WO2022107378A1 - 攻撃解析装置、攻撃解析方法、および、プログラム - Google Patents

攻撃解析装置、攻撃解析方法、および、プログラム Download PDF

Info

Publication number
WO2022107378A1
WO2022107378A1 PCT/JP2021/025100 JP2021025100W WO2022107378A1 WO 2022107378 A1 WO2022107378 A1 WO 2022107378A1 JP 2021025100 W JP2021025100 W JP 2021025100W WO 2022107378 A1 WO2022107378 A1 WO 2022107378A1
Authority
WO
WIPO (PCT)
Prior art keywords
attack
vehicle
entry point
route
external communication
Prior art date
Application number
PCT/JP2021/025100
Other languages
English (en)
French (fr)
Inventor
元 田崎
崇光 佐々木
貴志 牛尾
Original Assignee
パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ filed Critical パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ
Priority to CN202180076369.9A priority Critical patent/CN116438496A/zh
Priority to EP21894255.5A priority patent/EP4250151A4/en
Priority to JP2022563569A priority patent/JPWO2022107378A1/ja
Publication of WO2022107378A1 publication Critical patent/WO2022107378A1/ja
Priority to US18/195,586 priority patent/US20230283617A1/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B23/00—Testing or monitoring of control systems or parts thereof
    • G05B23/02—Electric testing or monitoring
    • G05B23/0205—Electric testing or monitoring by means of a monitoring system capable of detecting and responding to faults
    • G05B23/0259—Electric testing or monitoring by means of a monitoring system capable of detecting and responding to faults characterized by the response to fault detection
    • G05B23/0275—Fault isolation and identification, e.g. classify fault; estimate cause or root of failure
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/20—Pc systems
    • G05B2219/26—Pc applications
    • G05B2219/2637—Vehicle, car, auto, wheelchair
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/146—Tracing the source of attacks

