WO2021131193A1 - 攻撃監視用センター装置、及び攻撃監視用端末装置 - Google Patents

攻撃監視用センター装置、及び攻撃監視用端末装置 Download PDF

Info

Publication number
WO2021131193A1
WO2021131193A1 PCT/JP2020/036208 JP2020036208W WO2021131193A1 WO 2021131193 A1 WO2021131193 A1 WO 2021131193A1 JP 2020036208 W JP2020036208 W JP 2020036208W WO 2021131193 A1 WO2021131193 A1 WO 2021131193A1
Authority
WO
WIPO (PCT)
Prior art keywords
pattern
attack
event log
attack monitoring
abnormality
Prior art date
Application number
PCT/JP2020/036208
Other languages
English (en)
French (fr)
Inventor
直也 石田
尊裕 司代
泰司 安部
Original Assignee
株式会社デンソー
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社デンソー filed Critical 株式会社デンソー
Priority to JP2021566822A priority Critical patent/JP7255710B2/ja
Publication of WO2021131193A1 publication Critical patent/WO2021131193A1/ja
Priority to US17/724,970 priority patent/US20220247772A1/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/66—Arrangements for connecting between networks having differing types of switching systems, e.g. gateways
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud
    • H04W12/121—Wireless intrusion detection systems [WIDS]; Wireless intrusion prevention systems [WIPS]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/30—Services specially adapted for particular environments, situations or purposes
    • H04W4/40—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P]

