WO2018179329A1

WO2018179329A1 - 抽出装置、抽出方法、コンピュータ可読媒体

Info

Publication number: WO2018179329A1
Application number: PCT/JP2017/013588
Authority: WO
Inventors: 俊貴渡辺; 山野　悟
Original assignee: 日本電気株式会社
Priority date: 2017-03-31
Filing date: 2017-03-31
Publication date: 2018-10-04
Also published as: JPWO2018179329A1; JP6711452B2; US20210126925A1; US11405411B2

Abstract

抽出装置（１）は、制御システムに異常が発生したときにその異常を通知するために発生した第１アラート及び第２アラートを入手可能である。抽出装置（１）は、第１アラートと第２アラートとを対応付けた対応情報を生成するアラート分類部（１０）と、アラート分類部（１０）により生成された対応情報と、サイバー攻撃以外の要因で異常が発生したときの第１アラートの発生パターンと、を基に、サイバー攻撃以外の要因で異常が発生したときの第２アラートの発生パターンを学習するアラート学習部（２０）と、アラート学習部（２０）により学習された第２アラートの発生パターンを基に、第２アラートのうち、サイバー攻撃が要因で発生した第２アラートを抽出し、抽出した第２アラートを出力するアラート抽出部（３０）と、を備える。

Description

抽出装置、抽出方法、コンピュータ可読媒体

　本発明は、アラートを抽出する抽出装置、抽出方法、コンピュータ可読媒体に関し、特に、制御システムに異常が発生したときにその異常を通知するために発生したアラートのうち、サイバー攻撃が要因で発生したアラートを抽出する抽出装置、抽出方法、コンピュータ可読媒体に関する。

　近年、制御システムに対するサイバー攻撃が増加している。制御システムは、例えば、センサやアクチュエータ等のデバイスと、制御サーバやクライアント端末等の機器と、を含んで構成され、独自ＯＳ（Operating System）を採用する等の特性を備える。

　しかし、制御システムは、上述のように独自ＯＳを採用し、また、スペックが貧弱である等の理由で、ＯＳにインストールして使用するセキュリティ製品を、制御システム上の機器に適用することができない場合がある。

　そのため、制御システムに対するサイバー攻撃のセキュリティ対策としては、制御システムを流れるトラフィック（パケット）の情報を収集し、収集したトラフィックの情報を基に、制御システムに発生した異常を検知するネットワーク異常検知技術（例えば、非特許文献１，２，３を参照）を採用することが有効と考えられる。

　ネットワーク異常検知技術を利用したシステムとしては、例えば、ＩＤＳ（Intrusion Detection System）と呼ばれる、不正な侵入を検知するシステムが挙げられる。ＩＤＳ製品としては、例えば、SCADAShield（Cyberbit社製）、 Silent defense（Security Matters社製）、 OpShield（Wurldtech社製）等が挙げられる。

B. Zhu and S. Sastry, "SCADA-specific Intrusion Detection/Prevention Systems: A Survey and Taxonomy"， Proc. of 1st Workshop on Secure Control Systems, Apr. 2010. B. Genge, D.A. Rusu and P. Haller, "A Connection Pattern-based Approach to Detect Network Traffic Anomalies in Critical Infrastructures"， Proc. of 7th European Workshop on System security (EuroSec'14), 2014.

　ところで、制御システムでは、サイバー攻撃が要因で異常が発生する他に、制御システム上の機器やデバイスの故障、オペレーションミス、設定ミス等のサイバー攻撃以外の要因でも異常が発生する。

　ここで、ネットワーク異常検知技術を利用したシステムでは、制御システムの上記の全ての異常を検知することができ、また、制御システムの異常を検知した場合、その異常を通知するためにアラートを発生する。しかし、ネットワーク異常検知技術を利用したシステムによって発生するアラートは、異常の発生時刻、発生場所等の情報を含んでいるものの、アラートを受け取った側では、そのアラートに含まれる情報だけでは、そのアラートの要因が何であるのかを判断することは困難である。

　例えば、ネットワーク異常検知技術を利用したシステムでは、ＤｏＳ（Denial of Service）攻撃対策のために、パケットの頻度（単位時間あたりのパケット数）の増加を検知するためのルールが定められている。そのため、例えば、制御システム上の機器の故障によりデバイスから頻繁にデータが送られてくると、上記のルールによって、制御システムの異常と判断されて、アラートが発生する可能性がある。この場合、アラートの要因は、サイバー攻撃ではなく、制御システム上の機器の故障である。しかし、アラートを受け取った側では、そのアラートに含まれる情報だけでは、そのアラートの要因が制御システム上の機器の故障であると判断することは困難である。

