WO2020065776A1 - 情報処理装置、制御方法、及びプログラム - Google Patents

情報処理装置、制御方法、及びプログラム Download PDF

Info

Publication number
WO2020065776A1
WO2020065776A1 PCT/JP2018/035744 JP2018035744W WO2020065776A1 WO 2020065776 A1 WO2020065776 A1 WO 2020065776A1 JP 2018035744 W JP2018035744 W JP 2018035744W WO 2020065776 A1 WO2020065776 A1 WO 2020065776A1
Authority
WO
WIPO (PCT)
Prior art keywords
communication
attack
information
mobile terminal
identifier
Prior art date
Application number
PCT/JP2018/035744
Other languages
English (en)
French (fr)
Inventor
淳 西岡
純明 榮
和彦 磯山
悦子 市原
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to PCT/JP2018/035744 priority Critical patent/WO2020065776A1/ja
Priority to JP2020547674A priority patent/JP7276347B2/ja
Priority to US17/277,379 priority patent/US20220038472A1/en
Publication of WO2020065776A1 publication Critical patent/WO2020065776A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud
    • H04W12/121—Wireless intrusion detection systems [WIDS]; Wireless intrusion prevention systems [WIPS]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/60—Context-dependent security
    • H04W12/63—Location-dependent; Proximity-dependent
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/60—Context-dependent security
    • H04W12/61—Time-dependent
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W24/00—Supervisory, monitoring or testing arrangements
    • H04W24/08—Testing, supervising or monitoring using real traffic

