JP2023046923A - 車両セキュリティ分析装置、方法およびそのプログラム - Google Patents

Abstract

【課題】多様化するサイバー攻撃を単発の攻撃に止まらず、所定期間内に発生した複数の個別攻撃パターンの関連性から攻撃シナリオを特定可能にする。【解決手段】車両セキュリティ分析装置が、車載装置から発生された複数のセンサログデータをもとに、先ず同一の個別攻撃を構成する可能性がある複数のセンサログデータを関連付けてセンサログデータの組合せを生成し、このセンサログデータの組合せを個別攻撃知識情報と突合することで個別攻撃パターンを特定する。次に、所定の期間内に共起された複数の個別攻撃パターンの組合せを攻撃シナリオ知識情報と突合して攻撃シナリオを特定する。そして、特定された上記個別攻撃パターンおよび上記攻撃シナリオを含む分析結果を出力する。【選択図】図４

Description

この発明の一態様は、例えば車両内に構築される車載ネットワークのセキュリティの状態を監視し分析するための車両セキュリティ分析装置と、この装置において実行される方法およびプログラムに関する。

近年、各車両メーカでは、電子制御ユニット（Electric Control Unit：ＥＣＵ）等を含む車載ネットワークと外部ネットワークのサーバ装置との間で各種データの授受を可能にしたコネクテッドカーの開発が進められている。コネクテッドカーは、例えばナビゲーションシステムの地図データの更新や自動運転に係る高度なサービスを実現する上できわめて有用であるが、車載ネットワークが外部ネットワークに接続されることから、外部のネットワークからマルウェアやウィルス等を用いたサイバー攻撃を受けるおそれがある。

そこで、最近ではセキュリティ・オペレーション・センタ（Security Operation Center：ＳＯＣ）を設け、この車両ＳＯＣにおいて車載システムに対するサイバー攻撃の種類や内容を分析する技術が種々検討されている（例えば特許文献１を参照）。

特開２０２０－１１９０９０号公報

ところが、車両ＳＯＣは、車両に対する攻撃を個別の攻撃と捉えて分析するものが主流である。しかし、コネクテッドカーに対するサイバー攻撃は今後益々多様化することが想定され、既存の車両ＳＯＣでは多様化する攻撃を的確に分析することが困難になると予想される。

この発明は上記事情に着目してなされたもので、多様化するサイバー攻撃を単発の攻撃に止まらず所定期間内に発生した複数の個別攻撃パターンの関連性から攻撃シナリオを特定することが可能な技術を提供しようとするものである。

上記課題を解決するためにこの発明の一態様は、車両に搭載された車載装置の動作状態に関係するセンサログデータを取得し分析する車両セキュリティ分析装置または分析方法において、前記センサログデータを取得し記憶するログデータ取得部または過程と、記憶された複数の前記センサログデータのうち、同一の個別攻撃を構成する可能性がある複数の前記センサログデータの組合せを生成し、生成された前記センサログデータの組合せを個別攻撃の知識情報として予め定義された複数の個別攻撃パターンと突合して対応する個別攻撃パターンを特定し、特定された前記個別攻撃パターンを表す情報を含む第１の分析情報を生成する第１の分析処理部または過程と、所定の期間内に得られる複数の前記個別攻撃パターンを、攻撃シナリオ知識情報として予め定義された複数の攻撃シナリオと突合して、前記複数の個別攻撃パターンにより構成される前記攻撃シナリオを特定し、特定された前記攻撃シナリオを表す情報を含む第２の分析情報を生成する第２の分析処理部または過程と、生成された前記第１の分析情報および前記第２の分析情報を含む分析結果を出力する分析結果出力処理部または過程とを具備するものである。

この発明の一態様によれば、車載装置から発生された複数のセンサログデータをもとに、先ず同一の個別攻撃を構成する可能性がある複数のセンサログデータの組合せに着目して、個別攻撃パターンが特定される。次に、所定の期間内に得られる複数の個別攻撃パターンの組合せに着目して、攻撃シナリオが特定される。そして、特定された上記個別攻撃パターンおよび攻撃シナリオが、分析結果として出力される。

従って、単発に発生する個別攻撃に止まらず、所定期間内に発生した複数の個別攻撃パターンの関連性から攻撃シナリオを特定することが可能になる。

図１は、この発明の一実施形態に係る車両セキュリティ監視システムの全体構成の一例を示す図である。 図２は、図示に示したシステムにおいてサイバーセキュリティの分析対象となる車載装置の構成の一例を示す図である。 図３は、この発明の一実施形態に係る車両セキュリティ分析装置のハードウェア構成を示すブロック図である。 図４は、この発明の一実施形態に係る車両セキュリティ分析装置の機能構成を示すブロック図である。 図５は、図４に示した車両セキュリティ分析装置のうち、ログ受信処理部、個別攻撃分析処理部および攻撃シナリオ分析処理部における入出力情報の一例を示す図である。 図６は、図４に示した車両セキュリティ分析装置による全体の処理手順と処理内容の一例を示すフローチャートである。 図７は、図６に示した処理手順のうちログ事前処理の処理手順と処理内容の一例を示すフローチャートである。 図８は、図６に示した個別攻撃分析処理の処理手順と処理内容の一例を示すフローチャートである。 図９は、図６に示した攻撃シナリオ分析処理の処理手順と処理内容の一例を示すフローチャートである。 図１０は、図６に示した処理手順のうち個別攻撃分析処理および攻撃シナリオ分析処理の一例を説明するための図である。 図１１は、図６に示した処理手順のうち個別攻撃分析処理および攻撃シナリオ分析処理の他の例を説明するための図である。

以下、図面を参照してこの発明に係わる実施形態を説明する。
［一実施形態］
（構成例）
（１）システム
図１は、この発明の一実施形態に係る車両セキュリティ監視システムの構成の一例を示す図である。

一実施形態に係る車両セキュリティ監視システムは、例えば車両メーカが運用するＯＥＭ（Original Equipment Manufacture）センタＣＮを備えている。なお、一般にＯＥＭセンタＣＮは車両メーカごとに設置されるが、ここでは一つの車両メーカのＯＥＭセンタＣＮを例にとって説明する。

車両メーカのＯＥＭセンタＣＮは、自社が管理する複数の車両ＭＶ１～ＭＶｎとの間で、移動通信ネットワークＭＮＷおよびゲートウェイＧＷ１を介してデータ伝送が可能になっている。ＯＥＭセンタＣＮは管理サーバＯＳＶを備える。ＯＥＭセンタＣＮは、管理サーバＯＳＶの制御の下、車両ＭＶ１～ＭＶｎに対して当該車両向けの各種サービスを提供する。またＯＥＭセンタＣＮは、上記車両ＭＶ１～ＭＶｎから送信されるセンサログデータを上記移動通信ネットワークＭＮＷおよびゲートウェイＧＷ１を介して収集すると共に、車両ＭＶ１～ＭＶｎに対してソフトウェアやソフトウェアの設定情報を配信する役割を担う。
なお、移動通信ネットワークＭＮＷとしては、例えばセルラ移動通信ネットワークまたは無線ＬＡＮ（Local Area Network）が用いられるが、これに限るものではない。

車両メーカのＯＥＭセンタＣＮには、セキュリティ・オペレーション・センタ（Security Operation Center：ＳＯＣ）サーバＳＳＶが接続される。車両ＳＯＣサーバＳＳＶは、この発明の一実施形態に係る車両セキュリティ分析装置として動作されるもので、その機能については後に詳しく説明する。

車両メーカのＯＥＭセンタＣＮは、ゲートウェイＧＷ２を介してインターネットＩＮＷにも接続され、このインターネットＩＮＷを介して外部サーバＥＳＶとの間でもデータ通信が可能となっている。外部サーバＥＳＶは、例えばＡｕｔｏ－ＩＳＡＣ（Automotive Information Sharing and Analysis Center）が運用管理するもので、コネクテッドカー関連のサイバー脅威や潜在的な脆弱性に関する脅威情報を蓄積するデータベースを備え、当該データベースに蓄積された情報を車両ＳＯＣサーバＳＳＶに提供する。