Definitions

  • the present application relates to an attack monitoring system that is a system for monitoring cyber attacks and mainly consists of an attack monitoring terminal device mounted on a mobile body and an attack monitoring center device provided outside the mobile body. ..
  • V2X vehicle-to-vehicle communication and road-to-vehicle communication
  • V2X vehicle-to-vehicle communication
  • road-to-vehicle communication technologies for driving support and automatic driving control
  • vehicles have come to have a communication function, and so-called vehicles are becoming more connected.
  • vehicles are more likely to be attacked by cyber attacks. Since vehicles move at high speed, there is a high risk of accidents affecting humans if the vehicle loses control due to a cyber attack, and stronger defense measures against cyber attacks are required.
  • Patent Document 1 it is noted that there is a combination of log contents that can logically derive the possibility of abnormality when the log contents acquired from a plurality of connected devices are collated, and this combination is abnormal in advance.
  • a log monitoring method and an apparatus capable of early detection of a monitoring target suspected of being fraudulent by storing it in a storage unit as a pattern and collating it with an actual log are described.
  • the present inventor has found the following problems. Unlike the field of conventional computer systems, computers mounted on vehicles are powerless in resources such as CPU and memory, and it is difficult to analyze complicated event logs.
  • a resource-rich device such as a server outside the vehicle
  • the vehicle and the server need to be connected by wireless communication.
  • the connection of wireless communication may become unstable depending on the environment, and it may be difficult to respond to the vehicle in real time. As a result, the risk of exposure to cyber attacks increases.
  • the resources are not weak, if the event log is analyzed by a server or the like outside the vehicle, the same problem occurs when the network connection is unstable.
  • the present disclosure is used for an attack monitoring center device, an attack monitoring terminal device, and an attack monitoring terminal device capable of determining a cyber attack without delay even when resources are weak and / or network connection is unstable.
  • the purpose is to realize the method and program.
  • the case where it is mounted on a vehicle is given as an example as an issue, this is an example of the issue. Even if it is not installed in a vehicle, there may be a problem that resources are weak and / or network connection may become unstable. Also, it goes without saying that network connections can be unstable, even if they are wired.
  • the attack monitoring center device includes a receiving unit that receives an event log transmitted from an attack monitoring terminal device via a communication network, and an event log generation pattern assumed when a cyber attack is received.
  • the first pattern referred to when the attack monitoring center device detects an abnormality
  • the second pattern referred to when the attack monitoring terminal device detects an abnormality.
  • An abnormality was detected in the storage unit that stores the described event log occurrence pattern database (DB), the event log analysis unit that detects an abnormality based on the event log and the first pattern, and the event log analysis unit. In this case, it has a transmission unit that transmits the second pattern to the attack monitoring terminal device.
  • DB event log occurrence pattern database
  • the attack monitoring terminal device transmits the event log collecting unit that collects the event log from each connected device and the event log to the attack monitoring center device via the communication network.
  • the first pattern which is an event log generation pattern assumed when receiving a cyber attack and is referred to when an abnormality is detected by the attack monitoring center device
  • the attack monitoring A receiving unit that receives only the second pattern from the attack monitoring center device among the second patterns referred to when the terminal device detects an abnormality, and a storage unit that stores the second pattern. (205) and an attack determination unit that reads the second pattern from the storage unit and detects an abnormality based on the event log and the second pattern.
  • the attack monitoring method in the attack monitoring center device is assumed when an event log transmitted from an attack monitoring terminal device is received via a communication network and a cyber attack is received.
  • the first pattern of the event log generation pattern which is referred to when the attack monitoring center device detects an abnormality
  • the first pattern which is referred to when the attack monitoring terminal device detects an abnormality.
  • the first pattern and the second pattern are read from the event log generation pattern database (DB) in which the second pattern is described, an abnormality is detected based on the event log and the first pattern, and the abnormality is detected. Is detected, the second pattern is transmitted to the attack monitoring terminal device.
  • DB event log generation pattern database
  • the attack monitoring program that can be executed by the attack monitoring center device according to another aspect of the present disclosure receives the event log transmitted from the attack monitoring terminal device via the communication network and receives a cyber attack.
  • the first pattern which is an event log generation pattern assumed at the time and is referred to when the attack monitoring center device detects an abnormality, and when the attack monitoring terminal device detects an abnormality.
  • the first pattern and the second pattern are read from the event log generation pattern database (DB) that describes the second pattern to be referred to, and an abnormality is detected based on the event log and the first pattern.
  • DB event log generation pattern database
  • the attack monitoring program that can be executed by the attack monitoring terminal device according to another aspect of the present disclosure collects event logs from each connected device, and uses the event logs for attack monitoring via a communication network.
  • An event log generation pattern that is transmitted to the center device and is expected when a cyber attack is received, and is the first pattern that is referred to when an abnormality is detected by the attack monitoring center device, and the attack monitoring.
  • the second patterns referred to when the terminal device detects an abnormality only the second pattern is received from the attack monitoring center device, the second pattern is stored, and the second pattern is saved. Is read out, and an abnormality is detected based on the event log and the second pattern.
  • the attack monitoring system is an attack monitoring system including an attack monitoring center device and an attack monitoring terminal device, and the attack monitoring center device is the attack monitoring via a communication network.
  • the attack monitoring center device detects an abnormality
  • a storage unit that stores an event log generation pattern database (DB) that describes the first pattern referred to in the above and the second pattern referred to when the attack monitoring terminal device detects an abnormality.
  • DB event log generation pattern database
  • the attack monitoring terminal device has a first transmission unit, and the attack monitoring terminal device has an event log collecting unit that collects event logs from each connected device, and the event log is used for attack monitoring via a communication network.
  • the second transmitter that transmits to the center device and the first event log generation pattern that is assumed when a cyber attack is received, which is referred to when an abnormality is detected by the attack monitoring center device.
  • a second receiving unit that receives only the second pattern from the attack monitoring center device among the pattern and the second pattern referred to when the attack monitoring terminal device detects an abnormality. It has a storage unit that stores the second pattern, and an attack determination unit that reads the second pattern from the storage unit and detects an abnormality based on the event log and the second pattern.
  • the cyber attack can be determined without delay.
  • FIG. 1 is a block diagram showing a configuration example of the attack monitoring terminal device according to the embodiment of the present disclosure.
  • FIG. 2 is a block diagram showing a configuration example of the attack monitoring center device according to the embodiment of the present disclosure.
  • FIG. 3 is an explanatory diagram illustrating an event log generation pattern DB stored in the attack monitoring center device according to the embodiment of the present disclosure.
  • FIG. 4 is an explanatory diagram illustrating an analysis method performed by the event log analysis unit of the attack monitoring center device according to the embodiment of the present disclosure.
  • FIG. 5 is a flowchart illustrating the operation of the attack monitoring terminal device and the attack monitoring center device according to the embodiment of the present disclosure.
  • FIG. 6 is an explanatory diagram illustrating a second pattern stored in the storage unit 205 of the attack monitoring terminal device according to the embodiment of the present disclosure.
  • the configuration and method described in the dependent clause of the claims are any configuration and method in the invention described in the independent clause of the claims.
  • the configurations and methods of the embodiments corresponding to the configurations and methods described in the dependent terms, and the configurations and methods described only in the embodiments not described in the claims are arbitrary configurations and methods in the present invention.
  • the configuration and method described in the embodiment in the case where the description of the claims is wider than the description of the embodiment is also an arbitrary configuration and method in the present invention in the sense that it is an example of the configuration and method of the present invention. In any case, by describing in the independent clause of the claims, it becomes an indispensable configuration and method of the present invention.
  • the effect described in the embodiment is an effect when the configuration of the embodiment as an example of the present invention is provided, and is not necessarily the effect of the present invention.
  • the configuration disclosed in each embodiment is not closed only in each embodiment, but can be combined across the embodiments.
  • the configuration disclosed in one embodiment may be combined with another embodiment.
  • the disclosed configurations may be collected and combined in each of the plurality of embodiments.
  • an ECU Electronic Control Unit
  • an internal ECU (A), an internal ECU (B), an internal ECU (C), a GW (Gateway) ECU, and a communication ECU are mounted to form an electronic control system as a whole. Then, the internal ECU (A), the internal ECU (B), the internal ECU (C), and the communication ECU are connected to the GWECU.
  • ECUs are connected to each other by an in-vehicle network.
  • an in-vehicle network for example, in addition to communication methods such as CAN (Controller Area Network) and LIN (Local Interconnect Network), Ethernet (registered trademark), Wi-Fi (registered trademark), and Bluetooth ( Any communication method such as (registered trademark) can be used.
  • the internal ECU (A), internal ECU (B), and internal ECU (C) are arbitrary ECUs.
  • Examples include a vehicle body electronic control unit, an information electronic control unit such as a navigation device, and a safety control electronic control unit that controls to prevent collision with an obstacle or a pedestrian.
  • the ECUs may be classified into a master and a slave instead of being parallel to each other.
  • the attack monitoring terminal device 200 corresponds to the GWECU in this embodiment, and the GWECU is equipped with the function of the attack monitoring terminal device 200.
  • the attack monitoring terminal device 200 may be equipped with the function in other in-vehicle ECUs. For example, it may be mounted on a dedicated attack monitoring ECU or a communication ECU.
  • the attack monitoring terminal device 200 (corresponding to the “attack monitoring terminal device”) has a security event detection unit 201, an event log collection unit 202, a transmission unit 203, a reception unit 204, a storage unit 205, and an attack determination unit 206. Further, the internal ECU (A), the internal ECU (B), the internal ECU (C), and the communication ECU also have security event detection units 211, 212, 213, and 214, respectively. Hereinafter, when these security event detection units are collectively referred to, they are referred to as each security event detection unit.
  • the "attack monitoring terminal device” is sufficient as long as it is a device that monitors attacks from the outside such as cyber attacks.
  • it generally corresponds to what is called an electronic control device, a monitoring device, a gateway device, and specifically, an electronic control device (ECU), a semiconductor circuit element, a personal computer (PC), a smartphone, a mobile phone, or the like. included.
  • ECU electronice control device
  • PC personal computer
  • smartphone smartphone
  • mobile phone or the like. included.
  • the attack monitoring terminal device 200 is composed of a general-purpose CPU (Central Processing Unit), volatile memory such as RAM, non-volatile memory such as ROM, flash memory, or hard disk, various interfaces, and an internal bus connecting them. be able to. Then, by executing the software on these hardware, it can be configured to exert the function of each functional block shown in FIG. The same applies to the attack monitoring center device 100 shown in FIG. 2 described later.
  • the attack monitoring terminal device 200 may be realized by dedicated hardware such as an LSI.
  • the attack monitoring terminal device 200 and other ECUs are "mounted” on a vehicle that is a "moving body" in this embodiment.
  • the attack monitoring terminal device 200 may be mounted on a fixed object instead of a mobile body.
  • the "moving body” means a movable object, and the moving speed is arbitrary. Of course, it also includes the case where the moving body is stopped. For example, including, but not limited to, automobiles, motorcycles, bicycles, pedestrians, ships, aircraft, and objects mounted on them.
  • mounted includes the case where it is directly fixed to the moving body and the case where it is not fixed to the moving body but moves together with the moving body. For example, it may be carried by a person riding on a moving body, or it may be mounted on a cargo placed on the moving body.
  • Each security event detection unit of each ECU detects a security event according to the function of each ECU.
  • the security event detection unit 201 detects an authentication error when an external connection tool is connected to the GWECU.
  • the security event detection units 211, 212, and 213 detect a message authentication error of a message acquired by each internal ECU.
  • the security event detection unit 214 detects a firewall error in the communication ECU. Note that these are examples of the security event detection function of each security event detection unit, and are not limited to these. Further, each security event detection function may be plural.
  • each security event detection unit generates and stores an event log as the detection result.
  • the event log consists of the event occurrence time, the ECU name where the event occurred, the function name, and the event name, but it is not necessary to acquire and store all of them, and even if information other than these is also acquired and stored. Good.
  • the event log collection unit 202 collects the event log generated by each security event detection unit from each connected ECU.
  • the collected event log may be stored in a storage unit (not shown).
  • the event log collection unit 202 outputs the collected event log to the transmission unit 203. Further, the event log collecting unit 202 outputs the collected event log to the attack determination unit 206, which will be described later.
  • the transmission unit 203 transmits the event log output from the event log collection unit 202 to the attack monitoring center device 100 (corresponding to the “attack monitoring center device”) via the communication unit 215 of the communication ECU and the “communication network”.
  • the "communication network” may be a wired communication network as well as a wireless communication network.
  • the "attack monitoring center device” is sufficient as long as it is a device that monitors attacks from the outside such as cyber attacks.
  • it generally corresponds to what is called a server device, a monitoring device, and a support device, and specific examples thereof include various server devices, workstations, and personal computers (PCs), such as electronic control devices (ECUs) and semiconductor circuits. It may be an element, a smartphone, a mobile phone, or the like.
  • the communication network is, for example, IEEE802.11 (Wi-Fi (registered trademark)), IEEE802.16 (WiMAX (registered trademark)), W-CDMA (Wideband Code Division Multiple Access), HSPA (High). Speed Packet Access), LTE (Long Term Evolution), LTE-A (Long Term Evolution Advanced), 4G, 5G and the like can be used. Alternatively, DSRC (Dedicated Short Range Communication) can be used.
  • a wired communication system for example, a LAN (Local Area Network), the Internet, or a fixed telephone line can be used as the communication network.
  • the receiving unit 204 "receives” only the "second pattern" of the event log generation patterns from the attack monitoring center device 100 via the communication unit 215 of the communication network and the communication ECU. The details of the event log generation pattern will be described later with reference to FIG.
  • receiving the second pattern includes not only the case of receiving the second pattern itself, but also the case of receiving information that can generate or restore the second pattern.
  • the storage unit 205 stores the second pattern received by the reception unit 204.
  • the attack determination unit 206 reads the second pattern from the storage unit 205, and detects an abnormality based on the event log output from the event log collection unit 202 and the second pattern. Specifically, the event log output from the event log collection unit 202 is compared with whether or not the second pattern matches, and if they match, it is determined that the event log is abnormal, and a cyber attack has been received. Make a judgment. The details of the attack determination operation of the attack determination unit 206 will be described later with reference to FIG. 6 and the like.
  • the attack monitoring center device 100 (corresponding to the "attack monitoring center device") has a receiving unit 101, a storage unit 102, an event log analysis unit 103, and a transmitting unit 104.
  • the receiving unit 101 receives the event log transmitted from the attack monitoring terminal device 200 (corresponding to the "attack monitoring terminal device") via the "communication network”.
  • the storage unit 102 stores an event log generation pattern database (DB) that describes an event log generation pattern that is expected when a cyber attack is received.
  • DB event log generation pattern database
  • FIG. 3 shows a specific example of the event log generation pattern.
  • attack patterns 1 to n are chronological arrangements of individual patterns corresponding to each event log in a series of event logs expected to occur in a cyber attack in the order of expected occurrence.
  • a communication refusal event based on the firewall function occurs in the communication ECU
  • an authentication error event based on the tool authentication function occurs in the GWECU
  • a periodic abnormality event based on the NIDS function occurs in the GWECU.
  • the firewall function is a function that detects access to unauthorized transmission / reception IP addresses and ports when the vehicle receives TCP / IP communication from the outside.
  • NIDS Network-based Intrusion Detection System
  • the tool authentication function is a function for authenticating whether or not the tool is a legitimate tool.
  • the message authentication function is a function for verifying whether the authenticator of the received message with an authenticator is correct.
  • the attack pattern 1 will be focused on and described. Other attack patterns will be described later.
  • an individual pattern (corresponding to the "first pattern") referred to when an abnormality is detected by the attack monitoring center device 100 and an abnormality detection by the attack monitoring terminal device 200 are detected.
  • Information that distinguishes it from the individual pattern (corresponding to the "second pattern") referred to when performing the operation is described.
  • the information of the individual pattern to be referred to by the attack monitoring terminal device 200 it is described as the information of the individual pattern to be referred to by the attack monitoring terminal device 200.
  • the individual pattern 3 is the second pattern.
  • the individual patterns 1 and 2 become the first pattern.
  • a flag for distinguishing between the first pattern and the second pattern may be provided for each individual pattern. For example, if the flag is 0, the first pattern may be indicated, and if the flag is 1, the second pattern may be indicated.
