JP2024016763A - 攻撃推定検証装置、攻撃推定検証方法、及び攻撃推定検証プログラム - Google Patents

Abstract

【課題】複数のＥＣＵをグループ化して攻撃推定を行う場合に、ＥＣＵのグループ化に用いた手法が適切であるか否かを検証する。【解決手段】攻撃推定検証装置１００は、異常ＥＣＵを示す識別情報と、異常ＥＣＵで検知された異常を示す異常情報と、異常ＥＣＵが属するグループを示すグループ情報と、を含むセキュリティログを取得するログ取得部と、攻撃の種別を示す攻撃情報と、予測異常情報と、予測グループ情報と、の対応関係を示す攻撃・異常関係テーブルを保存する攻撃・異常関係テーブル保存部と、予測異常情報及び予測グループ情報の組み合わせから、電子制御システムが受けた攻撃を推定する攻撃推定部と、推定された攻撃が異常ＥＣＵが有すると仮定された特徴に関連する攻撃である場合に、グループ化が適切ではない又は異常ＥＣＵが有すると仮定された特徴が適切ではないと判定する検証部と、検証部による検証結果を通知する通知部と、を備える。【選択図】図８

Description

本発明は、主に自動車をはじめとする移動体に搭載された電子制御システムに対する攻撃を推定し、その推定結果を検証する攻撃推定検証装置、攻撃推定検証方法、及び攻撃推定検証プログラムに関する。

近年、車車間通信や路車間通信のようなＶ２Ｘをはじめ、運転支援や自動運転制御を行う技術が注目されている。これに伴い、車両が通信機能を備えるようになり、いわゆる車両のコネクティッド化が進んでいる。この結果、車両が不正アクセスといったサイバー攻撃を受ける可能性が増加している。そのため、車両に対するサイバー攻撃を分析して、その対応策を構築することが必要とされている。

車両に発生した異常を検知して、検知した異常に基づいてサイバー攻撃を分析する手法として、様々なものがある。例えば、特許文献１には、検知した異常データを収集するとともに、異常が検出された項目の組み合わせと、攻撃毎に予め特定された異常検出パターンとを照合して、異常に対応する攻撃の種類を特定することが記載されている。

ところが、車両に搭載される電子制御システムの構成は、車両の種別や年式、製造メーカによって異なるため、サイバー攻撃を受けることによって異常が検出される項目や異常の発生場所は、電子制御システムの構成によって異なる可能性がある。そのため、異常が検出された項目の組み合わせを利用してサイバー攻撃を特定するためには、電子制御システムの構成毎に異常検出パターンや分析ルールを設定する必要がある。しかしながら、近年、車両の多機能化に伴って電子制御システムを構成する電子制御装置の数は増加しつつあるため、多くの電子制御装置に対応する異常検出パターンや分析ルールを設定すると、処理負荷が増大することに加えて、開発及びメンテナンスの側面から好ましくない。

特開２０２０－１２３３０７号公報

そこで、本発明者は、詳細な検討の結果、電子制御システムを構成する複数の電子制御装置をいくつかのグループに分け、グループ毎に異常検出パターンや分析ルールを設定することによって、電子制御システムに対するサイバー攻撃の分析処理を低減する手法を見出した。この手法によれば、電子制御システム全体で設定すべき異常検出パターンや分析ルールの数を抑制することができる。さらに、構成が異なる複数の電子制御システムそれぞれに共通する異常検出パターンや分析ルールを適用できるように電子制御装置をグループ化することで、電子制御システムの構成によらずにサイバー攻撃を分析することも可能となる。しかしながら、電子制御装置のグループ化が適切ではない場合、攻撃を正確に分析することができない可能性があるため、このような手法を用いてサイバー攻撃を分析する場合、電子制御装置のグループ化が適切であるかどうかを検証することが望ましい。

そこで、本発明は、電子制御システムを構成する複数の電子制御装置をいくつかのグループに分けてサイバー攻撃を分析した後に、分析手法が適切であるか否かを検証することができる装置、方法、及びプログラムを提供することを目的とする。

本開示の一態様による攻撃推定検証装置は、電子制御システムを構成する複数の電子制御装置のうち異常が検知された電子制御装置である異常電子制御装置を示す識別情報と、前記異常電子制御装置で検知された異常を示す異常情報と、前記複数の電子制御装置それぞれが現実に有する及び有すると仮定された特徴に応じて前記複数の電子制御装置のうち１以上の電子制御装置をグループ化したグループであって、前記異常電子制御装置が属するグループを示すグループ情報と、を含むセキュリティログを取得するログ取得部（１０１）と、攻撃の種別を示す攻撃情報と、前記攻撃を受けた場合に発生することが予測される異常を示す予測異常情報と、前記予測される異常が発生するグループを示す予測グループ情報と、の対応関係を示す攻撃・異常関係テーブルを保存する攻撃・異常関係テーブル保存部（１０２）と、前記異常情報及び前記グループ情報の組み合わせに対応する前記予測異常情報及び前記予測グループ情報の組み合わせから、前記電子制御システムが受けた攻撃を推定する攻撃推定部（１０４）と、前記攻撃推定部により推定された前記攻撃が、前記識別情報が示す前記異常電子制御装置が有すると仮定された特徴に関連する攻撃である場合に、前記グループのグループ化が適切ではない又は前記異常電子制御装置が有すると仮定された特徴が適切ではない、と判定する検証部（１０５）と、前記検証部による検証結果を通知する通知部（１０６）と、を備える。

なお、特許請求の範囲、及び本項に記載した発明の構成要件に付した括弧内の番号は、本発明と後述の実施形態との対応関係を示すものであり、本発明を限定する趣旨ではない。

上述のような構成によれば、電子制御システムに対するサイバー攻撃の分析に要する処理負荷を低減し、開発及びメンテナンスを容易にすることが可能となることに加えて、攻撃分析手法が適切であるかを検証することで、適切な分析手法を適用した分析を行うことが可能となり、ひいては、電子制御システムに異常が発生した場合に異常を正確に分析することが可能となる。

実施形態１の攻撃分析システムの構成例を示すブロック図 実施形１態の攻撃分析システムの配置を説明する説明図 実施形態１、２の攻撃分析システムによる分析対象である電子制御システムの構成例を説明する図 実施形態１、２の攻撃推定用ログ生成装置の構成例を示すブロック図 実施形態１、２の特徴テーブルの一例を示す図 実施形態１、２の特徴テーブルの一例を示す図 実施形態１、２の電子制御システムの構成例を説明する図 実施形態１、２の攻撃推定検証装置の構成例を示すブロック図 実施形態１、２の攻撃・異常関係テーブルの例を示す図 実施形態１、２の攻撃分析システムの動作を示すフローチャート

以下、本発明の実施形態について、図面を参照して説明する。

なお、本発明とは、特許請求の範囲又は課題を解決するための手段の項に記載された発明を意味するものであり、以下の実施形態に限定されるものではない。また、少なくともかぎ括弧内の語句は、特許請求の範囲又は課題を解決するための手段の項に記載された語句を意味し、同じく以下の実施形態に限定されるものではない。

特許請求の範囲の従属項に記載の構成及び方法は、特許請求の範囲の独立項に記載の発明において任意の構成及び方法である。従属項に記載の構成及び方法に対応する実施形態の構成及び方法、並びに特許請求の範囲に記載がなく実施形態のみに記載の構成及び方法は、本発明において任意の構成及び方法である。特許請求の範囲の記載が実施形態の記載よりも広い場合における実施形態に記載の構成及び方法も、本発明の構成及び方法の例示であるという意味で、本発明において任意の構成及び方法である。いずれの場合も、特許請求の範囲の独立項に記載することで、本発明の必須の構成及び方法となる。

