WO2023048187A1 - 車両セキュリティ分析装置、方法およびそのプログラム - Google Patents

車両セキュリティ分析装置、方法およびそのプログラム Download PDF

Info

Publication number
WO2023048187A1
WO2023048187A1 PCT/JP2022/035184 JP2022035184W WO2023048187A1 WO 2023048187 A1 WO2023048187 A1 WO 2023048187A1 JP 2022035184 W JP2022035184 W JP 2022035184W WO 2023048187 A1 WO2023048187 A1 WO 2023048187A1
Authority
WO
WIPO (PCT)
Prior art keywords
analysis
vehicle
target data
type
information
Prior art date
Application number
PCT/JP2022/035184
Other languages
English (en)
French (fr)
Inventor
哲 上野
厚司 若杉
健介 中田
靖伸 千葉
Original Assignee
エヌ・ティ・ティ・コミュニケーションズ株式会社
Ｎｔｔセキュリティ・ジャパン株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by エヌ・ティ・ティ・コミュニケーションズ株式会社, Ｎｔｔセキュリティ・ジャパン株式会社 filed Critical エヌ・ティ・ティ・コミュニケーションズ株式会社
Priority to CN202280057310.XA priority Critical patent/CN117836769A/zh
Priority to EP22872938.0A priority patent/EP4407494A1/en
Publication of WO2023048187A1 publication Critical patent/WO2023048187A1/ja
Priority to US18/583,163 priority patent/US20240236139A1/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/04—Network management architectures or arrangements
    • H04L41/042—Network management architectures or arrangements comprising distributed management centres cooperatively managing the network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/14—Network analysis or design
    • H04L41/142—Network analysis or design using statistical or mathematical methods
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection

