末１００〜１０２について異常モードの通知を受けると、センサ端末１００〜１０２と外部ネットワーク４００との間の送受信処理を停止する。

【0031】

制御部２２０は、ＧＷ装置２００全体を管理及び制御するものである。制御部２２０は、トラフィック処理部２１０が取得したデータ等のプロトコル変換等の処理を行う。

【0032】

異常検知部２３０は、トラフィック処理部２１０から、センサ端末１００〜１０２の各々のセンサ動作ログ及びセンサ端末１００〜１０２に関連する通信のパケットヘッダ情報を取得する。そして、異常検知部２３０は、センサ端末１００〜１０２のセンサ動作ログを取得してから所定時間Ｔｓ内は、それぞれ、センサ動作モードとしてセンサ端末１００〜１０２の状態管理を行う。また、異常検知部２３０は、センサ端末１００〜１０２のセンサ動作ログを取得してから所定時間Ｔｓが経過した後は、それぞれ、センサ休止モードとしてセンサ端末１００〜１０２の状態管理を行う。また、このセンサ休止モード中に、異常検知部２３０は、取得したパケットヘッダ情報を用いて、それぞれ、センサ端末１００〜１０２の異常モードを判定する。これらの処理の詳細については後述する。

【0033】

記憶部２４０は、ＧＷ装置２００の制御に必要な情報や、ＧＷ装置２００の機能を実現する処理内容を記述したプログラム等を記憶している。

【0034】

通信部２５０は、例えば無線通信によって、センサ端末１００〜１０２と通信を行う。また、通信部２５０は、ネットワーク４００を介し、要求サーバ３００等と通信を行う。

【0035】

以下、センサ端末１００〜１０２における異常検知部２３０の処理の詳細を、センサ端末１００を例に説明する。

【0036】

＜センサ動作モードにおける処理＞
異常検知部２３０は、トラフィック処理部２１０から、センサ端末１００のセンサ動作の開始を契機として生成されたセンサ動作ログを取得すると、センサ動作ログを取得してから所定時間Ｔｓ内は、センサ動作モードとして、センサ端末１００の状態管理を行う。所定時間Ｔｓは、例えば、センサ端末１００がセンサ動作を行う時間を考慮して設定される。

【0037】

＜センサ休止モードにおける処理＞
異常検知部２３０は、センサ端末１００のセンサ動作ログを取得してから所定時間Ｔｓが経過すると、センサ休止モードとして、センサ端末１００の状態管理を行う。異常検知部２３０は、このセンサ休止モード中に、センサ端末１００の異常モードの判定を行う。以下の処理について説明する。

【0038】

まず、異常検知部２３０は、トラフィック処理部２１０から、センサ端末１００に関連する通信のパケットヘッダ情報を取得したか否か判定する。そして、異常検知部２３０は、トラフィック処理部２１０から、センサ端末１００に関連する通信のパケットヘッダ情報を取得した場合、休止モード中におけるそのセンサ端末１００に関連する通信を、準異常トラフィックとして検知する。

【0039】

次に、異常検知部２３０は、１回のセンサ休止モードにおいて、検知した準異常トラフィックの数が所定の回数Ｎ以上であるか否か判定する。そして、１回のセンサ休止モードにおいて、検知した準異常トラフィックの数が所定の回数Ｎ以上であると判定した場合、センサ端末１００は異常モードであると判定する。ここで、センサ端末１００が攻撃サーバ５００に侵入された場合、センサ端末１００と攻撃サーバ５００との間の通信は、センサ動作とは無関係に多発する。そのため、１回の休止モード中において、検知した準異常トラフィックの数が所定の回数Ｎ以上（つまり、連続してＮ回以上）となった場合、センサ端末１００は異常モードであると判定する。また、検知した準異常トラフィックの数が所定の回数Ｎ以上となった場合を異常モードと判定することで、センサ動作とは無関係に行われることがある、センサ端末１００のファームウェアの更新等による正常な通信を異常モードと誤判定する確率を低減させている。そして、センサ端末１００を異常モードであると判定した後は、異常検知部２３０は、後述の異常モードにおける処理を行う。

【0040】

なお、異常検知部２３０は、トラフィック処理部２１０に通信の送受信パケットサイズを送信させ、１回の休止モードにおける通信のデータ総量が所定値を超えた場合、センサ端末１００は異常モードであると判定してもよい。また、異常検知部２３０は、一回のセンサ休止モードにおけるデータ総量と、一回のセンサ休止モードにおいて検知した準異常トラフィックの数とを併用して、センサ端末１００の異常モードを判定してもよい。

