JP2023028510A - 検知ルール出力方法、及び、セキュリティシステム - Google Patents

検知ルール出力方法、及び、セキュリティシステム Download PDF

Info

Publication number
JP2023028510A
JP2023028510A JP2021134255A JP2021134255A JP2023028510A JP 2023028510 A JP2023028510 A JP 2023028510A JP 2021134255 A JP2021134255 A JP 2021134255A JP 2021134255 A JP2021134255 A JP 2021134255A JP 2023028510 A JP2023028510 A JP 2023028510A
Authority
JP
Japan
Prior art keywords
information
detection
attack
vehicle
detection rule
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2021134255A
Other languages
English (en)
Other versions
JP7523855B2 (ja
Inventor
章人 竹内
Akito Takeuchi
信貴 川口
Nobutaka Kawaguchi
唯之 鳥崎
Tadayuki Torisaki
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Panasonic Intellectual Property Management Co Ltd
Original Assignee
Panasonic Intellectual Property Management Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Panasonic Intellectual Property Management Co Ltd filed Critical Panasonic Intellectual Property Management Co Ltd
Priority to JP2021134255A priority Critical patent/JP7523855B2/ja
Priority to PCT/JP2022/024699 priority patent/WO2023021840A1/ja
Publication of JP2023028510A publication Critical patent/JP2023028510A/ja
Priority to US18/441,826 priority patent/US20240223581A1/en
Application granted granted Critical
Publication of JP7523855B2 publication Critical patent/JP7523855B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Medical Informatics (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Small-Scale Networks (AREA)

Abstract

【課題】検知ルールを容易に生成し出力することが可能な検知ルール出力方法等を提供する。【解決手段】検知ルール出力方法は、車両におけるログ情報に基づいて攻撃内容を判定するセキュリティシステムにおいて用いられる検知ルールを出力する検知ルール出力方法であって、車両に搭載される車載ネットワークの構成に関する車両構成情報と、車両に搭載される１以上のＩＤＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）に関するＩＤＳ情報と、車両において検知する対象となる攻撃に関する検知対象攻撃情報とを取得し（Ｓ１０～Ｓ３０）、車両構成情報、ＩＤＳ情報、及び、検知対象攻撃情報に基づいて生成した、車両において異常の発生した箇所と当該箇所で発生した異常を検知するための検知ルールを、セキュリティシステムに備えられた記憶装置に対して出力する（Ｓ５０）。【選択図】図６