Definitions

  • One aspect of the present invention relates to, for example, a vehicle security analysis device for monitoring and analyzing the state of security of an in-vehicle network built in a vehicle, and methods and programs executed in this device.
  • a vehicle security operation center (SOC) has been established, and various technologies for analyzing the types and details of cyber threats/attacks on in-vehicle systems are being studied at this vehicle SOC.
  • SOC vehicle security operation center
  • a plurality of sensors are arranged in an in-vehicle device mounted on a vehicle to be monitored, and sensor logs generated from these sensors are collected by the vehicle SOC via a network. Then, in the vehicle SOC, cyber threats/attacks on the in-vehicle device are analyzed based on the collected sensor logs (see Patent Literature 1, for example).
  • the present invention has been made in view of the above circumstances.
  • One aspect of the present invention is to suppress an increase in the processing load required for analyzing data to be analyzed and a decrease in analysis throughput even if the number of types of in-vehicle devices to be managed increases.
  • one aspect of the present invention is an apparatus or method for acquiring and analyzing analysis target data related to the operating state of an in-vehicle device mounted in a vehicle and connectable to a network via the network.
  • correspondence information representing a correspondence relationship between the vehicle and a plurality of analysis logics prepared in advance corresponding to the type of the in-vehicle device installed in the vehicle is set in a storage unit.
  • the type of the in-vehicle device that is the source of the analysis target data is determined based on the attribute information included in the acquired analysis target data.
  • each time analysis target data is acquired from an in-vehicle device, an analysis logic associated with the type of the in-vehicle device that generated the data is selected from a large number of analysis logics.
  • Analysis logic is used to analyze the data to be analyzed. That is, each data to be analyzed is distributed to analysis logics having functions corresponding to the analysis processing. For this reason, irrespective of the type of in-vehicle device, all the analysis target data are analyzed using, for example, one integrated analysis logic, or a plurality of analysis logics are selected in a predetermined order. It is possible to reduce the processing load required for the processing, and to suppress the decrease in the throughput of the analysis processing.
  • FIG. 1 is a diagram showing the overall configuration of a vehicle security monitoring system including a vehicle security analysis device according to one embodiment of the present invention.
  • FIG. 2 is a diagram showing an example of the configuration of an in-vehicle device to be analyzed for cybersecurity in the system shown in FIG.
  • FIG. 3 is a block diagram showing the hardware configuration of the vehicle security analysis device according to one embodiment of the invention.
  • FIG. 4 is a block diagram showing the software configuration of the vehicle security analysis device according to one embodiment of the invention.
  • FIG. 5 is a diagram showing an example of a vehicle configuration correspondence database provided in the vehicle security analysis device shown in FIG. 6 is a diagram showing an example of an analysis logic database included in the vehicle security analysis device shown in FIG. 4.
  • FIG. FIG. 7 is a flow chart showing the procedure and processing contents of analysis processing by the vehicle security analysis device shown in FIG.
  • FIG. 1 is a diagram showing an example of the configuration of a vehicle security monitoring system according to one embodiment of the present invention.
  • a vehicle security monitoring system includes, for example, an OEM (Original Equipment Manufacture) center CN operated by a vehicle manufacturer.
  • OEM Operate Equipment Manufacture
  • a vehicle manufacturer Generally, an OEM center CN is installed for each vehicle manufacturer, but the OEM center CN of one vehicle manufacturer will be described here as an example.
  • the vehicle manufacturer's OEM center CN is capable of data transmission with multiple vehicles MV1 to MVn managed by the company via the mobile communication network MNW and gateway GW1.
  • the OEM center CN provides various services for the vehicles MV1 to MVn, and includes a management server OSV. Under the control of the management server OSV, the OEM center CN collects, for example, sensor log data transmitted from vehicles MV1 to MVn via the mobile communication network MNW and gateway GW1, and the collected sensor log data will be described later. It is provided to the vehicle SOC server SSV. Along with this, it also plays a role of distributing software to the vehicles MV1 to MVn and updating the software after distribution.
  • the mobile communication network MNW for example, a cellular mobile communication network or a wireless LAN (Local Area Network) is used, but it is not limited to this.
  • a cellular mobile communication network or a wireless LAN Local Area Network
  • a vehicle security operation center (SOC) server SSV is connected to the vehicle manufacturer's OEM center CN.
  • the vehicle SOC server SSV is used as a vehicle security analysis device according to one embodiment of the present invention, and its function will be described later in detail.
  • the vehicle manufacturer's OEM center CN is also connected to the Internet INW via the gateway GW2, and data communication is also possible with the external server ESV via this Internet INW.
  • the external server ESV is operated and managed by Auto-ISAC (Automotive Information Sharing and Analysis Center), for example, and has a database that accumulates threat information related to cyber threats and potential vulnerabilities related to connected cars. provided to the vehicle SOC server SSV.
  • Auto-ISAC Automotive Information Sharing and Analysis Center
  • the vehicle security monitoring system is equipped with, for example, a SIRT (Security Incident Response Team) server ISV operated by vehicle manufacturers.
  • SIRT server ISV is capable of data transmission with the OEM center CN of the corresponding vehicle manufacturer and with the vehicle SOC server SSV.
  • the SIRT server ISV is operated by, for example, an organization (SIRT) that implements necessary safety management, support, and incident response throughout the development life cycle of vehicle manufacturers or their in-vehicle devices.
  • SIRT server ISV has, for example, a threat information database that stores vehicle manufacturer-specific cyber threat information, and transmits the cyber threat information to the vehicle SOC server SSV in response to a request from the vehicle SOC server SSV.
  • the SIRT server ISV also presents, for example, the security analysis report provided by the vehicle SOC server SSV to the SIRT administrator. Then, when the SIRT administrator inputs a response policy, etc. determined for each vehicle manufacturer based on the analysis report, it has a function of transmitting a recall instruction including the response policy, etc. to the vehicle concerned.
  • the cyber threat information is defined by, for example, a combination of threat type and risk scale.
  • the analysis report is also described, for example, using a combination of the threat type and risk scale.
  • FIG. 2 is a block diagram showing an example of the configuration of the in-vehicle device VU installed in each of the vehicles MV1-MVn.
  • the in-vehicle device VU is equipped with multiple electronic control units (ECU) 4.
  • the ECU 4 is connected to an in-vehicle gateway (CGW) 1 via an in-vehicle network 2 called CAN (Control Area Network), for example.
  • CGW Control Area Network
  • a communication control unit (TCU) 5 and a navigation device (IVI) 3 are also connected to the CGW 1 .
  • Each of the ECUs 4 is configured to perform a predetermined control function by causing a processor to execute a program. , a device for controlling the opening and closing of door locks and windows, a device for controlling air conditioning, and the like.
  • the vehicles MV1 to MVn include measurement data from various vehicle sensors related to the operating state of the vehicle, such as speed sensors, temperature sensors, and vibration sensors. A large number of sensors such as sensors outside the vehicle are provided to monitor the situation, and the ECU 4 is also used as a device for capturing sensing data output from these sensors. Furthermore, it is also used as an automatic driving control device and a device for monitoring the state of the driver.
  • the TCU5 communicates between the vehicle-mounted device VU and the mobile communication network MNW using IP (Internet Protocol). Also, it is used to transmit log data indicating the detection result of the operation state of each component of the vehicle-mounted device VU to the OEM center CN of the vehicle manufacturer.
  • IP Internet Protocol
  • IVI3 has a USB port and a wireless interface.
  • Various types of data are written to and read from a USB device (not shown) via the USB port, data is sent to and received from a mobile terminal such as a smartphone via a wireless interface, and data is exchanged with the outside. It has the function of sending and receiving data.
  • a wireless interface for example, Bluetooth (registered trademark) or WiFi (registered trademark) is used.
  • the onboard device VU has an external interface port (OBD-II) 6.
  • OBD-II port 6 can be connected to a testing device or a personal computer.
  • the test equipment and personal computer are used, for example, to test the ECU 4 and to install update programs and control data to the ECU 4 .
  • the CGW 1 performs IP/CAN protocol conversion when transferring data between the TCU 5 and each ECU 4, IVI 3 and OBD-II port 6.
  • in-vehicle device VU An example of the in-vehicle device VU has been described above, but it goes without saying that the type, that is, the configuration and function of the in-vehicle device VU differs from vehicle manufacturer to vehicle manufacturer. or have different functions.
  • Vehicle SOC server SSV 3 and 4 are block diagrams showing the hardware configuration and software configuration of the vehicle SOC server SSV, respectively.
  • the vehicle SOC server has a function to analyze cyber-attacks on vehicles MV1 to MVn on behalf of the vehicle manufacturer's OEM center CN and notify the corresponding vehicle manufacturer's SIRT server ISV of the analysis results.
  • the vehicle SOC server SSV consists of a server computer located on the cloud, for example, and includes a control section 10 using a hardware processor such as a central processing unit (CPU).
  • a storage unit having a program storage section 20 and a data storage section 30 and a communication I/F 40 are connected to the control section 10 via a bus 50 .
  • the communication I/F 40 communicates with the vehicle manufacturer's OEM center CN, the SIRT server ISV, and the external server ESV using communication protocols defined by the networks MNW and INW. Perform data transmission.
  • the program storage unit 20 includes, for example, a non-volatile memory such as a HDD (Hard Disk Drive) or SSD (Solid State Drive) that can be written and read at any time as a storage medium, and a non-volatile memory such as a ROM (Read Only Memory).
  • a non-volatile memory such as a HDD (Hard Disk Drive) or SSD (Solid State Drive) that can be written and read at any time as a storage medium
  • a non-volatile memory such as a ROM (Read Only Memory).
  • middleware such as an OS (Operating System)
  • OS Operating System
  • the data storage unit 30 is, for example, a combination of a non-volatile memory such as an HDD or an SSD that can be written and read at any time and a volatile memory such as a RAM (Random Access Memory) as a storage medium.
  • a non-volatile memory such as an HDD or an SSD that can be written and read at any time
  • a volatile memory such as a RAM (Random Access Memory) as a storage medium.
  • DB vehicle configuration correspondence database
  • analysis logic DB 33 an analysis result storage unit 34
  • the analysis target data storage unit 31 is used to temporarily store sensor log data acquired from the vehicle manufacturer's OEM center CN as analysis target data.
  • the vehicle configuration correspondence DB 32 associates vehicle identification numbers (VIN) individually assigned to all vehicles MV1 to MVn to be managed, and stores vehicle configuration identifiers corresponding to the vehicle identification numbers. It is memorized.
  • FIG. 5 shows an example of correspondence between vehicle identification numbers and vehicle configuration identifiers stored in the vehicle configuration DB 32 .
  • the analysis logic DB 33 stores analysis logic corresponding to each vehicle configuration identifier in association with each of the vehicle configuration identifiers.
  • the analysis logic is prepared exclusively for each vehicle configuration, that is, corresponding to the types of on-vehicle units VU installed in the vehicles MV1 to MVn.
  • FIG. 6 shows an example of the correspondence relationship between the vehicle configuration identifier and the analysis logic stored in the analysis logic DB 33. As shown in FIG.
  • the analysis result storage unit 34 is used to temporarily store information representing analysis results obtained by the analysis processing unit 14 of the control unit 10, which will be described later, in order to generate an analysis report.
  • the control unit 10 includes, as processing functions according to one embodiment of the present invention, an analysis target data acquisition processing unit 11, a vehicle configuration determination processing unit 12, an analysis logic selection processing unit 13, an analysis processing unit 14, an analysis report and an output processing unit 15 .
  • These processing units 11 to 15 are realized by causing the hardware processor of the control unit 10 to execute the programs stored in the program storage unit 20 .
  • the analysis target data acquisition processing unit 11 acquires sensor log data transmitted from each of the vehicles MV1 to MVn via the OEM center CN, and stores the acquired sensor log data as analysis target data in the analysis target data storage unit 31. Do the process to save to .
  • the vehicle configuration determination processing unit 12 reads the sensor log data from the analysis target data storage unit 31 and extracts the vehicle identification number of the transmission source vehicle from the vehicle attribute information included in the sensor log data. Then, referring to the vehicle configuration correspondence DB 32, a process of determining a vehicle configuration identifier corresponding to the vehicle identification number is performed.
  • the vehicle configuration determination processing unit 12 is included in the sensor log data.
  • the identification information of the vehicle type of the transmission source vehicle may be extracted from the vehicle attribute information, and the vehicle configuration correspondence DB 32 may be searched for the corresponding vehicle configuration identifier using the vehicle type identification information.
  • any information included in the vehicle attribute information may be used as long as the information can specify the vehicle configuration.
