JP2015005274A - 航空プラットフォームにおけるサイバーセキュリティ脅威の分析に使用する方法及びシステム - Google Patents

Abstract

【課題】航空機におけるサイバーセキュリティ脅威の分析において、複雑かつ高度にネットワーク化されたシステムのエンドツーエンドなサイバーセキュリティ分析の、統一された構造的フレームワークを提供する。【解決手段】複数の相互接続された航空機システムに対する、複数のノード及び複数のリンクを含む相互接続グラフを生成する６０４。次にサイバーセキュリティ脅威が各リンクをトラバースするコスト関数を定義し６０６、サイバーセキュリティ脅威が各ノードをエクスプロイトする要件関数を定義する６０８。さらに、複数のサイバーセキュリティ脅威のそれぞれに関して、一組の脅威トラバーサルグラフを生成する６１２、ことを含む。【選択図】図６

Description

本発明の分野は、概してサイバーセキュリティに関し、具体的には、航空プラットフォームにおけるサイバーセキュリティ脅威の分析に使用する方法およびシステムに関する。

少なくともいくつかの既知の航空プラットフォーム及びインフラは、電子化されたアーキテクチャ及び技術を採用し、ネットワーク化によって動作及び実施を有利に効率化している。航空プラットフォーム及びインフラは概して複雑なシステムであり、航空プラットフォーム及びインフラとしての様々な動作上の重要性、信頼性及び利用可能性条件を有する、階層的にネットワークされた組込みシステムとコントローラを伴う。組込みシステム及びコントローラは航空機上にも機外にも存在し、かつ電子化されており、故にサイバーセキュリティ脅威の標的となり得る。

一般的に、少なくともいくつかの既知のプラットフォームにおいて、組込みシステム及びコントローラは、所定のシステム機能を実施する汎用コンピューティング装置、市販のソフトウェア動作システム、及び／又は特定のカスタムアプリケーションにホストされる。航空機上の組込みシステム及びコントローラは標準に基づくプロトコルを介してネットワーク化されているため、電子化されたアーキテクチャを滞りなく統合することができ、航空プラットフォームにおいて特徴的な性能及び機能性を増大させてきた。しかしながらこのような統合により、配備されたソフトウェア及びハードウェア実装において現存する脆弱性を利用した、サイバーセキュリティ脅威による攻撃リスクが増大する。システムレベルのコンポーネントのみに影響を与える脅威ベクトルが存在する一方、他の脅威ベクトルは、サブシステムの実装が統合されている場合に結果としてエクスプロイトとなる。

既知の汎用アプリケーションには、ネットワーク化されたデータフローのための、及び攻撃／脅威ツリーの定式化のためのセキュリティ分析などのような、固有の分析フレームワークを有するものもある。これらの既知の汎用アプリケーションは、複雑かつ高度にネットワーク化されたシステムのエンドツーエンドなサイバーセキュリティ分析の、統一された構造的フレームワークを提供することがない。このネットワーク化されたシステムは、主要レベルから始まり次いで詳細レベルの実装へとデータを分割するというプログラム化された分析を可能にし、これにより現行の及び新たなサイバーセキュリティ脅威の恐れとその結果とを判定するというシステムを、分析者が定式化することを可能にする。このようなエンドツーエンドなサイバーセキュリティ分析のためのアプリケーションが航空宇宙産業プロセス／システムにおいて欠如していると、航空宇宙産業プロセス／システムの、現行の及び新たなサイバーセキュリティ脅威に対する堅牢性／利用可能性を、経費効率的かつ迅速に評価する能力を制限してしまう。さらに、このようなアプリケーションの欠如によって、規制及び／又は認可プロセスをタイムリーかつ経費効率的に行う能力をも制限される。

ある態様では、航空機のサイバーセキュリティ脅威の分析に使用する方法が提供されている。方法は、相互接続された複数の航空機システムに対する相互接続グラフを生成することを含む。相互接続グラフには複数のノード及び複数のリンクが含まれる。方法は、サイバーセキュリティ脅威が各リンクをトラバースするコスト関数を定義すること、及び、サイバーセキュリティ脅威が各ノードをエクスプロイトする要件関数を定義することも含む。方法はさらに、複数のサイバーセキュリティ脅威のそれぞれに対して脅威トラバーサルグラフを生成することを含む。

別の態様では、航空機のサイバーセキュリティ脅威の分析に使用するシステムが提供されている。システムは、メモリ装置に連結される処理ユニットを含む。処理ユニットは、相互接続された複数の航空機システムに対する相互接続グラフを生成するようプログラムされる。相互接続グラフには複数のノード及び複数のリンクが含まれる。処理ユニットはまた、サイバーセキュリティ脅威が各リンクをトラバースするコスト関数を定義し、かつ、サイバーセキュリティ脅威が各ノードをエクスプロイトする要件関数を定義するようプログラムされる。処理ユニットはさらに、複数のサイバーセキュリティ脅威のそれぞれに対して、各サイバーセキュリティ脅威に対する一組の脅威トラバーサルグラフを生成するようプログラムされる。

さらに別の態様では、エンコードされたコンピュータ可読命令を有するコンピュータ可読記憶装置が提供される。可読命令は、処理装置が、複数の相互接続された航空機システムに対する相互接続グラフの生成を含む機能を実施することにより実行可能である。相互接続グラフには複数のノード及び複数のリンクが含まれる。処理装置は、サイバーセキュリティ脅威が各リンクをトラバースするコスト関数を定義することと、サイバーセキュリティ脅威が各ノードをエクスプロイトする要件関数を定義することとを含む機能も実施する。処理装置はさらに、複数のサイバーセキュリティ脅威のそれぞれに対して、各サイバーセキュリティに対する一組の脅威トラバーサルグラフの生成を含む機能も実施する。