Definitions

  • the present invention relates to security of network communication.
  • Patent Document 1 discloses that, in an environment where a wireless terminal connects to a wireless WAN via a wireless LAN, wireless communication is performed at a position specified by the positional information using statistical information of communication in the wireless LAN and positional information of the wireless terminal. It discloses a technology for determining whether an error has occurred in LAN.
  • Mobile terminals use a wider variety of network environments than stationary terminals with fixed locations. For example, mobile terminals may communicate via access points installed in various stores. Therefore, there is a high risk that the mobile terminal will be damaged by an attack that affects communication.
  • Patent Literature 1 does not mention attack damage to mobile terminals.
  • An object of the present invention is to provide a technique for reducing the probability that a mobile terminal will be affected by an attack.
  • the information processing apparatus includes: 1) an extraction unit configured to extract a communication history indicating a communication related to a similar attack from a communication history indicating a history of network communication performed by each of the plurality of mobile terminals; 2) a generation unit for generating attack information relating to an attack on the mobile terminal using the position information indicated in each extracted communication history; and 3) an output for outputting the generated attack information. And a part.
  • the control method of the present invention is executed by a computer.
  • the control method includes 1) an extraction step of extracting a communication history indicating a communication related to a similar attack from a communication history indicating a history of network communication performed by each of the plurality of mobile terminals. 2) a generating step of generating attack information relating to an attack on the mobile terminal by using the position information indicated in each extracted communication history; 3) an output step of outputting the generated attack information; Having.
  • the program of the present invention causes a computer to execute each step of the control method of the present invention.
  • a technique for reducing the probability that a mobile terminal will be affected by an attack.
  • FIG. 3 is a diagram illustrating an outline of an operation of the information processing apparatus according to the first embodiment.
  • FIG. 2 is a diagram illustrating a configuration of the information processing apparatus according to the first embodiment.
  • FIG. 2 is a diagram illustrating a computer for realizing an information processing device.
  • 6 is a flowchart illustrating a flow of a process executed by the information processing apparatus according to the first embodiment.
  • FIG. 3 is a diagram illustrating a configuration of a communication history 20 in a table format. It is a figure which illustrates the case where the change of position information is small in the time series data of position information. It is a figure which illustrates the case where the change of position information is large in the time series data of position information.
  • each block diagram represents a configuration of a functional unit, not a configuration of a hardware unit.
  • FIG. 1 is a diagram illustrating an outline of an operation of the information processing apparatus according to the first embodiment.
  • FIG. 1 is a conceptual diagram for facilitating the understanding of the operation of the information processing device 2000, and does not specifically limit the operation of the information processing device 2000.
  • Some terminals perform network communication while moving, such as terminals installed in vehicles.
  • a mobile terminal 10 performs network communication via an access point installed in a store, performs network communication via a base station, and the like. Therefore, a plurality of mobile terminals 10 may connect to the same network.
  • a plurality of mobile terminals 10 may access a common device (for example, a ⁇ Web ⁇ server or a ⁇ DNS ⁇ server).
  • a plurality of mobile terminals 10 connected to the same network or accessing the same device as described above may suffer similar attack damage.
  • the attack means any attack that affects the network communication of the mobile terminal 10. For example, attacks that introduce malware to the mobile terminal 10, attacks that falsify data exchanged in network communication between the mobile terminal 10 and other devices, and attacks that leak information from the mobile terminal 10 to the outside. Is included.
  • the information processing apparatus 2000 extracts a communication history 20 related to a similar attack from the communication history 20 indicating the history of network communication of the plurality of mobile terminals 10, and uses the extracted communication history 20 to attack the mobile terminal 10. (Hereinafter referred to as attack information).
  • the communication history 20 includes the position information of the mobile terminal 10.
  • the information processing device 2000 generates attack information using the position information indicated in each extracted communication history 20.
  • the information processing apparatus 2000 extracts the communication history 20 related to a similar attack, and estimates a location where a new attack is performed using the position information indicated in each extracted communication history 20. Then, the information processing device 2000 generates attack information indicating the estimated location. By using this attack information, for example, the user of the mobile terminal 10 can avoid an attack by taking measures such as moving around a new attack location.
  • the information processing apparatus 2000 of the present embodiment extracts the communication history 20 of the mobile terminal 10 that has been subjected to a similar attack, and performs a new attack using the position information of the mobile terminal 10 indicated by the extracted communication history 20. Attack information such as location is generated. By using such attack information, it is possible to prevent the mobile terminal 10 that has not been attacked yet from suffering attack damage. As a result, it is possible to reduce the probability that each mobile terminal 10 will be attacked. Further, the mobile terminal 10 that has already been attacked can be prevented from receiving the same attack again.
  • FIG. 2 is a diagram illustrating a configuration of the information processing apparatus 2000 according to the first embodiment.
  • the information processing device 2000 includes an extraction unit 2020, a generation unit 2040, and an output unit 2060.
  • the extracting unit 2020 extracts a communication history 20 indicating a communication related to a similar attack from a communication history 20 indicating a history of network communication performed by each of the plurality of mobile terminals 10.
  • the generating unit 2040 generates attack information on an attack on the mobile terminal 10 using the position information indicated in each extracted communication history 20.
  • the output unit 2060 outputs attack information.
  • Each functional component of the information processing apparatus 2000 may be implemented by hardware (eg, a hard-wired electronic circuit or the like) that implements each functional component, or a combination of hardware and software (eg: Electronic circuit and a program for controlling the same).
  • hardware eg, a hard-wired electronic circuit or the like
  • software eg: Electronic circuit and a program for controlling the same.
  • FIG. 3 is a diagram illustrating a computer 1000 for realizing the information processing device 2000.
  • the computer 1000 is an arbitrary computer.
  • the computer 1000 is a stationary computer such as a personal computer (PC) or a server machine.
  • the computer 1000 is a portable computer such as a smartphone or a tablet terminal.
  • the computer 1000 may be a dedicated computer designed to realize the information processing device 2000, or may be a general-purpose computer.
  • the computer 1000 has a bus 1020, a processor 1040, a memory 1060, a storage device 1080, an input / output interface 1100, and a network interface 1120.
  • the bus 1020 is a data transmission path through which the processor 1040, the memory 1060, the storage device 1080, the input / output interface 1100, and the network interface 1120 mutually transmit and receive data.
  • a method for connecting the processors 1040 and the like to each other is not limited to a bus connection.
  • the processor 1040 is various processors such as a CPU (Central Processing Unit), a GPU (Graphics Processing Unit), and an FPGA (Field-Programmable Gate Array).
  • the memory 1060 is a main storage device realized using a RAM (Random Access Memory) or the like.
  • the storage device 1080 is an auxiliary storage device realized using a hard disk, an SSD (Solid State Drive), a memory card, or a ROM (Read Only Memory).
  • the input / output interface 1100 is an interface for connecting the computer 1000 and an input / output device.
  • an input device such as a keyboard and an output device such as a display device are connected to the input / output interface 1100.
  • the network interface 1120 is an interface for connecting the computer 1000 to a communication network.
  • the communication network is, for example, a LAN (Local Area Network) or a WAN (Wide Area Network).
  • the method by which the network interface 1120 connects to the communication network may be a wireless connection or a wired connection.
  • the storage device 1080 stores a program module that implements each functional component of the information processing apparatus 2000.
  • the processor 1040 realizes a function corresponding to each program module by reading out each of these program modules into the memory 1060 and executing them.
  • FIG. 4 is a flowchart illustrating a flow of a process executed by the information processing apparatus 2000 according to the first embodiment.
  • the extraction unit 2020 extracts a communication history 20 indicating a communication related to a similar attack from the plurality of communication histories 20 (S102).
  • the generation unit 2040 generates attack information using the position information indicated in each extracted communication history 20 (S104).
  • the output unit 2060 outputs the attack information (S106).
  • the mobile terminal 10 is any computer whose location moves and which performs network communication.
  • the mobile terminal 10 is a computer mounted on a vehicle such as an automobile.
  • the mobile terminal 10 performs network communication via a WAN (Wide Area Network).
  • the mobile terminal 10 may or may not have a network interface capable of directly connecting to the WAN #.
  • the mobile terminal 10 connects to the WAN # via another device having a network interface that can directly connect to the WAN #.
  • a case in which a computer mounted on a vehicle connects to ⁇ WAN ⁇ via a smartphone possessed by a vehicle occupant (using so-called tethering) may be considered.
  • FIG. 5 is a diagram illustrating a configuration of the communication history 20 in a table format.
  • the table in FIG. 5 is called a table 200.
  • the table 200 shows a terminal identifier 202, a communication date and time 204, position information 206, and a communication event 208.
  • Each record in the table 200 represents one communication history.
  • the terminal identifier 202 indicates an identifier of the mobile terminal 10 that is a communication source (data transmission source). That is, the terminal identifier 202 indicates which mobile terminal 10 is the history of the network communication performed.
  • the identifier of the mobile terminal 10 any identifier that can identify the mobile terminal 10 can be used. For example, a UUID (Universally Unique Identifier) or a network address (IP (Internet Protocol) address or MAC (Media Access Control) address) can be used as the identifier.
  • IP Internet Protocol
  • MAC Media Access Control
  • the communication date and time 204 indicates the date and time when the communication was performed.
  • the position information 206 indicates position information regarding the mobile terminal 10 of the communication source.
  • the position information is, for example, position information of the mobile terminal 10 itself, or position information of a smartphone or the like used by the mobile terminal 10 to connect to ⁇ WAN ⁇ .
  • As the position information of the terminal for example, ⁇ GPS ⁇ coordinates obtained from a ⁇ GPS (Global Positioning System) sensor provided in the terminal can be used. Further, as the position information, a ⁇ GPS ⁇ coordinate or an identifier of the relay device described later may be indicated.
  • the communication event 208 indicates various information representing the communication event.
  • a communication event 208 includes relay information 210 and address information 212.
  • the relay information 210 indicates an identifier of a relay device (Proxy @ server, access point, base station, or the like) used when the communication source mobile terminal 10 connects to the network.
  • a relay device for example, the same identifier as the identifier of the mobile terminal 10 can be used.
  • SSID # can be used as the identifier of the access point.
  • the address information 212 indicates, for example, information such as a network address and a port number for each of the communication source mobile terminal 10 and the communication destination device.
  • the address information 212 of FIG. 5 indicates information in the format of “ ⁇ IP address of communication source: port number ⁇ -> ⁇ IP address of communication destination: port number” ”.
  • the communication source address information may be omitted.
  • the information processing apparatus 2000 extracts a desired communication history from a database in which the communication history 20 is stored (hereinafter, a communication history database).
  • the server configuring the communication history database collects communication history.
  • This server may be the information processing device 2000 or a device other than the information processing device 2000.
  • each mobile terminal 10 periodically transmits the history of its own network communication to the database server.
  • the position of the security camera can be used as the position information of the vehicle by analyzing the images of the security cameras installed in various places to determine the number of each vehicle captured by the security camera. . That is, when a certain vehicle number is captured by the security camera, an identifier of the security camera, ⁇ GPS ⁇ coordinates of the security camera, and the like can be used as position information of the vehicle at the time of the imaging.
  • the extraction unit 2020 extracts the communication history 20 related to a similar attack (S102). In other words, the extraction unit 2020 extracts the communication history 20 performed by one or more mobile terminals 10 that have received a similar attack.
  • the similar attack is, for example, an attack in which at least one of an attacker and an attack type is common.
  • an extraction rule for extracting the communication history 20 of the mobile terminal 10 that has been subjected to a similar attack is defined.
  • the extracting unit 2020 extracts the communication history 20 performed by the similar attack by searching the communication history database based on the extraction rule. For example, as will be described later, a plurality of mobile terminals 10 that have commonly received an attack that connects to a malicious device are devices having the same identifier as communication destinations. Therefore, the communication histories 20 of a plurality of mobile terminals 10 that have been attacked can be extracted based on the extraction rule that “identifiers of communication destination devices are common”.
  • the extraction rules are stored in a storage device accessible from the extraction unit 2020.
  • the extraction unit 2020 may determine whether or not to extract the communication history 20 according to the amount of the communication history 20 that matches the extraction rule. For example, the extraction unit 2020 extracts the communication history 20 when the number of communication histories 20 matching the same extraction rule is equal to or more than a predetermined number. On the other hand, if the number of communication histories 20 that match the same extraction rule is less than the predetermined number, extraction unit 2020 does not extract communication histories 20.
  • the extraction unit 2020 may limit the target communication date and time. For example, the extraction unit 2020 extracts the communication history 20 when the number of the communication history 20 that matches the same extraction rule and the communication date and time is within a predetermined period (for example, the same day) is equal to or more than a predetermined number. Also, the extraction unit 2020 may use the ratio of the communication history 20 (the ratio of the number of communication histories 20 matching the extraction rule to the total number of communication histories 20) instead of the number of communication histories 20.
  • Man-in-the-middle attack For example, as an attack on the mobile terminal 10, a man-in-the-middle attack by the relay device can be considered.
  • a man-in-the-middle attack is an attack performed by a man-in-the-middle intervening between devices communicating with each other. Thereby, the data is falsified so that erroneous data is provided to the communication source mobile terminal 10 or the communication destination device, or malware is inserted into the data transmitted to the communication source mobile terminal 10.
  • an attack such as introducing malware to the mobile terminal 10 can be realized.
  • the identifier of the relay device is common is defined as the extraction rule. If the identifier of the relay device used for the attack is known, the identifier may be included in the extraction rule.