  • the attack monitoring center device 100 detects an abnormality in the event log, or the attack monitoring terminal device 200 detects an abnormality in the event log. It can also be understood as a description of what to do. For example, by assigning an event showing the precursory behavior of a cyber attack to the first pattern and assigning an event showing the main attack behavior of the cyber attack to the second pattern, only the most dangerous behavior of the cyber attack is on the vehicle side. It can be configured to detect anomalies. With such an allocation, even when the resources of the attack monitoring terminal device 200 are weak and the communication network is unstable, the attack monitoring terminal device 200 can determine a cyber attack. As a result, countermeasures against cyber attacks can be implemented without delay.
  • an event that requires a large amount of resources to detect an abnormality may be assigned to the first pattern, and an event that requires less resources to detect an abnormality may be assigned to the second pattern. .. That is, the resources required to detect anomalies using the first pattern are greater than the resources required to detect anomalies using the second pattern.
  • the processing amount of the CPU and the memory size can be mentioned.
  • the event log analysis unit 103 detects an abnormality based on the event log received by the reception unit 101 and the first pattern of the event log generation pattern read from the storage unit 102. Specifically, whether or not the event log received by the receiving unit 101 and the first pattern read from the storage unit 102 match is compared, and if they match, it is determined that the event log is abnormal. For example, when the event log received by the receiving unit is a communication ECU-firewall function-communication refusal event and a GWECU-tool authentication function-authentication error event, the individual pattern 1 and the individual pattern 2 of the attack pattern 1 in FIG. 3 Corresponds to.
  • the event log analysis unit 103 detects in the attack pattern 1 an abnormality corresponding to the individual pattern 1 and the individual pattern 2, that is, an abnormality in the precursory behavior of the attack pattern 1.
  • the event log analysis unit 103 reads out the individual pattern 3 (corresponding to the "second pattern") of the attack pattern 1 and instructs the transmission unit 104 to transmit.
  • the transmission unit 104 "transmits" the individual pattern 3 of the attack pattern 1, which is the "second pattern", to the attack monitoring terminal device 200.
  • transmitting the second pattern includes not only the case of transmitting the second pattern itself but also the case of transmitting information that can generate or restore the second pattern.
  • the event log analysis unit 103 uses the event log received by the reception unit 101 as it is, but as a premise of detecting an abnormality, statistical calculation is performed on a plurality of event logs received by the reception unit 101. You may analyze the event.
  • FIG. 4 shows an example of an event log analysis method of the event log analysis unit 103.
  • the event log analysis unit 103 plots a plurality of event logs received by the reception unit 101 by the number of occurrences of the event log and the occurrence time of the event log for each event.
  • FIG. 4A is a plot of the event log A having the attributes of the communication ECU-firewall function-communication refusal event, by the number of occurrences of the event log and the occurrence time of the event log.
  • FIG. 4B is a plot of the event log B having the attributes of GWECU-tool authentication function-authentication error event in the same manner.
  • an abnormal occurrence of the event log A can be seen with the time t1 as the apex as compared with the normal time.
  • an abnormal occurrence of the event log B can be seen with the time t2 as the apex. Since t1 ⁇ t2, an abnormality occurs in the order of event log A and event log B.
  • an event that requires such statistical calculation cannot be determined to be abnormal by the event log alone, but it can be recognized that an abnormality has occurred by observing statistically in this way. It is desirable that such statistical calculation be performed by the attack monitoring center device 100 having abundant resources.
  • the order of event log A and event log B and the type of event correspond to the individual pattern 1 and the individual pattern 2 of the attack pattern 1 in FIG.
  • the event log analysis unit 103 detects in the attack pattern 1 an abnormality corresponding to the individual pattern 1 and the individual pattern 2, that is, an abnormality in the precursory behavior of the attack pattern 1.
  • the event log generation pattern DB having information for distinguishing the first pattern from the second pattern is used. Therefore, it is possible to assign which device to perform the abnormality detection process depending on the stage of the cyber attack and the amount of resources used. In addition, this makes it possible for the attack monitoring terminal device 200 to determine a cyber attack in a timely manner without delay even when the resources of the attack monitoring terminal device 200 are weak and the network connection is unstable. Become. Further, since the attack monitoring terminal device 200 determines the cyber attack, the driver who drives the vehicle can be notified of the occurrence of the cyber attack without delay, and the vehicle control for ensuring safety does not need to be performed via the communication network. It is possible to do it.
  • Each security event detection unit of each ECU mounted on the vehicle detects a security event according to the function of each ECU. Then, the event log collecting unit 202 of the attack monitoring terminal device 200 collects the event log generated by each security event detecting unit from each connected ECU (S201). The collected event log is output to the transmission unit 203 and the attack determination unit 206.
  • the transmission unit 203 transmits the event log collected in S201 to the attack monitoring center device 100 via the communication unit 215 of the communication ECU and the communication network (S202).
  • the receiving unit 101 of the attack monitoring center device 100 receives the event log transmitted from the attack monitoring terminal device 200 (S101).
  • the first pattern and the second pattern of the event log generation pattern that describes the event log generation pattern assumed when a cyber attack is received are read from the event log generation pattern database stored in the storage unit 102 (S102). ).
  • the event log analysis unit 103 detects an abnormality based on the event log received in S101 and the first pattern of the event log generation pattern read in S102 (S103).
  • the transmission unit 104 transmits the second pattern read in S102 to the attack monitoring terminal device 200 (S104), and ends the process. Even if no abnormality is detected, the process ends.
  • the receiving unit 204 receives the second pattern from the attack monitoring center device 100 via the communication unit 215 of the communication network and the communication ECU (S203).
  • the storage unit 205 stores the second pattern received in S203.
  • the attack determination unit 206 reads the second pattern from the storage unit 205, and detects an abnormality based on the event log collected in S201 and the second pattern received in S203 (S205).
  • the attack monitoring terminal device 200 assumes that a cyber attack has been detected, performs various defense processes (S206), and ends the process. Even if no abnormality is detected, the process ends.
  • the defense process for example, it is conceivable to keep the control of the vehicle safe by controlling the vehicle, stopping or limiting the network communication, stopping or limiting the function of the ECU, stopping or limiting the service, or the like.
  • the range to be controlled for example, whether to target a network or an individual ECU depends on how far the attack target can be specified.
  • the degree of control depends on the risk of the effects of the attack. For example, when a cyber attack is detected in a specific network of the attack monitoring terminal device 200, it is considered that the reliability of the network is lowered, and the functions of the ECU on the network are restricted to the safe side. Control. At the same time, the communication transmitted from that network to another network is also considered to be unreliable, and the functions and services of the ECU that use the communication are restricted. In addition, if the IP address, port, and terminal information of the attack source can be identified, such information may be denied by adding it to the access denial list of the firewall.
  • the vehicle When the vehicle communicates with the vehicle from a communication source that is not permitted by the attacker, the vehicle detects the security event by the firewall function of the security event detection unit 214 of the communication ECU.
  • the security event detection unit 214 blocks the communication and generates an event log A (communication ECU-firewall function-communication refusal event).
  • the attacker tampered with the website that the communication ECU frequently accesses, and installed malicious malware that exploited the vulnerability of the communication ECU triggered by the access to the tampered website by the communication ECU.
  • the firewall setting of the communication ECU is changed by malware to break through the firewall.
  • the attacker tries to authenticate the tool for privilege escalation to the GWECU.
  • the security event is detected by the tool authentication function of the security event detection unit 201 of the GWECU.
  • the security event detection unit 201 denies the tool authentication and generates an event log B (GWECU-tool authentication function-authentication error event).
  • the event log collection unit 202 collects the event log A and the event log B, and transmits the event log A and the event log B to the attack monitoring center device 100 via the transmission unit 203 (S201). It is also output to the attack determination unit 206. However, since the second pattern, which is the event log generation pattern corresponding to the event log A and the event log B, is not stored in the storage unit 205, the attack determination unit 206 does not detect an abnormality at this point (S205). ..
  • the receiving unit 101 of the attack monitoring center device 100 receives the event log A and the event log B transmitted from the attack monitoring terminal device 200 (S101).
  • the event log analysis unit 103 analyzes the event log A and the event log B as described with reference to FIG. 4, and it is said that an abnormality has occurred in the event log A at time t1 and in the event log B at time t2. Then, they are arranged in chronological order based on the time of the event log in which the abnormality occurred. In this case, the event log A and the event log B are arranged in this order.
  • the event log analysis unit 103 reads the event log generation pattern stored in the storage unit 102 (S102), and detects an abnormality based on the first pattern of the read event log generation pattern (S103).
  • the attack pattern 1 includes a column consisting of the individual pattern 1 and the individual pattern 2 having the same type and order as the event log A and the event log B, it is a precursor of the attack pattern 1. Anomalies that behavior is occurring will be detected.
  • the event log analysis unit 103 instructs the transmission unit 104 to transmit the individual pattern 3 which is the second pattern showing the main attack behavior included in the attack pattern 1, and the transmission unit 104 instructs the transmission unit 104 to transmit the individual pattern 3.
  • GWECU-NIDS function-cycle abnormality event is transmitted to the attack monitoring terminal device 200 (S104).
  • the receiving unit 204 of the attack monitoring terminal device 200 receives the individual pattern 3, and the received individual pattern 3 is stored in the storage unit 204.
  • FIG. 6 shows a second pattern transmitted from the transmitting unit 104, received by the receiving unit 204, and stored in the storage unit 204.
  • the security event is detected by the NIDS function of the security event detection unit 201 of the GW ECU.
  • the security event detection unit 201 generates an event log C (GWECU-NIDS function-cycle abnormality event).
  • the event log collection unit 202 collects the event log C and transmits it to the attack monitoring center device 100 via the transmission unit 203 (S201). It is also output to the attack determination unit 206.
  • the attack determination unit 206 reads the individual pattern 3 shown in FIG. 6 from the storage unit 205, and detects an abnormality based on the event log C collected in S201 and the read individual pattern 3 (S205).
  • the event log C indicates the GWECU-NIDS function-cycle abnormality event and matches the individual pattern 3, so that the attack determination unit 206 has detected the abnormality in the event log C. Therefore, the attack monitoring terminal device 200 performs various defense processes on the assumption that it has detected a cyber attack (S206).
  • the attack monitoring terminal device 200 receives the second pattern indicating the main attack behavior of the cyber attack from the attack monitoring center device 100 in advance, the event log is sent to the attack monitoring center device 100. Cyber attacks can be detected without sending. Further, by using the second pattern in which the comparison process with the event log is light, the cyber attack can be detected even in the attack monitoring terminal device 200 having relatively few resources.
  • Time-series information in the event log occurrence pattern DB In the event log occurrence pattern of FIG. 3, individual patterns are arranged in chronological order in the expected occurrence order, but instead, information indicating the occurrence order of the individual patterns is provided. It may be given. For example, a number indicating the order of occurrence may be assigned to each individual pattern. That is, the first pattern and the second pattern of the event log generation pattern DB need only be specified in time series, and the specification method is arbitrary. Further, since the attack pattern does not necessarily mean that a plurality of individual patterns occur in chronological order, it is not necessary to specify the time series in that case. For example, when the order of occurrence is arbitrary and it is a condition that both the individual pattern 1 and the individual pattern 2 are generated, it is not necessary to specify the context of the individual pattern 1 and the individual pattern 2.
  • the event log generation pattern of FIG. 3 has attack patterns 2 to 5 in addition to attack pattern 1.
  • the attack pattern 2 shows a case where the individual patterns 1 and 2 of the attack pattern 1 are common, but the attack is sent to the internal ECU without causing a cycle abnormality in the GW ECU.
  • a MAC authentication error event occurs in the internal ECU based on the message authentication function.
  • this individual pattern 3 becomes the second pattern referred to when the attack monitoring terminal device 200 detects an abnormality.
  • the attack pattern 3 shows a case where the individual pattern 2 portion of the attack pattern 2 is different and a filtering error event based on the ID filtering function occurs in the GWECU.
  • the attack pattern 4 shows a case where the individual pattern 1 portion of the attack pattern 1 is different and a pattern abnormality event occurs in the communication ECU based on the NIDS function.
  • the attack pattern 5 shows a case where a tool is physically connected to the vehicle and an illegal signal is transmitted to the inside of the vehicle.
  • the event log analysis unit 103 reads out all the second patterns of the corresponding attack patterns and instructs the transmission unit 104 to transmit.
  • the event log received by the receiving unit is the communication ECU-firewall function-communication refusal event, and the GWEC-tool authentication function.
  • the event log analysis unit 103 reads out each individual pattern 3 of the attack pattern 1 and the attack pattern 2, and instructs the transmission unit 104 to transmit.
  • the occurrence of an abnormality is recognized based on the relationship between the number of occurrences of the event log and the occurrence time of the event log. Not limited to. For example, when two types of event logs are received, it may be analyzed whether or not the contents of the event logs are inconsistent with each other. Further, in the above-described embodiment, when the event log analysis is required, the attack monitoring center device 100 is used for the analysis, but the attack monitoring terminal device 200 is not excluded from the analysis. Absent.
  • the individual pattern of FIG. 3 is transmitted as it is as a method of transmitting the second pattern to the attack monitoring terminal device 200, but instead of this.
  • Information that can generate or restore the second pattern on the attack monitoring terminal device 200 side may be transmitted.
  • the list of individual patterns may be held in advance by the attack monitoring center device 100 and the attack monitoring terminal device 200, and the numbers of the corresponding individual patterns may be transmitted.
  • the attack monitoring center device 100 is a device outside the vehicle, and the attack monitoring terminal device 200 is an in-vehicle terminal device. It was explained based on an example. However, this is a typical example, and the following aspects are also possible.
  • the attack monitoring terminal device 200 may be a terminal device held by a pedestrian or a driver of a vehicle, instead of being mounted on a vehicle. Both the attack monitoring terminal device 200 and the attack monitoring center device 100 may be devices mounted on different vehicles. In this case, it is necessary to be connected by a cellular network or a communication network using direct communication between vehicles.
  • the attack monitoring terminal device 200 may be a terminal device connected to a wired LAN or the Internet, and the attack monitoring center device may be a server device connected to the wired LAN or the Internet. Alternatively, both devices may be terminal devices connected to a wired LAN or the Internet. That is, it can be applied to the field of conventional computer systems.
  • the block diagram used in the explanation of the embodiment is a classification and arrangement of the configuration of the device for each function.
  • the blocks showing each function are realized by any combination of hardware or software. Further, since the block diagram shows the function, the block diagram can be grasped as the disclosure of the invention of the method and the invention of the program that realizes the method.
  • Each embodiment is premised on an attack monitoring terminal device for a vehicle mounted on a vehicle, but the present invention is for dedicated or general-purpose attack monitoring other than for a vehicle, unless otherwise specified within the scope of the claims. It also includes a terminal device.
  • each embodiment the description has been made on the premise that the attack monitoring terminal device disclosed in each embodiment is mounted on the vehicle, but it may be assumed that a pedestrian possesses it.
  • Examples of the form of the component include a semiconductor element, an electronic circuit, a module, and a microcomputer.
  • Examples of the semi-finished product include an electronic control unit (ECU) and a system board.
  • Examples of finished products include mobile phones, smartphones, tablets, personal computers (PCs), workstations, and servers.
  • it includes a device having a communication function and the like, and examples thereof include a video camera, a still camera, and a car navigation system.
  • necessary functions such as an antenna and a communication interface may be added to the attack monitoring terminal device and the attack monitoring center device.
  • attack monitoring center device of the present invention is used for the purpose of providing various services. With the provision of such services, the attack monitoring center device of the present invention will be used, the method of the present invention will be used, and / and the program of the present invention will be executed.
  • the present invention can be realized not only by the dedicated hardware having the configuration and the function described in each embodiment, but also a program for realizing the present invention recorded on a recording medium such as a memory or a hard disk, and a program thereof. It can also be realized as a combination with a general-purpose hardware having a dedicated or general-purpose CPU and memory that can be executed.
  • Programs stored in a non-transitional substantive recording medium of dedicated or general-purpose hardware for example, an external storage device (hard disk, USB memory, CD / BD, etc.) or an internal storage device (RAM, ROM, etc.)
  • a recording medium or via a communication line from a server without a recording medium This ensures that you always have the latest features through program upgrades.
  • attack monitoring terminal device of the present disclosure has been described as an electronic control device mainly for vehicles mounted on automobiles, moving objects such as motorcycles, bicycles with electric motors, railways, pedestrians, ships, aircraft, etc. It can be applied to all. In addition, it can be applied to devices used for various purposes such as mobile phones, tablets, and game machines.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