また車両セキュリティ監視システムは、例えば車両メーカが個々に運用するＰＳＩＲＴ（Product Security Incident Response Team）サーバＩＳＶを備えている。ＳＩＲＴサーバＩＳＶは、対応する車両メーカのＯＥＭセンタＣＮとの間、および車両ＳＯＣサーバＳＳＶとの間でデータ伝送が可能となっている。

ＳＩＲＴサーバＩＳＶは、例えば車両メーカまたはその車載装置の開発ライフサイクルを通じて必要な安全管理、サポート、インシデント対応を実施するための組織（ＰＳＩＲＴ）が運用する。ＳＩＲＴサーバＩＳＶは、例えば、車両メーカ固有のサイバー脅威情報を記憶する脅威情報データベースを有し、車両ＳＯＣサーバＳＳＶからの要求に応じてサイバー脅威情報を車両ＳＯＣサーバＳＳＶへ送信する。

またＳＩＲＴサーバＩＳＶは、例えば、車両ＳＯＣサーバＳＳＶから提供されるセキュリティ分析レポートをＰＳＩＲＴの管理者に提示する。そして、上記分析レポートをもとにＰＳＩＲＴの管理者が車両メーカ別に決定された対応方針等を入力した場合に、当該対応方針等を含むリコール指示を該当車両に向けて送信する機能を有する。なお、サイバー脅威情報は、例えば脅威の種別と危険度の尺度との組み合わせにより定義される。分析レポートも、例えば上記脅威の種別と危険度の尺度との組み合わせを用いて記述される。

（２）装置
（２－１）車載装置ＶＵ
図２は、車両ＭＶ１～ＭＶｎにそれぞれ搭載される車載装置ＶＵの構成の一例を示すブロック図である。

車載装置ＶＵは、複数の電子制御ユニット（Electric Control Unit：ＥＣＵ）４を備えている。ＥＣＵ４は、例えばＣＡＮ（Control Area Network）と呼称される車載ネットワーク２を介して、車載ゲートウェイ（ＣＧＷ）１に接続される。ＣＧＷ１には、通信制御ユニット（ＴＣＵ）５およびナビゲーション装置（ＩＶＩ）３が接続される。

ＥＣＵ４は、それぞれがプロセッサにプログラムを実行させることにより所定の制御機能を果たすように構成され、例えばエンジンやトランスミッション、操舵角、アクセル、ブレーキ等を制御する装置、ウィンカーやライト、ワイパーを制御する装置、ドアロックおよび窓の開閉を制御する装置、空調を制御する装置等として用いられる。また、車両ＭＶ１～ＭＶｎには、速度センサや温度センサ、振動センサ等の車両の動作状態に係る各種車両センサの計測データをはじめ、運転者等を含む車内の状態を監視する車内センサ、車外の状況を監視する車外センサ等の多くのセンサが設けられており、ＥＣＵ４はこれらのセンサから出力されるセンシングデータを取り込む装置としても用いられる。さらにＥＣＵ４は、自動運転制御装置や運転者の状態を監視する装置としても用いられ、いずれも複数のセンサから出力されるセンシングデータを取り込んで、所定の制御処理を実行する。

ＴＣＵ５は、車載装置ＶＵと移動通信ネットワークＭＮＷとの間で例えばＴＣＰ／ＩＰ（Transmission Control Protocol/Internet Protocol）を使用して無線通信を行うもので、運転者または搭乗者の通話データを送受信したり、Ｗｅｂサイトからナビゲーション更新データを受信したり、車載装置ＶＵの各構成要素の動作状態の検出結果を示すログデータを車両メーカのＯＥＭセンタＣＮへ送信するために用いられる。

ＩＶＩ３は、ＵＳＢポートおよび無線インタフェースを有している。そして、ＵＳＢポートを介してＵＳＢ機器（図示省略）との間で各種データの書き込みおよび読み出しを行うと共に、無線インタフェースを介してスマートフォン等の携帯端末との間のデータの送受信や外部との間のデータの送受信を行う機能を有している。なお、無線インタフェースとしては、例えばBluetooth（登録商標）またはWiFi（登録商標）が用いられる。

上記ＴＣＵ５およびＩＶＩ３にはそれぞれセンサが備えられている。これらのセンサは、ＴＣＵ５およびＩＶＩ３自体の動作監視と共に、移動通信ネットワークＭＮＷまたは各無線インタフェースおよびＵＳＢ端子から潜入するウィルス等の監視を行う。ＴＣＵ５およびＩＶＩ３は、ＴＣＵ５およびＩＶＩ３の上記各センサによる異常等の検出結果を、上記ＥＣＵ４およびＣＧＷ１においてセンサにより検出される異常の検出結果と共に、センサログデータとして上記ＯＥＭセンタＣＮへ送信する。

なお、車載装置ＶＵは、外部インタフェースポート（ＯＢＤ－II）６を有している。このＯＢＤ－IIポート６には、試験装置やパーソナルコンピュータが接続可能である。試験装置やパーソナルコンピュータは、例えばＥＣＵ４の試験を行ったり、ＥＣＵ４に対し更新プログラムや制御データをインストールするために使用される。

ＣＧＷ１は、ＴＣＵ５と各ＥＣＵ４、ＩＶＩ３およびＯＢＤ－IIポート６との間でデータ転送を行う際に、それぞれＩＰ／ＣＡＮのプロトコル変換を行う。なお、ＣＧＷ１にもその動作異常等を監視するためのセンサが備えられ、ＣＧＷ１は上記センサによる動作異常などの検出結果を、センサログデータとして上記ＴＣＵ５から上記ＯＥＭセンタＣＮへ送信する。

（２－２）車両ＳＯＣサーバＳＳＶ
図３および図４は、それぞれ車両ＳＯＣサーバＳＳＶのハードウェア構成およびソフトウェア構成を示すブロック図である。

車両ＳＯＣサーバは、車両ＭＶ１～ＭＶｎに対し行われたサイバー攻撃について、車両メーカのＯＥＭセンタＣＮに代わって或いは補完するように分析処理を行い、その分析結果に基づいて生成される分析レポートを対応する車両メーカのＳＩＲＴサーバＩＳＶに通知する機能を備える。

車両ＳＯＣサーバＳＳＶは、例えばクラウド上に配置されるサーバコンピュータからなり、中央処理ユニット（Central Processing Unit：ＣＰＵ）等のハードウェアプロセッサを使用した制御部１０を備える。そして、この制御部１０に対し、バス５０を介して、プログラム記憶部２０およびデータ記憶部３０を有する記憶ユニットと、通信Ｉ／Ｆ４０を接続したものとなっている。

通信Ｉ／Ｆ４０は、制御部１０の制御の下、ネットワークＮＷにより定義される通信プロトコルを使用して、各車両メーカのＯＥＭセンタＣＮおよびＳＩＲＴサーバＩＳＶとの間で、それぞれデータ伝送を行う。

プログラム記憶部２０は、例えば、記憶媒体としてＨＤＤ（Hard Disk Drive）またはＳＳＤ（Solid State Drive）等の随時書込みおよび読出しが可能な不揮発性メモリと、ＲＯＭ（Read Only Memory）等の不揮発性メモリとを組み合わせて構成したもので、ＯＳ（Operating System）等のミドルウェアに加えて、この発明の一実施形態に係る各種制御処理を実行するために必要なプログラムを格納する。

データ記憶部３０は、例えば、記憶媒体として、ＨＤＤまたはＳＳＤ等の随時書込みおよび読出しが可能な不揮発性メモリと、ＲＡＭ（Random Access Memory）等の揮発性メモリと組み合わせたもので、この発明の一実施形態を実施するために必要な記憶領域として、ログデータ記憶部３１と、拡張情報記憶部３２と、分析対象ログ記憶部３３と、個別攻撃分析結果記憶部３４と、攻撃シナリオ分析結果記憶部３５と、統計分析結果記憶部３６と、分析レポート記憶部３７とを備えている。