  • the analysis logic selection processing unit 13 searches the analysis logic DB 33 based on the vehicle configuration identifier determined by the vehicle configuration determination processing unit 12, and selectively reads the analysis logic associated with the vehicle configuration identifier. I do.
  • the analysis processing unit 14 analyzes each sensor log data stored in the analysis target data storage unit 31 based on the analysis logic selectively read by the analysis logic selection processing unit 13, Identify the types of cyber threats/attacks that have occurred on the vehicle-mounted device VU. Then, a process of storing the identified types of cyber threats/attacks in the analysis result storage unit 34 as information representing the analysis results is performed.
  • the analysis report output processing unit 15 generates an analysis report using one or more of the analysis results stored in the analysis result storage unit 34. Then, a process of transmitting the generated analysis report from the communication I/F 40 toward the SIRT server ISV is performed.
  • Types of cyber threats/attacks to in-vehicle device VU include, for example, (a) Attacks that cause malware infection, etc., to communication devices (e.g., TCU5 and IVI3) in the on-vehicle device VU via the Internet INW from a falsified website or an attacker's terminal (b) From an external wireless communication device Sending a malicious remote control command to the communication device (e.g. TCU5 or IVI3) of the on-vehicle device VU to cause unintentional operation by the driver. Attacks by connecting an external terminal illegally and inputting illegal commands to the ECU 4, etc.
  • Malware infection An attack that connects a mobile terminal such as a smartphone to a Bluetooth or WiFi wireless interface and uses the mobile terminal as a stepping stone to send unauthorized commands to the ECU 4 of the in-vehicle device VU, hijack the OS, rewrite the firmware, etc.
  • e There are attacks such as infecting the application of IVI3 with malware, sending unauthorized commands to the ECU4 of the in-vehicle device VU, hijacking the OS, rewriting the firmware, and the like.
  • cyber threat/attack patterns have multiple stages, for example: (1) Initial infiltration; for example, the act of infecting the communication device (TCU5 or IVI3) of the in-vehicle device VU with malware, etc. (2) Infrastructure construction; Act of building a remote control infrastructure by C&C communication with attacker's server or terminal via OEM center CN or Internet INW (4) Conducting internal investigations (4) Pursuing the purpose; exploiting information from TCU5, IVI3 or ECU4; The act of remotely controlling the internal components of the in-vehicle device VU such as ECU4 via IVI3 (5) Initial infiltration + goal achievement; , the act of exploiting the above information, attacking a server connected to the OEM center CN or the Internet INW using the in-vehicle device VU as a stepping stone, and remotely controlling components inside the in-vehicle device VU such as the ECU 4.
  • sensors are provided in each component in the vehicle-mounted device VU, such as TCU5, IVI3, ECU4 and CGW1.
  • TCU5 and IVI3 are provided with host-installed sensors that detect attacks via the network at TCU5 or IVI3.
  • This sensor has a function that detects attacks by matching with threat intelligence or an IP reputation list (IP address) that shows a list of malicious IP addresses, sending and receiving IP addresses that do not normally occur, port access (authorization) / rejection / discard), login success / failure, sending and receiving MAC address (Media Access Control Address), SSL / TLS (Secure Socket Layer / Transport Layer Security) certificate verification
  • IP address IP reputation list
  • TCU5 and IVI3 are also provided with sensors that detect attacks that occur on the TCU5 and IVI3.
  • This sensor has a function to detect what is detected by antivirus signatures as an attack, a function to detect what is detected by sandbox dynamic analysis/behavior detection as an attack, and an attempt to execute a whitelisting prohibited executable file.
  • Function to detect log as abnormal Function to detect signature inconsistency detection log as abnormal
  • Function to detect as abnormal when login success/failure that does not normally occur Function to detect as abnormal privilege operation that does not normally occur
  • Detect as abnormal privilege operation that does not normally occur
  • a function to detect unusual process execution/end as an error a function to detect an unusual increase in resource usage as an error
  • a function to detect signature inconsistency during secure boot as an error a function to detect signature inconsistency during secure boot as an error.
  • Each sensor transmits sensor log data representing detection results to the vehicle manufacturer's OEM center CN in real time or at a predetermined transmission timing.
  • a sensor is also installed at the vehicle manufacturer's OEM center CN. This sensor detects an attack on the vehicle-mounted device VU via the network on the network, and has substantially the same function as the host-installed sensor described above.
  • FIG. 7 is a flow chart showing an example of the processing procedure and processing contents of analysis processing executed by the control unit 10 of the vehicle SOC server SSV.
  • the control unit 10 of the vehicle SOC server SSV obtains connected car-related cyber Obtain information that defines potential vulnerabilities, etc. Specifically, information that defines cyber threats/attacks by threat type and risk scale. Then, the acquired information is stored as threat information in a threat information storage area (not shown) in the data storage unit 30 .
  • the threat information acquisition process may be performed by accessing the external server ESV or the SIRT server ISV from the vehicle SOC server SSV, and may be performed by the external server ESV or the SIRT server ISV periodically or irregularly using a push method.
  • a system in which the vehicle SOC server SSV receives the threat information may be used. Also, acquisition of threat information is not essential, and may be carried out as necessary.
  • the sensors installed in each component such as TCU5 and IVI3 detect operational abnormalities due to cyber threats/attacks or Watch for unusual data. Then, when an operation abnormality or abnormal data is detected, sensor log data indicating the detection result is sent to the OEM center CN of the corresponding vehicle manufacturer together with the vehicle attribute information including the vehicle identification number of the vehicles MV1 to MVn. sent.
  • the sensor log data includes information indicating the sensor that detected the abnormal operation or abnormal data, signature information, information indicating DST, and the like.
  • the OEM center CN When the OEM center CN receives the sensor log data transmitted from the vehicles MV1 to MVn to be managed, the OEM center CN temporarily saves the received sensor log data. Transfer to SOC server SSV.
  • control unit 10 of the vehicle SOC server SSV under the control of the analysis target data acquisition processing unit 11, waits until the acquisition timing of the analysis target data in step S10.
  • An acquisition request is transmitted to the CN by polling or the like.
  • the sensor log data transmitted from the OEM center CN in response to the acquisition request is received via the communication I/F 40, and the received sensor log data is temporarily stored in the analysis target data storage unit 31 as the analysis target data. do.
  • the analysis target data acquisition processing unit 11 similarly repeats the above-described sensor log data acquisition processing each time the acquisition timing comes.
  • the analysis target data acquisition process may be performed passively upon receipt of a notification from the OEM center CN, in addition to the method actively performed by polling from the vehicle SOC server SSV.
  • step S13 under the control of the analysis logic selection processing unit 13, the control unit 10 of the vehicle SOC server SSV searches the analysis logic DB 33 using the vehicle configuration identifier as a key, Select the analysis logic associated with the vehicle configuration identifier. Then, the selected analysis logic is read from the analysis logic DB 33 and given to the analysis processing section 14 .
  • the processing unit 14 For example, if the current vehicle configuration identifier is "A”, all the analysis logics associated with the vehicle configuration identifier "A" are selected, and the selected plurality of analysis logics are read out from the analysis logic DB 33 and analyzed. It is given to the processing unit 14 .
  • step S15 under the control of the analysis processing section 14, the control section 10 of the vehicle SOC server SSV extracts the sensor log data subject to analysis from the analysis subject data storage section 31. load. Then, the read sensor log data is analyzed according to the selected plurality of analysis logics. At this time, the analysis processing unit 14 executes, for example, analysis processing in parallel using the plurality of analysis logics. By doing so, even when a plurality of analysis logics are selected, it is possible to obtain analysis results by all the analysis logics in a short time.
  • the analysis processing unit 14 associates information representing the type of cyberattack identified by one of the plurality of analysis logics as described above with the vehicle identification number and the vehicle configuration identifier, and stores the information in the analysis result storage unit 34. .
  • the analysis report may be generated according to the type of cyberattack identified from individual sensor log data, or may be generated from a plurality of reports related to the same vehicle identification number or vehicle configuration identifier acquired within a predetermined analysis period. Focusing on sensor log data, it may be generated by synthesizing the types of cyberattacks identified from the sensor log data.
  • the analysis report output processing unit 15 transmits the generated analysis report from the communication I/F 40 to the SIRT server ISV operated by the corresponding vehicle manufacturer based on the vehicle identification number or vehicle configuration identifier. Based on the above analysis report, the SIRT server ISV, for example, instructs the vehicle SOC server SSV to take temporary measures against the cyber attack, or takes permanent countermeasures against all vehicles having the relevant vehicle configuration. instruct.
  • the vehicle SOC server SSV notifies the vehicle that sent the sensor log data of information indicating the type of cyberattack or information indicating how to deal with the cyberattack. good too. By doing so, it is possible to cause the in-vehicle devices VU of the vehicles MV1 to MVn that have been subjected to the cyber attack to take interim measures against the cyber attack in real time.
  • the vehicle SOC server SSV acquires the sensor log data transmitted from the vehicle-mounted devices VU of the vehicles MV1 to MVn to be managed via the OEM center CN, and the acquired sensor log Using the vehicle identification number included in the vehicle attribute information of the data as a key, the vehicle configuration identifier is determined from the vehicle configuration correspondence DB 32, and using this vehicle configuration identifier as the key, the analysis logic DB 33 is further searched to perform analysis associated with the vehicle configuration. Choose your logic. Then, by analyzing the sensor log data using the selected analysis logic, the type of cyberattack that occurred on the vehicle is identified, and an analysis report is generated according to the identified type of cyberattack. I am trying to provide it to SIRT.
  • sensor log data may be analyzed using, for example, one integrated analysis logic, or may be analyzed by selecting a plurality of analysis logics in a predetermined order. , it is possible to reduce the processing load of the vehicle SOC server SSV required for the analysis processing, and to suppress a decrease in the throughput of the analysis processing.
  • the analysis processing unit 14 executes analysis processing in parallel by the plurality of selected analysis logics.
  • the present invention is not limited to this, and the analysis processing by the plurality of analysis logics may be executed in series. By doing so, it is possible to reduce the processing load of the vehicle SOC server SSV per unit time when analyzing one sensor log data.
  • the following priority processing can be applied. That is, the past attack detection rate of each of the plurality of analysis logics corresponding to each vehicle configuration is calculated, and the calculated attack detection rate is stored as priority information that determines the order of analysis processing. Then, when starting the analysis processing by the plurality of analysis logics, according to the priority information, the analysis logics with the highest attack detection rate are selected in order and the analysis processing is executed, and the analysis processing is performed when the type of cyberattack is detected. exit.
  • the case where the sensor log data generated from the in-vehicle device VU is acquired via the network MNW and the OEM center CN has been described as an example.
  • the sensor log data generated from the in-vehicle device VU in a vehicle repair shop or the like is stored in a recording medium and provided to the vehicle SOC server SSV, and the vehicle SOC server SSV receives the sensor log data from the storage medium to which the vehicle SOC server SSV was provided. You may make it read data and perform an analysis process.
  • the functional configuration of the vehicle SOC server the configuration of the sensor log data, the type and number of analysis logic prepared for each vehicle configuration, the configuration of the analysis logic, the selection method of the analysis logic, the procedure and processing content of the analysis processing, and the specific target.
  • the types of cyberattacks, etc. can also be modified in various ways without departing from the spirit of the present invention.
  • the present invention is not limited to the above-described embodiments as they are, and can be embodied by modifying the constituent elements without departing from the gist of the invention at the implementation stage.
  • various inventions can be formed by appropriate combinations of the plurality of constituent elements disclosed in the above embodiments. For example, some components may be omitted from all components shown in the embodiments.
  • constituent elements of different embodiments may be combined as appropriate.
  • MV1 to MVn vehicle VU: vehicle-mounted device
  • SSV vehicle SOC server
  • ISV SIRT server
  • CN vehicle manufacturer's OEM center
  • OSV management server
  • MNW mobile communication network
  • INW Internet GW1, GW2: gateway
  • ESV external server 1: vehicle-mounted gateway 2... In-vehicle network (CAN) 3... Navigation device (IVI) 4 ... Electronic control unit (ECU) 5... communication control unit (TCU) DESCRIPTION OF SYMBOLS 10... Control part 11... Analysis target data acquisition process part 12... Vehicle configuration determination process part 13... Analysis logic selection process part 14... Analysis process part 15... Analysis report output process part 20... Program storage part 30... Data storage part 31... Analysis target data storage unit 32: DB corresponding to vehicle configuration 33
  • Analysis logic DB 34 ... Analysis result storage unit 40
  • Communication interface I/F 50 Bus

