JP2023006513A - 攻撃分析装置、攻撃分析方法、及び攻撃分析プログラム - Google Patents

Abstract

【課題】電子制御システムに対するサイバー攻撃を受けた場合に、より高い精度で攻撃経路の推定を行う攻撃分析装置及び方法並びにプログラムを提供する。【解決手段】攻撃分析装置１００は、セキュリティログ取得部、生存信号取得部、予測テーブル保存部、攻撃経路推定部及び攻撃情報出力部を備える。セキュリティログ取得部は、電子制御装置に搭載されたセンサで生成され、センサが異常を検知したことを示す異常検知信号を含むセキュリティログを取得する。生存信号取得部は、センサの生存信号を取得する。予測テーブル保存部は、センサで生成されることが予測される予測異常検知信号と予測攻撃経路との対応関係を示す予測テーブルを保存する。攻撃経路推定部は、予測テーブルを用いて、セキュリティログに含まれる異常検知信号及び生存信号から、システムが受けた攻撃の攻撃経路を推定する。攻撃情報出力部は、攻撃経路を示す攻撃情報を出力する。【選択図】図３

Description

本発明は、主に自動車をはじめとする移動体に搭載された電子制御システムに対する攻撃を分析する装置であって、攻撃分析装置、攻撃分析方法、及び攻撃分析プログラムに関する。

近年、車車間通信や路車間通信のようなＶ２Ｘをはじめ、運転支援や自動運転制御を行う技術が注目されている。これに伴い、車両が通信機能を備えるようになり、いわゆる車両のコネクティッド化が進んでいる。この結果、車両が不正アクセスといったサイバー攻撃を受ける可能性が増加している。そのため、車両に対するサイバー攻撃を分析して、その対応策を構築することが必要とされている。

車両に発生した異常を検知し、検知した異常に基づいてサイバー攻撃を分析する手法として、様々なものがある。例えば、特許文献１には、検知した異常データを収集するとともに、異常が検出された項目の組み合わせと、攻撃毎に予め特定された異常検出パターンとを照合して、異常に対応する攻撃の種類を特定することが記載されている。

特開２０２０－１２３３０７号公報

ここで、本発明者は、以下の課題を見出した。
車両に搭載される電子制御システムに対しサイバー攻撃を受けた場合、電子制御システムを構成するセキュリティセンサで生成されたセキュリティログに基づき、攻撃経路の推定を行うことができる。しかし、セキュリティログの情報だけを用いる場合、攻撃経路の推定の精度には限界がある。

そこで、本発明は、電子制御システムに対するサイバー攻撃を受けた場合に、より高い精度で攻撃経路の推定を行う攻撃分析装置等を実現することを目的とする。

本開示の攻撃分析装置は、
電子制御システムを構成する電子制御装置に搭載されたセキュリティセンサで生成されるとともに前記セキュリティセンサが異常を検知したことを示す異常検知信号を含むセキュリティログを取得するセキュリティログ取得部（１０１）と、
前記セキュリティセンサの生存信号を取得する生存信号取得部（１０２）と、
前記電子制御システムにおける予測攻撃経路と、前記セキュリティセンサで生成されることが予測される予測異常検知信号との対応関係を示す予測テーブルを保存する予測テーブル保存部（１０３）と、
前記予測テーブルを用いて、前記セキュリティログに含まれる前記異常検知信号及び前記生存信号から、前記電子制御システムが受けた攻撃の攻撃経路を推定する攻撃経路推定部（１０４）と、
前記攻撃経路を示す攻撃情報を出力する攻撃情報出力部（１０５）と、
を有する。

なお、特許請求の範囲、及び本項に記載した発明の構成要件に付した括弧内の番号は、本発明と後述の実施形態との対応関係を示すものであり、本発明を限定する趣旨ではない。

上述のような構成により、本開示の攻撃分析装置は、電子制御システムに対するサイバー攻撃を受けた場合に、より高い精度で攻撃経路の推定を行うことが可能となる。

実施形態１の攻撃分析装置の配置を説明する説明図 実施形態１の電子制御システムの構成例を説明するブロック図 実施形態１の攻撃分析装置の構成例を示すブロック図 実施形態１の攻撃分析装置の予測テーブル保存部に保存された予測テーブルを説明する説明図 実施形態１の実施例１における信頼度算出部の信頼度算出方法を説明する説明図 実施形態１の実施例２における信頼度算出部の信頼度算出方法を説明する説明図 実施形態１の実施例３における信頼度算出部の信頼度算出方法を説明する説明図 実施形態１の攻撃分析装置の動作を示すフローチャート

以下、本発明の実施形態について、図面を参照して説明する。

なお、本発明とは、特許請求の範囲又は課題を解決するための手段の項に記載された発明を意味するものであり、以下の実施形態に限定されるものではない。また、少なくともかぎ括弧内の語句は、特許請求の範囲又は課題を解決するための手段の項に記載された語句を意味し、同じく以下の実施形態に限定されるものではない。

特許請求の範囲の従属項に記載の構成及び方法は、特許請求の範囲の独立項に記載の発明において任意の構成及び方法である。従属項に記載の構成及び方法に対応する実施形態の構成及び方法、並びに特許請求の範囲に記載がなく実施形態のみに記載の構成及び方法は、本発明において任意の構成及び方法である。特許請求の範囲の記載が実施形態の記載よりも広い場合における実施形態に記載の構成及び方法も、本発明の構成及び方法の例示であるという意味で、本発明において任意の構成及び方法である。いずれの場合も、特許請求の範囲の独立項に記載することで、本発明の必須の構成及び方法となる。

実施形態に記載した効果は、本発明の例示としての実施形態の構成を有する場合の効果であり、必ずしも本発明が有する効果ではない。

複数の実施形態がある場合、各実施形態に開示の構成は各実施形態のみで閉じるものではなく、実施形態をまたいで組み合わせることが可能である。例えば一の実施形態に開示の構成を、他の実施形態に組み合わせても良い。また、複数の実施形態それぞれに開示の構成を集めて組み合わせても良い。

