WO2021260984A1 - 情報処理装置、情報処理方法及びプログラム - Google Patents

情報処理装置、情報処理方法及びプログラム Download PDF

Info

Publication number
WO2021260984A1
WO2021260984A1 PCT/JP2021/002471 JP2021002471W WO2021260984A1 WO 2021260984 A1 WO2021260984 A1 WO 2021260984A1 JP 2021002471 W JP2021002471 W JP 2021002471W WO 2021260984 A1 WO2021260984 A1 WO 2021260984A1
Authority
WO
WIPO (PCT)
Prior art keywords
log
information processing
abnormality
pattern
event
Prior art date
Application number
PCT/JP2021/002471
Other languages
English (en)
French (fr)
Inventor
章人 竹内
健人 田村
薫 横田
Original Assignee
パナソニックＩｐマネジメント株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by パナソニックＩｐマネジメント株式会社 filed Critical パナソニックＩｐマネジメント株式会社
Publication of WO2021260984A1 publication Critical patent/WO2021260984A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/34—Recording or statistical evaluation of computer activity, e.g. of down time, of input/output operation ; Recording or statistical evaluation of user activity, e.g. usability assessment
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures

Definitions

  • This disclosure relates to information processing devices, information processing methods and programs.
  • Patent Document 1 proposes a detection device for correctly detecting an unauthorized message in an in-vehicle communication network.
  • the detection device described in Patent Document 1 calculates a message transmission interval for each CANID in advance, confirms the height in the stored histogram, and determines that the height is normal if the height is equal to or higher than the threshold value and invalid if the height is lower than the threshold value. ..
  • this disclosure provides an information processing device, an information processing method, and a program that can enhance security measures.
  • the information processing apparatus acquires a pattern storage unit that stores a pattern indicating an attack and a log related to an event that has occurred in the mobility network regarding the abnormality occurrence location and the abnormality content at the abnormality occurrence location. It is determined whether or not an attack has been made based on the log acquisition unit, the location of the event included in the log, the content of the event, and the pattern stored in the pattern storage unit. It is provided with a determination unit for processing.
  • a recording medium such as a system, a method, an integrated circuit, a computer program, or a computer-readable CD-ROM (Compact Disc-Read Only Memory). It may be realized by any combination of a system, a method, an integrated circuit, a computer program and a recording medium.
  • security measures can be enhanced.
  • FIG. 1 is a diagram showing an example of an information processing system including an information processing device according to an embodiment.
  • FIG. 2 is a diagram schematically showing an example of a functional block of the information processing apparatus according to the embodiment.
  • FIG. 3 is a diagram showing an example of a pattern showing an attack regarding an abnormality occurrence location and an abnormality content at the abnormality occurrence location.
  • FIG. 4 is a diagram showing an example of an abnormality log.
  • FIG. 5 is a flowchart showing an example of the flow of processing by the information processing apparatus according to the embodiment.
  • FIG. 6 is a diagram showing an image of unauthorized access from the outside by an attacker.
  • FIG. 7 is a diagram for explaining the correction of the log order.
  • the information processing apparatus acquires a pattern storage unit that stores a pattern indicating an attack and a log related to an event that has occurred in the mobility network regarding the abnormality occurrence location and the abnormality content at the abnormality occurrence location. It is determined whether or not an attack has been made based on the log acquisition unit, the location of the event included in the log, the content of the event, and the pattern stored in the pattern storage unit. It is provided with a determination unit for processing.
  • the information processing apparatus determines whether or not an event that has occurred in the mobility network has been attacked, including not only information about the location of the event but also the content of the event that has occurred. Can be done.
  • the information processing device makes a fraud determination using the detection result of an abnormality detector such as IDS (Intrusion Detection System)
  • the fraud determination is made in consideration of the content of the abnormality. It is possible to reduce the dependence on the device and appropriately determine whether or not the user has been attacked illegally.
  • the determination unit is attacked based on the result of comparing the occurrence location of the event and the content of the event included in the log with the pattern stored in the pattern storage unit. It may be determined whether or not it is present.
  • the determination unit indicates a degree of matching indicating the degree of matching. If exceeds a predetermined threshold value, it may be determined that the player is under attack.
  • the information processing apparatus has a predetermined matching degree indicating the degree of matching as a result of comparing the occurrence location and the content of the event included in the log with the pattern stored in the pattern storage unit. If the threshold is exceeded, it is determined that the user is under attack. As a result, it is possible to more appropriately determine whether or not the user has been subjected to an unauthorized attack.
  • the log acquisition unit may acquire the abnormality detection information transmitted from the abnormality detector connected to the network as the log.
  • the information processing device collects anomaly detection information from an anomaly detector connected to the mobility network as a log, and is connected to the mobility network in various ways. It is possible to determine whether or not an attack has been received after considering the anomaly detection information. As a result, it is possible to improve the accuracy of determination as to whether or not an unauthorized attack has been received.
  • the information processing apparatus detects anomalies, such as information including, for example, an event occurrence location and event content, and false positive information indicating that the event is falsely detected as abnormal. It is possible to feed back information that can be used to update the detection rules of the device.
  • the information processing apparatus detects the abnormality as the log used for determination when it is determined that the abnormality detection information is being attacked by the determination unit among the abnormality detection information transmitted from the abnormality detector. Further, an output unit for transmitting information to an external device may be provided.
  • the information processing apparatus selectively selects the abnormality detection information as a log used for the determination when it is determined that the determination unit is attacking, among the abnormality detection information from the abnormality detector. Can be sent to an external device.
  • an SOC Security Operation Center
  • the determination unit indicates a degree of matching indicating the degree of matching. If does not exceed a predetermined threshold value, it may be determined that the abnormality detection information may have been generated by false detection in the abnormality detector.
  • the information processing apparatus has a predetermined matching degree indicating the degree of matching as a result of comparing the occurrence location and the content of the event included in the log with the pattern stored in the pattern storage unit. If the threshold value is not exceeded, it can be determined that there is a possibility of false detection. As a result, it is possible to distinguish between the log indicating that an attack has been received and the log that may be falsely detected, and preferentially prioritize only information related to events with a high probability of attack, such as the SOC server. It can be uploaded to an external device.
  • the determination unit indicates a degree of matching indicating the degree of matching. If does not exceed a predetermined threshold value, it may be determined that there is a possibility of an unknown attack or a failure.
  • the information processing apparatus has a predetermined matching degree indicating the degree of matching as a result of comparing the occurrence location and the content of the event included in the log with the pattern stored in the pattern storage unit. If the threshold is not exceeded, there is a possibility that an unknown attack of a pattern that is not stored in the pattern storage unit has been received or a failure has occurred. This makes it possible to separate and identify the log indicating that an attack has been received and the log indicating the possibility of an unknown attack or the possibility of failure, and prioritize and select only information related to events with a high probability of attack. It can be uploaded to an external device such as an SOC server.
  • the pattern storage unit stores the order of occurrence of a plurality of abnormal events as the pattern
  • the determination unit has a time-series order of a plurality of logs sequentially acquired by the log acquisition unit. , It is determined whether or not the user is under attack based on the pattern stored in the pattern storage unit.
  • the information processing apparatus compares the pattern in which the order of occurrence of a plurality of abnormal events is defined with the time-series order of a plurality of logs to determine whether or not the user is under attack. do.
  • the information processing apparatus can more appropriately determine whether or not it has been subjected to an unauthorized attack.
  • the network has a hierarchical structure including a plurality of layers
  • the information processing apparatus has a hierarchical distance from the own device in the network at a location where the event occurs, which is included in each of the plurality of logs.
  • a correction unit for correcting the order of the time series of the plurality of logs may be further provided.
  • the information processing apparatus is based on the hierarchical distance from the own apparatus in the network of the event occurrence location included in each log, that is, the information on the network configuration and the time when each log is acquired in the own apparatus. Then, the order of the time series is corrected to the order in which the event actually occurred. As a result, even if the order in which the events actually occur and the order in which the logs are acquired in the information processing apparatus are different, it is possible to appropriately determine whether or not an unauthorized attack has been received.
  • the information processing method is an information processing method in an information processing apparatus provided with a pattern storage unit that stores a pattern indicating an attack with respect to an abnormality occurrence location and an abnormality content at the abnormality occurrence location.
  • a log acquisition step for acquiring a log related to an event occurring in a network in mobility, a location where the event occurred and the content of the event included in the log, and the pattern stored in the pattern storage unit.
  • a determination step for determining whether or not an attack has been made based on the above.
  • the program according to one aspect of the present disclosure is a program for executing the above information processing method.