　また、ネットワーク異常検知技術を利用したシステムでは、パケットのデータの改ざん対策のために、警戒の必要がないパケットの一覧をホワイトリストに掲載するルールが定められている。そのため、例えば、制御システム上のセンサの故障により異常なセンサ値のデータを含むパケットが制御サーバに送られてくると、上記のルールによって、制御システムの異常と判断されて、アラートが発生する可能性がある。この場合、アラートの要因は、サイバー攻撃ではなく、制御システム上のセンサの故障である。しかし、アラートを受け取った側では、そのアラートに含まれる情報だけでは、そのアラートの要因が制御システム上のセンサの故障であると判断することは困難である。

　サイバー攻撃を受けた場合、迅速に復旧を行う必要がある。しかし、ネットワーク異常検知技術を利用したシステムが、サイバー攻撃が要因でアラートを発生したとしても、アラートを受け取った側では、そのアラートに含まれる情報だけでは、そのアラートの要因がサイバー攻撃であると判断することができない。そのため、即座に復旧作業を開始することができず、迅速な復旧が困難となる。

　そのため、サイバー攻撃を受けた場合に迅速な復旧を実現するためには、ネットワーク異常検知技術を利用したシステムによって発生したアラートのうち、サイバー攻撃が要因で発生したアラートを抽出することが重要である。そのようなアラートを抽出できれば、アラートを受け取った側では、アラートを受け取ったことのみをもって、そのアラートの要因がサイバー攻撃であると判断できる。そのため、即座に復旧作業を開始することができるため、迅速な復旧が可能となる。

　本発明の目的は、上述した課題を鑑み、サイバー攻撃が要因で発生したアラートを抽出することができる抽出装置、抽出方法、コンピュータ可読媒体を提供することにある。

　一態様において、抽出装置は、
　制御システムに異常が発生したときに該異常を通知するために発生した第１アラート及び第２アラートを入手可能な抽出装置であって、
　前記第１アラートと前記第２アラートとを対応付けた対応情報を生成する分類部と、
　前記分類部により生成された対応情報と、サイバー攻撃以外の要因で前記異常が発生したときの前記第１アラートの発生パターンと、を基に、サイバー攻撃以外の要因で前記異常が発生したときの前記第２アラートの発生パターンを学習する学習部と、
　前記学習部により学習された前記第２アラートの発生パターンを基に、前記第２アラートのうち、サイバー攻撃が要因で発生した前記第２アラートを抽出し、抽出した前記第２アラートを出力する抽出部と、を備える。

　一態様において、抽出方法は、
　制御システムに異常が発生したときに該異常を通知するために発生した第１アラート及び第２アラートを入手可能な抽出装置による抽出方法であって、
　前記第１アラートと前記第２アラートとを対応付けた対応情報を生成する分類ステップと、
　前記分類ステップにより生成された対応情報と、サイバー攻撃以外の要因で前記異常が発生したときの前記第１アラートの発生パターンと、を基に、サイバー攻撃以外の要因で前記異常が発生したときの前記第２アラートの発生パターンを学習する学習ステップと、
　前記学習ステップにより学習された前記第２アラートの発生パターンを基に、前記第２アラートのうち、サイバー攻撃が要因で発生した前記第２アラートを抽出し、抽出した前記第２アラートを出力する抽出ステップと、を含む。

　一態様において、コンピュータ可読媒体は、
　制御システムに異常が発生したときに該異常を通知するために発生した第１アラート及び第２アラートを入手可能なコンピュータに、
　前記第１アラートと前記第２アラートとを対応付けた対応情報を生成する分類手順と、
　前記分類手順により生成された対応情報と、サイバー攻撃以外の要因で前記異常が発生したときの前記第１アラートの発生パターンと、を基に、サイバー攻撃以外の要因で前記異常が発生したときの前記第２アラートの発生パターンを学習する学習手順と、
　前記学習手順により学習された前記第２アラートの発生パターンを基に、前記第２アラートのうち、サイバー攻撃が要因で発生した前記第２アラートを抽出し、抽出した前記第２アラートを出力する抽出手順と、
　を実行させるためのプログラムを格納した非一時的なコンピュータ可読媒体である。