発明が解決しようとする課題に記載した課題は公知の課題ではなく、本発明者が独自に知見したものであり、本発明の構成及び方法と共に発明の進歩性を肯定する事実である。

１．第１の実施形態
（１）攻撃分析装置１００と電子制御システムＳの配置
図１は、本実施形態の攻撃分析装置１００の配置を説明する図である。攻撃分析装置１００は、電子制御システムＳに対するサイバー攻撃を検知し、電子制御システムＳが受けたサイバー攻撃の攻撃経路を推定する。攻撃分析装置１００は、電子制御システムＳから必要な情報を取得することができる任意の配置をとりうる。
以下、サイバー攻撃を、攻撃と略して記載する。また、攻撃により影響を受ける電子制御システムＳ側からの視点に基づき、攻撃を異常と記載することがある。

例えば、図１（ａ）に示すように、電子制御システムＳ及び攻撃分析装置１００が、「移動体」である車両に「搭載」される場合と、図１（ｂ）に示すように、電子制御システムＳは「移動体」である車両に「搭載」され、攻撃分析装置１００は、車両の外部に設置されたサーバ装置で実現する場合と、が想定される。
ここで、
「移動体」とは、移動可能な物体をいい、移動速度は任意である。また移動体が停止している場合も当然含む。例えば、自動車、自動二輪車、自転車、歩行者、船舶、航空機、及びこれらに搭載される物を含み、またこれらに限らない。
「搭載」される、とは、移動体に直接固定されている場合の他、移動体に固定されていないが移動体と共に移動する場合も含む。例えば、移動体に乗った人が所持している場合、移動体に載置された積荷に搭載されている場合、が挙げられる。

図１（ａ）の場合、攻撃分析装置１００と電子制御システムＳとは、例えばＣＡＮ（Controller Area Network）、ＬＩＮ（Local Interconnect Network）といった車載ネットワークで接続されている。あるいは、Ｅｔｈｅｒｎｅｔ（登録商標）やＷｉ－Ｆｉ（登録商標）、Ｂｌｕｅｔｏｏｔｈ（登録商標）等、有線無線を問わず任意の通信方式を用いて接続することができる。別の例として、電子制御システムＳを構成する電子制御装置の少なくとも一つに攻撃分析装置１００の機能を内蔵することもできる。

図１（ａ）の場合、攻撃分析装置１００は、電子制御システムＳが攻撃を受けると遅滞なく、サイバー攻撃を分析することができ、ひいてはサイバー攻撃に対する対応を迅速に行うことが可能である。

図１（ｂ）の場合、攻撃分析装置１００と電子制御システムＳとは、例えば、ＩＥＥＥ８０２．１１（Ｗｉ―Ｆｉ（登録商標））やＩＥＥＥ８０２．１６（ＷｉＭＡＸ（登録商標））、Ｗ－ＣＤＭＡ（Wideband Code Division Multiple Access）、ＨＳＰＡ（High Speed Packet Access）、ＬＴＥ（Long Term Evolution）、ＬＴＥ－Ａ（Long Term Evolution Advanced）、４Ｇ、５Ｇ等の無線通信方式からなる通信手段を用いて接続することができる。あるいは、ＤＳＲＣ(Dedicated Short Range Communication)を用いることができる。
車両が駐車場に駐車されていたり、修理工場に収容されている場合は、無線通信方式に代えて、有線通信方式を用いることができる。例えば、ＬＡＮ（Local Area Network）やインターネット、固定電話回線を用いることができる。

図１（ｂ）の場合、サーバ装置は、車両に搭載された電子制御システムＳが攻撃を受けると、無線通信ネットワークを介して、電子制御システムＳを構成する電子制御装置に搭載されたセキュリティセンサで生成されたセキュリティログを車両から受信する。そのため、攻撃分析装置１００が車両に搭載される場合と比較して、攻撃を分析し分析結果を車両にフィードバックするまでに時間を要する反面、車両側の処理負荷を軽減することが可能である。また、サーバ装置の豊富なリソースを用いることができるので、複雑かつ大量の演算を実行することが可能である。

その他の配置として、以下の例が考えられる。
電子制御システムＳが車両に搭載されず、静止体に搭載されていてもよい。
また、電子制御システムＳと攻撃分析装置１００が異なる車両に搭載され、直接又は基地局等を介して間接的に通信を行うようにしてもよい。

（２）電子制御システムＳの構成
（ａ）全体構成
図２は、電子制御システムＳの構成例を説明する図である。電子制御システムＳは、ＴＣＵ１１、ＩＶＩ１２、ＣＧＷ１３、ＥＣＵ１４、ＥＣＵ１５、ＥＣＵ１６、ＥＣＵ１７を有する。

ＴＣＵ１１（Telematics Control Unit）は、通信機能を有する電子制御装置（ＥＣＵ：Electric Control Unit）であり、外部の情報蓄積サーバやインターネットを介した通信を行うことにより、情報の送受信を行う。ＴＣＵ１１は電子制御システムＳの外部と通信を行うことで、外部からの攻撃の入り口となりうることから、エントリーポイントと呼ばれる。

ＩＶＩ１２（In-Vehicle Infotainment system）は、情報と娯楽を提供する機能を有するＥＣＵであるが、ＴＣＵ１１と同様通信機能を有し、外部の情報蓄積サーバやインターネットを介した通信を行うことにより、情報の送受信を行う。ＩＶＩ１２も電子制御システムＳの外部と通信を行うことで、外部からの攻撃の入り口となりうることから、エントリーポイントと呼ばれる。

ＣＧＷ１３（Central GateWay）は、主にゲートウェイ（ＧＷ）機能を有するＥＣＵである。例えば、ＴＣＵ１１やＩＶＩ１２で受信した情報を、ＣＡＮやＬＩＮをはじめとする車載ネットワークや、イーサネット（ＥＴＨ）等の通信ネットワークを介して接続されたＥＣＵ１４～１７に転送する。また、ＥＣＵ１４～１７から送信された情報を、ＴＣＵ１１やＩＶＩ１２に転送する。
ＣＧＷ１３には、ゲートウェイ機能以外の機能を搭載することもできる。
また、後述の攻撃分析装置１００を、ＣＧＷ１３の機能として搭載することもできる。

ＥＣＵ１４～１７は、ＣＧＷ１３とネットワークを介して接続されるＥＣＵである。図２では、ＥＣＵ１４及びＥＣＵ１５はイーサネットを介して接続されている。ＥＣＵ１６及びＥＣＵ１７は車載ネットワークであるＣＡＮを介して接続されている。ＥＣＵ１４～ＥＣＵ１７は、車両の各機能を実現する任意のＥＣＵであるが、エンジン、ハンドル、ブレーキ等の制御を行う駆動系電子制御装置、メータやパワーウインドウ等の制御を行う車体系電子制御装置、ナビゲーション装置等の情報系電子制御装置、あるいは、障害物や歩行者との衝突を防止するための制御を行う安全制御系電子制御装置が例として挙げられる。