Description

本開示は、検知ルール出力方法、及び、セキュリティシステムに関する。
近年、自動車（車両の一例）の中のシステムには、電子制御ユニット（以下、ＥＣＵ）と呼ばれる装置が多数配置されている。これらのＥＣＵをつなぐネットワークは、車載ネットワークと呼ばれる。このような車載ネットワークを有する車両には、例えば、インターネット等の外部ネットワークへの接続機能を有している、いわゆるコネクテッドカーと呼ばれる車両がある。コネクテッドカーでは、攻撃者が車両外部のネットワークから車載ネットワークに侵入し、車両を不正に制御する脅威が指摘されており、セキュリティの検討が進んでいる。
例えば、特許文献１には、車載通信ネットワーク（車載ネットワーク）上の通信トラフィックデータを監視して、車両動作に影響する通信トラフィックデータの異常を識別する技術が開示されている。
特許第６３８２７２４号公報
ところで、特許文献１の技術において異常を判定するためには、異常を定義するためのルール（検知ルール）が必要となる。流れる通信トラフィックデータ、及び、車載ネットワークの構成は例えば車種により異なることが想定されるため、車種毎の検知ルールが異常を検知するための装置に出力されることが望まれる。
しかしながら、車種毎に検知ルールを生成して出力するにはかなりの労力が必要であり、容易に行うことができない。また、特許文献１には、検知ルールの出力については開示されていない。
そこで、本開示は、検知ルールを容易に生成して出力することが可能な検知ルール出力方法、及び、セキュリティシステムを提供する。
本開示の一態様に係る検知ルール出力方法は、車両におけるログ情報に基づいて攻撃内容を判定するセキュリティシステムにおいて用いられる検知ルールを出力する検知ルール出力方法であって、前記車両に搭載される車載ネットワークの構成に関する車両構成情報と、前記車両に搭載される１以上のＩＤＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）に関するＩＤＳ情報と、前記車両において検知する対象となる攻撃に関する検知対象攻撃情報とを取得し、前記車両構成情報、前記ＩＤＳ情報、及び、前記検知対象攻撃情報に基づいて生成した、前記車両において異常の発生した箇所と当該箇所で発生した異常とを検知するための検知ルールを、前記セキュリティシステムに備えられた記憶装置に対して出力する。
本開示の一態様に係るセキュリティシステムは、上記の検知ルール出力方法で出力された検知ルールを記憶する記憶部と、前記ログ情報を取得する取得部と、前記検知ルールと、前記ログ情報とに基づいて、車両における攻撃内容を判定する判定部とを備える。
本開示の一態様によれば、検知ルールを容易に生成して出力することが可能な検知ルール出力方法等を実現することができる。
図１は、実施の形態１に係る検知ルール生成装置の機能構成を示すブロック図である。 図２Ａは、実施の形態１に係る車両構成情報の一例を示す図である。 図２Ｂは、実施の形態１に係る接続関係を示す情報の一例を示す図である。 図３Ａは、実施の形態１に係るＩＤＳ情報の一例を示す図である。 図３Ｂは、実施の形態１に係る出力検知ログの一例を示す図である。 図４は、実施の形態１に係る検知対象攻撃情報の一例を示す図である。 図５は、実施の形態１に係る検知ルール生成装置における検知ルールの生成を説明するための図である。 図６は、実施の形態１に係る検知ルール生成装置の動作を示すフローチャートである。 図７Ａは、図６に示すステップＳ４０の詳細の第１例を示すフローチャートである。 図７Ｂは、攻撃進行度合いに関する検知ルールの一例を示す図である。 図７Ｃは、攻撃進行度合いに関する検知ルールの他の一例を示す図である。 図８Ａは、図６に示すステップＳ４０の詳細の第２例を示すフローチャートである。 図８Ｂは、攻撃経路に関する検知ルールの一例を示す図である。 図９Ａは、図６に示すステップＳ４０の詳細の第３例を示すフローチャートである。 図９Ｂは、異常内容に関する検知ルールの一例を示す図である。 図１０Ａは、図６に示すステップＳ４０の詳細の第４例を示すフローチャートである。 図１０Ｂは、攻撃シナリオに関する検知ルールの一例を示す図である。 図１１は、実施の形態２に係る検知ルール生成装置の機能構成を示すブロック図である。 図１２は、実施の形態２に係る検知ルール生成装置の動作を示すフローチャートである。 図１３は、実施の形態３に係る検知ルール生成装置の機能構成を示すブロック図である。 図１４は、実施の形態３に係る検知ルール生成装置の動作を示すフローチャートである。 図１５は、本開示に係る検知ルール生成装置が生成した検知ルールを用いた異常検知システムの機能構成の第１例を示すブロック図である。 図１６は、本開示に係る検知ルール生成装置が生成した検知ルールを用いた異常検知システムの機能構成の第２例を示すブロック図である。 図１７は、本実施の形態に係る異常検知システムにおける異常検知動作の第１例を示すフローチャートである。 図１８は、本実施の形態に係る異常検知システムにおける異常検知動作の第２例を示すフローチャートである。
（本開示に至った経緯）
本開示の説明に先立ち、本開示に至った経緯について説明する。
例えば、車両には、車載ネットワークに発生するイベントを監視し、それを分析する事で偵察行為、又は、不正侵入などのサイバー攻撃の兆候を検知するためのＩＤＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ：侵入検知システム）が設けられる。例えば、ＥＣＵごとに１以上のＩＤＳが設けられる。そして、車両には、複数のＩＤＳからの検知ログを集約し、集約した検知ログに基づいて、車両で発生した異常を特定するための車載監視装置が搭載される。なお、車載監視装置は、車両に搭載されることに限定されず、ＳＯＣ（Ｓｅｃｕｒｉｔｙ Ｏｐｅｒａｔｉｏｎ Ｃｅｎｔｅｒ：セキュリティ オペレーションセンタ）に設けられてもよい。以下では、車載監視装置が車両に搭載される例について主に説明する。
車載監視装置は、例えば、攻撃パターンが予め定義された検知ルールを用いて、集約された１以上の検知ログの時系列データから車両に対して行われた攻撃（総合的な攻撃）を特定する。また、車載監視装置は、特定した特定結果、又は、時系列データそのものをＳＯＣに送信する。
ここで、車両の構成（例えば、車載ネットワークの構成）、当該車両において検知したい攻撃等によって検知ルールが異なるので、例えば、車両毎、又は、車種毎に検知ルールが生成されることが望まれるが、車両毎、又は、車種毎の検知ルールの生成には工数がかかる。また、検知ルールの生成には、ノウハウが必要であり、容易に検知ルールを生成できるわけではない。検知ルールの生成が、例えば、ＯＥＭ（Ｏｒｉｇｉｎａｌ Ｅｑｕｉｐｍｅｎｔ Ｍａｎｕｆａｃｔｕｒｉｎｇ）の車両製造時において課題となっている実情もある。
言い換えると、車種毎に検知ルールが出力されることが望まれるが、車種ごとに検知ルールを出力するにはかなりの労力が必要であり、容易に行うことができない。
このように、従来であれば、検知ルールを容易に出力することが困難である。また、検知ルールの出力については、上記の特許文献１には開示されていない。
そこで、本願発明者らは、検知ルールを容易に出力可能な検知ルール出力方法等について鋭意検討を行い、以下に示す検知ルール出力方法等を創案した。
本開示の一態様に係る検知ルール出力方法は、車両におけるログ情報に基づいて攻撃内容を判定するセキュリティシステムにおいて用いられる検知ルールを出力する検知ルール出力方法であって、前記車両に搭載される車載ネットワークの構成に関する車両構成情報と、前記車両に搭載される１以上のＩＤＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）に関するＩＤＳ情報と、前記車両において検知する対象となる攻撃に関する検知対象攻撃情報とを取得し、前記車両構成情報、前記ＩＤＳ情報、及び、前記検知対象攻撃情報に基づいて生成した、前記車両において異常の発生した箇所と当該箇所で発生した異常とを検知するための検知ルールを、前記セキュリティシステムに備えられた記憶装置に対して出力する。
これにより、車両構成情報、ＩＤＳ情報、及び、検知対象攻撃情報を取得するだけで、例えば、車両に応じた検知ルールを生成し出力することが可能であるので、本開示に係る検知ルール出力方法によれば、検知ルールを容易に生成し出力することが可能である。
また、例えば、前記車両構成情報は、前記車両に搭載される１以上のＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）を示す第１ＥＣＵ情報と、前記車両への攻撃のエントリーポイント、及び、アタックターゲットとなり得るＥＣＵに関する第２ＥＣＵ情報と、前記１以上のＥＣＵの接続関係を示す接続情報とを含み、前記検知ルールは、前記第１ＥＣＵ情報、前記第２ＥＣＵ情報、及び、前記接続情報に基づいて、前記エントリーポイントを基準とする前記１以上のＥＣＵそれぞれの深度を含むように生成された検知ルールであってもよい。
これにより、ＥＣＵにおいて異常が検知された場合に異常が検知されたＥＣＵの深度を出力可能な検知ルールを容易に生成し出力することができる。
また、例えば、前記検知ルールは、前記第１ＥＣＵ情報、前記第２ＥＣＵ情報、及び、前記接続情報に基づいて、前記エントリーポイントを基準とした場合における、前記１以上のＥＣＵそれぞれの相対的な接続関係における位置を示す搭載箇所を特定し、特定された前記搭載箇所に基づいて、前記１以上のＥＣＵのそれぞれにおける異常発生時の前記深度を割り当てることで生成された検知ルールであってもよい。
これにより、特定された搭載箇所に基づいて1以上のＥＣＵのそれぞれに深度を割り当てることができるので、異常が検知されたＥＣＵの深度を出力可能な検知ルールをより容易に生成し出力することができる。
また、例えば、前記車両構成情報は、前記車両に搭載される１以上のＥＣＵを示す第１ＥＣＵ情報と、前記車両への攻撃のエントリーポイント、及び、アタックターゲットとなり得るＥＣＵに関する第２ＥＣＵ情報と、前記１以上のＥＣＵの接続関係を示す接続情報とを含み、前記検知ルールは、前記第１ＥＣＵ情報、前記第２ＥＣＵ情報、及び、前記接続情報に基づいて、前記エントリーポイントとなり得る第１ＥＣＵを前記攻撃の起点、前記アタックターゲットとなり得る第２ＥＣＵを前記攻撃の終点とする攻撃経路を含むように生成された検知ルールであってもよい。
これにより、ＥＣＵにおいて異常が検知された順序（攻撃経路）が所定の順序である場合に車両が異常であることを示す情報を出力可能な検知ルールを容易に生成し出力することができる。
また、例えば、前記検知ルールは、前記第２ＥＣＵ情報に基づいて、前記第１ＥＣＵと、前記第２ＥＣＵとを決定し、決定された前記第１ＥＣＵと前記第２ＥＣＵとの間の前記攻撃経路を前記第１ＥＣＵ情報及び前記接続情報に基づいて網羅的に導出することで生成された検知ルールであってもよい。
これにより、容易かつ漏れのない攻撃経路に関する検知ルールを生成し出力することができる。
また、例えば、前記車両構成情報は、前記車両に搭載される１以上のＥＣＵを示す第１ＥＣＵ情報を含み、前記ＩＤＳ情報は、前記車両に搭載される１以上のＥＣＵを監視する前記１以上のＩＤＳを示す監視ＩＤＳ情報と、前記１以上のＩＤＳがＥＣＵにおける異常を検知した際に出力する検知ログを示す出力検知ログ情報とを含み、前記検知ルールは、前記第１ＥＣＵ情報、前記監視ＩＤＳ情報、前記出力検知ログ情報、及び、前記検知対象攻撃情報に基づいて、前記車両における前記異常の内容を示す異常内容を含むように生成された検知ルールであってもよい。
これにより、ＥＣＵにおいて検知された異常の内容が所定の内容である場合に車両が異常であることを示す情報を出力可能な検知ルールを容易に生成し出力することができる。
また、例えば、前記検知ルールは、前記第１ＥＣＵ情報と検知対象攻撃情報とに基づいて、前記１以上のＥＣＵのそれぞれに対して発生し得る攻撃を割り当て、前記監視ＩＤＳ情報に基づいて、各攻撃を検知するＩＤＳを割り当て、前記出力検知ログ情報に基づいて、攻撃検知時に前記１以上のＩＤＳのそれぞれが出力する検知ログを割り当てることで生成された検知ルールであってもよい。
これにより、ＥＣＵと、当該ＥＣＵに対する攻撃と、当該ＥＣＵを監視するＩＤＳと、検知ログとが対応づけられた異常内容に関する検知ルールをより容易に生成し出力することができる。
また、例えば、前記車両構成情報は、前記車両に搭載される１以上のＥＣＵを示す第１ＥＣＵ情報と、前記車両への攻撃のエントリーポイント、及び、アタックターゲットとなり得るＥＣＵに関する第２ＥＣＵ情報と、前記１以上のＥＣＵの接続関係を示す接続情報とを含み、前記ＩＤＳ情報は、前記車両に搭載される１以上のＥＣＵを監視する前記１以上のＩＤＳを示す監視ＩＤＳ情報と、前記１以上のＩＤＳがＥＣＵにおける異常を検知した際に出力する検知ログを示す出力検知ログ情報とを含み、前記検知ルールは、前記第１ＥＣＵ情報、前記第２ＥＣＵ情報、及び、前記接続情報に基づいて、前記エントリーポイントとなり得る第１ＥＣＵを前記攻撃の起点、前記アタックターゲットとなり得る第２ＥＣＵを前記攻撃の終点とする攻撃経路を導出し、前記第１ＥＣＵ情報、前記監視ＩＤＳ情報、前記出力検知ログ情報、及び、攻撃検知対象情報に基づいて、前記車両における前記異常の内容を示す異常内容を導出し、前記攻撃経路と、前記異常内容とを組み合わせた前記攻撃のシナリオを含むように生成された検知ルールであってもよい。
これにより、ＥＣＵにおいて検知された異常の攻撃経路と異常内容との組み合わせ（攻撃シナリオ）が所定の内容である場合に車両が異常であることを示す情報を出力可能な検知ルールを容易に生成し出力することができる。
また、例えば、前記攻撃経路は、前記第１ＥＣＵ情報、前記第２ＥＣＵ情報、及び、前記接続情報に基づいて、前記第１ＥＣＵを前記攻撃の起点、前記第２ＥＣＵを前記攻撃の終点として網羅的に導出された攻撃経路であり、前記異常内容は、複数の前記攻撃経路を構成するＥＣＵのそれぞれに対して、前記第１ＥＣＵ情報、及び、前記検知対象攻撃情報に基づいて、当該ＥＣＵに対して発生し得る攻撃を割り当て、前記監視ＩＤＳ情報に基づいて、各攻撃を検知するＩＤＳを割り当て、前記出力検知ログ情報に基づいて、攻撃検知時に前記１以上のＩＤＳが出力する検知ログを割り当てることで導出された異常内容であってもよい。
これにより、容易かつ漏れのない攻撃シナリオに関する検知ルールを生成し出力することができる。
また、例えば、前記検知ルールには、さらに、前記検知ルールに対する付加的な情報を含むルール追加情報が付与されており、前記ルール追加情報が付与された前記検知ルールが前記記憶装置に出力されてもよい。
これにより、出力される検知ルールに、ルール追加情報を付与することができるので、例えば、車両等における検知ルールを用いた異常の検知の際に、当該ルール追加情報を用いることができる。例えば、異常の通知の有無等をルール追加情報に基づいて判定することが可能となるなど、ルール追加情報は、車載監視装置の性能向上に寄与し得る。
