WO2017183099A1 - 中継装置 - Google Patents

中継装置 Download PDF

Info

Publication number
WO2017183099A1
WO2017183099A1 PCT/JP2016/062330 JP2016062330W WO2017183099A1 WO 2017183099 A1 WO2017183099 A1 WO 2017183099A1 JP 2016062330 W JP2016062330 W JP 2016062330W WO 2017183099 A1 WO2017183099 A1 WO 2017183099A1
Authority
WO
WIPO (PCT)
Prior art keywords
message
unit
database
decoy
fuzzing
Prior art date
Application number
PCT/JP2016/062330
Other languages
English (en)
French (fr)
Inventor
佑太 和田
政明 武安
大紀 川上
三喜也 吉田
Original Assignee
三菱電機株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 三菱電機株式会社 filed Critical 三菱電機株式会社
Priority to US16/078,538 priority Critical patent/US10785259B2/en
Priority to JP2018512673A priority patent/JP6391889B2/ja
Priority to PCT/JP2016/062330 priority patent/WO2017183099A1/ja
Priority to CN201680084503.9A priority patent/CN109076011B/zh
Publication of WO2017183099A1 publication Critical patent/WO2017183099A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1475—Passive attacks, e.g. eavesdropping or listening without modification of the traffic monitored
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/66—Arrangements for connecting between networks having differing types of switching systems, e.g. gateways
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1491—Countermeasures against malicious traffic using deception as countermeasure, e.g. honeypots, honeynets, decoys or entrapment
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks

Definitions

  • the present invention relates to a relay device mounted on an automobile or a vehicle.
  • Patent Document 1 a normal state (white list) of a device is defined, and detection is performed by an anomaly type intrusion detection technology that attacks an object that deviates from the white list.
  • Non-Patent Document 1 a known attack procedure is ruled (blacklisted), and detection is performed using a signature-type intrusion detection technique that attacks those that match the blacklist.
  • Patent Document 2 when fuzzing is detected, a report indicating that a vulnerability is being searched is sent to an administrator or the like, or a function is restricted for a device that is being searched for a vulnerability. is doing.
  • the embedded information processing equipment targeted by the present invention includes automobile and factory production systems. Since these embedded information processing devices are related to the safety of the user, there are many cases where measures for dealing with fuzzing are limited. In other words, it is not allowed that the embedded information processing device suddenly becomes unusable or the safety of the user is hindered by the countermeasures for fuzzing. This means that it is not always safe to restrict the function of the target device when fuzzing is executed.
  • embedded information processing devices may be fuzzed under any circumstances, including offline status. For example, when the factory is in an area where it cannot be monitored from a remote location, or when the car runs outside the network area.
  • Non-Patent Document 1 The signature-type intrusion detection technology described in Non-Patent Document 1 has a problem that it cannot cope with unknown attacks.
  • Patent Document 2 when fuzzing is detected, the fact that fuzzing is being performed is reported to an administrator or the like, or function restriction is performed on a device subject to fuzzing.
  • the embedded information processing device cannot always be monitored from a remote location, there is a problem that it is impossible to quickly report to an administrator or the like.
  • information handled by the embedded information device may change due to software installation by the user.
  • the present invention includes a receiving unit that receives an instruction, a fuzzing detection unit that detects an illegal instruction among the instructions, a fake action determining unit that determines a fake action corresponding to the illegal instruction, and the fake action
  • a relay device including an instruction generation unit that generates an instruction corresponding to an operation.
  • FIG. 3 is a block diagram illustrating an example of a functional configuration of a relay device according to Embodiment 1.
  • FIG. It is an example of the structure of the message which concerns on this Embodiment. It is a figure which shows the example of the fuzzing detection database which concerns on Embodiment 1.
  • FIG. 2 is a hardware configuration diagram of a relay device according to Embodiment 1.
  • FIG. It is a flowchart which shows an example of mounting of the application which should be originally.
  • FIG. 10 is a flowchart of the operation of the relay device according to the second embodiment.
  • 10 is a block diagram illustrating an example of a functional configuration of a relay apparatus according to Embodiment 3.
  • FIG. It is a figure which shows the example of the trigger database which concerns on Embodiment 3.
  • FIG. 10 is a flowchart illustrating an operation of the relay device according to the third embodiment.
  • FIG. 10 is a block diagram illustrating an example of a functional configuration of a relay device according to a fourth embodiment.
  • 10 is a flowchart illustrating an operation of the relay device according to the fourth embodiment.
  • FIG. 10 is a block diagram illustrating an example of a functional configuration of a relay device according to a fifth embodiment.
  • 10 is a flowchart illustrating an operation of the relay device according to the fifth embodiment.
  • FIG. 1 is a block diagram showing a system configuration in the present embodiment.
  • 1 is an automobile and 2 is a data center.
  • the vehicle-mounted network system 10 having a plurality of vehicle-mounted devices is mounted on the vehicle 1 will be described.
  • the data center 2 includes a normal application 21, an unauthorized application 22, and an antenna 23.
  • the normal application 21 is an application that transmits an instruction (message) for controlling the in-vehicle device of the in-vehicle network system 10.
  • the fraudulent application 22 is an application that transmits a message for controlling the in-vehicle device of the in-vehicle network system 10 in the same manner as the normal application 21, but is used by an attacker to search for vulnerabilities in the in-vehicle network system 10. Is different.
  • a message for searching for a vulnerability is referred to as an illegal message (incorrect instruction).
  • the unauthorized application 22 should not originally exist in the data center 2, but assumes a case in which the application review by the operator of the data center 2 is bypassed. For example, it is a well-known fact that a large number of unauthorized applications may be registered in an application distribution site in application screening for smartphones, and the same case is assumed in the present application.
  • the antenna 23 outputs a message transmitted from the normal application 21 or the unauthorized application 22 by electromagnetic waves.
  • the in-vehicle network system 10 includes an antenna 11, an in-vehicle network 12, a relay device 13, a control device 14, a control device 15, a headlight 16, an indoor lamp 17, and an air conditioner 18.
  • the antenna 11 receives a message from the outside of the automobile 1.
  • the in-vehicle network 12 secures communication between the antenna 11, the relay device 13, the control device 14, the control device 15, and the like, and uses, for example, a controller area network (CAN) or Ethernet (registered trademark). Constitute.
  • CAN controller area network
  • Ethernet registered trademark
  • the relay device 13 has a function of relaying the message of the normal application 21 outside the vehicle and transmitting it to the control device 14 and the control device 15. Note that the relay device 13 may relay not only the message of the normal application 21 outside the vehicle but also a message output from the control device and transmit it to another control device.
  • the control device 14 controls the headlight 16 connected to the vehicle.
  • the control device 15 controls the connected room light 17 and air conditioner 18.
  • control device The number of in-vehicle devices that can be controlled by the control device is not limited.
  • the control device and the in-vehicle device to be controlled may correspond one-to-one, or one in-vehicle device may correspond to all the in-vehicle devices. May be.
  • the control device may transmit a message to the in-vehicle device connected to another control device other than itself.
  • FIG. 2 is a functional block configuration diagram of the relay device 13 in the present embodiment.
  • the receiving unit 201 receives the message output from the data center 2 and the message output from the control device, and outputs the received message to the fuzzing detection unit 202.
  • An example of the structure of the message is shown in FIG.
  • the message is composed of a message identifier (message ID) and a data portion of the message.
  • the fuzzing detection unit 202 determines whether the message output from the reception unit 201 is an attack for searching for vulnerabilities. When the fuzzing detection unit 202 determines that the attack is for searching for vulnerabilities, the fuzzing detection unit 202 determines the decoy operation as an illegal message. Output to the unit 204.
  • any method may be used as a method for the fuzzing detection unit 202 to determine an attack for searching for a vulnerability, but in this embodiment, an anomaly type that can deal with an unknown attack is possible. A case where the intrusion detection technology is used will be described.
  • the detection database 203 is a database used to determine whether a message is an attack for searching for vulnerabilities. In the present embodiment, it is assumed that an anomaly type intrusion detection technique is used, and therefore the detection database 203 includes information about a message in a normal case.
  • FIG. 2 An example of the detection database 203 is shown in FIG. In this embodiment, an example in which there are three allowed messages is shown. For each allowed message, the vehicle state and message identifier (message ID and data portion (data range) are set in advance.
  • the vehicle state and message identifier (message ID and data portion (data range) are set in advance.
  • a message with a registration number of 1 is transmitted during stoppage or operation, and when the message ID is 0x1100 and the data range is between 0x10 and 0x1f, the message with the registration number of 2 is When the message ID is 0x1200 and the data range is between 0x12 and 0x3f, the message with the registration number 3 is transmitted during the stop and the message ID is If 0x1300, data part is 0x40, 0x50, or 0x60, the message with registration number 4 is sent during operation, message ID is 0x1300, data part is either 0x40, 0x50, or 0x70 An example of a case where
  • the decoy operation determination unit (sham operation determination unit) 204 determines a decoy operation (sham operation) corresponding to the invalid message output by the fuzzing detection unit 202 and outputs the decoy operation to the decoy operation execution unit 206.
  • the decoy operation database 205 is a database in which the correspondence relationship between the message ID used by the attacker for fuzzing, the data part of the message, and the decoy operation performed when fuzzing is detected is defined.
  • the decoy operation refers to operating the control device by a method different from normal in a manner that does not affect the essential functional operation and safety of the in-vehicle network system 10.
  • An example of the decoy operation database 205 is shown in FIG.
  • the decoy operation may be defined in association with the vehicle state or the like.
  • a decoy operation execution unit (instruction generation unit) 206 is a message for executing a decoy operation (an instruction corresponding to a fake operation) according to an illegal message output from the fuzzy detection unit 202 output from the decoy operation determination unit 204. ) And output to the transmission unit 207.
  • a message for performing the decoy operation may be prepared in the decoy operation database 205 in advance.
  • the transmission unit 207 outputs the message output from the decoy operation execution unit 206 to the data center 2 or the control device.
  • FIG. 6 is a hardware configuration diagram of the relay device 13 according to the present embodiment.
  • the relay device 13 according to the present embodiment includes, as main components, a microcomputer 100, a random access memory (RAM) 101, a read only memory (ROM) 102, a nonvolatile memory 104, a central memory.
  • a processing unit (CPU) 105 and a communication unit 106 are provided.
  • a microcomputer having any configuration may be used as long as the CPU 105 has a configuration capable of executing the program 103.
  • the program 103 is stored in the ROM 102 and includes at least one of a fuzzing detection unit 202, a decoy operation determination unit 204, a decoy operation execution unit 206, a hash generation unit 208, a trigger extraction unit 209, and a database update unit 212.
  • FPGA Field-Programmable Gate Array
  • a microcomputer having any configuration may be used as long as the detection database 203, the decoy operation database 205, and the trigger database 210 can be accessed from the CPU 105 as necessary.
  • these databases may be stored in the rewritable nonvolatile memory 104.
  • these databases may not be stored in the non-volatile memory 104 but may be accessed via, for example, the in-vehicle network system 10 and existing in different devices.
  • the communication unit 106 corresponds to the reception unit 201 and the transmission unit 207.
  • the communication unit 106 can access, for example, CAN and Ethernet (registered trademark), but is not limited to these standards.
  • the antenna 11 is separated from the relay device 13 in the present embodiment, the communication unit 106 may include the antenna 11.
  • the relay device 13 Discloses what operation performs.
  • the attacker uses the unauthorized application 22 to transmit an unauthorized message to the in-vehicle network system 10. This unauthorized message transmission is intended to search for vulnerabilities in the in-vehicle network system 10.
  • FIG. 7 shows an example of implementation of an application that does not include a vulnerability.
  • FIG. 8 shows pseudo code corresponding to the application shown in FIG.
  • the message example (msg1) shown in FIG. 9 includes information on the Celsius temperature and information on the Fahrenheit temperature.
  • processing is executed as shown in the flowchart of FIG. 7 based on the Celsius temperature information and the Fahrenheit temperature information described in the received message.
  • condition 1 and the condition 2 are not originally satisfied at the same time, so that neither the process A nor the process B is executed. Even if there is a contradiction in the information on the Celsius temperature and the Fahrenheit temperature, the judgment based on the Celsius temperature (condition 1) is given priority, and neither the process A nor the process B is executed.
  • FIG. 10 shows an example of implementation of a vulnerable application.
  • FIG. 11 shows a pseudo code corresponding to the application having the vulnerability shown in FIG. In the example of FIG. 11, there is a mistake in the coding operation, and a word that should be originally entered (“else” in the example of FIG. 11) is missing.
  • both the process A and the process B are executed. If both process A and process B are executed, the interval between message transmission and message reception will change, so the attacker can observe this.
  • overflow may be caused by executing both process A and process B.
  • the method of attacking triggered by an overflow is well known as an integer overflow attack.
  • An attacker observes such a small change in behavior to determine what kind of message may cause a vulnerability. If the behavior change occurs in the in-vehicle network system 10 due to the transmission of the unauthorized message, the cause may be vulnerability.
  • the attacker sends an unauthorized message after the unauthorized message.
  • the malicious message transmitted may be the same as the first one, or may be different from the first one. Moreover, it may be transmitted repeatedly many times.
  • the attacker aims at a change in intended behavior (for example, takeover of control of an automobile, installation of an unauthorized application, takeover of a vehicle control program protected by an intellectual property right) and the like.
  • the operation of the relay device 13 will be described with reference to FIG.
  • the antenna 11 outputs a message received from the outside to the receiving unit 201.
  • the receiving unit 201 outputs the input message to the fuzzing detection unit 202 (S101).
  • the fuzzing detection unit 202 compares the received message with the fuzzing detection database 203, and determines whether the message is for the purpose of searching for a vulnerability (S102).
  • a white list is used as a method for determining the received message.
  • the state of the vehicle, the message ID that may be sent, the range of the data portion of the message that can exist with the message ID, and the like are associated and described in the fuzzing detection database 203 in advance. If the received message does not satisfy these conditions, the fuzzing detection unit 202 determines that the message is for the purpose of searching for a vulnerability (S102: YES).
