JP7411895B2 - 情報処理装置、異常検知方法およびコンピュータプログラム - Google Patents

情報処理装置、異常検知方法およびコンピュータプログラム Download PDF

Info

Publication number
JP7411895B2
JP7411895B2 JP2019220119A JP2019220119A JP7411895B2 JP 7411895 B2 JP7411895 B2 JP 7411895B2 JP 2019220119 A JP2019220119 A JP 2019220119A JP 2019220119 A JP2019220119 A JP 2019220119A JP 7411895 B2 JP7411895 B2 JP 7411895B2
Authority
JP
Japan
Prior art keywords
communication
unit
communication signal
information processing
processing device
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2019220119A
Other languages
English (en)
Other versions
JP2021090160A (ja
Inventor
吉治 今本
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Panasonic Intellectual Property Management Co Ltd
Original Assignee
Panasonic Intellectual Property Management Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Panasonic Intellectual Property Management Co Ltd filed Critical Panasonic Intellectual Property Management Co Ltd
Priority to JP2019220119A priority Critical patent/JP7411895B2/ja
Priority to CN202080084034.7A priority patent/CN114868365B/zh
Priority to DE112020005949.9T priority patent/DE112020005949T5/de
Priority to PCT/JP2020/033896 priority patent/WO2021111692A1/ja
Publication of JP2021090160A publication Critical patent/JP2021090160A/ja
Priority to US17/830,104 priority patent/US20220291944A1/en
Application granted granted Critical
Publication of JP7411895B2 publication Critical patent/JP7411895B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • G06F9/45558—Hypervisor-specific management and integration aspects
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0706—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment
    • G06F11/0712—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment in a virtual computing platform, e.g. logically partitioned systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/3003—Monitoring arrangements specially adapted to the computing system or computing system component being monitored
    • G06F11/301—Monitoring arrangements specially adapted to the computing system or computing system component being monitored where the computing system is a virtual computing platform, e.g. logically partitioned systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/3003—Monitoring arrangements specially adapted to the computing system or computing system component being monitored
    • G06F11/3013—Monitoring arrangements specially adapted to the computing system or computing system component being monitored where the computing system is an embedded system, i.e. a combination of hardware and software dedicated to perform a certain function in mobile devices, printers, automotive or aircraft systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • G06F9/45558—Hypervisor-specific management and integration aspects
    • G06F2009/45587—Isolation or security of virtual machine instances
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • G06F9/45558—Hypervisor-specific management and integration aspects
    • G06F2009/45591—Monitoring or debugging support
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
    • G06F2221/034—Test or assess a computer or a system

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Computer Security & Cryptography (AREA)
  • Quality & Reliability (AREA)
  • Mathematical Physics (AREA)
  • Computer Hardware Design (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Small-Scale Networks (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Description