ログデータ記憶部３１は、車両メーカのＯＥＭセンタＣＮから取得されたすべてのセンサログデータを、車両メーカの識別情報または取得元のＯＥＭセンタＣＮの識別情報と対応付けて一旦記憶するために用いられる。

拡張情報記憶部３２には、個別攻撃および攻撃シナリオの分析に必要となる拡張情報が予め記憶されている。拡張情報には、例えば、システム構成、ＩＰアドレスから地域を特定するために用いるGeoIP、緯度経度から住所を検索するReverse Geocoding、共通脆弱性識別子CVE、ドメインの所有者情報Whoisが含まれる。

分析対象ログ記憶部３３は、上記ログデータ記憶部３１に記憶されたセンサログデータから抽出される分析対象のログデータを記憶するために用いられる。

個別攻撃分析結果記憶部３４は、上記分析対象のログデータを分析することにより得られる個別攻撃の分析結果を表す情報を記憶するために使用される。

攻撃シナリオ分析結果記憶部３５は、上記個別攻撃の分析結果をさらに分析することにより得られる攻撃シナリオの分析結果を表す情報を記憶するために使用される。

統計分析結果記憶部３６は、個別攻撃の分析結果および攻撃シナリオの分析結果をもとに分析される、複数の車両への攻撃の関連性と攻撃の傾向性を表す情報を含む統計情報を記憶するために使用される。

分析レポート記憶部３７は、上記分析対象のログデータ、上記個別攻撃の分析結果、上記攻撃シナリオの分析結果および上記統計情報をもとに生成される分析レポート情報を記憶するために使用される。

制御部１０は、この発明の一実施形態に係る処理機能として、ログデータ受信処理部１１と、個別攻撃分析処理部１２と、攻撃シナリオ分析処理部１３と、関連性分析処理部１４と、傾向性分析処理部１５と、分析レポート生成処理部１６と、分析レポート送信処理部１７とを備える。これらの処理部１１～１７は、何れもプログラム記憶部２０に格納されたプログラムを制御部１０のハードウェアプロセッサに実行させることにより実現される。

図５は、上記各処理部１１～１７のうち、この発明に係るログデータ受信処理部１１、個別攻撃分析処理部１２および攻撃シナリオ分析処理部１３における入出力データと、当該各処理部１１～１３が使用する処理ルールの一例を示す図である。各処理ルールはいずれもプログラム記憶部２０に記憶されるプログラムにより実現される。

図５において、センサログ関連付けルール、センサログ除外ルール、個別攻撃ＩＤ割当ルール、個別攻撃分析ルール、個別攻撃分析結果整形ルールおよび攻撃シナリオ分析実施判定ルールは、個別攻撃検知ロジックを構成する。また、仮紐付け判定ルール、紐付け確定判定ルール、攻撃シナリオ分析ルールおよび攻撃シナリオ分析結果整形ルールは、攻撃シナリオ検知ロジックを構成する。

ログデータ受信処理部１１は、上記ログデータ記憶部３１からセンサログデータを読み込み、フィルタリングルールおよび拡張ルールに従い上記センサログデータから分析対象のログデータの抽出および拡張情報の付加を行う。そして、必要に応じて事前分析ルールに従い事前分析処理を行い、処理が終了した分析対象のログデータを分析対象ログ記憶部３３に記憶させる。

個別攻撃分析処理部１２は、上記分析対象ログ記憶部３３から分析対象のログデータを読み込み、センサログ関連付けルールおよびセンサログ除外ルールに従い、上記読み込まれた分析対象のログデータのうち同一の個別攻撃を構成する可能性が高いログデータを関連付けて、ログデータの組合せを生成する。

また個別攻撃分析処理部１２は、個別攻撃ＩＤ付与ルールに従い、生成された上記ログデータの組合せに対応する個別攻撃パターンを、予め用意されている個別攻撃知識情報を参照することで特定する。そして、個別攻撃分析ルールに従い、個別攻撃毎に定義されたテンプレートに、特定された上記個別攻撃パターンを構成する複数のセンサログデータに含まれる値を記載することで、個別攻撃の分析結果を表す情報を生成する。

さらに個別攻撃分析処理部１２は、必要に応じて個別攻撃分析結果整形ルールに従い上記分析結果を表す情報を整形し、さらに攻撃シナリオ分析実施判定ルールに従い上記個別攻撃の分析結果が攻撃シナリオの分析に提供可能か否かを判定する。そして、提供可能と判定された個別攻撃の分析結果を表す情報を、個々の車両に対する「点」の攻撃を表す分析情報として、上記個別攻撃分析結果記憶部３４に記憶させる処理を行う。

攻撃シナリオ分析処理部１３は、上記個別攻撃分析結果記憶部３４から所定の期間内に得られた複数の個別攻撃パターンの分析結果を読み込む。そして、仮紐付け判定ルールに従い、上記複数の個別攻撃パターンの分析結果を予め用意されている攻撃シナリオ知識情報で定義される複数の攻撃シナリオと突合して、上記個別攻撃パターンを含む攻撃シナリオを特定し、かつ当該攻撃シナリオ内における上記個別攻撃パターンのステップ位置を特定する。そして攻撃シナリオ分析処理部１３は、上記攻撃シナリオの特定結果をもとに、紐付け確定判定ルールに従い攻撃シナリオを特定する。

また攻撃シナリオ分析処理部１３は、攻撃シナリオ分析ルールに従い、上記特定された攻撃シナリオと当該攻撃シナリオを構成する上記個別攻撃パターン、および当該各攻撃派端を構成するセンサログデータに含まれる値を、攻撃シナリオ毎に定義されたテンプレートに記載することにより攻撃シナリオの分析結果を表す情報を生成する。

さらに攻撃シナリオ分析処理部１３は、上記攻撃シナリオの分析結果を、必要に応じて攻撃シナリオ分析結果整形ルールに従い整形する。そして、整形処理後の攻撃シナリオの分析結果を表す情報を、個々の車両に対する一連の攻撃シナリオ（「線」の攻撃）を表す分析情報として、攻撃シナリオ分析結果記憶部３５に記憶させる。

関連性分析処理部１４は、上記個別攻撃分析結果記憶部３４および攻撃シナリオ分析結果記憶部３５に記憶された個別攻撃の分析結果または攻撃シナリオの分析結果に基づいて、複数の車両ＭＶ１～ＭＶｎを対象とする個別攻撃又は攻撃シナリオの集計を行う。そして、その集計結果を表す情報を、複数の車両ＭＶ１～ＭＶｎに対する一連の「面」の攻撃の一つを表す情報として、統計分析結果記憶部３６に記憶させる処理を行う。

傾向性分析処理部１５は、上記個別攻撃分析結果記憶部３４に記憶された個別攻撃の分析結果または攻撃シナリオ分析結果記憶部３５に記憶された攻撃シナリオの分析結果を任意の観点で分析する。そして、その分析結果を表す情報を、複数の車両ＭＶ１～ＭＶｎに対する一連の「面」の攻撃の一つを表す情報として、統計分析結果記憶部３６に記憶させる処理を行う。

分析レポート生成処理部１６は、上記分析対象のログデータ、上記個別攻撃の分析結果、上記攻撃シナリオの分析結果、および上記統計情報をもとに、予め用意されたテンプレートに従い分析レポート情報を生成する。分析レポート情報は、個々の車両に対する個別攻撃（「点」の攻撃）の分析結果と、攻撃シナリオ（「線」の攻撃）の分析結果と、複数の車両に対する攻撃の関連性および傾向性（「面」の攻撃）の分析結果がそれぞれ反映されたものとなる。分析レポート生成処理部１６は、生成された上記分析レポート情報を分析レポート記憶部３７に記憶させる。

分析レポート送信処理部１７は、例えばＡＰＩ（Application Programming Interface）サーバにより構成される。分析レポート送信処理部１７は、ＳＩＲＴサーバＩＳＶから送られる取得要求に応じて上記分析レポート記憶部３７から分析レポート情報を読み出し、読み出された上記分析レポート情報を通信Ｉ／Ｆ４０から要求元のＳＩＲＴサーバＩＳＶへ送信する処理を行う。