図１は、例示のコンピューティング装置のブロック図である。 図２は、図１に示すコンピューティング装置を含む、例示のネットワークのブロック図である。 図３は、サーバコンピュータ装置の例示的な構成である。 図４は、主要接続性ネットワーク及び詳細ネットワーク分析システムのブロック図である。 図５は、図４に示す主要接続性ネットワーク及び詳細ネットワーク分析システムにより生成された、複数の詳細ネットワーク相互作用グラフと関連付けられた主要接続性グラフである。 図６は、図４に示す主要接続性ネットワーク及び詳細ネットワーク分析システムによって脅威を分析する、例示的な方法のフロー図である。

本明細書に記載の実装は、航空プラットフォームにおけるサイバーセキュリティ脅威の分析に使用する方法及びシステムを対象とするものである。本明細書で使用する「航空プラットフォーム」という語は、ハードウェア構造（ハードウェアコンポーネント）及びソフトウェアフレームワーク（ソフトウェアコンポーネント）を指し、ソフトウェア、特にアプリケーションソフトウェアを、航空機の運航のために有効化するアプリケーションフレームワークを含む。本明細書で使用する「サイバーセキュリティ脅威」という語は、データへの無認可アクセス、データ破壊、漏えい、改ざん及び／又はサービス拒否を介して（航空機及び航空機コンポーネントなどの）アセットに潜在的に悪影響を与え得る任意の状況又は事象を指す。本明細書に記載の実装は、コンピューティング装置に関連する。本明細書で使用する際、コンピューティング装置は、航空プラットフォームにおいてサイバーセキュリティ脅威を識別するよう構成されたエンドユーザ装置及び／又は組込み装置を含む。

図１は、サイバーセキュリティ脅威の識別に使用される、例示的なコンピュータ装置１００を示すブロック図である。例示的実装では、コンピューティング装置１００は、処理ユニット１０４、メモリ１０６、固定記憶域１０８、通信ユニット１１０、入出力（Ｉ／Ｏ）ユニット１１２、及び表示１１４のような提示用インターフェースの間の通信を有効化する通信ファブリック１０２を含んでいる。これに加えて又はこれに代えて、提示用インターフェースは、音響装置（図示しない）及び／又はユーザに情報を伝達できる任意の装置を含むことができる。

処理ユニット１０４は、メモリ１０６に読み込み可能な、ソフトウェアに対する命令を実行する。処理ユニット１０４は、特定の実装に応じて、一又は複数のプロセッサの組であるか、或いは複数のプロセッサコアを含むことができる。さらに、処理ユニット１０４は、単一のチップ上に一次処理装置と二次処理装置とが共存する一又は複数の異種処理システムを使用して実装してもよい。別の実装では、処理ユニット１０４は、同種の処理装置を複数個含む同種処理システムである。

メモリ１０６及び固定記憶域１０８は、記憶装置の例である。本明細書で使用する場合、記憶装置は、一時的に及び／又は恒久的に情報を保存することができる何らかのハードウェア部分である。メモリ１０６は、例えば、限定しないが、ランダムアクセスメモリ、及び／又は他のいずれかの適切な揮発性又は非揮発性の記憶装置とすることができる。固定記憶域１０８は、特定の実装に応じて種々の形態をとることができ、一又は複数のコンポーネント又は素子を含むことができる。例えば、固定記憶域１０８は、ハードドライブ、フラッシュメモリ、書換え形光ディスク、書換え可能磁気テープ、及び／又はそれらの何らかの組み合わせである。固定記憶域１０８によって使用される媒体は、取り外し可能なものでもよい。例えば、限定しないが、取り外し可能ハードドライブは、固定記憶域１０８に使用することができる。

メモリ１０６及び／又は固定記憶域１０８のような記憶装置は、本明細書に記載のプロセスに使用できるデータを保存できる。記憶装置は例えば、コンピュータ実行可能命令、（通信コンポーネント、脅威判定コンポーネント、脅威関連性コンポーネント、脅威優先順位付けコンポーネント、及び脅威評価コンポーネントなどの）実行可能なソフトウェアコンポーネント、データソースから受信したデータ、航空機情報、ハードウェア及び／又はソフトウェアコンポーネント情報、ハードウェア及び／又はソフトウェアに関連付けられたビジネスディスクリプション、安全情報ハードウェア及び／又はソフトウェアコンポーネント、脅威ツリーモデル、及び／又は、本明細書に記載の方法に好適な他の任意の情報を記憶する。

これらの実施例では、通信ユニット１１０が他のコンピューティング装置又はシステムとの通信を可能にする。例示的な実装では、通信ユニット１１０はネットワークインターフェースカードである。通信ユニット１１０は、物理的及び無線の通信リンクのいずれか一方又は両方を使用することによって、通信を提供することができる。

入出力ユニット１１２は、コンピューティング装置１００に接続される他のデバイスとのデータの入出力を可能にする。例えば、限定しないが、入出力ユニット１１２は、ユーザ入力デバイス（例えばキーボード及び／又はマウス）によるユーザ入力のための接続部となる。さらに、入出力装置１１２は、プリンタに出力を送信することができる。表示１１４は、ユーザに対して情報を表示する機構を提供する。例えば、表示１１４のような提示用インターフェースは、本明細書に記載されるようなグラフィカルユーザインターフェースを表示することができる。

オペレーティングシステム及びアプリケーション又はプログラムに対する命令は、固定記憶域１０８に配置される。これらの命令は、処理ユニット１０４で実行するためメモリ１０６に読み込むことができる。メモリ１０６のようなメモリに配置することができる、コンピュータに実装された命令及び／又はコンピュータで実行可能な命令を使用して、処理ユニット１０４により様々な実装の処理を実施することができる。これらの命令は、本明細書ではプログラムコード（例えば、オブジェクトコード及び／又はソースコード）と呼ばれ、処理ユニット１０４に含まれる一の処理装置によって読み取られて実行される。種々の実装のプログラムコードは、メモリ１０６又は固定記憶装置１０８など、種々の物理的な又は有形のコンピュータで読込可能な媒体上に具現化しうる。

