特許 6943196 制御システム及び制御方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6943196

(24)【登録日】2021年9月13日

(45)【発行日】2021年9月29日

(54)【発明の名称】制御システム及び制御方法

(51)【国際特許分類】

   H04L 12/70 20130101AFI20210916BHJP

【ＦＩ】

   H04L12/70 100Z

【請求項の数】6

【全頁数】31

(21)【出願番号】特願2018-18152(P2018-18152)

(22)【出願日】2018年2月5日

(65)【公開番号】特開2019-135807(P2019-135807A)

(43)【公開日】2019年8月15日

【審査請求日】2019年12月19日

(73)【特許権者】

【識別番号】000004226

【氏名又は名称】日本電信電話株式会社

(74)【代理人】

【識別番号】110002147

【氏名又は名称】特許業務法人酒井国際特許事務所

(72)【発明者】

【氏名】鈴木 裕志

(72)【発明者】

【氏名】林 裕平

(72)【発明者】

【氏名】西岡 孟朗

(72)【発明者】

【氏名】阪井 勝彦

(72)【発明者】

【氏名】工藤 伊知郎

【審査官】 大石 博見

(56)【参考文献】

【文献】 鈴木 昭徳 Akinori SUZUKI，ＢＧＰ Ｆｌｏｗｓｐｅｃ を拡張したブラックホールルーティングの適用性向上，電子情報通信学会２０１７年通信ソサイエティ大会講演論文集２ PROCEEDINGS OF THE 2017 IEICE COMMUNICATIONS SOCIETY CONFERENCE，日本，一般社団法人電子情報通信学会，2017年08月29日，p25

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｈ０４Ｌ １２／７０

(57)【特許請求の範囲】

【請求項1】

集中制御装置と、複数のネットワークと、を有する制御システムであって、
前記複数のネットワークのうちの第１のネットワークに備えられた第１のセキュリティシステムは、
前記第１のネットワークで発生したサーバ攻撃への対処、又は、前記複数のネットワークのうちの他のネットワークに備えられたセキュリティシステムから依頼されたサーバ攻撃への対処を行う対処部と、
前記第１のネットワークで発生した第１のサーバ攻撃への前記対処部による対処が可能であるか否かを判定する判定部と、
前記判定部によって、前記第１のサーバ攻撃への前記対処部による対処が可能でないと判定された場合、前記第１のサーバ攻撃への対処が可能な他のセキュリティシステムに対し、前記集中制御装置を介して、前記第１のサーバ攻撃への対処を依頼する依頼部と、
を有し、
前記集中制御装置は、
前記複数のネットワークのそれぞれに備えられた制御判断装置ごとの、サーバ攻撃に対して実施可能な対処方法を記憶する記憶部と、
前記依頼部による依頼を受け付け、記憶部を参照し、前記第１のサーバ攻撃への対処が可能な他のセキュリティシステムを特定し、特定したセキュリティシステムに対し前記第１のサーバ攻撃への対処を依頼する代理依頼部と、
を有することを特徴とする制御システム。

【請求項2】

情報管理装置と、複数のネットワークと、を有する制御システムであって、
前記複数のネットワークのうちの第１のネットワークに備えられた第１のセキュリティシステムは、
前記第１のネットワークで発生したサーバ攻撃への対処、又は、前記複数のネットワークのうちの他のネットワークに備えられたセキュリティシステムから依頼されたサーバ攻撃への対処を行う対処部と、
前記第１のネットワークで発生した第１のサーバ攻撃への前記対処部による対処が可能であるか否かを判定する判定部と、
前記判定部によって、前記第１のサーバ攻撃への前記対処部による対処が可能でないと判定された場合、前記第１のサーバ攻撃への対処が可能な他のセキュリティシステムの情報を前記情報管理装置に要求する依頼部と、
を有し、
前記情報管理装置は、
前記複数のネットワークのそれぞれに備えられた制御判断装置ごとの、サーバ攻撃に対して実施可能な対処方法を記憶する記憶部を参照し、前記第１のサーバ攻撃への対処が可能な他のセキュリティシステムを特定し、特定したセキュリティシステムを前記依頼部に通知し、
前記依頼部は、前記特定したセキュリティシステムに対し前記第１のサーバ攻撃への対処を依頼することを特徴とする制御システム。

【請求項3】

複数のネットワークを有する制御システムであって、
前記複数のネットワークのうちの第１のネットワークに備えられた第１のセキュリティシステムは、
前記第１のネットワークで発生したサーバ攻撃への対処、又は、前記複数のネットワークのうちの他のネットワークに備えられたセキュリティシステムから依頼されたサーバ攻撃への対処を行う対処部と、
前記第１のネットワークで発生した第１のサーバ攻撃への前記対処部による対処が可能であるか否かを判定する判定部と、
前記判定部によって、前記第１のサーバ攻撃への前記対処部による対処が可能でないと判定された場合、前記第１のサーバ攻撃への対処が可能な他のセキュリティシステムに対し前記第１のサーバ攻撃への対処を依頼する依頼部と、
前記複数のネットワークのそれぞれに備えられた制御判断装置ごとの、サーバ攻撃に対して実施可能な対処方法を記憶する記憶部と、
を有し、
前記依頼部は、前記記憶部を参照し、前記第１のサーバ攻撃への対処が可能な他のセキュリティシステムを特定し、特定したセキュリティシステムに対し前記第１のサーバ攻撃への対処を依頼することを特徴とする制御システム。

【請求項4】

集中制御装置と、複数のネットワークと、を有する制御システムで実行される制御方法であって、
前記複数のネットワークのうちの第１のネットワークに備えられた第１のセキュリティシステムであって、前記第１のネットワークで発生したサーバ攻撃への対処、又は、前記複数のネットワークのうちの他のネットワークに備えられたセキュリティシステムから依頼されたサーバ攻撃への対処を行う対処部を有する第１のセキュリティシステムが、前記第１のネットワークで発生した第１のサーバ攻撃への前記対処部による対処が可能であるか否かを判定する判定工程と、
前記第１のセキュリティシステムが、前記判定工程によって、前記第１のサーバ攻撃への前記対処部による対処が可能でないと判定された場合、前記第１のサーバ攻撃への対処が可能な他のセキュリティシステムに対し、前記集中制御装置を介して、前記第１のサーバ攻撃への対処を依頼する依頼工程と、
前記集中制御装置が、前記依頼工程による依頼を受け付け、前記複数のネットワークのそれぞれに備えられた制御判断装置ごとの、サーバ攻撃に対して実施可能な対処方法を記憶する記憶部を参照し、前記第１のサーバ攻撃への対処が可能な他のセキュリティシステムを特定し、特定したセキュリティシステムに対し前記第１のサーバ攻撃への対処を依頼する代理依頼工程と、
を含むことを特徴とする制御方法。

【請求項5】

情報管理装置と、複数のネットワークと、を有する制御システムで実行される制御方法であって、
前記複数のネットワークのうちの第１のネットワークに備えられた第１のセキュリティシステムであって、前記第１のネットワークで発生したサーバ攻撃への対処、又は、前記複数のネットワークのうちの他のネットワークに備えられたセキュリティシステムから依頼されたサーバ攻撃への対処を行う対処部を有する第１のセキュリティシステムが、前記第１のネットワークで発生した第１のサーバ攻撃への前記対処部による対処が可能であるか否かを判定する判定工程と、
前記第１のセキュリティシステムが、前記判定工程によって、前記第１のサーバ攻撃への前記対処部による対処が可能でないと判定された場合、前記第１のサーバ攻撃への対処が可能な他のセキュリティシステムの情報を前記情報管理装置に要求する要求工程と、
前記情報管理装置が、前記複数のネットワークのそれぞれに備えられた制御判断装置ごとの、サーバ攻撃に対して実施可能な対処方法を記憶する記憶部を参照し、前記第１のサーバ攻撃への対処が可能な他のセキュリティシステムを特定し、特定したセキュリティシステムを前記第１のセキュリティシステムに通知する通知工程と、
前記第１のセキュリティシステムが、前記特定したセキュリティシステムに対し前記第１のサーバ攻撃への対処を依頼する依頼工程と、
を含むことを特徴とする制御方法。

【請求項6】

複数のネットワークを有する制御システムで実行される制御方法であって、
前記複数のネットワークのうちの第１のネットワークに備えられた第１のセキュリティシステムであって、前記第１のネットワークで発生したサーバ攻撃への対処、又は、前記複数のネットワークのうちの他のネットワークに備えられたセキュリティシステムから依頼されたサーバ攻撃への対処を行う対処部を有する第１のセキュリティシステムが、前記第１のネットワークで発生した第１のサーバ攻撃への前記対処部による対処が可能であるか否かを判定する判定工程と、
前記第１のセキュリティシステムが、前記判定工程によって、前記第１のサーバ攻撃への前記対処部による対処が可能でないと判定された場合、前記第１のサーバ攻撃への対処が可能な他のセキュリティシステムに対し前記第１のサーバ攻撃への対処を依頼する第１の依頼工程と、
前記第１のセキュリティシステムが、前記複数のネットワークのそれぞれに備えられた制御判断装置ごとの、サーバ攻撃に対して実施可能な対処方法を記憶する記憶部を参照し、前記第１のサーバ攻撃への対処が可能な他のセキュリティシステムを特定し、特定したセキュリティシステムに対し前記第１のサーバ攻撃への対処を依頼する第２の依頼工程と、
を含むことを特徴とする制御方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、制御システム、制御判断装置及び制御方法に関する。

【背景技術】

【0002】

従来、ネットワーク事業者は、ＩＤＳ（Intrusion Detection System）／ＩＰＳ（Intrusion Prevention System）及びＤＤｏＳ（Distributed Denial of Service）攻撃対策等の機能を持つセキュリティシステムを使って、管理しているネットワークで発生するサーバ攻撃に対処している。

【先行技術文献】

【非特許文献】

【0003】

【非特許文献1】Wikipedia、“ネットワーク・セキュリティ”、[online]、[平成３０年１月２２日検索]、インターネット（https://ja.wikipedia.org/wiki/%E3%83%8D%E3%83%83%E3%83%88%E3%83%AF%E3%83%BC%E3%82%AF%E3%83%BB%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3）

【発明の概要】

【発明が解決しようとする課題】

【0004】

しかしながら、従来の技術には、各ネットワークで実施可能なサーバ攻撃への対処方法が限定的である場合があるという問題がある。例えば、各ネットワーク事業者が単一の種類のセキュリティシステムのみを使っている場合、当該セキュリティシステムで対処できないサーバ攻撃に対しては対処することができないことが考えられる。

