JP7296470B2 - 分析装置及び分析方法 - Google Patents

Description

本発明は、分析装置に関し、特に、セキュリティ攻撃の分析技術に関する。

自動車などの車両は、コネクテッド化、ＯＳＳ（Ｏｐｅｎ Ｓｏｕｒｃｅ Ｓｏｆｔｗａｒｅ）の利用増加等が進み、より多くの脆弱性を悪用される可能性が高くなっている。また、マルウェアのようなサイバーセキュリティ脅威に曝されることが懸念されている。このような脅威への対策として、サイバーセキュリティ攻撃を受けたときに生じる事象に基づいて、攻撃の発生を検知する侵入検知技術が導入され始めている。一般的に、侵入検知技術によってサイバーセキュリティ攻撃を検知した場合、安全な状態を維持するための対策が実行される。例えば、不正な通信を検知した場合、対象システムでは該当通信を遮断する対策を実行する。

しかしながら、可用性を重視する車載システムでは、サイバーセキュリティ攻撃を検知しても、検知したサイバーセキュリティ攻撃の危険度を的確に判定しなければ、過度な対策や対策の遅延になることがある。侵入検知の結果に基づいて、攻撃の影響を分析する技術として、特開２０１９－０４６２０７号公報がある。特開２０１９－０４６２０７号公報には、プラント制御装置、又は監視操作装置より取得したデータの異常がサイバー攻撃によるものであるか否かを判定する異常判定手段、前記異常判定手段により前記サイバー攻撃によるものであると判定した前記データのパラメータ情報を、サイバー攻撃のシナリオ、サイバー攻撃によるリスク、及びサイバー攻撃に対するプラント設備の脆弱性に基づいて解析し、前記プラント設備への伝播の可能性を算出する影響度判定手段、前記影響度判定手段の判定結果に基づき、前記プラント設備への対応を表示する表示手段を備えたことを特徴とするプラントのセキュリティ対処支援システムが記載されている（請求項１参照）。

特開２０１９－４６２０７号公報

特許文献１に記載された技術では、発生した攻撃による影響が及ぶ装置を特定し、影響が及ぶ装置の重要性を判定し、その重要性に応じた対策を選定するが、重要な装置が複数存在するシステムでは、すべての装置の重要性を区別することは困難である。また、重要性な装置が侵害を受ける前に致命的な状態に陥る可能性がある。

本発明は、以上の問題に鑑みなされたものであり、走行中の車両においてサイバーセキュリティ攻撃を検知したときに、適切なタイミングで適切な対処を実行可能な分析装置を提供することを目的とする。

本願において開示される発明の代表的な一例を示せば以下の通りである。すなわち、所定の演算処理を実行する演算装置と、前記演算装置がアクセス可能な記憶装置とを有する計算機によって構成される分析装置であって、前記演算装置が、機器に搭載された情報処理装置のログを受信する通信部と、前記演算装置が、前記受信したログから、前記機器への侵入箇所から保護資産までの経路における侵害地点を算出する攻撃進行分析部と、前記演算装置が、前記攻撃進行分析部によって分析された侵害地点から保護対象までの残りのステップ数と所定の閾値との比較結果に基づいて、攻撃への対策の緊急度を判定する緊急度判定部とを備えることを特徴とする。

本発明の一態様によれば、サイバーセキュリティ攻撃を的確に判定できる。前述した以外の課題、構成及び効果は、以下の実施例の説明によって明らかにされる。

分析装置の構成を示す図である。 分析装置が対処内容を選定する処理を示すフローチャートである。 システム侵害更新ルールのデータ構造の例を示す図である。 関連シナリオ更新ルールのデータ構造をの例を示す図である。 車両情勢情報（侵害度）のデータ構造の例を示す図である。 車両情勢情報（シナリオ相関度）のデータ構造の例を示す図である。 進行状況更新閾値情報のデータ構造の例を示す図である。 攻撃進行情報更新ルールのデータ構造の例を示す図である。 攻撃進行情報のデータ構造の例を示す図である。 シナリオステップ情報のデータ構造の例を示す図である。 緊急度情報のデータ構造の例を示す図である。 対策選定情報のデータ構造の例を示す図である。