以下の説明では、上述のＴＣＵ１１、ＩＶＩ１２、ＣＧＷ１３、ＥＣＵ１４、ＥＣＵ１５、ＥＣＵ１６、ＥＣＵ１７の固有の特徴に着目しない場合は、それぞれを各ＥＣＵ、あるいは単にＥＣＵと呼ぶ。

（ｂ）多層防御と層
多くの電子制御システムＳでは、攻撃に対するセキュリティ性を高めるために多層防御が採用されている。多層防御によれば、攻撃に対する対策としてセキュリティ機能を階層的・多層的に設けることで、攻撃を受けた場合に一の対策（すなわち、一層目）が突破されても、次の対策（すなわち、二層目）が攻撃を防御することができるため、電子制御システムの防御力を高めることができる。そのため、多層防御を採用した電子制御システムＳでは、セキュリティレベルが異なる複数の層が存在することとなる。そこで、電子制御システムＳをセキュリティレベルに応じて複数の層に分割し、各ＥＣＵをそれぞれいずれかの層に分類する。

図２に示す電子制御システムＳは三層の防御層を有する。この例では、ＴＣＵ１１及びＩＶＩ１２が第一層に属し、ＣＧＷ１３が第二層に属し、ＥＣＵ１４～１７が第三層に属している。
ＴＣＵ１１及びＩＶＩ１２は外部との通信機能を有するＥＣＵであり、これらのＥＣＵには車両外部から車両内部に入ってくるデータを監視するセキュリティ機能が搭載されている。このようなセキュリティ機能を有するＥＣＵによって監視される領域を第一層としている。
ＣＧＷ１３は、例えば、車両外部に接続されるＥＣＵへのネットワークと車両制御を行うＥＣＵへのネットワークとの間で通信されるデータを監視するセキュリティ機能が搭載された、ゲートウェイ機能を有するＥＣＵである。ＣＧＷ１３は、ＴＣＵ１１及びＩＶＩ１２とは異なるセキュリティ対策を行うものであり、ＣＧＷ１３によって監視される領域は、ＴＣＵ１１及びＩＶＩ１２によって防御される領域である第一層とは異なるセキュリティレベルを有する領域といえる。そこで、ＣＧＷ１３によって監視される領域を第二層としている。
ＥＣＵ１４～１７は、ＣＧＷ１３のセキュリティ機能を通過したデータのみが通信され、第二層とは異なるセキュリティレベルを有する領域といえる。そこで、ＥＣＵ１４～１７が属している領域を第三層としている。

なお、本実施例では三層の防御層を有していたが、四層以上の防御層を設けてもよい。例えば、サブゲートウェイＥＣＵを介して接続されているＥＣＵを第四層としてもよい。

また、本実施例で説明した階層はエントリーポイントを始点とした物理的な階層であるが、この全部または一部に代えて機能的な階層を用いてもよい。例えば、ＥＣＵ間でマスタースレーブ関係が設定されている場合が挙げられる。

（ｃ）セキュリティセンサ
電子制御システムＳを構成する各ＥＣＵには、ＥＣＵ内部やＥＣＵが接続されたネットワークを監視する単数又は複数のセキュリティセンサが搭載される。セキュリティセンサがＥＣＵ内部又はネットワークに発生した異常を検知すると、セキュリティログを生成・出力する。セキュリティログには、セキュリティセンサが異常を検知したことを示す異常検知信号が含まれる。

セキュリティセンサの例としては、ファイアウォール、プロキシ、ＣＡＮ―ＩＤＳ、ＣＡＮフィルタ、ＴＬＳ、ＭＡＣ検証、ファイルアクセス監視、セキュアブート、セキュアリプロ、ＣＦＩ、サンドボックス、認証などが挙げられる。

なお、セキュリティログには、異常検知信号の他、セキュリティセンサが検知した異常が発生した位置を示す異常位置情報、電子制御システムＳを特定する識別情報、セキュリティセンサが搭載されたＥＣＵを特定する識別情報、異常を検知したセキュリティセンサの識別情報、異常を検知した時刻、異常を検知した回数、異常を検知した順番、異常の検知前に受信したデータの内容やＩＰアドレス（送信元及び送信先）の情報、等を含んでもよい。

（ｄ）生存信号
各ＥＣＵのセキュリティセンサは、生存信号を生成し、各ＥＣＵが接続されたネットワークに向けて送信している。生存信号は、キープアライブ情報、又はハートビート情報と呼ばれることもある。

生存信号は、所定の周期で所定の信号を生成・送信されるものであるが、セキュリティセンサが動作をしているかどうか、及び／又は、セキュリティセンサが正常な動作をしているかどうかを判定するために用いられる。例えば、生存信号が全く送信されていなければ、セキュリティセンサは動作をしていないと判定できる、また、生存信号が所定の周期以外で送信されていた場合あるいは不規則に送信されていた場合は、セキュリティセンサ自体動作はしているが、正常な動作をしていないと判定できる。生存信号が所定の信号でない場合も、セキュリティセンサ自体動作はしているが、正常な動作はしていないと判定できる。

生存信号の内容は、本実施形態では所定の信号、例えば既知の数列を用いているが、セキュリティセンサに固有の情報や、セキュリティセンサの設定情報、その他内容に意味のある情報を用いるようにしてもよい。例えば、セキュリティセンサの設定情報を生存信号の内容にする場合、セキュリティセンサの異常パターン、ホワイトリスト、ブラックリスト、送信周期、セキュリティセンサのバージョン情報、証明書などが挙げられる。生存信号の内容を用いることにより、攻撃経路の推定の精度をさらに上げることができる。

生存信号の送信タイミングは、本実施形態では所定の周期としているが、これに代えて、又はこれと共に、セキュリティセンサの設定情報が変更された時、別プロセスから要求があった時、所定のセキュリティイベントが検出された時、に送信するようにしてもよい。

