特許 7396483 パケット収集システム、パケット統合解析装置、パケット収集方法、及びプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2023-12-04

(45)【発行日】2023-12-12

(54)【発明の名称】パケット収集システム、パケット統合解析装置、パケット収集方法、及びプログラム

(51)【国際特許分類】

   H04L 43/08 20220101AFI20231205BHJP

【ＦＩ】

H04L43/08

【請求項の数】 6

(21)【出願番号】P 2022531121

(86)(22)【出願日】2020-06-15

(86)【国際出願番号】 JP2020023479

(87)【国際公開番号】W WO2021255800

(87)【国際公開日】2021-12-23

【審査請求日】2022-10-05

(73)【特許権者】

【識別番号】000004226

【氏名又は名称】日本電信電話株式会社

(74)【代理人】

【識別番号】100107766

【弁理士】

【氏名又は名称】伊東 忠重

(74)【代理人】

【識別番号】100070150

【弁理士】

【氏名又は名称】伊東 忠彦

(74)【代理人】

【識別番号】100124844

【弁理士】

【氏名又は名称】石原 隆治

(72)【発明者】

【氏名】白石 将浩

(72)【発明者】

【氏名】長山 弘樹

(72)【発明者】

【氏名】岡部 恵一

(72)【発明者】

【氏名】鷲尾 知暁

(72)【発明者】

【氏名】宮島 麻美

【審査官】宮島 郁美

(56)【参考文献】

【文献】特開２０１９－１１０５１３（ＪＰ，Ａ）

【文献】特開２０２０－０３１２８１（ＪＰ，Ａ）

【文献】特開２００７－１５７０５９（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｌ１２／００－１２／６６，１３／００，４１／００－４９／９０５７，６１／００－６５／８０，６９／００－６９／４０

(57)【特許請求の範囲】

【請求項1】

暗号化されたペイロードを有するパケットの送受信がなされる１以上のセグメントを有する通信システムにおける異常検知用のパケットを収集するためのパケット収集システムであって、
前記通信システムにおいて送受信されるパケットを各セグメントから時系列に収集し、収集したパケットのヘッダ情報及びペイロード情報を格納するヘッダ収集装置と、
前記通信システムにおける各セグメントに備えられるペイロード収集装置であって、セグメント内で受信したパケットにおけるペイロード情報を復号し、復号されたペイロード情報を、当該パケットのヘッダ情報及びペイロード情報とともに格納するペイロード収集装置と、
前記ヘッダ収集装置から受信した時系列のヘッダ情報及びペイロード情報と、前記ペイロード収集装置から受信したヘッダ情報、ペイロード情報、及び復号されたペイロード情報とを照合することにより、時系列に並べられたヘッダ情報、ペイロード情報、及び復号されたペイロード情報を取得し、格納するパケット統合解析装置と
を備えるパケット収集システム。

【請求項2】

前記１以上のセグメントはそれぞれマルチキャストグループであり、各マルチキャストグループにおいて、パブリッシャとして機能する送信装置とサブスクライバとして機能する受信装置との間で出版購読型モデルによる通信がなされ、前記ペイロード収集装置は、サブスクライバとして機能する受信装置の１つである
請求項１に記載のパケット収集システム。

【請求項3】

前記パケット統合解析装置は、時系列に並べられたヘッダ情報、ペイロード情報、及び復号されたペイロード情報に、対応するセグメントを示す情報を付加し、格納する
請求項１又は２に記載のパケット収集システム。

【請求項4】

暗号化されたペイロードを有するパケットの送受信がなされる１以上のセグメントを有する通信システムにおいて使用されるパケット統合解析装置であって、
前記通信システムにおいて送受信されるパケットを時系列に収集するヘッダ収集装置から、時系列のヘッダ情報及びペイロード情報を受信し、各セグメントに備えられるペイロード収集装置から、ヘッダ情報、ペイロード情報、及び復号されたペイロード情報を受信するデータ受信部と、
前記ヘッダ収集装置から受信した時系列のヘッダ情報及びペイロード情報と、前記ペイロード収集装置から受信したヘッダ情報、ペイロード情報、及び復号されたペイロード情報とを照合することにより、時系列に並べられたヘッダ情報、ペイロード情報、及び復号されたペイロード情報を取得する時系列照合部と、
前記時系列に並べられたヘッダ情報、ペイロード情報、及び復号されたペイロード情報を格納するトラヒックデータ記録部と
を備えるパケット統合解析装置。

【請求項5】

暗号化されたペイロードを有するパケットの送受信がなされる１以上のセグメントを有する通信システムにおける異常検知用のパケットを収集するためのパケット収集システムにより実行されるパケット収集方法であって、
ヘッダ収集装置が、前記通信システムにおいて送受信されるパケットを各セグメントから時系列に収集し、収集したパケットのヘッダ情報及びペイロード情報を格納するステップと、
前記通信システムにおける各セグメントに備えられるペイロード収集装置が、セグメント内で受信したパケットにおけるペイロード情報を復号し、復号されたペイロード情報を、当該パケットのヘッダ情報及びペイロード情報とともに格納するステップと、
パケット統合解析装置が、前記ヘッダ収集装置から受信した時系列のヘッダ情報及びペイロード情報と、前記ペイロード収集装置から受信したヘッダ情報、ペイロード情報、及び復号されたペイロード情報とを照合することにより、時系列に並べられたヘッダ情報、ペイロード情報、及び復号されたペイロード情報を取得し、格納するステップと
を備えるパケット収集方法。

【請求項6】

コンピュータを、暗号化されたペイロードを有するパケットの送受信がなされる１以上のセグメントを有する通信システムにおいて使用されるパケット統合解析装置として機能させるためのプログラムであって、前記コンピュータを、
前記通信システムにおいて送受信されるパケットを時系列に収集するヘッダ収集装置から、時系列のヘッダ情報及びペイロード情報を受信し、各セグメントに備えられるペイロード収集装置から、ヘッダ情報、ペイロード情報、及び復号されたペイロード情報を受信するデータ受信部、
前記ヘッダ収集装置から受信した時系列のヘッダ情報及びペイロード情報と、前記ペイロード収集装置から受信したヘッダ情報、ペイロード情報、及び復号されたペイロード情報とを照合することにより、時系列に並べられたヘッダ情報、ペイロード情報、及び復号されたペイロード情報を取得する時系列照合部、及び
前記時系列に並べられたヘッダ情報、ペイロード情報、及び復号されたペイロード情報を格納するトラヒックデータ記録部、
として機能させるためのプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、セキュアなマルチキャスト通信における異常検知用パケットを収集する技術に関連するものである。