本発明の実施例として、車載ネットワークに接続された分析装置における侵入検知及び影響分析方法、特に、セキュリティ攻撃を検知したときに、攻撃の進行状況に応じた対処を選定することが可能な分析装置１について説明する。

本発明の一実施例の分析装置１は、サイバーセキュリティ攻撃を検知したときに、予め用意された攻撃シナリオに基づいて、攻撃の進行状況を判定し、判定された進行状況に応じた対処内容を選定する。

また、本発明の一実施例の分析装置１では、車両情勢更新部１２が受信したログ内容に応じて車両情勢情報１６３を更新することにより、車載システムで発生している攻撃事象を把握し、攻撃進行分析部１３が前記車両情勢情報１６３から攻撃の進行状況を判定し、緊急度判定部１４が判定された進行状況に応じて対策の緊急度を算出することによって、発生した事象の緊急性を分析し、対策選定部１５が分析された緊急度に基づいて実施する対策を選定する。

より好ましくは、前記車両情勢更新部１２は、車載システムに搭載された各装置における侵入検知機能から収集したログを収集し、攻撃進行分析部１３は、侵入口と保護対象を定めた攻撃シナリオと前記車両情勢情報１６３を用いて、各攻撃シナリオにおける侵害箇所を特定し、緊急度判定部１４は、ある情報処理装置３から隣接する情報処理装置３までの経路を１ステップとした場合、攻撃シナリオにおける侵入箇所から保護対象までのステップ数の残りに応じて緊急度を算出し、対策選定部１５は、相関度が高い攻撃シナリオの緊急度に応じた対策を選定する。

以下、本発明の実施例について、図面を参照しながら詳細に説明する。

＜実施例１＞
本実施例では、サイバーセキュリティ攻撃を検知したときに、分析装置１が、予め用意しておいた攻撃シナリオに基づいて、攻撃の進行状況を判定し、当該進行状況に応じた対処内容を選定する方法の例を説明する。但し、本発明の技術的思想は、例示される手順に限定されるものではない。

図１に、本発明の実施形態における分析装置１の構成を示す。

分析装置１は、車両に搭載されており、車両側で侵害を判定するものであるが、車両と通信で接続されたセンタに分析装置を設け、センタ側で侵害を判定してもよい。分析装置１は、通信バス２を介して情報処理装置３（例えば、ＥＣＵなどの電子制御装置）に接続されている。但し、通信バス２は物理的には複数の通信バスから構成されてもよく、これらの複数の通信バスの規格は全て同じでも異なってもよい。これら通信バスは、ＣＡＮ（登録商標）、ＬＩＮ（登録商標）、ＦｌｅｘＲａｙ（登録商標）、イーサネット（登録商標）などの規格に準拠する。

分析装置１は、不図示のＣＰＵ、不図示の非一時的記憶媒体であるＲＯＭ、及び不図示のＲＡＭを有し、ＲＯＭに格納されたプログラムをＣＰＵがＲＡＭに展開して実行することによって以下の機能を実現する。ＣＰＵがプログラムを実行して行う処理を、他の演算装置（例えば、ＦＰＧＡ（Field Programable Gate Array）やＡＳＩＣ（Application Specific Integrated Circuit）などのハードウェア）で実行してもよい。すなわち分析装置１は、その機能として、車両情勢更新部１２、攻撃進行分析部１３、緊急度判定部１４、対策選定部１５を有する。また、分析装置１は、不揮発性の記憶装置である記憶部１６、及び通信インタフェースであり通信に必要な演算を行う通信部１１を有する。