生存信号の送信主体は、本実施形態では生存信号により生死の判定の対象となるセキュリティセンサであるが、これに代えて、当該セキュリティセンサを監視している別プロセスやＥＣＵが、セキュリティセンサの動作状況の監視結果を生存信号として送信してもよい。

（３）攻撃分析装置１００の構成
図３を参照して、本実施形態の攻撃分析装置１００を説明する。攻撃分析装置１００は、前述の電子制御システムＳに対する攻撃を検知し、分析する装置である。攻撃分析装置１００は、セキュリティログ取得部１０１、生存信号取得部１０２、予測テーブル保存部１０３、攻撃経路推定部１０４、及び攻撃情報出力部１０５を有する。また、攻撃経路推定部１０４は、予測攻撃経路候補選択部１０６及び信頼度算出部１０７からなる。

攻撃分析装置１００は、車両に設ける場合、電子制御システムＳに車載ネットワークで接続して設けるようにしてもよい。あるいは、電子制御システムＳの内部に設けるようにしてもよい。例えば、ＣＧＷ１３やＴＣＵ１１の一機能として設けるようにしてもよい。

攻撃分析装置１００は、汎用のＣＰＵ（Central Processing Unit）、ＲＡＭ等の揮発性メモリ、ＲＯＭ、フラッシュメモリ、又はハードディスク等の不揮発性メモリ、各種インターフェース、及びこれらを接続する内部バスで構成することができる。そして、これらのハードウェア上でソフトウェアを実行することにより、図３に記載の各機能ブロックの機能を発揮させるように構成することができる。
もちろん、攻撃分析装置１００を、ＬＳＩ等の専用のハードウェアで実現してもよい。

攻撃分析装置１００は、本実施形態では半完成品としての電子制御装置（ＥＣＵ（Electric Control Unit）、以下ＥＣＵと略する。）の形態を想定しているが、これに限らない。例えば、部品の形態としては、半導体回路や半導体モジュール、半完成品の形態としては、電子制御装置、電子制御ユニット、システムボード、完成品の形態としては、サーバ、ワークステーション、パーソナルコンピュータ（ＰＣ）、タブレット、スマートフォン、携帯電話、ナビゲーションシステムが挙げられる。
なお、攻撃分析装置１００は、単一のＥＣＵの他、複数のＥＣＵで構成されてもよい。

セキュリティログ取得部１０１は、電子制御システムＳを構成するＥＣＵに搭載された「セキュリティセンサ」で生成されるとともにセキュリティセンサが異常を検知したことを示す異常検知信号を含むセキュリティログを取得する。例えば、図１（ａ）の配置の場合は、電子制御システムＳのＴＣＵ１１、ＣＧＷ１３、又はＥＣＵ１４～１７等に搭載されたセキュリティセンサが車載ネットワークに出力したセキュリティログを、車載ネットワークに接続されたセキュリティログ取得部１０１で受信することにより取得する。図１（ｂ）の配置の場合は、電子制御システムＳのＴＣＵ１１、ＣＧＷ１３、又はＥＣＵ１４～１７等に搭載されたセキュリティセンサが車載ネットワークに出力し、ＴＣＵ１１から無線通信を用いて送信されたセキュリティログを、インターネット等のネットワークに接続されたセキュリティログ取得部１０１で受信することにより取得する。

ここで、「セキュリティセンサ」とは、電子制御システムを構成する電子制御装置やネットワークを監視し、セキュリティイベント発生時にセキュリティログを出力する機能をいい、実現手段は問わない。

生存信号取得部１０２は、電子制御システムＳを構成するＥＣＵに搭載されたセキュリティセンサの「生存信号」を取得する。例えば、図１（ａ）の配置の場合は、電子制御システムＳのＴＣＵ１１、ＣＧＷ１３、又はＥＣＵ１４～１７等に搭載されたセキュリティセンサが車載ネットワークに出力した生存信号を、車載ネットワークに接続された生存信号取得部１０２で受信することにより取得する。図１（ｂ）の配置の場合は、電子制御システムＳのＴＣＵ１１、ＣＧＷ１３、又はＥＣＵ１４～１７等に搭載されたセキュリティセンサが車載ネットワークに出力し、ＴＣＵ１１から無線通信を用いて送信された生存信号を、インターネット等のネットワークに接続された生存信号取得部１０２で受信することにより取得する。

ここで、「生存信号」とは、セキュリティセンサの動作の有無、及び／又は、セキュリティセンサの正常動作の有無、を直接的又は間接的に示す信号をいう。

なお、セキュリティログ取得部１０１と生存信号取得部１０２は、１つの取得部で実現してもよい。

予測テーブル保存部１０３は、電子制御システムＳにおける予測攻撃起点及び予測攻撃対象で特定される予測攻撃経路と、セキュリティセンサで生成されることが予測される予測異常検知信号との対応関係を示す予測テーブルを保存している。予測テーブルは、パターンマッチングテーブル、あるいはマッチングテーブルと呼ばれることもある。

図４は、予測テーブルの一例を示す図である。図４の予測テーブルは、予測攻撃起点から予測攻撃対象に対する攻撃があった場合に、各ＥＣＵに搭載されたどのセキュリティセンサが異常を検知するかを関係付けたものである。図４では、１が異常を検知している状態、０が異常を検知していない状態を表している。すなわち、図４の予測攻撃起点と予測攻撃対象が「予測攻撃経路」に相当し、各セキュリティセンサの０又は１が「予測異常検知信号」に相当している。
例えば、事象Ｅ１は、予測攻撃起点を外部、予測攻撃対象をＣＧＷ１３とする予測攻撃経路である場合に、ＣＧＷ１３のセキュリティセンサＥ、Ｆ、Ｇが異常を検知すること、すなわち予測異常検知信号を出力することを示している。事象Ｅ２及び事象Ｅ３も同様のルールで予測攻撃経路と予測異常検知信号とが関連付けられている。

本実施形態では、予測攻撃経路は、予測攻撃起点と予測攻撃対象で定められているが、予測攻撃起点から予測攻撃対象までの間に経由するＥＣＵの情報を含めてもよい。

本実施形態では、ＴＣＵ１１、ＣＧＷ１３、及びＥＣＵ１４のセキュリティセンサの予測異常検知信号のパターンを用いているが、その他の各ＥＣＵに搭載されたセキュリティセンサの予測異常検知信号のパターンも用いるようにしてもよい。