  • the identifier of the man-in-the-middle may be the destination of the packet transmitted from the mobile terminal 10 (that is, the man-in-the-middle is the communication destination device).
  • the mobile terminal 10 accesses the network via the ⁇ Proxy ⁇ server
  • the destination ⁇ IP ⁇ address of the packet transmitted from the mobile terminal 10 is the ⁇ IP ⁇ address of the Proxy server.
  • the communication history 20 in the case where a proxy man-in-the-middle has performed a man-in-the-middle attack indicates the identifier of the ⁇ Proxy ⁇ server that is the man-in-the-middle in the identifier of the communication destination device.
  • the mobile terminal 10 establishes a ⁇ VPN (Virtual Private Network) ⁇ for communication with a specific device, the mobile terminal 10 and the device exchange data via the VPN server. Therefore, the destination ⁇ IP ⁇ address of the packet transmitted from the mobile terminal 10 is the ⁇ IP ⁇ address of the VPN server.
  • VPN Virtual Private Network
  • the identifier of the communication destination device is common is defined as the extraction rule. If the identifier of the ⁇ Proxy ⁇ server or the ⁇ VPN ⁇ server used in the attack is known, the identifier may be included in the extraction rule.
  • DNS Hijack is used to change the communication destination of the mobile terminal 10 to a malicious device different from the originally intended communication destination, thereby making the mobile terminal 10 malicious. Will be connected to the device. " This makes it possible to implement attacks such as providing erroneous information to the mobile terminal 10 and introducing malware to the mobile terminal 10 by transmitting the malware to the mobile terminal 10.
  • the identifier of the communication destination device is common is defined as the extraction rule. If the identifier of the device used in the attack is known, the identifier may be included in the extraction rule.
  • ⁇ Other ⁇ For example, in DNS ⁇ Hijack ⁇ , it is conceivable that the DNS server returns the same ⁇ IP ⁇ address of the same illegal site even when the domains for which the name resolution is requested by a plurality of mobile terminals 10 are different from each other. Therefore, regardless of the communication destination, if the same ⁇ DNS ⁇ server is used, the same attack may occur.
  • the communication history 20 is configured to include the identifier of the ⁇ DNS ⁇ server used for name resolution. Then, as the extraction rule, “the identifier of the used ⁇ DNS ⁇ server is common” is defined. If the identifier of the ⁇ DNS ⁇ server used in the attack is known, the identifier may be included in the extraction rule.
  • the ⁇ DNS ⁇ server used by the mobile terminal 10 is preset in a relay device such as an access point or a base station. Therefore, the mobile terminal 10 using the same access point or base station may be damaged by common ⁇ DNS ⁇ Hijack ⁇ .
  • the identifier of the relay device is common is defined as the extraction rule. If the identifier of the relay device used in the attack is known, the identifier is included in the extraction rule.
  • Example 3 Attack by other person who obtained mobile terminal 10
  • Others may temporarily acquire (eg, entrust) the mobile terminal 10 or a computer system (e.g., vehicle) provided with the mobile terminal 10.
  • a computer system e.g., vehicle
  • the vehicle may be entrusted to another person (a dealer, a factory, or the like) in order to request inspection or repair of the vehicle.
  • the other party adds malware to the mobile terminal 10 or adds an unauthorized device to the system to connect to the mobile terminal 10.
  • the configuration information indicating the software configuration of the mobile terminal 10 and the configuration of peripheral devices is changed.
  • Such configuration information may be managed on a network. Therefore, the communication history 20 indicating the change of the configuration information can be extracted as the communication history 20 of the mobile terminal 10 that has been attacked.
  • each communication indicating the change of the configuration information has the management server managing the configuration information as a common communication destination. Also, it is considered that the content of the payload indicates a common configuration changed by the attack.
  • the extraction rules “the identifiers of the communication destination devices are common” and “the contents of the communication payload are common” are defined. If the identifier of the server that manages the configuration information and the data commonly included in the payload of the communication for updating the configuration information are known, these may be included in the extraction rule.
  • the mobile terminal 10 may be physically connected to an external device.
  • the mobile terminal 10 may be connected to a charger provided in a store or the like.
  • the mobile terminal 10 may be connected to the charger in a manner that allows data communication.
  • the charger supplies power via a USB interface
  • the mobile terminal 10 and the charger are connected via a USB cable.
  • malware may be introduced from the charger to the mobile terminal 10.
  • a plurality of mobile terminals 10 connected to the same charger are subjected to the same attack.
  • the same malware is introduced to the mobile terminals 10 that have been subjected to the same attack.
  • the malware performs network communication, it can be said that common features are found in the communication performed by the mobile terminal 10 that has been subjected to the same attack.
  • the common items are, for example, the identifier of the communication destination device and the content of data exchanged with the communication destination (that is, the content of the payload).
  • the identifier of the communication destination device is common and “the contents of the payload are common” are defined. If the identifier of the device to which the malware introduced by the above-mentioned attack is to communicate and the contents of the payload that the malware exchanges with the device to communicate with are known, these may be included in the extraction rule.
  • damages due to the various attacks described above for example, damages in which malware is put into the mobile terminal 10 can be considered. Further, specific damages caused by the malware being put into the mobile terminal 10 include leakage of secret information and system failure. Examples of the leaked secret information include a secret key, credit card information, a password, personal information, and location information.
  • the system failure includes, for example, damage to data on the system (eg, ransomware) and various controls caused by the presence of malware in processing performed by a control system of a device such as a vehicle. There are obstacles.
  • Another example of the damage caused by the attack is the falsification of communication data.
  • falsification of communication data for example, it is conceivable that confusing the user is caused by providing erroneous information to the mobile terminal 10. For example, if incorrect position information is passed to a car navigation system, incorrect navigation may be performed. In addition, for example, passing an incorrect parameter to the control system may cause a system failure.
  • the generation unit 2040 generates attack information (S104).
  • the attack information is, for example, information on a future attack on the mobile terminal 10.
  • the generation unit 2040 estimates a location where a new attack is to be performed using the location information indicated by the communication history extracted by the extraction unit 2020, and generates attack information indicating the estimated location. By notifying the mobile terminal 10 of the attack information, the mobile terminal 10 can move around the place, thereby reducing the damage of a new attack.
  • Various information can be used to specify the location where the attack is performed. For example, it can be specified by the name, address, or ⁇ GPS ⁇ coordinates of the place.
  • an identifier (SSID # or the like) of a wireless communication access point installed at the place may be used as information for specifying the place.
  • the generation unit 2040 estimates a location where a new attack is to be performed using the extracted communication history 20. Specifically, the generation unit 2040 generates time-series data indicating a time change of the position information using the position information indicated by each communication history 20. Then, the generation unit 2040 specifies a time change of the attack location using the time-series data, and estimates a new attack location based on the time change.
  • the generation unit 2040 estimates a location specified by the position information of each extracted communication history 20 as a location where a new attack is performed. For example, the generation unit 2040 obtains the average of the ⁇ GPS ⁇ coordinates indicated by the position information of each communication history 20, and calculates the ⁇ GPS ⁇ coordinates indicating the average as information indicating a new attack location. In addition, for example, the generation unit 2040 may use the name or address of a place corresponding to the calculated ⁇ GPS ⁇ coordinates as information indicating a place where a new attack is performed.
  • FIG. 6 is a diagram exemplifying a case where the change in the position information is small in the time-series data of the position information obtained from the extracted communication history 20.
  • FIG. 6 shows attack information including a map.
  • the cross mark represents the position information shown in the communication history 20 extracted by the extraction unit 2020.
  • the generation unit 2040 estimates an area including each piece of the position information as a place where a new attack is to be performed, and generates attack information indicating the place by a dotted line.
  • the generation unit 2040 estimates the movement route of the attack location based on the time change of the location information, and estimates each position on the movement route as a future attack location.
  • an existing technique can be used as a technique for predicting a future movement route of the object by using a time change of position information of the object.
  • map information is used for this prediction.
  • the map information may be stored in a storage device accessible from the information processing device 2000, or may be obtained from any server that provides the map information.
  • FIG. 7 is a diagram exemplifying a case where a change in position information is large in time-series data of position information obtained from the extracted communication history 20.
  • FIG. 7 shows that the position information is moving rightward along the road 30. Therefore, the generation unit 2040 estimates a location where the user has moved rightward along the road 30 as a location where a new attack is performed, and generates attack information indicating the location by a dotted line on the map.
  • the generation unit 2040 may compare the moving route of each mobile terminal 10 with the above-described time-series data, and specify the mobile terminal 10 moving on a route similar to the time-series data.
  • the mobile terminal 10 moving on a route similar to the time-series data described above has a high probability of being the mobile terminal 10 of the attacker. Therefore, the generation unit 2040 includes the identifier of the specified mobile terminal 10 in the attack information as information indicating the mobile terminal 10 that is estimated to be an attacker. Note that the travel route of the mobile terminal 10 can be specified from a time-series change in the position information of the mobile terminal 10.
  • the generation unit 2040 may generate the attack information by using a part of the communication history 20 extracted by the extraction unit 2020, but not all of the communication history 20. For example, the generation unit 2040 narrows down the communication histories 20 used for generating attack information by excluding, from the extracted communication histories 20, communication histories 20 whose communication date and time are significantly different from other communication histories 20. As a more specific example, the generation unit 2040 calculates the average ⁇ and the standard deviation ⁇ of the communication date and time indicated by the extracted communication history 20, and calculates only the communication history 20 whose communication date and time is included in the range of ⁇ ⁇ ⁇ . Use to generate attack information.
  • the generation unit 2040 may further divide the communication history 20 extracted by the above-described method into groups, and generate attack information for each group. For example, the generation unit 2040 clusters the extracted communication history 20 based on the communication date and time, and generates attack information for each cluster. Note that various existing methods can be used for the clustering method.
  • the output unit 2060 outputs the attack information (S106).
  • the content and output destination of the attack information will be described.
  • the output unit 2060 generates attack information including information on a location where a new attack is performed.
  • the information for specifying the location where a new attack is to be performed and the method for specifying the location are as described above.
  • the information on the place where a new attack is performed be represented in a format that is easy for humans to understand.
  • a map or the like on which information (for example, a figure or an icon) indicating the location is superimposed.
  • the output unit 2060 may generate attack information indicating the history of places where an attack has already been performed.
  • this information is information indicating the movement route (time-series data of the position information of each communication history 20 extracted by the extraction unit 2020) of the place where the attack was performed on a map in a manner in which the movement direction is known. is there. If the user of the mobile terminal 10 sees such information, the user can predict a future attack location to some extent.
  • the output unit 2060 transmits attack information to the mobile terminal 10.
  • the destination mobile terminals 10 may be all or some of the mobile terminals 10 that can be specified as destinations. In the latter case, the output unit 2060 sets the destination to the mobile terminal 10 that is highly likely to be newly attacked.
  • the mobile terminal 10 that is highly likely to be newly attacked is the mobile terminal 10 located at the location where the new attack is to be performed estimated by the generation unit 2040, or the mobile terminal 10 heading to the location.
  • the mobile terminal 10 heading for a certain place can include not only the mobile terminal 10 moving to the place as a destination but also the mobile terminal 10 passing through the place.
  • the information processing apparatus 2000 needs to be able to grasp the position of each mobile terminal 10. Therefore, for example, the position information of each mobile terminal 10 is collected in the same manner as the communication history 20, and is stored in a storage device that can be accessed by the information processing device 2000. For example, the position information is collected and managed together with the communication history.
  • the output unit 2060 uses the time-series data of the position information obtained from each mobile terminal 10 to estimate the future travel route of each mobile terminal 10 so that each mobile terminal 10 performs a new attack. It is determined whether the user is heading to the place to be touched.
  • the output unit 2060 outputs the destination information set in the car navigation system and the information of the recommended travel route presented by the car navigation system. Based on this, the moving route of the mobile terminal may be grasped. In this case, information handled by these car navigation systems is also collected and managed in the same manner as the position information of the mobile terminal 10.
  • the attack information transmitted to the mobile terminal 10 is received by the mobile terminal 10, it is preferable that the attack information is output so that the user of the mobile terminal 10 can recognize the attack information.
  • the attack information is displayed on a display device provided in the mobile terminal 10 (for example, a display device used by a car navigation system).
  • attack information may be output to a device that implements the car navigation system, and the recommended movement route provided by the car navigation system may be changed based on a future attack location indicated by the attack information.
  • the car navigation system uses the attack information to calculate a new travel route to reach the destination while avoiding a future attack location, and to present the calculated new travel route. .
  • the movement route of the automatic driving vehicle may be changed using attack information.
  • the method is the same as the method of changing the recommended movement route provided by the car navigation system.
  • the output destination of the attack information may be other than the mobile terminal 10.
  • the output unit 2060 stores the attack information in an arbitrary storage device accessible from the information processing device 2000.
  • the output unit 2060 may display the attack information on a display device connected to the information processing device 2000.
  • attack information may be made public via a Web server or the like. By doing so, various people can grasp information on the attack.
  • the information processing apparatus 2000 may function as a ⁇ Web ⁇ server, or a machine for the ⁇ Web ⁇ server may be separately prepared. In the latter case, the output unit 2060 transmits the attack information to a separately prepared server machine, or stores the attack information in a storage device accessible from the server machine.