本開示はデータ処理技術に関し、特に情報処理装置、異常検知方法およびコンピュータプログラムに関する。
車両内の複数のネットワークをゲートウェイにより接続し、また、複数のネットワークを流れるデータが不正なものかを監視する技術が提案されている。
特開２０１３－１３１９０７号公報
仮想化技術の進展により、これまでは複数の物理ＥＣＵ（Electronic Control Unit）により実行された複数の機能を、１つの物理ＥＣＵ上の複数のＶＭ（Virtual Machine）により実行する構成が普及することが考えられる。複数のＶＭ間は論理的なチャネルで通信するが、ＶＭ間通信における異常（攻撃等）を検知する技術はこれまで十分に提案されていなかった。
本開示はこうした課題に鑑みてなされたものであり、１つの目的は、ＶＭ間通信における異常を検知する技術を提供することにある。
上記課題を解決するために、本開示のある態様の情報処理装置は、仮想化ソフトウェアにより第１のＶＭと第２のＶＭが動作する装置であって、第１のＶＭから送信された第２のＶＭ宛の通信データを受け付ける受付部と、受付部により受け付けられた通信データをもとにＶＭ間の通信に関するパラメータを生成する生成部と、生成部により生成されたパラメータをもとに異常な通信を検知する検知部と、を備える。
本開示の別の態様は、異常検知方法である。この方法は、仮想化ソフトウェアにより第１のＶＭ（Virtual Machine）と第２のＶＭが動作する装置が、第１のＶＭから送信された第２のＶＭ宛の通信データを受け付け、受け付けた通信データをもとにＶＭ間の通信に関するパラメータを生成し、生成したパラメータをもとに異常な通信を検知する。
なお、以上の構成要素の任意の組合せ、本開示の表現を、システム、コンピュータプログラム、コンピュータプログラムを記録した記録媒体、情報処理装置を搭載した車両などの間で変換したものもまた、本開示の態様として有効である。
本開示によれば、ＶＭ間通信における異常を検知する技術を提供できる。
ＶＭ間通信の仕組みを模式的に示す図である。 実施例のＥＣＵの機能ブロックを示すブロック図である。 図２の転送部を詳細に示すブロック図である。 転送パラメータの構成を示す図である。 管理テーブルの例を示す図である。 ＥＣＵのＶＭ間通信における動作を示すシーケンス図である。 転送部の動作を示すフローチャートである。 検知部と対応部の動作を示すフローチャートである。 第１変形例のＥＣＵの機能ブロックを示すブロック図である。 第２変形例のＥＣＵの機能ブロックを示すブロック図である。 第３変形例のＥＣＵの機能ブロックを概略的に示すブロック図である。 第４変形例のＥＣＵの機能ブロックを示すブロック図である。 第５変形例の管理テーブルを示す図である。 第６変形例の検知部の構成を示す図である。
実施例の情報処理装置（後述のＥＣＵ１２）は、ＶＭ間通信で用いられる制御情報をもとに通信パターンを計測し、異常な通信（例えば攻撃によるもののほか、故障やバグによるものが含まれる）を検知する。具体的には、実施例の情報処理装置は、ＶＭ間通信の通信データが示す制御情報を検査モジュール（後述の検知部３８）に転送する。また、ＶＭ間の正常な通信経路を悪用するプロセスが存在する場合、データ量や制御パターンが変化するが、実施例の情報処理装置は、このことを利用して異常を検知する。また、実施例の情報処理装置は、検知した情報をもとに防御処理を実行し、例えば、安全機能を有効化する。
以下、ＶＭ間通信において送信元ＶＭから宛先ＶＭへ渡される内容を通信ペイロードとも呼び、ＶＭ間通信のための制御情報を通信信号とも呼ぶ。また、通信ペイロードと通信信号を包含するデータを「通信データ」と呼ぶ。
図１は、ＶＭ間通信の仕組みを模式的に示す。同図では、ＨＶ（HyperVisor）上でＶＭ１とＶＭ２が動作する。ＶＭ２で実行されるアプリケーションは、システムコールにより、ＶＭ２のドライバ（ＯＳの通信ハンドラ）に通信データを渡す。ＶＭ２のドライバは、通信ペイロードを共有メモリに格納する。また、ＶＭ２のドライバは、通信信号をＨＶに渡し、具体的には、要求番号Ｘを指定したハイパーバイザコールを行う。ＨＶは、割込番号Ａを指定した割込処理にて、通信信号をＶＭ１のドライバに渡す。ＶＭ１のドライバは、通信信号をもとに共有メモリから通信ペイロードを読み込み、通信ペイロードをＶＭ１上のアプリケーションに渡す。なお、仮想化システムの種類としては、ハイパーバイザー型の仮想化システムのほかホストＯＳ型の仮想化システムなどもある。ハイパーバイザー型の仮想化システムでは、ハードウェアの各種リソースの割り当て等の処理をハイパーバイザーが行い、ホストＯＳ型の仮想化システムでは、ハードウェアの各種リソースの割り当て等の処理をホストＯＳ上で動作する仮想化アプリケーションが行う。すなわち、ハイパーバイザー型の仮想化システムでは、ハイパーバイザーが仮想化ソフトウェアとして動作し、ホストＯＳ型の仮想化システムでは、ホストＯＳと仮想化アプリケーションとが仮想化ソフトウェアとして動作する。本実施形態では、ハイパーバイザー型の仮想化システムを例に説明するが、ゲストＯＳ型の仮想化システムであってもよい。
ＶＭ１からＶＭ２への通信も同様である。ＶＭ１で実行されるアプリケーションは、システムコールにより、ＶＭ１のドライバに通信データを渡す。ＶＭ１のドライバは、通信ペイロードを共有メモリに格納する。また、ＶＭ１のドライバは、通信信号をＨＶに渡し、具体的には、要求番号Ｙを指定したハイパーバイザコールを行う。ＨＶは、割込番号Ｂを指定した割込処理にて、通信信号をＶＭ２のドライバに渡す。ＶＭ２のドライバは、通信信号をもとに共有メモリから通信ペイロードを読み込み、通信ペイロードをＶＭ２上のアプリケーションに渡す。
図２は、実施例のＥＣＵ１２の機能ブロックを示すブロック図である。ＥＣＵ１２は、車両１０に搭載されるマイクロコントローラである。また、ＥＣＵ１２は、ＴＣＵ（Telematics Communication Unit）の機能（例えば車両１０外部の機器との通信機能）と、ＡＤＡＳ（Advanced Driver-Assistance System）の機能（例えば衝突被害軽減ブレーキやクルーズコントロール）を提供する統合ＥＣＵである。
本開示のブロック図において示される各ブロックは、ハードウェア的には、コンピュータのＣＰＵ・メモリをはじめとする素子や機械装置で実現でき、ソフトウェア的にはコンピュータプログラム等によって実現されるが、ここでは、それらの連携によって実現される機能ブロックを描いている。これらの機能ブロックはハードウェア、ソフトウェアの組合せによっていろいろなかたちで実現できることは、当業者には理解されるところである。
例えば、図２に示すＥＣＵ１２の複数の機能ブロックのうち少なくとも一部の機能ブロックに対応するモジュールを含むコンピュータプログラムが、ＥＣＵ１２のＲＯＭに記憶されてもよい。ＥＣＵ１２のＣＰＵは、このコンピュータプログラムをＲＡＭに読み出して実行することにより、図２に示す各機能ブロックの機能を発揮してもよい。
図２の「システム権限」エリアに配置された機能ブロックは、システム権限で実行される機能を示し、例えばＶＭのＯＳ（Operating System）の機能である。また、「ユーザ権限」エリアに配置された機能ブロックは、ユーザ権限で実行される機能を示し、例えばＯＳ上で動作するアプリケーションの機能である。また、「ＨＶ権限」エリアに配置された機能ブロックは、ＨＶ権限で実行される機能を示している。
ＥＣＵ１２は、ＨＶ１４と、そのＨＶ１４上で動作するＶＭ１６、ＶＭ１８を備える。ＶＭ１６は、ＴＣＵの機能を提供し、実施例では攻撃の入口となる。ＶＭ１８は、ＡＤＡＳの機能を提供し、実施例では攻撃される側となる。ＥＣＵ１２は、ＨＶ１４、ＶＭ１６、ＶＭ１８のいずれもアクセス可能な共有メモリ（不図示）をさらに備える。
ＶＭ１６は、通信要求部２０とイベント生成部２２を含む。通信要求部２０は、アプリケーションの処理で生じたＶＭ１８宛の通信データをシステムコールによりイベント生成部２２に渡す。