実施形態に記載した効果は、本発明の例示としての実施形態の構成を有する場合の効果であり、必ずしも本発明が有する効果ではない。

複数の実施形態がある場合、各実施形態に開示の構成は各実施形態のみで閉じるものではなく、実施形態をまたいで組み合わせることが可能である。例えば一の実施形態に開示の構成を、他の実施形態に組み合わせてもよい。また、複数の実施形態それぞれに開示の構成を集めて組み合わせてもよい。

発明が解決しようとする課題に記載した課題は公知の課題ではなく、本発明者が独自に知見したものであり、本発明の構成及び方法と共に発明の進歩性を肯定する事実である。

１．第１の実施形態
（１）攻撃分析システム１
（ａ）攻撃分析システム１の構成
図１は、本実施形態の攻撃分析システム１の構成を概略的に説明する図である。攻撃分析システム１は、攻撃推定検証装置１００と攻撃推定用ログ生成装置２００とを有する。攻撃推定検証装置１００は、後述する電子制御システムＳに対するサイバー攻撃を推定し、その推定結果を検証する装置である。攻撃推定用ログ生成装置２００は、攻撃推定検証装置１００がサイバー攻撃を推定するために必要なログを生成する装置である。

（ｂ）攻撃分析システム１と電子制御システムＳの配置
図２は、本実施形態の攻撃分析システム１と電子制御システムＳの配置を説明する図である。攻撃分析システム１は、電子制御システムＳから必要な情報を取得することができる任意の配置をとりうる。以下、サイバー攻撃を攻撃と略して記載する。また、攻撃により影響を受ける電子制御システムＳ側からの視点に基づき、攻撃を異常と記載することがある。

例えば、図２ａに示すように、電子制御システムＳ及び攻撃分析システム１が「移動体」である車両に「搭載」される場合と、図２ｂに示すように、電子制御システムＳは「移動体」である車両に「搭載」され、攻撃分析システム１は車両の外部に設置されたサーバ装置で実現する場合と、図２ｃに示すように、電子制御システムＳと、攻撃分析システム１のうち攻撃推定用ログ生成装置２００が「移動体」である車両に「搭載」され、攻撃分析システム１のうち攻撃推定検証装置１００のみがサーバ装置で実現する場合と、が想定される。

ここで、「移動体」とは、移動可能な物体をいい、移動速度は任意である。また移動体が停止している場合も当然含む。例えば、自動車、自動二輪車、自転車、歩行者、船舶、航空機、及びこれらに搭載される物を含み、またこれらに限らない。
また、「搭載」される、とは、移動体に直接固定されている場合の他、移動体に固定されていないが移動体と共に移動する場合も含む。例えば、移動体に乗った人が所持している場合、移動体に載置された積荷に搭載されている場合、が挙げられる。

図２ａの場合、攻撃分析システム１と電子制御システムＳとは、例えばＣＡＮ（Controller Area Network）、ＬＩＮ（Local Interconnect Network）といった車載ネットワークで接続されている。あるいは、Ｅｔｈｅｒｎｅｔ（登録商標）やＷｉ－Ｆｉ（登録商標）、Ｂｌｕｅｔｏｏｔｈ（登録商標）等、有線無線を問わず任意の通信方式を用いて接続することができる。別の例として、電子制御システムＳを構成する電子制御装置の少なくとも一つに攻撃推定検証装置１００及び攻撃推定用ログ生成装置２００の機能を内蔵することもできる。

図２ａの場合、攻撃分析システム１は、電子制御システムＳが攻撃を受けると遅滞なく、攻撃を分析することができ、ひいては攻撃に対する対応を迅速に行うことが可能である。

図２ｂの場合、攻撃分析システム１と電子制御システムＳとは、例えば、ＩＥＥＥ８０２．１１（Ｗｉ－Ｆｉ（登録商標））やＩＥＥＥ８０２．１６（ＷｉＭＡＸ（登録商標））、Ｗ－ＣＤＭＡ（Wideband Code Division Multiple Access）、ＨＳＰＡ（High Speed Packet Access）、ＬＴＥ（Long Term Evolution）、ＬＴＥ－Ａ（Long Term Evolution Advanced）、４Ｇ、５Ｇ等の無線通信方式からなる通信手段を用いて接続することができる。あるいは、ＤＳＲＣ（Dedicated Short Range Communication）を用いることができる。車両が駐車場に駐車されていたり、修理工場に収容されている場合は、無線通信方式に代えて、有線通信方式を用いることができる。例えば、ＬＡＮ（Local Area Network）やインターネット、固定電話回線を用いることができる。

図２ｂの場合、サーバ装置は、車両に搭載された電子制御システムＳが攻撃を受けると、無線通信ネットワークを介して、電子制御システムＳを構成する電子制御装置に搭載されたセキュリティセンサで生成されたセキュリティログを車両から受信する。そのため、攻撃分析システム１が車両に搭載される場合と比較して、攻撃を分析し分析結果を車両にフィードバックするまでに時間を要する反面、車両側の処理負荷を軽減することが可能である。また、サーバ装置の豊富なリソースを用いることができるので、複雑かつ大量の演算を実行することが可能である。

図２ｃの場合、サーバ装置で実現する攻撃推定検証装置１００と攻撃分析用ログ生成装置２００とは、図２ｂの場合と同様の無線通信方式又は有線通信方式からなる通信手段を用いて接続することができる。攻撃推定検証装置１００による攻撃推定及び検証処理の処理負荷は、攻撃推定用ログ生成装置２００による処理負荷と比較して大きいため、このように処理負荷の大きい処理のみをサーバ装置のリソースを用いて実現する。

以下に説明する各実施形態では、攻撃を受ける電子制御システムＳは、車両に搭載された車載システムである例を挙げて説明する。しかしながら、電子制御システムＳは車載システムに限定されるものではなく、任意の電子制御システムに適用することができる。例えば、電子制御システムＳが車両に搭載されず、静止体に搭載されていてもよい。

なお、本実施形態の攻撃分析システム１は、車両に実装された電子制御システムＳの攻撃を分析する場合はもちろん、実装する前の電子制御システムＳについて、攻撃の分析手法が適切であるかどうかを検証するための試験用システムとして使用することもできる。

以下、第１の実施形態の攻撃推定検証装置１００の説明に先立ち、攻撃推定検証装置１００の周辺機器の構成、すなわち、攻撃を受ける電子制御システムＳの構成、及び、攻撃推定用ログ生成装置２００の構成について説明する。

（２）電子制御システムＳ
（ａ）全体構成
図３は、電子制御システムＳの構成例を説明する図である。電子制御システムＳは、複数の電子制御装置（以下、ＥＣＵ（Electric Control Unit））から構成される。図３に例示する電子制御システムＳは、ＣＧＷ１１、ＥＣＵ１２、ＥＣＵ１３、ＥＣＵ１４、ＥＣＵ１５、ＥＣＵ１６、ＥＣＵ１７を有する。

ＣＧＷ１１（Central GateWay）は、主にゲートウェイ（ＧＷ）機能を有する。例えば、車両の外部から無線通信を介して受信した情報を、車載ネットワークを介して接続されたＥＣＵ１２～１７に転送する。図３では、車載ネットワークとしてＣＡＮ１～５を例示しているが、ＣＡＮに代えて、ＬＩＮや、イーサネット（ＥＴＨ）等の通信ネットワークを用いてもよい。ＣＧＷ１１には、ゲートウェイ機能以外の機能を搭載することもできる。図３に示すＣＧＷ１１は、２つの仮想マシン（以下、ＶＭ（Virtual Machine））、すなわち、ＶＭ１１１、ＶＭ１１２を有している。