  • the fuzzing detection unit 202 may use a machine learning method such as deep learning or a support vector machine to determine whether or not the received message is for vulnerability search. Thereby, it is possible to cope with an unknown attack while preventing the fuzzing detection database 203 from being enlarged.
  • a machine learning method such as deep learning or a support vector machine to determine whether or not the received message is for vulnerability search.
  • an operation log of a test performed during development can be used.
  • the fuzzing detection unit 202 If the message is a message (illegal message) intended for vulnerability search (S102: YES), the fuzzing detection unit 202 outputs the invalid message to the decoy operation determination unit 204.
  • the decoy operation determination unit 204 compares the invalid message with the decoy operation database 205, selects a decoy operation to be executed, and outputs the decoy operation to the decoy operation execution unit 206 (S103).
  • the decoy operation to be performed includes, for example, generating a slight shift in the network transmission / reception timing, delaying the operation timing of the controlled device for a moment, and operating the air conditioner that is one of the controlled devices. Any operation may be performed such as illegally changing regardless of the intention of the user, or illegally changing the room light which is one of the controlled devices regardless of the intention of the user. Further, the decoy operation may simply be an operation of “doing nothing”.
  • the decoy operation is defined for each message ID, but the decoy operation may be defined by the data portion of the message. It is also effective to always execute the same decoy operation for the same illegal message when the decoy operation determination unit 204 determines the decoy operation. As a result, when the in-vehicle network system 10 detects an unauthorized message, the attacker can be reminded that the decoy operation is not simply executed at random.
  • malicious messages that do not actually trigger vulnerabilities can cause attackers to misunderstand that they are calling for vulnerabilities, which can prolong the time it takes for attackers to search for vulnerabilities. .
  • the decoy operation determined by the decoy operation determination unit 204 may not be performed at the same frequency. For example, consider a case where an attacker performs a brute force attack.
  • the possible value for the data part of the message is 1 to 100. If the message content is set as 1-20: decoy operation a, 21-40: decoy operation b, 41-60: decoy operation c, 61-80: decoy operation d, 81-100: decoy operation e Think about the time.
  • the attacker can send fraud messages in order from 1 to 100, but all fraudulent actions that can be observed have the same frequency. If an event related to the vulnerability occurs when “42” is transmitted as the message content, the event related to the vulnerability can be derived by taking statistics of the frequency of the observed event. It will be possible.
  • the decoy operation execution unit 206 converts the decoy operation to be executed into a message and outputs the message to the transmission unit 207 (S104).
  • the decoy operation execution unit 206 can control the headlight 16, the indoor lamp 17, the air conditioner 18 and the like via the control device 14 or the control device 15 in the decoy operation. Convert.
  • the control device that has received the message from the transmission unit 207 performs control (decoy operation) according to the message (S105).
  • the fuzzing detection unit 202 When it is determined in S102 that the purpose is not to search for a vulnerability (S102: NO), the fuzzing detection unit 202 outputs a message to the transmission unit 207.
  • the control device that has received the message from the transmission unit 207 performs control according to the message (S106).
  • the fuzzing detection unit 202 that determines whether or not the message output from the receiving unit 201 is an attack for searching for a vulnerability, and the message output from the fuzzing detection unit 202. Since the decoy operation determining unit 204 that determines the decoy operation corresponding to the content of the content is provided, it is difficult for an attacker to distinguish between an illegal operation caused by the vulnerability and the decoy operation. It becomes possible to lengthen the time.
  • Embodiment 2 a configuration in which a decoy operation is associated with a message ID and selected is disclosed.
  • this configuration when the type of message ID increases, the storage capacity required for the decoy operation database 205 increases, and the processing load of the decoy operation determination unit 204 accompanying the database search increases. There is a case.
  • the hash value is used instead of the message ID in the decoy operation database 205 to reduce the capacity of the decoy operation database 205 and reduce the processing load of the decoy operation processing unit associated with the database search.
  • a possible configuration is disclosed.
  • FIG. 14 is a functional block configuration diagram of the relay device 13 in the present embodiment.
  • the same reference numerals as those in FIG. 2 denote the same or corresponding parts.
  • the relay apparatus 13 has the same basic configuration as that of the first embodiment, but uses the hash value of the message ID for the decoy operation database 205 and the fuzzing detection unit 202 outputs it. The difference is that it has a hash generator 208 that generates a unique code in response to an unauthorized message.
  • the decoy operation database 205 has a correspondence relationship between a hash generated from an unauthorized message used for fuzzing by an attacker and a decoy operation performed when fuzzing is detected. Is defined. In this way, if the message ID is 2 bytes and the hash length is 1 byte, the amount of data required for the decoy operation database 205 can be reduced.
  • the data amount required for the decoy operation database 205 is further reduced by using both as input to the hash generation unit 208. be able to.
  • the fuzzing detection unit 202 determines that the message is for the purpose of vulnerability search (unauthorized message) (S102: YES), the fuzzing detection unit 202 outputs the message ID of the malicious message to the hash generation unit 208.
  • the hash generation unit 208 generates a code (hash) of the received message ID and outputs it to the decoy operation determination unit 204 (S201).
  • the hash is a numerical value summarizing the message ID, which is shorter than the original message ID and has a fixed length.
  • Hash functions that can be used to generate a hash include, but are not limited to, MD5, SHA-1, and CRC.
  • the decoy operation determination unit 204 compares the passed hash with the decoy operation database 205 to determine a decoy operation to be executed (S202).
  • Embodiment 3 In the second embodiment, the case where an attacker uses a single message for vulnerability search has been described. However, an attack against a vulnerability is generally performed by combining a plurality of messages. For this reason, when the decoy operation is determined based on only a single message, when a search is performed using a plurality of messages, an operation other than the decoy operation aroused by a single message is observed. In some cases, it can be determined that the action is triggered by a remaining vulnerability.
  • FIG. 17 is a functional block configuration diagram of the relay device 13 in the present embodiment.
  • the same reference numerals as those in FIG. 14 indicate the same or corresponding parts.
  • the relay apparatus 13 has the same basic configuration as that of the second embodiment, but is different in that it includes a trigger extraction unit 209, a trigger database 210, and a received message storage unit 213.
  • the trigger extraction unit 209 extracts a received message based on the trigger database 210 from the timing when the fuzzing detection unit detects fuzzing to the timing when the received message satisfies a predefined end condition.
  • the trigger database 210 an end condition for the trigger extraction unit 209 to extract a message is registered.
  • An example of the trigger database 210 is shown in FIG. In the example of FIG. 18, “reception of a specific message”, “number of messages received after meeting the start condition”, and “time since receiving a message meeting the start condition” are given as examples. .
  • condition of the registration number 1 in FIG. 18 indicates that the received message is extracted from the timing when the message with the message ID 0x1100 is received to the timing when the message with the message ID 0x1100 is received.
  • the received message storage unit 213 is used to temporarily store the message received by the trigger extraction unit 209.
  • the fuzzing detection unit 202 determines that the message is for the purpose of vulnerability search (unauthorized message) (S102: YES), the fuzzing detection unit 202 outputs the invalid message to the trigger extraction unit 209.
  • the trigger extraction unit 209 stores the received message in the received message storage unit 213 (S301).
  • the trigger extraction unit 209 determines whether the received message satisfies the termination condition (S302). For example, in the case of the registration number 1 in FIG. 18, when a received message with a message ID of 0x1000 is received for the first time after detecting an invalid message with a message ID of 0x1100, it is determined that “the end condition is satisfied”.
  • the trigger extraction unit 209 When it is determined that the received message satisfies the termination condition (S302: YES), the trigger extraction unit 209 hashes the message IDs of a plurality of messages (instruction groups) that have been stored in the received message storage unit 213 so far. To 208.
  • the hash generation unit 208 generates a hash of message IDs of a plurality of messages (instruction groups) (S303). As in the second embodiment, if both the message ID and the data part of the message are associated with the decoy operation, both of them are input to the hash generation unit 208, and the decoy operation database 205 is further input. The amount of data required can be reduced.
  • the trigger extraction unit 209 does not determine that the received message satisfies the termination condition (S302: NO), it waits until the next message is received. If the next message is not received for a certain period of time, it may be determined that the end condition is satisfied.
  • Embodiment 4 If the attacker's goal to find a vulnerability is to capture important information held by the attack target and have a social impact, the attacker will attack only certain individuals in a product model. Rather than doing it, we want to be able to attack any individual of a product model.
  • FIG. 20 is a functional block configuration diagram of the relay device 13 in the present embodiment.
  • the same reference numerals as those in FIG. 17 indicate the same or corresponding parts.
  • the relay apparatus 13 has the same basic configuration as that of the third embodiment, except that an individual ID acquisition unit (individual identifier acquisition unit) 211 is provided.
  • the individual ID acquisition unit 211 acquires an individual ID (individual identifier) that is an identification code for identifying an individual embedded network.
  • an individual ID for example, a vehicle identification number can be used in an automobile.
  • the hash generation unit 208 acquires the individual ID from the individual ID acquisition unit 211 (S401).
  • a method of acquiring the individual ID by the individual ID acquisition unit there are a method of storing in advance in the relay device itself, a method of inquiring a control device constituting the embedded network system, and the like.
  • the hash generation unit 208 generates a hash using the message IDs of a plurality of transmitted unauthorized messages (instruction groups) and individual IDs.
  • the individual ID can be involved in the determination of the decoy operation, and it can be mistaken that the vulnerability is observed by an attacker due to individual differences.
  • both the message ID and the data part of the message are associated with the decoy operation, both of them and the individual ID are input to the hash generation unit 208.
  • the amount of data required for the decoy operation database 205 can be reduced.
  • Embodiment 5 FIG. In Embodiments 1 to 4, a case in which an attacker makes a long time to search for vulnerabilities by showing a decoy operation that causes an attacker to misunderstand that the operation does not conform to the original specification Stated.
  • attackers need to improve the speed of searching for vulnerabilities using more difficult methods, such as searching for multiple embedded network devices at the same time, or otherwise increase the time to reveal vulnerabilities. Can be lengthened.
  • FIG. 22 is a functional block configuration diagram of the relay device 13 in the present embodiment.
  • the same reference numerals as those in FIG. 20 indicate the same or corresponding parts.
  • the relay apparatus 13 according to the present embodiment has the same basic configuration as that of the fourth embodiment, but is different in that it includes a database update unit 212.
  • the database update unit 212 updates at least one of the fuzzing detection database 203, the decoy operation database 205, and the trigger database 210.
  • the database update unit 212 periodically inquires the data center 2 about the presence or absence of update data related to each database, and when there is update data, receives the update data from the data center 2 and uses the received update data. It can be configured to rewrite the corresponding database.
  • the database update unit 212 is made compatible with UDS (Unified Diagnostics Services), and the in-vehicle diagnostic tool can be connected to the embedded network system. Then, the update data downloaded on the in-vehicle diagnostic tool is used on the relay device. It can also be configured to update the database.
  • UDS Unified Diagnostics Services
  • the embedded network system is assumed to perform database update processing. Further, in the present embodiment, as with other messages, it is assumed that a database update instruction is received via the receiving unit 201, but another means for receiving a database update instruction may be used. .
  • Non-Patent Document 2 that discloses the software remote update method in detail. is there.
  • the receiving unit 201 receives not only a message but also a database update instruction.
  • the receiving unit 201 determines whether the received data is a database update instruction or a message (S501).
  • the receiving unit passes the data to the database updating unit 212 (S501: YES). If the data received by the receiving unit 201 is a message (S501: NO), the same operation as in the fourth embodiment is performed.
  • the database update unit 212 receives the database update package through the receiving unit 201 (S502).
  • the database update package is transmitted to the database update unit 212 by, for example, the normal application 21 on the data center 2.
  • the database update package describes all or a part or difference of the contents of the fuzzing detection database 203, the decoy operation database 205, and the trigger database 210, and the type of the target database.
  • the database is updated using this. It is possible.
  • the database update unit 212 updates at least one of the fuzzing detection database 203, the decoy operation database 205, and the trigger database 210 based on the information of the database update package (S503). As described above, according to the present embodiment, it is possible to periodically change the type of decoy operation to be selected, and it is possible to increase the number of attempts by an attacker for revealing the vulnerability. Thereby, it is possible to further lengthen the time until vulnerability exposure.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Small-Scale Networks (AREA)