【0041】

一方、異常検知部２３０は、センサ端末１００を異常モードであると判定しない場合に、トラフィック処理部２１０からセンサ端末１００のセンサ動作ログを取得すると、センサ端末１００はセンサ休止モードからセンサ動作モードに遷移したものと判定し、上述のセンサ動作モードにおける処理を行う。

【0042】

＜異常モードにおける処理＞
異常検知部２３０は、上述の処理により、センサ端末１００の異常モードを判定すると、トラフィック処理部２１０や制御部２２０等に、センサ端末１００の異常モードの通知を行う。トラフィック処理部２１０は、センサ端末１００の異常モードの通知を受信した後は、センサ端末１００と外部ネットワーク４００との間の送受信処理を停止する。

【0043】

次に、第１の実施形態に係る検知システム１のシステム動作について説明する。

【0044】

[システム動作]
図２は、第１の実施形態に係る検知システム１の動作の一例を示すフローチャートである。ＧＷ装置２００は、センサ端末１００〜１０２の各々について異常モードの判定を行っているが、以下では、ＧＷ装置２００によるセンサ端末１００の異常モードの判定について説明する。

【0045】

センサ端末１００がセンサ動作を開始する。すると、センサ端末１００の動作監視部１１０は、センサ端末１００のセンサ動作の開始を契機として、センサ動作ログを生成する。そして、このセンサ動作ログは、センサ端末１００の制御部１２０によって、センサ端末１００の通信部１４０を介し、ＧＷ装置２００に送信される。

【0046】

すると、ＧＷ装置２００の異常検知部２３０は、ＧＷ装置２００のトラフィック処理部２１０等の処理を経て、センサ端末１００のセンサ動作ログを取得する（ステップＳ１０１）。そして、異常検知部２３０は、センサ動作ログを取得してから所定時間Ｔｓ内は、センサ動作モードとして、センサ端末１００の状態管理を行う（ステップＳ１０２）。

【0047】

センサ端末１００のセンサ動作ログを取得してから所定時間Ｔｓが経過すると、異常検知部２３０は、まず、準異常トラフィック数を格納する変数ｉを初期化する（ステップＳ１０３）。

【0048】

次に、異常検知部２３０は、トラフィック処理部２１０から、センサ休止モード中においてセンサ端末１００に関連する通信のパケットヘッダ情報を取得したか否か判定する（ステップＳ１０４）。異常検知部２３０は、トラフィック処理部２１０から、センサ端末１００に関連する通信のパケットヘッダ情報を取得したと判定した場合（ステップＳ１０４：Ｙｅｓ）、ステップＳ１０５の処理に進む。一方、異常検知部２３０は、トラフィック処理部２１０から、センサ端末１００に関連する通信のパケットヘッダ情報を取得しないと判定した場合（ステップＳ１０４：Ｎｏ）、ステップＳ１０８の処理に進む。

【0049】

ステップＳ１０５の処理では、異常検知部２３０は、センサ端末１００に関連する通信を準異常トラフィックとして検知し、変数ｉに１を加算する（ステップＳ１０６）。その後、異常検知部２３０は、変数ｉが所定の回数Ｎ以上であるか否か判定する（ステップＳ１０７）。異常検知部２３０は、変数ｉが所定の回数Ｎ以上と判定した場合（ステップＳ１０７：Ｙｅｓ）、ステップＳ１０９の処理に進む。一方、異常検知部２３０は、変数ｉが所定の回数Ｎより小さいと判定した場合（ステップＳ１０７：Ｎｏ）、ステップＳ１０８の処理に進む。

【0050】

ステップＳ１０８の処理では、異常検知部２３０は、トラフィック処理部２１０から、センサ端末１００のセンサ動作ログを取得したか否か判定する。異常検知部２３０は、トラフィック処理部２１０からセンサ端末１００のセンサ動作ログを取得したと判定した場合（ステップＳ１０８：Ｙｅｓ）、ステップＳ１０２からの処理を繰り返し行う。一方、異常検知部２３０は、トラフィック処理部２１０からセンサ端末１００のセンサ動作ログを取得しないと判定した場合（ステップＳ１０８：Ｎｏ）、ステップＳ１０４からの処理を繰り返し行う。