Definitions

  • the attack route of the attack including the entry point that is the entry point of the attack into the in-vehicle network and the attack target that is the attack target of the attack. ..
  • an object of the present disclosure is to provide an attack analysis device or the like that can estimate an attack route including an entry point and an attack target in an attack on an in-vehicle network.
  • the attack analysis device includes in-vehicle network information indicating the configuration of an in-vehicle network including a plurality of external communication interfaces and a plurality of control ECUs, and abnormality detection detected in one or more nodes in the in-vehicle network.
  • External communication that is an intrusion point of the attack into the vehicle-mounted network in an attack on the vehicle-mounted network based on the acquisition unit that acquires the abnormality detection information indicating the result, the vehicle-mounted network information, and the abnormality detection information.
  • It includes an attack route estimation unit that estimates the attack route of the attack including an entry point indicating the interface and an attack target indicating the control ECU that is the attack target of the attack, and an output unit that outputs the attack route.
  • the attack analysis method is an attack analysis method executed by a computer, and includes in-vehicle network information indicating the configuration of an in-vehicle network including a plurality of external communication interfaces and a plurality of control ECUs, and the in-vehicle network.
  • Abnormality detection information indicating an abnormality detection result detected by one or more nodes in the network is acquired, and based on the vehicle-mounted network information and the abnormality detection information, the vehicle-mounted device of the attack in an attack on the vehicle-mounted network.
  • the attack route of the attack including the entry point indicating the external communication interface which is the entry point to the network and the attack target indicating the control ECU which is the attack target of the attack is estimated, and the attack route is output.
  • the program according to one aspect of the present disclosure is a program for causing a computer to execute an attack analysis process, and the attack analysis process shows a configuration of an in-vehicle network including a plurality of external communication interfaces and a plurality of control ECUs.
  • An attack on the vehicle-mounted network is obtained based on the vehicle-mounted network information and the abnormality detection information indicating the abnormality detection result detected at one or more nodes in the vehicle-mounted network, and based on the vehicle-mounted network information and the abnormality detection information.
  • the attack route of the attack including the entry point indicating the external communication interface which is the entry point of the attack into the in-vehicle network and the attack target indicating the control ECU which is the attack target of the attack is estimated, and the attack route is estimated.
  • Output including processing.
  • an attack analysis device or the like that can estimate an attack route including an entry point of the attack and an attack target in an attack on an in-vehicle network.
  • FIG. 1 is a block diagram showing an example of the configuration of the attack monitoring system according to the embodiment.
  • FIG. 2 is a block diagram showing an example of the configuration of the vehicle-mounted network according to the embodiment.
  • FIG. 3 is a block diagram showing an example of the configuration of the integrated ECU according to the embodiment.
  • FIG. 4 is a schematic diagram showing an example of an abnormality detection list according to an embodiment.
  • FIG. 5 is a schematic diagram showing an example of an external communication event list according to the embodiment.
  • FIG. 6 is a schematic diagram showing an example of an external communication event history according to the embodiment.
  • FIG. 7 is a schematic diagram showing an example of a vehicle control event list according to the embodiment.
  • FIG. 8 is a schematic diagram showing an example of the vehicle control event history according to the embodiment.
  • FIG. 1 is a block diagram showing an example of the configuration of the attack monitoring system according to the embodiment.
  • FIG. 2 is a block diagram showing an example of the configuration of the vehicle-mounted network according to the embodiment.
  • FIG. 9 is a block diagram showing an example of the configuration of the attack analysis device according to the embodiment.
  • FIG. 10 is a schematic diagram showing an example of the configuration of the attack route estimation result table according to the embodiment.
  • FIG. 11 is a schematic diagram showing an example of the attack route history according to the embodiment.
  • FIG. 12 is a sequence diagram of the attack monitoring process according to the embodiment.
  • FIG. 13 is a flowchart of the attack analysis process according to the embodiment.
  • FIG. 14 is a flowchart of the entry point estimation process according to the embodiment.
  • FIG. 15 is a flowchart of the entry point estimation process according to the embodiment.
  • FIG. 16 is a flowchart of the attack target estimation process according to the embodiment.
  • FIG. 17 is a flowchart of the attack target estimation process according to the embodiment.
  • FIG. 18 is a schematic diagram showing an example of the configuration of the attack route estimation result table according to the embodiment.
  • FIG. 19 is a flowchart of the attack route estimation process according to the embodiment.
  • FIG. 20 is a flowchart of the attack route reliability calculation process according to the embodiment.
  • FIG. 21 is a schematic diagram showing an example of the configuration of the attack route estimation result table according to the embodiment.
  • FIG. 22 is a schematic diagram showing an example of the configuration of the attack route estimation result table according to the embodiment.
  • FIG. 23 is a flowchart of the first display control process according to the embodiment.
  • FIG. 24 is a schematic diagram showing an example of a screen displayed by the display device according to the embodiment.
  • FIG. 25 is a flowchart of the second display control process according to the embodiment.
  • FIG. 26 is a schematic diagram showing an example of a screen displayed by the display device according to the embodiment.
  • FIG. 27 is a block diagram showing an example of the configuration of the integrated ECU according to the modified example.
  • the abnormality detection result detected in each node of the in-vehicle network may include undetected abnormality, false detection of abnormality, etc., so that the abnormality detected in each node of the in-vehicle network may be included. In some cases, it may be difficult to estimate the attack route only from the anomaly detection information that indicates the detection result.
  • the inventors have obtained the finding that the attack route can be estimated with relatively high accuracy by using the configuration of the in-vehicle network and the abnormality detection information.
  • the attack analysis device includes in-vehicle network information indicating the configuration of an in-vehicle network including a plurality of external communication interfaces and a plurality of control ECUs, and abnormality detection detected in one or more nodes in the in-vehicle network.
  • External communication that is an intrusion point of the attack into the vehicle-mounted network in an attack on the vehicle-mounted network based on the acquisition unit that acquires the abnormality detection information indicating the result, the vehicle-mounted network information, and the abnormality detection information.
  • It includes an attack route estimation unit that estimates the attack route of the attack including an entry point indicating the interface and an attack target indicating the control ECU that is the attack target of the attack, and an output unit that outputs the attack route.
  • the attack route when there is an attack on the vehicle-mounted network, the attack route can be estimated relatively accurately by using the vehicle-mounted network configuration and the abnormality detection information indicated by the vehicle-mounted network information. .. As described above, according to the attack analysis device having the above configuration, it is possible to estimate the attack route including the entry point and the attack target in the attack on the in-vehicle network.
  • the acquisition unit further includes an external communication event history showing a history of communication events performed by the vehicle-mounted network with the outside, and a vehicle control event history showing a history of vehicle control events performed by a vehicle equipped with the vehicle-mounted network.
  • the attack analysis device further obtains the entry point estimation unit that estimates the entry point based on the vehicle-mounted network information, the abnormality detection information, and the external communication event history, and the vehicle-mounted network information.
  • an attack target estimation unit that estimates the attack target based on the abnormality detection information and the vehicle control event history, and the attack route estimation unit includes the entry point estimated by the entry point estimation unit.
  • the attack route may be estimated based on the attack target estimated by the attack target estimation unit.
  • the attack analysis device having the above configuration estimates the entry point more accurately based on the in-vehicle network information, the abnormality detection information, and the external communication event history, and is based on the in-vehicle network information, the abnormality detection information, and the vehicle control event history. , The attack target can be estimated more accurately. As a result, according to the attack analysis device, the attack route can be estimated more accurately.
  • the entry point estimation unit calculates an entry point risk indicating the reliability as the entry point for each of the plurality of external communication interfaces, and determines the entry point based on each of the calculated entry point risks.
  • the attack target estimation unit calculates an attack target risk indicating the reliability as the attack target for each of the plurality of control ECUs, and determines the attack target based on each of the calculated attack target risks. It may be estimated.
  • the reliability as an entry point calculated for each of the plurality of external communication interfaces can be reflected in the estimation of the entry point, and the reliability calculated for each of the plurality of control ECUs can be reflected in the estimation of the attack target. It is possible to reflect the reliability as an attack target.
  • the attack route is based on the entry point risk of the entry point calculated by the entry point estimation unit and the attack target risk of the attack target calculated by the attack target estimation unit.
  • the attack route reliability calculation unit for calculating the attack route reliability indicating the reliability as the attack route may be provided, and the output unit may further output the attack route reliability.
  • the output unit is a display control signal including the attack route, so as to display a configuration diagram showing the configuration of the vehicle-mounted network on the display device, and in the configuration diagram, the attack route.
  • a display control unit that outputs a display control signal that controls the display device so that the display device is displayed in a display method different from that of other parts.
  • the attack analysis method is an attack analysis method executed by a computer, and includes in-vehicle network information indicating the configuration of an in-vehicle network including a plurality of external communication interfaces and a plurality of control ECUs, and the in-vehicle network.
  • Abnormality detection information indicating an abnormality detection result detected by one or more nodes in the network is acquired, and based on the vehicle-mounted network information and the abnormality detection information, the vehicle-mounted device of the attack in an attack on the vehicle-mounted network.
  • the attack route of the attack including the entry point indicating the external communication interface which is the entry point to the network and the attack target indicating the control ECU which is the attack target of the attack is estimated, and the attack route is output.
  • the attack route when there is an attack on the in-vehicle network, the attack route can be estimated relatively accurately by using the in-vehicle network configuration and the abnormality detection information indicated by the in-vehicle network information. As described above, according to the attack analysis method, it is possible to estimate the attack route including the entry point and the attack target in the attack on the in-vehicle network.
  • the program according to one aspect of the present disclosure is a program for causing a computer to execute an attack analysis process, and the attack analysis process shows a configuration of an in-vehicle network including a plurality of external communication interfaces and a plurality of control ECUs.
  • An attack on the vehicle-mounted network is obtained based on the vehicle-mounted network information and the abnormality detection information indicating the abnormality detection result detected at one or more nodes in the vehicle-mounted network, and based on the vehicle-mounted network information and the abnormality detection information.
  • the attack route of the attack including the entry point indicating the external communication interface which is the entry point of the attack into the in-vehicle network and the attack target indicating the control ECU which is the attack target of the attack is estimated, and the attack route is estimated.
  • Output including processing.
  • the attack route when there is an attack on the in-vehicle network, the attack route can be estimated relatively accurately by using the in-vehicle network configuration and the abnormality detection information indicated by the in-vehicle network information. As described above, according to the above program, it is possible to estimate the attack route including the entry point and the attack target in the attack on the in-vehicle network.
  • This attack analysis device is a device that estimates an attack route in an attack on an in-vehicle network mounted on a vehicle.
  • FIG. 1 is a block diagram showing an example of a configuration of an attack monitoring system 1 that monitors an attack on an in-vehicle network 20 mounted on a vehicle 30 by using the attack analysis device 10 according to the embodiment.
  • the attack monitoring system 1 includes a monitoring server 40, a vehicle 30, an in-vehicle network 20, and an external network 50.
  • the monitoring server 40 is a so-called computer device, which is a processor (not shown), a memory (not shown), a communication interface (not shown), a storage device (not shown), and a display (not shown). It is equipped with.
  • the monitoring server 40 realizes the attack analysis device 10 and the display device 41 by the processor executing the program stored in the memory.
  • the vehicle 30 has a communication function and is equipped with an in-vehicle network 20.
  • the vehicle 30 is, for example, an automobile.
  • the external network 50 is a wide area network such as the Internet, and its connection destination includes an attack analysis device 10 and an in-vehicle network 20.
  • FIG. 2 is a block diagram showing an example of the configuration of the in-vehicle network 20.
  • the vehicle-mounted network 20 includes a plurality of external communication interfaces, a plurality of control ECUs (Electronic Control Units), and an integrated ECU 24.
  • control ECUs Electronic Control Units
  • integrated ECU 24 an integrated ECU 24.
  • the plurality of external communication interfaces correspond to the external communication IF_A21A, the external communication IF_B21B, the external communication IF_C21C, and the external communication IF_D21D.
  • each of the plurality of external communication interfaces may be referred to as an external communication IF21.
  • the plurality of control ECUs correspond to ECU_A22A, ECU_B22B, ECU_C22C, and ECU_D22D.
  • each of the plurality of control ECUs may be referred to as an ECU 22.
  • the plurality of external communication IF21s include, for example, a telematics communication unit (TCU: Telematic Control Unit), an in-vehicle infotainment system, an external application execution device, or a communication device that communicates with a charging stand, OBD (On-Board Diagnostics). ) Ports and the like may be included.
  • TCU Telematic Control Unit
  • OBD On-Board Diagnostics
  • Each of the plurality of external communication IF21s is provided with an IDS (Intrusion Detection System) for detecting an abnormality in the external communication IF21.
  • the external communication IF_A21A comprises IDS_A23A
  • the external communication IF_B21B comprises IDS_B23B
  • the external communication IF_C21C comprises IDS_C23C
  • the external communication IF_D21D comprises IDS_D23D.
  • the plurality of external communication IF21s are connected to the integrated ECU 24 via CAN (Control Area Network) 25 or Ethernet (registered trademark) 26.
  • the plurality of ECUs 22 may include, for example, a control ECU for controlling the running of the vehicle 30, an ADAS control ECU for controlling ADAS (Advanced Driver-Assistance System), an air conditioner control ECU for controlling an air conditioner, and the like.
  • a control ECU for controlling the running of the vehicle 30 an ADAS control ECU for controlling ADAS (Advanced Driver-Assistance System), an air conditioner control ECU for controlling an air conditioner, and the like.
  • ADAS Advanced Driver-Assistance System
  • air conditioner control ECU for controlling an air conditioner
  • Each of the ECUs 22 is equipped with an IDS for detecting an abnormality in the ECU 22.
  • ECU_A22A comprises IDS_E23E
  • ECU_B22B comprises IDS_F23F
  • ECU_C22C comprises IDS_G23G
  • ECU_D22D comprises IDS_H23H.
  • the plurality of ECUs 22 are connected to the integrated ECU 24 via CAN 25 or Ethernet (registered trademark) 26.
  • FIG. 3 is a block diagram showing an example of the configuration of the integrated ECU 24.
  • a gateway 29, a security master 27, a vehicle control event management unit 28, IDS_I23I, IDS_J23J, and an integrated ECU 24 are provided.
  • the integrated ECU 24 is a so-called computer device, and includes a processor (not shown), a memory (not shown), and a communication interface (not shown).
  • the integrated ECU 24 realizes a gateway 29, a security master 27, a vehicle control event management unit 28, and IDS_I23I and IDS_J23J for detecting an abnormality in the integrated ECU 24 by executing a program stored in a memory by a processor.
  • the gateway 29 includes IDS_K23K and IDS_L23L that detect an abnormality in the gateway 29.
  • each of the plurality of IDSs included in the in-vehicle network 20 may be referred to as IDS23.
  • the security master 27 When the IDS 23 included in the vehicle-mounted network 20 detects an abnormality, the security master 27 generates abnormality detection information indicating the abnormality detection result detected in one or more nodes in the vehicle-mounted network 20. Then, when the security master 27 generates the abnormality detection information, the security master 27 attacks the generated abnormality detection information together with the vehicle-mounted network information indicating the configuration of the vehicle-mounted network 20, the vehicle control event history described later, and the external communication event history described later. It is transmitted to the analyzer 10.
  • the node means a plurality of external communication IF21s, a gateway 29, and a plurality of ECUs 22.
  • FIG. 4 is a schematic diagram showing an example of an abnormality detection list which is an example of abnormality detection information generated by the security master 27.
  • the abnormality detection list includes, for each of the nodes included in the in-vehicle network 20, the classification of the node, the time stamp indicating the date and time when the abnormality was detected by the IDS that detects the abnormality of the node, and the time stamp.
  • It is a table associating the presence / absence of abnormality detection by the IDS that detects the abnormality of the node and the abnormality detection score output from the IDS that detects the abnormality of the node.
  • the abnormality detection score is a score indicating the degree of abnormality of the abnormality detected by the IDS, and the value increases as the degree of abnormality increases.
  • the external communication IF 21 is classified as an entry node, and the ECU 22 is classified as a target node.
  • the security master 27 targets the abnormality detected by the IDS 23 included in the in-vehicle network 20 within a predetermined period T1 (for example, 2 minutes) starting from the detection. Generate a detection list.
  • the security master 27 When the same IDS23 detects anomalies multiple times within a predetermined period T1, for example, the security master 27 generates an abnormality detection list only for the first anomaly detected among the plurality of anomalies. May be good. This is because we want to treat a series of continuous attacks as one attack.
  • the IDS of the external communication IF_B classified as the entry node detects the abnormality at 10:32:10 on August 30, 2020, and the abnormality score of the detected abnormality is. It can be read that it is 60.
  • the vehicle control event management unit 28 stores a predetermined external communication event list and a predetermined vehicle control event list, and based on the stored external communication event list and the vehicle control event list, the vehicle-mounted network.
  • An external communication event history showing the history of communication events performed by 20 with the outside and a vehicle control event history showing the history of vehicle control events performed by the vehicle 30 are generated, updated, and managed.
  • FIG. 5 is a schematic diagram showing an example of an external communication event list stored in the vehicle control event management unit 28.
  • the classification of the external communication event and the cyber attack caused by the external communication event are performed. It is a table in which the risk and sub-risk indicating the degree of risk to be received are associated with the priority route which is a comment related to the external communication event.
  • the risk and the sub-risk are scores whose values increase as the risk of receiving a cyber attack increases.
  • the external communication event "connected to a new IP address” classified as “establishment of external communication” has risks and sub-risks of 3 and 3, respectively. Can be read.
  • FIG. 6 is a schematic diagram showing an example of an external communication event history generated, updated, and managed by the vehicle control event management unit 28.
  • the external communication event history includes the date and time when the external communication event occurred, the external communication event ID that identifies the external communication event, and the external communication event for each of the generated external communication events. It is a table in which the external communication IFID that identifies the external communication IF21 that communicates with the outside and the external communication event risk that indicates the risk of the external communication event are associated with each other.
  • the external communication event risk is expressed by combining the risk and the sub-risk of the external communication event list.
  • the external communication event “Connecting an external device to the OBD port” occurred at 10:32:00 on August 30, 2020, and the external communication IFID "IF01" was generated. It can be read that the external communication event risk is 3-2, which is communicated with the outside in the external communication IF21 identified by.
  • FIG. 7 is a schematic diagram showing an example of a vehicle control event list stored in the vehicle control event management unit 28.
  • the vehicle control event list is generated as a result of the classification of the vehicle control event and the cyber attack of the vehicle control event for each of the vehicle control events indicating the vehicle control event performed by the vehicle 30. It is a table in which a risk and a sub-risk indicating a seriousness that threatens the safety of the vehicle 30 in the case of a vehicle and a "priority route" which is a comment related to the vehicle control event are associated with each other.
  • the risk and the sub-risk are scores whose values increase as the severity that threatens safety increases.
  • the vehicle control event "acceleration, steering, deceleration instruction issued” classified as “control instruction” has risks and sub-risks of 3 and 1, respectively. It can be read that there is.
  • FIG. 8 is a schematic diagram showing an example of a vehicle control event history generated, updated, and managed by the vehicle control event management unit 28.
  • the vehicle control event history includes, for each of the generated vehicle control events, the date and time when the vehicle control event occurred, the vehicle control event ID that identifies the vehicle control event, and the vehicle control event. It is a table in which the ECU ID that identifies the generated ECU 22 and the vehicle control event risk indicating the risk of the vehicle control event are associated with each other.
  • the vehicle control event risk is expressed by combining the risk and the sub-risk of the vehicle control event list.
  • the vehicle control event "the operation of the air conditioner has changed” is identified by the ECU ID "ECU02" that occurred at 10:30:15 on August 30, 2020. It can be read that the event has a vehicle control event risk of 1-2 generated by the ECU 22.
  • the security master 27 generates abnormality detection information when the IDS 23 included in the vehicle-mounted network 20 detects an abnormality, and uses the generated abnormality detection information as vehicle-mounted network information, vehicle control event history, and the like. It is transmitted to the attack analysis device 10 together with the external communication event history.
  • the security master 27 does not necessarily have to transmit the entire external communication event history managed by the vehicle control event management unit 28 to the attack analysis device 10.
  • the security master 27 performs external communication of a communication event performed by the vehicle-mounted network 20 with the outside during a predetermined period T2 (for example, 5 minutes before detection and 5 minutes after detection, totaling 10 minutes) before and after the abnormality is detected.
  • the event history will be described as being transmitted to the attack analysis device 10.
  • the security master 27 does not necessarily have to transmit the entire vehicle control event history managed by the vehicle control event management unit 28 to the attack analysis device 10.
  • the security master 27 will be described as transmitting the vehicle control event history of the vehicle control event performed by the vehicle 30 to the attack analysis device 10 during a predetermined period T2 before and after the abnormality is detected.
  • FIG. 9 is a block diagram showing an example of the configuration of the attack analysis device 10.
  • the attack analysis device 10 includes an acquisition unit 11, an entry point estimation unit 14, an attack target estimation unit 15, an attack route estimation unit 12, an attack route estimation result table management unit 17, and an attack.
  • a route reliability calculation unit 16 and an output unit 13 are provided.
  • the acquisition unit 11 acquires in-vehicle network information, abnormality detection information, external communication event history, and vehicle control event history transmitted from the security master 27.
  • the entry point estimation unit 14 is an intrusion point into the vehicle-mounted network 20 in an attack on the vehicle-mounted network 20 based on the vehicle-mounted network information, abnormality detection information, and external communication event history acquired by the acquisition unit 11.
  • the entry point indicating the external communication IF21 is estimated.
  • the entry point estimation unit 14 calculates the entry point risk indicating the reliability as the entry list for each of the plurality of external communication IF21s, and estimates the entry point based on each of the calculated entry point risks. ..
  • the attack target estimation unit 15 indicates an attack target ECU 22 that is an attack target in an attack on the vehicle-mounted network 20 based on the vehicle-mounted network information, abnormality detection information, and vehicle control event history acquired by the acquisition unit 11. To estimate. At this time, the attack target estimation unit 15 calculates the attack target risk indicating the reliability as the attack target for each of the plurality of ECUs 22, and estimates the attack target based on each of the calculated attack target risks.
  • attack target estimation unit 15 The details of the attack target estimation performed by the attack target estimation unit 15 will be described later using a flowchart or the like.
  • the attack route estimation unit 12 estimates the attack route including the entry point and the attack target in the attack on the vehicle-mounted network 20 based on the vehicle-mounted network information acquired by the acquisition unit 11 and the abnormality detection information.
  • the attack route estimation unit 12 has the entry point estimated by the entry point estimation unit 14, the attack target estimated by the attack target estimation unit 15, and the vehicle-mounted network information acquired by the acquisition unit 11. And the attack route is estimated based on the abnormality detection information acquired by the acquisition unit 11.
  • attack route estimation unit 12 The details of the attack route estimation performed by the attack route estimation unit 12 will be described later using a flowchart or the like.
  • the attack route reliability calculation unit 16 is based on the entry point risk of the entry point calculated by the entry point estimation unit 14 and the attack target risk of the attack target calculated by the attack target estimation unit 15. For the attack route estimated by the estimation unit 12, the attack route reliability indicating the reliability as the attack route is calculated.
  • attack route reliability calculation unit 16 The details of the attack route reliability calculation performed by the attack route reliability calculation unit 16 will be described later using a flowchart or the like.
  • the attack route estimation result table management unit 17 When the acquisition unit 11 acquires the abnormality detection information, the attack route estimation result table management unit 17 generates an attack route estimation result table based on the abnormality detection information acquired by the acquisition unit 11. Then, the attack route estimation result table management unit 17 is generated based on various signals output from the entry point estimation unit 14, the attack target estimation unit 15, the attack route estimation unit 12, or the attack route reliability calculation unit 16. The attack route estimation result table is updated and managed sequentially.
  • FIG. 10 is a schematic diagram showing an example of an attack route estimation result table generated by the attack route estimation result table management unit 17.
  • the attack route estimation result table shown in FIG. 10 is an attack route estimation result table in the initial state generated by the attack route estimation result table management unit 17 when the acquisition unit 11 acquires the abnormality detection information.
  • the attack route estimation result table is a time stamp showing the classification of each node included in the in-vehicle network 20 and the date and time when the abnormality is detected by the IDS that detects the abnormality of the node.
  • the estimation method of the estimation result and the risk value estimated by the attack target estimation unit 15 or the entry point estimation unit 14 and the attack route estimated by the attack route estimation unit 12 will be described later.
  • the attack route estimation result table which is sequentially updated by the attack route estimation result table management unit 17, will be described later.
  • the attack route estimation result table management unit 17 further generates and manages an attack route history indicating the history of the attack route estimated by the attack route estimation unit 12.
  • FIG. 11 is a schematic diagram showing an example of the attack route history managed by the attack route estimation result table management unit 17.
  • the attack route history includes an abnormality notification ID that identifies an abnormality notification corresponding to the attack route for each of the attack routes estimated by the attack route estimation unit 12, and an attack route trust for the attack route.
  • the attack route reliability calculated by the degree calculation unit 16, the entry point of the attack route, the entry point risk calculated by the entry point estimation unit 14 for the entry point, the attack target of the attack route, and the attack. It is a table associated with the attack target risk calculated by the attack target estimation unit 15 for the target.
  • the output unit 13 outputs the attack route estimated by the attack route estimation unit 12.
  • the output unit 13 will be described as having a display control unit 18 that outputs a display control signal including an attack route to the display device 41.
  • the display control unit 18 is a display control signal including the attack route when the attack route estimation unit 12 estimates the attack route, and the display control unit 18 shows the display device 41 a configuration diagram showing the configuration of the vehicle-mounted network. Moreover, in the configuration diagram, a display control signal for controlling the display device 41 is output so that the attack route is displayed in a display method different from that of other parts. At this time, the display control unit 18 further outputs the display control signal to the estimation result by the attack route estimation unit 12, the estimation result by the entry point estimation unit 14, the estimation result by the attack target estimation unit 15, and / or the attack.