通信部１１は、通信バス２を介して他の装置から送信されたメッセージを受信し、通信バス２を介して他の装置にメッセージを送信する。前述のとおり、通信バス２は物理的に複数の通信バスから構成されてもよい。分析装置１は、通信部１１を用いて各装置の異常状態を判定するための情報を収集する。車両情勢更新部１２は、予め定められたルールに従って、通信部１１を用いて収集された情報を用いて当該車両におけるサイバーセキュリティ攻撃による情勢（車両情勢情報）を更新する。攻撃進行分析部１３は、所定の条件を満たす場合に、予め定められたルールに従って、車両情勢情報を用いて攻撃の進行状況を特定する。緊急度判定部１４は、攻撃シナリオにおける侵害地点から保護対象までの残りの経路数に応じた緊急度を算出する。対策選定部１５は、緊急度のレベルに応じて、レベルごとに設定された対策内容を選定する。なお、対策選定部１５によって対策を選定せずに、緊急度判定部１４が判定した緊急度を他の情報処理装置３に出力してもよい。

記憶部１６は、システム侵害更新ルール１６１、関連シナリオ更新ルール１６２、車両情勢情報１６３、進行状況更新閾値情報１６４、攻撃進行情報更新ルール１６５、攻撃進行情報１６６、シナリオステップ情報１６７、緊急度情報１６８及び対策選定情報１６９を記憶する。システム侵害更新ルール１６１には、車載システムの侵害度を更新するためのルールが定義される。関連シナリオ更新ルール１６２には、発生した事象に関連する攻撃シナリオを更新するためのルールが定義される。車両情勢情報１６３には、車載システムで観測された事象が保持される。進行状況更新閾値情報１６４は、攻撃進行情報１６６を更新するかを判定するための閾値を保持する。攻撃進行情報更新ルール１６５には、攻撃進行情報１６６を更新するためのルールが定義される。攻撃進行情報１６６は、攻撃の進行状況を保持する。シナリオステップ情報１６７には、攻撃シナリオの総ステップ数が定義される。緊急度情報１６８は、発生した事象に対する対策の緊急度を保持する。対策選定情報１６９には、緊急度に応じた対策内容が定義される。記憶部１６は、分析装置１が収集した情報である不図示のログを記憶してもよい。

図２に、分析装置１が対処内容を選定する処理のフローを示す。以下に説明する各ステップの実行主体は、分析装置１の不図示のＣＰＵであり、取得するログ情報は、ある期間内に収集できたログ情報であり、複数のログ情報を取得してもよい。図２に示す処理は、車両のイグニッションスイッチがオンに操作され、情報処理装置３が動作を開始したタイミングで実行されるとよい。また、システムの侵害に対する対策が行われたタイミングで実行されてもよく、他装置からメッセージを受信できるタイミングであればいつでもよい。

ステップ２１１では、分析装置１は、通信部１１を用いて各情報処理装置３のログ情報を収集し、分析装置１のメモリに格納する。例えば、分析装置１は、所定の期間においてログ情報を収集してもよい。

ステップ２１２では、車両情勢更新部１２は、ステップ２１１において収集したログ情報から脅威ＩＤを取得する。なお、脅威ＩＤは、検知箇所、通信元、通信先、関連装置、関連通信路、侵害の状況等を特定可能な識別子であり、情報処理装置３から取得するログ情報に含まれている。

ステップ２１３では、車両情勢更新部１２は、ステップ２１２で取得した脅威ＩＤとシステム侵害更新ルール１６１に基づいて、車両情勢情報１６３を更新する。

図３Ａに、ステップ２１３において車両情勢更新部１２が車両情勢情報１６３の更新に用いるシステム侵害更新ルール１６１のデータ構造の例を示す。システム侵害更新ルール１６１は、顕在化した脅威事象に関する相関度の更新ルールを定義しており、脅威事象を特定する脅威ＩＤ１６１１と、当該脅威事象によって影響を受ける装置及び通信路に関連する侵害度の更新差分値１６１２を含む。

図４Ａに、ステップ２１３において更新される車両情勢情報（侵害度）１６３のデータ構造の例を示す。車両情勢情報（侵害度）１６３は、侵害を受けている装置又は通信路を特定する装置／通信ＩＤ１６３１と、侵害の度合いを示す侵害度１６３２を含む。

