JP2023047569A - 脅威分析方法および脅威分析システム - Google Patents

脅威分析方法および脅威分析システム Download PDF

Info

Publication number
JP2023047569A
JP2023047569A JP2021156545A JP2021156545A JP2023047569A JP 2023047569 A JP2023047569 A JP 2023047569A JP 2021156545 A JP2021156545 A JP 2021156545A JP 2021156545 A JP2021156545 A JP 2021156545A JP 2023047569 A JP2023047569 A JP 2023047569A
Authority
JP
Japan
Prior art keywords
asset
analysis
threat
attack
assets
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2021156545A
Other languages
English (en)
Inventor
紘幸 和田
Hiroyuki Wada
祐輔 根本
Yusuke Nemoto
峰久 永田
Minehisa Nagata
初帆 青島
Hatsuho Aoshima
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Panasonic Intellectual Property Management Co Ltd
Original Assignee
Panasonic Intellectual Property Management Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Panasonic Intellectual Property Management Co Ltd filed Critical Panasonic Intellectual Property Management Co Ltd
Priority to JP2021156545A priority Critical patent/JP2023047569A/ja
Priority to PCT/JP2022/018573 priority patent/WO2023047689A1/ja
Publication of JP2023047569A publication Critical patent/JP2023047569A/ja
Pending legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computer And Data Communications (AREA)

Abstract

【課題】セキュリティリスクの分析を精度よく行うことができる脅威分析方法を提供する。【解決手段】脅威分析方法は、脅威分析対象となるシステムのハードウェア構成要素を示すシステム構成情報と、ハードウェア構成要素に割り当てられる機能を示す機能割当情報と、機能に用いられる資産を示す資産情報と、資産の入出力元および入出力先のハードウェア構成要素を示す資産入出力情報とを取得する取得ステップ（ステップＳ１１）と、取得した情報に基づいて、ハードウェア構成要素に対する資産の流れを示す物理データフローおよび機能に対する資産の流れを示す論理データフローを導出し、物理データフローおよび論理データフローに基づいて、ハードウェア構成要素毎および機能毎に、資産への攻撃の可能性および資産への攻撃による影響の分析を行う分析ステップ（ステップＳ１２、Ｓ１３）と、分析の結果を出力する出力ステップ（ステップＳ１４）と、を含む。【選択図】図７