プログラムコード１１６は、コンピュータ可読媒体１１８上に機能的な形態で配置され、選択的に着脱可能であり、プロセッサ装置１０４での実行用のコンピューティング装置１００に読込み又は転送することができる。プログラムコード１１６及びコンピュータ可読媒体１１８は、これらの実施例ではコンピュータプログラム製品１２０を形成する。１つの実施例では、コンピュータ可読媒体１１８は、例えば、固定記憶域１０８の一部であるハードドライブなどの記憶装置に転送するための固定記憶域１０８の一部であるドライブまたは他の装置に挿入又は配置される光ディスク又は磁気ディスクなど、有形の形態をとりうる。有形の形態では、コンピュータで読込可能な媒体１１８はまた、コンピューティング装置１００に接続されているハードドライブ、サムドライブ、又はフラッシュメモリなどの固定記憶域の形態をとりうる。コンピュータ可読媒体１１８の有形形態は、コンピュータで記録可能な記憶媒体とも呼ばれる。幾つかの例では、コンピュータ可読媒体１１８は着脱式ではないことがある。

別の構成では、プログラムコード１１６は、通信装置１１０への通信リンク、及び／又は入出力ユニット１１２への接続を介して、コンピュータで読み取り可能な媒体１１８からコンピューティング装置１００へ転送可能である。このような実施例では、通信リンク及び／又は接続は物理的なものでもよく、無線でもよい。コンピュータで読み取り可能な媒体は、通信リンク又はプログラムコードを含む無線送信といった非有形の媒体の形態をとることもできる。

幾つかの例示的実装では、プログラムコード１１６は、コンピューティング装置１００内部での使用のために、ネットワークを介して、別のコンピューティング装置又はコンピュータシステムから固定記憶域１０８へとダウンロードすることができる。例えば、サーバコンピューティング装置内でコンピュータ読み取り可能記憶媒体に保存されているプログラムコードは、ネットワークを介してサーバからコンピューティング装置１００にダウンロード可能である。プログラムコード１１６を供給するコンピューティング装置は、サーバコンピュータ、ワークステーション、クライアントコンピュータ、又はプログラムコード１１６を保存及び転送できるその他何らかのデバイスとすることができる。

プログラムコード１１６は、機能的に関連するコンピュータで実行可能な複数のコンポーネントに編成することができる。プログラムコード１１６は例えば、事象処理コンポーネント、複合事象処理コンポーネント、機械学習コンポーネント、意思決定支援コンポーネント、及び／又は、本明細書に記載の方法に好適な他の任意のコンポーネントを含む。各コンポーネントは、処理ユニット１０４により実行されると、処理ユニット１０４に、本明細書に記載される一又は複数の工程を実施させるコンピュータで実行可能な命令を含むことができる。

コンピューティング装置１００について本明細書で説明した種々のコンポーネントは、種々の実装が実施される方法を構造的に限定しない。むしろ種々の例示的な実装は、コンピューティング装置１００について説明されたコンポーネントに追加の又はそれらコンポーネントを置換するコンポーネントを含むコンピュータシステムにおいて実施することができる。例えば、図１に示す他のコンポーネントを、図示されたものから変更することができる。

一実施例では、コンピューティング装置１００に含まれる記憶装置は、データを保存できる任意のハードウェア装置である。メモリ１０６、固定記憶域１０８、及びコンピュータ可読媒体１１８は具体的な形態の記憶装置の例である。

別の実施例では、バスシステムは、通信ファブリック１０２を実装するために使用することができ、システムバス又は入出力バスといった一又は複数のバスを含むことができる。言うまでもなく、バスシステムは、バスシステムに取り付けられた種々のコンポーネント又はデバイスの間でのデータ伝送を行う任意の適切な種類の構造を使用して実施することができる。加えて、通信ユニットは、モデム又はネットワークアダプタといったデータの送受信に使用される一又は複数の装置を含むことができる。さらに、メモリは例えば、限定しないが、通信ファブリック１０２に存在するインターフェース及びメモリコントローラハブにみられるような、メモリ１０６又はキャッシュであってもよい。

いくつかの例示的な実装は、コンピューティング装置のネットワークを使用して実装される。図２は、コンピューティング装置１００の例示的なネットワーク２００を示す、概略ブロック図である。

より詳細には、例示的な実装では、システム２００は、コンピュータシステムの一種であるサーバシステム２０２と、サーバシステム２０２に接続された複数のコンピューティング装置１００とを含む。一実装では、サーバシステム２０２はコンピューティング装置１００にインターネットを使用してアクセス可能である。他の実装では、サーバシステム２０２は、例えばワイドエリアネットワーク（ＷＡＮ）及びローカルエリアネットワーク（ＬＡＮ）などの、他の任意好適な通信ネットワークを使用してアクセス可能である。コンピューティング装置１００は、ローカルエリアネットワーク（ＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ）、ダイアルイン接続、ケーブルモデム、及び特殊な高速ＩＳＤＮ回線などのネットワークを含む多数のインターフェースを介してインターネットに相互接続される。コンピューティング装置１００は、ウェブベースの電話、携帯情報端末（ＰＤＡ）、又は他のウェブベースの接続機器を含む、インターネットへの相互接続が可能な任意の装置である。