攻撃監視用センター装置（１００）は、通信ネットワークを介して攻撃監視用端末装置から送信されたイベントログを受信する受信部（１０１）と、サイバー攻撃を受けた際に想定されるイベントログ発生パターンであって、当該攻撃監視用センター装置で異常の検出を行う場合に参照される第１のパターン、及び前記攻撃監視用端末装置で異常の検出を行う場合に参照される第２のパターン、を記述したイベントログ発生パターンデータベース（ＤＢ）を記憶する記憶部（１０２）と、前記イベントログ及び前記第１のパターンに基づき、異常の検出を行うイベントログ分析部（１０３）と、前記イベントログ分析部で異常を検出した場合、前記第２のパターンを前記攻撃監視用端末装置に送信する送信部（１０４）とを有する。

Description

攻撃監視用センター装置、及び攻撃監視用端末装置 関連出願の相互参照
　本出願は、２０１９年１２月２５日に出願された日本特許出願番号２０１９－２３４４５０号に基づくもので、ここにその記載内容を援用する。
　本出願は、サイバー攻撃を監視するシステムであって、主に移動体に搭載される攻撃監視用端末装置、及び移動体の外部に設けられた攻撃監視用センター装置、からなる攻撃監視用システムに関する。
　近年、車車間通信や路車間通信のようなＶ２Ｘをはじめ、運転支援や自動運転制御を行う技術が注目されている。これに伴い、車両が通信機能を備えるようになり、いわゆる車両のコネクティッド化が進んでいる。この結果、車両がサイバー攻撃を受ける可能性が増加している。車両は高速で移動するため、サイバー攻撃に伴い車両のコントロールを失うと人身に影響を及ぼす事故が発生する危険性が高く、サイバー攻撃に対してより強固な防御手段が必要となる。
　ここで、コンピュータシステムの分野においては、以前からサイバー攻撃に対する対応策が講じられている。
　例えば、特許文献１には、接続された複数の機器から取得したログ内容を照合した場合に、論理的に異常の可能性が導き出せるログ内容の組み合わせがあることに着目し、予めこの組み合わせを異常パターンとして記憶部に記憶しておき、実際のログとの照合を行うことにより、不正の疑いがある監視対象を早期に発見することができるログ監視方法及び装置が記載されている。
特開２０１６－１４３３２０号公報
　ここで、本発明者は、以下の課題を見出した。
　従来のコンピュータシステムの分野と異なり、車両に搭載されるコンピュータはＣＰＵやメモリなどのリソースが非力であり、複雑なイベントログの分析が難しい。これに対し、イベントログの分析を、車両外のサーバ等のようなリソースが豊富な機器で行う場合、車両とサーバとは無線通信を用いて接続する必要がある。しかし、無線通信は環境によって接続が不安定になることがあり、車両に対してリアルタイムに対応を行うことが難しい場合が生じる。この結果、サイバー攻撃にさらされる危険性が高くなる。
　また、リソースが非力でない場合においても、イベントログの分析を車両外のサーバ等で行うとすると、ネットワーク接続が不安定である場合に同様の問題が生じる。
　本開示は、リソースが非力、かつ／又は、ネットワーク接続が不安定な場合においても、サイバー攻撃の判定を遅滞なく行うことができる攻撃監視用センター装置、攻撃監視用端末装置、及びこれらに用いられる方法及びプログラムを実現することを目的とする。
　なお、課題として車両に搭載される場合を例に挙げているが、これは課題の一例である。車両に搭載されない場合も、リソースが非力である、かつ／又は、ネットワーク接続が不安定になる可能性があるという課題が生じうる。また、ネットワーク接続は、有線であっても不安定になる可能性があるのは当然である。
　本開示の一態様による攻撃監視用センター装置は、通信ネットワークを介して攻撃監視用端末装置から送信されたイベントログを受信する受信部と、サイバー攻撃を受けた際に想定されるイベントログ発生パターンであって、当該攻撃監視用センター装置で異常の検出を行う場合に参照される第１のパターン、及び前記攻撃監視用端末装置で異常の検出を行う場合に参照される第２のパターン、を記述したイベントログ発生パターンデータベース（ＤＢ）を記憶する記憶部と、前記イベントログ及び前記第１のパターンに基づき、異常の検出を行うイベントログ分析部と、前記イベントログ分析部で異常を検出した場合、前記第２のパターンを前記攻撃監視用端末装置に送信する送信部と、を有する。
　また、本開示の他の態様による攻撃監視用端末装置は、接続された各装置からイベントログを収集するイベントログ収集部と、前記イベントログを、通信ネットワークを介して攻撃監視用センター装置に送信する送信部と、サイバー攻撃を受けた際に想定されるイベントログ発生パターンであって、前記攻撃監視用センター装置で異常の検出を行う場合に参照される第１のパターン、及び当該攻撃監視用端末装置で異常の検出を行う場合に参照される第２のパターン、のうち前記第２のパターンのみを前記攻撃監視用センター装置から受信する受信部と、前記第２のパターンを保存する保存部（２０５）と、前記第２のパターンを前記保存部から読み出すとともに、前記イベントログ及び前記第２のパターンに基づき、異常の検出を行う攻撃判定部と、を有する。
　また、本開示の他の態様による、攻撃監視用センター装置における攻撃監視方法は、通信ネットワークを介して攻撃監視用端末装置から送信されたイベントログを受信し、サイバー攻撃を受けた際に想定されるイベントログ発生パターンであって、当該攻撃監視用センター装置で異常の検出を行う場合に参照される第１のパターン、及び前記攻撃監視用端末装置で異常の検出を行う場合に参照される第２のパターン、を記述したイベントログ発生パターンデータベース（ＤＢ）から、前記第１のパターン及び前記第２のパターンを読み出し、前記イベントログ及び前記第１のパターンに基づき、異常の検出を行い、異常を検出した場合、前記第２のパターンを前記攻撃監視用端末装置に送信する。
　また、本開示の他の態様による、攻撃監視用センター装置で実行可能な攻撃監視用プログラムは、通信ネットワークを介して攻撃監視用端末装置から送信されたイベントログを受信し、サイバー攻撃を受けた際に想定されるイベントログ発生パターンであって、当該攻撃監視用センター装置で異常の検出を行う場合に参照される第１のパターン、及び前記攻撃監視用端末装置で異常の検出を行う場合に参照される第２のパターン、を記述したイベントログ発生パターンデータベース（ＤＢ）から、前記第１のパターン及び前記第２のパターンを読み出し、前記イベントログ及び前記第１のパターンに基づき、異常の検出を行い、異常を検出した場合、前記第２のパターンを前記攻撃監視用端末装置に送信する。
　また、本開示の他の態様による、攻撃監視用端末装置で実行可能な攻撃監視用プログラムは、接続された各装置からイベントログを収集し、前記イベントログを、通信ネットワークを介して攻撃監視用センター装置に送信し、サイバー攻撃を受けた際に想定されるイベントログ発生パターンであって、前記攻撃監視用センター装置で異常の検出を行う場合に参照される第１のパターン、及び当該攻撃監視用端末装置で異常の検出を行う場合に参照される第２のパターン、のうち前記第２のパターンのみを前記攻撃監視用センター装置から受信し、前記第２のパターンを保存し、前記第２のパターンを読み出すとともに、前記イベントログ及び前記第２のパターンに基づき、異常の検出を行う。
　また、本開示の他の態様による攻撃監視システムは、攻撃監視用センター装置及び攻撃監視用端末装置からなる攻撃監視システムであって、前記攻撃監視用センター装置は、通信ネットワークを介して前記攻撃監視用端末装置から送信されたイベントログを受信する第１の受信部と、サイバー攻撃を受けた際に想定されるイベントログ発生パターンであって、当該攻撃監視用センター装置で異常の検出を行う場合に参照される第１のパターン、及び前記攻撃監視用端末装置で異常の検出を行う場合に参照される第２のパターン、を記述したイベントログ発生パターンデータベース（ＤＢ）を記憶する記憶部と、前記イベントログ及び前記第１のパターンに基づき、異常の検出を行うイベントログ分析部と、前記イベントログ分析部で異常を検出した場合、前記第２のパターンを前記攻撃監視用端末装置に送信する第１の送信部と、を有し、前記攻撃監視用端末装置は、接続された各装置からイベントログを収集するイベントログ収集部と、前記イベントログを、通信ネットワークを介して前記攻撃監視用センター装置に送信する第２の送信部と、サイバー攻撃を受けた際に想定されるイベントログ発生パターンであって、前記攻撃監視用センター装置で異常の検出を行う場合に参照される第１のパターン、及び当該攻撃監視用端末装置で異常の検出を行う場合に参照される第２のパターン、のうち前記第２のパターンのみを前記攻撃監視用センター装置から受信する第２の受信部と、前記第２のパターンを保存する保存部と、前記第２のパターンを前記保存部から読み出すとともに、前記イベントログ及び前記第２のパターンに基づき、異常の検出を行う攻撃判定部と、を有する。
　なお、請求の範囲に記載した発明の構成要件に付した括弧内の番号は、本発明と後述の実施形態との対応関係を示すものであり、本発明を限定する趣旨ではない。
　上述のような構成により、攻撃監視用端末装置のリソースが非力、かつ／又は、攻撃監視用センター装置とのネットワーク接続が不安定な場合においても、サイバー攻撃の判定を遅滞なく行うことができる。
図１は、本開示の実施形態の攻撃監視用端末装置の構成例を示すブロック図であり、 図２は、本開示の実施形態の攻撃監視用センター装置の構成例を示すブロック図であり、 図３は、本開示の実施形態の攻撃監視用センター装置に保存されたイベントログ発生パターンＤＢを説明する説明図であり、 図４は、本開示の実施形態の攻撃監視用センター装置のイベントログ分析部が行う分析方法を説明する説明図であり、 図５は、本開示の実施形態の攻撃監視用端末装置及び攻撃監視用センター装置の動作を説明するフローチャートであり、 図６は、本開示の実施形態の攻撃監視用端末装置の保存部２０５に保存された第２のパターンを説明する説明図である。
　以下、本開示の実施形態について、図面を参照して説明する。
　なお、以下に示す本発明とは、請求の範囲に記載された発明を意味するものであり、以下の実施形態に限定されるものではない。また、少なくともダブルクォーテーション内の語句は、請求の範囲に記載された語句を意味し、同じく以下の実施形態に限定されるものではない。
　請求の範囲の従属項に記載の構成及び方法は、請求の範囲の独立項に記載の発明において任意の構成及び方法である。従属項に記載の構成及び方法に対応する実施形態の構成及び方法、並びに請求の範囲に記載がなく実施形態のみに記載の構成及び方法は、本発明において任意の構成及び方法である。請求の範囲の記載が実施形態の記載よりも広い場合における実施形態に記載の構成及び方法も、本発明の構成及び方法の例示であるという意味で、本発明において任意の構成及び方法である。いずれの場合も、請求の範囲の独立項に記載することで、本発明の必須の構成及び方法となる。
　実施形態に記載した効果は、本発明の例示としての実施形態の構成を有する場合の効果であり、必ずしも本発明が有する効果ではない。
　複数の実施形態がある場合、各実施形態に開示の構成は各実施形態のみで閉じるものではなく、実施形態をまたいで組み合わせることが可能である。例えば一の実施形態に開示の構成を、他の実施形態に組み合わせても良い。また、複数の実施形態それぞれに開示の構成を集めて組み合わせても良い。
　本開示に記載した課題は公知の課題ではなく、本発明者が独自に知見したものであり、本開示の構成及び方法と共に発明の進歩性を肯定する事実である。
１．実施形態
（１）攻撃監視用端末装置の構成
　図１を用いて、本実施形態の攻撃監視用端末装置２００の構成について説明する。
　本実施形態では、車両に複数の電子制御装置であるＥＣＵ（Electric Control Unit）を搭載した例を示している。図１では、内部ＥＣＵ（Ａ）、内部ＥＣＵ（Ｂ）、内部ＥＣＵ（Ｃ）、ＧＷ（Gateway）ＥＣＵ、通信ＥＣＵを搭載し、全体として電子制御システムを構成している。そして、ＧＷＥＣＵに、内部ＥＣＵ（Ａ）、内部ＥＣＵ（Ｂ）、内部ＥＣＵ（Ｃ）、及び通信ＥＣＵが接続されている。
　これらのＥＣＵ同士は車載ネットワークで接続されており、例えば、ＣＡＮ（Controller Area Network）、ＬＩＮ（Local Interconnect Network）といった通信方式の他、Ｅｔｈｅｒｎｅｔ（登録商標）やＷｉ－Ｆｉ（登録商標）、Ｂｌｕｅｔｏｏｔｈ（登録商標）等、任意の通信方式を用いることができる。
　内部ＥＣＵ（Ａ）、内部ＥＣＵ（Ｂ）、内部ＥＣＵ（Ｃ）は任意のＥＣＵであるが、例えば、エンジン、ハンドル、ブレーキ等の制御を行う駆動系電子制御装置、メータやパワーウインドウ等の制御を行う車体系電子制御装置、ナビゲーション装置等の情報系電子制御装置、あるいは、障害物や歩行者との衝突を防止するための制御を行う安全制御系電子制御装置が挙げられる。また、ＥＣＵ同士が並列ではなく、マスターとスレーブとに分類されていてもよい。
　攻撃監視用端末装置２００は、本実施形態ではＧＷＥＣＵに相当し、ＧＷＥＣＵに攻撃監視用端末装置２００の機能が搭載されている。もっとも、攻撃監視用端末装置２００は、この他の車載用ＥＣＵにその機能が搭載されていてもよい。例えば、専用の攻撃監視用ＥＣＵや、通信ＥＣＵに搭載されていてもよい。
　攻撃監視用端末装置２００（“攻撃監視用端末装置”に相当）は、セキュリティイベント検知部２０１、イベントログ収集部２０２、送信部２０３、受信部２０４、保存部２０５、攻撃判定部２０６を有する。
　また、内部ＥＣＵ（Ａ）、内部ＥＣＵ（Ｂ）、内部ＥＣＵ（Ｃ）、通信ＥＣＵにも、それぞれセキュリティイベント検知部２１１、２１２、２１３、２１４を有している。
　以降、これらのセキュリティイベント検知部をまとめて称呼するときは各セキュリティイベント検知部と記載する。
　ここで、“攻撃監視用端末装置”とは、サイバー攻撃をはじめとする外部からの攻撃を監視する装置であれば足りる。例えば、一般的に、電子制御装置、監視装置、ゲートウェイ装置と呼ばれるものが相当し、具体的には、電子制御装置（ＥＣＵ）、半導体回路素子、パーソナルコンピュータ（ＰＣ）、スマートフォン、携帯電話等が含まれる。
　攻撃監視用端末装置２００は、汎用のＣＰＵ（Central Processing Unit）、ＲＡＭ等の揮発性メモリ、ＲＯＭ、フラッシュメモリ、又はハードディスク等の不揮発性メモリ、各種インターフェース、及びこれらを接続する内部バスで構成することができる。そして、これらのハードウェア上でソフトウェアを実行することにより、図１に記載の各機能ブロックの機能を発揮させるように構成することができる。後述の図２で示さる攻撃監視用センター装置１００においても同様である。
　もちろん、攻撃監視用端末装置２００を、ＬＳＩ等の専用のハードウェアで実現してもよい。
　攻撃監視用端末装置２００及びその他のＥＣＵは、本実施形態では“移動体”である車両に“搭載されている”。もっとも、攻撃監視用端末装置２００は、移動体でなく固定物に搭載されていてもよい。