例えば、ステップ２１２で取得した脅威ＩＤ１６１１が「０ｘ０１」の場合、システム侵害更新ルール１６１を参照すると、カラム１６１３の「Ｄｅｖ１」と、カラム１６１４の「Ｃｏｍ１」が侵害を受けていると判定できる。車両情勢更新部１２は、システム侵害更新ルール１６１から脅威ＩＤ１６１１が「０ｘ０１」のＤｅｖ１の更新差分値「１０」を取得し、車両情勢情報（侵害度）１６３の装置／通信ＩＤ１６３１が「Ｄｅｖ１」の侵害度「３２０」を「３３０」に更新する。また、システム侵害更新ルール１６１から脅威ＩＤ１６１１が「０ｘ０１」のＣｏｍ１の更新差分値「１５」を取得し、車両情勢情報（侵害度）１６３の装置／通信ＩＤ１６３１が「Ｃｏｍ１」の侵害度「２６５」を「２８０」に更新する。

車両情勢情報（侵害度）１６３に記録されるデータは、初期値が０であり、上限値を決めておき、メモリのオーバーフローを避けるとよい。この上限値は、進行状況更新閾値情報１６４（図５）に定められる閾値より大きい値であればよい。車両情勢情報（侵害度）１６３は所定のタイミングで初期値に設定されてもよい（例えば、所定時間間隔で０にリセットする）。車両情勢情報（侵害度）１６３の初期化のタイミングは、例えば、イグニッションオフ時、正常／異常の判定時、異常対処時などでよく、後述する車両情勢情報（シナリオ相関度）１６３の初期化タイミングと同じでも異なってもよい。また、車両情勢情報（侵害度）１６３に脅威ＩＤの発生数を記憶してもよい

ステップ２１４では、車両情勢更新部１２は、ステップ２１２で取得した脅威ＩＤと関連シナリオ更新ルール１６２に基づいて、車両情勢情報１６３を更新する。

図３Ｂに、ステップ２１４において車両情勢更新部１２が車両情勢情報１６３の更新に用いる関連シナリオ更新ルール１６２のデータ構造の例を示す。関連シナリオ更新ルール１６２は、顕在化した脅威事象に関する相関度の更新ルールを定義しており、脅威事象を特定する脅威ＩＤ１６２１と、シナリオＩＤ毎に脅威ＩＤに関連するシナリオ相関度の更新差分値１６２２を含む。

図４Ｂに、ステップ２１４において更新される車両情勢情報（シナリオ相関度）１６３のデータ構造の例を示す。車両情勢情報（シナリオ相関度）１６３は、発生した事象と相関性が高い攻撃シナリオに関するデータで、攻撃シナリオを特定するシナリオＩＤ１６３３と、発生した事象と各シナリオとの相関度１６３４を含む。

例えば、ステップ２１２で取得した脅威ＩＤ１６１１が「０ｘ０１」の場合、シナリオＩＤが「Ｓ１」と「Ｓ３」の侵害を受けていると推定できる。車両情勢更新部１２は、関連シナリオ更新ルール１６２から脅威ＩＤ１６２１が「０ｘ０１」のシナリオＩＤがＳ１の更新差分値「１０」を取得し、車両情勢情報（シナリオ相関度）１６３の該当するシナリオＩＤ１６３３が「Ｓ１」の相関度「１３０」を「１４０」に更新する。また、関連シナリオ更新ルール１６２から脅威ＩＤ１６２１が「０ｘ０１」のシナリオＩＤがＳ３の更新差分値「５」を取得し、車両情勢情報（シナリオ相関度）１６３の該当するシナリオＩＤ１６３３が「Ｓ３」の相関度「３０」を「３５」に更新する。