データベースサーバ２０４はデータベース２０６に接続され、データベース２０６は以下に詳説するように様々な事項についての情報を包含する。一実装では、集約データベース２０６はサーバシステム２０２に記憶され、コンピューティング装置１００のうちの１つを介してサーバシステム２０２にログオンすることによってアクセスすることができる。代替的な実装では、データベース２０６はサーバシステム２０２から離れて記憶され、集約化はされない。さらにいくつかの実施形態では、データベース２０６及びデータベースサーバ２０４は、ロールベース認証を利用する。

図３は、（図２に示す）サーバシステム２０２のようなサーバコンピュータ装置３００の例示的な構成を示す。サーバコンピュータ装置３００は、限定しないが、データベースサーバ２０４を含んでもよい。サーバコンピュータ装置３００は、命令を実行するための処理装置３０２を含む。命令は例えば、メモリ領域３０４に記憶される。処理装置３０２は、一又は複数の処理ユニットを（例えばマルチコア構成で）含むことができる。メモリ領域３０４は、限定しないが、ダイナミックＲＡＭ（ＤＲＡＭ）又はスタティックＲＡＭ（ＳＲＡＭ）などのランダムアクセスメモリ（ＲＡＭ）、読出し専用メモリ（ＲＯＭ）、消去可能プログラマブル読取専用メモリ（ＥＰＲＯＭ）、電気的消去可能プログラマブル読取専用メモリ（ＥＥＰＲＯＭ）、及び非揮発性ＲＡＭ（ＮＶＲＡＭ）などを含みうる。上記のメモリのタイプは例示的なものに過ぎず、コンピュータプログラムの記憶に使用可能なメモリのタイプを限定するものではない。

処理装置３０２は通信インターフェース３０６に動作可能に連結され、これによりサーバコンピュータ装置３００は、コンピューティング装置１００又は他のサーバコンピュータ装置３００などの遠隔装置と通信可能になる。例えば、通信インターフェース３０６はコンピューティング装置１００からの要求をインターネットを介して受信する。

処理装置３０２はまた、記憶装置３０８にも動作可能に連結される。記憶装置３０８は、データの記憶及び／又は読み出しに好適な、コンピュータで動作可能な任意のハードウェアである。幾つかの実装では、記憶装置３０８はサーバコンピュータ装置３００に統合される。サーバコンピュータ装置３００は例えば、一又は複数のハードディスクドライブを、記憶装置３０８として含む。他の実装においては、記憶装置３０８はサーバコンピュータ装置３００の外部にあり、複数のサーバコンピュータ装置３００によりアクセスされてもよい。例えば、記憶装置３０８は、リダンダントアレイオブインエクスペンシブディスクズ（ＲＡＩＤ）構成のハードディスク又はソリッドステートディスクなどの複数の記憶ユニットを含む。記憶装置３０８は、記憶領域ネットワーク（ＳＡＮ）及び／又はネットワーク接続記憶（ＮＡＳ）システムを含む。

いくつかの実装において処理装置３００は、記憶インターフェース３１０を介して記憶装置３０８に動作可能に連結される。記憶インターフェース３１０は、処理装置３００に記憶装置３０８へのアクセスを提供できる任意のコンポーネントである。記憶インターフェース３１０は例えば、アドバンスドテクノロジーアタッチメント（ＡＴＡ）アダプタ、シリアルＡＴＡ（ＳＡＴＡ）アダプタ、小型計コンピュータシステムインタフェース（ＳＣＳＩ）アダプタ、ＲＡＩＤコントローラ、ＳＡＮアダプタ、ネットワークアダプタ、及び／又は処理装置３００に記憶装置３０８へのアクセスを提供できる任意のコンポーネントを含む。

ネットワークアーキテクチャ脅威モデリングに使用するシステムの一例は、ネットワーク２００内のコンピューティング装置１００を使用して実装され得る。システムは、表示装置１１４、複数のネットワークオブジェクトのそれぞれに対する複数の属性を記憶するメモリ装置、及びメモリ装置に通信可能に連結された処理装置１０４を含む。幾つかの実装においては、メモリ装置は固定記憶域１０８である。他の実装においては、メモリ装置はメモリ装置３０４又は３０８である。データベース２０６は、複数のネットワーク航空システムの各属性を記憶する。

図４は、主要接続性ネットワーク及び詳細ネットワーク分析システムのブロック図である。処理装置１０４は、複数のネットワーク航空システムのうちの、少なくとも第１のネットワーク航空システム及び第２のネットワーク航空システムの、主要及び詳細ネットワーク分析入力コンポーネント４０２から、固定記憶域１０８に記憶された実行可能コードなどにより入力を受信するよう構成される。ユーザは、入出力ユニット１１２を使用して主要及び詳細ネットワーク分析入力４０２を入力する。ユーザが利用できるネットワーク航空システムは、グラフィカルユーザインターフェース（ＧＵＩ）などを介し表示装置１１４上でユーザに表示される。処理装置１０４は、少なくとも第１のネットワーク航空システム及び第２のネットワーク航空システムを含むネットワークアーキテクチャを作成する。幾つかの実装においてユーザは、個々の航空システムを選択し、選択された航空システムをネットワークアーキテクチャの作成に使用する。他の実装においてユーザは、メモリ装置に記憶されたネットワークアーキテクチャのテンプレートを選択する。テンプレートは少なくとも２つのネットワーク航空システムを含む。ユーザは、追加の航空システム又はテンプレートをネットワークアーキテクチャに加えるべく選択することによって、１つのテンプレートからネットワークアーキテクチャを拡張することができる。さらにユーザは、作成したネットワークをカスタムテンプレートとして記憶することができる。いくつかの実施形態においては、カスタムテンプレートも含めたテンプレートは、ユーザ間で共用できる。