  • a recording medium such as a system, a method, an integrated circuit, a computer program or a computer-readable CD-ROM, and the system, a method, an integrated circuit, or a computer. It may be realized by any combination of a program or a recording medium.
  • FIG. 1 is a diagram showing an example of an information processing system including the information processing device 10 according to the embodiment.
  • FIG. 2 is a diagram schematically showing an example of a functional block of the information processing apparatus 10 according to the embodiment.
  • the information processing system 3 includes a vehicle 1 and an external device 2.
  • vehicle 1 is, for example, an automobile, which is an example of mobility.
  • the external device 2 is, for example, an SOC (Security Operation Center) server, but may be a server for purposes other than SOC, and is not particularly limited.
  • SOC Security Operation Center
  • the vehicle 1 includes an information processing device 10, an abnormality detector (IDS: Intrusion Detection System) 20a, 20b, 20c, and a communication device 30.
  • IDS Intrusion Detection System
  • the information processing device 10 is configured as, for example, an integrated ECU (Electronic Control Unit), but may be configured as a device other than the integrated ECU, and is not particularly limited.
  • an integrated ECU Electronic Control Unit
  • the anomaly detectors 20a, 20b, and 20c are examples, and the anomaly detector included in the vehicle 1 is not limited to three, and the vehicle 1 may be provided with other anomaly detectors. Further, the abnormality detectors 20a, 20b, and 20c are not always provided in the vehicle 1 as independent devices, but may be incorporated in an ECU or the like, or may be incorporated in an information processing device 10. .. The abnormality detectors 20a, 20b, and 20c can detect unauthorized communication, intrusion, and the like, and notify the information processing device 10 of the detection result.
  • the communication device 30 is, for example, a TCU (Telematics Control Unit).
  • the vehicle 1 can communicate data with the external device 2 via an external network such as the Internet via the communication device 30.
  • the information processing device 10 the abnormality detectors 20a, 20b, 20c, and the communication device 30 are connected by a network capable of communicating with each other.
  • This network is an example of a mobility network.
  • the information processing device 10 can make an integrated determination regarding unauthorized communication or the like based on the detection results from the abnormality detectors 20a, 20b, and 20c.
  • the information processing device 10 can transmit such a determination result to the external device 2 via the communication device 30.
  • the information processing device 10 can transmit the detection result acquired from the abnormality detectors 20a, 20b, 20c as a detection log to the external device 2 via the communication device 30. Further, the information processing device 10 uses various logs related to the vehicle acquired from various devices connected to the mobility network, including the IDS, an ECU and a sensor (not shown), as vehicle logs, and externally via the communication device 30. It can be transmitted to the device 2.
  • the vehicle 1 includes an information processing device 10 (for example, an integrated ECU) and an abnormality detector (for example, IDS) 20a, 20b, 20c.
  • the information processing apparatus 10 includes a detection information receiving unit 101, a log storage unit 102, a correction unit 103, a log extraction unit 104, a pattern storage unit 105, a determination unit 106, and an output unit 107.
  • the detection information receiving unit 101 acquires a log related to an event that has occurred in the network in the mobility. For example, when the abnormality detectors 20a, 20b, 20c detect an abnormality, the detection information receiving unit 101 sequentially acquires the detection information related to the abnormality from the abnormality detectors 20a, 20b, 20c as a log.
  • the detection information receiving unit 101 may receive, for example, vehicle information received from an ECU or a sensor (not shown) as detection information.
  • the detection information receiving unit 101 transmits the detection information to the log storage unit 102.
  • the log storage unit 102 stores the log received from the detection information receiving unit 101.
  • the log storage unit 102 sequentially stores, for example, a plurality of logs received from the detection information receiving unit 101 at a plurality of different timings.
  • the log storage unit 102 may be realized by, for example, a memory, a solid state drive, a hard disk, or the like.
  • the log storage unit 102 may store, for example, vehicle information received from an ECU or a sensor (not shown) as a log.
  • the correction unit 103 corrects the log stored in the log storage unit 102. For example, the correction unit 103 corrects the detected order of the logs stored in the log storage unit 102. The details of the correction contents in the correction unit 103 will be described later.
  • the log extraction unit 104 extracts the log to be determined by the determination unit 106 from the logs stored in the log storage unit 102.
  • the detection information receiving unit 101, the log storage unit 102, and the log extraction unit 104 may be integrally configured, for example, in the form of a log acquisition unit 108, and are not particularly limited.
  • the pattern storage unit 105 stores the pattern indicating the attack with respect to the abnormality occurrence location and the abnormality content at the abnormality occurrence location.
  • a pattern showing an attack will be described with reference to FIG.
  • FIG. 3 is a diagram showing an example of a pattern showing an attack regarding an abnormality occurrence location and an abnormality content at the abnormality occurrence location.
  • the attack pattern 1 an example of the attack pattern
  • Step 1 a port scan occurs in the ECU that controls the IVI (In-Vehicle Information) function, and then (Step 2), then the GW.
  • Step 2 a port scan occurs in the ECU that controls the IVI (In-Vehicle Information) function
  • Step 2 the GW.
  • a command injection occurs in the ECU that controls the ADAS (Advanced Driver Assistance System) function, it is a pattern of being attacked. It shows that.
  • ADAS Advanced Driver Assistance System
  • the pattern storage unit 105 may store a pattern in which the combination of the abnormality occurrence location and the abnormality content included in one log corresponds to a specific combination as a pattern indicating an attack. Further, the pattern storage unit 105 may store the occurrence order of a plurality of abnormal events included in the plurality of logs as a pattern indicating an attack.
  • the determination unit 106 determines whether or not an attack has occurred based on the location and content of the event that occurred in the network in the mobility included in the log and the pattern stored in the pattern storage unit 105. ..
  • the determination unit 106 determines whether or not an attack has been received based on the result of comparing the occurrence location and the content of the event included in the log with the pattern stored in the pattern storage unit 105. ..
  • the determination unit 106 compares the occurrence location and event content of the event included in the log with the pattern stored in the pattern storage unit 105, and the matching degree indicating the degree of matching exceeds a predetermined threshold value. , Determined to be under attack.
  • the determination unit 106 makes a determination based on the event occurrence location and the event content included in the log. This makes it possible to determine what kind of false detection the anomaly detector has made when the content of the event is incorrect, although the location of the event is correct. Therefore, the information processing apparatus 10 detects an abnormality detector in the external device 2 such as information including an event occurrence location and event content and false positive information indicating that the event is erroneously detected as abnormal. Information that can be used to update the rules can be fed back to the external device 2.
  • FIG. 4 is a diagram showing an example of a log related to an abnormality (abnormality log) among the logs.
  • the abnormality log includes the abnormality occurrence location and the abnormality content at the abnormality occurrence location.
  • the abnormality log may also include the detection time.
  • the detection time here is, for example, the time when the detection information receiving unit 101 receives the detection information.
  • the log storage unit 102 stores a log whose detection time is this time.
  • the log extraction unit 104 extracts a log related to an abnormality (abnormality log) from the logs stored in the log storage unit 102 as a log to be determined by the determination unit 106.
  • the log storage unit 102 may manage logs for each type of log. For example, the log storage unit 102 may store the log using a table for each type of log, or may add a flag indicating the type of log to the log and store the log to which the flag is added. , Not particularly limited.
  • the determination unit 106 searches for a pattern (attack pattern) indicating an attack stored in the pattern storage unit 105 from the abnormality log extracted by the log extraction unit 104.
  • the determination unit 106 may search the abnormality log including a pattern similar to the attack pattern.
  • the search for the attack pattern included in the abnormality log by the determination unit 106 may use a known algorithm such as pattern matching.
  • the determination unit 106 searches, for example, from the abnormality log shown in FIG. 4 for a pattern that is the same as or similar to the attack pattern 1 shown in FIG. In the example shown in FIG. 4, the log surrounded by the broken line (abnormal log matching the attack pattern) matches the attack pattern 1 shown in FIG.
  • the detection time is set to the earliest time in order from the upper line. That is, in the log shown in FIG. 4, the detection time of the first first line (abnormality occurrence location: IVI, abnormality content: port scan) is the earliest time, and the last sixth line (abnormality occurrence location::). The detection time of ADAS ECU, abnormality content: command injection) is the latest time.
  • the determination unit 106 is the search target. Then, the matching degree is calculated by a predetermined algorithm.
  • the determination unit 106 determines that an attack has been received when the combination of the abnormality occurrence location and the abnormality content included in one log matches a specific combination included in the pattern stored in the pattern storage unit 105. You may. Further, the determination unit 106 is said to have been attacked when the time-series order of the plurality of logs included in the abnormality log matches the specific order included in the pattern stored in the pattern storage unit 105. You may judge.
  • the sequence of the error occurrence location (order) is set.
  • the matching degree may be 70%, and the remaining 30% may be determined by the matching rate of the abnormality content corresponding to the abnormality occurrence location.
  • the determination unit 106 adds a matching degree of 70% based on a series of arrangements (orders) of abnormality occurrence locations and a matching degree of 20% based on the matching rate of the abnormality contents, thereby achieving a matching degree of 90%. May be decided.
  • the determination unit 106 is set to 95% as a predetermined threshold value, the matching degree is 90% (70% + 20%), so that the determination unit 106 is not necessarily attacked (attack).
  • attack There is a possibility that it has not been received, there is a possibility of an unknown attack, there is a possibility of failure, etc.).