ＥＣＵ１２～１７は、ＣＧＷ１１とネットワークを介して接続されるＥＣＵである。ＥＣＵ１２～ＥＣＵ１７は、車両の各機能を実現する任意のＥＣＵであり、例えば、エンジン、ハンドル、ブレーキ等の制御を行う駆動系電子制御装置、メータやパワーウインドウ等の制御を行う車体系電子制御装置、ナビゲーション装置等の情報系電子制御装置、あるいは、障害物や歩行者との衝突を防止するための制御を行う安全制御系電子制御装置が挙げられる。

以下の説明では、上述のＣＧＷ１１、ＥＣＵ１２～ＥＣＵ１７の固有の特徴に着目しない場合は、それぞれを各ＥＣＵ、あるいは単にＥＣＵと呼ぶ。

（ｂ）多層防御と層
多くの電子制御システムＳでは、攻撃に対するセキュリティ性を高めるために多層防御が採用されている。多層防御によれば、攻撃に対する対策としてセキュリティ機能を階層的・多層的に設けることで、攻撃を受けた場合に一の対策（すなわち、一層目）が突破されても、次の対策（すなわち、二層目）が攻撃を防御することができるため、電子制御システムの防御力を高めることができる。そのため、多層防御を採用した電子制御システムＳでは、「セキュリティレベル」が異なる複数の層が存在することとなる。そこで、電子制御システムＳをセキュリティレベルに応じて複数の層に分割し、各ＥＣＵをそれぞれいずれかの層に分類する。

ここで、「セキュリティレベル」とは、攻撃に対する安全性、又は攻撃に対する抑止力を示す指標である。

図３に示す電子制御システムＳは三層の防御層を有する。この例では、ＣＧＷ１１のＶＭ１１１及びＥＣＵ１２～ＥＣＵ１３が第一層に属しており、ＣＧＷ１１のＶＭ１１２及びＥＣＵ１４～１５が第二層に属しており、ＥＣＵ１６～１７が第三層に属している。

なお、図３の電子制御装置システムＳは三層の防御層を有しているが、四層以上の防御層を設けてもよい。例えば、サブゲートウェイＥＣＵを介して接続されているＥＣＵを第四層としてもよい。あるいは、ＴＣＵ（Telematics Control Unit）やＩＶＩ（In-Vehicle Infotainment system）といったエントリーポイントと呼ばれるＥＣＵは、図３に示す各ＥＣＵとは異なる防御層に属してもよい。

（ｃ）セキュリティセンサ
電子制御システムＳを構成する各ＥＣＵには、ＥＣＵ内部やＥＣＵが接続されたネットワークを監視する単数又は複数のセキュリティセンサが搭載される。セキュリティセンサがＥＣＵ内部又はネットワークに発生した異常を検知すると、セキュリティログを生成・出力する。セキュリティログは、セキュリティセンサが異常を検知したことを示す異常情報と、異常が検知されたＥＣＵを示す識別情報と、を含む。以下の実施形態では、異常が検知されたＥＣＵを異常ＥＣＵと称し、セキュリティセンサによって生成・出力されたセキュリティログを個別セキュリティログと称する。なお、本明細書では、説明を容易にするために、ＥＣＵと符号の組み合わせ（例えば、ＥＣＵ１２）を、そのままＥＣＵの識別情報として用いる。セキュリティセンサの例としては、ファイアウォール、プロキシ、認証などが挙げられるが、これらに限定されるものではない。

なお、個別セキュリティログは、異常情報及び異常ＥＣＵの識別情報の他、電子制御システムＳを特定する識別情報、セキュリティセンサが検知した異常が発生した位置を示す位置情報、異常を検知した時刻、異常を検知した回数、異常を検知した順番、異常の検知前に受信したデータの内容やＩＰアドレス（送信元及び送信先）の情報、等を含んでもよい。

（ｄ）ドメインコントローラ
図３には示していないが、電子制御システムＳを構成する複数のＥＣＵを機能や役割に応じてドメインと称される単位に分割して、ドメイン毎にＥＣＵを管理する、いわゆるドメイン・アーキテクチャと呼ばれるシステムがある。このようなドメイン・アーキテクチャでは、ドメインコントローラと呼ばれるＥＣＵがドメイン毎にＥＣＵを管理する。本願の電子制御システムＳがドメイン・アーキテクチャである場合、ドメインコントローラであるＥＣＵと、ドメインコントローラによって管理されるＥＣＵとは、仮に同じ防御層に属している場合であっても、セキュリティが異なることが多い。そのため、ドメインコントローラと、当該ドメインコントローラによって管理されるＥＣＵは、後述する攻撃推定用ログ生成装置２００において、同じグループであると判定されず、異なるグループであると判定される。

（３）攻撃推定用ログ生成装置２００
図４を参照して、本実施形態の攻撃推定用ログ生成装置２００の構成を説明する。攻撃推定用ログ生成装置２００は、個別ログ取得部２０１、特徴数情報取得部２０２、特徴テーブル保存部２０３、グループ判定部２０４、及び出力部２０５を備える。上述したとおり、攻撃推定用ログ生成装置２００は、攻撃推定検証装置１００が攻撃を推定するために必要なログを生成する装置であり、攻撃推定検証装置１００の前提となる装置であるといえる。

個別ログ取得部２０１は、電子制御システムＳで検知された異常を示す異常情報と、異常が検知されたＥＣＵである異常ＥＣＵ（「異常電子制御装置」に相当）を示す識別情報と、を含む個別セキュリティログを取得する。

特徴数情報取得部２０２は、電子制御システムＳを構成する各ＥＣＵが有すると仮定される特徴の最大数を示す特徴数情報を取得する。この特徴数情報には、例えば、攻撃分析システム１のユーザによって任意の値が入力される。

特徴テーブル保存部２０３は、電子制御システムＳを構成する各ＥＣＵの識別情報と、各ＥＣＵが「現実に」有する特徴と、各ＥＣＵが有すると仮定される特徴と、特徴に応じて設定されたグループ情報と、の対応関係を示す特徴テーブルを保存する記憶部である。図５、図６は、特徴テーブルの一例を示す図である。各ＥＣＵが有すると仮定される特徴は、特徴数情報取得部２０２が取得する特徴数情報に応じて異なる。そのため、特徴テーブル保存部２０３は、特徴数情報の値毎に複数の特徴テーブルを保存する。

ここで、「現実に」とは、特徴を利用して何らかの機能を実現できる状態にあればよく、例えば、仮想マシンの特徴も現実に有する特徴に含まれる。

図５、図６では、説明を容易にするために、特徴テーブルが、各ＥＣＵが現実に有する特徴、及び各ＥＣＵが有すると仮定される特徴を含んでいる。しかしながら、特徴テーブルは必ずしも、これらの特徴を含んでいなくともよい。すなわち、特徴テーブルは単に、各ＥＣＵの識別情報と、グループ情報との対応関係を示すテーブルであってもよい。ただし、この場合、特徴テーブルのグループ情報は、現実に有する特徴及び有すると仮定される特徴に応じて予め設定される。

なお、特徴数情報が常に一定の値に設定される場合、特徴テーブル保存部２０３は、特徴数情報が示す値毎に特徴テーブルを保存する必要がないため、１つの特徴テーブルのみを保存する。この場合、攻撃推定用ログ生成装置２００は特徴数情報取得部２０２を有しなくともよい。

グループ判定部２０４は、個別セキュリティログに含まれる異常ＥＣＵの識別情報に基づいて、異常ＥＣＵが属するグループを示すグループ情報を判定する。ここで、グループとは、電子制御システムＳを構成する複数のＥＣＵのうち１以上のＥＣＵをグループ化したものである。ＥＣＵは、ＥＣＵが「現実に」有する特徴、及びＥＣＵが有すると仮定される特徴に応じてグループ化される。以下、ＥＣＵが現実に有する特徴を実特徴と称し、ＥＣＵが有すると仮定される特徴を仮特徴と称する。電子制御システムＳを構成するＥＣＵのうち、同じ実特徴及び仮特徴を有するＥＣＵは同じグループにグループ化される。グループ判定部２０４による処理は後述する。