図３に戻り、攻撃経路推定部１０４は、予測テーブルを用いて、セキュリティログに含まれる異常検知信号及び生存信号から、電子制御システムが受けた攻撃の攻撃経路を推定する。

望ましくは、攻撃経路推定部１０４は、予測攻撃経路候補選択部１０６を有する。
さらに望ましくは、攻撃経路推定部１０４は、信頼度算出部１０７を有する。

予測攻撃経路候補選択部１０６は、予測テーブルを用いて、異常検知信号と予測異常検知信号とを比較することにより予測攻撃経路から予測攻撃経路候補を選択する。
信頼度算出部１０７は、生存信号を用いて、予測攻撃経路候補の確からしさを示す「信頼度」を求める。

ここで、「信頼度」とは、確からしさの程度を示すものであれば足り、数値で示される場合の他、規格化された値や、記号や集合で示される場合も含む。

攻撃情報出力部１０５は、攻撃経路推定部１０４で推定した攻撃経路を示す攻撃情報を出力する。
望ましくは、攻撃情報出力部１０５は、予測攻撃経路候補選択部１０６で選択した予測攻撃経路候補を推定した攻撃経路として、攻撃情報を出力する。
さらに望ましくは、攻撃情報出力部１０５は、予測攻撃経路候補選択部１０６で選択した予測攻撃経路候補及び信頼度算出部１０７で求めた信頼度を推定した攻撃経路として、攻撃情報を出力する。

以下に、実施例として、具体的な攻撃経路推定部１０４の推定方法及び攻撃情報出力部１０５が出力する攻撃情報の内容を、図５～図７を用いて説明する。図５～図７は、図４の予測テーブルを用いた予測攻撃経路候補の選択方法及び信頼度の算出方法を説明する図である。

（ａ）実施例１
本実施例は、予測テーブルから求めた信頼度を、生存信号を用いて補正する例である。以下、図５を用いてその処理を説明する。

ＣＧＷ１３のセキュリティセンサＦが異常検知信号を出力し、セキュリティログ取得部１０１がこの異常検知信号を受信したとする。また、ＴＣＵ１１のセキュリティセンサＡが、セキュリティセンサＡ自体の動作が異常であることを示す生存信号を出力し、生存信号取得部１０２がこの生存信号を受信したとする。

予測攻撃経路候補選択部１０６は、予測テーブルの中から、セキュリティセンサＦが予測異常検知信号を検出する事象を、異常検知信号と予測異常検知信号とを比較することにより選択する。図５の場合、セキュリティセンサＦが予測異常検知信号を検出する事象は、事象Ｅ１及び事象Ｅ３であるから、事象Ｅ１及び事象Ｅ３を予測攻撃経路候補として選択する。

信頼度算出部１０７は、予測攻撃経路候補選択部１０６で選択した予測攻撃経路候補の信頼度を求める。例えば、各予測攻撃経路候補の異常検知信号と予測異常検知信号の割合や、センサの重要度を踏まえた重みづけ、その他所定の演算を用いて信頼度を算出する。事象Ｅ１は、異常検知信号がセキュリティセンサＦのみであるのに対し、予測異常検知信号はセキュリティセンサＥ、Ｆ、Ｇであることを踏まえ、所定の演算で信頼度を０．５としている。事象Ｅ３は、異常検知信号がセキュリティセンサＦのみであるのに対し、予測異常検知信号はセキュリティセンサＡ、Ｄ、Ｆ、Ｇであることを踏まえ、所定の演算で信頼度を０．４としている。

さらに、生存信号が「セキュリティセンサＡ自体の動作が異常であること」を示しているので、信頼度算出部１０７は、セキュリティセンサＡ（「異常セキュリティセンサ」に相当）を有するＴＣＵ１１が経路に含まれる予測攻撃経路候補の信頼度を上げる処理を行う。図５の場合、予測攻撃起点から予測攻撃対象までの間にＴＣＵ１１が確実に含まれているのは事象Ｅ３であるので、事象Ｅ３の信頼度に予め定めた値、本実施例ではαを加え、これを事象Ｅ３の新たな信頼度とする。αは、定数でもよいし、条件により変化する変数でもよい。なお、事象Ｅ１は、エントリーポイントとしてＩＶＩ１２を経由している可能性があり、ＴＣＵ１１が経路に確実に含まれているとは言えないので、信頼度の補正は行わない。

ここで、「セキュリティセンサ自体の動作が異常であること」とは、セキュリティセンサが動作していない、又は、セキュリティセンサの動作が正常でないことをいう。

攻撃情報出力部１０５は、予測攻撃経路候補である事象Ｅ１及び事象Ｅ３を攻撃経路として攻撃情報を出力する。この際、攻撃経路として、事象Ｅ１の信頼度（０．５）及び事情Ｅ３の信頼度（０．４＋α）を含めて出力してもよい。

なお、本実施例の説明では、セキュリティセンサＡの生存信号を受信している場合を例に挙げているが、生存信号を受信しない場合も、セキュリティセンサＡが動作していないとして、同様の処理を行う。すなわち、「生存信号がセキュリティセンサ自体の動作が異常であることを示す場合」とは、「生存信号を受信しないことによりセキュリティセンサ自体の動作が異常であることを示す場合」も含む概念である。後述の実施例２においても同様である。

また、本実施例の説明では、まず生存信号を用いずに信頼度を求め、次に生存信号を用いて信頼度の補正を行っているが、このような２段階の演算によらずに信頼度を求めるようにしてもよい。後述の実施例３も同様である。

本実施例によれば、従来の異常検知信号に加えて生存信号を用いて信頼度を求めているので、攻撃経路推定部１０４の推定の精度を上げることができる。
さらに、セキュリティセンサが攻撃により動作が異常になった可能性を加味した信頼度の算出方法を採用しているので、攻撃経路の推定の精度を上げることができる。

（ｂ）実施例２
本実施例は、生存信号を用い、使用する予測テーブルの部分を限定して信頼度を求める例である。以下、図６を用いてその処理を説明する。

受信する異常検知信号及び生存信号は、実施例１と同様である。すなわち、ＣＧＷ１３のセキュリティセンサＦが異常検知信号を出力し、セキュリティログ取得部１０１がこの異常検知信号を受信したとする。また、ＴＣＵ１１のセキュリティセンサＡが、セキュリティセンサＡ自体の動作が異常であることを示す生存信号を出力し、生存信号取得部１０２がこの生存信号を受信したとする。