（動作例）
次に、以上のように構成された車両ＳＯＣサーバＳＳＶの動作例を説明する。
（１）車載装置ＶＵに関係するサイバー攻撃の種類
車載装置ＶＵに対するサイバー攻撃の種類には、例えば、
(a) 改ざんされたＷｅｂサイトや攻撃者の端末から、インターネットＩＮＷを経由して車載装置ＶＵ内の通信機器（例えばＴＣＵ５やＩＶＩ３）にマルウェア感染等を引き起こす攻撃
(b) 外部の無線通信機器から車載装置ＶＵの通信機器（例えばＴＣＵ５またはＩＶＩ３）に対し、悪意を持った遠隔操作コマンドを送信し、運転者の意図に反した操作を引き起こす攻撃
(c) ＯＢＤ－IIポート６にパーソナルコンピュータ等の外部端末を不正に接続し、この外部端末からＥＣＵ４等に対し不正コマンドを入力してＥＣＵ４の設定変更やＥＣＵ４の情報の搾取、運転者の意図に反した操作を引き起こす攻撃
(d) マルウェアに感染済のスマートフォン等の携帯端末をBluetoothまたはWiFiの無線インタフェースに接続し、上記携帯端末を踏み台として車載装置ＶＵのＥＣＵ４等への不正コマンドの送信や、ＯＳの乗っ取り、ファームウェアの書き換え等を行う攻撃
(e) ＩＶＩ３のアプリケーションにマルウェアを感染させ、車載装置ＶＵのＥＣＵ４等への不正コマンドの送信や、ＯＳの乗っ取り、ファームウェアの書き換え等を行う攻撃
等がある。

また、サイバー攻撃のパターンには、例えば以下の複数の段階がある。
(1) 初期潜入；例えば車載装置ＶＵの通信機器（ＴＣＵ５やＩＶＩ３）に対しマルウェア等を感染させる行為
(2) 基盤構築；マルウェアを感染させた通信機器（ＴＣＵ５やＩＶＩ３）から、例えば車両メーカのＯＥＭセンタＣＮまたはインターネットＩＮＷを介して、攻撃者のサーバや端末との間にＣ＆Ｃ通信による遠隔制御基盤を構築する行為
(3) 内部潜入・調査；例えばＴＣＵ５、ＩＶＩ３またはＣＧＷ１内に潜入してその内部調査を行う行為
(4) 目的遂行；ＴＣＵ５、ＩＶＩ３またはＥＣＵ４から情報を搾取する行為や、ＴＣＵ５またはＩＶＩ３を踏み台としてＯＥＭセンタＣＮまたはインターネットＩＮＷに接続されたサーバ等に対し攻撃する行為、ＴＣＵ５またはＩＶＩ３を経由してＥＣＵ４等の車載装置ＶＵ内部の構成要素を遠隔制御する行為
(5) 初期潜入＋目的遂行；ＴＣＵ５またはＩＶＩ３に潜入した後、上記基盤構築や内部潜入・調査の段階を省いて、上記情報の搾取や、車載装置ＶＵを踏み台としたＯＥＭセンタＣＮまたはインターネットＩＮＷに接続されたサーバ等への攻撃、ＥＣＵ４等の車載装置ＶＵ内部の構成要素を遠隔制御する行為。

以上のようなサイバー攻撃の種類およびパターンを考慮し、車載装置ＶＵ内の各構成要素、例えばＴＣＵ５、ＩＶＩ３、ＥＣＵ４およびＣＧＷ１には、それぞれセンサが設置される。

例えば、ＴＣＵ５およびＩＶＩ３には、ネットワーク経由の攻撃をＴＣＵ５またはＩＶＩ３において検出するホスト設置型センサが設けられる。このセンサは、例えば、脅威インテリジェンス（ＩＰアドレス）との突き合わせにより攻撃を検出する機能、通常では発生しない送受信ＩＰアドレス、ポートへのアクセス（許可／拒否／廃棄）の発生や、ログイン成功／失敗の発生、送受信ＭＡＣ（Media Access Control Address）アドレスの発生を異常として検出する機能、ＳＳＬ／ＴＳＬ証明書の検証エラーログを異常として検出する機能、ＣＡＮ２のＩＤフィルタの検証による拒否ログの発生を異常として検出する機能、ＣＡＮ２のＩＤＳ検査ロジックで検出されたものを異常として検出する機能、ＣＡＮメッセージのＭＡＣ検証エラーの発生を異常として検出する機能を有する。

また、ＴＣＵ５およびＩＶＩ３には、当該ＴＣＵ５およびＩＶＩ３上で発生した攻撃を検出するセンサも設けられる。このセンサは、例えば、アンチウイルスのシグネチャで検出したものを攻撃として検出する機能、サンドボックスの動的解析／ふるまい検知で検出したものを攻撃として検出する機能、ホワイトリスティングの実行禁止ファイルの実行試行時のログを異常として検出する機能、署名不整合の検出ログを異常として検出する機能、通常発生しないログイン成功／失敗が発生した際に異常として検出する機能、通常発生しない権限操作を異常として検出する機能、通常発生しないプロセスの実行／終了を異常として検出する機能、通常発生しないリソース利用量の増加等を異常として検出する機能、セキュアブート時の署名不整合を異常として検出する機能を有する。

いずれのセンサも、それぞれ検出結果を示すセンサログデータを、例えば通信終了後に出力する。各センサログデータは、車載装置ＶＵの例えばＴＣＵ５から対応する車両メーカのＯＥＭセンタＣＮへ送信される。また、車両メーカのＯＥＭセンタＣＮにもセンサが設置される。このセンサは、車載装置ＶＵに対するネットワーク経由の攻撃をネットワーク上で検出するもので、先に述べたホスト設置型センサとほぼ同様の機能を有する。
なお、センサログデータを、以後センサログまたはログデータとも呼ぶ。

（２）車両ＳＯＣサーバＳＳＶにおけるサイバー攻撃の分析
図６は、車両ＳＯＣサーバＳＳＶの全体の処理手順と処理内容の一例を示すフローチャートである。

（２－１）センサログデータの取得
各車両ＭＶ１～ＭＶｎの車載装置ＶＵでは、先に述べたようにＴＣＵ５およびＩＶＩ３等の各構成要素に設置されたセンサが、サイバー攻撃による異常の発生を監視している。そして、異常の発生が検出されるとその検出結果を示すセンサログデータが、検出時刻を表すタイムスタンプ情報と、センサの識別情報または異常の発生を検出した構成要素、例えばＴＣＵ５またはＩＶＩ３の識別情報と紐付けられた状態で、対応する車両メーカのＯＥＭセンタＣＮへ送信される。

車両メーカのＯＥＭセンタＣＮは、自社が製造または販売管理する車両ＭＶ１～ＭＶｎから送信されたセンサログデータを受信すると、受信されたセンサログデータを、検出時刻または受信時刻を示すタイムスタンプ情報と、検出元のセンサの識別情報または異常の発生が検出された構成要素の識別情報と紐付けた状態で一旦保存する。そして、例えば車両ＳＯＣサーバＳＳＶからの取得要求に応じて、車両メーカの識別情報と共に車両ＳＯＣサーバＳＳＶへ転送する。

これに対し、車両ＳＯＣサーバＳＳＶの制御部１０は、ステップＳ１により分析対象データの取得タイミングになるまで待機し、取得タイミングになるとステップＳ２において、車両メーカのＯＥＭセンタＣＮに対し取得要求を送信する。そして、上記取得要求に応じてＯＥＭセンタＣＮから転送される、未取得のセンサログデータを通信Ｉ／Ｆ４０を介して受信する。さらに、受信された上記センサログデータを、検出時刻を示すタイムスタンプ情報と、検出元のセンサの識別情報または異常の発生が検出された構成要素の識別情報、および車両メーカの識別情報とそれぞれ対応付けた状態で、ログデータ記憶部３１に記憶させる。すなわち、車両ＳＯＣサーバＳＳＶはポーリング方式によりセンサログデータを取得する。

