WO2020080047A1 - 侵入地点特定装置、および、侵入地点特定方法 - Google Patents

侵入地点特定装置、および、侵入地点特定方法 Download PDF

Info

Publication number
WO2020080047A1
WO2020080047A1 PCT/JP2019/037396 JP2019037396W WO2020080047A1 WO 2020080047 A1 WO2020080047 A1 WO 2020080047A1 JP 2019037396 W JP2019037396 W JP 2019037396W WO 2020080047 A1 WO2020080047 A1 WO 2020080047A1
Authority
WO
WIPO (PCT)
Prior art keywords
threat
information
point
vehicle
intrusion
Prior art date
Application number
PCT/JP2019/037396
Other languages
English (en)
French (fr)
Inventor
平野　亮
剛 岸川
Original Assignee
パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ filed Critical パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ
Priority to JP2020522389A priority Critical patent/JP7346397B2/ja
Priority to EP19873719.9A priority patent/EP3869369A4/en
Priority to CN201980025940.7A priority patent/CN111989680A/zh
Publication of WO2020080047A1 publication Critical patent/WO2020080047A1/ja
Priority to US17/094,377 priority patent/US11886588B2/en

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/566—Dynamic detection, i.e. detection performed at run-time, e.g. emulation, suspicious activities
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
    • G—PHYSICS
    • G01—MEASURING; TESTING
    • G01C—MEASURING DISTANCES, LEVELS OR BEARINGS; SURVEYING; NAVIGATION; GYROSCOPIC INSTRUMENTS; PHOTOGRAMMETRY OR VIDEOGRAMMETRY
    • G01C21/00—Navigation; Navigational instruments not provided for in groups G01C1/00 - G01C19/00
    • G01C21/26—Navigation; Navigational instruments not provided for in groups G01C1/00 - G01C19/00 specially adapted for navigation in a road network
    • G01C21/34—Route searching; Route guidance
    • G01C21/36—Input/output arrangements for on-board computers
    • G01C21/3697—Output of additional, non-guidance related information, e.g. low fuel level
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud
    • G—PHYSICS
    • G01—MEASURING; TESTING
    • G01C—MEASURING DISTANCES, LEVELS OR BEARINGS; SURVEYING; NAVIGATION; GYROSCOPIC INSTRUMENTS; PHOTOGRAMMETRY OR VIDEOGRAMMETRY
    • G01C21/00—Navigation; Navigational instruments not provided for in groups G01C1/00 - G01C19/00
    • G01C21/26—Navigation; Navigational instruments not provided for in groups G01C1/00 - G01C19/00 specially adapted for navigation in a road network
    • G01C21/34—Route searching; Route guidance
    • G01C21/36—Input/output arrangements for on-board computers
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
    • G06F2221/034—Test or assess a computer or a system