ここで、特徴とは、例えばネットワークである。この場合、ＥＣＵが現実に有する特徴とは、ＥＣＵに現実に接続されているネットワークであり、ＥＣＵが有すると仮定される特徴とは、ＥＣＵに現実には接続されていないが、接続されていると仮定されるネットワークである。

別の例では、特徴とはＥＣＵの機能である。この場合、ＥＣＵが現実に有する特徴とは、ＥＣＵが現実に発揮することができる機能であり、ＥＣＵが有すると仮定される特徴とは、ＥＣＵが現実に発揮することができないが、発揮することができると仮定される機能である。ＥＣＵの機能として、例えば、車載システムを構成するＥＣＵの場合、ＥＣＵの機能として例えば、車両を操舵する機能、外部との通信を制御する機能、ナビゲーションシステムに関する機能、等が挙げられる。あるいは、ＥＣＵの機能とは、各ＥＣＵが有する異常検知機能であってもよい。

出力部２０５は、個別セキュリティログに含まれる異常情報、異常ＥＣＵの識別情報、及びグループ判定部２０４が判定したグループ情報、を含むセキュリティログを攻撃推定検証装置１００に出力する。このセキュリティログには、個別セキュリティログに含まれていた他の情報が含まれていてもよい。

次に、グループ判定部２０４による判定処理を説明する。グループ判定部２０４は、例えば、図５、図６に示すような特徴テーブルを用いて、実特徴及び仮特徴を判定する。図５は、特徴数情報が示す値が１であって、特徴がネットワークである場合の特徴テーブルである。図６は、特徴数情報が示す値が２であって、特徴がＥＣＵの機能である場合の特徴テーブルである。

個別ログ取得部２０１が個別セキュリティログを取得すると、グループ判定部２０４は、特徴数情報取得部２０２が取得した特徴数情報が示す特徴の最大数を参照する。例えば、個別セキュリティログに含まれる異常ＥＣＵの識別情報がＥＣＵ１２であり、特徴数情報取得部２０２が取得した特徴数情報が１であるとする。この場合、グループ判定部２０４は、図５に示す特徴テーブルを用いて、異常ＥＣＵの識別情報［ＥＣＵ１２］に対応付けられたグループ情報［Ｇ－０１］を判定する。

なお、図５の特徴テーブルによれば、異常ＥＣＵ１２の実特徴、すなわち、異常ＥＣＵ１２が現実に接続されているネットワークはＣＡＮ１であり、異常ＥＣＵ１２の仮特徴、すなわち、異常ＥＣＵが接続されていると仮定されるネットワークはＣＡＮ２である。そして、ＥＣＵに現実に接続されている、又は接続されていると仮定されているネットワークが異常ＥＣＵ１２と同じであるＶＭ１１１、ＥＣＵ１３は、ＥＣＵ１２と同じくグループ情報［Ｇ－０１］が示すグループに属する。図７は、図３に示す電子制御システムＳに、仮特徴であるネットワークを破線で追記した図である。ＥＣＵ１２にはＣＡＮ２が接続されていると仮定されている。図７では、ＥＣＵ１４、ＥＣＵ１７の仮特徴であるネットワークも破線で表している。図７によれば、ＥＣＵ１２、ＥＣＵ１３、ＶＭ１１１が同じネットワーク（ＣＡＮ１、ＣＡＮ２）に接続されていることが明らかである。

別の例として、例えば、個別セキュリティログに含まれる異常ＥＣＵの識別情報がＥＣＵ１４であり、特徴数情報取得部２０２が取得した特徴数情報が２であるとする。この場合、グループ判定部２０４は、図６に示す特徴テーブルを用いて、異常ＥＣＵの識別情報［ＥＣＵ１４］に対応付けられたグループ情報［Ｇ－０２］を判定する。

なお、図６の特徴テーブルによれば、異常ＥＣＵ１４の実特徴、すなわち、異常ＥＣＵ１４が現実に有する機能は機能Ａ及び機能Ｄであり、異常ＥＣＵ１４の仮特徴、すなわち、異常ＥＣＵ１４が有すると仮定される機能は機能Ｅである。そして、ＥＣＵが現実に有する、又は有すると仮定されている機能が異常ＥＣＵ１４と同じであるＶＭ１１２、ＥＣＵ１５は、ＥＣＵ１４と同じくグループ情報［Ｇ－０２］が示すグループに属する。

図３に示すように、電子制御システムＳに多層防御が採用されている場合、グループ判定部２０４は、上述したネットワークや機能といった特徴に加えて、ＥＣＵのセキュリティレベルを特徴として判定し、ＥＣＵが属する層に応じてグループを判定してもよい。この場合、セキュリティレベルが異なるＥＣＵが同じグループとして判定されることはなく、異なるグループとして判定されることが望ましい。

例えば、特徴数情報が示す値が３である、すなわち、各ＥＣＵの仮特徴の最大数は３である場合を説明する。ＥＣＵ１２の仮特徴を、ＣＡＮ２、ＣＡＮ３、ＣＡＮ４とした場合、ＥＣＵ１２の実特徴及び仮特徴はＣＡＮ１、ＣＡＮ２、ＣＡＮ３、ＣＡＮ４である。また、ＥＣＵ１４の仮特徴をＣＡＮ１、ＣＡＮ２、ＣＡＮ４とした場合、ＥＣＵ１２の実特徴及び仮特徴はＣＡＮ１、ＣＡＮ２、ＣＡＮ３、ＣＡＮ４である。そのため、ＥＣＵ１２とＥＣＵ１４は同じ実特徴及び仮特徴を有することとなる。しかしながら、ＥＣＵ１２が第一層に属するのに対し、ＥＣＵ１４は第二層に属する。そのため、ＥＣＵ１２とＥＣＵ１４とは同じグループとして判定はされない。

電子制御システムの物理的な構成が車種等によって異なる場合であっても、多層防御を採用する電子制御システムでは、共通するセキュリティ機能が配置される。そのため、いかなる構成を有する電子制御システムにおいても、セキュリティレベルに応じて電子制御システムを複数の層に分割することができる。さらに、電子制御システムの物理的な構成が異なっていても、それぞれの防御層で保護すべきＥＣＵには共通性があることが多い。そこで、電子制御システムのセキュリティレベルと、各ＥＣＵが有するネットワークや機能に応じてＥＣＵをグループ化することで、電子制御システムＳのグループが、他の電子制御制御システムのグループと共通性を有するグループとなる。その結果、電子制御システムＳと他の電子制御システムとで、共通する攻撃分析ルールを適用することが可能となる。

なお、ＥＣＵが有する特徴としてネットワーク及び機能を例示したが、これらに限定されるものではない。さらに、グループ判定部２０４は、ＥＣＵの特徴として、複数の種別が異なる特徴、すなわち、ネットワーク及び機能の両方に基づいてＥＣＵが属するグループを判定してもよい。

本明細書では、１つのネットワーク又は１つの機能が１つの特徴に対応するものとして説明しているが、ＥＣＵが有する複数のネットワーク又は複数の機能をまとめて、本明細書における特徴としてもよい。この場合、特徴数情報取得部２０２が取得する特徴の最大数とは、特徴に含まれる仮特徴の数を示すものである。