  • the information related to the calculation result by the route reliability calculation unit 16 may be, for example, a display control signal for controlling the display device 41 so as to display it in a table format.
  • the display control unit 18 is assumed to be a display control signal that further controls the display device 41 so as to display the attack route history managed by the attack route estimation result table management unit 17 in a table format. explain.
  • FIG. 12 is a sequence diagram of the attack monitoring process performed by the attack monitoring system 1.
  • FIG. 13 is a flowchart of the attack analysis process performed by the attack analysis device 10 in the attack monitoring process performed by the attack monitoring system 1.
  • the IDS 23 included in the vehicle-mounted network 20 detects an abnormality in the attack monitoring process, the IDS 23 notifies the security master 27 of the detection of the abnormality.
  • the security master 27 When the IDS23 notifies the detection of the abnormality, the security master 27 generates the abnormality detection information (here, the abnormality detection list), and determines to the vehicle control event management unit 28 before and after the IDS23 detects the abnormality.
  • the vehicle control event history and the external communication event history within the period T2 of the above are requested.
  • the vehicle control event management unit 28 transmits the requested vehicle control event history and the external communication event history to the security master 27.
  • the security master 27 acquires the vehicle control event history and the external communication event history. Then, the security master 27 transmits the generated abnormality detection information to the attack analysis device 10 together with the in-vehicle network information, the acquired vehicle control event history, and the acquired external communication event history.
  • the attack analysis device 10 starts the attack start process.
  • the acquisition unit 11 obtains the abnormality detection information, the in-vehicle network information, the vehicle control event history, and the external communication event history transmitted from the security master 27. Acquire (step S10).
  • the entry point estimation unit 14 estimates the entry point based on the in-vehicle network information, the abnormality detection information, and the external communication event history acquired by the acquisition unit 11 (step S20). At this time, the entry point estimation unit 14 calculates the entry point risk for each of the plurality of external communication IF 21s in the entry point estimation process. This entry point estimation is performed by the entry point estimation unit 14 performing the entry point estimation process described later.
  • the attack target estimation unit 15 estimates the attack target based on the vehicle-mounted network information, the abnormality detection information, and the vehicle control event history acquired by the acquisition unit 11 (step S30). At this time, the attack target estimation unit 15 calculates the attack target risk for each of the plurality of ECUs 22 in the attack target estimation process. The attack target estimation is performed by the attack target estimation unit 15 performing the attack target estimation process described later.
  • the attack route estimation unit 12 includes the entry point estimated by the entry point estimation unit 14, the attack target estimated by the attack target estimation unit 15, the in-vehicle network information acquired by the acquisition unit 11, and the acquisition unit.
  • the attack route is estimated based on the abnormality detection information acquired in step 11 (step S40).
  • the attack route estimation is performed by the attack route estimation unit 12 performing the attack route estimation process described later.
  • the attack vector reliability calculation unit 16 is based on the entry point risk of the entry point calculated by the entry point estimation unit 14 and the attack target risk of the attack target calculated by the attack target estimation unit 15.
  • the attack route reliability is calculated for the attack route estimated by the attack route estimation unit 12 (step S50).
  • the attack route reliability is calculated by the attack route reliability calculation unit 16 performing an attack route reliability calculation process, which will be described later.
  • the output unit 13 outputs a display control signal including the attack route estimated by the attack route estimation unit 12 to the display device 41 (step S60).
  • the attack analysis device 10 ends the attack start process.
  • the display device 41 displays an image based on the display control signal.
  • the attack monitoring system 1 ends the attack monitoring process.
  • 14 and 15 are flowcharts of the entry point estimation process performed by the entry point estimation unit 14.
  • the entry point estimation unit 14 when the entry point estimation process is started, includes the in-vehicle network information, the abnormality detection information, and the external communication event history acquired by the acquisition unit 11. Is acquired, and the external communication IF21 of one of the plurality of external communication IF21s included in the vehicle-mounted network 20 is selected with reference to the vehicle-mounted network information (step S80).
  • the entry point estimation unit 14 refers to the abnormality notification information and examines whether or not the IDS23 included in the selected external communication IF21 has detected an abnormality (step S100).
  • step S100 when the IDS23 included in the selected external communication IF21 detects an abnormality (step S100: Yes), the entry point estimation unit 14 refers to the external communication event history and selects the external communication. It is checked whether or not an external communication event in which IF21 communicates with the outside has occurred (step S101).
  • step S101 when an external communication event occurs in which the selected external communication IF 21 communicates with the outside (step S101: Yes), the entry point estimation unit 14 refers to the selected external communication IF 21.
  • the abnormal state of the external communication IF21 is estimated as "abnormality detection (high attack risk)", and the entry point risk of the external communication IF21 is calculated as 5 (step S102).
  • step S101 when the external communication event in which the selected external communication IF21 communicates with the outside does not occur (step S101: No), the entry point estimation unit 14 sets the abnormality notification information and the external communication event history. With reference to, it is examined whether or not the IDS23 immediately after the selected external communication IF21 has detected an abnormality (step S103).
  • step S103 when the IDS23 immediately after the selected external communication IF21 detects an abnormality (step S103: Yes), the entry point estimation unit 14 refers to the selected external communication IF21 to the outside.
  • the abnormal state of the communication IF 21 is estimated as "abnormality detection", and the entry point risk of the external communication IF 21 is calculated as 4 (step S104).
  • step S103 when the IDS 23 immediately after the selected external communication IF 21 does not detect an abnormality (step S103: No), the entry point estimation unit 14 refers to the selected external communication IF 21 with respect to the selected external communication IF 21.
  • the abnormal state of the external communication IF21 is estimated as "false positive", and the entry point risk of the external communication IF21 is calculated as 2 (step S105).
  • step S100 when the IDS23 included in the selected external communication IF21 does not detect an abnormality (step S100: No), the entry point estimation unit 14 refers to the external communication event history and is selecting. It is checked whether or not an external communication event in which the external communication IF21 communicates with the outside has occurred (step S106).
  • step S106 when an external communication event occurs in which the selected external communication IF21 communicates with the outside (step S106: Yes), the entry point estimation unit 14 refers to the abnormality notification information and the external communication event history. Then, it is examined whether or not the IDS23 immediately after the selected external communication IF21 has detected an abnormality (step S107).
  • step S107 when the IDS23 immediately after the selected external communication IF21 detects an abnormality (step S107: Yes), the entry point estimation unit 14 refers to the selected external communication IF21 to the outside.
  • the abnormal state of the communication IF 21 is estimated to be "undetected", and the entry point risk of the external communication IF 21 is calculated as 3 (step S108).
  • step S107 when the IDS23 immediately after the selected external communication IF21 does not detect an abnormality (step S107: No), the entry point estimation unit 14 refers to the selected external communication IF21 with respect to the selected external communication IF21.
  • the abnormal state of the external communication IF21 is estimated to be "no attack (with event)", and the entry point risk of the external communication IF21 is calculated as 1 (step S109).
  • step S106 when the external communication event in which the selected external communication IF 21 communicates with the outside does not occur (step S106: No), the entry point estimation unit 14 refers to the selected external communication IF 21. , The abnormal state of the external communication IF21 is estimated to be "no attack", and the entry point risk of the external communication IF21 is calculated as 0 (step S110).
  • the entry point estimation unit 14 refers to the vehicle-mounted network information. Then, among the plurality of external communication IFs 21 included in the vehicle-mounted network 20, it is examined whether or not there is an unselected external communication IF21 that has not yet been selected in the entry point estimation process (step S111).
  • step S111 when the unselected external communication IF21 exists (step S111: Yes), the entry point estimation unit 14 selects one of the unselected external communication IF21s (step S111: Yes). S81), the process proceeds to step S100.
  • step S111 when the unselected external communication IF21 does not exist (step S111: No), the entry point estimation unit 14 selects the external communication IF21 having the highest calculated entry point risk (step S112).
  • step S113 When there are a plurality of external communication IF21s selected in the process of step S112 (step S113: Yes), the entry point estimation unit 14 has an entry point risk of those external communication IF21s of 1, 3, and 5. (Step S114).
  • step S114 when the entry point risk is any one of 1, 3 and 5 (step S114: Yes), the entry point estimation unit 14 refers to the external communication event history and externally thereof. Among the communication IF21s, the external communication IF21 having the lowest associated external communication event risk score, that is, the highest risk of receiving a cyber attack due to the associated external communication event, is estimated as the entry point. (Step S115).
  • step S114 when the entry point risk is not one of 1, 3 and 5 (step S114: No), the entry point estimation unit 14 has an entry point risk of 2 or 4 of the external communication IF21. (Step S116).
  • step S116 when the entry point risk is 2 or 4 (step S116: Yes), the entry point estimation unit 14 refers to the abnormality detection information and is associated with the external communication IF21.
  • the external communication IF21 having the highest abnormality detection score is estimated as an entry point (step S117).
  • step S116 when the entry point risk is not 2 or 4 (step S116: No), the entry point estimation unit 14 refers to the abnormality detection information and the vehicle-mounted network information to the intermediate node that detects the abnormality.
  • the external communication IF21 that can be connected in the shortest time is estimated as the entry point (step S118).
  • step S113 When a plurality of external communication IF21s selected in the process of step S112 do not exist (step S113: No), that is, when there is only one selected external communication IF21, the entry point estimation unit 14 uses the external communication IF21. Estimated as an entry point (step S119).
  • the entry point estimation unit 14 outputs the estimated entry point as the estimation result of the entry point estimation process. (Step S120).
  • step S120 When the process of step S120 is completed, the entry point estimation unit 14 ends the entry point estimation process.
  • 16 and 17 are flowcharts of the attack target estimation process performed by the attack target estimation unit 15.
  • the attack target estimation unit 15 includes the in-vehicle network information, the abnormality detection information, and the vehicle control event history acquired by the acquisition unit 11. Is acquired, and one of the plurality of ECUs 22 included in the vehicle-mounted network 20 is selected with reference to the vehicle-mounted network information (step S90).
  • the attack target estimation unit 15 refers to the abnormality notification information and examines whether or not the IDS23 included in the selected ECU 22 has detected an abnormality (step S200).
  • step S200 when the IDS23 included in the selected ECU 22 detects an abnormality (step S200: Yes), the vehicle control event by the selected ECU 22 is referred to by the attack target estimation unit 15 and the vehicle control event history. (Step S201).
  • step S201 when a vehicle control event by the selected ECU 22 occurs (step S201: Yes), the attack target estimation unit 15 detects the abnormal state of the selected ECU 22 by "abnormality detection”. (High attack risk) ”, and the attack target risk of the ECU 22 is calculated as 5 (step S202).
  • step S201 when the vehicle control event by the selected ECU 22 does not occur (step S201: No), the attack target estimation unit 15 selects by referring to the abnormality notification information and the vehicle control event history. It is examined whether or not the IDS 23 immediately before the ECU 22 inside has detected an abnormality (step S203).
  • step S203 when the IDS23 immediately before the selected ECU 22 detects an abnormality (step S203: Yes), the attack target estimation unit 15 determines the abnormal state of the ECU 22 with respect to the selected ECU 22. It is estimated to be "abnormality detection", and the attack target risk of the ECU 22 is calculated as 4 (step S204).
  • step S203 when the IDS23 immediately before the selected ECU 22 does not detect an abnormality (step S203: No), the attack target estimation unit 15 makes an abnormality of the ECU 22 with respect to the selected ECU 22.
  • the state is estimated as "false positive", and the attack target risk of the ECU 22 is calculated as 2 (step S205).
  • step S200 when the IDS23 included in the selected ECU 22 does not detect an abnormality (step S200: No), the attack target estimation unit 15 refers to the vehicle control event history and determines the selected ECU 22. Check whether or not a vehicle control event has occurred (step S206).
  • step S206 when a vehicle control event by the selected ECU 22 occurs (step S206: Yes), the attack target estimation unit 15 refers to the abnormality notification information and the vehicle control event history, and is selecting. It is examined whether or not the IDS 23 immediately before the ECU 22 has detected an abnormality (step S207).
  • step S207 when the IDS23 immediately before the selected ECU 22 detects an abnormality (step S207: Yes), the attack target estimation unit 15 determines the abnormal state of the ECU 22 with respect to the selected ECU 22. It is estimated to be "undetected", and the attack target risk of the ECU 22 is calculated as 3 (step S208).
  • step S207 when the IDS23 immediately before the selected ECU 22 does not detect an abnormality (step S207: No), the attack target estimation unit 15 makes an abnormality of the ECU 22 with respect to the selected ECU 22.
  • the state is estimated to be "no attack (with event)", and the attack target risk of the ECU 22 is calculated as 1 (step S209).
  • step S206 when the vehicle control event by the selected ECU 22 does not occur (step S206: No), the attack target estimation unit 15 sets the abnormal state of the ECU 22 to the selected ECU 22. It is estimated that there is no attack, and the attack target risk of the ECU 22 is calculated as 0 (step S210).
  • the attack target estimation unit 15 refers to the in-vehicle network information. Then, among the plurality of ECUs 22 included in the vehicle-mounted network 20, it is examined whether or not there is an unselected ECU 22 that has not yet been selected in the attack target estimation process (step S211).
  • step S211 when there is an unselected ECU 22 (step S211: Yes), the attack target estimation unit 15 selects one of the unselected ECUs 22 (step S91), and the attack target estimation unit 15 selects one of the unselected ECUs 22 (step S91). Proceed to processing.
  • step S211 when there is no unselected ECU 22 (step S211: No), the attack target estimation unit 15 selects the ECU 22 having the highest calculated attack target risk (step S212).
  • step S212 When there are a plurality of ECUs 22 selected in the process of step S212 (step S213: Yes), the attack target estimation unit 15 determines whether or not the attack target risk of those ECUs 22 is one of 1, 3, and 5. (Step S214).
  • step S214 when the attack target risk is any one of 1, 3 and 5 (step S214: Yes), the attack target estimation unit 15 refers to the vehicle control event history and those ECUs 22. Among them, the ECU 22 having the lowest associated vehicle control event risk score, that is, the ECU 22 having the highest severity in which the associated vehicle control event threatens the safety of the vehicle 30 is estimated as an attack target (step S215). ).
  • step S214 when the attack target risk is not one of 1, 3 and 5 (step S214: No), the attack target estimation unit 15 has an attack target risk of 2 or 4 of those ECUs 22. Check whether or not (step S216).
  • step S216 when the attack target risk is 2 or 4 (step S216: Yes), the attack target estimation unit 15 refers to the abnormality detection information and detects the associated abnormality among those ECUs 22.
  • the ECU 22 having the highest score is estimated as an attack target (step S217).
  • step S216 when the attack target risk is not 2 or 4 (step S216: No), the attack target estimation unit 15 refers to the abnormality detection information and the vehicle-mounted network information to the intermediate node where the abnormality is detected.
  • the ECU 22 that can be connected in the shortest time is estimated as an attack target (step S218).
  • step S213: No When a plurality of selected ECUs 22 do not exist in the process of step S212 (step S213: No), that is, when there is only one selected ECU 22, the attack target estimation unit 15 estimates the ECU 22 as an attack target (step S213: No). Step S219).
  • the attack target estimation unit 15 outputs the estimated attack target as the estimation result of the attack target estimation process. (Step S220).
  • step S220 When the process of step S220 is completed, the attack target estimation unit 15 ends the attack target estimation process.
  • FIG. 18 shows the attack route estimation result updated by the attack route estimation result table management unit 17 after the entry point estimation process is executed by the entry point estimation unit 14 and the attack target estimation process is executed by the attack target estimation unit 15. It is a schematic diagram which shows an example of a table.
  • the attack route estimation result table management unit 17 estimates the attack route when the entry point estimation unit 14 executes the entry point estimation process and the attack target estimation unit 15 executes the attack target estimation process.
  • the abnormal state of each external communication IF21 estimated by the entry point estimation unit 14 or the abnormal state of each ECU 22 estimated by the attack target estimation unit 15 is recorded as an estimation result, and the entry point is estimated.
  • the attack route estimation result table is updated by recording the entry point risk of each external communication IF 21 calculated by the unit 14 or the attack target risk of each ECU 22 calculated by the attack target estimation unit 15 as a risk.
  • FIG. 19 is a flowchart of the attack route estimation process performed by the attack route estimation unit 12.
  • the attack route estimation unit 12 is estimated by the in-vehicle network information and abnormality detection information acquired by the acquisition unit 11 and the entry point estimation unit 14.
  • the entry point and the attack target estimated by the attack target estimation unit 15 are acquired (step S300).
  • the attack route estimation unit 12 refers to the configuration of the vehicle-mounted network 20 indicated by the vehicle-mounted network information, and calculates each of the one or more routes connecting the entry point and the attack target as an attack route candidate (step S310). ).
  • the attack route estimation unit 12 refers to the abnormality detection information and estimates that among the one or more attack route candidates, the attack route candidate with the largest number of IDS23s that have detected an abnormality is the attack route. (Step S320).
  • the attack route estimation unit 12 estimates each of the plurality of attack route candidates as an attack route.
  • step S320 the attack vector estimation unit 12 ends the attack vector estimation process.
  • FIG. 20 is a flowchart of the attack route reliability calculation process performed by the attack route reliability calculation unit 16.
  • the attack route reliability calculation unit 16 determines the entry point risk of the entry point and the attack target estimation unit calculated by the entry point estimation unit 14.
  • the attack target risk of the attack target calculated by 15 is acquired (step S400).
  • the attack route reliability calculation unit 16 calculates the average of the acquired entry point risk of the entry point and the attack target risk of the attack target as the attack route reliability (step S410).
  • the attack route reliability calculation unit 16 checks whether or not there are a plurality of attack routes estimated by the attack route estimation unit 12 (step S420).
  • step S420 when there are a plurality of attack routes estimated by the attack route estimation unit 12 (step S420: Yes), the attack route reliability calculation unit 16 determines the attack route reliability by the number of attack routes. Correct (step S430).
  • the attack route reliability calculation unit 16 will be described as correcting the attack route reliability by dividing the attack route reliability by the number of attack routes. However, if the attack route reliability calculation unit 16 can correct the attack route reliability by the number of attack routes, it does not necessarily have to divide the attack route reliability by the number of attack routes to obtain the attack vector reliability. It is not necessary to be limited to the configuration that corrects.
  • step S430 the attack vector reliability calculation unit 16 ends the attack vector reliability calculation process.
  • the attack path reliability calculation unit 16 has described that the average of the entry point risk of the entry point and the attack target risk of the attack target is calculated as the attack path reliability.
  • the attack route reliability calculation unit 16 may calculate the attack route reliability by another method.
  • the attack route reliability calculation unit 16 refers to the configuration of the vehicle-mounted network 20 indicated by the vehicle-mounted network information acquired by the acquisition unit 11 and the abnormality detection information acquired by the acquisition unit 11, and “attack route”.
  • a numerical value greater than 0.0 and 1.0 or less, which is obtained by dividing "the number of IDS23s that have detected an abnormality in the above" by "the total number of IDS23s on the attack vector”, may be calculated as the attack vector reliability. ..
  • FIG. 21 and 22 show an attack route estimation result table updated by the attack route estimation result table management unit 17 after the attack route estimation process is executed by the attack route estimation unit 12 and the attack route reliability calculation process is executed. It is a schematic diagram which shows an example.
  • FIG. 21 is a schematic diagram showing an example of an attack route estimation result table when the attack route estimation unit 12 estimates one attack route
  • FIG. 22 shows a plurality of attack route estimation units 12 (here, in this case, a plurality of attack route estimation units 12).
  • the attack route estimation result table management unit 17 is executed by the attack route estimation unit 12 and the attack route reliability calculation processing is executed, the attack route estimation result is obtained.
  • the attack route estimation result is obtained.
  • a mark is recorded on the node corresponding to the attack route, and the attack route reliability calculated by the attack route reliability calculation unit 16 is recorded on the table. By doing so, the attack vector estimation result table is updated.
  • FIG. 23 is a flowchart of the first display control process performed by the display control unit 18.
  • the display control unit 18 receives the in-vehicle network information acquired by the acquisition unit 11, the attack route estimated by the attack route estimation unit 12, and the attack.
  • the attack route history managed by the route estimation result table management unit 17 is acquired (step S500).
  • the display control unit 18 calculates the display control signal so as to display the vehicle-mounted network configuration diagram showing the configuration of the vehicle-mounted network on the display device 41 with reference to the configuration of the vehicle-mounted network 20 indicated by the vehicle-mounted network information. Step S510).
  • the display control unit 18 refers to the attack route and calculates a display control signal so that the attack route is displayed on the display device 41 in a display method different from that of other parts (step S520).
  • the display control unit 18 calculates a display control signal so that the attack route history is displayed on the display device 41 in a table format (step S530).
  • the display control unit 18 outputs the calculated display control signal to the display device 41 (step S540).
  • step S540 the display control unit 18 ends the first display control process.
  • FIG. 24 is a schematic diagram showing an example of a screen displayed by the display device 41 controlled by the display control signal output by the display control unit 18 by executing the first display process.
  • the display device 41 is controlled by the display control signal output from the display control unit 18, so that (1) the attack route estimated by the attack route estimation unit 12 is different from other routes.
  • the attack vector reliability of the attack vector, the entry point of the attack vector, the entry point risk of the entry point, the attack target of the attack vector, and the attack target risk of the attack target are associated with each other. Display a tabular list.
  • the display control unit 18 may perform a second display control process instead of performing the first display control process.
  • FIG. 25 is a flowchart of the second display control process performed by the display control unit 18.
  • step S505 is executed instead of the process of step S500 from the first display control process, and the process of step S530 and the process of step S540 are performed.
  • This is a process in which the process of step S531 and the process of step S532 are executed.
  • step S505 the process of step S531, and the process of step S532 will be mainly described.
  • the display control unit 18 has the vehicle-mounted network information and abnormality detection information acquired by the acquisition unit 11, and the attack estimated by the attack route estimation unit 12.
  • the route and the attack route history managed by the attack route estimation result table management unit 17 are acquired (step S505), and the process proceeds to step S510.
  • the display control unit 18 refers to the abnormality detection information and checks whether or not there is an IDS23 that has detected an abnormality and is not included in the attack route (step S531).
  • step S530 when there is an IDS23 that has detected an abnormality and is not included in the attack path (step S531: Yes), the display control unit 18 sets the node including the corresponding IDS to another part of the attack path.
  • the display control signal is calculated so as to be displayed on the display device 41 by a display method different from that of the display device 41 (step S532).
  • step S530 if there is no IDS23 that is not included in the attack route and has detected an abnormality (step S531: No), or if the process of step S532 is completed, the process proceeds to step S540.
  • step S540 the display control unit 18 ends the second display control process.
  • FIG. 26 is a schematic diagram showing an example of a screen displayed by the display device 41 controlled by the display control signal output by the display control unit 18 by executing the second display process.
  • the display device 41 is controlled by the display control signal output from the display control unit 18, so that (1) the attack route estimated by the attack route estimation unit 12 is different from other routes.
  • An in-vehicle network configuration diagram in which nodes including IDS23 that are displayed by the display method and are not included in the attack route and include IDS23 that have detected an abnormality are displayed in a display method different from the attack route and other parts, and (2) attack route.
  • the abnormality notification ID that identifies the abnormality notification corresponding to the attack route, the attack route reliability of the attack route, and the entry point of the attack route.
  • the entry point risk of the entry point, the attack target of the attack vector, and the attack target risk of the attack target are displayed in a tabular list in which they are associated with each other.
  • ⁇ Discussion> As described above, according to the attack analysis device 10, when there is an attack on the in-vehicle network 20, it is possible to estimate the attack route including the entry point and the attack target in the attack. As a result, when the user using the attack analysis device 10 has an attack on the in-vehicle network 20, the cost of the attack analysis work such as analysis of the attack and collation of the attack with past cases is reduced. can do.
  • the display device 41 can display the in-vehicle network configuration diagram in which the estimated attack route is displayed by a display method different from that of other routes. As a result, the user who uses the attack analysis device 10 can visually recognize the estimated attack route.
  • the attack analysis device 10 is realized by the monitoring server 40 existing outside the in-vehicle network 20.
  • the attack analysis device 10 is not necessarily limited to the example realized by the monitoring server 40, and further, is not limited to the example realized by the device outside the in-vehicle network 20.
  • an example in which the attack analysis device 10 is realized by an integrated ECU included in the in-vehicle network 20 can be considered.
  • FIG. 27 is a block diagram showing an example of the configuration of the integrated ECU 24A according to the modified example.
  • the integrated ECU 24A is, for example, a so-called computer device, which includes a processor (not shown) and a memory (not shown), and the attack analysis device 10 is executed by the processor executing a program stored in the memory. Realize.
  • Some or all of the components included in the attack analysis device 10 may be realized as a dedicated or general-purpose circuit.
  • a part or all of the components included in the attack analysis device 10 may be composed of, for example, one system LSI (Large Scale Integration: large-scale integrated circuit).
  • the system LSI is an ultra-multifunctional LSI manufactured by integrating a plurality of components on one chip, and specifically, a microprocessor, a ROM (Read Only Memory), a RAM (Random Access Memory), and the like. It is a computer system configured to include.
  • a computer program is stored in the ROM.
  • the system LSI achieves its function by operating the microprocessor according to the computer program.
  • system LSI Although it is referred to as a system LSI here, it may be referred to as an IC, an LSI, a super LSI, or an ultra LSI due to the difference in the degree of integration. Further, the method of making an integrated circuit is not limited to the LSI, and may be realized by a dedicated circuit or a general-purpose processor. An FPGA (Field Programmable Gate Array) that can be programmed after the LSI is manufactured, or a reconfigurable processor that can reconfigure the connection and settings of the circuit cells inside the LSI may be used.
  • FPGA Field Programmable Gate Array
  • One aspect of the present disclosure may be not only such an attack analysis device 10 but also an abnormality detection method using a characteristic component included in the attack analysis device 10 as a step. Further, one aspect of the present disclosure may be a computer program that causes a computer to execute each characteristic step included in the attack analysis method. Also, one aspect of the present disclosure may be a computer-readable, non-temporary recording medium on which such a computer program is recorded.
  • This disclosure can be widely used as an attack analysis device that analyzes cyber attacks on networks.
  • Attack monitoring system 10 Attack analysis device 11 Acquisition unit 12 Attack route estimation unit 13 Output unit 14 Entry point estimation unit 15 Attack target estimation unit 16 Attack route reliability calculation unit 17 Attack route estimation result table management unit 18 Display control unit 20 In-vehicle Network 21 External communication interface (external communication IF) 21A External communication IF_A 21B External communication IF_B 21C External communication IF_C 21D external communication IF_D 22 Control ECU (ECU) 22A ECU_A 22B ECU_B 22C ECU_C 22D ECU_D 23 IDS 23A IDS_A 23B IDS_B 23C IDS_C 23D IDS_D 23E IDS_E 23F IDS_F 23G IDS_G 23H IDS_H 23I IDS_I 23J IDS_J 23K IDS_K 23L IDS_L 24, 24A integrated ECU 25 CAN 26 Ethernet 27 Security Master 28 Vehicle Control Event Management Department 29 Gateway 30 Vehicle 40 Monitoring Server 41 Display Device 50 External Network