【0051】

ステップＳ１０９の処理では、異常検知部２３０は、検知した準異常トラフィックの数（ｉ）が所定の回数Ｎ以上となるため、センサ端末１００が異常モードであると判定する。

【0052】

このようにステップＳ１０４〜Ｓ１０７，Ｓ１０９の処理を行い、一回のセンサ休止モードにおいて、検知した準異常トラフィックの数（ｉ）が所定の回数Ｎ以上となった場合を、センサ端末１００は異常モードであると判定する。これにより、センサ休止モード中に行われることがある、センサ端末１００のファームウェアの更新等に関連する正常な通信を異常モードと誤判定する確率を低減することができる。

【0053】

その後、異常検知部２３０は、センサ端末１００を異常モードと判定すると、トラフィック処理部２１０や制御部２２０等に、センサ端末１００の異常モードの通知を行う（ステップＳ１１０）。トラフィック処理部２１０は、センサ端末１００の異常モードの通知を受信した後は、センサ端末１００と外部ネットワーク４００との間の送受信処理を停止する。これにより、攻撃サーバ５００からセンサ端末１００への侵入を防ぐことができる。

【0054】

図３に、異常検知部２３０によるセンサ端末１００の異常モードの判定の一例を示す。図３の例では、所定の回数Ｎは３である。図３に示すように、センサ休止モード２における準異常トラフィックの数は１であり、所定の回数３以下であるため、センサ端末１００が異常モードであるとは判定されない。一方、センサ休止モード４おける準異常トラフィックの数は３であり、所定の回数３以上となるため、センサ端末１００の異常モード５が判定される。

【0055】

なお、ステップＳ１０１，Ｓ１０８の処理において、センサ端末１００に、一定のビット長の通し番号付きのＭＡＣ（Message Authentication Code）値を付加したセンサ動作ログを生成させ、ＧＷ装置２００に送信するようにしてもよい。これにより、センサ端末１００に攻撃サーバ５００が侵入し、攻撃サーバ５００の不正なプログラムによって疑似的なセンサ動作ログが生成された場合であっても、正規のセンサ動作ログと疑似的なセンサ動作ログとを判定することが可能になる。

【0056】

また、ステップＳ１０４〜Ｓ１０７の処理において、異常検知部２３０は、トラフィック処理部２１０に通信の送受信パケットサイズを送信させ、１回の休止モードにおける通信のデータ総量が所定値を超えた場合、センサ端末１００は異常モードであると判定してもよい。また、異常検知部２３０は、一回のセンサ休止モードにおけるデータ総量と、一回のセンサ休止モードにおいて検知した準異常トラフィックの数とを併用して、センサ端末１００の異常モードを判定してもよい。

【0057】

以上のように、検知システム１では、センサ端末１００がセンサ休止モード中に、異常検知部２３０によって、準異常トラフィックの検知を行い、さらに、１回のセンサ休止モードにおいて、検知した準異常トラフィックの数が所定の回数Ｎ以上となったときを異常モードとして判定する。そして、異常モードと判定すると、異常検知部２３０は、トラフィック処理部２１０等に、異常モードの通知を行い、センサ端末１００と外部ネットワーク４００との間の送受信処理を停止させる。これにより、検知システム１では、攻撃サーバ５００からセンサ端末１００への侵入を防ぐことができる。

【0058】

さらに、検知システム１では、検知した準異常トラフィックの数が所定の回数Ｎ以上となったときを異常モードとして判定している。これにより、センサ休止モード中に行われることがある、センサ端末１００のファームウェアの更新等に関連する正常な通信を異常モードと誤判定する確率を低減することができる。

【0059】

また、検知システム１では、センサ動作ログを取得してから所定時間Ｔｓを経過した後のセンサ休止モードにおけるパケットヘッダ情報の取得の有無、つまり、センサ休止モードにおける通信の有無から、センサ端末１００の異常モードを判定している。これにより、攻撃サーバ５００のＩＰアドレスが動的に変化する場合であっても、センサ端末１００の異常モードを判定することができるため、攻撃サーバ５００からセンサ端末１００への侵入を防ぐことができる。また、センサ端末１００に関連する通信が暗号化されている場合であっても、センサ端末１００の異常モードの判定が可能になる。

【0060】

（第２の実施形態）
次に、本発明の第２の実施形態について説明する。第２の実施形態におけるＩｏＴ機器は、カメラ（Ｗｅｂカメラ）であるものとする。

【0061】

［システム構成］
図４は、第２の実施形態に係る検知システム１ａの構成の一例を示す図である。なお、図４に示す構成要素で、図１に示す構成要素と同様のものは同一符号を付し、その説明を省略する。