  • the unknown attack is an attack different from the attack indicated by the pattern stored in the pattern storage unit 105.
  • the determination unit 106 determines, for example, that when the predetermined threshold value is set to 80%, the matching degree is 90% and the user is under attack (there is a high possibility of an attack).
  • this example of calculating the degree of matching is a kind of calculation method of the evaluation value of the attack possibility based on the comparison between the attack pattern and the pattern included in the log, and any comparison method or matching is performed according to the specifications.
  • the algorithm may be selected and is not particularly limited.
  • the evaluation values for the degree of matching and the possibility of other attacks are not limited to those evaluated by percentage, and the possibility of being attacked is graded such as "high”, “medium”, and "low”.
  • the evaluation may be good, and is not particularly limited.
  • the determination unit 106 determines the possibility of an attack according to which pattern the log stored in the log storage unit 102 corresponds to in the pattern storage unit 105.
  • the output unit 107 outputs a determination result or the like regarding the possibility of an attack by the determination unit 106.
  • Information such as the determination result output from the output unit 107 is transmitted to the external device (SOC server) 2 via a network such as the Internet via a communication device such as a TCU.
  • FIG. 5 is a flowchart showing an example of the processing flow by the information processing apparatus 10. The processing in the information processing apparatus 10 will be described with reference to FIG.
  • the detection information receiving unit 101 receives the detection information related to the abnormality from the abnormality detectors 20a, 20b, 20c, etc. as a log (step S501).
  • the log storage unit 102 stores the log received by the detection information receiving unit 101 (step S502).
  • the correction unit 103 determines at a predetermined timing whether or not the order of the time series of the logs stored in the log storage unit 102 is correct (step S503).
  • the predetermined timing may be a periodic timing, or may be, for example, a timing requested by the determination unit 106.
  • step S503 If the order of the log time series is incorrect (NO in step S503), the correction unit 103 corrects the order of the logs stored in the log storage unit 102 (step S504).
  • the correction of the time series order of the logs will be described with reference to FIGS. 6 and 7.
  • FIG. 6 is a diagram showing an image of unauthorized access from the outside by an attacker.
  • the attacker first breaks into the network inside the vehicle from the outside, for example, through the first layer TCU. After that, it invades the ADAS ECU of the third layer via the integrated ECU of the second layer connected to the TCU, and attacks by instructing illegal control to the vehicle via the ADAS ECU.
  • the network inside the vehicle has a hierarchical structure such as the first layer (TCU), the second layer (integrated ECU), and the third layer (ADAS ECU).
  • the hierarchical structure shown in FIG. 6 is an example and is not limited to the three-layer structure.
  • a plurality of devices may be connected to each layer, and there is no particular limitation.
  • the integrated ECU is the Nth layer
  • the TCU layer that is one layer closer to the outside is defined as the N-1th layer
  • the ADAS ECU layer that is one layer advanced inside is defined as the N + 1th layer. can do.
  • integrated monitoring is performed. That is, logs related to the detected abnormality are transmitted from each node connected to the network inside the vehicle to the integrated ECU, and the integrated ECU aggregates those logs, integrates them, and considers them comprehensively. It will be determined whether or not the abnormal event is caused by the attack.
  • the mobility network inside the vehicle has a hierarchical structure, and there is a hierarchical distance on the network between the integrated ECU and each node. Therefore, the order of timing when the integrated ECU receives information about the abnormality from each node and detects the abnormality, and IDS such as the abnormality detectors 20a, 20b, and 20c incorporated in each node actually detect the abnormality. It may not match the timing order.
  • the time series order of the logs is when an abnormality is actually detected in each IDS. It may not match the order of the series.
  • FIG. 7 is a diagram for explaining the correction of the log order.
  • the log A shown in FIG. 7 is a log showing that the abnormality of "abnormality occurrence location: integrated ECU, abnormality content: command injection" is detected at the timing of the detection time t in the integrated ECU.
  • the abnormality of "abnormality occurrence location: TCU, abnormality content: port scan" is detected at the timing of the detection time t + 1 within a certain time. It is a log when it is.
  • the log C shown in FIG. 7 is a log when no other abnormality is detected in the integrated ECU at the timing of the detection time t + 1 within a certain time after the detection of the log A.
  • the log of the port scan in the TCU is t + 1 as the detection time in the integrated ECU, but as described above, the TCU exists in the first layer and within a predetermined time (for example, from the TCU to the integrated ECU). If it occurs within the range expected as the communication time of the above, it is considered that it actually occurs before the command injection in the integrated ECU of the second layer, which is the log of the detection time t. ..
  • the correction unit 103 contains a log of "abnormality occurrence location: integrated ECU, error content: command injection” at the detection time t, and "abnormality occurrence location: TCU” at the detection time t + 1 within a predetermined time from the log.
  • Abnormal content Change the order with the log of "Port scan”.
  • the correction unit 103 may change the time-series order of the logs by adding a sequence number or the like indicating the time-series order.
  • the log C indicates that no other log exists at the timing of time t + 1 within a certain time after the detection of the log A in the integrated ECU.
  • the log C is a log in which "abnormality occurrence location: integrated ECU, abnormality content: command injection" occurs in a single shot, or a log that may match the attack pattern in combination with a log at another timing.
  • the log is erroneously detected by the integrated ECU.
  • the log extraction unit 104 extracts the log to be determined from the log storage unit 102 (step S505). For example, when the detection information receiving unit 101 receives the detection information at a certain timing, the log within a predetermined time range is extracted from the logs stored in the log storage unit 102 based on the timing.
  • the determination unit 106 calculates the degree of matching of the log extracted by the log extraction unit 104 with the pattern stored in the pattern storage unit 105 (step S506). Then, the determination unit 106 determines whether or not the matching degree exceeds a predetermined threshold value (step S507).
  • the determination unit 106 determines that an attack corresponding to the pattern used for calculating and determining the matching degree has occurred (step S508).
  • the determination unit 106 determines that there is a possibility of false detection, unknown attack, failure, etc. in the IDS (step S509).
  • the output unit 107 outputs the determination result in the determination unit 106 (step S510). For example, the output unit 107 transmits the determination result and the information related to the determination result (detection information regarding the abnormality used as the log targeted for the determination, etc.) to the external device 2 via the external network via the TCU. Send. At this time, the output unit 107 selects an external determination result when it is determined that an attack has occurred and information related to the determination result (detection information regarding an abnormality used as a log targeted for determination, etc.). It may be configured to transmit to the device 2.
  • the vehicle 1 temporarily stores the determination result in the case where it is determined that there is a possibility of false detection in IDS, unknown attack, failure, etc. in the storage unit in the vehicle 1 and stores it in the storage unit.
  • the determined determination result may be transmitted to the external device 2 at another timing.
  • the external device 2 can update the detection rule in the abnormality detector based on the content of the false detection, for example, when the content of the event is incorrect.
  • the electronic control system according to the present disclosure is not limited to vehicles such as automobiles, and may be applied to any mobility such as construction machinery, agricultural machinery, ships, railways, and airplanes.
  • each component may be configured by dedicated hardware or may be realized by executing a software program suitable for each component.
  • Each component may be realized by a program execution unit such as a CPU or a processor reading and executing a software program recorded on a recording medium such as a hard disk or a semiconductor memory.
  • a part or all of the functions of the information processing apparatus according to the above embodiment may be realized by executing a program by a processor such as a CPU.
  • a part or all of the components constituting each of the above devices may be composed of an IC card or a single module that can be attached to and detached from each device.
  • the IC card or the module is a computer system composed of a microprocessor, ROM, RAM and the like.
  • the IC card or the module may include the above-mentioned super multifunctional LSI.
  • the microprocessor operates according to a computer program, the IC card or the module achieves its function. This IC card or this module may have tamper resistance.
  • the present disclosure may be the method shown above. Further, it may be a computer program that realizes these methods by a computer, or it may be a digital signal composed of the computer program.
  • the present disclosure also discloses a recording medium capable of computer-readable reading of the computer program or the digital signal, such as a flexible disk, a hard disk, a CD-ROM, MO, DVD, a DVD-ROM, a DVD-RAM, or a BD (Blu-ray). It may be recorded in a trademark) Disc), a semiconductor memory, or the like. Further, it may be the digital signal recorded on these recording media.
  • the computer program or the digital signal may be transmitted via a telecommunication line, a wireless or wired communication line, a network typified by the Internet, data broadcasting, or the like.
  • the present disclosure is a computer system including a microprocessor and a memory, in which the memory stores the computer program, and the microprocessor may operate according to the computer program. Further, it is carried out by another independent computer system by recording and transferring the program or the digital signal on the recording medium, or by transferring the program or the digital signal via the network or the like. It may be.
  • the information processing device, information processing method and program according to the present disclosure can be applied to, for example, a security system for protecting a vehicle from an unauthorized attack.
  • Information processing device 20a Anomaly detector (IDS) 20b Anomaly detector (IDS) 20c Anomaly detector (IDS) 101 Detection information receiving unit 102 Log storage unit 103 Correction unit 104 Log extraction unit 105 Pattern storage unit 106 Judgment unit 107 Output unit 108 Log acquisition unit