Description

本開示は、脅威分析対象となるシステムへの脅威を分析するための脅威分析方法および脅威分析システムに関する。
車両のＣＡＳＥ（Ｃｏｎｎｅｃｔｅｄ、Ａｕｔｏｎｏｍｏｕｓ、Ｓｈａｒｅｄ ＆ Ｓｅｒｖｉｃｅｓ、Ｅｌｅｃｔｒｉｃ）による進展にともない、車両内のネットワークであるＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）またはＥｔｈｅｒｎｅｔ（登録商標）などが、車両の外部のネットワークであるＷｉ－Ｆｉ（登録商標）、Ｂｌｕｅｔｏｏｔｈ（登録商標）、Ｃｅｌｌｕｌａｒ、Ｖ２Ｘ（Ｖｅｈｉｃｌｅ ｔｏＸ）などを通じてスマートフォンや外部サーバへ接続され、車両に対する外部からの脅威に対する対策が必要となっている。特に、車両の開発ライフサイクルの初期段階に脅威分析によるセキュリティリスクの分析が重要となっている。
例えば、特許文献１には、脅威分析対象となるシステムの構成要素および通信路の構成リストと想定される脅威とに基づいて、システムの構成要素へのアクセス元（脅威の発信元）を抽出する技術が開示されている。
特許第６３８４４６５号公報
しかしながら、不正な３ｒｄｐａｒｔｙアプリのダウンロードおよび実行に起因する悪意のある攻撃を想定した場合、従来の物理的なハードウェア構成要素およびその通信路とは異なり、外部接続機器と車両間でソフトウェアによって確立された論理セッション上からの侵入が発生し得るため、上記特許文献１に開示された技術では、セキュリティリスクの分析を精度よく行うことができないおそれがある。
そこで、本開示は、セキュリティリスクの分析を精度よく行うことができる脅威分析方法などを提供する。
本開示の一態様に係る脅威分析方法は、脅威分析対象となるシステムのハードウェア構成要素を示すシステム構成情報と、前記ハードウェア構成要素に割り当てられる機能を示す機能割当情報と、前記機能に用いられる資産を示す資産情報と、前記資産の入出力元および入出力先の前記ハードウェア構成要素を示す資産入出力情報とを取得する取得ステップと、前記システム構成情報、前記機能割当情報、前記資産情報および前記資産入出力情報に基づいて、前記ハードウェア構成要素に対する前記資産の流れを示す物理データフローおよび前記機能に対する前記資産の流れを示す論理データフローを導出し、前記物理データフローおよび前記論理データフローに基づいて、前記ハードウェア構成要素毎および前記機能毎に、前記資産への攻撃の可能性および前記資産への攻撃による影響の分析を行う分析ステップと、前記分析の結果を出力する出力ステップと、を含む。
本開示の一態様に係る脅威分析システムは、脅威分析対象となるシステムのハードウェア構成要素を示すシステム構成情報と、前記ハードウェア構成要素に割り当てられる機能を示す機能割当情報と、前記機能に用いられる資産を示す資産情報と、前記資産の入出力元および入出力先の前記ハードウェア構成要素を示す資産入出力情報とを取得する取得部と、前記システム構成情報、前記機能割当情報、前記資産情報および前記資産入出力情報に基づいて、前記ハードウェア構成要素に対する前記資産の流れを示す物理データフローおよび前記機能に対する前記資産の流れを示す論理データフローを導出し、前記物理データフローおよび前記論理データフローに基づいて、前記ハードウェア構成要素毎および前記機能毎に、前記資産への攻撃の可能性および前記資産への攻撃による影響の分析を行う分析部と、前記分析の結果を出力する出力部と、を備える。
なお、これらの包括的または具体的な態様は、システム、方法、集積回路、コンピュータプログラムまたはコンピュータ読み取り可能なＣＤ－ＲＯＭなどの記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラムおよび記録媒体の任意な組み合わせで実現されてもよい。また、記録媒体は、非一時的な記録媒体であってもよい。
本開示の一態様に係る脅威分析方法などによれば、セキュリティリスクの分析を精度よく行うことができる。
図１は、実施の形態に係る脅威分析システムの構成の一例を示すブロック図である。 図２は、システム構成情報が示すハードウェア構成要素の一例を示すブロック図である。 図３は、機能割当情報の一例を示す図である。 図４は、資産情報の一例を示す図である。 図５は、資産入出力情報の一例を示す図である。 図６Ａは、攻撃可能性評価基準の一例を示す図である。 図６Ｂは、攻撃可能性評価基準の一例を示す図である。 図７は、実施の形態に係る脅威分析方法の一例を示すフローチャートである。 図８は、物理データフローの一例を示す図である。 図９は、論理データフローの一例を示す図である。 図１０は、ＣＩＡ（Ｃｏｎｆｉｄｅｎｔｉａｌｉｔｙ Ｉｎｔｅｇｒｉｔｙ Ａｖａｉｌａｂｉｌｉｔｙ）分類に基づいて生成されるダメージシナリオの一例を示す図である。 図１１は、ＤＦＤ（Ｄａｔａ Ｆｌｏｗ Ｄｉａｇｒａｍ）分類の一例を示す図である。 図１２は、ＣＩＡ分類およびＤＦＤ分類に基づいて生成される脅威シナリオの一例を示す図である。 図１３は、物理データフローおよび論理データフローにおけるハードウェア構成要素または機能への侵入経路の一例を示す図である。 図１４は、物理データフローおよび論理データフローにおける目的地情報への攻撃経路の一例を示す図である。 図１５は、攻撃経路から具体化される脅威事例の一例を示す図である。 図１６は、分析結果の一例を示す図である。 図１７Ａは、リスク値の算出方法を説明するための図である。 図１７Ｂは、リスク値の算出方法を説明するための図である。 図１７Ｃは、リスク値の算出方法を説明するための図である。 図１７Ｄは、リスク値の算出方法を説明するための図である。
本開示の一態様に係る脅威分析方法は、脅威分析対象となるシステムのハードウェア構成要素を示すシステム構成情報と、前記ハードウェア構成要素に割り当てられる機能を示す機能割当情報と、前記機能に用いられる資産を示す資産情報と、前記資産の入出力元および入出力先の前記ハードウェア構成要素を示す資産入出力情報とを取得する取得ステップと、前記システム構成情報、前記機能割当情報、前記資産情報および前記資産入出力情報に基づいて、前記ハードウェア構成要素に対する前記資産の流れを示す物理データフローおよび前記機能に対する前記資産の流れを示す論理データフローを導出し、前記物理データフローおよび前記論理データフローに基づいて、前記ハードウェア構成要素毎および前記機能毎に、前記資産への攻撃の可能性および前記資産への攻撃による影響の分析を行う分析ステップと、前記分析の結果を出力する出力ステップと、を含む。
これによれば、ハードウェア構成要素に対する資産の物理データフローに加えて、ハードウェア構成要素に割り当てられる機能に対する資産の論理データフローも用いて、資産への攻撃の分析、言い換えると、セキュリティリスクの分析が行われる。このため、不正な３ｒｄｐａｒｔｙアプリのダウンロードに起因する攻撃を想定した場合であっても、論理セッション上からの侵入による脅威を把握することができ、セキュリティリスクの分析を精度よく行うことができる。例えば、製品の機能レベルでの脅威の抽出を網羅的に行うことができる。また、論理データフローから機能毎の資産の移動経路を特定することで、不要な経路の分析を削減できる。
例えば、前記分析ステップでは、さらに、前記ハードウェア構成要素毎および前記機能毎に定められた、前記資産への攻撃の可能性を評価するための攻撃可能性評価基準に基づいて、前記分析を行ってもよい。資産への攻撃の可能性を評価するための攻撃可能性評価基準を用いることで、資産への攻撃の可能性の分析をより精度よく行うことができる。
例えば、前記攻撃可能性評価基準は、前記ハードウェア構成要素毎および前記機能毎に適用されている対策を示す設計対策情報に基づいて定められてもよい。
例えば、攻撃に対する対策が適用されているハードウェア構成要素および機能については攻撃の可能性が低いと分析することができ、攻撃に対する対策が十分ではないハードウェア構成要素および機能については攻撃の可能性が高いと分析することができる。
例えば、前記分析ステップでは、さらに、前記ハードウェア構成要素毎および前記機能毎に定められた、前記資産への攻撃による影響を評価するための影響評価基準に基づいて、前記分析を行ってもよい。
資産への攻撃による影響を評価するための影響評価基準を用いることで、資産への攻撃による影響の分析をより精度よく行うことができる。
例えば、前記分析ステップでは、さらに、所定のデータベースおよび前記資産の特性に基づいて、前記ハードウェア構成要素毎および前記機能毎にダメージシナリオまたは脅威シナリオを生成し、前記分析の結果は、前記ハードウェア構成要素毎および前記機能毎の前記ダメージシナリオまたは前記脅威シナリオを含んでいてもよい。
例えば、資産の特性として資産のＣＩＡ分類またはＤＦＤ分類などを、所定のデータベースとしてＳＴＲＩＤＥの脅威分析モデルなどに照合することで、安全、財産、操作性能またはプライバシーなどに対するダメージシナリオまたは脅威シナリオを生成することができる。
例えば、前記分析ステップでは、前記物理データフローおよび前記論理データフローに基づいて、前記物理データフローおよび前記論理データフローにおける前記資産への攻撃経路を特定し、前記攻撃経路に基づいて、前記分析を行ってもよい。