車両情勢情報（シナリオ相関度）１６３は、装置ＩＤ毎に所定回数（例えば、１回又は２～３回）を上限として更新される。このため、車両情勢情報（シナリオ相関度）１６３は、一つの情報処理装置３に異常があっても大きな値にはならず、複数の情報処理装置３に異常があると大きな値になる。車両情勢情報（シナリオ相関度）１６３に上限を決めておき、メモリのオーバーフローを避けるとよい。車両情勢情報（シナリオ相関度）１６３は所定のタイミングで初期値に設定されてもよい（例えば、所定時間間隔で０にリセットする）。車両情勢情報（シナリオ相関度）１６３の初期化のタイミングは、車両情勢情報（侵害度）１６３の初期化タイミングと同じでも異なってもよい。

ステップ２１５では、攻撃進行分析部１３は、ステップ２１３で更新された車両情勢情報（侵害度）１６３に保持される各装置及び各通信路の侵害度が進行状況更新閾値情報１６４を超過しているかを判定する。侵害度が進行状況更新閾値情報１６４を超過する装置又は通信路が一つでもある場合は、ステップ２１６に進み、侵害度が進行状況更新閾値情報１６４を超過する装置又は通信路がない場合は本処理を終了する。

図５に、ステップ２１５において使用される進行状況更新閾値情報１６４のデータ構造の例を示す。進行状況更新閾値情報１６４は、装置又は通信路を示す装置／通信ＩＤ１６４１と、装置又は通信路の侵害度の閾値１６４２を含む。

例えば、ステップ２１３で更新された車両情勢情報（侵害度）１６３における装置／通信ＩＤ１６３１が「Ｄｅｖ１」の侵害度１６３２の「３２０」と進行状況更新閾値情報１６４における装置／通信ＩＤ１６４１が「Ｄｅｖ１」の侵害度の閾値１６４２の「１５０」とを比較し、当該装置の侵害度が閾値を超過しているかを判定する。また、車両情勢情報（侵害度）１６３における装置／通信ＩＤ１６３１が「Ｃｏｍ１」の侵害度１６３２の「２６５」と進行状況更新閾値情報１６４における装置／通信ＩＤ１６４１が「Ｃｏｍ１」の侵害度の閾値１６４２の「１５０」を比較し、当該通信路の侵害度が閾値を超過しているかを判定する。その結果、「Ｄｅｖ１」「Ｃｏｍ１」共に、侵害度が閾値を超過しているので、システムへの侵害が生じていると判定される。なお、車両情勢情報（侵害度）１６３における侵害度１６３２が進行状況更新閾値情報１６４における閾値１６４２を超過していない場合、当該装置及び通信路において何らかの異常が生じているが、直ぐに対策をしなくてもよいレベルであると判定される。

ステップ２１６では、攻撃進行分析部１３は、ステップ２１５において閾値を超過した装置／通信ＩＤ１６３１を取得し、当該装置／通信ＩＤ１６３１に関連する攻撃進行情報更新ルール１６５に基づいて攻撃進行情報１６６を更新する。

図６に、ステップ２１６において使用される攻撃進行情報更新ルール１６５のデータ構造の例を示す。攻撃進行情報更新ルール１６５は、装置又は通信路を特定する装置／通信ＩＤ１６５１と、各シナリオにおける攻撃の進行状況の攻撃進行状況１６５２を含む。

図７に、ステップ２１６において更新される攻撃進行情報１６６のデータ構造の例を示す。攻撃進行情報１６６は、最新の攻撃進行状況を特定するデータで、攻撃シナリオを特定するシナリオＩＤ１６６１と、各シナリオの最新の攻撃進行状況１６６２を含む。