なお、図２ｂに示すように、攻撃分析システム１がサーバ装置である場合、攻撃推定用ログ生成装置２００は多数の車両からそれぞれ個別セキュリティログを取得して、セキュリティログを生成する。そのため、特徴テーブル保存部２０２は、それぞれの車両が有する電子制御システムに対応した特徴テーブルを多数保存しておく必要がある。そこで、グループ判定部２０４が使用すべき特徴テーブルを容易に特定するために、個別セキュリティログは電子制御システムを特定する情報を含むことが望ましい。これにより、グループ判定部２０４は、個別セキュリティログに含まれるＥＣＵが現実に有する、又は有すると仮定される特徴を判定するために利用する特徴テーブルを容易に特定することができる。

（４）攻撃推定検証装置１００
次に、本実施形態の攻撃推定検証装置１００について、図８を参照して説明する。攻撃推定検証装置１００は、攻撃推定用ログ取得部１０１、攻撃・異常関係テーブル保存部１０２、特徴テーブル保存部１０３、攻撃推定部１０４、検証部１０５、及び通知部１０６を備える。

攻撃推定用ログ取得部１０１（「ログ取得部」に相当）は、攻撃推定用ログ生成装置２００から出力された、攻撃推定用のセキュリティログを「取得する」。上述したとおり、ログ取得部１０１が取得するセキュリティログには、異常ＥＣＵを示す識別情報、異常ＥＣＵで検知された異常を示す異常情報、及び異常ＥＣＵが属するグループを示すグループ情報、が含まれる。

「取得する」とは、外部の装置からセキュリティログを取得する場合の他、当該攻撃推定検証装置がセキュリティログを自ら生成することにより取得する場合のいずれも含む。

攻撃・異常関係テーブル保存部１０２は、攻撃・異常関係テーブルを保存する記憶部である。攻撃・異常関係テーブルは、電子制御システムが受けることが想定される攻撃の種別を示す攻撃情報と、攻撃を受けた場合に電子制御システムにおいて発生することが予測される異常を示す予測異常情報と、予測される異常が発生するグループを示す予測グループ情報と、の対応関係を示すテーブルである。攻撃・異常関係テーブルは、電子制御システムＳに固有のテーブルではなく、電子制御システムＳとは異なる構成を有する他の電子制御システムの攻撃推定にも使用されるテーブルである。

図９は、攻撃・異常関係テーブルの一例を示す図である。図９に示す攻撃・異常関係テーブルでは、攻撃の種別（攻撃Ａ～Ｘ）毎に、電子制御システムが当該攻撃を受けた場合に生じる異常と、異常が発生しうるグループを示している。図９はさらに、攻撃の種別と、当該サイバー攻撃を受けた場合に想定される攻撃起点及び攻撃対象との対応関係を示している。なお、攻撃起点及び攻撃対象はいずれも、電子制御システムＳの構成に固有のＥＣＵを示すものではなく、攻撃起点及び攻撃対象のＥＣＵが属するグループである。そのため、攻撃起点及び攻撃対象はそれぞれ、攻撃起点グループ及び攻撃対象グループと称する。また、図９における異常Ａとは、ＥＣＵが有する機能Ａに異常が発生したことを示している。

例えば、攻撃種別が攻撃Ａである攻撃を受けた場合、電子制御システムでは、グループ［Ｇ－０１］に属するＥＣＵにおいて、異常Ａ及び異常Ｃの異常が発生することが予測される。また、攻撃Ａの攻撃起点グループは識別番号［Ｇ－００］が示すグループであり、攻撃対象グループは識別番号［Ｇ－０１］が示すグループである。なお、攻撃起点は、電子制御システム内部である場合の他、電子制御システムの外部である場合が想定される。攻撃起点が電子制御システムの外部であるとは、車外から攻撃を受けている場合である。識別番号［Ｇ－００］は、攻撃起点が電子制御システムの外部であることを示している。

なお、図９は、１つの攻撃・異常関係テーブルを示しているが、攻撃・異常関係テーブル保存部１０２は、特徴数情報が示す値毎に攻撃・異常関係テーブルを保存する。仮特徴の最大数が異なる場合、攻撃推定用ログ生成装置２００において異常ＥＣＵが属するグループが異なる可能性があり、攻撃推定に使用すべき攻撃・異常関係テーブルもまた異なるためである。

特徴テーブル保存部１０３は、攻撃推定用ログ生成装置２００が有する特徴テーブルと同じ特徴テーブルを保存する記憶部である。すなわち、特徴テーブル保存部１０３は、図５、図６に示すような特徴テーブルを保存している。

攻撃推定部１０４は、攻撃・異常関係テーブルを用いて、電子制御システムＳが受けた攻撃の種別を推定する。具体的には、攻撃推定部１０４は、攻撃・異常関係テーブルから、ログ取得部２０１が取得したセキュリティログに含まれる異常情報及びグループ情報の「組み合わせに対応する」予測異常情報及び予測グループ情報の組み合わせを特定する。なお、異常情報及びグループ情報の組み合わせと一致する予測異常情報及び予測グループ情報の組み合わせが攻撃・異常関係テーブルに存在しない場合、攻撃推定部１０４は、攻撃・異常関係テーブルに含まれる予測異常情報及び予測グループ情報の組み合わせの中から、最も近い組み合わせを特定する。そして、最も近い組み合わせを示す攻撃種別を、電子制御システムが受けた攻撃の種別であると推定する。

ここで、「組み合わせに対応する」とは、組み合わせが一致する、又は類似する組み合わせであることをいう。

例えば、セキュリティログに含まれる異常情報が異常Ａ及び異常Ｅを示しており、グループ情報がＧ－０２を示している場合を説明する。この場合、攻撃推定部１０４は、攻撃・異常関係テーブルから、異常情報（異常Ａ、異常Ｅ）及びグループ情報（Ｇ－０２）の組み合わせに対応する予測異常情報及び予測グループ情報の組み合わせを特定する。図９の例では、攻撃Ｂの予測異常情報及び予測グループ情報の組み合わせが、異常情報（異常Ａ、異常Ｅ）及びグループ情報（Ｇ－０２）の組み合わせと一致している。そこで、攻撃推定部１０４は、電子制御システムＳが受けた攻撃の種別は攻撃Ｂであると推定する。

セキュリティログが、異常情報が示す異常の発生順序や回数を含む場合、攻撃推定部１０４は、攻撃種別を推定する際に、これらの情報をさらに用いてもよい。この場合、攻撃・異常関係テーブルには、予測異常情報として、異常の発生順序や回数が含まれる。

なお、最も近い組み合わせが複数存在する場合には、攻撃推定部１０４は、電子制御システムＳが受けた攻撃の種別が、対応する複数の攻撃のうちのいずれかであると推定する。例えば、異常情報が異常Ｄを示しており、グループ情報がＧ－０２を示している場合を検討する。図９には、異常情報（異常Ｄ）及びグループ情報（Ｇ－０２）の組み合わせと一致する予測異常情報及び予測グループ情報の組み合わせはない。しかしながら、予測異常情報（異常Ｄ）及びグループ情報（Ｇ－０２）の組み合わせを含むものとして、攻撃Ｃ及び攻撃Ｄがある。そこで、攻撃推定部１０４は、電子制御システムＳが受けた攻撃の種別が攻撃Ｃ又は攻撃Ｄのいずれかであると推定する。

攻撃推定部１０４はさらに、電子制御システムＳが受けた攻撃種別を推定することに加えて、当該攻撃の攻撃起点グループ及び攻撃対象グループを推定する。図９に示す通り、攻撃・異常関係テーブルは、攻撃種別と、攻撃起点グループ及び攻撃対象グループとを対応付けて保存しているため、攻撃推定部１０４は、攻撃・異常関係テーブルを用いて攻撃起点グループ及び攻撃対象グループを推定することが可能である。