　上述の態様によれば、サイバー攻撃が要因で発生した第２アラートを抽出することができるという効果が得られる。

本発明の実施の形態に係る抽出装置の構成の一例を示す図である。図１に示したアラート分類部により生成された対応情報の一例を示す図である。図１に示したアラート学習部に入力されるシステムアラート発生パターン情報の一例を示す図である。図１に示したアラート学習部の学習動作の一例を示す図である。図１に示した抽出装置における学習動作までの処理フローの一例を示すフロー図である。図１に示した抽出装置における付加トラフィックアラートが発生したときの処理フローの一例を示すフロー図である。

　以下、図面を参照して本発明の実施の形態について説明する。
　本実施の形態では、制御システムに異常が発生したときに、その異常を通知するために発生したアラートとして、システムアラート（第１アラート。以下、図中では適宜「ＳＡ」と記す）及び付加トラフィックアラート（第２アラート。以下、図中では適宜「ＴＡ」と記す）という２種類のアラートが入手可能であることを前提としている。

　システムアラートは、既存の制御システムに手を加えることなく標準で入手できるアラートである。言い換えれば、システムアラートは、制御システム自身が、制御システムに発生した異常を検知したときに、その異常を通知するために発生したアラートである。

　一方、付加トラフィックアラートは、既存の制御システムに影響を与えることなく後からシステムを追加することで新たに入手できるアラートである。言い換えれば、付加トラフィックアラートは、制御システムに追加した、制御システム以外のシステムが、制御システムに発生した異常を検知したときに、その異常を通知するために発生したアラートである。例えば、付加トラフィックアラートは、制御システムに追加した、ネットワーク異常検知技術を利用したシステム（ＩＤＳ等）が制御システムに発生した異常を通知するために発生したアラートである。より具体的には、ＩＤＳ製品として上記で列挙した、SCADAShield（Cyberbit社製）、 Silent defense（Security Matters社製）、 OpShield（Wurldtech社製）等が制御システムに発生した異常を通知するために発生したアラートは、付加トラフィックアラートとなる。

　図１は、本実施の形態に係る抽出装置１の構成の一例を示す図である。図１に示されるように、本実施の形態に係る抽出装置１は、アラート分類部１０と、アラート学習部２０と、アラート抽出部３０と、を備えている。本実施の形態に係る抽出装置１は、上述のように、システムアラート及び付加トラフィックアラートという２種類のアラートが入手可能である。

　アラート分類部１０は、制御システムに発生した異常を通知するためにシステムアラート及び付加トラフィックアラートが発生すると、そのシステムアラート及び付加トラフィックアラートを入力する。システムアラートは、例えば、制御システムから入力される。付加トラフィックアラートは、例えば、ネットワーク異常検知技術を利用したシステム（ＩＤＳ等）から入力される。

　アラート分類部１０は、システムアラートと付加トラフィックアラートとを対応付けた対応情報を生成する。

　具体的には、アラート分類部１０は、同じ要因で発生したシステムアラートと付加トラフィックアラートとを推測し、推測したシステムアラートと付加トラフィックアラートとを対応付けた対応情報を生成する。そして、アラート分類部１０は、生成した対応情報をアラート学習部２０に出力する。例えば、アラート分類部１０は、以下の情報を基に、対応情報を生成する。

（ａ）異常の発生時間
　システムアラート及び付加トラフィックアラートには、制御システムに発生した異常の発生時間の情報が含まれている。

　そこで、アラート分類部１０は、システムアラート及び付加トラフィックアラートに含まれる異常の発生時間の情報を基に、同じ要因で発生したシステムアラートと付加トラフィックアラートとを推測する。

　例えば、アラート分類部１０は、一定期間中に発生したシステムアラートと付加トラフィックアラートとは、同じ要因で発生したアラートであると推測し、両者を対応付けた対応情報を生成する。

（ｂ）異常の発生箇所
　システムアラート及び付加トラフィックアラートには、制御システムに発生した異常の発生箇所の情報が含まれている。例えば、異常が発生したパケットの送信元（src）ＩＰアドレス及び宛先（dst）ＩＰ（Internet Protocol）アドレス、異常が発生した機器の機器ＩＤ（Identifier）等である。