なお、車両ＳＯＣサーバＳＳＶによるセンサログデータの取得処理は、上記ポーリング方式を使用する以外に、ＯＥＭセンタＣＮが車両ＭＶ１～ＭＶｎからセンサログデータを受信したときに自律的に転送するセンサログデータを受動的に取得するものであってもよい。

（２－２）センサログデータに対する前処理
車両ＳＯＣサーバＳＳＶの制御部１０は、分析処理に先立ち、ログデータ受信処理部１１の制御の下、ステップＳ３においてセンサログデータに対する前処理を行う。

図７は、ログデータ受信処理部１１によるログデータの前処理手順と処理内容を示すフローチャートである。

ログデータ受信処理部１１は、ログデータ記憶部３１から例えば分析対象とする個々の車両に係るセンサログデータを読み込む。そしてログデータ受信処理部１１は、先ずステップＳ３１において、フィルタリングルールに従い、分析に使用しないセンサログデータを除外して必要なセンサログデータを選別する処理を行う。例えば、重複するセンサログデータ、発生元のセンサ種別による不要なセンサログデータ、およびログ項目の値に基づく不要なセンサログデータをそれぞれ排除する。

ログデータ受信処理部１１は、続いてステップＳ３２において、拡張ルールに従い、フィルタリング処理後の上記センサログデータに対し、後段の個別攻撃および攻撃シナリオの分析に必要となる拡張情報を拡張情報記憶部３２から読み出して付加する。付加される拡張情報としては、例えば、先に述べたようにシステム構成、ＩＰアドレスから地域を特定するために用いるGeoIP、緯度経度から住所を検索するReverse Geocoding、共通脆弱性識別子CVE、ドメインの所有者情報Whoisが考えられる。

ログデータ受信処理部１１は、続いてステップＳ３３において、事前分析ルールに従い、上記選別されかつ拡張されたセンサログデータに対し、後段の分析に必要となる情報を付加する処理と、後段の分析に対する要否判定を行う。付加対象の情報としては、例えばログの発生原因となった通信の発生元、および通信先となるＥＣＵ４の識別情報が考えられる。また要否判定では、例えばセンサログデータが分析の起点となるログであるか否かが判定される。

ログデータ受信処理部１１は、最後にステップＳ３４において、上記一連の処理が終了したセンサログデータを、分析対象のログデータとして分析対象ログ記憶部３３に保存させる。なお、ログデータ受信処理部１１は、上記分析に必要なセンサログデータを選別する処理と、上記拡張情報をセンサログデータに付加する処理のうち、一方のみを行うようにしてもよい。

（２－３）個別攻撃の分析
車両ＳＯＣサーバＳＳＶの制御部１０は、次に個別攻撃分析処理部１２の制御の下、ステップＳ４において、分析対象のログデータをもとに個々の車両に対する個別攻撃の種類等を分析する。

図８は、個別攻撃分析処理部１２による分析処理の処理手順と処理内容の一例を示すフローチャートである。

個別攻撃分析処理部１２は、上記分析対象ログ記憶部３３から車両別に分析対象のログデータを読み込む。そして、個別攻撃分析処理部１２は、先ずステップＳ４１において、センサログ関連付けルールに従い、同一の個別攻撃を構成する可能性がある複数のログデータを選択し、選択された複数のログデータを相互に関連付けることで、同一攻撃に係るログデータの組合せを生成する。例えば、車両識別番号（Vehicle Identification Number：ＶＩＮ）が同一であること、ログデータの検出時刻が所定期間内に含まれることを条件とし、当該各条件に該当するログデータを関連付けてログデータの組合せを生成する。

個別攻撃分析処理部１２は、続いてステップＳ４２において、センサログ除外ルールに従い、予め記憶されている個別攻撃の知識情報に基づいて、上記ログデータの組合せが存在し得ない組合せであるか否かを判定し、その判定結果に基づいて存在し得ない組合せを分析対象から除去する。

個別攻撃分析処理部１２は、次にステップＳ４３において、個別攻撃ＩＤ付与ルールに従い、上記ログデータの組合せを、上記個別攻撃の知識情報に定義される複数の個別攻撃パターンとそれぞれ突合する。そして、突合結果をもとに、上記ログデータの組合せに対応する個別攻撃パターンを特定し、上記ログデータの組合せに対し上記特定された個別攻撃パターンに対応する個別攻撃ＩＤを付与する。具体的には、例えばログデータに含まれるセンサ設置箇所の識別情報およびセンサ種別の少なくとも一方に基づいて個別攻撃パターンを特定し、その個別攻撃ＩＤを付与する。

以上述べた個別攻撃パターンの特定処理の一例を、図１０および図１１に示す例１および例２を用いて説明する。
図１０に示す例１では、所定期間に含まれる時刻ｔ１、ｔ２、ｔ３にそれぞれ得られたセンサログＬ４，Ｌ５，Ｌ６の組合せ、センサログＬ１，Ｌ２，Ｌ３の組合せ、センサログＬ７，Ｌ８，Ｌ９の組合せが、それぞれ個別攻撃知識情報に定義される複数の個別攻撃パターンＰ２，Ｐ１，Ｐ３に対応する。このため、上記センサログＬ４，Ｌ５，Ｌ６の組合せ、センサログＬ１，Ｌ２，Ｌ３の組合せ、センサログＬ７，Ｌ８，Ｌ９の組合せに対し、それぞれ上記各個別攻撃パターンの識別情報Ｐ２，Ｐ１，Ｐ３が個別攻撃ＩＤとして付与される。

図１１に示す例２では、時刻ｔ１に得られたセンサログＬ１，Ｌ２の組合せが個別攻撃知識情報に定義される個別攻撃パターンＰ１とＰ２に対応し、またその後の時刻Ｔ２において得られたセンサログＬ３，Ｌ４，Ｌ５の組合せが個別攻撃知識情報に定義される個別攻撃パターンＰ３とＰ４とＰ５に対応する。このため、上記センサログＬ１，Ｌ２の組合せに対しては、個別攻撃パターンの識別情報Ｐ１とＰ２が個別攻撃ＩＤとして付与され、またセンサログＬ３，Ｌ４，Ｌ５の組合せに対しては、個別攻撃パターンＰ３とＰ４とＰ５が個別攻撃ＩＤとして付与される。

個別攻撃分析処理部１２は、次にステップＳ４４において、個別攻撃分析ルールに従い、個別攻撃ＩＤ毎に定義されたテンプレートに、特定された上記個別攻撃パターンを構成する複数のセンサログデータに含まれる値を記載することで、個別攻撃の分析結果を表す情報、つまり個々の車両ＭＶ１～ＭＶｎに対する「点」の攻撃を表す分析情報を生成する。

個別攻撃分析処理部１２は、続いてステップＳ４５において、個別攻撃分析結果の整形ルールに従い上記分析結果を表す情報を整形する。さらにステップＳ４６において、攻撃シナリオ分析実施判定ルールに従い、上記個別攻撃ＩＤが付与されたセンサログデータの組合せが攻撃シナリオの分析に提供可能な情報か否かを判定する。例えば、上記センサログデータの組合せが単一の個別攻撃にのみ対応するものである場合には、攻撃シナリオの分析処理が必要と判定する。一方、複数の個別攻撃に対応する場合には、攻撃シナリオの分析処理が不要と判定する場合と、攻撃シナリオの分析処理が必要と判定する場合がある。後者は、攻撃シナリオの分析を経ないと個別攻撃を特定できない場合である。個別攻撃分析処理部１２は、攻撃シナリオの分析処理が必要と判定された場合に、そのセンサログデータの組合せを、ステップＳ４７により個別攻撃分析結果記憶部３４に記憶させる。

（２－５）攻撃シナリオの分析
車両ＳＯＣサーバＳＳＶの制御部１０は、次に攻撃シナリオ分析処理部１３の制御の下、ステップＳ５において、上記個別攻撃の分析結果を表す情報をもとに個々の車両ＭＶ１～ＭＶｎに対する一連の攻撃を表す攻撃シナリオを分析する。

