特許ウォッチ

公開番号2025112879
公報種別公開特許公報(A)
公開日2025-08-01
出願番号2024007400
出願日2024-01-22
発明の名称分析システム、分析方法、分析装置、分析プログラム、連携装置及び連携プログラム
出願人沖電気工業株式会社
代理人個人,個人
主分類H04L 43/02 20220101AFI20250725BHJP(電気通信技術)
要約【課題】分析対象のネットワークを分析する分析装置についてサイバー攻撃の標的となる可能性を抑制可能な分析システムを提供する。
【解決手段】本発明は、分析対象ネットワークを分析する分析装置と、分析対象ネットワークに接続して分析装置と連携する連携装置とを備える分析システムに関する。そして、本発明の分析装置は、連携装置との秘密通信路で用いる連携情報パケットの設定情報を含む秘密通信路情報を保持し、分析対象ネットワーク上の観測点のパケットを観測し、いずれかの設定情報と秘密通信路情報の設定情報が一致するパケットから連携情報を取得して分析対象ネットワークの解析に用いる。また、本発明の連携装置は、連携情報を収集し、分析装置と共通の秘密通信路情報を保持し、秘密通信路情報のいずれかの設定情報をセットした連携情報パケットを分析装置に送信する。
【選択図】図1
特許請求の範囲【請求項１】
分析対象となる分析対象ネットワークを分析する分析装置と、前記分析対象ネットワークに接続して前記分析装置と連携する連携装置とを備える分析システムにおいて、
前記分析装置は、
前記連携装置が収集した連携情報を前記連携装置から前記分析装置へデータ伝送するための秘密通信路で伝送される連携情報パケットの設定情報を１又は複数備える秘密通信路情報を保持する秘密通信路保持手段と、
前記分析対象ネットワーク上の観測点におけるパケットを観測する観測手段と、
前記観測手段が観測した観測パケットについて、前記秘密通信路情報のいずれかの前記設定情報と一致するパケットを、前記連携情報パケットとみなして抽出するパケット抽出処理を行う秘密通信路判定手段と、
前記秘密通信路判定手段が前記パケット抽出処理により抽出したパケットを解析して前記連携情報を取得する秘密通信解析手段と、
前記秘密通信解析手段が取得した前記連携情報と、前記観測パケットに基づいて、前記分析対象ネットワークの状態を解析する解析手段とを有し、
前記連携装置は、
前記分析装置と共通する前記秘密通信路情報と前記連携情報を収集する役割を遂行するための役割定義情報とを保持する情報保持手段と、
前記役割定義情報に従って、前記連携情報を収集する役割遂行手段と、
前記情報保持手段が保持する前記秘密通信路情報のいずれかの前記設定情報を用いて、前記役割遂行手段が収集した前記連携情報がセットされた前記連携情報パケットを生成し、生成した前記連携情報パケットを前記分析対象ネットワーク上に送出する秘密通信送信手段とを有する
ことを特徴とする分析システム。
続きを表示（約 3,100 文字）【請求項２】
前記連携情報パケットが、前記連携装置から前記分析対象ネットワーク上に送出されると、前記観測点を通過するように、前記秘密通信路情報を構成する宛先情報は記述されていることを特徴とする請求項１に記載の分析システム。
【請求項３】
前記連携装置は、前記秘密通信送信手段が送信した前記連携情報パケットに対する応答パケットの受信状況を観測し、前記応答パケットの受信状況を解析して、前記秘密通信送信手段が使用中の前記設定情報が適当であるか否かを判定する設定情報判定処理を行い、前記設定情報判定処理の結果、前記秘密通信送信手段が使用中の前記設定情報が不適当であると判定された場合、前記秘密通信送信手段が使用中の前記設定情報を前記秘密通信送信手段が使用可能な前記設定情報から除外するように制御する設定情報判別手段をさらに有することを特徴とする請求項１に記載の分析システム。
【請求項４】