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Algebra (AREA)
  • Pure & Applied Mathematics (AREA)
  • Probability & Statistics with Applications (AREA)
  • Mathematical Physics (AREA)
  • Mathematical Optimization (AREA)
  • Mathematical Analysis (AREA)
  • Small-Scale Networks (AREA)

Abstract

管理対象となる車載装置の種類が増えても、分析対象データの分析処理に要する処理負荷の増加および分析スループットの低下を抑制することが可能にする。車両セキュリティ分析装置において、車両構成と、当該車両構成毎に予め用意された複数の分析ロジックとの対応関係を表す対応情報を記憶部に記憶しておく。そして、分析対象データが取得される毎に、取得された分析対象データに含まれる属性情報に含まれる車両識別情報をもとに、当該分析対象データの発生元となる車両構成の種類を判定し、判定された前記車両構成の種類に対応する分析ロジックを上記対応情報から選択する。そして、選択された上記分析ロジックに従い上記分析対象データを分析してサイバー攻撃の種類を特定し、その結果を含む分析レポートを生成して出力する。

Description

車両セキュリティ分析装置、方法およびそのプログラム
　この発明の一態様は、例えば車両内に構築される車載ネットワークのセキュリティの状態を監視し分析するための車両セキュリティ分析装置と、この装置において実行される方法およびプログラムに関する。
　近年、各車両メーカでは、電子制御ユニット（Electric Control Unit：ＥＣＵ）等を含む車載ネットワークと外部ネットワークのサーバ装置との間で各種データの授受を可能にしたコネクテッドカーの開発が進められている。コネクテッドカーは、例えばナビゲーションシステムの地図データの更新や自動運転に係る高度なサービスを実現する上できわめて有用であるが、車載ネットワークが外部ネットワークに接続されることから、外部のネットワークからマルウェアやウィルス等を用いたサイバー攻撃を受けるおそれがある。
　そこで、最近では車両セキュリティ・オペレーション・センタ（Security Operation Center：ＳＯＣ）を設け、この車両ＳＯＣにおいて車載システムに対するサイバー脅威／攻撃の種類や内容を分析する技術が種々検討されている。例えば、監視対象の車両に搭載された車載装置に複数のセンサを配置し、これらのセンサから発生されるセンサログをネットワークを介して車両ＳＯＣで収集する。そして、車両ＳＯＣにおいて、収集された上記センサログをもとに上記車載装置に対するサイバー脅威／攻撃を分析する（例えば特許文献１を参照）。
日本国特開２０２０－１１９０９０号公報
　ところが、監視対象の車両には様々な車種が存在し、また車種が同一であっても年式やグレードが異なれば、車両に搭載される車載装置の構成は異なる。さらに、それぞれの車載装置には、一般に様々な箇所に多くのセンサが設置される。このため、車両ＳＯＣで収集されるログデータの種類や数は膨大になり、これにより車両ＳＯＣにおける分析のための処理負荷は非常に高くなり、また分析スループットは低下する。
　この発明は上記事情に着目してなされたもので、一側面では、管理対象となる車載装置の種類が増えても、分析対象データの分析処理に要する処理負荷の増加および分析スループットの低下を抑制することが可能な技術を提供しようとするものである。
　上記課題を解決するためにこの発明の一態様は、車両に搭載されネットワークに接続可能な車載装置の動作状態に関係する分析対象データを前記ネットワークを介して取得し分析する装置または方法にあって、前記車両と、当該車両に搭載される前記車載装置の種類に対応して予め用意された複数の分析ロジックとの対応関係を表す対応情報を記憶部に設定する。そして、前記分析対象データが取得される毎に、取得された前記分析対象データに含まれる属性情報をもとに、当該分析対象データの発生元となる前記車載装置の種類を判定し、判定された前記車載装置の種類に対応する前記分析ロジックを前記対応情報をもとに前記複数の分析ロジックの中から選択し、選択された前記分析ロジックに従い前記分析対象データを分析して分析結果を表す情報を生成し、出力するようにしたものである。
　この発明の一態様によれば、車載装置から分析対象データが取得される毎に、その発生元の車載装置の種類に対応付けられた分析ロジックが多数の分析ロジックの中から選択され、選択された分析ロジックにより上記分析対象データの分析処理が行われる。すなわち、各分析対象データはその分析処理に対応する機能を有する分析ロジックに振り分けられて分散処理される。このため、車載装置の種類にかかわらず、そのすべての分析対象データを、例えば１つの統合分析ロジックを用いて、或いは複数の分析ロジックを決められた順に選択して分析処理する場合に比べ、分析処理に要する処理負荷を軽減することが可能となり、かつ分析処理のスループットの低下を抑制することが可能となる。
　すなわち、この発明の一態様によれば、監視対象となる車載装置の種類が増えても、分析対象データの分析処理に要する処理負荷の増加および分析スループットの低下を抑制することが可能な技術を提供することが可能となる。
図１は、この発明の一実施形態に係る車両セキュリティ分析装置を含む車両セキュリティ監視システム全体の構成を示す図である。 図２は、図１に示したシステムにおいてサイバーセキュリティの分析対象となる車載装置の構成の一例を示す図である。 図３は、この発明の一実施形態に係る車両セキュリティ分析装置のハードウェア構成を示すブロック図である。 図４は、この発明の一実施形態に係る車両セキュリティ分析装置のソフトウェア構成を示すブロック図である。 図５は、図４に示した車両セキュリティ分析装置が備える車両構成対応データベースの一例を示す図である。 図６は、図４に示した車両セキュリティ分析装置が備える分析ロジックデータベースの一例を示す図である。 図７は、図４に示した車両セキュリティ分析装置による分析処理の手順と処理内容を示すフローチャートである。
　以下、図面を参照してこの発明に係わる実施形態を説明する。
　［一実施形態］
　（構成例）
　（１）システム
　図１は、この発明の一実施形態に係る車両セキュリティ監視システムの構成の一例を示す図である。
　一実施形態に係る車両セキュリティ監視システムは、例えば車両メーカが運用するＯＥＭ（Original Equipment Manufacture）センタＣＮを備えている。なお、一般にＯＥＭセンタＣＮは車両メーカごとに設置されるが、ここでは一つの車両メーカのＯＥＭセンタＣＮを例にとって説明する。
　車両メーカのＯＥＭセンタＣＮは、自社が管理する複数の車両ＭＶ１～ＭＶｎとの間で、移動通信ネットワークＭＮＷおよびゲートウェイＧＷ１を介してデータ伝送が可能になっている。ＯＥＭセンタＣＮは、車両ＭＶ１～ＭＶｎに対して当該車両向けの各種サービスを提供するもので、管理サーバＯＳＶを備える。ＯＥＭセンタＣＮは、管理サーバＯＳＶの制御の下、例えば、車両ＭＶ１～ＭＶｎから送信されるセンサログデータを上記移動通信ネットワークＭＮＷおよびゲートウェイＧＷ１を介して収集し、収集されたセンサログデータを後述する車両ＳＯＣサーバＳＳＶに提供する。またそれと共に、車両ＭＶ１～ＭＶｎに対してソフトウェアを配信したり、配信後のソフトウェアを更新する役割も担う。
　なお、移動通信ネットワークＭＮＷとしては、例えばセルラ移動通信ネットワークまたは無線ＬＡＮ（Local Area Network）が用いられるが、これに限るものではない。
　車両メーカのＯＥＭセンタＣＮには、車両セキュリティ・オペレーション・センタ（Security Operation Center：ＳＯＣ）サーバＳＳＶが接続される。車両ＳＯＣサーバＳＳＶは、この発明の一実施形態に係る車両セキュリティ分析装置として使用されるもので、その機能については後に詳しく説明する。
　車両メーカのＯＥＭセンタＣＮは、ゲートウェイＧＷ２を介してインターネットＩＮＷにも接続され、このインターネットＩＮＷを介して外部サーバＥＳＶとの間でもデータ通信が可能となっている。外部サーバＥＳＶは、例えばＡｕｔｏ－ＩＳＡＣ（Automotive Information Sharing and Analysis Center）が運用管理するもので、コネクテッドカー関連のサイバー脅威や潜在的な脆弱性に関する脅威情報を蓄積するデータベースを備え、当該データベースに蓄積された情報を車両ＳＯＣサーバＳＳＶに提供する。
　また車両セキュリティ監視システムは、例えば車両メーカが運用するＳＩＲＴ（Security Incident Response Team）サーバＩＳＶを備えている。ＳＩＲＴサーバＩＳＶは、対応する車両メーカのＯＥＭセンタＣＮとの間、および車両ＳＯＣサーバＳＳＶとの間でデータ伝送が可能となっている。