また、例えば、前記ルール追加情報は、検知ルールの優先度、前記車両への影響に応じたリスク値、前記車両に搭載される１以上のＥＣＵに紐づいた攻撃容易性に応じた発生可能性、公知攻撃との類似度、及び、前記公知攻撃と一致する検知ルールであることを示すフラグの少なくとも１つを含んでもよい。
これにより、異常が検知された時に基準となった検知ルールの優先度、リスク値、発生可能性、類似度、及び、フラグの少なくとも１つが所定条件を満たすか否かに応じて、車両等における異常の検知に対する対応を変化させることができる。例えば、検知ルールの優先度が閾値以上である場合に、異常が通知されることで、異常を効果的に通知させることができる。
また、例えば、前記車両構成情報、前記ＩＤＳ情報、及び、前記検知対象攻撃情報に基づいて、複数の前記検知ルールが生成されており、複数の前記検知ルールから前記記憶装置に出力する１以上の検知ルールを絞り込むためのルール絞り込み情報に基づいて、複数の前記検知ルールから絞り込まれた前記１以上の検知ルールが前記記憶装置に出力されてもよい。
これにより、複数の検知ルールから出力する検知ルールを絞り込むことができるので、検知する必要がない異常が検知されてしまうことを抑制することができる。
また、例えば、前記ルール絞り込み情報は、特定の攻撃経路を含む検知ルール、及び、あり得ない異常の組み合わせを含む検知ルールの少なくとも１つを除外すること、又は、前記車両への影響が所定以上である検知ルール、及び、公知攻撃と一致する検知ルールの少なくとも１つを出力することのいずれかを含んでもよい。
これにより、検知する必要がない異常が除外された検知ルール、又は、検知したい異常が含まれる検知ルールを出力することができる。
また、例えば、前記記憶装置は、前記車両、及び、前記車両を監視するＳＯＣ（Ｓｅｃｕｒｉｔｙ Ｏｐｅｒａｔｉｏｎ Ｃｅｎｔｅｒ）におけるサーバの少なくとも一方に設けられていてもよい。
これにより、車両、又は、ＳＯＣで用いられる検知ルールを、容易に生成し出力することができる。
また、本開示の一態様に係るセキュリティシステムは、上記の検知ルール出力方法で出力された検知ルールを記憶する記憶部と、前記ログ情報を取得する取得部と、前記検知ルールと、前記ログ情報とに基づいて、車両における攻撃内容を判定する判定部とを備える。
これにより、上記の検知ルール出力方法で出力された検知ルールを用いたセキュリティシステムを実現することができる。
なお、これらの全般的又は具体的な態様は、システム、方法、集積回路、コンピュータプログラム又はコンピュータで読み取り可能なＣＤ－ＲＯＭ等の非一時的記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラム又は記録媒体の任意な組み合わせで実現されてもよい。プログラムは、記録媒体に予め記憶されていてもよいし、インターネット等を含む広域通信網を介して記録媒体に供給されてもよい。
以下、実施の形態について、図面を参照しながら具体的に説明する。
なお、以下で説明する実施の形態は、いずれも包括的又は具体的な例を示すものである。以下の実施の形態で示される数値、形状、構成要素、構成要素の配置位置及び接続形態、ステップ、ステップの順序などは、一例であり、本開示を限定する主旨ではない。
また、各図は、模式図であり、必ずしも厳密に図示されたものではない。したがって、例えば、各図において縮尺などは必ずしも一致しない。また、各図において、実質的に同一の構成については同一の符号を付しており、重複する説明は省略又は簡略化する。
また、本明細書において、等しいなどの要素間の関係性を示す用語、並びに、数値、及び、数値範囲は、厳格な意味のみを表す表現ではなく、実質的に同等な範囲、例えば数％程度（例えば、１０％程度）の差異をも含むことを意味する表現である。
（実施の形態１）
以下、本実施の形態に係る検知ルール生成装置等について、図１～図１０Ｂを参照しながら説明する。
［１－１．検知ルール生成装置の構成］
まず、本実施の形態に係る検知ルール生成装置の構成について、図１～図５を参照しながら説明する。図１は、本実施の形態に係る検知ルール生成装置１の機能構成を示すブロック図である。本実施の形態に係る検知ルール生成装置１は、車両構成情報、ＩＤＳ情報、及び、検知対象攻撃情報を取得し、取得した車両構成情報、ＩＤＳ情報、及び、検知対象攻撃情報に基づいて、車両等に搭載される車載監視装置において異常を検知するために用いられる検知ルールを生成し出力する情報処理装置である。
図１に示すように、検知ルール生成装置１は、車両構成情報取得部１０と、ＩＤＳ情報取得部２０と、検知対象攻撃情報取得部３０と、検知ルール生成部４０と、制御部５０とを備える。検知ルール生成装置１の各機能構成は、例えば、プロセッサがメモリに記憶されているプログラム（コンピュータプログラム）に従って動作することにより実現される。検知ルール生成装置１は、例えば、プロセッサ、メモリ、通信インタフェース等を備えるコンピュータ（例えば、サーバ装置）により実現される。
本実施の形態に係る検知ルールは、車両におけるログ情報（後述する検知ログ又は車両ログ）に基づいて攻撃内容を判定するセキュリティシステム（実施の形態４を参照）において用いられる検知ルールであり、例えば、攻撃経路、異常な内容等が記載される。例えば、検知ルールは、車両において異常の発生した箇所と当該箇所で発生した異常とを検知するための検知ルールであってもよい。
車両構成情報取得部１０は、車両に搭載される車載ネットワークの構成に関する車両構成情報を取得する。車両構成情報は、車両に搭載される１以上のＥＣＵに関する搭載ＥＣＵ（搭載ＥＣＵ情報であり、第１ＥＣＵ情報の一例）、車載ネットワークにおいてサイバー攻撃の侵入の入り口（エントリーポイント：ＥＰ）となり得るＥＣＵ、及び、攻撃対象（アタックターゲット：ＡＴ）となり得るＥＣＵに関するＥＣＵ情報（第２ＥＣＵ情報の一例）、及び、１以上のＥＣＵの接続関係を示す情報（接続情報）の少なくとも１つを含む。接続関係を示す情報は、例えば、接続バスに関する情報を含んでいてもよい。車両構成情報取得部１０は、取得した車両構成情報を記憶部（図示しない）に記憶してもよい。
車両構成情報取得部１０は、外部装置から通信等により車両構成情報を取得してもよい。この場合、車両構成情報取得部１０は、アンテナ等を含んで構成され、車両構成情報を受信する。また、車両構成情報取得部１０は、ボタン、タッチパネル等の操作部、又は、マイクロフォンを含んで構成され、ユーザからの入力（操作又は音声）により車両構成情報を受け付けてもよい。車両構成情報取得部１０は、第１取得部の一例である。
ここで、車両構成情報について、図２Ａ及び図２Ｂを参照しながら説明する。図２Ａは、本実施の形態に係る車両構成情報の一例を示す図である。図２Ｂは、本実施の形態に係る接続関係を示す情報（接続情報）の一例を示す図である。なお、図２Ｂでは、ＥＰとなり得るＥＣＵが２つ（ＥＰ１及びＥＰ２）あり、ＡＴとなり得るＥＣＵが３つ（ＡＴ１～ＡＴ３）あり、その他のＥＣＵが３つ（ＥＣＵ１～ＥＣＵ３）ある場合の接続関係を示している。
図２Ａに示すように、車両構成情報には、項目として、搭載ＥＣＵ、ＥＰ／ＡＴ（ＥＣＵ情報の一例）、及び、接続関係が含まれる。車両構成情報には、搭載ＥＣＵ、ＥＰ／ＡＴ、及び、接続関係の少なくとも１つが含まれていればよい。
搭載ＥＣＵは、車両に搭載される全てのＥＣＵを示す情報であり、ＥＣＵの識別情報、及び、車両における搭載場所の少なくとも１つが含まれる。識別情報は、ＥＣＵを識別可能な情報であり、ＥＣＵごとに異なる情報である。識別情報は、製造番号、通し番号等であるが、これに限定されない。搭載場所は、ＥＰからの相対的な位置を示す情報であり、いわゆるホップ数、層数等である。ホップ数は、ＥＰから当該ＥＣＵまでに経由する機器（例えば、他のＥＣＵ、ゲートウェイ等）の数である。層数は、ＥＰから当該ＥＣＵまでに経由するセキュリティポリシが等しい層の数である。なお、ホップ数及び層数を、深度とも記載する。
ＥＰ／ＡＴは、エントリーポイント（ＥＰ）とアタックターゲット（ＡＴ）とになり得るＥＣＵを特定するための情報が含まれる。ＥＣＵ情報には、例えば、ＥＰとなり得る全てのＥＣＵの識別情報、及び、ＡＴとなり得る全てのＥＣＵの識別情報が含まれる。ＥＰには、例えば、通信系のＥＣＵ、診断コネクタ等が設定される。また、ＡＴには、例えば、ＥＰを基準とし、所定値以上の深度を有するＥＣＵのそれぞれが設定されるが、これに限定されず、車両に搭載される全てのＥＣＵがＡＴに設定されてもよい。なお、ＥＰ／ＡＰは、車両構成情報に含まれていなくてもよい。
接続関係は、ＥＣＵ間の接続関係を示す。接続関係を示す情報は、どのＥＣＵ同士が通信可能に接続されているかを示す。
図２Ｂに示すように、ＥＰ１、ＥＰ２、ＥＣＵ１～ＥＣＵ３、及び、ＡＴ１～ＡＴ３が通信路（図２Ｂ中の黒線）により接続されている。ＥＰ１及びＥＰ２のそれぞれは、例えば、ＡＴ１と直接接続されており、かつ、ＥＣＵ１及びＥＣＵ３を経由してＡＴ２と接続されており、かつ、ＥＣＵ２を経由してＡＴ３と接続されている。このように、接続関係によれば、ＥＰからＡＴまでの経路を取得可能である。
なお、図２Ｂに示す層数（１層目、２層目、及び、３層目）は、互いにセキュリティポリシが異なる層である。１層目には、ＥＰ１及びＥＰ２が含まれ、２層目にはＥＣＵ１～ＥＣＵ３が含まれ、３層目にはＡＴ１～ＡＴ３が含まれる。例えば、ＡＴ１～ＡＴ３の深度は、３（３階層目）である。また、例えば、ＥＰ１及びＥＰ２は、ホップ数が１である。また、ＥＰ１を例に説明すると、ＡＴ１、ＥＣＵ１、及び、ＥＣＵ２は、ホップ数が２であり、ＥＣＵ３及びＡＴ３は、ホップ数が３であり、ＡＴ２は、ホップ数が４である。
図１を再び参照して、ＩＤＳ情報取得部２０は、車両に搭載されるＩＤＳに関するＩＤＳ情報を取得する。ＩＤＳ情報は、車両に搭載される１以上のＥＣＵを監視する１以上のＩＤＳに関する情報（監視ＩＤＳ情報）、１以上のＩＤＳがＥＣＵにおける異常を検知した際に出力する検知ログを示す出力検知ログ（出力検知ログ情報）等を含む。ＩＤＳ情報取得部２０は、取得したＩＤＳ情報を記憶部に記憶してもよい。
ＩＤＳ情報取得部２０は、外部装置から通信によりＩＤＳ情報を取得してもよい。この場合、ＩＤＳ情報取得部２０は、アンテナ等を含んで構成され、ＩＤＳ情報を受信する。また、ＩＤＳ情報取得部２０は、ボタン、タッチパネル等の操作部、又は、マイクロフォンを含んで構成され、ユーザからの入力（操作又は音声）によりＩＤＳ情報を受け付けてもよい。ＩＤＳ情報取得部２０は、第２取得部の一例である。
ここで、ＩＤＳ情報について、図３Ａ及び図３Ｂを参照しながら説明する。図３Ａは、本実施の形態に係るＩＤＳ情報の一例を示す図である。図３Ｂは、本実施の形態に係る出力検知ログ（出力検知ログ情報）の一例を示す図である。
図３Ａに示すように、ＩＤＳ情報には、項目として、監視ＩＤＳ、及び、出力検知ログが含まれる。ＩＤＳ情報には、監視ＩＤＳ、及び、出力検知ログの少なくとも１つが含まれていればよい。
監視ＩＤＳは、各ＥＣＵまたは各通信バスを監視するＩＤＳに関する情報が含まれる。監視ＩＤＳは、ＩＤＳがどのＥＣＵまたは通信バスを監視するかを示す情報、ＩＤＳの識別情報等が含まれる。また、出力検知ログは、各ＩＤＳがＥＣＵまたは通信バスの異常を検知した際に出力する検知ログが含まれる。
なお、以下では、監視ＩＤＳは、各ＥＣＵを監視するＩＤＳ（いわゆるＨｏｓｔ型ＩＤＳ）に関する情報を含む例について説明するが、各通信バスを監視するＩＤＳ（いわゆるネットワーク型ＩＤＳ）に関する情報を含んでいてもよい。
図３Ｂに示すように、出力検知ログでは、検知ログと攻撃内容とが対応づけられている。出力検知ログは、検知ログと攻撃内容との対応関係を示すとも言える。検知ログは、ＩＤＳがＥＣＵでの異常を検知した場合に当該ＩＤＳから出力される情報である。攻撃内容は、当該異常に応じた当該ＥＣＵへの攻撃の内容を示す情報である。例えば、ＥＣＵで認証エラーが検知される場合、当該ＥＣＵにおける攻撃内容が不正機器接続であり、ＥＣＵでリプロエラーが検知される場合、当該ＥＣＵにおける攻撃内容が不正リプロであり、ＥＣＵで頻度異常が検知される場合、当該ＥＣＵにおける攻撃内容がＤｏＳ攻撃である。
図１を再び参照して、検知対象攻撃情報取得部３０は、車両において検知する対象となる攻撃に関する検知対象攻撃情報を取得する。検知対象攻撃情報取得部３０は、取得した検知対象攻撃情報を記憶部に記憶してもよい。検知対象攻撃情報取得部３０は、第３取得部の一例である。
ここで、検知対象攻撃情報について、図４を参照しながら説明する。図４は、本実施の形態に係る検知対象攻撃情報の一例を示す図である。
図４に示すように、検知対象攻撃情報には、項目として、検知対象攻撃が含まれる。検知対象攻撃は、該当車両において、発生した場合に検知したい攻撃に関する情報が含まれる。検知対象攻撃は、例えば、公知攻撃、ＣＡＰＥＣ（Ｃｏｍｍｏｎ Ａｔｔａｃｋ Ｐａｔｔｅｒｎ Ｅｎｕｍｅｒａｔｉｏｎ ａｎｄ Ｃｌａｓｓｉｆｉｃａｔｉｏｎ：セキュリティ攻撃パターン分類）に該当する攻撃等が含まれる。例えば、検知対象攻撃情報には、不正機器接続、不正リプロ、ＤｏＳ攻撃等が含まれる。言い換えると、不正機器接続、不正リプロ、ＤｏＳ攻撃は、該当車両において検知する対象となる攻撃である。検知対象攻撃は、独立して記述されていても、時系列順に記載されていてもよい。例えば、攻撃が順番に行われることが予想される「マルウェアダウンロード」という攻撃と「マルウェア実行」という攻撃とを例に説明すると、「マルウェアダウンロード」及び「マルウェア実行」それぞれが１つの攻撃として検知対象攻撃に含まれていてもよい（独立して記述されることの一例）し、「マルウェアダウンロード→マルウェア実行」のように１つの攻撃（一連の攻撃）として検知対象攻撃に含まれていてもよい（時系列順に記載されることの一例）。また、検知対象攻撃情報には、検知対象攻撃と、当該検知対象攻撃が検知され得るＥＣＵ（例えば、ＥＣＵの種類、型番等）とが対応づけられた情報が含まれていてもよい。
なお、検知対象攻撃は、車両又は車種毎に異なる情報であってもよいし、車両又は車種毎に共通の情報であってもよい。
なお、車両構成情報取得部１０、ＩＤＳ情報取得部２０、及び、検知対象攻撃情報取得部３０は、１つの取得装置により実現されてもよいし、互いに異なる取得装置により実現されてもよい。
図１を再び参照して、検知ルール生成装置１は、各取得部により取得された、車両構成情報、ＩＤＳ情報、及び、検知対象攻撃情報に基づいて、車両で発生した異常を検知するための検知ルールを生成する。検知ルール生成部４０は、攻撃経路生成部４１と、検知対象攻撃紐づけ部４２とを有する。また、検知ルール生成部４０は、生成された検知ルールを出力する出力部としても機能する。
攻撃経路生成部４１は、車両構成情報に基づいて、ＥＰを起点とし、ＡＴを終点とする攻撃経路を生成する。攻撃経路生成部４１は、車両構成情報のＥＰ／ＡＴに基づいて、車両に搭載される全てのＥＣＵの中から、ＥＰとなり得るＥＣＵ（第１ＥＣＵの一例）、及び、ＡＴとなり得るＥＣＵ（第２ＥＣＵの一例）を決定する。そして、攻撃経路生成部４１は、搭載ＥＣＵと接続関係とに基づいて、ＥＰを起点とし、ＡＴを終点とする攻撃経路を生成する。攻撃経路生成部４１は、例えば、攻撃経路としてあり得る全ての攻撃経路（複数の攻撃経路）を生成する。
