JP7291909B2 - 情報処理装置、情報処理方法及びプログラム - Google Patents

Description

本開示は、情報処理装置、情報処理方法及びプログラムに関する。

特許文献１には、複数の車両の各々の車内に設置されたサイバーウォッチマンと、車外に設置されたサイバーハブとを備える自動車安全システムが開示されている。サイバーウォッチマンは、車載通信ネットワークに接続され、車載通信ネットワーク上の通信トラフィックデータを取得する。サイバーハブは、例えばインターネットなどの通信ネットワークを介して、サイバーウォッチマンからサイバーウォッチマンが取得した通信トラフィックデータを受信する。これにより、サイバーハブは、複数の車両から通信トラフィックデータを集約することができ、車両のサイバー攻撃に対する高次の情報を取得することができる。

特許第６３８２７２４号公報

上記特許文献１には、車載通信ネットワーク（以下、ネットワークとも呼ぶ）への攻撃が発生した区間（例えば時間帯）を特定する手法が開示されておらず、膨大な量の通信トラフィックデータからネットワークへの攻撃の区間を抽出するためには、サイバーハブ（サーバ）の処理負担が増加する。

そこで、本開示は、ネットワークへの攻撃の区間を抽出する際の処理負担を軽減することができる情報処理装置等を提供する。

本開示の一態様に係る情報処理装置は、ネットワークにおける異常を検知する異常検知センサから、前記ネットワークにおける異常に関する検知ログ、及び、当該検知ログが示す異常の検知時刻を取得する取得部と、取得された前記検知時刻に基づいて、前記ネットワークへの攻撃の発動時刻を決定し、決定した前記発動時刻を記録する発動時刻決定部と、取得された前記検知ログに基づいて、前記ネットワークへの攻撃の終了見込み時刻を決定し、決定した前記終了見込み時刻を記録する終了時刻決定部と、を備える。

また、本開示の一態様に係る情報処理方法は、ネットワークにおける異常を検知する異常検知センサから、前記ネットワークにおける異常に関する検知ログ、及び、当該検知ログが示す異常の検知時刻を取得し、取得された前記検知時刻に基づいて、前記ネットワークへの攻撃の発動時刻を決定し、決定した前記発動時刻を記録し、取得された前記検知ログに基づいて、前記ネットワークへの攻撃の終了見込み時刻を決定し、決定した前記終了見込み時刻を記録する処理を含む。

また、本開示の一態様に係るプログラムは、上記の情報処理方法をコンピュータに実行させるためのプログラムである。

本開示の一態様に係る情報処理装置等によれば、ネットワークへの攻撃の区間を抽出する際の処理負担を軽減することができる。

図１は、実施の形態における情報処理装置の一例を示す構成図である。 図２は、実施の形態におけるテーブルの一例を示す図である。 図３は、実施の形態における情報処理装置の終了条件の決定時及び発動時刻の記録時の動作の一例を示すフローチャートである。 図４は、終了条件の決定時の動作を説明するための図である。 図５は、発動時刻の記録時の動作を説明するための図である。 図６は、終了条件の追加時の動作を説明するための図である。 図７は、終了条件の更新時の動作を説明するための図である。 図８は、実施の形態における情報処理装置の終了見込み時刻の記録時の動作の一例を示すフローチャートである。 図９は、終了条件の削除時の動作を説明するための図である。 図１０は、終了見込み時刻の記録時の動作を説明するための図である。 図１１は、その他の実施の形態における情報処理方法の一例を示すフローチャートである。

（実施の形態）
［情報処理装置の構成］
以下、実施の形態における情報処理装置について図面を参照しながら説明する。

図１は、実施の形態における情報処理装置１０の一例を示す構成図である。なお、図１には、情報処理装置１０と通信可能に接続される異常検知センサ１００も示している。

異常検知センサ１００は、移動体が攻撃されたときに発生する、移動体における異常を検知するセンサである。具体的には、異常検知センサ１００は、移動体におけるネットワーク（例えば車載ネットワーク）が攻撃されたときに発生する、ネットワークにおける異常を検知するセンサである。なお、ネットワークにおける異常とは、ネットワークの通信の異常であってもよいし、ネットワークに接続された機器（例えばＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）等）の異常であってもよい。例えば、ネットワークの通信の異常は、ネットワークの通信量の異常、又は、ネットワークを流れるメッセージに含まれるメッセージＩＤの異常（具体的にはメッセージＩＤが未許可のＩＤとなっている異常）若しくはメッセージの送信間隔の異常等である。例えば、ネットワークに接続された機器の異常は、当該機器の故障等の異常である。異常検知センサ１００は、例えばＩＤＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）ＥＣＵであり、ネットワーク、又は、ネットワークに接続された機器に接続されている。異常検知センサ１００は、ネットワークにおける異常を検知した場合、当該異常に関する検知ログを生成し、情報処理装置１０へ送信する。検知ログには、検知された異常の種別、当該異常を検知した異常検知センサ１００の情報及び当該異常を検知した検知時刻等が含まれる。例えば、異常検知センサ１００は、複数設けられていてもよく、複数の異常検知センサ１００のそれぞれが検知ログを送信してもよい。なお、検知ログに検知時刻が含まれていなくてもよく、異常検知センサ１００は、検知ログとは別の情報として検知時刻を情報処理装置１０へ送信してもよい。

