[go: up one dir, main page]

JP2018063618A - Unauthorized access monitoring apparatus and method - Google Patents

Unauthorized access monitoring apparatus and method Download PDF

Info

Publication number
JP2018063618A
JP2018063618A JP2016202292A JP2016202292A JP2018063618A JP 2018063618 A JP2018063618 A JP 2018063618A JP 2016202292 A JP2016202292 A JP 2016202292A JP 2016202292 A JP2016202292 A JP 2016202292A JP 2018063618 A JP2018063618 A JP 2018063618A
Authority
JP
Japan
Prior art keywords
monitoring
unauthorized access
command
unauthorized
response
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2016202292A
Other languages
Japanese (ja)
Other versions
JP6835526B2 (en
Inventor
貴彦 太田
Takahiko Ota
貴彦 太田
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Azbil Corp
Original Assignee
Azbil Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Azbil Corp filed Critical Azbil Corp
Priority to JP2016202292A priority Critical patent/JP6835526B2/en
Publication of JP2018063618A publication Critical patent/JP2018063618A/en
Application granted granted Critical
Publication of JP6835526B2 publication Critical patent/JP6835526B2/en
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Landscapes

  • Data Exchanges In Wide-Area Networks (AREA)
  • Small-Scale Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

【課題】外部からの不正アクセスを的確に検知する。【解決手段】コマンド監視部１３が、通信回線Ｌを監視して、設備機器２０に対する問い合わせコマンドを検知し、不正アクセス判定部１４が、問い合わせコマンドの検知に応じて、問い合わせコマンドの送信元である監視対象機器に対して、問い合わせコマンドを返信し、問い合わせコマンドの返信から一定の監視時間が経過するまでに監視対象機器から応答コマンドが返信された否か監視し、監視時間内に応答コマンドの返信がなかった場合、監視対象機器を不正機器３０として判定する。【選択図】 図１An object of the present invention is to accurately detect unauthorized access from the outside. A command monitoring unit 13 monitors a communication line L to detect an inquiry command to equipment 20, and an unauthorized access determination unit 14 is a transmission source of the inquiry command in response to detection of the inquiry command. An inquiry command is sent back to the monitored device, and it is monitored whether or not a response command is returned from the monitored device within a certain monitoring time after the reply of the inquiry command, and the response command is returned within the monitoring time. is not found, the device to be monitored is determined as the unauthorized device 30 . [Selection diagram] Fig. 1

Description

本発明は、通信機器に対する不正機器からの不正アクセスを検知するための不正アクセス監視技術に関する。   The present invention relates to an unauthorized access monitoring technique for detecting unauthorized access from a unauthorized device to a communication device.

従来、ビル建物に設置されている各種設備を関する設備管理システムとして、ＢＡＣｎｅｔ（Building Automation and Control Networking protocol：登録商標）と呼ばれるインテリジェントビル用ネットワークのための通信プロトコル規格を利用した、いわゆるＢＡＣｎｅｔシステムが普及しつつある。   Conventionally, as a facility management system for various facilities installed in a building, a so-called BACnet system using a communication protocol standard for intelligent building networks called BACnet (Building Automation and Control Networking Protocol: registered trademark) is known. It is becoming popular.

特開２００７−１９９７９８号公報JP 2007-199798 A

このようなＢＡＣｎｅｔシステムは、元々クローズドな環境に適用されていたため、これまであまり重要視されていなかったが、近年、ＩＯＴや他システムとの連携が進みつつあり、外部からアクセス可能なオープンな環境に変わりつつある。このため、悪意のある者が、不正アクセスしてＢＡＣｎｅｔシステムに接続できた場合、ＢＡＣｎｅｔシステム内の各種機器が様々に不正操作される可能性があるという問題点があった。   Since such a BACnet system was originally applied to a closed environment, it has not been regarded as important so far. However, in recent years, cooperation with IOT and other systems is progressing, and an open environment accessible from the outside. Is changing. For this reason, there has been a problem that various devices in the BACnet system may be illegally operated when a malicious person can connect to the BACnet system through unauthorized access.

本発明はこのような課題を解決するためのものであり、外部からの不正アクセスを的確に検知できる不正アクセス監視技術を提供することを目的としている。   The present invention is intended to solve such problems, and an object thereof is to provide an unauthorized access monitoring technique capable of accurately detecting unauthorized access from the outside.