【背景技術】

【0002】

産業システムでは、ネットワーク（ＮＷ）上で流通する機密な制御パラメータ等の盗聴・改竄を防ぐために暗号通信が用いられることがある。

【0003】

ただし、暗号通信が用いられる場合でも、暗号化鍵が盗まれた場合には不正動作を起こす制御パラメータを含む通信等によるサイバー攻撃のリスクが残り、暗号化鍵が盗まれていない場合でも過去に流通した通信の記録を再利用した通信（Ｒｅｐｌａｙ）によるサイバー攻撃のリスクが残る。

【先行技術文献】

【非特許文献】

【0004】

【文献】SSLアクセラレータ、日立ソリューションズ、[https://www.hitachi-solutions.co.jp/array/sp/apv/function2.html]

【発明の概要】

【発明が解決しようとする課題】

【0005】

上記サイバー攻撃をＮＷ上で異常として検知するためには、送受信されるデータの値の時間変化量等を分析する必要がある。そのために、送受信される複数のデータ（復号したデータ）を時系列に分析できるように、データ収集を行う必要がある。

【0006】

異常検知に関して、非特許文献１には、産業システムと同様に高いスループットが求められるシステムに向けて、通信の暗号化と復号、及び異常検知処理を行う専用機が開示されている。

【0007】

しなしながら、非特許文献１に開示された技術を含む従来技術では、復号した複数のデータを時系列に分析できるように効率的にデータ収集を行うことはできない。

【0008】

本発明は上記の点に鑑みてなされたものであり、暗号通信が行われる通信システムにおいて、復号した複数のデータを時系列に分析できるように効率的にデータ収集を行うことを可能とする技術を提供することを目的とする。

【課題を解決するための手段】

【0009】

開示の技術によれば、暗号化されたペイロードを有するパケットの送受信がなされる１以上のセグメントを有する通信システムにおける異常検知用のパケットを収集するためのパケット収集システムであって、
前記通信システムにおいて送受信されるパケットを各セグメントから時系列に収集し、収集したパケットのヘッダ情報及びペイロード情報を格納するヘッダ収集装置と、
前記通信システムにおける各セグメントに備えられるペイロード収集装置であって、セグメント内で受信したパケットにおけるペイロード情報を復号し、復号されたペイロード情報を、当該パケットのヘッダ情報及びペイロード情報とともに格納するペイロード収集装置と、
前記ヘッダ収集装置から受信した時系列のヘッダ情報及びペイロード情報と、前記ペイロード収集装置から受信したヘッダ情報、ペイロード情報、及び復号されたペイロード情報とを照合することにより、時系列に並べられたヘッダ情報、ペイロード情報、及び復号されたペイロード情報を取得し、格納するパケット統合解析装置と
を備えるパケット収集システムが提供される。

【発明の効果】

【0010】

開示の技術によれば、暗号通信が行われる通信システムにおいて、復号した複数のデータを時系列に分析できるように効率的にデータ収集を行うことを可能とする技術が提供される。

【図面の簡単な説明】

【0011】

【図1】暗号通信の処理負荷を説明するための図である。

【図2】不正検知の例を説明するための図である。

【図3】パケット収集システムの例を示す図である。

【図4】本発明の実施の形態におけるシステムの構成図である。

【図5】本発明の実施の形態におけるシステムの構成図である。

【図6】パケットの流れを説明するための図である。

【図7】パケットの流れを説明するための図である。

【図8】ヘッダ収集装置の構成図である。

【図9】ヘッダ収集装置の動作を説明するためのフローチャートである。

【図10】受信するパケットのイメージを示す図である。

【図11】トラヒックデータ記録部に格納されるテーブルの例を示す図である。

【図12】ペイロード収集部の構成図である。

【図13】ペイロード収集部の動作を説明するためのフローチャートである。

【図14】ペイロードデータ記録部に格納されるテーブルの例を示す図である。

【図15】パケット統合解析装置へのデータ転送を示す図である。

【図16】パケット統合解析装置の構成図である。

【図17】パケット統合解析装置の動作を説明するためのフローチャートである。

【図18】データの順位の決定を説明するための図である。

【図19】グローバルトラヒックデータ記録部に格納されるテーブルの例を示す図である。

【図20】ユニキャストの場合の例を説明するための図である。

【図21】収集した情報の例を示す図である。

【図22】収集した情報の例を示す図である。

【図23】装置のハードウェア構成例である。

【発明を実施するための形態】

【0012】

以下、図面を参照して本発明の実施の形態（本実施の形態）を説明する。以下で説明する実施の形態は一例に過ぎず、本発明が適用される実施の形態は、以下の実施の形態に限られるわけではない。

【0013】

（課題について）
本発明の実施の形態を詳細に説明する前に、本発明を使用しない場合に想定されるパケット収集システムについての課題を説明する。

【0014】

まず、図１を参照して、送信装置１０と受信装置２０との間で暗号通信が行われる場合における処理負荷について説明する。

【0015】

平文通信を行う場合には、送信装置１０は、ヘッダと平文のペイロードを有するパケットを受信装置２０に送信する（Ｓ１）。一方、暗号通信を行う場合、送信装置１０はまず平文のペイロードを暗号化し（Ｓ２）、暗号化したペイロードとヘッダからなるパケットを送信する（Ｓ３）。Ｓ４において、受信装置２０は、暗号化されたペイロードを復号し、平文のペイロードを取得する。

【0016】

上記のとおり、平文通信と比較して、暗号通信では、暗号化と復号の処理の分だけ処理負荷が増加する。

【0017】

図２は、不正通信の検知を行う場合を示している。ここでは送信装置１０が攻撃者（クラッカー１０）であるとする。ペイロードを復号しなければ不正値を検知できないので、受信装置２０は、暗号化されたペイロードを含むパケットを受信し（Ｓ５）、ペイロードを復号することにより（Ｓ６）、不正値を検出する。