イベント生成部２２は、通信データにおける通信ペイロードを共有メモリに格納し、通信データに基づく通信信号をハイパーバイザコールによりＨＶ１４へ出力する。この通信信号（ハイパーバイザコール）は、送信元ＶＭであるＶＭ１６のＩＤと要求番号を含む。要求番号は、通信ペイロードを格納した共有メモリのアドレスに対応するものである。
ＨＶ１４は、転送情報記憶部２４、イベント受信部２６、仮想通信部２８を備える。転送情報記憶部２４は、送信元ＶＭと要求番号の組み合わせと、宛先ＶＭと割込番号の組み合わせとの対応関係を記憶する。イベント受信部２６は、ＶＭ１６からのハイパーバイザコールを受信すると、宛先ＶＭと割込番号を解決する。具体的には、イベント受信部２６は、転送情報記憶部２４を参照して、ハイパーバイザコールが示す送信元ＶＭと要求番号の組み合わせに対応づけられた宛先ＶＭと割込番号の組み合わせを特定する。
仮想通信部２８は、イベント受信部２６により特定されたＶＭ（ここではＶＭ１８）に対して、イベント受信部２６により特定された割込番号を指定した割込みを行うことで通信信号をＶＭ１８に渡す。この通信信号（割込み）は、送信元ＶＭ（ＶＭ１６）のＩＤ、要求番号、宛先ＶＭ（ＶＭ１８）のＩＤ、割込番号を含む。
ＶＭ１８は、通信ハンドラ３０、転送部３２、通信受信部３４、通信ハンドラ３６、通信受信部３４、検知部３８、対応部４０を備える。通信受信部３４は、転送部３２により転送された通信データであり、すなわち、ＶＭ１６から送信されたＶＭ１８宛の通信データを受信する。ＶＭ１８上のアプリケーションは、通信受信部３４により受信された通信データをもとにＡＤＡＳの各種機能を実行する。
通信ハンドラ３０は、ＨＶ１４から割込みにより入力された通信信号を受信する。通信ハンドラ３０は、通信信号が示す要求番号に対応する共有メモリの領域から通信ペイロードを読み込み、通信信号の内容と通信ペイロードの内容とを含む通信データを転送部３２に渡す。
図３は、図２の転送部３２を詳細に示すブロック図である。転送部３２は、ポリシ記憶部４２、受付部４４、ポリシ強制部４６、データ転送部４８、パラメータ生成部５０、パラメータ送信部５２、ポリシ更新部５４を含む。
ポリシ記憶部４２は、通信データに関するセキュリティポリシを記憶する。セキュリティポリシは、通信データに対するフィルタリングの条件を含んでもよい。フィルタリングの条件は、例えば、通信データに含まれる値、データサイズ、既知の攻撃パターンとの類似度合いであってもよい。
受付部４４は、ＶＭ１６から送信され、ＨＶ１４により転送されたＶＭ１８宛の通信データを、通信ハンドラ３０を介して受け付ける。ポリシ強制部４６は、ポリシ記憶部４２に記憶されたセキュリティポリシにしたがって、受付部４４により受け付けられた通信データに対するフィルタリング処理を実行する。ポリシ強制部４６は、セキュリティポリシに違反する通信データ、言い換えれば、フィルタリング条件に合致する通信データを破棄してもよい。また、ポリシ強制部４６は、その通信データをログに記録してもよく、外部のサーバに保存してもよい。
データ転送部４８は、受付部４４により受け付けられた通信データを、所定のセキュリティポリシにしたがって上位のアプリケーション（通信受信部３４）に転送する。具体的には、データ転送部４８は、ポリシ強制部４６によりセキュリティポリシに整合すると判断された通信データ、または、セキュリティポリシに違反しないと判断された通信データを通信受信部３４に転送する。なお、転送部４８の動作としては、プッシュ型の転送およびプル型の転送のいずれであってもよいし、共有メモリなどを介してデータを共有する動作も含まれ、特に限定はされない。
パラメータ生成部５０は、受付部４４により受け付けられた通信データであり、言い換えれば、データ転送部４８が通信受信部３４へ転送した通信データをもとに、ＶＭ間通信に関するパラメータ（以下「転送パラメータ」と呼ぶ。）を生成する。転送パラメータは、ＶＭ間通信で用いられるパラメータとも言え、ＶＭ間通信に必要なパラメータとも言える。
図４は、転送パラメータの構成を示す。転送パラメータは、送信元ＶＭのＩＤ、要求番号、宛先ＶＭのＩＤ、割込番号、プロトコル番号、データサイズを含む。パラメータ生成部５０は、通信データ（通信信号と通信ペイロードを含む）から転送パラメータの項目を抽出し、計測し、生成してもよい。また、転送パラメータの値が記憶されたメモリアドレスを示すポインタが通信データに含まれる場合、パラメータ生成部５０は、そのメモリアドレスから値を読み込み、転送パラメータに設定してもよい。なお、図４に示す転送パラメータは一例であって、通信パスが特定できればよく、例えば、送信元ＶＭのＩＤ、宛先ＶＭのＩＤの組み合わせ、あるいはそれらとプロトコル番号（プロトコル種別）の組み合わせなどであってもよい。
図３に戻り、パラメータ送信部５２は、パラメータ生成部５０により生成された転送パラメータを検知部３８（実施例では通信ハンドラ３６）へ送信する。ポリシ更新部５４は、対応部４０から送信された更新要求にしたがって、ポリシ強制部４６に適用されるセキュリティポリシを更新し、言い換えれば、通信データに対するフィルタリングに適用されるセキュリティポリシを更新する。
図２に戻り、通信ハンドラ３６は、転送部３２から送信された転送パラメータを受信し、受信した転送パラメータを検知部３８に渡す。検知部３８は、管理テーブルと、転送部３２から送信された転送パラメータとをもとに、異常な通信を検知する。
管理テーブルは、ＶＭ間通信のパターンと、ＶＭ間通信に関する統計情報とを含む。図５は、管理テーブルの例を示す。図５の管理テーブルの各レコードは、通信パターンＩＤ、送信元ＶＭのＩＤ、要求番号、宛先ＶＭのＩＤ、割込番号、通信種別（通信プロトコル）、頻度（通信回数／秒）を含む。検知部３８は、転送部３２から送信された転送パラメータを受け付けると、その転送パラメータが示す通信パターンである送信元ＶＭ、要求番号、宛先ＶＭ、割込番号、通信種別の組み合わせに一致するレコード（「更新対象レコード」と呼ぶ。）を特定する。検知部３８は、転送パラメータが示すデータサイズをもとに、更新対象レコードに記録された統計情報である頻度を更新する。
検知部３８は、以下のケースにおいて、異常な通信が発生したことを検知してもよい。（１）更新対象レコードの頻度が予め定められた閾値を超えたこと。（２）転送パラメータが示すデータサイズが予め定められた閾値を超えたこと。（３）管理テーブルで単位時間当りのデータサイズ（すなわち通信量）を管理する場合に、更新対象レコードにおける通信量が予め定められた閾値を超えたこと。（４）転送パラメータが示す通信パターン（例えば送信元ＶＭ、要求番号、宛先ＶＭ、割込番号、通信種別の組み合わせ）が、管理テーブルに未登録の通信パターンであること。（５）管理テーブルで通信パターンごとのＴＣＰセッション数またはファイルオープン数を管理する場合に、そのＴＣＰセッション数またはファイルオープン数が予め定められた閾値を超えたこと。すなわち、検知部３８は、上記のようにＶＭ間の通信が所定の条件を満たしていると判定した場合に、異常な通信であることを検知してもよい。なお、所定の条件を満たしているか否かは、ルールベースの判定手法に限定されず、例えば機械学習モデルなどのＡＩ技術を用いて判定する構成であってもよい。
図２に戻り、対応部４０は、検知部３８による検知結果に応じて、異常な通信への対策を実行する。実施例の対応部４０は、検知部３８により異常な通信が検知された場合に、転送部３２のポリシ強制部４６により適用されるセキュリティポリシを更新する。対応部４０は、セキュリティポリシの更新要求を転送部３２に送信することで、転送部３２のポリシ更新部５４にセキュリティポリシを更新させてもよい。更新要求は、ポリシ記憶部４２に記憶されたセキュリティポリシを、それまでより安全を高める内容に（通信データがフィルタリングの対象に該当しやすくなるように）更新するよう指示するものでもよい。また、更新要求は、ポリシ記憶部４２に記憶された複数のセキュリティポリシのうち相対的に安全性が高いセキュリティポリシを適用するよう指示するものでもよい。