Definitions

  • the present invention relates to an intrusion point identification device and an intrusion point identification method.
  • Patent Document 1 There is a technology that protects against the threat of illegally controlling a vehicle (see Patent Document 1).
  • the vehicle is a moving body, and the period from intrusion to the attack damage detection is not constant, so it is not easy to identify the intrusion point from the attack detection point.
  • the present invention provides an intrusion point identification device or the like for identifying an intrusion point of a threat that has invaded a moving body.
  • An intrusion point identification device is an intrusion point identification device that identifies an intrusion point at which a threat invades one or more moving bodies, each of which has a plurality of routes through which a threat can invade.
  • the plurality of routes include a first route in which the threat can intrude from a first attack source within a predetermined distance from the moving body, and the intrusion point identification device is configured to intrude the threat in the one or more moving bodies.
  • Identification information of the moving body Identification information of the moving body, route information indicating a route in which the threat has invaded among the plurality of routes of the moving body, and detection information indicating a detection date of an attack by the intrusion of the threat to the moving body, And an information collecting unit that collects and stores threat information including a log, and collects a log indicating the location of the one or more mobile bodies in association with the date and time, based on the detection information based on the collected log.
  • Prescribed period determined by Of the log collection unit that stores the history of the location where the one or more mobile objects were located and stores it as history information, and the location indicated by the history information stored by the log collection unit A specifying unit that specifies an intrusion point where the threat has entered from the first attack source through the first route, and an output unit that outputs the point specified by the specifying unit.
  • a recording medium such as a system, a method, an integrated circuit, a computer program or a computer-readable CD-ROM, and the system, the method, the integrated circuit, the computer program. It may be realized by any combination of the recording medium and the recording medium.
  • the intrusion point identification device of the present invention can identify the intrusion point of a threat that has invaded a moving body.
  • FIG. 1 is an overall configuration diagram of a cyber attack intrusion point identification system according to an embodiment.
  • FIG. 2 is a configuration diagram of the intrusion point identification device according to the embodiment.
  • FIG. 3 is a diagram showing an example of threat information according to the embodiment.
  • FIG. 4 is a diagram showing an example of a vehicle log according to the embodiment.
  • FIG. 5 is a diagram showing an example of an abnormality score in the embodiment.
  • FIG. 6 is a diagram showing an example of the cumulative abnormality score in the embodiment.
  • FIG. 7 is a diagram showing an example of a cumulative abnormality score visualization display screen according to the embodiment.
  • FIG. 8 is a diagram showing a sequence of threat information abnormality detection processing according to the embodiment.
  • FIG. 9 is a diagram showing a sequence of vehicle log abnormality detection processing according to the embodiment.
  • FIG. 10 is a diagram illustrating a sequence of abnormality score calculation processing according to the embodiment.
  • FIG. 11 is a diagram showing a sequence of intrusion point identification processing according to the embodiment.
  • FIG. 12 is a flowchart of vehicle log extraction processing of the vehicle log collection unit in the embodiment.
  • FIG. 13 is a flowchart of the abnormality score calculation and extraction process of the intrusion point identification unit according to the embodiment.
  • FIG. 14 is a flowchart of the intrusion point identification processing of the intrusion point identification unit in the embodiment.
  • ECU Electronic Control Unit
  • a network connecting these ECUs is called an in-vehicle network.
  • in-vehicle networks There are many standards for in-vehicle networks. Among them, one of the most mainstream in-vehicle networks is a standard called CAN (Controller Area Network) defined by ISO11898-1.
  • the communication path is composed of two buses, and the ECU connected to the buses is called a node.
  • Each node connected to the bus sends and receives messages called frames.
  • the transmitting node attaches an ID called a message ID to each frame and transmits, and each receiving node receives only a predetermined message ID. Therefore, there is a threat that a malicious user may illegally control the vehicle by connecting the ECU to the CAN bus and impersonating the frame including the abnormal control command by the ECU as a legitimate ECU and transmitting the frame.
  • the present invention solves the above problem and provides an intrusion point identification device or the like for identifying the intrusion point of a threat that has invaded a moving body. More specifically, the present invention uses a log including threat information and position information of a plurality of vehicles, and points where a relatively large number of vehicles that have been attacked have passed through before the attack was discovered. Provides an apparatus and method for identifying an intrusion point by determining that the intrusion point is highly likely.
  • an intrusion point identification device identifies an intrusion point at which a threat invades one or more moving bodies each having a plurality of routes through which the threat can invade.
  • Intrusion point identification device wherein the plurality of routes include a first route in which the threat can invade from a first attack source within a predetermined distance from the moving body, Identification information of a moving body in which the threat invades among the moving bodies, route information indicating a route in which the threat invades among the plurality of routes of the moving body, and intrusion of the threat into the moving body.
  • An information collection unit that collects and stores threat information including the detection information indicating the date when the attack is detected, and a log indicating the location of the one or more mobile bodies in association with the date and time, and collecting the information. From the log A log collecting unit that extracts a history of a point where the one or more moving bodies were located within a predetermined period determined based on information and stores the history as history information, and the history that the log collecting unit stores Of the points indicated by the information, a specifying unit that specifies an intrusion point where a threat has entered from the first attack source through the first route, and an output unit that outputs the point specified by the specifying unit are provided.
  • the intrusion point identification device aggregates the points where one or more mobile bodies were located, and identifies the location where the threat invades the mobile body based on the aggregated points.
  • the threat invades from an attack source within a predetermined distance from the moving body, so the attack source of the threat invading one or more moving bodies is the point where the one or more moving bodies were located. It is assumed that it exists within a predetermined distance from either of the above. Therefore, the intrusion point identification device can identify the intrusion point where the threat invaded from the attack source by totaling the points where one or more moving bodies were located. In this way, the intrusion point identification device can identify the intrusion point of the threat that has invaded the moving body.
  • the threat information further includes latency information indicating whether the threat has an incubation period, and when the latency information indicates that the threat has the incubation period, the latency information further includes the latency.
  • the log collection unit (a) terminates the discovery date when determining that the threat information indicates that the threat has the latency period, the latency period.
  • the history information is stored by using a period having a period length as the predetermined period, and (b) it is determined that the threat information indicates that the threat does not have the latent period. Stores the history information by using, as the predetermined period, a period having a predetermined length and ending on the day of detection.
  • the intrusion point identification device uses the latent period when the threat has the latent period when totaling the points where the moving body was located, and the threat does not have the latent period. In this case, using the period having a predetermined length, it is possible to easily collect the points where the mobile body was located. Therefore, the intrusion point identification device can more easily identify the intrusion point of the threat that has invaded the moving body.
  • the specifying unit may include various locations included in the history information stored by the log collecting unit.
  • the log collection unit stores it.
  • the score is set to zero for each point included in the history information, and the degree of abnormality calculated based on the threat information is considered for each point included in the history information stored by the log collection unit. Then, the score is corrected and a point where the corrected score is equal to or higher than a predetermined value is specified as the intrusion point.
  • the intrusion point identification device calculates the degree of abnormality for each point where one or more moving bodies were located using the score, and the threat invades the moving body using the calculated score. Identify the point. Therefore, the intrusion point identification device can more easily identify the intrusion point of the threat invading the moving body based on the specific processing using the score.
  • the specifying unit indicates the seriousness of the influence of the threat on the operation of the moving body. The higher the severity is, the larger the value is added to the score to perform the correction.
  • the intrusion point identification device corrects the score according to the severity of the threat.
  • high-risk attacks such as control of operations of mobiles are reported with high severity. Therefore, if the score of a point where a more dangerous attack occurs is calculated as a larger value, the point with a larger score can be specified as a more dangerous intrusion point. Therefore, the intrusion point identification device can identify the intrusion point of the threat that has invaded the moving body in consideration of the severity of the threat.
  • the log indicates a point where the one or more moving bodies are located and the speed of the one or more moving bodies in association with the date and time
  • the log collecting unit further includes, from the collected logs, The history of speeds of the one or more moving bodies within the predetermined period is further extracted and stored as the history information, and the specifying unit further causes the threat to enter the moving bodies through the first route.
  • the correction is performed by adding a larger value to the score as the speed of the moving body is closer to zero.
  • the intrusion point identification device corrects the score according to the speed of the moving body.
  • the means for intruding a mobile body such as physically installing an unauthorized attack device or installing malicious software during charging is when the mobile body is stopped rather than when the mobile body is running. Is easier to execute. Therefore, if the score at the point where the vehicle stopped was calculated as a larger value compared to the point where the vehicle was traveling, the point where many moving objects were stopped before the attack damage Can be specified as a more accurate intrusion point because the score of is greatly calculated. Therefore, the intrusion point identification device can identify the intrusion point of the threat that invades the moving body in consideration of the speed of the moving body.
  • the log collection unit further calculates and stores the number of the mobile bodies located at the point for each of the points indicated by the history information stored by the log collection unit. If the threat information further indicates that the threat has invaded the moving body through the first route, the specifying unit may increase the number of moving bodies located at the point. The correction is performed to make the score smaller.
  • the intrusion point identification device corrects the score according to the number of moving mobile bodies. Many mobile vehicles run, whether or not they have been damaged by an attack, such as in a parking lot of a large store. By thus reducing the score for the points where many moving bodies travel and increasing the score for the points where few moving bodies travel, it is possible to eliminate the bias for each point and specify a more accurate intrusion point. . Therefore, the intrusion point identification device can identify the intrusion point of the threat that has invaded the moving body in consideration of the number of moving moving bodies.
  • the threat includes a plurality of threats belonging to any one of a plurality of categories
  • the specifying unit further sets the score for a point included in the history information stored in the log collection unit to the threat. By accumulating for each category, the cumulative score for each point in each category is calculated and stored.
  • the intrusion point identification device can identify the threat intrusion point by using the cumulative score accumulated for each threat category.
  • the cumulative score for each threat category such as an attack that goes through a charging device or an attack that attaches an unauthorized device
  • the cumulative score at the point where a similar attack that is likely to have invaded at the same point occurred is calculated. Calculated larger. Therefore, a more accurate entry point can be specified by using the cumulative score.
  • the intrusion point identification device can identify the intrusion point of the threat that has invaded the moving body more accurately by utilizing the identification of the point based on the category of the threat.
  • the output unit further displays a map including a point included in the history information stored in the log collection unit on a display screen, and the larger the cumulative score on the map, the smaller the dimension. It is displayed using a larger figure or a figure taller in three-dimensional display.
  • the intrusion point identification device displays a graphic having a size or height corresponding to the size of the score together with the map.
  • the information collection unit collects and stores threat information in STIX (Structured Threat Information eXpression) format as the threat information, and the specific unit includes CVSS (Common Vulnerability Scoring) included in the threat information in the STIX format.
  • STIX Structured Threat Information eXpression
  • CVSS Common Vulnerability Scoring
  • the intrusion point identification device collects data according to a standardized format such as STIX or CVSS.
  • the intrusion point identification device can collect more threat information and determine whether it is possible to attack within a predetermined distance by using the attack source classification. Can handle data.
  • the bias of individual reporters is reduced, it is possible to specify a more accurate entry point. In this way, the intrusion point identification device can more accurately identify the intrusion point of the threat that has invaded the moving body based on more threat information.
  • the log collection unit collects a GPS (Global Positioning System) log of the mobile unit as the log, and stores history information by using a point specified by a predetermined latitude and longitude as the point. ing.
  • GPS Global Positioning System
  • the intrusion point identification device can use position measurement by GPS.
  • the intrusion point identification device collects GPS logs used in many devices regardless of whether they are built-in or externally attached to the moving body, and extracts points by latitude and longitude with the same accuracy between moving bodies. Then, the score or cumulative score for each point is calculated. Therefore, the intrusion point identification device can calculate the cumulative abnormality score from the position information of more moving objects, and thus can identify the intrusion point more accurately. As described above, the intrusion point identification device can more accurately identify the intrusion point of the threat that has invaded the moving body by using the GPS.
  • the log collection unit stores the history information by using a location where a charging device used for charging the vehicle, which is the moving body, a parking lot or a vehicle inspection location exists as the location.
  • the intrusion point identification device identifies the intrusion point from the points where the vehicle charging device is installed, the parking lot, or the vehicle inspection place.
  • the intrusion point identification device is a place where the threat of invading the moving body is likely to be intruded, such as physical installation of an unauthorized attack device or installation of unauthorized software during charging. Extract the location. Therefore, by calculating the score or cumulative score for each of the above-mentioned points, it is possible to exclude points that are unlikely to be invaded. Therefore, the intrusion point identification device can efficiently identify the intrusion point of the threat invading the moving body by suppressing the calculation amount.
  • the intrusion point identification device when the intrusion point identification device further receives (a) the threat information indicating that the threat has invaded any one of the one or more moving bodies. In the above, it is determined that the received threat information is abnormal, or (b) when the log collection unit receives the log indicating that the threat has entered, the received log is abnormal.
  • the information collection unit collects the threat information determined by the abnormality detection unit to be abnormal, and the log collection unit is determined to be abnormal by the abnormality detection unit. Collect the logs.
  • the intrusion point identification device when receiving the threat information or log related to the intrusion of the threat, identifies the intrusion point of the threat based on the threat information or log.
  • the intrusion point identification device can calculate the score or the cumulative score without human intervention after detecting the attack on the moving object in the threat information or the vehicle log, and thus can identify the intrusion point.
  • the time until identification can be shortened, and attack damage can be further suppressed. Therefore, the intrusion point identification device can identify the intrusion point of the threat that has invaded the moving body in a shorter time based on the detection of the abnormality.
  • the intrusion point identification method is an intrusion point identification method for identifying an intrusion point where the threat has invaded one or more moving bodies each having a plurality of routes through which the threat can invade.
  • the plurality of routes include a first route in which the threat can invade from a first attack source within a predetermined distance from the moving body, and the intrusion point identifying method is the threat of the one or more moving bodies.
  • the threat information including the information is collected and stored, a log indicating the location of the one or more mobile bodies in association with the date and time is collected, and a predetermined period determined based on the detection information from the collected log.
  • a log indicating the location of the one or more mobile bodies in association with the date and time is collected, and a predetermined period determined based on the detection information from the collected log.
  • a recording medium such as a system, a method, an integrated circuit, a computer program, or a computer-readable CD-ROM, and the system, the method, the integrated circuit, the computer program, or the recording medium. It may be realized by any combination of media.
  • an intrusion point identification device that identifies an intrusion point of a threat that has invaded a moving body will be described.
  • a vehicle will be described as an example of the moving body.
  • FIG. 1 is an overall configuration diagram of a cyber attack intrusion point identification system according to the present embodiment.
  • the cyber attack intrusion point identification system includes a threat information sharing server 20, a vehicle log transmission device 30, and an intrusion point identification device 10.
  • the threat information sharing server 20, the vehicle log transmission device 30, and the intrusion point identification device 10 are connected via an external network.
  • An example of the external network is the Internet.
  • the threat information sharing server 20 is a server that receives threat information from an analyst and sends the threat information to the user.
  • the threat information is information including a document that describes the impact and cause of the attack analyzed by the analyst from the system log of the vehicle targeted by the attack after the cyber attack damage to the vehicle was discovered.
  • the threat information is described, for example, according to the description format of the threat information structured description format STIX (Structured Threat Information eXpression).
  • STIX Structured Threat Information eXpression
  • the "vehicle targeted for attack” is also referred to as the target vehicle.
  • the system log of a vehicle is also called a vehicle log, and is sometimes simply called a log.
  • the threat information described in the threat information structured description format STIX is classified into cyber attack incidents (also called threat categories), attack detection methods, attack countermeasure methods, attack target vulnerabilities, and common vulnerabilities.
  • the latency period is an example of latency information.
  • the incubation period is information indicating whether the threat has an incubation period. If the latency information indicates that the threat has a latency period, the latency information further includes the length of the latency period.
  • the attack source classification is set to "network”. When it is necessary to attack the target component from the adjacent network, the attack source classification is set to "adjacent”. When it is necessary to attack the target component from the local environment, the attack source classification is set to "local”. When it is necessary to attack the target component from the physical access environment, the attack source classification is set to "physical”.
  • the severity of vulnerability is expressed as a numerical value, with 10 points being the highest and 0 points being the least serious.
  • the severity level is an index indicating the severity of the influence of the threat on the operation of the vehicle.
  • An analyst is a person who can analyze a cyber attack on a vehicle, and is, for example, a security operation center, a security countermeasure team, a vehicle manufacturer, an in-vehicle device developer, or a vulnerability discoverer.
  • a user is a person or device that receives threat information, such as a security operation center, a security countermeasure team, or an intrusion point identification device 10.
  • the vehicle log transmission device 30 is an electronic control device that transmits a vehicle identification number, a vehicle log including a vehicle system log, a network log, position information, and a vehicle state to the intrusion point identification device 10.
  • the vehicle log transmission device 30 transmits the log to the intrusion point identification device 10 periodically or after the attack damage is detected.
  • the vehicle log transmission device 30 is installed in the vehicle.
  • the vehicle identification number is VIN (Vehicle Identification Number).
  • the vehicle system log is an operation log of vehicle control software installed in the ECU.
  • the network log is a CAN network traffic log.
  • the position information is a log of GPS (Global Positioning System).
  • the vehicle state is the speed of the vehicle.
  • the intrusion point identification device 10 is a device that identifies a point where a threat invades a vehicle.
  • the intrusion point identification device 10 receives the threat information from the threat information sharing server 20 and collects the vehicle log from the vehicle log transmission device 30. Then, the intrusion point identification device 10 uses the threat information and the vehicle log to physically identify the vehicle when the threat information is received or when the vehicle log includes a security abnormality.
  • the intrusion point that has been invaded by the invasion means that can be implemented only from the attack source located relatively close is specified. Details of the method of identifying the intrusion point will be described later.
  • the "attack source physically located relatively close to the vehicle" can be said to be an attack source located within a predetermined distance from the vehicle.
  • An invasion means that can be implemented only from an attack source physically located relatively close to the vehicle is, for example, an unauthorized access from the charging device via the power line while the vehicle is stopped at the charging device side and charging. It is a means of installing various software. Further, as the intrusion means, illegal software is installed in the in-vehicle infotainment device via Bluetooth (registered trademark) communication while the vehicle is parked in a parking lot of a large store, or an unauthorized vehicle repair company is installed. Can also include means for installing an unauthorized device to the OBD2 (ON BOARD DIAGNOSTICS 2) port during vehicle repair.
  • OBD2 ON BOARD DIAGNOSTICS 2
  • an attack damage can be generated by transmitting an illegal control command from the device to the vehicle-mounted network.
  • FIG. 2 is a configuration diagram of the entry point identification device 10 according to the present embodiment.
  • the intrusion point identification device 10 includes a communication unit 110, an abnormality detection unit 120, a threat information collection unit 130, a vehicle log collection unit 140, an intrusion point identification unit 150, and an intrusion point notification unit 160.
  • Prepare The above components can be realized by a processor (not shown) included in the intrusion point identification device 10 executing a program using a memory (not shown).