Abstract

本発明は、指示を受信する受信部２０１と、受信部２０１が受信した指示のうち、不正な指示を検出するファジング検出部２０２と、ファジング検出部２０２が検出した不正な指示に対応した見せかけの動作を決定する見せかけ動作決定部２０４と、見せかけ動作決定部２０４が決定した見せかけの動作に対応した指示を生成する指示生成部２０６とを有することを特徴とする中継装置１３を提供する。

Description

中継装置
　本発明は、自動車や車両等に搭載される中継装置に関する。
　近年、組み込み情報処理機器に対し、脆弱性を喚起する操作を探索する脆弱性探索攻撃（ファジング）の事例が増えてきている。これまでは、スマートフォンやゲーム機器などが対象とされ、不正にコピーしたソフトウェアを利用できるように改造する事例等が問題となってきたが、今後は、自動車用車載機器やファクトリーオートメーション機器もその対象となると予測される。
　さらには、Ｉｎｔｅｒｎｅｔ　ｏｆ　ｔｈｉｎｇｓ（ＩｏＴ）の普及により、これらの機器がインターネット上のサーバと「つながる」機会が増えるため、あらゆる場所から脆弱性を探索される危険性がさらに高まっている。
　また、自動車用車載機器やファクトリーオートメーション機器のコード量は、年々増加しており、今後もさらなる機能の追加によってコードが複雑化するため、脆弱性を完全に排除した状態で市場に投入することは、極めて困難なことになりつつある。
　このような問題に対し、特許文献１では、機器の正常状態（ホワイトリスト）を定義しておき、ホワイトリストから逸脱したものを攻撃とするアノーマリ型の侵入検知技術で検知を行っている。
　その反対に、非特許文献１では、既知の攻撃手順をルール化（ブラックリスト）し、ブラックリストに合致するものを攻撃とするシグネチャ型の侵入検知技術で検知を行っている。
　また、特許文献２では、ファジングを検出した場合、脆弱性が探索されている旨を管理者等に報告したり、脆弱性が探索されている対象となっている機器に対し機能制限を行ったりしている。
特開２０１３－２３２７１６号公報 特開２０１３－１３１９０７号公報
山田明、三宅優、竹森敬祐、田中俊昭著　「学習データを自動生成する未知攻撃検知システム」　情報処理学会論文誌、ｖｏｌ．４６、Ｎｏ．８　２００５年８月 ＴＣＧ、「ＴＰＭ　２．０　Ａｕｔｏｍｏｔｉｖｅ　Ｔｈｉｎ　Ｐｒｏｆｉｌｅ」、［ｏｎｌｉｎｅ］、２０１５年３月、［平成２７年１２月２３日検索］、インターネット＜ｈｔｔｐ：／／ｗｗｗ．ｔｒｕｓｔｅｄｃｏｍｐｕｔｉｎｇｇｒｏｕｐ．ｏｒｇ／ｆｉｌｅｓ／ｓｔａｔｉｃ＿ｐａｇｅ＿ｆｉｌｅｓ／７２ＥＣ６ＢＦ８－１Ａ４Ｂ－Ｂ２９４－Ｄ０７ＢＢＡ４ＡＥ８Ｆ４Ａ０４Ｆ／ＴＣＧ％２０ＴＰＭ％２０２．０％２０Ａｕｔｏｍｏｔｉｖｅ－Ｔｈｉｎ％２０Ｐｒｏｆｉｌｅ＿ｖ１．０．ｐｄｆ＞
　本発明が対象とする組み込み情報処理機器は、自動車や工場の生産システム等を含む。これらの組み込み情報処理機器は、使用者の安全に関連するため、ファジングへの対応方策が制限されている場合が多い。つまり、ファジングへの対応方策によって、組み込み情報処理機器が突然使えなくなったり、使用者の安全が阻害されたりすることが許容されない。これは、ファジングが実行されたときに、対象となっている機器の機能制限を行うことは、かならずしも安全ではないということを意味する。
　また、組み込み情報処理機器は、オフライン状態を含む、あらゆる状況下でファジングを受ける可能性がある。例えば、工場が遠隔地からモニタリングできない地域にある場合や、自動車がネットワーク圏外を走行する場合などである。
　非特許文献１に記載のシグネチャ型の侵入検知技術では、未知なる攻撃への対応ができないと言う課題がある。
　特許文献２では、ファジングを検出した場合に、ファジングが実行されている旨を管理者等に報告したり、ファジングの対象となっている機器に対し、機能制限を行ったりしている。しかし、組み込み情報処理機器は常に遠隔地からモニタできるとは限らないので、管理者等に迅速に報告することは不可能であるという課題がある。
　さらに、ファジングを実行しようとする攻撃者が組み込み情報処理機器を所有している場合、自身が保有する組み込み情報処理機器をオフライン状態にしたり、特定のサーバにだけ接続させなかったりすることは容易である。
また、ユーザによるソフトウェアのインストール等により、組み込み情報機器が扱う情報は、変化しうる。
　特許文献１記載のアノーマリ型のファジング検出手法では、このように、組み込み情報処理機器が扱う情報が変化した場合、誤検知が発生するという課題がある。
　本発明は、指示を受信する受信部と、前記指示のうち、不正な指示を検出するファジング検出部と、前記不正な指示に対応した見せかけの動作を決定する見せかけ動作決定部と、前記見せかけの動作に対応した指示を生成する指示生成部とを有することを特徴とする中継装置を提供する。
　本発明によれば、ファジング攻撃をしている攻撃者に対し、脆弱性を発見させにくくすることが可能となる。
本発明を車載ネットワークシステムに適用した場合のシステム構成の一例を示すブロック図である。 実施の形態１に係る中継装置の機能構成の一例を示すブロック図である。 本実施の形態に係るメッセージの構成の一例である。 実施の形態１に係るファジング検出データベースの例を示す図である。 実施の形態１に係るデコイ動作データベースの例を示す図である。 実施の形態１に係る中継装置のハードウェア構成図である。 本来あるべきアプリケーションの実装の一例を示すフローチャートである。 脆弱性を含まないアプリケーションの実装の一例を示す疑似コードである。 本来の実装において想定されるメッセージの一例を示す図である。 脆弱性を含むアプリケーションの実装の一例を示すフローチャートである。 脆弱性を含むアプリケーションの実装の一例を示す疑似コードである。 脆弱性を探索しようと送信されるメッセージの一例を示す図である。 実施の形態１に係る中継装置の動作のフローチャートである。 実施の形態２に係る中継装置の機能構成の一例を示すブロック図である。 実施の形態２に係るデコイ動作データベースの例を示す図である。 実施の形態２に係る中継装置の動作のフローチャートである。 実施の形態３に係る中継装置の機能構成の一例を示すブロック図である。 実施の形態３に係るトリガデータベースの例を示す図である。 実施の形態３に係る中継装置の動作を示すフローチャートである。 実施の形態４に係る中継装置の機能構成の一例を示すブロック図である。 実施の形態４に係る中継装置の動作を示すフローチャートである。 実施の形態５に係る中継装置の機能構成の一例を示すブロック図である。 実施の形態５に係る中継装置の動作を示すフローチャートである。
実施の形態１．
　図１は、本実施の形態におけるシステム構成を示すブロック図である。
　図１において、１は自動車、２はデータセンタである。なお、本実施の形態では、自動車１に複数の車載機器を有する車載ネットワークシステム１０が実装されている場合について説明を行う。
　データセンタ２は、正常アプリ２１、不正アプリ２２、アンテナ２３から構成されている。
　正常アプリ２１は、車載ネットワークシステム１０の車載機器を制御するための指示（メッセージ）を送信するアプリケーションである。
　不正アプリ２２は、正常アプリ２１と同様に車載ネットワークシステム１０の車載機器を制御するためのメッセージを送信するアプリケーションであるが、攻撃者が車載ネットワークシステム１０の脆弱性を探索するために用いられる点が異なる。
　本発明では、脆弱性を探索するためのメッセージのことを不正メッセージ（不正な指示）と呼ぶ。
　なお、不正アプリ２２は本来データセンタ２に存在してはならないが、データセンタ２の運営者によるアプリの審査をすり抜ける場合を想定している。例えば、スマートフォンのアプリ審査等において、不正なアプリが多数アプリ配信サイトに登録される可能性があることは周知の事実であり、本願においても同様のケースを想定している。
　アンテナ２３は、正常アプリ２１や不正アプリ２２から送信されるメッセージを電磁波で出力する。
　車載ネットワークシステム１０は、アンテナ１１、車載ネットワーク１２、中継装置１３、制御装置１４、制御装置１５、ヘッドライト１６、室内灯１７、エアコン１８から構成される。
　アンテナ１１は、自動車１の外部からのメッセージの受信を行う。
　車載ネットワーク１２は、アンテナ１１、中継装置１３、制御装置１４、制御装置１５などの間の通信を担保するものであり、例えば、Ｃｏｎｔｒｏｌｌｅｒ　ａｒｅａ　ｎｅｔｗｏｒｋ（ＣＡＮ）やＥｔｈｅｒｎｅｔ（登録商標）等を使用して構成する。
　中継装置１３は、車外における正常アプリ２１のメッセージを中継し、制御装置１４や制御装置１５などに伝達する機能を持つ。なお、中継装置１３は、車外における正常アプリ２１のメッセージだけではなく、制御装置から出力されるメッセージ中継し、他の制御装置へ伝達してもよい。
　制御装置１４は、車載接続されたヘッドライト１６の制御を行う。
　制御装置１５は、接続された室内灯１７、エアコン１８の制御を行う。
　なお、制御装置が制御できる車載機器の数に制限はなく、例えば、制御装置と制御される車載機器とが一対一で対応させてもよいし、一つの制御装置で全ての車載機器を対応させてもよい。また、制御装置は、自分以外の他の制御装置に接続している車載機器に対し、メッセージを送信してもよい。
　図２は、本実施の形態における、中継装置１３の機能ブロック構成図である。
　受信部２０１は、データセンタ２が出力したメッセージおよび制御装置が出力したメッセージを受信し、ファジング検出部２０２へ出力する。メッセージの構成の一例を図３に示す。メッセージは、メッセージの識別子（メッセージＩＤ）とメッセージのデータ部から構成される。
　ファジング検出部２０２は、受信部２０１が出力したメッセージが、脆弱性を探索する攻撃であるか否かを判断し、脆弱性を探索する攻撃と判断した場合、そのメッセージを不正メッセージとしてデコイ動作決定部２０４へ出力する。
　なお、ファジング検出部２０２が、脆弱性を探索する攻撃と判断する方法は、どのような方法を用いてもよいが、本実施の形態では、未知の攻撃にも対応が可能であるアノーマリ型の侵入検知技術を用いた場合について説明する。
　検出データベース２０３は、メッセージが、脆弱性を探索する攻撃かどうかを判断するために用いるデータベースである。本実施の形態では、アノーマリ型の侵入検知技術を用いた場合を想定しているため、検出データベース２０３には、正常な場合のメッセージについての情報が記載されていることになる。
　検出データベース２０３の例を、図４に示す。本実施の形態では、許可されるメッセージが３つであった場合の例を示している。許可されるメッセージ毎に、車両の状態、メッセージ識別子（メッセージＩＤとデータ部（データ範囲）があらかじめ設定されている。
　図４では、登録番号が１のメッセージは、停止中あるいは運転中に送信されるものであり、メッセージＩＤが０ｘ１１００、データ範囲は０ｘ１０から０ｘ１ｆ迄の間となる場合、登録番号が２のメッセージは、停止中に送信されるものであり、メッセージＩＤが０ｘ１２００、データ範囲は０ｘ１２から０ｘ３ｆ迄の間となる場合、登録番号が３のメッセージは、停止中に送信されるものであり、メッセージＩＤが０ｘ１３００、データ部は０ｘ４０、０ｘ５０または０ｘ６０のいずれかとなる場合、登録番号が４のメッセージは、運転中に送信されるものであり、メッセージＩＤが０ｘ１３００、データ部は０ｘ４０、０ｘ５０または０ｘ７０のいずれか、となる場合についての例を示している。
　デコイ動作決定部（見せかけ動作決定部）２０４は、ファジング検出部２０２が出力した不正メッセージに対応したデコイ動作（見せかけの動作）を決定し、デコイ動作実行部２０６に出力する。
　デコイ動作データベース２０５は、攻撃者がファジングに用いたメッセージＩＤと、メッセージのデータ部、ファジングを検出したときに行うデコイ動作との対応関係が定義されているデータベースである。
　なお、デコイ動作とは、車載ネットワークシステム１０の本質的な機能動作および安全に影響を与えない態様で、通常とは異なる方法で制御装置を動作させることを指す。
　デコイ動作データベース２０５の例を、図５に示す。
　図５の例では、メッセージＩＤが０ｘ１１００となっているメッセージを用いてファジングが実施されていることを検出した場合には、「ネットワーク送受信タイミングを１０ｍｓ遅らせる」というデコイ動作を実施することを示しており、メッセージＩＤが０ｘ１２００となっているメッセージを用いてファジングが実施されたことを検出した場合には、「送信するメッセージに不要なデータを加える」というデコイ動作を実施することを示しており、メッセージＩＤが０ｘ１３００となっており、データ部が０ｘ１２以上であるというメッセージに関してファジングが実施されていることを検出した場合には、「ＩＯの反応を少し遅らせる」というデコイ動作を実施する。
　なお、図５の例ではメッセージＩＤが３つ記載されているが、その数を限定するものではない。実際の車載ネットワークシステム１０においては１００種類以上のメッセージＩＤが利用されるため、それぞれに対応したデコイ動作を定義してもよい。
　また、検出データベースの例に準じて、車両の状態等を対応させて、デコイ動作を定義してもよい。
　デコイ動作実行部（指示生成部）２０６は、デコイ動作決定部２０４が出力した、ファジング検出部２０２が出力した不正メッセージに応じた、デコイ動作を実行するためのメッセージ（見せかけの動作に対応した指示）を生成し、送信部２０７へ出力する。なお、デコイ動作実行部２０６で、デコイ動作を実行するためのメッセージを生成するのではなく、デコイ動作データベース２０５にあらかじめ、デコイ動作を行うためのメッセージを用意しておいてもよい。
　送信部２０７は、デコイ動作実行部２０６から出力されたメッセージを、データセンタ２もしくは制御装置に対し、出力する。