変形例として、対応部４０は、アラートレベルを管理し、検知部３８による検知結果に応じてアラートレベルを更新してもよい。この場合、対応部４０は、アラートレベルに応じて検知部３８による検知ルールを選択してもよい。また、対応部４０は、不図示の運転制御部と連携して、所定の安全処理（例えば車両１０の加速抑制や緊急制動等）を実行してもよい。また、対応部４０は、異常な通信を検知したことと、その情報ソースである転送パラメータとをログに記録してもよく、車両１０外部のサーバへ通知してもよい。
以上の構成によるＥＣＵ１２の動作を説明する。
図６は、ＥＣＵ１２のＶＭ間通信における動作を示すシーケンス図である。ＶＭ１６の通信要求部２０は、ＶＭ１８に渡すべき通信データをイベント生成部２２に渡す。ＶＭ１６のイベント生成部２２は、共有メモリに通信データを書き込む（Ｓ１０）。ＶＭ１６のイベント生成部２２は、ハイパーバイザコールによりＨＶ１４に通信信号を渡す（Ｓ１２）。ＨＶ１４のイベント受信部２６は、宛先ＶＭ（ここではＶＭ１８）と割込番号を解決する（Ｓ１４）。ＨＶ１４の仮想通信部２８は、割込みによりＶＭ１８に通信信号を渡す（Ｓ１６）。
ＶＭ１８の通信ハンドラ３０は、ＨＶ１４から渡された通信信号をもとに、ＶＭ１６が共有メモリに格納した通信ペイロードを読み出す（Ｓ１８）。ＶＭ１８のアプリケーション（通信受信部３４）は、転送部３２を介して通信データを受け付け、その通信データに基づく処理を実行する（Ｓ２０）。ＶＭ１８の検知部３８は、転送部３２により生成された転送パラメータを受け付け、その転送パラメータに基づいて異常を検知する（Ｓ２２）。
図７は、転送部３２の動作を示すフローチャートである。受付部４４は、ＨＶ１４から渡された通信信号の内容と、共有メモリから読み出された通信ペイロードの内容とを含む通信データを通信ハンドラ３０から受け付ける。また、受付部４４は、対応部４０から送信された、セキュリティポリシの更新要求を含む通信データを受け付ける（Ｓ３０）。
通信データがセキュリティポリシの更新要求でなければ（Ｓ３２のＮ）、ポリシ強制部４６は、通信データがセキュリティポリシを満たすか否かを判定する。通信データがセキュリティポリシを満たすものであれば（Ｓ３４のＹ）、データ転送部４８は、通信データを上位のアプリケーション（通信受信部３４）に渡す（Ｓ３６）。パラメータ生成部５０は、通信データをもとに転送パラメータを生成する（Ｓ３８）。パラメータ送信部５２は、通信ハンドラ３６を介して、転送パラメータを検知部３８に渡す（Ｓ４０）。
通信データがセキュリティポリシに違反するものであれば（Ｓ３４のＮ）、ポリシ強制部４６は、所定の防御処理を実行し、例えば通信データを破棄する（Ｓ４２）。通信データがセキュリティポリシの更新要求であれば（Ｓ３２のＹ）、ポリシ更新部５４は、通信データのフィルタリングに適用されるセキュリティポリシを更新する（Ｓ４４）。転送部３２は、通信データを受け付けるたびに本図に記載の処理を繰り返し実行する。
図８は、検知部３８と対応部４０の動作を示すフローチャートである。システム開始時（例えば車両１０の電源オン時）、検知部３８は、管理テーブルを初期化する（Ｓ５０）。検知部３８は、通信ハンドラ３６を介して、転送部３２により生成された転送パラメータを受信すると（Ｓ５２のＹ）、管理テーブルを更新する（Ｓ５４）。転送パラメータに対応する通信パターンの通信頻度が所定の閾値を超えた場合等、異常検知の条件を満たした場合（Ｓ５６のＹ）、対応部４０は、所定の防御処理を実行する（Ｓ５８）。例えば、対応部４０は、転送部３２によるフィルタリング処理に適用されるセキュリティポリシを更新する。
異常検知の条件を満たさなければ（Ｓ５６のＮ）、Ｓ５８の処理はスキップされる。検知部３８が転送パラメータを未受信であれば（Ｓ５２のＮ）、Ｓ５４～Ｓ５８の処理はスキップされる。システムの終了条件が満たされなければ（例えば車両１０の電源オンが維持されていれば）（Ｓ６０のＮ）、Ｓ５２に戻る。システムの終了条件が満たされると（例えば車両１０の電源がオフに切り替えられると）（Ｓ６０のＹ）、本図のフローを終了する。
ＶＭ間の正常な通信経路を悪用するプロセスが存在する場合、データ量や制御パターンが変化するが、実施例のＥＣＵ１２は、このことを利用して異常を検知する。これにより、ＶＭ間通信における異常を効率的に検知することができる。また、実施例のＥＣＵ１２によると、検知した異常な通信への対策を実行することで、ＥＣＵ１２および車両１０の安全性を高めることができる。また、実施例のＥＣＵ１２によると、異常な通信が検知されたことに基づいて、通信データの転送に関するセキュリティポリシを適切に更新しやすくなる。
以上、本開示を実施例をもとに説明した。この実施例は例示であり、実施例の各構成要素あるいは各処理プロセスの組合せにいろいろな変形例が可能なこと、またそうした変形例も本開示の範囲にあることは当業者に理解されるところである。
第１変形例を説明する。図９は、第１変形例のＥＣＵ１２の機能ブロックを示すブロック図である。第１変形例のＥＣＵ１２の機能ブロックのうち実施例のＥＣＵ１２の機能ブロックに同一または対応する機能ブロックには、実施例と同一の符号を付している。以下、実施例で説明済みの内容は再度の説明を省略し、主に実施例と異なる点を説明する。
第１変形例のＥＣＵ１２は、ＶＭ間通信を中継するゲートウェイ（ＧＷ）機能を提供するＶＭ６０をさらに備える。ＶＭ６０は、通信ハンドラ６２、イベント生成部６４、転送部３２を含む。また、攻撃される側のＶＭ１８（ＡＤＡＳ）は、通信ハンドラ３０、通信受信部３４、検知部３８、対応部４０を含む。
ＶＭ６０の転送部３２は、ＨＶ１４を介して、ＶＭ１６から送信されたＶＭ１８宛の通信データを受け付ける。転送部３２は、その通信データをＨＶ１４を介してＶＭ１８へ転送する。ＶＭ１８のアプリケーションは、ＶＭ１６から送信されたＶＭ１８宛の通信データを通信受信部３４にて受信し、その通信データに基づく処理を実行する。
また、ＶＭ６０の転送部３２は、受け付けたＶＭ１８宛の通信データをもとに転送パラメータを生成する。転送部３２は、その転送パラメータをＨＶ１４を介してＶＭ１８へ送信する。ＶＭ１８の検知部３８は、ＶＭ６０から送信された転送パラメータをもとに異常な通信を検知する。異常な通信が検知された場合、ＶＭ１８の対応部４０は、転送部３２のセキュリティポリシを更新する等、異常な通信への対策を実行する。第１変形例のＥＣＵ１２も実施例のＥＣＵ１２と同様の効果を奏する。
第２変形例を説明する。図１０は、第２変形例のＥＣＵ１２の機能ブロックを示すブロック図である。第２変形例のＥＣＵ１２の機能ブロックのうち実施例のＥＣＵ１２の機能ブロックに同一または対応する機能ブロックには、実施例と同一の符号を付している。以下、実施例で説明済みの内容は再度の説明を省略し、主に実施例と異なる点を説明する。
第２変形例のＥＣＵ１２は、ＩＤＳ（Intrusion Detection System）機能を提供するＶＭ７０をさらに備える点、および、ＨＶ１４が転送部３２を備える点で実施例のＥＣＵ１２と異なる。ＶＭ７０（ＩＤＳ）は、通信ハンドラ７２、検知部３８、対応部４０を含む。また、攻撃される側のＶＭ１８（ＡＤＡＳ）は、通信ハンドラ３０と通信受信部３４を含む。
ＨＶ１４の転送部３２は、ＶＭ１６から送信されたＶＭ１８宛の通信データ（通信信号）を受け付ける。転送部３２は、その通信データ（通信信号）をＶＭ１８に渡す。ＶＭ１８の通信ハンドラ３０は、通信信号をもとに通信ペイロードを共有メモリから読み出す。ＶＭ１８のアプリケーションは、通信ペイロードを含む通信データを通信受信部３４にて受信し、その通信データに基づく処理を実行する。