検証部１０５は、攻撃推定用ログ生成装置２００におけるＥＣＵのグループ化、又は、異常ＥＣＵが有すると仮定された特徴が適切であるか否かを検証する。具体的には、攻撃推定部１０４により推定された攻撃種別の攻撃が、異常ＥＣＵが有すると仮定された特徴に関連する攻撃である場合に、ＥＣＵのグループ化、又は、異常ＥＣＵが有すると仮定された特徴が適切ではないと判定する。検証部１０５の詳細な処理については、後述する。

通知部１０６は、検証部１０５による検証結果を、攻撃分析システム１のユーザに通知する。通知部１０６が通知する方法は任意である。例えば、通知部１０６は、音声又は文字によって検証結果を通知する。なお、通知部１０６は、攻撃推定用ログ生成装置２００におけるＥＣＵのグループ化、又は、異常ＥＣＵが有すると仮定された特徴が適切でないと判定した場合に限り、検証結果を通知してもよい。

次に、検証部１０５による検証方法を説明する。まず、特徴がネットワークである場合の検証部１０５による検証方法を説明する。

例えば、攻撃推定部１０４が、攻撃種別が図９に示す攻撃Ｄであり、攻撃起点グループが[Ｇ－０２]、攻撃対象グループが［Ｇ－０３］であると推定したものとする。図３又は図７によれば、グループ[Ｇ－０２]とグループ[Ｇ－０３]はＣＡＮ４を介して接続されているため、攻撃Ｄの攻撃経路はＣＡＮ４を介して行われるものである。したがって、ＣＡＮ４は、攻撃Ｄに関連するネットワークである。

ここで、検証部１０５は、特徴テーブル保存部１０３に保存されている特徴テーブルを参照して、セキュリティログに含まれる識別情報が示す異常ＥＣＵの仮特徴を特定する。識別情報がＥＣＵ１５を示している場合、図５に示す特徴テーブルによれば、ＥＣＵ１５に接続されていると仮定されたネットワークはない。つまり、攻撃推定部１０４が推定した攻撃Ｄは、識別情報が示す異常ＥＣＵ１５に接続されていると仮定されたネットワークに関連する攻撃ではない。この場合、検証部１０５は、ＥＣＵのグループ化は適切であると判定することができる。
これに対し、識別情報がＥＣＵ１４を示している場合、図５に示す特徴テーブルによれば、ＥＣＵ１４に接続されていると仮定されたネットワークはＣＡＮ４であり、検証部１０５は異常ＥＣＵの仮特徴はＣＡＮ４であると特定する。上述したとおり、攻撃推定部１０４により推定された攻撃ＤはＣＡＮ４を介して行われる攻撃であり、異常ＥＣＵ１４に接続されていると仮定されたネットワークを介した攻撃である。そこで、検証部１０５は、ＥＣＵのグループ化が適切ではない、又は、異常ＥＣＵ１４が有すると仮定された特徴が適切ではないと判定する。

次に、特徴がＥＣＵの機能である場合の検証部１０５による検証方法を説明する。
例えば、攻撃推定部１０４が、図９に示す攻撃種別が攻撃Ａであると推定したものとする。上述した例と同様、検証部１０５は、特徴テーブルに保存されている特徴テーブルを参照して、セキュリティログに含まれる識別情報が示す異常ＥＣＵの仮特徴を特定する。

識別情報がＥＣＵ１２を示している場合、図６に示す特徴テーブルによれば、ＥＣＵ１２が有すると仮定された機能は機能Ｂであり、検証部１０５は異常ＥＣＵ１２の仮特徴は機能Ｂである特定する。ここで、攻撃推定部１０４が推定した攻撃Ａは異常Ａ及び異常Ｃが発生している場合の攻撃であり、機能Ａ及び機能Ｃに異常が発生する場合の攻撃である。したがって、識別情報が示す異常ＥＣＵ１２が有すると仮定された特徴（機能Ｂ）に関連する攻撃ではない。この場合、検証部１０５は、ＥＣＵのグループ化や、異常ＥＣＵが有すると仮定された機能は適切であると判定することができる。
これに対し、識別情報がＥＣＵ１３を示している場合、図６に示す特徴テーブルによれば、ＥＣＵ１３が有すると仮定された機能は機能Ａ、機能Ｂであり、検証部１０５は異常ＥＣＵ１３の仮特徴は機能Ａ、機能Ｂである特定する。上述したとおり、攻撃推定部１０４により推定された攻撃Ａは、異常Ａが発生している場合の攻撃であり、異常ＥＣＵ１３が有すると仮定された機能（機能Ａ）に対する攻撃である。そこで、検証部１０５は、ＥＣＵのグループ化が適切ではない、又は、異常ＥＣＵ１３が有すると仮定された特徴が適切ではないと判定する。

なお、攻撃分析システム１のユーザは、通知部１０６からの通知に基づき、特徴テーブルやＥＣＵが有すると仮定される特徴を設定しなおすことで、攻撃推定及び検証の精度を高めることができる。特に、攻撃分析システム１が試験用システムである場合には、実際の車両を用いた攻撃分析を運用する前に、テスト環境で特徴テーブルやＥＣＵが有すると仮定される特徴の適否を検証することができるため、運用後に適切な特徴テーブルや特徴を考慮した攻撃推定を行うことができる。試験用システムにおいて、特徴テーブルやＥＣＵが有すると仮定される特徴について検証したにもかかわらず、運用後に、異常ＥＣＵが有すると仮定された特徴に関連する攻撃を受けた場合には、特徴テーブルが改ざんされた可能性がある。このような場合、通知部１０６からの通知を受けたユーザは、ハッシュ値を利用して特徴テーブルの改ざんの検証をしてもよい。

（５）攻撃分析システム１及び攻撃推定検証装置１００の動作
次に、図１０を参照して、攻撃分析システム１の動作を説明する。図１０は、攻撃分析システム１で実行される方法を示すだけでなく、攻撃分析システム１で実行可能なプログラムの処理手順を示すものでもある。そして、これらの処理は、図１０に示した順序には限定されない。すなわち、あるステップでその前段のステップの結果を利用する関係にある等の制約がない限り、順序を入れ替えてもよい。

攻撃推定用ログ生成装置２００の個別ログ取得部２０１は、電子制御システムＳを構成するＥＣＵで生成された個別セキュリティログを取得する（Ｓ１０）。
Ｓ１０１で個別セキュリティログを取得すると、特徴数情報取得部２０２は、仮特徴の最大数を示す特徴数情報を取得する（Ｓ１１）。
グループ判定部２０４は、個別セキュリティログに含まれる異常ＥＣＵの識別情報に基づいて、異常ＥＣＵが属するグループを判定する（Ｓ１２）。
そして、出力部２０５は、個別セキュリティログに含まれる異常情報と、識別情報と、Ｓ１２で判定したグループを示すグループ情報と、を含むセキュリティログを、攻撃推定検証装置１００に出力する。

攻撃推定検証装置１００のログ取得部１０１は、攻撃推定用ログ生成装置２００から出力されたセキュリティログを取得する（Ｓ１０１）。
攻撃推定部１０４は、セキュリティログに含まれる異常情報とグループ情報との組み合わせに対応する攻撃・異常関係テーブルの予測異常情報及び予測グループ情報の組み合わせから、電子制御システムＳが受けた攻撃を推定する（Ｓ１０２）。
検証部１０５は、識別情報に基づいて異常ＥＣＵの仮特徴を判定する（Ｓ１０３）。
次いで、検証部１０５は、Ｓ１０２で推定された攻撃が、Ｓ１０３で判定した仮特徴に関連する攻撃である場合に、グループのグループ化が適切ではない、又は、ＥＣＵが有すると仮定された特徴が適切ではない、と判定する検証処理を行う（Ｓ１０４）。
そして、通知部１０６は、検証部１０５による検証結果を、攻撃推定検証装置１００のユーザに通知する（Ｓ１０５）。