　図６は、本実施の形態に係る、中継装置１３のハードウェア構成図である。図６に示されるように、本実施の形態に係る中継装置１３は、主要な構成として、マイクロコンピュータ１００、Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ（ＲＡＭ）１０１、Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ（ＲＯＭ）１０２、不揮発性メモリ１０４、Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ（ＣＰＵ）１０５、通信部１０６を備える。
　本実施の形態では、ＣＰＵ１０５がプログラム１０３を実行できる構成を備えていれば、どのような構成のマイクロコンピュータであっても良い。例えば、プログラム１０３はＲＯＭ１０２に格納され、ファジング検出部２０２、デコイ動作決定部２０４、デコイ動作実行部２０６、ハッシュ発生部２０８、トリガ抽出部２０９、データベースアップデート部２１２の少なくともいずれか一つが含まれる。
　また、これらの機能を、ＣＰＵ１０５を経由せずに、Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙ（ＦＰＧＡ）等を用いて実装してもよい。
　本実施の形態では、必要に応じて、ＣＰＵ１０５から検出データベース２０３、デコイ動作データベース２０５、トリガデータベース２１０にアクセスできる構成を備えていれば、どのような構成のマイクロコンピュータであっても良い。例えば、これらのデータベースを、書き換えることが可能な不揮発性メモリ１０４に保存してもよい。
　また、これらのデータベースを不揮発性メモリ１０４に保存せず、例えば車載ネットワークシステム１０を経由し、異なる装置に存在するデータベースにアクセスするようにしてもよい。
　本実施の形態では、通信部１０６は、受信部２０１および送信部２０７に対応する。通信部１０６は、例えばＣＡＮやＥｔｈｅｒｎｅｔ（登録商標）にアクセスすることができるが、これらの規格に限定されるものではない。なお、本実施の形態では、アンテナ１１を中継装置１３と分けたが、通信部１０６がアンテナ１１を含めたものであってもよい。
　次に動作について説明する。
　なお、本実施の形態では、データセンタ２において攻撃者が不正アプリ２２を用いることによって、車載ネットワークシステム１０に残存する脆弱性を探索しようと、サイドチャネルアタックを行おうとした場合に、中継装置１３がどのような動作を実施するか開示する。
　まず、本発明で前提とする脆弱性の探索について説明する。
　攻撃者は、不正アプリ２２を用いて、車載ネットワークシステム１０に不正メッセージを送信する。この不正メッセージの送信は、車載ネットワークシステム１０の脆弱性探索を目的としている。
　仮に、車載ネットワークシステム１０に脆弱性が存在していたならば、攻撃者からの不正メッセージによって、直接重大な結果を引き起こさなかったとしても、ネットワーク送受信タイミングの微小な変化、制御対象機器の動作タイミングの微小な変化等、攻撃者が観測可能な事象が喚起される可能性がある。
　このような事例を図７から図１２を用いて説明する。
　図７に、脆弱性を含まないアプリケーションの実装の一例を示す。図７に示したアプリケーションに対応する疑似コードを図８に示す。
　また、図９に示すメッセージの例（ｍｓｇ１）には、摂氏温度の情報と華氏温度の情報が含まれているとする。このとき、受信したメッセージに記載された摂氏温度の情報と華氏温度の情報によって図７のフローチャートのように処理が実行される。
　図７に示した脆弱性を含まないアプリケーションでは、本来、条件１と条件２が同時に満たされることはないので、処理Ａも処理Ｂの双方が実行されることはない。また、摂氏温度と華氏温度の情報に相互に矛盾があったとしても、摂氏温度による判断（条件１）が優先され、処理Ａと処理Ｂの双方が実行されることはない。
　一方、図１０に、脆弱性の存在するアプリケーションの実装の一例を示す。図１０に示した脆弱性の存在するアプリケーションに対応する疑似コードを図１１に示す。
　図１１の例では、コーディング作業においてミスがあり、本来入れなければならない単語（図１１の例では「ｅｌｓｅ」）が抜けている。
　このため、図１２に示すように摂氏温度と華氏温度の情報に矛盾がある、脆弱性を探索しようとするメッセージを受信した場合、処理Ａと処理Ｂの双方が実行される。
　処理Ａと処理Ｂの双方が実行されれば、メッセージ送信とメッセージ受信の間隔が変わるので、攻撃者はこれを観測することができる。
　以上より、処理Ａと処理Ｂの双方が実行されたときにソフトウェアの内部状態が不正になることが容易に想定される。
　例えば、処理Ａと処理Ｂの中身で同じ変数をインクリメントしていたとすれば、処理Ａと処理Ｂの双方を実行させることでオーバーフローを引き起こすことができる可能性がある。オーバーフローをきっかけに攻撃する方法は、整数オーバーフロー攻撃として著名なものである。
　攻撃者は、このような微小な挙動変化を観測して、どのようなメッセージが脆弱性を引き起こす可能性があるか判断する。この不正メッセージの送信によって、車載ネットワークシステム１０に挙動の変化が起きたとすれば、その原因が脆弱性である可能性がある。
　そこで、攻撃者は、不正メッセージに続けて、さらに不正メッセージを送信する。さらに送信される不正メッセージは、最初のものと同じ場合もあるし、最初のものと別の場合もありうる。また、何回も繰り返し送信される場合もある。
　攻撃者は、これを繰り返すことにより、目的とする挙動の変化（例えば、自動車の制御の乗っ取り、不正アプリのインストール、知的財産権で保護されている車両制御プログラムの奪取）等を目指す。
　図１３を用いて、中継装置１３の動作を説明する。
　アンテナ１１は、外部から受信したメッセージを受信部２０１へ出力する。受信部２０１は、入力されたメッセージをファジング検出部２０２へ出力する（Ｓ１０１）。
　ファジング検出部２０２は、受け取ったメッセージをファジング検出データベース２０３と比較し、そのメッセージが脆弱性の探索を目的としているか判断する（Ｓ１０２）。
　本実施の形態では、受け取ったメッセージを判断する方法として、ホワイトリストを用いる。
　例えば、車両の状態、送られてくる可能性のあるメッセージＩＤおよび、そのメッセージＩＤで存在しうるメッセージのデータ部の範囲などを、関連付けておき、あらかじめファジング検出データベース２０３に記載しておく。
　ファジング検出部２０２は、受け取ったメッセージが、これらの条件を満たさなかった場合、そのメッセージは、脆弱性の探索を目的としていると判断する（Ｓ１０２：ＹＥＳ）。
　なお、ファジング検出部２０２は、受け取ったメッセージが脆弱性の探索を目的としているか否かの判断に、ディープラーニングやサポートベクターマシンのような機械学習手法を用いてもよい。これにより、ファジング検出データベース２０３の肥大化を防ぎつつも、未知の攻撃に対応することができる。これらの機械学習手法の教師データとして、開発時に実施した試験の動作ログを利用できる。
　脆弱性探索を目的としているメッセージ（不正メッセージ）であった場合（Ｓ１０２：ＹＥＳ）、ファジング検出部２０２は、不正メッセージをデコイ動作決定部２０４へ出力する。
　デコイ動作決定部２０４は、不正メッセージをデコイ動作データベース２０５と比較して、実行すべきデコイ動作を選択し、そのデコイ動作をデコイ動作実行部２０６に出力する（Ｓ１０３）。
　実行すべきデコイ動作には、例えば、ネットワーク送受信タイミングに微小なずれを発生させること、制御対象機器の動作タイミングを一瞬遅らせることが含まれること、制御対象機器の一つであるエアコンの動作をユーザの意思にかかわらず不正に変更することまたは制御対象機器の一つである室内灯をユーザの意思にかかわらず不正に変更することなど、どのような動作であってもよい。また、デコイ動作として、単に「何もしない」という動作であっても良い。
　図５の例を用いると、登録番号１の行において、メッセージＩＤ　０ｘ１１００が不正メッセージに該当した場合には、ネットワーク送受信タイミングを１０ｍｓ遅らせる、という動作を実施する。
　図５の例では、個々のメッセージＩＤに対してデコイ動作を定義したが、メッセージのデータ部によってデコイ動作を定義してもよい。
　また、デコイ動作決定部２０４においてデコイ動作を決定する際に、同一の不正メッセージに対しては、常に同じデコイ動作を実行するようにすることも効果的である。これにより、攻撃者に対し、不正メッセージを車載ネットワークシステム１０が検出したとき、単にランダムにデコイ動作を実行させているのではないと想起させることができる。
　以上のように、実際には脆弱性を喚起しない不正メッセージが、脆弱性を喚起しているものと攻撃者に誤認させ、攻撃者が脆弱性を探索するのに要する時間を長引かせることができる。
　また、デコイ動作決定部２０４が決定するデコイ動作は、同じ頻度で行われないようにしてもよい。例えば攻撃者が総あたり攻撃を実施する場合を考える。
　メッセージのデータ部として有り得る値が１から１００であったとする。仮に、メッセージの内容が、１－２０：デコイ動作ａ、２１－４０：デコイ動作ｂ、４１－６０：デコイ動作ｃ、６１－８０：デコイ動作ｄ、８１－１００：デコイ動作ｅという設定をしたときのことを考える。
　このとき、攻撃者は１から１００まで順番に不正メッセージを送信することができるが、観測できる不正動作は、すべて同頻度となる。仮にメッセージの内容として”４２”を送信したときに脆弱性に関係する事象が発生してしまうとすると、観測された事象の頻度の統計をとることで脆弱性に関係する事象を導出することが可能になってしまう。
　ここで、１－４０：デコイ動作ａ、４１－８０：デコイ動作ｂ、８１－９８：デコイ動作ｃ、９９：デコイ動作ｄ、１００：デコイ動作ｅのようにデコイ動作が行われる頻度を変えると、実際の脆弱性に関係する事象とデコイ動作の挙動が混乱し、攻撃者の時間をさらに浪費させることができる。
　デコイ動作実行部２０６は、実行すべきデコイ動作をメッセージに変換し、送信部２０７へ出力する（Ｓ１０４）。例えば、本実施の形態の場合だと、デコイ動作実行部２０６は、デコイ動作を制御装置１４または制御装置１５を介して、ヘッドライト１６、室内灯１７、エアコン１８等を制御できるような形式に変換する。
　送信部２０７からメッセージを受け取った制御装置は、メッセージに従った制御（デコイ動作）を行う（Ｓ１０５）。
　なお、Ｓ１０２において、脆弱性の探索を目的としていないと判断した場合（Ｓ１０２：ＮＯ）、ファジング検出部２０２は、メッセージを送信部２０７へ出力する。
　送信部２０７からメッセージを受け取った制御装置は、メッセージに従った制御を行う（Ｓ１０６）。
　以上のように、本実施の形態によれば、受信部２０１が出力したメッセージが、脆弱性を探索する攻撃であるか否かを判断するファジング検出部２０２と、ファジング検出部２０２が出力したメッセージの内容に対応したデコイ動作を決定するデコイ動作決定部２０４を備えたので、攻撃者に対し、脆弱性に起因する不正な動作と、デコイ動作とを区別しづらくすることにより、脆弱性露見までの時間を長大化することが可能になる。
実施の形態２．
　実施の形態１では、デコイ動作と、メッセージＩＤを関連付けて選択する構成を開示した。この構成では、メッセージＩＤの種類が増大した際、デコイ動作データベース２０５に要求される保存容量が増大してしまうとともに、データベースを検索することに伴うデコイ動作決定部２０４の処理負荷が増大してしまう場合がある。
　本実施の形態では、デコイ動作データベース２０５にメッセージＩＤの代わりに、ハッシュ値を用いて、デコイ動作データベース２０５の容量を削減するとともに、データベースを検索することに伴うデコイ動作処理部の処理負荷を削減できる構成を開示する。
　図１４は、本実施の形態における、中継装置１３の機能ブロック構成図であり、図１４において、図２と同一符号は同一または相当部分を示している。
　本実施の形態に係る中継装置１３は、実施の形態１と基本的な構成は同じであるが、デコイ動作データベース２０５にメッセージＩＤのハッシュ値を用いていることと、ファジング検出部２０２が出力する不正メッセージに応じて一意の符号を発生するハッシュ発生部２０８を有する点が異なる。
　本実施の形態に係るデコイ動作データベース２０５の例を図１５に示す。
　本実施の形態に係るデコイ動作データベース２０５は、実施形態１の場合とは異なり、攻撃者がファジングに用いた不正メッセージから生成したハッシュと、ファジングを検出したときに行うデコイ動作との対応関係が定義されている。このようにすることにより、メッセージＩＤが仮に２バイト、ハッシュの長さが仮に１バイトとすれば、デコイ動作データベース２０５に必要なデータ量を削減することができる。
　なお、メッセージＩＤとメッセージのデータ部の両方とデコイ動作が関連付けられていた場合には、この双方をハッシュ発生部２０８の入力とすることで、さらにデコイ動作データベース２０５に必要なデータ量を削減することができる。
　さらに、デコイ動作データベース２０５のデータ量が削減されたことにより、デコイ動作決定部２０４の処理負荷も削減されるという効果がある。
　次に図１６を用いて、動作について説明する。
　実施の形態１のときと同様、データセンタ２において攻撃者が不正アプリ２２を用いることによって、車載ネットワークシステム１０に残存する脆弱性を探索しようと、サイドチャネルアタックを行おうとした場合に、中継装置１３がどのような動作を実施するか開示する。
　本実施の形態における動作については、実施の形態１で述べた手順と同じであり、以下に実施の形態１で説明した動作との差異についてのみ説明する。
　脆弱性探索を目的としているメッセージ（不正メッセージ）であったとファジング検出部２０２が判断した場合（Ｓ１０２：ＹＥＳ）、ファジング検出部２０２は、不正メッセージのメッセージＩＤをハッシュ発生部２０８へ出力する。
　ハッシュ発生部２０８は、受け取ったメッセージＩＤの符号（ハッシュ）を生成し、デコイ動作決定部２０４へ出力する（Ｓ２０１）。
　ここでハッシュとは、メッセージＩＤを要約した数値であり、元のメッセージＩＤの長さより短く、固定長である。ハッシュを生成するのに使用可能なハッシュ関数としては、ＭＤ５、ＳＨＡ－１、ＣＲＣなどがあるが、これらに限定されるものではない。