  • the communication unit 110 is a communication interface device connected to an external network.
  • the communication unit 110 receives the threat information from the threat information sharing server 20, and transfers the threat information to the abnormality detection unit 120 and the threat information collection unit 130.
  • the communication unit 110 also has a function of receiving a vehicle log from the vehicle log transmission device 30 and transferring the vehicle log to the abnormality detection unit 120 and the vehicle log collection unit 140.
  • the abnormality detection unit 120 detects an abnormality in threat information or a vehicle log.
  • the abnormality detecting unit 120 receives the threat information from the communication unit 110, determines that the threat information is abnormal when the threat information includes a cyber attack of the target vehicle, and threatens the threat information that is determined to be abnormal.
  • the information collecting unit 130 is notified.
  • the abnormality detection unit 120 receives the vehicle log from the communication unit 110, determines that the vehicle log is abnormal when the vehicle log includes a security abnormality, and determines the vehicle log that is determined to be abnormal as threat information. It has a function of notifying the collection unit 130.
  • the threat information collection unit 130 receives the threat information from the communication unit 110 and stores the threat information.
  • the threat information collection unit 130 collects threat information from the threat information sharing server 20 via the communication unit 110.
  • the threat information is based on the identification information of the vehicle that the threat invades from one or more vehicles, the route information that indicates the route that the threat has invaded from among the plurality of routes that the vehicle has, and the intrusion of the threat to the mobile body. Detection information indicating the day when the attack was detected.
  • the threat information collection unit 130 corresponds to the information collection unit.
  • the threat information collection unit 130 receives the threat information determined to be abnormal by the abnormality detection unit 120.
  • the threat information collection unit 130 physically compares with the vehicle when the attack source classification of the vulnerability included in the threat information from the abnormality detection unit 120 is “physical”, “local”, or “adjacent”. It is judged that the attack source located near the target is intruding. Then, the threat information collection unit 130 extracts the vehicle identification number, the threat category, the severity of vulnerability, and the latency period from the threat information, notifies the vehicle log collection unit 140 of the vehicle identification number and the latency period, and intrudes. The point identification unit 150 is notified of the vehicle identification number, threat category, and severity of vulnerability.
  • the threat information collection unit 130 receives the vehicle log that is determined to be abnormal by the abnormality detection unit 120.
  • the threat information collection unit 130 also identifies threat information having a vehicle identification number that matches the vehicle identification number included in the vehicle log from the stored threat information.
  • the threat information collection unit 130 extracts the vehicle identification number, the threat category, the severity of vulnerability, and the latency period from the identified threat information, and notifies the vehicle log collection unit 140 of the vehicle identification number and the latency period, It has a function of notifying the intrusion point identification unit 150 of the vehicle identification number, the threat category, and the degree of vulnerability.
  • the vehicle log collection unit 140 receives the vehicle log from the communication unit 110 and stores the vehicle log for each vehicle identification number included in the vehicle log.
  • the vehicle log includes a vehicle log that the abnormality detection unit 120 has determined to be abnormal.
  • the vehicle log collection unit 140 collects a log indicating the location of one or more vehicles in association with the date and time, and collects one or more logs from the collected logs within a predetermined period determined based on the detection information.
  • the history of the point where the mobile body was located is extracted and stored as history information.
  • the vehicle log collection unit 140 corresponds to a log collection unit.
  • the vehicle log collection unit 140 also receives the vehicle identification number and the latency period from the threat information collection unit 130.
  • the vehicle log collection unit 140 identifies a vehicle log that matches the vehicle identification number from the stored vehicle logs and is in the latent period as an abnormal vehicle log.
  • the vehicle log collection unit 140 defines a region obtained by dividing the latitude and the longitude at every 0 degrees, 0 minutes, and 1 second as a point. From the abnormal vehicle log, the abnormal point where the vehicle has traveled and passed, and the abnormal point Extract the vehicle state.
  • the vehicle log collection unit 140 extracts the number of vehicles at the abnormal point as the total number of vehicles from all vehicle logs, and notifies the intrusion point identification unit 150 of the abnormal point, the abnormal vehicle state at the abnormal point, and the total number of vehicles. Have a function.
  • the vehicle log collection unit 140 collects the GPS (Global Positioning System) log of the vehicle as the above log, and uses the point specified by a predetermined latitude and longitude as the above point to obtain the history information. I remember. In addition, the vehicle log collection unit 140 stores history information by using a location where a charging device used for charging the vehicle is installed, a parking lot, or a vehicle inspection location as the location.
  • GPS Global Positioning System
  • the intrusion point identification unit 150 identifies the intrusion point where the threat has invaded from the first attack source through the first route among the points indicated by the history information stored in the vehicle log collection unit 140.
  • the intrusion point identification unit 150 corresponds to the identification unit.
  • the intrusion point identification unit 150 receives the vehicle identification number, the threat category, and the severity of vulnerability from the threat information collection unit 130.
  • the intrusion point identification unit 150 receives an abnormal point, an abnormal vehicle state at the abnormal point, and the total number of vehicles from the vehicle log collection unit 140, and according to the abnormal vehicle state, the severity of vulnerability, and the total number of vehicles for each abnormal point.
  • the anomaly score for each point is calculated or corrected and stored for each threat category.
  • the intrusion point identification unit 150 adds the severity of CVSS defined by a numerical value from 0 to 10 to the reference point, and further adds 10 when the abnormal vehicle state is “stop”, as a whole. A value divided by the number of vehicles is calculated as an abnormality score and stored for each threat category and each point.
  • the intrusion point identification unit 150 has a function of determining whether or not the total sum of the threat categories and the abnormality scores stored for each point exceeds 0.1. Then, the intrusion point identification unit 150 determines that the point is abnormal for a point where the sum of the abnormality scores exceeds 0.1.
  • the intrusion point notification unit 160 outputs the point identified by the intrusion point identification unit 150.
  • the intrusion point notification unit 160 corresponds to the output unit.
  • the intrusion point notification unit 160 receives from the intrusion point identification unit 150 a point that the intrusion point identification unit 150 has determined to be abnormal.
  • the intrusion point notification unit 160 displays the map information and the abnormality score information for each point on the screen. At this time, the intrusion point notification unit 160 may display the map information and the abnormality score information on the screen in an overlapping manner.
  • the intrusion point notification unit 160 notifies the point determined to be abnormal to the driver corresponding to the vehicle identification number or the driver of the vehicle type of the vehicle corresponding to the vehicle identification number, and the point determined to be abnormal is the security countermeasure team. Or it has the function of notifying the police.
  • the vehicle log collection unit 140 determines that the threat information indicates that the threat has the latent period
  • the vehicle log collection unit 140 sets the period having the length of the latent period ending with the detection date to the predetermined period. Is used to store history information.
  • the history information is stored by using the period having a predetermined length, which ends at the day of detection, as the predetermined period. ing.
  • the intrusion point identification unit 150 may identify the points included in the history information stored by the vehicle log collection unit 140. The score indicating the degree of abnormality is set to a value greater than zero. On the other hand, if the threat information does not indicate that the threat has entered the vehicle through the first route, the intrusion point identification unit 150 scores the points included in the history information stored in the vehicle log collection unit 140. Is set to zero. Then, the intrusion point identification unit 150 corrects the score for each point included in the history information stored in the vehicle log collection unit 140 in consideration of the degree of abnormality calculated based on the threat information, and after the correction. A point whose score is equal to or higher than a predetermined value is identified as an intrusion point.
  • the correction by the intrusion point identification unit 150 will be described in detail.
  • the intrusion point identification unit 150 When the threat information indicates that the threat has invaded the vehicle through the first route, the intrusion point identification unit 150 has a higher degree of severity indicating the seriousness of the influence of the threat on the operation of the vehicle. Correction may be performed by adding the value to the score.
  • the intrusion point identification unit 150 may add a larger value to the score as the vehicle speed is closer to zero. , May be corrected.
  • the log shows the point where one or more vehicles are located and the speed of one or more moving bodies in association with the date and time. It is also assumed that the vehicle log collection unit 140 further extracts a history of speeds of one or more vehicles within a predetermined period from the collected logs and stores the history as history information.
  • the intrusion point identification unit 150 corrects the score to be smaller as the number of vehicles located at the point is larger. You may Here, it is assumed that the vehicle log collection unit 140 calculates and stores the number of vehicles located at each point indicated by the history information stored by the vehicle log collection unit 140.
  • the intrusion point identification unit 150 aggregates the scores of the points included in the history information stored in the vehicle log collection unit 140 for each category to which the threat belongs, and thus the cumulative score of each point for each category. May be calculated and stored.
  • FIG. 3 is a diagram showing an example of threat information according to the present embodiment.
  • the threat information shown in FIG. 3 is an example of threat information transmitted from the threat information sharing server 20 to the intrusion point identification device 10.
  • the threat information is composed of a threat information number, attack source classification, vulnerability severity, threat category, attack detection date, incubation period, vehicle identification number, and vehicle type.
  • attack source classifications are selected from “physical”, “local”, “adjacent”, and “network”.
  • the threat information number is a number that is uniquely associated with each piece of threat information.
  • ⁇ One of 0 to 10 is selected as the severity of vulnerability.
  • the threat of threat information number 1 has the attack source classification “physical”, the vulnerability severity “7”, the threat category “illegal OBD2 device”, and the latency period. Is “unknown”, the vehicle identification number is “A001”, and the vehicle type is “A”.
  • attack source classification of the threat information is "physical”, “adjacent”, or “local”, the attacker is physically located relatively close to the vehicle, or physically close to the vehicle. It can be determined that the intrusion tool is installed at the position.
  • the magnitude of attack damage can be determined by referring to the severity of vulnerability in threat information. Similar attacks can be classified by referring to the threat category. The period of the vehicle log to be confirmed can be determined by referring to the incubation period. The vehicle log corresponding to the vehicle identification number can be specified by referring to the vehicle identification number. By referring to the type of vehicle, the threat information can be classified for each attack on similar vehicles.
  • FIG. 4 is a diagram showing an example of a vehicle log transmitted from vehicle log transmission device 30 to intrusion point identification device 10 in the present exemplary embodiment.
  • the vehicle log is configured to include a set of vehicle identification number, time, position information, and vehicle state.
  • the vehicle with the vehicle identification number “A001” is traveling at the time “T11” at the point A with the latitude “N1 second” and the latitude “E1 second” at “10 km / h”. It is shown. Further, it is shown that the vehicle with the vehicle identification number “A001” was traveling at the point “B” of the latitude “N2 seconds” and the longitude “E2 seconds” at “20 km / h” at the time “T12”. There is.
  • the intrusion point identification unit 150 can identify the predetermined period until the attack is detected by referring to the time corresponding to the vehicle identification number of the abnormal vehicle from the vehicle log. Further, by referring to the position information for the vehicle identification number of the abnormal vehicle within a predetermined period, the point where the vehicle has passed can be extracted, and the vehicle is stopped at each point by referring to the vehicle state. You can judge whether or not you are running. In the vehicle log, the position information defines, as a point, an area obtained by dividing the latitude and the longitude every 0 degrees, 0 minutes, and 1 second.
  • the intrusion point identification unit 150 calculates the total number of vehicles from the vehicle log.
  • the total number of vehicles is a numerical value indicating the traffic volume of vehicles at a specific point within a predetermined period, and specifically includes normal vehicles and abnormal vehicles that have passed a specific point within the predetermined period. Indicates the total number of vehicles.
  • the total number of vehicles is calculated using a vehicle identification number included in the vehicle log and including specific position information within a predetermined period.
  • the vehicle identification numbers of the vehicles located at the point D corresponding to the specific position information in the predetermined period T11 to T43 are two, B001 and C001, so that the total number of vehicles at the point D is Is calculated as 2.
  • FIG. 5 is a diagram showing an example of the abnormality score calculated by the intrusion point identification unit 150 according to the present embodiment.
  • the abnormality score is also simply referred to as a score.
  • the abnormality score is configured to include a set of threat information number, threat category, vehicle identification number, position information, and abnormality score calculation value. Furthermore, the abnormality score calculation value includes a reference point, a severity level addition point, a vehicle state addition point, the total number of vehicles, and an abnormality score.
  • the vehicle log of the vehicle identification number “A001” included in the threat information number “1” is the vehicle log within the incubation period before the attack is detected or the position information for one day before the attack is detected. is there.
  • the points where the vehicle having the vehicle identification number “A001” has passed during the period from time T11 to T13 are “point A”, “point B”, and “point C”. .
  • the intrusion point identification unit 150 sets the reference point of the abnormality score calculation value to “1”. In addition, the intrusion point identification unit 150 sets the reference point to a value larger than zero, more specifically, “1” when the attack source classification is “physical”, “adjacent” or “local”, and If the attack source classification is “network”, the reference point is set to “0”.
  • the intrusion point identification unit 150 since the intrusion point identification unit 150 has a vulnerability severity level of 7 in the threat information of FIG. 3, it sets “7” in the severity score addition value of the abnormality score calculation value.
  • the intrusion point identification unit 150 sets “0” to the vehicle state addition point of the abnormality score calculation value. To do.
  • the anomaly score of the anomaly score calculation value is set by dividing the score obtained by adding the reference point, the severity level score and the vehicle condition score by the total number of vehicles.
  • the score “8” is obtained by adding the reference point, the severity addition point, and the vehicle state addition point. Is divided by "100", which is the total number of vehicles at point A, to obtain "0.08".
  • the vehicle log of the vehicle identification number “B001” included in the threat information number “2” is the vehicle log within the incubation period before the attack is detected or the position information for one day before the attack is detected. is there.
  • the points through which the vehicle with the vehicle identification number “B001” has passed during the period from time T21 to T22 are “point D”, “point E”, and “point F”. .
  • the attack source classification of the threat with the threat information number “2” is “local”
  • the reference point of the calculated value of the abnormality score is “1”.
  • the severity of the vulnerability included in the threat information number “2” is 6, “6” is set to the severity score addition point of the abnormality score calculation value.
  • the intrusion point identification unit 150 sets “1” to the vehicle state addition point of the abnormality score calculation value. To do. When the vehicle status is "stop” rather than “running”, it is more likely to be the intrusion point of the cyber attack, so the vehicle status addition of "stop” is more than the vehicle status addition of "running” "0". “1”, which is also high, is set. In FIG. 5, the abnormality score of “Point D” with the vehicle identification number “B001” is the total number of vehicles at Point D, which is “9”, which is the sum of the reference point, the added severity and the added vehicle state. It will be "0.9".
  • the intrusion point identification unit 150 sets the reference point of the abnormality score calculation value to “0”, and does not set the severity level addition point and the vehicle state addition point.
  • the attack source classification of the threat information of FIG. 3 for the abnormality score if the attack source classification is “physical”, “adjacent”, or “local”, the attacker or the intrusion tool physically affects the vehicle. “1” is set as a reference point when a cyber attack is likely to be an intrusion point. On the other hand, if the attack source classification of the threat information is a network, it is not necessary for the attacker or the intrusion tool to be physically located relatively close to the vehicle, so it is unlikely to be the intrusion point for cyber attacks. , “0” is set as the reference point, and the ordinary score is set as “0”.
  • the additional point of the degree of seriousness and the additional point of the vehicle state may be set.
  • the degree-of-severity additional point is set by using the vulnerability of threat information, and it is possible to increase the abnormality score of the intrusion point of an attack having a higher degree of severity and a higher risk such as illegal control of the vehicle.
  • the vehicle state addition point is set by using the vehicle state of the vehicle log. When the vehicle is traveling, the possibility of being intruded is low, so the abnormality score is reduced, and when the vehicle is stopped, it is intruded. Since the probability is high, the abnormality score can be increased.
  • a point with a large number of total vehicles is a point where many vehicles pass regardless of whether it is a normal vehicle or an abnormal vehicle, so the abnormality score is set to a small value.
  • a point where the total number of vehicles is small is a characteristic point in which the ratio of abnormal vehicles is relatively large, so the abnormality score is set to a large value.
  • FIG. 6 is a diagram showing an example of threat categories and cumulative abnormality scores for each point calculated by the intrusion point identification unit 150 according to the present embodiment.
  • the cumulative anomaly score includes a set of threat category, point, anomaly score, and cumulative anomaly score.
  • the anomaly score is composed of a plurality of pieces of threat information.
  • the cumulative abnormality score is the cumulative abnormality score described in FIG.
  • the threat category to which the threat having the threat information number “1” belongs is “illegal OBD2 device”.
  • the position information of the vehicle log corresponding to the threat information number “1” includes points A, B, and C, and the respective abnormal scores are “0.08”, “0.08”, and “0.04”. . Since the points A, B, and C are not included in the position information of the vehicle log corresponding to other threat information, the cumulative abnormality score is "0.08", "0.08", "0.04". .
  • the location information of the vehicle log corresponding to the threat information numbers “2” and “3” includes the point D.
  • the abnormality score of the point D for the threat information number “2” is “0.8”, and the abnormality score of the point D for the threat information number “3” is “0.7”.
  • the cumulative abnormality score at the point D is “1.5” which is the sum of the abnormality scores at the point D having the threat information numbers “2” and “3”.
  • FIG. 7 is a diagram showing an example of a screen on which the intrusion point notification unit 160 according to the present embodiment visualizes and displays the cumulative abnormality score.
  • roads with longitudes of N1, N2, and N3 and roads with latitudes of W1, W2, and W3 are displayed on the map.
  • the position and name of the charging device X existing at the position where the longitude is N1 and the latitude W1 the position and name of the parking lot Y existing at the position where the longitude is N2 and the latitude W3, and the longitude are The position and name of the hydrogen station Z existing at the position of N3 and the latitude of W2 are displayed.
  • the intrusion point notification unit 160 further displays a cumulative abnormality score.
  • the intrusion point notification unit 160 displays using a graphic having a larger size or a graphic having a taller height in the three-dimensional display as the cumulative abnormality score is larger.
  • the intrusion point notification unit 160 indicates the abnormal cumulative score by a bar graph.
  • the bar graph is displayed longer or larger as the cumulative abnormal score is larger.
  • the figure is displayed as a taller figure.
  • the intrusion point notification unit 160 displays a bar graph at an intersection of a road having a longitude of N1 and a road having a latitude of W1, for example, as a figure showing a cumulative abnormality score of 1.5 at the point D.
  • the displayed bar graph has a size or height corresponding to the cumulative abnormal score at the point D.
  • the numerical value “1.5” of the cumulative abnormality score is displayed inside the displayed bar graph.
  • a bar graph is displayed at the intersection of the road having a longitude of N2 and the road having a latitude of W1 as a figure showing a cumulative abnormality score of 0.06 at the point F.
  • the display mode is the same as above.
  • the intrusion point notification unit 160 visualizes and displays the cumulative abnormality score at the same time as the name of the point that is likely to be the intrusion point on the map. Can be visually confirmed without switching the displayed page. Therefore, the user can efficiently specify the abnormal intrusion point.
  • [Processing sequence of abnormality detection device] 8 to 11 show that after the threat information sharing server 20 in the present embodiment transmits threat information to the intrusion point identification device 10 or the vehicle log transmission device 30 transmits a vehicle log to the intrusion point identification device 10,
  • the intrusion point identification device 10 detects an abnormality in security, calculates an abnormality score indicating a possibility of an intrusion point for each threat category and point, calculates a cumulative abnormality score for each threat category and point, and The processing sequence until a point is specified and notified is shown.
  • the threat information sharing server 20 transmits threat information to the communication unit 110 of the intrusion point identification device 10.
  • the threat information sharing server 20 has received threat information from the analyst in advance.
  • the information included in the threat information is as shown in FIG.
  • An analyst is a person who can analyze a cyber attack on a vehicle from a log of the vehicle, for example, a security operation center, a security countermeasure team, a vehicle manufacturer, an in-vehicle device developer, or a vulnerability discoverer. .
  • step S802 the communication unit 110 transfers the threat information by receiving the threat information transmitted in step S801 and transmitting the received threat information to the threat information collecting unit 130.
  • step S803 the threat information collection unit 130 receives and stores the threat information transmitted in step S802.
  • step S804 the communication unit 110 transfers the threat information by transmitting the threat information transmitted in step S801 and received in step S802 to the abnormality detection unit 120.
  • the abnormality detection unit 120 receives the threat information transmitted in step S804.