　ＳＩＲＴサーバＩＳＶは、例えば車両メーカ又はその車載装置の開発ライフサイクルを通じて必要な安全管理、サポート、インシデント対応を実施するための組織（ＳＩＲＴ）が運用する。ＳＩＲＴサーバＩＳＶは、例えば、車両メーカ固有のサイバー脅威情報を記憶する脅威情報データベースを有し、車両ＳＯＣサーバＳＳＶからの要求に応じてサイバー脅威情報を車両ＳＯＣサーバＳＳＶへ送信する。
　またＳＩＲＴサーバＩＳＶは、例えば、車両ＳＯＣサーバＳＳＶから提供されるセキュリティ分析レポートをＳＩＲＴの管理者に提示する。そして、上記分析レポートをもとにＳＩＲＴの管理者が車両メーカ別に決定された対応方針等を入力した場合に、当該対応方針等を含むリコール指示を該当車両に向けて送信する機能を有する。なお、サイバー脅威情報は、例えば脅威の種別と危険度の尺度との組み合わせにより定義される。分析レポートも、例えば上記脅威の種別と危険度の尺度との組み合わせを用いて記述される。
　（２）装置
　（２－１）車載装置ＶＵ
　図２は、車両ＭＶ１～ＭＶｎにそれぞれ搭載される車載装置ＶＵの構成の一例を示すブロック図である。
　車載装置ＶＵは、複数の電子制御ユニット（Electric Control Unit：ＥＣＵ）４を備えている。ＥＣＵ４は、例えばＣＡＮ（Control Area Network）と呼称される車載ネットワーク２を介して車載ゲートウェイ（ＣＧＷ）１に接続される。また、ＣＧＷ１には、通信制御ユニット（ＴＣＵ）５およびナビゲーション装置（ＩＶＩ）３が接続される。
　ＥＣＵ４は、それぞれがプロセッサにプログラムを実行させることにより所定の制御機能を果たすように構成され、例えばエンジンやトランスミッション、操舵角、アクセル、ブレーキ等を制御する装置、ウィンカーやライト、ワイパーを制御する装置、ドアロックおよび窓の開閉を制御する装置、空調を制御する装置等として用いられる。また、車両ＭＶ１～ＭＶｎには、速度センサや温度センサ、振動センサ等の車両の動作状態に係る各種車両センサの計測データをはじめ、運転者等を含む車内の状態を監視する車内センサ、車外の状況を監視する車外センサ等の多くのセンサが設けられており、ＥＣＵ４はこれらのセンサから出力されるセンシングデータを取り込む装置としても用いられる。さらに、自動運転制御装置や運転者の状態を監視する装置としても用いられる。
　ＴＣＵ５は、車載装置ＶＵと移動通信ネットワークＭＮＷとの間でＩＰ（Internet Protocol）を使用した通信を行うもので、運転者または搭乗者の通話データを送受信したり、Ｗｅｂサイトからナビゲーション更新データを受信したり、車載装置ＶＵの各構成要素の動作状態の検出結果を示すログデータを車両メーカのＯＥＭセンタＣＮへ送信するために用いられる。
　ＩＶＩ３は、ＵＳＢポートおよび無線インタフェースを有している。そして、ＵＳＢポートを介してＵＳＢ機器（図示省略）との間で各種データの書き込みおよび読み出しを行うと共に、無線インタフェースを介してスマートフォン等の携帯端末との間のデータの送受信や外部との間のデータの送受信を行う機能を有している。なお、無線インタフェースとしては、例えばBluetooth（登録商標）またはWiFi（登録商標）が用いられる。
　なお、車載装置ＶＵは、外部インタフェースポート（ＯＢＤ－II）６を有している。このＯＢＤ－IIポート６には、試験装置やパーソナルコンピュータが接続可能である。試験装置やパーソナルコンピュータは、例えばＥＣＵ４の試験を行ったり、ＥＣＵ４に対し更新プログラムや制御データをインストールするために使用される。
　ＣＧＷ１は、ＴＣＵ５と各ＥＣＵ４、ＩＶＩ３およびＯＢＤ－IIポート６との間でデータ転送を行う際に、それぞれＩＰ／ＣＡＮのプロトコル変換を行う。
　なお、以上車載装置ＶＵの一例を述べたが、車載装置ＶＵは車両メーカごとに種類、つまり構成や機能が異なることは勿論のこと、同一の車両メーカにおいても例えば車種毎或いは年式毎に構成または機能が異なる。
　（２－２）車両ＳＯＣサーバＳＳＶ
　図３および図４は、それぞれ車両ＳＯＣサーバＳＳＶのハードウェア構成およびソフトウェア構成を示すブロック図である。
　車両ＳＯＣサーバは、車両ＭＶ１～ＭＶｎに対し行われたサイバー攻撃を、車両メーカのＯＥＭセンタＣＮに代わって分析し、分析結果を対応する車両メーカのＳＩＲＴサーバＩＳＶに通知する機能を備える。
　車両ＳＯＣサーバＳＳＶは、例えばクラウド上に配置されるサーバコンピュータからなり、中央処理ユニット（Central Processing Unit：ＣＰＵ）等のハードウェアプロセッサを使用した制御部１０を備える。そして、この制御部１０に対し、バス５０を介して、プログラム記憶部２０およびデータ記憶部３０を有する記憶ユニットと、通信Ｉ／Ｆ４０を接続したものとなっている。
　通信Ｉ／Ｆ４０は、制御部１０の制御の下、ネットワークＭＮＷ，ＩＮＷにより定義される通信プロトコルを使用して、車両メーカのＯＥＭセンタＣＮ、ＳＩＲＴサーバＩＳＶ、および外部サーバＥＳＶとの間で、それぞれデータ伝送を行う。
　プログラム記憶部２０は、例えば、記憶媒体としてＨＤＤ（Hard Disk Drive）またはＳＳＤ（Solid State Drive）等の随時書込みおよび読出しが可能な不揮発性メモリと、ＲＯＭ（Read Only Memory）等の不揮発性メモリとを組み合わせて構成したもので、ＯＳ（Operating System）等のミドルウェアに加えて、この発明の一実施形態に係る各種制御処理を実行するために必要なプログラムを格納する。
　データ記憶部３０は、例えば、記憶媒体として、ＨＤＤまたはＳＳＤ等の随時書込みおよび読出しが可能な不揮発性メモリと、ＲＡＭ（Random Access Memory）等の揮発性メモリと組み合わせたもので、この発明の一実施形態を実施するために必要な記憶領域として、分析対象データ記憶部３１と、車両構成対応データベース（以後データベースをＤＢと略称する）３２と、分析ロジックＤＢ３３と、分析結果記憶部３４とを備えている。
　分析対象データ記憶部３１は、車両メーカのＯＥＭセンタＣＮから取得されたセンサログデータを、分析対象データとして一旦保存するために用いられる。
　車両構成対応ＤＢ３２は、管理対象のすべての車両ＭＶ１～ＭＶｎに対し個別に割り当てられた車両識別番号（Vehicle Identification Number：ＶＩＮ）の各々に対応付けて、当該車両識別番号に対応する車両構成識別子を記憶したものである。図５は、車両構成ＤＢ３２に記憶される、車両識別番号と車両構成識別子との対応関係の一例を示すものである。
　分析ロジックＤＢ３３は、上記車両構成識別子の各々に対応付けて、当該車両構成識別子に対応する分析ロジックを記憶したものである。分析ロジックは、車両構成、すなわち車両ＭＶ１～ＭＶｎに搭載されている車載装置ＶＵの種類に対応して、それぞれ専用に用意される。図６は、上記分析ロジックＤＢ３３に記憶される、車両構成識別子と分析ロジックとの対応関係の一例を示すものである。
　分析結果記憶部３４は、後述する制御部１０の分析処理部１４により得られる分析結果を表す情報を、分析レポートを生成するために一時的に保存するために用いられる。
　制御部１０は、この発明の一実施形態に係る処理機能として、分析対象データ取得処理部１１と、車両構成判定処理部１２と、分析ロジック選択処理部１３と、分析処理部１４と、分析レポート出力処理部１５とを備える。これらの処理部１１～１５は、何れもプログラム記憶部２０に格納されたプログラムを制御部１０のハードウェアプロセッサに実行させることにより実現される。
　分析対象データ取得処理部１１は、各車両ＭＶ１～ＭＶｎから送信されるセンサログデータをＯＥＭセンタＣＮを介して取得し、取得された上記センサログデータを分析対象データとして上記分析対象データ記憶部３１に保存させる処理を行う。
　車両構成判定処理部１２は、分析対象データ記憶部３１からセンサログデータを読み込み、このセンサログデータに含まれる車両属性情報から送信元の車両の車両識別番号を抽出する。そして、上記車両構成対応ＤＢ３２を参照して、上記車両識別番号に対応する車両構成識別子を判定する処理を行う。
　なお、上記車両構成対応ＤＢ３２が、上記車両識別番号の代わりに車種の識別情報に対応付けて車両構成識別子を記憶している場合には、車両構成判定処理部１２は、センサログデータに含まれる車両属性情報から送信元の車両の車種の識別情報を抽出し、この車種の識別情報を用いて上記車両構成対応ＤＢ３２から対応する車両構成識別子を検索するようにしてもよい。要するに、車両構成を特定可能な情報であれば、車両属性情報に含まれる如何なる情報を使用するようにしてもよい。
　分析ロジック選択処理部１３は、上記車両構成判定処理部１２により判定された車両構成識別子をもとに分析ロジックＤＢ３３を検索し、上記車両構成識別子に対応付けられた分析ロジックを選択的に読み出す処理を行う。
　分析処理部１４は、上記分析対象データ記憶部３１に保存されている各センサログデータを、上記分析ロジック選択処理部１３により選択的に読み出された上記分析ロジックに基づいて分析することにより、車載装置ＶＵで発生したサイバー脅威／攻撃の種類を特定する。そして、特定されたサイバー脅威／攻撃の種類を分析結果を表す情報として分析結果記憶部３４に保存させる処理を行う。