このような目的を達成するために、本発明にかかる不正アクセス監視装置は、通信回線に接続されている各設備機器に対する不正機器からの不正アクセスを検知する不正アクセス監視装置であって、前記通信回線を監視して、設備機器に対する問い合わせコマンドを検知するコマンド監視部と、前記問い合わせコマンドの検知に応じて、前記問い合わせコマンドの送信元である監視対象機器に対して、問い合わせコマンドを返信する不正アクセス判定部とを備え、前記不正アクセス判定部は、前記問い合わせコマンドの返信から一定の監視時間が経過するまでに前記監視対象機器から応答コマンドが返信された否か監視し、前記監視時間内に前記応答コマンドの返信がなかった場合、前記監視対象機器を不正機器として判定するようにしたものである。   In order to achieve such an object, an unauthorized access monitoring device according to the present invention is an unauthorized access monitoring device that detects unauthorized access from unauthorized devices to each facility device connected to a communication line. A command monitoring unit that monitors a line and detects an inquiry command for equipment, and an unauthorized access that returns an inquiry command to a monitored device that is a transmission source of the inquiry command in response to detection of the inquiry command A determination unit, and the unauthorized access determination unit monitors whether a response command is returned from the monitored device before a predetermined monitoring time elapses after the inquiry command is returned. When there is no response command response, the monitored device is determined as an unauthorized device. It is.

また、本発明にかかる上記不正アクセス監視装置の一構成例は、前記不正アクセス判定部が、前記監視時間内に前記応答コマンドの返信があった場合、接続許可機器のシステム接続情報が予め登録されている接続許可リストを参照し、前記応答コマンドに含まれる前記監視対象機器のシステム接続情報が前記接続許可リストに登録されていない場合、前記監視対象機器を不正機器として判定するようにしたものである。   Further, in the configuration example of the unauthorized access monitoring device according to the present invention, when the unauthorized access determination unit returns the response command within the monitoring time, system connection information of a connection-permitted device is registered in advance. The connection permission list is referred to, and when the system connection information of the monitored device included in the response command is not registered in the connection permission list, the monitored device is determined as an unauthorized device. is there.

また、本発明にかかる上記不正アクセス監視装置の一構成例は、前記コマンド監視部が、一定の計数時間内に前記設備機器がやり取りする前記問い合わせコマンド、および／または前記応答コマンドに関するコマンド数を監視し、前記不正アクセス判定部は、前記監視時間内に前記応答コマンドの返信があった場合、前記コマンド数が規定のしきい値より増加している場合には、前記監視対象機器を不正機器として判定するようにしたものである。   Further, in the configuration example of the unauthorized access monitoring apparatus according to the present invention, the command monitoring unit monitors the number of commands related to the inquiry command and / or the response command exchanged by the facility device within a certain counting time. When the response command is replied within the monitoring time, the unauthorized access determination unit determines that the monitored device is an unauthorized device when the number of commands is greater than a predetermined threshold. Judgment is made.

また、本発明にかかる不正アクセス監視方法は、通信回線に接続されている各設備機器に対する不正機器からの不正アクセスを検知する不正アクセス監視方法であって、前記通信回線を監視して、設備機器に対する問い合わせコマンドを検知するコマンド監視ステップと、前記問い合わせコマンドの検知に応じて、前記問い合わせコマンドの送信元である監視対象機器に対して、問い合わせコマンドを返信する不正アクセス判定ステップとを備え、前記不正アクセス判定ステップは、前記問い合わせコマンドの返信から一定の監視時間が経過するまでに前記監視対象機器から応答コマンドが返信された否か監視し、前記監視時間内に前記応答コマンドの返信がなかった場合、前記監視対象機器を不正機器として判定するようにしたものである。   An unauthorized access monitoring method according to the present invention is an unauthorized access monitoring method for detecting unauthorized access from unauthorized devices to each facility device connected to a communication line, wherein the facility line is monitored and the facility device is monitored. A command monitoring step for detecting an inquiry command to the device, and an unauthorized access determination step for returning an inquiry command to a monitoring target device that is a transmission source of the inquiry command in response to detection of the inquiry command. The access determination step monitors whether or not a response command is returned from the monitored device until a certain monitoring time has elapsed since the response of the inquiry command, and when the response command is not returned within the monitoring time The monitoring target device is determined as an unauthorized device.

また、本発明にかかる上記不正アクセス監視方法は、前記不正アクセス判定ステップが、前記監視時間内に前記応答コマンドの返信があった場合、接続許可機器のシステム接続情報が予め登録されている接続許可リストを参照し、前記応答コマンドに含まれる前記監視対象機器のシステム接続情報が前記接続許可リストに登録されていない場合、前記監視対象機器を不正機器として判定するようにしたものである。   Further, in the unauthorized access monitoring method according to the present invention, when the unauthorized access determination step returns the response command within the monitoring time, the connection permission in which the system connection information of the connection permitted device is registered in advance. With reference to the list, when the system connection information of the monitored device included in the response command is not registered in the connection permission list, the monitored device is determined as an unauthorized device.

また、本発明にかかる上記不正アクセス監視方法は、前記コマンド監視ステップが、一定の計数時間内に前記設備機器がやり取りする前記問い合わせコマンド、および／または前記応答コマンドに関するコマンド数を監視し、前記不正アクセス判定ステップは、前記監視時間内に前記応答コマンドの返信があった場合、前記コマンド数が規定のしきい値より増加している場合には、前記監視対象機器を不正機器として判定するようにしたものである。   In the unauthorized access monitoring method according to the present invention, the command monitoring step monitors the number of commands related to the inquiry command and / or the response command exchanged by the facility device within a certain counting time, and In the access determination step, when the response command is replied within the monitoring time, and when the number of commands is larger than a predetermined threshold, the monitored device is determined as an unauthorized device. It is a thing.