予測攻撃経路候補選択部１０６の動作も実施例1と同様である。すなわち、予測攻撃経路候補選択部１０６は、予測テーブルの中から、セキュリティセンサＦが予測異常検知信号を検出する事象を、異常検知信号と予測異常検知信号とを比較することにより選択する。図６の場合、セキュリティセンサＦが予測異常検知信号を検出する事象は、事象Ｅ１及び事象Ｅ３であるから、事象Ｅ１及び事象Ｅ３を予測攻撃経路候補として選択する。

信頼度算出部１０７は、予測攻撃経路候補選択部１０６で選択した予測攻撃経路候補の信頼度を求める。もっとも、生存信号が「セキュリティセンサＡ自体の動作が異常であること」を示している場合は、セキュリティセンサＡ（「異常セキュリティセンサ」に相当）に対応する予測異常検知信号を信頼度の算出に用いない。

本実施例も実施例１と同様の演算を用いて信頼度を算出する。事象Ｅ１は、異常検知信号がセキュリティセンサＦのみであるのに対し、予測異常検知信号はセキュリティセンサＥ、Ｆ、Ｇであることを踏まえ、所定の演算で信頼度を０．５としている。これに対し、事象Ｅ３は、異常検知信号がセキュリティセンサＦのみであるのに対し、予測異常検知信号はセキュリティセンサＡ、Ｄ、Ｆ、Ｇである。しかし、生存信号がセキュリティセンサＡ自体の動作が異常であることを示していることから、セキュリティセンサＡの予測異常検知信号を信頼度の算出に用いない。この結果、信頼度を＝０．５としている。

攻撃情報出力部１０５は、予測攻撃経路候補である事象Ｅ１及び事象Ｅ３を攻撃経路として攻撃情報を出力する。この際、攻撃経路として、事象Ｅ１の信頼度（０．５）及び事情Ｅ３の信頼度（０．５）を含めて出力してもよい。

本実施例によれば、従来の異常検知信号に加えて生存信号を用いて信頼度を求めているので、攻撃経路推定部１０４の推定の精度を上げることができる。
さらに、セキュリティセンサが攻撃により動作が異常になった可能性を加味した信頼度の算出方法を採用しているので、攻撃経路の推定の精度を上げることができる。

（ｃ）実施例３
本実施例は、実施例１及び実施例２と異なり、セキュリティセンサの動作が正常であることを示している場合の例である。以下、図７を用いてその処理を説明する。

受信する異常検知信号は、実施例１と同様である。すなわち、ＣＧＷ１３のセキュリティセンサＦが異常検知信号を出力し、セキュリティログ取得部１０１がこの異常検知信号を受信したとする。これに対し、本実施例では、ＥＣＵ１４のセキュリティセンサＪが、セキュリティセンサＪ自体の動作が正常であることを示す生存信号を出力し、生存信号取得部１０２がこの生存信号を受信したとする。

予測攻撃経路候補選択部１０６の動作は実施例１と同様である。すなわち、予測攻撃経路候補選択部１０６は、予測テーブルの中から、セキュリティセンサＦが予測異常検知信号を検出する事象を、異常検知信号と予測異常検知信号とを比較することにより選択する。図７の場合、セキュリティセンサＦが予測異常検知信号を検出する事象は、事象Ｅ１及び事象Ｅ３であるから、事象Ｅ１及び事象Ｅ３を予測攻撃経路候補として選択する。

信頼度算出部１０７における信頼度の求め方も実施例１と同様である。すなわち、事象Ｅ１の信頼度は０．５である。事象Ｅ３の信頼度は０．４である。

さらに、生存信号が「セキュリティセンサＪ自体の動作が正常であること」を示しているので、信頼度算出部１０７は、セキュリティセンサＪ（「正常セキュリティセンサ」に相当）を有するＥＣＵ１４が経路に含まれない予測攻撃経路候補の信頼度を上げる処理を行う。図７の場合、予測攻撃起点から予測攻撃対象までの間にＥＣＵ１４が含まれていないのは事象Ｅ１及び事象Ｅ３であるので、事象Ｅ１及び事象Ｅ３の信頼度に予め定めた値、本実施例ではαを加え、これを事象Ｅ１及び事象Ｅ３の新たな信頼度とする。αは、定数でもよいし、条件により変化する変数でもよい。

ここで、「セキュリティセンサ自体の動作が正常であること」とは、セキュリティセンサが動作しており、かつ、セキュリティセンサが正常に動作していることをいう。

攻撃情報出力部１０５は、予測攻撃経路候補である事象Ｅ１及び事象Ｅ３を攻撃経路として攻撃情報を出力する。この際、攻撃経路として、事象Ｅ１の信頼度（０．５＋α）及び事情Ｅ３の信頼度（０．４＋α）を含めて出力してもよい。

本実施例によれば、従来の異常検知信号に加えて生存信号を用いて信頼度を求めているので、攻撃経路推定部１０４の推定の精度を上げることができる。
さらに、セキュリティセンサの動作が正常であることを加味した信頼度の算出方法を採用しているので、攻撃経路の推定の精度を上げることができる。

（ｄ）その他の実施例
実施例１では、動作が異常であるセキュリティセンサが搭載されたＥＣＵが予測攻撃経路に含まれるかどうかで信頼度の補正の要否を決定しているが、これは、動作が異常であるセキュリティセンサ自体が予測攻撃経路に含まれるかどうかで信頼度の補正の要否を決定することと同義である。
また、実施例１において、動作が異常であるセキュリティセンサが搭載されたＥＣＵの属する層が予測攻撃経路に含まれるかどうかで信頼度の補正の要否を決定するようにしてもよい。実施例３も同様である。

実施例１～３では、予測攻撃経路候補選択部１０６で選択された予測攻撃経路候補の全てを攻撃経路として攻撃情報出力部１０５から出力しているが、予測攻撃経路候補の一部のみを攻撃経路として出力してもよい。例えば、信頼度の高い方から３番目までの予測攻撃経路候補を攻撃経路として出力してもよい。

実施例１～３では、予測テーブルにおける予測攻撃経路を有する事象のみを取り上げているが、これに加え、セキュリティセンサ自体の誤反応を事象に加えてもよい。図４～７の場合、Ｅ５がセキュリティセンサ自体の誤反応を示す事象である。