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • Quality & Reliability (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Debugging And Monitoring (AREA)
  • Computer And Data Communications (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

情報処理装置（１０）は、異常発生箇所および当該異常発生箇所における異常内容に関して、攻撃を示すパターンを記憶するパターン記憶部（１０５）と、モビリティのネットワークにおいて発生した事象に関するログを取得するログ取得部（１０８）と、ログに含まれる事象の発生箇所および事象の内容と、パターン記憶部（１０５）が記憶するパターンとに基づいて、攻撃を受けているか否かを判定する判定部（１０６）とを備える。

Description

情報処理装置、情報処理方法及びプログラム
　本開示は、情報処理装置、情報処理方法及びプログラムに関する。
　特許文献１には、車載通信ネットワークにおける不正メッセージを正しく検知するための検知装置が提案されている。特許文献１に記載の検知装置は、あらかじめＣＡＮＩＤごとにメッセージの送信間隔を算出し、記憶しているヒストグラムにおける高さを確認し、その高さが閾値以上なら正常、閾値未満なら不正と判定する。
特開２０１８－４６４３２号公報
　しかしながら、特許文献１に記載の検知装置のように、送信周期の変化に基づいて不正を検知する構成では、不正な攻撃なのか、あるいはバグや故障、外乱といったその他の異常なのかを特定することが困難であり、バグや故障を攻撃として誤検知する可能性があり、必ずしもセキュリティ対策が十分ではないという課題が生じる。
　そこで、本開示は、セキュリティ対策を高めることができる情報処理装置、情報処理方法及びプログラムを提供する。
　本開示の一態様に係る情報処理装置は、異常発生箇所および当該異常発生箇所における異常内容に関して、攻撃を示すパターンを記憶しているパターン記憶部と、モビリティのネットワークにおいて発生した事象に関するログを取得するログ取得部と、前記ログに含まれる前記事象の発生箇所および前記事象の内容と、前記パターン記憶部に記憶されている前記パターンとに基づいて、攻撃を受けているか否かを判定する判定部と、を備える。
　なお、これらの包括的又は具体的な態様は、システム、方法、集積回路、コンピュータプログラム又はコンピュータで読み取り可能なＣＤ－ＲＯＭ（Ｃｏｍｐａｃｔ　Ｄｉｓｃ－Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）等の記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラム及び記録媒体の任意な組み合わせで実現されてもよい。
　本開示の一態様に係る情報処理装置等によれば、セキュリティ対策を高めることができる。
図１は、実施の形態に係る情報処理装置を含む情報処理システムの一例を示す図である。 図２は、実施の形態に係る情報処理装置の機能ブロックの一例を模式的に示す図である。 図３は、異常発生箇所および異常発生箇所における異常内容に関して、攻撃を示すパターンの一例を示す図である。 図４は、異常ログの一例を示す図である。 図５は、実施の形態に係る情報処理装置による処理の流れの一例を示すフローチャートである。 図６は、攻撃者による外部からの不正アクセスのイメージを示す図である。 図７は、ログの順序の補正について説明するための図である。
　本開示の一態様に係る情報処理装置は、異常発生箇所および当該異常発生箇所における異常内容に関して、攻撃を示すパターンを記憶しているパターン記憶部と、モビリティのネットワークにおいて発生した事象に関するログを取得するログ取得部と、前記ログに含まれる前記事象の発生箇所および前記事象の内容と、前記パターン記憶部に記憶されている前記パターンとに基づいて、攻撃を受けているか否かを判定する判定部と、を備える。
　上記態様によれば、情報処理装置は、モビリティのネットワークにおいて発生した事象に関して、事象の発生箇所に関する情報だけでなく、発生した事象の内容も含めて、攻撃を受けているか否かを判定することができる。これにより、情報処理装置は、ＩＤＳ（Intrusion Detection System）などの異常検知器による検知結果を用いて不正判定を行う場合、異常の内容も考慮して不正判定を行うため、異常検知器による検知結果への依存を低減することができ、不正な攻撃を受けているか否かについて、適切に判定することができる。
　例えば、前記判定部は、前記ログに含まれる前記事象の発生箇所および前記事象の内容と、前記パターン記憶部に記憶されている前記パターンとを比較した結果に基づいて、攻撃を受けているか否かを判定してもよい。
　上記態様によれば、情報処理装置は、ログに含まれる事象の発生箇所および事象の内容と、パターン記憶部に記憶されているパターンとを比較した結果に基づいて、攻撃を受けているか否かを判定する。これにより、不正な攻撃を受けているか否かについて、より適切に判定することができる。
　例えば、前記判定部は、前記ログに含まれる前記事象の発生箇所および前記事象の内容と、前記パターン記憶部に記憶されている前記パターンとを比較した結果、一致の程度を示すマッチング度合いが所定の閾値を超えた場合、攻撃を受けていると判定してもよい。
　上記態様によれば、情報処理装置は、ログに含まれる事象の発生箇所および事象の内容と、パターン記憶部に記憶されているパターンとを比較した結果、一致の程度を示すマッチング度合いが所定の閾値を超えた場合、攻撃を受けていると判定する。これにより、不正な攻撃を受けているか否かについて、さらに適切に判定することができる。
　例えば、前記ログ取得部は、前記ネットワークに接続された異常検知器から送信された異常検知情報を前記ログとして取得してもよい。
　上記態様によれば、情報処理装置は、統合監視の機能を有する装置として、モビリティのネットワークに接続された異常検知器からの異常検知情報をログとして収集し、モビリティのネットワークに接続された各種の異常検知情報を考慮した上で攻撃を受けているか否かを判定できる。これにより、不正な攻撃を受けているか否かについての判定の精度を向上させることができる。
　また、仮にログに含まれる事象の発生箇所のみに基づいて判定した場合、異常検知器により異常に関する事象が検知されたことは正しかったとしても、事象の内容について正しく検知できていないときは、検知した事象の内容が誤っていたことに気づくことができない。そこで、ログに含まれる事象の発生箇所および事象内容に基づく判定を行うことで、事象の発生箇所としては正しいものの、事象の内容が誤っていたときに、異常検知器がどのような誤検知をしたか判断することが可能となる。したがって、上記態様によれば、情報処理装置は、例えば、事象の発生箇所および事象内容と、その事象が異常であると誤検知したことを示す誤検知情報とを含む情報のような、異常検知器の検知ルールの更新に利用可能な情報をフィードバックすることが可能となる。
　例えば、前記情報処理装置は、前記異常検知器から送信された前記異常検知情報のうち、前記判定部によって攻撃を受けていると判定された際の判定に用いられた前記ログとしての前記異常検知情報を外部装置に送信する出力部をさらに備えてもよい。
　上記態様によれば、情報処理装置は、異常検知器からの異常検知情報のうち、判定部によって攻撃を受けていると判定された際の判定に用いられたログとしての異常検知情報を選択的に外部装置へ送信できる。これにより、ログのうち、攻撃による異常検知情報以外の誤検知等の可能性がある異常検知情報をＳＯＣ（Security Operation Center）サーバ等の外部装置へ送信しないでおくことができる。したがって、不要なログのサーバへのアップロードを防ぎ、通信データの容量を削減することができる。
　例えば、前記判定部は、前記ログに含まれる前記事象の発生箇所および前記事象の内容と、前記パターン記憶部に記憶されている前記パターンとを比較した結果、一致の程度を示すマッチング度合いが所定の閾値を超えない場合、前記異常検知情報が前記異常検知器における誤検知によって生成された可能性があると判定してもよい。
　上記態様によれば、情報処理装置は、ログに含まれる事象の発生箇所および事象の内容と、パターン記憶部に記憶されているパターンとを比較した結果、一致の程度を示すマッチング度合いが所定の閾値を超えない場合、誤検知の可能性があると判定できる。これにより、攻撃を受けたことを示すログと誤検知の可能性があるログとを切り分けて識別することができ、攻撃の確度が高い事象に関する情報のみを優先して選択的にＳＯＣサーバ等の外部装置へアップロードすることができる。
　例えば、前記判定部は、前記ログに含まれる前記事象の発生箇所および前記事象の内容と、前記パターン記憶部に記憶されている前記パターンとを比較した結果、一致の程度を示すマッチング度合いが所定の閾値を超えない場合、未知の攻撃を受けている可能性や故障の可能性があると判定してもよい。