　そこで、アラート分類部１０は、システムアラート及び付加トラフィックアラートに含まれる異常の発生箇所の情報を基に、同じ要因で発生したシステムアラートと付加トラフィックアラートとを推測する。

　例えば、アラート分類部１０は、同じ箇所で発生したシステムアラートと付加トラフィックアラートとは、同じ要因で発生したアラートであると推測し、両者を対応付けた対応情報を生成する。

（ｃ）異常の種類
　システムアラート及び付加トラフィックアラートには、制御システムに発生した異常の種類の情報が含まれている。例えば、システムアラートに含まれる異常の種類としては、データ値が異常（グラフが異常）、プロセスの規則性が異常、メッセージが遅延、制御コマンドがホワイトリストに非該当、制御コマンドがブラックリストに該当等が挙げられる。また、付加トラフィックアラートに含まれる異常の種類としては、データ値の外れ値を検出、制御コマンドや通信の規則性の異常を検出、トラフィックがホワイトリストに非該当、トラフィックがブラックリストに該当等が挙げられる。

　そこで、アラート分類部１０は、システムアラート及び付加トラフィックアラートに含まれる異常の種類の情報を基に、同じ要因で発生したシステムアラートと付加トラフィックアラートとを推測する。

　例えば、アラート分類部１０は、データ値が許容値を超えるという異常の種類の情報を含むシステムアラートと、データ値の外れ値を検出するという異常の種類の情報を含む付加トラフィックアラートと、は、同じ要因（例えば、制御システム上のセンサの故障）で発生したと推測し、両者を対応付けた対応情報を生成する。

　また、アラート分類部１０は、受信メッセージの遅延という異常の種類の情報を含むシステムアラートと、通信の規則性の異常という異常の種類の情報を含む付加トラフィックアラートと、は、同じ要因（例えば、制御システム上の機器の故障）で発生したと推測し、両者を対応付けた対応情報を生成する。

　なお、アラート分類部１０は、上述の（ａ）異常の発生時間、（ｂ）異常の発生箇所、（ｃ）異常の種類の３つの情報のいずれか１つを用いて、対応情報を生成しても良いし、これら３つの情報のうちの任意の２つ以上の情報を用いて、対応情報を生成しても良い。

　図２は、アラート分類部１０により生成された対応情報の一例を示す図である。図２の例では、システムアラートＳＡ１と付加トラフィックアラートＴＡ１とが、同じ要因で発生したと推測されたため、両者が対応付けられている。同様に、システムアラートＳＡ２と付加トラフィックアラートＴＡ２，ＴＡ３とが、同じ要因で発生したと推測されたため、両者が対応付けられている。また、システムアラートＳＡ３と付加トラフィックアラートＴＡ４とが、同じ要因で発生したと推測されたため、両者が対応付けられている。

　アラート学習部２０は、アラート分類部１０により生成された対応情報と、制御システムにサイバー攻撃以外の要因で異常が発生したときのシステムアラートの特徴的な発生パターンを示すシステムアラート発生パターン情報と、が入力される。システムアラート発生パターン情報は、システムアラートを分析するシステムアラート分析部（不図示）から入力しても良いし、ユーザが手入力で入力しても良い。

　図３は、アラート学習部２０に入力されるシステムアラート発生パターン情報の一例を示す図である。図３は、制御システム上の機器の故障が発生したときのシステムアラートの特徴的な発生パターンを示している。図３の例では、機器Ａが故障したときには、システムアラートＳＡ１が発生している。また、機器Ｂが故障したときには、システムアラートＳＡ２が発生し、これに続いてシステムアラートＳＡ３が発生している。また、機器Ｃが故障したときには、システムアラートＳＡ４，ＳＡ５が同時に発生している。

　アラート学習部２０は、アラート分類部１０により生成された対応情報と、システムアラート発生パターン情報と、を基に、制御システムにサイバー攻撃以外の要因で異常が発生したときの付加トラフィックアラートの発生パターンを学習する。

　具体的には、アラート学習部２０は、システムアラート発生パターン情報が示すシステムアラートの特徴的な発生パターンにおけるシステムアラートを、対応情報を基に、そのシステムアラートに対応付けされた付加トラフィックアラートに置き換える。このようにして、アラート学習部２０は、上記の学習を行う。そして、アラート学習部２０は、上記の学習結果を示す付加トラフィックアラート発生パターン情報を生成し、生成した付加トラフィックアラート発生パターン情報をアラート抽出部３０に出力する。