本発明によれば、監視対象機器が不正機器であり、正当なシステム接続情報を持たない場合、不正アクセス判定部からの問い合わせコマンドに対する応答コマンドを、一定の監視時間が経過するまでの間に監視対象機器から返信されない。このため、このような監視対象機器は不正機器として判定されることになり、結果として、外部からの不正アクセスを的確に検知することが可能となる。   According to the present invention, when the monitored device is an unauthorized device and does not have valid system connection information, a response command to the inquiry command from the unauthorized access determination unit is monitored until a certain monitoring time elapses. No reply from the target device. For this reason, such a device to be monitored is determined as an unauthorized device, and as a result, it is possible to accurately detect unauthorized access from the outside.

不正アクセス監視装置の構成を示すブロック図である。It is a block diagram which shows the structure of an unauthorized access monitoring apparatus. 不正アクセス監視動作を示すシーケンス図である。It is a sequence diagram which shows unauthorized access monitoring operation | movement.

次に、本発明の実施の形態について図面を参照して説明する。
［第１の実施の形態］
まず、図１を参照して、本発明の第１の実施の形態にかかる不正アクセス監視装置１０について説明する。図１は、不正アクセス監視装置の構成を示すブロック図である。 Next, embodiments of the present invention will be described with reference to the drawings.
[First Embodiment]
First, an unauthorized access monitoring apparatus 10 according to the first embodiment of the present invention will be described with reference to FIG. FIG. 1 is a block diagram showing a configuration of an unauthorized access monitoring apparatus.

この不正アクセス監視装置１０は、ＢＡＣｎｅｔシステムなどの設備管理システム１に接続されて、不正機器３０から設備管理システム１の各設備機器２０に対する不正アクセスを検知する機能を有している。
設備機器２０は、設備管理システム１を構成する中央監視装置（Ｂ−ＯＷＳ：BACnet Operator Workstation）、コントローラ、フィールド機器などの各種の機器装置からなる。フィールド機器の具体例としては、空調器、ファン、温度センサ、アクチュエータ、防犯カメラ、防犯センサ、セキュリティーロック、警報器、ブレーカー、電流計、電圧計、照明装置、防火シャッタ等がある。 The unauthorized access monitoring device 10 is connected to the facility management system 1 such as a BACnet system and has a function of detecting unauthorized access from the unauthorized device 30 to each facility device 20 of the facility management system 1.
The equipment 20 includes various equipment such as a central monitoring device (B-OWS: BACnet Operator Workstation), a controller, and a field device that constitute the equipment management system 1. Specific examples of field devices include air conditioners, fans, temperature sensors, actuators, security cameras, security sensors, security locks, alarms, breakers, ammeters, voltmeters, lighting devices, fire shutters, and the like.

不正アクセス監視装置１０には、主な機能部として、通信Ｉ／Ｆ部１１、接続許可リスト記憶部１２、コマンド監視部１３、および不正アクセス判定部１４が設けられている。   The unauthorized access monitoring apparatus 10 includes a communication I / F unit 11, a connection permission list storage unit 12, a command monitoring unit 13, and an unauthorized access determination unit 14 as main functional units.

通信Ｉ／Ｆ部１１は、各設備機器２０が接続されている通信回線Ｌを介してこれら設備機器２０、不正機器３０、その他の外部装置（図示せず）との間で各種コマンドを送受信する機能を有している。
接続許可リスト記憶部１２は、半導体メモリなどの記憶装置からなり、通信回線Ｌに対して接続が許可されている設備機器２０やその他の外部装置などの接続許可機器に関する、ベンダー識別子、デバイスオブジェクト識別子、正規ＭＡＣアドレスなどのシステム接続情報が予め登録されている接続許可リストを記憶する機能を有している。 The communication I / F unit 11 transmits / receives various commands to / from the facility device 20, the unauthorized device 30, and other external devices (not shown) via the communication line L to which each facility device 20 is connected. It has a function.
The connection permission list storage unit 12 includes a storage device such as a semiconductor memory, and a vendor identifier and a device object identifier relating to a connection permission device such as the equipment device 20 and other external devices that are permitted to connect to the communication line L. And a function for storing a connection permission list in which system connection information such as a regular MAC address is registered in advance.