　上記態様によれば、情報処理装置は、ログに含まれる事象の発生箇所および事象の内容と、パターン記憶部に記憶されているパターンとを比較した結果、一致の程度を示すマッチング度合いが所定の閾値を超えない場合、パターン記憶部に記憶されていないパターンの未知の攻撃を受けている可能性や故障の可能性がある。これにより、攻撃を受けたことを示すログと未知の攻撃の可能性や故障の可能性があるログとを切り分けて識別することができ、攻撃の確度が高い事象に関する情報のみを優先して選択的にＳＯＣサーバ等の外部装置へアップロードすることができる。
　例えば、前記パターン記憶部は、前記パターンとして、異常である複数の事象の発生順序を記憶しており、前記判定部は、前記ログ取得部により順次取得された複数のログの時系列の順序と、前記パターン記憶部に記憶されている前記パターンとに基づいて、攻撃を受けているか否かを判定する。
　上記態様によれば、情報処理装置は、異常である複数の事象の発生順序が定義されたパターンと、複数のログの時系列の順序とを比較して、攻撃を受けているか否かを判定する。これにより、情報処理装置は、不正な攻撃を受けているか否かについて、より適切に判定することができる。
　例えば、前記ネットワークは、複数の階層を含む階層構造を有し、前記情報処理装置は、前記複数のログのそれぞれに含まれる前記事象の発生箇所の前記ネットワークにおける自装置からの階層的な距離と、当該自装置において前記複数のログのそれぞれを取得した時間とに基づいて、前記複数のログの時系列の順序を補正する補正部を更に備えてもよい。
　上記態様によれば、情報処理装置は、各ログに含まれる事象の発生箇所のネットワークにおける自装置からの階層的な距離、すなわちネットワーク構成に関する情報と、自装置において各ログを取得した時間に基づいて、時系列の順序を実際に事象が発生した順序に補正する。これにより、実際に事象が発生した順序と、情報処理装置においてログを取得した順序とが異なる場合でも、不正な攻撃を受けているか否かについて、適切に判定することができる。
　本開示の一態様に係る情報処理方法は、異常発生箇所および当該異常発生箇所における異常内容に関して、攻撃を示すパターンを記憶しているパターン記憶部を備えた情報処理装置における情報処理方法であって、モビリティ内のネットワークにおいて発生した事象に関するログを取得するログ取得ステップと、前記ログに含まれる前記事象の発生箇所および前記事象の内容と、前記パターン記憶部に記憶されている前記パターンとに基づいて、攻撃を受けているか否かを判定する判定ステップと、を含む。
　上記態様によれば、上記情報処理装置と同様の効果を奏する。
　本開示の一態様に係るプログラムは、上記の情報処理方法を実行させるためのプログラムである。
　上記態様によれば、上記情報処理装置と同様の効果を奏する。
　なお、これらの包括的又は具体的な態様は、システム、方法、集積回路、コンピュータプログラム又はコンピュータで読み取り可能なＣＤ－ＲＯＭ等の記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラム又は記録媒体の任意な組み合わせで実現されてもよい。
　以下、実施の形態について、図面を参照しながら具体的に説明する。
　なお、以下で説明する実施の形態は、いずれも包括的又は具体的な例を示すものである。以下の実施の形態で示される数値、形状、材料、構成要素、構成要素の配置位置及び接続形態、ステップ、ステップの順序等は、一例であり、本開示を限定する主旨ではない。また、以下の実施の形態における構成要素のうち、最上位概念を示す独立請求項に記載されていない構成要素については、任意の構成要素として説明される。
　（実施の形態）
　まず、図１及び図２を参照しながら、実施の形態に係る情報処理装置１０の構成について説明する。図１は、実施の形態に係る情報処理装置１０を含む情報処理システムの一例を示す図である。図２は、実施の形態に係る情報処理装置１０の機能ブロックの一例を模式的に示す図である。
　本実施の形態に係る情報処理システム３は、車両１と外部装置２とを含んで構成される。車両１は、例えば自動車であり、モビリティの一例である。外部装置２は、例えばＳＯＣ（Security Operation Center）サーバであるが、ＳＯＣ以外の用途のサーバであってもよく、特に限定されない。
　図１に示すように、車両１は、情報処理装置１０と異常検知器（ＩＤＳ：Intrusion Detection System）２０ａ、２０ｂ、２０ｃと、通信装置３０とを備える。
　情報処理装置１０は、例えば、統合ＥＣＵ（Electronic Control Unit）として構成されるが、統合ＥＣＵ以外の装置として構成されていてもよく、特に限定はされない。
　異常検知器２０ａ、２０ｂ、２０ｃは一例であり、車両１が備える異常検知器は３台に限定されるわけではなく、車両１はその他の異常検知器を備えていてもよい。また、異常検知器２０ａ、２０ｂ、２０ｃは、独立した装置として車両１に備えられているとは限らず、ＥＣＵ等に組み込まれていてもよいし、情報処理装置１０に組み込まれていてもよい。異常検知器２０ａ、２０ｂ、２０ｃは、不正な通信や侵入等を検知し、検知結果を情報処理装置１０に通知することができる。
　通信装置３０は、例えば、ＴＣＵ（Telematics Control Unit）である。車両１は、通信装置３０を介して、インターネット等の外部のネットワークを経由して、外部装置２とデータを通信することができる。
　車両１の内部において、情報処理装置１０と異常検知器２０ａ、２０ｂ、２０ｃと通信装置３０とは、相互に通信可能なネットワークで接続されている。このネットワークはモビリティのネットワークの一例である。
　情報処理装置１０は、異常検知器２０ａ、２０ｂ、２０ｃからの検知結果に基づいて、統合的に不正な通信等に関する判定を行うことができる。情報処理装置１０は、そのような判定結果を、通信装置３０を介して外部装置２に送信することができる。
　また、情報処理装置１０は、異常検知器２０ａ、２０ｂ、２０ｃから取得した検知結果を検知ログとして、通信装置３０を介して外部装置２に送信することができる。また、情報処理装置１０は、ＩＤＳのほか図示しないＥＣＵやセンサなどを含め、モビリティのネットワークに接続された各種の機器から取得した車両に関する各種のログを車両ログとして、通信装置３０を介して外部装置２に送信することができる。
　図２に示すように、車両１は、情報処理装置１０（例えば、統合ＥＣＵ）と異常検知器（例えば、ＩＤＳ）２０ａ、２０ｂ、２０ｃを備えている。情報処理装置１０は、検知情報受信部１０１とログ記憶部１０２と補正部１０３とログ抽出部１０４とパターン記憶部１０５と判定部１０６と出力部１０７とを備えている。
　検知情報受信部１０１は、モビリティ内のネットワークにおいて発生した事象に関するログを取得する。検知情報受信部１０１は、例えば、異常検知器２０ａ、２０ｂ、２０ｃが異常を検知した場合に、異常検知器２０ａ、２０ｂ、２０ｃから当該異常に関する検知情報をログとして順次取得する。なお、検知情報受信部１０１は、例えば、図示しないＥＣＵやセンサなどから受信した車両情報などを検知情報として受信してもよい。検知情報受信部１０１は、検知情報をログ記憶部１０２に送信する。
　ログ記憶部１０２は、検知情報受信部１０１から受信したログを記憶する。ログ記憶部１０２は、例えば、検知情報受信部１０１から異なる複数のタイミングで受信した複数のログを順次記憶する。ログ記憶部１０２は、例えば、メモリやソリッドステートドライブやハードディスクなどにより実現されてもよい。なお、ログ記憶部１０２は、例えば、図示しないＥＣＵやセンサなどから受信した車両情報などを含めてログとして記憶してもよい。
　補正部１０３は、ログ記憶部１０２に記憶されているログを補正する。例えば、補正部１０３は、ログ記憶部１０２に記憶されているログの検知された順序を補正する。補正部１０３における補正内容の詳細については後述する。
　ログ抽出部１０４は、ログ記憶部１０２に記憶されるログのうち、判定部１０６における判定の対象とするログを抽出する。なお、検知情報受信部１０１とログ記憶部１０２とログ抽出部１０４とは、例えば、ログ取得部１０８のような形で一体的に構成されていてもよく、特に限定はされない。
　パターン記憶部１０５は、異常発生箇所および異常発生箇所における異常内容に関して、攻撃を示すパターンを記憶する。ここで、図３を用いて、攻撃を示すパターンについて説明する。
　図３は、異常発生箇所および異常発生箇所における異常内容に関して、攻撃を示すパターンの一例を示す図である。図３に示す例では、攻撃パターン１（攻撃パターンの一例）は、最初に（Ｓｔｅｐ１）、ＩＶＩ（Ｉｎ－Ｖｅｈｉｃｌｅ　Ｉｎｆｏｔａｉｎｍｅｎｔ）機能を制御するＥＣＵにおいてポートスキャンが発生し、次に（Ｓｔｅｐ２）、ＧＷ（ＧａｔｅＷａｙ）機能を制御するＥＣＵにおいて不正リプログラミングが発生し、最後に（Ｓｔｅｐ３）、ＡＤＡＳ（Ａｄｖａｎｃｅｄ　Ｄｒｉｖｅｒ　Ａｓｓｉｓｔａｎｃｅ　Ｓｙｓｔｅｍ）機能を制御するＥＣＵにおいてコマンド注入が発生した場合、攻撃を受けているパターンであることを示すものである。
　このように、パターン記憶部１０５は、１つのログに含まれる異常発生箇所および異常内容の組み合わせが特定の組み合わせに該当するパターンを、攻撃を示すパターンとして記憶していてもよい。また、パターン記憶部１０５は、複数のログに含まれる異常である複数の事象の発生順序を、攻撃を示すパターンとして記憶していてもよい。
　判定部１０６は、ログに含まれるモビリティ内のネットワークにおいて発生した事象の発生箇所およびその内容と、パターン記憶部１０５に記憶されているパターンとに基づいて、攻撃を受けているか否かを判定する。