　図４は、アラート学習部２０の学習動作の一例を示す図である。ここでは、アラート学習部２０には、図２に示される対応情報と、図３に示されるシステムアラート発生パターン情報と、が入力されるものとする。

　図４の例では、システムアラート発生パターン情報は、制御システム上の機器Ａが故障したときには、システムアラートＳＡ１が発生していることを示している。また、対応情報は、システムアラートＳＡ１と付加トラフィックアラートＴＡ１とが対応付けられていることを示している。そこで、アラート学習部２０は、システムアラート発生パターン情報におけるシステムアラートＳＡ１を付加トラフィックアラートＴＡ１に置き換え、制御システム上の機器Ａが故障したときには、付加トラフィックアラートＴＡ１が発生すると学習する。

　また、図４の例では、システムアラート発生パターン情報は、制御システム上の機器Ｂが故障したときには、システムアラートＳＡ２が発生し、これに続いてシステムアラートＳＡ３が発生していることを示している。また、対応情報は、システムアラートＳＡ２と付加トラフィックアラートＴＡ２，ＴＡ３とが対応付けられ、システムアラートＳＡ３と付加トラフィックアラートＴＡ４とが対応付けられていることを示している。そこで、アラート学習部２０は、システムアラート発生パターン情報におけるシステムアラートＳＡ２を付加トラフィックアラートＴＡ２，ＴＡ３に置き換えると共に、システムアラートＳＡ３を付加トラフィックアラートＴＡ４に置き換え、制御システム上の機器Ｂが故障したときには、付加トラフィックアラートＴＡ２，ＴＡ３が同時に発生し、これに続いて付加トラフィックアラートＴＡ４が発生すると学習する。

　アラート抽出部３０は、制御システムに発生した異常を通知するために付加トラフィックアラートが発生すると、その付加トラフィックアラートを入力する。付加トラフィックアラートは、例えば、ネットワーク異常検知技術を利用したシステム（ＩＤＳ等）から入力される。また、アラート抽出部３０は、アラート学習部２０により生成された付加トラフィックアラート発生パターン情報を入力する。

　アラート抽出部３０は、付加トラフィックアラート発生パターン情報に示される付加トラフィックアラートの発生パターンを基に、発生した付加トラフィックアラートから、サイバー攻撃が要因で発生した付加トラフィックアラートを抽出する。

　具体的には、アラート抽出部３０は、発生した付加トラフィックアラートが、付加トラフィックアラート発生パターン情報に示される付加トラフィックアラートの発生パターンと一致するか否かを判断する。アラート抽出部３０は、発生した付加トラフィックアラートのうち、付加トラフィックアラート発生パターン情報に示される付加トラフィックアラートの発生パターンと一致するものは、サイバー攻撃以外の要因で発生した付加トラフィックアラートであると判断し、一致しないものは、サイバー攻撃が要因で発生した付加トラフィックアラートであると判断する。

　例えば、付加トラフィックアラート発生パターン情報が、図４の下側の付加トラフィックアラートの発生パターンを示しているとする。この場合に、付加トラフィックアラートＴＡ１が発生すると、アラート抽出部３０は、発生した付加トラフィックアラートＴＡ１は、サイバー攻撃以外の要因（この場合は、制御システム上の機器Ａの故障）で発生した付加トラフィックアラートであると判断する。また、付加トラフィックアラートＴＡ２，ＴＡ３が同時に発生し、これに続いて付加トラフィックアラートＴＡ４が発生すると、アラート抽出部３０は、発生した付加トラフィックアラートＴＡ２，ＴＡ３，ＴＡ４は、サイバー攻撃以外の要因（この場合は、制御システム上の機器Ｂの故障）で発生した付加トラフィックアラートであると判断する。一方、その他の付加トラフィックアラートが発生すると、アラート抽出部３０は、その他の付加トラフィックアラートは、サイバー攻撃が要因で発生した付加トラフィックアラートであると判断する。例えば、付加トラフィックアラートＴＡ２，ＴＡ３が同時ではなく、それぞれ単独で発生した場合は、アラート抽出部３０は、発生した付加トラフィックアラートＴＡ２，ＴＡ３は、サイバー攻撃が要因で発生した付加トラフィックアラートであると判断する。また、付加トラフィックアラートＴＡ４が発生しても、その前に付加トラフィックアラートＴＡ２，ＴＡ３が同時に発生していない場合は、アラート抽出部３０は、発生した付加トラフィックアラートＴＡ４は、サイバー攻撃が要因で発生した付加トラフィックアラートであると判断する。