Abstract

攻撃解析装置（１０）は、複数の外部通信インターフェース（２１）と複数の制御ＥＣＵ（２２）とを含む車載ネットワーク（２０）の構成を示す車載ネットワーク情報と、車載ネットワーク（２０）における１以上のノードにおいて検知された異常検知結果を示す異常検知情報と、を取得する取得部（１１）と、車載ネットワーク情報と異常検知情報とに基づいて、車載ネットワーク（２０）に対する攻撃における、当該攻撃の車載ネットワーク（２０）への侵入地点である外部通信インターフェース（２１）を示すエントリーポイントと当該攻撃の攻撃目標である制御ＥＣＵ（２２）を示す攻撃ターゲットとを含む当該攻撃の攻撃経路を推定する攻撃経路推定部（１２）と、攻撃経路を出力する出力部（１３）と、を備える。

Description

攻撃解析装置、攻撃解析方法、および、プログラム
　ネットワークに対するサイバー攻撃を解析する攻撃解析装置に関する。
　従来、車両に搭載する車載ネットワークに対するサイバー攻撃（以下、単に「攻撃」とも称する）を解析する技術が知られている（例えば、特許文献１参照）。
特開２０１５－０２６２５２号公報
　車載ネットワークに対する攻撃があった場合に、その攻撃の車載ネットワークへの侵入地点であるエントリーポイントと、その攻撃の攻撃目標である攻撃ターゲットとを含む、その攻撃の攻撃経路を推定することが望まれる。
　そこで、本開示は、車載ネットワークに対する攻撃における、エントリーポイントと攻撃ターゲットとを含む攻撃経路を推定することができる攻撃解析装置等を提供することを目的とする。
　本開示の一態様に係る攻撃解析装置は、複数の外部通信インターフェースと複数の制御ＥＣＵとを含む車載ネットワークの構成を示す車載ネットワーク情報と、前記車載ネットワークにおける１以上のノードにおいて検知された異常検知結果を示す異常検知情報と、を取得する取得部と、前記車載ネットワーク情報と前記異常検知情報とに基づいて、前記車載ネットワークに対する攻撃における、当該攻撃の前記車載ネットワークへの侵入地点である外部通信インターフェースを示すエントリーポイントと当該攻撃の攻撃目標である制御ＥＣＵを示す攻撃ターゲットとを含む当該攻撃の攻撃経路を推定する攻撃経路推定部と、前記攻撃経路を出力する出力部と、を備える。
　本開示の一態様に係る攻撃解析方法は、コンピュータにより実行される攻撃解析方法であって、複数の外部通信インターフェースと複数の制御ＥＣＵとを含む車載ネットワークの構成を示す車載ネットワーク情報と、前記車載ネットワークにおける１以上のノードにおいて検知された異常検知結果を示す異常検知情報と、を取得し、前記車載ネットワーク情報と前記異常検知情報とに基づいて、前記車載ネットワークに対する攻撃における、当該攻撃の前記車載ネットワークへの侵入地点である外部通信インターフェースを示すエントリーポイントと当該攻撃の攻撃目標である制御ＥＣＵを示す攻撃ターゲットとを含む当該攻撃の攻撃経路を推定し、前記攻撃経路を出力する。
　本開示の一態様に係るプログラムは、コンピュータに攻撃解析処理を実行させるためのプログラムであって、前記攻撃解析処理は、複数の外部通信インターフェースと複数の制御ＥＣＵとを含む車載ネットワークの構成を示す車載ネットワーク情報と、前記車載ネットワークにおける１以上のノードにおいて検知された異常検知結果を示す異常検知情報と、を取得し、前記車載ネットワーク情報と前記異常検知情報とに基づいて、前記車載ネットワークに対する攻撃における、当該攻撃の前記車載ネットワークへの侵入地点である外部通信インターフェースを示すエントリーポイントと当該攻撃の攻撃目標である制御ＥＣＵを示す攻撃ターゲットとを含む当該攻撃の攻撃経路を推定し、前記攻撃経路を出力する、処理を含む。
　本開示の一態様に係る攻撃解析装置等によれば、車載ネットワークに対する攻撃における、その攻撃のエントリーポイントと攻撃ターゲットとを含む攻撃経路を推定することができる攻撃解析装置等が提供される。
図１は、実施の形態に係る攻撃監視システムの構成の一例を示すブロック図である。 図２は、実施の形態に係る車載ネットワークの構成の一例を示すブロック図である。 図３は、実施の形態に係る統合ＥＣＵの構成の一例を示すブロック図である。 図４は、実施の形態に係る異常検知リストの一例を示す模式図である。 図５は、実施の形態に係る外部通信イベントリストの一例を示す模式図である。 図６は、実施の形態に係る外部通信イベント履歴の一例を示す模式図である。 図７は、実施の形態に係る車両制御イベントリストの一例を示す模式図である。 図８は、実施の形態に係る車両制御イベント履歴の一例を示す模式図である。 図９は、実施の形態に係る攻撃解析装置の構成の一例を示すブロック図である。 図１０は、実施の形態に係る攻撃経路推定結果テーブルの構成の一例を示す模式図である。 図１１は、実施の形態に係る攻撃経路履歴の一例を示す模式図である。 図１２は、実施の形態に係る攻撃監視処理のシーケンス図である。 図１３は、実施の形態に係る攻撃解析処理のフローチャートである。 図１４は、実施の形態に係るエントリーポイント推定処理のフローチャートである。 図１５は、実施の形態に係るエントリーポイント推定処理のフローチャートである。 図１６は、実施の形態に係る攻撃ターゲット推定処理のフローチャートである。 図１７は、実施の形態に係る攻撃ターゲット推定処理のフローチャートである。 図１８は、実施の形態に係る攻撃経路推定結果テーブルの構成の一例を示す模式図である。 図１９は、実施の形態に係る攻撃経路推定処理のフローチャートである。 図２０は、実施の形態に係る攻撃経路信頼度算出処理のフローチャートである。 図２１は、実施の形態に係る攻撃経路推定結果テーブルの構成の一例を示す模式図である。 図２２は、実施の形態に係る攻撃経路推定結果テーブルの構成の一例を示す模式図である。 図２３は、実施の形態に係る第１表示制御処理のフローチャートである。 図２４は、実施の形態に係る表示装置が表示する画面の一例を示す模式図である。 図２５は、実施の形態に係る第２表示制御処理のフローチャートである。 図２６は、実施の形態に係る表示装置が表示する画面の一例を示す模式図である。 図２７は、変形例に係る統合ＥＣＵの構成の一例を示すブロック図である。
　（本開示の一態様を得るに至った経緯）
　発明者らは、車両に搭載する車載ネットワークに対する攻撃があった場合に、その攻撃の分析、その攻撃と過去の事例との照合等といった、その攻撃の解析作業を行うためには、その攻撃の車載ネットワークへの侵入地点である外部通信インターフェースを示すエントリーポイントと、その攻撃の攻撃目標である制御ＥＣＵを示す攻撃ターゲットとを含む、その攻撃の攻撃経路を推定することが重要であると考えた。攻撃経路を推定することができれば、解析作業のコストを削減することができるためである。
　これに対して、車載ネットワークの各ノードにおいて検知される異常検知結果には、異常の未検知、異常の誤検知等が含まれていることがあるため、車載ネットワークの各ノードにおいて検知される異常検知結果を示す異常検知情報からだけでは、攻撃経路の推定が困難になるケースがある。
　そこで、発明者らは、比較的精度よく攻撃経路を推定する方法について、鋭意検討、実験を重ねた。
　その結果、発明者らは、車載ネットワークの構成と異常検知情報とを用いることで、比較的精度よく攻撃経路を推定することができる旨の知見を得た。
　そして、発明者らは、この知見を基に、更に検討、実験を重ね、下記本開示に係る攻撃解析装置、攻撃解析方法、および、プログラムに想到した。
　本開示の一態様に係る攻撃解析装置は、複数の外部通信インターフェースと複数の制御ＥＣＵとを含む車載ネットワークの構成を示す車載ネットワーク情報と、前記車載ネットワークにおける１以上のノードにおいて検知された異常検知結果を示す異常検知情報と、を取得する取得部と、前記車載ネットワーク情報と前記異常検知情報とに基づいて、前記車載ネットワークに対する攻撃における、当該攻撃の前記車載ネットワークへの侵入地点である外部通信インターフェースを示すエントリーポイントと当該攻撃の攻撃目標である制御ＥＣＵを示す攻撃ターゲットとを含む当該攻撃の攻撃経路を推定する攻撃経路推定部と、前記攻撃経路を出力する出力部と、を備える。
　上記構成の攻撃解析装置によると、車載ネットワークに対する攻撃があった場合に、車載ネットワーク情報により示される車載ネットワークの構成と異常検知情報とを用いて、比較的精度よく攻撃経路を推定することができる。このように、上記構成の攻撃解析装置によると、車載ネットワークに対する攻撃における、エントリーポイントと攻撃ターゲットとを含む攻撃経路を推定することができる。
　また、前記取得部は、さらに、前記車載ネットワークが外部と行った通信イベントの履歴を示す外部通信イベント履歴と、前記車載ネットワークを搭載する車両が行った車両制御イベントの履歴を示す車両制御イベント履歴と、を取得し、前記攻撃解析装置は、さらに、前記車載ネットワーク情報と前記異常検知情報と前記外部通信イベント履歴とに基づいて、前記エントリーポイントを推定するエントリーポイント推定部と、前記車載ネットワーク情報と前記異常検知情報と前記車両制御イベント履歴とに基づいて前記攻撃ターゲットを推定する攻撃ターゲット推定部と、を備え、前記攻撃経路推定部は、前記エントリーポイント推定部により推定された前記エントリーポイントと、前記攻撃ターゲット推定部により推定された前記攻撃ターゲットとに基づいて、前記攻撃経路を推定するとしてもよい。
　上記構成の攻撃解析装置は、車載ネットワーク情報と異常検知情報と外部通信イベント履歴とに基づいて、より精度よくエントリーポイントを推定し、車載ネットワーク情報と異常検知情報と車両制御イベント履歴とに基づいて、より精度よく攻撃ターゲットを推定することができる。これにより、上記攻撃解析装置によると、より精度よく攻撃経路を推定することができる。
　また、前記エントリーポイント推定部は、前記複数の外部通信インターフェースのそれぞれについて、前記エントリーポイントとしての信頼度を示すエントリーポイントリスクを算出し、算出したエントリーポイントリスクのそれぞれに基づいて、前記エントリーポイントを推定し、前記攻撃ターゲット推定部は、前記複数の制御ＥＣＵのそれぞれについて、前記攻撃ターゲットとしての信頼度を示す攻撃ターゲットリスクを算出し、算出した攻撃ターゲットリスクのそれぞれに基づいて、前記攻撃ターゲットを推定するとしてもよい。
　これにより、エントリーポイントの推定に、複数の外部通信インターフェースのそれぞれについて算出される、エントリーポイントとしての信頼度を反映させることができ、また、攻撃ターゲットの推定に、複数の制御ＥＣＵのそれぞれについて算出される、攻撃ターゲットとしての信頼度を反映させることができる。
　また、さらに、前記エントリーポイント推定部により算出された、前記エントリーポイントの前記エントリーポイントリスクと、前記攻撃ターゲット推定部により算出された、前記攻撃ターゲットの前記攻撃ターゲットリスクとに基づいて、前記攻撃経路に対して、前記攻撃経路としての信頼度を示す攻撃経路信頼度を算出する攻撃経路信頼度算出部を備え、前記出力部は、さらに、前記攻撃経路信頼度を出力するとしてもよい。
　これにより、出力する攻撃経路に対する、攻撃経路としての信頼度を示す情報を出力することができる。
　また、前記出力部は、前記攻撃経路を含む表示制御信号であって、表示装置に対して、前記車載ネットワークの構成を示す構成図を表示するように、かつ、前記構成図において、前記攻撃経路を他の部分とは異なる表示方法で表示するように前記表示装置を制御する表示制御信号を出力する表示制御部を備えるとしてもよい。
　これにより、攻撃解析装置を利用するユーザに、攻撃経路を視覚的に認識させることができる。
　本開示の一態様に係る攻撃解析方法は、コンピュータにより実行される攻撃解析方法であって、複数の外部通信インターフェースと複数の制御ＥＣＵとを含む車載ネットワークの構成を示す車載ネットワーク情報と、前記車載ネットワークにおける１以上のノードにおいて検知された異常検知結果を示す異常検知情報と、を取得し、前記車載ネットワーク情報と前記異常検知情報とに基づいて、前記車載ネットワークに対する攻撃における、当該攻撃の前記車載ネットワークへの侵入地点である外部通信インターフェースを示すエントリーポイントと当該攻撃の攻撃目標である制御ＥＣＵを示す攻撃ターゲットとを含む当該攻撃の攻撃経路を推定し、前記攻撃経路を出力する。
　上記攻撃解析方法によると、車載ネットワークに対する攻撃があった場合に、車載ネットワーク情報により示される車載ネットワークの構成と異常検知情報とを用いて、比較的精度よく攻撃経路を推定することができる。このように、上記攻撃解析方法によると、車載ネットワークに対する攻撃における、エントリーポイントと攻撃ターゲットとを含む攻撃経路を推定することができる。
　本開示の一態様に係るプログラムは、コンピュータに攻撃解析処理を実行させるためのプログラムであって、前記攻撃解析処理は、複数の外部通信インターフェースと複数の制御ＥＣＵとを含む車載ネットワークの構成を示す車載ネットワーク情報と、前記車載ネットワークにおける１以上のノードにおいて検知された異常検知結果を示す異常検知情報と、を取得し、前記車載ネットワーク情報と前記異常検知情報とに基づいて、前記車載ネットワークに対する攻撃における、当該攻撃の前記車載ネットワークへの侵入地点である外部通信インターフェースを示すエントリーポイントと当該攻撃の攻撃目標である制御ＥＣＵを示す攻撃ターゲットとを含む当該攻撃の攻撃経路を推定し、前記攻撃経路を出力する、処理を含む。
　上記プログラムによると、車載ネットワークに対する攻撃があった場合に、車載ネットワーク情報により示される車載ネットワークの構成と異常検知情報とを用いて、比較的精度よく攻撃経路を推定することができる。このように、上記プログラムによると、車載ネットワークに対する攻撃における、エントリーポイントと攻撃ターゲットとを含む攻撃経路を推定することができる。
　以下、本開示の一態様に係る攻撃解析装置の具体例について、図面を参照しながら説明する。ここで示す実施の形態は、いずれも本開示の一具体例を示すものである。従って、以下の実施の形態で示される数値、形状、構成要素、構成要素の配置および接続形態、ならびに、ステップ（工程）およびステップの順序等は、一例であって本開示を限定する趣旨ではない。また、各図は、模式図であり、必ずしも厳密に図示されたものではない。各図において、実質的に同一の構成に対しては同一の符号を付しており、重複する説明は省略または簡略化する。
　（実施の形態）
　以下、実施の形態に係る攻撃解析装置について説明する。この攻撃解析装置は、車両に搭載される車載ネットワークに対する攻撃における攻撃経路を推定する装置である。
　＜構成＞
　図１は、実施の形態に係る攻撃解析装置１０を利用して、車両３０に搭載される車載ネットワーク２０に対する攻撃を監視する攻撃監視システム１の構成の一例を示すブロック図である。
　図１に示すように、攻撃監視システム１は、監視サーバ４０と、車両３０と、車載ネットワーク２０と、外部ネットワーク５０とを含んで構成される。
　監視サーバ４０は、いわゆるコンピュータ装置であって、プロセッサ（図示されず）と、メモリ（図示されず）と、通信インターフェース（図示されず）と、記憶装置（図示されず）と、ディスプレイ（図示されず）とを備える。
　監視サーバ４０は、メモリに記憶されたプログラムをプロセッサが実行することで、攻撃解析装置１０と表示装置４１とを実現する。
　車両３０は、通信機能を有し、車載ネットワーク２０を搭載する。車両３０は、例えば自動車である。
　外部ネットワーク５０は、インターネット等の広域ネットワークであって、その接続先に、攻撃解析装置１０と、車載ネットワーク２０とを含む。
　図２は、車載ネットワーク２０の構成の一例を示すブロック図である。
　図２に示すように、車載ネットワーク２０は、複数の外部通信インターフェースと、複数の制御ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）と、統合ＥＣＵ２４とを含んで構成される。
　ここで、図２において、複数の外部通信インターフェースは、外部通信ＩＦ＿Ａ２１Ａ、外部通信ＩＦ＿Ｂ２１Ｂ、外部通信ＩＦ＿Ｃ２１Ｃ、および、外部通信ＩＦ＿Ｄ２１Ｄが該当する。以下では、複数の外部通信インターフェースのそれぞれのことを、外部通信ＩＦ２１と称することもある。また、図２において、複数の制御ＥＣＵは、ＥＣＵ＿Ａ２２Ａ、ＥＣＵ＿Ｂ２２Ｂ、ＥＣＵ＿Ｃ２２Ｃ、および、ＥＣＵ＿Ｄ２２Ｄが該当する。以下では、複数の制御ＥＣＵのそれぞれのことを、ＥＣＵ２２と称することもある。
　複数の外部通信ＩＦ２１には、例えば、テレマティクス通信ユニット（ＴＣＵ：Ｔｅｌｅｍａｔｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）、車内インフォティメントシステム、外部アプリ実行装置、または、充電スタンドとの通信を行う通信装置、ＯＢＤ（Ｏｎ－Ｂｏａｒｄ　Ｄｉａｇｎｏｓｔｉｃｓ）ポート等が含まれてもよい。
　複数の外部通信ＩＦ２１のそれぞれは、外部通信ＩＦ２１の異常を検知するＩＤＳ（Ｉｎｔｒｕｓｉｏｎ　Ｄｅｔｅｃｔｉｏｎ　Ｓｙｓｔｅｍ）を備える。ここでは、外部通信ＩＦ＿Ａ２１ＡがＩＤＳ＿Ａ２３Ａを備え、外部通信ＩＦ＿Ｂ２１ＢがＩＤＳ＿Ｂ２３Ｂを備え、外部通信ＩＦ＿Ｃ２１ＣがＩＤＳ＿Ｃ２３Ｃを備え、外部通信ＩＦ＿Ｄ２１ＤがＩＤＳ＿Ｄ２３Ｄを備える。