例えば、攻撃進行分析部１３はステップ２１５において閾値を超過した装置／通信ＩＤ１６３１として「Ｄｅｖ１」と「Ｃｏｍ１」を取得した場合、攻撃進行情報更新ルール１６５における装置／通信ＩＤが「Ｄｅｖ１」に該当するシナリオＩＤの攻撃進行状況１６５２として、「Ｓ１」の進行情報「３」と「Ｓ３」の進行情報「２」を取得し、攻撃進行情報１６６における該当シナリオの進行情報と比較する。そして、攻撃進行情報更新ルール１６５における攻撃進行状況１６５２が攻撃進行情報１６６における進行情報より大きければシナリオＩＤ１６６１の進行情報を更新し、攻撃進行状況１６５２が攻撃進行情報１６６における進行情報以下であればシナリオＩＤ１６６１の進行情報を更新しない。同様に、攻撃進行情報更新ルール１６５における装置／通信ＩＤ１６５１が「Ｃｏｍ１」に該当するシナリオＩＤの攻撃進行状況１６５２として、「Ｓ１」の進行情報「４」を取得し、攻撃進行情報１６６における当該シナリオの進行情報と比較する。そして、攻撃進行情報更新ルール１６５における攻撃進行状況１６５２が攻撃進行情報１６６における進行情報より大きければシナリオＩＤ１６６１の進行情報を更新し、攻撃進行状況１６５２が攻撃進行情報１６６における進行情報以下であればシナリオＩＤ１６６１の進行情報を更新しない。

ステップ２１７では、緊急度判定部１４は、ステップ２１６において更新された攻撃進行情報１６６を取得し、当該攻撃進行情報１６６とシナリオステップ情報１６７に基づいて緊急度を算出し、緊急度情報１６８に登録する。

図８に、ステップ２１７において使用されるシナリオステップ情報１６７のデータ構造の例を示す。シナリオステップ情報１６７は、攻撃シナリオを特定するシナリオＩＤ１６７１と、各シナリオＩＤにおける侵入口から保護資産（最終攻撃ターゲットになりうる制御系ＥＣＵ）に至るまでの経路のステップ数である総ステップ数１６７２を含む。

図９に、ステップ２１７において更新される緊急度情報１６８のデータ構造の例を示す。緊急度情報１６８は、攻撃シナリオを特定するシナリオＩＤ１６８１と、総ステップ数１６７２と攻撃進行状況１６６２に基づいて算出される残りのステップ数である残ステップ数１６８２を含む。

例えば、緊急度判定部１４はステップ２１６において更新された攻撃進行情報１６６の「Ｓ１」の攻撃進行状況１６６２「４」と、シナリオステップ情報１６７の「Ｓ１」の総ステップ数１６７２「７」を取得し、総ステップ数「７」から攻撃進行状況１６６２「４」を減じた値「３」を残ステップ数１６８２に登録する。

ステップ２１８では、対策選定部１５は、ステップ２１７において算出された残ステップ数１６８２の値が、予めシナリオＩＤごとに定められた残ステップ数の閾値以下である場合に緊急度が高く、対策が必要であると判定して、ステップ２１９に進む。一方、残ステップ数１６８２の値が残ステップ数の閾値より大きい場合は緊急度が高くはなく、直ちに対策が必要ではない（様子見）と判定し、本処理を終了する。なお、閾値は一つだけ設定してもよいし、複数段階で設定して、各段階に応じた対策を設定してもよい。

ステップ２１８において、攻撃の進行状況を残ステップ数で判定せずに、時間で判定してもよい。例えば、侵害がここまで至る時間とここまでのステップ数と残ステップ数とを用いて、残ステップ数分が侵害されるために必要な時間を計算するとよい。

ステップ２１９では、対策選定部１５は、ステップ２１８において緊急度が高いと判定されたシナリオＩＤ１６８１に該当する車両情勢情報１６３の相関度１６３４の値が、予めシナリオＩＤ毎に定められた閾値より大きい場合、複数の情報処理装置３に異常が生じているので、ステップ２２０に進む。一方、閾値よりも大きくない場合、一つの情報処理装置３に異常が生じているだけであると推定されるので、本処理を終了する。ステップ２１９では、複数の情報処理装置３で異常が生じているかが判定されるので、誤検知を抑制できる。なお、ステップ２１９における相関度の判定はオプションであり、シナリオ相関値に依らず、緊急度が高い場合に対策を行ってもよい。

ステップ２２０では、対策選定部１５は、対策選定情報１６９を用いて、ステップ２１７において判定された緊急度と、ステップ２１８において当該緊急度が要対策閾値を超えるかの判定結果に応じた対策レベル１６９１とシナリオＳ１６９２を特定し、該当する対策を選定する。この対策レベルは、緊急度によって定めてもよいし、相関度によって定めてもよいし、緊急度及び相関度によって定めてもよい。