なお、移動体とは、例えば自動車である、自動車に限らず、建機、農機、船舶、鉄道、飛行機などのモビリティであってもよい。

情報処理装置１０は、異常検知センサ１００から送信される検知ログを処理することで、ネットワークへの攻撃の発動時刻及び終了見込み時刻を記録するコンピュータである。情報処理装置１０は、異常検知センサ１００が設けられた車両等に搭載され、記録した発動時刻及び終了見込み時刻を、車両等と通信可能に接続されたサーバへ出力する。情報処理装置１０は、プロセッサ、メモリ及び通信インタフェース等を含む。メモリは、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）及びＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）等であり、プロセッサにより実行されるプログラムを記憶することができる。情報処理装置１０は、取得部１１、テーブル１２、条件決定部１３、保持部１４、終了時刻決定部１５、発動時刻決定部１６及び記録部１７を備える。条件決定部１３、終了時刻決定部１５及び発動時刻決定部１６は、メモリに格納されたプログラムを実行するプロセッサ等によって実現される。取得部１１は、通信インタフェースによって実現される。テーブル１２は、メモリに記憶される。保持部１４及び記録部１７は、メモリによって実現される。プログラムが記憶されるメモリ、テーブル１２が記憶されるメモリ、保持部１４及び記録部１７は、それぞれ別のメモリであってもよいし、１つのメモリであってもよい。なお、情報処理装置１０は、異常検知センサ１００が設けられた車両等と通信可能に接続されたサーバであってもよい。また、情報処理装置１０を構成する構成要素は、複数のサーバに分散して配置されていてもよく、情報処理装置１０は情報処理システムであってもよい。

取得部１１は、ネットワークにおける異常を検知する異常検知センサ１００から、ネットワークにおける異常に関する検知ログ、及び、当該検知ログが示す異常の検知時刻を取得する。例えば、取得部１１は、異常検知センサ１００から検知ログを取得し、検知ログに含まれる検知時刻を取得する。

テーブル１２は、異常の種別と、その異常が発生したときのネットワークへの攻撃の終了の見込みとが予め対応付けられたテーブルである。テーブル１２について、図２を用いて説明する。

図２は、実施の形態におけるテーブル１２の一例を示す図である。

例えば、テーブル１２では、異常の種別と、その異常を検知した異常検知センサ１００を示す検知箇所と、その異常が発生したときのネットワークへの攻撃の終了の見込みとが予め対応付けられている。図２に示されるように、種別Ａの異常は、センサ１が検知する異常であり、検知された後ｘ秒経過したときにネットワークへの攻撃が終了すると見込まれる。種別Ｂの異常は、センサ１が検知する異常であり、検知された後ｘ秒経過したときにネットワークへの攻撃が終了すると見込まれる。種別Ｃの異常は、センサ２が検知する異常であり、検知された後ｙ秒経過したときにネットワークへの攻撃が終了すると見込まれる。例えば、センサ１はネットワークの通信を監視する異常検知センサ１００であり、種別Ａの異常はネットワークの通信量の異常であり、種別Ｂの異常はネットワークを流れるメッセージの異常である。例えば、センサ２は、ネットワークに接続された機器を監視する異常検知センサ１００であり、種別Ｃの異常は当該機器の故障等の異常である。

このようなテーブル１２は、ネットワークへの攻撃の終了見込み条件（以下、終了条件とも呼ぶ）を決定するために用いられる。

条件決定部１３は、取得部１１により取得された検知ログに基づいて、ネットワークへの攻撃の終了条件を決定する。条件決定部１３の動作の詳細については後述する。

保持部１４は、条件決定部１３により決定された終了条件を保持する。ネットワークへの攻撃により様々な種別の異常が発生する場合があり、１つの異常検知センサ１００は、発生した異常ごとに検知ログを生成し、取得部１１は、複数の検知ログを１つの異常検知センサ１００から取得し得る。或いは、ネットワークへの攻撃により複数の異常検知センサ１００が異常を検知する場合があり、取得部１１は、複数の検知ログを複数の異常検知センサ１００から取得し得る。保持部１４は、取得された検知ログごとに終了条件を保持し得る。つまり、保持部１４は、複数の終了条件を保持し得る。