ＨＶ１４の転送部３２は、通信信号をもとに通信ペイロードを共有メモリから読み出す。転送部３２は、通信信号と通信ペイロードを含む通信データをもとに転送パラメータを生成し、その転送パラメータをＶＭ７０へ送信する。ＶＭ７０の検知部３８は、ＨＶ１４から送信された転送パラメータをもとに異常な通信を検知する。異常な通信が検知された場合、ＶＭ７０の対応部４０は、転送部３２のセキュリティポリシを更新する等、異常な通信への対策を実行する。第２変形例のＥＣＵ１２も実施例のＥＣＵ１２と同様の効果を奏する。
第３変形例を説明する。図１１は、第３変形例のＥＣＵ１２の機能ブロックを概略的に示すブロック図である。第３変形例のＥＣＵ１２は、認証等、セキュリティ関連の処理を専門に実行するセキュアワールド部８０をさらに備える。セキュアワールド部８０は、検知部３８と対応部４０を備える。
ＨＶ１４、ＶＭ１６、ＶＭ１８の実行環境は、ノーマルワールドとも呼ばれるが、ノーマルワールドのプロセスは、セキュアワールド部８０が定めるＡＰＩ（Application Programming Interface）をコールすることでのみセキュアワールド部８０のプロセスにアクセスできる。図１１に示すＥＣＵ１２の構成は、図１０に示した第２変形例のＶＭ７０（ＩＤＳ）をセキュアワールド部８０に置き換えたものと捉えることもできる。
攻撃を受ける側のＶＭ１８の転送部３２は、受け付けたＶＭ１８宛の通信データをもとに転送パラメータを生成する。転送部３２は、その転送パラメータをＨＶ１４を介してセキュアワールド部８０へ送信する。例えば、ＨＶ１４は、転送パラメータを引数としてセキュアワールド部８０の所定のＡＰＩをコールすることにより、セキュアワールド部８０の検知部３８に転送パラメータを渡す。
セキュアワールド部８０の検知部３８は、ＶＭ１８から送信された転送パラメータをもとに異常な通信を検知する。異常な通信が検知された場合、セキュアワールド部８０の対応部４０は、ＶＭ１８の転送部３２のセキュリティポリシを更新する等、異常な通信への対策を実行する。第３変形例のＥＣＵ１２も実施例のＥＣＵ１２と同様の効果を奏する。
実施例および第１変形例～第３変形例で示したように、転送部３２（パラメータ生成部５０を含む）は、攻撃の入口となるＶＭ１６より信頼度が高い実行環境に実装されることが望ましい。既述したように、ＶＭ１６は、ＴＣＵとして車両１０外部の機器と通信するため、攻撃の入口となりやすく、相対的に信頼度が低い。一方で、ＶＭ１８（ＡＤＡＳ）やＶＭ６０（ＧＷ）、ＨＶ１４は、車両１０外部の機器との直接のインタフェースを持たないため、相対的に信頼度が高い。
したがって、異常な通信を検知する基となる転送パラメータを生成する転送部３２は、ＶＭ１８（ＡＤＡＳ）に実装され（実施例および第３変形例）、またはＶＭ６０（ＧＷ）に実装され（第１変形例）、またはＨＶ１４に実装される（第２変形例）ことが望ましい。これにより、転送部３２が攻撃されて異常検知の精度および正確度が低下してしまうことを防止しやすくなる。
また、実施例および第１変形例～第３変形例で示したように、検知部３８と対応部４０は、攻撃の入口となるＶＭ１６より信頼度が高い実行環境に実装されることが望ましい。既述したように、ＶＭ１６は、ＴＣＵとして車両１０外部の機器と通信するため、攻撃の入口となりやすく、相対的に信頼度が低い。一方で、ＶＭ１８（ＡＤＡＳ）やＶＭ７０（ＩＤＳ）、セキュアワールド部８０は、車両１０外部の機器との直接のインタフェースを持たないため、相対的に信頼度が高い。
したがって、異常な通信を検知する検知部３８と、異常な通信への対策を実行する対応部４０は、ＶＭ１８（ＡＤＡＳ）に実装され（実施例、第１変形例）、またはＶＭ７０（ＩＤＳ）に実装され（第２変形例）、またはセキュアワールド部８０に実装される（第３変形例）ことが望ましい。これにより、検知部３８が攻撃されて異常検知の精度および正確度が低下してしまうことを防止しやすくなる。また、対応部４０が攻撃されて異常に対する適切な対策が取れなくなることを防止しやすくなる。
第４変形例を説明する。図１２は、第４変形例のＥＣＵ１２の機能ブロックを示すブロック図である。第４変形例のＥＣＵ１２は、ＨＶ１４、ＶＭ１６、ＶＭ１８に加えて、第３変形例のセキュアワールド部８０に対応するセキュアＯＳ８２とセキュアモニタ８６を備える。セキュアＯＳ８２とセキュアモニタ８６は、仮想化ソフトウェア（例えばＨＶ１４、ＶＭ１６、ＶＭ１８）より信頼度が高い実行環境である。
セキュアＯＳ８２は、所定の保護処理を実行する保護処理部８４を備える。保護処理は、外部から不正に取得されることを防止すべき情報等を扱う処理であって、また、仮想化ソフトウェアより限定された権限で実行されるべき処理である。例えば、保護処理は、保護された鍵を用いた暗号化処理および復号処理を含んでもよい。
ＶＭ１６は、保護処理要求部９０を含み、ＨＶ１４は、保護処理要求受信部９２を含み、セキュアモニタ８６は、保護処理要求転送部８８を含む。ＶＭ１６の保護処理要求部９０は、通信要求部２０（すなわちＶＭ１６で動作するアプリケーション）の要求に応じて、保護処理の要求をＨＶ１４へ出力する。ＨＶ１４の保護処理要求受信部９２は、保護処理の要求をＶＭ１６から受信し、セキュアモニタ８６のＡＰＩをコールすることにより、保護処理の要求をセキュアモニタ８６に渡す。セキュアモニタ８６の保護処理要求転送部８８は、ＨＶ１４から受け付けた保護処理の要求をセキュアＯＳ８２の保護処理部８４へ転送する。セキュアＯＳ８２の保護処理部８４は、保護処理要求転送部８８から転送された要求に応じて保護処理を実行する。保護処理部８４は、保護処理の実行結果（例えば暗号化データや復号後の平文データ）を通信要求部２０（すなわちＶＭ１６で動作するアプリケーション）に戻してもよい。
ＶＭ１８の対応部４０は、検知部３８によって異常が検知された場合、ＶＭ１６からの要求に応じた保護処理部８４における保護処理の実行を阻止する。本変形例では、対応部４０は、検知部３８によって異常が検知された場合、ＶＭ１６から出力された保護処理の要求をセキュアモニタ８６に渡さないよう指示する信号、言い換えれば、ＶＭ１６から出力された保護処理の要求をブロックするよう指示する信号を保護処理要求受信部９２へ送信する。
本変形例によると、検知部３８によって異常が検知された場合、すなわち、保護処理の要求元の状態が異常と判断された場合に、保護処理部８４に対する保護処理の要求をブロックする。これにより、保護処理部８４に不正なデータが入力され、不正なデータに基づく保護処理が実行されてしまうこと等を防止でき、ＥＣＵ１２の安全性を一層高めることができる。
第５変形例を説明する。図１３は、第５変形例の管理テーブルを示す。管理テーブルの各レコードが定める通信パターンは、１つまたは複数のＶＭを含むグループ間での通信パターンである。図１３に示すグループ１は、図５に示すＶＭ１とＶＭ２を含む。また、図１３に示すグループ２は、図５に示すＶＭ３を含む。検知部３８は、複数のＶＭと複数のグループとの対応関係を保持する。検知部３８は、転送パラメータを受け付けると、転送パラメータが示す送信元ＶＭが所属する送信元グループ、転送パラメータが示す宛先ＶＭが所属する送信元グループ、転送パラメータが示す要求番号、割込番号、通信種別に一致するレコードを特定し、そのレコードの統計情報（例えば頻度）を更新して、異常な通信か否かを判定する。
この変形例によると、複数のＶＭを含むグループ単位で通信の統計情報を生成し、また、グループ単位で異常を検知することができる。例えば、パワートレイン、ボディー、シャシー、車載情報機器等のドメインごとにＶＭをグループ化することで、ドメイン単位で通信の統計情報を生成し、また、ドメイン単位で異常を検知することができる。更なる変形態様として、（１）ＶＭ ＩＤごと（送信元ＶＭと宛先ＶＭの組み合わせであり、要求番号と割込番号を含まない）、（２）通信種別ごと、（３）各ＶＭ上のアプリケーション（アプリケーションＩＤ）ごと、（４）プロセスＩＤごと、または（５）セッションＩＤごとにグループ化してもよい。