　例えば、判定部１０６は、ログに含まれる事象の発生箇所および事象の内容と、パターン記憶部１０５に記憶されているパターンとを比較した結果に基づいて、攻撃を受けているか否かを判定する。
　例えば、判定部１０６は、ログに含まれる事象の発生箇所および事象内容とパターン記憶部１０５に記憶されているパターンとを比較した結果、一致の程度を示すマッチング度合いが所定の閾値を超えた場合、攻撃を受けていると判定する。
　仮にログに含まれる事象の発生箇所のみに基づいて判定した場合、異常検知器により異常に関する事象が検知されたことは正しかったとしても、事象の内容について正しく検知できていないときに、検知した事象の内容が誤っていたことに気づくことができない。そこで、判定部１０６は、ログに含まれる事象の発生箇所および事象内容に基づく判定を行う。これにより、事象の発生箇所としては正しいものの、事象の内容が誤っていたときに、異常検知器がどのような誤検知をしたか判断することが可能となる。したがって、情報処理装置１０は、事象の発生箇所および事象内容と、その事象が異常であると誤検知したことを示す誤検知情報とを含む情報のような、外部装置２における異常検知器の検知ルールの更新に利用可能な情報を外部装置２にフィードバックすることができる。
　判定部１０６における判定処理について、図４を用いて、より具体的に説明すれば以下のとおりである。図４は、ログのうち異常に関するログ（異常ログ）の一例を示す図である。図４に示すとおり、異常ログには、異常発生箇所とその異常発生箇所における異常内容が含まれる。また、異常ログには検知時刻も含まれてもよい。
　ここでの検知時刻は、例えば、検知情報受信部１０１が検知情報を受信した時刻である。ログ記憶部１０２は、この時刻を検知時刻とするログを記憶している。ログ抽出部１０４は、判定部１０６における判定の対象とするログとして、ログ記憶部１０２に記憶されているログの中から、異常に関するログ（異常ログ）を抽出する。なお、ログ記憶部１０２は、ログの種類ごとにログを管理してもよい。例えば、ログ記憶部１０２は、ログの種類ごとのテーブルを用いてログを記憶してもよいし、ログにログの種類を表すフラグを付与し、フラグが付与されたログを記憶してもよく、特に限定されない。
　判定部１０６は、ログ抽出部１０４が抽出した異常ログの中から、パターン記憶部１０５が記憶する攻撃を示すパターン（攻撃パターン）を検索する。判定部１０６は、異常ログの中から、攻撃パターンに類似するパターンを含めて検索してもよい。判定部１０６による異常ログ中に含まれる攻撃パターンの検索は既知のパターンマッチング等のアルゴリズムを用いてよい。
　判定部１０６は、例えば、図４に示す異常ログの中から、図３に示す攻撃パターン１と同一または類似のパターンを検索する。図４に示す例では、破線で囲まれたログ（攻撃パターンと一致した異常ログ）が図３に示す攻撃パターン１と一致する。
　なお、図４において、検知時刻は、上の行から順に早い時刻のものとする。すなわち、図４に示すログにおいては、最初の１行目（異常発生箇所：ＩＶＩ、異常内容：ポートスキャン）の検知時刻が最も早い時刻のものであり、最後の６行目（異常発生箇所：ＡＤＡＳ　ＥＣＵ、異常内容：コマンド注入）の検知時刻が最も遅い時刻のものである。
　この場合、判定部１０６は、マッチング度合いが１００％であると判定する。例えば、マッチング度合いに関する所定の閾値として１００％という値が設定されていた場合、判定部１０６は、攻撃パターン１と完全一致するパターン（マッチング度合い＝１００％）が見つかった場合、そのパターンに関して、攻撃を受けていると判定する。
　なお、パターンマッチングについては、完全一致のみを検索するものである必要はない。例えば、異常発生箇所の一連の並び（順序）のみが一致し、異常内容が一致しない場合について、類似パターンとして検索してもよい。
　この場合、例えば、図４において、５行目が「異常発生箇所：ＧＷ、異常内容：アクセス権書き換え」となっていた場合でも、判定部１０６は、検索対象とする。そして、所定のアルゴリズムによってマッチング度合いを算出する。
　判定部１０６は、１つのログに含まれる異常発生箇所および異常内容の組み合わせが、パターン記憶部１０５に記憶されているパターンに含まれる特定の組み合わせに一致する場合に、攻撃を受けていると判定してもよい。また、判定部１０６は、異常ログに含まれる複数のログの時系列の順序が、パターン記憶部１０５に記憶されているパターンに含まれる特定の順序に一致する場合に、攻撃を受けていると判定してもよい。
　例えば、異常ログに含まれる複数のログにおいて、異常発生箇所の一連の並び（順序）が一致していることを重視するような重み付けの設定と場合には、異常発生箇所の一連の並び（順序）が一致していた場合に７０％のマッチング度合いとし、残りの３０％分については、異常発生箇所に対応する異常内容の一致率で定めてもよい。
　上述の例（５行目が「異常発生箇所：ＧＷ、異常内容：アクセス権書き換え」となっていた場合）では、異常内容が３つのうち１つだけ不一致のため、残りの３０％分について、異常内容の一致率に基づいて２０％のマッチング度合いとして算出してもよい。これにより、判定部１０６は、異常発生箇所の一連の並び（順序）に基づく７０％のマッチング度合いと、異常内容の一致率に基づく２０％のマッチング度合いを加算することで、９０％のマッチング度合いに決定してもよい。この場合、判定部１０６は、例えば、所定の閾値として９５％と設定されていた場合には、マッチング度合いが９０％（７０％＋２０％）のため攻撃を受けているとは限らない（攻撃を受けていない可能性や未知の攻撃の可能性や故障の可能性などがある）と判定する。なお、未知の攻撃とは、パターン記憶部１０５に記憶されているパターンで示される攻撃とは異なる攻撃である。
　一方、判定部１０６は、例えば、所定の閾値が８０％と設定されていた場合には、マッチング度合いが９０％のため攻撃を受けている（攻撃の可能性が高い）と判定する。
　なお、このマッチング度合いの算出の例は、攻撃パターンとログに含まれるパターンとの比較に基づく攻撃可能性についての評価値の算出手法の一種であって、仕様に応じて任意の比較手法やマッチングアルゴリズムが選択されてよく、特に限定はされない。また、マッチング度合いやその他攻撃の可能性についての評価値は、パーセントで評価するものに限定されず、攻撃を受けている可能性として「高」、「中」、「低」のような段階的な評価であってもよく、特に限定されない。
　さらには、予め、攻撃パターンだけでなく、類似パターンやその他のパターンも含めて網羅的にパターン記憶部１０５に記憶しておき、さらに各パターンに対応付けて攻撃の可能性の程度が設定されていてもよく、特に限定されない。この場合、判定部１０６は、ログ記憶部１０２に記憶されたログがパターン記憶部１０５に記憶されるいずれのパターンに該当するかに応じて、攻撃の可能性について判定する。
　出力部１０７は、判定部１０６による攻撃の可能性に関する判定結果等を出力する。出力部１０７から出力された判定結果等の情報は、例えば、ＴＣＵ等の通信装置を介して、インターネット等のネットワークを経由し、外部装置（ＳＯＣサーバ）２へ送信される。
　図５は、情報処理装置１０による処理の流れの一例を示すフローチャートである。図５を用いて情報処理装置１０における処理について説明する。
　情報処理装置１０において、検知情報受信部１０１は、異常検知器２０ａ、２０ｂ、２０ｃ等から、異常に関する検知情報をログとして受信する（ステップＳ５０１）。ログ記憶部１０２は、検知情報受信部１０１が受信したログを記憶する（ステップＳ５０２）。
　続いて、例えば、補正部１０３が、所定のタイミングで、ログ記憶部１０２に記憶されるログの時系列の順序が正しいか否かを判定する（ステップＳ５０３）。所定のタイミングは、定期的なタイミングであってもよいし、あるいは、例えば、判定部１０６から要求を受けたタイミングであってもよい。
　ログの時系列の順序が正しくない場合（ステップＳ５０３においてＮＯ）、補正部１０３は、ログ記憶部１０２に記憶されているログの順序を補正する（ステップＳ５０４）。ここで、ログの時系列の順序の補正について、図６および図７を用いて説明する。
　図６は、攻撃者による外部からの不正アクセスのイメージを示す図である。攻撃者は、最初に、例えば、１層目のＴＣＵを介して外部から車両内部のネットワークに侵入する。その後、ＴＣＵに接続された２層目の統合ＥＣＵを経由して、３層目のＡＤＡＳ　ＥＣＵに侵入し、ＡＤＡＳ　ＥＣＵを介して車両に対する不正な制御を指示するなどして攻撃を行う。
　車両内部のネットワークは、例えば図６に示すように、１層目（ＴＣＵ）、２層目（統合ＥＣＵ）、３層目（ＡＤＡＳ　ＥＣＵ）のような階層構造を有する。なお、図６に示す階層構造は一例であって、３層構造に限定されるものではない。
　また、各階層には、複数の機器が接続されていてもよく、特に限定されない。この階層構造は、例えば、統合ＥＣＵをＮ層目とすると、それよりも外部に１層近いＴＣＵの層はＮ－１層目、内部に１層進んだＡＤＡＳ　ＥＣＵの層はＮ＋１層目と定義することができる。
　例えば、外部から攻撃者が車両内部のネットワークに侵入する場合、１番最初に１層目に侵入し、次に２層目に侵入し、最後に３層目に侵入することになる。すなわち、外部からの攻撃が発生した場合、外部のネットワークに近い順番、すなわち１層目のノード、２層目のノード、３層目のノードの順番で異常な事象が発生することになる。