攻撃経路を特定することで、セキュリティリスクの分析をより精度よく行うことができる。例えば、脅威事例を具体化することができる。
例えば、前記分析の結果は、前記資産への攻撃に対するリスクを示すリスク値を含んでいてもよい。
このように、分析の結果がリスク値（数値）で表されてもよく、リスク値からセキュリティリスクを判断しやすくなる。
本開示の一態様に係る脅威分析システムは、脅威分析対象となるシステムのハードウェア構成要素を示すシステム構成情報と、前記ハードウェア構成要素に割り当てられる機能を示す機能割当情報と、前記機能に用いられる資産を示す資産情報と、前記資産の入出力元および入出力先の前記ハードウェア構成要素を示す資産入出力情報とを取得する取得部と、前記システム構成情報、前記機能割当情報、前記資産情報および前記資産入出力情報に基づいて、前記ハードウェア構成要素に対する前記資産の流れを示す物理データフローおよび前記機能に対する前記資産の流れを示す論理データフローを導出し、前記物理データフローおよび前記論理データフローに基づいて、前記ハードウェア構成要素毎および前記機能毎に、前記資産への攻撃の可能性および前記資産への攻撃による影響の分析を行う分析部と、前記分析の結果を出力する出力部と、を備える。
これによれば、セキュリティリスクの分析を精度よく行うことができる脅威分析システムを提供できる。
以下、実施の形態について、図面を参照しながら具体的に説明する。
なお、以下で説明する実施の形態は、いずれも包括的または具体的な例を示すものである。以下の実施の形態で示される数値、形状、材料、構成要素、構成要素の配置位置および接続形態、ステップ、ステップの順序などは、一例であり、本開示を限定する主旨ではない。
（実施の形態）
実施の形態に係る脅威分析方法および脅威分析システムについて図１から図１７Ｄを用いて説明する。
図１は、実施の形態に係る脅威分析システム１０の構成の一例を示すブロック図である。
脅威分析システム１０は、脅威分析対象となるシステムへの脅威を分析するためのシステムである。脅威分析対象となるシステムは、例えば、車載ネットワークなどに関連するシステムであり、ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）およびＥＣＵに接続される機器などからなるシステムである。
脅威分析システム１０は、取得部１１、分析部１２および出力部１３を備える。また、脅威分析システム１０のメモリには、攻撃可能性評価基準２６および影響評価基準２７が記憶される。脅威分析システム１０は、プロセッサ（ＣＰＵ：Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）およびメモリなどを含むコンピュータである。メモリは、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）およびＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）などであり、プロセッサにより実行されるプログラムを記憶することができる。取得部１１、分析部１２および出力部１３は、メモリに格納されたプログラムを実行するプロセッサなどによって実現される。なお、プログラムが記憶されたメモリと、攻撃可能性評価基準２６および影響評価基準２７が記憶されたメモリとは別のメモリであってもよい。脅威分析システム１０を構成する構成要素は、１つの筐体に配置されてもよく、脅威分析システム１０は、装置であってもよい。また、脅威分析システム１０を構成する構成要素は、複数の筐体（装置）に分散して配置されてもよい。例えば、脅威分析システム１０は、サーバであってもよい。
取得部１１は、システム構成情報２１、機能割当情報２２、資産情報２３、資産入出力情報２４および設計対策情報２５を取得する。例えば、脅威分析システム１０は、入力Ｉ／Ｆ（インタフェース）を有していてもよく、入力Ｉ／Ｆを介してシステム構成情報２１、機能割当情報２２、資産情報２３、資産入出力情報２４および設計対策情報２５が入力されることで、取得部１１は、これらの情報を取得してもよい。また、脅威分析システム１０は、通信Ｉ／Ｆを有していてもよく、取得部１１は、通信Ｉ／Ｆを介してシステム構成情報２１、機能割当情報２２、資産情報２３、資産入出力情報２４および設計対策情報２５を取得してもよい。また、脅威分析システム１０のメモリに、システム構成情報２１、機能割当情報２２、資産情報２３、資産入出力情報２４および設計対策情報２５が記憶されていてもよく、取得部１１は、当該メモリからシステム構成情報２１、機能割当情報２２、資産情報２３、資産入出力情報２４および設計対策情報２５を取得してもよい。
システム構成情報２１は、脅威分析対象となるシステムのハードウェア構成要素を示す情報である。システム構成情報２１について図２を用いて説明する。
図２は、システム構成情報２１が示すハードウェア構成要素の一例を示すブロック図である。
例えば、図２には、ＥＣＵ１００に関連するシステム構成情報２１が示されている。例えば、システム構成情報２１には、ハードウェア構成要素として、ＥＣＵ１００と、ＥＣＵ１００と通信可能に接続されるＯＥＭ（Ｏｒｉｇｉｎａｌ Ｅｑｕｉｐｍｅｎｔ Ｍａｎｕｆａｃｔｕｒｅｒ）サーバ２００、スマートフォン３００（例えばＥＣＵ１００を搭載した車両のユーザのスマートフォン）、デバッグＰＣ／診断機器４００、車両制御ＥＣＵ５００およびセンサーＥＣＵ６００と、ＥＣＵ１００とＯＥＭサーバ２００との通信を行う通信ＥＣＵ７００と、ＥＣＵ１００とセンサーＥＣＵ６００との通信を行うＧＷ（ＧａｔｅＷａｙ）８００とが含まれる。また、ＥＣＵ１００には、ハードウェア構成要素として、ＥｔｈｅｒｎｅｔのＩ／Ｆ１０１、ＢｌｕｅｔｏｏｔｈのＩ／Ｆ１０２、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）のＩ／Ｆ１０３、ＣＡＮのＩ／Ｆ１０４、ＭａｉｎＣＰＵ１０５、ＳｕｂＣＰＵ１０６、ｅＭＭＣ（ｅｍｂｅｄｄｅｄ Ｍｕｌｔｉ Ｍｅｄｉａ Ｃａｒｄ）１０７、ＮＯＲ Ｆｌａｓｈ１０８、ＪＴＡＧ（Ｊｏｉｎｔ Ｔｅｓｔ Ａｃｔｉｏｎ Ｇｒｏｕｐ）１０９が含まれる。
また、システム構成情報２１には、ハードウェア構成要素同士の接続関係を示す情報が含まれる。ＥＣＵ１００において、ＭａｉｎＣＰＵ１０５は、Ｉ／Ｆ１０１、１０２および１０３、ＳｕｂＣＰＵ１０６、ｅＭＭＣ１０７ならびにＪＴＡＧ１０９と接続され、ＳｕｂＣＰＵ１０６は、Ｉ／Ｆ１０４、ＭａｉｎＣＰＵ１０５、ｅＭＭＣ１０７、ＮＯＲ Ｆｌａｓｈ１０８およびＪＴＡＧ１０９と接続される。Ｉ／Ｆ１０１は、通信ＥＣＵ７００を介してＯＥＭサーバ２００などと遠隔無線により接続され、また、ＯＥＭサーバ２００を介してさらにスマートフォン３００などと遠隔無線により接続される。Ｉ／Ｆ１０２は、スマートフォン３００などと近接無線により接続される。Ｉ／Ｆ１０３は、スマートフォン３００およびデバッグＰＣ／診断機器４００などと直接接続により接続される。Ｉ／Ｆ１０４は、ＧＷ８００を介してデバッグＰＣ／診断機器４００および車両制御ＥＣＵ５００などと接続され、また、センサーＥＣＵ６００と接続される。
システム構成情報２１に基づいて、攻撃の侵入経路を特定することができる。例えば、ＯＥＭサーバ２００、通信ＥＣＵ７００およびＩ／Ｆ１０１を介する侵入経路、ＧＷ８００およびＩ／Ｆ１０４を介する侵入経路、センサーＥＣＵ６００およびＩ／Ｆ１０４を介する侵入経路、さらには、Ｉ／Ｆ１０２または１０３を介して直接ＥＣＵ１００に進入する侵入経路などを特定することができる。
機能割当情報２２は、ハードウェア構成要素に割り当てられる機能（アプリ機能）を示す情報である。機能割当情報２２について図３を用いて説明する。
図３は、機能割当情報２２の一例を示す図である。
例えば、ＭａｉｎＣＰＵ１０５によってＶＭ（Ｖｅｒｔｕａｌ Ｍａｃｈｉｎｅ）１０５ａおよび１０５ｂが構成される。例えば、ＭａｉｎＣＰＵ１０５のＶＭ１０５ａに割り当てられる機能がリモート駐車機能であり、ＭａｉｎＣＰＵ１０５のＶＭ１０５ｂに割り当てられる機能がアプリ追加機能およびリプロ機能であり、ＳｕｂＣＰＵ１０６に割り当てられる機能が車両制御機能およびダイアグ機能であることが機能割当情報２２に示される。また、機能割当情報２２には、同一ＣＰＵ内でのＴｒｕｓｔＺｏｎｅ、ＨｙｐｅｒＶｉｓｉｏｒまたはｄｏｃｋｅｒなどＣＰＵによる実行環境分離、仮想化、コンテナ技術などによる論理的な機能分割を示す情報が含まれていてもよい。例えば、後述する攻撃可能性評価基準２６は、このような論理的な機能分割を示す情報に基づいて決定されてもよい。
資産情報２３は、ハードウェア構成要素に割り当てられる機能に用いられる資産を示す情報である。資産情報２３について図４を用いて説明する。
図４は、資産情報２３の一例を示す図である。なお、図４には、影響評価基準２７も示されているが、影響評価基準２７については後述する。
例えば、図４には、リモート駐車機能に用いられる資産として駐車位置および認証情報が示されている。なお、図示していないが、目的地情報、走行軌跡、制御メッセージ、走行情報、センサー情報なども、リモート駐車機能に用いられる資産である。ここではリモート駐車機能に用いられる資産を示す資産情報２３について示しているが、その他の機能（アプリ追加機能、リプロ機能、車両制御機能およびダイアグ機能など）についての資産情報２３も存在する。