前記秘密通信路判定手段が前記パケット抽出処理により抽出した抽出パケットについて前記連携装置から送出された前記連携情報パケットであるか否かを判定する連携装置判定処理を行い、前記連携装置判定処理の結果前記抽出パケットが、前記連携装置から送出された前記連携情報パケットでないと判定された場合、前記抽出パケットに対応する前記設定情報を不適当と判定し、不適当と判定された前記設定情報について、前記秘密通信路判定手段が前記パケット抽出処理に用いる前記秘密通信路情報から除外するように制御することを特徴とする請求項１に記載の分析システム。
【請求項５】
分析対象となる分析対象ネットワークを分析する分析装置と、前記分析対象ネットワークに接続して前記分析装置と連携する連携装置とを備える分析システムが行う分析方法において、
前記分析装置は、秘密通信路保持手段、観測手段、秘密通信路判定手段、秘密通信解析手段及び解析手段を有し、
前記連携装置は、情報保持手段、役割遂行手段及び秘密通信送信手段を有し、
前記秘密通信路保持手段は、前記連携装置が収集した連携情報を前記連携装置から前記分析装置へデータ伝送するための秘密通信路で伝送される連携情報パケットの設定情報を１又は複数備える秘密通信路情報を保持し、
前記観測手段は、前記分析対象ネットワーク上の観測点におけるパケットを観測し、
前記秘密通信路判定手段は、前記観測手段が観測した観測パケットについて、前記秘密通信路情報のいずれかの前記設定情報と一致するパケットを、前記連携情報パケットとみなして抽出するパケット抽出処理を行い、
前記秘密通信解析手段は、前記秘密通信路判定手段が前記パケット抽出処理により抽出したパケットを解析して前記連携情報を取得し、
前記解析手段は、前記秘密通信解析手段が取得した前記連携情報と、前記観測パケットに基づいて、前記分析対象ネットワークの状態を解析する、
前記情報保持手段は、前記分析装置と共通する前記秘密通信路情報と前記連携情報を収集する役割を遂行するための役割定義情報とを保持し、
前記役割遂行手段は、前記役割定義情報に従って、前記連携情報を収集し、
前記秘密通信送信手段は、前記情報保持手段が保持する前記秘密通信路情報のいずれかの前記設定情報を用いて、前記役割遂行手段が収集した前記連携情報がセットされた前記連携情報パケットを生成し、生成した前記連携情報パケットを前記分析対象ネットワーク上に送出する
ことを特徴とする分析方法。
【請求項６】
分析対象となる分析対象ネットワークを分析する分析装置において、
前記分析対象ネットワークに接続して自装置と連携する連携装置が収集した連携情報を前記連携装置から自装置へデータ伝送するための秘密通信路で伝送される連携情報パケットの設定情報を１又は複数備える秘密通信路情報を保持する秘密通信路保持手段と、
前記分析対象ネットワーク上の観測点におけるパケットを観測する観測手段と、
前記観測手段が観測した観測パケットについて、前記秘密通信路情報のいずれかの前記設定情報と一致するパケットを、前記連携情報パケットとみなして抽出するパケット抽出処理を行う秘密通信路判定手段と、
前記秘密通信路判定手段が前記パケット抽出処理により抽出したパケットを解析して前記連携情報を取得する秘密通信解析手段と、
前記秘密通信解析手段が取得した前記連携情報と、前記観測パケットに基づいて、前記分析対象ネットワークの状態を解析する解析手段と
を有することを特徴とする分析装置。
【請求項７】
分析対象となる分析対象ネットワークを分析する分析装置に搭載されたコンピュータを、
前記分析対象ネットワークに接続して自装置と連携する連携装置が収集した連携情報を前記連携装置から自装置へデータ伝送するための秘密通信路で伝送される連携情報パケットの設定情報を１又は複数備える秘密通信路情報を保持する秘密通信路保持手段と、
前記分析対象ネットワーク上の観測点におけるパケットを観測する観測手段と、