第６変形例を説明する。図１４は、第６変形例の検知部３８の構成を示す。検知部３８は、異常検知部３８ａと解析部３８ｂを含む。異常検知部３８ａは、実施例の検知部３８に対応し、転送部３２から送信された転送パラメータをもとに異常な通信を検知する。一方、解析部３８ｂは、異常検知部３８ａにより異常な通信が検知された場合に、転送部３２から送信されたＶＭ１８宛の通信データを解析する。
第６変形例では、異常検知部３８ａ（または対応部４０）は、異常な通信を検知した場合に、そのことを転送部３２へ通知してもよい。この通知を受けた転送部３２は、通信ペイロードを含む通信データを解析部３８ｂへ送信してもよい。解析部３８ｂは、予め定められた規則や攻撃パターンにしたがって、通信ペイロードに異常な内容があればそのことを検知する。対応部４０は、解析部３８ｂによる解析結果や検知結果をもとに、所定の防御処理を実行する。例えば、転送部３２が保持するセキュリティポリシを更新してもよく、また、解析部３８ｂによる解析結果や検知結果をログに記録し、またはサーバに保存してもよい。
この変形例によると、転送パラメータをもとに異常な通信が検知された場合に通信データそのものを解析することで、処理負荷の増加を抑えつつ、異常な通信に関する更なる情報を得やすくなる。
第７変形例を説明する。ＶＭ１６のイベント生成部２２は、ＶＭ１６における様々なイベントの情報を、通信イベントと同様に、ＨＶ１４を介してＶＭ１８へ通知してもよい。様々なイベントは、例えば、ＵＳＢ機器が接続されたことを示すイベントや、オーディオ機能がオンにされたことを示すイベントを含んでもよい。例えば、ＵＳＢデバイスが接続状態の場合にＵＳＢ用の通信が増加するのは正常な通信であるが、ＵＳＢデバイスが未接続の場合にＵＳＢ用の通信が増加するのは異常な通信であると検知してもよい。また、イベントの種別を示す情報は、通信種別（プロトコル種別）として設定されてもよい。この場合、ＶＭ１８の検知部３８は、ＶＭ１６から送信された通信データに、不正な通信種別が設定されている場合、異常な通信であると検知してもよい。例えば、ＶＭ１６がＴＣＵ機能を提供するものである場合、通信種別がＵＳＢイベントやオーディオイベントを示す値であるときに、不正な通信種別であると判定してもよい。また、例えば、ＶＭ１６からのファイルオープン要求や、オープンされるファイルの種類に応じてＢｌｏｃｋＤｅｖｉｃｅの通信が増加する場合、ファイルに応じた通信速度を閾値に正常または異常と判定してもよい。
実施例および上記変形例では、物理ＥＣＵとして１つのＥＣＵ１２を示したが、ＨＶ１４、ＶＭ１６、ＶＭ１８等は、複数の物理ＥＣＵにより実現されてもよい。すなわち、複数の物理ＥＣＵが連携するシステムにおいて実施例および上記変形例に記載したＨＶ、ＶＭの機能が発揮されてよい。
上述した実施例および変形例の任意の組み合わせもまた本開示の実施の形態として有用である。組み合わせによって生じる新たな実施の形態は、組み合わされる実施例および変形例それぞれの効果をあわせもつ。また、請求項に記載の各構成要件が果たすべき機能は、実施例および変形例において示された各構成要素の単体もしくはそれらの連携によって実現されることも当業者には理解されるところである。
実施例および変形例に記載の技術は、以下の項目によって特定されてもよい。
［項目１］
仮想化ソフトウェアにより第１のＶＭ（Virtual Machine）と第２のＶＭが動作する装置であって、
前記第１のＶＭから送信された前記第２のＶＭ宛の通信データを受け付ける受付部と、
前記受付部により受け付けられた通信データをもとにＶＭ間の通信に関するパラメータを生成する生成部と、
前記生成部により生成されたパラメータをもとに異常な通信を検知する検知部と、
を備える情報処理装置。
この情報処理装置によると、ＶＭ間通信における異常を効率的に検知することができる。
［項目２］
前記検知部は、前記生成部により生成された前記パラメータに基づいて、前記ＶＭ間の通信が所定の条件を満たしていると判定した場合に、異常な通信であると検知する、
項目１に記載の情報処理装置。
この情報処理装置によると、ＶＭ間通信における異常を効率的に検知することができる。
［項目３］
前記受付部により受け付けられた通信データを、前記パラメータに関するポリシを含む所定のセキュリティポリシにしたがって前記第２のＶＭのアプリケーションに転送するデータ転送部をさらに備える、
項目１または２に記載の情報処理装置。
この情報処理装置によると、ＶＭ間通信の安全性を高めることができる。
［項目４］
前記検知部による検知結果に応じて、前記異常な通信への対策を実行する対応部をさらに備える、
項目１から３のいずれかに記載の情報処理装置。
この情報処理装置によると、検知された異常な通信への対策（例えば防御処理）を実行することで、安全性を高めることができる。
［項目５］
前記受付部により受け付けられた通信データを、前記パラメータに関するポリシを含む所定のセキュリティポリシにしたがって前記第２のＶＭのアプリケーションに転送するデータ転送部と、
前記検知部による検知結果に応じて、前記データ転送部のセキュリティポリシを更新する対応部と、をさらに備える、
項目１または２に記載の情報処理装置。
この情報処理装置によると、異常な通信が検知されたことに基づいて、通信データの転送に関するセキュリティポリシを適切に更新することができる。
［項目６］
前記生成部は、前記第１のＶＭより信頼度が高い実行環境に実装される、
項目１から５のいずれかに記載の情報処理装置。
この情報処理装置によると、生成部が攻撃されて異常検知の精度と正確度が低下してしまうことを防止しやすくなる。
［項目７］
前記検知部は、前記第１のＶＭより信頼度が高い実行環境に実装される、
項目１から６のいずれかに記載の情報処理装置。
この情報処理装置によると、検知部が攻撃されて異常検知の精度と正確度が低下してしまうことを防止しやすくなる。
［項目８］
前記検知部により異常な通信が検知された場合に、前記第２のＶＭ宛の通信データを解析する解析部をさらに備える、
項目１から７のいずれかに記載の情報処理装置。
この情報処理装置によると、パラメータをもとに異常な通信が検知された場合に通信データそのものを解析することで、処理負荷の増加を抑えつつ、異常な通信に関する更なる情報を得やすくなる。
［項目９］
前記生成部は、前記パラメータとして、前記第１のＶＭのＩＤと前記第２のＶＭのＩＤとを含むパラメータを生成する、
項目１から８のいずれかに記載の情報処理装置。
この情報処理装置によると、ＶＭ間通信における異常を効率的かつ精度よく検知することができる。
［項目１０］
前記仮想化ソフトウェアより信頼度が高い実行環境に実装され、所定の保護処理を実行する保護処理部をさらに備え、
前記対応部は、前記検知部によって異常が検知された場合、前記第１のＶＭからの要求に応じた前記保護処理部における前記保護処理の実行を阻止する、
項目４または５に記載の情報処理装置。
この情報処理装置によると、装置の安全性を高めることができる。
［項目１１］
仮想化ソフトウェアにより第１のＶＭ（Virtual Machine）と第２のＶＭが動作する装置が、
前記第１のＶＭから送信された前記第２のＶＭ宛の通信データを受け付け、
受け付けた通信データをもとにＶＭ間の通信に関するパラメータを生成し、
生成したパラメータをもとに異常な通信を検知する、
異常検知方法。
この異常検知方法によると、ＶＭ間通信における異常を効率的に検知することができる。
［項目１２］
仮想化ソフトウェアにより第１のＶＭ（Virtual Machine）と第２のＶＭが動作する装置に、
前記第１のＶＭから送信された前記第２のＶＭ宛の通信データを受け付け、
受け付けた通信データをもとにＶＭ間の通信に関するパラメータを生成し、
生成したパラメータをもとに異常な通信を検知する、
ことを実行させるためのコンピュータプログラム。
このコンピュータプログラムによると、ＶＭ間通信における異常を効率的に検知することができる。
１０ 車両、 １２ ＥＣＵ、 １４ ＨＶ、 １６ ＶＭ、 １８ ＶＭ、 ３２ 転送部、 ３８ 検知部、 ３８ｂ 解析部、 ４０ 対応部、 ４４ 受付部、 ４８ データ転送部。