なお、車両構成情報にＥＰ／ＡＴのうちＡＴが含まれていない場合、攻撃経路生成部４１は、車両に搭載される全てのＥＣＵからＡＴとなり得るＥＣＵを抽出してもよい。攻撃経路生成部４１は、例えば、ＥＰとなり得るＥＣＵと、接続関係とに基づいて、ＥＰからの深度が所定値以上であるＥＣＵをＡＴとして抽出してもよい。なお、攻撃経路生成部４１は、車両に搭載される全てのＥＣＵのそれぞれをＡＴとして抽出してもよい。
検知対象攻撃紐づけ部４２は、ＩＤＳ情報と検知対象攻撃情報とに基づいて、攻撃経路に検知対象攻撃を紐づける。検知対象攻撃紐づけ部４２は、例えば、攻撃経路に含まれるＥＣＵのそれぞれに対して、当該ＥＣＵに対する検知対象攻撃を紐づける。
ここで、検知ルール生成装置１における検知ルールの生成について、さらに図５を参照しながら説明する。図５は、本実施の形態に係る検知ルール生成装置１における検知ルールの生成を説明するための図である。
図５に示すように、検知ルールには、「Ｌｖ１：攻撃進行度合い」、「Ｌｖ２：攻撃経路」、「Ｌｖ２：異常内容」、及び、「Ｌｖ３：攻撃シナリオ」が含まれる。検知ルール生成装置１は、攻撃進行度合いに関する検知ルール、攻撃経路に関する検知ルール、異常内容に関する検知ルール、及び、攻撃シナリオに関する検知ルールの少なくとも１つの検知ルールを生成する。なお、Ｌｖ（レベル）は、検知ルールに含まれる情報量を示す。Ｌｖの値が高いほど、検知ルールに多くの情報が含まれることを示す。つまり、Ｌｖが高いほど、攻撃内容をより詳細に判定可能である。また、攻撃進行度合いに関する検知ルール、攻撃経路に関する検知ルール、異常内容に関する検知ルール、及び、攻撃シナリオに関する検知ルールのそれぞれは、車両において異常の発生した箇所と当該箇所で発生した異常とを検知するための検知ルールの一例である。
攻撃進行度合いに関する検知ルールは、エントリーポイント（ＥＰ）を基準とした深さ（ホップ数）、層数（１層目、２層目など）等を含む。攻撃進行度合いに関する検知ルールの生成には、少なくとも、搭載ＥＣＵ、ＥＰ／ＡＴ、及び、接続関係が入力情報として用いられる。また、攻撃進行度合いに関する検知ルールの生成には、さらに、ＩＤＳ情報、及び、検知対象攻撃情報の少なくとも１つが入力情報として用いられてもよい。
検知ルール生成装置１は、攻撃経路生成部４１が生成した攻撃経路に基づいて、攻撃進行度合いに関する検知ルール（後述する図７Ｂ及び図７Ｃを参照）を生成する。
攻撃経路に関する検知ルールは、エントリーポイント（ＥＰ）を起点、アタックターゲット（ＡＴ）を終点とし、各ＥＣＵの接続関係に基づいて導出される経路を含む。攻撃経路に関する検知ルールの生成には、少なくとも、搭載ＥＣＵ、ＥＰ／ＡＴ、及び、接続関係が入力情報として用いられる。また、攻撃経路に関する検知ルールの生成には、さらに、ＩＤＳ情報、及び、検知対象攻撃情報の少なくとも１つが入力情報として用いられてもよい。
検知ルール生成装置１は、攻撃経路生成部４１が生成した攻撃経路に基づいて、攻撃経路に関する検知ルール（後述する図８Ｂを参照）を生成する。
異常内容に関する検知ルールは、各ＥＣＵで検知された異常内容と、その異常を検知した時に出力される検知ログとを含む。異常内容に関する検知ルールの生成には、少なくとも、搭載ＥＣＵ、監視ＩＤＳ、出力検知ログ、及び、検知対象攻撃が入力情報として用いられる。
検知ルール生成装置１は、上記情報に基づいて、異常内容に関する検知ルール（後述する図９Ｂを参照）を生成する。
攻撃シナリオに関する検知ルールは、攻撃経路に基づいて、各ＥＣＵで発生した異常を一連の流れで表現したシナリオ（攻撃経路と異常内容との組み合わせ）を含む。攻撃シナリオに関する検知ルールの生成には、少なくとも、搭載ＥＣＵ、ＥＰ／ＡＴ、接続関係、監視ＩＤＳ、出力検知ログ、及び、検知対象攻撃が入力情報として用いられる。
検知ルール生成装置１は、上記情報に基づいて、攻撃シナリオに関する検知ルール（後述する図１０Ｂを参照）を生成する。
上記のように、本実施の形態に係る検知ルール生成装置１は、例えば、車両に搭載される車載ネットワークの構成に関する車両構成情報を取得する車両構成情報取得部１０（第１取得部の一例）と、車両に搭載されるＩＤＳに関するＩＤＳ情報を取得するＩＤＳ情報取得部２０（第２取得部の一例）と、車両において検知すべき攻撃を示す検知対象攻撃情報を取得する検知対象攻撃情報取得部３０（第３取得部の一例）と、車両構成情報、ＩＤＳ情報、及び、検知対象攻撃情報に基づいて、車両における異常を検知するための検知ルールを生成する検知ルール生成部４０（生成部の一例）と、生成された検知ルールを出力する検知ルール生成部４０（出力部の一例）とを備える。
［１－２．検知ルール生成装置の動作］
続いて、上記のように構成される検知ルール生成装置１における動作について、図６～図１０Ｂを参照しながら説明する。図６は、本実施の形態に係る検知ルール生成装置１の動作（検知ルール生成方法）を示すフローチャートである。なお、検知ルール生成方法は、情報処理方法の一例である。
図６に示すように、検知ルール生成装置１は、車両構成情報取得部１０を介して、車両構成情報を取得する（Ｓ１０）。車両構成情報は、例えば、車載ネットワークが生成された場合、又は、車載ネットワークが変更された場合等に取得されるが、取得されるタイミングはこれに限定されない。ステップＳ１０は、第１取得ステップの一例である。
次に、検知ルール生成装置１は、ＩＤＳ情報取得部２０を介して、ＩＤＳ情報を取得する（Ｓ２０）。ＩＤＳ情報は、例えば、車載ネットワークが生成された場合、又は、搭載されるＩＤＳが変更となった場合に取得されるが、取得されるタイミングはこれに限定されない。ステップＳ２０は、第２取得ステップの一例である。
次に、検知ルール生成装置１は、検知対象攻撃情報取得部３０を介して、検知対象攻撃情報を取得する（Ｓ３０）。検知対象攻撃情報は、例えば、検知対象攻撃が生成された場合、又は、検知対象攻撃が変更された場合に取得されるが、取得されるタイミングはこれに限定されない。ステップＳ３０は、第３取得ステップの一例である。
なお、車両構成情報、ＩＤＳ情報、及び、検知対象攻撃情報を取得する順番は、特に限定されない。
次に、検知ルール生成装置１は、ステップＳ１０～Ｓ３０で取得された、車両構成情報、ＩＤＳ情報、及び、検知対象攻撃情報に基づいて、車両に応じた検知ルールを生成する（Ｓ４０）。ステップＳ４０の詳細は、後述する。ステップＳ４０は、生成ステップの一例である。なお、ステップＳ４０で生成される検知ルールの数は特に限定されず、例えば、１つであってもよいし、複数であってもよい。
次に、検知ルール生成装置１は、生成された検知ルールを出力する（Ｓ５０）。検知ルール生成装置１は、例えば、車両及びＳＯＣの車載監視装置に、通信により検知ルールを出力する。検知ルール生成装置１は、生成された検知ルールを後述するセキュリティシステムに備えられた記録装置に出力するとも言える。これにより、車載監視装置に、当該車両に応じた検知ルールを、記憶、又は、更新させることができる。ステップＳ５０は、出力ステップの一例である。
続いて、図６に示すステップＳ４０の第１例について、図７Ａ～図７Ｃを参照しながら説明する。図７Ａは、図６に示すステップＳ４０の詳細の第１例を示すフローチャートである。図７Ｂは、攻撃進行度合いに関する検知ルールの一例を示す図である。図７Ｃは、攻撃進行度合いに関する検知ルールの他の一例を示す図である。
図７Ａに示すように、ステップＳ４０において、まず、検知ルール生成部４０は、車両構成情報に基づいて、各ＥＣＵの搭載箇所を特定する（Ｓ１１０）。検知ルール生成部４０は、車両構成情報に基づいて、アーキテクチャにおける各ＥＣＵの搭載箇所を特定する。例えば、検知ルール生成部４０は、搭載ＥＣＵ、ＥＣＵ情報、及び、接続関係に基づいて、１以上のＥＣＵのそれぞれにおけるＥＰからの相対的な位置関係を示す搭載箇所を特定する。なお、ここでの搭載箇所は、例えば、ＥＰを基準とした場合における、１以上のＥＣＵそれぞれの相対的な接続関係における位置を意味する。また、搭載箇所は、予め車両構成情報に含まれていてもよい。搭載箇所は、例えば、ＥＰを基準とした場合の１以上のＥＣＵそれぞれの位置を示す。
次に、検知ルール生成部４０は、特定された搭載箇所に基づいて、ＥＣＵ毎に異常発生時のホップ数、又は、層数を割り当てる（Ｓ１２０）。検知ルール生成部４０は、ＥＰからのホップ数、又は、層数を、当該ＥＣＵのホップ数、又は、層数として割り当てる。検知ルール生成部４０は、特定された搭載箇所に基づいて、１以上のＥＣＵのそれぞれにおける異常発生時の深度を割り当てるとも言える。
図７Ｂに示すように、検知ルール生成部４０は、ＥＣＵ毎にホップ数を割り当てた検知ルールを生成してもよい。
これにより、検知ルール生成装置１は、例えば、ＥＣＵ３で異常が検知された場合、当該ＥＣＵ３に応じたホップ数である「３」を車載監視装置に出力させることが可能な検知ルールを生成することができる。つまり、検知ルールは、接続関係においてＥＰから何個目のＥＣＵまで侵入されているかを示す情報を車載監視装置に出力させることが可能である。
図７Ｃに示すように、検知ルール生成部４０は、ＥＣＵ毎に層数を割り当てた検知ルールを生成してもよい。
上記のように、検知ルール生成部４０は、ステップＳ４０において、搭載ＥＣＵ情報、ＥＣＵ情報、及び、接続関係に基づいて、ＥＰを基準とした１以上のＥＣＵそれぞれの深度を含む検知ルールを生成する。
これにより、検知ルール生成装置１は、例えば、ＥＣＵ３で異常が検知された場合、ＥＣＵ３に応じた層数である「２」を車載監視装置に出力させることが可能な攻撃進行度合いに関する検知ルールを生成することができる。つまり、検知ルールは、どの階層（どのセキュリティポリシ）までが侵入されているかを示す情報を車載監視装置に出力させることが可能である。
続いて、図６に示すステップＳ４０の第２例について、図８Ａ及び図８Ｂを参照しながら説明する。図８Ａは、図６に示すステップＳ４０の詳細の第２例を示すフローチャートである。図８Ｂは、攻撃経路に関する検知ルールの一例を示す図である。なお、図８Ｂでは、Ｎｏ．１～Ｎｏ．３の３つの攻撃経路（３つの検知ルール）を示している。また、図８Ｂでは、ＥＰからＡＴまでの経由するＥＣＵを攻撃ステップとし、「ＳＴＥＰ数」で示している。「ＳＴＥＰ」の数値が小さい方から数値が大きい方へ攻撃が進行しているものとする。
図８Ａに示すように、ステップＳ４０において、まず、検知ルール生成部４０の攻撃経路生成部４１は、車両構成情報のＥＰ／ＡＴに基づいて、攻撃の起点（ＥＰ）と、終点（ＡＴ）とを決定する（Ｓ２１０）。攻撃経路生成部４１は、車両構成情報のＥＰ／ＡＴのうちＥＰをステップＳ２１０におけるＥＰに決定し、車両構成情報のＥＰ／ＡＴのうちＡＴをステップＳ２１０におけるＡＴに決定する。なお、ステップＳ２１０において、攻撃経路生成部４１は、車両構成情報の搭載ＥＣＵに含まれる全てＥＣＵをＡＴに決定してもよい。
次に、攻撃経路生成部４１は、攻撃経路を網羅的に導出する（Ｓ２２０）。攻撃経路生成部４１は、決定されたＥＰとＡＴとの間の経路を、搭載ＥＣＵ及び接続関係に基づいて網羅的に導出する。攻撃経路生成部４１は、ＥＰからＡＴへ到達するまでに経由可能な１以上のＥＣＵを含む経路の全てを導出する。
図８Ｂに示すように、検知ルール生成部４０は、攻撃経路毎にＳＴＥＰ数とＥＣＵとが対応づけられた検知ルールを生成してもよい。Ｎｏ．１の攻撃経路は、ＥＰ１、ＡＴ１の順に攻撃が進行し得る経路を示し、Ｎｏ．２の攻撃経路は、ＥＰ１、ＥＣＵ１、ＥＣＵ３、ＡＴ２の順に攻撃が進行し得る経路を示し、Ｎｏ．３の攻撃経路は、ＥＰ２、ＥＣＵ２、ＡＴ３の順に攻撃が進行し得る経路を示している。
なお、図８Ｂは、異常が検知されたＥＣＵの時系列データを示すとも言える。
上記のように、検知ルール生成部４０は、ステップＳ４０において、搭載ＥＣＵ情報、ＥＣＵ情報、及び、接続関係に基づいて、ＥＰとなり得る第１ＥＣＵを攻撃の起点、ＡＴとなり得る第２ＥＣＵを攻撃の終点とする攻撃経路を含む検知ルールを生成する。
これにより、検知ルール生成装置１は、例えば、所定の経路で攻撃が行われた場合、車載監視装置に異常を出力させることが可能な異常内容に関する検知ルールを生成することができる。
なお、１つのＥＰ及びＡＴの組に対して、複数の攻撃経路が生成されてもよい。また、Ｎｏ．２の攻撃経路を例に説明すると、ＥＰ１、ＥＣＵ１、ＥＣＵ３、ＥＣＵ１、ＥＣＵ３、ＡＴ２の順のように攻撃経路が生成されてもよい。つまり、攻撃経路は、攻撃の進行がＥＰからＡＴへ向かう方向と反対方向に進行する部分（戻る部分）を有していてもよい。また、１つのＥＣＵに複数回連続して攻撃されるような攻撃経路が生成されてもよい。
続いて、図６に示すステップＳ４０の第３例について、図９Ａ及び図９Ｂを参照しながら説明する。図９Ａは、図６に示すステップＳ４０の詳細の第３例を示すフローチャートである。図９Ｂは、異常内容に関する検知ルールの一例を示す図である。なお、図９Ｂでは、ＥＣＵ、検知対象攻撃、監視ＩＤＳ、及び、出力検知ログが対応づけられている。
図９Ａに示すように、ステップＳ４０において、まず、検知ルール生成部４０の検知対象攻撃紐づけ部４２は、搭載ＥＣＵと検知対象攻撃情報とに基づいて、各ＥＣＵのそれぞれに対して発生し得る攻撃（攻撃内容）を割り当てる（Ｓ３１０）。検知対象攻撃紐づけ部４２は、検知対象攻撃情報が、検知対象攻撃と、当該検知対象攻撃が検知され得るＥＣＵとを対応づけた情報を含む場合、当該情報を用いて、搭載ＥＣＵに含まれる１以上のＥＣＵのそれぞれに対して当該ＥＣＵで検知され得る攻撃を割り当てる。１つのＥＣＵに割り当てられる攻撃の数は特に限定されず、１つであってもよいし、２以上であってもよい。
図９Ｂでは、ＥＰ１のＥＣＵには、攻撃としてポートスキャンと不正機器接続とが割り当てられ、ＥＣＵ１には、不正メッセージ挿入と不正リプロとが割り当てられた例を示している。
次に、検知対象攻撃紐づけ部４２は、ＩＤＳ情報の監視ＩＤＳに基づいて、各攻撃を検知するＩＤＳを割り当てる（Ｓ３２０）。検知対象攻撃紐づけ部４２は、ステップＳ３１０で当該ＥＣＵに割り当てられた攻撃を検知可能なＩＤＳを、車両に搭載された複数のＩＤＳの中から監視ＩＤＳに基づいて特定し、特定されたＩＤＳを当該ＥＣＵに対する攻撃を検知するＩＤＳに割り当てる。
図９Ｂでは、ポートスキャンには「Ｈ－ＩＤＳ１」が割り当てられ、不正機器接続には「防御機能」のＩＤＳが割り当てられ、不正メッセージ挿入には「Ｎ－ＩＤＳ１」が割り当てられ、不正リプロには「Ｈ－ＩＤＳ２」が割り当てられる例を示している。「Ｈ－ＩＤＳ１」は、ＥＣＵにおけるポートスキャンを検知可能なＩＤＳであり、「防御機能」のＩＤＳは、ＥＣＵにおける不正機器接続を検知可能なＩＤＳである。また、「Ｎ－ＩＤＳ１」は、ＥＣＵにおける不正メッセージ挿入を検知可能なＩＤＳであり、「Ｈ－ＩＤＳ２」は、ＥＣＵにおける不正リプロが検知可能なＩＤＳである。このＩＤＳと検知可能な攻撃とは、ＩＤＳ情報に含まれる。
次に、検知対象攻撃紐づけ部４２は、ＩＤＳ情報の出力検知ログに基づいて、攻撃検知時に各ＩＤＳが出力する検知ログを割り当てる（Ｓ３３０）。