終了時刻決定部１５は、取得部１１により取得された検知ログに基づいて、ネットワークへの攻撃の終了見込み時刻を決定し、決定した終了見込み時刻を記録部１７に記録する。終了時刻決定部１５の動作の詳細については後述する。

発動時刻決定部１６は、取得部１１により取得された検知時刻に基づいて、ネットワークへの攻撃の発動時刻を決定し、決定した発動時刻を記録部１７に記録する。発動時刻決定部１６の動作の詳細については後述する。

記録部１７は、発動時刻決定部１６により決定されたネットワークへの攻撃の発動時刻を記録し、終了時刻決定部１５により決定されたネットワークへの攻撃の終了見込み時刻を記録する。記録された発動時刻及び終了見込み時刻は、情報処理装置１０に接続された機器（サーバ等）に出力され、攻撃の解析のために用いられる。

［情報処理装置の動作］
次に、情報処理装置１０の動作の詳細について、図３から図１０を用いて説明する。

まず、情報処理装置１０の終了条件の決定時及び発動時刻の記録時の動作について、図３を用いて説明する。

図３は、実施の形態における情報処理装置１０の終了条件の決定時及び発動時刻の記録時の動作の一例を示すフローチャートである。

まず、条件決定部１３は、取得部１１が検知ログを取得したか否かを判定する（ステップＳ１１）。条件決定部１３は、取得部１１が検知ログを取得していない場合（ステップＳ１１でＮｏ）、取得部１１が検知ログを取得するまで、ステップＳ１１での処理を繰り返す。

条件決定部１３は、取得部１１が検知ログを取得した場合（ステップＳ１１でＹｅｓ）、取得された検知ログに基づいて、ネットワークへの攻撃の終了条件を決定する（ステップＳ１２）。終了条件の決定時の条件決定部１３の動作について、図４を用いて説明する。

図４は、終了条件の決定時の動作を説明するための図である。

例えば、検知ログが示す異常の種別によって、ネットワークへの攻撃の終了条件が異なってくる場合があり、テーブル１２のように、異常の種別ごとに終了見込みを予め定めることができる。このため、条件決定部１３は、取得部１１により取得された検知ログが示す異常の種別及びテーブル１２に基づいて、終了条件を決定することができる。具体的には、条件決定部１３は、取得部１１により取得された検知ログをテーブル１２に照合し、当該検知ログが示す異常を発生させたネットワークへの攻撃の終了条件を決定する。図４に示されるように、異常検知センサ１００は種別Ａの異常を時刻ｔ１に検知し、取得部１１は種別Ａの異常に関する検知ログ及び当該異常の検知時刻ｔ１を取得したとする。テーブル１２に示されるように、種別Ａの異常が検知された後ｘ秒経過したときにネットワークへの攻撃が終了すると見込まれるため、条件決定部１３は、検知時刻ｔ１にｘ秒加えた時刻ｔ１＋ｘを、取得部１１により取得された検知ログが示す異常を発生させたネットワークへの攻撃の終了条件として決定する。

また、例えば、検知ログに含まれるパラメータによって、ネットワークへの攻撃の終了条件が異なってくる場合がある。例えば、検知ログに含まれるパラメータとしてネットワークの通信量が、多い場合と少ない場合とで終了条件が異ならせたほうが良い場合がある。例えば、条件決定部１３は、ネットワークの通信量が多い場合に終了条件を厳しくする（例えば終了見込み時刻が遅くなるような終了条件を決定する）。このように、条件決定部１３は、取得された検知ログに含まれるパラメータに基づいて、終了条件を決定してもよい。

また、例えば、検知ログが取得されたときの他の検知ログの取得状況によっては、ネットワークへの攻撃の終了条件が異なってくる場合がある。例えば、検知ログが取得されたときに、ネットワークに接続された機器に異常が発生していることを示す他の検知ログがすでに取得されていた場合、そのような他の検知ログが取得されていないときと比べて終了条件を異ならせたほうが良い場合がある。例えば、条件決定部１３は、ネットワークに接続された機器に異常が発生していることを示す他の検知ログがすでに取得されていた場合に、終了条件を厳しくする（例えば終了見込み時刻が遅くなるような終了条件を決定する）。このように、条件決定部１３は、検知ログが取得されたときの他の検知ログの取得状況に基づいて、終了条件を決定してもよい。