　そして、アラート抽出部３０は、サイバー攻撃以外の要因で発生した付加トラフィックアラートは破棄する。一方、アラート抽出部３０は、サイバー攻撃が要因で発生した付加トラフィックアラートは抽出し、抽出した付加トラフィックアラートを抽出装置１の外部に出力する。付加トラフィックアラートの出力先は、例えば、サイバー攻撃を受けたときに復旧のための対処を行うＩＣＳ（Industrial Control System）やＳＯＣ（Security Operation Center）である。

　このように、アラート抽出部３０は、サイバー攻撃が要因で発生した付加トラフィックアラートを抽出して出力する。そのため、付加トラフィックアラートを受け取った側（例えば、ＩＣＳやＳＯＣ）では、付加トラフィックアラートを受け取ったことのみをもって、その付加トラフィックアラートの要因がサイバー攻撃であると判断できる。そのため、即座に復旧作業を開始することができるため、迅速な復旧が可能となる。

　以下、本実施の形態に係る抽出装置１の処理フローについて説明する。
　図５は、本実施の形態に係る抽出装置１における学習動作までの処理フローの一例を示すフロー図である。

　図５に示されるように、まず、アラート分類部１０は、システムアラートと付加トラフィックアラートとを対応付けた対応情報を生成する（ステップＳ１１）。具体的には、アラート分類部１０は、同じ要因で発生したシステムアラートと付加トラフィックアラートとを推測し、推測したシステムアラートと付加トラフィックアラートとを対応付けた対応情報を生成する。

　続いて、アラート学習部２０は、アラート分類部１０により生成された対応情報と、制御システムにサイバー攻撃以外の要因で異常が発生したときのシステムアラートの特徴的な発生パターンと、を基に、制御システムにサイバー攻撃以外の要因で異常が発生したときの付加トラフィックアラートの発生パターンを学習する（ステップＳ１２）。具体的には、アラート学習部２０は、システムアラートの特徴的な発生パターンにおけるシステムアラートを、対応情報を基に、そのシステムアラートに対応付けされた付加トラフィックアラートに置き換える。このようにして、アラート学習部２０は、上記の学習を行う。

　なお、図５の処理フローは、システムアラート及び付加トラフィックアラートの少なくとも１つが発生したときに行っても良いし、周期的に行っても良い。

　図６は、本実施の形態に係る抽出装置１における付加トラフィックアラートが発生したときの処理フローの一例を示すフロー図である。
　図６に示されるように、アラート抽出部３０は、付加トラフィックアラートが発生したか否かを判断する（ステップＳ２１）。

　ステップＳ２１において、付加トラフィックアラートが発生した場合（ステップＳ２１のＹｅｓ）、アラート抽出部３０は、発生した付加トラフィックアラートが、サイバー攻撃が要因で発生した付加トラフィックアラートであるか否かを判断する（ステップＳ２２）。具体的には、アラート抽出部３０は、発生した付加トラフィックアラートが、アラート学習部２０により学習された付加トラフィックアラートの発生パターンと一致するか否かを判断する。アラート抽出部３０は、発生した付加トラフィックアラートのうち、付加トラフィックアラートの発生パターンと一致するものは、サイバー攻撃以外の要因で発生した付加トラフィックアラートであると判断し、一致しないものは、サイバー攻撃が要因で発生した付加トラフィックアラートであると判断する。

　ステップＳ２２において、発生した付加トラフィックアラートが、サイバー攻撃が要因で発生した付加トラフィックアラートである場合（ステップＳ２２のＹｅｓ）、アラート抽出部３０は、発生した付加トラフィックアラートを抽出して出力する（ステップＳ２３）。その後、ステップＳ２１に戻る。

　一方、ステップＳ２２において、発生した付加トラフィックアラートが、サイバー攻撃が要因で発生した付加トラフィックアラートでない場合（ステップＳ２２のＮｏ）、アラート抽出部３０は、発生した付加トラフィックアラートを破棄する（ステップＳ２４）。その後、ステップＳ２１に戻る。