図９は、攻撃シナリオ分析処理部１３による攻撃シナリオ分析処理の処理手順と処理内容の一例を示すフローチャートである。

攻撃シナリオ分析処理部１３は、上記個別攻撃分析結果記憶部３４から、車両ＭＶ１～ＭＶｎ別に、かつ検出時刻別に、個別攻撃分析結果を示す情報、つまり個別攻撃ＩＤを読み出す。この状態で、攻撃シナリオ分析処理部１３は、先ずステップＳ５１において、仮紐付けルールに従い、上記個別攻撃ＩＤを、予め記憶されている攻撃シナリオ知識情報に定義された複数の攻撃シナリオと突合する。そして、この突合の結果をもとに、ステップＳ５２において上記個別攻撃ＩＤを含む攻撃シナリオを攻撃シナリオ候補としてすべて選択する。またこのとき、ステップＳ５３において、上記攻撃シナリオ候補内の上記個別攻撃のステップ位置も特定する。そして攻撃シナリオ分析処理部１３は、ステップＳ５４において、上記個別攻撃とこの個別攻撃を含むすべての攻撃シナリオ候補とを仮に紐付ける。

攻撃シナリオ分析処理部１３は、続いてステップＳ５５において、紐付け確定ルールに従い、異なる時刻において得られた複数の個別攻撃が特定の攻撃シナリオを構成するか否か、つまり攻撃シナリオの妥当性を判定する。具体的には、異なる検出時刻において得られた複数の上記攻撃シナリオ候補の中から、異なる検出時刻において得られた上記個別攻撃ＩＤをすべて含む攻撃シナリオ候補を、攻撃シナリオとして特定する。

以上述べた攻撃シナリオの特定処理の一例を、図１０および図１１に示す例１および例２を用いて説明する。
図１０に示す例１では、最初の時刻ｔ１に得られた個別攻撃Ｐ２を含む攻撃シナリオＡ１，Ａ２，Ａ３，Ａ４が攻撃シナリオ候補として先ず選択される。そして、選択された上記攻撃シナリオ候補Ａ１，Ａ２，Ａ３，Ａ４の中から、次の時刻ｔ２に得られた個別攻撃Ｐ１を含む攻撃シナリオ候補Ａ３，Ａ４が選択される。同様に、選択された上記攻撃シナリオ候補Ａ３，Ａ４の中から、次の時刻ｔ３に得られた個別攻撃Ｐ３を含む攻撃シナリオＡ４が攻撃シナリオとして特定される。すなわち、この例では、特定された攻撃シナリオＡ４とこの攻撃シナリオＡ４を構成する個別攻撃群Ｐ２，Ｐ１，Ｐ３が分析結果として出力される。

図１１に示す例２では、最初の時刻ｔ１に得られた個別攻撃Ｐ２，Ｐ２を含む攻撃シナリオＡ１，Ａ２，Ａ３，Ａ４が攻撃シナリオ候補として先ず選択される。そして、次の時刻ｔ２においても、個別攻撃Ｐ３，Ｐ４，Ｐ５を含む攻撃シナリオ候補としてＡ１，Ａ２，Ａ３，Ａ４が選択されるので、この例では最終的に攻撃シナリオとしてＡ１，Ａ２，Ａ３，Ａ４がすべて特定される。

攻撃シナリオ分析処理部１３は、続いてステップＳ５６において、上記攻撃シナリオの分析処理により関連付けられたセンサログデータ群に対応する個別攻撃が一意に定まった場合に、上記個別攻撃の分析結果を更新する。すなわち、個別攻撃の分析処理において個別攻撃を一意に特定できず、個別攻撃の分析結果を確定できていなかった場合でも、攻撃シナリオ分析処理の結果から個別攻撃分析を一意に特定できた場合には、個別攻撃の分析結果を確定させる。

攻撃シナリオ分析処理部１３は、次にステップＳ５７において、攻撃シナリオ分析ルールに従い、上記攻撃シナリオの分析結果に基づいて攻撃シナリオの分析結果を表す情報、つまり個々の車両に対する一連の攻撃を表す「線」の分析結果を表す情報を生成する。例えば、攻撃シナリオ毎に定義されたテンプレートに、特定された上記攻撃シナリオとこの攻撃シナリオを構成する複数の個別攻撃、およびこの複数の個別攻撃を構成する複数のセンサログデータを、それぞれの分析に使用した個別攻撃知識情報と攻撃シナリオ知識情報と共に書き込むことにより、「線」の分析結果を表す情報を生成する。

攻撃シナリオ分析処理部１３は、次にステップＳ５８において、攻撃シナリオ分析結果整形ルールに従い、上記攻撃シナリオの分析結果を、必要に応じて攻撃シナリオ分析結果整形ルールに従い整形する。そして、ステップＳ５９により、整形処理後の攻撃シナリオの分析結果を表す情報を、分析対象の車両の識別情報と関連付けて攻撃シナリオ分析結果記憶部３５に記憶させる。

（２－６）複数の車両に対する攻撃の関連性の分析結果の取得
車両ＳＯＣサーバＳＳＶの制御部１０は、次にステップＳ６において、関連性分析処理部１４が出力した、統計分析結果記憶部３６に記憶された複数の車両ＭＶ１～ＭＶｎへの一連の「面」の攻撃を表す統計情報を取得する。関連性分析処理部１４は、例えば、タイマを用いて定期的に、個別攻撃分析結果記憶部３４および攻撃シナリオ分析結果記憶部３５から、それぞれ複数の車両に関する個別攻撃の分析結果および攻撃シナリオの分析結果を読み込む。

そして関連性分析処理部１４は、読み込まれた上記複数の車両ＭＶ１～ＭＶｎに関する個別攻撃または攻撃シナリオの分析結果をもとに、複数の車両を対象として上記個別攻撃または攻撃シナリオを集計した情報を得る。例えば特定の車両メーカのすべての車両に対し行われた攻撃、特定の車種に対し行われた攻撃の分析結果を集計する。そして、この集計した情報を、複数の車両ＭＶ１～ＭＶｎへの一連の「面」の攻撃を表す統計情報として統計分析結果記憶部３６に記憶させる。

（２－７）複数の車両に対する攻撃の傾向性分析結果の取得
車両ＳＯＣサーバＳＳＶの制御部１０は、続いてステップＳ７において、傾向性分析処理部１５が出力した、統計分析結果記憶部３６に記憶された複数の車両ＭＶ１～ＭＶｎへの一連の「面」の攻撃を表す統計情報を取得する。傾向性分析処理部１５は、例えば、タイマを用いて定期的に、個別攻撃分析結果記憶部３４および攻撃シナリオ分析結果記憶部３５からそれぞれ複数の車両ＭＶ１～ＭＶｎに関する個別攻撃の分析結果および攻撃シナリオの分析結果を読み込む。

そして傾向性分析処理部１５は、読み込まれた上記複数の車両に関する個別攻撃または攻撃シナリオの分析結果を、任意の観点で分析する。例えば車両メーカ別、車種別または年式別に、攻撃の傾向性、例えば車載装置ＶＵへのマルウェア感染、運転者の意図に反した操作、情報の搾取、ＯＳの乗っ取り、ファームウェアの書き換え等を分析する。そして、その分析結果を表す情報を、複数の車両ＭＶ１～ＭＶｎへの一連の「面」の攻撃の一つを表す統計情報として統計分析結果記憶部３６に記憶させる。

（２－８）分析レポートの生成
車両ＳＯＣサーバＳＳＶの制御部１０は、次にステップＳ８において、分析レポート生成処理部１６の制御の下、先ず攻撃シナリオ分析結果記憶部３５から個々の車両ＭＶ１～ＭＶｎ毎に攻撃シナリオの分析結果を読み込むと共に、当該攻撃シナリオを構成する複数の個別攻撃の分析結果を個別攻撃分析結果記憶部３４から読み込み、さらに当該複数の個別攻撃を構成する複数のセンサログデータを分析対象ログ記憶部３３から読み込む。