図３での説明に戻り、次に、発動時刻決定部１６は、保持部１４に終了条件が保持されているか否かを判定する（ステップＳ１３）。

発動時刻決定部１６は、保持部１４に終了条件が保持されていない場合（ステップＳ１３でＮｏ）、保持部１４に終了条件が保持されていない状態において取得された、検知ログが示す異常の検知時刻を発動時刻として決定し、記録部１７に記録する（ステップＳ１４）。発動時刻の記録時の発動時刻決定部１６の動作について、図５を用いて説明する。

図５は、発動時刻の記録時の動作を説明するための図である。

図５に示されるように、保持部１４の終了条件が保持されていないとする。その後、異常検知センサ１００は、種別Ａの異常を時刻ｔ１に検知し、取得部１１は種別Ａの異常に関する検知ログ及び当該異常の検知時刻ｔ１を取得する。保持部１４には、終了条件が保持されていないため、発動時刻決定部１６は、保持部１４に終了条件が保持されていない状態において取得された、検知ログが示す異常の検知時刻ｔ１を発動時刻として決定し、記録部１７に記録する。保持部１４に終了条件が保持されていない状態は、ネットワークへの攻撃がなされていない状態であるので、その状態で取得された検知ログが示す異常の検知時刻をネットワークへの攻撃の発動時刻として決定することができる。

図３での説明に戻り、次に、条件決定部１３は、ステップＳ１２で決定した終了条件を保持部１４に書き込む（ステップＳ１５）。これにより、保持部１４に終了条件が保持される。なお、詳細は後述するが、保持部１４に保持された終了条件は、成立したときに削除される。

一方で、保持部１４に終了条件が保持されている場合（ステップＳ１３でＹｅｓ）、言い換えると、ステップＳ１５で保持部１４に終了条件が書き込まれた後、当該終了条件が成立する前に（つまり当該終了条件が削除される前に）ステップＳ１１で新たな検知ログが取得された場合、条件決定部１３は、取得された新たな検知ログに基づいて、保持された終了条件を更新する、又は、保持部１４に新たな終了条件を追加する（ステップＳ１６）。新たな終了条件の追加時の条件決定部１３の動作について、図６を用いて説明し、終了条件の更新時の条件決定部１３の動作について、図７を用いて説明する。

図６は、終了条件の追加時の動作を説明するための図である。

図６に示されるように、異常検知センサ１００は、種別Ａの異常を時刻ｔ１に検知し、保持部１４に終了条件（終了時刻）ｔ１＋ｘが保持されたとする。その後、異常検知センサ１００は、種別Ｂの異常を時刻ｔ２に検知し、保持部１４に保持された終了条件ｔ１＋ｘが成立する前に新たな検知ログが取得されたとする。この場合、条件決定部１３は、取得された新たな検知ログに基づいて（具体的には当該新たな検知ログをテーブル１２に照合することで）、新たな終了条件ｔ２＋ｘを決定し、保持部１４に新たな終了条件ｔ２＋ｘを追加する。その後、異常検知センサ１００は、種別Ｃの異常を時刻ｔ３に検知し、保持部１４に保持された終了条件ｔ１＋ｘ及びｔ２＋ｘが成立する前に新たな検知ログが取得されたとする。この場合、条件決定部１３は、取得された新たな検知ログに基づいて（具体的には当該新たな検知ログをテーブル１２に照合することで）、新たな終了条件ｔ３＋ｙを決定し、保持部１４に新たな終了条件ｔ３＋ｙを追加する。

図７は、終了条件の更新時の動作を説明するための図である。

図７の左下に示されるように、保持部１４に、種別Ａの異常についての終了条件ｔ１＋ｘ、種別Ｂの異常についての終了条件ｔ２＋ｘ、及び、種別Ｃの異常についての終了条件ｔ３＋ｙがすでに保持されているとする。その後、異常検知センサ１００は、種別Ａの異常を時刻ｔ４に検知し、保持部１４に保持された各終了条件が成立する前に新たな検知ログが取得されたとする。この場合、条件決定部１３は、取得された新たな検知ログに基づいて（具体的には当該新たな検知ログをテーブル１２に照合することで）、新たな終了条件ｔ４＋ｘを決定する。終了条件ｔ４＋ｘは、保持部１４に保持された終了条件ｔ１＋ｘと同じ種別Ａについての終了条件であるため、条件決定部１３は、保持部１４に保持された終了条件ｔ１＋ｘを終了条件ｔ４＋ｘに更新する。