  • the abnormality detection unit 120 determines that the received threat information is abnormal when the received threat information includes a cyber attack on the analysis target vehicle.
  • the analysis target vehicle is, for example, a vehicle of a specific manufacturer, and in this case, when the vehicle identification number of the vehicle of the specific manufacturer is included in the threat information, the threat information is determined to be abnormal.
  • step S806 the abnormality detection unit 120 transmits abnormal threat information to the threat information collection unit 130 when it determines in step S805 that the threat information is abnormal.
  • step S807 the threat information collection unit 130 receives the abnormal threat information transmitted in step S806.
  • step S901 the vehicle log transmission device 30 transmits the vehicle log to the communication unit 110 of the entry point identification device 10.
  • the vehicle log is transmitted to the intrusion point identification device 10 via the Internet using a communication protocol such as HTTP (Hypertext Transfer Protocol).
  • HTTP Hypertext Transfer Protocol
  • step S902 the communication unit 110 transfers the vehicle log by receiving the vehicle log transmitted in step S901 and transmitting the received vehicle log to the vehicle log collection unit 140.
  • step S903 the vehicle log collection unit 140 receives and stores the vehicle log transmitted in step S902.
  • step S904 the communication unit 110 transfers the vehicle log by transmitting the vehicle log transmitted in step S901 and received in step S902 to the abnormality detection unit 120.
  • step S905 the abnormality detection unit 120 receives the vehicle log transmitted in step S904, and when a log including a cyber attack is detected in the received vehicle log, determines that the received vehicle log is abnormal.
  • a method of detecting an abnormality from the vehicle log for example, when a message instructing automatic parking control that is activated only when the vehicle speed is within 10 km / h is transmitted during traveling at a vehicle speed of 100 km / h, the abnormality is detected.
  • the anomaly detection unit 120 monitors the CAN network traffic included in the vehicle log on the assumption that the rule is created in advance, and detects an anomaly when the vehicle log including the message matching the rule is included. .
  • step S906 when the abnormality detection unit 120 determines in step S905 that the vehicle log is abnormal, the abnormality detection unit 120 transmits the abnormal vehicle log to the threat information collection unit 130.
  • step S907 the threat information collection unit 130 receives the abnormal vehicle log transmitted in step S906.
  • step S908 the threat information collection unit 130 identifies abnormal threat information corresponding to the vehicle identification number included in the abnormal vehicle log received in step S907.
  • the vehicle identification number is a unique value among all vehicles, and since the vehicle identification number included in the threat information and the vehicle identification number included in the vehicle log are the same, the vehicle log and the threat information are included. Can be associated.
  • step S1001 the threat information collection unit 130 acquires abnormal threat information.
  • This process corresponds to the process in which the threat information collection unit 130 receives or identifies abnormal threat information in step S807 or step S908.
  • step S1002 when the attack source classification of the threat information in step S1001 is “physical”, “local”, or “adjacent”, the threat information collection unit 130 determines from the threat information that the vehicle identification number, the threat category, and the severity level. The attack detection date and the incubation period are extracted.
  • a predetermined period more specifically, a predetermined number of days, for example, one day, is used as the latency period. The method of extracting the vehicle log during the incubation period will be described later with reference to FIG.
  • step S1003 the threat information collection unit 130 transmits the vehicle identification number, the attack detection date, and the incubation period extracted in step S1002 to the vehicle log collection unit 140.
  • step S1004 the vehicle log collection unit 140 receives the vehicle identification number, the attack detection date, and the incubation period in step S1003.
  • step S1005 the vehicle log collection unit 140 extracts the position information during the incubation period and the vehicle state for each point from the vehicle log corresponding to the vehicle identification number in step S1004, and transmits the position information to the intrusion point identification device 10.
  • the point is a point obtained by dividing the latitude and the longitude included in the position information every 0 degrees 0 minutes 1 second.
  • the information included in the vehicle log includes time, vehicle position information at that time, and speed information that is the vehicle state at that time, as shown in FIG.
  • the vehicle log collection unit 140 identifies the log during the incubation period with reference to the time of the vehicle log, and extracts the vehicle state for each predetermined point by associating and extracting the position information and the speed information. To do.
  • step S1006 the intrusion point identification unit 150 receives the vehicle identification number, the position information, and the vehicle state for each point transmitted in step S1005.
  • step S1007 the vehicle log collection unit 140 extracts the number of vehicles at each point during the incubation period as the total number of vehicles from all the vehicle logs stored in the vehicle log collection unit 140, and transmits the number to the intrusion point identification unit 150.
  • step S1008 the intrusion point identification unit 150 receives the vehicle identification number, the position information, and the vehicle state for each point transmitted in step S1007.
  • step S1009 the threat information collection unit 130 transmits the vehicle identification number, the threat category, and the severity of vulnerability extracted in step S1002 to the intrusion point identification unit 150.
  • the severity of vulnerability is expressed by CVSS or the like, and is a numerical value of 10 points when the severity is highest and 0 points when the severity is not the highest.
  • step S1010 the intrusion point identification unit 150 receives the threat category and the severity of vulnerability transmitted in step S1009.
  • step S1011 the intrusion point identification unit 150 uses the position information, the vehicle state for each point, the total number of vehicles for each point, and the severity of vulnerability received in step S1006, step S1008, and step S1010.
  • the abnormality score is calculated for each point and stored in association with the threat category. The method of calculating the abnormality score will be described later with reference to FIG.
  • step S1101 the intrusion point identification unit 150 calculates an abnormality score and stores it in association with the threat category. This process corresponds to the process of step S1011.
  • step S1102 the intrusion point identification unit 150 calculates the cumulative abnormality score for each threat category and point stored in step S1101, and transmits the position information and the cumulative abnormality score to the intrusion point notification unit 160.
  • the method of calculating the cumulative abnormality score will be described later with reference to FIG.
  • step S1103 the intrusion point notification unit 160 receives the position information and the cumulative abnormality score transmitted in step S1102, and displays each point on the map.
  • the display method of the cumulative abnormality score is as shown in FIG. 7.
  • step S1104 if the cumulative abnormality score calculated in step S1102 is equal to or higher than the threshold, the intrusion point identification unit 150 identifies the intrusion point and transmits the position information to the intrusion point notification unit 160. To do.
  • the threshold value is held in advance by the intrusion point identification unit 150.
  • step S1105 the intrusion point notification unit 160 receives the position information transmitted in step S1104 and notifies the driver or the security countermeasure team.
  • the user can take a temporary response such as not approaching the intrusion point, or investigate around the intrusion point. Can be carried out promptly, and it is possible to reduce the attack damage to the vehicle.
  • FIG. 12 shows a flowchart of the vehicle log extraction processing of vehicle log collection unit 140 in the present embodiment.
  • step S1201 the vehicle log collection unit 140 acquires abnormal threat information and a vehicle log, and then executes step S1202.
  • step S1202 the vehicle log collection unit 140 determines whether or not the latent period is described in the threat information. If the latent period is described in the threat information (YES in step S1202), step S1203 is performed. If the latent period is not described in the threat information (NO in step S1202), step S1204 is performed next. In addition, "the description of the latency period in the threat information" corresponds to that the latency information indicates that the threat has the latency period.
  • step S1203 the vehicle log collection unit 140 acquires by referring to the time information included in the vehicle log within the latent period described in the threat information, and then executes step S1205.
  • step S1204 the vehicle log collection unit 140 refers to the time information included in the vehicle log on the day before the attack detection date (corresponding to a predetermined period) from the attack detection date described in the threat information and refers to the vehicle.
  • the log is acquired, and then step S1205 is executed.
  • step S1205 the vehicle log collection unit 140 identifies the vehicle identification number and the corresponding vehicle log included in the abnormal threat information from the vehicle logs stored by the vehicle log collection unit 140, and detects the abnormal position information and the abnormal vehicle information.
  • the vehicle state including the speed information in the position information is extracted, and then step S1206 is executed.
  • step S1206 the vehicle log collection unit 140 acquires all vehicle logs stored in the vehicle log collection unit 140, and determines the number of types of vehicle identification numbers included in the vehicle log including the abnormal position information in step S1205 as the entire vehicle. Calculate as a number.
  • the total number of vehicles is set to once. It is possible to count and to eliminate duplicate counting of the same vehicle.
  • FIG. 13 shows a flowchart of the abnormality score calculation and extraction process of the intrusion point identification unit 150 according to the present embodiment.
  • step S1301 the intrusion point identification unit 150 stores the threat category and the abnormality score for each point as an abnormality score [i], and then executes step S1302.
  • i is an integer of 1 or more and N or less
  • N is the number of points
  • one point extracted by the vehicle log collection unit 140 is specified by the value of i.
  • step S1302 the intrusion point identification unit 150 stores the value of i as 1, and then executes step S1303.
  • step S1303 the intrusion point identification unit 150 refers to the threat information number corresponding to the value of i, and determines whether the attack source classification of the threat information is “physical”, “local”, or “adjacent”. . When the attack source classification of the threat information is “physical”, “local”, or “adjacent”, the intrusion point identification unit 150 then executes step S1304. On the other hand, if the attack source classification of the threat information is none of the above, then step S1305 is executed.
  • step S1304 the intrusion point identification unit 150 stores the value of the abnormality score [i] as 1, and then executes step S1306.
  • step S1305 the intrusion point identification unit 150 stores the value of the abnormality score [i] as 0, and then executes step S1312.
  • step S1306 the intrusion point identification unit 150 refers to the threat information number corresponding to the value of i, and determines whether the severity of threat information is 1 or more. When the severity of threat information is 1 or more, step S1307 is performed next. On the other hand, if the severity of the threat information is 0, then step S1308 is executed.
  • the degree of seriousness is a value according to CVSS, which is defined to be more serious from 0 to 10 as being higher.
  • step S1307 the intrusion point identification unit 150 adds the numerical value of the severity to the value of the abnormality score [i] and stores it, and then executes step S1308.
  • step S1308 the intrusion point identification unit 150 refers to the vehicle state at the point corresponding to the value of i extracted by the vehicle log collection unit 140 corresponding to the value of i, and determines whether the vehicle state is stopped. judge. If the vehicle state is stopped, then step S1309 is executed. On the other hand, if the vehicle state is not stopped, step S1310 is performed.
  • the vehicle state includes speed information, and when the vehicle speed is 0 km / h, it is determined that the vehicle is stopped.
  • step S1309 the intrusion point identification unit 150 adds 1 to the value of the abnormality score [i] and stores it, and then executes step S1310.
  • the value of the abnormality score [i] may be doubled and stored instead of adding 1 to the value of the abnormality score [i].
  • step S1310 the intrusion point identification unit 150 refers to the total number of vehicles at the point corresponding to the value of i extracted by the vehicle log collection unit 140 corresponding to the value of i, and determines whether the total number of vehicles is 1 or more. To determine. When the number of all vehicles is 1 or more, step S1311 is performed next. On the other hand, if the total number of vehicles is not 1 or more, then step S1312 is performed.
  • step S1311 the intrusion point identification unit 150 calculates and stores a value obtained by dividing the numerical value of the abnormality score [i] by the total number of vehicles, and then executes step S1312.
  • step S1312 if the numerical value of i is N, the intrusion point identification unit 150 stores it in association with the threat category, and ends the processing. On the other hand, if the value of i is not N, then step S1313 is executed.
  • step S1313 the intrusion point identification unit 150 stores a numerical value obtained by adding 1 to the numerical value of i as i, and then executes step S1303.
  • FIG. 14 shows a flowchart of intrusion point identification processing of intrusion point identification section 150 in the present exemplary embodiment.
  • step S1401 the intrusion point identification unit 150, for each of all the threat information stored in the threat information collection unit 130, according to the abnormality score calculation flowchart of steps S1301 to S1313 (see FIG. 13), the abnormality score for each point. Is calculated, the abnormality score [M] is extracted from the abnormality score [1] corresponding to the predetermined threat category, and then step S1402 is executed.
  • M is the number of pieces of threat information corresponding to a predetermined threat category.
  • the predetermined threat category is a threat category included in the threat information, and the intrusion point identification flowchart is executed for each threat category.
  • step S1402 the intrusion point identification unit 150 stores the cumulative abnormality score for each point as the cumulative abnormality score [k], and then executes step S1403.
  • k is a numerical value from 1 to L
  • L is the number of all points, and is the number of unique points included in the abnormality score [1] to the abnormality score [M] corresponding to a predetermined threat category.
  • step S1403 the intrusion point identification unit 150 stores k as 1.
  • step S1404 the intrusion point identification unit 150 calculates and stores the cumulative abnormality score [k] as a value obtained by adding all of the abnormality score [1] to the abnormality score [M], and then executes step S1405.
  • step S1405 the intrusion point identification unit 150 transmits the point information and the accumulated abnormality score to the intrusion point notification unit 160, the intrusion point notification unit 160 displays the point information and the accumulated abnormality score, and then executes step S1406. .
  • step S1406 the intrusion point identification unit 150 determines whether or not the cumulative abnormality score is equal to or greater than the threshold value. If the cumulative abnormality score is equal to or greater than the threshold value, then step S1407 is performed, and if not, then step S1408 is performed.
  • step S1407 the intrusion point identification unit 150 determines that the point corresponding to the cumulative abnormality score is the intrusion point, and then executes step S1409.
  • step S1408 the intrusion point identification unit 150 determines that the point corresponding to the cumulative abnormality score is not the intrusion point, and then executes step S1409.
  • step S1409 the intrusion point identification unit 150 notifies the driver or the security countermeasure team of the point information corresponding to the cumulative abnormality score, and then executes step S1410.
  • step S1410 the intrusion point identification unit 150 determines whether k is equal to L. If k is equal to L (YES in step S1410), the series of processes shown in FIG. 14 is terminated. On the other hand, if k is not equal to L (NO in step S1410), then step S1411 is performed.
  • step S1411 the intrusion point identification unit 150 stores a numerical value obtained by adding 1 to the numerical value of k as k, and then executes step S1404.
  • the intrusion point identification device 10 includes the abnormality detection unit 120, but the abnormality detection unit 120 is not an essential component. If the intrusion point identification unit 150 does not include the abnormality detection unit 120, the timing at which the threat information is received from the threat information sharing server 20, the timing at which the abnormality is manually detected, the regular timing, or the abnormality notification from the external system is issued. At the timing of reception, the abnormality detection unit 120 may collect the threat information and the vehicle log, and the intrusion point identification unit 150 may calculate the abnormality score.
  • the vehicle log transmission device 30 has been described as being installed in the vehicle, but the vehicle log transmission device 30 is an edge server that collects and transmits a plurality of vehicle logs. It may be a cloud server that collects vehicle logs.
  • the abnormality detection unit 120 has been described as detecting an abnormality using CAN network traffic of threat information or vehicle logs, but CAN-FD, Ethernet, LIN, and Flexray are also applicable.
  • the configuration may be a combination of the two, or the system log output by the vehicle system may be used to detect an error when the system log includes an error.
  • the threat information collecting unit 130 has been described as collecting the threat information shown in FIG. 3, but even if profiling information of an attacker, which is more useful for cause analysis of an intrusion point, is collected. Good.
  • the vehicle log collection unit 140 has been described as collecting the vehicle logs shown in FIG. 4, but the vehicle identification number is not a number assigned by the manufacturer to identify an individual but an anonymized numerical value. Good. Further, the time may be relative time instead of absolute time. Further, the position information may be in minutes or degrees instead of seconds. Further, the vehicle state may be a label indicating that the vehicle is stopped or running instead of the raw value of the speed information.
  • the intrusion point identification unit 150 calculates the abnormality score shown in FIG. 5 and stores it for each threat category, but it is not necessary to store it in association with the threat category. When not storing in association with the threat category, the intrusion point identification unit 150 may calculate the cumulative abnormality score for each point not for each threat category but for all threat categories.
  • the intrusion point identification unit 150 stores the abnormality score for each point divided by the latitude and longitude shown in FIG. 5, but not the point divided by the latitude and longitude, Charging equipment, hydrogen stations, gas stations, parking lots, bases for repair companies, bases for vehicle inspection companies, bases for car rental companies, bases for car sharing companies, vehicle manufacturing plants, intersections, roads, or traffic lights, etc. It may be calculated for each.
  • the intrusion point identification unit 150 calculates the abnormality score shown in FIG. 5, but the reference point may take any value. Further, the severity may be judged manually without using the value of CVSS, and the score added as the severity may be an arbitrary value. Further, the vehicle state is determined by two types, that is, the vehicle is stopped and the vehicle is running. However, depending on the moving speed of the vehicle, the vehicle state adding point may be changed so that the vehicle state adding point becomes higher as the vehicle gets closer to the stopped state. Does not have to be multiplication. Further, the total number of vehicles may be stored not as the value of the total number of vehicles itself but as a ratio representing the abnormal number of vehicles in the total number of vehicles.
  • the intrusion point identification unit 150 identifies the intrusion point when the cumulative abnormality score is equal to or higher than the threshold value, but the threshold value may be set in advance. However, it may be calculated from the ratio of the total cumulative abnormality score.
  • the intrusion point notification unit 160 has been described as displaying the cumulative abnormality score on the map, but the cumulative abnormality score may be displayed as a numerical value using a tabular format, or may be popped up. It may be displayed in a notification.
  • the intrusion point notification unit 160 has been described as displaying the numerical value of the cumulative abnormality score by using a figure, but the numerical value is expressed by using a color and displayed. Good.
  • the intrusion point notification unit 160 has been described as displaying each point on the cumulative abnormality score map, but the route connecting the points passed by the attacked vehicle is graphically displayed. It may be expressed in color and displayed on the map.
  • the intrusion point notification unit 160 notifies the driver or the security measure team after receiving the information on the intrusion point from the intrusion point identification unit 150, but the notification destination is also the police. It may be the Ministry of Transport or the vulnerability information sharing organization.
  • Part or all of the constituent elements of each device in the above embodiments may be composed of one system LSI (Large Scale Integration).
  • the system LSI is an ultra-multifunctional LSI manufactured by integrating a plurality of constituent parts on one chip, and specifically, is a computer system including a microprocessor, ROM, RAM and the like. . A computer program is recorded in the RAM.
  • the system LSI achieves its function by the microprocessor operating according to the computer program.
  • each part of the constituent elements of each of the above-mentioned devices may be individually formed into one chip, or may be formed into one chip so as to include a part or all.
  • the system LSI is used here, it may be called IC, LSI, super LSI, or ultra LSI depending on the degree of integration.
  • the method of circuit integration is not limited to LSI, and it may be realized by a dedicated circuit or a general-purpose processor.
  • a programmable programmable gate array (FPGA) that can be programmed after the LSI is manufactured, or a reconfigurable processor that can reconfigure the connection and setting of circuit cells inside the LSI may be used.
  • FPGA programmable programmable gate array
  • a reconfigurable processor that can reconfigure the connection and setting of circuit cells inside the LSI may be used.
  • Part or all of the constituent elements of each of the above devices may be configured with an IC card that can be attached to and detached from each device or a single module.
  • the IC card or the module is a computer system including a microprocessor, ROM, RAM and the like.
  • the IC card or the module may include the above super-multifunctional LSI.
  • the IC card or the module achieves its function by the microprocessor operating according to the computer program. This IC card or this module may be tamper resistant.
  • the present invention may be a program (computer program) that realizes the abnormality detection method by a computer, or may be a digital signal including the computer program.
  • a computer-readable recording medium that can read the computer program or the digital signal, for example, a flexible disk, a hard disk, a CD-ROM, an MO, a DVD, a DVD-ROM, a DVD-RAM, a BD. (Blue-ray (registered trademark) Disc), semiconductor memory, or the like may be used for recording. Further, the digital signal recorded on these recording media may be used.
  • the computer program or the digital signal may be transmitted via an electric communication line, a wireless or wired communication line, a network typified by the Internet, a data broadcast, or the like.
  • a computer system including a microprocessor and a memory may be configured such that the memory records the computer program and the microprocessor operates according to the computer program.
  • an independent computer system can be used. You may implement.
  • the intrusion point identifying device in the in-vehicle network system of the present invention can be applied to a device that identifies an intrusion point of a threat that has invaded a moving body. More specifically, using the log that contains threat information and location information of multiple vehicles, among the vehicles that were attacked, the point where many vehicles passed before the attack could be the intrusion point. It is possible to specify the intrusion point by determining that the value is high. As a result, the security measures team is notified of the intrusion point, and the surrounding area can be investigated and the driver can be alerted to stay away from the intrusion point. .
  • Intrusion point identification device 10
  • Threat information sharing server 30
  • Vehicle log transmission device 110
  • Communication unit 120
  • Abnormality detection unit 130
  • Threat information collection unit 140
  • Vehicle log collection unit 150
  • Intrusion point identification unit 160
  • Intrusion point notification unit 10