コマンド監視部１３は、通信回線Ｌから通信Ｉ／Ｆ部１１で受信した各種コマンドを監視して、ＢＡＣｎｅｔシステムにおけるＷｈｏ−ＩｓサービスやＷｈｏ−Ｈａｓサービスなど、設備管理システム１で用いるシステム接続情報を相手機器に問い合わせるための問い合わせコマンドを検知する機能と、一定の計数時間内に各設備機器２０がやり取りする問い合わせコマンド、および／または応答コマンドに関するコマンド数を監視する機能とを有している。   The command monitoring unit 13 monitors various commands received by the communication I / F unit 11 from the communication line L, and obtains system connection information used in the equipment management system 1 such as a Who-Is service and a Who-Has service in the BACnet system. It has a function of detecting an inquiry command for making an inquiry to the counterpart device, and a function of monitoring the number of commands related to an inquiry command and / or a response command exchanged by each facility device 20 within a certain counting time.

不正アクセス判定部１４は、コマンド監視部１３による問い合わせコマンドの検知に応じて、当該問い合わせコマンドの送信元となる監視対象機器に対して問い合わせコマンドを返信する機能と、当該問い合わせコマンドに対する、例えばＢＡＣｎｅｔシステムにおけるＩ−ａｍコマンドなどの応答コマンドが、当該問い合わせコマンドの返信から一定の監視時間が経過するまでに監視対象機器から返信された否か監視する機能と、監視時間内に返信がなかった場合には監視対象機器を不正機器として判定する機能とを有している。   In response to detection of the inquiry command by the command monitoring unit 13, the unauthorized access determination unit 14 returns the inquiry command to the monitoring target device that is the transmission source of the inquiry command, and a BACnet system for the inquiry command, for example. When a response command such as an I-am command is returned from the monitored device until a certain monitoring time elapses from the response of the inquiry command, and when there is no response within the monitoring time Has a function of determining a device to be monitored as an unauthorized device.

また、不正アクセス判定部１４は、監視時間内に返信があった場合には接続許可リスト記憶部１２の接続許可リストを参照し、監視対象機器からの応答コマンドで通知されたシステム接続情報に基づいて、監視対象機器が接続許可機器であるか不正機器であるかを判定する機能と、監視時間内に応答コマンドの返信があった場合、コマンド数が規定のしきい値より増加している場合には、監視対象機器を不正機器として判定する機能と、得られた判定結果を、通信Ｉ／Ｆ部１１から通信回線Ｌを介して外部装置へ通知し、あるいは／および、自装置のモニタ画面に表示する機能とを有している。   Further, when there is a reply within the monitoring time, the unauthorized access determination unit 14 refers to the connection permission list in the connection permission list storage unit 12, and based on the system connection information notified by the response command from the monitoring target device. If the monitored device is a connection-permitted device or an unauthorized device, and if a response command is returned within the monitoring time, or if the number of commands is greater than the specified threshold Includes a function for determining a device to be monitored as an unauthorized device, and a notification result obtained from the communication I / F unit 11 to the external device via the communication line L, or / and a monitor screen of the own device. It has a function to display.

［第１の実施の形態の動作］
次に、図２を参照して、本実施の形態にかかる不正アクセス監視装置１０の動作について説明する。図２は、不正アクセス監視動作を示すシーケンス図である。 [Operation of First Embodiment]
Next, the operation of the unauthorized access monitoring apparatus 10 according to the present embodiment will be described with reference to FIG. FIG. 2 is a sequence diagram showing an unauthorized access monitoring operation.

通信回線Ｌに接続された不正機器３０は、各設備機器２０に対して不正アクセスする際、これら設備機器２０に対してブロードキャストで問い合わせコマンドを送信する（ステップ１００）。これは、問い合わせコマンドに対する各設備機器２０からの応答コマンドにより、各設備機器２０への不正アクセスに必要となる設備機器２０のシステム接続情報を収集するためである。   The unauthorized device 30 connected to the communication line L transmits an inquiry command by broadcast to these facility devices 20 when unauthorized access is made to each facility device 20 (step 100). This is because the system connection information of the equipment 20 necessary for unauthorized access to each equipment 20 is collected by a response command from each equipment 20 to the inquiry command.

不正アクセス監視装置１０は、コマンド監視部１３により、不正機器３０からの問い合わせコマンドが検知された場合、問い合わせコマンドの送信元である不正機器３０を監視対象機器とし、問い合わせコマンドに対する応答コマンドに代えて、不正アクセス判定部１４から問い合わせコマンドが返信される（ステップ１０１）。   When the command monitoring unit 13 detects an inquiry command from the unauthorized device 30, the unauthorized access monitoring apparatus 10 sets the unauthorized device 30 that is the transmission source of the inquiry command as a monitoring target device, instead of a response command to the inquiry command. Then, an inquiry command is returned from the unauthorized access determination unit 14 (step 101).