次に、情報処理装置１０の終了見込み時刻の記録時の動作について、図８を用いて説明する。

図８は、実施の形態における情報処理装置１０の終了見込み時刻の記録時の動作の一例を示すフローチャートである。なお、図３に示す動作と図８に示す動作とは並行して行われる。

終了時刻決定部１５は、保持部１４に保持された終了条件が成立したか否かを判定する（ステップＳ２１）。終了時刻決定部１５は、保持部１４に保持された終了条件が成立していない場合（ステップＳ２１でＮｏ）、保持部１４に保持された終了条件が成立するまで、ステップＳ２１での処理を繰り返す。

終了時刻決定部１５は、保持部１４に保持された終了条件が成立した場合（ステップＳ２１でＹｅｓ）、成立した終了条件を保持部１４から削除する（ステップＳ２２）。成立した終了条件の削除時の終了時刻決定部１５の動作について、図９を用いて説明する。

図９は、終了条件の削除時の動作を説明するための図である。

図９の左下に示されるように、保持部１４に、種別Ａの異常についての終了条件ｔ１＋ｘ、種別Ｂの異常についての終了条件ｔ２＋ｘ、及び、種別Ｃの異常についての終了条件ｔ３＋ｙがすでに保持されているとする。その後、時刻がｔ１＋ｘになり、終了条件ｔ１＋ｘが成立すると、終了時刻決定部１５は、成立した終了条件ｔ１＋ｘを保持部１４から削除する。

図８での説明に戻り、次に、終了時刻決定部１５は、保持部１４に終了条件が保持されているか否かを判定する（ステップＳ２３）。図９の右下に示されるように、保持部１４に終了条件が保持されている場合（ステップＳ２３でＹｅｓ）、保持部１４に保持されている終了条件について、ステップＳ２１及びステップＳ２２での処理が行われ、保持部１４に終了条件が保持されていない状態になるまで、ステップＳ２１からステップＳ２３までの処理が繰り返し行われる。

そして、終了時刻決定部１５は、保持部１４に終了条件が保持されていない場合（ステップＳ２３でＮｏ）、保持部１４に保持されていた終了条件のうち、最後に成立した（言い換えると最後に削除された）終了条件が成立した時刻を終了見込み時刻として決定し、決定した終了見込み時刻を記録部１７に記録する（ステップＳ２４）。終了見込み時刻の記録時の終了時刻決定部１５の動作について、図１０を用いて説明する。

図１０は、終了見込み時刻の記録時の動作を説明するための図である。

図１０の左下に示されるように、保持部１４に、種別Ａの異常についての終了条件ｔ４＋ｘが保持されているとする。その後、時刻がｔ４＋ｘになり、終了条件ｔ４＋ｘが成立すると、終了時刻決定部１５は、成立した終了条件ｔ４＋ｘを保持部１４から削除する。これにより、図１０の右下に示されるように、保持部１４は終了条件が保持されていない状態となり、終了時刻決定部１５は、最後に成立した終了条件ｔ４＋ｘが成立した時刻ｔ４＋ｘを終了見込み時刻として決定し、終了見込み時刻ｔ４＋ｘを記録部１７に記録する。

このように、終了時刻決定部１５は、保持された終了条件が成立する時刻を終了見込み時刻として決定する。具体的には、終了時刻決定部１５は、保持部１４に複数の終了条件が保持されている場合、最後に削除された終了条件が成立した時刻、言い換えると、複数の終了条件のそれぞれの成立する時刻のうち最も遅い時刻を終了見込み時刻として決定する。なお、保持部１４に終了条件が保持されていない状態から１つの終了条件が保持され、その後、当該１つの終了条件が成立する前に新たな検知ログが取得されなかった場合、終了時刻決定部１５は、保持された当該１つの終了条件が成立する時刻を終了見込み時刻として決定し、記録部１７に記録する。

なお、終了条件が成立する時刻は、検知ログが取得されてから予め定められた時間が経過したときの時刻であってもよいし、検知ログが取得されてからカウントアップするカウンタが予め定められた閾値を超えたときの時刻であってもよいし、予め定められた検知ログが取得されたときの時刻であってもよい。例えば、予め定められた時間は、異常の種別等に応じて定められる。例えば、予め定められた閾値は、異常の種別及びカウンタのカウントアップの周期に応じて定められる。例えば、予め定められた検知ログは、異常検知センサ１００が異常を検知しないときに定期的に送信される正常を示す検知ログであり、終了時刻決定部１５は、正常を示す検知ログが所定回数取得されたときの時刻を終了見込み時刻として決定してもよい。