　複数の外部通信ＩＦ２１は、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）２５、または、イーサネット（登録商標）２６を介して統合ＥＣＵ２４に接続される。
　複数のＥＣＵ２２には、例えば、車両３０の走行を制御する制御ＥＣＵ、ＡＤＡＳ（Ａｄｖａｎｃｅｄ　Ｄｒｉｖｅｒ－Ａｓｓｉｓｔａｎｃｅ　Ｓｙｓｔｅｍ）を制御するＡＤＡＳ制御ＥＣＵ、エアコンを制御するエアコン制御ＥＣＵ等が含まれてもよい。
　ＥＣＵ２２のそれぞれは、ＥＣＵ２２の異常を検知するＩＤＳを備える。ここでは、ＥＣＵ＿Ａ２２ＡがＩＤＳ＿Ｅ２３Ｅを備え、ＥＣＵ＿Ｂ２２ＢがＩＤＳ＿Ｆ２３Ｆを備え、ＥＣＵ＿Ｃ２２ＣがＩＤＳ＿Ｇ２３Ｇを備え、ＥＣＵ＿Ｄ２２ＤがＩＤＳ＿Ｈ２３Ｈを備える。
　複数のＥＣＵ２２は、ＣＡＮ２５、または、イーサネット（登録商標）２６を介して統合ＥＣＵ２４に接続される。
　図３は、統合ＥＣＵ２４の構成の一例を示すブロック図である。
　図３に示すように、ゲートウェイ２９と、セキュリティマスタ２７と、車両制御イベント管理部２８と、ＩＤＳ＿Ｉ２３Ｉと、ＩＤＳ＿Ｊ２３Ｊと、統合ＥＣＵ２４とを備える。
　統合ＥＣＵ２４は、いわゆるコンピュータ装置であって、プロセッサ（図示されず）と、メモリ（図示されず）と、通信インターフェース（図示されず）とを備える。
　統合ＥＣＵ２４は、メモリに記憶されたプログラムをプロセッサが実行することで、ゲートウェイ２９と、セキュリティマスタ２７と、車両制御イベント管理部２８と、統合ＥＣＵ２４の異常を検知するＩＤＳ＿Ｉ２３ＩおよびＩＤＳ＿Ｊ２３Ｊとを実現する。
　ゲートウェイ２９は、ゲートウェイ２９の異常を検知するＩＤＳ＿Ｋ２３ＫおよびＩＤＳ＿Ｌ２３Ｌとを備える。
　以下では、車載ネットワーク２０に含まれる複数のＩＤＳのそれぞれのことを、ＩＤＳ２３と称することもある。
　セキュリティマスタ２７は、車載ネットワーク２０に含まれるＩＤＳ２３が異常を検知した場合に、車載ネットワーク２０における１以上のノードにおいて検知された異常検知結果を示す異常検知情報を生成する。そして、セキュリティマスタ２７は、異常検知情報を生成すると、生成した異常検知情報を、車載ネットワーク２０の構成を示す車載ネットワーク情報と、後述の車両制御イベント履歴と、後述の外部通信イベント履歴と共に、攻撃解析装置１０に送信する。
　ここで、ノードとは、複数の外部通信ＩＦ２１と、ゲートウェイ２９と、複数のＥＣＵ２２とのことを言う。
　図４は、セキュリティマスタ２７が生成する異常検知情報の一例である異常検知リストの一例を示す模式図である。
　図４に示すように、異常検知リストは、車載ネットワーク２０に含まれるノードのそれぞれについて、そのノードの分類と、そのノードの異常を検知するＩＤＳによって異常が検知された日時を示すタイムスタンプと、そのノードの異常を検知するＩＤＳによる異常検知の有無と、そのノードの異常を検知するＩＤＳから出力される異常検知スコアとを対応づけたテーブルである。ここで、異常検知スコアとは、ＩＤＳが検知した異常の異常度合を示すスコアであって、異常度合が大きい程その値が大きくなるスコアである。また、実施の形態１において、外部通信ＩＦ２１はエントリーノードに分類され、ＥＣＵ２２はターゲットノードに分類されるとして説明する。
　セキュリティマスタ２７は、１のＩＤＳ２３が異常を検知すると、その検知を起点とする所定の期間Ｔ１（例えば、２分）内に、車載ネットワーク２０に含まれるＩＤＳ２３によって検知された異常を対象として、異常検知リストを生成する。
　セキュリティマスタ２７は、所定の期間Ｔ１内に同一のＩＤＳ２３が複数回異常を検知する場合には、例えば、それら複数回の異常のうち最初に検知した異常のみを対象として異常検知リストを生成するとしてもよい。これは、一連の連続攻撃を１つの攻撃として取り扱いたいためである。
　図４に示す異常検知リストからは、例えば、エントリーノードに分類される外部通信ＩＦ＿ＢのＩＤＳが、２０２０年８月３０日１０時３２分１０秒に異常を検知し、検知した異常の異常スコアが６０であることが読み取れる。
　再び図３に戻って、統合ＥＣＵ２４の説明を続ける。
　車両制御イベント管理部２８は、予め定められた外部通信イベントリストと、予め定められた車両制御イベントリストとを記憶し、記憶する外部通信イベントリストと、車両制御イベントリストとに基づいて、車載ネットワーク２０が外部と行った通信イベントの履歴を示す外部通信イベント履歴と、車両３０が行った車両制御イベントの履歴を示す車両制御イベント履歴とを生成し、更新し、管理する。
　図５は、車両制御イベント管理部２８が記憶する外部通信イベントリストの一例を示す模式図である。
　図５に示すように、外部通信イベントリストは、車載ネットワーク２０が外部と行う通信イベントを示す外部通信イベントのそれぞれについて、その外部通信イベントの分類と、その外部通信イベントに起因してサイバー攻撃を受ける危険度を示すリスクおよびサブリスクと、その外部通信イベントに係るコメントである優先する経路とを対応付けたテーブルである。ここで、リスクおよびサブリスクは、それぞれ、サイバー攻撃を受ける危険度が高い程その値が大きくなるスコアである。
　図５に示す外部通信イベントリストからは、例えば、「外部通信の確立」に分類される「新規ＩＰアドレスと接続した」という外部通信イベントは、リスクおよびサブリスクが、それぞれ、３および３であることが読み取れる。
　図６は、車両制御イベント管理部２８が生成し、更新し、管理する外部通信イベント履歴の一例を示す模式図である。
　図６に示すように、外部通信イベント履歴は、発生した外部通信イベントのそれぞれについて、その外部通信イベントが発生した日時と、その外部通信イベントを識別する外部通信イベントＩＤと、その外部通信イベントにおいて外部と通信した外部通信ＩＦ２１を識別する外部通信ＩＦＩＤと、その外部通信イベントのリスクを示す外部通信イベントリスクとを対応付けたテーブルである。ここで、外部通信イベントリスクは、外部通信イベントリストのリスクとサブリスクとを組み合わせて表現される。
　図６に示す外部通信イベント履歴からは、例えば、「ＯＢＤポートに外部デバイスを接続した」という外部通信イベントは、２０２０年８月３０日１０時３２分００秒に発生した、外部通信ＩＦＩＤ「ＩＦ０１」で識別される外部通信ＩＦ２１において外部と通信された、外部通信イベントリスクが３－２であるイベントであることが読み取れる。
　図７は、車両制御イベント管理部２８が記憶する車両制御イベントリストの一例を示す模式図である。
　図７に示すように、車両制御イベントリストは、車両３０が行う車両制御イベントを示す車両制御イベントのそれぞれについて、その車両制御イベントの分類と、その車両制御イベントがサイバー攻撃を受けた結果生じたものである場合における、車両３０の安全性を脅かす深刻度を示すリスクおよびサブリスクと、その車両制御イベントに係るコメントである「優先する経路」とを対応付けたテーブルである。ここで、リスクおよびサブリスクは、それぞれ、安全性を脅かす深刻度が高い程その値が大きくなるスコアである。
　図７に示す車両制御イベントリストからは、例えば、「制御指示」に分類される「加速、操舵、減速指示が発行された」という車両制御イベントは、リスクおよびサブリスクが、それぞれ、３および１であることが読み取れる。
　図８は、車両制御イベント管理部２８が生成し、更新し、管理する車両制御イベント履歴の一例を示す模式図である。
　図８に示すように、車両制御イベント履歴は、発生した車両制御イベントのそれぞれについて、その車両制御イベントが発生した日時と、その車両制御イベントを識別する車両制御イベントＩＤと、その車両制御イベントを発生させたＥＣＵ２２を識別するＥＣＵＩＤと、その車両制御イベントのリスクを示す車両制御イベントリスクとを対応付けたテーブルである。ここで、車両制御イベントリスクは、車両制御イベントリストのリスクとサブリスクとを組み合わせて表現される。
　図８に示す車両制御イベント履歴からは、例えば、「エアコンの動作が変化した」という車両制御イベントは、２０２０年８月３０日１０時３０分１５秒に発生した、ＥＣＵＩＤ「ＥＣＵ０２」で識別されるＥＣＵ２２が発生した、車両制御イベントリスクが１－２あるイベントであることが読み取れる。
　再び図３に戻って、統合ＥＣＵ２４の説明を続ける。
　前述したように、セキュリティマスタ２７は、車載ネットワーク２０に含まれるＩＤＳ２３が異常を検知した場合に、異常検知情報を生成し、生成した異常検知情報を、車載ネットワーク情報と、車両制御イベント履歴と、外部通信イベント履歴と共に、攻撃解析装置１０に送信する。
　この際、セキュリティマスタ２７は、必ずしも、車両制御イベント管理部２８が管理する外部通信イベント履歴の全てを攻撃解析装置１０に送信する必要はない。ここでは、セキュリティマスタ２７は、異常を検知した前後の所定の期間Ｔ２（例えば、検知前５分と検知後５分との計１０分）に車載ネットワーク２０が外部と行った通信イベントの外部通信イベント履歴を攻撃解析装置１０に送信するとして説明する。また、この際、セキュリティマスタ２７は、必ずしも、車両制御イベント管理部２８が管理する車両制御イベント履歴の全てを攻撃解析装置１０に送信する必要はない。ここでは、セキュリティマスタ２７は、異常を検知した前後の所定の期間Ｔ２に車両３０が行った車両制御イベントの車両制御イベント履歴を攻撃解析装置１０に送信するとして説明する。
　図９は、攻撃解析装置１０の構成の一例を示すブロック図である。
　図９に示すように、攻撃解析装置１０は、取得部１１と、エントリーポイント推定部１４と、攻撃ターゲット推定部１５と、攻撃経路推定部１２と、攻撃経路推定結果テーブル管理部１７と、攻撃経路信頼度算出部１６と、出力部１３とを備える。
　取得部１１は、セキュリティマスタ２７から送信される、車載ネットワーク情報と、異常検知情報と、外部通信イベント履歴と、車両制御イベント履歴とを取得する。
　エントリーポイント推定部１４は、取得部１１により取得された、車載ネットワーク情報と、異常検知情報と、外部通信イベント履歴とに基づいて、車載ネットワーク２０に対する攻撃における、車載ネットワーク２０への侵入地点である外部通信ＩＦ２１を示すエントリーポイントを推定する。この際、エントリーポイント推定部１４は、複数の外部通信ＩＦ２１のそれぞれについて、エントリーリストとしての信頼度を示すエントリーポイントリスクを算出し、算出したエントリーポイントリスクのそれぞれに基づいて、エントリーポイントを推定する。
　エントリーポイント推定部１４が行う、エントリーポイントの推定の詳細については、後程、フローチャート等を用いて説明する。
　攻撃ターゲット推定部１５は、取得部１１により取得された、車載ネットワーク情報と、異常検知情報と、車両制御イベント履歴とに基づいて、車載ネットワーク２０に対する攻撃における、攻撃目標であるＥＣＵ２２を示す攻撃ターゲットを推定する。この際、攻撃ターゲット推定部１５は、複数のＥＣＵ２２のそれぞれについて、攻撃ターゲットとしての信頼度を示す攻撃ターゲットリスクを算出し、算出した攻撃ターゲットリスクのそれぞれに基づいて、攻撃ターゲットを推定する。
　攻撃ターゲット推定部１５が行う、攻撃ターゲットの推定の詳細については、後程、フローチャート等を用いて説明する。
　攻撃経路推定部１２は、取得部１１により取得された、車載ネットワーク情報と、異常検知情報とに基づいて、車載ネットワーク２０に対する攻撃における、エントリーポイントと攻撃ターゲットとを含む攻撃経路を推定する。実施の形態１においては、攻撃経路推定部１２は、エントリーポイント推定部１４により推定されたエントリーポイントと、攻撃ターゲット推定部１５により推定された攻撃ターゲットと、取得部１１により取得された車載ネットワーク情報と、取得部１１により取得された異常検知情報とに基づいて、攻撃経路を推定するとして説明する。
　攻撃経路推定部１２が行う、攻撃経路の推定の詳細については、後程、フローチャート等を用いて説明する。
　攻撃経路信頼度算出部１６は、エントリーポイント推定部１４により算出された、エントリーポイントのエントリーポイントリスクと、攻撃ターゲット推定部１５により算出された、攻撃ターゲットの攻撃ターゲットリスクとに基づいて、攻撃経路推定部１２により推定された攻撃経路に対して、攻撃経路としての信頼度を示す攻撃経路信頼度を算出する。
　攻撃経路信頼度算出部１６が行う、攻撃経路信頼度の算出の詳細については、後程、フローチャート等を用いて説明する。
　攻撃経路推定結果テーブル管理部１７は、取得部１１が異常検知情報を取得すると、取得部１１により取得された異常検知情報に基づいて、攻撃経路推定結果テーブルを生成する。そして、攻撃経路推定結果テーブル管理部１７は、エントリーポイント推定部１４、攻撃ターゲット推定部１５、攻撃経路推定部１２、または、攻撃経路信頼度算出部１６から出力される各種信号に基づいて、生成した攻撃経路推定結果テーブルを逐次更新し、管理する。
　図１０は、攻撃経路推定結果テーブル管理部１７が生成する攻撃経路推定結果テーブルの一例を示す模式図である。ここで、図１０に示す攻撃経路推定結果テーブルは、取得部１１が異常検知情報を取得することにより、攻撃経路推定結果テーブル管理部１７が生成する、初期状態の攻撃経路推定結果テーブルであって、未だ更新されていない攻撃経路推定結果テーブルの一例を示す模式図である。
　図１０に示すように、攻撃経路推定結果テーブルは、車載ネットワーク２０に含まれるノードのそれぞれについて、そのノードの分類と、そのノードの異常を検知するＩＤＳによって異常が検知された日時を示すタイムスタンプと、そのノードの異常を検知するＩＤＳによる異常検知の有無と、そのノードの異常を検知するＩＤＳから出力される異常検知スコアと、そのノードが外部通信ＩＦ２１である場合においてエントリーポイント推定部１４により推定される、そのノードの異常状態を示す推定結果、または、そのノードがＥＣＵ２２である場合において攻撃ターゲット推定部１５により推定される、そのノードの異常状態を示す推定結果と、そのノードが通信ＩＦ２１である場合においてエントリーポイント推定部１４により算出される、そのノードのエントリーポイントリスク、または、そのノードがＥＣＵ２２である場合において攻撃ターゲット推定部１５により算出される、そのノードの攻撃ターゲットリスクを示すリスクと、そのノードが、攻撃経路推定部１２により推定される攻撃経路に該当するか否かを示す攻撃経路と、攻撃経路信頼度算出部１６により算出されるその攻撃経路の攻撃経路信頼度とを対応付けたテーブルである。ここで、攻撃ターゲット推定部１５またはエントリーポイント推定部１４により推定される推定結果およびリスク値と、攻撃経路推定部１２により推定される攻撃経路との推定方法については後述する。
　図１０に示すように、初期状態の攻撃経路推定結果テーブルは、推定結果と、リスクと、攻撃経路と、攻撃経路信頼度とには、情報が記録されていない。
　攻撃経路推定結果テーブル管理部１７により、逐次更新される攻撃経路推定結果テーブルについては、後述する。
　再び図９に戻って、攻撃解析装置１０の説明を続ける。
　攻撃経路推定結果テーブル管理部１７は、さらに、攻撃経路推定部１２により推定された攻撃経路の履歴を示す攻撃経路履歴を生成し、管理する。
　図１１は、攻撃経路推定結果テーブル管理部１７が管理する攻撃経路履歴の一例を示す模式図である。
　図１１に示すように、攻撃経路履歴は、攻撃経路推定部１２により推定された攻撃経路のそれぞれについて、その攻撃経路に対応する異常通知を識別する異常通知ＩＤと、その攻撃経路について攻撃経路信頼度算出部１６により算出された攻撃経路信頼度と、その攻撃経路のエントリーポイントと、そのエントリーポイントについてエントリーポイント推定部１４により算出されたエントリーポイントリスクと、その攻撃経路の攻撃ターゲットと、その攻撃ターゲットについて攻撃ターゲット推定部１５により算出された攻撃ターゲットリスクとを対応付けたテーブルである。
　再び図９に戻って、攻撃解析装置１０の説明を続ける。
　出力部１３は、攻撃経路推定部１２により推定された攻撃経路を出力する。実施の形態において、出力部１３は、表示装置４１に対して、攻撃経路を含む表示制御信号を出力する表示制御部１８を備えるとして説明する。
　表示制御部１８は、攻撃経路推定部１２が攻撃経路を推定した場合に、攻撃経路を含む表示制御信号であって、表示装置４１に対して、車載ネットワークの構成を示す構成図を示すように、かつ、その構成図において、攻撃経路を他の部分とは異なる表示方法で表示するように表示装置４１を制御する表示制御信号を出力する。この際、表示制御部１８は、出力する表示制御信号を、さらに、攻撃経路推定部１２による推定結果、エントリーポイント推定部１４による推定結果、攻撃ターゲット推定部１５による推定結果、および／または、攻撃経路信頼度算出部１６による算出結果に係る情報を、例えば、テーブル形式で表示するように表示装置４１を制御する表示制御信号としてもよい。ここでは、表示制御部１８は、表示制御信号を、さらに、攻撃経路推定結果テーブル管理部１７が管理する攻撃経路履歴をテーブル形式で表示するように表示装置４１を制御する表示制御信号とするとして説明する。
　表示制御部１８が出力する表示制御信号により制御された表示装置４１が表示する画面の具体例については、後述する。
　＜動作＞
　以下、上記構成の攻撃監視システム１が行う動作について図面を参照しながら説明する。
　図１２は、攻撃監視システム１が行う攻撃監視処理のシーケンス図である。図１３は、攻撃監視システム１が行う攻撃監視処理において、攻撃解析装置１０が行う攻撃解析処理のフローチャートである。