Abstract

情報処理装置（２０００）は、複数の移動端末（１０）それぞれが行ったネットワーク通信の履歴を表す通信履歴（２０）から、類似する攻撃に関する通信を示す通信履歴（２０）を抽出する。ここで、通信履歴（２０）は、移動端末（１０）の位置情報を含む。情報処理装置（２０００）は、抽出した各通信履歴（２０）に示される位置情報を用いて、移動端末（１０）に対する攻撃に関する攻撃情報を生成し、生成した攻撃情報を出力する。

Description

情報処理装置、制御方法、及びプログラム
　本発明はネットワーク通信のセキュリティに関する。
　車両に搭載されている端末のように、移動しながらネットワーク通信を行う端末がある。以下、このような端末を移動端末と呼ぶ。そして、このような移動端末による通信に関して異常検知を行うシステムが開発されている。例えば特許文献１が挙げられる。特許文献１は、無線端末が無線 LAN を経由して無線 WAN に接続する環境において、無線 LAN における通信の統計情報と、無線端末の位置情報とを用いて、位置情報で特定される位置において無線 LAN に異常が発生しているか否かを判定する技術を開示している。
特開２０１７－０２２５５７号公報
　移動端末は、位置が固定されている据え置き型の端末と比較し、利用するネットワーク環境が多様である。例えば移動端末は、様々な店舗に設置されているアクセスポイントを経由して通信を行うことがある。そのため、移動端末は、通信に影響を及ぼす攻撃の被害に遭う危険性が高い。特許文献１では、移動端末の攻撃被害については言及されていない。
　本発明は、上記の課題に鑑みてなされたものである。本発明の目的の一つは、移動端末が攻撃被害に遭う蓋然性を低くするための技術を提供することである。
　本発明の情報処理装置は、１）複数の移動端末それぞれが行ったネットワーク通信の履歴を表す通信履歴から、類似する攻撃に関する通信を示す通信履歴を抽出する抽出部を有し、通信履歴は、移動端末の位置情報を含んでおり、２）各抽出した通信履歴に示される位置情報を用いて、移動端末に対する攻撃に関する攻撃情報を生成する生成部と、３）生成した攻撃情報を出力する出力部と、を有する。
　本発明の制御方法は、コンピュータによって実行される。当該制御方法は、１）複数の移動端末それぞれが行ったネットワーク通信の履歴を表す通信履歴から、類似する攻撃に関する通信を示す通信履歴を抽出する抽出ステップを有し、通信履歴は、移動端末の位置情報を含んでおり、２）各抽出した通信履歴に示される位置情報を用いて、移動端末に対する攻撃に関する攻撃情報を生成する生成ステップと、３）生成した攻撃情報を出力する出力ステップと、を有する。
　本発明のプログラムは、本発明の制御方法が有する各ステップをコンピュータに実行させる。
　本発明によれば、移動端末が攻撃被害に遭う蓋然性を低くする技術が提供される。
　上述した目的、およびその他の目的、特徴および利点は、以下に述べる好適な実施の形態、およびそれに付随する以下の図面によってさらに明らかになる。
実施形態１の情報処理装置の動作の概要を表す図である。 実施形態１の情報処理装置の構成を例示する図である。 情報処理装置を実現するための計算機を例示する図である。 実施形態１の情報処理装置によって実行される処理の流れを例示するフローチャートである。 通信履歴２０の構成をテーブル形式で例示する図である。 位置情報の時系列データにおいて、位置情報の変化が小さいケースを例示する図である。 位置情報の時系列データにおいて、位置情報の変化が大きいケースを例示する図である。
　以下、本発明の実施の形態について、図面を用いて説明する。尚、すべての図面において、同様な構成要素には同様の符号を付し、適宜説明を省略する。また、特に説明する場合を除き、各ブロック図において、各ブロックは、ハードウエア単位の構成ではなく、機能単位の構成を表している。
［実施形態１］
＜概要＞
　図１は、実施形態１の情報処理装置の動作の概要を表す図である。図１は情報処理装置２０００の動作についての理解を容易にするための概念的な図であり、情報処理装置２０００の動作を具体的に限定するものではない。
　車両に搭載されている端末のように、移動しながらネットワーク通信を行う端末がある。以下、このような端末を移動端末１０と呼ぶ。ここで、移動端末１０は、店舗に設置されているアクセスポイントを経由してネットワーク通信を行ったり、基地局を介したネットワーク通信などを行ったりする。そのため、複数の移動端末１０が同じネットワークに接続することがある。また、複数の移動端末１０が共通の装置（例えば Web サーバや DNS サーバなど）にアクセスすることがある。
　このように同じネットワークに接続したり同じ装置にアクセスしたりする複数の移動端末１０は、類似した攻撃被害に遭うことがある。例えば或るアクセスポイントが悪意ある者に乗っ取られた結果、そのアクセスポイントを経由して通信を行った各移動端末１０が、同じ攻撃被害に遭うことが考えられる。なお、ここでいう攻撃とは、移動端末１０のネットワーク通信に影響を及ぼす任意の攻撃を意味する。例えば、移動端末１０に対してマルウエアを導入する攻撃、移動端末１０と他の装置との間のネットワーク通信でやりとりされるデータを改ざんする攻撃、移動端末１０から外部へ情報を漏洩する攻撃といったものが含まれる。
　このように複数の移動端末１０が同じ攻撃の被害を受ける可能性がある環境では、既に攻撃を受けてしまった移動端末１０に関する情報を利用して、まだ攻撃被害を受けていない移動端末１０に対する攻撃を未然に防ぐことが好適である。こうすることで、各移動端末１０が攻撃被害に遭う蓋然性を小さくすることができる。
　そこで情報処理装置２０００は、複数の移動端末１０のネットワーク通信の履歴を表す通信履歴２０から、類似する攻撃に関する通信履歴２０を抽出し、抽出した通信履歴２０を利用して、移動端末１０に対する攻撃に関する情報（以下、攻撃情報）を生成する。ここで、通信履歴２０は、移動端末１０の位置情報を含む。そして、情報処理装置２０００は、抽出した各通信履歴２０に示される位置情報を用いて攻撃情報を生成する。
　図１の例では、情報処理装置２０００は、類似する攻撃に関する通信履歴２０を抽出し、抽出した各通信履歴２０に示される位置情報を用いて、新たに攻撃が行われる場所を推定する。そして情報処理装置２０００は、推定した場所を示す攻撃情報を生成する。この攻撃情報を利用することで、例えば、移動端末１０のユーザが新たな攻撃場所を避けて移動するなどの対処を行うことにより、攻撃を免れることができる。
＜作用効果＞
　本実施形態の情報処理装置２０００は、類似する攻撃を受けた移動端末１０の通信履歴２０を抽出し、抽出した通信履歴２０が示す移動端末１０の位置情報を用いて、新たに攻撃が行われる場所などといった内容の攻撃情報を生成する。このような攻撃情報を利用することで、まだ攻撃を受けていない移動端末１０が攻撃被害に遭うことを未然に防ぐことができる。これにより、各移動端末１０が攻撃被害に遭う蓋然性を小さくすることができる。また、既に攻撃を受けた移動端末１０が再度同じ攻撃を受けないようにできる。
　以下、本実施形態の情報処理装置２０００についてさらに詳細に説明する。
＜情報処理装置２０００の機能構成の例＞
　図２は、実施形態１の情報処理装置２０００の構成を例示する図である。情報処理装置２０００は、抽出部２０２０、生成部２０４０、及び出力部２０６０を有する。抽出部２０２０は、複数の移動端末１０それぞれが行ったネットワーク通信の履歴を表す通信履歴２０から、類似する攻撃に関する通信を示す通信履歴２０を抽出する。生成部２０４０は、抽出した各通信履歴２０に示される位置情報を用いて、移動端末１０に対する攻撃に関する攻撃情報を生成する。出力部２０６０は、攻撃情報を出力する。
＜情報処理装置２０００のハードウエア構成＞
　情報処理装置２０００の各機能構成部は、各機能構成部を実現するハードウエア（例：ハードワイヤードされた電子回路など）で実現されてもよいし、ハードウエアとソフトウエアとの組み合わせ（例：電子回路とそれを制御するプログラムの組み合わせなど）で実現されてもよい。以下、情報処理装置２０００の各機能構成部がハードウエアとソフトウエアとの組み合わせで実現される場合について、さらに説明する。
　図３は、情報処理装置２０００を実現するための計算機１０００を例示する図である。計算機１０００は任意の計算機である。例えば計算機１０００は、Personal Computer（PC）やサーバマシンなどの据え置き型の計算機である。その他にも例えば、計算機１０００は、スマートフォンやタブレット端末などの可搬型の計算機である。計算機１０００は、情報処理装置２０００を実現するために設計された専用の計算機であってもよいし、汎用の計算機であってもよい。
　計算機１０００は、バス１０２０、プロセッサ１０４０、メモリ１０６０、ストレージデバイス１０８０、入出力インタフェース１１００、及びネットワークインタフェース１１２０を有する。バス１０２０は、プロセッサ１０４０、メモリ１０６０、ストレージデバイス１０８０、入出力インタフェース１１００、及びネットワークインタフェース１１２０が、相互にデータを送受信するためのデータ伝送路である。ただし、プロセッサ１０４０などを互いに接続する方法は、バス接続に限定されない。
　プロセッサ１０４０は、CPU（Central Processing Unit）、GPU（Graphics Processing Unit）、FPGA（Field－Programmable Gate Array）などの種々のプロセッサである。メモリ１０６０は、RAM（Random Access Memory）などを用いて実現される主記憶装置である。ストレージデバイス１０８０は、ハードディスク、SSD（Solid State Drive）、メモリカード、又は ROM（Read Only Memory）などを用いて実現される補助記憶装置である。
　入出力インタフェース１１００は、計算機１０００と入出力デバイスとを接続するためのインタフェースである。例えば入出力インタフェース１１００には、キーボードなどの入力装置や、ディスプレイ装置などの出力装置が接続される。
　ネットワークインタフェース１１２０は、計算機１０００を通信網に接続するためのインタフェースである。この通信網は、例えば LAN（Local Area Network）や WAN（Wide Area Network）である。ネットワークインタフェース１１２０が通信網に接続する方法は、無線接続であってもよいし、有線接続であってもよい。
　ストレージデバイス１０８０は、情報処理装置２０００の各機能構成部を実現するプログラムモジュールを記憶している。プロセッサ１０４０は、これら各プログラムモジュールをメモリ１０６０に読み出して実行することで、各プログラムモジュールに対応する機能を実現する。
＜処理の流れ＞
　図４は、実施形態１の情報処理装置２０００によって実行される処理の流れを例示するフローチャートである。抽出部２０２０は、複数の通信履歴２０から、類似する攻撃に関する通信を示す通信履歴２０を抽出する（Ｓ１０２）。生成部２０４０は、抽出した各通信履歴２０に示される位置情報を用いて攻撃情報を生成する（Ｓ１０４）。出力部２０６０は、攻撃情報を出力する（Ｓ１０６）。
＜移動端末１０について＞
　移動端末１０は、その位置が移動し、なおかつネットワーク通信を行う任意のコンピュータである。例えば移動端末１０は、自動車などの車両に搭載されたコンピュータである。
　移動端末１０は、WAN（Wide Area Network）を介したネットワーク通信を行う。ただし、移動端末１０は、WAN に直接接続できるネットワークインタフェースを有していてもよいし、有していなくてもよい。後者の場合、移動端末１０は、WAN に直接接続できるネットワークインタフェースを有する他の装置を介して、WAN に接続する。例えば、車両に搭載されているコンピュータが、車両の搭乗者が有するスマートフォンを介して WAN に接続する（いわゆるテザリングを利用する）ケースが考えられる。
＜通信履歴２０について＞
　図５は、通信履歴２０の構成をテーブル形式で例示する図である。図５のテーブルをテーブル２００と呼ぶ。テーブル２００は、端末識別子２０２、通信日時２０４、位置情報２０６、及び通信イベント２０８を示す。テーブル２００の各レコードは、１つの通信履歴を表している。