［まとめ］
情報処理装置１０は、ネットワークにおける異常を検知する異常検知センサ１００から、ネットワークにおける異常に関する検知ログ、及び、当該検知ログが示す異常の検知時刻を取得する取得部１１と、取得された検知時刻に基づいて、ネットワークへの攻撃の発動時刻を決定し、決定した発動時刻を記録する発動時刻決定部１６と、取得された検知ログに基づいて、ネットワークへの攻撃の終了見込み時刻を決定し、決定した終了見込み時刻を記録する終了時刻決定部１５と、を備える。

これによれば、異常検知センサ１００から取得される検知ログ及び検知時刻を用いて、ネットワークへの攻撃の発動時刻及びネットワークへの攻撃の終了見込み時刻が自動で記録されるため、記録された発動時刻及び終了見込み時刻からネットワークへの攻撃の区間を容易に抽出することができる。したがって、ネットワークへの攻撃の区間を抽出する際の処理負担を軽減することができる。

例えば、情報処理装置１０は、さらに、取得された検知ログに基づいて、ネットワークへの攻撃の終了条件を決定する条件決定部１３と、決定された終了条件を保持する保持部１４と、を備えていてもよく、終了時刻決定部１５は、保持された終了条件が成立する時刻を終了見込み時刻として決定してもよい。

例えば、検知ログが示す異常の種別によって、異常の原因となったネットワークへの攻撃の終了条件が異なってくる場合がある。そこで、取得された検知ログに基づいて終了条件を決定し、当該終了条件が成立する時刻を終了見込み時刻として決定することで、取得された検知ログが示す種別に応じた終了見込み時刻を決定することができる。

例えば、条件決定部１３は、さらに、保持された終了条件が成立する前に新たな検知ログが取得された場合、取得された新たな検知ログに基づいて、保持された終了条件を更新してもよい、又は、保持部１４に新たな終了条件を追加してもよい。

ネットワークへの攻撃により様々な種別の異常が発生する場合があり、異常検知センサ１００は、すでに保持部１４に保持されている終了条件が成立する前に、当該終了条件に対応する検知ログが示す異常と同じ種別の異常を再度検知したり、異なる種別の異常を検知したりする場合がある。そこで、異常検知センサ１００がすでに保持部１４に保持されている終了条件に対応する検知ログが示す異常と同じ種別の異常を検知したときには、当該異常に関する新たな検知ログに基づいて保持部１４に保持されている終了条件が更新される。或いは、異常検知センサ１００がすでに保持部１４に保持されている終了条件に対応する検知ログが示す異常とは異なる種別の異常を検知したときには、保持部１４に当該異常に関する新たな検知ログに応じた新たな終了条件が追加される。これにより、ネットワークへの攻撃により複数種別又は同じ種別の異常が発生した場合に、当該攻撃により発生する１以上の異常についての終了条件を保持部１４で管理することができる。

例えば、終了時刻決定部１５は、保持部１４に複数の終了条件が保持されている場合、複数の終了条件のそれぞれの成立する時刻のうち最も遅い時刻を終了見込み時刻として決定してもよい。

これによれば、様々な種別の異常が発生し得る攻撃の最終的な終了見込み時刻を決定することができる。

例えば、終了時刻決定部１５は、さらに、成立した終了条件を保持部１４から削除してもよい。

保持部１４に複数の終了条件が保持されている場合に、成立した終了条件から順に削除されていくことで、最後に削除された終了条件が成立した時刻（すなわち、複数の終了条件のそれぞれの成立する時刻のうち最も遅い時刻）を終了見込み時刻として決定することができる。また、今後新たな攻撃がなされる可能性があるため、新たな攻撃に備えて保持部１４から今回の攻撃に対応する終了条件を取り除いておくことができる。

例えば、発動時刻決定部１６は、保持部１４に終了条件が保持されていない状態において取得された、検知ログが示す異常の検知時刻を発動時刻として決定してもよい。

これによれば、保持部１４に終了条件が保持されていない状態は、ネットワークへの攻撃がなされていない状態であるので、その状態で取得された検知ログが示す異常の検知時刻をネットワークへの攻撃の発動時刻として決定することができる。

例えば、条件決定部１３は、取得された検知ログが示す異常の種別、取得された検知ログに含まれるパラメータ、又は、検知ログが取得されたときの他の検知ログの取得状況に基づいて、終了条件を決定してもよい。