不正機器３０は、不正アクセス監視装置１０からの問い合わせコマンドを受信した場合、自己が不正機器３０であるため正当なシステム接続情報を返信できない。
したがって、不正アクセス監視装置１０では、不正アクセス判定部１４により、当該問い合わせコマンドの返信から一定の監視時間が経過するまでに監視対象機器から応答コマンドが返信されたか否かを監視し（ステップ１０２）、監視時間内に返信がなかった場合には（ステップ１０２：ＮＯ）、監視対象機器を不正機器３０として判定する（ステップ１０３）。 When the unauthorized device 30 receives the inquiry command from the unauthorized access monitoring device 10, it cannot return valid system connection information because it is the unauthorized device 30.
Therefore, in the unauthorized access monitoring device 10, the unauthorized access determination unit 14 monitors whether or not a response command is returned from the monitored device until a predetermined monitoring time has elapsed since the inquiry command is returned (step 102). If there is no reply within the monitoring time (step 102: NO), the device to be monitored is determined as the unauthorized device 30 (step 103).

また、監視時間内に何らかの応答コマンドが監視対象機器から返信された場合（ステップ１１０）、不正アクセス監視装置１０では、不正アクセス判定部１４により、接続許可リスト記憶部１２の接続許可リストを参照し、監視対象機器からの応答コマンドに含まれるシステム接続情報が接続許可リストに登録されているか否か確認する（ステップ１１１）。
ここで、監視対象機器のシステム接続情報が接続許可リストに登録されていない場合（ステップ１１１：ＮＯ）、不正アクセス判定部１４は、監視対象機器が接続許可機器であるか不正機器３０であると判定する（ステップ１１２）。 If any response command is returned from the monitored device within the monitoring time (step 110), the unauthorized access monitoring device 10 refers to the connection permission list in the connection permission list storage unit 12 by the unauthorized access determination unit 14. Then, it is confirmed whether or not the system connection information included in the response command from the monitoring target device is registered in the connection permission list (step 111).
Here, when the system connection information of the monitoring target device is not registered in the connection permission list (step 111: NO), the unauthorized access determination unit 14 determines that the monitoring target device is the connection permission device or the unauthorized device 30. Determination is made (step 112).

［第１の実施の形態の効果］
このように、本実施の形態は、コマンド監視部１３が、通信回線Ｌを監視して、設備機器２０に対する問い合わせコマンドを検知し、不正アクセス判定部１４が、問い合わせコマンドの検知に応じて、問い合わせコマンドの送信元である監視対象機器に対して、問い合わせコマンドを返信し、問い合わせコマンドの返信から一定の監視時間が経過するまでに監視対象機器から応答コマンドが返信された否か監視し、監視時間内に応答コマンドの返信がなかった場合、監視対象機器を不正機器３０として判定するようにしたものである。 [Effect of the first embodiment]
As described above, according to the present embodiment, the command monitoring unit 13 monitors the communication line L to detect an inquiry command for the equipment device 20, and the unauthorized access determination unit 14 makes an inquiry in response to detection of the inquiry command. An inquiry command is returned to the monitored device that is the source of the command, and it is monitored whether a response command is returned from the monitored device until a certain monitoring time elapses after the inquiry command is returned. If no response command is returned, the monitored device is determined as the unauthorized device 30.

これにより、監視対象機器が不正機器３０であり、正当なシステム接続情報を持たない場合、不正アクセス判定部１４からの問い合わせコマンドに対する応答コマンドを、一定の監視時間が経過するまでの間に監視対象機器から返信されない。このため、このような監視対象機器は不正機器３０として判定されることになり、結果として、外部からの不正アクセスを的確に検知することが可能となる。   As a result, if the monitored device is the unauthorized device 30 and does not have valid system connection information, a response command to the inquiry command from the unauthorized access determination unit 14 is monitored until a certain monitoring time elapses. No reply from device. For this reason, such a device to be monitored is determined as an unauthorized device 30, and as a result, it is possible to accurately detect unauthorized access from the outside.

また、本実施の形態において、不正アクセス判定部１４が、監視時間内に応答コマンドの返信があった場合、接続許可機器のシステム接続情報が予め登録されている接続許可リスト記憶部１２の接続許可リストを参照し、応答コマンドに含まれる監視対象機器のシステム接続情報が接続許可リストに登録されていない場合、監視対象機器を不正機器３０として判定するようにしてもよい。   Further, in this embodiment, when the unauthorized access determination unit 14 returns a response command within the monitoring time, the connection permission of the connection permission list storage unit 12 in which the system connection information of the connection permission device is registered in advance. With reference to the list, when the system connection information of the monitoring target device included in the response command is not registered in the connection permission list, the monitoring target device may be determined as the unauthorized device 30.

これにより、監視対象機器が不正アクセス判定部１４からの問い合わせコマンドに対して何らかの応答コマンドを監視時間内に返信しても、その応答コマンドに含まれるシステム接続情報は、接続許可機器のシステム接続情報とは異なるものとなる。このため、このような監視対象機器は不正機器３０として判定されることになり、結果として、外部からの不正アクセスを的確に検知することが可能となる。   As a result, even if the monitoring target device returns some response command to the inquiry command from the unauthorized access determination unit 14 within the monitoring time, the system connection information included in the response command is the system connection information of the connection permitted device. It will be different. For this reason, such a device to be monitored is determined as an unauthorized device 30, and as a result, it is possible to accurately detect unauthorized access from the outside.