資産入出力情報２４は、資産の入出力元および入出力先のハードウェア構成要素を示す情報である。資産入出力情報２４について図５を用いて説明する。なお、入出力元とは、入力元および出力元を意味し、入出力先とは、入力先および出力先を意味する。
図５は、資産入出力情報２４の一例を示す図である。図５には、資産の一例として駐車位置、認証情報および制御メッセージが示されている。
例えば、駐車位置の入力元のハードウェア構成要素はスマートフォン３００であり、入力先のハードウェア構成要素はｅＭＭＣ１０７であり、駐車位置は、スマートフォン３００からｅＭＭＣ１０７へ入力される。例えば、認証情報の出力元のハードウェア構成要素はｅＭＭＣ１０７であり、出力先のハードウェア構成要素はＭａｉｎＣＰＵ１０５であり、認証情報は、ｅＭＭＣ１０７からＭａｉｎＣＰＵ１０５へ出力される。例えば、制御メッセージの出力元のハードウェア構成要素はＭａｉｎＣＰＵ１０５であり、出力先のハードウェア構成要素は車両制御ＥＣＵ５００であり、制御メッセージは、ＭａｉｎＣＰＵ１０５から車両制御ＥＣＵ５００へ出力される。このように、資産入出力情報２４には、資産毎の入力元のハードウェア構成要素および入力先のハードウェア構成要素、または、出力元のハードウェア構成要素および出力先のハードウェア構成要素を示す情報が含まれる。
設計対策情報２５は、ハードウェア構成要素毎および機能毎に適用されている対策を示す情報である。例えば、ハードウェア構成要素に対してはアプリケーションＦｉｒｅｗａｌｌ、ｓａｎｄｂｏｘ、強制アクセス制御、ＨＩＤＳ（Ｈｏｓｔ－ｂａｓｅｄ Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）またはＮＩＤＳ（Ｎｅｔｗｏｒｋ－ｂａｓｅｄ Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）などの対策が適用され得る。また、例えば、機能に対しては資産の暗号化、ハッシュ値による正当性検証またはメモリアクセス制御などの対策が適用され得る。例えば、後述する攻撃可能性評価基準２６は、設計対策情報２５に基づいて決定されてもよい。
図１での説明に戻り、分析部１２は、システム構成情報２１、機能割当情報２２、資産情報２３および資産入出力情報２４に基づいて、ハードウェア構成要素に対する資産の流れを示す物理データフローおよび機能に対する資産の流れを示す論理データフローを導出する。そして、分析部１２は、導出した物理データフローおよび論理データフローに基づいて、ハードウェア構成要素毎および機能毎に、資産への攻撃の可能性および資産への攻撃による影響の分析を行う。例えば、分析部１２は、さらに、攻撃可能性評価基準２６、影響評価基準２７または脅威ＤＢ２８に基づいて、上記分析を行ってもよい。分析部１２の動作の詳細については後述する。
出力部１３は、分析部１２での分析の結果を出力する。出力される分析の結果（分析結果３０）の例については後述する。
攻撃可能性評価基準２６は、ハードウェア構成要素毎および機能毎に定められた、資産への攻撃の可能性を評価するための基準である。攻撃可能性評価基準２６について図６Ａおよび図６Ｂを用いて説明する。
図６Ａおよび図６Ｂは、攻撃可能性評価基準２６の一例を示す図である。図６Ａは機能毎に定められた攻撃可能性評価基準２６を示し、図６Ｂはハードウェア構成要素毎に定められた攻撃可能性評価基準２６を示す。あらかじめ定義された４段階（Ｈｉｇｈ（高）、Ｍｅｄｉｕｍ（中）、Ｌｏｗ（低）、Ｖｅｒｙ ｌｏｗ（非常に低い））の攻撃可能性評価が行われる。
図６Ａには、リモート駐車機能、アプリ追加機能、リプロ機能、車両制御機能およびダイアグ機能における資産への攻撃の可能性が示されている。例えば、アプリ追加機能は、外部との論理接続（セッション確立）があるため、資産への攻撃の可能性はＨｉｇｈとなっている。例えば、リプロ機能は、侵入検知機能を有しているため、資産への攻撃の可能性はＭｅｄｉｕｍとなっている。例えば、リモート駐車機能およびダイアグ機能は、侵入防御機能を有しているため、資産への攻撃の可能性はＬｏｗとなっている。例えば、車両制御機能は、外部との論理接続がないため、資産への攻撃の可能性はＶｅｒｙ ｌｏｗとなっている。
図６Ｂには、エントリポイントが遠隔無線のハードウェア構成要素（例えばＩ／Ｆ１０１など）、エントリポイントが近接無線のハードウェア構成要素（例えばＩ／Ｆ１０２など）、エントリポイントが直接接続のハードウェア構成要素（例えばＩ／Ｆ１０３および１０４など）およびエントリポイントが物理接続のハードウェア構成要素（例えばＭａｉｎＣＰＵ１０５およびＳｕｂＣＰＵ１０６など）における資産への攻撃の可能性が示されている。例えば、エントリポイントが遠隔無線のハードウェア構成要素に対する攻撃は容易に実現可能であるため、資産への攻撃の可能性はＨｉｇｈとなっている。例えば、エントリポイントが近接無線のハードウェア構成要素に対する攻撃の実現には過度な労力が必要となるため、資産への攻撃の可能性はＭｅｄｉｕｍとなっている。例えば、エントリポイントが直接接続のハードウェア構成要素に対する攻撃の実現には多大な労力が必要となるため、資産への攻撃の可能性はＬｏｗとなっている。例えば、エントリポイントが物理接続のハードウェア構成要素に対する攻撃はほぼ不可能であるため、資産への攻撃の可能性はＶｅｒｙ ｌｏｗとなっている。
なお、攻撃可能性評価基準２６は、設計対策情報２５に基づいて決定されてもよい。例えば、攻撃に対する対策が適用されている機能またはハードウェア構成要素については、攻撃の可能性が低くなるような基準が決定され、攻撃に対する対策が適用されていない機能またはハードウェア構成要素については、攻撃の可能性が高くなるような基準が決定されてもよい。
また、機能毎に定められた攻撃可能性評価基準２６は、機能割当情報２２に含まれる論理的な機能分割を示す情報に基づいて決定されてもよい。例えば、論理的な機能分割が行われている機能については、攻撃の可能性が低くなるような基準が決定され、論理的な機能分割が行われていない機能については、攻撃の可能性が高くなるような基準が決定されてもよい。
影響評価基準２７は、ハードウェア構成要素毎および機能毎に定められた、資産への攻撃による影響を評価するための基準である。影響評価基準２７について図４を用いて説明する。
図４の影響評価基準２７には、駐車位置および認証情報が用いられるリモート駐車機能に定められた、これらの資産への攻撃によるセキュリティ侵害時の直接的な影響が示されている。具体的には、リモート駐車機能において、駐車位置が攻撃された場合、安全、財産、操作性能、プライバシーの４つの観点ごとに、あらかじめ定義された４段階（Ｓｅｖｅｒｅ（重度）、Ｍａｊｏｒ（重要）、Ｍｏｄｅｒａｔｅ（中程度）、Ｎｅｇｌｉｇｉｂｌｅ（無視可能））の影響評価が行われる。例えば、リモート駐車機能において、駐車位置が攻撃された場合、安全の観点での影響はＮｅｇｌｉｇｉｂｌｅであり、車両の機能や性能に影響せず、財産の観点での影響はＭａｊｏｒであり、車両価格相当の損失が発生し、操作性能の観点での影響はＮｅｇｌｉｇｉｂｌｅであり、車両の機能や性能に影響せず、プライバシーの観点での影響はＳｅｖｅｒｅであり、駐車位置が個人を特定できる情報であると評価できる。
脅威ＤＢ２８は、脅威分析の際に用いられる所定のデータベースである。例えば、脅威ＤＢ２８は、Ｍｉｃｒｏｓｏｆｔ（登録商標）社が提唱するＳＴＲＩＤＥの脅威分析モデルである。詳細は後述するが、分析部１２は、脅威ＤＢ２８および資産の特性に基づいて、ハードウェア構成要素毎および機能毎にダメージシナリオまたは脅威シナリオを生成する。
次に、脅威分析システム１０の動作について、図７を用いて説明する。
図７は、実施の形態に係る脅威分析方法の一例を示すフローチャートである。なお、脅威分析方法は、脅威分析システム１０により実行されるため、図７は、実施の形態に係る脅威分析システム１０の動作の一例を示すフローチャートでもある。
まず、取得部１１は、脅威分析対象となるシステムのハードウェア構成要素を示すシステム構成情報２１と、ハードウェア構成要素に割り当てられる機能を示す機能割当情報２２と、機能に用いられる資産を示す資産情報２３と、資産の入出力元および入出力先のハードウェア構成要素を示す資産入出力情報２４とを取得する（ステップＳ１１：取得ステップ）。
次に、分析部１２は、システム構成情報２１、機能割当情報２２、資産情報２３および資産入出力情報２４に基づいて、ハードウェア構成要素に対する資産の流れを示す物理データフローおよび機能に対する資産の流れを示す論理データフローを導出する（ステップＳ１２：分析ステップ）。物理データフローの一例を図８に示し、論理データフローの一例を図９に示す。
図８は、物理データフローの一例を示す図である。
図９は、論理データフローの一例を示す図である。
図８では、物理データフローの一例として、図２に示されるハードウェア構成要素に対する駐車位置、認証情報および制御メッセージの流れが示される。例えば、駐車位置は、スマートフォン３００からＩ／Ｆ１０２およびＭａｉｎＣＰＵ１０５を介してｅＭＭＣ１０７へ流れる。例えば、認証情報は、ｅＭＭＣ１０７からＭａｉｎＣＰＵ１０５へ流れる。例えば、制御メッセージは、ＭａｉｎＣＰＵ１０５からＳｕｂＣＰＵ１０６、Ｉ／Ｆ１０４およびＧＷ８００を介して車両制御ＥＣＵ５００へ流れる。