Claims (12)

  1. 仮想化ソフトウェアにより第１のＶＭ（Virtual Machine）と第２のＶＭが動作する装置であって、
    前記第１のＶＭと前記第２のＶＭとを動作させるＨＶ（Hyper Visor）と、
    前記第１のＶＭと前記第２のＶＭがアクセス可能な共有メモリと、を有し、
    前記第１のＶＭは、前記第２のＶＭへ渡される内容である通信ペイロードと、前記第１のＶＭと前記第２のＶＭとの間の通信の制御のための制御情報である通信信号と、を包含した通信データを前記第２のＶＭに送信し、
    前記第２のＶＭは、
    前記第１のＶＭから送信された前記第２のＶＭ宛の通信データを受け付ける受付部と、
    前記受付部により受け付けられた通信データをもとにＶＭ間の通信に関するパラメータを生成する生成部と、
    前記生成部により生成されたパラメータをもとに異常な通信を検知する検知部と、
    を備え、
    前記生成部は、前記通信信号の送信元ＶＭの識別子と、前記通信信号の宛先ＶＭの識別子と、前記通信信号の要求番号と、前記通信信号の割込番号と、前記通信信号のプロトコル番号のうち二つ以上の情報をもとに前記パラメータを生成し、
    前記第１のＶＭが前記通信信号を前記ＨＶを介して前記第２のＶＭに送信し、前記第１のＶＭが前記共有メモリに格納した前記通信ペイロードを前記第２のＶＭが読み込むことで、前記第１のＶＭから前記第２のＶＭへ前記通信データが送信される、
    情報処理装置。
  2. 前記検知部は、前記生成部により生成された前記パラメータに基づいて、前記ＶＭ間の通信が所定の条件を満たしていると判定した場合に、異常な通信であると検知する、
    請求項１に記載の情報処理装置。
  3. 前記受付部により受け付けられた通信データを、前記パラメータに関するポリシを含む所定のセキュリティポリシにしたがって前記第２のＶＭのアプリケーションに転送するデータ転送部をさらに備える、
    請求項１または２に記載の情報処理装置。
  4. 前記検知部による検知結果に応じて、前記異常な通信への対策を実行する対応部をさらに備える、
    請求項１から３のいずれかに記載の情報処理装置。
  5. 前記受付部により受け付けられた通信データを、前記パラメータに関するポリシを含む所定のセキュリティポリシにしたがって前記第２のＶＭのアプリケーションに転送するデータ転送部と、
    前記検知部による検知結果に応じて、前記データ転送部のセキュリティポリシを更新する対応部と、をさらに備える、
    請求項１または２に記載の情報処理装置。
  6. 前記生成部は、前記第１のＶＭより信頼度が高い実行環境に実装される、
    請求項１から５のいずれかに記載の情報処理装置。
  7. 前記検知部は、前記第１のＶＭより信頼度が高い実行環境に実装される、
    請求項１から６のいずれかに記載の情報処理装置。
  8. 前記検知部により異常な通信が検知された場合に、前記第２のＶＭ宛の通信データを解析する解析部をさらに備える、
    請求項１から７のいずれかに記載の情報処理装置。
  9. 前記生成部は、前記パラメータとして、前記第１のＶＭのＩＤと前記第２のＶＭのＩＤとを含むパラメータを生成する、
    請求項１から８のいずれかに記載の情報処理装置。
  10. 前記仮想化ソフトウェアより信頼度が高い実行環境に実装され、所定の保護処理を実行する保護処理部をさらに備え、
    前記対応部は、前記検知部によって異常が検知された場合、前記第１のＶＭからの要求に応じた前記保護処理部における前記保護処理の実行を阻止する、
    請求項４または５に記載の情報処理装置。
  11. 仮想化ソフトウェアにより第１のＶＭ（Virtual Machine）と第２のＶＭが動作する装置において実行される異常検知方法であって、
    前記装置は、前記第１のＶＭと前記第２のＶＭとを動作させるＨＶ（Hyper Visor）と、前記第１のＶＭと前記第２のＶＭがアクセス可能な共有メモリと、を有するものであり、
    前記第１のＶＭは、前記第２のＶＭへ渡される内容である通信ペイロードと、前記第１のＶＭと前記第２のＶＭとの間の通信の制御のための制御情報である通信信号と、を包含した通信データを前記第２のＶＭに送信し、
    前記第２のＶＭは、
    前記第１のＶＭから送信された前記第２のＶＭ宛の通信データを受け付ける処理と、
    受け付けた通信データをもとにＶＭ間の通信に関するパラメータを生成する処理と、
    生成したパラメータをもとに異常な通信を検知する処理と、を実行し、
    前記生成する処理は、前記通信信号の送信元ＶＭの識別子と、前記通信信号の宛先ＶＭの識別子と、前記通信信号の要求番号と、前記通信信号の割込番号と、前記通信信号のプロトコル番号のうち二つ以上の情報をもとに前記パラメータを生成し、
    前記第１のＶＭが前記通信信号を前記ＨＶを介して前記第２のＶＭに送信し、前記第１のＶＭが前記共有メモリに格納した前記通信ペイロードを前記第２のＶＭが読み込むことで、前記第１のＶＭから前記第２のＶＭへ前記通信データが送信される、
    異常検知方法。
  12. 仮想化ソフトウェアにより第１のＶＭ（Virtual Machine）と第２のＶＭが動作する装置において実行されるコンピュータプログラムであって、
    前記装置は、前記第１のＶＭと前記第２のＶＭとを動作させるＨＶ（Hyper Visor）と、前記第１のＶＭと前記第２のＶＭがアクセス可能な共有メモリと、を有するものであり、
    前記コンピュータプログラムは、前記第２のＶＭへ渡される内容である通信ペイロードと、前記第１のＶＭと前記第２のＶＭとの間の通信の制御のための制御情報である通信信号と、を包含した通信データを前記第２のＶＭに送信する処理を前記第１のＶＭに実行させ、
    前記コンピュータプログラムは、
    前記第１のＶＭから送信された前記第２のＶＭ宛の通信データを受け付ける処理と、
    受け付けた通信データをもとにＶＭ間の通信に関するパラメータを生成する処理と、
    生成したパラメータをもとに異常な通信を検知する処理と、を前記第２のＶＭに実行させ、
    前記生成する処理は、前記通信信号の送信元ＶＭの識別子と、前記通信信号の宛先ＶＭの識別子と、前記通信信号の要求番号と、前記通信信号の割込番号と、前記通信信号のプロトコル番号のうち二つ以上の情報をもとに前記パラメータを生成し、
    前記第１のＶＭが前記通信信号を前記ＨＶを介して前記第２のＶＭに送信し、前記第１のＶＭが前記共有メモリに格納した前記通信ペイロードを前記第２のＶＭが読み込むことで、前記第１のＶＭから前記第２のＶＭへ前記通信データが送信される、
    コンピュータプログラム。
JP2019220119A 2019-12-05 2019-12-05 情報処理装置、異常検知方法およびコンピュータプログラム Active JP7411895B2 (ja)