　ここで、“移動体”とは、移動可能な物体をいい、移動速度は任意である。また移動体が停止している場合も当然含む。例えば、自動車、自動二輪車、自転車、歩行者、船舶、航空機、及びこれらに搭載される物を含み、またこれらに限らない。
　“搭載されている”とは、移動体に直接固定されている場合の他、移動体に固定されていないが移動体と共に移動する場合も含む。例えば、移動体に乗った人が所持している場合、移動体に載置された積荷に搭載されている場合、が挙げられる。
　それぞれのＥＣＵが有する各セキュリティイベント検知部は、それぞれのＥＣＵの機能に応じたセキュリティイベントを検知する。例えば、セキュリティイベント検知部２０１は、ＧＷＥＣＵに対して外部接続ツールが接続された場合の認証エラーを検知する。セキュリティイベント検知部２１１、２１２、２１３は、それぞれの内部ＥＣＵで取得されるメッセージのメッセージ認証エラーを検知する。セキュリティイベント検知部２１４は、通信ＥＣＵに対するファイヤーウォールエラーを検知する。なお、これらは各セキュリティイベント検知部のセキュリティイベント検知機能の一例であって、これらに限られない。また、各セキュリティイベント検知機能は、複数であってもよい。
　そして、各セキュリティイベント検知部は、その検知結果としてイベントログを生成し、記憶する。例えばイベントログは、イベント発生時刻、イベントが発生したＥＣＵ名、機能名、イベント名からなるが、これらすべてを取得し記憶する必要はなく、またこれら以外の情報も併せて取得し記憶してもよい。
　イベントログ収集部２０２は、接続された各ＥＣＵから、各セキュリティイベント検知部で生成したイベントログを収集する。収集されたイベントログは、図示しない保存部に保存してもよい。イベントログ収集部２０２は、収集したイベントログを、送信部２０３に出力する。
　さらに、イベントログ収集部２０２は、収集したイベントログを、後述の攻撃判定部２０６に出力する。
　送信部２０３は、イベントログ収集部２０２から出力されたイベントログを、通信ＥＣＵの通信部２１５、及び“通信ネットワーク”を介して、攻撃監視用センター装置１００（“攻撃監視用センター装置”に相当）に送信する。
　ここで、“通信ネットワーク”とは、無線通信ネットワークの他、有線通信ネットワークであってもよい。また、これらを組み合わせてもよい。
　“攻撃監視用センター装置”とは、サイバー攻撃をはじめとする外部からの攻撃を監視する装置であれば足りる。例えば一般的にサーバ装置、監視装置、支援装置と呼ばれるものが相当し、具体的には各種サーバ装置、ワークステーション、パーソナルコンピュータ（ＰＣ）、が挙げられるが、電子制御装置（ＥＣＵ）、半導体回路素子、スマートフォン、携帯電話等であってもよい。
　通信ネットワークは、無線通信方式の場合、例えば、ＩＥＥＥ８０２．１１（Ｗｉ－Ｆｉ（登録商標））やＩＥＥＥ８０２．１６（ＷｉＭＡＸ（登録商標））、Ｗ－ＣＤＭＡ（Wideband Code Division Multiple Access）、ＨＳＰＡ（High Speed Packet Access）、ＬＴＥ（Long Term Evolution）、ＬＴＥ－Ａ（Long Term Evolution Advanced）、４Ｇ、５Ｇ等を用いることができる。あるいは、ＤＳＲＣ（Dedicated Short Range Communication）を用いることができる。
　通信ネットワークは、有線通信方式の場合、例えば、ＬＡＮ（Local Area Network）やインターネット、固定電話回線を用いることができる。
　受信部２０４は、通信ネットワーク及び通信ＥＣＵの通信部２１５を介して、攻撃監視用センター装置１００から、イベントログ発生パターンのうち、“第２のパターン”のみを“受信する”。イベントログ発生パターンの詳細は図３を用いて後述する。
　ここで、“第２のパターン・・・を受信する”とは、第２のパターンそのものを受信する場合の他、第２のパターンを生成又は復元可能な情報を受信する場合も含む。
　保存部２０５は、受信部２０４で受信した第２のパターンを保存する。
　攻撃判定部２０６は、保存部２０５から第２のパターンを読み出すとともに、イベントログ収集部２０２から出力されたイベントログ及び第２のパターンに基づき、異常の検出を行う。具体的には、イベントログ収集部２０２から出力されたイベントログと、第２のパターンとが一致するか否かを比較し、一致する場合は異常であると判定し、サイバー攻撃を受けたとの判定を行う。攻撃判定部２０６の攻撃判定動作の詳細は図６等を用いて後述する。
（２）攻撃監視用センター装置の構成
　図２を用いて、本実施形態の攻撃監視用センター装置１００の構成について説明する。
　攻撃監視用センター装置１００（“攻撃監視用センター装置”に相当）は、受信部１０１、記憶部１０２、イベントログ分析部１０３、及び送信部１０４を有する。
　受信部１０１は、“通信ネットワーク”を介して、攻撃監視用端末装置２００（“攻撃監視用端末装置”に相当）から送信されたイベントログを受信する。
　記憶部１０２は、サイバー攻撃を受けた際に想定されるイベントログ発生パターンを記述したイベントログ発生パターンデータベース（ＤＢ）を記憶する。
　図３は、イベントログ発生パターンの具体例を示したものである。図３において、攻撃パターン１～ｎは、サイバー攻撃において発生が予想される一連のイベントログのうち各イベントログに対応する個別パターンを、予想される発生順に時系列に並べたものである。例えば、攻撃パターン１は、まず通信ＥＣＵにおいてファイヤーウォール機能に基づく通信拒否イベントが発生し、次にＧＷＥＣＵにおいてツール認証機能に基づく認証エラーイベントが発生し、最後にＧＷＥＣＵにおいてＮＩＤＳ機能に基づく周期異常イベントが発生することを示している。
　ファイヤーウォール機能とは、車両が外部からのＴＣＰ／ＩＰ通信を受信した際、許可されていない送受信ＩＰアドレス、ポートへのアクセスを検知する機能である。
　ＮＩＤＳ（Network-based Intrusion Detection System）とは、ネットワーク型侵入検知システムであり、ネットワーク上を流れる信号のパターン、周期、又は値を監視する機能である。
　ツール認証機能とは、正規のツールかどうかを認証する機能である。
　この他、メッセージ認証機能とは、受信した認証子付メッセージの認証子が正しいかどうかを検証する機能である。
　以下、攻撃パターン１に着目して説明する。その他の攻撃パターンについては後述する。
　また、各攻撃パターンには、攻撃監視用センター装置１００で異常の検出を行う場合に参照される個別パターン（“第１のパターン”に相当）と、攻撃監視用端末装置２００で異常の検出を行う場合に参照される個別パターン（“第２のパターン”に相当）とが区別される情報が記述されている。図３の例では、攻撃監視用端末装置２００で参照すべき個別パターンの情報として記述されており、例えば攻撃パターン１においては、個別パターン３が第２のパターンとなる。また、反射的に、個別パターン１及び２が第１のパターンとなる。
　これに代えて、それぞれの個別パターンごとに、第１のパターンと第２のパターンとを区別するフラグを設けてもよい。例えば、フラグが０なら第１のパターン、フラグが１なら第２のパターンを示すようにしてもよい。
　記憶部１０２に記憶されているイベントログ発生パターンは、イベントログに対して攻撃監視用センター装置１００で異常の検出を行うか、それともイベントログに対して攻撃監視用端末装置２００で異常の検出を行うかを記述したものと把握することもできる。例えば、第１のパターンにサイバー攻撃の前兆挙動を示すイベントを割り当て、第２のパターンにサイバー攻撃の本攻撃挙動を示すイベントを割り当てることにより、サイバー攻撃のうち最も危険な挙動に限り車両側で異常の検出を行うよう構成することができる。このような割り当てにすることで、攻撃監視用端末装置２００のリソースが非力で、かつ通信ネットワークが不安定な場合においても、攻撃監視用端末装置２００側でサイバー攻撃を判定することができ、この結果サイバー攻撃に対する対応策を遅延なく実行することができる。
　この他、例えば、第１のパターンに異常を検出するために多くのリソースを必要とするイベントを割り当て、第２のパターンに異常を検出するためにより少ないリソースで足りるイベントを割り当てるようにしてもよい。つまり、第１のパターンを用いて異常を検出するために必要なリソースは、第２のパターンを用いて異常を検出するために必要なリソースよりも多い。ここで、リソースの例として、ＣＰＵの処理量やメモリサイズが挙げられる。このような割り当てとすることにより、異常を検出するために多くのリソースを必要とするイベントは、リソースが豊富な攻撃監視用センター装置１００でイベントログの分析や異常の検出を行うことができ、攻撃監視用端末装置２００の負担を軽減することができる。
　イベントログ分析部１０３は、受信部１０１で受信したイベントログ、及び記憶部１０２から読み出したイベントログ発生パターンの第１のパターンに基づき、異常の検出を行う。具体的には、受信部１０１で受信したイベントログと、記憶部１０２から読み出した第１のパターンとが一致するか否かを比較し、一致した場合には異常であると判定する。例えば、受信部で受信したイベントログが、通信ＥＣＵ―ファイヤーウォール機能―通信拒否イベント、及びＧＷＥＣＵ―ツール認証機能―認証エラーイベントである場合、図３の攻撃パターン１の個別パターン１及び個別パターン２に相当する。つまりイベントログ分析部１０３は、攻撃パターン１において、個別パターン１及び個別パターン２に相当する異常、すなわち攻撃パターン１の前兆挙動の異常を検出する。かかる異常を検出した場合、イベントログ分析部１０３は、攻撃パターン１の個別パターン３（“第２のパターン”に相当）を読み出し、送信部１０４に送信を指示する。
　送信部１０４は、“第２のパターン”である攻撃パターン１の個別パターン３を攻撃監視用端末装置２００に“送信する”。
　ここで、“第２のパターン・・・を送信する”とは、第２のパターンそのものを送信する場合の他、第２のパターンを生成又は復元可能な情報を送信する場合も含む。
　イベントログ分析部１０３は、上述の例では、受信部１０１で受信したイベントログをそのまま用いているが、異常の検出の前提として、受信部１０１で受信した複数のイベントログに対し統計計算を施してイベントの分析を行ってもよい。
　図４は、イベントログ分析部１０３のイベントログの分析方法の一例を示すものである。
　イベントログ分析部１０３は、受信部１０１で受信した複数のイベントログを、イベント毎に、イベントログの発生数とイベントログの発生時刻でプロットする。
　図４（ａ）は、通信ＥＣＵ―ファイヤーウォール機能―通信拒否イベントの属性を持つイベントログＡを、イベントログの発生数とイベントログの発生時刻でプロットしたものである。また、図４（ｂ）は、ＧＷＥＣＵ―ツール認証機能―認証エラーイベントの属性を持つイベントログＢを、同様にプロットしたものである。
　図４（ａ）においては、通常時と比べて、時刻ｔ１を頂点としてイベントログＡの異常な発生が見られる。また、図４（ｂ）においては、時刻ｔ２を頂点として、イベントログＢの異常な発生が見られる。そして、ｔ１＜ｔ２であることから、イベントログＡ、イベントログＢの順で、異常が発生している。
　通常このような統計計算が必要なイベントは、イベントログ単体では異常とまでは判定できないものであるが、このように統計的に観察することにより異常が発生していると認識することができる。このような統計計算は、リソースが豊富な攻撃監視用センター装置１００で行うことが望ましい。
　そして、イベントログＡ、イベントログＢの順及びイベントの種類は、図３の攻撃パターン１の個別パターン１及び個別パターン２に相当する。イベントログ分析部１０３は、上述の通り、攻撃パターン１において、個別パターン１及び個別パターン２に相当する異常、すなわち攻撃パターン１の前兆挙動の異常を検出する。
　以上のように、本実施形態の攻撃監視用端末装置２００及び攻撃監視用センター装置１００によれば、第１のパターンと第２のパターンを区別する情報を有するイベントログ発生パターンＤＢを用いているので、サイバー攻撃の段階や、使用するリソースの多少により、いずれの装置で異常検出処理を行うかを割り当てることが可能である。
　また、これにより、攻撃監視用端末装置２００のリソースが非力で、ネットワークの接続が不安定な場合においても、攻撃監視用端末装置２００側で、遅延なく適時にサイバー攻撃を判定することが可能となる。
　さらに、攻撃監視用端末装置２００でサイバー攻撃を判定するので、車両を運転するドライバに遅延なくサイバー攻撃の発生を通知することができるとともに、安全確保のための車両制御を通信ネットワークを介することなく実行することが可能である。
（３）攻撃監視用端末装置及び攻撃監視用センター装置の動作の概要
　図５のフローチャートを用いて、攻撃監視用端末装置２００及び攻撃監視用センター装置１００の動作の概要を説明する。
　なお、以下の動作は、攻撃監視用端末装置２００における攻撃監視方法を示すだけでなく、攻撃監視用端末装置２００で実行される攻撃監視用プログラムの処理手順を示すものである。また、攻撃監視用センター装置１００における攻撃監視方法を示すだけでなく、攻撃監視用センター装置１００で実行される攻撃監視用プログラムの処理手順を示すものである。
　そして、これらの処理は、図５で示した順序には限定されない。すなわち、あるステップでその前段のステップの結果を利用する関係にある等の制約がない限り、順序を入れ替えてもよい。
　車両に搭載されたそれぞれのＥＣＵの各セキュリティイベント検知部は、それぞれのＥＣＵの機能に応じたセキュリティイベントを検知する。そして、攻撃監視用端末装置２００のイベントログ収集部２０２は、接続された各ＥＣＵから、各セキュリティイベント検知部で生成したイベントログを収集する（Ｓ２０１）。収集したイベントログは、送信部２０３、および攻撃判定部２０６に出力する。
　送信部２０３は、Ｓ２０１で収集したイベントログを、通信ＥＣＵの通信部２１５、及び通信ネットワークを介して、攻撃監視用センター装置１００に送信する（Ｓ２０２）。
　攻撃監視用センター装置１００の受信部１０１は、攻撃監視用端末装置２００から送信されたイベントログを受信する（Ｓ１０１）。
　サイバー攻撃を受けた際に想定されるイベントログ発生パターンを記述したイベントログ発生パターンの第１のパターン及び第２のパターンを、記憶部１０２に記憶されているイベントログ発生パターンデータベースから読み出す（Ｓ１０２）。
　イベントログ分析部１０３は、Ｓ１０１で受信したイベントログ、及びＳ１０２で読み出したイベントログ発生パターンの第１のパターンに基づき、異常の検出を行う（Ｓ１０３）。異常を検出した場合、送信部１０４は、Ｓ１０２で読み出した第２のパターンを攻撃監視用端末装置２００に送信して（Ｓ１０４）、処理を終了する。異常を検出しなかった場合も、処理を終了する。
　受信部２０４は、通信ネットワーク及び通信ＥＣＵの通信部２１５を介して、攻撃監視用センター装置１００から、第２のパターンを受信する（Ｓ２０３）。