例えば、検知ログが示す異常の種別によって、ネットワークへの攻撃の終了条件が異なってくる場合がある。このため、検知ログが示す異常の種別に基づいて、終了条件を決定することができる。また、例えば、検知ログに含まれるパラメータによって、ネットワークへの攻撃の終了条件が異なってくる場合がある。このため、検知ログに含まれるパラメータに基づいて、終了条件を決定することができる。また、例えば、検知ログが取得されたときの他の検知ログの取得状況によっては、ネットワークへの攻撃の終了条件が異なってくる場合がある。このため、検知ログが取得されたときの他の検知ログの取得状況に基づいて、終了条件を決定することができる。

例えば、終了条件が成立する時刻は、検知ログを取得されてから予め定められた時間が経過したときの時刻、検知ログが取得されてからカウントアップするカウンタが予め定められた閾値を超えたときの時刻、又は、予め定められた検知ログが取得されたときの時刻であってもよい。

このようにして、終了条件が成立する時刻を決定することができる。

例えば、情報処理装置１０は、記録した発動時刻及び終了見込み時刻、又は、記録した発動時刻及び終了見込み時刻に応じた指示を出力してもよい。

例えば、情報処理装置１０は、情報処理装置１０に接続された機器（サーバ等）へ記録した発動時刻及び終了見込み時刻を出力することで、当該機器は、出力された発動時刻及び終了見込み時刻を活用して、サイバー攻撃の発生区間（継続時間）を少ない処理負担で導出又は特定することができる。或いは、情報処理装置１０は、記録した発動時刻及び終了見込み時刻に応じた指示として、例えば発動時刻及び終了見込み時刻に応じたサイバー攻撃の発生区間を導出又は特定させる指示を、情報処理装置１０に接続された機器へ出力することで、当該機器は、サイバー攻撃の発生区間を少ない処理負担で導出又は特定することができる。

（その他の実施の形態）
以上のように、本開示に係る技術の例示として実施の形態を説明した。しかしながら、本開示に係る技術は、これに限定されず、適宜、変更、置き換え、付加、省略等を行った実施の形態にも適用可能である。例えば、以下のような変形例も本開示の一実施の形態に含まれる。

例えば、上記実施の形態では、情報処理装置１０がテーブル１２及び条件決定部１３を備える例について説明したが、備えていなくてもよい。例えば、終了条件が取得された検知ログに基づいて決定されなくてもよく、予め定められた終了条件が保持部１４に保持されていてもよい。

なお、本開示は、情報処理装置１０として実現できるだけでなく、情報処理装置１０を構成する各構成要素が行うステップ（処理）を含む情報処理方法として実現できる。

図１１は、その他の実施の形態における情報処理方法の一例を示すフローチャートである。

情報処理方法は、図９に示されるように、ネットワークにおける異常を検知する異常検知センサ１００から、ネットワークにおける異常に関する検知ログ、及び、当該検知ログが示す異常の検知時刻を取得し（ステップＳ３１）、取得された検知時刻に基づいて、ネットワークへの攻撃の発動時刻を決定し、決定した発動時刻を記録し（ステップＳ３２）、取得された検知ログに基づいて、ネットワークへの攻撃の終了見込み時刻を決定し、決定した終了見込み時刻を記録する（ステップＳ３３）処理を含む。

例えば、情報処理方法におけるステップは、コンピュータ（コンピュータシステム）によって実行されてもよい。そして、本開示は、情報処理方法に含まれるステップを、コンピュータに実行させるためのプログラムとして実現できる。

さらに、本開示は、そのプログラムを記録したＣＤ－ＲＯＭ等である非一時的なコンピュータ読み取り可能な記録媒体として実現できる。

例えば、本開示が、プログラム（ソフトウェア）で実現される場合には、コンピュータのＣＰＵ、メモリ及び入出力回路等のハードウェア資源を利用してプログラムが実行されることによって、各ステップが実行される。つまり、ＣＰＵがデータをメモリ又は入出力回路等から取得して演算したり、演算結果をメモリ又は入出力回路等に出力したりすることによって、各ステップが実行される。

また、上記実施の形態の情報処理装置１０に含まれる各構成要素は、専用又は汎用の回路として実現されてもよい。

また、上記実施の形態の情報処理装置１０に含まれる各構成要素は、集積回路（ＩＣ：Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）であるＬＳＩ（Ｌａｒｇｅ Ｓｃａｌｅ Ｉｎｔｅｇｒａｔｉｏｎ）として実現されてもよい。

また、集積回路はＬＳＩに限られず、専用回路又は汎用プロセッサで実現されてもよい。プログラム可能なＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）、又は、ＬＳＩ内部の回路セルの接続及び設定が再構成可能なリコンフィギュラブル・プロセッサが、利用されてもよい。