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Radar, Positioning & Navigation (AREA)
  • Remote Sensing (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Automation & Control Theory (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Traffic Control Systems (AREA)
  • Alarm Systems (AREA)
  • Burglar Alarm Systems (AREA)

Abstract

侵入地点特定装置（１０）は、１以上の移動体のうちの脅威が侵入した移動体の識別情報と、当該移動体が有する複数の経路のうち脅威が侵入した経路を示す経路情報と、当該移動体への脅威の侵入による攻撃の発覚日を示す発覚情報とを含む脅威情報を収集して記憶している脅威情報収集部（１３０）と、１以上の移動体が位置する地点を日時に対応付けて示すログを収集し、収集したログから、発覚情報に基づいて定められる所定期間内に１以上の移動体が位置していた地点の履歴を抽出し履歴情報として記憶している車両ログ収集部（１４０）と、車両ログ収集部（１４０）が記憶している履歴情報に示される地点のうち、第一攻撃元から第一経路を通じて脅威が侵入した侵入地点を特定する侵入地点特定部（１５０）と、侵入地点特定部（１５０）が特定した地点を出力する侵入地点通知部（１６０）とを備える。

Description

侵入地点特定装置、および、侵入地点特定方法
　本発明は、侵入地点特定装置、および、侵入地点特定方法に関する。
　車両を不正に制御する脅威に対して防御する技術がある（特許文献１参照）。
特開２０１４－１４６８６８号公報
　車両は、移動体であり、また、侵入から攻撃被害発覚までの期間が一定でないことから、攻撃発覚地点から侵入地点を特定することが容易でないという問題がある。
　そこで、本発明は、移動体に侵入した脅威の侵入地点を特定する侵入地点特定装置等を提供する。
　本発明の一態様に係る侵入地点特定装置は、脅威が侵入し得る複数の経路をそれぞれが有する１以上の移動体に当該脅威が侵入した侵入地点を特定する侵入地点特定装置であって、前記複数の経路は、当該移動体から所定距離以内の第一攻撃元から前記脅威が侵入し得る第一経路を含み、前記侵入地点特定装置は、前記１以上の移動体のうちの前記脅威が侵入した移動体の識別情報と、当該移動体が有する前記複数の経路のうち前記脅威が侵入した経路を示す経路情報と、当該移動体への前記脅威の侵入による攻撃の発覚日を示す発覚情報とを含む脅威情報を収集して記憶している情報収集部と、前記１以上の移動体が位置する地点を日時に対応付けて示すログを収集し、収集した前記ログから、前記発覚情報に基づいて定められる所定期間内に前記１以上の移動体が位置していた地点の履歴を抽出し履歴情報として記憶しているログ収集部と、前記ログ収集部が記憶している前記履歴情報に示される前記地点のうち、前記第一攻撃元から前記第一経路を通じて脅威が侵入した侵入地点を特定する特定部と、前記特定部が特定した前記地点を出力する出力部とを備える。
　なお、これらの包括的または具体的な態様は、システム、方法、集積回路、コンピュータプログラムまたはコンピュータ読み取り可能なＣＤ－ＲＯＭなどの記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラムおよび記録媒体の任意な組み合わせで実現されてもよい。
　本発明の侵入地点特定装置は、移動体に侵入した脅威の侵入地点を特定することができる。
図１は、実施の形態におけるサイバー攻撃の侵入地点特定システムの全体構成図である。 図２は、実施の形態における侵入地点特定装置の構成図である。 図３は、実施の形態における脅威情報の一例を示す図である。 図４は、実施の形態における車両ログの一例を示す図である。 図５は、実施の形態における異常スコアの一例を示す図である。 図６は、実施の形態における累積異常スコアの一例を示す図である。 図７は、実施の形態における累積異常スコア可視化表示画面の一例を示す図である。 図８は、実施の形態における脅威情報の異常検知処理のシーケンスを示す図である。 図９は、実施の形態における車両ログの異常検知処理のシーケンスを示す図である。 図１０は、実施の形態における異常スコアの算出処理のシーケンスを示す図である。 図１１は、実施の形態における侵入地点特定処理のシーケンスを示す図である。 図１２は、実施の形態における車両ログ収集部の車両ログ抽出処理のフローチャートである。 図１３は、実施の形態における侵入地点特定部の異常スコア算出抽出処理のフローチャートである。 図１４は、実施の形態における侵入地点特定部の侵入地点特定処理のフローチャートである。
　（本発明の基礎となった知見）
　本発明者は、「背景技術」の欄において記載した、車両を不正に制御する脅威に対して防御する技術に関し、以下の問題が生じることを見出した。
　近年、自動車の中のシステムには、電子制御装置（ＥＣＵ：Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）と呼ばれる装置が多数配置されている。これらのＥＣＵをつなぐネットワークは車載ネットワークと呼ばれる。車載ネットワークには、多数の規格が存在する。その中でも最も主流な車載ネットワークの一つに、ＩＳＯ１１８９８－１で規定されているＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）という規格が存在する。
　ＣＡＮでは、通信路が２本のバスで構成され、バスに接続されているＥＣＵがノードと呼ばれる。バスに接続されている各ノードは、フレームと呼ばれるメッセージを送受信する。ＣＡＮでは、送信先ノード又は送信元ノードを指す識別子は存在せず、送信ノードはフレーム毎にメッセージＩＤと呼ばれるＩＤを付けて送信し、各受信ノードは予め定められたメッセージＩＤのみを受信する。そのため、悪意のユーザがＣＡＮのバスにＥＣＵを接続し、そのＥＣＵによって異常な制御コマンドを含むフレームを、正規のＥＣＵになりすまして送信することで、自動車を不正に制御できてしまう脅威がある。
　上記脅威に対して、車載ネットワークなどにおいて、不正な制御データの注入を検知する方法として、例えば、特許文献１に記載の方法がある。しかしながら、車両へのサイバー攻撃による不正な制御データの注入が発覚した攻撃被害発覚地点と、車両に不正なソフトウェアがインストールされたまたは不正なデバイスを設置された侵入地点とは、必ずしも一致しない。また、車両は、移動体であることと、侵入から攻撃被害発覚までの期間が一定でないことから、攻撃発覚地点から侵入地点を特定することは容易でないという問題がある。
　本発明は、上記問題を解決するものであり、移動体に侵入した脅威の侵入地点を特定する侵入地点特定装置等を提供する。より具体的には、本発明は、複数の車両の脅威情報と位置情報とを含むログを用いて、攻撃被害を受けた車両のうちの比較的多くの車両が攻撃被害発覚以前に経由した地点が、侵入地点である可能性が高いと判定することで、侵入地点を特定する装置及び方法を提供する。
　このような問題を解決するために、本発明の一態様に係る侵入地点特定装置は、脅威が侵入し得る複数の経路をそれぞれが有する１以上の移動体に当該脅威が侵入した侵入地点を特定する侵入地点特定装置であって、前記複数の経路は、当該移動体から所定距離以内の第一攻撃元から前記脅威が侵入し得る第一経路を含み、前記侵入地点特定装置は、前記１以上の移動体のうちの前記脅威が侵入した移動体の識別情報と、当該移動体が有する前記複数の経路のうち前記脅威が侵入した経路を示す経路情報と、当該移動体への前記脅威の侵入による攻撃の発覚日を示す発覚情報とを含む脅威情報を収集して記憶している情報収集部と、前記１以上の移動体が位置する地点を日時に対応付けて示すログを収集し、収集した前記ログから、前記発覚情報に基づいて定められる所定期間内に前記１以上の移動体が位置していた地点の履歴を抽出し履歴情報として記憶しているログ収集部と、前記ログ収集部が記憶している前記履歴情報に示される前記地点のうち、前記第一攻撃元から前記第一経路を通じて脅威が侵入した侵入地点を特定する特定部と、前記特定部が特定した前記地点を出力する出力部とを備える。
　上記態様によれば、侵入地点特定装置は、１以上の移動体が位置していた地点を集計し、集計された地点に基づいて、移動体に脅威が侵入した地点を特定する。ここで、脅威は、移動体から所定距離以内の攻撃元から侵入することが想定されるので、１以上の移動体に侵入した脅威の攻撃元は、１以上の移動体が位置していた地点のいずれかから所定距離以内に存在すると想定される。よって、侵入地点特定装置は、１以上の移動体が位置していた地点を集計することで、攻撃元から脅威が侵入した侵入地点を特定可能である。このように、侵入地点特定装置は、移動体に侵入した脅威の侵入地点を特定することができる。
　例えば、前記脅威情報は、さらに、前記脅威が潜伏期間を有するか否かを示す潜伏情報を含み、前記潜伏情報は、前記脅威が前記潜伏期間を有することを示す場合には、さらに、前記潜伏期間の長さを含み、前記ログ収集部は、（ａ）前記脅威が前記潜伏期間を有することを前記脅威情報が示していると判定した場合には、前記発覚日を終期とする、前記潜伏期間の長さを有する期間を、前記所定期間として用いて前記履歴情報を記憶していて、（ｂ）前記脅威が前記潜伏期間を有しないことを前記脅威情報が示していると判定した場合には、前記発覚日を終期とする、所定の長さを有する期間を、前記所定期間として用いて前記履歴情報を記憶している。
　上記態様によれば、侵入地点特定装置は、移動体が位置していた地点の集計に際して、脅威が潜伏期間を有するものである場合にはその潜伏期間を用い、脅威が潜伏期間を有しないものである場合には所定の長さを有する期間を用いて、容易に移動体が位置していた地点の集計をすることができる。よって、侵入地点特定装置は、移動体に侵入した脅威の侵入地点をより容易に特定することができる。
　例えば、前記特定部は、前記第一経路を通じて前記脅威が前記移動体に侵入したことを前記脅威情報が示している場合には、前記ログ収集部が記憶している前記履歴情報に含まれる各地点についての異常の度合いを示すスコアをゼロより大きい値とし、前記第一経路を通じて前記脅威が前記移動体に侵入したことを前記脅威情報が示していない場合には、前記ログ収集部が記憶している前記履歴情報に含まれる各地点について前記スコアをゼロとし、前記ログ収集部が記憶している前記履歴情報に含まれる地点ごとに、前記脅威情報に基づいて算出される異常の度合いを考慮して前記スコアを補正し、前記補正後の前記スコアが所定値以上である地点を、前記侵入地点として特定する。
　上記態様によれば、侵入地点特定装置は、１以上の移動体が位置していた地点ごとに異常の度合いをスコアを用いて算出し、算出したスコアを用いて、脅威が移動体に侵入した地点を特定する。よって、侵入地点特定装置は、スコアを用いた具体的処理に基づいて、より容易に、移動体に侵入した脅威の侵入地点を特定することができる。
　例えば、前記特定部は、前記第一経路を通じて前記脅威が前記移動体に侵入したことを前記脅威情報が示している場合には、前記脅威が前記移動体の動作に与える影響の深刻さを示す深刻度が高いほど、より大きな値を前記スコアに加算することで、前記補正をする。
　上記態様によれば、侵入地点特定装置は、脅威の深刻度に応じてスコアを補正する。移動体へのサイバー攻撃の中でも、移動体の操作が制御されるなどの危険性の高い攻撃は、深刻度が高く報告される。そこで、より危険性の高い攻撃が発生している地点のスコアが、より大きな値として算出されるようにすれば、スコアが大きい地点をより危険な侵入地点として特定できる。よって、侵入地点特定装置は、脅威の深刻度を考慮して、移動体に侵入した脅威の侵入地点を特定することができる。
　例えば、前記ログは、前記１以上の移動体が位置する地点と、前記１以上の移動体の速度とを前記日時に対応付けて示し、前記ログ収集部は、さらに、収集した前記ログから、前記所定期間内の前記１以上の移動体の速度の履歴をさらに抽出して、前記履歴情報として記憶していて、前記特定部は、さらに、前記第一経路を通じて前記脅威が前記移動体に侵入したことを前記脅威情報が示している場合には、前記移動体の速度がゼロに近いほど、より大きな値を前記スコアに加算することで、前記補正をする。
　上記態様によれば、侵入地点特定装置は、移動体の速度に応じてスコアを補正する。一般に、不正な攻撃デバイスの物理的な取り付け、又は、充電中の不正ソフトウェアのインストールなどの移動体への侵入手段は、移動体が走行しているときよりも、移動体が停車しているときの方が、実行されやすい。そこで、車両が走行していた地点と比較して、車両が停止していた地点のスコアがより大きな値として算出されるようにすれば、多くの移動体が攻撃被害以前に停車していた地点のスコアが大きく算出されるので、より正確な侵入地点として特定され得る。よって、侵入地点特定装置は、移動体の速度を考慮して、移動体に侵入した脅威の侵入地点を特定することができる。
　例えば、前記ログ収集部は、さらに、前記ログ収集部が記憶している前記履歴情報に示される前記地点ごとに、当該地点に位置していた前記移動体の台数を算出して記憶していて、前記特定部は、さらに、前記第一経路を通じて前記脅威が前記移動体に侵入したことを前記脅威情報が示している場合には、前記地点に位置していた前記移動体の台数が多いほど、前記スコアをより小さくする前記補正をする。
　上記態様によれば、侵入地点特定装置は、走行する移動体の台数に応じてスコアを補正する。大型店舗の駐車場など、移動体が攻撃被害を受けたかどうかに関わらず、多くの移動体が走行する。このように多くの移動体が走行する地点について、スコアを小さくし、走行する移動体が少ない地点について、スコアを大きくすることで、地点ごとの偏りをなくして、より正確な侵入地点を特定できる。よって、侵入地点特定装置は、走行する移動体の台数を考慮して、移動体に侵入した脅威の侵入地点を特定することができる。
　例えば、前記脅威は、複数のカテゴリのいずれかに属する脅威を複数含み、前記特定部は、さらに、前記ログ収集部が記憶している前記履歴情報に含まれる地点についての前記スコアを、前記脅威が属するカテゴリごとに集計することで、各カテゴリについての地点ごとの累積スコアを算出して記憶する。
　上記態様によれば、侵入地点特定装置は、脅威のカテゴリごとに累積した累積スコアを用いて脅威の侵入地点を特定できる。充電装置を経由した攻撃、又は、不正デバイスを取り付けた攻撃などの脅威のカテゴリごとに累積スコアを算出することで、同じ地点で侵入した可能性が高い類似の攻撃が発生した地点の累積スコアがより大きく算出される。よって、累積スコアを用いることによって、より正確な侵入地点を特定できる。このように、侵入地点特定装置は、脅威のカテゴリに基づく地点の特定を利用して、より正確に、移動体に侵入した脅威の侵入地点を特定することができる。
　例えば、前記出力部は、さらに、前記ログ収集部が記憶している前記履歴情報に含まれる地点を含む地図を表示画面に表示するとともに、当該地図上において前記累積スコアが大きい地点ほど、寸法がより大きな図形、または、３次元表示において背がより高い図形を用いて表示する。
　上記態様によれば、侵入地点特定装置は、スコアの大きさに対応する大きさ又は高さを有する図形を地図とともに表示する。攻撃被害を受けた移動体が経由した累積スコアが高い地点と、大型店舗の駐車場又は充電装置の設置場所などの情報とを合わせて画面に表示することで、スコアが高い地点に何が存在しているかを確認するためのページの切り替え操作が不要となる。よって、ユーザがより効率的に侵入地点を特定できる利点がある。このように、侵入地点特定装置は、移動体に侵入した脅威の侵入地点に関する情報をユーザに提示しながら、その侵入地点を特定することができる。
　例えば、前記情報収集部は、前記脅威情報として、ＳＴＩＸ（Ｓｔｒｕｃｔｕｒｅｄ　Ｔｈｒｅａｔ　Ｉｎｆｏｒｍａｔｉｏｎ　ｅＸｐｒｅｓｓｉｏｎ）フォーマットの脅威情報を収集して記憶し、前記特定部は、前記ＳＴＩＸフォーマットの脅威情報に含まれるＣＶＳＳ（Ｃｏｍｍｏｎ　Ｖｕｌｎｅｒａｂｉｌｉｔｙ　Ｓｃｏｒｉｎｇ　Ｓｙｓｔｅｍ）における攻撃元区分が、物理、ローカル又は隣接である場合に、前記第一経路を通じて前記脅威が前記移動体に侵入したと判断する。
　上記態様によれば、侵入地点特定装置は、ＳＴＩＸ又はＣＶＳＳなどの標準化されたフォーマットに従うデータを収集する。これにより、侵入地点特定装置は、より多くの脅威情報を収集でき、また、攻撃元区分を用いて所定の距離内で攻撃可能であるかどうかを判断することで、複数の脅威情報について同様にデータを扱うことができる。また、報告者個人の偏りが小さくなるため、より正確な侵入地点を特定できる。このように、侵入地点特定装置は、より多くの脅威情報に基づいてより正確に、移動体に侵入した脅威の侵入地点を特定することができる。
　例えば、前記ログ収集部は、前記移動体のＧＰＳ（Ｇｌｏｂａｌ　Ｐｏｓｉｔｉｏｎｉｎｇ　Ｓｙｓｔｅｍ）ログを前記ログとして収集し、所定の緯度と経度とにより特定される地点を、前記地点として用いて、履歴情報を記憶している。
　上記態様によれば、侵入地点特定装置は、ＧＰＳによる位置計測を利用できる。侵入地点特定装置は、移動体に内蔵しているか外付けであるかに関わらず多くの機器において利用されているＧＰＳログを収集し、移動体間で同じ精度の緯度及び経度ごとに地点を抽出し、地点ごとのスコア又は累積スコアを算出する。よって、侵入地点特定装置は、より多くの移動体の位置情報から累積異常スコアを算出できるので、より正確な侵入地点を特定できる。このように、侵入地点特定装置は、ＧＰＳを用いてより正確に、移動体に侵入した脅威の侵入地点を特定することができる。
　例えば、前記ログ収集部は、前記移動体である車両の充電に用いられる充電装置の設置場所、駐車場または車検場所が存在する地点を、前記地点として用いて前記履歴情報を記憶している。
　上記態様によれば、侵入地点特定装置は、車両の充電装置の設置場所、駐車場または車検場所が存在する地点のうちから侵入地点を特定する。侵入地点特定装置は、不正な攻撃デバイスの物理的な取り付け、又は、充電中の不正ソフトウェアのインストールなど、移動体への脅威の侵入が起こりやすい地点として、充電装置の設置場所、駐車場又は車検場所を抽出する。そのため、上記地点ごとのスコア又は累積スコアを算出することで、侵入される可能性の低い地点を除外できる。よって、侵入地点特定装置は、計算量を抑えることによって効率的に、移動体に侵入した脅威の侵入地点を特定することができる。
　例えば、前記侵入地点特定装置は、さらに、（ａ）前記情報収集部が前記１以上の移動体のうちのいずれか一の移動体に前記脅威が侵入したことを示す前記脅威情報を受信した場合に、受信した前記脅威情報が異常であると判断し、または、（ｂ）前記脅威が侵入したことを示す前記ログを前記ログ収集部が受信した場合に、受信した前記ログが異常であると判断する、異常検知部を備え、前記情報収集部は、異常があると前記異常検知部が判断した前記脅威情報を収集し、前記ログ収集部は、異常があると前記異常検知部が判断した前記ログを収集する。
　上記態様によれば、侵入地点特定装置は、脅威の侵入に関連する脅威情報又はログを受信した場合に、その脅威情報又はログに基づいて脅威の侵入地点を特定する。これにより、侵入地点特定装置は、脅威情報または車両ログにおいて移動体への攻撃を検出した後、人手を介さずにスコア又は累積スコアを算出して侵入地点を特定できるため、攻撃発覚から侵入地点特定までの時間を短くすることができ、攻撃被害をより一層抑制することができる。よって、侵入地点特定装置は、異常の検知に基づいて、より短時間で、移動体に侵入した脅威の侵入地点を特定することができる。
　また、本発明の一態様に係る侵入地点特定方法は、脅威が侵入し得る複数の経路をそれぞれが有する１以上の移動体に当該脅威が侵入した侵入地点を特定する侵入地点特定方法であって、前記複数の経路は、当該移動体から所定距離以内の第一攻撃元から前記脅威が侵入し得る第一経路を含み、前記侵入地点特定方法は、前記１以上の移動体のうちの前記脅威が侵入した移動体の識別情報と、当該移動体が有する前記複数の経路のうち前記脅威が侵入した経路を示す経路情報と、当該移動体への前記脅威の侵入による攻撃の発覚日を示す発覚情報とを含む脅威情報を収集し記憶し、前記１以上の移動体が位置する地点を日時に対応付けて示すログを収集し、収集した前記ログから、前記発覚情報に基づいて定められる所定期間内に前記１以上の移動体が位置していた地点の履歴を抽出し履歴情報として記憶し、記憶されている前記履歴情報に示される前記地点のうち、前記第一攻撃元から前記第一経路を通じて脅威が侵入した侵入地点を特定し、特定された前記地点を出力する。
　これにより、上記侵入地点特定装置と同様の効果を奏する。
　なお、これらの包括的な態様は、システム、方法、集積回路、コンピュータプログラム又はコンピュータで読み取り可能なＣＤ－ＲＯＭ等の記録媒体で実現されても良く、システム、方法、集積回路、コンピュータプログラム又は記録媒体の任意な組み合わせで実現されてもよい。
　以下、実施の形態に係る侵入地点特定装置について図面を参照しながら説明する。
　なお、以下で説明する実施の形態は、いずれも包括的または具体的な例を示すものである。以下の実施の形態で示される数値、形状、材料、構成要素、構成要素の配置位置及び接続形態、ステップ、ステップの順序などは、一例であり、本発明を限定する主旨ではない。また、以下の実施の形態における構成要素のうち、最上位概念を示す独立請求項に記載されていない構成要素については、任意の構成要素として説明される。
　（実施の形態）
　本実施の形態において、移動体に侵入した脅威の侵入地点を特定する侵入地点特定装置について説明する。ここでは、移動体の一例として車両を用いて説明する。
　［サイバー攻撃の侵入地点特定システム全体構成図］
　図１は、本実施の形態におけるサイバー攻撃の侵入地点特定システムの全体構成図である。
　図１において、サイバー攻撃の侵入地点特定システムは、脅威情報共有サーバー２０と、車両ログ送信装置３０と、侵入地点特定装置１０とを備える。脅威情報共有サーバー２０と、車両ログ送信装置３０と、侵入地点特定装置１０とは、外部ネットワークを介して接続される。外部ネットワークの一例は、インターネットである。
　脅威情報共有サーバー２０は、脅威情報を解析者から受信し、脅威情報を利用者へ送信するサーバーである。
　脅威情報は、車両へのサイバー攻撃被害が発覚した後に、攻撃の対象となった車両のシステムログから解析者が解析した攻撃の影響と原因などが記述された文書を含む情報である。脅威情報は、例えば、脅威情報構造化記述形式ＳＴＩＸ（Ｓｔｒｕｃｔｕｒｅｄ　Ｔｈｒｅａｔ　Ｉｎｆｏｒｍａｔｉｏｎ　ｅＸｐｒｅｓｓｉｏｎ）の記述形式に従って記述される。なお、「攻撃の対象となった車両」を対象車両ともいう。車両のシステムログを、車両ログともいい、単にログということもある。
　脅威情報構造化記述形式ＳＴＩＸで記述された脅威情報は、サイバー攻撃インシデントの分類（脅威カテゴリともいう）と、攻撃の検出方法と、攻撃の対策方法と、攻撃対象の脆弱性と、共通脆弱性評価システムＣＶＳＳ（Ｃｏｍｍｏｎ　Ｖｕｌｎｅｒａｂｉｌｉｔｙ　Ｓｃｏｒｉｎｇ　Ｓｙｓｔｅｍ）によって体系化されている脆弱性の攻撃元区分と、脆弱性の深刻度と、攻撃発覚日と、侵入されてから攻撃被害発生までの期間である潜伏期間と、対象車両の車両識別番号と、対象車両の車種とを含む。ここで、潜伏期間は、潜伏情報の一例である。潜伏期間は、脅威が潜伏期間を有するか否かを示す情報である。脅威が潜伏期間を有することを潜伏情報が示す場合には、潜伏情報は、さらに、潜伏期間の長さを含む。
　ＣＶＳＳでは、対象コンポーネントをネットワーク経由でリモートから攻撃可能である場合に、攻撃元区分を「ネットワーク」とする。対象コンポーネントを隣接ネットワークから攻撃する必要がある場合に、攻撃元区分を「隣接」とする。対象コンポーネントをローカル環境から攻撃する必要がある場合に、攻撃元区分を「ローカル」とする。対象コンポーネントを物理アクセス環境から攻撃する必要がある場合に、攻撃元区分を「物理」とする。
　また、ＣＶＳＳでは、脆弱性の深刻度を数値で表現し、最も深刻度が高い場合に１０点、深刻でない場合に０点とする。深刻度は、脅威が車両の動作に与える影響の深刻さを示す指標である。
　解析者は、車両へのサイバー攻撃を解析可能な人物であり、例えば、セキュリティオペレーションセンター、セキュリティ対策チーム、車両の製造元、車載装置の開発元、又は脆弱性発見者などである。
　利用者は、脅威情報を受信する人物または装置であり、例えば、セキュリティオペレーションセンター、セキュリティ対策チーム、又は、侵入地点特定装置１０である。
　車両ログ送信装置３０は、車両識別番号と、車両のシステムログ、ネットワークログ、位置情報、車両状態を含む車両のログを侵入地点特定装置１０へ送信する電子制御装置である。車両ログ送信装置３０は、上記ログを定期的に、または、攻撃被害が発覚した後に、侵入地点特定装置１０へ送信する。車両ログ送信装置３０は、車両に設置されている。