　保存部２０５は、Ｓ２０３で受信した第２のパターンを保存する。
　攻撃判定部２０６は、保存部２０５から第２のパターンを読み出すとともに、Ｓ２０１で収集したイベントログ及びＳ２０３で受信した第２のパターンに基づき、異常の検出を行う（Ｓ２０５）。異常を検出した場合、攻撃監視用端末装置２００は、サイバー攻撃を検出したとして、各種の防御処理を行って（Ｓ２０６）、処理を終了する。異常を検出しなかった場合も、処理を終了する。
　防御処理としては、例えば、車両の制御、ネットワーク通信の停止又は制限、ＥＣＵの機能停止又は制限、サービスの停止又は制限、等を行うことにより、車両の制御を安全に保つことが考えられる。制御する範囲、例えばネットワークを対象にするか個別のＥＣＵを対象にするかは、攻撃対象をどこまで特定できているかに依存する。制御の程度、例えば制限か停止か、は、攻撃によって生じる影響の危険度に依存する。
　例えば、攻撃監視用端末装置２００のある特定のネットワークにおいてサイバー攻撃が検知された場合、そのネットワークの信頼性は低下していると考え、そのネットワーク上のＥＣＵが持つ機能を制限し、安全側に制御する。同時に、そのネットワークから他のネットワークへ送信される通信も信頼性は低いと考え、その通信を利用するＥＣＵの機能やサービスを制限する。
　この他、攻撃元のＩＰアドレスやポート、端末情報が特定できている場合は、それらの情報をファイヤーウォールのアクセス拒否リストに追加することによって拒否するようにしてもよい。
（４）攻撃監視用端末装置及び攻撃監視用センター装置の動作の詳細
　次に具体例を挙げながら、適宜図５を参照して、攻撃監視用端末装置２００及び攻撃監視用センター装置１００の動作の詳細を説明する。
　攻撃者が車両を危殆化させることを目的として、第１に車両に対し遠隔から通信を行い、第２に車両の内部のＧＷＥＣＵの権限を奪取し、第３に内部ＥＣＵに不正な信号を送って車両に不正な挙動を起こさせようとする攻撃を行うという例を想定する。
　車両は、攻撃者によって許可されていない通信元から車両に対して通信があった場合は、通信ＥＣＵのセキュリティイベント検知部２１４のファイヤーウォール機能によりセキュリティイベントを検知する。セキュリティイベント検知部２１４は、その通信を遮断するとともに、イベントログＡ（通信ＥＣＵ―ファイヤーウォール機能―通信拒否イベント）を生成する。
　その後、攻撃者は、通信ＥＣＵがよくアクセスするウェブサイトを改ざんし、通信ＥＣＵが改ざんされたウェブサイトにアクセスしたことをトリガーとして通信ＥＣＵの脆弱性を突いた不正なマルウェアをインストールし、不正なマルウェアによって通信ＥＣＵのファイヤーウォール設定を変更し、ファイヤーウォールを突破する。そして、攻撃者はＧＷＥＣＵに対して権限昇格のためにツール認証を試行する。これに対して、ＧＷＥＣＵのセキュリティイベント検知部２０１のツール認証機能によりセキュリティイベントを検知する。セキュリティイベント検知部２０１は、ツール認証を否認するとともに、イベントログＢ（ＧＷＥＣＵ―ツール認証機能―認証エラーイベント）を生成する。
　イベントログ収集部２０２は、イベントログＡ及びイベントログＢを収集し、送信部２０３を介して攻撃監視用センター装置１００に送信する（Ｓ２０１）。また、攻撃判定部２０６にも出力する。もっとも、保存部２０５には、イベントログＡ及びイベントログＢに対応するイベントログ発生パターンである第２のパターンは保存されていないので、攻撃判定部２０６はこの時点では異常を検出しない（Ｓ２０５）。
　攻撃監視用センター装置１００の受信部１０１は、攻撃監視用端末装置２００から送信されたイベントログＡ及びイベントログＢを受信する（Ｓ１０１）。イベントログ分析部１０３は、図４で説明した通りイベントログＡ及びイベントログＢの分析を行い、イベントログＡは時刻ｔ１に、イベントログＢは時刻ｔ２に異常が発生したとされる。そして、異常が発生したイベントログの時刻に基づき時系列に並べる。この場合、イベントログＡ、イベントログＢの順に並べられる。
　イベントログ分析部１０３は、記憶部１０２に記憶されているイベントログ発生パターンを読み出すとともに（Ｓ１０２）、読み出したイベントログ発生パターンの第１のパターンに基づき、異常の検出を行う（Ｓ１０３）。この例の場合、図３によれば、イベントログＡ、イベントログＢの種類及び順番と同じ個別パターン１及び個別パターン２からなる列が攻撃パターン１に含まれているので、攻撃パターン１の前兆挙動が発生しているという異常を検出することになる。
　そこで、イベントログ分析部１０３は、送信部１０４に対し、攻撃パターン１に含まれている本攻撃挙動を示す第２のパターンである個別パターン３の送信を指示し、送信部１０４は個別パターン３（ＧＷＥＣＵ－ＮＩＤＳ機能－周期異常イベント）を攻撃監視用端末装置２００に送信する（Ｓ１０４）。
　攻撃監視用端末装置２００の受信部２０４は個別パターン３を受信し、受信した個別パターン３は保存部２０４に保存される。図６は、送信部１０４から送信され、受信部２０４で受信され、保存部２０４に保存されている第２のパターンを示している。
　攻撃者は、その後ツール認証も突破し、車両内部へ車両の挙動に影響のある信号が送信可能になったとする。攻撃者が内部ＥＣＵに対して攻撃のための信号を仕様と異なる周期で送信すると、ＧＷＥＣＵのセキュリティイベント検知部２０１のＮＩＤＳ機能によりセキュリティイベントを検知する。セキュリティイベント検知部２０１は、イベントログＣ（ＧＷＥＣＵ－ＮＩＤＳ機能－周期異常イベント）を生成する。
　イベントログ収集部２０２は、イベントログＣを収集し、送信部２０３を介して攻撃監視用センター装置１００に送信する（Ｓ２０１）。また、攻撃判定部２０６にも出力する。
　攻撃判定部２０６は、保存部２０５から図６で示される個別パターン３を読み出すとともに、Ｓ２０１で収集したイベントログＣ及び読み出した個別パターン３に基づき、異常の検出を行う（Ｓ２０５）。この例の場合、イベントログＣは、ＧＷＥＣＵ－ＮＩＤＳ機能－周期異常イベントを示し、個別パターン３と一致するので、攻撃判定部２０６は、イベントログＣの異常を検出したことになる。そこで、攻撃監視用端末装置２００は、サイバー攻撃を検出したとして、各種の防御処理を行う（Ｓ２０６）。
　このように、攻撃監視用端末装置２００は、サイバー攻撃の本攻撃挙動を示す第２のパターンを事前に攻撃監視用センター装置１００から受信しているので、イベントログを攻撃監視用センター装置１００に送信することなく、サイバー攻撃の検出を行うことができる。また、イベントログとの比較処理が軽い第２のパターンを用いることにより、比較的リソースが少ない攻撃監視用端末装置２００でもサイバー攻撃の検出を行うことができる。
２．変形例
　上述の実施形態は一例であり、以下のように変形してもよい。
（１）イベントログ発生パターンＤＢにおける時系列情報
　図３のイベントログ発生パターンは、個別パターンを予想される発生順に時系列順に並べているが、これに代えて、個別パターンの発生順を示す情報を付与してもよい。例えば、個別パターン毎に発生順を示す番号を付与してもよい。
　すなわち、イベントログ発生パターンＤＢの第１のパターン及び第２のパターンは、それぞれ時系列が特定されていればよく、その特定方法は任意である。
　また、攻撃パターンは、必ずしも個別パターンが時系列順に複数発生するものとは限らないので、その場合は時系列を特定する必要はない。例えば、発生順を任意にして、個別パターン１と個別パターン２が何れも発生していることを条件とする場合は、個別パターン１と個別パターン２の前後関係を特定する必要はない。
（２）イベントログ発生パターンＤＢにおける他の攻撃パターンの例
　図３のイベントログ発生パターンは、攻撃パターン１以外に攻撃パターン２～５を有する。
　攻撃パターン２は、攻撃パターン１の個別パターン１及び２は共通であるが、ＧＷＥＣＵで周期異常が発生することなく、内部ＥＣＵに攻撃が送られる場合を示す。この場合、個別パターン３として、内部ＥＣＵにおいてメッセージ認証機能に基づきＭＡＣ認証エラーイベントが発生する。そして、この個別パターン３が、攻撃監視用端末装置２００で異常の検出を行う場合に参照される第２のパターンとなる。
　攻撃パターン３は、攻撃パターン２の個別パターン２の部分が異なり、ＧＷＥＣＵにおいてＩＤフィルタリング機能に基づくフィルタリングエラーイベントが発生する場合を示している。
　攻撃パターン４は、攻撃パターン１の個別パターン１の部分が異なり、通信ＥＣＵにおいてＮＩＤＳ機能に基づきパターン異常イベントが発生する場合を示している。
　攻撃パターン５は、車両に物理的にツールを接続し、車両内部に不正な信号を送信する場合を示している。
　なお、複数の攻撃パターンが該当する場合は、イベントログ分析部１０３は、該当する攻撃パターンの全ての第２のパターンを読み出し、送信部１０４に送信を指示する。例えば、攻撃パターン１と攻撃パターン２は、個別パターン１及び個別パターン２が同じであるので、受信部で受信したイベントログが、通信ＥＣＵ―ファイヤーウォール機能―通信拒否イベント、及びＧＷＥＣＵ―ツール認証機能―認証エラーイベントである場合、図３の攻撃パターン１及び攻撃パターン２のそれぞれの個別パターン１及び個別パターン２に相当する。かかる異常を検出した場合、イベントログ分析部１０３は、攻撃パターン１及び攻撃パターン２のそれぞれの個別パターン３を読み出し、送信部１０４に送信を指示する。
（３）イベントログの分析
　上述の実施形態では、図４のようにイベントログの発生数とイベントログの発生時刻との関係に基づき異常の発生を認識するようにしたが、分析方法はこの方法に限られない。例えば、二種類のイベントログを受信した場合、イベントログの内容が互いに矛盾する内容であるか否かを分析するようにしてもよい。
　また、上述の実施形態では、イベントログの分析が必要な場合は、攻撃監視用センター装置１００で分析を行うようにしているが、攻撃監視用端末装置２００で分析を行うことを排除するものではない。
（４）第２のパターンの送信方法
　上述の実施形態では、第２のパターンを攻撃監視用端末装置２００に送信する方法として、図３の個別パターンをそのまま送信しているが、これに代えて、第２のパターンを攻撃監視用端末装置２００側で生成又は復元可能な情報を送信してもよい。例えば、個別パターンのリストを、攻撃監視用センター装置１００及び攻撃監視用端末装置２００で予め保持しておき、該当する個別パターンの番号を送信するようにしてもよい。
（５）攻撃監視用センター装置１００と攻撃監視用端末装置２００との関係
　上述の実施形態では、攻撃監視用センター装置１００を車両外の装置、攻撃監視用端末装置２００を車載の端末装置とする例に基づき説明した。
　しかし、これは代表的な一例であって、以下のような態様も可能である。
　攻撃監視用端末装置２００は、車載ではなく、歩行者や車両のドライバが保持する端末装置であってもよい。
　攻撃監視用端末装置２００、及び攻撃監視用センター装置１００のいずれも、それぞれ別の車両に搭載された装置であってもよい。この場合は、セルラーネットワークや車車間の直接通信を用いた通信ネットワークで接続されることが必要になる。
　攻撃監視用端末装置２００は、有線ＬＡＮやインターネットに接続された端末装置、攻撃監視用センター装置は当該有線ＬＡＮやインターネットに接続されたサーバ装置であってもよい。あるいは、両装置とも、有線ＬＡＮやインターネットに接続された端末装置であってもよい。すなわち、従来のコンピュータシステムの分野にも適用することが可能である。
３．総括
　以上、本開示の各実施形態における攻撃監視用センター装置及び攻撃監視用端末装置等の特徴について説明した。
　各実施形態で使用した用語は例示であるので、同義の用語、あるいは同義の機能を含む用語に置き換えてもよい。
　実施形態の説明に用いたブロック図は、装置の構成を機能毎に分類及び整理したものである。それぞれの機能を示すブロックは、ハードウェア又はソフトウェアの任意の組み合わせで実現される。また、機能を示したものであることから、かかるブロック図は方法の発明、及び当該方法を実現するプログラムの発明の開示としても把握できるものである。
　各実施形態に記載した処理、フロー、及び方法として把握できる機能ブロック、については、一のステップでその前段の他のステップの結果を利用する関係にある等の制約がない限り、順序を入れ替えてもよい。
　各実施形態、及び請求の範囲で使用する、第１、第２、乃至、第Ｎ（Ｎは整数）、の用語は、同種の２以上の構成や方法を区別するために使用しており、順序や優劣を限定するものではない。
　各実施形態は、車両に搭載される車両用の攻撃監視用端末装置を前提としているが、本発明は、請求の範囲で特に限定する場合を除き、車両用以外の専用又は汎用の攻撃監視用端末装置も含むものである。
　各実施形態では、各実施形態に開示の攻撃監視用端末装置を車両に搭載する前提で説明したが、歩行者が所持する前提としてもよい。
　また、本発明の攻撃監視用端末装置の形態の例として、以下のものが挙げられる。
　部品の形態として、半導体素子、電子回路、モジュール、マイクロコンピュータが挙げられる。
　半完成品の形態として、電子制御装置（ＥＣＵ（Electric Control Unit））、システムボードが挙げられる。
　完成品の形態として、携帯電話、スマートフォン、タブレット、パーソナルコンピュータ（ＰＣ）、ワークステーション、サーバが挙げられる。
　その他、通信機能を有するデバイス等を含み、例えばビデオカメラ、スチルカメラ、カーナビゲーションシステムが挙げられる。
　また攻撃監視用端末装置や攻撃監視用センター装置に、アンテナや通信用インターフェースなど、必要な機能を追加してもよい。
　本発明の攻撃監視用センター装置は、各種サービスの提供を目的とするために用いられることが想定される。かかるサービスの提供に伴い、本発明の攻撃監視用センター装置が使用され、本発明の方法が使用され、又は／及び本発明のプログラムが実行されることになる。
　加えて、本発明は、各実施形態で説明した構成及び機能を有する専用のハードウェアで実現できるだけでなく、メモリやハードディスク等の記録媒体に記録した本発明を実現するためのプログラム、及びこれを実行可能な専用又は汎用ＣＰＵ及びメモリ等を有する汎用のハードウェアとの組み合わせとしても実現できる。
　専用や汎用のハードウェアの非遷移的実体的記録媒体（例えば、外部記憶装置（ハードディスク、ＵＳＢメモリ、ＣＤ／ＢＤ等）、又は内部記憶装置（ＲＡＭ、ＲＯＭ等））に格納されるプログラムは、記録媒体を介して、あるいは記録媒体を介さずにサーバから通信回線を経由して、専用又は汎用のハードウェアに提供することもできる。これにより、プログラムのアップグレードを通じて常に最新の機能を提供することができる。
　本開示の攻撃監視用端末装置は、主として自動車に搭載される車両用の電子制御装置として説明したが、自動二輪車、電動機付自転車、鉄道はもちろん、歩行者、船舶、航空機等、移動する移動体全般に適用することが可能である。
　また、携帯電話やタブレット、ゲーム機等、様々な用途に用いられる装置に適用可能である。
 