【課題を解決するための手段】

【0005】

上述した課題を解決し、目的を達成するために、本発明の制御システムは、複数のネットワークを有する制御システムであって、前記複数のネットワークのうちの第１のネットワークに備えられた第１のセキュリティシステムは、前記第１のネットワークで発生したサーバ攻撃への対処、又は、前記複数のネットワークのうちの他のネットワークに備えられたセキュリティシステムから依頼されたサーバ攻撃への対処を行う対処部と、前記第１のネットワークで発生した第１のサーバ攻撃への前記対処部による対処が可能であるか否かを判定する判定部と、前記判定部によって、前記第１のサーバ攻撃への前記対処部による対処が可能でないと判定された場合、前記第１のサーバ攻撃への対処が可能な他のセキュリティシステムに対し前記第１のサーバ攻撃への対処を依頼する依頼部と、を有することを特徴とする。

【発明の効果】

【0006】

本発明によれば、各ネットワークで実施可能なサーバ攻撃への対処方法を増加させることができる。

【図面の簡単な説明】

【0007】

【図1】図１は、第１の実施形態に係る制御システムの構成例を示す図である。

【図2】図２は、第１の実施形態に係る集中制御装置の構成例を示す図である。

【図3】図３は、第１の実施形態に係る制御判断装置の構成例を示す図である。

【図4】図４は、第１の実施形態に係る制御システムの処理の流れを示すシーケンス図である。

【図5】図５は、第１の実施形態に係る制御システムの処理の流れを示すシーケンス図である。

【図6】図６は、第１の実施形態に係る制御判断装置の分析処理の流れを示すフローチャートである。

【図7】図７は、第１の実施形態に係る集中制御装置の分析処理の流れを示すフローチャートである。

【図8】図８は、第１の実施形態に係る制御判断装置の防御処理の流れを示すフローチャートである。

【図9】図９は、第１の実施形態に係る集中制御装置の防御処理の流れを示すフローチャートである。

【図10】図１０は、第２の実施形態に係る制御システムの構成例を示す図である。

【図11】図１１は、第２の実施形態に係る情報管理装置の構成例を示す図である。

【図12】図１２は、第２の実施形態に係る制御判断装置の構成例を示す図である。

【図13】図１３は、第２の実施形態に係る制御システムの処理の流れを示すシーケンス図である。

【図14】図１４は、第２の実施形態に係る制御システムの処理の流れを示すシーケンス図である。

【図15】図１５は、第２の実施形態に係る制御判断装置の分析処理の流れを示すフローチャートである。

【図16】図１６は、第２の実施形態に係る制御判断装置の分析処理の流れを示すフローチャートである。

【図17】図１７は、第２の実施形態に係る制御判断装置の防御処理の流れを示すフローチャートである。

【図18】図１８は、第２の実施形態に係る制御判断装置の防御処理の流れを示すフローチャートである。

【図19】図１９は、第３の実施形態に係る制御システムの構成例を示す図である。

【図20】図２０は、第３の実施形態に係る制御判断装置の構成例を示す図である。

【図21】図２１は、第３の実施形態に係る制御システムの処理の流れを示すシーケンス図である。

【図22】図２２は、第３の実施形態に係る制御システムの処理の流れを示すシーケンス図である。

【図23】図２３は、第３の実施形態に係る制御判断装置の分析処理の流れを示すフローチャートである。

【図24】図２４は、第３の実施形態に係る制御判断装置の防御処理の流れを示すフローチャートである。

【図25】図２５は、実施形態に係る制御判断装置として機能するコンピュータの一例を示す図である。

【発明を実施するための形態】

【0008】

以下に、本願に係る制御システム、制御判断装置及び制御方法の実施形態を図面に基づいて詳細に説明する。なお、本発明は、以下に説明する実施形態により限定されるものではない。

【0009】

［第１の実施形態の構成］
まず、図１を用いて、第１の実施形態に係る制御システムの構成について説明する。図１は、第１の実施形態に係る制御システムの構成例を示す図である。図１に示すように、制御システム１は、集中制御装置１１、ネットワーク１Ｎａに備えられたセキュリティシステム１Ｓａ、ネットワーク１Ｎｂに備えられたセキュリティシステム１Ｓｂ及びネットワーク１Ｎｃに備えられたセキュリティシステム１Ｓｃを有する。例えば、ネットワーク１Ｎａ、ネットワーク１Ｎｂ及びネットワーク１Ｎｃは、それぞれ異なるネットワーク事業者が管理するネットワークである。

【0010】

以降の説明では、ネットワーク１Ｎａ、ネットワーク１Ｎｂ及びネットワーク１Ｎｃを区別せずにネットワーク１Ｎと呼ぶ場合がある。また、以降の説明では、セキュリティシステム１Ｓａ、セキュリティシステム１Ｓｂ及びセキュリティシステム１Ｓｃを区別せずにセキュリティシステム１Ｓと呼ぶ場合がある。

【0011】

セキュリティシステム１Ｓａは、制御判断装置１２ａ、検知装置１３ａ及び対処装置１４ａを有する。また、セキュリティシステム１Ｓｂは、制御判断装置１２ｂ、検知装置１３ｂ及び対処装置１４ｂを有する。また、セキュリティシステム１Ｓｃは、制御判断装置１２ｃ、検知装置１３ｃ及び対処装置１４ｃを有する。

【0012】

制御判断装置１２ａ、制御判断装置１２ｂ及び制御判断装置１２ｃは、いずれも同様の機能を有する。以降の説明では、制御判断装置１２ａ、制御判断装置１２ｂ及び制御判断装置１２ｃを区別せずに制御判断装置１２と呼ぶ場合がある。また、検知装置１３ａ、検知装置１３ｂ及び検知装置１３ｃは、いずれも同様の機能を有する。以降の説明では、検知装置１３ａ、検知装置１３ｂ及び検知装置１３ｃを区別せずに検知装置１３と呼ぶ場合がある。検知装置１３は、ＩＤＳ等を用いて、ネットワーク１Ｎで発生したサーバ攻撃を検知する。また、対処装置１４ａ、対処装置１４ｂ及び対処装置１４ｃは、いずれも同様の機能を有する。以降の説明では、対処装置１４ａ、対処装置１４ｂ及び対処装置１４ｃを区別せずに対処装置１４と呼ぶ場合がある。対処装置１４は、ＩＰＳ等を用いてサーバ攻撃の分析及びサーバ攻撃に対する防御を行う。

【0013】

対処装置１４は、ネットワーク１Ｎで発生したサーバ攻撃への対処、又は、複数のネットワーク１Ｎのうちの他のネットワーク１Ｎに備えられたセキュリティシステム１Ｓから依頼されたサーバ攻撃への対処を行う。ただし、後に説明する通り、対処装置１４ａと対処装置１４ｂと対処装置１４ｃとでは、サーバ攻撃に対して実施可能な対処方法が異なる。

【0014】

集中制御装置１１は、対処メニューＤＢ１１２１を有する。対処メニューＤＢ１１２１には、ネットワーク１Ｎに備えられたセキュリティシステム１Ｓの対処装置１４ごとの、サーバ攻撃に対して実施可能な対処方法が格納されている。

【0015】

例えば、図１に示すように、ネットワーク１Ｎａに備えられたセキュリティシステム１Ｓａの対処装置１４ａは、「不正アクセス検知」による分析及び「不正アクセス遮断」による防御を実施することができる。また、例えば、ネットワーク１Ｎｂに備えられたセキュリティシステム１Ｓｂの対処装置１４ｂは、「不正アクセス検知」又は「ＤＤｏＳ検知」による分析及び「不正アクセス遮断」又は「Ｍｉｔｉｇａｔｉｏｎ」による防御を実施することができる。

【0016】

ここで、制御システム１の処理の概要を説明する。まず、セキュリティシステム１Ｓａの検知装置１３ａが、ネットワーク１Ｎａにおけるサーバ攻撃を検知する。そして、制御判断装置１２ａは、対処装置１４ａでは当該サーバ攻撃に対処できないと判定した場合、集中制御装置１１に対処を依頼する（ステップＳ１１）。

【0017】

集中制御装置１１は、対処メニューＤＢ１１２１を参照し、セキュリティシステム１Ｓａから依頼されたサーバ攻撃への対処が可能なセキュリティシステム１Ｓｂを抽出する。そして、集中制御装置１１は、セキュリティシステム１Ｓｂにサーバ攻撃への対処を依頼する（ステップＳ１２）。

【0018】

セキュリティシステム１Ｓｂは、サーバ攻撃への対処を行い、対処結果を集中制御装置１１に通知する（ステップＳ１３）。さらに、集中制御装置１１は、対処結果を制御判断装置１２ａに通知する（ステップＳ１４）。

【0019】

図２を用いて、集中制御装置１１の構成について説明する。図２は、第１の実施形態に係る集中制御装置の構成例を示す図である。図２に示すように、集中制御装置１１は、通信部１１１、記憶部１１２及び制御部１１３を有する。

【0020】

通信部１１１は、ネットワークを介して、他の装置との間でデータ通信を行う。例えば、通信部１１１はＮＩＣ（Network Interface Card）である。例えば、通信部１１１は、制御判断装置１２ａ、制御判断装置１２ｂ及び制御判断装置１２ｃとの間でデータ通信を行う。

【0021】

記憶部１１２は、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）、光ディスク等の記憶装置である。なお、記憶部１１２は、ＲＡＭ（Random Access Memory）、フラッシュメモリ、ＮＶＳＲＡＭ（Non Volatile Static Random Access Memory）等のデータを書き換え可能な半導体メモリであってもよい。記憶部１１２は、集中制御装置１１で実行されるＯＳ（Operating System）や各種プログラムを記憶する。さらに、記憶部１１２は、プログラムの実行で用いられる各種情報を記憶する。例えば、記憶部１１２は、対処メニューＤＢ１１２１及びＡＳＤＢ１１２２を記憶する。

【0022】

対処メニューＤＢ１１２１には、図１を用いて説明した通り、ネットワーク１Ｎに備えられたセキュリティシステム１Ｓの対処装置１４ごとの、サーバ攻撃に対して実施可能な対処方法が格納されている。ＡＳＤＢ１１２２には、各ネットワーク１Ｎ間の通信経路が格納されている。ここで、ネットワーク１Ｎａ、ネットワーク１Ｎｂ及びネットワーク１Ｎｃは、互いにＡＳ（Autonomous System）に属しているものとする。