【0018】

図３は、異常検知のための処理負荷をオフロードする専用機（オフロード機）を用いて異常検知用パケットを収集するためのシステムの構成例を示す図である。なお、図３に示すシステム自体は従来技術ではない。従来技術である専用機を用いてパケット収集を行う場合に想定されるシステムの構成である。

【0019】

図３におけるシステムは、３つのセグメント（例えば３つのマルチキャストグループ）に分けられており、セグメント１が高トラヒック量ゾーンであり、セグメント２が中トラヒック量ゾーンであり、セグメント３が低トラヒック量ゾーンである。セグメント１は、送信装置１７、受信装置１８、１９、スイッチ（ＳＷ）１５、専用機１４を有する。セグメント２は、送信装置２７、受信装置２８、２９、スイッチ（ＳＷ）２５、専用機２４を有する。セグメント３は、送信装置３１、受信装置３２、３３、スイッチ（ＳＷ）３５、専用機３４を有する。

【0020】

ＳＷ１５、２５、３５は、上位のＳＷ６に接続される。各セグメントの専用機は、保守ＳＷ５に接続され、保守ＳＷ１５は統合異常検知機７に接続される。

【0021】

各セグメントにおける専用機は、セグメント内のＳＷから、ミラーリングにより、セグメント内の送信装置と受信装置との間で送受信されるパケットを受信し、受信したパケットにおける暗号化されたペイロードを復号し、ヘッダと復号したペイロードとを統合異常検知機７に送信する。統合異常検知機７は、各専用機から受信したデータを分析することにより統合的な異常検知を行う。

【0022】

しかし、図３に示す構成では、各セグメントの専用機に対し、受信装置の持つ鍵を共有する設定あるいは作りこみが必要であり、共有サーバ等が必要となり、運用コストが増大する。

【0023】

また、セグメント毎に専用機にかかるトラヒック負荷が異なるため、統合異常検知機７によるデータの収集タイミングが揃わないという問題がある。

【0024】

そのため、統合異常検知装置７において、データを時系列に分析するために、データの時系列ソートが必要になる。しかし、データは次々と統合異常検知装置７により収集されるため、時系列ソートを行っても時系列のデータ分析を適切に行えない場合がある。

【0025】

つまり、上記のシステムのように専用機を導入する場合には、鍵管理等の運用効率が悪い。また、専用機（オフロード機）から収集するデータが異常検知用データとして収集効率が悪い。すなわち、トラヒック量とオフロード機の配置構成によってデータ収集が遅くなる、データ収集後の統合処理が必要になるという課題がある。

【0026】

より具体的には、データ収集のタイミングが揃わないことに対し、時系列を揃える処理をするだけでなく、異常検知のためのデータ作成の処理として一定の時間を区切りその時間内に到達しないデータは欠損扱いとするあるいはデータが揃うまで待機するといった異常検知の精度に関わる設定を伴う機能が統合処理に必要となる。

【0027】

以下で説明する本実施の形態に係るシステムでは上記の課題が解決され、暗号通信が行われる通信システムにおいて、復号した複数のデータを時系列に分析できるように効率的にデータ収集を行うことが可能となる。

【0028】

すなわち、本実施の形態においては、通信の配送範囲に基づき、復号処理機能と収集処理機能を階層的に配置し、収集した情報を後に統合することで異常検知用データの収集効率を上げることとしている。

【0029】

具体的には、近年、産業システムで利用されるセキュアなマルチキャスト通信の配送範囲内（マルチキャストグループ）に、当該範囲のペイロードを復号して収集する装置（ペイロード収集装置）を配置し、更に、複数マルチキャストグループを跨いで時系列にヘッダ情報等を収集する装置（ヘッダ収集装置）と、復号したペイロードを時系列に並んだヘッダデータと照合する装置（パケット統合解析装置）を配置することとしている。以下、本実施の形態に係る技術をより詳細に説明する。

【0030】

（システム構成）
図４に、本発明の実施の形態におけるパケット収集システムの全体構成図を示す。図４に示すように、本パケット収集システムには、マルチキャストグループ１、マルチキャストグループ２、及びマルチキャストグループ３が存在し、各マルチキャストグループがヘッダ収集装置２００に接続され、各マルチキャストグループとヘッダ収集装置２００との間でデータの送受信が可能になっている。また、パケット統合解析装置３００がヘッダ収集装置２００に接続されており、パケット統合解析装置３００とヘッダ収集装置２００との間でデータの送受信が可能になっている。

【0031】

なお、「マルチキャストグループ」を「セグメント」と称してもよい。また、後述するように、本実施の形態に係る技術はマルチキャスト通信のみでなくユニキャスト通信にも適用可能である。「セグメント」は、「マルチキャスト通信を行う範囲」と「ユニキャスト通信を行う範囲」の両方の意味を含むものであってもよい。

【0032】

図４に示すように、３つのマルチキャストグループが存在することは一例である。マルチキャストグループの数は、１つであってもよいし、２つであってもよいし、４つ以上であってもよい。

【0033】

図４に示す３つのマルチキャストグループの種類は特に限定されないが、例えば、図３に示したセグメント１～３と同様に、トラヒック量に応じたゾーンに分けられていると想定してもよい。例えば、マルチキャストグループ１がセンサデータの処理を行うゾーン、マルチキャストグループ２がコントローラについての通信を行うゾーン、及びマルチキャストグループ３がアクチュエータの制御を行うゾーンであってもよい。

【0034】

上記のようにマルチキャストグループに含まれる装置の具体的種類等は、マルチキャストグループ間で異なり得るが、基本的な構成はマルチキャストグループ間で同じである。

【0035】

図５に、１つのマルチキャストグループ内の構成例を示す。他のマルチキャストグループも同様の構成を有している。

【0036】

図５に示すように、マルチキャストグループには、送信装置１０、受信装置２０、ペイロード収集装置１００－Ａ、ペイロード収集装置１００－Ｂ、Ｌ２ＳＷ３０（レイヤ２スイッチ３０）が備えら、図示のとおりに各装置がＬ２ＳＷ３０に接続されている。なお、ペイロード収集装置１００－Ａとペイロード収集装置１００－Ｂは、同じ構成を備えており、両者を区別しないで説明する場合には、「パケット収集装置１００」と記述する。また、ペイロード収集装置１００は、１台のみ備えてもよいし、３台以上備えられてもよい。