［第２の実施の形態］
次に、本発明の第２の実施の形態にかかる不正アクセス監視装置１０について説明する。本実施の形態では、通信回線Ｌでやり取りされるコマンド数の変化に基づき不正機器３０かどうか判定する場合について説明する。 [Second Embodiment]
Next, an unauthorized access monitoring apparatus 10 according to the second embodiment of the present invention will be described. In the present embodiment, a case will be described in which it is determined whether the device is an unauthorized device 30 based on a change in the number of commands exchanged over the communication line L.

本実施の形態において、コマンド監視部１３は、一定の計数時間内に設備機器がやり取りする問い合わせコマンド、および／または応答コマンドに関するコマンド数を監視する機能を有している。
また、不正アクセス判定部１４は、コマンド数が規定のしきい値より増加している場合には、監視対象機器を不正機器３０と判定する機能を有している。 In the present embodiment, the command monitoring unit 13 has a function of monitoring the number of commands related to inquiry commands and / or response commands exchanged between the equipment devices within a certain counting time.
In addition, the unauthorized access determination unit 14 has a function of determining the monitoring target device as the unauthorized device 30 when the number of commands is greater than a predetermined threshold.

通常、問い合わせコマンドや応答コマンドは、設備機器２０間で周期的にやり取りされている。したがって、一定の計数期間内にやり取りされるコマンド数は、規定のしきい値以下となる。一方、不正機器３０が通信回線Ｌに接続されて設備機器２０に対して問い合わせコマンドを送信した場合、設備機器２０から応答コマンドが返信されて、コマンド数が一時的に上昇して規定のしきい値を超えることになる。このため、このようなコマンド数を監視しておけば、不正機器３０が接続されて不正アクセスが開始されたかどうか判定することができる。   In general, inquiry commands and response commands are periodically exchanged between the equipment devices 20. Therefore, the number of commands exchanged within a certain counting period is not more than a prescribed threshold value. On the other hand, when the unauthorized device 30 is connected to the communication line L and transmits an inquiry command to the facility device 20, a response command is returned from the facility device 20, and the number of commands temporarily increases, resulting in a prescribed threshold. It will exceed the value. Therefore, if the number of such commands is monitored, it is possible to determine whether or not the unauthorized device 30 is connected and unauthorized access is started.

第１の実施の形態では、不正アクセス監視装置１０から返信した問い合わせコマンドに対する応答コマンドが、監視時間内に監視対象機器から返信された場合、接続許可リストにより不正機器３０かどうか判定する場合を例として説明した。この際、監視時間内に監視対象機器から返信された場合には、本実施の形態を適用して、通信回線Ｌ上のコマンド数の変化に基づき監視対象機器が不正機器３０かどうか判定するようにしてもよい。これにより、接続許可リストを省くことができる。   In the first embodiment, when a response command to the inquiry command returned from the unauthorized access monitoring device 10 is returned from the monitoring target device within the monitoring time, it is determined whether the unauthorized device 30 is determined from the connection permission list. As explained. At this time, if a response is received from the monitoring target device within the monitoring time, this embodiment is applied to determine whether the monitoring target device is the unauthorized device 30 based on the change in the number of commands on the communication line L. It may be. Thereby, the connection permission list can be omitted.

［実施の形態の拡張］
以上、実施形態を参照して本発明を説明したが、本発明は上記実施形態に限定されるものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解しうる様々な変更をすることができる。また、各実施形態については、矛盾しない範囲で任意に組み合わせて実施することができる。 [Extended embodiment]
The present invention has been described above with reference to the embodiments, but the present invention is not limited to the above embodiments. Various changes that can be understood by those skilled in the art can be made to the configuration and details of the present invention within the scope of the present invention. In addition, each embodiment can be implemented in any combination within a consistent range.

１…設備管理システム、１０…不正アクセス監視装置、１１…通信Ｉ／Ｆ部、１２…接続許可リスト記憶部、１３…コマンド監視部、１４…不正アクセス判定部、Ｌ…通信回線。   DESCRIPTION OF SYMBOLS 1 ... Equipment management system, 10 ... Unauthorized access monitoring apparatus, 11 ... Communication I / F part, 12 ... Connection permission list memory | storage part, 13 ... Command monitoring part, 14 ... Unauthorized access determination part, L ... Communication line.