【0023】

制御部１１３は、集中制御装置１１全体を制御する。制御部１１３は、例えば、ＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro Processing Unit）等の電子回路や、ＡＳＩＣ（Application Specific Integrated Circuit）、ＦＰＧＡ（Field Programmable Gate Array）等の集積回路である。また、制御部１１３は、各種の処理手順を規定したプログラムや制御データを格納するための内部メモリを有し、内部メモリを用いて各処理を実行する。また、制御部１１３は、各種のプログラムが動作することにより各種の処理部として機能する。例えば、制御部１１３は、経路確認部１１３１、判定部１１３２、リソース確認部１１３３及び代理依頼部１１３４を有する。

【0024】

経路確認部１１３１は、ＡＳＤＢ１１２２を参照し、各ネットワーク１Ｎへの通信経路を確認する。判定部１１３２は、対処メニューＤＢ１１２１を参照し、依頼されたサーバ攻撃への対処を実施可能なセキュリティシステム１Ｓが存在するか否かを判定する。

【0025】

リソース確認部１１３３は、サーバ攻撃への対処を依頼するセキュリティシステム１Ｓの装置のリソースを確認する。具体的には、リソース確認部１１３３は、セキュリティシステム１Ｓに対処装置１４のリソースの使用可否の確認を要求し、セキュリティシステム１Ｓから確認結果の通知を受ける。

【0026】

代理依頼部１１３４は、後に説明する制御判断装置１２の依頼部１２３３による依頼を受け付け、記憶部１１２を参照し、第１のサーバ攻撃の対処が可能な他のセキュリティシステム１Ｓを特定し、特定したセキュリティシステム１Ｓに対し第１のサーバ攻撃の対処を依頼する。

【0027】

具体的には、代理依頼部１１３４は、判定部１１３２によってサーバ攻撃への対処を実施可能なセキュリティシステム１Ｓが存在すると判定され、経路確認部１１３１によって当該セキュリティシステム１Ｓへの通信経路が確認され、リソース確認部１１３３によって当該セキュリティシステム１Ｓの対処装置１４のリソースが使用可能であることが確認された場合に、当該セキュリティシステム１Ｓに対してサーバ攻撃への対処を依頼する。例えば、図１の例では、代理依頼部１１３４は、制御判断装置１２ａの代理として、制御判断装置１２ｂにサーバ攻撃への対処を依頼する。

【0028】

図３を用いて、制御判断装置１２の構成について説明する。図３は、第１の実施形態に係る制御判断装置の構成例を示す図である。図３に示すように、制御判断装置１２は、通信部１２１、記憶部１２２及び制御部１２３を有する。

【0029】

通信部１２１は、ネットワークを介して、他の装置との間でデータ通信を行う。例えば、通信部１２１はＮＩＣである。例えば、通信部１２１は、集中制御装置１１との間でデータ通信を行う。

【0030】

記憶部１２２は、ＨＤＤ、ＳＳＤ、光ディスク等の記憶装置である。なお、記憶部１２２は、ＲＡＭ、フラッシュメモリ、ＮＶＳＲＡＭ等のデータを書き換え可能な半導体メモリであってもよい。記憶部１２２は、制御判断装置１２で実行されるＯＳや各種プログラムを記憶する。さらに、記憶部１２２は、プログラムの実行で用いられる各種情報を記憶する。例えば、記憶部１２２は、自網対処メニューＤＢ１２２１を記憶する。

【0031】

自網対処メニューＤＢ１２２１には、サーバ攻撃に対してセキュリティシステム１Ｓ自身の対処装置１４で実施可能な対処方法が格納されている。例えば、制御判断装置１２ａの自網対処メニューＤＢ１２２１には、図１に示す対処メニューＤＢ１１２１のネットワーク１Ｎａに該当する部分と同じデータが格納されている。

【0032】

制御部１２３は、制御判断装置１２全体を制御する。制御部１２３は、例えば、ＣＰＵ、ＭＰＵ等の電子回路や、ＡＳＩＣ、ＦＰＧＡ等の集積回路である。また、制御部１２３は、各種の処理手順を規定したプログラムや制御データを格納するための内部メモリを有し、内部メモリを用いて各処理を実行する。また、制御部１２３は、各種のプログラムが動作することにより各種の処理部として機能する。例えば、制御部１２３は、判定部１２３１、リソース確認部１２３２、依頼部１２３３を有する。

【0033】

判定部１２３１は、ネットワーク１Ｎで発生した第１のサーバ攻撃への対処装置１４による対処が可能であるか否かを判定する。判定部１２３１は、自網対処メニューＤＢ１２２１を参照し、検知されたサーバ攻撃がセキュリティシステム１Ｓ自身の対処装置１４で対処可能なものであるか否かを判定する。リソース確認部１２３２は、サーバ攻撃への対処を実施する際に、対処装置１４のリソースの使用可否を確認する。

【0034】

依頼部１２３３は、判定部１２３１によって、第１のサーバ攻撃への対処装置１４による対処が可能でないと判定された場合、第１のサーバ攻撃の対処が可能な他のセキュリティシステム１Ｓに対し第１のサーバ攻撃の対処を依頼する。第１の実施形態では、依頼部１２３３は、集中制御装置１１を介して他のセキュリティシステム１Ｓに対し依頼を行う。例えば、図１の例では、代理依頼部１１３４は、制御判断装置１２ａの代理として、制御判断装置１２ｂにサーバ攻撃への対処を依頼する。

【0035】

一方、依頼部１２３３は、判定部１２３１によって、検知されたサーバ攻撃がセキュリティシステム１Ｓ自身の対処装置１４で対処可能なものであると判定され、リソース確認部１２３２によって対処装置１４のリソースが使用可能であることが確認された場合には、対処装置１４に対してサーバ攻撃への対処を依頼する。

【0036】

［第１の実施形態の処理］
図４及び５を用いて、本実施形態の制御システム１の全体の処理の流れを説明する。図４及び５は、第１の実施形態に係る制御システムの処理の流れを示すシーケンス図である。

【0037】

［分析処理（全体）］
まず、図４を用いて、ネットワーク１Ｎａにおいて発生したサーバ攻撃の分析を行う場合の例を説明する。図４に示すように、検知装置１３ａは、ネットワーク１Ｎａにおいて発生したサーバ攻撃を検知すると、検知情報を制御判断装置１２ａに通知する（ステップＳ１０１）。そして、制御判断装置１２ａは、検知情報を基に、サーバ攻撃がネットワーク１Ｎａで分析可能なものであるか否かを判定する（ステップＳ１０２）。

【0038】

サーバ攻撃がネットワーク１Ｎａで分析可能なものである場合、制御判断装置１２ａは、対処装置１４ａのリソースを確認し（ステップＳ１０３）、対処装置１４ａからリソースの通知を受け取った後（ステップＳ１０４）、対処装置１４ａにサーバ攻撃の分析を依頼し（ステップＳ１０５）、対処装置１４ａから分析結果の通知を受け取る（ステップＳ１０６）。

【0039】

一方、サーバ攻撃がネットワーク１Ｎａで分析不可のものである場合、制御判断装置１２ａは、集中制御装置１１に、サーバ攻撃の分析依頼を通知する（ステップＳ１０７）。ここで、集中制御装置１１は、集中制御装置１１の記憶部を参照して、依頼されたサーバ攻撃の分析が可能な対処装置１４ｂが備えられたネットワーク１Ｎｂを抽出する。

【0040】

集中制御装置１１は、制御判断装置１２ｂに対処装置１４ｂのリソースの確認を指示する（ステップＳ１０８）。制御判断装置１２ｂは、対処装置１４ｂのリソースを確認し（ステップＳ１０９）、対処装置１４ａから受け取ったリソースの通知を（ステップＳ１１０）、集中制御装置１１に通知する（ステップＳ１１１）。

【0041】

そして、集中制御装置１１は、制御判断装置１２ｂにサーバ攻撃の分析を依頼する（ステップＳ１１２）。そして、制御判断装置１２ｂは、対処装置１４ｂにサーバ攻撃の分析を依頼し（ステップＳ１１３）、対処装置１４ｂから分析結果の通知を受け取り（ステップＳ１１４）、受け取った分析結果を集中制御装置１１に通知する（ステップＳ１１５）。さらに、集中制御装置１１は、サーバ攻撃の分析結果を制御判断装置１２ａに通知する（ステップＳ１１６）。

【0042】

［防御処理（全体）］
次に、図５を用いて、ネットワーク１Ｎａにおいて発生したサーバ攻撃からの防御を行う場合の例を説明する。図５に示すように、サーバ攻撃の分析が終わった後、制御判断装置１２ａは、分析結果を基に、サーバ攻撃がネットワーク１Ｎａで防御可能なものであるか否かを判定する（ステップＳ１２１）。

【0043】

サーバ攻撃がネットワーク１Ｎａで防御可能なものである場合、制御判断装置１２ａは、対処装置１４ａのリソースを確認し（ステップＳ１２２）、対処装置１４ａからリソースの通知を受け取った後（ステップＳ１２３）、対処装置１４ａにサーバ攻撃からの防御を依頼し（ステップＳ１２４）、対処装置１４ａから防御結果の通知を受け取る（ステップＳ１２５）。

【0044】

一方、サーバ攻撃がネットワーク１Ｎａで防御不可のものである場合、制御判断装置１２ａは、集中制御装置１１に、サーバ攻撃からの防御依頼を通知する（ステップＳ１２６）。ここで、集中制御装置１１は、集中制御装置１１の記憶部を参照して、依頼されたサーバ攻撃からの防御が可能な対処装置１４ｂが備えられたネットワーク１Ｎｂを抽出する。

【0045】

集中制御装置１１は、制御判断装置１２ｂに対処装置１４ｂのリソースの確認を指示する（ステップＳ１２７）。制御判断装置１２ｂは、対処装置１４ｂのリソースを確認し（ステップＳ１２８）、対処装置１４ａから受け取ったリソースの通知を（ステップＳ１２９）、集中制御装置１１に通知する（ステップＳ１３０）。