　端末識別子２０２は、通信元（データの送信元）である移動端末１０の識別子を示す。すなわち、端末識別子２０２は、どの移動端末１０が行ったネットワーク通信の履歴であるかを示す。移動端末１０の識別子には、移動端末１０を識別可能な任意の識別子を利用できる。例えば識別子には、UUID（Universally Unique Identifier）やネットワークアドレス（IP（Internet Protocol）アドレスや MAC（Media Access Control）アドレスなど）を利用できる。その他にも例えば、移動端末１０が車両に搭載されている場合、移動端末１０と搭載されている車両の識別子（例えば、ナンバープレートに記載されているナンバーや、車台番号）を、移動端末１０の識別子として利用してもよい。
　通信日時２０４は、通信が行われた日時を示す。位置情報２０６は、通信元の移動端末１０に関する位置情報を示す。この位置情報は、例えば、移動端末１０自身の位置情報や、その移動端末１０が WAN への接続に利用したスマートフォンなどの位置情報である。端末の位置情報には、例えば、その端末に設けられた GPS（Global Positioning System）センサから得られる GPS 座標を利用できる。また、位置情報として、後述する中継装置の GPS 座標や識別子を示してもよい。
　通信イベント２０８は、通信イベントを表す種々の情報を示す。図５において、通信イベント２０８は、中継情報２１０及びアドレス情報２１２を含んでいる。中継情報２１０は、通信元の移動端末１０がネットワークに接続する際に利用した中継装置（Proxy サーバ、アクセスポイント、又は基地局など）の識別子を示す。中継装置の識別子には、例えば、移動端末１０の識別子と同様のものを利用できる。また、アクセスポイントの識別子には、SSID を利用することもできる。
　アドレス情報２１２は、例えば、通信元の移動端末１０と通信先の装置それぞれについて、ネットワークアドレスやポート番号などの情報を示す。図５のアドレス情報２１２は、「通信元の IP アドレス：ポート番号 -> 通信先の IP アドレス：ポート番号」という形式で情報を示している。なお、端末識別子２０２として通信元の移動端末１０のネットワークアドレスを利用している場合、通信元のアドレス情報は省略されてもよい。
　情報処理装置２０００は、通信履歴２０が記憶されているデータベース（以下、通信履歴データベース）から、所望の通信履歴を抽出する。通信履歴データベースを構成するサーバは、通信履歴の収集を行う。このサーバは、情報処理装置２０００であってもよいし、情報処理装置２０００以外の装置であってもよい。
　通信履歴の収集を行う方法は任意である。例えば各移動端末１０が、定期的に、自身が行ったネットワーク通信の履歴をデータベースサーバへ送信する。
　なお、通信履歴に含まれる一部の情報は、収集された情報を利用して後から生成されてもよい。例えば移動端末１０の位置情報を、移動端末１０の行動が記録された他の情報を利用して生成することが考えられる。例えば、ナンバープレートのナンバーを移動端末１０の識別子として利用するとする。この場合、様々な場所に設置されている防犯カメラの映像を解析することで防犯カメラに撮像された各車両のナンバーを割り出すことにより、防犯カメラの位置を車両の位置情報として利用することができる。すなわち、或る車両のナンバーが防犯カメラに撮像された場合に、その撮像時点におけるその車両の位置情報として、その防犯カメラの識別子やその防犯カメラの GPS 座標などを利用することができる。
＜通信履歴２０の抽出：Ｓ１０２＞
　抽出部２０２０は、類似する攻撃に関する通信履歴２０抽出する（Ｓ１０２）。言い換えれば、抽出部２０２０は、類似する攻撃を受けた１つ以上の移動端末１０によって行われた通信履歴２０を抽出する。類似する攻撃とは、例えば、攻撃者と攻撃の種類の少なくとも一方が共通する攻撃である。
　そのために、例えば、類似する攻撃を受けた移動端末１０の通信履歴２０を抽出するための抽出ルールを定めておく。抽出部２０２０は、抽出ルールに基づいて通信履歴データベースを検索することにより、類似する攻撃によって行われた通信履歴２０を抽出する。例えば後述するように、悪意ある装置に接続させてしまう攻撃を共通で受けた複数の移動端末１０は、同じ識別子を持つ装置が通信先となる。そのため、「通信先の装置の識別子が共通する」という抽出ルールにより、この攻撃を受けた複数の移動端末１０の通信履歴２０を抽出することができる。抽出ルールは、抽出部２０２０からアクセス可能な記憶装置に記憶させておく。
　ここで、抽出部２０２０は、抽出ルールに合致する通信履歴２０の量に応じて、通信履歴２０の抽出を行うか否かを決定してもよい。例えば抽出部２０２０は、同じ抽出ルールに合致する通信履歴２０の数が所定数以上である場合に、通信履歴２０を抽出する。一方で、抽出部２０２０は、同じ抽出ルールに合致する通信履歴２０の数が所定数未満である場合には、通信履歴２０を抽出しない。
　この際、抽出部２０２０は、対象とする通信日時を限定してもよい。例えば抽出部２０２０は、同じ抽出ルールに合致し、なおかつ通信日時が所定の期間内（例えば同じ日）である通信履歴２０の数が所定数以上である場合に、通信履歴２０の抽出を行う。また、抽出部２０２０は、通信履歴２０の数の代わりに、通信履歴２０の割合（通信履歴２０全体の数に対する、抽出ルールに合致する通信履歴２０の数の比）を用いてもよい。
　なお、攻撃に利用された装置の識別子など、攻撃に関する具体的な情報が判明している場合、そのような具体的な情報を抽出ルールに含めてもよい。例えば、悪意ある装置に接続させてしまう攻撃について、接続先の装置の IP アドレスが判明している場合には、「通信先の装置の識別子＝判明している IP アドレス」という抽出ルールを利用することができる。
　ここで、抽出ルールには、攻撃の種類に応じた様々な情報を採用しうる。以下、攻撃の種類と共に、その種類の攻撃に関する抽出ルールについて例示する。
＜＜例１：中間者攻撃＞＞
　例えば、移動端末１０に対する攻撃として、中継装置による中間者攻撃が考えられる。中間者攻撃とは、互いに通信を行っている装置の間に介在する中間者によって行われる攻撃である。これにより、通信元の移動端末１０や通信先の装置に対して誤ったデータが提供されるようにデータの改ざんを行ったり、通信元の移動端末１０に対して送信されるデータにマルウエアを入れることで移動端末１０にマルウエアを導入したりするといった攻撃を実現できる。
　複数の移動端末１０が同様の中間者攻撃を受けた場合、これらの移動端末１０は、共通の中継装置を利用したと考えられる。そこで例えば、抽出ルールとして、「中継装置の識別子が共通する」を定めておく。また、攻撃に利用された中継装置の識別子が判明している場合には、その識別子を抽出ルールに含めてもよい。
　その他にも例えば、中間者攻撃を受ける場合において、当該中間者の識別子が、携帯端末１０から送信されるパケットの宛先になる（すなわち、中間者が通信先の装置となる）ケースもある。例えば、移動端末１０が Proxy サーバを経由してネットワークにアクセスする場合、移動端末１０から送信されるパケットの宛先 IP アドレスは、Proxy サーバの IP アドレスとなる。そのため、Proxy サーバによって中間者攻撃が行われた場合の通信履歴２０は、通信先の装置の識別子に、中間者である Proxy サーバの識別子を示す。また、携帯端末１０が特定の装置との間に VPN（Virtual Private Network）を構築して通信を行う場合、携帯端末１０とその装置は、VPN サーバを経由してデータをやりとりする。そのため、携帯端末１０から送信されるパケットの宛先 IP アドレスは、VPN サーバの IP アドレスとなる。
　上述のケースにおいて複数の移動端末１０が同様の中間者攻撃を受けた場合、これらの移動端末１０は、通信先の装置が共通となると考えられる。そこで例えば、抽出ルールとして、「通信先の装置の識別子が共通する」を定めておく。また、攻撃に利用された Proxy サーバや VPN サーバの識別子が判明している場合には、その識別子を抽出ルールに含めてもよい。
＜＜例２：DNS Hijack＞＞
　その他にも例えば、移動端末１０に対する攻撃として、「DNS Hijack を利用することで移動端末１０の通信先を本来意図した通信先とは異なる悪意ある装置に変更することで、移動端末１０を悪意ある装置に接続させてしまう」という攻撃が考えられる。これにより、移動端末１０に対して誤った情報を提供したり、移動端末１０に対してマルウエアを送信することで移動端末１０にマルウエアを導入したりするといった攻撃を実現できる。
　複数の移動端末１０が同様の DNS Hijack による攻撃を受けた場合、例えばこれらの移動端末１０は、同じ装置を通信先にしていたと考えられる。そこで例えば、抽出ルールとして、「通信先の装置の識別子が共通する」を定めておく。また、攻撃に利用された装置の識別子が判明していれば、その識別子を抽出ルールに含めてもよい。
　その他にも例えば、DNS Hijack では、複数の移動端末１０によって名前解決を要求したドメインが互いに異なっている場合でも、DNS サーバが同じ不正サイトの IP アドレスを返すことが考えられる。そのため、通信先にかかわらず、利用した DNS サーバが同じであれば、同じ攻撃を受ける可能性がある。
　そこで例えば、通信履歴２０を、名前解決に利用した DNS サーバの識別子が含まれるように構成しておく。そして、抽出ルールとして、「利用した DNS サーバの識別子が共通する」を定めておく。また、攻撃に利用された DNS サーバの識別子が判明していれば、その識別子を抽出ルールに含めてもよい。
　また、移動端末１０によって利用される DNS サーバが、アクセスポイントや基地局などの中継装置で予め設定されているものであるケースもある。そのため、同じアクセスポイントや基地局を利用した移動端末１０が共通の DNS Hijack の被害に遭うことがある。
　そこで例えば、抽出ルールとして、「中継装置の識別子が共通する」を定めておく。また、攻撃に利用された中継装置の識別子が判明していれば、その識別子を抽出ルールに含めておく。
＜＜例３：移動端末１０を入手した他者による攻撃＞＞
　移動端末１０や移動端末１０が設けられたコンピュータシステム（車両など）などを他者が一時的に取得する（例えば預かる）ことがありうる。例えば移動端末１０が車両に設けられている場合、車両の点検や修理などを依頼するため、車両を他者（ディーラーや工場など）に預けることが考えられる。このようなケースでは、当該他者が、マルウエアを移動端末１０に追加したり、不正な装置をシステムに追加して移動端末１０に接続させたりするといった攻撃が考えられる。
　このような攻撃を受けると、移動端末１０のソフトウエア構成や周辺機器の構成を表す構成情報が変更される。そして、このような構成情報は、ネットワーク上で管理されることがある。そこで、構成情報の変更を表す通信履歴２０を、攻撃を受けた移動端末１０による通信履歴２０として抽出することができる。
　ここで、構成情報の変更を表す各通信は、構成情報を管理する管理サーバを共通の通信先とすると考えられる。また、ペイロードの内容として、攻撃によって変更される共通の構成を示すと考えられる。
　そこで、抽出ルールとして、「通信先の装置の識別子が共通する」や「通信のペイロードの内容が共通する」を定めておく。また、構成情報を管理するサーバの識別子や、構成情報を更新するための通信のペイロードに共通で含まれるデータが判明している場合には、これらを抽出ルールに含めてもよい。
＜＜例４：移動端末１０が物理的に接続した装置によるマルウエアの導入＞＞
　移動端末１０を外部デバイスに物理的に接続させることがある。例えば、移動端末１０を充電するために、店舗などに用意されている充電器に対して移動端末１０を接続することがある。この際、移動端末１０が、充電器に対してデータ通信が可能な態様で接続されることがある。例えば充電器が USB インタフェースを介して電力を供給するものである場合、移動端末１０と充電器が USB ケーブルを介して接続される。この充電器が悪意ある装置である場合、この充電器から移動端末１０に対してマルウエアを導入されてしまう恐れがある。この場合、同じ充電器に接続された複数の移動端末１０が、同じ攻撃を受けることになる。