この実装において処理装置１０４は、記憶された複数の航空システム属性を、ネットワークアーキテクチャ内の選択されたネットワーク航空システムと関連付けるよう構成される。このように、作成されたネットワークアーキテクチャは、各ネットワーク航空システムのデータベース２０６から読み出された属性を含む。ネットワーク航空システムの属性は、その航空システムがどのような機能を持つのか、既知の弱点は何か、などといった航空システムに関する任意のデータを含むことが可能である。様々な実装において例えば、属性データは、航空システムの名称、航空システムのアイコン又は他のグラフィック表現、部品番号、その航空システムがハードウェア、ソフトウェアもしくはロジカルなものである否か、又は、航空システムが使用されるか使用され得るネットワークもしくはシステムであるか否かの表示、航空システムの既知の脅威／弱点、航空システムで使用するプロトコル、航空システムの（入出力などの）物理的接続、航空システムのデータフロー接続、航空システムの製造者などを含む。

図５は、図４に示す主要接続性ネットワーク及び詳細なネットワーク分析システム４００により生成された、複数の詳細なネットワーク相互作用グラフ５０２と関連付けられた主要接続性グラフ５００である。例示の実施形態では、ＧＵＩが、高レベル主要ネットワーク５００と詳細ネットワーク相互作用５０２との間のマップを表示する。高レベル主要接続性ネットワーク５００は、ノード５０４及びリンク５０６を含むグラフ構造として表される。ノード５０４は航空システムを表し、リンクは航空システム間のネットワーク接続を表す。詳細ネットワーク相互作用５０２もグラフ構造として表され、ここではノード５０８がソフトウェア処理、データ記憶又は入力ベクトルを表す。ユーザはＧＵＩを使用して特定の分析を入力する。例えば、ユーザはノード５０８を特定のソフトウェアと関連付ける、又は使用されているポートを識別する。リンク５１０はソフトウェア処理、データソース又は入力ベクトル間の相互作用を表す。ユーザはさらにＧＵＩを使用してリンクを注釈付け、リンクが、ＩＰ，ＴＣＯ，ＵＤＰ、ＡＲＩＮＣ又はイーサネットを含む何らかのプロトコルであるということを指定する。５０４又は５０８の各ノード、及び５０６又は５１０の各リンクは、グローバル一意識別子（ＧＵＩＤ）を含む。図５に示す実装では、組込みシステムＡがソフトウェア処理１及び２をホストする。組込みシステムＢはソフトウェア処理３をホストする。

グラフィカルユーザインターフェースは、各ノード及びリンクに対する特定の詳細及び性能の分析を可能にする。主要接続性ノード５０４の分析は、使用されているハードウェア及びソフトウェアなどの、航空システムの情報を含む。主要接続性リンク５０６の分析は、有線又は無線媒体、ネットワーク転送プロトコル及びポート、バンド幅制限などの、使用されている物理的な媒体を含む。詳細ネットワーク相互作用ノード５０８の分析は、リスク分析、エクスプロイト容易性、ビジネス及び認可への影響、リスク感受性、及び提案される任意の設計ミティゲーション方法などの詳細を含む。詳細ネットワーク相互作用リンク５１０の分析は、使用されるアプリケーションプロトコル及び、プロセス境界、マシン境界、トラスト境界及び／又は他の境界のような境界タイプを含む。

図４を参照すると、主要接続性ネットワーク及び詳細ネットワーク分析システム４００はまた、航空主要レベル及び詳細レベルネットワーク分析入力コンポーネント４０２により生成されたグラフデータ構成を記憶する、主要接続性ネットワーク及び詳細ネットワーク相互作用データベース４０４をも含む。データベース４０４は、主要レベルネットワーク５００と、それらにノード５０８及びリンク５１０として関連付けられた詳細レベルネットワーク相互作用５０２と、各ノード５０８及び各リンク５１０に関連付けられた分析とを記憶する。代替的実装では、カレントネットワークスキャンが実施され、起点となるアーキテクチャの生成を促進する。分析者は次いで、スキャン促進に対し、生成された起点となるアーキテクチャを補足するメタデータを供給する。

主要接続性ネットワーク及び詳細ネットワーク分析システム４００はまた、航空サイバーセキュリティ脅威分析コンポーネント４０６を含む。分析コンポーネント４０６は、主要接続性ネットワーク及び詳細ネットワーク相互作用データベース４０４にアクセスし、サイバーセキュリティ脅威４０８の恐れとその結果をプログラムによって評価する。

例示的実装では、セイバーセキュリティ脅威４０８はハードウェア及びソフトウェア脅威及び／又は脆弱性を含む。サイバーセキュリティ４０８は、限定しないが、共通脆弱性識別子（ＣＶＥ）、国立標準技術研究所（ＮＩＳＴ）、欧州ネットワーク情報セキュリティ機関（ＥＮＩＳＡ）、及びＭＩＴＲＥを含む、適切な脅威データを保持する任意のソースから受信され得る。サイバーセキュリティ脅威４０８は、既知のセキュリティ脅威及び／又は手動の入力から受信される脅威であり得る。一実装では、サイバーセキュリティ脅威４０８は、影響を受けたハードウェア／ソフトウェアのバージョン及び／又は構成についての情報を含む。