Claims (11)

  1. 　通信ネットワークを介して攻撃監視用端末装置から送信されたイベントログを受信する受信部（１０１）と、
    　サイバー攻撃を受けた際に想定されるイベントログ発生パターンであって、当該攻撃監視用センター装置で異常の検出を行う場合に参照される第１のパターン、及び前記攻撃監視用端末装置で異常の検出を行う場合に参照される第２のパターン、を記述したイベントログ発生パターンデータベース（ＤＢ）を記憶する記憶部（１０２）と、
    　前記イベントログ及び前記第１のパターンに基づき、異常の検出を行うイベントログ分析部（１０３）と、
    　前記イベントログ分析部で異常を検出した場合、前記第２のパターンを前記攻撃監視用端末装置に送信する送信部（１０４）と、を有する
    　攻撃監視用センター装置（１００）。
  2. 　前記イベントログ分析部は、前記イベントログの発生数と前記イベントログの発生時刻との関係に基づき、異常を検出する、
    　請求項１記載の攻撃監視用センター装置。
  3. 　前記イベントログ発生パターンＤＢの前記第１のパターン及び前記第２のパターンは、それぞれ時系列が特定されている、
    　請求項１記載の攻撃監視用センター装置。
  4. 　前記第１のパターンは、サイバー攻撃の前兆挙動を示し、
    　前記第２のパターンは、サイバー攻撃の本攻撃挙動を示す、
    　請求項１記載の攻撃監視用センター装置。
  5. 　前記第１のパターンを用いて異常を検出するために必要なリソースは、前記第２のパターンを用いて異常を検出するために必要なリソースよりも多い、
    　請求項１記載の攻撃監視用センター装置。
  6. 　接続された各装置からイベントログを収集するイベントログ収集部（２０２）と、
    　前記イベントログを、通信ネットワークを介して攻撃監視用センター装置に送信する送信部（２０３）と、
    　サイバー攻撃を受けた際に想定されるイベントログ発生パターンであって、前記攻撃監視用センター装置で異常の検出を行う場合に参照される第１のパターン、及び当該攻撃監視用端末装置で異常の検出を行う場合に参照される第２のパターン、のうち前記第２のパターンのみを前記攻撃監視用センター装置から受信する受信部（２０４）と、
    　前記第２のパターンを保存する保存部（２０５）と、
    　前記第２のパターンを前記保存部から読み出すとともに、前記イベントログ及び前記第２のパターンに基づき、異常の検出を行う攻撃判定部（２０６）と、を有する
    　攻撃監視用端末装置（２００）。
  7. 　当該攻撃監視用端末装置は、移動体に搭載されている、
    　請求項６記載の攻撃監視用端末装置。
  8. 　通信ネットワークを介して攻撃監視用端末装置から送信されたイベントログを受信し（Ｓ１０１）、
    　サイバー攻撃を受けた際に想定されるイベントログ発生パターンであって、当該攻撃監視用センター装置で異常の検出を行う場合に参照される第１のパターン、及び前記攻撃監視用端末装置で異常の検出を行う場合に参照される第２のパターン、を記述したイベントログ発生パターンデータベース（ＤＢ）から、前記第１のパターン及び前記第２のパターンを読み出し（Ｓ１０２）、
    　前記イベントログ及び前記第１のパターンに基づき、異常の検出を行い（Ｓ１０３）、
    　異常を検出した場合、前記第２のパターンを前記攻撃監視用端末装置に送信する（Ｓ１０４）、
    　攻撃監視用センター装置における攻撃監視方法。
  9. 　通信ネットワークを介して攻撃監視用端末装置から送信されたイベントログを受信し（Ｓ１０１）、
    　サイバー攻撃を受けた際に想定されるイベントログ発生パターンであって、当該攻撃監視用センター装置で異常の検出を行う場合に参照される第１のパターン、及び前記攻撃監視用端末装置で異常の検出を行う場合に参照される第２のパターン、を記述したイベントログ発生パターンデータベース（ＤＢ）から、前記第１のパターン及び前記第２のパターンを読み出し（Ｓ１０２）、
    　前記イベントログ及び前記第１のパターンに基づき、異常の検出を行い（Ｓ１０３）、
    　異常を検出した場合、前記第２のパターンを前記攻撃監視用端末装置に送信する（Ｓ１０４）、
    　攻撃監視用センター装置で実行可能な攻撃監視用プログラム。
  10. 　接続された各装置からイベントログを収集し（Ｓ２０１）
    　前記イベントログを、通信ネットワークを介して攻撃監視用センター装置に送信し（Ｓ２０２）、
    　サイバー攻撃を受けた際に想定されるイベントログ発生パターンであって、前記攻撃監視用センター装置で異常の検出を行う場合に参照される第１のパターン、及び当該攻撃監視用端末装置で異常の検出を行う場合に参照される第２のパターン、のうち前記第２のパターンのみを前記攻撃監視用センター装置から受信し（Ｓ２０３）、
    　前記第２のパターンを保存し（Ｓ２０４）、
    　前記第２のパターンを読み出すとともに、前記イベントログ及び前記第２のパターンに基づき、異常の検出を行う（Ｓ２０５）
    　攻撃監視用端末装置で実行可能な攻撃監視用プログラム。
  11. 　攻撃監視用センター装置及び攻撃監視用端末装置からなる攻撃監視システムであって、
    　前記攻撃監視用センター装置は、
    　　通信ネットワークを介して前記攻撃監視用端末装置から送信されたイベントログを受信する第１の受信部（１０１）と、
    　　サイバー攻撃を受けた際に想定されるイベントログ発生パターンであって、当該攻撃監視用センター装置で異常の検出を行う場合に参照される第１のパターン、及び前記攻撃監視用端末装置で異常の検出を行う場合に参照される第２のパターン、を記述したイベントログ発生パターンデータベース（ＤＢ）を記憶する記憶部（１０２）と、
    　　前記イベントログ及び前記第１のパターンに基づき、異常の検出を行うイベントログ分析部（１０３）と、
    　　前記イベントログ分析部で異常を検出した場合、前記第２のパターンを前記攻撃監視用端末装置に送信する第１の送信部（１０４）と、を有し、
    　前記攻撃監視用端末装置は、
    　　接続された各装置からイベントログを収集するイベントログ収集部（２０２）と、
    　　前記イベントログを、通信ネットワークを介して前記攻撃監視用センター装置に送信する第２の送信部（２０３）と、
    　　サイバー攻撃を受けた際に想定されるイベントログ発生パターンであって、前記攻撃監視用センター装置で異常の検出を行う場合に参照される第１のパターン、及び当該攻撃監視用端末装置で異常の検出を行う場合に参照される第２のパターン、のうち前記第２のパターンのみを前記攻撃監視用センター装置から受信する第２の受信部（２０４）と、
    　　前記第２のパターンを保存する保存部（２０５）と、
    　　前記第２のパターンを前記保存部から読み出すとともに、前記イベントログ及び前記第２のパターンに基づき、異常の検出を行う攻撃判定部（２０６）と、を有する
    　攻撃監視システム。
     