図９Ｂでは、Ｈ－ＩＤＳ１には「Ｆｉｒｅｗａｌｌエラー」が割り当てられ、防御機能のＩＤＳには「認証エラー」が割り当てられ、Ｎ－ＩＤＳ１には「ＭＡＣエラー」が割り当てられ、Ｈ－ＩＤＳ２には「リプロエラー」が割り当てられる例を示している。
上記のように、検知ルール生成部４０は、ステップＳ４０において、搭載ＥＣＵ情報、監視ＩＤＳ情報、出力検知ログ情報、及び、検知対象攻撃情報に基づいて、車両における異常の内容を示す異常内容を含む検知ルールを生成する。
これにより、検知ルール生成装置１は、例えば、所定の異常が検知された場合、車載監視装置に異常を出力させることが可能な異常内容に関する検知ルールを生成することができる。
続いて、図６に示すステップＳ４０の第４例について、図１０Ａ及び図１０Ｂを参照しながら説明する。図１０Ａは、図６に示すステップＳ４０の詳細の第４例を示すフローチャートである。図１０Ｂは、攻撃シナリオに関する検知ルールの一例を示す図である。
図１０Ａに示すように、検知ルールの生成方法は、図８Ａに示すフローチャートと、図９Ａに示すフローチャートとを含む。なお、ステップＳ３１０では、車両に搭載される複数のＥＣＵのうち、ステップＳ２１０で生成された攻撃経路に含まれる１以上のＥＣＵのそれぞれに対して、攻撃が割り当てられる。このように、例えば、車両に搭載された全てのＥＣＵ（例えば、車両構成情報の搭載ＥＣＵに含まれる全てのＥＣＵ）に対して、攻撃が割り振られなくてもよい。例えば、ステップＳ３１０～Ｓ３３０の処理は、攻撃経路に含まれる１以上のＥＣＵのそれぞれに対して実行される。
なお、ステップＳ２１０及びＳ２２０は、第１生成ステップの一例であり、例えば、第１生成ステップにより図８Ｂに示す攻撃経路（攻撃経路を示す情報）が生成される。また、ステップＳ３１０～Ｓ３３０は、第２生成ステップの一例であり、例えば、第２生成ステップにより図９Ｂに示す異常内容（異常内容を示す情報）が生成される。
また、上記により生成された攻撃経路と異常内容とを組み合わせた攻撃のシナリオを含む検知ルールが生成される。この検知ルールの生成は、第３生成ステップの一例である。
図１０Ｂに示すように、検知ルールは、ＳＴＥＰ数と、ＥＣＵと、検知対象攻撃と、監視ＩＤＳと、出力検知ログとが対応づけられている。図１０Ｂに示す検知ルールは、攻撃経路がＥＰ１、ＥＣＵ３、ＡＴ２である場合の攻撃シナリオに関する検知ルールを示す。
検知対象攻撃紐づけ部４２は、例えば，ＥＰ１に対する検知対象攻撃、監視ＩＤＳ、及び、出力検知ログを、図９Ｂに示す情報から抽出する。図１０Ｂの例では、検知攻撃対象が不正機器接続であり、監視ＩＤＳが防御機能であり、出力検知ログが認証エラーである情報がＥＰ１に対応づけられている。この処理は、攻撃経路と異常内容とを組み合わせることの一例である。
なお、上記では、ＥＰ１に対応する検知対象攻撃が不正機器接続である例について説明したが、これに限定されない。例えば、ＥＰ１に複数の攻撃（検知対象攻撃）がある場合、複数の異常内容の中から、検知対象攻撃情報に含まれる攻撃（検知対象攻撃）を含む情報が抽出され、抽出された情報が当該ＥＰ１に対応づけられてもよい。なお、ここでの情報は、例えば、検知対象攻撃と、監視ＩＤＳと、出力検知ログとが対応づけられた情報である。
図１０Ｂに示す検知ルールは、ＥＣＵ、検知対象攻撃、監視ＩＤＳ、及び、出力検知ログのセットの時系列データを示すとも言える。
これにより、検知ルール生成装置１は、例えば、所定の異常が所定の順序で検知された場合、車載監視装置に異常を出力させることが可能な検知ルールを生成することができる。
なお、検知ルールが車両で用いられる場合、上記の処理は、例えば、車両製造時、検知ルールを搭載する車種変更時、新規の攻撃又は新規の不具合の発生時に、検知ルールを生成又は更新するために実行される。また、検知ルールがＳＯＣで用いられる場合、上記の処理は、例えば、新規の攻撃発生時、検知ルールにおける観点の変更時に、検知ルールを生成又は更新するために実行される。
上記の検知ルール生成方法によれば、例えば、検知ルール作成に関するノウハウを有していなくても、車両構成情報、ＩＤＳ情報、及び、検知対象攻撃情報を生成するだけで検知ルールを作成可能である。
なお、上記では、検知ルール生成装置１は、図６に示すステップＳ４０（生成ステップ）を実行する例について説明したが、これに限定されず、検知ルールを生成しなくてもよい。ステップＳ４０は、他の装置により実行され、検知ルール生成装置１は、生成された検知ルールを取得してもよい。この場合、検知ルール生成装置１は、他の装置に車両構成情報、ＩＤＳ情報、及び、検知対象攻撃情報を出力してもよい。
検知ルール生成装置１の動作（検知ルール出力方法）は、図６に示すステップＳ１０～Ｓ３０、及び、Ｓ５０を実行することであってもよい。例えば、検知ルール出力方法は、車両構成情報と、ＩＤＳ情報と、検知対象攻撃情報とを取得し、取得された車両構成情報、ＩＤＳ情報、及び、検知対象攻撃情報に基づいて生成された、車両において異常の発生した箇所と当該箇所で発生した異常とを検知するための検知ルールを、セキュリティシステムに備えられた記憶装置に対して出力することを含む。この場合、検知ルール生成装置１は、検知ルール生成部４０を有していなくてもよく、検知ルール出力装置であるとも言える。
（実施の形態２）
以下では、本実施の形態に係る検知ルール生成装置等について、図１１及び図１２を参照しながら説明する。なお、以下では、実施の形態１との相違点を中心に説明し、実施の形態１と同一又は類似の内容については説明を省略又は簡略化する。
［２－１．検知ルール生成装置の構成］
まず、本実施の形態に係る検知ルール生成装置の構成について、図１１を参照しながら説明する。図１１は、本実施の形態に係る検知ルール生成装置１ａの機能構成を示すブロック図である。本実施の形態に係る検知ルール生成装置１ａは、ルール追加情報取得部６０、及び、ルール追加情報付与部４３を備える点において、実施の形態１に係る検知ルール生成装置１と相違する。
図１１に示すように、検知ルール生成装置１ａは、実施の形態１に係る検知ルール生成装置１に加えて、ルール追加情報取得部６０を備え、かつ、検知ルール生成部４０に替えて検知ルール生成部４０ａを備える。検知ルール生成部４０ａは、実施の形態１に係る検知ルール生成部４０に加えて、ルール追加情報付与部４３を有する。
ルール追加情報取得部６０は、攻撃経路生成部４１及び検知対象攻撃紐づけ部４２の少なくとも１つにより生成される検知ルールに追加するためのルール追加情報を取得する。ルール追加情報取得部６０は、通信等によりルール追加情報を受信してもよいし、ユーザの入力によりルール追加情報を受け付けてもよい。
ルール追加情報は、車載監視装置での制御に用いられる情報であり、例えば、車両で異常が発生した場合に、当該異常をＳＯＣに送信するか否かを判定するために用いられる。ルール追加情報は、生成された検知ルールに対する付加的な情報を含み、例えば、検知ルールの特徴を数値化した情報を含んでもよい。検知ルールの特徴を数値化した情報として、例えば、優先度、リスク値、発生可能性、類似度、及び、フラグ（１又は０）の少なくとも１つを含んでいてもよい。例えば、検知ルールごとに、当該少なくとも１つが追加されてもよい。
優先度は、検知する異常の優先度合いを示す情報である。例えば、特定の攻撃経路、又は、特定の異常内容を含む検知ルールに対して、高い優先度が割り当てられる。
リスク値は、検知する異常の危険合いを示す情報である。例えば、各異常内容に紐づいた車両の走行への影響度に応じて、検知ルール毎に割り当てられる。例えば、影響度が大きい検知ルールに対して、高いリスク値が割り当てられる。
発生可能性は、各ＥＣＵに紐づいた攻撃容易性に応じて、検知ルール毎に割り当てられる。攻撃容易性は、ＥＣＵへの攻撃のしやすさを示す情報であり、例えば、ＥＣＵの深度、ＥＣＵ自体のセキュリティレベル等に応じて予め設定される。
類似度は、公知の攻撃（公知攻撃）との一致度合いを示す情報である。類似度は、例えば、一致度合いが大きいほど、大きな値が設定される。一致度合いは、例えば、ＥＣＵ、検知対象攻撃、監視ＩＤＳ、及び、出力検知ログにおいて一致した項目の数、割合等であってもよい。
フラグは、所定の条件を満たすことを示す情報である。例えば、所定の条件は、公知攻撃と一致する攻撃シナリオを有することであるが、これに限定されない。
なお、優先度、リスク値、及び、発生可能性は、攻撃経路に含まれるＥＣＵのそれぞれに対して割り当てられ、検知ルールにおける優先度、リスク値、及び、発生可能性は、ＥＣＵそれぞれに割り当てられた値の統計値であってもよい。統計値は、例えば、合計値、平均値、中央値、最頻値、最大値、最小値のいずれかであるが、これに限定されない。また、例えば、検知ルールにおける優先度、リスク値、及び、発生可能性は、ＥＣＵそれぞれに割り当てられた値を重み付け加算した値であってもよい。
なお、ルール追加情報取得部６０は、取得したルール追加情報を記憶部（図示しない）に記憶してもよい。
ルール追加情報付与部４３は、攻撃経路生成部４１及び検知対象攻撃紐づけ部４２の少なくとも１つにより生成された検知ルールに、上記のルール追加情報を付与する。ルール追加情報付与部４３は、例えば、検知ルールに含まれる複数のＥＣＵのそれぞれに対して、ルール追加情報を付与してもよい。
［２－２．検知ルール生成装置の動作］
続いて、上記のように構成される検知ルール生成装置１ａにおける動作について、図１２を参照しながら説明する。図１２は、本実施の形態に係る検知ルール生成装置１ａの動作（検知ルール生成方法）を示すフローチャートである。図１２に示すフローチャートは、図６に示すフローチャートに加えて、ステップＳ６０を含む。
図１２に示すように、検知ルール生成部４０ａのルール追加情報付与部４３は、ステップＳ４０において検知ルールが生成された後、生成された検知ルールに対してルール追加情報を付与する（Ｓ６０）。ルール追加情報は、例えば、検知ルール毎に付与される。ステップＳ６０は、付与ステップの一例である。
なお、ルール追加情報は、例えば、ステップＳ６０より前にルール追加情報取得部６０を介して取得される。ルール追加情報が取得されるステップは、第４取得ステップの一例である。
次に、ルール追加情報付与部４３は、ステップＳ５０において、ルール追加情報が付与された検知ルールを出力する。
これにより、生成された検知ルールに、ルール追加情報を付与することができるので、例えば、車両等における検知ルールを用いた異常の検知の際に、当該ルール追加情報を用いることができる。例えば、ルール追加情報に優先度が含まれる場合、検知ルールの１つを満たす異常が検知された場合、当該検知ルールの優先度に基づいて、当該異常をＳＯＣに通知するか否かを車載監視装置が判定することが可能となる。よって、例えば、車両等において異常が検知された場合、当該異常の通知の必要の有無等を効果的に判定することが可能となり得る。
（実施の形態３）
以下では、本実施の形態に係る検知ルール生成装置等について、図１３及び図１４を参照しながら説明する。なお、以下では、実施の形態１との相違点を中心に説明し、実施の形態１と同一又は類似の内容については説明を省略又は簡略化する。
［３－１．検知ルール生成装置の構成］
まず、本実施の形態に係る検知ルール生成装置の構成について、図１３を参照しながら説明する。図１３は、本実施の形態に係る検知ルール生成装置１ｂの機能構成を示すブロック図である。本実施の形態に係る検知ルール生成装置１ｂは、ルール絞り込み情報取得部７０、及び、ルール絞り込み部８０を備える点において、実施の形態１に係る検知ルール生成装置１と相違する。
図１３に示すように、検知ルール生成装置１ｂは、実施の形態１に係る検知ルール生成装置１に加えて、ルール絞り込み情報取得部７０、及び、ルール絞り込み部８０を備える。
ルール絞り込み情報取得部７０は、複数の検知ルールから所望の検知ルールを抽出するためのルール絞り込み情報を取得する。ルール絞り込み情報取得部７０は、通信等によりルール絞り込み情報を受信してもよいし、ユーザの入力によりルール絞り込み情報を受け付けてもよい。
ルール絞り込み情報は、ルール絞り込み部８０における検知ルールの絞り込みの条件を示す情報である。ルール絞り込み情報は、特定の攻撃経路を含む検知ルールを除外すること、あり得ない異常の組み合わせを含む検知ルールを除外することを示す情報を含んでいてもよい。当該情報は、例えば、特定の攻撃経路、及び、あり得ない異常の組み合わせのリストを含む。特定の攻撃経路は、予め設定されており、例えば、車両に対する検査等において発生し得る異常の発生経路であってもよい。また、あり得ない異常の組み合わせは、異常が発生したＥＣＵの順序、発生した異常の検知ログの順序等が通常起こり得ない順序であること等が含まれる。
また、ルール絞り込み情報は、リスク値等の実施の形態２に記載したルール追加情報のいずれかが閾値を超える検知ルール（例えば、検知ルールのみ）を出力するように検知ルールを絞り込むこと、公知攻撃と一致する検知ルール（例えば、検知ルールのみ）を出力することを示す情報を含んでいてもよい。公知攻撃と一致することは、例えば、実施の形態２に示すフラグが立っていることであってもよい。
上記のように、ルール絞り込み情報は、例えば、複数の検知ルールの中から、優先度、リスク値、発生可能性、及び、類似度の少なくとも１つが閾値以上である検知ルールを抽出することを示す情報を含んでいてもよい。また、ルール絞り込み情報は、公知攻撃と攻撃シナリオが一致する検知ルールを抽出することを示す情報を含んでいてもよい。
なお、ルール絞り込み情報にルール追加情報に関する内容が含まれる場合、例えば、検知ルール生成装置１ｂは、実施の形態２に示すルール追加情報取得部６０、及び、ルール追加情報付与部４３を備えていてもよい。
なお、ルール絞り込み情報取得部７０は、取得したルール絞り込み情報を記憶部（図示しない）に記憶してもよい。
ルール絞り込み部８０は、検知ルール生成部４０が生成した複数の検知ルールの中から、ルール絞り込み情報に基づいて、出力するための１以上の検知ルールを抽出する。ルール絞り込み部８０は、ルール絞り込み情報と一致する部分を有するか否かに基づいて、検知ルール生成部４０が生成した複数の検知ルールの中から出力するための１以上の検知ルールを抽出する。なお、ルール絞り込み部８０は、出力部としても機能する。
［３－２．検知ルール生成装置の動作］
続いて、上記のように構成される検知ルール生成装置１ｂにおける動作について、図１４を参照しながら説明する。図１４は、本実施の形態に係る検知ルール生成装置１ｂの動作（検知ルール生成方法）を示すフローチャートである。図１４に示すフローチャートは、図６に示すフローチャートに加えて、ステップＳ７０を含む。
図１４に示すように、検知ルール生成装置１ｂは、ステップＳ４０において検知ルールが生成された後、生成された複数のルール（検知ルール）の中から、出力するための検知ルールを絞り込む（Ｓ７０）。検知ルール生成装置１ｂは、ルール絞り込み情報に基づいて、複数の検知ルールの中から１以上の検知ルールを絞り込む。ステップＳ７０は、絞り込みステップの一例である。