【0062】

検知システム１ａは、カメラ（特許請求の範囲における「端末装置」）１００ａと、ＧＷ装置２００と、要求サーバ３００と、管理サーバ３０１とを備える。カメラ１００ａ及びＧＷ装置２００は、例えば無線通信によって、互いに接続されている。また、ＧＷ装置２００、要求サーバ３００及び管理サーバ３０１は、ネットワーク４００を介して互いに接続されている。

【0063】

カメラ１００ａは、例えば、Ｗｅｂカメラであり、用途に応じて写真を撮影する。そして、カメラ１００ａは、撮影した写真データや、撮影動作等を記録した撮影動作ログをＧＷ装置２００に送信する。また、カメラ１００ａには、ネットワーク４０を介し管理サーバ３０１によって、カメラ１００ａの設定変更等を行うために、例えばＥＷＳ（Embedded Web Server）等のＷｅｂサーバが組み込まれている。

【0064】

ここで、カメラ１００ａは、写真を撮影すると、その写真データや撮影動作ログを、リアルタイムでＧＷ装置２００に送信する。つまり、カメラ１００ａの写真データや撮影動作ログは、カメラ１００ａの撮影動作に関係して、ＧＷ装置２００に送信される。

【0065】

要求サーバ３００は、ＧＷ装置２００を介し、カメラ１００ａとの通信を行う。要求サーバ３００は、カメラ１００ａにより撮影された写真を利用する。

【0066】

管理サーバ３０１は、カメラ１００ａを管理する。カメラ１００ａの管理者は、管理サーバ３０１を介し、ＩＤ及びパスワードを用いてカメラ１００ａのＷｅｂサーバにログインし、カメラ１００ａの設定変更等を行う。

【0067】

なお、カメラ１００ａが攻撃サーバ５００に侵入された場合、カメラ１００ａの撮影動作とは無関係に、カメラ１００ａとＧＷ装置２００を介した攻撃サーバ５００との通信が多発する。

【0068】

以下、カメラ１００ａ及びＧＷ装置２００の構成及び機能について、より詳細に説明する。なお、本発明に係るカメラ１００ａ及びＧＷ装置２００の各機能を説明するが、カメラ１００ａ及びＧＷ装置２００が備える他の機能を排除することを意図したものではないことに留意する。

【0069】

まず、カメラ１００ａについて説明する。

【0070】

カメラ１００ａは、動作監視部１１０ａ、制御部１２０ａ、記憶部１３０、通信部１４０を有する。

【0071】

動作監視部１１０ａは、カメラ１００ａの撮影動作を監視する。そして、動作監視部１１０ａは、撮影動作等を記録した撮影動作ログを生成する。動作監視部１１０ａは、例えば、カメラ１００ａの写真撮影の開始を契機として、撮影動作ログを生成する。

【0072】

制御部１２０ａは、カメラ１００ａ全体を管理及び制御するものである。制御部１２０ａは、カメラ１００ａによって撮影された写真データに、要求サーバ３００の宛先をパケットヘッダとして付加した後、通信部１４０を介してＧＷ装置２００にリアルタイムで送信する。また、制御部１２０ａは、動作監視部１１０ａが生成した撮影動作ログに、ＧＷ装置２００の宛先をパケットヘッダとして付加した後、通信部１４０を介してＧＷ装置２００にリアルタイムで送信する。つまり、制御部１２０ａによって、写真データや撮影動作ログは、カメラ１００ａの撮影動作に関係して、ＧＷ装置２００に送信される。

【0073】

次に、ＧＷ装置２００について説明する。ＧＷ装置２００は、トラフィック処理部２１０、制御部２２０、異常検知部２３０、記憶部２４０、通信部２５０を有する。

【0074】

トラフィック処理部２１０は、カメラ１００ａと外部ネットワーク４００との間のデータ等の送受信処理を行う。またこの際、トラフィック処理部２１０は、このデータ等に付加されたパケットヘッダ情報を異常検知部２３０に通知する。また、トラフィック処理部２１０は、パケットヘッダ情報に含まれるＩＰアドレスや送受信パケットサイズ等の情報を記憶部２４０に記憶させておいてもよい。さらに、トラフィック処理部２１０は、通信部２５０を介し、カメラ１００ａから取得した、パケットヘッダに含まれる宛先がＧＷ装置２００となる撮影動作ログを、異常検知部２３０に転送する。

【0075】

また、トラフィック処理部２１０は、異常検知部２３０から、カメラ１００ａの異常モードの通知を受けると、カメラ１００ａと外部ネットワーク４００との間の送受信処理を停止する。