　分析レポート出力処理部１５は、上記分析結果記憶部３４に保存された分析結果を、単独で或いは複数用いて分析レポートを生成する。そして、生成された分析レポートをＳＩＲＴサーバＩＳＶに向けて通信Ｉ／Ｆ４０から送信する処理を行う。
　（動作例）
　次に、以上のように構成された車両ＳＯＣサーバＳＳＶの動作例を、車両セキュリティ監視システム全体の動作と共に説明する。
　（１）車載装置ＶＵに関係するサイバー脅威／攻撃の検出
　車載装置ＶＵに対するサイバー脅威／攻撃の種類には、例えば、
　(a) 改ざんされたＷｅｂサイトや攻撃者の端末から、インターネットＩＮＷを経由して車載装置ＶＵ内の通信機器（例えばＴＣＵ５やＩＶＩ３）にマルウェア感染等を引き起こす攻撃
　(b) 外部の無線通信機器から車載装置ＶＵの通信機器（例えばＴＣＵ５またはＩＶＩ３）に対し、悪意を持った遠隔操作コマンドを送信し、運転者の意図に反した操作を引き起こす攻撃
　(c) ＯＢＤ－IIポート６にパーソナルコンピュータ等の外部端末を不正に接続し、この外部端末からＥＣＵ４等に対し不正コマンドを入力してＥＣＵ４の設定変更やＥＣＵ４の情報の搾取、運転者の意図に反した操作を引き起こす攻撃
　(d) マルウェアに感染済のスマートフォン等の携帯端末をBluetoothまたはWiFiの無線インタフェースに接続し、上記携帯端末を踏み台として車載装置ＶＵのＥＣＵ４等への不正コマンドの送信や、ＯＳの乗っ取り、ファームウェアの書き換え等を行う攻撃
　(e) ＩＶＩ３のアプリケーションにマルウェアを感染させ、車載装置ＶＵのＥＣＵ４等への不正コマンドの送信や、ＯＳの乗っ取り、ファームウェアの書き換え等を行う攻撃等がある。
　また、サイバー脅威／攻撃のパターンには、例えば以下の複数の段階がある。　
　(1) 初期潜入；例えば車載装置ＶＵの通信機器（ＴＣＵ５やＩＶＩ３）に対しマルウェア等を感染させる行為
　(2) 基盤構築；マルウェアを感染させた通信機器（ＴＣＵ５やＩＶＩ３）から、例えば車両メーカのＯＥＭセンタＣＮまたはインターネットＩＮＷを介して、攻撃者のサーバや端末との間にＣ＆Ｃ通信による遠隔制御基盤を構築する行為
　(3) 内部侵入・調査；例えばＴＣＵ５、ＩＶＩ３またはＣＧＷ１内に侵入してその内部調査を行う行為
　(4) 目的遂行；ＴＣＵ５、ＩＶＩ３またはＥＣＵ４から情報を搾取する行為や、ＴＣＵ５またはＩＶＩ３を踏み台としてＯＥＭセンタＣＮまたはインターネットＩＮＷに接続されたサーバ等に対し攻撃する行為、ＴＣＵ５またはＩＶＩ３を経由してＥＣＵ４等の車載装置ＶＵ内部の構成要素を遠隔制御する行為
　(5) 初期潜入＋目的遂行；ＴＣＵ５またはＩＶＩ３に侵入した後、上記基盤構築や内部侵入・調査の段階を省いて、上記情報の搾取や、車載装置ＶＵを踏み台としたＯＥＭセンタＣＮまたはインターネットＩＮＷに接続されたサーバ等への攻撃、ＥＣＵ４等の車載装置ＶＵ内部の構成要素を遠隔制御する行為。
　以上のようなサイバー脅威／攻撃の種類およびパターンを考慮し、車載装置ＶＵ内の各構成要素、例えばＴＣＵ５、ＩＶＩ３、ＥＣＵ４およびＣＧＷ１には、それぞれセンサが設けられる。
　例えば、ＴＣＵ５およびＩＶＩ３には、ネットワーク経由の攻撃をＴＣＵ５またはＩＶＩ３において検出するホスト設置型センサが設けられる。このセンサは、例えば、脅威インテリジェンス、もしくは悪性ＩＰアドレスのリストを示すＩＰレピュレーションリスト（ＩＰアドレス）との突き合わせにより攻撃を検出する機能、通常では発生しない送受信ＩＰアドレス、ポートへのアクセス（許可／拒否／廃棄）の発生や、ログイン成功／失敗の発生、送受信ＭＡＣアドレス（Media Access Control Address）の発生を異常として検出する機能、ＳＳＬ／ＴＬＳ（Secure Socket Layer／Transport Layer Security）証明書の検証エラーログを異常として検出する機能、ＣＡＮ２のＩＤフィルタの検証による拒否ログの発生を異常として検出する機能、ＣＡＮ２のＩＤＳ検査ロジックで検出されたものを異常として検出する機能、ＣＡＮメッセージのＭＡＣ検証エラーの発生を異常として検出する機能を有する。
　また、ＴＣＵ５およびＩＶＩ３には、当該ＴＣＵ５およびＩＶＩ３上で発生した攻撃を検出するセンサも設けられる。このセンサは、例えば、アンチウイルスのシグネチャで検出したものを攻撃として検出する機能、サンドボックスの動的解析／ふるまい検知で検出したものを攻撃として検出する機能、ホワイトリスティングの実行禁止ファイルの実行試行時のログを異常として検出する機能、署名不整合の検出ログを異常として検出する機能、通常発生しないログイン成功/失敗が発生した際に異常として検出する機能、通常発生しない権限操作を異常として検出する機能、通常発生しないプロセスの実行/終了を異常として検出する機能、通常発生しないリソース利用量の増加等を異常として検出する機能、セキュアブート時の署名不整合を異常として検出する機能を有する。
　いずれのセンサも、検出結果を表すセンサログデータを、リアルタイムでまたは所定の送信タイミングにおいて車両メーカのＯＥＭセンタＣＮへ送信する。
　なお、車両メーカのＯＥＭセンタＣＮにもセンサが設置される。このセンサは、車載装置ＶＵに対するネットワーク経由の攻撃をネットワーク上で検出するもので、先に述べたホスト設置型センサとほぼ同様の機能を有する。
　（２）車両ＳＯＣサーバＳＳＶにおけるサイバー脅威／攻撃の分析
　図７は、車両ＳＯＣサーバＳＳＶの制御部１０により実行される分析処理の処理手順と処理内容の一例を示すフローチャートである。
　（２－１）脅威情報の取得
　車両ＳＯＣサーバＳＳＶの制御部１０は、分析処理に先立ち、外部サーバＥＳＶおよびＳＩＲＴサーバＩＳＶから、定期的または任意のタイミングで、コネクテッドカー関連のサイバー脅威／攻撃や潜在的な脆弱性等を定義した情報、具体的には脅威種別と危険度の尺度とでサイバー脅威／攻撃を定義した情報を取得する。そして、取得された情報を脅威情報としてデータ記憶部３０内の脅威情報記憶領域（図示省略）に記憶させる。
　なお、上記脅威情報の取得処理は、車両ＳＯＣサーバＳＳＶから外部サーバＥＳＶまたはＳＩＲＴサーバＩＳＶにアクセスして取得する方式でも、外部サーバＥＳＶまたはＳＩＲＴサーバＩＳＶが定期的または不定期にプッシュ方式で送信する脅威情報を車両ＳＯＣサーバＳＳＶが受信する方式であってもよい。また、脅威情報の取得は必須ではなく、必要に応じて実施されるようにしてもよい。
　（２－２）分析対象データの取得
　各車両ＭＶ１～ＭＶｎの車載装置ＶＵでは、先に述べたようにＴＣＵ５およびＩＶＩ３等の各構成要素に設置されたセンサが、サイバー脅威／攻撃による動作異常または異常なデータを監視している。そして、動作異常または異常なデータが検出されると、その検出結果を示すセンサログデータが、上記車両ＭＶ１～ＭＶｎの車両識別番号を含む車両属性情報と共に、対応する車両メーカのＯＥＭセンタＣＮに向けて送信される。なお、センサログデータには、異常動作または異常データを検出したセンサを示す情報と、シグネチャの情報またはＤＳＴを示す情報等が含まれる。
　ＯＥＭセンタＣＮは、管理対象の車両ＭＶ１～ＭＶｎから送信されたセンサログデータを受信すると、受信されたセンサログデータを一旦保存した後、車両ＳＯＣサーバＳＳＶからのポーリング等による取得要求に応じて車両ＳＯＣサーバＳＳＶへ転送する。
　これに対し、車両ＳＯＣサーバＳＳＶの制御部１０は、分析対象データ取得処理部１１の制御の下、ステップＳ１０により分析対象データの取得タイミングまで待機し、取得タイミングになると、ステップＳ１１において、ＯＥＭセンタＣＮに対しポーリング等により取得要求を送信する。そして、上記取得要求に応じてＯＥＭセンタＣＮから送信されるセンサログデータを通信Ｉ／Ｆ４０を介して受信し、受信された上記センサログデータを分析対象データとして分析対象データ記憶部３１に一旦保存する。
　以後同様に分析対象データ取得処理部１１では、取得タイミングになる毎に上記したセンサログデータの取得処理が繰り返し実行される。なお、分析対象データの取得処理は、車両ＳＯＣサーバＳＳＶからのポーリングにより能動的に行う方式以外に、ＯＥＭセンタＣＮからの通知を受けて受動的に行う方式であってもよい。
　（２－３）車両構成の判定
　車両ＳＯＣサーバＳＳＶの制御部１０は、新たなセンサログデータが取得される毎に、または任意のタイミングにおいて、車両構成判定処理部１２の制御の下、先ずステップＳ１２において、分析対象データ記憶部３１からセンサログデータを読み込む。そして、読み込まれた上記センサログデータから車両属性情報に含まれる車両識別番号を抽出し、抽出された上記車両識別番号に対応する車両構成識別子を、車両構成対応ＤＢ３２を参照することで判定する。例えば、図５に示す例では、車両識別番号が“JP000000000000006”だったとすれば、車両構成識別子は“Ａ”と判定される。
　（２－４）分析ロジックの選択
　車両ＳＯＣサーバＳＳＶの制御部１０は、次に分析ロジック選択処理部１３の制御の下、ステップＳ１３において、上記車両構成識別子をキーとして分析ロジックＤＢ３３を検索し、上記車両構成識別子に対応付けられている分析ロジックを選択する。そして、選択された上記分析ロジックを分析ロジックＤＢ３３から読み出して分析処理部１４に与える。