【0046】

そして、集中制御装置１１は、制御判断装置１２ｂにサーバ攻撃からの防御を依頼する（ステップＳ１３１）。そして、制御判断装置１２ｂは、対処装置１４ｂにサーバ攻撃からの防御を依頼し（ステップＳ１３２）、対処装置１４ｂから防御結果の通知を受け取り（ステップＳ１３３）、受け取った防御結果を集中制御装置１１に通知する（ステップＳ１３４）。さらに、集中制御装置１１は、サーバ攻撃からの防御結果を制御判断装置１２ａに通知する（ステップＳ１３５）。

【0047】

次に、図６から９を用いて、本実施形態の各装置の処理の流れについて説明する。図６は、第１の実施形態に係る制御判断装置の分析処理の流れを示すフローチャートである。図７は、第１の実施形態に係る集中制御装置の分析処理の流れを示すフローチャートである。図８は、第１の実施形態に係る制御判断装置の防御処理の流れを示すフローチャートである。図９は、第１の実施形態に係る集中制御装置の防御処理の流れを示すフローチャートである。

【0048】

［分析処理（各装置）］
図６に示すように、制御判断装置１２ａは、サーバ攻撃の検知情報を受信する（ステップＳ１１０１）。次に、制御判断装置１２ａは、検知情報を基に、サーバ攻撃がネットワーク１Ｎａで分析可能なものであるか否かを判定する（ステップＳ１１０２）。

【0049】

サーバ攻撃がネットワーク１Ｎａで分析可能なものである場合（ステップＳ１１０２、分析可）、制御判断装置１２ａは、ネットワーク１Ｎａの対処装置１４ａのリソースを確認する（ステップＳ１１０３）。リソースがない場合（ステップＳ１１０４、リソース無）、制御判断装置１２ａは所定時間経過後に再びリソースの確認を行う。また、リソースがある場合（ステップＳ１１０４、リソース有）、制御判断装置１２ａは、対処装置１４ａに分析を実施させる（ステップＳ１１０５）。

【0050】

また、サーバ攻撃がネットワーク１Ｎａで分析可能なものでない場合（ステップＳ１１０２、分析不可）、制御判断装置１２は、集中制御装置１１にサーバ攻撃の分析を依頼する（ステップＳ１１０６）。

【0051】

図７に示すように、集中制御装置１１は、サーバ攻撃の分析の依頼を受信すると（ステップＳ１２０１）、集中制御装置１１に記憶されたＤＢを参照し、サーバ攻撃の分析可否を判定する（ステップＳ１２０２）。サーバ攻撃の分析が不可の場合（ステップＳ１２０２、分析不可）、集中制御装置１１は、制御判断装置１２ａに分析不可である旨を通知し処理を終了する（ステップＳ１２０３）。

【0052】

サーバ攻撃の分析が可能な場合（ステップＳ１２０２、分析可）、集中制御装置１１は、分析可能な対処装置１４ｂを備えたネットワーク１Ｎｂまでの通信経路を確認し（ステップＳ１２０４）、対処装置１４ｂのリソースを確認する（ステップＳ１２０５）。

【0053】

対処装置１４ｂのリソースがない場合（ステップＳ１２０６、リソース無）、集中制御装置１１は、制御判断装置１２ａに分析不可である旨を通知し処理を終了する（ステップＳ１２０７）。

【0054】

一方、対処装置１４ｂのリソースがある場合（ステップＳ１２０６、リソース有）、集中制御装置１１は、制御判断装置１２ｂにサーバ攻撃の分析を依頼し（ステップＳ１２０８）、分析完了後に分析結果を制御判断装置１２ａに送信する（ステップＳ１２０９）。

【0055】

［防御処理（各装置）］
図８に示すように、制御判断装置１２ａは、サーバ攻撃の分析結果を受信する（ステップＳ１３０１）。次に、制御判断装置１２ａは、分析結果を基に、サーバ攻撃がネットワーク１Ｎａで防御可能なものであるか否かを判定する（ステップＳ１３０２）。

【0056】

サーバ攻撃がネットワーク１Ｎａで防御可能なものである場合（ステップＳ１３０２、防御可）、制御判断装置１２ａは、ネットワーク１Ｎａの対処装置１４ａのリソースを確認する（ステップＳ１３０３）。リソースがない場合（ステップＳ１３０４、リソース無）、制御判断装置１２ａは所定時間経過後に再びリソースの確認を行う。また、リソースがある場合（ステップＳ１３０４、リソース有）、制御判断装置１２ａは、対処装置１４ａに防御を実施させる（ステップＳ１３０５）。

【0057】

また、サーバ攻撃がネットワーク１Ｎａで防御可能なものでない場合（ステップＳ１３０２、防御不可）、制御判断装置１２は、集中制御装置１１にサーバ攻撃からの防御を依頼する（ステップＳ１３０６）。

【0058】

図９に示すように、集中制御装置１１は、サーバ攻撃からの防御の依頼を受信すると（ステップＳ１４０１）、集中制御装置１１に記憶されたＤＢを参照し、サーバ攻撃からの防御可否を判定する（ステップＳ１４０２）。サーバ攻撃からの防御が不可の場合（ステップＳ１４０２、防御不可）、集中制御装置１１は、制御判断装置１２ａに防御不可である旨を通知し処理を終了する（ステップＳ１４０３）。

【0059】

サーバ攻撃からの防御が可能な場合（ステップＳ１４０２、防御可）、集中制御装置１１は、防御可能な対処装置１４ｂを備えたネットワーク１Ｎｂまでの通信経路を確認し（ステップＳ１４０４）、対処装置１４ｂのリソースを確認する（ステップＳ１４０５）。

【0060】

対処装置１４ｂのリソースがない場合（ステップＳ１４０６、リソース無）、集中制御装置１１は、制御判断装置１２ａに防御不可である旨を通知し処理を終了する（ステップＳ１４０７）。

【0061】

一方、対処装置１４ｂのリソースがある場合（ステップＳ１４０６、リソース有）、集中制御装置１１は、制御判断装置１２ｂにサーバ攻撃からの防御を依頼し（ステップＳ１４０８）、防御完了後に防御結果を制御判断装置１２ａに送信する（ステップＳ１４０９）。

【0062】

［第１の実施形態の効果］
対処装置１４は、ネットワーク１Ｎで発生したサーバ攻撃への対処、又は、複数のネットワーク１Ｎのうちの他のネットワーク１Ｎに備えられたセキュリティシステム１Ｓから依頼されたサーバ攻撃への対処を行う。判定部１２３１は、ネットワーク１Ｎで発生した第１のサーバ攻撃への対処装置１４による対処が可能であるか否かを判定する。依頼部１２３３は、判定部１２３１によって、第１のサーバ攻撃への対処装置１４による対処が可能でないと判定された場合、第１のサーバ攻撃の対処が可能な他のセキュリティシステム１Ｓに対し第１のサーバ攻撃の対処を依頼する。

【0063】

このように、本実施形態では、セキュリティシステム単独では対処できないサーバ攻撃が発生した場合であっても、他のセキュリティシステムに対処を依頼することができる。その結果、本実施形態によれば、ネットワークで実施可能なサーバ攻撃への対処方法を増加させることができるようになる。

【0064】

集中制御装置１１の記憶部１１２は、複数のネットワーク１Ｎのそれぞれに備えられた制御判断装置１２ごとの、サーバ攻撃に対して実施可能な対処方法を記憶する。集中制御装置１１の代理依頼部１１３４は、依頼部１２３３による依頼を受け付け、記憶部１１２を参照し、第１のサーバ攻撃の対処が可能な他のセキュリティシステム１Ｓを特定し、特定したセキュリティシステム１Ｓに対し第１のサーバ攻撃の対処を依頼する。

【0065】

このように、本実施形態では、集中制御装置１１が各セキュリティシステムで実施可能な対処方法を記憶しておき、さらにセキュリティシステム間の対処の依頼処理を代行する。これにより、各セキュリティシステムの記憶領域の使用量及び処理負荷が低減される。

【0066】

［第２の実施形態］
第２の実施形態について説明する。第１の実施形態では、集中制御装置１１が各セキュリティシステムの代理としてサーバ攻撃への対処の依頼処理を行う。これに対し、第２の実施形態では、各セキュリティシステムが直接サーバ攻撃への対処の依頼処理を行う。

【0067】

また、第１実施形態の処理部と同様の名称の第２の実施形態の処理部は、対応する第１の実施形態の処理部と基本的には同様の処理を行う。例えば、第２の実施形態の検知装置２３ａは、第１の実施形態の検知装置１３ａと同様の処理を行う。以降の説明では、第１の実施形態と第２の実施形態の共通点については適宜説明を省略し、相違点について詳しく説明する。

【0068】

［第２の実施形態の構成］
まず、図１０を用いて、第２の実施形態に係る制御システムの構成について説明する。図１０は、第２の実施形態に係る制御システムの構成例を示す図である。図１０に示すように、制御システム２は、情報管理装置２１、ネットワーク２Ｎａに備えられたセキュリティシステム２Ｓａ、ネットワーク２Ｎｂに備えられたセキュリティシステム２Ｓｂ及びネットワーク２Ｎｃに備えられたセキュリティシステム２Ｓｃを有する。

【0069】

以降の説明では、ネットワーク２Ｎａ、ネットワーク２Ｎｂ及びネットワーク２Ｎｃを区別せずにネットワーク２Ｎと呼ぶ場合がある。また、以降の説明では、セキュリティシステム２Ｓａ、セキュリティシステム２Ｓｂ及びセキュリティシステム２Ｓｃを区別せずにセキュリティシステム２Ｓと呼ぶ場合がある。

【0070】

セキュリティシステム２Ｓａは、制御判断装置２２ａ、検知装置２３ａ及び対処装置２４ａを有する。また、セキュリティシステム２Ｓｂは、制御判断装置２２ｂ、検知装置２３ｂ及び対処装置２４ｂを有する。また、セキュリティシステム２Ｓｃは、制御判断装置２２ｃ、検知装置２３ｃ及び対処装置２４ｃを有する。

【0071】

制御判断装置２２ａ、制御判断装置２２ｂ及び制御判断装置２２ｃは、いずれも同様の機能を有する。以降の説明では、制御判断装置２２ａ、制御判断装置２２ｂ及び制御判断装置２２ｃを区別せずに制御判断装置２２と呼ぶ場合がある。また、検知装置２３ａ、検知装置２３ｂ及び検知装置２３ｃは、いずれも同様の機能を有する。以降の説明では、検知装置２３ａ、検知装置２３ｂ及び検知装置２３ｃを区別せずに検知装置２３と呼ぶ場合がある。また、対処装置２４ａ、対処装置２４ｂ及び対処装置２４ｃは、いずれも同様の機能を有する。以降の説明では、対処装置２４ａ、対処装置２４ｂ及び対処装置２４ｃを区別せずに対処装置２４と呼ぶ場合がある。