【0076】

異常検知部２３０は、トラフィック処理部２１０から、カメラ１００ａの撮影動作ログ及びカメラ１００ａに関連する通信のパケットヘッダ情報を取得する。そして、異常検知部２３０は、カメラ１００ａの撮影動作ログを取得してから所定時間Ｔｓ１内は、撮影動作モードとしてカメラ１００ａの状態管理を行う。また、異常検知部２３０は、カメラ１００ａの撮影動作ログを取得してから所定時間Ｔｓ１が経過した後は、撮影休止モードとしてカメラ１００ａの状態管理を行う。また、この撮影休止モード中に、異常検知部２３０は、取得したパケットヘッダ情報を用いて、カメラ１００ａの異常モードを判定する。以下、これらの処理の詳細について説明する。

【0077】

＜撮影動作モードにおける処理＞
異常検知部２３０は、トラフィック処理部２１０から、カメラ１００ａの撮影動作の開始を契機として生成された撮影動作ログを取得すると、撮影動作ログを取得してから所定時間Ｔｓ１内は、撮影動作モードとして、カメラ１００ａの状態管理を行う。所定時間Ｔｓ１は、例えば、カメラ１００ａが撮影動作を行う時間を考慮して設定される。

【0078】

＜撮影休止モードにおける処理＞
異常検知部２３０が、カメラ１００ａの撮影動作ログを取得してから所定時間Ｔｓ１が経過すると、撮影休止モードとして、カメラ１００ａの状態管理を行う。異常検知部２３０は、この撮影休止モード中に、カメラ１００ａの異常モードの判定を行う。以下の処理について説明する。

【0079】

まず、異常検知部２３０は、トラフィック処理部２１０から、カメラ１００ａに関連する通信のパケットヘッダ情報を取得したか否か判定する。そして、異常検知部２３０は、トラフィック処理部２１０から、カメラ１００ａに関連する通信のパケットヘッダ情報を取得した場合、撮影休止モードにおけるそのカメラ１００ａに関連する通信を、準異常トラフィックとして検知する。

【0080】

次に、異常検知部２３０は、一回の撮影休止モードにおいて、検知した準異常トラフィックの数が所定の回数Ｎ以上であるか否か判定する。そして、一回の撮影休止モードにおいて、検知した準異常トラフィックの数が所定の回数Ｎ以上であると判定した場合、カメラ１００ａは異常モードであると判定する。ここで、カメラ１００ａが攻撃サーバ５００に侵入された場合、カメラ１００ａと攻撃サーバ５００との間の通信は、撮影動作とは無関係に多発する。そのため、１回の休止モード中において、検知した準異常トラフィックの数が所定の回数Ｎ以上（つまり、連続してＮ回以上）となった場合、カメラ１００ａは異常モードであると判定する。また、検知した準異常トラフィックの数が所定の回数Ｎ以上となった場合を異常モードと判定することで、撮影動作とは無関係に行われることがある、カメラ１００ａのファームウェアの更新やカメラ１００ａの設定変更等による正常な通信を異常モードと誤判定する確率を低減させている。そして、異常検知部２３０は、カメラ１００ａを異常モードであると判定した後は、後述の異常モードにおける処理を行う。

【0081】

なお、異常検知部２３０は、トラフィック処理部２１０に通信の送受信パケットサイズを送信させ、１回の休止モードにおける通信のデータ総量が所定値を超えた場合、カメラ１００ａは異常モードであると判定してもよい。また、異常検知部２３０は、一回の撮影休止モードにおけるデータ総量と、一回の撮影休止モードにおいて検知した準異常トラフィックの数とを併用して、カメラ１００ａの異常モードを判定してもよい。

【0082】

一方、異常検知部２３０は、カメラ１００ａを異常モードであると判定しない場合に、トラフィック処理部２１０からカメラ１００ａの撮影動作ログを取得すると、カメラ１００ａは、撮影休止モードから撮影動作モードに遷移したものと判定し、上述の撮影動作モードにおける処理を行う。

【0083】

＜異常モードにおける処理＞
異常検知部２３０は、上述の処理により、カメラ１００ａの異常モードを判定すると、トラフィック処理部２１０や制御部２２０等に、カメラ１００ａの異常モードの通知を行う。トラフィック処理部２１０は、カメラ１００ａの異常モードの通知を受信した後は、カメラ１００ａと外部ネットワーク４００との間の送受信処理を停止する。