図１０に、ステップ２２０で使用される対策選定情報１６９のデータ構造の例を示す。
対策選定情報１６９は、ステップ２１８で定めた緊急度（対策レベル）１６９１と、該当するシナリオを示すシナリオＳ１６９２を含む。例えば、対策選定部１５は、対策レベル１６９１がＬｖ．１、かつ該当シナリオＳ１６９２が「Ｓ１」である場合、対策としてログ保存を選定する。

以上のステップにより、分析装置１は、サイバーセキュリティ攻撃を検知したときに、対処内容を選定する。

以上、本発明の実施例によれば、分析装置１は、サイバーセキュリティ攻撃を検知したときに、予め用意しておいた攻撃シナリオに基づいて攻撃の進行状況を判定し、当該進行状況に応じた対処内容を選定する。これにより、サイバーセキュリティ攻撃の緊急度に応じた適切なタイミングで対処できるため、過度な対処や対処の遅延を防止し、安全で快適な車両走行制御を維持できる。

以上に説明したように、本発明の実施例の分析装置は、分析装置１のＣＰＵが、機器に搭載された情報処理装置（ＥＣＵ）３のログを受信する通信部１１と、ＣＰＵが、受信したログから、機器への侵入箇所から保護資産（最終攻撃ターゲットなりうる制御系ＥＣＵ）までの経路における侵害地点を算出する攻撃進行分析部１３と、ＣＰＵが、攻撃進行分析部１３による分析結果に基づいて、攻撃への対策の緊急度を判定する緊急度判定部１４とを備えるので、サイバーセキュリティ攻撃を的確に判定できる。

また、ＣＰＵが、判定された緊急度に基づいて、優先すべき対策を選定する対策選定部１５を備えるので、サイバーセキュリティ攻撃の緊急度に応じた適切なタイミングで、適切な対策を実行でき、過度な対策や、対策の遅延を防止でき、安全で快適な車両走行制御を実現できる。

また、通信部１１は、情報処理装置３の侵害状況、及び前記機器への侵入箇所から保護資産までの経路を示す攻撃シナリオと関連付けられた識別情報を含むログ（脅威ＩＤを含むログ情報）を受信するので、各情報処理装置が侵害の詳細な情報を送信する必要がなく、通信バス２のトラフィックの増加を抑制できる。

また、攻撃進行分析部１３は、受信したログから、情報処理装置３で発生している可能性が高いシナリオを特定し、特定されたシナリオにおける攻撃の進行状況を示す攻撃進行情報１６６を更新するので、複数の情報処理装置３から受信したログによって攻撃の進行状況を判定するので、誤検知を抑制できる。

また、緊急度判定部１４は、攻撃進行分析部１３による保護資産までの攻撃の進行度合いによって緊急度を判定するので、深刻な事態になるまでの猶予が簡単な処理で分かる。

また、対策選定部１５は、前記判定された緊急度に応じて対策内容を選定するので、過度な対策や、対策の遅延を防止できる。

なお、本発明は前述した実施例に限定されるものではなく、添付した特許請求の範囲の趣旨内における様々な変形例及び同等の構成が含まれる。例えば、前述した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに本発明は限定されない。また、ある実施例の構成の一部を他の実施例の構成に置き換えてもよい。また、ある実施例の構成に他の実施例の構成を加えてもよい。
また、各実施例の構成の一部について、他の構成の追加・削除・置換をしてもよい。

また、前述した各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等により、ハードウェアで実現してもよく、プロセッサがそれぞれの機能を実現するプログラムを解釈し実行することにより、ソフトウェアで実現してもよい。

各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリ、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等の記憶装置、又は、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に格納することができる。

また、制御線や情報線は説明上必要と考えられるものを示しており、実装上必要な全ての制御線や情報線を示しているとは限らない。実際には、ほとんど全ての構成が相互に接続されていると考えてよい。