【0072】

検知装置２３及び対処装置２４は、それぞれ第１の実施形態の検知装置１３及び対処装置１４と同様の処理を行う。また、対処装置２４ａと対処装置２４ｂと対処装置２４ｃとでは、サーバ攻撃に対して実施可能な対処方法が異なる点についても第１の実施形態と同様である。

【0073】

情報管理装置２１は、対処メニューＤＢ２１２１を有する。第１の実施形態の対処メニューＤＢ２１２１と同様に、対処メニューＤＢ２１２１には、ネットワーク２Ｎに備えられたセキュリティシステム２Ｓの対処装置２４ごとの、サーバ攻撃に対して実施可能な対処方法が格納されている。

【0074】

ここで、制御システム２の処理の概要を説明する。まず、セキュリティシステム２Ｓａの検知装置２３ａが、ネットワーク２Ｎａにおけるサーバ攻撃を検知する。そして、制御判断装置２２ａは、対処装置２４ａでは当該サーバ攻撃に対処できないと判定した場合、情報管理装置２１に、サーバ攻撃に対処可能なネットワーク２Ｎの情報の提供を要求する（ステップＳ２１）。

【0075】

情報管理装置２１は、対処メニューＤＢ２１２１を参照し、セキュリティシステム２Ｓａから依頼されたサーバ攻撃への対処が可能なセキュリティシステム２Ｓｂを抽出する。そして、情報管理装置２１は、セキュリティシステム２Ｓｂがサーバ攻撃に対処可能であることを制御判断装置２２ａに通知する（ステップＳ２２）。

【0076】

そして、制御判断装置２２ａは、セキュリティシステム２Ｓｂにサーバ攻撃への対処を依頼する（ステップＳ２３）。セキュリティシステム２Ｓｂは、サーバ攻撃への対処を行い、対処結果を制御判断装置２２ａに通知する（ステップＳ２４）。

【0077】

図１１を用いて、情報管理装置２１の構成について説明する。図１１は、第２の実施形態に係る情報管理装置の構成例を示す図である。図１１に示すように、情報管理装置２１は、通信部２１１、記憶部２１２及び制御部２１３を有する。

【0078】

通信部２１１は、ネットワークを介して、他の装置との間でデータ通信を行う。例えば、通信部２１１はＮＩＣである。例えば、通信部２１１は、制御判断装置２２ａ、制御判断装置２２ｂ及び制御判断装置２２ｃとの間でデータ通信を行う。

【0079】

記憶部２１２は、ＨＤＤ、ＳＳＤ、光ディスク等の記憶装置である。なお、記憶部２１２は、ＲＡＭ、フラッシュメモリ、ＮＶＳＲＡＭ等のデータを書き換え可能な半導体メモリであってもよい。記憶部２１２は、情報管理装置２１で実行されるＯＳや各種プログラムを記憶する。さらに、記憶部２１２は、プログラムの実行で用いられる各種情報を記憶する。例えば、記憶部２１２は、対処メニューＤＢ２１２１を記憶する。

【0080】

対処メニューＤＢ２１２１には、図１０を用いて説明した通り、ネットワーク２Ｎに備えられたセキュリティシステム２Ｓの対処装置２４ごとの、サーバ攻撃に対して実施可能な対処方法が格納されている。

【0081】

制御部２１３は、情報管理装置２１全体を制御する。制御部２１３は、例えば、ＣＰＵ等の電子回路や、ＡＳＩＣ、ＦＰＧＡ等の集積回路である。また、制御部２１３は、各種の処理手順を規定したプログラムや制御データを格納するための内部メモリを有し、内部メモリを用いて各処理を実行する。また、制御部２１３は、各種のプログラムが動作することにより各種の処理部として機能する。例えば、制御部２１３は、提供部２１３１を有する。

【0082】

提供部２１３１は、制御判断装置２２からサーバ攻撃に対処可能なネットワーク２Ｎの情報の提供を要求された場合に、対処メニューＤＢ２１２１を参照し、サーバ攻撃に対処可能なネットワーク２Ｎの情報を制御判断装置２２に提供する。

【0083】

図１２を用いて、制御判断装置２２の構成について説明する。図１２は、第２の実施形態に係る制御判断装置の構成例を示す図である。図１２に示すように、制御判断装置２２は、通信部２２１、記憶部２２２及び制御部２２３を有する。

【0084】

通信部２２１は、ネットワークを介して、他の装置との間でデータ通信を行う。例えば、通信部２２１はＮＩＣである。例えば、通信部２２１は、情報管理装置２１、制御判断装置２２ａ、制御判断装置２２ｂ及び制御判断装置２２ｃとの間でデータ通信を行う。

【0085】

記憶部２２２は、ＨＤＤ、ＳＳＤ、光ディスク等の記憶装置である。なお、記憶部２２２は、ＲＡＭ、フラッシュメモリ、ＮＶＳＲＡＭ等のデータを書き換え可能な半導体メモリであってもよい。記憶部２２２は、制御判断装置２２で実行されるＯＳや各種プログラムを記憶する。さらに、記憶部２２２は、プログラムの実行で用いられる各種情報を記憶する。例えば、記憶部２２２は、自網対処メニューＤＢ２２２１及びＡＳＤＢ２２２２を記憶する。

【0086】

自網対処メニューＤＢ２２２１には、サーバ攻撃に対してセキュリティシステム２Ｓ自身の対処装置２４で実施可能な対処方法が格納されている。例えば、制御判断装置２２ａの自網対処メニューＤＢ２２２１には、図１０に示す対処メニューＤＢ２１２１のネットワーク２Ｎａに該当する部分と同じデータが格納されている。また、ＡＳＤＢ２２２２には、各ネットワーク２Ｎ間の通信経路が格納されている。

【0087】

制御部２２３は、制御判断装置２２全体を制御する。制御部２２３は、例えば、ＣＰＵ、ＭＰＵ等の電子回路や、ＡＳＩＣ、ＦＰＧＡ等の集積回路である。また、制御部２２３は、各種の処理手順を規定したプログラムや制御データを格納するための内部メモリを有し、内部メモリを用いて各処理を実行する。また、制御部２２３は、各種のプログラムが動作することにより各種の処理部として機能する。例えば、制御部２２３は、判定部２２３１、情報取得部２２３２、経路確認部２２３３、リソース確認部２２３４及び依頼部２２３５を有する。

【0088】

判定部２２３１は、ネットワーク２Ｎで発生した第１のサーバ攻撃への対処装置２４による対処が可能であるか否かを判定する。判定部２２３１は、自網対処メニューＤＢ２２２１を参照し、検知されたサーバ攻撃がセキュリティシステム２Ｓ自身の対処装置２４で対処可能なものであるか否かを判定する。

【0089】

また、判定部２２３１は、情報管理装置２１から提供された情報を基に、サーバ攻撃への対処を実施可能なセキュリティシステム２Ｓが存在するか否かを判定する。なお、情報管理装置２１の情報は、情報取得部２２３２によって取得される。

【0090】

経路確認部２２３３は、ＡＳＤＢ２２２２を参照し、各ネットワーク２Ｎへの通信経路を確認する。リソース確認部２２３４は、サーバ攻撃への対処を実施する際に、対処装置２４のリソースの使用可否を確認する。なお、リソース確認部２２３４は、自網の対処装置２４のリソースを確認してもよいし、他網の対処装置２４のリソースを確認してもよい。

【0091】

依頼部２２３５は、記憶部２１２を参照し、第１のサーバ攻撃の対処が可能な他のセキュリティシステム２Ｓを特定し、特定したセキュリティシステム２Ｓに対し第１のサーバ攻撃の対処を依頼する。

【0092】

依頼部２２３５は、情報管理装置２１に記憶された情報を参照し、第１のサーバ攻撃の対処が可能な他のセキュリティシステム２Ｓを特定し、特定したセキュリティシステム２Ｓに対し第１のサーバ攻撃の対処を依頼する。

【0093】

具体的には、依頼部２２３５は、判定部２２３１によってサーバ攻撃への対処を実施可能なセキュリティシステム２Ｓが存在すると判定され、経路確認部２２３３によって当該セキュリティシステム２Ｓへの通信経路が確認され、リソース確認部２２３４によって当該セキュリティシステム２Ｓの対処装置２４のリソースが使用可能であることが確認された場合に、当該セキュリティシステム２Ｓに対してサーバ攻撃への対処を依頼する。

【0094】

このように、第２の実施形態では、依頼部２２３５は、他の装置を介することなく、他のセキュリティシステム２Ｓに対し依頼を行う。例えば、図１の例では、依頼部２２３５は、制御判断装置２２ｂに直接サーバ攻撃への対処を依頼する。

【0095】

一方、依頼部２２３５は、判定部２２３１によって、検知されたサーバ攻撃がセキュリティシステム２Ｓ自身の対処装置２４で対処可能なものであると判定され、リソース確認部２２３４によって対処装置２４のリソースが使用可能であることが確認された場合には、対処装置２４に対してサーバ攻撃への対処を依頼する。

【0096】

［第２の実施形態の処理］
図１３及び１４を用いて、本実施形態の制御システム２の全体の処理の流れを説明する。図１３及び１４は、第２の実施形態に係る制御システムの処理の流れを示すシーケンス図である。

【0097】

［分析処理（全体）］
まず、図１３を用いて、ネットワーク２Ｎａにおいて発生したサーバ攻撃の分析を行う場合の例を説明する。図１３に示すように、検知装置２３ａは、ネットワーク２Ｎａにおいて発生したサーバ攻撃を検知すると、検知情報を制御判断装置２２ａに通知する（ステップＳ２０１）。そして、制御判断装置２２ａは、検知情報を基に、サーバ攻撃がネットワーク２Ｎａで分析可能なものであるか否かを判定する（ステップＳ２０２）。

【0098】

サーバ攻撃がネットワーク２Ｎａで分析可能なものである場合、制御判断装置２２ａは、対処装置２４ａのリソースを確認し（ステップＳ２０３）、対処装置２４ａからリソースの通知を受け取った後（ステップＳ２０４）、対処装置２４ａにサーバ攻撃の分析を依頼し（ステップＳ２０５）、対処装置２４ａから分析結果の通知を受け取る（ステップＳ２０６）。