　図１２に示すように、攻撃監視処理において、車載ネットワーク２０に含まれるＩＤＳ２３が異常を検知すると、そのＩＤＳ２３は、異常の検知をセキュリティマスタ２７に通知する。
　ＩＤＳ２３から異常の検知が通知されると、セキュリティマスタ２７は、異常検知情報（ここでは、異常検知リスト）を生成し、車両制御イベント管理部２８に対して、ＩＤＳ２３が異常を検知した前後の所定の期間Ｔ２内の、車両制御イベント履歴と、外部通信イベント履歴とを要求する。
　すると、車両制御イベント管理部２８は、要求された車両制御イベント履歴と、外部通信イベント履歴とを、セキュリティマスタ２７に送信する。
　すると、セキュリティマスタ２７は、車両制御イベント履歴と、外部通信イベント履歴とを取得する。そして、セキュリティマスタ２７は、生成した異常検知情報を、車載ネットワーク情報と、取得した車両制御イベント履歴と、取得した外部通信イベント履歴と共に、攻撃解析装置１０に送信する。
　セキュリティマスタ２７から異常検知情報が送信されると、攻撃解析装置１０は、攻撃開始処理を開始する。
　図１２および図１３に示すように、攻撃開始処理において、取得部１１は、セキュリティマスタ２７から送信された、異常検知情報と、車載ネットワーク情報と、車両制御イベント履歴と、外部通信イベント履歴とを取得する（ステップＳ１０）。
　次に、エントリーポイント推定部１４は、取得部１１により取得された、車載ネットワーク情報と、異常検知情報と、外部通信イベント履歴とに基づいて、エントリーポイントを推定する（ステップＳ２０）。この際、エントリーポイント推定部１４は、エントリーポイントの推定過程において、複数の外部通信ＩＦ２１のそれぞれについてのエントリーポイントリスクを算出する。このエントリーポイントの推定は、エントリーポイント推定部１４が、後述するエントリーポイント推定処理を行うことでなされる。
　次に、攻撃ターゲット推定部１５は、取得部１１により取得された、車載ネットワーク情報と、異常検知情報と、車両制御イベント履歴とに基づいて、攻撃ターゲットを推定する（ステップＳ３０）。この際、攻撃ターゲット推定部１５は、攻撃ターゲットの推定過程において、複数のＥＣＵ２２のそれぞれについての攻撃ターゲットリスクを算出する。この攻撃ターゲットの推定は、攻撃ターゲット推定部１５が、後述する攻撃ターゲット推定処理を行うことでなされる。
　次に、攻撃経路推定部１２は、エントリーポイント推定部１４により推定されたエントリーポイントと、攻撃ターゲット推定部１５により推定された攻撃ターゲットと、取得部１１により取得された車載ネットワーク情報と、取得部１１により取得された異常検知情報とに基づいて、攻撃経路を推定する（ステップＳ４０）。この攻撃経路の推定は、攻撃経路推定部１２が、後述する攻撃経路推定処理を行うことでなされる。
　次に、攻撃経路信頼度算出部１６は、エントリーポイント推定部１４により算出された、エントリーポイントのエントリーポイントリスクと、攻撃ターゲット推定部１５により算出された、攻撃ターゲットの攻撃ターゲットリスクとに基づいて、攻撃経路推定部１２により推定された攻撃経路に対して、攻撃経路信頼度を算出する（ステップＳ５０）。この攻撃経路信頼度の算出は、攻撃経路信頼度算出部１６が、後述する攻撃経路信頼度算出処理を行うことでなされる。
　次に、出力部１３は、攻撃経路推定部１２により推定された攻撃経路を含む表示制御信号を、表示装置４１に出力する（ステップＳ６０）。
　出力部１３が表示制御信号を出力すると、攻撃解析装置１０は、その攻撃開始処理を終了する。
　出力部１３から表示制御信号が出力されると、表示装置４１は、その表示制御信号に基づく画像を表示する。
　表示装置４１が表示制御信号に基づく画像を表示すると、攻撃監視システム１は、その攻撃監視処理を終了する。
　図１４および図１５は、エントリーポイント推定部１４が行うエントリーポイント推定処理のフローチャートである。
　図１４および図１５に示すように、エントリーポイント推定処理が開始されると、エントリーポイント推定部１４は、取得部１１により取得された、車載ネットワーク情報と、異常検知情報と、外部通信イベント履歴とを取得し、車載ネットワーク情報を参照して、車載ネットワーク２０に含まれる複数の外部通信ＩＦ２１のうちの１つの外部通信ＩＦ２１を選択する（ステップＳ８０）。
　そして、エントリーポイント推定部１４は、異常通知情報を参照して、選択中の外部通信ＩＦ２１が備えるＩＤＳ２３が、異常を検知したか否かを調べる（ステップＳ１００）。
　ステップＳ１００の処理において、選択中の外部通信ＩＦ２１が備えるＩＤＳ２３が異常を検知した場合に（ステップＳ１００：Ｙｅｓ）、エントリーポイント推定部１４は、外部通信イベント履歴を参照して、選択中の外部通信ＩＦ２１が外部と通信した外部通信イベントが発生したか否かを調べる（ステップＳ１０１）。
　ステップＳ１０１の処理において、選択中の外部通信ＩＦ２１が外部と通信した外部通信イベントが発生した場合に（ステップＳ１０１：Ｙｅｓ）、エントリーポイント推定部１４は、選択中の外部通信ＩＦ２１に対して、その外部通信ＩＦ２１の異常状態を「異常検知（攻撃リスク高）」と推定し、その外部通信ＩＦ２１のエントリーポイントリスクを５と算出する（ステップＳ１０２）。
　ステップＳ１０１の処理において、選択中の外部通信ＩＦ２１が外部と通信した外部通信イベントが発生しなかった場合に（ステップＳ１０１：Ｎｏ）、エントリーポイント推定部１４は、異常通知情報と外部通信イベント履歴とを参照して、選択中の外部通信ＩＦ２１の直後のＩＤＳ２３が、異常を検知したか否かを調べる（ステップＳ１０３）。
　ステップＳ１０３の処理において、選択中の外部通信ＩＦ２１の直後のＩＤＳ２３が、異常を検知した場合に（ステップＳ１０３：Ｙｅｓ）、エントリーポイント推定部１４は、選択中の外部通信ＩＦ２１に対して、その外部通信ＩＦ２１の異常状態を「異常検知」と推定し、その外部通信ＩＦ２１のエントリーポイントリスクを４と算出する（ステップＳ１０４）。
　ステップＳ１０３の処理において、選択中の外部通信ＩＦ２１の直後のＩＤＳ２３が、異常を検知しなかった場合に（ステップＳ１０３：Ｎｏ）、エントリーポイント推定部１４は、選択中の外部通信ＩＦ２１に対して、その外部通信ＩＦ２１の異常状態を「誤検知」と推定し、その外部通信ＩＦ２１のエントリーポイントリスクを２と算出する（ステップＳ１０５）。
　ステップＳ１００の処理において、選択中の外部通信ＩＦ２１が備えるＩＤＳ２３が異常を検知しなかった場合に（ステップＳ１００：Ｎｏ）、エントリーポイント推定部１４は、外部通信イベント履歴を参照して、選択中の外部通信ＩＦ２１が外部と通信した外部通信イベントが発生したか否かを調べる（ステップＳ１０６）。
　ステップＳ１０６の処理において、選択中の外部通信ＩＦ２１が外部と通信した外部通信イベントが発生した場合に（ステップＳ１０６：Ｙｅｓ）、エントリーポイント推定部１４は、異常通知情報と外部通信イベント履歴とを参照して、選択中の外部通信ＩＦ２１の直後のＩＤＳ２３が、異常を検知したか否かを調べる（ステップＳ１０７）。
　ステップＳ１０７の処理において、選択中の外部通信ＩＦ２１の直後のＩＤＳ２３が、異常を検知した場合に（ステップＳ１０７：Ｙｅｓ）、エントリーポイント推定部１４は、選択中の外部通信ＩＦ２１に対して、その外部通信ＩＦ２１の異常状態を「未検知」と推定し、その外部通信ＩＦ２１のエントリーポイントリスクを３と算出する（ステップＳ１０８）。
　ステップＳ１０７の処理において、選択中の外部通信ＩＦ２１の直後のＩＤＳ２３が、異常を検知しなかった場合に（ステップＳ１０７：Ｎｏ）、エントリーポイント推定部１４は、選択中の外部通信ＩＦ２１に対して、その外部通信ＩＦ２１の異常状態を「攻撃なし（イベントあり）」と推定し、その外部通信ＩＦ２１のエントリーポイントリスクを１と算出する（ステップＳ１０９）。
　ステップＳ１０６の処理において、選択中の外部通信ＩＦ２１が外部と通信した外部通信イベントが発生しなかった場合に（ステップＳ１０６：Ｎｏ）、エントリーポイント推定部１４は、選択中の外部通信ＩＦ２１に対して、その外部通信ＩＦ２１の異常状態を「攻撃なし」と推定し、その外部通信ＩＦ２１のエントリーポイントリスクを０と算出する（ステップＳ１１０）。
　ステップＳ１０２の処理、ステップＳ１０４の処理、ステップＳ１０５の処理、ステップＳ１０８の処理、ステップＳ１０９の処理、または、ステップＳ１１０の処理が終了した場合に、エントリーポイント推定部１４は、車載ネットワーク情報を参照して、車載ネットワーク２０に含まれる複数の外部通信ＩＦ２１のうち、エントリーポイント推定処理において未だ選択したことがない未選択の外部通信ＩＦ２１が存在するか否かを調べる（ステップＳ１１１）。
　ステップＳ１１１の処理において、未選択の外部通信ＩＦ２１が存在する場合に（ステップＳ１１１：Ｙｅｓ）、エントリーポイント推定部１４は、未選択の外部通信ＩＦ２１のうちの１つの外部通信ＩＦ２１を選択し（ステップＳ８１）、ステップＳ１００の処理に進む。
　ステップＳ１１１の処理において、未選択の外部通信ＩＦ２１が存在しない場合に（ステップＳ１１１：Ｎｏ）、エントリーポイント推定部１４は、算出したエントリーポイントリスクが最も大きい外部通信ＩＦ２１を選択する（ステップＳ１１２）。
　ステップＳ１１２の処理において選択した外部通信ＩＦ２１が複数存在する場合に（ステップＳ１１３：Ｙｅｓ）、エントリーポイント推定部１４は、それら外部通信ＩＦ２１のエントリーポイントリスクが１と３と５とのうちのいずれかであるか否かを調べる（ステップＳ１１４）。
　ステップＳ１１４の処理において、エントリーポイントリスクが１と３と５とのうちのいずれかである場合に（ステップＳ１１４：Ｙｅｓ）、エントリーポイント推定部１４は、外部通信イベント履歴を参照して、それら外部通信ＩＦ２１のうち、対応付けられた外部通信イベントリスクのスコアが最も小さい、すなわち、対応づけられた外部通信イベントに起因してサイバー攻撃を受ける危険度が最も高い外部通信ＩＦ２１を、エントリーポイントと推定する（ステップＳ１１５）。
　ステップＳ１１４の処理において、エントリーポイントリスクが１と３と５とのうちのいずれかでない場合に（ステップＳ１１４：Ｎｏ）、エントリーポイント推定部１４は、それら外部通信ＩＦ２１のエントリーポイントリスクが２または４であるか否かを調べる（ステップＳ１１６）。
　ステップＳ１１６の処理において、エントリーポイントリスクが２または４である場合に（ステップＳ１１６：Ｙｅｓ）、エントリーポイント推定部１４は、異常検知情報を参照して、それら外部通信ＩＦ２１のうち、対応付けられた異常検知スコアが最も大きい外部通信ＩＦ２１を、エントリーポイントと推定する（ステップＳ１１７）。
　ステップＳ１１６の処理において、エントリーポイントリスクが２または４でない場合に（ステップＳ１１６：Ｎｏ）、エントリーポイント推定部１４は、異常検知情報と車載ネットワーク情報とを参照して、異常を検知した中間ノードまで最短で結ぶことができる外部通信ＩＦ２１を、エントリーポイントと推定する（ステップＳ１１８）。
　ステップＳ１１２の処理において選択した外部通信ＩＦ２１が複数存在しない場合に（ステップＳ１１３：Ｎｏ）、すなわち選択した外部通信ＩＦ２１が１つである場合に、エントリーポイント推定部１４は、その外部通信ＩＦ２１を、エントリーポイントと推定する（ステップＳ１１９）。
　ステップＳ１１５の処理、ステップＳ１１７の処理、ステップＳ１１８の処理、または、ステップＳ１１９の処理が終了した場合に、エントリーポイント推定部１４は、推定したエントリーポイントを、そのエントリーポイント推定処理の推定結果として出力する（ステップＳ１２０）。
　ステップＳ１２０の処理が終了すると、エントリーポイント推定部１４は、そのエントリーポイント推定処理を終了する。
　図１６および図１７は、攻撃ターゲット推定部１５が行う攻撃ターゲット推定処理のフローチャートである。
　図１６および図１７に示すように、攻撃ターゲット推定処理が開始されると、攻撃ターゲット推定部１５は、取得部１１により取得された、車載ネットワーク情報と、異常検知情報と、車両制御イベント履歴とを取得し、車載ネットワーク情報を参照して、車載ネットワーク２０に含まれる複数のＥＣＵ２２のうちの１つのＥＣＵ２２を選択する（ステップＳ９０）。
　そして、攻撃ターゲット推定部１５は、異常通知情報を参照して、選択中のＥＣＵ２２が備えるＩＤＳ２３が、異常を検知したか否かを調べる（ステップＳ２００）。
　ステップＳ２００の処理において、選択中のＥＣＵ２２が備えるＩＤＳ２３が異常を検知した場合に（ステップＳ２００：Ｙｅｓ）、攻撃ターゲット推定部１５、車両制御イベント履歴を参照して、選択中のＥＣＵ２２による車両制御イベントが発生したか否かを調べる（ステップＳ２０１）。
　ステップＳ２０１の処理において、選択中のＥＣＵ２２による車両制御イベントが発生した場合に（ステップＳ２０１：Ｙｅｓ）、攻撃ターゲット推定部１５は、選択中のＥＣＵ２２に対して、そのＥＣＵ２２の異常状態を「異常検知（攻撃リスク高）」と推定し、そのＥＣＵ２２の攻撃ターゲットリスクを５と算出する（ステップＳ２０２）。
　ステップＳ２０１の処理において、選択中のＥＣＵ２２による車両制御イベントが発生しなかった場合に（ステップＳ２０１：Ｎｏ）、攻撃ターゲット推定部１５は、異常通知情報と車両制御イベント履歴とを参照して、選択中のＥＣＵ２２の直前のＩＤＳ２３が、異常を検知したか否かを調べる（ステップＳ２０３）。
　ステップＳ２０３の処理において、選択中のＥＣＵ２２の直前のＩＤＳ２３が、異常を検知した場合に（ステップＳ２０３：Ｙｅｓ）、攻撃ターゲット推定部１５は、選択中のＥＣＵ２２に対して、そのＥＣＵ２２の異常状態を「異常検知」と推定し、そのＥＣＵ２２の攻撃ターゲットリスクを４と算出する（ステップＳ２０４）。
　ステップＳ２０３の処理において、選択中のＥＣＵ２２の直前のＩＤＳ２３が、異常を検知しなかった場合に（ステップＳ２０３：Ｎｏ）、攻撃ターゲット推定部１５は、選択中のＥＣＵ２２に対して、そのＥＣＵ２２の異常状態を「誤検知」と推定し、そのＥＣＵ２２の攻撃ターゲットリスクを２と算出する（ステップＳ２０５）。
　ステップＳ２００の処理において、選択中のＥＣＵ２２が備えるＩＤＳ２３が異常を検知しなかった場合に（ステップＳ２００：Ｎｏ）、攻撃ターゲット推定部１５は、車両制御イベント履歴を参照して、選択中のＥＣＵ２２による車両制御イベントが発生したか否かを調べる（ステップＳ２０６）。
　ステップＳ２０６の処理において、選択中のＥＣＵ２２による車両制御イベントが発生した場合に（ステップＳ２０６：Ｙｅｓ）、攻撃ターゲット推定部１５は、異常通知情報と車両制御イベント履歴とを参照して、選択中のＥＣＵ２２の直前のＩＤＳ２３が、異常を検知したか否かを調べる（ステップＳ２０７）。
　ステップＳ２０７の処理において、選択中のＥＣＵ２２の直前のＩＤＳ２３が、異常を検知した場合に（ステップＳ２０７：Ｙｅｓ）、攻撃ターゲット推定部１５は、選択中のＥＣＵ２２に対して、そのＥＣＵ２２の異常状態を「未検知」と推定し、そのＥＣＵ２２の攻撃ターゲットリスクを３と算出する（ステップＳ２０８）。
　ステップＳ２０７の処理において、選択中のＥＣＵ２２の直前のＩＤＳ２３が、異常を検知しなかった場合に（ステップＳ２０７：Ｎｏ）、攻撃ターゲット推定部１５は、選択中のＥＣＵ２２に対して、そのＥＣＵ２２の異常状態を「攻撃なし（イベントあり）」と推定し、そのＥＣＵ２２の攻撃ターゲットリスクを１と算出する（ステップＳ２０９）。
　ステップＳ２０６の処理において、選択中のＥＣＵ２２による車両制御イベントが発生しなかった場合に（ステップＳ２０６：Ｎｏ）、攻撃ターゲット推定部１５は、選択中のＥＣＵ２２に対して、そのＥＣＵ２２の異常状態を「攻撃なし」と推定し、そのＥＣＵ２２の攻撃ターゲットリスクを０と算出する（ステップＳ２１０）。
　ステップＳ２０２の処理、ステップＳ２０４の処理、ステップＳ２０５の処理、ステップＳ２０８の処理、ステップＳ２０９の処理、または、ステップＳ２１０の処理が終了した場合に、攻撃ターゲット推定部１５は、車載ネットワーク情報を参照して、車載ネットワーク２０に含まれる複数のＥＣＵ２２のうち、攻撃ターゲット推定処理において未だ選択したことがない未選択のＥＣＵ２２が存在するか否かを調べる（ステップＳ２１１）。
　ステップＳ２１１の処理において、未選択のＥＣＵ２２が存在する場合に（ステップＳ２１１：Ｙｅｓ）、攻撃ターゲット推定部１５は、未選択のＥＣＵ２２のうちの１つのＥＣＵ２２を選択し（ステップＳ９１）、ステップＳ２００の処理に進む。
　ステップＳ２１１の処理において、未選択のＥＣＵ２２が存在しない場合に（ステップＳ２１１：Ｎｏ）、攻撃ターゲット推定部１５は、算出した攻撃ターゲットリスクが最も大きいＥＣＵ２２を選択する（ステップＳ２１２）。
　ステップＳ２１２の処理において選択したＥＣＵ２２が複数存在する場合に（ステップＳ２１３：Ｙｅｓ）、攻撃ターゲット推定部１５は、それらＥＣＵ２２の攻撃ターゲットリスクが１と３と５とのうちのいずれかであるか否かを調べる（ステップＳ２１４）。
　ステップＳ２１４の処理において、攻撃ターゲットリスクが１と３と５とのうちのいずれかである場合に（ステップＳ２１４：Ｙｅｓ）、攻撃ターゲット推定部１５は、車両制御イベント履歴を参照して、それらＥＣＵ２２のうち、対応付けられた車両制御イベントリスクのスコアが最も小さい、すなわち、対応づけられた車両制御イベントが車両３０の安全性を脅かす深刻度が最も高いＥＣＵ２２を、攻撃ターゲットと推定する（ステップＳ２１５）。