１ 分析装置
２ 通信バス
３ 情報処理装置
１１ 通信部
１２ 車両情勢更新部
１３ 攻撃進行分析部
１４ 緊急度判定部
１５ 対策選定部
１６ 記憶部

Claims (12)

1. 所定の演算処理を実行する演算装置と、前記演算装置がアクセス可能な記憶装置とを有する計算機によって構成される分析装置であって、
   前記演算装置が、機器に搭載された情報処理装置のログを受信する通信部と、
   前記演算装置が、前記受信したログから、前記機器への侵入箇所から保護資産までの経路における侵害地点を算出する攻撃進行分析部と、
   前記演算装置が、前記攻撃進行分析部によって分析された侵害地点から保護対象までの残りのステップ数と所定の閾値との比較結果に基づいて、攻撃への対策の緊急度を判定する緊急度判定部とを備えることを特徴とする分析装置。
2. 請求項１に記載の分析装置であって、
   前記演算装置が、前記判定された緊急度に基づいて、優先すべき対策を選定する対策選定部を備えることを特徴とする分析装置。
3. 請求項１に記載の分析装置であって、
   前記通信部は、前記情報処理装置の侵害状況、及び前記機器への侵入箇所から保護資産までの経路を示す攻撃シナリオと関連付けられた識別情報を含むログを受信することを特徴とする分析装置。
4. 請求項１に記載の分析装置であって、
   前記攻撃進行分析部は、
   前記受信したログから、前記情報処理装置で発生している可能性が高いシナリオを特定し、
   前記特定されたシナリオにおける攻撃の進行状況を示す攻撃進行情報を更新することを特徴とする分析装置。
5. 請求項１に記載の分析装置であって、
   前記緊急度判定部は、前記攻撃進行分析部による前記保護資産までの攻撃の進行度合いによって緊急度を判定することを特徴とする分析装置。
6. 請求項２に記載の分析装置であって、
   前記対策選定部は、前記判定された緊急度に応じて対策内容を選定することを特徴とする分析装置。
7. 分析装置が、機器に搭載された情報処理装置の状態を分析する分析方法であって、
   前記分析装置は、所定の演算処理を実行する演算装置と、前記演算装置がアクセス可能な記憶装置とを有する計算機によって構成されており、
   前記分析方法は、
   前記演算装置が、機器に搭載された情報処理装置のログを受信する通信手順と、
   前記演算装置が、前記受信したログから、前記機器への侵入箇所から保護資産までの経路における侵害地点を算出する攻撃進行分析手順と、
   前記演算装置が、前記攻撃進行分析手順において分析された侵害地点から保護対象までの残りのステップ数と所定の閾値との比較結果に基づいて、攻撃への対策の緊急度を判定する緊急度判定手順とを含むことを特徴とする分析方法。
8. 請求項７に記載の分析方法であって、
   前記演算装置が、前記判定された緊急度に基づいて、優先すべき対策を選定する対策選定手順を含むことを特徴とする分析方法。
9. 請求項７に記載の分析方法であって、
   前記通信手順では、前記演算装置が、前記情報処理装置の侵害状況、及び前記機器への侵入箇所から保護資産までの経路を示す攻撃シナリオと関連付けられた識別情報を含むログを受信することを特徴とする分析方法。
10. 請求項７に記載の分析方法であって、
    前記攻撃進行分析手順では、前記演算装置が、前記受信したログから、前記情報処理装置で発生している可能性が高いシナリオを特定し、前記特定されたシナリオにおける攻撃の進行状況を示す攻撃進行情報を更新することを特徴とする分析方法。
11. 請求項７に記載の分析方法であって、
    前記緊急度判定手順では、前記演算装置が、前記攻撃進行分析手順で分析された前記保護資産までの攻撃の進行度合いによって緊急度を判定することを特徴とする分析方法。
12. 請求項８に記載の分析方法であって、
    前記対策選定手順では、前記演算装置が、前記判定された緊急度に応じて対策内容を選定することを特徴とする分析方法。

Images