Claims (6)

通信回線に接続されている各設備機器に対する不正機器からの不正アクセスを検知する不正アクセス監視装置であって、
前記通信回線を監視して、前記設備機器に対する問い合わせコマンドを検知するコマンド監視部と、
前記問い合わせコマンドの検知に応じて、前記問い合わせコマンドの送信元である監視対象機器に対して、問い合わせコマンドを返信する不正アクセス判定部とを備え、
前記不正アクセス判定部は、前記問い合わせコマンドの返信から一定の監視時間が経過するまでに前記監視対象機器から応答コマンドが返信された否か監視し、前記監視時間内に前記応答コマンドの返信がなかった場合、前記監視対象機器を不正機器として判定する
ことを特徴とする不正アクセス監視装置。 An unauthorized access monitoring device that detects unauthorized access from unauthorized devices to each facility device connected to a communication line,
A command monitoring unit that monitors the communication line and detects an inquiry command to the equipment;
In response to detection of the inquiry command, an unauthorized access determination unit that returns an inquiry command to the monitoring target device that is the transmission source of the inquiry command,
The unauthorized access determination unit monitors whether or not a response command is returned from the monitored device until a certain monitoring time elapses after the inquiry command is returned, and no response command is returned within the monitoring time. An unauthorized access monitoring device that determines the monitored device as an unauthorized device. 請求項１に記載の不正アクセス監視装置において、
前記不正アクセス判定部は、前記監視時間内に前記応答コマンドの返信があった場合、接続許可機器のシステム接続情報が予め登録されている接続許可リストを参照し、前記応答コマンドに含まれる前記監視対象機器のシステム接続情報が前記接続許可リストに登録されていない場合、前記監視対象機器を不正機器として判定することを特徴とする不正アクセス監視装置。 The unauthorized access monitoring device according to claim 1,
When the response command is returned within the monitoring time, the unauthorized access determination unit refers to a connection permission list in which system connection information of a connection permission device is registered in advance, and the monitoring included in the response command An unauthorized access monitoring apparatus, wherein when the system connection information of a target device is not registered in the connection permission list, the monitored device is determined as an unauthorized device. 請求項１に記載の不正アクセス監視装置において、
前記コマンド監視部は、一定の計数時間内に前記設備機器がやり取りする前記問い合わせコマンド、および／または前記応答コマンドに関するコマンド数を監視し、
前記不正アクセス判定部は、前記監視時間内に前記応答コマンドの返信があった場合、前記コマンド数が規定のしきい値より増加している場合には、前記監視対象機器を不正機器として判定することを特徴とする不正アクセス監視装置。 The unauthorized access monitoring device according to claim 1,
The command monitoring unit monitors the number of commands related to the inquiry command and / or the response command exchanged by the facility device within a certain counting time,
The unauthorized access determination unit determines that the monitored device is an unauthorized device when the response command is returned within the monitoring time, and when the number of commands is greater than a predetermined threshold value. An unauthorized access monitoring device. 通信回線に接続されている各設備機器に対する不正機器からの不正アクセスを検知する不正アクセス監視方法であって、
前記通信回線を監視して、設備機器に対する問い合わせコマンドを検知するコマンド監視ステップと、
前記問い合わせコマンドの検知に応じて、前記問い合わせコマンドの送信元である監視対象機器に対して、問い合わせコマンドを返信する不正アクセス判定ステップとを備え、
前記不正アクセス判定ステップは、前記問い合わせコマンドの返信から一定の監視時間が経過するまでに前記監視対象機器から応答コマンドが返信された否か監視し、前記監視時間内に前記応答コマンドの返信がなかった場合、前記監視対象機器を不正機器として判定する
ことを特徴とする不正アクセス監視方法。 An unauthorized access monitoring method for detecting unauthorized access from unauthorized devices to each facility device connected to a communication line,
A command monitoring step of monitoring the communication line and detecting an inquiry command to the equipment;
In response to detection of the inquiry command, an unauthorized access determination step of returning an inquiry command to a monitoring target device that is a transmission source of the inquiry command,
The unauthorized access determination step monitors whether or not a response command is returned from the monitored device until a certain monitoring time elapses after the inquiry command is returned, and no response command is returned within the monitoring time. In this case, the unauthorized access monitoring method is characterized in that the monitored device is determined as an unauthorized device. 請求項４に記載の不正アクセス監視方法において、
前記不正アクセス判定ステップは、前記監視時間内に前記応答コマンドの返信があった場合、接続許可機器のシステム接続情報が予め登録されている接続許可リストを参照し、前記応答コマンドに含まれる前記監視対象機器のシステム接続情報が前記接続許可リストに登録されていない場合、前記監視対象機器を不正機器として判定することを特徴とする不正アクセス監視方法。 The unauthorized access monitoring method according to claim 4,
When the response command is returned within the monitoring time, the unauthorized access determination step refers to a connection permission list in which system connection information of a connection permission device is registered in advance, and the monitoring included in the response command An unauthorized access monitoring method, wherein when the system connection information of a target device is not registered in the connection permission list, the monitored device is determined as an unauthorized device. 請求項４に記載の不正アクセス監視方法において、
前記コマンド監視ステップは、一定の計数時間内に前記設備機器がやり取りする前記問い合わせコマンド、および／または前記応答コマンドに関するコマンド数を監視し、
前記不正アクセス判定ステップは、前記監視時間内に前記応答コマンドの返信があった場合、前記コマンド数が規定のしきい値より増加している場合には、前記監視対象機器を不正機器として判定することを特徴とする不正アクセス監視方法。 The unauthorized access monitoring method according to claim 4,
The command monitoring step monitors the number of commands related to the inquiry command and / or the response command exchanged by the facility device within a certain counting time,
The unauthorized access determination step determines the monitored device as an unauthorized device when the response command is replied within the monitoring time, and when the number of commands is greater than a predetermined threshold value. An unauthorized access monitoring method characterized by the above.
JP2016202292A 2016-10-14 2016-10-14 Unauthorized access monitoring device and method Active JP6835526B2 (en)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2016202292A JP6835526B2 (en) 2016-10-14 2016-10-14 Unauthorized access monitoring device and method