　なお、アラート学習部２０により学習された付加トラフィックアラートの発生パターンが、図４の下側の発生パターンであるものとする。この場合には、ステップＳ２２においては、例えば、付加トラフィックアラートＴＡ２，ＴＡ３が同時に発生しても、付加トラフィックアラートＴＡ２，ＴＡ３についての判断を即座には行わず、その後に付加トラフィックアラートＴＡ４が発生するまで待機する。そして、一定時間内に付加トラフィックアラートＴＡ４が発生した場合は、付加トラフィックアラートＴＡ２，ＴＡ３，ＴＡ４は、サイバー攻撃以外の要因で発生した付加トラフィックアラートであると判断する。一方、一定時間内に付加トラフィックアラートＴＡ４が発生しない場合は、付加トラフィックアラートＴＡ２，ＴＡ３は、サイバー攻撃が要因で発生した付加トラフィックアラートであると判断する。

　上述したように、本実施の形態に係る抽出装置１によれば、アラート分類部１０は、システムアラートと付加トラフィックアラートとを対応付けた対応情報を生成する。アラート学習部２０は、アラート分類部１０により生成された対応情報と、制御システムにサイバー攻撃以外の要因で異常が発生したときのシステムアラートの発生パターンと、を基に、制御システムにサイバー攻撃以外の要因で異常が発生したときの付加トラフィックアラートの発生パターンを学習する。アラート抽出部３０は、アラート学習部２０により学習された付加トラフィックアラートの発生パターンを基に、発生した付加トラフィックアラートのうち、サイバー攻撃が要因で発生した付加トラフィックアラートを抽出して出力する。

　そのため、付加トラフィックアラートを受け取った側（例えば、ＩＣＳやＳＯＣ）では、付加トラフィックアラートを受け取ったことのみをもって、その付加トラフィックアラートの要因がサイバー攻撃であると判断できる。そのため、即座に復旧作業を開始することができるため、迅速な復旧が可能となる。

　以上、実施の形態を参照して本願発明における様々な観点を説明したが、本願発明は上記によって限定されるものではない。本願発明の各観点における構成や詳細には、発明のスコープ内で当業者が理解し得る様々な変更をすることができる。

　例えば、上記の実施の形態における各構成は、ハードウェア又はソフトウェア、もしくはその両方によって構成され、１つのハードウェア又はソフトウェアから構成しても良いし、複数のハードウェア又はソフトウェアから構成しても良い。各装置の機能（処理）を、ＣＰＵ（Central Processing Unit）やメモリ等を有するコンピュータにより実現しても良い。例えば、記憶装置に実施の形態における抽出方法を行うためのプログラムを格納し、各機能を、記憶装置に格納されたプログラムをＣＰＵで実行することにより実現しても良い。

　また、上記のプログラムは、様々なタイプの非一時的なコンピュータ可読媒体（non-transitory computer readable medium）を用いて格納され、コンピュータに供給することができる。非一時的なコンピュータ可読媒体は、様々なタイプの実体のある記録媒体（tangible storage medium）を含む。非一時的なコンピュータ可読媒体の例は、磁気記録媒体（例えば、フレキシブルディスク、磁気テープ、ハードディスクドライブ）、光磁気記録媒体（例えば、光磁気ディスク）、ＣＤ－ＲＯＭ（compact disc read only memory）、ＣＤ－Ｒ（compact disc recordable）、ＣＤ－Ｒ／Ｗ（compact disc rewritable）、半導体メモリ（例えば、マスクＲＯＭ、ＰＲＯＭ（programmable ROM）、ＥＰＲＯＭ（erasable PROM）、フラッシュＲＯＭ、ＲＡＭ（random access memory））を含む。また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体（transitory computer readable medium）によってコンピュータに供給されても良い。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバ等の有線通信路、又は無線通信路を介して、プログラムをコンピュータに供給できる。