前記観測手段が観測した観測パケットについて、前記秘密通信路情報のいずれかの前記設定情報と一致するパケットを、前記連携情報パケットとみなして抽出するパケット抽出処理を行う秘密通信路判定手段と、
前記秘密通信路判定手段が前記パケット抽出処理により抽出したパケットを解析して前記連携情報を取得する秘密通信解析手段と、
前記秘密通信解析手段が取得した前記連携情報と、前記観測パケットに基づいて、前記分析対象ネットワークの状態を解析する解析手段として機能させる
ことを特徴とする分析プログラム。
【請求項８】
分析対象となる分析対象ネットワークを分析する分析装置と連携する連携装置において、
自装置から前記分析装置へ連携情報を伝送するための秘密通信路で伝送される連携情報パケットの設定情報を１又は複数備える秘密通信路情報と、前記連携情報を収集する役割を遂行するための役割定義情報とを保持する情報保持手段と、
前記役割定義情報に従って、前記連携情報を収集する役割遂行手段と、
前記情報保持手段が保持する前記秘密通信路情報のいずれかの前記設定情報を用いて、前記役割遂行手段が収集した前記連携情報がセットされた前記連携情報パケットを生成し、生成した前記連携情報パケットを前記分析対象ネットワーク上に送出する秘密通信送信手段とを有する
ことを特徴とする連携装置。
【請求項９】
分析対象となる分析対象ネットワークを分析する分析装置と連携する連携装置に搭載されたコンピュータを、
自装置から前記分析装置へ連携情報を伝送するための秘密通信路で伝送される連携情報パケットの設定情報を１又は複数備える秘密通信路情報と、前記連携情報を収集する役割を遂行するための役割定義情報とを保持する情報保持手段と、
前記役割定義情報に従って、前記連携情報を収集する役割遂行手段と、
前記情報保持手段が保持する前記秘密通信路情報のいずれかの前記設定情報を用いて、前記役割遂行手段が収集した前記連携情報がセットされた前記連携情報パケットを生成し、生成した前記連携情報パケットを前記分析対象ネットワーク上に送出する秘密通信送信手段として機能させる
ことを特徴とする連携プログラム。

発明の詳細な説明【技術分野】
【０００１】
この発明は、分析システム、分析方法、分析装置、分析プログラム、連携装置及び連携プログラムに関し、例えば、ネットワークのトラフィックデータを分析してネットワークの状態を解析するシステムに適用し得る。
続きを表示（約 2,400 文字）【背景技術】
【０００２】
従来、ネットワーク上の端末の通信について通信トラフィックを収集（例えば、ネットワークスイッチのミラーポートを経由して通信トラフィックのデータを収集）して分析する技術としては、非特許文献１に記載された監視装置が存在する。
【０００３】
非特許文献１に記載された監視装置は、収集したトラフィックデータからマルウェア活動などのサイバー攻撃を検知する構成となっている。従来、このようにトラフィックデータからマルウェア活動等のサイバー攻撃を検知する手法としては、特許文献１の記載技術が挙げられる。
【０００４】
また、非特許文献１に記載された監視装置では、トラフィックデータを収集するためのミラーポート接続とは別インタフェースを用いて、検知結果をもとにしたネットワーク内情報収集や制御を行うことで、マルウェア通信やマルウェア感染端末を遮断するためのネットワーク制御（例えば、ネットワークスイッチと連携したネットワーク制御）も行う構成となっている。
【先行技術文献】
【特許文献】
【０００５】
特開２０１８－１８６４２８号公報
【非特許文献】
【０００６】
アラクラサネットワーク株式会社，「工場向けネットワークセキュリティ」，[Online]，INTERNET，[２０２４年１月１０日検索]，<URL: https://evort.jp/store/alaxala/product/network-security＞