【0037】

本実施の形態において、送信装置１０と受信装置２０は、Ｐｕｂｌｉｓｈ／Ｓｕｂｓｃｒｉｂｅモデル（以降、Ｐｕｂ／Ｓｕｂモデルと呼ぶ。出版購買型モデルと呼んでもよい）でメッセージの送受信を行う。本実施の形態におけるＰｕｂ／Ｓｕｂモデルにおいて、送信装置１０がＰｕｂｌｉｓｈｅｒ（パブリッシャ）に相当し、受信装置２０がＳｕｂｓｃｒｉｂｅｒ（サブスクライバ）に相当する。また、本実施の形態では、Ｐｕｂ／Ｓｕｂモデルの方式の１つであるＤＤＳ（Data Distribution Service）を使用することを想定している。ただし、これに限定されるわけではない。

【0038】

送信装置１０は、例えばセンサであり、受信装置２０は、例えば、センサデータを解析する装置やセンサデータに基づく制御を行う制御装置である。

【0039】

基本的な動作として、受信装置２０（Ｓｕｂｓｃｒｉｂｅｒ）が送信装置１０（Ｐｕｂｌｉｓｈｅｒ）に対して希望するトピックについてのメッセージ配信（メッセージ購読）を申し込み、送信装置１０（Ｐｕｂｌｉｓｈｅｒ）は、そのトピックのメッセージを受信装置２０（Ｓｕｂｓｃｒｉｂｅｒ）に送信する。送信されるメッセージには、トピック名と値が含まれる。

【0040】

本実施の形態では、上記メッセージは、ヘッダを有するパケットのペイロードとして、送信装置１０から受信装置２０に送信される。また、本実施の形態では、メッセージ（パケットのペイロード）は、送信装置１０において暗号化され、受信装置２０において復号される。

【0041】

本実施の形態におけるペイロード収集装置１００は、ペイロード収集のために専用に備える装置ではなく、受信装置として機能する装置に、ペイロード収集のための機能を追加した装置であることを想定している。ただし、ペイロード収集装置１００が、ペイロード収集のために専用に備えられる装置であっても構わない。

【0042】

送信装置１０から送信されたパケットは、同じマルチキャストグループ内の受信装置２０とパケット収集装置１００のそれぞれに送信され、受信装置２０とパケット収集装置１００のそれぞれが当該パケットを受信する。具体的には、送信装置１０から送信されたパケットは、Ｌ２ＳＷ３０に届き、Ｌ２ＳＷ３０が、同じマルチキャストグループ内の受信装置２０とパケット収集装置１００が接続されている各ポートからパケットを出力する。

【0043】

また、送信装置１０と受信装置２０／パケット収集装置１００との間ではユニキャスト通信も行われる。ユニキャスト通信では、送信装置１０から送信されたパケットはまずＬ２ＳＷ３０に届き、Ｌ２ＳＷ３０は、宛先の装置が接続されたポートからパケットを送信する。また、ユニキャスト通信において、受信装置２０／パケット収集装置１００から送信されたパケットはまずＬ２ＳＷ３０に届き、Ｌ２ＳＷ３０は、宛先の装置が接続されたポートからパケットを送信する。

【0044】

Ｌ２ＳＷ３０は、受信したパケットを宛先に向けて送信するとともに、送受信されるパケットをコピー（ミラーリング）して、ヘッダ収集装置２００へ送信する。

【0045】

図５に示すように、送信装置１０は、Ｐｕｂｌｉｓｈｅｒ１１と暗号化処理部１２を含む。Ｐｕｂｌｉｓｈｅｒ１１は、あるトピックについての購読申込に応じて、当該トピックについてのメッセージを生成し、送信する機能部である。

【0046】

暗号化処理部１２は、Ｐｕｂｌｉｓｈｅｒ１１から受信したメッセージを暗号化し、暗号化したメッセージをペイロードとして有するパケットを生成し、当該パケットを送信する機能部である。なお、暗号化処理部１２を、「セキュリティＰｕｂ／Ｓｕｂミドルウェア」と称してもよい。

【0047】

受信装置２０は、Ｓｕｂｓｃｒｉｂｅｒ２１と復号処理部２２を含む。Ｓｕｂｓｃｒｉｂｅｒ２１は、Ｐｕｂｌｉｓｈｅｒ１１に対してあるトピックについての購読申込を行って、Ｐｕｂｌｉｓｈｅｒ１１から当該トピックについてのメッセージを受信する機能部である。

【0048】

復号処理部２２は、送信装置１０から受信したパケットの中の暗号化されたペイロードを復号し、復号したペイロード（メッセージ）をＳｕｂｓｃｒｉｂｅｒ２１に送信する機能部である。なお、復号処理部２２を、「セキュリティＰｕｂ／Ｓｕｂミドルウェア」と称してもよい。

【0049】

ペイロード収集装置１００は、ペイロード収集部１１０と復号処理部１２０を含む。ペイロード収集部１１０は、前述したＳｕｂｓｃｒｉｂｅｒ２１の機能と、ペイロード収集に係る機能を有する。ペイロード収集に係る機能についての構成（ブロック図）と動作については後述する。復号処理部１２０は、前述した復号処理部２２と同様の機能を有する。

【0050】

（パケットの流れ）
続いて、本実施の形態のおけるパケットの流れの例について図６と図７を参照して説明する。

【0051】

図６は、マルチキャストグループ内（セグメント内）でのＰｕｂ／Ｓｕｂ通信のパケットの流れを説明するための図である。

【0052】

Ｓ１１において、送信装置１０のＰｕｂｌｉｓｈｅｒ１１がメッセージ（ＴｏｐｉｃＡ：１２）を暗号化処理部１２に送信する。Ｓ１２において、暗号化処理部１２は、メッセージを暗号化するとともに、暗号化したメッセージ（ペイロード）にヘッダを付けることによりパケットを生成する。Ｓ１３において、復号処理部１２は、パケットを送信する。

【0053】

受信装置２０の復号処理部２２がパケットを受信し、Ｓ１４において、パケットから暗号化されたペイロードを抽出し、暗号化されたペイロードを復号する。Ｓ１５において、復号処理部１２は、復号されたペイロードであるメッセージをＳｕｂｓｃｒｉｂｅｒ２２に送信する。