そして分析レポート生成処理部１６は、読み込まれた上記各分析結果およびセンサログデータをもとに、予め用意された車両別のテンプレートに従い分析レポート情報を生成する。かくして、例えば個々の車両ＭＶ１～ＭＶｎ毎に、個別攻撃、つまり「点」の攻撃の分析結果と、攻撃シナリオ、つまり「線」の攻撃の分析結果が反映された分析レポート情報が生成される。分析レポート生成処理部１６は、生成された上記車両ＭＶ１～ＭＶｎ毎の分析レポート情報を、分析レポート記憶部３７に記憶させる。

また分析レポート生成処理部１６は、ステップＳ６およびステップＳ７において取得した統計情報、例えば車両メーカ別、車種別または年式別に、複数の車両ＭＶ１～ＭＶｎに対する攻撃の関連性および傾向性の分析結果を表す情報、つまり「面」の攻撃の分析結果を表す情報を読み込む。そして、読み込まれた各分析結果の情報をもとに、予め用意された車両メーカ別、車種別または年式別のテンプレートに従い、分析レポート情報を生成する。かくして、例えば車両メーカ毎、車種毎または年式毎に、統計的な「面」の攻撃の分析結果が反映された分析レポート情報が生成される。分析レポート生成処理部１６は、生成された上記車両メーカ毎、車種毎または年式毎の分析レポート情報を、分析レポート記憶部３７に記憶させる。

（３）分析レポート情報の提供
車両ＳＯＣサーバＳＳＶの制御部１０は、ステップＳ９において分析レポートの取得要求を監視している。この状態で、ＳＩＲＴサーバＩＳＶから分析レポートの取得要求が送られると、車両ＳＯＣサーバＳＳＶの制御部１０は、分析レポート送信処理部１７の制御の下、ステップＳ１０において上記取得要求により指定された分析レポート情報を分析レポート記憶部３７から読み出す。そして、読み出された上記分析レポート情報を通信Ｉ／Ｆ４０から要求元のＳＩＲＴサーバＩＳＶへ送信する。

なお、車両ＳＯＣサーバＳＳＶの制御部１０は、上記分析レポート情報を生成せず、個別攻撃の分析結果、攻撃シナリオの分析結果、関連性の分析結果および傾向性の分析結果を、そのままＳＩＲＴサーバＩＳＶに提供するようにしてもよい。また、提供対象の分析結果は、上記分析結果の全種類であってもよいし、一部のみであってもよい。要するに、上記各分析結果は、ＳＩＲＴサーバＩＳＶの要求に応じ選択的に提供されるようにしてもよい。

（作用・効果）
以上述べたように一実施形態では、車両ＳＯＣサーバＳＳＶが、各車両ＭＶ１～ＭＶｎの車載装置ＶＵから発生された複数のセンサログデータを車両メーカのＯＥＭセンタＣＮから取得し、取得されたセンサログデータをもとに、先ず同一の個別攻撃を構成する可能性がある複数のセンサログデータの組合せを検出することにより個別攻撃パターンを特定する。次に、所定の期間内に共起された複数の個別攻撃パターンの組合せに着目して、攻撃シナリオを特定する。そして、特定された上記攻撃シナリオと、この攻撃シナリオを構成する複数の上記個別攻撃パターンと、この個別攻撃パターンを構成する複数のセンサログデータとに基づいて、個々の車両に対する分析レポート情報を生成し、出力するようにしている。

従って、個々に車両に対し、単発に発生する個別攻撃に止まらず、所定期間内に発生する複数の個別攻撃パターンの関連性から攻撃シナリオを特定して、これらを総合した分析レポートを生成し提供することが可能になる。すなわち、複数の段階、手段から構成される攻撃が一連のもの、つまり攻撃シナリオとして捉えられることで、ＳＩＲＴサーバＩＳＶでは攻撃成功の要因、および影響範囲の特定を容易に行えるようになる。

また一実施形態では、上記個別攻撃の分析処理に先立ち、ログデータ受信処理部１１によりフィルタリングルールおよび拡張ルールに従いセンサログデータから分析対象のログデータの抽出および拡張情報の付加を行い、さらに必要に応じ事前分析ルールに従い個別攻撃の分析処理に必要なログデータか否かを判定して、必要なログデータのみを個別攻撃の分析処理に提供するようにしている。このため、個別攻撃の分析処理を限定されたログデータを対象に行うことができ、これにより個別攻撃の分析精度を高めると共に、処理負荷の低減および処理時間の短縮を図ることができる。

さらに一実施形態では、個別攻撃の分析処理において、個別攻撃の分析結果が攻撃シナリオの分析に提供すべき情報であるか否かを判定している。そして、例えばセンサログデータの組合せが単一の個別攻撃にのみ対応するものである場合には、攻撃シナリオの分析処理が必要と判定する。一方、複数の個別攻撃に対応する場合には、攻撃シナリオの分析処理が不要と判定する場合と、攻撃シナリオの分析処理が必要と判定する場合があるため、その要否を判定する。そして、攻撃シナリオの分析処理が必要と判定された場合に、そのときのセンサログデータの組合せを攻撃シナリオの分析に提供し、攻撃シナリオの分析処理が不要と判定された場合には提供対象から除外するようにしている。このため、攻撃シナリオの分析処理を限定された個別攻撃の分析結果を対象に行うことができ、これにより攻撃シナリオの分析精度を高めると共に、処理負荷の低減および処理時間の短縮を図ることが可能となる。

さらに一実施形態では、複数の車両ＭＶ１～ＭＶｎに対する個別攻撃の分析結果と攻撃シナリオの分析結果をもとに、車両メーカ毎、車種毎或いは年式毎の攻撃の関連性および傾向性を分析し、その分析結果を分析レポートに反映するようにしている。このため、車両メーカは個々の車両に対する攻撃への対策に加えて、車両メーカ単位で、或いは車種単位または年式単位で攻撃に対する対策を講じることが可能となる。

［その他の実施形態］
（１）前記一実施形態では、車載装置ＶＵから発生されたセンサログデータをネットワークＭＮＷおよびＯＥＭセンタＣＮを経由して取得する場合を例にとって説明した。しかしそれに限らず、例えば車両修理工場等において車載装置ＶＵから発生されたセンサログデータを記録媒体に記憶させて車両ＳＯＣサーバＳＳＶに提供し、車両ＳＯＣサーバＳＳＶが提供された上記記憶媒体からセンサログデータを読み込んで分析処理を実行するようにしてもよい。

（２）前記一実施形態では、車両セキュリティ分析装置の全機能を１台の車両ＳＯＣサーバＳＳＶにより実現する場合を例にとって説明した。しかし、それに限定されるものではなく、例えば車両ＳＯＣサーバを複数設け、車両セキュリティ分析装置の機能をこれら複数の車両ＳＯＣサーバにより分散処理するようにしてもよい。この場合、機能の分散の仕方としては、個別攻撃の分析処理と、攻撃シナリオの分析処理と、傾向性および関連性の分析処理をそれぞれ別のサーバに割り当てるようにしてもよいし、個別攻撃の分析処理および攻撃シナリオの分析処理を一つのサーバに割り当て、傾向性および関連性の分析処理を他の１台もしくは２台のサーバに割り当てるようにしてもよい。

（３）個別攻撃の分析処理および攻撃シナリオの分析処理を個々にまたは一括して、例えば、教師付の学習モデルを備えるニューラルネットワークを用いて実現してもよい。その他、車両セキュリティ分析装置の構成や各分析処理の手順と処理内容、分析レポートの構成等についても、この発明の要旨を逸脱しない範囲で種々変形して実施できる。

以上、本発明の実施形態を詳細に説明してきたが、前述までの説明はあらゆる点において本発明の例示に過ぎない。本発明の範囲を逸脱することなく種々の改良や変形を行うことができることは言うまでもない。つまり、本発明の実施にあたって、実施形態に応じた具体的構成が適宜採用されてもよい。

要するにこの発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合せにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態に亘る構成要素を適宜組み合せてもよい。