（４）攻撃分析装置１００の動作
図８を参照して、攻撃分析装置１００の動作を説明する。図８は、攻撃分析装置１００で実行される攻撃分析方法を示すだけでなく、攻撃分析装置１００で実行可能な攻撃分析プログラムの処理手順を示すものでもある。そして、これらの処理は、図８に示した順序には限定されない。すなわち、あるステップでその前段のステップの結果を利用する関係にある等の制約がない限り、順序を入れ替えてもよい。

攻撃分析装置１００は、電子制御システムＳにおける予測攻撃起点及び予測攻撃対象で特定される予測攻撃経路と、セキュリティセンサで生成されることが予測される予測異常検知信号との対応関係を示す予測テーブルを保存する予測テーブル保存部（１０３）を有している。

電子制御システムＳを構成する電子制御装置に搭載されたセキュリティセンサで生成されるとともに前記セキュリティセンサが異常を検知したことを示す異常検知信号を含むセキュリティログを取得する（Ｓ１０１）。

セキュリティセンサの生存信号を取得する（Ｓ１０２）。

予測テーブルを予測テーブル保存部１０３から読み出し、Ｓ１０１で取得したセキュリティログに含まれる異常検知信号、及びＳ１０２で取得した生存信号から、電子制御システムＳが受けた攻撃の攻撃経路を推定する（Ｓ１０３）。

Ｓ１０３で推定した攻撃経路を示す攻撃情報を出力する（Ｓ１０４）。

（５）小括
以上、本開示の攻撃分析装置１００によれば、電子制御システムＳがサイバー攻撃を受けた場合に、電子制御システムＳを構成する電子制御装置に搭載されたセキュリティセンサの生存信号を用いて、推定した攻撃経路の信頼度を求めている。生存信号は、セキュリティセンサの機能の生死やセキュリティセンサの動作の正常・異常を客観的に評価可能な信号であるので、攻撃経路の信頼性の評価に用いることにより、従来の異常検知信号のみを用いた場合に比べ、より正確に攻撃経路を推定することができる。
また、生存信号は、攻撃による被害状況の推定にも用いることができる。例えば、攻撃によりセキュリティセンサが無効化されているという状況や、攻撃によりＥＣＵが攻撃者に操作されているという状況を推定することができる。

２．その他の発明
第１の実施形態では、生存信号や生存信号の内容を用いて攻撃経路の信頼度を求めた。もっとも、生存信号の内容として例示したセキュリティセンサの設定情報は、生存信号とは別の信号として車載ネットワークに出力することも可能である。このようなセキュリティセンサの設定情報を用いる場合、生存信号は攻撃経路の信頼度を求めるために必ずしも用いる必要はない。
セキュリティセンサの設定情報の例として、セキュリティセンサの異常パターン、ホワイトリスト、ブラックリスト、送信周期、セキュリティセンサのバージョン情報、証明書などが挙げられる。

生存信号に代えてセキュリティセンサの設定情報を用いる場合、以下の発明として把握できる。

電子制御システムを構成する電子制御装置に搭載されたセキュリティセンサで生成されるとともに前記セキュリティセンサが異常を検知したことを示す異常検知信号を含むセキュリティログを取得するセキュリティログ取得部（１０１）と、
前記セキュリティセンサの設定情報を取得する生存信号取得部と、
前記電子制御システムにおける予測攻撃経路と、前記セキュリティセンサで生成されることが予測される予測異常検知信号との対応関係を示す予測テーブルを保存する予測テーブル保存部（１０３）と、
前記予測テーブルを用いて、前記セキュリティログに含まれる前記異常検知信号及び前記設定情報から、前記電子制御システムが受けた攻撃の攻撃経路を推定する攻撃経路推定部（１０４）と、
前記攻撃経路を示す攻撃情報を出力する攻撃情報出力部（１０５）と、を有する、
攻撃分析装置（１００）。

３．総括
以上、本発明の各実施形態における攻撃分析装置等の特徴について説明した。

各実施形態で使用した用語は例示であるので、同義の用語、あるいは同義の機能を含む用語に置き換えてもよい。

実施形態の説明に用いたブロック図は、装置の構成を機能毎に分類及び整理したものである。それぞれの機能を示すブロックは、ハードウェア又はソフトウェアの任意の組み合わせで実現される。また、機能を示したものであることから、かかるブロック図は方法の発明、及び当該方法を実現するプログラムの発明の開示としても把握できるものである。

各実施形態に記載した処理、フロー、及び方法として把握できる機能ブロック、については、一のステップでその前段の他のステップの結果を利用する関係にある等の制約がない限り、順序を入れ替えてもよい。

各実施形態、及び特許請求の範囲で使用する、第１、第２、乃至、第Ｎ（Ｎは整数）、の用語は、同種の２以上の構成や方法を区別するために使用しており、順序や優劣を限定するものではない。

各実施形態は、車両に搭載される電子制御システムに対する攻撃を分析するための車両用攻撃分析装置を前提としているが、本発明は、特許請求の範囲で特に限定する場合を除き、車両用以外の専用又は汎用の装置も含むものである。

また、本発明の攻撃分析装置の形態の例として、以下のものが挙げられる。
部品の形態として、半導体素子、電子回路、モジュール、マイクロコンピュータが挙げられる。
半完成品の形態として、電子制御装置（ＥＣＵ（Electric Control Unit））、システムボードが挙げられる。
完成品の形態として、携帯電話、スマートフォン、タブレット、パーソナルコンピュータ（ＰＣ）、ワークステーション、サーバが挙げられる。
その他、通信機能を有するデバイス等を含み、例えばビデオカメラ、スチルカメラ、カーナビゲーションシステムが挙げられる。

また攻撃分析装置に、アンテナや通信用インターフェースなど、必要な機能を追加してもよい。

本発明の攻撃分析装置は、特にサーバ側で用いられることにより、各種サービスの提供を目的とするために用いられることが想定される。かかるサービスの提供に伴い、本発明の攻撃分析装置が使用され、本発明の方法が使用され、又は／及び本発明のプログラムが実行されることになる。

加えて、本発明は、各実施形態で説明した構成及び機能を有する専用のハードウェアで実現できるだけでなく、メモリやハードディスク等の記録媒体に記録した本発明を実現するためのプログラム、及びこれを実行可能な専用又は汎用ＣＰＵ及びメモリ等を有する汎用のハードウェアとの組み合わせとしても実現できる。