【0054】

Ｓ１６～Ｓ２０では、トピックＢのメッセージに対してＳ１１～Ｓ１５と同様の処理が実行される。

【0055】

図７は、本実施の形態におけるパケットの流れを説明するための図である。まず、マルチキャスト通信について説明する。

【0056】

Ｓ１０１において、送信装置１０のＰｕｂｌｉｓｈｅｒ１１がメッセージ（ＴｏｐｉｃＡ：１２）を暗号化処理部１２に送信する。Ｓ１０２において、暗号化処理部１２は、メッセージを暗号化するとともに、暗号化したメッセージ（ペイロード）にヘッダを付けることによりパケットを生成する。Ｓ１０３において、暗号化処理部１２は、パケットを送信する。

【0057】

送信されたパケットは、受信装置２０とパケット収集装置１００のそれぞれに届き（Ｓ１０３、Ｓ１０８）、受信装置２０とパケット収集装置１００のそれぞれにおいてペイロード抽出及び復号が行われる（Ｓ１０６、Ｓ１０７、Ｓ１０９、Ｓ１１０）。

【0058】

一方、Ｓ１０４、Ｓ１０５において、Ｌ２ＳＷ３０は、パケットのミラーリングを行って、当該パケットをヘッダ収集装置２００に送信する。ヘッダ収集装置２００は当該パケットを受信する。

【0059】

次に、ユニキャスト通信について説明する。なお、ユニキャスト通信は、例えばＰｕｂｌｉｓｈｅｒとＳｕｂｓｃｒｉｂｅｒとの相互で死活監視を実施するために発生する。

【0060】

Ｓ２０１において、送信装置１０のＰｕｂｌｉｓｈｅｒ１１がメッセージ（ＴｏｐｉｃＢ：×××）を暗号化処理部１２に送信する。Ｓ２０２において、暗号化処理部１２は、メッセージを暗号化するとともに、暗号化したメッセージ（ペイロード）にヘッダを付けることによりパケットを生成する。Ｓ２０３において、暗号化処理部１２は、パケットを送信する。

【0061】

送信されたパケットは、ユニキャストの宛先である受信装置２０のみに送信され（Ｓ２０３）、受信装置２０においてペイロード抽出及び復号が行われる（Ｓ２０６、Ｓ２０７）。なお、ユニキャストの宛先がペイロード収集装置１００である場合、ペイロード収集装置１００は、受信装置２０での処理と同様の処理を実行することで、ペイロードを収集する。

【0062】

一方、Ｓ２０４、Ｓ２０５において、Ｌ２ＳＷ３０は、パケットのミラーリングを行って、当該パケットをヘッダ収集装置２００に送信する。ヘッダ収集装置２００は当該パケットを受信する。

【0063】

（暗号化通信について）
本実施の形態における暗号化は共通鍵暗号方式を前提とする。ただし、共通鍵暗号方式に限定されるわけではなく、共通鍵暗号方式以外の暗号化方式を用いてもよい。

【0064】

また、本実施の形態における共通鍵の生成単位は特定のものに限定されず、どのようなものであってもよい。また、鍵交換の方式や頻度等についても特定のものに限定されず、どのようなものであってもよい。

【0065】

例えば、「一つのマルチキャストグループで一つの共通鍵を持つ」、「一つのＴｏｐｉｃについて一つの共通鍵を持つ」、「一対のノードとノードについて一つの共通鍵を持つ」のいずれであってもよい。

【0066】

例えば、「一対のノードとノードについて一つの共通鍵を持つ」場合のマルチキャストの具体例は以下のとおりである。

【0067】

例えば受信装置が３つの場合、送信装置は、［ヘッダ：｛受信装置１用暗号化ペイロード、受信装置２用暗号化ペイロード、受信装置３用暗号化ペイロード｝］の形式のパケットを生成し、送信する。受信装置３がペイロード収集装置１００であれば、当該ペイロード収集装置１００が、受信装置３用暗号化ペイロードのみ復号化することで、ペイロードの中身を取得することができる。

【0068】

以下では、ヘッダ収集装置２００、ペイロード収集装置１００のペイロード収集部１１０、及びパケット統合解析装置３００の構成と動作について説明する。

【0069】

（ヘッダ収集装置２００）
図８は、ヘッダ収集装置２００の構成図である。図８に示すように、ヘッダ収集装置２００は、トラヒックデータ収集部２１０、ヘッダデータ抽出部２２０、トラヒックデータ記録部２３０、及び時系列データ転送部２４０を有する。

【0070】

図９のフローチャートの手順に沿って、各部の動作を説明する。Ｓ３０１において、トラヒックデータ収集部２１０は、Ｌ２ＳＷ３０からヘッダ収集装置２００に送信されるパケットを時系列で受信し、随時、パケットをヘッダデータ抽出部２２０に渡す。なお、トラヒックデータ収集部２１０がパケットを受信する方法はどのような方法でもよいが、例えば、ｔｃｐｄｕｍｐ、ｗｉｒｅｓｈａｒｋ、ｓｏｃｋｅｔプログラミング等を用いる方法がある。

【0071】

本実施の形態では、図３に示したような復号を行う専用機を介さずにヘッダ収集装置２００がパケットを収集するので、マルチキャストグループ毎のトラヒック量の相違等にほとんど影響されずに時系列でパケットを収集できる。

【0072】

図１０は、トラヒックデータ収集部２１０が受信するパケットの例を示している。図１０に示すとおり、各パケットは、ヘッダと暗号化されたペイロードを有する。

【0073】

図９のＳ３０２において、ヘッダデータ抽出部２２０は、各パケットにおけるヘッダとペイロードを分離し、分離して得たヘッダ情報とペイロード情報とを、パケットの受信順にトラヒックデータ記録部２３０に格納する。この時、ヘッダデータ抽出部２２０は、ヘッダ情報からユニキャスト通信を識別した場合には、当該ユニキャスト通信に係るヘッダ情報とペイロード情報をＦｌｇデータと合わせてトラヒックデータ記録部２３０に格納する。図１１に、トラヒックデータ記録部２３０に格納される情報（テーブル）の例を示す。