　ステップＳ２１４の処理において、攻撃ターゲットリスクが１と３と５とのうちのいずれかでない場合に（ステップＳ２１４：Ｎｏ）、攻撃ターゲット推定部１５は、それらＥＣＵ２２の攻撃ターゲットリスクが２または４であるか否かを調べる（ステップＳ２１６）。
　ステップＳ２１６の処理において、攻撃ターゲットリスクが２または４である場合に（ステップＳ２１６：Ｙｅｓ）、攻撃ターゲット推定部１５は、異常検知情報を参照して、それらＥＣＵ２２のうち、対応付けられた異常検知スコアが最も大きいＥＣＵ２２を、攻撃ターゲットと推定する（ステップＳ２１７）。
　ステップＳ２１６の処理において、攻撃ターゲットリスクが２または４でない場合に（ステップＳ２１６：Ｎｏ）、攻撃ターゲット推定部１５は、異常検知情報と車載ネットワーク情報とを参照して、異常を検知した中間ノードまで最短で結ぶことができるＥＣＵ２２を、攻撃ターゲットと推定する（ステップＳ２１８）。
　ステップＳ２１２の処理において選択したＥＣＵ２２が複数存在しない場合に（ステップＳ２１３：Ｎｏ）、すなわち選択したＥＣＵ２２が１つである場合に、攻撃ターゲット推定部１５は、そのＥＣＵ２２を、攻撃ターゲットと推定する（ステップＳ２１９）。
　ステップＳ２１５の処理、ステップＳ２１７の処理、ステップＳ２１８の処理、または、ステップＳ２１９の処理が終了した場合に、攻撃ターゲット推定部１５は、推定した攻撃ターゲットを、その攻撃ターゲット推定処理の推定結果として出力する（ステップＳ２２０）。
　ステップＳ２２０の処理が終了すると、攻撃ターゲット推定部１５は、その攻撃ターゲット推定処理を終了する。
　図１８は、エントリーポイント推定部１４によりエントリーポイント推定処理が実行され、攻撃ターゲット推定部１５により攻撃ターゲット推定処理が実行された後において、攻撃経路推定結果テーブル管理部１７が更新した攻撃経路推定結果テーブルの一例を示す模式図である。
　図１８に示すように、攻撃経路推定結果テーブル管理部１７は、エントリーポイント推定部１４によりエントリーポイント推定処理が実行され、攻撃ターゲット推定部１５により攻撃ターゲット推定処理が実行されると、攻撃経路推定結果テーブルに対して、エントリーポイント推定部１４により推定された各外部通信ＩＦ２１の異常状態、または、攻撃ターゲット推定部１５により推定された各ＥＣＵ２２の異常状態を、推定結果として記録し、エントリーポイント推定部１４により算出された各外部通信ＩＦ２１のエントリーポイントリスク、または、攻撃ターゲット推定部１５により算出された各ＥＣＵ２２の攻撃ターゲットリスクを、リスクとして記録することで、攻撃経路推定結果テーブルを更新する。
　図１９は、攻撃経路推定部１２が行う攻撃経路推定処理のフローチャートである。
　図１９に示すように、攻撃経路推定処理が開始されると、攻撃経路推定部１２は、取得部１１により取得された、車載ネットワーク情報および異常検知情報と、エントリーポイント推定部１４により推定されたエントリーポイントと、攻撃ターゲット推定部１５により推定された攻撃ターゲットとを取得する（ステップＳ３００）。
　そして、攻撃経路推定部１２は、車載ネットワーク情報により示される車載ネットワーク２０の構成を参照して、エントリーポイントと攻撃ターゲットとを結ぶ１以上の経路のそれぞれを、攻撃経路候補と算出する（ステップＳ３１０）。
　１以上の攻撃経路候補を算出すると、攻撃経路推定部１２は、異常検知情報を参照して、１以上の攻撃経路候補のうち、異常を検知したＩＤＳ２３が最も多い攻撃経路候補を攻撃経路と推定する（ステップＳ３２０）。ここで、攻撃経路推定部１２は、異常を検知したＩＤＳ２３が最も多い攻撃経路候補が複数存在する場合には、それら複数の攻撃経路候補のそれぞれを、攻撃経路と推定する。
　ステップＳ３２０の処理が終了すると、攻撃経路推定部１２は、その攻撃経路推定処理を終了する。
　図２０は、攻撃経路信頼度算出部１６が行う攻撃経路信頼度算出処理のフローチャートである。
　図２０に示すように、攻撃経路信頼度算出処理が開始されると、攻撃経路信頼度算出部１６は、エントリーポイント推定部１４により算出された、エントリーポイントのエントリーポイントリスクと、攻撃ターゲット推定部１５により算出された、攻撃ターゲットの攻撃ターゲットリスクとを取得する（ステップＳ４００）。
　そして、攻撃経路信頼度算出部１６は、取得した、エントリーポイントのエントリーポイントリスクと攻撃ターゲットの攻撃ターゲットリスクとの平均を、攻撃経路信頼度と算出する（ステップＳ４１０）。
　攻撃経路信頼度を算出すると、攻撃経路信頼度算出部１６は、攻撃経路推定部１２により推定された攻撃経路が複数であるか否かを調べる（ステップＳ４２０）。
　ステップＳ４２０の処理において、攻撃経路推定部１２により推定された攻撃経路が複数である場合に（ステップＳ４２０：Ｙｅｓ）、攻撃経路信頼度算出部１６は、攻撃経路信頼度を、攻撃経路の数で補正する（ステップＳ４３０）。ここでは、攻撃経路信頼度算出部１６は、攻撃経路信頼度を、攻撃経路の数で除算することで、攻撃経路信頼度を補正するとして説明する。しかしながら、攻撃経路信頼度算出部１６は、攻撃経路信頼度を、攻撃経路の数で補正することができれば、必ずしも、攻撃経路信頼度を、攻撃経路の数で除算することで、攻撃経路信頼度を補正する構成に限定される必要はない。
　ステップＳ４３０の処理が終了すると、攻撃経路信頼度算出部１６は、その攻撃経路信頼度算出処理を終了する。
　なお、ステップＳ４１０の処理において、攻撃経路信頼度算出部１６は、エントリーポイントのエントリーポイントリスクと攻撃ターゲットの攻撃ターゲットリスクとの平均を、攻撃経路信頼度と算出するとして説明した。これに対して、攻撃経路信頼度算出部１６は、他の方法で攻撃経路信頼度を算出するとしてもよい。例えば、攻撃経路信頼度算出部１６は、取得部１１により取得された車載ネットワーク情報により示される車載ネットワーク２０の構成と、取得部１１により取得された異常検知情報とを参照して、「攻撃経路上における異常を検知したＩＤＳ２３の数」を「攻撃経路上のＩＤＳ２３の総数」で除算して得られる、０．０より大きく１．０以下の数値を、攻撃経路信頼度と算出してもよい。
　図２１、図２２は、攻撃経路推定部１２により攻撃経路推定処理が実行され、攻撃経路信頼度算出処理が実行された後において、攻撃経路推定結果テーブル管理部１７が更新した攻撃経路推定結果テーブルの一例を示す模式図である。ここで、図２１は、攻撃経路推定部１２が１つの攻撃経路を推定した場合における攻撃経路推定結果テーブルの一例を示す模式図であり、図２２は攻撃経路推定部１２が複数（ここでは、２つ）の攻撃経路を推定した場合における攻撃経路推定結果テーブルの一例を示す模式図である。
　図２１、図２２に示すように、攻撃経路推定結果テーブル管理部１７は、攻撃経路推定部１２により攻撃経路推定処理が実行され、攻撃経路信頼度算出処理が実行されると、攻撃経路推定結果テーブルに対して、攻撃経路推定部１２により推定された攻撃経路のそれぞれについて、攻撃経路に該当するノードにマークを記録し、攻撃経路信頼度算出部１６により算出された攻撃経路信頼度を記録することで、攻撃経路推定結果テーブルを更新する。
　図２３は、表示制御部１８が行う第１表示制御処理のフローチャートである。
　図２３に示すように、第１表示制御処理が開始されると、表示制御部１８は、取得部１１により取得された車載ネットワーク情報と、攻撃経路推定部１２により推定された攻撃経路と、攻撃経路推定結果テーブル管理部１７により管理される攻撃経路履歴とを取得する（ステップＳ５００）。
　そして、表示制御部１８は、車載ネットワーク情報により示される車載ネットワーク２０の構成を参照して、車載ネットワークの構成を示す車載ネットワーク構成図を表示装置４１に表示するように表示制御信号を算出する（ステップＳ５１０）。
　さらに、表示制御部１８は、攻撃経路を参照して、攻撃経路を他の部分とは異なる表示方法で表示装置４１に表示するように表示制御信号を算出する（ステップＳ５２０）。
　さらに、表示制御部１８は、攻撃経路履歴をテーブル形式で表示装置４１に表示するように表示制御信号を算出する（ステップＳ５３０）。
　そして、表示制御部１８は、算出した表示制御信号を、表示装置４１に出力する（ステップＳ５４０）。
　ステップＳ５４０の処理が終了すると、表示制御部１８は、その第１表示制御処理を終了する。
　図２４は、表示制御部１８が第１表示処理を実行することで出力する表示制御信号により制御された表示装置４１が表示する画面の一例を示す模式図である。
　図２４に示すように、表示装置４１は、表示制御部１８から出力される表示制御信号により制御されることで、（１）攻撃経路推定部１２により推定された攻撃経路が他の経路と異なる表示方法で表示される車載ネットワーク構成図と、（２）攻撃経路推定部１２により過去において推定された１以上の攻撃経路のそれぞれについて、その攻撃経路に対応する異常通知を識別する異常通知ＩＤと、その攻撃経路の攻撃経路信頼度と、その攻撃経路のエントリーポイントと、そのエントリーポイントのエントリーポイントリスクと、その攻撃経路の攻撃ターゲットと、その攻撃ターゲットの攻撃ターゲットリスクとを、互いに対応付けたテーブル形式のリストとを表示する。
　なお、表示制御部１８は、第１表示制御処理を行う代わりに、第２表示制御処理を行うとしてもよい。
　図２５は、表示制御部１８が行う第２表示制御処理のフローチャートである。
　図２５に示すように、第２表示制御処理は、第１表示制御処理から、ステップＳ５００の処理に替えてステップＳ５０５の処理が実行され、ステップＳ５３０の処理とステップＳ５４０の処理との間に、ステップＳ５３１の処理とステップＳ５３２の処理とが実行される処理である。
　このため、ここでは、ステップＳ５０５の処理と、ステップＳ５３１の処理と、ステップＳ５３２の処理とを中心に説明する。
　図２５に示すように、第２表示制御処理が開始されると、表示制御部１８は、取得部１１により取得された車載ネットワーク情報および異常検知情報と、攻撃経路推定部１２により推定された攻撃経路と、攻撃経路推定結果テーブル管理部１７により管理される攻撃経路履歴とを取得し（ステップＳ５０５）、ステップＳ５１０の処理に進む。
　ステップＳ５３０の処理が終了すると、表示制御部１８は、異常検知情報を参照して、攻撃経路に含まれない、異常を検知したＩＤＳ２３が存在するか否かを調べる（ステップＳ５３１）。
　ステップＳ５３０の処理において、攻撃経路に含まれない、異常を検知したＩＤＳ２３が存在する場合に（ステップＳ５３１：Ｙｅｓ）、表示制御部１８は、該当するＩＤＳを含むノードを、攻撃経路とも他の部分とも異なる表示方法で表示装置４１に表示するように表示制御信号を算出する（ステップＳ５３２）。
　ステップＳ５３０の処理において、攻撃経路に含まれない、異常を検知したＩＤＳ２３が存在しない場合（ステップＳ５３１：Ｎｏ）、または、ステップＳ５３２の処理が終了した場合に、ステップＳ５４０の処理に進む。
　ステップＳ５４０の処理が終了すると、表示制御部１８は、その第２表示制御処理を終了する。
　図２６は、表示制御部１８が第２表示処理を実行することで出力する表示制御信号により制御された表示装置４１が表示する画面の一例を示す模式図である。
　図２６に示すように、表示装置４１は、表示制御部１８から出力される表示制御信号により制御されることで、（１）攻撃経路推定部１２により推定された攻撃経路が他の経路と異なる表示方法で表示され、さらに、攻撃経路に含まれない、異常を検知したＩＤＳ２３を含むノードが、攻撃経路とも他の部分とも異なる表示方法で表示される車載ネットワーク構成図と、（２）攻撃経路推定部１２により過去において推定された１以上の攻撃経路のそれぞれについて、その攻撃経路に対応する異常通知を識別する異常通知ＩＤと、その攻撃経路の攻撃経路信頼度と、その攻撃経路のエントリーポイントと、そのエントリーポイントのエントリーポイントリスクと、その攻撃経路の攻撃ターゲットと、その攻撃ターゲットの攻撃ターゲットリスクとを、互いに対応付けたテーブル形式のリストとを表示する。
　＜考察＞
　上述したように、攻撃解析装置１０によると、車載ネットワーク２０に対する攻撃があった場合に、その攻撃における、エントリーポイントと攻撃ターゲットとを含む攻撃経路を推定することができる。これにより、攻撃解析装置１０を利用するユーザは、車載ネットワーク２０に対する攻撃があった場合に、その攻撃の分析、その攻撃と過去の事例との照合等といった、その攻撃の解析作業のコストを削減することができる。
　また、上述したように、攻撃解析装置１０によると、表示装置４１に、推定される攻撃経路が他の経路と異なる表示方法で表示される車載ネットワーク構成図を表示させることができる。これにより、攻撃解析装置１０を利用するユーザは、推定される攻撃経路を、視覚的に認識することができる。
　（補足）
　以上のように、本出願において開示する技術の例示として、実施の形態に基づいて説明した。しかしながら、本開示は、この実施の形態に限定されるものではない。本開示の趣旨を逸脱しない限り、当業者が思いつく各種変形を本実施の形態に施したものや、異なる実施の形態における構成要素を組み合わせて構築される形態も、本開示の１つまたは複数の態様の範囲内に含まれてもよい。
　（１）実施の形態において、攻撃解析装置１０は、車載ネットワーク２０の外部に存在する監視サーバ４０により実現されるとして説明した。しかしながら、攻撃解析装置１０は、必ずしも監視サーバ４０により実現される例に限定される必要はなく、さらには、車載ネットワーク２０の外部の装置において実現される例に限定される必要もない。一例として、攻撃解析装置１０が、車載ネットワーク２０に含まれる統合ＥＣＵにより実現される例が考えられる。
　図２７は、変形例に係る統合ＥＣＵ２４Ａの構成の一例を示すブロック図である。統合ＥＣＵ２４Ａは、例えば、いわゆるコンピュータ装置であって、プロセッサ（図示されず）と、メモリ（図示されず）とを備え、メモリに記憶されたプログラムをプロセッサが実行することで、攻撃解析装置１０を実現する。
　（２）攻撃解析装置１０に含まれる構成要素の一部または全部は、専用または汎用の回路として実現されてもよい。
　攻撃解析装置１０に含まれる構成要素の一部または全部は、例えば、１個のシステムＬＳＩ（Ｌａｒｇｅ　Ｓｃａｌｅ　Ｉｎｔｅｇｒａｔｉｏｎ：大規模集積回路）から構成されているとしてもよい。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ（Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）、ＲＡＭ（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）などを含んで構成されるコンピュータシステムである。ＲＯＭには、コンピュータプログラムが記憶されている。マイクロプロセッサが、コンピュータプログラムに従って動作することにより、システムＬＳＩは、その機能を達成する。
　なお、ここでは、システムＬＳＩとしたが、集積度の違いにより、ＩＣ、ＬＳＩ、スーパーＬＳＩ、ウルトラＬＳＩと呼称されることもある。また、集積回路化の手法はＬＳＩに限るものではなく、専用回路または汎用プロセッサで実現してもよい。ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（Ｆｉｅｌｄ　Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙ）、あるいはＬＳＩ内部の回路セルの接続や設定を再構成可能なリコンフィギュラブル・プロセッサを利用してもよい。
　さらには、半導体技術の進歩または派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて機能ブロックの集積化を行ってもよい。バイオ技術の適用等が可能性としてありえる。
　（３）本開示の一態様は、このような攻撃解析装置１０だけではなく、攻撃解析装置１０に含まれる特徴的な構成部をステップとする異常検知方法であってもよい。また、本開示の一態様は、攻撃解析方法に含まれる特徴的な各ステップをコンピュータに実行させるコンピュータプログラムであってもよい。また、本開示の一態様は、そのようなコンピュータプログラムが記録された、コンピュータ読み取り可能な非一時的な記録媒体であってもよい。
　本開示は、ネットワークに対するサイバー攻撃を解析する攻撃解析装置に広く利用可能である。
　１　攻撃監視システム
　１０　攻撃解析装置
　１１　取得部
　１２　攻撃経路推定部
　１３　出力部
　１４　エントリーポイント推定部
　１５　攻撃ターゲット推定部
　１６　攻撃経路信頼度算出部
　１７　攻撃経路推定結果テーブル管理部
　１８　表示制御部
　２０　車載ネットワーク
　２１　外部通信インターフェース（外部通信ＩＦ）
　２１Ａ　外部通信ＩＦ＿Ａ
　２１Ｂ　外部通信ＩＦ＿Ｂ
　２１Ｃ　外部通信ＩＦ＿Ｃ
　２１Ｄ　外部通信ＩＦ＿Ｄ
　２２　制御ＥＣＵ（ＥＣＵ）
　２２Ａ　ＥＣＵ＿Ａ
　２２Ｂ　ＥＣＵ＿Ｂ
　２２Ｃ　ＥＣＵ＿Ｃ
　２２Ｄ　ＥＣＵ＿Ｄ
　２３　ＩＤＳ
　２３Ａ　ＩＤＳ＿Ａ
　２３Ｂ　ＩＤＳ＿Ｂ
　２３Ｃ　ＩＤＳ＿Ｃ
　２３Ｄ　ＩＤＳ＿Ｄ
　２３Ｅ　ＩＤＳ＿Ｅ
　２３Ｆ　ＩＤＳ＿Ｆ
　２３Ｇ　ＩＤＳ＿Ｇ
　２３Ｈ　ＩＤＳ＿Ｈ
　２３Ｉ　ＩＤＳ＿Ｉ
　２３Ｊ　ＩＤＳ＿Ｊ
　２３Ｋ　ＩＤＳ＿Ｋ
　２３Ｌ　ＩＤＳ＿Ｌ
　２４、２４Ａ　統合ＥＣＵ
　２５　ＣＡＮ
　２６　イーサネット
　２７　セキュリティマスタ
　２８　車両制御イベント管理部
　２９　ゲートウェイ
　３０　車両
　４０　監視サーバ
　４１　表示装置
　５０　外部ネットワーク