なお、ルール絞り込み情報は、例えば、ステップＳ７０より前にルール絞り込み情報取得部７０を介して取得される。ルール絞り込み情報が取得されるステップは、第５取得ステップの一例である。
次に、ルール絞り込み部８０は、ステップＳ７０において絞り込まれた検知ルールを出力する。
これにより、検知する必要がない攻撃が除外された検知ルール、又は、検知したい攻撃が含まれる検知ルールを出力することができる。例えば、車載監視装置において、車両に対する攻撃を効果的に検知可能となり得る。
（実施の形態４）
［４－１．異常検知システムの構成］
続いて、上記のような検知ルール生成装置が生成した検知ルールに基づいて、異常を検知する異常検知システムについて、図１５～図１８を参照しながら説明する。図１５は、本開示に係る検知ルール生成装置（図１５中では、実施の形態１に係る検知ルール生成装置１）が生成した検知ルールを用いた異常検知システムの機能構成の第１例を示すブロック図である。図１５では、検知ルール生成装置１が車両１００に搭載される車載統合監視部１２０（車載監視装置の一例）において用いられる検知ルールを生成し、当該検知ルールを車載統合監視部１２０に出力する場合について図示している。
なお、以下では、実施の形態１に係る検知ルール生成装置１を用いて説明するが、検知ルール生成装置１ａ又は１ｂが用いられてもよい。
図１５に示すように、異常検知システムは、検知ルール生成装置１と、車両１００と、ＳＯＣ（Ｓｅｃｕｒｉｔｙ Ｏｐｅｒａｔｉｏｎ Ｃｅｎｔｅｒ：セキュリティ オペレーションセンタ）２００とを備える。
車両１００は、ＩＤＳ１１０と、車載統合監視部１２０とを有する。
ＩＤＳ１１０は、ＥＣＵを監視し、監視対象のＥＣＵに異常が検知されると車載統合監視部１２０に検知ログを出力する。図１５における検知ログは、ログ情報の一例である。
車載統合監視部１２０は、車両１００内を監視し、ＩＤＳ１１０からの検知ログの時系列データに基づいて攻撃が発生した判定されると、当該攻撃が発生したことをＳＯＣ２００に出力する。車載統合監視部１２０は、ログ管理部１２１と、攻撃内容判定部１２２と、ログ送信判定部１２３と、ログ蓄積部１２４と、ルール記憶部１２５とを有する。
ログ管理部１２１は、各ＩＤＳ１１０から検知ログを取得し、取得した検知ログを管理する。具体的には、ログ管理部１２１は、取得した検知ログを、ログ蓄積部１２４に記憶し、かつ、攻撃内容判定部１２２に出力する。ログ管理部１２１は、取得部として機能する。
攻撃内容判定部１２２は、ログ管理部１２１からの検知ログと、ルール記憶部１２５に記憶されている検知ルールとに基づいて、攻撃内容を判定する。攻撃内容判定部１２２は、検知ルールと一致する異常（例えば、時系列での異常の発生順序等が一致する異常）があるか否かを判定する。攻撃内容判定部１２２は、判定部の一例である。
ログ送信判定部１２３は、攻撃内容判定部１２２が判定した攻撃内容を車両ログとして、ＳＯＣ２００に送信するか否かを判定する。例えば、ログ送信判定部１２３は、攻撃内容と、ルール追加情報とに基づいて、車両ログをＳＯＣ２００に送信するか否かを判定する。ログ送信判定部１２３は、例えば、攻撃内容判定部１２２が一致すると判定した検知ルールに対応するリスク値が閾値以上である場合、当該検知ルールの異常が発生していることを含む車両ログをＳＯＣ２００に送信すると判定してもよい。なお、車両ログは、ＳＯＣ２００へ直接送信されてもよいし、ディーラー等の作業員が診断機を用いて車両ログを吸い上げ、作業員がＳＯＣ２００へ送信してもよい。
ログ蓄積部１２４は、所定期間にＩＤＳ１１０から取得した検知ログを蓄積する。
ルール記憶部１２５は、検知ルール生成装置１が生成した検知ルールを蓄積する。ルール記憶部１２５は、セキュリティシステムに備えられた記憶装置の一例である。
ログ蓄積部１２４、及び、ルール記憶部１２５は、例えば、１つの半導体メモリ等により実現されてもよいし、互いに異なる半導体メモリ等により実現されてもよい。
なお、車載統合監視部１２０は、車両１００におけるログ情報に基づいて攻撃内容を判定するセキュリティシステムの一例である。
なお、車載統合監視部１２０は、車両１００に搭載されることに限定されない。図１６は、本開示に係る検知ルール生成装置が生成した検知ルールを用いた異常検知システムの機能構成の第２例を示すブロック図である。図１６では、検知ルールが車両ＳＩＥＭ２１０に用いられる例を示している。
図１６に示すように、例えば、ＳＯＣ２００ａの車両ＳＩＥＭ（Ｓｅｃｕｒｉｔｙ Ｉｎｆｏｒｍａｔｉｏｎ ａｎｄ Ｅｖｅｎｔ Ｍａｎａｇｅｍｅｎｔ）２１０は、車載統合監視部１２０と同様、ログ管理部２１１（取得部の一例）と、攻撃内容判定部２１２（判定部の一例）と、ログ蓄積部２１３と、ルール記憶部２１４（セキュリティシステムに備えられた記憶装置の一例）とを有する。つまり、車載統合監視部１２０の少なくとも一部の構成は、ＳＯＣ２００ａが備えていてもよい。
ログ管理部２１１、攻撃内容判定部２１２、ログ蓄積部２１３、及び、ルール記憶部２１４のそれぞれは、図１５に示すログ管理部１２１、攻撃内容判定部１２２、ログ蓄積部１２４、及び、ルール記憶部１２５のそれぞれと同様の構成であり、説明を省略する。
図１６に示すように、ＳＯＣ２００ａの車両ＳＩＥＭ２１０は、車両１００ａからＩＤＳ１１０の検知ログを含む車両ログを取得し、取得した車両ログと、検知ルール生成装置１が生成した検知ルールとに基づいて、分析結果をオペレータＨに出力する。図１６における車両ログは、ログ情報の一例である。
なお、ＳＯＣ２００ａは、車両１００ａにおけるログ情報に基づいて攻撃内容を判定するセキュリティシステムの一例である。また、車両ＳＩＥＭ２１０は、例えば、ＳＯＣ２００ａが備えるサーバにより実現される。
図１５及び図１６に示すように、検知ルール生成装置１が生成した検知ルールは、車両１００、及び、車両１００ａを監視するＳＯＣ２００ａの少なくとも一方において用いられる。
［４－２．異常検知システムの動作］
上記のように構成される異常検知システムの動作について、図１７及び図１８を参照しながら説明する。図１７は、本実施の形態に係る異常検知システムにおける異常検知動作の第１例を示すフローチャートである。図１８は、本実施の形態に係る異常検知システムにおける異常検知動作の第２例を示すフローチャートである。図１５及び図１６に示す異常検知システムのいずれかが、以下に示す図１７又は図１８に示す動作を行う。
図１７に示すように、ログ管理部１２１は、各ＩＤＳ１１０から検知ログを収集する（Ｓ４１０）。ログ管理部１２１は、例えば、所定期間の検知ログを収集する。
次に、攻撃内容判定部１２２は、ログ管理部１２１からの検知ログと、検知ルールとに基づいて、検知ルールを満たす異常があるか否かを判定する（Ｓ４２０）。攻撃内容判定部１２２は、検知ルールを満たす異常がある場合（Ｓ４２０でＹｅｓ）、異常を通知し（Ｓ４３０）、検知ルールを満たす異常がない場合（Ｓ４２０でＮｏ）、動作を終了する。
また、図１８に示すように、図１７に示すフローチャートにさらにステップＳ４４０を含めてもよい。ステップＳ４４０は、ルール追加情報として優先度が含まれる場合の動作を示す。
攻撃内容判定部１２２は、ステップＳ４２０でＹｅｓの場合、さらに、優先度が所定の条件を満たすか否かを判定する（Ｓ４４０）。所定の条件は、例えば、優先度が閾値以上であることである。攻撃内容判定部１２２は、優先度が当該検知ルールに対する閾値以上である場合（Ｓ４４０でＹｅｓ）、ステップＳ４３０に進み、優先度が当該検知ルールに対する閾値未満である場合（Ｓ４４０でＮｏ）、動作を終了する。
（その他の実施の形態）
以上、一つ又は複数の態様に係る検知ルール出力方法等について、各実施の形態に基づいて説明したが、本開示は、この各実施の形態に限定されるものではない。本開示の趣旨を逸脱しない限り、当業者が思いつく各種変形を本実施の形態に施したものや、異なる実施の形態における構成要素を組み合わせて構築される形態も、本開示に含まれてもよい。
例えば、上記各実施の形態等では、検知ルール生成装置は、車両構成情報、ＩＤＳ情報、及び、検知対象攻撃情報のそれぞれに基づいて検知ルールを生成する例について説明したが、これに限定されず、例えば、車両構成情報、ＩＤＳ情報、及び、検知対象攻撃情報の少なくとも１つに基づいて検知ルールを生成してもよい。
また、上記実施の形態等において、検知対象攻撃紐づけ部は、さらに、検知ルールにおけるＩＤＳの配置漏れを判定してもよい。検知対象攻撃紐づけ部は、例えば、図９Ｂ、又は、図１０Ｂに示す検知ルールにおいて、監視ＩＤＳが割り当てられていないＥＣＵがあるか否かを判定し、監視ＩＤＳが割り当てられていないＥＣＵがある場合、「当該ＥＣＵに対するＩＤＳの配置漏れ」であると判定し、アラートを上げてもよい。検知対象攻撃紐づけ部は、例えば、画像、又は、音声により、「当該ＥＣＵに対するＩＤＳの配置漏れ」であることを報知してもよい。検知対象攻撃紐づけ部は、ＩＤＳ情報に漏れがあることを報知するとも言える。
また、上記実施の形態等において、検知対象攻撃紐づけ部は、さらに、検知ルールにおける攻撃の検知漏れを判定してもよい。検知対象攻撃紐づけ部は、例えば、図９Ｂ、又は、図１０Ｂに示す検知ルールと検知対象攻撃情報とに基づいて、どのＩＤＳにも割り当たらない検知対象攻撃が存在するか否かを判定し、どのＩＤＳにも割り当たらない検知対象攻撃が存在する場合、「当該検知対象攻撃の検知漏れ」であると判定し、アラートを上げてもよい。検知対象攻撃紐づけ部は、例えば、画像、又は、音声により、「当該検知対象攻撃の検知漏れ」であることを報知してもよい。
また、上記実施の形態等におけるＳＯＣは、ＶＳＯＣ（Ｖｅｈｉｃｌｅ Ｓｅｃｕｒｉｔｙ Ｏｐｅｒａｔｉｏｎ Ｃｅｎｔｅｒ）とも称される。車両は、自動車に限定されず、二輪車、電車などであってもよい。なお、上記実施の形態等における検知ルールは、例えば、車両以外の移動体であって、外部装置と通信可能な移動体に適用されてもよい。当該移動体は、配送ロボット等の自立型のロボット、ドローン等の飛行体、船舶などであってもよい。
また、上記実施の形態等における車載ネットワークで用いられる通信規格は特に限定されず、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）、Ｅｔｈｅｒｎｅｔ（登録商標）、ＦｌｅｘＲａｙ、ＬＩＮ、ＭＯＳＴ（Ｍｅｄｉａ Ｏｒｉｅｎｔｅｄ Ｓｙｓｔｅｍｓ Ｔｒａｎｓｐｏｒｔ）等であってもよいし、それらの組み合わせであってもよい。
また、上記実施の形態等において、各構成要素は、専用のハードウェアで構成されるか、各構成要素に適したソフトウェアプログラムを実行することによって実現されてもよい。各構成要素は、ＣＰＵ又はプロセッサなどのプログラム実行部が、ハードディスク又は半導体メモリなどの記録媒体に記録されたソフトウェアプログラムを読み出して実行することによって実現されてもよい。
また、フローチャートにおける各ステップが実行される順序は、本開示を具体的に説明するために例示するためのものであり、上記以外の順序であってもよい。また、上記ステップの一部が他のステップと同時（並列）に実行されてもよいし、上記ステップの一部は実行されなくてもよい。
また、ブロック図における機能ブロックの分割は一例であり、複数の機能ブロックを一つの機能ブロックとして実現したり、一つの機能ブロックを複数に分割したり、一部の機能を他の機能ブロックに移してもよい。また、類似する機能を有する複数の機能ブロックの機能を単一のハードウェア又はソフトウェアが並列又は時分割に処理してもよい。
また、上記実施の形態等に係る検知ルール生成装置は、単一の装置として実現されてもよいし、複数の装置により実現されてもよい。検知ルール生成装置が複数の装置によって実現される場合、当該検知ルール生成装置が有する各構成要素は、複数の装置にどのように振り分けられてもよい。また、検知ルール生成装置が複数の装置で実現される場合、当該複数の装置間の通信方法は、特に限定されず、無線通信であってもよいし、有線通信であってもよい。また、装置間では、無線通信、及び、有線通信が組み合わされてもよい。
また、上記実施の形態等で説明した各構成要素は、ソフトウェアとして実現されても良いし、典型的には、集積回路であるＬＳＩとして実現されてもよい。これらは、個別に１チップ化されてもよいし、一部又は全てを含むように１チップ化されてもよい。ここでは、ＬＳＩとしたが、集積度の違いにより、ＩＣ、システムＬＳＩ、スーパーＬＳＩ、ウルトラＬＳＩと呼称されることもある。また、集積回路化の手法はＬＳＩに限るものではなく、専用回路（専用のプログラムを実行する汎用回路）、又は、汎用プロセッサで実現してもよい。ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）又は、ＬＳＩ内部の回路セルの接続若しくは設定を再構成可能なリコンフィギュラブル・プロセッサを利用してもよい。更には、半導体技術の進歩又は派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて構成要素の集積化を行ってもよい。
システムＬＳＩは、複数の処理部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）などを含んで構成されるコンピュータシステムである。ＲＯＭには、コンピュータプログラムが記憶されている。マイクロプロセッサが、コンピュータプログラムに従って動作することにより、システムＬＳＩは、その機能を達成する。
また、本開示の一態様は、図６、７Ａ、８Ａ、９Ａ、１０Ａ、１２、１４のいずれかに示される検知ルール生成方法もしくは検知ルール出力方法、又は、図１７、図１８のいずれかに示される異常検知方法に含まれる特徴的な各ステップをコンピュータに実行させるコンピュータプログラムであってもよい。
また、例えば、プログラムは、コンピュータに実行させるためのプログラムであってもよい。また、本開示の一態様は、そのようなプログラムが記録された、コンピュータ読み取り可能な非一時的な記録媒体であってもよい。例えば、そのようなプログラムを記録媒体に記録して頒布又は流通させてもよい。例えば、頒布されたプログラムを、他のプロセッサを有する装置にインストールして、そのプログラムをそのプロセッサに実行させることで、その装置に、上記各処理を行わせることが可能となる。
本開示は、車両で発生した異常を検知するための検知ルールを作成する装置等に有用である。
１、１ａ、１ｂ 検知ルール生成装置
１０ 車両構成情報取得部（第１取得部）
２０ ＩＤＳ情報取得部（第２取得部）
３０ 検知対象攻撃情報取得部（第３取得部）
４０、４０ａ 検知ルール生成部（生成部）
４１ 攻撃経路生成部
４２ 検知対象攻撃紐づけ部
４３ ルール追加情報付与部
５０ 制御部
６０ ルール追加情報取得部
７０ ルール絞り込み情報取得部
８０ ルール絞り込み部
１００、１００ａ 車両
１１０ ＩＤＳ
１２０ 車載統合監視部
１２１、２１１ ログ管理部（取得部）
１２２、２１２ 攻撃内容判定部（判定部）
１２３ ログ送信判定部
１２４、２１３ ログ蓄積部
１２５、２１４ ルール記憶部（記憶装置）
２００、２００ａ ＳＯＣ
２１０ 車両ＳＩＥＭ
Ｈ オペレータ