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかしながら、上記のような従来の監視装置では、サイバー攻撃を検知して対策することは可能であるが、監視対象となるネットワーク内に接続しているためにサイバー攻撃を受ける標的にもなりうる。
【０００８】
以上のような問題に鑑みて、分析対象のネットワークを分析する分析装置（例えば、監視装置）についてサイバー攻撃の標的となる可能性を抑制可能な分析システムが望まれている。
【課題を解決するための手段】
【０００９】
第１の本発明は、分析対象となる分析対象ネットワークを分析する分析装置と、前記分析対象ネットワークに接続して前記分析装置と連携する連携装置とを備える分析システムにおいて、前記分析装置は、前記連携装置が収集した連携情報を前記連携装置から前記分析装置へデータ伝送するための秘密通信路で伝送される連携情報パケットの設定情報を１又は複数備える秘密通信路情報を保持する秘密通信路保持手段と、前記分析対象ネットワーク上の観測点におけるパケットを観測する観測手段と、前記観測手段が観測した観測パケットについて、前記秘密通信路情報のいずれかの前記設定情報と一致するパケットを、前記連携情報パケットとみなして抽出するパケット抽出処理を行う秘密通信路判定手段と、前記秘密通信路判定手段が前記パケット抽出処理により抽出したパケットを解析して前記連携情報を取得する秘密通信解析手段と、前記秘密通信解析手段が取得した前記連携情報と、前記観測パケットに基づいて、前記分析対象ネットワークの状態を解析する解析手段とを有し、前記連携装置は、前記分析装置と共通する前記秘密通信路情報と前記連携情報を収集する役割を遂行するための役割定義情報とを保持する情報保持手段と、前記役割定義情報に従って、前記連携情報を収集する役割遂行手段と、前記情報保持手段が保持する前記秘密通信路情報のいずれかの前記設定情報を用いて、前記役割遂行手段が収集した前記連携情報がセットされた前記連携情報パケットを生成し、生成した前記連携情報パケットを前記分析対象ネットワーク上に送出する秘密通信送信手段とを有することを特徴とする分析システム。
【００１０】
第２の本発明は、分析対象となる分析対象ネットワークを分析する分析装置と、前記分析対象ネットワークに接続して前記分析装置と連携する連携装置とを備える分析システムが行う分析方法において、前記分析装置は、秘密通信路保持手段、観測手段、秘密通信路判定手段、秘密通信解析手段及び解析手段を有し、前記連携装置は、情報保持手段、役割遂行手段及び秘密通信送信手段を有し、前記秘密通信路保持手段は、前記連携装置が収集した連携情報を前記連携装置から前記分析装置へデータ伝送するための秘密通信路で伝送される連携情報パケットの設定情報を１又は複数備える秘密通信路情報を保持し、前記観測手段は、前記分析対象ネットワーク上の観測点におけるパケットを観測し、前記秘密通信路判定手段は、前記観測手段が観測した観測パケットについて、前記秘密通信路情報のいずれかの前記設定情報と一致するパケットを、前記連携情報パケットとみなして抽出するパケット抽出処理を行い、前記秘密通信解析手段は、前記秘密通信路判定手段が前記パケット抽出処理により抽出したパケットを解析して前記連携情報を取得し、前記解析手段は、前記秘密通信解析手段が取得した前記連携情報と、前記観測パケットに基づいて、前記分析対象ネットワークの状態を解析する、前記情報保持手段は、前記分析装置と共通する前記秘密通信路情報と前記連携情報を収集する役割を遂行するための役割定義情報とを保持し、前記役割遂行手段は、前記役割定義情報に従って、前記連携情報を収集し、前記秘密通信送信手段は、前記情報保持手段が保持する前記秘密通信路情報のいずれかの前記設定情報を用いて、前記役割遂行手段が収集した前記連携情報がセットされた前記連携情報パケットを生成し、生成した前記連携情報パケットを前記分析対象ネットワーク上に送出することを特徴とする分析方法。
（【００１１】以降は省略されています）

関連特許