【0084】

次に、第２の実施形態に係る検知システム１ａのシステム動作について説明する。

【0085】

[システム動作]
図５は、第２の実施形態に係る検知システム１ａの動作の一例を示すフローチャートである。

【0086】

カメラ１００ａが撮影動作を開始する。すると、カメラ１００ａの動作監視部１１０ａは、カメラ１００ａの撮影動作の開始を契機として、撮影動作ログを生成し、カメラ１００ａの制御部１２０ａに送信する。そして、この撮影動作ログは、カメラ１００ａの制御部１２０ａによって、カメラ１００ａの通信部１４０を介し、ＧＷ装置２００に送信される。

【0087】

すると、ＧＷ装置２００の異常検知部２３０は、図２に示すステップＳ１０１，１０２の処理と同様にして、ステップＳ２０１，２０２の処理を行い、撮影動作ログを取得してから所定時間Ｔｓ１内は、撮影動作モードとして、カメラ１００ａの状態管理を行う。

【0088】

カメラ１００ａの撮影動作ログを取得してから所定時間Ｔｓ１が経過すると、異常検知部２３０は、まず、準異常トラフィック数を格納する変数ｉを初期化する（ステップＳ１０３）。

【0089】

次に、異常検知部２３０は、図２に示すステップＳ１０４〜Ｓ１０７の処理と同様にして、ステップＳ２０４〜Ｓ２０７の処理を行う。

【0090】

ステップＳ２０８の処理では、異常検知部２３０は、トラフィック処理部２１０から、カメラ１００ａの撮影動作ログを取得したか否か判定する。異常検知部２３０は、トラフィック処理部２１０からカメラ１００ａの撮影動作ログを取得したと判定した場合（ステップＳ２０８：Ｙｅｓ）、ステップＳ２０２からの処理を繰り返し行う。一方、異常検知部２３０は、トラフィック処理部２１０からカメラ１００ａの撮影動作ログを取得しないと判定した場合（ステップＳ２０８：Ｎｏ）、ステップＳ２０４からの処理を繰り返し行う。

【0091】

ステップＳ２０９の処理では、異常検知部２３０は、検知した準異常トラフィックの数（ｉ）が所定の回数Ｎ以上となるため、カメラ１００ａは、異常モードであると判定する。

【0092】

このようにステップＳ２０４〜Ｓ２０７，Ｓ２０９の処理を行い、検知した準異常トラフィックの数（ｉ）が所定の回数Ｎ以上となった場合を、カメラ１００ａは異常モードであると判定する。これにより、撮影休止モード中に行われることがある、カメラ１００ａのファームウェアの更新や設定変更等に関連する正常な通信を異常と誤判定する確率を低減することができる。

【0093】

その後、異常検知部２３０は、カメラ１００ａの異常モードを判定すると、トラフィック処理部２１０や制御部２２０等に、カメラ１００ａの異常モードの通知を行う（ステップＳ２１０）。トラフィック処理部２１０は、カメラ１００ａの異常モードの通知を受信した後は、カメラ１００ａと外部ネットワーク４００との間の送受信処理を停止する。これにより、攻撃サーバ５００からカメラ１００ａへの侵入を防ぐことができる。

【0094】

以上のように説明した第２の実施形態でも、第１の実施形態と同様の効果を得ることができる。

【0095】

本発明を諸図面や実施例に基づき説明してきたが、当業者であれば本開示に基づき種々の変形や修正を行うことが容易であることに注意されたい。従って、これらの変形や修正は本発明の範囲に含まれることに留意されたい。例えば、各構成部、各ステップ等に含まれる機能等は論理的に矛盾しないように再配置可能であり、複数の構成部やステップ等を１つに組み合わせたり、或いは分割したりすることが可能である。また、本発明について装置を中心に説明してきたが、本発明は装置が備えるプロセッサにより実行される方法、プログラム、又はプログラムを記録した記憶媒体としても実現し得るものであり、本発明の範囲にはこれらも包含されるものと理解されたい。

【符号の説明】

【0096】

１，１ａ 検知システム
１００，１０１，１０２ センサ端末
１００ａ カメラ
１１０，１１０ａ 動作監視部
１２０，１２０ａ 制御部
１３０ 記憶部
１４０ 通信部
２００ ＧＷ装置
２１０ トラフィック処理部
２２０ 制御部
２３０ 異常検知部
２４０ 記憶部
２５０ 通信部
３００ 要求サーバ
３０１ 管理サーバ
４００ ネットワーク
５００ 攻撃サーバ

【図1】

【図2】

【図3】

【図4】

【図5】