【0074】

図９のＳ３０３において、時系列データ転送部２４０は、トラヒックデータ記録部２３０に格納された通信について、ヘッダ情報（Ｈ）とペイロード情報（Ｐａｙｌｏａｄ）を抽出し、抽出した時系列のヘッダ情報（Ｈ）とペイロード情報（Ｐａｙｌｏａｄ）を、パケット統合解析装置３００に転送する。

【0075】

この時に、時系列データ転送部２４０は、マルチキャストグループのＩＤ（ＤＤＳで言えばドメインＩＤ等）もヘッダ情報（Ｈ）とペイロード情報（Ｐａｙｌｏａｄ）に付与して送信する。なお、転送形態について、通信経路、プロトコル、ファイル形式等は特定のものに限定されず、どのようなものを用いてもよい。

【0076】

（ペイロード収集部１１０）
図１２は、ペイロード収集部１１０の構成図である。図１２に示すように、ペイロード収集部１１０は、通信キャプチャ部１１１、ペイロード処理部１１２、ペイロードデータ記録部１１３、ペイロードデータ転送部１１４を有する。

【0077】

図１３のフローチャートの手順に沿って、各部の動作を説明する。Ｓ４０１において、通信キャプチャ部１１１は、パケットを受信し、随時、受信したパケットをペイロードデータ記録部１１３に格納する。ここで受信するパケットは図１０の示したパケットと同様である。パケットの受信の方法については、トラヒックデータ収集部２１０と同様にどのような方法を用いてもよい。

【0078】

図１３のＳ４０２において、ペイロード処理部１１２は、通信キャプチャ部１１１で受信したパケットに対して、復号処理部１２０を用いて復号されたペイロードからＴｏｐｉｃ名とＶａｌｕｅを収集し、Ｔｏｐｉｃ名とＶａｌｕｅを、当該パケットのヘッダ情報とペイロード情報に対応付けて、ペイロードデータ記録部１１３に格納する。図１４に、ペイロードデータ記録部１１３に格納されるテーブルの例を示す。

【0079】

図１３のＳ４０３において、ペイロードデータ転送部１１４は、ペイロードデータ記録部１１３に格納された各通信について、ヘッダ情報（Ｈ）、ペイロード情報（Ｐａｙｌｏａｄ）、ペイロード情報を復号することにより得られたトピック情報（Ｔｏｐｉｃ）及び値情報（Ｖａｌｕｅ）を抽出し、抽出した情報をパケット統合解析装置３００に転送する。

【0080】

この時に、ペイロードデータ転送部１１４は、マルチキャストグループのＩＤ（ＤＤＳで言えばドメインＩＤ等）も上記情報に付与して送付する。転送形態については、時系列データ転送部２４０と同様にどのような方法を用いてもよい。また、転送する情報にペイロード収集部１１０へのユニキャストデータが含まれていても構わない。

【0081】

図１５に示すように、ヘッダ収集装置２００から各マルチキャストグループのヘッダ情報とペイロード情報がパケット統合解析装置３００に送信され、各マルチキャストグループのペイロード収集部１１０からヘッダ情報とペイロード情報とＴｏｐｉｃとＶａｌｕｅがパケット統合解析装置３００に送信される。

【0082】

（パケット統合解析装置３００）
図１６は、パケット統合解析装置３００の構成図である。図１６に示すように、パケット統合解析装置３００は、データ受信部３１０、ドメイン記号付与部３２０、時系列照合部３３０、データ記録部３４０、グローバルトラヒックデータ記録部３５０を有する。

【0083】

図１７のフローチャートの手順に沿って、各部の動作を説明する。Ｓ５０１において、データ受信部３１０が、ヘッダ収集２００とペイロード収集部１１０のそれぞれから転送されるデータを受信し、随時、受信したデータをドメイン記号付与部３２０に渡す。データの受信方法については、トラヒックデータ収集部２１０と同様にどのような方法を用いてもよい。

【0084】

Ｓ５０２において、ドメイン記号付与部３２０は、データ受信部３１０から渡された情報に対して、どのマルチキャストグループから来たデータであるのかを識別する情報としてのドメイン情報を付与する。付与するドメイン情報は、ヘッダ情報から（マルチキャストアドレス等を）抽出してもよいし、予め収集するマルチキャストグループ毎に異なる値を設定しておいてもよい。

【0085】

Ｓ５０３において、時系列照合部３３０は、ヘッダ収集装置２００から収集したデータの時系列の順番に従って、データの順位（時系列の並び）を決定し、得られた結果をデータ記録部３４０に渡す。

【0086】

ペイロード収集装置１００には到達しないユニキャスト通信や到達していてもペイロード処理部で処理しないＮＴＰやＤＮＳ等の通信が存在しているため、ヘッダ収集装置２００により収集されるデータの総量は、ペイロード収集部１１０で収集されるデータの総量よりも多い。時系列照合部３３０は、ヘッダ収集装置２００とぺイロード収集装置１００のＨとＰａｙｌｏａｄを一意なものとして照合し、データの順位を決定する。順位決定処理のイメージを図１８に示す。

【0087】

図１８の例では、ペイロード収集部１１０で収集した図示するヘッダとペイロードが、ヘッダ収集装置２００で収集した１番目のヘッダとペイロードと一致するので、ペイロード収集部１１０で収集した図示するヘッダとペイロードとトピックと値は、時系列の１番目のデータであると決定できる。

【0088】

Ｓ５０４において、データ記録部３４０は、時系列照合部３３０から渡された情報をグローバルトラヒックデータ記録部３５０に記録する。図１９に、グローバルトラヒックデータ記録部３５０に記録される情報のイメージを示す。

【0089】

（ユニキャスト通信について）
本実施の形態における構成と処理について、例としてＴｏｐｉｃのＶａｌｕｅについてマルチキャストを利用したＰｕｂ／Ｓｕｂ通信を前提としたものを説明してきた。しかし、本実施の形態に係る技術は、マルチキャスト通信に限定されるわけではなく、ユニキャスト通信を用いたＰｕｂ／Ｓｕｂ通信にも適用できる。具体的な理由は、以下の通りである。

【0090】

本実施の形態に係るＰｕｂ／Ｓｕｂ通信の仕組みとして、複数の受信装置（Ｓｕｂｓｃｒｉｂｅｒ）が存在し、それぞれに向けて異なる暗号化の鍵を用いてパケットを送信したとしても、同一タイミングで送信するＴｏｐｉｃの中身は同一のＶａｌｕｅである。