【0099】

一方、サーバ攻撃がネットワーク２Ｎａで分析不可のものである場合、制御判断装置２２ａは、情報管理装置２１から、サーバ攻撃の分析が可能な対処装置２４ｂが備えられたネットワーク２Ｎｂの情報を取得する（ステップＳ２０７）。

【0100】

制御判断装置２２ａは、制御判断装置２２ｂにサーバ攻撃の分析を依頼する（ステップＳ２０８）。そして、制御判断装置２２ｂは、対処装置２４ｂのリソースを確認し（ステップＳ２０９）、対処装置２４ａからリソースの通知を受け取る（ステップＳ２１０）。

【0101】

そして、制御判断装置２２ｂは、対処装置２４ｂにサーバ攻撃の分析を依頼し（ステップＳ２１１）、対処装置２４ｂから分析結果の通知を受け取り（ステップＳ２１２）、受け取った分析結果を制御判断装置２２ａに通知する（ステップＳ２１３）。

【0102】

［防御処理（全体）］
次に、図１４を用いて、ネットワーク２Ｎａにおいて発生したサーバ攻撃からの防御を行う場合の例を説明する。図１４に示すように、制御判断装置２２ａは、分析結果を基に、サーバ攻撃がネットワーク２Ｎａで防御可能なものであるか否かを判定する（ステップＳ２２１）。

【0103】

サーバ攻撃がネットワーク２Ｎａで防御可能なものである場合、制御判断装置２２ａは、対処装置２４ａのリソースを確認し（ステップＳ２２２）、対処装置２４ａからリソースの通知を受け取った後（ステップＳ２２３）、対処装置２４ａにサーバ攻撃からの防御を依頼し（ステップＳ２２４）、対処装置２４ａから防御結果の通知を受け取る（ステップＳ２２５）。

【0104】

一方、サーバ攻撃がネットワーク２Ｎａで防御不可のものである場合、制御判断装置２２ａは、情報管理装置２１から、サーバ攻撃からの防御が可能な対処装置２４ｂが備えられたネットワーク２Ｎｂの情報を取得する（ステップＳ２２６）。

【0105】

制御判断装置２２ａは、制御判断装置２２ｂにサーバ攻撃からの防御を依頼する（ステップＳ２２７）。そして、制御判断装置２２ｂは、対処装置２４ｂのリソースを確認し（ステップＳ２２８）、対処装置２４ａからリソースの通知を受け取る（ステップＳ２２９）。

【0106】

そして、制御判断装置２２ｂは、対処装置２４ｂにサーバ攻撃からの防御を依頼し（ステップＳ２３０）、対処装置２４ｂから防御結果の通知を受け取り（ステップＳ２３１）、受け取った防御結果を制御判断装置２２ａに通知する（ステップＳ２３２）。

【0107】

［分析処理（各装置）］
図１５に示すように、制御判断装置２２ａは、サーバ攻撃の検知情報を受信する（ステップＳ２１０１）。次に、制御判断装置２２ａは、検知情報を基に、サーバ攻撃がネットワーク２Ｎａで分析可能なものであるか否かを判定する（ステップＳ２１０２）。

【0108】

サーバ攻撃がネットワーク２Ｎａで分析可能なものである場合（ステップＳ２１０２、分析可）、制御判断装置２２ａは、ネットワーク２Ｎａの対処装置２４ａのリソースを確認する（ステップＳ２１０３）。リソースがない場合（ステップＳ２１０４、リソース無）、制御判断装置２２ａは所定時間経過後に再びリソースの確認を行う。また、リソースがある場合（ステップＳ２１０４、リソース有）、制御判断装置２２ａは、対処装置２４ａに分析を実施させる（ステップＳ２１０５）。

【0109】

また、サーバ攻撃がネットワーク２Ｎａで分析可能なものでない場合（ステップＳ２１０２、分析不可）、制御判断装置２２は、各ネットワーク２Ｎへの通信経路を確認しておく（ステップＳ２１０７）。そして、制御判断装置２２ａは、情報管理装置２１に記憶されたＤＢを参照し、サーバ攻撃の分析が可能な対処装置２４ｂが備えられたネットワーク２Ｎの情報を取得する（ステップＳ２１０８）。

【0110】

サーバ攻撃を分析可能な対処装置２４が備えられたネットワーク２Ｎが存在しない場合（ステップＳ２１０９、無）、制御判断装置２２ａは、分析を依頼せずに処理を終了する（ステップＳ２１０６）。

【0111】

サーバ攻撃を分析可能な対処装置２４ｂが備えられたネットワーク２Ｎｂが存在する場合（ステップＳ２１０９、有）、制御判断装置２２ａは、ネットワーク２Ｎｂの制御判断装置２２ｂに分析を依頼する（ステップＳ２１１０）。

【0112】

図１６に示すように、制御判断装置２２ｂは、サーバ攻撃の分析依頼を受信する（ステップＳ２２０１）。次に、制御判断装置２２ｂは、分析依頼を基に、サーバ攻撃がネットワーク２Ｎｂで分析可能なものであるか否かを判定する（ステップＳ２２０２）。分析不可の場合（ステップＳ２２０２、分析不可）、制御判断装置２２ｂは、制御判断装置２２ａに分析不可である旨を通知し処理を終了する（ステップＳ２２０３）。

【0113】

サーバ攻撃がネットワーク２Ｎｂで分析可能なものである場合（ステップＳ２２０２、分析可）、制御判断装置２２ａは、ネットワーク２Ｎａの対処装置２４ａのリソースを確認する（ステップＳ２２０４）。リソースがない場合（ステップＳ２２０５、リソース無）、制御判断装置２２ｂは、制御判断装置２２ａに分析不可である旨を通知し処理を終了する（ステップＳ２２０６）。

【0114】

リソースがある場合（ステップＳ２２０５、リソース有）、制御判断装置２２ｂは、対処装置２４ｂに分析を依頼し（ステップＳ２２０７）、分析完了後に分析結果を制御判断装置２２ａに送信する（ステップＳ２２０８）。

【0115】

［防御処理（各装置）］
図１７に示すように、制御判断装置２２ａは、サーバ攻撃の分析結果を受信する（ステップＳ２３０１）。次に、制御判断装置２２ａは、分析結果を基に、サーバ攻撃がネットワーク２Ｎａで防御可能なものであるか否かを判定する（ステップＳ２３０２）。

【0116】

サーバ攻撃がネットワーク２Ｎａで防御可能なものである場合（ステップＳ２３０２、防御可）、制御判断装置２２ａは、ネットワーク２Ｎａの対処装置２４ａのリソースを確認する（ステップＳ２３０３）。リソースがない場合（ステップＳ２３０４、リソース無）、制御判断装置２２ａは所定時間経過後に再びリソースの確認を行う。また、リソースがある場合（ステップＳ２３０４、リソース有）、制御判断装置２２ａは、対処装置２４ａに防御を実施させる（ステップＳ２３０５）。

【0117】

また、サーバ攻撃がネットワーク２Ｎａで防御可能なものでない場合（ステップＳ２３０２、防御不可）、制御判断装置２２は、各ネットワーク２Ｎへの通信経路を確認しておく（ステップＳ２３０６）。そして、制御判断装置２２ａは、情報管理装置２１に記憶されたＤＢを参照し、サーバ攻撃からの防御が可能な対処装置２４ｂが備えられたネットワーク２Ｎの情報を取得する（ステップＳ２３０７）。

【0118】

サーバ攻撃を防御可能な対処装置２４が備えられたネットワーク２Ｎが存在しない場合（ステップＳ２３０８、無）、制御判断装置２２ａは、防御を依頼せずに処理を終了する（ステップＳ２３１０）。

【0119】

サーバ攻撃を防御可能な対処装置２４ｂが備えられたネットワーク２Ｎｂが存在する場合（ステップＳ２３０８、有）、制御判断装置２２ａは、ネットワーク２Ｎｂの制御判断装置２２ｂに防御を依頼する（ステップＳ２３０９）。

【0120】

図１８に示すように、制御判断装置２２ｂは、サーバ攻撃からの防御依頼を受信する（ステップＳ２４０１）。次に、制御判断装置２２ｂは、防御依頼を基に、サーバ攻撃がネットワーク２Ｎｂで防御可能なものであるか否かを判定する（ステップＳ２４０２）。防御不可の場合（ステップＳ２４０２、防御不可）、制御判断装置２２ｂは、制御判断装置２２ａに防御不可である旨を通知し処理を終了する（ステップＳ２４０３）。

【0121】

サーバ攻撃がネットワーク２Ｎｂで防御可能なものである場合（ステップＳ２４０２、防御可）、制御判断装置２２ａは、ネットワーク２Ｎａの対処装置２４ａのリソースを確認する（ステップＳ２４０４）。リソースがない場合（ステップＳ２４０５、リソース無）、制御判断装置２２ｂは、制御判断装置２２ａに防御不可である旨を通知し処理を終了する（ステップＳ２４０６）。

【0122】

リソースがある場合（ステップＳ２４０５、リソース有）、制御判断装置２２ｂは、対処装置２４ｂに防御を依頼し（ステップＳ２４０７）、防御完了後に防御結果を制御判断装置２２ａに送信する（ステップＳ２４０８）。

【0123】

［第２の実施形態の効果］
情報管理装置２１の記憶部２１２は、複数のネットワーク１Ｎのそれぞれに備えられた制御判断装置１２ごとの、サーバ攻撃に対して実施可能な対処方法を記憶する。依頼部１２３３は、記憶部２１２を参照し、第１のサーバ攻撃の対処が可能な他のセキュリティシステム１Ｓを特定し、特定したセキュリティシステム１Ｓに対し第１のサーバ攻撃の対処を依頼する。これにより、処理の負荷が１つの制御装置に集中することを防止することができる。

【0124】

［第３の実施形態］
第３の実施形態について説明する。第１の実施形態及び第２の実施形態では、集中制御装置１１又は情報管理装置２１が、各セキュリティシステムで実施可能なサーバ攻撃への対処方法を記憶する。これに対し、第３の実施形態では、各セキュリティシステムが、他のセキュリティシステムのものも含めて、実施可能なサーバ攻撃への対処方法を記憶する。

【0125】

また、第１実施形態の処理部と同様の名称の第３の実施形態の処理部は、対応する第１の実施形態又は第２の実施形態の処理部と基本的には同様の処理を行う。例えば、第３の実施形態の検知装置３３ａは、第１の実施形態の検知装置１３ａと同様の処理を行う。以降の説明では、第１の実施形態又は第２の実施形態と第３の実施形態との共通点については適宜説明を省略し、相違点について詳しく説明する。