さらに、半導体技術の進歩又は派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて、情報処理装置１０に含まれる各構成要素の集積回路化が行われてもよい。

その他、実施の形態に対して当業者が思いつく各種変形を施して得られる形態、本開示の趣旨を逸脱しない範囲で各実施の形態における構成要素及び機能を任意に組み合わせることで実現される形態も本開示に含まれる。

本開示は、例えば車載ネットワーク等を監視する装置に適用できる。

１０ 情報処理装置
１１ 取得部
１２ テーブル
１３ 条件決定部
１４ 保持部
１５ 終了時刻決定部
１６ 発動時刻決定部
１７ 記録部
１００ 異常検知センサ

Claims (8)

1. ネットワークにおける異常を検知する異常検知センサから、前記ネットワークにおける異常に関する検知ログ、及び、当該検知ログが示す異常の検知時刻を取得する取得部と、
   取得された前記検知時刻に基づいて、前記ネットワークへの攻撃の発動時刻を決定し、決定した前記発動時刻を記録する発動時刻決定部と、
   取得された前記検知ログに基づいて、前記ネットワークへの攻撃の終了見込み時刻を決定し、決定した前記終了見込み時刻を記録する終了時刻決定部と、
   取得された前記検知ログに基づいて、前記ネットワークへの攻撃の終了条件を決定する条件決定部と、
   決定された前記終了条件を保持する保持部と、を備え、
   前記条件決定部は、さらに、保持された前記終了条件が成立する前に新たな検知ログが取得された場合、取得された前記新たな検知ログに基づいて、保持された前記終了条件を更新し、又は、前記保持部に新たな終了条件を追加し、
   前記終了時刻決定部は、保持された前記終了条件が成立する時刻を前記終了見込み時刻として決定し、前記保持部に複数の終了条件が保持されている場合、前記複数の終了条件のそれぞれの成立する時刻のうち最も遅い時刻を前記終了見込み時刻として決定する、
   情報処理装置。
2. 前記終了時刻決定部は、さらに、成立した終了条件を前記保持部から削除する、
   請求項１に記載の情報処理装置。
3. 前記発動時刻決定部は、前記保持部に前記終了条件が保持されていない状態において取得された、前記検知ログが示す異常の前記検知時刻を前記発動時刻として決定する、
   請求項１又は２に記載の情報処理装置。
4. 前記条件決定部は、取得された前記検知ログが示す異常の種別、取得された前記検知ログに含まれるパラメータ、又は、前記検知ログが取得されたときの他の検知ログの取得状況に基づいて、前記終了条件を決定する、
   請求項１～３のいずれか１項に記載の情報処理装置。
5. 前記終了条件が成立する時刻は、前記検知ログが取得されてから予め定められた時間が経過したときの時刻、前記検知ログが取得されてからカウントアップするカウンタが予め定められた閾値を超えたときの時刻、又は、予め定められた検知ログが取得されたときの時刻である、
   請求項１～４のいずれか１項に記載の情報処理装置。
6. 前記情報処理装置は、記録した前記発動時刻及び前記終了見込み時刻、又は、記録した前記発動時刻及び前記終了見込み時刻に応じた指示を出力する、
   請求項１～５のいずれか１項に記載の情報処理装置。
7. 情報処理装置により実行される情報処理方法であって、
   ネットワークにおける異常を検知する異常検知センサから、前記ネットワークにおける異常に関する検知ログ、及び、当該検知ログが示す異常の検知時刻を取得し、
   取得された前記検知時刻に基づいて、前記ネットワークへの攻撃の発動時刻を決定し、決定した前記発動時刻を記録し、
   取得された前記検知ログに基づいて、前記ネットワークへの攻撃の終了見込み時刻を決定し、決定した前記終了見込み時刻を記録し、
   取得された前記検知ログに基づいて、前記ネットワークへの攻撃の終了条件を決定し、
   決定された前記終了条件を保持し、
   前記終了条件の決定では、さらに、保持された前記終了条件が成立する前に新たな検知ログが取得された場合、取得された前記新たな検知ログに基づいて、保持された前記終了条件を更新し、又は、新たな終了条件を追加し、
   前記終了見込み時刻の決定では、保持された前記終了条件が成立する時刻を前記終了見込み時刻として決定し、複数の終了条件が保持されている場合、前記複数の終了条件のそれぞれの成立する時刻のうち最も遅い時刻を前記終了見込み時刻として決定する、
   情報処理方法。
8. 請求項７に記載の情報処理方法をコンピュータに実行させるためのプログラム。

Images