　１　抽出装置
　１０　アラート分類部
　２０　アラート学習部
　３０　アラート抽出部

Claims

　制御システムに異常が発生したときに該異常を通知するために発生した第１アラート及び第２アラートを入手可能な抽出装置であって、
　前記第１アラートと前記第２アラートとを対応付けた対応情報を生成する分類部と、
　前記分類部により生成された対応情報と、サイバー攻撃以外の要因で前記異常が発生したときの前記第１アラートの発生パターンと、を基に、サイバー攻撃以外の要因で前記異常が発生したときの前記第２アラートの発生パターンを学習する学習部と、
　前記学習部により学習された前記第２アラートの発生パターンを基に、前記第２アラートのうち、サイバー攻撃が要因で発生した前記第２アラートを抽出し、抽出した前記第２アラートを出力する抽出部と、を備える、
　抽出装置。
　前記分類部は、
　同じ要因で発生した前記第１アラートと前記第２アラートとを推測し、
　推測した前記第１アラートと前記第２アラートとを対応付けた前記対応情報を生成する、
　請求項１に記載の抽出装置。
　前記分類部は、
　前記第１アラート及び前記第２アラートに含まれる前記異常の発生時間の情報を基に、同じ要因で発生した前記第１アラートと前記第２アラートとを推測する、
　請求項２に記載の抽出装置。
　前記分類部は、
　前記第１アラート及び前記第２アラートに含まれる前記異常の発生箇所の情報を基に、同じ要因で発生した前記第１アラートと前記第２アラートとを推測する、
　請求項２又は３に記載の抽出装置。
　前記分類部は、
　前記第１アラート及び前記第２アラートに含まれる前記異常の種類の情報を基に、同じ要因で発生した前記第１アラートと前記第２アラートとを推測する、
　請求項２から４のいずれか１項に記載の抽出装置。
　前記学習部は、
　サイバー攻撃以外の要因で前記異常が発生したときの前記第１アラートの発生パターンにおける前記第１アラートを、前記対応情報を基に、前記第１アラートに対応付けされた前記第２アラートに置き換えることで、前記学習を行う、
　請求項１から５のいずれか１項に記載の抽出装置。
　前記抽出部は、
　前記第２アラートのうち、前記学習部により学習された前記第２アラートの発生パターンと一致する前記第２アラートを、サイバー攻撃以外の要因で発生した前記第２アラートと判断し、
　前記第２アラートのうち、前記学習部により学習された前記第２アラートの発生パターンと一致しない前記第２アラートを、サイバー攻撃が要因で発生した前記第２アラートと判断する、
　請求項１から６のいずれか１項に記載の抽出装置。
　前記抽出部は、
　サイバー攻撃以外の要因で発生した前記第２アラートを破棄する、
　請求項１から７のいずれか１項に記載の抽出装置。
　前記第１アラートは
　前記制御システムに異常が発生したときに、前記制御システム自身が該異常を通知するために発生したアラートであり、
　前記第２アラートは、
　前記制御システムに異常が発生したときに、前記制御システム以外のシステムが該異常を通知するために発生したアラートである、
　請求項１から８のいずれか１項に記載の抽出装置。
　制御システムに異常が発生したときに該異常を通知するために発生した第１アラート及び第２アラートを入手可能な抽出装置による抽出方法であって、
　前記第１アラートと前記第２アラートとを対応付けた対応情報を生成する分類ステップと、
　前記分類ステップにより生成された対応情報と、サイバー攻撃以外の要因で前記異常が発生したときの前記第１アラートの発生パターンと、を基に、サイバー攻撃以外の要因で前記異常が発生したときの前記第２アラートの発生パターンを学習する学習ステップと、
　前記学習ステップにより学習された前記第２アラートの発生パターンを基に、前記第２アラートのうち、サイバー攻撃が要因で発生した前記第２アラートを抽出し、抽出した前記第２アラートを出力する抽出ステップと、を含む、
　抽出方法。
　制御システムに異常が発生したときに該異常を通知するために発生した第１アラート及び第２アラートを入手可能なコンピュータに、
　前記第１アラートと前記第２アラートとを対応付けた対応情報を生成する分類手順と、
　前記分類手順により生成された対応情報と、サイバー攻撃以外の要因で前記異常が発生したときの前記第１アラートの発生パターンと、を基に、サイバー攻撃以外の要因で前記異常が発生したときの前記第２アラートの発生パターンを学習する学習手順と、
　前記学習手順により学習された前記第２アラートの発生パターンを基に、前記第２アラートのうち、サイバー攻撃が要因で発生した前記第２アラートを抽出し、抽出した前記第２アラートを出力する抽出手順と、
　を実行させるためのプログラムを格納した非一時的なコンピュータ可読媒体。