【0126】

［第３の実施形態の構成］
まず、図１９を用いて、第３の実施形態に係る制御システムの構成について説明する。図１９は、第３の実施形態に係る制御システムの構成例を示す図である。図１９に示すように、制御システム３は、ネットワーク３Ｎａに備えられたセキュリティシステム３Ｓａ、ネットワーク３Ｎｂに備えられたセキュリティシステム３Ｓｂ及びネットワーク３Ｎｃに備えられたセキュリティシステム３Ｓｃを有する。

【0127】

以降の説明では、ネットワーク３Ｎａ、ネットワーク３Ｎｂ及びネットワーク３Ｎｃを区別せずにネットワーク３Ｎと呼ぶ場合がある。また、以降の説明では、セキュリティシステム３Ｓａ、セキュリティシステム３Ｓｂ及びセキュリティシステム３Ｓｃを区別せずにセキュリティシステム３Ｓと呼ぶ場合がある。

【0128】

セキュリティシステム３Ｓａは、制御判断装置３２ａ、検知装置３３ａ及び対処装置３４ａを有する。また、セキュリティシステム３Ｓｂは、制御判断装置３２ｂ、検知装置３３ｂ及び対処装置３４ｂを有する。また、セキュリティシステム３Ｓｃは、制御判断装置３２ｃ、検知装置３３ｃ及び対処装置３４ｃを有する。

【0129】

制御判断装置３２ａ、制御判断装置３２ｂ及び制御判断装置３２ｃは、いずれも同様の機能を有する。以降の説明では、制御判断装置３２ａ、制御判断装置３２ｂ及び制御判断装置３２ｃを区別せずに制御判断装置３２と呼ぶ場合がある。また、検知装置３３ａ、検知装置３３ｂ及び検知装置３３ｃは、いずれも同様の機能を有する。以降の説明では、検知装置３３ａ、検知装置３３ｂ及び検知装置３３ｃを区別せずに検知装置３３と呼ぶ場合がある。また、対処装置３４ａ、対処装置３４ｂ及び対処装置３４ｃは、いずれも同様の機能を有する。以降の説明では、対処装置３４ａ、対処装置３４ｂ及び対処装置３４ｃを区別せずに対処装置３４と呼ぶ場合がある。

【0130】

検知装置３３及び対処装置３４は、それぞれ第３の実施形態の検知装置１３及び対処装置１４と同様の処理を行う。また、対処装置３４ａと対処装置３４ｂと対処装置３４ｃとでは、サーバ攻撃に対して実施可能な対処方法が異なる点についても第３の実施形態と同様である。

【0131】

制御判断装置３２ａは、対処メニューＤＢ３２２１を有する。第１の実施形態の対処メニューＤＢ２１２１と同様に、対処メニューＤＢ３２２１には、ネットワーク３Ｎに備えられたセキュリティシステム３Ｓの対処装置３４ごとの、サーバ攻撃に対して実施可能な対処方法が格納されている。

【0132】

ここで、制御システム３の処理の概要を説明する。まず、セキュリティシステム３Ｓａの検知装置３３ａが、ネットワーク３Ｎａにおけるサーバ攻撃を検知する。そして、制御判断装置３２ａは、対処装置３４ａでは当該サーバ攻撃に対処できないと判定した場合、対処メニューＤＢ３２２１を参照し、サーバ攻撃への対処が可能なセキュリティシステム３Ｓｂを抽出し、セキュリティシステム３Ｓｂにサーバ攻撃への対処を依頼する（ステップＳ３１）。セキュリティシステム３Ｓｂは、サーバ攻撃への対処を行い、対処結果を制御判断装置３２ａに通知する（ステップＳ３２）。

【0133】

図２０を用いて、制御判断装置３２の構成について説明する。図２０は、第３の実施形態に係る制御判断装置の構成例を示す図である。図２０に示すように、制御判断装置３２は、通信部３２１、記憶部３２２及び制御部３２３を有する。

【0134】

通信部３２１は、ネットワークを介して、他の装置との間でデータ通信を行う。例えば、通信部３２１はＮＩＣである。例えば、通信部３２１は、制御判断装置３２ａ、制御判断装置３２ｂ及び制御判断装置３２ｃとの間でデータ通信を行う。

【0135】

記憶部３２２は、ＨＤＤ、ＳＳＤ、光ディスク等の記憶装置である。なお、記憶部３２２は、ＲＡＭ、フラッシュメモリ、ＮＶＳＲＡＭ等のデータを書き換え可能な半導体メモリであってもよい。記憶部３２２は、制御判断装置３２で実行されるＯＳや各種プログラムを記憶する。さらに、記憶部３２２は、プログラムの実行で用いられる各種情報を記憶する。例えば、記憶部３２２は、対処メニューＤＢ３２２１及びＡＳＤＢ３２２２を記憶する。

【0136】

対処メニューＤＢ３２２１には、図１９を用いて説明した通り、ネットワーク３Ｎに備えられたセキュリティシステム３Ｓの対処装置３４ごとの、サーバ攻撃に対して実施可能な対処方法が格納されている。また、ＡＳＤＢ３２２２には、各ネットワーク３Ｎ間の通信経路が格納されている。

【0137】

制御部３２３は、制御判断装置３２全体を制御する。制御部３２３は、例えば、ＣＰＵ、ＭＰＵ等の電子回路や、ＡＳＩＣ、ＦＰＧＡ等の集積回路である。また、制御部３２３は、各種の処理手順を規定したプログラムや制御データを格納するための内部メモリを有し、内部メモリを用いて各処理を実行する。また、制御部３２３は、各種のプログラムが動作することにより各種の処理部として機能する。例えば、制御部３２３は、判定部３２３１、経路確認部３２３２、リソース確認部３２３３、依頼部３２３４を有する。

【0138】

判定部３２３１は、ネットワーク３Ｎで発生した第１のサーバ攻撃への対処装置３４による対処が可能であるか否かを判定する。判定部３２３１は、対処メニューＤＢ３２２１を参照し、検知されたサーバ攻撃がセキュリティシステム３Ｓ自身の対処装置３４で対処可能なものであるか否かを判定する。また、判定部３２３１は、対処メニューＤＢ３２２１を参照し、サーバ攻撃への対処を実施可能なセキュリティシステム３Ｓが存在するか否かを判定する。

【0139】

経路確認部３２３２は、ＡＳＤＢ３２２２を参照し、各ネットワーク３Ｎへの通信経路を確認する。リソース確認部３２３３は、サーバ攻撃への対処を実施する際に、対処装置３４のリソースの使用可否を確認する。なお、リソース確認部３２３３は、自網の対処装置３４のリソースを確認してもよいし、他網の対処装置３４のリソースを確認してもよい。

【0140】

依頼部３２３４は、記憶部３２２を参照し、第１のサーバ攻撃の対処が可能な他のセキュリティシステム３Ｓを特定し、特定したセキュリティシステム３Ｓに対し第１のサーバ攻撃の対処を依頼する。

【0141】

依頼部３２３４は、記憶部３２２に記憶された情報を参照し、第１のサーバ攻撃の対処が可能な他のセキュリティシステム３Ｓを特定し、特定したセキュリティシステム３Ｓに対し第１のサーバ攻撃の対処を依頼する。

【0142】

具体的には、依頼部３２３４は、判定部３２３１によってサーバ攻撃への対処を実施可能なセキュリティシステム３Ｓが存在すると判定され、経路確認部３２３２によって当該セキュリティシステム３Ｓへの通信経路が確認され、リソース確認部３２３３によって当該セキュリティシステム３Ｓの対処装置３４のリソースが使用可能であることが確認された場合に、当該セキュリティシステム３Ｓに対してサーバ攻撃への対処を依頼する。

【0143】

このように、第３の実施形態では、制御判断装置３２は、他の装置のＤＢを参照することなく、また、他の装置を介することなく、他のセキュリティシステム３Ｓに対し依頼を行う。例えば、図１９の例では、依頼部３２３４は、制御判断装置３２ｂに直接サーバ攻撃への対処を依頼する。

【0144】

一方、依頼部３２３４は、判定部３２３１によって、検知されたサーバ攻撃がセキュリティシステム３Ｓ自身の対処装置３４で対処可能なものであると判定され、リソース確認部３２３３によって対処装置３４のリソースが使用可能であることが確認された場合には、対処装置３４に対してサーバ攻撃への対処を依頼する。

【0145】

［第３の実施形態の処理］
図２１及び２２を用いて、本実施形態の制御システム３の全体の処理の流れを説明する。図２１及び２２は、第３の実施形態に係る制御システムの処理の流れを示すシーケンス図である。

【0146】

［分析処理（全体）］
まず、図２１を用いて、ネットワーク３Ｎａにおいて発生したサーバ攻撃の分析を行う場合の例を説明する。図２１に示すように、検知装置３３ａは、ネットワーク３Ｎａにおいて発生したサーバ攻撃を検知すると、検知情報を制御判断装置３２ａに通知する（ステップＳ３０１）。そして、制御判断装置３２ａは、検知情報を基に、サーバ攻撃がネットワーク３Ｎａで分析可能なものであるか否かを判定する（ステップＳ３０２）。

【0147】

サーバ攻撃がネットワーク３Ｎａで分析可能なものである場合、制御判断装置３２ａは、対処装置３４ａのリソースを確認し（ステップＳ３０３）、対処装置３４ａからリソースの通知を受け取った後（ステップＳ３０４）、対処装置３４ａにサーバ攻撃の分析を依頼し（ステップＳ３０５）、対処装置３４ａから分析結果の通知を受け取る（ステップＳ３０６）。

【0148】

一方、サーバ攻撃がネットワーク３Ｎａで分析不可のものである場合、制御判断装置３２ａは、制御判断装置３２ａが記憶するＤＢを参照し、サーバ攻撃の分析が可能な対処装置３４ｂが備えられたネットワーク３Ｎｂの情報を取得し、制御判断装置３２ｂにサーバ攻撃の分析を依頼する（ステップＳ３０７）。そして、制御判断装置３２ｂは、対処装置３４ｂのリソースを確認し（ステップＳ３０８）、対処装置３４ａからリソースの通知を受け取る（ステップＳ３０９）。