専用や汎用のハードウェアの非遷移的実体的記録媒体（例えば、外部記憶装置（ハードディスク、ＵＳＢメモリ、ＣＤ／ＢＤ等）、又は内部記憶装置（ＲＡＭ、ＲＯＭ等））に格納されるプログラムは、記録媒体を介して、あるいは記録媒体を介さずにサーバから通信回線を経由して、専用又は汎用のハードウェアに提供することもできる。これにより、プログラムのアップグレードを通じて常に最新の機能を提供することができる。

本発明の攻撃分析装置は、主として自動車に搭載された電子制御システムが受けたサイバー攻撃を分析する装置を対象としているが、自動車に搭載されない通常のシステムに対する攻撃を分析する装置を対象としてもよい。

１００ 攻撃分析装置、１０１ セキュリティログ取得部、１０２ 生存信号取得部、１０３ 予測テーブル保存部、１０４ 攻撃経路推定部、１０５ 攻撃情報出力部、１０６ 予測攻撃経路候補選択部、１０７ 信頼度算出部

Claims (12)

1. 電子制御システムを構成する電子制御装置に搭載されたセキュリティセンサで生成されるとともに前記セキュリティセンサが異常を検知したことを示す異常検知信号を含むセキュリティログを取得するセキュリティログ取得部（１０１）と、
   前記セキュリティセンサの生存信号を取得する生存信号取得部（１０２）と、
   前記電子制御システムにおける予測攻撃経路と、前記セキュリティセンサで生成されることが予測される予測異常検知信号との対応関係を示す予測テーブルを保存する予測テーブル保存部（１０３）と、
   前記予測テーブルを用いて、前記セキュリティログに含まれる前記異常検知信号及び前記生存信号から、前記電子制御システムが受けた攻撃の攻撃経路を推定する攻撃経路推定部（１０４）と、
   前記攻撃経路を示す攻撃情報を出力する攻撃情報出力部（１０５）と、を有する、
   攻撃分析装置（１００）。
2. 前記攻撃経路推定部は、
   前記予測テーブルを用いて、前記異常検知信号と前記予測異常検知信号とを比較することにより前記予測攻撃経路から予測攻撃経路候補を選択する予測攻撃経路候補選択部（１０６）を有し、
   前記攻撃情報出力部は、前記予測攻撃経路候補を前記攻撃経路として前記攻撃情報を出力する、
   請求項１記載の攻撃分析装置。
3. 前記攻撃経路推定部は、さらに、
   前記生存信号を用いて、前記予測攻撃経路候補の確からしさを示す信頼度を求める信頼度算出部（１０７）を有し、
   前記攻撃情報出力部は、前記予測攻撃経路候補及び前記信頼度を前記攻撃経路として前記攻撃情報を出力する、
   請求項２記載の攻撃分析装置。
4. 前記生存信号が前記セキュリティセンサ自体の動作が異常であることを示す場合、
   前記信頼度算出部は、前記セキュリティセンサである異常セキュリティセンサが経路に含まれる予測攻撃経路候補の信頼度を上げる処理を行う、
   請求項３記載の攻撃分析装置。
5. 前記生存信号が前記セキュリティセンサ自体の動作が異常であることを示す場合、
   前記信頼度算出部は、前記セキュリティセンサである異常セキュリティセンサに対応する前記予測異常検知信号を信頼度の算出に用いない、
   請求項３記載の攻撃分析装置。
6. 前記生存信号が前記セキュリティセンサ自体の動作が正常であることを示す場合、
   前記信頼度算出部は、前記セキュリティセンサである正常セキュリティセンサが経路に含まれない予測攻撃経路候補の信頼度を上げる処理を行う、
   請求項３記載の攻撃分析装置。
7. 前記生存信号は、所定の周期で前記セキュリティセンサから送信される、
   請求項１～６記載の攻撃分析装置。
8. 前記予測攻撃経路は、予測攻撃起点及び予測攻撃対象で特定される、
   請求項１記載の攻撃分析装置。
9. 前記電子制御システム及び当該攻撃分析装置は、移動体に搭載されている、
   請求項１～８記載の攻撃分析装置。
10. 前記電子制御システムは、移動体に搭載されており、
    当該攻撃分析装置は、前記移動体の外部に設置されたサーバ装置である、
    請求項１～８記載の攻撃分析装置。
11. 攻撃分析装置で実行される攻撃分析方法であって、前記攻撃分析装置は、電子制御システムにおける予測攻撃経路と、セキュリティセンサで生成されることが予測される予測異常検知信号との対応関係を示す予測テーブルを保存する予測テーブル保存部（１０３）を有し、
    当該攻撃分析方法は、
    前記電子制御システムを構成する電子制御装置に搭載された前記セキュリティセンサで生成されるとともに前記セキュリティセンサが異常を検知したことを示す異常検知信号を含むセキュリティログを取得し（Ｓ１０１）、
    前記セキュリティセンサの生存信号を取得し（Ｓ１０２）、
    前記予測テーブルを読み出し、前記セキュリティログに含まれる前記異常検知信号及び前記生存信号から、前記電子制御システムが受けた攻撃の攻撃経路を推定し（Ｓ１０３）、
    前記攻撃経路を示す攻撃情報を出力する（Ｓ１０４）、
    攻撃分析方法。
12. 攻撃分析装置で実行可能な攻撃分析プログラムであって、前記攻撃分析装置は、電子制御システムにおける予測攻撃経路と、セキュリティセンサで生成されることが予測される予測異常検知信号との対応関係を示す予測テーブルを保存する予測テーブル保存部（１０３）を有し、
    当該攻撃分析プログラムは、
    前記電子制御システムを構成する前記電子制御装置に搭載された前記セキュリティセンサで生成されるとともに前記セキュリティセンサが異常を検知したことを示す異常検知信号を含むセキュリティログを取得し（Ｓ１０１）、
    前記セキュリティセンサの生存信号を取得し（Ｓ１０２）、
    前記予測テーブルを読み出し、前記セキュリティログに含まれる前記異常検知信号及び前記生存信号から、前記電子制御システムが受けた攻撃の攻撃経路を推定し（Ｓ１０３）、
    前記攻撃経路を示す攻撃情報を出力する（Ｓ１０４）、
    攻撃分析プログラム。

Images