　ここで、同じ攻撃を受けた移動端末１０には、同じマルウエアが導入されると考えられる。そして、このマルウエアがネットワーク通信を行う場合、同じ攻撃を受けた移動端末１０が行う通信に共通項が見られるといえる。共通項としては、例えば、通信先の装置の識別子や、通信先とやりとりするデータの内容（すなわち、ペイロードの内容）である。
　そこで抽出ルールとして、「通信先の装置の識別子が共通する」や「ペイロードの内容が共通する」などを定めておく。また、上述した攻撃によって導入されたマルウエアが通信先とする装置の識別子や、そのマルウエアが通信先の装置とやりとりするペイロードの内容が判明している場合、これらを抽出ルールに含めてもよい。
＜＜攻撃による被害について＞＞
　前述した種々の攻撃による被害としては、例えば、マルウエアを移動端末１０に入れられてしまうという被害が考えられる。また、マルウエアを移動端末１０に入れられてしまうことによって起こる具体的な被害としては、秘密情報の漏洩やシステム障害などが考えられる。漏洩されてしまう秘密情報としては、例えば、秘密鍵、クレジットカード情報、パスワード、個人情報、又は位置情報などがある。また、システム障害としては、例えば、システム上のデータを暗号化されてしまう被害（例えば、ランサムウエア）や、車両などの機器の制御系システムが行う処理にマルウエアが介在することによって生じる種々の制御障害などがある。
　攻撃による被害の別の例として、通信データの改ざんが考えられる。通信データの改ざんによる具体的な被害としては、例えば、誤った情報を移動端末１０に提供することにより、ユーザの混乱を引き起こすことが考えられる。例えば、カーナビゲーションシステムに対して誤った位置情報が渡されると、誤ったナビゲーションが行われる恐れがある。その他にも例えば、誤ったパラメータを制御系システムに渡すことで、システム障害を引き起こすことも考えられる。
＜攻撃情報の生成：Ｓ１０４＞
　生成部２０４０は攻撃情報を生成する（Ｓ１０４）。攻撃情報は、例えば、移動端末１０に対する将来の攻撃に関する情報である。例えば生成部２０４０は、抽出部２０２０によって抽出された通信履歴が示す位置情報を用いて、新たに攻撃が行われる場所を推定し、推定した場所を示す攻撃情報を生成する。この攻撃情報を移動端末１０へ通知することにより、移動端末１０がその場所を避けて移動できるようにすることで、新たな攻撃被害を減らすことができる。
　ここで、攻撃が行われる場所を特定する情報としては、様々なものを利用できる。例えば、その場所の名称、住所、又は GPS 座標などで特定することができる。その他にも例えば、その場所に設置されている無線通信のアクセスポイントの識別子（SSID など）を、その場所を特定する情報として利用してもよい。
　生成部２０４０は、抽出された通信履歴２０を用いて、新たに攻撃が行われる場所を推定する。具体的には、生成部２０４０は、各通信履歴２０が示す位置情報を用いて、位置情報の時間変化を表す時系列データを生成する。そして生成部２０４０は、この時系列データを用いて攻撃場所の時間変化を特定し、その時間変化に基づいて、新たな攻撃場所を推定する。
　例えば位置情報の時系列データにおいて、位置情報の変化が小さい（例えば、最も離れている位置の間の距離が閾値以下である）とする。この場合、同じ場所で攻撃が継続していると考えられる。そこで例えば、生成部２０４０は、抽出された各通信履歴２０の位置情報によって特定される場所を、新たに攻撃が行われる場所として推定する。例えば、生成部２０４０は、各通信履歴２０の位置情報が示す GPS 座標の平均を求め、その平均を表す GPS 座標を、新たに攻撃が行われる場所を表す情報として算出する。その他にも例えば、生成部２０４０は、算出した GPS 座標に対応する場所の名称や住所などを、新たに攻撃が行われる場所を表す情報としてもよい。
　図６は、抽出した通信履歴２０から得た位置情報の時系列データにおいて、位置情報の変化が小さいケースを例示する図である。例えば図６は、地図を含む攻撃情報を表している。十字の印は、抽出部２０２０によって抽出された通信履歴２０に示される位置情報を表す。このケースでは位置情報の時間変化が小さいため、生成部２０４０は、各位置情報を包含するエリアを新たに攻撃が行われる場所として推定し、その場所を点線で表す攻撃情報を生成している。
　一方、位置情報の時系列データにおいて、位置情報の変化が大きい（例えば、最も離れている位置の間の距離が閾値より大きい）とする。この場合、生成部２０４０は、位置情報の時間変化に基づいて攻撃場所の移動経路を推定し、その移動経路上にある各位置を、将来の攻撃場所として推定する。ここで、或る物体の位置情報の時間変化を用いて、その物体の将来の移動経路を予測する技術には、既存の技術を利用できる。例えばこの予測には、地図情報が利用される。地図情報は、情報処理装置２０００からアクセス可能な記憶装置に記憶させておいてもよいし、地図情報を提供している任意のサーバから取得されてもよい。
　図７は、抽出した通信履歴２０から得た位置情報の時系列データにおいて、位置情報の変化が大きいケースを例示する図である。図７から、位置情報が道路３０に沿って右方向へ移動していることが分かる。そこで生成部２０４０は、新たな攻撃が行われる場所として、道路３０に沿って右方向に移動した場所を推定し、その場所を地図上に点線で示した攻撃情報を生成している。
　また、生成部２０４０は、各移動端末１０の移動経路と前述した時系列データとを比較し、前記時系列データと類似する経路で移動している移動端末１０を特定してもよい。前述した時系列データと類似する経路で移動している移動端末１０は、攻撃者の移動端末１０である蓋然性が高い。そこで生成部２０４０は、攻撃者であると推定される移動端末１０を示す情報として、上記特定した移動端末１０の識別子を、攻撃情報に含める。なお、移動端末１０の移動経路は、その移動端末１０の位置情報の時系列変化から特定することができる。
＜＜攻撃情報の生成に利用する通信履歴の絞り込み＞＞
　生成部２０４０は、抽出部２０２０が抽出した通信履歴２０の全てではなく、その一部を利用して、攻撃情報を生成してもよい。例えば生成部２０４０は、抽出した通信履歴２０の中から、通信日時が他の通信履歴２０と大きく異なっている通信履歴２０を除外することで、攻撃情報の生成に利用する通信履歴２０を絞り込む。より具体的な例としては、生成部２０４０は、抽出された通信履歴２０が示す通信日時の平均μと標準偏差σを算出し、通信日時がμ±σの範囲に含まれる通信履歴２０のみを利用して、攻撃情報を生成する。
　また、生成部２０４０は、上述した方法で抽出した通信履歴２０についてさらにグループ分けを行い、グループごとに攻撃情報を生成してもよい。例えば生成部２０４０は、抽出した通信履歴２０を通信日時に基づいてクラスタリングし、クラスタごとに攻撃情報を生成する。なお、クラスタリングの手法には、既存の種々の手法を利用することができる。
＜攻撃情報の出力：Ｓ１０６＞
　出力部２０６０は攻撃情報を出力する（Ｓ１０６）。以下、攻撃情報の内容や出力先などについて説明する。
＜＜攻撃情報の内容＞＞
　例えば出力部２０６０は、新たに攻撃が行われる場所に関する情報を含む攻撃情報を生成する。新たに攻撃が行われる場所を特定する情報や、その場所の特定方法については、前述した通りである。
　なお、新たに攻撃が行われる場所に関する情報は、人が理解しやすい形式で表されることが好適である。例えば図６や図７で示した攻撃情報の様に、その場所を表す情報（例えば図形やアイコンなど）が重畳された地図などを利用することが好適である。こうすることで、移動端末１０のユーザが、新たに攻撃が行われる場所を容易に把握できる。
　その他にも例えば、出力部２０６０は、既に攻撃が行われた場所の履歴を示す攻撃情報を生成してもよい。例えばこの情報は、攻撃が行われた場所の移動経路（抽出部２０２０によって抽出された各通信履歴２０の位置情報の時系列データ）を、その移動方向が分かる態様で地図上に示した情報である。このような情報を移動端末１０のユーザが見れば、ユーザ自身で将来の攻撃場所を或る程度予測できる。
＜＜出力先＞＞
　例えば出力部２０６０は、移動端末１０に対して攻撃情報を送信する。宛先とする移動端末１０は、宛先として指定可能な移動端末１０の全てであってもよいし、一部であってもよい。後者の場合、出力部２０６０は、新たに攻撃を受ける蓋然性が高い移動端末１０を宛先とする。新たに攻撃を受ける蓋然性が高い移動端末１０は、生成部２０４０によって推定された新たに攻撃が行われる場所に位置する移動端末１０、又はその場所に向かっている移動端末１０である。ここで、或る場所に向かっている移動端末１０には、その場所を目的地として移動している移動端末１０だけでなく、その場所を通過する移動端末１０も含めることができる。
　一部の移動端末１０を宛先とする場合、情報処理装置２０００が各移動端末１０の位置を把握できる必要がある。そこで例えば、各移動端末１０の位置情報が通信履歴２０と同様に収集され、情報処理装置２０００がアクセス可能な記憶装置に記憶されるようにする。例えば位置情報は、通信履歴と共に収集・管理されるようにする。
　また、新たに攻撃が行われる場所に対して或る移動端末１０が向かっているか否かを判定するためには、その移動端末１０の移動経路を把握する必要がある。例えば出力部２０６０は、各移動端末１０から得られる位置情報の時系列データを利用して、各移動端末１０の将来の移動経路を推定することにより、各移動端末１０が、新たに攻撃が行われる場所に向かっているか否かを判定する。
　その他にも例えば、移動端末１０がカーナビゲーションシステムを利用している場合、出力部２０６０は、カーナビゲーションシステムに設定された目的地情報や、カーナビゲーションシステムが提示している推奨移動経路の情報に基づいて、移動端末の移動経路を把握してもよい。この場合、これらカーナビゲーションシステムで扱われる情報も、移動端末１０の位置情報と同様に収集・管理されるようにする。
　移動端末１０に対して送信された攻撃情報は、移動端末１０によって受信された後、移動端末１０のユーザが認識できるように出力されることが好適である。例えば攻撃情報は、移動端末１０に設けられたディスプレイ装置（例えば、カーナビゲーションシステムが利用するディスプレイ装置）に表示されるようにする。
　その他にも例えば、カーナビゲーションシステムを実現する装置に対して攻撃情報を出力し、攻撃情報が示す将来の攻撃場所に基づいて、カーナビゲーションシステムが提供する推奨移動経路を変更するようにしてもよい。具体的には、カーナビゲーションシステムが、攻撃情報を用いて、将来の攻撃場所を避けて目的地へ到達するための新たな移動経路を算出し、算出した新たな移動経路を提示するようにする。
　その他にも例えば、移動端末１０が自動運転車に設けられている場合、攻撃情報を用いて、自動運転車の移動経路を変更するようにしてもよい。その方法は、カーナビゲーションシステムが提供する推奨移動経路を変更する方法と同様である。
　攻撃情報の出力先は、移動端末１０以外であってもよい。例えば出力部２０６０は、情報処理装置２０００からアクセス可能な任意の記憶装置に攻撃情報を記憶させる。その他にも例えば、出力部２０６０は、情報処理装置２０００に接続されているディスプレイ装置に、攻撃情報を表示させてもよい。こうすることで、情報処理装置２０００のユーザ（例えば情報処理装置２０００の管理者やセキュリティアナリストなど）が、攻撃に関する情報を把握することができる。
　その他にも例えば、攻撃情報は、Web サーバなどを介して公開されてもよい。こうすることで、様々な人が攻撃に関する情報を把握できる。なお、情報処理装置２０００が Web サーバとして機能してもよいし、別途 Web サーバ用のマシンを用意してもよい。後者の場合、出力部２０６０は、別途用意したサーバマシンに対して攻撃情報を送信したり、そのサーバマシンからアクセス可能な記憶装置に攻撃情報を記憶させたりする。
　以上、図面を参照して本発明の実施形態について述べたが、これらは本発明の例示であり、上記各実施形態の組み合わせ、又は上記以外の様々な構成を採用することもできる。