　車両識別番号は、ＶＩＮ（Ｖｅｈｉｃｌｅ　Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ　Ｎｕｍｂｅｒ）である。車両のシステムログは、ＥＣＵに搭載された車両制御ソフトウェアの動作ログである。ネットワークログは、ＣＡＮネットワークのトラフィックログである。位置情報はＧＰＳ（Ｇｌｏｂａｌ　Ｐｏｓｉｔｉｏｎｉｎｇ　Ｓｙｓｔｅｍ）のログである。車両状態は、車両の速度である。
　侵入地点特定装置１０は、車両に脅威が侵入した地点を特定する装置である。侵入地点特定装置１０は、脅威情報共有サーバー２０から脅威情報を受信し、車両ログ送信装置３０から車両のログを収集する。そして、侵入地点特定装置１０は、脅威情報を受信した場合、または、車両のログにセキュリティ上の異常が含まれていた場合に、脅威情報と車両のログとを用いて、車両と物理的に比較的近くに位置する攻撃元からでなければ実施できない侵入手段を用いて侵入された侵入地点を特定する。侵入地点の特定方法についての詳細は後述する。なお、「車両と物理的に比較的近くに位置する攻撃元」は、車両から所定距離以内に位置する攻撃元ともいえる。
　車両と物理的に比較的近くに位置する攻撃元からでなければ実施できない侵入手段とは、例えば、車両が充電装置側に停車して充電している間に充電装置から電力線を経由して不正なソフトウェアをインストールする、という手段である。また、侵入手段には、車両が大型店舗の駐車場に駐車している間にＢｌｕｅｔｏｏｔｈ（登録商標）通信を経由して車載インフォテイメント装置に不正なソフトウェアをインストールする、又は、不正な車両修理業者が車両の修理中に、不正なデバイスをＯＢＤ２（ＯＮ　ＢＯＡＲＤ　ＤＩＡＧＮＯＳＴＩＣＳ　２）ポートに取り付ける、という手段も含まれ得る。
　攻撃者は、車両と物理的に比較的近くに位置する攻撃元からでなければ実施できない侵入手段を用いて、脅威が車両に侵入することに成功した後は、インターネット経由で遠隔から不正なソフトウェアまたはデバイスから車載ネットワークに不正な制御コマンドを送信することで攻撃被害を発生させることできる。
　［侵入地点特定装置の構成図］
　図２は、本実施の形態における侵入地点特定装置１０の構成図である。図２において、侵入地点特定装置１０は、通信部１１０と、異常検知部１２０と、脅威情報収集部１３０と、車両ログ収集部１４０と、侵入地点特定部１５０と、侵入地点通知部１６０とを備える。上記の構成要素は、侵入地点特定装置１０が備えるプロセッサ（不図示）がメモリ（不図示）を用いてプログラムを実行することで実現され得る。
　通信部１１０は、外部ネットワークと接続される通信インタフェース装置である。通信部１１０は、脅威情報共有サーバー２０から脅威情報を受信し、異常検知部１２０および脅威情報収集部１３０に脅威情報を転送する。また、通信部１１０は、車両ログ送信装置３０から車両ログを受信し、異常検知部１２０および車両ログ収集部１４０に車両ログを転送する機能を有する。
　異常検知部１２０は、脅威情報又は車両ログの異常を検知する。異常検知部１２０は、通信部１１０から脅威情報を受信し、脅威情報に対象車両のサイバー攻撃が含まれている場合に、異常であると判断し、異常であると判断された脅威情報を脅威情報収集部１３０に通知する。また、異常検知部１２０は、通信部１１０から車両ログを受信し、車両ログにセキュリティ上の異常が含まれる場合に、異常であると判断し、異常であると判断された車両ログを脅威情報収集部１３０に通知する機能を有する。
　脅威情報収集部１３０は、通信部１１０から脅威情報を受信し、脅威情報を記憶する。脅威情報収集部１３０は、通信部１１０を介して脅威情報共有サーバー２０から脅威情報を収集する。脅威情報は、１以上の車両のうちの脅威が侵入した車両の識別情報と、当該車両が有する複数の経路のうち脅威が侵入した経路を示す経路情報と、当該移動体への脅威の侵入による攻撃の発覚日を示す発覚情報とを含む。脅威情報収集部１３０は、情報収集部に相当する。
　また、脅威情報収集部１３０は、異常検知部１２０により異常であると判断された脅威情報を受信する。また、脅威情報収集部１３０は、異常検知部１２０から脅威情報に含まれる脆弱性の攻撃元区分が、「物理」、「ローカル」、又は「隣接」である場合に、車両と物理的に比較的近くに位置する攻撃元から侵入されたと判断する。そして、脅威情報収集部１３０は、脅威情報から車両識別番号と脅威カテゴリと脆弱性の深刻度と潜伏期間とを抽出し、車両ログ収集部１４０に車両識別番号と潜伏期間とを通知し、侵入地点特定部１５０に車両識別番号と脅威カテゴリと脆弱性の深刻度とを通知する。
　また、脅威情報収集部１３０は、異常検知部１２０により異常であると判断された車両ログを受信する。また、脅威情報収集部１３０は、記憶している脅威情報から、車両ログに含まれる車両識別番号と一致する車両識別番号を有する脅威情報を特定する。脅威情報収集部１３０は、特定した脅威情報から、車両識別番号と脅威カテゴリと脆弱性の深刻度と潜伏期間とを抽出し、車両ログ収集部１４０に車両識別番号と潜伏期間とを通知し、侵入地点特定部１５０に車両識別番号と脅威カテゴリと脆弱性の深刻度とを通知する機能を有する。
　車両ログ収集部１４０は、通信部１１０から車両ログを受信し、車両ログに含まれる車両識別番号ごとに車両ログを記憶する。上記車両ログには、異常があると異常検知部１２０が判断した車両ログが含まれている。具体的には、車両ログ収集部１４０は、１以上の車両が位置する地点を日時に対応付けて示すログを収集し、収集したログから、発覚情報に基づいて定められる所定期間内に１以上の移動体が位置していた地点の履歴を抽出し履歴情報として記憶している。車両ログ収集部１４０は、ログ収集部に相当する。
　また、車両ログ収集部１４０は、脅威情報収集部１３０から、車両識別番号と潜伏期間とを受信する。車両ログ収集部１４０は、記憶されている車両ログから車両識別番号が一致し、かつ、潜伏期間中の車両ログを異常車両ログとして特定する。車両ログ収集部１４０は、緯度と経度とをそれぞれ０度０分１秒ごとに分割した領域を地点として定義し、異常車両ログから、車両が走行して通過した異常地点と、当該異常地点における車両状態を抽出する。車両ログ収集部１４０は、すべての車両ログから異常地点における車両の台数を全体車両数として抽出し、異常地点と、異常地点における異常車両状態及び全体車両数とを侵入地点特定部１５０に通知する機能を有する。
　なお、車両ログ収集部１４０は、一例として、車両のＧＰＳ（Ｇｌｏｂａｌ　Ｐｏｓｉｔｉｏｎｉｎｇ　Ｓｙｓｔｅｍ）ログを上記ログとして収集し、所定の緯度と経度とにより特定される地点を、上記地点として用いて、履歴情報を記憶している。また、車両ログ収集部１４０は、車両の充電に用いられる充電装置の設置場所、駐車場または車検場所が存在する地点を、上記地点として用いて履歴情報を記憶している。
　侵入地点特定部１５０は、車両ログ収集部１４０が記憶している履歴情報に示される地点のうち、第一攻撃元から第一経路を通じて脅威が侵入した侵入地点を特定する。侵入地点特定部１５０は、特定部に相当する。
　侵入地点特定部１５０は、脅威情報収集部１３０から、車両識別番号と脅威カテゴリと脆弱性の深刻度とを受信する。侵入地点特定部１５０は、車両ログ収集部１４０から異常地点と異常地点における異常車両状態と全体車両数とを受信し、異常地点ごとに異常車両状態と脆弱性の深刻度と全体車両数に応じて地点ごとの異常スコアを算出又は補正し、脅威カテゴリごとに記憶する。
　異常スコアは、１を基準点とする。侵入地点特定部１５０は、０から１０までの数値で定義されるＣＶＳＳの深刻度を基準点に対して加点し、異常車両状態が「停車」である場合にさらに１０を加点した点数を、全体車両数で割った値を異常スコアとして算出し、脅威カテゴリと地点ごとに記憶する。
　侵入地点特定部１５０は、脅威カテゴリと地点ごとに記憶した異常スコアの総和が０．１を越えたか否かを判定する機能を有する。そして、侵入地点特定部１５０は、異常スコアの総和が０．１を超えた地点について、当該地点が異常であると判定する。
　侵入地点通知部１６０は、侵入地点特定部１５０が特定した地点を出力する。侵入地点通知部１６０は、出力部に相当する。
　侵入地点通知部１６０は、侵入地点特定部１５０が異常と判定した地点を侵入地点特定部１５０から受信する。侵入地点通知部１６０は、地図情報と地点ごとの異常スコアの情報とを画面に表示する。このとき、侵入地点通知部１６０は、地図情報と異常スコアの情報とを重ねて画面に表示してもよい。侵入地点通知部１６０は、異常と判定された地点を、車両識別番号と対応するドライバ、又は、車両識別番号と対応する車両の車種のドライバに通知し、異常と判定された地点をセキュリティ対策チームまたは警察に通知する機能を有する。
　ここで、車両ログ収集部１４０は、脅威が潜伏期間を有することを脅威情報が示していると判定した場合には、発覚日を終期とする、潜伏期間の長さを有する期間を、所定期間として用いて履歴情報を記憶している。一方、脅威が潜伏期間を有しないことを脅威情報が示していると判定した場合には、発覚日を終期とする、所定の長さを有する期間を、所定期間として用いて履歴情報を記憶している。
　また、侵入地点特定部１５０は、第一経路を通じて脅威が車両に侵入したことを脅威情報が示している場合には、車両ログ収集部１４０が記憶している履歴情報に含まれる各地点についての異常の度合いを示すスコアをゼロより大きい値とする。一方、侵入地点特定部１５０は、第一経路を通じて脅威が車両に侵入したことを脅威情報が示していない場合には、車両ログ収集部１４０が記憶している履歴情報に含まれる各地点についてスコアをゼロとする。そして、侵入地点特定部１５０は、車両ログ収集部１４０が記憶している履歴情報に含まれる地点ごとに、脅威情報に基づいて算出される異常の度合いを考慮してスコアを補正し、補正後のスコアが所定値以上である地点を、侵入地点として特定する。
　侵入地点特定部１５０による補正について詳細に説明する。
　侵入地点特定部１５０は、第一経路を通じて脅威が車両に侵入したことを脅威情報が示している場合には、脅威が車両の動作に与える影響の深刻さを示す深刻度が高いほど、より大きな値をスコアに加算することで、補正をしてもよい。
　また、侵入地点特定部１５０は、第一経路を通じて脅威が車両に侵入したことを脅威情報が示している場合には、車両の速度がゼロに近いほど、より大きな値をスコアに加算することで、補正をしてもよい。ここで、ログは、１以上の車両が位置する地点と、１以上の移動体の速度とを日時に対応付けて示しているとする。また、車両ログ収集部１４０は、収集したログから、所定期間内の１以上の車両の速度の履歴をさらに抽出して、履歴情報として記憶しているとする。
　また、侵入地点特定部１５０は、第一経路を通じて脅威が車両に侵入したことを脅威情報が示している場合には、地点に位置していた車両の台数が多いほど、スコアをより小さくする補正をしてもよい。ここで、車両ログ収集部１４０は、車両ログ収集部１４０が記憶している履歴情報に示される地点ごとに、当該地点に位置していた車両の台数を算出して記憶しているとする。
　なお、侵入地点特定部１５０は、車両ログ収集部１４０が記憶している履歴情報に含まれる地点についてのスコアを、脅威が属するカテゴリごとに集計することで、各カテゴリについての地点ごとの累積スコアを算出して記憶してもよい。
　［脅威情報］
　図３は、本実施の形態における脅威情報の一例を示す図である。図３に示される脅威情報は、脅威情報共有サーバー２０から侵入地点特定装置１０へ送信される脅威情報の一例である。
　図３において、脅威情報は、脅威情報番号、攻撃元区分、脆弱性の深刻度、脅威カテゴリ、攻撃発覚日、潜伏期間、車両識別番号、及び、車両の種別の組を含んで構成される。
　攻撃元区分は、「物理」、「ローカル」、「隣接」、及び、「ネットワーク」のうちから１つが選択される。
　脅威情報番号は、脅威情報それぞれに一意に紐付けられる番号である。
　脆弱性の深刻度は、０から１０のうちから１つが選択される。
　図３において、例えば、脅威情報番号１の脅威は、攻撃元区分が「物理」であり、脆弱性の深刻度が「７」であり、脅威カテゴリが「不正なＯＢＤ２デバイス」であり、潜伏期間が「不明」であり、車両識別番号が「Ａ００１」であり、車両の種別が「Ａ」であることが示されている。
　脅威情報の攻撃元区分が「物理」、「隣接」又は、「ローカル」である場合に、車両と物理的に比較的近い位置に攻撃者が存在する、または、車両と物理的に比較的近い位置に侵入ツールを設置されたと判断できる。
　また、脅威情報の脆弱性の深刻度を参照することで攻撃被害の大きさを判断できる。脅威カテゴリを参照することで類似した攻撃を分類できる。潜伏期間を参照することで確認する車両ログの期間を判断できる。車両識別番号を参照することで車両識別番号と対応する車両ログを特定できる。車両の種別を参照することで、類似した車両への攻撃ごとに脅威情報を分類できる。
　［車両ログ］
　図４は、本実施の形態における車両ログ送信装置３０から侵入地点特定装置１０へ送信される車両ログの一例を示す図である。
　図４において、車両ログは、車両識別番号、時刻、位置情報、及び、車両状態の組を含んで構成される。図４において、例えば、車両識別番号「Ａ００１」の車両が、時刻「Ｔ１１」に、緯度「Ｎ１秒」及び緯度「Ｅ１秒」の地点Ａを、「１０ｋｍ／ｈ」で走行していたことが示されている。また、車両識別番号「Ａ００１」の上記車両が、時刻「Ｔ１２」に、緯度「Ｎ２秒」及び経度「Ｅ２秒」の地点Ｂを、「２０ｋｍ／ｈ」で走行していたことが示されている。
　異常な車両の車両識別番号が判明すれば、侵入地点特定部１５０は、車両ログから、異常な車両の車両識別番号に対する時刻を参照することで攻撃が発覚するまでの所定の期間を特定できる。また、所定の期間内における、異常な車両の車両識別番号に対する位置情報を参照することで、当該車両が通過した地点を抽出でき、車両状態を参照することで地点ごとに車両が停車中であるか走行中であるかを判断できる。車両ログにおいて、位置情報は、緯度と経度を０度０分１秒ごとに分割した領域を地点として定義する。
　また、侵入地点特定部１５０は、車両ログから全体車両数を算出する。全体車両数は、所定の期間内に特定の地点における車両の交通量を示す数値であり、具体的には、所定の期間内に特定の地点を通過した正常な車両と異常な車両とを含む車両の合計台数を示す。全体車両数は、車両ログに含まれる、所定の期間内の特定の位置情報を含む車両識別番号を用いて算出される。
　例えば、図４において、所定の期間Ｔ１１～Ｔ４３において、特定の位置情報に相当する地点Ｄに位置した車両の車両識別番号は、Ｂ００１とＣ００１との２つであるので、地点Ｄの全体車両数は２と算出される。
　［異常スコア］
　図５は、本実施の形態における侵入地点特定部１５０が算出する異常スコアの一例を示す図である。なお、異常スコアを単にスコアともいう。
　図５において、異常スコアは、脅威情報番号、脅威カテゴリ、車両識別番号、位置情報、及び、異常スコア算出値の組を含んで構成される。さらに、異常スコア算出値は、基準点、深刻度加点、車両状態加点、全体車両数、及び、異常スコアを含む。
　図５において、脅威情報番号「１」に含まれる車両識別番号「Ａ００１」の車両ログは、攻撃発覚前の潜伏期間内の車両ログ、または、攻撃発覚前１日間の位置情報を抽出したものである。例えば、図４の車両ログにおいて、時刻Ｔ１１～Ｔ１３の期間内に、車両識別番号「Ａ００１」である車両が通過した地点は、「地点Ａ」と「地点Ｂ」と「地点Ｃ」とである。
　ここで、図３の脅威情報において、脅威情報番号「１」の脅威の攻撃元区分は、「物理」であるため、攻撃者または侵入ツールが車両と物理的に比較的近い位置に配置されていたことを示している。よって、侵入地点特定部１５０は、異常スコア算出値の基準点を「１」とする。また、侵入地点特定部１５０は、攻撃元区分が「物理」、「隣接」又は「ローカル」である場合に、基準点をゼロより大きい値、より特定的には「１」と設定し、一方、攻撃元区分が「ネットワーク」である場合には基準点を「０」と設定する。
　さらに、侵入地点特定部１５０は、図３の脅威情報において、脆弱性の深刻度が７であるので、異常スコア算出値の深刻度加点に「７」を設定する。
　また、侵入地点特定部１５０は、図４の車両ログにおいて、車両識別番号「Ａ００１」の地点Ａにおける車両状態が「走行」であるため、異常スコア算出値の車両状態加点に「０」を設定する。
　異常スコア算出値の異常スコアは、基準点と深刻度加点と車両状態加点とを加算した点数を全体車両数で割った数値が設定される。図５において、車両識別番号「Ａ００１」の「地点Ａ」の異常スコアは、地点Ａの全体車両数が１００であるので、基準点と深刻度加点と車両状態加点とを加算した点数「８」を、地点Ａの全体車両数である「１００」で割って、「０．０８」となる。
　図５において、脅威情報番号「２」に含まれる車両識別番号「Ｂ００１」の車両ログは、攻撃発覚前の潜伏期間内の車両ログ、または、攻撃発覚前１日間の位置情報を抽出したものである。例えば、図４の車両ログにおいて、時刻Ｔ２１～Ｔ２２の期間内に、車両識別番号「Ｂ００１」である車両が通過した地点は、「地点Ｄ」と「地点Ｅ」と「地点Ｆ」とである。
　また、図３の脅威情報において、脅威情報番号「２」の脅威の攻撃元区分は、「ローカル」であるため、異常スコアの算出値の基準点を「１」とする。さらに図３の脅威情報において、脅威情報番号「２」に含まれる脆弱性の深刻度が６であるので、異常スコア算出値の深刻度加点に「６」を設定する。
　また、侵入地点特定部１５０は、図４の車両ログにおいて、車両識別番号「Ｂ００１」の地点Ｄにおける車両状態が「停車」であるため、異常スコア算出値の車両状態加点に「１」を設定する。車両状態が「走行」よりも「停車」である場合のほうがサイバー攻撃の侵入地点となる可能性が高いため、「停車」の車両状態加点は「走行」の車両状態加点である「０」よりも高い「１」が設定される。図５において、車両識別番号「Ｂ００１」の「地点Ｄ」の異常スコアは、基準点と深刻度加点と車両状態加点とを加算した点数「９」を、地点Ｄの全体車両数である「１０」で割って「０．９」となる。
　また、図３の脅威情報において、脅威情報番号「４」の脅威の脅威情報の攻撃元区分は、「ネットワーク」であるため、攻撃者または侵入ツールが車両と物理的に比較的近い位置に配置されていないことを示している。よって、侵入地点特定部１５０は、異常スコア算出値の基準点を「０」と設定し、さらに、深刻度加点および車両状態加点は、設定しない。
　このように、異常スコアについて、図３の脅威情報の攻撃元区分を参照し、攻撃元区分が「物理」、「隣接」、または、「ローカル」であれば攻撃者または侵入ツールが車両に物理的に比較的近い位置に配置され、サイバー攻撃の侵入地点となる可能性がある場合に、基準点として「１」が設定される。一方、脅威情報の攻撃元区分がネットワークであれば攻撃者または侵入ツールが車両に物理的に比較的近い位置に配置される必要がないので、サイバー攻撃の侵入地点となる可能性が低いことから、基準点として「０」が設定され、常スコアが「０」と設定される。
　異常スコア算出値の基準点が「１」に設定された場合、さらに、深刻度加点、車両状態加点が設定され得る。深刻度加点は、脅威情報の脆弱性を用いて設定し、車両が不正に制御されるなど、より深刻度が高く危険性の高い攻撃の侵入地点の異常スコアを大きくすることができる。また、車両状態加点は、車両ログの車両状態を用いて設定し、車両が走行である場合は侵入される可能性が低いため異常スコアを小さくし、車両が停止中である場合は侵入される可能性が高いため異常スコアを大きくすることができる。
　また、全体車両数が多い地点は、正常な車両または異常な車両の別にかかわらず多くの車両が通過する地点であるため、異常スコアを小さく設定する。全体車両数が少ない地点は、異常な車両の比率が比較的大きい、特徴的な地点となるため、異常スコアを大きく設定する。
　［累積異常スコア］
　図６は、本実施の形態における侵入地点特定部１５０が算出する脅威カテゴリと地点ごとの累積異常スコアの一例を示す図である。
　図６において、累積異常スコアは、脅威カテゴリ、地点、異常スコア、累積異常スコアの組を含んで構成される。異常スコアは、複数の脅威情報を含んで構成される。累積異常スコアは、図５で説明した異常スコアを累積したものである。
　図６において、脅威情報番号「１」を有する脅威が属する脅威カテゴリは「不正なＯＢＤ２デバイス」である。脅威情報番号「１」と対応する車両ログの位置情報には地点ＡとＢとＣが含まれ、それぞれの異常スコアは「０．０８」、「０．０８」、「０．０４」である。地点ＡとＢとＣとは、他の脅威情報と対応する車両ログの位置情報に含まれないため、累積異常スコアは「０．０８」、「０．０８」、「０．０４」である。
　脅威情報番号「２」と「３」に対応する車両ログの位置情報には地点Ｄが含まれている。脅威情報番号「２」についての地点Ｄの異常スコアは「０．８」であり、脅威情報番号「３」についての地点Ｄの異常スコアは「０．７」である。地点Ｄの累積異常スコアは、脅威情報番号「２」と「３」の地点Ｄの異常スコアの総和である「１．５」である。
　このように、脅威カテゴリと地点ごとに複数の脅威情報の異常スコアを参照して総和を取ることで、類似した攻撃被害を受けた車両のうち、多くの車両が攻撃発覚前に経由、つまり走行することで通過した地点の異常スコアが大きくなるように設定できる。
　［累積異常スコア可視化表示画面の一例］
　図７は、本実施の形態における侵入地点通知部１６０が累積異常スコアを可視化して表示する画面の一例を示した図である。図７では、経度がそれぞれＮ１、Ｎ２及びＮ３である道路と、緯度がそれぞれＷ１、Ｗ２及びＷ３である道路とが地図上に表示されている。また、経度がＮ１であり緯度がＷ１である位置に存在する充電装置Ｘの位置と名称、経度がＮ２であり緯度がＷ３である位置に存在する駐車場Ｙの位置と名称、及び、経度がＮ３であり緯度がＷ２である位置に存在する水素ステーションＺの位置と名称が表示されている。
　図７において、さらに、侵入地点通知部１６０は、累積異常スコアを表示する。侵入地点通知部１６０は、累積異常スコアが大きい地点ほど、寸法がより大きな図形、または、３次元表示において背がより高い図形を用いて表示する。具体的には、侵入地点通知部１６０は、異常累積スコアを棒グラフの図形で示す。棒グラフは、累積異常スコアが大きいほど、長く、又は、大きく表示する。また、３次元表示の場合には、背がより高い図形として表示する。
　侵入地点通知部１６０は、例えば、地点Ｄの累積異常スコアである１．５を示す図形として、経度がＮ１である道路と、緯度がＷ１である道路との交差点に棒グラフを表示する。表示される棒グラフは、地点Ｄの累積異常スコアに相当する大きさ又は高さを有する。また、表示される棒グラフの内部に累積異常スコアの数値「１．５」が表示される。また、地点Ｆの累積異常スコアである０．０６を示す図形として、経度がＮ２である道路と、緯度がＷ１である道路との交差点に棒グラフを表示する。表示の態様は上記と同様である。
　このように、侵入地点通知部１６０は、地図上に侵入地点となる可能性の高い地点の名称と同時に、累積異常スコアを可視化して表示するので、ユーザは、累積異常スコアが高い地点に何が存在しているかを、表示されるページを切り替えることなく視認可能である。そのため、ユーザは、効率的に異常な侵入地点を特定できる。
　［異常検出装置の処理シーケンス］
　図８～図１１は、本実施の形態における脅威情報共有サーバー２０が脅威情報を侵入地点特定装置１０へ送信した、または車両ログ送信装置３０が車両ログを侵入地点特定装置１０へ送信した後、侵入地点特定装置１０が、セキュリティ上の異常を検知して、脅威カテゴリと地点ごとに侵入地点である可能性を示す異常スコアを算出し、脅威カテゴリと地点ごとの累積異常スコアを算出し、侵入地点を特定して通知するまでの処理シーケンスを示している。
　ステップＳ８０１において、脅威情報共有サーバー２０は、侵入地点特定装置１０の通信部１１０へ脅威情報を送信する。脅威情報共有サーバー２０は、事前に、脅威情報を解析者から受信している。脅威情報に含まれる情報は、図３に示す通りである。解析者は、車両へのサイバー攻撃を車両のログなどから解析可能な人物であり、例えば、セキュリティオペレーションセンター、セキュリティ対策チーム、車両の製造元、車載装置の開発元、又は、脆弱性発見者である。
　ステップＳ８０２において、通信部１１０は、ステップＳ８０１で送信された脅威情報を受信し、受信した脅威情報を脅威情報収集部１３０に送信することによって、脅威情報を転送する。
　ステップＳ８０３において、脅威情報収集部１３０は、ステップＳ８０２で送信された脅威情報を受信し、記憶する。
　ステップＳ８０４において、通信部１１０は、ステップＳ８０１で送信され、ステップＳ８０２で受信した脅威情報を異常検知部１２０に送信することによって、脅威情報を転送する。
　ステップＳ８０５において、異常検知部１２０は、ステップＳ８０４で送信された脅威情報を受信する。異常検知部１２０は、受信した脅威情報に、解析対象車両へのサイバー攻撃を含む場合に、受信した脅威情報が異常であると判断する。ここで解析対象車両は、例えば、特定の製造元の車両であり、この場合、特定の製造元の車両の車両識別番号が脅威情報に含まれる場合に、当該脅威情報を異常であると判断する。
　ステップＳ８０６において、異常検知部１２０は、ステップＳ８０５において、脅威情報が異常であると判断した場合に異常な脅威情報を脅威情報収集部１３０に送信する。
　ステップＳ８０７において、脅威情報収集部１３０は、ステップＳ８０６で送信された異常な脅威情報を受信する。