（６）小括
以上、本開示の攻撃分析システム１及び攻撃推定検証装置１００によれば、電子制御システムＳが攻撃を受けた場合に、ＥＣＵが現実に有する特徴だけでなく、ＥＣＵが有すると仮定される特徴を考慮して、電子制御システムＳを構成する複数のＥＣＵをグループ化して攻撃の推定を行い、攻撃の推定結果を用いて、ＥＣＵをグループ化する処理が適切であるか否かを検証する。これにより、ＥＣＵのグループ化が適切ではない場合、又は、ＥＣＵが有すると仮定された特徴が適切ではない場合に、ユーザに検証結果をフィードバックすることで、精度の高い攻撃推定を実現することが可能となる。

さらに、本開示の攻撃分析システム１及び攻撃推定検証装置１００によれば、電子制御システムＳを構成する多数のＥＣＵ毎に、あるいは、構成が異なる複数の電子制御システム毎に、攻撃を推定して検証するためのツールを設ける必要がなくなるため、攻撃推定のための装置やプログラムの管理が容易になるとともに、攻撃の推定に要する処理負荷を軽減することができる。さらに、将来的に電子制御システムを構成するＥＣＵの数や構成が変化した場合にも適用することが可能となる。

（７）変形例
上述した第１の実施形態では、攻撃推定検証装置１００が、攻撃推定用ログ生成装置２００と同じ特徴テーブルを特徴テーブル保存部１０３に保存している構成を説明した。本変形例では、攻撃推定検証装置１００が特徴テーブルを有しない構成を説明する。

攻撃推定検証装置１００が特徴テーブルを有しない場合、攻撃推定検証装置１００の検証部１０５は、異常ＥＣＵが有すると仮定された特徴を判定することができず、ひいては、ＥＣＵのグループ化や、異常ＥＣＵが有すると仮定された特徴が適切であるか否かを検証することができない。そこで、本変形例の攻撃推定用ログ取得部１０１は、異常情報、識別情報、及びグループ情報に加えて、異常ＥＣＵの仮特徴を示す情報を含むセキュリティログを攻撃推定用ログ生成装置２００から取得する。これにより、攻撃推定検証装置１００は、特徴テーブルを有していなくとも、ＥＣＵのグループ化や、異常ＥＣＵが有すると仮定された特徴が適切であるか否かを検証することが可能となる。

あるいは、本変形例の攻撃推定用ログ取得部１０１は、異常ＥＣＵの仮特徴を示す情報に代えて、異常ＥＣＵの実特徴を示す情報を含むセキュリティログを取得してもよい。ただし、この場合、攻撃推定検証装置１００は、それぞれのグループがいずれの実特徴及び仮特徴を有するかを予めメモリ等に保存しておく必要がある。そして、メモリ等に保存された実特徴及び仮特徴と、セキュリティログに含まれる実特徴との差分が、異常ＥＣＵの仮特徴であると判定する。

２．第２の実施形態
第１の実施形態では、攻撃推定検証装置１００と攻撃推定用ログ生成装置２００とが異なる装置である場合を説明した。これに対し、本実施形態では、攻撃推定検証装置１００と攻撃推定用ログ生成装置２００とが一体の装置として構成する。攻撃推定検証装置１００と攻撃推定用ログ生成装置２００とを一体として構成した装置を、攻撃分析装置（「攻撃推定検証装置」に相当）１１０とする。

本実施形態における攻撃推定検証装置１００及び攻撃推定用ログ生成装置２００の構成、機能、及び動作は第１の実施形態と同じであるため、説明は省略する。なお、第１の実施形態では、攻撃推定検証装置１００の特徴テーブル保存部１０３、及び攻撃推定用ログ生成装置２００の特徴テーブル保存部２０３がそれぞれ特徴テーブルを保存していたが、本実施形態では、攻撃分析装置１１０は一の特徴テーブル保存部を有していれば足りる。そして、攻撃推定用ログ生成装置２００がセキュリティログを生成する処理、及び攻撃推定検証装置１００が攻撃推定結果を検証する処理では、同じ特徴テーブルを参照する。

本実施形態の攻撃分析装置１１０と電子制御システムＳは、第１の実施形態の図２ａ、図２ｂと同様の配置を取ることができる。すなわち、攻撃分析装置１１０は「移動体」である車両に搭載されてもよく、サーバ装置で実現されてもよい。

３．総括
以上、本発明の実施形態における攻撃推定検証装置等の特徴について説明した。

実施形態で使用した用語は例示であるので、同義の用語、あるいは同義の機能を含む用語に置き換えてもよい。

実施形態の説明に用いたブロック図は、装置の構成を機能毎に分類及び整理したものである。それぞれの機能を示すブロックは、ハードウェア又はソフトウェアの任意の組み合わせで実現される。また、機能を示したものであることから、かかるブロック図は方法の発明、及び当該方法を実現するプログラムの発明の開示としても把握できるものである。

実施形態に記載した処理、フロー、及び方法として把握できる機能ブロック、については、一のステップでその前段の他のステップの結果を利用する関係にある等の制約がない限り、順序を入れ替えてもよい。

実施形態、及び特許請求の範囲で使用する、第１、第２、乃至、第Ｎ（Ｎは整数）、の用語は、同種の２以上の構成や方法を区別するために使用しており、順序や優劣を限定するものではない。

実施形態は、車両に搭載される電子制御システムに対する攻撃を分析するための車両用の攻撃分析システム及び攻撃推定検証装置を前提としているが、本発明は、特許請求の範囲で特に限定する場合を除き、車両用以外の専用又は汎用の装置も含むものである。

また、本発明の攻撃推定検証装置の形態の例として、以下のものが挙げられる。
部品の形態として、半導体素子、電子回路、モジュール、マイクロコンピュータが挙げられる。
半完成品の形態として、電子制御装置（ＥＣＵ（Electric Control Unit））、システムボードが挙げられる。
完成品の形態として、携帯電話、スマートフォン、タブレット、パーソナルコンピュータ（ＰＣ）、ワークステーション、サーバが挙げられる。
その他、通信機能を有するデバイス等を含み、例えばビデオカメラ、スチルカメラ、カーナビゲーションシステムが挙げられる。

また攻撃推定検証装置に、アンテナや通信用インターフェースなど、必要な機能を追加してもよい。

本発明は、実施形態で説明した構成及び機能を有する専用のハードウェアで実現できるだけでなく、メモリやハードディスク等の記録媒体に記録した本発明を実現するためのプログラム、及びこれを実行可能な専用又は汎用ＣＰＵ及びメモリ等を有する汎用のハードウェアとの組み合わせとしても実現できる。

専用や汎用のハードウェアの非遷移的実体的記録媒体（例えば、外部記憶装置（ハードディスク、ＵＳＢメモリ、ＣＤ／ＢＤ等）、又は内部記憶装置（ＲＡＭ、ＲＯＭ等））に格納されるプログラムは、記録媒体を介して、あるいは記録媒体を介さずにサーバから通信回線を経由して、専用又は汎用のハードウェアに提供することもできる。これにより、プログラムのアップグレードを通じて常に最新の機能を提供することができる。

本発明の攻撃推定検証装置は、主として自動車に搭載された車載電子制御システムが受けた攻撃を推定・結果を検証する装置を対象としているが、車載電子制御システム以外のシステムに対する攻撃を推定・検証する装置を対象としてもよい。

１００ 攻撃推定検証装置、１０１ ログ取得部、１０２ 攻撃・異常関係テーブル保存部、１０３ 特徴テーブル保存部、１０４ 攻撃推定部、１０５ 検証部、１０６ 通知部、２０１ 個別ログ取得部、２０４ グループ判定部、２０５ 出力部