【0149】

そして、制御判断装置３２ｂは、対処装置３４ｂにサーバ攻撃の分析を依頼し（ステップＳ３１０）、対処装置３４ｂから分析結果の通知を受け取り（ステップＳ３１１）、受け取った分析結果を制御判断装置３２ａに通知する（ステップＳ３１２）。

【0150】

［防御処理（全体）］
次に、図２２を用いて、ネットワーク３Ｎａにおいて発生したサーバ攻撃の防御を行う場合の例を説明する。図２２に示すように、制御判断装置３２ａは、分析結果を基に、サーバ攻撃がネットワーク３Ｎａで防御可能なものであるか否かを判定する（ステップＳ３２１）。

【0151】

サーバ攻撃がネットワーク３Ｎａで防御可能なものである場合、制御判断装置３２ａは、対処装置３４ａのリソースを確認し（ステップＳ３２２）、対処装置３４ａからリソースの通知を受け取った後（ステップＳ３２３）、対処装置３４ａにサーバ攻撃の防御を依頼し（ステップＳ３２４）、対処装置３４ａから防御結果の通知を受け取る（ステップＳ３２５）。

【0152】

一方、サーバ攻撃がネットワーク３Ｎａで防御不可のものである場合、制御判断装置３２ａは、制御判断装置３２ａが記憶するＤＢを参照し、サーバ攻撃の防御が可能な対処装置３４ｂが備えられたネットワーク３Ｎｂの情報を取得し、制御判断装置３２ｂにサーバ攻撃の防御を依頼する（ステップＳ３２６）。そして、制御判断装置３２ｂは、対処装置３４ｂのリソースを確認し（ステップＳ３２７）、対処装置３４ａからリソースの通知を受け取る（ステップＳ３２８）。

【0153】

そして、制御判断装置３２ｂは、対処装置３４ｂにサーバ攻撃の防御を依頼し（ステップＳ３２９）、対処装置３４ｂから防御結果の通知を受け取り（ステップＳ３３０）、受け取った防御結果を制御判断装置３２ａに通知する（ステップＳ３３１）。

【0154】

［分析処理（各装置）］
図２３に示すように、制御判断装置３２ａは、サーバ攻撃の検知情報を受信する（ステップＳ３１０１）。次に、制御判断装置３２ａは、検知情報を基に、サーバ攻撃がネットワーク３Ｎａで分析可能なものであるか否かを判定する（ステップＳ３１０２）。

【0155】

サーバ攻撃がネットワーク３Ｎａで分析可能なものである場合（ステップＳ３１０２、分析可）、制御判断装置３２ａは、ネットワーク３Ｎａの対処装置３４ａのリソースを確認する（ステップＳ３１０３）。リソースがない場合（ステップＳ３１０４、リソース無）、制御判断装置３２ａは所定時間経過後に再びリソースの確認を行う。また、リソースがある場合（ステップＳ３１０４、リソース有）、制御判断装置３２ａは、対処装置３４ａに分析を実施させる（ステップＳ３１０５）。

【0156】

また、サーバ攻撃がネットワーク３Ｎａで分析可能なものでない場合（ステップＳ３１０２、分析不可）、制御判断装置３２は、各ネットワーク３Ｎへの通信経路を確認しておく（ステップＳ３１０６）。そして、制御判断装置３２ａは、制御判断装置３２ａに記憶されたＤＢを参照し、サーバ攻撃の分析が可能な対処装置３４ｂが備えられたネットワーク３Ｎの情報を取得する（ステップＳ３１０７）。

【0157】

サーバ攻撃を分析可能な対処装置３４が備えられたネットワーク３Ｎが存在しない場合（ステップＳ３１０８、無）、制御判断装置３２ａは、分析を依頼せずに処理を終了する（ステップＳ３１０９）。

【0158】

サーバ攻撃を分析可能な対処装置３４ｂが備えられたネットワーク３Ｎｂが存在する場合（ステップＳ３１０８、有）、制御判断装置３２ａは、ネットワーク３Ｎｂの制御判断装置３２ｂに分析を依頼する（ステップＳ３１１０）。

【0159】

［防御処理（各装置）］
図２４に示すように、制御判断装置３２ａは、サーバ攻撃の分析結果を受信する（ステップＳ３２０１）。次に、制御判断装置３２ａは、分析結果を基に、サーバ攻撃がネットワーク３Ｎａで防御可能なものであるか否かを判定する（ステップＳ３２０２）。

【0160】

サーバ攻撃がネットワーク３Ｎａで防御可能なものである場合（ステップＳ３２０２、防御可）、制御判断装置３２ａは、ネットワーク３Ｎａの対処装置３４ａのリソースを確認する（ステップＳ３２０３）。リソースがない場合（ステップＳ３２０４、リソース無）、制御判断装置３２ａは所定時間経過後に再びリソースの確認を行う。また、リソースがある場合（ステップＳ３２０４、リソース有）、制御判断装置３２ａは、対処装置３４ａに防御を実施させる（ステップＳ３２０５）。

【0161】

また、サーバ攻撃がネットワーク３Ｎａで防御可能なものでない場合（ステップＳ３２０２、防御不可）、制御判断装置３２は、各ネットワーク３Ｎへの通信経路を確認しておく（ステップＳ３２０６）。そして、制御判断装置３２ａは、制御判断装置３２ａに記憶されたＤＢを参照し、サーバ攻撃からの防御が可能な対処装置３４ｂが備えられたネットワーク３Ｎの情報を取得する（ステップＳ３２０７）。

【0162】

サーバ攻撃を防御可能な対処装置３４が備えられたネットワーク３Ｎが存在しない場合（ステップＳ３２０８、無）、制御判断装置３２ａは、防御を依頼せずに処理を終了する（ステップＳ３２０９）。

【0163】

サーバ攻撃を防御可能な対処装置３４ｂが備えられたネットワーク３Ｎｂが存在する場合（ステップＳ３２０８、有）、制御判断装置３２ａは、ネットワーク３Ｎｂの制御判断装置３２ｂに防御を依頼する（ステップＳ３２１０）。

【0164】

［第３の実施形態の効果］
制御判断装置３２の記憶部３２２は、複数のネットワーク１Ｎのそれぞれに備えられた制御判断装置３２ごとの、サーバ攻撃に対して実施可能な対処方法を記憶し。依頼部３２３４は、記憶部３２２を参照し、第１のサーバ攻撃の対処が可能な他のセキュリティシステム３Ｓを特定し、特定したセキュリティシステム３Ｓに対し第１のサーバ攻撃の対処を依頼することを特徴とする請求項１に記載の制御システム１。これにより、各セキュリティシステムは、外部の装置を参照することなく、サーバ攻撃の対処の依頼を行うことができる。

【0165】

［プログラム］
一実施形態として、制御システム１から３の各装置は、パッケージソフトウェアやオンラインソフトウェアとして上記の通信制御を実行する制御プログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、上記の制御プログラムを情報処理装置に実行させることにより、ゲートウェイ装置等の各通信機器が含まれる。

【0166】

図２５は、実施形態に係る制御判断装置として機能するコンピュータの一例を示す図である。コンピュータ５０００は、例えば、メモリ５０１０、ＣＰＵ５０２０を有する。また、コンピュータ５０００は、ハードディスクドライブインタフェース５０３０、ディスクドライブインタフェース５０４０、シリアルポートインタフェース５０５０、ビデオアダプタ５０６０、ネットワークインタフェース５０７０を有する。これらの各部は、バス５０８０によって接続される。

【0167】

メモリ５０１０は、ＲＯＭ（Read Only Memory）５０１１及びＲＡＭ５０１２を含む。ＲＯＭ５０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース５０３０は、ハードディスクドライブ５０９０に接続される。ディスクドライブインタフェース５０４０は、ディスクドライブ５１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ５１００に挿入される。シリアルポートインタフェース５０５０は、例えばマウス５１１０、キーボード５１２０に接続される。ビデオアダプタ５０６０は、例えばディスプレイ５１３０に接続される。

【0168】

ハードディスクドライブ５０９０は、例えば、ＯＳ５０９１、アプリケーションプログラム５０９２、プログラムモジュール５０９３、プログラムデータ５０９４を記憶する。すなわち、制御判断装置の各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール５０９３として実装される。プログラムモジュール５０９３は、例えばハードディスクドライブ５０９０に記憶される。例えば、制御判断装置における機能構成と同様の処理を実行するためのプログラムモジュール５０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ５０９０は、ＳＳＤにより代替されてもよい。

【0169】

また、上述した実施形態の処理で用いられる設定データは、プログラムデータ５０９４として、例えばメモリ５０１０やハードディスクドライブ５０９０に記憶される。そして、ＣＰＵ５０２０は、メモリ５０１０やハードディスクドライブ５０９０に記憶されたプログラムモジュール５０９３やプログラムデータ５０９４を必要に応じてＲＡＭ５０１２に読み出して、上述した実施形態の処理を実行する。

【0170】

なお、プログラムモジュール５０９３やプログラムデータ５０９４は、ハードディスクドライブ５０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ５１００等を介してＣＰＵ５０２０によって読み出されてもよい。あるいは、プログラムモジュール５０９３及びプログラムデータ５０９４は、ネットワーク（ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール５０９３及びプログラムデータ５０９４は、他のコンピュータから、ネットワークインタフェース５０７０を介してＣＰＵ５０２０によって読み出されてもよい。

【符号の説明】

【0171】

１、２、３ 制御システム
１１ 集中制御装置
１２、２２、３２ 制御判断装置
１３、２３、３３ 検知装置
１４、２４、３４ 対処装置
１Ｎ、２Ｎ、３Ｎ ネットワーク
１Ｓ、２Ｓ、３Ｓ セキュリティシステム
２１ 情報管理装置
１１１、１２１、２１１、２２１、３２１ 通信部
１１２、１２２、２１２、２２２、３２２ 記憶部
１１３、１２３、２１３、２２３、３２３ 制御部
１１２１、２１２１、３２２１ 対処メニューＤＢ
１１２２、２２２２、３２２２ ＡＳＤＢ
１１３１、２２３３、３２３２ 経路確認部
１１３２、１２３１、２２３１、３２３１ 判定部
１１３３、１２３２、２２３４、３２３３ リソース確認部
１１３４ 代理依頼部
１２２１、２２２１ 自網対処メニューＤＢ
１２３３、２２３５、３２３４ 依頼部
２１３１ 提供部
２２３２ 情報取得部

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【図17】

【図18】

【図19】

【図20】

【図21】

【図22】

【図23】

【図24】

【図25】