　図９に移り、ステップＳ９０１において、車両ログ送信装置３０は、侵入地点特定装置１０の通信部１１０へ車両ログを送信する。ここで車両ログは、例えばＨＴＴＰ（Ｈｙｐｅｒｔｅｘｔ　Ｔｒａｎｓｆｅｒ　Ｐｒｏｔｏｃｏｌ）などの通信プロトコルを用いて、インターネットを経由して侵入地点特定装置１０へ送信される。車両ログに含まれる情報は、図４に示す通りである。
　ステップＳ９０２において、通信部１１０は、ステップＳ９０１で送信された車両ログを受信し、受信した車両ログを車両ログ収集部１４０に送信することによって、車両ログを転送する。
　ステップＳ９０３において、車両ログ収集部１４０は、ステップＳ９０２で送信された車両ログを受信し、記憶する。
　ステップＳ９０４において、通信部１１０は、ステップＳ９０１で送信され、ステップＳ９０２で受信した車両ログを異常検知部１２０に送信することによって、車両ログを転送する。
　ステップＳ９０５において、異常検知部１２０は、ステップＳ９０４で送信された車両ログを受信し、受信した車両ログの中にサイバー攻撃を含むログを検出した場合に、受信した車両ログが異常であると判断する。ここで車両ログから異常を検知する方法は、例えば、車速が１０ｋｍ／ｈ以内でのみ発動する自動駐車制御を指示するメッセージが、車速１００ｋｍ／ｈの走行中に送信された場合に異常と検出するルールを事前に作成しておく前提で、異常検知部１２０は、車両ログに含まれるＣＡＮネットワークトラフィックを監視し、ルールに一致するメッセージを含む車両ログが含まれていた場合に異常である検出する。
　ステップＳ９０６において、異常検知部１２０は、ステップＳ９０５において車両ログが異常であると判断した場合に、異常な車両ログを脅威情報収集部１３０に送信する。
　ステップＳ９０７において、脅威情報収集部１３０は、ステップＳ９０６で送信された異常な車両ログを受信する。
　ステップＳ９０８において、脅威情報収集部１３０は、ステップＳ９０７で受信した異常な車両ログに含まれる車両識別番号と対応する異常な脅威情報を特定する。ここで、車両識別番号は、全ての車両の中でユニークな値であり、脅威情報に含まれる車両識別番号と車両ログに含まれる車両識別番号とは、同一であるので、車両ログと脅威情報の対応付けが可能である。
　図１０に移り、ステップＳ１００１において、脅威情報収集部１３０は、異常な脅威情報を取得する。この処理は、ステップＳ８０７またはステップＳ９０８において、脅威情報収集部１３０が異常な脅威情報を受信又は特定する処理に相当する。
　ステップＳ１００２において、脅威情報収集部１３０は、ステップＳ１００１の脅威情報の攻撃元区分が、「物理」、「ローカル」または「隣接」である場合、脅威情報から、車両識別番号と脅威カテゴリと深刻度と攻撃発覚日と潜伏期間とを抽出する。ここで、脅威情報に含まれる潜伏情報が、潜伏期間を有しないことを示している場合には、所定の期間、より具体的には所定の日数、例えば１日を潜伏期間として用いる。潜伏期間中の車両ログの抽出方法については、図１２にて後述する。
　ステップＳ１００３において、脅威情報収集部１３０は、ステップＳ１００２で抽出された車両識別番号と攻撃発覚日と潜伏期間とを車両ログ収集部１４０へ送信する。
　ステップＳ１００４において、車両ログ収集部１４０は、ステップＳ１００３の車両識別番号と攻撃発覚日と潜伏期間とを受信する。
　ステップＳ１００５において、車両ログ収集部１４０は、ステップＳ１００４の車両識別番号と対応する車両ログから、潜伏期間中の位置情報と、地点ごとの車両状態とを抽出し、侵入地点特定装置１０へ送信する。ここで地点は、位置情報に含まれる緯度と経度とを０度０分１秒ごとに分割した地点である。また、車両ログに含まれる情報は、図４に示す通り、時刻と、その時刻における車両の位置情報と、その時刻における車両状態である速度情報とを含む。例えば、車両ログ収集部１４０は、車両ログの時刻を参照して潜伏期間中のログを特定し、位置情報と速度情報とを対応付けて抽出することで、所定の地点ごとの車両状態を抽出する。
　ステップＳ１００６において、侵入地点特定部１５０は、ステップＳ１００５で送信された、車両識別番号と位置情報と地点ごとの車両状態とを受信する。
　ステップＳ１００７において、車両ログ収集部１４０は、車両ログ収集部１４０が記憶するすべての車両ログから潜伏期間中の地点ごとの車両数を全体車両数として抽出し、侵入地点特定部１５０へ送信する。
　ステップＳ１００８において、侵入地点特定部１５０は、ステップＳ１００７で送信された車両識別番号と位置情報と地点ごとの車両状態とを受信する。
　ステップＳ１００９において、脅威情報収集部１３０は、ステップＳ１００２で抽出された車両識別番号と脅威カテゴリと脆弱性の深刻度とを侵入地点特定部１５０へ送信する。ここで、脆弱性の深刻度は、ＣＶＳＳなどで表現され、最も深刻度が高い場合に１０点、最も深刻でない場合に０点とする数値である。
　ステップＳ１０１０において、侵入地点特定部１５０は、ステップＳ１００９で送信された脅威カテゴリと脆弱性の深刻度とを受信する。
　ステップＳ１０１１において、侵入地点特定部１５０は、ステップＳ１００６とステップＳ１００８とステップＳ１０１０とで受信した、位置情報と地点ごとの車両状態と地点ごとの全体車両数と脆弱性の深刻度とを用いて、地点ごとに異常スコアを算出し、脅威カテゴリと対応付けて記憶する。異常スコアの算出方法については図１３にて後述する。
　図１１に移り、ステップＳ１１０１において、侵入地点特定部１５０は、異常スコアを算出して脅威カテゴリと対応付けて記憶する。この処理は、ステップＳ１０１１の処理に相当する。
　ステップＳ１１０２において、侵入地点特定部１５０は、ステップＳ１１０１で記憶された脅威カテゴリと地点ごとに累積異常スコアを算出し、位置情報と累積異常スコアとを侵入地点通知部１６０へ送信する。累積異常スコアの算出方法については図１４にて後述する。
　ステップＳ１１０３において、侵入地点通知部１６０は、ステップＳ１１０２で送信された位置情報と累積異常スコアとを受信し、地点ごとに地図上に表示する。ここで累積異常スコアの表示方法は、図７に示す通りである。
　ステップＳ１１０４において、侵入地点特定部１５０は、ステップＳ１１０２で算出された累積異常スコアがしきい値以上である場合には、侵入地点であると特定して、位置情報を侵入地点通知部１６０へ送信する。ここで、しきい値は、侵入地点特定部１５０が事前に保持している。
　ステップＳ１１０５において、侵入地点通知部１６０は、ステップＳ１１０４で送信された位置情報を受信し、ドライバまたはセキュリティ対策チームへ通知する。脅威情報に含まれる車両と同一車種のドライバと、セキュリティ対策チームに侵入地点に関する情報を通知することで、ユーザが侵入地点に近づかないなどの一時的な対応をとったり、又は、侵入地点周辺の調査を速やかに実施したりすることができ、車両への攻撃被害を低減することが可能となる。
　［車両ログ抽出処理のフローチャート］
　図１２に、本実施の形態における車両ログ収集部１４０の車両ログ抽出処理のフローチャートを示す。
　ステップＳ１２０１において、車両ログ収集部１４０は、異常な脅威情報と車両ログとを取得し、次にステップＳ１２０２を実施する。
　ステップＳ１２０２において、車両ログ収集部１４０は、脅威情報に潜伏期間の記載があるか否かを判定する。脅威情報に潜伏期間の記載がある場合（ステップＳ１２０２でＹＥＳ）に、ステップＳ１２０３を実施し、脅威情報に潜伏期間の記載がない場合（ステップＳ１２０２でＮＯ）に、次にステップＳ１２０４を実施する。なお、「脅威情報に潜伏期間の記載がある」とは、脅威が潜伏期間を有することを潜伏情報が示していること、に相当する。
　ステップＳ１２０３において、車両ログ収集部１４０は、脅威情報に記載されている潜伏期間内の車両ログに含まれる時刻情報を参照して取得し、次にステップＳ１２０５を実施する。
　ステップＳ１２０４において、車両ログ収集部１４０は、脅威情報に記載されている記載の攻撃発覚日から、攻撃発覚日の前日（所定の期間に相当）の車両ログに含まれる時刻情報を参照して車両ログを取得し、次にステップＳ１２０５を実施する。
　ステップＳ１２０５において、車両ログ収集部１４０は、車両ログ収集部１４０が記憶する車両ログから異常な脅威情報に含まれる車両識別番号と対応する車両ログとを特定し、異常な位置情報と、異常な位置情報における速度情報とを含む車両状態を抽出し、次にステップＳ１２０６を実施する。
　ステップＳ１２０６において、車両ログ収集部１４０は、車両ログ収集部１４０が記憶するすべての車両ログを取得し、ステップＳ１２０５の異常な位置情報を含む車両ログに含まれる車両識別番号の種類数を全体車両数として算出する。ここで全体車両数を特定の位置情報を含む車両ログに含まれる車両識別番号の種類数とすることで同一車両が同一地点を複数回通過した場合も、同一地点の全体車両数を１回とカウントでき、同一車両の重複カウントをなくすことができる。
　［異常スコア算出フローチャート］
　図１３に、本実施の形態における侵入地点特定部１５０の異常スコア算出抽出処理のフローチャートを示す。
　ステップＳ１３０１において、侵入地点特定部１５０は、脅威カテゴリと地点ごとの異常スコアを、異常スコア［ｉ］として記憶し、次にステップＳ１３０２を実施する。ここでｉは１以上のＮ以下の整数であり、Ｎは地点の数であり、ｉの値によって車両ログ収集部１４０が抽出した１つの地点が特定される。
　ステップＳ１３０２において、侵入地点特定部１５０は、ｉの値を１として記憶し、次にステップＳ１３０３を実施する。
　ステップＳ１３０３において、侵入地点特定部１５０は、ｉの値に対応する脅威情報番号を参照し、脅威情報の攻撃元区分が「物理」、「ローカル」又は「隣接」であるか否かを判定する。侵入地点特定部１５０は、脅威情報の攻撃元区分が「物理」、「ローカル」又は「隣接」である場合に、次にステップＳ１３０４を実施する。一方、脅威情報の攻撃元区分が上記のいずれでもない場合に、次にステップＳ１３０５を実施する。
　ステップＳ１３０４において、侵入地点特定部１５０は、異常スコア［ｉ］の値を１として記憶し、次にステップＳ１３０６を実施する。
　ステップＳ１３０５において、侵入地点特定部１５０は、異常スコア［ｉ］の値を０として記憶し、次にステップＳ１３１２を実施する。
　ステップＳ１３０６において、侵入地点特定部１５０は、ｉの値に対応する脅威情報番号を参照し、脅威情報の深刻度が１以上であるか否かを判定する。脅威情報の深刻度が１以上である場合に、次にステップＳ１３０７を実施する。一方、脅威情報の深刻度が０である場合に、次にステップＳ１３０８を実施する。ここで、深刻度はＣＶＳＳに従う、０から１０で高いほど深刻であると定義される値である。
　ステップＳ１３０７において、侵入地点特定部１５０は、異常スコア［ｉ］の値に深刻度の数値を加算して記憶し、次にステップＳ１３０８を実施する。
　ステップＳ１３０８において、侵入地点特定部１５０は、ｉの値に対応する車両ログ収集部１４０が抽出したｉの値と対応する地点における車両状態を参照し、車両状態が停車中であるか否かを判定する。車両状態が停車中である場合に、次にステップＳ１３０９を実施する。一方、車両状態が停車中でない場合に、ステップＳ１３１０を実施する。ここで車両状態は、速度情報を含み、車両の速度が０ｋｍ／ｈである場合に停車中であると判断する。
　ステップＳ１３０９において、侵入地点特定部１５０は、異常スコア［ｉ］の値に１を加えて記憶し、次にステップＳ１３１０を実施する。なお、異常スコア［ｉ］の値に１を加える代わりに、異常スコア［ｉ］の値を２倍して記憶してもよい。
　ステップＳ１３１０において、侵入地点特定部１５０は、ｉの値に対応する車両ログ収集部１４０が抽出したｉの値と対応する地点における全体車両数を参照し、全体車両数が１以上であるか否かを判定する。全体車両数が１以上である場合に、次にステップＳ１３１１を実施する。一方、全体車両数が１以上でない場合に、次にステップＳ１３１２を実施する。
　ステップＳ１３１１において、侵入地点特定部１５０は、異常スコア［ｉ］の数値を全体車両数で除算した値を算出して記憶し、次にステップＳ１３１２を実施する。
　ステップＳ１３１２において、侵入地点特定部１５０は、ｉの数値がＮである場合に、脅威カテゴリと対応付けて記憶し、終了する。一方、ｉの数値がＮでない場合に、次にステップＳ１３１３を実施する。
　ステップＳ１３１３において、侵入地点特定部１５０は、ｉの数値に１を加えた数値をｉとして記憶し、次にステップＳ１３０３を実施する。
　［侵入地点特定フローチャート］
　図１４に、本実施の形態における侵入地点特定部１５０の侵入地点特定処理のフローチャートを示す。
　ステップＳ１４０１において、侵入地点特定部１５０は、脅威情報収集部１３０が記憶するすべての脅威情報それぞれに対して、ステップＳ１３０１からステップＳ１３１３（図１３参照）の異常スコア算出フローチャートに従って、地点ごとの異常スコアを算出し、所定の脅威カテゴリと対応する異常スコア［１］から異常スコア［Ｍ］を抽出し、次にステップＳ１４０２を実施する。ここでＭは、所定の脅威カテゴリと対応する脅威情報の数である。所定の脅威カテゴリは、脅威情報に含まれる脅威カテゴリであり、脅威カテゴリごとにそれぞれ侵入地点特定フローチャートを実施する。
　ステップＳ１４０２において、侵入地点特定部１５０は、地点ごとの累積異常スコアを累積異常スコア［ｋ］として記憶し、次にステップＳ１４０３を実施する。ここでｋは１からＬまでの数値であり、Ｌはすべての地点数であり、所定の脅威カテゴリと対応する異常スコア［１］から異常スコア［Ｍ］に含まれるユニークな地点数である。
　ステップＳ１４０３において、侵入地点特定部１５０は、ｋを１として記憶する。
　ステップＳ１４０４において、侵入地点特定部１５０は、累積異常スコア［ｋ］を異常スコア［１］から異常スコア［Ｍ］までをすべて加算した値として算出して記憶し、次にステップＳ１４０５を実施する。
　ステップＳ１４０５において、侵入地点特定部１５０は、侵入地点通知部１６０へ地点情報と累積異常スコアと送信し、侵入地点通知部１６０は地点情報と累積異常スコアを表示し、次にステップＳ１４０６を実施する。
　ステップＳ１４０６において、侵入地点特定部１５０は、累積異常スコアがしきい値以上であるか否かを判定する。累積異常スコアがしきい値以上である場合に、次にステップＳ１４０７を実施し、そうでない場合に、次にステップＳ１４０８を実施する。
　ステップＳ１４０７において、侵入地点特定部１５０は、累積異常スコアと対応する地点が侵入地点であると判定し、次にステップＳ１４０９を実施する。
　ステップＳ１４０８において、侵入地点特定部１５０は、累積異常スコアと対応する地点が侵入地点でないと判定し、次にステップＳ１４０９を実施する。
　ステップＳ１４０９において、侵入地点特定部１５０は、累積異常スコアと対応する地点情報をドライバまたはセキュリティ対策チームに通知し、次にステップＳ１４１０を実施する。
　ステップＳ１４１０において、侵入地点特定部１５０は、ｋがＬと等しいか否かを判定する。ｋがＬと等しい場合（ステップＳ１４１０でＹＥＳ）には図１４に示された一連の処理を終了する。一方、ｋがＬと等しくない場合（ステップＳ１４１０でＮＯ）には、次にステップＳ１４１１を実施する。
　ステップＳ１４１１において、侵入地点特定部１５０は、ｋの数値に１を加えた数値をｋとして記憶し、次にステップＳ１４０４を実施する。
　（他の実施の形態）
　以上のように、本発明に係る技術の例示として実施の形態を説明した。しかしながら、本発明に係る技術は、これに限定されず、適宜、変更、置き換え、付加、省略等を行った実施の形態にも適用可能である。例えば、以下のような変形例も本発明の一実施態様に含まれる。
　（１）上記実施の形態では、自動車に対するセキュリティ対策として説明したが、適用範囲はこれに限られない。自動車に限らず、建機、農機、船舶、鉄道、又は、飛行機などのモビリティにも適用してもよい。
　（２）上記の実施の形態では、侵入地点特定装置１０は異常検知部１２０を備えると説明したが、異常検知部１２０は必須の構成要素ではない。侵入地点特定部１５０が異常検知部１２０を備えない場合は、脅威情報共有サーバー２０から脅威情報を受信したタイミング、人手で異常を発見したタイミング、定期的なタイミング、または、外部システムから異常通知を受けたタイミングで、異常検知部１２０が脅威情報と車両ログと収集して、侵入地点特定部１５０が異常スコアを算出してもよい。
　（３）上記の実施の形態では、車両ログ送信装置３０は、車両内に設置されているとして説明したが、車両ログ送信装置３０は、複数の車両ログを取りまとめて送信するエッジサーバーであってもよいし、車両ログを収集しているクラウドサーバーであってもよい。
　（４）上記の実施の形態では、異常検知部１２０は、脅威情報または車両ログのＣＡＮネットワークトラフィックを用いて異常を検知する説明としたが、ＣＡＮ－ＦＤ、Ｅｔｈｅｒｎｅｔ、ＬＩＮ、Ｆｌｅｘｒａｙであってもよいし、それぞれを組み合わせた構成であってもよいし、車両システムが出力するシステムログを用いて、システムログにエラーが含まれる場合に異常として検知してもよい。
　（５）上記の実施の形態では、脅威情報収集部１３０が図３に示す脅威情報を収集すると説明したが、侵入地点の原因解析に、より一層役立てられる攻撃者のプロファイリング情報を収集してもよい。
　（６）上記の実施の形態では、車両ログ収集部１４０が図４に示す車両ログを収集すると説明したが、車両識別番号は製造元が付与した個人を識別できる番号ではなく匿名化された数値でもよい。また、時刻は絶対時刻でなく相対時刻であってもよい。また、位置情報は秒単位ではなく分単位または度単位でもよい。また、車両状態は速度情報の生の値ではなく停車中または走行中を表すラベルでもよい。
　（７）上記の実施の形態では、侵入地点特定部１５０が図５に示す異常スコアを算出して脅威カテゴリごとに記憶すると説明したが、脅威カテゴリと対応付けて記憶しなくてもよい。脅威カテゴリと対応付けて記憶しない場合は、侵入地点特定部１５０は脅威カテゴリごとではなく、すべての脅威カテゴリに対して、地点ごとの累積異常スコアを算出してもよい。
　（８）上記の実施の形態では、侵入地点特定部１５０が図５に示す緯度と経度とで分割した地点ごとに異常スコアを記憶すると説明したが、緯度と経度とで分割した地点ではなく、充電装置、水素ステーション、ガソリンスタンド、駐車場、修理業者の拠点、車検業者の拠点、カーレンタル業者の拠点、カーシェアリング業者の拠点、車両製造工場、交差点、道路、又は、交通信号機など任意の地点ごとに算出してもよい。
　（９）上記の実施の形態では、侵入地点特定部１５０が図５に示す異常スコアを所定の距離で攻撃可能な場合に基準点として１とし、ＣＶＳＳの深刻度を加点し、車両状態が停車中であれば２倍し、全体車両数で乗算して算出すると説明したが、いずれか一つで算出してもよいし、任意の組み合わせで算出してもよい。
　（１０）上記の実施の形態では、侵入地点特定部１５０が図５に示す異常スコアを算出すると説明したが、基準点の取りうる数値は任意の値でよい。また、深刻度はＣＶＳＳの値を用いずに人手で判断してもよく深刻度として加点する点数は任意の値でよい。また、車両状態は、停車中と走行中との２種類で判定したが、車両の移動速度に応じて停車中に近いほど車両状態加点が高くなるように変更してもよいし、車両状態加点は乗算でなくてもよい。また、全体車両数は、全体車両数そのものの値ではなく、全体車両数のうち異常な車両数表す割合として記憶してもよい。
　（１１）上記の実施の形態では、侵入地点特定部１５０が累積異常スコアがしきい値以上である場合に侵入地点であると特定すると説明したが、しきい値は事前に設定されてもよいし、全体の累積異常スコアの割合から算出してもよい。
　（１２）上記の実施の形態では、侵入地点通知部１６０は、累積異常スコアを地図上に表示するとして説明したが、累積異常スコアは表形式を用いて数値で表示してもよいし、ポップアップ通知で表示してもよい。
　（１３）上記の実施の形態では、侵入地点通知部１６０は、累積異常スコアの数値を、図形を用いて表示するとして説明したが、色を用いて数値の大きさを表現して表示してもよい。
　（１４）上記の実施の形態では、侵入地点通知部１６０は、地点ごとに累積異常スコア地図上に表示するとして説明したが、攻撃を受けた車両が通過した地点と地点を結ぶ経路を図形や色で表現して地図上に表示してもよい。
　（１５）上記の実施の形態では、侵入地点通知部１６０は、侵入地点特定部１５０から侵入地点の情報を受信したのち、ドライバまたはセキュリティ対策チームに通知すると説明したが、通知先は、警察でもよいし、交通省でもよいし、脆弱性情報の共有機関でもよい。
　（１６）上記実施の形態における各装置を構成する構成要素の一部又は全部は、１個のシステムＬＳＩ（Ｌａｒｇｅ　Ｓｃａｌｅ　Ｉｎｔｅｇｒａｔｉｏｎ：大規模集積回路）から構成されているとしても良い。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ等を含んで構成されるコンピュータシステムである。前記ＲＡＭには、コンピュータプログラムが記録されている。前記マイクロプロセッサが、前記コンピュータプログラムに従って動作することにより、システムＬＳＩは、その機能を達成する。また、上記各装置を構成する構成要素の各部は、個別に１チップ化されていても良いし、一部又は全部を含むように１チップ化されても良い。また、ここでは、システムＬＳＩとしたが、集積度の違いにより、ＩＣ、ＬＳＩ、スーパーＬＳＩ、ウルトラＬＳＩと呼称されることもある。また、集積回路化の手法はＬＳＩに限るものではなく、専用回路又は汎用プロセッサで実現しても良い。ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（Ｆｉｅｌｄ　Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙ）や、ＬＳＩ内部の回路セルの接続や設定を再構成可能なリコンフィギュラブル・プロセッサを利用しても良い。更には、半導体技術の進歩又は派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて機能ブロックの集積化を行っても良い。バイオ技術の適用等が可能性としてあり得る。
　（１７）上記各装置を構成する構成要素の一部又は全部は、各装置に脱着可能なＩＣカード又は単体のモジュールから構成されているとしても良い。前記ＩＣカード又は前記モジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭ等から構成されるコンピュータシステムである。前記ＩＣカード又は前記モジュールは、上記の超多機能ＬＳＩを含むとしても良い。マイクロプロセッサが、コンピュータプログラムに従って動作することにより、前記ＩＣカード又は前記モジュールは、その機能を達成する。このＩＣカード又はこのモジュールは、耐タンパ性を有するとしてもよい。
　（１８）本発明の一態様としては、異常検知の方法をコンピュータにより実現するプログラム（コンピュータプログラム）であるとしても良いし、前記コンピュータプログラムからなるデジタル信号であるとしても良い。また、本発明の一態様としては、前記コンピュータプログラム又は前記デジタル信号をコンピュータで読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ－ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ－ＲＯＭ、ＤＶＤ－ＲＡＭ、ＢＤ（Ｂｌｕｅ―ｒａｙ（登録商標） Ｄｉｓｃ）、半導体メモリ等に記録したものとしても良い。また、これらの記録媒体に記録されている前記デジタル信号であるとしても良い。また、本発明の一態様としては、前記コンピュータプログラム又は前記デジタル信号を、電気通信回線、無線又は有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしても良い。また、本発明の一態様としては、マイクロプロセッサとメモリを備えたコンピュータシステムであって、前記メモリは、上記コンピュータプログラムを記録しており、前記マイクロプロセッサは、前記コンピュータプログラムに従って動作するとしても良い。また、前記プログラム若しくは前記デジタル信号を前記記録媒体に記録して移送することにより、又は、前記プログラム若しくは前記デジタル信号を、前記ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしてもよい。
　（１９）上記実施の形態及び上記変形例で示した各構成要素及び機能を任意に組み合わせることで実現される形態も本発明の範囲に含まれる。
　本発明の車載ネットワークシステムにおける侵入地点特定装置は、移動体に侵入した脅威の侵入地点を特定する装置に適用できる。より具体的には、複数の車両の脅威情報と位置情報を含むログを用いて、攻撃被害を受けた車両のうち、多くの車両が攻撃被害以前に経由した地点が、侵入地点である可能性が高いと判定することで、侵入地点を特定することが可能となる。その結果、侵入地点をセキュリティ対策チームに通知し、周辺の調査や、ドライバへ侵入地点周辺に近づかないように促す警告などにより、さらなる攻撃被害を抑制することができ、自動車の安全性向上につながる。
　１０　侵入地点特定装置
　２０　脅威情報共有サーバー
　３０　車両ログ送信装置
　１１０　通信部
　１２０　異常検知部
　１３０　脅威情報収集部
　１４０　車両ログ収集部
　１５０　侵入地点特定部
　１６０　侵入地点通知部