PCT/JP2020/036208 2019-12-25 2020-09-25 攻撃監視用センター装置、及び攻撃監視用端末装置 WO2021131193A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2021566822A JP7255710B2 (ja) 2019-12-25 2020-09-25 攻撃監視用センター装置、及び攻撃監視用端末装置
US17/724,970 US20220247772A1 (en) 2019-12-25 2022-04-20 Attack monitoring center apparatus and attack monitoring terminal apparatus

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2019-234450 2019-12-25
JP2019234450 2019-12-25

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US17/724,970 Continuation US20220247772A1 (en) 2019-12-25 2022-04-20 Attack monitoring center apparatus and attack monitoring terminal apparatus

Publications (1)

Publication Number Publication Date
WO2021131193A1 true WO2021131193A1 (ja) 2021-07-01

Family

ID=76575863

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2020/036208 WO2021131193A1 (ja) 2019-12-25 2020-09-25 攻撃監視用センター装置、及び攻撃監視用端末装置

Country Status (3)

Country Link
US (1) US20220247772A1 (ja)
JP (1) JP7255710B2 (ja)
WO (1) WO2021131193A1 (ja)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2023048185A1 (ja) * 2021-09-24 2023-03-30 エヌ・ティ・ティ・コミュニケーションズ株式会社 車両セキュリティ分析装置、方法およびそのプログラム
WO2023170995A1 (ja) * 2022-03-10 2023-09-14 日立Astemo株式会社 車両診断システム
WO2024071049A1 (ja) * 2022-09-30 2024-04-04 株式会社デンソー 攻撃分析装置、攻撃分析方法、及び攻撃分析プログラム

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114553596B (zh) * 2022-04-21 2022-07-19 国网浙江省电力有限公司杭州供电公司 适用于网络安全的多维度安全情况实时展现方法及系统

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002251374A (ja) * 2000-12-20 2002-09-06 Fujitsu Ltd 情報管理システム、情報管理方法、およびその方法をコンピュータに実行させるプログラム、並びにそのプログラムを記録したコンピュータ読み取り可能な記録媒体
JP2017111796A (ja) * 2015-12-16 2017-06-22 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ セキュリティ処理方法及びサーバ
JP2019159600A (ja) * 2018-03-09 2019-09-19 株式会社デンソー 車両用マスタ電子制御装置、車両用スレーブ電子制御装置、車両用ログ収集システム及び車両用ログ収集プログラム
US20190312892A1 (en) * 2018-04-05 2019-10-10 Electronics And Telecommunications Research Institute Onboard cybersecurity diagnostic system for vehicle, electronic control unit, and operating method thereof
WO2019193786A1 (ja) * 2018-04-06 2019-10-10 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ ログ出力方法、ログ出力装置及びプログラム

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10298598B1 (en) * 2013-12-16 2019-05-21 Amazon Technologies, Inc. Countering service enumeration through imposter-driven response
DE112018005352T5 (de) * 2017-11-08 2020-06-25 Sony Corporation Informationsverarbeitungsvorrichtung, bewegte einrichtung, verfahren und programm
US10621141B2 (en) * 2018-01-31 2020-04-14 Oracle International Corporation Multivariate memory vectorization technique to facilitate intelligent caching in time-series databases
US10944770B2 (en) * 2018-10-25 2021-03-09 EMC IP Holding Company LLC Protecting against and learning attack vectors on web artifacts

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002251374A (ja) * 2000-12-20 2002-09-06 Fujitsu Ltd 情報管理システム、情報管理方法、およびその方法をコンピュータに実行させるプログラム、並びにそのプログラムを記録したコンピュータ読み取り可能な記録媒体
JP2017111796A (ja) * 2015-12-16 2017-06-22 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ セキュリティ処理方法及びサーバ
JP2019159600A (ja) * 2018-03-09 2019-09-19 株式会社デンソー 車両用マスタ電子制御装置、車両用スレーブ電子制御装置、車両用ログ収集システム及び車両用ログ収集プログラム
US20190312892A1 (en) * 2018-04-05 2019-10-10 Electronics And Telecommunications Research Institute Onboard cybersecurity diagnostic system for vehicle, electronic control unit, and operating method thereof
WO2019193786A1 (ja) * 2018-04-06 2019-10-10 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ ログ出力方法、ログ出力装置及びプログラム

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2023048185A1 (ja) * 2021-09-24 2023-03-30 エヌ・ティ・ティ・コミュニケーションズ株式会社 車両セキュリティ分析装置、方法およびそのプログラム
WO2023170995A1 (ja) * 2022-03-10 2023-09-14 日立Astemo株式会社 車両診断システム
WO2024071049A1 (ja) * 2022-09-30 2024-04-04 株式会社デンソー 攻撃分析装置、攻撃分析方法、及び攻撃分析プログラム

Also Published As

Publication number Publication date
US20220247772A1 (en) 2022-08-04
JP7255710B2 (ja) 2023-04-11
JPWO2021131193A1 (ja) 2021-07-01

Similar Documents

Publication Publication Date Title
Aliwa et al. Cyberattacks and countermeasures for in-vehicle networks
WO2021131193A1 (ja) 攻撃監視用センター装置、及び攻撃監視用端末装置
US11934520B2 (en) Detecting data anomalies on a data interface using machine learning
Palanca et al. A stealth, selective, link-layer denial-of-service attack against automotive networks
KR102642875B1 (ko) 차량 내 네트워크에 보안을 제공하는 시스템 및 방법
KR102524204B1 (ko) 차량용 네트워크의 침입 대응 장치 및 방법
CN111448787B (zh) 用于提供安全的车载网络的系统及方法
US11711387B2 (en) Security management device, security management method, and computer program executed by security management device
CN111066001A (zh) 日志输出方法、日志输出装置以及程序
Oyler et al. Security in automotive telematics: a survey of threats and risk mitigation strategies to counter the existing and emerging attack vectors
US11971982B2 (en) Log analysis device
US11528284B2 (en) Method for detecting an attack on a control device of a vehicle
Anwar et al. Security assessment of in-vehicle communication protocols
JP7392586B2 (ja) ログ送信制御装置
JP2022017873A (ja) 不正侵入防止装置、不正侵入防止方法、及び不正侵入防止用プログラム
CN109756483B (zh) 一种针对melsec协议的安全防护方法
Rosell et al. A frequency-based data mining approach to enhance in-vehicle network intrusion detection
Tanksale Controller area network security requirements
JP7392598B2 (ja) ログ管理装置及びセキュリティ攻撃検知・分析システム
Zihan et al. Research on intrusion detection technology based on embedded Ethernet
KR20210103972A (ko) 차량 내 네트워크에 대한 침입 탐지를 위한 시스템 및 방법
CN115398427A (zh) 用于处理数据异常的方法，特别是在机动车辆中
Mukherjee SAE J1939-specific cyber security for medium and heavy-duty vehicles
Okokpujie et al. Congestion Intrusion Detection-Based Method for Controller Area Network Bus: A Case for Kia Soul Vehicle
Linghu et al. Weighted local outlier factor for detecting anomaly on in-vehicle network

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 20905535

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2021566822

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 20905535

Country of ref document: EP

Kind code of ref document: A1