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2016202292A JP6835526B2 (en) 2016-10-14 2016-10-14 Unauthorized access monitoring device and method

Publications (2)

Publication Number Publication Date
JP2018063618A true JP2018063618A (en) 2018-04-19
JP6835526B2 JP6835526B2 (en) 2021-02-24

Family

ID=61966947

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2016202292A Active JP6835526B2 (en) 2016-10-14 2016-10-14 Unauthorized access monitoring device and method

Country Status (1)

Country Link
JP (1) JP6835526B2 (en)

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003218873A (en) * 2002-01-24 2003-07-31 Fujitsu Ltd Communication monitoring device and monitoring method
JP2006304263A (en) * 2005-03-23 2006-11-02 Matsushita Electric Ind Co Ltd Private branch exchange, private branch exchange system, and terminal device registration method
JP2010161507A (en) * 2009-01-06 2010-07-22 Toshiba Corp Apparatus, method, and program for supervising external device
US20120297457A1 (en) * 2010-11-15 2012-11-22 Brian Schulte Interactive Malware Detector
JP2013168865A (en) * 2012-02-16 2013-08-29 Hitachi Automotive Systems Ltd In-vehicle network system
JP2016010089A (en) * 2014-06-26 2016-01-18 株式会社日立製作所 Traffic monitoring system

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003218873A (en) * 2002-01-24 2003-07-31 Fujitsu Ltd Communication monitoring device and monitoring method
JP2006304263A (en) * 2005-03-23 2006-11-02 Matsushita Electric Ind Co Ltd Private branch exchange, private branch exchange system, and terminal device registration method
JP2010161507A (en) * 2009-01-06 2010-07-22 Toshiba Corp Apparatus, method, and program for supervising external device
US20120297457A1 (en) * 2010-11-15 2012-11-22 Brian Schulte Interactive Malware Detector
JP2013168865A (en) * 2012-02-16 2013-08-29 Hitachi Automotive Systems Ltd In-vehicle network system
JP2016010089A (en) * 2014-06-26 2016-01-18 株式会社日立製作所 Traffic monitoring system

Also Published As

Publication number Publication date
JP6835526B2 (en) 2021-02-24

Similar Documents

Publication Publication Date Title
EP2950285B1 (en) Automatic configuration of a replacement camera
US9147088B2 (en) Method for monitoring a tamper protection and monitoring system for a field device having tamper protection
US9874869B2 (en) Information controller, information control system, and information control method
US10097572B1 (en) Security for network computing environment based on power consumption of network devices
KR101885720B1 (en) IOT base remote control system for building equipment available for control air quality of each indoor space
CN102884559A (en) Control system, security system and method of monitoring a location
US9898921B2 (en) Security system installation
US10616181B2 (en) Security panel gateway system and method
JP5542772B2 (en) Building equipment management system connection system, building equipment management system connection method, and building equipment management system connection program
TW201603587A (en) Smart household appliance, mobile communication device, system and method for controlling smart household appliance
JP5974931B2 (en) Communication device
US20210191349A1 (en) Building automation system emergency response control handoff
CN114422323A (en) Combined monitoring method and device for Internet of things equipment and electronic equipment
CN111935085A (en) Method and system for detecting and protecting abnormal network behaviors of industrial control network
CN112765679B (en) Sensor data management method, device, system and storage medium
KR20210051641A (en) Remote power control system of network equipment for and method thereof
JP6835526B2 (en) Unauthorized access monitoring device and method
JP7125317B2 (en) UNAUTHORIZED ACCESS MONITORING DEVICE AND METHOD
KR101064706B1 (en) Sensor network management system and method
CN104170321A (en) Network device discovery method, network device and network device discovery system
US12028708B2 (en) Method and system for authorizing the communication of a network node
US20210037381A1 (en) Method and System for Authorizing the Communication of a Network Node
JP2018116451A (en) Equipment management system, equipment apparatus, unauthorized access monitoring device and method
KR101896527B1 (en) Remote housing management system and controlling method threrof
JP2018128758A (en) Unauthorized access obstruction device and method

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20190917

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20200716

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20200804

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20200831

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20210126

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20210204

R150 Certificate of patent or registration of utility model

Ref document number: 6835526

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250