　ところで、情報処理装置１０のような統合ＥＣＵにおいては統合監視が行われる。すなわち、車両内部のネットワークに接続された各ノードから統合ＥＣＵへ検知された異常に関するログが送信され、統合ＥＣＵではそれらのログを集約し、それらを統合して総合考慮した結果、発生している異常な事象が攻撃に起因するものであるか否かが判定されることになる。
　そして、上述のとおり、車両内部のモビリティのネットワークは階層構造になっており、統合ＥＣＵと各ノードとの間にはネットワーク上の階層的な距離が存在する。このため、統合ＥＣＵが各ノードから異常に関する情報を受信して異常を検知するタイミングの順序と、各ノードに組み込まれた異常検知器２０ａ、２０ｂ、２０ｃのようなＩＤＳが実際に異常を検知したタイミングの順序とは一致しない場合がある。
　したがって、統合ＥＣＵにおいて各ＩＤＳから検知情報を受信したタイミングを統合ＥＣＵでの検知時刻としてログ記憶部１０２に記憶する場合、ログの時系列の順序は、実際に各ＩＤＳにおいて異常が検知された時系列の順序とは一致しない場合がある。
　図７は、ログの順序の補正について説明するための図である。図７に示すログＡは、統合ＥＣＵにおいて検知時刻ｔのタイミングで「異常発生箇所：統合ＥＣＵ、異常内容：コマンド注入」の異常が検知されたことを示すログである。
　図７に示すログＢは、統合ＥＣＵにおいて、ログＡの異常の検知後、一定の時間内である検知時刻ｔ＋１のタイミングで「異常発生箇所：ＴＣＵ、異常内容：ポートスキャン」の異常が検知された場合のログである。図７に示すログＣは、統合ＥＣＵにおいて、ログＡの検知後、一定の時間内である検知時刻ｔ＋１のタイミングで、他の異常が検知されなかった場合のログである。
　ログＢにおいて、ＴＣＵにおけるポートスキャンのログは、統合ＥＣＵにおける検知時刻としてはｔ＋１だが、上述のとおり、ＴＣＵは１層目に存在しており、かつ、所定の時間内（例えばＴＣＵから統合ＥＣＵへの通信時間として想定される程度の範囲内）に発生している場合、実際には、検知時刻ｔのログである２層目の統合ＥＣＵにおけるコマンド注入よりも先に発生していると考えられる。
　そこで、このような場合、補正部１０３は、検知時刻ｔの「異常発生箇所：統合ＥＣＵ、異常内容：コマンド注入」のログと、そこから所定時間内の検知時刻ｔ＋１の「異常発生箇所：ＴＣＵ、異常内容：ポートスキャン」のログとの順序を入れ替える。このとき、補正部１０３は、時系列の順序を表すシーケンス番号等を付すことでログの時系列の順序を入れ替えてもよい。
　一方、ログＣは、統合ＥＣＵにおけるログＡの検知後、一定の時間内である時刻ｔ＋１のタイミングで他のログが存在していないことを示す。この場合、ログＣは、単発で「異常発生箇所：統合ＥＣＵ、異常内容：コマンド注入」が発生したログ、もしくは、他のタイミングのログとの組み合わせで攻撃パターンとマッチする可能性があるログ、あるいは、統合ＥＣＵにおいて誤って検知されたログである可能性が考えられる。
　ログの時系列の順序が正しい場合（ステップＳ５０３においてＹＥＳ）、ログ抽出部１０４は、ログ記憶部１０２から判定対象のログを抽出する（ステップＳ５０５）。例えば、あるタイミングで検知情報受信部１０１が検知情報を受信した場合、そのタイミングを基準にして、ログ記憶部１０２に記憶されているログの中から所定の時刻範囲内にあるログを抽出する。
　判定部１０６は、ログ抽出部１０４によって抽出されたログについて、パターン記憶部１０５に記憶されているパターンとのマッチング度合いを算出する（ステップＳ５０６）。そして、判定部１０６は、マッチング度合いが所定の閾値を超えるか否かを判定する（ステップＳ５０７）。
　マッチング度合いが所定の閾値を超える場合（ステップＳ５０７でＹＥＳ）、判定部１０６は、マッチング度合いを算出し判定する際に用いたパターンに対応する攻撃が発生したと判定する（ステップＳ５０８）。
　一方、マッチング度合いが所定の閾値を超えない場合（ステップＳ５０７でＮＯ）、判定部１０６は、ＩＤＳにおける誤検知や未知の攻撃や故障などの可能性があると判定する（ステップＳ５０９）。
　その後、出力部１０７は、判定部１０６における判定結果を出力する（ステップＳ５１０）。例えば、出力部１０７は、判定結果と判定結果に関連する情報（判定の対象としたログとして用いられた異常に関する検知情報等）を、ＴＣＵを介して外部のネットワークを経由して外部装置２に送信する。このとき、出力部１０７は、攻撃が発生したと判定された場合の判定結果と当該判定結果に関連する情報（判定の対象としたログとして用いられた異常に関する検知情報等）を選択して外部装置２に送信する構成であってもよい。
　このような構成とすることで、攻撃を受けたことを示すログと誤検知あるいは未知の攻撃の可能性や故障の可能性などがあるログとを切り分けて識別することができ、攻撃の確度が高い事象に関する情報のみを優先して選択的にＳＯＣサーバなどの外部装置２へアップロードすることできる。したがって、不要なログのサーバへのアップロードを防ぎ、通信データの容量を削減することができる。
　なお、車両１は、ＩＤＳにおける誤検知や未知の攻撃や故障などの可能性があると判定された場合の判定結果を、一旦、車両１内の記憶部に記憶しておき、記憶部に記憶しておいた判定結果を別のタイミングで外部装置２に送信してもよい。外部装置２は、例えば、事象の内容が誤っていた場合などに、誤検知の内容に基づいて、異常検知器における検知ルールの更新を行うことができる。
　以上、一つ又は複数の態様に係る情報処理装置及び情報処理方法について、上記実施の形態に基づいて説明したが、本開示は、上記実施の形態に限定されるものではない。本開示の趣旨を逸脱しない限り、当業者が思い付く各種変形を上記実施の形態に施したものや、異なる実施の形態における構成要素を組み合わせて構築される形態も、一つ又は複数の態様の範囲内に含まれてもよい。
　上記実施の形態では、本開示に係る情報処理装置の適用例として、自動車等の車両に搭載される車載ネットワークにおけるセキュリティ対策への適用について説明したが、本開示に係る電子制御システムの適用範囲はこれに限定されない。本開示に係る電子制御システムは、自動車等の車両に限定されず、例えば、建機、農機、船舶、鉄道又は飛行機等の任意のモビリティに適用してもよい。
　なお、上記実施の形態において、各構成要素は、専用のハードウェアで構成されるか、各構成要素に適したソフトウェアプログラムを実行することによって実現されてもよい。各構成要素は、ＣＰＵ又はプロセッサ等のプログラム実行部が、ハードディスク又は半導体メモリなどの記録媒体に記録されたソフトウェアプログラムを読み出して実行することによって実現されてもよい。
　また、上記実施の形態に係る情報処理装置の機能の一部又は全てを、ＣＰＵ等のプロセッサがプログラムを実行することにより実現してもよい。
　上記の各装置を構成する構成要素の一部又は全部は、各装置に脱着可能なＩＣカード又は単体のモジュールから構成されているとしても良い。前記ＩＣカード又は前記モジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭ等から構成されるコンピュータシステムである。前記ＩＣカード又は前記モジュールは、上記の超多機能ＬＳＩを含むとしても良い。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、前記ＩＣカード又は前記モジュールは、その機能を達成する。このＩＣカード又はこのモジュールは、耐タンパ性を有するとしても良い。
　本開示は、上記に示す方法であるとしても良い。また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしても良いし、前記コンピュータプログラムからなるデジタル信号であるとしても良い。また、本開示は、前記コンピュータプログラム又は前記デジタル信号をコンピュータ読み取り可能な記録媒体、例えばフレキシブルディスク、ハードディスク、ＣＤ－ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ－ＲＯＭ、ＤＶＤ－ＲＡＭ、ＢＤ（Ｂｌｕ－ｒａｙ（登録商標）　Ｄｉｓｃ）、半導体メモリ等に記録したものとしても良い。また、これらの記録媒体に記録されている前記デジタル信号であるとしても良い。また、本開示は、前記コンピュータプログラム又は前記デジタル信号を、電気通信回線、無線又は有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしても良い。また、本開示は、マイクロプロセッサとメモリを備えたコンピュータシステムであって、前記メモリは、上記コンピュータプログラムを記憶しており、前記マイクロプロセッサは、前記コンピュータプログラムにしたがって動作するとしても良い。また、前記プログラムもしくは前記デジタル信号を前記記録媒体に記録して移送することにより、又は前記プログラムもしくは前記デジタル信号を前記ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしても良い。
　本開示に係る情報処理装置、情報処理方法及びプログラムは、例えば、不正な攻撃から車両を保護するためのセキュリティシステム等に適用可能である。
１　車両
２　外部装置
３　情報処理システム
１０　情報処理装置
２０ａ　異常検知器（ＩＤＳ）
２０ｂ　異常検知器（ＩＤＳ）
２０ｃ　異常検知器（ＩＤＳ）
１０１　検知情報受信部
１０２　ログ記憶部
１０３　補正部
１０４　ログ抽出部
１０５　パターン記憶部
１０６　判定部
１０７　出力部
１０８　ログ取得部