図９では、論理データフローの一例として、図３に示される機能に対する駐車位置、認証情報および制御メッセージの流れが示される。例えば、駐車位置は、スマートフォン３００からリモート駐車機能を介してｅＭＭＣ１０７へ流れる。例えば、認証情報は、ｅＭＭＣ１０７からリモート駐車機能へ流れる。例えば、制御メッセージは、リモート駐車機能から車両制御機能を介して車両制御ＥＣＵ５００へ流れる。なお、図示していないが、アプリ追加機能からリモート駐車機能への流れ、リプロ機能からリモート駐車機能への流れ、ｅＭＭＣ１０７から車両制御機能への流れ、ダイアグ機能から車両制御機能への流れ、および、センサーＥＣＵ６００から車両制御機能への流れなどは、他の資産の流れを示す。この論理データフローより、リモート駐車機能には別途、ＯＥＭサーバ２００などとつながるアプリ追加機能やリプロ機能からＶＭ間通信を経由して制御される可能性があり、アプリ追加機能やリプロ機能が確立する論理セッションから侵入された場合の影響を合わせて分析する必要があることが分かる。
各データフローにおけるハードウェア構成要素、機能、資産、資産の入出力元および資産の入出力先の情報は、システム構成情報２１、機能割当情報２２、資産情報２３および資産入出力情報２４に含まれているため、分析部１２は、これらの情報に基づいて、物理データフローおよび論理データフローを導出することができる。
例えば、物理データフローは、ＴＣＰ／ＩＰプロトコル群におけるトランスポート層以下でのデータの流れであってもよく、論理データフローは、ＴＣＰ／ＩＰプロトコル群におけるアプリケーション層（ＯＳＩ参照モデルにおけるセッション層以上）でのデータの流れであってもよい。
次に、分析部１２は、導出した物理データフローおよび論理データフローに基づいて、ハードウェア構成要素毎および機能毎に、資産への攻撃の可能性および資産への攻撃による影響の分析を行う（ステップＳ１３：分析ステップ）。
例えば、分析部１２は、攻撃可能性評価基準２６に基づいて分析を行ってもよい。例えば、攻撃可能性評価基準２６においてＨｉｇｈとなっているハードウェア構成要素または機能への攻撃の可能性が高いと分析することができ、攻撃可能性評価基準２６においてＶｅｒｙ ｌｏｗまたはＬｏｗとなっているハードウェア構成要素または機能への攻撃の可能性が低いと分析することができる。
なお、分析部１２は、攻撃可能性評価基準２６においてＶｅｒｙ ｌｏｗとなっているハードウェア構成要素または機能についての分析を行わなくてもよい。
例えば、分析部１２は、影響評価基準２７に基づいて、分析を行ってもよい。影響評価基準２７においてＭａｊｏｒまたはＳｅｖｅｒｅとなっているハードウェア構成要素または機能への攻撃による影響が大きいと分析することができ、影響評価基準２７においてＮｅｇｌｉｇｉｂｌｅとなっているハードウェア構成要素または機能への攻撃による影響が小さいと分析することができる。このとき、分析部１２は、図４に示されるように、安全、財産、操作性能およびプライバシーのそれぞれの観点で影響の分析を行ってもよい。
また、例えば、分析部１２は、所定のデータベース（例えば脅威ＤＢ２８）および資産の特性に基づいて、ハードウェア構成要素毎および機能毎にダメージシナリオまたは脅威シナリオを生成してもよい。これについて図１０から図１２を用いて説明する。
図１０は、ＣＩＡ分類に基づいて生成されるダメージシナリオの一例を示す図である。
資産の特性は、例えばＣＩＡ分類に基づいて、機密性（Ｃｏｎｆｉｄｅｎｔｉａｌｉｔｙ）、完全性（Ｉｎｔｅｇｒｉｔｙ）または可用性（Ａｖａｉｌａｂｉｌｉｔｙ）に分類することができる。図１０には、資産（リモート駐車機能に用いられる資産）のＣＩＡ分類とダメージシナリオとが対応付けられた脅威ＤＢ２８が示されており、資産の特性（ＣＩＡ分類）を脅威ＤＢ２８に照合することで、ダメージシナリオを生成することができる。例えば、目的地情報はＣＩＡ分類としてＩ（完全性）とＣ（機密性）に影響があるためＣＩＡ分類毎に複数行に分割した上で、ＳＦＯＰ（安全、財産、操作性能、プライバシー）毎の影響評価値（Ｉｍｐａｃｔ）に基づいて、完全性については、「目的地情報の完全性が侵害され、財産にＭａｊｏｒ（車両価格相当の損失）な影響が発生する」というダメージシナリオを生成することができ、目的地情報の機密性については、「目的地情報の機密性が侵害され、プライバシーにＳｅｖｅｒｅ（個人を特定できる）な影響が発生する」というダメージシナリオを生成することができる。
図１１は、ＤＦＤ分類の一例を示す図である。
資産の特性は、ＤＦＤ分類に基づいて、データフローに分類することができる。なお、機能はＤＦＤ分類に基づいてプロセスに分類することができ、メモリはＤＦＤ分類に基づいてデータストアに分類することができる。図１１に示されるように、資産である目的地情報、認証ＩＤ（認証情報）、走行軌跡、地図データ、制御用データおよび走行情報がデータフローに分類されることがわかる。
図１２は、ＣＩＡ分類およびＤＦＤ分類に基づいて生成される脅威シナリオの一例を示す図である。
図１２には、ＣＩＡ分類およびＤＦＤ分類の組み合わせと脅威シナリオとが対応付けられた脅威ＤＢ２８が示されている。なお、脅威シナリオにおいて、［プロセス］には機能名が記載され、［データフロー］には資産名が記載され、［データストア］にはメモリ名が記載される。例えば、目的地情報の完全性については、図１２のＣＩＡ特性が「Ｉ」、ＤＦＤ分類が「データフロー」の行を参照することで、「目的地情報が改ざんされる」、「なりすましにより偽の目的地情報が送受信される」といった脅威シナリオを生成することができる。
また、例えば、ステップＳ１３では、分析部１２は、物理データフローおよび論理データフローに基づいて、物理データフローおよび論理データフローにおける資産への攻撃経路を特定し、特定した攻撃経路に基づいて、分析を行ってもよい。これについて図１３から図１５を用いて説明する。
図１３は、物理データフローおよび論理データフローにおけるハードウェア構成要素または機能への侵入経路の一例を示す図である。図１３は、リモート駐車機能に着目した物理データフローおよび論理データフローにおける侵入経路を示している。ここでは、ＭａｉｎＣＰＵ１０５のリモート駐車機能に影響しうる、アプリ追加機能やリプロ機能を含むほかの多数の外部通信機能をまとめて、その他外部通信と記述することでデータフローを簡略化している。
例えば、攻撃者の侵入経路は、Ｂｌｕｅｔｏｏｔｈ通信を用いたＩ／Ｆ１０２への侵入経路、ＣＡＮ通信を用いたＩ／Ｆ１０４への侵入経路、その他の外部通信を用いたＩ／Ｆ１０１への侵入経路、さらにＩ／Ｆ１０１からＭａｉｎＣＰＵ１０５およびＳｕｂＣＰＵ１０６への侵入経路、ｅＭＭＣ１０７への侵入経路などがある。
図１４は、物理データフローおよび論理データフローにおける目的地情報への攻撃経路の一例を示す図である。
例えば、各資産のうち目的地情報に着目した場合、攻撃者は、Ｓｔｅｐ１で示す侵入経路（攻撃経路）、Ｓｔｅｐ２で示す攻撃経路およびＳｔｅｐ３で示す攻撃経路によって攻撃を行うことが想定される。ここで、Ｓｔｅｐ１からＳｔｅｐ３の攻撃経路のそれぞれについて、資産の特性および脅威ＤＢ２８を用いて、脅威事例を具体化することができる。
図１５は、攻撃経路から具体化される脅威事例の一例を示す図である。
図１５には、攻撃経路の元および先の種別と、脅威事例とが対応付けられた脅威ＤＢ２８が示されている。ここでは、ＳＴＲＩＤＥ分類におけるなりすまし、改ざん、情報漏洩の脅威事例の記述にとどめているが、その他のサービス拒否、否認、権限昇格に関しての記述を脅威事例として記述してもよい。
例えば、Ｓｔｅｐ１で示す攻撃経路については、図１５におけるＳｔｅｐ１の枠で囲っている部分により脅威事例を具体化することができる。なお、［プロセス］にはＢｌｕｅｔｏｏｔｈ通信が記載され、［データフロー］には目的地情報が記載される。Ｓｔｅｐ１で示す攻撃経路の元の種別は攻撃者であり、先の種別はプロセス（Ｂｌｕｅｔｏｏｔｈ通信）であり、Ｓｔｅｐ１で示す攻撃経路について、図１２より生成した脅威シナリオがＣＩＡ分類よりＩ（完全性）の改ざんの場合は、「攻撃者がＢｌｕｅｔｏｏｔｈ通信内部のコード・データを改ざんする」といった脅威事例を具体化することができ、Ｃ（機密性）の情報漏洩の場合は、「攻撃者がＢｌｕｅｔｏｏｔｈ通信内部の機密情報を盗聴する」、「攻撃者がＢｌｕｅｔｏｏｔｈ通信にある目的地情報を盗聴する」といった脅威事例を具体化することができる。
例えば、Ｓｔｅｐ２で示す攻撃経路については、図１５におけるＳｔｅｐ２の枠で囲っている部分により脅威事例を具体化することができる。なお、［プロセスＡ］にはＢｌｕｅｔｏｏｔｈ通信が記載され、［プロセスＢ］にはリモート駐車機能が記載され、［データフロー］には目的地情報が記載される。Ｓｔｅｐ２で示す攻撃経路の元の種別はプロセス（Ｂｌｕｅｔｏｏｔｈ通信）であり、先の種別もプロセス（リモート駐車機能）であり、Ｓｔｅｐ２で示す攻撃経路について、改ざんに関して、「Ｂｌｕｅｔｏｏｔｈ通信からリモート駐車機能に、改ざんされた目的地情報が送信される」といった脅威事例を具体化することができる。