Claims (19)

  1. 　複数の移動端末それぞれが行ったネットワーク通信の履歴を表す通信履歴から、類似する攻撃に関する通信を示す通信履歴を抽出する抽出部を有し、
    　前記通信履歴は、前記移動端末の位置情報を含んでおり、
    　各前記抽出した通信履歴に示される位置情報を用いて、移動端末に対する攻撃に関する攻撃情報を生成する生成部と、
    　前記生成した攻撃情報を出力する出力部と、を有する情報処理装置。
  2. 　前記抽出部は、類似する攻撃に関する通信を示す通信履歴を特定する抽出ルールを取得し、前記抽出ルールに合致する通信履歴を抽出する、請求項１に記載の情報処理装置。
  3. 　前記通信履歴は、通信先の端末の識別子、通信に利用された中継装置の識別子、通信に利用された DNS サーバの識別子、及び通信されたデータの内容のいずれか１つ以上をさらに示し、
    　前記抽出ルールは、前記通信履歴が示す前記通信先の端末の識別子、前記中継装置の識別子、前記 DNS サーバの識別子、及び前記通信されたデータの内容のいずれか１つ以上に関するルールを示す、請求項２に記載の情報処理装置。
  4. 　前記生成部は、各前記抽出した通信履歴が示す位置情報を用いて新たに攻撃が行われる場所を推定し、前記推定した場所を示す前記攻撃情報を生成する、請求項１乃至３いずれか一項に記載の情報処理装置。
  5. 　前記場所は、その場所に位置する移動端末によって利用されるアクセスポイントの識別子によって特定される、請求項４に記載の情報処理装置。
  6. 　前記出力部は、前記推定した場所の近くに位置する移動端末、及び前記推定した場所に向かっている移動端末の少なくとも一方に、前記攻撃情報を出力する、請求項５に記載の情報処理装置。
  7. 　前記通信履歴は、通信が行われた時点である通信時点を示しており、
    　前記生成部は、各前記抽出した通信履歴から得られる位置情報と通信時点の組みを用いて、位置情報の時系列変化を表す経路情報を含む前記攻撃情報を生成する、請求項１乃至６いずれか一項に記載の情報処理装置。
  8. 　前記生成部は、前記通信履歴を用いて、前記経路情報が示す経路に類似する経路で移動した移動端末を特定し、前記特定した移動端末の識別子を含む前記攻撃情報を生成する、請求項７に記載の情報処理装置。
  9. 　前記移動端末は、車両に搭載されているか、又は車両と通信可能に接続されている、請求項１乃至８いずれか一項に記載の情報処理装置。
  10. 　コンピュータによって実行される制御方法であって、
    　複数の移動端末それぞれが行ったネットワーク通信の履歴を表す通信履歴から、類似する攻撃に関する通信を示す通信履歴を抽出する抽出ステップを有し、
    　前記通信履歴は、前記移動端末の位置情報を含んでおり、
    　各前記抽出した通信履歴に示される位置情報を用いて、移動端末に対する攻撃に関する攻撃情報を生成する生成ステップと、
    　前記生成した攻撃情報を出力する出力ステップと、を有する制御方法。
  11. 　前記抽出ステップにおいて、類似する攻撃に関する通信を示す通信履歴を特定する抽出ルールを取得し、前記抽出ルールに合致する通信履歴を抽出する、請求項１０に記載の制御方法。
  12. 　前記通信履歴は、通信先の端末の識別子、通信に利用された中継装置の識別子、通信に利用された DNS サーバの識別子、及び通信されたデータの内容のいずれか１つ以上をさらに示し、
    　前記抽出ルールは、前記通信履歴が示す前記通信先の端末の識別子、前記中継装置の識別子、前記 DNS サーバの識別子、及び前記通信されたデータの内容のいずれか１つ以上に関するルールを示す、請求項１１に記載の制御方法。
  13. 　前記生成ステップにおいて、各前記抽出した通信履歴が示す位置情報を用いて新たに攻撃が行われる場所を推定し、前記推定した場所を示す前記攻撃情報を生成する、請求項１０乃至１２いずれか一項に記載の制御方法。
  14. 　前記場所は、その場所に位置する移動端末によって利用されるアクセスポイントの識別子によって特定される、請求項１３に記載の制御方法。
  15. 　前記出力ステップにおいて、前記推定した場所の近くに位置する移動端末、及び前記推定した場所に向かっている移動端末の少なくとも一方に、前記攻撃情報を出力する、請求項１４に記載の制御方法。
  16. 　前記通信履歴は、通信が行われた時点である通信時点を示しており、
    　前記生成ステップにおいて、各前記抽出した通信履歴から得られる位置情報と通信時点の組みを用いて、位置情報の時系列変化を表す経路情報を含む前記攻撃情報を生成する、請求項１０乃至１５いずれか一項に記載の制御方法。
  17. 　前記生成ステップにおいて、前記通信履歴を用いて、前記経路情報が示す経路に類似する経路で移動した移動端末を特定し、前記特定した移動端末の識別子を含む前記攻撃情報を生成する、請求項１６に記載の制御方法。
  18. 　前記移動端末は、車両に搭載されているか、又は車両と通信可能に接続されている、請求項１０乃至１７いずれか一項に記載の制御方法。
  19. 　請求項１０乃至１８いずれか一項に記載の制御方法の各ステップをコンピュータに実行させるプログラム。
PCT/JP2018/035744 2018-09-26 2018-09-26 情報処理装置、制御方法、及びプログラム WO2020065776A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
PCT/JP2018/035744 WO2020065776A1 (ja) 2018-09-26 2018-09-26 情報処理装置、制御方法、及びプログラム
JP2020547674A JP7276347B2 (ja) 2018-09-26 2018-09-26 情報処理装置、制御方法、及びプログラム
US17/277,379 US20220038472A1 (en) 2018-09-26 2018-09-26 Information processing device, control method, and program