Claims (7)

  1. 　複数の外部通信インターフェースと複数の制御ＥＣＵとを含む車載ネットワークの構成を示す車載ネットワーク情報と、前記車載ネットワークにおける１以上のノードにおいて検知された異常検知結果を示す異常検知情報と、を取得する取得部と、
    　前記車載ネットワーク情報と前記異常検知情報とに基づいて、前記車載ネットワークに対する攻撃における、当該攻撃の前記車載ネットワークへの侵入地点である外部通信インターフェースを示すエントリーポイントと当該攻撃の攻撃目標である制御ＥＣＵを示す攻撃ターゲットとを含む当該攻撃の攻撃経路を推定する攻撃経路推定部と、
    　前記攻撃経路を出力する出力部と、を備える
    　攻撃解析装置。
  2. 　前記取得部は、さらに、前記車載ネットワークが外部と行った通信イベントの履歴を示す外部通信イベント履歴と、前記車載ネットワークを搭載する車両が行った車両制御イベントの履歴を示す車両制御イベント履歴と、を取得し、
    　前記攻撃解析装置は、さらに、
    　前記車載ネットワーク情報と前記異常検知情報と前記外部通信イベント履歴とに基づいて、前記エントリーポイントを推定するエントリーポイント推定部と、
    　前記車載ネットワーク情報と前記異常検知情報と前記車両制御イベント履歴とに基づいて前記攻撃ターゲットを推定する攻撃ターゲット推定部と、を備え、
    　前記攻撃経路推定部は、前記エントリーポイント推定部により推定された前記エントリーポイントと、前記攻撃ターゲット推定部により推定された前記攻撃ターゲットとに基づいて、前記攻撃経路を推定する
    　請求項１に記載の攻撃解析装置。
  3. 　前記エントリーポイント推定部は、前記複数の外部通信インターフェースのそれぞれについて、前記エントリーポイントとしての信頼度を示すエントリーポイントリスクを算出し、算出したエントリーポイントリスクのそれぞれに基づいて、前記エントリーポイントを推定し、
    　前記攻撃ターゲット推定部は、前記複数の制御ＥＣＵのそれぞれについて、前記攻撃ターゲットとしての信頼度を示す攻撃ターゲットリスクを算出し、算出した攻撃ターゲットリスクのそれぞれに基づいて、前記攻撃ターゲットを推定する
    　請求項２に記載の攻撃解析装置。
  4. 　さらに、前記エントリーポイント推定部により算出された、前記エントリーポイントの前記エントリーポイントリスクと、前記攻撃ターゲット推定部により算出された、前記攻撃ターゲットの前記攻撃ターゲットリスクとに基づいて、前記攻撃経路に対して、前記攻撃経路としての信頼度を示す攻撃経路信頼度を算出する攻撃経路信頼度算出部を備え、
    　前記出力部は、さらに、前記攻撃経路信頼度を出力する
    　請求項３に記載の攻撃解析装置。
  5. 　前記出力部は、前記攻撃経路を含む表示制御信号であって、表示装置に対して、前記車載ネットワークの構成を示す構成図を表示するように、かつ、前記構成図において、前記攻撃経路を他の部分とは異なる表示方法で表示するように前記表示装置を制御する表示制御信号を出力する表示制御部を備える
    　請求項１から請求項４のいずれか１項に記載の攻撃解析装置。
  6. 　コンピュータにより実行される攻撃解析方法であって、
    　複数の外部通信インターフェースと複数の制御ＥＣＵとを含む車載ネットワークの構成を示す車載ネットワーク情報と、前記車載ネットワークにおける１以上のノードにおいて検知された異常検知結果を示す異常検知情報と、を取得し、
    　前記車載ネットワーク情報と前記異常検知情報とに基づいて、前記車載ネットワークに対する攻撃における、当該攻撃の前記車載ネットワークへの侵入地点である外部通信インターフェースを示すエントリーポイントと当該攻撃の攻撃目標である制御ＥＣＵを示す攻撃ターゲットとを含む当該攻撃の攻撃経路を推定し、
    　前記攻撃経路を出力する
    　攻撃解析方法。
  7. 　コンピュータに攻撃解析処理を実行させるためのプログラムであって、
    　前記攻撃解析処理は、
    　複数の外部通信インターフェースと複数の制御ＥＣＵとを含む車載ネットワークの構成を示す車載ネットワーク情報と、前記車載ネットワークにおける１以上のノードにおいて検知された異常検知結果を示す異常検知情報と、を取得し、
    　前記車載ネットワーク情報と前記異常検知情報とに基づいて、前記車載ネットワークに対する攻撃における、当該攻撃の前記車載ネットワークへの侵入地点である外部通信インターフェースを示すエントリーポイントと当該攻撃の攻撃目標である制御ＥＣＵを示す攻撃ターゲットとを含む当該攻撃の攻撃経路を推定し、
    　前記攻撃経路を出力する、処理を含む
    　プログラム。
PCT/JP2021/025100 2020-11-20 2021-07-02 攻撃解析装置、攻撃解析方法、および、プログラム WO2022107378A1 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
CN202180076369.9A CN116438496A (zh) 2020-11-20 2021-07-02 攻击解析装置、攻击解析方法及程序
EP21894255.5A EP4250151A4 (en) 2020-11-20 2021-07-02 ATTACK ANALYSIS DEVICE, ATTACK ANALYSIS METHOD, AND PROGRAM
JP2022563569A JPWO2022107378A1 (ja) 2020-11-20 2021-07-02
US18/195,586 US20230283617A1 (en) 2020-11-20 2023-05-10 Attack analysis device, attack analysis method, and non-transitory computer-readable recording medium

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US202063116430P 2020-11-20 2020-11-20
US63/116,430 2020-11-20

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US18/195,586 Continuation US20230283617A1 (en) 2020-11-20 2023-05-10 Attack analysis device, attack analysis method, and non-transitory computer-readable recording medium

Publications (1)

Publication Number Publication Date
WO2022107378A1 true WO2022107378A1 (ja) 2022-05-27

Family

ID=81708693

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2021/025100 WO2022107378A1 (ja) 2020-11-20 2021-07-02 攻撃解析装置、攻撃解析方法、および、プログラム

Country Status (5)

Country Link
US (1) US20230283617A1 (ja)
EP (1) EP4250151A4 (ja)
JP (1) JPWO2022107378A1 (ja)
CN (1) CN116438496A (ja)
WO (1) WO2022107378A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2024070859A1 (ja) * 2022-09-30 2024-04-04 株式会社デンソー 攻撃分析装置、攻撃分析方法、及び攻撃分析プログラム

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2010152773A (ja) * 2008-12-26 2010-07-08 Mitsubishi Electric Corp 攻撃判定装置及び攻撃判定方法及びプログラム
JP2015026252A (ja) 2013-07-26 2015-02-05 株式会社豊田中央研究所 異常検知装置及びプログラム
JP2019174426A (ja) * 2018-03-29 2019-10-10 パナソニックＩｐマネジメント株式会社 異常検知装置、異常検知方法およびプログラム
JP2020150430A (ja) * 2019-03-14 2020-09-17 パナソニックＩｐマネジメント株式会社 情報処理装置、情報処理システム、情報処理方法およびコンピュータプログラム
WO2020189668A1 (ja) * 2019-03-20 2020-09-24 パナソニックＩｐマネジメント株式会社 リスク分析装置及びリスク分析方法

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6669138B2 (ja) * 2017-07-19 2020-03-18 トヨタ自動車株式会社 攻撃監視システムおよび攻撃監視方法

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2010152773A (ja) * 2008-12-26 2010-07-08 Mitsubishi Electric Corp 攻撃判定装置及び攻撃判定方法及びプログラム
JP2015026252A (ja) 2013-07-26 2015-02-05 株式会社豊田中央研究所 異常検知装置及びプログラム
JP2019174426A (ja) * 2018-03-29 2019-10-10 パナソニックＩｐマネジメント株式会社 異常検知装置、異常検知方法およびプログラム
JP2020150430A (ja) * 2019-03-14 2020-09-17 パナソニックＩｐマネジメント株式会社 情報処理装置、情報処理システム、情報処理方法およびコンピュータプログラム
WO2020189668A1 (ja) * 2019-03-20 2020-09-24 パナソニックＩｐマネジメント株式会社 リスク分析装置及びリスク分析方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP4250151A4

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2024070859A1 (ja) * 2022-09-30 2024-04-04 株式会社デンソー 攻撃分析装置、攻撃分析方法、及び攻撃分析プログラム

Also Published As

Publication number Publication date
US20230283617A1 (en) 2023-09-07
EP4250151A1 (en) 2023-09-27
JPWO2022107378A1 (ja) 2022-05-27
CN116438496A (zh) 2023-07-14
EP4250151A4 (en) 2024-05-01

Similar Documents

Publication Publication Date Title
EP4106298B1 (en) Vehicle anomaly detection server, vehicle anomaly detection system, and vehicle anomaly detection method
CN110300686B (zh) 数据分析装置及存储介质
EP3744584A1 (en) Vehicle monitoring device, fraud detection server, and control method
CN106462702B (zh) 用于在分布式计算机基础设施中获取并且分析电子取证数据的方法和系统
WO2019064813A1 (ja) 車両診断装置、車両診断システム及び車両診断プログラム
CN112740185A (zh) 分析装置、分析系统、分析方法以及程序
EP3744582B1 (en) Data analysis device and program
US11924225B2 (en) Information processing apparatus, information processing method, and recording medium
US11962605B2 (en) Information processing apparatus, data analysis method and program
KR20180109642A (ko) 차량 네트워크 통신보안성 평가 및 모니터링 장치
WO2022107378A1 (ja) 攻撃解析装置、攻撃解析方法、および、プログラム
CN110325410B (zh) 数据分析装置及存储介质
JP7346688B2 (ja) 情報処理装置、情報処理方法及びプログラム
CN112153070A (zh) 车载can总线的异常检测方法、设备、存储介质及装置
JPWO2022107378A5 (ja)
KR20160062259A (ko) 차량 이상 상태를 관리하기 위한 방법, 시스템 및 컴퓨터 판독 가능한 기록매체
US20130325203A1 (en) Methods and systems for monitoring a vehicle for faults
CN112019512A (zh) 汽车网络安全测试系统
KR101902823B1 (ko) 차량 네트워크 통신보안성 평가 및 모니터링 장치
CN114846767A (zh) 用于解决矛盾的设备分析数据的技术
WO2023000819A1 (zh) 设备查找方法、装置、系统和计算机可读介质
US20220103583A1 (en) Information transmission device, server, and information transmission method
WO2022181495A1 (ja) 情報処理システム、情報処理方法、及びプログラム
WO2023021840A1 (ja) 検知ルール出力方法、及び、セキュリティシステム
CN116026364A (zh) 车辆导航故障处理方法、装置、设备及存储介质

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 21894255

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2022563569

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2021894255

Country of ref document: EP

Effective date: 20230620