主要接続性ネットワーク５００及び詳細ネットワーク相互作用５０２を、グラフデータ構造として扱うことにより、脅威がトラバースできるノード及びリンクの数を評価することによって各脅威の影響を評価するために、グラフトラバーサル法が使用され得る。さらに、各ノード及びリンクの分析がグラフの要件及びコスト関数として使用される場合、ある脅威が各ノード及びリンクをトラバースする意思は、他の脅威が同じノード及びリンクをコンプロマイズできるように、リソースを消費及び作成する。要件関数の一例は、オープンポートまたは認証要件である。コスト関数の一例は、リンクによって支持されるバンド幅である。脅威が各ノード及び／又はリンクをエクスプロイトすると、エクスプロイトがコンプロマイズされたノードにおいて新しいポートをオープンする又は新しい特権を獲得することにより、要件関数が増加する。さらに、各リンクのコスト関数は脅威のトラバースを制限する。例えば、リンクのコスト関数が支持するよりも高いバンド幅を要求する脅威は、結果的に、現サービスにおけるサービス拒否状態、及び／又は脅威がリンクをトラバースすることに対する規制を促す。各脅威は主要及び詳細ネットワークグラフに対し異なった影響を与え、置換によって、脅威のそれぞれの組み合わせがジョイントエクスプロイトを表すことができる。例えば、脅威Ａは脅威Ｂが伝播するためのポートをオープンできた場合などである。

攻撃／脅威ツリーは、様々な攻撃に基づき、システムのセキュリティを記述する体系的かつ規則的な方法を提供する。特に、システムに対する攻撃は、ゴールを根ノード、ゴールに到達するための種々の方法を葉ノードとして、ツリー構造で表される。主要及び詳細ネットワーク接続性グラフ、並びにサイバーセキュリティ分析は、攻撃／脅威ツリーを収集し分析するのに使用される。サイバーセキュリティ分析は、詳細ネットワーク相互作用、リスク分析、エクスプロイト容易性、ビジネス及び認可への影響、リスク感受性、及び／又は任意の提示される設計ミティゲーション方法を含む。主要接続性ネットワーク及び詳細ネットワーク相互作用データベースは、攻撃／脅威ツリーの構築及び分析に要求される全情報を含み、様々なサイバーセキュリティ脅威に関わる情報が、脅威の恐れとその結果の技術上の及びビジネス上のリスクパースペクティブと共に収集されている。さらに、脅威がトラバースできるノード及びリンクの数を判定することにより各脅威の影響を評価する、定義及び展開されたグラフトラバーサル法は、攻撃／脅威ツリーをプログラムによって導出及び分析し、システムの堅牢性及び脆弱性の判定に使用される。

図６は、主要接続性ネットワーク及び詳細ネットワーク分析システム４００（図４に示す）によって脅威を分析する、例示的な方法のフロー図６００である。システム４００は、航空主要及び詳細ネットワーク分析入力コンポーネント４０２から入力を受信６０２する。入力に基づいて、システム４００は、複数の相互接続された航空システムに対する、複数のノード及び複数のリンクを含む相互接続グラフを生成６０４する。相互接続グラフを生成することは、少なくとも１つの主要接続グラフ及び少なくとも一の１つのネットワーク相互作用グラフを生成することを含む。攻撃／脅威ツリーを導出及び／又は分析するために、システム４００はそれぞれの主要接続性ネットワーク及び関連付けられた全ての詳細ネットワーク相互作用ダイアグラムをグラフデータ構造としてロードする。ダイアグラムは、主要接続性ネットワーク及び詳細ネットワーク相互作用データベース４０４から読み出される。

システム４００は、サイバーセキュリティ脅威が各リンクをトラバースするコスト関数を定義６０６する。リンク分析は、リンクをトラバースするコスト関数として使用される。コスト関数を定義６０６することはさらに、アプリケーションプロトコル、バンド幅、及び境界タイプのうちの少なくとも１つを含むリンク分析を実施することを含む。システム４００はまた、サイバーセキュリティ脅威が各ノードをエクスプロイトする要件関数も定義６０８する。ノード分析は、グラフ中の要件関数として使用される。要件関数を定義６０８することは、ポートアクセス及び認証要件のうちの少なくとも１つを含むノード分析を実施することを含む。

システム４００は、評価すべき脅威のリストを受信６１０する。脅威には公表されたものと新たなものとが含まれ、外部及び／又は内部のソースから受信される。分析コンポーネント４０６は、従来のグラフトラバーサル法を使用して各主要接続性グラフをトラバースすることにより、各脅威を評価する。より詳細には、システム４００は複数のサイバーセキュリティ脅威のそれぞれに対して、一組の脅威トラバーサルグラフを生成６１２する。その際分析コンポーネント４０６は、主要ノード及びリンク分析により指定されたコストおよび要件関数を考慮する。一組の脅威トラバーサルグラフを生成６１２することはまた、各セイバーセキュリティ脅威に対する相互接続グラフをトラバースすることと、コスト及び要件関数を各セイバーセキュリティ脅威に対応する相互接続グラフに適用することとを含む。システム４００はまた、従来のグラフトラバーサル法を使用して各詳細ネットワーク相互作用グラフをトラバースすることにより、各脅威を評価する。その際分析コンポーネント４０６は、詳細ノード及びリンク分析により指定されたコスト及び要件関数を考慮する。

各脅威トラバーサルグラフのコピーが、データベース２０６内に記憶６１４される。システム４００は、脅威のエクスプロイトがコスト及び要件関数を改ざんした場合、トラバースされたノード及びリンクを更新６１６する。例えば、相互接続グラフをトラバースするサイバーセキュリティ脅威を分析することに基づき、コスト関数及び要件関数のうちの少なくとも１つが更新される。

システム４００は、更新されたコスト及び要件関数を伴って、全ての組み合わせの個々の脅威トラバーサルグラフの置換６１８を行い、複数の脅威による攻撃とその結果とによる影響を評価する。各脅威は、成功した脅威エクスプロイト（すなわち、更新されたコスト及び要件関数）の影響を伴って各グラフを再トラバースすることにより、再評価される。システム４００は、単一の及び／又は複数の脅威のいずれかによりコンプロマイズされた主要接続性グラフ及び詳細ネットワーク相互作用グラフを、データベース２０６に記憶する。コンプロマイズされた主要接続性グラフ及び詳細ネットワーク相互作用グラフとそれに伴う関連付けられた脅威から、システム４００は次いで、他の脅威に依存して主要及び詳細ネットワークグラフをトラバースするのに成功した脅威を抽出６２０する。