例えば、Ｓｔｅｐ３で示す攻撃経路については、図１５におけるＳｔｅｐ３の枠で囲っている部分により脅威事例を具体化することができる。なお、［プロセス］にはリモート駐車機能が記載され、［データストア］にはｅＭＭＣが記載され、［データフロー］には目的地情報が記載される。Ｓｔｅｐ３で示す攻撃経路の元の種別はプロセス（リモート駐車機能）であり、先の種別はデータストア（ｅＭＭＣ）であり、Ｓｔｅｐ３で示す攻撃経路について、改ざんに関して、「リモート駐車機能からｅＭＭＣに、改ざんされた目的地情報が送信される」といった脅威事例を具体化することができる。
図７での説明に戻り、出力部１３は、分析部１２による分析の結果（分析結果３０）を出力する（ステップＳ１４）。分析結果３０について図１６を用いて説明する。
図１６は、分析結果３０の一例を示す図である。図１６では、リモート駐車機能に用いられる駐車位置についての分析結果３０を一例として示しているが、このような分析結果３０がハードウェア構成要素毎および機能毎に出力される。
例えば、分析結果３０は、ハードウェア構成要素毎および機能毎のダメージシナリオまたは脅威シナリオを含んでいてもよい。例えば、図１６に示される分析結果３０には、「駐車位置の完全性が侵害され、財産にＭａｊｏｒ（車両価格相当の損失）な影響が発生する」といったダメージシナリオおよび「駐車位置が改ざんされることで、駐車位置の完全性が侵害され、財産にＭａｊｏｒ（車両価格相当の損失）な影響が発生する」といった脅威シナリオが含まれていることがわかる。
また、例えば、分析結果３０は、資産への攻撃に対するリスクを示すリスク値を含んでいてもよい。例えば、図１６に示される分析結果３０には、リスク値「３」が含まれていることがわかる。リスク値は、例えば、影響評価基準および攻撃可能性評価基準から算出することができる。
図１７Ａ～図１７Ｄは、リスク値の算出方法を説明するための図である。図１７Ａは、財産の観点でのリスクマトリクスであり、図１７Ｂは、安全の観点でのリスクマトリクスであり、図１７Ｃは、操作性能の観点でのリスクマトリクスであり、図１７Ｄは、プライバシーの観点でのリスクマトリクスである。
例えば、安全、財産、操作性能またはプライバシーのそれぞれ毎に影響と攻撃可能性との評価値よりリスク値を算出するためのマトリクスが、図１７Ａ～図１７Ｄに示されるように４つ別々に定められていてもよいし、１つに統一されていてもよい。例えば、図１６に示されるリモート駐車機能に用いられる駐車位置について、駐車位置への攻撃の可能性がＭｅｄｉｕｍであり、駐車位置への攻撃の財産の観点での影響がＭａｊｏｒである場合、図１７Ａに示されるリスクマトリクスよりリスク値を「３」と算出することができる。例えば、算出されたリスク値が、製品として許容できないレベルにあると判断される場合には、リスク対処方法に「軽減」を選択した上で、該当する脅威シナリオへの対策としてサイバーセキュリティゴールが特定される。なお、リスク軽減をしない場合（リスク受容、共有、移転など）には、理由を記載した上で、リスク状況の変化に応じて継続的に妥当性が管理される。
さらに、サイバーセキュリティゴールを具体的な製品要件に落とし込むために、図１５に基づき算出された複数の攻撃経路毎に、サイバーセキュリティコントロールと呼ばれる管理策または対策として、サイバーセキュリティ要求として製品要件が特定されてもよい。
例えば、分析結果３０を確認することで、ハードウェア構成要素毎および機能毎に、攻撃される可能性がどの程度あり、攻撃された場合にどのような影響があり、どのようなダメージシナリオおよび脅威シナリオが想定されるのかを、車両の開発ライフサイクルの初期段階に認識して、事前に対策を行うことができる。
以上説明したように、ハードウェア構成要素に対する資産の物理データフローに加えて、ハードウェア構成要素に割り当てられる機能に対する資産の論理データフローに基づいて、資産への攻撃（セキュリティリスク）の分析が行われる。このため、不正な３ｒｄｐａｒｔｙアプリのダウンロードに起因する攻撃を想定した場合であっても、論理セッション上からの侵入に対する対策を行うことができ、セキュリティリスクの分析を精度よく行うことができる。例えば、製品の機能レベルでの脅威の抽出を網羅的に行うことができる。また、論理データフローから機能毎の資産の移動経路を特定することで、不要な経路の分析を削減できる。
（その他の実施の形態）
以上、本開示の実施の形態に係る脅威分析方法および脅威分析システム１０について説明したが、本開示は、上記実施の形態に限定されるものではない。
例えば、上記実施の形態では、物理データフローおよび論理データフローが導出される例について説明したが、開発における設計の進展状況やリスク分析の状況に応じて、さらなる階層のデータフローが導出されてもよい。
例えば、上記実施の形態では、攻撃可能性評価基準２６に基づいて、分析が行われる例について説明したが、分析に攻撃可能性評価基準２６が用いられなくてもよい。この場合、脅威分析システム１０のメモリに攻撃可能性評価基準２６が記憶されていなくてもよい。
例えば、上記実施の形態では、影響評価基準２７に基づいて、分析が行われる例について説明したが、分析に影響評価基準２７が用いられなくてもよい。この場合、脅威分析システム１０のメモリに影響評価基準２７が記憶されていなくてもよい。
例えば、上記実施の形態では、設計対策情報２５が取得される例について説明したが、設計対策情報２５が取得されなくてもよい。この場合、攻撃可能性評価基準２６は、設計対策情報２５に基づいて定められなくてもよい。
例えば、上記実施の形態では、ダメージシナリオまたは脅威シナリオが生成される例について説明したが、ダメージシナリオまたは脅威シナリオが生成されなくてもよい。この場合、分析結果３０に、ダメージシナリオまたは脅威シナリオが含まれていなくてもよい。
例えば、上記実施の形態では、物理データフローおよび論理データフローにおける資産への攻撃経路が特定される例について説明したが、攻撃経路が特定されなくてもよい。
例えば、上記実施の形態では、分析結果３０にリスク値が含まれる例について説明したが、分析結果３０にリスク値が含まれていなくてもよい。
例えば、上記実施の形態では、攻撃可能性評価基準２６および影響評価基準２７が脅威分析システム１０のメモリに記憶される例について説明したが、脅威分析システム１０の外部の装置に記憶され、脅威分析システム１０は、外部の装置から攻撃可能性評価基準２６および影響評価基準２７を取得してもよい。
例えば、脅威分析方法におけるステップは、コンピュータ（コンピュータシステム）によって実行されてもよい。そして、本開示は、脅威分析方法に含まれるステップを、コンピュータに実行させるためのプログラムとして実現できる。
さらに、本開示は、そのプログラムを記録したＣＤ－ＲＯＭ等である非一時的なコンピュータ読み取り可能な記録媒体として実現できる。
例えば、本開示が、プログラム（ソフトウェア）で実現される場合には、コンピュータのＣＰＵ、メモリおよび入出力回路等のハードウェア資源を利用してプログラムが実行されることによって、各ステップが実行される。つまり、ＣＰＵがデータをメモリまたは入出力回路等から取得して演算したり、演算結果をメモリまたは入出力回路等に出力したりすることによって、各ステップが実行される。
また、上記実施の形態の脅威分析システム１０に含まれる各構成要素は、専用または汎用の回路として実現されてもよい。
また、上記実施の形態の脅威分析システム１０に含まれる各構成要素は、集積回路（ＩＣ：Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）であるＬＳＩ（Ｌａｒｇｅ Ｓｃａｌｅ Ｉｎｔｅｇｒａｔｉｏｎ）として実現されてもよい。
また、集積回路はＬＳＩに限られず、専用回路または汎用プロセッサで実現されてもよい。プログラム可能なＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）、または、ＬＳＩ内部の回路セルの接続および設定が再構成可能なリコンフィギュラブル・プロセッサが、利用されてもよい。
さらに、半導体技術の進歩または派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて、脅威分析システム１０に含まれる各構成要素の集積回路化が行われてもよい。
その他、実施の形態に対して当業者が思いつく各種変形を施して得られる形態、本開示の趣旨を逸脱しない範囲で各実施の形態における構成要素および機能を任意に組み合わせることで実現される形態も本開示に含まれる。
本開示は、車両のセキュリティリスクを分析するシステムなどに適用できる。
１０ 脅威分析システム
１１ 取得部
１２ 分析部
１３ 出力部
２１ システム構成情報
２２ 機能割当情報
２３ 資産情報
２４ 資産入出力情報
２５ 設計対策情報
２６ 攻撃可能性評価基準
２７ 影響評価基準
２８ 脅威ＤＢ
３０ 分析結果
１００ ＥＣＵ
１０１、１０２、１０３、１０４ Ｉ／Ｆ
１０５ ＭａｉｎＣＰＵ
１０５ａ、１０５ｂ ＶＭ
１０６ ＳｕｂＣＰＵ
１０７ ｅＭＭＣ
１０８ ＮＯＲ Ｆｌａｓｈ
１０９ ＪＴＡＧ
２００ ＯＥＭサーバ
３００ スマートフォン
４００ デバッグＰＣ／診断機器
５００ 車両制御ＥＣＵ
６００ センサーＥＣＵ
７００ 通信ＥＣＵ
８００ ＧＷ