　例えば、いま車両構成識別子が“Ａ”であれば、この車両構成識別子が“Ａ”に対応付けられている分析ロジックをすべて選択し、選択された複数の分析ロジックを分析ロジックＤＢ３３から読み出して分析処理部１４に与える。
　（２－５）分析対象データの分析処理
　車両ＳＯＣサーバＳＳＶの制御部１０は、続いて分析処理部１４の制御の下、ステップＳ１５において、分析対象データ記憶部３１から分析対象の上記センサログデータを読み込む。そして、読み込まれた上記センサログデータを、上記選択された複数の分析ロジックに従い分析する。このとき分析処理部１４は、例えば上記複数の分析ロジックによる分析処理を並列に実行する。このようにすることで、分析ロジックが複数選択された場合でも、すべての分析ロジックによる分析結果を短時間に得ることが可能となる。
　上記分析ロジックを用いた分析処理の一例を、図６に示す分析ロジックを用いて説明する。例えば、いまセンサログデータに含まれる項目がSENSOR=1，DST＝”10.0.0.1”であったとする。この場合は、分析ロジックIF(AND(SENSOR=1,DST=”10.0.0.1”)，”T001”)により、サイバー攻撃の種類は”T001”と特定される。また、センサログデータに含まれる項目がSENSOR=2，SIGNATURE=1であれば、分析ロジックIF(AND(SENSOR=2，SIGNATURE=1)，”T002”)により、サイバー攻撃の種類は”T002”と特定される。同様に、センサログデータに含まれる項目がSENSOR=3，SIGNATURE=2であれば、分析ロジックIF(AND(SENSOR=3，SIGNATURE=2)，”T003”)により、サイバー攻撃の種類は”T003”と特定される。
　分析処理部１４は、以上のように複数の分析ロジックのいずれかにより特定されたサイバー攻撃の種類を表す情報を、上記車両識別番号および車両構成識別子と対応付けて分析結果記憶部３４に保存する。
　（２－６）分析レポートの生成・出力
　車両ＳＯＣサーバＳＳＶの制御部１０は、最後に分析レポート出力処理部１５の制御の下、ステップＳ１６において、分析結果記憶部３４から分析結果である、サイバー攻撃の種類を表す情報を読み込み、読み込まれたサイバー攻撃の種類を表す情報をもとに分析レポートを生成する。
　上記分析レポートは、個々のセンサログデータから特定されたサイバー攻撃の種類に応じて生成されてもよいし、所定の分析期間内に取得された同一の車両識別番号または車両構成識別子に係る複数のセンサログデータに着目し、これらのセンサログデータからそれぞれ特定されたサイバー攻撃の種類を総合して生成されてもよい。
　分析レポート出力処理部１５は、生成された上記分析レポートを、上記車両識別番号または車両構成識別子に基づいて、対応する車両メーカが運用するＳＩＲＴサーバＩＳＶに向け、通信Ｉ／Ｆ４０から送信する。ＳＩＲＴサーバＩＳＶは、上記分析レポートをもとに、例えば車両ＳＯＣサーバＳＳＶに対し上記サイバー攻撃に対する暫定的な処置を指示したり、該当する車両構成を持つすべての車両に対し恒久的な対応処置を指示する。
　また、車両ＳＯＣサーバＳＳＶは、上記サイバー攻撃の種類が特定された時点で、当該サイバー攻撃の種類を表す情報またはその対処方法を示す情報を、センサログデータ送信元の車両へ通知するようにしてもよい。このようにすると、サイバー攻撃を受けた車両ＭＶ１～ＭＶｎの車載装置ＶＵに対し、リアルタイムにサイバー攻撃に対する暫定処置を実行させることが可能となる。
　（作用・効果）
　以上述べたように一実施形態では、車両ＳＯＣサーバＳＳＶにおいて、管理対象の各車両ＭＶ１～ＭＶｎの車載装置ＶＵから送信されるセンサログデータをＯＥＭセンタＣＮを介して取得し、取得されたセンサログデータの車両属性情報に含まれる車両識別番号をキーとして車両構成対応ＤＢ３２から車両構成識別子を判定し、この車両構成識別子をキーとしてさらに分析ロジックＤＢ３３を検索して当該車両構成に対応付けられた分析ロジックを選択する。そして、選択された上記分析ロジックを用いて上記センサログデータを分析することにより、上記車両に発生したサイバー攻撃の種類を特定し、特定されたサイバー攻撃の種類に応じた分析レポートを生成してＳＩＲＴに提供するようにしている。
　従って、車両ＭＶ１～ＭＶｎの車載装置ＶＵからセンサログデータが取得される毎に、その発生元の車両構成、例えば車載装置ＶＵの種類に対応して予め用意された分析ロジックが多数の分析ロジックの中から選択され、選択された分析ロジックに従い上記センサログデータの分析処理が行われる。すなわち、各センサログデータは、発生元の車両構成の種類毎に対応する分析ロジックに振り分けられて分散処理される。
　このため、車載装置ＶＵの種類によらず、センサログデータを、例えば１つの統合された分析ロジックを用いて分析処理する場合や、複数の分析ロジックを決められた順に選択して分析処理する場合に比べ、分析処理に要する車両ＳＯＣサーバＳＳＶの処理負荷を軽減することが可能となり、かつ分析処理のスループットの低下を抑制することが可能となる。
　すなわち、１つの車両ＳＯＣサーバＳＳＶにより、多数の車種または年式の車両に搭載された車載装置に対し発生するサイバー攻撃を分析しようとする場合に、センサログデータの分析処理に要する処理負荷の増加および分析スループットの低下を抑制することが可能となる。
　［その他の実施形態］
　（１）一実施形態では、分析ロジック選択処理部１３により分析ロジックが複数選択された場合に、分析処理部１４は、選択された上記複数の分析ロジックによる分析処理を並列に実行するようにした。しかし、この発明はこれに限定されるものではなく、上記複数の分析ロジックによる分析処理を直列的に実行するようにしてもよい。このようにすると、一つのセンサログデータを分析処理するときの単位時間当たりの車両ＳＯＣサーバＳＳＶの処理負荷を低く抑えることが可能となる。
　さらに、複数の分析ロジックによる分析処理を直列的に実行する際に、以下のような優先処理が適用可能である。すなわち、車両構成毎にそれに対応する複数の分析ロジックの各々の過去の攻撃検知率を算出し、算出された攻撃検知率を分析処理の順序を決める優先情報として保存する。そして、上記複数の分析ロジックによる分析処理を開始する際に、上記優先情報に従い、攻撃検知率が高い分析ロジックから順に選択して分析処理を実行し、サイバー攻撃の種類を検知した時点で分析処理を終了する。
　このようにすると、複数の分析ロジックによる分析処理が直列的に実行されるにもかかわらず、攻撃の種類の特定に要する平均的な時間を短縮することが可能となり、さらにサイバー攻撃の種類が特定された時点で分析処理が終了することで、選択されたすべての分析ロジックによる分析処理をすべて実行する場合に比べ、車両ＳＯＣサーバの処理負荷を軽減し、かつ処理の平均的な所要時間を短縮することが可能となる。
　（２）前記一実施形態では、車載装置ＶＵから発生されるセンサログデータをネットワークＭＮＷおよびＯＥＭセンタＣＮを経由して取得する場合を例にとって説明した。しかしそれに限らず、例えば車両修理工場等において車載装置ＶＵから発生されるセンサログデータを記録媒体に記憶させて車両ＳＯＣサーバＳＳＶに提供し、車両ＳＯＣサーバＳＳＶが提供された上記記憶媒体からセンサログデータを読み込んで分析処理を実行するようにしてもよい。
　その他、車両ＳＯＣサーバの機能構成、センサログデータの構成、車両構成毎に用意される分析ロジックの種類と数、分析ロジックの構成、分析ロジックの選択手法、分析処理の手順と処理内容、特定対象のサイバー攻撃の種類等についても、この発明の要旨を逸脱しない範囲で種々変形して実施できる。
　以上、本発明の実施形態を詳細に説明してきたが、前述までの説明はあらゆる点において本発明の例示に過ぎない。本発明の範囲を逸脱することなく種々の改良や変形を行うことができることは言うまでもない。つまり、本発明の実施にあたって、実施形態に応じた具体的構成が適宜採用されてもよい。
　要するにこの発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合せにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態に亘る構成要素を適宜組み合せてもよい。
　ＭＶ１～ＭＶｎ…車両
　ＶＵ…車載装置
　ＳＳＶ…車両ＳＯＣサーバ
　ＩＳＶ…ＳＩＲＴサーバ
　ＣＮ…車両メーカのＯＥＭセンタ
　ＯＳＶ…管理サーバ
　ＭＮＷ…移動通信ネットワーク
　ＩＮＷ…インターネット
　ＧＷ１，ＧＷ２…ゲートウェイ
　ＥＳＶ…外部サーバ
　１…車載ゲートウェイ
　２…車載ネットワーク（ＣＡＮ）
　３…ナビゲーション装置（ＩＶＩ）
　４…電子制御ユニット（ＥＣＵ）
　５…通信制御ユニット（ＴＣＵ）
　１０…制御部
　１１…分析対象データ取得処理部
　１２…車両構成判定処理部
　１３…分析ロジック選択処理部
　１４…分析処理部
　１５…分析レポート出力処理部
　２０…プログラム記憶部
　３０…データ記憶部
　３１…分析対象データ記憶部
　３２…車両構成対応ＤＢ
　３３…分析ロジックＤＢ
　３４…分析結果記憶部
　４０…通信インタフェース（通信Ｉ／Ｆ）
　５０…バス
 