Claims (11)

  1. 　異常発生箇所および当該異常発生箇所における異常内容に関して、攻撃を示すパターンを記憶しているパターン記憶部と、
    　モビリティのネットワークにおいて発生した事象に関するログを取得するログ取得部と、
    　前記ログに含まれる前記事象の発生箇所および前記事象の内容と、前記パターン記憶部に記憶されている前記パターンとに基づいて、攻撃を受けているか否かを判定する判定部と、を備える、
    　情報処理装置。
  2. 　前記判定部は、前記ログに含まれる前記事象の発生箇所および前記事象の内容と、前記パターン記憶部に記憶されている前記パターンとを比較した結果に基づいて、攻撃を受けているか否かを判定する、
    　請求項１に記載の情報処理装置。
  3. 　前記判定部は、前記ログに含まれる前記事象の発生箇所および前記事象の内容と、前記パターン記憶部に記憶されている前記パターンとを比較した結果、一致の程度を示すマッチング度合いが所定の閾値を超えた場合、攻撃を受けていると判定する、
    　請求項２に記載の情報処理装置。
  4. 　前記ログ取得部は、前記ネットワークに接続された異常検知器から送信された異常検知情報を前記ログとして取得する、
    　請求項１から３のいずれか１項に記載の情報処理装置。
  5. 　前記異常検知器から送信された前記異常検知情報のうち、前記判定部によって攻撃を受けていると判定された際の判定に用いられた前記ログとしての前記異常検知情報を外部装置に送信する出力部をさらに備える、
    　請求項４に記載の情報処理装置。
  6. 　前記判定部は、前記ログに含まれる前記事象の発生箇所および前記事象の内容と、前記パターン記憶部に記憶されている前記パターンとを比較した結果、一致の程度を示すマッチング度合いが所定の閾値を超えない場合、前記異常検知情報が前記異常検知器における誤検知によって生成された可能性があると判定する、
    　請求項５に記載の情報処理装置。
  7. 　前記判定部は、前記ログに含まれる前記事象の発生箇所および前記事象の内容と、前記パターン記憶部に記憶されている前記パターンとを比較した結果、一致の程度を示すマッチング度合いが所定の閾値を超えない場合、未知の攻撃を受けている可能性または故障の可能性があると判定する、
    　請求項５に記載の情報処理装置。
  8. 　前記パターン記憶部は、前記パターンとして、異常である複数の事象の発生順序を記憶しており、
    　前記判定部は、前記ログ取得部により順次取得された複数のログの時系列の順序と、前記パターン記憶部に記憶されている前記パターンとに基づいて、攻撃を受けているか否かを判定する、
    　請求項１から７のいずれか１項に記載の情報処理装置。
  9. 　前記ネットワークは、複数の階層を含む階層構造を有し、
    　前記複数のログのそれぞれに含まれる前記事象の発生箇所の前記ネットワークにおける自装置からの階層的な距離と、当該自装置において前記複数のログのそれぞれを取得した時間とに基づいて、前記複数のログの時系列の順序を補正する補正部をさらに備える、
    　請求項８に記載の情報処理装置。
  10. 　異常発生箇所および当該異常発生箇所における異常内容に関して、攻撃を示すパターンを記憶しているパターン記憶部を備えた情報処理装置における情報処理方法であって、
    　モビリティ内のネットワークにおいて発生した事象に関するログを取得するログ取得ステップと、
    　前記ログに含まれる前記事象の発生箇所および前記事象の内容と、前記パターン記憶部に記憶されている前記パターンとに基づいて、攻撃を受けているか否かを判定する判定ステップと、を含む、
    　情報処理方法。
  11. 　請求項１０に記載の情報処理方法をコンピュータに実行させるためのプログラム。
PCT/JP2021/002471 2020-06-26 2021-01-25 情報処理装置、情報処理方法及びプログラム WO2021260984A1 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2020110073A JP2022007238A (ja) 2020-06-26 2020-06-26 情報処理装置、情報処理方法及びプログラム
JP2020-110073 2020-06-26

Publications (1)

Publication Number Publication Date
WO2021260984A1 true WO2021260984A1 (ja) 2021-12-30

Family

ID=79282264

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2021/002471 WO2021260984A1 (ja) 2020-06-26 2021-01-25 情報処理装置、情報処理方法及びプログラム

Country Status (2)

Country Link
JP (1) JP2022007238A (ja)
WO (1) WO2021260984A1 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115134124A (zh) * 2022-06-07 2022-09-30 中汽创智科技有限公司 一种车辆安全事件监测方法、装置、设备及存储介质
WO2023008036A1 (ja) * 2021-07-26 2023-02-02 株式会社オートネットワーク技術研究所 車載装置、異常検知方法および異常検知プログラム

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2015511047A (ja) * 2012-03-19 2015-04-13 クアルコム，インコーポレイテッド マルウェアを検出するコンピューティングデバイス
JP2019073102A (ja) * 2017-10-13 2019-05-16 日立オートモティブシステムズ株式会社 車両用制御装置
JP2019125344A (ja) * 2018-01-12 2019-07-25 パナソニックＩｐマネジメント株式会社 車両用システム及び制御方法

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2015511047A (ja) * 2012-03-19 2015-04-13 クアルコム，インコーポレイテッド マルウェアを検出するコンピューティングデバイス
JP2019073102A (ja) * 2017-10-13 2019-05-16 日立オートモティブシステムズ株式会社 車両用制御装置
JP2019125344A (ja) * 2018-01-12 2019-07-25 パナソニックＩｐマネジメント株式会社 車両用システム及び制御方法

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2023008036A1 (ja) * 2021-07-26 2023-02-02 株式会社オートネットワーク技術研究所 車載装置、異常検知方法および異常検知プログラム
CN115134124A (zh) * 2022-06-07 2022-09-30 中汽创智科技有限公司 一种车辆安全事件监测方法、装置、设备及存储介质

Also Published As

Publication number Publication date
JP2022007238A (ja) 2022-01-13

Similar Documents

Publication Publication Date Title
US10992688B2 (en) Unauthorized activity detection method, monitoring electronic control unit, and onboard network system
US10902109B2 (en) Misuse detection method, misuse detection electronic control unit, and misuse detection system
US11303661B2 (en) System and method for detection and prevention of attacks on in-vehicle networks
US10798114B2 (en) System and method for consistency based anomaly detection in an in-vehicle communication network
WO2021260984A1 (ja) 情報処理装置、情報処理方法及びプログラム
CN110582430B (zh) 车载认证系统、车辆通信装置、认证管理装置、车载认证方法以及计算机能读取的存储介质
JP2016134913A (ja) 不正フレーム対処方法、不正検知電子制御ユニット及び車載ネットワークシステム
US11829472B2 (en) Anomalous vehicle detection server and anomalous vehicle detection method
WO2020203352A1 (ja) 異常検知方法及び異常検知装置
WO2021111681A1 (ja) 情報処理装置、制御方法及びプログラム
JP2019174426A (ja) 異常検知装置、異常検知方法およびプログラム
KR101550991B1 (ko) 차량 운행 기록 조작 방지 장치
US20230283622A1 (en) Anomaly detection method, anomaly detection device, and recording medium
WO2019207764A1 (ja) 抽出装置、抽出方法および記録媒体、並びに、検知装置
US11861046B2 (en) System for an improved safety and security check
CN114834393A (zh) 车辆控制系统
WO2024071120A1 (ja) 情報処理装置、情報処理システム、情報処理プログラム、情報処理方法
JP7436629B2 (ja) 車載装置及びサーバ
JP7471532B2 (ja) 制御装置
WO2024070078A1 (ja) 情報処理装置、情報処理装置の制御方法及びプログラム
US20230282040A1 (en) Monitoring apparatus and monitoring method
JP7226248B2 (ja) 通信装置および異常判定装置
JP2019098759A (ja) 車両用電子装置
US20240080330A1 (en) Security monitoring apparatus, security monitoring method, and computer readable medium
JP6645225B2 (ja) データ保全装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 21828705

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 21828705

Country of ref document: EP

Kind code of ref document: A1