Claims (8)

  1. 脅威分析対象となるシステムのハードウェア構成要素を示すシステム構成情報と、前記ハードウェア構成要素に割り当てられる機能を示す機能割当情報と、前記機能に用いられる資産を示す資産情報と、前記資産の入出力元および入出力先の前記ハードウェア構成要素を示す資産入出力情報とを取得する取得ステップと、
    前記システム構成情報、前記機能割当情報、前記資産情報および前記資産入出力情報に基づいて、前記ハードウェア構成要素に対する前記資産の流れを示す物理データフローおよび前記機能に対する前記資産の流れを示す論理データフローを導出し、前記物理データフローおよび前記論理データフローに基づいて、前記ハードウェア構成要素毎および前記機能毎に、前記資産への攻撃の可能性および前記資産への攻撃による影響の分析を行う分析ステップと、
    前記分析の結果を出力する出力ステップと、を含む、
    脅威分析方法。
  2. 前記分析ステップでは、さらに、前記ハードウェア構成要素毎および前記機能毎に定められた、前記資産への攻撃の可能性を評価するための攻撃可能性評価基準に基づいて、前記分析を行う、
    請求項１に記載の脅威分析方法。
  3. 前記攻撃可能性評価基準は、前記ハードウェア構成要素毎および前記機能毎に適用されている対策を示す設計対策情報に基づいて定められる、
    請求項２に記載の脅威分析方法。
  4. 前記分析ステップでは、さらに、前記ハードウェア構成要素毎および前記機能毎に定められた、前記資産への攻撃による影響を評価するための影響評価基準に基づいて、前記分析を行う、
    請求項１～３のいずれか１項に記載の脅威分析方法。
  5. 前記分析ステップでは、さらに、所定のデータベースおよび前記資産の特性に基づいて、前記ハードウェア構成要素毎および前記機能毎にダメージシナリオまたは脅威シナリオを生成し、
    前記分析の結果は、前記ハードウェア構成要素毎および前記機能毎の前記ダメージシナリオまたは前記脅威シナリオを含む、
    請求項１～４のいずれか１項に記載の脅威分析方法。
  6. 前記分析ステップでは、前記物理データフローおよび前記論理データフローに基づいて、前記物理データフローおよび前記論理データフローにおける前記資産への攻撃経路を特定し、前記攻撃経路に基づいて、前記分析を行う、
    請求項１～５のいずれか１項に記載の脅威分析方法。
  7. 前記分析の結果は、前記資産への攻撃に対するリスクを示すリスク値を含む、
    請求項１～６のいずれか１項に記載の脅威分析方法。
  8. 脅威分析対象となるシステムのハードウェア構成要素を示すシステム構成情報と、前記ハードウェア構成要素に割り当てられる機能を示す機能割当情報と、前記機能に用いられる資産を示す資産情報と、前記資産の入出力元および入出力先の前記ハードウェア構成要素を示す資産入出力情報とを取得する取得部と、
    前記システム構成情報、前記機能割当情報、前記資産情報および前記資産入出力情報に基づいて、前記ハードウェア構成要素に対する前記資産の流れを示す物理データフローおよび前記機能に対する前記資産の流れを示す論理データフローを導出し、前記物理データフローおよび前記論理データフローに基づいて、前記ハードウェア構成要素毎および前記機能毎に、前記資産への攻撃の可能性および前記資産への攻撃による影響の分析を行う分析部と、
    前記分析の結果を出力する出力部と、を備える、
    脅威分析システム。
JP2021156545A 2021-09-27 2021-09-27 脅威分析方法および脅威分析システム Pending JP2023047569A (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2021156545A JP2023047569A (ja) 2021-09-27 2021-09-27 脅威分析方法および脅威分析システム
PCT/JP2022/018573 WO2023047689A1 (ja) 2021-09-27 2022-04-22 脅威分析方法および脅威分析システム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2021156545A JP2023047569A (ja) 2021-09-27 2021-09-27 脅威分析方法および脅威分析システム