Claims (13)

1. 電子制御システムを構成する複数の電子制御装置のうち異常が検知された電子制御装置である異常電子制御装置を示す識別情報と、前記異常電子制御装置で検知された異常を示す異常情報と、前記複数の電子制御装置それぞれが現実に有する及び有すると仮定された特徴に応じて前記複数の電子制御装置のうち１以上の電子制御装置をグループ化したグループであって、前記異常電子制御装置が属するグループを示すグループ情報と、を含むセキュリティログを取得するログ取得部（１０１）と、
   攻撃の種別を示す攻撃情報と、前記攻撃を受けた場合に発生することが予測される異常を示す予測異常情報と、前記予測される異常が発生するグループを示す予測グループ情報と、の対応関係を示す攻撃・異常関係テーブルを保存する攻撃・異常関係テーブル保存部（１０２）と、
   前記異常情報及び前記グループ情報の組み合わせに対応する前記予測異常情報及び前記予測グループ情報の組み合わせから、前記電子制御システムが受けた攻撃を推定する攻撃推定部（１０４）と、
   前記攻撃推定部により推定された前記攻撃が、前記識別情報が示す前記異常電子制御装置が有すると仮定された特徴に関連する攻撃である場合に、前記グループのグループ化が適切ではない又は前記異常電子制御装置が有すると仮定された特徴が適切ではない、と判定する検証部（１０５）と、
   前記検証部による検証結果を通知する通知部（１０６）と、
   を備える攻撃推定検証装置（１００，１１０）。
2. 前記特徴は、前記複数の電子制御装置それぞれに現実に接続されている、又は接続されていると仮定されたネットワークであり、
   前記検証部は、推定された前記攻撃が、前記異常電子制御装置に接続されていると仮定されたネットワークを介した攻撃である場合に、前記グループのグループ化が適切ではない又は前記異常電子制御装置に接続されていると仮定されたネットワークが適切ではないと判定する、
   請求項１記載の攻撃推定検証装置。
3. 前記特徴はさらに、前記電子制御システムをセキュリティレベルに応じて分割した複数の層のうち、前記複数の電子制御装置それぞれが属する層である、
   請求項２記載の攻撃推定検証装置。
4. 前記特徴は、前記複数の電子制御装置それぞれが現実に有する、又は有すると仮定された機能であり、
   前記検証部は、推定された前記攻撃が、前記異常電子制御装置が有すると仮定された機能に対する攻撃である場合に、前記グループのグループ化が適切ではない又は前記異常電子制御装置が有すると仮定された機能が適切ではないと判定する、
   請求項１記載の攻撃推定検証装置。
5. 前記特徴はさらに、前記電子制御システムをセキュリティレベルに応じて分割した複数の層のうち、前記複数の電子制御装置それぞれが属する層である、
   請求項４記載の攻撃推定検証装置。
6. 前記攻撃推定検証装置はさらに、
   前記識別情報と、前記異常電子制御装置が現実に有する又は有すると仮定された特徴と、の対応関係を示す特徴テーブルを保存する特徴テーブル保存部（１０３）を備え、
   前記検証部は、前記特徴テーブルを用いて前記異常電子制御装置が有すると仮定された特徴を特定する、
   請求項１記載の攻撃推定検証装置。
7. 前記セキュリティログはさらに、前記異常電子制御装置が有すると仮定された特徴を示す情報を含む、
   請求項１記載の攻撃推定検証装置。
8. 当該攻撃推定検証装置はさらに、
   前記識別情報と前記異常情報とを含む個別セキュリティログを取得する個別ログ取得部（２０１）と、
   前記識別情報に基づいて、前記異常電子制御装置が属するグループを判定するグループ判定部（２０４）と、
   前記識別情報と、前記異常情報と、前記グループ判定部が判定した前記グループを示す前記グループ情報と、を含む前記セキュリティログを出力する出力部（２０５）と、を備える、
   請求項１記載の攻撃推定検証装置（１１０）。
9. 当該攻撃推定検証装置はさらに、前記複数の電子制御装置それぞれが有すると仮定される特徴の最大数を示す特徴数情報を取得する特徴数情報取得部（２０２）を備え、
   前記グループ判定部は、前記特徴数情報に基づき、前記異常電子制御装置が有すると仮定される特徴を判定する、
   請求項８記載の攻撃推定検証装置。
10. 当該攻撃推定検証装置及び前記電子制御システムは、移動体に搭載されている、
    請求項１乃至９のいずれかに記載の攻撃推定検証装置。
11. 前記電子制御システムは移動体に搭載された電子制御システムであり、
    当該攻撃推定検証装置は、前記移動体の外部に配置されたサーバ装置である、
    請求項１乃至９のいずれかに記載の攻撃推定検証装置。
12. 攻撃推定検証装置で実行される攻撃推定検証方法であって、
    前記攻撃推定検証装置は、攻撃の種別を示す攻撃情報と、前記攻撃を受けた場合に発生することが予測される異常を示す予測異常情報と、前記予測される異常が発生するグループを示す予測グループ情報と、の対応関係を示す攻撃・異常関係テーブルを保存する攻撃・異常関係テーブル保存部を備え、
    当該攻撃推定検証方法は、
    電子制御システムを構成する複数の電子制御装置のうち異常が検知された電子制御装置である異常電子制御装置を示す識別情報と、前記異常電子制御装置で検知された異常を示す異常情報と、前記複数の電子制御装置それぞれが現実に有する及び有すると仮定された特徴に応じて前記複数の電子制御装置のうち１以上の電子制御装置をグループ化したグループであって、前記異常電子制御装置が属するグループを示すグループ情報と、を含むセキュリティログを取得し、
    前記異常情報及び前記グループ情報の組み合わせに対応する前記予測異常情報及び前記予測グループ情報の組み合わせから、前記電子制御システムが受けた攻撃を推定し、
    検証部において、推定された前記攻撃が、前記識別情報が示す前記異常電子制御装置が有すると仮定された特徴に関連する攻撃である場合に、前記グループのグループ化が適切ではない又は前記異常電子制御装置が有すると仮定された特徴が適切ではない、と判定し、
    前記検証部による検証結果を通知する、
    攻撃推定検証方法。
13. 攻撃推定検証装置で実行可能な攻撃推定検証プログラムであって、
    前記攻撃推定検証装置は、攻撃の種別を示す攻撃情報と、前記攻撃を受けた場合に発生することが予測される異常を示す予測異常情報と、前記予測される異常が発生するグループを示す予測グループ情報と、の対応関係を示す攻撃・異常関係テーブルを保存する攻撃・異常関係テーブル保存部を備え、
    前記攻撃推定検証プログラムは、
    電子制御システムを構成する複数の電子制御装置のうち異常が検知された電子制御装置である異常電子制御装置を示す識別情報と、前記異常電子制御装置で検知された異常を示す異常情報と、前記複数の電子制御装置それぞれが現実に有する及び有すると仮定された特徴に応じて前記複数の電子制御装置のうち１以上の電子制御装置をグループ化したグループであって、前記異常電子制御装置が属するグループを示すグループ情報と、を含むセキュリティログを取得し、
    前記異常情報及び前記グループ情報の組み合わせに対応する前記予測異常情報及び前記予測グループ情報の組み合わせから、前記電子制御システムが受けた攻撃を推定し、
    検証部において、推定された前記攻撃が、前記識別情報が示す前記異常電子制御装置が有すると仮定された特徴に関連する攻撃である場合に、前記グループのグループ化が適切ではない又は前記異常電子制御装置が有すると仮定された特徴が適切ではない、と判定し、
    前記検証部による検証結果を通知する、
    攻撃推定検証プログラム。