Claims (15)

  1. 車両におけるログ情報に基づいて攻撃内容を判定するセキュリティシステムにおいて用いられる検知ルールを出力する検知ルール出力方法であって、
    前記車両に搭載される車載ネットワークの構成に関する車両構成情報と、前記車両に搭載される１以上のＩＤＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）に関するＩＤＳ情報と、前記車両において検知する対象となる攻撃に関する検知対象攻撃情報とを取得し、
    前記車両構成情報、前記ＩＤＳ情報、及び、前記検知対象攻撃情報に基づいて生成した、前記車両において異常の発生した箇所と当該箇所で発生した異常とを検知するための検知ルールを、前記セキュリティシステムに備えられた記憶装置に対して出力する
    検知ルール出力方法。
  2. 前記車両構成情報は、前記車両に搭載される１以上のＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）を示す第１ＥＣＵ情報と、前記車両への攻撃のエントリーポイント、及び、アタックターゲットとなり得るＥＣＵに関する第２ＥＣＵ情報と、前記１以上のＥＣＵの接続関係を示す接続情報とを含み、
    前記検知ルールは、前記第１ＥＣＵ情報、前記第２ＥＣＵ情報、及び、前記接続情報に基づいて、前記エントリーポイントを基準とする前記１以上のＥＣＵそれぞれの深度を含むように生成された検知ルールである
    請求項１に記載の検知ルール出力方法。
  3. 前記検知ルールは、前記第１ＥＣＵ情報、前記第２ＥＣＵ情報、及び、前記接続情報に基づいて、前記エントリーポイントを基準とした場合における、前記１以上のＥＣＵそれぞれの相対的な接続関係における位置を示す搭載箇所を特定し、特定された前記搭載箇所に基づいて、前記１以上のＥＣＵのそれぞれにおける異常発生時の前記深度を割り当てることで生成された検知ルールである
    請求項２に記載の検知ルール出力方法。
  4. 前記車両構成情報は、前記車両に搭載される１以上のＥＣＵを示す第１ＥＣＵ情報と、前記車両への攻撃のエントリーポイント、及び、アタックターゲットとなり得るＥＣＵに関する第２ＥＣＵ情報と、前記１以上のＥＣＵの接続関係を示す接続情報とを含み、
    前記検知ルールは、前記第１ＥＣＵ情報、前記第２ＥＣＵ情報、及び、前記接続情報に基づいて、前記エントリーポイントとなり得る第１ＥＣＵを前記攻撃の起点、前記アタックターゲットとなり得る第２ＥＣＵを前記攻撃の終点とする攻撃経路を含むように生成された検知ルールである
    請求項１に記載の検知ルール出力方法。
  5. 前記検知ルールは、前記第２ＥＣＵ情報に基づいて、前記第１ＥＣＵと、前記第２ＥＣＵとを決定し、決定された前記第１ＥＣＵと前記第２ＥＣＵとの間の前記攻撃経路を前記第１ＥＣＵ情報及び前記接続情報に基づいて網羅的に導出することで生成された検知ルールである
    請求項４に記載の検知ルール出力方法。
  6. 前記車両構成情報は、前記車両に搭載される１以上のＥＣＵを示す第１ＥＣＵ情報を含み、
    前記ＩＤＳ情報は、前記車両に搭載される１以上のＥＣＵを監視する前記１以上のＩＤＳを示す監視ＩＤＳ情報と、前記１以上のＩＤＳがＥＣＵにおける異常を検知した際に出力する検知ログを示す出力検知ログ情報とを含み、
    前記検知ルールは、前記第１ＥＣＵ情報、前記監視ＩＤＳ情報、前記出力検知ログ情報、及び、前記検知対象攻撃情報に基づいて、前記車両における前記異常の内容を示す異常内容を含むように生成された検知ルールである
    請求項１に記載の検知ルール出力方法。
  7. 前記検知ルールは、
    前記第１ＥＣＵ情報と検知対象攻撃情報とに基づいて、前記１以上のＥＣＵのそれぞれに対して発生し得る攻撃を割り当て、
    前記監視ＩＤＳ情報に基づいて、各攻撃を検知するＩＤＳを割り当て、
    前記出力検知ログ情報に基づいて、攻撃検知時に前記１以上のＩＤＳのそれぞれが出力する検知ログを割り当てることで生成された検知ルールである
    請求項６に記載の検知ルール出力方法。
  8. 前記車両構成情報は、前記車両に搭載される１以上のＥＣＵを示す第１ＥＣＵ情報と、前記車両への攻撃のエントリーポイント、及び、アタックターゲットとなり得るＥＣＵに関する第２ＥＣＵ情報と、前記１以上のＥＣＵの接続関係を示す接続情報とを含み、
    前記ＩＤＳ情報は、前記車両に搭載される１以上のＥＣＵを監視する前記１以上のＩＤＳを示す監視ＩＤＳ情報と、前記１以上のＩＤＳがＥＣＵにおける異常を検知した際に出力する検知ログを示す出力検知ログ情報とを含み、
    前記検知ルールは、前記第１ＥＣＵ情報、前記第２ＥＣＵ情報、及び、前記接続情報に基づいて、前記エントリーポイントとなり得る第１ＥＣＵを前記攻撃の起点、前記アタックターゲットとなり得る第２ＥＣＵを前記攻撃の終点とする攻撃経路を導出し、
    前記第１ＥＣＵ情報、前記監視ＩＤＳ情報、前記出力検知ログ情報、及び、攻撃検知対象情報に基づいて、前記車両における前記異常の内容を示す異常内容を導出し、
    前記攻撃経路と、前記異常内容とを組み合わせた前記攻撃のシナリオを含むように生成された検知ルールである
    請求項１に記載の検知ルール出力方法。
  9. 前記攻撃経路は、前記第１ＥＣＵ情報、前記第２ＥＣＵ情報、及び、前記接続情報に基づいて、前記第１ＥＣＵを前記攻撃の起点、前記第２ＥＣＵを前記攻撃の終点として網羅的に導出された攻撃経路であり、
    前記異常内容は、複数の前記攻撃経路を構成するＥＣＵのそれぞれに対して、前記第１ＥＣＵ情報、及び、前記検知対象攻撃情報に基づいて、当該ＥＣＵに対して発生し得る攻撃を割り当て、前記監視ＩＤＳ情報に基づいて、各攻撃を検知するＩＤＳを割り当て、前記出力検知ログ情報に基づいて、攻撃検知時に前記１以上のＩＤＳが出力する検知ログを割り当てることで導出された異常内容である
    請求項８に記載の検知ルール出力方法。
  10. 前記検知ルールには、さらに、前記検知ルールに対する付加的な情報を含むルール追加情報が付与されており、
    前記ルール追加情報が付与された前記検知ルールが前記記憶装置に出力される
    請求項１～９のいずれか１項に記載の検知ルール出力方法。
  11. 前記ルール追加情報は、検知ルールの優先度、前記車両への影響に応じたリスク値、前記車両に搭載される１以上のＥＣＵに紐づいた攻撃容易性に応じた発生可能性、公知攻撃との類似度、及び、前記公知攻撃と一致する検知ルールであることを示すフラグの少なくとも１つを含む
    請求項１０に記載の検知ルール出力方法。
  12. 前記車両構成情報、前記ＩＤＳ情報、及び、前記検知対象攻撃情報に基づいて、複数の前記検知ルールが生成されており、
    複数の前記検知ルールから前記記憶装置に出力する１以上の検知ルールを絞り込むためのルール絞り込み情報に基づいて、複数の前記検知ルールから絞り込まれた前記１以上の検知ルールが前記記憶装置に出力される
    請求項１～１１のいずれか１項に記載の検知ルール出力方法。
  13. 前記ルール絞り込み情報は、特定の攻撃経路を含む検知ルール、及び、あり得ない異常の組み合わせを含む検知ルールの少なくとも１つを除外すること、又は、前記車両への影響が所定以上である検知ルール、及び、公知攻撃と一致する検知ルールの少なくとも１つを出力することのいずれかを含む
    請求項１２に記載の検知ルール出力方法。
  14. 前記記憶装置は、前記車両、及び、前記車両を監視するＳＯＣ（Ｓｅｃｕｒｉｔｙ Ｏｐｅｒａｔｉｏｎ Ｃｅｎｔｅｒ）におけるサーバの少なくとも一方に設けられている
    請求項１～１３のいずれか１項に記載の検知ルール出力方法。
  15. 請求項１～１４のいずれか１項に記載の検知ルール出力方法で出力された検知ルールを記憶する記憶部と、
    前記ログ情報を取得する取得部と、
    前記検知ルールと、前記ログ情報とに基づいて、車両における攻撃内容を判定する判定部とを備える
    セキュリティシステム。
JP2021134255A 2021-08-19 2021-08-19 検知ルール出力方法、及び、セキュリティシステム Active JP7523855B2 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2021134255A JP7523855B2 (ja) 2021-08-19 2021-08-19 検知ルール出力方法、及び、セキュリティシステム
PCT/JP2022/024699 WO2023021840A1 (ja) 2021-08-19 2022-06-21 検知ルール出力方法、及び、セキュリティシステム
US18/441,826 US20240223581A1 (en) 2021-08-19 2024-02-14 Detection rule output method, security system, and detection rule output device