【0091】

従って、複数の受信装置のうち一つがペイロード収集装置であれば、当該ペイロード収集装置で得られるデータは、その他の受信装置へのユニキャストと近い時刻のユニキャストと同じグループのまとまりとして同一視することができる。

【0092】

図２０に、ユニキャスト通信の例を示す。図２０に示すように、Ｓ６０１～Ｓ６０３（Ｓ６０４～Ｓ６０６も同様）において、送信装置１０から受信装置２０Ａ～２０Ｃのそれぞれに対してユニキャストのパケットが送信される。各パケットのペイロードを構成するＴｏｐｉｃとＶａｌｕｅは同一である。

【0093】

ヘッダ収集装置２００はＳ６０１～Ｓ６０３においてパケットを受信し、ここで受信した順で時系列を決定できる。つまり、Ｓ６０１～Ｓ６０３において受信したパケットの次は、Ｓ６０４～Ｓ６０６で受信したパケット、のようにして時系列を決定できる。

【0094】

また、図２０の例では、受信装置２０Ｃがペイロード収集装置として機能しており、受信装置２０Ｃにより復号されたＴｏｐｉｃとＶａｌｕｅが収集される。受信装置２０Ａ～２０Ｃの通信のうち、受信装置２０ＣのみでＴｏｐｉｃとＶａｌｕｅが収集されるが、上述したＰｕｂ／Ｓｕｂ通信の仕組みにより、受信装置２０Ａと受信装置２０Ｂの通信もこのＴｏｐｉｃとＶａｌｕｅを持つと見なすことができる。

【0095】

（収集された情報の例）
図２１、図２２に、パケット統合解析装置３００におけるグローバルトラヒックデータ記録部３５０に格納されるデータの例を示す。図示の例におけるＭＧはマルチキャストグループを示し、Ｔｉｍｅは時刻（例えば、ヘッダ収集装置２００がパケットを取得した時刻）を示し、Ｈ＿ｓｒｃは送信元アドレスを示し、Ｈ＿ｄｅｓｔは宛先アドレスを示し、Ｈ＿ｐｒｏｔｏはプロトコルを示す。

【0096】

図２１、図２２に示すように、データは時系列（時間の経過の順番）に並んでいる。そのため、例えば、＃１０のデータに異常があることを検知できる。すなわち、＃１～＃３において、ｓｅｎｓｏｒＡ－１～Ａ－３のデータが続いており、それらの値は２３．５１又は２３．５２である。一方、その後の＃８～＃１０におけるｓｅｎｓｏｒＡ－１～Ａ－３のデータにおいて、最初の２つの値は２３．５１又は２３．５２であり、＃１０のデータの値も２３．５１又は２３．５２が正しいものと推測できるが、実際には１９．２２であるので、異常であると判断できる。

【0097】

また、＃１１、＃１２において「ｃｏｎｔｒｏｌ＿Ａ＿ｍａｉｎ」、「ｃｏｎｔｒｏｌ＿Ａ＿ｓｕｂ」となっているように、ｃｏｎｔｒｏｌのＴｏｐｉｃに関しては、ｍａｉｎとｓｕｂのデータがほぼ同時に取得されることが推測される。一方、＃１８及びその前後に示すように、「ｃｏｎｔｒｏｌ＿Ｂ＿ｍａｉｎ」に対する「ｃｏｎｔｒｏｌ＿Ｂ＿ｓｕｂ」が得られていないため、異常であると判断できる。なお、本発明の技術を用いない場合、「ｃｏｎｔｒｏｌ＿Ｂ＿ｍａｉｎ」のみが得られた後に、遅延して「ｃｏｎｔｒｏｌ＿Ｂ＿ｓｕｂ」が得られる可能性があることから、"「ｃｏｎｔｒｏｌ＿Ｂ＿ｓｕｂ」がない"という異常検知が遅くなる。すなわち、本発明の技術により、迅速に異常検知を行うことができる。また、＃２１～＃２４に示すように、マルチキャストグループ跨ぎの通信も時系列で揃えることが可能となる。

【0098】

（ハードウェア構成例）
本実施の形態におけるペイロード収集装置１００、ヘッダ収集装置２００、パケット統合解析装置３００はいずれも、例えば、コンピュータに、本実施の形態で説明する処理内容を記述したプログラムを実行させることにより実現することができる。

【0099】

上記プログラムは、コンピュータが読み取り可能な記録媒体（可搬メモリ等）に記録して、保存したり、配布したりすることが可能である。また、上記プログラムをインターネットや電子メール等、ネットワークを通して提供することも可能である。

【0100】

図２３は、上記コンピュータのハードウェア構成例を示す図である。図２３のコンピュータは、それぞれバスＢＳで相互に接続されているドライブ装置１０００、補助記憶装置１００２、メモリ装置１００３、ＣＰＵ１００４、インタフェース装置１００５、表示装置１００６、入力装置１００７、出力装置１００８等を有する。

【0101】

当該コンピュータでの処理を実現するプログラムは、例えば、ＣＤ－ＲＯＭ又はメモリカード等の記録媒体１００１によって提供される。プログラムを記憶した記録媒体１００１がドライブ装置１０００にセットされると、プログラムが記録媒体１００１からドライブ装置１０００を介して補助記憶装置１００２にインストールされる。但し、プログラムのインストールは必ずしも記録媒体１００１より行う必要はなく、ネットワークを介して他のコンピュータよりダウンロードするようにしてもよい。補助記憶装置１００２は、インストールされたプログラムを格納すると共に、必要なファイルやデータ等を格納する。

【0102】

メモリ装置１００３は、プログラムの起動指示があった場合に、補助記憶装置１００２からプログラムを読み出して格納する。ＣＰＵ１００４は、メモリ装置１００３に格納されたプログラムに従って、ペイロード収集装置１００、ヘッダ収集装置２００、パケット統合解析装置３００等に係る機能を実現する。インタフェース装置１００５は、ネットワークに接続するためのインタフェースとして用いられる。表示装置１００６はプログラムによるＧＵＩ（Ｇｒａｐｈｉｃａｌ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ）等を表示する。入力装置１００７はキーボード及びマウス、ボタン、又はタッチパネル等で構成され、様々な操作指示を入力させるために用いられる。出力装置１００８は演算結果を出力する。