 

Claims (7)

  1. 　車両に搭載されネットワークに接続可能な車載装置の動作状態に関係する分析対象データを取得し分析する車両セキュリティ分析装置であって、
    　前記車両と、当該車両に搭載される前記車載装置の種類に対応して予め用意された複数の分析ロジックとの対応関係を表す対応情報を記憶する記憶部と、
    　前記分析対象データが取得される毎に、取得された前記分析対象データに含まれる前記車両の属性情報をもとに、当該分析対象データの発生元となる前記車載装置の種類を判定する判定処理部と、
    　判定された前記車載装置の種類に対応する前記分析ロジックを、前記対応情報をもとに前記複数の分析ロジックの中から選択する選択処理部と、
    　選択された前記分析ロジックに従い前記分析対象データを分析し、分析結果を表す情報を生成する分析処理部と、
    　前記分析結果を表す情報を出力する出力処理部と
    　を具備する車両セキュリティ分析装置。
  2. 　前記記憶部は、前記車両の構成に係る車両属性情報と前記車載装置の種類を識別する情報との対応関係を表す第１の対応情報と、前記車載装置の種類を識別する情報と前記分析ロジックとの対応関係を表す第２の対応情報とを記憶し、
    　前記判定処理部は、取得された前記分析対象データに含まれる前記属性情報から車両識別情報を抽出し、抽出された前記車両識別情報をもとに前記第１の対応情報から対応する前記車載装置の種類を判定し、
    　前記選択処理部は、選択された前記車載装置の種類を識別する情報をもとに前記第２の対応情報から対応する分析ロジックを選択する、
    　請求項１に記載の車両セキュリティ分析装置。
  3. 　前記分析処理部は、前記車載装置の種類に対応する前記分析ロジックが複数選択された場合に、選択された前記複数の分析ロジックによる分析処理を並列に実行することにより前記分析対象データを分析する、請求項１に記載の車両セキュリティ分析装置。
  4. 　前記分析処理部は、前記車載装置の種類に対応する前記分析ロジックが複数選択された場合に、選択された前記複数の分析ロジックにより分析処理を予め設定された優先情報に従い順に実行することにより前記分析対象データを分析する、請求項１に記載の車両セキュリティ分析装置。
  5. 　前記分析処理部は、前記複数の分析ロジック各々による過去の攻撃検知率を前記優先情報とし、前記攻撃検知率が高い順に前記複数の分析ロジックによる分析処理を実行することにより前記分析対象データを分析する、請求項４に記載の車両セキュリティ分析装置。
  6. 　車両に搭載されネットワークに接続可能な車載装置の動作状態に関係する分析対象データを取得し分析する装置が実行する車両セキュリティ分析方法であって、
    　前記車両と、当該車両に搭載される前記車載装置の種類に対応して予め用意された複数の分析ロジックとの対応関係を表す対応情報を記憶部に設定させる過程と、
    　前記分析対象データが取得される毎に、取得された前記分析対象データに含まれる前記車両の属性情報をもとに、当該分析対象データの発生元となる前記車載装置の種類を判定する過程と、
    　判定された前記車載装置の種類に対応する前記分析ロジックを、前記対応情報をもとに前記複数の分析ロジックの中から選択する過程と、
    　選択された前記分析ロジックに従い前記分析対象データを分析し、分析結果を表す情報を生成する過程と、
    　前記分析結果を表す情報を出力する過程と
    　を具備する車両セキュリティ分析方法。
  7. 　請求項１乃至５のいずれかに記載の車両セキュリティ分析装置が具備する前記各処理部による処理を、前記車両セキュリティ分析装置が備えるプロセッサに実行させるプログラム。

     
PCT/JP2022/035184 2021-09-24 2022-09-21 車両セキュリティ分析装置、方法およびそのプログラム WO2023048187A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
CN202280057310.XA CN117836769A (zh) 2021-09-24 2022-09-21 车辆安全分析装置、方法以及其程序
EP22872938.0A EP4407494A1 (en) 2021-09-24 2022-09-21 Vehicle security analysis device and method, and program therefor
US18/583,163 US20240236139A1 (en) 2021-09-24 2024-02-21 Vehicle security analysis apparatus, method, and program storage medium

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2021-155793 2021-09-24
JP2021155793A JP7230147B1 (ja) 2021-09-24 2021-09-24 車両セキュリティ分析装置、方法およびそのプログラム

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US18/583,163 Continuation US20240236139A1 (en) 2021-09-24 2024-02-21 Vehicle security analysis apparatus, method, and program storage medium

Publications (1)

Publication Number Publication Date
WO2023048187A1 true WO2023048187A1 (ja) 2023-03-30

Family

ID=85330630

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2022/035184 WO2023048187A1 (ja) 2021-09-24 2022-09-21 車両セキュリティ分析装置、方法およびそのプログラム

Country Status (5)

Country Link
US (1) US20240236139A1 (ja)
EP (1) EP4407494A1 (ja)
JP (1) JP7230147B1 (ja)
CN (1) CN117836769A (ja)
WO (1) WO2023048187A1 (ja)

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2017119246A1 (ja) * 2016-01-08 2017-07-13 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 異常検知方法、異常検知装置及び異常検知システム
US20190215339A1 (en) * 2018-01-05 2019-07-11 Byton Limited System and method for enforcing security with a vehicle gateway
WO2019142741A1 (ja) * 2018-01-22 2019-07-25 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 車両異常検知サーバ、車両異常検知システム及び車両異常検知方法
WO2020075801A1 (ja) * 2018-10-11 2020-04-16 日本電信電話株式会社 情報処理装置、異常分析方法及びプログラム
JP2020119090A (ja) 2019-01-21 2020-08-06 エヌ・ティ・ティ・コミュニケーションズ株式会社 車両セキュリティ監視装置、方法及びプログラム

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7007632B2 (ja) 2017-08-03 2022-01-24 住友電気工業株式会社 検知装置、検知方法および検知プログラム
WO2020080222A1 (ja) 2018-10-17 2020-04-23 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 脅威分析装置、脅威分析方法、および、プログラム

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2017119246A1 (ja) * 2016-01-08 2017-07-13 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 異常検知方法、異常検知装置及び異常検知システム
US20190215339A1 (en) * 2018-01-05 2019-07-11 Byton Limited System and method for enforcing security with a vehicle gateway
WO2019142741A1 (ja) * 2018-01-22 2019-07-25 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 車両異常検知サーバ、車両異常検知システム及び車両異常検知方法
WO2020075801A1 (ja) * 2018-10-11 2020-04-16 日本電信電話株式会社 情報処理装置、異常分析方法及びプログラム
JP2020119090A (ja) 2019-01-21 2020-08-06 エヌ・ティ・ティ・コミュニケーションズ株式会社 車両セキュリティ監視装置、方法及びプログラム

Also Published As

Publication number Publication date
EP4407494A1 (en) 2024-07-31
JP7230147B1 (ja) 2023-02-28
US20240236139A1 (en) 2024-07-11
JP2023046938A (ja) 2023-04-05
CN117836769A (zh) 2024-04-05

Similar Documents

Publication Publication Date Title
KR102506931B1 (ko) 전자화 장비 보안 검사 시스템 및 그 방법
US11363045B2 (en) Vehicle anomaly detection server, vehicle anomaly detection system, and vehicle anomaly detection method
US20240348635A1 (en) System and method for providing fleet cyber-security
US11848947B2 (en) System and method for providing security to in-vehicle network
CN106828362B (zh) 汽车信息的安全测试方法及装置
JPWO2020075800A1 (ja) 分析装置、分析システム、分析方法及びプログラム
US12063236B2 (en) Information processing apparatus, log analysis method and program
US20240236131A1 (en) Vehicle security analysis apparatus, and method and program storage medium
WO2020075809A1 (ja) 情報処理装置、データ分析方法及びプログラム
US11971982B2 (en) Log analysis device
US20230379344A1 (en) Information processing system, information processing method, and program
WO2023048187A1 (ja) 車両セキュリティ分析装置、方法およびそのプログラム
CN112583597A (zh) 使用库存规则来识别计算机网络设备的系统及方法
Olt Establishing security operation centers for connected cars
Pătraşcu et al. Cyber security evaluation of critical infrastructures systems
WO2018149245A1 (zh) 汽车信息的安全测试方法及装置
van der Schoot Validating vehicleLang, a domain-specific threat modelling language, from an attacker and industry perspective
WO2018029692A1 (en) System and method for prevention of attacks in connected vehicles
Aravind et al. AI-Enabled Unified Diagnostic Services: Ensuring Secure and Efficient OTA Updates Over Ethernet/IP

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 22872938

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 202280057310.X

Country of ref document: CN

WWE Wipo information: entry into national phase

Ref document number: 2022872938

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2022872938

Country of ref document: EP

Effective date: 20240424