　デコイ動作決定部２０４は、渡されたハッシュとデコイ動作データベース２０５とを比較して、実行すべきデコイ動作を決定する（Ｓ２０２）。
　以上のように、本実施の形態によれば、実施の形態１で開示した効果に加えて、デコイ動作データベース２０５の大きさを削減できるという効果がある。
実施の形態３．
　実施の形態２では、攻撃者が脆弱性の探索に単一のメッセージを使用する場合について説明した。しかし、脆弱性に対する攻撃は、複数のメッセージを組み合わせて行われることが一般的である。このため、デコイ動作が単一のメッセージにのみに基づいて決定されると、複数のメッセージを用いて探索した場合に、単一のメッセージで喚起されるデコイ動作以外の動作が観測された場合に、前記動作が残存する脆弱性によって喚起されたと判断できる場合がある。
　本実施の形態では、トリガデータベースを用いた場合について述べる。トリガデータベースを用いることにより、例え攻撃者が探索に複数のメッセージを用いたとしても、残存する脆弱性により喚起される動作とデコイ動作との区別が困難になる。
　図１７は、本実施の形態における、中継装置１３の機能ブロック構成図であり、図１７において、図１４と同一符号は同一または相当部分を示している。
　本実施の形態に係る中継装置１３は、実施の形態２と基本的な構成は同じであるが、トリガ抽出部２０９と、トリガデータベース２１０と、受信メッセージ保存部２１３を有する点が異なる。
　トリガ抽出部２０９は、トリガデータベース２１０に基づき、ファジング検出部がファジングを検出したタイミングから、事前に定義された終了条件を受信メッセージが満たすタイミングまでに、受信したメッセージを抽出する。
　トリガデータベース２１０には、トリガ抽出部２０９がメッセージを抽出するための終了条件が登録されている。トリガデータベース２１０の例を図１８に示す。図１８の例では、「特定のメッセージを受信」、「開始条件に適合してから受信したメッセージの個数」、「開始条件に適合したメッセージを受信してからの時間」を例としてあげている。
　例えば、図１８の登録番号１の条件では、メッセージＩＤが０ｘ１１００の不正メッセージを受信したタイミングから、メッセージＩＤが０ｘ１１００のメッセージを受信したタイミングまでの受信メッセージを抽出する取得することを示している。
　受信メッセージ保存部２１３は、トリガ抽出部２０９が受け取ったメッセージを一時的に保存するのに用いられる。
　次に図１９を用いて、動作について説明する。
実施の形態１のときと同様、データセンタ２において攻撃者が不正アプリ２２を用いることによって、車載ネットワークシステム１０に残存する脆弱性を探索しようと、サイドチャネルアタックを行おうとした場合に、中継装置１３がどのような動作を実施するか開示する。
　本実施の形態における動作については、実施の形態２で述べた手順と同じであり、以下に実施の形態２で説明した動作との差異についてのみ説明する。
　脆弱性探索を目的としているメッセージ（不正メッセージ）であったとファジング検出部２０２が判断した場合（Ｓ１０２：ＹＥＳ）、ファジング検出部２０２は、不正メッセージをトリガ抽出部２０９へ出力する。
　トリガ抽出部２０９は、受け取ったメッセージを受信メッセージ保存部２１３に保存する（Ｓ３０１）。
　トリガ抽出部２０９は、受け取ったメッセージが終了条件を満たしているかを判断する（Ｓ３０２）。例えば、図１８の登録番号１の行場合、メッセージＩＤが０ｘ１１００である不正メッセージを検出したあと、はじめてメッセージＩＤが０ｘ１０００である受信メッセージを受け取った場合、「終了条件を満たした」と判断する。
　受け取ったメッセージが終了条件を満たしていると判断した場合（Ｓ３０２：ＹＥＳ）、トリガ抽出部２０９は、それまで受信メッセージ保存部２１３に保存した複数のメッセージ（指示群）のメッセージＩＤをハッシュ発生部２０８へ出力する。
　ハッシュ発生部２０８は、複数のメッセージ（指示群）のメッセージＩＤのハッシュを生成する（Ｓ３０３）。
　なお、実施の形態２と同様、メッセージＩＤとメッセージのデータ部の両方とデコイ動作が関連付けられていた場合には、この双方をハッシュ発生部２０８の入力とすることで、さらにデコイ動作データベース２０５に必要なデータ量を削減することができる。
　トリガ抽出部２０９が、受け取ったメッセージが終了条件を満たしていると判断しなかった場合（Ｓ３０２：ＮＯ）、次のメッセージを受信するまで待つ。なお、一定時間次のメッセージを受信しなかったときは、終了条件を満たしたものとして判断してもよい。
　以上のように、本実施の形態によれば、攻撃者が複数のメッセージを利用して脆弱性を探索している場合にも、デコイ動作を発生させることができ、脆弱性露見までの時間をさらに長大化することが可能になる。
実施の形態４．
　脆弱性を発見しようとする攻撃者の目標が、攻撃対象が保有する重要な情報の奪取、社会的な影響を与えることであった場合、攻撃者は、ある製品モデルの特定の個体だけを攻撃することよりも、ある製品モデルの任意の個体に対し攻撃できることを求める。
　もし攻撃者が、脆弱性の探索を試みた結果、ある個体において脆弱性を喚起する操作が別の個体において脆弱性を喚起しないときには、その操作によって喚起される脆弱性は個体差によるものだ、と結論付けると考えられる。
　この喚起されたように見える脆弱性が個体差によるものであると攻撃者が判定しているのであれば、その操作は攻撃者にとって相対的に価値が低くなり、その脆弱性をさらに探索する動機は相対的に低くなる。
　本実施の形態では、現に組み込みネットワークシステムに存在する脆弱性が喚起され得る操作を攻撃者が実施したとしても、それを個体差によるものだと攻撃者に誤認させ、脆弱性露見の糸口となる操作の識別を困難にし、脆弱性露見までの時間を長大化することを目的とする。
　図２０は、本実施の形態における、中継装置１３の機能ブロック構成図であり、図２０において、図１７と同一符号は同一または、相当部分を示している。
　本実施の形態に係る中継装置１３は、実施の形態３と基本的な構成は同じであるが、個別ＩＤ取得部（個別識別子取得部）２１１を有する点が異なる。
　個別ＩＤ取得部２１１は、個別の組み込みネットワークを識別するための識別符号である個別ＩＤ（個別識別子）を取得する。個別ＩＤとして、例えば、自動車においては車両識別番号（Ｖｅｈｉｃｌｅ　Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ　Ｎｕｍｂｅｒ）等が利用可能である。
　次に図２１を用いて、動作について説明する。
　実施の形態１のときと同様、データセンタ２において攻撃者が不正アプリ２２を用いることによって、車載ネットワークシステム１０に残存する脆弱性を探索しようと、サイドチャネルアタックを行おうとした場合に、中継装置１３がどのような動作を実施するか開示する。
　本実施の形態における動作については、実施の形態３で述べた手順と同じであり、以下に実施の形態３で説明した動作との差異についてのみ説明する。
　ハッシュ発生部２０８は、個別ＩＤ取得部２１１から個別ＩＤを取得する（Ｓ４０１）。個別ＩＤ取得部が個別ＩＤを取得する方法としては、中継装置自身にあらかじめ記憶しておく方法や、組み込みネットワークシステムを構成する制御装置に問い合わせる方法などがある。
　ハッシュ発生部２０８は、送信されてきた複数の不正メッセージ（指示群）のメッセージＩＤと、個別ＩＤを用いてハッシュを生成する。ハッシュの生成に不正メッセージと個別ＩＤを用いることにより、デコイ動作の決定に個別ＩＤを関与させることができ、攻撃者が観測する脆弱性の糸口が個体差によるものだと誤認させることができる。
　なお、実施の形態２、３と同様、メッセージＩＤとメッセージのデータ部の両方とデコイ動作が関連付けられていた場合には、この双方と個別ＩＤをハッシュ発生部２０８の入力とすることで、さらにデコイ動作データベース２０５に必要なデータ量を削減することができる。
　以上のように、本実施の形態によれば、個別ＩＤをデコイ動作の決定に関与させることで攻撃者が車両の個体差とデコイ動作と実際の脆弱性による挙動変化を区別することが困難になり、脆弱性露見までの時間をさらに長大化することが可能になる。
実施の形態５．
　実施の形態１から４では、攻撃者にとってその動作が本来の仕様にそっていないのではないかと誤認させるデコイ動作を見せかけることにより、攻撃者が脆弱性の探索にかかる時間を長大化させる場合について述べた。
　しかし、これは逆に言えば、長大な時間をかけてしらみつぶしに調べれば、脆弱性の探索が可能になるということである。
　本実施の形態では、定期的にファジング検出データベース２０３、デコイ動作データベース２０５、トリガデータベース２１０の少なくともいずれか一つを更新することで、攻撃者に見せかけるデコイ動作の態様を変更する場合について述べる。
　攻撃者にみせかけるデコイ動作の態様を変えることで、攻撃者に対し、また一から脆弱性の探索を行わせることが可能となる。
　これにより、攻撃者は例えば複数の組み込みネットワーク機器を同時に探索する等、より困難な方法を用いて、脆弱性を探索する速度を向上させる必要があり、さもなければ、脆弱性露見までの時間を長大化させることができる。
　本実施の形態では、データベースのアップデートについて説明する。
　図２２は、本実施の形態における、中継装置１３の機能ブロック構成図であり、図２２において、図２０と同一符号は同一または、相当部分を示している。
　本実施の形態に係る中継装置１３は、実施の形態４と基本的な構成は同じであるが、データベースアップデート部２１２を有する点が異なる。
　データベースアップデート部２１２は、ファジング検出データベース２０３、デコイ動作データベース２０５、トリガデータベース２１０の少なくともいずれか一つを更新する。
　例えば、データベースアップデート部２１２が、定期的に各データベースに関する更新データの有無をデータセンタ２に問い合わせ、更新データがあった場合には更新データをデータセンタ２から受信し、受信した更新データを用いて対応するデータベースを書き換えるように構成することができる。
　また、データベースアップデート部２１２をＵＤＳ（Ｕｎｉｆｉｅｄ　Ｄｉａｇｎｏｓｉｓ　Ｓｅｒｖｉｃｅｓ）に対応させ、さらに、組み込みネットワークシステムに車載診断ツールを接続できるようにしたうえで、車載診断ツール上にダウンロードした更新データを用いて中継装置上のデータベースを更新するように構成することもできる。
　次に図２３を用いて、動作について説明する。
　本実施の形態では、組み込みネットワークシステムがデータベースのアップデート処理が行われるものとしている。また、本実施の形態では、他のメッセージと同様、受信部２０１を介してデータベースの更新指示を受け取るような場合を想定しているが、データベースの更新指示を受け取る別の手段を用いてもよい。
　なお、本実施の形態では、発明に関連する事項について簡便に説明を行うが、当業者はソフトウェアのリモート更新手法について詳細に開示されている非特許文献２を参照することにより容易に実施可能である。
　また、実施の形態１のときと同様、データセンタ２において攻撃者が不正アプリ２２を用いることによって、車載ネットワークシステム１０に残存する脆弱性を探索しようと、サイドチャネルアタックを行おうとした場合に、中継装置１３がどのような動作を実施するか開示する。なお、受信部２０１は、メッセージだけではなく、データベースのアップデート指示も受け取るものとする。
　本実施の形態における動作については、実施の形態４で述べた手順と同じであり、以下に実施の形態３で説明した動作との差異についてのみ説明する。
　受信部２０１は、受信したデータが、データベースの更新指示なのか、メッセージなのかを判断する（Ｓ５０１）。
　データベースの更新指示であった場合、受信部は、データベースアップデート部２１２へデータを渡す（Ｓ５０１：ＹＥＳ）。なお、受信部２０１が受信したデータが、メッセージであった場合（Ｓ５０１：ＮＯ）は、以下、実施の形態４と同じ動作を行う。
　データベースアップデート部２１２は、受信部２０１を通じて、データベース更新パッケージを受信する（Ｓ５０２）。
　データベースアップデート部２１２にデータベース更新パッケージを送信するのは、例えばデータセンタ２上の正常アプリ２１が挙げられる。データベース更新パッケージには、ファジング検出データベース２０３、デコイ動作データベース２０５、トリガデータベース２１０の内容の全部あるいは一部あるいは差分と、対象となるデータベースの種類が記載されており、これを用いてデータベースを更新することが可能である。
　データベースアップデート部２１２は、データベース更新パッケージの情報に基づき、ファジング検出データベース２０３、デコイ動作データベース２０５、トリガデータベース２１０の少なくともいずれか一つを更新する（Ｓ５０３）。
　以上のように、本実施の形態によれば、選択されるデコイ動作の種類を定期的に変更することが可能になり、脆弱性露見のための攻撃者の試行回数を増加できる。これにより、脆弱性露見までの時間をさらに長大化することが可能になる。
　１　　自動車、２　　データセンタ、１０　　車載ネットワークシステム、１１　　アンテナ、１２　　車載ネットワーク、１３　　中継装置、１４　　制御装置、１５　　制御装置、１６　　ヘッドライト、１７　　室内灯、１８　　エアコン、２１　　正常アプリ、２２　　不正アプリ、２３　　アンテナ、１００　　マイクロコンピュータ、１０１　　ＲＡＭ、１０２　　ＲＯＭ、１０３　　プログラム、１０４　　不揮発性メモリ、１０５　　ＣＰＵ、１０６　　通信部、２０１　　受信部、２０２　　ファジング検出部、２０３　　検出データベース、２０４　　デコイ動作決定部、２０５　　デコイ動作データベース、２０６　　デコイ動作実行部、２０７　　送信部、２０８　　ハッシュ発生部、２０９　　トリガ抽出部、２１０　　トリガデータベース、２１１　　個別ＩＤ取得部、２１２　　データベースアップデート部、２１３　　受信メッセージ保存部。