Claims (13)

  1. 　脅威が侵入し得る複数の経路をそれぞれが有する１以上の移動体に当該脅威が侵入した侵入地点を特定する侵入地点特定装置であって、
    　前記複数の経路は、当該移動体から所定距離以内の第一攻撃元から前記脅威が侵入し得る第一経路を含み、
    　前記侵入地点特定装置は、
    　前記１以上の移動体のうちの前記脅威が侵入した移動体の識別情報と、当該移動体が有する前記複数の経路のうち前記脅威が侵入した経路を示す経路情報と、当該移動体への前記脅威の侵入による攻撃の発覚日を示す発覚情報とを含む脅威情報を収集して記憶している情報収集部と、
    　前記１以上の移動体が位置する地点を日時に対応付けて示すログを収集し、収集した前記ログから、前記発覚情報に基づいて定められる所定期間内に前記１以上の移動体が位置していた地点の履歴を抽出し履歴情報として記憶しているログ収集部と、
    　前記ログ収集部が記憶している前記履歴情報に示される前記地点のうち、前記第一攻撃元から前記第一経路を通じて脅威が侵入した侵入地点を特定する特定部と、
    　前記特定部が特定した前記地点を出力する出力部とを備える
    　侵入地点特定装置。
  2. 　前記脅威情報は、さらに、前記脅威が潜伏期間を有するか否かを示す潜伏情報を含み、
    　前記潜伏情報は、前記脅威が前記潜伏期間を有することを示す場合には、さらに、前記潜伏期間の長さを含み、
    　前記ログ収集部は、
    　（ａ）前記脅威が前記潜伏期間を有することを前記脅威情報が示していると判定した場合には、前記発覚日を終期とする、前記潜伏期間の長さを有する期間を、前記所定期間として用いて前記履歴情報を記憶していて、
    　（ｂ）前記脅威が前記潜伏期間を有しないことを前記脅威情報が示していると判定した場合には、前記発覚日を終期とする、所定の長さを有する期間を、前記所定期間として用いて前記履歴情報を記憶している
    　請求項１に記載の侵入地点特定装置。
  3. 　前記特定部は、
    　前記第一経路を通じて前記脅威が前記移動体に侵入したことを前記脅威情報が示している場合には、前記ログ収集部が記憶している前記履歴情報に含まれる各地点についての異常の度合いを示すスコアをゼロより大きい値とし、
    　前記第一経路を通じて前記脅威が前記移動体に侵入したことを前記脅威情報が示していない場合には、前記ログ収集部が記憶している前記履歴情報に含まれる各地点について前記スコアをゼロとし、
    　前記ログ収集部が記憶している前記履歴情報に含まれる地点ごとに、前記脅威情報に基づいて算出される異常の度合いを考慮して前記スコアを補正し、
    　前記補正後の前記スコアが所定値以上である地点を、前記侵入地点として特定する
    　請求項１又は２に記載の侵入地点特定装置。
  4. 　前記特定部は、前記第一経路を通じて前記脅威が前記移動体に侵入したことを前記脅威情報が示している場合には、前記脅威が前記移動体の動作に与える影響の深刻さを示す深刻度が高いほど、より大きな値を前記スコアに加算することで、前記補正をする
    　請求項３に記載の侵入地点特定装置。
  5. 　前記ログは、前記１以上の移動体が位置する地点と、前記１以上の移動体の速度とを前記日時に対応付けて示し、
    　前記ログ収集部は、さらに、
    　収集した前記ログから、前記所定期間内の前記１以上の移動体の速度の履歴をさらに抽出して、前記履歴情報として記憶していて、
    　前記特定部は、さらに、
    　前記第一経路を通じて前記脅威が前記移動体に侵入したことを前記脅威情報が示している場合には、前記移動体の速度がゼロに近いほど、より大きな値を前記スコアに加算することで、前記補正をする
    　請求項３又は４に記載の侵入地点特定装置。
  6. 　前記ログ収集部は、さらに、
    　前記ログ収集部が記憶している前記履歴情報に示される前記地点ごとに、当該地点に位置していた前記移動体の台数を算出して記憶していて、
    　前記特定部は、さらに、
    　前記第一経路を通じて前記脅威が前記移動体に侵入したことを前記脅威情報が示している場合には、前記地点に位置していた前記移動体の台数が多いほど、前記スコアをより小さくする前記補正をする
    　請求項３～５のいずれか１項に記載の侵入地点特定装置。
  7. 　前記脅威は、複数のカテゴリのいずれかに属する脅威を複数含み、
    　前記特定部は、さらに、
    　前記ログ収集部が記憶している前記履歴情報に含まれる地点についての前記スコアを、前記脅威が属するカテゴリごとに集計することで、各カテゴリについての地点ごとの累積スコアを算出して記憶する
    　請求項３～６のいずれか１項に記載の侵入地点特定装置。
  8. 　前記出力部は、さらに、
    　前記ログ収集部が記憶している前記履歴情報に含まれる地点を含む地図を表示画面に表示するとともに、当該地図上において前記累積スコアが大きい地点ほど、寸法がより大きな図形、または、３次元表示において背がより高い図形を用いて表示する
    　請求項７に記載の侵入地点特定装置。
  9. 　前記情報収集部は、
    　前記脅威情報として、ＳＴＩＸ（Ｓｔｒｕｃｔｕｒｅｄ　Ｔｈｒｅａｔ　Ｉｎｆｏｒｍａｔｉｏｎ　ｅＸｐｒｅｓｓｉｏｎ）フォーマットの脅威情報を収集して記憶し、
    　前記特定部は、
    　前記ＳＴＩＸフォーマットの脅威情報に含まれるＣＶＳＳ（Ｃｏｍｍｏｎ　Ｖｕｌｎｅｒａｂｉｌｉｔｙ　Ｓｃｏｒｉｎｇ　Ｓｙｓｔｅｍ）における攻撃元区分が、物理、ローカル又は隣接である場合に、前記第一経路を通じて前記脅威が前記移動体に侵入したと判断する
    　請求項１～８のいずれか１項に記載の侵入地点特定装置。
  10. 　前記ログ収集部は、前記移動体のＧＰＳ（Ｇｌｏｂａｌ　Ｐｏｓｉｔｉｏｎｉｎｇ　Ｓｙｓｔｅｍ）ログを前記ログとして収集し、所定の緯度と経度とにより特定される地点を、前記地点として用いて、履歴情報を記憶している
    　請求項１～９のいずれか１項に記載の侵入地点特定装置。
  11. 　前記ログ収集部は、前記移動体である車両の充電に用いられる充電装置の設置場所、駐車場または車検場所が存在する地点を、前記地点として用いて前記履歴情報を記憶している
    　請求項１～１０のいずれか１項に記載の侵入地点特定装置。
  12. 　前記侵入地点特定装置は、さらに、
    　（ａ）前記情報収集部が前記１以上の移動体のうちのいずれか一の移動体に前記脅威が侵入したことを示す前記脅威情報を受信した場合に、受信した前記脅威情報が異常であると判断し、または、（ｂ）前記脅威が侵入したことを示す前記ログを前記ログ収集部が受信した場合に、受信した前記ログが異常であると判断する、異常検知部を備え、
    　前記情報収集部は、異常があると前記異常検知部が判断した前記脅威情報を収集し、
    　前記ログ収集部は、異常があると前記異常検知部が判断した前記ログを収集する
    　請求項１～１１のいずれか１項に記載の侵入地点特定装置。
  13. 　脅威が侵入し得る複数の経路をそれぞれが有する１以上の移動体に当該脅威が侵入した侵入地点を特定する侵入地点特定方法であって、
    　前記複数の経路は、当該移動体から所定距離以内の第一攻撃元から前記脅威が侵入し得る第一経路を含み、
    　前記侵入地点特定方法は、
    　前記１以上の移動体のうちの前記脅威が侵入した移動体の識別情報と、当該移動体が有する前記複数の経路のうち前記脅威が侵入した経路を示す経路情報と、当該移動体への前記脅威の侵入による攻撃の発覚日を示す発覚情報とを含む脅威情報を収集し記憶し、
    　前記１以上の移動体が位置する地点を日時に対応付けて示すログを収集し、収集した前記ログから、前記発覚情報に基づいて定められる所定期間内に前記１以上の移動体が位置していた地点の履歴を抽出し履歴情報として記憶し、
    　記憶されている前記履歴情報に示される前記地点のうち、前記第一攻撃元から前記第一経路を通じて脅威が侵入した侵入地点を特定し、
    　特定された前記地点を出力する
    　侵入地点特定方法。
PCT/JP2019/037396 2018-10-17 2019-09-24 侵入地点特定装置、および、侵入地点特定方法 WO2020080047A1 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
JP2020522389A JP7346397B2 (ja) 2018-10-17 2019-09-24 侵入地点特定装置、および、侵入地点特定方法
EP19873719.9A EP3869369A4 (en) 2018-10-17 2019-09-24 DEVICE FOR DETECTING SITES OF BURLING IN AND METHOD FOR DETECTING SITES OF BURLING
CN201980025940.7A CN111989680A (zh) 2018-10-17 2019-09-24 入侵地点确定装置以及入侵地点确定方法
US17/094,377 US11886588B2 (en) 2018-10-17 2020-11-10 Intrusion point identification device and intrusion point identification method

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US201862746834P 2018-10-17 2018-10-17
US62/746,834 2018-10-17

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US17/094,377 Continuation US11886588B2 (en) 2018-10-17 2020-11-10 Intrusion point identification device and intrusion point identification method

Publications (1)

Publication Number Publication Date
WO2020080047A1 true WO2020080047A1 (ja) 2020-04-23

Family

ID=70284497

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/037396 WO2020080047A1 (ja) 2018-10-17 2019-09-24 侵入地点特定装置、および、侵入地点特定方法

Country Status (5)

Country Link
US (1) US11886588B2 (ja)
EP (1) EP3869369A4 (ja)
JP (1) JP7346397B2 (ja)
CN (1) CN111989680A (ja)
WO (1) WO2020080047A1 (ja)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2022091786A1 (ja) * 2020-10-27 2022-05-05 パナソニックＩｐマネジメント株式会社 情報処理装置、監視方法、プログラム及びセキュリティシステム
WO2023188356A1 (ja) * 2022-03-31 2023-10-05 日本電信電話株式会社 攻撃元特定システム、攻撃元特定方法及びプログラム
WO2023188359A1 (ja) * 2022-03-31 2023-10-05 日本電信電話株式会社 電力需給制御装置、電力需給制御方法、及びプログラム
WO2023188360A1 (ja) * 2022-03-31 2023-10-05 日本電信電話株式会社 監視装置、監視方法及びプログラム

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2018127794A1 (en) * 2017-01-04 2018-07-12 Checkmarx Ltd. Management of security vulnerabilities
US11532221B1 (en) * 2021-08-05 2022-12-20 Ford Global Technologies, Llc System and method for vehicle security monitoring

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004086880A (ja) * 2002-06-28 2004-03-18 Oki Electric Ind Co Ltd 警戒システム、広域ネットワーク防護システム、不正アクセス追跡方法、不正アクセス検知システム、セキュリティ管理方法及び攻撃防護方法
JP2014146868A (ja) 2013-01-28 2014-08-14 Hitachi Automotive Systems Ltd ネットワーク装置およびデータ送受信システム
JP2017003866A (ja) * 2015-06-12 2017-01-05 シャープ株式会社 移動体システム及び制御装置
JP2017111796A (ja) * 2015-12-16 2017-06-22 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ セキュリティ処理方法及びサーバ
JP2018032355A (ja) * 2016-08-26 2018-03-01 富士通株式会社 サイバー攻撃分析支援プログラム、サイバー攻撃分析支援方法およびサイバー攻撃分析支援装置

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP2005405A4 (en) * 2006-03-21 2010-12-29 Skymeter Corp PRIVATE VERIFIABLE VEHICLE LOCATION SYSTEM AND ASSOCIATED ONBOARD UNIT
US8712596B2 (en) * 2010-05-20 2014-04-29 Accenture Global Services Limited Malicious attack detection and analysis
CN102279995A (zh) * 2011-06-15 2011-12-14 新疆华讯科技开发有限公司 基于物联网的安防预警系统
US9401924B2 (en) * 2012-12-20 2016-07-26 At&T Intellectual Property I, L.P. Monitoring operational activities in networks and detecting potential network intrusions and misuses
CN104994506B (zh) * 2015-07-20 2018-06-19 大连海事大学 一种基于攻击者检测的移动基站位置保护方法及系统
KR101768079B1 (ko) * 2015-10-20 2017-08-14 에스케이플래닛 주식회사 침입탐지 오탐 개선을 위한 시스템 및 방법

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004086880A (ja) * 2002-06-28 2004-03-18 Oki Electric Ind Co Ltd 警戒システム、広域ネットワーク防護システム、不正アクセス追跡方法、不正アクセス検知システム、セキュリティ管理方法及び攻撃防護方法
JP2014146868A (ja) 2013-01-28 2014-08-14 Hitachi Automotive Systems Ltd ネットワーク装置およびデータ送受信システム
JP2017003866A (ja) * 2015-06-12 2017-01-05 シャープ株式会社 移動体システム及び制御装置
JP2017111796A (ja) * 2015-12-16 2017-06-22 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ セキュリティ処理方法及びサーバ
JP2018032355A (ja) * 2016-08-26 2018-03-01 富士通株式会社 サイバー攻撃分析支援プログラム、サイバー攻撃分析支援方法およびサイバー攻撃分析支援装置

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP3869369A4

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2022091786A1 (ja) * 2020-10-27 2022-05-05 パナソニックＩｐマネジメント株式会社 情報処理装置、監視方法、プログラム及びセキュリティシステム
WO2023188356A1 (ja) * 2022-03-31 2023-10-05 日本電信電話株式会社 攻撃元特定システム、攻撃元特定方法及びプログラム
WO2023188359A1 (ja) * 2022-03-31 2023-10-05 日本電信電話株式会社 電力需給制御装置、電力需給制御方法、及びプログラム
WO2023188360A1 (ja) * 2022-03-31 2023-10-05 日本電信電話株式会社 監視装置、監視方法及びプログラム

Also Published As

Publication number Publication date
US11886588B2 (en) 2024-01-30
JP7346397B2 (ja) 2023-09-19
US20210056206A1 (en) 2021-02-25
EP3869369A4 (en) 2021-12-08
CN111989680A (zh) 2020-11-24
JPWO2020080047A1 (ja) 2021-09-09
EP3869369A1 (en) 2021-08-25

Similar Documents

Publication Publication Date Title
WO2020080047A1 (ja) 侵入地点特定装置、および、侵入地点特定方法
US11418519B2 (en) Systems and methods for detection of malicious activity in vehicle data communication networks
KR102387240B1 (ko) 자율 주행 능력들을 갖는 차량들에 대한 위험 처리
US9583000B2 (en) Vehicle-based abnormal travel event detecting and reporting
US10189479B2 (en) Methods and apparatus for vehicle operation analysis
US10198772B2 (en) Driver assessment and recommendation system in a vehicle
US9508201B2 (en) Identifying the origins of a vehicular impact and the selective exchange of data pertaining to the impact
CN110494330A (zh) 车辆监视装置、不正当检测服务器、以及控制方法
US20130253808A1 (en) Estimating Incident Duration
US11170639B2 (en) Transportation threat detection system
US9013287B2 (en) Vehicle-induced roadway debris monitoring
US20210295441A1 (en) Using vehicle data and crash force data in determining an indication of whether a vehicle in a vehicle collision is a total loss
Wideberg et al. A smartphone application to extract safety and environmental related information from the OBD-II interface of a car
US20170229012A1 (en) Method of quickly detecting road distress
Abdel-Aty et al. Real-time big data analytics and proactive traffic safety management visualization system
CN107539038B (zh) 一种车辆胎压状态监控方法及装置
US20150348407A1 (en) Recommendation Engine Based on a Representation of the Local Environment Augmented by Citizen Sensor Reports
JP7467756B2 (ja) 異常検知システム、車載器、異常検知方法、及びプログラム
Taha et al. Utilizing CAN-Bus and smartphones to enforce safe and responsible driving
Pribe et al. Learning to associate observed driver behavior with traffic controls
Stone Connected, autonomous cars: Passive pothole patrollers
CN112837528B (zh) 一种检测闯红灯事件的方法、装置及存储介质
Rahimi et al. Road Quality Analysis Based on Cognitive Internet of Vehicles (CIoV)
Saffary et al. Developing a Taxonomy of Elements Adversarial to Autonomous Vehicles
Yang et al. Traffic Safety Region Estimation Based on SFS–PCA–LSSVM: An Application to Highway Crash Risk Evaluation

Legal Events

Date Code Title Description
ENP Entry into the national phase

Ref document number: 2020522389

Country of ref document: JP

Kind code of ref document: A

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19873719

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2019873719

Country of ref document: EP

Effective date: 20210517