例示のシステムが使用されると、属性は新たな知見を伴い更新され、システムがより堅牢になる。例えば、新たな知見は、限定しないが、知見の作成日及び／又は更新日、知見を作成したユーザの身元、知見に対する訂正履歴などのメタデータをトラックする。さらに、複数のユーザが同じ知見に対して協働できる及び／又は複数の知見を選択されたノードへ適用できるように、システムはひとつ前の訂正へと更新され得る。第２のユーザがネットワークアーキテクチャを作成すると、（一又は複数の）以前のユーザにより識別された知見は、各ノード又はリンクのＧＵＩＤを使用して、適切な（一又は複数の）ノード及び／又は（一又は複数の）リンクに自動的に適用される。このように、第２のユーザは（一又は複数の）第１のユーザが実施した脅威分析を繰り返す必要がなく、及び／又は異なる脅威分析を実施することができる。さらに、種々の実装では、システムは継続的に更新される。例えば、一又は複数のノード及び／又はリンクに関連付けられた新しい知見を第２のユーザが記憶している場合、更新された属性は、現存するネットワークアーキテクチャ、例えば第１のユーザにより作成されたネットワークアーキテクチャに適用される。さらに、ＧＵＩＤを使用することにより、異なるユーザがプラットフォームの異なる領域を分析することができ、システムは、実行された分析をＧＵＩＤにより参照して上書きし、集約された脅威収集のより完全な結果を得ることができる。

本明細書に記載の実装は、航空プラットフォームにおけるサイバーセキュリティ脅威を分析するのに使用する方法及びシステムを提供する。方法及びシステムは、電子化された航空プラットフォーム及びインフラにおいて、先見的及び反応的に、現行の及び新たなサイバーセキュリティ脅威からシステム設計及び実装を全体的に保護することを促す。さらに、本明細書に記載の方法及びシステムは、高レベルの主要接続性ネットワークを、高レベルの主要接続性ネットワーク内の各詳細ネットワーク相互作用へとマップするのに理解しやすいアプリケーションサービスを提供し、これにより、主要レベル及び詳細レベルの実装におけるサイバーセキュリティ脅威の恐れ及びその結果を効果的に分析する。アプリケーションは、主要レベル及び詳細レベルのネットワーク相互作用並びに関連付けられたシステム／サブシステムをプログラムによってトラバースすることを可能にするグラフトラバーサル法を含む。これにより各脅威の影響を評価し、プログラムにより攻撃／脅威ツリーの導出及び分析ができ、システムの堅牢性及び脆弱性が判定できる。さらに、本明細書に記載のシステムは、確実な設計及びインフラにつながるシステム設計及び実装の付加的な強化を可能にし、これにより、認可、規制及び動作コストを抑えることができる。

本明細書に記載された方法とシステムの技術的効果には、少なくとも以下の一つ、すなわち：（ａ）複数の相互接続された航空システムの相互接続グラフを生成することであって、相互接続グラフは複数のノード及び複数のリンクを含む、生成することと、（ｂ）サイバーセキュリティ脅威が各リンクをトラバースするコスト関数を定義することと、（ｃ）サイバーセキュリティ脅威が各ノードをエクスプロイトする要件関数を定義することと、（ｄ）複数のサイバーセキュリティ脅威の、各サイバーセキュリティ脅威に対する一組の脅威トラバーサルグラフを生成することとが含まれる。

上述の説明には多くの特定事項が含まれるが、これらは本開示の範囲に限定されるものと解釈すべきでなく、むしろ現時点で好ましいいくつかの実装例示を提供しているにすぎない。同様に、本発明の精神又は範囲から逸脱することなく、本発明の他の実装が考案され得る。異なる実施形態の特徴が、組み合わせて採用され得る。したがって本発明の範囲は、上述の説明によってではなく、添付の特許請求の範囲及びそれらの法的な等価物によってのみ示され限定されるものである。本明細書に記載の、本発明に対する全ての付加、削除、及び訂正は、特許請求の範囲の意味及び範囲に含まれ、特許請求の範囲に包含されるものである。

本明細書において、「１つの」という語から始まる単数形の要素又はステップは、複数の要素又はステップを除外することが明示的に記載されていない限り、複数の要素又はステップを除外しないと理解すべきである。さらに、本発明の「一実装」への言及は、記載されている特徴も取り込む他の実装の存在を除外するよう捉えらるものではない。

さらに、本発明は、以下の条項による実施形態を含む。

条項１
機能を実施するために、処理装置によって実行可能なコンピュータ可読命令がエンコードされた、コンピュータ可読記憶装置であって、該装置は、
複数の相互接続された航空システムの相互接続グラフを生成することであって、相互接続グラフは複数のノード及び複数のリンクを含む、生成することと、
サイバーセキュリティ脅威が各リンクをトラバースするコスト関数を定義することと、
サイバーセキュリティ脅威が各ノードをエクスプロイトする要件関数を定義することと、
複数のサイバーセキュリティ脅威の、各サイバーセキュリティ脅威に対する一組の脅威トラバーサルグラフを生成することと
を含む、装置。

条項２
命令は処理装置によって実行可能であり、少なくとも１つの主要接続性グラフ及び少なくとも一１つのネットワーク相互作用グラフを生成することを含む機能を実行する、条項１に記載のコンピュータ可読記憶装置。

条項３
命令は処理装置によって実行可能であり、アプリケーションプロトコル、バンド幅、及び境界タイプのうちの少なくとも１つを含むリンク分析を実行することを含む機能を実行する、条項１に記載のコンピュータ可読記憶装置。