Claims (4)

  1. 　指示を受信する受信部と、
    　前記指示のうち、不正な指示を検出するファジング検出部と、
    　前記不正な指示に対応した見せかけの動作を決定する見せかけ動作決定部と、
    　前記見せかけの動作に対応した指示を生成する指示生成部と
    を有することを特徴とする中継装置。
  2. 　前記不正な指示に対し、符号を発生するハッシュ発生部を有し、
    　前記見せかけ動作決定部は、前記符号に対応した見せかけの動作を決定することを特徴とする請求項１に記載の中継装置。
  3. 　前記不正な指示を指示群として１つ以上保存し、前記指示群が特定の条件を満たした場合、前記指示群を前記ハッシュ発生部へ出力するトリガ抽出部を有し、
    　前記ハッシュ発生部は、前記トリガ抽出部が出力する前記指示群に対し、符号を発生することを特徴とする請求項２に記載の中継装置。
  4. 　個別識別子を取得する個別識別子取得部を有し、
    　前記ハッシュ発生部は、前記指示群と前記個別識別子を用いて符号を発生することを特徴とする請求項３に記載の中継装置。
PCT/JP2016/062330 2016-04-19 2016-04-19 中継装置 WO2017183099A1 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
US16/078,538 US10785259B2 (en) 2016-04-19 2016-04-19 Relay device
JP2018512673A JP6391889B2 (ja) 2016-04-19 2016-04-19 中継装置
PCT/JP2016/062330 WO2017183099A1 (ja) 2016-04-19 2016-04-19 中継装置
CN201680084503.9A CN109076011B (zh) 2016-04-19 2016-04-19 中继装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2016/062330 WO2017183099A1 (ja) 2016-04-19 2016-04-19 中継装置