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2021134255A JP7523855B2 (ja) 2021-08-19 2021-08-19 検知ルール出力方法、及び、セキュリティシステム

Publications (2)

Publication Number Publication Date
JP2023028510A true JP2023028510A (ja) 2023-03-03
JP7523855B2 JP7523855B2 (ja) 2024-07-29

Family

ID=85240522

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2021134255A Active JP7523855B2 (ja) 2021-08-19 2021-08-19 検知ルール出力方法、及び、セキュリティシステム

Country Status (3)

Country Link
US (1) US20240223581A1 (ja)
JP (1) JP7523855B2 (ja)
WO (1) WO2023021840A1 (ja)

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6761793B2 (ja) 2017-10-13 2020-09-30 日立オートモティブシステムズ株式会社 車両用制御装置
JP7113337B2 (ja) 2018-01-12 2022-08-05 パナソニックＩｐマネジメント株式会社 サーバ装置、車両装置、車両用システム及び情報処理方法
RU2706887C2 (ru) 2018-03-30 2019-11-21 Акционерное общество "Лаборатория Касперского" Система и способ блокирования компьютерной атаки на транспортное средство

Also Published As

Publication number Publication date
US20240223581A1 (en) 2024-07-04
JP7523855B2 (ja) 2024-07-29
WO2023021840A1 (ja) 2023-02-23

Similar Documents

Publication Publication Date Title
CN110463142B (zh) 车辆异常检测服务器、车辆异常检测系统及车辆异常检测方法
EP3621246B1 (en) Security processing method and server
US11115433B2 (en) System and method for content based anomaly detection in an in-vehicle communication network
CN106828362B (zh) 汽车信息的安全测试方法及装置
EP3407545B1 (en) Evaluation device, evaluation system, and evaluation method
US11405285B2 (en) Cyber-physical system evaluation
US20180196941A1 (en) Security system and methods for identification of in-vehicle attack orginator
WO2020261262A1 (en) Systems and methods for assessing risk in networked vehicle components
US11829472B2 (en) Anomalous vehicle detection server and anomalous vehicle detection method
US11971982B2 (en) Log analysis device
US11765191B2 (en) Information processing device and information processing method
JP7296555B2 (ja) 異常検知装置、異常検知方法及びプログラム
JP2021179935A (ja) 車両用異常検出装置及び車両用異常検出方法
CN111989678A (zh) 信息处理装置、信息处理方法以及程序
JPWO2020137743A1 (ja) 電子制御装置、電子制御システムおよびプログラム
US20240236131A1 (en) Vehicle security analysis apparatus, and method and program storage medium
US20230379344A1 (en) Information processing system, information processing method, and program
JP2023006513A (ja) 攻撃分析装置、攻撃分析方法、及び攻撃分析プログラム
WO2023021840A1 (ja) 検知ルール出力方法、及び、セキュリティシステム
US20230007033A1 (en) Attack analyzer, attack analysis method and attack analysis program
WO2023223515A1 (ja) 攻撃経路推定システム、攻撃経路推定装置、攻撃経路推定方法及びプログラム
WO2023233711A1 (ja) 情報処理方法、異常判定方法、および、情報処理装置
US20240236139A1 (en) Vehicle security analysis apparatus, method, and program storage medium
JP2023147061A (ja) 攻撃経路生成方法および攻撃経路生成装置
CN118862056A (zh) 车辆安全事件处理方法、装置、设备及存储介质

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20240130

A711 Notification of change in applicant

Free format text: JAPANESE INTERMEDIATE CODE: A711

Effective date: 20240304

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20240702

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20240712

R150 Certificate of patent or registration of utility model

Ref document number: 7523855

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150