Publications (1)

Publication Number Publication Date
JP2023047569A true JP2023047569A (ja) 2023-04-06

Family

ID=85720364

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2021156545A Pending JP2023047569A (ja) 2021-09-27 2021-09-27 脅威分析方法および脅威分析システム

Country Status (2)

Country Link
JP (1) JP2023047569A (ja)
WO (1) WO2023047689A1 (ja)

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6676480B2 (ja) * 2016-06-13 2020-04-08 株式会社日立製作所 脆弱性リスク評価システム
JP7135976B2 (ja) * 2019-03-29 2022-09-13 オムロン株式会社 コントローラシステム、サポート装置および評価方法
JP7180500B2 (ja) * 2019-03-29 2022-11-30 オムロン株式会社 制御システム、および設定方法
JP7074104B2 (ja) * 2019-03-29 2022-05-24 オムロン株式会社 コントローラシステム
JP7149219B2 (ja) * 2019-03-29 2022-10-06 株式会社日立製作所 リスク評価対策立案システム及びリスク評価対策立案方法

Also Published As

Publication number Publication date
WO2023047689A1 (ja) 2023-03-30

Similar Documents

Publication Publication Date Title
CN113169975B (zh) 用于网络微分段和纳分段的安全规则的自动生成
CN106828362B (zh) 汽车信息的安全测试方法及装置
US10033814B2 (en) Vehicle security network device and design method therefor
US9262635B2 (en) Detection efficacy of virtual machine-based analysis with application specific events
KR102017810B1 (ko) 모바일 기기용 침입방지장치 및 방법
CN109766700A (zh) 访问文件的控制方法及装置、存储介质、电子装置
Park et al. Malware detection in self-driving vehicles using machine learning algorithms
JP6717206B2 (ja) マルウェア対策装置、マルウェア対策システム、マルウェア対策方法、及び、マルウェア対策プログラム
CN112165455A (zh) 数据访问控制方法、装置、计算机设备和存储介质
US20220019676A1 (en) Threat analysis and risk assessment for cyber-physical systems based on physical architecture and asset-centric threat modeling
US20170155683A1 (en) Remedial action for release of threat data
Hong et al. Avguardian: Detecting and mitigating publish-subscribe overprivilege for autonomous vehicle systems
US20230362142A1 (en) Network action classification and analysis using widely distributed and selectively attributed sensor nodes and cloud-based processing
CN116599747A (zh) 一种网络与信息安全服务系统
CN114138590A (zh) Kubernetes集群的运维处理方法、装置及电子设备
Akhuseyinoglu et al. AntiWare: An automated Android malware detection tool based on machine learning approach and official market metadata
WO2023047689A1 (ja) 脅威分析方法および脅威分析システム
Möller et al. Automotive cybersecurity
CN114257404B (zh) 异常外联统计告警方法、装置、计算机设备和存储介质
Xiong et al. Threat modeling of connected vehicles: A privacy analysis and extension of vehiclelang
CN115563618A (zh) 一种基于中央计算平台的渗透测试方法及装置
US20240193273A1 (en) Threat analysis method and threat analysis system
Weiss et al. Trust evaluation in mobile devices: An empirical study
Moloja et al. Towards a cloud intrusion detection and prevention system for M-voting in South Africa
Le et al. Hardware trojan detection and functionality determination for soft IPs

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20240130

A711 Notification of change in applicant

Free format text: JAPANESE INTERMEDIATE CODE: A711

Effective date: 20240304