【0103】

（実施の形態の効果）
本実施の形態に係る技術により、暗号通信が行われる通信システムにおいて、復号した複数のデータを時系列に分析できるように効率的にデータ収集を行うことが可能となる。

【0104】

また、本発明を使用しない場合に想定されるパケット収集システムのように、異常検知処理の肩代わりのための専用機の購入は不要である。また、送信装置と受信装置との間で暗号／復号鍵を自動で共有するため、専用機に実施している鍵設定等のコストも不要になる。更に、ハードウェア制約がないため、パケット収集にかかる処理負荷が増大しても冗長構成が取りやすいという効果もある。

【0105】

（実施の形態のまとめ）
本明細書には、少なくとも下記の各項に記載したパケット収集システム、パケット統合解析装置、パケット収集方法、及びプログラムが記載されている。
（第１項）
暗号化されたペイロードを有するパケットの送受信がなされる１以上のセグメントを有する通信システムにおける異常検知用のパケットを収集するためのパケット収集システムであって、
前記通信システムにおいて送受信されるパケットを各セグメントから時系列に収集し、収集したパケットのヘッダ情報及びペイロード情報を格納するヘッダ収集装置と、
前記通信システムにおける各セグメントに備えられるペイロード収集装置であって、セグメント内で受信したパケットにおけるペイロード情報を復号し、復号されたペイロード情報を、当該パケットのヘッダ情報及びペイロード情報とともに格納するペイロード収集装置と、
前記ヘッダ収集装置から受信した時系列のヘッダ情報及びペイロード情報と、前記ペイロード収集装置から受信したヘッダ情報、ペイロード情報、及び復号されたペイロード情報とを照合することにより、時系列に並べられたヘッダ情報、ペイロード情報、及び復号されたペイロード情報を取得し、格納するパケット統合解析装置と
を備えるパケット収集システム。
（第２項）
前記１以上のセグメントはそれぞれマルチキャストグループであり、各マルチキャストグループにおいて、パブリッシャとして機能する送信装置とサブスクライバとして機能する受信装置との間で出版購読型モデルによる通信がなされ、前記ペイロード収集装置は、サブスクライバとして機能する受信装置の１つである
第１項に記載のパケット収集システム。
（第３項）
前記パケット統合解析装置は、時系列に並べられたヘッダ情報、ペイロード情報、及び復号されたペイロード情報に、対応するセグメントを示す情報を付加し、格納する
第１項又は第２項に記載のパケット収集システム。
（第４項）
暗号化されたペイロードを有するパケットの送受信がなされる１以上のセグメントを有する通信システムにおいて使用されるパケット統合解析装置であって、
前記通信システムにおいて送受信されるパケットを時系列に収集するヘッダ収集装置から、時系列のヘッダ情報及びペイロード情報を受信し、各セグメントに備えられるペイロード収集装置から、ヘッダ情報、ペイロード情報、及び復号されたペイロード情報を受信するデータ受信部と、
前記ヘッダ収集装置から受信した時系列のヘッダ情報及びペイロード情報と、前記ペイロード収集装置から受信したヘッダ情報、ペイロード情報、及び復号されたペイロード情報とを照合することにより、時系列に並べられたヘッダ情報、ペイロード情報、及び復号されたペイロード情報を取得する時系列照合部と、
前記時系列に並べられたヘッダ情報、ペイロード情報、及び復号されたペイロード情報を格納するトラヒックデータ記録部と
を備えるパケット統合解析装置。
（第５項）
暗号化されたペイロードを有するパケットの送受信がなされる１以上のセグメントを有する通信システムにおける異常検知用のパケットを収集するためのパケット収集システムにより実行されるパケット収集方法であって、
ヘッダ収集装置が、前記通信システムにおいて送受信されるパケットを各セグメントから時系列に収集し、収集したパケットのヘッダ情報及びペイロード情報を格納するステップと、
前記通信システムにおける各セグメントに備えられるペイロード収集装置が、セグメント内で受信したパケットにおけるペイロード情報を復号し、復号されたペイロード情報を、当該パケットのヘッダ情報及びペイロード情報とともに格納するステップと、
パケット統合解析装置が、前記ヘッダ収集装置から受信した時系列のヘッダ情報及びペイロード情報と、前記ペイロード収集装置から受信したヘッダ情報、ペイロード情報、及び復号されたペイロード情報とを照合することにより、時系列に並べられたヘッダ情報、ペイロード情報、及び復号されたペイロード情報を取得し、格納するステップと
を備えるパケット収集方法。
（第６項）
コンピュータを、第４項に記載のパケット統合解析装置における各部として機能させるためのプログラム。

【0106】

以上、本実施の形態について説明したが、本発明はかかる特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。

【符号の説明】

【0107】

５、６、１５、２５、３０、３５ ＳＷ
７ 統合異常検知装置
１４、２４、３４ 専用機
１０、１７、２７、３１ 送信装置
１８、１９、２０、２８、２９、３２、３３ 受信装置
１１ Ｐｕｂｌｉｓｈｅｒ
１２ 暗号化処理部
２１ Ｓｕｂｓｃｒｉｂｅｒ
２２、１２０ 復号処理部
１００ ペイロード収集装置
１１０ ペイロード収集部
１１１ 通信キャプチャ部
１１２ ペイロード処理部
１１３ ペイロードデータ記録部
１１４ ペイロードデータ転送部
２００ ヘッダ収集装置
２１０ トラヒックデータ収集部
２２０ ヘッダデータ抽出部
２３０ トラヒックデータ記録部
２４０ 時系列データ転送部
３００ パケット統合解析装置
３１０ データ受信部
３２０ ドメイン記号付与部
３３０ 時系列照合部
３４０ データ記録部
３５０ グローバルトラヒックデータ記録部
１０００ ドライブ装置
１００１ 記録媒体
１００２ 補助記憶装置
１００３ メモリ装置
１００４ ＣＰＵ
１００５ インタフェース装置
１００６ 表示装置
１００７ 入力装置
１００８ 出力装置

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【図17】

【図18】

【図19】

【図20】

【図21】

【図22】

【図23】