Publications (1)

Publication Number Publication Date
WO2017183099A1 true WO2017183099A1 (ja) 2017-10-26

Family

ID=60115770

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2016/062330 WO2017183099A1 (ja) 2016-04-19 2016-04-19 中継装置

Country Status (4)

Country Link
US (1) US10785259B2 (ja)
JP (1) JP6391889B2 (ja)
CN (1) CN109076011B (ja)
WO (1) WO2017183099A1 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2019198137A1 (ja) * 2018-04-10 2019-10-17 三菱電機株式会社 セキュリティ装置及び組込み機器
WO2021019636A1 (ja) * 2019-07-29 2021-02-04 オムロン株式会社 セキュリティ装置、インシデント対応処理方法、プログラム、及び記憶媒体

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10922405B2 (en) * 2017-11-01 2021-02-16 Microsoft Technology Licensing, Llc Data generation for data protection
WO2020161523A1 (en) * 2019-02-06 2020-08-13 Telefonaktiebolaget Lm Ericsson (Publ) System for detecting short duration attacks on connected vehicles
JP6991294B1 (ja) * 2020-10-09 2022-01-12 三菱電機株式会社 制御装置
US20230100792A1 (en) * 2021-09-24 2023-03-30 Qualcomm Incorporated Techniques for misbehavior detection in wireless communications systems
US20240169226A1 (en) * 2022-11-23 2024-05-23 Nxp B.V. System and method of fuzzing prevention using intentional responses that appear to be randomized

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004304752A (ja) * 2002-08-20 2004-10-28 Nec Corp 攻撃防御システムおよび攻撃防御方法

Family Cites Families (27)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH0375827A (ja) 1989-08-18 1991-03-29 Toshiba Corp コピー防止装置
US5249294A (en) 1990-03-20 1993-09-28 General Instrument Corporation Determination of time of execution of predetermined data processing routing in relation to occurrence of prior externally observable event
CA2037857C (en) 1990-03-20 2001-01-16 Roy Allen Griffin, Iii Prevention of determination of time of execution of predetermined data processing routine in relation to occurrence of prior observable external event
FR2790844B1 (fr) 1999-03-09 2001-05-25 Gemplus Card Int Procede et dispositif de surveillance du deroulement d'un programme, dispositif programme permettant la surveillance de son programme
US20020046351A1 (en) * 2000-09-29 2002-04-18 Keisuke Takemori Intrusion preventing system
US20020133606A1 (en) 2001-03-13 2002-09-19 Fujitsu Limited Filtering apparatus, filtering method and computer product
US20020133603A1 (en) 2001-03-13 2002-09-19 Fujitsu Limited Method of and apparatus for filtering access, and computer product
JP2002342279A (ja) 2001-03-13 2002-11-29 Fujitsu Ltd フィルタリング装置、フィルタリング方法およびこの方法をコンピュータに実行させるプログラム
JP4145118B2 (ja) 2001-11-26 2008-09-03 松下電器産業株式会社 アプリケーション認証システム
US7966499B2 (en) * 2004-01-28 2011-06-21 Irdeto Canada Corporation System and method for obscuring bit-wise and two's complement integer computations in software
JP2006107274A (ja) 2004-10-07 2006-04-20 Matsushita Electric Ind Co Ltd ハッシュ関数演算システム、暗号化システムおよび不正解析・改竄防止システム
JP2006221548A (ja) 2005-02-14 2006-08-24 Kyocera Mita Corp 通信装置、通信システム、通信装置用プログラム
JP2007172401A (ja) 2005-12-22 2007-07-05 Matsushita Electric Works Ltd 不正メール検知装置
JP4791250B2 (ja) 2006-05-19 2011-10-12 ルネサスエレクトロニクス株式会社 マイクロコンピュータおよびそのソフトウェア改竄防止方法
CN1889573A (zh) * 2006-07-31 2007-01-03 华为技术有限公司 一种主动诱骗方法与系统
JP2009238153A (ja) 2008-03-28 2009-10-15 Nec Corp マルウェア対処システム、方法及びプログラム
JP5467271B2 (ja) 2009-12-24 2014-04-09 和臣 大石 情報処理装置及びプログラム、情報処理方法、記録媒体
WO2011116448A1 (en) 2010-03-25 2011-09-29 Irdeto Canada Corporation System and method for dynamic, variably-timed operation paths as a resistance to side channel and repeated invocation attacks
RU2449348C1 (ru) * 2010-11-01 2012-04-27 Закрытое акционерное общество "Лаборатория Касперского" Система и способ для антивирусной проверки на стороне сервера скачиваемых из сети данных
CN102932780B (zh) * 2011-08-11 2015-08-19 西门子公司 检测伪装攻击的系统及方法
JP5522160B2 (ja) * 2011-12-21 2014-06-18 トヨタ自動車株式会社 車両ネットワーク監視装置
JP5832951B2 (ja) * 2012-04-27 2015-12-16 日本電信電話株式会社 攻撃判定装置、攻撃判定方法及び攻撃判定プログラム
US9647921B2 (en) * 2012-08-07 2017-05-09 Qualcomm Incorporated Statistics and failure detection in a network on a chip (NoC) network
JP5919205B2 (ja) * 2013-01-28 2016-05-18 日立オートモティブシステムズ株式会社 ネットワーク装置およびデータ送受信システム
CN104243408B (zh) * 2013-06-14 2017-11-21 中国移动通信集团公司 域名解析服务dns系统中监控报文的方法、装置及系统
CN104519068A (zh) * 2014-12-26 2015-04-15 赵卫伟 一种基于操作系统指纹跳变的移动目标防护方法
CN105391066B (zh) * 2015-12-17 2017-03-29 西安交通大学 一种智能电网模拟运行系统

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004304752A (ja) * 2002-08-20 2004-10-28 Nec Corp 攻撃防御システムおよび攻撃防御方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
KEISUKE TAKEMORI ET AL.: "Fusei Shinnyusha ni Kenchi sareru Koto naku Otori Data Ryoiki eto Yudo suru Otori System no Sekkei", INFORMATION PROCESSING SOCIETY OF JAPAN DAI 62 KAI (HEISEI 13 NEN ZENKI) ZENKOKU TAIKAI KOEN RONBUNSHU (3) DATABASE TO MEDIA NETWORK, 13 March 2001 (2001-03-13), pages 3-291 - 3-292 *

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2019198137A1 (ja) * 2018-04-10 2019-10-17 三菱電機株式会社 セキュリティ装置及び組込み機器
JPWO2019198137A1 (ja) * 2018-04-10 2020-07-02 三菱電機株式会社 セキュリティ装置及び組込み機器
DE112018007217B4 (de) 2018-04-10 2022-03-17 Mitsubishi Electric Corporation Sicherheitseinrichtung mit einer Angriffs-Detektionseinrichtung und einer Sicherheitsrisikozustand-Bestimmungseinrichtung und eingebettete Einrichtung hierfür
WO2021019636A1 (ja) * 2019-07-29 2021-02-04 オムロン株式会社 セキュリティ装置、インシデント対応処理方法、プログラム、及び記憶媒体

Also Published As

Publication number Publication date
JP6391889B2 (ja) 2018-09-19
CN109076011B (zh) 2021-05-07
CN109076011A (zh) 2018-12-21
US10785259B2 (en) 2020-09-22
JPWO2017183099A1 (ja) 2018-08-23
US20190052674A1 (en) 2019-02-14

Similar Documents

Publication Publication Date Title
JP6391889B2 (ja) 中継装置
US10657251B1 (en) Multistage system and method for analyzing obfuscated content for malware
CN109922075B (zh) 网络安全知识图谱构建方法和装置、计算机设备
US10491627B1 (en) Advanced malware detection using similarity analysis
US8763103B2 (en) Systems and methods for inhibiting attacks on applications
RU2680736C1 (ru) Сервер и способ для определения вредоносных файлов в сетевом трафике
US8474044B2 (en) Attack-resistant verification of auto-generated anti-malware signatures
CN110290148B (zh) 一种web防火墙的防御方法、装置、服务器及存储介质
US8826437B2 (en) Intelligent system and method for mitigating cyber attacks in critical systems through controlling latency of messages in a communications network
JP2019133599A (ja) 車載装置、インシデント監視方法
KR20140022975A (ko) 캡차를 기반으로 하는 트래픽 제어 장치 및 그 방법
CN106133742B (zh) 确定装置、确定方法以及确定程序
Robles-Durazno et al. PLC memory attack detection and response in a clean water supply system
EP3270317B1 (en) Dynamic security module server device and operating method thereof
KR101138748B1 (ko) 악성 코드 차단 장치, 시스템 및 방법
CN105814861B (zh) 用于传输数据的设备和方法
KR102005107B1 (ko) Api 호출 시퀀스를 이용한 악성코드의 기능 분석 방법 및 장치
CN105791250B (zh) 应用程序检测方法及装置
RU2739864C1 (ru) Система и способ корреляции событий для выявления инцидента информационной безопасности
KR101657180B1 (ko) 프로세스 접근 제어 시스템 및 방법
Kim et al. Shadowauth: Backward-compatible automatic can authentication for legacy ecus
JP7176569B2 (ja) 情報処理装置、ログ分析方法及びプログラム
CN106416178A (zh) 用于识别自主的、自传播的软件的方法和设备
WO2020137852A1 (ja) 情報処理装置
WO2007074992A1 (en) Method for detecting malicious code changes from hacking of program loaded and executed on memory through network

Legal Events

Date Code Title Description
ENP Entry into the national phase

Ref document number: 2018512673

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 16899373

Country of ref document: EP

Kind code of ref document: A1

122 Ep: pct application non-entry in european phase

Ref document number: 16899373

Country of ref document: EP

Kind code of ref document: A1