条項４
命令は処理装置によって実行可能であり、ポートアクセス及び認証要件のうちの少なくとも１つを含むノード分析を実行することを含む機能を実行する、条項１に記載のコンピュータ可読記憶装置。

条項５
航空システムのサイバーセキュリティ脅威を分析するのに使用するシステムであって、前記システムは、
メモリ装置（１０６）と、
前記メモリ装置に連結される処理ユニット（１０４）とを備え、前記処理ユニット（１０４）は、複数の相互接続された航空システムの相互接続グラフを生成し、相互接続グラフは複数のノード及び複数のリンクを含む、生成し、
サイバーセキュリティ脅威が各リンクをトラバースするコスト関数を定義し、
サイバーセキュリティ脅威が各ノードをエクスプロイトする要件関数を定義し、
複数のサイバーセキュリティ脅威の、各サイバーセキュリティ脅威に対する一組のトラバーサルグラフを生成するようプログラムされる、システム。

条項６
前記処理ユニットは、
各サイバーセキュリティ脅威に対する相互接続グラフをトラバースし、
コスト及び要件関数を各サイバーセキュリティ脅威に対する相互接続グラフに適用するようさらにプログラムされる、条項５に記載のシステム。

条項７
前記処理ユニットは、サイバーセキュリティ脅威が相互接続グラフをトラバースすることを分析することに基づき、コスト関数及び要件関数のうちの少なくとも１つを更新するようさらにプログラムされる、条項５に記載のシステム。

条項８
更新されたコスト関数及び要件関数のうちの少なくとも１つを伴って、脅威トラバーサルグラフの組み合わせの置換を実行し、複数のサイバーセキュリティ脅威の影響を評価するようさらにプログラムされる、条項５に記載のシステム。

条項９
相互接続グラフを生成するために、前記処理ユニットは、少なくとも１つの主要接続性グラフ（５００）及び少なくとも１つのネットワーク相互作用グラフを生成するようさらにプログラムされる、条項５に記載のシステム。

条項１０
前記処理ユニットにより生成された脅威トラバーサルグラフの組を表示するよう構成される表示ユニット（１１４）をさらに含む、条項５に記載のシステム。

本明細書では、最良のモードを含め、様々な実装を開示する実施例を使用しているため、当業者は任意の機器やシステムの作成ならびに使用、及び組込まれた任意の方法の実施を含む実装を実行することができる。特許性の範囲は、特許請求の範囲によって画され、当業者が想到する他の例も含み得る。このような他の例は、それらが特許請求の範囲の文言と異ならない構成要素を有する場合、あるいは、それらが特許請求の範囲の文言とわずかに異なる均等な構成要素を有する場合は、特許請求の範囲の範囲内にあることを意図する。

１００ コンピューティング装置
１０２ 通信ファブリック
１２０ コンピュータプログラム製品
２００ ネットワーク／システム
３００ サーバコンピュータ装置
４００ ネットワーク分析システム

Claims (10)

1. 航空システムのサイバーセキュリティ脅威の分析に使用する方法であって、前記方法は、
   複数の相互接続された航空システムの相互接続グラフを生成することであって、前記相互接続グラフは複数のノード及び複数のリンクを含む、生成することと、
   サイバーセキュリティ脅威が各リンクをトラバースするコスト関数を定義することと、
   サイバーセキュリティ脅威が各ノードをエクスプロイトする要件関数を定義することと、
   複数のサイバーセキュリティ脅威の、各サイバーセキュリティ脅威に対する一組の脅威トラバーサルグラフを生成することとを含む、方法。
2. 各サイバーセキュリティ脅威に対する一組の脅威トラバーサルグラフを生成することは、
   各セイバーセキュリティ脅威に対する前記相互接続グラフをトラバースすることと、
   前記コスト関数及び前記要件関数を各セイバーセキュリティ脅威に対応する前記相互接続グラフに適用することとをさらに含む、請求項１に記載の方法。
3. 前記相互接続グラフをトラバースするサイバーセキュリティ脅威を分析することに基づき、前記コスト関数及び前記要件関数のうちの少なくとも１つを更新することをさらに含む、請求項１に記載の方法。
4. 前記更新されたコスト関数及び要件関数のうちの少なくとも１つを伴って、前記脅威トラバーサルグラフの組み合わせの置換を実行し、複数のサイバーセキュリティ脅威の少なくとも１つの影響を評価することをさらに含む、請求項３に記載の方法。
5. 相互接続グラフを生成することは、少なくとも１つの主要接続性グラフ（５００）及び少なくとも１つのネットワーク相互接続グラフ（５０２）を生成することをさらに含む、請求項１に記載の方法。
6. 前記相互接続グラフにおいて攻撃ツリー分析を実施することをさらに含む、請求項１に記載の方法。
7. コスト関数を定義することは、アプリケーションプロトコル、バンド幅、及び境界タイプのうちの少なくとも１つを含むリンク分析を実行することを含む、請求項１に記載の方法。
8. 要件関数を定義することは、ポートアクセス及び認証要件のうちの少なくとも１つを含むノード分析を実施することを含む、請求項１に記載の方法。
9. 前記一組の脅威トラバーサルグラフをグラフィカルユーザインターフェースに表示することをさらに含む、請求項１に記載の方法。
10. 航空システムのサイバーセキュリティ脅威の分析に使用するシステムであって、前記システムは、
    コンピュータ可読命令を含むメモリ装置（１０６）と、
    前記メモリ装置（１０６）に連結される処理ユニット（１０４）とを備え、
    前記処理ユニット（１０４）は、前記コンピュータ可読命令を実行して、請求項１から９のいずれか一項に記載の前記方法を実施するようプログラムされる、システム。

Images