ＭＶ１～ＭＶｎ…車両
ＶＵ…車載装置
ＳＳＶ…車両ＳＯＣサーバ
ＩＳＶ…ＳＩＲＴサーバ
ＣＮ…車両メーカのＯＥＭセンタ
ＯＳＶ…管理サーバ
ＭＮＷ…移動通信ネットワーク
ＩＮＷ…インターネット
ＧＷ１，ＧＷ２…ゲートウェイ
ＥＳＶ…外部サーバ
１…車載ゲートウェイ
２…車載ネットワーク（ＣＡＮ）
３…ナビゲーション装置（ＩＶＩ）
４…電子制御ユニット（ＥＣＵ）
５…通信制御ユニット（ＴＣＵ）
１０…制御部
１１…ログデータ受信処理部
１２…個別攻撃分析処理部
１３…攻撃シナリオ分析処理部
１４…関連性分析処理部
１５…傾向性分析処理部
１６…分析レポート生成処理部
１７…分析レポート送信処理部
２０…プログラム記憶部
３０…データ記憶部
３１…ログデータ記憶部
３２…拡張情報記憶部
３３…分析対象ログ記憶部
３４…個別攻撃分析結果記憶部
３５…攻撃シナリオ分析結果記憶部
３６…統計分析結果記憶部
３７…分析レポート記憶部
４０…通信Ｉ／Ｆ
５０…バス

上記課題を解決するためにこの発明の一態様は、車両に搭載された車載装置の動作状態に関係するセンサログデータを取得し分析する車両セキュリティ分析装置または分析方法において、前記センサログデータを取得し記憶するログデータ取得部または過程と、記憶された複数の前記センサログデータのうち、前記センサログデータの発生元となる車両の識別情報が同一で、かつ発生時刻が同一期間に含まれる複数の前記センサログデータの組合せを生成し、生成された前記センサログデータの組合せを個別攻撃の知識情報として予め定義された複数の個別攻撃パターンと突合して対応する個別攻撃パターンを特定し、特定された前記個別攻撃パターンを表す情報を含む第１の分析情報を生成する第１の分析処理部または過程と、所定の期間内に得られる複数の前記個別攻撃パターンを、攻撃シナリオ知識情報として予め定義された複数の攻撃シナリオと突合して、前記複数の個別攻撃パターンにより構成される前記攻撃シナリオを特定し、特定された前記攻撃シナリオを表す情報を含む第２の分析情報を生成する第２の分析処理部または過程と、生成された前記第１の分析情報および前記第２の分析情報を含む分析結果を出力する分析結果出力処理部または過程とを具備するものである。

この発明の一態様によれば、車載装置から発生された複数のセンサログデータをもとに、先ずセンサログデータの発生元となる車両の識別情報が同一で、かつ発生時刻が同一期間に含まれる複数のセンサログデータの組合せに着目して、個別攻撃パターンが特定される。次に、所定の期間内に得られる複数の個別攻撃パターンの組合せに着目して、攻撃シナリオが特定される。そして、特定された上記個別攻撃パターンおよび攻撃シナリオが、分析結果として出力される。

Claims (11)

1. 車両に搭載された車載装置の動作状態に関係するセンサログデータを取得し分析する車両セキュリティ分析装置であって、
   前記センサログデータを取得し記憶するログデータ取得部と、
   記憶された複数の前記センサログデータのうち、同一の個別攻撃を構成する可能性がある複数の前記センサログデータの組合せを生成し、生成された前記センサログデータの組合せを個別攻撃知識情報として予め定義された複数の個別攻撃パターンと突合して対応する個別攻撃パターンを特定し、特定された前記個別攻撃パターンを表す情報を含む第１の分析情報を生成する第１の分析処理部と、
   所定の期間内に得られた複数の前記個別攻撃パターンを、攻撃シナリオ知識情報として予め定義された複数の攻撃シナリオと突合して、前記複数の個別攻撃パターンにより構成される前記攻撃シナリオを特定し、特定された前記攻撃シナリオを表す情報を含む第２の分析情報を生成する第２の分析処理部と、
   生成された前記第１の分析情報および前記第２の分析情報を含む分析結果を出力する分析結果出力処理部と
   を具備する車両セキュリティ分析装置。
2. 記憶された複数の前記センサログデータの中から前記第１の分析処理部による前記個別攻撃の分析対象となるセンサログデータを選別し、選別された前記センサログデータを前記分析対象として前記第１の分析処理部に提供するログデータ事前処理部を、さらに具備する請求項１に記載の車両セキュリティ分析装置。
3. 記憶された複数の前記センサログデータに、当該センサログデータの内容に基づいて前記個別攻撃パターンの分析に必要な拡張情報を付加し、前記拡張情報が付加された前記センサログデータを前記分析対象として前記第１の分析処理部に提供するログデータ事前処理部を、さらに具備する請求項１に記載の車両セキュリティ分析装置。
4. 前記第１の分析処理部は、前記センサログデータの発生元となる車両の識別情報が同一で、かつ発生時刻が同一期間に含まれる複数の前記センサログデータを関連付けることにより、前記センサログデータの組合せを生成する、請求項１に記載の車両セキュリティ分析装置。
5. 前記第１の分析処理部は、前記センサログデータに含まれるセンサ設置箇所およびセンサ種別を表す情報の少なくとも一方を複数の前記個別攻撃パターンと突合することにより、対応する前記個別攻撃パターンを特定する、請求項１に記載の車両セキュリティ分析装置。
6. 前記第１の分析処理部は、特定された個別攻撃パターン毎に予め定義されたテンプレートに、前記個別攻撃パターンを構成する複数の前記センサログデータの内容を記載することにより、前記第１の分析情報を生成する、請求項１に記載の車両セキュリティ分析装置。
7. 前記第１の分析処理部は、特定された前記個別攻撃パターンが前記攻撃シナリオの分析に提供すべき情報であるか否かを、攻撃シナリオの分析対象として予め定義された判定条件に基づいて判定し、提供すべきでない場合に当該個別攻撃パターンを前記第２の分析処理部に提供しない、請求項１に記載の車両セキュリティ分析装置。
8. 前記第２の分析処理部は、複数の前記個別攻撃パターンを前記攻撃シナリオ知識情報として予め定義された複数の攻撃シナリオと突合して、前記個別攻撃パターンを含みかつ当該個別攻撃パターンの発生タイミングが所定期間に含まれる攻撃シナリオを特定する、請求項１に記載の車両セキュリティ分析装置。
9. 前記第２の分析処理部は、特定された前記攻撃シナリオ毎に予め定義されたテンプレートに、前記攻撃シナリオに含まれる複数の前記個別攻撃パターンと、当該複数の個別攻撃パターンを構成するセンサログデータの内容を記載することにより、前記第２の分析情報を生成する、請求項１に記載の車両セキュリティ分析装置。
10. 車両に搭載された車載装置の動作状態に関係するセンサログデータを取得し分析する装置が実行する車両セキュリティ分析方法であって、
    前記センサログデータを取得し記憶する過程と、
    記憶された複数の前記センサログデータのうち、同一の個別攻撃を構成する可能性がある複数の前記センサログデータの組合せを生成し、生成された前記センサログデータの組合せを個別攻撃の知識情報として予め定義された複数の個別攻撃パターンと突合して対応する個別攻撃パターンを特定し、特定された前記個別攻撃パターンを表す情報を含む第１の分析情報を生成する過程と、
    所定の期間内に得られた複数の前記個別攻撃パターンの組合せを、攻撃シナリオの知識情報として予め定義された複数の攻撃シナリオと突合して対応する攻撃シナリオを特定し、特定された前記攻撃シナリオを表す情報を含む第２の分析情報を生成する過程と、
    生成された前記第１の分析情報および前記第２の分析情報を含む分析結果を出力する過程と
    を具備する車両セキュリティ分析方法。
11. 請求項１乃至９のいずれかに記載の車両セキュリティ分析装置が具備する前記各処理部の処理を、前記車両セキュリティ分析装置が備えるプロセッサに実行させるプログラム。

Images