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2018/035744 WO2020065776A1 (ja) 2018-09-26 2018-09-26 情報処理装置、制御方法、及びプログラム

Publications (1)

Publication Number Publication Date
WO2020065776A1 true WO2020065776A1 (ja) 2020-04-02

Family

ID=69950422

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2018/035744 WO2020065776A1 (ja) 2018-09-26 2018-09-26 情報処理装置、制御方法、及びプログラム

Country Status (3)

Country Link
US (1) US20220038472A1 (ja)
JP (1) JP7276347B2 (ja)
WO (1) WO2020065776A1 (ja)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7111249B2 (ja) * 2019-03-28 2022-08-02 日本電気株式会社 分析システム、方法およびプログラム

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007109247A (ja) * 2006-11-20 2007-04-26 Seiko Epson Corp ワームの感染防止システム
JP2013168763A (ja) * 2012-02-15 2013-08-29 Hitachi Ltd セキュリティ監視システムおよびセキュリティ監視方法
JP2014236461A (ja) * 2013-06-05 2014-12-15 日本電信電話株式会社 遮断システム、遮断サーバ、遮断方法、およびプログラム
JP2018097805A (ja) * 2016-12-16 2018-06-21 トヨタ自動車株式会社 攻撃通知システムおよび攻撃通知方法

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2015059759A (ja) * 2013-09-17 2015-03-30 日本電気株式会社 位置情報復元装置、位置情報復元システム、位置情報復元方法および位置情報復元プログラム
JP6298021B2 (ja) 2015-07-30 2018-03-20 トヨタ自動車株式会社 攻撃検知システムおよび攻撃検知方法
JP6701030B2 (ja) * 2016-08-25 2020-05-27 クラリオン株式会社 車載装置、ログ収集システム
JP6656211B2 (ja) * 2017-08-02 2020-03-04 三菱電機株式会社 情報処理装置、情報処理方法及び情報処理プログラム

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007109247A (ja) * 2006-11-20 2007-04-26 Seiko Epson Corp ワームの感染防止システム
JP2013168763A (ja) * 2012-02-15 2013-08-29 Hitachi Ltd セキュリティ監視システムおよびセキュリティ監視方法
JP2014236461A (ja) * 2013-06-05 2014-12-15 日本電信電話株式会社 遮断システム、遮断サーバ、遮断方法、およびプログラム
JP2018097805A (ja) * 2016-12-16 2018-06-21 トヨタ自動車株式会社 攻撃通知システムおよび攻撃通知方法

Also Published As

Publication number Publication date
JPWO2020065776A1 (ja) 2021-08-30
US20220038472A1 (en) 2022-02-03
JP7276347B2 (ja) 2023-05-18

Similar Documents

Publication Publication Date Title
Kamel et al. Simulation framework for misbehavior detection in vehicular networks
US10270770B1 (en) Generic computing device attestation and enrollment
US9450752B2 (en) Method and apparatus for providing service provider-controlled communication security
US9635151B2 (en) In-vehicle communication system and in-vehicle relay apparatus
US10498771B1 (en) Protocol agnostic security by using out-of-band health check
JP7056752B2 (ja) 分析装置、分析システム、分析方法及びプログラム
TWI513266B (zh) 基於位置認證的方法和用戶裝置
US20140173686A1 (en) Device Communication Based On Device Trustworthiness
US20190043341A1 (en) Sensor aggregation and virtual sensors
CN107040511B (zh) 云计算体系结构中的基于位置的可信计算节点
JP6669138B2 (ja) 攻撃監視システムおよび攻撃監視方法
CN114465823B (zh) 工业互联网终端加密流量数据安全检测方法、装置及设备
EP3429158A1 (en) Secure communication method and apparatus for vehicle, vehicle multimedia system, and vehicle
CN105704094A (zh) 应用访问权限控制方法及装置
KR20230034266A (ko) 알림을 제공하기 위한 방법 및 이를 지원하는 전자 장치
JP6233041B2 (ja) 無線通信装置および無線通信方法
WO2020065776A1 (ja) 情報処理装置、制御方法、及びプログラム
CN110148441A (zh) 一种基于区块链的临床试验电子数据采集管理方法以及装置
CN112073414B (zh) 一种工业互联网设备安全接入方法、装置、设备及存储介质
US20210374696A1 (en) Public-Private Pegged Blockchains for Regulatory-Zone Restricted Whitebox Programmable Cellular Devices
CN111541649B (zh) 一种密码重置方法、装置、服务器及存储介质
US10733272B2 (en) Control apparatus, authentication apparatus, control system, and control method
US20210037381A1 (en) Method and System for Authorizing the Communication of a Network Node
KR101648641B1 (ko) 프라이버시 보호 클라우드 기반 컴퓨팅 플랫폼 시스템 및 그의 위치 기반 서비스 제공 방법
KR102293397B1 (ko) 자율협력주행 시스템 및 그것의 보안관제정보 생성 방법

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18935140

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2020547674

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 18935140

Country of ref document: EP

Kind code of ref document: A1