Priority Applications (5)

Application Number Priority Date Filing Date Title
JP2019220119A JP7411895B2 (ja) 2019-12-05 2019-12-05 情報処理装置、異常検知方法およびコンピュータプログラム
CN202080084034.7A CN114868365B (zh) 2019-12-05 2020-09-08 信息处理装置、异常检测方法以及计算机程序
DE112020005949.9T DE112020005949T5 (de) 2019-12-05 2020-09-08 Informationsverarbeitungsvorrichtung, Anomalieerfassungsverfahren und Computerprogramm
PCT/JP2020/033896 WO2021111692A1 (ja) 2019-12-05 2020-09-08 情報処理装置、異常検知方法およびコンピュータプログラム
US17/830,104 US20220291944A1 (en) 2019-12-05 2022-06-01 Information processing device, anomaly detection method, and computer-readable recording medium

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2019220119A JP7411895B2 (ja) 2019-12-05 2019-12-05 情報処理装置、異常検知方法およびコンピュータプログラム

Publications (2)

Publication Number Publication Date
JP2021090160A JP2021090160A (ja) 2021-06-10
JP7411895B2 true JP7411895B2 (ja) 2024-01-12

Family

ID=76220495

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2019220119A Active JP7411895B2 (ja) 2019-12-05 2019-12-05 情報処理装置、異常検知方法およびコンピュータプログラム

Country Status (5)

Country Link
US (1) US20220291944A1 (ja)
JP (1) JP7411895B2 (ja)
CN (1) CN114868365B (ja)
DE (1) DE112020005949T5 (ja)
WO (1) WO2021111692A1 (ja)

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN118511489A (zh) * 2022-01-14 2024-08-16 松下电器（美国）知识产权公司 异常检测装置以及异常检测方法
WO2023238444A1 (ja) * 2022-06-10 2023-12-14 パナソニックＩｐマネジメント株式会社 監視装置及び監視方法
CN115981286A (zh) * 2023-02-02 2023-04-18 浙江迪捷软件科技有限公司 基于虚拟仿真平台实现汽车的虚拟标定方法和装置
CN116866154B (zh) * 2023-09-05 2023-11-28 湖北华中电力科技开发有限责任公司 一种基于虚拟机集群的配电网通讯服务智能调度管理系统

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2013242644A (ja) 2012-05-18 2013-12-05 Panasonic Corp 仮想計算機システム、制御方法、およびプログラム
JP2017174158A (ja) 2016-03-24 2017-09-28 日本電気株式会社 監視システム、監視方法および監視プログラム
WO2018221118A1 (ja) 2017-06-01 2018-12-06 株式会社Ｓｅｌｔｅｃｈ 仮想ネットワークシステム、および仮想ネットワークシステムの通信方法
JP2019066995A (ja) 2017-09-29 2019-04-25 株式会社Ｓｅｌｔｅｃｈ セキュアモードとノンセキュアモードとを選択的に切り替え可能なシステム

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP5522160B2 (ja) 2011-12-21 2014-06-18 トヨタ自動車株式会社 車両ネットワーク監視装置
US9571507B2 (en) * 2012-10-21 2017-02-14 Mcafee, Inc. Providing a virtual security appliance architecture to a virtual cloud infrastructure

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2013242644A (ja) 2012-05-18 2013-12-05 Panasonic Corp 仮想計算機システム、制御方法、およびプログラム
JP2017174158A (ja) 2016-03-24 2017-09-28 日本電気株式会社 監視システム、監視方法および監視プログラム
WO2018221118A1 (ja) 2017-06-01 2018-12-06 株式会社Ｓｅｌｔｅｃｈ 仮想ネットワークシステム、および仮想ネットワークシステムの通信方法
JP2019066995A (ja) 2017-09-29 2019-04-25 株式会社Ｓｅｌｔｅｃｈ セキュアモードとノンセキュアモードとを選択的に切り替え可能なシステム

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
安齋 潤, 他，自動走行車向け侵入検知・防衛システムに関する提案，２０１８年 暗号と情報セキュリティシンポジウム概要集，日本，電子情報通信学会，2018年01月23日，pp.1-6

Also Published As

Publication number Publication date
DE112020005949T5 (de) 2022-09-29
US20220291944A1 (en) 2022-09-15
CN114868365A (zh) 2022-08-05
CN114868365B (zh) 2024-05-31
WO2021111692A1 (ja) 2021-06-10
JP2021090160A (ja) 2021-06-10

Similar Documents

Publication Publication Date Title
JP7411895B2 (ja) 情報処理装置、異常検知方法およびコンピュータプログラム
US10528726B1 (en) Microvisor-based malware detection appliance architecture
JP7194396B2 (ja) セキュアロックダウンを実装するように構成された関連装置を有する特別にプログラムされたコンピューティングシステムおよびその使用方法
KR102301721B1 (ko) 다수의 네트워크 종점들을 보호하기 위한 듀얼 메모리 인트로스펙션
US10642753B1 (en) System and method for protecting a software component running in virtual machine using a virtualization layer
US11979428B1 (en) Technique for verifying exploit/malware at malware detection appliance through correlation with endpoints
US10726127B1 (en) System and method for protecting a software component running in a virtual machine through virtual interrupts by the virtualization layer
CN105302092B (zh) 基于最小特权的过程控制软件安全架构
WO2016109042A1 (en) Microvisor-based malware detection endpoint architecture
EP3095058A1 (en) Exploit detection system with threat-aware microvisor
EP3291119B1 (en) Automotive monitoring and security system
US20230289204A1 (en) Zero Trust Endpoint Device
US20230365162A1 (en) Computer system for providing a plurality of functions for a device, in particular for a vehicle, by separation of a plurality of zones
US12116002B2 (en) Information processing apparatus, information processing method, and recording medium
US20240168793A1 (en) Methods and Systems for Checking Container Applications on a Host System for Manipulation
EP3113066B1 (en) Computer security architecture and related computing method
Weiß System Architectures to Improve Trust, Integrity and Resilience of Embedded Systems
Fitz et al. SECURITY OF CONTROL COMPUTERS

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20220607

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20230725

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20230911

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20231205

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20231213

R151 Written notification of patent or utility model registration

Ref document number: 7411895

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R151

S111 Request for change of ownership or part of ownership

Free format text: JAPANESE INTERMEDIATE CODE: R313113

SZ03 Written request for cancellation of trust registration

Free format text: JAPANESE INTERMEDIATE CODE: R313Z03

R350 Written notification of registration of transfer

Free format text: JAPANESE INTERMEDIATE CODE: R350

R350 Written notification of registration of transfer

Free format text: JAPANESE INTERMEDIATE CODE: R350